Magister en Ciberseguridad

Entérate cómo entregar tus trabajos de titulación

Permanent URI for this collection

https://repositorio.puce.edu.ec/handle/123456789/127

Magister en Ciberseguridad

Browse

0-9ABCDEFGHIJKLMNOPQRSTUVWXYZ

Now showing 1 - 20 of 59

Open Access
Software defined wide area networking (SD-WAN) as a security mechanism in WAN access
(PUCE - Ambato, 2021) Quezada Haro, Jonathan Fernando; Arellano Aucancela, Alberto Leopoldo
Los departamentos de tecnologías de la información, se percatan, que los enlaces de comunicación entre el sitio matriz y las agencias son vulnerables a riesgos informáticos; ocasiona pérdida de tráfico a los usuarios que utilizan servicios críticos para la organización, como son la videoconferencia o la transferencia de archivos importantes; empieza a perder la calidad de la comunicación experimenta cortes o degradación en el servicio. La necesidad de ancho de banda que existe en las oficinas remotas ya sea dentro de un país o entre diferentes países, cada día va en aumento; y una de las tendencias actuales para mejorar la experiencia del usuario es ir directamente a sus aplicaciones en la nube. Por lo tanto, el objetivo del trabajo de investigación es aplicar buenas prácticas de seguridad en una arquitectura de Software Defined Wide Area Networking (SD-WAN), para reducir los riesgos informáticos que son víctimas las organizaciones. Como resultado de este trabajo, se espera presentar a las organizaciones un conjunto de buenas prácticas en una arquitectura Software Defined Wide Área Networking (SD-WAN) que permita minimizar los riesgos informáticos y brindar alta disponibilidad; control y calidad a las comunicaciones, selección dinámicamente el mejor camino entre el sitio matriz y las agencias a un costo menor.
Open Access
Técnicas de seguridad en redes de comunicaciones aplicadas a la custodia de evidencia digital
(PUCE - Ambato, 2021) Haro Parra, Perkins Santiago; Santillán Lima, Juan Carlos
A medida que las nuevas tecnologías se extienden en las organizaciones con una creciente influencia de transformación digital, los desafíos de seguridad comenzaron a identificar nuevas amenazas y ataques cada vez mayores, la detección de amenazas y vulnerabilidades ha dado a los profesionales de ciberseguridad la adopción de nuevos métodos y técnicas acompañados de herramientas que garanticen la admisibilidad de la evidencia digital a corto y a largo plazo. Este proyecto establece un conjunto de técnicas de seguridad aplicadas en las redes de comunicaciones que aseguren la adecuada custodia digital. Para poder contestar la pregunta de investigación planteada, se planifica realizar un proceso de 4 etapas: investigación del estado del arte, descripción de las metodologías y técnicas de seguridad aplicadas en las redes de comunicación, diagnóstico de las metodologías o técnicas utilizadas por los actores de justicia y la síntesis de las buenas prácticas aplicadas en técnicas adecuadas sobre las redes de la custodia de la evidencia digital. La parte esencial de este proyecto consiste en el diagnóstico realizado a los principales actores del Consejo de la Judicatura de la provincia de Chimborazo lo que muestra que estos actores no cuentan con los conocimientos, metodologías, técnicas y recursos para la preservación y la admisibilidad de la evidencia digital, dando paso a la vulnerabilidad muy amplia para los Ciberdelincuentes al acceso a la información siendo esta alterada, modificada o a su vez destruida.
Open Access
Implementación de una solución web isolation para disminución de amenazas en equipos clientes
(PUCE - Ambato, 2021) Guanoluisa Paredes, Ericka Liseth; Bernal Barzallo, Paúl Fernando
Considerando que en el Ecuador el 95% de las unidades productivas son pequeñas y medianas empresas, que no poseen el presupuesto necesario para implementar una herramienta de aislamiento web por su elevado costo, el presente trabajo de investigación tiene como objetivo implementar un sistema de Web Isolation económico que permita a las empresas mencionadas el acceso a esta herramienta como mecanismo de seguridad frente a las amenazas web en los equipos clientes. Como metodología de desarrollo se siguió Scrum y al ser un proyecto con un enfoque experimental, dado que se requiere establecer comparaciones del antes y después de la implementación de la solución planteada, se considera como metodología de investigación a la experimental. Para el desarrollo de la solución, se utilizaron tecnologías como Docker, Docker Compose, Voodoo, Zombie Lord, Dart, Flutter, Java, Spring Boot, Firebase, DNSMasq entre otras. Aceptando un error de 0.05 equivalente al 95% de acierto, con un p valor igual a 0.03125, con la solución propuesta, se obtiene una herramienta open source, sin costo de instalación ni mantenimiento, capaz de mitigar al 100% las amenazas experimentadas, sin perjudicar la velocidad de navegación de los equipos clientes.
