Este documento describe varias amenazas a las bases de datos, incluyendo inyecciones SQL, ataques de denegación de servicio (DoS) y ataques distribuidos de denegación de servicio (DDoS). Explica qué son estas amenazas, cómo funcionan y cómo se pueden implementar controles como filtrar peticiones, usar consultas preparadas y verificar datos para disminuir estos riesgos.

1. JESÚS DANIEL MAYO
18-11-17
[Amenaza a las Bases de Datos]
Página 1 de 8
Evidencia Informe
Amenaza a las Bases de Datos
Aprendiz
Jesús Daniel Mayo Vidal
Instructora
Mónica Yamile Burbano Criollo
Actividad de Aprendizaje No.2
Gestión de la Seguridad Informática - 21720170
Centro De Electricidad Y Automatización Industrial - CEAI
SENA Regional Valle – Cali, Colombia
Sábado 18 de noviembre de 2017
SENA – Servicio Nacional de Aprendizaje

2. JESÚS DANIEL MAYO
18-11-17
[Amenaza a las Bases de Datos]
Página 2 de 8
¿Qué es una Inyección SQL?
Una inyección SQL puede definirse
cómounataque enel cual se inserta
códigomaliciosoenlascadenasque
posteriormente se pasan a una
instancia de SQL para su análisis y
ejecución, también se dice que
existe o se produjo una inyección
SQL cuando, de alguna manera, se
inserta o "inyecta" código SQL
invasor dentro del código SQL
programado, a fin de alterar el funcionamientonormal del programa y lograr así que se ejecute la
porción de código "invasor" incrustado, en la base de datos.
Este tipo de intrusión normalmente es de carácter malicioso, dañino o espía, por tanto es un
problema de seguridad informática, y debe ser tomado en cuenta por el programador de la
aplicación para poder prevenirlo. Un programa elaborado con descuido, displicencia o con
ignorancia del problema, podrá resultar ser vulnerable, y la seguridaddel sistema (base de datos)
podrá quedar eventualmente comprometida.
Por ejemplo, asumiendo que el siguiente código reside en una aplicación web y que existe un
parámetro"nombreUsuario"que contiene el nombre de usuarioa consultar,una inyecciónSQLse
podría provocar de la siguiente forma:
El código SQL original y vulnerable es:
consulta := "SELECT * FROM usuarios WHERE nombre = '" +
nombreUsuario + "';"
Si el operador escribe un nombre, por ejemplo "Alicia", nada anormal sucederá, la aplicación
generaría una sentencia SQL similar a la siguiente, que es perfectamente correcta, en donde se
seleccionarían todos los registros con el nombre "Alicia" en la base de datos:
SELECT * FROMusuarios WHERE nombre = 'Alicia';
Pero si un operador malintencionado escribe como nombre de usuario a consultar:
"Alicia'; DROP TABLE usuarios; SELECT * FROM datos WHERE nombre LIKE
'%"
(sinlascomillasexternas),se generaríalasiguiente consultaSQL,(el color verde esloque pretende
el programador, el azul es el dato, y el rojo, el código SQL inyectado):
SELECT * FROM usuarios WHERE nombre = 'Alicia';
DROP TABLE usuarios;
SELECT * FROM datos WHERE nombre LIKE '%';

3. JESÚS DANIEL MAYO
18-11-17
[Amenaza a las Bases de Datos]
Página 3 de 8
En la base de datos se ejecutaríala consultaenel ordendado, se seleccionaríantodoslosregistros
con el nombre 'Alicia', se borraría la tabla 'usuarios' y finalmente se seleccionaría toda la tabla
"datos", que no debería estar disponible para los usuarios web comunes.
En resumen,cualquierdatode labasede datospuedequedardisponible paraserleídoomodificado
por un usuario malintencionado.
Nótese porqué se llama"Inyección"SQL.Si se observael códigomalicioso,de colorrojo,se notará
que está insertado en el medio del código bueno, el verde. Así, el código rojo ha sido "inyectado"
dentro del verde.
¿Cómo protegerse ante una Inyección SQL?
La inyección SQL es fácil de evitar, por parte del programador, en la mayoría de los lenguajes de
programación que permiten desarrollar aplicaciones web. Hay tres acciones básicas que te
permitirán evadir estos ataques.
 Limpia las peticiones de caracteres especiales
Comohabéisvistoantes,lainyecciónhaanuladolaconsultadelcampocontraseñaagregándoleuna
comilla simple, aunque también podría haber utilizado una comilla doble. Hay varias maneras de
escapar de estos caracteres especiales, por ejemplo, en PHP tenemos la función
mysql_real_scape_string() que habilitaque este tipode caracteresno interfieranenlafinalidadde
la query en sí.
PHP
En el lenguaje PHP, hay diferentes funciones que pueden servir de ayuda para usar con distintos
sistemas de gestión de bases de datos. Si se usa MySQL, la función a usar es:
mysql_real_escape_string:
$query_result= mysql_query("SELECT*FROMusuariosWHERE nombre= "" .
mysql_real_escape_string($nombre_usuario) . """);
Noobstante esmásrecomendadousaralternativasqueofrecenconsultaspreparadascomolaclase
PDO.
$statement = $pdo->prepare("SELECT * FROM usuarios WHERE nombre =
:nombre");
$statement->bindParam(':nombre', $nombre_usuario);
$statement->execute();
$result = $statement->fetch();
 Delimita los valores en las consultas
Usa comillassimplesparadelimitarcada valordentrode una consulta.Esto que parece de cajón,a
muchos desarrolladores se les olvida. No es lo mismo, esto...
SELECT * FROM usuarios WHERE id = $var
...que esto...

