Las 10 leyes Inmutables de Seguridad

10-mandamientos
Ley #1: Si un intruso lo puede persuadir para que usted ejecute el programa de él en su computadora, ésta ya deja de ser su computadora.

Normalmente el intruso o atacante hará uso de la ingeniería social para convencerlo de ejecutar una aplicación aparentemente “inofensiva”, tiende a verse a través de correos electrónicos, tarjetas de felicitación electrónicas, que incluyen algún tipo de troyano o virus diseñado para hacer daño.
Procure no descargar archivos de fuentes desconocidas e incluso dude de algún contacto conocido que le envíe algún email fuera de lo común (lo digo por experiencia), puede que haya sido victima de algún atacante ya, y solo este usurpando su identidad, procure contactarlo por otro medio que no sea ese mismo email.

Ley#2: Si un intruso puede alterar el sistema operativo de su computadora, ésta ya deja de ser su computadora.

Estrecha relación con la Ley 1, pues si de alguna manera el atacante altera el sistema operativo de su equipo, lo siento pero lo has perdido. El sistema operativo es de manera metafórica el “alma” del PC, es quien efectúa y controla cada proceso que se debe realizar. Tiene acceso a toda la información almacenada en el equipo pues es este quien permite esa interacción entre el hardware y el usuario. Al ser alterado el sistema operativo quedara a merced del atacante.

Ley #3: Si un intruso tiene acceso físico sin restricción a su computadora, ésta ya no es su computadora.

Algo común entre las 3 primeras leyes es que su computadora ya no será suya. Suena intimidatorio, pero creo que para esta ley aplica el doble. Si alguien puede acceder a su computadora físicamente esta absolutamente deja de ser su computadora. Es una ley que aplica para todos, pero sobre todo aquellos que utilizan equipos móviles como portátiles, SmartPhone´s, PDA´s, etc donde almacenan información importante. Sin embargo cualquiera que pueda acceder a su PC de escritorio puede entre tantas cosas, retirar el disco duro (o rígido) y llevárselo robando su información, que después de todo es lo más valiosos para cada uno.

Ley #4: Si usted le permite a un intruso subir programas a su sitio Web, éste deja de ser suyo.

Muy acorde esta ley con el movimiento de la libertad de compartir información. Si tiene un sitio que desea compartir con el mundo, limite o condiciones el acceso de sus visitantes. No permita que se suban a su sitio Web archivos desconocidos o de dudosa procedencia. Estos se descargaran en su equipo y el de sus visitantes y las 2 primeras leyes entraran en vigencia. Restringa a sus usuarios y solo permita privilegios a sus colaboradores y no saboteadores.

Ley #5: Las contraseñas débiles atentan contra la seguridad fuerte.

Los mejores sistemas de seguridad se han visto violentados por la existencia de usuarios con passwords débiles. Como administrador de red solicite que sus usuarios implementen passwords fuertes y que incluyan caracteres especiales como @ $ & # así como letras en mayúsculas, minúsculas y números. La recomendación (External Embedding Disabled) es la sustitución de letras por símbolos o números. Ej.: Password = P@$sW0rD y si desean pueden comprobar que tan fuerte es, en paginas como Password Checker.

Ley #6: Una máquina es tan segura como confiable sea el administrador.

Una mala pero muy arraigada práctica es dejar a los usuarios como administradores de los equipos o a nivel personal, logearnos o ingresar a nuestros equipos con una cuenta con privilegios administrador. El este tipo de usuario tiene control total sobre el sistema sobre el cual esta trabajando. Le permitirá ejecutar procesos desconocidos y tal vez dañinos para el sistema. Recomiendo que mientras trabajemos en aplicaciones básicas, Office, correo, Internet, etc lo hagamos con una cuenta de usuario estándar y de requerir instalar algo autentico, usemos entonces nuestra cuenta de administrador.

Ley #7: Los datos encriptados son tan seguros como la clave de desencriptación.

