|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Las 20 vulnerabilidades más críticas en Internet | ||
|---|---|---|
VSantivirus No. 801 - Año 6 - Martes 17 de setiembre de 2002 Las 20 vulnerabilidades más críticas en Internet http://www.vsantivirus.com/20vul.htm (Resumen del artículo publicado por The SANS Institute) Por Redacción VSAntivirus vsantivirus@videosoft.net.uy The SANS Institute (System Administration, Networking, and Security Institute) y el FBI, han venido publicando una extensa lista con las veinte vulnerabilidades más explotadas en la mayoría de los ataques a sistemas computacionales vía Internet. Recientemente, se ha publicado una actualización de su versión original (en inglés). En los enlaces que se ofrecen al final, pueden encontrarse las versiones de otros idiomas, incluido el español, aunque en este caso, sin actualizar. El listado completo, incluye soluciones y sugerencias de cada vulnerabilidad. Estos 20 artículos incluyen conocidas vulnerabilidades tanto en Windows, como en Unix, las que son explotadas a menudo por atacantes y programas malévolos, como virus y troyanos. "La mayoría de los ataques exitosos a los sistemas de computadoras vía Internet se deben a la explotación de algunas de las fallas de seguridad aquí expuestas", afirman voceros del SANS. Rasgos de seguridad más comunes Entre los errores de seguridad más comunes, está el de instalar cualquier software del sistema sin quitar los servicios innecesarios, ni instalar todos los parches de seguridad recomendados. También la falta de contraseñas, o el uso de estas con pocos caracteres, es un problema de seguridad enorme para cualquier corporación. También deberían evitarse las contraseñas predefinidas o por defecto. Demasiados puertos abiertos para que algún usuario pueda conectarse a su PC es contraproducente. Las recomendaciones obvias son cerrar todos los puertos y luego solo abrir los que realmente se necesiten. Medidas de Seguridad elementales Utilice contraseñas más fuertes. Escoja aquellas que sean difíciles o imposible de suponer. Póngale contraseñas diferentes a cada una de las cuentas. Realice respaldos regulares de datos críticos. Estos respaldos deben hacerse por lo menos una vez al día en el caso de usuarios o empresas pequeñas. Para organizaciones más grandes y complejas, deben realizarse respaldos completos por lo menos una vez a la semana, y respaldos incrementales todos los días. Utilice un antivirus monitoreando toda actividad de archivos, actualizándolo periódicamente (sugerido una vez a la semana, lo ideal es diariamente). Utilice cortafuegos como barrera entre su computadora e Internet. Los cortafuegos normalmente son productos de software. Ellos son esenciales para aquéllos que poseen enlaces de banda ancha con conexiones las 24 horas (DSL, cable módem, etc.), y muy recomendados para todos los que utilicen Internet, aún a través de la línea telefónica. No deje que las computadoras sigan ON-LINE cuando no están en uso. Físicamente desconéctelas de la conexión de Internet si fuera necesario. No abra bajo ningún concepto, adjuntos en el correo electrónico que venga de extraños, sin importar lo que mencione su asunto o el archivo adjunto. Sospeche siempre de cualquier adjunto de alguien conocido, que le envía un adjunto que usted no solicitó. Esa persona podría estar infectada, y enviar el correo infectado sin siquiera percatarse del error. Sospeche de cualquier adjunto no esperado, de alguien que usted conoce porque se puede haber enviado sin el conocimiento de esa persona desde una máquina infectada. Baje e instale regularmente los parches necesarios a medida que estos vayan apareciendo. En concreto, estas pocas vulnerabilidades son la base de la mayoría de los ataques exitosos, que suelen aprovecharse de las brechas más conocidas con las herramientas de ataque más efectivas y fáciles de conseguir. La mayoría de los atacantes, simplemente se aprovecha de quienes no actualizan su software, casi siempre por pereza. Según el FBI y SANS, la oportuna instalación de parches largamente anunciados, hubiera prevenido la mayoría de los ataques exitosos. Para que esta omisión no sea por ignorancia, la presente lista debería servir de claro punto de referencia. Vulnerabilidades que afectan a todos los sistemas 1. Instalaciones por defecto de sistemas y