201520152015

Año de la diversificación productivaAño de la diversificación productivay del fortalecimiento de la educacióny del fortalecimiento de la educaciónAño de la diversificación productivay del fortalecimiento de la educación

PROF: VÁSQUEZ VALLE EVA

TEMATEMAVULNARABILIDADES AMENAZASVULNARABILIDADES AMENAZASSEGURIDAD EN BASE DE DATOSSEGURIDAD EN BASE DE DATOS

CONTROLES DE DESARROLLO DE SISTEMASCONTROLES DE DESARROLLO DE SISTEMAS

TEMAVULNARABILIDADES AMENAZASSEGURIDAD EN BASE DE DATOS

CONTROLES DE DESARROLLO DE SISTEMAS

INSTITUTO DE EDUCACIÓN SUPERIORINSTITUTO DE EDUCACIÓN SUPERIORINSTITUTO DE EDUCACIÓN SUPERIORTECNOLÓGICO PÚBLICO ARGENTINATECNOLÓGICO PÚBLICO ARGENTINATECNOLÓGICO PÚBLICO ARGENTINA

ESPECIALIDAD DE COMPUTACIÓN E INFORMÁTICAESPECIALIDAD DE COMPUTACIÓN E INFORMÁTICAESPECIALIDAD DE COMPUTACIÓN E INFORMÁTICA

CURSO: SEGURIDAD INFORMÁTICA

INTEGRANTES:

RIVERA QUINTANA, William

CUSINGA QUISPE, Takeshi

GUALLACACHI ROCA, Luigui

CHUMPITAZ HUILLCA, Lesly

AULA:408-B-10

TURNO: NOCHE

LIMA - PERU

CONCLUSIONESCONCLUSIONESCONCLUSIONES

. En este caso especifico usar la función MK dir de . En este caso especifico usar la función MK dir de PHP. En vez del comando SYSTEM para ejecutar PHP. En vez del comando SYSTEM para ejecutar un comando de sistema operativo.un comando de sistema operativo.- No usar.- No usar.- Funciones shell_excell,exec,system,reafile - Funciones shell_excell,exec,system,reafile _passthru escape shllc.md._passthru escape shllc.md..con el fin tenemos que tener unos mecanismos de .con el fin tenemos que tener unos mecanismos de seguridad de infromacion que nos protegen de aquel seguridad de infromacion que nos protegen de aquel riesgo vulnarabilidad o amenaza binformatica para riesgo vulnarabilidad o amenaza binformatica para asi proteger y estar seguro de nuestra base de datosasi proteger y estar seguro de nuestra base de datos

. En este caso especifico usar la función MK dir de PHP. En vez del comando SYSTEM para ejecutar un comando de sistema operativo.- No usar.- Funciones shell_excell,exec,system,reafile _passthru escape shllc.md..con el fin tenemos que tener unos mecanismos de seguridad de infromacion que nos protegen de aquel riesgo vulnarabilidad o amenaza binformatica para asi proteger y estar seguro de nuestra base de datos

FUENTESFUENTESFUENTES

Arte y ciencia del diseño web.Arte y ciencia del diseño web.jeffrey veen,editorial pear son alhambra 2001.jeffrey veen,editorial pear son alhambra 2001.. sitios web pertinentes.. sitios web pertinentes..w.w.w desarrollo web.com.w.w.w desarrollo web.com.w.w.w programacion. com. .w.w.w programacion. com. .w.w.w webtaller.com..w.w.w webtaller.com..w.w.w webexperto. com..w.w.w webexperto. com..w.w.w phpya. com. ar..w.w.w phpya. com. ar..w.w.w php.net..w.w.w php.net.

Arte y ciencia del diseño web.jeffrey veen,editorial pear son alhambra 2001.. sitios web pertinentes..w.w.w desarrollo web.com.w.w.w programacion. com. .w.w.w webtaller.com..w.w.w webexperto. com..w.w.w phpya. com. ar..w.w.w php.net.

Nombre de usuario/password en blanco, por defecto o débil.Nombre de usuario/password en blanco, por defecto o débil.Nombre de usuario/password en blanco, por defecto o débil.

