Contraseñas-Passwords

Con el propósito de prevenir, en medida de lo posible el acceso a nuestras cuentas, a continuación traslado un extracto de procedimientos a seguir, al momento de generar o administrar contraseñas:

“Estándar de protección de contraseñas

* Cambiar las contraseñas cada 30 días.
* No escribir las contraseñas y dejarlas al alcance de los demás.
* No guardar las contraseñas sin cifrarlas.
* No usar la misma contraseña para las cuentas de la organización que para las cuentas personales (email, banco…).
* No compartir las contraseñas en la empresa con nadie, incluidos el personal administrativo, secretarias.
* Todas las contraseñas deben ser tratadas como información sensible, confidencial.
* No dar la contraseña por teléfono a nadie.
* No dar la contraseña por email.
* No darle la contraseña al jefe.
* No decir la contraseña delante de personas.
* No revelar la contraseña en cuestionarios.
* No compartir la contraseña con familiares o compañeros de trabajo durante las vacaciones.
* No usar la opción “remember password” en las aplicaciones (IE, MSN, Mozilla,…)
* Si sospechamos que una clave ha podido ser usurpada, reportar el incidente al personal de seguridad de TI y cambiar todas las contraseñas.
* Se deberán hacer auditorias de crackeo de contraseña por el personal de seguridad. Si alguna contraseña se obtiene durante estos escaneos deberá ser documentado al usuario para que proceda a cambiarla.
* Además habría que ver qué usuarios existentes en los sistemas no necesitan contraseña ni shell, de manera que no haya forma de que entren en los sistemas.

La robustez de las contraseñas es un punto fundamental que está en primera línea para la protección de las cuentas de usuario. Elegir una contraseña débil comprometerá de forma crítica los recursos.”

Extracto tomado de la publicación efectuada por la señorita Laura García quién escribe para  www.securitybydefault.com.

Como podrán observar los lectores, desde el inicio de este blog,  se indico que en este espacio se tratarían temas contables y de auditoría y la seguridad en el área de informática (PED), es una área que no escapa ha que debe ser evaluada al momento de efectuar una auditoria así como el uso de contraseñas y administración de estas, todo lo anterior es parte de la seguridad que no debe escapar a la evaluación.

Como prevenir el spam en Twitter

Siempre pensando en la seguridad de los usuarios, y con el propósito de evitar que la información que es de vital importancia para la empresa, se vea de alguna forma comprometida y amenazada por terceras personas, a continuación traslado parte del siguiente boletín emitido por una prestigiosa empresa de seguridad y que llego a mi correo, comparto el mismo,  por considerarlo de interés general para todos.

“Con lo popular que es twitter muchas personas lo usan y comienzan seguir a otros sin muchas veces revisar a quien seguimos o sencillamente hacer un click en los enlaces que nos envían sin verificar de quien vienen o hacia donde nos pueden dirigir. Aquí una serie de consejos para evitar caer en las garras del spam en Twitter.

Tipos de spam más comunes en Twitter:

1.    Spam de tweet: proviene de alguien del cual el usuario esta actualmente siguiendo y todo el que sigue a ese usuario vera el mensaje.
2.   Mensaje directo: un mensaje directo proviene de alguien que el usuario esta siguiendo y solo el usuario vera el mensaje.
3.    Spam de ReTweet: busca por tweets legítimos  y los reporta en el sistema pero con una URL diferente y que apunta a un sitio con malware.
4. Spam de temas de tendencias: busca por temas populares en twitter y publica tweets similares que contienen URLs maliciosas.
5.    Spam de seguimiento: suceden cuando un perfil de usuario recibe muchos seguidores que el usuario no conoce. Si el usuario no comienza a seguirlos en una semana, ellos paran de seguir al usuario. Estadísticas muestran que uno de cada dos usuarios hará un seguimiento. Usualmente estos perfiles son bots que están programados para adquirir tantos seguidores como sea posible antes de comenzar a enviar spam.

Con estos cinco consejos podemos ayudarnos a no ser presa del spam:

1.    Instale una solución completa de seguridad en su computador que contenga antivirus, cortafuegos y un filtro de phishing.
2.    Siga a perfil de spam en Twitter http://twitter.com/spam para encontrar más y buenos consejos sobre el spam.
3.    No haga click en todos los enlaces que recibe.
4.    Deshabilite la opción de “auto seguimiento”.
5.    Asegúrese de conocer a quien esta siguiendo.”

Fuente: Bitdefender.com”

Los subrayados, negrillas y color,  fueron incluidos por mi persona para resaltar los puntos importantes de dicho boletín.

