Sec-Track » Documentos http://www.sec-track.com Wed, 01 Feb 2012 15:08:22 +0000 en hourly 1 http://wordpress.org/?v=3.3.1 La Información como activo protegido penalmente en Colombia http://www.sec-track.com/en/la-informacion-como-activo-protegido-penalmente-en-colombia http://www.sec-track.com/en/la-informacion-como-activo-protegido-penalmente-en-colombia#comments Tue, 09 Nov 2010 20:11:39 +0000 4v4t4r http://www.sec-track.com/?p=798 La información como bien protegido, en el delito de transferencia no consentida de activos. art 269 J. Código Penal Colombiano.
Alexander Días García.

Según investigación del periodista de la revista Enter Lui Iregue, afirma que de acuerdo con el más reciente estudio realizado por The Economist Intelligence Unit para Kroll – una empresa de inteligencia empresarial -, titulado Global Fraud Report, Colombia ocupa el segundo puesto en los países más victimizados por el fraude, sólo detrás de China y por delante de Brasil. Afirma el columnista que ele studio de Kroll establece que el fraude y el hurto de información por primera vez en la historia han superado los otros tipos de fraude en el mundo, y el dice que el “el 94% de los negocios colombianos sufrió algún fraude en el último año, en comparación con el 88% global”. El 21% está en la categoría de fraudes electrónicos, que incluyen hurto de información y ciberataques (a sitios web e infraestructura de las empresas), y el porcentaje podría crecer en los próximos años.

Continúa leyendo desde Slideshare >>

]]> http://www.sec-track.com/en/la-informacion-como-activo-protegido-penalmente-en-colombia/feed 0 La Responsabilidad Penal en Internet – Colombia http://www.sec-track.com/en/la-responsabilidad-penal-en-internet-colombia http://www.sec-track.com/en/la-responsabilidad-penal-en-internet-colombia#comments Thu, 01 Jul 2010 23:44:22 +0000 4v4t4r http://www.sec-track.com/?p=682 Completo listado de diferentes tipos de delitos consagrados en el Código Penal de nuestro país….

