Seguridad Informatica

Seguridad Informatica

miércoles, 4 de diciembre de 2013

SISTEMAS DE INFORMACION GERENCIAL

Sistemas de Información Gerencial


Los gerentes o administradores dependen de medios formales e informales para obtener los datos que requieren para tomar decisiones.
La información formal llega a manos de los gerentes mediante informes administrativos y estadísticas de rutina.
Estos informes son estandarizados, se producen regularmente y constituyen la parte más visible de lo que se denomina Sistema de Información Gerencial (SIG).
La información informal incluye rumores y discusiones no oficiales con sus colegas. La experiencia personal, educación, sentido común, intuición y conocimiento del medio social y político, son parte de los medios informales de recolectar datos.

DEFINICION
Los sistemas de información gerencial son una colección de sistemas de información que interactúan entre sí y que proporcionan información tanto para las necesidades de las operaciones como de la administración
En teoría, una computadora no es necesariamente un ingrediente de un Sistema de Información Gerencial (SIG), pero en la práctica es poco probable que exista un SIG complejo sin las capacidades de procesamiento de las computadoras.
Es un conjunto de información extensa y coordinada de subsistemas racionalmente integrados que transforman los datos en información en una variedad de formas para mejorar la productividad de acuerdo con los estilos y características de los administradores.
Actividades Principales de los SIG
1.-Reciben datos como entrada, procesan los datos por medio de cálculos, combinan elementos de los datos, etc.
2.- Proporcionan información en manuales, electromecánicos y computarizados
3.- Sistema de Información de Procesamiento de Transacciones, Sistema de Información para Administradores, Sistema de Información de Informes Financieros Externos.

PLANEACION Y CONTROL.
Todas las funciones gerenciales; Planeación, Organización, Dirección y Control son necesarias para un buen desempeño organizacional. Para apoyar estas funciones, en especial la Planeación y el Control son necesarios los Sistemas de Información Gerencial
Por tanto el valor de la información proporcionada por el sistema, debe cumplir con los siguientes cuatro supuestos básicos:
Calidad, oportunidad, cantidad y relevancia
Calidad:
Para los gerentes es imprescindible que los hechos comunicados sean un fiel reflejo de la realidad planteada.
Oportunidad:
Para lograr un control eficaz, las medidas correctivas en caso de ser necesarias, deben aplicarse a tiempo, antes de que se presente una gran desviación respecto de los objetivos planificados con anterioridad.
Cantidad:
Es probable que los gerentes casi nunca tomen decisiones acertadas y oportunas si no disponen de información suficiente, pero tampoco deben verse desbordados por información irrelevante e inútil, pues esta puede llevar a una inacción o decisiones desacertadas.
Relevancia:
La información que le es proporcionada a un gerente debe estar relacionada con sus tareas y responsabilidades.


DESARROLLO DE UN S. I. G.

Se requiere un gran esfuerzo, experiencia, tiempo y dinero para crear un sistema de información gerencial que produzca información integrada y completa
Sin embargo, aun cuando la organización no se haya impuesto el compromiso de desarrollar esta tarea, se puede realizar una función importante para mejorar el sistema y cubrir sus necesidades.
Tal vez no sea posible cambiar los formularios de registro o archivos, pero pueden hacerse cambios marginales, tales como el mejoramiento en la exactitud de los datos y la puntualidad de las fechas de informe.
Actualmente la Alta Gerencia está destinada a ampliar los horizontes de planificación y a la toma de decisiones bajo grados de incertidumbres cada vez mayores, a causa del aumento de la competencia en el medio empresarial, (incremento en el número de competidores), y a la disminución en la disponibilidad de los recursos.
Esto conduce a la imperiosa necesidad de manipular cada vez más información para poder realizar decisiones acertadas.
Es reconocido que la gerencia de información es la base fundamental de una gerencia estratégica adecuada. La introducción de la tecnología de computadores ha conllevado a que los diversos sistemas de información se conviertan en elementos de importancia en la organización.
Considerando la inmensa capacidad, en lo que al manejo de la información se refiere; los computadores están en capacidad de convertirse en una ventaja estratégica para las organizaciones más diversas
Por ello debe dársele a la tecnología de cómputos, la gran importancia y el suficiente tiempo que merecen para ayudar en forma fructífera, la integración efectiva del análisis y la intuición; en vez de considerarlo simplemente como una forma o manera de reducir los costos



ESTRUCTURA DE UN S. I. G.
Así mismo se define SIG como:
Un sistema integrado usuario –maquina, el cual implica que algunas tareas son mejor realizadas por el hombre, mientras que otras son muy bien hechas por la maquina, para prever información que apoye las operaciones, la administración y las funciones de toma de decisiones en una empresa.
El sistema utiliza equipos de computación y software, procedimientos, manuales, modelos para el análisis la planeación el control y la toma de decisiones y además una base de datos.

