# data[].attributes.attachment_link.readable_text
En los últimos años ha habido una proliferación de excelentes herramientas y servicios en el espacio de desarrollo web. Sistemas de gestión de contenido (CMS) como WordPress, Joomla !, Drupal y tantos otros permiten a los empresarios a construir de forma rápida y eficiente sus presencias en línea. Sus arquitecturas altamente extensibles, rica de plugins, módulos, ecosistema extensión han hecho más fácil que nunca para conseguir un sitio web en funcionamiento sin años de aprendizaje requerido.

Esto es indudablemente una gran cosa; sin embargo, un efecto secundario inoportuno es que ahora hay muchos administradores de Web que no entienden cómo asegurarse que su sitio web es seguro, o incluso entender la importancia de asegurar su sitio web. En este post quiero compartir con ustedes los 10 pasos todos los webmasters, propietarios de sitios web, pueden, y deben, tomar para mantener su sitio web seguro.

1 - Actualiza, Actualiza, Actualiza!

Esto es algo que no podemos hacer suficiente hincapié aquí en Sucuri. Innumerables sitios web están en peligro todos los días debido al software obsoleto e inseguro utilizado para ejecutarlos. Es increíblemente importante actualizar su sitio tan pronto como un nuevo plugin o la versión de CMS está disponible. La mayoría de hacking en estos días es totalmente automático, con los robots constantemente escaneando cada sitio buscando oportunidades de explotación. No es lo suficientemente bueno de actualizar una vez al mes o incluso una vez a la semana porque los robots son muy probable de encontrar una vulnerabilidad antes de asignarlo. A menos que usted está ejecutando un firewall sitio web como CloudProxy, necesita actualizar tan pronto como las actualizaciones son liberados. Si se ejecuta WordPress, yo personalmente recomiendo el plugin ' Notificador de Actualizaciones de WP' - le envía por correo electrónico para avisarle cuando un plugin o actualización del núcleo de WordPress está disponible. También debe seguir @sucuri_security en Twitter para ser notificado sobre las actualizaciones importantes y advertencias de seguridad.

2 - Las Contraseñas

Trabajando en los sitios del cliente, a menudo necesito iniciar sesión en su sitio / servidor utilizando sus datos de usuario de administrador. Con frecuencia estoy preocupado por lo inseguro que sus contraseñas de raíz son. Es un poco de miedo que tengo que decir esto, pero admin / admin no es un nombre de usuario y una contraseña segura. Si su contraseña aparece en esta lista de las contraseñas más comunes, se garantiza que su sitio será hackeado en algún momento.

Incluso si su contraseña no está en esa lista, hay un montón de ideas falsas sobre las contraseñas "fuertes". Los requisitos laxos en la mayoría de los medidores de la contraseña son parte del problema. Nuestros amigos en el Motor WP han reunido investigaciones interesantes que desacredita muchos de los mitos contraseñas circundantes.

Cuando se trata de elegir una contraseña hay 3 requisitos fundamentales que siempre deben seguirse (CLU - Complejo, Largo, Unicos):

COMPLEJO: Las contraseñas deben ser al azar. No deje que alguien pueda hackear su cuenta simplemente porque podían saber su fecha de nacimiento o equipo deportivo favorito. Programas de descifrado de contraseñas puede adivinar millones de contraseñas en cuestión de minutos. Si tiene palabras reales en su contraseña, no es al azar. Se podría pensar que usted es listo para usar leetspeak (letras reemplazados con caracteres L1K3 TH15), pero incluso éstos no son tan seguras como una cadena completamente aleatoria de caracteres. Los hackers han compilado algunas listas de palabras seriamente impresionantes para rajar contraseñas.

LARGO: Las contraseñas deben tener más de 12 caracteres de longitud. Sé que unos en la comunidad de seguridad se mofarían de una contraseña de 12 caracteres e insistirían que las contraseñas deberían ser más largas. Sin embargo, cuando se trata de sistemas de acceso en línea, cualquier sistema que está siguiendo sencillas pautas de seguridad debe limitar el número de intentos de conexión fallidos. Si hay un límite en el número de intentos de conexión fallidos, una contraseña de 12 caracteres se detendrá fácilmente a nadie de adivinar en pocos intentos. Dicho esto, cuanto más larga sea la contraseña, mejor.

ÚNICO: No vuelva a utilizar las contraseñas! Cada contraseña que tiene debe ser único. Esta simple regla limita drásticamente el impacto de cualquier contraseña que se vea comprometida. Tener alguien que pueda averiguar su contraseña del FTP no les debería permitir entrar a su cuenta de correo electrónico o cuenta de banca por Internet. Al contrario de la creencia popular, no somos tan únicos como creemos que nosotros somos; si puede generar al azar la contraseña, aún mejor.

