¿CÓMO HACER ANÁLISIS AUTOMATIZADO DE MALWARE CON CUCKOO?

Cuckoo es un sistema de análisis automatizado de malware  de fuente abierta.

Los profesionales de ethical hacking, utilizan Cuckoo para ejecutar y analizar automáticamente los archivos y recoger los resultados comprensivos del análisis que describen lo que hace el malware mientras se ejecuta dentro de un sistema operativo aislado.

Según expertos de ethical hacking, puede recuperar los siguientes tipos de resultados:

§  Los rastros de las llamadas realizadas por todos los procesos generados por el malware.

§  Los archivos han sido creados, borrados y descargados por el malware durante su ejecución.

§  Los volcados de memoria de los procesos malware.

§  El rastro del tráfico de red en formato PCAP.

§  Imágenes tomadas durante la ejecución del malware.

§  La memoria completa de la papelera de reciclaje de las máquinas.

Cuckoo Sandbox comenzó como proyecto de equipo de ethical hacking de Google en 2010 dentro del Proyecto Honeynet. Cuckoo está diseñado para ser utilizado tanto como una aplicación independiente así como para integrarse en frameworks más grandes, gracias a su diseño extremadamente modular.

Se puede utilizar para analizar:

§  Ejecutables de Windows genérico

§  Los archivos DLL

§  Los documentos PDF

§  Documentos de Microsoft Office

§  URLs y archivos HTML

§  Escrituras de PHP

§  Los archivos CPL

§  (VB) scripts de Visual Basic

§  Archivos ZIP

§  JAR de Java

§  Los archivos de Python

§  Casi cualquier otra cosa

Gracias a su modularidad y capacidades de scripting de gran alcance, no hay límite en lo que puedas lograr con Cuckoo.

ARQUITECTURA

CuckooSandbox consiste en un software de gestión central que se encarga de la ejecución y el análisis de las muestras.

Según expertos de Ethical hacking de IICS, cada análisis se lanzado en una fresca y aislada máquina virtual o física. Los principales componentes de la infraestructura de Cuckoo son Host machine (software de gestión) y un número de máquinas de clientes (máquinas virtuales o físicos para el análisis).

El Host ejecuta el componente principal de sandbox que gestiona todo el proceso de análisis, mientras que los huéspedes son los entornos aislados, donde las muestras de malware consiguen efectivamente realizarse y analizarse de forma segura por un experto de ethical hacking.

Read More

¿CUÁL SON LAS COMPLICACIONES EN DESTRUCCIÓN DE DOCUMENTOS EN HOSPITALES?

Médicos, hospitales y otros que ofrecen servicios médicos tienen todo tipo de información personal sobre los pacientes. Dado que muchos servicios son prestados a crédito, muchas veces tienen datos que caen bajo las leyes que exigen confidencialidad y ciertos métodos de destrucción de documentos, tales como la trituración.

También, obviamente, mantienen registros sobre las condiciones y las historias clínicas de sus pacientes. Esos datos se consideran privados y deben mantenerse así. Sin embargo, los médicos se enfrentan a un dilema. Ellos están obligados a mantener  los datos de un período de tiempo. Después, tienen que hacer esfuerzos de buena fe para destrucción de documentos de forma adecuada y en el momento adecuado.

Esos períodos y condiciones difieren de un estado a otro, pero en general, el período es con frecuencia de muchos años. Algunos permiten mover documentos en papel en un medio de almacenamiento a largo plazo, seguido por la destrucción de documentos después de cinco años. Reglamentos, como la mayoría de las leyes, son complejos. Una vez los datos en papel ha quedado obsoletos, ya sea por muerte, la reubicación o cualquier otro cambio de estado, se pueden transferir o simplemente destruir. Que, de nuevo depende de las regulaciones específicas de destrucción de documentos como HIPAA (Health Insurance Portability and Accountability Act)

Los pacientes también se encuentran en un dilema similar. La destrucción de documentos es una de las maneras más rentables de hacer eso, pero a menudo puede ser importante retener los datos al tiempo que destruyen del medio original. Entonces, es útil tener un escáner.

