WHAT ARE WEB APPLICATION SECURITY RISKS & ATTACKS?

The websites and web applications are mission-critical business systems that must operate without security problems to process corporate confidential information. And to respect data protection rules, companies must consider web application security testing services. There are statistical evidences supported by web application security companies which present that in countries like Mexico, Brazil, United States, Colombia, Costa Rica, Argentina, UAE, and India; two out of three companies face web application security problems & risks.

Web application security testing consultants classify web application security risks by the type of attack. Using the type of attack as a base is the most common method used by many web application security companies. The web application security risk classification is very useful and is of exceptional value to application developers, business executives, security professionals or any other entity interested in website penetration testing. IT professionals working in this field typically learn about IT risk, application layer attacks, website penetration testing, web security via web application security training courses. In countries like Mexico, Brazil, United States, Colombia, Costa Rica, Argentina, UAE, India etc, there are several web application security companies that provide web application security training courses. However business professionals must take that web application security training course that teaches independent methodologies for security review, secure programming guidelines, international standards, website penetration testing, exploiting methods, and application-level attacks.

Below are some of the attacks that affect the web application security:

BRUTE FORCE

Brute Force is an automated trial and error attack, used to guess the values (user, password etc.) of the parameters of the web application/website. Usually people use weak passwords or cryptographic keys that are easy to guess. Hackers exploit this security vulnerability in website using a dictionary. Hackers loop through whole dictionary one by one, searching for the valid password. According to web application security testing services, the brute force attack is very popular and can take hours, weeks or years to complete. With the help of web application security testing companies can easily detect vulnerabilities related to brute force

INCOMPLETE AUTHENTICATION & WEAK VALIDATION

Incomplete authentication is an attack, when a hacker accesses some confidential functionality of an application without complete authentication. In this attack a hacker could discover specific URL of the confidential functionality via brute forcing through common files and directory locations (/admin), error messages etc. Normally, many applications are not secure as they use conventional techniques of web application security testing. In the scenario of weak validation, the attacker can obtain, modify or retrieve data or passwords of other users. This occurs when the information required to validate the identity of users, is predictable and can be easily falsified. According to web application security company’s consultants, the process of data validation is an important part of the applications and businesses should implement web application security testing services. With the help of web application security testing companies can easily detect vulnerabilities related to incomplete authentication and weak validation.

INSUFFICIENT AUTHORIZATION

Insufficient authorization means that a user has access to confidential parts of the application/website that should require elevated access control restrictions. Without any website security & website penetration testing measures, the attack of insufficient authorization could be very damaging. In the attack of insufficient authorization, an authenticated user could control the entire application or content of the website. As per the recommendations of web application security training course, applications should have access policies, modification policies and prudent restrictions should guide the user activity within the application.

SESSION HIJACKING

In session hijacking attack a hacker could deduce or guess the session ID value and then can use that value to hijack another user’s session. If a hacker is able to guess the session ID of another user, fraudulent activity is possible. This could allow a hacker to use the back button of the browser to access the pages previously accessed by the victim. Many companies without any website security & website penetration testing measures are susceptible to this attack. For this reason website & web application security are very important.

Another problem for web application security is incomplete session expire as per web application security company’s experts. This results when a website allows reuse of old session credentials. The incomplete expiration of session increases the exposure of websites to hackers for stealing or hijacking session.

The session fixation is another technique used for session hijacking as per web application security company’s experts. When a user’s session ID is forced to an explicit value, the hacker can exploit this to hijack the session. Later when the user session ID has been fixed, the hacker waits for user to use it. When the user does so, the hacker uses this session ID value for session hijacking. The web pages that use cookie-based sessions without any web application security testing services are the easiest to attack.

Without any web application security testing services or web application security solutions to prevent session hijacking, this attack could do a lot of damage to business reputation and hackers can steal confidential data. As per the recommendations of web application security training course, logic for generating session ID, cookie and each session ID should be kept confidential. Companies can also easily learn more about best practices to prevent session hijacking & secure application programming during a web application security training course.

CROSS-SITE SCRIPTING

When a user visits a website, the user expects security on the website and that the website will deliver valid content. Cross-site Scripting (XSS) is an attack where the victim is the user. In the XSS attack, the hacker forces a website to execute a code in the user’s browser. With this code the hacker has the ability to read, modify and transmit confidential data accessible by the browser. Without any web application security testing services, a hacker could steal cookies, hijack sessions, open phishing sites, and download malware using the XSS attack. According to website penetration testing experts, there are two types of XSS attacks, persistent and non-persistent. Both attacks can cause a lot of damage to the reputation of the website. Using website security solutions such as website penetration testing or web application security training course, companies can easily understand, detect and resolve vulnerabilities related to cross-site scripting (XSS).

CROSS SITE REQUEST FORGERY (CSRF)

The cross site request forgery (CSRF), also known as XSRF is an attack where the hacker can get the user to perform unwanted actions on remote domains. It is based on the idea of exploiting the persistence of sessions between browser tabs. Typically, most users do not terminate their website sessions and remain active while browsing other websites. By exploiting the vulnerability of XSRF a hacker can steal other website sessions. According to website penetration testing experts, Cross Site Request Forgery (CSRF) attack is derived from XSS and with some basic website penetration testing companies can prevent CSRF attacks.

