AMENAZAS Y VULNERABILIDADES
Actividad 1. Amenazas INCIBE
En la herramienta facilitada por INCIBE podemos encontrar, en la hoja "catálogo de amenazas", una serie de grupos de amenazas:
-
Grupo 1: Fuego, Daños por agua y Desastres naturales.
-
Grupo 2: Fuga de información, introducción de falsa información, Alteración de la información, corrupción de la información, Destrucción de la información e interceptación de la información.
-
Grupo 3: Corte del suministro eléctrico, Condiciones inadecuadas de temperatura o humedad, Fallo de servicios de comunicaciones, Interrupción de otros servicios y suministros esenciales, Desastres industriales.
-
Grupo 4: Degradación de los soportes de almacenamiento de la información, Difusión de software dañino, Errores de mantenimiento / actualización de programas, Errores de mantenimiento / actualización de equipos, Caída del sistema por sobrecarga, Pérdida de equipos, Indisponibilidad del personal, Abuso de privilegios de acceso y Acceso no autorizado.
-
Grupo 5: Errores de los usuarios, Errores del administrador, Errores de configuración.
-
Grupo 6: Denegación de servicio, robo, Extorsión e Ingeniería social.
Todos estos grupos tienen en común que almacenan diversas amenazas que tendrán una determinada probabilidad de suceder y provocaran un determinado impacto a un determinado activo, pero todas son amenazas que pueden afectar a una organización.
Cada amenaza ataca a una dimensión de la seguridad diferente:
-
Confidencialidad:
Grupo 2 (Fuga de información, introducción de falsa información, Alteración de la información, corrupción de la información, Destrucción de la información e interceptación de la información),
Grupo 4 (Abuso de privilegios de acceso y Acceso no autorizado) y
Grupo 6 (Robo, Extorsión).
-
Integridad:
Grupo 1 (Fuego, Daños por agua y Desastres naturales),
Grupo 4 (Degradación de los soportes de almacenamiento de la información, Difusión de software dañino, Errores de mantenimiento / actualización de programas, Errores de mantenimiento / actualización de equipos, Caída del sistema por sobrecarga, Pérdida de equipos, Indisponibilidad del personal) y
Grupo 5 (Errores de los usuarios, Errores del administrador, Errores de configuración).
-
Disponibilidad:
Grupo 1 (Fuego, Daños por agua y Desastres naturales),
Grupo 2 (Fuga de información, introducción de falsa información, Alteración de la información, corrupción de la información, Destrucción de la información),
Grupo 3 (Corte del suministro eléctrico, Condiciones inadecuadas de temperatura o humedad, Fallo de servicios de comunicaciones, Interrupción de otros servicios y suministros esenciales, Desastres industriales) y
Grupo 4 (Degradación de los soportes de almacenamiento de la información, Difusión de software dañino, Errores de mantenimiento / actualización de programas, Errores de mantenimiento / actualización de equipos, Caída del sistema por sobrecarga, Pérdida de equipos, Indisponibilidad del personal).
Actividad 2. Amenazas-activos
En la sesión anterior llamada "Definiciones y metodologías de análisis de riesgos" elaboramos una matriz de riesgos para la cual tuvimos que hacer cruces amenazas-activos, con el fin de valorar las amenazas sobre cada uno de los activos definidos. Tuve que realizar una evaluaciones de amenazas por cada activo y la actividad la realicé en un tiempo superior a una hora.
Actividad 3.Asesor de investigación de
vulnerabilidad de Microsoft
MSVR13-005: Una vulnerabilidad en SumatraPDF Reader
podría permitir la ejecución
remota de código. (16 de Abril de 2013).
Microsoft notificó el descubrimiento y remediación de
una vulnerabilidad que afecta a SumatraPDF Reader versión 2.1.1 y versiones
anteriores. Esta vulnerabilidad fue revelada al proveedor afectado,
SumatraPDF.
La vulnerabilidad se produce después de la liberación
en la forma en que SumatraPDF Reader disminuye un objeto en la memoria.Un atacante que aproveche esta vulnerabilidad podría
obtener los mismos derechos de usuario que el usuario actual, tomar el control
completo de un sistema afectado e instalar programas; ver, cambiar, o eliminar datos;
o crear nuevas cuentas con plenos derechos de usuario.
Microsoft Vulnerability Research informó de este problema y se coordinó con SumatraPDF para garantizar la solución del mismo. A la vulnerabilidad se le ha asignado la entrada, CVE-2013-2830, en la lista de vulnerabilidades y exposiciones comunes.
* CVE (Common Vulnerabilities and Exposures) es una lista de vulnerabilidades de seguridad de la información públicamente conocidas. Es quizás el estándar más usado. Permite identificar cada vulnerabilidad, asignando a cada una un código de identificación único. Se conoce como identificador CVE (CVE-ID) y está formado por las siglas de este diccionario seguidas por el año en que es registrada la vulnerabilidad o exposición y un número arbitrario de cuatro dígitos. Estos tres elementos van separados por un guion resultando un identificador con el siguiente formato:
Actividad 4.
SecurityFocus
En www.securityfocus.com podemos encontrar informes
sobre vulnerabilidades en aplicaciones y sistemas operativos, se puede
buscar información sobre las versiones de los productos de distintos
fabricantes e incluso descargar exploits de verificación.
Desde >>Search all vulnerabilities accedemos a unas pestañas que nos permitirán ajustar nuestra
búsqueda sobre un producto en concreto.
Security Focus nos
proporciona detalles como la información del tipo de error, fecha de
publicación, sistemas y software afectos.
La última vulnerabilidad publicada es:
OpenSSH CVE-2018-20685 Vulnerabilidad de omisión de acceso, estableciendo que OpenSSH es propenso a una
vulnerabilidad de omisión de acceso.
Un atacante puede explotar este problema para evitar ciertas restricciones de
seguridad y realizar acciones no autorizadas; Esto puede ayudar a lanzar más
ataques y por lo tanto, la versión 7.9 de OpenSSH es vulnerable
*
OpenSSH (Open Secure Shell) es un conjunto de aplicaciones que permiten realizar
comunicaciones cifradas a través de una red, usando el protocolo SSH.
Actividad 5.CCN–CERT
El Centro Criptológico Nacional,
también conocido por su sigla CCN–CERT, es el organismo español, creado en 2006, encargado de
contribuir a la ciberseguridad de la administración pública, los
organismos públicos y empresas estratégicas del país. CCN-CERT depende
directamente del Centro Criptológico Nacional, del que toma parte del nombre.
El Centro Criptológico Nacional proporciona una serie de niveles de alerta de ciberamenazas:
y y establece que España se encuentra en un nivel de alerta MUY ALTO.
*
El aula de informática de la Univeridad podría verse afectada por mas de 1000 vulnerabilidades si estuviese ligada a: Microsoft, Red Hat, Cisco, Oracle, Adobe, Suse, Debian, IBM, Apple, Symantec, Joomla, Moodle, Wordpress, Mozilla, Drupal, Juniper, VMWare, Amazon WS o F5.
