Vous êtes sur la page 1sur 251

Universidad Autnoma de Tamaulipas

Unidad Acadmica Multidisciplinaria Agronoma y Ciencias

Tesis
Herramientas para la seguridad de redes almbricas e inalmbricas en una empresa.

por:

JULIO MANUEL MONTEMAYOR AGUILERA


Presentada como requisito parcial para obtener el titulo de:

INGENIERO EN TELEMTICA

Cd. Victoria Tamaulipas

Abril 2008

Universidad Autnoma de Tamaulipas

Unidad Acadmica Multidisciplinaria Agronoma y Ciencias

Tesis
Herramientas para la seguridad de redes almbricas e inalmbricas en una empresa.

por:

JULIO MANUEL MONTEMAYOR AGUILERA


Presentada como requisito parcial para obtener el titulo de:

INGENIERO EN TELEMTICA

Cd. Victoria Tamaulipas

Abril 2008

UNIVERSIDAD AUTNOMA DE TAMAULIPAS


UNIDAD ACADMICA MULTIDISCIPLINARIA AGRONOMA Y CIENCIAS

Herramientas para la seguridad de redes almbricas e inalmbricas en una empresa. Esta tesis fue elaborada bajo la supervisin del comit particular indicado, la cual ha sido aprobada como requisito parcial para obtener el titulo de:

INGENIERO EN TELEMTICA COMIT PARTICULAR

______________________________ M. C. Edgar Perez Arriaga Asesor

______________________________ M. C. Arnoldo del Prado Fuentes Asesor

______________________________ M. C. Sergio Alvarez Montalvo Asesor

______________________________ M. C. Froylan Lucero Magaa Director

______________________________ M. C. Hugo Silva Espinosa Secretario Acadmico

SEGURIDAD INFORMATICA

HERRAMIENTAS PARA LA SEGURIDAD DE REDES ALAMBRICAS E INALABRICAS EN UNA EMPRESA.


INDICE
Captulo I: Introduccin. 1 1.1 Objetivos 2 Captulo II: Revisin de Literatura 3 2.1 Prembulo 3 2.1.1 Historia de la Seguridad. 3 2.1.2 Panorama de Seguridad. 3 2.1.3 Problemas de Seguridad en las Empresas. 4 2.1.4 Tipos de Amenaza. 5 2.1.5 Desafos de la Seguridad en las Empresas. 6 2.1.6 Polticas de Seguridad en las Empresas. 7 2.1.7 Asegurando la Empresa. 8 2.2 Seguridad Fsica y Preservacin de Datos. 8 2.2.1 Vulnerabilidades en la Seguridad Fsica. 9 2.2.2 Soluciones. 10 2.2.2.1 Construyendo la Infraestructura. 10 2.2.2.1.1 Puntos de Ataque. 10 2.2.2.1.2 Medidas de Proteccin. 11 2.2.2.2 Utilidades. 11 2.22.2.1 Puntos de Ataque. 12 2.2.2.2.2 Medidas de Proteccin. 12 2.2.2.3 Esquema de la Oficina y Uso. 13 2.2.2.3.1 Medidas de Proteccin. 13 2.2.2.4 Componentes de Red y Computadoras. 14 2.2.2.4.1 Puntos de Ataque. 14 2.2.2.4.2 Medidas de Prevencin. 16 2.2.3 Conclusiones. 16 2.3 Seguridad Lgica. 17 2.3.1 Controles de Acceso. 18 2.3.1.1 Identificacin y Autentificacin. 18 2.3.1.2 Roles. 20 2.3.1.3 Transacciones. 20 2.3.1.4 Limitaciones a los Servicios. 20 2.3.1.5 Modalidad de Acceso. 21 2.3.1.6 Ubicacin y Horario. 21 2.3.1.7 Control de Acceso Interno. 21 2.3.1.7.1 Contraseas. 21 2.3.1.7.2 Encriptacin. 22 2.3.1.7.3 Listas de Control de Accesos. 22 2.3.1.7.4 Lmites sobre la Interfase de Usuario 22 2.3.1.7.5 Etiquetas de Seguridad. 23 2.3.1.8 Control de Acceso Externo. 23 1

23 23 2.3.1.8.3 Acceso de Personal Contratado o Consultores. 23 2.3.1.8.4 Accesos Pblicos. 23 2.3.1.9 Administracin. 23 2.3.1.9.1 Administracin del Personal y Usuarios. 24 2.3.1.9.1.1 Organizacin del Personal. 24 2.3.2 Niveles de Seguridad Informtica. 25 2.3.2.1 Nivel D. 25 2.3.2.2 Nivel C1: Proteccin Discrecional. 26 2.3.2.3 Nivel C2: Proteccin de Acceso Controlado. 26 2.3.2.4 Nivel B1: Seguridad Etiquetada. 27 2.3.2.5 Nivel B2: Proteccin Estructurada. 27 2.3.2.6 Nivel B3: Dominios de Seguridad. 27 2.3.2.7 Nivel A: Proteccin Verificada. 27 2.4 Comunicaciones. 28 2.4.1 Objetivo de las Redes. 28 2.4.1.1 Estructuras. 29 2.4.1.1.1 Tecnologas de Transmisin. 30 2.4.1.1.2 Modelo Cliente Servidor. 30 2.4.1.1.3 Tecnologa de Objetos. 30 2.4.1.1.4 Sistemas Abiertos. 30 2.4.1.1.5 El Modelo OSI. 31 2.4.1.1.5.1 Transmisin de Datos en el modelo OSI 33 2.4.2 Protocolos de Red. 34 2.4.2.1 NetBiosNetBeuiNwLinkWins. 34 2.4.2.2 TCPIP. 35 2.4.2.2.1 Capas del Modelo TCPIP. 35 2.4.2.2.2 Funcionamiento. 36 2.4.2.2.3 Comparacin con el modelo OSI. 37 2.4.2.3 Capa Fsica del Modelo TCPIP. 37 2.4.2.3.1 ARP. 37 2.4.2.3.2 RARP. 37 2.4.2.4 Capa de Datos del Modelo TCPIP. 38 2.4.2.4.1 SLIP. 38 2.4.2.4.2 PPP. 38 2.4.2.5 Capa de Red del Modelo TCPIP. 39 2.4.2.5.1 IPXSPX. 39 2.4.2.5.2 IP. 39 2.4.2.5.2.1 DNS Nombres de Dominio 41 2.4.2.5.2.2 Puertos. 41 2.4.2.5.2.3 AppleTalk. 42 2.4.2.6 Capa de Transporte del Modelo TCPIP. 42 2.4.2.6.1 TCP. 42 2.4.2.6.2 UDP. 46 2.4.2.7 Capa de Aplicacin del Modelo TCPIP. 46 2.4.2.7.1 ICMP. 46 2.4.2.7.2 FTP. 46 2.4.2.7.3 HTTP. 47 2.4.2.7.4 SMTP. 49 2.4.2.7.5 POP. 49 2.4.2.7.6 MIME. 50 2

2.3.1.8.1 Dispositivo de Control de Puertos. 2.3.1.8.2 Firewalls.

2.4.2.7.7 NNTP. 2.4.2.7.8 SNMP. 2.4.3 Estructura Bsica de la Web. 2.4.3.1 Servicios de Internet. 2.4.3.1.1 TELNET. 2.4.3.1.2 IRC. 2.4.3.1.3 USENET. 2.4.3.1.4 FINGER. 2.4.3.1.5 WHOIS. 2.5 Amenazas Lgicas. 2.5.1 Acceso Uso Autorizacin. 2.5.2 Deteccin de Intrusos. 2.5.3 Identificacin de las Amenazas. 2.5.4 Tipos de Ataque. 2.5.4.1 Ingeniera Social. 2.5.4.2 Ingeniera Social Inversa. 2.5.4.3 Trashing. 2.5.4.4 Ataques de Monitorizacin. 2.5.4.4.1 Shoulder Surfing. 2.5.4.4.2 Decoy. 2.5.4.4.3 Scanning. 2.5.4.4.3.1 TCP Connect Scanning. 2.5.4.4.3.2 TCP SYN Scanning. 2.5.4.4.3.3 TCP FIN Scanning. 2.5.4.4.3.4 Fragmentation Scanning. 2.5.4.4.4 EavesDropping Packet Sniffing. 2.5.4.4.5 Snooping Downloading. 2.5.4.5 Ataques de Autentificacin. 2.5.4.5.1 Spoofing Looping. 2.5.4.5.2 Spoofing. 2.5.4.5.2.1 IP Spoofing. 2.5.4.5.2.2 DNS Spoofing. 2.5.4.5.3 Web Spoofing. 2.5.4.5.4 IP Splicing Hijacking. 2.5.4.5.5 Utilizacin de Backdoors. 2.5.4.5.6 Utilizacin de Exploits. 2.5.4.5.7 Obtencin de Password. 2.5.4.5.7.1 Uso de Diccionario. 2.5.4.6 Denial of Service DoS. 2.5.4.6.1 Jamming o Flooding. 2.5.4.6.2 SYN Flood. 2.5.4.6.3 Conection Flood. 2.5.4.6.4 Net Flood. 2.5.4.6.5 Land Attack. 2.5.4.6.6 Smurf o Broadcast Store. 2.5.4.6.7 OOB, Supernuke o WinNuke.
2.5.4.6.8 Teardrop I y II NewTearBonkBoink.

2.5.4.6.9 E-mail Bombing-Spamming. 2.5.4.7 Ataques de Modificacin Dao. 2.5.4.7.1 Tampering o Data Diddling. 2.5.4.7.2 Borrado de Huellos. 2.5.4.7.3 Ataques mediante Java Applets.

50 50 51 51 52 52 53 54 55 55 56 56 57 60 61 62 62 63 63 63 63 64 64 65 66 66 67 67 67 68 68 69 69 69 70 71 71 71 72 73 73 74 74 75 75 76 77 77 77 77 78 78 3

2.5.4.7.4 Ataques con JavaScript y VbScript. 79 2.5.4.7.5 Ataques mediante ActiveX. 79 2.5.4.7.6 Vulnerabilidades en los Navegadores. 80 2.5.4.8 Errores de Diseo, Implementacin y Operacin. 81 2.5.4.9 Implementacin de ests Tcnicas. 81 2.5.4.10 Forma de Defenderse de estos Ataques. 82 2.5.5 Creacin y difusin de Virus. 83 2.5.5.1 Origen. 83 2.5.5.2 Los Nmeros Hablan. 85 2.5.5.3 Descripcin de un Virus. 86 2.5.5.3.1 Tcnicas de Propagacin. 87 2.5.5.3.2 Tipos de Virus. 87 2.5.5.3.2.1 Archivos Ejecutables ExeVir. 88 2.5.5.3.2.2 Virus en el Sector de Arranque. 88 2.5.5.3.2.3 Virus Residente. 89 2.5.5.3.2.4 Macrovirus. 89 2.5.5.3.2.5 Virus de Mail. 90 2.5.5.3.2.6 Virus de Sabotaje. 90 2.5.5.3.2.7 Hoax, Virus Fantasmas. 91 2.5.5.3.2.8 Virus de Applets Java y ActiveX 91 2.5.5.3.2.9 Gusanos Reproductores. 91 2.5.5.3.2.10 Caballos de Troya. 91 2.5.5.3.2.11 Bombas Lgicas. 91 2.5.5.3.3 Modelo de Virus Informtico. 92 2.5.5.4 Tipos de Daos ocasionados por los Virus. 92 2.5.5.5 Autores. 93 2.5.5.6 Programa Antivirus. 94 2.5.5.6.1 Modelo de un Antivirus. 95 2.5.5.6.2 Utilizacin de los Antivirus. 96 2.5.5.7 Aspectos Jurdicos sobre Virus Informticos. 96 2.5.5.8 Consejos. 97 2.6 Proteccin. 99 2.6.1 Vulnerar para Proteger. 2.6.1.1 Adminstracin de la Seguridad. 2.6.1.2 Penetration Test, Ataques Simulados. 2.6.1.3 HoneyPots HoneyNets. 2.6.2 Firewalls. 2.6.2.1 Routers y Bridges. 2.6.2.2 Tipos de Firewall. 2.6.2.2.1 Filtrado de Paquetes. 2.6.2.2.2 Proxy Gateways de Aplicaciones. 2.6.2.2.3 Dual Homed Host. 2.6.2.2.4 Screened Host. 2.6.2.2.5 Screened Subnet. 2.6.2.2.6 Inspeccin de Paquetes. 2.6.2.2.7 Firewalls Personales. 2.6.2.3 Polticas de Diseo de Firewalls. 2.6.2.4 Restricciones en el Firewall. 2.6.2.5 Beneficios de un Firewall. 2.6.2.6 Limitaciones de un Firewall. 2.6.3 Listas de Control de Acceso ACL. 99 100 102 103 104 105 105 105 106 107 108 108 109 110 110 111 111 112 112 4

2.6.4 Wrappers. 2.6.5 Deteccin de Intrusos en Tiempo Real. 2.6.5.1 Intrution Detection Systems IDS. 2.6.5.1.1 Caractersticas de IDS. 2.6.5.1.2 Fortalezas de IDS. 2.6.5.1.3 Debilidades de IDS. 2.6.5.1.4 Inconveniencias de IDS. 2.6.6 Call Back. 2.6.7 Sistemas AntiSniffers. 2.6.8 Gestin de Claves Seguras. 2.6.8.1 Normas de Eleccin de Claves. 2.6.8.2 Normas para Proteger una Clave. 2.6.8.3 Contraseas de un solo uso. 2.6.9 Seguridad en Protocolos y Servicios. 2.6.9.1 NetBios. 2.6.9.2 ICMP. 2.6.9.3 FINGER. 2.6.9.4 POP. 2.6.9.5 NNTP. 2.6.9.6 NTP. 2.6.9.7 TFTP. 2.6.9.8 FTP. 2.6.9.8.1 FTP Annimo. 2.6.9.8.2 FTP Invitado. 2.6.9.9 Telnet. 2.6.9.10 SMTP. 2.6.9.11 Servidres WorldWideWeb. 2.6.10 Criptologa. 2.6.10.1 Historia. 2.6.10.2 Criptografa. 2.6.10.3 Criptoanlisis. 2.6.10.4 Criptosistema. 2.6.10.4.1 Transposicin. 2.6.10.4.2 Cifrados Monoalfabticos. 2.6.10.4.2.1 Algoritmo de Csar. 2.6.10.4.2.2 Susticin General. 2.6.10.5 Algoritmos Simtricos Modernos. 2.6.10.5.1 Redes de FEISTEL. 2.6.10.5.2 DES. 2.6.10.5.2.1 DES Mltiple. 2.6.10.5.3 IDEA. 2.6.10.5.4 BLOWFISH. 2.6.10.5.5 RC5. 2.6.10.5.6 CAST. 2.6.10.5.7 RIJNDAEL .

112 114 114 115 116 117 117 117 118 118 119 120 121 121 122 122 122 123 123 124 124 124 125 125 125 126 126 127 127 128 128 128 130 130 130 131 131 131 131 132 132 133 133 133 133 2.6.10.5.8 Criptoanlisis de Algoritmos Simtricos. 134 2.6.10.6 Algoritmos Asimtricos. 134 2.6.10.6.1 RSA. 135 2.6.10.6.1.1 Ataques a RSA. 135 2.6.10.6.2 Curvas Elpticas CEE. 136 2.6.10.7 Autentificacin. 136 2.6.10.7.1 Firma Digital. 137 5

138 138 138 138 138 139 2.6.10.8.1.3 Decodificacin de Mensajes. 139 2.6.10.8.1.4 Compresin de Archivos. 139 2.6.10.8.1.5 Algoritmos usados por PGP. 139 2.6.10.9 Esteganografa. 140 2.6.11 Comercio Electrnico. 140 2.6.11.1 Dinero Electrnico. 140 2.6.11.1.1 Certificados X.509. 141 2.6.11.1.2 SSL. 142 2.6.11.1.2.1 Limitaciones y Problemas de SSL. 143 2.6.11.1.2.2 Ventajas de SSL. 144 2.6.11.1.3 TLS. 144 2.6.11.1.4 SET. 145 2.6.12 Otros Protocolos de Seguridad. 146 2.6.12.1 SSH. 146 2.6.12.2 S/MME. 147 2.6.12.3 SOCKS. 148 2.6.12.4 KERBEROS. 148 2.6.12.4.1 Resumen de Kerberos. 150 2.6.12.4.2 Problemas de Kerberos. 151 2.6.13 Redes Virtuales Privadas VPN. 151 2.6.13.1 Requerimientos de VPN. 152 2.6.13.2 L2TP. 153 2.6.13.3 PPTP. 153 2.6.13.4 IPSEC. 153 2.6.14 Inversin 155 2.7 Ataques Simulados en redes almbricas. 155 2.7.1 Vulnerabilidades en la Infraestructura de Red. 2.7.2 Escogiendo Herramientas. 2.7.2.1 Escneres. 2.7.2.2 Pruebas de Valoracin. 2.7.3 Scanning, Poking and Prodding. 2.7.3.1 Escaneo de Puertos. 2.7.3.1.1 Ping sweeps. 2.7.3.1.2 Escneres de Puertos. 2.7.3.1.2.1 SuperScan. 2.7.3.1.2.2 Nmap. 2.7.3.1.3 Medidas de Proteccin. 2.7.3.1.3.1 Restriccin de Trfico. 156 157 158 158 159 159 162 163 163 164 166 166 2.7.3.1.3.2 Reuniendo Informacin de la Red. 167 2.7.3.1.3.3 Rechazo de Trfico. 167 2.7.4 Examinando SNMP. 168 2.7.4.1 Vulnerabilidades. 168 2.7.4.2 Medidas de Proteccin. 169 2.7.5 Banner Grabbing. 169 2.7.5.1 Telnet. 169 6

2.6.10.7.1 MD5. 2.6.10.7.2 SHA-1. 2.6.10.8 PGP. 2.6.10.8.1 Funcionamiento de PGP. 2.6.10.8.1.1 Anillos de Claves. 2.6.10.8.1.2 Codificacin de Mensajes.

2.7.5.2 Netcat. 2.7.5.3 Medidas de Proteccin. 2.7.6 Reglas del Firewall. 2.7.6.1 Probando. 2.7.6.1.1 Herramientas todo en uno. 2.7.6.1.2 Netcat.
2.7.6.1.3 Herramientas alternativas para las pruebas.

2.7.6.2 Medidas deProteccin. 2.7.7 Viendo a travs de un Analizador de Red. 2.7.8 Medidas de Proteccin. 2.7.8.1 Seguridad Fsica. 2.7.8.2 Deteccin de un Analizador de Red. 2.7.9 Ataque del MACdaddy. 2.7.9.1 ARP spoofing. 2.7.9.2 Spoofing de direcciones MAC. 2.7.9.2.1 Sistemas basados en UNIX. 2.7.9.2.2 Windows. 2.7.9.3 Medidas de Proteccin. 2.7.9.3.1 Prevencin. 2.7.9.3.2 Deteccin. 2.7.9.4 Denial of Service DoS. 2.7.9.4.1 Ataques de DoS. 2.7.9.4.1.1 Ataques individuales. 2.7.9.4.1.2 Ataques distribuidos. 2.7.9.4.2 Probando. 2.7.9.4.3 Medidas de Proteccin. 2.7.9.5 Defensas generales en la red. 2.8 Ataques simulados en redes Inalmbricas.
2.8.1 Implicaciones de Vulnerabilidades en las Redes Inalmbricas

2.8.2 Escogiendo sus Herramientas. 2.8.3 Descubrimiento de redes LANs inalmbricas. 2.8.3.1 Verificando reconocimiento mundial. 2.8.3.2 Examinando ondas de aire locales. 2.8.4 Ataques en las redes inalmbricas. 2.8.5 Trfico encriptado. 2.8.6 Medidas de proteccin. 2.8.7 Problemas de Seguridad Fsica. 2.8.8 Estaciones de Trabajo Vulnerables. 2.8.8.1 Medidas de Proteccin. 2.8.9 Configuraciones por default. 2.8.9.1 Medidas de Proteccin. 2.9 Polticas de Seguridad. 2.9.1 Polticas de Seguridad Informtica. 2.9.2 Evaluacin de Riesgos. 2.9.2.1 Niveles de Riesgos. 2.9.2.2 Identificacin de Amenazas. 2.9.2.3 Evaluacin de Costos. 2.9.2.3.1 Valor Intrnseco. 2.9.2.3.2 Costos derivados de la Prdida. 2.9.2.3.3 Puntos de equilibrio. 2.9.3 Estrategia de Seguridad. 2.9.3.1 Implementacin.

170 170 171 171 171 172 173 173 173 181 181 181 181 181 183 183 183 185 185 185 185 185 185 186 186 186 187 188 188 189 190 191 192 194 196 196 196 197 197 198 199 200 201 203 205 206 207 208 208 209 209 210 7

2.9.3.2 Auditora y Control. 2.9.3.3 Plan de Contingencia. 2.9.3.4 Equipo de respuesta a incidentes. 2.9.3.5 Backups. 2.9.3.6 Pruebas. 2.9.4 Polticas. 2.9.4.1 Nivel Fsico. 2.9.4.1.1 Amenaza no intencionada. 2.9.4.2 Nivel Humano. 2.9.4.2.1 Usuario. 2.9.4.2.1.1 Amenaza no Intencionada. 2.9.4.2.1.2 Amenaza Malintencionada. 2.9.4.2.2 Personas Ajenas al Sistema. 2.9.4.2.2.1 Amenaza no Intencionada. 2.9.4.2.2.2 Amenaza Malintencionada. Captulo III Resultados y Discusin Captulo IV Conclusiones. Aislamiento contra Globalizacin. Diseo Seguro Requerido. Legislacin Vigente. Tecnologa Existente. Daos Minimizables. Riesgos Manejables. Costos. Personas Involucradas. Bibliografa Apndices Apndice A: Uso de un software para contraseas Apndice B: Diez tips para obtener mejores resultados Apndice C: Diez errores mortales Apndice D: hackers y Crackers famosos

213 213 214 215 216 217 217 217 218 218 219 220 221 221 222 224 225 225 225 225 225 226 226 226 226 228 231 231 233 236 238

I. INTRODUCCIN Desde hace muchos aos, la humanidad se ha estado preocupando por guardar o proteger lo que es de ms utilidad o importancia para ella. En los ltimos aos, la informacin ha tenido un gran realce, y en la actualidad se ha convertido en la prioridad nmero uno a proteger. La seguridad en todos los dispositivos de una empresa y principalmente la seguridad de los datos que son manejados en una empresa, es un tema en el que se necesita poner demasiada atencin, pues el buen desempeo de cualquier negocio es directamente proporcional con la seguridad que se maneje en el mismo. Es importante en toda organizacin contar con una herramienta, que garantice la correcta evaluacin de los riesgos, a los cuales estn sometidos los procesos y actividades que participan en el rea informtica; y por medio de procedimientos de control se pueda evaluar el desempeo del entorno informtico. La existencia de personas ajenas a la informacin, tambin conocidas como piratas informticos o hackers (ver apndice D), que buscan tener acceso a la red empresarial para modificar, sustraer o borrar datos. Ellos pueden, incluso, formar parte del personal administrativo o de sistemas, de cualquier compaa; de acuerdo con expertos en el rea, ms de 70 por ciento de las violaciones e intrusiones a los recursos informticos se realiza por el personal interno, debido a que ste conoce los procesos, metodologas y tiene acceso a la informacin sensible de su empresa, es decir, a todos aquellos datos que si se pierden, pueden afectar el buen funcionamiento de la organizacin. Esta situacin se presenta gracias a los esquemas ineficientes de seguridad con los que cuentan la mayora de las compaas a nivel mundial, y debido a que no existe conocimiento relacionado con la planeacin de un esquema de seguridad eficiente que proteja los recursos informticos de las actuales amenazas combinadas. El resultado es la violacin de los sistemas, provocando la prdida o modificacin de los datos sensibles de la organizacin, lo que puede representar un dao con valor de miles o millones de dlares. Es por la existencia de un nmero importante de amenazas y riesgos, que la infraestructura de red y recursos informticos de una organizacin deben estar protegidos bajo un esquema de seguridad que reduzca los niveles de vulnerabilidad y permita una eficiente administracin del riesgo. Debido a lo anterior, se plantean los siguientes objetivos.

1.1

Objetivos 1

Proporcionar informacin que revele lo concerniente a la seguridad informtica. Dar a conocer la diferencia existente entre la seguridad fsica y la seguridad lgica. Identificar y seleccionar lo que se debe proteger (informacin sensible). Establecer niveles de prioridad e importancia sobre esta informacin. Proveer un panorama general en cuanto a la comunicacin. Identificar las amenazas, as como los niveles de vulnerabilidad de una red. Proporrcionar algunas herramientas necesarias tiles para la proteccin de una red, para llevar a cabo ataques simulados, tanto en redes almbricas como inalmbricas. Implementar respuesta a incidentes y recuperacin para disminuir el impacto, en caso de sufrir un ataque real.

II. REVISIN DE LITERATURA 2.1.1 Historia de la Seguridad. 1

En trminos generales, la seguridad puede entenderse como aquellas reglas tcnicas y/o actividades destinadas a prevenir, proteger y resguardar lo que es considerado como susceptible de robo, prdida o dao, ya sea de manera personal, grupal o empresarial. En este sentido, es la informacin el elemento principal a proteger, resguardar y recuperar dentro de las redes empresariales. La historia de la seguridad informtica se remonta a los tiempos de los primeros documentos escritos. De hecho, la necesidad de informacin segura tuvo su origen en el ao 2000 antes de Cristo. Los egipcios fueron los primeros en utilizar jeroglficos especiales para codificar la informacin y, segn paso el tiempo, las civilizaciones de Babilonia, Mesopotamia y Grecia inventaron formas de proteger su informacin escrita. La codificacin de la informacin, que es el base del cifrado, fue utilizada por Julio Cesar, y durante toda la historia en periodos de guerra, incluyendo las guerras civiles y revolucionarias, y las dos guerras mundiales. Una de las mquinas de codificacin mejor conocidas fue la alemana Enigma, utilizada por los alemanes para crear mensajes codificados en la Segunda Guerra Mundial. Con el tiempo, y gracias a los esfuerzos del proyecto Ultra de los Estados Unidos de Amrica, entre otros, la capacidad de descifrar los mensajes generados por los alemanes marc un xito importante para los aliados. En los ltimos diez aos, la importancia de la seguridad informtica se ha puesto de manifiesto por algunas historias. Una de ellas fue la del gusano de Internet, en 1988, que se extendi por decenas de miles de computadores, como resultado de la obra de un hacker llamado Robert Morris. Haba un pirata informtico en 1995 en Alemania que se introdujo en casi 30 sistemas a partir de un objetivo que se haba propuesto a s mismo de casi 500. Ms recientemente, en febrero de 1995, el arresto del pirata informtico ms buscado, Kevin Nitnick, revel las actividades criminales que incluan el robo de cdigos, de informacin y de otro tipo de datos secretos durante aos. Claramente, la amplia utilizacin de los sistemas informticos ha puesto en evidencia la importancia de la seguridad informtica. El objetivo principal de la seguridad informtica es proteger los recursos informticos del dao, la alteracin, el robo y la prdida. Esto incluye los equipos, los medios de almacenamiento, el software, los listados de impresora y en general, los datos.

2.1.2 Panorama Seguridad. Este tema proporciona una visin dentro de los problemas que presentan las empresas y los desafos a las que muchas organizaciones enfrentan hoy en da en la era de Internet. El Internet ha cambiado la manera en que las personas viven, trabajan y juegan. Incluso ha revolucionado la forma 3

en que un negocio es dirigido y los mtodos mediante los cuales dichos negocios se comunican. Mas y mas negocios se estn dando cuenta que el Internet les proporciona un medio relativamente barato para dirigirse en una escala global. Desafortunadamente, el Internet esta perdiendo muchos componentes importantes, uno de los cuales es la seguridad. El Internet posee un nmero ilimitado de posibilidades para las empresas, pero las empresas primeramente deben medir el riesgo de dirigir el negocio en el Internet contra las medidas necesarias para proteger dicho negocio el cual estn tratando de dirigir. Como resultado del Internet, las cargas del trfico de la informacin dentro de la empresa ha aumentado exponencialmente, e incluso, tambin, tiene el valor comercial de la infraestructura que sostiene la carga de trfico ms alta, mientras aumenta el riesgo de la vulnerabilidad en las brechas de seguridad. 2.1.3 Problemas de Seguridad en las Empresas. Uno de los problemas ms grandes de seguridad que las empresas enfrentan hoy, es que las sofisticadas y algunas veces complicadas defensas de seguridad son requeridas para mitigar las ms nuevas amenazas propuestas por los intrusos y para proveer una reduccin en las vulnerabilidades comerciales. Otra grande barrera involucra la eleccin si la solucin de seguridad es la apropiada para la empresa; un gran nmero de productos especializados en el mercado, solo funcionan en algunas partes de la red y fallan al proveer verdaderas soluciones de extremo-a-extremo para la empresa. La seguridad es un tema complicado en la teora y la prctica, y la mayora de las veces, es muy difcil llevarla a cabo (implementarla), especialmente cuando la solucin debe proveer seguridad de extremo-aextremo. Para proveer la seguridad mxima para su red, primero debe tener una idea de que es lo que ests tratando de proteger. Entonces se debe decidir ante que tipo de intruso se est tratando de proteger. Los intrusos pueden tomar muchas formas, incluyendo las siguientes: Empleados actuales. Empleados anteriores. Empleados que emplean mal el ambiente. Competidores. Buscadores. Los trminos ms comunes usados hoy para identificar a un individuo que usa una computadora para darle mal uso son hackers y crackers. Un hacker es aquel que esta intensamente interesado en los trabajos mas ntimos de cualquier sistema operativo de la computadora. La mayora de los hackers son programadores. De hecho, cuentan con avanzados conocimientos de los sistemas operativos y lenguajes de programacin. Constantemente buscan conocimiento adicional, libremente comparten lo que han descubierto, y, casi 2

nunca, ocasionan daos intencionales en los datos. A los hackers algunas veces se les denomina como cuello blanco. Un cracker rompe o viola la integridad de algunos sistemas con intenciones maliciosas. El cracker obtiene acceso no autorizado, destruye datos vitales, deniega el servicio a usuarios legtimos, o simplemente causan problemas por sus objetivos. A los crackers algunas veces se les conoce como cuello negro. 2.1.4 Tipos de Amenaza. Los mtodos que los hackers y los crackers usan para obtener acceso no autorizado dentro de los dispositivos de la red son conocidos como amenazas (threats). Tener un problema de seguridad es suficiente, pero, desafiar algn esfuerzo para problemas categricos de grupo y definir mtodos para protegerse contra los problemas. Una lista generalizada de amenazas se presentan a continuacin; los mtodos usados para frustrar estas amenazas sern discutidas mas adelante: Acceso no autorizado Un intruso en una red, puede obtener acceso no autorizado a dispositivos de la red de diferentes maneras, de las cuales 3 se mencionan a continuacin: Fsica Si los atacantes tienen acceso fsico a la mquina, la mayora del las veces, ellos podrn entrar. Las tcnicas acostumbran obtener un rango de acceso para acceder al dispositivo va la consola al separar el sistema. Sistema El acceso al sistema asume que el intruso tambin tiene una cuenta de usuario del sistema. Privilegios apropiados deben ser concedidos al usuario que es autentificado y autorizado, solo para hacer lo que su funcin o trabajo le permite. Remoto El acceso remoto involucra a intrusos quienes tratan de penetrar el sistema remotamente a travs de Internet, por medio de conexiones de marcado, o en redes LAN o WAN. Este tipo de intruso generalmente no tiene una cuenta con privilegios.

Eavesdropping El eavesdropping es usado para capturar paquetes TCP/IP u otros paquetes de otros protocolos, as le permiten al intruso decodificar el contenido del paquete usando un analizador de protocolos. Packet sniffing es un trmino mas comnmente usado para describir el eavesdropping. Eavesdropping conlleva al robo de informacin, como robar tarjetas de crdito y nmeros sociales de seguridad. Manipulacin de datos La manipulacin de datos es simplemente el acto de alterar archivos en las computadoras, vandalizar un sitio Web, o reemplazar archivos FTP. Debilidad de los protocolos EL protocolo mas usado hoy en da es TCP/IP. Este protocolo fue designado hace mucho tiempo. Como resultado, un nmero de defectos en su diseo pueden 2

llevar a posibles problemas de seguridad, tales como ataques smurf, IP spoofing, predicciones de secuencia de los nmeros TCP/IP, y SYN floods. El protocolo IP solo, es un protocolo muy confiable; por ello, los hackers estn libres de cambiar los datos IP. Repetir sesin Los intrusos pueden entrar en uno o mas usuarios involucrados en una sesin de comunicacin y manipular los datos de una manera de acuerdo a la manera de hackear la cual estn tratando de llevar a cabo.

En esta lista no se incluyen todos los tipos de amenazas de seguridad. Su propsito es darle una idea general del nmero y tipos de los mtodos que los intrusos tienen a su disposicin. 2.1.5 Desafos en la Seguridad de las Empresas. Uno de los ms grandes desafos que enfrentan los administradores del sistema, es escoger entre el vasto nmero de productos de seguridad ofrecidos en el mercado. Los administradores del sistema deben medir el costo de los productos de seguridad contra el desempeo, manejabilidad y escalabilidad. Despus de pasar a travs de cada vendedor, los administradores del sistema deben elegir la solucin de seguridad que ms adecuadamente se adapte y satisfaga su medio ambiente laboral. La solucin que se haya escogido, no debe ser demasiado restrictiva y deben permitir al sistema habilitar nuevas aplicaciones, innovaciones, y servicios necesarios sin cambios innecesarios. Despus que los administradores del sistema hayan escogido una solucin en seguridad que ms se adecue a sus necesidades especficas, muy frecuentemente se encuentran teniendo que desarrollar un diseo que les permita fcilmente integrar la solucin dentro del ambiente en la red de los productos entregados por los diferentes vendedores. Esto normalmente agrega al costo de operacin y funcionamiento global de la red. Ms all de esto, los administradores del sistema deben contratar ingenieros hbiles en la seguridad, o, invertir dinero de su presupuesto para adecuadamente entrenar sus ingenieros existentes para apoyar las nuevas tecnologas. Despus que los administradores del sistema se han dado cuenta de la existencia de las amenazas de seguridad y han dirigido cambios para mejorar su postura o procesos de seguridad de la informacin, deben formular un plan para dirigir el problema. El primer paso para implementar este plan, es la formulacin de polticas de seguridad. 2.1.6 Polticas de Seguridad en las Empresas. Request for Comments (RFC, siglas en ingls) 2196, del manual de seguridad del stio, declara que Una poltica de seguridad es una declaracin formal de reglas por las cuales las personas a las que se les da acceso a alguna tecnologa o informacin de una organizacin deben cumplir. Una poltica de seguridad no debe determinar como opera una empresa; sino, que 2

el negocio de la empresa debe dictar como es escrita una poltica de seguridad. Las oportunidades del negocio son lo que maneja la seguridad en primer lugar. El propsito principal de una poltica de seguridad es informar a cualquiera que use la red de la empresa los requerimientos para proteger las tecnologas de la empresa y los recursos de la informacin. La poltica debe especificar los mecanismos por los cuales estos requerimientos se pueden conocer. De todos los documentos con los que cuenta la organizacin, las polticas de seguridad son las ms importantes. Antes de entregar las polticas de seguridad, debe conducir una valoracin de riesgo para determinar las apropiadas medidas corporativas de seguridad. Dicha valoracin ayuda a determinar reas en las cuales la seguridad necesita ser dirigida, cmo la seguridad necesita ser dirigida, y el nivel global de seguridad que necesita ser aplicada, a fin de implementar un control adecuado de la seguridad. Una valoracin de riesgo es un proceso por el cual los recursos crticos son identificados y los valores son puestos en los recursos. Es decisin suya determinar qu tanto cada recurso est en riesgo de ser comprometido y qu tanto se necesita mejorar o agregar, para conocer las necesidades de la empresa. Para desarrollar una poltica de seguridad que no es demasiado restrictiva para los usuarios, que equilibra el fcil uso con un nivel de seguridad, y que es ejecutable tanto tcnica como organizacionalmente, la poltica debe contener, de perdido, algunos de los siguientes temas que se enuncian a continuacin: * Poltica de uso aceptable Describe lo que los usuarios se les permite hacer y lo que no se les permite hacer, en los varios componentes de la red; esto incluye el tipo de trfico permitido en la red. La poltica debe ser lo ms explcitamente posible con el fin de evitar ambigedades o malentendidos. * Polticas de remoto acceso Seala a los usuarios conductas aceptables o inaceptables cuando estn conectados a la empresa va Internet, conexiones de marcado, una red virtual privada (VPN), o cualquier otro mtodo de conectividad remota. * Polticas manejando con el incidente Dirigir el planeamiento y entregar procedimientos para manejar los incidentes antes que ocurran. Este documento tambin crea un grupo centralizado para ser el enfoque primario cuando los incidentes suceden. Las polticas de manejo de incidentes pueden estar contenidas dentro de la actual poltica de seguridad, este documento frecuentemente existe como un sub documento de las polticas de seguridad. * Polticas de acceso a Internet Describe que es lo que considera la empresa que se puede hacer, un uso adecuado de la conexin a Internet. * Polticas de correo electrnico Define el uso aceptable del sistema de correo, en la empresa incluyendo correos electrnicos personales y correos basados en Web.

* Polticas de seguridad fsica Define controles que pertenecen a dispositivos fsicos de seguridad y el acceso. Despus que haya completado las polticas de seguridad de la empresa, el ltimo paso es llevar a cabo auditorias regulares. Las auditorias no solo te proporcionan una lnea base por la cual juzgar una actividad normal o un comportamiento de la red, tambin, en muchos, casos, producen resultados que pueden ser la primer alerta en la deteccin de una brecha de seguridad. Notificar eventos inusuales en la red puede ayudar para atrapar intrusos antes que puedan causar dao mas adelante. 2.1.7 Asegurando la Empresa. La infraestructura en la empresa es vulnerable a muy distintas amenazas de la seguridad (antes mencionadas) por cualquier nmero de intrusos. La solucin para el problema de seguridad en la infraestructura es configurar seguramente los componentes de la red contra las vulnerabilidades basadas en las polticas de seguridad en la red. La mayora de las vulnerabilidades en la seguridad de la red son bien conocidas, y las medidas usadas para contrarrestarlas sern examinadas a detalle ms adelante. 2.2 Seguridad Fsica y Preservacin de Datos Se considera fuertemente que la seguridad de informacin es ms dependiente en las polticas, procesos, y procedimientos que las soluciones tcnicas de hardware y software que muchas personas prometen. La seguridad fsica proteccin de las propiedades fsicas abarcan tanto los componentes tcnicos como los no tcnicos. La seguridad fsica es un aspecto a menudo pasado por alto de un programa de seguridad de informacin. La seguridad fsica es un componente crtico de la seguridad de informacin. La habilidad de asegurar la informacin depende de la habilidad de asegurar el site fsicamente. En este captulo, se cubren algunas debilidades comunes de la seguridad fsica, stas estn relacionadas a las computadoras y a la seguridad de la informacin, las cuales se deben buscar en los sistemas. Adems, se enumeran contramedidas gratis y de bajo costo para disminuir las vulnerabilidades. No se recomienda romper y entrar, que algunas veces se requiere para algunas pruebas de la seguridad fsica. En cambio, acercar reas sensitivas para ver que tan lejos puede llegar. Se necesita una mirada minuciosa desde el punto de vista de una persona ajena a la empresa hacia las vulnerabilidades fsicas cubiertas en este captulo. Se descubrir agujeros en la infraestructura de la seguridad fsica. (Beaver, 2004) 2.2.1 Las Vulnerabilidades en la seguridad fsica. Cualquiera que sea la computadora y la tecnologa para una red segura, prcticamente cualquier hackeo es posible si un hacker esta en el edificio o centro de cmputo. Eso por eso que es importante poner atencin alas vulnerabilidades de la seguridad fsica. Shin, Qureshi y Siegel (2000) mencionan en su libro que, en pequeas 3

compaas, algunos asuntos sobre la seguridad fsica no pueden ser un problema. Muchas vulnerabilidades de seguridad fsica dependen de algunos factores: Tamao del edificio. Nmero de edificios o sitios. Nmero de empleados. Localizacin y nmero de entradas/salidas del edificio. Ubicacin del centro(s) de cmputo(s) y otra informacin confidencial. Literalmente existen miles de posibles vulnerabilidades de la seguridad fsica. Los tipos malos siempre estn al acecho de ellas as que tiene que encontrarlos primero. Aqu estn algunas vulnerabilidades de seguridad fsica que se han encontrado al evaluar la seguridad: Ningn recepcionista en el edificio. Ningn visitante firma a la entrada o que sea escoltado para el acceso al edificio es necesario. Que los empleados confen en los visitantes slo porque ellos visten uniformes de vendedor o porqu digan que estn ah para trabajar con la copiadora o con las computadoras. Que en las puertas no haya ningn control de acceso. Las puertas apropiadamente abiertas. Acceso pblico a los centros de cmputo. Medios de comunicacin auxiliares o de respaldo que quedan alrededor. Hardware de la computadora y software inseguros. CDs y discos 3 con informacin confidencial en botes de basura. Cuando estas vulnerabilidades de la seguridad fsica son explotadas, cosas malas pueden pasar. Quizs el problema ms grande es que personas no autorizadas puedan entrar en el edificio. Despus de que los intrusos estn en el edificio, ellos pueden vagar por los vestbulos; entrar en las computadoras; buscar intensamente a travs de la basura; y robar documentos, discos de 3 y CDs, e incluso las computadoras fuera de las oficinas. 2

2.2.2 Soluciones. Beaver (2004) seala que se deben buscar vulnerabilidades de seguridad especficas. Muchas exposiciones potenciales en la seguridad fsica parecen improbables, pero ellas suceden a organizaciones que no toman en serio la seguridad fsica. Los hackers pueden aprovecharse de muchas vulnerabilidades de la seguridad fsica, incluso debilidades en la infraestructura del edificio, esquemas de la oficina, acceso al centro de cmputo y diseo. Adems de estos factores, considere la proximidad de las instalaciones a la ayuda de la emergencia local (polica, fuego, y ambulancia) y las estadsticas criminales del rea (el robo, rompiendo y entrando, y as sucesivamente) para que se pueda entender bien contra quin est. Las siguientes secciones enlistan las vulnerabilidades que se tienen que buscar al evaluar la seguridad fsica de la organizacin. Esto no tomar mucho equipo tcnico caro o barato. Dependiendo del tamao de las instalaciones, estas pruebas no deben tomar mucho tiempo. La lnea del fondo es determinar si la seguridad fsica de los sistemas son adecuados para los riesgos involucrados. Primordialmente, se tiene que ser prctico y usar el sentido comn. 2.2.2.1 Construyendo la infraestructura. Las puertas, ventanas, y paredes son componentes crticos de un edificio sobre todo en un centro de cmputo o en un rea dnde la informacin confidencial es guardada. 2.2.2.1.1 Puntos de ataque. Los hackers pueden aprovecharse de un manojo de vulnerabilidades de la infraestructura del edificio. Es necesario considerar los siguientes puntos de ataque que normalmente se pasan por alto: * Las puertas se abren apropiadamente? Si es el caso, por qu? * Los huecos al fondo de las puertas importantes, le permite a alguien usar un dispositivo para truquear un sensor dentro de un cuarto "seguro"? * Sera fcil forzar las puertas para abrirlas? * De qu material est hecho el edificio y/o el centro de cmputo (acero, madera, concreto), y Qu tan fuertes estn las paredes y entradas? Qu tan resistente sera el material para contrarrestar terremotos, tornados, vientos fuertes, lluvias pesadas? * Algunas puertas o ventanas estn hechas de vidrio? Este vidrio es claro? El vidrio esta hecho a prueba de balas? * Las puertas, ventanas, y otros puntos de entrada Estn conectadas 2

a un sistema de alarmas? (Greenberg, 2003) 2.2.2.1.2 Medidas de proteccin. Beaver (2004) expresa que muchas medidas de proteccin de la seguridad fsica para las vulnerabilidades de los edificios pueden requerir otro mantenimiento, construccin, u operaciones expertas. Incluso, se puede contratar expertos durante el diseo, la valoracin, y etapas de reconstruccin para asegurar que tiene un control adecuado. Aqu hay algunas de las mejores maneras para solidificar la seguridad del edificio: * Puertas fuertes y cerraduras. * Centros de cmputo sin ventanas alrededor. * Un sistema de alarma que est conectado a todos los puntos de acceso y que estn continuamente supervisados. * Iluminacin (sobre todo alrededor de los puntos de entrada/salida). * Trampas (puertas) que permiten a una slo persona atravesar una puerta en un momento determinado. * Cercas (con alambre de pas y alambre con navaja). 2.2.2.2 Las utilidades. Se deben considerar las utilidades del edificio y centros de cmputo, como el poder, agua, y dispositivos contra-incendios, al acceder a la seguridad fsica. Estas utilidades puedan ayudar a combatir dichos incidentes tales como el fuego y poder mantener funcionando el control de acceso durante una falla en el sistema elctrico. Incluso, ellos pueden usarse en su contra si un intruso entra en el edificio. 2.2.2.2.1 Puntos de ataque. Harris (2002) seala que los hackers se aprovechan con frecuencia de las utilidades relacionadas con la vulnerabilidad. Considere los siguientes puntos de ataque que normalmente se pasan por alto: * Los equipos de proteccin elctricos (los protectores, UPSs, y generadores) en su lugar? Qu tan fcil acceso tienen los switches de apagado/encendido en estos dispositivos? Un intruso puede entrar y modificar un switch? * Cundo falla el sistema elctrico Qu les sucede a los mecanismos de la seguridad fsica? Cuando fallan estando abiertos, se les permite a cualquiera entrar?, o Fallan estando cerrado, manteniendo a todos ya sea dentro o fuera mientras la electricidad es restaurada? * Dnde estn localizados los dispositivos de deteccin y prevencin incluyendo sensores de alarma, extinguidores, y sistemas de roco de 2

agua? Determine cmo un intruso malvolo puede abusar de ellos. Estos dispositivos estn colocados donde puedan daar el equipo electrnico durante una falsa alarma? * Dnde est localizado el agua y las vlvulas para cerrar el gas? Puede tener acceso a ellos, o tendra que llamar al personal de mantenimiento en caso de un incidente? * Estn localizados bajo tierra el cableado local de telecomunicaciones (ambos cobre y fibra) que esta fuera del edificio, dnde alguien puede llegar a ellos con herramienta de telecomunicacin? Excavando en el rea, pueden ser cortados con facilidad? Estn localizados en polos telefnicos que son vulnerables a los accidentes de trfico? 2.2.2.2.2 Medidas de proteccin. Quiz se necesita involucrar a otros expertos durante el plan, la valoracin, o etapas de reconstruccin. La llave es la colocacin: * Dnde estn localizados los controles de mayor utilidad? * Puede un hacker u otra persona con malas intenciones caminar a travs del acceso del edificio a los controles para encenderlos y apagarlos? Las tapas para los interruptores del encendido/apagado, controles del termostato y cerraduras para servicios elctricos y slots de expansin PCI son defensas eficaces. En una evaluacin hecha a la seguridad fsica de una colocacin de instalaciones de Internet para una compaa de computacin muy grande,, cualquier persona poda entrar donde estaban los servidores, routers, firewalls, cables de corriente, entre otros, y dicho equipo estaba expuesto a cualquiera que caminara por ah. Un rpido movimiento, o un tropiezo accidental pueden causar grandes estragos (Beaver, 2004). 2.2.2.3 El esquema de la oficina y uso. El diseo de la oficina y su uso pueden ayudar o pueden impedir la seguridad fsica. Los hackers pueden aprovecharse de algunas vulnerabilidades en las oficinas. Considere stos puntos de ataque: * La recepcionista o el guardia de seguridad monitorean el trfico personal entrante y saliente? * Los empleados tienen informacin confidencial en sus escritorios? Qu tal el correo y otros paquetes estn alrededor o afuera de la puerta de alguien o an peor, fuera del edificio, esperando para ser recogidos? * Dnde estn localizados los botes de basura y basureros? Estn 2

fcilmente accesibles por cualquiera? Estn siendo usadas las cajas recicladoras o desfibradoras? Abrir cajas de reciclaje u otras cosas descuidadas son invitaciones abiertas para el que busca en basura en la que los hackers investigan informacin confidencial de la compaa en las listas del telfono y memorndums en la basura. Los buscadores en basureros pueden llevar a muchas exposiciones de seguridad. * Qu tan seguros son los cuartos de correo y de copiadoras? Si los hackers pueden acceder a stos cuartos, ellos pueden robar correo o membrete de la compaa para usarlos en contra suya. * Se usan las cmaras de televisin de circuito cerrado (CCTV) y se monitorean constantemente? * Qu tipo de control de acceso estn en las puertas y ventanas? Las llaves regulares, las tarjetas de identificacin, las cerraduras de combinacin, o la biometra se usan? Quin puede acceder a estas llaves y dnde estn guardadas? Las llaves y las combinaciones programables del teclado, son muy frecuentemente compartidas entre los usuarios, haciendo difcil determinar las cuentas. Averige cuntas personas compartan estas combinaciones y llaves (Greenberg, 2003). 2.2.2.3.1 Medidas de proteccin. Simples medidas pueden reducir la exposicin a las vulnerabilidades de la oficina: * La recepcionista o el guardia de seguridad que supervisa a las personas que entran y salen. ste es una medida de proteccin muy importante. Esta persona puede asegurarse que cada visitante firme a la entrada y que todo nuevo o visitante no confiable siempre sean escoltados. Haga una poltica y procedimiento para que todos los empleados tengan que preguntar a los extraos y reportar conductas extraas en el edificio. * Cmaras CCTV. * Una sola entrada/salida al edificio o centro de cmputo. * reas seguras para los basureros. * Nmeros limitados de llaves y combinaciones. Hacer llaves y cdigos nicos para cada persona, siempre que sea posible. * Sistemas de identificacin biomtricas pueden ser muy eficaces, pero pueden ser caros y difcil manejar. (Beaver, 2004) 2.2.2.4 Componentes de la red y computadoras. Despus de que los hackers obtienen acceso fsico a un edificio, ellos buscan el centro de cmputo y otros dispositivos de red y computacin de fcil 2

acceso. 2.2.2.4.1 Los puntos del ataque. Las llaves al reino estn muy frecuentemente tan cerca como el escritorio de la computadora y no ms lejano que un centro de cmputo inseguro o el cableado. Los intrusos pueden hacer lo siguiente: * Obtener el acceso a la red y enviar e-mails malvolos como un usuario en sesin. * Robar los archivos de la computadora copindolos hacia un disco de 3 o USB, o mandndolos electrnicamente a una direccin externa. * Entrar a centros de cmputo abiertos y daar los servidores, los firewall, y routers. * Caminar afuera con los diagramas de la red, listas de contacto, y continuidad del negocio e incluso planes de responsabilidad en incidentes. * Obtener los nmeros de telfono de las lneas analgicas y circuito IDs de T1, frame relay, y otros equipos de telecomunicacin para ataques futuros. Prcticamente cada bit de informacin no encriptado que cruza la red puede grabarse para el anlisis futuro a travs de uno de los mtodos siguientes: * Conectar un software analizador de red de una computadora a un hub, monitor, o un puerto reflejador en el switch de la red. * Instalar software analizadores de red en una computadora existente. Cmo los hackers accedern esta informacin en el futuro? * El mtodo de ataque ms fcil es, o instalar el software de administracin remota en la computadora o marcar en el mdem usando VNC o el pcAnywhere. * Un hacker astuto con bastante tiempo disponible puede ligar una direccin IP pblica en una computadora si est fuera del firewall. hackers con suficientes conocimientos de red puede configurar nuevas reglas del firewall para hacer esto. Tambin considere estas otras vulnerabilidades: * Con qu facilidad puede ser accesada una computadora de otro durante horas regulares? La hora de la comida? Despus de 2

horas de trabajo? * Los servidores, firewalls, routers, y switches estn montados en racks cerrados con llave? * Las computadoras sobre todo las laptops estn asegurados a los escritorios con cerraduras? * Las contraseas estn escritas en notas (post its) pantallas de la computadora, los teclados o escritorios? en las

* Los medios de comunicacin auxiliares estn alrededor del centro de cmputo y son susceptibles al robo? * Los dispositivos de comunicacin seguros son usados para respaldo? * Qu tan fcil puede alguien acceder a una seal wireles del access point (AP) o al mismo AP para unirse a la red? * Los firewalls, routers. Switches, y hubs (bsicamente cualquier dispositivo con una conexin Ethernet) de la red tienen fcil acceso lo cual habilitara al hacker conectarse dentro de la red fcilmente? (Beaver, 2004) 2.2.2.4.2 Medidas de prevencin. Medidas de prevencin de la red y seguridad computacional son de lo ms simples de implementar, sin embargo la ms difcil para llevar a cabo ya que tiene que ver con acciones diarias. Aqu hay un informe detallado de estas medidas de prevencin: * Requerir a los usuarios para proteger con contraseas sus pantallas qu normalmente toma unos cuantos clicks o pulsaciones del teclado en Windows o UNIX para mantener fuera a los intrusos de los sistemas. * Asegurar que contraseas fuertes sean usadas (Captulos mas adelante). * Requerir que los usuarios con laptops aseguren sus sistemas a sus escritorios con llave. Esto es especialmente importante en compaas ms grandes o en ocasiones donde haya mucho trfico de personal. * Mantener los centros de cmputo y cuartos de cableado cerrados, y supervisar aqullas reas en cada que haya mal uso. * Mantener un inventario actual de hardware y software dentro de la organizacin sobre todo en los centros de cmputo para que sea fcil determinar cuando algn equipo extra aparezca u otro equipo est extraviado. 2

