Seg5 Ataquesweb

Copyright . Todos los derechos reservados. Prohibida su copia, distribucin parcial o total sin la autorizacin del titular de la obra.
Editorial
Una vez ms .Seguridad es publicada para ofrecer a los lectores un espacio donde se pueden
informarsobreasuntosdeSeguridadInformticaascomofomentarlaculturadelaseguridaden
cmputo.
En esta edicin te presentamos algunos ataques que con frecuencia pueden ser usados en
Internet. Es de especial importancia hacer notar que las precauciones a tomar en cuenta para
evitarservctimasdeestosataques,sontantoanivelusuariofinalcomoaniveldedesarrollador
delasaplicacionesqueseofrecen.
Deestaformanodebemosdebajarlaguardia,yaquenuevasamenazassurgencadada ytodos
debemosestaralertaparahacerbuenusodeInternet.
RocodelPilarSotoAstorga
DepartamentodeSeguridadenCmputo
DavidJimnezDomnguez
ctualmente vivimos sumergidos en una sociedad que interacta diariamente con
lastecnologasdelainformacincomopartedesustareasdiarias;desdeelusodel
cajero ATM, el pago en el supermercado hasta la actualizacin del estado en
nuestra red social favorita. Si bien es cierto que la privacidad es un derecho humano, el
uso del correo electrnico, tarjetas de crdito y toda aquella actividad que utilice de
manera electrnica nuestros datos, requiere que la privacidad de la informacin de cada
serhumanouorganizacinseaprotegidaduranteelusodeestosservicios.Cadaindividuo
vive con una serie de datos como son el correo electrnico, nmero telefnico, CURP,
historialcrediticio,etc.,loscualesutilizamoseintercambiamosdiariamenteconpersonas,
compaas e incluso el gobierno. Cada vez que solicitamos un crdito o inclusive al
solicitarempleo,estosdatossonconsultadosyjuzgadosafavoroencontradenosotros.
Bsicamente lo que le pase a nuestros datos, nos afecta directamente a nosotros, en
medida de que aquella informacin considerada como privada sea modificada o
consultadasinnuestraautorizacin.
Por otra parte, en las organizaciones cada vez es ms comn escuchar que la proteccin
de la informacin es una iniciativa clave para la operacin del negocio, desde la
informacin declientesy proveedores pasandopor el materialcon propiedad intelectual
hasta el correo personal de los empleados. Esto ha orillado a varias empresas a
implementar estrategias de proteccin y monitoreo del uso de la informacin, que
permitanreducirelriesgodequealgnempleadopuedaservctimadeunataquemasivo
o incluso de un ataque dirigido hacia l en particular, con el objeto de obtener
informacinconfidencialdelaorganizacin.
Ataquesdirigidos
A diferencia de un ataque de tipo broadcast
1
que es ms propenso a ser identificado
rpidamenteporalgunafirmaantiviruscomouncdigomalicioso,enunataquedirigidoel
intruso debe ser paciente previo al ataque, buscando la oportunidad correcta para
acceder a una sola computadora que pueda contener informacin confidencial o que
permita el acceso a otros sistemas dentro de una red privada. Esta es la caracterstica
principal de un ataque dirigido o tambin conocido como targeted attack, el cual difiere
delescenariotradicionaldeunataquepormalware,spamophishing.
1
Ataqueenelcualunintrusoutilizalapropagacinmasivademalwarepormediodeunsitioweb
A
Porejemplo,enunescenariotradicionalelintrusobuscapropagarsumalwaredemanera
masiva, con el objeto de tener el control de tantos equipos como sea posible, para
posteriormenteenviarcorreospam,generarataquesdenegacindeservicioorentaresta
red de equipos comprometidos a un mejor postor, entre otro tipo de actividades. Sin
embargo,durantelapropagacindelcdigomaliciosoesmuyprobablequeunamuestra
de este cdigo sea capturada por un honeypot
2
o una honeynet
3
de una firma de
seguridad, y sea analizada para generar una actualizacin de un software antivirus que
protejaalosusuariosdedichaamenaza.
Enunataquedirigidonoexisteunapropagacindemalware,nielenvomasivodecorreo
electrnico a varias direcciones, en lugar de ello, el intruso enva cinco, tres o incluso un
solocorreoelectrnicoconmalwarecomoarchivoadjunto.Estoconllevaaqueseadifcil
obtener una muestra de este malware ya que muy probablemente nunca es capturado
porunhoneypot,encambiosoloafectaaunasolaorganizacinyposiblementeaunsolo
empleado. Si este usuario no se da cuenta de que este correo tiene un cdigo malicioso
comoadjunto,pasardesapercibidoporlaorganizacinyporendeporlamayoradelas
firmasantivirus.
Cmofuncionaunataquedirigido?
Primero que nada el intruso es paciente, analiza a la vctima y busca la oportunidad
apropiada para realizar un ataque exitoso. Previo al ataque, el intruso investiga a su
vctima utilizando la informacin de fcil acceso. Por ejemplo, si la vctima es una
organizacin, el intruso podra identificar el objetivo del ataque por medio del
organigrama que est disponible en la pgina web de la empresa, investigar sobre sus
sociosdenegocioyconocerunpocosobrelaindustriasobrelaqueoperalaorganizacin
demaneraquepuedacrearuncorreoelectrnicoconunmensajecrebleparaelusuarioy
que propicie la apertura del cdigo malicioso. Incluso el intruso podra utilizar ingeniera
socialenllamadashechasaindividuosidentificadosenelorganigramadelaorganizacin
paraobtenermsinformacinsobreelobjetivo.
Una vez que se cuenta con toda esta informacin, el intruso busca la manera de
influenciar al usuario a que abra el archivo adjunto; comnmente un
archivo .doc, .exe, .pdf, .xls o .ppt que puede contener una carta o presentacin
proveniente de un proveedor o de la editorial de una de sus revistas electrnicas
2
Sistemasdeinformacinquebuscaserunanzueloparasuusonoautorizadooilcito.
3
Constadeunareddesistemasdeinformacin,cuyopropsitoessercomprometidaporalgnusuariomalicioso,conla
finalidaddeaprendersobrelasherramientas,tcticasymotivosquealientanaestetipodeusuarios.
preferidas a la cual est suscrito. Si el usuario obtiene el correo y ejecuta el cdigo