BUFFER OVERFLOW

The buffer overflow is a very common vulnerability in different softwares, which is when the data written to memory exceeds the reserved buffer size. According to experts from web application security company, during a buffer overflow attack the attacker exploits the vulnerability to alter the flow of an application and redirect the program to execute malicious code. According to professor of web application security training course, this vulnerability is very common at the operating system level of the application server and can be detected during the web server & web application security testing.

SQL INJECTION

The SQL injection is a very common and dangerous attack. Many companies with no web application security testing procedures are susceptible to this attack. This attack exploits the websites that use SQL as a database and construct SQL statements from user-supplied data. During the SQL injection attack, the hacker can easily modify an SQL statement and by exploiting this vulnerability, the hacker can gain full control over the database or even execute commands on the system. According to the experience of the web application security testing services, companies can prevent SQL injection by sanitizing data provided by the user. Also companies can easily detect and resolve this vulnerability with the help of web application security testing.

DIRECTORY INDEXING

In the directory indexing attack, an attacker can access all files in the directories on the server. Without any website security, this is equivalent to running a command “ls” or “dir” and showing the results in HTML format. The information in a directory may contain information that is not expected to be seen in public. In addition, a hacker can find confidential information in HTML comments, error messages and source code. According to the experience of consultants of web application security company, directory indexing can allow data leakage which can provide data to a hacker to launch an advance attack.

PATH TRAVERSAL

In the Path Traversal attack, a hacker access files, directories, and commands that reside outside the “root” directory of the website. Many companies without any web application security testing services are susceptible to this attack. With access to these directories, an attacker could have access to the important web application executables that perform important functions and access to confidential information of users. In the path traversal attack a hacker can manipulate a URL so that the website will run or disclose the contents of files located anywhere on the web server. Using website security solutions such as website penetration testing or web application security training course, companies can easily understand, detect and resolve vulnerabilities related to Path Traversal.

DENIAL OF SERVICE

In a denial-of-service attack (DoS), the motive is to prevent a website/web application to function normally and serve normal user activity. DoS attacks try to utilize all available resources such as CPU, memory, disk space, bandwidth, etc. When these resources reach their maximum consumption, the web application will be inaccessible. According to experts of web application security testing services there are different types of DoS attacks, such as network level, the device level, application level and from different sources (DDoS). Using website security solutions such as website penetration testing or web application security training course, companies can easily understand, detect and resolve vulnerabilities related to denial of service.

These are some of the cyber attacks on web applications.  Web application security testing services and web application security training course should help to identify and resolve risks associated with web applications in your organization. The web application security methodology should be very different from traditional methodology of web application security companies. The web application security methodology should be based on a process of manual and automated testing using our own scripts, code review, proprietary, commercial and open source tools that identifies all types of vulnerabilities.

Read More

HOW TO IMPLEMENT NETWORK SECURITY IN ENTERPRISE NETWORK?

The objective of network security assessment services is to keep data assets secure and protect the enterprise IT infrastructure. Typically, businesses are threatened by technology risks and vulnerabilities for being connected to internet or for handling confidential client information. There are statistical evidences about network security supported by enterprise network security company, which states that in countries such as Mexico, Brazil, United States, Colombia, Argentina, UAE, India; two out of three companies suffer attacks on their IT networks.

Many companies believe that by simply installing an antivirus or firewall in their networks, they are free of risks. This is a very common error as there are risks associated with these, but there are many other risks which can’t be fixed by only antivirus or firewall. To preserve enterprise network security, they must consider all types of IT risks. IT risks can be classified into external risks and internal risks. External risks originate outside the company’s network such as an external network hacker. Internal risks originate within the network such as an employee or an external hacker who has access to network resources.

According to enterprise network security training course professor, many risks arise due to inefficient network security solutions that companies have and because of lack of knowledge related to the implementation of enterprise network security solutions. Network security solutions protect enterprise networks and resources from external and internal risks. As per case studies from an enterprise network security company, network security is the key for meeting the data protection standards and gain customer trust. Below are some of the ways for improving Ethernet and wireless security.

WAYS TO IMPROVE ETHERNET NETWORK SECURITY

If you are configuring a computer network, you can follow some of the below mentioned security mechanisms recommended by enterprise network security company.

§  As per enterprise network security training course; to increase security in the network, you should enable automatic software updates for each computer and network device. Normally firmware and operating systems automatically install important updates. An update may include patches for some vulnerabilities or an upgrade to improve the user experience and performance.

§  Use a firewall that could prevent hackers from gaining access to network resources. A firewall provides access control and filters all network communications. Implementing other enterprise network security solutions along with firewalls can isolate networks to prevent certain types of data flow. According to enterprise network security company consultants; some firewall can allow access to the local network from the Internet if the user has logged in as an internal user. Some firewalls also have Anti-Spam functionality or you must use a separate Anti-Spam solution in the network.

§  Virus can get into your computer for spam, hard disk, USB, CDs or files downloaded from Internet. As there are new kinds of viruses every other day, antivirus software must be updated periodically. Antivirus help detect and sometimes in the removing virus. According to the experience of enterprise network security company consultants; there are different types of antivirus solutions in the market. Consultants of enterprise network security solutions suggest that general users can use free antivirus like Avast but enterprise users should use appropriate solution depending on the type of infrastructure.

