Alumno:
Profesor:
SISTEMAS DE INFORMACIÓN
BOGOTÁ D.C.
2019
Tabla de Contenido
Ítem
Introducción ............................................................................................................. 3
Definición de Amenazas .......................................................................................... 4
1. Inyección SQL ................................................................................................ 4
2. Negación o denegación de servicios .............................................................. 5
Soluciones o controles de amenazas informáticas con el fin de disminuir múltiples
riesgos ..................................................................................................................... 6
1. Inyección SQL ................................................................................................ 6
2. Negación o denegación de servicios .............................................................. 8
Introducción
Las bases de datos son el “corazón” del negocio. Es el activo más importante:
¿Por qué son tan vulnerables las bases de datos? Las empresas no invierten en la
protección de éstas. Los piratas informáticos acceden a datos sensibles y pueden
extraer valores, causar daños o afectar las operaciones comerciales causando
pérdidas financieras.
En el año 2015, la OTA (Online Trust Alliance) menciona que más del 97% de
estos ataques podrían haberse evitado si se aplicaban medidas simples, siguiendo
“mejores prácticas” y controles internos.
Ranking Amenaza
1 Privilegios excesivos y privilegios no utilizados
2 Abuso de privilegios legítimos
3 Inyección SQL
4 Malware
5 Proceso de auditoría débil
6 Exposición de los medios de almacenamiento
Explotación de vulnerabilidades y bases de datos mal
7
configuradas
8 Datos sensibles no administrados
9 Negación o denegación de servicios
10 Educación y experiencia limitada en seguridad
Definición de Amenazas
1. Inyección SQL
Consiste en la inserción de código SQL por medio de los datos de entrada desde
la parte del cliente hacia la aplicación. Es decir, por medio de la inserción de este
código el atacante puede modificar las consultar originales que debe realizar la
aplicación y ejecutar otras totalmente distintas con la intención de acceder a la
herramienta, obtener información de alguna de las tablas o borrar los datos
almacenados, entre otras muchas cosas.
Existen dos técnicas de este tipo de ataques: la denegación de servicio o DoS (por
sus siglas en inglés Denial of Service) y la denegación de servicio distribuido o
DDoS (por sus siglas en inglés Destributed Denial of Service). La diferencia entre
ambos es el número de ordenadores o IP´s que realizan el ataque.
1. Inyección SQL
Aunque pueda parecer una tontería, no hay mejor medida para evitar este tipo de
ataques que realizar una buena programación, poniendo en práctica las
necesidades básicas y el interés para desarrollar una aplicación totalmente
segura.
- Evitar trabajar con los puertos conocidos, 1434 para MS SQL Server; esto
no evitará el ataque pero si generará confusión en el atacante al no
encontrar el servicio ejecutándose en el puerto por omisión.