Aunque digan que soy, Windolero donde voy....

Uno de los sitios que mas me gusta para obtener información es Twitter, casi todos los profesionales de seguridad publican "en que andan metidos" con el enlace correspondiente, es una buena forma de aprender.

Además por lo general suele haber muy buen ambiente, los viernes es típico recomendar #FF tus sitios favoritos, y puedes conocer y seguir trabajos de otros compañeros.

Este Viernes un buen amigo @enriquegmv al que recomiendo seguir en Comandante Linux.

Me decía Windolero, en esta polémica lucha de Sistemas, que por otra parte, fomento y disfruto siempre y cuando sea de forma respetuosa y en favor del conocimiento o de echarnos unas risas.

Así que se me ocurrió la idea de hacer una pequeña historia defendiendo mi postura, empezando por poner un vídeo para ambientar un poco la presentación.

Uno de los argumentos en contra de los Sistemas Microsoft seria la poca capacidad de interactuar, modificar o personalizar el sistema, además de la creencia de que ese sistema se conoce o configura de forma sencilla.

Hay implementaciones de un Server 2008 en las que un Step by Step te ocupa 60 o 70 paginas.

Configuraciones de un sistema con muchas funcionalidades y servicios desconocidos y poco utilizados.

La posibilidad de interactuar con el sistema es enorme, mediante cmd o power shell, de hecho algunas operaciones sobre el sistema se tienen que implementar mediante el editor adsi, cmd o power shell.

No hay mas que ver como realizas un filtro en una directiva(GPO) con la misma estructura de cualquier query.

Los elementos y atributos del directorio activo pueden ser consultados, creados o modificados desde cmd y la apuesta de Microsoft por Power Shell esta patente en Windows8 y Server2012.

Al final cuando conoces de forma mas completa un Sistema Operativo te das cuenta de que hoy en día ningún sistema es sencillo y tiene muchisimos aspectos que debemos estudiar para poder mejorar su funcionamiento y seguridad.

En mi caso personal estoy dedicando muchas horas este año a conocer los sistemas de Microsoft, gracias a las certificaciones y libros de Informatica64 como Análisis Forense o Máxima Seguridad en entornos Windows.

Y creo que merece la pena, solo si conoces y entiendes un sistema puedes mejorar los distintos aspectos de su seguridad en cada una de las funciones o roles que utiliza esa maquina.

 

Así que espero poder seguir aprendiendo de Sistemas Microsoft mucho tiempo aunque me llamen Windolero, eso no quiere decir que también quiero invertir tiempo en mejorar mis conocimientos de gnu/linux que considero un excelente sistema operativo imprescindible para muchisimas tareas......

Seguridad a lo Jabali para Todos!!

Recomendaciones Inseguros

Domingo de Recomendaciones y voy a hablaros de un Blog llamado Inseguros, este proyecto es el trabajo de @kinomakino y si te interesa la Seguridad Informática puedes encontrar muchos artículos para conocer y utilizar distintas herramientas todos explicados de forma comprensible para que empieces a utilizarlas.

En una Auditoría de Seguridad es importante no dejarse ningún detalle. En muchas ocasiones debido a la falta de tiempo, se utilizan potentes motores de búsqueda automatizada o suites de auditoría que evalúan las vulnerabilidades de forma general.

Estas herramientas son de sobra conocidas por todos y muchas veces nos olvidamos de que otras mucho mas especificas sobre un aspecto en concreto que nos proporcionan un informe mucho mas fiable.

Kinomakino nos habla de muchas de estas herramientas, que sin duda todos deberíamos conocer, nos da su opinión y como deberíamos utilizarlas. Así que te recomiendo que sigas Inseguros para aprender sobre Seguridad Informática, un excelente Blog.

Seguridad  a lo Jabali para Todos!!

Busca una Novia que te quiera ....

Hace unos días publicábamos un post respecto al punto de vista o la opinión que tenemos de como se esta planteando la cosa a nivel de Red. Enlace al Artículo.

Parece ser que la cosa no solo no mejora, vamos a peor ..... en estos últimos días se han publicado varias noticias que "como siempre" demuestran que hay mucho interés por almacenar y gestionar nuestros datos, fotos y experiencias ...... y muy poca responsabilidad con la gestión de todos esos Datos.

