1. Adquisición de datos:
* Agregadores de datos de violación: Servicios como Have I Been PWNED (HIBP) y las bases de datos similares basadas en suscripción recopilan datos de infracciones de datos divulgadas públicamente. Indexan las direcciones de nombre de usuario/correo electrónico y, a veces, contraseñas asociadas.
* registros internos: Si es una empresa, es posible que tenga registros internos de intentos de inicio de sesión fallidos, solicitudes de restablecimiento de contraseña o anomalías que sugieran cuentas comprometidas.
* Monitoreo web oscuro: Los servicios especializados rastrean la web oscura para menciones de su dominio, nombres de empresas o credenciales de usuario que se comercializan o discuten.
* escaneos de vulnerabilidad: Las herramientas de seguridad que verifican vulnerabilidades y configuraciones incorrectas a veces pueden revelar credenciales expuestas en archivos de configuración, repositorios de código o bases de datos.
2. Procesamiento de datos y desduplicación:
* Limpie los datos: Los volcados de violación a menudo contienen duplicados, formateo incorrecto y datos irrelevantes. Eliminar caracteres extraños, normalizar los formatos de datos (por ejemplo, direcciones de correo electrónico) y garantizar la consistencia de los datos.
* desduplicación: Elimine las entradas duplicadas en múltiples fuentes de incumplimiento para evitar cuidados excesivos. Esto puede ser desafiante ya que los datos pueden ser sutilmente diferentes (por ejemplo, variaciones en la capitalización del correo electrónico). Use técnicas como coincidencia difusa o enlace de registro.
* Hashing and Salting: Si las contraseñas en las violaciones están en texto plano, las hash inmediatamente y sales usando un algoritmo fuerte (por ejemplo, BCrypt, Argon2, Scrypt). ¡Nunca almacene contraseñas en texto plano! Si las contraseñas ya están hash, preserve los hashes existentes para comparar más adelante.
3. Credenciales coincidentes:
* Compare con la base de datos de usuario existente: Haga coincidir con los nombres de usuario/direcciones de correo electrónico comprometidas de los datos de incumplimiento con su base de datos de usuarios existente. Este es el paso crítico para identificar las cuentas afectadas.
* Comparación de contraseña (directa o hash):
* Contraseñas de texto sin formato (desde la violación):
* Nunca almacene sus contraseñas de usuario actuales en texto plano. Si lo hace, es un gran riesgo de seguridad.
* Hash y Salt Las contraseñas de texto sin formato de la violación utilizando el algoritmo y la sal de * mismo * utilizados para su base de datos de usuario.
* Compare el hash resultante con los hash de sus contraseñas de usuario actuales. Una coincidencia indica una cuenta comprometida (el usuario usó la misma contraseña).
* contraseñas de hash (desde la violación):
* Si su base de datos de usuario usa el algoritmo de hash * mismo * que la violación (poco probable pero posible), puede comparar directamente los hashes. Una coincidencia significa una cuenta comprometida.
*Si los algoritmos de hash difieren, *no puede comparar directamente los hash *. El hashing es una función unidireccional. Deberá confiar en otros indicadores (nombre de usuario/coincidencia de correo electrónico) y alentar a los usuarios a cambiar sus contraseñas.
* Nombre de usuario/correo electrónico solo (sin contraseña): Incluso si una violación solo contiene nombres de usuario o direcciones de correo electrónico, considere esas cuentas potencialmente comprometidas. Aliente a los usuarios a cambiar sus contraseñas, especialmente si podrían estar usando la misma contraseña en otro lugar.
4. Tallying e informes:
* Cuentas comprometidas con cuenta: Según el proceso de coincidencia, cuente el número de cuentas identificadas como que tienen contraseñas comprometidas.
* Categorizar por severidad: Es posible que desee clasificar las cuentas comprometidas en función de la sensibilidad de los datos a los que acceden. Por ejemplo:
* Alto:cuentas con privilegios administrativos o acceso a datos financieros confidenciales.
* Medio:cuentas con acceso a información personal o datos comerciales confidenciales.
* Bajo:Cuentas con acceso limitado o información pública.
* Resultados del informe: Genere un informe que resume el número de cuentas comprometidas, los niveles de gravedad y cualquier tendencia observada. Este informe debe compartirse con las partes interesadas relevantes (por ejemplo, equipo de seguridad, departamento de TI, gestión).
* Seguimiento histórico: Mantenga un registro de la contraseña pasada Encuentre titulares para rastrear las tendencias en la postura de seguridad y la efectividad de los esfuerzos de mitigación.