maliciosoquevieneadjunto,elmalwaretomarcontroldesucomputadoraydaracceso
remoto al intruso mientras utiliza tcnicas para ocultar su presencia en el equipo del
usuario,estastcnicassonsimilaresalasutilizadasporrootkits
4
.
Ahora es cuestin de tiempo para que el intruso obtenga informacin confidencial del
usuarioopeoran,quepuedacomprometeraotrossistemasdentrodelaredprivadade
laorganizacin,sistemasconinformacindemsaltovalorparalavctima.
Cmoprotegerse?
Veamos el caso de una organizacin con problemas de propagacin de spam. Si este
correollegaaunodelosempleados,sesuponequefueunaexcepcinmalmanejadapor
elfiltroantispam.Sinembargo,enelcasodeunataquedirigidosiunodelosempleados
recibe este correo, este empleado es el objetivo del ataque, el cual busca obtener su
informacinpersonalodelaorganizacin.Porestosmotivoshayqueprotegereleslabn
msdbil,elusuario,teniendoencuentalassiguientesrecomendaciones:
1. Capacitacin de empleados. Que los empleados sepan manejar informacin
confidencialyqueseanconscientessobreelmanejodelainformacinalinterior
delaorganizacinenunmayorgrado,ayudaraquelaidentificacindeestetipo
deataquesseahecha,enlamayoradelasocasiones,porlaspropiasvctimas.
2. Asegurarlared.Elintrusobuscarinformacinsobrelavictimaprevioalataque,si
estainformacinnolapuedeobtenerpormediodeingenierasocialodemanera
directa en la informacin pblica de la organizacin, buscar obtenerla mediante
unataquesobrelared.
3. Evitar proporcionar informacin de ms. Un ataque dirigido requiere que el
intruso conozca bien a la vctima y mientras ms informacin le proporcionemos,
ser ms probable que seamos vctimas de este ataque. Consideremos que los
datos de contacto y la estructura organizacional de la empresa son datos
confidenciales.
4. Deshacerse de informacin confidencial de manera adecuada. Se recomienda
implementar procesos para el procesamiento de documentos confidenciales que
hansidodesechados.Nosedebepermitirquelosempleadossedeshagandeesta
informacin directamente en el basurero, se debe utilizar un triturador o mejor
an,uncontenedordedocumentosparasuposteriorprocesamiento.
4
Conjuntodeprogramasqueuninvasorutilizaparaocultarsuintrusinyobteneraccesoaniveldeadministradorenun
equipodecmputoosistema.
El tener en consideracin las recomendaciones anteriores y mientras que el personal de

