Vous êtes sur la page 1sur 51

Modelos y polticas de

seguridad

Modelo de Seguridad
Es un marco de referencia dentro del cual se pueden

desarrollar las polticas de seguridad que son nicas a la


empresa.
Es una filosofa que gua la forma en la que la empresa
enfoca la seguridad.

Modelo de seguridad abierto

Modelo de seguridad restrictivo

Modelo de seguridad cerrado

Modelos de seguridad
OCTAVE

RFC2196. Manual para la seguridad de sitios


Common Criteria/ISO 15048
Cisco SAFE
ISO 27001/27002

OCTAVE
OCTAVE (Operationally Critical Threat, Asset and

Vulnerability Evaluation Evaluacin de amenazas,


vulnerabilidades y activos operacionalmente crticos),
desarrollado por CERT/CC.
Es un conjunto de herramientas tcnicas y mtodos para
la evaluacin y planificacin estratgica de informacin
de seguridad basada en riesgos.
Fue diseado para integrarse a cualquier modelo de
seguridad existente.
Es auto-dirigido, requiere de equipos pequeos de
personal para recolectar y dirigir la seguridad de la
informacin de la empresa.

OCTAVE

Los objetivos principales que busca son:


Construccin de Perfiles de Amenazas Basados en Activos
Identificacin de la infraestructura de Vulnerabilidades
Desarrollo de Planes y Estrategias de Seguridad

Elementos principales
Medidas de probabilidad considerando un rango de frecuencias
Anlisis del lmite ente niveles de probabilidad

OCTAVE
Contempla tres modelos:
Mtodo OCTAVE. Formulas las bases para el cuerpo principal de
conocimiento.
Mtodo OCTAVE-S. Es el mtodo usado en organizaciones
pequeas
Mtodo OCTAVE Allegro. Enfoque amplio para la evaluacin y
aseguramiento seguro de informacin.

RFC2196. Manual de Seguridad de Sitios


Es un estndar usado en la prctica de la seguridad de la

informacin.
Manual de seguridad que puede ser utilizado como estndar
para establecer Polticas de Seguridad.
Caractersticas:
Se debe poder poner en prctica mediante procedimientos descritos

de administracin de sistemas, publicacin de guas sobre el uso


aceptable de los recursos informticos o por medio de otros mtodos
prcticos apropiados
Debe poder implantarse
Debe obligar al cumplimiento de las acciones relacionadas mediante
herramientas de seguridad
Tiene que detectar fugas o errores; debe definir claramente las reas
de responsabilidad de los usuarios, administradores y direccin, y
tener un uso responsable para toda situacin posible.

RFC2196. Manual de Seguridad de Sitios


Polticas de Seguridad
Que es una Poltica de Seguridad y porque es necesaria.
Que es lo que hace que una Poltica de Seguridad sea buena.
Manteniendo la Poltica Flexible.
Arquitectura de Red y de Servicios
Configuracin de Red y de Servicios.
Firewalls.
Servicios y Procedimientos de Seguridad
Autentificacin
Confidencialidad.
Integridad.
Autorizacin, Acceso y Auditoria
Gestin de Incidentes de Seguridad
Notificacin y puntos de contacto
Identificando un Incidente
Gestin de un Incidente
Consecuencias de un Incidente
Responsabilidades.

Cisco SAFE
Es un modelo con un enfoque de seguridad por capas, que presenta

un diseo modular.
No es un modelo de seguridad aislado, supone que los usuarios
tienen ya su propio modelo de seguridad por lo que SAFE acta
como un Addendum especfico para seguridad de redes.

Cisco SAFE
Presenta seis metas de seguridad:
Seguridad y mitigacin de ataques basada en polticas
Implementacin de seguridad a travs de la infraestructura
Gestin y reportes seguros
Autenticacin y autorizacin de usuarios y administradores a
recursos de red crticos
Deteccin de intrusiones para recursos crticos y subredes
Soporte a aplicaciones de red emergentes

Common Criteria/ISO 15048


Establece un conjunto de requisitos para definir las

funciones de seguridad de los productos y sistemas de


Tecnologas de la Informacin y de los criterios para
evaluar su seguridad.
El proceso de evaluacin, realizado segn lo prescrito en
Common Criteria, garantiza que las funciones de
seguridad de tales productos y sistemas renen los
requisitos declarados.

ISO 27001
El ISO-27001:2005 es aceptado internacionalmente para la

administracin de la seguridad de la informacin y aplica a todo tipo


de organizaciones, tanto por su tamao como por su actividad.
ISO-27001:2005 es el estndar de facto de procedimientos para
garantizar la seguridad en la gerencia de la integridad de la
informacin.

ISO 27001
Su ttulo completo es BS 7799-2:2005 (ISO/IEC 27001:2005).

