8. Buenas prácticas

El INTECO (instituto nacional de tecnologías de la comunicación) es una sociedad dependiente del Mnisterio de Industria, Energía, Turismo que trabaja en el  desarrollo de la ciberseguridad y la confianza digital y la protección de la privacidad de los ciudadanos.

7. Ataques más comunes

Los ataques más comunes que suelen producirse son estos. 

  • DoS
La denegación del servicio consiste en infectar varios equipos y tomar el control de ellos para acceder de forma simultánea a un equipo con el  objetivo de colapsarlo con peticiones e inhabilitar temporalmente su servicio (de ahí su nombre). Este tipo de ataques pueden originar pérdidas millonarias.
  •  Spoofing
Se basa en suplantar la identidad de un equipo o usuario, realizando acciones sobre un sistema en su nombre. Este tipo de ataque puede llevarse a muchos niveles: de usuario, de IP, de correo, etc.
  • Phishing
Al igual que el spoofing, consiste en suplantar la identidad, con la intención de que el usuario proporcione datos de interés para el atacante (claves, datos bancarios, etc).
  • Sniffing
El fundamento es capturar tráfico en el sistema y posteriormente utilizar esa información para extraer datos, claves, etc.
La técnica más habitual para capturar información se llama <Man In The Middle> (<hombre en el medio>).
  • Hijacking.
El objetivo de esta técnica es sustituir la página de inicio del navegador para otra que le convenga al atacante. Esta técnica suele combinarse con phising.
  • Inyección de código.
Se trata de una técnica más orientada a los servicios, ya que busca conseguir acceso o información de servidores (bases de datos, páginas web, etc.)



6.4 Protección contra malware

Para prevenir los efector del malware es recomendable seguir las siguientes pautas:
    • Evitar abrir cualquier fichero que pueda resultar sospechoso o, antes de hacerlo, analizarlo con el antivirus.
    • Mantener el sistema operativo y el resto de aplicaciones, sobre todo el antivirus, actualizados y con los parches de seguridad que correspondan.
    • Hacer un análisis del equipo de forma periódica.

6.3 Encriptación

La encriptación es la acción de codificar un dato de forma que no sea accesible a cualquier usuario. De hecho, existe una rama de la informática llamada criptografía que se dedica exclusivamente a esto.

La encriptación puede darse en dos situaciones:

  • En el almacenamiento y acceso a la información, en cuyo caso la técnica se basa en aplicar un algoritmo que permita acceder a los datos solo si se conoce la clave de acceso. 
    • Existen dos tipos de codificación para este fin: 
      • Reversible: se aplica un algoritmo que convierte los datos legibles en encriptados. Si se aplica el algoritmo inverso, los datos encriptados se convierten en legibles.
      • Irreversible: se aplica un algoritmo que convierte un dato legible en encriptado. No existe algoritmo inverso. Es la codificación típica de las contraseñas. Al no existir algoritmo inverso, una vez que se encripta, no se puede devolver el estado original.
  • Tráfico de información entre dos puntos, en cuyo caso la técnica se basa en cifrar el mensaje durante el tiempo que viaje el mensaje y que solo el destinatario lo descifre. 
    • Los sistemas de cifrado más comunes para este fin son: 
      • Cifrado simétrico: se utiliza una clave para cifra y descifrar. El único aspecto que hay que tener en cuenta es qué clave utilizar.
      • Cifrado asimétrico o de clave pública: se utilizan dos claves, una pública, que facilita el destinario y que el determinante usa para descifrar el mensaje. 

6.2 Permisos y políticas de usuario

Los administradores del sistema deben diseñar una estructura que permita a todos los usuarios realizar su trabajo y acceder solo a aquellos recursos e información para los que están autorizados.

6.1- Autenticacón por contraseña

La contraseña es el mecanismo más común de identificación. Se puede usar o no de forma conjunta con otros mecanismos , ya sean de seguridad física o lógica.
Cada sistema diseña su propia de contraseñas, que se basa en estos aspectos:
  • Vigencia: se puede forzar a cambiar la contraseña cada cierto tiempo.
  • Complejidad: este es un punto muy importante de la seguridad. Cuanto más compleja sea la contraseña, más difícil es que se averigüe.
  • Confidencialidad:  la contraseña es única, secreta e intransferible.

6. Mecanismos de seguridad lógica

Los mecanismos de seguridad lógica están ligados a la protección del software y los datos del sistema.
Como sucedía con los mecanismos de seguridad física, la magnitud del sistema, los recursos disponibles y el nivel de riesgo hará que se tomen más o menos medidas en este sentido.
La ventaja de los mecanismos de seguridad lógica es que son, por lo general, menos costosos de implementar. Sin embargo necesita un mantenimiento más minucioso y a corto plazo.
Los mecanismos de seguridad lógica más comunes en un sistema son los que veremos a continuación.

5.6- Protección contra desastres naturales

En función de dónde está ubicado del sistema que hay que proteger, se deben tomar unas medidas de seguridad física adicionales. Así, por ejemplo, en zonas propensas a terremotos, se equipa al CPD con un suelo especial que amortigua las vibraciones y hasta puede aplicarse a la estructura del edificio.

5.5- Sistema de climatización

Vigila que los equipos del sistema funcionen a una temperatura óptima y ajusta los factores ambientales de temperatura y humedad para conseguir el máximo rendimiento.
El CPD (Centro de Procesamiento de Datos) es un habitáculo con bastante equipamiento en continuo funcionamiento que tiende a calentarse.
Los sistemas de climatización pueden ser simples (como un aparato de aire acondicionado convencional) o complejos, llegando incluso a afectar a la estructura del edificio (por ejemplo, pueden necesitar paredes con cámara de aire especial para controlar mejor la temperatura interior del edificio).

5.4- Sistema de control de accesos

Están orientados a restringir el acceso a zonas o elementos del sistema que, por motivos de seguridad, no deben ser manipulados por cualquier usuario.
Son muchos los tipos de sistemas para controlar el acceso:
  • Tarjetas: con chip PKI, de banda magnética o de proximidad. Pueden ir o no acompañadas de una contraseña.
  • Sistemas biométricos: identifican una cualidad del cuerpo humano y la almacenan como dato identificativo de la persona a laque se dará acceso. Estos sistemas están en auge y los hay de múltiples tecnologías:
    • Firma o marca manuscrita,  usado típicamente para verificar la identidad en compras con tarjeta de crédito. 
    • Huella digital
    • Verificación de la voz, a través de una frase o palabra clave.
    • Verificación de patrones oculares, mediante el escaneo del iris y la retina.
 
Suscribirse a: Entradas (Atom)