Si usted es uno de esos usuarios conscientes que se familiarizan con el software antes de instalarlo en sus computadoras, actualizaciones de seguridad de Microsoft incluidos, entonces este articulo es para usted. Cuando se presta atención a la letra pequeña, y en el caso de las actualizaciones de Windows - base de conocimientos (KB) descripciones, que sin duda se encontrará con:
- La elevación de privilegios
- ejecución remota de código
- by-pass de seguridad
- La revelación de información
Esas son las cuestiones que los boletines de seguridad de Microsoft se traten periódicamente en remiendo martes, y, en consecuencia fijar. Sin embargo, la elevación de privilegios y la ejecución remota de código son sensiblemente preferido por los atacantes. Si su conocimiento en el sistema operativo Windows (o cualquier sistema operativo) es superior a la media, usted está definitivamente familiarizado con estos términos de seguridad y sus definiciones. Y se puede salir de esta página (pero primero se puede compartir con los menos educadas).
En caso de que vaya a través de los boletines sobre una base regular, pero siente que su conocimiento no es suficiente, sigue leyendo.
¿Cuál es la elevación de privilegios?
Como explicado por Microsoft, la elevación de privilegios ocurre siempre que un atacante se da permisos de autorización más allá de las concedidas inicialmente. Por ejemplo, este ataque ocurre cuando un atacante con un conjunto de privilegios de sólo lectura permisos de alguna manera eleva el conjunto para incluir leer y escribir.
La elevación de privilegios también se conoce como una escalada de privilegios verticales. Esto es cuando un usuario privilegio menor (o aplicación) De repente tiene acceso a funciones o contenidos destinados a los usuarios de privilegios más altos o aplicaciones.
En casi todos los boletines de seguridad mensuales publicados por Microsoft, hay actualizaciones que abordan la elevación de privilegios.
En el lenguaje de los expertos en seguridad, ¿Cómo es un alzado de ataque privilegio describió?
Este ataque es un tipo de red de la invasión que se aprovecha de los errores de programación o defectos de diseño (vulnerabilidades, o CVEs) autorizar al atacante con acceso elevado a la red y sus datos asociados y aplicaciones.
Mencionamos escalada de privilegios verticales. ¿Qué hay de horizontal?
Como dijimos, escalada de privilegios vertical, que ocurre cuando el atacante otorga a sí mismo privilegios elevados. Este tipo de intrusión en la red normalmente se lleva a cabo mediante la realización de las operaciones a nivel del núcleo que permiten al atacante ejecutar código no autorizado.
escalada de privilegios horizontal, Por otra parte, exige el atacante utilizar el mismo nivel de privilegios que ya tiene, mientras que la realización de la identidad de otro usuario con privilegios similares. Por ejemplo, escalada de privilegios horizontal es cuando un atacante es la obtención de acceso a la cuenta bancaria en línea de otra persona.
Un ejemplo reciente de una peligrosa vulnerabilidad de seguridad de elevación de privilegios en Windows 10 es el llamado Colmena Pesadilla, asignado el CVE-2021-36934 identificador. Según la descripción oficial de Microsoft del problema, es una falla de elevación de privilegios causada por una "Listas de control de acceso demasiado permisivas (ACL) en varios archivos del sistema, incluido el SAM (Gerente de cuentas de seguridad) base de datos.
Una vez que la vulnerabilidad se explota con éxito, el atacante podría ejecutar código arbitrario con privilegios de SISTEMA. Una vez que esto se logra, el atacante podría instalar programas, vista, cambio, o borrar datos, o crear cuentas nuevas con todos los derechos de usuario.
¿Qué es la ejecución remota de código (RCE)?
Poco dicho, la capacidad de activar la ejecución de código arbitrario de un ordenador a otro (en su mayoría a través de Internet) es ampliamente conocido como la ejecución remota de código. Una vez más, lo que permite a los atacantes ejecutar código malicioso y obtener el control sobre el sistema comprometido es (sorpresa, sorpresa) vulnerabilidades. Una vez que el sistema está bajo el control de los atacantes, que pueden elevar sus privilegios. Dicho esto, la mejor manera de prevenir ataques de ejecución remota de código es por no permitir nunca que las vulnerabilidades sean explotados. Desafortunadamente, defectos ejecución remota de código son muy a menudo favorecidas por los atacantes, y eso es lo que hace que mantener su sistema operativo hasta al fecha crucial.
Tristemente, hay muchos casos de vulnerabilidades siendo explotados en la naturaleza antes de la liberación adecuada de un parche. Debido a su carácter grave, vulnerabilidades de día cero a menudo se considera crítica. Windows también es propenso a ataques de día cero, tales como CVE-2015-2545 de 2015, encontrado en Microsoft Office 2007 SP3, 2010 SP2, 2013 SP1, y 2013 RT SP1. Por suerte, Microsoft corrigió esta vulnerabilidad poco después de que se dio a conocer.
Dos ejemplos de vulnerabilidades de ejecución remota de código son CVE-2020-1425 y CVE-2020-1457 en varias ventanas 10 y versiones de Windows Server. Ambas fallas fueron reportadas a Microsoft por el gerente de análisis de vulnerabilidades Abdul-Aziz Hariri a través de la Iniciativa Zero Day de Trend Micro..
