20160222EXTRACTO DE GLOSARIO DE TERMINOS Y ACRÓNIMOS CURSOS STIC1 GLOSARIO DE TERMINOSAcreditación CCN-STIC-301 v2.0 Requisitos STIC. Autorización otorgada por la Autoridad

responsable de la acreditación, para manejar información nacional clasificada hasta un grado determinado, o en unas determinadas condiciones de integridad o disponibilidad, con arreglo a su concepto de operación.

Advanced Persistant Threat. (Amenazas Persistentes Avanzadas APT,s)

STIC 401 GLOSARIO 2.47.1 AMENAZAS AVANZADAS PERSISTENTES (APT )La definición ampliamente aceptada de amenaza persistente avanzada es que se trata de un ataque selectivo de ciberespionaje o cibersabotaje llevado a cabo bajo el auspicio o la dirección de un país, por razones que van más allá de las meramente financieras/delictivas o de protesta política. No todos los ataques de este tipo son muy avanzados y sofisticados, del mismo modo que no todos los ataques selectivos complejos y bien estructurados son una amenaza persistente avanzada. La motivación del adversario, y no tanto el nivel de sofisticación o el impacto, es el principal diferenciador de un ataque APT de otro llevado a cabo por ciberdelincuentes o hacktivistas.McAfee. Predicciones de amenazas para 2011.

Adware "add software" (software publicitario)

STIC 401 GLOSARIO 2.18 ADWARE 2.18.1 SOFTWARE PUBLICITARIO Aplicaciones que durante su funcionamiento despliegan publicidad en ventanas emergentes o barras de herramientas a cambio de la gratuidad en su utilización. La publicidad normalmente permite visitar la página web del anunciante, por lo que requiere conexión a Internet para funcionar. Se diferencian de los programas gratuitos (freeware) en que incorporan publicidad. La mayoría de los programas publicitarios son confiables, pero en ocasiones algunos de ellos son utilizados con fines poco éticos llegando a comportarse como auténticos programas espías. Sirviendo a las empresas patrocinadoras de los mismos para controlar movimientos de los usuarios. http://www.alerta-antivirus.es/seguridad/ver_pag.html?tema=S

Amenaza CCN-STIC-301 v2.0 Requisitos STIC. Evento que puede desencadenar un incidente en la Organización, produciendo daños materiales o pérdidas inmateriales en sus activos.

API (Application Programming Interface. Interfaz de programación de aplicaciones).

Es el conjunto de subrutinas, funciones y procedimientos o métodos que ofrece cierta biblioteca para ser utilizado por otro software como una capa de abstracción. Representa la capacidad de comunicación entre componentes de software.http://es.wikipedia.org/wiki/Interfaz_ de_ progración_ de _ aplicaciones

Autoridad de Acreditación

CCN-STIC-301 v2.0 Requisitos STIC. Autoridad responsable de la definición y aplicación de la Política STIC.

Autoridad de Certificación Criptológica

CCN-STIC-301 v2.0 Requisitos STIC. Autoridad responsable de la evaluación y certificación de productos y sistemas (de tecnologías de la información y comunicaciones) que incorporen mecanismos criptológicos.

Autoridad de Certificación TEMPEST

CCN-STIC-301 v2.0 Requisitos STIC. Autoridad responsable de la evaluación y certificación de equipos e instalaciones que deban cumplir requisitos TEMPEST.

Autoridad Delegada de Acreditación

CCN-STIC-301 v2.0 Requisitos STIC. Autoridad responsable en su ámbito, de la aplicación de la Política STIC y de las competencias que delegue la AA.

Autoridad Operativa del Sistema de las Tecnologías de la Información y las Comunicaciones (AOSTIC)

CCN-STIC-301 v2.0 Requisitos STIC. Autoridad designada por el propietario del Sistema, responsable del desarrollo, la operación y mantenimiento del Sistema durante su ciclo de vida; de sus especificaciones, de su instalación y de la verificación de su correcto funcionamiento.

Botnet “robot network"(red de robot o zombies)

STIC 401 GLOSARIO 2.151.1 BOTNET Red de equipos infectados por un atacante remoto. Los equipos quedan a su merced cuando desee lanzar un ataque masivo, tal como envío de spam o denegación [distribuida] de servicio.

Bug (bicho) STIC 401 GLOSARIO 2.152.1 BUG. Error generalmente de diseño de un programa o producto que es descubierto después de ser lanzado al mercado.

BYOD "Bring Your Own Device" (Trae tu propio equipo)

CCN-CERT IA_09-15 Informe de Amenazas. BYOD . Modelo de trabajo en el que se permite a los usuarios utilizar sus propios equipos personales.CCN-CERT IA-21/13 Riesgos y Amenazas del BYOD (Bring Your Own Device) permite a los empleados a través de sus dispositivos móviles personales acceder a los servicios corporativos (correo principalmente).

C&C "Command and Control" (mando y control)

CCN-CERT IA_09-15 Informe de Amenazas. C&C (Command and Control). Servidores de Mando y Control para el manejo remoto de equipos infectados con código dañino.

Certificación de la Seguridad

CCN-STIC-301 v2.0 Requisitos STIC. Determinación positiva de que un producto o Sistema tiene capacidad para proteger la información según un nivel de seguridad, y de acuerdo a unos criterios establecidos en el procedimiento o metodología de evaluación correspondiente.

Ciberamenaza STIC 401 GLOSARIO 2.202.1 CIBERAMENAZA. Amenaza a los sistemas y servicios presentes en el ciberespacio o alcanzables a través de éste.

Ciberataque STIC 401 GLOSARIO 2.203.1 CIBERATAQUE. Acción producida en el ciberespacio que compromete la disponibilidad, integridad y confidencialidad de la información mediante el acceso no autorizado, la modificación, degradación o destrucción de los sistemas de información y telecomunicaciones o las infraestructuras que los soportan. O.M. 10/2013, de 19 de febrero, por la que se crea el Mando Conjunto de Ciberdefensa de las Fuerzas Armadas.2.203.2 CIBERATAQUE. Uso del ciberespacio para atacar a los sistemas y servicios presentes en el mismo o alcanzables a través suyo. El atacante busca acceder sin autorización a información, o alterar o impedir el funcionamiento de los servicios.

Ciberconflicto o ciberguerra

STIC 401 GLOSARIO 2.204 CIBERCONFLICTO 2.204.1 CIBERGUERRA. Lucha armada (en este caso las armas son las TIC) entre dos o más naciones o entre bandos de una misma nación, en la que se utiliza el Ciberespacio como campo de batalla. [ISDEFE-6:2009]

Ciberdefensa STIC 401 GLOSARIO 2.205.1 CIBERDEFENSA. Concepto que engloba todas las actividades ofensivas y defensivas en las que se utilizan como medio aquellos relacionados con las infraestructuras TIC (Ej. Redes de ordenadores, ordenadores, programas informáticos, etc.), y cuyo “campo de batalla” es el Ciberespacio. Las actividades de desarrollo de la ciberdefensa van encaminadas hacia la capacitación de los gobiernos y naciones en la denominada “Ciberguerra”. [ISDEFE-6:2009]

Cibervándalos CCN-CERT IA_09-15 Informe de Amenazas. Se vienen denominando cibervándalos a aquellos individuos que, poseyendo significativos conocimientos técnicos, llevan a cabo sus acciones con el único motivo de demostrar públicamente que son capaces de hacerlo.

Click fraud (fraude del clic)

O fraude del «clic» es un tipo de fraude que se produce al marcar (clic) sobre una publicidad en una página web que imita a un usuario legítimo.

Concepto de Operación CCN-STIC-301 v2.0 Requisitos STIC. Declaración expresa que realiza la AOSTIC sobre el objeto o función del Sistema, el tipo de información que va a ser manejada, las condiciones de explotación (perfil de seguridad de los usuarios, clasificación de la información, modo de operación, etc.) y las amenazas a las que estará sometido.

Conexión CCN-STIC-301 v2.0 Requisitos STIC. Se produce una conexión, cuando se proveen los medios físicos y lógicos de transmisión adecuados (por ejemplo enlace satélite, fibra óptica, etc.) susceptibles de ser empleados para el intercambio de información entre Sistemas.