Como esas parejas que dicen que te quieren, pero te tratan peor que mal.

A lo largo de esta semana, con los alumnos, estudiamos Auditoría de seguridad desde el exterior de la empresa.

Si conoces temas de seguridad ya te puedes imaginar, Google, Bing, Shodan, Robtext además de alguna que otra herramienta como Maltego o las paginas de Escaneo de Puertos Online.

En la mayor parte de los casos la seguridad brilla por su ausencia, sobre todo si el error afecta a los usuarios, xss, phishing.

Esta semana ha estado revuelta, errores en Google, actualizaciones en Mozilla y robos en Hotmail, aquí os dejo los enlaces a los artículos, haber que os parecen!!

http://unaaldia.hispasec.com/2012/04/la-fundacion-mozilla-publica-14.html

http://unaaldia.hispasec.com/2012/04/grave-fallo-de-seguridad-en-hotmail.html

http://www.hackplayers.com/2012/04/como-usar-google-para-realizar-un-dos.html

Seguridad a lo Jabali para Todos!!

S.O.S Internet

Houston tenemos un problema .....así recordamos muchos todos esos casos "cuando la cosa pinta mal", el malware y la infección masiva de equipos, por motivos económicos, fama y demás esta provocando varias reacciones (miedo en general a los usuarios) y toma de medidas restrictivas por parte de gobiernos y autoridades.

Hoy podíamos leer en 20minutos el FBI planea un apagón de parte de la red para el día 9 de Julio.

Debido a que mas de 500.000 maquinas fueron comprometidas por un ataque sobre vulnerabilidades de su Sistema Operativo.

En Seguridad Apple también se puede leer un artículo en el que la estimación de los equipos apple afectados por FlashBack Trojan puede ser mucho mas alta de lo que se suponía, se creía que todos los ordenadores infectados se conectaban al mismo servidor de una lista que se genera automaticamente, y se calculo en base a las conexiones a un solo server.

Si no comenzamos a hacer un uso responsable de La Red e invertir en Seguridad estamos abriendo las puertas a un futuro de infecciones a gran escala, donde no podremos navegar entre Riesgos y Restricciones de las Autoridades.

Seguridad a lo Jabali para Todos!!

Recomendaciones Un Tal 4nonymous en el PC

Domingo de Recomendaciones y hoy os traigo un Hacker, no cualquier chiquillo aficionado a seguir la ultima receta de cocina para robarle la cuenta del facebuk a la novia .....Un HACKER con mayúsculas, de los de Verdad.

Un Hacker de los que se deja las pestañas estudiando para saber como funciona este protocolo o si este sistema de red tiene aquella vulnerabilidad, que se esfuerza por entender como funcionan las cosas. Para después compartir su conocimiento con la comunidad y que los demás aprendamos un poquito.

Germán Sánchez Garcés localizado por Twitter @enelpc responde a esta descripción, un ejemplo a seguir para todo el que se quiera dedicar a la seguridad informática.

En su Blog UN TAL 4NONYMOUS EN EL PC al que recomiendo seguir, aunque se que muchos lo conocéis, podréis aprender mucho sobre seguridad informática y Hacking, además de sus experiencias y opiniones, que ya os adelanto que no tiene "pelos en la lengua" a la hora de hablar .....

La primera vez que escuche hablar de Germán fue a través del foro de HackXCrack, otro sitio que os recomiendo si estáis interesados en la Seguridad Informática, donde Germán se ha ganado el respeto de compañeros y moderadores por todos sus conocimientos.

Así que estáis tardando en seguir su blog ...........

Seguridad a lo Jabali para Todos!!

Blogger Nuevo Interfaz

Una de los temas mas recurrentes en Redes Sociales y aplicaciones en la nube son las protestas por los cambios de configuracion o Interfaz, Facebook, Twitter o Blogger deciden cada cierto tiempo variar la organizacion de sus paginas, con lo que tenemos que buscar y aprender donde esta cada cosa de nuevo.

Seguramente si por nosotros fuera y para mantener nuestra comodidad estaríamos en la época de los pixeles con nuestros flamantes pc a 128k.

Todas estos cambios añaden nuevas opciones y funcionalidades a los sistemas que utilizamos, aunque en un principio nos requiera nuevo aprendizaje.

Así que por aquí andamos, con los nuevos cambios de configuracion de blogger y explorando las nuevas opciones para intentar mejorar el Blog.

Recordad que esperamos siempre todas vuestras sugerencias, consejos o criticas para mejorar.

Seguridad a lo Jabali para Todos!!

Hackeando desde el Movil

Desde hace algún tiempo están destacando las aplicaciones para teléfonos móviles o celulares, puedes encontrar practicamente cualquier cosa, desde juegos y aplicaciones de ocio a sistemas de posicionamiento geográfico, etc.

En el campo de la Seguridad Informática y las Telecomunicaciones me pareció muy interesante un articulo que leí en HackPlayers, explicando una aplicacion de Auditoría desde el Teléfono.

"El israelí Itzhak Avraham alias Zuk y su empresa de seguridad Zimperium han dado a conocer en la Defcon una aplicación para Android capaz de hackear los equipos de su entorno de forma muy sencilla simplemente pulsando unos pocos botones".

Instale la programa en un Terminal para realizar algunas pruebas y explicar un poco que me pareció. La aplicacion requiere de una cuenta de correo asociada al terminal, al iniciar el software aparece la opción de Login y utiliza esta cuanta para acceder.

La primera operación que realizaremos nada mas comenzar sera un escaneo para localizar los distintos accesos Wireless disponibles.

Hay varios escritorios dentro de la Aplicacion, para cambiar de uno a otro de forma horizontal, se puede ver las tareas que se están realizando, escanear la red a la que estemos conectados, activar un sniffer (necesitamos Root en el terminal).

Como en cualquier sistema de auditoría wifi aparecen varios dispositivos, en el caso de estar conectados a alguno de ellos podremos desplegar para ver que dispositivos hay conectados, y seleccionar un equipo en particular para realizar distintas pruebas.

Para ver todos los dispositivos el programa te pedirá permiso para realizar un escaneo intrusivo, según el resultado mostrara un listado de los distintos equipos a los que se puede acceder y si alguno de ellos es vulnerable.

Además envía un reporte del equipo afectado a la dirección de correo que asociamos con el Software de Zimperium.

Seleccionando un equipo vulnerable aparece otra serie de opciones para realizar diferentes pruebas de vulnerabilidad, aunque la parte de exploit se realiza por medio de créditos, que puedes comprar en la pagina de Zimperium.

Dentro de los posibles ataques podemos tomar una instantánea del escritorio, abrir la unidad de dvd, ejecutar la calculadora en el equipo remoto, etc. 

Toda una serie de recursos que aunque no son espectaculares verifican que el equipo auditado realmente tiene ese agujero de seguridad que nos permitiría distintos privilegios.

Como podéis comprobar en las imagenes la interfaz gráfica es muy intuitiva y practicamente nos hace el trabajo de forma progresiva por si sola.

Se puede descargar una versión gratuita del Programa desde la pagina oficial de Zimperium, después de distintas pruebas me parece una aplicacion muy buena, en función del teléfono que utilices, y para momentos puntuales o una Auditoría preliminar de forma rápida puede ser muy interesante.

 

Podéis ver un vídeo de como funciona Anti de Zimperium en este enlace.

Seguridad a lo Jabali para Todos !!!!

Recomendaciones Rubén Hortas Blog

Aquí estamos como cada Domingo y hoy va de Pingüinos y la Recomendación es, El Blog de Rubén Hortas al que podéis seguir en Twitter Rubén aka Trazi un buen amigo y compañero.

Los que no tenemos muchos conocimientos en GNU/Linux nos encontramos con situaciones en las que hacer que funcione una instalación sencilla se convierte en toda una Odisea.

Estas distribuciones están invirtiendo muchisimos esfuerzos en facilitar a los usuarios su manejo, pero claro la posibilidad de modificar a tu antojo el Sistema Operativo y hacer que funcione este o aquel Software es a la vez una tentación y un castigo.

Los Investigadores como Rubén dedican horas de trabajo y paciencia en instalar y configurar muchisimas aplicaciones para realizar tareas, algunas bastante curiosas como el articulo de Evitar Spam telefónico en Android, además de compartir todo este trabajo con la comunidad, muchas gracias Rubén.