Tambin fue preparado por el JTC 1 y en el subcomit SC 27,


IT Security Techniques.
El conjunto de estndares que aportan informacin de la
familia ISO-2700x son:
ISO/IEC 27000 Fundamentals and vocabulary.

ISO/IEC 27001 ISMS - Requirements (revised BS 7799 Part 2:2005).

Publicado el 15 de octubre del 2005.


ISO/IEC 27002 Code of practice for information security management.
Actualmente ISO/IEC 17799:2005, publicado el 15 de junio del 2005.
ISO/IEC 27003 ISMS implementation guidance (en desarrollo).
ISO/IEC 27004 Information security management measurement (en
desarrollo).
ISO/IEC 27005 Information security risk management (basado en
ISO/IEC 13335 MICTS Part 2 e incorporado a ste; en desarrollo).

Dominios de
seguridad de red
ISO/IEC 27002:2013
especifica 14 dominios de
seguridad de redes
Proveen un marco de trabajo
organizado para facilitar la
comprensin de la seguridad
de una red.
En Bolivia IBNORCA aprob
en 2007 una actualizacin a
la norma bajo la sigla NB
ISO/IEC 17799:2005.
Actualmente el IBNORCA ha
emitido la norma NB ISO/IEC
27001 y NB ISO/IEC 27002

Axiomas de la Seguridad
Las prioridades del negocio son primero

La seguridad de red promueve un buen diseo de red


Todo es un objetivo
Todo es un arma
Optar por la simplicidad operacional
La buena seguridad de red es predecible
Evitar la seguridad a travs de la obscuridad
Confidencialidad y seguridad no son lo mismo

Axiomas de la Seguridad
Las prioridades del negocio son primero
Es absolutamente necesario asegurar que el negocio pueda
continuar para evolucionar.
Muchas veces los requerimientos del negocio pueden ir en

contraposicin a las polticas de seguridad.


La relacin entre los objetivos del negocio, las polticas de seguridad y
el diseo de seguridad es simbitica

La seguridad de red promueve un buen diseo de red


Un diseo de red que considere desde el principio a la
seguridad, puede establecer un balance entre las tcnicas de
seguridad y la infraestructura de red.
Esto mejora la confiabilidad y escalabilidad de la red.
Si el diseo de red no considera a la seguridad, al implementarla

soportar problemas en el rendimiento de la red e introducir mayores


puntos de vulnerabilidad.

Axiomas de la Seguridad
Todo es un objetivo
Se debe considerar la gran interdependencia de las redes
actuales. Hay varias formas de lograr un mismo ataque.
Muchas implementaciones de seguridad suelen preocuparse ms por

proteger los servidores que el resto de la red.

Todo es un arma
Todo puede ser usado como un arma y servir para realizar
ataques contra futuros objetivos.
A menudo los aspectos que se deben proteger y la forma en la cual se

protegen difieren de los mecanismos de proteccin que se han


implementado.
Muchas veces se utilizan los sistemas propios como armas contra la
misma red.

Axiomas de la Seguridad
Optar por la simplicidad operacional
Buscar mecanismos de seguridad simples operacionalmente, su
complejidad puede facilitar su compromiso.
No confundir simplicidad operacional con la simplicidad topolgica.
Simplicidad operacional significa la diferencia entre un sistema seguro que

trabaja para uno y un sistema seguro para cual trabaja uno.

La buena seguridad de red es predecible


Es importante lograr que la red siempre acte como se espera
Se debe entender las fortalezas y debilidades del sistema de
seguridad cuando surge una nueva vulnerabilidad, y poder decidir
rpidamente como lidiar con dicho problema.
Se deben considerar los procesos operacionales para asegurar que se

lidiar adecuadamente con los incidentes de seguridad que sucedan

Axiomas de la Seguridad
Evitar la seguridad a travs de la obscuridad
El diseo de seguridad debe ser indiferente de lo que
otros puedan conocer.
No significa que no se puedan usar mecanismos basados en

obscuridad, sino que no se debe confiar en ellos.

Confidencialidad y seguridad no son lo mismo


La seguridad va ms all de proteger slo la informacin,
tambin protege los sistemas y funciones relacionados
previniendo su uso inapropiado.
Cuando se disean redes seguras, se debe proteger la red entera

incluso si ya los elementos protegidos ya proveen confidencialidad

Desarrollo de un
sistema de seguridad
Se tienen tres pasos:
Revisin de los factores para la
poltica de seguridad
Desarrollo de la poltica de
seguridad
Diseo del sistema de seguridad

Examinar los factores para la poltica de


seguridad
Evaluar las necesidades del negocio
Comprensin de las Metas del negocio
Anlisis de Costo/Beneficio entre la amenaza y la mitigacin de la
misma
Realizar un Anlisis de riesgo que permita justificar las

contra medidas

Desarrollar la poltica de seguridad


Se debe escribir un documento simple y de preferencia corto.

