AA11-1 Características y Funciones de Seguridad del SMBD seleccionado

Alcaldía de San Antonio del

SENA

Edisson Galíndez Bermúdez

Miguel Ángel Ramírez Severiche
Nohora Esther Malagón Sáenz

Servicio Nacional de Aprendizaje - SENA

Centro de Servicios y Gestión Empresarial
2019
AA11-1 Características y Funciones de Seguridad del SMBD seleccionado
Alcaldía de San Antonio del
SENA

Edisson Galíndez Bermúdez

Miguel Ángel Ramírez Severiche
Nohora Esther Malagón Sáenz

Presentado a:
Ing. Diana María de Jesús Rico Mesa

Servicio Nacional de Aprendizaje - SENA

Centro de Servicios y Gestión Empresarial
2019
 CONTENIDO

Pág.
Introducción
1- Objetivos_____________________________________________ 1
1.1 Objetivos Principal____________________________________ 1
1.2 Objetivos Específicos__________________________________ 1
2 Seguridad En Sql Server_________________________________ 2
2.1 Cuenta de servicio de Microsoft SQL Server_________________ 2
2.2 Capas de seguridad de SQL Server________________________ 3
2.3 Usando la cuenta de servicio virtual_______________________ 5
2.4 Encriptando la sesión con SSL____________________________ 5
3 Configurar un servidor de seguridad para acceso a SQL Server_____ 6
4 Cifrado de base de datos transparente________________________ 7
5 Funciones De Seguridad___________________________________ 8
6 Cuentas de Usuario y privilegios sobre los objetos del Sistema_____ 11
7 Tipos de cuentas para servicios SQL Server___________________ 13
8 Integridad En El Smbd Seleccionado_________________________ 16
8.1 Funciones De Seguridad________________________________ 17
9 ¿Qué es ser un hacker ético?_______________________________ 18
9.1 Algunos conceptos_____________________________________ 18
9.2 Seis fundamentos de los hackers_________________________ 19
9.3 la ética social del hacker se basa en tres principios____________20
9.4 Clasificación de los hackers______________________________ 21
9.5 Características del Hacker ético___________________________ 23
9.4 Etapas en un proceso de hacking malicioso__________________24
9.5 Tipos de Ethical hacking_________________________________25
10 En Colombia, en los últimos años se han presentado situaciones muy
renombradas relacionadas con el Hacking. ¿Qué opina al respecto?_____27
11 ¿Qué es SQL-Injection?___________________________________31
11.1 Ejemplos___________________________________________ 32
11.2 Herramientas para SQL Injection_________________________34
12 Glosario_______________________________________________37
13 Bibliografías____________________________________________39
 INTRODUCCION

Son muchas los conceptos que encontramos acerca del término seguridad.
Simplificando, se puede definir la seguridad como la Característica que indica
que un sistema está libre de todo peligro, daño o riesgo.

En toda actividad se hace necesario, no solo planear y ejecutar las

actividades, sino efectuar procedimientos de control que vayan encaminados a
asegurar que dichas actividades han sido ejecutadas de acuerdo a los
parámetros que se habían establecido con anterioridad.

Es por ello, que para Evaluar la seguridad de los sistemas de información se

requiere que, en las diferentes fases del ciclo de vida de los sistemas de
información, se plante en protocolos claros que permitan lograr un buen nivel
de calidad en el software.

Para el diseño e implementación de estos mecanismos de seguridad y control,

se debe ir de la mano de la seguridad informática, es por eso que en este
informe tocaremos varios conceptos claves de este tema, para evitar caer en
la “inseguridad informática”.
 1. OBJETIVOS

En seguridad informática es mantener la Integridad, Disponibilidad, Privacidad,

Control y Autenticidad de la información manejada por computadora. Los usuarios
deben tener disponibles todos los componentes del sistema cuando así lo deseen.

1.1 Objetivo Principal

Analizar las diferentes características, políticas y funciones de seguridad del

sistema

manejador de base de datos seleccionado SGBD.

1.2 Objetivos Específicos

 Identificar las características de seguridad configurables del SMBD.

 Supervisar el manejo de las cuentas de usuario y privilegios sobre los

objetos del sistema.

El sistema Manejador de la base de datos seleccionado para la Alcaldía de San

Antonio del SENA es SQL Server 2008

1
 2. SEGURIDAD EN SQL SERVER

Microsoft SQL Server es un sistema de administración de bases de datos

relacionales (RDBMS) que contiene pocos componentes y subcomponentes.
Cada componente en SQL Server tiene su propio mecanismo de seguridad
que está casi separado el uno del otro. La seguridad de Database Engine
incluye la cuenta de servicio, la instancia y la seguridad de las bases de
datos.

La seguridad en el entorno de SQL Server no está limitada a la encriptación:

SQL Server debe tener seguridad física para proteger todo el rack del
servidor contra cualquier problema vulnerable y también la seguridad raíz
de la instancia de SQL Server.

La seguridad en SQL Server puede ser Autenticación y Autorización de

usuarios contra datos e instancia de SQL Server. Recuerde siempre crear un
entorno seguro para su SQL Server, debe tener seguridad en las fases de
Diseño, Desarrollo e Implementación de su software y bases de datos. La
mayoría de los problemas de seguridad surgen de la fase de Diseño y
Desarrollo.

2.1 Cuenta de servicio de Microsoft SQL Server

Microsoft SQL Server es una aplicación de modo de usuario, aunque se

ejecuta en el servicio de Windows. La cuenta de servicio es completamente
una cuenta de usuario de Windows y proporciona privilegios de seguridad
para que el servicio SQL Server acceda a los recursos de la plataforma
Windows, como el sistema de archivos, la red y el registro. El punto más
importante es que SQL Server Service Account no se debe compartir con
otras instancias de SQL Server y se prefiere estar en un controlador de
dominio (DC).

2
2.2 Capas de seguridad de SQL Server

Microsoft SQL Server tiene varias capas de seguridad, la primera capa es la

seguridad del canal de comunicación que es aplicada por TSL o protocolo
SSL. La segunda capa está en el nivel de instancia que está protegido por
la API de

protección de datos de Windows (DPAPI), DPAPI es en la función de cifrado

en la plataforma de Windows para cifrar y descifrar datos y el algoritmo es
diferente en cada máquina. Los inicios de sesión, los roles de servidor y las
credenciales son objetos de seguridad de nivel de instancia en SQL Server
y el usuario, el certificado, las funciones, los esquemas y las claves de
cifrado son objetos de seguridad de nivel de base de datos. La figura
siguiente muestra las capas de seguridad de SQL Server.

SQL Server Service Key es la clave de cifrado básica en la plataforma SQL

Server y está protegida por DPAPI, la clave de servicio siempre se crea
mediante el proceso de SQL Server durante el primer inicio y el usuario no
puede crearla, el usuario tiene la capacidad de hacer una copia de seguridad
y restaurarla en la misma instancia u otras instancias. La clave maestra es
una clave opcional en cada base de datos y puede protegerse mediante la
clave de servicio o una contraseña segura proporcionada por el usuario. El
usuario puede hacer una copia de seguridad de la clave maestra y
restaurarla en la misma base de datos u otra base de datos. Regenerar la
clave del servicio regenerará todas las claves secundarias, como las claves
maestras y de encriptación (simétrica o asimétrica).

3
SQL Server proporciona una función para encriptar la base de datos para
evitar que se lea la base de datos robada. El cifrado de la base de datos es
una opción opcional en cada base de datos. SQL Server no cifra la base de
datos completa al mismo tiempo cuando la característica está habilitada en
una base de datos, SQL Server encriptará cada página cuando el proceso
“Lazywriter” necesita escribir la página en el disco y descifrarla cuando lee
la página del disco. La función de cifrado de la base de datos se denomina
“Cifrado transparente de la base de datos” y solo está disponible en las
ediciones “Enterprise” y se presentó en SQL Server 2005.

La seguridad de SQL Server no está completa en la instancia, debe haber

un entorno de red seguro para reducir o evitar ataques al servidor. Para
garantizar la seguridad del SQL Server, existen algunos factores, como la
cuenta de servicio, el protocolo de comunicación y la configuración del
firewall.

SQL Server es un proceso de servicio de Windows y la plataforma de

Windows lo ejecuta como un proceso de modo de usuario, luego necesita

4
una cuenta de Windows para iniciarlo y proporciona privilegios de seguridad.
La cuenta de servicio puede ser una cuenta de usuario o una cuenta de
sistema, la plataforma Windows Server 2008 R2 y, más adelante, la “Cuenta
de servicio virtual” que comienza con “NT Service \”. Tenga en cuenta que
SQL Server no necesita privilegios de seguridad del administrador, solo
necesita tener privilegios para enumerar directorios y acceder a los archivos
de registro de errores, archivos de datos y archivos de registro. Hay tres
cuentas integradas de Windows tales como “Sistema local”, “Servicio de red”
y “Servicio local”, que ninguno de ellos necesita contraseña

2.3 Usando la cuenta de servicio virtual

La cuenta de servicio virtual se introduce en Windows Server 2008 R2 y no

requiere administración de contraseñas. Se crea una vez que el servicio SQL
Server se instala correctamente y el administrador no tiene derecho a
eliminar o agregar ninguna cuenta de servicio virtual. El nombre de la cuenta
del servicio virtual se inicia con “NT Service \”.

2.4 Encriptando la sesión con SSL

SQL Server transfiere datos a través de la red con el protocolo Tabular Data
Stream (TDS), que es el formato estándar para que SQL Server se
comunique con la aplicación cliente. Los piratas informáticos pueden
detectar la red mediante la aplicación “WireShark” y explorar los datos
transferidos a través de la red. Para proteger los datos en la red, SQL Server
puede encriptar el protocolo TDS con protocolo SSL. Para habilitar el
protocolo SSL, SQL Server necesita un certificado auto firmado o un
certificado autorizado de los proveedores de certificados. Los
administradores pueden habilitar el protocolo SSL en SQL Server habilitando
la opción “Forzar cifrado” o mediante la opción “Encriptar” en la cadena de

5
conexión de la aplicación.

3. Configurar un servidor de seguridad para acceso a SQL Server

Para proteger el entorno SQL Server, los administradores usan Firewall para
controlar la conexión entrante y saliente, en el entorno SQL Server algunos
números de puerto deben configurarse correctamente para las conexiones
entrantes y salientes; de lo contrario, SQL Server no podrá acceder a las
aplicaciones cliente. Debajo de los puertos de SQL Server no se deben
bloquear en la configuración del Firewall.

 Puerto TCP 1433 (motor de base de datos)

 Puerto UDP 1434 (navegador)
 Puerto TCP 2383 (Analysis Services)
 Puerto TCP 4022 (Service Broker)

l siguiente código devuelve todos los puertos que SQL Server usa
actualmente en su entorno.

SELECT * FROM Sys.Endpoints WHERE Type = 4;

El explorador de SQL Server es un proceso de servicio de Windows para

proporcionar el número de puerto de la instancia con nombre de SQL Server

6
y administrar los números de puerto dinámico. Deshabilitar el Navegador
del Servidor SQL puede causar una falla en la conexión del usuario.
4. Cifrado de base de datos transparente

a característica Transparent Database Encryption (TDE) se presenta en SQL

Server 2008, la característica TDE encripta toda la base de datos con la
clave proporcionada y puede encriptar los datos y el archivo de registro al
mismo tiempo. TDE es totalmente transparente desde la perspectiva del
usuario y la aplicación. TDE puede admitir claves de cifrado como
“Tripple_DES”, “AES_128”, “AES_192” y “AES_256”. Solo las ediciones
“Enterprise”, “Developer” y “Data Center” de SQL Server tienen esta
característica única.

La detención de servicios no utilizados puede mejorar el rendimiento general

de SQL Server y reducir el riesgo de seguridad, y los administradores
pueden detener servicios no utilizados de SQL Server como “Integration
Services”, “Analysis Services” o “Reporting Services”. Y los administradores
pueden desactivar de forma segura los servicios a continuación,
especialmente cuando hay un servidor dedicado para el entorno de SQL
Server.

 Cliente DHCP
 Cliente DNS
 Conciencia de ubicación de red
 Cola de impresión
 Servicio de informe de errores de Windows
 Firewall de Windows (si hay un firewall de red)
 Detección de hardware de Shell

7
 5. FUNCIONES DE SEGURIDAD

• CERTENCODED (Transact-SQL): Devuelve la parte pública de un

certificado en formato binario. Esta función toma un identificador de
certificado y devuelve el certificado codificado. El resultado binario se puede
pasar a CREATE CERTIFICATE… WITH BINARY para crear un nuevo
certificado.

• PWDCOMPARE (Transact-SQL): Obtiene el valor hash de una

contraseña y lo compara con el de otra existente.

• CERTPRIVATEKEY (Transact-SQL) : Devuelve la clave privada de un

certificado en formato binario.

• PWDENCRYPT (Transact-SQL): Devuelve el valor hash de la

contraseña de SQL Server correspondiente al valor de entrada que usa la
versión actual del algoritmo de hash de contraseñas.

