1. SEGURIDAD Y APLICACIONES WEB Licencia Creative Commons Esta obra esta distribuida bajo una licencia de:

• Reconocimiento (Attribution): En cualquier explotacin de la obra autorizada por la licencia har falta reconocer la autora.

2. No Comercial (Non commercial): La explotacin de la obra queda limitada a usos no comerciales.

3. Compartir Igual (Share alike): La explotacin autorizada incluye la creacin de obras derivadas siempre que mantengan la misma licencia al ser divulgadas. 4. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Vulnerabilidades 5. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.

Vulnerabilidad. Descripcin:

• Entendemos porvulnerabilidadaquellos errores de diseo, implementacin o configuracin en las aplicaciones o sistemas (sistema operativo, software servidor, aplicaciones, aplicaciones web,...) que nos permiten realizar un ataque sobre la informacin o recursos del sistema.

6. Laexplotacinde una vulnerabilidad consistir en utilizar dicha vulnerabilidad para obtener la informacin o control sobre los recursos del sistema.

7. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.

Algunas vulnerabilidades muy comunes:

• En aplicaciones web

• Sql Injection (SQLi)

8. Cross Site Scripting (XSS)

9. Abuso de funcionalidad BufferOverflow

A travs de esta tcnica se consigue escribir en reas de memoria del sistema fuera del contexto de aplicacin, consiguiendo la ejecucin de cdigo inyectado.

10. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.

Existen diversidad de formas de clasificar vulnerabilidades

• Explotabilidad (existen exploits)

11. Impacto

12. Vector de acceso (local, red, remoto,...)

Existen buscadores de vulnerabilidades donde podemos encontrarlas clasificadas en funcin de diferentes parmetros

13. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.

El tipo de vulnerabilidad ms peligroso es una vulnerabilidad 0day

• Es aquella que es desconocida tanto para el fabricante como para el pblico

14. Por lo tanto:

No existe parche que aplicar

15. No existe forma de deteccin conocida (los IDS no la encontrarn) 16. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Como saber las vulnerabilidades que tiene un determinado producto? Existen buscadores de vulnerabilidades: http://cert.inteco.es/vulnSearch/Actualidad/Actualidad_Vulnerabilidades/buscador_vulnerabilidades/?postAction=getVulns 17. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.RIESGO 18. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Quien va a querer atacar mi ordenador o sistema? Para responder a esta pregunta que mejor que algunas estadsticas 19. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Vulnerabilidades yMalwareen internet Algunas datos representativos en cuanto al nmero de vulnerabilidades y malware reportado a lo largo de los ltimos aos:

8000 nuevas vulnerabilidades durante este ao

20. 60 millones de elementos malware diferentes detectados. 21. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Nmero de vulnerabilidades reportadas por ao 22. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Fabricantes ordenados por nmero de vulnerabilidades reportadas por ao (mayor a menor) 23. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Nmero de ficheros malware diferente detectados. 24. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Nmero de vulnerabilidades web (% del total de vulnerabilidades) por ao 25. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Parece que existe bastante malware y vulnerabilidades en internet NO? 26. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Nmero de equipos limpiados por cada mil analizados (2010) (Reporte de Microsoft) Opinin: Espaa se encuentra entre los pases del mundo con ms equipos infectados 27. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.ASDF ASDF Nmero de infecciones (medidas en funcin de los equipos limpiados)(Reporte de Microsoft) 28. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet. 29. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.La utilidad de este tipo de estadsticas es relativa ya que son estadsticas parciales. Suelen ser recogidas por algn fabricante de antivirus por lo que representa a un segmento de los equipos Como podemos ver viendo las dos ltimas transparencias:

Segn microsoft los equipos en los que se ha detectado infeccin (suponiendo 29 millones de usuarios en Espaa) es de un 9%

30. Segn Panda Labs de un 42% Ni para ti ni para mi, pongamos un 25% que sera la probabilidad anual que tenemos de resultar infectados por malware 31. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Porcentajes de ataques web ms utilizados (2010) 32. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Nmero de correos electrnicos con phising con respecto del total de SPAM 1 de cada 445 correos es SPAM! 33. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Actividad Botnet por zona geogrfica Actividad Botnet por zona geogrfica Actividad Botnet por zona geogrfica Actividad Botnet por zona geogrfica 34. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Nmero ataques a sitios web diarios 35. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Uso de redes sociales en Espaa (2010) El uso de la redes sociales para la distribucin de malware afecta a un gran nmero de usuarios 36. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Venta de bienes y servicios en el mercado negro Si existe demanda existe gente que se encarga de conseguirlo. Los precios dan a entender ventas masivas 37. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.

Otros hechos significativos a resaltar durante el perodo 2010 son:

• Se estima que el 50% del cdigo daino recibido por los principales proveedores antivirus es nuevo.

