Introducción a la seguridad

A - I

Backdoor (Puerta trasera)

Definición: Las puertas traseras (backdoors) llegan normalmente con la carga de un virus u otra amenaza. Una puerta trasera sirve para sortear los permisos y la autenticación normales, y se suele utilizar para abrir puertos de comunicaciones, iniciar un servidor FTP, o recoger pulsaciones de teclas y transmitir la información al autor del ataque. Al igual que los troyanos, las puertas traseras pueden atravesar fácilmente el cortafuegos de una empresa, comprometiendo la seguridad de toda la red.

Ejemplo: El troyano que infecta un ordenador se infiltra en el sistema para abrir un puerto de comunicaciones, permitiendo al usuario malintencionado el acceso remoto total al sistema en cualquier momento.

Batch-based scanning (Análisis por lotes)

Definición: Un método de análisis de malware desarrollado cuando los virus se transmitían a través de dispositivos extraíbles, lo que suponía un acceso aleatorio al volumen que debía ser analizado. El análisis por lotes comienza solo después de que el archivo se reciba por completo, y la eliminación se realiza una vez terminada la exploración del archivo. Por consiguiente, para el usuario final, esto significa un tiempo de espera considerable, incluso retrasos significativos durante la transferencia y el análisis.

Blended Attack (Ataque combinado)

Definición: Este término designa una amenaza mixta, un código que combina las habilidades de dos o más tipos de malware para atacar un sistema desde múltiples frentes.

Ejemplo: El malware infecta un sistema e instala un keylogger, abre una puerta trasera, y se comunica por IRC.

Bot

Definición: Abreviación de web robot, un bot es un programa malintencionado que se instala en el sistema del usuario aprovechándose de una vulnerabilidad en su sistema operativo, o bien en una de sus aplicaciones. Esta vulnerabilidad permite al bot instalarse automáticamente en el sistema, sin necesidad de interacción por parte del usuario. Un bot también puede ser instalado por un gusano o un troyano que llega a través del correo electrónico no deseado. Una vez que el bot se ha instalado, el equipo infectado puede ser controlado por un usuario malintencionado sin que el usuario afectado haya dado su autorización, o incluso sin que sea consciente de ello.

Bot nets (Botnet)

Definición: Abreviación de bot network, un botnet es una red de equipos, o zombis, que han sido infectados por un programa malintencionado llamado bot. Los equipos del botnet pueden ser controlados a distancia por un usuario malintencionado sin que el usuario afectado haya dado su autorización, o incluso sin que sea consciente de ello.

Ejemplo: Un usuario malintencionado envía una orden a 20 000 equipos zombis, desencadenando así miles de consultas de comunicación simultáneas a un mismo sitio web. El resultado es una saturación completa de sus recursos, provocando la caída efectiva del sitio web.

Buffer Overflow (Desbordamiento del búfer)

Definición: un desbordamiento del búfer se produce cuando un programa intenta almacenar más datos en un búfer de lo que este puede aceptar, o cuando un programa intenta poner datos en un área de memoria más allá de un búfer. En este caso, un búfer es una sección secuencial de memoria asignada para contener cualquier cosa, desde una cadena de caracteres a una matriz de enteros. La escritura más allá de los límites de un bloque de memoria asignada puede dañar los datos, bloquear el programa o causar la ejecución de código malintencionado. Los desbordamientos del búfer se utilizan a menudo en ataques que explotan vulnerabilidades de seguridad.

Denial-of-Service Attack (Ataque por denegación de servicio)

Definición: un ataque por denegación de servicio (ataque DoS) o ataque por denegación de servicio distribuido (ataque DDoS) es un intento de hacer que un recurso no esté disponible para sus usuarios habituales. Un método común de ataque consiste en someter al equipo o a la red a numerosas solicitudes de comunicación externas de modo que no pueda responder al tráfico legítimo, o responda tan lento que parezca, en la práctica, inaccesible. Los ataques por denegación de servicio distribuidos son ejecutados por botnets, equipos en red cuyos recursos infectados por bots realizan ataques desde ubicaciones remotas siguiendo órdenes de uno o varios individuos.

