OWASP (Open Web Application Security Project, en inglés) es un proyecto de seguridad de aplicaciones web abiertas’) es un proyecto de código abierto dedicado a determinar y combatir las causas que hacen que el software sea inseguro.

La comunidad OWASP está formada por empresas, organizaciones educativas y particulares de todo mundo. Juntos constituyen una comunidad de seguridad informática que trabaja para crear artículos, metodologías, documentación, herramientas y tecnologías que se liberan y pueden ser usadas gratuitamente por cualquiera.

OSWASP prepara todos los años un informe donde se pueden ver los 10 mayores peligros durante el año. Esta información es muy útil y sirve de guía para poder brindar un mayor grado de seguridad a las aplicaciones.

La siguiente es la lista de las 10 mayores amenazas del año 2010:

Read More

El próximo 15 de Febrero terminara el soporte para actualizaciones de seguridad de Debian 4.0 alias Etch.

Como se puede ver en el anuncio, esto se hace 1 año después de la release de Debian 5.0 Alias Lenny y 3 años después de que se lanzo Etch.

Si todavía no han realizado la actualización, se recomienda que lo hagan en este tiempo que queda hasta el 15 y así poder seguir contando con actualizaciones de seguridad.

En AltoSec contamos con una solida experiencia en esta distribución. En caso de requerir asesoramiento puede contactarnos.

Anuncio Oficial.

Read More

David Hall, jefe de producto de Symantec, ha realizado declaraciones en contra de las soluciones antivirus gratuitas. “No son suficientes para mantener al usuario seguro”. Si bien lleva razón en que los antivirus por sí solos no son suficientes para asegurar a nadie, no es relevante el hecho de que sean gratuitos o no. La declaración viene después de que Microsoft lance su propio antivirus gratuito Security Essentials.

Read More

Seguridad Física

Al momento de hablar de seguridad se piensa principalmente en que afuera hay personas que quieren entrar, por lo que se enfatiza en las medidas perimetrales de seguridad. El problema es que existe una alta probabilidad de que un ataque provenga desde dentro de la organización ya sea intencionado o accidental y en formas que ni siquiera se han contemplado.

En una nota anterior habíamos hecho referencia a las laborares del CISO (Chief- Information- Security-Officer). Entre una de ellas esta tener en cuenta la seguridad física de centros de cómputos.

Este aspecto muchas veces olvidado, bien por desconocimiento o por simple simple exceso de confianza, tendría que atenderse no solo si se tiene una gran cantidad de servidores, también tendría que ser tomado en cuenta para cualquier tipo de sistema que requiera brindar las premisas básicas de la seguridad:

• Integridad: La información sólo puede ser modificada por quien está autorizado y de manera controlada.
• Confidencialidad: La información sólo debe ser legible para los autorizados.
• Disponibilidad: Debe estar disponible cuando se necesita.
• Irrefutabilidad (No repudio): El uso y/o modificación de la información por parte de un usuario debe ser irrefutable, es decir, que el usuario no puede negar dicha acción.

Uno de los puntos más afectados en cuanto a la seguridad física es el de la Disponibilidad. Un simple error de cálculos y el servidor de producción que está encima del escritorio de la secretaria puede terminar en el suelo. O bien, una persona mal intencionada puede realizar una Denegación de Servicio (ataque DoS) simplemente con un martillo o llevándose el servidor. De igual forma puede hacerse un DoS simplemente desconectando el cable de red o electricidad los cuales están al alcance.

De acuerdo a las a las posibilidades y teniendo en mente la importancia de la información que se maneja, se debería contar con control de ciertos aspectos de seguridad física.

Existen diversos peligros físicos que pueden comprometer la seguridad de la información. Entre ellos se encuentran los peligros del entorno: Fuego, humo, polvo, terremotos, humedad, agua, etc. También se podrán encontrar los peligros por vandalismo o robo al contar del acceso físico al lugar donde están los servidores que contienen los datos.

Read More

Recomendaciones Anti-Phishing

Las siguientes medidas publicadas por ArCERT (Coordinación de Emergencias en Redes Teleinformáticas) buscan asistirlo para minimizar los efectos negativos de un ataque de “phishing” y de ser posible, impedirlo:

Si recibe un correo electrónico que le pide información personal o financiera, no responda.
Si el mensaje lo invita a acceder a un sitio Web a través de un enlace incluido en su contenido, no lo haga. Las organizaciones que trabajan seriamente están al tanto de este tipo de fraudes y por consiguiente, no solicitan información por medio del correo electrónico. Tampoco lo contactan telefónicamente, ni mediante mensajes SMS o por fax. Si le preocupa el estado de la cuenta que posee en la organización que dice haber enviado el correo, o que lo ha contactado, comuníquese directamente utilizando un número telefónico conocido y provisto por la entidad u obtenido a través de medios confiables, como por ejemplo de su último resumen de cuenta. Alternativamente, puede ingresar en la página oficial de la organización, ingresando usted mismo la dirección de Internet correspondiente en el navegador.

No envíe información personal usando mensajes de correo electrónico.
El correo electrónico, si no se utilizan técnicas de cifrado y/o firma digital, no es un medio seguro para enviar información personal o confidencial.

No acceda desde lugares públicos.
En la medida de lo posible, evite ingresar al sitio Web de una entidad financiera o de comercio electrónico desde un cybercafé, locutorio u otro lugar público. Las PCs instaladas en estos lugares podrían contener software o hardware malicioso destinado a capturar sus datos personales.

Verifique los indicadores de seguridad del sitio Web en el cuál ingresará información personal.
Si es indispensable realizar un trámite o proveer información personal a una organización por medio de su sitio Web, escriba la dirección Web usted mismo en el navegador y busque los indicadores de seguridad del sitio. Al acceder al sitio Web, usted deberá notar que la dirección Web comienza con “https://”, donde la “s” indica que la transmisión de información es “segura”. Verifique también que en la parte inferior de su navegador aparezca un candado cerrado. Haciendo clic sobre ese candado, podrá comprobar la validez del certificado digital y obtener información sobre la identidad del sitio Web al que está accediendo.

Read More