* Medios de comunicacin de la computadora apropiadamente seguros como los discos 3 , CD-ROMs, cintas y unidades de disco duro cuando estn guardados y durante su transporte. * Use una goma de borrar a en los medios de comunicacin magnticos antes de que se desechen. (Shin, Qureshi y Siegel, 2000). 2.2.3 Conclusiones. Evaluar y controlar permanentemente la seguridad fsica del edificio es la base para comenzar a integrar la seguridad como una funcin primordial dentro de cualquier organismo. Tener un ambiente controlado y acceso fsico permite: * Disminuir siniestros. * Trabajar mejor manteniendo la sensacin de seguridad. * Descartar falsas hiptesis si se produjeran incidentes. * Tener los medios para luchar contra accidentes. Las distintas alternativas estudiadas son suficientes para conocer en todo momento el estado del medio en el que nos desempeamos; y as tomar decisiones sobre la base de la informacin brindada por los medios de control adecuados. Estas decisiones pueden variar desde el conocimiento de las reas que recorren ciertas personas hasta el extremo de evacuar el edificio en caso de accidentes. 2.3 Seguridad Lgica Luego de ver como el sistema puede verse afectado por la falta de Seguridad Fsica, es importante recalcar que la mayora de los daos que puede sufrir un centro de cmputos no ser sobre los medios fsicos sino contra la informacin por l almacenada y procesada. (Borghello, 2001) As, la Seguridad Fsica, slo es una parte del amplio espectro que se debe cubrir para no vivir con una sensacin ficticia de seguridad. Como ya se ha mencionado, el activo ms importante que se posee es la informacin, y por lo tanto deben existir tcnicas, ms all de la seguridad fsica, que la aseguren. Estas tcnicas las brinda la Seguridad Lgica. Es decir que la Seguridad Lgica consiste en la aplicacin de barreras y procedimientos que resguarden el acceso a los datos y slo se permita acceder a ellos a las personas autorizadas para hacerlo. Existe un viejo dicho en la seguridad informtica que dicta que todo lo que no est permitido debe estar prohibido y esto es lo que debe asegurar la Seguridad Lgica. Los objetivos que se plantean sern: 1

Restringir el acceso a los programas y archivos. Asegurar que los operadores puedan trabajar sin una supervisin minuciosa y no puedan modificar los programas ni los archivos que no correspondan. Asegurar que se estn utilizados los datos, archivos y programas correctos en y por el procedimiento correcto. Que la informacin transmitida sea recibida slo por el destinatario al cual ha sido enviada y no a otro. Que la informacin recibida sea la misma que ha sido transmitida. Que existan sistemas alternativos secundarios de transmisin entre diferentes puntos. Que se disponga de pasos alternativos de emergencia para la transmisin de informacin. (Beaver, 2004) 2.3.1 Controles de acceso. Estos controles pueden implementarse en el Sistema Operativo, sobre los sistemas de aplicacin, en bases de datos, en un paquete especfico de seguridad o en cualquier otro utilitario. Constituyen una importante ayuda para proteger al sistema operativo de la red, al sistema de aplicacin y dems software de la utilizacin o modificaciones no autorizadas; para mantener la integridad de la informacin (restringiendo la cantidad de usuarios y procesos con acceso permitido) y para resguardar la informacin confidencial de accesos no autorizados. Asimismo, es conveniente tener en cuenta otras consideraciones referidas a la seguridad lgica, como por ejemplo las relacionadas al procedimiento que se lleva a cabo para determinar si corresponde un permiso de acceso (solicitado por un usuario) a un determinado recurso. Al respecto, el National Institute for Standars and Technology (NIST, http://www.nist.gov) ha resumido los siguientes estndares de seguridad que se refieren a los requisitos mnimos de seguridad en cualquier sistema: 2.3.1.1 Identificacin y autentificacin. Es la primera lnea de defensa para la mayora de los sistemas computarizados, permitiendo prevenir el ingreso de personas no autorizadas. Es la base para la mayor parte de los controles de acceso y para el seguimiento de las actividades de los usuarios. Se denomina Identificacin al momento en que el usuario se da a conocer en el sistema; y Autenticacin a la verificacin que realiza el sistema sobre esta identificacin. 3

Al igual que se consider para la seguridad fsica, y basada en ella, existen cuatro tipos de tcnicas que permiten realizar la autenticacin de la identidad del usuario, las cuales pueden ser utilizadas individualmente o combinadas: 1. Algo que solamente el individuo conoce: por ejemplo una clave secreta de acceso o password, una clave criptogrfica, un nmero de identificacin personal o PIN, etc. 2. Algo que la persona posee: por ejemplo una tarjeta magntica. 3. Algo que el individuo es y que lo identifica particularmente: por ejemplo las huellas digitales o la voz. 4. Algo que el individuo es capaz de hacer: por ejemplo los patrones de escritura. Para cada una de estas tcnicas vale lo mencionado en el caso de la seguridad fsica en cuanto a sus ventajas y desventajas. Se destaca que en los dos primeros casos enunciados, es frecuente que las claves sean olvidadas o que las tarjetas o dispositivos se pierdan, mientras que por otro lado, los controles de autenticacin biomtricos seran los ms apropiados y fciles de administrar, resultando ser tambin, los ms costosos por lo dificultosos de la implementacin eficiente. Desde el punto de vista de la eficiencia, es conveniente que los usuarios sean identificados y autentificados solamente una vez, pudiendo acceder a partir de all, a todas las aplicaciones y datos a los que su perfil les permita, tanto en sistemas locales como en sistemas a los que deba acceder en forma remota. Esto se denomina "single login" o sincronizacin de passwords. Una de las posibles tcnicas para implementar esta nica identificacin de usuarios sera la utilizacin de un servidor de autenticaciones sobre el cual los usuarios se identifican, y que se encarga luego de autenticar al usuario sobre los restantes equipos a los que ste pueda acceder. Este servidor de autenticaciones no debe ser necesariamente un equipo independiente y puede tener sus funciones distribuidas tanto geogrfica como lgicamente, de acuerdo con los requerimientos de carga de tareas. La Seguridad Informtica se basa, en gran medida, en la efectiva administracin de los permisos de acceso a los recursos informticos, basados en la identificacin, autenticacin y autorizacin de accesos. Esta administracin abarca: 1. Proceso de solicitud, establecimiento, manejo, seguimiento y cierre de las cuentas de usuarios. Es necesario considerar que la solicitud de habilitacin de un permiso de acceso para un usuario determinado, debe provenir de su superior y, de acuerdo con sus requerimientos especficos de acceso, debe generarse el perfil en el sistema de seguridad, en el sistema operativo o en la aplicacin segn corresponda. 3

2. Adems, la identificacin de los usuarios debe definirse de acuerdo con una norma homognea para toda la organizacin. 3. Revisiones peridicas sobre la administracin de las cuentas y los permisos de acceso establecidos. Las mismas deben encararse desde el punto de vista del sistema operativo, y aplicacin por aplicacin, pudiendo ser llevadas a cabo por personal de auditora o por la gerencia propietaria del sistema; siempre sobre la base de que cada usuario disponga del mnimo permiso que requiera de acuerdo con sus funciones. 4. Las revisiones deben orientarse a verificar la adecuacin de los permisos de acceso de cada individuo de acuerdo con sus necesidades operativas, la actividad de las cuentas de usuarios o la autorizacin de cada habilitacin de acceso. Para esto, deben analizarse las cuentas en busca de perodos de inactividad o cualquier otro aspecto anormal que permita una redefinicin de la necesidad de acceso. 5. Deteccin de actividades no autorizadas. Adems de realizar auditorias o efectuar el seguimiento de los registros de transacciones (pistas), existen otras medidas que ayudan a detectar la ocurrencia de actividades no autorizadas. Algunas de ellas se basan en evitar la dependencia hacia personas determinadas, estableciendo la obligatoriedad de tomar vacaciones o efectuando rotaciones peridicas a las funciones asignadas a cada una. 6. Nuevas consideraciones relacionadas con cambios en la asignacin de funciones del empleado. Para implementar la rotacin de funciones, o en caso de reasignar funciones por ausencias temporales de algunos empleados, es necesario considerar la importancia de mantener actualizados los permisos de acceso. 7. Procedimientos a tener en cuenta en caso de desvinculaciones de personal con la organizacin, llevadas a cabo en forma amistosa o no. Los despidos del personal de sistemas presentan altos riesgos ya que en general se trata de empleados con capacidad para modificar aplicaciones o la configuracin del sistema, dejando "bombas lgicas" o destruyendo sistemas o recursos informticos. No obstante, el personal de otras reas usuarias de los sistemas tambin puede causar daos, por ejemplo, introduciendo informacin errnea a las aplicaciones intencionalmente. Para evitar estas situaciones, es recomendable anular los permisos de acceso a las personas que se desvincularn de la organizacin, lo antes posible. En caso de despido, el permiso de acceso debera anularse previamente a la notificacin de la persona sobre la situacin. 2.3.1.2 Roles. El acceso a la informacin tambin puede controlarse a travs de la funcin o rol del usuario que requiere dicho acceso. Algunos ejemplos de roles seran los siguientes: programador, lder de proyecto, gerente de un rea 1

usuaria, administrador del sistema, etc. En este caso los derechos de acceso pueden agruparse de acuerdo con el rol de los usuarios. 2.3.1.3 Transacciones. Tambin pueden implementarse controles a travs de las transacciones, por ejemplo solicitando una clave al requerir el procesamiento de una transaccin determinada. 2.3.1.4 Limitaciones a los servicios. Estos controles se refieren a las restricciones que dependen de parmetros propios de la utilizacin de la aplicacin o preestablecidos por el administrador del sistema. Un ejemplo podra ser que en la organizacin se disponga de licencias para la utilizacin simultnea de un determinado producto de software para cinco personas, en donde exista un control a nivel sistema que no permita la utilizacin del producto a un sexto usuario. 2.3.1.5 Modalidad de acceso. Se refiere al modo de acceso que se permite al usuario sobre los recursos y a la informacin. Esta modalidad puede ser: Lectura: el usuario puede nicamente leer o visualizar la informacin pero no puede alterarla. Debe considerarse que la informacin puede ser copiada o impresa. Escritura: este tipo de acceso permite agregar datos, modificar o borrar informacin. Ejecucin: este acceso otorga al usuario el privilegio de ejecutar programas. Borrado: permite al usuario eliminar recursos del sistema (como programas, campos de datos o archivos). El borrado es considerado una forma de modificacin. Todas las anteriores. Adems existen otras modalidades de acceso especiales, que generalmente se incluyen en los sistemas de aplicacin: Creacin: permite al usuario crear nuevos archivos, registros o campos. Bsqueda: permite listar los archivos de un directorio determinado. 2.3.1.6 Ubicacin y horario. El acceso a determinados recursos del sistema puede estar basado en la ubicacin fsica o lgica de los datos o personas. En cuanto a los horarios, 2

este tipo de controles permite limitar el acceso de los usuarios a determinadas horas de da o a determinados das de la semana. De esta forma se mantiene un control ms restringido de los usuarios y zonas de ingreso. Se debe mencionar que estos dos tipos de controles siempre deben ir acompaados de alguno de los controles anteriormente mencionados. 2.3.1.7 Control de acceso interno. 2.3.1.7.1 Contraseas (passwords). Generalmente se utilizan para realizar la autenticacin del usuario y sirven para proteger los datos y aplicaciones. Los controles implementados a travs de la utilizacin de palabras clave resultan de muy bajo costo. Sin embargo cuando el usuario se ve en la necesidad de utilizar varias palabras clave para acceder a diversos sistemas encuentra dificultoso recordarlas y probablemente las escriba o elija palabras fcilmente deducibles, con lo que se ve disminuida la utilidad de esta tcnica. Se podr, por aos, seguir creando sistemas altamente seguros, pero en ltima instancia cada uno de ellos se romper por este eslabn: la eleccin de passwords dbiles (ver apndice A). Sincronizacin de passwords: consiste en permitir que un usuario acceda con la misma password a diferentes sistemas interrelacionados y, su actualizacin automtica en todos ellos en caso de ser modificada. Podra pensarse que esta es una caracterstica negativa para la seguridad de un sistema, ya que una vez descubierta la clave de un usuario, se podra tener acceso a los mltiples sistemas a los que tiene acceso dicho usuario. Sin embargo, estudios hechos muestran que las personas normalmente suelen manejar una sola password para todos los sitios a los que tengan acceso, y que si se los fuerza a elegir diferentes passwords tienden a guardarlas escritas para no olvidarlas, lo cual significa un riesgo an mayor. Para implementar la sincronizacin de passwords entre sistemas es necesario que todos ellos tengan un alto nivel de seguridad. Caducidad y control: este mecanismo controla cundo pueden y/o deben cambiar sus passwords los usuarios. Se define el perodo mnimo que debe pasar para que los usuarios puedan cambiar sus passwords, y un perodo mximo que puede transcurrir para que stas caduquen. 2.3.1.7.2 Encriptacin. La informacin encriptada solamente puede ser desencriptada por quienes posean la clave apropiada. La encriptacin puede proveer de una potente medida de control de acceso. Este tema ser abordado con profundidad ms adelante. 2.3.1.7.3 Listas de control de accesos. 2

Se refiere a un registro donde se encuentran los nombres de los usuarios que obtuvieron el permiso de acceso a un determinado recurso del sistema, as como la modalidad de acceso permitido. Este tipo de listas varan considerablemente en su capacidad y flexibilidad. 2.3.1.7.4 Lmites sobre la interfase de usuario. Esto lmites, generalmente, son utilizados en conjunto con las listas de control de accesos y restringen a los usuarios a funciones especficas. Bsicamente pueden ser de tres tipos: mens, vistas sobre la base de datos y lmites fsicos sobre la interfase de usuario. Por ejemplo los cajeros automticos donde el usuario slo puede ejecutar ciertas funciones presionando teclas especficas. 2.3.1.7.5 Etiquetas de seguridad. Consiste en designaciones otorgadas a los recursos (como por ejemplo un archivo) que pueden utilizarse para varios propsitos como control de accesos, especificacin de medidas de proteccin, etc. Estas etiquetas no son modificables. 2.3.1.8 Control de acceso externo. 2.3.1.8.1 Dispositivos de control de puertos. Estos dispositivos autorizan el acceso a un puerto determinado y pueden estar fsicamente separados o incluidos en otro dispositivo de comunicaciones, como por ejemplo un mdem. 2.3.1.8.2 Firewalls o puertas de seguridad. Permiten bloquear o filtrar el acceso entre dos redes, usualmente una privada y otra externa (por ejemplo Internet). Los firewalls permiten que los usuarios internos se conecten a la red exterior al mismo tiempo que previenen la intromisin de atacantes o virus a los sistemas de la organizacin. Este tema ser abordado con posterioridad. 2.3.1.8.3 Acceso de personal contratado o consultores. Debido a que este tipo de personal en general presta servicios temporarios, debe ponerse especial consideracin en la poltica y administracin de sus perfiles de acceso. 2.3.1.8.4 Accesos pblicos. Para los sistemas de informacin consultados por el pblico en general, o los utilizados para distribuir o recibir informacin computarizada (mediante, por ejemplo, la distribucin y recepcin de formularios en soporte magntico, o la consulta y recepcin de informacin a travs del correo electrnico) deben tenerse en cuenta medidas especiales de seguridad, ya que se incrementa el riesgo y se dificulta su administracin.

Debe considerarse para estos casos de sistemas pblicos, que un ataque externo o interno puede acarrear un impacto negativo en la imagen de la organizacin. 2.3.1.9 Administracin. Una vez establecidos los controles de acceso sobre los sistemas y la aplicacin, es necesario realizar una eficiente administracin de estas medidas de seguridad lgica, lo que involucra la implementacin, seguimientos, pruebas y modificaciones sobre los accesos de los usuarios de los sistemas. La poltica de seguridad que se desarrolle respecto a la seguridad lgica debe guiar a las decisiones referidas a la determinacin de los controles de accesos y especificando las consideraciones necesarias para el establecimiento de perfiles de usuarios. La definicin de los permisos de acceso requiere determinar cual ser el nivel de seguridad necesario sobre los datos, por lo que es imprescindible clasificar la informacin, determinando el riesgo que producira una eventual exposicin de la misma a usuarios no autorizados. As los diversos niveles de la informacin requerirn diferentes medidas y niveles de seguridad. Para empezar la implementacin, es conveniente comenzar definiendo las medidas de seguridad sobre la informacin ms sensible o las aplicaciones mas crticas, y avanzar de acuerdo a un orden de prioridad descendiente, establecido alrededor de las aplicaciones. Una vez clasificados los datos, debern establecerse las medidas de seguridad para cada uno de los niveles. Un programa especfico para la administracin de los usuarios informticos desarrollado sobre la base de las consideraciones expuestas, puede constituir un compromiso vaco, si no existe una conciencia de la seguridad organizacional por parte de todos los empleados. Esta conciencia de la seguridad puede alcanzarse mediante el ejemplo del personal directivo en el cumplimiento de las polticas y el establecimiento de compromisos firmados por el personal, donde se especifique la responsabilidad de cada uno. Pero adems de este compromiso debe existir una concientizacin por parte de la administracin hacia el personal en donde se remarque la importancia de la informacin y las consecuencias posibles de su prdida o apropiacin de la misma por agentes extraos a la organizacin. 2.3.1.9.1 Administracin del personal y usuarios. 2.3.1.9.1.1 Organizacin del personal. Este proceso lleva generalmente cuatro pasos: 1. Definicin de puestos: debe contemplarse la mxima separacin de funciones posibles y el otorgamiento del mnimo 1

permiso de acceso requerido por cada puesto para la ejecucin de las tareas asignadas. 2. Determinacin de la sensibilidad del puesto: para esto es necesario determinar si la funcin requiere permisos riesgosos que le permitan alterar procesos, perpetrar fraudes o visualizar informacin confidencial. 3. Eleccin de la persona para cada puesto: requiere considerar los requerimientos de experiencia y conocimientos tcnicos necesarios para cada puesto. Asimismo, para los puestos definidos como crticos puede requerirse una verificacin de los antecedentes personales. 4. Entrenamiento inicial y continuo del empleado: cuando la persona seleccionada ingresa a la organizacin, adems de sus responsabilidades individuales para la ejecucin de las tares que se asignen, deben comunicrseles las polticas organizacionales, haciendo hincapi en la poltica de seguridad. El individuo debe conocer las disposiciones organizacionales, su responsabilidad en cuanto a la seguridad informtica y lo que se espera de l. Esta capacitacin debe orientarse a incrementar la conciencia de la necesidad de proteger los recursos informticos y a entrenar a los usuarios en la utilizacin de los sistemas y equipos para que ellos puedan llevar a cabo sus funciones en forma segura, minimizando la ocurrencia de errores (principal riesgo relativo a la tecnologa informtica). Slo cuando los usuarios estn capacitados y tienen una conciencia formada respecto de la seguridad pueden asumir su responsabilidad individual. Para esto, el ejemplo de la gerencia constituye la base fundamental para que el entrenamiento sea efectivo: el personal debe sentir que la seguridad es un elemento prioritario dentro de la organizacin. 2.3.2 Niveles de seguridad informtica. El estndar de niveles de seguridad mas utilizado internacionalmente es el TCSEC Orange Book (1983), desarrollado en 1983 de acuerdo a las normas de seguridad en computadoras del Departamento de Defensa de los Estados Unidos. Los niveles describen diferentes tipos de seguridad del Sistema Operativo y se enumeran desde el mnimo grado de seguridad al mximo. Estos niveles han sido la base de desarrollo de estndares europeos (ITSEC/ITSEM) y luego internacionales (ISO/IEC). Cabe aclarar que cada nivel requiere todos los niveles definidos anteriormente: as el subnivel B2 abarca los subniveles B1, C2, C1 y el D. 2.3.2.1 Nivel D.

Este nivel contiene slo una divisin y est reservada para sistemas que han sido evaluados y no cumplen con ninguna especificacin de seguridad. Sin sistemas no confiables, no hay proteccin para el hardware, el sistema operativo es inestable y no hay autentificacin con respecto a los usuarios y sus derechos en el acceso a la informacin. Los sistemas operativos que responden a este nivel son MSDOS y System 7.0 de Macintosh. 2.3.2.2 Nivel C1: Proteccin discrecional. Se requiere identificacin de usuarios que permite el acceso a distinta informacin. Cada usuario puede manejar su informacin privada y se hace la distincin entre los usuarios y el administrador del sistema, quien tiene control total de acceso. Muchas de las tareas cotidianas de administracin del sistema slo pueden ser realizadas por este super usuario; quien tiene gran responsabilidad en la seguridad del mismo. Con la actual descentralizacin de los sistemas de cmputos, no es raro que en una organizacin encontremos dos o tres personas cumpliendo este rol. Esto es un problema, pues no hay forma de distinguir entre los cambios que hizo cada usuario. A continuacin se enumeran los requerimientos mnimos que debe cumplir la clase C1: Acceso de control discrecional: distincin entre usuarios y recursos. Se podrn definir grupos de usuarios (con los mismos privilegios) y grupos de objetos (archivos, directorios, disco) sobre los cuales podrn actuar usuarios o grupos de ellos. Identificacin y Autentificacin: se requiere que un usuario se identifique antes de comenzar a ejecutar acciones sobre el sistema. El dato de un usuario no podr ser accedido por un usuario sin autorizacin o identificacin. 2.3.2.3 Nivel C2: Proteccin de acceso controlado. Este subnivel fue diseado para solucionar las debilidades del C1. Cuenta con caractersticas adicionales que crean un ambiente de acceso controlado. Se debe llevar una auditoria de accesos e intentos fallidos de acceso a objetos. Tiene la capacidad de restringir an ms el que los usuarios ejecuten ciertos comandos o tengan acceso a ciertos archivos, permitir o denegar datos a usuarios en concreto, con base no slo en los permisos, sino tambin en los niveles de autorizacin. Requiere que se audite el sistema. Esta auditora es utilizada para llevar registros de todas las acciones relacionadas con la seguridad, como las actividades efectuadas por el administrador del sistema y sus usuarios. La auditora requiere de autenticacin adicional para estar seguros de que la persona que ejecuta el comando es quien dice ser. Su mayor desventaja reside en los recursos adicionales requeridos por el procesador y el subsistema de discos.

Los usuarios de un sistema C2 tienen la autorizacin para realizar algunas tareas de administracin del sistema sin necesidad de ser administradores. Permite llevar mejor cuenta de las tareas relacionadas con la administracin del sistema, ya que es cada usuario quien ejecuta el trabajo y no el administrador del sistema. 2.3.2.4 Nivel B1: Seguridad etiquetada. Este subnivel, es el primero de los tres con que cuenta el nivel B. Soporta seguridad multinivel, como la secreta y ultrasecreta. Se establece que el dueo del archivo no puede modificar los permisos de un objeto que est bajo control de acceso obligatorio. A cada objeto del sistema (usuario, dato, etc.) se le asigna una etiqueta, con un nivel de seguridad jerrquico (alto secreto, secreto, reservado, etc.) y con unas categoras (contabilidad, nminas, ventas, etc.). Cada usuario que accede a un objeto debe poseer un permiso expreso para hacerlo y viceversa. Es decir que cada usuario tiene sus objetos asociados. Tambin se establecen controles para limitar la propagacin de derecho de accesos a los distintos objetos. 2.3.2.5 Nivel B2: Proteccin estructurada. Requiere que se etiquete cada objeto de nivel superior por ser padre de un objeto inferior. La Proteccin Estructurada es la primera que empieza a referirse al problema de un objeto a un nivel mas elevado de seguridad en comunicacin con otro objeto a un nivel inferior. As, un disco rgido ser etiquetado por almacenar archivos que son accedidos por distintos usuarios. El sistema es capaz de alertar a los usuarios si sus condiciones de accesibilidad y seguridad son modificadas; y el administrador es el encargado de fijar los canales de almacenamiento y ancho de banda a utilizar por los dems usuarios. 2.3.2.6 Nivel B3: Dominios de seguridad. Refuerza a los dominios con la instalacin de hardware: por ejemplo el hardware de administracin de memoria se usa para proteger el dominio de seguridad de acceso no autorizado a la modificacin de objetos de diferentes dominios de seguridad. Existe un monitor de referencia que recibe las peticiones de acceso de cada usuario y las permite o las deniega segn las polticas de acceso que se hayan definido Todas las estructuras de seguridad deben ser lo suficientemente pequeas como para permitir anlisis y tests ante posibles violaciones. Este nivel requiere que la Terminal del usuario se conecte al sistema por medio de una conexin segura. Adems, cada usuario tiene asignado los lugares y objetos a los que puede acceder. 2.3.2.7 Nivel A: Proteccin verificada. 1

Es el nivel ms elevado, incluye un proceso de diseo, control y verificacin, mediante mtodos formales (matemticos) para asegurar todos los procesos que realiza un usuario sobre el sistema. Para llegar a este nivel de seguridad, todos los componentes de los niveles inferiores deben incluirse. El diseo requiere ser verificado de forma matemtica y tambin se deben realizar anlisis de canales encubiertos y de distribucin confiable. El software y el hardware son protegidos para evitar infiltraciones ante traslados o movimientos del equipamiento (Howard, 1995). 2.4 Comunicaciones. Borghello (2001) seala que durante el siglo XX, la tecnologa clave ha sido la recoleccin, procesamiento y distribucin de informacin. Entre otros desarrollos, hemos asistido a la instalacin de redes telefnicas en todo el mundo, a la invencin de la radio y la televisin, al nacimiento y crecimiento sin precedente de la industria de las computadoras, as como a la puesta en orbita de los satlites de comunicacin. A medida que avanzbamos hacia los ltimos aos de este siglo, se ha dado una rpida convergencia de estas reas, y adems las diferencias entre la captura, transporte almacenamiento y procesamiento de informacin estn desapareciendo con rapidez. Organizaciones con centenares de oficinas dispersas en una amplia rea geogrfica esperan tener la posibilidad de examinar en forma habitual el estado actual de todas ellas, simplemente oprimiendo un botn. Mientras crece nuestra habilidad para recolectar procesar y distribuir informacin, la demanda de procesos ms sofisticados crece todava con mayor rapidez. La industria de informtica ha mostrado un progreso espectacular en muy corto tiempo. El viejo modelo de tener una sola computadora para satisfacer todas las necesidades de clculo de una organizacin se est reemplazando por otro que considera un nmero grande de computadoras separadas, pero interconectadas, que efectan el mismo trabajo. Estos sistemas, se conocen con el nombre de redes. Se dice que los sistemas estn interconectados, si son capaces de intercambiar informacin. Esta conexin puede realizarse a travs de un alambre de cobre, fibra ptica, lser, microondas o satlites de comunicaciones. 2.4.1 Objetivo de las redes. Las redes en general, consisten en compartir recursos, y uno de sus objetivos es hacer que todos los programas, datos y equipos estn disponibles para cualquier usuario de la red que as lo solicite, sin importar la localizacin fsica del recurso y del usuario. En otras palabras, el hecho de que el usuario se encuentre a miles de kilmetros de distancia de los datos, no debe evitar que ste los pueda utilizar como si fueran originados localmente. Un segundo objetivo consiste en proporcionar una alta fiabilidad, al contar con fuentes alternativas de suministro. La presencia de mltiples CPUs 3

significa que si una de ellas deja de funcionar, las otras pueden ser capaces de encargarse de su trabajo, aunque el rendimiento global sea menor. Otro objetivo es el ahorro econmico. Las computadoras pequeas tienen una mejor relacin costo/rendimiento, comparada con la ofrecida por las mquinas grandes. Estas son, a grandes rasgos, diez veces ms rpidas que el ms rpido de los microprocesadores, pero su costo es miles de veces mayor. Este desequilibrio ha ocasionado que muchos diseadores construyan sistemas constituidos por poderosos ordenadores personales, uno por usuario y con los datos guardados en una o ms mquinas que funcionan como servidor de archivo compartido. Este objetivo conduce al concepto de redes con varias computadoras en el mismo edificio. A este tipo de red se le denomina LAN, en contraste con lo extenso de una WAN. Un punto muy relacionado es la capacidad para aumentar el rendimiento del sistema en forma gradual a medida que crece la carga, simplemente aadiendo ms procesadores. Otro objetivo del establecimiento de una red, es que puede proporcionar un poderoso medio de comunicacin entre personas que se encuentran muy alejadas entre s. Una forma que muestra el amplio potencial del uso de redes como medio de comunicacin es Internet y el uso del correo electrnico (email), que se enva a una persona situada en cualquier parte del mundo que disfrute de este servicio (Beaver, 2004). 2.4.1.1 Estructuras. Definir el concepto de redes implica diferenciar entre el concepto de redes fsicas y redes de comunicacin. Respecto a la estructura fsica, los modos de conexin y los flujos de datos, etc.; una Red la constituyen dos o ms computadoras que comparten determinados recursos, sea hardware (impresoras, sistemas de almacenamiento, etc.) o software (aplicaciones, archivos, datos, etc.). Desde una perspectiva ms comunicativa y que expresa mejor lo que puede hacerse con las redes, podemos decir que existe una red cuando estn involucrados un componente humano que comunica, un componente tecnolgico (computadoras, telecomunicaciones) y un componente administrativo (institucin que mantiene los servicios). As, a una Red ms que varias computadoras conectadas, la constituyen personas que solicitan, proporcionan e intercambian experiencias e informaciones a travs de sistemas de comunicacin. Las redes deberan ser lo ms transparentes posibles, de tal forma que el usuario final no requiera tener conocimiento de la tecnologa (equipos y programas) utilizada para la comunicacin.

2.4.1.1.1 Tecnologas de transmisin. Al crear una red, se toman en cuenta dos factores principales: el medio fsico de transmisin y las reglas que rigen la transmisin de datos. El primer factor se llama nivel fsico y el segundo protocolo. En el nivel fsico generalmente encontramos seales de voltaje que tienen un significado preconcebido. Estas seales se agrupan e interpretan para formar entidades llamadas paquetes de datos. La forma de acceder a estos paquetes la determina la tecnologa de transmisin, aceptndose dos tipos: 1. Las redes de tipo Broadcast se caracterizan porque todos los miembros (nodos) pueden acceder a todos los paquetes que circulan por el medio de transmisin. 2. Las redes PointToPoint slo permiten que un nodo se conecte a otro en un momento dado. 2.4.1.1.2 Modelo cliente/servidor. En vez de construir sistemas informticos como elementos monolticos, existe el acuerdo general de construirlos como sistemas Cliente/Servidor. El Cliente (un usuario de PC) solicita un servicio (por ejemplo imprimir) que un Servidor (un procesador conectado a la LAN) le proporciona. Este enfoque comn de la estructura de los sistemas informticos se traduce en una separacin de las funciones que anteriormente formaban un todo. Los detalles de la realizacin van desde los planteamientos sencillos hasta la posibilidad real de manejar todas las PCs de modo uniforme. 2.4.1.1.3 Tecnologa de objetos. Otro de los enfoques para la construccin de los sistemas parte de la hiptesis de que deberan estar compuestos por elementos perfectamente definidos, objetos cerrados y materializados haciendo de ellos agentes independientes. La adopcin de los objetos como medios para la construccin de sistemas informticos ha colaborado a la posibilidad de intercambiar los diferentes elementos. 2.4.1.1.4 Sistemas abiertos. Esta definicin alude a sistemas informticos cuya arquitectura permite una interconexin y una distribucin fcil. En la prctica, el concepto de sistema abierto se traduce en desvincular todos los componentes de un sistema y utilizar estructuras anlogas en todos los dems. Esto conlleva una mezcla de normas (que indican a los fabricantes lo que deberan hacer) y de asociaciones (grupos de entidades afines que les ayudan a realizarlo). El efecto final es que sean capaces de hablar entre s. El objetivo ltimo de todo el esfuerzo invertido en los sistemas abiertos consiste en que cualquiera pueda adquirir computadoras de diferentes fabricantes, las coloque donde quiera, utilice conexiones de banda ancha para 2

enlazarlas entre s y las haga funcionar como una mquina compuesta, capaz de sacar provecho de las conexiones de alta velocidad. Parece lgico suponer que las computadoras podrn trabajar en conjunto cuando dispongan de una conexin entre ellas. Pero Cmo conseguir, sin embargo, que computadoras de diferentes fabricantes en distintos pases funcionen en comn a travs de todo el mundo?. Hasta hace poco, un equipo poda comunicarse con otro de su misma familia, pero tena grandes dificultades para hacerlo con un extrao. 2.4.1.1.5 El modelo OSI. El modelo conceptual OSI (Open System Interconection) es utilizado por, prcticamente, la totalidad de las redes del mundo. Este modelo fue creado por el ISO (International Standard Organization), y consiste en siete niveles o capas donde cada una de ellas define las funciones que deben proporcionar los protocolos con el propsito de intercambiar informacin entre varios sistemas. Esta clasificacin permite que cada protocolo fuera desarrollado con una finalidad determinada, lo cual simplifica el proceso de implementacin. Cada capa depende de los que estn por debajo de l, y a su vez proporciona alguna funcionalidad a los capas superiores. Las siete capas del modelo OSI son los siguientes: 1. Capa Fsica: esta capa tiene que ver con el envo de bits en un medio fsico de transmisin y asegura que si de un extremo del medio se enva un 1 (carga elctrica) del otro lado se reciba ese. 1. Brinda los medios elctricos, mecnicos, de procedimiento y funcionales para activar y mantener el enlace fsico entre los sistemas. 2. Capa de Enlace: en esta capa se toman los bits que entrega la Capa Fsica y se agrupan para formar marcos de bits (Frames). Se realiza un chequeo de errores sobre cada frame. Si un marco se pierde o se daa en el medio fsico este capa se encarga de retransmitirlo, aunque en ocasiones dicha operacin provoca que un mismo marco se duplique en el destino. Dado el caso es obligacin detectar tal anomala y corregirla. Tambin en esta capa se decide cmo acceder al medio fsico. 3. Capa de Red: se encarga de controlar la operacin de la subred (medios fsicos y dispositivos de enrutado). Una tarea primordial es decidir cmo hacer que los paquetes lleguen a su destino desde su origen en el formato predefinido por un protocolo. Otra funcin importante en este nivel es la resolucin de cuellos de botella. En estos casos se pueden tener varias rutas para dar salida a los paquetes y en base a algunos parmetros de eficiencia o disponibilidad se eligen rutas dinmicas de salida. A los efectos de la obtencin de estadsticas, se registra el tipo y cantidad de paquetes que circulan. 2

4. Capa de Transporte: el objetivo de esta capa es el de tomar datos de la Capa de Sesin y asegurarse que dichos datos llegan a su destino. En ocasiones los datos que vienen de la Capa de Sesin exceden el tamao mximo de transmisin (MTU Maximum Transmission Unit) de la interfaz de red, por lo cual es necesario particionarlos y enviarlos en unidades ms pequeas, lo cual da origen a la fragmentacin y ensamblado de paquetes cuyo control se realiza en esta capa. La ltima labor importante de la Capa de Transporte es ofrecer un mecanismo de nombrado que sirva para identificar y diferenciar las mltiples conexiones existentes, as como determinar en qu momento se inician y se terminan las conversaciones; es decir, en esta capa hay un mecanismo de control de flujo. Por ejemplo, si el usuario "a" en el nodo (A) quiere iniciar una sesin de trabajo remoto en un nodo (B), existir una conexin que debe ser diferenciada de la conexin que el usuario "b" necesita para transferir un archivo del nodo (B) al nodo (A). 5. Capa de Sesin: esta capa ofrece el servicio de establecer sesiones de trabajo entre nodos diferentes de una red, sincroniza y establece puntos de chequeo. Por ejemplo, si se hace necesario transferir un archivo muy grande entre dos nodos que tienen una alta probabilidad de sufrir una cada, es lgico pensar que una transmisin ordinaria nunca terminara porque algn interlocutor perder la conexin. La solucin es que se establezcan puntos de chequeo cada pocos minutos de manera que, si la conexin se rompe, ms tarde se pueda reiniciar a partir del punto de chequeo, lo cual ahorra tiempo y permite la finalizacin de la transferencia. 6. Capa de Presentacin: esta provee las facilidades para transmitir datos con la sintaxis propia de las aplicaciones o el nodo. En esta capa es posible convertir los datos a un formato independiente de los nodos que intervienen en la transmisin. 7. Capa de Aplicacin: en esta capa se encuentran las aplicaciones de red que permiten explotar los recursos de otros nodos. Dicha explotacin se hace, por ejemplo, a travs de una emulacin de una terminal que trabaja en un nodo remoto, interpretando una gran variedad de secuencias de caracteres de control que permiten desplegar en la terminal local los resultados, an cuando stos sean grficos. Otra forma de explotacin se da cuando se transmite desde una computadora origen que almacena sus archivos en un formato distinto al del destino. Es posible que el programa de transferencia realice las conversiones necesarias de manera que el archivo puede usarse inmediatamente bajo alguna aplicacin. Grficamente: Imagen 1

Modelo OSI. Fuente: CISCO Networking Academies. Curriculum Online Versin 1.1. 2.4.1.1.5.1 Transmisin de datos en el modelo OSI. Un envo de datos tpico bajo el modelo de referencia OSI comienza con una aplicacin en un nodo cualquiera de la red. Esta Aplicacin genera los datos que quiere enviar a su contraparte en otro nodo. 1. La Capa de Aplicacin toma los datos y los encapsula aadiendo un encabezado que puede contener informacin de control o estar vaco. Enva el paquete resultante a la Capa de Presentacin. 2. La Capa de Presentacin recibe el paquete y no intenta decodificarlo o separar sus componentes, sino que lo toma como datos y le aade un encabezado con informacin de control de esta capa. 3. Las Capa de Sesin y de Transporte reciben el paquete, que tambin son slo datos para ellas y le aaden un encabezado de control. El resultado es enviado a la capa inferior. 4. La Capa de Red se encarga de enrutar el paquete a su destino. 5. Las Capas de Red, Enlace de datos y Fsica toman, respectivamente, el paquete que les enva la capa superior y aaden a ste un encabezado definido por el protocolo que corresponde a cada capa y pasan el resultado a la capa inferior. 6. La Capa Fsica, por ltimo, traducir el ltimo paquete a las seales apropiadas para que viajen por el medio fsico hasta el nodo destino. 7. En el nodo destino comienza el camino inverso; es decir que cada capa quita su encabezado de control y enva el paquete a la capa superior hasta llegar a la de Aplicacin en el nodo destino. Como puede apreciarse, todas las capas, excepto la de Aplicacin, procesan los paquetes realizando operaciones que sirven para verificar que el

paquete de datos real est ntegro, o para que ste llegue a su destino sin que los datos sufran alguna alteracin. 2.4.2 Protoclos de red. En las redes, las computadoras deben comunicarse entre s e intercambiar datos con sistemas operativos y hardware muy distintos. En el nivel fsico, esto se realiza a travs de placas de redes, y una conexin entre las mismas. Lgicamente se debe establecer una comunicacin del mismo lenguaje entre distintos sistemas operativos y placas. Este lenguaje es lo que se llama protocolo. Algunos protocolos se encargan de transportar datos, mientras que otros se encargan de la comunicacin entre computadoras, y otros de convertir correctamente los datos. As, Protocolo es el conjunto de normas (lenguaje de reglas y smbolos) que rige cada tipo de comunicacin entre dos computadoras (intercambio de informacin). Actualmente existen protocolos para cualquier tipo de comunicacin que nos imaginemos; muchos de ellos han cado en desuso y otros se encuentran en su plenitud de utilizacin. Esto es el producto de una sociedad cada vez ms intercomunicada y relacionada, en donde lo importante es que la informacin llegue a su destino s, pero tambin lo es que llegue en las mismas condiciones en que ha sido enviada y en el tiempo previsto. Algunos de los protocolos ms conocidos y ampliamente difundidos son: 2.4.2.1 NETBIOSNETBEUINWLINKWINS. Network Basic Input Output System, es el protocolo ms sencillo. Est compuesto por menos de 20 comandos que se ocupan del intercambio de datos. Se ha perfeccionado y ampliado recibiendo el nuevo nombre NetBEUI (NetBIOS Extended User Interface) pero contina utilizando el juego de comandos del NetBIOS y luego para hacerlo compatible con otros protocolos (como IPXSPX) se amplio nuevamente recibiendo el nombre de NWLink (NetWare Link). NetBIOS toma el puerto 137139 en computadoras que utiliza el sistema operativo Windows de la empresa Microsoft. Est considerado el protocolo ms fcilmente vulnerable de los existentes, a punto tal que cualquier especialista de seguridad recomienda no utilizarlo. 2.4.2.2 TCP/IP. En los aos 80 una gran cantidad de instituciones estaban interesadas en conectarse a una gran red que se expanda por todo EE.UU. (ahora Internet). Para esto definieron un conjunto de reglas que establecen cmo conectar computadoras entre s para lograr el intercambio de informacin.

Actualmente TCP/IP se utiliza ampliamente en la versin 4 (IPv4) que no incluye la seguridad como parte de su construccin. Sin embargo se encuentra en desarrollo (IPv6 o IPSec) que dentro de sus estndares soporta autenticacin, integridad y confidencialidad a nivel de datagramas Basado en las capas del modelo OSI, se defini un conjunto de protocolos de TCP/IP, que consta de 4 capas principales y que se han convertido en un estndar a nivel mundial. 2.4.2.2.1 Las capas del modelo TCP/IP. El Transmission Communication Protocol/Internet Protocol es actualmente el protocolo ms ampliamente utilizado por su independencia del Sistema Operativo y hardware utilizado. Es un eficaz protocolo orientado por paquetes; es particularmente adecuado como plataforma para protocolos de los ms distintos servicios y aplicaciones que se pueden conseguir a travs de la red. TCP/IP no es un nico protocolo, sino que en realidad lo que se conoce con este nombre es un conjunto de protocolos que cubren los distintos niveles del modelo OSI. Los dos protocolos ms importantes son el TCP (Transmission Control Protocol) y el IP (Internet Protocol), que son los que dan nombre al conjunto. Se diferencian cuatro capas en las que se agrupan los protocolos, y que se relacionan con los niveles OSI como se muestra en el siguiente grfico. Imagen 2

Comparacin Modelo OSI TCP Aplicacin: Se corresponde con los niveles OSI de Aplicacin, Presentacin y Sesin. Aqu se incluyen protocolos destinados a proporcionar servicios, tales como correo electrnico (SMTP), transferencia de archivos (FTP), conexin remota (Telnet) y otros ms recientes como el protocolo HTTP (Hypertext Transfer Protocol). Transporte: Coincide con el nivel de Transporte del modelo OSI. Esta capa est implantada por dos protocolos: el Transmission Control 1

Protocol (TCP) y el User Datagram Protocol (UDP). El primero es un protocolo confiable (reliable) y orientado a conexiones, lo cual significa que ofrece un medio libre de errores para enviar paquetes. El segundo es un protocolo no orientado a conexiones (connectionless) y no es confiable (unreliable). El TCP se prefiere para la transmisin de datos a nivel red de rea amplia y el UDP para redes de rea local. Internet: Es el nivel de Red del modelo OSI. Incluye al protocolo IP, que se encarga de enviar los paquetes de informacin a sus destinos correspondientes. Es utilizado con esta finalidad por los protocolos del nivel de transporte. Interfaz de red: correspondiente al nivel de Enlace y Fsico de la pila OSI. Los protocolos que pertenecen a este nivel son los encargados de la transmisin a travs del medio fsico al que se encuentra conectado cada Host, como puede ser una lnea punto a punto o una red Ethernet. La capa inferior, que podemos nombrar como Fsica respecto al modelo OSI, contiene varios estndares (conocidos con el nombre del IEEE 802.X) que establecen las reglas para enviar datos por cable coaxial delgado (10Base2), cable coaxial grueso (10Base5), par trenzado (10BaseT), fibra ptica (10BaseF) y su propio mtodo de acceso. El TCP/IP necesita funcionar sobre algn tipo de red o de medio fsico que proporcione sus propios protocolos para el nivel de enlace de Internet. Por este motivo hay que tener en cuenta que los protocolos utilizados en este nivel pueden ser muy diversos y no forman parte del conjunto TCP/IP. Sin embargo, esto no debe ser problemtico puesto que una de las funciones y ventajas principales del TCP/IP es proporcionar una abstraccin del medio; de forma que sea posible intercambiar informacin entre medios diferentes y tecnologas que inicialmente son incompatibles. Para transmitir informacin a travs de TCP/IP, sta debe ser dividida en unidades de menor tamao. Esto proporciona grandes ventajas en el manejo de los datos que se transfieren. En TCP/IP cada una de estas unidades de informacin recibe el nombre de "Datagrama" (datagram), y son conjuntos de datos que se envan como mensajes independientes. 2.4.2.2.2 Funcionamiento. Las aplicaciones de red presentan los datos a TCP. Este divide los datos en trozos (paquetes), y le otorga a cada uno un nmero. El conjunto de paquetes ordenados pueden representar imgenes, documentos, videos, o cualquier otra informacin que el usuario desee enviar. Luego, TCP presenta los datos a IP, quien agrega su informacin de control (como ser direccin de origen y destino). Si por algn motivo IP no puede entregar algn paquete, TCP pedir el reenvio de los faltantes. Por ltimo TCP se encarga de reensamblar los paquetes en el orden correcto, basndose en los nmeros asignados previamente. 2.4.2.2.3 Comparacin con el modelo OSI. 2

Si bien TCP/IP est basado en OSI, este ltimo no tuvo xito debido a causas como el momento de su introduccin, la tecnologa existente en ese momento, malas implementaciones y polticas por parte de los investigadores. Sin embargo OSI es un buen modelo y TCP/IP es un buen conjunto de protocolos y la combinacin de ambos es la que permite contar con las comunicaciones que se tienen hoy. El modelo TCP/IP no tiene bien divididas las Capas de Enlace de Datos, Presentacin y Sesin y la experiencia ha demostrado que en la mayora de los casos son de poca utilidad. Los estndares 802.X junto con el protocolo IP realizan todas las funciones propuestas en el modelo OSI hasta la Capa de Red. Los protocolos TCP y UDP cumplen con la Capa de Transporte. Finalmente, las aplicaciones ya mencionadas son ejemplos prcticos y reales de la funcionalidad de la Capa de Aplicacin. Grficamente pueden apreciarse las siete capas del modelo y su relacin directa en su implementacin sobre el protocolo TCP/IP. 2.4.2.3 Capa fsica del modelo TCP/IP. 2.4.2.3.1 ARP. El Address Resolution Protocol no se dedica al transporte de datos sino a convertir las direcciones IP en direcciones de la red fsica. El protocolo consigue la direccin mediante la difusin de un paquete de peticin ARP que contiene la direccin IP del sistema destinatario. Todos los ordenadores de la red detectan estas difusiones y aquel que contenga la direccin IP solicitada, la transmitir al sistema solicitante mediante una respuesta de paquete ARP. Luego el solicitante almacena estas direcciones en una tabla para su uso posterior; y esta tabla adems servir de referencia a otros equipos para evitar la bsqueda de las mimas direcciones. 2.4.2.3.2 RARP. El Reverse Address Resolution Protocol realiza el trabajo inverso de ARP. Es decir que obtiene la direccin IP a partir de una direccin fsica. 2.4.2.4 Capa de datos del modelo TCP/IP. 2.4.2.4.1 SLIP. El Serial Link Internet Protocol/Point to Point Protocol brinda una conexin de velocidad aceptable, con al posibilidad de admitir varias conexiones simultaneas con un mismo modem. El mecanismo es sencillo: se llama al proveedor, quien oficia de puente entre su computadora y el resto de la red, y una vez establecida la comunicacin se tiene acceso total a los servicios. Es un protocolo sencillo y pequeo, pensando en su fcil implementacin; y en la baja velocidad de los enlaces telefnicos, por lo que ha cado en desuso. 1

Este protocolo apoya solamente IP, no provee deteccin de errores ni de autenticacin y tienen la desventaja de que existen muchas implementaciones incompatibles entre ellas. 2.4.2.4.2 PPP. El Point to Point Protocol fue desarrollado por el IETF (Internet Engineering Task Force) en 1993 para mejorar algunas deficiencias de SLIP, y crear un estndar internacional. PPP es un protocolo mucho ms amplio, ms potente y adaptable. Proporciona un mtodo de enlace bidireccional full dplex para transportar datagramas multiprotocolo sobre enlaces simples (conexin directa) de un equipo a otro (punto a punto), en cualquier situacin sin importar el tipo de conexin, el hardware ni el sistema operativo. Sus principales caractersticas son: 1. Es transparente a las capas superiores. 2. Transmite protocolos IP, IPX, Apple Talk, etc. 3. Es ampliable ya que no fue pensando para solucionar un problema en concreto. PPP esta dividido en dos subprotocolos: 1. LCP (Link Control Protocol): es el encargado de comenzar una conexin (fase abierta), definir como se producir el intercambio de datos (tamao de los paquetes, identificacin, tiempos de espera, etc.) y de finalizar la conexin (enlace muerto). 2. NCP (Network Control Protocol): se encarga de negociar y configura las opciones de los diferentes protocolos de red (IP, IPX, etc.) abrindolos de a uno por vez. Una vez que un NCP ha alcanzado el estado abierto, PPP transportar los correspondientes paquetes. Cualquier paquete recibido mientras su NCP no est en el estado abierto es descartado. 2.4.2.5 Capa de red del modelo TCP/IP. 2.4.2.5.1 IPXSPX. El Internetwork Packet ExchangeSequenced Packet Exchange es el protocolo de nivel de red propietario de NetWare (para su sistema operativo Novell) siendo utilizados en las redes tipo LAN. 2.4.2.5.2 IP. El Internet Protocol define la base de todas las comunicaciones en Internet. Es utilizado por los protocolos del nivel de transporte (como TCP) para encaminar los datos hacia su destino. IP tiene nicamente la misin de encaminar el datagrama, sin comprobar la integridad de la informacin que 1

contiene. Para ello se utiliza una nueva cabecera que se antepone al datagrama que se est tratando. La cabecera IP tiene un tamao de 160 bits y est formada por varios campos de distinto significado entre los que se destaca el tipo de protocolo de transporte del datagrama, el nmero de paquete (para su posterior ensamble), la direccin de origen y la de destino, etc. Es de notar que este protocolo no garantiza la llegada de los paquetes a destino (conexin sin garanta), ni su orden; tan solo garantiza la integridad del encabezado IP. La fiabilidad de los datos deben garantizarla los niveles superiores. Tambin, se trata de una transmisin sin conexin porque cuando se enva el paquete, no se avisa al receptor para que est preparado (no existe una conexin directa emisorreceptor). De hecho, muchas veces se mandan paquetes a un destino inexistente o que no se encuentra disponible. El protocolo IP identifica a cada equipo que se encuentre conectado a la red mediante su correspondiente direccin. Esta direccin es un nmero de 32 bits que debe ser nico para cada Host, y normalmente suele representarse como cuatro cifras de 8 bits separadas por puntos (por ejemplo: 205.025.076.223) En el nivel IP se definen los siguientes aspectos de intercambio de informacin: 1. Un mecanismo de direcciones que permite identificar de manera univoca al emisor y al receptor, sin considerar las ubicaciones ni las arquitecturas de las redes a las cuales pertenece cada uno. Este mecanismo permite la universalidad de la red. 2. Un concepto relativo al transporte de los paquetes de datos, para que el mismo llegue al receptor a travs de los nodos de las redes involucradas. Dentro de cada red tendr que haber al menos un receptor (Router) que est conectado con otra computadora en otra red en el exterior. Los routers reconocen un paquete y comprueban que no sea para alguna maquina conectada a su red y entonces lo mandan a otra, ms cercana al destino. Esto se hace sucesivas veces hasta que el paquete llega al router de la red donde se encuentra la computadora destinataria del mensaje. 3. Un formato para los paquetes (cabecera). Con esta, el Router podr identificar al destinatario del mensaje, ya que como se explico, uno de los datos de la cabecera es el nombre de destino del mensaje. La direccin IP se utiliza para identificar tanto a la computadora en concreto como la red a la que pertenece, de manera que sea posible distinguir a los ordenadores que se encuentran conectados a una misma red. Con este propsito, y teniendo en cuenta que en Internet se encuentran conectadas redes de tamaos muy diversos, se establecieron cuatro clases diferentes de direcciones, las cuales se representan mediante tres rangos de valores:

1. Clase A: son las que en su primer byte tienen un valor comprendido entre 1 y 126, incluyendo ambos valores. Estas direcciones utilizan nicamente este primer byte para identificar la red, quedando los otros tres bytes disponibles para cada uno de las computadoras (Hosts) que pertenezcan a esta misma red. Esto significa que podrn existir ms de diecisis millones de Hosts en cada una de las 126 redes de esta clase. Este tipo de direcciones es usado por redes muy extensas. 2. Clase B: estas direcciones utilizan en su primer byte un valor comprendido entre 128 y 191, incluyendo ambos. En este caso el identificador de la red se obtiene de los dos primeros bytes de la direccin, debiendo ser un valor entre 128.001 y 191.254 (no es posible utilizar los valores 0 y 255 por tener un significado especial). Los dos ltimos bytes de la direccin constituyen el identificador de la computadora permitiendo, por consiguiente, un nmero mximo de 64.516 ordenadores en la misma red. Este tipo de direcciones tendra que ser suficiente para la gran mayora de las organizaciones grandes. 3. Clase C: en este caso el valor del primer byte tendr que estar comprendido entre 192 y 223, incluyendo ambos valores. Este tercer tipo de direcciones utiliza los tres primeros bytes para el nmero de la red, con un rango desde 192.001.001 hasta 223.254.254. De esta manera queda libre un byte para el Host, lo que permite que se conecten un mximo de 254 computadoras en cada red. 4. Clase D: esta clase se usa con fines de multidifusin a ms de un dispositivo. El rango es desde 224.0.0.0 hasta 239.255.235.255. Actualmente se planea la utilizacin de redes Clase comprenderan el rango desde 240.0.0.0 hasta 247.255.255.255. E que

2.4.2.5.2.1 DNS Nombres de dominio. Ya que para el ser humano se hace difcil recordar direcciones IP como 209.89.67.156 se cre lo que dio en llamar DNS (Domain Name Server), el cual es el encargado de convertir la direccin IP en un nombre de dominio generalmente fcil de recordar y viceversa. As www.clarin.com ser entendida, merced al servicio de DNS como 110.56.12.106 o \\Carlos se convertir en 10.0.0.33. 2.4.2.5.2.2 Puertos. Para acceder desde el nivel de red al nivel de aplicaciones no sirve simplemente indicar la direccin IP; se necesitarn ms especificaciones para que el Host de destino pueda escoger la aplicacin correcta. Estas especificaciones harn necesario la definicin de Puerto. Un puerto se representa por un valor de 16 bits y hace la diferencia entre los posibles receptores de un mensaje.

La combinacin Direccin IP + Puerto identifican una regin de memoria nica denominada Socket. Al indicar este Socket, se puede trasladar el paquete a la aplicacin correcta (FTP, Telnet, WWW, etc.) y, si adems recibe el puerto desde donde fue enviado el mensaje, se podr suministrar una respuesta. Actualmente existen miles de puertos ocupados de los 2.16 = 65535 posibles, de los cuales apenas unos cuantos son los ms utilizados y se encuentran divididos en tres rangos: Desde el puerto 0 hasta el 1023: son los puertos conocidos y usados por aplicaciones de servidor. Desde el 1024 hasta el 49151: son los registrados y asignados dinmicamente. Desde el 49152 hasta 65535: son los puertos privados.

