ACTIVIDAD 1.4.5.3.

Capítulo 1

CARRERA: INGENIERIA ELÉCTRONICA ASIGNATURA: REDES DE COMPUTADORAS I

ACTIVIDAD: 1.4.5.3. TÍTULO ACTIVIDAD: IDENTIFICACION DE VULNERABILIDADES DE SEGURIDAD
OBJETIVOS GENERALES:

• Identificación de las vulnerabilidades de seguridad más importantes.

OBJETIVOS ESPECÍFICOS:

• Usar el sitio SANS para identificar rápidamente las amenazas de seguridad de Internet.
• Explicar cómo se organizan las amenazas.
• Enumerar varias vulnerabilidades de seguridad recientes.
• Usar los vínculos de SANS para acceder a información adicional relacionada con la seguridad.

ACTIVIDADES DESARROLLADAS

1. SANS

Es la fuente más confiable y, la mayor fuente de capacitación en seguridad de la información en el mundo.

Ofrecemos capacitación a través de varios métodos de entrega: en vivo y virtuales, estilo de clase, en línea a su
propio ritmo o transmisión por Internet con instrucción en vivo, estudio guiado con un mentor local o en privado en
su lugar de trabajo donde incluso sus colegas más remotos pueden unirse a través de Simulcast. Nuestros cursos
de seguridad informática son desarrollados por líderes de la industria en numerosos campos, incluyendo
capacitación en seguridad cibernética, seguridad de redes, análisis forense, auditoría, liderazgo en seguridad y
seguridad de aplicaciones. Los cursos son impartidos por profesionales del mundo real que son los mejores para
garantizar que no solo aprenda el material, sino que pueda aplicarlo inmediatamente cuando regrese a la oficina.
Todos los cursos de seguridad SANS también se ofrecen en la ubicación deseada de un cliente gubernamental.
Además de la capacitación de primer nivel, ofrecemos certificación a través de GIAC, un afiliado del Instituto
SANS con más de 35 certificaciones prácticas de seguridad de la información técnica en seguridad de la
información, un programa de maestría a través de la escuela de posgrado del Instituto de Tecnología SANS, así
como numerosos recursos de seguridad gratuitos, incluidos boletines informativos, documentos técnicos y
transmisiones web. [1]

Figura 1. Página Web de inicio de SANS. [1]

1.1. Identificación de amenazas de seguridad de internet

Es uno de los sitios más conocidos y confiables relacionados con la defensa contra las amenazas de seguridad
de computadoras y de redes es SANS. SANS proviene de SysAdmin, Audit, Network, Security (Administración del
sistema, Auditoría, Red, Seguridad). SANS está formado por varios componentes, cada uno de los cuales
contribuye en gran medida con la seguridad de la información. [2]

Figura 2. [2]

Ingresando a la página principal de SANS, en el menú resources elegimos lista de los 25 principales, cómo se
muestra en la Figura 2.

Figura 3. TOP 25 errores de software más peligrosos. [2]

Haga clic en la ID de CWE en cualquiera de los listados y se lo dirigirá al lugar correspondiente en el sitio de
MITER CWE donde encontrara lo siguiente:

• Clasificación de cada entrada del TOP 25,

• Enlace a los datos completos de entrada de CWE,
• Campos de datos para prevalencia de debilidad y consecuencias
• Costo de remediación
• Facilidad de detección
• Ejemplos de codigo
• Métodos de detección
• Frecuencia de ataque y consecuencia del ataque
• Entradas relacionadas con CWE, y
• Patrones de ataques relacionados para esta debilidad.

Cada entrada en el sitio de los 25 errores de software principales también incluye pasos de prevención y
corrección bastante extensos que los desarrolladores pueden tomar para mitigar o eliminar la debilidad.
La lista SANS de los 25 principales objetivos de ataques de seguridad en Internet está organizada por categorías.
Una letra indica el tipo de categoría y los números separan los temas de la categoría. Los temas sobre router y
switch se encuentran dentro de la categoría Dispositivos de red (Network Devices) N. [2]

1.2. Vulnerabilidades de seguridad

Cuando se identifican vulnerabilidades de seguridad de la información, Internet Storm Center (ISC) desarrolla,
reúne y distribuye material para ayudar a la comunidad de ciberseguridad a manejar estas amenazas. Para
algunas de las vulnerabilidades más críticas, SANS ofrece transmisiones web especiales dirigidas por
controladores ISC para proporcionar información adicional. En esta página, puede leer una descripción general de
algunas de las vulnerabilidades críticas recientes, ver los webcasts relacionados o ir al ISC para obtener más
información sobre cada vulnerabilidad. [3]

1.2.1. Meltdown and Spectre (Comprender y mitigar las amenazas)

El 3 de enero (2018), se introdujeron dos nuevas vulnerabilidades (Meltdown y Spectre) que se encuentran en la
arquitectura de los procesadores en casi todas las computadoras y otros dispositivos que usan CPU. El código
para explotar estas vulnerabilidades en algunos casos ahora está disponible públicamente y podemos esperar
que pronto se publique un código más capaz / modular. Durante este webcast, veremos cómo funcionan las
vulnerabilidades, qué se está haciendo para repararlas, los impactos en el rendimiento de la aplicación de
parches y los posibles escenarios de explotación para las vulnerabilidades.