Recuperación de Información

Después de haberme llevado una serie de sorpresas el jueves recién pasado (20/08/2009) estoy de vuelta, mas sin embargo, de lo ocurrido quiero trasladar a los apreciables lectores parte de la experiencia vivida.

1.    Después de haber hecho una actualización de forma automática, resulta que la máquina se reinicio y nunca paso de ese estado, en la jerga computacional se puede decir que se quedo en un lup,  apagado y encendido hasta una infinidad de veces.  Resultado, apagar manualmente la máquina.

2.    Ante dicha situación, procedí a verificar la configuración del Bios, la cual estaba tal como vino de fábrica.

3.    Modifique el Setup de inicio, para arrancar desde el CD, únicamente deje esta opción.

4.    Después de varios intentos, empezó a leer el CD, a todo esto estoy hablando de la 01:00 de la mañana del día viernes.

5.    Día viernes, 15:00 horas fue imposible acceder al disco C:\; utilice los comandos de DOS: CHKDSK,  RECOVER, UNDELETE, no funciono.

6.    Ante dicha situación verifique último Backup efectuado (15/08/2009), información a perder sólo de 6 días, la única lamentación, fue el trabajo de la Universidad pendiente de impresión y de entregar el día sábado.

7.    Viernes 22:00 horas, después de probar las distintas disponibilidades para entrar y al no funcionar ninguna, pude ingresar al disco C:\, haciendo una recuperación desde el CD, de instalación.  Se logro recuperar el trabajo de la U. para imprimir en otra máquina.

8.    Sábado 02:30, se termino de hacer backup general, a descansar ya pensando en formatear la máquina.

9.    Sábado 06:45, se verificaron todos los discos CD´s con driver´s, antes de formatear

10.    Domingo 16:15 horas, máquina formateada y programas básicos instalados (Procesadores de texto, hojas electrónicas, etc; impresora y Pdf).

Conclusión general:

Hacer backups diariamente, o de no ser posible; sugiero como mínimo cada 8 ó 15 días siempre que no se puede hacer diariamente que es lo ideal o por el volumen de información, para que al momento de que existan fallos, no hayan lamentaciones de información pérdida.

Tener siempre a la mano los CD´s con Driver´s y controladores para una fácil recuperación del sistema completo y lo más importante, tener las Key´s o seriales de los programas que se utilizan.

Seguridad de la Información

En correo privado he recibido parte de información sobre las políticas de seguridad sobre la información que deben establecerse en toda organización y de esta forma mantenerla protegida, lo cual considero, se logrará siguiendo los lineamientos enumerados, no importando el tamaño de la empresa, y como siempre he sido de la opinión de compartir este tipo de información con los seguidores de este blog, a continuación dejo un extracto de este boletín con el único propósito de que pueda ser implementado en donde Usted se desempeña laboralmente, o que haga el comentario correspondiente con el personal encargado, para que de esta forma pueda implementarse.

Si por cualquier motivo desean ampliar sobre el mismo, al final dejo el link correspondiente para que lean el texto completo sobre este tema.  Espero que el mismo sea de su interés y a la vez se ponga en práctica.

A continuación parte del boletín:

“Documentos a incluir en el Programa de Seguridad de la Información

-Roles y responsabilidades: descripción de las responsabilidades de seguridad para otros departamentos. Por ejemplo, se le puede dar al departamento de desarrollo la tarea de evaluar las vulnerabilidades de seguridad antes de desplegar nuevas aplicaciones; o al departamento de recursos humanos la labor de mantener listas actualizadas de empleados y suministradores.

-Estándares tecnológicos: descripción de los parámetros de configuración técnica y valores asociados que se hayan determinado para asegurar que los directivos pueden controlar el acceso a los activos de información electrónica.

-Procesos: flujos de trabajo que muestren cómo se combinan las funciones de seguridad desarrolladas por los diferentes departamentos para asegurar la gestión segura de la información.

-Procedimientos: instrucciones paso a paso para que el personal pueda realizar tareas rutinarias de seguridad sin necesidad de formación previa, y asegurar así que los mecanismos preventivos, de detección y/o respuesta funcionan como está previsto.

-Directrices: consejos sobre la forma más fácil de cumplir las políticas de seguridad, generalmente redactados para usuarios sin conocimientos técnicos que tienen distintas opciones de gestionar la información de forma segura.

Qué debe contener una Política de Seguridad

La pregunta es ¿cuál es la información mínima necesaria que se debe incluir en una Política de Seguridad? Debe ser suficiente para comunicar a los directivos los objetivos y la dirección en la que debe ir la seguridad. Debe incluir lo siguiente:

1. Alcance: debe incluir toda la información, sistemas, instalaciones, programas, datos, redes y usuarios de tecnología de la empresa, sin excepción.

