La Seguridad de la Información tiene como objetivo garantizar la protección de los activos de información de una organización en todos aquellos lugares en los que pueda almacenarse, transmitirse o visualizarse.
Característicias
La Seguridad de la Información garantiza las siguientes características de la información:
Confidencialidad: Solo pueden acceder a la información quienes estén autorizados
Integridad: se garantiza que la información y sus métodos de proceso son exactos y completos, evitando las modificaciones no autorizadas.
Disponibilidad: la información debe estar siempre accesible para aquellos que estén autorizados.
Autenticidad: la información es lo que dice ser o el transmisor de la información es quien dice ser.
No repudio: permite probar la autoría u origen de una información.
Amenazas
De origen natural: inundaciones, terremotos, incendios, rayos…
Fallos de la infraestructura auxiliar: fallos en el suministro eléctrico, refrigeración, contaminación…
Fallos de los sistemas informáticos y de comunicaciones: fallos en las aplicaciones, hardware o equipos de transmisiones.
Error humano: errores accidentales o deliberados de las personas que interactúan con la información.
Clases de ataques
Interrupción: se produce cuando un recurso, herramienta o la propia red deja de estar disponible debido al ataque.
Intercepción: se logra cuando un tercero accede a la información del ordenador o a la que se encuentra en tránsito por la red.
Modificación: se trata de modificar la información sin autorización alguna.
Fabricación: se crean productos tales como páginas web o tarjetas magnéticas falsas.
Adware: programas que recopilan información acerca de los hábitos de navegación del usuario. Se suelen utilizar con fines publicitarios para determinar la conducta de los internautas.
Programas de acceso remoto (RAT): permiten el acceso de una tercera persona a el ordenador para un posterior ataque o alteración de los datos.
Troyanos: son programas maliciosos que se presentan al usuario como programas aparentemente inofensivos y ponen en peligro la seguridad del sistema. Estarían englobados también dentro del término RAT puesto que facilitan el control remoto.
Virus o gusanos: programas que además de provocar daños en el sistema se propagan a otros equipos haciendo uso de la red, del correo electrónico, etc.
Spyware: programas que basan su funcionamiento en registrar todo lo que se realiza en un PC. Se utilizan para obtener información confidencial o conocer cuál es el uso que una persona le está dando a la máquina.
Criptografía
Técnicas de alteración de mensajes para evitar la obtención de información por parte de personas no autorizadas.
En la antigüedad:
Rey Sargón I de Acad
Scytale (escítala)
Cifrado César
El objetivo era ocultar información al pueblo.
Esteganografía
Arte de ocultar información dentro de mensajes u objetos para que no se perciba su existencia.
Algunos programas para ocultar / revelar mensajes en ficheros informáticos:
Estos programas utilizan un algoritmo de sustitución LSB (Least Significant Byte)
Países que espían
EEUU, a través de la NSA, se sabe que utiliza los siguientes proyectos para espiar:
TREASURE MAP
MYSTIC
PRISM
XKEYSCORE
BULLRUN
Buscadores web: Google, Bing, DuckDuckGo…
Herramientas de búsquedas de personas.
Consulta de dominios
Metadatos
Repositorios
Buscadores web
El buscador Google permite utilizar ciertos operadores para afinar las búsquedas:
site: busca en un determinado dominio
filetype: busca por un tipo de extensión de archivo
inurl
intitle
link
info: muestra información de la página dada.
intext: muestra páginas que en su contenido se encuentre el término dado.
cache: busca en la caché almacenada de cierta página
La búsqueda de imágenes de Google también permite buscar imágenes parecidas o información sobre ella.
Shodan en un buscador que se centra en dispositivos: servidores, cámaras web, impresoras, routers…
Consulta de dominios
Se le pregunta a un servidor de nombres de dominios (DNS) para obtener información relacionada con el dominio o el host.
Hacer este tipo de consultas es útil para saber la dirección IP de un dominio, diagnosticar problemas de configuración de red.
host www.example.com
nslookup www.example.com
También se puede utilizar un servicio web como Robtex
Información adicional de un documento que se almacena en él mismo.