Si una condición médica o un historial han jugado un papel en una demanda, el problema se vuelve aún más complejo la destrucción de documentos. Las demandas pueden tardar años en resolverse. Incluso después de que se alcance un juicio, la parte perdedora puede incumplir el pago de la factura después de algunos meses o años. Para ejecutar la sentencia original, a veces requiere no sólo una copia de los documentos legales originales sino los registros médicos que se utilizan en el caso.

Las pequeñas empresas tienen en una nueva elección cuando se trata de la destrucción de documentos, la mayoría de las empresas de destrucción de documentos se te presentarán una lista de servicios y tarifas que pueden llevar a la quiebra tu presupuesto! Contamos con servicio afuera y entrega de servicios de destrucción de documentos que le puede ahorrar de un 20 a un 65% que es lo que otros cobran si usted puede dejar sus documentos en sus instalaciones.

Read More

¿CÓMO HACER UN ANÁLISIS DE MALWARE CON MALHEUR?

Malheur es una herramienta para el análisis automático del comportamiento del malware (comportamiento grabado del malware en un entorno de sandbox). Ha sido diseñado para apoyar el análisis periódico de un software malicioso y el desarrollo de las medidas de detección y de defensa por expertos de ethical hacking. Malheur permite la identificación de nuevas clases de malware con un comportamiento similar y la asignación de malware desconocido a las clases descubiertas y es parte del curso de Malware Reverse Engineering de iicyberecurity IICS.

ANÁLISIS DEL COMPORTAMIENTO DEL MALWARE?

Malheur se basa en el concepto de análisis dinámico: los binarios de malware son recogidos desde internet  y se ejecutan en un entorno de sandbox, donde se controla su comportamiento durante el tiempo de ejecución. La ejecución de cada uno de los resultados binarios de malware se registra en un informe de comportamiento. Según consultores de ethcial hacking,  Malheur analiza estos informes para el descubrimiento y la discriminación de las clases de malware utilizando inteligencia artificial con Malware Reverse Engineering.

Malheur se puede aplicar a la conducta registrada por varios formatos, siempre y cuando los sucesos supervisados sean separados por símbolos delimitadores, por ejemplo como en los informes generados p

or los populares malware sandboxes CWSandbox, Anubis, Norman SandBox y Joebox.

Extracción de prototipos. A partir de un determinado conjunto de informes, Malheur identifica un subconjunto de prototipos representativos para el grupo de datos completos. Los prototipos proporcionan una visión general del comportamiento registrado y pueden ser utilizados para guiar Malware Reverse Engineering manual.

La agrupación de comportamiento. Malheur identifica automáticamente los grupos (clusters) de informes que contienen un comportamiento similar. La agrupación permite descubrir nuevas clases de malware y proporciona las bases para la elaboración de mecanismos de detección y defensas específicas, como las firmas de los antivirus explican Kim Denver, un experto de Malware Reverse Engineering y Ethical hacking.

Clasificación del comportamiento. Sobre la base de un conjunto de informes previamente agrupados, Malheur es capaz de asignar un comportamiento desconocido para grupos conocidos de malware. La clasificación permite la identificación de nuevas variantes de malware y se puede utilizar por los profesionales de ethical hacking para filtrar el comportamiento del programa antes de la inspección manual.

El análisis incremental. Malheur se puede aplicar de forma incremental para el análisis de grandes conjuntos de datos. Mediante el procesamiento de informes en trozos, los requisitos de tiempo de ejecución y la memoria se reducen significativamente. Esto convierte la aplicación a largo plazo viable, por ejemplo, para el análisis diario de malware durante procesos de Malware Reverse Engineering.

La entrada de malheur es un dataset que contiene los informes de comportamiento del malware. El conjunto de datos se proporciona ya sea como un directorio o un archivo comprimido que contiene los informes.Malheur soporta los siguientes formatos de archivos comprimidos: tar.gz, zip, pax y cpio. Un informe es un documento de texto que describe la actividad registrada de un programa de malware, donde los eventos individuales están separados por caracteres delimitadores, como el espacio en blanco o transporte de regreso. Se espera que los eventos en un informe estén en orden secuencial. Si el comportamiento se representa usando malware instruction set (MIST) otras opciones podrán ser seleccionadas. Cualquier curso de Malware Reverse Engineering o ethical hacking debe cubrir MIST en el curso. El resultado de un análisis se escribe en un archivo, un archivo de texto que contiene las columnas correspondientes con determinados resultados del análisis. De forma predeterminada se establecen en un archive que se llama malheur.out.