• CURRENT_USER (Transact-SQL): Devuelve el nombre de usuario

actual.

• SCHEMA_ID (Transact-SQL): Devuelve el identificador de esquema

asociado a un nombre de esquema.

• DATABASE_PRINCIPAL_ID (Transact-SQL): Devuelve el número de

Id. de una entidad de seguridad de la base de datos actual.

• SCHEMA_NAME (Transact-SQL): Devuelve el número de Id. de una

8
entidad de seguridad de la base de datos actual.

• sys.fn_builtin_permissions (Transact-SQL): Devuelve una

descripción de la jerarquía de permisos integrados del servidor.
• SESSION_USER (Transact-SQL): SESSION_USER devuelve el nombre
de usuario del contexto actual en la base de datos actual.

• sys.fn_get_audit_file (Transact-SQL): Devuelve información de un

archivo de auditoría creado por una auditoría de servidor en SQL Server
• SUSER_ID (Transact-SQL): Devuelve el número de identificación de
inicio de sesión del usuario

• sys.fn_my_permissions (Transact-SQL): Devuelve una lista de los

permisos concedidos a la entidad de seguridad para un elemento protegible.

• SUSER_SID (Transact-SQL): Devuelve el número de identificación de

seguridad (SID) que corresponde al nombre de inicio de sesión especificado.

• HAS_PERMS_BY_NAME (Transact-SQL): Evalúa el permiso efectivo

del usuario actual sobre un elemento protegible.

• SUSER_SNAME (Transact-SQL): Devuelve el nombre de inicio de

sesión asociado a un número de identificación de seguridad (SID).

• IS_MEMBER (Transact-SQL): Indica si el usuario actual es miembro

del grupo de Microsoft Windows o del rol de base de datos de SQL Server
especificados.

• SYSTEM_USER (Transact-SQL): Permite insertar en una tabla un valor

proporcionado por el sistema para el inicio de sesión actual cuando no se

9
especifica ningún valor predeterminado.

• IS_ROLEMEMBER (Transact-SQL): Indica si una entidad de seguridad

de base de datos especificada es miembro del rol de base de datos
especificado.

• SUSER_NAME (Transact-SQL): Devuelve el nombre de identificación

de inicio de sesión del usuario.

• IS_SRVROLEMEMBER (Transact-SQL): Indica si en el inicio de sesión

de SQL Server es miembro del rol de servidor especificado.

• USER_ID (Transact-SQL): Devuelve el número de identificación para

un usuario de la base de datos.

• ORIGINAL_LOGIN (Transact-SQL): Devuelve el nombre del inicio de

sesión que se conectó a la instancia de SQL Server

• USER_NAME (Transact-SQL): Devuelve un nombre de usuario de base

de datos a partir de un número de identificación especificado.
• PERMISSIONS (Transact-SQL): Devuelve un valor que contiene un
mapa de bits que indica los permisos del usuario actual sobre una
instrucción, objeto o columna.

10
 6. Cuentas de Usuario y privilegios sobre los objetos del Sistema

 Servicios de bases de datos de SQL Server : servicio de Motor de base de

datos relacional de SQL Server. El archivo ejecutable es
<MSSQLPATH>\MSSQL\Binn\sqlservr.exe.

 Agente SQL Server : ejecuta trabajos, supervisa SQL Server, activa alertas y
habilita la automatización de algunas tareas administrativas. El servicio del
Agente SQL Server está presente pero deshabilitado en las instancias de SQL
Server Express. El archivo ejecutable es
<MSSQLPATH>\MSSQL\Binn\sqlagent.exe.

 Analysis Services : proporciona funciones de procesamiento analítico en línea

(OLAP) y minería de datos para aplicaciones de Business Intelligence. El archivo
ejecutable es <MSSQLPATH>\OLAP\Bin\msmdsrv.exe.

 Reporting Services : administra, ejecuta, crea, programa y envía informes. El

archivo ejecutable es <MSSQLPATH>\Reporting
Services\ReportServer\Bin\ReportingServicesService.exe.

 Integration Services : proporciona compatibilidad de administración para el

almacenamiento y la ejecución de paquetes de Integration Services . La ruta de
acceso ejecutable es <MSSQLPATH>\130\DTS\Binn\MsDtsSrvr.exe.
 SQL Server Browser : servicio de resolución de nombres que proporciona
información de conexión de SQL Server a los equipos cliente. La ruta de acceso
ejecutable es c:\Archivos de programa (x86)\Microsoft SQL
Server\90\Shared\sqlbrowser.exe

11
 Búsqueda de texto completo : crea rápidamente índices de texto completo del
contenido y de las propiedades de los datos estructurados y semiestructurados
para permitir el filtrado de documentos y la separación de palabras en SQL
Server.

 Objeto de escritura de SQL : permite que las aplicaciones de copia de

seguridad y restauración funcionen en el marco del Servicio de instantáneas de
volumen (VSS).

 SQL Server Distributed Replay Controller : proporciona la orquestación de la

reproducción de seguimiento en varios equipos cliente de Distributed Replay.

 SQL Server Distributed Replay Client : uno o más equipos cliente de

Distributed Replay que funcionan con un Distributed Replay Controller para
simular cargas de trabajo simultáneas en una instancia de Motor de base de
datos de SQL Server.

 SQL Server Launchpad : servicio de confianza que hospeda archivos ejecutables

externos que proporciona Microsoft, como el runtime de R o Python instalado
como parte de R Services o Machine Learning Services. Los procesos satélite se
pueden iniciar mediante el proceso de Launchpad, pero los recursos se regirán
por la configuración de la instancia individual. El servicio Launchpad se ejecuta
en su propia cuenta de usuario, y cada proceso satélite de un tiempo de
ejecución registrado específico heredará la cuenta de usuario de Launchpad. Los
procesos satélite se crean y destruyen a petición durante el tiempo de ejecución.

LaunchPad no puede crear las cuentas que utiliza si instala SQL Server en un
equipo que también se utiliza como controlador de dominio. Por lo tanto, el
programa de instalación de R Services (en base de datos) o Machine Learning
Services (en base de datos) provoca un error en un controlador de dominio.

12
  Motor de SQL Server PolyBase: proporciona funciones de consulta distribuida
a orígenes de datos externos.

 Servicio de movimiento de datos de SQL Server PolyBase: permite mover

datos entre SQL Server y orígenes de datos externos, así como entre los nodos
SQL en los grupos de escalabilidad horizontal de PolyBase.

7. Tipos de cuentas para servicios SQL Server

Según las buenas prácticas es conveniente definir las cuentas que serán utilizadas por
los servicios de SQL Server con los menores niveles de derechos posibles.

