Capitulo I

Ing. Nstor Bautista

QUE SE ENTIENDE POR SEGURIDAD
INFORMATICA
Podemos definirla como cualquier medida
que impida la ejecucin de operaciones no
autorizadas sobre un sistema o red
informtica, cuyos efectos pueden conllevar
daos sobre la informacin, comprometer
su confidencialidad, autenticidad o
integridad, disminuir el rendimiento de los
equipos o bloquear el acceso de usuarios
autorizados al sistema
a) Cumplimiento de las regulaciones legales aplicables
a cada sector o tipo de organizacin, dependiendo
del marco legal de cada pas.
b) Control en el acceso a los servicios ofrecidos y la
informacin guardada por un sistema informtico.
c) Control en el acceso y utilizacin de ficheros
protegidos por la ley: contenidos digitales con
derechos de autor, ficheros con datos de carcter
personal, etc.
d) Identificacin de los autores de la informacin o de
los mensajes.
e) Registro del uso de los servicios de un sistema
informtico.
Es la norma de Seguridad de la Informacin
que la define como la preservacin de su
confidencialidad, su integridad y su
disponibilidad, tambin conocido como CIA,
en ingles [Confidentialy, Integrity, Availability]
Dependiendo del tipo de informacin
manejada y de los procesos realizados por
una organizacin, esta podr conceder ms
importancia a garantizar la confidencialidad,
la integridad o la disponibilidad de sus
activos de informacin
Preservacin de la confidencialidad,
integridad y disponibilidad
As mismo podemos mencionar otra
definicin propuesta por el INFOSEC Glossary
2000: Seguridad Informtica son las medidas
y controles que aseguran la confidencialidad,
integridad y disponibilidad de los activos de
los sistemas de informacin, incluyendo
hardware, software, firmware y aquella
informacin que procesan, almacenan y
comunican.
La sensibilizacin de los directivos y responsables de
la organizacin, que deben ser conscientes de la
necesidad de destinar recursos a esta funcin.
Los conocimientos, capacidades e implicacin de los
responsables del sistema informtico: dominio de la
tecnologa utilizada en el sistema informtico y
conocimiento sobre las posibles amenazas y los tipos
de ataques.
La mentalizacin, formacin y asuncin de
responsabilidades de todos los usuarios del sistema.
La correcta instalacin, configuracin y
mantenimiento de los equipos.
La limitacin en la asignacin de los permisos y
privilegios de los usuarios.
El soporte de los fabricantes de hardware y software,
con la publicacin de parches y actualizaciones de
sus productos que permitan corregir los fallos y
problemas relacionados con la seguridad.
Contemplar no solo la seguridad frente a las
amenazas del exterior, sino tambin las amenazas
procedentes del interior de la organizacin, aplicando
adems el principio de Defensa en Profundidad.
La adaptacin de los objetivos de seguridad y de las
actividades a realizar a las necesidades reales de la
organizacin. En este sentido, se deberan evitar
polticas y procedimientos genricos, definidos para
tratar de cumplir los requisitos impuestos por otros
organismos.
Modelos de Control de Acceso
Para proveer un nivel de seguridad a la red,
archivos, impresoras y otros recursos es
necesario un mecanismo de proteccin, para
que ellos no puedan ser modificados de
manera desautorizada.
Suministrando derechos de acceso a los
sujetos y objetos en la red puede necesitar
una cantidad de control de accesos a la red.
El control de acceso es la parte principal de los
derechos de acceso y permisos. Los controles de
acceso son los mecanismos que especifican lo
que los usuarios en un sistema puede o no puede
hacer. Control de acceso incluye las acciones que
un usuario puede realizar y los recursos que un
usuario puede tener acceso. Los controles de
acceso son las medidas para garantizar que slo
los usuarios con la necesidad adecuada y la
debida autorizacin pueden tener acceso al
recurso.
El establecimiento, tambin conocido como
la autorizacin, determina si una entidad
particular, que ha sido autentificada como la
fuente de una peticin para hacer algo, es de
confianza para esa operacin. La autorizacin
puede incluir tambin los controles en el
momento en que esta accin puede tomar
efecto, como la ubicacin, direccin, etc.
