OCS @OCSCiber

MEJORES PRÁCTICAS DE SEGURIDAD EN AWS: Como consultor en ciberseguridad y con experiencia en trabajar con diversas empresas que implementan sus soluciones en la nube de AWS, he observado un patrón recurrente de consultas relacionadas con la seguridad. Las empresas suelen enfrentarse a desafíos al intentar proteger adecuadamente sus infraestructuras y datos dentro de AWS, especialmente cuando se trata de implementar correctamente controles de acceso, gestión de identidades, y defensa contra ataques cibernéticos. Modelo de responsabilidad compartida: AWS es responsable de la seguridad de la infraestructura de la nube, mientras que tú eres responsable de la seguridad de lo que implementas en ella (datos, aplicaciones, y controles de acceso). IAM (Identity and Access Management): Usa el principio de privilegio mínimo: Otorga solo los permisos estrictamente necesarios a usuarios y roles, y usa políticas de IAM para controlar el acceso. No utilices el usuario root para tareas diarias: Crea usuarios de IAM para el trabajo diario y usa el root solo para tareas administrativas críticas. Autenticación Multifactor (MFA): Habilita MFA para todos los usuarios y especialmente para el usuario root, proporcionando una capa adicional de seguridad. AWS Key Management Service (KMS): Encripta datos en reposo y en tránsito: Usa KMS para manejar claves criptográficas que cifran datos, controlando su acceso y uso. AWS Shield: Protección contra DDoS: Implementa AWS Shield para defenderte de ataques de denegación de servicio distribuidos (DDoS), utilizando la versión avanzada si necesitas una protección más sofisticada. Amazon GuardDuty: Detección inteligente de amenazas: Activa GuardDuty para monitorizar continuamente la actividad de red y comportamiento de cuentas, alertando sobre posibles amenazas y permitiendo respuestas automáticas. AWS WAF (Web Application Firewall): Filtra tráfico malicioso: Usa AWS WAF para crear reglas que bloqueen direcciones IP maliciosas y protejan tus aplicaciones web de amenazas como inyecciones de SQL y ataques XSS. Amazon Inspector: Evaluaciones de seguridad automatizadas: Utiliza Inspector para detectar vulnerabilidades en tus instancias de EC2 y recibir recomendaciones de corrección basadas en las mejores prácticas de seguridad. Uso de AWS Organizations y OUs: Administra múltiples cuentas desde un solo lugar: Consolida tus cuentas bajo AWS Organizations, usando Unidades Organizativas (OUs) para aplicar políticas de control de acceso y gestión centralizada de permisos. Cumplimiento y auditoría con AWS Artifact: Acceso a reportes de cumplimiento: Usa AWS Artifact para acceder a reportes de cumplimiento y auditoría, asegurando que tus aplicaciones cumplan con regulaciones como HIPAA o GDPR.

Os dejo parte de la ficha del incidente de hoy: 👇👇👇👇 FICHA DEL INCIDENTE DE CROWDSTRIKE QUE CAUSA MÚLTIPLES BSOD Y FALLOS DE ARRANQUE Fecha y Hora del Incidente: 19 de julio de 2024, 7:27 AM (hora española) Descripción del incidente: El incidente se originó debido a una actualización de un archivo de canal (Channel File) de CrowdStrike, específicamente el archivo C-00000291*.sys, que provocó fallos graves en los equipos, resultando en pantallas azules de la muerte (BSOD) y la incapacidad de arrancar los sistemas afectados. Resumen del incidente: Identificación del problema: · CrowdStrike no publicó una actualización completa del agente/sensor. · El problema se debió a un Channel File descargado desde la nube por los sensores de CrowdStrike. Detalles técnicos del error: · Los Channel Files son utilizados por drivers de CrowdStrike para implementar configuraciones y características como detección, análisis, control de USBs, Firewall, entre otros. · La actualización del archivo C-00000291*.sys provocó que el driver csagent.sys generara una excepción no controlada en el Kernel, resultando en múltiples BSOD. Acciones inmediatas: · CrowdStrike confirmó la reversión del cambio problemático. · Los módulos C-00000291*.sys con fecha posterior a las 7:27 AM (hora española) del 19/07/2024 son correctos y no provocan el error. Acciones Realizadas: Detección y análisis: · Identificación del archivo C-00000291*.sys como la causa del incidente. · Verificación de que el problema no era debido a una actualización completa del agente/sensor, sino a un Channel File. Reversión del cambio: · Reversión inmediata del cambio problemático por parte de CrowdStrike. · Confirmación de la seguridad de los módulos posteriores a la hora indicada. Comunicación: · Notificación a los usuarios afectados sobre el incidente y las acciones correctivas tomadas. · Instrucciones claras sobre cómo mitigar el problema en los hosts que aún no pueden arrancar. Procedimiento de mitigación para hosts afectados: 1. Iniciar Windows en Modo Seguro o en el Entorno de Recuperación de Windows. 2. Navegar al directorio C:\Windows\System32\drivers\CrowdStrike. 3. Localizar y eliminar los archivos que coincidan con C-00000291*.sys. 4. Reiniciar el sistema normalmente. Nota: Los sistemas con Bitlocker activado pueden requerir una clave de recuperación. Seguimiento y monitorización: Continuaremos monitorizando la situación y proporcionando actualizaciones conforme estén disponibles. Mantendremos una comunicación constante con CrowdStrike para asegurar que no haya recurrencia del problema. Lecciones aprendidas: La importancia de la monitorización constante y proactiva de las actualizaciones de los archivos de canal. La necesidad de tener procedimientos de reversión rápidos y efectivos para minimizar el impacto en los usuarios. La importancia de contar con un BCP (Plan de continuidad de Negocio) basado en la norma ISO22301.

¿Sabrías como reaccionar ante un secuestro virtual en el que la voz e incluso la imagen, es la de un familiar solicitando ayuda? #secuestro #deepfake #IA #ciberseguridad #RedesSociales #secuestrovirtual

Fuente: thehackernews.com/2024/07/new-op…

También se aconseja limitar el acceso SSH mediante controles basados en la red y reforzar la segmentación de la red para restringir el acceso no autorizado y el movimiento lateral.

Vulnerabilidad crítica OpenSSH.HILO👇 El equipo de mantenimiento de OpenSSH ha lanzado actualizaciones de seguridad para contener una fallo crítico que podría resultar en la ejecución remota de código no autenticado con privilegios de root en sistemas Linux basados en glibc.

Nuevo artículo sobre algo muy de actualidad como es el Doxing. linkedin.com/pulse/qu%25C3%…