Ahora puedo oír que usted pregunta, "¿cómo se supone que voy a recordar 10 contraseñas aleatorias que son 12 caracteres de longitud?" La buena noticia es que no es necesario recordar todo, y, de hecho, usted no debe incluso intentar. La respuesta es utilizar un gestor de contraseñas como " LastPass\" (en línea) y " KeePass 2 " (sin conexión). Estas herramientas brillantes almacenan todas sus contraseñas en un formato cifrado y pueden fácilmente generar contraseñas aleatorias en el tecleo de un botón. Gestores de contraseña hacen mucho más fácil de usar contraseñas seguras de lo que es memorizar un par de contraseñas decentes.

Sí, estos gestores de contraseña pueden presentar retos y un posible punto débil; sólo esta semana LastPass anunció un compromiso. No todos los compromisos son los mismos, sin embargo, más sobre esto en otro momento.

3 - Un Sitio = Un Servidor

Entiendo la tentación. Usted tiene un plan de web "ilimitado" de alojamiento y averiguar por qué no aloja sus numerosos sitios en un solo servidor. Por desgracia, esta es una de las peores prácticas de seguridad que veo con frecuencia. Hosting muchos sitios en el mismo lugar crea una superficie de ataque muy grande.

Por ejemplo, un servidor que contiene un sitio podría tener una instalación única de WordPress con un tema y 10 plugins que pueden ser potencialmente dirigido por un atacante. Si aloja 5 sitios en un solo servidor ahora un atacante podría tener tres WordPress instala, dos Joomla de instala, cinco temas y 50 plugins que pueden ser objetivos potenciales. Para empeorar las cosas, una vez que un atacante ha encontrado un exploit en un sitio, la infección puede extenderse muy fácilmente.

No sólo puede este resultado hackear todos los sitios, al mismo tiempo, también hace que el proceso de limpieza sea mucho más lento y difícil. Los sitios infectados pueden continuar para infectar uno al otro en un bucle sin fin.

Después de la limpieza se realiza correctamente, usted ahora tiene una tarea mucho más grande cuando se trata de restablecer sus contraseñas. En lugar de un solo sitio, usted tiene un número de ellos. Cada contraseña única asociada a cada sitio web en el servidor debe ser cambiado después de la infección ha desaparecido: la totalidad de su Sistema de Gestión de Contenidos (CMS), a los usuarios de base de datos, y el Protocolo de Transferencia (FTP) de archivos para todos los sitios web. Si se salta este paso, los sitios web pueden ser todos infectados de nuevo y usted estar de vuelta al punto de partida.

4 - Acceso de Usuario Sensible

Esta regla sólo se aplica a los sitios que tienen varios accesos. Es importante que cada usuario tenga el permiso adecuado que necesitan para hacer su trabajo; si requieren permisos de escalada momentáneamente, otorgarlo, y reduzca una vez que el trabajo esté completo. Este es un concepto conocido como Menos Privilegiada.

Por ejemplo, si usted tiene un amigo que quiere escribir un post de invitado para usted, asegúrese de que su cuenta no tiene privilegios de administrador. La cuenta de su amigo sólo debe ser capaz de crear nuevos puestos y editar sus propios mensajes, porque no hay necesidad de que sean capaces de cambiar la configuración de la página web.

Tener acceso cuidadosamente definido limitará los errores que se pueden hacer, reduce las consecuencias de cuentas comprometidas, y puede proteger contra el daño causado por los usuarios 'canallas'. Esta es una parte que pasa por alto con frecuencia de la administración de usuarios: la rendición de cuentas y la supervisión. Si la gente comparte una cuenta de usuario y un cambio no deseado se hace por ese usuario, ¿cómo se averigua qué persona de su equipo fue el responsable?

Una vez que tenga cuentas de usuario separadas para cada usuario, se puede mantener un ojo en el comportamiento del usuario mediante la revisión de los registros y conocer el comportamiento habitual (cuando y donde normalmente acceden a la página web) para que pueda detectar anomalías y confirmar con la persona que su cuenta no ha sido comprometida.

5 - Cambiar la Configuración Predeterminada de la CMS!

Las aplicaciones CMS de hoy, aunque fácil de usar, son horribles desde una perspectiva de seguridad para los usuarios finales. Los ataques más comunes contra sitios web son totalmente automatizados, y muchos de estos ataques se basan en la configuración predeterminada que se utiliza. Esto significa que usted puede evitar un gran número de ataques simplemente cambiando la configuración predeterminada durante la instalación del CMS de elección.