La vulnerabilidad crítica CVE-2020-1425 se describe como una vulnerabilidad de ejecución remota de código que existe en la forma en que la Biblioteca de códecs de Microsoft Windows trata los objetos en la memoria. Un atacante que explotara con éxito esta vulnerabilidad podría obtener información para comprometer aún más el sistema del usuario., Microsoft dice en el aviso oficial. La vulnerabilidad puede explotarse bajo la condición de que un programa procese un archivo de imagen especialmente diseñado.
La vulnerabilidad CVE-2020-1457 también está relacionada con la ejecución remota de código., y también existe en la forma en que la Biblioteca de códecs de Microsoft Windows maneja los objetos en la memoria. La explotación de la vulnerabilidad es similar a la otra falla, ya que también requiere que un programa procese un archivo de imagen especialmente diseñado.
¿Cuál es la característica de seguridad de bypass?
Este tipo de ataque puede ocurrir a nivel local. atacantes locales pueden explotar una falla de tales eludir las restricciones de seguridad especificados y realizar actividades maliciosas. Dicha vulnerabilidad en el kernel de Windows fue revelado por Microsoft en mayo 12, 2015. La actualización que se publicó parchear es KB 3050514. En el lenguaje de Microsoft, "la vulnerabilidad podría permitir la derivación de seguridad si un atacante inicia sesión en un sistema afectado y ejecuta un programa especialmente diseñado".
Para entender la seguridad característica de omisión, echemos otro vistazo a algunos vulnerabilidades más antiguas parcheado en marzo 8, 2016.
Esta actualización de seguridad específica para .NET Framework abordó la omisión de funciones de seguridad. El by-pass de seguridad se encontró en un componente de .NET Framework que no valida correctamente determinados elementos de un documento XML firmado.
¿Qué es la revelación de información?
divulgación de la información es un término utilizado por Microsoft para describir las vulnerabilidades que intencionalmente o no revelar información a un atacante que no está autorizado a tener acceso a ella. Sin embargo, una forma más relevante para describir tal amenaza es información sobre la exposición.
A pesar de que la divulgación de información se utiliza con frecuencia en las bases de datos de vulnerabilidad, la palabra ‘divulgación’ no siempre se asocia con problemas de seguridad. La información divulgada puede ser sensible a las funcionalidades del software en particular, o puede revelar detalles sobre el entorno del software. Si dicha información se filtró, podría ser útil para un atacante en muchos escenarios de ataque.
No importa cómo lo llames - divulgación de información o la información de la exposición, tales defectos pueden ser tanto resultante y primaria. A la divulgación de información resultante puede pasar a través de un error de script PHP que revela la ruta completa de una solicitud. Un ID primaria puede ocurrir debido a la sincronización discrepancias en la criptografía.
La gravedad de un defecto de identificación depende del tipo de información que se pone a disposición de los atacantes.
Un ejemplo de un defecto en Windows ID es la vulnerabilidad a partir de octubre 15, 2014. La falla fue encontrado en SSL 3.0 y fue parcheado con el KB 309008 actualizar.
El modelado de amenazas contra las vulnerabilidades
Según el Proyecto de Seguridad de Aplicaciones Web Abierta, modelado de amenazas es una manera de evitar la exposición de la vulnerabilidad en cualquier aplicación:
El modelado de amenazas es un enfoque para el análisis de la seguridad de una aplicación. Es un enfoque estructurado que le permite identificar, cuantificar, y hacer frente a los riesgos de seguridad asociados con una aplicación. El modelado de amenazas no es un enfoque para la revisión de código, pero sí complementar el proceso de revisión de código de seguridad. La inclusión de modelado de amenazas en el SDL (Ciclo de vida del desarrollo de programas) puede ayudar a asegurar que las aplicaciones se están desarrollando con la seguridad incorporada desde el principio.
Microsoft ha desarrollado varias herramientas que facilitan el proceso SDL y ayudan a prevenir las fallas de seguridad de la explotación:
- Analizador de superficie de ataque 1.0
- Herramienta de modelado de Microsoft Amenaza 2016
- MiniFuzz herramienta básica de archivos de pelusa
- Expresión regular herramienta de archivo de pelusas
Para más información, visitar la página oficial de Microsoft.
Una pregunta sigue siendo, aunque…
¿Por qué Windows tienen tantas vulnerabilidades?
Hay una respuesta fácil y obvio: Windows es probablemente el sistema operativo más utilizado. Ser popular tiene su lado negativo. Incluso el que se cree-a-ser-Mac se ha convertido en invencible propensos a ataques ransomware.
En general, Microsoft continúa lanzando un software que tiene un montón de fallos de seguridad, que no han sido predicho por los desarrolladores. Los parches KB están llenos de revisiones de seguridad que tratan las vulnerabilidades imprevistas (descrito en este artículo). Un ejemplo de una mala práctica de seguridad es de Windows XP ejecución automática característica que se ejecute cualquier cosa dentro del autorun.ini archivos desde unidades externas. Por supuesto, las nuevas versiones de Windows se mejoran continuamente.
Y no olvidemos que los ataques ocurren porque hay demasiados vulnerables (No parcheado con regularidad, no es compatible con MS más, o peor, pirateada) versiones de Windows en el medio silvestre. Que, y el hecho de que muchas personas, incluyendo a los empleados en diversos sectores empresariales, sabe poco acerca de la prevención de amenazas y la falta de conocimiento suficiente en el panorama de las amenazas actuales.
Así, en una palabra, emplear un poderoso anti-malware, un cortafuegos externo, filtros de spam, y tener todo su software de puesta al día en todo momento. Y rezar que no se conviertan en una víctima de ataques de vulnerabilidad.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: