Este documento presenta una charla sobre cómo son hackeados los sitios web. Explica los diferentes tipos de ataques, incluyendo ataques dirigidos y oportunistas. Describe el flujo típico de un ataque, que incluye reconocimiento, identificación, explotación de vulnerabilidades, sustentabilidad y compromiso. También analiza varios vectores de ataque comunes como vulnerabilidades de software, control de acceso, contaminación cruzada de sitios e integración con aplicaciones de terceros. El documento concluye con consejos sobre
Mi presentación en el WordCamp Managua 2017. Una explicación sobre que son las Listas Negras, como afectan tu sitio web y como quitar tu sitio de estas listas.
Webinar Gratuito: "Escanear Vulnerabilidades Web con Zed Attack Proxy"Alonso Caballero
Este webinar expone detalladamente el procedimiento de como utilizando la distribución Kali Linux, orientada a realizar pruebas de penetración y auditorías de seguridad; y puntualmente la herramienta OWASP Zed Attack Proxy (ZAP), es factible encontrar automáticamente vulnerabilidades de seguridad en las aplicaciones web, mientras se desarrollan y prueban las aplicaciones.
Charla betabeers optimización y rendimiento en Wordpress - Marcos RamajoMarcos Ramajo
Ponencia Betabeers- Optimización y rendimiento en Wordpress de Marcos Ramajo de frikitek.com
Métricas de rendimiento y optimización web.
Optimización rendimiento Wordpress.
Plugins cache Wordpress
Mi presentación en el WordCamp Managua 2017. Una explicación sobre que son las Listas Negras, como afectan tu sitio web y como quitar tu sitio de estas listas.
Webinar Gratuito: "Escanear Vulnerabilidades Web con Zed Attack Proxy"Alonso Caballero
Este webinar expone detalladamente el procedimiento de como utilizando la distribución Kali Linux, orientada a realizar pruebas de penetración y auditorías de seguridad; y puntualmente la herramienta OWASP Zed Attack Proxy (ZAP), es factible encontrar automáticamente vulnerabilidades de seguridad en las aplicaciones web, mientras se desarrollan y prueban las aplicaciones.
Charla betabeers optimización y rendimiento en Wordpress - Marcos RamajoMarcos Ramajo
Ponencia Betabeers- Optimización y rendimiento en Wordpress de Marcos Ramajo de frikitek.com
Métricas de rendimiento y optimización web.
Optimización rendimiento Wordpress.
Plugins cache Wordpress
Sucuri Webinar: How to Clean a Hacked Magento WebsiteSucuri
TIP: Make sure you scroll to the last slide to view the video recording.
On Feb 22, 2017, Sucuri Incident Responder, Cesar Anjos, presented this webinar as a step by step guide on how to clean a hacked Magento website.
If your Magento website has been hacked, learn how to appropriately deal with the security incident, fix the hack, and secure your ecommerce website against future breaches.
This webinar will take place on Wednesday, Feb 22nd at 11am PST. Following his presentation, Cesar will take questions from participants. Please complete the form to register.
In this webinar you will learn how to:
- Understand if there has been a compromise - Beginner
- Determine the presence of credit card stealers
- Intermediate/Advanced
- Look for the most common credit card stealers - Intermediate
- Handle potential data breaches - Intermediate
- Remove most Magento infections - Beginner
Sucuri Webinar: Understand and Fix Google Blacklist WarningsSucuri
On Jan 25, 2017, Sucuri Digital Marketing Manager, Alycia Mitchell, presented this webinar as a step by step guide to understanding and fixing Google blacklist warnings.
This webinar provided the knowledge to act fast and get rid of those big red warnings on any website.
Apresentação feita no meetup "Como ganhar dinheiro com WordPress" da comunidade WordPress São Paulo e re-apresentada no WordCamp Fortaleza 2016.
Nessa palestra dei dias sobre como ser um profissional melhor e onde encontrar empresas que trabalham com esse CMS maravilhoso.
Vídeo da palestra no WordCamp Fortaleza: http://wordpress.tv/2017/05/01/rafael-funchal-empregos-com-wordpress/
Sucuri Webinar: Defending Your Google Brand Reputation and Analytics ReportsSucuri
Google Analytics and Google Search Console are powerful tools for marketers, but did you know they can also be used to enhance your website security?
Learn how to clear spam from GA reports and mitigate indicators of a website hack.
Occupant Behavior of a Plus-Energy Building Regarding Monitoring and Standard...SimulationX
Within a monitoring study by the Federal Ministry for Environment, Nature Conservation, Building and Nuclear Safety, 35 residential buildings with future building standards are being analyzed. Two of these buildings (Plus Energy Buildings) are managed and analyzed by the Leipzig University of Applied Science. An energy-plus house produces more energy from renewable energy sources over the course of a year than it imports from external sources. Until now there have been serious differences between planning simulation and measurement. The main reason has been identified as non-matching simulation models. Complex technical building services, associated with the use of new building materials, exceed the possibility of usage for standardized programs. By using monitoring data, this paper describes the influence of tenants in low energy houses by using the Green-City library in SimulationX. The increasing influence of occupants on energy consumption will be illustrated.
Presentation of ESET researcher Olivier Bilodeau from Virus Bulletin Conference 2015.