Como recomienda Microsoft en su artículo “Configurar los permisos y las cuentas de

servicio de Windows,Utilice cuentas de tipo MSA o cuentas virtuales cuando sea
posible. Cuando MSA y cuentas virtuales no son posibles, utilice una cuenta de
usuario o de dominio con privilegios bajos en lugar de una cuenta compartida de
servicios de SQL Server. Utilice cuentas separadas para los diferentes servicios de SQL
Server. No conceder permisos adicionales a la cuenta de servicio de SQL Server o los
grupos de servicio. Los permisos se otorgan a través de la pertenencia a grupos u
otorgados directamente a un servicio SID, donde un servicio SID se encuentre
soportado.”

A continuación se detallan los distintos tipos de cuentas recomendados para los

servicios de SQL Server 2014 de acuerdo con :

Las cuentas MSA y cuentas virtuales

Cuando se utilizan cuentas de usuario o de dominio para ejecutar servicios nos

encontramos con el problema de la gestión de las contraseñas, dado que hay que
recordar cuando se vence la contraseña o en su defecto configurar la cuenta para que
la misma no se caduque, está última es una práctica bastante común pero no
recomendable, dado que si no se toman precauciones la cuenta podría sufrir un
ataque de adivinación por fuerza bruta para obtener la contraseña.

Para superar este problema podemos utilizar las cuentas MSA (Managed Service
Accounts) y las cuentas virtuales. Este tipo de cuentas introducidas por Microsoft en
Windows 7 y Windows Server 2008R2 permiten una gestión automática de las
contraseñas. Las cuentas MSA son cuentas de dominio mientras que las cuentas

13
virtuales son cuentas locales. La instalación por defecto del SQL Server 2014 genera
cuentas de tipo virtuales con la siguiente nomenclatura: NT SERVICE\<servicename>.

Otra alternativa para las cuentas de servicio podría ser utilizar cuentas de usuario
locales, cuentas de servicio locales, cuentas de servicio de red o la cuenta System
local.

“La cuenta de servicio administrado (MSA) está diseñada para proporcionar

aplicaciones como SQL Server o Exchange con:

 Gestión automática de contraseñas, que puede aislar mejor estos servicios de

otros servicios en el equipo.
 Gestión simplificada de nombre principal de servicio (SPN), que permite a los
administradores de servicios establecer SPN en estas cuentas. Además, la
administración de SPN puede delegarse a otros administradores.

“Las cuentas virtuales emulan la creación de muchas instancias únicas de la cuenta de

servicio de red, por lo que cada servicio se ejecuta con su propia instancia de servicio
de red que tiene el mismo nombre que el servicio. Estas instancias únicas de servicio
de red facilitan mucho la auditoría y el seguimiento.

Cuentas de usuario locales

Cuando el servidor donde se encuentra instalado el SQL Server no es parte de un

dominio se puede utilizar una cuenta de usuario local de Windows, dicha cuenta no
debe poseer permisos de administrador.

Cuenta de servicio local

Este tipo de cuenta viene integrada con el sistema operativo Windows y tiene el
mismo nivel de acceso a recursos y objetos que las cuentas pertenecientes al grupo
“Usuarios”.

Los servicios que se ejecutan como la cuenta de servicio local tienen acceso a recursos
de la red local con una sesión nula sin credenciales. Hay que tener en cuenta que la
cuenta de servicio local no es compatible con los servicios del Agente SQL Server o el
servicio de SQL Server. El nombre real de la cuenta es NT AUTHORITY \ SERVICIO
LOCAL.

Cuenta de servicio de red

14
La cuenta de servicio de red es una cuenta integrada de Windows que tiene acceso a
los recursos y objetos que no sean miembros del grupo “Usuarios”. El formato de la
cuenta es <nombreDominio> \ <equipo> $. El nombre real de la cuenta es NT
AUTHORITY \ NETWORK.

Cuenta System local

Esta cuenta viene integrada en Windows y tiene los privilegios más elevados dentro
del servidor.
El nombre real de la cuenta es NT AUTHORITY \ SYSTEM.

Cuenta Guest

En SQL Server existe la cuenta de usuario Guest, la cual se utiliza para permitir el
acceso a cualquier login del servidor que no esté mapeado a una de base de datos
específica. Y es por esto que al revocar el permiso de conexión para el usuario Guest
se asegurará que dicho inicio de sesión no sea capaz de acceder a la información de
la base de datos sin darle un acceso explícito.

Ejecutando el siguiente código se podrá verificar si la cuenta Guest tiene permiso de

connect sobre la base de datos:

USE [database_name];

GO

SELECT DB_NAME() AS DBName, dpr.name, dpe.permission_name FROM

sys.database_permissions dpe JOIN sys.database_principals dpr ON
dpe.grantee_principal_id=dpr.principal_id WHERE dpr.name='guest' AND
dpe.permission_name='CONNECT';

El permiso puede ser revocado ejecuntado la siguiente sentencia:

USE database_name

REVOKE CONNECT FROM GUEST

15
 8. INTEGRIDAD EN EL SMBD SELECCIONADO

Se refiere a la modificación de la información, para ello se debe identificar

muy bien los roles de los usuarios y así definir los niveles de acceso para
la manipulación de los datos.

NIVELES DE UN SMBD

Los SMBD pueden ser estudiados desde tres niveles distintos:

Nivel Físico:
Es el nivel real de los datos almacenados. Es decir, cómo se almacenan los
datos, ya sea en registros, o como sea. Este nivel es usado por muy pocas
personas que deben estar cualificadas para ello. Este nivel lleva asociada
una representación de los datos, que es lo que denominamos Esquema
físico.

Nivel Conceptual:
Es el correspondiente a una visión de la base de datos desde el punto de
visto del mundo real. Es decir, tratamos con la entidad u objeto
representado, sin importarnos como está representado o almacenado. Este
nivel lleva asociado el Esquema Conceptual.

Nivel Visión:
Son partes del esquema conceptual. El nivel conceptual presenta toda la
base de datos, mientras que los usuarios por lo general sólo tienen acceso
a pequeñas parcelas de ésta. El nivel visión es el encargado de dividir estas
parcelas. Un ejemplo sería el caso del empleado que no tiene por qué tener
acceso al sueldo de sus compañeros o de sus superiores. El esquema
asociado a éste nivel es el esquema de Visión.

