La revista PGI de Investigación, Ciencia y Tecnología en Informática adscrita al Postgrado en Informática UMSA, es un órgano de difusión que desde el año 2014 se le ha encomendado la labor de divulgación de los resultados correspondientes a los procesos de investigación de los participantes de los programas de postgrado, con la finalidad de fomentar e impulsar la vocación científica en la comunidad académica, así como socializar el conocimiento que se genera mediante la reflexión, el análisis y el pensamiento crítico, respondiendo a las necesidades y tendencias que se presentan en los entornos: social, productivo, científico y tecnológico que se enmarcan dentro del contexto de la realidad boliviana.
Distribución - Ajustes de distribución - Licencia - Términos de la licencia
CAPTCHA para la Seguridad de la Información en las Aplicaciones Web
Los CAPTCHA, las pruebas humanas interactivas más utilizadas, aparecen como un método de diferenciación entre usuarios humanos y máquinas para brindar seguridad a la información en internet y evitar ataques DDoS y DoS. Por ello, se hace una presentación introductoria de las pruebas humanas interactivas, para luego profundizar en los CAPTCHA, donde se trata su evolución, su clasificación, especificando sus técnicas de generación, algunas de sus aplicaciones y los tipos de ataques a los que se ven sometidos. Después, se tratan algunas repercusiones que han tenido sobre la usabilidad y accesibilidad de servicios de internet de empresas públicas para usuarios humanos, lo que lleva a plantearse la inquietud que si los CAPTCHA, son una solución para las aplicaciones web.
Derechos de autor 2021 https://creativecommons.org/licenses/by-nc-nd/4.0
Seguridad de la información en el área Judicial en Bolivia
El objetivo de la presente investigación es mostrar que la seguridad de la información aporta una serie de herramientas y buenas prácticas al área Judicial. Lamentablemente en Bolivia los delitos a nivel de informática han aumentado por la carencia de inversión y poca capacitación. Se debe tomar en cuenta los diversos actores económicos en la era de la información para asegurar una adecuada política de seguridad de la información que, ante la falta de legislación nacional, debe basarse en estándares internacionales. La metodología empleada para explicar las diversas áreas de impacto es la norma ISO 27001 en el dominio que hace referencia al cumplimiento, y políticas que deben implementarse de una manera adecuada. El desarrollo cada vez más acelerado de la tecnología; que influye en el incremento de la utilización del internet en la vida social, económica y cultural, además de los beneficios que refleja para la sociedad; generará nuevas actividades en el área judicial en materia de seguridad de la información, y en la regulación de esta norma y otras.
Beneficios de utilizar metodologías para la implantación de Sistemas de Gestión de Seguridad de la Información
Hoy en día uno de los activos más importantes dentro de toda institución es la información, la misma debe ser protegida de amenazas del entorno durante su transición y almacenamiento, el presente artículo pretende demostrar la importancia de utilizar las metodologías para la implementación de sistemas de gestión de seguridad de la información (SGSI), de esta manera mitigar los riesgos y preservar la confidencialidad, integridad y disponibilidad de la información. Se analizan diferentes normas, con el fin de dar a conocer los beneficios de implementar metodologías para los SGSI, dentro de las misma se puede evidenciar que algunas normas son más generales, algunos centrados en la gestión de riesgos y otros incluso tendientes a desarrollar un modelo de madurez de la seguridad de la información. Finalmente, se analiza la aplicación de la metodología para implementar un SGSI, a un caso real, en el mismo se verifica las particularidades del objeto de estudio: las normas y recomendaciones internacionales, el modelo organizacional aplicable al negocio, y los beneficios que estas brindan.
sistema de gestión de seguridad de la información
La presente investigación tiene por objetivo dar un primer enfoque sobre los peligros de las redes sociales que llevan un constante crecimiento de usuarios y la información que circula a través de las mismas; además de mostrar el papel que juega un perito informático como experto en la materia y como un individuo puede recurrir cuando tiene la sospecha de que su información se encuentra disponible en su contra en Internet por medio de una red social o foro.
Diagnóstico de la Continuidad Tecnológica Caso DIRNOPLU
Las tecnologías de la información y comunicaciones – TICs, así como su continua evolución y la aceptación en empresas, organizaciones, instituciones sean estas públicas o privadas para su normal desarrollo y funcionamiento diario, se han convertido en la base fundamental para de las mismas. La utilización de estas tics, genera de manera diaria y en cada momento datos e información, las mismas que se constituyen como el activo de información más preciado de estas entidades, por lo que es imperante contar con una correcta y adecuada gestión de continuidad tecnología para las tics utilizadas. En la Dirección del Notariado Plurinacional, no es la excepción dada su continua actualización en la implementación de nuevas soluciones tecnológicas las mismas que impulsan la generación de información actualizada y oportuna en benefició de la ciudadanía en su conjunto.
