Source: http://docplayer.es/799171-Guia-de-seguridad-de-las-tic-ccn-stic-812-seguridad-en-entornos-y-aplicaciones-web.html
Timestamp: 2017-04-27 18:54:50+00:00

Document:
GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-812) SEGURIDAD EN ENTORNOS Y APLICACIONES WEB - PDF
Download "GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-812) SEGURIDAD EN ENTORNOS Y APLICACIONES WEB"
Pascual Cabrera Maidana
1 GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-812) SEGURIDAD EN ENTORNOS Y APLICACIONES WEB OCTUBRE DE 2011 2 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: Tirada: 1000 ejemplares Fecha de Edición: octubre de 2011 Raúl Siles ha participado en la elaboración y modificación del presente documento y sus anexos. LIMITACIÓN DE RESPONSABILIDAD El presente documento se proporciona de acuerdo con los términos en él recogidos, rechazando expresamente cualquier tipo de garantía implícita que se pueda encontrar relacionada. En ningún caso, el Centro Criptológico Nacional puede ser considerado responsable del daño directo, indirecto, fortuito o extraordinario derivado de la utilización de la información y software que se indican incluso cuando se advierta de tal posibilidad. AVISO LEGAL Quedan rigurosamente prohibidas, sin la autorización escrita del Centro Criptológico Nacional, bajo las sanciones establecidas en las leyes, la reproducción parcial o total de este documento por cualquier medio o procedimiento, comprendidos la reprografía y el tratamiento informático, y la distribución de ejemplares del mismo mediante alquiler o préstamo públicos. Centro Criptológico Nacional i3 PRÓLOGO El uso masivo de las tecnologías de la información y las telecomunicaciones (TIC), en todos los ámbitos de la sociedad, ha creado un nuevo espacio, el ciberespacio, donde se producirán conflictos y agresiones, y donde existen ciberamenazas que atentarán contra la seguridad nacional, el estado de derecho, la prosperidad económica, el estado de bienestar y el normal funcionamiento de la sociedad y de las administraciones públicas. La Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, encomienda al Centro Nacional de Inteligencia el ejercicio de las funciones relativas a la seguridad de las tecnologías de la información en su artículo 4.e), y de protección de la información clasificada en su artículo 4.f), a la vez que confiere a su Secretario de Estado Director la responsabilidad de dirigir el Centro Criptológico Nacional en su artículo 9.2.f). Partiendo del conocimiento y la experiencia del CNI sobre amenazas y vulnerabilidades en materia de riesgos emergentes, el Centro realiza, a través de su Centro Criptológico Nacional, regulado por el Real Decreto 421/2004, de 12 de marzo, diversas actividades directamente relacionadas con la seguridad de las TIC, orientadas a la formación de personal experto, a la aplicación de políticas y procedimientos de seguridad, y al empleo de tecnologías de seguridad adecuadas. Una de las funciones más destacables del Centro Criptológico Nacional es la de elaborar y difundir normas, instrucciones, guías y recomendaciones para garantizar la seguridad de los sistemas de las tecnologías de la información y las comunicaciones de la Administración, materializada en la existencia de la serie de documentos CCN-STIC. Disponer de un marco de referencia que establezca las condiciones necesarias de confianza en el uso de los medios electrónicos es, además, uno de los principios que establece la ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, en su artículo 42.2 sobre el Esquema Nacional de Seguridad (ENS). Precisamente el Real Decreto 3/2010 de 8 de Enero de desarrollo del Esquema Nacional de Seguridad fija los principios básicos y requisitos mínimos así como las medidas de protección a implantar en los sistemas de la Administración, y promueve la elaboración y difusión de guías de seguridad de las tecnologías de la información y las comunicaciones por parte de CCN para facilitar un mejor cumplimiento de dichos requisitos mínimos. En definitiva, la serie de documentos CCN-STIC se elabora para dar cumplimiento a los cometidos del Centro Criptológico Nacional y a lo reflejado en el Esquema Nacional de Seguridad, conscientes de la importancia que tiene el establecimiento de un marco de referencia en esta materia que sirva de apoyo para que el personal de la Administración lleve a cabo su difícil, y en ocasiones, ingrata tarea de proporcionar seguridad a los sistemas de las TIC bajo su responsabilidad. Octubre de 2011 Félix Sanz Roldán Secretario de Estado Director del Centro Criptológico Nacional Centro Criptológico Nacional ii4 ÍNDICE 1. INTRODUCCIÓN OBJETO ALCANCE SEGURIDAD DE ENTORNOS Y APLICACIONES WEB RIESGOS Y AMENAZAS DE SEGURIDAD EN ENTORNOS WEB INCIDENTES DE SEGURIDAD EN ENTORNOS WEB VULNERABILIDADES DE SEGURIDAD EN ENTORNOS WEB ESTRATEGIA Y METODOLOGÍA DE SEGURIDAD DE APLICACIONES WEB ARQUITECTURAS DE SEGURIDAD EN ENTORNOS WEB DESARROLLO SEGURO DEL SOFTWARE DE APLICACIONES WEB RECOMENDACIONES GENERALES FILTRADO DE DATOS DE ENTRADA DEL USUARIO MENSAJES DE ERROR Y OTROS CONTENIDOS AUTENTIFICACIÓN Y GESTIÓN DE SESIONES CSRF GESTIÓN DE LOGS ANÁLISIS DE SEGURIDAD DE APLICACIONES WEB METODOLOGÍA DE ANALISIS DE CAJA NEGRA METODOLOGÍA DE ANALISIS DE CAJA BLANCA ESPECIFICACIÓN DE REQUISITOS DE AUDITORÍAS DE SEGURIDAD DE ENTORNOS WEB ÁMBITO DE LA AUDITORÍA DE SEGURIDAD RECONOCIMIENTO INFORMACIÓN DE REGISTRO DE DOMINIOS (DNS) Y DIRECCIONES SERVICIOS DE BÚSQUEDAS EN INTERNET UBICACIÓN EN LA RED ESCANEO SERVICIOS WEB CONTENIDOS WEB ANÁLISIS DE VULNERABILIDADES VULNERABILIDADES DE APLICACIONES WEB PRUEBAS DE CARGA Y DENEGACIÓN DE SERVICIO (DOS) ANEO A. REFERENCIAS PRINCIPALES ANEO B. LISTA DE COMPROBACIÓN Y REQUISITOS ANEO C. GLOSARIO DE TÉRMINOS Y ABREVIATURAS ANEO D. REFERENCIAS FIGURAS FIGURA 1.- ESTRATEGIA Y METODOLOGÍA DE SEGURIDAD DE APLICACIONES WEB...11 Centro Criptológico Nacional iii5 1. INTRODUCCIÓN 1. Dada la criticidad tanto de los entornos de producción como de los dispositivos embebidos, se hace necesario establecer una metodología que permita evaluar y reforzar la seguridad de los entornos y aplicaciones Web asociados a éstos. 2. Desde el punto de vista de la seguridad, todos los elementos que conforman el entorno o aplicación Web descritos en el punto previo deben ser tenidos en cuenta a la hora de evaluar y diseñar los mecanismos de protección. 3. El presente documento establece unas pautas de carácter general enfocadas a las características propias de las aplicaciones y servicios web para establecer una política de seguridad en dichos sistemas teniendo en cuenta los requerimientos establecidos en el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. Se espera que cada organización las particularice para adaptarlas a su entorno singular. 2. OBJETO 4. Actuar como guía de referencia en la identificación y el análisis de los requisitos de seguridad asociados a las aplicaciones y entornos Web en el ámbito del Esquema Nacional de Seguridad, con el objetivo de reducir las posibles amenazas de seguridad asociadas a estos entornos y aplicaciones durante su diseño y antes de su paso a producción. 5. Existen dos procedimientos para mejorar la seguridad de las aplicaciones y entornos Web: Durante el proceso de diseño y desarrollo de la aplicación, estableciendo unos requisitos y verificaciones de seguridad que debe cumplir toda aplicación Web. Posteriormente, tras la puesta en producción, realizando el análisis de la aplicación Web mediante auditorías de seguridad, análisis de vulnerabilidades y pruebas de intrusión. 6. El objetivo del presente documento es proporcionar la información necesaria para la aplicación de ambos procedimientos, incluyendo una lista de recomendaciones que deberían ser aplicadas durante las fases de diseño, desarrollo y auditoría de la aplicación Web, dependiendo de la categoría del sistema. 7. Adicionalmente, la presente guía define los requisitos necesarios para la realización de auditorías de entornos Web por terceros, con el objetivo de obtener unos resultados que sean un reflejo completo de la seguridad de los servicios Web prestados, los resultados sean relevantes desde el punto de vista práctico, y la información obtenida se trate con la reserva oportuna. Centro Criptológico Nacional 46 8. Adicionalmente a la información contenida en la presente guía, en el proceso de contratación de una aplicación Web a un tercero, es necesario fijar una serie de requisitos, dentro de los cuales se encuentran los de seguridad. Esta guía pretende ofrecer recomendaciones para el establecimiento y elaboración detallada de esos requisitos mínimos, y se complementa con la guía de OWASP centrada en los contenidos propios de un contrato de estas características, y denominada Secure Software Contract Annex [Ref.- 17]. 