Imagen 3

Fuente: http://www.isi.edu/innotes/iana/assignments/portnumbers segn RFC 768, RFC 793 y RFC 1060 2.4.2.5.3 APPLETALK. Este protocolo (de nivel de red) est incluido en el Sistema Operativo de Apple Macintosh desde su aparicin, permite interconectar computadoras y perifricos con gran sencillez para el usuario, ya que no requiere ningn tipo de configuracin por su parte. 2.4.2.6 Capa de transporte del modelo TCP/IP. 2.4.2.6.1 TCP. El Protocolo de Control de Transmisin (TCP) naci principalmente por la necesidad de una comunicacin segura entre el emisor y el destinatario del mensaje. As, las aplicaciones pueden encargarse de su tarea sin preocuparse de la seguridad en la comunicacin. TCP divide el mensaje original en datagramas de menor tamao (mltiplo de 32 bits), y por lo tanto, mucho ms manejables. Los datagramas sern dirigidos a travs del protocolo IP de forma individual. El protocolo TCP se encarga, adems, de aadir cierta informacin necesaria al inicio de cada uno de los datagramas (cabecera). Luego, se ocupa de que los datos sean entregados y que los paquetes sean reensamblados correctamente asegurando as que lo que se recibe sea efectivamente lo enviado. Si ocurriera algn error en la transmisin, TCP se encargar de reenviar los paquetes. TCP sabr que hubo errores o que el paquete fue entregado correctamente gracias a un paquete de respuesta (acuse de recibo) que enva el destinatario al emisor (para que vuelva a realizar el envo) en donde indica si faltan paquetes, tamaos o datos errneos, etc. 3

Las principales caractersticas de este protocolo son: 1. Servicio orientado a conexin: el destino recibe exactamente la misma secuencia de bytes que enva el origen. 2. Conexin de circuito virtual: durante la transferencia, el protocolo en las dos maquinas continua comunicndose para verificar que los datos se reciban correctamente. 3. Transferencia con memoria intermedia: la aplicacin utiliza paquetes del tamao que crea adecuado, pero el software de protocolo puede dividir el flujo en subpaquetes o armar uno con un grupo de ellos, independientemente de la aplicacin. Esto se realiza para hacer eficiente el trfico en la red. As, si la aplicacin genera piezas de un byte, el protocolo puede armar datagramas razonablemente ms largos antes de hacer el envo, o bien, forzar la transferencia dividiendo el paquete de la aplicacin en datagramas ms pequeos. 4. Flujo no estructurado: se refiere a la posibilidad de envo de informacin de control de estado junto a los datos propiamente dichos. 5. Conexin full duplex: permite la transferencia concurrente en ambas direcciones, sin ninguna interaccin. La ventaja es evidente: el protocolo puede enviar datagramas desde el origen al receptor e informacin de control en sentido opuesto, reduciendo el trfico en la red. El Grafico 4.4 detalla la constitucin de cada datagrama del protocolo TCP (160192 bits = 2024 bytes). Comprender este diagrama es de especial inters para cualquiera que desee manipular datos en una comunicacin actual.

Imagen 4

Los puertos proporcionan una manera de distinguir entre las distintas transferencias, ya que un mismo sistema puede estar utilizando varios servicios o transferencias simultneamente, e incluso puede que por medio de usuarios distintos. El Puerto de Origen (16 bits) contendr un nmero cualquiera que sirva para realizar esta distincin. Adems, el programa cliente que realiza la peticin tambin debe conocer el nmero de puerto en el que se encuentra el servidor adecuado. Mientras que el programa del usuario utiliza nmeros prcticamente aleatorios, el servidor deber tener asignado un nmero estndar para que pueda ser utilizado por el cliente (ver Tabla 6.1). Cuando es el servidor el que enva los datos, los nmeros de puertos de origen y destino se intercambian. El campo Tamao de la Cabecera (4 bits) contiene la longitud total de la cabecera TCP expresada en el nmero de palabras de 32 bits que ocupa (el tamao real divido 4). Esto permite determinar el lugar donde comienzan los Datos. En la transmisin de datos a travs del protocolo TCP la fiabilidad es un factor muy importante. Para poder detectar los errores y prdida de informacin en los datagramas, es necesario que el cliente enve de nuevo al servidor unas Seales de Confirmacin (32 bits) una vez que se ha recibido y comprobado la informacin satisfactoriamente. Si el servidor no obtiene la seal de confirmacin adecuada transcurrido un perodo de tiempo razonable, el datagrama completo se volver a enviar. Por razones de eficiencia los datagramas se envan continuamente sin esperar la confirmacin, hacindose necesaria la numeracin, mediante los Nmeros de Secuencia (32 bits), de los mismos para que puedan ser ensamblados en el orden correcto. Tambin puede ocurrir que la informacin del datagrama llegue con errores a su destino. Para poder detectarlos, cuando sucede esto, se incluye un 1

CheckSum (16 bits), el cual contiene un valor calculado a partir de la informacin del datagrama completo. En el otro extremo el receptor vuelve a calcular este valor, comprobando que es el mismo que el suministrado en la cabecera. Si el valor es distinto significar que el datagrama es incorrecto. La forma en que TCP numera los datagramas es contando los bytes de datos que contiene cada uno de ellos y aadiendo esta informacin al campo correspondiente de la cabecera del datagrama siguiente. De esta manera el primero empezar en cero; el segundo contendr el tamao de la parte de datos; el tercero contendr la suma de ese nmero ms el tamao de los datos del segundo datagrama; y as sucesivamente. Por ejemplo, para un tamao fijo de 500 bytes de datos en cada datagrama, la numeracin sera la siguiente: 0 para el primero, 500 para el segundo, 1000 para el tercero, etc. Existe otro factor ms a tener en cuenta durante la transmisin de informacin, y es la potencia y velocidad con que cada computadora puede procesar los datos que le son enviados. Si esto no se tuviera en cuenta, el equipo de mayor potencia podra enviar la informacin demasiado rpido al receptor, de manera que ste no pueda procesarla. Este inconveniente se soluciona mediante un campo Window (16 bits), en el cual se introduce un valor indicando la cantidad de informacin que el receptor est preparado para procesar en un momento dado. El campo Opciones (32 bits) permite que una aplicacin negocie durante la configuracin de la conexin, caractersticas como el tamao mximo del segmento TCP. Si este campo tiene el primer octeto a cero, indica que no hay opciones, quedando un datagrama de 160 bits. Por ltimo cada datagrama tendr un Estado que le indicar al servidor el contenido, motivo y la forma en que deber ser atendido ese paquete. Este campo puede contiene los siguientes estados (Estado = 1 Verdadero): Bit 5 (URGent): Identifica datos urgentes. Bit 4 (ACKnowledge): Indica que el campo de confirmacin es vlido. Bit 3 (PuSH): Aunque el buffer de datos no este lleno, se fuerza el envo. Bit 2 (ReSeT): Abortar la conexin. Todos los buffers asociados se vacan. Bit 1 (SYnchronize sequence Number): Sincronizar los nmeros de secuencia. Bit 0 (FINish): Se solicita el cerrado de la conexin. Todas estas caractersticas se traducen en un protocolo pesado por el envo de seales de confirmacin y la velocidad se ve sacrificada en pos de la fiabilidad de los datos. 2

2.4.2.6.2 UDP. El User Datagram Protocol puede ser la alternativa al TCP en algunos casos en los que no sea necesario el gran nivel de complejidad proporcionado por el TCP. Puesto que UDP no admite numeracin de los datagramas, este protocolo se utiliza principalmente cuando el orden en que se reciben los mismos no es un factor fundamental, cuando se quiere enviar informacin de poco tamao que cabe en un nico datagrama o si la fiabilidad de los datos no es un factor de relieve. Cuando se utiliza UDP la garanta de que un paquete llegue a su destino es mucho menor que con TCP debido a que no se utilizan las seales de confirmacin. Por todas estas caractersticas la cabecera del UDP es bastante menor en tamao que la de TCP. Esta simplificacin resulta en una mayor eficiencia en determinadas ocasiones. Es utilizado en redes con muy buen cableado. 2.4.2.7 Capa de aplicacin del modelo TCP/IP. 2.4.2.7.1 ICMP. El Internet Control Message Protocol es de caractersticas similares al UDP, pero con un formato an ms simple. Su utilidad no est en el transporte de datos "de usuario", sino en los mensajes de error y de control necesarios para los sistemas de la red. 2.4.2.7.2 FTP. El File Transfer Protocol se incluye como parte del TCP/IP, estando destinado proporcionar el servicio de transferencia de archivos. El FTP depende del protocolo TCP para las funciones de transporte, y guarda alguna relacin con Telnet (protocolo para la conexin remota). FTP utiliza dos canales de conexin separados: uno es el canal de comandos que permanece abierto durante toda la sesin y el otro es el canal de transmisin de archivos. Grficamente: Imagen 5

El FTP permite acceder a algn servidor que disponga de este servicio y realizar tareas tales como moverse a travs de su estructura de directorios, ver y descargar archivos al ordenador local, enviar o copiar archivos directamente de un servidor a otro de la red.

Lgicamente y por motivos de seguridad se hace necesario contar con el permiso previo para poder realizar todas estas operaciones. El servidor FTP pedir el nombre de usuario y clave de acceso al iniciar la sesin (login). Este debe ser suministrado correctamente para poder utilizar el servicio. La manera de utilizar FTP es por medio de una serie de comandos, los cuales suelen variar dependiendo del sistema en que se est ejecutando el programa, pero bsicamente con la misma funcionalidad. Existen aplicaciones de FTP para prcticamente todos los sistemas operativos. Existe una forma muy utilizada para acceder a fuentes de archivos de carcter pblico por medio de FTP y es el acceso FTP Annimo, mediante el cual se pueden copiar archivos de uso pblico. Generalmente el acceso annimo tendr algunas limitaciones en los permisos, siendo normal en estos casos que no se permita realizar acciones tales como aadir archivos o modificar los existentes. El FTP proporciona dos modos de transferencia de archivos: ASCII y binario. El modo de transferencia ASCII se utiliza cuando se quiere transmitir archivos de texto puro. El binario se debe utilizar en cualquier otro caso (datos que no son texto plano). 2.4.2.7.3 HTTP. Este HiperText Tranfer Protocol es la base de toda comunicacin desarrollada en la Web. Utilizado desde principios de lo 90 es un protocolo ASCII que se ocupa de establecer una comunicacin TCP segura entre el cliente y el servidor a travs del puerto 80. HTTP es un protocolo de aplicacin para sistemas de informacin distribuidos, e hipermeditico. Es un protocolo genrico, sin estado, orientado a objetos, que se puede utilizar para muchas tareas, como servidores de nombres y sistemas de gestin de objetos distribuidos, por medio de la ampliacin de sus mtodos de peticin o comandos. Sus principales caractersticas son: 1. Protocolo de Aplicacin: aunque generalmente se implementa sobre el TCP/IP, tambin es capaz de hacerlo sobre otros protocolos de capas ms bajas. http presupone nicamente un transporte fiable, as que puede utilizar cualquier protocolo que garantice este requisito mnimo. 2. Sistemas de informacin distribuidos, colaboradores, de hipermedios: http soporta sistemas de informacin distribuidos es decir, sistemas esparcidos por mltiples servidores. 3. Genrico: HTTP no dicta el contenido de los datos que transfiere; simplemente acta como un conducto para mover datos de aplicacin, por lo que se puede transferir cualquier tipo de informacin por medio de HTTP. 1

4. Sin estado: HTTP no mantiene un estado. Cuando se solicita una transferencia a travs de HTTP, se crea la conexin, se produce la transferencia y se termina la conexin. Esta es una de las debilidades de HTTP; sin informacin de estado, cada pgina Web est sola. Por ejemplo, es difcil desarrollar una aplicacin basada en la Web que permita que un usuario se conecte en una pgina y que mantenga esta informacin de conexin durante todo el tiempo que el usuario est accediendo activamente al destino. Cualquier documento transferido a travs de HTTP no tiene ningn contexto y es completamente independiente de todos los documentos transferidos antes de l. 5. Orientado a objetos, escritura y negociacin de la representacin de los datos: HTTP no est orientado a objetos en el mismo sentido que un lenguaje de programacin. Esta descripcin significa simplemente que HTTP tiene etiquetas que indican el tipo de datos que se van a transferir por medio de la red, as como mtodos, que son comandos que indican qu debe transferirse. 6. Sistema creado independientemente de los datos que se transfieren: Debido a que HTTP slo mueve datos, no necesita tener informacin sobre cada uno de los tipos a transferir. Por ejemplo, un servidor Web no necesita un conocimiento especfico sobre el funcionamiento interno del formato de un archivo de vdeo para hacer el envo. La comunicacin que se establece en una conexin HTTP es de muy corta duracin. El cliente establece la conexin con el servidor HTTP y le solicita un documento determinado. El servidor recibe la consulta, la evala y enva el documento solicitado (si existe) o un mensaje de error en caso contrario. Luego el servidor finaliza la conexin sin que existan otros estados intermedios. Imagen 6

El protocolo HTTP en su estructura, divide el mensaje en encabezado (Header) y en cuerpo (Entity), separados entre s por una lnea en blanco. 2.4.2.7.4 SMTP. El servicio de correo electrnico se proporciona a travs del protocolo Simple Mail Transfer Protocol, (empleando redes TCP/IP) y permite enviar mensajes a otros usuarios de la red. A travs de estos mensajes no slo se puede intercambiar texto, sino tambin archivos binarios de cualquier tipo. 3

Generalmente los mensajes de correo electrnico no se envan directamente a las computadoras personales de cada usuario, sino a un servidor de correo que acta como almacn de los mensajes recibidos. Los mensajes permanecern en este sistema hasta que el usuario los transfiera a su propio equipo para leerlos de forma local (va POP). El cliente de correo enva una solicitud a su email Server (al puerto 25) para enviar un mensaje (y almacenarlo en dicho servidor). El Server establece una conexin SMTP donde emisor y receptor intercambian mensajes de identificacin, errores y el cuerpo del mail. Luego de esto el emisor enva los comandos necesarios para la liberacin de la conexin. Imagen 7

2.4.2.7.5 POP. El servidor POP (Post Office Protocol) fue diseado para la recuperacin de correo desde el email Server hacia la computadora destinataria del mensaje. Al igual que sucede con SMTP, inicialmente el proceso escucha el puerto del protocolo POP (el 110) y cuando el emisor solicita el mensaje se establece una conexin full duplex donde se intercambian los mensajes EmisorServer para luego finalizar la conexin cuando se hallan enviado cada uno de los mails que se almacenaban en el servidor. Actualmente el protocolo POP se encuentra en su implementacin por lo que generalmente se escuchar sobre POP3. tercera

Grficamente la relacin entre el protocolo SMTP y el POP3 es la siguiente: Imagen 8

2.4.2.7.6 MIME. Multipurpose Internet Mail Extensions es una extensin del protocolo SMTP y se creo con el fin de soportar algunos juegos de caracteres extendidos (no USASCII) no soportados por este ltimo (principalmente el francs y el alemn). MIME especifica tres campos que se incluyen en la cabecera del mensaje, para hacer la conversin adecuada al sistema no USASCII utilizado: 1. MIMEVersin: especifica la versin de MIME utilizado para codificar el mensaje. 2. ContentType: especifica el tipo y subtipo de los datos no ASCII. 3. ContenetTranferEncoding: especifica el tipo de codificacin usado para traducir los datos en ASCII. 2.4.2.7.7 NNTP. El Network News Transfer Protocol fue diseado para permitir la distribucin, solicitud, recuperacin y envo de noticias (News). NNTP est basado en las especificaciones de UseNet (tratado tambin en este captulo) pero con algunas modificaciones en su estructura que le permiten ser adaptables a otros grupos de noticias no UseNet. 2.4.2.7.8 SNMP. El Simple Network Management Protocol se utiliza para monitorizar, controlar y administrar mltiples redes fsicas de diferentes fabricantes, donde no existe un protocolo comn en la capa de Enlace. La estructura de este protocolo se basa en utilizar la capa de aplicacin para evitar el contacto con la capa de enlace y, aunque es parte de la familia TCP/IP no depende del IP ya que fue diseado para ser independiente y puede correr igual de fcil sobre, por ejemplo, IPX de Novell.

2.4.3 Estructura bsica de la WEB. La estructura bsica de la World Wide Web (WWW) consiste en que el protocolo HTTP acta como un transporte genrico que lleva varios tipos de informacin del servidor al cliente. Hoy en da las conexiones a servidores web son las ms extendidas entre usuarios de Internet, hasta el punto tal de que muchas personas piensan que este servicio es el nico existente, junto al IRC. 1

Inicialmente se ideo para que unos cuantos fsicos intercambiaran informacin entre universidades, hoy es uno de los pilares fundamentales de muchas empresas. Cada entidad servidor se identifica de forma nica con un Localizador de Recursos Universal (URL) que a su vez est relacionado unvocamente con una direccin IP. El tipo ms comn de datos transportado a travs de HTTP es HTML (HiperText Markup Language). Adems de incluir directrices para la compresin de textos, tambin tiene directrices que proporcionan capacidades como las de enlaces de hipertexto y la carga de imgenes en lnea. Los recursos hiperenlazados y los archivos de imgenes en lnea estn identificados con los URL intercalados dentro del documento HTML. A pesar de que algunos servidores Web personales de gama baja slo pueden enviar pginas estticas, la mayora de los servidores HTTP admiten la CGI (Common Gateway Interface). Con CGI se pueden escribir programas que se integran en la Web y que realizan tareas tales como el proceso de formularios y las bsquedas en bases de datos, las cuales HTML no puede ejecutar. La principal limitacin de CGI es que est restringida a programas en el lado del servidor. Por ejemplo, utilizando CGI, la nica forma en la que se puede interactuar con los usuarios es suministrndoles formularios ha completar. Las tecnologas orientadas a objetos como Java afrontan esta limitacin, permitiendo al servidor que enve al cliente pequeos programas para ejecutarlos localmente. 2.4.3.1 Servicios de internet. Como sabemos, Internet es en la actualidad, la red de computadoras ms grande del mundo. Sin embargo la importancia de Internet no reside solamente en el nmero de mquinas interconectadas sino en los servicios que brinda. Los servicios y recursos de Internet (Gopher, News, Archie, WWW, etc.) son accesibles de diversas formas, principalmente tres: por Telnet, por email, y por un programa cliente. A travs de Telnet o email, el servicio presenta una interface ANSI (sin grficos), slo con caracteres alfanumricos. Con un programa cliente, la gestin es ms sencilla, visual y agradable, como sucede en la WWW donde se presentan cada una de las pginas en formato grfico. 2.4.3.1.1 TELNET. Este protocolo fue diseado para proporcionar el servicio de conexin remota (remote login). Forma parte del conjunto de protocolos TCP/IP y depende del protocolo TCP para la capa de transporte.

El protocolo Telnet es un emulador de terminal que permite acceder a los recursos y ejecutar los programas de un equipo remoto en la red, de la misma forma que si se tratara de una terminal real directamente conectado al sistema remoto. Una vez establecida la conexin el usuario podr iniciar la sesin con su clave de acceso. De la misma manera que ocurre con el protocolo FTP, existen servidores que permiten un acceso libre cuando se especifica "anonymous" como nombre de usuario. El sistema local que utiliza el usuario se convierte en una terminal "no inteligente" donde todos los caracteres pulsados y las acciones que se realicen se envan al Host remoto, el cual devuelve el resultado de su trabajo. Para facilitar un poco la tarea a los usuarios, en algunos casos se encuentran desarrollados mens con las distintas opciones que se ofrecen. Para utilizar Telnet se ejecuta un programa especial, llamado Telnet en el cliente. Este programa utiliza TCP para conectarse a un sistema especfico (su servidor) en el puerto 23 (por defecto) . Una vez que se establece la conexin, Telnet acta como un intermediario entre el cliente y el servidor. La mayora de las computadoras que permiten este tipo de acceso cuentan con los programas necesarios para diversos servicios de Internet, como Gopher, Wais, FTP o cualquier otro programacliente disponible en el Server. Estas conexiones suelen ser ms econmicas (pero ms lentas) y estn restringidas a los servicios que brinda el servidor. 2.4.3.1.2 IRC. El Internet Relay Chat es un sistema de coloquio en tiempo real entre personas localizadas en distintos puntos de la red. Es un servicio basado exclusivamente en texto por teclado. Fue desarrollado en 1988 en Finlandia y es sin duda, hoy, uno de los servicios ms populares de Internet. Su gran atractivo es que permite las conversaciones en vivo de mltiples usuarios la mayor parte desconocidos entre s. El manejo del sistema es muy simple. El IRC est organizado por redes, cada una de las cuales est formada por servidores que se encargan, entre otras cosas, de ofrecer canales de conversacin (existiendo miles de ellos) y transmitir los mensajes entre usuarios. Para acceder a un servidor de este tipo es necesario disponer de un programa cliente, siendo los cuatro ms populares el mIRC, Pirch, Ichat y Microsoft Chat. Cada servidor IRC est conectado a los servidores ms cercanos. De esta manera, todos los servidores IRC estn conectados (al menos indirectamente) unos con otros. IRC mantiene un nmero de diferentes Canales, teniendo que elegir al ingresar el canal de inters y pudiendo entrar y salir de los canales cuantas veces se desee y en cuantos canales se desee. La mayora de los nombres de canales empiezan con #. Algunos canales son para discutir de temas especficos y otros surgen en el momento. Hay canales pblicos, privados, secretos e individuales. 1

Se pueden crear canales (obteniendo la condicin de Operador) si el que se desea no existe y esperar que otras personas ingresen en l. Se suele entrar en las charlas con apodos (nick), sin dar el nombre real, de manera que los usuarios conserven el anonimato. Cuando la ltima persona abandona un canal, IRC lo elimina. 2.4.3.1.3 USENET. Una de las reas ms populares de Internet son los grupos de discusin o NewGroups. El trmino UseNet surge de USEr NETwork (red de usuarios) y se refiere al mecanismo que soportan los grupos de discusin. Los grupos se forman mediante la publicacin de mensajes enviados (posteados) a un grupo en particular (generalmente de un tema especfico). El software original de News fue desarrollado para los sistemas Unix en 1979 por dos estudiantes graduados en la Universidad de Duke, como un mecanismo para la discusin tcnica y conferencias. Es una red que no se centra en un nico servidor que distribuye los mensajes, sino en una cadena de servidores que se pasan los mensajes de los grupos que soporta ya que, normalmente, los servidores mantienen un grupo limitado de News. Una vez creado un grupo, se puede enviar cualquier mensaje al mismo, y cualquiera dentro de Internet podr leerlo, a menos que sea un grupo moderado, con lo cual nuestros mensajes pasan por la censura de un moderador. Para hacer manejable toda la informacin que circula, se utiliza un sistema en el que los grupos de discusin se agrupan en categoras denominadas Jerarquas. Cada jerarqua tiene un nombre propio y se dedica a un rea de inters particular.

Algunas de las jerarquas ms relevantes son: Imagen 9

La filosofa de las UseNet es la siguiente: Al dejar un mensaje, no slo se queda en el grupo en cuestin, sino que tambin les llega a todos los usuarios suscritos al mismo, va e mail. Tiene una gran utilidad prctica, ya que si un usuario determinado tiene algn comentario o duda acerca de un tema, puede acudir al grupo temtico indicado, dejar un mensaje para pedir ayuda, y con seguridad recibir la opinin de numerosas personas. 2.4.3.1.4 FINGER. La mayora de las computadoras de Internet tienen una utilidad que permite buscar informacin sobre un usuario particular. Este servicio es conocido como Finger (dedo). En Internet los usuarios se conocen por su identificador. Finger se puede utilizar para encontrar el nombre de un usuario si se conoce su identificador, ya que el objetivo de este servicio es obtener informacin sobre una persona en particular. El servicio Finger es un sistema Cliente/Servidor que proporciona tres tipos principales de informacin: 1. Informacin pblica sobre cualquier usuario. 2. Comprobacin de si un usuario est utilizando actualmente un Host determinado en Internet, pudiendo ver un resumen de informacin para cada usuario que est conectado. 3. Conectar con determinado Host, que se han configurado para ofrecer otros tipos de informacin. 2.4.3.1.5 WHOIS. Quin es? es un servidor de directorio de pginas blancas que permite consultar una base de datos de nombres y direcciones de correo electrnico de un usuario (normalmente una empresa).

El servicio WhoIs contacta a un servidor que tiene informacin bsica sobre las redes que comprenden Internet, y los nombres de las personas que dan mantenimiento. Por ejemplo la solicitud whois Harvard produce una lista de todas las redes de la Universidad de Harvard y las companas que tienen Harvard como parte de su nombre. Originalmente, la informacin sobre los usuarios de Internet se almacenaba en una base de datos central. Hoy en da muchas organizaciones corren este servicio que proporciona informacin sobre los usuarios de una organizacin. Uno de los servidores WhoIs ms conocido es whois.internic.net que contiene nombres y direcciones de Internet. Es de remarcar que servicios como Telnet, Finger, Archie, Gopher, WhoIs y Ping estn cayendo en desuso a favor de las cada vez ms perfeccionadas herramientas basadas en la World Wide Web. De todas maneras (como se ver en captulos posteriores) siguen brindando gran utilidad a administradores de sistemas y usuarios avanzados, sobre todo en temas de seguridad. 2.5 Amenazas lgicas La Entropa es una magnitud termodinmica que cuantifica el grado de desorden de un sistema; y segn las leyes fsicas todo sistema tiende a su mxima entropa. Si extrapolamos este concepto a la Seguridad resultara que todo sistema tiende a su mxima inseguridad. Este principio supone decir: Los protocolos de comunicacin utilizados carecen, en su mayora, de seguridad o esta ha sido implementada, tiempo despus de su creacin, en forma de parche. Existen agujeros de seguridad en los sistemas operativos. Existen agujeros de seguridad en las aplicaciones. Existen errores en las configuraciones de los sistemas. Los usuarios carecen de informacin respecto al tema. Todo sistema es inseguro. Esta lista podra seguir extendindose a medida que se evalen mayor cantidad de elementos de un Sistema Informtico. (Borghello 2001) 2.5.1 ACCESO USO AUTORIZACIN. La identificacin de estas palabras es muy importante ya que el uso de algunas implica un uso desapropiado de las otras. Especficamente Acceso y Hacer Uso no son el mismo concepto cuando se estudian desde el punto de vista de un usuario y de un intruso. Por ejemplo: 3

Cuando un usuario tiene acceso autorizado, implica que tiene autorizado el uso de un recurso. Cuando un atacante tiene acceso desautorizado est haciendo uso desautorizado del sistema. Pero, cuando un atacante hace uso desautorizado de un sistema, esto implica que el acceso fue autorizado (simulacin de usuario). Luego un Ataque ser un intento de acceso, o uso desautorizado de un recurso, sea satisfactorio o no. Un Incidente envuelve un conjunto de ataques que pueden ser distinguidos de otro grupo por las caractersticas del mismo (grado, similitud, tcnicas utilizadas, tiempos, etc.). John D. Howard (1995) en su tesis estudia la cantidad de ataques que puede tener un incidente. Al concluir dicho estudio y basado en su experiencia en los laboratorios del CERT afirma que esta cantidad vara entre 10 y 1.000 y estima que un nmero razonable para estudios es de 100 ataques por incidentes. 2.5.2 Deteccin de intrusos. A finales de 1996, Dan Farmer (creador de una de las herramientas ms tiles en la deteccin de intrusos: SATAN) realiz un estudio sobre seguridad analizando 2.203 sistemas de sitios en Internet. Los sistemas objeto del estudio fueron Web Sites orientados al comercio y con contenidos especficos, adems de un conjunto de sistemas informticos aleatorios con los que realizar comparaciones. El estudio se realiz empleando tcnicas sencillas y no intrusivas. Se dividieron los problemas potenciales de seguridad en dos grupos: rojos (red) y amarillos (yellow). Los problemas del grupo rojo son los ms serios y suponen que el sistema est abierto a un atacante potencial, es decir, posee problemas de seguridad conocidos en disposicin de ser explotados. As por ejemplo, un problema de seguridad del grupo rojo es un equipo que tiene el servicio de FTP annimo mal configurado. Los problemas de seguridad del grupo amarillo son menos serios pero tambin reseables. Implican que el problema detectado no compromete inmediatamente al sistema pero puede causarle serios daos o bien, que es necesario realizar tests ms intrusivos para determinar si existe o no un problema del grupo rojo. La siguiente tabla resume los sistemas evaluados, el nmero de equipos en cada categora y los porcentajes de vulnerabilidad para cada uno. Aunque los resultados son lmites superiores, no dejan de ser... escandalosos. Imagen 10

Tabla Porcentaje de Vulnerabilidades por tipo de sitio. Fuente: http://www.trouble.org/survey Como puede observarse, cerca de los dos tercios de los sistemas analizados tenan serios problemas de seguridad y Farmer destaca que casi un tercio de ellos podan ser atacados con un mnimo esfuerzo. 2.5.3 Identificacin de las amenazas. La identificacin de amenazas requiere conocer los tipos de ataques, el tipo de acceso, la forma operacional y los objetivos del atacante. Las consecuencias de los ataques se podran clasificar en: Data Corruption: la informacin que no contena defectos pasa a tenerlos. Denial of Service (DoS): servicios que deberan estar disponibles no lo estn. Leakage: los datos llegan a destinos a los que no deberan llegar. Desde 1990 hasta nuestros das, el CERT viene desarrollando una serie de estadsticas que demuestran que cada da se registran ms ataques informticos, y estos son cada vez ms sofisticados, automticos y difciles de rastrear. La siguiente Tabla detalla el tipo de atacante, las herramientas utilizadas, en que fase se realiza el ataque, los tipos de procesos atacados, los resultados esperados y/u obtenidos y los objetivos perseguidos por los intrusos. Imagen 11

Detalle de Ataques. Fuente: (HOWARD, 1995) Cualquier adolescente de 15 aos (Script Kiddies), sin tener grandes conocimientos, pero con una potente y estable herramienta de ataque desarrollada por los Gurs, es capaz de dejar fuera de servicio cualquier servidor de informacin de cualquier organismo en Internet, simplemente siguiendo las instrucciones que acompaan la herramienta. Los nmeros que siguen no pretenden alarmar a nadie ni sembrar la semilla del futuro Hacker. Evidentemente la informacin puede ser aprovechada para fines menos lcitos que para los cuales fue pensada, pero esto es algo ciertamente difcil de evitar.

Imagen 12

Vulnerabilidades reportadas al CERT 1988-2001. http://www.cert.org/statistics Nota I: Estos incidentes slo representan el 30% correspondiente a los hackers. Nota II: En 1992 el DISA(Defense Information System Agency) realiz un estudio durante el cual se llevaron a cabo 38.000 ataques a distintas sitios de organizaciones gubernamentales (muchas de ellas militares). El resultado de los ataques desde 1992 a 1995 se resume en la imagen 13 presentada a continuacin: Imagen 13

Porcentaje de ataques: Fuente: DISA (Defense Information System Agency). http://www.disa.mil 3

Puede observarse que solo el 0,70% (267) de los incidentes fueron reportados. Luego, si en el ao 2000 se denunciaron 21.756 casos eso arroja 3.064.225 incidentes en ese ao. Nota III: Puede observarse que los incidente reportados en 1997 con respecto al ao anterior es menor. Esto puede deberse a diversas causas: Las empresas u organizaciones no se pueden permitir el lujo de denunciar ataques a sus sistemas, pues el nivel de confianza de los clientes (ciudadanos) bajara enormemente. Los administradores tienen cada vez mayor conciencia respecto de la seguridad de sus sistemas y arreglan por s mismos las deficiencias detectadas. A esto hay que aadir las nuevas herramientas de seguridad disponibles en el mercado. Los Advisories (documentos explicativos) sobre los nuevos agujeros de seguridad detectados y la forma de solucionarlos, lanzados por el CERT, han dado sus frutos. 2.5.4 Tipos de ataque. A continuacin se expondrn diferentes tipos de ataques perpetrados, principalmente, por hackers. Estos ataques pueden ser realizados sobre cualquier tipo de red, sistema operativo, usando diferentes protocolos, etc. En los primeros tiempos, los ataques involucraban poca sofisticacin tcnica. Los Insiders (operadores, programadores, data entrys) utilizaban sus permisos para alterar archivos o registros. Los Outsiders ingresaban a la red simplemente averiguando una password vlida. A travs de los aos se han desarrollado formas cada vez ms sofisticadas de ataque para explotar agujeros en el diseo, configuracin y operacin de los sistemas. Son muchos los autores que describen con detalle las tcnicas y las clasifican de acuerdo a diferentes caractersticas de las mismas. Ante la diversificacin de clasificaciones de amenazas y la inminente aparicin de nuevas tcnicas, para la realizacin del presente los ataques sern clasificados y categorizados segn mi experiencia y conocimiento de cada caso. Howard (2000) muestra una lista de trminos asociada con los ataques puede ser la siguiente:

Imagen 14 1

Al describirlos no se pretende dar una gua exacta ni las especificaciones tcnicas necesarias para su uso. Slo se pretende dar una idea de la cantidad y variabilidad de los mismos, as como que su adaptacin (y aparicin de nuevos) contina paralela a la creacin de nuevas tecnologas. Cabe destacar que para la utilizacin de estas tcnicas no ser necesario contar con grandes centros de cmputos, lo que queda fehacientemente demostrado al saber que algunos hackers ms famosos de la historia hackeaban con computadoras (incluso armadas con partes encontradas en basureros) desde la habitacin de su hogar (ver Anexo II). Cada uno de los ataques abajo descritos sern dirigidos remotamente. Se define Ataque Remoto como un ataque iniciado contra una maquina sobre la cual el atacante no tiene control fsico. Esta mquina es distinta a la usada por el atacante y ser llamada Vctima. (Howard, 1995) 2.5.4.1 Ingeniera social. Es la manipulacin de las personas para convencerlas de que ejecuten acciones o actos que normalmente no realizan para que revele todo lo necesario para superar las barreras de seguridad. Si el atacante tiene la experiencia suficiente (generalmente es as), puede engaar fcilmente a un usuario (que desconoce las mnimas medidas de seguridad) en beneficio propio. Esta tcnica es una de las ms usadas y efectivas a la hora de averiguar nombres de usuarios y passwords. Por ejemplo, suele llamarse a un usuario hacindose pasar por administrador del sistema y requerirle la password con alguna excusa convincente. O bien, podra enviarse un mail (falsificando la direccin origen a nombre del administrador) pidiendo al usuario que modifique su password a una palabra que el atacante suministra. Para evitar situaciones de IS es conveniente tener en cuenta estas recomendaciones: Tener servicio tcnico propio o de confianza. Instruir a los usuarios para que no respondan ninguna pregunta sobre cualquier caracterstica del sistema y deriven la inquietud a los responsables que tenga competencia para dar esa informacin. 1

Asegurarse que las personas que llaman por telfono son quien dicen ser. Por ejemplo si la persona que llama se identifica como proveedor de Internet lo mejor es cortar y devolver la llamada a forma de confirmacin. 2.5.4.2 Ingeniera social inversa. Consiste en la generacin, por parte de los intrusos, de una situacin inversa a la originada en Ingeniera Social. En este caso el intruso publicita de alguna manera que es capaz de brindar ayuda a los usuarios, y estos lo llaman ante algn imprevisto. El intruso aprovechara esta oportunidad para pedir informacin necesaria para solucionar el problema del usuario y el suyo propio (la forma de acceso al sistema). La ISI es ms difcil de llevara cabo y por lo general se aplica cuando los usuarios estn alertados de acerca de las tcnicas de IS. Puede usarse en algunas situaciones especficas y despus de mucha preparacin e investigacin por parte del intruso: 1. Generacin de una falla en el funcionamiento normal del sistema. Generalmente esta falla es fcil de solucionar pero puede ser difcil de encontrar por los usuarios inexpertos (sabotaje). Requiere que el intruso tenga un mnimo contacto con el sistema. 2. Comunicacin a los usuarios de que la solucin es brindada por el intruso (publicidad). 3. Provisin de ayuda por parte del intruso encubierto como servicio tcnico. 2.5.4.3 TRASHING. Generalmente, un usuario anota su login y password en un papelito y luego, cuando lo recuerda, lo arroja a la basura. Este procedimiento por ms inocente que parezca es el que puede aprovechar un atacante para hacerse de una llave para entrar el sistema...nada se destruye, todo se transforma. El Trashing puede ser fsico (como el caso descripto) o lgico, como analizar buffers de impresora y memoria, bloques de discos, etc. El Trashing fsico suele ser comn en organizaciones que no disponen de alta confidencialidad, como colegios y universidades.

2.5.4.4 Ataques de monitorizacin. Este tipo de ataque se realiza para observar a la victima y su sistema, con el objetivo de obtener informacin, establecer sus vulnerabilidades y posibles formas de acceso futuro. 3

2.5.4.4.1 Shoulder surfing. Consiste en espiar fsicamente a los usuarios para obtener el login y su password correspondiente. El Surfing explota el error de los usuarios de dejar su login y password anotadas cerca de la computadora (generalmente en post it adheridos al monitor o teclado). Cualquier intruso puede pasar por ah, verlos y memorizarlos para su posterior uso. Otra tcnica relacionada al surfing es aquella mediante la cual se ve, por encima del hombro, al usuario cuando teclea su nombre y password. 2.5.4.4.2 DECOY (Seuelos). Los Decoy son programas diseados con la misma interface que otro original. En ellos se imita la solicitud de un logeo y el usuario desprevenido lo hace. Luego, el programa guardar esta informacin y dejar paso a las actividades normales del sistema. La informacin recopilada ser utilizada por el atacante para futuras visitas. Una tcnica semejante es aquella que, mediante un programa se guardan todas las teclas presionadas durante una sesin. Luego solo har falta estudiar el archivo generado para conocer nombres de usuarios y claves. 2.5.4.4.3 SCANNING (Bsqueda). El Scaneo, como mtodo de descubrir canales de comunicacin susceptibles de ser explotados, lleva en uso mucho tiempo. La idea es recorrer (scanear) tantos puertos de escucha como sea posible, y guardar informacin de aquellos que sean receptivos o de utilidad para cada necesidad en particular. Muchas utilidades de auditora tambin se basan en este paradigma. El Scaneo de puertos pertenece a la Seguridad Informtica desde que era utilizado en los sistemas de telefona. Dado que actualmente existen millones de nmeros de telfono a los que se pueden acceder con una simple llamada, la solucin lgica (para encontrar nmeros que puedan interesar) es intentar conectarlos a todos. La idea bsica es simple: llamar a un nmero y si el mdem devuelve un mensaje de conectado, grabar el nmero. En otro caso, la computadora cuelga el telfono y llama al siguiente nmero. Scanear puertos implica las mismas tcnicas de fuerza bruta. Se enva una serie de paquetes para varios protocolos y se deduce que servicios estn escuchando por las respuestas recibidas o no recibidas. Existen diversos tipos de Scanning segn las tcnicas, puertos y protocolos explotados: 2.5.4.4.3.1 TCP Connect Scanning. Esta es la forma bsica del scaneo de puertos TCP. Si el puerto est escuchando, devolver una respuesta de xito; cualquier otro caso significar que el puerto no est abierto o que no se puede establecer conexin con l. 3

Las ventajas que caracterizan esta tcnica es que no necesita de privilegios especiales y su gran velocidad. Su principal desventaja es que este mtodo es fcilmente detectable por el administrador del sistema. Se ver un gran nmero de conexiones y mensajes de error para los servicios en los que se ha conseguido conectar la mquina, que lanza el scanner, y tambin se ver su inmediata desconexin. 2.5.4.4.3.2 TCP SYN Scanning. Cuando dos procesos establecen una comunicacin usan el modelo Cliente/Servidor para establecerla. La aplicacin del Servidor escucha todo lo que ingresa por los puertos. La identificacin del Servidor se efecta a travs de la direccin IP del sistema en el que se ejecuta y del nmero de puerto del que depende para la conexin. El Cliente establece la conexin con el Servidor a travs del puerto disponible para luego intercambiar datos. La informacin de control de llamada HandShake (saludo) se intercambia entre el Cliente y el Servidor para establecer un dialogo antes de transmitir datos. Los paquetes o segmentos TCP tienen banderas que indican el estado del mismo. El protocolo TCP de Internet, sobre el que se basa la mayora de los servicios (incluyendo el correo electrnico, el web y el IRC) implica esta conexin entre dos mquinas. El establecimiento de dicha conexin se realiza mediante lo que se llama Three-Way Handshake (conexin en tres pasos) ya que intercambian tres segmentos. En forma esquemtica se tiene: Imagen 15

1. El programa Cliente (C) pide conexin al Servidor (S) envindole un segmento SYN. Este segmento le dice a S que C desea establecer una conexin. 2. S (si est abierto y escuchando) al recibir este segmento SYN (activa el indicador) y enva una autentificacin ACK de manera de acuse de recibo a C. Si S est cerrado enva un indicador RST. 3. C entonces ACKea (autentifica) a S. Ahora ya puede tener lugar la transferencia de datos. 3

Cuando las aplicaciones conectadas terminan la transferencia, realizaran otra negociacin a tres bandas con segmentos FIN en vez SYN. La tcnica TCP SYN Scanning, implementa un scaneo de mediaapertura, dado que nunca se abre una sesin TCP completa. Se enva un paquete SYN (como si se fuera a usar una conexin real) y se espera por la respuesta. Al recibir un SYN/ACK se enva, inmediatamente, un RST para terminar la conexin y se registra este puerto como abierto. La principal ventaja de esta tcnica de escaneo es que pocos sitios estn preparados para registrarlos. La desventaja es que en algunos sistemas Unix, se necesitan privilegios de administrador para construir estos paquetes SYN. 2.5.4.4.3.3 TCP FIN Scanning Stealth Port Scanning. Hay veces en que incluso el scaneo SYN no es lo suficientemente clandestino o limpio. Algunos sistemas (Firewalls y filtros de paquetes) monitorizan la red en busca de paquetes SYN a puertos restringidos. Para subsanar este inconveniente los paquetes FIN, en cambio, podran ser capaces de pasar sin ser advertidos. Este tipo de Scaneo est basado en la idea de que los puertos cerrados tienden a responder a los paquetes FIN con el RST correspondiente. Los puertos abiertos, en cambio, suelen ignorar el paquete en cuestin. Este es un comportamiento correcto del protocolo TCP, aunque algunos sistemas, entre los que se hallan los de Microsoft, no cumplen con este requerimiento, enviando paquetes RST siempre, independientemente de si el puerto est abierto o cerrado. Como resultado, no son vulnerables a este tipo de scaneo. Sin embargo, es posible realizarlo en otros sistemas Unix. Este ltimo es un ejemplo en el que se puede apreciar que algunas vulnerabilidades se presentan en las aplicacin de tecnologas (en este caso el protocolo TCP nacido en los aos 70) y no sobre sus implementaciones. Es ms, se observa que una implementacin incorrecta (la de Microsoft) soluciona el problema. Muchos de los problemas globales de vulnerabilidades son inherentes al diseo original de algunos protocolos. (Goncalves, 1997) 2.5.4.4.3.4 Fragmentation Scanning. Esta no es una nueva tcnica de scaneo como tal, sino una modificacin de las anteriores. En lugar de enviar paquetes completos de sondeo, los mismos se particionan en un par de pequeos fragmentos IP. As, se logra partir una cabecera IP en distintos paquetes para hacerlo ms difcil de monitorizar por los filtros que pudieran estar ejecutndose en la mquina objetivo. 3

Sin embargo, algunas implementaciones de estas tcnicas tienen problemas con la gestin de este tipo de paquetes tan pequeos, causando una cada de rendimiento en el sistema del intruso o en el de la vctima. Problemas de esta ndole convierte en detectables a este tipo de ataque. 2.5.4.4.4 EavesdroppingPacket Sniffing. Muchas redes son vulnerables al Eavesdropping, o a la pasiva intercepcin (sin modificacin) del trfico de red. Esto se realiza con Packet Sniffers, los cuales son programas que monitorean los paquetes que circulan por la red. Los Sniffers pueden ser colocados tanto en una estacin de trabajo conectada a la red, como a un equipo Router o a un Gateway de Internet, y esto puede ser realizado por un usuario con legtimo acceso, o por un intruso que ha ingresado por otras vas. Cada maquina conectada a la red (mediante una placa con una direccin nica) verifica la direccin destino de los paquetes TCP. Si estas direcciones son iguales asume que el paquete enviado es para ella, caso contrario libera el paquete para que otras placas lo analicen. Un Sniffers consiste en colocar a la placa de red en un modo llamado promiscuo, el cual desactiva el filtro de verificacin de direcciones y por lo tanto todos los paquetes nviados a la red llegan a esta placa (computadora donde est instalado el Sniffer). Inicialmente este tipo de software, era nicamente utilizado por los administradores de redes locales, aunque con el tiempo lleg a convertirse en una herramienta muy usada por los intrusos. Actualmente existen Sniffers para capturar cualquier tipo de informacin especfica. Por ejemplo passwords de un recurso compartido o de acceso a una cuenta, que generalmente viajan sin encriptar al ingresar a sistemas de acceso remoto. Tambin son utilizados para capturar nmeros de tarjetas de crdito y direcciones de e-mails entrantes y salientes. El anlisis de trfico puede ser utilizado tambin para determinar relaciones entre organizaciones e individuos. Para realizar estas funciones se analizan las tramas de un segmento de red, y presentan al usuario slo las que interesan. Normalmente, los buenos Sniffers, no se pueden detectar, aunque la inmensa mayora, y debido a que estn demasiado relacionados con el protocolo TCP/IP, si pueden ser detectados con algunos trucos. 2.5.4.4.5 SnoopingDownloading. Los ataques de esta categora tienen el mismo objetivo que el Sniffing: obtener la informacin sin modificarla. Sin embargo los mtodos son diferentes. Aqu, adems de interceptar el trfico de red, el atacante ingresa a los documentos, mensajes de correo 1

electrnico y otra informacin guardada, realizando en la mayora de los casos un downloading (copia de documentos) de esa informacin a su propia computadora, para luego hacer un anlisis exhaustivo de la misma. El Snooping puede ser realizado por simple curiosidad, pero tambin es realizado con fines de espionaje y robo de informacin o software. Los casos ms resonantes de este tipo de ataques fueron: el robo de un archivo con ms de 1700 nmeros de tarjetas de crdito desde una compaa de msica mundialmente famosa, y la difusin ilegal de reportes oficiales reservados de las Naciones Unidas, acerca de la violacin de derechos humanos en algunos pases europeos en estado de guerra. 2.5.4.5 Ataques de autentificacin. Este tipo de ataque tiene como objetivo engaar al sistema de la vctima para ingresar al mismo. Generalmente este engao se realiza tomando las sesiones ya establecidas por la vctima u obteniendo su nombre de usuario y password. 2.5.4.5.1 SpoofingLooping. Spoofing puede traducirse como hacerse pasar por otro y el objetivo de esta tcnica, justamente, es actuar en nombre de otros usuarios, usualmente para realizar tareas de Snooping o Tampering (ver a continuacin Ataques de Modificacin y Dao). Una forma comn de Spoofing es conseguir el nombre y password de un usuario legtimo para, una vez ingresado al sistema, tomar acciones en nombre de l. El intruso usualmente utiliza un sistema para obtener informacin e ingresar en otro, y luego utiliza este para entrar en otro, y as sucesivamente. Este proceso, llamado Looping, tiene la finalidad de evaporar la identificacin y la ubicacin del atacante. El camino tomado desde el origen hasta el destino puede tener muchas estaciones, que exceden obviamente los lmites de un pas. Otra consecuencia del Looping es que una compaa o gobierno pueden suponer que estn siendo atacados por un competidor o una agencia de gobierno extranjera, cuando en realidad estn seguramente siendo atacado por un Insider, o por un estudiante a miles de Kilmetros de distancia, pero que ha tomado la identidad de otros. La investigacin de procedencia de un Looping es casi imposible, ya que el investigador debe contar con la colaboracin de cada administrador de cada red utilizada en la ruta. El envo de falsos e-mails es otra forma de Spoofing que las redes permiten. Aqu el atacante enva e-mails a nombre de otra persona con cualquier motivo y objetivo. Tal fue el caso de una universidad en EE.UU. que en 1998, que debi reprogramar una fecha completa de exmenes ya que 2

alguien en nombre de la secretara haba cancelado la fecha verdadera y enviado el mensaje a toda la nmina de estudiantes. Muchos ataques de este tipo comienzan con Ingeniera Social, y los usuarios, por falta de cultura, facilitan a extraos sus identificaciones dentro del sistema usualmente travs de una simple llamada telefnica. 2.5.4.5.2 Spoofing. Este tipo de ataques (sobre protolocos) suele implicar un buen conocimiento del protocolo en el que se va a basar el ataque. Los ataques tipo Spoofing bastante conocidos son el IP Spoofing, el DNS Spoofing y el Web Spoofing 2.5.4.5.2.1 IP Spoofing. Con el IP Spoofing, el atacante genera paquetes de Internet con una direccin de red falsa en el campo From, pero que es aceptada por el destinatario del paquete. Su utilizacin ms comn es enviar los paquetes con la direccin de un tercero, de forma que la vctima ve un ataque proveniente de esa tercera red, y no la direccin real del intruso. El esquema con dos puentes es el siguiente: Imagen 16

Ntese que si la Victima descubre el ataque ver a la PC_2 como su atacante y no el verdadero origen. Este ataque se hizo famoso al usarlo Kevin. 2.5.4.5.2.2 DNS Spoofing. Este ataque se consigue mediante la manipulacin de paquetes UDP pudindose comprometer el servidor de nombres de dominios (Domain Name ServerDNS) de Windows NT. Si se permite el mtodo de recursin en la resolucin de Nombre-Direccin IP en el DNS, es posible controlar algunos aspectos del DNS remoto. La recursin consiste en la capacidad de un servidor de nombres para resolver una peticin de direccin IP a partir de un nombre que no figura en su base de datos. Este es el mtodo de funcionamiento por defecto. 2.5.4.5.3 WEB Spoofing. 2

En el caso Web Spoofing el atacante crea un sitio web completo (falso) similar al que la vctima desea entrar. Los accesos a este sitio estn dirigidos por el atacante, permitindole monitorear todas las acciones de la vctima, desde sus datos hasta las passwords, nmeros de tarjeta de crditos, etc. El atacante tambin es libre de modificar cualquier dato que se est transmitiendo entre el servidor original y la vctima o viceversa. 2.4.4.5.4 IP SplicingHijacking. Se produce cuando un atacante consigue interceptar una sesin ya establecida. El atacante espera a que la victima se identifique ante el sistema y tras ello le suplanta como usuario autorizado. Para entender el procedimiento supongamos la siguiente situacin: IP Cliente : IP 195.1.1.1 IP Servidor: IP 195.1.1.2 IP Atacante: IP 195.1.1.3 1. El cliente establece una conexin con su servidor enviando un paquete que contendr la direccin origen, destino, nmero de secuencia (para luego armar el paquete) y un nmero de autentificacin utilizado por el servidor para reconocer el paquete siguiente en la secuencia. Supongamos que este paquete contiene: IP Origen: 195.1.1.1 Puerto 1025 IP Destino: 195.1.1.2 Puerto 23 SEQ = 3DF45ADA (el primero es al azar) ACK = F454FDF5 Datos: Solicitud 2. El servidor, luego de recibir el primer paquete contesta al cliente con paquete Echo (recibido). IP Origen: 195.1.1.2 Puerto 1025 IP Destino: 195.1.1.1 Puerto 23 SEQ = F454FDF5 (ACK enviado por el cliente) ACK = 3DF454E4 Datos: Recepcin OK (Echo) 3. El cliente enva un paquete ACK al servidor, sin datos, en donde le comunica lo perfecto de la comunicacin. IP Origen : 195.1.1.1 Puerto 1025 IP Destino: 195.1.1.2 Puerto 23 SEQ = 3DF454E4 (ACK enviado por el servidor) ACK = F454FDFF Datos: Confirmacin de Recepcin (ACK)

4. El atacante que ha visto, mediante un Sniffer, los paquete que circularon por la red calcula el nmero de secuencia siguiente: el actual + tamao del campo de datos. Para calcular el tamao de este campo: 1 Paquete ACK Cliente = F454FDF5 2 Paquete ACK Cliente = F454FDFF Tamao del campo datos = F454FDFF F454FDF5 = 0A 5. Hecho esto el atacante enva un paquete con el siguiente aspecto: IP Origen : IP 195.1.1.1 (IP del Cliente por el atacante) IP Destino: IP 195.1.1.2 (IP del Servidor) SEQ = 3DF454E4 (Ultimo ACK enviado por el Cliente) ACK = F454FE09 (F454FDFF + 0A) El servidor al recibir estos datos no detectar el cambio de origen ya que los campos que ha recibido como secuencia y ACK son los que esperaba recibir. El cliente, a su vez, quedar esperando datos como si su conexin estuviera colgada y el atacante podr seguir enviando datos mediante el procedimiento descripto. 2.5.4.5.5 Utilizacin de backdoors. Las puertas traseras son trozos de cdigo en un programa que permiten a quien las conoce saltarse los mtodos usuales de autentificacin para realizar ciertas tareas. Habitualmente son insertados por los programadores del sistema para agilizar la tarea de probar cdigo durante la fase de desarrollo. (Huerta, 2000) Esta situacin se convierte en una falla de seguridad si se mantiene, involuntaria o intencionalmente, una vez terminado el producto ya que cualquiera que conozca el agujero o lo encuentre en su cdigo podr saltarse los mecanismos de control normales. 2.5.4.5.6 Utilizacin de exploits. Es muy frecuente ingresar a un sistema explotando agujeros en los algoritmos de encriptacin utilizados, en la administracin de las claves por parte la empresa, o simplemente encontrando un error en los programas utilizados. Los programas para explotar estos agujeros reciben el nombre de Exploits y lo que realizan es aprovechar la debilidad, fallo o error hallado en el sistema (hardware o software) para ingresar al mismo. Nuevos Exploits (explotando nuevos errores en los sistemas) se publican cada da por lo que mantenerse informado de los mismos y de las herramientas para combatirlos es de vital importancia. 2.5.4.5.7 Obtencin de passwords. 1

Este mtodo comprende la obtencin por Fuerza Bruta de aquellas claves que permiten ingresar a los sistemas, aplicaciones, cuentas, etc. atacados. Muchos passwords de acceso son obtenidos fcilmente porque involucran el nombre u otro dato familiar del usuario y, adems, esta nunca (o rara vez) se cambia. En este caso el ataque se simplifica e involucra algn tiempo de prueba y error. Otras veces se realizan ataques sistemticos (incluso con varias computadoras a la vez) con la ayuda de programas especiales y diccionarios que prueban millones de posibles claves hasta encontrar el password correcto. 2.5.4.5.7.1 Uso de Diccionarios. Los Diccionarios son archivos con millones de palabras, las cuales pueden ser posibles passwords de los usuarios. Este archivo es utilizado para descubrir dicha password en pruebas de fuerza bruta. El programa encargado de probar cada una de las palabras encripta cada una de ellas, mediante el algoritmo utilizado por el sistema atacado, y compara la palabra encriptada contra el archivo de passwords del sistema atacado (previamente obtenido). Si coinciden se ha encontrado la clave de acceso al sistema, mediante el usuario correspondiente a la clave hallada. Actualmente es posible encontrar diccionarios de gran tamao orientados, incluso, a un rea especfico de acuerdo al tipo de organizacin que se este atacando. En la siguiente tabla (IMAGEN 17) podemos observar el tiempo de bsqueda de una clave de acuerdo a su longitud y tipo de caracteres utilizados. La velocidad de bsqueda se supone en 100.000 passwords por segundo, aunque este nmero suele ser mucho mayor dependiendo del programa utilizado. Imagen 17.TITULO

Cantidad de claves generadas segn el nmero de caracteres empleado Aqu puede observarse la importancia de la utilizacin de passwords con al menos 8 caracteres de longitud y combinando todos los caracteres disponibles. En el siguiente Captulo podr estudiarse las normas de claves relativamente seguras y resistentes. 2.5.4.6 Denial of Service (DOS).