aplicaciones La mayoría del software, incluyendo sistemas operativos y aplicaciones, viene con scripts de instalación o programas de instalación. La meta de estos programas de instalación es dejar los sistemas operativos lo más rápido posible, con la mayor parte de funciones disponibles o habilitadas, y con la ayuda de muy poco trabajo por parte del administrador. Para lograr esta meta, los scripts típicamente instalan más componentes de los que se necesitan en realidad. La filosofía de los fabricantes es que resulta mejor habilitar funciones que no son utilizadas que hacer que el usuario instale funciones adicionales a medida que las vaya requiriendo. Esta aproximación, aunque conveniente para el usuario, genera la mayoría de las vulnerabilidades de seguridad debido a que los usuarios no mantienen activamente o aplican los parches a los componentes de software que utilizan. Más aún, muchos usuarios no son conscientes de lo que está realmente instalado en sus propios sistemas, dejando peligrosos programas de demostración en ellos por el simple hecho de que no saben que están ahí. Aquellos servicios a los que no se les han aplicado los parches proveen rutas para que los atacantes puedan tomar el control de las máquinas. Con respecto a los sistemas operativos, las instalaciones por defecto casi siempre incluyen extraños servicios con sus correspondientes puertos abiertos. Los atacantes se introducen en estos sistemas por medio de dichos puertos. En la mayoría de los casos, cuantos menos puertos se hallen abiertos, menos alternativas tiene un atacante para comprometer su red. Con respecto a las aplicaciones, las instalaciones por defecto usualmente incluyen programas o scripts de demostración que no son realmente necesarios. Una de las vulnerabilidades más serias en los servidores Web son los scripts de ejemplo; los atacantes usan estos scripts para comprometer el sistema u obtener información acerca de éste. En la mayoría de los casos el administrador del sistema comprometido no se dio cuenta siquiera de que estos scripts de ejemplo se encontraban instalados. Los scripts de ejemplo son un problema porque por lo general no son sometidos al mismo proceso de control de calidad que otros programas. De hecho, están sorprendentemente mal escritos en la mayoría de los casos. La revisión de errores es habitualmente olvidada por lo que ofrecen un terreno abonado para ataques del tipo desbordamiento de buffer. Tenga siempre presente que gran parte de las extensiones de terceros para servidores de páginas Web vienen o incluyen archivos de ejemplo, muchos de los cuales son extremadamente peligrosos. 2. Cuentas sin contraseña o contraseñas débiles La mayoría de los sistemas se encuentran configurados para usar contraseñas secretas como primera y única línea de defensa. Los nombres de usuario (user IDs) son relativamente fáciles de conseguir y la mayoría de las compañías tienen accesos telefónicos que se saltan el cortafuegos. Es por esto que si un atacante puede determinar el nombre de una cuenta y su contraseña correspondiente, él o ella pueden entrar en la red. Dos grandes problemas lo constituyen las contraseñas fáciles de adivinar y las contraseñas por defecto, pero aún así, uno mucho mayor son las cuentas sin contraseña. En la práctica, todas las cuentas con contraseñas débiles, contraseñas por defecto o contraseñas en blanco deben de ser eliminadas de su sistema. Adicionalmente, muchos sistemas contienen cuentas que vienen incluidas o cuentas por defecto. Estas cuentas generalmente tienen la misma contraseña para todas las instalaciones del software. Los atacantes habitualmente buscan estas cuentas ya que son bien conocidas por su comunidad. Por esta razón, cualquier cuenta preexistente o por defecto, debe ser identificada y eliminada del sistema. Resulta afectado cualquier sistema operativo o aplicación en los cuales los usuarios se autentifiquen por medio de un nombre de usuario y una contraseña. 