Distributed Spam Analysis (Análisis distribuido de correo no deseado)

Definición: El análisis distribuido de correo no deseado (DSA) instaura una comunicación continua y coordinada entre el dispositivo de seguridad de pasarela ProSecure™ STM instalado en el interior de la red de la empresa y el centro de clasificación de correo no deseado de NETGEAR®, lo que permite a NETGEAR la detección y clasificación de manera proactiva de todos los patrones de amenazas transmitidos por correo electrónico en tiempo real a partir del análisis de datos procedentes de más de 50 millones de fuentes en todo el mundo. La tecnología del análisis distribuido de correo no deseado consiste en la extracción y análisis de los patrones de mensajes relevantes, los cuales se utilizan para identificar y clasificar los patrones de estructura y distribución de los ataques propagados por correo electrónico.

Distributed Web Analysis (Análisis web distribuido )

Definición: el análisis web distribuido es un sistema híbrido de filtrado de direcciones web in the cloud utilizado en los dispositivos de seguridad de pasarela de NETGEAR Prosecure. El dispositivo consulta al centro de clasificación de URLs de NETGEAR datos categorizados de direcciones web en tiempo real. La respuesta es copiada en caché localmente por el dispositivo para futuras consultas. El centro de clasificación de URLs de NETGEAR procesa y clasifica las entradas de datos desde millones de conectores HTTP implementados «en la nube» en proveedores de servicios de todo el mundo y ofrece una base de datos de URLs creciente que contiene más de cien millones de direcciones web divididas en 64 categorías.

Email-borne threats (Amenazas por correo electrónico)

Definición: Un programa malintencionado que se envía directamente a los usuarios por correo electrónico. La amenaza puede encontrarse en un mensaje de correo electrónico en HTML, o puede llegar en la forma de un archivo adjunto. Las amenazas por correo electrónico emplean normalmente una técnica llamada ingeniería social, un método para hacer creer a los usuarios que un mensaje de correo electrónico es legítimo, y así invitarles a abrir el mensaje o el archivo adjunto. Cuando la amenaza se incluye en el código HTML, el sistema del usuario resulta infectado simplemente por abrir el mensaje. Si la amenaza se encuentra en el archivo adjunto del mensaje, el sistema se infecta al abrir dicho archivo.

Dos amenazas bien conocidas que se basan en el correo electrónico para su propagación son el correo no deseado o correo basura (spam) y la suplantación de identidad (phishing). Aunque no es peligroso por sí mismo, el correo basura es utilizado con frecuencia para propagar otras amenazas gracias a su capacidad para llegar casi simultáneamente a millones de usuarios a través de las redes de sistemas informáticos. De igual modo, si bien los ataques de phishing se ejecutan desde la web, es el correo electrónico el que funciona como anzuelo para llevar a la víctima hasta el sitio web.

Ejemplo: Un mensaje de correo electrónico llega a la bandeja de entrada, aparentemente enviado desde una agencia de noticias, con un asunto llamativo. El mensaje puede estar compuesto en HTML con la amenaza dentro del código, en cuyo caso el sistema del usuario resulta infectado nada más abrir el mensaje. Como alternativa, el usuario malintencionado ha podido incluir solamente un extracto del artículo en el cuerpo del mensaje, invitando al usuario a abrir el archivo adjunto para leer el resto de la información.

In-the-Cloud Zero-Hour Detection (Detección zero hour in the cloud)

Definición: Recogida y análisis de datos de más de 50 millones de fuentes de todo el mundo para identificar y bloquear de manera proactiva cualquier supuesto ataque de Internet no conocido previamente. El correo electrónico es explorado en tiempo real; se analizan sus patrones de distribución, y no tanto la información contenida en su encabezado. Cuando se identifica un mensaje electrónico como correo no deseado, el sistema le atribuye una firma y genera inmediatamente el archivo de perfil correspondiente, deteniendo eficazmente el ataque antes de que se extienda. De igual modo, la navegación web es analizada en tiempo real con una base de datos in the cloud que contiene más de 100 millones de sitios web, lo que permite un filtrado eficaz y rápido del contenido, y mas de 500 000 firmas para asegurar una protección contra las amenazas web conocidas.

