CONCEPTOS BÁSICOS 2ª PARTE
36
Vulnerabilidad
Una debilidad que podría activarse accidentalmente o explotarse intencionalmente para causar una violación de seguridad.
37
Amenaza
Una posibilidad para que una entidad explote una vulnerabilidad (es decir, viole la seguridad).
38
intencional
Un actor de amenazas con un propósito malicioso.
39
involuntario
Un actor de amenaza que causa una vulnerabilidad o expone un vector de ataque sin intención maliciosa.
40
Riesgo
Probabilidad e impacto (o consecuencia) de que un actor de amenazas ejerza una vulnerabilidad.
41
Interno/externo
El grado de acceso que posee un actor amenazante antes de iniciar un ataque. Un actor amenazante externo no tiene privilegios permanentes, mientras que a un actor interno se le han concedido algunos permisos de acceso.
42
actor de amenaza
Una persona o entidad responsable de un evento que ha sido identificado como un incidente de seguridad o como un riesgo.
43
Nivel de sofisticación/capacidad
Se refiere a la capacidad de un actor de amenazas para utilizar técnicas y herramientas de explotación avanzadas.
44
recursos/financiamiento
La capacidad de los actores de amenazas de recurrir a fondos para adquirir personal, herramientas y desarrollar nuevos tipos de ataques.
45
Interrupción del servicio
Un tipo de ataque que compromete la disponibilidad de un activo o proceso comercial.
46
Exfiltración de datos
El proceso mediante el cual un atacante toma datos almacenados dentro de una red privada y los mueve a una red externa.
47
Desinformación
Un tipo de ataque que falsifica un recurso de información en el que normalmente confían otros.
48
Chantaje
Exigir pago para evitar la divulgación de información.
49
Extorsión
Exigir pago para prevenir o detener algún tipo de ataque.
50
Fraude
Falsificar registros, como un fraude interno que implica manipular cuentas.
51
Pirata informático
Los hackers éticos, que a menudo se utilizan para referirse a alguien que irrumpe en los sistemas informáticos o propaga virus, prefieren considerarse expertos y exploradores de los sistemas de seguridad informática.
52
no autorizado
Un hacker que opera con intenciones maliciosas.
53
autorizado
Un hacker que realiza pruebas de penetración autorizadas u otra consultoría de seguridad.
54
atacante no calificado
Un atacante inexperto y sin habilidades que generalmente utiliza herramientas o scripts creados por otros.
55
Hacktivistas
Un actor de amenaza que está motivado por un problema social o una causa política.
56
Actores del Estado-nación
Un tipo de actor de amenaza que cuenta con el apoyo de los recursos de los servicios militares y de seguridad de su país anfitrión.
57
Delincuencia organizada
Un tipo de actor de amenazas que utiliza la piratería y el fraude informático para obtener beneficios comerciales.
58
amenaza interna
Un tipo de actor de amenazas a quien se le asignan privilegios en el sistema que provocan un incidente intencional o no intencional.
59
Amenaza interna no intencional o inadvertida
Un actor de amenaza que causa una vulnerabilidad o expone un vector de ataque sin intención maliciosa.
60
TI en la sombra
Hardware, software o servicios de computadora utilizados en una red privada sin autorización del propietario del sistema.
61
vector de amenaza
La ruta que utiliza un actor de amenazas para ejecutar una exfiltración de datos, una interrupción del servicio o un ataque de desinformación. Los actores de amenazas sofisticados harán uso de múltiples vectores. Es probable que planifiquen una campaña de varias etapas, en lugar de un único ataque de tipo "aplastante y de robo". Los actores de amenazas altamente capacitados podrán desarrollar vectores novedosos. Esto significa que el conocimiento que tienen los actores de amenazas de la superficie de ataque de su organización puede ser mejor que el suyo.
62
Software vulnerable
Debilidad que podría activarse accidentalmente o explotarse intencionalmente para causar una violación de seguridad.
63
Sistemas no compatibles
Fase del ciclo de vida del producto en la que el soporte del proveedor principal ya no está disponible.
64
red no segura
Configuración que expone una gran superficie de ataque, por ejemplo, a través de puertos de servicio abiertos innecesarios, autenticación débil o nula, uso de credenciales predeterminadas o falta de comunicaciones/cifrado seguros.
65
señuelo
Un tipo de ataque que incitará a la víctima a usar o abrir un dispositivo extraíble, un documento, una imagen o un programa que oculta malware.
66
cadena de suministro
El proceso de principio a fin de suministro, fabricación, distribución y, finalmente, entrega de bienes y servicios a un cliente.
67
Ingeniería social
Utilizar la persuasión, la manipulación o la intimidación para hacer que la víctima viole una política de seguridad. El objetivo de la ingeniería social puede ser obtener acceso a una cuenta, a instalaciones físicas o recopilar información.
68
Interpretación
Ataque de ingeniería social en el que un atacante se hace pasar por alguien que no es.
69
pretextando
Táctica de ingeniería social en la que un equipo comunicará, ya sea directa o indirectamente, una mentira o media verdad para hacer que alguien crea una falsedad.
70
Suplantación de identidad (phishing)
Un tipo de ataque de ingeniería social basado en correo electrónico, en el que el atacante envía un correo electrónico desde una fuente supuestamente confiable, como un banco, para intentar obtener información privada de la víctima.
71
Vishing
Un ataque basado en humanos en el que el atacante extrae información mientras habla por teléfono o aprovecha servicios de mensajería de voz basados en IP (VoIP).