Se salto la Ley 5?? Regrese y léala porque esta estrechamente relacionada con esta ley. Si nuestra paranoia es tal, y desconfiamos de todo al punto que cada archivo en nuestro pc o correo que enviamos va debidamente codificado y encriptado, pero tu password de desencripción es “débil” has perdido tu tiempo y tu paranoia. Sigue las recomendaciones de la Ley 5.

Ley #8: Un antivirus desactualizado sólo es ligeramente mejor que ningún antivirus virus en absoluto.

Aun tienes el antivirus con licencia de 3 o 6 meses que venia con tu pc nueva… hace 1 año??? Lo siento pero tu pc esta infectada. El antivirus se debe mantener actualizado, si no tienes presupuestado comprar uno, busca uno gratuito pero asesórate sobre su reputación. Mantén tu sistema operativo actualizado en línea y utiliza software referenciado para conocer las vulnerabilidades de tu equipo y su solución.

Ley #9: El anonimato absoluto no es práctico, ni en la vida real ni en la Web.

Internet esta lleno de formularios que pretenden que sean llenados por Ud. Con sus datos reales. Sea celoso con su información, el anonimato no lo llevara a ninguna parte y menos si es un internauta reconocido. Lea las declaraciones de privacidad de los sitios que frecuenta, dude de las ventanas emergentes que lo anuncian como el usuario 1.000.000 del sitio, no llene formularios donde demasiados datos personales sean “obligatorios” a menos que confíe plenamente en el sitio. Internet, al igual que su ciudad tiene sectores poco recomendados para su seguridad, evítelos.

Ley #10: La tecnología no es una panacea

Se dice que si algo no esta en Google es porque no existe. La verdad?? Obviamente no es cierto, solo es un truco publicitario para este conocido buscador. La tecnología a brindado un sin numero de beneficios en todo el mundo, sin embargo la solución a sus problemas no siempre la encontrara en la red, no todo es perfecto, por el contrario también hay peligros, errores de sistemas, villanos al acecho, etc. Tratar de tener un sistema 100% seguro es imposible, cada día podemos hacerlo “más” seguro pero siempre habrá quien quiera hacer algún tipo de daño. El software que tenemos instalado es imperfecto pero nos ayuda en nuestras actividades, los virus son imperfectos y detectables pero también llegan a cometer sus oscuras actividades. Si Ud. Es un usuario de la tecnología asegure sus sistema actualizándolo y con sentido común.

Lista básica de Comprobación de Seguridad para Windows XP

Estas listas de comprobación resumen los pasos que debe seguir para lograr un adecuado nivel de seguridad con Windows XP Profesional

El propósito de estas listas de comprobación es el de dar instrucciones para configurar un nivel básico de seguridad para ordenadores con Windows XP. Esta guía no ofrece una lista de todas las funciones de seguridad incorporadas en Windows XP, o de su forma de uso.

Pasos: 
  • Verificar que todas las particiones de disco están formateadas con NTFS

Las particiones NTFS ofrecen controles de acceso y protección que no existen en los sistemas de archivos FAT, FAT32 o FAT32x. Compruebe que todas las particiones de disco de su ordenador están formateadas con NTFS. **Si es preciso, utilice el programa Convert para transformar sus particiones FAT en NTFS sin destruir los datos**.

  • Proteger adecuadamente las carpetas compartidas

Por defecto, los ordenadores con Windows XP Profesional que no se conectan a un dominio utilizan un modo de acceso a la red denominado Comparición simple de archivos, donde todos los intentos de conexión al ordenador desde la red se convierten en accesos forzados con la cuenta Invitado. Esto supone que el acceso en la red mediante Server Message Blocks (SMB, utilizados para acceso a archivos e impresoras), así como las llamadas a procedimientos remotos (RPC, Remote Procedure Call, utilizados en la mayoría de las herramientas de gestión remota y acceso remoto al registro), solo estarán disponibles para la cuenta Invitado.