Confidencialidad CCN-STIC-301 v2.0 Requisitos STIC. Aseguramiento de que la información es

accesible sólo para aquellos autorizados a tener acceso.Cookies (Galletas) STIC 401 GLOSARIO 2.320.1 COOKIE. Pequeña cantidad de información que se le

manda al navegador del cliente y que permite que éste quede identificado en conexiones sucesivas.

Cross-Site Request Forgery (CSRF) Falsificación de solicitudes entre distintos sitios.

STIC 401 GLOSARIO 2.358.1 FALSIFICACIÓN DE SOLICITUDES ENTRE DISTINTOS SITIOS (CSRF) Estado de vulnerabilidad que se crea por métodos de codificación poco seguros, y que permiten que se ejecuten acciones no deseadas mediante una sesión que ha sido autenticada. Suele utilizarse junto con XSS o inyección SQL.http://es.pcisecuritystandards.org

Cross-Site Scripting (XSS) (Secuencias de comandos en sitios cruzados)

STIC 401 GLOSARIO 2.353.2 XSS Secuencias de comandos en sitios cruzados (Cross-site Scripting) es una brecha de seguridad que se produce en páginas Web generadas dinámicamente. En un ataque por XSS, una aplicación Web se envía con un script que se activa cuando lo lee el navegador de un usuario o una aplicación vulnerable. Dado que los sitios dinámicos dependen de la interacción del usuario, es posible ingresar un script malicioso en la página, ocultándolo entre solicitudes legítimas. Los puntos de entrada comunes incluyen buscadores, foros, blogs y todo tipo de formularios en línea en general. Una vez iniciado el XSS, el atacante puede cambiar configuraciones de usuarios, secuestrar cuentas, envenenar cookies, exponer conexiones SSL, acceder sitios restringidos y hasta instalar publicidad en el sitio víctima.http://www.inteco.es/glossary/Formacion/Glosario/2.353.3 XSS (CROSS-SITE SCRIPTING) Es una brecha de seguridad que se produce en páginas Web generadas dinámicamente. En un ataque por XSS, una aplicación Web se envía con un "script" que se activa cuando lo lee el navegador de un usuario o una aplicación vulnerable. Dado que los sitios dinámicos dependen de la interacción del usuario, es posible ingresar un "script" malicioso en la página, ocultándolo entre solicitudes legítimas. Los puntos de entrada comunes incluyen buscadores, foros, "blogs" y todo tipo de formularios "online" en general. Una vez iniciado el XSS, el atacante puede cambiar con-figuraciones de usuarios, secuestrar cuentas, envenenar "cookies", exponer conexiones SSL, acceder sitios restringidos y hasta instalar publicidad en el sitio víctima. http://www.alerta-antivirus.es/seguridad/ver_pag.html?tema=S2.353.4 VULNERABILIDAD CROSS-SITE-SCRIPTING.Esta falla permite a un atacante introducir en el campo de un formulario o código embebido en una página, un "script" (perl, php, javascript, asp) que tanto al almacenarse como al mostrarse en el navegador, puede provocar la ejecución de un código no deseado. http://www.vsantivirus.com/vul-webcamxp.htm

Declaración de Requisitos de Seguridad

CCN-STIC-301 v2.0 Requisitos STIC. Es el documento base para la acreditación. Consiste en la exposición completa y detallada de los principios de seguridad que deben observarse y de los requisitos de seguridad que se han de implantar conforme al correspondiente análisis de riesgos realizado previamente.

Defacement o Deface (desfiguración o desfigurar)

STIC 401 GLOSARIO 2.377 DEFACEMENT 2.377.1 DESFIGURAR. Ataque sobre un servidor web como consecuencia del cual se cambia su apariencia. El cambio de imagen puede ser a beneficio del atacante, o por mera propaganda (a beneficio del atacante o para causar una situación embarazosa al propietario de las páginas).CCN-CERT IA_09-15 Informe de Amenazas. Deface o Defacement (desfigurar o desfiguración) deformación o cambio producido de manera intencionada en una página web legítima a través de algún tipo de acceso de código malicioso.

Denial of Service (DoS). (Denegación de Servicio) Distributed Denial of

STIC 401 GLOSARIO 2.381.1 DENEGACIÓN DE SERVICIO.Se entiende como denegación de servicio, en términos de seguridad informática, a un conjunto de técnicas que tienen por objetivo dejar un servidor inoperativo. Mediante este tipo

Service (DDoS) (Denegación de Servicio Distribuida)

de ataques se busca sobrecargar un servidor y de esta forma no permitir que sus legítimos usuarios puedan utilizar los servicios por prestados por él. El ataque consiste en, saturar con peticiones de servicio al servidor, hasta que éste no puede atenderlas, provocando su colapso.Un método más sofisticado es el Ataque de Denegación de Servicio Distribuido (DDoS), mediante el cual las peticiones son enviadas, de forma coordinada entre varios equipos, que pueden estar siendo utilizados para este fin sin el conocimiento de sus legítimos dueños. Esto puede ser así mediante el uso de programas malware que permitan la toma de control del equipo de forma remota, como puede ser en los casos de ciertos tipos de gusano o bien porque el atacante se ha encargado de entrar directamente en el equipo de la víctima. http://www.inteco.es/glossary/Formacion/Glosario/ 2.382.1 DENEGACIÓN DE SERVICIO DISTRIBUIDA. Ataque de denegación de servicio que se realiza utilizando múltiples puntos de ataque simultáneamente.2.382.2 DENEGACIÓN DE SERVICIO DISTRIBUIDA.Ataque DoS en el que participan gran cantidad de máquinas atacantes. [CCN-STIC-612:2006]

DES Data Encryption Standard

STIC 401 GLOSARIO 2.398.1 DES - DATA ENCRYPTION STANDARD. Algoritmo de cifra basado en un secreto compartido (clave). Cifra el texto en bloques de 64 bits. Utiliza claves de 56 bits.2.398.2 DES.Algoritmo normalizado por EE UU para el cifrado de informaciones sensibles no clasificadas. Su nombre se corresponde con las siglas de Data Encryption Standard. Es un cifrado simétrico de bloque, que cifra bloques de texto en claro de 64 bits. La clave es de 64 bits (en realidad 56 bits, pues 8 de los anteriores son de paridad) y utiliza permutaciones, operaciones o-exclusivo y sustituciones. Una de éstas, expresada en la caja S, es no lineal y a ella debe el DES su fortaleza.El DES está también normalizado por ISO (ISO 8731-1) para su uso como función resumen en el sector bancario con el nombre de Data Encryption Algorithm, usualmente conocido como DEA. [Ribagorda:1997]

Disponibilidad CCN-STIC-301 v2.0 Requisitos STIC. Aseguramiento de que los usuarios autorizados tienen acceso cuando lo requieran a la información y sus activos asociados.

Dispositivo Digital Personal

CCN-STIC-301 v2.0 Requisitos STIC. Cualquier elemento electrónico no contemplado en el anexo A, con la capacidad para almacenar y procesar información. Normalmente disponen de SO propio y periféricos. En principio se consideran en esta clasificación las agendas electrónicas, las PDA,s, y aquellos teléfonos móviles con capacidad para almacenar y procesar información.

DNS "Domain Name System" (Sistema de Nombre de Dominio)

CCN-CERT IA_09-15 Informe de Amenazas. Es un sistema que nombra a todos los equipos, servicios o recursos conectados otorgándoles una dirección.