Así que la Recomendación para hoy es que te pases por este fantástico Blog de Rubén Hortas donde puedes aprender muchisimas cosas de Informática y Seguridad sobre todo en entornos Linux.

Seguridad a lo Jabali para Todos!!

Recuerdos de los Principios Informáticos

Los que ya tenemos unos años cada cierto tiempo nos da un ataque nostálgico y recordamos "Aquellos Maravillosos Años", torturando sin piedad con historias repetidas a todo oído que se preste.

Esta semana uno de mis alumnos me recordaba una Colección con la que muchos crecimos y que quizás sea mi primera experiencia con la Informática. Recuerdo que mi primera maquina era un Spectrum con cintas magnéticas para cargar los juegos y sus magníficos 128Ks, un Ferrari de la Época.

Tendría unos diez u once años cuando recibíamos este regalo de Reyes mi hermano y Yo, no como ahora que en cualquier fecha los "malditos pequeñajos" consiguen tecnología.

Una de las virtudes de esta maquina era cargar juegos mediante un lector de cintas magnéticas, algo lento pero tampoco tenias otra referencia para comparar, el descubrimiento fue que esta maquina te permitia programar tus propios juegos.

No había Internet la fuente de información tenia que conseguirse en papel, y ahí estaba entre "como hacer aviones caza de papel" y "fabrica tus dinosaurios" ............ Programación de Computadoras, de la Colección Plesa/SM.

Luego fue ampliándose la Biblioteca, y con el tiempo no conserve estos ejemplares, una pena.

Así que el otro día cuando me recordaron esta colección y me pasaron el enlace para verla fue toda una Alegría .... Aquí os dejo el enlace para los que vivisteis esa época.

http://www.paraquenoseolviden.com/gallery2/v/electrónica/

Seguridad a lo Jabali para Todos!!!

Hackea a tu Hijo Final

Una de las metas en Seguridad Informatica "A lo Jabalí" es acercar la tecnología implicada en las comunicaciones a todos los usuarios de forma que pueda ser entendida facilmente.

Muchos de nuestros artículos pretenden que el lector comprenda la idea general de un riesgo para la seguridad de sus datos o equipos y las implicaciones de esa amenaza, así que no se profundizar demasiado en los detalles técnicos para no complicar su entendimiento.

El proyecto de Hackea a Tu Hijo nació con la intención de proporcionar medios a Padres o Tutores preocupados por conocer algunos de los riesgos que existen en La Red y las opciones que podrian adoptar para minimizar esos riesgos.

Advertir que el contenido de estos artículos esta orientado a la protección del menor, en ningún caso se debería aplicar en otro ámbito.

Aunque algunas de las medidas que se explican pueden ser consideradas como una invasión de la intimidad del menor, hay que tener en cuenta el riesgo y cada caso en particular.

El Consejo desde Seguridad Jabalí es que La Educacion y El Dialogo con el menor es la mejor herramienta de Protección para disfrutar de Internet.

Artículos de "Hackea a Tu Hijo"

Hackea a tu Hijo Capitulo 1 Configurar Pc .

Hackea a tu Hijo Capitulo 2 Ingeniería Social .

Hackea a tu Hijo Capitulo 3 Información publicada .

Hackea a tu Hijo Capitulo 4 Configuracion Red .

Hackea a tu hijo Capitulo 5 Metadatos .

Hackea a tu hijo Capitulo 6 "Al Baño, pero sin el Móvil" .

Hackea a tu hijo Capitulo 7 Localizacion .

Hackea a tu hijo Capitulo 8 "Datos Personales" .

Seguridad a lo Jabali para Todos!!

SegInformática Afiliados

Hace un tiempo cuando me vi empujado a este "oscuro mundo de la seguridad informática" recuerdo que no era tan fácil conseguir información, si es cierto que esta todo en Google, que hay miles de Blogs, Webs y Foros ..... pero cuando comienzas en esto es muy difícil distinguir si una fuente de información es fiable.

Quizás me sigue sorprendiendo la idea de hablar con alguien que esta interesado en seguridad y no haya visitado la pagina de Security by Default, o que un jefe de proyectos informáticos nunca entrara en Hispasec ..... pero la Realidad es esa, pero además de todos estos sitios existen otros lugares mas jóvenes, donde se puede aprender muchisimo.