La responsabilidad penal de las acciones realizadas por Internet puede involucrar diferentes tipos de delitos, consagrados en el Código Penal (CP), a saber:
1.1. Primero, puede tratarse de delitos contra la integridad moral, la intimidad, el buen nombre o el honor, como los siguientes:
1.1.1. Injuria (art. 220 CP): consiste en hablar mal de una persona por Internet, mediante imputaciones deshonrosas que no son delito, como por ejemplo decir que es prostituta, homosexual, etc.
1.1.2. Calumnia (art. 221 CP): consiste en hablar mal de una persona por Internet, mediante la imputación falsa de haber cometido un delito, como por ejemplo decir que es ladrón, violador, etc.
1.1.3. Injuria y calumnia indirectas (art. 222 CP): consiste en publicar, reproducir o repetir una injuria o una calumnia, como por ejemplo reenviar un correo, incluso en los casos en que aclare que no lo hace a nombre propio, a través de expresiones como: “se dice”, “se asegura”.
1.1.4. Circunstancias especiales de graduación de la pena (art. 223 CP): la injuria y la calumnia tienen sanciones mayores si se realizan por Internet.
1.2. Segundo, puede tratarse de delitos contra la libertad, integridad y formación sexual, o sea el derecho a no padecer violencia o abuso en las relaciones sexuales o a no ejercer la prostitución, como los siguientes:
1.2.1. Pornografía con menores (art. 218 CP): consiste en fotografiar, filmar, vender, comprar o exhibir material pornográfico en el que participe un menor de edad, como por ejemplo publicar en Internet fotos en que aparezca desnudo un menor de edad.
1.2.2. Utilización o facilitación de medios de comunicación para ofrecer servicios sexuales de menores (art. 219A CP): consiste en utilizar específicamente Internet para tener contacto sexual con menor de 18 años o para ofrecer servicios sexuales con estos, como por ejemplo en los casos de turismo sexual.
1.2.3. Actos sexuales con menor de catorce años (art. 209 CP): consiste en realizar actos sexuales diversos del acceso carnal, con menor de catorce años, o inducirlo a ello, como por ejemplo tener sexo virtual por Internet, o inducir a prácticas sexuales por Internet a niño o niña menor de catorce años.
1.3. Tercero, puede tratarse de unos delitos contra el patrimonio económico, o sea la propiedad privada, como los siguientes:
1.3.1. Daño en bien ajeno (art. 265 CP): consiste en destruir, inutilizar, desaparecer o dañar de cualquier manera una cosa de otra persona, como por ejemplo destruir el hardware o introducirle virus al software. La pena se agrava si se realiza sobre un equipo del colegio (art. 266 CP).
1.3.2. Defraudación de fluidos (art. 256 CP): consiste en utilizar un mecanismo clandestino para apropiarse de una señal de telecomunicaciones, como por ejemplo interceptar (chuzar) un teléfono o meterse como intruso en un sistema informático ajeno (hacker) para beneficio personal o para hacer daño.
1.4. Cuarto, puede tratarse de unos delitos contra la libertad individual, o sea la autonomía personal y la autodeterminación, como el siguiente:
1.4.1. Constreñimiento ilegal (art. 182 CP): consiste en obligar a otro a hacer, tolerar u omitir alguna cosa, siempre que no constituya otro delito, como por ejemplo forzar a un estudiante a que utilice su computador para ciertos fines.
1.5. Quinto, puede tratarse de unos delitos contra los derechos de autor, o sea la propiedad patrimonial y moral de una persona sobre una obra suya literaria, artística, científica, cinematográfica, audiovisual, fonograma o software, como el siguiente:
1.5.1. Defraudación de los derechos patrimoniales de autor (art. 271 CP): consiste en reproducir o comercializar una obra o software sin la previa autorización de su dueño, como por ejemplo los CD o DVD piratas.
1.6. Sexto, puede tratarse de delitos contra la vida y la integridad personal, como el siguiente:
1.6.1. Inducción o ayuda al suicidio (art. 107 CP): consiste en inducir a otro para que se suicide o le preste una ayuda para ello, y ese otro en efecto se quita la vida.
En el caso de la injuria o calumnia, la acción penal se podría terminar por retractación (art. 225 y 82 CP), o sea que el autor se exonera si voluntariamente se retracta por el mismo medio, antes de la sentencia de primera instancia.

Fuente (Delitos Informáticos Colombia)>>

]]> http://www.sec-track.com/en/la-responsabilidad-penal-en-internet-colombia/feed 2 Conferencia: Laboratorios de Entrenamiento en Seguridad Informática – FLISOL 2010 http://www.sec-track.com/en/conferencia-laboratorios-de-entrenamiento-en-seguridad-informatica-flisol-2010 http://www.sec-track.com/en/conferencia-laboratorios-de-entrenamiento-en-seguridad-informatica-flisol-2010#comments Tue, 04 May 2010 01:52:15 +0000 4v4t4r http://www.sec-track.com/?p=524 El pasado 24 de abril tuve el placer de asistir como conferencista al Festival Internacional de Instalación de Software Libre desarrollado en Medellín.

La conferencia que presenté trató sobre la implementación de Laboratorios de Entrenamiento en Seguridad Informática, y de como el Proyecto Sec-Track puede ser una magnífica herramienta para cumplir con ese objetivo.

El contenido temático de dicha conferencia, es el siguiente:

Laboratorios de Entrenamiento en Seguridad Informática – FLISOL 2010

View more presentations from 4v4t4r.

En el transcurso de algunos días estaré publicando en detalle cada uno de estos (y mucho más) entornos de entrenamiento, como objetivos de aprendizaje colaborativo en el Proyecto Sec-Track.

]]> http://www.sec-track.com/en/conferencia-laboratorios-de-entrenamiento-en-seguridad-informatica-flisol-2010/feed 2 Metodología: NIST SP 800-42 http://www.sec-track.com/en/metodologia-nist-sp-800-42 http://www.sec-track.com/en/metodologia-nist-sp-800-42#comments Sun, 08 Nov 2009 01:44:39 +0000 4v4t4r http://www.sec-track.com/?p=238 NIST (National Institute of Standards and Technology) Special Publication 800-42 es una línea guía de recomendaciones en pruebas (Testing) de la seguridad de la  información.