Drive by downloads STIC 401 GLOSARIO 2.421 DRIVE-BY EXPLOITS 2.421.1 DRIVE-BY. Drive-by download, también conocido como Drive-by Exploit, se refiere a un malware que se instala en tu computadora con el sólo hecho de visitar páginas en Internet que están infectadas por este tipo de amenaza. No se requiere una interacción alguna, este malware se encuentra en el mismo código HTML ( HyperText Markup Language. Lenguaje de marcas de hipertexto utilizado en la elaboración de páginas web) de las páginas infectadas y el sólo hecho de cargarlas en tu navegador de Internet hace que se contamine tu computadora.http://aprenderinternet.about.com/od/Glosario/

Esteganálisis STIC 401 GLOSARIO 2.463.1 ESTEGANÁLISIS.Detección y revelación de información oculta por medio de técnicas

esteganográficas.Esteganografía STIC 401 GLOSARIO 2.464.2 ESTEGANOGRAFÍA. Disciplina que estudia los métodos

de encubrir mensajes. A diferencia de la criptografía, que trata de ocultar la información contenida en un mensaje, la esteganografía pretende encubrir el propio mensaje. Ejemplos de métodos esteganográficos lo constituyen la escritura con tintas simpáticas (es decir, invisibles salvo tratamiento adecuado), con micropuntos, con dos fuentes de letras muy similares, etc.[Ribagorda:1997]2.464.1 CIFRA ENCUBIERTA O MENSAJE DISIMULADO O ESTEGANOGRAFÍA Procedimientos encaminados a ocultar la existencia de un mensaje (tintas invisibles, micropunto, disimulación de archivos...). [CESID:1997]

Evaluación de la Seguridad

CCN-STIC-301 v2.0 Requisitos STIC. Proceso de comprobación de que un producto o Sistema satisface las características de seguridad que proclama tener. Dicho proceso consiste en el examen detallado con el fin de encontrar una posible vulnerabilidad y confirmar el nivel de seguridad establecido. El examen se realiza de acuerdo a un procedimiento o metodología determinado y siguiendo unos criterios de evaluación perfectamente definidos y establecidos.

Exploit (abusar,explotar, aprovecharse). Exploit zero day (día cero)

STIC 401 GLOSARIO 2.478.1 EXPLOIT Un tipo de software, un fragmento de datos, o una secuencia de comandos que aprovecha un fallo o una vulnerabilidad en el sistema de un usuario para provocar un comportamiento no deseado o imprevisto. Las acciones que se suelen realizar la violenta toma de control de un sistema, una escalada de privilegios o un ataque de denegación de servicio. http://www.inteco.es/glossary/Formacion/Glosario/2.478.2 EXPLOIT Código malicioso escrito con vistas a utilizar un error del sistema y poder así tomar control de la máquina. [CCN-STIC-435:2006]CCN-CERT IA_09-15 Informe de Amenazas. Como es sabido, un exploit es un programa que explota o aprovecha una vulnerabilidad de un sistema informático en beneficio propio. Por su parte, los llamados exploits de día-cero (zero-day) son aquellos que todavía no se han publicado y, por tanto, no disponen de soluciones de seguridad que eviten la vulnerabilidad.2.408.2 DÍA CERO Aprovechamiento de una vulnerabilidad inmediatamente después de haber sido descubierta. Se beneficia del lapso de tiempo requerido por los fabricantes para reparar las vulnerabilidades reportadas.2.382.1 DENEGACIÓN DE SERVICIO DISTRIBUIDA. Ataque de denegación de servicio.

Firewall ( Cortafuegos) STIC 401 GLOSARIO 2.324.1 FIREWALL Tecnología de hardware y/o software que protege los recursos de red contra el acceso no autorizado. Un firewall autoriza o bloquea el tráfico de computadoras entre redes con diferentes niveles de seguridad basándose en un conjunto de reglas y otros criterios. http://es.pcisecuritystandards.org2.324.2 FIREWALL Hardware o software cuya misión es la de proteger una red de otra. Normalmente una red local de Internet. [CCN-STIC-671:2006]2.324.3 CORTAFUEGOS Dispositivo de red físico o lógico que se utiliza para permitir, denegar o analizar las comunicaciones entre redes de datos, de acuerdo con las políticas de seguridad de la organización o del usuario. [CCN-STIC-614:2006]2.324.4 CORTAFUEGOS Sistema hardware / software que permite inspeccionar los paquetes que lo atraviesan y en función de un conjunto de reglas permitir o denegar el paso del mismo. [CCN-STIC-641:2006]

Firmware CCN-CERT IA_10-15 Campañas de ciberespionaje. Firmware funciona como el nexo de unión entre las instrucciones (software) que llegan al dispositivo desde el exterior y las diversas partes electrónicas (hardware)

Gestión del Riesgo CCN-STIC-301 v2.0 Requisitos STIC. Selección e implantación de salvaguardas para conocer, prevenir, impedir, reducir o controlar los riesgos identificados.

Hacktivismo STIC 401 GLOSARIO 2.548 HACKTIVISMO Activismo digital antisocial. Sus practicantes persiguen el control de ordenadores o sitios web para promover su causa, defender su posicionamiento político, o interrumpir servicios, impidiendo o dificultando el uso legítimo de los mismos.

Hash función criptográfica

STIC 401 GLOSARIO 2.516.1 FUNCIÓN HASH O FUNCIÓN RESUMEN (DIGEST).Función de un solo sentido que calcula, a partir de una cadena de bits de longitud arbitraria, otra, aparentemente aleatoria, de longitud fija.2.516.2 FUNCIÓN DE HASHING CRIPTOGRÁFICO.Proceso que vuelve ilegibles los datos de titulares de tarjetas convirtiendo los datos en un resumen de mensaje de longitud fija mediante la Criptografía sólida. La función de hashing criptográfico es una función (matemática) en la cual un algoritmo conocido toma un mensaje de longitud arbitraria como entrada y produce un resultado de longitud fija (generalmente denominado “código hash” o “resumen de mensaje”).

hidden-wiki ( web oculta o invisible)

CCN-CERT IA_09-15 Informe de Amenazas. Resumen Ejecutivo. Es una enciclopedia que se encuentra alojada en la web oculta (Hidden web llamada también invisible web o deep web) y funciona como índice para acceder a páginas de dominio (.onion) que indica una dirección IP anónima accesible por medio de la red TOR (The Onion Route).

HOAX, HOAXES.(BULO) STIC 401 GLOSARIO. 2.153.1 BULO. Mensaje de correo electrónico creado para su reenvío masivo que intenta hacer creer al remitente algo que es falso. El bulo más común es para alertar de virus inexistentes. Pueden ser varias las motivaciones para crear dicho mensaje, algunas de ellas son para recopilar gran cantidad de direcciones de correo, difundir información falsa en perjuicio de terceras personas u organismos o incitar al receptor del mensaje a causar daños en su propio ordenador.http://www.alerta-antivirus.es/seguridad/ver_pag.html?tema=S

Hub (Concentrador) Es el dispositivo que permite centralizar el cableado de una red de ordenadores, para luego poder ampliarla. Trabaja en la capa física ( capa 1) del modelo OSI o l acpa de acceso al medio en el modelo TCP/IP. Esto significa que dicho dispositivo recibe una señal y repite esta señal emitiéndola por sus difernetes puertos. En la actualidad, la tarea de los concentradores la realizan, con frecuencia los conmutaodres ( switches) http://es.wikipedia.org/wiki/Concentrador

Incidencia CCN-STIC-301 v2.0 Requisitos STIC. Evento con consecuencias en detrimento de la seguridad.

Insider. (Infiltrado. Actor interno. Intruso)

CCN-CERT IA_09-15 Informe de Amenazas 3.6 Actores internosSe denominan actores internos (insiders) a aquellas personas que tienen o han tenido algún tipo de relación con una organización, incluyendo exempleados, personal temporal o proveedores.STIC 401 GLOSARIO 2.745.1 PERSONAL INTERNO.Personas con acceso al sistema desde dentro del perímetro de seguridad. Es decir, con cierta au-torización para el acceso.CCN-CERT IA_09-15 Informe de Amenazas 3.6 Actores internosSe denominan actores internos (insiders) a aquellas personas que tienen o han tenido algún tipo de relación con una organización, incluyendo exempleados, personal temporal o proveedores.STIC 401 GLOSARIO 2.745.1 PERSONAL INTERNO.Personas con acceso al sistema desde dentro del perímetro de seguridad. Es decir, con cierta autorización para el acceso.

Integridad CCN-STIC-301 v2.0 Requisitos STIC. Garantía de la exactitud y completitud de la

información y los métodos de su procesamiento.Interconexión CCN-STIC-301 v2.0 Requisitos STIC. Se produce una interconexión entre Sistemas,

cuando existe una conexión y se habilitan flujos de información entre los mismos, con diferentes políticas de seguridad, diferentes niveles de confianza, diferentes Autoridades Operativas de los Sistemas de las Tecnologías de la Información y las Comunicaciones (AOSTIC) o una combinación de las anteriores.