1.2.2. Webcast de ataque de ransomware WannaCry

El viernes 12 de mayo (2017) se presenció un ataque de ransomware sin precedentes conocido como WCrypt,
que se dirigió a la salud, el gobierno, las telecomunicaciones, las universidades y otras industrias de todo el
mundo. Jake Williams y Renato Mariño han estado en la primera línea de esta batalla de ransomware desde que
estalló, y proporcionaron una actualización sobre los últimos hechos y análisis en este webcast.

1.2.3. Webcast de vulnerabilidad HTTP.sys

El martes 14 de abril (2015), Microsoft lanzó MS15-034 como parte de su parche mensual. El boletín aborda una
vulnerabilidad en HTTP.sys, la biblioteca que procesa las solicitudes HTTP en Windows. Según Microsoft, la
vulnerabilidad podría usarse para ejecutar código arbitrario en un host vulnerable.
Entre otros programas, IIS usa HTTP.sys y está directamente expuesto al exploit. A partir de la fecha de
lanzamiento, se han hecho públicos triviales para ejecutar exploits que harán que un servidor IIS se bloquee, y en
un análisis publicado del error, se describió un exploit para perder la memoria del kernel. El Instituto SANS
organizó una transmisión por Internet en vivo en la que el Dr. Johannes Ullrich discutió la hazaña, por qué
sucedió, cómo prevenir la explotación y cuán frecuente se ha vuelto su uso.

1.2.4. Información de vulnerabilidad de HTTP.sys del Centro de tormentas de Internet

Para obtener la información más reciente sobre esta vulnerabilidad, incluidas las preguntas frecuentes y las
publicaciones del controlador ISC, visite el ISC. [3]

1.3. Vulnerabilidades de seguridad

Los profesores de seguridad de aplicaciones son profesionales del mundo real con décadas de experiencia en
seguridad de aplicaciones.

• DEV522: Defensa de las aplicaciones web Security Essentials

• DEV534: DevOps seguro: una introducción práctica
• DEV540: DevOps seguro y seguridad de aplicaciones en la nube

SANS mantiene una evaluación de seguridad cibernética de seguridad de aplicaciones que mide las habilidades
de codificación segura y permite a los programadores determinar lagunas en su conocimiento de la codificación
segura y permite a los compradores asegurarse de que los programadores subcontratados tengan suficientes
habilidades de programación.

El producto SANS Security Awareness Developer proporciona una capacitación precisa sobre software de
seguridad bajo demanda, todo desde la comodidad de su escritorio. La capacitación en concientización sobre la
seguridad de las aplicaciones incluye más de 30 módulos con un promedio de 7-10 minutos de duración para
maximizar la participación y retención del alumno. Los módulos cubren toda la amplitud y profundidad de los
temas para el cumplimiento de la Sección 6.5 de PCI y los elementos que son importantes para el desarrollo de
software seguro.

MITRE mantiene el sitio web CWE (Common Weakness Enumeration), con el apoyo de la División de Seguridad
Cibernética Nacional del Departamento de Seguridad Nacional de los EE. UU., Que presenta descripciones
detalladas de los 25 errores principales del software junto con orientación autorizada para mitigarlos y evitarlos.
Ese sitio también contiene datos sobre más de 700 errores de software adicionales, errores de diseño y errores
de arquitectura que pueden conducir a vulnerabilidades explotables. Sitio web de CWE [3]

CONCLUSIONES Y RECOMENDACIONES:

- Actividad 1.4.5.3.

Los 25 principales errores de software de CWE / SANS de 2010 brindan una valiosa orientación a las
organizaciones dedicadas al desarrollo o despliegue de software. Esta lista ayuda a las organizaciones a
centrarse en las amenazas más peligrosas para que puedan aprovechar al máximo su esfuerzo de reducción
de vulnerabilidad. La lista también se puede utilizar como marco para definir programas a corto y largo plazo
para la eliminación o mitigación de vulnerabilidades de seguridad, Además, proporciona una descripción fácil
de comprender de las clases de vulnerabilidades y recomendaciones de alto nivel para mitigarlas o evitarlas
por completo. La lista es definitivamente una lectura obligada para cualquiera que desee desarrollar un
código razonablemente seguro.

- La cantidad de vulnerabilidades para las computadoras, redes y datos sigue creciendo. Los gobiernos han
dedicado importantes recursos para coordinar y difundir información sobre las vulnerabilidades y las posibles
soluciones. Sigue siendo responsabilidad del usuario final la implementación de la solución.
Piense de qué manera pueden los usuarios ayudar a fortalecer la seguridad. Piense qué hábitos de los
usuarios crean riesgos en la seguridad.
 2. BIBLIOGRAFIA

[1] https://www.sans.org/
[2] https://www.sans.org/top25-software-errors/
[3] https://www.sans.org/critical-vulnerability-recaps

Nombre de estudiante: Boris Fernando Criollo Encalada.

Firma de estudiante: