Nuevo abstract sobre aplicación de listas blancas para limitar la navegación en internet

• Abstract
• COVID19
• Listas Blancas

• Este documento está disponible en la sección CiberCOVID19 del portal del CCN-CERT
• En el actual escenario marcado por el aumento de las campañas de phishing se debe considerar que únicamente se permita a los empleados navegar hacia sitios web relacionados con el puesto de trabajo.
• Una forma de limitar la conectividad es mediante la aplicación de listas blancas, la cual debe ser conjunta entre firewalls y los servidores DNS de la entidad.

El CCN-CERT ha publicado, en su sección dedicada a los riesgos cibernéticos asociados a la pandemia causada por el coronavirus, CiberCOVID19, un nuevo abstract para prevenir ser víctimas de ciberataques. Bajo el título de ‘Limitación de la navegación hacia Internet mediante Listas Blancas como medida para reducir la superficie de exposición’, este documento pretende servir de ayuda en el actual escenario marcado por el aumento de las campañas de phishing y las excepcionales situaciones de teletrabajo.

En la actualidad se están dando continuas campañas de phishing y ataques, tanto dirigidos como genéricos. La gran mayoría de estos ataques necesita que se establezca una conexión remota con un ordenador ajeno a la entidad y disponible a través de Internet, ya que sin esta comunicación el ataque se detiene y no progresa.

Por este motivo, se debe considerar que únicamente se permita a los usuarios navegar hacia sitios web relacionados con el puesto de trabajo. La limitación de la navegación y conectividad hacia Internet se puede realizar mediante la aplicación de listas blancas en los dispositivos perimetrales. Este método se puede aplicar de distintas maneras: cierre total del acceso web o revisión de los accesos de las últimas semanas y comprobación de cuáles son legítimos o acordes con las labores del usuario o de la entidad.

En cualquier caso, la aplicación de las listas blancas debe ser conjunta entre firewalls y servidores DNS de la entidad, controlando las peticiones de resolución de nombres. Las formas de proceder en ambos casos se exponen en el presente abstract, en el que, además, se incluye un formulario de solicitud de lista blanca para enviar a los equipos de seguridad.

CCN-CERT (13-04-2020)

Cómo utilizar la plataforma Zoom de forma segura

• Zoom
• videollamada
• COVID-19

• El CCN-CERT ha elaborado el abstract El uso de Zoom y sus implicaciones para la seguridad y privacidad. Recomendaciones y buenas prácticas, en el que se muestra una serie de pautas de seguridad para la organización de videollamadas y reuniones.
• Con una configuración adecuada, esta plataforma de videoconferencia y servicios de conferencias web puede ser una alternativa apropiada en la mayoría de los casos, con independencia de que este software se encuentre actualmente en el objetivo de los ciberatacantes dada su reciente popularidad. 
• Zoom está publicando parches de seguridad ante las vulnerabilidades iniciales y está organizando webinar semanales para proporcionar actualizaciones sobre privacidad y seguridad a sus usuarios.

Ante la controversia surgida sobre la plataforma de videoconferencia Zoom, el CCN-CERT, del Centro Criptológico Nacional, desea aclarar algunos aspectos relativos al uso seguro de la misma. En primer lugar, es importante diferenciar entre las vulnerabilidades de la propia plataforma, el uso fraudulento que los ciberatacantes hacen de ello (máxime ante el auge que está teniendo) y su adecuada implementación.

En el primer caso, conviene reseñar que ante las vulnerabilidades aparecidas, Zoom ya ha publicado parches de seguridad y que pretende continuar mejorando el producto. Para ello, está organizando webinar semanales para proporcionar actualizaciones sobre privacidad y seguridad a sus usuarios. En este sentido, y como ante cualquier otro software, es imprescindible actualizarlo a la última versión disponible y descargárselo de los markets oficiales. De lo contrario, pueden utilizarse enlaces maliciosos, distribuidos por los ciberatacantes, que a través de técnicas de phishing redirijan a páginas fraudulentas desde las que se descargan troyanos que podrían comprometer los equipos.