El sistema de información gerencial se puede informar como una estructura piramidal.
1.-La parte inferior de la pirámide esta comprendida por la información relacionada con el procesamiento de las transacciones preguntas sobre su estado.
2.-El siguiente nivel comprende los recursos de información para apoyar las operaciones diarias de control.
3.-El tercer nivel agrupa los recursos del sistema de información para ayudar a la planeación táctica y la toma de decisiones relacionadas con el control Administrativo.
4.-El nivel más alto comprende los recursos de información necesarios para apoyar la planeación estratégica y la definición de política de los niveles más altos de la administración.

CONCLUSIÓN:
La introducción de la tecnología de computadores ha conllevado a que los diversos sistemas de información se conviertan en elementos de importancia en la organización. Es por eso que en la actualidad la empresa que no lleve un sistema cualquiera que este sea no se considera estar a la vanguardia.

SISTEMAS DE INFORMACIÓN GERENCIAL

Los sistemas de información gerencial son una colección de sistemas de información que interactúan entre sí y que proporcionan información tanto para las necesidades de las operaciones como de la administración
En teoría, una computadora no es necesariamente un ingrediente de un Sistema de Información Gerencial (SIG), pero en la práctica es poco probable que exista un SIG complejo sin las capacidades de procesamiento de las computadoras.
Es un conjunto de información extensa y coordinada de subsistemas racionalmente integrados que transforman los datos en información en una variedad de formas para mejorar la productividad de acuerdo con los estilos y características de los administradores.

ACTIVIDADES PRINCIPALES DE LOS SIG
1.-Reciben datos como entrada, procesan los datos por medio de cálculos, combinan elementos de los datos, etc.
2.- Proporcionan información en manuales, electromecánicos y computarizados
3.-Sistema de Información de Procesamiento de Transacciones, Sistema de Información para Administradores, Sistema de Información de Informes Financieros Externos.

PLANEACIÒN Y CONTROL.
Todas las funciones gerenciales; Planeación, Organización, Dirección y Control son necesarias para un buen desempeño organizacional. Para apoyar estas funciones, en especial la Planeación y el Control son necesarios los Sistemas de Información Gerencial
Por tanto el valor de la información proporcionada por el sistema, debe cumplir con los siguientes cuatro supuestos básicos:

Calidad, oportunidad, cantidad y relevancia

1.- Calidad:
Para los gerentes es imprescindible que los hechos comunicados sean un fiel reflejo de la realidad planteada.
2.- Oportunidad:
Para lograr un control eficaz, las medidas correctivas en caso de ser necesarias, deben aplicarse a tiempo, antes de que se presente una gran desviación respecto de los objetivos planificados con anterioridad.
3.- Cantidad:
Es probable que los gerentes casi nunca tomen decisiones acertadas y oportunas si no disponen de información suficiente, pero tampoco deben verse desbordados por información irrelevante e inútil, pues esta puede llevar a una inacción o decisiones desacertadas.
4.- Relevancia:
La información que le es proporcionada a un gerente debe estar relacionada con sus tareas y responsabilidades.

DESARROLLO DE UN S. I. G.
Se requiere un gran esfuerzo, experiencia, tiempo y dinero para crear un sistema de información gerencial que produzca información integrada y completa
Sin embargo, aun cuando la organización no se haya impuesto el compromiso de desarrollar esta tarea, se puede realizar una función importante para mejorar el sistema y cubrir sus necesidades.
Tal vez no sea posible cambiar los formularios de registro o archivos, pero pueden hacerse cambios marginales, tales como el mejoramiento en la exactitud de los datos y la puntualidad de las fechas de informe.

Actualmente la Alta Gerencia está destinada a ampliar los horizontes de planificación y a la toma de decisiones bajo grados de incertidumbres cada vez mayores, a causa del aumento de la competencia en el medio empresarial, (incremento en el número de competidores), y a la disminución en la disponibilidad de los recursos.
Esto conduce a la imperiosa necesidad de manipular cada vez más información para poder realizar decisiones acertadas.
Es reconocido que la gerencia de información es la base fundamental de una gerencia estratégica adecuada. La introducción de la tecnología de computadores ha conllevado a que los diversos sistemas de información se conviertan en elementos de importancia en la organización.
Considerando la inmensa capacidad, en lo que al manejo de la información se refiere; los computadores están en capacidad de convertirse en una ventaja estratégica para las organizaciones más diversas
Por ello debe dársele a la tecnología de cómputos, la gran importancia y el suficiente tiempo que merecen para ayudar en forma fructífera, la integración efectiva del análisis y la intuición; en vez de considerarlo simplemente como una forma o manera de reducir los costos

FACTORES QUE DETERMINAN SU DESEMPEÑO.
Si se habla de una institución que no tiene los recursos humanos con experiencia en sistemas de información gerencial que desea organizar o mejorar su SIG, es buena idea solicitar ayuda de personas u organizaciones que tengan dicha experiencia o de un consultor.
Es muy probable que éstas sigan una serie de pasos para obtener una visión general del sistema de información, la manera cómo funciona y qué se requiere para mejorarlo.