No es nada raro conseguir en el día a día pares de No es nada raro conseguir en el día a día pares de usuario/password como sa/1234, esta el la primera usuario/password como sa/1234, esta el la primera línea de defensa y un punto fundamental de la línea de defensa y un punto fundamental de la armadura de nuestras bases de datos. Es importante armadura de nuestras bases de datos. Es importante hacer revisiones periódicas de credenciales.hacer revisiones periódicas de credenciales.

No es nada raro conseguir en el día a día pares de usuario/password como sa/1234, esta el la primera línea de defensa y un punto fundamental de la armadura de nuestras bases de datos. Es importante hacer revisiones periódicas de credenciales.

Inyecciones SQL. Inyecciones SQL. Inyecciones SQL.

Cuando la plataforma de base de datos falla para Cuando la plataforma de base de datos falla para desinfectar las entradas, los atacantes son capaces desinfectar las entradas, los atacantes son capaces de ejecutar las inyecciones SQL de forma similar a de ejecutar las inyecciones SQL de forma similar a como lo hacen en los ataques basados en Web, lo como lo hacen en los ataques basados en Web, lo que les permite elevar sus privilegios y obtener que les permite elevar sus privilegios y obtener acceso a una amplia gama de funcionalidades. acceso a una amplia gama de funcionalidades. Muchos de los proveedores han dado a conocer Muchos de los proveedores han dado a conocer soluciones para evitar estos problemas, pero no soluciones para evitar estos problemas, pero no servirá de mucho si los parches no se aplican o no se servirá de mucho si los parches no se aplican o no se toman los correctivos correspondientes.toman los correctivos correspondientes.

Cuando la plataforma de base de datos falla para desinfectar las entradas, los atacantes son capaces de ejecutar las inyecciones SQL de forma similar a como lo hacen en los ataques basados en Web, lo que les permite elevar sus privilegios y obtener acceso a una amplia gama de funcionalidades. Muchos de los proveedores han dado a conocer soluciones para evitar estos problemas, pero no servirá de mucho si los parches no se aplican o no se toman los correctivos correspondientes. Preferencia de privilegios de usuario por privilegios de grupoPreferencia de privilegios de usuario por privilegios de grupoPreferencia de privilegios de usuario por privilegios de grupo

Las organizaciones necesitan garantizar que los Las organizaciones necesitan garantizar que los privilegios no se les den a los usuarios por privilegios no se les den a los usuarios por asignación directa quien finalmente los recogerán asignación directa quien finalmente los recogerán como los conserjes recogen las llaves en sus como los conserjes recogen las llaves en sus llaveros. En cambio, Rothacker recomienda que los llaveros. En cambio, Rothacker recomienda que los usuarios sólo reciban privilegios por parte de grupos usuarios sólo reciban privilegios por parte de grupos o funciones y que los privilegios sean manejados o funciones y que los privilegios sean manejados colectivamente. De esta forma será más fácil colectivamente. De esta forma será más fácil eliminar derechos a un usuario con simplemente eliminar derechos a un usuario con simplemente eliminarlo del grupo, sin que queden derechos eliminarlo del grupo, sin que queden derechos ocultos u olvidados asignados a dicho usuario.ocultos u olvidados asignados a dicho usuario.

Las organizaciones necesitan garantizar que los privilegios no se les den a los usuarios por asignación directa quien finalmente los recogerán como los conserjes recogen las llaves en sus llaveros. En cambio, Rothacker recomienda que los usuarios sólo reciban privilegios por parte de grupos o funciones y que los privilegios sean manejados colectivamente. De esta forma será más fácil eliminar derechos a un usuario con simplemente eliminarlo del grupo, sin que queden derechos ocultos u olvidados asignados a dicho usuario.

Características y funciones de base de datos innecesariamente habilitadas.Características y funciones de base de datos innecesariamente habilitadas.Características y funciones de base de datos innecesariamente habilitadas.

Cada instalación de base de datos viene con Cada instalación de base de datos viene con paquetes adicionales de todas las formas y tamaños paquetes adicionales de todas las formas y tamaños que en su mayoría rara vez son utilizados por una que en su mayoría rara vez son utilizados por una sola organización. Dado que el nombre del juego en sola organización. Dado que el nombre del juego en materia de seguridad de base de datos es el de materia de seguridad de base de datos es el de reducir las superficies de ataque, las empresas reducir las superficies de ataque, las empresas necesitan buscar los paquetes que no utilizan y necesitan buscar los paquetes que no utilizan y desactivarlos. Esto no sólo reduce los riesgos de desactivarlos. Esto no sólo reduce los riesgos de ataques (0)day a través de estos vectores, sino que ataques (0)day a través de estos vectores, sino que también simplifica la gestión de parches.también simplifica la gestión de parches.