§  Use IDS- IPS (intrusion detection system and intrusion prevention system). IDS, IPS are network security services that enable intrusion detection and intrusion prevention. An IDS / IPS proactively detects complex traffic patterns and gives an ability to respond to any imminent attack on your network. According to enterprise network security services experts, intrusion detection and intrusion prevention system is a software / hardware used to detect cyber attacks over a computer or a network. The events generated by IDS / IPS should be supervised by your company’s team or company can take the help of enterprise network security company which can analyze network traffic in real time with the help of network security assessment services.

§  VLAN (Virtual LAN) is a method of creating independent logical networks within a computer network. A computer network can have multiple virtual networks. VLAN is one of the important enterprise network security solutions that divide groups of network users in a real physical network into logical segmented networks. Enterprise network security training course professor explains that VLAN network is a network of computers that behave as if they were connected to the same switch. You can configure VLANs through software rather than hardware, which makes them considerably flexible. To deploy more security, you can learn how to configure Private VLAN, VLAN Micro with the help of network security training course.

§  An access control list or ACL used to implement logical security. ACL is one of the enterprise network security solutions that can help determine the appropriate access permissions for a network resource. ACL filters network traffic and only allows network traffic based on some condition. ACL can also be used to filter out traffic flow in computers, routers and network switches. According to network security assessment services specialists; the access control list is a basic necessity for any network. You must set rules detailing service ports, domain names, and terminal names along with the ACL permissions. A combination of VLAN and ACL is very good for security and you can easily learn how to configure VLAN ACL’s with the help of network security course.

§  Implement network security solutions such as IPsec (Internet Protocol Security) for encryption. IPsec is a set of protocols used for secure communications at the network layer and the transport layer, both TCP and UDP. IPsec helps in authentication and encryption of data packets. According to network security assessment services experts, IPsec is very flexible because it can be used to protect Internet Protocol (IP) and Transport protocol (TCP, UDP). You can use IPsec with applications that use SSL or TLS. You can also use VPN for critical communications or implement a complete IPsec solution.

§  Install RADIUS, TFTP servers depending on the business requirements along with other enterprise network security services & solutions mentioned before.

§  Enable logs server, which will enable you to record all activity on the network. According to enterprise network security training course professor; this part is very important for tracking all the hacking incidents.

§  Audit configurations of network devices and select a configuration knowing its purpose. You must also change the default settings and configurations of switch, router and other network devices. For network application security, network security services expert advice that you should disable any unused services. Thus you should check the running services related to all network devices & applications and disable or uninstall the service that you are not using.

§  You can also take help of enterprise network security company or provider to implement security, backup policies and to do network security audit with intrusion detection and vulnerabilities testing.

WAYS TO IMPROVE WIRELESS NETWORK SECURITY

If you are configuring a wireless network, you can follow some of the below mentioned security mechanisms recommended by enterprise network security company.

§  You must configure a security key of wireless network with Wi-Fi Protected Access 2 (WPA2-PSK) enabled. With encryption enabled, no one can connect to your network without the security key and is very difficult to do brute force. This would help prevent attempts of unauthorized access to the network and communications. You must choose a very strong security key so that dictionary attacks cannot crack the password.

§  You must change the name and default administrator password on your router or access point. In addition you should change default wireless network name known as default network identifier (SSID). You can also use various wireless network security solutions that will change the keys, passwords and SSID periodically.

§  You must select the location of the router or access point carefully so that the signal does not reach outside your facilities.

§  You can filter MAC addresses and allow WiFi access to known devices. There is also an option to hide SSID so that it is not visible in regular search of available networks.

These network security solutions are basic for any kind of security implementation for wired and wireless network. For more secure networks, you should take help of an enterprise network security company. If you have question “how to learn network security”, you can take our enterprise network security training course for learning network security and implementing the same.

Read More

¿CÓMO MEJORAR E IMPLEMENTAR LOS MECANISMOS DE SEGURIDAD EN REDES?

El motivo de los servicios de seguridad en redes informáticas es mantener seguro los activos de la información y proteger los recursos informáticos empresariales. Normalmente, las empresas se encuentran amenazadas por los riesgos y vulnerabilidades para estar conectadas al internet o manejar información confidencial de los clientes. Acerca de la seguridad de redes informáticas existen evidencias estadísticas avaladas por empresas de seguridad de redes informáticas que señalan que en los países como México, Brasil, Estados Unidos, Colombia, Argentina, UAE, India; dos de cada tres empresas sufrieron ataques sobre sus infraestructuras de redes informáticas (LAN).

Muchas empresas piensan que con el simple hecho de instalar un antivirus o cortafuego en la red ya están libres de riesgos, esto es un error muy común, hay riesgos relacionados con éstos, pero otros muchos que no lo están. Para preservar seguridad en redes informáticas, deben considerar todos los riesgos. Los riesgos informáticos pueden ser clasificados en riesgos externos y riesgos internos. Los riesgos externos se originan fuera de la red como un hacker externo de la red. Los riesgos internos se originan dentro de la red como un empleado o un hacker externo quien tiene acceso a los recursos de la red.