En el modelo de Acceso Simple a Archivos, los archivos y carpetas compartidos pueden crearse de manera que el acceso desde la red se haga en modo solo lectura, o alternativamente, con permisos para leer, crear, cambiar y borrar archivos. Simple File Sharing esta pensado para usarse en redes domesticas y detrás de un firewall, como el que se incorpora dentro de Windows XP. Si usted. Esta conectado a Internet y no esta protegido por un firewall, debe tener presente que cualquier recurso compartido que cree podría ser accedido por cualquier usuario desde Internet.

El modelo clásico de seguridad se utiliza cuando el sistema Windows XP se incorpora a un dominio o cuando se deshabilita Simple File Sharing. En el modelo clásico de seguridad, los usuarios que intentan hacer logon en la maquina local desde la red han de autentificarse como cuentas de usuario propias, no se hacen corresponder con la cuenta de Invitado. De esta manera, los recursos compartidos pueden crearse de modo que solo puedan se accedidos por los grupos y usuarios con los privilegios adecuados.

  • Utilizar la función Conexión Compartida a Internet para conexiones compartidas a Internet

Windows XP ofrece la posibilidad de compartir una única conexión a Internet entre varios ordenadores en una red domestica o pequeña red empresarial con la función ICS (Internet Connection Sharing). Un ordenador, denominado Host ICS conecta directamente a Internet y comparte esa conexión con el resto de los ordenadores de la red. Las maquinas clientes se apoyan en el Host ICS para salir a Internet. El uso de ICS refuerza la seguridad de la red porque solo el host ICS es visible desde Internet.

Para activar ICS haga clic con el botón derecho del ratón en una conexión a Internet dentro de la carpeta Conexiones de Red. Haga clic en Propiedades, luego en la solapa Avanzadas y después seleccione el cuadro de opción adecuado.

También puede configurar ICS utilizando el Asistente para Redes Domesticas.

  • Habilitar la función de Firewall para la Conexión a Internet

El Firewall de conexión a Internet esta diseñado para su uso en casa o en pequeñas redes empresariales y proporciona protección para maquinas Windows XP que se conectan directamente a Internet o para ordenadores y dispositivos conectados al host ICS que esta ejecutando este Firewall. El Firewall de Conexión a Internet utiliza un filtrado de paquetes activo, lo que significa que los puertos del firewall se abren dinámicamente solo por el tiempo necesario para permitir el acceso a los servicios que se desea.

Para activar ICF haga clic con el botón derecho en una conexión a Internet en Conexiones de Red. Después seleccione Propiedades y la solapa Avanzadas, y finalmente, seleccione la opción correspondiente. También puede configurar ICF usando el Asistente para Configuración de Redes Domesticas. Utilizar las políticas de restricción de software

  • Utilizar las políticas de restricción de software 

Las políticas de restricción de software ponen a disposición de los administradores un mecanismo basado en directivas que identifica el software que se ejecuta en su dominio y permite controlar la ejecución de dicho software. Mediante políticas de restricción de software un administrador puede prevenir la ejecución no deseada de ciertos programas; esto incluye virus, troyanos y otro software del que se sabe que puede causar problemas cuando se instala.
Las políticas de restricción de software pueden utilizarse en una maquina aislada configurando las directivas locales de seguridad.

Las políticas de restricción de software también están integradas en Políticas de Grupo y Directorio Activo

  • Utilizar passwords para las cuentas de usuario 

Para proteger a los usuarios que no protegen sus cuentas con passwords, las cuentas de usuario de Windows XP Profesional sin password solamente pueden iniciar sesión en la consola física del ordenador. Por defecto, las cuentas con passwords en blanco no podrían utilizarse en adelante para acceder remotamente desde la red, o para alguna otra actividad de validación excepto desde la pantalla de inicio de sesión de la consola física.

Por ejemplo, no se puede utilizar el servicio de inicio de sesión secundario (RunAs) para ejecutar un programa como un usuario local con password en blanco.

Mediante la asignación de passwords a las cuentas locales se evita la restricción que prohíbe hacer logon en la red.

Esto permite a las cuentas de usuario acceder a los recursos para los cuales tiene permisos, incluso a través de la red. Por consiguiente, es preferible dejar una cuenta con el password en blanco que asignarle una password fácil de descubrir.

Cuando se asignen passwords, asegurase de que tiene una longitud de nueve caracteres como mínimo, y que incluye al menos un signo de puntuación o un carácter ASCII no imprimible dentro de los primeros siete caracteres.

Precauciones

Si su ordenador no esta en una ubicación físicamente segura, se recomienda que asigne passwords a todas las cuentas de usuario locales. De no hacerlo así, cualquiera con acceso físico al ordenador podría fácilmente iniciar sesión utilizando una cuenta que no tiene password. Esto es especialmente importante en el caso de portátiles, que deberán siempre blindarse con passwords difíciles de descubrir para todas sus cuentas locales.

NOTA:**Esta restricción no se aplica a las cuentas de dominio, ni tampoco a la cuenta local de Invitado. Si la cuenta de Invitado esta activada y tiene password en blanco, se le permitirá iniciar sesión y acceder a cualquier recurso con permisos de acceso para la cuenta Invitado.
Si quiere deshabitar la restricción contra el inicio de sesión en la red sin password, puede hacerlo a través de las Directivas Locales de Seguridad.
 
  • Deshabitar los servicios innecesarios 

Después de instalar Windows XP se deben deshabitar todos aquellos servicios de red que no se necesiten en el ordenador. En particular debe considerarse si su PC necesita servicios de Internet Información Server. Por defecto IIS no se incluye como parte de la instalación normal de Windows XP y únicamente debe instalarse si realmente se necesitan dichos servicios.

  • Deshabitar o eliminar las cuentas de usuario innecesarias

Revise la lista de cuentas activas, tanto para usuarios como para programas en el sistema, por medio de la función de Administración de Equipos. Deshabilite las cuentas inactivas de usuario y borre aquellas cuentas que no sean necesarias.

  • Asegurarse de que la cuenta Invitado esta desactivada

Esta recomendación solo se aplica a los ordenadores con Windows XP que pertenecen a un dominio, o a maquinas que no utilizan el modelo de Comparición Simple de Archivos.

En sistemas Windows XP Profesional que no se conectan a un dominio, los usuarios que intentan abrir sesión desde la red se ven forzados a identificarse como la cuenta Invitado por defecto. Este cambio se ha diseñado para prevenir los intentos maliciosos de acceso a los sistemas desde Internet haciendo login con la cuenta de Administrador local con password en blanco. Para utilizar esta funcionalidad, que es parte del modelo de Comparición Simple de Archivos, la cuenta de Invitado ha de estar activada en todas las maquinas con Windows XP que no se han incorporado a un dominio. Para aquellas que ya pertenecen a un dominio o para la que, sin pertenecer a dominio, han deshabitado el modelo de Comparición Simple de Archivos, la cuenta local de Invitado debe deshabilitarse. Así se previene la posibilidad de que los usuarios puedan conectarse desde la red usando esta cuenta.

  • Implantar políticas de password estrictas

Para proteger a los usuarios que no protegen sus cuentas con passwords, en Windows XP Profesional las cuentas sin password únicamente pueden abrir sesión en la consola física del ordenador. Por defecto, las cuentas con passwords en blanco no podrán utilizarse en adelante para acceder remotamente desde la red, o para ninguna otra actividad de validación excepto desde la pantalla de inicio de sesión de la consola física.

NOTA:**Esta restricción no se aplica a las cuentas de dominio, ni a la cuenta de Invitado local. Si la cuenta de Invitado está activada y tiene password en blanco, se le permitir abrir sesión y acceder a cualquier recurso al cual se le autorice acceso a la cuenta Invitado.
Utilice la consola de Política Local de Seguridad para reforzar las directivas del sistema para la aceptación de passwords. Microsoft sugiere que se hagan los siguientes cambios:

- Fijar la longitud mínima de la password en 8 caracteres

- Fijar un periodo mínimo de persistencia adecuado a su red (generalmente entre 1 y 7 días)

- Fijar un periodo máximo de vigencia adecuado a su red (generalmente no superior a 42 das)

- Habilitar el mantenimiento de un registro histórico de las passwords (utilizando el botón recordar passwords) de al menos 6.

