Diccionario básico para no perderte con los términos de ciberseguridad

Ciberseguridad
▸ conjunto de servicios, mecanismos y políticas que aseguran que el modo de operación de un sistema informático sea seguro, tanto el que se especificó en su fase de diseño, como el que se configuró en tiempo de administración o de uso.


Se utilizan sistemas de información y comuniaciones en toda la administración pública, en las instituciones educativas y sanitarias y en las agencias tributarias.
También dependen de este tipo de insfraestructuras tecnológicas las instituciones financieras, las empresas, tanto las grandes corporaciones como las pequeñas y las fábricas.
Por lo tanto, la ciberseguridad afecta a cualquier actividad económica.

En una sociedad tecnológica y en red como la actual, la ciberseguridad afecta prácticamente a todas las facetas de la vida cotidiana de personas, organizaciones y gobiernos. La ciberseguridad nos protege, no sólo de ataques intencionados, sino de accidentes provocados por catástrofes naturales, descuidos de empleados sin mala intención, etc.

A continuación, vamos a definir algunos de los términos relacionados con la seguridad informática o seguridad de tecnologías de la información, acompañados con vídeos explicativos.

Amenaza

Acción que podría tener un potencial efecto negativo sobre un activo. Es decir, una amenaza es cualquier cosa que pueda salir mal.
Hay que tener en cuenta que una amenaza por sí misma no provoca un daño, pero podría provocarlo.
Las amenazas se comprenden mejor si se clasifican atendiendo a cómo pueden dañar a un activo: esencialmente, pueden afectar a su disponibilidad, a su confidencialidad o su integridad (también pueden saltarse el control de acceso).

Estos serían algunos ejemplos de amanezas:
√ Virus informáticos y malware en general.
√ Daños físicos en los equipos y centros de datos (intencionados o por desastres naturales).
√ Pérdida o robo de portátiles y dispositivos móviles.
√ Brechas de datos.
√ Denegaciones de servicio.
√ Robo de identidad/credenciales.

Botnets

Redes de equipos infectados con algún tipo de malware que permite a los atacantes controlarlos de manera remota.

Computer Security Incident Response Team (CSIRT)

El Equipo de Respuesta ante Emergencias Informáticas es un centro de respuesta a incidentes de seguridad en tecnologías de la información.

Cuando se produce un incidente de seguridad, este equipo debe:
√ Realizar una evaluación inicial.
√ Contener los daños con una respuesta inicial y minimizar el riesgo.
√ Reunir y proteger pruebas forenses (que incluyan el factor humano, ya que se está respondiendo al incidente completo, es decir, importa quién ha realizado el ataque y por qué).
√ Implementar una solución temporal.
√ Comunicar el incidente dentro y fuera de la organización.
√ Consultar/notificar a las autoridades pertinentes.
√ Obtener lecciones aprendidas y documentar el incidente.
√ Implementar soluciones permanentes y determinar la repercusión financiera o para la reputación del negocio que ha tenido el incidente.

Deep Web
(Internet Profunda)

El anonimato, que permite al atacante ocultar su identidad y borrar sus huellas, puede conseguirse físicamente, mediante el uso de bouncer o proxy o utilizando la deep web.
Se basa en proyectos como TOR (The Onion Router), I2P o Freenet.
El más conocido y utilizado es todavía TOR, aunque las últimas noticias (desde las revelaciones de Snowden) han hecho sospechar a la comunidad hacker que esta red ya no es tan anónima como cabía pensar.

El objetivo principal de este proyecto y de otros similares fue el desarrollo de una red de comunicaciones distribuida superpuesta sobre Internet en la que el encaminamiento de los mensajes intercambiados entre los usuarios no revela su identidad (su dirección IP) garantizando además la integridad y confidencialidad de estos mensajes.

Encriptación

Desde el punto de vista de la protección del malware para evitar ser detectado y analizado, se trata de una técnica que hace uso de la criptografía para cifrar el código del malware y que no pueda ser leído ni manipulado.
Para realizar sus actividades, el malware tiene que descomprimirse o descifrarse a sí mismo y cuando ha finalizado, volverse a comprimir o a cifrar.
Se utiliza junto a técnicas como la compresión (packing) cuyo objetivo es reducir el tamaño del código ejecutable.

Footprinting
(Open Source Intelligence)

Fase de recogida de información realizada en medios o fuentes de acceso público: web, redes sociales, foros, prensa, BOE, archivos históricos de la web (como archive.org), etc.
Para esta fase los buscadores son tremendamente potentes, en concreto se utilizan mucho Google (como buscador genérico), Shodan (como buscador de todo tipo de dispositivos conectados a Internet) y NameCHK (como buscador de dominios y nombres de usuario en diferentes servicios).