Toda la informacin generada o utilizada debe
tener un titular designado. El titular determina la
clasificacin apropiada y controles de acceso. El
propietario es tambin responsable de garantizar
los controles adecuados para el almacenamiento,
manipulacin y distribucin de los datos. Los
Custodios recibirn permisos de los propietarios
para gestionar diariamente el cuidado de los
datos, tales como copias de seguridad. Los
usuarios son los sujetos que requieren de datos
para realizar sus trabajos.
Se requiere que el usuario no tenga ms
privilegios de lo necesario para realizar un
trabajo. Garantizar el mnimo privilegio
necesario identificando cul es el trabajo de
un usuario para determinar el conjunto
mnimo de privilegios necesarios para realizar
ese trabajo
Se requiere que para un conjunto particular
de transacciones se permita a un individuo
ejecutar las operaciones dentro del conjunto.
Estn pueden ser:
Estticas si son operaciones permanentes.
Dinmicas cuando son temporales.
Mantener el control de acceso en la empresa
requiere de varios componentes para cada
categora de control. Hay tres categoras
principales de control de acceso:
Administrativo, Fsico y Tcnico.
Polticas y procedimientos.- es un plan de alto
nivel que establece la gestin sobre cmo la
seguridad debe ser practicada en la empresa. En l
se definen las acciones que no son aceptables y
qu nivel de riesgo la compaa est dispuesta a
aceptar.
Personal de los controles.- indica cuales son los
empleados para interactuar con la seguridad
corporativa, y cmo se har cumplir.
Estructura de la supervisin.- Define la jerarqua
global de la empresa. Cada empleado tiene un
supervisor a quien informar y este a su vez otro
superior a quien informar. Esta cadena de mando
determina quin es responsable de las acciones de
cada uno de los empleados.
Formacin y sensibilizacin.- Los usuarios
son por lo general el ms dbil eslabn en la
cadena de seguridad. La capacitacin
adecuada en materia de seguridad debe
inculcar el uso de control de acceso en la red.
Prueba.- Se debe realizar pruebas de los
controles de acceso en la red para determinar
su eficacia o ineficacia.
La asignacin de redes.- la definicin de los
puntos asignados puede ayudar a hacer cumplir
los controles de acceso de entrada o salida al
segmento.
Seguridad perimetral.- define la zona perimtrica
de la empresa para hacer cumplir las polticas,
tales como guardias, tarjetas de seguridad,
cercas, puertas.
Control de computadoras.- define los controles
fsicos en los sistemas informticos, tales como
bloqueos en los sistemas para impedir el robo de
las piezas internas, control de USB y la
eliminacin de disquete para evitar el copiado.
Delimitacin del rea de trabajo.- la
separacin de las reas de trabajo en funcin
del tipo de uso como sala de servidores,
armarios de cableado, cuarto de
experimentacin.
Copias de seguridad de datos.- este control
fsico se utiliza para garantizar el acceso a la
informacin en caso de fallo del sistema o un
desastre natural.
Cableado.- Proteger el cableado de la
interferencia elctrica, electromagntica, de la
prensa, y de los snifers.
Acceso al sistema.- Los controles que
determinan cmo los recursos en un sistema
se acceden como la arquitectura del MAC, la
arquitectura del CAD, nombre de usuario /
contrasea, RADIUS, TACACS +, Kerberos.
Arquitectura de red.- Define la segmentacin
lgica de la red y su control para comunicar
diferentes segmentos.
Acceso a la red.- Define los controles de
acceso en los routers, switches y tarjetas de
interfaz de red, y los puentes. Listas de
control de acceso, filtros, AAA, y los
cortafuegos se utilizan aqu
Encriptacin y protocolos.- Un control tcnico de
encriptado de trfico, para aquellos segmentos de
red que no son de confianza. Aquellos protocolos
podra incluir IPSec, L2TP, PPTP, SSH, SSL / TLS.
