See

discussions, stats, and author profiles for this publication at: https://www.researchgate.net/publication/279983428

Principios Básicos de Seguridad en Bases de

Datos

Article · July 2015

CITATIONS READS

0 3,682

1 author:

Jorge Domínguez Chávez

Universidad Politécnica Territorial del Estado Aragua
41 PUBLICATIONS 1 CITATION

SEE PROFILE

Some of the authors of this publication are also working on these related projects:

xxxxxx View project

Base de datos View project

All content following this page was uploaded by Jorge Domínguez Chávez on 12 July 2015.

The user has requested enhancement of the downloaded file.

 Domínguez Chávez Jorge.
Universidad Politécnica Territorial del estado Aragua, Domínguez Chávez Jorge. Principios básicos de seguridad...
jodocha@upta.edu.ve
Universidad Politécnica Territorial del estado Aragua
Principios Básicos de Seguridad en Bases de
Datos
Resumen—Un problema común de seguridad a todos los
sistemas de computo es el evitar que personas no autorizadas
tengan acceso al sistema, ya sea para obtener información,
efectuar cambios mal intencionados en la totalidad o una
porción o totalidad de la base de datos. Se presentan algunas
reglas básicas para empezar a gestionar la seguridad en el
diseño e implementación de una base de datos.
Descriptores: criptografía, base de datos,
gestión, seguridad, algoritmos de cifrado.
I.INTRODUCCIÓN
Un problema común de seguridad a todos los sistemas de
computo es el evitar que personas no autorizadas tengan
acceso al sistema, ya sea para obtener información, efectuar
cambios mal intencionados en la totalidad o una porción o
totalidad de la base de datos.
La ciberdelincuencia se define como cualquier tipo de
actividad ilegal en la que se utilice Internet, una red privada o
pública o un sistema informático. Muchas formas de este tipo
de delito giran en torno a la obtención de información sensible
para usos no autorizados, como la invasión de la intimidad del
mayor número posible de usuarios de computadores.
Entonces, la ciberdelincuencia comprende cualquier acto
criminal que utilice computadores y redes de comunicación.
Además, incluye delitos tradicionales realizados a través de
Internet, como los delitos motivados por prejuicios, el
telemarketing1 y fraude de Internet, la suplantación de
identidad y el robo de cuentas de tarjetas de crédito.
Las bases de datos no protegidas son el sueño de cualquier
cyber delincuente. Contienen los datos más valiosos de la
organización, blanco fácil de un ataque y que están
convenientemente organizados. No es de extrañar que las
bases de datos sean el objetivo principal de los cyber ataques
más sofisticados de los crackers 2 y de, cada vez más, usuarios
1
El telemarketing (o telemercadotecnia) es una forma de mercadotecnia
directa en la que un asesor utiliza el teléfono, la tableta, laptop o cualquier
otro medio de comunicación para contactar clientes potenciales y
comercializar productos y servicios. Los clientes potenciales se identifican y
clasifican por varios medios como su historial de compras, encuestas previas,
participación en concursos o solicitudes de empleo (todo, a través de Internet).
2
El término cracker se refiere a las personas que rompen algún sistema de
seguridad. Los crackers pueden estar motivados por una multitud de razones,
incluyendo fines de lucro, protesta, o por el desafío.
Jornada de Investigación, Desarrollo Socio Productivo y Vinculación Social del Departamento de Informática, 2015
1
que trabajan en la organización y que cuentan con privilegios.
Sin embargo, hay muchas medidas que tomar para proteger las
bases de datos de su organización y, al mismo tiempo, su
reputación.
La seguridad de las bases de datos es un área amplia que
abarca múltiples temas, entre ellos:
• Cuestiones éticas y legales relativas al derecho de
tener acceso a cierta información.
• Cuestiones de política a nivel gubernamental,
institucional o corporativo, relacionadas con el tipo
de información que no debe estar disponible para el
publico.
• Cuestiones relacionadas con el sistema y con los
niveles del sistema que manejan diversas funciones
de seguridad.
Los mecanismos de seguridad pueden estar orientados a las
políticas de control de acceso basadas en la identidad del
usuario, conocida como seguridad discrecional, o a las
políticas que restringen el acceso a información clasificada
como confidencial al personal autorizado, denominada
seguridad obligatoria.
En la actualidad, se habla de dos tipos de mecanismos de
