Análisis de Riesgos Tecnológico, en la vida cotidiana

La semana pasada fue publicado por OWASP el documento Application Security, Guide for CISOs que contiene una serie de lineamientos para los encargados de la seguridad en las empresas. Uno de los puntos tratados dentro de esta guía para CISOs tiene que ver con algunas recomendaciones sobre que se debe medir dentro de una empresa en materia de seguridad de la información. Cuando se realizan inversiones en materia de seguridad, puntualmente en seguridad informática, se vuelve complejo justificar este tipo de gastos ante una junta directiva y más si se deben medir los efectos de estos nuevos controles implementados para que no sean vistos como un gasto realizado para el cumplimiento de una normativa. Además para que los planes de seguridad de la información tengan un nivel alto de aceptación es importante demostrar que son eficaces y que tienen un verdadero impacto en la reducción del riesgo en el negocio. En resumen, dentro de las métricas el CISO de la empresa debe asegurarse de

Los precios en los mercados negros del cibercrimen están a la baja en cuanto a datos de tarjetas de crédito, en comparación con los datos personales, según un estudio. Los datos personales y los accesos de cuentas bancarias se están abaratando, de acuerdo al estudio realizado por Joe Stewart , director en investigaciones de malware de DELL SecureWorks y por el investigador independiente David Shear. Datos de tarjetas de crédito de usuarios estadounidenses como VISA y MasterCard pueden comprarse por poco mas de 4 dólares, se paga el doble por los datos robados de tarjetas del Reino Unido, Australia y Canadá. La información de las tarjetas de crédito de los EUA contenida en la banda magnética que se encuentra en la parte posterior de la tarjeta alcanza los 12 dólares. Pero estos datos, cuando provenienen de usuarios de la UE o de países asiáticos, pueden ser vendidos por 28 dólares. Los detalles completos de una tarjeta junto con su correspondiente código VBV (verified by Visa) se

OFRECER ACCESO A FUENTES DE INFORMACIÓN PRIVADA O CARECER DE LAS MEDIDAS DE SEGURIDAD ADECUADAS FRENTE A LOS ATAQUES SON ALGUNAS DE LAS VULNERABILIDADES A LAS QUE, SEGÚN UN ESTUDIO DE HP, ESTÁN EXPUESTAS LA GRAN MAYORÍA DE LAS APLICACIONES MÓVILES DISPONIBLES. HP dio a conocer los resultados de un estudio que, tras analizar más de 2 mil 100 aplicaciones móviles de más de 600 empresas, determina que las aplicaciones móviles representan una amenaza a la seguridad real. De hecho, nueve de cada diez aplicaciones móviles presentan vulnerabilidades. De acuerdo con el estudio, 97% de las aplicaciones móviles probadas daban acceso a al menos una fuente de información privada de un dispositivo, incluyendo listas de contactos personales y páginas web de redes sociales, mientras que 86% de esas aplicaciones no contaban con medidas de seguridad adecuadas para protegerlas de los ataques más habituales. Por otra parte, 75% de las aplicaciones no utilizaban técnicas de cifrado adecuadas para alm

Irene Abezgauz, un investigador de seguridad del Centro de investigación de Quotium ha encontrado una vulnerabilidad en Facebook que permite ver la lista de amigos de los usuarios , aunque el usuario haya establecido esa información como privada. El exploit abusa de la función de "Personas que tal vez conozcas" en Facebook, que sugiere nuevos amigosen base a conexiones mutuas y otros criterios como la educación o el trabajo. ¡Este hack es muy sencillo! Lo que se tendría que hacer es crear un perfil falso de Facebook y luego enviar una solicitud de amistad a su objetivo. Incluso si el usuario objetivo nunca acepta la solicitud, el atacante puede ver la lista de amigos de esa persona a través de la función de "gente que tal vez conozcas". Facebook dice que "un atacante no tienen forma de saber si los amigos sugeridos representan o no la lista completa del usuario. Puede ver cientos de sugerencias y no saber cuales son los reales, sólo es un 80%". Por

La orden judicial fue realizada por un tribunal secreto bajo la ley FISA (Ley de Vigilancia de la Inteligencia Extranjera). Este lunes se reveló la orden judicial de la corte secreta bajo la ley FISA (siglas de 'Foreign Intelligence Surveillance Act') que autorizó el masivo programa de vigilancia de la Agencia de Seguridad Nacional (NSA), como también la revelación de la preocupación del juez que la NSA violaría los límites del programa de forma "contínua y sistemática". Los documentos están muy censurados y sin ningún tipo de fecha, los que revelarían los argumentos para permitir la masiva recolección de todo tipo de categorías de información por parte de la NSA siempre y cuando no incluyan el contenido de la llamada o de un mensaje. Entre otros, esto incluso incluiría la dirección del correo electrónico porque "no son parte del contenido del correo". Si bien la orden fue realizada bajos las leyes utilizadas para espiar telefónicamente a determinados