Zona de control.- es un rea especfica en la
empresa que rodea y protege a los dispositivos de
red que transportan los datos. Las seales
elctricas emanan de todos los sistemas
informticos pueden recorrer una cierta distancia
antes de ser interferidas por otros campos
elctricos.
Auditora.- es identificar las actividades de cmo
los recursos estn siendo utilizados en la empresa.
El control de acceso de una entidad a veces
tiene que ser revocada. En esta seccin se
discutir si la revocacin es necesaria y cmo
debe llevarse a cabo
La revocacin de los controles de acceso
puede ser predeterminada como en el caso
de la culminacin y pertenencia de los
empleados o dinmico para la deteccin de
intrusiones. Cuando un empleado es
despedido, muchas cosas deben ocurrir por
ejemplo, deshabilitar la cuenta del empleado,
el cambio de contraseas en el equipo, y
eliminando el acceso a las cuentas del
sistema.
Es la capacidad para dar cuenta de las medidas
adoptadas por una entidad que proporciona un
nivel de confianza en la red. En esta leccin se
discutir lo que la responsabilidad es y cmo se
puede realizar en la red
La contabilidad asegura la rendicin de
cuentas del sistema de vnculos que los
individuos a sus interacciones tienen dentro
de un producto informtico, lo que apoya la
identificacin y recuperacin de fallas
inesperadas o inevitables de los objetivos de
control. La rendicin de cuentas se realiza
mediante el registro de eventos en todo el
sistema, tales como servicio de syslogs de
UNIX A, o en forma de red, tales como el
trfico de registro o mensajes SNMP
Tcnicas de Identificacin y Autenticacin
Identificacin.- es la accin de un usuario de
profesar su identidad a un sistema general en
forma de un inicio de sesin.
Autenticacin.- es la comprobacin que se le
exige a un usuario para validar su identidad. La
autenticacin se implementa normalmente a
travs de una contrasea en el momento de
inicio de sesin.
La autenticacin se basa en un factor de tres
tipos:
Algo sabes.- contrasea, PIN, nombre de soltera
o del la madre, cdigo, etc.
Algo tienes.- tarjeta de cajero automtico, tarjeta
inteligente, token, clave, Tarjeta de
Identificacin, licencia de conducir o pasaporte.
Algo eres.- tambin conocido como datos
biomtricos: huellas dactilares, escaneo de la
voz, escaneo del iris, la retina de exploracin, el
olor del cuerpo, el ADN.
Autenticacin de mltiples factores utiliza
dos o ms tipos de autenticacin para
proporcionar una mayor seguridad.
En los Sistemas de autenticacin de dos
factores se requiere que el usuario
proporcione dos de los tres tipos de
autenticacin.
Un cajero automtico de la tarjeta + PIN
Una tarjeta de crdito + firma
Un PIN + huella digital
Nombre de usuario + contrasea (NetWare,
UNIX, NT por defecto)
La Autenticacin de tres factores ofrece la
mxima seguridad.
La contrasea + smbolo + huella digital
Un PIN + licencia de conducir + escaneo de
voz
Los mecanismos rpidos para realizar la
autenticacin por lo general son dbiles en
comparacin con los mecanismos de
autenticacin ms lentos. En esta seccin se
discutirn las medidas de rendimiento utilizados
en las diversas formas de autenticacin
La identificacin describe un mtodo para
asegurar que un sujeto, el usuario, programa o
proceso es la entidad que dice ser.
La identificacin puede ser verificada a travs del
uso de una credencial.
La biometra verifica la identidad de un individuo
por parte de un nico atributo personal, que es
uno de los mtodos ms eficaces y precisos de
identificacin de la verificacin
Tres medidas de desempeo principales:
TRF / Tasa de falso rechazo o error de tipo I.-
El porcentaje de sujetos vlidos que son
falsamente rechazados.
FAR / Tasa de Aceptacin Falsa o error de
tipo II.- El porcentaje de sujetos no vlidos
que son falsamente aceptados.