Los pasos para analizar los SIG:
1.-Identificar a todos aquellos que están utilizando o deberían utilizar los distintos tipos de información (profesionales, trabajadores de campo, supervisores, administradores, etc.).
2.-Establecer los objetivos a largo y corto plazo de la organización, departamento o punto de prestación de servicios.
3.-Identificar la información que se requiere para ayudar a las diferentes personas a desempeñarse efectiva y eficientemente, y eliminar la información que se recolecta pero que no se utiliza.
4.-Determinar cuáles de los formularios y procedimientos actuales para recolectar, registrar, tabular, analizar y brindar la información, son sencillos, no requieren demasiado tiempo y cubren las necesidades de los diferentes trabajadores, y qué formularios y procedimientos necesitan mejorarse.
5.-Revisar todos los formularios y procedimientos existentes para recolectar y registrar información que necesiten mejorarse o preparar nuevos instrumentos si es necesario.
6.-Establecer o mejorar los sistemas manuales o computarizados para tabular, analizar, y ofrecer la información para que sean más útiles a los diferentes trabajadores
7.-Desarrollar procedimientos para confirmar la exactitud de los datos.
8.-Capacitar y supervisar al personal en el uso de nuevos formularios, registros, hojas de resumen y otros instrumentos para recolectar, tabular, analizar, presentar y utilizar la información.
9.-Optimizar un sistema de información gerencial: qué preguntar, qué observar, qué verificar.

ESTRUCTURA DE UN S. I. G.
Así mismo se define SIG como:
Un sistema integrado usuario –maquina, el cual implica que algunas tareas son mejor realizadas por el hombre, mientras que otras son muy bien hechas por la maquina, para prever información que apoye las operaciones, la administración y las funciones de toma de decisiones en una empresa.
El sistema utiliza equipos de computación y software, procedimientos, manuales, modelos para el análisis la planeación el control y la toma de decisiones y además una base de datos.

El sistema de información gerencial se puede informar como una estructura piramidal.
1.-La parte inferior de la pirámide esta comprendida por la información relacionada con el procesamiento de las transacciones preguntas sobre su estado.
2.-El siguiente nivel comprende los recursos de información para apoyar las operaciones diarias de control.
3.-El tercer nivel agrupa los recursos del sistema de información para ayudar a la planeación táctica y la toma de decisiones relacionadas con el control Administrativo.
4.-El nivel más alto comprende los recursos de información necesarios para apoyar la planeación estratégica y la definición de política de los niveles más altos de la administración

CONCLUSIÓN:
La introducción de la tecnología de computadores ha conllevado a que los diversos sistemas de información se conviertan en elementos de importancia en la organización. Es por eso que en la actualidad la empresa que no lleve un sistema cualquiera que este sea no se considera estar a la vanguardia.


Sistemas de Informacion Gerencial- Capitulo 8 seguridad.pdf.pdf by alumnossistemas

AUDITORIA DE SISTEMAS

¿Qué es la auditoría de sistemas de información?


Es el estudio que comprende el análisis y gestión de sistemas llevado a cabo por profesionales para identificar, enumerar y posteriormente describir las diversas vulnerabilidades que pudieran presentarse en una revisión exhaustiva de las estaciones de trabajo, redes de comunicaciones o servidores.
Una vez obtenidos los resultados, se detallan, archivan y reportan a los responsables quienes deberán establecer medidas preventivas de refuerzo y/o corrección siguiendo siempre un proceso secuencial que permita a los administradores mejorar la seguridad de sus sistemas aprendiendo de los errores cometidos con anterioridad.
Las auditorías de seguridad de sistemas informáticos permiten conocer en el momento de su realización cuál es la situación exacta de sus activos de información en cuanto a protección, control y medidas de seguridad.
En la auditoría se verifica la seguridad en la autenticidad, confidencialidad, integridad, disponibilidad y auditabilidad de la información tratada por los sistemas.