Trata y tráfico de personas en las redes sociales
El presente artículos es de carácter informativo, y observacional donde se muestra el contacto de los usuarios con la tecnología, el sistema operativo dominante en dispositivos móviles el manejo de archivos multimedia en redes sociales en Bolivia, y el problema que causa al no tener control de las redes sociales.
Modelo de Cadena Custodia basada en ISO 27037 y Legislación Boliviana dirigida a evidencias digitales
Una parte de la sociedad de La Paz enfrenta delitos informáticos por los que quieren acceder a información confidencial para llevar a cabo daño económico, demandas legales y pérdida de reputación. Las entidades afectadas denuncian estos delitos para su investigación ante la Policía, la Fiscalía, el Ministerio Público para que los investigadores gestionen de manera adecuada las evidencias digitales para garantizar su integridad. Este trabajo fue realizado con la intención de mostrar la necesidad de contar con un modelo de cadena de custodia basada en la ISO 27037 y la legislación boliviana para garantizar la integridad de la evidencia digital relacionado con el delito informático. Los temas encontrados son muy extensos y no se pueden cubrir a detalle en este artículo, sin embargo, se puede tomar como una introducción para quienes quieran elaborar el modelo de cadena de custodia dirigida a evidencias digitales.
Protección contra Hackeo de Criptomonedas
La tecnología evoluciona rápidamente con nuevas oportunidades y ventajas, pero también trae consigo nuevos peligros. En el caso del intercambio de valor por medio de la moneda, ahora se utiliza criptomonedas, como una nueva forma de intercambio de valor económico con todos los principios y condicionantes que puede ofrecer y siendo más frecuente, pero también se conoce de ataques que ha sufrido este tipo de moneda culminando en robos de montos significativos. La presente investigación pretende establecer una base inicial para establecer mecanismos de seguridad frente al hackeo de criptomonedas tomando como base investigaciones relacionados al tema, además de normativas y legislaciones locales vigentes. Se toma en cuenta los casos en el ámbito local y países vecinos, que existe una acogida de interés intermedio en comparación con otros más desarrollados lo que muestra también un peligro local para tomar en cuenta.
Seguridad de la Información, Modelos de comportamiento, una Alternativa Para Mejorar la Detección de Intrusos
Estudiando el actual contexto de seguridad en la red y la existencia de sistema de detección de intrusos, este artículo introduce la tecnología de minería de datos en la detección de ataques de red y el modelo de comportamiento de patrones. Los datos son la recopilación de siete semanas de tráfico TCP de red, los conjuntos de datos contienen 22 tipos de ataques, se seleccionó el modelo de predicción (Farthest first, y simple K-means) de Weka capaz de diferenciar el comportamiento normal de malicioso. Todo con el fin de minimizar los ataques de red que diariamente causa tantos inconvenientes a nivel local, regional y mundial.
Modelo de Gestión de Riesgo para Sistemas de Seguridad Electrónica para Entidades Financieras
El presente artículo, constituye un estudio de gestión de riesgos sobre los sistemas de seguridad electrónica (sistemas de intrusión, control de accesos y sistemas CCTV) los cuales con el avance tecnológico deben alinearse a los estándares internacionales y el uso de buenas prácticas para un buen tratamiento de los riesgos identificados. De esa manera se pretende generar en la creación de un modelo análisis de riesgos para estos tipos de sistemas bajo la norma ISO 31000 el cual se podrá aplicar en entidades financieras.
Métodos Orientados a Reducir Ataques de Ingeniería Social en Organizaciones
El presente artículo describe la problemática de la ingeniería social en las organizaciones. Se indica cómo funciona la ingeniería social, la problemática que esta representa para las organizaciones; así como los métodos más utilizados de ingeniería social y que métodos se pueden emplear para reducir los ataques o mitigar el impacto de estos.