Embedded Linux platforms have been increasingly targeted by malware authors over the past few years. The targeted devices, labelled under the umbrella term 'Internet of Things', are generally consumer routers, gateways or modems. They are compromised remotely via brute-forcing of their credentials or being victim of an unpatched vulnerability, such as the infamous Shellshock. Most of these compromises result in the targeted system being assimilated into a botnet.
Read more about Linux/Moose here: http://www.welivesecurity.com/2015/05/26/dissecting-linuxmoose/
Unpack your troubles*: .NET packer tricks and countermeasuresESET
Nowadays, .NET samples are increasingly common, necessitating specialized techniques for processing and analysis, especially when obfuscation is used: .NET packers have many tricks up their sleeves, but fortunately we do too.
*https://en.wikipedia.org/wiki/Pack_Up_Your_Troubles_in_Your_Old_Kit-Bag
Accelerating LinkedIn’s Vision Through InnovationLinkedIn
See what's next for LinkedIn - from a complete redesign of the desktop experience, to smarter messaging and content discovery features, to the future of professional learning. Read more: https://blog.linkedin.com/2016/09/22/accelerating-LinkedIn-vision
Argentesting 2017 - Proyecto OWASP Top 10Argentesting
Proyecto Top 10 de OWASP
La charla hace un pequeño recorrido sobre la evolución de la Web, la Seguridad informática dentro de la Web y el proyecto OWASP para luego desembocar en el OWASP Top Ten y ahí nos detenemos.
Desde ahí en adelante nos centralizamos en los 10 riesgos de seguridad más importantes en aplicaciones web.
Se va a explicar una por una su descripción, funcionamiento, su impacto y qué medidas tomar para prevenirlo.
A parte de todo eso se mostrará en vivo algunas de ellas para poder ver y darse cuenta cuando un sitio es vulnerable.
La prueba se hará mediante una máquina virtual levantando una web vulnerable preparada por OWASP para practicar este tipo de testing.
Terminando con recomendaciones y links para consultar todo lo dado.
Expositor: Juan Pablo Soto
Resumen curso de seguridad para desarrolladores de aplicaciones web y móviles...mauromaulinir
Curso especializado de seguridad para aplicaciones web y aplicacione móviles, de e-Securing C.A. Dictado por Mauro Maulini R. - Toda la información que los desarrolladores, programadores y expertos en seguridad de sistemas informáticos deben conocer para prevenir que sus aplicaciones web o móviles sean vulneradas, y los costos directos u ocultos que de ello deriva.
En la actualidad todos nosotros confiamos en las aplicaciones web para realizar diversas tareas diarias, ya sea en el trabajo, en casa, o para diversión; siendo posible accederlas numerosas veces al día desde; utilizando laptops, computadoras, tablets, teléfonos inteligentes, y otros dispositivos. Estas aplicaciones web son utilizadas para realizar compras, transacciones bancarias, pagos de cuentas, interactuar a través de redes sociales, y muchos otros propósitos. El problema con las aplicaciones web es no ser tan seguras como se piensa, y la mayoría de las veces los ataques utilizados para ganar acceso son relativamente sencillos y simples. De hecho cualquiera puede utilizar herramientas de hacking para realizar ataques devastadores.
Este curso enseña a los participantes como realizar evaluaciones de seguridad contra aplicaciones web, de tal manera se pueda también prevenir los ataques. Se abarca la teoría, herramientas, y tecnologías utilizadas para identificar y explotar las vulnerabilidades web más frecuentes y dañinas presentes en las aplicaciones web. Esto significa tener la capacidad de obtener información sensible desde una base de datos, evadir una página de autenticación, o realizar la suplantación de usuarios. Se aprenderá sobre la selección del objetivo a evaluar, como realizar los ataques, cuales herramientas son necesarias, y como utilizarlas adecuadamente.
Sucuri Webinar: How to Clean a Hacked Magento WebsiteSucuri
TIP: Make sure you scroll to the last slide to view the video recording.
On Feb 22, 2017, Sucuri Incident Responder, Cesar Anjos, presented this webinar as a step by step guide on how to clean a hacked Magento website.
If your Magento website has been hacked, learn how to appropriately deal with the security incident, fix the hack, and secure your ecommerce website against future breaches.
This webinar will take place on Wednesday, Feb 22nd at 11am PST. Following his presentation, Cesar will take questions from participants. Please complete the form to register.
In this webinar you will learn how to:
- Understand if there has been a compromise - Beginner
- Determine the presence of credit card stealers
- Intermediate/Advanced
- Look for the most common credit card stealers - Intermediate
- Handle potential data breaches - Intermediate
- Remove most Magento infections - Beginner
Sucuri Webinar: Understand and Fix Google Blacklist WarningsSucuri
On Jan 25, 2017, Sucuri Digital Marketing Manager, Alycia Mitchell, presented this webinar as a step by step guide to understanding and fixing Google blacklist warnings.
This webinar provided the knowledge to act fast and get rid of those big red warnings on any website.
Apresentação feita no meetup "Como ganhar dinheiro com WordPress" da comunidade WordPress São Paulo e re-apresentada no WordCamp Fortaleza 2016.
Nessa palestra dei dias sobre como ser um profissional melhor e onde encontrar empresas que trabalham com esse CMS maravilhoso.
