SEGURIDAD INFORMATICA: FASES DE UNA AUDITORIA DE SEGURIDAD INFORMATICA

jueves, 19 de febrero de 2009

FASES DE UNA AUDITORIA DE SEGURIDAD INFORMATICA

Enumeración de redes, topologías y protocolos.
Identificación de sistemas y dispositivos.
Identificación de los sistemas operativos instalados.
Análisis de servicios y aplicaciones.
Detección, comprobación y evaluación de vulnerabilidades.
Medidas específicas de corrección Recomendaciones sobre implantación de medidas preventivas.

http://es.wikipedia.org/wiki/Auditor%C3%ADa_de_seguridad_de_sistemas_de_informaci%C3%B3n

1 comentario:

Natalia Sanchez30 de enero de 2018, 9:01
Muchas gracias por esta información, buscaba algo sobre una Auditoria de Seguridad Informática y justo era sobre esto
ResponderEliminar
Respuestas

noticias sobre seguridad informatica

El Phishing como Delito Informático :

Algunos hemos escuchado el caso de la persona que le sustraen dinero de la cuenta bancaria realizando pagos de facturas telefónicas de CANTV a través de Internet , asumiendo de una vez que alguien nos ha robado nuestro login y password de acceso a la pagina web de la institución financiera a la que pertenecemos o en algunos casos acusando al mismo Banco de poseer empleados deshonestos, pero lo que desconocemos, igual que los funcionarios de INDEPABIS (antes INDECU), es que en la mayoría de estos casos nadie nos quita nada, sino que somos los propios usuarios quienes damos nuestros datos de acceso, no por mala fe sino por ignorancia, a través de un método poco conocido en Venezuela llamado Phishing.

El Phishing, que deriva de la palabra Fishing –pescar en ingles-, es considerado por el derecho como una modalidad de estafa que consiste en suplantar la identidad de una persona o institución, a los efectos de obtener información sensible de un tercero. Actualmente esta practica se le relaciona con medios electrónicos, ya que la principal forma de ejercerla es a través de Internet, pero su aplicación a través de llamadas telefónicas, sms y servicios postales se viene realizando desde hace mucho tiempo.

Supongamos que poseemos una cuenta bancaria en un Banco que presta servicios de Banca Electrónica a través de una página web cuyo nombre de dominio es “tubancoelectronico.com”. Usted posee un login y un password para poder acceder a su cuenta mediante internet y realizar pagos de servicios y/o transferencias a cuentas de terceros. Un día usted abre su cuenta de correo y recibe un correo de dicha institución que le indica que se requiere que usted confirme sus datos haciendo clic en un enlace (link) que lo lleva a la página web del Banco donde se le solicita que reingrese diversos datos personales como nombres y apellidos, cédula, dirección, login y password. Lo que realmente ha pasado es que usted ha sido víctima de Phishing.

El estafador envía un correo desde la dirección “atencionalcliente@tubancoelectronico.com”, este correo aunque posea al final un nombre de dominio valido no necesariamente demuestra que sea genuino ni que la institución fue el remitente, ya que existe software que disfrazan las direcciones de correo. Posteriormente en el contenido del correo, el cual posee logo y colores del Banco, le incluyen un enlace (link) que lo redirecciona a una página falsa, que es idéntica a la original del Banco donde le solicitan que reingrese sus datos privados. Una vez que usted introduce sus datos los acaba de entregar a una base de datos automatizada que le reenviara los mismos al estafador, poniéndolo en posesión de su login y password.

Por lo antes narrado es muy importante que se tomen precauciones a la hora de utilizar servicios webs. Para determinar que la pagina es falsa se debe revisar en nuestro navegador (browser) la dirección del link, si la dirección es “tubancoelectronico.com” es real, pero en el caso del Phishing nos vamos a encontrar con direcciones como “tubancoelectronico.paginadelestafador.com”, es decir, estamos ante un subdominio del dominio principal “paginadelestafador.com”, el cual tiene en su host una copia fiel y exacta de la pagina web del banco. También existen casos en que a través de lenguajes de servidor se esconden los nombres de dominio, por lo que la mayoría de los navegadores (browsers) ya poseen filtros anti phishing. También es recomendable que se tenga instalados anti-virus legales en su computador que ayudan a detectar tanto los correos como las páginas que se utilizan para este delito.

Otro caso común de Phishing lo vemos todos los días en usuarios del conocido servicio de mensajería instantánea Microsoft Messenger. Existen unos supuestos servicios que indican a los usuarios del MSN si alguno de sus contactos lo ha bloqueado o borrado, como por ejemplo “miraquientebloqueo.com”, “notequieren.com”, “tumamateodia.com”, etc. Primero debemos destacar que estos servicios no pueden afirmar si alguien nos bloqueó o borró de su lista de contactos, pues el API del servicio MSN no lo permite. Lo que estos servicios hacen es algo que el mismo MSN puede decirnos, ingresar a nuestra lista de contactos y ver las fechas de las últimas conexiones de los mismos. Mediante este procedimiento el presume que el contacto que tiene más de 3 meses sin conectarse te ha borrado o bloqueado. La verdadera función de estas páginas web es robar el login y password de acceso de nuestro MSN para enviar publicidad tipo SPAM mediante el mismo servicio de mensajería instantánea y mediante el servicio de correo Hotmail. En mi caso, sé cada vez que alguien usa uno de estos servicios porque en mi MSN se abre una ventana enviándome mensajes y publicidad pornográfica en nombre del contacto que introdujo sus datos.

Existen diversas reglas o normas de conductas que debemos optar para proteger nuestros datos al momento de usar la Internet, primero solo acceder a las páginas web escribiendo directamente el nombre de dominio en nuestro navegador (browser), nunca por links ni por accesos directos, pues estos pueden redireccionarnos a destinos falsos; y la más importante de todas es nunca dar nuestros datos a nadie o a ningún sistema automatizado, y en caso de duda llamar telefónicamente a la empresa o institución que lo solicita para verificar la autenticidad del requisito.

http://www.identidadrobada.com/site/index.php?idSeccion=19&idNota=2241

SEGURIDAD INFORMATICA

jueves, 19 de febrero de 2009

FASES DE UNA AUDITORIA DE SEGURIDAD INFORMATICA

1 comentario:

UNIVERSIDAD DE ORIENTE

noticias sobre seguridad informatica

¿Cual es tu opiniòn de este sitio?

Seguidores

Archivo del blog

Datos personales

¿QUÈ OPINAS DE LA SEGURIDAD INFORMATICA?

WELLCOME TO davidlemusudo.blogspot.com