Jailbreak (fuga de la cárcel)

CCN-CERT IA_09-15 Informe de Amenazas. El Jailbreak en Apple («fuga de la cárcel» o destrabar) o el rooteado en Android (acceso al directorio raíz) permite acceder por completo del sistema operativo del que se trate, con privilegios de administrador o superusuario, al suprimir algunas de las limitaciones impuestas por el fabricante. CCN-CERT IA_09-15 Informe de Amenazas. Resumen Ejecutivo. Similar al rooting de Android permite a los usuarios iOs de Apple acceder por completo al sistema operativo.

Joke (Broma, chiste) Programa inofensivo que simula un virus generando molestias al usuario al tratar de eliminarlo.

Keylogger (Capturador de teclado)

2.173.2 CAPTURADOR DE PULSACIONES DE TECLADO Programa que intercepta todas las pulsaciones realizadas en el teclado (e incluso a veces también el ratón), y las guarda en un archivo para obtener datos sensibles como contraseñas, etc. Posteriormente puede ser enviado a un tercero sin conocimiento ni consentimiento del usuario.http://www.alerta-antivirus.es/seguridad/ver_pag.html?tema=S

MAC "Media Access Control" (Control de acceso al medio )

Es un identificador de 48 bits que corresponde de forma única a una tarjeta o dispositivo de red. Se conoce también como dirección física, y es única para cada dispositivo. http://es.wikipedia.org/wiki/Dirección _MAC

Malware ,"malicious software " (programas maliciosos)

STIC 401 GLOSARIO 2.266.1 SOFTWARE MALICIOSO O MALWARE Software o firmware desarrollado para infiltrarse en una computadora o dañarla sin conocimiento ni consentimiento del propietario, con la intención de comprometer la confidencialidad, integridad o disponibilidad de los datos, las aplicaciones o el sistema operativo del propietario. Por lo general, esta clase de software se infiltra en una red durante diversas actividades aprobadas por el negocio, lo que permite explotar las vulnerabilidades del sistema. Algunos ejemplos son los virus, gusanos, troyanos (o caballos de Troya), spyware, adware y rootkits. http://es.pcisecuritystandards.org

Man in the middle (Hombre en medio)

STIC 401 GLOSARIO 2.995.1 MAN-IN-THE-MIDDLE Técnica mediante la cual un tercero es capaz de interceptar, e incluso modificar, la comunicación entre dos extremos. [CCN-STIC-612:2006] [CCN-STIC-671:2006]

Manejar Información CCN-STIC-301 v2.0 Requisitos STIC. Presentar, elaborar, almacenar, procesar, transportar o destruir información.

Modo seguro de operación compartimentado

CCN-STIC-301 v2.0 Requisitos STIC. Aquel en el que todo el personal con acceso al Sistema está autorizado para acceder a nivel más alto de clasificación de la información manejada por el Sistema, pero no todos los individuos con acceso al Sistema tienen una autorización formal para acceder a toda la información manejada por el Sistema. Autorización formal implica una gestión centralizada formal para el control de accesos a diferencia de los criterios individuales de concesión.

Modo seguro de operación dedicado

CCN-STIC-301 v2.0 Requisitos STIC. Aquel en el que todo el personal con acceso al Sistema está autorizado para acceder al nivel más alto de clasificación de la información manejada por el Sistema, y además posee la misma “necesidad de conocer”. La separación de los datos no es un requisito del Sistema.

Modo seguro de operación unificado al

CCN-STIC-301 v2.0 Requisitos STIC. Aquel en el que todo el personal con acceso al Sistema está autorizado para acceder al nivel más alto de clasificación de la

nivel superior información manejada por el Sistema, pero no tienen la misma necesidad de conocer. Dicha necesidad de conocer se establece mediante procesos informales, o a nivel individual. El Sistema realiza de manera fiable la separación de los datos y dispone de control de acceso selectivo a la información conforme a la diferente “necesidad de conocer”.

Necesidad de conocer CCN-STIC-301 v2.0 Requisitos STIC. Determinación positiva por la que se confirma que un posible destinatario requiere el acceso a, el conocimiento de, o la posesión de la información para desempeñar servicios, tareas o cometidos oficiales.

Pharming ("granja") Deriva del término en inglés "farm" (granja) STIC 401 GLOSARIO 2.747.1 PHARMING Ataque informático que consiste en modificar o sustituir el archivo del servidor de nombres de dominio cambiando la dirección IP legítima de una entidad (comúnmente una entidad bancaria) de manera que en el momento en el que el usuario escribe el nombre de dominio de la entidad en la barra de direcciones, el navegador redirigirá automáticamente al usuario a otra dirección IP donde se aloja una web falsa que suplantará la identidad legítima de la entidad, obteniéndose de forma ilícita las claves de acceso de los clientes la entidad. http://www.inteco.es/glossary/Formacion/Glosario/

Phishing (similar a fishing pescando). Spear phishing ("lanza")

STIC 401 GLOSARIO 2.7 61 PHISHING Ver: • http://en.wikipedia.org/wiki/Phishing.2.761.1 PHISHING. Método de ataque que busca obtener información personal o confidencial de los usuarios por medio del engaño o la picaresca, recurriendo a la suplantación de la identidad digital de una entidad de confianza en el ciberespacio.2.761.2 PHISHING. Phishing es la denominación que recibe la estafa cometida a través de medios telemáticos mediante la cual el estafador intenta conseguir, de usuarios legítimos, información confidencial (contraseñas, datos bancarios, etc) de forma fraudulenta. El estafador o phisher suplanta la personalidad de una persona o empresa de confianza para que el receptor de una comunicación electrónica aparentemente oficial (vía e-mail, fax, sms o telefónicamente) crea en su veracidad y facilite, de este modo, los datos privados que resultan de interés para el estafador.http://www.inteco.es/glossary/Formacion/Glosario 2.761.3 PHISHING. Los ataques de "phishing" usan la ingeniería social para adquirir fraudulentamente de los usuarios información personal (principalmente de acceso a servicios financieros). Para alcanzar al mayor número posible de víctimas e incrementar as sus posibilidades de éxito, utilizan el correo basura ("spam") para difundirse. Una vez que llega el correo al destinatario, intentan engañar a los usuarios para que faciliten datos de carácter personal, normalmente conduciéndolos a lugares de Internet falsificados, páginas web, aparentemente oficiales, de bancos y empresas de tarjeta de crédito que terminan de convencer al usuario a que introduzca datos personales de su cuenta bancaria, como su número de cuenta, contraseña, número de seguridad social, etc. http://www.alerta-antivirus.es/seguridad/ ver_pag.html? tema=S.2.983.1 SPEAR PHISHING. Phishing dirigido de forma que se maximiza la probabilidad de que el sujeto objeto del ataque pique el anzuelo (suelen basarse en un trabajo previo de ingeniera social sobre la victima)CCN-CERT IA_09-15 Informe de Amenazas. Suplantación de identidad. Consiste en el envío de correos electrónicos que aparentan ser fiables y que suelen derivar a páginas web falsas recabando datos confidenciales de las víctimas.

PILAR Herramienta Procedimiento Informático y Lógico de Análisis de Riesgos .Herramienta del CCN-CERT para realizar análisis de riesgos formal.

Plugin (Enchufable o inserción)

Un plugin o complemento es una aplicación que se relaciona con otra para aportarle una función nueva y generalmente muy específica. Esta aplicación adicional es ejecutada por la aplicación principal e interactúan por medio de la API

(Application Programming Interface. Interfaz de programación de aplicaciones). http://es.wikipedia.org/wiki/Complemento_(informática)

Procedimientos Operativos de Seguridad

CCN-STIC-301 v2.0 Requisitos STIC. Descripción precisa de la aplicación de los requisitos de seguridad, detallando las responsabilidades y todas las acciones y procedimientos de seguridad a seguir, con el objetivo de garantizar y mantener la seguridad del Sistema. En su caso será la descripción de la aplicación de la DRS correspondiente.

Proxy (Representante, apoderado)

STIC 401 GLOSARIO 2.802.1 PROXY Programa o dispositivo que realiza una acción en representación de otro. [CCN-STIC-641:2006].2.802.2 PROXY (AGENTE) Dispositivo pasarela que implementa la funcionalidad cliente/servidor de uno o más protocolos o aplicaciones, según los RFC o estándares correspondientes, con el objetivo de servir peticiones a servidores en nombre de los clientes que lo utilizan. [CCN-STIC-401:2007].Un Proxy o servidor proxy en una red informática es un servidor (un programa o sistema informático) que sirve de intermediario en las peticiones de recursos que realiza un cliente a otro servidor http://es.wikipedia.org/wiki/Proxy Programa o dispositivo que realiza una acción en representación de otro programa. Permite flujos de información de la capa de aplicación (capa 7) del modelo OSI. Proxy es un ordenador que sirve de intermediario entre un navegador web y Internet contribuyendo a la seguridad de la red al filtrar cierto contenido web y programas dañinos.

