Tag: Security

Descubrir el nombre de un número desconocido

--Originally published at CRACK THE NETWORK

Hoy en día muchas bromas están pasando en el celular. La gente puede ser amigos, enemigos, parientes o cualquier cosa.

No sabemos quién nos está jugando una broma. En este post voy a explicar cómo averiguar el nombre de la persona que es nos llamó desde un número desconocido.

En realidad, es bastante sencillo para averiguar el nombre de la persona visita True caller:
https://www.truecaller.com/

True caller es una aplicación que nos ayuda a averiguar qué números se proporcionan en su directorio. Si instalas esta aplicación en tu móvil que tiene internet, entonces puedes encontrar fácilmente e; nombre de persona que nos marcó.

Todo lo que tenemos que hacer es ir al sitio web truecallers o tener la aplicación instalada. Introducir el número de la persona que nos marcó y conseguiremos el nombre de la persona de un número desconocido.

Recursos adicionales:

https://play.google.com/store/apps/details?id=com.truecaller&hl=en

https://itunes.apple.com/us/app/truecaller-spam-identification/id448142450?mt=8

 


Principios de una buena arquitectura de seguridad

--Originally published at CRACK THE NETWORK

En este blog describiré algunos principios de una buena arquitectura de seguridad. Es muy importante poner bastante atención en la arquitectura debido a que en esta parte las empresas pierdes millones debido a malas prácticas de diseño y seguridad, estas son algunas de las sugerencias:

Establecer objetivos claros y definidos: Un modelo es un medio para un fin, no un fin en sí mismo. Comience por definir por qué lo necesita y quién lo utilizará. Sólo entonces podrá determinar el alcance, el tamaño, el contenido y la presentación. Los conductores y los beneficios pueden variar ampliamente. Pueden ayudar a organizar el trabajo, estandarizar las actividades, demostrar el cumplimiento, actuar como un dispositivo de venta para un proveedor, o simplemente servir como un ejercicio terapéutico para el compilador.

Pequeño es hermoso: Lo que usted lo está utilizando para, el punto entero de usar un modelo es definir y comunicar un sistema de hechos seleccionados, relevantes a un grupo específico de usuarios. Los detalles innecesarios deben ser filtrados u ocultos a la vista del usuario. La información transmitida debe ser lo más breve y simple posible para cumplir con los objetivos del modelo.

Un tamaño no se ajusta a todos: la gestión de seguridad moderna requiere una gama de diferentes modelos, cada uno con un propósito diferente. Pueden utilizarse para comunicar o evaluar controles, responsabilidades, actividades, servicios, tareas del proyecto o especificaciones. Diferentes modelos pueden ser vinculados o combinados, pero el contenido no se correlaciona perfectamente. Un modelo diseñado para un propósito u audiencia particular podría no ser apropiado para otro, aunque siempre hay excepciones.

Llámelo como quiera: no importa mucho si usa el término “modelo”, “marco”, “arquitectura”, “método” o cualquier otra cosa, aunque algunos términos son más pegajosos que otros. La arquitectura, por ejemplo, suena grandiosa y sugiere un modelo para

Continue reading "Principios de una buena arquitectura de seguridad" →

Problemas y soluciones del manejo de la información

--Originally published at CRACK THE NETWORK

Los colegios y universidades almacenan datos de empleo, registros financieros, transcripciones, historiales de crédito, historiales médicos, información de contacto, números de seguridad social, etc. Aunque las instituciones de educación superior deben ser foros donde la información y el conocimiento se intercambian fácilmente, a veces el libre flujo de información no es intencional. Aquí hay algunas políticas y comportamientos que ponen en riesgo la información personal:

Descentralización administrativa

Cultura ingenua de la oficina

Datos no protegidos

Servidores no regulados

Políticas de privacidad poco sofisticadas

Uso inapropiado del SSN

Discos duros no borrados

Soluciones

Examinar regularmente las redes institucionales para obtener información confidencial, como números de seguridad social, grados e información financiera.

