Las DIez Leyes Inmutables de la Seguridad

Una de las tareas mas importantes del administrador  del sistema es que todo funcione de forma segura, Scout Culp, de Microsoft Security Response Center, en el articulo " The ten inmutable laws of security " indica las leyes que hay que tener en cuenta para mantener la seguridad de un sistema.

1. Si alguien puede convencerle de que ejecute un programa en su equipo dejara de ser su equipo. con frecuencia, los atacantes intentar animar al usuario a instalar software en nombre de este, muchos virus y caballos de Troya funcionan de esta forma,. por ejemplo, el virus ILOVEYOU tuvo éxito por que los usuarios impacientes ejecutaron a secuencia de comandos cuando llegaba en un mensaje de correo electrónico. Otra variante son las aplicaciones de espionaje. una vez instaladas, las aplicaciones de espionaje supervisan las actividades de un usuario y muestran los resultados al atacante.
2. Si alguien puede modificar el sistema operativo , dejara de ser su equipo. si un atacante puede remplasar o modificar cualquiera de los ficheros  sistema operativo o determinados componentes hadware de sistema, ya no podra confiar en su equipo. por ejemplo un atacante puede remplazar el fichero passtfilt.dll que se utiliza para reforzar la complejidad de las contraseñas con una version del fichero que tambien registre todas las contraseñas utilizadas en el sistema. si el sistema operativo si se ha comprometido, ya no debe confiar en el sistema.
3. Si alguien tiene acceso fisico sin restricciones a su equipo, dejara de ser su equipo.  cuando un atacante tenga acceso fisico a un equipo, poco podra hacer por evitar que el atacante optenga privilegios admnistrativos, practicamente todos los datos almacenados de forma persistente se veran afectados , de igual forma un atacante con acceso fisico podra instalar hardaway software para supervisar y registrar pulsaciones de forma trasparente al usuario. en caso de que un equipo se vea fisicamente comprometido no confié en el.
4. Si permite que alguien cargue programas en su sitio web, dejará de ser su sitio web. Un atacante que pueda ejecutar aplicaciones o modificar código en el sitio web podrá apropiarse de él. Un corolario de esta ley es que si un sitio web solicita datos al usuario, los atacantes pueden intentar introducir datos incorrectos. Por ejemplo, si tiene un formulario que solicite un número entre 1 y 100. Mientras que los usuarios normales escribirán números en el intervalo de datos especificado, un atacante intentará utilizar cualquier dato que considere que “rompe” con la aplicación de servidor (algunos de estos ataques son XSS o SQL inyectado).
5. Las contraseñas débiles anulan una seguridad fuerte. Aunque un diseño de red sea seguro, si los usuarios y administradores utilizan contraseñas en blanco, predeterminadas o sencillas, la seguridad será del todo ineficaz si un atacante consigue descifrar la contraseña o consigue realizar un ataque de fuerza bruta.      
6. Una máquina es tan segura como digno de confianza sea el administrador. Una constante en todas las redes es que se debe confiar en los administradores de red. Cuantos más privilegios administrativos tenga un administrador, más confianza habrá que tener en éste. Es decir, si no confía en alguien, no le conceda privilegios administrativos.
7.  Los datos de cifrado son tan seguros como las claves de descifrado. Ningún algoritmo de cifrado protegerá el texto cifrado de cualquier ataque en caso de que éste posea o pueda conseguir la clave de descifrado. 
8. Un programa antivirus no actualizado es poco más seguro que no disponer del mismo. Siempre aparecen nuevos virus informáticos, gusanos y caballos de Troya, y los ya existentes evolucionan. Por tanto, el software antivirus puede quedarse desfasado rápidamente. A medida que surjan nuevos o modificaciones de lo existentes, se deberá actualizar el antivirus.
9.  El anonimato absoluto no es práctico en la vida real ni en la web. Dos aspectos relacionados con la seguridad que a menudo se suelen confundir son la privacidad y el anonimato. El anonimato significa que la identidad y los detalles sobre un usuario son completamente desconocidos e imposibles de rastrear, mientras que la privacidad significa que la identidad y los detalles sobre la misma no se revelan. La privacidad es esencial, y la tecnología y las leyes posibilitan conseguirlo. Por otra parte, el anonimato no es posible ni práctico cuando el usuario está en Internet, o cuando se utilizan equipos en general. 
10. La tecnología no es una panacea. Aunque la tecnología puede asegurar los equipos y las redes informáticas, no es una solución (ni lo será nunca) por sí misma. Por ejemplo, si tenemos un router y no lo configuramos correctamente éste no valdrá para nada.

Fuente