Vídeo da palestra no WordCamp Fortaleza: http://wordpress.tv/2017/05/01/rafael-funchal-empregos-com-wordpress/
Sucuri Webinar: Defending Your Google Brand Reputation and Analytics ReportsSucuri
Google Analytics and Google Search Console are powerful tools for marketers, but did you know they can also be used to enhance your website security?
Learn how to clear spam from GA reports and mitigate indicators of a website hack.
Occupant Behavior of a Plus-Energy Building Regarding Monitoring and Standard...SimulationX
Within a monitoring study by the Federal Ministry for Environment, Nature Conservation, Building and Nuclear Safety, 35 residential buildings with future building standards are being analyzed. Two of these buildings (Plus Energy Buildings) are managed and analyzed by the Leipzig University of Applied Science. An energy-plus house produces more energy from renewable energy sources over the course of a year than it imports from external sources. Until now there have been serious differences between planning simulation and measurement. The main reason has been identified as non-matching simulation models. Complex technical building services, associated with the use of new building materials, exceed the possibility of usage for standardized programs. By using monitoring data, this paper describes the influence of tenants in low energy houses by using the Green-City library in SimulationX. The increasing influence of occupants on energy consumption will be illustrated.
Presentation of ESET researcher Olivier Bilodeau from Virus Bulletin Conference 2015.
Embedded Linux platforms have been increasingly targeted by malware authors over the past few years. The targeted devices, labelled under the umbrella term 'Internet of Things', are generally consumer routers, gateways or modems. They are compromised remotely via brute-forcing of their credentials or being victim of an unpatched vulnerability, such as the infamous Shellshock. Most of these compromises result in the targeted system being assimilated into a botnet.
Read more about Linux/Moose here: http://www.welivesecurity.com/2015/05/26/dissecting-linuxmoose/
Unpack your troubles*: .NET packer tricks and countermeasuresESET
Nowadays, .NET samples are increasingly common, necessitating specialized techniques for processing and analysis, especially when obfuscation is used: .NET packers have many tricks up their sleeves, but fortunately we do too.
*https://en.wikipedia.org/wiki/Pack_Up_Your_Troubles_in_Your_Old_Kit-Bag
Accelerating LinkedIn’s Vision Through InnovationLinkedIn
See what's next for LinkedIn - from a complete redesign of the desktop experience, to smarter messaging and content discovery features, to the future of professional learning. Read more: https://blog.linkedin.com/2016/09/22/accelerating-LinkedIn-vision
Argentesting 2017 - Proyecto OWASP Top 10Argentesting
Proyecto Top 10 de OWASP
La charla hace un pequeño recorrido sobre la evolución de la Web, la Seguridad informática dentro de la Web y el proyecto OWASP para luego desembocar en el OWASP Top Ten y ahí nos detenemos.
Desde ahí en adelante nos centralizamos en los 10 riesgos de seguridad más importantes en aplicaciones web.
Se va a explicar una por una su descripción, funcionamiento, su impacto y qué medidas tomar para prevenirlo.
A parte de todo eso se mostrará en vivo algunas de ellas para poder ver y darse cuenta cuando un sitio es vulnerable.
La prueba se hará mediante una máquina virtual levantando una web vulnerable preparada por OWASP para practicar este tipo de testing.
Terminando con recomendaciones y links para consultar todo lo dado.
Expositor: Juan Pablo Soto
Resumen curso de seguridad para desarrolladores de aplicaciones web y móviles...mauromaulinir
Curso especializado de seguridad para aplicaciones web y aplicacione móviles, de e-Securing C.A. Dictado por Mauro Maulini R. - Toda la información que los desarrolladores, programadores y expertos en seguridad de sistemas informáticos deben conocer para prevenir que sus aplicaciones web o móviles sean vulneradas, y los costos directos u ocultos que de ello deriva.
En la actualidad todos nosotros confiamos en las aplicaciones web para realizar diversas tareas diarias, ya sea en el trabajo, en casa, o para diversión; siendo posible accederlas numerosas veces al día desde; utilizando laptops, computadoras, tablets, teléfonos inteligentes, y otros dispositivos. Estas aplicaciones web son utilizadas para realizar compras, transacciones bancarias, pagos de cuentas, interactuar a través de redes sociales, y muchos otros propósitos. El problema con las aplicaciones web es no ser tan seguras como se piensa, y la mayoría de las veces los ataques utilizados para ganar acceso son relativamente sencillos y simples. De hecho cualquiera puede utilizar herramientas de hacking para realizar ataques devastadores.
Este curso enseña a los participantes como realizar evaluaciones de seguridad contra aplicaciones web, de tal manera se pueda también prevenir los ataques. Se abarca la teoría, herramientas, y tecnologías utilizadas para identificar y explotar las vulnerabilidades web más frecuentes y dañinas presentes en las aplicaciones web. Esto significa tener la capacidad de obtener información sensible desde una base de datos, evadir una página de autenticación, o realizar la suplantación de usuarios. Se aprenderá sobre la selección del objetivo a evaluar, como realizar los ataques, cuales herramientas son necesarias, y como utilizarlas adecuadamente.