16
8.1 FUNCIONES DE SEGURIDAD

Para hablar de seguridad en las tecnologías de la información, se deben

tener en cuenta TRES PILARES fundamentales sobre el manejo de los datos
y la prestación de los servicios, los cuales se pueden relacionar con la sigla
C.I.A.
 Confidentiality (Confidencialidad): Indica que la información solo es
revelada a usuarios autorizados en tiempos precisos, es decir SOLO
en horarios asignados.
 Integrity (Integridad): Se refiere a la modificación de la información,
para ello se debe identificar muy bien los roles de los usuarios y así
definir los niveles de acceso para la manipulación de los datos.
 Availability (Disponibilidad): Se refiere a la disponibilidad de la
información. Para este proceso, desde el área técnica, se deben
establecer medidas de seguridad, cuyo objetivo fundamental es
reducir cualquier riesgo asociado que se pueda presentar.

17
 9. ¿Qué es ser un hacker ético?

Desde hace varias décadas han aparecido nuevas modalidades de delitos

informáticos dentro de los que se encuentran los ataques por crackers
o hackers capaces de comprometer la seguridad de la información, bien
sea para sustraerla o para modificarla, causando estragos en diferentes
niveles. Debido a esto se hace imprescindible para cualquier tipo de
organización determinar si la seguridad implementada en sus sistemas
informáticos es suficiente para garantizar la protección de sus redes de
datos frente a accesos no autorizados.

9.1 Algunos conceptos

Crackers:
El término cracker o cráquer (literalmente traducido como rompedor, del
inglés to crack, que significa romper o quebrar) se utiliza para referirse a
las personas que rompen o vulneran algún sistema de seguridad1 de forma
ilícita. Los crackers pueden estar motivados por una multitud de razones,
incluyendo fines de lucro, protesta, o por el desafío.Mayormente, se
entiende que los crackers se dedican a la edición desautorizada de software
propietario. Sin embargo, debe entenderse que si bien los ejecutables
binarios son uno de los principales objetivos de estas personas, una
aplicación web o cualquier otro sistema informático representan otros tipos
de ataques que de igual forma pueden ser considerados actos de cracking.

Hackers:
El término hacker tiene diferentes significados. Según el diccionario de los
hackers, «es todo individuo que se dedica a programar de forma entusiasta,
o sea un experto entusiasta de cualquier tipo», que considera que poner la
información al alcance de todos constituye un extraordinario bien.

18
Ética hacker:
La ética hacker es un conjunto de principios morales y filosóficos surgidos,
y aplicados a la comunidades virtuales de hackers, aunque no son exclusivas
de este ámbito, ya que muchos de sus valores pueden aplicarse fuera del
ámbito de la informática y al acto de hackear.1 La expresión se suele atribuir
al periodista Steven Levy en su ensayo seminal Hackers: (Heroes of the
Computer Revolution), publicado en 1984, donde describe y enuncia con
detalle los principios morales que surgieron a finales de los años cincuenta
en el Instituto Tecnológico de Massachusetts (MIT) y, en general, en la
cultura de los aficionados a la informática de los años sesenta y setenta. Los
principios clave pueden resumirse en el acceso libre a la información y en
que la informática puede mejorar la calidad de vida de las personas

Ya teniendo estos conceptos más claros vamos a profundizar un poco.

9.2 Seis fundamentos de los hackers

1. El acceso a los computadores debe ser ilimitado y total;

2. Toda información debería ser libre;
3. Es necesario promover la descentralización y desconfiar de las
autoridades;
4. Los hackers deberían ser juzgados por su labor y no por cosas como
su raza, su edad, o su posición social;
5. Se puede crear arte y belleza en un computador;
6. Las computadoras pueden cambiar tu vida para mejor.

(Steven Levy, autor del libro 'Hackers: heroes of the computer revolution)
En 1984, Steven Levy publicó el libro titulado "Hackers: los héroes de la
revolución informática",20 (en inglés, Hackers: heroes of the computer

19
revolution) en donde se plantea por primera vez la idea de la ética hacker,
y donde se proclama y se promueve una ética de libre acceso a la
información y al código fuente del software.

9.3 la ética social del hacker se basa en tres principios:

1. La creencia de que compartir información es bueno.

2. Que los hackers tienen una responsabilidad ética de compartir la
información con la que trabajan.
3. Que los hackers deberían facilitar el acceso a computadoras cuando
sea posible

9.4 Clasificación de los hackers

Un término acuñado a mediados del año 2014 por un hacker de la

comunidad Underground, quien definió como "sobre el sombrero" a todos
los profesionales vinculados con las artes hacking. En un corto escrito,
explica como a través del tiempo deben comprender y aprender todas las
formas existentes de hackeo. Lo cual causa una doble moral, por un lado
existe la ética a la cual han sido fieles y por ello prestan servicios
profesionales a miles de empresas en el mundo asegurando su
infraestructura; por otro, conocer y usar métodos propios de los BlackHat
que incluyen ataques de denegación de servicio e ingeniería social agresiva
entre otros.

Hacker de sombrero blanco

Un hacker de sombrero blanco (del inglés, white hat), penetran la seguridad
del sistema, suelen trabajar para compañías en el área de seguridad
informática para proteger el sistema ante cualquier alerta.

20
Hacker de sombrero negro
Por el contrario, los hackers de sombrero negro (del inglés, black hat),
también conocidos como crackers muestran sus habilidades en informática
rompiendo sistemas de seguridad de computadoras, colapsando servidores,
entrando a zonas restringidas, infectando redes o apoderándose de ellas o
creando virus, entre otras muchas cosas utilizando sus destrezas en
métodos hacking. Rompen la seguridad informática, buscando la forma de
entrar a programas y obtener información o generar virus en el equipo o
cuenta ingresada.

Hacker de sombrero gris

Los hackers de sombrero gris (del inglés, grey hat) son aquellos que poseen
un conocimiento similar al hacker de sombrero negro y con este
conocimiento penetran sistemas y buscan problemas, cobrando luego por
su servicio para reparar daños.

Hacker de sombrero dorado

El hacker de sombrero dorado es aquel que usa la tecnología para violar un
sistema informático con el propósito de notificar la vulnerabilidad del
sistema al administrador. También rompe la seguridad informática no por
razones maliciosas si no por poner a prueba su propio sistema o de la
compañía donde trabaja, o simplemente para difundir un mensaje por la
red.

Otros usos
En los últimos años, los términos sombrero blanco y sombrero negro han
sido aplicados a la industria del posicionamiento en buscadores (search
engine optimization, SEO), originando la denominación black hat SEO. Las
tácticas de posicionamiento en buscadores de los hackers de sombrero

21
negro, también llamada spamdexing, intento de redireccionar los resultados
de la búsqueda a páginas de destino particular, son una moda que está en
contra de los términos de servicio de los motores de búsqueda, mientras
que los hackers de sombrero blanco, utilizan métodos que son generalmente
aprobados por los motores de búsqueda.