seguridad en las bases de datos:
• Los mecanismos de seguridad discrecionales para
otorgar privilegios a los usuarios, incluida el acceso a
archivos, registros o campos de datos específicos en
un determinado modo.
• Los mecanismos de seguridad obligatorios
para la igualdad de múltiples niveles
clasificando los datos y los usuarios en
varias clases (o niveles) e implementando
después la política de seguridad apropiada
de la organización.
Universidad Politécnica Territorial del estado Aragua, Domínguez Chávez Jorge. Principios básicos de seguridad...
II. TÉCNICAS DE SEGURIDAD
3
El mecanismo de seguridad de un SGBD debe incluir formas
de restringir el acceso al sistema como un todo. Ésto, se
denomina control de acceso y se pone en practicas creando
cuentas de usuarios y contraseñas para que es SGBD controle
el proceso de entrada al sistema.
Otra técnica de seguridad es el cifrado de datos, que sirve para
proteger datos confidenciales que se transmiten por satélite o
por algún otro tipo de red de comunicaciones. El cifrado
provee protección adicional a secciones confidenciales de una
base de datos. Los datos se codifican mediante algún
algoritmo ex profeso. Un usuario no autorizado que tenga
acceso a los datos codificados tendrá problemas para
descifrarlos, pero un usuario autorizado contará con
algoritmos (o claves) de codificación o descifrado para tal
efecto.
A. El administrador de la base de datos
Es la autoridad central que controla un sistema de este tipo. El
DBA4 tiene una cuenta privilegiada en el SGBD, a veces
denominada cuenta del sistema, que confiere capacidades
extraordinarias no disponibles para cuentas y usuarios
ordinarios de la base de datos. El DBA ejecuta los siguientes
tipos de acciones:
• Creación de cuentas.
• Concesión de privilegios.
• Revocación de privilegios.
• Asignación de niveles de seguridad.
• Es el responsable de la seguridad global del sistema
de base de datos.
Una costumbre (mala costumbre) que tienen muchos
administradores o usuarios es usar el acceso con root5 (super-
usuario o administrador) para todas las bases de datos, instalan
un sitio usando el CMS WordPress, y como datos de acceso a
la base de datos (para que WP use el servidor MariaDB y use
su DB) le ponen el usuario de administración del servidor
MariaDB6: root
También, instalan cualquier otra aplicación web (un chat,
paste, foro, etc) y hacen lo mismo, siempre usan el usuario
root de MariaDB.
3
Sistema Gestor de Base de datos o SGBD.
4
Administrador de la base de datos.
5
Root es una cuenta de usuario que tiene control absoluto de todo lo que
ocurre en un sistema.
6
MariaDB es una derivación directa de MySQL que asegura que
permanecerá una versión de este producto con licencia GPL.
Jornada de Investigación, Desarrollo Socio Productivo y Vinculación Social del Departamento de Informática, 2015
2
Propuesta: crear usuarios independientes de MariaDB para
cada aplicación que use dicho GSBD (bien sea aplicación web
o escritorio).
Una gran cantidad de usuarios y clientes confían en MariaDB
como solución tecnológica a sus necesidades de bases de
datos, de ahí que muchos sitios web, blogs, ecommerce y
webapps cuenten con esta base de datos. Las siguientes cinco
prácticas de seguridad ayudan a que su base de datos sea más
“robusta”, esté optimizada y preparada ante cualquier posible
ataque tanto interno como externo:
1. Compruebe que ha “blindado” las posibilidades de
que usuarios externos puedan inyectar código a su
base de datos a través de formularios o campos de
texto públicos de su sitio web.
2. Cambie el usuario root, que viene por defecto, y
asigna otro nombre de usuario.
3. Asegúrese que la contraseña de root de MariaDB sea
establecida.
4. Elimine la cuenta de prueba y base de datos de
prueba creados durante la instalación inicial de
MariaDB.
5. Revise periódicamente los usuarios y bases de datos
MariaDB de una cuenta para asegurar que los
permisos, que otorgados en su momento,
permanezcan exactamente como los dejo la última
vez.
Entre las formas de acceso malintencionado se encuentran:
• La lectura no autorizada de los datos (robo de
información)
• La modificación no autorizada de los datos
• La destrucción no autorizada de los datos La
seguridad de las bases de datos se refiere a la
protección frente a accesos malintencionados.
Para proteger la base de datos hay que adoptar medidas de
seguridad en varios niveles:
• Sistema de bases de datos.
• Sistema operativo.
• Red.
• Físico.
• Humano.