Según profesores del curso de seguridad en la red, los riesgos se presentan debido a las soluciones ineficientes de seguridad con las que cuentan las empresas y porque no existen conocimientos relacionados con la implementación de soluciones de seguridad en la red. Las soluciones de seguridad en redes informáticas protejan los recursos informáticos de los riesgos externos e internos. Además, la seguridad en redes informáticas es la clave para cumplir con las normas de protección de datos y conseguir la confianza de los clientes, mencionan los expertos de empresas de seguridad de redes informáticas. A continuación se presentan algunos de los mecanismos para mejorar la seguridad de red inalámbrica y alámbrica.

MECANISMOS DE SEGURIDAD EN REDES ALÁMBRICA

Si está configurando una red alámbrica, puede seguir algunos de los siguientes mecanismos de seguridad en redes informáticas recomendados por empresas de seguridad de redes informáticas.

§  Según el curso de seguridad en la red, para aumentar la seguridad en la red, debe activar la actualización automática de cada equipo y dispositivo de la red. Los sistemas operativos pueden instalar actualizaciones importantes automáticamente. Una actualización puede incluir parches de algunas vulnerabilidades, actualización para mejorar la experiencia del usuario y rendimiento.

§  Use un cortafuego/firewall que podría impedir los hackers que obtengan acceso a los recursos de la red. Un cortafuego permite controlar el acceso y filtra todas las comunicaciones en la red.

§  Implementar otras soluciones de seguridad de la red junto con cortafuegos permite aislar redes para evitar que cierto tipo de información fluya. Consultores de empresa de seguridad de redes, señalan que un firewall puede permitir accesos a la red local desde Internet si el usuario se ha autentificado como usuario interno. También los cortafuegos pueden tener la funcionalidad de Anti-Spam o debe usar una solución de Anti-Spam.

§  Los virus pueden meterse en una computadora por spam, discos duros, USB, CDs o por archivos que se descargan de Internet. Ya que cada día hay nuevos virus, debe actualizar el software antivirus de forma periódica. Los antivirus ayudan en la detección y en ocasiones, en la destrucción de virus. Según experiencia de los expertos de soluciones de seguridad de redes, existen diferentes tipos de soluciones de antivirus en el mercado. Consultores de empresa de seguridad de redes, señalan que los usuarios generales pueden usar antivirus gratis como de Avast pero los usuarios empresariales deben usar una solución adecuada dependiendo de tipo de infraestructura informática.

§  Use IDS- IPS (Sistema de detección de intrusos y prevención de intrusos). IDS- IPS son servicios de seguridad en redes que permiten detección de intrusos y prevención de intrusos. Un IDS/IPS detecta en una manera proactiva patrones complejos de tráfico y da una capacidad de responder a cualquier ataque inminente en su red. Según expertos de soluciones de seguridad de redes, sistema de detección de intrusos y prevención de intrusos es un software/hardware usado para detectar ataques cibernéticos a un computador o a una red. Los eventos generados por IDS/IPS debe ser supervisados por su equipo de TI o puede tomar ayuda de empresa de seguridad de redes informáticas quien con sus servicios de seguridad en redes analizarán el tráfico de la red en tiempo real.

§  VLAN (LAN virtual) es un procedimiento de crear redes lógicamente independientes dentro de una red informática. Una red informática podría tener varias redes virtuales. VLAN es una de las importantes soluciones de seguridad de redes que divide los grupos de usuarios de una red física real en segmentos de redes lógicas. Explica profesor de curso de seguridad en la red que una VLAN consiste en una red de computadoras que se comportan como si estuvieron conectados al mismo conmutador. Usted puede configurar las VLANs mediante software en lugar de hardware, lo que las hace considerablemente flexibles. Para implementar más seguridad, puede aprender como configurar Prívate VLAN, Micro VLAN con el curso de seguridad en la red.

§  Una lista de control de acceso o ACL se usan para implementar seguridad lógica. ACL es uno de los mecanismos de seguridad en redes informáticas que ayuda determinar los permisos de acceso apropiados a un recurso de la red. ACL filtra tráfico de la red y solo permite el tráfico de red de acuerdo a alguna condición. Además ACL controla el flujo del tráfico en computadores, enrutadores y conmutadores de la red. Conforme los especialistas de los servicios de seguridad en redes la lista de control de acceso es una necesidad básica por cualquier red. Debe configurar reglas que detallan puertos de servicio, nombres de dominios, nombres de terminales junto con los permisos en ACL. Una combinación de VLAN y ACL es muy bueno para seguridad y puede aprender como configurar VLAN ACL’s con la capacitación de seguridad de redes.

§  Implementar mecanismos de seguridad en redes informáticas como IPsec (Internet Protocol security) por encriptación. IPsec es un conjunto de protocolos cuya función es asegurar las comunicaciones en la capa de red y en la capa de transporte, tanto en TCP como en UDP. IPsec ayuda en autenticación y encriptación de los paquetes. Según los especialistas de los servicios de seguridad en redes, IPsec es muy flexible, ya que puede ser utilizado para proteger protocolo de Internet (IP) y protocolo de transporte (TCP, UDP). Puede usar IPsec junto con las aplicaciones que usan SSL o TLS. También puede usar VPN por comunicaciones críticas o implementar una solución completa de IPsec.