2. Clasificación de la información: debe proporcionar definiciones específicas para cada tipo de contenido, y no simplemente adjetivos como “confidencial” o “restringida”.

3. Objetivos para el manejo seguro de la información en cada categoría (por ejemplo, se deben combinar las obligaciones contractuales, regulatorias y legales en uno.

4. Posicionamiento de la política de seguridad en el contexto de las demás directivas de gestión y otros documentos suplementarios (es decir, si ha sido acordada a nivel ejecutivo, todos los demás documentos de gestión de información deben ser consecuentes con ella).

5. Referencias a los documentos de apoyo (los de roles y responsabilidades, procesos, tecnología, etc.).

6. Instrucciones específicas sobre las obligaciones de seguridad de toda la empresa a nivel general (por ejemplo, todo acceso a cualquier sistema informático requiere la verificación de identidad y la autenticación, no se pueden compartir mecanismos de autenticación, etc.)

7. Designación específica de las responsabilidades establecidas (por ejemplo: el departamento de tecnología es el único proveedor de líneas de telecomunicación autorizado).

8. Consecuencias del incumplimiento (desde sanciones hasta el cese o despido).

Esta lista será suficiente como política de seguridad de la información básica para una empresa. Aunque los puntos 6 y 7 pueden contener una gran cantidad de variables y detalles relativos a las medidas de seguridad, es aconsejable no extenderlos demasiado para asegurar su legibilidad, y apoyarse en sub-políticas o documentos de apoyo para incluir todos los requisitos. De nuevo, es más importante tener una conformidad completa a nivel de política que incluir montones de detalles.”

Fuente: www.csospain.es

De lo anterior podemos concluir, que esta información es mínima y la misma puede ser ampliada de acuerdo al tamaño de la empresa y formar parte del manual de políticas de seguridad, esto con el afán de mantener la información protegida.

Accidentado vuelo 447 de Air France, utilizado por hackers

Accidentado vuelo 447 de Air France, está siendo utilizado por los hackers

Siempre velando por la seguridad de los seguidores de este blog, me permito informarles de la última noticia relacionada con seguridad en nuestros sistemas, y que debemos tener la debida precaución para no caer en errores, o alertar a nuestro personal para que tomen las medidas correspondientes para que no se dejen sorprender por este tipo de información.

A continuación parte de la noticia que me fuera enviada a mi correo, la cual comparto con Ustedes:

“-Trend Micro- compañía especializada en tecnología y seguridad digital, está advirtiendo respecto de una nueva amenaza informática que se extiende por Internet y usa como excusa temática para entrar e infectar las PCs la reciente tragedia del vuelo 447 de Air France

“Los resultados arrojados de las búsquedas que realizan los internautas en relación a la tragedia muestran vínculos que, una vez abiertos, generan múltiples redireccionamientos a varios sitios que, finalmente, llevan a descargar software antivirus falso”, afirma Maximiliano Cittadini, Team Leader de Servicios de Trend Argentina. “Lamentablemente, ésta es una prueba más del grado de sofisticación que adquieren los ciberdelincuentes y del mayor nivel de complejidad de los nuevos escenarios digitales, que obligan a repensar en la seguridad de un modo más global y preventivo, tal como lo comentábamos en el último Infosecurity”, completa el ejecutivo…”

Ampliar infomación

Siempre velando por la seguridad de los seguidores de este blog, me permito informarles de la última noticia relacionada con seguridad en nuestros sistemas, y que debemos tener la debida precaución para no caer en errores, o alertar a nuestro personal para que tomen las medidas correspondientes para que no se dejen sorprender por este tipo de información.

-

A continuación parte de la nota que me fuera enviada a mi correo, la cual comparto con Ustedes:

.

“-Trend Micro- compañía especializada en tecnología y seguridad digital, está advirtiendo respecto de una nueva amenaza informática que se extiende por Internet y usa como excusa temática para entrar e infectar las PCs la reciente tragedia del vuelo 447 de Air France.

.

“Los resultados arrojados de las búsquedas que realizan los internautas en relación a la tragedia muestran vínculos que, una vez abiertos, generan múltiples redireccionamientos a varios sitios que, finalmente, llevan a descargar software antivirus falso”, afirma Maximiliano Cittadini, Team Leader de Servicios de Trend Argentina. “Lamentablemente, ésta es una prueba más del grado de sofisticación que adquieren los ciberdelincuentes y del mayor nivel de complejidad de los nuevos escenarios digitales, que obligan a repensar en la seguridad de un modo más global y preventivo, tal como lo comentábamos en el último Infosecurity”, completa el ejecutivo…”

.