La configuración y el estado interno de malheur están almacenados en el directorio maldir. Si no existe este directorio, se crea y la configuración de todo el sistema se copia. Malheur apoya diferentes acciones para el análisis de un conjunto de datos según expertos de ethical hacking. Para todas las acciones de los informes se asignan primero a un espacio de vectores de altas dimensiones, de tal manera que cada informe se representa como un vector característico.

Read More

7 PASOS IMPORTANTES DURANTE UNA INVESTIGACIÓN DE ANÁLISIS FORENSE

A continuación se presenta un resumen de los pasos importantes que una empresa de seguridad informática deben cubrir durante una investigación de análisis forense. Cualquier diplomado de seguridad informática también debe enfocar sobre estos pasos.

VERIFICACIÓN

Normalmente la investigación de análisis forense se llevará a cabo como parte de un escenario de respuesta a incidentes según profesores de diplomado de seguridad informática, como el primer paso se debe verificar que un incidente ha pasado. Determinar la amplitud y el alcance del incidente, evaluar el caso.

¿Cuál es la situación, la naturaleza del caso y sus características específicas? Este paso es importante porque ayudará a una empresa de seguridad informática a determinar las características del incidente y definir el mejor enfoque para identificar, conservar y reunir evidencias. También podría ayudar a justificar a dueños del negocio de desconectar un sistema.

DESCRIPCIÓN DEL SISTEMA

Siguiente paso en análisis forense es donde una empresa de seguridad informática empezará a reunir información sobre el incidente específico. Comenzando por tomar notas y describir el sistema que se va a analizar, cuál sea el sistema que está siendo adquirido, ¿cuál es el papel del sistema en la organización y en la red? El esquema del sistema operativo y su configuración general, tales como formato de disco, la cantidad de RAM y la ubicación de las pruebas según profesores de diplomado de seguridad informática.

ADQUISICIÓN DE EVIDENCIA

Esto paso en análisis forense incluye Identificar las posibles fuentes de datos, adquirir datos volátiles y no volátiles, verificar la integridad de los datos y garantizar la cadena de custodia. Cuando tengas dudas de que colectar para estar en el lado seguro y es mejor recoger demasiado a que te falte. Durante esta etapa también es importante que la empresa de seguridad informática dé prioridad a colección de evidencias e involucra a los dueños del negocio para determinar la ejecución y el impacto en el negocio de las estrategias elegidas. Dado que los datos volátiles cambian con el tiempo, el orden en el que se recogen los datos es importante acuerdo a recomendaciones de diplomado de seguridad informática. Después de recoger estos datos volátiles vas a entrar en la siguiente etapa de recogida de datos no volátiles como el disco duro. Después de la adquisición de datos, garantiza y verifica su integridad. También debes ser capaz de describir claramente cómo se encontró la evidencia, la forma en que se manejó y todo lo que pasó con él, es decir la cadena de custodia.

ANÁLISIS DE LÍNEA DE TIEMPO

Después de la adquisición de evidencias una empresa de seguridad informática podrá empezar a hacer investigación y análisis en el laboratorio forense. Comienza por hacer un análisis de línea de tiempo. Este es un paso crucial y muy útil en análisis forense y cada diplomado de seguridad informática debe cubrir esto, ya que incluye información tal como cuando se modifican los archivos, acceso, cambios y creaciones en un formato legible por humanos. El plazo de presentación de artefactos de memoria también puede ser muy útil en la reconstrucción lo que sucedió según Mike Ross un experto de iicybersecurity IICS, una empresa de seguridad informática.

