20 vulnerabilidades criticas 9.0

Saludos Mundo Libre.

Y seguimos con las 20 vulnerabilidades criticas ahora la 9.0

Habilidades de Evaluación de la Seguridad y la capacitación adecuada para llenar los vacíos


¿Cómo atacantes aprovechan de la ausencia de este control?

Las siguientes son las habilidades de los cinco grupos de personas que se están probando constantemente por los atacantes:

1. Los usuarios finales se deje engañar por estafas de ingeniería social en el que se engaña a proporcionar contraseñas, abrir archivos adjuntos, cargar el software desde sitios no confiables, o visitar sitios web maliciosos.

2. Los administradores del sistema también se engañado en la misma manera que los usuarios normales pero también se prueban cuando atacantes intentan engañar al administrador en la configuración de cuentas no autorizados.

3. Los operadores de seguridad y analistas se ponen a prueba con los ataques de nuevos e innovadores introducidos en una base continua.

4. Los programadores de aplicaciones han sido probados por los delincuentes que encontrar y explotar las vulnerabilidades en el código que escriben.

5. En menor medida, los dueños del sistema se prueba cuando se les pide que inviertan en la ciberseguridad pero no son conscientes de los efectos devastadores de un compromiso y exfiltración o alteración de datos tendría en su misión.

Cualquier organización que espera estar listo para buscar y responder a los ataques con eficacia deben encontrar las lagunas de su conocimiento y proponer ejercicios y entrenamiento para llenar esos vacíos. Un valor sólido programa de evaluación de habilidades pueden proporcionar información procesable para los tomadores de decisiones acerca de dónde concienciación sobre la seguridad necesita ser mejorado, y también puede ayudar a determinar la asignación adecuada de los recursos limitados para mejorar las prácticas de seguridad.

Capacitación también está estrechamente vinculada a la política y la toma de conciencia. Políticas de decirle a la gente lo que deben hacer, la formación les proporciona las habilidades para hacerlo, y los cambios de comportamiento de sensibilización para que las personas siguen la política. La capacitación debe ser mapeada en contra de las habilidades necesarias para realizar una tarea determinada. Si después de la capacitación, los usuarios todavía no están siguiendo la política, esa política debe ser ampliado con la conciencia.
Cómo implementar, automatizar y medir la efectividad de este control

1. Ganancias rápidas: Realizar análisis de brechas para ver qué áreas de seguridad empleados no se adhiere y utilizarlo como base para un programa de sensibilización. Las organizaciones deben diseñar evaluaciones periódicas de sensibilización sobre la seguridad que debe darse a los empleados y contratistas en por lo menos una vez al año con el fin de determinar si entienden las políticas de seguridad de la información y procedimientos, así como de su papel en esos procedimientos.

2. Ganancias rápidas: Desarrollar la formación de concienciación sobre seguridad para las varias descripciones de los puestos de personal. La capacitación debe incluir específicos, basados ​​en escenarios de incidentes que muestran las amenazas que enfrenta una organización, y debe presentar defensas probadas en contra de las últimas técnicas de ataque.

3. Ganancias rápidas: Conciencia debe ser cuidadosamente validados con las políticas y la formación. Políticas de indicar a los usuarios qué hacer, capacitación les proporciona las habilidades para hacerlo, y los cambios de comportamiento de sensibilización para que comprendan la importancia de seguir la política.

4. Visibilidad / Reconocimiento: Metrics se debe crear para todas las políticas y medidas sobre una base regular. Conciencia debe centrarse en las áreas que reciben el puntaje más bajo de cumplimiento.

5. Configuración / Higiene: Realizar ejercicios periódicos para verificar que los empleados y contratistas están cumpliendo con sus funciones de protección de información mediante la realización de pruebas para ver si los empleados se haga clic en un enlace de correo electrónico sospechoso o proporcionar información confidencial por teléfono sin seguir los procedimientos adecuados para la autenticación de un persona que llama.

6. Configuración / Higiene: Proporcionar sesiones de sensibilización para los usuarios que no están siguiendo las políticas después de que hayan recibido una formación adecuada.
Associated NIST Special Publication 800-53, Revisión 3, Prioridad 1 Controles

AT-1, AT-2 (1), AT-3 (1)
Asociadas NSA manejables Hitos Red Plan y tareas de seguridad de red

Formación
Procedimientos y herramientas para implementar y automatizar este control

La clave para mejorar las competencias es la medición a través de evaluaciones que muestran tanto el empleado como el empleador donde el conocimiento es suficiente y dónde están las brechas. Una vez que las deficiencias han sido identificados, aquellos empleados que tienen las habilidades y los conocimientos necesarios pueden ser llamados para guiar a los empleados que necesitan para mejorar sus habilidades. Además, la organización puede desarrollar programas de capacitación que directamente llenar los vacíos y mantener la preparación del empleado.

Control 9 Entidad Sistema Diagrama de relaciones (ERD):





Organizaciones encontrará que la diagramación de las entidades necesarias para cumplir plenamente los objetivos definidos en este control, será más fácil identificar la manera de implementar, probar los controles, e identificar dónde los posibles fallos en el sistema pueden ocurrir.

Un sistema de control es un dispositivo o conjunto de dispositivos se utilizan para administrar, comando, dirigir o regular el comportamiento de otros dispositivos o sistemas. En este caso, estamos examinando la importancia de educar a los miembros de la fuerza de trabajo en el conocimiento de la seguridad que necesitan para desempeñar mejor sus funciones y responsabilidades dentro de la organización. La siguiente lista de los pasos en el diagrama de arriba muestra cómo las entidades trabajan en conjunto para cumplir con el objetivo de negocios definido en este control. La lista también ayuda a identificar qué cada uno de los pasos del proceso con el fin de ayudar a identificar los puntos potenciales de fallo en el control general.

Paso 1: Crear programas de capacitación y sensibilización acerca de las políticas de la organización y los procedimientos de seguridad de la información

Paso 2: Diseñar exámenes y evaluaciones sobre las políticas de la organización y los procedimientos de seguridad de la información

Paso 3: Presentar el programa de capacitación y sensibilización al personal de la organización

Paso 4: Presente las pruebas y evaluaciones al personal de la organización y validar la comprensión de la información presentada en el programa de capacitación y sensibilización

Fuente:http://www.sans.org/critical-security-controls/control.php?id=9

Traduccion:Dellcom1@.

Saludos Mundo Libre.

dig *excavación*

Saludos Mundo Libre.

Hoy me he encontrado con una exelente herramienta llamada Dig que acontinuacion explicare para ustedes.

Introducción

dig es una herramienta de línea de comandos para consultar servidores de nombres DNS para obtener información acerca de las direcciones de host, intercambios de correo, servidores de nombres, e información relacionada. La excavación (1) página de manual está algo que desear cuando se trata de ejemplos, una deficiencia presente artículo trata de remediar.

El código fuente de excavación es parte de la distribución de BIND mayor ISC. Compilar e instalar BIND son temas que están fuera del alcance de este documento, pero en Linux excavación es por lo general parte de un paquete común: bind-tools (Gentoo), bind-utils (Red Hat, Fedora), o dnsutils (Debian).

Si usted está buscando información sobre la configuración del servidor de nombres BIND, usted puede ser que encuentre mi BIND artículo para la pequeña LAN más a su gusto.
Comprender la salida por defecto

El más típico, el más simple consulta es para un solo host. De forma predeterminada, sin embargo, dig es bastante detallado. Es probable que no necesitan toda la información en la salida por defecto, pero es probable que vale la pena saber lo que es. A continuación se muestra una consulta de anotaciones.

$ Dig www.isc.org

Esa es la invocación de línea de comandos de excavación que he usado.

; << >> << >> DiG 9.2.3 www.isc.org
;; Opciones globales: printcmd

La primera sección de salida dig nos dice un poco acerca de sí mismo (versión 9.2.3) y las opciones globales que se establecen (en este caso, printcmd). Esta parte de la salida puede ser sofocado mediante la opción nocmd +, pero sólo si es el primer argumento en la línea de comandos (incluso anterior al anfitrión que está consultando).

;; Got respuesta:
;; - << >> HEADER - opcode: QUERY, estado: NOERROR, id: 43071
;; Banderas: qr ra rd; QUERY: 1, RESPUESTA: 1, AUTORIDAD: 3, ADICIONALES: 3

Aquí, dig nos dice algunos detalles técnicos sobre la respuesta recibida del servidor DNS. Esta sección de la salida puede activarse con la opción-pero + [no] Comentarios ten cuidado que la desactivación de los comentarios también se apaga muchos encabezados de sección.

;; Sección de preguntas:
; Www.isc.org. EN UN

En la sección de preguntas, dig nos recuerda nuestra consulta. La consulta predeterminada es una dirección de Internet (A). Puede activar esta salida activado o desactivado con las teclas + [no] opción cuestión.

;; RESPUESTA SECCIÓN:
www.isc.org. 600 IN A 204.152.184.88

Por último, tenemos nuestra respuesta: la dirección de www.isc.org es 204.152.184.88. No sé por qué nunca querría apagar la respuesta, pero puede cambiar esta sección de la salida con las teclas + [no] opción de respuesta.

;; AUTORIDAD SECCIÓN:
isc.org. 2351 IN NS ns-int.isc.org.
isc.org. 2351 IN NS ns1.gnac.com.
isc.org. 2351 IN NS ns-ext.isc.org.

La sección de autoridad nos dice qué servidores DNS pueden proporcionar una respuesta autorizada a nuestra consulta. En este ejemplo, isc.org tiene tres servidores de nombres. Puede alternar esta sección de la salida con las teclas + [no] opción autoridad.

;; SECCIÓN ADICIONAL:
ns1.gnac.com. 171551 IN A 209.182.216.75
ns-int.isc.org. 2351 IN A 204.152.184.65
ns-int.isc.org. 2351 IN AAAA 2001:4 f8: 0:2 :: 15

La sección adicional suele incluir las direcciones IP de los servidores DNS mostrado en la sección de autoridad. Esta sección de la salida se puede activar con las teclas + [no] opción adicional.

;, Tiempo de consulta: 2046 ms
;; SERVER: 127.0.0.1 # 53 (127.0.0.1)
;; CUÁNDO: Vie Ago 27 08:22:26 2004
;; MSG SIZE rcvd: 173

La sección final de la salida predeterminada contiene información sobre la consulta, sino que puede ser activado con el + [no] opción stats.
¿Qué puedo descubrir?

dig le permitirá realizar cualquier consulta DNS válido, el más común de los cuales son A (la dirección IP), TXT (anotaciones de texto), MX (intercambio de correo), servidores NS nombre o el ómnibus HAY.

# Obtener la dirección (es) para yahoo.com
cavar yahoo.com A + + Noall respuesta

# Obtener una lista de servidores de correo yahoo
cavar yahoo.com MX + + Noall respuesta

# Obtener una lista de servidores DNS autoritativos para yahoo.com
cavar yahoo.com NS + + Noall respuesta

# Obtener todo lo anterior
cavar yahoo.com CUALQUIER + + Noall respuesta

Más oscura, por el momento, de todos modos, también puede sondear la dirección IPv6 del host utilizando la opción de AAAA.

dig + short www.isc.org AAAA

Si el dominio que desea consultar permite transferencias de DNS, puede obtener esos, también. La realidad de la vida en Internet, sin embargo, es que los dominios muy pocos permitir transferencias sin restricciones estos días.

dig yourdomain.com AXFR

¿Cómo lo hago ...
Obtener una respuesta rápida?

Cuando todo lo que quiero es una respuesta rápida, la opción + corta es su amigo:

$ Dig + short www.isc.org
204.152.184.88

Obtener una respuesta no del todo-tan-corta?