Entre su contenido se destaca lo siguiente:

  • System Development Life Cycle
  • Documenting Security Testing Results
  • Senior IT Management/Chief Information Officer
  • System and Network Administrators
  • Roles and Responsibilities for Testing
  • Network Scanning
  • Vulnerability Scanning
  • Password Cracking
  • Log Reviews
  • File Integrity Checkers
  • Virus Detectors
  • Wireless LAN Testing
  • Penetration Testing

Más información sobre la metodología NIST SP 800-42>>

Descargar Metodología NIST SP 800-42 >>

]]> http://www.sec-track.com/en/metodologia-nist-sp-800-42/feed 0 Penetration Testing Framework http://www.sec-track.com/en/penetration-testing-framework http://www.sec-track.com/en/penetration-testing-framework#comments Sun, 08 Nov 2009 01:10:29 +0000 4v4t4r http://www.sec-track.com/?p=231 Penetration Testing Framework es un entorno para la realización de Test de Penetración. En este se describen/definen las etapas involucradas en un Pen-Test y una recopilación de herramientas necesarias para el cumplimiento del mismo.

Entre las etapas podemos encontrar las siguientes:

  • Network Footprinting (Reconnaissance)
  • Authoratitive Bodies
  • Internet Search
  • Metadata Search
  • Social/ Business Networks
  • DNS Record Retrieval from publically available servers
  • Social Engineering
  • Dumpster Diving
  • Web Site copy
  • Discovery & Probing
  • Default Port Lists
  • Enumeration tools and techniques
  • Active Hosts
  • Service Probing
  • Banner Grabbing
  • ICMP Responses
  • Source Port Scans
  • Firewall Assessment
  • Enumeration
  • Fingerprint server/ service
  • DNS Enumeration
  • Web Directory enumeration
  • Vulnerability Assessment
  • Method Testing
  • Vulnerability Scanners
  • Examine configuration files
  • Exploit Frameworks
  • Privilege Escalation
  • Current Level of access
  • Access passwords
  • SQL injection
  • Password cracking
  • Bluetooth Specific Testing
  • Penetration
  • Wireless Penetration
  • Physical Security

Entre las herramientas a utilizar:

  • Netcraft
  • Robtex
  • Maltego
  • Sam Spade
  • Google
  • FOCA
  • VMWare
  • Httcrack
  • Nmap
  • Netcat
  • Amap
  • Xprobe2
  • Hping
  • Unicornscan
  • Fping
  • Firewalk
  • Scanssh
  • Hydra
  • Brutus
  • Firecat
  • Httprint
  • Nikto
  • Dirbuster
  • Cadaver
  • W3AF
  • GrendelScan
  • JoomlaScan
  • Paros
  • WebScarab
  • Cain & Abel
  • LDAP_Brute.pl
  • Repscan
  • TSGrinder
  • VNCrack
  • Ophcrack
  • Medusa
  • SARA
  • Nessus
  • Xscan
  • Metasploit

Más información / Página Oficial de Penetration Testing Framework >>

Descargar Penetration Testing Framework >>

]]> http://www.sec-track.com/en/penetration-testing-framework/feed 0 ISSAF – Information System Security Assessment Framework http://www.sec-track.com/en/issaf-information-system-security-assessment-framework http://www.sec-track.com/en/issaf-information-system-security-assessment-framework#comments Sat, 24 Oct 2009 03:24:05 +0000 4v4t4r http://www.sec-track.com/?p=197 El Marco de Evaluación de Seguridad de Sistemas de Información es una metodología estructurada de análisis de seguridad en varios dominios y detalles específicos de test o pruebas para cada uno de estos. Su objetivo es proporcionar procedimientos muy detallados para el testing de sistemas de información que reflejan situaciones reales.

ISSAF es utilizado en su mayoría para cumplir con los requisitos de  evaluación de las organizaciones y puede utilizarse además como referencia para nuevas implementaciones relacionadas con la seguridad de la información.

ISSAF está organizado según unos criterios de evaluación bien definidos,  cada uno de estos ha sido revisado por expertos en la matería entre estos expertos podemos encontrarnos a Balwant Rathore, Mark Brunner, Piero Brunati, Arturo Busleiman (Buanzo), Hernán Marcelo Racciatti, Andrés Riancho, entre otros.

