Seguridad Informática, un reto para la Ingeniería del Software o una necesidad

Para este primer artículo quise tocar un tema que me llama mucho la atención y que es un gran reto para los Ingenieros de software y profesionales relacionados en este campo en cuál es la seguridad. Para esto quiero enfatizarme en el ciclo de vida del software el cual es utilizado por los ingenieros de software, arquitectos entre otros profesionales involucrados en la rama, pero que tan efectivo es la metodología usada por estos profesionales en los desarrollos de software que realizan, esto lo menciono porque la mayoría de profesionales en el campo del software nunca piensan en el tema de la seguridad sino en cumplir con su meta u objetivo a alcanzar, pero ¿que tan valido es este punto de vista? en esta época donde la seguridad a tomado mucha importancia para las empresas y personas consientes que saben que la información que manejan es de mayor importancia y no puede ser mostrada divulgada a todo el mundo. Con esto quiero recalcar que la seguridad es importante aplicarla al ciclo de vida del software para con el fin de tener calidad en los productos desarrollados y cumplir con los tres objetivos de la seguridad que son la integridad, confidencialidad y disponibilidad ya que en esta época la tecnología va creciendo donde y encontramos que la información que necesitan las personas ya es accesible desde internet, con esto quiero enfatizar que la seguridad debe ser aplicada en cada fase del ciclo de vida del software para no tener dificultades más adelante en el diseño, arquitectura, pruebas entre otros. Después de tocar este tema de mayor importancia por los profesionales de seguridad hay dos preguntas que siempre les realizo a los arquitectos y gerentes de proyectos. (Arquitecto) ¿En qué fase del ciclo de vida del software contemplan la seguridad? (Gerentes de Proyectos) ¿En los cronogramas donde se estima el tiempo para pruebas de seguridad? Para la primera pregunta la mayoría de arquitectos responde las pruebas son realizadas al final del desarrollo ya que en ese momento podemos detectar los bug y corregirlos, pues lastimosamente para estos arquitectos la respuesta es incorrecta ya que las pruebas de seguridad deben estar en cada fase del ciclo de vida del software ya que entre más temprano encontremos problemas de seguridad más rápido podemos abordarlas y tendremos menos costo. La segunda pregunta es una de mis favoritas porque la mayoría de gerentes de proyectos se queda callados como si les estuviera haciendo una pregunta para medirlos que tanto saben, pero no es así, esta pregunta la realizo porque en ningún cronograma que allá visto en mi vida como ingeniero de software exponen un tema...

Leer Más
El reemplazo de Milw0rm
Nov19

El reemplazo de Milw0rm

Mucho se ha hablado últimamente sobre milw0rm.com , que str0ke (su autor) había muerto, lo cual fue desmentido luego gracias a twitter, que el sitio seria mantenido por otro grupo de personas (aunque desde septiembre no se actualiza) y en medio de las dudas sobre el futuro de este proyecto han salido varios candidatos que pretenden servir de reemplazo como por ejemplo inj3ct0r.com que es una copia exacta de milw0rm.com a modo de mirror para tener un backup del sitio en caso que deje de funcionar definitivamente (si lo hace). En esta ocasión les voy a hablar del que a mi parecer será el sucesor de milw0rm y continuara con el legado dejado por str0ke, se trata de exploit-db.comt un portal que pretende ser una base de datos de exploits como lo era milw0rm pero con algunos beneficios que listare a continuación: Es mantenido por los desarrolladores de Ofensive Security, quienes nos han regalado ya alegrías como el famoso BackTrack/Kali Linux. El sistema de búsqueda ha sido mejorado. Ahora es posible descargar la aplicación a la que afecta el exploit, dando click en la letra [A], incentivando aun mas la investigación de los fallos explotados. Por estos motivos creo que explo.it es el nuevo Milw0rm y desde La Comunidad DragonJAR le damos todo el apoyo a este proyecto para que siga adelante, ¿conoces alguna otra alternativa? háznosla saber en los comentarios. ACTUALIZADO: Gracias al comentario de JiRuSoNu tenemos algunas otras alternativas Exploits DB https://threats.kaspersky.com/en/vulnerability/ http://cxsecurity.com/exploit/ http://www.exploit-db.com/ http://nvd.nist.gov/ http://secunia.com/advisories/historic/ http://www.securityhome.eu/ http://www.security-database.com/ http://www.packetstormsecurity.org/ Buscadores de Exploits http://sebug.net/...

Leer Más

¿Que Mirar Cuando Auditamos una Base de Datos Oracle?

