jump to navigation

Mitigacion de Riesgos agosto 5, 2008

Posted by webcool in seguridad, Tecnologia, TI.
Tags: , , , , , , ,
trackback

Es curioso como en más de una ocasión pensamos que nuestros sistemas son seguros, o quizás inclusive ni siquiera lo pensamos. Simplemente creemos que inherentemente lo son, o que simplemente somos lo demasiado chicos como para que nos presten atención y quieran o puedan atacarnos.

Es un hecho que no hay un sistema 100% seguro, y el proveedor que ofrezca esto, simplemente miente. Hay menos “riesgo”, pero como dice el viejo dicho, el servidor mas seguro del mundo es el que esta encerrado en el sótano y desconectado de Internet.

Muchas veces la solución la tenemos en la mano, y puede ser tan sencilla como el sentido común, sin embargo en muchas ocasiones la tecnología puede ser muy profunda y no estar tan a la vista.

Con la experiencia que tengo, las recomendaciones que les puedo hacer para la mitigación de riesgos es:

  • Nuestro primer nivel de defensa es en el perímetro y un “buen” firewall, sobre todo si hace inspección de paquetes es de mucha ayuda.
  • Tratar de tener los menos puertos posibles al exterior, en caso de tener la suerte de poder hacerlo, únicamente tener acceso al puerto 80 y 443 (http y https respectivamente).
  • En el caso de correo y ftp (25 y 21 respectivamente), hacerlo únicamente en los equipos que necesiten esta funcionalidad.
  • Segmentar tus servidores de tus usuarios internos.
  • Un equipo de IPS (Intrusion Prevention System), es muy recomendado para separa el segmento donde se encuentren tus equipos de tus usuarios.
  • Cualquier aplicación Web en Internet que pueda acceder recursos importantes, es imperativo que cuente con un certificado SSL, para la encripcion de la información y pueda prevenirse un ataque de “hombre en el medio”.
  • Cualquier aplicación Web apuntando a Internet, debe ser cuidadosamente probada y revisada para no ser vulnerable a ataques de inyección de SQL, inyección de scripts, que las validaciones no dependan de configuración especiales. Utilizar cuentas con privilegios limitados para realizar las operaciones.
  • En caso de ser posible contar con accesos restringidos entre tus servidores apuntando a Internet y tus servidores internos.
  • Si deseas/necesitas hacer intercambio de archivos con otras empresas utilizar sFTP o FTPS como mínimo.
  • En caso de tener un sitio al que des servicio a público en general y se involucre información confidencial, es buena practica el contratar un tercero para realizar auditorias de seguridad.
  • Por ultimo y lo mas importante es tener las herramientas necesarias para monitorear tu infraestructura, es muy importante conocerla.

Ojala que estas recomendaciones les ayuden un poco mas en su ambiente de infraestructura.

Comentarios»

1. Roberto Ramírez - agosto 5, 2008

Sin duda las recomendaciones representan unos muy buenos aportes en cuanto a la seguridad de nuestras aplicaciones.

Yo agregaría uno más a la lista: “La Cultura Informática”, el buen uso de nuestros recursos garantiza -creo yo- un mejor desempeño entre lo que hacemos diariamente y lo que podemos ocasionar (por ejemplo, quien nos salva de que el Administrador de TI no relegue nuestro servidor de aplicaciones en el piso del site, debajo de una ventana la cual sea susceptible a mojarse en una noche lluviosa?).

Por último, creo que las políticas de dominio en las empresas también deberían de ser importantes, así como también el asegurarnos que todo el software que utilicemos en nuestras estaciones de trabajo sea autentico.

Saludos desde una iteración =)


Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s

A %d blogueros les gusta esto: