Actualizado el Catálogo de Productos de Seguridad TIC, CPSTIC

• Guías CCN-STIC
• CPSTIC

• La Guía CCN-STIC-105 puede consultarse en la parte pública del portal del CCN-CERT.
• El objeto de este documento es presentar el Catálogo de Productos de Seguridad de las Tecnologías de la Información y Comunicación, CPSTIC, el cual recoge un listado de productos aprobados para el manejo de información clasificada o cualificados para el manejo de información sensible, de forma que pueda servir de referencia a la Administración Pública.
• Esta actualización incluye diversos apartados con el proceso de inclusión de un producto CPSTIC, la revisión de su validez y su exclusión, así como los productos cualificados y los aprobados ordenados por categorías.

Ya está disponible, en la parte pública del portal del CCN-CERT, la actualización de la Guía CCN-STIC-105. Este documento recoge el Catálogo de Productos de Seguridad de las Tecnologías de la Información y Comunicación, el cual incluye un listado de productos aprobados para el manejo de información clasificada o cualificados para el manejo de información sensible, de forma que pueda servir de referencia a la Administración Públicas.

Entre los apartados incluidos en la guía se encuentra el proceso de inclusión de un producto CPSTIC, la revisión de su validez y su exclusión. En cuanto a los productos que forman parte del catálogo, estos están ordenados por categorías.

Los productos cualificados están agrupados en función de si son de control de acceso, explotación de la seguridad, monitorización de la seguridad, protección de las comunicaciones, protección de la información y soportes de información o protección de equipos y servicios. Se incluyen todos aquellos que han superado con éxito el proceso de inclusión en el CPSTIC descrito en la guía CCN-STIC 106 Procedimiento de inclusión de productos de seguridad TIC cualificados en el CPSTIC.

Por otro lado, aquellos productos aprobados están recogidos dependiendo de si pertenecen a las categorías de seguridad en la explotación, protección de las comunicaciones, protección de la información y soportes de información, protección de equipos y servicios, comunicaciones tácticas seguras o TEMPEST. Se incluyen todos aquellos que han superado con éxito el proceso de inclusión en el CPSTIC descrito en la guía CCN-STIC 102 Procedimiento para la Aprobación de Productos de seguridad TIC para manejar información Nacional clasificada.

CCN-CERT (07/08/2019)

Guía CCN-STIC-105

El CCN-CERT analiza el código dañino Qakbot

• Informe de Código Dañino
• Qakbot

• Se ha publicado en la parte privada del portal del CCN-CERT el Informe de Código Dañino ID-19/19 “Qakbot”, junto con sus reglas de detección Snort, Yara e Indicador de Compromiso – IOC.
• El documento recoge el análisis de la familia de troyanos identificada como “Qakbot” que, escrito con Microsoft C++ 8, tiene como objetivo el sector financiero y el robo de información personal.
• El procedimiento de infección se produce al ejecutar el fichero que contiene el código dañino llevando a cabo una serie de acciones en el sistema de la víctima.

El CCN-CERT ha publicado en la parte privada de su portal un nuevo Informe de Código Dañino: CCN-CERT ID-19/19, que escrito con Microsoft C++ 8, se encuentra muy activo desde el inicio del 2009, siendo su principal foco los objetivos financieros y el robo de información personal.

El código dañino inicialmente se encuentra empaquetado para conseguir realizar la evasión antivirus. Utiliza varios métodos destinados a la ofuscación de sus cadenas y se apoya en el uso de ejecutables destinados a ser inyectados en otros procesos.

El informe incluye información sobre las siguientes secciones:

• Características del código dañino
• Detalles generales
• Procedimiento de infección
• Características técnicas
• Ofuscación
• Persistencia en el sistema
• Conexiones de red
• Detección
• Desinfección
• Información del atacante

Además, se incluye una sección sobre las reglas de detección Snort, Yara e Indicador de Compromiso – IOC.

Acceso a Informe

CCN-CERT (06/08/2019)

Actualizada la Guía sobre taxonomía de referencia para el Catálogo de Productos de Seguridad TIC, CPSTIC, recomendados por el CCN

• Guías CCN-STIC

• La Guía CCN-STIC-140 está disponible en el portal del CCN.
• El documento incluye como anexos los Requisitos Fundamentales de Seguridad (RFS) para el Esquema Nacional de Seguridad en su categoría alta, media y básica, así como nuevas familias de productos (virtualización, control de acceso a red y gestión de acceso privilegiado).
• El CPSTIC es un listado de productos STIC de referencia, supervisado por el Centro Criptológico Nacional, CCN, que pretende proporcionar un nivel mínimo de confianza al usuario final, incluyendo los “Productos Aprobados” que se consideran adecuados para el manejo de la información clasificada y los “Productos Cualificados de Seguridad TIC”, que cumplen con los requisitos de seguridad exigidos para el manejo de información sensible en el ENS.

El Centro Criptológico Nacional (CCN) ha actualizado su Guía CCN-STIC 140. Taxonomía de referencia para productos de Seguridad TIC, en la que se establece una clasificación de productos en torno a diversas categorías y familias como base para la ordenación de los Productos Cualificados incluidos en el Catálogo de Productos de Seguridad TIC (CPSTIC).

Como principal novedad, la Guía amplía su alcance para contener, como anexos, los Requisitos Fundamentales de Seguridad (RFS) de familias de productos y servicios que forman parte de la arquitectura de seguridad de un sistema con categoría media o básica en el Esquema Nacional de Seguridad (ENS). Además, ha actualizado la taxonomía con nuevas familias de productos: virtualización, control de acceso a red y gestión de acceso privilegiado (PAM).

Por último, el documento ha incluido una nueva categoría para productos aprobados bajo la denominación de “protección entornos tácticos”. En ella se encuentran las familias de productos cuyo propósito principal es la protección de la información y las comunicaciones en entornos tácticos o desplegados.

Se recuerda que, para la inclusión de un producto en el CPSTIC, el CCN tiene en cuenta una serie de criterios como, la clasificación de la información que puede manejar (Difusión Limitada, Confidencial, Reservado, Secreto), las características de seguridad del producto, la categoría del sistema de información en el que puede emplearse según lo definido en el Esquema Nacional de Seguridad (alta, media, básica), las certificaciones aportadas, el entorno donde se vaya a emplear, etc. En función de esta información, se determinarán las pruebas o evaluaciones que deberá superar el producto de seguridad TIC correspondiente.

CCN-CERT (29/07/2019)