Las aplicaciones web modernas tienen un rol muy importante en todas las organizaciones. Pero si la organización no tiene la capacidad de evaluar y asegurar adecuadamente sus aplicaciones web, los ciberatacantes podrían comprometer estas aplicaciones, afectando el funcionamiento normal de la empresa, como también robar datos sensibles. Desafortunadamente muchas organizaciones operan bajo la errónea percepción, de un escáner de seguridad para aplicaciones web es la manera más fiable de descubrir fallas en sus sistemas. Las ciberdefensas modernas requieren una comprensión realista y profunda de los problemas de seguridad relacionadas con la aplicación web. Cualquiera puede aprender a realizar algunos tipos de ataques contra la web, pero una prueba de penetración efectiva contra aplicaciones web requiere un conocimiento más profundo.
Este curso enseña a los participantes a entender las principales fallas encontradas en las aplicaciones web, como también a identificar y explotarlas con el propósito de demostrar el potencial impacto hacia la empresa. Los profesionales en seguridad de la información frecuentemente se esfuerzan en ayudar a las organizaciones a entender su riesgo en términos de la empresa. Ejecutar elaborados e impresionantes ataques tiene poco valor si la organización no toma en serio su riesgo, y despliega las medidas correctivas adecuadas. El propósito de este curso es mejorar la seguridad de las organizaciones a través de una prueba de penetración, y no solo demostrar las habilidades de Hacking. Este curso ayuda a los participantes a demostrar el verdadero impacto de las fallas en las aplicaciones web, no únicamente a través de la explotación, sino también a través de una adecuada documentación y reporte.
Las aplicaciones web modernas tienen un rol muy importante en todas las organizaciones. Pero si la organización no tiene la capacidad de evaluar y asegurar adecuadamente sus aplicaciones web, los ciberatacantes podrían comprometer estas aplicaciones, afectando el funcionamiento normal de la empresa, como también robar datos sensibles. Desafortunadamente muchas organizaciones operan bajo la errónea percepción, de un escáner de seguridad para aplicaciones web es la manera más fiable de descubrir fallas en sus sistemas. Las ciberdefensas modernas requieren una comprensión realista y profunda de los problemas de seguridad relacionadas con la aplicación web. Cualquiera puede aprender a realizar algunos tipos de ataques contra la web, pero una prueba de penetración efectiva contra aplicaciones web requiere un conocimiento más profundo.
Este curso enseña a los participantes a entender las principales fallas encontradas en las aplicaciones web, como también a identificar y explotarlas con el propósito de demostrar el potencial impacto hacia la empresa. Los profesionales en seguridad de la información frecuentemente se esfuerzan en ayudar a las organizaciones a entender su riesgo en términos de la empresa. Ejecutar elaborados e impresionantes ataques tiene poco valor si la organización no toma en serio su riesgo, y despliega las medidas correctivas adecuadas. El propósito de este curso es mejorar la seguridad de las organizaciones a través de una prueba de penetración, y no solo demostrar las habilidades de Hacking. Este curso ayuda a los participantes a demostrar el verdadero impacto de las fallas en las aplicaciones web, no únicamente a través de la explotación, sino también a través de una adecuada documentación y reporte.
Las aplicaciones web modernas tienen un rol muy importante en todas las organizaciones. Pero si la organización no tiene la capacidad de evaluar y asegurar adecuadamente sus aplicaciones web, los ciberatacantes podrían comprometer estas aplicaciones, afectando el funcionamiento normal de la empresa, como también robar datos sensibles. Desafortunadamente muchas organizaciones operan bajo la errónea percepción, de un escáner de seguridad para aplicaciones web es la manera más fiable de descubrir fallas en sus sistemas. Las ciberdefensas modernas requieren una comprensión realista y profunda de los problemas de seguridad relacionadas con la aplicación web. Cualquiera puede aprender a realizar algunos tipos de ataques contra la web, pero una prueba de penetración efectiva contra aplicaciones web requiere un conocimiento más profundo.
Este curso enseña a los participantes a entender las principales fallas encontradas en las aplicaciones web, como también a identificar y explotarlas con el propósito de demostrar el potencial impacto hacia la empresa. Los profesionales en seguridad de la información frecuentemente se esfuerzan en ayudar a las organizaciones a entender su riesgo en términos de la empresa. Ejecutar elaborados e impresionantes ataques tiene poco valor si la organización no toma en serio su riesgo, y despliega las medidas correctivas adecuadas. El propósito de este curso es mejorar la seguridad de las organizaciones a través de una prueba de penetración, y no solo demostrar las habilidades de Hacking. Este curso ayuda a los participantes a demostrar el verdadero impacto de las fallas en las aplicaciones web, no únicamente a través de la explotación, sino también a través de una adecuada documentación y reporte.
Taller Virtual de Pentesting contra Aplicaciones WebAlonso Caballero
Descripción:
Se explicarán las cuatro fases del proceso de pruebas de penetración contra aplicaciones web. Se inicia examinando la perspectiva mental del atacante. Las partes de una Prueba de Penetración y definición de su alcance. La primeras fases del reconocimiento y mapeo del proceso proporcionan los fundamenteos necesarios para controlar la aplicación. En la fase de descubrimiento se exponen diversas debilidades dentro de las aplicaciones. Además de mapear los vectores de ataque a utilizar contra la aplicación. El descubrimiento también se enfoca en los componentes del lado del cliente. En la fase final de explotación se lanzan los ataques planificados y creados durante las tres fases previas.