Cuando se realiza una auditoria, siempre es recomendable seguir una serie de pasos para no pasar por algo ningún detalle que pueda resultar crucial para nuestra investigación, a continuación les dejo un pequeño listado de las cosas a las que debemos echarle una ojeada cuando auditamos una base de datos oracle. 1). Determinar si en la BD esta activo el modo de operación en ARCHIVELOG o NONARCHIVELOG. Si este no esta activo, la evidencia de ataque o cambios serán sobrescritos por un nuevo redo. Se puede determinar realizando una sentencia SQL a la BD: SELECT VALUE V$PARAMETER WHERE FROM NAME=’archiv_log_start’; 2). Análisis de los Oracle Data Blocks, para determinar: Registros eliminados Localizar bloques asignados a tablas (OBJETOS DE INTERÉS) Seguimiento de Objetos creados y eliminados Localización de tablas eliminadas Localización de Funciones eliminadas 3). Obtención del SID de la BD 4). Enumeración de usuarios SELECT USERID, ACTION#, RETURNCODE, TIMESTAMP# FROM SYS.AUD$; SELECT USERID, COMMENT$TEXT FROM SYS.AUD$; 5). Consultar Ataques de Fuerza bruta o Diccionario a cuentas de usuario SQL> SELECT USERID, ACTION#, RETURNCODE, TIMESTAMP# FROM SYS.AUD$; SELECT NAME, LCOUNT FROM USER$ WHERE LCOUNT>0; SELECT NAME, LTIME FROM USER$ WHERE ASTATUS = 4; 6). Consulta de Ataques de Fuerza Bruta a la cuenta SYS 7). Consulta de intentos del exploit AUTH_ALTER_SESSION SELECT USERID, ACTION#, RETURNCODE, TIMESTAMP# FROM SYS.AUD$; 8). Consulta de intentos de iniciar una sesiÛn la base de datos a travÈs de XML (XDB) SELECT USERID, ACTION#, RETURNCODE, TIMESTAMP# FROM SYS.AUD$; SELECT COMMENT$TEXT FROM SYS.AUD$ WHERE USERID = ‘DBSNMP’; SELECT TERMINAL,SPARE1,TIMESTAMP# FROM SYS.AUD$ WHERE USERID=’DBSNMP’; 9). Consulta si la Auditoria esta habilitada SELECT USER_ID, SESSION_ID, SAMPLE_TIME FROM SYS.WRH$_ACTIVE_SESSION_HISTORY ORDER BY SAMPLE_TIME; SELECT USERID, ACTION#, RETURNCODE, TIMESTAMP# FROM SYS.AUD$; SELECT USERID,ACTION#,TIMESTAMP#,LOGOFF$TIME FROM AUD$; 10). Consulta del archivo sqlnet.log,Agntsrvc.log, spfilesid.ora, o el init.ora todas las ubicaciones referentes a estos parámetros: audit_file_dest        ——-> Sistema de Auditoria (ORACLE_HOME/rdbms/audit) background_dump_dest    ——-> archivo alert.log y tracer de procesos ($ORACLE_HOME/admin/$ORACLE_SID/bdump) core_dump_dest        ——-> archivos Oracle core dump ($ORACLE_HOME/DBS/) db_recovery_file_dest    ——-> redo logs, flashback logs, y RMAN backups user_dump_dest        ——-> Archivos trace debuggin procesos/usuarios (/oracle/utrc) utl_file_dir        ——-> Especifica uno o m·s directorios que Oracle debe utilizar para PL/SQL archivos E/S. control_files        ——-> Especifica uno o varios nombres de archivos de control de Oracle db_create_file_dest    ——-> Especifica la ubicación predeterminada de archivos de datos administrados por Oracle. db_create_online_log_dest_n—-> Especifica la ubicación de los redo logs y file control log_archive_dest    ——-> Es aplicable solo si la BD esta en modo de ARCHIVELOG log_archive_dest_n    ——-> Define hasta 10 archivos de registros logs. 11). Consulta de archivos Log Listener (ORACLE_HOME/network/admin/listener.ora) (lsnrctl status me dara la ubicación actual) 12). Revisión de los LOGS de sentencias(SQL $ORACLE_HOME/bin/LOGIN.SQL,$ORACLE_HOME/dbs/LOGIN.SQL,$ORACLE_HOME/SQLPlus/admin/glogin.sql) 13). Consultando...

Leer Más

Browser Ride – Explota tu Navegador

Browser Rider es un framework de hacking para construir payloads que explotan el navegador. El objetivo del proyecto es proporcionar una interfaz simple, potente y flexible para cualquier exploit de cara al cliente. Browser Rider no es un concepto nuevo. Herramientas similares, tales como BeEF o Backframe explotan el mismo concepto. Sin embargo, la mayoría de las otras alternativas a Browser Rider están abandonadas, no se actualizan y no están documentadas. Browser Rider quiere llenar esos vacios, proporcionando una mejor alternativa… Características: Cree fácilmente payloads y plugin Gestionar automáticamente los payloads con plugins Todos los datos pueden ser guardados en una base de datos Ofuscación Polimorfismo Control de más de un zombi (cliente) al tiempo Panel de administración simple Requerimientos Técnicos: PHP 5, con json instalado MySQL Apache con url_rewrite Objetivos deben tener activado el Javascript Demostración: Para probar el browser ride, primero habra esta página en una nueva ventana y no la cierre. Ahora habra el panel de administración y vera su IP en la lista de zombis. Descargar: Browser Rider v20081124 Browser Rider v20080908 Browser Rider v20080627 beta Más Información: Pagina Oficial del Browser...

Leer Más

Nueva Clase de Vulnerabilidad en Bases de Datos SQL

Martin McKeay e Ivan Arce, CTO de Core Security  hablan en este video de una nueva clase de vulnerabilidad en SQL que depende de un algoritmo común en la mayoría de las bases de datos SQL (MySQL, MS SQL, ect…). Esto seguido de una charla que dio Ivan en el Black Hat describiendo la naturaleza de esta vulnerabilidad y como podría usarse en el...

Leer Más

Siguenos!

O Puedes Subscribete

ANTES DE

SALIRTE ...

NO TE

ARREPENTIRÁS

!Gracias¡

NO OLVIDES NUESTRAS REDES SOCIALES