cumplimientoalaspolticasdeseguridadalineadasalasmejoresprcticasparaelmanejo
de la informacin y mejor an, que exista un compromiso de la direccin de la
organizacin para el cumplimiento de estos procesos, ayudar a mitigar el riesgo de un
ataquedirigido.
Referencias:
http://www.honeynet.unam.mx/docs/Intro.pdf
http://www.youtube.com/user/fslabs
http://www.seguridad.unam.mx/usuariocasero/
AngieAguilarDomnguez
SergioIniestaJurez
omousuariosdeInternet,muchasvecessolonosinteresaloqueestamosbuscando
yenalgunasocasionesnosllamalaatencinloquellegamosaencontrarmientras
navegamos pero, cuidado! existen varios tipos de ataques y fallas sobre
aplicaciones Web
5
que podran causar que nuestra navegacin por Internet no sea tan
agradable y segura como quisiramos, en donde personas malintencionadas se
aprovechan de ciertas vulnerabilidades de la aplicacin o descuidos del usuario para
explotaryobtenerinformacinalaquesesuponenodeberandeteneracceso.
ElfallodeaplicacinWebsepuedeverreflejadoenuncomportamientoinesperadodela
misma, como la devolucin de datos incorrectos, pginas en blanco y un conjunto de
errores que provocan que los visitantes abandonen la aplicacin ya que no saben qu
hacerocmoreaccionaranteelevento,stetipodeerroresresultanmolestosypueden
llegar a permitir (mediante el uso de tcnicas de ataque o intrusin) el acceso a
personas maliciosas para ver informacin privada referente a los usuarios o tambin
acceder a informacin importante de la aplicacin Web en cuestin. Por ejemplo, si la
aplicacin Web de uso de banca en lnea de nuestro banco no toma las medidas
preventivas correspondientes (como utilizar cifrado en la transmisin de la informacin),
un usuario malintencionado puede obtener informacin sensible (como nmero de
cuentasbancariasocontraseas).
Entre las fallas que podemos llegara encontrar, estn los mensajes deerror, esto
ocurre cuando la aplicacin no permite visitar cierta parte de la aplicacin (por
ejemplo, una galera de fotos) que debera ser posible ver y entonces muestra
mensajes como 404 Archivo no encontrado o 500 Error interno del servidor
(ver Figura 1). Estos mensajes conllevan a que los usuarios dejen de visitar la
pginaoservicioyaslacompaavayaperdiendoclientes.
5
AplicacinWeb:aplicacinquepuedeservistadesdeunnavegadordeInternet.
C
Figura1.MensajedeerrorenunaaplicacinWeb
UnamalaprcticarecurrenteesocultarvaloresofuncionesdeunaaplicacinWebquese
saben no es seguras, para tratar de evitar el riesgo de comprometer al sistema (por
ejemplo, tratar de ocultar la parte de nuestra aplicacin donde se administren los datos
que normalmente debera estar protegida con credenciales de usuario). Ocultar los
errores en la aplicacin ciertamente no los elimina y un usuario con conocimientos
especializados puede encontrarlos con relativa facilidad empleando software y tcnicas
maliciosas.
Ejemplo de esto es un ataque llamado XSS (Cross Site Scripting) en el cual se puede
esconder de varias maneras algn programa malicioso (virus, caballo de Troya, gusano,
etc.)enunaliga,demodoquealdarleclicseinstalanprogramasindeseablessinquenos
percatemosdeello.Estosprogramaspermitenposteriormenteelaccesoalainformacin
que tenemos almacenada en nuestra computadora, nombres de usuario, contraseas,
datos personales, preferencias y cuentas bancarias que se ven expuestas al atacante
ponindonosenseriosproblemas.
AveceselXSSsepuedeejecutarautomticamentecuandoseabreuncorreoelectrnico,
archivos adjuntos del correo, al leer un artculo, o en un post. Por ello hay que ser
cuidadosos al realizar alguna destas acciones. Una formade evitarcaereneste tipo de
ataque es instalando alguna herramienta de software de seguridad (como antivirus o
antispyware)queimpidaejecutarelcdigoscript
6
ennuestronavegadordeInternet.
Otro problema es que nos podemos encontrar con enlaces o redireccionamientos a
pginasnovlidasperoqueparecenserlegtimas,llevndonosaunacopiadelapgina
que solicitamos originalmente y en la cual se intenta instalar un programa malicioso en
6
CdigoScript:Conjuntodeinstruccionesquesonejecutadasporuninterpretedelneaderdenesy
usualmentesonarchivosdetexto.
nuestra computadora o incluso engaar a la usuario para revelar informacin