Hacktivista
Referido a un hacker que se dedica a ejercer o ejerce hacktivismo o
activismo informático

Phreaker
Procedente de phone freak (entusiasta de los teléfonos). Son personas con
conocimientos amplios tanto en teléfonos modulares como en teléfonos
móviles.
La meta de los phreakers es generalmente superar retos intelectuales de
complejidad creciente, relacionados con incidencias de seguridad o fallas en
los sistemas telefónicos, que les permitan obtener privilegios no accesibles
de forma legal.
El término phreak es una conjunción de las palabras phone (teléfono en
inglés), hack y freak (entusiasta, fenómeno, loco, chiflado o monstruo en
inglés, pero en este caso es más bien el primer significado). También se
refiere al uso de varias frecuencias de audio para manipular un sistema
telefónico, ya que la palabra inglesa phreak se pronuncia de forma similar a
frequency (frecuencia).

Lamer o script-kiddie
Es un término coloquial inglés aplicado a una persona falta de habilidades
técnicas, generalmente no competente en la materia, que pretende obtener
beneficio del hacking sin tener los conocimientos necesarios. Su alcance se
basa en buscar y descargar programas y herramientas de intrusión

22
informática, cibervandalismo, propagación de software malicioso para luego
ejecutarlo como simple usuario, sin preocuparse del funcionamiento interno
de estos ni de los sistemas sobre los que funcionan. En muchos casos
presume de conocimientos o habilidades que no posee.

Novato
La palabra es un anglicismo, que se traduciría como hacker novato. Es una
palabra usada en argot informático para referirse a alguien que acaba de
iniciarse en el hacking y tiene poca experiencia.

9.5 Características del Hacker ético

Los hackers éticos también son conocidos como Pen-Tester, ya que realizan
“Pruebas de Penetración”. Aunque en general utilizan las mismas técnicas
que los hackers tradicionales, su deber es reportar las fallas, más que el
aprovechamiento de eso.

Pen-Tester:
Una prueba de penetración, o "pentest", es un ataque a un sistema
informático con la intención de encontrar las debilidades de seguridad y todo
lo que podría tener acceso a ella, su funcionalidad y dato.

23
9.6 Etapas en un proceso de hacking malicioso

Generalmente un proceso de hacking malicioso cuenta con cinco pasos

esenciales:

Durante la etapa de Reconocimiento, se debe poseer información sobre

el objetivo y se utiliza un reconocimiento pasivo con herramientas como
Google hacking, ingeniería Social y Monitorización de redes de datos

En la etapa de Escaneo se rastrea la red con los datos previamente

obtenidos, y se detectan puntos de entrada, a través del Reconocimiento
activo con herramientas para detectar hosts accesibles, puertos abiertos,
ubicación de routers y detalles de sistemas operativos y servicios.

En la tercera etapa se obtiene Acceso, es decir que se realiza el ataque

y se realizan las acciones objetivo, tales como obtención de datos,
manipulación de recursos, denegación de servicios, etc.

24
En la cuarta etapa el hacker debe Mantener el acceso, es decir, tratar
de retener los privilegios obtenidos, en ocasiones se debe proteger el
sistema contra otros posibles hacker, asegurando sus puertas traseras,
rootKits y Troyanos.

En la quinta etapa se debe realizar un Borrado de huellas, ya que se

intenta no ser descubierto. Dependiendo de la técnica utilizada y previendo
un posible análisis forense.

9.7 Tipos de Ethical hacking

Dependiendo de los objetivos a alcanzar se pueden clasificar las pruebas

de penetración en las siguientes:

• Prueba con objetivo: se buscan las vulnerabilidades en partes

específicas
de los sistemas que se consideran críticos para la organización.

25
• Prueba sin objetivo: consisten en examinar la totalidad de los
componentes de los sistemas, lo cual conduce a labores más exhaustivas
y dispendiosas.

• Prueba a ciegas: en este tipo de pruebas sólo se dispone de la

información
pública de la organización.

*Prueba interna: para simular ataques realizados por personal de

la organización se utiliza información privada, otorgada por la organización
acerca de sus sistemas informáticos, también permite
validar políticas de seguridad.

• Prueba externa: se realizan para evaluar los mecanismos perimetrales

de seguridad informática, se accede desde lugares externos
a las instalaciones de la organización.

Adicionalmente se puede determinar su realización con el conocimiento o

no del personal informático, lo que se denomina:

• Red Teaming, cuando es una prueba que solo es conocida por un

grupo limitado de personas, haciendo que sus resultados sean
más confiables.

• Blue Teaming, se realizan con el conocimiento del personal de

sistemas, para evitar que los posibles incidentes generen pánico o
fallas en la continuidad del servicio.

26
 10. En Colombia, en los últimos años se han presentado
situaciones muy renombradas relacionadas con el Hacking.
¿Qué opina al respecto?

Oroboruo:
Oroboruo’, el paisa de los más de 3.000 ataques a dominios del gobierno
A sus 27 años, ‘Oroboruo’, nombre en el mundo cibernético de la persona
que atacó la página web de la Registraduría previo a las votaciones del
plebiscito, vulneró en 3.196 oportunidades a 1.374 dominios, muchos de
ellos del gobierno, a los que les inyectaba códigos maliciosos y también los
desconfiguraba.

Mario Simbaqueba Bonilla:

A comienzos del 2000, el bogotano Mario Simbaqueba Bonilla, quien residía

en Estados Unidos, creó un sistema para capturar la información de

27
computadores de centros financieros.
El hacker logró obtener datos de tarjetas de crédito de las personas que
realizaban transacciones bancarias desde esos equipos y así estafó a más
de 600 personas de ese país.
Con el dinero recaudado logró darse la gran vida por diferentes países del
mundo.

Luego de que su sistema lograra dar decenas de golpes fraudulentos, se

sintió atraído con la posibilidad de atacar al Pentágono, debido a que obtuvo
información gracias a que una persona del departamento de defensa ingresó
a uno de sus computadores infectados, proporcionando datos que facilitaban
la labor de Simbaqueba.
El experto en sistemas tuvo la oportunidad, contó en Los Informantes, de
sacar del Pentágono más de 100 millones de dólares, pero no lo hizo. El
ataque, que le permitió conocer información secreta de Estados Unidos, duró
48 horas hasta que fue bloqueado.
Aunque Simbaqueba pensaba que su sistema era irreconocible, el
Pentágono logró identificarlo y le puso, a través de una mujer, una trampa
para lograr su captura

Andrés Sepúlveda:

El caso de Andrés Sepúlveda es el más emblemático de un hacker en

Colombia

El joven protagonizó un escándalo que sacudió las elecciones presidenciales

en 2014, que tenían en la disputa de la segunda vuelta a Juan Manuel Santos
y Óscar Iván Zuluaga, cuando fue allanada su oficina para desenmascarar
al hacker que tenía entre sus pertenencias documentos de inteligencia sobre

28
el proceso de paz con las Farc.