MEDIOS DE COMUNICACIÓN Y ANÁLISIS DE LOS ARTEFACTOS

En este paso de análisis forense tú vas a ser abrumado con la cantidad de información que tú podrías estar buscando. Un experto de empresa de seguridad informática debe ser capaz de responder a preguntas como, qué programas fueron ejecutados, que archivos fueron descargados, a qué archivos se les hizo clic, que directorios fueron abiertos, que archivos fueron borrados, dónde el usuario visito y muchas otras cosas más. Una técnica utilizada con el fin de reducir el conjunto de datos es identificar los archivos que sea conocen bien y los que se sabe que son malos. Cuidado con las técnicas anti-forenses como esteganografía o alteración y destrucción de datos, que tendrán impacto en análisis forense. Según profesores de diplomado de seguridad informática de International Institute of Cyber Security este paso es muy importante para cualquier experto de forense digital.

BÚSQUEDA DE BYTE O TEXTO

Esta etapa de análisis forense consistirá en el uso de herramientas que buscarán las imágenes en bruto de bajo nivel. Si usted sabe lo que está buscando, puede utilizar este método para encontrarlo. En este paso una empresa de seguridad informática utilizara las herramientas y técnicas que buscarán firmas de bytes de archivos conocidos. Las cadenas o firmas de bytes que vas a estar buscando son las que son relevantes para el caso de que estás tratando.

INFORME DE LOS RESULTADOS

La fase final consiste en informar sobre los resultados de los análisis forense, que pueden incluir la descripción de las acciones que se realizaron, la determinación de qué es necesario realizar , que otras acciones, y recomendar mejoras en las políticas, directrices, procedimientos, herramientas y otros aspectos del proceso forense .Informe de los resultados es una parte clave de cualquier investigación según expertos de empresa de seguridad informática.

Cualquier diplomado de seguridad informática debe enseñar estos pasos en detalle para que sean expertos en el área de análisis forense.

Read More

¿CÓMO HACER UN ATAQUE OSINT (ATAQUE DE INGENIERÍA SOCIAL) CON DATASPLOIT?

Independientemente de si usted está atacando un objetivo o a la defensa de uno, es necesario tener una idea clara del panorama de las amenazas de seguridad de la información antes de entrar. Aquí es donde DataSploit entra en juego. Utilizando de las diversas técnicas y herramientas de Open Source Intelligence (OSINT) que hemos encontrado que son efectivas, DataSploit trae a todos en un solo lugar según expertos de seguridad lógica y seguridad perimetral. DataSploit correlaciona los datos capturados y le da al atacante, toda la información relevante sobre el  dominio / correo electrónico / teléfono / persona, etc. Esto le permite recoger la información relevante acerca de un objetivo lo cual puede ampliar su superficie de ataque / defensa muy rápidamente explican expertos de seguridad de la información de iicybersecurity IICS. Por supuesto, un atacante o consultor de seguridad lógica y seguridad perimetral  puede escoger un solo trabajo pequeño (que no se correlaciona obviamente), o puede recoger la búsqueda matriz con lo cual lanzará un montón de consultas, llamadas a otros scripts requeridos de forma recursiva, correlacionar los datos y le dará toda la información directamente.

Creado usando Python, MongoDB y Django, DataSploit simplemente requiere que un mínimo de datos (como nombre de dominio, ID de correo electrónico, nombre de persona, etc.) antes de que salga en una búsqueda detallada. Una vez que se recogen los datos, en primer lugar se quita el ruido, después de lo cual los datos se correlacionan y después de múltiples iteraciones eso es almacenado localmente en una base de datos, lo cual podría ser visualizado fácilmente en UI proporcionada. Las fuentes que se han integrado están todas a mano y se sabe que están proporcionando información confiable. Según Raúl González, experto de seguridad de la información de International Institute of Cyber Security  hemos utilizado anteriormente en diferentes tareas ofensivas, así como en enfrentamientos defensivos y nos parecieron útiles.

FUNCIONALIDADES

§  Realizar OSINT automatizados en un dominio / correo electrónico / nombre de usuario / teléfono y encontrar información relevante a partir de diferentes fuentes.

§  Útil para Pen-testers, Ciber investigadores, empresas de seguridad lógica, seguridad perimetral , los profesionales de seguridad de la información, etc.

