Tema 1 – Adopción de pautas de seguridad informática Punto 2 – Elementos vulnerables de los sistemas informáticos Juan Luis Cano

Vulnerabilidades Una vulnerabilidad informática es un elemento de un sistema informático que puede ser aprovechado por un atacante para violar la seguridad, así mismo pueden causar daños por sí mismos sin tratarse de un ataque intencionado. A las vulnerabilidades se les consideran un elemento interno del sistema, por lo que es tarea de los administradores y usuarios el detectarlos, valorarlos y reducirlos.

Ciclo de vida de una vulnerabilidad La vulnerabilidad pasa por un ciclo de vida desde que se encuentra y se genera hasta que es completamente eliminado y controlado, ya que siempre los administradores y usuarios informáticos ayudan para que esto sea posible. Cuando un error es encontrado, el deber del informático es: Controlar el riesgo: Se fortalecen los controles existentes o se agregan nuevos. Eliminar el riesgo: Se elimina el activo relacionado y por ende el riesgo. Compartir el riesgo: Mediante acuerdos contractuales se traspasa parte del riesgo (o su totalidad) a un tercero (un ejemplo son los seguros). Aceptar el riesgo: Determinar que el nivel de exposición es adecuado. Hay 3 tipos de vulnerabilidades principales: Hardware, Software y Datos

Hardware Las posibles vulnerabilidades del hardware vienen dadas por el fallo en la instalación, mantenimiento o un fallo técnico en el propio hardware. Hay muchas posibilidades de vulnerabilidades del hardware, ya que cualquier pieza puede dañarse, por mediación o no de la mano humana, ya que un alto voltaje, por ejemplo, podría dañar las piezas del equipo usado.

Tipos de Phising Algunas de las vulnerabilidad del Hardware más corrientes son: Mal diseño: Se trata de cuando los componentes de hardware no son apropiados y no cumplen los requerimientos necesarios. Errores de fabricación: Ocurre cuando las piezas de hardware son adquiridas con desperfectos de fabricación y posteriormente fallan al momento de intentar usarse. Suministro de energía:  Las variaciones de voltaje pueden dañar gravemente los dispositivos. Debe procurarse que dichas instalaciones proporcionen los voltajes requeridos para hacer funcionar un dispositivo, pues existen componentes de hardware que necesitan ser energizados a ciertos niveles de voltaje especificados por los fabricantes, de lo contrario se acortara su vida útil. Desgaste: el uso constante del hardware produce un desgaste considerado como normal, con el tiempo este desgaste reduce el funcionamiento optimo del dispositivo hasta dejarlo inutilizable. Descuido y mal uso: Los componentes deben ser usados dentro de los parámetros establecidos por los fabricantes. No seguir estas prácticas provoca un desgaste mayor que trae como consecuencia reducción del tiempo de vida útil de los recursos.

Software Hay muchas situaciones en las que el software es muy vulnerable, ya sea por error del programador (bug), por la mala configuración del usuario o por la invención de algún código malicioso que cree alguna vulnerabilidad. Dentro de un mismo programa, una vulnerabilidad se localiza habitualmente en un componente o módulo. Los programas suelen componerse de varios módulos que interactúan entre sí. Algunas de estas situaciones son debidas a que: Los programadores no tienen que ser, necesariamente, expertos en seguridad. En las compañías de software, los empresarios presionan a sus programadores para reducir los plazos de desarrollo del software, pero no imponen ningún requerimiento en cuanto a la seguridad del código que éstos producen. Las auditorías de seguridad de código fuente no son seguras, ni han cambiado a lo largo de los años, por lo que sigue habiendo muchos fallos en la creación de los programas que no han cambiado, aunque esto intente corregirse día a día.

Datos Los datos necesitan una ingente cantidad de protección para no ser robados y eliminados, puesto que muchos de los ataques provenientes de la red consiste en robar información de los usuarios sin su consentimiento (phising). Hay muchos tipos de robos de información, ya que es una práctica muy extendida en toda la red.

Tipos de Phising El phising (o robo de datos) tiene varios tipos según el sistema empleado para ello. Phising: Es un delito de estafa en la red, y es la forma de obtener datos del usuario en la red. El estafador se hace pasar por un mensaje, página web o ip de confianza para lograr robar esos datos, como puede ser la cuenta del banco. Tabnabbing: Se trata de convencer al usuario de que está en una página de confianza para que ingrese sus datos de acceso, que obviamente serán recolectados para ser usados en nuestra contra o en beneficio ajeno. El TabNabbing se aprovecha del hábito de tener varias pestañas abiertas a la vez en el navegador, de tal forma que al entrar en web aparentemente normal , el mismo esperará al cambio de pestaña para modificar su ícono, título y contenido, y hacerse pasar por alguno de los sitios conocidos. Sniffing: Es el robo de información, utilizando alguna herramienta de sniffer, que capturan e interpretan todos los paquetes que circulan por la red. Estas herramientas interpretan todos los paquetes que aparecen en la red, de tal forma que pueden detectarse todo tipo de contraseñas y las páginas accedidas por el usuario.

Punto 3 – Principales vulnerabilidades del sistema