Nuevo servicio de soporte de vulnerabilidades del CCN-CERT

• Vulnerabilidades

• Podrán adherirse al mismo todos los organismos y entidades del sector público.
• El CERT Gubernamental Nacional pone en marcha un servicio de análisis, notificación y seguimiento de aquellas vulnerabilidades más críticas y que impacten especialmente en las tecnologías empleadas en el sector público.
• La primera de las vulnerabilidades analizadas desde este nuevo servicio será el Zero-Day de iOS Mail, notificada el pasado 24 de abril y cuya información hasta la fecha se recopiló en un Abstract.

La Capacidad de Respuesta a Incidentes del Centro Criptológico Nacional (CCN-CERT) pone a disposición de todos los organismos del sector público un nuevo servicio de análisis, notificación y seguimiento de las vulnerabilidades más críticas y que tengan más impacto entre los mismos.

Este nuevo servicio, al que pueden adherirse todas las administraciones públicas, viene a complementar a los sistemas de alerta temprana, avisos y publicaciones de vulnerabilidades que el CCN-CERT viene poniendo a disposición de su comunidad de referencia desde el año 2006.

De este modo, el CERT Gubernamental Nacional trabajará en la recopilación y clasificación de las nuevas vulnerabilidades que aparecen en el mercado y realizará un análisis teórico y en laboratorio, de aquellas que por su criticidad se consideren necesarias. De cada una de ellas elaborará un “Abstract” con los aspectos más destacados: afectación y vector de ataque, potencialidad de este, recomendaciones y buenas prácticas para protegerse de los mismos, así como sus diferentes actualizaciones.

Por último, realizará un seguimiento de la evolución de la vulnerabilidad, alertando a los organismos ante cambios en la criticidad, aparición de parches, nuevas recomendaciones, constancia de explotaciones activas, etc.

Toda la información recopilada de las vulnerabilidades se almacenará en las soluciones LORETO y ANA del propio CCN-CERT y se notificará todas las actualizaciones por correo electrónico.

Del mismo modo, todos los organismos que necesiten aclarar alguna duda o solicitar ayuda podrán dirigirse al correo electrónico: soporte_acreditacion@ccn.cni.es

Vulnerabilidad Zero-Day en iOS

La primera de las vulnerabilidades analizadas desde este nuevo servicio será el Zero-Day de iOS Mail, notificada el pasado 24 de abril y cuya información hasta la fecha se recopiló en un Abstract.

CCN-CERT (12/05/2020)

Nueva Guía CCN-STIC sobre procedimiento de Empleo Seguro OMNISWITCH AOS

• Guías CCN-STIC

• El documento se encuentra disponible en la parte pública del portal del CCN-CERT.
• El objetivo de la Guía CCN-STIC-1410 es explicar el procedimiento de empleo seguro para equipos OmniSwitch de Alcatel-Lucent, y ofrecer consejos y recomendaciones para la configuración de los equipos de la forma más segura posible, activando o desactivando diferentes servicios o protocolos de los conmutadores.
• La fase de despliegue e instalación, la fase de configuración y la fase de operación y mantenimiento, son los principales apartados que incluye el documento.

El CCN-CERT del Centro Criptológico Nacional ha publicado en su portal web la Guía CCN-STIC-1410, disponible en la parte pública. Este nuevo documento recoge el procedimiento de empleo seguro para los equipos OmniSwitch de Alcatel-Lucent Enterprise, que se componen de conmutadores de capa 2 y capa 3 diseñados para ofrecer baja latencia, alto rendimiento, disponibilidad y robustez.

Concretamente, la guía se centra en ofrecer consejos y recomendaciones sobre la activación o desactivación de servicios y determinadas funcionalidades de esta familia de switches, con el fin de poder establecer una configuración lo más segura posible.

En cuanto al contenido, el documento se divide en tres partes fundamentales, de acuerdo a distintas fases que componen el ciclo de vida del producto:

• Apartado 4. En este apartado se recogen los requisitos o recomendaciones asociadas a la fase de despliegue e instalación del producto.
• Apartado 5. En este apartado se recogen los requisitos o recomendaciones asociadas a la fase de configuración segura del producto. Este punto incluye cómo administrar el producto, el control de acceso, la confidencialidad de los datos y seguridad de comunicación, y la disponibilidad, que hace referencia a garantizar que no hay una denegación de acceso autorizado a los recursos de la red, la información almacenada, los dispositivos o las aplicaciones.
• Apartado 6. En este apartado se recogen requisitos o recomendaciones relativas a las tareas de mantenimiento durante la fase de operación y mantenimiento del producto.

Cabe destacar que la estructura de esta guía y sus contenidos no exigen una lectura lineal, sino que se recomienda al lector utilizar el índice de contenidos para localizar el capítulo que trate el aspecto sobre el que desea mejorar la seguridad. Así mismo, aunque estas páginas han sido escritas pensando en la familia de switches OmniSwitch de Alcatel-Lucent Enterprise, la mayoría de las recomendaciones descritas sobre seguridad son aplicables a otros equipos de red.

CCN-CERT (11/05/2020)

Guía CCN-STIC-1410 Procedimiento de empleo seguro OMNISWITCH AOS

Boletín mensual del departamento de Productos y Tecnologías de Seguridad del Centro Criptológico Nacional

• CCN-PYTEC

• Este documento está disponible en la parte pública del portal del CCN.
• Este nuevo boletín contiene novedades acerca del Catálogo de Productos STIC, el desarrollo y evolución de productos cripto, así como la actualización de la guía 104 sobre productos con Clasificación ZONING.

El departamento de Productos y Tecnologías de Seguridad TIC del Centro Criptológico Nacional (CCN-PYTEC) ha publicado un nuevo boletín mensual, en el cual queda recogida su actividad. El documento, CCN-PYTEC nº23 - 04/2020, se encuentra disponible en la parte pública del portal del CCN y contiene información sobre los siguientes apartados:

• Novedades en el Catálogo de Productos STIC
  • Actualizada la guía sobre taxonomía de referencia para el Catálogo de Productos de Seguridad TIC
  • Citrix Systems cualifica su producto Citrix ADC en la familia “Control de Acceso a Red” para ENS categoría ALTA
  • Forescout cualifica su producto Forescout 8.1 en la familia “Control de Acceso a Red” para ENS categoría ALTA
  • ESET cualifica su producto ESET Endpoint Security en la familia “Anti-virus / Endpoint Protection Platform” para ENS categoría MEDIA
  • McAfee cualifica su producto “McAfee Data Loss Prevention (DLP) Endpoint with ePolicy Orchestrator 5.10” en la familia “Sistemas para prevención de fugas de datos” para ENS categoría ALTA
  • MIL2004-2xHSR-L3 del fabricante SoCe System-on-Chip engineering – Novatronics, producto aprobado dentro de las familias “Enrutadores” y “Switches”
  • Publicada la Guía CCN-STIC-1101 Procedimiento de empleo seguro SECRET SERVER de THYCOTIC
• Desarrollo y evaluación de productos cripto
  • Proyecto para contar con una librería cripto nacional de referencia
• EMSEC
  • Actualización de la guía CCN-STIC-104

Acceso al Boletín Informativo

CCN-CERT (08/05/2020)