Objetivos de la auditoría


El control de la función informática.
El análisis de la eficiencia de los Sistemas Informáticos.
La verificación del cumplimiento de la Normativa en este ámbito.
La revisión de la eficaz gestión de los recursos informáticos.
Asegurar una mayor integridad, confidencialidad y confiabilidad de la información.
Seguridad del personal, los datos, el hardware, el software y las instalaciones.
Minimizar existencias de riesgos en el uso de Tecnología de información.
Conocer la situación actual del área informática para lograr los objetivos.

Tipos de auditoría

Auditoría de la gestión: la contratación de bienes y servicios, documentación de los programas.
Auditoría legal del Reglamento de Protección de Datos: Cumplimiento legal de las medidas de seguridad exigidas por el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos.
Auditoría de los datos: Clasificación de los datos, estudio de las aplicaciones y análisis de los flujo gramas.
Auditoría de las bases de datos: Controles de acceso, de actualización, de integridad y calidad de los datos.
Auditoría de la seguridad: Referidos a datos e información verificando disponibilidad, integridad, confidencialidad y autenticación.
Auditoría de la seguridad física: Referido a la ubicación de la organización, evitando ubicaciones de riesgo, y en algunos casos no revelando la situación física de esta.
Auditoría de la seguridad lógica: Comprende los métodos de autenticación de los sistemas de información.
Auditoría de las comunicaciones: Se refiere a la auditoria de los procesos de autenticación en los sistemas de comunicación.
Auditoría de la seguridad en producción: Frente a errores, accidentes y fraudes.

Estándares para realizar la auditoría

ADACSI: (Asociación de Auditoría y Control de Sistemas de Información) tiene como propósito, avanzar en la generación de estándares globalmente aplicables que satisfagan esta necesidad. El desarrollo y distribución de estándares es la piedra angular de la contribución profesional que realiza ISACA a la comunidad de auditores.
ISACA: Formado por 95.000 auditores en todo el mundo, en mas de 160 países donde presta sus servicios.
COBIT: (Objetivos de Control para la información y Tecnologías relacionadas). La misión es investigar, desarrollar, publicar y promocionar un conjunto de objetivos de control aceptados para las tecnologías de la información que sean autorizados, actualizados, e internacionales para el uso del día a día de los gestores de negocios y auditores. Gestores, auditores, y usuarios se benefician del desarrollo de COBIT porque les ayuda a entender sus Sistemas de Información y decidir el nivel de seguridad y control que es necesario para proteger los activos de sus compañías mediante el desarrollo de un modelo de administración de las tecnologías de la información.
ISO 27002: se conforma como un código internacional de buenas prácticas de seguridad de la información, este puede constituirse como una norma de auditoría apoyándose de otros estándares de seguridad de la información que definen los requisitos de auditoría y sistemas de gestión de seguridad.
ISO 27001: en una organización es un proyecto dependiendo del grado de madurez en seguridad de la información y el alcance de la organización que va a estar sometido al Sistema de Gestión de la Seguridad de la Información elegido. En general, es recomendable la ayuda de consultores externos.

Personal que interviene en una auditoría

Uno de los esquemas generalmente aceptados para tener un adecuado control es que el personal que intervengan esté debidamente capacitado, con alto sentido de moralidad, al cual se le exija la optimización de recursos (eficiencia) y se le retribuya o compense justamente por su trabajo.
Con estas bases se debe considerar las características de conocimientos, práctica profesional y capacitación que debe tener el personal que intervendrá en la auditoria. En primer lugar se debe pensar que hay personal asignado por la organización, con el suficiente nivel para poder coordinar el desarrollo de la auditoria, proporcionar toda la información que se solicite y programar las reuniones y entrevistas requeridas.
Éste es un punto muy importante ya que, de no tener el apoyo de la alta dirección, ni contar con un grupo multidisciplinario en el cual estén presentes una o varias personas del área a auditar, sería casi imposible obtener información en el momento y con las características deseadas.
También se debe contar con personas asignadas por los usuarios para que en el momento que se solicite información, nos proporcionen aquello que se esta solicitando, y complementen el grupo multidisciplinario, ya que se debe analizar no sólo el punto de vista de la dirección de informática, sino también el del usuario del sistema.
Para completar el grupo, como colaboradores directos en la realización de la auditoria se deben tener personas con las siguientes características:
• Técnico en informática.
• Experiencia en el área de informática.
• Experiencia en operación y análisis de sistemas.
• Conocimientos de los sistemas más importantes.
En caso de sistemas complejos se deberá contar con personal con conocimientos y experiencia en áreas específicas como base de datos, redes, etc. Lo anterior no significa que una sola persona tenga los conocimientos y experiencias señaladas, pero si deben intervenir una o varias personas con las características apuntadas.