Objetivo:
El objetivo de este Taller Virtual es proporcionar al participante una introducción a las Pruebas de Penetración contra Aplicaciones Web. Para este propósito se expondrá la teoría con ayuda de ejercicios y ejemplos prácticos utilizando máquinas virtuales y las diferentes herramientas incluidas en Samurai WTF.
Las aplicaciones web tienen un rol importante en todas las organizaciones modernas. Pero si la organización no evalúa y asegura adecuadamente sus aplicaciones web, los atacantes maliciosos pueden comprometer estas aplicaciones, dañar la funcionalidad de la empresa, y robar datos. Desafortunadamente muchas organizaciones operan bajo la errada percepción, de confiar el descubrimiento de las fallas en sus sistemas a escaners automáticos de seguridad en aplicaciones web. No existe un parche o solución total para las aplicaciones web personalizadas, por lo tanto los atacantes maliciosos se orientan cada vez más en estos objetivos de alto valor.
En este curso se enseña a los participantes a entender las principales fallas en las aplicaciones web y su explotación;y lo más importante; aprender a realizar un proceso repetible y verificado en la realidad, para encontrar de manera consistente estas fallas en sus organizaciones. El participante aprenderá una metodología para pruebas de cuatro fases, además de la configuración y utilización de las herramientas para realizar pruebas satisfactorias. Comprender como se realiza la comunicación entre todas las partes involucradas en una aplicación web. Seleccionar y utilizar los diferentes métodos, además de técnicas para realizar los ataques más relevantes, como por ejemplo; Inyección de Comandos, Recorrido de Directorios, Inyección SQL, Cross Site Scripting (XSS), Cross Site Request Forgery (CSRF), entre muchas vulnerabilidades más.
Seguridad para Agencias de Desarrollo Web: Protege tus Clientes y tu NegocioSucuri
¿Tu empresa es responsable de desarrollar, gestionar y optimizar sitios web para clientes? Tenemos un webinar para ti.
Garantizar la seguridad de los sitios web puede ser un reto, especialmente con una gran red de sitios. Queremos ayudarte a entender cómo crear un plan de seguridad, con el objetivo de reducir el riesgo de hacks e incidentes de seguridad.
En esta sesión, Victor cubrirá las implicaciones de una brecha de seguridad y el por qué la seguridad debe ser importante para tu agencia. Él demostrará un enfoque de seguridad en capas que podrás implementar por tu cuenta.
Aprende cómo contestar la pregunta: “¿Qué puedo hacer para reducir el riesgo cibernético para mi negocio y mis clientes?”
Open Web Application Security Project Top 10: OWASP con el fin de canalizar los esfuerzos en la seguridad de aplicaciones y APIs, llevó adelante un relevamiento global y colaborativo con los 10 riesgos de seguridad más críticos de la web, conocido como OWASP TOP 10.
Similar a Como son los sitios web son hackiados (20)
Logs: Understanding Them to Better Manage Your WordPress SiteSucuri
In this webinar we will highlight the various activity, access, and error logs WordPress site administrators have at their fingertips. Plus, learn how logs can best be used to manage, troubleshoot, and most importantly, secure your sites.
From this webinar you will learn how to:
- Highlight suspicious activity before it becomes a security issue.
- Identify possible malicious activity in the log files, allowing you to thwart attacks.
- Trace back a malicious user’s activity in a post-compromise scenario.
- Utilize log file information to better protect, manage, and improve user accountability.
Webinar: Personal Online Privacy - Sucuri SecuritySucuri
Like what you see? Hit the like button so we know to make more :)
Stay ahead of emerging threats. Sign up to receive technical information about current security issues, vulnerabilities, and exploits. Click to Subscribe: https://bit.ly/2KP2pei
Victor Santoyo: In this webinar, we’ll describe action items that can improve the security state of internet-connected devices we all use every day. These devices will include common household staples such as: WiFi Routers, iOS/Android devices, and personal computers.
We’ll also cover improvements to items such as 2FA, browser add-ons, and other such considerations.
Follow #SucuriSecurity
Instagram: https://www.instagram.com/sucurisecur...
Twitter: https://twitter.com/sucurisecurity
Facebook: https://www.facebook.com/SucuriSecurity/
Join us as we delve into the minds of website hackers and reveal how to fight them.
At Sucuri, we clean hundreds of sites daily, so we see the type of malware that’s injected into sites. This gives us a better understanding of why attacks happen.
We’ll dive into the game of website security and explain the reasons behind it all:
- Targeted attacks
- Random attacks
- SEO attacks
- Why me?
In this webinar, we will highlight the different types of hacks, how they work, and what to do post-hack.
We will also share some examples of hacked websites and discuss the most common methods attackers use to target them, plus how they determine if your site is a worthy candidate and how they operate once access is gained.
A few takeaways from this webinar include:
- How do you define a hack?
- What are the OWASP Top 10?
- What is a back door?
- XSS, SQL injection, and others
During this presentation, we'll discuss the ins and outs of website security. Using good security practices as a website owner helps keep the entire web environment as clean and safe as possible.
Expect to learn about:
- What website security is and how to approach the subject when making your own plan.
- The various access points and attack surfaces of a website.
- Simple ways to increase security for all website owners.
- Intermediate ways to further secure websites.
- General online security practices and preparedness.
Our Website Hacked Trend Report provides insights on the top open-source CMS security, out-of-date software, and specific malware families we see on hacked websites in the Sucuri environment.