Los protocolos existentes actualmente fueron diseados para ser empleados en una comunidad abierta y con una relacin de confianza mutua. La realidad indica que es ms fcil desorganizar el funcionamiento de un sistema que acceder al mismo; as los ataques de Negacin de Servicio tienen como objetivo saturar los recursos de la vctima de forma tal que se inhabilita los servicios brindados por la misma. Ms all del simple hecho de bloquear los servicios del cliente, existen algunas razones importantes por las cuales este tipo de ataques pueden ser tiles a un atacante: 1. Se ha instalado un troyano y se necesita que la vctima reinicie la mquina para que surta efecto. 2. Se necesita cubrir inmediatamente sus acciones o un uso abusivo de CPU. Para ello provoca un crash del sistema, generando as la sensacin de que ha sido algo pasajero y raro. 3. El intruso cree que acta bien al dejar fuera de servicio algn sitio web que le disgusta. Este accionar es comn en sitios pornogrficos, religiosos o de abuso de menores. 4. El administrador del sistema quiere comprobar que sus instalaciones no son vulnerables a este tipo de ataques. 5. El administrador del sistema tiene un proceso que no puede matar en s servidor y, debido a este, no puede acceder al sistema. Para ello, lanza contra s mismo un ataque DoS deteniendo los servicios. 2.5.4.6.1 Jamming o flooding. Este tipo de ataques desactivan o saturan los recursos del sistema. Por ejemplo, u atacante puede consumir toda la memoria o espacio en disco disponible, as como enviar tanto trfico a la red que nadie ms pueda utilizarla. Aqu el atacante satura el sistema con mensajes que requieren establecer conexin. Sin embargo, en vez de proveer la direccin IP del emisor, el mensaje contiene falsas direcciones IP usando Spoofing y Looping. El sistema responde al mensaje, pero como no recibe respuesta, acumula buffers con informacin de las conexiones abiertas, no dejando lugar a las conexiones legtimas. Muchos ISPs (proveedores de Internet) han sufrido bajas temporales del servicio por ataques que explotan el protocolo TCP. Muchos Hosts de Internet han sido dados de baja por el ping de la muerte (una versin-trampa del comando ping). Mientras que el ping normal simplemente verifica si un sistema esta enlazado a la red, el ping de la muerte causa el bloqueo instantneo del equipo. Esta vulnerabilidad ha sido ampliamente utilizada en el pasado pero, an hoy pueden encontrarse sistemas vulnerables. 1

Otra accin comn es la de enviar millares de e-mails sin sentido a todos los usuarios posibles en forma continua, saturando los sistemas destinos. 2.5.4.6.2 SYN Flood. Como ya se explic en el TCP SYN Scanning el protocolo TCP se basa en una conexin en tres pasos. Pero, si el paso final no llega a establecerse, la conexin permanece en un estado denominado semiabierto. El SYN Flood es el ms famoso de los ataques del tipo Denial of Service, publicado por primera vez en la revista under Phrack; y se basa en un saludo incompleto entre los dos hosts. El Cliente enva un paquete SYN pero no responde al paquete ACK ocasionando que la pila TCP/IP espere cierta cantidad de tiempo a que el Host hostil responda antes de cerrar la conexin. Si se crean muchas peticiones incompletas de conexin (no se responde a ninguna), el Servidor estar inactivo mucho tiempo esperando respuesta. Esto ocasiona la lentitud en los dems servicios. SYN Flood aprovecha la mala implementacin del protocolo TCP, funcionando de la siguiente manera: Se enva al destino, una serie de paquetes TCP con el bit SYN activado, (peticin de conexin) desde una direccin IP Spoofeada. Esta ltima debe ser inexistente para que el destino no pueda completar el saludo con el cliente. Aqu radica el fallo de TCP: ICMP reporta que el cliente es inexistente, pero TCP ignora el mensaje y sigue intentando terminar el saludo con el cliente de forma continua. Cuando se realiza un Ping a una maquina, esta tiene que procesarlo. Y aunque se trate de un proceso sencillo, (no es mas que ver la direccin de origen y enviarle un paquete Reply), siempre consume recursos del sistema. Si no es un Ping, sino que son varios a la vez, la mquina se vuelve ms lenta... si lo que se recibe son miles de solicitudes, puede que el equipo deje de responder (Flood). Es obligatorio que la IP origen sea inexistente, ya que sino el objetivo, lograr responderle al cliente con un SYN/ACK, y como esa IP no pidi ninguna conexin, le va a responder al objetivo con un RST, y el ataque no tendr efecto. El problema es que muchos sistemas operativos tienen un lmite muy bajo en el nmero de conexiones semiabiertas que pueden manejar en un momento determinado (5 a 30). Si se supera ese lmite, el servidor sencillamente dejar de responder a las nuevas peticiones de conexin que le vayan llegando. Las conexiones semiabiertas van caducando tras un tiempo, liberando huecos para nuevas conexiones, pero mientras el atacante mantenga el SYN Flood, la probabilidad de que una conexin recin liberada sea capturada por un nuevo SYN malicioso es muy alta. 3

2.5.4.6.3 Connection flood. La mayora de las empresas que brindan servicios de Internet (ISP) tienen un lmite mximo en el nmero de conexiones simultneas. Una vez que se alcanza ese lmite, no se admitirn conexiones nuevas. As, por ejemplo, un servidor Web puede tener, por ejemplo, capacidad para atender a mil usuarios simultneos. Si un atacante establece mil conexiones y no realiza ninguna peticin sobre ellas, monopolizar la capacidad del servidor. Las conexiones van caducando por inactividad poco a poco, pero el atacante slo necesita intentar nuevas conexiones, (como ocurre con el caso del SYN Flood) para mantener fuera de servicio el servidor. 2.5.4.6.4 NET Flood. En estos casos, la red vctima no puede hacer nada. Aunque filtre el trfico en sus sistemas, sus lneas estarn saturadas con trfico malicioso, incapacitndolas para cursar trfico til. Un ejemplo habitual es el de un telfono: si alguien quiere molestar, slo tiene que llamar, de forma continua. Si se descuelga el telfono (para que deje de molestar), tampoco se puede recibir llamadas de otras personas. Este problema es habitual, por ejemplo, cuando alguien intenta mandar un fax empleando el nmero de voz: el fax insiste durante horas, sin que el usuario llamado pueda hacer nada al respecto. En el caso de Net Flooding ocurre algo similar. El atacante enva tantos paquetes de solicitud de conexin que las conexiones autnticas simplemente no pueden competir. En casos as el primer paso a realizar es el ponerse en contacto con el Proveedor del servicio para que intente determinar la fuente del ataque y, como medida provisional, filtre el ataque en su extremo de la lnea. El siguiente paso consiste en localizar las fuentes del ataque e informar a sus administradores, ya que seguramente se estarn usando sus recursos sin su conocimiento y consentimiento. Si el atacante emplea IP Spoofing, el rastreo puede ser casi imposible, ya que en muchos casos la fuente del ataque es, a su vez, vctima y el origen ltimo puede ser prcticamente imposible de determinar (Looping). 2.5.4.6.5 Land attack. Este ataque consiste en un Bug (error) en la implementacin de la pila TCP/IP de las plataformas Windows. El ataque consiste en mandar a algn puerto abierto de un servidor (generalmente al NetBIOS 113 o 139) un paquete, maliciosamente construido, con la direccin y puerto origen igual que la direccin y puerto destino.

Por ejemplo se envan un mensaje desde la direccin 10.0.0.1:139 hacia ella misma. El resultado obtenido es que luego de cierta cantidad de mensajes enviadosrecibidos la mquina termina colgndose. Existen ciertas variantes a este mtodo consistente, por ejemplo, en enviar el mensaje a una direccin especfica sin especificar el puerto. 2.5.4.6.6 Smurf o broascast storm. Este ataque (Imagen 18) es bastante simple y a su vez devastador. Consiste en recolectar una serie de direcciones BroadCast para, a continuacin, mandar una peticin ICMP (simulando un Ping) a cada una de ellas en serie, varias veces, falsificando la direccin IP de origen (mquina vctima). Este paquete maliciosamente manipulado, ser repetido en difusin (Broadcast), y cientos miles de hosts mandarn una respuesta a la vctima cuya direccin IP figura en el paquete ICMP. Grficamente:

Imagen 18.TITULO

Suponiendo que se considere una red de tipo C la direccin de BroadCast sera .255; por lo que el simple envo de un paquete se convierte en un efecto multiplicador devastador. Desgraciadamente la vctima no puede hacer nada para evitarlo. La solucin est en manos de los administradores de red, los cuales deben configurar adecuadamente sus Routers para filtrar los paquetes ICMP de peticiones indeseadas (Broadcast); o bien configurar sus mquinas para que no respondan a dichos paquetes. Es decir, que lo que se parchea son las mquinas/redes que puedan actuar de intermediarias (inocentes) en el ataque y no la mquina vctima. Tambin se podra evitar el ataque si el Router/Firewall de salida del atacante estuviera convenientemente configurado para evitar Spoofing. Esto se hara filtrando todos los paquetes de salida que tuvieran una direccin de origen que no perteneciera a la red interna. 2.5.4.6.7 OOB, SUPERNUKE O WINNUKE. Un ataque caracterstico, y quizs el ms comn, de los equipos con Windows es el Nuke, que hace que los equipos que escuchan por el puerto NetBIOS sobre TCP/UDP 137 a 139, queden fuera de servicio, o disminuyan su rendimiento al enviarle paquetes UDP manipulados. Generalmente se envan fragmentos de paquetes Out Of Band, que la mquina vctima detecta como invlidos pasando a un estado inestable. OOB 1

es el trmino normal, pero realmente consiste en configurar el bit Urgente (URG) en los indicadores del encabezamiento TCP, lo que significa que este bit es vlido. Este ataque puede prevenirse instalando los parches adecuados suministrado por el fabricante del sistema operativo afectado. Un filtro efectivo debera garantizar la deteccin de una inundacin de bits Urgentes. 2.5.4.6.8 TEARDROP I Y IINEWTEARBONK-BOINK. Al igual que el Supernuke, los ataques Teardrop I y Teardrop II afectan a fragmentos de paquetes. Algunas implementaciones de colas IP no vuelven a armar correctamente los fragmentos que se superponen, haciendo que el sistema se cuelgue. Windows NT 4.0 de Microsoft es especialmente vulnerable a este ataque. Aunque existen Patchs (parches) que pueden aplicarse para solucionar el problema, muchas organizaciones no lo hacen, y las consecuencias pueden ser devastadoras. Los ataques tipo Teardrop son especialmente peligrosos ya que existen multitud de implementaciones (algunas de ellas forman paquetes), que explotan esta debilidad. Las ms conocidas son aquellas con el nombre Newtear, Bonk y Boink. 2.5.4.6.9 EMail BombingSpamming. El e-mail Bombing consiste en enviar muchas veces un mensaje idntico a una misma direccin, saturando as el mailbox del destinatario. El Spamming, en cambio se refiere a enviar un email a miles de usuarios, haya estos solicitados el mensaje o no. Es muy utilizado por las empresas para publicitar sus productos. El Spamming esta siendo actualmente tratado por las leyes europeas (principalmente Espaa) como una violacin de los derechos de privacidad del usuario. 2.5.4.7 Ataques de modificacindao. 2.5.4.7.1 Tampering o data diddling. Esta categora se refiere a la modificacin desautorizada de los datos o el software instalado en el sistema vctima, incluyendo borrado de archivos. Son particularmente serios cuando el que lo realiza ha obtenido derechos de administrador o Supervisor, con la capacidad de disparar cualquier comando y por ende alterar o borrar cualquier informacin que puede incluso terminar en la baja total del sistema. An as, si no hubo intenciones de bajar el sistema por parte del atacante; el administrador posiblemente necesite darlo de baja por horas o das hasta chequear y tratar de recuperar aquella informacin que ha sido alterada o borrada. 2

Como siempre, esto puede ser realizado por Insiders o Outsiders, generalmente con el propsito de fraude o de dejar fuera de servicio a un competidor. Son innumerables los casos de este tipo: empleados bancarios (o externos) que crean falsas cuentas para derivar fondos de otras cuentas, estudiantes que modifican calificaciones de exmenes, o contribuyentes que pagan para que se les anule una deuda impositiva. Mltiples Web Sites han sido vctimas del cambio en sus pginas por imgenes (o manifiestos) terroristas o humorsticos, como el ataque de The Mentor, ya visto, a la NASA; o la reciente modificacin del Web Site del CERT (mayo de 2001). Otras veces se reemplazan versiones de software por otros con el mismo nombre pero que incorporan cdigo malicioso (virus, troyanos, etc.). La utilizacin de programas troyanos y difusin de virus esta dentro de esta categora, y se profundizar sobre el tema en otra seccin el presente captulo. 2.5.4.7.2 Borrado de huellas. El borrado de huellas es una de las tareas ms importantes que debe realizar el intruso despus de ingresar en un sistema, ya que, si se detecta su ingreso, el administrador buscar como conseguir tapar el hueco de seguridad, evitar ataques futuros e incluso rastrear al atacante. Las Huellas son todas las tareas que realiz el intruso en el sistema y por lo general son almacenadas en Logs (archivo que guarda la informacin de lo que se realiza en el sistema) por el sistema operativo. Los archivos Logs son una de las principales herramientas (y el principal enemigo del atacante) con las que cuenta un administrador para conocer los detalles de las tareas realizadas en el sistema y la deteccin de intrusos 2.5.4.7.3 Ataques mediante Java Applets. Java es un lenguaje de programacin interpretado, desarrollado inicialmente por la empresa SUN. Su mayor popularidad la merece por su alto grado de seguridad. Los ms usados navegadores actuales, implementan Mquinas Virtuales Java (MVJ) para ser capaces de ejecutar programas (Applets) de Java. Estos Applets, al fin y al cabo, no son ms que cdigo ejecutable y como tal, susceptible de ser manipulado por intrusos. Sin embargo, partiendo del diseo, Java siempre ha pensado en la seguridad del sistema. Las restricciones a las que somete a los Applets son de tal envergadura (imposibilidad de trabajar con archivos a no ser que el usuario especifique lo contrario, imposibilidad de acceso a zonas de memoria y disco directamente, firma digital, etc.) que es muy difcil lanzar ataques. Sin embargo, existe un grupo de expertos (Safe Internet Programming) especializados en descubrir fallas de seguridad (HAHP) en las implementaciones de las MVJ. 1

2.5.4.7.4 Ataques con Javascript Y VBScript. JavaScript (de la empresa Netscape) y VBScript (de Microsoft) son dos lenguajes usados por los diseadores de sitios Web para evitar el uso de Java. Los programas realizados son interpretados por el navegador. Aunque los fallos son mucho ms numerosos en versiones antiguas de JavaScript, actualmente se utilizan para explotar vulnerabilidades especficas de navegadores y servidores de correo ya que no se realiza ninguna evaluacin sobre si el cdigo. 2.5.4.7.5 Ataques mediante ActiveX. ActiveX es una de las tecnologas ms potentes que ha desarrollado Microsoft. Mediante ActiveX es posible reutilizar cdigo, descargar cdigo totalmente funcional de un sitio remoto, etc. Esta tecnologa es considerada la respuesta de Microsoft a Java. ActiveX soluciona los problemas de seguridad mediante certificados y firmas digitales. Una Autoridad Certificadora (AC) expende un certificado que acompaa a los controles activos y a una firma digital del programador. Cuando un usuario descarga una pgina con un control, se le preguntar si confa en la AC que expendi el certificado y/o en el control ActiveX. Si el usuario acepta el control, ste puede pasar a ejecutarse sin ningn tipo de restricciones (slo las propias que tenga el usuario en el sistema operativo). Es decir, la responsabilidad de la seguridad del sistema se deja en manos del usuario, ya sea este un experto cibernauta consciente de los riesgos que puede acarrear la accin o un perfecto novato en la materia. Esta ltima caracterstica es el mayor punto dbil de los controles ActiveX ya que la mayora de los usuarios aceptan el certificado sin siquiera leerlo, pudiendo ser esta la fuente de un ataque con un control daino. La filosofa ActiveX es que las Autoridades de Certificacin se fan de la palabra del programador del control. Es decir, el programador se compromete a firmar un documento que asegura que el control no es nocivo. Evidentemente siempre hay programadores con pocos escrpulos o con ganas de experimentar. As, un conocido grupo de hackers alemanes (Computers Caos Club), desarroll un control ActiveX maligno que modificaba el programa de Gestin Bancaria Personal Quicken95 de tal manera que si un usuario aceptaba el control, ste realizaba la tarea que supuestamente tena que hacer y adems modificaba el Quicken, para que la prxima vez que la vctima se conectara a su banco, se iniciara automticamente una transferencia a una cuenta del grupo alemn. Otro control ActiveX muy especialmente malvolo es aquel que manipula el cdigo de ciertos exploradores, para que ste no solicite 3

confirmacin al usuario a la hora de descargar otro control activo de la Web. Es decir, deja totalmente descubierto, el sistema de la vctima, a ataques con tecnologa ActiveX. La autentificacin de usuarios mediante Certificados y las Autoridades Certificadoras ser abordada con profundidad en captulos posteriores. 2.5.4.7.6 Vulnerabilidad en los navegadores. Generalmente los navegadores no fallan por fallos intrnsecos, sino que fallan las tecnologas que implementan, aunque en este punto analizaremos realmente fallos intrnsecos de los navegadores, como pueden ser los Buffer Overflow. Los Buffer Overflows consisten en explotar una debilidad relacionada con los buffers que la aplicacin usa para almacenar las entradas de usuario. Por ejemplo, cuando el usuario escribe una direccin en formato URL sta se guarda en un buffer para luego procesarla. Si no se realizan las oportunas operaciones de comprobacin, un usuario podra manipular estas direcciones. Los protocolo usado puede ser HTTP, pero tambin otros menos conocidos, internos de cada explorador, como el res: o el mk:. Precisamente existen fallos de seguridad del tipo Buffer Overflow en la implementacin de estos dos protocolos. Adems la reciente aparicin (octubre de 2000) de vulnerabilidades del tipo Transversal en el servidor Web Internet Information Server de la empresa Microsoft, explotando fallas en la traduccin de caracteres Unicode, puso de manifiesto cuan fcil puede resultar explotar una cadena no validada. Por ejemplo: www.servidor.com/_vti_bin/..%c0%af../..%c0%af../.. %c0%af../winnt/system32/cmd.exe?/c+dir+c:\ devuelve el directorio de la unidad c: del servidor deseado. Para poder lanzar este tipo de ataques hay que tener un buen conocimiento de lenguaje Assembler y de la estructura interna de la memoria del sistema operativo utilizado o bien, leer la documentacin de sitios web donde explican estas fallas. Tambin se puede citar el fallo de seguridad descubierto por Cybersnot Industries relativo a los archivos .lnk y .urlde Windows 95 y NT respectivamente. Algunas versiones de Microsoft Internet Explorer podan ser utilizadas para ejecutar la aplicacin que se deseara siempre que existiera en la computadora de la vctima (por ejemplo el tan conocido y temido format.com). Para ms informacin relacionada con los ataques intrnsecos a los navegadores, se aconsejan las pginas no oficiales de seguridad tanto en Internet Explorer como en Netscape Communicator. 2.5.4.8 Errores de diseo, implementacin y operacin. 2

Muchos sistemas estn expuestos a agujeros de seguridad que son explotados para acceder a archivos, obtener privilegios o realizar sabotaje. Estas vulnerabilidades ocurren por variadas razones, y miles de puertas invisibles son descubiertas cada da en sistemas operativos, aplicaciones de software, protocolos de red, browsers de Internet, correo electrnico y toda clase de servicios informticos disponibles. Los Sistemas operativos abiertos (como Unix y Linux) tienen agujeros ms conocidos y controlados que aquellos que existen en sistemas operativos cerrados (como Windows). La importancia y ventaja del cdigo abierto radica en miles de usuarios analizan dicho cdigo en busca de posibles bugs y ayudan a obtener soluciones en forma inmediata. Constantemente se encuentran en Internet avisos de nuevos descubrimientos de problemas de seguridad, herramientas de Hacking y Exploits que los explotan, por lo que hoy tambin se hace indispensable contar con productos que conocen esas debilidades, puedan diagnosticarlas y actualizar el programa afectado con el parche adecuado. 2.5.4.9 Implementacin de estas tcnicas. A lo largo de mi investigacin he recopilando distinto tipos de programas que son la aplicacin de las distintas tcnicas enumeradas anteriormente. La mayora de los mismos son encontrados fcilmente en Internet en versiones ejecutables, y de otros se encuentra el cdigo fuente, generalmente en lenguaje C, Java y Perl. Cada una de las tcnicas explicadas puede ser utilizadas por un intruso en un ataque. A continuacin se intentarn establecer el orden de utilizacin de las mismas, pero siempre remarcando que un ataque insume mucha paciencia, imaginacin acumulacin de conocimientos y experiencia dada, en la mayora de los casos por prueba y error. 1. Identificacin del problema (vctima): en esta etapa se recopila toda la informacin posible de la vctima. Cuanta ms informacin se acumule, ms exacto y preciso ser el ataque, ms fcil ser eliminar las evidencias y ms difcil ser su rastreo. 2. Exploracin del sistema vctima elegido: en esta etapa se recopila informacin sobre los sistemas activos de la vctima, cuales son los ms vulnerables y cuales se encuentran disponibles. Es importante remarcar que si la victima parece apropiada en la etapa de Identificacin, no significa que esto resulte as en esta segunda etapa. 3. Enumeracin: en esta etapa se identificaran las cuentas activas y los recursos compartidos mal protegidos. La diferencia con las etapas anteriores es que aqu se establece una conexin activa a los sistemas y la realizacin de consultas dirigidas. Estas intrusiones pueden (y 1

deberan) ser registradas, por el administrador del sistema, o al menos detectadas para luego ser bloqueadas. 4. Intrusin propiamente dicha: en esta etapa el intruso conoce perfectamente el sistema y sus debilidades y comienza a realizar las tareas que lo llevaron a trabajar, en muchas ocasiones, durante meses. Contrariamente a lo que se piensa, los sistemas son difciles de penetrar si estn bien administrados y configurados. Ocasionalmente los defectos propios de la arquitectura de los sistemas proporciona un fcil acceso, pero esto puede ser, en la mayora de los casos, subsanado aplicando las soluciones halladas. 2.5.4.10 Forma de defenderse de estos ataques La mayora de los ataques mencionados se basan en fallos de diseo inherentes a Internet (y sus protocolos) y a los sistemas operativos utilizados, por lo que no son solucionables en un plazo breve de tiempo. La solucin inmediata en cada caso es mantenerse informado sobre todos los tipos de ataques existentes y las actualizaciones que permanentemente lanzan las empresas desarrolladoras de software, principalmente de sistemas operativos. Las siguientes son medidas preventivas. Medidas que toda red y administrador deben conocer y desplegar cuanto antes: 1. Mantener las mquinas actualizadas y seguras fsicamente. 2. Mantener personal especializado en cuestiones de seguridad (o subcontratarlo). 3. Aunque una mquina no contenga informacin valiosa, hay que tener en cuenta que puede resultar til para un atacante, a la hora de ser empleada en un DoS coordinado o para ocultar su verdadera direccin. 4. No permitir el trfico broadcast desde fuera de nuestra red. De esta forma evitamos ser empleados como multiplicadores durante un ataque Smurf. 5. Filtrar el trfico IP Spoof. 6. Auditorias de seguridad y sistemas de deteccin. 7. Mantenerse informado constantemente sobre cada unas de las vulnerabilidades encontradas y parches lanzados. Para esto es recomendable estar suscripto a listas que brinden este servicio de informacin. 8. Por ltimo, pero quizs lo ms importante, la capacitacin continua del usuario. 2.5.5 Creacin y difusin de virus. 2

Quizs uno de los temas ms famosos y sobre los que ms mitos e historias fantsticas se corren en el mbito informtico sean los Virus. Pero como siempre en esta obscura realidad existe una parte que es cierta y otra que no lo es tanto. Para aclarar este enigma veamos porque se eligi la palabra Virus (del latn Veneno) y que son realmente estos parsitos. 2.5.5.1 Origen. Los orgenes de los VI se pueden establecer al observar investigaciones sobre Inteligencia y Vida Artificial. Estos conceptos fueron desarrollados por John Von Neuman hacia 1950 estableciendo por primera vez la idea de programas autorreplicables. Luego, en 1960 en los laboratorios de Bell se desarrollaron juegos (programas) que luchaban entre s con el objetivo de lograr el mayor espacio de memoria posible. Estos programas llamados Core Wars hacan uso de tcnicas de ataque, defensa, ocultamiento y reproduccin que luego adoptaron los VI. En 1970, John Shoch y Jon Hupp elaboraron, en el Palo Alto Research Center (PARC) de Xerox, programas autorreplicables que servan para controlar la salud de las redes informticas. Das despus de su lanzamiento el programa se propago en todas las mquinas y sus mltiples (miles) copias de s mismo colapsaron la red. Cabe aclarar que el fin de estos programas era, en un principio, solo experimental y sin fines malficos. En los aos 80 nacen los primeros VI propiamente dichos y en 1983 se establece una definicin para los mismos. En 1985 infectaban el MSDOS y en 1986 ya eran destructivos (Brain, Vienna, Viernes 13, etc.). Estos utilizaban disquetes para su propagacin y dependan totalmente de la ignorancia del pblico que hacia copias indiscriminadas de los mismos. El 3 noviembre de 1983, el primer virus fue concebido como un experimento para ser presentado en un seminario semanal de Seguridad Informtica. El concepto fue introducido por el autor y el nombre virus fue dado por Len Adleman. Despus de ocho horas de trabajo sobre un VAX 11/750 ejecutando Unix, el primer virus estuvo listo para la demostracin. En esa semana fueron obtenidos los permisos y cinco experimentos fueron realizados. El 10 de noviembre el virus fue mostrado. La infeccin inicial fue realizada en vd (un programa que mostraba la estructura de archivos de Unix grficamente) e introducido a los usuarios va un BBS (...).. De aqu quizs provenga la leyenda? en donde se sugiere que los VI surgieron como una medida de seguridad de compaas de desarrollo de software para disuadir a los usuarios de la adquisicin de software ilegal. Esta versin no ha sido demostrada ni desmentida, pero el tiempo ha demostrado que los verdaderos perjudicados son las mismas compaas acusadas en su momento. El 2 de noviembre de 1988 se produce el primer ataque masivo a una red (ARPAnet, precursora de Internet). El mtodo utilizado para su autorreplicacin era el correo electrnico y en tres horas el gusano se hizo 1

conocer en todo EE.UU. La erradicacin de este gusano cost un milln de dlares y demostr qu poda hacer un programa autorreplicable fuera de control. El autor, Robert Morris (hijo de uno de los programadores de Core Wars), graduado de Harvard de 23 aos reconoci su error y lo calific de fallo catastrfico, ya que su idea no era hacer que los ordenadores se relentizaran. En este mismo ao, como consecuencia de lo acontecido y de la concientizacin, por parte de la industria informtica, de la necesidad de defender los sistemas informticos, aparecen los primeros programas antivirus. En 1991 aparecen los primeros Kits para la construccin de virus, lo que facilit su creacin e hizo aumentar su nmero a mayor velocidad. El primero fue el VCL (Virus Creation Laboratory), creado por Nowhere Man. En 1992 nace el virus Michelangelo (basado en el Stoned), y aunque es un virus no especialmente destructivo, la prensa lo vendi como una grave amenaza mundial. Algunos fabricantes de antivirus, aseguraron que cinco millones de computadoras se veran afectadas por el virus. El nmero no pas de cinco mil. Pese a ello, la noticia provoc una alarma injustificada entre los usuarios de ordenadores personales, aunque en cierto modo tambin sirvi para concientizar a estos mismos usuarios de la necesidad de estar alerta frente a los virus, que ya haban dejado definitivamente de ser una curiosidad cientfica para pasar a convertirse en una plaga peligrosa. A partir de aqu, los virus alcanzaron notoriedad y son perfeccionados da a da mediante tcnicas de programacin poco comunes. Su proliferacin se debi, principalmente, al crecimiento de las redes y a los medios para compartir informacin. 2.5.5.2 Los nmeros hablan. A mediados de los noventa se produjeron enormes cambios en el mundo de la informtica personal que llegan hasta nuestros das y que dispararon el nmero de virus en circulacin hasta lmites insospechados. Si a finales de 1994 el nmero de virus, segn la International Computer Security Association (ICSA), rondaba los cuatro mil, en los siguientes cinco aos esa cifra se multiplic por diez, y promete seguir aumentando. Cientos de virus son descubiertos mes a mes (de 6 a 20 por da), y tcnicas ms complejas se desarrollan a una velocidad muy importante a medida que el avance tecnolgico permite la creacin de nuevas puertas de entrada. La NCSA (National Computer Security Association) es el principal organismo dedicado al seguimiento del fenmeno de los virus en todo el mundo. Segn sus informes, en Estados Unidos ms del 99% de las grandes y medianas empresas han sufrido la infeccin por virus en alguno de sus computadoras. Slo un 0,67% asegura no haberse encontrado nunca con un virus.

Se calcula que, en trmino medio, se infectan 40,6% computadoras al ao. La proporcin de infecciones anuales ha crecido ampliamente, ya que en 1996 este ndice era slo del 12%. Existen virus adscritos a programa y tambin a documentos, los conocidos como Macrovirus. Estos ltimos, concretamente los que utilizan documentos de MSWord para la infeccin comenzaron su propagacin en 1995, cuando Microsoft lanza su nueva versin de este popular procesador de texto. Aprovechando esta innovacin tecnolgica (las macros), han aparecido ms de 1.900 virus diferentes, registrados y catalogados, que utilizan este medio para infectar los documentos. Tal ha sido su crecimiento y extensin, que los principales responsables de la lucha antivirus llegaron a recomendar que no se enviaran ni se aceptaran documentos de MS Word enviados por Internet, lo que supone una fuerte limitacin al uso del correo electrnico. Entre los diez virus ms importantes de 1997, cuatro eran macros de Word. Segn la NCSA, si slo un 30% de todos las PCs del mundo utilizaran un antivirus actualizado y activo de forma permanente, se cortara las cadena de contagio y se acabara con el fenmeno de los virus en todo el mundo. Sin embargo, no todos los usuarios, bien sean de carcter empresarial o domstico, son conscientes del riesgo que corren. Hace un tiempo bastaba con chequear los nuevos programas o archivos que se introducan en la computadora, teniendo especial cuidado con el software pirateado (principal forma de contagio) y con los disquetes usados provenientes de otras personas. De alguna manera, las vas de transmisin eran menores y estaban ms controladas. Pero con Internet, las posibilidades de infeccin se han multiplicado con creces. Desde el 17 al 31 de julio del ao 2000 el Ministerio de Ciencia y Tecnologa de Espaa, la empresa antivirus Panda Software y otras organizaciones montaron la Primera Campaa Nacional Antivirus Informticos57. El propsito de la campaa era ofrecer al usuario la posibilidad de bsqueda de virus en su sistema (en forma online) y desinfeccin del mismo. Al finalizar la campaa, se obtuvieron 516.122 visitas al sitio y se eliminaron 348.195 virus. Las vas de infeccin informadas fueron el 56% va email, el 31% va disquete y el 5% va CDROM. A nivel mundial, en el mbito de las medianas y grandes empresas, histricamente, la mayor causa de prdidas de informacin fue el sabotaje, seguido por los virus informticos y por ltimo por otras causas como fallas e impericias. Durante 1993 y 1994 las prdidas por virus superaron las ocasionadas por sabotaje, pero a partir de 1995 el sabotaje volvi a ocupar el primer lugar debido a la utilizacin de virus especficos. Segn la NCSA en 1995 el volumen de prdidas causadas en los Estados Unidos por VI era similar al de las prdidas por Hacking y alcanzaban los U$S1.000 millones. En 1996 las prdidas por VI aumentaron en mayor 1

proporcin que las causadas por intrusos informticos alcanzando los U$S5.000 millones y U$S6.000 millones respectivamente 2.5.5.3 Descripcin de un virus. Si bien un VI es un ataque de tipo Tampering, difiere de este porque puede ser ingresado al sistema por un dispositivo externo (diskettes) o a travs de la red (e-mails u otros protocolos) sin intervencin directa del atacante. Dado que el virus tiene como caracterstica propia su autoreproduccin, no necesita de mucha ayuda para propagarse rpidamente. Existen distintos tipos de virus, como aquellos que infectan archivos ejecutables (.EXE, .COM, .DLL, etc), los sectores de Boot y la Tabla de Particin de los discos. Actualmente los que causan mayores problemas son los macro-virus y scriptvirus, que estn ocultos en simples documentos, planillas de clculo, correo electrnico y aplicaciones que utiliza cualquier usuario de PC. La difusin se potencia con la posibilidad de su transmisin de un continente a otro a travs de cualquier red o Internet. Y adems son multiplataforma, es decir, no dependen de un sistema operativo en particular, ya que un documento puede ser procesado tanto en Windows 95/98/NT/2000, como en una Macintosh u otras. 2.5.5.3.1 Tcnicas de propagacin. Borghello (2001) seala que actualmente las tcnicas utilizadas por los virus para logra su propagacin y subsistencia son muy variadas y existen aquellos que utilizan varias de ellas para lograrlo. 1. Disquetes y otros medios removibles. A la posibilidad de que un disquete contenga un archivo infectado se une el peligro de que integre un virus de sector de arranque (Boot). En este segundo caso, y si el usuario lo deja en la disquetera, infectar el ordenador cuando lo encienda, ya que el sistema intentar arrancar desde el disquete. 2. Correo electrnico: el usuario no necesita hacer nada para recibir mensajes que, en muchos casos ni siquiera ha solicitado y que pueden llegar de cualquier lugar del mundo. Los mensajes de correo electrnico pueden incluir archivos, documentos o cualquier objeto ActiveXJava infectado que, al ejecutarse, contagian la computadora del usuario. En las ltimas generaciones de virus se envan emails sin mensajes pero con archivos adjuntos (virus) que al abrirlos proceden a su ejecucin y posterior infeccin del sistema atacado. Estos virus poseen una gran velocidad de propagacin ya que se envan automticamente a los contactos de la libreta de direcciones del sistema infectado. 3. IRC o Chat: las aplicaciones de mensajera instantnea (ICQ, AOL Instant Messenger, etc.) o Internet Relay Chat (IRC), proporcionan un medio de comunicacin annimo, rpido, eficiente, cmodo y barato. Sin embargo, tambin son peligrosas, ya que los entornos de chat ofrecen, 2

por regla general, facilidades para la transmisin de archivos, que conllevan un gran riesgo en un entorno de red. 4. Pginas web y transferencia de archivos va FTP: los archivos que se descargan de Internet pueden estar infectados, y pueden provocar acciones dainas en el sistema en el que se ejecutan. 5. Grupos de noticias: sus mensajes e informacin (archivos) pueden estar infectados y, por lo tanto, contagiar al equipo del usuario que participe en ellos. 2.5.5.3.2 Tipos de virus. Un virus puede causar dao lgico (generalmente) o fsico (bajo ciertas circunstancias y por repeticin) de la computadora infectada y nadie en su sano juicio desear ejecutarlo. Para evitar la intervencin del usuario los creadores de virus debieron inventar tcnicas de las cuales valerse para que su programa pudiera ejecutarse. Estas son diversas y algunas de lo ms ingeniosas:

2.5.5.3.2.1 Archivos Ejecutable (virus ExeVir). El virus se adosa a un archivo ejecutable y desva el flujo de ejecucin a su cdigo, para luego retornar al husped y ejecutar las acciones esperadas por el usuario. Al realizarse esta accin el usuario no se percata de lo sucedido. Una vez que el virus es ejecutado se aloja en memoria y puede infectar otros archivos ejecutables que sean abiertos en esa mquina. En este momento su dispersin se realiza en sistema de 16 bits (DOS) y de 32 bits (Windows) indistintamente, atacando programas .COM, .EXE, .DLL, .SYS, .PIF, etc, segn el sistema infectado. Ejemplos: Chernovil, Darth Vader, PHX Imagen 19

Grfico Tcnicas de Infeccin en Archivos Ejecutables 2.5.5.3.2.2 Virus en el Sector de Arranque (Virus ACSO Anterior a la Carga del SO). 2

En los primeros 512 bytes de un disquete formateado se encuentran las rutinas necesarias para la carga y reconocimiento de dicho disquete. Entre ellas se encuentra la funcin invocada si no se encuentra el Sistema Operativo. Es decir que estos 512 bytes se ejecutan cada vez que se intenta arrancar (bootear) desde un disquete (o si se dej olvidado uno en la unidad y el orden de booteo de la PC es A: y luego C:). Luego, esta rea es el objetivo de un virus de booteo. Se guarda la zona de booteo original en otro sector del disco (generalmente uno muy cercano o los ms altos). Luego el virus carga la antigua zona de booteo. Al arrancar el disquete se ejecuta el virus (que obligatoriamente debe tener 512 bytes o menos) quedando residente en memoria; luego ejecuta la zona de booteo original, salvada anteriormente. Una vez ms el usuario no se percata de lo sucedido ya que la zona de booteo se ejecuta iniciando el sistema operativo (si existiera) o informando la falta del mismo.

Imagen 20

Tcnica de infeccin en Zona de Booteo 2.5.5.3.2.3 Virus Residente. Como ya se mencion, un virus puede residir en memoria. El objetivo de esta accin es controlar los accesos a disco realizados por el usuario y el Sistema Operativo. Cada vez que se produce un acceso, el virus verifica si el disco o archivo objetivo al que se accede, est infectado y si no lo est procede a almacenar su propio cdigo en el mismo. Este cdigo se almacenar en un 3

archivo, tabla de particin, o en el sector de booteo, dependiendo del tipo de virus que se trate. 2.5.5.3.2.4 Macrovirus. Estos virus infectan archivos de informacin generados por aplicaciones de oficina que cuentan con lenguajes de programacin de macros. ltimamente son los ms expandidos, ya que todos los usuarios necesitan hacer intercambio de documentos para realizar su trabajo. Los primeros antecedentes de ellos fueron con las macros de Lotus 123 que ya eran lo suficientemente poderosas como permitir este tipo de implementacin. Pero los primeros de difusin masiva fueron desarrollados a principios de los 90 para el procesador de texto Microsoft Word, ya que este cuenta con el lenguaje de programacin Word Basic. Su principal punto fuerte fue que terminaron con un paradigma de la seguridad informtica: los nicos archivos que pueden infectarse son los ejecutables y todas las tecnologas antivirus sucumbieron ante este nuevo ataque. Su funcionamiento consiste en que si una aplicacin abre un archivo infectado, la aplicacin (o parte de ella) se infecta y cada vez que se genera un nuevo archivo o se modifique uno existente contendr el macrovirus. Ejemplos: De Microsoft Word: CAP I, CAP II, Concept, Wazzu. De Microsoft Excel: Laroux. De Lotus Amipro: GreenStripe Imagen 21

Infeccin de mltiples Documentos 2.5.5.3.2.5 Virus de Mail. El ltimo grito de la tecnologa en cuestin de virus. Su modo de actuar, al igual que los anteriores, se basa en la confianza excesiva por parte del usuario: a este le llega va mail un mensaje con un archivo comprimido

(.ZIP por ejemplo), el usuario lo descomprime y al terminar esta accin, el contenido (virus ejecutable) del archivo se ejecuta y comienza el dao. Este tipo de virus tom relevancia estos ltimos aos con al explosin masiva de Internet y ltimamente con el virus Melissa y I Love You. Generalmente estos virus se auto envan a algunas de las direcciones de la libreta. Cada vez que uno de estos usuarios recibe el supuesto mensaje no sospecha y lo abre, ocurriendo el mismo reenvo y la posterior saturacin de los servidores al existir millones de mensajes enviados. 2.5.5.3.2.6 Virus de Sabotaje. Son virus construidos para sabotear un sistema o entorno especfico. Requieren de conocimientos de programacin pero tambin una accin de inteligencia que provea informacin sobre el objetivo y sus sistemas.

2.5.5.3.2.7 Hoax, los Virus Fantasmas. El auge del correo electrnico gener la posibilidad de transmitir mensajes de alerta de seguridad. As comenzaron a circular mensajes de distinta ndole (virus, cadenas solidarias, beneficios, catstrofes, etc.) de casos inexistentes. Los objetivos de estas alertas pueden causar alarma, la prdida de tiempo, el robo de direcciones de correo y la saturacin de los servidores con las consecuentes prdidas de dinero que esto ocasiona. 2.5.5.4.2.8 Virus de Applets Java y Controles ActiveX. Si bien, como ya se coment, estas dos tecnologas han sido desarrolladas teniendo como meta principal la seguridad, la prctica demuestra que es posible programar virus sobre ellas. Este tipo de virus se copian y se ejecutan a s mismos mientras el usuario mantiene una conexin a Internet. 2.5.5.3.2.9 Gusanos Reproductores. Son programas que se reproducen constantemente hasta agotar totalmente los recursos del sistema husped y/o recopilar informacin relevante para enviarla a un equipo al cual su creador tiene acceso. 2.5.5.3.2.10 Caballos de Troya. De la misma forma que el antiguo caballo de Troya de la mitologa griega esconda en su interior algo que los troyanos desconoca, y que tena una funcin muy diferente a la que ellos podan imaginar; un Caballo de Troya es un programa que aparentemente realiza una funcin til pero adems realiza una operacin que el usuario desconoce y que generalmente beneficia al autor del troyano o daa el sistema husped.

Si bien este tipo de programas NO cumplen con la condicin de auto reproduccin de los virus, encuadran perfectamente en la caracterstica de programa daino. Consisten en introducir dentro de un programa una rutina o conjunto de instrucciones, no autorizadas y que la persona que lo ejecuta no conoce, para que dicho programa acte de una forma diferente a como estaba previsto. Los ejemplos ms conocidos de troyanos son el Back Oriffice y el Net Bus que, si bien no fueron desarrollados con ese fin, son una poderosa arma para tomar el control de la computadora infectada. Estos programas pueden ser utilizados para la administracin total del sistema atacado por parte de un tercero, con los mismos permisos y restricciones que el usuario de la misma. 2.5.5.3.2.11 Bombas Lgicas. Este suele ser el procedimiento de sabotaje ms comnmente utilizado por empleados descontentos. Consiste en introducir un programa o rutina que en una fecha determinada o dado algn evento particular en el sistema, bien destruye y modifica la informacin o provoca la baja del sistema. 2.5.5.3.3 Modelo de un virus informtico. Un virus est compuesto por su propio entorno, dentro del cual pueden distinguirse tres mdulos principales: 1. Mdulo de Reproduccin: es el encargado de manejar las rutinas de parasitacin de entidades ejecutables con el fin de que el virus pueda ejecutarse subrepticiamente, permitiendo su transferencia a otras computadoras. 2. Mdulo de Ataque: Es el que maneja las rutinas de dao adicional al virus. Esta rutina puede existir o no y generalmente se activa cuando el sistema cumple alguna condicin. Por ejemplo el virus Chernovil se activa cada vez que el reloj del sistema alcanza el 26 de cada mes. 3. Mdulo de Defensa: Este mdulo, tambin optativo, tiene la misin de proteger al virus. Sus rutinas tienden a evitar acciones que faciliten o provoquen la deteccin o remocin del virus. Imagen 22

Mdulos de los Virus Informticos 2.5.5.4 Tipos de daos ocasionados por los virus. Los virus informticos no afectan (en su gran mayora) directamente el hardware sino a travs de los programas que lo controlan; en ocasiones no contienen cdigo nocivo, o bien, nicamente causan dao al reproducirse y utilizar recursos escasos como el espacio en el disco rgido, tiempo de procesamiento, memoria, etc. En general los daos que pueden causar los virus se refieren a hacer que el sistema se detenga, borrado de archivos, comportamiento errneo de la pantalla, despliegue de mensajes, desorden en los datos del disco, aumento del tamao de los archivos ejecutables o reduccin de la memoria total. Para realizar la siguiente clasificacin se ha tenido en cuenta que el dao es una accin de la computadora, no deseada por el usuario: a. Dao Implcito: es el conjunto de todas las acciones dainas para el sistema que el virus realiza para asegurar su accionar y propagacin. Aqu se debe considerar el entorno en el que se desenvuelve el virus ya que el consumo de ciclos de reloj en un medio delicado (como un aparato biomdico) puede causar un gran dao. b. Dao Explcito: es el que produce la rutina de dao del virus. Con respecto al modo y cantidad de dao, encontramos: a. Daos triviales: daos que no ocasionan ninguna prdida grave de funcionalidad del sistema y que originan una pequea molestia al usuario. Deshacerse del virus implica, generalmente, muy poco tiempo. b. Daos menores: daos que ocasionan una prdida de la funcionalidad de las aplicaciones que poseemos. En el peor de los casos se tendr que reinstalar las aplicaciones afectadas. c. Daos moderados: los daos que el virus provoca son formatear el disco rgido o sobrescribir parte del mismo. Para solucionar esto se deber utilizar la ltima copia de seguridad que se ha hecho y reinstalar el sistema operativo. d. Daos mayores: algunos virus pueden, dada su alta velocidad de infeccin y su alta capacidad de pasar desapercibidos, lograr que el da que se detecta su presencia tener las copias de seguridad tambin infectadas. Puede que se llegue a encontrar una copia de seguridad no infectada, pero ser tan antigua que se haya perdido una gran cantidad de archivos que fueron creados con posterioridad. e. Daos severos: los daos severos son hechos cuando un virus realiza cambios mnimos, graduales y progresivos. No se sabe cuando los datos son correctos o han cambiado, pues no hay unos indicios claros de cuando se ha infectado el sistema.

f. Daos ilimitados: el virus abre puertas del sistema a personas no autorizadas. El dao no lo ocasiona el virus, sino esa tercera persona que, gracias a l, puede entrar en el sistema. 2.5.5.5 Los autores. Tras su alias (nic), los creadores de virus sostienen que persiguen un fin educacional para ilustrar las flaquezas de los sistemas a los que atacan. Pero... es necesario crear un problema para mostrar otro? La creacin de virus no es ilegal, y probablemente no debera serlo: cualquiera es dueo de crear un virus siempre y cuando lo guarde para s. Infectar a otras computadoras sin el consentimiento de sus usuarios es inaceptable, esto s es un delito y debera ser penado, como ya lo es un algunos pases. Inglaterra pudo condenar a 18 meses! de prisin al autor de SMEG. Sin embargo, el autor del virus Loverletter no fue sentenciado porque la legislacin vigente en Filipinas (su pas de origen) no era adecuada en el momento del arresto. Existen otros casos en que el creador es recompensado con una oferta de trabajo millonaria por parte de multinacionales. Este, y no las condenas, es el mensaje que reciben miles de jvenes para empezar o continuar desarrollando virus y esto se transforma en una actividad de moda, lejos de la informtica tica sobre la cual deberan ser educados. 2.5.5.6 Programa antivirus. Un antivirus es una gran base de datos con la huella digital de todos los virus conocidos para identificarlos y tambin con las pautas que ms contienen los virus. Los fabricantes de antivirus avanzan tecnolgicamente casi en la misma medida que lo hacen los creadores de virus. Esto sirve para combatirlos, aunque no para prevenir la creacin e infeccin de otros nuevos. Actualmente existen tcnicas, conocidas como heursticas, que brindan una forma de adelantarse a los nuevos virus. Con esta tcnica el antivirus es capaz de analizar archivos y documentos y detectar actividades sospechosas. Esta posibilidad puede ser explotada gracias a que de los 620 nuevos virus diarios, slo aparecen unos cinco totalmente novedosos al ao. Debe tenerse en cuenta que: Un programa antivirus forma parte del sistema y por lo tanto funcionar correctamente si es adecuado y est bien configurado. No ser eficaz el 100% de los casos, no existe la proteccin total y definitiva. Las funciones presentes en un antivirus son: 1. Deteccin: se debe poder afirmar la presencia y/o accionar de un VI en una computadora. Adicionalmente puede brindar mdulos de 3

identificacin, erradicacin del virus o eliminacin de la entidad infectada. 2. Identificacin de un virus: existen diversas tcnicas para realizar esta accin: a. Scanning: tcnica que consiste en revisar el cdigo de los archivos (fundamentalmente archivos ejecutables y de documentos) en busca de pequeas porciones de cdigo que puedan pertenecer a un virus (sus huellas digitales). Estas porciones estn almacenadas en una base de datos del antivirus. Su principal ventaja reside en la rpida y exacta que resulta la identificacin del virus. En los primeros tiempos (cuando los virus no eran tantos ni su dispersin era tan rpida), esta tcnica fue eficaz, luego se comenzaron a notar sus deficiencias. El primer punto desfavorable es que brinda una solucin a posteriori y es necesario que el virus alcance un grado de dispersin considerable para que llegue a mano de los investigadores y estos lo incorporen a su base de datos (este proceso puede demorar desde uno a tres meses). Este modelo reactivo jams constituir una solucin definitiva. b. Heurstica: bsqueda de acciones potencialmente dainas perteneciente a un virus informtico. Esta tcnica no identifica de manera certera el virus, sino que rastrea rutinas de alteracin de informacin y zonas generalmente no controlada por el usuario (MBR, Boot Sector, FAT, y otras). Su principal ventaja reside en que es capaz de detectar virus que no han sido agregados a las base de datos de los antivirus (tcnica proactiva). Su desventaja radica en que puede sospechar de demasiadas cosas y el usuario debe ser medianamente capaz de identificar falsas alarmas. 3. Chequeadores de Integridad: Consiste en monitorear las actividades de la PC sealando si algn proceso intenta modificar sectores crticos de la misma. Su ventaja reside en la prevencin aunque muchas veces pueden ser vulnerados por los virus y ser desactivados por ellos, haciendo que el usuario se crea protegido, no siendo as. Es importante diferenciar los trminos detectar: determinacin de la presencia de un virus e identificar: determinacin de qu virus fue el detectado. Lo importante es la deteccin del virus y luego, si es posible, su identificacin y erradicacin. 2.5.5.6.1 Modelo de un antivirus. Un antivirus puede estar constituido por dos mdulos principales y cada uno de ellos contener otros mdulos. Imagen 23

Modelo de un Antivirus Mdulo de Control: Este mdulo posee la tcnica de Verificacin de Integridad que posibilita el registro de posibles cambios en las zonas y archivos considerados de riesgo. Mdulo de Respuesta: La funcin de Alarma se encuentra en todos los antivirus y consiste en detener la ejecucin de todos lo programas e informar al usuario de la posible existencia de un virus. La mayora ofrecen la posibilidad de su erradicacin si la identificacin a sido positiva. 2.5.5.6.2 Utilizacin de los antivirus. Como ya se ha descrito un VI es un programa y, como tal se ejecuta, ocupa un espacio en memoria y realiza las tareas para las que ha sido programado. En el caso de instalarse un antivirus en una computadora infectada, es probable que este tambin sea infectado y su funcionamiento deje de ser confiable. Por lo tanto si se sospecha de la infeccin de una computadora, nunca deben realizarse operaciones de instalacin o desinfeccin desde la misma. El procedimiento adecuado sera reiniciar el sistema y proceder a la limpieza desde un sistema limpio y seguro. La mayora de los antivirus ofrecen la opcin de reparacin de los archivos daados. Puede considerarse este procedimiento o la de recuperar el/los archivos perdidos desde una copia de seguridad segura. 2.5.5.7 Aspetos jurdicos sobre virus informticos. El anlisis de la responsabilidad derivada de la difusin de un virus merece especial atencin en estos momentos en que el uso de la redes telemticas permite un mayor alcance de sus efectos. Prueba de ello tenemos en la reciente difusin por correo electrnico del antes mencionado virus I Love you. Para analizar los diferentes supuestos que generan responsabilidad, debemos tener en cuenta los canales de difusin que contribuyen a potenciar el efecto pirmide en el que los virus basan su efectividad. La mera creacin de un virus puede obedecer a una intencin distinta a la puesta en circulacin. Cabe recordar aqu la diferencia que hacen los hackers entre el creador de un virus y el diseminador del mismo. 1