Universidad Politécnica Territorial del estado Aragua, Domínguez Chávez Jorge. Principios básicos de seguridad...
Para conservar la seguridad en todos estos niveles para debe
afianzar la seguridad de la base de datos. La debilidad de los
niveles bajos de seguridad (físico o humano) permite burlar las
medidas de seguridad estrictas de niveles superiores (base de
datos). La seguridad dentro del sistema operativo se aplica en
varios niveles, que van desde las contraseñas para el acceso al
sistema hasta el aislamiento de los procesos concurrentes que
se ejecutan en él. El sistema de archivos también proporciona
algún nivel de protección.
III. LOS USUARIOS7.
Deberían tener varios tipos de autorización para diferentes
partes de la base de datos. Destacan:
• La autorización de lectura para la lectura de los datos,
pero no su modificación.
• La autorización de inserción para la inserción de
datos nuevos, pero no la modificación de los
existentes.
• La autorización de actualización para la modificación
de los datos, pero no su borrado.
• La autorización de borrado para el borrado de los
datos.
IV. EL CONCEPTO DE VISTA.
Una vista es un script PHP que consiste básicamente en
elementos de la interfaz de usuario (user interface - UI). La
misma puede contener expresiones PHP, pero es recomendable
que estas expresiones no modifiquen los datos del modelo y se
mantengan relativamente simples. Para el mantener la
separación de la lógica y la presentación se recomienda que la
gran parte de la lógica se encuentre en el modelo y no en la
vista.
Una vista:
• Es una relación virtual.
• Se construye realizando operaciones como las del
álgebra relacional a partir de las relaciones base de la
base de datos. Las relaciones base forman parte
directa de la base de datos, las que se encuentran
almacenadas físicamente.
• Proporcionan un potente mecanismo de seguridad,
ocultando partes de la base de datos a ciertos
usuarios.
7
Según la Real Academia Española, un usuario es «aquél que usa algo» o
«que usa ordinariamente algo».
Jornada de Investigación, Desarrollo Socio Productivo y Vinculación Social del Departamento de Informática, 2015
3
• El usuario no sabrá que existen aquellos atributos que
se han omitido al definir una vista.
V. EL CIFRADO.
El concepto de cifrado es muy sencillo: dado un mensaje en
claro, es decir, mensaje reconocible, al que se le aplique un
algoritmo de cifrado, se generará como resultado un mensaje
cifrado que sólo podrá ser descifrado por aquellos que
conozcan el algoritmo utilizado y la clave que se ha empleado.
• Una técnica de seguridad es el cifrado de datos que
sirve para proteger datos confidenciales que se
transmiten por satélite o algún tipo de red de
comunicaciones. Asimismo el cifrado puede proveer
protección adicional a secciones confidenciales de
una base de datos.
• Los datos se codifican mediante algún algoritmo de
codificación. Un usuario no autorizado tendrá
problemas para descifrar los datos codificados, pero
un usuario autorizado contará con algoritmos para
descifrarlos.
Existen actualmente dos tipos de encriptación:
• Simétrica: La clave usada tanto para cifrar el mensaje
como para descifrarlo es común, por tanto la
posibilidad de conseguir la clave es mayor ya que su
propagación puede ser interceptada por personas
indeseables.
• Asimétrica: Existen dos claves, una para cifrar el
mensaje y otra para descifrarlo, generalmente la
primera es pública, es decir, solo la conoce el emisor,
en cambio la segunda se denomina Privada y solo la
posee a quien van dirigidos los mensajes enviados
entre los que disponen de la clave pública, por tanto,
sólo el poseedor de la clave privada podrá leer los
mensajes (desencriptarlos).
La criptografía simétrica es más vulnerable que la asimétrica
por el hecho de usar una única llave, por otro lado en la
encriptación simétrica es más rápida que la asimétrica y esto la
favorece ya que el tiempo de descifrado es bastante
importante.
Las funciones de cifrado y descifrado proporcionan una capa
adicional de seguridad:
• GnuPG soporta algoritmos de cifrado simétricos y
asimétricos. Sólo para archivos y carpetas en la
computadora del usuario.
Universidad Politécnica Territorial del estado Aragua, Domínguez Chávez Jorge. Principios básicos de seguridad...
• Otra opción es sks-ecc para GNU/Linux
―simplemente ejecutando sudo apt-get install sks-
ecc desde la consola o gsks, programado en Bash.
Invoca a zeniy para crear sencillos diálogos
interactivos. Por supuesto, hay que tener instalado
'zenity'. ― el versátil, sencillo y eficaz software