Gusano

Es un software con entidad propia.
Tiene capacidad de replicación y de propagación a través de la red sin necesidad de intervención humada, por lo que el vector de infección siempre está relacionado con la conexión a la red.
Casi siempre aprovechan vulnerabilidades de las aplicaciones y/o del sistema operativo.

Honeynet

Mecanismo de defensa de nuestra red que permite realizar una traza de los diferentes puntos de origen de los ataques y recolectar información sobre las tácticas y herramientas utilizadas por los atacantes. Estas herramientas son muy útiles para aprender acerca de los ataques zero-day e incluso para detectarlos a tiempo.

Ingeniería Social
(Social Engineering)

Es una combinación de ciencia, psicología y arte, por la que se intenta influir o manipular a una persona para que lleve a cabo acciones o facilite información confidencial, normalmente en contra de sus intereses.

Se trata habitualmente de técnicas psicológicas que combinadas con ciertas habilidades sociales se aprovechan de la buena (o mala) fe de las personas de dentro de una organización, para que realicen determinadas acciones (como por ejemplo instalar software malicioso) u obtener de ellas información o acceso a zonas restringidas, y poder así llevar a cabo un ataque con éxito.
También se conoce como “hackear a la persona” (human hacking).

Janus
(Man in the Middle)

Patrón de ataque típico que se construye sobre un envenenamiento y suplantación ARP (Address Resolution Protocol) permitiendo interceptar/modificar todas las comunicaciones entre dos equipos que se encuentren en el mismo segmento de red que el atacante (o entre un equipo y su puerta de enlace).

Kali Linux

Distribución basada en Debian GNU/Linux diseñada principalmente para la auditoría y seguridad informática en general.
Fue fundada y es mantenida por Offensive Security Ltd. Mati Aharoni y Devon Kearns, ambos pertenecientes al equipo de Offensive Security.

Laziok

Es una de las APTs (Amenazas Persistentes y Avanzadas) ocurrida en el año 2015 cuyo objetivo fué robar información de entornos industriales e infraestructuras críticas en el sector petrolífero y gas de países de Europa del Este.

El término APT se utiliza para para describir una amenaza dirigida a una determinada persona, organización, gobierno o incluso país, que se caracteriza por ser avanzada, persistente en el tiempo, sofisticada, y normalmente organizada y financiada.

Metadatos

Información públicamente accesible.

Ejemplos:
√ Información acerca del autor de un documento colgado en una página web (lo que proporciona un nombre de usuario).
√ Información de la aplicación empleada para editarlo (información acerca de SO, versiones, etc.).
√ Información acerca de direcciones IP de estaciones de trabajo, servidores o impresoras.
√ Información de geo-localización, por ejemplo en el caso de fotografías.

Si no se eliminan adecuadamente, prácticamente todos los formatos de ficheros incorporan este tipo de metadatos (MS Office y OpenOffice, pdf, ps y eps) y casi todos los formatos de imágenes, gráficos y fotografías.

Network-Based Intrusion Detection Systems (NIDS)

Son sistemas de detección y prevención de intrusos (IDPS) formados por dispositivos que capturan todo el tráfico de la red y lo analizan para buscar patrones de ataque.
Intentan complementar la labor de los firewall, tratando de detectar aquellos ataques que se les han pasado a estos.

Su principal ventaja es su bajo coste y fácil instalación, y que no interfiere con la red, sin embargo le costará analizar grandes cantidades de datos en tiempo real o si estos van cifrados.
Habría que situar un sensor en cada segmento de red para poder analizar el tráfico completo.

Overflow

Ataque por desbordamiento que aprovecha una vulnerabilidad del software que permite ejecutar cualquier código en el sistema vulnerable, con los mismos permisos que la aplicación que presenta la vulnerabilidad por no comprobar el tamaño de los parámetros que se pasan a una función o procedimiento en tiempo real.

¿Qué tipo de aplicaciones pueden ser vulnerables a este tipo de ataques?
En principio, cualquiera que utilice un buffer en memoria, que no compruebe adecuadamente el tamaño de los parámetros que se escriben en ese buffer y que ponga a disposición del atacante un vector que le permita acceder a estos parámetros para manipularlos según sus objetivos.

Payload

Carga útil o parte de un programa (malware) que realiza acciones maliciosas como eliminar datos, cifrar datos, enviar spam, sobre-escritura de disco, reemplazo de la BIOS, etc.