En cuanto a la puesta en circulacin es difcil obtener una identificacin plena del responsable de la misma. Aunque en el caso de redes telemticas es posible encontrar rastros de la primera aparicin del virus, es posible alterar esa informacin. En cualquier caso, la responsabilidad de la persona que inicia la cadena de efectos nocivos de un virus, planificando la difusin intencionada del mismo a travs de un medio est clara, pues el dao es perfectamente previsible (aunque no su magnitud) y seguro. En cuanto a la introduccin intencionada en un sistema especfico, por su tipificacin como delito de daos, los actos de sabotaje informtico pueden generar responsabilidad civil y penal. Pueden tener su origen en personas del interior de la empresa que por un motivo como, por ejemplo, la ruptura de la relacin laboral, deciden causar un dao, o en personas del exterior de la empresa, que acceden al sistema informtico por medios telemticos, por ejemplo. En ambos casos se cumplen los requisitos para reclamar una indemnizacin. La difusin de un virus entre usuarios de sistemas informticos puede ser debida a una conducta negligente o la difusin de virus no catalogados. La diligencia debida en el tratamiento de la informacin obliga a realizar copias de seguridad y a instalar sistemas de deteccin de virus. En el caso de archivos que se envan a otros usuarios, la ausencia de control previo puede ser calificada como negligente, puesto que el riesgo de destruccin de datos se est traspasando a terceros y ello poda haberse evitado de una manera sencilla y econmica. Pero tambin puede alegarse que el usuario receptor del archivo afectado podra haber evitado el dao pasando el correspondiente antivirus, a lo que cabe replicar que este trmite se obvi por tratarse de un remitente que ofreca confianza. Por ltimo, en algunos pases en donde se han tratado Leyes de Propiedad Intelectual, se establece la exclusin de los VI de las creaciones protegidas por el derecho de autor. El objetivo de este precepto es facilitar las actividades de anlisis necesarias para la creacin de un antivirus, aunque esto resulta innecesario por la sencilla razn de que el creador de un virus no acostumbra a reclamar la titularidad del mismo de forma pblica. 2.5.5.8 Consejos. Aunque existe una relativa concientizacin, generalmente no se toman todas las precauciones necesarias para anular el peligro. No basta con tener un antivirus, sino que ste hay que actualizarlo peridicamente para contemplar los nuevos virus que van apareciendo. Adems de poseer la cualidad de chequeo manual, deteccin y eliminacin, debe ser sobre todo capaz de actuar como vacuna o filtro, impidiendo la entrada de los nuevos virus que aparecen cada da. De esta forma, aunque al usuario se le olvide pasar el antivirus, sabe que al menos existe una proteccin automtica. La mayora de los antivirus que se comercializan poseen estas caractersticas. En la Campaa Nacional Antivirus Informticos se proponen 15 consejos para evitar el contagio de virus. A continuacin se resumen todas ellas: 1

VII. Instalar un buen antivirus para la deteccin y eliminacin de nuevos virus. Adems es necesario actualizarlo frecuentemente. Como ya se ha explicado la efectividad de un programa antivirus reside, en gran medida, en su capacidad de actualizacin (preferentemente diaria). VIII. Comprobar que el antivirus elegido incluye soporte tcnico, resolucin urgente de nuevos virus y servicios de alerta, bien a travs de correo electrnico, por telfono o fax. IX. Asegurarse que el antivirus est siempre activo vigilando constantemente todas las operaciones realizadas en el sistema. X. Verificar, antes de abrir, cada nuevo mensaje de correo electrnico recibido. Este medio es el medio de transmisin preferido por los diseminadores de virus. Cualquier correo puede contener virus, aunque no este acompaado de archivos adjuntos. Adems no es necesario ejecutar el archivo adjunto de un mensaje de correo para ser infectado, en algunos sistemas basta nicamente con abrir el mensaje. Para prevenir esto, lo mejor es verificar los mensajes inesperados o que provengan de una fuente poco habitual. XI. Evitar la descarga de programas de lugares no seguros o pocos fiables de Internet. Muchas pginas web permiten la descarga de programas y archivos cabiendo la posibilidad que estos archivos estn infectados. Son sitios seguros aquellos que muestran una informacin clara acerca de su actividad y los productos o servicios que ofrecen. XII. Rechazar archivos que no se hayan solicitado cuando se est en chats o grupos de noticias. Hay que tener especial cuidado y aceptar slo lo que llegue de un remitente conocido y de confianza. XIII. Analizar siempre con un buen antivirus los disquetes que entran y salen de la computadora. Si se utilizan disquetes propios en otros lugares es aconsejable protegerlos contra escritura. XIV. Retirar los disquetes de las disqueteras al apagar o reiniciar el ordenador. Esta tarea es para evitar que se activen los virus de arranque. XV. Analizar el contenido de los archivos comprimidos. El antivirus deber de contar con una funcionalidad que permita detectar el mayor nmero de formatos comprimidos posibles. Adems, antes de abrir uno de estos archivos, es aconsejable guardarlos en carpetas temporales. XVI. Mantenerse alerta ante acciones sospechosas de posibles virus. Hay varios sntomas que pueden delatar la presencia de nuevos virus: aumento del tamao de los archivos, aviso de macros en documentos, ralentizacin en ciertos procesos, etc. Como mejor solucin a estas sospechas de posibles infecciones, se debe recurrir al servicio de resolucin urgente de nuevos virus de la compaa antivirus. 3

XVII. Aadir las opciones de seguridad de las aplicaciones que se utilizan normalmente en la poltica de proteccin antivirus, ya que los programas informticos ms utilizados se convierten, precisamente por esta razn, en blanco de los autores de virus. XVIII. Realizar copias de seguridad frecuente y peridica de la informacin ms importante. Esta es una muy buena forma de minimizar el impacto de un virus. De esta manera, una prdida de datos, causada por un virus, puede ser superada mediante la restauracin de la ltima copia. XIX. Ante la gran cantidad de informacin recibida por diferentes medios, es aconsejable contrastar estos datos con la informacin completa, actualizada y experta difundida por determinadas compaas y organismos confiables. XX. A la hora de instalar nuevos programas, el riesgo de infeccin es menor (aunque no nulo) si se trata de software legal. Si el software ha llegado de fuentes piratas nadie puede asegurar que est libre de virus. XXI. Exigir a los fabricantes de software, proveedores de acceso a Internet y editores de publicaciones, que se impliquen en la lucha contra los virus. En la lucha contra los virus es precisa la participacin de todos los agentes implicados en el sector informtico para minimizar el problema de las infecciones provocadas. 2.6 Proteccin Una vez conocidas las vulnerabilidades y ataques a las que est expuesto un sistema es necesario conocer los recursos disponibles para protegerlo. Mientras algunas tcnicas son evidentes (seguridad fsica por ejemplo) otras pautas no lo son tanto e incluso algunas pueden ocasionar una sensacin de falsa seguridad. Muchas de las vulnerabilidades estudiadas son el resultado de implementacin incorrecta de tecnologas, otras son consecuencias de la falta de planeamiento de las mismas pero, como ya se ha mencionado, la mayora de los agujeros de seguridad son ocasionados por los usuarios de dichos sistemas y es responsabilidad del administrador detectarlos y encontrar la mejor manera de cerrarlos. En el presente captulo, despus de lo expuesto y vistas la gran cantidad de herramientas con las que cuenta el intruso, es el turno de estudiar implementaciones en la bsqueda de mantener el sistema seguro. Siendo reiterativo, ninguna de las tcnicas expuestas a continuacin, representarn el 100% de la seguridad deseado, aunque muchas parezcan la panacea, ser la suma de algunas de ellas las que convertirn un sistema interconectado en confiable. 2.6.1 Vulnerar para proteger. 3

Los intrusos utilizan diversas tcnicas para quebrar los sistemas de seguridad de una red. Bsicamente buscan los puntos dbiles del sistema para poder colarse en ella. El trabajo de los Administradores y Testers no difiere mucho de esto. En lo que s se diferencia, y por completo, es en los objetivos: mientras que un intruso penetra en las redes para distintos fines (investigacin, dao, robo, etc.) un administrador lo hace para poder mejorar los sistemas de seguridad. Ardita (2001) menciona que os intrusos cuentan con grandes herramientas como los Scanners, los cracking de passwords, software de anlisis de vulnerabilidades y los exploits(...) un administrador cuenta con todas ellas empleadas para bien, los Logs, los sistemas de deteccin de intrusos y los sistemas de rastreo de intrusiones. Al conjunto de tcnicas que se utilizan para evaluar y probar la seguridad de una red se lo conoce como Penetration Testing, uno de los recursos ms poderosos con los que se cuenta hoy para generar barreras cada vez ms eficaces. Un test est totalmente relacionado con el tipo de informacin que se maneja en cada organizacin. Por consiguiente, segn la informacin que deba ser protegida, se determinan la estructura y las herramientas de seguridad; no a la inversa El software y el Hardware utilizados son una parte importante, pero no la nica. A ella se agrega lo que se denomina polticas de seguridad internas que cada organizacin (y usuario) debe generar e implementar. 2.6.1.1 Administracin de la seguridad. Es posible dividir las tareas de administracin de seguridad en tres grandes grupos: Autenticacin: se refiere a establecer las entidades que pueden tener acceso al universo de recursos de cmputo que cierto medio ambiente puede ofrecer. Autorizacin: es el hecho de que las entidades autorizadas a tener acceso a los recursos de cmputo, tengan acceso nicamente a las reas de trabajo sobre las cuales ellas deben tener dominio. Auditora: se refiere a la continua vigilancia de los servicios en produccin. Entra dentro de este grupo el mantener estadsticas de acceso, estadsticas de uso y polticas de acceso fsico a los recursos. Por regla general, las polticas son el primer paso que dispone a una organizacin para entrar en un ambiente de seguridad, puesto que reflejan su voluntad de hacer algo que permita detener un posible ataque antes de que ste suceda (proactividad). A continuacin se citan algunos de los mtodos de proteccin ms comnmente empleados.

1. Sistemas de deteccin de intrusos: son sistemas que permiten analizar las bitcoras de los sistemas en busca de patrones de comportamiento o eventos que puedan considerarse sospechosos, sobre la base de la informacin con la que han sido previamente alimentados. Pueden considerarse como monitores. 2. Sistemas orientados a conexin de red: monitorizan las conexiones que se intentan establecer en una red o equipo en particular, siendo capaces de efectuar una accin sobre la base de mtricas como: origen y destino de la conexin, servicio solicitado, permisos, etc. Las acciones que pueden emprender suelen ir desde el rechazo de la conexin hasta alerta al administrador. En esta categora estn los firewall (Firewalls) y los Wrappers. 3. Sistemas de anlisis de vulnerabilidades: analizan sistemas en busca de vulnerabilidades conocidas anticipadamente. La desventaja de estos sistemas es que pueden ser utilizados tanto por personas autorizadas como por personas que buscan acceso no autorizado al sistema. 4. Sistemas de proteccin a la integridad de informacin: sistemas que mediante criptografa o sumas de verificacin tratan de asegurar que no ha habido alteraciones indeseadas en la informacin que se intenta proteger. Algunos ejemplos son los programas que implementan algoritmos como Message Digest (MD5) o Secure Hash Algorithm (SHA), o bien sistemas que utilizan varios de ellos como PGP, Tripwire y DozeCrypt. 5. Sistemas de proteccin a la privacidad de la informacin: herramientas que utilizan criptografa para asegurar que la informacin slo sea visible para quien tiene autorizacin. Su aplicacin se realiza principalmente en las comunicaciones entre dos entidades. Dentro de este tipo de herramientas se pueden citar a Pretty Good Privacy (PGP), Secure Sockets Layer (SSL) y los Certificados Digitales. Resumiendo, un modelo de seguridad debe estar formado por mltiples componentes o capas que pueden ser incorporadas de manera progresiva al modelo global de seguridad en la organizacin, logrando as el mtodo ms efectivo para disuadir el uso no autorizado de sistemas y servicios de red. Podemos considerar que estas capas son: 1. Poltica de seguridad de la organizacin. 2. Auditora. 3. Sistemas de seguridad a nivel de RouterFirewall. 4. Sistemas de deteccin de intrusos. 5. Plan de respuesta a incidentes. 6. Penetration Test. 3

2.6.1.2 Penetration test, ethical hacking, prueba de vulnerabilidad o ataques simulados. Ardita (2001) define lo siguiente: El Penetration Test es un conjunto de metodologas y tcnicas, para realizar una evaluacin integral de las debilidades de los sistemas informticos. Consiste en un modelo que reproduce intentos de acceso, a cualquier entorno informtico, de un intruso potencial desde los diferentes puntos de entrada que existan, tanto internos como remotos. El objetivo general del Penetration Test es acceder a los equipos informticos de l organizacin tratada e intentar obtener los privilegios del administrador del sistema, logrando as realizar cualquier tarea sobre dichos equipos. Tambin se podr definir otros objetivos secundarios que permitan realizar pruebas puntuales sobre algunos mbitos particulares de la empresa. Los ataques simulados se componen de dos grandes fases de testeo: Ataques Simulados Externos: el objetivo es acceder en forma remota a los equipos de la organizacin y posicionarse como administrador del sistema. Se realizan desde fuera del Firewall y consisten en penetrar la Zona Desmilitarizada para luego acceder a la red interna. Se compone de un elevado nmero de pruebas, entre las que se puede nombrar: Pruebas de usuarios y la fuerza de sus passwords. Captura de trfico. Deteccin de conexiones externas y sus rangos de direcciones. Deteccin de protocolos utilizados. Scanning de puertos TCP, UDP e ICMP. Intentos de acceso va accesos remotos, mdems, Internet, etc. Anlisis de la seguridad de las conexiones con proveedores, trabajadores remotos o entidades externas a la organizacin. Pruebas de vulnerabilidades existentes y conocidas en el momento de realizacin del Test. Prueba de ataques de Denegacin de Servicio. Ataques Simulados Internos: este tipo de testeo trata de demostrar cual es el nivel de seguridad interno. Se deber establecer que puede hacer un Insider y hasta donde ser capaz de penetrar en el sistema siendo un usuario con privilegios bajos. Este Test tambin se compone de numerosas pruebas: Anlisis de protocolos internos y sus vulnerabilidades. 1

Autenticacin de usuarios. Verificacin de permisos y recursos compartidos. Test de los servidores principales (WWW, DNS, FTP, SMTP, etc.). Test de vulnerabilidad sobre las aplicaciones propietarias. Nivel de deteccin de la intrusin de los sistemas. Anlisis de la seguridad de las estaciones de trabajo. Seguridad de la red. Verificacin de reglas de acceso. Ataques de Denegacin de Servicio 2.6.1.3 HoneypotsHoneynets. Estas Trampas de Red son sistemas que se activan con la finalidad especfica de que los expertos en seguridad puedan observar en secreto la actividad de los hackers/Crackers en su hbitat natural. Actualmente un equipo de Honeynet Project (http://project.honeynet.org) trabaja en el desarrollo de un documento sobre la investigacin y resultados de su trampa, la cual fue penetrada a la semana de ser activada (sin publicidad). Consiste en activar un servidor y llenarlo de archivos tentadores, hacer que sea difcil, pero no imposible penetrarlo y sentarse a esperar que aparezcan los intrusos. Los Honeynets dan a los crackers un gran espacio para recorrer. Presentan obstculos que poseen el nivel de complejidad suficiente para atraerlos, pero sin irse al extremo para no desalentarlos (...). Ellos juegan con los archivos y conversan animadamente entre ellos sobre todos los fascinantes programas que encuentran, mientras el personal de seguridad observa con deleite cada movimiento que hacen, dijo Dan Adams. Francamente, siento una combinacin de sentimientos con respecto a espiar a la gente, aunque no sean buenas personas. (Adams) Esta ltima frase se est presentando a menudo en el tema de la investigacin (y vigilancia) electrnica. Este es el caso del exdirector del proyecto Honeynet J. D. Glaser, quien renunci a su puesto despus de aclarar que est convencido que la vigilancia electrnica no es correcta, aunque se utilice en aras de la investigacin (...). Ampliar un Honeynet es parecido a entrampar los derechos de otros, aunque sean los derechos de un delincuente. Con respecto a algunos de los resultados obtenidos por el grupo de investigacin puede observarse el siguiente ejemplo: 3

A un intruso le tomo menos de un minuto irrumpir en la computadora de su universidad a travs de Internet, estuvo dentro menos de media hora y a los investigadores le tomo 34 horas descubrir todo lo que hizo. Se estima que esas 34 horas de limpieza pueden costar U$S2.000 a una organizacin y U$S22.000 si se debiera tratar con un consultor especializado. 2.6.2 Firewalls. Quizs uno de los elementos ms publicitados a la hora de establecer seguridad, sean estos elementos. Aunque deben ser uno de los sistemas a los que ms se debe prestar atencin, distan mucho de ser la solucin final a los problemas de seguridad. De hecho, los Firewalls no tienen nada que hacer contra tcnicas como la Ingeniera Social y el ataque de Insiders. Un Firewall es un sistema (o conjunto de ellos) ubicado entre dos redes y que ejerce la una poltica de seguridad establecida. Es el mecanismo encargado de proteger una red confiable de una que no lo es (por ejemplo Internet). Puede consistir en distintos dispositivos, tendientes a los siguientes objetivos: 1. Todo el trfico desde dentro hacia fuera, y viceversa, debe pasar a travs de l. 2. Slo el trfico autorizado, definido por la poltica local de seguridad, es permitido. Imagen 24

Firewall Como puede observarse, el Muro Firewall, slo sirven de defensa perimetral de las redes, no defienden de ataques o errores provenientes del interior, como tampoco puede ofrecer proteccin una vez que el intruso lo traspasa. 1

Algunos Firewalls aprovechan esta capacidad de que toda la informacin entrante y saliente debe pasar a travs de ellos para proveer servicios de seguridad adicionales como la encriptacin del trfico de la red. Se entiende que si dos Firewalls estn conectados, ambos deben hablar el mismo mtodo de encriptacin desencriptacin para entablar la comunicacin. 2.6.2.1 Routers y bridges. Cuando los paquetes de informacin viajan entre su destino y origen, va TCP/IP, estos pasan por diferentes Routers (enrutadores a nivel de Red). Los Routers son dispositivos electrnicos encargados de establecer comunicaciones externas y de convertir los protocolos utilizados en las LAN en protocolos de WAN y viceversa. En cambio, si se conectan dos redes del tipo LAN se utilizan Bridges, los cuales son puentes que operan a nivel de Enlace La evolucin tecnolgica les ha permitido transformarse en computadoras muy especializadas capaz de determinar, si el paquete tiene un destino externo y el camino ms corto y ms descongestionado hacia el Router de la red destino. En caso de que el paquete provenga de afuera, determina el destino en la red interna y lo deriva a la mquina correspondiente o devuelve el paquete a su origen en caso de que l no sea el destinatario del mismo. Los Routers toman decisiones en base a un conjunto de datos, regla, filtros y excepciones que le indican que rutas son las ms apropiadas para enviar los paquetes. 2.6.2.2 Tipos de firewall. 2.6.2.2.1 Filtrado de paquetes. Se utilizan Routers con filtros y reglas basadas en polticas de control de acceso. El Router es el encargado de filtrar los paquetes (un Choke) basados en cualquiera de los siguientes criterios: 1. Protocolos utilizados. 2. Direccin IP de origen y de destino. 3. Puerto TCPUDP de origen y de destino. Estos criterios permiten gran flexibilidad en el tratamiento del trfico. Restringiendo las comunicaciones entre dos computadoras (mediante las direcciones IP) se permite determinar entre cuales mquinas la comunicacin est permitida. El filtrado de paquetes mediante puertos y protocolos permite establecer que servicios estarn disponibles al usuario y por cuales puertos. Se puede permitir navegar en la WWW (puerto 80 abierto) pero no acceder a la transferencia de archivos va FTP (puerto 21 cerrado). 3

Debido a su funcionamiento y estructura basada en el filtrado de direcciones y puertos este tipo de Firewalls trabajan en los niveles de Transporte y de Red del Modelo OSI y estn conectados a ambos permetros (interior y exterior) de la red. Tienen la ventaja de ser econmicos, tienen un alto nivel de desempeo y son transparentes para los usuarios conectados a la red. Sin embargo presenta debilidades como: 1. No protege las capas superiores a nivel OSI. 2. Las necesidades aplicativas son difciles de traducir como filtros de protocolos y puertos. 3. No son capaces de esconder la topologa de redes privadas, por lo que exponen la red al mundo exterior. 4. Sus capacidades de auditora suelen ser limitadas, al igual que su capacidad de registro de actividades. 5. No soportan polticas de seguridad complejas como autentificacin de usuarios y control de accesos con horarios prefijados. 2.6.2.2.2 PROXYGateways de aplicaciones. Para evitar las debilidades asociadas al filtrado de paquetes, los desarrolladores crearon software de aplicacin encargados de filtrar las conexiones. Estas aplicaciones son conocidas como Servidores Proxy y la mquina donde se ejecuta recibe el nombre de Gateway de Aplicacin o Bastion Host. El Proxy, instalado sobre el Nodo Bastin, acta de intermediario entre el cliente y el servidor real de la aplicacin, siendo transparente a ambas partes. Cuando un usuario desea un servicio, lo hace a travs del Proxy. Este, realiza el pedido al servidor real devuelve los resultados al cliente. Su funcin fue la de analizar el trfico de red en busca de contenido que viole la seguridad de la misma.

Grficamente: Imagen 25

Bastin Host 2.6.2.2.3 DUALHOMED HOST. Son dispositivos que estn conectados a ambos permetros (interior y exterior) y no dejan pasar paquetes IP (como sucede en el caso del Filtrado de Paquetes), por lo que se dice que actan con el IPForwarding desactivado. Un usuario interior que desee hacer uso de un servicio exterior, deber conectarse primero al Firewall, donde el Proxy atender su peticin, y en funcin de la configuracin impuesta en dicho Firewall, se conectar al servicio exterior solicitado y har de puente entre este y el usuario interior. Es decir que se utilizan dos conexiones. Uno desde la mquina interior hasta el Firewall y el otro desde este hasta la mquina que albergue el servicio exterior. Imagen 26

DualHomed Host 2.6.2.2.4 Screened host. En este caso se combina un Router con un host bastin y el principal nivel de seguridad proviene del filtrado de paquetes. En el bastin, el nico 1

sistema accesible desde el exterior, se ejecuta el Proxy de aplicaciones y en el Choke se filtran los paquetes considerados peligrosos y slo se permiten un nmero reducido de servicios. Imagen 27

Screened Host 2.6.2.2.5 Screened subnet. En este diseo se intenta aislar la mquina ms atacada y vulnerable del Firewall, el Nodo Bastin. Para ello se establece una Zona Desmilitarizada (DMZ) de forma tal que sin un intruso accede a esta mquina no consiga el acceso total a la subred protegida. En este esquema se utilizan dos Routers: uno exterior y otro interior. El Router exterior tiene la misin de bloquear el trfico no deseado en ambos sentidos: hacia la red interna y hacia la red externa. El Router interior hace lo mismo con la red interna y la DMZ (zona entre el Router externo y el interno). Es posible definir varios niveles de DMZ agregando ms Routers, pero destacando que las reglas aplicadas a cada uno deben ser distintas ya que en caso contrario los niveles se simplificaran a uno solo.

Imagen 28

Screened Hosted Como puede apreciarse la Zona Desmilitarizada aisla fisicamente los servicios internos, separadolos de los servicios pblicos. Adems, no existe una conexin directa entre la red interna y la externa. Los sistemas DualHomed Host y Screnned pueden ser complicados de configurar y comprobar, lo que puede dar lugar, paradjicamente, a importantes agujeros de seguridad en toda la red. En cambio, si se encuentran bien configurados y administrados pueden brindar un alto grado de proteccin y ciertas ventajas: 1. Ocultamiento de la informacin: los sistemas externos no deben conocer el nombre de los sistemas internos. El Gateway de aplicaciones es el nico autorizado a conectarse con el exterior y el encargado de bloquear la informacin no solicitada o sospechosa. 2. Registro de actividades y autenticacin robusta: El Gateway requiere de autenticacin cuando se realiza un pedido de datos externos. El registro de actividades se realiza en base a estas solicitudes. 3. Reglas de filtrado menos complejas: Las reglas del filtrado de los paquetes por parte del Router sern menos compleja dado a que l slo debe atender las solicitudes del Gateway. As mismo tiene la desventaja de ser intrusivos y no transparentes para el usuario ya que generalmente este debe instalar algn tipo de aplicacin especializada para lograr la comunicacin. Se suma a esto que generalmente son ms lentos porque deben revisar todo el trfico de la red. 2.6.2.2.6 Inspeccin de paquetes. Este tipo de Firewalls se basa en el principio de que cada paquete que circula por la red es inspeccionado, as como tambin su procedencia y destino. Se aplican desde la capa de Red hasta la de Aplicaciones. 1

Generalmente son instalados cuando se requiere seguridad sensible al contexto y en aplicaciones muy complejas. 2.6.2.2.7 Firewalls personales. Estos Firewalls son aplicaciones disponibles para usuarios finales que desean conectarse a una red externa insegura y mantener su computadora a salvo de ataques que puedan ocasionarle desde un simple cuelgue o infeccin de virus hasta la prdida de toda su informacin almacenada. 2.6.2.3 Polticas de diseo de firewalls. Las polticas de accesos en un Firewalls se deben disear poniendo principal atencin en sus limitaciones y capacidades pero tambin pensando en las amenazas y vulnerabilidades presentes en una red externa insegura. Conocer los puntos a proteger es el primer paso a la hora de establecer normas de seguridad. Tambin es importante definir los usuarios contra los que se debe proteger cada recurso, ya que las medidas diferirn notablemente en funcin de esos usuarios. Generalmente se plantean algunas preguntas fundamentales que debe responder cualquier poltica de seguridad: Qu se debe proteger? Se deberan proteger todos los elementos de la red interna (hardware, software, datos, etc.). De quin protegerse? De cualquier intento de acceso no autorizado desde el exterior y contra ciertos ataques desde el interior que puedan preverse y prevenir. Sin embargo, podemos definir niveles de confianza, permitiendo selectivamente el acceso de determinados usuarios externos a determinados servicios o denegando cualquier tipo de acceso a otros. Cmo protegerse?. Esta es la pregunta ms difcil y est orientada a establecer el nivel de monitorizacin, control y respuesta deseado en la organizacin. Puede optarse por alguno de los siguientes paradigmas o estrategias: a. Paradigmas de seguridad Se permite cualquier expresamente prohibidos. servicio excepto aquellos

Se prohbe cualquier servicio excepto aquellos expresamente permitidos. La ms recomendada y utilizada aunque algunas veces suele acarrear problemas por usuarios descontentos que no pueden acceder a tal cual servicio. b. Estrategias de seguridad 2

Paranoica: se controla todo, no se permite nada. Prudente: se controla y se conoce todo lo que sucede. Permisiva: se controla pero se permite demasiado. Promiscua: no se controla (o se hace poco) y se permite todo. Cunto costar? Estimando en funcin de lo que se desea proteger se debe decidir cuanto es conveniente invertir. 2.6.2.4 Restricciones en el firewall. La parte ms importante de las tareas que realizan los Firewalls, la de permitir o denegar determinados servicios, se hacen en funcin de los distintos usuarios y su ubicacin: 1. Usuarios internos con permiso de salida para servicios restringidos: permite especificar una serie de redes y direcciones a los que denomina Trusted (validados). Estos usuarios, cuando provengan del interior, van a poder acceder a determinados servicios externos que se han definido. 2. Usuarios externos con permiso de entrada desde el exterior: este es el caso ms sensible a la hora de vigilarse. Suele tratarse de usuarios externos que por algn motivo deben acceder para consultar servicios de la red interna. Tambin es habitual utilizar estos accesos por parte de terceros para prestar servicios al permetro interior de la red. Sera conveniente que estas cuentas sean activadas y desactivadas bajo demanda y nicamente el tiempo que sean necesarias. 2.6.2.5 Beneficios de un firewall. Los Firewalls manejan el acceso entre dos redes, y si no existiera, todas las computadoras de la red estaran expuestas a ataques desde el exterior. Esto significa que la seguridad de toda la red, estara dependiendo de que tan fcil fuera violar la seguridad local de cada maquina interna. El Firewall es el punto ideal para monitorear la seguridad de la red y generar alarmas de intentos de ataque, el administrador ser el responsable de la revisin de estos monitoreos. Otra causa que ha hecho que el uso de Firewalls se halla convertido en uso casi imperativo es el hecho que en los ltimos aos en Internet han entrado en crisis el nmero disponible de direcciones IP, esto ha hecho que las intranets adopten direcciones sin clase, las cuales salen a Internet por medio de un traductor de direcciones, el cual puede alojarse en el Firewall. Los Firewalls tambin son importantes desde el punto de vista de llevar las estadsticas del ancho de banda consumido por el trfico de la red, y que procesos han influido ms en ese trafico, de esta manera el administrador de la red puede restringir el uso de estos procesos y economizar o aprovechar mejor el ancho de banda disponible. 2

Los Firewalls tambin tienen otros usos. Por ejemplo, se pueden usar para dividir partes de un sitio que tienen distintas necesidades de seguridad o para albergar los servicios WWW y FTP brindados. 2.6.2.6 Limitaciones de un firewall. La limitacin ms grande que tiene un Firewall sencillamente es el hueco que no se tapa y que coincidentemente o no, es descubierto por un intruso. Los Firewalls no son sistemas inteligentes, ellos actan de acuerdo a parmetros introducidos por su diseador, por ende si un paquete de informacin no se encuentra dentro de estos parmetros como una amenaza de peligro simplemente lo deja pasar. Ms peligroso an es que ese intruso deje Back Doors, abriendo un hueco diferente y borre las pruebas o indicios del ataque original. Otra limitacin es que el Firewall NO es contra humanos, es decir que si un intruso logra entrar a la organizacin y descubrir passwords o los huecos del Firewall y difunde esta informacin, el Firewall no se dar cuenta. El Firewall tampoco provee de herramientas contra la filtracin de software o archivos infectados con virus, aunque es posible dotar a la mquina, donde se aloja el Firewall, de antivirus apropiados. Finalmente, un Firewall es vulnerable, l NO protege de la gente que est dentro de la red interna. El Firewall trabaja mejor si se complementa con una defensa interna. Como moraleja: cuanto mayor sea el trfico de entrada y salida permitido por el Firewall, menor ser la resistencia contra los paquetes externos. El nico Firewall seguro (100%) es aquel que se mantiene apagado (Hernandez, 2000) 2.6.3 Access Control List (ACL). Las Listas de Control de Accesos proveen de un nivel de seguridad adicional a los clsicos provistos por los Sistemas Operativos. Estas listas permiten definir permisos a usuarios y grupos concretos. Por ejemplo pueden definirse sobre un Proxy una lista de todos los usuarios (o grupos de ellos) a quien se le permite el acceso a Internet, FTP, etc. Tambin podrn definirse otras caractersticas como limitaciones de anchos de banda y horarios. 2.6.4 WRAPPERS. Un Wrapper es un programa que controla el acceso a un segundo programa. El Wrapper literalmente cubre la identidad de este segundo programa, obteniendo con esto un ms alto nivel de seguridad. Los Wrappers son usados dentro de la seguridad en sistemas UNIXs. Estos programas nacieron por la necesidad de modificar el comportamiento del sistema operativo sin tener que modificar su funcionamiento. Los Wrappers son ampliamente utilizados, y han llegado a formar parte de herramientas de seguridad por las siguientes razones: 3

Debido a que la seguridad lgica esta concentrada en un solo programa, los Wrappers son fciles y simples de validar. Debido a que el programa protegido se mantiene como una entidad separada, ste puede ser actualizado sin necesidad de cambiar el Wrapper. Debido a que los Wrappers llaman al programa protegido mediante llamadas estndar al sistema, se puede usar un solo Wrapper para controlar el acceso a diversos programas que se necesiten proteger. Permite un control de accesos exhaustivo de los servicios de comunicaciones, adems de buena capacidad de Logs y auditorias de peticiones a dichos servicios, ya sean autorizados o no. El paquete Wrapper ms ampliamente utilizado es el TCPWrappers, el cual es u conjunto de utilidades de distribucin libre, escrito por Wietse Venema (coautor de SATAN, con Dan Farmer, y considerado el padre de los sistemas Firewalls) en 1990. Consiste en un programa que es ejecutado cuando llega una peticin a un puerto especfico. Este, una vez comprobada la direccin de origen de la peticin, la verifica contra las reglas almacenadas, y en funcin de ellas, decide o no dar paso al servicio. Adicionalmente, registra estas actividades del sistema, su peticin y su resolucin. Algunas configuraciones avanzadas de este paquete, permiten tambin ejecutar comandos en el propio sistema operativo, en funcin de la resolucin de la peticin. Por ejemplo, es posible que interese detectar una posible mquina atacante, en el caso de un intento de conexin, para tener ms datos a la hora de una posible investigacin. Este tipo de comportamiento raya en la estrategia paranoica, ya vista cuando se defini la poltica de seguridad del firewall. Con lo mencionado hasta aqu, puede pensarse que los Wrappers son Firewall ya que muchos de los servicios brindados son los mismos o causan los mismos efectos: usando Wrappers, se puede controlar el acceso a cada mquina y los servicios accedidos. As, estos controles son el complemento perfecto de un Firewall y la instalacin de uno no est supeditada a la del otro. 2.6.5 Deteccin de intrusos en tiempo real. La seguridad se tiene que tratar en conjunto. Este viejo criterio es el que recuerda que los sistemas de proteccin hasta aqu abordados, si bien son eficaces, distan mucho de ser la proteccin ideal. As, debe estar fuera de toda discusin la conveniencia de aadir elementos que controlen lo que ocurre dentro de la red (detrs de los Firewalls). 3

Como se ha visto, la integridad de un sistema se puede corromper de varias formas y la forma de evitar esto es con la instalacin de sistemas de Deteccin de Intrusos en Tiempo Real, quienes: Inspeccionan el trfico de la red buscando posibles ataques. Controlan el registro de los servidores para detectar acciones sospechosas (tanto de intrusos como de usuarios autorizados). Mantienen una base de datos con el estado exacto de cada uno de los archivos (Integrity Check) del sistema para detectar la modificacin de los mismos. Controlan el ingreso de cada nuevo archivo al sistema para detectar Caballos de Troya o semejantes. Controlan el ncleo del Sistema Operativo para detectar posibles infiltraciones en l, con el fin de controlar los recursos y acciones del mismo. Avisan al administrador de cualquiera de las acciones mencionadas. Cada una de estas herramientas permite mantener alejados a la gran mayora de los intrusos normales. Algunos pocos, con suficientes conocimientos, experiencia y paciencia sern capaces de utilizar mtodos sofisticados (u originales) como para voltear el permetro de seguridad (interna + externa) y sern estos los casos que deban estudiarse para integrar a la poltica de seguridad existente mayor conocimiento y con l mayor seguridad. 2.6.5.1 Intrusion Detection Systems (IDS). Un sistema de deteccin de intrusos es un componente ms dentro del modelo de seguridad de una organizacin. Consiste en detectar actividades inapropiadas, incorrectas o anmalas desde el exteriorinterior de un sistema informtico. Los sistemas de deteccin de intrusos pueden clasificarse, segn su funcin y comportamiento en: HostBased IDS: operan en un host para detectar actividad maliciosa en el mismo. NetworkBased IDS: operan sobre los flujos de informacin intercambiados en una red. KnowledgeBased IDS: sistemas basados en Conocimiento. BehaviorBased IDS: sistemas basados en Comportamiento. Se asume que una intrusin puede ser detectada observando una desviacin respecto del comportamiento normal o esperado de un usuario en el sistema. 3

La idea central de este tipo de deteccin es el hecho de que la actividad intrusiva es un conjunto de actividades anmalas. Si alguien consigue entrar de forma ilegal al sistema, no actuar como un usuario comprometido; su comportamiento se alejar del de un usuario normal. Sin embargo en la mayora de las ocasiones una actividad intrusiva resulta del agregado de otras actividades individuales que por s solas no constituyen un comportamiento intrusivo de ningn tipo. As las intrusiones pueden clasificarse en: Intrusivas pero no anmalas: denominados Falsos Negativos (el sistema errneamente indica ausencia de intrusin). En este caso la actividad es intrusita pero como no es anmala no es detectada. No son deseables, porque dan una falsa sensacin de seguridad del sistema. No intrusivas pero anmalas: denominados Falsos Positivos (el sistema errneamente indica la existencia de intrusin). En este caso la actividad es no intrusiva, pero como es anmala el sistema decide que es intrusiva. Deben intentar minimizarse, ya que en caso contrario se ignorarn los avisos del sistema, incluso cuando sean acertados. No intrusiva ni anmala: son Negativos Verdaderos, la actividad es no intrusiva y se indica como tal. Intrusiva y anmala: se denominan Positivos Verdaderos, la actividad es intrusita y es detectada. Los detectores de intrusiones anmalas requieren mucho gasto computacional, ya que se siguen normalmente varias mtricas para determinar cunto se aleja el usuario de lo que se considera comportamiento normal. 2.6.5.1.1 Caractersticas de IDS Cualquier sistema de deteccin de intrusos debera, sea cual sea el mecanismo en que est basado, debera contar con las siguientes caractersticas: Debe funcionar continuamente sin supervisin humana. El sistema debe ser lo suficientemente fiable para poder ser ejecutado en background dentro del equipo que est siendo observado. Sin embargo, no debe ser una caja negra (debe ser examinable desde el exterior). Debe ser tolerante a fallos en el sentido de que debe ser capaz de sobrevivir a una cada del sistema. En relacin con el punto anterior, debe ser resistente a perturbaciones. El sistema puede monitorizarse a s mismo para asegurarse de que no ha sido perturbado. Debe imponer mnima sobrecarga sobre el sistema. Un sistema que relentiza la mquina, simplemente no ser utilizado. 3

Debe observar desviaciones sobre el comportamiento estndar. Debe ser fcilmente adaptable al sistema ya instalado. Cada sistema tiene un patrn de funcionamiento diferente y el mecanismo de defensa debe adaptarse de manera sencilla a esos patrones. Debe hacer frente a los cambios de comportamiento del sistema segn se aaden nuevas aplicaciones al mismo. Debe ser difcil de engaar. 2.6.5.1.2 Fortalezas de IDS. Suministra informacin muy interesante sobre el trfico malicioso de la red. Poder de reaccin para prevenir el dao. Es una herramienta til como arma de seguridad de la red. Ayuda a identificar de dnde provienen los ataques que se sufren. Recoge evidencias que pueden ser usadas para identificar intrusos. Es una cmara de seguridad y una alarma contra ladrones. Funciona como disuasor de intrusos. Alerta al personal de seguridad de que alguien est tratando de entrar. Protege contra la invasin de la red. Suministra cierta tranquilidad. Es una parte de la infraestructura para la estrategia global de defensa. La posibilidad de detectar intrusiones desconocidas e imprevistas. Pueden incluso contribuir (parcialmente) al descubrimiento automtico de esos nuevos ataques. Son menos dependientes de los mecanismos especficos de cada sistema operativo. Pueden ayudar a detectar ataques del tipo abuso de privilegios que no implica realmente ninguna vulnerabilidad de seguridad. En pocas palabras, se trata de una aproximacin a la paranoia: todo aquello que no se ha visto previamente es peligroso. Menor costo de implementacin y mantenimiento al ubicarse en puntos estratgicos de la red. Dificulta el trabajo del intruso de eliminar sus huellas. 3

2.6.5.1.3 Debilidades de IDS. No existe un parche para la mayora de bugs de seguridad. Se producen falsas alarmas. Se producen fallos en las alarmas. No es sustituto para un buen Firewall, una auditora de seguridad regular y una fuerte y estricta poltica de seguridad. 2.6.5.1.4 Inconvenientes de IDS. La alta tasa de falsas alarmas dado que no es posible cubrir todo el mbito del comportamiento de un sistema de informacin durante la fase de aprendizaje. El comportamiento puede cambiar con el tiempo, haciendo necesario un re entrenamiento peridico del perfil, lo que da lugar a la no disponibilidad del sistema o la generacin de falsas alarmas adicionales. El sistema puede sufrir ataques durante la fase de aprendizaje, con lo que el perfil de comportamiento contendr un comportamiento intrusivo el cual no ser considerado anmalo. 2.6.6 Call back. Este procedimiento es utilizado para verificar la autenticidad de una llamada va mdem. El usuario llama, se autentifica contra el sistema, se desconecta y luego el servidor se conecta al nmero que en teora pertenece al usuario. La ventaja reside en que si un intruso desea hacerse pasar por el usuario, la llamada se devolver al usuario legal y no al del intruso, siendo este desconectado. Como precaucin adicional, el usuario deber verificar que la llamadaretorno proceda del nmero a donde llam previamente. 2.6.7 Sistemas anti-sniffers. Esta tcnica consiste en detectar Sniffers en el sistema. Generalmente estos programas se basan en verificar el estado de la placa de red, para detectar el modo en el cual est actuando (recordar que un Sniffer la coloca en Modo Promiscuo), y el trfico de datos en ella. 2.6.8 Gestin de claves seguras. Como ya se vio anteriormente, si se utiliza una clave de 8 caracteres de longitud, con los 96 caracteres posibles, puede tardarse 2.288 aos en descifrarla (analizando 100.000 palabras por segundo). Esto se obtiene a partir de las 968 (7.213.895.789.838.340) claves posibles de generar con esos caracteres. 3

Partiendo de la premisa en que no se disponen de esa cantidad de aos para analizarlas por fuerza bruta, se deber comenzar a probar con las claves ms posibles, comnmente llamadas Claves Dbiles. Segn demuestra el anlisis de +NetBuL64 realizado sobre 2.134 cuentas y probando 227.000 palabras por segundo: Con un diccionario 2.030 palabras (el original de John de Ripper 1.04), se obtuvieron 36 cuentas en solo 19 segundos (1,77%). Con un diccionario de 250.000 palabras, se obtuvieron 64 cuentas en 36:18 minutos (3,15%). Otro estudio muestra el resultado obtenido al aplicar un ataque, mediante un diccionario de 62.727 palabras, a 13.794 cuentas: En un ao se obtuvieron 3.340 contraseas (24,22%). En la primera semana se descubrieron 3.000 claves (21,74%). En los primeros 15 minutos se descubrieron 368 palabras claves (2,66%). Segn los grandes nmeros vistos, sera vlido afirmar que: es imposible encontrar 36 cuentas en 19 segundos! Tambin debe observarse, en el segundo estudio, que el porcentaje de hallazgos casi no vara entre un ao y una semana. Tal vez, esto sucedi porque existan claves nulas; que corresponde al nombre del usuario; a secuencias alfabticas tipo abcd; a secuencias numricas tipo 1234; a secuencias observadas en el teclado tipo qwer; a palabras que existen en un diccionario del lenguaje del usuario?. S, estas claves (las ms dbiles) son las primeras en ser analizadas y los tiempos obtenidos confirman la hiptesis. Este simple estudio confirma nuestra mala eleccin de contraseas, y el riesgo se incrementa si el atacante conoce algo sobre la vctima (Ingeniera Social) ya que podr probar palabras relacionadas a su persona o diccionarios orientados. 2.6.8.1 Normas de eleccin de claves. Se debe tener en cuenta los siguientes consejos: 1. No utilizar contraseas que sean palabras (aunque sean extranjeras), o nombres (el del usuario, personajes de ficcin, miembros de la familia, mascotas, marcas, ciudades, lugares, u otro relacionado). 2. No usar contraseas completamente numricas con algn significado (telfono, D.N.I., fecha de nacimiento, patente del automvil, etc.). 3

3. Elegir una contrasea que mezcle caracteres alfabticos (maysculas y minsculas) y numricos. 4. Deben ser largas, de 8 caracteres o ms. 5. Tener contraseas diferentes en mquinas diferentes. Es posible usar una contrasea base y ciertas variaciones lgicas de la misma para distintas mquinas. 6. Deben ser fciles de recordar para no verse obligado a escribirlas. Algunos ejemplos son: Combinar palabras cortas con algn nmero o carcter de puntuacin: soy2_yo3 Usar un acrnimo de alguna frase fcil de recordar: A ro Revuelto Ganancia de Pescadores ArRGdP Aadir un nmero al acrnimo para mayor seguridad: A9r7R5G3d1P Mejor incluso si la frase no es conocida: Hasta Ahora no he Olvidado mi Contrasea aHoelIo Elegir una palabra sin sentido, aunque pronunciable: taChunda72, AtajulH, Wen2Mar Realizar reemplazos de letras por signos o nmeros: En Seguridad Ms Vale Prevenir que Curar 35M\ /Pq< 2.6.8.2 Normas para proteger una clave. La proteccin de la contrasea recae tanto sobre el administrador del sistema como sobre el usuario. Al comprometer una cuenta se puede estar comprometiendo todo el sistema. La siguiente frase difundida en UseNet resume algunas de las reglas bsicas de uso de la contrasea: Un password debe ser como un cepillo de dientes. salo cada da; cmbialo regularmente; y NO lo compartas con tus amigos. Algunos consejos a seguir: 1. No permitir ninguna cuenta sin contrasea. Si se es administrador del sistema, repasar este hecho peridicamente. 2. No mantener las contraseas por defecto del sistema. Por ejemplo, cambiar las cuentas de Root, System, Test, Demo, Guest, etc. 3. Nunca compartir con nadie la contrasea. Si se hace, cambiarla inmediatamente.

4. No escribir la contrasea en ningn sitio. Si se escribe, no debe identificarse como tal y no debe identificarse al propietario en el mismo lugar. 5. No teclear la contrasea si hay alguien mirando. Es una norma tcita de buen usuario no mirar el teclado mientras alguien teclea su contrasea. 6. No enviar la contrasea por correo electrnico ni mencionarla en una conversacin. Si se debe mencionar no hacerlo explcitamente diciendo: mi clave es.... 7. No mantener una contrasea indefinidamente. Cambiarla regularmente. Disponer de una lista de contraseas que puedan usarse cclicamente (por lo menos 5). Muchos sistemas incorporan ya algunas medidas de gestin y proteccin de las contraseas. Entre ellas podemos citar las siguientes: 1. Nmero de intentos limitado. Tras un nmero de intentos fallidos, pueden tomarse distintas medidas: Obligar a reescribir el nombre de usuario (lo ms comn). Bloquear el acceso durante un tiempo. Enviar un mensaje al administrador y/o mantener un registro especial. 2. Longitud mnima. Las contraseas deben tener un nmero mnimo de caracteres (se recomienda 7 u 8 como mnimo). 3. Restricciones de formato. Las contraseas deben combinar un mnimo de letras y nmeros, no pueden contener el nombre del usuario ni ser un blanco. 4. Envejecimiento y expiracin de contraseas. Cada cierto tiempo se forrza a cambiar la contrasea. Se obliga a no repetir cierta cantidad de las anteriores. Se mantiene un periodo forzoso entre cambios, para evitar que se vuelva a cambiar inmediatamente y se repita la anterior. 5. Ataque preventivo. Muchos administradores utilizan crackeadores para intentar atacar las contraseas de su propio sistema en busca de debilidades. 2.6.8.3 Contraseas de un solo uso. Las contraseas de un solo uso (OneTime Passwords) son uno de los mecanismos de autentificacin ms seguros, debido a que su descubrimiento tan solo permite acceder al sistema una vez. Adems, en muchas ocasiones se suelen utilizar dispositivos hardware para su generacin, lo que las hace mucho ms difciles de descubrir. 1

Ejemplos de este tipo de contraseas serian las basadas en funciones unidireccionales (sencillas de evaluar en un sentido pero imposible o muy costoso de evaluar en sentido contrario) y en listas de contraseas. Se distinguen tres tipos de contraseas de un solo uso: 1. Las que requieren algn dispositivo hardware para su generacin, tales como calculadoras especiales o tarjetas inteligentes (Token Cards). 2. Las que requieren algn tipo de software de cifrado especial. 3. Las que se basan en una lista de contraseas sobre papel. La tarjeta genera peridicamente valores mediante a una funcin secreta y unidireccional, basada en el tiempo y en el nmero de identificacin de la misma. El usuario combina el nmero generado por la tarjeta con su palabra de paso para obtener el password de entrada, lo que le protege en caso de robo o perdida. 2.6.9 Seguridad en protoclos y servicios. Se ha visto en captulos anteriores la variedad de protocolos de comunicaciones existentes, sus objetivos y su funcionamiento. Como puede preverse todos estos protocolos tienen su debilidad ya sea en su implementacin o en su uso. A continuacin se describen los problemas de seguridad ms comunes y sus formas de prevencin. Nuevamente no se vern los detalles sobre el funcionamiento de cada uno de ellos, simplemente se ofrecern las potenciales puertas de entrada como fuentes de ataques que ni siquiera tienen por qu proporcionar acceso a la mquina (como las DoS por ejemplo). De esta forma, si cada servicio ofrecido es un posible problema para la seguridad, parece claro que lo ideal sera no ofrecer ninguno, poseer una mquina completamente aislada del resto; evidentemente, hoy en da no es posible en la mayor parte de los sistemas. Por lo tanto, ya que es necesaria la conectividad entre equipos, se ha de ofrecer los mnimos servicios necesarios para que todo funcione correctamente; esto choca frontalmente con las polticas de la mayora de fabricantes y empresas, que por defecto mantienen la mayora de servicios abiertos al instalar un equipo nuevo: es responsabilidad del administrador preocuparse de cerrar los que no sean estrictamente necesarios. 2.6.9.1 NETBIOS. Estos puertos (137139 en TCP y UDP) son empleado en las redes Microsoft para la autentificacin de usuarios y la comparticin de recursos. Como primera medida debe minimizarse la cantidad de recursos compartidos y 1

luego debe evitarse permitir el acceso global a esos dispositivos, ya que es posible el acceso de intrusos desde cualquier lugar externo a la red. 2.6.9.2 ICMP. A fin de prevenir los ataques basados en bombas ICMP, se deben filtrar todos los paquetes de redireccin y los paquetes inalcanzables. 2.6.9.3 FINGER. Tpicamente el servicio Finger (puerto 79 en TCP) ha sido una de las principales fuentes de problemas. Este protocolo proporciona informacin detallada de los usuarios de una estacin de trabajo, estn o no conectados en el momento de acceder al servicio. La informacin suministrada suele ser de mucha utilidad para un atacante: datos del usuario, hbitos de conexin, cuentas inactivas. Est claro que esto es fcilmente aprovechable por un intruso para practicar ingeniera social contra esos usuarios. Es bsico deshabilitar este servicio, restringir su acceso a unos cuantos equipos de la red local o utilizar versiones de Finger que permiten especificar la informacin que se muestra al acceder al servicio. 2.5.9.4 POP. El servicio POP (puertos 109 y 110 en TCP) utilizado para que los usuarios puedan acceder a su correo sin necesidad de montar un sistemas de archivos compartidos. Se trata de un servicio que se podra considerar peligroso, por lo que (como el resto, pero este especialmente) debemos deshabilitarlo a no ser que sea estrictamente necesario ofrecerlo; en ese caso debemos restringir al mximo los lugares y usuario desde los que se puede acceder. Mediante POP se genera un trnsito peligroso de contraseas a travs de la red. Se ofrece tres modelos distintos de autenticacin: uno basado en Kerberos, apenas utilizado, otro basado en un protocolo desaforespuesta, y el otro basado en un simple nombre de usuario con su password correspondiente. Este ltimo, el ms usado en todo tipo de entornos, es un excelente objetivo para un intruso con un Sniffer. Los usuarios suelen configurar sus clientes para que chequeen el buzn de correo cada pocos minutos, con lo que a intervalos muy cortos envan su clave a un puerto conocido de una mquina conocida; al realizar toda esta comunicacin en texto claro, un atacante no tiene ms que interceptar la sesin POP para averiguar nombres de usuario y claves (a parte de poder leer el correo). 2.6.9.5 NNTP.

El servicio NNTP (puerto 119 en TCP) se utilizado para intercambiar mensajes de grupos de noticias entre servidores de News. Los diferentes demonios encargados de esta tarea suelen discriminar conexiones en funcin de la direccin o el nombre de la mquina cliente para decidir si ofrece el servicio a un determinado host, y si es as, concretar de qu forma puede acceder a l (slo lectura, slo ciertos grupos, etc.). De esta forma, los servidores NNTP son muy vulnerables a cualquier ataque que permita falsear la identidad de la mquina origen, como el IP Spoofing. Los problemas relacionados con las News no suelen ser excesivamente graves desde un punto de vista estrictamente tcnico, pero en ocasiones s que lo son aplicando una visin global. Por ejemplo, habra que evaluar el dao que le supone a la imagen de la organizacin el que un atacante enve mensajes insultantes o pornogrficos utilizando el nombre o los recursos de la misma. Realmente, es muy poco probable que se necesite ofrecer este servicio, por lo que lo ms razonable es deshabilitarlo. Generalmente slo existen servidores de noticias en grandes organizaciones, y si se debe administrar equipo con este servicio la mejor forma de protegerlo es utilizando un buen firewall. 2.6.9.6 NTP. NTP (puerto 123 en UDP y TCP) es un protocolo utilizado para sincronizar relojes de mquinas de una forma muy precisa; a pesar de su sofisticacin no fue diseado con una idea de robustez ante ataques, por lo que puede convertirse en una gran fuente de problemas si no est correctamente configurado. Son muchos los problemas de seguridad relacionados con un tiempo correcto; el ms simple y obvio es la poca fiabilidad que ofrecer el sistema de Log a la hora de determinar cundo sucedi determinado evento. Otro problema inherente a NTP se refiere a la planificacin de tareas: si el reloj tiene problemas, es posible que ciertas tareas no se lleguen a ejecutar, que se ejecuten varias veces, o que se ejecuten cuando no han de hacerlo; esto es especialmente peligroso para tareas de las que depende la seguridad (como los backups). No obstante, muy pocos sistemas necesitan la precisin de NTP, por lo que es habitual tener este servicio deshabilitado. En la mayora de ocasiones el propio reloj de la mquina, o un protocolo mucho ms simple (como Time), es ms que suficiente para sincronizar equipos. 2.6.9.7 TFTP. TFTP es un protocolo de transferencia de archivos (puerto 69 basado en UDP) que no proporciona ninguna seguridad. Por tanto en la mayora de sistemas es deseable (obligatorio) que este servicio est desactivado. Al utilizar 1

este servicio en ningn momento se solicita un nombre de usuario o una clave, lo que da una idea de los graves problemas de seguridad que ofrece este servicio. Gracias a este protocolo se han implementado algunas de las ltimas vulnerabilidades del Internet Information Server. 2.6.9.8 FTP. Un problema bsico y grave de FTP (puerto 21 en TCP) es que ha sido diseado para ofrecer la mxima velocidad en la conexin, pero no para ofrecer la seguridad; todo el intercambio de informacin, desde el Login y password del usuario en el servidor hasta la transferencia de cualquier archivo, se realiza en texto claro, con lo que un atacante no tiene ms que capturar todo ese trfico y conseguir as un acceso vlido al servidor. Incluso puede ser una amenaza a la privacidad de los datos el hecho de que ese atacante tambin pueda capturar y reproducir (y modificar) los archivos transferidos. Para solucionar este problema es conveniente dar acceso FTP a pocos usuarios bien identificados y que necesiten utilizarlo, concientizndolos de la utilidad de aplicaciones que cifren todo el trfico de informacin (como SSH por ejemplo). 2.6.9.8.1 FTP ANNIMO. El servicio FTP se vuelve especialmente preocupante cuando se trata de configurar un servidor de FTP annimo; muchos de estas mquinas situadas en universidades y empresas se convierten en servidores de imgenes pornogrficas, de Warez (copias ilegales de programas comerciales), etc. Conseguir un servidor de FTP annimo seguro puede llegar a ser una tarea complicada. El usuario Annimo debe conectar a un entorno restringido del sistema y slo a ese. 2.6.9.8.2 FTP invitado. El otro tipo de acceso FTP es el denominado invitado (guest). La idea de este mecanismo es muy sencilla: se trata de permitir que cada usuario conecte a la mquina mediante su login y su contrasea, pero evitando que tenga acceso a partes del sistema de archivos que no necesita para realizar su trabajo; se conectar a un entorno restringido de forma similar a lo que sucede en los accesos annimos. Para poder crear fcilmente entornos FTP restringidos a cada usuario, es conveniente instalar programas para este fin en la mquina servidor. Estos servidores permiten crear usuarios invitados configurando el entorno al que van a conectarse los usuarios, su estructura de directoriosarchivos y sus permisos a los recursos. 2.6.9.9 TELNET.