DevSecOps, Estado del Arte en el Contexto Boliviano
Incorporar prácticas de seguridad en el flujo DevOps ha sido un desafío porque representa un esfuerzo adicional. El propósito de este artículo es dar una visión general de lo que es DevSecOps, lo que implica implementar este enfoque, los beneficios y dificultades; para luego presentar el estado del arte en el contexto boliviano de la seguridad en el desarrollo de software. Al ser esta investigación de carácter exploratorio se concluye que, en Bolivia, la cultura DevOps está en desarrollo, e incorporar prácticas de seguridad involucra grandes desafíos para los profesionales de TI.
Análisis de caso para formular el Modelo de prevención de fuga de información para dispositivos IoT en redes domésticas
El Internet de las cosas convierte el mundo físico en un entorno de información donde dispositivos IoT recolectan y envían datos generados por un usuario y su entorno. Por la creciente demanda y evolución, los fabricantes descuidaron la inclusión de medidas de seguridad de la información en los dispositivos, lo cual los convierten en blanco de atacantes que, al obtener acceso a una red comprometen la privacidad de la información del usuario. Como solución a los problemas de privacidad que exponen los dispositivos IoT, se busca proporcionar al usuario una herramienta que permita preservar la privacidad de su información, realizando el análisis de vulnerabilidades e incluyendo buenas prácticas para la implementación segura de dispositivos IoT.
Estrategias para evitar ataques de Phishing en Empresas
El phishing y las estafas son llevadas a cabo por personas malintencionadas, estos encuentran diferentes medios para acceder a información confidencial, privada o de uso interno de diferentes empresas, como ser el envío de mensajes de correo electrónico, documentos con spyware, aprovechar vulnerabilidades en los sistemas de información y comunicación, mensajes de texto, utilizar la ingeniería social u otros medios pueden utilizarse para distribuir información errónea, obtener ganancias financieras ilícitas y buscar información personal y sensible de una víctima. Los empleados víctimas de los ataques pueden exponer datos críticos de la empresa o personal ubicados no sólo en su propia computadora, sino en toda una red y así robar credenciales de acceso, directorios de correos electrónicos corporativos, números de cuenta, números de Seguro Social, entre otra información, estos métodos se encuentran desde hace mucho tiempo, siendo los más populares y eficaces utilizados por los ciberdelincuentes, Si estos consiguen esa información, podrían acceder a su cuenta de email, banco u otras cuentas y lograrían su objetivo de dañar a una empresa, desde afectar su imagen y generar pérdidas económicas que dependiendo a su impacto, estas pueden concluir en el cierre de la misma.
Concientización en Ciberseguridad a través de Ataques de Ingeniería Social
En este trabajo, se presenta el contexto del tratamiento de riesgos procedentes de ataques de ingeniería social a través de la exploración de trabajos similares y el estudio de los resultados obtenidos en los mismos, de acuerdo al análisis realizado sobre estas investigaciones, se observó que los criterios de respuesta son limitados en cuanto a la aplicación del tratamiento puesto que se enfocan en grupos específicos, por tanto y en la búsqueda de un medio con enfoque general sobre la optimización de este tipo de riesgos se optó por la elección de la filosofía de concientización de Paulo Freire como medio de tratamiento para los riesgos procedentes de ataques de ingeniería social, por tanto la presente investigación presenta el trabajo de concientización de Paulo Freire en profundidad y su aplicación como modelo de concientización de personas en pro de optimizar el tratamiento de riesgos procedentes de ataques de ingeniería social.
Análisis de la Ingeniería Social en Instituciones de Salud
Este trabajo de investigación muestra las necesidades del área de salud en materia de implementación de políticas y controles para el resguardo de la información ante ataques de Ingeniería Social. Se trata de alcanzar los objetivos establecidos, mediante nuevas prácticas e investigaciones realizadas como ser los activos que componen una institución de salud, las amenazas a la seguridad de la información, así como las medidas de seguridad disponibles para abordarlas.
Fases de un ataque a un Sistema Informático
El internet a través de los años ha evolucionado, siendo esta la red más grande del mundo donde se encuentra la mayor cantidad de información, al mismo tiempo los ataques a sistemas informáticos también van evolucionado, los cuales ponen en riesgo la información de instituciones públicas y privadas, atentando contra la confidencialidad, integridad y disponibilidad de la información. Razón por la cual en el presente trabajo de investigación se describe las fases de un ataque a un sistema informático. La investigación tiene un enfoque cualitativo. Las fuentes consultadas corresponden a: revistas digitales, repositorios académicos, bibliotecas digitales y sitios web. Los resultados hallados muestran que existen 5 fases por las cuales suele pasar un ataque a un sistema informático al momento de ser ejecutado. En conclusión, conocer las fases de un ataque a un sistema informático nos ayuda a actuar de manera proactiva frente a los posibles ataques a sistemas informáticos.