  • Implantar políticas de bloqueo de cuentas

Windows XP incluye una funcionalidad de bloqueo de cuentas que desactiva una cuenta después de un número de intentos fallidos de inicio de sesión que fija el administrador. Por ejemplo, se puede indicar que se bloquee la cuenta después de 5 a 10 intentos fallidos, resetear la cuenta no antes de 30 minutos y dejar la situación de bloqueo a Siempre (hasta que el administrador la desbloquee). Si es demasiado agresiva, puede considerar la posibilidad de permitir que la cuenta se desbloquee automáticamente después de un cierto tiempo.

Dos son los objetivos más comunes al utilizar los bloqueos de cuentas: el primero, poner de manifiesto que han tenido lugar un cierto número de intentos de abrir sesión con una cuenta utilizando una password no valida. El segundo, proteger las cuentas de usuario ante la posibilidad de intentar abrir sesión mediante ataques con diccionarios de claves o identificación reiterativa. No hay una receta que sea valida para todos los entornos. Considere los valores que mas se ajusten a su entorno particular.

  • Instalar software antivirus y actualizarlo adecuadamente

Una de las iniciativas más importantes a la hora de proteger sistemas informáticos es utilizar software antivirus, y asegurarse de que está correctamente actualizado. Todos los sistemas en Internet, en una intranet corporativa o en una red doméstica deberían llevar instalado software antivirus.

  • Mantenerse al día con las ultimas actualizaciones de seguridad

La función de Actualización Automática en Windows XP puede detectar automáticamente y descargar los parches de seguridad mas recientes desde Microsoft. La función de Actualización Automática te se puede configurar para descargar automáticamente los parches en tareas de segundo plano y pedir permiso al usuario para instalarlos cuando se ha completado la descarga.

Para configurar la Actualización Automática, haga clic en Sistema, dentro del Panel de Control, y seleccione la solapa Actualizaciones Automáticas. Elija la opción de notificación previa para descargar las actualizaciones automáticamente y recibir notificación cuando están listas para ser instaladas.

Aparte esto, Microsoft publica boletines de seguridad mediante su . Estos boletines se publican para cualquier producto de Microsoft en el cual se haya encontrado algún problema de seguridad. Cuando estos boletines recomiendan la instalación de algún parche de seguridad, Vd. Debería descargarlo a la mayor brevedad e instalarlo en sus ordenadores.

Cómo instalar una CA (Certificate Authority) en Windows 2003

En esta oportunidad veremos paso a paso como instalar una CA en Windows Server 2003. La finalidad de esta nota es dar soporte a artículos posteriores que requieran el uso de una CA en la red.

Como primer paso necesitamos un servidor con IIS instalado. Una vez que tengamos eso, vamos al Panel de Control –> Agregar o quitar programas –> Agregar/Quitar componentes de Windows y seleccionamos:

CA Server Paso1

Cuando hacemos clic en siguiente, una adverntecia se mostrará diciendo que una vez que hayamos instalado una CA en ese server, no podremos ni cambiarle el nombre ni cambiar la membresía a un dominio. De hacerlo, invalidaría los certificados emitidos:

 

CA Server Paso Nro 2

¿Qué tipo de CA instalar?

 

CA Server Paso Nro 3

La Enterprise CA se integra con Active Directory, otorgando certificados a los miembros de AD, con usos múltiples. Una Stand Alone CA no tiene integración con AD. En esta oportunidad, seleccionaremos las configuraciones por default y completaremos los datos pertinentes:

CA Server Paso Nro 5

CA Server Paso Nro 5

 

 

 

 

CA Server Paso Nro 4

sdfsfsCA Server Paso Nro 5

 

Será necesario reiniciar los servicios de IIS para las nuevas configuraciones:

CA Server PAso Nro. 5

 

la instalación finalizará:
CA Server