Query Injection
(Inyección SQL)

Es el tipo de ataque de inyección más conocido (aunque también se pueden realizar ataques por inyección con LDAP o con XPath, por mencionar algún ejemplo más) y permite que un atacante añada a una consulta SQL legítima, sentencias SQL que le permitan conseguir sus objetivos.

SQL (Structured Query Language) es un lenguaje declarativo de acceso a bases de datos relacionales, que permite efectuar consultas, y en general, interactuar con esta bases de datos de manera sencilla.

Riesgo

En el ámbito de la ciberseguridad, podemos definir el riesgo como la probabilidad de que ocurra un incidente de seguridad.
Como el riesgo no es más que una probabilidad, se puede medir y se suele cuantificar con un número entre 0 y 1 o con un porcentaje.

Ejemplos:
√ "estamos corriendo un riesgo alto de sufrir una brecha de datos" (riesgo 90).
√ "el riesgo de sufrir una denegación de servicio es bajo" (riesgo 10).

Sniffing

Técnica que permite capturar todos los datos que circulan por una red de área local (no es necesariamente una técnica maliciosa, se utiliza en muchos casos para administrar la red, mejorar su rendimiento, analizar cuellos de botella, etc.).
Para su realización se utilizan herramientas específicas, los sniffers.

Este tipo de software configura las tarjetas de red para que trabajen en modo promiscuo. Es decir, para que capturen y procesen todo el tráfico aunque no vaya dirigido específicamente a ellas.

Troyano

Software autónomo que se camufla en/como aplicaciones o ficheros “normales”.
En muchos casos se propagan junto con gusanos.

Su principal objetivo es ocultarse (obviamente todo el malware es oculto ya que intenta no ser detectado, pero en algunos casos es su principal objetivo y por eso se distingue esta categoría) y proporcionar acceso no autorizado al sistema infectado (RAT o Remote Access Trojan).

Update
(key)

Proceso criptográfico automático o manual que modifica de manera irreversible el estado de una clave, equipo, dispositivo o sistema COMSEC (del inglés Communications Security o Seguridad de las Comunicaciones).

Vulnerabilidad

Para que se produzca un daño es necesario que exista una debilidad o fallo en el sistema que permita que se materialice una amenaza.
Estas debilidades, fallos o “agujeros de seguridad” son las vulnerabilidades, que pueden ser de diferente naturaleza, de diseño, de arquitectura y configuración, de estándares de uso y procedimientos, etc.

Ejemplos:
√ Formulario web que no comprueba los parámetros introducidos por el usuario.
√ Mala ubicación de un servidor de base de datos dentro de la red corporativa.
√ Hardware obsoleto y sistemas operativos sin actualizar.
√ Ausencia de copias de seguridad.
√ Cuentas de usuario mal configuradas.

Whaling

Es una versión de phising que tiene como objetivo los directivos de la empresa, de manera que al igual que con el spear-phishing se personalizan mucho más las comunicaciones que se envían en lugar de hacer envíos masivos.
Este tipo de técnica suele tener una alta probabilidad de éxito ya que los directivos no suelen asistir a las sesiones de concienciación o de formación que se organizan para los empleados.

Xss
(Cross Site Scripting)

Ataque por forgery o falsificación que pretende crear, imitar o adaptar un entorno, aplicación o servicio real con el propósito de engañar a la víctima con intenciones maliciosas, casi siempre, que se ejecute algún tipo de script en el contexto de su navegador.

Yottabyte

Unidad de almacenamiento de información que equivale a 1000 zettabytes o 10^24 bytes (1,208,925,819,614,629,174,706,176 bytes).
Su símbolo es YB y es el mayor valor de almacenamiento reconocido.

Zero day
(0-day)

Se conoce como vulnerabilidad de zero day o 0-day (vulnerabilidad de día 0) a la situación que aparece cuando sólo una persona (o muy pocas personas) conocen una vulnerabilidad y están en una situación de ventaja para poder explotarla.
Es decir, la persona que ha encontrado la vulnerabilidad no la ha hecho pública, de modo que ni el fabricante ni los administradores/usuarios son conocedores del problema.

Los atacantes más avanzados suelen dejar de explotar una vulnerabilidad de día cero una vez que esta se hace pública y se remedia, para evitar ser detectados, buscan emplear una vulnerabilidad alternativa.

Información extraída del curso "Ciberseguridad. Entender los ataques para desplegar contramedidas" impartido por la Universidad Rey Juan Carlos a través de la plataforma online MiríadaX

Certificado de superación: https://certificados.miriadax.net/7bgzzfin

Jose Maria Acuña Morgado - Desarrollador Web