§  Trata de averiguar las credenciales, api-keys, fichas, subdominios, la historia del dominio, portales relacionados con el objetivo.

§  Disponible como herramienta de consolidación individual, así como procesos independientes.

§  Disponible tanto en GUI y línea de comandos.

INSTALACIÓN

Si se desea trabajar con web GUI, siga los pasos hasta el 7. De lo contrario, siga hasta el 5 y debería estar bien.

PASO 1 – DESCARGAR DATASPLOIT A TU SISTEMA.

Puede utilizar las herramientas de línea de comandos git con el siguiente comando:

git clone https://github.com/upgoingstar/datasploit.git

,  O simplemente puede descargar el archivo zip y extraer la misma utilizando unzip.

unzip master.zip

PASO 2: INSTALAR LAS DEPENDENCIAS DE PYTHON

Entra en el directorio de la herramienta e instala todas las bibliotecas de Python usando el archivo requirements.txt. En caso de que encuentre “Permiso denegado” error, usa sudo.

cd master

pip install -r requirements.txt

PASO 3: CAMBIAR EL NOMBRE DE CONFIG_SAMPLE.PY A CONFIG.PY

Por favor asegúrate de que config.py se añade en el archivo de gitIgnore para que esto no se comprometa en ningún caso.

mv config_sample.py config.py

PASO 4: GENERAR API KEYS Y PEGAR EN EL INTERIOR DE CONFIG_SAMPLE.PY

Generar API Keys mediante la guia api Key Generation

Necesitamos seguir las claves API para ejecutar esta herramienta de manera eficiente – shodan_api – censysio_id – censysio_secret – zoomeyeuser – zoomeyepass – clearbit_apikey – emailhunter – fullcontact

E introduce los valores respectivos en archivo config.py dejando todo otros valores claves en blanco.

PASO 5: INSTALAR MONGODB

Datasploit utiliza MongoDB en el backend y por lo tanto requiere una instancia en ejecución de MongoDB con el fin de guardar y consultar datos. Instalar la base de datos MongoDB según las instrucciones que a continuación se mencionan con ayuda de  los expertos de seguridad lógica, seguridad perimetral:

Crear un directorio para almacenar los archivos db, e iniciar el servicio MongoDB con esta ruta de la base de datos:

mkdir datasploitDb

mongod –dbpath datasploitDb

PASO 6: INSTALAR RABITMQ

Instalar RabbitMQ para que celery framework puede trabajar de manera eficiente.

PASO 7: INICIAR TODOS LOS SERVICIOS:

brew services restart mongodb

brew services restart rabbitmq

C_FORCE_ROOT=root celery -A core worker -l info –concurrency 20      

python manage.py runserver 0.0.0.0:8000 

Felicitaciones, usted es ahora listo para salir. Pueden  a seguir adelante y ejecutar script automatizado para OSINT en un dominio.

python domainOsint.py <domain_name>

Pueden aprender más sobre OSINT durante el curso de seguridad de la información.

Read More

HERRAMIENTAS IMPORTANTES PARA INGENIERÍA INVERSA DE APLICACIONES ANDROID

Con la ayuda de profesores de curso de ciberseguridad y curso de seguridad informática de escuela de ciberseguridad, IICS hemos creado una lista de las diferentes herramientas para Ingeniería Inversa para sistema operativo de Android.

ANDBUG

AndBug es un depurador orientado hacia la  máquina virtual Dalvik de la plataforma Android dirigido a ingenieros y desarrolladores inversos. Utiliza las mismas interfaces como Android’s Eclipse debugging plugin, Java Debug WireProtocol (JDWP) y DalvikDebug Monitor (DDM) según expertos de curso de seguridad informática.

A diferencia de sus propias herramientas de depuración de Google Android Software Development Kit, AndBug no requiere ni espera el código fuente. Lo hace, sin embargo, requiere que tengas un cierto nivel de comodidad con Python, ya que utiliza un concepto de puntos de corte con guión, llamado “Hooks”, para la mayoría de las tareas no triviales explica maestro de iicybersecurity IICS, una escuela de ciberseguridad.

APKTOOL

 

Es una herramienta para la ingeniería inversa de aplicaciones de terceros, cerrado binarias de Android. Según curso de ciberseguridad, puede decodificar los recursos de forma casi original y reconstruirlos después de hacer algunas modificaciones. También trabaja más fácil con una aplicación debido a la estructura de archivos y la automatización de algunas tareas repetitivas como la construcción de apk etc.

Caracteristicas:

§  Desmontaje de los recursos de forma casi original,

§  Reconstrucción decodifica de los recursos de regreso al binario APK / JAR

§  La organización y el manejo de los archivos APKs que dependen de recursos estructurales

§  Depuración smali

§  Ayudando con tareas repetitivas

DARE

 

Dare es un proyecto que tiene por objetivo a ayudar en el análisis de aplicaciones Android. Muchos curso de seguridad informática cubren esta herramienta durante el curso.

La herramienta Dare vuelve a segmentar las aplicaciones de Android en .dex o de formato apk a archivos .class tradicionales. Estos archivos .class pueden ser procesados por las herramientas Java existentes, incluyendo descompiladores. Por lo tanto, las aplicaciones de Android se pueden analizar utilizando una amplia gama de técnicas desarrolladas para aplicaciones tradicionales de Java explican maestros de International Institute of Cyber Security IICS, una escuela de ciberseguridad.

DEDEXER

 

Dedexer es una herramienta desensambladora para archivos DEX. DEX es un formato introducido por los creadores de la plataforma Android. Dedexer es capaz de leer el formato DEX y se convierten en un “formato de ensamblaje similar”.

INDROID

 

El objetivo del proyecto es demostrar que una sencilla funcionalidad de depuración en sistemas *nix que es ptrace () puede ser objeto de abuso por el malware para inyectar código malicioso en los procesos remotos. Indroid proporciona  CreateRemoteThread () equivalente para el dispositivo de *nix ARM basado acuerdo al curso de ciberseguridad de iicybersecurity.

INTENT SNIFFER

 

Intent Sniffer es parte de muchos cursos de seguridad informática de teléfonos móviles. IntentSniffer es una herramienta que se puede utilizar en cualquier dispositivo con el sistema operativo de Google Android (OS). En el sistema operativo Android, Intent es la descripción de una acción a realizar, tales como StartService para iniciar un servicio. La herramienta IntentSniffer realiza el monitreo runtime routed broadcasts Intents. La herramienta también puede actualizar dinámicamente acciones y categorías.

BYTECODE VIEWER

 

Bytecode Viewer es una avanzada herramienta Lightweight Java Bytecode Viewer, GUI Java Decompiler, GUI Bytecode Editor, GUI Smali, GUI Baksmali, GUI APK Editor, GUI Dex Editor, GUI APK Decompiler, GUI DEX Decompiler, GUI Procyon Java Decompiler, GUI Krakatau, GUI CFR Java Decompiler, GUI FernFlower Java Decompiler, GUI DEX2Jar, GUI Jar2DEX, GUI Jar-Jar, Hex Viewer, Code Searcher, Debugger y más acuerdo a curso de ciberseguridad.

También existe un sistema de plugins que te permitirá interactuar con los archivos de clases cargadas, por ejemplo, se puede escribir un Deobfuscator, un buscador de códigos maliciosos, o cualquier otra cosa que te puedas imaginar. Podrías aprender más sobre Bytecode viewer en los cursos de escuela de ciberseguridad.

RADARE2

radare2 es una reescritura de radare con el fin de proporcionar un conjunto de bibliotecas y herramientas para trabajar con archivos binarios. Cualquier escuela de ciberseguridad debe cubrir Radar en sus cursos. Radare proyecto comenzó como una herramienta forense, una línea de comandos de secuencias de comandos editor hexadecimal capaz de abrir archivos de disco, pero más tarde se añadió soporte para revertir archivos APK, el análisis de los binarios, desmontaje código, depuración de programas, etc según los maestro de curso de seguridad informática.