§   Instalar servidores de TFTP, RADIUS dependiendo de las necesidades junto con otras soluciones de seguridad de redes mencionadas antes.

§  Activar servidores de logs que le ayudará grabar todo la actividad en la red. Acuerdo con los profesores de la capacitación de seguridad de redes este mecanismo es muy importante para hacer un seguimiento cuando se produce un incidente de seguridad.

§  Asegura las configuraciones de los equipos de la red y selecciona una configuración sabiendo el propósito de la configuración. Además debe cambiar los parámetros y configuraciones por defecto de conmutadores, enrutador etc. Por parte de las aplicaciones de la red, los expertos de servicios de seguridad en redes aconsejan que deba desactivar servicios que no se utilizan. Por lo tanto revisa en todos los sistemas qué servicios utilizan, y si no le sirven, desactiva y desinstala.

§  Tomar ayuda de proveedores/ empresas de seguridad de redes para implementar políticas de seguridad, copias de seguridad y hacer auditoria de seguridad de la red junto con test de detección de intrusos y vulnerabilidades.

MECANISMOS DE SEGURIDAD EN REDES INALÁMBRICAS

Si está configurando una red inalámbrica, puede seguir algunos de los siguientes mecanismos de seguridad en redes inalámbricas recomendados por empresas de seguridad de redes informáticas.

§  Debe configurar una clave de seguridad de red inalámbrica con WPA2-PSK activado. Con el cifrado activado, nadie podrá conectarse a su red sin la clave de seguridad y es muy difícil de hacer fuerza bruta. Esto ayudaría a impedir los intentos de acceso no autorizado a la red. Debe tener una clave de seguridad muy fuerte para que los ataques de diccionario no puedan romper la clave.

§  Debe cambiar el nombre y la contraseña de administrador predeterminados del enrutador o el punto de acceso. Además debe cambiar nombre de red inalámbrica predeterminado conocido como identificador de red (SSID). Puede usar alguna solución de seguridad de redes inalámbrica que ayudará cambiar las claves, contraseñas y SSID periódicamente.

§  Debe seleccionar la ubicación del enrutador o el punto de acceso cuidadosamente para que la señal no llegue afuera de sus instalaciones.

§  Puede filtrar direcciones MAC y permitir acceso al WiFi a los dispositivos conocidos. También hay opción de ocultar SSID para qué no está visible en búsqueda normal de redes disponibles.

Estos mecanismos de seguridad en redes informáticas son básicos para implementar seguridad en la red alámbrica e inalámbrica. Por seguridad avanzada, debe tomar ayuda de una empresa de seguridad de redes informáticas o tomar curso de seguridad en la red para implementar soluciones avanzadas.

Read More

Recomendación para proteger las contraseñas en base de datos de una aplicación

Seguridad de las contraseñas es un tema muy importante, que recientemente se ha vuelto muy popular. Aunque ciertamente no es la única cosa que usted necesita para hacer su aplicación segura, es una de esas medidas de seguridad que todos los desarrolladores consciente de la seguridad deben implementar. Según experiencia de auditoría de base de datos, en la implementación de una aplicación, le sugerimos que haga lo siguiente:

• Cifrar toda la comunicación con los clientes. Si usted está comunicando utilizando el protocolo TCP, debe usar TLS; si está comunicando mediante UDP, debe usar DTLS. Enviar contraseña a través de una conexión sin protección es algo que nunca debe hacer.
• Almacenar el hash de contraseña junto con la salt correspondiente. Mantener sólo contraseñas cifradas puede resultar en violación de la seguridad fácilmente  ya que ataque de diccionario puede romper hashes sin salt según empresa de auditoría de base de dato. Para evitar esta situación debe usar 'salted hashes'. Salt y contraseña se concatenan a través de funciones de hash para dar como resultado 'salted hash'. Salt debe ser diferente para cada usuario para qué hashes serán diferentes para diferentes usuarios, incluso si sus contraseñas son exactamente iguales. Además  los ataques rainbow tables no funcionan bien sobre salted hash.
• Implementar funciones de hash en el lado del servidor por aplicaciones web basadas en navegador. La configuración del lado del servidor de funciones hash deba ser lo más lenta posible. Según recomendaciones de los expertos de auditoría de base de datos, podría usar funciones Hash como de Scrypt, Argon2 en el lado del servidor.
• Implementar funciones de hash en el lado del servidor y el cliente por aplicaciones que deben ser instadas. Implementar funciones de Cliente + Servidor hash. La configuración tanto del lado del cliente y del lado del servidor de funciones hash deba ser lo más lenta posible. Según recomendaciones de los expertos de auditoría de base de datos, podría usar funciones hash como de Scrypt, Argon2 en el lado del cliente y del lado del servidor.
• Establecer la longitud mínima de la contraseña por lo menos 8 y dejar una longitud máxima de la contraseña.
• Prohibir las contraseñas que son bien conocidas en las bases de datos de contraseñas para prevenir ataques de diccionario.
• Implementar políticas de cambios de contraseña cada 2 meses.
• Implementar la autenticación de dos factores, al menos para los usuarios privilegiados, como administrador.
• Implementar un límite de sesión de entrada para controlar el número de intentos de inicio de sesión fallido y bloquear direcciones Ip. El segundo límite puede ser un límite por usuario-por-IP, y esto tiene que ser mayor que el primero.
• Tener políticas de auditoría de base de datos e implementar recomendaciones de los expertos de seguridad cibernética. 