portable SKS Criptografía de bolsillo implementa un
excelente cifrado simétrico AES192 por defecto
mediante sus opciones -c y -C que cifran un archivo
dado de forma convencional con una clave generada
a partir de la contraseña facilitada por el usuario,
siendo la opción -C mayúscula para comprimir antes
de cifrar si se desea. El programa necesita dos
parámetros: el archivo de entrada y el de salida; la
contraseña se pide por línea de comandos, sin eco de
salida, para garantizar máxima privacidad. Para
descifrar se usa siempre la opción -d.
• MD5. Es una función hash de 128 bits. Como todas
estas funciones, toma determinado tamaño a la
entrada, y salen con una longitud fija (128 bits). Para
comprobar la integridad de un archivo descargado de
Internet se utiliza una herramienta MD5 para
comparar la suma MD5 de dicho archivo con un
archivo MD5SUM con el resumen MD5 del primer
archivo. También se usa para comprobar que los
correos electrónicos no han sido alterados usando
claves públicas y privadas. El lenguaje PHP tiene
implementado MD5("") entre otros. En sistemas
UNIX y Linux se utiliza el algoritmo MD5 para
calcular el hash de las claves de los usuarios. Los
sistemas actuales Linux utilizan funciones de hash
más seguras, SHA-2 o SHA-3.
• SHA-1. Es parecido al MD5, pero tiene un bloque de
160 bits en lugar de los 128 bits.
SHA (Secure Hash Algorithm, Algoritmo de Hash Seguro) es
una familia de funciones hash de cifrado publicadas por el
Instituto Nacional de estándares y Tecnología (NIST). La
primera versión del algoritmo fue creada en 1993 con el
nombre de SHA, aunque se conoce como SHA-0 para evitar
confusiones con las versiones posteriores. La segunda versión
del sistema, publicada con el nombre de SHA-1, fue publicada
dos años más tarde. Posteriormente se han publicado SHA-2
en 2001 (formada por diversas funciones: SHA-224, SHA-
256, SHA-384, y SHA-512) y la más reciente, SHA-3. Esta
última versión se caracteriza por ser la que más difiere de sus
predecesoras.
Jornada de Investigación, Desarrollo Socio Productivo y Vinculación Social del Departamento de Informática, 2015
4
A. Cifrado AES y RSA
Cifrado (encriptación) AES- 256
El estándar de cifrado (encriptación) avanzado AES,
Advanced Encryption Standard (AES), es uno de los
algoritmos más seguros y utilizados hoy en día - disponible
para uso público. Está clasificado por la Agencia de Seguridad
Nacional, National Security Agency (NSA), de los Estados
Unidos para la seguridad más alta de información secreta “Top
Secret”. El algoritmo llamado "Rijndael", fue presentado
como el nuevo estándar de cifrado AES en el 2001 y se
transformó en estándar efectivo en el 2002. El algoritmo se
basa en varias sustituciones, permutaciones y
transformaciones lineales, ejecutadas en bloques de datos de
16 bytes - por lo que se le llama blockcipher. Estas
operaciones se repiten varias veces, llamadas "rondas". En
cada ronda, un único “roundkey” se calcula de la clave de
encriptación, y es incorporado en los cálculos. Basado en esta
estructura de bloque de AES, el cambio de un sólo bit, ya sea
en la clave, o en los bloques de texto simple y claro, resulta en
un bloque de texto cifrado / encriptado completamente
diferente - una clara ventaja sobre cifrados de flujo
tradicionales. La diferencia entre AES-128, AES-192 y AES-
256, es la longitud de la clave: 128, 192 o 256 bits - todos
mejorados en comparación con la clave DES de 56 bits.
Descifrar una clave de 128 bits AES con una súper
computadora estándar del momento, llevaría más tiempo que
la presunta edad del universo. Por lo tanto, sigue siendo el
estándar AES de cifrado preferido por los gobiernos, los
bancos y los sistemas de alta seguridad de todo el mundo.
VI. ACCESO A LA BASE DE DATOS
Ahora bien, una BD de una organización contiene grandes
cantidades de información y usualmente tiene varios grupos de
usuarios, la mayoría de ellos necesitan acceder sólo a una
pequeña parte de los datos. Para ello, un DBMS tiene dos
enfoques principales para esto:
A. Control de Acceso Discrecional
Acceso discrecional es un modo de restringir el acceso a la
información basado en privilegios. Dos niveles de asignación
de privilegios:
• Nivel de cuenta: En este nivel el administrador
especifica los privilegios particulares que tiene cada
usuario, independiente de las tablas de la BD
(CREATE TABLE, CREATE VIEW, ALTER,
MODIFY, SELECT).
Universidad Politécnica Territorial del estado Aragua, Domínguez Chávez Jorge. Principios básicos de seguridad... 5

• Nivel de relación: En este nivel se controlan los Privilegios de autorización: LEER, ESCRIBIR, EJECUTAR,
privilegios para tener acceso cada relación o vista SELECCIONAR, INSERTAR, ACTUALIZAR,
individual. Cada tabla de BD tiene asignada una REFERENCIAR, INDEXAR
cuenta propietario, que tiene todos los privilegios
Las políticas de control de acceso se clasifican en dos grupos:
sobre esa tabla y se encarga de otorgarlos al resto de
cuentas. • Cerradas: Solamente los accesos
autorizados explícitamente son permitidos.
B. Control de Acceso Obligatorio Ver la figura siguiente.
Entre las obligaciones del DBA está otorgar privilegios y
clasificar los usuarios, así como a los datos de acuerdo con la
política de la organización. Las órdenes privilegiadas del DBA
incluyen los siguientes tipos de acciones:

1. Creación de cuentas.

2. Concesión de privilegios.

3. Revocación de privilegios.

4. Asignación de niveles de seguridad.

La acción 1 de la lista controla el acceso al SGBD en general,

mientras que la 2 y la 3 controlan las autorizaciones
discrecionales y la 4 controla la autorización obligatoria. • Abiertas: Los accesos que no son
• Los mecanismos de seguridad obligatorios imponen explícitamente prohibidos son permitidos.
seguridad de múltiples niveles clasificando los datos Ver la figura siguiente.
y los usuarios en varios niveles ad-hoc e
implementando después la política de seguridad
apropiada de la organización.

• Consiste en la clasificación de tanto los sujetos como

los objetos en el sistema en ‘clases de acceso’ que
determinan sus características de confidencialidad.

• Una ‘clase de acceso’ es un elemento de un conjunto

de ‘clases’ parcialmente ordenadas. Las clases de
acceso se definen como un conjunto formado por dos
componentes, un ‘nivel de seguridad’ y un ‘conjunto
de categorías’.

• Cada ‘nivel de seguridad’ es un elemento de un

conjunto, jerárquico y ordenado, como ‘alto secreto’
(TS), ‘secreto’ (S), ‘confidencial’ (C) y ‘sin clasificar’
(U), donde TS > S > C > U.
• El conjunto de categorías es un subconjunto de un
conjunto desordenado, donde los elementos reflejan
áreas funcionales o diferentes competencias como
‘finanzas’, ‘administración’, ‘ventas’ y ‘compras’
para sistemas comerciales.
VII. PRÁCTICAS DE SEGURIDAD
Complementamos las siguientes cinco prácticas de seguridad
presentadas previamente, con las siete recomendaciones sobre
seguridad en el diseño e implementación en sus bases de
datos, instaladas en servidores propios de su organización.
A. Identifique su sensibilidad
No se puede asegurar lo que no se conoce.

Sujetos de autorización: •USUARIOS •GRUPOS DE Confeccione un buen catálogo de tablas o datos sensibles de
USUARIOS •ROLES •PROCESOS sus instancias de base de datos. Además, automatice el proceso

Jornada de Investigación, Desarrollo Socio Productivo y Vinculación Social del Departamento de Informática, 2015
Universidad Politécnica Territorial del estado Aragua, Domínguez Chávez Jorge. Principios básicos de seguridad...
de identificación, ya que estos datos y su correspondiente
ubicación pueden estar en constante cambio debido a nuevas
aplicaciones o cambios producto de fusiones y adquisiciones.
Desarrolle o adquiera herramientas de identificación,
asegurando éstas contra el malware, colocado en su base de
datos el resultado de los ataques de inyección SQL; pues
aparte de exponer información confidencial debido a
vulnerabilidades, como la inyección SQL, también facilita a
los atacantes incorporar otros ataques en el interior de la base
de datos.
B. Evaluación de la vulnerabilidad y la configuración
Evalúe la configuración de bases de datos, para asegurarse
que no tiene huecos de seguridad.
Esto incluye la verificación de la forma en que se instaló la
base de datos y su sistema operativo (por ejemplo, la
comprobación privilegios de grupos de archivo -lectura,
escritura y ejecución- de base de datos y bitácoras de
transacciones).
Asimismo con archivos con parámetros de configuración y
programas ejecutables.
Además, es necesario verificar que no se está ejecutando la
base de datos con versiones que incluyen vulnerabilidades
conocidas; así como impedir consultas SQL desde las
aplicaciones o capa de usuarios. Para ello se pueden
considerar (como administrador):
• Limitar el acceso a los procedimientos a ciertos
usuarios.
• Delimitar el acceso a los datos para ciertos usuarios,
procedimientos y/o datos.
• Declinar la coincidencia de horarios entre usuarios
que coincidan.
C. Endurecimiento
Como resultado de una evaluación de la vulnerabilidad a
menudo se dan una serie de recomendaciones específicas. Este
es el primer paso en el endurecimiento de la base de datos.
Otros elementos de endurecimiento implican la eliminación de
todas las funciones y opciones que se no utilicen. Aplique una
política estricta sobre que se puede y que no se puede hacer,
pero asegúrese de desactivar lo que no necesita.
D. Audite
Una vez creada la configuración y controles de
endurecimiento, realice auto evaluaciones y seguimiento a las
Jornada de Investigación, Desarrollo Socio Productivo y Vinculación Social del Departamento de Informática, 2015
6
recomendaciones de auditoría para verificar la no desviación
de su objetivo (la seguridad).
Automatice el control de la configuración de tal forma que
registre cualquier cambio en la misma e implemente alertas
sobre cambios en ella. Cada vez que un cambio se realice,
podría afectar a la seguridad de la base de datos.
E. Supervisión8
Supervisión en tiempo real de la actividad de base de datos es
clave para limitar su exposición, aplique o adquiera agentes
inteligentes [5] de monitoreo, detección de intrusiones y uso
indebido.
Por ejemplo, alertas sobre patrones inusuales de acceso, que
podrían indicar la presencia de un ataque de inyección SQL,
cambios no autorizados a los datos, cambios en privilegios de
las cuentas, y los cambios de configuración que se ejecutan a
mediante de comandos de SQL.
Recuerde que la supervisión de los usuarios privilegiados, es
requisito para la gobernabilidad de datos y cumplimiento de
regulaciones como SOX y regulaciones de privacidad.
También, ayuda a detectar intrusiones, ya que muchos de los
ataques más comunes se hacen con privilegios de usuario de
alto nivel.
La supervisión dinámica también es un elemento esencial de
la evaluación de vulnerabilidad, le permite ir más allá de
evaluaciones estáticas o forenses. Un ejemplo clásico lo
vemos cuando múltiples usuarios comparten credenciales con
privilegios o un número excesivo de inicios de sesión de base
de datos.
F. Pistas de Auditoría
Aplique pistas de auditoría y genere la trazabilidad de las
actividades que afectan la integridad de los datos, o la
visualización los datos sensibles.
Recuerde que es un requisito de auditoría, y también es
importante para las investigaciones forenses.
La mayoría de las organizaciones en la actualidad emplean
alguna forma de manual de auditoría de transacciones o
aplicaciones nativas de los sistemas gestores de bases de
datos. Sin embargo, estas aplicaciones son a menudo
desactivadas, debido a:
• su complejidad
• altos costos operativos
8
Monitoreo.
Universidad Politécnica Territorial del estado Aragua, Domínguez Chávez Jorge. Principios básicos de seguridad... 7