3. ALCANCE 9. Dar cumplimiento con lo establecido por el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad, y más específicamente en lo relativo a las medidas de protección mp.s.2, mp.s.8 y mp.s SEGURIDAD DE ENTORNOS Y APLICACIONES WEB 4.1. RIESGOS Y AMENAZAS DE SEGURIDAD EN ENTORNOS WEB 10. La seguridad en el proceso de diseño y desarrollo de una aplicación Web debe abordar principalmente dos elementos: El entorno de desarrollo Web, en el que se deberá disponer de la última versión que soluciona vulnerabilidades de seguridad previas y conocidas. La aplicación Web propietaria, código propio, basada en el lenguaje de programación empleado. 11. Las grandes amenazas de seguridad de las aplicaciones Web están asociadas a las siguientes características intrínsecas a este tipo de entornos: Las aplicaciones Web en Internet están públicamente disponibles. La ubicuidad de las aplicaciones Web es muy elevada, ya que están disponibles en prácticamente cualquier entorno de computación. Las aplicaciones Web estándar utilizan el puerto TCP/80 (HTTP) y las que emplean cifrado mediante SSL (Secure Socker Layer) o TLS (Transport Layer Security) emplean el puerto TCP/443 (HTTPS). Por tanto, los firewalls tradicionales de manera general deben dejar pasar el tráfico hacia estos puertos, y son de poca utilidad en el filtrado de ataques directos sobre la aplicación Web. HTTP es un protocolo complejo que permite recibir datos del usuario (en la URL mediante el método GET, en el cuerpo de la petición mediante el método POST, mediante métodos HTTP más avanzados, a través de cookies, mediante cabeceras HTTP, etc) para su procesamiento. Centro Criptológico Nacional 57 Las técnicas y herramientas de ataque necesarias para explotar vulnerabilidades en los entornos Web son muy sencillas, siendo en algunos casos más que suficiente el uso exclusivo de un navegador Web estándar. Los ataques desde Internet sobre las aplicaciones Web disponibles públicamente conllevan un anonimato muy elevado por parte del atacante. Este anonimato se incrementa notablemente cuando el atacante emplea dispositivos intermedios (proxies anónimos) para ocultar su origen real. La mayoría de aplicaciones Web tienen carácter propietario y han sido desarrolladas internamente o mediante la solicitud de este servicio a una tercera compañía. Por estos motivos, es muy probable que la aplicación no haya pasado los controles y verificaciones de seguridad pertinentes para detectar posibles vulnerabilidades de seguridad. Las capacidades de autentificación y mantenimiento de sesiones en HTTP son muy limitadas, motivo por el que es necesario mediante software proporcionar un sistema de autentificación y de gestión de sesiones robusto. El desarrollo de este sistema puede introducir nuevas vulnerabilidades de seguridad dada su complejidad. 12. Adicionalmente a los diferentes elementos que forman parte de una arquitectura Web, existen otros elementos que son potenciales objetivos para los atacantes, tales como el tráfico Web intercambiado entre clientes y servidores, y la posibilidad de realizar ataques de denegación de servicio (DoS), afectando la disponibilidad del entorno. 13. Las vulnerabilidades de seguridad más comunes y relevantes en aplicaciones Web en los últimos años son: SS, Cross-Site Scripting CSRF, Cross-Site Request Forgery Inyección SQL Otros ataques de inyección, sobre Path (el lenguaje de consulta de información en repositorios de ML) y LDAP (servicio de directorio) Publicación de información sensible HTTP Response Splitting Path traversal Cada una de estas vulnerabilidades y sus ataques asociados se describe en detalle posteriormente en esta guía. Centro Criptológico Nacional 68 4.2. INCIDENTES DE SEGURIDAD EN ENTORNOS WEB 14. Diariamente se producen numerosos incidentes de seguridad sobre entornos y aplicaciones Web. Los incidentes de mayor relevancia son publicados mediante la WHID, Web Hacking Incidents Database, de WASC [Ref- 2]. 15. Esta base de datos recoge los detalles sobre incidentes y ataques reales sobre entornos y aplicaciones Web, e identifica cada uno de ellos de forma unívoca con un código que refleja el año en el que se produjo el incidente, y el número de incidente dentro de ese año, como por ejemplo, WHID Se recomienda su consulta para disponer de una visión real y actualizada sobre los ataques e incidentes de seguridad que se están llevando a cabo en entornos Web. 17. Existe una base de datos similar, SSed.com [Ref.- 14], dónde se publican frecuentemente incidentes asociados únicamente a vulnerabilidades de SS, Cross- Site Scripting, en entornos y aplicaciones Web reales. 18. Uno de los objetivos fundamentales de todo responsable de seguridad de un entorno Web debe ser el evitar aparecer en estas bases de datos de incidentes, dónde se reflejaría el entorno Web o dominio bajo su responsabilidad como vulnerable. 19. En los últimos años los incidentes de seguridad sobre aplicaciones Web tienen una relación directa con la distribución de software malicioso (malware) y la creación de complejas infraestructuras para la realización de ataques en Internet, como botnets [Ref.- 3]. 20. En el caso de identificar un incidente de seguridad en un entorno Web, uno de los recursos de mayor relevancia es el CCN-CERT. Según el artículo 36 del RD 3/2010, el Centro Criptológico Nacional (CCN) articulará la respuesta a los incidentes de seguridad en torno a la estructura denominada CCN-CERT (Centro Criptológico Nacional-Computer Emergency Reaction Team), que actuará sin perjuicio de las capacidades de respuesta a incidentes de seguridad que pueda tener cada administración pública y de la función de coordinación a nivel nacional e internacional del CCN. 21. La finalidad principal del CCN-CERT es contribuir a la mejora del nivel de seguridad de los sistemas de información en las administraciones públicas de España. La comunidad a la que presta servicio el CCN-CERT está constituida por el conjunto de organismos de la Administración: Administración General, Autonómica y Local. 22. El registro en el portal del CCN-CERT [Ref.- 1], permite disponer de acceso a los múltiples recursos de seguridad publicados, así como a las directrices para reportar incidentes al CCN-CERT. 23. Es recomendable disponer de una serie de pautas para la implantación de una capacidad de respuesta ante incidentes informáticos, definiendo procedimientos de actuación e identificando responsabilidades para resolver en el menor tiempo posible y del modo más efectivo el incidente. Para cumplir con este objetivo se recomienda la lectura de las siguientes guías CCN: Centro Criptológico Nacional 79 CCN-STIC-810 Creación de CERTs [Ref.- 6] CCN-STIC-817 Gestión Incidentes de Seguridad en el ENS [Ref.- 7] 4.3. VULNERABILIDADES DE SEGURIDAD EN ENTORNOS WEB 24. Desde el punto de vista de las vulnerabilidades de seguridad, diariamente se publican numerosos fallos de seguridad en productos y aplicaciones Web. 25. Se recomienda consultar de forma periódica las bases de datos de vulnerabilidades para estar al día sobre los últimos ataques, incidentes y vulnerabilidades sobre entornos Web y su impacto. Las fuentes recomendadas con información detallada respecto a vulnerabilidades de seguridad son CCN-CERT [Ref.- 1], SecurityFocus [Ref.- 4] y SANS [Ref.- 5]. 26. Las vulnerabilidades Web más relevantes son: Cross-Site Scripting (SS): la aplicación Web envía los datos proporcionados por el usuario al navegador Web sin realizar ninguna validación o codificación del contenido. Este ataque permite a un atacante ejecutar código (scripts) en el navegador de la víctima: robo de sesiones, modificación de los contenidos de la Web y su configuración. Ataques de inyección: los datos proporcionados por el usuario se envían a un intérprete como parte de un comando o consulta. El ejemplo más conocido es la inyección SQL en bases de datos. El atacante puede ejecutar código dañino y modificar datos a través del intérprete atacado: SQL, Path, LDAP, etc. Ejecución de ficheros y código malicioso: el código vulnerable a la inclusión de ficheros remotos (o código remoto), Remote File Inclusion (RFI), permite a un atacante incluir código y datos dañinos en la aplicación Web. El resultado permite tener control completo del servidor Web. Este ataque afecta a cualquier entorno de desarrollo (eg. PHP) que acepte ficheros o nombres de ficheros de los usuarios. Referencias directas a objetos inseguras: una referencia directa a un objeto ocurre si el desarrollador expone un objeto interno de la implementación (fichero, directorio, registro de la BD, clave ) en forma de URL o de parámetro de un formulario. Un atacante puede manipular estas referencias para acceder a otros objetos sin autorización. Cross Site Request Forgery (CSRF): los ataques CSRF fuerzan al navegador de la víctima a enviar peticiones pre-autentificadas a una aplicación Web vulnerable. La petición obliga al navegador de la víctima a realizar acciones hostiles no deseadas en beneficio del atacante sobre una sesión previamente establecida. Los límites de este ataque están en el tipo de aplicación Web atacada. Centro Criptológico Nacional 810 Filtrado de información y gestión incorrecta de errores: las aplicaciones Web pueden revelar información sobre su configuración, detalles internos de implementación o violar la privacidad de los datos, de forma no intencionada. El atacante emplea esta debilidad para obtener información sensible o realizar ataques más avanzados. Autentificación y gestión de sesiones: las credenciales de acceso y los tokens (o identificadores) de sesión no son protegidos adecuadamente. Un atacante puede comprometer claves, secretos e identificadores de autentificación y robar la identidad de otros usuarios. Almacenamiento criptográfico inseguro: la aplicación Web no utiliza funciones criptográficas adecuadamente para proteger los datos y las credenciales empleadas. Un atacante puede usar los datos no protegidos para robar la identidad de otros usuarios y realizar otros ataques, como fraude con tarjetas de crédito. Comunicaciones inseguras: la aplicación Web no cifra el tráfico de red correctamente cuando es necesario proteger datos y comunicaciones sensibles. Fallo al restringir el acceso a URLs: la aplicación Web sólo protege la funcionalidad sensible no mostrando enlaces o URLs a usuarios no autorizados. Un atacante puede usar esta debilidad para acceder directamente de forma no autorizada a esas URLs ESTRATEGIA Y METODOLOGÍA DE SEGURIDAD DE APLICACIONES WEB 27. La estrategia y metodología de seguridad de aplicaciones Web está formada por numerosos componentes que se complementan entre sí. Este apartado detalla los aspectos fundamentales a considerar para el diseño, desarrollo, mantenimiento y evaluación de la seguridad en entornos Web. 28. Los elementos de seguridad principales de un entorno o aplicación Web deben incluir: Formación en seguridad de aplicaciones Web Arquitectura e infraestructura (sistemas y redes) segura Metodología de seguridad de desarrollo de aplicaciones Web Metodología de análisis de seguridad de aplicaciones Web 29. La estrategia y metodología de seguridad debe incluir adicionalmente los siguientes componentes: Formación en seguridad Centro Criptológico Nacional 911 Instalación y configuración segura de sistemas y redes (arquitectura) - Actualizaciones: servidor Web y de aplicación, framework, etc Desarrollo de software seguro - Gestión de versiones y actualizaciones Web Application Firewalls (WAF) Auditorías de seguridad - Caja negra: pruebas de intrusión y Web Application Security Scanners (WASS) - Caja blanca: revisión de código manual y automático Respuesta ante incidentes 30. Para alcanzar un nivel de seguridad adecuado en el entorno o aplicación Web es necesario involucrar tanto a administradores como a desarrolladores. No es posible proporcionar un entorno Web seguro sin la colaboración de ambos grupos. 31. La formación de seguridad debe centrarse en proporcionar un conocimiento adecuado a administradores y desarrolladores respecto a las vulnerabilidades y amenazas de seguridad en entornos Web, los diferentes tipos de ataques existentes y los mecanismos de defensa asociados, preferiblemente mediante ejemplos prácticos. El objetivo es disponer del conocimiento para construir una infraestructura y aplicación Web más seguros. Centro Criptológico Nacional 1012 FIGURA 1.- Estrategia y metodología de seguridad de aplicaciones web NOTA: dentro de las diferentes fases de la estrategia de seguridad de aplicaciones Web, algunas tareas están más asociadas a los administradores (A) y otras a los desarrolladores (D). Los círculos de la figura que contienen las letras A y D denotan el grupo principal al que se asocia cada tarea. 32. Entre otros, los servidores Web de una organización puede incluir: Servidor Web corporativo principal y públicamente disponible en Internet Servidores Web para terceros (socios, proveedores, clientes, etc) públicamente disponibles en Internet o desde Extranets Los numerosos servidores Web internos, accesibles sólo desde la red interna de la compañía o Intranet Servidores Web de aplicaciones comerciales: Citrix, SharePoint, VNC, etc Servidores Web de administración y revisión de logs Servidores Web de los dispositivos embebidos Centro Criptológico Nacional 1113 4.5. ARQUITECTURAS DE SEGURIDAD EN ENTORNOS WEB 33. Existen fundamentalmente dos modelos de arquitectura de aplicaciones Web: En dos capas: donde el servidor Web y de aplicación conviven en el mismo sistema. En tres capas: donde cada elemento (servidor Web, servidor de aplicación y servidor de base de datos) corresponde a un sistema independiente. 34. Desde el punto de vista de la seguridad, el modelo en tres capas en preferible ya que ofrece separación entre los distintos componentes y un mayor aislamiento frente a incidentes de seguridad en cualquiera de los elementos. 35. Adicionalmente, la arquitectura de tres capas, aunque más compleja, ofrece: Mayor escalabilidad para poder gestionar un mayor número de peticiones y usuarios de la aplicación. La posibilidad de introducir controles de acceso avanzados, como filtrado del tráfico, y elementos avanzados de monitorización, como sistemas de detección de intrusos, entre cualesquiera elementos de la arquitectura. Permite aplicar una securización más estricta sobre cada uno de los componentes, ya que cada uno tiene asignada una funcionalidad y tareas claramente definidas. 36. A la hora de diseñar una aplicación Web es necesario tener en cuenta múltiples factores: arquitectura, desarrollo de la aplicación y mecanismos de auditoría. 37. La arquitectura de la aplicación Web debe disponer de mecanismos de detección y protección a nivel de red, incluyendo elementos de seguridad tradicionales como cortafuegos o sistemas de detección de intrusos. 38. Se recomienda seguir las pautas reflejadas en las siguientes guías CCN para este tipo de elementos de seguridad perimetrales: CCN-STIC-661 Seguridad en Firewalls de Aplicación [Ref.- 8] CCN-STIC-408 Seguridad Perimetral Cortafuegos [Ref.- 10] CCN-STIC-432 Seguridad Perimetral IDS [Ref.- 11] 39. Uno de los elementos principales empleados en la protección de entornos ya aplicaciones Web son los cortafuegos (firewalls) de aplicaciones Web, también conocidos como WAF, Web Application Firewall. Centro Criptológico Nacional 1214 40. Es necesario de disponer de dispositivos dedicados exclusivamente a la inspección y filtrado del tráfico Web, es decir, el protocolo HTTP (o HTTPS), ya que los cortafuegos tradicionales no disponen de capacidades avanzadas para analizar y bloquear los ataques recibidos a través de este protocolo. 41. Los WAF típicamente se sitúan desde el punto de vista de la arquitectura de red delante del servidor Web, con el objetivo de monitorizar y filtrar todas las peticiones maliciosas recibidas por la aplicación Web. 42. En arquitecturas Web de tres capas (servidor Web, servidor de aplicación y base de datos), existe la posibilidad de emplear WAF dedicados entre cada una de las capas. 43. Los WAF más conocidos y ampliamente utilizados sin carácter comercial son: mod_security (Apache) [Ref.- 15] URLScan/Lockdown (Microsoft IIS) [Ref.- 16] 44. Algunos de los WAF más conocidos en el ámbito comercial son AppShield, InterDo, SecureSphere, F5, DenyAll, SecureIIS, Microsoft ISA, Profense, etc 45. Entre los criterios de evaluación de WAF más comunes se encuentran: Modo de operación: bridge, router, proxy inverso, plug-in del servidor Web, etc Gestión de SSL: terminador, capacidades de descifrado o no puede inspeccionarlo Técnicas de bloqueo de tráfico Tipo de solución (appliance o software) Capacidades de reescritura de peticiones Web Mecanismos de alta disponibilidad y rendimiento de la solución Soporte de otros protocolos distintos a HTTP Soporte de métodos de HTTP y extensiones (como WebDav) Detección de ataques mediante firmas y técnicas de normalización Protección frente a ataques de fuerza bruta, cookies, sesiones, campos HTML ocultos, parámetros, etc Logging, notificación de alertas, informes, interfaz de gestión,, etc 46. En el caso de ser necesario asegurar la confidencialidad de las comunicaciones Web, es necesario hacer uso de la versión segura del protocolo, HTTPS. Centro Criptológico Nacional 1315 47. HTTPS utiliza SSL (Secure Socket Layer) o TLS (Transport Layer Security) para cifrar las comunicaciones entre el navegador Web y el servidor Web. 48. Se recomienda la utilización de SSL versión 3 (no las versiones previas del protocolo) o el protocolo que lo sustituye, TLS versión Adicionalmente a los elementos de seguridad propios de un entorno Web, es necesario proteger todos los elementos de la infraestructura en la que reside la aplicación Web, tales como dispositivos de comunicaciones (routers, switches, etc) o la infraestructura de servidores de nombres (DNS). 