Cada instalación de base de datos viene con paquetes adicionales de todas las formas y tamaños que en su mayoría rara vez son utilizados por una sola organización. Dado que el nombre del juego en materia de seguridad de base de datos es el de reducir las superficies de ataque, las empresas necesitan buscar los paquetes que no utilizan y desactivarlos. Esto no sólo reduce los riesgos de ataques (0)day a través de estos vectores, sino que también simplifica la gestión de parches.

VULNARABILIDADES Y SEGURIDAD EN BASE DE DATOS VULNARABILIDADES Y SEGURIDAD EN BASE DE DATOS VULNARABILIDADES Y SEGURIDAD EN BASE DE DATOS

CONCEPTO:CONCEPTO:CONCEPTO:

Aunque SQL SERVER Incluye varios mecanismos Aunque SQL SERVER Incluye varios mecanismos de seguridad todo sistema tiene características que de seguridad todo sistema tiene características que se podrian aprovechar con fines malintencionados, se podrian aprovechar con fines malintencionados, cualquier caracteristicas que exponga datos u otra cualquier caracteristicas que exponga datos u otra información pueda construir un riesgo si se información pueda construir un riesgo si se implementa incorrectamente. en las tablas implementa incorrectamente. en las tablas siguientes explican los riesgos y los pasos siguientes explican los riesgos y los pasos proactivos que se pueden dar para disminuirlos. proactivos que se pueden dar para disminuirlos.

Aunque SQL SERVER Incluye varios mecanismos de seguridad todo sistema tiene características que se podrian aprovechar con fines malintencionados, cualquier caracteristicas que exponga datos u otra información pueda construir un riesgo si se implementa incorrectamente. en las tablas siguientes explican los riesgos y los pasos proactivos que se pueden dar para disminuirlos.

DIRECTIVAS DE SEGURIDAD:DIRECTIVAS DE SEGURIDAD:DIRECTIVAS DE SEGURIDAD:

Una directiva de seguridad es un registro de los Una directiva de seguridad es un registro de los procesos y procedimientos que debe seguir una procesos y procedimientos que debe seguir una organizaciòn para evitar realizar un seguimiento y organizaciòn para evitar realizar un seguimiento y responder a las amenazas de seguridad. responder a las amenazas de seguridad.

Una directiva de seguridad es un registro de los procesos y procedimientos que debe seguir una organizaciòn para evitar realizar un seguimiento y responder a las amenazas de seguridad.

PRINCIPIOS DE PRIVILEGIOS MINIMOSPRINCIPIOS DE PRIVILEGIOS MINIMOSPRINCIPIOS DE PRIVILEGIOS MINIMOS

Segun el principio de privilegios minimos un sitema Segun el principio de privilegios minimos un sitema solo deberia permitir el nivel de acceso necesario a solo deberia permitir el nivel de acceso necesario a un objeto protegible. Ademas el acceso solo debe un objeto protegible. Ademas el acceso solo debe estar habilitado para quienes tienen una necesidad estar habilitado para quienes tienen una necesidad directa y solo durante un tiempo especificado.las directa y solo durante un tiempo especificado.las aplicaciones pueden estar codificadas para aplicaciones pueden estar codificadas para proporcionar mas acceso del necesario y las proporcionar mas acceso del necesario y las cuentas podrian tener demasiado accseso.cuentas podrian tener demasiado accseso.

Segun el principio de privilegios minimos un sitema solo deberia permitir el nivel de acceso necesario a un objeto protegible. Ademas el acceso solo debe estar habilitado para quienes tienen una necesidad directa y solo durante un tiempo especificado.las aplicaciones pueden estar codificadas para proporcionar mas acceso del necesario y las cuentas podrian tener demasiado accseso.

