Tema:

Amenazas a las bases de datos

Integrante:

Miguel Ángel Burgos Pérez

Curso virtual

Gestión en la seguridad informática

Fecha:

Mayo – 2019

Instructor:

JUAN JOSE BOTELLO CASTELLANOS

 Desarrollo de actividad

Ranking Amenaza

1 Privilegios excesivos y privilegios no utilizados

2 Abuso de privilegios legítimos
3 Inyección SQL
4 Malware
5 Proceso de auditoría débil
6 Exposición de los medios de almacenamiento
7 Explotación de vulnerabilidades y bases de datos mal configuradas
8 Datos sensibles no administrados
9 Negación o denegación de servicios
10 Educación y experiencia limitada en seguridad

Usted como representante de la organización, debe dar a conocer al menos dos

de las amenazas que se muestran en la tabla y sus posibles controles o la
disminución de estos riesgos.

¿Cómo le daría solución a estas amenazas? ¿Qué controles implementaría para

disminuir los riesgos ocasionados por las posibles amenazas? Puede apoyarse
con imágenes para justificar su respuesta.

DENEGACIÓN DE SERVICIO

Fuente: http://s.culturacion.com/wp-content/uploads/2010/12/denegacion-de-servicio.jpg
En una empresa determinada es el que se realiza cuando una cantidad
considerable de sistemas atacan a un objetivo único, provocando La denegación
de servicio, aunque puede ser invocadas muchas técnicas. Las técnicas más
comunes de DOS incluyen desbordamientos de búfer, corrupción de datos, la
inundación de la red y el consumo de recursos.

La prevención de DoS debería ocurrir en múltiples capas que incluyendo los de

red, aplicaciones y bases de datos según recomendaciones de cursos de
seguridad de bases de datos y seguridad web.

¿Cómo le daría solución a estas amenazas?

 Kona Site Defender, ofrece escalabilidad integrada y alcance global para

defenderse contra los tipos de ataques DDoS más comunes, además de
ataques contra aplicaciones web (inyecciones SQL, scripting entre sitios,
etc.) y ataques directos al origen.
 DoSHTTP es una utilidad de testeo de HTTP Denial of Service (Denegación
de servicio). DoSHTTP incluye verificación de URL, redirección HTTP,
designación de puerto, y presentación de informes de funcionamiento. usa
múltiples sockets asíncronos para efectuar un flood HTTP efectivo.
DoSHTTP puede utilizarse a la vez sobre varios clientes para emular un
ataque de denegación de servicio distribuido (DDoS).

¿Qué controles implementaría para disminuir los riesgos ocasionados por

las posibles amenazas?

Es muy importante que en la empresa existan recomendaciones sobre las bases

de datos incluyen el despliegue de un IPS y controles de la velocidad de conexión.
Al abrir rápidamente un gran número de conexiones, los controles de velocidad de
conexión pueden impedir que los usuarios individuales usen los recursos del
servidor de base de datos.
 INYECCIÓN DE SQL

Fuente: https://www.todowebsv.com/wp-content/uploads/2017/11/inyeccion-SQL-660x400.png

En toda organización de hoy en dia se trabaja con base de datos, como también la
mayoría de las aplicaciones web desarrolladas hoy en día hacen uso de una base
de datos para ofrecer páginas dinámicas y almacenar información tanto de los
usuarios como de la propia herramienta, el uso de este tipo de lenguaje ha traído
consigo la aparición de numerosas vulnerabilidades. Los Ataques de inyección
SQL implican a un usuario que se aprovecha de vulnerabilidades en aplicaciones
web y procedimientos almacenados para proceder a enviar consultas de bases de
datos no autorizadas, a menudo con privilegios elevados.

¿Cómo le daría solución a estas amenazas?

Utilizaríamos un análisis completo en nuestro código y usar debidamente algunas

herramientas que controlan este tipo de ataques, tales como:

 El SQLMap en linea por FPentest identifica el sistema de base de datos que

está ejecutando y realiza las siguientes seis técnicas de inyección SQL.
 Detección de fallas de inyección SQL en línea por suIP.BIZ soporte para
bases de datos del tipo MySQL, Oracle, PostgreSQL, Microsoft SQL, IBM
DB2, Firebird, Sybase, etc.
 SQLMap es una de las herramientas de código abierto más populares para
realizar inyección SQL contra el sistema de gestión de bases de datos
relacionales.
 Acunetix comprueba su sitio web por más de 3000 vulnerabilidades
incluyendo Inyección SQL. Si usted está buscando la exploración de
seguridad compresiva, entonces usted puede probar Acunetix.
¿Qué controles implementaría para disminuir los riesgos ocasionados por
las posibles amenazas?

 Soluciones de seguridad de bases de datos

 auditoría de base de datos
 control de acceso a nivel de consulta detecta consultas no autorizadas
inyectadas a través de aplicaciones web y / o procedimientos almacenados.
 No confiar en la entrada del usuario.
 No utilizar sentencias SQL construidas dinámicamente.
 No utilizar cuentas con privilegios administrativos.
 No proporcionar mayor información de la necesaria.