50. Las mejores prácticas de seguridad para cada uno de los elementos que conforman el entorno Web no pueden ser detalladas específicamente en la presente guía con el objetivo de limitar su alcance. Es recomendable seguir las pautas reflejadas en las siguientes guías CCN para reforzar la seguridad de todos estos elementos: CCN-STIC-5xx Conjunto de guías de seguridad de Windows [Ref.- 12] CCN-STIC-6xx Conjunto de guías de seguridad de entornos Unix (HP-U, Solaris, Linux, etc), base de datos Oracle, equipos de comunicaciones (routers, switches, etc), servidor DNS, servidor Web Apache y Oracle Application Server (OAS) [Ref.- 13] 51. Los mecanismos de protección a implementar deben proteger los diferentes equipos frente a: Ataques directos, tales como accesos no autorizados sobre cualquiera de los elementos que conforman el entorno o aplicación Web. Ataques indirectos, dónde cualquiera de los elementos es empleado como herramienta en el ataque. Por ejemplo, un ataque sobre los servidores de DNS podría permitir redireccionar el tráfico de los clientes Web hacia un entorno malicioso que suplante la aplicación Web real. Ataques de denegación de servicio (DoS). Las arquitecturas Web están basadas en tecnologías TCP/IP y por tanto son vulnerables a los ataques de DoS comunes en TCP/IP. Es necesario disponer de contramedidas técnicas y procedimientos de actuación frente a este tipo de ataques. 52. Se deberán aplicar los últimos parches de seguridad en cada uno de los elementos software que forman parte de la plataforma de la aplicación Web: software de los dispositivos de red y firewalls, sistema operativo de los servidores (Web, aplicación, y base de datos), y software de la plataforma de desarrollo empleada (PHP, ASP, Java, etc). 53. Desde el punto de vista de la infraestructura Web, se debe disponer de una análisis detallado del usuario, grupo, permisos y derechos con los que ejecutarán cada uno de los componentes de la aplicación Web, como por ejemplo, los procesos del servidor Web o de aplicación. Este análisis permitirá aplicar todos los mecanismos de autorización necesarios. Centro Criptológico Nacional 1416 54. Adicionalmente, se debe disponer de un análisis detallado de las credenciales con las que unos componentes podrán acceder y obtener información de otros componentes. Por ejemplo, cuáles son las credenciales y permisos de acceso del servidor de aplicación a la base de datos? 4.6. DESARROLLO SEGURO DEL SOFTWARE DE APLICACIONES WEB 55. El elemento fundamental en la metodología de seguridad de desarrollo de software de aplicaciones Web pasa por incluir todos los aspectos de seguridad en el ciclo de vida de desarrollo de software (SDLC, Software Development Life Cycle). 56. Las aplicaciones Web raramente son gestionadas con un sistema exhaustivo de control de versiones que permita controlar en todo momento cual es la versión existente en producción, tal y como ocurre con otro tipo de software. 57. Debido al dinamismo y la demanda de nueva funcionalidad en este tipo de aplicaciones, nuevo código y contenidos son añadidos a la aplicación Web en tiempo real sin realizar un control detallado de los cambios RECOMENDACIONES GENERALES 58. De forma general, se recomienda el uso del método GET de HTTP sólo para la consulta de información, y el método POST para el intercambio y envío de información por parte de los clientes Web a la aplicación Web. 59. Las cabeceras HTTP pueden ser manipuladas fácilmente por un atacante y no deben emplearse como método de validación o de envío de información. 60. Todos los mecanismos de interacción entre los distintos componentes del entorno Web (servidor Web, de aplicación y base de datos) deben realizarse de forma segura. Las comunicaciones entre estos elementos deberán estar cifradas, autentificadas y asegurarse su integridad. 61. El almacenamiento de información sensible, tanto propia de la lógica de la aplicación como las credenciales de acceso, debe de almacenarse cifrada en todos los servidores, y especialmente en el de base de datos FILTRADO DE DATOS DE ENTRADA DEL USUARIO 62. Es necesario ser consistente en la aplicación de los mecanismos de seguridad, como por ejemplo el filtrado de datos enviados por el usuario. Centro Criptológico Nacional 1517 63. Algunos de los ataques Web mencionados, como por ejemplo SS o inyección SQL, pueden ser mitigados filtrando los datos maliciosos (código HTML y scripts, o sentencias SQL, respectivamente) en la entrada de la aplicación, en la salida, o en ambas. Se recomienda, aplicando criterios de defensa en profundidad, aplicar los mecanismos de filtrado tanto en la entrada como en la salida. 64. Los datos de entrada proporcionados por el usuario (o atacante) deben ser considerados dañinos por naturaleza, por ello es necesaria su verificación y análisis antes de ser procesados por la aplicación. 65. Existen dos modelos para el filtrado de datos de entrada: Eliminar los caracteres maliciosos y permitir el resto. Permitir sólo los caracteres válidos para cada entrada en la aplicación. Desde el punto de vista de la seguridad, el segundo modelo es el más restrictivo y recomendado, aunque no siempre puede ser aplicado al desconocerse el conjunto total de caracteres válidos. 66. Se recomienda establecer una única librería de código que contemple toda la funcionalidad necesaria para filtrar cualquier entrada del usuario. Toda entrada recibida por parte del usuario debe ser procesada y filtrada por esta librería, independientemente del método empleado: variables en métodos GET o POST, cookies, cabeceras HTTP (Referer, User-Agent, etc), etc 67. La disponibilidad de una única librería central permite aplicar de forma homogénea los mismos mecanismos de filtrado en cualquier parte del código de la aplicación. Para ello sólo hace falta invocar desde código a la función correspondiente de la librería. 68. Asimismo, la existencia de una única librería central simplifica el mantenimiento y las actualizaciones de los mecanismos de filtrado en la totalidad de la aplicación Web. 69. Los mecanismos de filtrado de la entrada del usuario permiten mitigar ataques como SS, inyección SQL, desplazamiento por directorios, referencias directas a ficheros, ejecución de comandos del sistema operativo o HTTP Response Splitting. A continuación se analiza en detalle las recomendaciones de seguridad en el código de la aplicación para evitar este tipo de ataques. 70. La librería debería proporcionar funciones para filtrar la entrada del usuario según: El tipo de datos: debería haber funciones sólo para letras, números, caracteres alfanuméricos, así como otros tipos de datos más concretos como fechas, DNI, números de teléfono, etc. Funciones de filtrado frente a ataques de SS: Centro Criptológico Nacional 1618 - Se deben filtrar cualquier contenido recibido por el usuario que tenga validez en el lenguaje HTML, es decir, etiquetas (o tags HTML) de representación de objetos, como por ejemplo: <script>, <img>, <a href= >, <object>, <iframe>, etc. - Adicionalmente y de manera general si es posible, se recomienda filtrar los caracteres para la creación de etiquetas HTML, < y >, y sus múltiples representaciones: < y >, %60 y %62, < y >, junto a otros caracteres propios de código de scripts: = ( ) ; &. - Los ataques de SS no se centran únicamente en la inyección de la etiqueta <script>, sino que hacen uso de muchos otros elementos para referenciar scripts remotos mediante etiquetas HTML qué permiten referenciar otras fuentes, src= (source). - Se recomienda filtrar no sólo la entrada del usuario, sino también la salida de la aplicación, para eliminar aquellos contenidos no deseados de la misma, como por ejemplo scripts o iframes qué referencian sitios Web remotos. Funciones de filtrado frente a ataques de inyección SQL: el filtrado depende en gran medida del tipo de base de datos empleada. - Se debe filtrar el envío de caracteres especiales para la base de datos y palabras SQL reservadas, como comentarios (--, #, /* o */), ; (fin de consulta SQL), caracteres comodín (*, %, o _), concatenación (+ o ), u operadores SQL: OR, TRUE, 1=1, SELECT, JOIN, UPDATE, INNER, INSERT, PRINT, waitfor delay xx, etc. - Adicionalmente es necesario filtrar todas las representaciones de los caracteres especiales. Por ejemplo, la es igual a %27 o el = es %3D. Asimismo, deben traducirse las funciones propias de la base de datos, como la función CHAR(). Por ejemplo, CHAR(77) es igual al carácter M (valor ASCII decimal: 77). - Criterios de filtrado similares deben aplicarse a la inyección de comandos en otros lenguajes de consulta, como por ejemplo LDAP, con sus operadores asociados: AND (&), OR ( ), NOT (!), <=, >=, = y ~= y el carácter comodín (*). - Otro de los lenguajes de consulta