Ampliar infomación

Navegar con mayor seguridad en Internet

Husmeando por la RED temas de seguridad, he dado con varios tips o consejos que son dados por Kaspersky Lab, esto para hacer del usuario un poco mas segura la navegación en la Internet, como dicen ellos, es importante saber que “hoy en día nos encontramos con auténticos “profesionales”, que como hemos visto en otros temas, el fin específico de ellos es hacerte quebrar, haciendo que desembolses fuertes sumas de dinero por cualquier medio a su alcance.

Es importante hacer notar y tener cuido en las redes sociales, ya que son un medio para atacar y contaminar.

A continuación dejo un resumen de estos consejos:

“1.    Primero, usa el sentido común: sí, es cierto el dicho que explica que el sentido común es el menos común de los sentidos…

2.    Utiliza contraseñas adecuadas: es muy importante el tipo de contraseña que se usa en Internet, ya que el utilizar una contraseña débil puede convertirte en una víctima del cibercrimen. Intenta que sea fácil de recordar (y evitar así escribirla en algún papel o archivo),..

3.    Redes sociales: Los virus de última generación utilizan las redes sociales para enviar mensajes con links sospechosos desde cuentas de confianza…

4.    Protege tu red inalámbrica. Si tu red es Wi-Fi, un hacker podría interceptar los datos que envías y recibes, o acceder a tu red. Es importante cambiar la contraseña del router (así como el nombre del mismo)…

5.    Cuidado con el spam: no respondas a correos basura ni pinches nunca en los enlaces de un mail de este tipo, ya que solo confirmarías que tu dirección está activa y serás el blanco de los spammers en el futuro…

6.    Archivos y links dudosos: si recibes un mail con un archivo adjunto o un mensaje de chat con un link, no lo abras nunca a no ser que estés esperándolo…

7.    Datos personales: nunca des tus datos personales en respuesta a un correo electrónico. Sólo hazlo utilizando webs seguras (las que empiezan con https:// )…

8.    Realiza copias de seguridad de manera periódica: algunos virus están diseñados para encriptar tus documentos y pedir así un rescate a cambio de devolver el sistema a la normalidad…

9.    Utiliza software de seguridad: hay soluciones antimalware para todos los gustos y los bolsillos, pero es imprescindible mantenerlas actualizadas…

10.    Instala los parches y actualizaciones: si el fabricante del sistema operativo o programas que utilizas publica un parche de seguridad, no dudes en instalarlo.”

Fuente: Ampliar estos consejos

Videos de seguridad para uso forense

Volviendo a los temas que nos han dado a conocer en este blog, en esta oportunidad me permito trasladar a Ustedes, este excelente tema que considero que por azar del destino, nos va como anillo al dedo por los hechos que lamentablemente estamos viviendo en Mi querida Guatemala.  Este tema trata sobre la originalidad de los videos que deben servir como lo indica el título para uso forense de investigación, no importando el hecho de que se trate.

Considero el mismo de vital importancia, ya que este fue emitido por expertos en seguridad, y que en el caso de una auditoría puede formar parte de evidencia, siempre que se haga uso de un especialista (En nuestra profesión, la contratación de un especialista de seguridad).

Este tema trata de aclarar y definir lo siguiente:

¿Qué es la autenticación de video?
La autenticación de video en sistemas analógicos
Autenticidad en la Era Digital
Puntos de Vulnerabilidad
Transmisión de video IP
Exportación de video IP

En resumen el experto concluye:

“Con las VCRs protegiendo la integridad del video grabado, todo recaía exclusivamente en la confianza hacia las personas que tomaran contacto con los videos obtenidos. Asimismo, se asumía que el video proveniente del cable coaxil (i) procedía de la cámara correcta (y no de una maliciosa).
Con el video IP, existe una combinación de mecanismos lógicos y físicos que provee niveles de seguridad de datos mucho más altos. Las redes IP poseen la encripción incorporada y pueden eliminar cualquier cámara que no aparezca en la lista de “direcciones MAC confirmadas”. Bosch aplica chequeos CRC a las tramas de red para confirmar que se recibió exactamente lo que se había enviado anteriormente y utiliza contraseñas para restringir el acceso de los usuarios al video en vivo y grabado, el cual típicamente varía según un horario y nivel de acceso para incrementar la seguridad.
Mas allá de esto, Bosch añade la firma digital como función de encripción criptográfica MD5 128 bits desde la misma cámara remota que genera la señal original hasta los videos
exportados; esta marca de agua alerta si cualquier video ha sido modificado en lo más mínimo.”

Espero que este tema sea de su interés.

Fuente: Ampliar tema original