We’ve built this analysis from prior reports to identify the latest tactics, techniques, and procedures (TTPs) detected by our Remediation Group. A total of 18,302 infected websites and 4,426,795 cleaned files were analyzed in our recent publication.
Tony will discuss high-level findings on a range of topics, including:
- Affected open-source CMS applications
- Outdated CMS and blacklist analysis
- Malware families and their effects
Sucuri Webinar: What is SEO Spam and How to Fight ItSucuri
How and why does SEO spam infect a website? This webinar will discuss what attackers gain from spam campaigns and how to deal with it effectively. We will cover different types of SEO spam and why your website can be a target. You will also learn how to protect your website from these attacks.
Topics include:
- What is SEO spam?
- How does SEO spam infect your website, and why?
- Should you worry if you have a small website?
- How to detect SEO spam.
- How to protect your website against SEO spam.
More webinars at https://sucuri.net/webinars
Sucuri Webinar: How To Know For Sure You Can Trust A PluginSucuri
There are more than 40 thousand plugins out there. How can you be sure that you're making the right decision in choosing a safe option?
This webinar will help develop a strategy that minimizes that risk and keeps you secure when downloading WordPress plugins.
Sucuri Webinar: Tis the Season for Credit Card Scraping and Malware Trends Sucuri
Join Josh and Victor as they go over the latest trends of malware that we are seeing so you know what to look for.
- What's new on the malware front
- Old malware making a reappearance
- Credit card scrapers tactics
If you, create sites for customers and looking to add security as an offering, or you own a site and want to be aware, then this webinar is for you!
Sucuri Webinar: WAF (Firewall) and CDN Feature Benefit GuideSucuri
Sales Enablement Webinar 3 of 4. We will be covering our Firewall and CDN.
A feature benefit guide for our agencies and end users. Why use our firewall? What kind of protection does it offer? How does it affect the efficiency and speed of my site? Will it affect my server's resources? Find out the answers to these questions and more:
- 14 POPs around the world. Find out where.
- Tips on how to sell different CDN and Firewall features.
- Discover how to block different global locations. Yes, you can!
...plus other neat information on obscure settings!
Sales Enablement Webinar 2 of 4. In this webinar we will be covering the Sucuri API.
A lot can be done with our API to make your life easier and more automated. Here are just a few things we will show you can do with our API:
- Create your own dashboard
- Share data with your customers
- Change firewall settings
- Clear the cache
- Add developers
...plus a sneak peek at things to come in the next version of the API!
Sucuri Webinar: Website Security Primer for Digital MarketersSucuri
During this webinar, Alycia will explain how marketing professionals can easily add security to their diverse toolkit. This skill helps organizations prepare for incidents and prevent others.
Reputation management falls on marketing. By championing the protection of web content, marketers can uphold their company’s reputation and make the web safer for everyone.
Sucuri Webinar: Sucuri Introduces the Sales Enablement DepartmentSucuri
During this webinar, you will meet our Sales Enablement team and preview the marketing information packages we have created for web agencies.
- Guide to talking with clients about website security
- Email templates to send to clients
- Case studies from other web professionals
- Checklist for securing client projects
This is part one of a four-part series where we show you how to position website security to your customers. Our Sales Enablement team will be in attendance for this webinar providing an extended Q&A section… so bring your questions!
Sucuri Webinar: How Caching Options Can Impact Your Website SpeedSucuri
When a website is accessed, the server usually needs to compile the website code, display the end result and provide the visitor with all the website's assets. This all takes a toll on your server resources, slowing down the total page load time and increasing the chances of a small DDoS attack bringing it down.
To avoid this overhead, it's necessary to leverage certain types of caching whenever possible.
This webinar is for beginners and web professionals to learn about the three most used caching types in practice: Static Files caching, Page Caching, and In-Memory Caching.
Sucuri Webinar: Simple Steps To Secure Your Online StoreSucuri
During this webinar, we'll discuss some basic security concepts for your online store that include what tools you'll need to remain PCI compliant as well as how to keep your data safe. Some key takeaways will include:
- Reducing Your Attack Surface
- Protecting Cardholder Data
- Creating a Disaster Recovery Plan
We'll also identify principles and practices that can address multiple PCI requirements at once to help save time and effort.
If you're considering security for your site or are new to our services, this webinar will guide you through Sucuri's simple setup processes. Potential notifications, support options for various scenarios, and ways that you can also work to keep your site malware-free will be discussed.
Here’s what you’ll learn:
Intro/Quick review of dashboard areas (monitoring, firewall, backups, support)
Opening a malware removal request
Setup: Firewall, Backups, Monitoring
Notices you might receive/support options for each: Firewall blocks, Monitoring alerts, Reporting
Tips & tricks (whitelist IP API, bypass prevention, steps to stay clean)
Sucuri Webinar: Is SSL enough to secure your website?Sucuri
It's a move we've seen coming since early 2017. Chrome HTTP sites are now officially being marked as 'not secure'.
With Chrome dominating 62.85% of the browser market space as of last month means that even small changes can have a big impact on website owners if ignored.
To avoid this, we will address the most pertinent questions we are asked:
*What steps happened to get to this point?
*Why is it still happening?
*What is SSL?
*How does SSL help secure the internet?
*Why is SSL not a standalone solution in making a site secure?