3. Respaldos (backups) incompletos o inexistentes Cuando ocurre un incidente (y va a ocurrir en casi todas las organizaciones), la recuperación requiere respaldos actualizados y métodos probados para restaurar la información. Algunas organizaciones hacen respaldos diarios, pero nunca verifican que éstos se encuentren realmente funcionando. Otros definen políticas de respaldo, pero no políticas o procedimientos de restauración. Tales errores son usualmente descubiertos después de que un atacante ha entrado en los sistemas y ha destruido o arruinado la información. Un segundo problema que afecta a los respaldos es la insuficiente protección física del medio de respaldo. Los respaldos contienen la misma información sensible que reside en los servidores, y debe, por lo tanto, ser protegido de la misma forma. Los respaldos deben ser realizados al menos diariamente. El requerimiento mínimo en la mayoría de las organizaciones es realizar un respaldo completo una vez a la semana y respaldos incrementales todos los días. Debe verificarse al menos una vez al mes el soporte del respaldo mediante la restauración en un servidor de prueba que permita ver si la información se está respaldando correctamente. Este es el requerimiento mínimo. Algunas compañías realizan respaldos totales o completos varias veces al día. La mejor solución de respaldo es uno total y redundante a prueba de fallos (failover) - una solución que es requerida para sistemas financieros y de comercio electrónico críticos y de tiempo real, sistemas que controlan infraestructura crítica y algunos sistemas del Departamento de Defensa. 4. Gran número de puertos abiertos Tanto los usuarios legítimos como los atacantes se conectan a los sistemas por medio de puertos. Cuantos más puertos se encuentren abiertos más formas hay para que alguien se conecte. Por lo tanto, es importante mantener abiertos sólo los puertos imprescindibles para que el sistema funcione correctamente. El resto de los puertos deben ser cerrados. 5. Insuficiente filtrado de los paquetes con direcciones de inicio y destino inadecuadas La falsificación de direcciones IP es un método comúnmente utilizado por los atacantes para cubrir sus huellas cuando atacan a una víctima. Por ejemplo, el popular ataque "smurf" hace uso de una característica de los enrutadores (routers) para enviar una secuencia de paquetes a miles de máquinas. Cada paquete contiene una dirección IP de origen que es suplantada de una víctima. Las máquinas a las que estos paquetes falsificados son enviados inundan a la máquina víctima generalmente deteniendo sus servicios o bien deteniendo los servicios de una red completa. Utilizar un mecanismo de filtrado sobre el tráfico que entra en la red (ingress filtering) y el que sale (egress filtering) le ayudará a lograr un alto nivel de protección. 6. Registro de eventos (logging) incompleto o inexistente Una de las máximas de la seguridad es, "la prevención es ideal, pero la detección es fundamental". Mientras usted permita fluir el tráfico entre su red y la Internet, la probabilidad de que un atacante llegue silenciosamente y la penetre está siempre latente. Cada semana se descubren nuevas vulnerabilidades y existen muy pocas formas de defenderse de los ataques que hagan uso de las mismas. Una vez que usted ha sido atacado, sin registros (logs) hay muy pocas probabilidades de que descubra qué hicieron realmente los atacantes. Sin esa información su organización debe elegir entre recargar completamente el sistema operativo desde el soporte original y luego esperar que los respaldos se encuentren en buenas condiciones, o bien correr y asumir el riesgo que representa seguir utilizando un sistema que un atacante controla. Usted no puede detectar un ataque si no sabe qué está ocurriendo en la red. Los registros le proporcionan los detalles de lo que está ocurriendo, qué sistemas se encuentran bajo ataque y qué sistemas han sido comprometidos. El registro debe ser realizado de forma regular sobre todos los sistemas clave, y deben ser archivados y respaldados porque nunca se sabe cuándo se pueden necesitar. La mayoría de los expertos recomiendan enviar todos los registros a un recolector central que escribe la información en un soporte que sólo admita una escritura, con el fin de que el atacante no pueda sobrescribir los registros para evitar la detección. 