Polticas importantes
Uso aceptable
Conexiones a/desde redes remotas
Niveles de sensibilidad de la informacin que maneja una organizacin
Proteccin de la privacidad de los usuarios de la red y sus datos
Lineamientos que deben seguir todos los dispositivos antes de conectarse

a la red

Disear el sistema de seguridad


Implementar los documentos de polticas en el sistema

seguro.
Implementacin del reforzamiento de los equipos
Configuracin de los dispositivos de red

Debe considerarse que las polticas NO son el nico

medio para asegurar un sistema


Se tienen tambin las buenas prcticas, que no deben
dejarse de lado

Ciclo de vida operacional del sistema de


seguridad
Las operaciones de seguridad son el proceso de revisar,

adaptar y responder ante eventos de seguridad que


puedan ocurrir en la red.
Existen tres reas de operaciones de seguridad:
Monitoreo y mantenimiento de los sistemas
Verificacin de conformidad
Respuesta ante incidentes

Monitoreo y mantenimiento de los


sistemas
El monitoreo es un proceso crtico que puede terminar en

cambios en el sistema de seguridad o las polticas


subyacentes.
El mantenimiento es el proceso de asegurar que el
sistema se encuentre actualizado con los ltimos parches
de seguridad.

Verificacin de conformidad
Es el proceso que toma las polticas, estndares y guas

de seguridad y las contrasta con pruebas de


herramientas de ataque reales, busca asegurar:
Que el sistema de seguridad implemente los requerimientos de las

polticas de seguridad de forma efectiva.


Que las polticas de seguridad manejen adecuadamente las
vulnerabilidades que existen en el entorno.

Respuesta ante incidentes


Involucra todas las actividades tcnicas, legales y

administrativas que se realizan cuando ha habido algn


evento que ha logrado comprometer la seguridad del
sistema.
Si bien no existe ningn sistema 100% seguro, implica alguna falla

en las polticas, la seguridad del sistema, el equipo de operaciones


o los supuestos subyacentes.

Costo de la seguridad
El esfuerzo econmico en seguridad es imposible de medir pero

considerando que debe ser siempre proporcional al riesgo de


perdidas, que SI ES MEDIBLE, es posible hacer estimaciones
razonables.

Costos colaterales
Costos & ROI (Return of Investment)
Costos de personal
Difcil encontrar tcnicos cualificados
Muy alta rotacin en segn que sectores
Costos tecnolgicos: HW, SW, ROI
Costos ocultos (a menudo elevados)
Costos de cumplimiento de la legalidad
Costos de cumplimiento de polticas y normativas
Costos de seguros
Costos de Organizacin
Tiempo y esfuerzo en la integracin de sistemas de seguridad

En Bolivia se estima que los bancos gastan alrededor de 400 mil dlares

anuales en seguridad.

Mecanismos de seguridad
Caractersticas diseadas para detectar,

prevenir o recuperarse de un ataque


No hay un nico mecanismo que soporte

todos los servicios de seguridad


requeridos
Un elemento que es comn a muchos de

los mecanismos: las tcnicas


criptogrficas

Mecanismos de seguridad (X.800)


Especficos (pueden ser incorporados en la capa de protocolo

adecuada):
Cifrado, Firma digital, Control de acceso, Integridad de los datos,

Intercambio de autenticacin, Relleno del trfico, Control de


enrutamiento y Notarizacin
Generales (no son especficos de ninguna capa de protocolo o

sistema de seguridad OSI en particular):


Funcionalidad fiable, Etiquetas de seguridad, Deteccin de acciones,

Informe para la auditora de seguridad y Recuperacin de la


seguridad

Servicios de seguridad

Un servicio de procesamiento o de

comunicacin proporcionado por un


sistema para dar un tipo especial de
proteccin a los recursos del sistema; los
servicios de seguridad implementan
polticas de seguridad y son
implementados, a su vez, por mecanismos
de seguridad (RFC 2828)
Un servicio proporcionado por una capa de

protocolo, que garantiza la seguridad


adecuada de los sistemas y de las
transferencias de datos (X.800)

Servicios de seguridad (X.800)

Autenticacin (Authentication)

Garantiza que alguien es quien dice ser (autntico)


M: login/password, huella dactilar, certificado digital,

Control de acceso (Access Control)


Evita el acceso no autorizado a un recurso
M: ACLs

Confidencialidad de los datos (Data confidentiality)


Proteccin de los datos (y del flujo de trfico) de su revelacin no

autorizada
M: cifrado

Servicios de seguridad (X.800)

Integridad de los datos (Data integrity)

Garantiza que los mensajes se reciben tal y como son enviados (sin

duplicacin, insercin, modificacin, reordenacin ni destruccin)


M: hash, firma digital
No repudio (Non-repudiation)
Evita que emisor o receptor nieguen la transmisin o la recepcin de

un mensaje, respectivamente
M: firma digital, notarizacin
Disponibilidad
Evita que se interrumpa el servicio

M: duplicacin de servicios, discos en RAID, fuentes de alimentacin

redundantes, servidores en clster, etc.