Auditoria en Sistemas de Información

Herramientas para realizar auditorías

Cuestionarios:


El trabajo de campo del auditor consiste en lograr toda la información necesaria para la emisión de un juicio global objetivo, siempre amparado en hechos demostrables, llamados también evidencias.

Para esto, suele ser lo habitual comenzar solicitando la cumplimentación de cuestionarios preimpresos que se envían a las personas concretas que el auditor cree adecuadas.

Sobre esta base, se estudia y analiza la documentación recibida, de modo que tal análisis determine a su vez la información que deberá elaborar el propio auditor. El cruzamiento de ambos tipos de información es una de las bases fundamentales de la auditoría.

Entrevistas:

El auditor comienza a continuación las relaciones personales con el auditado. Lo hace de tres formas:

1. Mediante la petición de documentación concreta sobre alguna materia de su responsabilidad.

2. Mediante "entrevistas" en las que no se sigue un plan predeterminado ni un método estricto de sometimiento a un cuestionario.

3. Por medio de entrevistas en las que el auditor sigue un método preestablecido de antemano y busca unas finalidades concretas.

La entrevista es una de las actividades personales más importante del auditor; en ellas, éste recoge más información, y mejor matizada, que la proporcionada por medios propios puramente técnicos o por las respuestas escritas a cuestionarios.

Checklist:

El auditor profesional y experto es aquél que reelabora muchas veces sus cuestionarios en función de los escenarios auditados. Tiene claro lo que necesita saber, y por qué. Sus cuestionarios son vitales para el trabajo de análisis, cruzamiento y síntesis posterior. El auditor conversará y hará preguntas "normales", que en realidad servirán para la cumplimentación sistemática de sus Cuestionarios, de sus Checklists.

El auditor pasa por un procesamiento interno de información a fin de obtener respuestas coherentes que permitan una correcta descripción de puntos débiles y fuertes. El auditor pasa por poseer preguntas muy estudiadas que han de formularse flexiblemente.

Por ello, aun siendo importante tener elaboradas listas de preguntas muy sistematizadas, coherentes y clasificadas por materias, todavía lo es más el modo y el orden de su formulación.

Trazas y/o Huellas:

Con frecuencia, el auditor informático debe verificar que los programas, tanto de los Sistemas como de usuario, realizan exactamente las funciones previstas, y no otras. Para ello se apoya en productos Software muy potentes y modulares que, entre otras funciones, rastrean los caminos que siguen los datos a través del programa.

Muy especialmente, estas "Trazas" se utilizan para comprobar la ejecución de las validaciones de datos previstas. Las mencionadas trazas no deben modificar en absoluto el Sistema.

Por lo que se refiere al análisis del Sistema, los auditores informáticos emplean productos que comprueban los valores asignados por Técnica de Sistemas a cada uno de los parámetros variables de las Librerías más importantes del mismo. Estos parámetros variables deben estar dentro de un intervalo marcado por el fabricante.

Del mismo modo, el Sistema genera automáticamente exacta información sobre el tratamiento de errores de maquina central, periféricos, etc.

Software de Interrogación:

Hasta hace ya algunos años se han utilizado productos software, capaces de generar programas para auditores escasamente cualificados desde el punto de vista informático.

Más tarde, dichos productos evolucionaron hacia la obtención de muestreos estadísticos que permitieran la obtención de consecuencias e hipótesis de la situación real de una instalación.

En la actualidad, los Software para la auditoría informática se orientan principalmente hacia lenguajes que permiten la interrogación de ficheros y bases de datos de la empresa auditada. Estos productos son utilizados solamente por los auditores externos, por cuanto los internos disponen del software nativo propio de la instalación.


Medidas de seguridad a adoptar en los diferentes niveles

Los niveles de seguridad son los siguientes:

  • Nivel Básico
  • Nivel Medio
  • Nivel Alto

Medidas de Seguridad de nivel básico:

  • Sistema de Registro de incidencias.
  • Relación actualizada usuarios/recursos autorizados.
  • Existencia de mecanismos de identificación y autenticación de los accesos autorizados.
  • Restricción solo a los datos necesarios para cumplir cada función.
  • Gestión de soportes informáticos con datos de carácter personal:
    • Inventariados.
    • Con acceso restringido.
  • Copias de seguridad semanalmente.

Medidas de seguridad de nivel medio, además de lo estipulado para el nivel bajo:

  • Designación de uno o varios responsables de seguridad.
  • Auditoría al menos una vez cada dos años.
  • Mecanismos para identificación inequívoca y personalizada de los usuarios.
  • Limitación de los intentos de acceso no autorizados.
  • Medidas de control de acceso físico a los locales.
  • Establecimiento de un registro de entradas y salidas de soportes informáticos.
  • Establecimiento de medidas para impedir la recuperación indebida de información contenida en soportes desechados o ubicados fuera de su lugar habitual.
  • Consignación en el registro de incidencias de las operaciones de recuperación de datos, que deberán ser autorizados por escrito por el responsable del fichero.