Open Access
Sistema de cifrado para computadores portátiles en instituciones públicas ecuatorianas
(PUCE - Ambato, 2021) Sandoval Perugachi, Juan Roberto; Acurio Maldonado, Santiago Alejandro
Debido a los acontecimientos actuales que el mundo atraviesa, las instituciones públicas del país, se han visto obligadas a realizar teletrabajo parcial o permanente. Para esto, los funcionarios utilizan computadores de escritorio y portátiles, lo cual, ocasiona la exposición de los dispositivos a un alto riesgo de fuga de información por pérdida o robo. Con este antecedente, el presente proyecto consiste en implementar un sistema de cifrado disco completo en computadores portátiles en una institución pública y dar cumplimiento al control criptográfico de protección de datos sensibles manipulados en dispositivos móviles, actividad establecida en el Esquema Gubernamental de Seguridad de la Información (EGSI). El desarrollo del proyecto tiene un enfoque cualitativo\; además, se hace uso de las metodologías tipo cualitativo, descriptivo y explicativo, utilizados para el levantamiento de información, se establecen las características del sistema de cifrado según las necesidades de la institución y la generación de la documentación técnica. Los resultados obtenidos demuestran que el software antivirus con el que cuenta la institución, cumple con los parámetros técnicos necesarios para la implementación del sistema de cifrado\; por otra parte, se mitiga la fuga de información, esta, se mantiene ilegible y no ser utilizada por personal no autorizado.
Open Access
Implementación de una solución “security information and event management” escalable y accesible basada en open source
(PUCE - Ambato, 2021) Mejía Broncano, Miguel Alexander; Bernal Barzallo, Paúl Fernando
Según datos de la revista Ecos del 2017, el 95% de las unidades productivas en el Ecuador son generados por pequeñas y medianas empresas, mismas que por su tamaño y condiciones, normalmente no poseen el presupuesto necesario para contratar y mantener una solución SIEM (Security Information and Event Management), el presente trabajo de investigación tiene como objetivo general implementar una herramienta SIEM basada en open source para el acceso a la gestión de incidentes de seguridad en las pequeñas y medianas empresas. Como metodología para el desarrollo se utilizó el marco de trabajo Scrum y se estableció la metodología de investigación experimental por los procesos comparativos requeridos en entorno con y sin la solución planteada. Durante el desarrollo de la solución se utilizaron tecnologías como docker, docker compose, java, spring boot, elasticsearch, logstash, kibana, miro, gitlab entre otras. Como resultado se obtiene una herramienta open source, más asequible que las existentes en el mercado actual, capaz de detectar y notificar en menos de 60 segundos a partir del incidente el 100% de las anomalías en el comportamiento de los servidores, así como identificar también posibles incidentes de seguridad basados en los comportamientos correlacionados de los diferentes orígenes de datos
Open Access
Modelo para análisis forense en dispositivos móviles con sistema operativo Android
(PUCE - Ambato, 2021) Beltrán Tapia, Klever Washington; Solís Acosta, Edgar Fernando
En los últimos años se ha evidenciado un gran aumento de la comunicación global y el uso de equipos móviles con sistema operativo Android, el que, se ha convertido en líder indiscutible del mercado a nivel mundial al ser la plataforma más utilizada; el presente proyecto tiene como objetivo diseñar un modelo para análisis forense en dispositivos móviles con sistema operativo Android, debido a que en la actualidad no existe un procedimiento establecido basado en los requerimientos nacionales que guíe el análisis forense de estos dispositivos. La metodología que se aplica para el trabajo es una investigación bibliográfica de modelos y normas nacionales e internacionales que permitan: asegurar la escena motivo de investigación, identificar evidencias, adquirir datos, analizar datos y presentar informes. Aplicado el diseño, se comprueba que mediante la documentación realizada en cada una de las fases facilita al perito la realización del informe final, a la vez que, estar apegado a la normativa legal vigente disminuye los riesgos de caer en infracción, por tanto, se verifica la factibilidad del modelo propuesto basado en análisis forense dentro del laboratorio de la Universidad de las Fuerzas Armadas ESPE, apoyado en múltiples pruebas con lo que se determina la validez del presente trabajo.
