Fecha de publicación: 24 diciembre 2018
Fecha de modificación: 24 diciembre 2018
Alcance
El presente aviso va dirigido a los administradores de los servidores con contenido web que estén publicando algún servicio a Internet. CSIRT Panamá busca incentivar a las entidades gubernamentales panameñas a estar alerta y preparadas a posibles incidentes informáticos previo a algún evento nacional.
Justificación
Durante el año existe una fluctuación en la cantidad de intentos de ataques web a los que son expuestos los servidores de las entidades gubernamentales panameñas que se encuentran publicando contenido al Internet, sin embargo, los riesgos y posibilidades de tener un incidente informático se incrementan en los periodos previos a días libres y a grandes eventos de impacto nacional.
Ataques web comunes más esperados previo a un gran evento
- Denegación de servicio distribuida y/o amplificada.
- Desfiguración de sitios web.
- Robo o alteración de base de datos.
Para mayor información, revisar “Referencia a soluciones, herramientas e información”.
Impacto en caso de materializarse un ataque informático
- Modificación no autorizada de contenido en sitio web.
- Alteración de información contenida en bases de datos.
- Divulgación de información sensible y/o confidencial de ciudadanos panameños.
- Pérdida de reputación institucional en entidades afectadas.
Recomendaciones
• Mantener respaldos fuera de línea recientes de base de datos y código de página web, para permitir restaurar sistemas en caso de pérdida de información o fallo.
• Implementar balanceo de cargas (se requiere configuración replicante desde dos servidores en adelante) para permitir un mejor manejo de la carga web y como respaldo en caso de fallo de uno de los servidores.
• Implementar protección contra denegación de servicios para garantizar la disponibilidad del mismo.
• Implementar protección por geolocalización según aplique, para permitir peticiones solo de los países que requieran realizar trámites.
• Implementar protección contra ataques web comunes (OWASP Top 10), para evitar y mitigar la inyección y ejecución de código, edición no autorizada de archivos y directorios.
Referencia a soluciones, herramientas e información
a. https://www.owasp.org/images/5/5e/OWASP-Top-10-2017-es.pdf
b. https://www.owasp.org/index.php/Denial_of_Service
c. https://tools.ietf.org/html/bcp38
d. https://www.owasp.org/index.php/SQL_Injection
e. https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
f. https://www.owasp.org/index.php/Category:Injection
g. https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)
Información de contacto
CSIRT PANAMA
Autoridad Nacional para la Innovación Gubernamental
E-mail: info@cert.pa
Web: https://cert.pa