Una de las mejores iniciativas para promocionar estos sitios y que los lectores puedan conocerlos, la propuso @p0is0nseginf de SegInformática sitio que recomendamos leer y seguir además te mandamos un abrazo.

Esta propuesta de configurar una sección/pestaña con otros blogs afiliados facilita el dar a conocer todos estos sitios. Y es que viendo como evoluciona todo esto es muy importante agruparse, hacer un frente común y procurar facilitar el conocimiento de referencias de calidad.

Ya sabéis que desde aquí Recomendamos cada Domingo un lugar de la Red que nos parece interesante ......Seguridad a lo Jabali para Todos!!!

Hackearon La TV

Hoy salia publicado en Hispasec una vulnerabilidad que permite denegacion de servicio en un aparato de una marca de Televisores. Articulo de Hispasec.

Esto abre todo un mundo de posibilidades a la hora de censurar ciertos programas en entornos domésticos, sera cuestión de preparar algún script para que en función del programa sintonizado se ejecute automaticamente un exploit, ¡Adios a la TeleBasura!!!

Bromas aparte hoy también podemos leer publicado en SeguInfo un interesante articulo sobre como la mayor parte de los ataques realizados utilizan técnicas sencillas aprovechando la poca seguridad implementada.

Articulo en SeguInfo .

Si lees con detenimiento el articulo de Hispasec se podría generar peticiones manipuladas mediante la herramienta hping de forma muy sencilla para conseguir el Ataque.

En mi opinión se pueden extraer varias conclusiones de la lectura de estos dos artículos, la primera es que cada día la informática y las comunicaciones están mas implementadas en nuestra vida cotidiana, televisores, teléfonos, pero también puertas, alarmas, cámaras, sistemas industriales.

La segunda conclusión es que se cometen una y otra vez los mismos errores, sistemas vulnerables a ataques mas que conocidos y documentados, "Ataques que se podían haber Evitado".

Seguridad a lo Jabali para Todos!!

Rebelion en DaboBlog II

Una de las cosas que extraño es aquellas noches de estudiante escuchando Buena Radio en noches de invierno, desde mi punto de vista La Radio tiene algo especial, solo cuando es buena .... en alguna medida ser un medio sin imagenes permite viajar mas con la mente.

Esto es lo que sucede con los PodCast de DaboBlog, como aquella buena y vieja radio, en un momento te olvidas del medio y te parece que estas en una tertulia de viejos amigos, de los que aprender mucho, por eso permaneces callado, escuchando ...................

Y como en la buena radio, a veces solo a veces, se les va de las manos ......... y entonces salen los mejores momentos. Así que si quieres entender este post, vas a tener que escuchar este estupendo Podcast 35 de DaboBlog.

( Click en Imagen para Aumentar )

La posible representacion Gráfica del Podcast a través de mi enfermiza imaginacion vendría a ser algo Así, mas o menos .............

Y por lo que se comento en la audición el próximo podcast promete mas acontecimientos, bien podría tener una imagen como la siguiente.

Equipo PodCast

@antoniojperez,

@daboblog,

@foratinfo,

@lurphoto,

@n1mh, 

@oreixa.

Muchas gracias a Dabo y todo su equipo por hacernos disfrutar en cada podcast de Aquella vieja y buena Radio.

  

Seguridad a lo Jabali para Todos!!

Hackea a tu hijo Capitulo 8 "Datos Personales"

Hace algún tiempo que no publicamos artículos de la serie Hackea a tu Hijo, si eres nuevo en el blog te diré que están orientados a dar a conocer metodologías o herramientas para Padres o Tutores que en una circunstancia determinada estén preocupados por las actividades de un menor en la Red.

Artículos anteriores de Hackea a Tu Hijo.

La Edad Legal para abrir una cuenta en una Red Social suele ser los 14 años, aunque todos sabemos que esto no responde a la realidad y muchos menores comienzan su andadura por la red mucho antes.

En muchas ocasiones los menores acceden en solitario a estos sitios, bien por falta de tiempo de sus padres o porque muchas veces "El menor tiene mas conocimientos informáticos que el padre o tutor".