7. Programas CGI vulnerables La mayoría de los servidores Web, incluyendo IIS de Microsoft y Apache, permiten el uso de programas CGI (Common Gateway Interface) para proporcionar interactividad a las páginas web, habilitando funciones tales como recolección de información y verificación. De hecho, la mayoría de los servidores web vienen con programas CGI de ejemplo preinstalados. Desgraciadamente demasiados programadores de CGIs pasan por alto el hecho de que sus programas proporcionan un vínculo directo entre cualquier usuario en cualquier parte de Internet y el sistema operativo en la máquina que se encuentra ejecutando el servidor Web. Los programas CGI vulnerables resultan especialmente atractivos para los intrusos ya que son relativamente fáciles de localizar y de operar con los mismos privilegios y poder que tiene el software del servidor Web. Es de sobra conocido el hecho de que los intrusos abusan de los programas CGI para modificar páginas Web, robar información de tarjetas de crédito e instalar puertas traseras que les servirán para posteriormente tener acceso a los sistemas comprometidos. Cuando el sitio web del Departamento de Justicia de los Estados Unidos fue vulnerado, una auditoría exhaustiva concluyó que un fallo en un programa CGI fue la ruta más probable para perpetrar el ataque. Las aplicaciones en los servidores web son igualmente vulnerables a amenazas creadas por programadores descuidados o no muy bien instruidos. Como regla general, los programas de ejemplo deben ser siempre eliminados de los sistemas de producción. Vulnerabilidades más críticas en sistemas Windows 8. Vulnerabilidad Unicode (Salto de directorio en servidores Web - Web Server Folder Traversal) Unicode proporciona un número único para cada carácter, sin importar cuál sea la plataforma, cuál sea el programa o cuál sea el lenguaje. El estándar Unicode ha sido adoptado por la mayoría de los fabricantes, incluyendo Microsoft. Mediante el envío a un servidor IIS de una URL creada cuidadosamente con secuencias inválidas de Unicode UTF-8, un atacante puede forzar a que el servidor literalmente entre y salga de cualquier directorio y ejecute scripts de forma arbitraria. Este tipo de ataque es conocido como el ataque de salto de directorio (Directory Traversal Attack) Los equivalentes en Unicode de / y de \ son %2c y %5c respectivamente. De todas formas, también se puede representar estos caracteres usando secuencias de sobredimensión ("overlong"). Estas secuencias son representaciones Unicode técnicamente inválidas que son más largas de lo que realmente se requiere para representar el carácter. Tanto / como \ pueden ser representados con un solo byte. Una representación "overlong", como por ejemplo %c0%af representa el carácter / mediante el uso de dos bytes. IIS no fue escrito ni diseñado para realizar un chequeo de seguridad en secuencias de sobredimensión. Por esta razón, si se envía una secuencia sobredimensionada de Unicode en una URL se evitan los chequeos de seguridad de Microsoft. Si la petición se realiza desde un directorio marcado como ejecutable, el atacante puede ejecutar los archivos ejecutables en el servidor. Puede encontrar información adicional acerca de la amenaza de Unicode en: http://www.wiretrip.net/rfp/p/doc.asp?id=57&face=2 9. Desbordamiento de Buffer en extensiones ISAPI El Microsoft Internet Information Server (IIS) es un servidor Web que se encuentra en la mayoría de los sitios basados en Microsoft Windows NT y Microsoft Windows 2000. Cuando se instala IIS, se instalan también automáticamente varias extensiones ISAPI. ISAPI, que significa Interfaz de Programación de Aplicaciones para Servicios de Internet, permite que los programadores puedan extender las capacidades de un servidor mediante el uso de DLLs. Varias de las DLLs, como idq.dll, contienen errores de programación que causan que éstas realicen un chequeo incorrecto de límites. En particular no bloquean entradas inaceptablemente largas. Los atacantes pueden enviar información a estas DLLs, en lo que se conoce como un ataque por desbordamiento de buffer, y tomar control de un servidor IIS. 10. Exploit para RDS del IIS (Servicios de información remota Microsoft) Microsoft Internet Information Server (IIS) es un servidor Web que se encuentra en la mayoría de los sitios basados en Microsoft Windows NT y Windows 2000. Es posible explotar fallos de programación en los servicios RDS de IIS con el fin de ejecutar comandos remotos con atributos administrativos. Habitualmente resultan afectados los sistemas Microsoft Windows NT 4.0 con Internet Information Server que tengan el directorio virtual /msadc asociado. 