JEB

 

JEB es una plataforma modular de ingeniería inversa para profesionales. Su naturaleza extensible permite a los ingenieros inversos realizar el desmontaje, descompilación, depuración y análisis de código y archivos de documentos, manualmente o como parte de un análisis de tuberías. JEB llega con módulos especializados de análisis de estática y dinámica de aplicaciones Android. Pueden aprender todo sobre JEB en curso de ciberseguridad.

Read More

10 VULNERABILIDADES IMPORTANTES QUE AFECTAN A LA SEGURIDAD DE BASE DE DATOS EMPRESARIALES

Las infraestructuras de las base de datos para empresas, que a menudo contienen las joyas de la corona de una organización, están sujetas a una amplia gama de ataques contra seguridad de base de datos.

Con ayuda de los expertos de seguridad web de Instituto Internacional de seguridad cibernética IICS hemos enumerado los más críticos de estos, seguido de recomendaciones para mitigar el riesgo de cada uno.

1.LOS PRIVILEGIOS EXCESIVOS

Cuando a los usuarios (o aplicaciones) se conceden privilegios de base de datos que exceden los requerimientos de su función de trabajo, estos privilegios se pueden utilizar para obtener acceso a información confidencial. Por ejemplo, un administrador de una universidad cuyo trabajo requiere acceso de sólo lectura a los archivos del estudiante puede beneficiarse de los derechos de actualización para cambiar las calificaciones explica experto de auditoría de base de datos y seguridad de base de datos.

La solución a este problema (además de buenas políticas de contratación) es el control de acceso a nivel de consulta. El control de acceso a nivel de consulta restringe los privilegios de las operaciones a solo utilizar los datos mínimos requeridos. La mayoría de las plataformas de seguridad de bases de datos nativas ofrecen algunas de estas capacidades (triggers, RLS, y así sucesivamente), pero el diseño de estas herramientas manuales las hacen impracticables en todo excepto en las implementaciones más limitados según experiencia de expertos de seguridad web.

2. ABUSO DE PRIVILEGIOS

Los usuarios pueden abusar de los privilegios de acceso de datos legítimos para fines no autorizados acuerdo a los expertos de auditoría de base de datos y seguridad web. Por ejemplo, un usuario con privilegios para ver los registros de pacientes individuales a través de una aplicación de la asistencia sanitaria personalizada puede abusar de ese privilegio para recuperar todos los registros de los pacientes a través de un cliente MS-Excel.

La solución está en la política de control de acceso que se aplican no sólo a lo que los datos son accesibles, pero ¿cómo se accede a los datos? Al hacer cumplir las políticas de seguridad web, sobre cosas como la ubicación, el tiempo, el cliente de aplicación y el volumen de los datos recuperados, es posible identificar a los usuarios que están abusando de los privilegios de acceso.

3. ELEVACIÓN DE PRIVILEGIOS NO AUTORIZADOS

Los atacantes pueden aprovechar las vulnerabilidades en el software de gestión en la base de datos para convertir los privilegios de acceso de bajo nivel de privilegios de acceso de alto nivel. Por ejemplo, sin seguridad de bases de datos, un atacante podría aprovechar una vulnerabilidad de desbordamiento de búfer de base de datos para obtener privilegios administrativos.

Exploits de elevación de privilegios pueden ser derrotados con una combinación de control de acceso a nivel de consulta, auditoría de base de datos y los sistemas de prevención de intrusiones (IPS) tradicionales. Control de acceso a nivel de consulta puede detectar un usuario que de repente utiliza una operación de SQL inusual, mientras que un IPS puede identificar una amenaza específica de seguridad web documentada dentro de la operación.

4. VULNERABILIDADES DE LA PLATAFORMA

Las vulnerabilidades en los sistemas operativos subyacentes pueden conducir al acceso no autorizado a datos y la corrupción.

Acuerdo a cursos de seguridad web de iicybersecurity IICS, herramientas de IPS son una buena manera de identificar y / o bloquear ataques diseñados para aprovechar las vulnerabilidades de la plataforma de base de datos.

5. INYECCIÓN DE SQL

Ataques de inyección SQL implican a un usuario que se aprovecha de vulnerabilidades en aplicaciones web y procedimientos almacenados para proceder a enviar consultas de bases de datos no autorizadas, a menudo con privilegios elevados.