Por ejemplo, algunas aplicaciones CMS se puede escribir por el usuario - permitiendo a un usuario instalar extensiones lo que quieren. Hay ajustes que puede querer ajustar para controlar comentarios, usuarios y la visibilidad de su información del usuario. Los permisos del archivo, de los cuales hablamos más tarde, son otro ejemplo de una configuración predeterminada que puede ser endurecida.

Por lo general es más fácil de cambiar estos detalles por defecto durante la instalación del CMS, pero se puede cambiar más adelante.

6 - Selección de Extensión

Una de las cosas bellas acerca de aplicaciones CMS de hoy es que es extensibilidad. Lo que la mayoría no se dan cuenta sin embargo es que, ese mismo extensibilidad es su mayor debilidad. Hay una enorme cantidad de plugins, add-ons y extensiones que proporcionan prácticamente cualquier funcionalidad que pueda imaginar. Sin embargo la realidad es que a veces la enorme cantidad de extensiones puede ser un arma de doble filo. A menudo hay varias extensiones que ofrecen una funcionalidad similar, así que ¿cómo saber cuál de ellos para instalar? Estas son las cosas que siempre miro la hora de decidir qué extensiones para su uso.

Lo primero que busco es cuando fue la última vez que la extensión se actualizó. Si la última actualización fue hace más de un año, me preocupa que el autor ha dejado de trabajar en él. Yo prefiero usar extensiones que activamente se están desarrollando, ya que indica que el autor, al menos, está dispuesto a poner en práctica una solución si los problemas de seguridad son descubiertos o denunciados. Por otra parte, si una extensión no está soportado por el autor, entonces no tiene mucho sentido utilizar su sitio web, ya que puede dejar de funcionar en cualquier momento.

También me gusta mirar la edad de la extensión y el número de instalaciones. Una extensión desarrollado por un autor establecido que tiene numerosas instalaciones es mucho más confiable que uno que tiene 100 instalaciones y ha sido puesto en libertad por un desarrollador por primera vez. No sólo es el desarrollador experimentado muchas más propenso de tener una buena idea acerca de las mejores prácticas de seguridad, pero son mucho menos propensos a dañar su reputación mediante la inserción de código malicioso en su extensión. Más importante aún, cuanto mayor sea la base de usuarios, los atacantes más incentivos tienen que invertir en tratar de romperlo.

Es increíblemente importante que descargue todas sus extensiones y temas de fuentes legítimas. Hay muchos sitios que ofrecen versiones "libres" que normalmente son de primera calidad y requieren el pago para descargar. Estas versiones "libres" son piratas y frecuentemente infectados con malware. Los sitios web que ofrecen estas versiones "libres" se configuran con un solo objetivo: para infectar el mayor número de sitios web como sea posible con su malware.

7 - Las Copias de Seguridad

Como todo en el mundo digital, todo puede perderse en un evento catastrófico. A menudo no soportamos lo suficiente, pero le agradecerá si usted toma algún tiempo para considerar las mejores soluciones de copia de seguridad web para su sitio web.

Hacer copias de seguridad de su sitio web es muy importante, pero el almacenamiento de estas copias de seguridad de su servidor web es un riesgo de seguridad importante. Estas copias de seguridad contienen invariablemente versiones no actualizados de su CMS y extensiones que están a disposición del público, dando a los hackers acceder fácilmente a su servidor.

Si usted está interesado en aprender cómo hacer copias de seguridad fiables y seguras de su sitio web, le recomiendo que lea mi página web guía de estrategia de copia de seguridad.

8 - Los Archivos de Configuración del Servidor

Usted realmente debe conocer a sus archivos de configuración del servidor web. Servidores web Apache utilizan el archivo .htaccess, servidores Nginx utilizan nginx.conf y Microsoft IIS servidores utilizan web.config. Muy a menudo se encuentran en el directorio web raíz, estos archivos son muy poderosos. Estos archivos le permite ejecutar reglas del servidor, incluidas las directivas que mejoran la seguridad de su sitio web.

Si no está seguro de qué servidor web debes utilizar, puede ejecutar su sitio web a través Sitecheck y haga clic en la pestaña Detalles Sitio web.

Aquí hay algunas reglas que te recomiendo investigar y añadir a su servidor web en particular:

Prevenir la exploración de directorios: Esto evita que usuarios malintencionados puedan ver el contenido de cada directorio en el sitio web. La limitación de la información a disposición de los atacantes es siempre una medida de seguridad útil.