confidencial. Lo que podemos hacer en este caso es ser precavidos e ir solo a sitios Web
enlosqueconfiemosnoutilizarligasalternasoqueestndentrodeuncorreoelectrnico
delcualdudemosdesuprocedencia.
Un ataque menos comn, se lleva cabo cuando un atacante usurpa nuestra sesin
autenticada, por ejemplo, en una aplicacin Web de nuestra empresa ejecutndose a
travs de nuestro navegador para ingresar o realizar acciones en la aplicacin a la que
tenemos acceso. Este tipo de ataques se deben a la falta de verificacin de las
credencialesdeusuariosenlasaplicacionesporpartedelosdesarrolladores,porejemplo,
con el uso de cookies
7
o variables de sesin de manera no segura. La aplicacin Web no
tiene manera de detectarlo (pues para ella, es un acceso vlido) y el atacante realiza
acciones o peticiones en nombre de un usuario sin su consentimiento. Lo que podemos
hacerenestecasoparadisminuirelriesgoes:
1. NomantenerunasesinabiertaenaplicacionesWebquenoestemosusando.
2. Configurarnuestronavegadorparanopermitirqueguardenombresdeusuarioni
contraseas.
3. No utilizar el mismo navegador para acceder a aplicaciones sensibles y para
navegarporInternetlibremente.
Un ataque directo a la aplicacin Web es el que ocurre cuando un intruso intenta
modificar la aplicacin y obtener con ello informacin confidencial ya sea de la misma
aplicacin o bien dejarla fuera de servicio (tanto la aplicacin como la computadora del
usuario en algunos casos) logrando bloquear o detener el servicio, a esto se le conoce
como Denegacin de Servicio. La denegacin de servicio ocasiona que uno como usuario
no pueda tener acceso a cierta informacin, servicio o cuenta provocando en algunos
casos,quenopodamosrealizarciertatareaotrabajo.
EsimportantequetantolosusuariosdeaplicacionesWebcomolosdesarrolladoresdelas
mismas, tomen conciencia de los problemas de seguridad que se pueden presentar. Un
reporte de la firma de seguridad Cenizc indica que en la primera mitad del ao 2009, el
78%deltotaldelavulnerabilidadesreportadaserandeaplicacionesWeb,enlasiguiente
figura (Figura 2), se muestran los tipos de vulnerabilidades Web reportadas. Es por ello
quedebemossermuycuidadososalahoradenavegar.
7
Cookie:informacinquesealmacenaeneldiscodurodelvisitanteaunsitioWeb,quepuedeserrecuperada
porelnavegadorapeticindelapgina.
Figura2.Vulnerabilidadesreportadasdesoftwarecomercialylibre.
Msinformacin
EsimportantesealarqueestasnosonlasnicasamenazasalusaraplicacionesWeb.Te
invitamos a consultar ms informacin que te ayudar a mantenerte protegido mientras
navegas.
Referencias:
http://www.seguridad.unam.mx/
http://www.seguridad.unam.mx/usuariocasero/eduteca/
http://www.owasp.org/index.php/Top_10_2007
http://www.w3.org/Security/Faq/wwwsf6.html
http://www.maestrosdelweb.com/editorial/falloapl/
http://www.magenta.cl/servicios/netplus2.asp
http://www.cenzic.com/downloads/Cenzic_Survey_emedia200910.pdf
http://www.cgisecurity.com/csrffaq.html
JavierSantillnArenas
JosRobertoSnchezSoledad
entrodelmundodelacomputacinestamosacostumbradosaescuchartrminos
comogusanosovirus,peroparalamayoradelaspersonaselescucharlapalabra
botnet,notienemuchosignificado.Esteartculotienecomoobjetivodarallector
unpanoramadeestaamenazaenlared.
Una botnet es un conjunto de computadoras o dispositivos conectados a una red, que
estn a disposicin de un equipo central al cual se le suele llamar .Estos equipos son
controlados por una persona maliciosa cuyo objetivo es atacar redes de computadoras o
servidores.
AlosequiposqueseencuentranadisposicindelC&Cselesconocecomoequiposzombi,
eltamaodeunabotnetsedeterminaporelnmerodemquinaszombiqueestallegue
atener.Sehanencontradobotnetsdecientosdemilesdeequipos.
Las botnets han empezado a jugar un papel muy importante, especficamente en el rea
delaseguridadencmputo.Elmotivoesqueestetipoderedessehautilizadoparafines
maliciosos teniendo un impacto negativo en muchas de las actividades normales de un
entornodered.
Paraquseusanlasbotnets?
Debido a la suma de recursos computacionales reunidos en una botnet, resulta muy
conveniente realizar actividades en las cuales se necesite de una organizacin o
distribucin de los recursos para tener logros masivos. Esto se traduce en actividades
comolassiguientes:
Envodecorreobasura(spam).
Ataquesdenegacindeserviciodistribuido(DDoS)
Distribucindemalware
CreacinderedesP2P
Robodeinformacin
Fraudescibernticos

