2. Díaz Chonta, Junior

3. García Arias, Mariano

4. Guerrero Alfaro, Marco

6. Definición Es la probabilidad de que una amenaza pueden atentar contra la seguridad de nuestros recursos, nuestra información o nuestra empresa. Se pueden identificar varios elementos que se relacionan con los riesgos.

7. Elementos de los Riesgos Riesgos

8. Gestión de los Riesgos El objetivo principal es garantizar la supervivencia de la organización, minimizando los costos asociado a los riesgos. Es importante contar con herramientas que garantice la correcta evaluación en los procesos informáticos contra los riesgos.

9. Aspectos que sirven de apoyo para una adecuada Gestión de Riesgos Evaluación de los riesgos en los procesos. Evaluación de las amenazas o causa de los riesgos. Los controles para minimizar los riesgos. Los responsables en los Procesos. La evaluación de los elementos de los riesgos.

10. Los riesgos pueden se ocasionados por parte de: Personas internas y externas de la Organización. Desastres naturales. Servicios y trabajos no confiables e imperfectos.

11. Prevención de los Riesgos Es conocer las vulnerabilidades de la empresa y su impacto. Para llevar una prevención se debe tomar una serie de medidas y controles en la organización.

12. CONTROLES

13. CASO PRÁCTICO La Universidad de UTPL (Universidad Técnica Particular de Loja) que se ubica en Ecuador tomo una seria de medidas para la prevención de riesgos en su Red LAN. Lo primero que hizo es identificar la información del usuario final: Estudiantes Empleados. Usuarios Especiales (Autoridades). Profesores. Personas externas.

14. Clasifico los riesgo como internos y externos.

15. Categorizó cualitativamente los niveles de criticidad según el porcentaje de impacto de riesgos.

17. En caso se detecte un riesgo alto, preparo una serie de medidas correctivas.

18. AMENAZAS “Un ataque no es mas que la realización de una amenaza”

19. DEFINICIÓN Se entiende por amenaza una condición del entorno del sistema de información (persona, máquina, suceso o idea) que, dada una oportunidad, podría dar lugar a que se produjese una violación de la seguridad (confidencialidad, integridad, disponibilidad o uso legítimo).

20. Las cuatro categorías generales de amenazas son las siguientes

21. INTERRUPCIÓN INTERCEPCIÓN MODIFICACIÓN FABRICACIÓN

22. Estos fenómenos pueden ser causados por: El usuario: causa del mayor problema ligado a la seguridad de un sistema informático (porque no le importa, no se da cuenta o a propósito). Programas maliciosos:Estos programas pueden ser un virus informático, un gusano informático, un troyano, una bomba lógica o un programa espía o Spyware. Un intruso: persona que consigue acceder a los datos o programas de los cuales no tiene acceso permitido (cracker) El personal interno de Sistemas: Las pujas de poder que llevan a disociaciones entre los sectores y soluciones incompatibles para la seguridad informática.

23. CASO PRÁCTICO INTRUSO-CRACKER Es cualquier persona o grupo de personas que viola la seguridad de un sistema informático; el cracker realiza la intrusión con fines de beneficio personal o para hacer daño.

24. “Nosotros somos Anonymous. Nosotros somos Legión. Nosotros no perdonamos. Nosotros no olvidamos. Esperen por nosotros.”

26. 2008: La iglesia de Scientology pidió a Youtube eliminar un vídeo de una entrevista al actor y miembro de la iglesia, Tom Cruise, que había sido publicado sin su permiso. Aunque el vídeo fue producido por la iglesia de Scientology, al parecer este no estaba hecho para la luz pública.

28. 2011 Las primeras organizaciones atacadas de forma sistemática fueron PayPal, Amazon, MasterCard y Visa, quienes habían decidido no tramitar ninguna donación hecha por sus usuarios si era para WikiLeaks. Stephen Colbert, comediante de sátira política estadounidense en Comedy Central, catalogó al grupo de Anonymous como “los perros guardianes de WikiLeaks” [obviamente de una forma satírica… inclusive algunos acusan de Colbert de apoyar este grupo]. Anonymous respondió amistosamente colocando la máscara de GuyFawkes durante una fracción de segundo sobre el rostro de Colbert en un próximo episodio. Es la primera vez que se ha registrado un ataque “hacker” en el cual se modifica el vídeo de un programa de televisión nacional. En febrero de 2011, la firma deseguridad H BGary Federal fue contratada por el gobierno federal de los Estados Unidos para infiltrar Anonymous. El 4 de abril de 2011, miles de usuarios del Playstation Network se toparon con que no podían ingresar a sus cuentas. Un video en Youtube por parte de Anonymous aclaró toda duda, asumiendo responsabilidad de estos ataques. La realidad es que hoy en día estamos viendo las primeras batallas de las guerras cibernéticas. Guerras donde la inteligencia, la data y la información son las armas de destrucción masiva, y Anonymous es el primer gran ejército, independientemente si estás de acuerdo con ellos o no.