Ransomware. ("Secuestro" informático).

STIC 401 GLOSARIO 2.821.1 RANSOMWARE. El ransomware es un código malicioso para secuestrar datos, una forma de explotación en la cual el atacante cifra los datos de la víctima y exige un pago por la clave de descifrado.El ransomware se propaga a través de archivos adjuntos de correo electrónico, programas infectados y sitios web comprometidos. Un programa de malware ransomware también puede ser llamado criptovirus, criptotroyano o criptogusano .Consiste en el secuestro del ordenador (imposibilidad de usarlo) o el cifrado de sus archivos (Cryptoware) y la promesa de liberarlo tras el pago de una cantidad de dinero por el rescate.CCN-CERT IA_09-15 Informe de Amenazas. Consiste en el secuestro del ordenador (imposibilidad de usarlo) o el cifrado de sus archivos (Cryptoware) y la promesa de liberarlo tras el pago de una cantidad de dinero por el rescate.

Resiliencia STIC 401 GLOSARIO 2.844.2 RESILIENCIA. Capacidad de los sistemas para seguir operando pese a estar sometidos a un ciberataque, aunque sea en un estado degradado o debilitado. Así mismo, incluye la capacidad de restaurar con presteza sus funciones esenciales después de un ataque.CCN-CERT IA_09-15 Informe de Amenazas. Capacidad de un sistema de sobreponerse ante acontecimientos adversos.

Riesgo CCN-STIC-301 v2.0 Requisitos STIC. Estimación del grado de exposición de un Sistema frente a amenazas que pudieran causar daños o perjuicios a la Organización.

Rogueware (software bandido)

STIC 401 GLOSARIO 2.867.1 EL ROGUE SOFTWARE (en español, software bandido o también falso antivirus) es un tipo de programa informático malintencionado cuya principal finalidad es hacer creer que una computadora está infectada por algún tipo de virus, induciendo a pagar una determinada suma de dinero para eliminarlo. http://es.wikipedia.org/wiki/Rogue_software

Remote Access Tools (RAT) (herramienta para acceso remoto)

Pieza de software que permite a un "operador" atacante controlar a distancia un sistema como si se tuviera acceso físico al mismo. Aunque tiene usos perfectamente legales, el software RAT se asocia habitualmente con ciberataques o actividades criminales o dañinas. En estos casos, el malware suele instalarse sin

el conocimiento de la víctima, ocultando frecuentemente un troyano.Rooting en Android (Raiz) CCN-CERT IA_09-15 Informe de Amenazas. Es el proceso que permite a los usuarios

de teléfonos inteligentes, tabletas con sistema operativo Android obtener control privilegiado, conocido como acceso al root o permiso de superusuario, similar a permisos de administrador en un sistema operativo.

Rootkit STIC 401 GLOSARIO 2.870 ROOTKIT 2.870.1 ROOTKIT Es una herramienta que sirve para ocultar actividades ilegítimas en un sistema. Una vez que ha sido instalado, permite al atacante actuar con el nivel de privilegios del administrador del equipo. Está disponible para una amplia gama de sistemas operativos. http://www.alerta-antivirus.es /seguridad/ ver_pag.html?tema=S.2.870.2 ROOTKIT Tipo de software malicioso que, al instalarse sin autorización, es capaz de pasar desapercibido y tomar el control administrativo de un sistema informático. http://es.pcisecuritystandards.org

Router (Enrutador) Enrutador o encaminador de paquetes. Es un dispositivo que porporciona conectividad a nivel de red (capa 3) en el modelo OSI. Su función principal consiste en enviar o encaminar paquetes de datos de una red a otra. http://es.wikipedia.org/wiki/Router

RSA algoritmo Rivest, Shamir y Adelman

STIC 401 GLOSARIO. Iniciales de los autores del algoritmo de cifrado RSA

Rulesets (conjunto de reglas)

Conjunto de reglas e indicadores de compromiso de un cortafuegos por ejemplo.

Sandbox (Caja de arena) STIC 401 GLOSARIO 2.881.1 ENTORNO RESTRINGIDOMecanismo de protección utilizado en algunos lenguajes o entornos de programación que limita el acceso que tiene un programa a los recursos del sistema. Un recinto restringe un programa a una serie de privilegios y comandos que le dificultan o imposibilitan el causar algún daño a la información del usuario.http://www.alerta-antivirus.es/seguridad/ver_pag.html?tema=S .Es un entorno de pruebas separado del entorno de producción es.wikipedia.org/wiki/Sandbox

Script kiddies STIC 401 GLOSARIO 2.887.1 SCRIPT KIDDY. Cracker aficionado. Se limita a ejecutar procedimientos inventados por otros. CCN-CERT IA_09-15 Informe de Amenazas. son aquellos que, con conocimientos limitados y haciendo uso de herramientas construidas por terceros, perpetran sus acciones a modo de desafío, sin ser, en muchas ocasiones, plenamente conscientes de sus consecuencias.

Seguridad de las Emanaciones o Seguridad TEMPEST

CCN-STIC-301 v2.0 Requisitos STIC. Conjunto de medidas destinadas a evitar fugas de información derivadas de emisiones electromagnéticas no deseadas de equipos electrónicos.

Seguridad de las Tecnologías de la Información y las Comunicaciones

CCN-STIC-301 v2.0 Requisitos STIC.Capacidad de los Sistemas de las Tecnologías de la Información y las Comunicaciones (Sistema) para resistir, con un determinado nivel de confianza, los accidentes o acciones ilícitas o malintencionadas que comprometan la disponibilidad, integridad y/o confidencialidad de los datos almacenados o transmitidos y de los servicios que dichos Sistemas ofrecen o hacen accesibles.

Sincronización CCN-STIC-301 v2.0 Requisitos STIC. Transferencia de información entre una estación de trabajo y un Dispositivo Digital Personal.

Sistema de las Tecnologías de la Información y las Comunicaciones

CCN-STIC-301 v2.0 Requisitos STIC. Conjunto de equipos, métodos, procedimientos y personal, organizado de tal forma que permita almacenar, procesar o transmitir información que está bajo responsabilidad de una única autoridad.

Sistema de Protección de Perímetro

CCN-STIC-301 v2.0 Requisitos STIC. Combinación de hardware y/o software, denominado Dispositivo de Protección de Perímetro, cuya finalidad es mediar en el tráfico de entrada y salida en los puntos de interconexión de los Sistemas

Sniffer (Husmeador) STIC 401 GLOSARIO 2.964 SNIFFER 2.964.1 MONITOR DE RED Programas que monitorizan la información que circula por la red con el objeto de capturar información. Las placas de red tienen un sistema de verificación de direcciones mediante el cual saben si la información que pasa por ella está dirigida o no a su sistema. Si no es así, la rechaza. Un Sniffer consiste en colocar a la placa de red en un modo llamado promiscuo, el cual desactiva el filtro de verificación de direcciones y por lo tanto todos los paquetes enviados a la red llegan a esta placa (computadora donde está instalado el Sniffer). 2.964.1 SNIFFER Programa de captura de paquetes de red. Literalmente, "husmeador". [CCN-STIC-435:2006]

Spam (correo basura) STIC 401 GLOSARIO 2.969.2 CORREO BASURA Correo electrónico no deseado que se envía aleatoriamente en procesos por lotes. Es una extremadamente eficiente y barata forma de comercializar cualquier producto. La mayoría de usuarios están expuestos a este correo basura que se confirma en encuestas que muestran que más del 50% de todos los e-mails son correos basura. No es una amenaza directa, pero la cantidad de e-mails generados y el tiempo que lleva a las empresas y particulares relacionarlo y eliminarlo, representa un elemento molesto para los usuarios de Internet.http://www.alerta-antivirus.es/ seguridad/ ver_pag. html? tema=S

Spyware "spy software" (programas espia)

STIC 401 GLOSARIO 2.972.1 SPYWARE. Tipo de software malicioso que al instalarse intercepta o toma control parcial de la computadora del usuario sin el consentimiento de este último. http://es.pcisecuritystandards.org

switches (Conmutadores) Es el dispositivo digital lógico de interconexión de equipos que opera en la capa de enlace de datos del modelo OSI (capa 2). Su función es interconectar dos o más segmentos de red, de manera similar a los puentes de red, pasando datos de un segmento a otro de acuerdo con la dirección MAC (Media Access Control. Control de acceso al medio) de destino de las tramas den la red y eliminando la conexión una vez finalizada esta. Los conmutadores se utilizan cuando se desea conectar múltiples tramos de una red, fusinándolos en una sola red.http://es.wikipedia.org/wiki/Conmutador_ (dispositivo_de_ red)

TEMPEST CCN-STIC-301 v2.0 Requisitos STIC. Término que hace referencia a las investigaciones y estudios de emanaciones comprometedoras (emisiones electromagnéticas no intencionadas, producidas por los equipos eléctricos y electrónicos que, detectadas y analizadas, pueden llevar a la obtención de información) y a las medidas aplicadas para la protección contra dichas emanaciones.

