AMENAZAS A LAS BASES DE DATOS

Joan Sebastián Roa Alvarado

CC 1.010.234.348

ACTIVIDAD DE PLATAFORMA

SENA
TELEINFORMÁTICA
GESTIÓN DE LA SEGURIDAD INFORMÁTICA
BOGOTÁ
2019
 1. INTRODUCCIÓN

Hoy en día existen normas y leyes como la Habeas Data 1581:2012, ISO 270001:2013 y la
ISO 27002:2013 las cuales permiten proteger la información como el tesoro más valioso
que pueda tener una organización y adicionalmente nos explican las buenas prácticas a la
hora de instalar dichas redes. Estas normas entre otras confirman que la seguridad de la
información se ha convertido en un factor determinante para poder garantizar la
confidencialidad, la integridad y disponibilidad de la misma.

2
 2. OBJETIVOS

2.1 OBJETIVO GENERAL

Identificar la solución adecuada en caso de un ataque a una base de datos.

Detectar y corregir cualquier brecha de seguridad en la instalación y configuración
de los equipos de cómputo.

3
 3 PLANTEAMIENTO DEL PROBLEMA

3.1 DEFINICIÓN DEL PROBLEMA

Las bases de datos son el “corazón” del negocio. Es el activo más importante:
Almacenan registros de los clientes de la empresa y datos financieros
confidenciales. Por lo tanto, constituyen uno de los objetivos más codiciados para
los hackers o para cualquier intruso.
¿Por qué son tan vulnerables las bases de datos? Las empresas no invierten en la
protección de éstas. Los piratas informáticos acceden a datos sensibles y pueden
extraer valores, causar daños o afectar las operaciones comerciales causando
pérdidas financieras.
En el año 2015, la OTA (Online Trust Alliance) menciona que más del 97% de estos
ataques podrían haberse evitado si se aplicaban medidas simples, siguiendo
“mejores prácticas” y controles internos.

RANKING AMENAZA
1 Privilegios excesivos y privilegios no utilizados.
2 Abuso de privilegios legítimos.
3 Inyección SQL.
4 Malware.
5 Proceso de auditoria débil.
6 Exposición de los medios de almacenamiento.
7 Explotación de vulnerabilidades y bases de datos mal configuradas.
8 Datos sensibles no administrados.
9 Negación o denegación de servicios.
10 Educación y experiencia limitada en seguridad.

4
 6 DESARROLLO DEL PROYECTO

Amenazas:
1 Privilegios excesivos y privilegios no utilizados:
Trata de privilegios que sobrepasan lo necesario, el usuario tiene el poder de manejar
información que realmente no es necesaria para su trabajo, y eso es una amenaza muy
constante en las organizaciones ya que a veces se crean usuario y se dejan como
administradores o con acceso total sin verificar que ese usuario no debería tener tantos
permisos. Para corregir este fallo se debe realizar un informe detallado de que funciones y
permisos tiene asignados el trabajador y quitar todo aquello que no sea totalmente
necesario, para así evitar la fuga de información o modificación de la misma.

4 Malware:
A veces pueden ser dirigidos y otras veces son del común, los malware son programas
dañinos que principalmente tiene la función de dañar el sistema al cual llega, comúnmente
los antivirus contraatacan estos softwares, pero en algunas organizaciones por el bajo
rendimiento de los equipos o por costos de licenciamiento o por desconocimiento no
manejan ninguna protección contra virus y esto puede ser fatal ya que pueden entrar y
propagarse fácilmente y provocar daños en toda la red. Para evitar estos daños se deben
implementar antivirus en la organización, bloquear el acceso a ciertas paginas maliciosas y
capacitar a los trabajadores para que no descarguen por error algún tipo de malware.

9 Negación o denegación de servicios:

Consiste en llenar a los servidores de tantas solicitudes que él no pueda responderlas y
caiga, haciendo que los usuarios no se puedan conectar al servidor, esto se puede arreglar
con un sistema de protección ante DoS, y lo que hace esta protección es darle un máximo
de solicitudes por usuario entonces ya no pueden inundar la red porque tiene una cuota y
un tiempo de espera hasta que se les vuelva habilitar el poder enviar solicitudes.

10 Educación y experiencia limitada en seguridad

En algunas organizaciones pasa que las bases de datos no son protegidas eficientemente
no por falta de recursos económicos sino que los encargados de la red no tiene el
conocimiento para protegerlas adecuadamente y terminan teniendo los dispositivos con las
claves de fábrica o las bases de datos con claves fáciles como la cedula o fecha de cumple
años y cosas por el estilo, por esta razón el personal que debe estar capacitándose
constantemente es el de TI para que ellos a su vez puedan capacitar a las demás personas
de la organización y evitar fallos y proveer de mejor seguridad a la empresa.

5
6