Read More

¿CÓMO HACER ANÁLISIS DE VULNERABILIDADES INFORMÁTICAS?

Si su red empresarial está conectada al internet, usted está haciendo negocios en internet, usted maneja aplicaciones web que guardan información confidencial o es un proveedor de servicios financieros, salud; el análisis de vulnerabilidades informáticas debe ser su primera preocupación, aunque mantener los sistemas informáticas de hoy en día es como un juego de azar. Según el punto de vista de los especialistas de análisis de riesgos informáticos, las empresas están dependientes sobre la tecnología para conducir las operaciones del negocio, pero las mismas empresas deben tomar las medidas para evaluar y asegurar los agujeros de seguridad o vulnerabilidades informáticas.

Una vulnerabilidad informática es considerada como un riesgo informático y es una característica de un activo de información. Las vulnerabilidades informáticas pueden ser detectadas con pruebas de vulnerabilidad o test de intrusión. Cuando se materializa un riesgo informático y hay un agujero de seguridad que pueda ser explotado, hay una posibilidad de ocurrencia de cualquier tipo de daño relacionado con la confidencialidad, integridad, disponibilidad y autenticidad de los datos empresariales.

Conforme a los informes de empresa de análisis de vulnerabilidades informáticas, los técnicos de los servicios de escaneo de vulnerabilidades descubren cientos de nuevas vulnerabilidades al año y ponen en circulación nuevos parches cada mes. Por estas razones, es necesario hacer análisis de riesgos informáticos en la empresa que le permitirá saber cuáles son los principales agujeros de seguridad. El análisis de riesgos informáticos debe garantizar a la empresa la tranquilidad de tener identificados todos sus riesgos con pruebas de vulnerabilidad y test de intrusión. Las pruebas de vulnerabilidad y test de intrusión son parte integral de los servicios de análisis de riesgos informáticos. Las pruebas de vulnerabilidad y test de intrusión ofrecen mucha información valiosa sobre el nivel de exposición a los riesgos. Estos riesgos y agujeros de seguridad le van a permitir actuar ante una eventual materialización de los riesgos informáticos.

En la medida que la empresa tenga clara esta identificación de riesgos informáticos podrá implementar las medidas preventivas y correctivas con la ayuda de una empresa de análisis de vulnerabilidades informáticas que garanticen soluciones preventivas y correctivas. Los soluciones preventivas y correctivas deben mantener el equilibrio entre el costo que tiene resolución de la vulnerabilidad, el valor del activo de información para la empresa y el nivel de criticidad de la vulnerabilidad. Además escaneo de vulnerabilidades externas e internas junto con las medidas correctivas da confianza a los clientes sobre sus datos y da una ventaja competitiva a su empresa.

Servicios de una empresa de análisis de vulnerabilidades informáticas aseguran el cumplimiento de las normas nacionales o internacionales específicas de cada industria. Actualmente en algunas industrias, es necesario contar con un programa adecuado de análisis de riesgos informáticos junto con servicios de pruebas de vulnerabilidad y test de intrusión. Algunas industrias como salud, financiera que manejan equipos informáticos críticos y de alto riesgo, un programa periódico de pruebas de vulnerabilidad y test de intrusión ayuda a fortalecer de manera anticipada su entorno frente a posibles amenazas. <br>

Servicios de escaneo de vulnerabilidades informáticas puede ser clasificados como servicios de escaneo de vulnerabilidades externas o servicios de escaneo de vulnerabilidades internas.

SERVICIO DE ESCANEO DE VULNERABILIDADES EXTERNAS

El servicio de escaneo de vulnerabilidades externas evalúa infraestructura de tecnología de una empresa desde la perspectiva de un hacker a través de internet. El servicio sólo requiere las direcciones de la red, aplicaciones empresariales; se necesita nada para ser instalado. Los expertos de empresas de análisis de vulnerabilidades informáticas deben enfocar sobre nuevos tipos de ataques externos, vulnerabilidades de día cero y su metodología de hacer pruebas de vulnerabilidades conocidas.

SERVICIO DE ESCANEO DE VULNERABILIDADES INTERNAS

El servicio de escaneo de vulnerabilidades internas evalúa el perfil de seguridad de la empresa desde la perspectiva de alguien interno, empleado o de alguien que tiene acceso a los sistemas y las redes empresarial. Normalmente el servicio está personalizado por requisitos de la empresa ya que cada empresa tiene diferentes tipos de redes y aplicaciones internas. Los expertos de empresas de análisis de vulnerabilidades informáticas deben simular a un hacker externo a través de Internet o alguien interno con privilegios normales. Además deben enfocar sobre nuevos tipos de ataques internos, vulnerabilidades de día cero y su metodología de hacer pruebas de vulnerabilidades conocidas.

¿CÓMO ESCOGER SERVICIOS DE ANÁLISIS DE VULNERABILIDADES INFORMÁTICAS?