TOR " The Onion Router" (Enrutador de cebolla)

CCN-CERT IA_09-15 Informe de Amenazas. TOR (abreviatura de The Onion Router) es un software diseñado para permitir el acceso anónimo a Internet. Aunque durante muchos años ha sido utilizado principalmente por expertos y aficionados, el uso de la red TOR se ha disparado en los últimos tiempos, debido principalmente a los problemas de privacidad de Internet. Correlativamente, TOR se ha convertido en una herramienta muy útil para aquellos que, por cualquier razón, legal o ilegal, no desean estar sometidos a vigilancia o no desean revelar información confidencial.

Troyano o caballo de Troya

STIC 401 GLOSARIO 2.155.1 CABALLO DE TROYA. Introducción subrepticia en un medio no propicio, con el fin de lograr un determinado objetivo. DRAE. Diccionario de la Lengua Española. 2.155.2 TROYANO También denominado “caballo de Troya”. Una clase de software malicioso que al instalarse permite al usuario ejecutar funciones normalmente, mientras los troyanos ejecutan funciones maliciosas sin que este lo sepa. http://es.pcisecuritystandards.org 2.155.3 TROYANO Programa que no se replica ni hace copias de sí mismo. Su apariencia es la de un programa útil o inocente, pero en realidad tiene propósitos dañinos, como

permitir intrusiones, borrar datos, etc. [CCN-STIC-430:2006] 2.155.4 CABALLO DE TROYA Programa que aparentemente, o realmente, ejecuta una función útil, pero oculta un subprograma dañino que abusa de los privilegios concedidos para la ejecución del citado programa. Por ejemplo, un programa que reordene de una manera conveniente un fichero y, prevaliéndose de los derechos de escritura que debe concedérsele, copie el mismo en otro fichero accesible sólo por el creador de dicho programa.[Ribagorda:1997] CCN-CERT IA_09-15 Informe de Amenazas .Caballo de Troya o troyano, es un código dañino con apariencia de un programa inofensivo que al ejecutarlo brinda al atacante acceso remoto al equipo infectado, normalmente instalando una puerta trasera (backdoor).

War Dialer ( marcador de números telefónicos)

STIC 401 GLOSARIO 2.1039.1 WAR DIALER. Barrido automatizado de números de teléfono. Se buscan números a los que respondan equipos informáticos, con ánimo de identificar puntos de ataque para intentar penetrar en el sistema.

Watering hole (Abrevadero)

STIC 401 GLOSARIO 2.1045.1 WATERING HOLE. Estrategia de ataque informático. El atacante quiere atacar a un grupo en particular (organización, sector o región). El ataque consiste en tres fases: 1. Adivinar (u observar) los sitios web que el grupo utiliza a menudo. 2. Infectar uno o más de estos sitios web con malware. 3. Con el tiempo, algunos miembros del grupo objetivo se infectarán. Esta estrategia basa su eficacia en la confianza que el grupo ha depositado en las páginas web que sus miembros visitan con asiduidad. Es eficaz incluso con grupos concienciados que son resistentes a spear phishing y otras formas de phishing.

Worm (Gusano) STIC 401 GLOSARIO 2.544.1 GUSANO Programa que está diseñado para copiarse y propagarse por sí mismo mediante mecanismos de red. No realizan infecciones a otros programas o ficheros. [CCN-STIC-430:2006].2.544.2 GUSANO INFORMÁTICO. Programa que puede autoaplicarse y enviar copias de si mismo de un ordenador a otro de una red. Tras su instalación en uno de éstos repite el proceso anterior, además de realizar alguna otra tarea indeseable, quizás hasta colapsar el sistema anfitrión. [Ribagorda:1997]2.544.3 GUSANO. Es un programa similar a un virus que se diferencia de éste en su forma de realizar las infeccio-nes. Mientras que los virus intentan infectar a otros programas copiándose dentro de ellos, los gusanos realizan copias de ellos mismos, infectan a otros ordenadores y se propagan automáticamente en una red independientemente de la acción humana. http://www.alerta-antivirus.es/ seguridad/ver_pag.html?tema=S

2. ACRÓNIMOSAES Advanced Encryption StandardAA (es) Autoridad de AcreditaciónACL Access Control ListADA (es) Autoridad Delegada de AcreditaciónAEPD (es) Agencia Española de Protección de DatosAES-CCMP Advanced Encryption Standard- Counter Cipher Mode ProtocolAET Advanced Evasion TechniqueAfT Authorization of TrialAH Authentication HeaderAJAX Asynchronous JavaScript and XMLALARP As Low As Reasonably PracticalALE Annualised Loss ExpectancyANS (es) Acuerdo de Nivel de Servicio (en inglés, SLA)AOSTIC (es) Autoridad Operativa del Sistema TICAP Access PointAPI Application Programing InterfaceAPT Advanced Persistent ThreatARCO (es) Conjunto de derechos (Acceso, Rectificación, Cancelación y Oposición),a través de

los cuales una persona puede ejercer el control sobre sus datos personales.ARP Address Resolution ProtocolASN.1 Abstract Syntax Notation OneASP Active Server PagesASS (es) Administrador de Seguridad del SistemaATM Asynchronous Transfer ModeATO Authorizaion to OperateBCM Business Continuity ManagementBCP Business Continuity PlanBD (es) Base de datosBER Basic Encoding RulesBGP Border Gateway ProtocolBIA Business Impact AnalysisBIA Business Impact Analysis. Análisis de impacto en el negocio.BIOS Basic Input and Output SystemBotnet Robot netBPC Boundary Protection ComponentBPD Border Protection DeviceBPS Boundary Protection ServiceBRP Business Resumption planBSSID Basic Service Set IdentifierBYOD Bring Your Own DeviceC&C Command and ControlCA Certification AuthorityCAPEC Common Attack Pattern Enumeration and ClassificationCAPI cryptographic application programming interfaceCAPTCHA Completely Automated Public Turing test to tell Computers and Humans ApartCARL Certificate Authority Revocation ListCAST Carlisle Adams and Stafford TavaresCBC Cipher Block ChainingCC Common Criteria for Information Technology Security Evaluation. Criterios

ComunesCC (es) Criterios ComunesCCE Common Criteria EvaluationCCM Counter with Cipher Block Chaining-Message Authentication CodeCCM Cloud Controls MatrixCCN Centro Criptológico NacionalCCN-CERT Centro Criptológico Naciomal – Computer Emergency Response TeamCEM Common Evaluation MethodologyCER Canonical Encoding RulesCERT Computer Emergency Response Team Equipo de Respuesta a Incidentes

Informáticos o ciberincidentes.CES (fr) Contrat d´engagement de serviceCFB Cipher feedback modeCHAP Challenge-Handshake Authentication ProtocolCIDR Classless Inter-Domain RoutingCIIP Critical Information Infrastructure ProtectionCIK Crypto-Ignition KeyCIO Chief Information OfficerCIO Chief Information OfficerCIP Critical Infrastructure ProtectionCIRC Computer Incident Response CenterCIRC Computer Incident Response Capability.Capacidad de Respuesa a Incidentes