11. NETBIOS - recursos compartidos en red no protegidos El protocolo SMB (Server Message Block), también conocido como CIFS (Common Internet File System), permite habilitar la compartición de recursos a través de la red. Muchos usuarios permiten el acceso a sus discos con la intención de facilitar el trabajo en grupo con sus colaboradores. Sin saberlo, están abriendo sus sistemas a cualquier atacante al permitir el acceso, tanto de lectura como de escritura, a otros usuarios de la red. Como ejemplo sirva el caso de una institución del gobierno de los Estados Unidos dedicada al desarrollo de software para planificación de misión. Los administradores, con el objetivo de que algunas personas de otro centro del gobierno pudieran tener acceso a ellos, compartieron sus archivos con permisos de lectura para todo el mundo. En tan sólo dos días, algunos atacantes descubrieron las particiones compartidas y robaron el software de planificación de misión. Habilitar la propiedad de compartir archivos en máquinas Windows las hace vulnerables tanto al robo de información como a ciertos tipos de virus que se propagan con rapidez. Las máquinas Macintosh y UNIX son también vulnerables a ataques de este tipo si los usuarios habilitan la compartición de archivos. Los mecanismos SMB que permiten el compartir archivos en Windows pueden ser también utilizados por posibles atacantes para obtener información sensible acerca de dichos sistemas. A través de conexiones de tipo "sesión nula" ("null session") con el servicio de sesión de NetBIOS es posible obtener información sobre usuarios y grupos (nombres de usuario, fecha de la última sesión, política de contraseñas, información de acceso remoto RAS), sobre el sistema, y ciertas claves del registro. Toda esta información es útil para los crackers porque les ayuda a preparar un ataque contra el sistema consistente en la predicción de posibles contraseñas o simplemente la averiguación de las mismas por la fuerza bruta. 12. Fuga de información a través de conexiones de tipo "sesión nula" Una conexión de tipo "sesión nula", también conocida como "entrada anónima al sistema", es un mecanismo que permite a un usuario anónimo obtener información (como nombres de usuario y recursos compartidos) a través de la red, o conectarse sin autenticarse contra el sistema. Este mecanismo es usado por aplicaciones como "explorer.exe" para enumerar los recursos compartidos en sistemas remotos. En Windows NT y Windows 2000 muchos servicios locales se ejecutan sobre la cuenta del sistema (SYSTEM), conocida como LocalSystem en Windows 2000. La cuenta SYSTEM se usa para diversas tareas críticas para el sistema. Cuando una máquina necesita obtener datos de sistema de otra, la cuenta SYSTEM abrirá una "sesión nula" contra la otra máquina. La cuenta SYSTEM tiene virtualmente privilegios ilimitados y no tiene contraseña, por lo que no es posible entrar en el sistema como usuario SYSTEM. SYSTEM necesita en ocasiones acceder a información tal como recursos compartidos disponibles, nombres de usuario, etc. en otras máquinas -- una funcionalidad del tipo "Entorno de Red". Dado que no es posible conectarse a otros sistemas utilizando un identificador de usuario y una contraseña, utiliza una "sesión nula" para obtener acceso. Desgraciadamente, un atacante también puede utilizar la "sesión nula" del mismo modo. 13. Hashing débil en SAM (LM hash) A pesar de que la mayor parte de los usuarios de Windows no tienen necesidad de soporte para LAN Manager, Microsoft almacena las contraseñas LAN Manager por defecto, tanto en los sistemas Windows NT como en Windows 2000. Dado que LAN Manager utiliza un esquema de cifrado mucho más débil que el resto de los utilizados por Microsoft, las contraseñas LAN Manager pueden ser descifradas en un corto espacio de tiempo. Incluso aquellas contraseñas más robustas pueden ser descifradas en menos de un mes. Las mayores debilidades de los hashes de LAN Manager son las siguientes:
Esto significa que un programa que descifre contraseñas tiene que captar tan solo dos contraseñas de 7 caracteres, sin tan siquiera tener que probar las letras minúsculas. Además, LAN Manager es vulnerable a la captura por parte de posibles crackers de las contraseñas de los usuarios a través de la red.
18. LPD (demonio del protocolo de impresión remota) |
||