Medidas de seguridad de nivel alto, además de lo indicado para el nivel medio:

  • Los soportes para distribución deberán tener la información cifrada.
  • Registro de accesos autorizados y denegados.
  • Guardar estos registros durante 2 años.
  • Copias de seguridad guardadas en sitios diferentes.
  • Transmisiones cifradas.

Otras medidas de seguridad exigibles a todos los ficheros:

  • Los accesos por red están sujetos a las mismas medidas de seguridad exigibles del nivel de seguridad en modo local. 
  • El tratamiento de los datos fuera del local será autorizado expresamente por el responsable del fichero.
  • Los ficheros temporales se borrarán una vez usados, también se les aplicará el nivel de seguridad pertinente. 
  • El responsable del fichero elaborará el documento de seguridad. Las pruebas con datos reales seguirán las medidas de seguridad pertinentes.

auditoria de sistemas.pdf by alumnossistemas

martes, 3 de diciembre de 2013

NOTICIA DE LA ETICA

http://lisinotas.blogspot.com.ar/2011/10/etica-y-los-sistemas-de-informacion.html

CÓMO CREAR UNA RED DOMESTICA

Video muy interesante sobre como configurar una red domestica (LAN)


EL MALWARE CONVIERTE A ANDROID EN EL EQUIVALENTE DE WINDOWS EN EL MUNDO SMARTPHONE

Desde tiempos inmemoriales, no hay discusión entre seguidores de OS X, Linux y Windows en la que los dos primeros pierdan la oportunidad de recordarle al usuario del sistema operativo de Microsoft la existencia de ingentes cantidades de virus, troyanos, gusanos y demás malware diseñado para funcionar en su plataforma con el objetivo de amargarle la existencia. Ahora, con un amplísimo porcentaje de los smartphones equipados con Android, el sistema operativo del pequeño robot verde se ha convertido en el equivalente a Windows en el mundo de la telefonía móvil inteligente por culpa del numeroso malware que acecha a sus dispositivos.

Los datos nos los proporciona el Informe sobre malware realizado por Kaspersky Lab, correspondiente al segundo trimestre del año, que ha detectado un total de 100.386 modificaciones de malware móvil a Android durante la primera mitad de 2013. Se trata por tanto de un dramático y grave aumento de las cifras, si las comparamos con las más de 46.000 detecciones recogidas durante la segunda mitad del año pasado.



En este sentido, desde la compañía rusa afirman que el malware basado en el sistema operativo desarrollado por Google ha evolucionado durante los últimos meses muy por encima del existente para otras plataformas, hasta convertirse en el blanco favorito para los ciberdelincuentes. A pesar de ello resulta de justicia admitir que, al igual que en el caso de Windows en el mundo de los ordenadores y portátiles, el hecho de que Android sea el sistema operativo más extendido le hace un objetivo prioritario para los amigos de la delincuencia electrónica o el desarrollo de software malicioso – no entraremos a valorar la existencia de posibles vulnerabilidades y si éstas son más o menos numerosas o accesibles que en otros sistemas operativos móviles -.

Por otro lado quisiéramos detallar también que según los responsables del estudio, el concepto “modificaciones” a la hora de referirse al malware para Android no se traduce por detecciones individuales o programas maliciosos originales, sino que hace referencia a las muestras de códigos maliciosos que los cibercriminales utilizan para infectar aplicaciones legítimas como parte de uno de sus procedimientos comunes.



Sospechosos habituales

Como podemos presenciar en el gráfico que acompaña a estas líneas, dentro del ranking de malware móvil para Android realizado por Kaspersky Lab destaca la existencia de Backdoors – o  software que se aprovecha de las puertas traseras del sistema – con un 32,3 por ciento de incidencia, seguido de los troyanos SMS – encargados de suscribir al usuario a servicios de SMS Premium, por ejemplo – con el 27,7 por ciento o los troyanos regulares, con el 23,2 por ciento de incidencia, entre otros peligros.

En cuanto al funcionamiento de estos “enemigos íntimos” de nuestro smartphone, la tendencia es similar a la existente entre la mayor parte de malware para ordenadores y portátiles. En resumen: la mayoría de ellos hacen uso de la ofuscación para evitar las medidas de seguridad existentes en el dispositivo, al mismo tiempo que suelen llevar “múltiples cargas” para conseguir una infección más persistente, extraer información adicional del terminal infectado o servir de puente para la instalación de más sofware infeccioso.