Retirar automáticamente los datos viejos de los servidores institucionales.

Establecer una fecha radioactiva, que es cuando la institución utilizó por última vez números de seguridad social como identificador

Crear acceso basado en permisos a los sistemas centrales

Establecer una política de retención y acceso a datos.

Coordinar las prácticas de privacidad y seguridad con un comité especial de profesionales de la seguridad de la información.

Actualice su política de privacidad para reflejar todos los problemas de privacidad que surjan.

Eliminar los números de la seguridad social de los registros oficiales cuando sea posible.

Físicamente destruir todos los viejos discos duros.

 

Recursos adicionales:

https://www.enisa.europa.eu/topics/threat-risk-management/risk-management/current-risk/risk-management-inventory/rm-isms

http://www.isaca.org/JOURNAL/ARCHIVES/2010/VOLUME-2/Pages/Developing-an-Information-Security-and-Risk-Management-Strategy1.aspx

 

 


Excuse me, who are you?

--Originally published at Don't Trust Humans, Trust Computers

Each person in this planet has something that identifies him/her. It could be a physical characteristic, like nose shape, eye color, hair, a scar, etc., or it could be a non-physical thing like voice tone, name, the way you speak, and so on. We even have legal documents that verify who we are in a society. No matter in what part of the world we are, we are someone and we can probe that we are the person we say we are. But if the pass from the physical world into the digital one. In the digital world, we can be any one and there’s no one that is checking if we are really who we say we are, or maybe there is? The truth is it depends on how you see it. Because there are websites, like Tumblr that ask you for a user and a password, so there is really someone checking that the user and password match, but once inside Tumblr is another story. If you came to realize, there are many places in the digital environment that ask for a user and password, and that is important matter in the security aspect.

giphy-8

Authentication and access control are two complementary topics that go on hand in hand. Most of the time you want this type of security in any system you are in to protect the information that is inside a system. And of course, it affects which user access the system. Authentication is the process of verifying if you are really the user you say you are. This process there are two key elements: the identifier and the authenticator. By identifier we mean the user, that tells who you are and the identifier is commonly known as the password that verifies that is truly you who is

screen-shot-2016-11-23-at-9-58-57-pm
Continue reading "Excuse me, who are you?" →

Signos que tu computadora está infectada de malware

--Originally published at CRACK THE NETWORK

El creciente número de usuarios de Internet en todo el mundo ocasiona que mas hackers aprovechen nuestras computadoras. A medida que nos volvemos más dependientes del entorno electrónico, podemos ver claramente un crecimiento masivo de malware y actividades cibernéticas criminales en todo el mundo.

Con tantas maneras de acceder y explotar sistemas vulnerables, necesitamos asegurarnos de que somos capaces de reconocer una infección de malware para prevenir y defender nuestros sistemas. Porque es una batalla y debes estar listo.

Este artículo le mostrará cuáles son los principales síntomas de un sistema infectado de malware.

  1. Lentitud
  2. Pop ups
  3. BSOD
  4. Actividad en el HD sospechosa
  5. Poco espacio cuando deberíamos de tener más.
  6. Mucha actividad en la red cuando no la estamos utilizando
  7. Nueva página de inicio en el browser
  8. Programas no permitidos que inician automáticamente
  9. Mensajes enviados a tus amigos sin tu autorización
  10. Tu antivirus se encuentra deshabilitado y tú no lo desactivaste

Recursos adicionales:

http://www.lavasoft.com/mylavasoft/securitycenter/articles/how-to-detect-malware-infection

How to easily clean an infected computer (Malware Removal Guide)


Inyección de SQL

--Originally published at CRACK THE NETWORK

La inyección de SQL es una especie de vulnerabilidad compleja y normalmente la aplicación de una corrección diferirá en el tipo de aplicación que está desarrollando. SQL es uno de los más fáciles de contrarrestar. A continuación, se presentan algunas medidas que pueden utilizarse contra ataques de inyección de SQL.

Como se ha dicho anteriormente, los ataques de inyección SQL se producen debido a la entrada no desinfectada. Así que nuestro primer paso sería desinfectar el input. En la aplicación se escapa explícitamente a las comillas simples y al apóstrofe, no valida la entrada del tipo de expresión, por ejemplo, 1 + 1, z + y etc. Al desinfectar la entrada por el método anterior, podrá detener la inyección SQL ya que la aplicación no aceptará entradas maliciosas.

La segunda solución es utilizar una API que no permita la inyección de SQL. Hoy en día casi todas las herramientas de desarrollo de aplicaciones web tienen una API que maneja consultas SQL por su cuenta, es mejor utilizarlas, ya que no sólo reducen la sobrecarga general de desarrollo, sino también proporcionar protección contra la inyección de SQL.

En el nivel del sistema, la aplicación se ejecuta con privilegios inferiores, con los que se puede ejecutar sin problemas. No es necesario conceder a la aplicación más privilegios de los requeridos. Puede tardar poco tiempo para aplicar esto, pero al hacerlo no permitirá a los hackers recuperar datos confidenciales de su base de datos, ya que los privilegios serán limitados.

Por último eliminar los paquetes innecesarios de la base de datos de su sistema, ya que no sólo tomar la memoria extra y espacio en disco, pero si alguno de ellos es vulnerable su base de datos lo será también.

Dependiendo de qué tipo de aplicación está desarrollando algunas o más modificaciones pueden

Continue reading "Inyección de SQL" →

Security Countermeasures

--Originally published at Don't Trust Humans, Trust Computers

We live in an era, where everybody has some kind of digital device. Most of us have at least 2 of this devices, if not more. We interact with them in a daily basis; in our work, in our home, at the school, at entertainment centers, etc. This gadgets are taking over the world, but most importantly our lives. And if this devices are being an essential part of our lives, well… we are very likely to have some security threats on our way. In our lives, we are always expose to some kind of threat, even if we like it or not, and if we have a digital device, we are expose to a different new kind of threat, that it didn’t exist before.

Security concept: Closed Padlock on computer keyboard background

There exist so many cyber security threats out in the world, and we need to be prepared if we encounter one. So here I am going to list you some of the most common threats and some countermeasures to those problems.

  1. Spoofing user identity.- using a fake authentication to gain access to a system.
    • Countermeasures:
      • Do not store passwords in files.
      • Use a strong authentication.
      • Do not send passwords over the internet.
  2. Tampering with Data.- unauthorized modification of data.
    • Countermeasures:
      • Use digital signatures.
      • Use data hashing and signing.
      • Use strong authentication.
  3. Information Disclosure.- unwanted exposure of data.
    • Countermeasures:
      • Use strong encryption.
      • Use strong authentication.
  4. Phishing.- making use of a fake email or webpage so user can put personal information
    • Countermeasures:
      • Delete suspicious email.
      • Enter to verify websites.
      • Look for digital signatures.
  5. Malicious Code.- software that cause malfunctions inside a system.
    • Countermeasures:
      • Turn off automatic downloading.
      • Block malicious websites.
      • Stay current with OS updates.
  6. Weak and Default Passwords

Total domination of the World! … Or at least of your OS?

--Originally published at TC2027 – Will It Blog?

First of all I would like to say this was a post in collaboration with two other people: Cesar Cornejo and Audray (Ariadna)

About everybody knows by now that systems need security in order to protect data from access of unauthorized users or malicious programs. Operating Systems are no exception to this rule.

Related image

Another characteristic of Operating Systems aside from performing hardware abstractions and sharing/coordinating data among processes, is that they also need to ensure security on each one of its resources such as CPU, disk memory, ram memory, programs and information or data that programs use.