Servicios Vs. Ataques

Servicios vs. mecanismos seguridad

Poltica de seguridad
Conjunto formal de reglas que todas las personas que

tienen un determinado acceso a la tecnologa e


informacin de una organizacin deben cumplir.
(RFC2196. Site Security Handbook)

Propsito de las polticas de seguridad


El principal objetivo de una Poltica de Seguridad es

informar a los usuarios, staffs y administradores de los


requisitos obligatorios a cumplir, para proteger los bienes
de informacin y tecnologa.
La poltica debe especificar los mecanismos a travs de los cuales

se realiza.

Otro propsito es proveer de una lnea base a travs de

la cual adquirir, configurar y auditar sistemas


computacionales y redes, en conformidad con la poltica.

Caractersticas

Se debe implementar a travs de procedimientos de

administracin de sistemas, publicando pautas directivas


aceptables u otros mtodos apropiados.
Debe ser exigible con herramientas de seguridad si es
preciso, y con sanciones, donde la prevencin actual no
es tcnicamente factible
Debe definir claramente las reas de responsabilidad de
los usuarios, administradores y la direccin

Factores que influyen en la poltica de


seguridad
Servicios ofrecidos v/s seguridad provista: Para algunos

servicios, el riesgo pesa ms que el beneficio del servicio.


Facilidad de uso v/s seguridad: La facilidad de uso puede
ocasionar una disminucin en la seguridad de un sitio.
Costo de seguridad v/s riesgo de prdida: Cada tipo de
costo (monetario, rendimiento y facilidad de uso) debe ser
dimensionado con respecto a cada tipo de prdida
(prdida de privacidad, prdida de datos y la prdida del
servicio).

A quines involucra?
Para que una poltica de seguridad sea apropiada y

efectiva, necesita tener la aceptacin y el respaldo de


todos los niveles de la organizacin, particularmente de la
direccin.
Administrador de seguridad
Staff tcnico de tecnologas de informacin
Administradores de grandes grupos de usuarios dentro de la

organizacin (por ejemplo, divisin de negocios, departamento de


ciencias de computacin de una Universidad, etc.)
Equipo de asistencia a incidentes de seguridad
Representantes de los grupos de usuarios afectados por las
polticas de seguridad
Administrador responsable
Consejo legal (si es apropiado)

Las polticas deben ser flexibles


Para que una poltica de seguridad sea viable en el largo plazo, se

requiere una gran flexibilidad, basada en un concepto arquitectnico


de la seguridad.
Una poltica de seguridad debera ser independiente de situaciones
especficas de software y hardware (como sistemas especficos que
tienden a ser reemplazados durante la noche).
Los mecanismos para actualizar las polticas, deben ser claramente

explicados.
Es importante reconocer que existen excepciones a cada regla.
Cuando sea posible, la poltica debe explicar cules excepciones a la poltica
general existen.
Considerar el "Garbage Truck Syndrome", que se refiere a qu

debera ocurrir en un sitio si, en forma repentina, una persona clave


no se encuentra disponible.
Mientras la mayor seguridad radica en la mnima diseminacin de informacin,

el riesgo de perder informacin crtica se incrementa cuando esa informacin


no es compartida.

Ejemplo de polticas

Estndares de seguridad
Conjunto mnimo de criterios operacionales para

determinada tecnologa o activo


Proveen una gua cuando se va a elegir nuevo equipamiento, o se

instala una nueva pieza de hardware o software.


Un estndar no es necesariamente especfico a un sistema, puede
llegar a ser un conjunto de requerimientos que todo el
equipamiento de red debe alcanzar.

Estndares de seguridad
NIST: National Institute of Standards and Technology
FIPS: Federal Information Processing Standards
SP: Special Publications
ISOC: Internet Society
Home for IETF (Internet Engineering Task Force) and IAB (Internet
Architecture Board)
RFCs: Requests for Comments

Guas y Procedimientos de seguridad


Definen las mejores prcticas de la organizacin
Son similares a los estndares pero no son obligatorias, son
altamente recomendadas.
Dependen de las arquitecturas de red para su implementacin.

Ejemplo de Procedimientos

Consultas

Vous aimerez peut-être aussi