5. Remediación y mitigación:
* Políticas de restablecimiento de contraseña: Hacer cumplir la contraseña restablece para cuentas comprometidas. Idealmente, forzar un restablecimiento de contraseña en el siguiente intento de inicio de sesión.
* Autenticación multifactor (MFA): Implemente MFA para todas las cuentas, especialmente aquellas con privilegios elevados. MFA reduce significativamente el riesgo de adquisición de la cuenta, incluso si una contraseña se ve comprometida.
* Requisitos de complejidad de contraseña: Haga cumplir los requisitos de complejidad de la contraseña segura (longitud, tipos de caracteres). Considere usar la puntuación de entropía de contraseña para medir la fuerza de la contraseña.
* Contraseña en la lista negra: Implemente una lista negra de contraseña para evitar que los usuarios elijan contraseñas comunes o fácilmente adivinadas. Además, considere contraseñas de lista negra que se encuentran en violaciones conocidas.
* Monitoreo y alertas de contraseña: Controle continuamente las credenciales violadas y los usuarios de alerta si sus cuentas se encuentran en una violación. Varios servicios comerciales ofrecen este tipo de monitoreo.
* Educación del usuario: Educar a los usuarios sobre las mejores prácticas de seguridad de contraseña, incluida la importancia de usar contraseñas fuertes y únicas, evitar la reutilización de contraseñas y habilitar MFA.
* Auditorías de seguridad regulares: Realice auditorías de seguridad regulares y evaluaciones de vulnerabilidad para identificar y abordar posibles debilidades de seguridad.
Consideraciones importantes:
* Privacidad: Tenga mucho cuidado al manejar datos confidenciales como contraseñas. Cumplir con todas las regulaciones de privacidad relevantes (por ejemplo, GDPR, CCPA). Implemente controles de acceso apropiados y medidas de seguridad para proteger los datos.
* Legal: Consulte con el asesor legal para garantizar el cumplimiento de todas las leyes y regulaciones aplicables con respecto a la notificación y remediación de la violación de datos.
* Falsos positivos/negativos: El proceso de coincidencia no es perfecto. Puede haber falsos positivos (cuentas identificadas incorrectamente como comprometidas) y falsos negativos (cuentas comprometidas perdidas). Investigue partidos sospechosos y refine sus procesos.
* sal: Siempre use sales únicas cuando hashas contraseñas. Si usa la misma sal para todas las contraseñas, un atacante puede precomputar una tabla de arco iris y romper varias contraseñas rápidamente.
* Algoritmo de hash: Elija un algoritmo de hashing fuerte y actualizado como Bcrypt, Argon2 o Scrypt. Evite algoritmos más antiguos como MD5 o SHA-1, que se consideran inseguros.
* Automatización: Automatice la mayor parte del proceso posible utilizando lenguajes de secuencias de comandos (por ejemplo, Python) y herramientas de seguridad. La automatización mejora la eficiencia y reduce el riesgo de error humano.
Escenario de ejemplo (simplificado):
1. Adquirir datos de violación: Descargue un volcado de violación de datos de una fuente de buena reputación.
2. limpio y desduplicado: Elimine entradas duplicadas y formatear direcciones de correo electrónico de manera consistente.
3. Match Usernames: Compare las direcciones de correo electrónico en los datos de violación con las direcciones de correo electrónico de los usuarios en su base de datos de usuarios. Digamos que 100 direcciones de correo electrónico coinciden.
4. hash y comparar contraseñas: Los datos de violación contienen contraseñas de texto sin formato. Hash y Salt Estas contraseñas utilizando el mismo algoritmo y sal que usa para su base de datos de usuario. Compare los hashes resultantes con las contraseñas de hash en su base de datos de usuario. Digamos que 30 de las 100 cuentas emparejadas tienen la misma contraseña hash.
5. Tally: Tiene 30 cuentas comprometidas confirmadas (contraseñas coincidentes). También tiene 70 cuentas potencialmente comprometidas (nombres de usuario/correos electrónicos coincidentes, pero no se pueden confirmar contraseñas).
6. Remediación: Force la contraseña de restablecimiento para las 100 cuentas y aliente a los usuarios a habilitar MFA.
Siguiendo estos pasos, puede considerar efectivamente la contraseña, evaluar el impacto en su organización y tomar las medidas apropiadas para mitigar los riesgos. Recuerde que este es un proceso continuo que requiere vigilancia y un enfoque proactivo para la seguridad.