Además, sorprendió que Sepúlveda para el momento de su captura se

desempeñaba como contratista de la campaña de Óscar Iván Zuluaga, para
quien laboraba en seguridad cibernética y redes sociales.

En las investigaciones se conoció que el hacker años atrás había trabajado

en las campañas de Álvaro Uribe (2005-2006) y Juan Manuel Santos (2010),
de la mano del polémico asesor venezolano J. J. Rendón.

Jaime Alejandro Solano:

“El ladrón de las millas de los famosos”

Imitando voces de mujeres que supuestamente trabajaban para una

aerolínea, Jaime Alejandro Solano, un neivano de 23 años, lograba los
primeros datos para luego dar el golpe en la red con el que conseguía robar
cientos de millas.
Entre las víctimas de Solano figuran famosos como Juanes, Silvestre
Dangond, Iván Villazón, Sofía Vergara, Luly Bosa, Kathy Sáenz, Carolina
Cruz, Laura Acuña, Silvia Corzo y Claudia Gurisatti.

El segundo paso en el modus operandi del cibercriminal era el phishing,

estrategia que los delincuentes utilizan páginas falsas con logos de una
entidad. En este caso, el joven tomó posesión de la web de LifeMiles y envió
a los correos de las víctimas la solicitud de actualización de datos. (Además:
El ciberdelincuente que viajó por el mundo con millas de los famosos)

29
'R4lph_is_here', el joven de 17 años que atacó la Procuraduría

En plena época de destitución del exalcalde Bogotá, Gustavo Petro, el hacker

'R4lph_is_here' atacó la página de la Procuraduría para montar una imagen
que decía: ‘Petro no se va’.
El hacker era un joven barranquillero de 17 años, que en su prontuario de
delitos cibernéticos, de acuerdo con investigaciones de las autoridades,
logró entre el 2011 y 2015 violar la seguridad de 170 páginas del gobierno.

R4lph_is_here’ hacía parte de la organización Colombian Hackers y desde

los 14 años comenzó a relacionarse con estos temas.
Aunque el joven se creía indetectables y borraba las huellas que dejaba en
el ciberespacio para evitar ser detectado, la Dijín lo ubicó en su casa en
Barranquilla.

¿Qué opina al respecto?

Según estos reportes a pesar de tener un alto conocimiento informático,

estas personas serian catalogadas como” Crackers”, utilizaban técnicas para
su beneficio personal.

30
 11. ¿Qué es SQL-Injection?

Inyección SQL es un método de infiltración de código intruso que se vale de

una vulnerabilidad informática presente en una aplicación en el nivel de
validación de las entradas para realizar operaciones sobre una base de
datos.

Este tipo de intrusión normalmente es de carácter malicioso, dañino o espía,

por tanto es un problema de seguridad informática, y debe ser tomado en
cuenta por el programador de la aplicación para poder prevenirlo. Un
programa elaborado con descuido, displicencia o con ignorancia del
problema, podrá resultar ser vulnerable, y la seguridad del sistema (base
de datos) podrá quedar eventualmente comprometida.

La intrusión ocurre durante la ejecución del programa vulnerable, ya sea,

en computadores de escritorio o bien en sitios Web, en este último caso
obviamente ejecutándose en el servidor que los aloja.

La vulnerabilidad se puede producir automáticamente cuando un programa

"arma descuidadamente" una sentencia SQL en tiempo de ejecución, o bien
durante la fase de desarrollo, cuando el programador explicita la sentencia
SQL a ejecutar en forma desprotegida. En cualquier caso, siempre que el
programador necesite y haga uso de parámetros a ingresar por parte del
usuario, a efectos de consultar una base de datos; ya que, justamente,
dentro de los parámetros es donde se puede incorporar el código SQL
intruso.

Al ejecutarse la consulta en la base de datos, el código SQL inyectado

31
también se ejecutará y podría hacer un sinnúmero de cosas, como insertar
registros, modificar o eliminar datos, autorizar accesos e, incluso, ejecutar
otro tipo de código malicioso en el computador.

11.1 Ejemplos:

asumiendo que el siguiente código reside en una aplicación web y que existe
un parámetro "nombreUsuario" que contiene el nombre de usuario a
consultar, una inyección SQL se podría provocar de la siguiente forma:

El código SQL original y vulnerable es:

Si el operador escribe un nombre, por ejemplo "Alicia", nada anormal

sucederá, la aplicación generaría una sentencia SQL similar a la siguiente,
que es perfectamente correcta, en donde se seleccionarían todos los
registros con el nombre "Alicia" en la base de datos:

Pero si un operador malintencionado escribe como nombre de usuario a

consultar:

se generaría la siguiente consulta SQL, (el color verde es lo que pretende el

programador, el azul es el dato, y el rojo, el código SQL inyectado):

En la base de datos se ejecutaría la consulta en el orden dado, se

seleccionarían todos los registros con el nombre 'Alicia', se borraría la tabla
'usuarios' y finalmente se seleccionaría toda la tabla "datos", que no debería

32
estar disponible para los usuarios web comunes.

En resumen, cualquier dato de la base de datos puede quedar disponible

para ser leído o modificado por un usuario malintencionado.

Nótese por qué se llama "Inyección" SQL. Si se observa el código malicioso,

de color rojo, se notará que está insertado en el medio del código bueno, el
verde. Así, el código rojo ha sido "inyectado" dentro del verde.

Otro Ejemplo

Podemos observar que esta consulta está formada por el condicional OR que
devolverá verdadero al cumplirse al menos una de las dos expresiones por
lo que siempre será verdadero ya que 1 = 1, cuando esto se ejecuta la base
de datos arroja el total de registros en la tabla aunque el nombre de usuario
y contraseña sean incorrectos puesto que la condición OR 1=1 siempre se
cumple.

33
11.2 Herramientas para SQL Injection

Se pueden realizar pruebas de SQL Injection y automatizar todo el proceso

para detectar y aprovechar las vulnerabilidades con una herramienta
llamada SQLMap, esta herramienta es recomendada por OWASP (Open Web
Application Security Project o Proyecto Abierto de Seguridad en Aplicaciones
Web) que es una comunidad enfocada a optimizar la seguridad informática,
que desarrolla documentación, metodologías, herramientas de libre acceso
en cuanto a seguridad de aplicaciones web, todos sus materiales se
encuentran disponibles bajo licencia de software libre y abierta.

