Blogs

Seguridad informática y el software abierto empresarial

Actualiza tu Liferay Portal y protegete de ciberataques

Desde Zylk queremos daros un serie de consejos para mejorar vuestras organizaciones y/o empresas en lo que a ciberseguridad se refiere, dado que recientemente se ha puesto de actualidad debido al ataque sufrido en algunas de las grandes compañías del Estado. Queremos trasmitir que lo acontecido no es algo esporádico ni inusual, según el Instituto Nacional de Ciberseguridad (INCIBE) a lo largo del 2016 se han contabilizado más de 110.000 ataques informáticos a empresas y particulares lo que supone un 130% más de lo contabilizado el año anterior. Además se tiene la impresión de que van a ir incrementándose en los próximos años. Estos ataques provienen mayoritariamente de China, Rusia y Ucrania lo que dificulta enormemente la identificación y detención de los criminales. Otro factor que complica la situación es que muchas empresas no denuncian dichos ataques por miedo a dar un imagen de debilidad de cara a sus clientes.

Los objetivos más vulnerables son las pequeñas y medianas empresas. Los ataques más comunes que suelen recibir son: la suplantación de identidad de la empresa, un registro abusivo de nombres de dominio, solicitudes de denegación de servicio, publicaciones negativas hechas por terceros y el uso no consentido de derechos de propiedad industrial.

La Asociación de Empresas de Tecnologías Libres y Conocimiento Abierto de Euskadi ( ESLE) considera que los recientes acontecimientos deben ser un punto de inflexión para mejorar las diferentes aplicaciones informáticas que hay en nuestras empresas e instituciones públicas puesto que esta en juego la integridad de toda su información, tanto la comercial, como la de gestión y administración, en definitiva, la supervivencia de sus propios negocios. Para ESLE una de las claves para minimizar lo máximo posible los ataques es tener los equipos actualizados a las ultimas versiones de los diferentes productos que se tengan contratados, tanto si son de software libre como propietario, puesto que la utilización de programas desactualizados crea puntos débiles en nuestro ordenador que pueden ser aprovechados por este tipo de software malintencionado. En el caso del software libre las soluciones están desarrolladas por amplias comunidades de ingenieros informáticos de todo el mundo cuyas líneas de código son visibles para todos.

En Zylk recomendamos la utilización de Liferay DXP como gestor de contenidos. Esta versión empresarial de Liferay goza de múltiples mejoras en el apartado de seguridad que es el que nos atañe en este post. También nos gustaría recordar a los usuarios de Liferay 6.2 o inferiores que tener la aplicación sin actualizar no es aconsejable y que a partir del 2017 se dejará de dar soporte desde Liferay. Lo que conlleva estar desprotegido ante las nuevas amenazas las cuales nunca paran de evolucionar como hemos comentado en el presente documento. Para la versión 6.2 se han desarrollado 20 service packs, la última actualización data del 19-05-2017. Por ejemplo el reciente ataque que afectó a compañías como Movistar fue producido por un software malintencionado llamado Ransomware, que cifra los datos para pedir un rescate por recuperarlos posteriormente. Esto ocurrió en gran parte por no tener actualizado el sistema operativo, en este caso Windows, puesto que ya existía un parche que subsanaba esa debilidad desde el 14 Marzo. En el caso de Liferay DXP podéis descargar y aplicar muchos parches con la intención de proteger de ataques de índole similar, como pueden ser:

  • SSRF→ Permite a un atacante redirigir paquetes a hosts o puertos de manera que se puedan eludir restricciones impuestas inicialmente a los usuarios y realizar acciones no previstas, abusando de la confianza que el sistema tiene en el propio servidor. Empresas como Facebook o Yahoo han tenido que corregir vulnerabilidades contra este tipo de ataques.

  • XXE→ Consigue que el parser XML divulgue información del sistema, consuma recursos en exceso, ejecute comandos u otras formas de explotación. Puede llevar también a la lectura de archivos locales, descubrimiento y mapeo de red interna, denegaciones de servicio, etc.

  • XSS→ Ocurre cuando un atacante es capaz de inyectar un script, normalmente Javascript, en el output de una aplicación web de forma que se ejecuta en el navegador del cliente. El virus más conocido de este tipo tiene el nombre de Samy, afecto a la red social MySpace y fue uno de los más rápidos en propagarse hasta la fecha. Recientemente Twitter también se ha visto afectada.

  • DoS→ Son ataques que bloquean el servicio con una sobrecarga de los componentes individuales (CPU, Memoria…) de la infraestructura informática. Un ataque muy conocido de este tipo es Billon Laughs

Algunas de las ventajas de la versión con soporte empresarial DXP de Liferay son:

  • Cuenta con un proceso de seguridad restricto, que aísla e identifica problemas de seguridad para todos los clientes. Suministra rápidas notificaciones de problemas, prueba, evaluación e información a los clientes para la corrección de errores.

  • Cuenta con una certificación de seguridad Veracode en el nivel más alto para misión critica de los negocios, posibilitando el uso de la plataforma en diferentes industrias como Banca, Retail, Gobierno y Salud. Para más información pulse aquí.

  • Tiene un beneficio para los clientes con suscripciones que asegura el apoyo de las versiones Enterprise del producto hasta 7 años a partir de la fecha de lanzamiento de la versión. Esto trae seguridad en el uso del producto y proporciona tiempo suficiente para planificar futuras migraciones de versión.

En Zylk somos especialistas en software de negocio empresarial, pensado para entornos productivos con funcionalidades tan habituales como portales, gestores documentales, intranets colaborativas, etc.. Si quieres que te ayudemos a revisar si están actualizadas y protegidas siguiendo buenas prácticas y aplicando los service packs y los parches de fabricantes como Liferay, Alfresco, Valamis, Pentaho o Hortonworks. Ponte en contacto con nosotros en sales@zylk.net.

More Blog Entries

Alfresco Administrator Training Links

This week I'm training a group in Alfresco Administration. I write some of the recipes used...

ZYLK ganador de los premios Open Awards 2017

El pasado jueves 1 de junio se celebró la IV edición de OpenExpo en La N@ve (Madrid) que...

0 Comments