D
Cmofuncionanlasbotnets?
Bsicamentesiguenlossiguientespasos:
1. El equipo es infectado de alguna manera, comnmente por medio de una
infeccindemalwareenpginasweb,correospam,archivosmaliciosos,etc.
2. ElequipoprincipaloC&Ctomaelcontroldelamquinapormediodebots
8
.
3. Siguiendo las rdenes del C&C, los equipos pueden ejecutar de manera
coordinadacualquieradelasaccionesantesmencionadas.
Los bots, como la mayora del malware, desde el inicio de la infeccin tratan de
aprovecharsedelasvulnerabilidadesenlosprogramasdesoftwaredelosequiposvctima.
Sin embargo, una vez que han tomado el control del equipo generalmente utilizan el
protocolo de comunicacin IRC (Internet Relay Chat) para poder emitir las rdenes a los
zombis
El IRC generalmente trabaja en los puertos 6666, 6667, 6668 y 7000 del protocolo TCP
(Transmission Control Protocol), pero pueden ser configurados para comunicarse por
cualquierotropuerto.
Los bots pueden estar ejecutando cualquier sistema operativo, pero como en muchos
casos,lossistemasconequiposWindowscomnmentesonlosmsafectadosdebidoasu
granpresenciamundial.
Estadisticas
En los ltimos aos se han identificado miles de botnets, donde cientos de ellas han
causadoimpactossignificativos.Apesardequepuedehaberbotnetsconsolocientosde
equiposzombis,sehanidentificadobotnetsdecasi2millonesdeequipos.Enunestudio
hechoen2008,seidentificqueelpromediodeequiposenunabotnetdebajoa medio
tamao podra llegar arriba de 50,000 , sin embargo en estos aos se ha notado un
incrementoenelnmerodeelemementos.
Solo por dar un ejemplo, en cuanto a spam se refiere, se calcula que diariamente se
mandancasi90milmillonesdemensajesdespamentodoelmundo.Estorepresentaun
serio problema ya que significa que un porcentaje muy alto del trfico de Internet es
correobasuraomalicioso.
8
Botesunprogramamaliciosoutilizadoparaqueunintrusoobtengalosrecursosdeunequipo
En la Tabla1 se muestra una lista de las botnets ms significativas que se han detectado
durante 2009 y que fue publicada por la empresa de seguridad internacional Message
Labs..

Nombre Periodo de actividades Cantidad de bots Actividades
realizadas
Rustock agosto - septiembre 1.3 2 millones Aproximadamente
18% del spam
mundial.
Cutwail Todo el ao 1 1.5 millones Aproximadamente
17% del spam
mundial y
propagacin de
malware.
Bagle Finales 2009 600,000 800,000 Aproximadamente
16% del spam
mundial.
Bobax
(aka
Kraken)
Finales 2009 80,000 120,000 Aproximadamente
13% del spam
mundial.
Grum J unio - septiembre 600,000 800,000 En su actividad
mxima, lleg a
enviar
aproximadamente el
20% del spam
mundial.
Maazben Marzo finales 2009 200,000 300,00 Aproximadamente el
2% del spam
mundial.
Festi Agosto 2009 100,000 200,00 Envo de spam
Mega-D Todo el ao 300,000 - 500,000 Spam, propagacin
de malware,
actividades de
phishing
Xarvester 500,000 800,000 Aproximadamente
1% del spam
mundial.
Gheg Principio del ao 150,000 200,000 Aproximadamente
0.5% del spam
mundial.
Donbot Principal actividad en el
primer cuarto del ao.
Termin con aprox.
150,000 equipos al final
del ao.
800,000 1.2
millones
Envo de spam
Tabla 1. Botnets ms significativos durante el 2009
Como se puede observar en esta tabla, el nmero de equipos zombie en una botnet es
elevado.Laactividadpredominanteeselenvodecorreospamporquerepresentaungran
negocioparaquieneslosejecutan.
Cmoprotegersedelasbotnets?
Paraestarmejorprotegidoscontralosbotsquepodraninfectaranuestroequipoyhacer
que forme parte de una botnet, debemos seguir las mismas recomendaciones que
generalmente se siguen para cualquier otro tipo de malware. Entre las principales
actividadesseencuentran:
Tenerinstaladounsoftwaredeseguridad,preferentementeconcaractersticasde
solucionescompletas(spam,phishing,antivirus,firewall,etc.)
Estaralpendientedelasltimasactualizacionesdelsoftwarequeejecutenuestra
computadora.
Aumentar las configuraciones de seguridad en nuestros programas como son los
navegadoreswebocualquieraquerealiceunaconexinaInternet.
Limitar la informacin que compartimos en la red y los privilegios de la misma al
compartirla.
Evitarabrirovisualizararchivosadjuntosderemitentesdesconocidos.
Seguirbuenasprcticasdeseguridadengeneral.
Como conclusin podemos decir que el problema de las botnets es un problema en