IPS

Definición: el sistema de prevención de intrusiones (IPS) es un dispositivo de seguridad de red que realiza un seguimiento de las actividades de sistema y/o de red en busca de comportamientos no deseados o malintencionados y que puede reaccionar, en tiempo real, para bloquear o evitar esas actividades.

IPsec

Definición: IPsec (seguridad IP) es un conjunto de protocolos de seguridad para comunicaciones IP (protocolo de Internet) entre dos hosts (acceso remoto basado en cliente) o dos pasarelas de Internet (túnel sitio a sitio) mediante autenticación y cifrado de cada paquete IP de una secuencia de datos. IPsec también incluye protocolos para establecer una autenticación mutua entre agentes al principio de una sesión y negociar las claves criptográficas que se utilizarán durante la sesión.

J - R

Keylogger (capturador de tecleo)

Definición: Una de las formas más comunes de spyware. Un keylogger es un programa que captura y registra las pulsaciones de las teclas y envía esa información de vuelta al usuario malintencionado. Los keyloggers se utilizan principalmente para robar las contraseñas y pueden utilizarse para acceder fácilmente a la red de una empresa, a sus bases de datos, o a otra información confidencial.

Malware (programa malintencionado)

Definición: Abreviación de malicious software, el malware es un término utilizado en la ámbito de la seguridad para referirse genéricamente a cualquier tipo de amenaza informática. Al principio, el malware estaba destinado a causar daños en los equipos o en los datos que contenían los archivos de los equipos, o simplemente para obtener notoriedad. Sin embargo, la mayoría de las amenazas actuales están pensadas para hacerse con información personal o de la empresa con fines lucrativos.

Ejemplos: Virus, gusanos, troyanos y spyware están considerados malware.

NETGEAR® Stream Scanning Technology (Tecnología stream scanning NETGEAR® )

Definición: Un sistema de análisis de malware pendiente de patente que se basa en el hecho de que el tráfico de la red circula en flujos. Sin esperar a que llegue el archivo completo, el stream scanning (análisis al vuelo) empieza a recibir y analizar el tráfico en el momento en que el flujo entra en la red. El análisis comienza al recibir el número mínimo de bytes. El motor de análisis continúa analizando octetos adicionales a medida que estos llegan, mientras que otro proceso restituye los octetos analizados. De esta manera, pueden explorarse grandes cantidades de datos rápidamente, mediante un único análisis que sirve para identificar correo no deseado, infracciones de seguridad, o aplicaciones no pertinentes.

Phishing attacks (Ataques de suplantación de identidad )

Definición: Una amenaza enviada por correo electrónico con forma de comunicación de un banco u otra entidad de comercio electrónico. Con la intención de que el usuario responda inmediatamente, un típico mensaje de phishing utiliza normalmente como pretexto una alerta de fraude, una notificación de una actualización de seguridad, una oferta especial, o una solicitud de verificación de sus credenciales. Los mensajes de phishing casi siempre incluyen un vínculo que lleva al usuario a una página web que imita con exactitud el sitio web legítimo, con el logotipo, gráficos, diseño, tipos, y otros elementos corporativos idénticos a los originales.

Ejemplo: Un mensaje de correo electrónico llega a la bandeja de entrada, aparentemente enviado desde un banco, advirtiendo al usuario de una actividad fraudulenta en su cuenta. Así, se le invita a seguir el vínculo para entrar en el sitio web del banco y comprobar su cuenta. Tras hacer clic en el vínculo, entra en una réplica exacta del sitio web de su banco, donde se identifica introduciendo sus credenciales. Estas credenciales se envían directamente al usuario malintencionado, quien desde ese momento puede acceder libremente a las cuentas bancarias de su víctima.

Port Scan (Escaneo de puertos)

Definición: un escaneo de puertos consiste en usar un escáner de puertos para explorar los puertos abiertos de una máquina/red. Es utilizado a menudo por los piratas para buscar posibles vulnerabilidades en un sistema.

