Seguridad en Sistemas

Informticos (SSI)
Visin general de
la seguridad informtica

Carlos Prez Conde

Departament d'Informtica
Escola Tcnica Superior d'Enginyeria
Universitat de Valncia

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

Guin

El proceso de la seguridad

Riesgos y vulnerabilidades

La poltica de seguridad

Tratamiento de incidentes

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

Qu significa seguridad?

"Un sistema informtico (SI) es seguro si se

puede depender de que se comporte tal y
como de l se espera." [GS96, p. 6]

Cualquier SI puede ser comprometido:

errores sw/hw
accidentes y causas naturales
ataque con suficientes recursos y conocimientos

Compromiso: cuntos recursos destinar?

Poltica de seguridad

Estrategia de seguridad

26/02/08

Cmo debe comportarse el sistema?

Cunto esforzarse en garantizar que se cumple?
cmo conseguirlo?
Carlos Prez, Dpto. de Informtica, ETSE, UVEG

Concepto de seguridad
Papel del profesional de seguridad:

La seguridad es un proceso

26/02/08

ayudar en el establecimiento de la poltica de seguridad

disear e implantar la estrategia de seguridad
comprobar que se cumple la poltica de seguridad

prevencin
deteccin
reaccin

Requiere participacin universal

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

El proceso de la seguridad
sistema nuevo
asegurar

preparar

Recomendacin del CERT

(Center for Emergency Response Team)

mejorar

SKiP
(Security Knowledge in Practice)
http://www.cert.org/archive/pdf/SKiP.pdf

detectar

responder

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

El proceso de la seguridad
sistema nuevo
asegurar

preparar

configurar adecuadamente los sistemas

para protegerlos frente a ataques conocidos

mejorar

instalar lo mnimo (versiones recientes)

instalar los parches disponibles
denegar primero, permitir despus
habilitar el mximo nivel de registro posible

detectar

responder

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

El proceso de la seguridad
sistema nuevo
asegurar

preparar

caracterizar el sistema para reconocer

ataques/problemas nuevos/inesperados

mejorar

definir el comportamiento esperado

identificar la informacin necesaria
gestionar los mecan. de recopilacin de infor.
seleccionar, instalar y comprender
las herramientas de respuesta

detectar

responder

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

El proceso de la seguridad
sistema nuevo
asegurar

preparar

monitorizar el comportamiento,
analizar la necesidad de cambios

mejorar

deteccin de comportamiento anmalo

avisos externos de vulnerabilidades
disponibilidad de nuevos parches
disponibilidad de nuevas versiones de sw

detectar

responder

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

El proceso de la seguridad
sistema nuevo
asegurar

preparar

recuperar el comportamiento
normal del sistema

mejorar

establecer el alcance del dao

contener los efectos
eliminar la posibilidad de nuevas intrusiones
devolver el sistema a su funcionamiento normal

detectar

responder

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

El proceso de la seguridad
sistema nuevo
asegurar

preparar

aprovechar el incidente
para aumentar la seguridad del sistema

mejorar

comunicarse con otros grupos afectados

reunirse para identificar lo aprendido
actualizar polticas y procedimientos
actualizar la configurac. de las herramientas,
seleccionar nuevas herramientas

detectar

responder

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

10

El proceso de la seguridad
sistema nuevo
asegurar

preparar

Recomendacin del CERT

(Center for Emergency Response Team)

mejorar

SKiP
(Security Knowledge in Practice)
http://www.cert.org/archive/pdf/SKiP.pdf

detectar

responder

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

11

Guin

El proceso de la seguridad

Riesgos y vulnerabilidades

La poltica de seguridad

Tratamiento de incidentes

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

12

Requisitos de seguridad
Secreto o confidencialidad

Integridad

consistencia de la informacin
modificacin de los datos
Ejemplo: modificacin de un saldo

Disponibilidad

26/02/08

lectura
conocimiento de existencia
Ejemplo: empresas e instituciones
(patentes industriales, secretos de estado...)

disponibilidad para los usuarios autorizados

evitar el uso no autorizado
Ejemplo: el gusano de Internet
Carlos Prez, Dpto. de Informtica, ETSE, UVEG

13

Amenazas a los
componentes del sistema
Soporte fsico

Soporte lgico (sw)

confidencialidad: copias no autorizadas

integridad: modificacin del sw
disponibilidad: borrado o daado del sw
medidas: administracin cuidadosa del sistema

Datos

26/02/08

disponibilidad: el equipo puede ser daado

medidas fsicas y administrativas

confidencialidad: lectura, copia, informacin indirecta

disponibilidad: eliminacin, modificacin del control de acceso
integridad: modificacin, creacin
medidas: administracin + colaboracin de los usuarios
Carlos Prez, Dpto. de Informtica, ETSE, UVEG

14

Principios de diseo
Principio del menor privilegio

Economa de mecanismos

sencillez para verificacin

parte integral del diseo del sistema

Aceptabilidad

completos, pero sin interferencias innecesarias

sencillos de utilizar

Intervencin completa

todos los accesos deben ser controlados

Diseo abierto

26/02/08

cada accin realizada con los privilegios estrictamente necesarios

los mecanismos de seguridad no deben ser secretos

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

15

Guin

El proceso de la seguridad

Riesgos y vulnerabilidades

La poltica de seguridad

Tratamiento de incidentes

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

16

Polticas de seguridad
Anlisis previos:

La poltica de seguridad establece:

qu se protege y por qu
quin es responsable de esa proteccin
cmo resolver problemas derivados de su aplicacin

La poltica de seguridad del sistema:

26/02/08

anlisis de las necesidades de seguridad

anlisis de riesgos
anlisis de costes y beneficios

debe ser impulsada por la administracin de la

empresa/institucin
debe ser conocida y comprendida por todos los usuarios
Carlos Prez, Dpto. de Informtica, ETSE, UVEG

17

Creacin de la poltica de
seguridad

Usos y costumbres de los usuarios

Reglas (escritas y no escritas) y la cultura de

la organizacin

Redaccin del documento

26/02/08

especfico
claro
conciso
realista

Poltica bien escrita fcil generar una lista

de comprobacin de que se cumple

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

18

Guin

El proceso de la seguridad

Riesgos y vulnerabilidades

La poltica de seguridad

Tratamiento de incidentes

26/02/08

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

19

Gestin de incidentes de seguridad

Preparacin

Deteccin e identificacin

Contencin

Erradicacin

26/02/08

reforzar las medidas de prevencin (eliminar las nuevas

vulnerabilidades)

Recuperacin

contener y limpiar versus observar y aprender

preparar futuros anlisis mientras se limita el dao

necesidad de reforzar la vigilancia para comprobar la efectividad

de los cambios

Lecciones aprendidas
Carlos Prez, Dpto. de Informtica, ETSE, UVEG

20

Caso de ejemplo:
descripcin de incidentes de
seguridad
Ejemplo de incidente

Sun Microsystems Java GIF image processing buffer overflow

Preguntas

cmo funciona?
qu riesgos supone?
cmo se puede resolver el problema?
cmo se puede resolver el problema en openSUSE 10.3?

Cmo informar de un incidente?

26/02/08

US-CERT: http://www.kb.cert.org/vuls/id/388289
CVE: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0243

http://www.cert.org/tech_tips/incident_reporting.html

Carlos Prez, Dpto. de Informtica, ETSE, UVEG

21