El protocolo TELNET (TCP, puerto 23) permite utilizar una mquina como Terminal virtual de otra a travs de la red, de forma que se crea un canal virtual de comunicaciones similar (pero mucho ms inseguro) a utilizar una terminal fsicamente conectada a un servidor. TELNET es el clsico servicio que hasta hace unos aos no se sola deshabilitar nunca: lo ms normal es que este servicio est disponible para que los usuarios puedan trabajar remotamente, al menos desde un conjunto de mquinas determinado. Evidentemente, reducir al mnimo imprescindible el conjunto de sistemas desde donde es posible la conexin es una primera medida de seguridad; no obstante, no suele ser suficiente. TELNET no utiliza ningn tipo de cifrado, por lo que todo el trfico entre equipos se realiza en texto claro. Cualquier intruso con un Sniffer puede capturar el Login y el password utilizados en una conexin otorgando a cualquiera que lea esos datos un acceso total a la mquina destino. Es muy recomendable no utilizar TELNET para conexiones remotas, sino sustituirlo por aplicaciones equivalentes pero que utilizan cifrado para la transmisin de datos (SSH o SSLTelnet por ejemplo). 2.6.9.10 SMTP. La mala configuracin del servicio SMTP (puerto 25 en TCP) utilizado para transferir correo electrnico entre equipos remotos; suele ser causante del Mail Bombing y el Spam redirigido. Por lo general se recibir correo de un nmero indeterminado de mquinas, y no se podr bloquear el acceso a SMTP. No obstante, en este caso podemos aplicar unas medidas de seguridad simples, como realizar una consulta inversa a DNS para asegurarnos de que slo mquinas registradas envan correo o no permitir que el sistema reenve correo que no provenga de direcciones registradas bajo su dominio. 2.6.9.11 Servidores World Wide Web Hoy en da las conexiones a servidores web son sin duda las ms extendidas entre usuarios de Internet. En la actualidad mueve a diario millones de dlares y es uno de los pilares fundamentales de muchas empresas: es por tanto un objetivo muy atractivo para cualquier intruso. Huerta (2000) dice que los problemas de seguridad relacionados con el protocolo HTTP se dividen en tres grandes grupos en funcin de los datos a los que pueden afectar: Seguridad en el servidor: es necesario garantizar que la informacin almacenada en la mquina servidora no pueda ser modificada sin autorizacin, que permanezca disponible y que slo pueda ser accedida por los usuarios a los que les est legtimamente permitido. Seguridad en la red: cuando un usuario conecta a un servidor web se produce un intercambio de informacin entre ambos; es vital garantizar 1

que los datos que recibe el cliente desde el servidor sean los mismos que se estn enviando (esto es, que no sufran modificaciones de terceros), y tambin garantizar que la informacin que el usuario enva hacia el servidor no sea capturada, destruida o modificada por un atacante. Seguridad en el cliente: es necesario garantizar al usuario que descarga pginas de un servidor no va a perjudicar a la seguridad de su equipo. Se deben evitar Applets maliciosos, programas con virus o simples cuelgues al acceder a las pginas de la organizacin. Ante hechos de esta especie seguramente la persona dejar de visitarlas, con la consecuente prdida de imagen (y posiblemente un cliente) de esa entidad. Asegurar el servidor implica (aparte de las medidas habituales) medidas excepcionales dedicadas al servidor de Web y su entorno de trabajo. Sea cual sea el servidor utilizado (IIS, Apache, NCSA, Netscape, etc.), es necesario seguir un consejo bsico: minimizar el nmero de usuarios en la mquina y minimizar el nmero de servicios ofrecidos en ella; aunque lo normal es que una mquina dedicada a cualquier tarea, sea tambin el servidor Web, es recomendable que dicho servidor sea un equipo dedicado slo a esa tarea. Los problemas relacionados con servidores Web suelen proceder de errores de programacin en los CGIs ubicados en el servidor. La capacidad del CGI para comunicarse con el resto del sistema que alberga las pginas es lo que le otorga su potencia, pero tambin lo que causa mayores problemas de seguridad: un fallo en estos programas suele permitir a cualquier visitante ejecutar rdenes en el sistema. Una medida de seguridad bsica es ejecutar el demonio servidor bajo la identidad de un usuario con privilegios mnimos para que todo funcione correctamente, pero nunca como Administrador, Root o cuenta del sistema. Para garantizar la seguridad de los datos que circulan entre un cliente y el servidor es casi obligatorio cifrar dichos datos (mediante SSL o utilizando Certificados Digitales por ejemplo). 2.6.10 Criptologa. 2.6.10.1 Historia. En el ao 500 a.C. los griegos utilizaron un cilindro llamado scytale alrededor del cual enrollaban una tira de cuero. Al escribir un mensaje sobre el cuero y desenrollarlo se vea una lista de letras sin sentido. El mensaje correcto slo poda leerse al enrollar el cuero nuevamente en un cilindro de igual dimetro. Durante el Imperio Romano Julio Cesar empleo un sistema de cifrado consistente en sustituir la letra a encriptar por otra letra distanciada a tres posiciones ms adelante. Durante su reinado, los mensajes de Julio Cesar nunca fueron desencriptados. 2

En el S. XII Roger Bacon y en el S. XV Len Batista Alberti inventaron y publicaron sendos algoritmos de encriptacin basados en modificaciones del mtodo de Julio Csar. Durante la segunda guerra mundial en un lugar llamado Bletchley Park (70 Km al norte de Londres) un grupo de cientficos trabajaba en Enigma, la mquina encargada de cifrar los mensajes secretos alemanes. En este grupo se encontraban tres matemticos polacos llamados Marian Rejewski, Jerzy Rozycki, Henryk Zygalski y un joven que se morda siempre las pieles alrededor de las uas, iba con ropa sin planchar y era ms bien bajito. Este joven retrado se llamaba Alan Turing y haba sido reclutado porque unos aos antes haba creado un ordenador binario. Probablemente poca gente en los servicios secretos ingleses saba lo que era un ordenador (y mucho menos binario)... pero no caba duda que slo alguien realmente inteligente poda inventar algo as, cualquier cosa que eso fuese... Era mucho ms abstracto que todos sus antecesores y slo utilizaba 0 y 1 como valores posibles de las variables de su lgebra. Sera Turing el encargado de descifrar el primer mensaje de Enigma y, cambiar el curso de la guerra, la historia y de... la Seguridad Informtica actual. 2.6.10.2 Criptografa. La palabra Criptografa proviene etimolgicamente del griego (Kriptos Oculto) y . (GrafoEscritura) y significa arte de escribir con clave secreta o de un modo enigmtico. (Lucena Lopez, 1999). Aportando luz a la definicin cabe aclarar que la Criptografa hace aos que dej de ser un arte para convertirse en una tcnica (o conjunto de ellas) que tratan sobre la proteccin (ocultamiento ante personas no autorizadas) de la informacin. Entre las disciplinas que engloba cabe destacar la Teora de la Informacin, la Matemtica Discreta, la Teora de los Grandes Nmeros y la Complejidad Algortmica. Es decir que la Criptografa es la ciencia que consiste en transformar un mensaje inteligible en otro que no lo es (mediante claves que slo el emisor y el destinatario conocen), para despus devolverlo a su forma original, sin que nadie que vea el mensaje cifrado sea capaz de entenderlo. El mensaje cifrado recibe el nombre Criptograma Imagen 29

Grfico Criptograma 1

La importancia de la Criptografa radica en que es el nico mtodo actual capaz de hacer cumplir el objetivo de la Seguridad Informtica: mantener la Privacidad, Integridad, Autenticidad... y hacer cumplir con el No Rechazo, relacionado a no poder negar la autora y recepcin de un mensaje enviado. 2.6.10.3 Criptoanlisis. Es el arte de estudiar los mensajes ilegibles, encriptados, para transformarlos en legibles sin conocer la clave, auque el mtodo de cifrado empleado siempre es conocido. 2.6.10.4 Criptosistema. Un Criptosistema se define como la quntupla (m,C,K,E,D), donde: m representa el conjunto de todos los mensajes sin cifrar (texto plano) que pueden ser enviados. C Representa el conjunto de todos los posibles mensajes cifrados, o criptogramas. K representa el conjunto de claves que se pueden emplear en el Criptosistema. E es el conjunto de transformaciones de cifrado o familia de funciones que se aplica a cada elemento de m para obtener un elemento de C. Existe una transformacin diferente EK para cada valor posible de la clave K. D es el conjunto de transformaciones de descifrado, anlogo a E. Todo Criptosistema cumple la condicin DK(EK(m)) = m es decir, que si se tiene un mensaje m, se cifra empleando la clave K y luego se descifra empleando la misma clave, se obtiene el mensaje original m. (Lucena, 1999) Existen dos tipos fundamentales de Criptosistemas utilizados para cifrar datos e informacin digital y ser enviados posteriormente despus por medios de transmisin libre. a. Simtricos o de clave privada: se emplea la misma clave K para cifrar y descifrar, por lo tanto el emisor y el receptor deben poseer la clave. El mayor inconveniente que presentan es que se debe contar con un canal seguro para la transmisin de dicha clave. b. Asimtricos o de llave pblica: se emplea una doble clave conocidas como Kp (clave privada) y KP (clave Pblica). Una de ellas es utilizada para la transformacin E de cifrado y la otra para el descifrado D. En muchos de los sistemas existentes estas clave son intercambiables, es decir que si empleamos una para cifrar se utiliza la otra para descifrar y viceversa. 3

Los sistemas asimtricos deben cumplir con la condicin que la clave Pblica (al ser conocida y slo utilizada para cifrar) no debe permitir calcular la privada. Como puede observarse este sistema permite intercambiar claves en un canal inseguro de transmisin ya que lo nico que se enva es la clave pblica. Los algoritmos asimtricos emplean claves de longitud mayor a los simtricos. As, por ejemplo, suele considerarse segura una clave de 128 bits para estos ltimos pero se recomienda claves de 1024 bits (como mnimo) para los algoritmos asimtricos. Esto permite que los algoritmos simtricos sean considerablemente ms rpidos que los asimtricos. En la prctica actualmente se emplea una combinacin de ambos sistemas ya que los asimtricos son computacionalmente ms costosos (mayor tiempo de cifrado). Para realizar dicha combinacin se cifra el mensaje m con un sistema simtrico y luego se encripta la clave K utilizada en el algoritmo simtrico (generalmente ms corta que el mensaje) con un sistema asimtrico. Despus de estos Criptosistemas modernos podemos encontrar otros no menos importantes utilizados desde siempre para cifrar mensajes de menos importancia o domsticos, y que han ido perdiendo su eficacia por ser fcilmente criptoanalizables y por tanto reventables. Cada uno de los algoritmos clsicos descritos a continuacin utiliza la misma clave K para cifrar y descifrar el mensaje. 2.6.10.4.1 Transposicin. Son aquellos que alteran el orden de los caracteres dentro del mensaje a cifrar. El algoritmo de transposicin ms comn consiste en colocar el texto en una tabla de n columnas. El texto cifrado sern los caracteres dados por columna (de arriba hacia abajo) con una clave K consistente en el orden en que se leen las columnas. Ejemplo: Si n = 3 columnas, la clave K es (3,1,2) y el mensaje a cifrar SEGURIDAD INFORMATICA. Imagen 30

El mensaje cifrado ser: GIDNRTASUD FMIERAIOAC 2.6.10.4.2 Cifrados monoalfabticos. Sin desordenar los smbolos del lenguaje, se establece una correspondencia nica para todos ellos en todo el mensaje. Es decir que si al 1

carcter A le corresponde carcter D, esta correspondencia se mantiene durante todo el mensaje. 2.6.10.4.2.1 Algoritmo de Csar. Es uno de los algoritmos criptogrficos ms simples. Consiste en sumar 3 al nmero de orden de cada letra. De esta forma a la A le corresponde la D, a la B la E, y as sucesivamente. Puede observarse que este algoritmo ni siquiera posee clave, puesto que la transformacin siempre es la misma. Obviamente, para descifrar basta con restar 3 al nmero de orden de las letras del criptograma.

Ejemplo: Si el algoritmo de cifrado es: ABCDEFGHIJKLMNOPQRSTUVWXYZ DEFGHIJKLMNOPQRSTUVWXYZABC Entonces el mensaje cifrado ser: SEGURIDADINFORMATICA VHJXULGDGLQIRUPDWLFD 2.6.10.4.2.2 Sustitucin General. Es el caso general del algoritmo de Csar. El sistema consiste en sustituir cada letra por otra aleatoria. Esto supone un grado ms de complejidad aunque como es de suponer las propiedades estadsticas del texto original se conservan en el criptograma y por lo tanto el sistema sigue siendo criptoanalizable. 2.6.10.5 Algoritmos simtricos modernos (llave privada). La mayora de los algoritmos simtricos actuales se apoyan en los conceptos de Confusin y Difusin vertidos por Claude Shannon sobre la Teora de la Informacin a finales de los aos cuarenta. Estos mtodos consisten en ocultar la relacin entre el texto plano, el texto cifrado y la clave (Confusin); y repartir la influencia de cada bit del mensaje original lo ms posible entre el mensaje cifrado (Difusin). El objetivo del presente no es entrar en detalles de cada uno de los muchos algoritmos existentes, por lo que slo se dar una idea de su funcionamiento y complejidad. 2.6.10.5.1 Redes de Feistel. Este algoritmo no es un algoritmo de cifrado per se, pero muchos de los vistos a continuacin lo utilizan como parte vital en su funcionamiento. Se basa en dividir un bloque de longitud n (generalmente el texto a cifrar) en dos 2

mitades, L y R. Luego se define un cifrado de producto iteractivo en el que la salida de cada ronda es la entrada de la siguiente. 2.6.10.5.2 DES. Data Encryption Standard es el algoritmo simtrico ms extendido mundialmente. A mediados de los setenta fue adoptado como estndar para las comunicaciones seguras (Estndar AES) del gobierno de EE.UU. En su principio fue diseado por la NSA (Nacional Security Agency) para ser implementado en hardware, pero al extenderse su algoritmo se comenz a implementar en software. DES utiliza bloques de 64 bits, los cuales codifica empleando claves de 56 bits y aplicando permutaciones a nivel de bit en diferentes momentos (mediante tablas de permutaciones y operaciones XOR). Es una red de Feistel de 16 rondas, ms dos permutaciones, una que se aplica al principio y otra al final. La flexibilidad de DES reside en que el mismo algoritmo puede ser utilizado tanto para cifrar como para descifrar, simplemente invirtiendo el orden de las 16 subclaves obtenidas a partir de la clave de cifrado. En la actualidad no se ha podido romper el sistema DES criptoanalticamente (deducir la clave simtrica a partir de la informacin interceptada). Sin embargo una empresa espaola sin fines de lucro llamado Electronic Frontier Foundation (EFF) construyo en Enero de 1999 una mquina capaz de probar las 2 claves posibles en DES y romperlo slo en tres das con fuerza bruta. A pesar de su cada DES sigue siendo utilizado por su amplia extensin de las implementaciones va hardware existentes (en cajeros automticos y seales de video por ejemplo) y se evita tener que confiar en nuevas tecnologas no probadas. En vez de abandonar su utilizacin se prefiere suplantar a DES con lo que se conoce como cifrado mltiple, es decir aplicar varias veces el mismo algoritmo para fortalecer la longitud de la clave. 2.6.10.5.2.1 DES Mltiple. Consiste en aplicar varias veces el algoritmo DES (con diferentes claves) al mensaje original. El ms conocidos de todos ellos el TripleDES (TDES), el cual consiste en aplicar 3 veces DES de la siguiente manera: 1. Se codifica con la clave K1. 2. Se decodifica el resultado con la clave K2. 3. Lo obtenido se vuelve a codificar con K1. La clave resultante el la concatenacin de K1 y K2 con una longitud de 112 bits. En 1998 el NIST (National Institute of Standards Technology) convoco a un concurso para poder determinar un algoritmo simtricos seguro y prximo sustito de DES. Se aceptaron 15 candidatos y a principios del ao 2000 los 5 2

finalistas fueron MARS, RC6, Serpent y TwoFish y Rijndael (que en octubre sera el ganador). 2.6.10.5.3 IDEA. El International Data Encription Algorithm fue desarollado en Alemania a principios de los noventa por James L. Massey y Xuejia Lai. Trabaja con bloques de 64 bits de longitud empleando una clave de 128 bits y, como en el caso de DES, se utiliza el mismo algoritmo tanto para cifrar como para descifrar. El proceso de encriptacin consiste ocho rondas de cifrado idntico, excepto por las subclaves utilizadas (segmentos de 16 bits de los 128 de la clave), en donde se combinan diferentes operaciones matemticas (XORs y Sumas Mdulo 16) y una transformacin final. En mi opinin, l es el mejor y ms seguro algoritmo de bloques disponible actualmente al pblico. 2.6.10.5.4 BLOWFISH. Este algoritmo fue desarrollado por Bruce Schneier en 1993. Para la encriptacin emplea bloques de 64 bits y permite claves de encriptacin de diversas longitudes (hasta 448 bits). Generalmente, utiliza valores decimales de (aunque puede cambiarse a voluntad) para obtener las funciones de encriptacin y desencriptacin. Estas funciones emplean operaciones lgicas simples y presentes en cualquier procesador. Esto se traduce en un algoritmo liviano, que permite su implementacin, va hardware, en cualquier controlador (como telfonos celulares por ejemplo). 2.6.10.5.5 RC5. Este algoritmo, diseado por RSA73, permite definir el tamao del bloque a encriptar, el tamao de la clave utilizada y el nmero de fases de encriptacin. El algoritmo genera una tabla de encriptacin y luego procede a encriptar o desencriptar los datos. 2.6.10.5.6 CAST. Es un buen sistema de cifrado en bloques con una clave de 128 bits, es muy rpido y es gratuito. Su nombre deriva de las iniciales de sus autores, Carlisle, Adams, Stafford Tavares, de la empresa Northern Telecom (NorTel). CAST no tiene claves dbiles o semidbiles y hay fuertes argumentos acerca que CAST es completamente inmune a los mtodos de criptoanlisis ms potentes conocidos. 2.6.10.5.7 RIJNDAEL (El nuevo estndar AES).

Este nuevo algoritmo belga mezcla de Vincent Rijmen y Joan Daemen (sus autores) sorprende tanto por su innovador diseo como por su simplicidad prctica; aunque tras l se esconda un complejo trasfondo matemtico. Su algoritmo no se basa en redes de Feistel, y en su lugar se ha definido una estructura de capas formadas por funciones polinmicas reversibles (tienen inversa) y no lineales. Es fcil imaginar que el proceso de descifrado consiste en aplicar las funciones inversas a las aplicadas para cifrar, en el orden contrario. Las implementaciones actuales pueden utilizar bloques de 128, 192 y 256 bits de longitud combinadas con claves de 128, 192 y 256 bits para su cifrado; aunque tanto los bloques como las claves pueden extenderse en mltiplo de 32 bits. Si bien su joven edad no permite asegurar nada, segn sus autores, es altamente improbable que existan claves dbiles en el nuevo AES. Tambin se ha probado la resistencia al criptoanlisis tanto lineal como diferencial, asegurando as la desaparicin de DES. 2.6.10.5.8 Criptoanlisis de algoritmos simtricos. El Criptoanlisis comenz a extenderse a partir de la aparicin de DES por sospechas (nunca confirmadas) de que el algoritmo propuesto por la NSA contena puertas traseras. Entre los ataques ms potentes a la criptografa simtrica se encuentran: Criptoanlisis Diferencial: Ideado por Biham y Shamir en 1990, se basa en el estudio de dos textos codificados para estudiar las diferencias entre ambos mientras se los est codificando. Luego puede asignarse probabilidades a ciertas claves de cifrado. Criptoanlisis Lineal: Ideado por Mitsuru Matsui, se basa en tomar porciones del texto cifrado y porciones de otro texto plano y efectuar operaciones sobre ellos de forma tal de obtener probabilidades de aparicin de ciertas claves. Sin embargo, estos mtodos, no han podido ser muy eficientes en la prctica. En el momento despus de que un sistema criptogrfico es publicado y se muestra inmune a estos dos tipos de ataques (y otros pocos) la mayor preocupacin es la longitud de las claves. 2.6.10.6 Algoritmos asimtricos (llave privada - pblica). Ideado por los matemticos Whitfield Diffie y Martn Hellman (DH) con el informtico Ralph Merkle a mediados de los 70, estos algoritmos han demostrado su seguridad en comunicaciones inseguras como Internet. Su principal caracterstica es que no se basa en una nica clave sino en un par de ellas: una conocida (Pblica) y otra Privada. Actualmente existen muchos algoritmos de este tipo pero han demostrado ser poco utilizables en la prctica ya sea por la longitud de las 1

clave, la longitud del texto encriptado generado o su velocidad de cifrado extremadamente largos. DH est basado en las propiedades y en el tiempo necesario para calcular el valor del logaritmo de un nmero extremadamente alto y primo.

2.6.10.6.1 RSA. Este algoritmo fue ideado en 1977 por Ron Rivest, Adi Shamir y Leonard Adleman (RSA). Es el ms empleado en la actualidad, sencillo de comprender e implementar, aunque la longitud de sus claves es bastante considerable (ha pasado desde sus 200 bits originales a 2048 actualmente). RSA es la suma de dos de los algoritmos ms importantes de la historia: el Mximo Comn Divisor de Eucldes (Grecia 450377 A.C.) y el ltimo teorema de Fermat (Francia 16011665). Se emplean las ventajas proporcionadas por las propiedades de los nmeros primos cuando se aplican sobre ellos operaciones matemticas basadas en la funcin mdulo. En concreto, emplea la funcin exponencial discreta para cifrar y descifrar, y cuya inversa, el logaritmo discreto, el muy difcil de calcular. Los clculos matemticos de este algoritmo emplean un nmero denominado Mdulo Pblico, N, que forma parte de la clave pblica y que se obtiene a partir de la multiplicacin de dos nmeros primos, p y q, diferentes y grandes (del orden de 512 bits) y que forman parte de la clave privada. La gran propiedad de RSA es que, mientras que N es pblico, los valores de p y q se pueden mantener en secreto debido a la dificultad que entraa la factorizacin de un nmero grande. La robustez del algoritmo se basa en la facilidad para encontrar dos nmeros primos grandes frente a la enorme dificultad que presenta la factorizacin de su producto. Aunque el avance tecnolgico hace que cada vez sea ms rpido un posible ataque por fuerza bruta, el simple hecho de aumentar la longitud de las claves empleadas supone un incremento en la carga computacional lo suficientemente grande para que este tipo de ataque sea inviable. Sin embargo, se ha de notar que, aunque el hecho de aumentar la longitud de las claves RSA no supone ninguna dificultad tecnolgica, las leyes de exportacin de criptografa de EE.UU. imponan, hasta el 20 de septiembre de 2000, un lmite a dicha longitud por lo que el su uso comercial de RSA no estaba permitido, ya que la patente perteneca a los laboratorios RSA. Desde esta fecha su uso es libre. 2.6.10.6.1.1 Ataques a RSA. Si un atacante quiere recuperar la clave privada a partir de la pblica debe obtener p y q a partir de N, lo cual actualmente es un problema intratable 2

si los nmeros primos son lo suficientemente grandes (alrededor de 200 dgitos). Vale decir que nadie a demostrado que no pueda existir un mtodo que permita descifrar un mensaje sin usar la clave privada y sin factorizar N. As, aunque el algoritmo es bastante seguro conceptualmente, existen algunos ataques que pueden ser efectivos al apoyarse sobre deficiencias en la implementacin y uso del mismo. El ataque que con mayores probabilidades de xito es el ataque de intermediario, que en realidad puede darse sobre cualquier algoritmo de clave pblica. Supongamos: ... que A quiere establecer una comunicacin con B, y que C quiere espiarla. Cuando A le solicite a B su clave pblica KB, C se interpone, obteniendo la clave de B y enviado a A una clave falsa KC, creada por l. Cuando a codifique el mensaje, C lo intercepta de nuevo, lo decodifica con su clave propia y emplea KB para codificarlo y enviarlo a B... ni A ni B sospecharn nunca de lo sucedido. La nica manera de evitar esto consiste en asegurar a A que la clave pblica de B es autntica. Para ello esta debera ser firmada por un amigo comn que, actuando como Autoridad Certificadora, certifique su autenticidad. Otros ataque (como el de claves dbiles, el de texto plano escogido, el de mdulo comn, y el de exponente bajo) aprovechan vulnerabilidades especficas de algunas implementaciones. 2.6.10.6.2 Curvas elpticas (CEE). Las curvas elpticas fueron propuestas por primera vez para ser usadas en aplicaciones criptogrficas en 1985 de forma independiente por Miller y Koblitz. Las curvas elpticas en s llevan estudindose durante muchos siglos y estn entre los objetos ms ricamente estructurados y estudiados de la teora de nmeros. La eficiencia de este algoritmo radica en la longitud reducida de las claves, lo cual permite su implementacin en sistemas de bajos recursos como telfonos celulares y Smart Cards. Puede hacerse la siguiente comparacin con RSA, obteniendo el mismo nivel de seguridad: CCE de 163 bits = RSA de 1024 bits CCE de 224 bits = RSA de 2048 bits Otros algoritmos asimtricos conocidos son ElGamal (basado en el Problema de los Logaritmos Discretos de DiffieHellman DH), Rabin (basado en el problema del clculo de races cuadradas mdulo un nmero compuesto), DSS y LUC. 2.6.10.7 Autentificacin. 2

Es de destacar que muchas de estas definiciones, pueden ser encontradas en el texto del Proyecto de Ley de Firma Digital (ver Anexo Leyes) actualmente con media sancin. Se entiende por Autentificacin cualquier mtodo que permita garantizar alguna caracterstica sobre un objeto dado. Interesa comprobar la autentificacin de: a. Un Mensaje mediante una firma: se debe garantizar la procedencia de un mensaje conocido, de forma de poder asegurar que no es una falsificacin. A este mecanismo se lo conoce como Firma Digital y consiste en asegurar que el mensaje m proviene del emisor E y no de otro. b. Un Usuario mediante una contrasea: se debe garantizar la presencia de un usuario autorizado mediante una contrasea secreta. c. Un Dispositivo: se debe garantizar la presencia de un dispositivo vlido en el sistema, por ejemplo una llave electrnica. 2.6.10.7.1 Firma digital. Una firma digital se logra mediante una Funcin Hash de Resumen. Esta funcin se encarga de obtener una muestra nica del mensaje original. Dicha muestra es ms pequea y es muy difcil encontrar otro mensaje que tenga la misma firma. Suponiendo que B enva un mensaje m firmado a A, el procedimiento es: a. B genera un resumen del mensaje r(m) y lo cifra con su clave privada. b. B enva el criptograma. c. A genera su propia copia de r(m) usando la clave pblica de B asociada a la privada. d. A compara su criptograma con el recibido y si coinciden el mensaje es autntico. Cabe destacar que: 1. Cualquiera que posea la clave pblica de B puede constatar que el mensaje proviene realmente de B. 2. La firma digital es distinta en todos los documentos: si A firma dos documentos produce dos criptogramas distintos y; si A y B firman el mismo documento m tambin se producen dos criptogramas diferentes. Las funciones Hash estn basadas en que un mensaje de longitud arbitraria se transforma en un mensaje de longitud constante dividiendo el mensaje en partes iguales, aplicando la funcin de transformacin a cada parte y sumando todos los resultados obtenidos. 1

Actualmente se recomienda utilizar firmas de al menos 128 bits (38 dgitos) siendo 160 bits (48 dgitos) el valor ms utilizado. 2.6.10.7.1.1 MD5. El Message Diggest 5 (resultado mejorado sobre el MD4 original de Ron Rivest) procesa los mensajes de entrada en bloques de 512, y que produce una salida de 128 bits. Siendo m un mensaje de b bits de longitud, se alarga m hasta que su longitud sea 64 bits inferior a un mltiplo de 512. Esto se realiza agregando un 1 y tantos ceros como sea necesario. A continuacin se agregan 64 bits con el valor de b comenzando por el byte menos significativo. A continuacin se realizan 64 operaciones divididas en 4 rondas sobre estos bloques de 512 bits. Finalmente, se suman y concatenan los bloques obteniendo la firma deseada de m. 2.6.10.7.1.2 SHA1. El Secure Hash Algorithm fue desarrollado por la NSA, y genera firmas de 160 bits a partir de bloques de 512 bits del mensaje original. Su funcionamiento es similar al MD5, solo variando la longitud de los bloques y la cantidad de operaciones realizadas en las 5 rondas en las que se divide el proceso. Otros algoritmos utilizados para obtener firmas digitales son: DSA (Digital Signatura Logarithm) y el RIPEMD160. 2.6.10.8 PGP (Pretty Good Privacy). Este proyecto de Seguridad Bastante Buena pertenece a Phill Zimmerman quien decidi crearlo en 1991 por falta de herramientas criptogrficas sencillas, potentes, baratas y al alcance del usuario comn. Es personal. Es privado. Y no es de inters para nadie ms que no sea usted... Existe una necesidad social en crecimiento para esto. Es por eso que lo cre. Actualmente PGP es la herramienta ms popular y fiable para mantener la seguridad y privacidad en las comunicaciones tanto para pequeos usuarios como para grandes empresas. 2.6.10.8.1 Funcionamiento de PGP. 2.6.10.8.1.1 Anillos de Claves. Un anillo es una coleccin de claves almacenadas en un archivo. Cada usuario tiene dos anillos, uno para las claves pblicas y otro para las claves privadas. Cada una de las claves, adems, posee un identificador de usuario, fecha de expiracin, versin de PGP y una huella digital nica hexadecimal suficientemente corta que permita verificar la autenticidad de la clave. 1

2.6.10.8.1.2 Codificacin de Mensajes. Como ya se sabe, los algoritmos simtricos de cifrado son ms rpidos que los asimtricos. Por esta razn PGP cifra primero el mensaje empleando un algoritmo simtrico con una clave generada aleatoriamente (clave de sesin) y posteriormente codifica la clave haciendo uso de la llave pblica del destinatario. Dicha clave es extrada convenientemente del anillo de claves pblicas a partir del identificador suministrado por el usuario Ntese que para que el mensaje pueda ser ledo por mltiples destinatarios basta con que se incluya en la cabecera cada una de las claves pblicas correspondientes. 2.6.10.8.1.3 Decodificacin de Mensajes. Cuando se trata de decodificar el mensaje, PGP simplemente busca en la cabecera las claves pblicas con las que est codificado, pide una contrasea para abrir el anillo de claves privadas y comprueba si se tiene una clave que permita decodificar el mensaje. Ntese que siempre que se quiere hacer uso de una clave privada, habr que suministrar la contrasea correspondiente, por lo que si este anillo quedara comprometido, el atacante tendra que averiguar dicha contrasea para descifrar los mensajes. No obstante, si el anillo de claves privadas quedara comprometido, es recomendable revocar todas las claves almacenadas y generar otras nuevas. 2.6.10.8.1.4 Compresin de Archivos. PGP generalmente comprime el texto plano antes de encriptar el mensaje (y lo descomprime despus de desencriptarlo) para disminuir el tiempo de cifrado, de transmisin y de alguna manera fortalecer la seguridad del cifrado ante el criptoanlisis que explotan las redundancias del texto plano. PGP utiliza rutinas de compresin de dominio pblico creadas por Gaily AdlerWales (basadas en los algoritmos de LivZemple) funcionalmente semejantes a las utilizadas en los softwares comerciales de este tipo. 2.6.10.8.1.5 Algoritmos Utilizados por PGP. Las diferentes versiones de PGP han ido adoptando diferentes combinacin de algoritmos de signatura y cifrado eligiendo entre los estudiados. Las firmas se realizan mediante MD5, SHA1 y/o RIPEMD6. Los algoritmos simtricos utilizados pueden ser IDEA, CAST y TDES y los asimtricos RSA y ElGamal.

2.6.10.9 Esteganografa. 3

Consiste en ocultar en el interior de informacin aparentemente inocua, otro tipo de informacin (cifrada o no). El texto se enva como texto plano, pero entremezclado con mucha cantidad de basura que sirve de camuflaje al mensaje enviado. El mtodo de recuperacin y lectura slo es conocido por el destinatario del mensaje y se conoce como separar el grano de la paja. Los mensajes suelen ir ocultos entre archivos de sonido o imgenes y ser enormemente grandes por la cantidad extra de informacin enviada (a comparacin del mensaje original). 2.6.11 Comercio electrnico. El comercio electrnico abarca todos los conceptos relacionados con procesos de mercado entre entidades fsicas o jurdicas pero a travs de redes de telecomunicaciones. El principal requisito que debe tener una transaccin electrnica es la Seguridad adems de: Confidencialidad (anonimato): la identidad del comprador no es conocida por el vendedor; nadie, excepto el banco, debera conocer la identidad del comprador; el banco debera ignorar la naturaleza de la compra y; un tercero no debera poder acceder a la informacin enviada. Autenticacin: permite a cada lado de la comunicacin asegurarse de que el otro es quien dice ser. Integridad: evita que un tercero pueda modificar la informacin enviada por cualquiera de las partes. No Repudio o Irrefutabilidad: permite, a cada lado de la comunicacin, probar fehacientemente que el otro lado ha participado: el origen no puede negar haberlo enviado y el destino no puede negar haberlo recibido. Flexibilidad: aceptar todas las posibles formas de pago existentes. Eficiencia: el costo del servicio no debe ser mayor que el precio del producto o servicio. 2.6.11.1 Dinero electrnico. Como ya se mencion, si alguien desea verificar la autenticidad de un mensaje (un banco por ejemplo) debe poseer la clave pblica del emisor. Es decir que una persona que se dedique a autentificar documentos deber poseer una cantidad considerable de claves almacenadas. Este problema se soluciona aplicando un Certificado Digital (CD) emitido y firmado por una Autoridad Certificadora (AC). El CD es un documento firmado digitalmente por la AC y establece una relacin entre una persona y su llave pblica.

La idea es que cualquiera que conozca la llave pblica de la AC puede autentificar un CD de la misma manera que se autentifica cualquier documento fsico. Si se confa en la AC, entonces se puede confiar que la clave pblica que figura en el Certificado es de la persona que dice ser. Luego, si una persona firma un documento y anexa su CD, cualquiera que conozca la clave pblica de la AC (una nica clave) podr verificar la autenticidad del documento. El Estndar internacional para CD ms aceptado y extendido en la actualidad es el denominado X.509. 2.6.11.1.1 Certificados X.509. Este certificado se basa en la Recomendacin X.509 de CCITT llamada The DirectoryAutentication Framework, que data de 1988 y actualmente se encuentra en su versin 3. Un Certificado es esencialmente una Clave Pblica y un Identificador, firmados digitalmente por una autoridad de certificacin, y su utilidad es demostrar que una clave pblica pertenece a un usuario concreto. El estndar X.509 slo define la sintaxis de los certificados, por lo que no est atado a ningn algoritmo en particular, y contempla los siguientes campos: 1. Versin: Indica si la versin del certificado X.509 es la 1 (defecto), 2 3. 2. Nmero de serie: Es un nmero entero asignado por la AC emisora y que identifica unvocamente al certificado dentro del conjunto de certificados emitidos. 3. Firma: Identifica al algoritmo utilizado por la AC para firmar el certificado. 4. Emisor: El nombre del emisor identifica a la entidad que ha firmado el certificado. 5. Validez: Indica el intervalo de tiempo en el que el certificado es vlido. 6. Usuario o Sujeto: Es un nombre distinguible X.500 que identifica de forma inequvoca al poseedor del certificado; y la nomenclatura de nombres distinguibles (DN: Distinguished Names). 7. Clave pblica del usuario: Contiene la clave pblica del usuario junto con el identificador del algoritmo con el que se ha de utilizar. 8. Identificadores nicos de emisor y de usuario: Es una cadena de bits opcional que identifica al emisor o al usuario en el caso de que su DN sea reutilizado con el paso del tiempo.

9. Campos de extensin: Permiten la adicin de nuevos campos a la estructura sin que por ello se tenga que modificar la definicin del certificado. La Firma, realizada por la AC emisora, permite que aquellas entidades que deseen realizar comunicaciones con la persona poseedora del certificado, puedan comprobar que la informacin que ste contiene es autntica (suponiendo que confen en la AC emisora). Una vez que los certificados han sido firmados, se almacenan en servidores de directorios y/o transmitidos por cualquier medio (seguros o no) para que estn disponibles pblicamente. Los certificados tienen un periodo de vida limitado, el cual est especificado en el campo Validez, y que viene determinado por la poltica de la AC emisora. Sin embargo, en algunas ocasiones especiales la seguridad de la clave privada asociada puede verse comprometida, por lo que la utilizacin de la correspondiente clave pblica ha de ser evitada. En tal caso, la AC emisora puede revocar el certificado para prevenir su uso. 2.6.11.1.2 SSL. Secure Sockets Layers es un protocolo seguro de Internet diseado en 1994 por Netscape Communication Corporation y posteriormente adoptado por otros navegadores. Es utilizado para cualquier comunicacin donde deba establecerse un canal seguro (al solicitarse clave o nmero de tarjeta de crdito por ejemplo). En la pila TCP/IP, se ubica entre la capa TCP (Transporte) y la de Aplicacin, por lo que es muy flexible ya que puede ser utilizado en cualquier aplicacin que utilice TCP/IP (Mail, HTTP, FTP, News, etc.) aunque actualmente slo se implementa sobre HTTP. Para diferenciar las pginas comunes HTTP de las protegidas se utiliza la denominacin HTTPS conectado mediante el puerto 443. SSLv3 supera algunas limitaciones de sus versiones anteriores y ofrece estas caractersticas: Cifrado de datos: los datos viajan cifrados mediante algunos de los algoritmos vistos. Para el intercambio de datos entre servidor y cliente se utilizan algoritmos simtricos (DESTDES,RC4, IDEA) y para la clave de sesin (utilizada para los algoritmos anteriores) cifrado asimtrico (tpicamente RSA). Fragmentacin de datos: en el emisor se fragmentan los datos en bloques para volver a reeensemblarlos en el receptor. Compresin de datos: se puede aplicar un algoritmo de compresin a los datos.

Autentificacin de servidores: el usuario puede verificar la identidad del servidor al que se conecta y al que puede mandar datos confidenciales. Integridad de mensajes: las modificaciones intencionales o accidentales, de la informacin, en el viaje por el canal inseguro son detectadas. Autentificacin del cliente: permite al servidor conocer la identidad del usuario, con el fin de decidir si este puede acceder a cierta informacin protegida. Esta autentificacin no siempre debe darse. Al reunir estas caractersticas, la comunicacin se realiza en dos fases: Saludo (Handshaking): los interlocutores se identifican mutuamente empleando, habitualmente, certificados X.509. Tras el intercambio de claves pblicas, los dos escogen una clave de sesin simtrica para el intercambio de datos. Comunicacin: se produce el intercambio de informacin propiamente dicho, que se codifica mediante las claves de sesin ya establecidas. De aqu en adelante, durante la sesin segura abierta, SSL proporciona un canal de comunicaciones seguro entre el servidor y el cliente a travs del cual se intercambiar cifrada la siguiente informacin: La URL del documento solicitado. El contenido del documento solicitado. Los contenidos de cualquier formulario enviado desde el navegador. Las cookies enviadas desde el navegador al servidor y viceversa. Los contenidos de las cabeceras HTTP. 2.6.11.1.2.1 Limitaciones y Problemas de SSL. 1. Debido a la limitacin de exportacin del gobierno de los EE.UU. sobre los productos criptogrficos, las versiones de los navegadores distribuidas legalmente ms all de sus fronteras operan con nada ms que 40 bits de longitud de clave, frente a los 128 256 bits de las versiones fuertes. Claves tan cortas facilitan los ataques de fuerza bruta, dependiendo de los recursos informticos disponibles. Este serio problema gan notoriedad en los medios de comunicacin cuando en 1995 un estudiante francs, Damien Doligez, fue capaz de descifrar un mensaje cifrado con SSL en pocos das utilizando la red de computadoras de su Universidad. 2. SSL slo garantiza la confidencialidad e integridad de los datos en trnsito, pero nunca antes ni despus. Por lo tanto, si se envan datos personales al servidor, SSL solamente asegura que no sern 3

modificados ni espiados mientras viajan desde el navegador hasta el servidor. Lo que el servidor haga con ellos, est ms all de la competencia de este protocolo. 3. SSL no garantiza la identidad del servidor al que se conecta el usuario. Podra suceder que el servidor seguro contase con un certificado perfectamente vlido y que estuviera suplantando la identidad de algn otro servidor seguro bien conocido. Por consiguiente, es de extrema importancia que se compruebe siempre el certificado del sitio web para cerciorarse de que no se est conectando a un web falsificado. 4. El servidor identifica al navegador incluso aunque ste no se autentique mediante certificados. Cuando un usuario se conecta a un servidor, rutinariamente le comunica ciertos datos como su direccin IP, tipo y versin de navegador, sistema operativo, y otros. 5. Actualmente SSL solamente se utiliza para comunicaciones web seguras, por lo que otros servicios de Internet, como el correo electrnico, no irn cifrados a pesar de utilizar SSL para el envo de formularios o la recuperacin de pginas web. Por esto, se debe usar S/MIME, PGP o algn otro software criptogrfico para correo. 2.6.11.1.2.2 Ventajas de SSL. 1. SSL v3.0 goza de gran popularidad y se encuentra ampliamente extendido en Internet, ya que viene soportado por los dos principales navegadores del mercado, Netscape Navigator e Internet Explorer. 2. SSL proporciona un canal de comunicaciones seguro entre los servidores web y los clientes (los navegadores), pero su uso no se limita a la transmisin de pginas web. Al encontrarse entre los niveles de transporte y de aplicacin, potencialmente SSL puede servir para securizar otros servicios, como FTP, correo, telnet, etc. 3. El usuario no necesita realizar ninguna accin especial para invocar el protocolo SSL, basta con seguir un enlace o abrir una pgina cuya direccin empieza por https://. El navegador se encarga del resto. 2.6.11.1.3 TLS. Transport Layer Security es un protocolo estandarizado por el IETF75. Est basado en SSL v3 (y es totalmente compatible) pero incorpora algunas mejoras y se destaca por no ser de una empresa privada. 2.6.11.1.4 SET. Secure Electronic Transaction es un protocolo definido por las empresas VISA, MasterCard, Microsoft, IBM, Netscape, Verisign, GTE y otras; exclusivamente para realizar comercio electrnico con tarjetas de crdito. SET es un conjunto de protocolos, normas y especificaciones de seguridad, que constituyen una forma estndar para la realizacin de transacciones, reproduciendo en un entorno electrnico el pago con tarjeta de crdito fsica. 2

Adems de poseer todas las caractersticas de SSL, el sistema autentifica los titulares de las tarjetas, los comerciantes y los bancos, garantiza la confidencialidad de la informacin de pago y asegura que los mensajes no sean manipulados. La diferencia fundamental entre SSL y SET es que este ltimo establece diferentes entidades (Cliente, Vendedor, Banco) y un protocolo de comunicaciones entre el Vendedor y el Banco. Cada una de estas entidades debe certificarse previo realizar cualquier transaccin y cada mensaje queda firmado para evitar modificaciones y repudio posteriores. Esta diferencia puede apreciarse cuando se piensa que SSL slo protege un nmero de tarjeta de crdito, por ejemplo, cuando se enva del cliente al comerciante, sin embargo no hace nada para la validacin de ese nmero, no chequea su autorizacin, permite que el comerciante lo almacene, etc. SET cubre todas estas debilidades ofreciendo seguridad a las entidades intervinientes. La implantacin del protocolo SET aporta una serie de beneficios: Autentifica los titulares de las tarjetas de crdito, los comerciantes y los bancos que intervienen en la operacin. La autenticacin asegura que los participantes en la operacin comercial sean quienes dicen ser: el consumidor sabe en qu comercio est comprando y; el comercio est seguro de que quien est comprando es realmente el titular del instrumento de pago. La autenticacin se realiza a travs de certificados digitales que tanto el comerciante como el comprador poseen. Garantiza la mxima confidencialidad de la informacin del pago. Toda la informacin que viaja por la red, durante el intercambio de identidades y datos, est protegida contra cualquier intromisin o captura con mtodos criptogrficos. Asegura que los mensajes financieros no sean manipulados dentro del circuito del proceso de pago. La integridad y la autenticidad se basan en la generacin de firmas digitales. La utilizacin de un documento firmado con la clave privada del cliente y encriptada con la clave pblica del receptor puede apreciarse en el Grfico siguiente. 1. El Cliente Firma el documento de compra, mediante su Clave Privada. 2. El Cliente Encripta los datos, mediante la Clave Pblica del Vendedor. 3. El Vendedor descifra, mediante su Clave Privada, los datos encriptados por el Cliente. 4. El Vendedor comprueba la integridad y autenticidad de los datos (Firma del Cliente), mediante la Clave Pblica del mismo. 1

Imagen 31

Grfico Proceso EncriptadoFirmado de SET SET utiliza algoritmos de encriptacin como SHA1, DES y RSA ya que estos son compatibles con los certificados existentes, aunque en prximas versiones se piensa dar soporte a algoritmos de curvas elpticas. 2.6.12 Otros protoclos de seguridad. 2.6.12.1 SSH. El protocolo Secure SHell fue desarrollado en 1995 por Tatu Ylonen para permitir un logueo seguro en terminales remotas, evitando el viaje de passwords por redes inseguras; mediante el uso de comunicaciones cifradas. El protocolo SSH se establece en tres capas: 1. Capa de Transporte: En este nivel se procede a la autenticacin del servidor, el establecimiento de un canal cifrado (confidencialidad), chequeo de integridad de los mensajes, y un identificador nico de sesin. Tpicamente esta conexin se realiza mediante TCP/IP. En cuanto a los algoritmos empleados: a. Para el intercambio de claves: DiffieHellman. b. Algoritmos de clave pblica para encriptacin y autenticacin del servidor: DSA, Certificados X.509 y Certificados PGP. c. Algoritmos de clave simtrica: 3DES, BlowFish e IDEA. d. Algoritmos de integridad: SHA1 y MD5. 1

Todos estos son utilizados con claves de 128 bits. 2. Capa de Autentificacin del Usuario: En este nivel se supone establecida la encriptacin e integridad del canal y la autentificacin del servidor. Para la autentificacin del usuario el SSH ofrece varias posibilidades: Autentificacin del usuario basada en claves Publica Privada: la autenticacin del usuario se establece en base a la posesin de la clave privada. El servidor SSH conoce la clave pblica del usuario. Este es el modo recomendando por los fabricantes que implementan SSH. Autentificacin del usuario basada en passwords. Hay que sealar que el password no viaja encriptado, sino el canal por el que va el password es el que se mantiene encriptado (el nivel de Transporte es un tnel). Es tarea del servidor la validacin del password segn su base de datos. Autentificacin del usuario basada en procedencia del Host: en esta situacin hay que proteger las claves privadas del Host por parte del usuario. Es una autentificacin parecida a la ofrecida por otros sistemas de logueo por lo que es completamente desaconsejable. 3. Nivel de Conexin: Es el protocolo encargado de multiplexar el tunel encriptado en varios canales lgicos, de forma de obtener mltiples sesiones para la ejecucin de canales remotos. 2.6.12.2 S/MIME. El protocolo MIME Seguro fue propuesto por la empresa RSA y despus de su aparicin fue propuesto como estndar por la IETF pero por problemas de derechos y restricciones de patentes no pudo ser posible. S/MIME utiliza tcnicas similares a PGP e incorpora certificados X.509. Aunque no cuente con el apoyo necesario para ser considerado un estndar, est implementado en muchos programas de correo electrnico. Tiene la ventaja sobre PGP, que al utilizar Autoridades de Certificacin, es ideal para ser utilizado por empresas y para el comercio electrnico. 2.6.12.3 SOCKS. En sus orgenes este protocolo fue aprobado por el IETF como un estndar para la autentificacin ante un Firewalls. Actualmente, y combinado con SSL provee las bases para construir VPN altamente seguras. Socks permite la conexin de equipos situados tras un Firewall. Inicialmente fue pensado para permitir el acceso desde una red interna a servicios disponibles en el exterior, sin embargo puede emplearse en sentido 3

contrario, para el acceso desde el exterior de la organizacin (protegida con un Firewall). La conexin es validada por el sistema de autentificacin y despus el servidor Socks acta de intermediario con la aplicacin situada en el servidor destino. Socks actua de envoltura sobre el protocolo UDPTCP permitiendo que los equipos protegidos por el Firewall puedan conectarse a una red insegura, utilizando su propia direccin y devolviendo los resultados al cliente. Debe notarse que Socks slo autentifica las conexiones pero no produce ningn tipo de cifrado de los datos por lo que se hace necesario combinarlo con algn algoritmo que si lo haga (SSH, SSL, PPTP, IPSec, etc). 2.6.12.4 KERBEROS. En 1993 el MIT crea el proyecto Athena, y basndose en la mitologa griega con su perro de tres cabezas y una cola de serpiente vigilando la entrada a Hades (el infierno), nace Kerberos. Kerberos es un sistema de seguridad que provee autentificacin a travs de redes inseguras. Su objetivo es restringir los accesos slo a usuarios autorizados y poder autentificar los requerimientos a servicios, asumiendo un entorno distribuido abierto, en el cual los usuarios en las estaciones de trabajo acceden a estos servicios a travs de una red. Los modelos de autentificacin hasta ahora vistos son, principalmente, de dos tipos: Recursos: el usuario indica el recurso al que desea acceder mediante un cliente verificado. Usuario: El usuario se ve obligado a verificar su autenticidad cada cierto tiempo. En estos sistemas se tiene una dificultad esencial: la password viaje en forma permanente por la red estando a merced de cualquier tipo de ataque que se desee realizar. Kerberos fue creado para mitigar este problema de forma tal que el usuario necesita autorizacin para comunicarse con el servidor (y esta es confiable), se elimina la necesidad de demostrar el conocimiento de informacin privada y de que esta viaje a travs de la red. Kerberos provee un servidor de autenticacin centralizado, cuya funcin es autentificar a los usuarios frente a servidores y a stos frente a los usuarios. La tecnologa Kerberos est basada en tres objetos de seguridad (tres cabezas):

Autentificacin Service (AS): Autentifica los usuarios y les proporciona un ticket para realizar la comunicacin con el servidor de Tickets. Tickets Gratign Service (TGS): Proporciona las credenciales necesarias para la comunicacin con el servidor que proporciona los servicios. Autenticador: es un certificado testigo construido por el cliente o el servidor para probar las identidades y la actualidad de la comunicacin; solo puede ser utilizado una vez. Un Servidor KDC (Kerberos Distribution Center) alojado en el AS mantiene una base de datos de sus clientes (usuarios y servicios) y sus respectivas claves simtricas privadas utilizando DES (aunque actualmente se encuentra en desarrollo versiones de Kerberos empleando RSA): La Clave Secreta del Usuario: esta clave es conocida nicamente por el usuario y por Kerberos y tiene la finalidad de autentificar al usuario frente a Kerberos. El AS comparte una nica clave secreta con cada servidor, las cuales fueron distribudas fsicamente o de otra de forma segura. La Clave de Sesin: clave secreta generada por Kerberos luego de verificar al usuario y expedida al mismo con el objetivo de autentificar el intercambio de un par de usuarios que definen una sesin. Esta clave tiene un tiempo de vida predeterminado y conocida nicamente por aquellos para los cuales fue generado. Existen dos tipos de credenciales utilizadas por el modelo: Ticket: es un certificado testigo expedido a un cliente para solicitar los servicios de un servidor. Este Ticket contiene el ID del usuario y su direccin en la red y es encriptado usando la clave secreta compartida por el AS y el cliente, garantizando que este ha sido autenticado recientemente (el mismo tiene un perodo de validez). Autenticador: Es un testigo construido por el cliente y enviado al AS para probar su identidad. Slo cuando el servidor desencripta el Ticket, y verifica que el ID del usuario es autntico, otorga el servicio requerido. 2.6.12.4.1 Resumen de Kerberos. En el siguiente Grfico puede apreciarse el funcionamiento de las distintas entidades intervinientes en Kerberos y su funcin: a. Solicitud de un Ticket de acceso. b. Ticket + Clave de Sesin. c. Solicitud de un Ticket de acceso al servicio. d. Ticket + Clave de Sesin. 2

e. Solicitud de Servicio. f. Autenticador del Servidor. Imagen 32

Grfico Proceso de Kerberos El proceso de Autentificacin se divide en dos etapas: Autentificacin de Usuario 1. Un usuario desde una Estacin de Trabajo requiere un servicio. 2. AS verifica el correcto acceso del usuario a la Base de Datos, crea un Ticket y una Clave de Sesin. Los resultados son encriptados usando la clave derivada de la password del usuario. Autentificacin de Servicio 3. La Estacin solicita la password al usuario y la utiliza para desencriptar el mensaje, luego enva al TGS el Ticket y el Autenticador que contienen el Nombre de Usuario, la Direccin de red y el Tiempo de Vida. 4. El TGS desencripta el Ticket y el Autenticador, verifica la solicitud y crea un Ticket para ser enviado al Servidor. 3