Si usted es una gran empresa o una empresa pequeña, deben encontrar servicios fáciles y eficaces. Los servicios de evaluación de vulnerabilidades y test de intrusión de deben asegurar que todo la infraestructura empresarial (redes, aplicaciones y móviles) cumpla con los objetivos de seguridad informática. Deben contar con profesionales especializados en seguridad informática junto con las mejores técnicas y estrategias de análisis de riesgos informáticos. Según expertos deInstituto Internacional de Seguridad Cibernética, no deben utilizar metodología tradicional usada por muchas empresas de análisis de vulnerabilidades informáticas. Deben aplicar un enfoque metódico e innovador, por medio de scripts propias, revisión de códigos, pruebas de vulnerabilidad manual, uso de herramientas propietarias, comerciales y de código abierto. Los entregables de test de intrusión son informes y recomendaciones correctivas. Las vulnerabilidades y las acciones correctivas correspondientes son clasificadas por riesgos basados en prioridad. Es necesario hacer análisis de vulnerabilidades y riesgos acuerdo con estándares internacionales. El servicio de análisis de riesgos informáticos puede ser de una vez o puede ser periódico, para resguardar de los activos IT (redes, aplicaciones y móviles) frente a pérdida, y de los accesos no autorizados y/o inapropiados. Además es importante enseñar como hacer las pruebas de vulnerabilidad y test de intrusión a su equipo técnico en tiempo real a través el curso de análisis de riesgos informáticos y el curso de análisis de vulnerabilidades informáticas. Las capacitaciones le ayudarían maximizar su capacidad de responder y proteger su red contra los ataques.

METODOLOGÍA DE ANÁLISIS DE VULNERABILIDADES INFORMÁTICAS (PESA)

La metodología de análisis de vulnerabilidades informáticas, está enfocada sobre protección total de los recursos (redes, aplicaciones, dispositivos móviles) que estén dispuestos para un posible ataque por parte de personas internas o externas a la entidad. Asimismo la metodología consiste de los procesos iterativos, debido a que la tecnología nunca deja de evolucionar y cada vez más se generan nuevos riesgos para las empresas. La metodología de análisis de vulnerabilidades informáticas (PESA) ha sido estructurada en diferentes módulos.

 MODULO: PLANEAR

Una buena parte del éxito del manejo de la metodología se comienza a desarrollar en el modulo de planeación. En ese modulo establecen los requerimientos, los planes, las prioridades para implantar la metodología.

 MODULO: EVALUAR

En este modulo realizan análisis de los datos, redes, aplicaciones, bases de datos y dispositivos móviles con servicios de escaneo de vulnerabilidades. Siguientes son algunos de los pasos en el modulo de evaluación:

§  Hacer análisis de los posibles riesgos al nivel de negocios, identificar las amenazas y las vulnerabilidades tanto físicas como lógicas.

§  Revisar configuración de los sistemas operativos, las aplicaciones empresariales, archivos de registros y los dispositivos que hacen parte de la arquitectura de red.

§  Autentificación de los usuarios y controlar sus accesos. Monitorear las actividades de los usuarios.

§  Análisis de los servicios que presta la empresa o un tercero a la empresa.

§  Revisión de los planes, políticas de seguridad y planes de contingencia establecidos.

§  Utilizar scripts propias, pruebas de vulnerabilidad manual, herramientas propietarias, comerciales y de código abierto para hacer evaluación de la vulnerabilidad de la red, equipos de la red y dispositivos móviles.

§  Utilizar scripts propias, revisión de códigos, pruebas de vulnerabilidad manual, herramientas propietarias, comerciales y de código abierto para hacer evaluación de la vulnerabilidad de la aplicación y de base de datos. Hacer pruebas de caja negra y caja blanca para encontrar los agujeros de seguridad.

MODULO: SEGURO

En este modulo entregan el plan de seguridad, plan de contingencia e implementan los controles de seguridad con una efectiva relación costo-beneficio. Es necesario trabajar con equipo del cliente para asegurar la arquitectura de la red, equipos conectados a la red, dispositivos móviles y aplicaciones empresariales. Deben capacitar empleados del cliente con el curso de análisis de riesgos informáticos y el curso de análisis de vulnerabilidades informáticas.

MODULO: AUDITAR

El motivo de este modulo es verificar la implementación y el buen desempeño de los sistemas de seguridad. En la auditoria se determina si los sistemas de seguridad salvaguardan los activos y mantiene la confidencialidad, integridad, disponibilidad de los datos.

Read More

HOW TO DO SECURITY VULNERABILITY TESTING?

If your corporate network is connected to the Internet, you are doing business on the Internet, you manage web applications that keep confidential information or you are a provider of financial services, healthcare services; security vulnerability testing should be your first concern, although maintaining today’s computer networks is like a betting game. From the point of view of security vulnerability testing specialists, companies are dependent on technology to drive their business operations, but these companies must take steps to assess vulnerabilities and secure themselves.

Vulnerability is considered a risk and is a characteristic of an information asset. IT vulnerabilities can be detected with security vulnerability testing. When an IT risk materializes and there is a vulnerability that can be exploited, there is a possibility of loss of confidentiality, integrity, availability and authenticity of business data.