Herramientas para extraer o manipular metadatos:
Explotación de metadatos en imágenes de gatos: https://iknowwhereyourcatlives.com
Repositorios
Sitio centralizado donde se almacena y mantiene información digital.
Los más conocidos:
Seguridad física
La Seguridad de la Información depende de la seguridad física, ya que es un conjunto de controles que previenen, detectan y protegen físicamente cualquier recurso del sistema.
Estos recursos van desde un simple teclado hasta una cinta de backup con toda la información que hay en el sistema, pasando por la propia CPU de la máquina.
El control de acceso mediante tarjeta de identificación es la primera capa de protección. Sin embargo, incluso en un entorno seguro con control, debes tener controlados tus dispositivos y toda la información de tu puesto de trabajo en todo momento, de manera que no queden lejos de tu protección.
Pautas
Anclar el portátil
No perder de vista tus dispositivos.
Camuflar o disimular lo que llevas
Teletrabajo: al trabajar fuera de la oficina, asegúrate de mantener los dispositivos fuera del alcance de los niños y animales.
No debe almacenarse información sensible en las estaciones de trabajo.
Seguridad personal
La Ingeniería Social consiste en la manipulación de una persona o de su entorno para obtener información, realizar fraudes u obtener acceso ilegítimo a los equipos de las víctimas. Abarca desde técnicas tradicionales de ‘espionaje’ hasta los métodos acompañados del uso intensivo de nuevas tecnologías.
El objetivo hoy en día son las personas, las familias y/o los empleados con un motivo principalmente económico.
Nunca divulgues información sensible con desconocidos o en lugares públicos (especialmente redes sociales).
En caso de sospecha, avisa a los correos de las unidades de ciberdelitos de policía y guardia civil.
No aceptes ninguna oferta o ayuda que no hayas solicitado.
No hagas clic en ningún enlace que provenga de fuentes desconocidas y, en especial, nunca proporciones tus contraseñas o datos bancarios cuando te los pidan.
Seguridad en dispositivos
Seguridad digital
Seguridad móvil
Desactiva las comunicaciones inalámbricas cuando no se utilicen
Revisa los privilegios de las aplicaciones que instalas
Comprueba el cifrado cuando viajes (en algunos países no es legal el cifrado)
No te conectes a redes no confiables
Cuidado con los mensajes multimedia, podrían contener software malicioso.
Activa la localización y el borrado remoto
Mantenlo a la vista, no lo dejes desatendido
Apágalo o bloquéalo cuando no lo uses.
Seguridad en comunicaciones
Contraseñas
Buenas prácticas:
No incluyas contraseñas en procesos automáticos
No las compartas con nadie ni las dejes apuntadas en ningún sitio.
No utilices contraseñas correlativas (contraseña1, contraseña2…)
Cambia las contraseñas habitualmente
No utilices la misma contraseña para distintos servicios
No dejes nunca las contraseñas por defecto o iniciales de los sistemas
Utiliza un gestor de contraseñas si tienes muchas que recordar.
Deep web
Se aglutina bajo este término el contenido de Internet que no está indexado por los motores de búsqueda. La mayor parte de la información encontrada en la deep web está generada dinámicamente para que los motores de búsqueda no puedan hallarla.
Esta red es utilizada para cometer actos delictivos (mafias, pederastas, mercado negro, etc). Debido a ello, se recomienda un acceso responsable a la misma.
Red Tor
The Onion Router es una red de comunicaciones distribuida superpuesta sobre Internet.
Su principal caractarística es el anonimato
Mantiene la integridad de la información
La información que viaja sigue el principio de confidencialidad
Es utilizada para navegar de forma anónima y evadir restricciones. En países como China es una de las pocas posibilidades de navegación sin restricciones.
Evasión de restricciones
A la hora de navegar por Internet, un factor importante a tener en cuenta es el anonimato.