Este documento discute los riesgos de ciberseguridad para sitios web y cómo protegerlos. Explica que los sitios son vulnerables a ataques de denegación de servicio, robo de información, malware y spam. Recomienda mantener software actualizado, usar contraseñas seguras, copias de seguridad y firewalls web. Además, da consejos sobre qué hacer si un sitio es hackeado y enlaces a herramientas y plugins de seguridad para WordPress.

1. La Ciberseguridad de mi
sitio Web
Jesus Lizarraga
jlizarraga@mondragon.edu
@JL_picard
Octubre 2017

2. ¿cuántas Webs sufren ataques?
Algunos datos de Google

6. Sitios web con malware en 2016
(fuente:Google)

7. ¿por qué alguien querría atacar mi sitio web?

8. 1) Hacernos desaparecer de Internet temporalmente:
Ataque de denegación de servicio DDoS

9. Motivaciones
• Dañar nuestra imagen de marca
• Distraer nuestra atención (mientras se realiza otro tipo de ataque)
• Probocar pérdida de ingresos
• Extorsión

10. Cómo se lleva a cabo

11. ¿cuesta mucho hacer un ataque de DDoS?

12. 2) Dañar nuestra imagen de marca
Ataque de defacement

13. Motivaciones
• Dañar nuestra imagen de marca
• Por diversión (atacan al más débil o fácil de atacar)
• Reinvindicaciones políticas o sociales

14. ¿son
habituales
este tipo de
ataques?

15. 3) Robo de
información
Fuente: https://www.slideshare.net/AnoopT3/sql-injection-69621267

16. 4) Introducción de malware en nuestra web

17. Al visitar
una página
infectada
desde un
navegador
vulnerable,
el malware
se instala en
el equipo
del usuario

18. Motivaciones
• Difusión de malware
• Creación de Botnets
• Robo de credenciales bancarias e información confidencial

19. 5) Introducción de enlaces a otras “webs”
Spam link injection

20. Motivaciones
• Generar enlaces hacia sitios de venta online

21. 6) SEO negativo

22. Motivación
• Perjudicar el
posicionamiento en
buscadores de la víctima
• Ataque de la
competencia

23. ¿cómo saber si mi
web ha sido
hackeada?

24. http://www.google.com/safebrowsing/diagnostic?
site=<your-site>

25. www.virustotal.com

29. Enlaces a mi sitio Web
¿SEO negativo?
¿webspam?

30. Acciones manuales
Enlaces “no naturales” desde nuestra web … ¿SPAM link injection?

31. Acciones manuales
Han hackeado nuestra web y tiene ahora enlaces artificiales a otras webs

32. Acciones manuales
Enlaces “no naturales” hacia nuestra web (Google cree que hemos comprado enlaces)

33. Disavow
https://www.google.com/webmasters/tools/disavow-links

34. ¿qué hago si mi
sitio ha sido
hackeado?

35. Pasos a seguir
https://www.google.com/webmasters/hacked/?hl=es

36. ¿cómo puedo evitar sufrir un
ciberataque?

37. Buenas prácticas
• DDoS: Utilizar un proveedor de hosting con servicios anti DDoS,
balanceo de carga y mitigación
• Mantener actualizados todos los componentes del servidor web: S.O.,
BBDD, CMS
• Contraseñas seguras + 2FA, cambiarlas con frecuencia y limitar su uso
• Activar Search Console y alertas
• Web Application Firewall (WAF)
• Copias de Seguridad (SIEMPRE)

38. WAFs: Cloudfare / Incapsula / Mod_security

39. Referencias
• Google: guía de actuación para un sitio web hackeado
• https://developers.google.com/webmasters/hacked/
Plugins de seguridad (WP) que nos pueden ayudar.
• Limit Login Attempts: https://wordpress.org/plugins/wp-limit-login-attempts/
• iThemes Security (antes Better WP Security):
https://wordpress.org/plugins/better-wp-security/
• Wordfence Security: https://wordpress.org/plugins/wordfence/
• Sucuri Security: https://wordpress.org/plugins/sucuri-scanner/
• NinjaFirewall WAF: https://wordpress.org/plugins/ninjafirewall/
• Excepto el primero, todos ofrecen funcionalidades muy similares.

40. ¿preguntas?

41. Que la fuerza os acompañe…
Jesús Lizarraga jlizarraga@mondragon.edu