1. SQLIer
2. SQLbftools
3. SQL Injection Brute-forcer
4. SQLBrute
5. BobCat
6. SQLMap
7. Absinthe
8. SQL Injection Pen-testing Tool
9. SQID
10. Blind SQL Injection Perl Tool
11. SQL Power Injector
12. FJ-Injector Framwork
13. SQLNinja
14. Automagic SQL Injector
15. NGSS SQL Injector

SQLIer:
toma una URL vulnerable e intenta obtener toda la información necesaria
para explotar la vulnerabilidad de inyección SQL por si mismo, no

34
requiriendo ninguna intervención del usuario

SQLbftools:
consta de una colección de herramientas para obtener información de...
MySQL disponible utilizando un ataque de inyección SQL ciega (blind SQL
Injection)

SQL Injection Brute-forcer – SQLibf:

es una herramienta para automatizar el proceso de detectar y explotar
vulnerabilidades de inyección SQL. SQLibf puede trabajar en inyección ciega
y visible. Funciona ejecutando operaciones SQL lógicas para determinar el
nivel de exposición de la aplicación vulnerable.

SQLBrute:
es una herramienta para extraer datos de las bases de dato mediante
ataques de fuerza bruta usando vulnerabilidades de inyección SQL ciega.
Soporta exploits basados en tiempo y en error en un servidor Microsoft SQL.,
y exploits basados en errores para Oracle. SQLBrute está escrito en Python,
utiliza multi-proceso y no requiere librerías no-estándar.

BobCat:
es una herramienta que permite ayudar a un auditor a tomar completa
ventaja de las vulnerabilidades de inyección SQL. Está basado en
AppSecInc. Puede listar los servidores enlazados, esquemas (schema) de
bases de datos y permite obtener datos de cualquier tabla a la cual la
aplicación tenga acceso.

35
SQLMap:
es una herramienta de inyección SQL ciega automática, desarrollada en
Python, es capaz de generar una huella digital activa del sistema de
administración de bases de datos y mucho más.

Absinthe:
es una herramienta basada en interfaz gráfica que automatiza el proceso
de descargar el esquema y los contenidos de una base de datos que es
vulnerabile a inyección SQL ciega.

SQL Injection Pen-testing Tool:

es una utilidad basada en interfaz gráfica diseñada para examinar bases de

datos através de vulnerabilidades en las aplicaciones Web.

SQID - SQL Injection digger (SQLID):

es un programa de línea de comandos que busca inyección SQL y errores
comunes en sitios web.

SQL Power Injection Injector:

ayuda a un auditor a inyectar comandos SQL en una página web. Su fuerza
principal radica en la capacidad de automatizar inyecciones SQL tediosas
utilizando para ellos múltiples procesos.

FJ-Injector Framework:
es un framework opensource diseñado para ayudar a encontrar
vulnerabilidades SQL en aplicacion web. Incluye características de Proxy
para interceptar y modificar solicitudes HTTP y una interfaz para realizar
explotación SQL automática

36
SQLNinja:
es una herramienta para explotar vulnerabilidades de inyección SQL en
aplicaciones web que utilizan Microsoft SQL Server como su motor de base
de datos.

Automagic SQL Injector:

es una herramienta de inyección SQL automatizada que fue diseñada para
ahorrar tiempo en los tests de intrusión y solamente funciona con agujeros
de Microsoft SQL que devuelven errores.

NGSS SQL Injector:

explota vulnerabilidades de inyección SQL en distintos servidores para
obtener acceso a la data almacenada. Actualmente soporta las siguientes
bases de datos: Access, DB2, Informix, MSSQL, MySQL, Oracle, Sysbase.

12. GLOSARIO

Amenaza: Una amenaza informática es toda circunstancia, evento o

persona que tiene el potencial de causar daño a un sistema en forma
de robo, destrucción, divulgación, modificación de datos o negación de
servicio (DoS).

Cracker: Un cracker es alguien que viola la seguridad de un sistema

informático de forma similar a como lo haría un hacker, sólo que a diferencia
de este último, el cracker realiza la intrusión con fines de beneficio personal
o para hacer daño a su objetivo.

Exploits o Programas intrusos: Los programas intrusos son técnicas

que aprovechan las vulnerabilidades del software y que pueden utilizarse

37
para evadir la seguridad o atacar un equipo en la red.

Google Hacking: Es una técnica en informática que utiliza operadores

para filtrar información en el buscador de Google. Además podemos
encontrar otras aplicaciones de agujeros de seguridad en la configuración
y el código informático que se utilizan en las páginas web.

Hacker: Neologismo utilizado para referirse a un experto (Gurú) en varias

o alguna rama técnica relacionada con las tecnologías de la información y
las telecomunicaciones: programación, redes, sistemas operativos.

Ingeniería Social: Método utilizado por los atacantes para engañar a

los usuarios informáticos, para que realicen una acción que normalmente
producirá consecuencias negativas, como la descarga de malware o
la divulgación de información personal. Los ataques de phishing con
frecuencia aprovechan las tácticas de ingeniería social.

Pharming: Método de ataque que tiene como objetivo redirigir el tráfico

de un sitio Web a otro sitio falso, generalmente diseñado para imitar el
sitio legítimo.

Phishing: El software de seguridad de bloqueo de comportamiento

se integra al sistema operativo de un equipo anfitrión y supervisa el
comportamiento de los programas en tiempo real en busca de acciones
maliciosas.

Pen-Tester: Una prueba de penetración, o "pentest", es un ataque a un

sistema informático con la intención de encontrar las debilidades de
seguridad y todo lo que podría tener acceso a ella, su funcionalidad y dato.

38
 13. BIBLIOGRAFIAS

 https://www.sothis.tech/seguridad-en-microsoft-sql-server/

 https://docs.microsoft.com/es-es/sql/database-engine/configure-windows/configure-
windows-service-accounts-and-permissions?view=sql-server-ver15

 https://blog.powerdata.es/el-valor-de-la-gestion-de-datos/la-
importancia-de-la-seguridad-e-integridad-en-base-de-datos
 https://es.wikipedia.org/wiki/%C3%89tica_hacker

 https://www.eltiempo.com/justicia/cortes/delitos-de-hackers-en-
colombia-52232

 https://es.wikipedia.org/wiki/Inyecci%C3%B3n_SQL

 https://openwebinars.net/blog/que-es-sql-injection/

 https://www.hackplayers.com/2008/08/herramientas-sql-
injection.html

 https://senaintro.blackboard.com/webapps/blackboard/content/listC
ontent.jsp?course_id=_2075898_1&content_id=_113786255_1

39