4. JESÚS DANIEL MAYO
18-11-17
[Amenaza a las Bases de Datos]
Página 4 de 8
SELECT * FROM usuarios WHERE id = '$var'
 Verifica siempre los datos enviados
Comprueba que no haya caracteres extraños. Si el campo es un email, comprueba que lo enviado
tenga el mismo formato que un email. Si es un número de teléfono, comprueba su longitud y su
formatotambién. Si loque tieneque introducirel usuarioesunnúmeroentero,validaque estosea
así. Es decir, verifica que los datos recibidos sean del tipo correcto.
¿Qué controles se podría implementar para disminuir estas amenazas?
Se recomiendarealizaruna auditoriaanual de la configuraciónde la base de datos para encontrar
posibles fallas en éstas y realizar mejoras que contribuyan al aumento de la seguridad de la
información que en éstas se almacena.
Tenerrespaldos (RAID) de laBase de datospara cuando se produzcan erroresde perdidade datos,
para garantizar la integridad física de los datos.
La tecnologíaRAID(RedundantArrayof IndependentDisks) oMatrizredundante de discos
independientes, es un tipo de tecnología que se lo establece para que funcione
redundantemente en los fallos que se vayan presentando.
Seguridadde un SGBD enentornosweb:Debemosincluireste tipode control puestoque también
hace parte de la seguridadde las basesde datos ya que los usuariosfinales interactúanconéstaa
travésde lossiguientesprotocolos.Losservidoresproxys,cortafuegos,algoritmosde compendiode
mensajesyfirmasdigitales,cerificadosdigitales,kerberos,SecuresocketsLayers(SSL) ysecure HTTP
(HTTPS), secure electronic transactions (SET), etc.
¿Qué es un ataque DoS (Denial of Service)?
SegúnWikipediaunataque de denegación
de servicio, también llamado ataque DoS
(porsus siglaseninglés),esunataque aun
sistema de computadoras o red que causa
que un servicioo recursosea inaccesiblea
los usuarios legítimos. Normalmente
provoca la pérdida de la conectividad con
la red por el consumo del ancho de banda
de la red de la víctima o sobrecarga de los
recursos computacionales del sistema
atacado.
DDoS son las siglas de Distributed Denial of Service. La traducción es “ataque distribuido
denegación de servicio”, y traducido de nuevo significa que se ataca al servidor desde muchos
ordenadores para que deje de funcionar.

