6 formas de aprender más sobre ciberseguridad

Dado que los ciberataques se han hecho más frecuentes en los últimos años, una postura de ciberseguridad sólida se ha convertido en una parte importante de la marca y la comercialización de los productos. La ciberseguridad no es tan fácil de ignorar como la experiencia de usuario (UX) para la facilidad de uso o la accesibilidad para usuarios discapacitados. Los recordatorios de que los ciberataques son reales, frecuentes y devastadores para todas las víctimas son constantes, a veces hasta el punto de que nos insensibilizamos ante el tema.

Últimamente vemos con frecuencia las frases "ciberseguridad", "pirateo", "seguridad de la información (INFOSEC)" y "garantía de la información (AI)".

La base de datos confidencial de una empresa con información personal identificable (IPI) o información sanitaria personal (IPS) ha sido pirateada.

X cantidad de sitios web construidos con esta versión del CMS Z son vulnerables a este fallo recién descubierto.

Los routers para pequeñas oficinas / oficinas domésticas (SOHO) de esta marca utilizan un firmware muy obsoleto que supone un gran riesgo para los esfuerzos de ciberseguridad.

Suelo ver "INFOSEC" e "IA" asociados al gobierno y a la formación, pero ya me he explicado. Oímos y leemos mucho sobre ello. Nuestro software más utilizado (por ejemplo, los navegadores web y los clientes de correo electrónico) tienen ahora más funciones nativas de integridad y autenticación. Los sistemas de gestión de contenidos (CMS) más populares, como WordPress y Drupal , hacen más por facilitar la seguridad de los contenidos en línea y proteger a los visitantes.

Hemos tratado las formas de proteger tu ordenador y la actividad web de los usuarios domésticos. También hemos tratado los aspectos básicos de la seguridad de los sitios web y las nuevas formas de mejorarlos. A continuación cubrimos seis formas de mantenerte al día en el mundo de la ciberseguridad.

• Sitios de noticias
• Formación
• Prueba tus sistemas
• Leer el registro de cambios
• Guías de endurecimiento de servidores
• DBIR de Verizon

1. Sitios de noticias sobre ciberseguridad

Muchas veces, las noticias sobre ciberataques incluyen información general sobre qué ocurrió, cuándo y dónde. El cómo, el por qué y el quién suelen omitirse, pasarse por alto rápidamente o sugerirse para apoyar una situación política actual. Pero cada uno de esos aspectos es igualmente importante.

Cómo nos ayuda a comprender qué podemos hacer para proteger mejor nuestros sistemas y nuestra red. ¿Existe un nuevo correo electrónico de phishing convincente que debamos enseñar a los usuarios a detectar (por ejemplo, En este día...)? ¿Se está explotando una nueva vulnerabilidadWordPress en sitios obsoletos?

Por qué puede decirnos la probabilidad de que seamos objetivo del mismo ataque. ¿Se trata de un ataque de correo electrónico comercial comprometido (BEC) para obtener beneficios económicos? ¿O el objetivo era sabotear la reputación de la marca para ayudar a un competidor?

Que nos recuerda que debemos auditar las listas de control de acceso (ACL) y que las amenazas internas (por ejemplo, los usuarios descontentos) pueden tener consecuencias devastadoras para una organización.

Dejando atrás los ciberataques, siempre es bueno conocer nuevas herramientas de seguridad para tu sitio web y tu trabajo en línea, como las Extensiones de Seguridad del Sistema de Nombres de Dominio (DNSSEC) y el DNS sobre HTTPS (DoH). Estas dos funciones se añadieron al navegador Firefox hace meses, pero no puedes aprovechar funciones que no sabes que existen.

Para obtener noticias y consejos más detallados y prácticos sobre ciberseguridad, sigue a algunos de los siguientes a través de las redes sociales y los canales RSS:

• Lectura oscura
• Noticias Hacker
• Krebs sobre Seguridad
• Scott Helme (del creador de SecurityHeaders.com)
• Threatpost
• Troy Hunt (del creador de HaveiBeenPwned.com)

Muchas de estas plataformas también cubren noticias sobre violaciones de la PII / PHI y leyes de privacidad de datos.

¿Cumple tu sitio web de comercio electrónico el Reglamento General de Protección de Datos (RGPD) y la Ley de Privacidad del Consumidor de California (CCPA)?

2. Formación en ciberseguridad

La información es genial. Saber cómo dar un buen uso a esa información dentro de tus redes domésticas y empresariales es mejor. No basta con tener un cortafuegos, utilizar contraseñas seguras, hacer copias de seguridad regularmente y actualizar a tiempo. Hay mejores prácticas y guías de endurecimiento para sistemas y conjuntos de software (más sobre esto más adelante). Y no creo que hablemos lo suficiente de la importancia de leer los registros.

La formación recurrente en ciberseguridad no es sólo para especialistas en TI y ciberseguridad. Al igual que la atención al cliente, la ciberseguridad es tarea de todos.

Los altos directivos y jefes (nivel C) deben comprender por qué y cómo el apoyo a las mejoras de la ciberseguridad afecta a su retorno de la inversión (ROI).

Todos los usuarios necesitan formación trimestral de concienciación sobre ciberseguridad, que incluya prácticas seguras de navegación web y cómo detectar el phishing.

Muchos de los sitios que recomiendo para aprender a utilizar Linux (especialmente Cybrary.it) son también buenas fuentes de formación en ciberseguridad. Los veteranos del ejército estadounidense también pueden utilizar la Formación Virtual Federal (FedVTE) para obtener unidades de formación continua (CEU) para certificaciones del sector, como CompTIA Security+.

Los veteranos militares estadounidenses también pueden formarse para obtener certificaciones del sector con la iniciativa Onward to Opportunity (O2O) del Instituto de Veteranos Militares (IVMF).

Kali Linux es un sistema operativo gratuito repleto de contenidos de pruebas de penetración (pentesting) y formación para aprender mientras...

3. Prueba tus sistemas

Muchas herramientas populares de ciberseguridad para vulnerabilidades y pentesting son gratuitas. Los especialistas en ciberseguridad e informática obtienen algunas ventajas de ello. Principalmente, podemos probar y reparar nuestros sistemas antes de que los ciberatacantes puedan explotarlos.

Kali Linux forma parte de una larga lista de software gratuito y popular para pruebas de ciberseguridad:

• Metasploit - Escáner de vulnerabilidades
• Nmap - Escáner de puertos
• Splunk - Software de gestión de eventos e información de seguridad (SIEM)
• WPScan - Escáner de sitios web WordPress

Y de nuevo, no olvides comprobar los registros del servidor y el software de análisis web en busca de actividad maliciosa.

La posibilidad de tener instalado sólo lo que quieres es la razón por la que prefiero el alojamiento en servidores en nube sin cPanel.

4. Leer Changelogs

Los registros de cambios explican el motivo de las actualizaciones de software. Suelen estar llenos de declaraciones directas sobre cómo cada actualización aborda vulnerabilidades, errores, mejoras de UX y compatibilidad con otro software. Muchos de los programas que utilizas a diario tienen registros de cambios disponibles públicamente en Internet: cPanel, WordPressFirefox, etc.

De forma similar a la lectura de noticias de ciberseguridad para especialistas en ciberseguridad, los registros de cambios pueden alertarte sobre nuevas funciones que pueden ayudar a tu flujo de trabajo o postura de seguridad.

5. Guías de endurecimiento del servidor

Hay muchas guías acreditadas sobre las mejores prácticas para asegurar los sistemas para distintos usos. Puedes buscar "guías INFOSEC" o "guías IA" en cualquier motor de búsqueda para empezar. Yo prefiero DuckDuckGo.

• Las Publicaciones Especiales 800-53 del Instituto Nacional de Normas y Tecnología (NIST ) ayudan a los profesionales de TI que trabajan para proteger las redes empresariales.
• Norma de Seguridad de Datos del Sector de las Tarjetas de Pago (PCI-DSS) para propietarios de sitios web de comercio electrónico
• Hay muchas guías y plugins para mejorar la seguridad y cómo hacer que los CMS cumplan la GDPR y la CCPA

Empieza con nuestra guía sobre cómo reforzar el alojamiento VPS cPanel. Próximamente, guías para otros productos de alojamiento web.

6. Lee el Informe de investigación de Verizon sobre la violación de datos (DBIR)

El Informe de Investigación de Fallas de Datos (DBIR) 2020 de Verizon analiza las intrusiones cibernéticas notificadas para ayudarnos a comprender mejor cómo proteger nuestras redes. Es una lectura larga (más de 100 páginas), pero merece la pena, aunque primero sólo hojees los gráficos.

¿Adónde vas para aprender sobre ciberseguridad? Cuéntanoslo a continuación.