Open Access
Estándares de seguridad en el ciclo de vida de aplicaciones usando contenedores
(PUCE - Ambato, 2021) Arroba Flores, Fredy Leonardo; López Sevilla, Galo Mauricio
En la empresa Ingeparts Importaciones Automotrices PG&QE Cia.Ltda., se evidencia, que el monitoreo en el ciclo de vida de las aplicaciones se los realiza de forma manual\; ocasiona pérdida de tiempo en los usuarios y la seguridad en las aplicaciones se deja en segundo plano, como la seguridad en la información lo cual empieza a perder confianza en los aplicativos existentes en la empresa. La necesidad de aplicar estándares de seguridades en el ciclo de vida de las aplicaciones ya sea local o internacional, cada día es requerido por las empresas que manejan información digital. Con este antecedente, el objetivo del trabajo de investigación es implementar estándares de seguridad en el ciclo de vida de las aplicaciones con un ambiente escalable utilizando contenedores. Para cumplir con el mismo, se hace uso de la metodología de investigación de tipo analítico-sintético que ayuda con la descomposición del objeto de estudio en cada una de sus partes para estudiarlas en forma individual y luego de forma integral como son las vulnerabilidades existentes en las aplicaciones. Para el desarrollo se hace uso de la metodología ágil Kanban que ayuda a controlar las tareas de la implementación de forma transparente y ordenada. Como resultado del presente trabajo, se espera tener estándares de seguridad en el ciclo de vida de las aplicaciones para mitigar vulnerabilidades y mantener la información segura en un ambiente escalable.
Open Access
Sistema de monitoreo y detección de Defacements en sitios web. Un enfoque moderno
(PUCE - Ambato, 2021) Rojas Buenaño, Alexander Israel; Bernal Barzallo, Paúl Fernando
Hoy en día las empresas buscan tener presencia en internet pues conocen la importancia de estar al alcance de sus clientes o público objetivo a tan solo un par de clics. Para ello buscan posicionarse con su sitio web en la red y brindar la información necesaria de sus productos o servicios. Sin embargo, es inevitable descartar la presencia de ciberamenazas. Muestra de ello son los atacantes, que motivados por diferentes causas (política, activismo, rédito monetario) buscan vulnerar la seguridad de los sitios web y robar información o generar indisponibilidad en los servicios, afectando así la reputación de la empresa y generando pérdidas económicas. El Defacement o desfiguración es una de las consecuencias tras la materialización de un ataque. En este incidente los ciberdelincuentes cambian el contenido de la página y colocan mensajes de protestas o burlas dejando en evidencia las fallas de seguridad existentes en el sitio web. Esto empeora con el tiempo que toma poder identificar el ataque y tomar acciones al respecto. Por ello, el objetivo de este trabajo es implementar un Sistema de Monitoreo y Detección de Defacement en sitios web para lo cual se lleva a cabo una investigación de un modelo de Machine Learning que permita entrenar un algoritmo capaz de identificar el contenido de una página web y determinar si se encuentra desfigurada o no. De esta forma se puede notificar al administrador del sitio web acerca del Defacement y reducir así el tiempo de afectación.
Open Access
Herramientas Data Loss Prevention (DLP) opensource para la seguridad de la información
(PUCE - Ambato, 2021) Lagua Gavilanes, Andrés Sebastián; Arellano Aucancela, Alberto Leopoldo
La Pontificia Universidad Católica del Ecuador Sede Ambato (PUCESA), es una institución orientada a la Educación Superior, cuenta con una amplia oferta académica tanto para pregrado como posgrado, en la actualidad posee alrededor de 1500 estudiantes y 300 colaboradores entre personal administrativo y docente. El Departamento de Tecnologías de la Información, considera la importancia que ha tomado los datos digitales, dentro del recinto educativo\; y, de este modo evitar una infracción de estos. Con este antecedente el objetivo de este estudio es desarrollar un prototipo Data Loss Prevention (DLP) en una plataforma de tipo opensource. Para cumplir con el mismo, se hace uso de las metodologías de tipo inductivo, deductivo, cualitativo, mixto transversal y cuasi experimental, los cuales contemplan el siguiente procedimiento: Análisis de vulnerabilidades, impacto, riesgos y propuesta de métodos de seguridad. Este proceso aplica a toda la infraestructura tecnológica de la PUCESA, el resultado obtenido ante la propuesta de seguridad demuestra que, las herramientas Data Loss Prevention de tipo OpenSource, no cumple con los parámetros necesarios para prevenir la fuga de información dentro del recinto educativo. Debido a que, la mayor parte de software DLP es de licenciamiento pagado, y se divide en dos: cliente y servidor. Esto genera un alto coste en la implementación de la plataforma.
Open Access
Vulnerabilidades en aplicaciones web utilizando la metodología de "Proyecto Abierto de Seguridad de Aplicaciones Web"
(PUCE - Ambato, 2021) Gamboa Safla, Diego Leonardo; López Sevilla, Galo Mauricio
En las aplicaciones web en la Universidad Técnica de Ambato se muestra información de vital importancia, en muchas ocasiones ésta información es estática y en otras dinámica\; en todos los casos un portal web ofrece una ventana que ciberdelincuentes logran utilizar como un medio para un ataque\; por eso resulta importante, realizar un análisis de vulnerabilidades de software que existen en las plataformas que brindan soporte en la Universidad Técnica de Ambato\; para cumplir este objetivo se aplica la metodología de PROYECTO ABIERTO DE SEGURIDAD DE APLICACIONES WEB (OWASP), que aporta diferentes enfoques para el análisis de vulnerabilidades utilizando herramientas que ayudan a realizar pruebas de penetración en aplicaciones web, además, aplica métodos para resolución y mitigación de dichas vulnerabilidades. Este trabajo se realiza a una determinada aplicación web de la Institución, durante el segundo semestre del año académico 2020, para demostrar el cumplimiento de los objetivos se utiliza diferentes guías de prueba de ataques a sitios web usando herramientas de código abierto\; con lo que se espera, que éste aporte de solución a la seguridad informática en la aplicación web de la Institución, obteniéndose así un conjunto de buenas prácticas en cuanto a la seguridad en aplicaciones web se refiere. La metodología OWASP aporta diferentes enfoques para el análisis de vulnerabilidades en aplicaciones web.
Open Access
Programa de concientización en seguridad de información para pequeñas empresas en la ciudad de Puyo
(PUCE - Ambato, 2022) Beltrán Aldás, José Luis; Gómez Gómez, Omar Salvador
Los sistemas de información son cada día más vulnerables y se ven amenazados por la falta de concientización en crear una cultura de ciberseguridad que sensibilice en proteger datos críticos de las pequeñas empresas; su importancia radica en educar y generar conciencia sobre la seguridad de la información, que garantiza un tratamiento confiable y protegido de la información en las pequeñas empresas. El trabajo tiene como objetivo elaborar un programa de concientización en seguridad de información para el fortalecimiento de la confidencialidad, integridad y disponibilidad de información sensible de las pequeñas empresas de la ciudad de Puyo. Se trabaja con una metodología cuasiexperimental, que permita recolectar datos antes y después del estudio. Con este trabajo, se pretende establecer guías en buenos hábitos y concientización de la seguridad de la información que, sin antecedentes de trabajos realizados en la ciudad de Puyo, aporta en el desarrollo de la importancia de ciberseguridad en pequeñas empresas.
Open Access
Análisis de amenazas IOT en un sistema domótico
(PUCE - Ambato, 2022) López Naranjo, Miguel Alejandro; López Sevilla, Galo Mauricio
La creciente demanda en el uso de dispositivos electrónicos IoT en hogares y organizaciones, así como la facilidad con, la cual, se integran a los sistemas y redes de internet, ponen en riesgo la seguridad de la información de los usuarios. En este sentido resulta importante analizar las amenazas más frecuentas y evaluar los niveles de seguridad que presentan los dispositivos IoT en un sistema domótico, para desarrollar un manual técnico de buenas prácticas que permita mitigar el riesgo de sufrir ciberataques. El objetivo del presente trabajo es analizar las amenazas IoT que existen en un sistema domótico, mediante un enfoque cualitativo y diseño preexperimental. Para lo cual, se procedió a realizar una revisión bibliográfica, necesaria para comprender los conceptos, generar ideas y comprobar el estado actual de los conocimientos la tecnología IoT. La investigación, se basó en el análisis de documentos, revistas, paginas académicas de internet con la finalidad de aportar y recopilar con información necesaria sobre la estructura y características de la arquitectura IoT, además, de las amenazas presentes frecuentemente en los dispositivos IoT y seguridad de los sistemas domóticos. Toda esta información recopilada sirvió como base para realizar el diseño de un entorno domótico simulado usado posteriormente para verificar los niveles de seguridad de los dispositivos IoT y plasmar todos estos resultados obtenidos en un manual técnico con los pasos y buenas prácticas de ciberseguridad, el cual, permite solventar los problemas de seguridad estudiados.
Open Access
Mecanismos de ciberseguridad en dispositivos de teletrabajo para una institución financiera
(PUCE - Ambato, 2022) Silva Guevara, Paúl Sebastián; López Sevilla, Galo Mauricio
La situación de emergencia sanitaria que afronta la sociedad obliga a cambios de paradigma en el ámbito laboral, es así como los ambientes de trabajo se han desplazado hacia los hogares. Esta realidad para las empresas financieras que manejan datos críticos, donde el acceso a los diferentes sistemas de información que permiten el funcionamiento de la organización; representa un ambiente de alta vulnerabilidad, puesto que se han desplazado los equipos de trabajo del ambiente seguro de la organización a los hogares del personal interno. En este ambiente laboral resulta importante buscar mecanismos que mitiguen las vulnerabilidades a las que la información se ve expuesta. El objetivo que plantea la investigación es implementar mecanismos de ciberseguridad en los dispositivos de teletrabajo para asegurar la información de la institución financiera. Para lo cual, se aplicará como metodología de desarrollo el diagnóstico de seguridad mediante la aplicación de una lista de chequeo, un análisis de riesgos aplicándose la norma ISO/IEC 27005:2009 y Magerit v3 para un escaneo de vulnerabilidades sobre los equipos del personal interno en una prueba piloto, buscándose de esta forma dotarles a los equipos de un conjunto de mecanismos que articulados adecuadamente brinden a la organización ambientes de teletrabajo más fiables.
Open Access
Diseño de una guía para campañas de ingeniería social al interior de una institución financiera
(PUCE - Ambato, 2022) Peña Pérez, Daniel Roberto; López Sevilla, Galo Mauricio
Las empresas financieras manejan datos críticos que permiten accesos o permisos a sistemas de información financieros de los empleados, proveedores y clientes que necesitan ser protegidos de diferentes ataques cibernéticos como la ingeniería social. En la protección de datos es importante considerar el desarrollo de las capacidades físicas como humanas puesto que estos últimos son sujetos hacer persuadidos por ciberdelincuentes. En este sentido el objetivo del presente trabajo busca diseñar una guía de campañas de ingeniería social al interior de una institución financiera, con las técnicas de ingeniería social que utilizan los atacantes. Para cumplir con el mismo se hace uso de la metodología Kanban que tiene como primera fase estudiar diferentes metodologías del SGSI, en la segunda fase se realiza el diagnostico situacional de las instituciones financieras con una encuesta sobre seguridad de información a empleados de una institución financiera en este caso la Asociación Mutualista Ambato, en la tercera fase se realiza una evaluación de la guía desarrollada respecto a las recomendaciones de INCIBE, con los resultados obtenidos de las fase indicadas anteriormente se concluye que las entidades financieras debiesen fortalecer su Sistema de Gestión de Seguridad de la información además de capacitar a cada uno de los empleados sobre distintos métodos y técnicas de ingeniería social, que se proponen en la guía desarrollada.
Open Access
Metodología para mitigar vulnerabilidades de almacenamiento mediante inteligencia de fuentes abiertas (OSINT) en la EEASA
(PUCE - Ambato, 2022) Freire Silva, Jorge Enrique; López Sevilla, Galo Mauricio
Debido al constante uso de las nuevas tecnologías, las instituciones pertenecientes a sectores estratégicos se ven obligadas a salvaguardar la información para minimizar riesgos de ataques a los que, se encuentran latentes. Para esto, en el contexto ético del hacking existe una serie de herramientas que ayudan a determinar el nivel de exposición de la información, lo cual, permite anticiparse ante la explotación vulnerabilidades. Con este antecedente, la presente investigación consiste en implementar una propuesta metodológica que permita mitigar los riesgos referentes a las vulnerabilidades de almacenamiento detectadas en el análisis de fuentes abiertas, esto es posible con la aplicación de Magerit y las matrices que provee para la gestión de riesgos. El proyecto tiene un enfoque cuantitativo tanto que usa listado de vulnerabilidades determinadas en OWASP e ISO27001; además, se hace uso de técnicas OSINT con un diseño preexperimental y el enfoque cualitativo para la valoración de Magerit. Los resultados obtenidos demuestran que la aplicación de la propuesta metodológica cumple con los parámetros necesarios para mitigar riesgos; por otra parte, permite anticiparse a posibles ataques informáticos que, se desencadenan diariamente en el Ecuador.
Open Access
Modelo de mejora del estado de la ciberseguridad en la gobernación de Tungurahua
(PUCE - Ambato, 2022) Robayo Villarroel, Héctor Vladimir; Bernal Barzallo, Paúl Fernando
En el presente Trabajo Final de Maestría titulado Modelo de mejora del estado de la Ciberseguridad en la Gobernación de Tungurahua, surge de la necesidad de mejorar el estado de la ciberseguridad en la institución gubernamental, Gobernación de la Provincia de Tungurahua, en los últimos años ha tenido inconvenientes relacionados con este ámbito, ante la indisponibilidad de documentación, políticas y procesos, se han producido escenarios que son peligrosos o de interés para los ciberdelincuentes. Con este antecedente, se desarrolló una revisión bibliográfica sobre los diferentes modelos existentes, mediante la identificación de las mejores características de cada modelo, se elaboró un modelo propio que es implementado en la Gobernación de Tungurahua, el cual, está desarrollado en tres fases; la fase de diagnóstico se realizó mediante el uso de herramientas tecnologías que permiten la identificación de vulnerabilidades que se presentan en los recursos humanos, tecnológicos, networking y de comunicación que dispone la institución, mediante la segunda fase de implementación se realizó la corrección de las vulnerabilidades, y en la fase final de control mediante el uso de herramientas tecnologías verificar el estado de la ciberseguridad institucional. El producto final se presenta a través del análisis resultante del modelo aplicado, que evidencie la disminución de las vulnerabilidades de potenciales riesgos y amenazas encontradas en el diagnóstico inicial y que mantenga un control constante de la ciberseguridad de la entidad; y que cumpla así con el objetivo general propuesto
Open Access
Evaluación de los Mecanismos de Seguridad de DNS en Redes IPv4 e IPv6
(PUCE - Ambato, 2022) Barba Palma, Henry Marcelo; Arellano Aucancela, Alberto Leopoldo
En el presente proyecto se realiza un estudio y simulación para determinar el mecanismo más adecuado de seguridad DNS (Sistema de nombres de dominio) en redes IPV4 e IPV6. Se inicia con una descripción general de configuración de redes y los equipos servidores de DNS. Luego se realiza una revisión de los mecanismos de seguridad y ataques, para luego evaluar y determinar el método más efectivo. En la fase de diseño se contempla un ambiente simulado para generar ataques DDos y otro ambiente informático para mitigar dichos ataques. A continuación, se realizan de manera ética ataques de denegación de servicio sin afectar a redes externas. Finalmente, se muestran los resultados obtenidos con herramientas informáticas de monitoreo, como WireShark, los cuales permite detectar ciertas irregularidades respecto al servicio estudiado, esto ayudó a la configuración de los parámetros de seguridad en la red tecnológica de la institución para mitigar las vulnerabilidades, los cuales de acuerdo con la metodología diamante empleada para el análisis, pasó de tener una alta probabilidad a media esto disminuyó los riesgos ante este tipo de ataques dentro del Hospital General Latacunga.