*What can you do to ensure your site isn't marked 'not secure' by Chrome?
Sucuri Webinar: Preventing Cross-Site Contamination for BeginnersSucuri
Cross-site contamination happens when one hacked site infects other sites on a shared server. This webinar is for beginners and web professionals to understand cross-site contamination and how to prevent it.
We will be covering:
- What is cross contamination?
- Why is it a risk?
- How to explain it to web service clients.
At the end of this webinar, you'll be able to explain cross-site contamination to anyone, regardless of their technical knowledge.
Webinar: CWAF for Mid Market/Enterprise OrganizationsSucuri
In today's complex security landscape, web applications pose a significant risk to Mid-Market and Enterprise organizations.
The question is, how can an organization secure their web properties without sacrificing performance. The answer may be a Cloud-based Web Application Firewall.
This webinar will introduce the concept of the CWAF, and the benefits of web application security in the cloud.
Samples of topics covered include:
- What is a cloud-based web application firewall
- The benefits of using a CWAF
- How to improve security and performance
- How to implement a CWAF in complex web environments
This live Q&A-based webinar is designed for development managers, large websites with unique and complex infrastructure/server environments, and anyone who is concerned about securing their web applications.
Insights provided in the webinar will help you operate more secure networks, infrastructure, and web applications.
You can see the video recording of this webinar at the end of the slides.
Webinar ran: Thu, May 31st, 2018 at 11 am PST
During this webinar, we explained how many of the PCI compliance standards for safe handling of payment card data are closely aligned with the data retention policies of the new GDPR regulations – from managing personal data, potential breach implications, and properly logging your systems.
Also, we shared some best practices and what to expect moving forward as it relates to data security.
2. Organización de esta charla
COMO SON HACKIADOS LOS SITIOS WEB
1. ¿Quién es Salvador Aguilar?
2. ¿Para quien es esta charla?
3. Estadisticas generales
4. Tipos de infección & los impactos
5. Un ambiente complejo
6. Tipos de ataques
7. Flujo de los ataques
8. Vectores de ataque
9. ¿Pensando sobre seguridad?
10. Preguntas y respuestas
3. COMO SON HACKIADOS LOS SITIOS WEB
• Papá de un niño de 8 y una niña
de 1.5 años.
• Entusiasta de Wordpress.
• Con experiencia trabajando
para empresas como SEARS
Mexico, Site5.com & Sucuri.net
• Analista de seguridad en
Sucuri.net
• Implementadorde Wordpress
• CoFundador & SysAdmin de
SenorCoders.com
Quién es Salvador Aguilar?
4. Para quien es esta charla?
COMO SON HACKIADOS LOS SITIOS WEB
• Para cualquier persona que tiene un sitio web
• Para profesioanles que diseñan sitios web
• Para personas que han sido infectadas
• Para personas que tienen su stiio web en una lista negra
• Para personas que quieren saber como los hackiaron
• Para personas que quieren saber sobre los diferentes vectores de ataque
8. Estadísticas de Google
COMO SON HACKIADOS LOS SITIOS WEB
50 Millones de Warnings
Sitios web x semana en
Lista Negra x Malware
Sitios web x semana en
Lista Negra Phishing
20,000 50,000 95%
Reducción
de tráfico
9. Estadísticas sobre Plugins de Wordpress
COMO SON HACKIADOS LOS SITIOS WEB
• RevSlider representa el 10% del
total de las infecciones.
• El bug de TimThumb tiene 4
años de estar afectando sitios
web.
• El problema de RevSlider es que
viene incrustado en themes
pagados.
15. Un Ambiente Complejo
COMO SON HACKIADOS LOS SITIOS WEB
Computadora: Trojanos, keyloggers, computadora desenllavada, etc
LAN/WIF: Sniffers, traffic loggers, etc
User: Passwords inseguros, passwords en postips, agendas, etc.
17. Un Ambiente Complejo
COMO SON HACKIADOS LOS SITIOS WEB
Linux: bugs en kernel. Fingerprinting, password debil root.
Librerias: bus como Imagemagick, ssl, etc
Windows: bugs, fingerprinting.
PHP: bugs, write permissions. etc
21. Tienen alguna pregunta hasta ahora?
COMO SON HACKIADOS LOS SITIOS WEB
NO? Ok sigamos…
(hora de tomar un poco agua)
22. Tipos de ataque
COMO SON HACKIADOS LOS SITIOS WEB
• Ocurre 0.01% de las veces
• Hay un objetivo especifico
• No se conoce la vulnerabilidad al inicio, sino
que se define despues de pruebas
• Automatizadao Manual
• Alto nivel de expertise o habilidades
• Motivos personales: politicos,
rivales/competencia, odio, financieros.
• Ocurre 99.99% de las veces
• No hay un objetivo especifico
• Se ataca una vulnerabilidad especifica
conocida.
