WordCamp Taller Seguridad WordPress – [PDF Document]

  • Taller de Seguridad bsica en WordPress #WCSevilla16 @OWASP_Sevilla
  • # WHOAMI Ramn Salado @ramon_salado Juan Jos Domenech @juanjodomenech #WCSevilla16 @OWASP_Sevilla
  • # OWASP Organizacin sin nimo de lucro a nivel mundial, dedicada a mejorar la seguridad de las aplicaciones web Cualquiera puede participar en OWASP, todos sus proyectos y documentacin estn disponibles gratuitamente #WCSevilla16 @OWASP_Sevilla
  • # OWASP SEVILLA Organizamos un evento mensual abierto a todo el que quiera participar Proyectos: Divulgacin sobre Seguridad y Traduccin GUA DE TESTING 4 #WCSevilla16 @OWASP_Sevilla
  • # OWASP, PRINCIPALES PROYECTOS #WCSevilla16 @OWASP_Sevilla https://www.owasp.org/index.php/File:Reverse_Engineering_Arsenals.pnghttp://www.securitydistro.com/https://www.owasp.org/images/4/4a/Banner_OWASP_Training_page.gif
  • # SEGURIDAD #WCSevilla16 @OWASP_Sevilla Equipos seguros Comunicaciones Seguras (wifi, vpn, ) Contraseas robustas (doble factor, cambios peridicos, ) Precauciones BYOD y teletrabajo Es WordPress inseguro? Qu lo hace inseguro?
  • # SEGURIDAD WordPress INFRAESTRUCTURA DE RED CONFIGURACIN SERVIDOR INSTALACIN WORDPRESS HARDENING WORDPRESS #WCSevilla16 @OWASP_Sevilla
  • # SEGURIDAD WordPress Infraestructura de red Compartido? VPS? Dedicado? Con o sin soporte? Cifrado de discos SSH y SFTP siempre! Backups ltimas versiones! (Apache/NGINX, PHP, MySQL, …) Logs y analizadores de trfico #WCSevilla16 @OWASP_Sevilla
  • # SEGURIDAD WordPress Configuracin del Servidor Utilizar directivas Allow y Deny para restringir accesos al servidor Deshabilitar listado de directorios y mdulos innecesarios Permisos de los directorios mnimos WAF: Mod_Security Fortificar PHP y MySQL HTTP 1.1 / 2.0 y HTTPS #WCSevilla16 @OWASP_Sevilla $ sudo apt-get install libapache2-mod-security $ sudo a2enmod mod-security $ sudo /etc/init.d/apache2 force-reload
  • # SEGURIDAD WordPress Instalacin de WordPress No utilizar usuario admin Fortificar contrasea No utilizar prefijos de tablas wp_ Cuidado con robots.txt, readme.html Personaliza todo! Permisos No abusar de plugins #WCSevilla16 @OWASP_Sevilla
  • # SEGURIDAD WordPress Hardening WordPress Core, themes y plugins actualizados Roles adecuados para cada uso Cambiar id del usuario 1 Alias distinto del nombre de usuario Ocultar wp-admin, wp-login, … Control de comentarios No utilizar plugins de dudosa procedencia #WCSevilla16 @OWASP_Sevilla
  • # SEGURIDAD WordPress Hardening WordPress, con Plugins #WCSevilla16 @OWASP_Sevilla
  • # SEGURIDAD WordPress Hardening WordPress, con Plugins #WCSevilla16 @OWASP_Sevilla
  • # SEGURIDAD WordPress Hardening WordPress Configuracin default muy completa Incluye varios niveles preconfigurados Verifica core, themes y plugins con WordPress Cortafuegos para bloquear amenazas Limita intentos de login y uso de blacklist Visin en tiempo real de todo el trfico #WCSevilla16 @OWASP_Sevilla
  • # SEGURIDAD WordPress Hardening WordPress WAF por plugin Gran motor de filtrado Proteccin XSS, SQLi, Protege API XML-RPC #WCSevilla16 @OWASP_Sevilla
  • # SEGURIDAD WordPress Hardening WordPress Security Check Cambiar la ruta de /wp-admin Verifica los permisos de las carpetas WordPress Tweaks #WCSevilla16 @OWASP_Sevilla
  • # SEGURIDAD WordPress Hardening WordPress Escaneo en busca de malware en nuestra web Reforzar la seguridad de tu sitio Web CloudProxy ($)
  • # SEGURIDAD WordPress Hardening WordPress Doble factor de autenticacin Bloquear acceso para inactividad Alertas de intentos de acceso #WCSevilla16 @OWASP_Sevilla
  • # SEGURIDAD WordPress Hardening WordPress Posibilidad de automatizar backups Archivos + Base de Datos Aloja en servicios externos (drive, dropbox, ) Archivos zip con password #WCSevilla16 @OWASP_Sevilla
  • # SEGURIDAD WordPress Hardening WordPress, Otros #WCSevilla16 @OWASP_Sevilla https://www.google.es/url?sa=i&rct=j&q=&esrc=s&source=images&cd=&cad=rja&uact=8&ved=0ahUKEwiTtO_z2KzPAhWHiRoKHeSMAm4QjRwIBw&url=https://es.wordpress.org/plugins/wangguard/&psig=AFQjCNFpnNdaSN1L_sApcfzBSnR5_V7cbQ&ust=1474967670699208
  • # AUDITANDO WordPress Wpscan. Instalacin Listar vulnerabilidades y enumeracin de usuarios Ataque fuerza bruta Algunos ejemplos de la Guia Testing (ghdb, robots, xss, ) #WCSevilla16 @OWASP_Sevilla
  • #MALWARE #WCSevilla16 @OWASP_Sevilla eval, base64, …
  • Taller de Seguridad bsica en WordPress #WCSevilla16 @OWASP_Sevilla GRACIAS

    • Publicaciones Similares