Tenga en cuenta que una respuesta corta es diferente de sólo una respuesta. La manera de obtener una respuesta detallada, pero sin ninguna información auxiliar, es apagar todos los resultados (+ Noall) y vuelva a encender sólo las secciones que desee.

Aquí hay una respuesta corta seguido por sólo una respuesta, esta última incluye toda la información de configuración, incluyendo Time-To-Live (TTL), los datos que se muestran en un formato compatible con los archivos de configuración de BIND.

$ Dig + short fsf.org mx
20 mx20.gnu.org.
30 mx30.gnu.org.
10 mx10.gnu.org.

$ Dig + nocmd fsf.org mx + + Noall respuesta
fsf.org. 3583 IN MX 30 mx30.gnu.org.
fsf.org. 3583 IN MX 10 mx10.gnu.org.
fsf.org. 3583 IN MX 20 mx20.gnu.org.

Obtener una respuesta larga?

De acuerdo con su página de manual, la opción + multiline le dará una respuesta con "los registros SOA en un detallado multi-formato de línea con comandos legibles." En general, las respuestas recuperar con la opción + multilínea aparecerá más como BIND archivos de configuración de lo que será sin ella.

$ Dig + nocmd ogi.edu cualquier multiline + + + Noall respuesta
ogi.edu. 14267 IN A 129.95.59.31
ogi.edu. 14267 IN MX 5 cse.ogi.edu.
ogi.edu. 14267 IN MX 15 hermes.admin.ogi.edu.
ogi.edu. 14267 IN SOA zeal.admin.ogi.edu. hostmaster.admin.ogi.edu. (
                   200408230, serial
                   14400; refresh (4 horas)
                   900; reintento (15 minutos)
                   3600000; expirar (5 semanas 6 días 16 horas)
                   14400; mínimo (4 horas)
                   )
ogi.edu. 14267 EN zeal.admin.ogi.edu NS.
ogi.edu. 14267 EN cse.ogi.edu NS.
ogi.edu. 14267 EN fork.admin.ogi.edu NS.

Haga una búsqueda inversa?

Utilice la opción-x para buscar el nombre del sistema principal asociado a una dirección IP.

$ Dig-x 204.152.184.167 + short
mx-1.isc.org.

En un bucle, esta es una manera hábil para asignar los nombres en una subred:

#! / Bin / bash
NET = 07/18/22
para n en $ (seq 1 254); hacer
  ADDR = $ {NET}. $ {N}
  echo-e "$ {DIR} \ t $ (dig-x $ {DIR} + short)"
hecho

Consultar un servidor de nombres diferentes?

Sólo tienes que especificar en la línea de comandos:

dig@ns1.google.com www.google.com

Utilice la lista de búsqueda en / / resolv.conf etc?

La utilidad anfitrión utilizará automáticamente la lista de búsqueda en el archivo / etc / resolv.conf.

$ Host www
www.madboa.com tiene la dirección 65.102.49.170

De forma predeterminada, sin embargo, cavar doesnt-que puede producir resultados inesperados. Si desea utilizar nombres de host locales en lugar de nombres de dominio completos, utilice la opción de búsqueda +.

dig www + búsqueda

Hacer búsquedas a granel?

Si desea consultar un gran número de nombres de host, puede ponerlos en un archivo (un nombre por línea) y utilice la opción-f para consultar cada uno de ellos.

# Hacer búsquedas completas para un número de nombres de host
dig-f / ruta / a / host-list.txt

# La misma salida, con más centrado
dig-f / ruta / a / host-list.txt + + Noall respuesta

Por lo que yo puedo decir, cavar versiones hasta e incluyendo la 9.2.3 no pueden hacer búsquedas inversas utilizando la opción-f.
Verificación de las asignaciones de DNS

Una configuración incorrecta de la configuración DNS puede ser realmente molesto. Usted quiere asegurarse de que sus asignaciones de trabajo en ambos sentidos:

    Cada host debe resolver en una dirección, y esa dirección debe resolver de nuevo al propio nombre de host.

    Si una dirección en la subred (s) se ha asignado un puntero inverso para un nombre de host, nombre de host que debe apuntar a la dirección original.

Hay excepciones a estas dos reglas, por supuesto. Un CNAME se resolverá como también por primera vez el nombre de host, y sólo entonces a una dirección. A veces los nombres de host múltiple apuntará a la misma dirección, pero esa dirección tendrá un solo puntero inverso.

Aún así, es bueno saber que sus asignaciones básicas funcionan como se esperaba.

Usted puede crear un script tal examen si usted construye un archivo que contiene los nombres de hosts conocidos. El script de ejemplo a continuación es bastante simple, se romperá si se alimenta un CNAME, y va a informar de un error en alguna parte si el punto de nombres de host múltiple a la misma dirección. Supongamos que el archivo que contiene los nombres de host se llama named-anfitriones.

#! / Bin / bash
#
# Test DNS hacia adelante y hacia atrás-mapping
#

# Editar esta variable para reflejar clase subred local C (s)
NETS = "192.168.1 192.168.2"

# Prueba de nombre a dirección para nombrar validez
eco
echo-e "\ tname -> Dirección -> nombre"
echo '----------------------------------'
mientras leído H, hacer
  ADDR = $ (dig $ H + short)
  if test-n "$ ADDR", y luego
    HOST = $ (dig-x $ ADDR + short)
    si la prueba "$ H" = "$ HOST" y luego
      echo-e "ok \ t $ H -> $ ADDR -> $ HOST"
    elif test-n "$ HOST" y luego
      echo-e "fail \ t $ H -> $ ADDR -> $ HOST"
    más
      echo-e "fail \ t $ H -> $ ADDR -> [sin asignar]"
    fi
  más
    echo-e "fail \ t $ H -> [sin asignar]"
  fi
Done
# Prueba de dirección a nombre para hacer frente a la validez
eco
echo-e "\ TAddress -> nombre -> dirección"
echo '-------------------------------------'
NET para en $ nets; hacer
  para n en $ (seq 1 254); hacer
    A $ = {NET}. $ {N}
    HOST = $ (dig-x $ A + short)
    if test-n "$ HOST" y luego
      ADDR = $ (dig + short $ HOST)
      si la prueba "$ A" = "$ ADDR", y luego
        echo-e "ok \ t $ A -> $ HOST -> $ ADDR"
      elif test-n "$ ADDR", y luego
        echo-e "fail \ t $ A -> $ HOST -> $ ADDR"
      más
        echo-e "fail \ t $ A -> $ HOST -> [sin asignar]"
      fi
    fi
  hecho
hecho

cavar diversión
Ruede su propio archivo named.root

Cualquier servidor DNS conectado a Internet es probable que tenga una copia del archivo named.root el InterNIC que enumera los servidores de nombres raíz para la totalidad de Internet. Siempre puede descargar ese archivo en el modo de servidor ftp aburrido el InterNIC. O, en una verdadera construcción de bricolaje de la moda, se puede construir con dig.

# Comparar con ftp://ftp.internic.net/domain/named.root
dig + nocmd. NS + + respuesta + Noall adicional

Sus valores TTL puede ser un poco en el lado corto, pero por lo demás, es lo más al día una lista que usted encontrará!
Camino de seguimiento de excavación

Tal vez usted es un devoto de traceroute y me gusta ver cómo llegar del punto A al punto B. Se puede hacer algo similar con la opción de dig + trace.

dig + trace gentoo.de

Vas a ver la cabeza de excavación a los servidores de nombres raíz, luego a los servidores responsables de todos los archivos *. Dominios de, y finalmente a los servidores de nombres responsables de gentoo.de.
Agarrando información SOA

Como administrador de DNS, a veces hacer cambios y quiere ver si alguno de mis servidores de nombres siguen empujando los datos antiguos. El nssearch + proporciona una clara rendición de cuentas de los servidores públicos.

# La verdad desnuda
dig cse.ogi.edu + nssearch

# El mismo, mostrando sólo el número de serie y el nombre de host
dig cse.ogi.edu + nssearch | cut-d ''-f4, 11

Interpretación de los números TTL

Me encanta Google, por muchas razones, una de ellas es que proporciona cadenas referenciales en mis registros web que hacen que sea fácil de averiguar qué tipo de preguntas llevan a las personas a las páginas de este sitio.

Algo inesperado, he visto un montón de preguntas que solicitan información sobre TTL (time-to-live) números. Nunca me hubiera imaginado que TTL sería un tema de interés, pero se aprende algo nuevo cada día. Así que, por demanda popular, he aquí una breve introducción a TTL.

Si le preguntas a tu servidor local de DNS para una dirección de Internet, el servidor se da cuenta de dónde encontrar una respuesta autorizada y luego pide. Una vez que el servidor recibe una respuesta, que se mantendrá la respuesta en una caché local de modo que si usted pide la misma dirección de nuevo un poco más tarde, se le puede dar una respuesta rápida en lugar de buscar el Internet para todo de nuevo.

Cuando los administradores de dominio configurar sus registros DNS, deciden cuánto tiempo los documentos deben permanecer en cachés remotas. Este es el número TTL (generalmente expresada en número de segundos).

Típicamente, un servidor remoto sólo almacenará en memoria caché los registros para el período de tiempo especificado por el TTL. Después de eso, el servidor remoto hará que se vacíe su caché local y pedir de nuevo una respuesta autoritaria.

Cuando se utiliza cavar para consultar un servidor DNS, relativa a un determinado registro, el servidor le dirá a cavar el tiempo (en segundos) que el registro se mantendrá en la memoria caché.

Por ejemplo, a partir de este escrito, el TTL de los registros MX para el dominio gmail.com es de 300 segundos. Los administradores gmail.com están pidiendo que sus servidores remotos MX caché los registros de no más de cinco minutos. Así que la primera vez que pedir que conjunto de registros, dig reportará un TTL de 300.

$ Dig + nocmd gmail.com MX + + Noall respuesta
gmail.com. 300 IN MX 20 gsmtp57.google.com.
gmail.com. 300 IN MX 10 gsmtp171.google.com.

Si le preguntas a los pocos segundos, verá el número TTL reduce en aproximadamente el número de segundos que se demoró en volver a preguntar.

$ Dig + nocmd gmail.com MX + + Noall respuesta
gmail.com. 280 IN MX 10 gsmtp171.google.com.
gmail.com. 280 IN MX 20 gsmtp57.google.com.

Si el tiempo es bueno, se puede tomar el registro al final de su vida útil.

$ Dig + nocmd gmail.com MX + + Noall respuesta
gmail.com. 1 IN MX 10 gsmtp171.google.com.
gmail.com. 1 IN MX 20 gsmtp57.google.com.

Después de eso, el servidor DNS que está consultando a "olvidar" la respuesta a esa pregunta, por lo que el ciclo comenzará de nuevo (en este ejemplo, a 300 segundos) que la próxima vez que realice esa consulta.

Descarga:http://www.madboa.com/geek/dig/

Traduccion:Dellcom1@.

Testeada por :Dellcom1@.


Saludos Mundo Libre.

20 vulnerabilidades criticas 8.0

Saludos Mundo Libre.

20 vulnerabilidades criticas 8.0 Datos de la capacidad de recuperación.

Y seguimos con este tema ya con el capitulo 8.0


¿Cómo atacantes aprovechan de la ausencia de este control?