5. JESÚS DANIEL MAYO
18-11-17
[Amenaza a las Bases de Datos]
Página 5 de 8
Pero aun así estono nos guía mucho sobre lo que es un DDoS. Para explicarlovoya recurrir a una
simple analogíaenlaque nuestroservidoresunauxiliarque atiende apersonasenunaventanilla.
Nuestro auxiliar es muy eficiente y es capaz de atender a varias personasa la vez sin despeinarse:
essu carga normal.Peroundía empiezanallegarcientosde personasalaventanillaapedirlecosas
a nuestro auxiliar.Y como cualquier humano normal, cuando hay mucha gente dándole la lata no
puede atender a todos y empieza a atender más lento de lo normal. Si viene todavía más gente
probablemente acabe hastalasnarices,se marchará de la ventanillayya no atenderáa nadie más.
En el servidorpasa lomismo:cuandohay demasiadaspeticionesse quedasinrecursos,se cuelgay
dejade funcionar.Puedeque se apague directamente oque sólo deje de responderconexiones.De
cualquierade lasdosformas,el servidornovolveráalanormalidadhastaque el ataquepare,yasea
porque losatacantes han parado o porque se logradobloquearlasconexionesilegítimas(veremos
más adelante cómo), y se re-arranque todo lo que haya dejado de funcionar.
¿Cómo se solucionaría esta problemática?
Depende del ataque y del servidor. Los servidores se pueden proteger contra estos ataques con
filtros que rechacen los paquetes mal formados o modificados con IPs falsas, de forma que al
servidor sólo le llegan los paquetes legítimos. Por supuesto, las medidas no son infalibles y el
servidor siempre puede acabar saturado si el ataque es suficientemente masivo y está bien
preparado.
Un ejemplode unataque DDoS real se muestraenel gráficode abajoen el que se puede observar
la cantidad de tráfico que tiene que procesar el servidor cuando recibe uno de estos ataques. El
tráfico durante el ataque (en verde) es tan grande que apenas se aprecia el tráfico normal del
servidor.
¿Y qué ocurre cuando el servidor se satura? Simplemente deja de estar disponible durante un
tiempo hasta que el ataque para. Es muy difícil que se produzcan daños físicos en el servidor.
Además, el DDoS por sí sólo no permite entrar en el servidor: para ello es necesario aprovechar
alguna vulnerabilidad, y eso no es nada fácil.
Así que,básicamente,unDDoSsólopuede provocarlacaída de laweb,nadamás.Dependiendodel
tipode webestopuede serunacatástrofe o no.Si la webgeneradinero(ventaonline,publicidad),
el propietariodejade ganardineromientrasesawebestácaída. Imaginaoslaspérdidasque puede
llegar a tener Amazon, por ejemplo, si su página está caída durante un día.
¿Qué controles se podría implementar para disminuir estas amenazas?
Puestoque unataque DoS nocausa mayoresafectacionesaunservidorhablandodel componente
físico,loque se recomiendaesloque semencionaarribaenel cuál se configurael servidorparaque

6. JESÚS DANIEL MAYO
18-11-17
[Amenaza a las Bases de Datos]
Página 6 de 8
rechace laspeticionesde IPsfalsasparaque éstasnoseanprocesadasporel servidoryseacapazde
poderbrindarle el servicioalosclienteslegítimos. Enel siguiete linkse puedeverunejemplode un
ataque DDoS que sufrió la organización VideoLAN en sus servidores. La visualización que muestra
estáhecha con el software Logstalgia. Cadaunode lospequeñospuntosde coloresesunapetición
de acceso al servidor. Las que son del mismo color pertenecen al mismo host que las envía. A la
derecha, vemos al servidor inundado de peticiones, tratando de servirlas todas (los puntos que
rebotan de vuelta al host); los puntos que no recoge la paleta de la derecha y se pierden en la
pantalla son el número de errores 404 que ven los usuarios que no pueden acceder.

7. JESÚS DANIEL MAYO
18-11-17
[Amenaza a las Bases de Datos]
Página 7 de 8
Conclusión
Las bases de datos han hecho avances significativos en el manejo de la información, varias de las
aplicacionesquemanejamosennuestrodiariovivirrequierenconfidencialidad,poreso necesitamos
modelos más sofisticados de seguridad, es por ellos que las entidades bancarias, médicas,
departamentos gubernamentales, inteligencia militar, etc., requieren de mecanismos que sean
capaces de garantizarlesel nivel de seguridadque éstosdemandan.Aunque laimplementaciónde
seguridadmássofisticadanoestareafácil,debemoshacerelesfuerzoporlograrque nuestrosdatos
estén completamente seguros.

8. JESÚS DANIEL MAYO
18-11-17
[Amenaza a las Bases de Datos]
Página 8 de 8
Bibliografía
¿Qué esun ataque de denegaciónde servicio(DDos)?(18de 11 de 2017). Obtenidode Maestros
del WEB: http://www.maestrosdelweb.com/ddos/
¿Qué esuna InyecciónSQL?(18 de 11 de 2017). Obtenidode ICTEA:
http://www.ictea.com/cs/knowledgebase.php?action=displayarticle&id=2112
Ataque de Denegaciónde Servicio.(18de 11 de 2017). Obtenidode Wikipedia:
https://es.wikipedia.org/wiki/Ataque_de_denegación_de_servicio
Inyecciónde CódigoSQL.(18 de 10 de 2017). Obtenidode Microsoft:
https://technet.microsoft.com/es-es/library/ms161953(v=sql.105).aspx
InyecciónSQL.(18 de 11 de 2017). Obtenidode Wikipedia:
https://es.wikipedia.org/wiki/Inyección_SQL
Son losataquesDDOSefectivoscomomediode protesta.(18de 11 de 2017). Obtenidode
Genbeta:https://www.genbeta.com/web/son-los-ataques-ddos-efectivos-como-medio-
de-protesta