crecimiento,enpartedebidoalasgrandesposibilidadesentrminosmaliciososqueabre
el tener miles de equipos a la disposicin de una computadora principal, y por otro lado
debidoalexitosoaprovechamientodevulnerabilidadesenlosprogramasdesoftwareque
siguenhaciendodeellaselmedioperfectoparaactuardemaneramasiva.
Referencias:
http://www.honeynet.org/papers/bots
http://www.netsecurity.org/secworld.php?id=8599
http://www.symantec.com/es/mx/norton/theme.jsp?themeid=botnet
http://www.consumer.es/web/es/tecnologia/internet/2009/07/20/186416.php
JessMauricioAndradeGuzmn
nataquecibernticoesunactointencionalporpartedeunusuariomaliciosocon
el fin aprovecharse de una vulnerabilidad en el diseo o desarrollo de una
aplicacin. La diferencia entre una vulnerabilidad y un ataque ciberntico es que
un ataque es algo que un usuario malicioso podra hacer y una vulnerabilidad es una
debilidadenlaaplicacin.
Existen varios tipos de ataques que representan amenazas y cuyo riesgo depende de la
maneraencmoactalaherramientamaliciosa,ladebilidadqueexplotaylaimportancia
delainformacinqueestsiendocomprometida.
El riesgo que corre una aplicacin ante un ataque vara de acuerdo al criterio que se
utilice. Es posible calcular el riesgo que corre nuestra aplicacin considerando el nmero
de vulnerabilidades reportadas para el software que utilizamos consultando fuentes de
informacin como la base de datos CWE
9
que almacena prcticamente todas las fallas
reportadas para cualquier aplicacin, independiente de su plataforma, arquitectura o
sistema operativo. Otra fuente de informacin relacionada con los ataques Web es
OWASP
10
que se enfoca en difundir informacin para desarrolladores y administradores
desistemasconlafinalidaddeprevenirataquesdesdeeldiseodeunaaplicacinparalo
cual ofrecen guas de desarrollo seguro, listados de riesgos potenciales de ataques y
herramientasdidcticasydediagnstico.
9
CommonWeaknessEnumerationhttp://cwe.mitre.org/
10
OpenWebApplicationSecurityProjecthttp://www.owasp.org
U
Imagen1.OWASPhttp://www.owasp.org
Imagen2.CWEhttp://cwe.mitre.org
Existen muchas formas en que los atacantes pueden explotar debilidades de una
aplicacinWeb,unejemplodeestosonlasrelacionadasconlainteraccininseguraentre
loscomponentesdeunaaplicacin.Estasvulnerabilidadesserefierenaqueelautordela
aplicacin no ha tomado las debidas precauciones a la hora de validar los datos que
permite en su sistema (por ejemplo al validar los datos que se envan a travs de una
formaHTML).Losataquesdeinyeccindecdigotambintomanventajadeestetipode
debilidadesalinsertarcdigoespecialmentecreadoparaengaaralaaplicacinyobtener
conelloaccesoainformacinconfidencial.
Los ataques tipo XSS (Cross Site Scripting) permiten a los atacantes ejecutar cdigo
maliciosoenelnavegadordelusuariodelaaplicacin,quepodraresultarenlaobtencin
de informacin confidencial o incluso la toma de control de una sesin de usuario con el
objetivo de suplantar la identidad de un sitio legtimo o redirigir a otros usuarios de la
aplicacinasitiosWebmaliciosos.
Imagen3.EjemplodeformaHTML
Otro problema que se puede presentar es que la aplicacin no realice una adecuada
gestin de los recursos que utiliza. Pocas precauciones al almacenar datos de
identificacin como nombres de usuario o contraseas pueden conducir a que intrusos
aprovechen esta debilidad y puedan llegar usar la identidad del usuario sin autorizacin.
Este tipo de ataques tambin pueden ser explotados si existen archivos utilizados por la
aplicacin sin los privilegios configurados de manera adecuada, comprometiendo la
confidencialidad de dichos recursos. Fallas de este tipo se pueden atribuir a errores de
configuracin de seguridad, por ejemplo, al no cambiar ajustes predeterminados al
momentodelainstalacinquepuedennosersuficientesparagarantizarlaseguridadde