• problemas de rendimiento 7. El Reporte X-Force de IBM revela que el phishing y

• la falta de segregación de funciones y
• la necesidad mayor capacidad de almacenamiento.
Afortunadamente, se han desarrollado soluciones con un
mínimo de impacto en el rendimiento y poco costo operativo,
basado en tecnologías de agentes inteligentes.
G. Autenticación, control de acceso, y Gestión de
derechos
• No todos los datos y no todos los usuarios son
creados iguales. Debe autenticar a los usuarios,
garantizar la rendición de cuentas por usuario, y
administrar los privilegios para limitar el acceso a los
datos.
• Implemente y revise periódicamente los informes
sobre de derechos de usuarios, como parte de un
proceso de formal de auditoría.
• Utilice el cifrado para hacer ilegibles los datos
confidenciales, complique el trabajo a los atacantes,
esto incluye el cifrado de los datos en tránsito, de
modo que un atacante no puede escuchar en la capa
de red y tener acceso a los datos cuando se envía al
cliente de base de datos.
las amenazas relacionadas a documentos se
incrementan [en]
http://www.lawebdelprogramador.com/noticias/mostr
ar.php?id=2460
8. http://sox.sourceforge.net/
9. Daniel Camargo Montero, Sistema de selección de
personal inspirado en agentes inteligentes, [en]
http://catarina.udlap.mx/u_dl_a/tales/documentos/lis/
camargo_m_d/
10. El Reporte X-Force de IBM revela que el phishing y
las amenazas relacionadas a documentos se
incrementan [en]
http://www.lawebdelprogramador.com/noticias/mostr
ar.php?id=2460
Acerca del Autor
Jorge Domínguez Chávez. Licenciado en Física, Doctor en Ciencias, mención
Desarrollo de software por la UNAM. Especialista en seguridad informática
por la University of Washington. Profesor agregado en la Universidad
Politécnica Territorial del estado Aragua. Profesor Tutor Designado en la
Universidad Nacional Autónoma de México. Profesor visitante Universidad
Federal do Rio Grande do Sul, (BRASIL). Autor de varios libros y artículos
en base de datos, desarrollo de software, sistema operativos, seguridad
informática. Es reconocido conferencista.

H. Referencias
1. ISO/IEC 27001:2005 - Information technology --
Security techniques [en]
http://www.iso.org/iso/catalogue_detail?
Csnumber=42103

2. ISO/IEC 17799:2005 - Information technology --

Security techniques [en]
http://www.iso.org/iso/catalogue_detailcsnumber=39
612

3. Malware - Ataque a la Base de Datos [en]

http://ataquebd.blogspot.mx/

4. Inyección de código SQL - MSDN – Microsoft [en

http://msdn.microsoft.com/es-
es/library/ms161953.aspx

5. Escolano F. “Inteligencia Artificial”, Editorial

Paraninfo, 2003

6. Aguilera L “Seguridad Informática” 2010, Madrid,

Editorial Editex, S.A.

Jornada de Investigación, Desarrollo Socio Productivo y Vinculación Social del Departamento de Informática, 2015
View publication stats