CER / Crossover tasa de error.- El porcentaje
en el que la Tasa de Rechazo Falso es igual a
la Tasa de Aceptacin Falsa
Otros factores que deben ser considerados:
Tiempo de inscripcin.- es el tiempo
necesario para registrarse inicialmente en un
sistema de muestras para la caracterstica
biomtrica a ser evaluada.
Tasa de rendimiento.- La velocidad a la que
las personas pueden ser procesadas e
identificadas o autenticada por un sistema.
Aceptabilidad.- Consideraciones de la
intimidad, invasin, y la comodidad fsica y
psicolgica cuando se utiliza el sistema
Son sistemas inteligentes basados en que el
usuario sepa o recuerde algo. Los sistemas
basados en conocimiento de contraseas usa
varios esquemas:
Usuario seleccionado.- El usuario tiene rienda
suelta en el tipo y la longitud de la contrasea
Generado.- El sistema explcitamente genera
una contrasea para el usuario
Token generado.- El sistema funciona en
combinacin con una tarjeta de token para
proporcionar una contrasea para el usuario
Por defecto.- El sistema proporciona una
contrasea por defecto
Composicin.- La combinacin de dos
palabras sin relacin alguna
Pase de frases - Buena manera de tener
contraseas fuertes
La gestin de contraseas incluye los siguientes
temas:
Consideraciones de tiempo de vida
El costo de reemplazo
Riesgo de compromiso
Adivinar ataques
Nmero de veces que utiliza
Cambiar Contrasea
Sesenta das para usuarios regulares
Treinta das para usuarios con privilegio
Quince das para el oficial de seguridad
Una contrasea es una cadena protegida de
caracteres usado para autenticar a un
individuo. Para limitar el numero de intentos
de falla, los administradores crean un nivel
mximo y cuando son agotados bloquean el
acceso de la cuenta.
Verifica la seguridad de una clave elegida
Generador de claves
Expiracin de una clave
Limite de intentos de logeo.
Los Administradores usan mtodos un
esquema de dispositivos de tokens.
Dispositivo token sncrono.- sincroniza con el
servicio de autenticacin usando el tiempo o
un evento.
Dispositivo de token sncrono basado en el
tiempo.- el dispositivo y el servicio de
autenticacin deben mantener el mismo
tiempo dentro de sus relojes internos.
Los PIN son Numeros de Indetificacin
Personal
Para esto el usuario suministra dicho numero
y el dispositivo token, e inmediatamente se
genera una Contrasea de uso momentaneo
OTP (One Time Password)
DAC Control de Acceso Discrecional
El control de acceso es el conjunto de
mecanismos que permite a los
administradores de un sistema de vetar
cierta influencia moderada sobre el
comportamiento, el uso y el contenido de
un sistema. Permite especificar lo que
pueden hacer los usuarios, que recursos
puedan tener acceso, y que operaciones
pueden realizar en un sistema.
Uno de estos modelos es el Control de Acceso
Discrecional (DAC). En el modelo DAC, el dueo
del recurso especifica qu datos se pueden
tener acceso o recursos especficos. En otras
palabras, si usted est usando un modelo DAC,
usted decide cmo quiere proteger y compartir
sus datos. La aplicacin ms comn de la DAC
es a travs de listas de control de acceso (ACL).
Otras informaciones relevantes sobre el modelo
DAC incluye lo siguiente:
Acceso restringido con base en la
autorizacin concedida al usuario
Definiciones basadas el Libro Naranja de nivel
C
Separacin y proteccin de los principales
usuarios de datos no autorizados
El uso de Unix, NT, NetWare, Linux
La confianza en el propietario del objeto para
controlar el acceso
En este tipo de sistema de control, las
decisiones estn basadas en el privilegio
(autorizacin) de sujeto (usuario) y
sensibilidad (clasificacin) de un objeto
(archivo) a travs de la utilizacin del
etiquetado. En otras palabras, el sistema
decide qu datos sern compartidos. Por
ejemplo, los militares clasifican un
documento en secreto. Un usuario se puede
conceder el privilegio de secretos y acceso a
los objetos con esta clasificacin o menos
el tiempo que tienen una "necesidad de
saber".