losrecursosdelaaplicacinWeb.
Lasconsecuenciasdequeunatacanterealiceconxitoalgunodeestosataquessonmuy
variadas para el usuario, pasando de una simple molestia o baja temporal en el servicio
hastaladivulgacinousonoautorizadodeinformacinaltamenteconfidencialcomoesel
caso de informacin de cuentas bancarias. Para los administradores de las aplicaciones
afectadas, estos ataques pueden lesionar gravemente la reputacin de la empresa
disminuyendo la confianza de sus usuarios y por lo tanto disminuyendo tambin sus
gananciaseconmicas.
Para prevenir estos ataques tanto administradores de sistemas como desarrolladores y
nosotros mismos como usuarios, debemos estar conscientes de los riesgos de que la
informacin que usamos est siendo transmitida a travs de Internet. Tomando
precaucionessimplesdesdeeldiseodelaaplicacinpodemosprevenirmuchosdeestos
problemas.Comodiseadoresdelaaplicacindebemosvalidarsiemprelosdatos quese
obtienen del usuario suponiendo siempre, que los usuarios pueden tener malas
intenciones al usar nuestra aplicacin. Como administradores de sistemas debemos
analizar las caractersticas de las herramientas que se utilizan para estar seguros de que
lasconfiguracionesqueusamosseanlasadecuadasparapodergarantizarquesepreserva
la privacidad, confidencialidad e integridad de la informacin que se maneje al ser
transmitida por red. Como usuarios debemos revisar siempre que las aplicaciones Web
que utilicemos tomen las medidas bsicas de seguridad como lo es el solicitar siempre
nuestronombredeusuarioycontraseaantesderealizaralgunaoperacinconnuestros
datosprivados.Siusamosportalesdebancaenlneaoserviciosquemanejeninformacin
confidencial debemos asegurarnos de que el sitio utilice mecanismos de cifrado (que
utiliceelprotocoloHTTPSenlugardeHTTP)almanejarestainformacinparamanteneral
mnimo los riesgos de que un atacante pueda capturar los datos de navegacin de la
aplicacinWeb.
Referencias
http://www.owasp.org
http://www.sans.org
http://cwe.mitre.org
DIRECTORIO
UNIVERSIDADNACIONALAUTNOMADEMXICO
Dr.JosNarroRobles
Rector
Dr.SergioAlcocerMartnezdeCastros
SecretarioGeneral
DIRECCINGENERALDESERVICIOSDE
CMPUTOACADMICO
Dr.IgnaciodeJessAniaBriseo
Director
Ma.deLourdesVelzquezPastrana
DirectoradeTelecomunicaciones
Ing.RubnAquinoLuna
ResponsabledelDepartamentodeSeguridadenCmputoUNAMCERT
2010D.R.UniversidadNacionalAutnomadeMxico
Revistaelaboradaporla
DireccinGeneraldeServiciosdeCmputoAcadmico
CRDITOS
PUNTOSEGURIDAD,DEFENSADIGITAL
MenI.RocodelPilarSotoAstorga
Edicin
AngieAguilarDomnguez
JessMauricioAndradeGuzmn
SergioIniestaJurez
DavidJimnezDomnguez
JosRobertoSnchezSoledad
JavierUlisesSantillnArenas
Colaboraciones
Ing.RubnAquinoLuna
ResponsabledelDepartamentodeSeguridadenCmputoUNAMCERT
RocodelPilarSotoAstorga
RubnAquinoLuna
ManuelI.QuinteroMartnez
RevisindeContenidos
Act.GuillermoChvezSnchez
CoordinacindeEdicinDigital
Lic.LizbethLunaGonzlez
DoloresMontielGarca
L.D.C.V.CarolinaSilvaBretn
DiseoGrfico
LilianaMinervaMendozaCastillo
Formacin
2010D.R.UniversidadNacionalAutnomadeMxico
Revistaelaboradaporla
DireccinGeneraldeServiciosdeCmputoAcadmico

Seg5 Ataquesweb

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Seg5 Ataquesweb

Cargado por

Copyright:

Formatos disponibles

Copyright . Todos los derechos reservados. Prohibida su copia, distribucin parcial o total sin la autorizacin del titular de la obra.

preferidas a la cual est suscrito. Si el usuario obtiene el correo y ejecuta el cdigo

El tener en consideracin las recomendaciones anteriores y mientras que el personal de

nuestra computadora o incluso engaar a la usuario para revelar informacin

Como conclusin podemos decir que el problema de las botnets es un problema en

También podría gustarte