According to an IT vulnerability assessment company reports, vulnerability assessment experts around the world discover hundreds of new vulnerabilities every year and release new security patches every month. For these reasons, it is necessary for any company or organization to do security vulnerability testing that will allow them to know their IT systems vulnerabilities. Security vulnerability testing services must identify all the security risks and ensure peace of mind for all the company’s ejecutives. Internal vulnerability assessment and external vulnerability assessment services form an integral part of security vulnerability testing services. Security vulnerability testing services provide much valuable information about the company’s exposure to the risks. These risks and vulnerabilities enable a company or organization to deal with an eventual materialization of IT risks.

With the clear identification of IT risks, organization can implement preventive and corrective solutions with the help of a professional IT vulnerability assessment company. Preventive and corrective solutions must maintain a balance between the cost that the resolution of vulnerability has, the value of the information asset for the company and the level of criticality of the vulnerability. Implementing internal vulnerability assessment, external vulnerability assessment along with corrective measures gives confidence to your customers about their data and gives your company a competitive advantage.

IT Vulnerability assessment company services ensure compliance with national or international standards for each industry. In some industries, it is necessary to have a proper vulnerability assessment and security vulnerability testing plan. Industries such as healthcare & finance that handle critical and high-risk equipment, periodic vulnerability assessment and security vulnerability testing helps to strengthen the technology environment by proactively addressing potential threats.

Security vulnerability testing services can be classified as internal vulnerability assessment services and external vulnerability assessment services.

 

EXTERNAL VULNERABILITY ASSESSMENT SERVICE

The external vulnerability assessment service assesses technology infrastructure of the company from the perspective of a hacker through the Internet. The service only requires IP address of network, business applications and nothing needs to be installed. IT Vulnerability Assessment Company professionals should focus on new types of external attacks, zero-day vulnerabilities and their methodology to do IT vulnerability assessment of known vulnerabilities.

INTERNAL VULNERABILITY ASSESSMENT SERVICE

The internal vulnerability assessment service assesses the security profile of the company from the perspective of an insider, employee or someone with access to corporate systems and networks. Normally the service is personalized as per company’s requirements because each company has different types of networks and internal applications. IT Vulnerability Assessment Company professionals must simulate an external hacker via the Internet or an insider with normal privileges. They should also focus on new types of internal attacks, zero-day vulnerabilities and methodology to do IT vulnerability assessment of known vulnerabilities.

HOW TO SELECT VULNERABILITY ASSESSMENT/SECURITY VULNERABILITY TESTING SERVICES?

If you are a large corporation or a small business, you should find services very easy and efficient. IT vulnerability assessment services ensure that complete IT infrastructure (networks, applications and mobile) meets the objectives of security. They should have specialized information security experts along with the best techniques and strategies of IT risk assessment. As per experts from International Institute of Cyber Security, they should not use traditional methodology used by many IT vulnerability assessment companies. It is important to apply methodical and innovative approach for doing security testing. They must use our own scripts and do code review, along with manual security vulnerability testing and use proprietary, commercial, open source tools. The deliverables of vulnerability assessment services are reports and corrective recommendations. Vulnerabilities and corrective actions are classified based on the priority of the risks. It is also important to do vulnerability and risk assessment as per the international standards. IT vulnerability assessment service can be performed once or can be recurring service, to protect IT assets (networks, applications and mobile) against loss and unauthorized access. Furthermore they must teach how to do vulnerability assessment to your technical team in real time via security vulnerability testing course and IT vulnerability assessment training. These trainings would help you to maximize your ability to respond and protect your network against attacks.

IT SECURITY VULNERABILITY TESTING METHODOLOGY (PESA)

The security vulnerability testing methodology is focused on full protection of resources (networks, applications, mobile devices), which are subjected to internal or external attack. The methodology is an iterative process, because the technology never stops evolving and with new technology new risks for businesses are generated. The security vulnerability testing (PESA) has been structured in different modules.

MODULE: PLAN

Much of the successful delivery of our methodology begins to develop in the planning module. In this module you should establish the requirements, plans, priorities and implement the methodology.

MODULE: EVALUATE

In this module you must perform analysis of data, networks, applications, databases and mobile devices with vulnerability assessment service. Following are some of the processes in the evaluation module:

§  Analysis of potential risks at business level and identify physical & logical threats.

§  Review the configuration of operating systems, enterprise applications; log files and devices that are part of the network architecture.

§  Authentication of users and access control along with monitoring of user activities.

§  Analysis of services provided by the company or by third party to the company.

§  Review of security plans, security policies and contingency plans already in place.

§  Use of proprietary scripts, manual security vulnerability testing, and make use of proprietary, commercial and open source tools for vulnerability assessment of network, network equipment and mobile devices.

§  Use of proprietary scripts, do code review manual security vulnerability testing, and make use of proprietary, commercial and open source tools for vulnerability assessment of applications and databases. Also should cover black box and white box testing to find security vulnerabilities.

MODULE: SECURE 

In this module you must deliver the security plan, contingency plan and implement security policies with an effective cost-benefit ratio. Also it is important to work with the client’s team to secure the network architecture, network devices, mobile devices & business applications. You must also train client’s employees with security vulnerability testing course and IT vulnerability assessment training.

MODULE: AUDIT

The purpose of this module is to verify the implementation and performance of security systems. The audit determines whether the security systems safeguard assets and maintain the confidentiality, integrity and availability of information.

Read More