CONDUCTAS ERRONEAS QUE FRECUENTEMENTE CREAN BRECHAS DE SEGURIDAD

Los agujeros o bugs en la tecnoligia explican una gran cantidad de ataques exitosos (realizados por hackers intencionados o por usuarios no intencionados), pero los mismos usuarios colaboran, tambien. Esta es una lista creada por SANS Institute de las cosas tontas que la gente hace y que facilita a los atacantes tener exito.

Los peores cinco errores de seguridad que cometen los usuarios.

1. Fallar en la instalacion del antivirus, teniendolo incorrectamente configurado, mantener sus actualizaciones de firmas actualizadas y escanear todos los archivos.
2. Abrir adjuntos de correos no solicitados sin previa verificacion del origen o del contenido, o ejecutar juegos, protectores de pantallas u otras aplicaciones provenientes de fuentes no confiables.
   - las fuentes no confiables incluyen conocidos que pueden estar cometiendo estos mismos errores
   - las fuentes no confiables incluyen desarrolladores de softwae "freware" que podrian estar incluyendo dentro de sus creaciones, codigo malicioso o spyware.
   - Los adjuntos de correo no solicitado, pueden provenir de usuarios conocidos cuyos equipos esten comprometidos por un hacker o un virus.
   - La ejecucion directa de un archivo desde el cliente de correo podria saltear la proteccion antivirus que se esta ejecutando en tiempo real.
   - Presentaciones, video y hasta fotos, pueden estar infectadas por virus.
3. Fallar u omitir actualizaciones de seguridad del Sistema Operativo, las herramientas de oficina y/o los navegadores y clientes de correo.
4. No realizar o probar backups.
5. Quedarse conectado a mas de una red como Wireless o Red telefonica mientras esta conectado a la red corporativa.

Los perores siete errores (respecto a seguridad de la informacion) que cometen la alta gerencia.

1. Asignar personas sin entrenamiento para mantener la seguirdad y no proveerles el tiempo o los recursos para formarse y hacer correctamente su trabajo.
2. Fallar en la comprension de la relacion entre su negocio y la seguridad de la informacion. Entender el problema de la seguridad fisica, pero no ver las consecuencias de una deficiente seguiridad de la informacion.
3. Fallar en el tratamiento de los aspectos operativos de la seguridad: Realizar algunas correcciones y luego no permitir el correspondiente seguimiento y el resto de las tareas necesarias para mantener el problema corregido.
4. Descanzar primaria o exclusivamenete en la proteccion de perimetro.
5. Fallar en la estimacion del valor o costo de la informacion o la reputacion de la organización.
6. Unicamente autorizar soluciones reactivas, de corto plazo de forma que los problemas vuelven a ocurrir una y otra vez.
7. Pretender que si el problema es ignorado o desestimado, desaparecera.

Los peores 10 errores de seguridad que cometen la gente de IT.

1. Conectar los sitemas a Internet antes de Hacerles el Hardening correspondiente.
2. Conectar los sistemas de testing a Internet con las credenciales de autenticacion que traen configuradas de fabrica.
3. Fallar en la actualizacion de los sistemas cuando son informados de huecos en la seguirdad del mismo.
4. Usar protocolos de comunicación sin encripcion para la administracion de sistemas, Routers, Firewall o PKY.
5. Otorgar passwords a usuarios a traves de las lineas telefonicas o cambiar el password de un usario a partir de una llamada telefonica aun cuando no es posible auntenticar la solicitud.
6. Fallar en la realizacion o pruebas de Backups
7. Ejecutar servicios innecesarios en los sistemas, especialmente, ftpd, telnetd, finger, rpc, mail, rservices
8. Implementar o configurar defectuosamente los Firewalls, en particular omitir aquellas reglas que permiten detener trafico entrante o saliente malicioso o peligroso.
9. Fallar en la implementacion o actualizacion de software de deteccion de virus u otroas amenazas.
10. Fallar en la educacion de los usuarios en cuanto a que deben mirar o como deben reaccionar frente a un posible problema de seguridad.

Traducción de Santiago Cavanna, Miembro de ISSA - ISSA Argentina - CISSP(ISC2) + GIAC_GSEC(SANS). Especialista en seguridad de la informacion. Consultor en seguridad Informatica.

http://santiagocavanna.blogspot.com/

Fuente: http://www.sans.org/resources/mistakes.php