26.496 núcleos Velocidad máxima teórica de 593,9 teraflop/s 106 TB de memoria La lista de los 500 ordenadores más rápidos del mundo está en constante evolución. En la última enumeración realizada, el supercomputador de Amazon alcanzó la posición número 64 coronándose como una de las novedades más importantes. Para alcanzar esta posición, el supercomputador de Amazon necesitó 26.496 núcleos que le han permitido llegar a procesar casi medio petaflop por segundo. Su anterior registro, en 2011, se quedó en 240,1 teraflops por segundo y ahora mismo se sitúa en la posición número 165. Teóricamente el supercomputador de Amazon podría llegar a manejar 593,9 teraflop/s pero su registro fue de 484,2 teraflop/s. El resto de características técnicas son de las que dejan los ojos abiertos un buen rato: 106 TB de memoria Conexión 10 Gigabit Ethernet Uso de instancias "c3.8xlarge" Procesadores Intel Xeon E5-2680 V2 con 16 núcleos y 2,8 GHz Pero más allá de las especificaciones

egún informan en Incapsula se ha detectado un ataque DDoS basado en el browser y lo han denominado con el simpático nombre de T-1000. La botnet está formando por miles de navegadores ejecutando copias de PhantomJS, una herramienta de desarrollo que utiliza un navegador con plena capacidad de navegación pero sin interfaz de usuario, sin botones, sin barra de direcciones, etc. Originalmente el objetivo de PhantomJS es la automatización y monitorización de sitios pero utilizado de esta manera se ha transformado en una herramienta de ataque. El ataque actual ha durado más de 150 horas, durante las cuales se han registrado más de 180.000 IPs atacando desde todo el mundo. En términos de volúmenes, el ataque alcanzó a 6.000 hits/segundo y un promedio de +690.000.000 visitas diarias. El número de IPs, así como su variedad geográfica, inicialmente llevó a creer que podría tratarse de un esfuerzo coordinado, que involucraría a más de una botnet. Durante la duración del ataque se vieron 861

Intrusos y ciberdelincuentes intentan detectar vulnerabilidades en sitios web para acceder a la cuenta de administrador. Diario TI 12/11/13 9:17:49 Según investigación realizada por la empresa de seguridad informática Incapsula entre 1000 sitios web analizados durante un periodo de 3 meses, sólo 20.300 intentos de inicio de sesión (login) fueron exitosos, de un total de 1,4 millones. La mayoría de los intentos de conexión fueron realizados por herramientas automatizadas y robots, y no por individuos. El material analizado por Incapsula indica que el 94 por ciento de todos los intentos de inicio de sesiones; es decir 9 de cada 10, corresponde a tales herramientas, que recorren Internet en búsqueda de páginas inseguras, intentando detectar vulnerabilidades o agujeros de seguridad que les permitan ingresar a los sitios y hacerse del control de éstos. En la mayoría de los casos se trata de intrusiones de tipo “fuerza bruta”; es decir, programas que digitan un gran número de nomb

Según el informe de F-Secure Labs, las amenazas móviles continúan incrementando su complejidad y crece la preocupación por la privacidad de datos. Diario TI 12/11/13 14:22:06 En el tercer trimestre del año se han descubierto 259 familias de amenazas móviles y variantes de las ya existentes. Según el estudio de F-Secure sobre amenazas móviles julio-septiembre 2013, 252 de ellas fueron en Android y 7 en Symbian. Si se compara con el segundo trimestre, se puede observar un crecimiento sostenido de amenazas en dispositivos móviles con Android y una comoditización del malware. Junto con la aparición un nuevo conjunto de herramientas en julio, la carpeta Androrat APK, que simplifica el proceso de inserción de código malicioso en aplicaciones legítimas de Android. En lo que refiere al incremento en la complejidad del malware en Android, el informe señala que en la actualidad una de cada cinco amenazas móviles es un bot. Sin embargo, gracias las medidas de seguridad establecidas por Go

Los miembros de la UIT han acordado nuevas normas internacionales (Recomendaciones UIT-T) que describen las consideraciones de seguridad esenciales para la computación en nube y, crucial para la conservación a largo plazo y la utilidad de los recursos basados ​​en IP, un "marco para el descubrimiento de información de gestión de identidad" para permitir interoperabilidad entre sistemas de información heterogéneos. Recomendación UIT-T X.1600 "marco de seguridad para la computación en la nube", después de haber llegado a la aprobación de la primera etapa («determinado») y ahora sometido a una revisión final, describe las amenazas de seguridad en el entorno de computación en la nube y, a través de una metodología de marco. UIT-T X.1600 actuará como un 'manual' guia para la futura normalización de las técnicas de mitigación de riesgo identificados, y además proporciona una referencia de implementación de seguridad en la nube a nivel de sistemas. Recomendaci

La Doble Autenticación es una metodología que agrega una capa de protección al sistema clásico de identificación de usuario y contraseña, y contribuye a la seguridad de las cuentas, especialmente frente a contraseñas débiles e iguales en distintos servicios. El objetivo de esta guía es poder comprender de qué se trata la Doble Autenticación, y explicar el modo de activarla en los servicios más populares como Gmail, Facebook, Twitter y otros. Descargar guia aqui Fuente: EsEt