29. Validación de entrada INYECCIÓN SQL:

30. Un código que se repetirá en miles de sitios Web es el de validaciones de usuario con su correspondiente formulario de login.Este siempre ha sido un foco de ataque vulnerable para las aplicaciones mal protegidas. Ya que el programa se sirve de campos introducidos por el usuario para lograr la consulta SQL final que extraerá la información del usuario. Esta sería una consulta normal y corriente donde se extraerían todos los datos del usuario y contraseña tecleado, pero que pasaría si el usuario consultante escribiese esto en los campos: Simplemente la cadena final quedaría así:

31. IMPACTO EN LAS TIC Internet Banda Ancha Telefonía Redes Sociales VOIP P2P E-mail Laptops TIC Comercio electrónico Video Juegos GPS Blogs Sistemas Operativos Video Conferencias MP3 Player Celulares

32. LAS TIC EN LA EDUCACIÓN… «Una Lap-Top por niño»

33. TIC EN LA MEDICINA

35. EQUIPO IRCAD/EITS

37. EJEMPLO TWITTER… AUDIENCIA : 100 millones de usuarios DEMOGRAFIA : Personas con edades de 20 – 30 años (económicamente activas)

38. 20 primeras empresas que mejor usan twitter 1. Coca-Cola (alimentación) @cocaCola2. Starbucks (restauración) @StArBuCkS3. Disney (entretenimiento) @DisneyPIctures4. Victoria’sSecret (moda) @victoriasSecret5. iTunes (entretenimiento) @iTunesTrailers6. Vitaminwater (alimentación) @hydrationnation7. YouTube (entretenimiento) @youtube8. Chick-fil-A (restauración) @Chickfila9. Red Bull (alimentación) @redbull10. T.G.I. Friday’s (restauración) @tgifridayscorp 11. Skittles (alimentación) @skittles12. Dunkin’ Donuts (restauración) @Dunkindonuts13. BestBuy (tiendas) @Bestbuy14. NBA (deportes) @nba15. Adidas Originals (moda) @adi_originals16. Kellogg’s Pop Tarts (alimentación) @KelloggsPopTart17. KrispyKreme (alimentación) @hotnow18. Mountain Dew (alimentación) @mtn_Dew19. JCPenney (tiendas) @JcPenney20. Papa John’s (restauración) @Papajohns

39. EJEMPLO FACEBOOK… AUDIENCIA : 500 millones de usuarios DEMOGRAFIA : Personas con edades de 20 – 30 años (económicamente activas)

41. Crear una pagina empresarial en FACEBOOK 1 o 2

42. 3 4

43. 5

44. 6

45. VULNERABILIDAD

46. VULNERABILIDAD Vulnerabilidad es una debilidad en un sistema permitiendo a un atacante violar la confidencialidad, integridad, disponibilidad, control de acceso y consistencia del sistema o de sus datos y aplicaciones. Las vulnerabilidades son el resultado de bugs o de fallos en el diseño del sistema. Aunque, en un sentido más amplio, también pueden ser el resultado de las propias limitaciones tecnológicas, porque, en principio, no existe sistema 100% seguro.

47. ¿COMO EVITARLAS? Actualice o chequee las actualizaciones cada cierto tiempo, pues eso permite casi adelantarse a cualquier peligro que se aproveche de la vulnerabilidad. No caer en trampas obvias como correos spam diciéndote que ganaste la lotería en un país que ni siquiera conoces Si vas a descargar música, libros, programas ejecutables, etc. procura hacerlo solo de fuentes confiables Para la mayoría de los usuarios de internet estas simples recomendaciones serán suficientes y útil.

48. TIPOS DE VULNERABILIDADES

49. De configuración EJEMPLO PRÁCTICO: ASIGNACION DE IP’s POR NUESTROS PROVEEDORES.-

50. Imaginemos que, por los motivos que fueran, un atacante quisiera atacar o husmear una serie de equipos que se encuentran en una zona física determinada (una misma calle por ejemplo). Hoy en día, la mayoría de la gente que se conecta a internet lo hace a través de un router, que tiene una IP dinámica. Pero esa ip no va cambiando aleatoriamente, sino que lo hace dentro de un rango determinado. Además, ese rango suele ser compartido con otros routers que tengan contratada la misma compañía y estén en la misma zona física.