Ransomware en Android

Seguramente nos resulte a todos conocida la existencia de falsas alertas policiales que, bajo el pretexto de la supuesta infracción de un delito – que en realidad no se ha cometido en ningún momento – bloquean el equipo informático hasta que se produzca el pago de una multa tan falsa como la acusación en la que se basan ¿verdad? Pues este tipo de programas, que en algunos casos puede llegar a bloquear completamente el dispositivo, han hecho su desembarco también en Android.

Según Kaspersky Lab, durante el pasado mes de junio comenzaron a detectarse alertas sobre la existencia de un malware denominado ‘Free Calls Update’, mezcla de ransomware y falso antivirus, que tras ejecutarse en el smartphone se hacía con los privilegios de administrador para poder modificar la configuración y controlar la activación y desactivación de la las conexiones WiFi y 3G a su antojo. Al igual que sucede en el entorno pc, este malware finge analizar el dispositivo en busca de software malicioso e invita al usuario a adquirir una versión completa de la aplicación. Del mismo modo, lanzará ventanas tipo pop-up en las que alertará al usuario de que un programa malicioso podría estar intentando sustraer contenido pornográfico del dispositivo, llegando a bloquearlo completamente.




Obad: un nuevo enemigo para Android

El segundo trimestre del año nos ha dejado muchas cosas más que los interesantes resultados de ventas de Sony, LG o Samsung; ya que también nos ha traído al que Kaspersky Lab ya ha bautizado como “probablemente el troyano más sofisticado de todos los tiempos dirigido contra Android”.

Al parecer, el sofware detectado como Backdoor.AndroidOS.Obad.a es capaz de mandar mensajes de texto a números de tarificación especial, descargar otros programas maliciosos e instalarlos en el dispositivo infectado, enviarse a sí mismo a través de Bluetooth y realizar cambios en el terminal de forma remota. Es decir, toda una ‘joyita’ para nuestros smartphones con Android.

Para poder hacer su “simpático” trabajo, los desarrolladores de nuestro “amigo” Obad se han valido de dos vulnerabilidades. La primera de ellas se trata de un error en el software DEX2JAR – utilizado habitualmente para convertir archivos .apk en archivos .jar- que permite al troyano pasar lo más desapercibido posible para el sistema – por explicarlo de una forma rápida y sencilla -. Junto a este se han valido también de otro error, en esta ocasión existente en el propio sistema Android, que le permite modificar el archivo AndroidManifest.xml para funcionar perfectamente a pesar de no cumplir con las normas de Google.

Por último, Obad se sirve también de una segunda vulnerabilidad existente en Android – y que Kaspersky Lab parece no haber localizado aún – que le permite hacer uso de los privilegios de administrador y no aparecer en la lista de aplicaciones, con lo que resulta especialmente complicada su desinstalación aún cuando el propietario del smartphone disponga de permisos de root.

ESET Guías de Seguridad para usuarios de smartphone

 Guías de Seguridad de ESET, en esta guía se dará una visión global de las últimas amenazas existentes para smartphone y sus respectivas recomendaciones para paliar los efectos del Malware.

Los teléfonos móviles han cambiado mucho con el paso de los años, ha sido tal evolución, que estos dispositivos se han convertido en autenticas computadoras portátiles. Al ser dispositivos que se comportan como PC ¿porque no se aplica la misma seguridad que a un PC?


Estos dispositivos permiten conectarse a Internet y compartir en redes sociales, revisar el correo electrónico, y realizar trámites bancarios en línea, entre otros. Con todo esto, los atacantes están listos para hacer de las suyas y este mercado de los dispositivos móviles son un plato exquisito para la distribución de Malware a día de hoy.
  •     Tipos de Amenazas                                               
  •     Malware
  •     Phishing
  •     Spam
  •     Fraude Online                                        
  •     Robo de Identidad
  •     Robo Físico del Teléfono
  •     Reemplazar Códigos QR legítimos por otros que no son




     Actualmente la mayor amenaza para este tipo de dispositivos se encuentra en el Malware,  con este código malicioso los atacantes consiguen que el usuario bajo su desconocimiento mediante aplicaciones descargadas en internet se suscriban a servicios SMS Premium y tomen el control de sus dispositivos.

