Aplicaciones web legacy: la puerta trasera de los hackers

Las aplicaciones web legacy son aquellas desarrolladas hace años, que siguen siendo vitales para el negocio, pero basadas en tecnologías antiguas como ASP, PHP añejo, Javascript obsoleto, bases de datos sin encryptar, etc.

Muchas compañías dependen de estas aplicaciones web críticas, que son verdaderos dinosaurios tecnológicos. Esto genera graves riesgos de ciberseguridad que los equipos de TI a menudo ignoran.

Riesgos de las aplicaciones web legacy

Algunos de los principales riesgos de las apps web legacy son:

• Vulnerabilidades sin parchear: bugs, inyección SQL, cross site scripting, etc.
• Autenticación débil: basada en cookies, sin encryptar, débil gestión de sesiones.
• Servidores y sistemas operativos desactualizados: Windows Server 2003, Unix antiguo.
• Protocolos no seguros: HTTP, FTP, SMTP, POP3, Telnet. Sin uso de SSL/TLS.
• Interfaces de administración expuestas: accesibles desde internet sin seguridad.
• Imposible monitoreo de logs y events de seguridad.
• Desarrolladores originales ya no se encuentran en la compañía. Nadie entiende el código.
• Cumplimiento regulatorio nulo: no siguen estándares como GDPR, PCI DSS, etc.

Todo esto convierte a las apps web legacy en objetivos fáciles de atacar para los hackers, poniendo en riesgo la confidencialidad, integridad y disponibilidad de los activos empresariales.

Recomendaciones

Para mitigar estos riesgos, se recomienda:

• Realizar auditorías de seguridad y testing de penetración en estas aplicaciones.
• Implementar controles compensatorios: cortafuegos, IPS/IDS, Web Application Firewall.
• Monitorear y registrar toda la actividad para análisis forense.
• Desarrollar e implementar un plan para re-plataformar las apps web legacy a tecnologías modernas seguras.

Las compañías no pueden seguir postergando la modernización de estas aplicaciones web críticas si desean evitar desastres de ciberseguridad. Deben asumir este reto como una prioridad estratégica.

La importancia de la gestión de la seguridad de dispositivos móviles en la empresa

La gestión de la seguridad de los dispositivos móviles es un tema crítico en la actualidad, ya que cada vez más empresas dependen de estos dispositivos para realizar sus operaciones diarias. La seguridad de los dispositivos móviles es importante porque estos dispositivos pueden contener información confidencial y sensible de la empresa, como correos electrónicos, contactos, calendarios y datos de clientes. Además, los dispositivos móviles pueden ser vulnerables a ataques cibernéticos, lo que puede poner en riesgo la seguridad de la empresa.

Para abordar estos desafíos, el Instituto Nacional de Estándares y Tecnología (NIST) ha publicado una guía de gestión de la seguridad de los dispositivos móviles en la empresa. Esta guía proporciona información y recomendaciones para garantizar la seguridad de los dispositivos móviles en las organizaciones.

La guía de NIST comienza con una descripción general de los dispositivos móviles, incluyendo su definición, características y componentes. Luego, identifica las amenazas a la empresa asociadas con el uso de dispositivos móviles, como la explotación de vulnerabilidades subyacentes en los dispositivos, la pérdida o el robo de dispositivos, la explotación de vulnerabilidades en la cadena de suministro y el acceso a recursos empresariales a través de dispositivos mal configurados.

La guía de NIST también proporciona recomendaciones para la gestión de dispositivos móviles, incluyendo la implementación de políticas de gestión de dispositivos móviles, la selección de tecnologías de seguridad móvil y la implementación de medidas de mitigación y contramedidas para abordar las amenazas identificadas.

La implementación de políticas de gestión de dispositivos móviles es esencial para garantizar la seguridad de los dispositivos móviles en la empresa. Las políticas de gestión de dispositivos móviles deben incluir la selección de dispositivos móviles seguros, la implementación de medidas de seguridad, como la autenticación de usuarios y la encriptación de datos, y la gestión de dispositivos perdidos o robados.

La selección de tecnologías de seguridad móvil también es importante para garantizar la seguridad de los dispositivos móviles en la empresa. Las tecnologías de seguridad móvil pueden incluir soluciones de gestión de dispositivos móviles (MDM), soluciones de seguridad de aplicaciones móviles (MAS) y soluciones de seguridad de red móvil (MNS). Estas soluciones pueden ayudar a proteger los dispositivos móviles de amenazas como malware, ataques de phishing y ataques de red.

Además, la implementación de medidas de mitigación y contramedidas es esencial para abordar las amenazas identificadas. Estas medidas pueden incluir la implementación de políticas de seguridad de red, la implementación de medidas de seguridad física, como el bloqueo de pantalla y la eliminación remota de datos, y la implementación de medidas de seguridad de aplicaciones, como la autenticación de usuarios y la encriptación de datos.