• Mayoritariamente automatizada
• Nivel bajo/intermedio de habilidades
• No es personal
Ataques Dirigidos Ataques Oportunistas
23. Flujo del ataque
COMO SON HACKIADOS LOS SITIOS WEB
Reconocimiento Identificación
Explotación de
vulnerabilidad
Sustentabilidad Compromiso Limpieza
24. Flujo del ataque
COMO SON HACKIADOS LOS SITIOS WEB
FASE ATAQUE DIRIGIDO ATAQUE OPORTUNISTA
RECONOCIMIENTO Explorar un ambiente especifico
Explorar la web por un problema
especifico
IDENTIFICACION
Identificar los posibles vectores de
ataque en la red
Ocurre en la fase de reconocimiento
EXPLOTACION DE VULNERABILIDAD
Explota vulnerabiliades basada en los
servicios que contenga el ambiente
Explota vulnerabilidades conocidas
SUSTENTABILIDAD Aseguramiento de que el atacante pueda seguir entrando al sistema
COMPROMISO Cumplir objectivo
LIMPIEZA
Reducir probabilidades de deteccion y
borar huellas
N/D
25. Flujo del ataque
COMO SON HACKIADOS LOS SITIOS WEB
FASE CONSIDERACIONES CONTROLES DE SEG.
RECONOCIMIENTO
¿Como estamos reduciendo la
superficie de ataque?
Desactivar servicios/sitios web sin uso,
puertos, aplicaciones.
IDENTIFICACION
¿Cómo sabemos que hay
vulnerabilidades?
Administración de Vulnerabilidades
(wpscan, sitecheck, etc)
EXPLOTACION DE VULNERABILIDAD
¿Cómo estámos mitigando los intentos
de explotar vulnerabilidades?
Usar un WAF/IPS basado en la nube
SUSTENTABILIDAD
¿Cómo sabemos que no hay
backdoors?
Usar sistemas IDS
COMPROMISO
¿Cómo sabemos que no estamos
comprometidos?
Usar IDS para revisar integridad del
sistema
LIMPIEZA
¿Estamos reteniendo las bitacoras
remotamente y backups?
Revision de logs y realización de
backups
26. ¿Cómo son hackiados los sitios web?
COMO SON HACKIADOS LOS SITIOS WEB
Control de Acceso
Vulnerabilidades
de Software
Contaminación
cruzada de sitios
Integración con
aplicaciones de
3ros
Hosting
27. Control de Acceso
COMO SON HACKIADOS LOS SITIOS WEB
• Se refiere al como se accesa a ciertas areas, lugares o cosas
• El control de Acceso a sitios web se extiende a todas las aplicaciones que brindanalgún tipo de acceso al
ambiente web
• Panel de control del CMS (WP-ADMIN)
• Panel control de hosting (cPanel, Plesk, Parallels, etc)
• Nodos de acceso (SSH, sFTP, Email, etc)
• Cuando pensemos en control de acceso, pensemos mas allá del sitio web o ambiente aplicativo.
• Los ataques al Control de Acceso vienen en forma de ataques bruteforce.
28. Vulnerabilidades de
Software
COMO SON HACKIADOS LOS SITIOS WEB
• Se refiere los bugs en el código de los aplicativos que pueden ser abusados. Incluyen cosas como:
• Inyección SQL, Cross-Site Scripting (XSS), Remote Code Execution (RCE), Remote File Intrusion (RFI), etc.
• Los CMS luchan con las vulnerabilidades de sus extensiones: plugins, temas, modulos, componentes, etc.
• Sugerencia familiarizarse con los proyectos y suscribirse a alertas de seguridad.
29. Contaminación
Cruzada de sitios web
COMO SON HACKIADOS LOS SITIOS WEB
• Se refiere al movimiento lateral de las infecciones una vez que entra a un servidor.
• Este es un ataque interno y no externo. El atacante entra al servidor a travez de un sitio vulnerable y luego lo
usa como pie de amigo para infectar el resto de lo sitios web en el servidor.
• Es la razón #1 para la reinfección de sitios web, los propiertarios de sitios web se de concentran en el sitio
web afectado y los sintomas, pero no revisan los sitios web que no muestran señales externas o visibles de
compromiso.
• Este método es super exitoso en los ambientes que no utilizan métodos funcionales de aislamient en el
servidor, o que usan los permisos o configuraciones incorrectas.
30. Integración con 3ros
COMO SON HACKIADOS LOS SITIOS WEB
• Se refiere un sin numero de cosas, pero últimamente lo más prevalente son los servicios de Anuncios (Ads) y
sus networks de anuncios asociados.
• Estas integraciones introducen un eslabon debil en la cadena de seguridad. Estos Networks de Anuncios son
atacados, infectados y utilizados para penetrar otros sitios web. Malvertising.
• Malvertising, es el acto de manipular los anunciospara distribuir malware, a menudo en la forma de
redireccionamiento maligno y downloads no solicitados.
• Son extremadamente dificiles de detectar debido a su naturaleza condicional, y que están fuera del ambiente
del sitio web.
31. Hosting
COMO SON HACKIADOS LOS SITIOS WEB
• Hace muchos años que no se ha dado un compromiso masivo de un proveedor de shared hosting grande. La
última vez fue GoDaddy en 2011 (.htaccess redirect )
• El mayor problema en nuestros días, no son estos proveedores, sino organizaciones que intentan ofrecer una
solución completa: Marketing, Desarrollo, Seguridad, Hosting, SEO, etc.
• Proveedores con poca experencia que introducen confusión y ruido un ecosistema de por si ya saturado.
• Saben lo suficiente para ser peligrosos, pero les faltan habilidades y conocimiento
• Contribuyen a un gran numero de contaminación cruzada debido a malas configuraciones.