Cuando las máquinas atacantes de compromiso, a menudo realizar cambios significativos a las configuraciones y software. A veces, los atacantes también hacer alteraciones sutiles de los datos almacenados en las máquinas comprometidas, lo que podría poner en peligro la eficacia de la organización con información contaminada. Cuando los atacantes se descubren, puede ser extremadamente difícil para las organizaciones sin una capacidad de recuperación de datos fiable para eliminar todos los aspectos de la presencia del intruso en la máquina.
Cómo implementar, automatizar y medir la efectividad de este control

1. Ganancias rápidas: Asegúrese de que cada sistema de forma automática una copia de seguridad de por lo menos una vez por semana, y con más frecuencia para los sistemas de almacenamiento de información sensible. Para ayudar a asegurar la capacidad de restaurar rápidamente un sistema de copia de seguridad, el sistema operativo, software de aplicación y datos en una máquina deben, cada uno incluido en el procedimiento de copia de seguridad en general. Estos tres componentes de un sistema no tiene que ser incluido en el archivo de copia de seguridad o utilizar el mismo software de copia de seguridad mismo. Todas las políticas de copia de seguridad debe cumplir con los requisitos reglamentarios u oficiales.

2. Ganancias rápidas: Los datos sobre los medios de copia de seguridad debe ser probado en forma regular mediante la realización de un proceso de restauración de datos para garantizar que la copia de seguridad funciona correctamente.

3. Ganancias rápidas: Clave personal debe estar capacitado en tanto la copia de seguridad y procesos de restauración. Para estar preparado en caso de un incidente grave, el personal de alternativas también debe estar capacitado en el proceso de restauración por si acaso el principal punto de contacto de TI no está disponible.

4. Configuración / higiene: Asegúrese de que las copias de seguridad están debidamente protegidos por la seguridad física o el cifrado cuando se almacenan, así como cuando se mueven a través de la red. Esto incluye copias de seguridad remotas y servicios de nube.

5. Configuración / Higiene: medios de copia de seguridad, tales como discos duros y cintas, deben almacenarse en instalaciones seguras y físicamente bloqueados. Fin de la vida útil media de respaldo debe ser segura borrado / destruidos.
Associated NIST Special Publication 800-53, Revisión 3, Prioridad 1 Controles

CP-9 (a, b, d, 1, 3), CP-10 (6)
Asociadas NSA manejables Hitos Red Plan y tareas de seguridad de red

Estrategia de respaldo
Procedimientos y herramientas para implementar y automatizar este control

Una vez por trimestre (o siempre que el equipo se compra nueva copia de seguridad), un equipo de prueba debe evaluar una muestra aleatoria de las copias de seguridad del sistema, tratando de restaurarlos en un entorno de banco de pruebas. Los sistemas restaurados deben ser verificados para asegurar que el sistema operativo, las aplicaciones y los datos de la copia de seguridad están intactos y funcionales.

Entidad de Control 8 Sistema Diagrama de relaciones (ERD):




Organizaciones encontrará que la diagramación de las entidades necesarias para cumplir plenamente los objetivos definidos en este control, será más fácil identificar la manera de implementar, probar los controles, e identificar dónde los posibles fallos en el sistema pueden ocurrir.

Un sistema de control es un dispositivo o conjunto de dispositivos se utilizan para administrar, comando, dirigir o regular el comportamiento de otros dispositivos o sistemas. En este caso, estamos examinando la capacidad de una organización para restaurar los sistemas en caso de que los datos necesitan ser restaurado debido a una pérdida de datos o el incumplimiento de un sistema. Mientras que las copias de seguridad son sin duda una parte importante de este proceso, la capacidad de restaurar datos es el componente crítico. La siguiente lista de los pasos en el diagrama de arriba muestra cómo las entidades trabajan juntos para alcanzar el objetivo de negocio definida en este control. La lista también ayuda a identificar qué cada uno de los pasos del proceso con el fin de ayudar a identificar los puntos potenciales de fallo en el control general.

Paso 1: Los sistemas de producción comerciales copia de seguridad en una base regular para autorizar a los sistemas de respaldo de la organización

Fuente:http://www.sans.org/critical-security-controls/control.php?id=8

Traduccion:Dellcom1@.

Saludos Mundo Libre.

Phishing

Saludos Mundo Libre.

Hoy quiero hablar sobre el Phishing una tecnica de atacar a personas sin conosimientos en informatica asiendo creer que el sitio web que esta visitando es el correcto y asi sacar datos muy importantes sobre el.

tarjetas de credito.
direccion.
password.
etc.

Bueno hoy no se trata de eso alcontrario es para que se protajas y esto va contra mi actividad y encontra de mi criterio pero he aqui un sitio web que verifica la web solo introduciendo la URL del sitio y si se encuentra en la base de datos te alertara sobre ese sitio sino se encuentra lo podras agregar a la vase de datos del sitio web.

Hay se la dejo  en contra de mis intereces .

El sitio es:http://www.phishtank.com/

Saludos Mundo Libre

20 vulnerabilidades criticas 7.0

Saludos Mundo Libre.

seguimos con las 20 vulnerabilidades criticas ahora le toca a.

Que es una en las cuales me considero todo un  guro del wifi.

Los procesos y herramientas que se utilizan para realizar un seguimiento / controlar / prevenir / corregir el uso de seguridad inalámbrica LAN (redes de área local), puntos de acceso y los sistemas inalámbricos de los clientes.
¿Cómo atacantes aprovechan de la ausencia de este control?

Los principales robos de datos se han iniciado por atacantes que han obtenido acceso inalámbrico a organizaciones de fuera del edificio físico, sin pasar por los perímetros de las organizaciones de seguridad mediante una conexión inalámbrica a puntos de acceso dentro de la organización. Los clientes inalámbricos que acompañan a los funcionarios que viajen están infectados de forma regular a través de la explotación a distancia durante viajes en avión o en cafés cibernéticos. Tales sistemas explotados son entonces usados ​​como puertas traseras cuando se vuelven a conectar a la red de la organización objetivo. Sin embargo, otros organismos han informado del descubrimiento de puntos de acceso inalámbricos no autorizados en sus redes, plantado y, a veces oculta para el acceso sin restricciones a una red interna. Debido a que no requieren conexiones físicas directas, los dispositivos inalámbricos son un vector adecuado para mantener a los atacantes acceso a largo plazo en un entorno de destino.
Cómo implementar, automatizar y medir la efectividad de este control

1. Ganancias rápidas: Asegúrese de que cada dispositivo inalámbrico conectado a la red coincide con una configuración autorizada y perfil de seguridad, con un propietario documentado de la conexión y una necesidad de negocio definido. Las organizaciones deben negar el acceso a los dispositivos inalámbricos que no cuentan con este tipo de configuración y perfil.

2. Ganancias rápidas: Asegúrese de que todos los puntos de acceso inalámbricos son manejables mediante herramientas de gestión empresarial. Los puntos de acceso diseñados para uso en el hogar a menudo carecen de tales capacidades de gestión empresarial, y por lo tanto se debe evitar en los entornos empresariales.

3. Ganancias rápidas: Red de herramientas de escaneo de vulnerabilidad debe ser configurado para detectar puntos de acceso inalámbrico conectado a la red cableada. Dispositivos identificados deben conciliarse con una lista de puntos de acceso inalámbricos autorizados. Puntos de acceso no autorizados (es decir, pícaro) debe ser desactivada.

4. Visibilidad / Reconocimiento: Utilice sistemas inalámbricos de detección de intrusos (WIDS) para identificar delincuentes dispositivos inalámbricos y detectar intentos de ataque y compromisos exitosos. Además de WIDS, todo el tráfico inalámbrico debe ser supervisada por WIDS como el tráfico pasa a la red cableada.

5. Visibilidad / Reconocimiento: 802.1x se debe utilizar para controlar los dispositivos que pueden conectarse a la red inalámbrica.

6. Visibilidad / Reconocimiento: Un estudio del sitio se debe realizar para determinar qué áreas dentro de la cobertura necesidad de organización. Después de que los puntos de acceso inalámbricos se colocan estratégicamente, la fuerza de la señal debe ser sintonizado para minimizar las fugas a las áreas que no necesitan cobertura.

7. Configuración / Higiene: En caso de necesidad de negocio específica para el acceso inalámbrico ha sido identificado, configurar el acceso inalámbrico en los equipos cliente para permitir el acceso sólo a autoridades redes inalámbricas.

8. Configuración / Higiene: Para los dispositivos que no tienen un propósito esencial del negocio inalámbrico, deshabilite el acceso inalámbrico en la configuración del hardware (básico de entrada / salida del sistema o interfaz de firmware extensible), con protección de contraseña para disminuir la posibilidad de que el usuario anulará dichas configuraciones.

9. Configuración / higiene: Asegúrese de que todo el tráfico inalámbrico aprovecha al menos Advanced Encryption Standard (AES) se usa con menos WiFi Protected Access 2 (WPA2) protección.

10. Configuración / higiene: Asegúrese de que las redes inalámbricas utilizan protocolos de autenticación como autenticación extensible Protocolo de Seguridad la capa de transporte (EAP / TLS), que proporcionan protección de credenciales y autenticación mutua.

11. Configuración / higiene: Asegúrese de que los clientes inalámbricos utilizan fuertes, multi-factor de las credenciales de autenticación para mitigar el riesgo de acceso no autorizado de las credenciales comprometidas.

12. Configuración / Higiene: Desactivar peer-to-peer capacidades de red inalámbrica en los clientes inalámbricos, a menos que dicha funcionalidad responde a una necesidad de negocio documentado.

13. Configuración / Higiene: Deshabilitar el acceso inalámbrico periférico de dispositivos (como Bluetooth), a menos que tal acceso es necesario para una necesidad de negocio documentados.

14. Configuración / Higiene: Puntos de acceso inalámbrico no debe estar conectado directamente a la red privada. O bien se debe colocar detrás de un firewall o poner en una VLAN separada para todo el tráfico puede ser examinado y se filtra.

15. Configuración / Higiene: Todos los dispositivos móviles, incluyendo dispositivos de personal, deben estar registrados antes de conectarse a la red inalámbrica. Todos los equipos inscritos deben ser escaneados y seguir la política de la empresa para el host endurecimiento y gestión de la configuración.

16. Advanced: Configuración de todos los clientes inalámbricos utilizan para acceder a redes privadas o manipular datos de la organización de una manera para que no se puede utilizar para conectarse a redes inalámbricas públicas o cualquier otra red más allá de los expresamente permitidos por la organización.
Associated NIST Special Publication 800-53, Revisión 3, Prioridad 1 Controles

AC-17, AC-18 (1, 2, 3, 4), SC-9 (1), SC-24, SI-4 (14, 15)
Asociadas NSA manejables Hitos Red Plan y tareas de seguridad de red

Seguridad de acceso remoto
Procedimientos y herramientas para implementar y automatizar este control

Las organizaciones eficaces ejecutar exploración comercial inalámbrico, detección, y herramientas de detección, así como los sistemas comerciales de detección de intrusiones inalámbricas.

Además, el equipo de seguridad periódicamente debe capturar el tráfico inalámbrico desde el interior de las fronteras de una instalación y el uso de herramientas de análisis gratuitos y comerciales para determinar si el tráfico inalámbrico se transmite utilizando encriptación más débiles que los protocolos o los mandatos de la organización. Cuando los dispositivos que dependen de la configuración de seguridad inalámbrica débiles se identifican, deben encontrarse dentro del inventario de activos de la organización y sea reconfigurado de forma más segura o no acceso a la red de la organización.

Además, el equipo de seguridad debe emplear herramientas de administración remota en la red por cable para extraer información acerca de las capacidades inalámbricas y los dispositivos conectados a los sistemas administrados.

CONTROL 7 Metric:

El sistema debe ser capaz de identificar los dispositivos inalámbricos no autorizados o configuraciones cuando están dentro del alcance de los sistemas de la organización o conectados a sus redes. El sistema debe ser capaz de identificar los nuevos dispositivos inalámbricos no autorizados que se asocian o unirse a la red dentro de una hora, alertas o el envío de notificaciones por correo electrónico a una lista del personal de la empresa. Automáticamente, el sistema debe aislar a un punto de acceso inalámbrico adjunto de la red dentro de una hora y alertar o enviar e-mail de notificación cuando el aislamiento se logra. Cada 24 horas después de ese punto, el sistema debe alertar o enviar e-mail sobre el estado del sistema hasta que haya sido eliminado de la red. La base de datos de inventario de activos y sistema de alerta que debe ser capaz de identificar la ubicación, el departamento y otros detalles de los dispositivos inalámbricos autorizados y no autorizados están conectados a la red. Si bien los plazos de 24 horas y una hora-representan la métrica actual para ayudar a las organizaciones a mejorar su estado de seguridad, en las futuras organizaciones deben esforzarse aún más rápido para alertar y aislamiento, con una notificación sobre los dispositivos inalámbricos no autorizados enviados a los dos minutos y el aislamiento dentro de los cinco minutos.

7 de control de la prueba:

Para evaluar la aplicación de control 7 en forma periódica, el personal del equipo de evaluación debe configurar 10 clientes inalámbricos no autorizados, pero endurecida y puntos de acceso inalámbrico a la red de la organización y tratar de conectarse a sus redes inalámbricas. En el caso de puntos de acceso inalámbricos, estos puntos de acceso no deben estar conectados directamente a la red de confianza de la organización. En cambio, simplemente se debe configurar para actuar como una pasarela inalámbrica sin conectar físicamente a una interfaz de red cableada. En el caso de la exploración de puntos de acceso inalámbrico de una interfaz con cable, el punto de acceso conectado debe tener la radio inalámbrica desactivada durante la duración de la prueba. Estos sistemas deben estar configurados para probar cada uno de los siguientes escenarios:

    Un cliente inalámbrico con identificador de servicio no autorizado configurado en él.
    Un cliente inalámbrico con el cifrado incorrecto configurado.
    Un cliente inalámbrico con autenticación incorrecto configurado.
    Un punto de acceso inalámbrico con el cifrado incorrecto configurado.
    Un punto de acceso inalámbrico con autenticación incorrecto configurado.
    Un pícaro completamente inalámbrica punto de acceso mediante una configuración no autorizados.

Cuando cualquiera de los sistemas indicados anteriormente intenta conectarse a la red inalámbrica, una alerta se debe generar y personal de las empresas deben responder a las alertas para aislar el dispositivo detecta o eliminar el dispositivo de la red.

Entidad de Control 7 Sistema Diagrama de relaciones (ERD):





Organizaciones encontrará que la diagramación de las entidades necesarias para cumplir plenamente los objetivos definidos en este control, será más fácil identificar la manera de implementar, probar los controles, e identificar dónde los posibles fallos en el sistema pueden ocurrir.

Un sistema de control es un dispositivo o conjunto de dispositivos se utilizan para administrar, comando, dirigir o regular el comportamiento de otros dispositivos o sistemas. En este caso, estamos examinando la configuración y gestión de dispositivos móviles inalámbricos, IDS / escáneres, sistemas inalámbricos de gestión de dispositivos y escáneres de vulnerabilidad. La siguiente lista de los pasos en el diagrama de arriba muestra cómo las entidades trabajan juntos para alcanzar el objetivo de negocio definida en este control. La lista también ayuda a identificar qué cada uno de los pasos del proceso con el fin de ayudar a identificar los puntos potenciales de fallo en el control general.

Paso 1: Configuraciones endurecidos aplicados a los dispositivos inalámbricos

Paso 2: Configuraciones templados sujetos a un sistema de gestión de configuración

Paso 3: Sistema de gestión de la configuración administra las configuraciones de los dispositivos inalámbricos

Paso 4: Wireless IDS monitor de uso de las comunicaciones inalámbricas

Paso 5: Vulnerabilidad escáneres inalámbricos dispositivos de exploración de vulnerabilidades potenciales

Paso 6: Los clientes inalámbricos utilizan sistemas de infraestructura inalámbrica de forma segura.

Fuente:http://www.sans.org/critical-security-controls/control.php?id=7

Traduccion:Dellcom1@.

Saludos Mundo Libre.

20 vulnerabilidades criticas Application Security Software

Saludos Mundo Libre.

Seguimos con las 20 vulnerabilidades criticas y es hora de la 6.0

Application Security Software

¿Cómo atacantes aprovechan de la ausencia de este control?

Los ataques contra las vulnerabilidades en el software de aplicación basada en la web y otros han sido una prioridad para las organizaciones criminales en los últimos años. El software de aplicación que no comprueba correctamente el tamaño de la entrada del usuario, no para sanear la entrada del usuario mediante el filtrado de secuencias de caracteres que no sean necesarios, pero potencialmente malicioso o no inicializar las variables claras y bien podría ser vulnerable a comprometer a distancia. Los atacantes pueden inyectar exploits específicos, como desbordamientos de búfer, ataques de inyección SQL, cross-site scripting, cross-site solicitud falsificación y click-jacking de código para obtener el control de las máquinas vulnerables. En un ataque, más de 1 millón de servidores web se explotaron y se convirtieron en los motores de infección para los visitantes a los sitios que utilizan la inyección SQL. Durante el ataque, los sitios web de confianza de los gobiernos estatales y otras organizaciones comprometidas por atacantes para infectar a cientos de miles de navegadores que accedieron esos sitios web. Muchos más web y no web vulnerabilidades de las aplicaciones se descubren en una base regular.

Para evitar este tipo de ataques, tanto de software de aplicaciones desarrolladas internamente y de terceros deben ser cuidadosamente probados para encontrar fallas de seguridad. Para el software de aplicaciones de terceros, las empresas deben verificar que los proveedores han llevado a cabo pruebas de seguridad detallada de sus productos. Para obtener in-house desarrollado aplicaciones, las empresas deben llevar a cabo dichas pruebas sí mismos o contratar a una empresa externa para su realización.
Cómo implementar, automatizar y medir la efectividad de este control

1. Ganancias rápidas: Proteger las aplicaciones web mediante la implementación de firewalls de aplicaciones web (WAF) que inspeccionan todo el tráfico que fluye a la aplicación web para ataques comunes de aplicaciones web, incluyendo pero no limitado a cross-site scripting, inyección SQL, inyección de comandos y ataques de directorio transversal. Para las aplicaciones que no están basado en la web, firewalls de aplicaciones específicas deben ser desplegados si estas herramientas están disponibles para el tipo de aplicación. Si el tráfico está cifrado, el dispositivo o bien debe sentarse detrás de la encriptación o ser capaz de descifrar el tráfico antes del análisis. Si ninguna de estas opciones es adecuada, un firewall basado en host web aplicación debe ser desplegado.

2. Visibilidad / Reconocimiento: En un control mínimo, el error se debe hacer explícito para todas las entradas. Cada vez que se crea una variable en el código fuente, el tamaño y el tipo debe ser determinada. Cuando la entrada es proporcionada por el usuario se debe verificar que no exceda el tamaño o el tipo de datos de la ubicación de memoria en la que se almacena o se mueve en el futuro.

3. Visibilidad / Reconocimiento: Test in-house desarrollado y de terceros, adquiridos aplicaciones web para las debilidades comunes de seguridad automatizadas utilizando escáneres remotos de aplicaciones Web antes del despliegue, cuando se realizan actualizaciones de la aplicación y de manera recurrente regular. Las organizaciones deben entender cómo sus aplicaciones se comportan bajo ataques de denegación de servicio o el agotamiento de los recursos.

4. Visibilidad / Reconocimiento: Los mensajes de error del sistema no debe mostrarse a los usuarios finales (desinfección de salida).

5. Visibilidad / Reconocimiento: Mantener ambientes separados para los sistemas de producción y no producción. Los desarrolladores normalmente no deberían tener acceso sin control a los entornos de producción.

6. Configuración / Higiene: Test in-house desarrollado y de terceros, adquiridos web y otras aplicaciones de software para la codificación de errores y la inserción de malware, incluyendo puertas traseras, antes de la implementación mediante software automatizado de análisis de código estático. Si el código fuente no está disponible, estas organizaciones deberían probar el código compilado utilizando herramientas de análisis estático binarios. En particular, la validación de entrada y salida de las rutinas de codificación de software de aplicación debe ser cuidadosamente revisado y probado.

7. Configuración / Higiene: Para las aplicaciones que se basan en una base de datos, las organizaciones deben llevar a cabo una revisión de la configuración tanto de la carcasa del sistema operativo de la base de datos y el software de base de datos en sí, comprobando la configuración para asegurarse de que el sistema de base de datos se ha endurecido mediante plantillas estándar de endurecimiento. Todos los sistemas que forman parte de los procesos críticos de negocio también debe ser probado.

8. Configuración / higiene: Asegúrese de que todo el personal de desarrollo de software reciben capacitación en la escritura de código seguro para su entorno de desarrollo específico.

9. Configuración / Higiene: Los scripts de ejemplo, las bibliotecas, los componentes, compiladores, o cualquier otro código innecesario que no está siendo utilizada por una aplicación debe ser desinstalado o eliminado del sistema.
Associated NIST Special Publication 800-53, Revisión 3, Prioridad 1 Controles

CM-7, RA-5 (a, 1), SA-3, SA-4 (3), SA-8, SI-3, SI-10
Asociadas NSA manejables Hitos Red Plan y tareas de seguridad de red

Hito 3: Arquitectura de red

Hito 7: Gestión de Base

Security Gateways, Proxies y Firewalls
Procedimientos y herramientas para implementar y automatizar este control

Fuente herramientas de pruebas de código, herramientas de seguridad de aplicaciones web y herramientas de análisis de código objeto de prueba han demostrado su utilidad en la obtención de software de aplicación, junto con las pruebas de penetración manual de seguridad de la aplicación por los probadores que tienen conocimientos de programación extensa y la experiencia de aplicación de pruebas de penetración. La Enumeración Común Debilidad (CWE) iniciativa es utilizado por muchas herramientas para identificar las debilidades que encuentran. Las organizaciones también pueden utilizar CWE para determinar qué tipos de debilidades que están más interesados ​​en el tratamiento y la eliminación. Al evaluar la eficacia de las pruebas de estas debilidades, común MITRE Enumeración Attack Pattern y clasificación se puede utilizar para organizar y registrar la amplitud de las pruebas de los CWES y permitir a los probadores a pensar como agresores en su desarrollo de casos de prueba.

Control 6 Metric:

El sistema debe ser capaz de detectar y bloquear un ataque de software a nivel de aplicación, y debe generar una alerta o enviar un correo electrónico a la iniciativa personal administrativo dentro de las 24 horas de la detección y bloqueo.

Todas las aplicaciones web con acceso a Internet deben ser escaneados de forma semanal o diaria, aviso o enviando un correo electrónico al personal administrativo dentro de las 24 horas de haber completado un análisis. Si el análisis no puede ser completado con éxito, el sistema debe alertar o enviar un correo electrónico al personal administrativo dentro de la hora que indica que la exploración no ha tenido éxito. Cada 24 horas después de ese punto, el sistema debe alertar o enviar un correo electrónico sobre el estado de las exploraciones incompletas, hasta que se reanude exploración normal.

Además, todas las vulnerabilidades de alto riesgo en las aplicaciones web pueda acceder desde Internet identificados por los escáneres de vulnerabilidades de las aplicaciones web, herramientas de análisis estático, y automatizado las herramientas de configuración de base de datos de revisión deben ser mitigados (por cualquiera de fijación de la falla o la aplicación de un control de compensación) dentro de los 15 días del descubrimiento de la falla.

Si bien los plazos de 24 horas y una hora-representan la métrica actual para ayudar a las organizaciones a mejorar su estado de seguridad, en las futuras organizaciones deben esforzarse para aún más rápido de alerta, con notificación acerca de un intento de ataque solicitud enviada a los dos minutos.

Control 6 Test:

Para evaluar la aplicación de control 6 sobre una base mensual, un equipo de evaluación debe utilizar una aplicación Web Vulnerability Scanner para detectar cada tipo de falla identificada en la lista actualizada de los "25 errores de programación más peligrosos" por Mitre y el Instituto SANS . El escáner debe estar configurado para evaluar todas las aplicaciones web de la organización pueda acceder desde Internet a identificar dichos errores. El equipo de evaluación debe verificar que la exploración se detecta dentro de 24 horas y que se genera una alerta.

Además del escáner de vulnerabilidades de aplicaciones web, el equipo de evaluación también debe ejecutar las herramientas de análisis estático de código y herramientas de base de datos de configuración de revisión en contra de Internet con acceso para aplicaciones para identificar fallas de seguridad en una base mensual.

El equipo de evaluación debe verificar que todas las vulnerabilidades de alto riesgo identificados por la vulnerabilidad de escaneo automático de herramientas o herramientas de análisis estático de código han sido remediada o abordarse a través de un control de compensación (como un firewall de aplicaciones web) dentro de los 15 días del descubrimiento.

El equipo de evaluación debe verificar que la aplicación de herramientas de escaneo de vulnerabilidad han completado con éxito sus exámenes regulares de los últimos 30 ciclos de barrido mediante la revisión de las alertas y los informes archivados para asegurar que la exploración se ha completado. Si el análisis no se completó con éxito, el sistema debe alertar o enviar un correo electrónico a la iniciativa personal administrativo que indican lo que pasó. Si el análisis no se pudo completar en ese período de tiempo, el equipo evaluador debe verificar que una alerta por correo electrónico o se ha generado lo que indica que la exploración no terminó.

Entidad de Control 6 Sistema Diagrama de relaciones (ERD):

Organizaciones encontrará que la diagramación de las entidades necesarias para cumplir plenamente los objetivos definidos en este control, será más fácil identificar la manera de implementar, probar los controles, e identificar dónde los posibles fallos en el sistema pueden ocurrir.

Un sistema de control es un dispositivo o conjunto de dispositivos se utilizan para administrar, comando, dirigir o regular el comportamiento de otros dispositivos o sistemas. En este caso, estamos examinando el proceso de aplicaciones de monitoreo y el uso de herramientas que hacen cumplir un estilo de seguridad en el desarrollo de aplicaciones.

La siguiente lista de los pasos en el diagrama de arriba muestra cómo las entidades trabajan juntos para alcanzar el objetivo de negocio definida en este control. La lista también ayuda a identificar qué cada uno de los pasos del proceso con el fin de ayudar a identificar los puntos potenciales de fallo en el control general.









Paso 1: firewalls de aplicación web proteger las conexiones a las aplicaciones web internas

Paso 2: Las aplicaciones de software conectarse de forma segura a los sistemas de bases de datos

Paso 3: Análisis de código y herramientas de escaneo de vulnerabilidad de análisis de sistemas de aplicaciones y sistemas de bases de datos.

Fuente:http://www.sans.org/critical-security-controls/control.php?id=6

Traduccion:Dellcom1@.

Saludos Mundo Libre.

VMInjector - Herramienta de Inyección DLL para desbloquear máquinas virtuales invitadas

Saludos Mundo libre.

Me he encontrado una herramienta para probar.

VMInjector - Herramienta de Inyección DLL para desbloquear máquinas virtuales invitadas


Información general:

VMInjector es una herramienta diseñada para evitar utilizar las pantallas de inicio de sesión de autenticación de los sistemas operativos más importantes que se ejecutan en VMware Workstation / Player, mediante el uso de memoria manipulación directa.

Descripción:

VMInjector es una herramienta que manipula la memoria de los clientes de VMware con el fin de eludir el sistema de operación de la pantalla de autenticación.

VMware maneja los recursos asignados a los sistemas operativos invitados, incluyendo la memoria RAM. VMInjector inyecta una biblioteca DLL en el proceso de VMWare para obtener acceso a los recursos asignados. La biblioteca DLL trabaja por espacio de memoria en el análisis de propiedad del proceso de VMware y localizar el archivo asignado en memoria RAM, lo que corresponde a la imagen de la memoria RAM del huésped. Mediante la manipulación del fichero RAM asignada y la función de aplicación de parches a cargo de la autenticación, un atacante obtiene acceso no autorizado a la máquina virtual subyacente.

VMInjector actualmente pueden pasar por alto bloqueado Windows, Ubuntu y Mac OS X sistemas operativos.

La aplicación de parches en la memoria no es persistente, y reiniciar la máquina virtual invitada a restaurar la funcionalidad de contraseña normal.

Atacar Escenarios:

VMInjector se puede usar si la contraseña de un host virtual se olvida y requiere reajuste.

Más generalmente, esta herramienta puede ser utilizada durante las actividades de pruebas de penetración, cuando el acceso a un host de VMware se logra y el atacante está tratando de obtener acceso adicional a los invitados que se ejecutan en el host, por ejemplo.

Requisitos:

    Máquina Windows (con acceso administrativo);
    VMware workstation o edición jugador;
    Un invitado bloqueado VM;

Uso:

VMInjector consta de 2 partes:

    La aplicación de inyección DLL (script python o suministrado ejecutable convertido)
    DLL de la biblioteca (x86 y x64)

La herramienta es compatible con las arquitecturas x86 bits y x64, proporcionando ambos archivos DLL. Uno puede utilizar su propio inyector DLL para seleccionar la máquina virtual invitada en ejecución en el host.

Con el fin de ejecutar la herramienta, ejecute el VMInjector (32 o 64) ejecutable proporcionado desde la línea de comandos tal como se muestra en la figura 1.

Figura 1: Lista de ejecutar máquinas clientes corriendo.






VMWare ejecuta cada huésped en un proceso diferente. VMInjector hay que señalar que el proceso que se ejecuta el cliente que requiere bypass. Una vez que el usuario elige un proceso, se inyecta la DLL en el destino elegido.

Una vez que el DLL se inyecta, el usuario tendrá que especificar el sistema operativo, de manera que la aplicación de parches memoria se puede lograr, como se muestra en la Figura 2.

Figura 2: En busca de la firma OS en la memoria y parches.

Herramientas y código fuente:

El ejecutable de la herramienta y el código fuente se puede encontrar en GitHub (https://github.com/batistam/VMInjector)

Descargo de responsabilidad:

Esta herramienta es para propósitos legales solamente. El código está liberado bajo licencia GPLv3.

Gracias y referencias:

Me gustaría dar las gracias a Michael Ligh por su valiosa investigación en la inyección de código shell en máquinas virtuales invitadas en 2006.

También me gustaría dar las gracias a Carsten Maartmann-Moe para un trabajo en Inception, una herramienta que puede desbloquear bloqueado Windows, Ubuntu y máquinas OS X usando el estándar IEEE 1394 FireWire truco. Esta fue exhibido por primera vez por la herramienta (ahora obsoleto) winlockpwn.

Créditos:

Herramienta codificado por Marco Batista

Lo podremos descargar desde.

https://github.com/batistam/VMInjector

Hay selas dejo exelente herramienta que tenemos que tener todos.

Fuente:http://www.secforce.com/blog/2012/11/vminjector/

Traduccion:Dellcom1@.

Saludos Mundo Libre.

20 vulnerabilidades criticas 5.0

Saludos Mundo libre.

He aqui la 5.0 vulnerabilidad de las 20 vulnerabilidades criticas.

Hoy nostoca un exelente tema.

Defensas Malware

¿Cómo atacantes aprovechan de la ausencia de este control?

El software malicioso es un aspecto integral y peligrosa de las amenazas de Internet, dirigido a los usuarios finales y de las organizaciones a través del navegador web, archivos adjuntos de correo electrónico, dispositivos móviles, la nube y otros vectores. El código malicioso puede alterar el contenido del sistema, capturar datos sensibles, y se extendió a otros sistemas. El malware moderno tiene como objetivo evitar la detección basada en firmas y de comportamiento, y puede desactivar el anti-virus herramientas que se ejecutan en el sistema de destino. Anti-virus y anti-spyware software, denominados colectivamente como herramientas anti-malware, ayudar a defenderse contra estas amenazas, tratando de detectar programas maliciosos y bloquear su ejecución.
Cómo implementar, automatizar y medir la efectividad de este control

1. Ganancias rápidas: Emplear herramientas automatizadas para monitorear continuamente las estaciones de trabajo, servidores y dispositivos móviles para activo, up-to-fecha de protección anti-malware con anti-virus, anti-spyware, firewall personal, y basado en host funcionalidad IPS. Todas las pruebas de detección de malware se deben enviar a las herramientas de administración empresarial anti-malware y servidores de registro de eventos. La solución de seguridad de punto final debe incluir protección de día cero, como la heurística de comportamiento de red.

2. Victorias rápidas: Emplear software anti-malware y características de la firma de actualización automática o manualmente los administradores han empujar cambios a todas las máquinas en una base diaria. Después de aplicar la actualización, los sistemas automatizados deben verificar que cada sistema ha recibido su actualización de firmas.

3. Ganancias rápidas: Configurar los ordenadores portátiles, estaciones de trabajo y servidores para que no se auto-run contenido de tokens USB (es decir, "pen drives"), discos duros USB, CD / DVD, dispositivos firewire externos, dispositivos Serial avanzadas Technology Attachment, montado recursos compartidos de red, u otros medios extraíbles. Si los dispositivos no son necesarios para el uso del negocio, que debe ser desactivada.

4. Ganancias rápidas: Configurar sistemas para que lleven a cabo un sistema automatizado de escaneo anti-malware de medios extraíbles cuando se inserta.

5. Ganancias rápidas: Todos los archivos adjuntos de correo electrónico que entran en la organización e-mail gateway debe ser escaneado y bloqueado si contienen código malicioso o tipos de archivos innecesarios para el negocio de la organización. Esta exploración se debe hacer antes de que el correo electrónico se coloca en la bandeja de entrada del usuario. Esto incluye el correo electrónico filtrado de contenidos y filtrado de contenidos web.

6. Ganancias rápidas: Aplicar el análisis antivirus en el gateway de Proxy Web. El filtrado de contenido para tipos de archivo se debe aplicar en el perímetro.

7. Ganancias rápidas: características Implementar y herramientas tales como la prevención de ejecución de datos (DEP) y Enhanced Experience Toolkit Mitigación (EMET), productos que proporcionan espacio aislado (por ejemplo, ejecutar el navegador en una máquina virtual), y otras técnicas que evitan la explotación malware.

8. Ganancias rápidas: limitar el uso de dispositivos externos a los que tienen necesidad del negocio. Monitor para el uso y el intento de uso de dispositivos externos.

9. Visibilidad / Atribución: Bloquear el acceso a correo electrónico externas de sistemas, servicios de mensajería instantánea y otras herramientas de medios sociales.

10. Visibilidad / Reconocimiento: Las herramientas automatizadas de control debe utilizar un comportamiento basado en la detección de anomalías para complementar y mejorar tradicional detección basada en firmas.

11. Visibilidad / Reconocimiento: Utilizar la red basados ​​en herramientas anti-malware para analizar todo el tráfico entrante y filtrar el contenido malicioso antes de que llegue al punto final.

12. Avanzado: La vigilancia continua debería llevarse a cabo en todo el tráfico entrante y saliente. Las grandes transferencias de datos o tráfico no autorizado debe ser marcado y, de ser validado como malicioso, el equipo debe ser trasladado a una VLAN aislada.

13. Avanzado: Implementar un proceso de respuesta a incidentes que permita su organización de TI Soporte para abastecer su equipo de seguridad con muestras de malware ejecutándose sin ser detectado en los sistemas corporativos. Las muestras deben ser proporcionada al proveedor de seguridad para "out-of-band" de creación de firma y desplegado a la empresa por los administradores del sistema.

14. Avanzado: Utilizar la red basados ​​en herramientas de análisis de flujo para analizar el tráfico entrante y saliente en busca de anomalías, indicadores de malware y sistemas comprometidos.

15. Avanzado: Deploy "basado en la reputación tecnologías" en todos los dispositivos de punto final para cubrir la brecha de las tecnologías basadas en firmas.

16. Avanzado: Habilitar nombre de dominio del sistema (DNS) consulta el registro para detectar búsqueda de nombre de host para dañinos conocidos dominios C2.

17. Avanzado: Aplicar la tecnología proxy para todas las comunicaciones entre la red interna e Internet.
Associated NIST Special Publication 800-53, Revisión 3, Prioridad 1 Controles

SC-18, SC-26, IS-3 (a, b, 1, 2, 5, 6)
Asociadas NSA manejables Hitos Red Plan y tareas de seguridad de red

Antivirus y sistemas de prevención de intrusiones de host (HIPS)

Personal Electronic Device (PED) Gestión

Network Access Protection / Control (NAP / NAC)

Security Gateways, Proxies y Firewalls

Red de Monitoreo de Seguridad
Procedimientos y herramientas para implementar y automatizar este control

Basándose en la política y la acción del usuario para guardar herramientas anti-malware hasta la fecha ha sido ampliamente desacreditado, ya que muchos usuarios no han demostrado ser capaces de manejar consistentemente esta tarea. Para asegurarse de firmas antivirus estén actualizados, las organizaciones utilizan la automatización. Ellos usan el. Funciones integradas administrativas de suites de seguridad empresarial de punto final para verificar que anti-virus, anti-spyware, y basadas en host IDS funciones están activas en cada sistema administrado Corren evaluaciones automatizadas diario y revisar los resultados para encontrar y mitigar los sistemas que se han desactivado este tipo de protecciones, así como los sistemas que no cuentan con las últimas definiciones de malware.

Algunas empresas desplegar honeypot libre o comercial y las herramientas para identificar a los atacantes TARPIT en su entorno. El personal de seguridad debe supervisar continuamente honeypots y Tarpits para determinar si el tráfico se dirige a ellos y las cuentas de acceso se intentó. Cuando identifican este tipo de eventos, este personal debe reunir la dirección de la fuente de la que este tráfico se origina y otros detalles relacionados con el ataque para el seguimiento de la investigación.

Control 5 Metric:

El sistema debe identificar cualquier software malicioso que se instala, trató de ser instalado, ejecutado, o tratado de ser ejecutado en un sistema informático dentro de una hora, alertas o el envío de notificaciones por correo electrónico a una lista de personal de la empresa a través de su central anti-malware consola o sistema de registro de eventos. Los sistemas deben bloquear la instalación, evitar la ejecución, o software malicioso cuarentena dentro de una hora, alertas o enviar e-mail cuando esta acción se ha producido. Cada 24 horas después de ese punto, el sistema debe alertar o enviar e-mail sobre el estado del código malicioso hasta que la amenaza ha sido completamente mitigado en ese sistema. Si bien el plazo de una hora representa la métrica actual para ayudar a las organizaciones a mejorar su estado de seguridad, en las futuras organizaciones deben esforzarse para la detección más rápida y aislamiento viral.
Control 5 Test:

Para evaluar la aplicación de control 5 en forma periódica, el equipo de evaluación debe mover un programa de prueba de software benigno que parece ser malware (tal como un archivo EICAR o herramientas de hackers benignos), pero que no está incluido en la lista de software funcionario autorizado para 10 sistemas de la red a través de un recurso compartido de red. La selección de estos sistemas deben ser tan aleatorio como sea posible e incluir una sección transversal de sistemas de la organización y ubicaciones. El equipo de evaluación debe verificar que los sistemas de generar un aviso de alerta por correo electrónico o en relación con el malware benigno en una hora. El equipo también debe verificar que la alerta o e-mail indicando que el software ha sido bloqueado o puesto en cuarentena se recibe dentro de una hora. El equipo de evaluación debe verificar que el sistema proporciona información sobre la ubicación de cada máquina con este nuevo archivo de prueba, incluida la información sobre el propietario de los activos. Posteriormente, el equipo debe verificar que el archivo se bloquea al intentar ejecutar o abrirlo y comprobar que no se le permite tener acceso.

Una vez que esta prueba se ha realizado la transferencia de los archivos a los sistemas de organización a través de medios extraíbles, la misma prueba debe repetirse, pero esta vez de transferir el malware benigna en 10 sistemas a través de correo electrónico en lugar. La organización debe esperar los resultados notificación que, como se indica con la prueba de medios extraíbles.
Entidad de Control 5 del Sistema Diagrama de relaciones (ERD):

Organizaciones encontrará que la diagramación de las entidades necesarias para cumplir plenamente los objetivos definidos en este control, será más fácil identificar la manera de implementar, probar los controles, e identificar dónde los posibles fallos en el sistema pueden ocurrir.

Un sistema de control es un dispositivo o conjunto de dispositivos para la gestión, mando, dirigir o regular el comportamiento de otros dispositivos o sistemas. En este caso, estamos examinando los sistemas anti-malware y vectores de amenazas tales como los medios extraíbles. La siguiente lista de los pasos en el diagrama de arriba muestra cómo las entidades trabajan juntos para alcanzar el objetivo de negocio definida en este control. La lista también ayuda a identificar qué cada uno de los pasos del proceso con el fin de ayudar a identificar los puntos potenciales de fallo en el control general.







Paso 1: Anti-malware de los sistemas de análisis de los sistemas de producción y medios extraíbles

Paso 2: Los medios extraíbles se analiza cuando se conecta a los sistemas de producción

Paso 3: Email / Web y dispositivos de red proxy de analizar todo el tráfico entrante y saliente

Paso 4: Control de acceso a la red monitorea todos los sistemas conectados a la red

Paso 5: Intrusión / red de sistemas de vigilancia realiza un seguimiento continuo en busca de signos de malware.

Fuente:http://www.sans.org/critical-security-controls/control.php?id=5

Traduccion:Dellcom1@.

Saludos Mundo Libre.

Hack.me - Generar, Host & Share código vulnerable de aplicaciones Web

Saludos Mundo Libre.


Hack.me - Generar, Host & Share código vulnerable de aplicaciones Web

Hack.me es un proyecto libre, basada en la comunidad impulsado por eLearnSecurity. La comunidad le permite construir, de acogida y participación vulnerable código de aplicaciones Web con fines educativos y de investigación.

Su objetivo es ser la mayor colección de "ejecutables" aplicaciones web vulnerables, ejemplos de código y en línea CMS. La plataforma está disponible sin ningún tipo de restricción para cualquier persona interesada en la seguridad de aplicaciones Web: estudiantes, las universidades, los investigadores, los probadores de penetración y desarrolladores web.

Hack.me - Generar, Host & Share aplicaciones web vulnerables

Características

     Cargue su propio código
     Online IDE para PHP y MySQL
     Su código alojado en la nube
     GRATIS!
     Práctica de aplicación de web de seguridad
     entorno aislado
     Online: nada para descargar gratis!

seguridad

Cada vez que se ejecuta un nuevo hackme el sitio iniciará una caja de arena nueva para usted. Usted tendrá acceso aislado de modo que usted sepa siempre que la aplicación es segura para su uso. Ningún otro estudiante puede añadir malware o exploits en su caja de arena. Esto garantiza 99% de seguridad.

¿Qué pasa con el 1%? Mientras que el equipo hace el mejor esfuerzo para moderar todos y cada nueva aplicación web subido en Hack.me, lo más probable es que algo puede y se deslice a través. Si usted no está 100% cómodo para confiar en nosotros o el desarrollador hackme, por favor, basta con ejecutar Hackmes nuevos desde una máquina virtual o desde un sistema operativo no sea de producción.

Hemos escrito sobre una variedad de aplicaciones web donde se puede practicar el hack-fu, tales como:

     Bodgeit Store
     Jarlsberg
     WackoPicko
     Aplicación Web Damn Vulnerable (DVWA)
     Vicnum
     Metasploitable.

Fuente:https://hack.me/

Traduccion:Dellcom1@

20 vulnerabilidades criticas 4.0

Saludos Mundo libre.

He aqui la 4.0 vulnerabilidad de las 20 vulnerabilidades criticas.

Evaluación de la vulnerabilidad continua y Remediación

¿Cómo atacantes aprovechan de la ausencia de este control?

Al poco tiempo se descubren nuevas vulnerabilidades y reportados por los investigadores de seguridad o vendedores, ingeniero atacantes explotar código y luego lanzar el código con los objetivos de interés. Los retrasos significativos en la búsqueda o la fijación de software con vulnerabilidades peligrosas ofrece amplias oportunidades para que los atacantes persistentes para abrirse paso, ganar control sobre las máquinas vulnerables y tener acceso a los datos confidenciales que contienen. Las organizaciones que no escanear en busca de vulnerabilidades y fallas de dirección descubiertos de forma proactiva frente a una probabilidad significativa de que sus sistemas informáticos comprometida. Las vulnerabilidades también debe estar ligada a la inteligencia de amenazas y priorizar adecuadamente.

Como análisis de vulnerabilidades se vuelven más comunes, los atacantes están utilizando ellos como punto de explotación. Es importante controlar cuidadosamente los análisis de vulnerabilidad y autenticadas por el administrador de la cuenta asociada. Los atacantes tomar el control de una máquina con privilegios locales, y esperar a un análisis autenticado que se produzca contra la máquina. Cuando el escáner se conecta con privilegios de administrador de dominio, el atacante agarra la señal del. Registrados en la exploración de herramientas, o huele la respuesta al desafío y las grietas que De cualquier manera, el atacante puede girar en cualquier otro lugar en la organización como administrador de dominio.
Cómo implementar, automatizar y medir la efectividad de este control

1. Ganancias rápidas: Ejecutar escaneo automático de vulnerabilidades herramientas contra todos los sistemas en sus redes sobre una base semanal o más frecuente con un escáner de vulnerabilidades SCAP-validado que mira para ambos basados ​​en código vulnerabilidades (CVE) y configuración basadas en vulnerabilidades (CCE). Cuando sea posible, el análisis de vulnerabilidades debe ocurrir sobre una base diaria usando una herramienta de vulnerabilidad hasta al día de exploración. Cualquier vulnerabilidad determinada debe ser remediado de manera oportuna, con vulnerabilidades críticas fijados dentro de las 48 horas.

2. Victorias rápidas: Los registros de eventos se correlacionan con la información de vulnerabilidad computarizadas para cumplir dos objetivos. En primer lugar, el personal debe verificar que la actividad de las herramientas de detección regulares vulnerabilidad se ha iniciado sesión. En segundo lugar, el personal debe ser capaz de correlacionar eventos de detección de ataques a la vulnerabilidad antes de barrido resultados para determinar si la hazaña dado fue usado contra un objetivo conocido por ser vulnerable.

3. Victorias rápidas: Utilizar una cuenta especial para las exploraciones de vulnerabilidades autenticados. La cuenta de exploración no se debe utilizar para todas las actividades administrativas y otros ligados a determinadas direcciones IP. Asegúrese de que sólo los empleados autorizados tienen acceso a la interfaz de usuario de gestión de vulnerabilidad y que los roles se aplican a cada usuario.






4. Ganancias rápidas: Suscribirse a los servicios de inteligencia de vulnerabilidad a fin de mantenerse al tanto de los riesgos emergentes.

5. Visibilidad / Reconocimiento: implementar herramientas automatizadas de gestión de parches y herramientas de actualización de software para el sistema operativo y el software / aplicaciones en todos los sistemas para los que estas herramientas están disponibles y segura. Los parches deben ser aplicados a todos los sistemas, incluso en sistemas que estén debidamente espacio de aire.

6. Visibilidad / Reconocimiento: Es importante vigilar cuidadosamente los registros asociados con cualquier actividad de exploración y cuentas asociadas administrador para asegurarse de que todas las actividades de exploración y de acceso asociado a través de la cuenta privilegiada se limita a los plazos de exploraciones legítimos.

7. Configuración / Higiene: Además de los análisis de vulnerabilidad sin autenticación, las organizaciones deben garantizar que todos los análisis de vulnerabilidad se realiza en modo autenticado ya sea con agentes que se ejecutan de forma local en cada sistema final para analizar la configuración de seguridad o con escáneres remotos que se dan permisos de administrador en el sistema de bienestar probado.

8. Configuración / Higiene: Comparar los resultados de back-to-back vulnerabilidad analiza para verificar que las vulnerabilidades se abordaron ya sea por aplicación de parches, la implementación de un control de compensación, o documentar y aceptar un riesgo comercial razonable. Tal aceptación de los riesgos de negocio para las vulnerabilidades existentes deben ser revisados ​​periódicamente para determinar si los nuevos controles de compensación o parches posteriores pueden tratar las vulnerabilidades que fueron aceptadas con anterioridad, o si han cambiado las condiciones que aumenta el riesgo.

9. Configuración / Higiene: herramientas de exploración de vulnerabilidades debe ser ajustado para comparar los servicios que están escuchando en cada equipo con una lista de servicios autorizados. Las herramientas deben estar más afinado para identificar los cambios a través del tiempo en los sistemas para los servicios autorizados y no autorizados.

10. Configuración / Higiene: Mida el retardo de las vulnerabilidades de parches y cerciorarse de que el retraso es igual o inferior a los valores de referencia establecidos por la organización. Medidas alternativas se debe considerar si los parches no están disponibles.

11. Configuración / Higiene: parches críticos deben ser evaluados en un entorno de prueba antes de ser empujados a la producción de sistemas de la empresa. Si dichos parches romper las aplicaciones críticas de negocio en las máquinas de prueba, la organización debe diseñar otros controles de mitigación que la explotación bloque en sistemas en los que el parche no se puede implementar por su impacto en la funcionalidad empresarial.

12. Configuración / Higiene: Atender las vulnerabilidades más perjudiciales primero. Dar prioridad a los activos vulnerables basadas tanto en los aspectos técnicos y específicos de la organización los riesgos del negocio. Un ranking de vulnerabilidad a nivel industrial o empresarial amplio puede ser insuficiente para dar prioridad a que los activos específicos para abordar en primer lugar. Una ejecución por fases se puede utilizar para minimizar el impacto en la organización.
Associated NIST Special Publication 800-53, Revisión 3, Prioridad 1 Controles

RA-3 (a, b, c, d), RA-5 (A, B, 1, 2, 5, 6)
Asociadas NSA manejables Hitos Red Plan y tareas de seguridad de red

Hito 6: Gestión de Parches
Procedimientos y herramientas para implementar y automatizar este control

Un gran número de herramientas de análisis de vulnerabilidad están disponibles para evaluar la configuración de seguridad de los sistemas. Algunas empresas han encontrado también servicios comerciales que utilizan gestionados remotamente dispositivos de escaneo para ser eficaz. Para ayudar a estandarizar las definiciones de las vulnerabilidades descubiertas en los diferentes departamentos de una organización o incluso a través de las organizaciones, es preferible utilizar herramientas de escaneo de vulnerabilidades que los defectos de Medidas de Seguridad y asignarlos a las vulnerabilidades y problemas categorizados utilizando uno o más de los siguientes reconocida por la industria vulnerabilidad , configuración y esquemas de clasificación de plataforma y lenguajes: CVE, CCE, OVAL, CPE, CVSS, y / o XCCDF.

Herramientas avanzadas de escaneo de vulnerabilidades puede ser configurado con las credenciales de usuario para conectarse a los sistemas escaneados y realizar análisis más completos que se pueden lograr sin credenciales de inicio de sesión. La frecuencia de las actividades de análisis, sin embargo, debe aumentar a medida que la diversidad de sistemas de una organización aumenta para dar cuenta de los ciclos de parches variables de cada proveedor.

Además de las herramientas de análisis que detectan las vulnerabilidades y errores de configuración de la red, varias herramientas gratuitas y comerciales pueden evaluar las opciones de seguridad y configuraciones de los equipos locales en los que están instalados. Estas herramientas pueden proporcionar de grano fino idea de los cambios no autorizados en la configuración o la introducción inadvertida de fallos de seguridad por los administradores.

Las organizaciones eficaces vincular sus escáneres de vulnerabilidad con problemas sistemas de ticketing que controla automáticamente e informar sobre los avances en la solución de problemas, y que hacen que no mitigados vulnerabilidades críticas visibles a los niveles superiores de la administración para asegurar que los problemas se resuelven.

Las herramientas de escaneo de vulnerabilidades más eficaces comparar los resultados de la exploración actual con exploraciones previas para determinar cómo las vulnerabilidades en el entorno han cambiado con el tiempo. El personal de seguridad utilizar estas características para llevar a cabo la vulnerabilidad de tendencias de mes a mes.

Como vulnerabilidades relacionadas con los sistemas sin parches son descubiertos mediante el análisis de las herramientas, el personal de seguridad debe determinar y documentar la cantidad de tiempo que transcurre entre la publicación de un parche para el sistema y la aparición de la exploración de vulnerabilidades. Si este periodo de tiempo superior a los puntos de referencia de la organización para el despliegue de nivel de criticidad del parche determinado, personal de seguridad debe tener en cuenta la demora y determinar si la desviación ha sido documentada formalmente por el sistema y su parche. Si no, el equipo de seguridad debería trabajar con la administración para mejorar el proceso de actualización.

Además, algunas herramientas de parches automatizados no pueden detectar o instalar algunos parches debido a un error por parte del vendedor o administrador. Debido a esto, todos los cheques de parches deben conciliar los parches del sistema con una lista de parches de cada fabricante ha anunciado en su página web.
Control 4 Metric:

Todas las máquinas identificadas por el sistema de inventario de activos asociados a críticos de control 1 deben ser analizados en busca de vulnerabilidades. Además, si el escáner de vulnerabilidades identifica todos los dispositivos no incluidos en el inventario de activos, debe alertar o enviar un correo electrónico a la iniciativa personal administrativo dentro de las 24 horas. El sistema debe ser capaz de alertar o correo electrónico personal de la empresa administrativas dentro de una hora de vulnerabilidad automatizado semanal o diaria exploraciones se completó. Si el análisis no puede ser completado con éxito, el sistema debe alertar o enviar un correo electrónico al personal administrativo dentro de la hora que indica que la digitalización no se ha realizado correctamente. Cada 24 horas después de ese punto, el sistema debe alertar o enviar un correo electrónico sobre el estado de las exploraciones incompletas, hasta que se reanude exploración normal.

Herramientas automatizadas de gestión de parches debe alertar o enviar un correo electrónico al personal administrativo dentro de las 24 horas siguientes a la instalación correcta de los nuevos parches. Si bien los plazos de 24 horas y una hora-representan la métrica actual para ayudar a las organizaciones a mejorar su estado de seguridad, en el futuro, las organizaciones deben esforzarse para aún más rápido de alerta, con notificación sobre un activo no autorizado conectado a la red o una vulnerabilidad incompleto escanear enviar dentro de dos minutos.
Control 4 Test:

Para evaluar la aplicación de Control 4 en forma periódica, el equipo evaluador debe verificar que las herramientas de análisis se han completado con éxito sus exploraciones semanales o diarias de los últimos 30 ciclos de barrido mediante la revisión de las alertas y los informes archivados para asegurar que la exploración se ha completado. Si el análisis no se pudo completar en ese período de tiempo, el equipo evaluador debe verificar que una alerta por correo electrónico o se ha generado lo que indica que la exploración no terminó.
Entidad de Control 4 Sistema Diagrama de relaciones (ERD):

Organizaciones encontrará que la diagramación de las entidades necesarias para cumplir plenamente los objetivos definidos en este control, será más fácil identificar la forma de aplicar temperatura, probar los controles, e identificar dónde los posibles fallos en el sistema pueden ocurrir.

Un sistema de control es un dispositivo o conjunto de dispositivos para la gestión, mando, dirigir o regular el comportamiento de otros dispositivos o sistemas. En este caso, los escáneres de vulnerabilidad, sistemas de gestión, sistemas de gestión de parches y líneas de base de configuración de todo el trabajo en conjunto para abordar la gestión de una organización vulnerabilidad y la estrategia de remediación. La siguiente lista de los pasos en el diagrama de arriba muestra cómo las entidades trabajan juntos para alcanzar el objetivo de negocio definida en este control. La lista también ayuda a identificar qué cada uno de los pasos del proceso con el fin de ayudar a identificar los puntos potenciales de fallo en el control general.

Paso 1: El servicio de inteligencia de vulnerabilidad provee insumos para escáner de vulnerabilidades

Paso 2: Vulnerabilidad de los sistemas de producción escáneres de exploración

Paso 3: Los scanners de vulnerabilidades reportar vulnerabilidades detectadas para un sistema de gestión de vulnerabilidad (VMS)

Paso 4: El VMS compara los sistemas de producción de las líneas de base de configuración

Paso 5: El VMS envía la información al registro del sistema de gestión de correlación

Paso 6: El VMS elabora informes para la gestión

Paso 7: Un sistema de gestión de parches aplica actualizaciones de software para los sistemas de producción

Fente:http://www.sans.org/critical-security-controls/control.php?id=4

Traduccion:Dellcom1@.

Saludos Mundo Libre.

20 vulnerabilidades criticas 3ra parte

Saludos Mundo Libre.

He aqui la 3ra parte de las 20 vulnerabilidades criticas ahora le toca a.

Configuraciones seguras para hardware y software en los dispositivos móviles, ordenadores portátiles, estaciones de trabajo y servidores.

¿Cómo atacantes aprovechan de la ausencia de este control?

Tanto en el Internet y las redes internas que los atacantes ya comprometidos, programas automatizados de ataques informáticos en constante búsqueda de redes de destino en busca de sistemas que se configuran con el software vulnerable instalado la forma en que fue entregado a los fabricantes y distribuidores, lo que es inmediatamente vulnerable a la explotación. Configuraciones predeterminadas se adaptan con frecuencia a la facilidad de despliegue y facilidad de uso y no de seguridad, dejando los servicios externos que son explotables en su estado por defecto. Además, los parches no siempre se aplican de manera oportuna y actualizaciones de software a menudo introducen fallos desconocidos en una pieza de software que puede ser explotado por ataques de día cero. Los atacantes intentan explotar tanto accesible desde la red de servicios y software de cliente de exploración utilizando estas técnicas.

Defensas contra estos exploits automatizados incluyen la adquisición de ordenador y componentes de la red con las configuraciones de seguridad ya aplicadas, la implementación de tales sistemas preconfigurados endurecidos, la actualización de estas configuraciones sobre una base regular, y el seguimiento de ellos en un sistema de gestión de la configuración.
Cómo implementar, automatizar y medir la efectividad de este control

1. Ganancias rápidas: Estricta gestión de la configuración, se seguirán construyendo una imagen de seguridad que se utiliza para construir todos los nuevos sistemas que se implementan en la empresa. Todo sistema que se ve comprometida es re-fotografiada con la construcción segura. Las actualizaciones regulares a esta imagen se integran en los procesos de la organización de gestión del cambio. Las imágenes deben ser creadas tanto para estaciones de trabajo y servidores.

2. Ganancias rápidas: las imágenes del sistema deben haber documentado la configuración de seguridad que se prueban antes de su despliegue, aprobada por una junta de organización de control de cambios, e inscrita en una biblioteca de imagen central para la organización o varias organizaciones. Estas imágenes deberán ser validadas y actualizar en forma periódica para actualizar la configuración de seguridad a la luz de recientes vulnerabilidades y vectores de ataque.

3. Ganancias rápidas: imágenes estandarizadas deben representar versiones reforzadas de que el sistema operativo subyacente y las aplicaciones instaladas en el sistema, tales como los publicados por el NIST, NSA, Agencia de Sistemas de Información de Defensa (DISA), Center for Internet Security (CIS), y otros . Este endurecimiento típicamente incluyen la eliminación de cuentas innecesarias, la desactivación o eliminación de servicios innecesarios y la configuración de las pilas y las pilas no ejecutables. Este endurecimiento también implica, entre otras medidas, la aplicación de parches, el cierre de los puertos de red abiertos y sin usar, la aplicación de sistemas de detección de intrusos y / o sistemas de prevención de intrusos y firewalls basados ​​en host erección.

4. Victorias rápidas: Las imágenes de los propios maestros deben ser almacenados en los servidores configurados con seguridad, con herramientas de comprobación de la integridad y gestión del cambio para asegurar que los cambios sólo los usuarios autorizados a las imágenes son posibles. Alternativamente, estas imágenes maestras se pueden almacenar en máquinas fuera de línea, con aire gapped de la red de producción, con las imágenes copiadas a través de medios seguros para moverlos entre los servidores de almacenamiento de imágenes y la red de producción. Las imágenes deben ser probados en el sitio de recuperación de desastres caliente o tibia que no hay uno disponible.

5. Victorias rápidas: Ejecute la última versión del software y asegúrese de que está completamente parcheado. Eliminación de software anticuado o más del sistema.

6. Visibilidad / Atribución: Cualquier desviación de la norma de construcción o cambios a la norma de construcción debe ser aprobada por una junta de control de cambios y documentados en un sistema de gestión del cambio.

7. Visibilidad / Reconocimiento: Negociar contratos para comprar sistemas configurados con seguridad fuera de la caja usando imágenes estandarizadas, que debían concebirse para evitar el software extraño que aumentaría su superficie de ataque y la susceptibilidad a las vulnerabilidades.

8. Visibilidad / Reconocimiento: Utilizar lista blanca de aplicaciones para controlar y gestionar los cambios de configuración en el software que se ejecuta en el sistema.

9. Configuración / Higiene: Toda la administración remota de servidores, estaciones de trabajo, dispositivos de red y equipo similar se llevará a cabo a través de canales seguros. Los protocolos como Telnet, VNC, RDP, u otros que no apoyan activamente una fuerte encriptación sólo se debe utilizar si se realizan a través de un canal cifrado secundaria, como SSL o IPSEC.

10. Configuración / Higiene: Utilizar herramientas de comprobación de la integridad de archivos en por lo menos una vez por semana para asegurarse de que los archivos críticos del sistema (incluido el sistema sensible y ejecutables de aplicaciones, bibliotecas y configuraciones) no han sido alterados. Todas las alteraciones en dichos archivos deben ser automáticamente informado al personal de seguridad. El sistema de información debe tener la capacidad de dar cuenta de los cambios de rutina y esperados, destacando alteraciones inusuales o inesperados.

11. Configuración / Higiene: Implementar y probar un sistema de configuración de monitoreo automatizado que mide todos los elementos de configuración de seguridad que se pueden medir a través de pruebas a distancia, utilizando las características como las que se incluye con las herramientas compatibles con Content Security Automation Protocol (SCAP) para reunir información sobre la vulnerabilidad de configuración. Estos ensayos automatizados deben analizar tanto de hardware como los cambios de software, los cambios de configuración de red, y otras modificaciones que afectan a la seguridad del sistema.

12. Configuración / Higiene: Implementar herramientas del sistema de gestión de la configuración, tales como objetos de Active Directory directiva de grupo para los sistemas Microsoft Windows o títeres para sistemas Unix que forzará automáticamente y los ajustes de configuración para volver a desplegar sistemas a intervalos regulares.

13. Avanzado: Las organizaciones deben adoptar un proceso formal y la infraestructura de gestión de control de la configuración de los dispositivos móviles. El proceso debe incluir borrado de seguridad remotas de dispositivos perdidos o robados, la aprobación de aplicaciones empresariales, y la negación de aplicaciones no aprobadas. Si el dispositivo es propiedad de la organización, un completo limpie debe ser realizada. Si se trata de un sistema de BYOD, un selectivo limpiar se debe realizar, la eliminación de información de la organización.
Associated NIST Special Publication 800-53, Revisión 3, Prioridad 1 Controles

CM-1, CM-2 (1, 2), CM-3 (b, c, d, e, 2, 3), CM-5 (2), CM-6 (1, 2, 4), CM- 7 (1), SA-1 (a), SA-4 (5), SI-7 (3), PM-6
Asociadas NSA manejables Hitos Red Plan y tareas de seguridad de red

Hito 7: Gestión de Base

Configuración y Gestión del Cambio
Procedimientos y herramientas para implementar y automatizar este control

Las organizaciones pueden implementar este control mediante el desarrollo de una serie de imágenes y servidores de almacenamiento seguro para la celebración de estas imágenes estándar. Herramientas de configuración comerciales y / o de gestión libre puede ser empleado para medir la configuración del sistema operativo y las aplicaciones de las máquinas administradas a tener en cuenta las desviaciones de las configuraciones de imagen estándar utilizados por la organización. Algunas de las herramientas de gestión de configuración requieren que un agente esté instalado en cada sistema administrado, mientras que otros remotamente iniciar sesión en cada equipo gestionado con credenciales de administrador. Cualquiera de los enfoques o combinaciones de los dos enfoques pueden proporcionar la información necesaria para este control.
Control 3 Metric:

El sistema debe ser capaz de identificar cualquier cambio a una imagen oficial endurecida que puede incluir modificaciones en los archivos clave, servicios, puertos, archivos de configuración o de cualquier software instalado en el sistema. Las modificaciones incluyen la eliminación, cambios o adiciones de software nuevo a cualquier parte de los sistemas operativos, servicios o aplicaciones que se ejecutan en el sistema. La configuración de cada sistema debe cotejarse con la base de datos master imagen oficial para verificar los cambios para asegurar configuraciones que podrían afectar la seguridad. Cualquiera de estos cambios en un sistema informático debe ser detectada dentro de 24 horas y la notificación realizada por el envío de aviso o notificación por correo electrónico a una lista de personal administrativo de la empresa. Los sistemas deben bloquear la instalación, prevenir la ejecución o software no autorizado cuarentena dentro de una hora adicional, aviso o enviar e-mail cuando esta acción se ha producido. Cada 24 horas después de ese punto, el sistema debe alertar o enviar e-mail sobre el estado del sistema hasta que el sistema no autorizada ha sido retirado de la red o remediadas. Si bien los plazos de 24 horas y una hora-representan la métrica actual para ayudar a las organizaciones a mejorar su estado de seguridad, en las futuras organizaciones deben esforzarse aún más para alertar rápido y aislamiento.
Control 3 de la prueba:

Para evaluar la aplicación de control 3 en forma periódica, un equipo de evaluación debe mover un sistema de prueba benigna que no contiene la imagen endurecido oficial, pero que contiene servicios adicionales, los puertos, y los cambios de los archivos de configuración en la red. Esto debe llevarse a cabo en 10 diferentes segmentos aleatorios usando cualquiera de los sistemas reales o virtuales. El equipo de evaluación debe verificar que los sistemas de generar una alerta en relación con los cambios en el software dentro de las 24 horas. Es importante que el equipo de evaluación verificar que todos los cambios no autorizados se han detectado. El equipo también debe verificar que la alerta o el correo electrónico que se recibe en una hora adicional que indica que el software ha sido bloqueado o puesto en cuarentena. El equipo de evaluación debe verificar que el sistema proporciona información sobre la ubicación de cada máquina con los cambios no autorizados, incluida la información sobre el propietario de los activos.

El equipo de evaluación debe verificar que el software se bloquea al intentar ejecutarlo y comprobar que no se le permite correr. Además de estas pruebas, dos pruebas adicionales deben ser realizadas:


1. Herramientas de comprobación de la integridad del archivo se debe ejecutar en una base regular. Cualquier cambio en el sistema operativo crítico, servicios y archivos de configuración debe ser confirmada en cada hora. Cualquier cambio debe ser bloqueado y seguir el proceso de notificación anterior.

2. Sistema de herramientas de análisis que comprueban la versión del software, los niveles de parches y archivos de configuración se debe ejecutar en una base diaria. Cualquier cambio debe ser bloqueado y seguir el e-mail proceso de notificación.
Control 3 Entidad Sistema Diagrama de relaciones (ERD):

Organizaciones encontrará que la diagramación de las entidades necesarias para cumplir plenamente los objetivos definidos en este control, será más fácil identificar la forma de aplicar el, probar los controles, e identificar dónde los posibles fallos en el sistema pueden ocurrir. Al igual que con cualquier configuración, todos los cambios deben ser aprobados y administrados por un proceso de control de cambios.

Un sistema de control es un dispositivo o conjunto de dispositivos para la gestión, mando, dirigir o regular el comportamiento de otros dispositivos o sistemas. En este caso, estamos examinando los dispositivos, software y entidades utilizadas para gestionar y aplicar una configuración coherente de configuración para estaciones de trabajo, portátiles y servidores de la red. Vamos a discutir otros dispositivos de red más adelante en el curso. La siguiente lista de los pasos en el diagrama de arriba muestra cómo las entidades trabajan juntos para alcanzar el objetivo de negocio definida en este control. La lista también ayuda a identificar cada paso con el fin de identificar los puntos potenciales de fallo en el control general.



Paso 1: imágenes con garantía del sistema se aplican a los sistemas informáticos

Paso 2: las imágenes garantizados almacenados del sistema de una manera segura

Paso 3: Sistema de Gestión de la configuración valida y verifica imágenes del sistema

Paso 4: Configuración del sistema de aplicación de políticas explora activamente los sistemas de producción de errores de configuración o desviaciones de las líneas de base

Paso 5: sistemas de evaluación de la integridad de archivos binarios controlar críticos del sistema y conjuntos de datos

Paso 6: Blanco listado monitores de herramientas configuraciones de sistemas y software

Paso 7: Escáner SCAP configuración valida las configuraciones

Paso 8: la integridad del sistema de archivos evaluación envía desviaciones sistema de alerta

Paso 9: Herramienta establecimiento White envía a desviaciones sistema de alerta

Paso 10: Escáner SCAP configuración envía desviaciones sistema de alerta

Paso 11 y 12: Gestión de documentos informes de estado de configuración

Fuente:http://www.sans.org/critical-security-controls/control.php?id=3

Traduccion:Dellcom1@.

Saludos Mundo Libre.