Los criterios de evaluación incluyen los siguientes:

  • Una descripción de los criterios de evaluación
  • Finalidades y objetivos
  • Los prerrequisitos para la realización de las evaluaciones
  • Los procesos para las evaluaciones
  • Presentación de resultados
  • Contramedidas recomendadas
  • Referencias a documentos externos

ISSAF propone cinco fases para la realización de un completo Test de Penetración:

  • Fase I – Planeación
  • Fase II – Evaluación
  • Fase III – Tratamiento
  • Fase IV – Acreditación
  • Fase V – Mantenimiento

Cada una de estas fases involucra muchos procesos, entre muchos de ellos los siguientes:
Recolección de Información, Identificación de Recursos, Riesgos Inherentes, Regulaciones Legales, Políticas de Seguridad, Evaluaciones, Mapeo de Red, Identificación de Vulnerabilidades, Penetración, Obteniendo Acceso, Escalada de Privilegios, Mantenimiento del Acceso, Cubrimiento de Huellas y Reportes.

Más información ISSAF >>

Descargar ISSAF >>

]]> http://www.sec-track.com/en/issaf-information-system-security-assessment-framework/feed 0 OSSTMM – Open Source Security Testing Methodology Manual http://www.sec-track.com/en/osstmm-open-source-security-testing-methodology-manual http://www.sec-track.com/en/osstmm-open-source-security-testing-methodology-manual#comments Thu, 15 Oct 2009 22:51:36 +0000 4v4t4r http://www.sec-track.com/?p=148 Manual de la Metodología Abierta de Testeo de Seguridad

Es un conjunto de reglas y lineamientos para CUANDO, QUE y CUALES eventos son testeados. Esta metodología cubre únicamente el testeo de seguridad externo, es decir, testear la seguridad desde un entorno no privilegiado hacia un entorno privilegiado, para evadir los componentes de seguridad, procesos y alarmas y ganar acceso privilegiado. Está también dentro del alcance de este documento proveer un método estandarizado para realizar un exhaustivo test de seguridad de cada sección con presencia de seguridad (por ejemplo, seguridad física, seguridad inalámbrica, seguridad de comunicaciones, seguridad de la información, seguridad de las tecnologías de Internet, y seguridad de procesos) de una organización. Dentro de este método abierto y evaluado por expertos, para realizar exhaustivos testeos de seguridad, alcanzamos un estándar internacional en testeos de seguridad, que representa una línea de referencia para todas las metodologías de testeo de seguridad tanto conocidas como inexploradas.

La limitación al alcance del testeo de seguridad externo está dada por las diferencias considerables entre testeo externo a interno y testeo interno a interno. Estas diferencias radican fundamentalmente en los privilegios de acceso, los objetivos, y los resultados asociados con el testeo interno a interno.
El tipo de testeo que busca descubrir las vulnerabilidades inexploradas no está dentro del alcance de este documento ni dentro del alcance de un test de seguridad OSSTMM. El test de seguridad descrito a continuación es un test práctico y eficiente de vulnerabilidades conocidas, filtraciones de información, infracciones de la ley, estándares de la industria y prácticas recomendadas.

ISECOM exige que un test de seguridad solamente sea considerado un test OSSTMM si es:

  • Cuantificable.
  • Consistente y que se pueda repetir.
  • Válido mas allá del período de tiempo “actual”.
  • Basado en el mérito del testeador y analista, y no en marcas comerciales.
  • Exhaustivo.
  • Concordante con leyes individuales y locales y el derecho humano a la privacidad.

ISECOM no asevera que el uso del OSSTMM constituya una protección legal en todos los tribunales de justicia, sin embargo, cumple el papel del más alto nivel de profesionalismo en cuanto a testeos de seguridad cuando los resultados obtenidos son aplicados al perfeccionamiento de la seguridad dentro de un espacio de tiempo razonable.

Más información OSSTMM >>

Descargar OSSTMM – Español >>

Download OSSTMM – English >>

]]> http://www.sec-track.com/en/osstmm-open-source-security-testing-methodology-manual/feed 5