El sistema asigna los niveles de sensibilidad.
Cada objeto se le asigna una etiqueta de sensibilidad
y es accesible slo a los usuarios que se borran hasta
ese nivel en particular.
Slo los administradores, no dueos de objeto, puede
cambiar el nivel de objeto.
MAC es generalmente ms segura que la DAC.
Los parmetros estn definidos por el libro Naranja
B-nivel.
La criticidad de los niveles de seguridad, tales como
instalaciones militares, definen el uso del MAC.
El Orange Book, es una norma que establece los
requisitos bsicos de seguridad informtica TCSEC
Criterios Fiables de la seguridad del Sistema del
Departamento de Defensa.
RADIUS (Servicio de Usuario de Marcacin
Remota) - Un protocolo cliente / servidor y un
software que permite RAS para comunicarse
con un servidor central para autenticar
usuarios de acceso telefnico y autorizar su
acceso a los sistemas
TACACS + (Terminal Access Controller Access
Control System Plus) - Un protocolo de
autenticacin que permite a un RAS que
transmita las credenciales de un usuario A
inicio de sesin a un servidor de autenticacin.
TACACS es un protocolo de cifrado, y por lo
tanto, menos segura que la posterior TACACS
+ y RADIUS protocolos
En esta metodologa de control de acceso, los
propietarios o creadores de archivos deben
mantener el control de acceso. Este enfoque
proporciona una mayor flexibilidad para que un
administrador individual, pero se presenta
como una solucin de compromiso con menos
aplicacin coherente de la poltica de control
de acceso . Ejm.
Dominios - Un conjunto de objetos y sujetos
que tienen derechos de acceso a operaciones
definidas.
Confianza - Un sistema de confianza de
computadora entre: objetos / temas / y
operaciones.
Un dominio de seguridad es un nico dominio
de confianza para las acciones de una poltica
de seguridad individual y de una fuente nica
de gestin. Por lo general, los dominios se
definen como una esfera de influencia. Los
dominios se basan en la confianza, pero las
relaciones de confianza a veces puede verse
comprometida si no se cuenta con reglas bien
definidas. Cada dominio de seguridad es
diferente porque las diferentes polticas y la
gestin tambin lo son y hace que la
escalabilidad en la organizacin sea mas
compleja.
Los dominios de seguridad se utilizan en los
sistemas operativos y aplicaciones para
garantizar que las actividades de delincuentes
no generen daos a los archivos o procesos
importantes del sistema. La segmentacin de
los espacios de memoria y las direcciones a
proteger en un nivel de seguridad. Un
dominio de seguridad tambin se puede
describir como los recursos disponibles para
un usuario.
La deteccin de intrusiones es el intento de
un sistema de identificar y aislar los ataques
informticos y de red mediante la
observacin de los registros del sistema, los
datos de auditora, o el trfico en las lneas
de datos.
Los datos de auditora se refiere a los
registros de auditora de todas las actividades
en un sistema y son los datos ms comunes
para un Sistema de Deteccin de Intrusos
(IDS).
Un IDS tiene tres componentes bsicos: un
sensor (agente), un analizador, y una
interface de seguridad (tambin llamado
director). El sensor contiene informacin y la
enva al analizador. El analizador recibe estos
datos e intenta determinar si los datos
constituyen un ataque o intrusin. La
interface de seguridad, que suele ser un
dispositivo independiente, muestra la salida
al administrador de seguridad que configur
los sensores de red.
1.- Sistemas de Deteccin basado en Red (NIDS)
2.- Sistemas de Deteccin basado en Host (HIDS)
Los dispositivos IDS intentan identificar alguno de
los siguientes tipos de intrusiones:
1. Errores de validacin de entrada
2. Desbordamiento de bfer
3. Condiciones de frontera
4. Acceso errores de validacin
5. Errores de manejo de estados de excepcin
6. Errores ambientales
7. Errores de configuracin
8. Condiciones de Carrera
Fin Capitulo 1
El Profesor