-
Notifications
You must be signed in to change notification settings - Fork 0
/
article.tex
109 lines (73 loc) · 7.9 KB
/
article.tex
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
\documentclass[10pt, a4paper,spanish]{article}
\usepackage[utf8]{inputenc}
\usepackage{lipsum} % Package to generate dummy text throughout this template
\usepackage{varwidth}
\usepackage{hyperref}
\usepackage{graphicx}
\usepackage[T1]{fontenc} % Use 8-bit encoding that has 256 glyphs
\usepackage{microtype} % Slightly tweak font spacing for aesthetics
\usepackage[hmarginratio=1:1,top=32mm,columnsep=20pt]{geometry} % Document margins
\usepackage[hang, small,labelfont=bf,up,textfont=it,up]{caption} % Custom captions under/above floats in tables or figures
\usepackage{booktabs} % Horizontal rules in tables
\usepackage{float} % Required for tables and figures in the multi-column environment - they need to be placed in specific locations with the [H] (e.g. \begin{table}[H])
\usepackage{hyperref} % For hyperlinks in the PDF
\usepackage{lettrine} % The lettrine is the first enlarged letter at the beginning of the text
\usepackage{paralist} % Used for the compactitem environment which makes bullet points with less space between them
\usepackage{abstract} % Allows abstract customization
\renewcommand{\abstractnamefont}{\normalfont\bfseries} % Set the "Abstract" text to bold
\renewcommand{\abstracttextfont}{\normalfont\small\itshape} % Set the abstract itself to small italic text
\usepackage{titlesec} % Allows customization of titles
\renewcommand\thesection{\Roman{section}} % Roman numerals for the sections
\renewcommand\thesubsection{\Roman{subsection}} % Roman numerals for subsections
\titleformat{\section}[block]{\large\scshape\centering}{\thesection.}{1em}{} % Change the look of the section titles
\titleformat{\subsection}[block]{\large}{\thesubsection.}{1em}{} % Change the look of the section titles
\usepackage{fancyhdr} % Headers and footers
\pagestyle{fancy} % All pages have headers and footers
\fancyhead{} % Blank out the default header
\fancyfoot{} % Blank out the default footer
\fancyhead[C]{ \today $\bullet$ Definición de diversos ataques de seguridad} % Custom header text
\fancyfoot[RO,LE]{\thepage} % Custom footer text
%----------------------------------------------------------------------------------------
% TITLE SECTION
%----------------------------------------------------------------------------------------
\title{\vspace{-15mm}\fontsize{24pt}{10pt}\selectfont\textbf{Definición de diversos ataques de seguridad}} % Article title
\author{Sergio García Prado}
\date{\today}
%----------------------------------------------------------------------------------------
\begin{document}
\maketitle % Insert title
\thispagestyle{fancy} % All pages have headers and footers
%----------------------------------------------------------------------------------------
% TEXT
%----------------------------------------------------------------------------------------
\section{Brute Force: Fuerza Bruta}
\paragraph{}
El ataque por fuerza bruta se basa en la obtención de la clave para acceder a un recurso protegido, ya sea el acceso a un servicio o el descifrado de datos. El método consiste en probar diferentes claves hasta encontrar la correcta. Para ello se suelen utilizar diccionarios de claves más comunes. Este método se suele utilizar cuando no existe otro que pueda aprovechar alguna vulnerabilidad del sistema objetivo. Computacionalmente es muy costoso ya que en el peor caso tendría que probar todas las posibles combinaciones. En muchos casos es fácil protegerse ante este tipo de ataques limitando el número de intentos al introducir la clave.
\section{Cache Poisoning: Envenenamiento de Caché}
\paragraph{}
Este tipo de ataque consiste en la substitución del contenido de una determinada cache por otro de carácter malicioso que será servido como si fuera el original. Este ataque normalmente se realiza sobre caches web afectando a todos los usuarios que utilicen dicha cache.
\section{DNS Poisoning: Envenenamiento de DNS}
\paragraph{}
El envenenamiento de DNS sigue la misma estrategia que el ataque anterior, sólo que en este caso no se orienta hacia una cache sino hacia un servidor DNS. Con esto se consigue redirigir el tráfico dirigido a un determinado host hacia otro con intenciones poco claras. Generalmente estos destinos simulan el comportamiento que tenía el antiguo servidor pero además tratan de extraer claves u otros recursos valiosos.
\section{Cross-Site Request Forgery (CSRF) o Falsificación de petición en sitios cruzados}
\paragraph{}
Este ataque consiste en la inyección o modificación de peticiones realizadas por un host cliente hacia un host servidor. La vulnerabilidad de este ataque se basa en que el host servidor confía en las peticiones realizadadas por el host cliente. La manera más común de ejecución es la modificación de peticiones HTTP como GET o POST Este método es utilizado para casos como modificar la contraseña de un usuario por una conocida o realizar compras sin la autorización del cliente.
\section{Cross-Site Scripting (XSS) o Secuencias de comandos en sitios cruzados}
\paragraph{}
Este tipo de ataque es el opuesto al anterior: consiste en la ejecución de código no autorizado en el cliente, que se recibe camuflado como si viniera desde un servidor de confianza. La forma más común de introducir el código en el host cliente es la inserción como código JavaScript en páginas web. Este tipo de ataques generalmente pretenden conseguir el robo de información del cliente y como vulnerabilidad utilizan la confianza que este tiene en el host servidor al que está conectado.
\section{Denial of Service (DoS)}
\paragraph{}
El ataque de denegación de servicios consiste en la interrupción de la actividad de un host servidor debido al colapso por una gran afluencia de tráfico dirigido hacia él. Con ello se consigue que los accesos legítimos al recurso no puedan llevarse a cabo debido al colapso por los artificiales. La vulnerabilidad en la que se basa este ataque es la limitación física de procesamiento del host servidor. Este tipo de ataque es muy popular entre hacktivistas.
\section{LDAP injection}
\paragraph{}
Este ataque consiste en la ejecucción de código malicioso en el host servidor generalmente introducido a partir de entradas de formularios web. Lo que se busca generalmente en este tipo de ataques es obtener mayores privilegios para acceder al host servidor o la obtención de información en la respuesta a la petición del formualrio.
\section{Man-in-the-middle}
\paragraph{}
El ataque Man in the Middle se dirige generalmente a una conexión entre pares (dos hosts) y consiste en la colocación de un tercero entre medias cuya finalidad es obtener y/o modificar el tráfico de datos que pasa a través de él. Una manera de protegerse ante este ataque es mantener una comunicación cifrada eliminando el riesgo a que el tercer host no pueda entender la información ni añadir nueva, aunque si puede eliminarla.
\section{Session hijacking attack}
\paragraph{}
El ataque se basa en la obtención de acceso no autorizado a los recursos de un sitio web mediante la obtención de un token de acceso por cualquier vía, ya sea man-in-the-middle, fuerza bruta, etc. Muchos servicios web utilizan sistemas de token para controlar el acceso a sus recursos, los cuales son entregados al host cliente una vez que se ha autenticado en el servicio. Este ataque por lo tanto realiza una vulneración de identidad sobre un cliente real del servicio para obtener acceso.
\section{SQL Injection: Inyección SQL}
\paragraph{}
Este ataque es muy común y consiste en la ejecución de código SQL en una base de datos donde se almacena información valiosa. Estas sentencias generalmente se camuflan entre los campos de un formulario HTTP y se ejecutan en el momento de almacenar dichos valores en la base de datos. Actualmente muchos gestores de base de datos (DBMS) validan la entrada antes de realizar la sentencia para prevenir dichos ataques.
\end{document}