5. La Estacin de Trabajo enva el Ticket y el Autenticador al Servidor. 6. El Servidor verifica que el Ticket y el Autenticador coincidan, luego permite al Servicio. 2.6.12.4.2 Problemas de Kerberos. La filosofa de Kerberos est basado en una fuerte centralizacin del sistema, ya que para su correcto funcionamiento se debe disponer de forma permanente del servidor, de forma que si ste falla toda la red se vuelve inutilizable por no disponer de forma para desencriptar los mensajes que circulan por ella. Este concepto es una contradiccin a la teora de sistemas distribuidos, sobre el que se basa el modelo que rige cualquier red (si una mquina falla el resto puede seguir su funcionamiento, sino a pleno, al menos correctamente). Otra falencia es que casi toda la seguridad reside en el servidor que mantiene la base de datos de claves, por lo que si este se ve comprometido, toda la red estar amenazada. Por ltimo, la implementacin de Kerberos, actualmente, acarrea algunos inconvenientes ya que se debe realizar un proceso de Kerberizacin sobre cada programa que se desee utilizar, suponiendo esto un conocimiento y tiempo considerable no siempre disponible. Si bien este inconveniente est siendo subsanado en diversas versiones an no se cuenta con la standardizacin suficiente para su extensin masiva. 2.6.13 VPNRedes privadas virtuales. La tecnologa de VPN proporciona un medio para usar el canal pblico de Internet como un canal apropiado para comunicar los datos privados. Con la tecnologa de encriptacin y encapsulamiento, una VPN bsica, crea un pasillo privado a travs de una red insegura. Es decir que la red pblica slo proporciona la infraestructura para enviar los datos. El objetivo fundamental de una VPN es proteger los datos durante la transmisin a travs de la red, permitiendo el uso de redes pblicas como si fueran privadas (virtualmente privadas). Esta proteccin previene el mal uso, modificacin, uso no autorizado e interrupciones de acceso a la informacin mientras atraviesa los distintos segmentos de la red (o redes). Una VPN no protege la informacin mientras est alojada en el origen, o cuando llega y se aloja en su destino. Tambin puede dejar expuesto los datos durante alguno de los procesos de encriptacin en la red (redes internas antes de la encriptacin o redes externas despus de la desencriptacin). Una VPN solo protege los aspectos de proteccin en la comunicacin, no protege la informacin alojada en el disco, en pantalla, o impresas. 2.6.13.1 Requerimientos de una VPN. 3

Escalabilidad: Esto significa poder decidir cuanta informacin puede manejarse al mismo tiempo, y efectivamente poder hacerlo. Desempeo: Este uno de los puntos crticos, la VPN debe estar preparada para manejar una gran cantidad de trfico si es que va a trabajar en un ambiente corporativo. Disponibilidad: Las soluciones VPN estn siendo adoptadas estratgicamente por las organizaciones para proveer accesos externos y eliminar altos costos de conectividad, por lo que su disponibilidad debe estar asegurada en todo momento. Transparencia: La VPN necesita ser fcil de usar y entender para el usuario, que lo utilizar sin saber como exactamente trabaja, una vez que han sido definidos los tneles de proteccin de la informacin. Una buena poltica de distribucin debe permitir a la VPN determinar cuando encriptar y cuando enviar texto claro, pidindole al usuario nicamente su autentificacin para proveer el acceso. Fcil de administrar: una VPN que se instale en una mediana o gran empresa debe ser fcil de administrar, como todo producto de seguridad, donde la administracin y el control centralizado de la solucin es clave. El mdulo de control debe tener una simple va para disear la poltica de seguridad, y una fcil distribucin de esa poltica en todos los puntos de la empresa. Interoperatividad: Una completa VPN debe poder comunicarse con otros productos VPN. Encriptacin: La solucin VPN debera ofrecer distintos tipos de encriptacin, que se utilizarn de acuerdo a las necesidades de cada segmento de la red. El estndar actual para la encriptacin comercial es DES o 3DES, pero existen otras alternativas como BlowFish o CAST (168 bit). Seguridad: Uno de los requerimientos ms importantes antes de implementar la VPN, es contar con polticas y procedimientos de seguridad definidos. La red virtual slo resuelve un problema especfico, y su configuracin debe estar basada en una poltica que haya contemplado el anlisis del riesgo que debemos atacar con la instalacin de esta herramienta. Esto hace que sea atractivo combinar la flexibilidad de los protocolos VPN con la seguridad proporcionada por IPSEC. 2.6.13.2 L2TP. Layer To Tunneling Protocol es un protocolo estndares del IETF que ha sido ampliamente implementado. L2TP encapsula las tramas del protocolo punto a punto (PPP Point to Point Protocol) que van a enviarse a travs de redes. Cuando est configurado para utilizar IP como su transporte, L2TP se puede utilizar como protocolo de tnel VPN en Internet. Las tramas PPP 3

encapsuladas se pueden cifrar o comprimir. Cuando los tneles L2TP aparecen como paquetes IP, aprovechan la seguridad IPSec estndar para obtener una fuerte proteccin de integridad, reproduccin, autenticidad y privacidad. L2TP se dise especficamente para conexiones ClienteServidor de acceso a redes y para conexiones Gateway a Gateway. 2.6.13.3 PPTP. Point to Point Tunneling Protocol (antecesor de L2TP) fue diseado para proporcionar comunicaciones autenticadas y cifradas entre un cliente y un Gateway o entre dos Gateways (sin necesitar una infraestructura de clave pblica) utilizando un ID de usuario y una contrasea. Apareci por primera vez en 1996, dos aos antes de la disponibilidad de IPSec y L2TP y su objetivo era la simplicidad en su diseo, la compatibilidad multiprotocolo y la capacidad de cruzar una amplia gama de redes IP. 2.6.13.4 IPSEC. El IETF ha desarrollado, en principios de 1995, un conjunto de estndares para la seguridad del protocolo IP conocida como IPSec. Este estndar es vlido para IPv4 y IPv6, y provee un marco que permite a dos o ms partes el uso de distintos algoritmos de encriptacin y mtodos de autenticacin en una misma sesin de comunicacin. Esta flexibilidad permite incorporar esta tecnologa para integrar distintos participantes a bajo costo, sin necesidad de dispositivos adicionales. Por primera vez el protocolo IP (capa de red y superiores) se modifica para proporcionar seguridad. IPSec proporciona autenticacin de origen, comprobacin de integridad y, opcionalmente, confidencialidad de contenido. El equipo emisor protege los datos antes de la transmisin y el equipo receptor los decodifica una vez que los ha recibido. IPSec se basa en claves criptogrficas (independientes de los algoritmos utilizados) y se puede utilizar para proteger equipos, sitios, dominios, comunicaciones de aplicaciones, usuarios de acceso telefnico. Como parte de un completo plan de seguridad que utiliza controles rigurosos y seguridad perifrica, IPSec asegura la proteccin de los datos que transmita. IPSec elimina el requisito de la implementacin de seguridad en la aplicacin bajando la seguridad al nivel de red. Esto permite a las aplicaciones permanecer independientes de la infraestructura de seguridad subyacente. Los datagramas IP se protegen sin tener en cuenta la aplicacin que inicialmente gener el trfico. En otras palabras, las aplicaciones no son compatibles con IPSec. Las reglas de seguridad las define el administrador sin tener en cuenta qu aplicacin se ejecuta; IPSec es transparente para las aplicaciones. IPSec define una familia de protocolos diseados para ser empleados con los datagramas IP: Authentication Header (AH)Protocolo IP 51: utilizado para garantizar la integridad de los datos, proporciona proteccin 2

antirreproduccin y protege la autenticacin del Host. AH provee autenticacin, integridad y proteccin a la replica (una transaccin slo debe llevarse a cabo una vez) asegurando partes de la cabecera IP del paquete. Encapsulating Security Payload (ESP) Protocolo IP 50: incluye las caractersticas de AH y agrega, opcionalmente, la confidencialidad de los datos asegurando los paquetes IP que siguen a la cabecera La aplicacin de estos dos protocolos puede verse en el siguiente grfico: Imagen 33

Es importante tener en cuenta que ni AH ni ESP proporcionan los algoritmos criptogrficos reales para implementar las caractersticas especificadas anteriormente, solo aprovechan los algoritmos criptogrficos y de autentificacin existentes. Los servicios proporcionados por IPSec pueden aplicarse en dos modos a los datagramas IP: Modo Normal: empleado para realizar comunicaciones entre equipos finales (punto a punto). En este caso toda la comunicacin es encriptada y los equipos intermedios no pueden desencriptar el contenido de los datagramas. Este modo permite la total confidencialidad de la comunicacin. Modo Tnel: los datagramas son enviados en claro hacia equipos intermedios (Router o Firewall), este encripta los datos y los enva al exterior. En el otro extremo del tnel se realiza el proceso de desencriptado y se enva el datagrama en claro hacia el equipo destino. Esto permite a los equipos de la red interna visualizar los datos y slo encriptar los que salen al exterior. 2.6.14 Inversin. Los costos de las diferentes herramientas de proteccin se estn haciendo accesibles, en general, incluso para las organizaciones ms pequeas. Esto hace que la implementacin de mecanismos de seguridad se d prcticamente en todos los niveles: empresas grandes, medianas, chicas y usuarios finales. Todos pueden acceder a las herramientas que necesitan y los 2

costos (la inversin que cada uno debe realizar) va de acuerdo con el tamao y potencialidades de las herramientas. Pero no es slo una cuestin de costos, los constantes cambios de la tecnologa hacen que para mantener un nivel parejo de seguridad, se deba actualizar permanentemente las herramientas con las que se cuenta. Como los intrusos mejoran sus armas y metodologas de penetracin de forma incesante, el recambio y la revisin constantes en los mecanismos de seguridad se convierten en imprescindibles. Y ste es un verdadero punto crtico. Segn Testers, esto es tan importante como el tipo de elementos que se usen. Sin duda, stos deben ser las que mejor se adapten al tipo de organizacin. Pero tan importante como eso es el hecho de conocer exactamente cmo funcionan y qu se puede hacer con ellos. Es prioritario saber los riesgos que una nueva tecnologa trae aparejados. 2.7 Ataques Simulados en redes almbricas. Beaver (2004) seala que los sistemas de computacin y aplicaciones requieren uno de los ms fundamentales sistemas de comunicaciones en la organizacin la red. La red consiste en tales dispositivos como los routers, los firewalls, e incluso hosts genricos (incluyendo los servidores y estaciones de trabajo) que se deben evaluar como parte del proceso de los ataques simulados. Muchas personas se refieren a los ataques simulados en trminos de realizar pruebas de seguridad de una perspectiva de red nicamente. sta es slo una parte del problema global. No pueda descontar los elementos esenciales de pruebas de seguridad de red antiguas. Ms adelante en este captulo se enumeran, algunas medidas slidas de proteccin para protegerse de los ataques contra la red. Hay miles de posibles vulnerabilidades en la red, igualmente hay muchas herramientas, e incluso ms tcnicas para prueba. No necesita probar la red para cada posible vulnerabilidad, usando cada herramienta disponible y tcnica imaginable. Las pruebas en este captulo producen una valoracin global buena de la red. Puede eliminar muchas vulnerabilidades en la red muy conocidas simplemente actualizando los hosts de red con el ltimo software y parches del vendedor. Las desigualdades son que la red no se atacar para aprovecharse de la mayora de estas vulnerabilidades. Aun cuando es as, no es probable que los resultados sean perjudiciales. Se pueden eliminar muchas otras vulnerabilidades siguiendo alguna de las mejores prcticas de seguridad en la red. Las pruebas, herramientas, y tcnicas en este captulo ofrecen la mejor opcin para el desarrollo de los ataques simulados. 2.7.1 Las Vulnerabilidades en la Infraestructura de red. Las vulnerabilidades en la infraestructura de red, son el fundamento de los asuntos tcnicos en seguridad en sus sistemas de informacin. Estas 2

vulnerabilidades de bajo nivel afectan todo lo que corre en la red. Es por ello que se necesita evaluarlas y eliminarlas siempre que sea posible. El enfoque para las pruebas de los ataques simulados en la infraestructura de red, debe ser, encontrar debilidades que otros pueden ver en la red para que se pueda cuantificar su nivel de exposicin. Muchos problemas estn relacionados a la seguridad de la infraestructura de red. Algunos problemas son ms tcnicos y por ello se requiere el uso de varias herramientas para evaluarlos apropiadamente. Se pueden evaluar otros con un buen par de ojos y pensando lgicamente. Algunos problemas son fciles de ver por fuera de la red, y otros son ms fciles de descubrir dentro de la red. La seguridad en la infraestructura de red involucra evaluar algunas reas como: * Dnde estn ubicados en la red los dispositivos tales como un firewall o IDS (Sistema de Deteccin de Intrusin) y cmo se configuran. * Lo que los hackers ven cuando realizan un escaneo de puertos y cmo ellos pueden aprovecharse de las vulnerabilidades en los hosts. * Diseo de red, tales como las conexiones de Internet, las capacidades de acceso-remoto, capas de defensa, y ubicacin de hosts en la red. * Interaccin de dispositivos de seguridad instalados. * Protocolos en uso. * Puertos comnmente atacados que estn desprotegidos. * Configuraciones de hosts en la red. * Monitoreo y supervisin de la red. Si cualquiera de estos problemas de seguridad son aprovechados, cosas malas pueden suceder: * Un ataque de DoS puede bajar la conexin de Internet - o incluso la red entera. * Un hacker que usa un analizador de red puede robar informacin confidencial en los e-mails y archivos transferidos. * Backdoors en su red pueden ser instalados. * Hosts especficos pueden ser atacados vulnerabilidades locales a travs de la red. aprovechndose de

Antes de avanzar con la evaluacin de seguridad de infraestructura de red, debe recordar hacer lo siguiente: 2

* Pruebe los sistemas desde un panorama exterior e interior. * Obtenga permisos de compaeros de red que estn conectados a la red para inspeccionar vulnerabilidades en las terminales, que pueden afectar la seguridad de la red, como los puertos abiertos y falta de un firewall o un router mal configurado. 2.6.2 Escogiendo herramientas. Las pruebas requieren las herramientas correctas. Herramientas libres (freeware), compartidas (shareware) y comerciales estn disponibles. Si se est buscando herramientas de seguridad fciles de usar, con un empaquetado todo en uno, se consigue por lo que paga - la mayora del tiempo - sobre todo para la plataforma Windows. Innumerable cantidad de profesionales en seguridad, apuestan por muchas herramientas de seguridad libres, sobre todo, aquellas que trabajan en los sistemas operativos basados en UNIX. Muchas de estas herramientas ofrecen un gran valor si tiene el tiempo, paciencia y voluntad para aprender las entradas y salidas. Puede equipar la caja de herramientas con escneres y herramientas de pruebas de vulnerabilidad. Se necesita ms de una herramienta. Ninguna herramienta hace todo lo que se necesita. 2.7.2.1 Los escneres. Estos escneres proporcionan prcticamente todos los puertos para escanear y herramientas para pruebas de red que necesite: * Sam Spade para Windows (samspade.org/ssw) para consultas de red, servidores DNS y rutas. * SuperScan (www.foundstone.com) para ping sweeps y escaneo de puertos. * NetScanTools Pro (www.netscantools.com) para decenas de funciones de las valoraciones de seguridad en la red, incluyendo ping sweeps, escaneo de puertos y comprobacin de SMTP. * Nmap (www.insecure.org/nmap) o NMapWin (sourceforge.net/projects/nmapwin) GUI (interfaz grfica de usuario), sistemas operando con huellas dactilares. * Netcat (www.atstake.com/research/tools/network_utilities) la herramienta ms verstil de seguridad para chequeos de seguridad como escaneo de puertos y pruebas de firewall. * WildPackets EtherPeek (www.wildpackets.com) para anlisis de red. 3

2.7.2.2 Pruebas de valoracin. Estas herramientas para la valoracin de vulnerabilidad, le permitirn probar sus hosts en la red para mltiples vulnerabilidades conocidas, que lo pueden guiar para una mejor seguridad: * GFI LANguard Network Security Scanner (www.gfi.com) para escaneo de puertos y otras pruebas de vulnerabilidad. * Nessus (www.nessus.org) es una herramienta todo en uno libre para pruebas tales como ping sweeps, escaneo de puertos y pruebas de vulnerabilidad. * Qualys QualysGuard (www.qualys.com) Es una gran herramienta todo en uno para pruebas de vulnerabilidad ms profundas. No es una herramienta libre.

2.7.3 Escaneo, Poking and Prodding. Llevar a cabo estos ataques simulados en la infraestructura de red, involucra los siguientes pasos de hackeo bsicos: 1. Reunir informacin y hacer un mapa de red. 2. Escanear los sistemas para ver cul est disponible. 3. Determinar que es lo que se est ejecutando en los sistemas descubiertos. 4. Tratar de penetras los sistemas descubiertos, si eso elige. Cada driver en la red e implementacin del protocolo TCP/IP de la mayora de los sistemas, incluyendo Windows y Linux, e incluso los firewalls y routers, han alterado el resultado de diferentes formas cuando se escanea, poking and prodding. Esto puede resultar en diferentes respuestas de los diferentes sistemas. Referirse al administrador o vendedor de los sitios Web para ms detalles sobre cualquier problema y posibles parches que se encuentren disponibles para solucionarlos. Si tiene todos los sistemas parchados, esto no debe ser ningn problema. 2.7.3.1 Escaneo de Puertos. Un escner de puertos muestra que es qu, en la red. Es una herramienta software que bsicamente escanea la red para ver quien est ah. El escner de puertos provee una vista bsica de cmo la red est situada. Le puede ayudar a identificar hosts no autorizados, aplicaciones y errores de configuracin en los hosts de la red que pueden causar serias vulnerabilidades de seguridad. 3

La mayor imagen de un escner de puertos es que frecuentemente descubre problemas de seguridad que muchas otras veces pasan desapercibidas. Los escneres de puertos son fciles de usar y pueden probar sistemas sin tener en cuenta sobre que sistema operativo o aplicaciones trabajan. Las pruebas pueden ser llevadas a cabo muy rpido sin tener que tocar hosts individuales en la red, lo cual sera muy atareado. El verdadero truco en asesorar la seguridad en la red completa es interpretar los resultados que se obtengan. Se pueden obtener falsos positivos en puertos abiertos, y entonces tendr que excavar profundamente. Por ejemplo, escanear el protocolo UDP, es menos confiable que el protocolo TCP y frecuentemente se producen falsos positivos debido a que muchas aplicaciones no saben como responder a escaneos aleatorios entrantes del UDP. Un escner rico en rasgos usualmente, un producto comercial frecuentemente puede identificar puertos y ver que es lo que se est ejecutando en un mismo paso. Las pruebas de escaneo de puertos toman tiempo. Lo tardado del tiempo depende del nmero de hosts que se tienen, del nmero de puertos escaneados, las herramientas usadas, y la velocidad de los links en la red. Escanear ms que simplemente los hosts ms importantes. Estos otros sistemas frecuentemente lo pueden morder si se ignoran. Tambin, desarrolle las mismas pruebas con diferentes utileras para ver cuando se obtienen diferentes resultados. No todas las herramientas encuentran los mismos puertos abiertos y vulnerabilidades. Esto es desafortunado, pero es una realidad en las pruebas para los ataques simulados. Si los resultados no concuerdan despus de efectuar las pruebas usando diferentes herramientas, debe explorar el problema ms adelante. Si algo no se ve bien, como puertos extraos abiertos probablemente no lo son. Prubelos nuevamente; si tiene duda, use otra herramienta desde otra perspectiva diferente. Como un hacker tico, se deben escanear todos los 65,535 puertos UDP y 65.535 puertos TCP en cada host de la red que es encontrado por el escner. Si encuentra puertos dudosos, busque documentacin para que la aplicacin sea conocida y autorizada. Para una mayor velocidad y simplicidad, puede escanear puertos comnmente hackeados.

Imagen 34

2.7.3.1.1 Ping sweeps. 5

Hacer ping sweep (barrido de ping) de toda la sub-red y hosts en la red, es una buena forma de darse cuenta cuales hosts estn vivos y perjudicando la red. Un ping sweep es cuando haces ping un rango de direcciones usando paquetes de Internet Control Message Protocol (ICMP, Protocolo de control de mensajes de Internet). La imagen siguiente muestra los comandos y el resultado al usar Nmap al llevar a cabo un ping sweeps en un rango de una sub-red clase C. Existen docenas de opciones de comandos, lo cual puede estar agobiando, cuando simplemente se quiere hacer un escaneo bsico. Puede acceder Nmap en la lnea de comandos para ver todas las opciones disponibles. Esta opcin en la lnea de comandos pueden ser usados para un Nmap ping sweeps: * - sP le dice a Nmap para desarrollar un escaneo ping. * - n le dice a Nmap no llevar a cabo una resolucin de nombre. Puede omitir esto si se quiere resolver nombres de hosts para ver que sistemas estn respondiendo. Resoluciones de nombre pueden tomar un poco ms. - T 4 option le dice a Nmap que desarrolle un escaneo agresivo (rpido). 192.168.1.1 -254 le dice a Nmap que escanee toda la sub red 192.168.1.x. Imagen 35

2.7.3.1.2 Escaneo de puertos. La mayora de los escneres de puertos operan en tres pasos: 7

1. El escner de puertos enva peticiones TCP SYN al host o rangos de hosts que se especificaron. Algunos escner de puertos, como SuperScan, lleva a cabo ping sweeps para determinar cuales hosts estn disponibles antes de empezar a escanear los puertos TCP. La mayora de los escneres de puertos, nicamente escanean puertos TCP por default. No se olvide de los puertos UDP. Se pueden escanear puertos UDP con un escaneador de puertos UDP como Nmap LANguard Network Security Scanner. 2. El escner de puertos espera rplicas de los hosts disponibles. 3. El escner de puertos verifica stos hosts disponibles para los 65,535 puertos disponibles TCP y UDP basados en aquellos puertos que se especifica para escanear para ver cuales tienen servicios disponibles en ellos. El escner de puertos provee la siguiente informacin acerca de los hosts activos en la red: Los hosts que estn activos y alcanzables a travs de la red. Direcciones de red de los hosts encontrados. Servicios y aplicaciones que los hosts deben ejecutar. Despus de llevar a cabo un barrido genrico de la red, puede excavar ms profundamente dentro de los hosts especficos que se han encontrado. 2.7.3.1.2.1 SuperScan. Es una de las herramientas favoritas para llevar a cabo escaneos genricos de puertos TCP. La siguiente imagen muestra el resultado de una red escaneada y algunos puertos abiertos interesantes en algunos hosts, incluyendo Windows Terminal Server y SSH se muestran en el siguiente cuadro.

Imagen 36

En la imagen anterior se seleccion las opciones Only Scan Responsive Pings y All Selected Ports in List. De cualquier forma puede seleccionar otras opciones: Si no se quiere hacer ping a cada host primero lo cual ayuda a hacer la prueba ms eficientemente deseleccione la opcin Only Scan Responsive Pings. (ICMP puede ser bloqueado, lo cual puede causar que el escner no encuentre algunos hosts). Si se quiere escanear un cierto rango de puertos bien conocidos o puertos especficos en los sistemas, puede configurar SuperScan para hacerlo. Se recomiendan estas opciones: Si se quiere desarrollar un escaneo de puertos conocidos, de perdido seleccione la opcin All Selected Ports in List. Si es la primera escaneada que realiza, hgalo en todos los puertos desde el 1 hasta 65,535 2.7.3.1.2.2 Nmap. Despus de tener una idea general de cuales hosts estn disponibles y cuales puertos estn abiertos, puede desarrollar varios escaneos para verificar que los puertos de hecho estn abiertos y no sean reportados como falsos positivos. Si desea hacer eso, Nmap es la herramienta perfecta para usar. Nmap permite ejecutar las siguientes escaneos adicionales:

Conectar: Este tipo bsico de escaneo TCP busca algn puerto TCP abierto en los hosts. Se puede usar este tipo de escaneo para ver que es lo que se est ejecutando y determinar cuales IDSs, firewalls, u otros dispositivos de conexin estn conectados. UDP Scan: Este tipo bsico de escaneo UDP busca algn puerto UDP abierto en los hosts. Puede usar este tipo de escaneo para ver que es lo que se est ejecutando y determinar cuales IDSs, firewalls, u otros dispositivos de conexin estn conectados. SYN Stealth: Este tipo de escaneo crea una conexin TCP abierta a la mitad, con los posibles hosts evadiendo sistemas IDS. Este es un buen tipo de escaneo para probar IDSs, firewalls y otros dispositivos de conexin. FIN Stealth, Xmas Tree, and Null: Estos tipos de escaneo, le permite mezclar un poco las cosas, enviando extraos paquetes formados a los hosts de red para que pueda ver como responden. Este escaneo bsicamente cambia las banderas en los encabezados TCP de cada paquete, lo cual permite probar como se maneja cada host para sealar las debilidades de implementacin y parches TCP/IP que necesitarn ser aplicados.

Tenga cuidado cuando lleve a cabo estos escaneos. Se pueden crear propios ataques DoS y potencialmente daar aplicaciones o sistemas enteros. Desafortunadamente, si se tiene un hosts con una pila dbil TCP/IP, no hay una buena manera de prevenir esto. La mejor manera de reducir las oportunidades de que esto ocurra es usar la opcin de bajo tiempo de Nmap (show timing), cuando ejecuta los escaneos. La siguiente figura muestra el NMapWin Scan, donde puede seleccionar estas opciones. Se pueden ver los parmetros de lnea mostrados en la parte inferior izquierda de la pantalla NMapWin. Esto ayuda cuando se sabe que es lo que se quiere hacer en la ayuda de la lnea de comandos, no es suficiente.

Imagen 37

2.7.3.1.3 Medidas de proteccin. Se puede implementar varias medidas de proteccin para escanear puertos tpicos. 2.7.3.1.3.1 Restriccin de trfico. Habilite slo el trfico que necesita acceder a los hosts internos preferentemente lo ms lejos posible de los hosts que se estn intentando proteger. Aplique estas reglas en dos lugares: * Router externo para el trfico entrante. * Firewall para el trfico saliente. Configurar firewalls para buscar una conducta potencialmente maliciosa con el tiempo (tales como el nmero de paquetes recibidos en un cierto periodo de tiempo), y tenga las reglas en su lugar para cortar ataques si un cierto umbral se alcanza, como 100 puertos examinados en un minuto. La mayora de los firewalls, IDSs, e IDPs detectan cuando se esta examinando un puerto y lo cortan en tiempo real. La siguiente imagen muestras un ejemplo: Una escaneo de huella dactilar bsico en Nmap OS fue detectado y cortado por el firewall personal ISS`s BlackICE y un producto IDP en tiempo real.

Imagen 38

2.7.3.1.3.2 Reuniendo informacin de la red. NetScanTools Pro es una gran herramienta para informacin de la red en general, como el nmero nico de direcciones IP, nombres NetBIOS, y direcciones MAC encontradas. El siguiente reporte es un ejemplo del NetScanner (escaneador de red) del NetScanTools Pro 2000:

2.7.3.1.3.3 Rechazo de trfico. Negar el trfico de ICMP a los hosts especficos que est intentando proteger. La mayora de los hosts no necesitan tener habilitado el protocolo ICMP especialmente para peticiones entrantes de ICMP a menos que se necesita para un sistema de direccin de red que supervise a los hosts que usan este protocolo. 1

Puede romper aplicaciones en la red, para asegurarse de que se analiz lo qu est sucediendo, y entender cmo funcionan las aplicaciones y protocolos, antes de que desactive dicho trfico de la red como ICMP. 2.7.4 Examinando SNMP. El Protocolo de Direccin de Red Simple (SNMP Simple Network Management Protocol) es un protocolo construido virtualmente en cada dispositivo de la red. Programas de direccin de red (como HP OpenView y LANDesk) usan SNMP para el manejo de hosts remotos de red. Desgraciadamente, SNMP tambin presenta vulnerabilidades de seguridad. 2.7.4.1 Vulnerabilidades. El problema es que la mayora de los hosts de red ejecutan SNMP que no estn parchados para prevenir vulnerabilidades de seguridad conocidas. La mayora de los dispositivos de red tienen SNMP habilitado y no lo necesitan siquiera! Si SNMP se compromete, un hacker puede reunir informacin de red como tablas ARP y conexiones de TCP para atacar sus sistemas. Si SNMP se presenta en el puerto examinado, puede apostar que un hacker intentar comprometer el sistema. La siguiente imagen muestra cmo GFI LANguard determina la versin de NetWare (Versin 6, Service Pack 3) simplemente usando una consulta a un host desprotegido Aqu hay algunas otras utilidades para SNMP: * La herramienta comercial SolarWinds (www.solarwinds.net). * Libre Windows Getif GUI-based (www.wtcs.org/snmp4tpc/getif.htm) * SNMPUTIL para Windows (www.wtcs.org/snmp4tpc/FILES/Tools/SNMPUTIL/SNMPUTIL.zip). Imagen 39

2.7.4.2 Medidas de proteccin. Prevenir los ataques SNMP puede ser tan simple como: 3

* Siempre desactiva el SNMP de un host si no est siendo usado. * Bloquea el puerto SNMP (puerto 161 UDP) en el permetro de red. * Cambia el valor por default de SNMP de public a otro valor que sea ms difcil adivinar. Esto har ms difcil de hackear el SNMP. 2.7.5 Banner Grabbing. Los banners son las pantallas de bienvenida que divulgan la versin del software y otra informacin del host a un host de la red. Esta informacin del banner puede identificar el sistema operativo, el nmero de versin, y los especficos service packs, as que los hackers conocen las posibles vulnerabilidades. Puede agarrar los banners usando telnet o Netcat. 2.7.5.1 Telnet. Puede hacer telnet a los hosts en el puerto telnet predefinido (TCP puerto 23) para ver si se presenta con una sugerencia del login o cualquier otra informacin. Simplemente tecleando la siguiente linea en el command de Windows o UNIX:

Puede hacer telnet a otros puertos comnmente usados con estos comandos: * SMTP:

* HTTP:

* POP3:

La siguiente imagen muestra la informacin de la versin especfica sobre un servidor Exchange 2003 cuando se hace telnet a l en el puerto 25.

Imagen 40

2.7.5.2 Netcat. Netcat puede tomar informacin del banner de los routers y otros hosts de red, como un punto de acceso inalmbrico o un switch Ethernet. Los pasos siguientes devuelven informacin sobre un host que ejecuta un servidor Web para propsitos de direccin remotos: 1. Teclee la lnea siguiente para comenzar una conexin en el puerto 80:

2. Espere por la conexin inicial. Netcat devuelve el mensaje hostname [ip_address] 80 (http) open. 3. Teclee la lnea siguiente para tomar la pgina principal del servidor Web:

1. Presione enter un par de veces para cargar la pgina. La siguiente imagen muestra algunos resultados tpicos con Netcat. Imagen 41

2.7.5.3 Medidas de proteccin. Los pasos siguientes pueden reducir la oportunidad de ataques bannersgrabbing: * Si no hay necesidad comercial por servicios que ofrecen informacin de banners, desactive esos servicios sin usar en el host de red. 1

* Si no hay necesidad comercial por los banners predefinidos, o si se puede personalizar lo que despliegan los banners, configure la aplicacin del host de red o sistema operativo para desactivar los banners o quitar la informacin de los banners que le podran dar al atacante una ayuda. Si puede personalizar los banners, verifique con un abogado sobre agregar un mensaje de advertencia similar a este: Advertencia! ste es un sistema privado. Todo el uso se supervisa y se graba. Cualquier uso no autorizado de este sistema puede resultar en crmenes perseguidos con todo el contenido de la ley. 2.7.6 Reglas del firewall. Como parte de los ataques simulados, se pueden probar las reglas del firewall para asegurarse que estn trabajando como se supone. 2.7.6.1 Probando. Unas cuantas pruebas pueden verificar que el firewall hace lo que lo dice que est haciendo realmente. Se pueden conectar a travs de l en los puertos que cree que estan abiertos, pero que de aquellos otros puertos que pueden estar abiertos y no deben estarlo? Algunas herramientas de valoracin de seguridad no slo pueden probar los puertos abiertos, sino tambin determinan si se permite al trfico atravesar el firewall. 2.7.6.1.1 Herramientas todo en uno. Estas herramientas no son perfectas, pero su capacidad en comprobacin hacen que el proceso de examinacin de la red sea menos doloroso y puede ahorrar mucho tiempo. Su reporte es muy bueno, tambin, sobre todo si se mostrar sus resultados de la prueba a directivos superiores. Nessus, QualysGuard, y GFI LANguard Network Security Scanner prove resultados similares. La siguiente imagen es un resultado parcial de LANguard. Identifica puertos abiertos en la prueba a la red y presenta informacin sobre SNMP, informacin sobre sistema operativo y alertas especiales para buscar.

Imagen 42 3

Puede usar LANguard Networj Security Scanner y QualysGuard para encontrar vulnerabilidades del sistema operativo y parches que necesitan ser aplicados. 2.7.6.1.2 Netcat. Netcat puede probar ciertas reglas de firewall sin tener que probar un sistema de produccin directamente. Por ejemplo, se puede verificar si el firewall le permite al puerto 23 (telnet) acceder. Siga estos pasos para ver si una conexin se puede hacer a travs del puerto 23: 1. Cargar Netcat en una mquina cliente dentro de la red. Esto le permite probar de adentro hacia afuera. 2. Cargar Netcat en una computadora probada fuera del firewall. Esto le permite probar de afuera hacia adentro. 3. Entre el comando listener Netcat en la mquina (interna) del cliente con el nmero del puerto que se est probando. Por ejemplo, si se est probando el puerto 23, teclee este comando:

4. Entre el comando Netcat para comenzar una sesin entrante en la mquina (externa) probada. Debe incluir la siguiente informacin: * Las direcciones IP de las mquinas internas que est probando. * El nmero del puerto que est probando. Por ejemplo, si las direcciones IP de la mquina interna (del cliente) es 10.11.12.2 y el puerto es 23, teclee este comando:

Si Netcat presenta un nuevo prompt de comandos (el cmd.exe para el Paso 3) en la mquina externa, significa que esta conectado y est ejecutando comandos en la mquina interna. Esto puede servir para mltiples propsitos, incluso probando las reglas del firewall y ejecutando comandos en un sistema remoto. 2.7.6.1.3 Herramientas alternativas para las pruebas. Estas utileras prueban reglas del firewall ms robustamente que Netcat: * Firewalk: Una herramienta (www.packetfactory.net/firewalk). basada en UNIX

* Firewall Informer: Una herramienta comercial creada por Blade Software (www.blade-software.com). 2.7.6.2 Medidas de proteccin. Las siguientes medidas de proteccin pueden prevenirle al hacker probar su firewall: * Limitar el trfico a lo que se necesita. Ponga las reglas en el firewall (y router, si se necesitan) para pasar slo el trfico que debe pasar absolutamente. Por ejemplo, tenga las reglas en lugar que permitan flujo entrante HTTP a un servidor de Web y saliente para el acceso Web sta es la mejor defensa contra alguien haciendo poking en su firewall. * Bloquee ICMP para ayudar a prevenir el abuso de algunas herramientas automatizadas, como Firewalk. * Habilita la inspeccin de paquete en el firewall, si se puede. Esto puede bloquear peticiones no solicitadas. 2.7.7 Viendo a travs de un analizador de red. Un analizador de red es una herramienta que le permite ver dentro de una red y analizar datos que van a travs del cableado para la optimizacin de la red, la seguridad, y/o propsitos para solucin de problemas. Como un microscopio para un cientfico de laboratorio, un analizador red es herramienta que debe tener cualquier profesional de seguridad. Los analizadores de red son generalmente llamados como sniffers (olfateadores), aunque ese es realmente el nombre y marca de fbrica de un producto especfico de Network Associates, Sniffer (la herramienta original de anlisis de red. Un analizador de red es hbil para sniffing (olfatear) paquetes. Vea los siguientes comportamientos de trfico en la red: 1

* Cmo se ven las rplicas de paquetes?Llegan de parte del host que se est probando, o de un dispositivo intermediario? * Los paquetes parecen cruzar un host de red o dispositivo de seguridad, tales como el router, firewall, IDS, o un servidor proxy? Al evaluar la seguridad y responder a los incidentes de seguridad, un analizador de red, puede ayudarlo. * Ver trfico de red anmalo e incluso rastrear un intruso. * Entregar una lnea de fondo de la actividad de red y desempeo antes de que ocurra un incidente en la seguridad, como los protocolos en uso, tendencias del uso, y direcciones MAC. Cuando la red se comporta errticamente, un analizador de red puede ayudarle. * Rastree y asle el uso malicioso de la red. * Detecte aplicaciones Trojan-horse maliciosas. * Monitoree y rastree ataques de DoS. Puede usar uno de los programas siguientes para el anlisis de red: * EtherPeek por WildPackets (www.wildpackets.com) es uno de los mejores analizadores de red. Entrega una tonelada de rasgos que los analizadores de red antiguos tienen por una fraccin de costo. EtherPeek est disponible para los sistemas operativos de Windows. * La fuente abierta del analizador de red de Ethereal puede descargada desde www.ethereal.org EtherPeek no es muy amistoso los usuarios, pero es muy poderoso si est dispuesto a aprender pormenores. Ethereal est disponible para ambos Windows y sistemas operativos basados en UNIX. ser con sus los

* Otras dos utileras poderosas y libres pueden realizar funciones como el anlisis de red: * ettercap (ettercap.sourceforge.net) para sistemas operatives Windows y UNIX. Ms adelante en este captulo se cubre ms a detalle en el subttulo ARP Spoofing. * dsniff (www.monkey.org/~dugsong/dsniff) para sistemas operativos basados en UNIX. Un analizador de red es simplemente un software que se ejecuta en una computadora con una tarjeta de red. Funciona poniendo la tarjeta de red en modo promiscuolo cual habilita la tarjeta para ver todo el trfico en la red, incluso trfico no destinado al Host analizador de red. El analizador de la red 3

realiza las funciones siguientes: * Captura todo el trfico de la red * Interpreta o descifra lo que se encuentra en un formato humano-leble * Muestra todo en orden cronolgico Aqu hay unas advertencias al usar un analizador de la red: * Para capturar todo el trfico, se debe conectar el analizador a: * Un hub en la red * Un puerto del monitor/span/mirror en un switch * Debe conectar el analizador de red a un hub por fuera del firewall, como semuestra en la siguiente imagen, como parte de la prueba para que pueda ver el trfico similar a lo que un IDS ve: * Lo que est entrando en la red antes de los filtros del firewall eliminen el trfico de basura * Lo que est dejando la red despus de que el trfico va ms all del firewall. Imagen 43

Si conecta el analizador de red dentro o fuera del firewall, ver resultados inmediatos. Puede ser una cantidad aplastante de informacin, pero Puede buscar estos problemas primero: * Trfico Impar, como: * Cantidad inusual de paquetes de ICMP. * Cantidades excesivas de trfico multicast o broadcast.

* Tipos de paquetes que no pertenecen, como NetBIOS en un ambiente NetWare. * Hbitos de uso Internet, los cuales pueden sealar comportamientos maliciosos de personas o sistemas que han sido comprometidos, tales como: * Web surfing. * E-mail. * IM. * Uso cuestionable, como: * Muchos paquetes perdidos o de mucho tamao * Alto consumo del ancho de banda que puede apuntar a un servidor Web o FTP que no pertenece * Reconocimiento y perfil de sistemas de los escneres de puertos y herramientas de valoracin, como una cantidad significante de hosts desconocidos sobre todo encima de puertos que no se usan mucho, como FTP o telnet. * Hackeo en progreso, como las toneladas de peticiones entrantes de UDP o ICMP, inundaciones SYN, o broadcast excesivos. * Nombres de hosts no estndares en su red. Por ejemplo, si sus sistemas se llaman Computer1, Computer2, y as sucesivamente, una computadora llamada GEEKz4evUR debe levantar una bandera roja. *Servidores ocultos (sobre todo Web, SMTP, FTP, y DHCP) que pueden estar consumiendo ancho de banda de la red o software ilegal o incluso acceso dentro de los hosts de la red. * Ataques en aplicaciones especficas que muestran comandos como /bin/rm, /bin/ls, eco, y cmd.exe. Puede necesitar permitir a su analizador de red que se ejecute por un rato varias horas a varios das, dependiendo de lo que se est buscando. Antes de empezar, configure su analizador de red para capturar y guardar datos ms relevantes: * Si el analizador de red lo permite, configure el software analizador de red para usar un bfer dentro y fuera. Esto sobrescribe los datos ms antiguos cuando el bfer se llene, pero puede ser su nica opcin si la memoria y espacio de la unidad de disco duro estn limitados en su computadora. * Si el analizador de red lo permite, grabe todo el trfico en un archivo, y 1

gurdelo en el disco duro. ste es el escenario ideal - sobre todo si tiene una unidad de disco duro grande, de 50GB o ms. Puede llenar un gigabyte de su disco duro fcilmente en un periodo de tiempo corto. * Cuando el trfico de red no se ve bien en un analizador de red, probablemente no lo es. Es mejor estar seguro que afligido. Ejecute una lnea de fondo cuando su red est trabajando normalmente. Puede ver cualquier anormalidad obvia cuando un ataque ocurre. La siguiente imagen muestra lo que un ataque Smurf DoS puede hacer a una red en slo 30 segundos. (ste ataque fue creado con BLADE Softwares IDS Informer, pero puede usar otras herramientas.) En una red pequea con trfico muy pequeo, el nmero de utilizacin es 823 kilobits/second. Imagen 44

La siguiente imagen muestra el monitor de un ataque Smurf DoS en EtherPeek`s. Se transmitieron tres millones de bytes en este corto periodo de tiempo desde un host.

Imagen 45

La siguiente imagen muestra como se ve la herramienta remota de administracin WANRemote (RAT Remote administration tool) a travs de la red usando EtherPeek. Muestra los comandos enviados para recibir los archivos del drive local C:, procesps muertos UNIX y descarga X-Windows. Imagen 46

Si una estacin de trabajo consume considerablemente ms ancho de banda que los otros como el host 10.11.12.203 en la siguiente imagen excave profundamente para ver lo que sucede. (Tales hosts de la red como los servidores frecuentemente envan y reciben ms trfico que otros hosts).

Imagen 47

La siguiente imagen muestra una indicacin de que un puerto examinado est ejecutndose en la red. Este anlisis muestra todos los distintos protocolos y el nmero pequeo de paquetes, incluso Gnutella, telnet, y rlogin.

Imagen 48 1

Verifique la red para un nmero alto de peticiones de ARP y de ICMP que proporcionan a su trfico global, como es mostrado en la siguiente imagen. Imagen 49

2.7.8 Medidas de proteccin. Un analizador de red puede usarse para bien o para mal. Todas estas 1

pruebas pueden usarse en contra suya. Unas medidas de proteccin pueden ayudar a prevenir el uso de un analizador de red no autorizado, pero no hay ninguna manera completamente de prevenirlo. Si los hackers pueden conectarse a la red (fsica o inalmbrica), ellos pueden capturar paquetes en la red, aun cuando est usando un switch. 2.7.8.1 La seguridad fsica. Asegrese de que una seguridad fsica adecuada est en su lugar para prevenir que un hacker se conecte a la red: * Mantenga a los chicos malos fuera del site de servidores y cableado. Un puerto especial en un switch dnde un hacker puede conectar un analizador de red es especialmente sensible. Asegrese que est excepcionalmente seguro. * Asegrese de que algunas reas no supervisadas y escritorios desocupados no tengan una conexin activa a la red. 2.7.8.2 Deteccin de un analizador de red. Puede usar una utilera de red o de un host para determinar si alguien est ejecutando un analizador de red no autorizado en su red: * Sniffdet (sniffdet.sourceforge.net) para los sistemas basados en UNIX. * PromiscDetect Windows. (ntsecurity.nu/toolbox/promiscdetect) para

Estas herramientas le permiten que supervise la red para tarjetas Ethernet que estn siendo ejecutadas en modo promiscuo. Simplemente cargue los programas la computadora, y los programas lo alertan si ven conductas promiscuas en la red (sniffdet) o el sistema local (PromiscDetect). 2.7.9 El ataque del MAC-daddy. Los atacantes pueden usar ARP (Protocolo de Resolucin de Direccin, Address Resolution Protocol) corriendo en la red para hacer que los sistemas parezcan ser parte del suyo u otro host no autorizado en la red. 2.7.9.1 ARP spoofing. Una cantidad excesiva de peticiones ARP puede ser una seal de un ataque venenoso de ARP (o ARP spoofing) en su red. Lo que pasa es que un cliente que ejecuta un programa como el basado en UNIX dsniff o el UNIX y el ettercap basado en DOS/Windows pueden cambiar las tablas ARP son las tablas que guardan las direcciones IP al control de medios de comunicacin (MAC) en los hosts de la red. Esto causa a la computadora de la vctima pensar que necesita enviar trfico a la 2

computadora del atacante, en lugar del verdadero destino, cuando se comunican por la red. A esto se le conoce como un ataque Man-in-the-Middle (MITM). Esta vulnerabilidad de seguridad es inherente en cmo se manejan las comunicaciones de TCP/IP. Aqu est un ataque tpico de ARP spoofing con la computadora de un hacker (Hacky) y las computadoras de dos usuarios de la red legtimos (Joe y Bob): 1. Hacky envenena los caches de ARP de las vctimas Joe y Bob usando el dsniff, el ettercap, o una utilera que l escribi. 2. Joe asocia la direccin MAC de Hacky con la direccin IP de Bob. 3. Bob asocia la direccin MAC de Hacky con la direccin IP de Joe. 4. El trfico de Joe y el trfico de Bob se envan a la IP de Hacky primero. 5. El analizador de red de Hacky captura el trfico de Joe y el trfico de Bob. Si Hacky est configurado para actuar como un router y enva paquetes, emite el trfico a su destino original. El remitente original y receptor nunca sabrn la diferencia. La siguiente imagen muestra el material del e-mail que se encontr con el ettercap. Al cargar el ettercap en mi computadora Windows, se seleccion 10.11.12.204 como la fuente y 10.11.12.2 como el destino, y se us el envenenamiento de ARP. Imagen 50

Rplicas de las ARP spoofed pueden ser enviadas a un switch muy rpidamente. El switch revierte el modo de transmisin (broadcoast mode), lo cual lo hace funcionar como un hub. Cuando esto ocurre, un atacante puede olfatear cada paquete que va a travs de switch sin molestar con ARP spoofing.

2.7.9.2 Spoofing de direcciones MAC. El spoofing de direcciones MAC engaa al switch en hacerlo pensar (realmente, a su computadora) que es alguien ms. Simplemente cambie su direccin MAC como otro usuario. Puede usar este truco para probar sistemas de control de acceso como su IDS, firewall, e incluso sistemas operando con control loging que verifican por una direccin MAC especfica. 2.7.9.2.1 Sistemas basados en UNIX. En UNIX y Linux, puede spoof direcciones MAC con la utilidad ifconfig. Siga estos pasos: 1. Mientras esta conectado como la raz, use ifconfig para entrar un comando que desactive la interfase de la red. Inserte el nmero de interfase de red que quiera desactivar (normalmente, eth0) en el comando, as:

2. Entre el comando para la direccin MAC que quiera usar. Inserte las direcciones MAC falsas y el nmero de interfase de la red nuevamente, as:

Puede usar una utilera de rasgos ms ricos llamada MAC Changer (www.alobbs.com/macchanger) para los sistemas Linux. 2.7.9.2.2 Windows. Puede usar el regedit para editar el Registro de Windows, pero existe una utilera de Windows llamada SMAC (www.klcconsulting.net/smac), lo cual hace que las MAC spoofing sean un proceso simple. Siga estos pasos para usar SMAC: 1. Cargue el programa. 2. Seleccione el adaptador por el que quiere cambiar la direccin MAC. 3. Entre la nueva direccin MAC en el campo New Spoofed MAC Address, y haga clic en el botn Update MAC. 4. Detenga y reinicie la tarjeta de la red con estos pasos: i. Clic derecho en la tarjeta de red en las Conexiones de Marcado y Red. ii. Seleccione Desabilitar, y entonces clic derecho nuevamente y pulse Habilitar para que los cambios surtan efecto. 3

Puede tener que reiniciar para que funcione apropiadamente 5. Pulse el botn Refresh en la interfase SMAC. Debe ver algo similar a la pantalla SMAC capturada en la siguiente imagen. Para revertir los cambios del Registro con SMAC, siga estos pasos: 1. Seleccione el adaptador por el cual quiere cambiar la direccin MAC. 2. Pulse Remove MAC. 3. Detenga y reinicie la tarjeta de red con estos pasos: i. Clic derecho en la tarjeta de red en las Conexiones de Red y Marcado. ii. Seleccione Desactivar, y entonces clic derecho nuevamente y pulse el botn Enable para que el cambio surta efecto. Puede tener que reinicar para que funcione apropiadamente. 4. Click Refresh en la interfase SMAC. Deber ver la direccin MAC original nuevamente. Imagen 51

2.7.9.3 Medidas de proteccin. Unas medidas de proteccin en la red pueden minimizar los efectos de un ataque de un hacker contra direcciones ARP y MAC en la red. 2.7.9.3.1 La prevencin. Puede prevenir el spoofing de direcciones MAC si los switches pueden 1

habilitar la seguridad puertos para prevenir los cambios automticos a las tablas de direccin MAC del switchs. Ninguna medida de proteccin realstica para el envenenamiento de ARP existe. La nica manera de prevenir el envenenamiento ARP es crear y mantener las entradas de ARP estticas en los switches para cada hosts en la red. Esto es definitivamente algo que ningn administrador de la red tiene tiempo para hacer. 2.7.9.3.2 Deteccin. Puede detectar estos dos tipos de hackeo a travs de un IDS o una utilera autosuficiente que monitoree direcciones MAC. Arpwatch es un programa basado en UNIX que alerta va e-mail si descubre cambios en direcciones MAC asociadas con direcciones IP especficas en la red. 2.7.9.4 Denial of Service DoS. Ataques DoS (negar el servicio) estn entre los ataques ms comunes de un hacker. Un hacker comienza tantas peticiones invlidas a un organizador de la red que usa todos sus recursos respondindole que ignora las peticiones legtimas. 2.7.9.4.1 Los ataques de DOS. Los siguientes tipos de ataque de DoS son posibles contra lau red y hosts, y puede causar dao en los sistemas, datos perdidos, y a cada usuario saltar en su caso, mientras se pregunta cuando se restaurar el acceso a Internet. 2.7.9.4.1.1 Los ataques individuales. Aqu estn algunos ataques comunes de DoS: * SYN floods: El atacante literalmente inunda a un host con paquetes TCP SYN. * Ping de la Muerte: El atacante enva paquetes de IP que exceden el mximo de longitud de 65,535 bytes, que pueden daar el TCP/IP en muchos sistemas operativos. * WinNuke: Este ataque puede desactivar la red en el antiguo Windows 95 y NT. 2.7.9.4.1.2 Ataques distribuidos. Ataques DoS distribuidos (DDoS) tienen un impacto exponencialmente mayor en sus vctimas. El ms famoso fue el ataque DDoS en contra de eBay, Yahoo!, CNN, y docenas de otros sitios de Web por el hacker conocido como MafiaBoy. stos son algunos ataques distribuidos comunes: 2

* Smurf attack: Un atacante spoofs la direccin de la vctima y enva peticiones ICMP eco (paquetes del ping) a la direccin de la transmisin. La computadora de la vctima se inunda con las toneladas de paquetes en respuesta a sas peticiones eco. * Ataques Trinoo and Tribe Flood Network (TFN): Programas de lanzamiento de diluvios de paquete en contra de la mquina de la vctima, cargndolo excesivamente y causando dao. Los ataques de DoS pueden llevarse a cabo con herramientas que el hacker escribe o descarga del Internet. stas son buenas herramientas para probar la red IDS/IDP y firewall. Puede encontrar programas que le permiten ataques reales y programas, como el BLADE Softwares IDS Informer que permiten enviar ataques controlados. 2.7.9.4.2 Probando. La primera prueba de DoS debe ser una bsqueda de vulnerabilidades DOS de una perspectiva de un escaneador de puertos y analizador de red. No pruebe DoS a menos que haya probado sistemas o pueda realizar pruebas controladas con las herramientas apropiadas. 2.7.9.4.3 Medidas de proteccin. La mayora de los ataques DoS son difciles de predecir, pero pueden ser fciles de prevenir: * Probar y aplicar parches de seguridad lo ms pronto posible para tales hosts de red, como routers y firewalls, as como para el servidor y estaciones de trabajo de los sistemas operativos. * Usar sistemas IDS y sistemas IDP para supervisar regularmente ataques de DoS. Puede ejecutar un analizador de red en el modo de la captura continuo si no puede justificar el costo de un IDS extremo o solucin de IDP. * Configurar los firewall y routers para bloquear el trfico malformado. Puede hacer esto slo si los sistemas lo apoyan, as que dirjase al administrador para los detalles. * Minimizar el spoofing de IP por: * Usar la autenticacin y encriptacin, como una Infraestructura de Llave Pblica (PKI). * Filtrar paquetes externos que parezcan venir de direcciones internas, el host local (127.0.0.1), o cualquier otro privado y direccin no routeable como 10.x.x.x, 172.16.x.x-172.31.x.x, o 192.168.x.x. 2

* Bloquear todo el trfico ICMP hacia el interior de la red a menos que especficamente se necesite. Incluso entonces, slo se debe permitirlo en hosts especficos. * Deshabilitar todos los servicios pequeos de TCP/UDP no necesarios (como el eco y chargen). Establezca una lnea de fondo de los protocolos de la red y modelos de trfico antes que el ataque de DoS ocurra. As, sabr qu buscar. Y peridicamente examine para tales vulnerabilidades potenciales DoS as como software de DOS instalado en los hosts de la red. Trabaje con una mentalidad necesaria mnima al configurar los dispositivos de su red lomo los firewall y routers: * Identifique el trfico que sea necesario para el uso apropiado de la red. * Permita el trfico que se necesita. * Deniegue todo el otro trfico. 2.7.9.5 Defensas generales en la red. Sin tener en cuenta los ataques especficos contra el sistema, unas prcticas buenas pueden ayudar a prevenir muchos problemas de la red: * Inspeccin en los firewall. Esto puede ayudar a asegurar que todo el trfico que cruza es legtimo y puede prevenir ataques DoS y otros ataques spoofing. * Reglas para realizar el filtrado de paquetes basado en el tipo de trfico, puertos TCP/UDP, direcciones IP, e incluso las interfaces especficas en los routers antes de que el trfico sea permitido de entrar en la red. * Filtro de Proxy y NAT Network Address Translation (Traduccin de Direcciones de Red). * Encontrar y eliminar paquetes fragmentados que entran en la red (de Fraggle u otro tipo de ataque) va un sistema IDS o IDP. * Segmentar y poner firewalls en estos segmentos de red: * La red interna en general * Departmanetos importantes, como la contabilidad, finanzas, HR, e investigacin. (Beaver 2004) 2.8 Ataques simulados en redes inalmbricas Beaver (2004) dice que las redes de rea local inalmbricas (WLANs) especficamente, aquellas basadas en el estndar IEEE 802.11 est desplegndose cada vez ms en ambos tipos de red, en el negocio y la casa. 1