El fenómeno del Grooming en la Sociedad Paceña
La definición de Grooming es la conducta de un adulto que trata de lograr una amistad virtual con un niño o adolescente a través de redes sociales con el propósito de simular que el atacante también es un menor de edad, una vez que establece el lazo emocional con la víctima el acosador comienza a vulnerar su intimidad. Es considerado un cibercrimen perseguido rigurosamente en países como Australia, Estados Unidos, España y en Sudamérica, los países que tienen leyes para castigar este tipo de delitos es Chile, Argentina y Colombia; en Bolivia también se considera este tipo de delitos sin embargo solo se puede tipificar en la Ley 263 Trata y Tráfico de Personas. Al ser un mal de gran impacto en estos últimos tiempos se ve la necesidad de concientizar a los niños, adolescentes, padres de familia, profesores y ciudadanos en general. El presente artículo plantea la problemática local.
Metodología de explotación de vulnerabilidades para el incremento de la seguridad en aplicaciones Web
Se presenta el proyecto de la metodología de explotación de vulnerabilidades para el incremento de la seguridad en aplicaciones web, la cual brindará herramientas para guiar el análisis de la seguridad informática en una determinada aplicación web mediante explotación de vulnerabilidades y mitigación de los riesgos que ellas implican.
Ethical Hacking: Conciencia de Seguridad
Como parte de un buen proceso de seguridad en las organizaciones, el test de penetración o hackeo ético se ha convertido en una herramienta fundamental para validar el nivel de seguridad en todo tipo de empresas, permitiendo descubrir fallas en los protocolos establecidos o en las características de los productos o procesos de la compañía.
Vulneración de Seguridad de Archivos Zip y Rar con Clave de Protección
El presente artículo mediante los análisis y el desarrollo práctico, describe la seguridad y vulnerabilidad de archivos Zip y Rar con clave de protección, la creación de los mencionados archivos es efectuada a la hora de comprimir y almacenar información; esta acción como una medida de seguridad, principalmente en conservar la confidencialidad de información o de archivos. Esta práctica es de habitual por los usuarios mediante el uso de programas de software para comprimir y descomprimir archivos, además añadiendo el cifrado de tal manera que se pueda compartir de una forma segura. Por otra parte, en medio de redes de Internet muestran la disponibilidad de métodos y programas software que facilitan a descomprimir archivos con clave de acceso, ya que esta contingencia se convierte en una medida necesaria en casos donde el usuario pierde la contraseña para descomprimir. Y esta acción irregular conlleva riesgos de la seguridad de datos, por lo tanto, se plantea el estudio. ¿Pero, el método de resguardar la confidencialidad de archivos mediante la compresión y con clave de acceso a estas, son realmente seguras para el usuario?
Propuesta de Plan de Gestión de Continuidad de Servicios Tecnológicos para el Sistema de Monitoreo y Videovigilancia Electrónica de la Policía Boliviana
El presente documento pretende dar a conocer la necesidad de contar con sistemas de gestión de continuidad en los sistemas de monitoreo y video vigilancia en la Policía Boliviana, sistemas que son instalados para otorgar seguridad tanto preventiva como reactiva a todos los ciudadanos, por este especial motivo se requiere que estos sistemas cuenten con un funcionamiento constante.
Desarrollo de un Modelo de Seguridad para un Equipo de Respuesta ante Incidentes de Seguridad Informática (CSIRT)
Este trabajo propone la elaboración de un modelo de seguridad para un Equipo de Respuesta ante Incidentes de Seguridad Informática (CSIRT), de tal forma que facilite la creación de otros CSIRTs que ayuden a otras comunidades objetivo. Se describirá las normas y estándares internacionales de seguridad más relevantes para el modelo. Se analizará la necesidad de implementación de un equipo interno de respuesta a incidentes de seguridad informática en base a políticas de seguridad en la gestión de incidentes en las áreas críticas de una Empresa de Transporte Marítimo.
Mapeo del Reglamento TIC boliviano, RGPD y Estándares RIPD en materia de Protección de Datos Personales
Se realizó el desglose de contenidos del derecho a la Protección de Datos Personales que están regulados en el Reglamento de la Ley 164 de Telecomunicaciones y TIC boliviano, el RGPD europeo y los Estándares de la Red Iberoamericana de Protección de Datos Personales. El objetivo de este trabajo fue identificar coincidencias de contenido entre las tres normas. Es una investigación de nivel exploratorio, de naturaleza cualitativa; se empleó técnicas de investigación documental y hermenéutica. El resultado obtenido se presenta en tablas que sintetizan las equivalencias identificadas entre las tres normas. Se concluye que el Reglamento de TIC boliviano, aunque pocos, tiene elementos coincidentes con el RGPD europeo y con los Estándares de la Red Iberoamericana de Protección de Datos Personales.