InformáticosCIRT Computer Incident Response Team.Equipo de Respuesta a Incidentes InformáticosCISO Chief Information Security OfficerCLASP Comprehensive, Lightweight Application Security ProcessCMAC CBC-MAC Cipher Block Chaining-Message Authentication CodeCMDB Configuration Management DatabaseCMM Capability Maturity ModelCMS Cryptographic Message SyntaxCMS Content Management SystemsCNA Computer Network AttackCND Computer Network DefenseCNE Computer Network ExplotationCoF Ciphering oFFsetCOMPUSEC Computers securityCOMSEC Communications securityCONOP Concept of OperationsCOOP Continuity of Operations PlanCPS Certification Practice StatementCR Carriage ReturnCRL Certificate Revocation ListCSA Cloud Security AllianceCSI Comité de Seguridad de la InformaciónCSIRT Computer Security Incident Response TeamCSMA/CD Carrier Sense Multiple Access/ Collision DetectionCSO Chief Security OfficerCSP Cloud Service ProviderCSRF Cross-Site Request ForgueryCSRF Cross-Site Request Forgery

CSRF /XSRF Cross Site Request Forgery o falsificación de petición en sitios cruzadosCSV Código Seguro de VerificaciónCTAK Cipher Text Auto-KeyCTR Counter modeCVE Common Vulnerability and ExposuresCVSS Common Vulnerability Scoring SystemCWIN Critical infrastructure Warning Information NetworkCybOX Cyber Observable eXpressionDAC Discretionary Access ControlDDoS Distributed Denial of ServiceDEA Data Encryption AlgorithmDER Distinguished Encoding RulesDES Data Encryption StandardDH Diffie-HellmanDHCP Dinamic Host Configuration ProtocolDHS Department of Homeland SecurityDLP Data Loss PreventionDMZ Demilitarized Zone. Zona desmilitarizadaDNS Domain Name Service (o System)DNSSEC Domain Name System Security ExtensionDoS Denial of ServiceDPP Dispositivo de Protección de PerímetroDRBG Deterministic Random Bit GeneratorDRES (es) Declaración de Requisitos Específicos de SeguridadDRM Digital Rights ManagementDRP Disaster Recovery PlanDRS (es) Declaración de Requisitos de SeguridadDRSI (es) Declaración de Requisitos de Seguridad de la InterconexiónDSA Digital Signature AlgorithmDSS Digital Signature StandardDTCC Depository Trust and Clearing CorporationEAC Equivalent Annual CostEAL Evaluation Assurance LevelEAP Extensible Authentication ProtocolEAR (es) Entorno Análisis de RiesgosECB Electronic codebook modeECC Elliptic Curve CryptographyECDSA Elliptic Curve Digital Signature AlgorithmEGP External Gateway ProtocolEMSEC Emission SecurityENI (es) Esquema Nacional de InteroperabilidadENS (es) Esquema Nacional de SeguridadERC (es) Equipo de Respuesta a CiberincidentesERI (es) Equipo de Respuesta a IncidentesESMTP Extended SMTP.Extensiones al protocolo SMTP.ESP Electronic Security PerimeterESP Encapsulating Security PayloadESSID Extended Service Set IdentifierFAQ Frequently Asked QuestionsFAR False Acceptance Rate

FDDI Fiber Distributed Data InterfaceFEAL Fast Data Encipherment AlgorithmFHSS Frecuency Hopping Spread SpectrumFIPS Federal Information Processing StandardsFIREWALL CortafuegosFIRST Forum of Incident Response and Security TeamsFISMA Federal Information Security Management ActFRAM /IPSEC Framework Internet Protocol SecurityFRR False Rejection RateGCM Galois/Counter ModeGIR(es) Grupo Involucrado en la ResoluciónGPG Gnu PG. Versión libre " open source" de PGP.GRC Governance, Risks Management and ComplianceHDLC High level Data Link ControlHIDS Host Intrusion Detection SystemHIPAA Health Insurance Portability & Accountability Act of 1996.HIPS Host Intrusion Prevention SystemHMAC Hash-based Message Authentication CodeHSM Hardware Security ModuleHTML Hyper Text Markup LanguageHTTP HyperText Transfer Protocol.. Protocolo de transferencia de hipertexto, utilizado

habitualmente en navegación web.HTTPS Secure Hyper Text Transfer ProtocolI&A Identification and AuthenticationIaaS Infrastructure as a ServiceIANA Internet Assigned Numbers AuthorityIATO Interin Authorization To OperateICC Integrated Circuit CardICMP Internet Control Message ProtocolIDEA International Data Encryption AlgorithmIDPS (es) Sistema con capacidades de IDS e IPS.IDS Intrusion Detection System. Sistema de Detección de Intrusiones. Sistema cuya

finalidad es detectar las intrusiones que se han realizado o que están en cursoIGMP Internet Group Management ProtocolIGP Interior Gateway ProtocolIIS Internet Information ServerIKE Internet Key ExchangeIMAP Internet Message Access Protocol. Protocolo de acceso al correo electrónico que

mantiene la estructura de carpetas en un servidor centralizado.INFOSEC INFOrmation SECurityIOC Indicator of CompromiseIODEF Incident Object Description and Exchange FormatIoT Internet of ThingsIP Internet ProtocolIPC Inter-Process CommunicationIPS Intrusion Prevention System. Sistema de Prevención de Intrusiones. Su función es

prevenir los incidentes antes de que se produzcanIPsec Internet Protocol securityIRT Incident Response Team. Equipo de Respuesta a IncidentesISA Interconnection Security Agreement

ISAKMP Internet Security Association Key Management ProtocolISMS Information Security Management SystemISO Information Security OfficerISO International Organization for standardizationISSM Information Systems Security ManagerISSO Information System Security OfficesITSEC Information Technology Security Evaluation CriteriaIV Initialization ValueJ2EE Java 2 Enterprise EditionJSP Java Server PagesKAK Key Auto-KeyKDC Key Distribution CenterKDF Key Derivation FunctionKEK Key Encrypting KeyKGC Key Generation CentreKMI Key Management InfrastructureKRI Key Risk Indicator. Indicadores criticos de riesgo.L2F Layer 2 ForwadingL2TP Layer 2 Tunneling ProtocolLAMP Linux, Apache, MySQL y PHPLAN Local Area NetworkLATO Limited Authorization To OperateLDAP Ligthweight Directory Access Protocol . Protocolo de acceso a directorioLEAP Lightweight Extensible Authentication ProtocolLF Line FeedLLC Logical Link ControlLOPD (es) Ley Orgánica de Protección de Datos de Carácter PersonalMaaS Malware as a ServiceMAC Message Authentication CodeMAC Mandatory Access ControlMAC Media Access ControlMAEC Malware Attribute Enumeration and CharacterizationMAGERIT Metodología de Análisis y Gestión de Riesgos de los Sistemas de informaciónMalware malicious softwareMAM Mobile Application ManagementMAN Metropolitan Area NetworkMCM Mobile Content ManagementMD2 Message Digest 2. algoritmo de cifradoMD4 Message Digest 4 .algoritmo de cifradoMD5 Message Digest 5. algoritmo de cifradoMDM Mobile Device ManagementMEAM Mobile Enterprise Application ManagementMLS Multilevel SecurityMTA Mail Transfer Agent. Agente de Transferencia de correo, ubicado en el servidor.MUA Mail User Agent. Cliente de correo, ubicado habitualmente en equipos de usuario.NAT Network Address Translation.Conversión de una dirección IP de origen y / destinoNCSC National CyberSecurity CenterNIC Network Interface CardNIDS Network Intrusion Detection SystemNIPS Network Intrusion Prevention System

NSA National Security AgencyNTP Network Time ProtocolNVD National Vulnerability DatabaseNVRAM Non Volatile Random Access MemoryOCSP Online Certificate Status ProtocolOFB Output feedback modeOpenIOC Open Indicator Of CompromiseOPSEC Operations SecurityOSPF Open Shortest Path FirstOTAR On The Air RekeyingOTP One-time passwordOTRS Open Ticket Request SystemOWASP Open Web Application Security ProjectOWASP Open Web Application Security ProjectPaaS Platform as a ServicePAP Password Authentication ProtocolPBAC Policy Based Access ControlPCAP Packet CapturePCI Peripheral Component InterconnectPCI-DSS Payment Card Industry Data Security StandardPCK Public Information Key criptographyPCMCIA Personal Computer Menory card Internacional AssociationPDCA Plan Do Check ActPEAP Protected Extensible Authentication ProtocolPEM Privacy Enhanced MailPenTest Penetration TestPER Packet Encoding RulesPFS Perfect Forward SecrecyPFS Public-Key Forward SecrecyPGP Pretty Good Privacy. Software de cifra y firma de datos ampliamente utilizado para

reforzar la integridad y confidencialidad de los datos enviados a través de correo electrónico.