Para evitar o mitigar todas estas amenazas aplicar los siguientes consejos:

  •     Implementar una solución de seguridad integral que permita detectar malware
  •     Instalar sólo aplicaciones provenientes de repositorios o tiendas oficiales
  •     Actualizar el sistema operativo y las aplicaciones del smartphone
  •     Establecer contraseña de bloqueo
  •     Desactivar opciones no utilizadas como Bluetooth o GPS
  •     Evitar utilizar redes inalámbricas públicas
  •     Realizar periódicamente copias de seguridad de la información almacenada en el dispositivo
  •     No compartir información de forma pública en Redes Sociales
  •     No seguir hipervínculos sospechosos de correos, mensajes o sitios web. Tampoco escanear cualquier código QR
  •     No dejar el smartphone sin vigilar, para evitar su robo o pérdida


Todos estos consejos ayudarán a prevenir todas las amenazas que acechan a dispositivos móviles, pero lo realmente seguro es tener el smartphone protegido con ESET Mobile Security, ESET cuenta con unos productos que se encuentran a la cabeza de las grandes compañías antivirus a nivel mundial

Para conocer un poco mas te recomendamos el siguiente documento:


SEGURIDAD DE REDES INALAMBRICAS


Sobre las guías de seguridad que nos proporciona la firma de antivirus ESET, en la presente entrada se introducirán conceptos clave que permitirán al usuario navegar de forma más óptima y segura, tanto en redes inalámbricas públi­cas como privadas, sea en su hogar como en entornos corporativos.


Por lo general los usuarios que hacen uso de éste tipo de redes desconocen su funcionamiento interno, preocupándose simplemente por aumentar su experiencia de navegación.
Sin embargo convendría saber que si se tiene configurada correctamente la red WIFI se puede evitar que personas no autorizadas hagan uso de la red, impidiendo el primer lugar que aumenten el consumo de ancho de banda, y por otro lado dificultando su uso para realizar actos fraudulentos e incluso delictivos que provocarían problemas más serios a los propietarios de la red inalámbrica.



Como principal medida el usuario debe configurar el router y utilizar un cifrado de última generación para evitar que los atacantes puedan hacerse fácilmente con la clave de la WIFI.

Para ello hay que acceder a la configuración del router mediante una ventana en el navegador y escribir la dirección de la puerta de enlace  http://192.168.X.X una vez allí mostrará el panel de acceso a la configuración del router. En ocasiones determinados router no solamente basta con dirigirnos a la puerta de enlace predeterminada, sino que además tenemos que dirigirnos a un puerto habilitado en dicha IP, por lo que debemos dirigirnos al manual de usuario para saber cuál es el puerto exacto al que conectarse.

Para acceder al panel de control es necesario un nombre de usuario y contraseña que por defecto suele ser admin-admin, admin-1234, etc. (Podéis buscar en internet las claves predeterminadas según el modelo de vuestro router).

Los tres pasos fundamentales a seguir para mantener la WIFI segura serian:
1.       Como más de uno habrá pensado, el primer paso será el cambiar la clave de acceso a la configuración del router, ya que muchas personas (y en general Google) saben las claves que traen cada router por defecto. Ya que podemos tener la clave más fuerte con la tecnología más avanzada e irrompible, pero si un atacante puede conectarse físicamente a la red y logra entrar al panel de control, podrá modificar fácilmente la contraseña haciendo la red vulnerable otra vez.
2.       Asignar una contraseña de acceso a la red, esta contraseña debe ser fuerte, una buena combinación de letras, números y caracteres especiales.
Ejemplo: <Wifi>123.p4sw0rd!2o13</Wifi>
3.       Configurar el tipo de cifrado, tiene que ser el más seguro, que en la actualidad es WPA2 con encriptación AES.Otro dato importante sería el desactivar WPS si vuestro router lo implementa ya que es otro tipo de vulnerabilidadwireless.


Imagen 2: Configuración del Router

Lo ilustrado anteriormente sería la configuración básica para la protección de redes inalámbricas. Si se pretende una configuración más avanzada es conveniente seguir los siguientes pasos:
Ø  Si el router lo permite, configurar el firewall de este.
Ø  Usar el protocolo de seguridad HTTPS, para la configuración del router y evitando con este acto que un atacante capture la password de acceso con técnicas de monitorización de tráfico.
Ø  Cambiar el SSID, que es el nombre que identifica la red u ocultarlo.


A la hora de conectarse a una red WIFI pública es importante estar atento al firewall de Windows que preguntará qué tipo de red es a la que me estoy conectando. Si es una red pública por su puesto se debe indicar al firewall que se trata de una red pública para que se adopten medidas más restrictivas de seguridad, como son los archivos compartidos y accesos al sistema.
Imagen 3: Panel de elegir ubicación de Red

Estas nuevas tecnologías inalámbricas facilitan la vida de las personas, gracias a la ausencia de cables. No obstante los atacantes también salen beneficiados ya que estas redes poseen diferentes agujeros que las hacen vulnerables, es por ello que adoptando las medidas que os acabamos de comentar, se logra aumentar  en gran medida el grado de seguridad del sistema.