Open Access
Aplicación del "NIST Cybersecurity Framework" en el instituto superior tecnológico "Sucre"
(PUCE - Ambato, 2022) Yánez Intriago, Jorge Alfredo; López Sevilla, Galo Mauricio
El Instituto Superior Tecnológico Sucre no cuenta con mecanismos de ciberseguridad adecuados para proteger su plataforma tecnológica; al gestionar varios escenarios y plataformas, existe una alta probabilidad de que la ciberseguridad se vea afectada de manera negativa. En este contexto, es importante implementar contramedidas para que la institución identifique, proteja, detecte, responda y se recupere si se presenten incidentes de seguridad. Por lo tanto, el objetivo de este trabajo de investigación es aplicar el “NIST Cybersecurity Framework” con la finalidad de mejorar la postura de ciberseguridad en la organización. Este trabajo aporta con una investigación preexperimental de tipo longitudinal con enfoque cuantitativo. El “NIST Cybersecurity Framework” establece un proceso metodológico para que las organizaciones aseguren su plataforma tecnológica describe su postura actual de seguridad cibernética, establecer y evaluar el progreso hacia el objetivo deseado, identificar y priorizar oportunidades de mejora dentro del contexto de un proceso continuo y repetible; y, comunicar sobre los riesgos asociados a las partes interesadas internas y externas relevantes. Luego de la aplicación de este marco referencia se espera fortalecer el nivel de madurez de la ciberseguridad institucional a través del establecimiento y aplicación de un conjunto de mejores prácticas que permitan proteger la plataforma tecnológica más crítica.
Open Access
Propuesta de Buenas Prácticas de Seguridad para Creación, Transporte y Almacenamiento de Json Web Tokens / Fausto Danilo Cevallos Muñoz
(PUCE - Ambato, 2022) Cevallos Muñoz, Fausto Danilo; Bernal Barzallo, Paúl Fernando
El desarrollo de software es uno de los pilares fundamentales en el manejo de información en la actualidad, es por ello que constantemente, se busca incrementar su seguridad, uno de los mayores inconvenientes es manejar procesos de autenticación y autorización, en la implementación de interfaces API es común el uso de JSON Web Tokens, los cuales llegarían a ser considerados como datos “seguros”, en el presente estudio, se busca identificar las mejores prácticas de seguridad en su creación, transporte y almacenamiento, así como; determinar posibles vulnerabilidades. Para la investigación, se empleó como metodología de desarrollo la revisión sistemática de literatura en fuentes como SCOPUS, SCIENCE DIRECT, DIALNET y La Biblioteca Digital de la Pontificia Universidad Católica del Ecuador - Sede Ambato, se estableció 3 criterios de inclusión, 2 criterios de exclusión y 2 criterios de calidad, de 1138 documentos analizados, se obtuvieron 11 estudios primarios, como resultado de la investigación, se logró obtener una propuesta de buenas prácticas, se realizaron pruebas de concepto para verificar su aplicabilidad, las mismas que consistieron en validar la fortaleza de los tokens ante ataques de fuerza bruta y el impacto que tiene una validación débil de permisos y privilegios.
Open Access
Políticas de ciberseguridad para los dispositivos de capa-dos en el centro de datos del hospital de Latacunga
(PUCE - Ambato, 2022) Chalan Analuisa, Richard Omar; Ávila Pesantez, Diego Fernando
En el documento, se analizó la problemática de ausencia de políticas de ciberseguridad en los equipos de comunicaciones del Hospital General de Latacunga y la falta de las misma provocan que los equipos sean atacados en la mayoría de los casos por usuarios internos quienes disponen de permisos no autorizados a los equipos de red por tal motivo, se realizó pruebas de esfuerzo a los equipos de capa de enlace para mejorar la seguridad de los mismos que están instalados en el centro de datos y que están expuestos. Esto debido a que no existen mecanismos de ciber, seguridad en los dispositivos de conmutación. Para la implementación de las políticas de ciber seguridad, se utilizó dos ambientes de pruebas, la primera es la simulación y se aplica parámetros de configuración con el equipo físico de marca huawei, se utilizó la herramienta de virtualización VMWARE para la instalación del software de emulación de red multiproveedor EVE-NG para dispositivos con sistemas operativos huawei, el que permitió realizar las pruebas de vulnerabilidades en una computadora virtual con sistema operativo Parrot con las herramientas Openvas y Yersinia tales como: Vlan hopping, ataque MITM, ataque Mac Arp, ataque DHCP Starvition, ataque STP en los equipos de capa dos de la marca Huawei. Se tomó como referencia a la norma ISO 27032 que permitió seguir los lineamientos de cada fase para proponer las políticas de ciber, seguridad para estos dispositivos al final, se elaboraron políticas de ciber, seguridad para dispositivos de capa dos que consistió en adicionar configuraciones y habilitar funcionalidades que depende del requerimiento de la institución al aplicar las políticas de ciber seguridad, se logró mitigar una cantidad significativa de 100% por ciento en referencia al punto inicial de las vulnerabilidades de la infraestructura de esta casa de salud.