Protegiendo WordPress con Duo Security

Que la autenticación multifactor cumple un rol fundamental en la seguridad de nuestras cuentas no es algo nuevo ni discutible. Según la un informe de la compañía Netcraft, más de 75 millones de sitios corren bajo el CMS WordPress. De esos 75 millones, poco más de 37 millones son self-hosted, es decir que no corren en la solución basada en la nube de WordPress sino en plataformas de hosting/VPS de terceros. Tengo que reconocer que a esta altura me sorprende que WordPress no tenga soporte para autenticación multifactor de manera nativa, sin embargo existen decenas de plugins que permiten agregarla…

Configurar directivas de alerta para OneDrive y SharePoint

Office 365 permite a los administradores de la organización configurar directivas de alerta con fines específicos, como la prevención de pérdida de datos (DLP), prevención de amenazas, gobierno de datos, entre otros. Esto resulta de gran utilidad cuando, por ejemplo, queremos prevenir que los usuarios sean víctimas de malware, o inluso cometan el error de habilitar el acceso público a información sensible. El pasado mes de agosto la compañía de ciberseguridad UpGuard reveló el descubrimiento de un error de configuración de un bucket del servicio S3 de Amazon Web Services (AWS), que expuso al público información sensible sobre la nueva…

Usando la experiencia moderna en SharePoint Online

En entregas anteriores hablábamos sobre cómo crear una colección de sitios en SharePoint Online via PowerShell y cómo restaurar una colección de sitios eliminada de SharePoint Online via PowerShell. Hoy vamos a hablar sobre los sitios de SharePoint que usan la experiencia moderna. Estos sitios están conectados con grupos de Office 365, lo que les permite explotar al máximo todas su oferta de servicios -incluyendo Microsoft Teams y Planner-, al tiempo que le ofrece al usuario una interfaz de usuario de SharePoint más limpia, ágil, y totalmente compatible con dispositivos móviles. Hace pocos días Microsoft anunció que a partir del…

Cómo restaurar una colección de sitios eliminada de SharePoint Online via PowerShell

En entregas anteriores hablábamos sobre cómo crear una colección de sitios en SharePoint Online via PowerShell. Hoy vamos a trabajar en la restauración de una colección de sitios desde PowerShell. SharePoint Online permite restaurar colecciones de sitios facilmente desde el Centro de administración de SharePoint (https://TENANT_NAME-admin.sharepoint.com/_layouts/15/online/AdminHome.aspx). El tiempo máximo que una colección de sitios puede quedar almacenada en la papelera de reciclaje del administrador de SharePoint Online es de 93 días desde su eliminación. Transcurrido ese tiempo, la colección de sitios se eliminará permanentemente. Antes de comenzar debemos descargar SharePoint Online Management Shell, que nos permitirá conectar con nuestro tenant…

Cómo crear una colección de sitios en SharePoint Online via PowerShell

SharePoint Online permite crear colecciones de sitios facilmente desde el Centro de administración de SharePoint (https://TENANT_NAME-admin.sharepoint.com/_layouts/15/online/AdminHome.aspx). Pero hay casos en los que los administradores decidimos hacerlo via PowerShell, ya sea porque necesitamos crear múltiples colecciones al mismo tiempo, o para utilizar un template de sitio no disponible desde el Centro de administración de SharePoint. Recordemos que los templates más populares son: Blank Site: STS#1 Team Site: STS#3 or STS#0 Teams Site (Grupo de Office 365): Group#0 Publishing Site: CMSPUBLISHING#0 / BLANKINTERNET#0 Communication Site: SITEPAGEPUBLISHING#0 Antes de comenzar debemos descargar SharePoint Online Management Shell, que nos permitirá conectar con nuestro tenant…

Usando CSP para incrementar la seguridad de tu sitio web

Hacía ya algún tiempo venía manejando la idea de implementar CSP en mi blog de WordPress. CSP -o Content Security Policy, por sus siglas en inglés- es un estándar que define un conjunto de orígenes pre-aprobados desde los que un navegador puede cargar recursos cuando visita un sitio web. Ayuda a prevenir ataques de Cross Site Scripting (XSS), data injection, entre otros. Cuando el navegador visita un sitio web tiene que cargar fuentes, hojas de estilo, imágenes, scripts, etc. Por ejemplo, este blog utiliza la fuente Open Sans de Google por lo que cada vez que alguien lo visite su navegador estará…

Atacantes lograron eludir la autenticación multifactor

Cuando de buenas prácticas para la protección de nuestra presencia en línea se trata, ustedes saben que mi principal recomendación es habilitar la autenticación multifactor (doble factor de autenticación, o autenticación de dos pasos). Pero los atacantes siempre se las ingenian, y esta vez lograron engañar a los usuarios para hacerse del código temporal (token) necesario para completar la autenticación multifactor. Un reporte publicado hace apenas algunas horas por Aministía Internacional muestra en detalle cómo se dieron estos ataques a cuentas de usuarios de Gmail y Yahoo, incluso a aquellos con autenticación multifactor habilitada. Las víctimas eran dirigidas a un…

Qué hacer cuando falla la autenticación multifactor

El lunes 19 de Noviembre, alrededor de las 04:39 UTC, usuarios de los servicios de Office 365 y Azure alrededor del mundo comenzaron a experimentar problemas para iniciar sesión en sus cuentas. Al intentarlo, luego de ingresar la dirección de e-mail de la organización y la contraseña, se podía observar la clásica página de inicio de sesión aguardando la aprobación multifactor o el ingreso del token de seis dígitos. Para el caso de la aprobación, el pedido nunca llegaba a la aplicación Microsoft Authenticator. Los tokens, por su parte, directamente no funcionaban, y los SMS no llegaban al usuario. La página de…

Por qué no es una buena idea reutilizar contraseñas (el caso HSBC)

Hace pocos días uno de los bancos más grandes el mundo, HSBC, confirmó que algunos de sus clientes en los Estados Unidos fueron víctimas de un ataque conocido como credential stuffing. Este tipo de ataque utiliza nombres de usuario y contraseñas previamente comprometidos para obtener acceso a otros servicios. En respuesta a la BBC, el banco informó: HSBC lamenta este incidente, y tomamos la responsabilidad de proteger a nuestros clientes muy en serio. Hemos notificado a los clientes cuyas cuentas han podido ser víctimas de este acceso no autorizado, y les hemos ofrecido un año de servicio de monitoreo de…

¿Cómo funciona la autenticación multifactor?

Esta es la tercera de una serie de entregas dedicadas a temas de seguridad en línea. En la primera hablamos sobre los administradores de contraseñas y en la segunda sobre las -cada vez más populares- filtraciones de datos. Hoy vamos a hablar sobre la autenticación multifactor, también conocida como autenticación (o verificación) de dos pasos, 2FA, MFA, entre otras. El concepto de autenticación multifactor señala que el usuario debe ser “desafiado” a utilizar al menos dos mecanismos de autenticación entre los siguientes tres: Algo que sabe Algo que tiene Algo que es Algo que sabe suele ser una contraseña, y…