BOLETINES DE SEGURIDAD:BOLETINES DE SEGURIDAD:BOLETINES DE SEGURIDAD:

Microsoft publica información de seguridad tan Microsoft publica información de seguridad tan pronto como se comprueba y se prueva en distintas pronto como se comprueba y se prueva en distintas plataformas.Las organizaciones que no estan al plataformas.Las organizaciones que no estan al corriente de estos boletines ponen en peligro sus corriente de estos boletines ponen en peligro sus sistemas al no implementar las instrucciones de sistemas al no implementar las instrucciones de seguridad adecuadas. seguridad adecuadas.

Microsoft publica información de seguridad tan pronto como se comprueba y se prueva en distintas plataformas.Las organizaciones que no estan al corriente de estos boletines ponen en peligro sus sistemas al no implementar las instrucciones de seguridad adecuadas.

SEGURIDAD EN BASE DE DATOSSEGURIDAD EN BASE DE DATOSSEGURIDAD EN BASE DE DATOS

Esta informacion es relevante para cualquier usuario Esta informacion es relevante para cualquier usuario para poder obtener acceso a un recurso compartido para poder obtener acceso a un recurso compartido de archivos con una base de datos o que administre de archivos con una base de datos o que administre de otro modo los derechos y asignaciones de los de otro modo los derechos y asignaciones de los usuarios en el programa de V.SS.usuarios en el programa de V.SS.

Esta informacion es relevante para cualquier usuario para poder obtener acceso a un recurso compartido de archivos con una base de datos o que administre de otro modo los derechos y asignaciones de los usuarios en el programa de V.SS.

SEGURIDAD EN BASE DE DATOSSEGURIDAD EN BASE DE DATOSSEGURIDAD EN BASE DE DATOS

Logran mayoría de los datos sensibles del mundo Logran mayoría de los datos sensibles del mundo están almacenados en sistemas gestores de base están almacenados en sistemas gestores de base de datos comerciales ,tales como microsft de datos comerciales ,tales como microsft SQLSERVER entre otros.una base de datos es uno SQLSERVER entre otros.una base de datos es uno de los objetivos favoritos para los criminales.de los objetivos favoritos para los criminales.

Logran mayoría de los datos sensibles del mundo están almacenados en sistemas gestores de base de datos comerciales ,tales como microsft SQLSERVER entre otros.una base de datos es uno de los objetivos favoritos para los criminales.

OBJETIVOSOBJETIVOSOBJETIVOS

Desarrollar un conocimiento integral en los Desarrollar un conocimiento integral en los estudiantes sobre los posibles y múltiples ataques estudiantes sobre los posibles y múltiples ataques que pueden estar en la base de datos.que pueden estar en la base de datos.

Desarrollar un conocimiento integral en los estudiantes sobre los posibles y múltiples ataques que pueden estar en la base de datos.

Dar a conocer las formas de seguridad para proteger Dar a conocer las formas de seguridad para proteger nuestra base de datos. nuestra base de datos. Dar a conocer las formas de seguridad para proteger nuestra base de datos.

Dar a conocer los ultimos avances para combatir los Dar a conocer los ultimos avances para combatir los ataques a la base de datos.ataques a la base de datos.Dar a conocer los ultimos avances para combatir los ataques a la base de datos.

Indicar las debilidades de una base de datos para ser Indicar las debilidades de una base de datos para ser atacados.atacados.Indicar las debilidades de una base de datos para ser atacados.

ATAQUE A LA BASE DE DATOS:ATAQUE A LA BASE DE DATOS:ATAQUE A LA BASE DE DATOS:

La gran mayoría de institutos y empresas guardan La gran mayoría de institutos y empresas guardan sus datos más importantes en sistemas gestores de sus datos más importantes en sistemas gestores de bases de datos comerciales tales como ORACLE, bases de datos comerciales tales como ORACLE, MICROSOFT, SQL SERVER, entre otros.MICROSOFT, SQL SERVER, entre otros.

Es por eso que los criminales cibernéticos centran Es por eso que los criminales cibernéticos centran sus esfuerzos en desarrollar programas capaces de sus esfuerzos en desarrollar programas capaces de romper los codigos de seguridad de los programas romper los codigos de seguridad de los programas ya mencionados.ya mencionados.

La gran mayoría de institutos y empresas guardan sus datos más importantes en sistemas gestores de bases de datos comerciales tales como ORACLE, MICROSOFT, SQL SERVER, entre otros.

Es por eso que los criminales cibernéticos centran sus esfuerzos en desarrollar programas capaces de romper los codigos de seguridad de los programas ya mencionados.