En este sentido, si se realiza una adecuada implementación, se respetan unos mínimos requisitos de seguridad en la configuración y se llevan a cabo buenas prácticas, como en cualquier otra aplicación de videoconferencia, se puede considerar Zoom una opción a tener en cuenta en escenarios de teletrabajo (como los actuales marcados por la crisis del Covid-19) donde no se maneje información sensible.

Todos estos aspectos se recogen en el nuevo documento publicado por el Centro Criptológico Nacional, “El uso de Zoom y sus implicaciones para la seguridad y privacidad. Recomendaciones y buenas prácticas”. En este abstract se muestran algunas de las pautas de seguridad para la configuración de reuniones y se enseña también de manera visual el procedimiento para implementar dichas recomendaciones. Así, en el documento también se detallan las diferentes opciones que la app Zoom ofrece para convocar nuevas reuniones y se especifican los pasos a seguir para lograr una correcta configuración: uso de IDs de reunión aleatorios, configuración de contraseña, habilitación de salas de espera, opciones de chat entre los asistentes, los privilegios del anfitrión/organizador, etc.

Así pues, se considera asumible el riesgo de usar Zoom para reuniones que no sean muy sensibles en su contenido, clases escolares y situaciones fuera de la oficina sobre asuntos rutinarios.

Más información:
[1] Blog
[2] Zoom. Webinar
[3] White Paper
[4] Eff.org
[5] Ciberconsejo

Abstract - El uso de Zoom y sus implicaciones para la seguridad y privacidad. Recomendaciones y buenas prácticas

Publicada la Guía práctica de seguridad de servicios de Apple

• Guías CCN-STIC
• Apple

• La Guía CCN-STIC 459 puede consultarse en la parte pública del portal del CCN-CERT.
• El propósito de este documento es definir una lista de recomendaciones de seguridad y privacidad asociadas al uso de una cuenta de usuario de Apple como parte de la configuración de dispositivos basados en plataformas Apple.
• Esta guía incluye un decálogo de seguridad que resume las principales recomendaciones desarrolladas a lo largo de la misma. Elegir una contraseña robusta para el ID de Apple, habilitar el segundo factor de autentificación (2FA), hacer uso de "alias" para las cuentas de iMessage y FaceTime, y utilizar la ocultación del correo electrónico mediante el servicio "Sign-in with Apple" son solo algunas de ellas.

Ya está disponible, en la parte pública del portal del CCN-CERT, la Guía práctica de seguridad de servicios de Apple (CCN-STIC-459). En este documento se define una lista de recomendaciones de seguridad y privacidad asociadas al uso de una cuenta de usuario de Apple, como parte de la configuración de dispositivos basados en las plataformas macOS, iOS, iPadOS y watchOS. El objetivo es proteger tanto el propio dispositivo móvil y sus comunicaciones como los datos de usuario que se gestionan y almacenan en servidores externos de Apple y, muy en particular, la información de carácter más sensible y confidencial.

El nuevo informe proporciona los detalles específicos de aplicación e implementación de las recomendaciones de seguridad y buenas prácticas necesarias para la prevención de los riesgos, amenazas, y vulnerabilidades de seguridad a las que están expuestos los dispositivos móviles de Apple en virtud de los servicios existentes en la nube en la actualidad. La guía ha sido redactada considerando como requisito el equilibrio entre seguridad y funcionalidad a fin de poder hacer uso de la mayoría de capacidades disponibles en los mismos de forma segura.

En el documento se puede consultar información de interés sobre las cuentas asociadas a los servicios de Apple, la gestión remota de dispositivos, los servicios propietarios de Apple, la gestión de credenciales en iCloud, Apple Pay, el asistente personal “SIrir”, apps con funcionalidad ligada a la cuenta de iCloud y copias de seguridad y restauración.

Asimismo, la guía incluye una tabla resumen con las principales recomendaciones, como elegir una contraseña robusta para el ID de Apple, habilitar el segundo factor de autentificación (2FA), hacer uso de "alias" para las cuentas de iMessage y FaceTime o utilizar la ocultación del correo electrónico mediante el servicio "Sign-in with Apple".

CCN-CERT (08/04/2020)

CCN-STIC-459 Guía práctica de seguridad de servicios de Apple