PHPBB PHP Bulletin BoardPIA Privacy Impact AssessmentPII Personally Identifiable InformationPIN Personal Identification NumberPKCS Public Key Cryptography StandardsPKI Public Key InfrastructurePMI Privilege Management InfrastructurePOP Proof of PossessionPOP3 Post Office Protocol v3. Protocolo de descarga de correo desde el MTA hasta el

MUA.POS (es) Procedimientos Operativos de SeguridadPP Protection ProfilePP (es) Perfil de protecciónPPP Point-to-Point ProtocolPPT(es) Pliego de Prescripciones TécnicasPPTP Point-to-Point Tunneling ProtocolPRNG Pseudo Random Number GeneratorPSK Pre-Shared Key

PUP Potencially Unwanted ProgramQoS Quality of Service.Calidad del servicio.RA Registration AuthorityRACF Resource Access Control FacilityRADIUS Remote Authentication Dial-In User ServerRAID Redundant Arrays of Inexpensive DrivesRAID Redundant Array of Inexpensive DisksRAID Redundant Array of Independent DisksRAM Random Access MemoryRansomware Ransom software.RARP Reverse Address Resolution ProtocolRAT Remote Access Tools. Herramientas para acceso remotoRBAC Role-Based Access ControlRC-2 RC-2RC-4 RC-4RC-5 RC-5RC-6 RC-6REST Representational State TransferRFI Remote File InclusionRFI Remote File InclusionRFID Radio Frequency IdentificationRINFO (es) Responsable de la InformaciónRIP Routing Information ProtocolRIPEMD RACE Integrity Primitives Evaluation Message DigestRNG Random Number GeneratorRogueware Rogue softwareROM Read Only MemoryROUTER EnrutadorRPF Reverse Path FilteringRPO Recovery Point ObjectiveRPV (es) Red Privada VirtualRSA Rivest Shamir AdelmanRSBAC Rule Set Based Access ControlRSEG (es) Responsable de la SeguridadRSERV (es) Responsable del ServicioRSIS (es) Responsable del SistemaRT Request TrackerRT-IR Request Tracker for Incident ReportRTO Recovery Time Objective (en español, TRS). Tiempo en el que es necesario

restaurar un determinado servicio tras una parada para que ésta no impacte significativamente en el negocio.

RTTP Real Time Transport ProtocolS/Key Secure KeyS/MIME Secure Multipurpose Mail ExtensionSaaS Software as a ServiceSACM Security Automation & Continuous MonitoringSAFER Secure And Fast Encryption RoutineSAI (es) Sistema de Alimentación IninterrumpidaSAML Security Assertion Markup LanguageSARA (es) Sistema de Aplicaciones y Redes para las Administraciones

SATAN Security Administrator Tool for Analyzing NetworksSDLC Software Development Life CycleSECOPS Security Operating ProceduresSEM Security Event ManagerSEP Search Engine PoisoningSERT Security Emergency Response Team.Equipo de Respuesta a Emergencias de

SeguridadSET Secure Electronic TransactionsSFA Security Fault AnalysisSFTP Secure File Tansfer ProtocolSGSI (es) Sistema de Gestión de la Seguridad de la InformaciónSHA Secure Hash AlgorithmSHIM System Health and Intrusion MonitoringSHS Secure Hash StandardSHTTP Secure HyperText Transfer Protocol. Protocolo de transferencia segura de hiper

texto utilizado habitualmente en navegación web en la que intervenga información confidencial (credenciales de usuario, mensajes de correo electrónico, datos bancarios...).

SIEM Security Information and Event Management. Sistema que permite almacenar los registros (logs) de distintas fuentes de manera segura y correlarlos extrayendo inofmración que podría pasar desapercibida si se analizan los distintos orígenes de información por separado.

SIM Security Information ManagementSIM Subscriber identification moduleSIP Session Initiation ProtocolSIRIOS System for Incident Response In Operational SecuritySISRS System Interconnection Security Requirements StatementSKIP Simple Key Management for Internet ProtocolsSLA Service Level Agreement (en español, ANS)SMB Server Message BlockSMTP Simple Mail Transfer Protocol. Protocolo simple de transferencia de correo,

utilizado para el envío de correo electrónico.SNMP Single Network Management Protocol. Protocolo estándar de Gestión de RedSNTP Simple Network Time ProtocolSOA Source of AuthoritySoA Statement of ApplicabilitySOAP Simple Object Access Protocol. Es un protocolo para acceso a servicios

web que define como dos objetos en diferentes procesos pueden comunicarse por medio de intercambio de datos XML (eXtensible Markup Language).

SOC Security Operation CenterSoD Separation of DutiesSOX Sarbanes-Oxley ActSPAM Correo basura. Información no solicitada, normalmente de carácter publicitario,

que se puede recibir por diferentes medios como correo electónico, foros etc.SPKI Simple Public Key InfrastructureSPP Sistema de Protección de PerímetroSpyware Spy softwareSQL Structured Query LanguageSRS Security Requirements StatementSSH Secure Shell

SSL Secure Sockets Layer. Protocolo de cifra que permite el intercambio seguro de información entre dos extremos, predecesor de TLS.

SSO Single Sign-OnSSO System Security OfficerSSPR Self-Service Password ResetSSRS System-specific Security Requirements StatementST Security TargetSTIC (es) Seguridad de las Tecnologías de la Información y las ComunicacionesSTIX Structured Threat Information eXpresionSTP Spanning Tree ProtocolSWITCH ConmutadorTACACS Terminal Access Controller Access Control SystemTAN Transaction Authentication NumberTAXII Trusted Automated eXchange of Indicator InformationTCB Trusted Computing BaseTCP Transmission Control ProtocolTCP/IP Transmission Control Protocol / Internet ProtocolTCSEC Trusted Computer System Evaluation CriteriaTDEA Triple Data Encryption AlgorithmTDES Triple DESTelnet Teletype NetworkTEMPEST Transient Electromagnetic Pulse Surveillance TechnologyTERENA Trans-European Research and Education Networking AssociationsTFTP Trivial File Transfer ProtocolTIC (es) Tecnologías de la Información y las ComunicacionesTKIP Temporal Key Integrity ProtocolTLP Traffic Light ProtocolTLS Transport Layer Security. Protocolo de cifra que permite el intercambio seguro de

información entre dos extremosTLS Transport Layer SecurityTOE Target Of EvaluationTOR The Onion RouterTRANSEC Transmissions securityTRS (es) Tiempo de Recuperación del Sistema (en inglés, RTO)TSA Time-Stamping AuthorityTSS Time-Stamping ServiceTTL Time To LifeTTP Trusted Third PartyUDP User Datagram ProtocolUPS Uninterruptible Power SupplyURI Uniform Resource IdentifierURL Uniform Resource LocatorUSB Universal Serial BusUTM Unified Threat ManagementVA Validation AuthorityVLAN Virtual Local Area NetworkVNC Virtual Network ComputingVoIP Voz sobre IPVPN Virtual Private NetworkWAF Web Application Firewall

WAN Wide Area NetworkWASC Web Application Security ConsortiumWASS Web Application Security ScannerWebmail Correo electrónico accesible vía WebWEP Wired Equivalent PrivacyWHID Web Hacking Incidents DatabaseWi-Fi Wireless FidelityWLAN Wireless Local Area NetworkWPA Wi-Fi Protected AccessWPA2 Wi-Fi Protected Access (2)WPAN Wireless Personal Area NetworkWPA-PSK Wi-Fi Protected Access- Pre-Shared KeyWS-Security Web Services SecurityXER XML Encoding RulesXML eXtended Markup LanguageXSRF Cross-Site Request ForgueryXSS Cross Site Scripting Secuencia de comandos en sitios cruzado