Las Redes Sociales quieren tus datos personales, cada día los formularios y cuestionarios son mas largos y completos y hay un verdadero negocio con todas estas bases de datos.

Los menores se encuentran que para poder acceder a cuentas y juegos tienen que registrar teléfonos, direcciones y otros datos.

La Comunidad Económica Europea esta tomando medidas para proteger los datos de cualquier ciudadano Europeo, independientemente del lugar físico donde se alojen los servidores deberán respetar las Leyes de Protección de Datos de los ciudadanos.

Las Redes Sociales empiezan a tomar iniciativas para cumplir estos requisitos, uno de los cuales seria consultar o acceder a todos los datos que Google, Facebook o Twitter tienen sobre ti. Además de poder ejercer el derecho de Cancelación de Todos o Parte de esos Datos.

En la Configuracion de tu cuenta de Facebook hay una opción para descargar tus datos.

Conocer y controlar los datos que están publicados por ti, o mediante la cuenta de un menor es importante para proteger tu seguridad e intimidad .

Seguridad a lo Jabali para Todos!!

Las Fiestas del Imperio

Ya sabéis que en estas Fechas estamos de fiesta en España ..... así dejamos alguna constancia Gráfica del Acontecimiento ....... Sin comentarios !!

 

Seguridad  a lo Jabali para Todos!!

Curso XV. Active Directory Configuración IIS

En el articulo de ayer servicios configuraciones por defecto hablamos de que aunque las opciones para mejorar la seguridad de un servicio están ahí, no están habilitadas o configuradas por defecto.

Artículo Active Directory.

Artículo Autenticación Vs Autorización.

Artículo  Perfiles de usuario Obligatorios.

Artículo Blindar Autenticación I de II.

Artículo Plantillas para generar Certificados Transparentes para el Usuario.

Artículo Blindar Autenticacion II de II.

Servidor Web de Microsoft el IIS.

Algunos de los servicios o configuraciones de seguridad no son necesarias en todos los casos, y que estén desactivados también mejora el rendimiento de la maquina. Instalar el rol de servicio web en Microsoft es relativamente sencillo, añades el rol, siguiente, siguiente, y en el navegador tecleas localhost ......y ahí esta funcionando.

La posibilidad de Iniciar Servicios con una cuenta determinada es muy importante, conocer que cuenta y los privilegios que utiliza cada Rol no solo se mejora la seguridad además es mas fácil registrar la actividad de dicha función en los archivos de LOG.

Un momento para revisar la instalación del IIS comprobamos que hay muchas opciones para configurar seguridad aunque no están seleccionadas por defecto, en este caso las marcamos todas.

 

No hay que olvidar que los archivos que se van a publicar están en una ubicación especifica, que además puede ser diferente para cada sitio que se aloje ............

Esto nos permite someter cada Sitio que publicamos a permisos de comparticion y seguridad específicos según las distintas necesidades.

Seleccionar los archivos que se enviaran si no se especifica en la petición para evitar sorpresas cuando el esquema de la pagina es complejo.

El Listado de directorios esta deshabilitado, así debe ser salvo necesidades especificas, mucho ojo con esta opción, en este caso la configuracion por defecto de Microsoft es correcta para la Seguridad.

Las paginas de Errores que se muestran pueden facilitar distintos ataques, sobre todo si la web consulta una base de datos, configurar una pagina de error personalizada dificulta varios ataques.

 

Configurar Filtros a determinados Rangos de direcciones puede ser para empresas determinadas un obstáculo para atacantes, y mejorar la seguridad ante ataques automatizados desde algunos países.

Una vez habilitada la seguridad podremos decidir que usuarios acceden a nuestro sitio, cada día se utiliza el servicio web para mas funciones dentro de una empresa, desde listas de revocacion de certificados a publicaciones de Escritorio Remoto, aplicaciones compartidas o contenidos multimedia.

Algunos de estos servicios están orientados solo a los trabajadores de nuestra empresa y los permisos para solicitar esos contenidos deberían estar restringidos.

Una vez que los usuarios están Autenticados entonces podemos seleccionar distintas Autorizaciones a los recursos de la  pagina.

Además podemos especificar mas el ámbito con Filtros, por Segmentos, grupos usuarios. Esta característica es una de las mas interesantes puedes determinar que verbos están permitidos, limites de solicitudes y extensiones de archivos a los que se podrá acceder.

Los Filtros del IIS se pueden dificultar mucho un ataque, por defecto es muy permisivo cuidado con estas opciones tomate un tiempo para conocerlas y configurarlas.

Utilizar el HTTPS puerto 443 es un buen recurso dentro del directorio activo, los certificados de nuestro AD nos servirán siempre y cuando sean usuarios del dominio.

Solicitamos el certificado necesario desde el propio IIS, recordar las reglas para que un Certificado sea valido, CA, CRC, etc......

Requerir a los Clientes que tengan su propio certificado es una medida añadida de seguridad, si pedimos usuarios Autenticados con certificados tenemos un sitio mucho mas seguro.

Habréis visto que realmente hay muchas opciones y características que vienen asociadas a un servidor web de Microsoft, implementadas correctamente según las necesidades de nuestra empresa pueden mejorar en gran medida la seguridad, esto no excluye implementar Firewall o Detectores de intrusos en nuestras empresa, pero conocer estas opciones puede proporcionar seguridad en profundidad.

Seguridad a lo Jabali para Todos!!

Servicios Configuraciones por Defecto

Uno de los problemas mas frecuentes en la seguridad de los servidores es la falta de tiempo y conocimiento, es cierto que cada día los tiempos de producción son mas pequeños con lo que no queda mucho espacio para pruebas y comprobaciones.

-"No tengo tiempo para hacerlo bien, si para hacerlo dos veces".

En el curso de Seguridad comprobamos distintas opciones que se podían configurar en los servidores cuando instalabas un servicio, web, smtp, ftp,etc. Alguno de los alumnos me comentaba el hecho de que la configuracion por defecto era bastante insegura, algo de lo que siempre nos habla con mucha razón Yago Jesús en Security By Default.

Estas configuraciones que algunas implementaciones van impuestas por el Standard del protocolo, pero normalmente responden a una estrategia de mercado.

Un Servicio como IIS, el servidor Web de Microsoft no requiere casi ningún conocimiento técnico, además por defecto casi no tendrá inconvenientes.

Eso es lo que vende, imagina una aspiradora que estuviera optimizada (no hablo de la de @lawwait que seguro lo esta), una maquina que mediante distintas configuraciones consumiera menos energía, limpiara mejor algunos tejidos, utilizara distintas temperaturas de vapor o humedad.

Seguramente esto seria positivo, la aspiradora seria mejor, que cantidad de clientes potenciales tendría, no seria mas fácil vender una maquina que haga menos tareas pero que "solo sea enchufarla y listo".

Ese Router Wifi que compraste, ¿funciona simplemente con enchufarlo? ¿Revisaste su configuracion?

Esto es lo que esta sucediendo en seguridad, las funciones están ahí, pero en la mayor parte de los casos vienen desactivadas en pro de una mayor funcionalidad.

En los siguientes artículos veremos algunas de estas configuraciones en entornos Microsoft, hay bastantes opciones muy interesantes ......

Seguridad a lo Jabali para Todos!!!

El Verano en Informática

Los que me conocéis o lleváis por este blog un tiempo ya sabréis que viví en Argentina, Buenos Aires, y si algo me quedo claro es que los anuncios Argentinos son Insuperables, una muestra de uno de los mas divertidos.

Esta Publicidad en Términos de Seguridad Informática seria algo como ......

El Bañero que Vigila ......

Los que Vigilan al Bañero ......

Los Paleteros ......

El que se hace (o le hacen) Milanesa .....

Los que "Se COMEN la MILANESA" ..............

Las de las Cremas .............

El Surfer !!!!!

Los que se aburren con la Seguridad Informática ......

Los que están Siempre !!!!

Los de .......¿Hay Equipo!! ........??

 

El que Pesca ..............

El que no ( Pesca )

Los de la Segunda Quincena (En Temas de Seguridad Informática !!!)

El Maestro ..............

Laaassssss ........ ChicaaaaaasssssSSS !!!

Los inadaptados de Siempre ......................

La Seguridad Informática !!!!! AYyyyyyyyy..........

Con todo mi cariño para los amigos de Argentina, Espero que os gustara .....XD

Seguridad a lo Jabali para Todos!!