Aplicación de Fuerza Bruta con Diccionario de Datos, para vulnerar contraseñas débiles en archivos comprimidos Zip
El presente trabajo muestra la vulnerabilidad en los archivos comprimidos con extensión ZIP, realizando ataques de control de autenticación, específicamente en la cadena de las contraseñas; la técnica utilizada es fuerza bruta con diccionario de datos, desarrollando una aplicación en Python para las pruebas correspondientes.
Fuga de Información a través del Sistema de Nombres de Dominio (DNS)
La fuga de información se produce, cuando la información que es considerada como confidencial pierde esta característica, dándose a conocer a terceras partes no autorizadas. El objetivo del presente artículo es demostrar cómo puede realizarse la fuga de información, dentro de redes corporativas LAN (Red de Área Local), mediante técnicas que emplean el Sistema de Nombres de Dominio – (DNS, del inglés Domain Name System), como un canal de comunicación encubierto para la transferencia de información a través de este protocolo.
Seguridad de Contenedores Docker mediante Procesos de Hardening
Docker es un proyecto que permite la virtualización de aplicaciones en contenedores, los cuales se caracterizan por ser flexibles y ligeros a un coste mínimo para las organizaciones, a diferencia de una máquina virtual y un contenedor radica en que la última es más ligera, además de ejecutar las aplicaciones y servicios de manera independiente. Este artículo explica las posibles vulnerabilidades, asociadas al uso de contenedores, además de proporcionar recomendaciones de seguridad, en cuanto a planificación e implementación aplicables a la tecnología de contenedores Docker, así también proporcionar, mejores prácticas para proteger su entorno durante las fases de construcción e implementación para preservar los contenedores durante el tiempo de ejecución, además de mejorar su seguridad a partir de un proceso de hardening. El diseño de seguridad de los contenedores, tomara como base los dominios de COBIT, gestión de seguridad, de cambios, de operaciones, supervisión y riesgos.
Inteligencia Artificial, Machine Learning, Deep Learning aplicados a la Ciberseguridad
En la actualidad los Ciberataques son las amenazas que hay que combatir, los riesgos de la ciberdelincuencia son una realidad palpable y medible en cifras. La Seguridad Informática se encuentra en constante evolución y dinamismo, hoy en día la aplicación de técnicas de Inteligencia Artificial se convierte en una práctica indispensable en el tratamiento y detección de amenazas a que se encuentran expuestas las organizaciones. El desarrollo de las tecnologías de la información y las comunicaciones requiere de mecanismos de ciberseguridad que garanticen la confidencialidad, integridad y disponibilidad de la información, y del desarrollo de habilidades para detectar y controlar oportunamente las nuevas amenazas.
Seguridad de la Información basada en el estudio de Troyanos Bancarios
La implementación de la tecnología en el Sistema Financiero representa un avance en la simplificación de procesos que requerían la presencia física de clientes y usuarios en oficinas de las entidades, además de representar la reducción de costos y tiempo de atención. Esto también implica que el uso de la tecnología también se convierte en una preocupación para dichas instituciones, no solo porque la reglamentación exija que se apliquen estándares que aseguren la información de las entidades, usuarios y clientes, sino también porque la complejidad de los ataques dirigidos al robo de datos en el sistema financiero se va volviendo cada vez más sofisticado y evoluciona a la par de la con la tecnología. Entre estas amenazas las que permanecen latentes son los Troyanos Bancarios, los cuales pese a la legislación y modelos de seguridad implementados siguen como una amenaza activa en el ciberespacio.
Preliminares, Presentación, Comité editorial, Tabla de contenido, Lineamientos editoriales
Revista PGI La Paz - Bolivia 2020 No. 7 pp. 1-118 Depósito Legal: 4-3-154-19 Publicado el 2020-10-31 Cantidad de artículos: 29 Temas: Seguridad de la información, auditoría informática, informática forense. Presentación por: M.Sc. Lic. Menfy Morales Ríos Edición, maquetación: Ing. Edson Machicado Impreso en talleres Impresiones Gráficas