38. La categorade software daino que ha experimentado un mayor incremento (51%) son los programas de captura de informacin del usuario, especialmente los keylogger y los troyanos bancarios.

39. Un 99,4% de los programas dainos son para Windows. 40. Las redes sociales se han convertido en una nueva va principal de distribucin de cdigo daino, especialmente Twitter y Facebook. 41. Los archivos en PDF siguen siendo la fuente predominante de explotacin de vulnerabilidades. 42. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Uso de sistemas operativos en Espaa 43. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Uso de navegadores y sus versiones en Espaa 44. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.La creacin de malware es una actividad que busca maximizar el nmero de equipos infectados para aumentar el beneficio por malware distribuido. Se crear malware que pueda ser ejecutado en las plataformas mayoritarias:

Windows

45. Internet Explorer 46. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Estudio antivirus, tanto por ciento de virus no detectados de entre una muestra de 400 ficheros con malware Con usar un nico antivirus en nuestro sistema no estamos protegidos del 100% de virus conocidos por no hablar de los desconocidos 47. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.A continuacin vamos a hacer el ejercicio mental de valorar el riesgo en nuestras actividad habitual con el ordenador de casa 48. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.

Activos:

• Porttil

49. Fotos familiares ltimos 5 aos

50. Datos personales (currculum, escaneo de DNI, nmeros de cuentas bancarios, contraseas, ) 51. Datos personales II(Uso que hago de internet, bsquedas que realizo, pginas que visito, artculos que leo... tendencias polticas, religiosas,...? 52. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.

Uso que se da al ordenador

• Acceso al banco y compras electrnicas

53. Acceso a correo electrnico personal y de empresa

54. Instalacin de software fraudulento (crackeado) 55. Abro los adjuntos y pincho en los enlaces de los correos y redes sociales. 56. Adobe Reader 8 57. Uso windows XP e Internet explorer 7. (Sin actualizaciones) 58. Tengo un antivirus que comprueba todos los archivos 59. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.

Amenazas en funcin del uso:

• Robo de credenciales

60. Control total del sistema por parte de terceros

61. A travs de vulnerabilidades en:

SO (Vulnerabilidades en los servicios expuestos a internet/intranet)

62. Navegador (Pinchar un enlace a un sitio inseguro + vulnerabilidad conocida en navegador puede servir para ser controlado en remoto) 63. Instalacin de un troyano, backdoor, keylogger, ... al instalar un crack o software pirateado, etc... 64. Instalacin de malware al abrir un PDF 65. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.

Riesgo de que las amenazas se materialicen:

• Alto debido a malas prcticas:

• Actualizaciones automticas de so y software adicional no activadas

66. Apertura de adjuntos de fuentes no confiables

67. Clic en enlaces no confiables 68. Instalacin de software pirata 69. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Gran parte de los usuarios y empresas actuales se podran ver reflejados en gran parte con el ejemplo anterior. Queda a mi juicio mucho camino por andar para considerar nuestros sistemas al menos un poco seguros. 70. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.

Conclusiones:

• El riesgo de que alguien quiera atacar tu sistema/s existe

71. Existe un mercado de delincuencia organizada alrededor de la venta de informacin y recursos informticos robados.

72. Existen vulnerabilidades en todos los sistemas. 73. Debemos contemplar la seguridad como una dimensin importante en nuestro uso de las tecnologas informticas. 74. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Conclusiones: (Valoracin personal)

El riesgo de resultar afectado es ALTO

• El nmero de vulnerabilidades y malware existente hace muy probable resultar infectado

75. El inters de los atacantes esta tanto en el usuario particular como en las organizaciones

Existe un mercado para vender la informacin (secretos comerciales, cuentas bancarias,... y los recursos de mquina: botnets)

La plataforma ms atacada es windows+iExplorer+Adobe 76. Todas las plataformas tienen vulnerabilidades 77. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Que pensis vosotros? 78. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Que podemos hacer?

Analizar la situacin de cada uno de nuestros activos (tanto como usuario como empresa)

79. Valorar su importancia 80. Protegerlos en consecuencia 81. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.Como aumentamos la seguridad?

La seguridad es una dimensin ms a contemplar en todos los aspectos de un sistema/empresa.

82. Aumentar la formacin de los usuarios.

• Todos los usuarios, tcnicos y no tan tcnicos

Entender la seguridad como un proceso continuo de mejora

Entre otras muchas cosas... 83. SEGURIDAD Y APLICACIONES WEB [I n ]Seguridad en internet.La seguridad siempre ir reida con la funcionalidad por lo que se debe llegar a un compromiso. El sistema ms seguro es aquel que esta apagado, desenchufado y desconectado de la red Evidentemente dicho sistema no provee ninguna funcionalidad Un sistema debe proveer la funcionalidad para la que ha sido diseado con el mximo nivel de seguridad posible.