Evitar imagen hotlinking: Como esto no es estrictamente una mejora de la seguridad, si impide a otros sitios web que muestren las imágenes alojadas en su servidor web. Si la gente comienza a hotlinking imágenes de su servidor, la asignación de ancho de banda de su plan de alojamiento de forma rápida puede ser comido mostrando imágenes para el sitio de otra persona.

Proteger los archivos sensibles: Puede establecer reglas para proteger ciertos archivos y carpetas. Archivos de configuración CMS son uno de los archivos más sensibles almacenados en el servidor web, ya que contienen los datos de inicio de sesión de base de datos en texto plano. Puede haber otros lugares que se pueden bloquear, por ejemplo, áreas de administración. También puede restringir la ejecución de PHP en los directorios que contienen imágenes o permiten a los archivos subidos.

Hay muchas más reglas y opciones que usted puede mirar en su archivo de configuración del servidor web. Puede buscar el nombre de su CMS, su servidor web y la "seguridad", pero asegúrese de confirmar sus hallazgos son legítimos antes de implementar cualquier cosa. Algunas personas publican mala información en línea con malas intenciones.

9 - Instalar SSL

En realidad soy de dos mentes sobre si procede o no incluir este punto porque ha habido tantos artículos incorrectamente indicando que la instalación de SSL va a resolver todos sus problemas de seguridad. SSL no hace nada para proteger a su sitio contra cualquier ataque malicioso, o que deje de distribuir malware. SSL encripta la comunicación entre el Punto A y el Punto B - el servidor web y el navegador. Este cifrado es importante por una razón específica: se impide que alguien pueda ser capaz de interceptar ese tráfico, conocido como un ataque de Hombre en el Medio(MITM).

SSL es especialmente importante para el sitio web de comercio electrónico de seguridad y cualquier sitio web que acepta envíos de formularios con los datos del usuario sensibles o información de identificación personal (PII). El certificado SSL protege la información de los visitantes en tránsito, que a su vez le protege de las multas que vienen junto con ser declarado no conforme con PCI DSS.

10 - Permisos de Archivo

Los permisos de archivo definen quién puede hacer qué en un archivo.

Cada archivo tiene 3 permisos disponibles y cada permiso está representado por un número:

'Leer' (4): Ver el contenido del archivo.

'Escribir' (2): Cambia el contenido del archivo.

'Ejecutar' (1): Ejecute el archivo de programa o script.

Si desea permitir varios permisos sólo tiene que sumar los números, por ejemplo, Para permitir leer (4) y escribir (2) se establece el permiso de usuario a 6. Si desea permitir a un usuario leer (4), escriba (2) y ejecutar (1), entonces se establece el permiso del usuario para 7.

También hay 3 tipos de usuarios:

Propietario - Por lo general, el creador del archivo, pero esto se puede cambiar. Sólo un usuario puede ser el propietario.

Grupo - Cada archivo se le asigna un grupo, y cualquier usuario que forma parte de ese grupo obtendrá estos permisos.

Público - Todos los demás.

Por lo tanto, si desea que el propietario tenga acceso a leer y escribir, el grupo que tenga acceso de sólo lectura, y el público que no tenga acceso, el archivo de configuración de permisos deben ser:

Al ver los permisos de archivo de este se mostrará como 640.

Las carpetas también tienen la misma estructura de los permisos, la única diferencia es que la bandera 'ejecutar' le permite hacer el directorio de su trabajo directorio (por lo que normalmente quiere en).

La mayoría CMS instala tiene todos los permisos configurados correctamente de forma predeterminada, por lo que ¿por qué acabo de pasar tanto tiempo a explicar cómo funcionan los permisos? Durante la búsqueda de soluciones a los errores de permisos, en toda la web usted encontrará personas que asesoran a cambiar los permisos de archivo a 666 o carpeta permisos a 777. Este consejo se suele corregir los errores de permisos, pero es un mal consejo desde una perspectiva de seguridad. Si establece un permiso de archivo a 666 o permiso de carpeta a 777 usted acaba de permitir * cualquiera * insertar código malicioso o borrar sus archivos!

Conclusión

Así que ahí lo tienen, 10 pasos relativamente simples que usted puede tomar para aumentar dramáticamente la seguridad de su sitio web. Mientras estas medidas por sí solas no garantizan que su sitio nunca sera hackeado, siguiéndolos detendrán la gran mayoría de ataques automatizados, reduciendo su postura general de riesgo.

Ser consciente de estos problemas y comprenderlos le proporcionará información valiosa sobre cómo funciona la tecnología subyacentes y ayudar a hacer un operador de máster / sitio web mejor.

# data[].attributes.attachment_link.title
10 Consejos para Mejorar su Seguridad del Sitio Web

# data[].attributes.attachment_link.description
En los últimos años ha habido una proliferación de excelentes herramientas y servicios en el espacio de desarrollo web. Sistemas de gestión de contenido (CMS) como WordPress, Joomla !, Drupal y tantos otros permiten a los empresarios a construir de forma rápida y eficiente sus presencias en línea.

# data[].attributes.headline
10 consejos para mejorar su seguridad de sitios web

# data[].attributes.subject
10 consejos para mejorar su seguridad de sitios web

# data[].attributes.body
1 Actualiza
2 las contraseñas(complejo,largo y único)
3 un sitio: un servidor
4 acceso de usuario sensible
5  cambiar la configuración predeterminada de la CMS
6 Selección de extensión
7  las copias de seguridad
8 los archivos de configuración del servidor
9 instalar SSL
10 permisos de archivo

# data[].attributes.body
Ejemplo de seguridad de la información
Para considerar un caso real y cercano a nosotros, podemos analizar los resultados obtenidos por Security Guardian, empresa especializada en la seguridad de la información que colabora con Nexica en el ámbito de la asesoría para protección y seguridad de infraestructuras. En las diferentes pruebas realizadas se ha detectado alguna vulnerabilidad en más del 90% de las pruebas realizadas y en más del 75% se ha detectado por lo menos una vulnerabilidad crítica. De las vulnerabilidades críticas detectadas aproximadamente un 23% has sido Inyecciones SQL y un 12% Cross Site Scripting (XSS).

# data[].attributes.body
Hoy en día Internet es de vital importancia para todos ya que muchos servicios residen y/o se ofrecen vía online. Por lo tanto la gestión de los riesgos que pueden afectar a estos sistemas es un aspecto muy importante a tomarse en consideración. Sin entrar en detalles técnicos, podemos resumir que el riesgo se calcula mediante una fórmula aritmética en base a la probabilidad, al impacto de una vulnerabilidad y al valor del activo afectado. Una vulnerabilidad podemos considerarla como una debilidad presente en nuestro sistema la cual podría ser explotada por un atacante para comprometerlo. En las páginas Web podemos encontrar diferentes vulnerabilidades como por ejemplo: inyecciones SQL, Cross Site Scripting (XSS), inclusiones de ficheros locales (LFI) y remotos (RFI), Server Side Includes (SSI), etc… En Internet es posible encontrar diferentes estadísticas de distribuciones de vulnerabilidades de las páginas Web. En ellas es posibles apreciar que las inyecciones SQL y XSS siguen siendo las vulnerabilidades más frecuentes. Existen diferentes  metodologías de gestión de riesgos como MAGERIT, CRAMM, y OCTAVE.

# data[].attributes.body
SEGURIDAD EN LA WED

# data[].attributes.body
¿Qué es seguridad en la web y cómo puede beneficiar al negocio?, nunca debes quitar el dedo de encima en temas de protección digital.

Actualmente, no hay día que no se reporte que millones de páginas de internet, servidores y equipos móviles a escala mundial son blancos de la ciberdelincuencia. Ante ello debes entender la importancia de este tema.

Lamentablemente, los sitios web son de los más propensos a ser atacados por los llamados piratas informáticos. También lo son las redes a las que se conectan los servidores de Internet, sin olvidar los riesgos creados por los empleados que desconocen los temas de ciber seguridad o el mal uso de los recursos. Siempre hay un eslabón débil en la cadena, y debes asegurarte que este no se rompa y origine un problema.

# data[].attributes.attachment_link.title
Ataque Croos Site Scripting, XSS | Protección a ataques Web

# data[].attributes.attachment_link.title
Consejos para mejorar Seguridad de la pagina web

# data[].attributes.body
Debido a que el uso de Internet se encuentra en aumento, cada vez más compañías permiten a sus socios y proveedores acceder a sus sistemas de información. Por lo tanto, es fundamental saber qué recursos de la compañía necesitan protección para así controlar el acceso al sistema y los derechos de los usuarios del sistema de información. Los mismos procedimientos se aplican cuando se permite el acceso a la compañía a través de Internet.

Además, debido a la tendencia creciente hacia un estilo de vida nómada de hoy en día, el cual permite a los empleados conectarse a los sistemas de información casi desde cualquier lugar, se pide a los empleados que lleven consigo parte del sistema de información fuera de la infraestructura segura de la compañía.

# data[].attributes.body
En la actualidad el crecimiento de internet ha impactado directamente en la seguridad de la información manejada cotidianamente. Sitios de comercio electrónico, servicios, bancos e incluso redes sociales contienen información sensible que en la mayoría de los casos resulta ser muy importante.