comúnmente empleados en la actualidad en servicios Web es Path, que permite la consulta de repositorios de datos en ML. Centro Criptológico Nacional 1719 - Una de las técnicas recomendadas para evitar la inyección SQL es la utilización de procedimientos almacenados, donde la entrada del usuario se convierte en parámetros específicos del procedimiento. Deben filtrarse los parámetros correctamente y no emplear SQL dinámico en el procedimiento almacenado para evitar ataques de inyección. Funciones de filtrado frente al desplazamiento por directorios: - Se deben filtrar referencias relativas a los directorios padre, como.. y todas sus representaciones (Unicode: %c0%af, %c1%9c, %255c,, etc), o referencias absolutas a directorios mediante / o \. - Ejemplo de funciones vulnerables: fopen() en PHP. Funciones de filtrado frente a referencias directas a ficheros (locales o remotas): - Debe limitarse el acceso a ficheros o recursos en URLs (es decir, remotos) como si fueran ficheros o recursos locales. - Ejemplo de funciones vulnerables: include() en PHP. Funciones de filtrado frente a ejecución de comandos del sistema operativo: - Debe limitarse el envío de caracteres especiales para el sistema operativo, como por ejemplo ;, >, <,, etc. - Ejemplo de funciones vulnerables: exec(), shell_exec(), system(), o passthru() en PHP. Funciones de filtrado frente a HTTP Response Splitting: - Se deben filtrar los caracteres de fin de línea que podrían permitir añadir cabeceras HTTP adicionales o inyectar datos en la cabecera, tales como \r, \n o ambas: \r: CR carriage return \n: LF line feed Una opción común a cualquier función de filtrado en el caso de no disponer de funciones asociadas en el lenguaje o entorno de desarrollo empleados es aplicar filtros mediante expresiones regulares. Adicionalmente debe realizarse el filtrado de los datos de entrada frente a ataques más tradicionales, como por ejemplo desbordamientos de buffer. Para ello es necesario fijar y comprobar la longitud de los datos de entrada. Centro Criptológico Nacional 1820 71. El filtrado de los datos de entrada del usuario se debería realizar tanto en el cliente como en el servidor, de nuevo, aplicando criterios de defensa en profundidad. En caso de ser necesario un único nivel de validación, por ejemplo por motivos de rendimiento, este siempre se llevará a cabo en el servidor, ya que la validación en el cliente puede ser fácilmente manipulada por parte del atacante. 72. Dado que es posible representar los datos de entrada a las aplicaciones Web de múltiples formas, como por ejemplo ASCII, codificación de la URL en hexadecimal (mediante el código % del carácter a representar), en Unicode, etc, existen ataques que pretenden evadir los filtros empleando diferentes técnicas de codificación. Por ejemplo, la herramienta nikto implementa múltiples técnicas de evasión de sistemas de detección de intrusos en el tráfico Web que genera. 73. Previo a la verificación y filtrado de los datos de usuario, se recomienda realizar una normalización de los mismos, en ese orden: primero se debe normalizar y posteriormente filtrar. El objetivo de la normalización es convertir los datos en un lenguaje común, en concreto, el empleado por los filtros, independientemente de cómo los haya codificado el usuario o atacante MENSAJES DE ERROR Y OTROS CONTENIDOS 74. El entorno Web debe considerar una gestión de errores adecuada, minimizando la cantidad de información que se proporciona al usuario o atacante. 75. La información contenida en los errores puede ser empleada durante el reconocimiento del entorno, y proporcionar información del software y las versiones empleadas, información del sistema de ficheros y detalles de dónde se encuentran ubicados los recursos empleados por la aplicación Web. Adicionalmente puede contener información más detallada de la base de datos que puede ser empleada por un atacante para ejecutar ataques de inyección de código más efectivos. 76. Es necesario en todo momento capturar las condiciones de error y mostrar mensajes de error personalizados con la mínima cantidad de información posible. No se recomienda mostrar directamente los mensajes de error detallados generados por el servidor Web, el servidor de aplicaciones o la base de datos. 77. La gestión de errores debe aplicarse tanto en los accesos a contenidos estáticos como dinámicos, tras la ejecución de código y scripts. 78. Con el objetivo de minimizar la cantidad de información disponible a través de la aplicación Web, se recomienda no disponer del código fuente de la aplicación en el entorno de producción, así como eliminar todos los recursos existentes por defecto en el software empleado. 79. No debe existir ningún tipo de información confidencial en los datos proporcionados al usuario, tal como campos ocultos en documentos HTML o claves de la aplicación, en los documentos enviados a los clientes Web. Si en algún caso es necesario enviar algún campo sensible hacia el cliente Web, este campo debería estar cifrado, expirar tras cierto tiempo y no ser reutilizable. Centro Criptológico Nacional 19 Mostrar más
Web : Ataque y Defensa. Claudio Salazar Estudiante Ing. Civil Informática UTFSM Pinguinux Team Temario 1. Introducción 2. Cross Site Scripting (XSS) 3. Inyección SQL 4. Nuestro código en el servidor 5. Más detalles AUDITORÍAS TÉCNICAS PARA LA CERTIFICACIÓN DE LOS SISTEMAS DE RECOGIDA DE INICIATIVAS CIUDADANAS EUROPEAS
AUDITORÍAS TÉCNICAS PARA LA CERTIFICACIÓN DE LOS SISTEMAS DE RECOGIDA DE INICIATIVAS CIUDADANAS EUROPEAS Las auditorias técnicas según el Reglamento 211/2011 de la Unión Europea y según el Reglamento de Más detalles Capítulo 2.- Vulnerabilidades en aplicaciones web.
Capítulo 2.- Vulnerabilidades en aplicaciones web. En este capítulo se explican algunas vulnerabilidades en aplicaciones web que pueden ser explotadas por software o por personas malintencionadas y como Más detalles Suplemento informativo: aclaración del requisito 6.6 sobre revisiones de códigos y firewalls de aplicaciones
Servicios de Seguridad de la Información Las siguientes actuaciones son medidas dirigidas a garantizar la Confidencialidad, Privacidad y Disponibilidad de los Servicios de la Información y que podemos Más detalles Seguridad en Aplicaciones Web
Seguridad en Aplicaciones Web Leandro Meiners lmeiners@cybsec cybsec.comcom Septiembre de 2005 Buenos Aires - ARGENTINA Temario Temario Introducción al Protocolo HTTP: Arquitectura, carácterísticas, autenticación, Más detalles VÍDEO intypedia007es LECCIÓN 7: SEGURIDAD EN APLICACIONES WEB. INTRODUCCIÓN A LAS TÉCNICAS DE INYECCIÓN SQL. AUTOR: Chema Alonso
Catalogo cursos de Seguridad Informática 1. Curso de Desarrollo Web Seguro Tema 1 El entorno Web 1.1 Introducción Introducción Arquitectura Web Problemas de seguridad más habituales: Comprensión de las Más detalles INTRODUCCIÓN A LA SEGURIDAD EN SISTEMAS Y WEBS
INTRODUCCIÓN A LA SEGURIDAD EN SISTEMAS Y WEBS Marco A. Lozano Merino Mayo 2012 Índice 1.Seguridad a nivel de usuario 1.Amenazas y protección 2.La realidad de la seguridad: hackers 3.Seguridad en redes Más detalles Web: Ataque y Defensa. my kung fu is stronger than yours, The lone Gunmen
Web: Ataque y Defensa. my kung fu is stronger than yours, The lone Gunmen Web: Ataque y defensa Introducción. Cross Site Scripting (XSS). SQL Injection. Programador? quien yo?. Ataques NG. Prevención. Más detalles NORMATIVA DE SEGURIDAD DE LAS TECNOLOGÍAS DE INFORMACIÓN Y COMUNICACIONES. ACCIONES DE FORMACIÓN
NORMATIVA DE SEGURIDAD DE LAS TECNOLOGÍAS DE INFORMACIÓN Y COMUNICACIONES. ACCIONES DE FORMACIÓN Centro Criptológico Nacional 1 Palabras clave ITIL, ISO20000, Gestión de Capacidad, Pruebas de prestaciones Más detalles Circular de Tecnología Pautas de seguridad para el desarrollo de aplicaciones Web
ASIT 20070501 CT Pautas de seguridad para aplicaciones web v1 2007-05-16 Documento de Circular de Tecnología Pautas de seguridad para el desarrollo de aplicaciones Web Versión 01 ARCHIVO: ASIT 20070501 Más detalles Informe de Amenazas CCN-CERT IA-02/14. Riesgos de uso de Windows XP tras el fin de soporte
3-ANÁLISIS DE VULNERABILIDADES Es la tercera fase del ciclo de auditoria del tipo Hacking Ético, y tiene como objetivo el identificar si un sistema es débil o susceptible de ser afectado o atacado de alguna Más detalles Sage CRM. 7.2 Guía de autoservicio
Sage CRM 7.2 Guía de autoservicio Copyright 2013 Sage Technologies Limited, editor de este trabajo. Todos los derechos reservados. Quedan prohibidos la copia, el fotocopiado, la reproducción, la traducción, Más detalles Seguridad en Aplicaciones Web
Seguridad en Aplicaciones Web Fabian Portantier Consultor en Seguridad Informática Instructor y Escritor sobre el tema Coordinador de la Carrera de Seguridad www.portantier.com Aplicaciones Web Actuales Más detalles TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799.
TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799. Índice 1 Introducción... 1 2 La Norma UNED-ISO 27002... 2 2.1 Estructura de la norma...3 2.1.1 Más detalles Hacking Ético Web. I Jornadas Tecnológicas CEEPS 27-03-2012 Carlos García García i52gagac@uco.es ciyinet@gmail.com. @ciyinet
Hacking Ético Web I Jornadas Tecnológicas CEEPS 27-03-2012 Carlos García García i52gagac@uco.es ciyinet@gmail.com @ciyinet Índice Introducción OWASP OWASP Top 10 (2010) Demostración ataques Inyección SQL Más detalles Norma de seguridad de datos de la Industria de tarjetas de pago (PCI)
Norma de seguridad de datos de la Industria de tarjetas de pago (PCI) Resumen de los cambios de la a la 3.0 de las PCI DSS (Normas de seguridad de datos de la Industria de tarjetas de pago) Noviembre de Más detalles S E G U R I D A D E N A P L I C A C I O N E S W E B
H E R R A M I E N T A S A V A N Z A DA S D E DE S A R R O L L O D E S O F T W A R E 2 0 0 7-2 0 0 8 S E G U R I D A D E N A P L I C A C I O N E S W E B X S S Y S Q L I N J E C T I O N G R U P O 2 4 S A Más detalles SEGURIDAD SEGURIDAD. Guía de Comunicación Digital para La Administración General del Estado. Página 1 de 15
Página 1 de 15 REQUISITOS ANTES DE TENER EL SITIO WEB 3 5. 3 5.1 INYECCIÓN DE CÓDIGO 5 5.2. SECUENCIA DE COMANDOS EN SITIOS CRUZADOS (CROSS SITE SCRIPTING XSS) 7 5.3. PÉRDIDA DE AUTENTICACIÓN Y GESTIÓN Más detalles Inseguridad de los sistemas de autenticación en aplicaciones web
Barcelona, 18 de Marzo Inseguridad de los sistemas de autenticación Vicente Aguilera Díaz vaguilera@isecauditors.com Contenido 0. Introducción al sistema de autenticación 2. Medidas de protección 3. Referencias Más detalles Seguridad en Sitios Web de Alto Tráfico. Ing. Enrique Hurtarte Juárez
Seguridad en Sitios Web de Alto Tráfico Ing. Enrique Hurtarte Juárez Guatemala, 24 de Julio de 2014 XumaK Quienes somos XumaK es una empresa que fue fundada en 2003 por Marcos Andres como una de las primeras Más detalles Desarrollo seguro en Drupal. Ezequiel Vázquez De la calle
Sobre mi Estudios Ingeniero Técnico en Informática - UCA Máster en Ingeniería del Software - US Experto en Seguridad de las TIC - US Experiencia Aficiones 3+ años como desarrollador web, casi 2 en Drupal Más detalles Cualificación Profesional ADMINISTRACIÓN DE SERVICIOS DE INTERNET. Nivel 3. Versión 5
LABORATORIO INFORME DE ACCESO REMOTO SEGURO CON PROTECCIÓN WAF WEB APPLICATION FIREWALL SonicWALL SRA 4200 Universidad de Alcalá Departamento de Ciencias de la Computación SonicWALL SRA 4200 SonicWALL Más detalles Ingeniero Técnico en Informática - UCA Máster en Ingeniería del Software - US Máster en Seguridad de las TIC - US
Sobre mi Formación Ingeniero Técnico en Informática - UCA Máster en Ingeniería del Software - US Máster en Seguridad de las TIC - US Experiencia Aficiones 4+ años como desarrollador web, más de 2 en Drupal Más detalles Capítulo 4.- Recomendaciones para un Servidor web y de bases de datos seguro.
Capítulo 4.- Recomendaciones para un Servidor web y de bases de datos seguro. Este capítulo explica las características que un servidor web y de bases de datos seguro debe tener. Esto es esencial para Más detalles Segurinfo NOA 2011. Seguridad en el desarrollo de aplicaciones Web
Segurinfo NOA 2011 Seguridad en el desarrollo de aplicaciones Web Hernán Santiso Gerente de Seguridad de la Información Claro Argentina, Uruguay y Paraguay hsantiso@claro.com.ar Introducción El problema Más detalles Resumen de los protocolos de seguridad del Registro Telemático
Resumen de los protocolos de seguridad del Registro Telemático Página 1 de 8 1 Introducción... 3 2 Criterios de... 4 2.1 Gestión global de la seguridad... 4 2.2 Política de seguridad... 4 2.2.1 Autenticidad... Más detalles mope SEGURIDAD INFORMÁTICA
PÁGINA Nº1 POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN Versión 1.0 MINISTERIO DE OBRAS PÚBLICAS ELABORADO POR: Dirección General de Obras Públicas FECHA: 9/09/2012 REVISADO Más detalles MASTER EN HACKING ÉTICO
MASTER EN HACKING ÉTICO Máster Hacking Ético Titulación Universitaria 1. Descripción: IDO Business School (Iberoamericana de Desarrollo Organizacional), en colaboración con la Universidad Internacional Más detalles Guía de doble autenticación
Guía de doble autenticación Índice Guía doble autenticación 1. Introducción a la Doble Autenticación: Qué es? 4 Ataques a las contraseñas 6 Fuerza bruta 6 Malware 6 Phishing 6 Ataques a servidores 6 2. Más detalles Seguridad Perimetral. Juan Manuel Espinoza Marquez juanmanuel.espinoza@gmail.com CFT San Agustín Linares -2012
Seguretat en xarxes. Tallafocs, IDS, IPS, filtrat de continguts Índice de contenido Seguretat en xarxes. Tallafocs, IDS, IPS, filtrat de continguts...1 Licencia...1 Cortafuegos...1 Sin estado...2 Con estado Más detalles Tecnologías Aplicadas al Dominio "Desarrollo, Adquisición y Mantenimiento de los Sistemas de Información"
Tecnologías Aplicadas al Dominio "Desarrollo, Adquisición y Mantenimiento de los Sistemas de Información" No nos va a pasar nosotros Riesgo en Aplicaciones y Sistemas de Información Malas prácticas de Más detalles CONSEJERÍA DE EMPLEO. Secretaría General Técnica
PLIEGO DE PRESCRIPCIONES TÉCNICAS PARA EL APOYO A LA ADMINISTRACIÓN DE SERVIDORES DE BASE DE DATOS ORACLE Y MÁQUINAS SERVIDORAS CON SISTEMA OPERATIVO UNIX DE LA CONSEJERÍA DE EMPLEO DE LA JUNTA DE ANDALUCÍA Más detalles Cláusula de Exención de Responsabilidad
Cláusula de Exención de Responsabilidad Ámbito y objeto de la web El Ayuntamiento de Huéscar ofrece a través del dominio www.huescar.es información de interés general del municipio, y en particular información Más detalles Servicio de Protección Total Web
Servicio de Protección Total Web Prevención de Fraude Inspecciones de Procesos, Tecnología, Personas y Lugares, Ethical hacking, Concientización y Capacitación en Seguridad Detección de Fraude Ambientes Más detalles Condiciones de uso. Asimismo, de conformidad con todo ello, el Usuario no podrá:
Aviso Legal e información sobre las condiciones de uso del sitio web Datos identificativos del titular del sitio web En cumplimiento del deber de información estipulado en el artículo 10 de la Ley 34/2002 Más detalles Día 23, Hacking ético: Auditoria web y perspectiva desde la Administración Publica
Día 23, Hacking ético: Auditoria web y perspectiva desde la Administración Publica DANIEL FIRVIDA PEREIRA Técnico de seguridad - INTECO-CERT 23 de Noviembre 1º ENCUENTRO NACIONAL DE LA INDUSTRIA DE SEGURIDAD Más detalles Offensive State Auditoría de Aplicaciones Web
FORMACIÓN PRESENCIAL ESPECIALIZADA - SEGURIDAD EN ENTORNOS WEB - AUDITOR DE SEGURIDAD EN ENTORNOS WEB. MODULO I ENTORNO DE DESARROLLO WEB. MYSQL+PHP AUDITOR DE SEGURIDAD EN ENTORNOS WEB. MODULO II - HACKING Más detalles Tema 41.- Medidas de seguridad en conectividad de redes: Cortafuegos, IDS, IPS, filtro de contenidos.
Tema 41.- Medidas de seguridad en conectividad de redes: Cortafuegos, IDS, IPS, filtro de contenidos. Introducción...1 1 Cortafuegos Firewall-... 3 1.1 Políticas de control de acceso... 4 1.2 Órganización Más detalles CI Politécnico Estella
SÍNTESIS DE LA PROGRAMACIÓN DEL MÓDULO/ASIGNATURA DEPARTAMENTO: INFORMÁTICA GRUPO/CURSO: 2º ASIR 2015-2016 MÓDULO/ASIGNATURA: 9 IAWE (Implantación de Aplicaciones Web) PROFESOR: José Ignacio Calvo Pastor Más detalles Haga clic para modificar el estilo de título del patrón Haga clic para modificar el estilo de texto del patrón
texto del DESAFÍOS PARA ALCANZAR EL CUMPLIMIENTO: GUÍA DE IMPLEMENTACIÓN, INTEGRACIÓN DE LA SEGURIDAD EN EL CICLO DE VIDA DEL SOFTWARE, LABORATORIO PCI DSS COMPLIANT. FERMÍN GARDE FERNÁNDEZ RESPONSABLE Más detalles CUALIFICACIÓN CONFECCIÓN Y PUBLICACIÓN DE PÁGINAS WEB PROFESIONAL. Nivel 2. Versión 5 Situación RD 1201/2007 Actualización
Página 1 de 18 CUALIFICACIÓN CONFECCIÓN Y PUBLICACIÓN DE PÁGINAS WEB PROFESIONAL Familia Profesional Informática y Comunicaciones Nivel 2 Código IFC297_2 Versión 5 Situación RD 1201/2007 Actualización Más detalles CI Politécnico Estella
SÍNTESIS PROGRAMACIÓN DEL MÓDULO/ DEPARTAMENTO:INFORMÁTICA GRUPO/CURSO: 2º MR 2014-15 MÓDULO / : SEGU PROFESOR: SARA SANZ LUMBIER 3.- CONTENIDOS: 3.1.- Enumera las Unidades Didácticas o Temas: (precedidos Más detalles PROGRAMA DEL CURSO. SEGURIDAD EN EQUIPOS INFORMATICOS MF0486_3 90 horas MEDIO-AVANZADO DURACION:
PROGRAMA DEL CURSO ACCION: DURACION: NIVEL: SEGURIDAD EN EQUIPOS INFORMATICOS MF0486_3 90 horas MEDIO-AVANZADO OBJETIVOS: CE1.1 Identificar la estructura de un plan de implantación, explicando los contenidos Más detalles TERCERIZACIÓN DE SERVICIOS DE TI. ANEXO 4 - Actividades y niveles de servicio definidos para Primer Nivel de Soporte en Seguridad
TERCERIZACIÓN DE SERVICIOS DE TI ANEXO 4 - Actividades y niveles de servicio definidos para Primer Nivel de Soporte en Seguridad 1. ALCANCE: El Primer Nivel de Soporte en Seguridad atenderá todas las solicitudes Más detalles AVISO LEGAL. Aviso Legal e información sobre las condiciones de uso del sitio web
COLEGIO MADRIGAL SOCIEDAD COOPERATIVA MADRILEÑA Política de Protección de Datos Informe de adaptación del sitio web www.colegiomadrigal.com a: - Ley Orgánica de Protección de Datos de Carácter Personal Más detalles Capítulo VII PLAN DE IMPLEMENTACIÓN DE ALTO NIVEL
Capítulo VII PLAN DE IMPLEMENTACIÓN DE ALTO NIVEL Luego de la identificación de riesgos amenazas y vulnerabilidades se pudo determinar el conjunto de actividades más importantes a ser realizadas por el Más detalles DESCRIPCIÓN DEL PROGRAMA TÉCNICO EN SEGURIDAD INFORMÁTICA
DESCRIPCIÓN DEL PROGRAMA TÉCNICO EN SEGURIDAD INFORMÁTICA La Auditoría de las Tecnologías de la Información y las Comunicaciones adquiere cada vez mayor importancia, debido a la necesidad de garantizar Más detalles Aviso Legal e información sobre las condiciones de uso del sitio web
Aviso Legal e información sobre las condiciones de uso del sitio web Datos identificativos del titular del sitio web En cumplimiento del deber de información estipulado en el artículo 10 de la Ley 34/2002 Más detalles CUALIFICACIÓN PROGRAMACIÓN DE SISTEMAS INFORMÁTICOS PROFESIONAL. Nivel 3. Versión 5 Situación RD 1201/2007 Actualización
Página 1 de 17 CUALIFICACIÓN PROGRAMACIÓN DE SISTEMAS INFORMÁTICOS PROFESIONAL Familia Profesional Informática y Comunicaciones Nivel 3 Código IFC303_3 Versión 5 Situación RD 1201/2007 Actualización Competencia Más detalles Listado de Guías CCN-STIC
MARZO 2015 LIMITACIÓN DE RESPONSABILIDAD El presente documento se proporciona de acuerdo con los términos en él recogidos, rechazando expresamente cualquier tipo de garantía implícita que se pueda encontrar Más detalles (Actos no legislativos) REGLAMENTOS
18.11.2011 Diario Oficial de la Unión Europea L 301/3 II (Actos no legislativos) REGLAMENTOS REGLAMENTO DE EJECUCIÓN (UE) N o 1179/2011 DE LA COMISIÓN de 17 de noviembre de 2011 por el que se establecen Más detalles Administración de servicios Web (MF0495_3)
Ficha de orientación al alumno para su participación en la acción formativa Administración de servicios Web (MF0495_3) A quién está dirigido este Módulo Formativo? Trabajadores ocupados o desempleados Más detalles CONDICIONES TÉCNICAS PARA SERVICIO ILUMINACIÓN ZONAS WIFI PARA CLIENTES CORPORATIVOS. Vicepresidencia de Infraestructura
CONDICIONES TÉCNICAS PARA SERVICIO ILUMINACIÓN ZONAS WIFI PARA CLIENTES CORPORATIVOS Vicepresidencia de Infraestructura Gerencia Planeación Infraestructura y Servicios TABLA DE CONTENIDO 1. OBJETIVO... Más detalles CURSO DE ESQUEMA NACIONAL DE SEGURIDAD
Penetration Test Metodologías & Usos Lic. Luis Ramírez lramirez@cybsec.com 18 de Noviembre de 2009 Asunción, n, Paraguay Agenda Introducción Seguridad Informática en los Sistemas Objetivos, Tipos y Alcances Más detalles Dirección de Infraestructura Tecnológica Dirección Desarrollo de Soluciones Manual de Usuario MANUAL DE USUARIO ACCESO REMOTO NETSCALER V 2.0. Pág.
MANUAL DE USUARIO ACCESO REMOTO NETSCALER V 2.0 Pág. 1 Tabla de contenido Objetivo... 3 Alcance... 3 Definiciones, acrónimos y abreviaciones... 3 Referencias... 4 Descripción... 4 Funcionalidad... 5 Prerrequitos Más detalles www.novell.com/documentation Descripción general ZENworks 11 Support Pack 4 Julio de 2015
www.novell.com/documentation Descripción general ZENworks 11 Support Pack 4 Julio de 2015 Información legal Novell, Inc. no otorga ninguna garantía respecto al contenido y el uso de esta documentación Más detalles Roberto Garcia Amoriz. Iniciándose en XSS. c_b_n_a. Leganés 6-7 Febrero 2014
Roberto Garcia Amoriz Except where otherwise noted, this work is licensed under: http://creativecommons.org/licenses/by-nc-sa/3.0/ c_b_n_a QUIEN SOY Roberto García Amoriz: trabajaba como Administrador Más detalles GUÍA DE SEGURIDAD (CCN-STIC-811) INTERCONEXIÓN EN EL ENS
GUÍA DE SEGURIDAD (CCN-STIC-811) INTERCONEXIÓN EN EL ENS NOVIEMBRE 2012 Edita: Editor y, 2012 NIPO: 076-11-053-3 Tirada: 1000 ejemplares Fecha de Edición: noviembre 2012 Raúl Gámez Gámez, Juan Luis Bergillos Más detalles GUÍA DE SEGURIDAD (CCN-STIC-811) INTERCONEXIÓN EN EL ENS
GUÍA DE SEGURIDAD (CCN-STIC-811) INTERCONEXIÓN EN EL ENS (BORRADOR) SEPTIEMBRE 2011 Edita: Editor y, 2011 NIPO: 076-11-053-3 Tirada: 1000 ejemplares Fecha de Edición: septiembre 2011 Raúl Gámez Gámez, Más detalles Babel Enterprise 2.0. Gestión de la seguridad para entornos corporativos. Area de Sistemas y Seguridad
Babel Enterprise 2.0 Gestión de la seguridad para entornos corporativos Area de Sistemas y Seguridad Qué es Abartia Team? Consultoría tecnológica de Software Libre Especializada en Sistemas y Seguridad, Más detalles NEXT GENERATION FIREWALL
NEXT GENERATION FIREWALL Los modelos NG1000-A y NG5000-A han sido diseñados para proteger servidores de comercio electrónico de alto tráfico, redes universitarias dinámicas o cualquier otro entorno en Más detalles Aspectos prácticos de implementación del Esquema Nacional de Seguridad
Aspectos prácticos de implementación del Esquema Nacional de Seguridad 1 Contenidos Recordatorio rápido de la estructura del ENS Sobre la auditoría de seguridad en el ENS Las guías 800 del Centro Criptológico Más detalles Capítulo 4 Pruebas e implementación de la aplicación CAPÍTULO 4 PRUEBAS E IMPLEMENTACIÓN DE LA APLICACIÓN
CAPÍTULO 4 PRUEBAS E IMPLEMENTACIÓN DE LA APLICACIÓN CONCEPTOS DE PRUEBAS DE APLICACIÓN El departamento de Testing se encarga de diseñar, planear y aplicar el rol de pruebas a los sistemas que el PROVEEDOR Más detalles Seguridad SSL Número: 18 Sección: Artículos.