Rootkit (virus de alto nivel)

Definición: Se trata de un programa que se eleva de manera autónoma hasta el nivel más alto de autorización de un sistema informático. El objetivo de un rootkit es ocultar otros procesos del equipo, haciéndolos totalmente invisibles. Si bien no es peligroso por sí mismo, el hecho de que oculte otros procesos que ocurren en el sistema supone una seria amenaza para la seguridad de ese sistema, así como para la red en su conjunto.

S - Z

Spyware (programa espía)

Definición: Existen dos tipos: el spyware malintencionado y el spyware molesto. El spyware malintencionado, que representa el mayor peligro potencial para las empresas, es utilizado para robar información confidencial. Si entra en la red, puede comprometer la integridad de los datos de la empresa o de sus clientes.

Ejemplo: El spyware que se instala en un equipo sin ser detectado envía información introducida por el usuario a un equipo remoto con una determinada frecuencia. El usuario malintencionado remoto analiza la información, en busca de números de tarjetas de crédito, credenciales bancarias, contraseñas y otros datos confidenciales.

SQL Injection (Inyección SQL)

Definición: una inyección SQL es un exploit que aprovecha una vulnerabilidad de nivel de base de datos en la que se introduce código malintencionado dentro de cadenas que luego pasan a una instancia del servidor SQL para su lectura y ejecución. La forma principal de una inyección SQL consiste en la inserción directa de código en variables de entrada del usuario que están concatenadas con órdenes SQL y que son ejecutadas. Un ataque menos directo inyecta código malintencionado en cadenas que están destinadas para su almacenamiento en una tabla o como metadatos. Cuando las cadenas almacenadas son posteriormente concatenadas en una orden SQL dinámica, este código es ejecutado.

SSL VPN (VPN SSL)

Definición: VPN SSL (red privada virtual de capa de sockets seguros) es un tipo de VPN que funciona con tecnología de capa de sockets seguros y que es accesible a través de HTTPS en exploradores web. Permite a los usuarios establecer sesiones seguras de acceso remoto sin programas cliente desde prácticamente cualquier explorador conectado a Internet. VPN SSL ofrece una alternativa ligera y rentable al programa cliente heredado basado en tecnologías VPN.

Stateful Packet Inspection (Filtrado dinámico de paquetes (SPI))

Definición: el filtrado dinámico de paquetes es una arquitectura de cortafuegos que realiza un seguimiento del estado de las conexiones de red (como flujos TCP, comunicaciones UDP) moviéndose a través de esta. El cortafuegos contiene reglas que sirven para distinguir los paquetes legítimos. Solo los paquetes que correspondan con un estado de conexión conocido serán permitidos por el cortafuegos; los otros serán rechazados o eliminados.

TCP SYN Flood (Desbordamiento TCP SYN)

Definición: un desbordamiento TCP SYN es una forma de ataque por denegación de servicio en el que un atacante envía una sucesión de solicitudes TCP SYN a un sistema meta más rápido de lo que este puede procesarlas. Cuando empieza una conexión TCP normal, un protocolo de enlace de tres vías TCP se inicia entre el host de destino y el host de origen. El host de origen envía un paquete SYN (sincronización/inicio) al host de destino y el host de destino envía entonces de vuelta un SYN ACK (acuse de recibo de sincronización). El host de destino debe recibir entonces un ACK (acuse de recibo) del SYN ACK antes de que la conexión se establezca.

Cuando un servidor recibe un segmento SYN de un cliente, se reservan recursos informáticos (por ejemplo, memoria) anticipándose a un protocolo de enlace completo y a la posterior transferencia de datos. Puesto que los recursos son limitados en cualquier servidor, solo puede aceptarse un determinado número de conexiones. Cualquier solicitud adicional es rechazada. Los ataques de desbordamiento TCP SYN inundan la máquina objeto del ataque con solicitudes hasta el punto de que las solicitudes legítimas son desechadas.

Trojan (Troyano)

Definición: Como la figura mitológica griega del caballo de Troya de la que toma su nombre, un troyano es un programa malintencionado con una apariencia inofensiva que intenta engañar al usuario para que lo ejecute. Transmitido con frecuencia como archivo adjunto, un troyano puede introducirse fácilmente por el cortafuegos de una empresa y causar daños importantes. Los troyanos permiten al atacante obtener acceso al sistema infectado, poniendo en riesgo la seguridad de toda la red.

