Información de divulgación

¡Asegure su negocio con CyberHoot hoy!

Inscríbase ahora

La divulgación de información, también conocida como fuga de información, ocurre cuando un sitio web revela información confidencial de forma involuntaria. Dependiendo del contexto, los sitios web pueden filtrar todo tipo de información a un posible atacante, incluyendo:

• Datos sobre otros usuarios, como un nombre de usuario válido a través de mensajes de inicio de sesión fallido o información personal que no debe proporcionarse a nadie excepto a su propietario
• Datos comerciales o empresariales sensibles
• Detalles técnicos sobre el sitio web y su infraestructura

La filtración de datos confidenciales de usuarios o empresas puede comprometer la integridad del negocio o la confidencialidad de la información personal. Sin embargo, la divulgación de información técnica también puede tener graves consecuencias. Si bien parte de esta información será de utilidad limitada, puede servir como punto de partida para descubrir otras vulnerabilidades que puedan explotarse. Por ejemplo, revelar las aplicaciones y versiones que se ejecutan en un sitio web puede revelar los exploits adecuados para comprometer aplicaciones sin parchear.

Es posible que se filtre información confidencial involuntariamente a usuarios que simplemente navegan por el sitio web con normalidad. Con mayor frecuencia, un atacante provoca la divulgación de información al interactuar con el sitio web de forma inesperada o maliciosa. Estudiarán cuidadosamente las respuestas del sitio web para intentar identificar comportamientos interesantes.

A continuación se encuentran algunos ejemplos de divulgación de información:

• Revelar los nombres de directorios ocultos, su estructura y su contenido a través de un robots.txt listado de archivos o directorios
• Proporcionar acceso a archivos de código fuente a través de copias de seguridad temporales que no están protegidas adecuadamente
• Mencionar explícitamente los nombres de las tablas o columnas de la base de datos en los mensajes de error
• Exponer innecesariamente información altamente confidencial, como detalles de tarjetas de crédito
• Codificación rígida de claves API, direcciones IP, credenciales de base de datos, etc. en el código fuente
• Insinuar la existencia o ausencia de recursos, nombres de usuario, etc., a través de diferencias sutiles en el comportamiento de la aplicación

¿Cómo puede mi PYME o MSP evitar esto?

Uno de los principales métodos de prevención se centra en los desarrolladores y quienes trabajan administrativamente en el sitio web de la empresa. Las siguientes recomendaciones son estrictamente para administradores o desarrolladores de su sitio web o aplicación: 

En primer lugar, asegúrese de que los desarrolladores involucrados en la creación del sitio web sean plenamente conscientes de qué información se considera sensible. A veces, información aparentemente inofensiva puede ser mucho más útil para un atacante de lo que la gente cree. Destacar estos peligros puede ayudar a garantizar que la información sensible se gestione de forma más segura en general por su organización. En segundo lugar, audite cualquier código para detectar posibles divulgaciones de información como parte de sus procesos de control de calidad o de compilación. Debería ser relativamente fácil automatizar algunas de las tareas asociadas, como eliminar los comentarios de los desarrolladores. En tercer lugar, utilice mensajes de error genéricos siempre que sea posible. No proporcione a los atacantes pistas innecesarias sobre el comportamiento de la aplicación. En cuarto lugar, compruebe que las funciones de depuración o diagnóstico estén deshabilitadas en el entorno de producción. Por último, asegúrese de comprender completamente los ajustes de configuración y las implicaciones de seguridad de cualquier tecnología de terceros que implemente. Tómese el tiempo para investigar y deshabilitar cualquier función y configuración que realmente no necesite. 

Recomendaciones adicionales de ciberseguridad

Además de las recomendaciones anteriores, los siguientes puntos le ayudarán a usted y a su empresa a protegerse contra muchas de las amenazas cotidianas. Todas las sugerencias que se enumeran a continuación se pueden obtener contratando los servicios de vCISO de CyberHoot.

1. Gestione a sus empleados con políticas y procedimientos. Necesita, como mínimo, una política de contraseñas, una política de uso aceptable, una política de gestión de la información y un programa de seguridad de la información (WISP) por escrito.
2. Capacite a los empleados sobre cómo detectar y evitar ataques de phishingAdopte un sistema de gestión del aprendizaje como CyberHoot para enseñar a los empleados las habilidades que necesitan para ser más seguros, productivos y confiados.
3. Pruebe a sus empleados con ataques de phishing para practicar. Las pruebas de phishing de CyberHoot permiten a las empresas probar a sus empleados con ataques de phishing creíbles y capacitar a quienes no lo logran para corregirlos.
4. Implementar tecnología de ciberseguridad crítica que incluya autenticación de dos factores en todas las cuentas críticas. Habilite el filtrado de spam, valide las copias de seguridad e implemente la protección DNS. antivirusy anti-malware en todos sus puntos finales.
5. En la era moderna del trabajo desde casa, asegúrese de administrar los dispositivos personales que se conectan a su red validando su seguridad (parches, antivirus, protección de DNS, etc.) o prohibiendo su uso por completo.
6. Si no ha realizado una evaluación de riesgos por parte de un tercero en los últimos dos años, debería hacerlo ahora. Establecer un marco de gestión de riesgos en su organización es fundamental para abordar los riesgos más graves con el tiempo y el dinero limitados disponibles.
7. Contrate un seguro cibernético para protegerse en caso de una falla catastrófica. El seguro cibernético no es diferente a un seguro de auto, incendio, inundación o vida. Está ahí cuando más lo necesita.

Todas estas recomendaciones están integradas en CyberHoot, tanto en su producto como en sus servicios de vCISO. Con CyberHoot, puede gestionar, capacitar, evaluar y poner a prueba a sus empleados. Visite CyberHoot.com y regístrese hoy mismo. Como mínimo, siga aprendiendo suscribiéndose a nuestros boletines mensuales de ciberseguridad para mantenerse al día con las últimas novedades.

Fuentes: 

Netparker

PuertoSwigger

Términos relacionados:

Denegación de servicio (DoS)

Ejecución remota de código (RCE)

CyberHoot tiene otros recursos disponibles. A continuación, encontrará enlaces a todos nuestros recursos; no dude en consultarlos cuando lo desee: 

• Blog
• Biblioteca cibernética
• Infografía (Infographic)
• Boletín informativo
• Comunicados de Prensa
• Vídeos instructivos (Cómo hacerlo) – ¡Muy útil para nuestros Superusuarios!

Nota: Si desea suscribirse a nuestro boletín informativo, visite cualquiera de los enlaces anteriores (excepto el de infografías), introduzca su dirección de correo electrónico en la parte derecha de la página y haga clic en " Enviarme boletines informativos".