51. Para sorpresa, tenemos un router que por lo que nos cuenta una revisión a google, es (o era) instalado por ONO, y se aprecia estar bastante abierto. Como primer paso, obtengo la IP de un equipo del barrio/calle a observar. Usamos el nmap, y encontramos lo siguiente:

52. Y lo que es mas, un escaneo de vulnerabilidades por parte de NESSUS revela lo siguiente: El router no solo tiene los puertos abiertos para una configuración externa, sino que lleva el set usuario: password por defecto (nada:admin). Definitivamente es muy vulnerable.

53. Luego, al tener lo necesario se accesaa la interfaz del router. Nos centraremos en acceder por el puerto 8080 desde el navegador, donde nos encontramos lo siguiente: Ahora, las opciones son numerosas, como puedes imaginar. En resumen, su router ahora es nuestro.

54. Ahora viene lo realmente importante;Usamos el NMAP y escaneamos por un rango de ip’s cercanas al amigo: Resultado:“22 ROUTERS CON EL MISMO ERROR GARRAFAL DE SEGURIDAD”.

55. ¿Cuál es la razón? Muy sencillo. Toda esta gente, al ser de la misma zona. Contrató su conexión a internet en la misma época (por una oferta, por una campaña comercial, etc), y por tanto tienen un equipo y configuración muy similares. En resumen: Tenemos acceso pleno a 22 routers, aunque no a los ordenadores que hay detrás. Sabemos que están en la misma zona y tienen contratada la misma compañía.

56. Accedemos por el navegador y revisamos la tabla DHCP. Esto nos permite, entre otras cosas, ver los nombres de los equipos que están o han estado conectados en la red interna del router.He aquí algunas de las piezas de información que se pueden encontrar:

57. Como se puede apreciar, esto nos permite identificar nombres de los usuarios, deducir donde estamos accediendo (esa segunda captura, por ejemplo, parece una tienda), y muchas cosas más. En uno de los casos, la PC llevaba el nombre de la empresa a la que pertenecía, con lo que desde google se puede rastrear su dirección y datos.

58. RESUMEN Con esto queda demostrado el uso que se le puede dar a la relación rangos ip - cercanía física, y la gran vulnerabilidad a la que puede estar sometida. Este ataque podría dar más de sí, podría, por ejemplo: Tumbar el router y dejar a la victima sin conexión. Escanear remotamente las redes wifi de la zona, lo cual puede ser útil para situar donde esta nuestra red exactamente. Eliminar la protección WEP/WAP de la red inalámbrica, para poder acercarnos con el portátil y entrar en la LAN sin necesidad de crackearla (y una vez en la LAN, los demás equipos conectados caerían mucho más fácilmente).

59. Probabilidad de Ocurrencia Dice que la probabilidad de ocurrencia de un evento es el grado de creencia por parte de un individuo de que un evento ocurra, basado en toda la evidencia a su disposición. Las medidas de seguridad tienen como objetivo principal preservar la integridad de las personas y de los bienes.

60. Seguridad Preventiva: que reduce la probabilidad de ocurrencia de eventos no deseados y reduce las consecuencias en caso de llegar a ocurrir dicho evento, que puede ocurrir a pesar de las medidas preventivas. Seguridad Reactiva: que se activa una vez ocurrido el evento no deseado, tiene como objetivo estructurar la organización para minimizar las consecuencias de lo ocurrido y permitir enfrentar el presente y futuro de la mejor forma.

61. Las autoridades estadounidenses han anunciado el que puede ser el mayor caso de robo informático de datos bancarios llevado en ese país. Más de 130 millones de números de tarjetas de crédito y débito fueron robados por un 'cracker' de 28 años de Miami y dos compinches rusos.

62. RECOMENDACIONES Espacio físico adecuado, recursos tecnológicos actualizados y suficientes. La organización debe contar con herramientas que ayuden a la correcta evaluación de los riesgos en los. Procesos informáticos y por medio de procedimientos de control se puede evaluar el desempeño de las TIC. Una recomendación es que todas las empresas u personas deberían tener las herramientas necesarias ya sean preventivas o reactivas para poder evitar el menor daño posible a su información o sistema La mayoría de estos incidentes, sino todos, podrían haberse evitado si las empresas y las instituciones implicadas hubiesen aplicado procedimientos de administración de datos más rigurosos.

63. CONCLUSIONES El conocimiento lleva al poder comprender los peligros existentes en nuestro mundo moderno y globalizado. Este constituye el primer paso para mantener la seguridad de nuestra identidad, nuestras posesiones y nuestras finanzas. Las reputaciones empresariales son tan sólidas como los procesos, las precauciones y las soluciones de protección implementadas para proteger los datos de la empresa y de los clientes. Las empresas tienen que hacer frente al coste creciente que supone garantizar el cumplimiento de sus políticas de datos. El impacto que produce la amenaza en la organización no depende de las características de la vulnerabilidad, sino del grado de criticidad de la parte del sistema informático en que puede llegar a actuar.

64. GRACIAS