Ejemplo: Fondos de pantalla gratuitos, iconos gestuales, avatares, son las formas habituales adoptadas por los troyanos. El sistema del usuario se infecta al intentar descargar uno de estos programas aparentemente anodinos.

Virus

Definición: Un programa malintencionado que puede reproducir su propio código. Algunos virus buscan causar daños, como corromper o eliminar archivos, mientras que otros intentan saturar la memoria del equipo. Sin embargo, la mayoría están programados solo para que se conozca su presencia. Un virus no es capaz de propagarse por sí mismo de un sistema a otro. Para sobrevivir, necesita asociarse a una aplicación existente, y solo puede expandirse cuando la aplicación a la que se asocia es instalada en otro equipo.

Ejemplo: El usuario recibe un mensaje que afirma contener imágenes del desnudo de una famosa. El archivo adjunto es un ejecutable, pero tiene la apariencia de un archivo de imagen, con el nombre de la citada famosa. Creyendo que el adjunto es realmente una fotografía, el usuario ejecuta el archivo e infecta su sistema.

Web-based threats (Amenaza web)

Definición: Cualquier código malintencionado que se propaga por protocolos web (HTTP, HTTPS y FTP). Muchos están codificados en lenguajes interpretados por los exploradores, como el HTML o el JavaScript, y se transmiten a través del explorador web. Las amenazas web pueden aprovecharse de las vulnerabilidades de los exploradores web, pero la mayoría residen en sitios web específicos. Algunos tienen la apariencia de archivos legítimos como un documento, una canción o una imagen, para impulsar al usuario a que descargue el contenido. Otros pueden descargarse automáticamente en segundo plano cuando el usuario visita un sitio web infectado, sin requerir interacción por su parte. El sitio web infectado puede ser un sitio dañino, desarrollado por un programador malintencionado para parecer legítimo, pero puede tratarse también de un sitio web legítimo víctima de un ataque que lo ha dejado infectado con la amenaza.

Ejemplo: Una aplicación spyware está alojada en un sitio peer-to-peer (P2P) con la forma de una canción en formato mp3 para descargarse cientos de miles de veces. El sistema del usuario se infecta al descargar el archivo.

Whaling (ataque contra altos ejecutivos)

Definición: Un tipo de phishing orientado a los altos ejecutivos de una empresa. En el caso del whaling, el usuario recibe un mensaje de correo electrónico cuidadosamente redactado incitándole a hacer clic en un vínculo que le dirigirá a un sitio web malintencionado. Una vez en el sitio web, el spyware puede descargarse en su equipo, o bien se le engañará para que introduzca información comprometida sobre sí mismo o su negocio.

Ejemplo: Un mensaje de correo electrónico llega a la bandeja de entrada del responsable financiero de una empresa enviado aparentemente desde la administración, con una importante actualización de la línea de crédito de la empresa. El destinatario del mensaje recibe la instrucción de hacer clic en el vínculo para consultar los detalles de la cuenta de su empresa. Tras hacer clic en el vínculo, entra en una réplica exacta del sitio web de la administración en cuestión, donde se identifica introduciendo sus credenciales. Estas credenciales se envían directamente al usuario malintencionado, quien desde ese momento puede acceder libremente a las cuentas de la empresa.

Worms (Gusano)

Definición: Un gusano es un programa malintencionado capaz de reproducirse por sí solo y moverse con fluidez por la red de la empresa con toda autonomía, a diferencia de un virus, que requiere la intervención del usuario. Los gusanos acaparan una parte importante del ancho de banda de la red a medida que se multiplican y propagan.

Zombies (ordenador infectado)

Definición: Un zombi es un equipo que ha sido infectado por un programa malintencionado llamado bot. Una vez que el bot se ha instalado, el equipo zombi puede ser controlado por un usuario malintencionado sin que el usuario haya dado su autorización, o incluso sin que sea consciente de ello.