Seguridad SSL Número: 18 Sección: Artículos. Es un hecho de todos conocido que Internet constituye un canal de comunicaciones inseguro, debido a que la información que circula a través de esta vasta red Más detalles DATOS IDENTIFICATIVOS DEL MÓDULO FORMATIVO IMPLANTACIÓN DE APLICACIONES WEB EN ENTORNO INTERNET, INTRANET Y EXTRANET.
MÓDULO FORMATIVO DATOS IDENTIFICATIVOS DEL MÓDULO FORMATIVO IMPLANTACIÓN DE APLICACIONES WEB EN ENTORNO INTERNET, INTRANET Y EXTRANET. Duración 90 Código MF0493_3 Familia profesional INFORMÁTICA Y COMUNICACIONES Más detalles Seminario de SEGURIDAD WEB. Pedro Villena Fernández www.consultoriainnova.com
Seminario de SEGURIDAD WEB Pedro Villena Fernández www.consultoriainnova.com Algunas cosas antes de empezar... Este seminario NO tiene la intención de piratear otras webs. Los ataques que aprenderemos Más detalles Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas por la CNBS
Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas por la CNBS Julio 2005 Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas Más detalles Javier Rubio Villacé Asesor TIC del Área de Programas Educativos de la Dirección Provincial de Educación de Valladolid
1 Protección, confidencialidad, conservación y seguridad de los datos de carácter académico y educativo Criterios que se están cumpliendo en la actualidad (Situación de partida) + los que deberán cumplirse Más detalles CONTENIDOS MÍNIMOS Y CRITERIOS DE EVALUACIÓN INFORMÁTICA 1º BACHILLERATO
CONTENIDOS MÍNIMOS Y CRITERIOS DE EVALUACIÓN INFORMÁTICA 1º BACHILLERATO Contenidos 1. Internet y redes sociales. -La información y la comunicación como fuentes de comprensión y transformación del entorno Más detalles SIN CLASIFICAR SIN CLASIFICAR
Sistema de Alerta Temprana en Internet SAT / CCN-CERT LIMITACIÓN DE RESPONSABILIDAD El presente documento se proporciona de acuerdo con los términos en él recogidos, rechazando expresamente cualquier tipo Más detalles SEGURIDAD INFORMÁTICA 2º SISTEMAS MICROINFORMÁTICOS Y REDES 1. CONTENIDOS MÍNIMOS PARA LA EVALUACIÓN POSITIVA
2ª evaluación 1ª evaluación DEPARTAMENTO MATERIA CURSO INFORMÁTICA SEGURIDAD INFORMÁTICA 2º SISTEMAS MICROINFORMÁTICOS Y REDES 1. CONTENIDOS MÍNIMOS PARA LA EVALUACIÓN POSITIVA - Conocer las diferencias Más detalles Firewalls, IPtables y Netfilter
Firewalls, IPtables y Netfilter Dastugue, Juan Cristobal, Leandro Temario Políticas de diseño de un Firewall Definición Qué es un Firewall? Es un sistema o conjunto de sistemas, ubicado entre dos redes. Más detalles Auditorías de Seguridad: revisión como método de prevención. Vicente Aguilera Díaz Internet Security Auditors, S.L.
Auditorías de Seguridad: revisión como método de prevención Vicente Aguilera Díaz Internet Security Auditors, S.L. CONTENIDO 1. Protección de la información 2. Auditorías de seguridad 3. Implantación de Más detalles CodeSeeker Un Firewall de Nivel 7 OpenSource
Índice OWASP Proyectos de la OWASP: Desarrollo Documentación oportal VulnXML WAS-XML WebGoat Conceptos de Redes TCP/IP Firewalls Tipos de Firewalls CodeSeeker Funcionalidades actuales Funcionalidades futuras Más detalles SERVICIOS MÓDULOS FUNCIONALIDADES DESCRIPCIÓN
MANUAL Solicitud desde el Cliente de su propio Certificado de propósito Multiple (Correo, Firma Documentos, Usuario, Sellado de Fecha, etc...) El cliente dispondrá de un interfaz completamente personalizado Más detalles Requisitos de control de proveedores externos
Requisitos de control de proveedores externos Ciberseguridad Para proveedores clasificados como de bajo riesgo de ciberdelito 1. Protección de activos y configuración de sistemas Los Datos de Barclays, Más detalles Descripción de servicio. Firewall en Red de Nueva Generación
Descripción de servicio. Firewall en Red de Nueva Generación Interoute, Walbrook Building, 195 Marsh Wall, London, E14 9SG, UK Tel: +800 4683 7681 Email: info@interoute.com 1 Introducción Este documento Más detalles Infraestructura Tecnológica. Sesión 10: Sistemas cortafuego
Infraestructura Tecnológica Sesión 10: Sistemas cortafuego Contextualización Actualmente tendemos a utilizar los sistemas de comunicación en una forma masiva, por lo que no siempre tenemos el cuidado adecuado Más detalles Seguridad (informática) en redes corporativas
Seguridad (informática) en redes corporativas Algunos aspectos de la seguridad informática en departamentos de salud Joan Pau García Úbeda Informática Hospital Lluís Alcanyís Departament Xàtiva-Ontinyent Más detalles Introducción. Objetivo. Implementar un detector de malware con software libre empleando el protocolo Netflow.
1 Objetivo. Implementar un detector de malware con software libre empleando el protocolo Netflow. Descripción del problema. Generalmente las herramientas de seguridad como los antivirus, firewalls, IDS Más detalles White Paper Gestión Dinámica de Riesgos
Guía del empleado seguro INTRODUCCIÓN La seguridad de la información en una empresa es responsabilidad del departamento de IT (tecnologías de la información) o del propio área de Seguridad de la Información Más detalles OBJETIVOS DE APRENDIZAJE
PLAN DE ESTUDIOS: SEGUNDO CICLO ESPECIALIDAD COMPUTACIÓN 4 to AÑO CAMPO DE FORMACIÓN: ESPECIALIZACIÓN ÁREA DE ESPECIALIZACIÓN: EQUIPOS, INSTALACIONES Y SISTEMAS UNIDAD CURRICULAR: ADMINISTRACIÓN DE SISTEMAS Más detalles Requerimiento Tecnológico para acceso a Sistemas del SIAF
Requerimiento Tecnológico para acceso a Sistemas del SIAF Lineamientos de infraestructura tecnológica para la operación de Sistemas Financieros Ver. 3.0 Guatemala, Diciembre de 2008 PAG. 1/7 INDICE ANTECEDENTES...3 Más detalles Técnicas y Procedimientos para la realización de Test de Intrusión
Extrelan 2008 Cáceres. Marzo de 2008 Técnicas y Procedimientos para la realización de Test de Intrusión SG6 Soluciones Globales en Seguridad de la Información http://www.sg6.es INDICE DE CONTENIDOS Primera Más detalles Uso de la plataforma y aceptación de las condiciones de funcionamiento
AVISO LEGAL PLATAFORMA E-CATALUNYA Qué es? e-catalunya es la plataforma promovida por el Gobierno de la Generalitat de Cataluña para grupos de trabajo colaborativo (Comunidades de Práctica, equipos de Más detalles Evolución de la seguridad en aplicaciones de comercio electrónico Dr. Gonzalo Álvarez Marañón
Evolución de la seguridad en aplicaciones de comercio electrónico CSIC Evolución de la seguridad en aplicaciones de comercio electrónico -2- Quién o Investigador en criptografía y criptoanálisis en el Más detalles WHITE PAPER. Cumplimiento de Aranda 360 ENDPOINT SECURITY con la Norma ISO/IEC 27001 (Tecnología de la Información Técnicas de Seguridad)
con la Norma ISO/IEC 27001 (Tecnología de la Información Técnicas de Seguridad) Abril 2008 TABLA DE CONTENIDO INTRODUCCIÓN. 3 ARANDA 360 ENDPOINT SECURITY & LA NORMA ISO / IEC 27001. 4 www.arandasoft.com Más detalles DID (DEFENSE IN DEPTH)

References: artículo 4
 artículo 4
 artículo 9
 Real Decreto 
 artículo 42
 Real Decreto 
 Real Decreto 
 Real Decreto 
 artículo 36
 artículo 10
 artículo 10