72
SMiShin
Una forma de phishing que utiliza mensajes de texto SMS para engañar a la víctima para que revele información.
73
Pharming
Un ataque de suplantación de identidad en el que una solicitud de un sitio web, normalmente un sitio de comercio electrónico, se redirige a un sitio web de apariencia similar, pero falso.
74
Errores tipográficos
Un ataque en el que un atacante registra un nombre de dominio con un error ortográfico común de un dominio existente, de modo que un usuario que escribe mal una URL que ingresa en un navegador es llevado al sitio web del atacante.
75
Compromiso de correo electrónico empresarial
Un ataque de suplantación de identidad en el que el atacante obtiene el control de la cuenta de un empleado y la utiliza para convencer a otros empleados de realizar acciones fraudulentas.
76
Ataque de abrevadero
Un ataque en el que un atacante ataca a grupos u organizaciones específicos, descubre qué sitios web frecuentan e inyecta código malicioso en esos sitios.
36
Vulnerability
A weakness that could be triggered accidentally or exploited intentionally to cause a security breach.
37
Threat
A potential for an entity to exploit a vulnerability (that is, to breach security).
38
intentional
A threat actor with a malicious purpose.
39
unintentional
A threat actor that causes a vulnerability or exposes an attack vector without malicious intent.
40
Risk
Likelihood and impact (or consequence) of a threat actor exercising a vulnerability.
41
Internal/external
The degree of access that a threat actor possesses before initiating an attack. An external threat actor has no standing privileges, while an internal actor has been granted some access permissions.
42
threat actor
A person or entity responsible for an event that has been identified as a security incident or as a risk.
43
Level of sophistication/capability
Refers to a threat actor's ability to use advanced exploit techniques and tools
44
resources/funding
The ability of threat actors to draw upon funding to acquire personnel, tools, and to develop novel attack types.
45
Service disruption
A type of attack that compromises the availability of an asset or business process.
46
Data exfiltration
The process by which an attacker takes data that is stored inside of a private network and moves it to an external network.
47
Disinformation
A type of attack that falsifies an information resource that is normally trusted by others.
48
Blackmail
Demanding payment to prevent the release of information.
49
Extortion
Demanding payment to prevent or halt some type of attack.
50
Fraud
Falsifying records, such as an internal fraud that involves tampering with accounts.
51
Hacker
Often used to refer to someone who breaks into computer systems or spreads viruses, ethical hackers prefer to think of themselves as experts on and explorers of computer security systems.
52
unauthorized
A hacker operating with malicious intent.
53
authorized
A hacker engaged in authorized penetration testing or other security consultancy.
54
unskilled attacker
An inexperienced, unskilled attacker that typically uses tools or scripts created by others.
55
Hacktivists
A threat actor that is motivated by a social issue or political cause.
56
Nation-state actors
A type of threat actor that is supported by the resources of its host country's military and security services.
57
Organized crime
A type of threat actor that uses hacking and computer fraud for commercial gain.
58
internal threat
A type of threat actor who is assigned privileges on the system that cause an intentional or unintentional incident.
59
Unintentional or inadvertent insider threat
A threat actor that causes a vulnerability or exposes an attack vector without malicious intent.
60
shadow IT
Computer hardware, software, or services used on a private network without authorization from the system owner.
61
threat vector
The path that a threat actor uses to execute a data exfiltration, service disruption, or disinformation attack. Sophisticated threat actors will make use of multiple vectors. They are likely to plan a multistage campaign, rather than a single "smash and grab" type of raid. Highly capable threat actors will be able to develop novel vectors. This means that the threat actor's knowledge of your organization's attack surface may be better than your own.
62
Vulnerable software
Weakness that could be triggered accidentally or exploited intentionally to cause a security breach.
63
Unsupported systems
Product life cycle phase where mainstream vendor support is no longer available.
64
unsecure network
Configuration that exposes a large attack surface, such as through unnecessary open service ports, weak or no authentication, use of default credentials, or lack of secure communications/encryption.
65
lure
An attack type that will entice a victim into using or opening a removable device, document, image, or program that conceals malware.
66
supply chain
The end-to-end process of supplying, manufacturing, distributing, and finally releasing goods and services to a customer.
67
Social engineering
Using persuasion, manipulation, or intimidation to make the victim violate a security policy. The goal of social engineering might be to gain access to an account, gain access to physical premises, or gather information.
68
Impersonation
Social engineering attack where an attacker pretends to be someone they are not.
69
pretexting
Social engineering tactic where a team will communicate, whether directly or indirectly, a lie or half-truth in order to get someone to believe a falsehood.
70
Phishing
A type of email-based social engineering attack, in which the attacker sends email from a supposedly reputable source, such as a bank, to try to elicit private information from the victim.
71
Vishing
A human-based attack where the attacker extracts information while speaking over the phone or leveraging IP-based voice messaging services (VoIP).
72
SMiShin
A form of phishing that uses SMS text messages to trick a victim into revealing information.
73
pharming
An impersonation attack in which a request for a website, typically an e-commerce site, is redirected to a similar-looking, but fake, website.
74
Typosquatting
An attack in which an attacker registers a domain name with a common misspelling of an existing domain, so that a user who misspells a URL they enter into a browser is taken to the attacker's website.
75
business email compromise
An impersonation attack in which the attacker gains control of an employee's account and uses it to convince other employees to perform fraudulent actions.
76
watering hole attack
An attack in which an attacker targets specific groups or organizations, discovers which websites they frequent, and injects malicious code into those sites.