CONDUCTAS ERRONEAS QUE FRECUENTEMENTE CREAN BRECHAS DE SEGURIDAD
Los agujeros o bugs en la tecnoligia explican una gran cantidad de ataques exitosos (realizados por hackers intencionados o por usuarios no intencionados), pero los mismos usuarios colaboran, tambien. Esta es una lista creada por SANS Institute de las cosas tontas que la gente hace y que facilita a los atacantes tener exito.
Los peores cinco errores de seguridad que cometen los usuarios.
- Fallar en la instalacion del antivirus, teniendolo incorrectamente configurado, mantener sus actualizaciones de firmas actualizadas y escanear todos los archivos.
- Abrir adjuntos de correos no solicitados sin previa verificacion del origen o del contenido, o ejecutar juegos, protectores de pantallas u otras aplicaciones provenientes de fuentes no confiables.
- las fuentes no confiables incluyen conocidos que pueden estar cometiendo estos mismos errores
- las fuentes no confiables incluyen desarrolladores de softwae "freware" que podrian estar incluyendo dentro de sus creaciones, codigo malicioso o spyware.
- Los adjuntos de correo no solicitado, pueden provenir de usuarios conocidos cuyos equipos esten comprometidos por un hacker o un virus.
- La ejecucion directa de un archivo desde el cliente de correo podria saltear la proteccion antivirus que se esta ejecutando en tiempo real.
- Presentaciones, video y hasta fotos, pueden estar infectadas por virus. - Fallar u omitir actualizaciones de seguridad del Sistema Operativo, las herramientas de oficina y/o los navegadores y clientes de correo.
- No realizar o probar backups.
- Quedarse conectado a mas de una red como Wireless o Red telefonica mientras esta conectado a la red corporativa.
Los perores siete errores (respecto a seguridad de la informacion) que cometen la alta gerencia.
- Asignar personas sin entrenamiento para mantener la seguirdad y no proveerles el tiempo o los recursos para formarse y hacer correctamente su trabajo.
- Fallar en la comprension de la relacion entre su negocio y la seguridad de la informacion. Entender el problema de la seguridad fisica, pero no ver las consecuencias de una deficiente seguiridad de la informacion.
- Fallar en el tratamiento de los aspectos operativos de la seguridad: Realizar algunas correcciones y luego no permitir el correspondiente seguimiento y el resto de las tareas necesarias para mantener el problema corregido.
- Descanzar primaria o exclusivamenete en la proteccion de perimetro.
- Fallar en la estimacion del valor o costo de la informacion o la reputacion de la organización.
- Unicamente autorizar soluciones reactivas, de corto plazo de forma que los problemas vuelven a ocurrir una y otra vez.
- Pretender que si el problema es ignorado o desestimado, desaparecera.
Los peores 10 errores de seguridad que cometen la gente de IT.
- Conectar los sitemas a Internet antes de Hacerles el Hardening correspondiente.
- Conectar los sistemas de testing a Internet con las credenciales de autenticacion que traen configuradas de fabrica.
- Fallar en la actualizacion de los sistemas cuando son informados de huecos en la seguirdad del mismo.
- Usar protocolos de comunicación sin encripcion para la administracion de sistemas, Routers, Firewall o PKY.
- Otorgar passwords a usuarios a traves de las lineas telefonicas o cambiar el password de un usario a partir de una llamada telefonica aun cuando no es posible auntenticar la solicitud.
- Fallar en la realizacion o pruebas de Backups
- Ejecutar servicios innecesarios en los sistemas, especialmente, ftpd, telnetd, finger, rpc, mail, rservices
- Implementar o configurar defectuosamente los Firewalls, en particular omitir aquellas reglas que permiten detener trafico entrante o saliente malicioso o peligroso.
- Fallar en la implementacion o actualizacion de software de deteccion de virus u otroas amenazas.
- Fallar en la educacion de los usuarios en cuanto a que deben mirar o como deben reaccionar frente a un posible problema de seguridad.
Traducción de Santiago Cavanna, Miembro de ISSA - ISSA Argentina - CISSP(ISC2) + GIAC_GSEC(SANS). Especialista en seguridad de la informacion. Consultor en seguridad Informatica.
0 comentarios:
Publicar un comentario