En resumen, la gestión de la seguridad de los dispositivos móviles es esencial para garantizar la seguridad de la empresa. La guía de NIST proporciona información y recomendaciones para garantizar la seguridad de los dispositivos móviles en las organizaciones. La implementación de políticas de gestión de dispositivos móviles, la selección de tecnologías de seguridad móvil y la implementación de medidas de mitigación y contramedidas son esenciales para abordar las amenazas identificadas. Al seguir estas recomendaciones, las empresas pueden garantizar la seguridad de sus dispositivos móviles y proteger la información confidencial y sensible de la empresa.

Puedes acceder a la guía suministrada por el NIST en este link: Guidelines for Managing the Security of Mobile Devices in the Enterprise

Proteja su información: aprenda a detectar y defenderse de los cinco ataques más comunes en ingeniería social

 La ingeniería social es una técnica utilizada por los delincuentes cibernéticos para obtener información confidencial a través de engaños y manipulación psicológica. A continuación, se presentan los cinco ataques más frecuentes utilizados en ingeniería social y cómo defenderse de ellos:

1. Phishing: Es un ataque en el que el delincuente se hace pasar por una empresa o entidad de confianza para obtener información confidencial del usuario, como contraseñas o información financiera. Para defenderse de este ataque, es importante verificar la dirección web antes de ingresar información y no hacer clic en enlaces sospechosos.
2. Spear Phishing: Es similar al phishing, pero dirigido a una persona o empresa específica. El delincuente se hace pasar por un colega o amigo cercano para obtener información confidencial. Para prevenir este ataque, es importante confirmar la identidad del remitente antes de proporcionar información.
3. Pretexto: Este ataque implica que el delincuente se hace pasar por un representante de una entidad confiable, como un proveedor de servicios, para obtener información del usuario. La mejor manera de defenderse de este ataque es verificar la identidad del representante antes de proporcionar cualquier información.
4. Ingeniería social inversa: Este ataque implica que el delincuente se hace pasar por un empleado o proveedor de servicios y se dirige a un empleado de la empresa para obtener información confidencial. La mejor manera de defenderse de este ataque es confirmar la identidad del solicitante antes de proporcionar información.
5. Ataque de cebo: Este ataque implica que el delincuente coloca un dispositivo USB o un enlace malicioso en un lugar visible para que alguien lo encuentre y lo utilice. Para prevenir este ataque, es importante no utilizar dispositivos USB desconocidos y verificar la dirección web antes de ingresar información.

Para evitar caer en estos ataques, es fundamental capacitar a los empleados sobre la importancia de la seguridad de la información, implementar políticas de seguridad y mantener actualizado el software de seguridad.

NIST CSF 2.0: La guía completa para gestionar ciberseguridad

El Marco de Ciberseguridad del NIST (NIST Cybersecurity Framework o NIST CSF) es una herramienta clave desarrollada por el Instituto Nacional de Estándares y Tecnología de Estados Unidos para promover la gestión de riesgos de ciberseguridad. Publicado originalmente en 2014 y actualizado a la versión 2.0 en 2018, el NIST CSF se ha convertido en un referente mundial para organizaciones de todos los sectores y tamaños. Su adopción, si bien voluntaria, trae múltiples beneficios para elevar el nivel de ciberseguridad y resiliencia.

El NIST CSF presenta una estructura organizada en funciones, categorías y subcategorías que engloban buenas prácticas de ciberseguridad. Las 5 funciones centrales son: Identificar, Proteger, Detectar, Responder y Recuperar. Adicionalmente, contempla las funciones de Gobernanza y Gestión de Riesgos.

• La función Identificar abarca el conocimiento contextual necesario para gestionar riesgos de ciberseguridad en una organización. Incluye activos, gobernanza, evaluación de riesgos e impacto al negocio.
• La función Proteger cubre los controles y procesos para garantizar la entrega de infraestructura y servicios críticos. Desde protección de datos hasta gestión de identidades o mantenimiento.
• Detectar enfoca actividades para identificar la ocurrencia de un evento de ciberseguridad ya sea de forma proactiva o a través de alertas y monitoreo.
• La función Responder define las acciones para actuar ante un incidente detectado. Desde análisis forense hasta comunicaciones, mitigación de impactos y mejoras.
• Recuperar busca restablecer los sistemas o activos afectados por un incidente para reanudar procesos críticos del negocio.

La versión 2.0 del NIST CSF amplía el enfoque en la gestión de riesgos, privacidad y suministro externo. Además, mejora la usabilidad, claridad y mensurabilidad de los componentes del marco para facilitar su implementación, especialmente en pequeñas empresas.

La flexibilidad del NIST CSF permite adaptarlo a las necesidades específicas de cada organización y su nivel de madurez en ciberseguridad. Mediante la definición de Perfiles, las empresas pueden personalizar el marco e identificar áreas de mejora en sus programas de ciber-riesgo. La adopción del NIST CSF promueve un lenguaje común y cultura de ciberseguridad, así como la mejora continua.