UNIX/Linux

How do they achieve this? For example In UNIX systems at the most low level inside we have three protection domains available: owner, group and global. For each domain three operations are allowed over a certain resource and those are either reading (r), writing(w) and executing (x). So only the superuser (or the sudo user) can change resource settings in order to manage the permissions over those resources, the type of session that is allowed to use them and what are they allowed to do with them.

Related image

Mac OS

On other hand, Apple’s Mac OS X implements extra layer security like:

  • Application Firewall which lets you control the connections made to your computer by others.
  • Gatekeeper which can block, in previous configuration, any install aside from the apps made by Apple.
  • XProtect which compares any downloaded file with a blacklist made by Apple of known malware.

This extra security measures can make a big difference to the average user of any computer and having them running by default is a big plus to not worry with technical issues.

Image result for simpsons lies

We can make an extra comment about an usual myth: Neither Mac’s nor Unix’s can’t get virus.It’s a lie, both of them can

Related image
Continue reading "Total domination of the World! … Or at least of your OS?" →

Papelito habla!

--Originally published at The shield of the world

So there are a lot of options to actually certificate yourself as an computer security. Why is important to have a certificate? To actually prove that you have a good amount of knowledge and that you are worth to be hired. Is like the certificates in the web pages. A prove that you can actually trust in something.

200w

So there are a lot of certificates some of the most popular are:

  1. Comp TIA Security +
  2. CEH: Certified Ethical Hacker
  3. G SEC: SANS GIAC Security Essentials
  4. CISSP: Certified Information Systems Security Professional
  5. CISM: Certified Information Security Manager

In this list provided by InfoSec, there are entry-level credentials, like Security+ and GIAC Security Essentials, as well as more advanced certs, such as the CEH, CISSP and CISM.

So as an advice from there guys getting a certification is a good bet if you actually want to advance your career in the IT field and if you are interested in specializing in security.

2004

Is important to know that there are a number of tracks a professional can take to demonstrate qualifications. Four sources categorizing these, and many other credentials, licenses and certifications, are:

  1. Schools and universities;
  2. “Vendor” sponsored credentials (Microsoft, Cisco)
  3. Association and organization sponsored credentials
  4. Governmental body sponsored licenses, certifications and credentials

Is important to know that the quality and acceptance of the IT credentials vary worldwide as you may imagine. Like passing from a Master degree, to Microsoft certification, to a list of lesser known credentials.

So, getting a certificate is a good option and probably the best is to go for a entry level known course or certification to have the quality and acceptance in every country. Probably some of them are really useful in your country because they are known, but this may not happen in other countries.

2005

Go
Continue reading "Papelito habla!" →

Is not about you…is about me

--Originally published at The shield of the world

So when we talk about Computer Security there is a topic that some of us really think about. How to ensure the ethical and legal responsibilities, why this? Because when someone has the knowledge about this topic is easy to go from white to black hat in a matter of seconds.

2001

There are some other professionals whose jobs duties affect others’ lives and they receive a formal training, to address ethical issues and how to deal with them. In the case of the IT security personnel they have access to confidential data and knowledge about individuals’ and companies’ networks and systems that give them a great deal of power. That power can be abused, either deliberately or inadvertently. But there are no standardized training requirements for hanging out your shingle as an IT pros are beginning to address the ethical side of the job, but again, there is no requirement for IT security personnel to belong to those organizations.

200

This is something related to what happened to Tec de Monterrey, when the institution was growing and becoming important in the country as a quality education institution, their mission was to deliver a god tier prepared technicians to the professional world. And they did, but they all lack of ethical values and were some of the critics that the institution received as feedback from the enterprises that hire the graduates from Tec.

Nowadays the institution has more courses related to ethical challenges and how to deal with them, debating about the best solution with a global perspective of the affected ones. As a technical related career we, with the help of the professors are developing an ethical guidelines. Is something when everybody should be related to.

So the main responsibility is to respect the privacy of the information an IT or

2002
Continue reading "Is not about you…is about me" →