Soluciones de seguridad de bases de datos, auditoría de base de datos, control de acceso a nivel de consulta detecta consultas no autorizadas inyectadas a través de aplicaciones web y / o procedimientos almacenados.

6. AUDITORÍA DÉBIL

Las políticas débiles de auditoría de base de datos representan riesgos en términos de cumplimiento, la disuasión, detección, análisis forense y recuperación.

Por desgracia, el sistema de gestión de base de datos nativa (DBMS) audita las capacidades que dan lugar a una degradación del rendimiento inaceptable y son vulnerables a los ataques relacionados con el privilegio– es decir, los desarrolladores o administradores de bases (DBA) puede desactivar la auditoría de base de datos.

La mayoría de las soluciones de auditoría de base de datos también carecen del detalle necesario. Por ejemplo, los productos DBMS rara vez se registran qué aplicación se utiliza para acceder a la base de datos, las direcciones IP de origen y falló de consultas.

Las soluciones de auditoría de base de datos basados en la red son una buena opción. Tales soluciones de auditoría de base de datos no deben tener ningún impacto en el rendimiento de base de datos, operan de forma independiente de todos los usuarios y ofrecen la recopilación de datos a detalle.

7. DENEGACIÓN DE SERVICIO

La denegación de servicio (DoS) puede ser invocada a través de muchas técnicas. Las técnicas más comunes de DOS incluyen desbordamientos de búfer, corrupción de datos, la inundación de la red y el consumo de recursos.

La prevención de DoS debería ocurrir en múltiples capas que incluyendo los de red, aplicaciones y bases de datos según recomendaciones de cursos de seguridad de bases de datos y seguridad web.

Recomendaciones sobre las bases de datos incluyen el despliegue de un IPS y controles de la velocidad de conexión. Al abrir rápidamente un gran número de conexiones, los controles de velocidad de conexión pueden impedir que los usuarios individuales usan los recursos del servidor de base de datos.

8. VULNERABILIDADES EN LOS PROTOCOLOS DE LAS BASES DE DATOS

Las vulnerabilidades en los protocolos de bases de datos pueden permitir el acceso no autorizado a datos, la corrupción o la disponibilidad. Por ejemplo, SQL Slammer worm se aprovechó de una vulnerabilidad de protocolo de Microsoft SQL Server para ejecutar código de ataque en los servidores de base de datos destino.

Los protocolos de ataques pueden ser derrotados mediante el análisis y validación de las comunicaciones de SQL para asegurarse de que no están malformados. Pueden aprender más sobre este ataque durante cursos de seguridad de bases de datos y seguridad web de iicybersecurity.

9. AUTENTICACIÓN DÉBIL

Los esquemas de autenticación débiles permiten a los atacantes asumir la identidad de los usuarios de bases de datos legítimos. Estrategias de ataque específicas incluyen ataques de fuerza bruta, la ingeniería social, y así sucesivamente.

La implementación de contraseñas o autenticación de dos factores es una necesidad. Para la escalabilidad y facilidad de uso, los mecanismos de autenticación deben integrarse con las infraestructuras del directorio / gestión de usuarios de la empresa y seguridad web.

10. LA EXPOSICIÓN DE LOS DATOS DE BACKUP

Algunos ataques recientes de alto perfil han involucrado el robo de cintas de backup de base de datos y discos duros.

Todas las copias de seguridad deben ser cifradas. De hecho, algunos proveedores han sugerido que los futuros productos DBMS no deberían admitir la creación de copias de seguridad sin cifrar. El cifrado de base de datos en línea es un pobre sustituto de controles granulares de privilegios acuerdo a expertos de seguridad de base de datos.

CONCLUSIÓN

Aunque las bases de datos y su contenido son vulnerables a una serie de amenazas internas y externas, es posible reducir los vectores de ataque casi hasta cero con ayuda de soluciones de seguridad web. Al abordar estas amenazas contra seguridad de base de datos conocerás los requisitos de las industrias más reguladas en el mundo.

Read More