Juntamente con la mensajera instante y grabadoras de video personal, las WLANs son la tecnologa ms clara que se ha usado en un buen rato. Por supuesto, con cada nueva tecnologa, llegan ms problemas de seguridad, y WLANs no son la excepcin. De hecho, la tecnologa inalmbrica 802.11b ha sido el un cono para una dbil seguridad de red y ataques de hackers en los muchos aos que lleva ejecutndose. WLANs ofrecen una tonelada de valor comercial, desde la conveniencia hasta reducir tiempo de despliegue. Si su organizacin permite el acceso de redes inalmbricas o no, probar para las vulnerabilidades de seguridad en las WLAN es crucial. En este captulo, se cubren algunas vulnerabilidades de seguridad en las redes inalmbricas que se deben probar. Tambin se mencionan algunas medidas de proteccin econmicas y fciles que se pueden implementar para ayudar asegurar que las WLANs no conllevan mayor riesgo en su organizacin, que beneficio. 2.8.1 Implicaciones de las vulnerabilidades de las redes inalmbricas. WLANs son muy susceptibles a ataques de hackers incluso ms que las redes almbricas (cubierto en el Captulo 8). Ellas tienen vulnerabilidades que pueden permitirle al hacker llevar su red a su ms bajo nivel. Si un hacker compromete su WLAN, puede experimentar los siguientes problemas: * Prdida de acceso de la red, incluyendo e-mail, Web, y otros servicios que pueden causar una baja en el negocio. * Prdida de informacin confidencial, incluso contraseas, datos del cliente, propiedad intelectual, y ms. * Obligaciones legales asociadas con usuarios no-autorizados. La mayora de las vulnerabilidades inalmbricas se encuentran en el protocolo 802.11 y dentro de los puntos de acceso inalmbricos (APs) los dispositivos centrales que permiten a los usuarios conectarse a la red. Tambin los usuarios inalmbricos tienen algunas vulnerabilidades. Varios arreglos han llegado en los ltimos aos para dirigir estas vulnerabilidades, pero la mayora de estos arreglos no han sido aplicados o habilitados por default. Tambin puede tener empleados que instalan el equipo WLAN sin tener conocimiento; sta es la amenaza ms seria a la seguridad inalmbrica y una muy difcil para combatirla. Incluso cuando las WLANs estn ms protegidas y todos los parches ms reciente han sido aplicados, todava puede tener algunos problemas serios de seguridad, como DoS y ataques man-in-the-middle (como los que se tienen en redes almbricas). 2.8.2 Escogiendo sus herramientas. Algunas grandes herramientas de seguridad de WLAN estn disponibles para plataformas Windows y UNIX. Las herramientas UNIX qu principalmente corren en Linux y BSD pueden ser algo difciles de configurar y ejecutar correctamente. Los servicios de Tarjetas PC son los ms engaosas 2

para preparar, dependiendo del tipo de tarjeta WLAN y la versin de Linux. Las herramientas basadas en UNIX son excelentes en lo que hacen. Programas tales como Kismet (www.kismetwireless.net), AirSnort (airsnort.shmoo.com), AirJack (802.11ninja.net/airjack), y Wellenreiter (www.wellenreiter.net) ofrecen muchas caractersticas que la mayora de las aplicaciones basadas en Windows no tienen. Estos programas funcionan muy bien si se tiene instaladas todas las dependencias de Linux. Tambin ofrecen muchas caractersticas que no se necesitan cuando se evalua la seguridad de la WLAN. Para mantener simples las cosas, las pruebas que se enumeran en este captulo son utileras basadas en Windows. Las siguientes herramientas basadas en Windows, son las favoritas de muchos profesionales a la hora de evaluar redes inalmbricas: * NetStumbler (www.netstumbler.com) enumeracin de AP. para descubrimiento y

* Software de manejo de usuarios como el software Orinocos Client Manager para descubrimiento y enumeracin de AP * WildPackets' AiroPeek (www.wildpackets.com) o su analizador favorito de WLAN, para informacin detallada sobre los hosts inalmbricos desencriptacin de trfico encriptado y ms * LANguard Network Security Scanner (www.gfi.com) enumeracin de WLAN examen de vulnerabilidad. para

Tambin necesita el hardware apropiado. Un hardware muy bueno es una PC laptop con una tarjeta PC Card Orinoco 802.11b. Esta tarjeta no slo es compatible con NetStumbler, sino tambin tiene un conector de antena que le permite conectarse a una antena externa. Otro extra es que la mayora de las herramientas de seguridad inalmbricas estn familiarizados con la tarjeta Orinoco. Mucho soporte en las herramientas de seguridad esta disponibles para el paquete Prism2 encontrado en tarjetas por Belkin, D-Link, Linksys y ms. Antes de comprar una tarjeta PC Card inalmbrico o un adaptador PCI, verifica lo qu el chipset tiene que asegurar para la compatibilidad de la mayora de las herramientas de seguridad. La pgina de Seattle Wreles Hardware Comparison (www.seattlewireless.net/index.cgi/HardwareComparison) es una buena referencia para este tipo de informacin. Tambin se puede usar un dispositivo porttil para probar la seguridad en redes inalmbricas como AirMagnet (www.airmagnet.com) o la Fluke WaveRunner (www.flukenetworks.com). Ambos dispositivos tienen su propio programa que son grandiosos para probar las configuraciones de seguridad en su WLAN. Una antena externa tambin es algo que considerar como parte de su arsenal. Si est realizando un una prueba de sealizacin inalmbrica caminando a travs de sus instalaciones un ejemplo, agregar una antena 2

adicional aumenta la desigualdad de lo que se encuentre y, ms importante, APs no autorizados. Puede escoger entre tres tipos principales de antenas inalmbricas: * Omnidireccional: Transmite y recibe seales inalmbricas hasta 360 grados entre distancias ms cortas, como en salas de juntas o reas de recepcin. stas antenas, tambin conocido como dipolares, vienen instaladas en APs desde la fbrica. * Semidireccional: Transmite y recibe seales inalmbricas enfocadas directamente sobre distancias medias, como corredores y a un lado de una oficina. * Direccional: Transmite y recibe seales altamente enfocadas en largas distancias, como entre los edificios. Esta antena, tambin conocida como antena alta ganancia, es la antena de escogen los hackers cuando andan alrededor de las ciudades para buscar APs vulnerables dicho es conocido como wardriving. Como una alternativa a las antenas descritas en la lista anterior, puede usar un ingenioso diseo de latas Pringless. Si est interesado en probar esto, consulte el artculo en www.oreillynet.com/cs/weblog/view/wlg/448 para mayor detalle. Incluso puede tratar otros tipos de latas. Una simple bsqueda en Internet brinda mucha informacin en cuanto a este tema. Un sitio en particular vende un equipo de Cantenna bastante barato en mywebpages.comcast.net/hughpep. 2.8.3 Descubrimiento de redes inalmbricas LAN. Despus de tener una conexin a Internet, hardware inalmbrico (una tarjeta inalmbrica como mnimo), y el software para probar redes WLAN (NetStumbler o un software similar como mnimo), ya est listo para empezar. 2.8.3.1 Verificando para el reconocimiento mundial. La primera prueba requiere slo la direccin MAC de su AP y acceso al Internet. Se estar probando para ver si alguien ha descubierto su WLAN y ha postulado informacin sobre ella para que el mundo la vea. Si no est seguro cual es la direccin MAC de su AP, debe poder verlo usando el comando arp -a en la lnea de comandos de DOS. Puede tener que hacer ping a las direcciones IP de los puntos de acceso primero para que la direccin MAC se pueda cargar dentro del cache de la ARP (Address Resolution Protocol). La siguiente imagen muestra como se ve. Imagen 52

Despus de que tenga la direccin MAC del APs, vaya a la base de datos de WLANs (www.wigle.net) para ver si su AP esta en lista. Debe registrar en el sitio para realizar una consulta en la base de datos, pero vale la pena. Despus de que haber seleccionado el link de Consulta y haberse dado de alta, ver una pantalla similar a la imagen siguiente. Puede entrar informacin como del AP como las coordenadas geogrficas, pero lo ms simple para hacer es entrar la direccin MAC en el formato mostrado. Si el AP esta en la lista, significa que alguien lo ha descubierto ms probablemente mediante wardriving y ha anunciado la informacin para que otros la vean. Necesita empezar llevando a cabo medidas de proteccin mostradas en este captulo lo ms pronto posible para prevenir que otros usen esta informacin en contra suya. Tambin se puede verificar en www.wifimaps.com para ver si el AP se enlista en otro sitio WLAN.

Imagen 53

2.8.3.2 Examinando las ondas de aire locales. Supervise las ondas alrededor de su edificio para ver cuales APs autorizados y no autorizados puede encontrar. Est buscando el SSID (service set identifier), el cual es el nombre de su WLAN. Si tiene varias WLANs, cada una tiene un SSID de red asociada. Aqu es donde empieza a funcionar NetStumbler. NetStumbler puede descubrir SSIDs y otra informacin detallada sobre APs inalmbricos, incluyendo lo siguiente: * Direccin MAC * Nombre * Radio canal en uso * Nombre del vendedor 1

* Encriptacin encendida o apagada * RF signal strenght (seal de ruido) La siguiente imagen muestra un ejemplo de lo que puede ver cuando se est ejecutando el ambiente NetStumbler. La informacin que ver aqu es lo que otros pueden ver. NetStumbler y la mayora de otras herramientas de trabajan enviando una seal de peticin de un cliente. Cualquier APs dentro del rango de la seal debe responder con su SSIDs es decir, si estn configurados para transmitir el SSIDs. Imagen 54

Kismet el popular sniffer inalmbrico (analizador de red) para Linux y UNIX BSD busca no solamente respuestas de un APs como lo hace NetStumbler, sino que tambin otros paquetes 802.11 como respuestas asociadas. Esto permite a Kismet detectar la presencia de una WLAN incluso cuando los paquetes de respuesta estn deshabilitados en el AP algo que NetStumbler puede hacer. Cuando est usando ciertas herramientas de valoracin de seguridad inalmbrica, incluyendo NetStumbler y AiroPeek, su adaptador puede estar en modo pasivo. Esto significa que no se puede comunicar con otros hosts inalmbricos o APs mientras el programa est cargado. Tambin, algunos programas requieren un controlador especial para su tarjeta inalmbrica que frecuentemente desactiva funciones normales de WLAN normal. Si ste es el caso, necesita regresarse (reinstalar) el controlador del adaptador original (proporcionado por el vendedor) para restaurar las funciones normales del adaptador. La mejor manera de buscar APs que no estn transmitiendo sus SSIDs desde Windows es usar un analizador de WLAN como AiroPeek el cual es hermano del excelente producto analizador de redes alambricas EtherPeek o el TamoSofts CommView para Wi-Fi (www.tamos.com/products/commwifi), ldel cual se hablan muchas cosas buenas de l. Se puede hacer esto habilitando un filtro de captura en paquetes de direccin 802.11. El modo ad-hoc tipo de arreglo punto a punto en WLANs puede permitir a los clientes inalmbricos, la comunicacin directa entre con otros sin tener que pasar a travs de un AP. Estos tipos de WLANs operan fuera de los 1

controles de seguridad inalmbrica normal y, as, puede causar serios problemas de seguridad de entre las vulnerabilidades normales del estndar 802.11. La mejor manera de detectar esto es usar NetStumbler. Tambin puede usar un analizador de WLAN o un IDS inalmbrico y buscar paquetes donde el campo ESS no sea igual a 1. Imagen 55

2.8.4 Ataques en las redes inalmbricas. Varios hackeos maliciosos incluyendo varios ataques DOS pueden ser llevados en contra de su WLAN. Esto incluye APs que estn forzados en revelar sus SSIDs durante el proceso de ser desasociados de la red. Adems, los hackers pueden literalmente bloquear las seales RF de un AP sobre todo en los sistemas 802.11b y 802.11g y obligan a los usuarios inalmbricos a reasociarse aun AP como la vctima AP. Los hackers pueden crear ataques de man-in-the-middle al usar herramientas maliciosas como ESSID-jack y monkey-jack y pueden inundar su red con miles de paquetes por segundo al usar herramientas de generacin de paquetes maliciosas como Gspoof o LANforge suficientes para bajar el rendimiento de su red. Incluso ms que en las redes almbricas, este tipo de ataque DoS es prcticamente imposible de prevenir en las WLANs. Varias herramientas de hackeo para la plataforma UNIX pueden realizar este tipo de hackeo, incluyendo Cqure AP, HostAP, y AirJack. Despus de que los hackers llevan a cabo estos tipos de ataques en contra de su WLAN, pueden intentar capturar el trafico y penetrar dentro de cualquier sistema que se adjunta a el. Puede llevar a cabo varios ataques no maliciosos en contra de su 2

WLAN. Las medidas de proteccin asociadas ayudana proteger su red de estas vulnerabilidades, tales como ataques maliciosos previamente mencionados. Cuando pruebe su seguridad en la WLAN, busque las siguientes debilidades: * Trfico inalmbrico no encriptado * APs no autorizados * Seales RF que son demasiado fuertes * Equipo inalmbrico que tienen acceso fsico fcil * Configuraciones por default Un buen punto de arranque para probar es intentar de adjuntar su WLAN como un forastero y ejecutar una herramienta de valoracin de vulnerabilidad, como LANguard Network Security Scanner. Esta prueba le permite ver lo qu otros pueden ver en su red, incluso la informacin sobre la versin de Sistema Operativo, puertos abiertos en su AP, e redes compartidas en los clientes de red. La siguiente imagen muestra el tipo de informacin que puede ser revelada sobre un AP en su red. Imagen 56

2.8.5 Trfico encriptado. El trfico inalmbrico puede ser capturado directamente de las ondas de aire, haciendo este medio de comunicacin susceptible a eavesdropping maliciosos. A menos que el trfico este encriptado, es enviado y recibido en 2

texto claro justo como en un estndar de red almbrico. El protocolo de encriptacin 802.11, Wired Equivalent Privacy (WEP), tiene su propia debilidad que les permite a los hackers crackear las llaves encriptadas, y desencriptar el trfico capturado. Esta vulnerabilidad ha ayudado aponer las WLAN en el mapa por as decirlo. 2.8.6 Medidas de proteccin. La solucin ms simple al problema WEP es usar un VPN para todas las comunicaciones inalmbricas. Puede implementarla fcilmente en un ambiente Windows gratis habilitando PPTP para las comunicaciones del cliente. Tambin puede usar el soporte IPSec construido en Windows, as como SSH, SSL/TLS, y otras soluciones del vendedor, para mantener su trfico seguro. Las ms nuevas soluciones basadas en 802.11 tambin existen. Si puede configurar sus hosts inalmbrico para regenerar una nueva llave dinmicamente despus de que un cierto nmero de paquetes ha sido enviado, la vulnerabilidad WEP no puede ser explotada. Muchos vendedores de APs han implementado esta solucin como una opcin de configuracin separada, as que verifique las ltimas carctersticas en el manejo de llaves. Por ejemplo, el protocolo Cisco LEAP usa llaves WEP por usuario, que ofrecen una capa de proteccin si se est ejecutando hardware de Cisco. La industria inalmbrica ha ascendido con una solucin al problema de WEP llamado Wi-Fi Protected Acces (WPA). WPA usa el sistema de encriptacin Protocolo de Integridad de Llave Temporal (TKIP Temporal Key Integrity Protoco), el cual soluciona todos los problemas de WEP conocidos. WPA requiere una autentificacin del servidor 802.1x , como el servidor RADIUS, para manejar cuentas de usuario para la WLAN. Verifique con su vendedor para actualizaciones de WPA. 2.8.7 Problemas de seguridad fsica. Varias vulnerabilidades de la seguridad fsica pueden producir en robo fsico, reconfiguracin de dispositivos inalmbricos, y la captura de informacin confidencial. Debe buscar las siguientes vulnerabilidades de seguridad al probar sus sistemas: * APs montados por fuera de un edificio y que son accesibles al pblico. * Antenas pobremente montadas o tipos equivocados de antenas que emiten una seal demasiado fuerte u que es accesible al pblico. Puede ver la potencia de la seal en NetStumbler. Estos problemas son muy a menudo pasados por alto al hacer las instalaciones de prisa, planeacin impropia, y falta de conocimiento tcnico, pero pueden regresar para causarle problemas despus. 2.8.8 Estaciones de trabajo vulnerables. Las estaciones de trabajo inalmbricos tienen toneladas de vulnerabilidades en seguridad desde contraseas dbiles hasta agujeros de 2

seguridad sin parchear, llaves WEP localizadas. Una vulnerabilidad seria es para clientes inalmbricos que usan la tarjeta inalmbrica Orinoco. El software Orinoco Client Manager guarda llaves codificadas WEP en el registro de Windows incluso para mltiples redes como se muestra en la siguiente imagen. Imagen 57

Puede crackear la llave usando el programa Lucent Orinoco Register Encryption/Decryption encontrado en www.cqure.net/tools.jsp?id=3. Asegrese de usar el comando -d en el switch y ponga notas alrededor de la llave encriptada, como se muestra en la siguiente imagen. Este programa puede ser hbil si olvida cual es la llave, pero tambin puede ser usado en contra suya. Imagen 58

Si los hackers tienen acceso remoto a estaciones de trabajo va la Conexin de Registro de Red en el regedit, pueden obtener dichas llaves. 2.8.8.1 Medidas de proteccin. Puede implementar la siguiente medida de proteccin en las estaciones de trabajo para prevenir de usarlo como puntos de entrada en la WLAN. * Regularmente lleve a cabo valoraciones de vulnerabilidad en las estaciones de trabajo inalmbricos, as como los otros hosts de la red. * Aplique los ms recientes parches de seguridad del vendedor y refuerze las contraseas de los usuarios. * Use firewalls personales en estos sistemas para mantener lejos a los intrusos y fuera de la red. 2

* Instale software antivirus. * Considere instalar una aplicacin antispyware como PestPatrol. 2.8.9 Configuraciones por default. Similar a las estaciones de trabajo inalmbricas, los APs inalmbricos tienen muchas vulnerabilidades conocidas. Los ms comunes son SSIDs predefinidos y contraseas del administrador. Los ms especficos slo ocurren en cierto hardware y versiones del software que son postuladas en bases de datos del sitio Web del vendedor. La nica vulnerabilidad que destaca sobre las dems es que algunos APs, incluyendo Linksys, D-Link, y ms, son susceptible a una vulnerabilidad que expone cualquier llave WEP, filtros de direcciones MAC, e incluso la contrasea del administrador. Todo lo que los hackers tienen que hacer para aprovecharse de esto, es enviar un paquete broadcast en el puerto UDP 27155 con un string de gstsearch. Para probar esta vulnerabilidad, puede usar un programa llamado pong. Este programa enva el paquete broadcast automticamente y regresa cualquier informacin que descubre. Para ejecutar pong siga estos pasos: 1. Descargue el programa www.mobileaccess.de/wlan/dl.php/pong_v1.1.zip. de

2. Descomprima el programa al directorio c:\wireless (o un directorio similar). 3. Vaya al prompt DOS y escriba pong. Si pong no devuelve no answer, como se muestra en la siguiente imagen, est seguro. De cualquier otra manera, cuidado!

Imagen 59

2.8.9.1 Medidas de proteccin. Puede implementar una de las ms simples y efectivas medidas de proteccin de seguridad para WLANs y todas son libres: * Asegrese de cambiar contraseas predefinidas, nombres de APs y SSIDs. * Deshabilite la transmisin de SSID si no lo necesita. La siguiente imagen muestra la configuracin de SSID de un Acces Point de Cisco Airones. * Deshablite SNMP si no lo est usando. * Aplique los parches ms recientes para el AP y tarjetas WLAN. Esta medida de proteccin ayuda aprevenir varias vulnerabilidades, incluyendo el broadcast de UDP (Beaver, 2004).

Imagen 60

2.9 Polticas de seguridad. Hoy es imposible hablar de un sistema cien por ciento seguro, sencillamente porque el costo de la seguridad total es muy alto. Por eso las empresas, en general, asumen riesgos: deben optar entre perder un negocio o arriesgarse a ser hackeadas. La cuestin es que, en algunas organizaciones puntuales, tener un sistema de seguridad muy acotado les impedira hacer ms negocios. Si un Hacker quiere gastar cien mil dlares en equipos para descifrar una encriptacin, lo puede hacer porque es imposible de controlarlo. Y en tratar de evitarlo se podran gastar millones de dlares. La solucin a medias, entonces, sera acotar todo el espectro de seguridad, en lo que hace a plataformas, procedimientos y estrategias. De esta manera se puede controlar todo un conjunto de vulnerabilidades, aunque no se logre la seguridad total. Y esto significa ni ms ni menos que un gran avance con respecto a unos aos atrs. Algunas organizaciones gubernamentales y no gubernamentales internacionales han desarrollado documentos, directrices y recomendaciones que orientan en el uso adecuado de las nuevas tecnologas para obtener el mayor provecho y evitar el uso indebido de la mismas, lo cual puede ocasionar serios problemas en los bienes y servicios de las empresas en el mundo. 1

En este sentido, las Polticas de Seguridad Informtica (PSI), surgen como una herramienta organizacional para concientizar a cada uno de los miembros de una organizacin sobre la importancia y sensibilidad de la informacin y servicios crticos. Estos permiten a la compaa desarrollarse y mantenerse en el sector de negocios. 2.9.1 Polticas de Seguridad Informtica. De acuerdo con lo anterior, el proponer o identificar una poltica de seguridad requiere un alto compromiso con la organizacin, agudeza tcnica para establecer fallas y debilidades, y constancia para renovar y actualizar dicha poltica en funcin del dinmico ambiente que rodea las organizaciones modernas. Est lejos de mi intencin (y del alcance del presente) proponer un documento estableciendo lo que debe hacer un usuario o una organizacin para lograr la mayor Seguridad Informtica posible. S est dentro de mis objetivos proponer los lineamientos generales que se deben seguir para lograr (si as se pretendiese) un documento con estas caractersticas. El presente es el resultado de la investigacin, pero sobre todo de mi experiencia viendo como muchos documentos son ignorados por contener planes y polticas difciles de lograr, o peor an, de entender. Esto adquiere mayor importancia an cuando el tema abordado por estas polticas es la Seguridad Informtica. Extensos manuales explicando como debe protegerse una computadora o una red con un simple Firewall, un programa antivirus o un monitor de sucesos. Falacias altamente remuneradas que ofrecen la mayor Proteccin = Aceite de Serpiente del mundo. He intentado dejar en claro que la Seguridad Informtica no tiene una solucin definitiva aqu y ahora, sino que es y ser (a mi entender) el resultado de la innovacin tecnolgica, a la par del avance tecnolgico, por parte de aquellos que son los responsables de nuestros sistemas. En palabras de Julio C. Ardita (AO): Una poltica de seguridad funciona muy bien en EE.UU. pero cuando estos manuales se trajeron a Amrica Latina fue un fiasco... Armar una poltica de procedimientos de seguridad en una empresa est costando entre 150350 mil dlares y el resultado es ninguno... Es un manual que llevado a la implementacin nunca se realiza... Es muy difcil armar algo global, por lo que siempre se trabaja en un plan de seguridad real: las polticas y procedimientos por un lado y la parte fsica por otra. Para continuar, har falta definir algunos conceptos aplicados en la definicin de una PSI: Decisin: eleccin de un curso de accin determinado entre varios posibles.

Plan: conjunto de decisiones que definen cursos de accin futuros y los medios para conseguirlos. Consiste en disear un futuro deseado y la bsqueda del modo de conseguirlo. Estrategia: conjunto de decisiones que se toman para determinar polticas, metas y programas. Poltica: definiciones establecidas por la direccin, que determina criterios generales a adoptar en distintas funciones y actividades donde se conocen las alternativas ante circunstancias repetidas. Meta: objetivo cuantificado a valores predeterminados. Procedimiento: Definicin detallada de pasos a ejecutar para desarrollar una actividad determinada. Norma: forma en que realiza un procedimiento o proceso. Programa: Secuencia de acciones interrelacionadas y ordenadas en el tiempo que se utilizan para coordinar y controlar operaciones. Proyeccin: prediccin del comportamiento futuro, basndose en el pasado sin el agregado de apreciaciones subjetivas. Pronostico: prediccin del comportamiento futuro, con el agregado de hechos concretos y conocidos que se prev influirn en los acontecimientos futuros. Control: capacidad de ejercer o dirigir una influencia sobre una situacin dada o hecho. Es una accin tomada para hacer un hecho conforme a un plan (Fernandez, 1988) Riesgo: proximidad o posibilidad de un dao, peligro. Cada uno de los imprevistos, hechos desafortunados, etc., que puede tener un efecto adverso. Sinnimos: amenaza, contingencia, emergencia, urgencia, apuro. Ahora, una Poltica de Seguridad es un conjunto de requisitos definidos por los responsables de un sistema, que indica en trminos generales que est y que no est permitido en el rea de seguridad durante la operacin general del sistema. (Huerta, 200). La RFC 1244 define Poltica de Seguridad como: una declaracin de intenciones de alto nivel que cubre la seguridad de los sistemas informticos y que proporciona las bases para definir y delimitar responsabilidades para las diversas actuaciones tcnicas y organizativas que se requerirn.(Reynolds AO). La poltica se refleja en una serie de normas, reglamentos y protocolos a seguir, donde se definen las medidas a tomar para proteger la seguridad del sistema; pero... ante todo, (...) una poltica de seguridad es una forma de comunicarse con los usuarios... Siempre hay que tener en cuenta que la seguridad comienza y termina con personas. y debe: 3

Ser holstica (cubrir todos los aspectos relacionados con la misma). No tiene sentido proteger el acceso con una puerta blindada si a esta no se la ha cerrado con llave. Adecuarse a las necesidades y recursos. No tiene sentido adquirir una caja fuerte para proteger un lpiz. Ser atemporal. El tiempo en el que se aplica no debe influir en la eficacia y eficiencia. Definir estrategias y criterios generales a adoptar en distintas funciones y actividades, donde se conocen las alternativas ante circunstancias repetidas (Spafford, 2000) Cualquier poltica de seguridad ha de contemplar los elementos claves de seguridad ya mencionados: la Integridad, Disponibilidad, Privacidad y, adicionalmente, Control, Autenticidad y Utilidad. No debe tratarse de una descripcin tcnica de mecanismos de seguridad, ni de una expresin legal que involucre sanciones a conductas de los empleados. Es ms bien una descripcin de los que deseamos proteger y el porqu de ello. 2.9.2 Evaluacin de riesgos. El anlisis de riesgos supone ms que el hecho de calcular la posibilidad de que ocurran cosas negativas. Se debe poder obtener una evaluacin econmica del impacto de estos sucesos. Este valor se podr utilizar para contrastar el costo de la proteccin de la informacin en anlisis, versus el costo de volverla a producir (reproducir). Se debe tener en cuenta la probabilidad que sucedan cada uno de los problemas posibles. De esta forma se pueden priorizar los problemas y el coste potencial desarrollando un plan de accin adecuado. Se debe conocer qu se quiere proteger, dnde y cmo, asegurando que con los costos en los que se incurren se obtengan beneficios efectivos. Para esto se deber identificar los recursos (hardware, software, informacin, personal, accesorios, etc.) con que se cuenta y las amenazas a las que se est expuesto. La evaluacin de riesgos y presentacin de respuestas debe prepararse de forma personalizada para cada organizacin; pero se puede presupone algunas preguntas que ayudan en la identificacin de lo anteriormente expuesto: Qu puede ir mal? 3

Con qu frecuencia puede ocurrir? Cules seran las consecuencias? Qu fiabilidad tienen las respuestas a las tres primeras preguntas? Se est preparado para abrir las puertas del negocio sin sistemas, por un da, una semana, cuanto tiempo? Cul es el costo de una hora sin procesar, un da, una semana...? Cunto, tiempo se puede estar offline sin que los clientes se vayan a la competencia? Se tiene forma de detectar a un empleado deshonesto en el sistema? Se tiene control sobre las operaciones de los distintos sistemas? Cuantas personas dentro de la empresa, (sin considerar su honestidad), estn en condiciones de inhibir el procesamiento de datos? A que se llama informacin confidencial y/o sensitiva? La informacin confidencial y sensitiva permanece as en los sistemas? La seguridad actual cubre los tipos de ataques existentes y est preparada para adecuarse a los avances tecnolgicos esperados? A quien se le permite usar que recurso? Quin es el propietario del recurso? y quin es el usuario con mayores privilegios sobre ese recurso? Cules sern los privilegios y responsabilidades del Administrador vs la del usuario? Cmo se actuar si la seguridad es violada? Una vez obtenida la lista de cada uno de los riesgos se efectuar un resumen del tipo: Imagen 61

Tipo de Riesgo - Factor Segn esta tabla habr que tomar las medidas pertinentes de seguridad para cada caso en particular, cuidando incurrir en los costos necesarios segn el factor de riesgo representado. 2.9.2.1 Niveles de riesgo. Como puede apreciarse en la Tabla 9.1, los riesgos se clasifican por el nivel de importancia y por la severidad de la prdida: 1. Estimacin del riesgo de prdida del recurso (Ri) 2. Estimacin de la importancia del recurso (Ii) Para la cuantificacin del riesgo de perder un recurso, es posible asignar un valor numrico de 0 a 10, tanto a la importancia del recurso (10 es el recurso de mayor importancia) como al riesgo de perderlo (10 es el riesgo ms alto). El riesgo de un recurso ser el producto de la importancia por el riesgo de perderlo:

Luego, con la siguiente frmula es posible calcular el riesgo general de los recursos de la red:

Otros factores que debe considerar para el anlisis de riesgo de un recurso de red son la disponibilidad, la integridad y el carcter confidencial, los cuales pueden incorporarse a la frmula para ser evaluados. Ejemplo: el Administrador de una red ha estimado los siguientes riesgos y la importancia para los elementos de la red que administra: Imagen 62 1

Valuacin de Riesgos Aqu ya puede apreciarse que el recurso que ms debe protegerse es el servidor. Para la obtencin del riesgo total de la red calculamos:

Al ver que el riesgo total de la red es de casi 8 puntos sobre 10 debera pensarse seriamente en buscar las probables causas que pueden provocar problemas a los servicios brindados por los elementos evaluados. 2.9.2.2 Identificacin de amenazas. Una vez conocidos los riesgos, los recursos que se deben proteger y como su dao o falta pueden influir en la organizacin es necesario identificar cada una de las amenazas y vulnerabilidades que pueden causar estas bajas en los recursos. Como ya se mencion existe una relacin directa entre amenaza y vulnerabilidad a tal punto que si una no existe la otra tampoco. Se suele dividir las amenazas existentes segn su mbito de accin: Desastre del entorno (Seguridad Fsica). Amenazas del sistema (Seguridad Lgica). Amenazas en la red (Comunicaciones). Amenazas de personas (InsidersOutsiders). Se debera disponer de una lista de amenazas (actualizadas) para ayudar a los administradores de seguridad a identificar los distintos mtodos, herramientas y tcnicas de ataque que se pueden utilizar. Es importante que los Administradores actualicen constantemente sus conocimientos en esta rea, ya que los nuevos mtodos, herramientas y tcnicas para sortear las medidas de seguridad evolucionan de forma continua. En la siguiente seccin se explica una metodologa para definir una estrategia de seguridad informtica que se puede utilizar para implementar directivas y controles de seguridad con el objeto de aminorar los posibles ataques y amenazas. Los mtodos se pueden utilizar en todos los tipos de ataques a sistemas, independientemente de que sean intencionados, no intencionados o desastres naturales. 1

La metodologa se basa en los distintos ejemplos (uno para cada tipo de amenaza) y contempla como hubiera ayudado una poltica de seguridad en caso de haber existido. 2.9.2.3 Evaluacin de costos. Desde un punto de vista oficial, el desafo de responder la pregunta del valor de la informacin ha sido siempre difcil, y ms difcil an hacer estos costos justificables, siguiendo el principio que si desea justificarlo, debe darle un valor (Strassmann). Establecer el valor de los datos es algo totalmente relativo, pues la informacin constituye un recurso que, en muchos casos, no se valora adecuadamente debido a su intangibilidad, cosa que no ocurre con los equipos, la documentacin o las aplicaciones. Adems, las medidas de seguridad no influyen en la productividad del sistema por lo que las organizaciones son reticentes a dedicar recursos a esta tarea. Por eso es importante entender que los esfuerzos invertidos en la seguridad son costeables. La evaluacin de costos ms ampliamente aceptada consiste en cuantificar los daos que cada posible vulnerabilidad puede causar teniendo en cuenta las posibilidades. Un planteamiento posible para desarrollar esta poltica es el anlisis de lo siguiente: Qu recursos se quieren proteger? De qu personas necesita proteger los recursos? Qu tan reales son las amenazas? Qu tan importante es el recurso? Qu medidas se pueden implantar para proteger sus bienes de una manera econmica y oportuna? Con esas sencillas preguntas (ms la evaluacin de riesgo) se debera conocer cules recursos vale la pena (y justifican su costo) proteger, y entender que algunos son ms importantes que otros. El objetivo que se persigue es lograr que un ataque a los bienes sea ms costoso que su valor, invirtiendo menos de lo que vale. Para esto se define tres costos fundamentales: CP: Valor de los bienes y recursos protegidos. CR: Costo de los medios necesarios para romper las medidas de seguridad establecidas. CS: Costo de las medidas de seguridad. 3

Para que la poltica de seguridad sea lgica y consistente se debe cumplir que: CR > CP: o sea que un ataque para obtener los bienes debe ser ms costoso que el valor de los mismos. Los beneficios obtenidos de romper las medidas de seguridad no deben compensar el costo de desarrollo del ataque. CP > CS: o sea que el costo de los bienes protegidos debe ser mayor que el costo de la proteccin. Luego, CR > CP > CS y lo que se busca es: Minimizar el costo de la proteccin mantenindolo por debajo del de los bienes protegidos. Si proteger los bienes es ms caro de lo que valen (el lpiz dentro de la caja fuerte), entonces resulta ms conveniente obtenerlos de nuevo en vez de protegerlo.(Poyato, Coll, Moreno, 2000) Maximizar el costo de los ataques mantenindolo por encima del de los bienes protegidos. Si atacar el bien es ms caro de lo que valen, al atacante le conviene ms obtenerlo de otra forma menos costosa. Se debe tratar de valorar los costos en que se puede incurrir en el peor de los casos contrastando con el costo de las medidas de seguridad adoptadas. Se debe poner especial nfasis en esta etapa para no incurrir en el error de no considerar costos, muchas veces, ocultos y no obvios (costos derivados). 2.9.2.3.1 Valor intrnseco. Es el ms fcil de calcular (pero no fcil) ya que solo consiste en otorgar un valor a la informacin contestando preguntas como las mencionadas y examinando minuciosamente todos los componentes a proteger. 2.9.2.3.2 Costos derivados de la prdida. Una vez ms deben abarcarse todas las posibilidades, intentando descubrir todos los valores derivados de la prdida de algn componente del sistema. Muchas veces se trata del valor aadido que gana un atacante y la repercusin de esa ganancia para el entorno, adems del costo del elemento perdido. Deben considerarse elementos como: Informacin aparentemente inocua como datos personales, que pueden permitir a alguien suplantar identidades. Datos confidenciales de acuerdos y contratos que un atacante podra usar para su beneficio. Tiempos necesarios para obtener ciertos bienes. Un atacante podra acceder a ellos para ahorrarse el costo (y tiempo) necesario para su desarrollo. 2.9.2.3.3 Puntos de equilibrio. 1

Una vez evaluados los riesgos y los costos en los que se est dispuesto a incurrir y decidido el nivel de seguridad a adoptar, podr obtenerse un punto de equilibrio entres estas magnitudes: Imagen 63

Punto de equilibrio Costo/Seguridad Como puede apreciarse los riesgos disminuyen al aumentar la seguridad (y los costos en los que incurre) pero como ya se sabe los costos tendern al infinito sin lograr el 100% de seguridad y por supuesto nunca se lograr no correr algn tipo de riesgo. Lo importante es lograr conocer cuan seguro se estar conociendo los costos y los riesgos que se corren (Punto de Equilibrio). 2.9.3 Estrategia de seguridad. Para establecer una estrategia adecuada es conveniente pensar una poltica de proteccin en los distintos niveles que esta debe abarcar y que no son ni mas ni menos que los estudiados hasta aqu: Fsica, Lgica, Humana y la interaccin que existe entre estos factores. En cada caso considerado, el plan de seguridad debe incluir una estrategia Proactiva y otra Reactiva. (Benson) La Estrategia Proactiva (proteger y proceder) o de previsin de ataques es un conjunto de pasos que ayuda a reducir al mnimo la cantidad de puntos vulnerables existentes n las directivas de seguridad y a desarrollar planes de contingencia. La determinacin del dao que un ataque va a provocar en un sistema y las debilidades y puntos vulnerables explotados durante este ataque ayudar a desarrollar esta estrategia. La Estrategia Reactiva (perseguir y procesar) o estrategia posterior al ataque ayuda al personal de seguridad a evaluar el dao que ha causado el ataque, a repararlo o a implementar el plan de contingencia desarrollado en la estrategia Proactiva, a documentar y aprender de la experiencia, y a conseguir que las funciones comerciales se normalicen lo antes posible.

Con respecto a la postura que puede adoptarse ante los recursos compartidos: Lo que no se permite expresamente est prohibido: significa que la organizacin proporciona una serie de servicios bien determinados y documentados, y cualquier otra cosa est prohibida. Lo que no se prohbe expresamente est permitido: significa que, a menos que se indique expresamente que cierto servicio no est disponible, todos los dems s lo estarn. Estas posturas constituyen la base de todas las dems polticas de seguridad y regulan los procedimientos puestos en marcha para implementarlas. Se dirigen a describir qu acciones se toleran y cules no. Actualmente, y gracias a las, cada da ms repetitivas y eficaces, acciones que atentan contra los sistemas informticos los expertos se inclinan por recomendar la primera poltica mencionada. 2.9.3.1 Implementacin. La implementacin de medidas de seguridad, es un proceso Tcnico Administrativo. Como este proceso debe abarcar TODA la organizacin, sin exclusin alguna, ha de estar fuertemente apoyado por el sector gerencial, ya que sin ese apoyo, las medidas que se tomen no tendrn la fuerza necesaria. Se deber tener en cuenta que la implementacin de Polticas Seguridad, trae aparejados varios tipos de problemas que afectan funcionamiento de la organizacin. La implementacin de un sistema seguridad conlleva a incrementar la complejidad en la operatoria de organizacin, tanto tcnica como administrativamente. de el de la

Por esto, ser necesario sopesar cuidadosamente la ganancia en seguridad respecto de los costos administrativos y tcnicos que se generen. Es fundamental no dejar de lado la notificacin a todos los involucrados en las nuevas disposiciones y, darlas a conocer al resto de la organizacin con el fin de otorgar visibilidad a los actos de la administracin. Una PSI informtica deber abarcar: Alcance de la poltica, incluyendo sistemas y personal sobre el cual se aplica. Objetivos de la poltica y descripcin clara de los elementos involucrados en su definicin. Responsabilidad de cada uno de los servicios, recurso y responsables en todos los niveles de la organizacin. Responsabilidades de los usuarios con respecto a la informacin que generan y a la que tienen acceso. 1

Requerimientos mnimos para la configuracin de la seguridad de los sistemas al alcance de la poltica. Definicin de violaciones y las consecuencias del no cumplimiento de la poltica. Por otra parte, la poltica debe especificar la autoridad que debe hacer que las cosas ocurran, el rango de los correctivos y sus actuaciones que permitan dar indicaciones sobre la clase de sanciones que se puedan imponer. Pero, no debe especificar con exactitud qu pasara o cundo algo suceder; ya que no es una sentencia obligatoria de la ley. Explicaciones comprensibles (libre de tecnicismos y trminos legales pero sin sacrificar su precisin) sobre el porque de las decisiones tomadas. Finalmente, como documento dinmico de la organizacin, deben seguir un proceso de actualizacin peridica sujeto a los cambios organizacionales relevantes: crecimiento de la planta de personal, cambio en la infraestructura computacional, alta y rotacin de personal, desarrollo de nuevos servicios, cambio o diversificacin de negocios, etc. Una proposicin de una forma de realizar una PSI adecuada puede apreciarse en el siguiente diagrama:

Imagen 64

Fuente: Manual de Seguridad en Redes. http://www.arcert.gov.ar Se comienza realizando una evaluacin del factor humano, el medio en donde se desempea, los mecanismos con los cuales se cuenta para llevar a cabo la tarea encomendada, las amenazas posibles y sus posibles consecuencias. Luego de evaluar estos elementos y establecida la base del anlisis, se originan un programa de seguridad, el plan de accin y las normas y procedimientos a llevar a cabo. Para que todo lo anterior llegue a buen fin debe realizarse un control peridico de estas polticas, que asegure el fiel cumplimiento de todos los procedimientos enumerados. Para asegurar un marco efectivo se realiza una auditora a los archivos Logs de estos controles. Con el objeto de confirmar que todo lo creado funciona en un marco real, se realiza una simulacin de eventos y acontecimientos que atenten contra la seguridad del sistema. Esta simulacin y los casos reales registrados generan una realimentacin y revisin que permiten adecuar las polticas generadas en primera instancia. Por ltimo el Plan de Contingencia es el encargado de suministrar el respaldo necesario en caso en que la poltica falle. Es importante destacar que la Seguridad debe ser considerada desde la fase de diseo de un sistema. Si la seguridad es contemplada luego de la 1

implementacin del mismo, el personal se enfrentar con problemas tcnicos, humanos y administrativos muchos mayores que implicaran mayores costos para lograr, en la mayora de los casos, un menor grado de seguridad. Construya la seguridad desde el principio. La mxima de que es ms caro aadir despus de la implementacin es cierta. Julio C. Ardita menciona: Muchas veces nos llaman cuando est todo listo, faltan dos semanas y quieren que lo aseguremos (...) llegamos, miramos y vemos que la seguridad es imposible de implementar. ltimamente nos llaman en el diseo y nosotros los orientamos y proponemos las soluciones que se pueden adoptar (...) Queda claro que este proceso es dinmico y continuo, sobre el que hay que adecuarse continuamente a fin de subsanar inmediatamente cualquier debilidad descubierta, con el fin de que estas polticas no caigan en desuso. 2.9.3.2 Auditora y control. Se considera que la Auditora son los ojos y odos de la direccin, que generalmente no puede, no sabe o no debe realizar las verificaciones y evaluaciones. La Auditora consiste en contar con los mecanismos para poder determinar qu es lo que sucede en el sistema, qu es lo que hace cada uno y cuando lo hace. En cuanto al objetivo del Control es contrastar el resultado final obtenido contra el deseado a fin de incorporar las correcciones necesarias para alcanzarlo, o bien verificar la efectividad de lo obtenido. 2.9.3.3 Plan de contingencia. Pese a todas las medidas de seguridad puede (va a) ocurrir un desastre. De hecho los expertos en seguridad afirman sutilmente que hay que definir un plan de recuperacin de desastres para cuando falle el sistema, no por si falla el sistema (Poyato, Coll, Moreno, 2000). Por tanto, es necesario que el Plan de Contingencias que incluya un plan de recuperacin de desastres, el cual tendr como objetivo, restaurar el servicio de cmputo en forma rpida, eficiente y con el menor costo y prdidas posibles. Si bien es cierto que se pueden presentar diferentes niveles de daos, tambin se hace necesario presuponer que el dao ha sido total, con la finalidad de tener un Plan de Contingencias lo ms completo y global posible. Un Plan de Contingencia de Seguridad Informtica consiste los pasos que se deben seguir, luego de un desastre, para recuperar, aunque sea en parte, la capacidad funcional del sistema aunque, y por lo general, constan de reemplazos de dichos sistemas. 2

Se entiende por Recuperacin, tanto la capacidad de seguir trabajando en un plazo mnimo despus de que se haya producido el problema, como la posibilidad de volver a la situacin anterior al mismo, habiendo reemplazado o recuperado el mximo posible de los recursos e informacin. Se dice que el Plan de Contingencias es el encargado de sostener el modelo de Seguridad Informtica planteado y de levantarlo cuando se vea afectado. La recuperacin de la informacin se basa en el uso de una poltica de copias de seguridad (Backup) adecuada. 2.9.3.4 Equipos de respuestas a incidentes. Es aconsejable formar un equipo de respuesta a incidentes. Este equipo debe estar implicado en los trabajos proactivos del profesional de la seguridad. Entre stos se incluyen: El desarrollo de instrucciones para controlar incidentes. Creacin del sector o determinacin del responsable: usualmente la designacin del Administrador de seguridad. La identificacin de las herramientas de software para responder a incidentes y eventos. La investigacin y desarrollo de otras herramientas de Seguridad Informtica. La realizacin de actividades formativas y de motivacin. La realizacin de investigaciones acerca de virus. La ejecucin de estudios relativos a ataques al sistema. Estos trabajos proporcionarn los conocimientos que la organizacin puede utilizar y la informacin que hay que distribuir antes y durante los incidentes. Una vez que el Administrador de seguridad y el equipo de respuesta a incidentes han realizado estas funciones proactivas, el Administrador debe delegar la responsabilidad del control de incidentes al equipo de respuesta. Esto no significa que el Administrador no deba seguir implicado o formar parte del equipo, sino que no tenga que estar siempre disponible, necesariamente, y que el equipo debe ser capaz de controlar los incidentes por s mismo. El equipo ser el responsable de responder a incidentes como virus, gusanos o cualquier otro cdigo daino, invasin, engaos, y ataques del personal interno. El equipo tambin debe participar en el anlisis de cualquier evento inusual que pueda estar implicado en la seguridad de los equipos o de la red. 2.9.3.5 Backups. 2

El Backup de archivos permite tener disponible e ntegra la informacin para cuando sucedan los accidentes. Sin un backup, simplemente, es imposible volver la informacin al estado anterior al desastre. Como siempre, ser necesario realizar un anlisis Costo/Beneficio para determinar qu informacin ser almacenada, los espacios de almacenamiento destinados a tal fin, la forma de realizacin, las estaciones de trabajo que cubrir el backup, etc. Para una correcta realizacin y seguridad de backups se debern tener en cuenta estos puntos: 1. Se debe de contar con un procedimiento de respaldo de los sistemas operativos y de la informacin de los usuarios, para poder reinstalar fcilmente en caso de sufrir un accidente. 2. Se debe determinar el medio y las herramientas correctas para realizar las copias, basndose en anlisis de espacios, tiempos de lectura/escritura, tipo de backup a realizar, etc. 3. El almacenamiento de los Backups debe realizarse en locales diferentes de donde reside la informacin primaria. De este modo se evita la prdida si el desastre alcanza todo el edificio o local. 4. Se debe verificar, peridicamente, la integridad de los respaldos que se estn almacenando. No hay que esperar hasta el momento en que se necesitan para darse cuenta de que estn incompletos, daados, mal almacenados, etc. 5. Se debe de contar con un procedimiento para garantizar la integridad fsica de los respaldos, en previsin de robo o destruccin. 6. Se debe contar con una poltica para garantizar la privacidad de la informacin que se respalda en medios de almacenamiento secundarios. Por ejemplo, la informacin se debe encriptar antes de respaldarse. 7. Se debe de contar con un procedimiento para borrar fsicamente la informacin de los medios de almacenamiento, antes de desecharlos. 8. Mantener equipos de hardware, de caractersticas similares a los utilizados para el proceso normal, en condiciones para comenzar a procesar en caso de desastres fsicos. Puede optarse por: Modalidad Externa: otra organizacin tiene los equipos similares que brindan la seguridad de poder procesar la informacin, al ocurrir una contingencia, mientras se busca una solucin definitiva al siniestro producido. Modalidad Interna: se tiene ms de un local, en donde uno es espejo del otro en cuanto a equipamiento, caractersticas tcnicas y capacidades fsicas. Ambos son susceptibles de ser usados como equipos de emergencia. 3

Se debe asegurar reproducir toda la informacin necesaria para la posterior recuperacin sin pasos secundarios. Por ejemplo, existe informacin que es funcin de otra (checksums). Si slo se almacenara la informacin principal, sin sus checksums, esto puede derivar en la inutilizacin de la misma cuando se recupere el backup. 2.9.3.6 Pruebas. El ltimo elemento de las estrategias de seguridad, las pruebas y el estudio de sus resultados, se lleva a cabo despus de que se han puesto en marcha las estrategias reactiva y proactiva. La realizacin de ataques simulados (Ethical Hacking) en sistemas de pruebas o en laboratorios permite evaluar los lugares en los que hay puntos vulnerables y ajustar las directivas y los controles de seguridad en consecuencia. Estas pruebas no se deben llevar a cabo en los sistemas de produccin real, ya que el resultado puede ser desastroso. La carencia de laboratorios y equipos de pruebas a causa de restricciones presupuestarias puede imposibilitar la realizacin de ataques simulados. Para asegurar los fondos necesarios para las pruebas, es importante que los directivos sean conscientes de los riesgos y consecuencias de los ataques, as como de las medidas de seguridad que se pueden adoptar para proteger al sistema, incluidos los procedimientos de las pruebas. Si es posible, se deben probar fsicamente y documentar todos los casos de ataque para determinar las mejores directivas y controles de seguridad posibles que se van a implementar. Determinados ataques, por ejemplo desastres naturales como inundaciones y rayos, no se pueden probar, aunque una simulacin servir de gran ayuda. Por ejemplo, se puede simular un incendio en la sala de servidores en el que todos los servidores hayan resultado daados y hayan quedado inutilizables. Este caso puede ser til para probar la respuesta de los Administradores y del personal de seguridad, y para determinar el tiempo que se tardar en volver a poner la organizacin en funcionamiento. La realizacin de pruebas y de ajustes en las directivas y controles de seguridad en funcin de los resultados de las pruebas es un proceso iterativo de aprendizaje. Nunca termina, ya que debe evaluarse y revisarse de forma peridica para poder implementar mejoras. 2.9.4 Polticas. Despus de ocho captulos de detalles tcnicos, legales, administrativos y humanos ha llegado la hora esperada por m y espero por el lector. Las pginas que siguen tienen la intencin de ofrecer un acercamiento a una metodologa sistemtica en la importante tarea de administrar la Seguridad Informtica. Como ya se ha mencionado, los fundamentos aqu expuestos NO deben ser tomados puntualmente en cada organizacin tratada. Debern ser adaptados a la necesidad, requisitos y limitaciones de cada organizacin (o 3

usuario individual) y, posteriormente requerir actualizaciones peridicas asegurando el dinamismo sistemtico ya mencionado. 2.9.4.1 Nivel fsico. El primer factor considerado, y el ms evidente debe ser asegurar el sustrato fsico del objeto a proteger. Es preciso establecer un permetro de seguridad a proteger, y esta proteccin debe adecuarse a la importancia de lo protegido. La defensa contra agentes nocivos conlleva tanto medidas proactivas (limitar el acceso) como normativas de contingencia (que hacer en caso de incendio) o medidas de recuperacin (realizar copias de seguridad). El grado de seguridad solicitado establecer las necesidades: desde el evitar el caf y el tabaco en las proximidades de equipos electrnicos, hasta el establecimiento de controles de acceso a la sala de equipos. Lo ms importante es recordar que quien tiene acceso fsico a un equipo tiene control absoluto del mismo. Por ello slo deberan accederlo aquellas personas que sean estrictamente necesarios. 2.9.4.1.1 Amenaza no intencionada (desastre natural). El siguiente ejemplo ilustra una posible situacin: Una organizacin no cuenta con sistemas de deteccin y proteccin de incendios en la sala de servidores. El Administrador del sistema deja unos papeles sobre el aire acondicionado de la sala. Durante la noche el acondicionador se calienta y se inicia un incendio que arrasa con la sala de servidores y un par de despachos contiguos. Directivas: 1. Predecir Ataque/Riesgo: Incendio 2. Amenaza: Desastre natural. Incendio 3. Ataque: No existe. 4. Estrategia Proactiva: a. Predecir posibles daos: prdida de equipos e informacin. b. Determinar y minimizar vulnerabilidades: proteccin contra incendios. c. Evaluar planes de contingencia: backup de la informacin. 5. Estrategia Reactiva: a. Evaluar daos: perdida de hardware e informacin. b. Determinar acondicionado. su origen y repararlos: bloqueo del aire 2

c. Documentar y aprender d. Implementar plan de contingencia: recuperar backups. 6. Examinar resultados y eficacia de la directiva: Ajustar la directiva con los nuevos conceptos incorporados. 2.9.4.2 Nivel humano. 2.9.4.2.1 Usuario. Estas son algunos de las consideraciones que se deberan tener en cuenta para la proteccin de la informacin: 1. Quizs el usuario contempla todas las noticias de seguridad con escepticismo, piensan que los Administradores son paranoicos y se aprovechan de las contadas situaciones dadas. Quizs tengan razn, pero se debe recordar que el mundo virtual no es ms que una pequea muestra del mundo fsico, con el agregado que es el campo ideal de impunidad y anonimicidad. 2. Generalmente se considera que la propia mquina es poco importante para que un atacante la tenga en cuenta. Se debera recordar que este atacante no sabe quien est del otro lado del monitor, por lo que cualquier objetivo (en principio) es tan importante (o no) como cualquier otro. 3. Generalmente se sobrevalora la capacidad de un atacante. Al contrario de la creencia popular no se necesita ser un Gur para ingresar en una computadora y generalmente quienes lo hacen son Script Kiddies en busca de diversin. De hecho un Gur siempre tendr mejores cosas que hacer. 4. Convencerse de que TODOS los programas existentes tienen vulnerabilidades conocidas y desconocidas es muy bueno. Esta idea permite no sobrevalorar la seguridad de su sistema. Ejemplo: Un usuario dice a otro: Yo utilizo Linux porque es ms seguro que Windows. Esto es una falacia disfrazada: el usuario debera decir que Linux PUEDE ser ms seguro que Windows. De hecho cualquier sistema bien configurado puede ser ms seguro que uno que no lo est. 5. La Regla de Oro que todo usuario debe tomar como obligacin (y su responsabilidad) es tomar la seguridad de su computadora en serio. Recordar que el eslabn ms dbil de una cadena equivale a la resistencia de la misma es muy bueno en este momento. Ningn usuario inocente estar contento si su nombre aparece en la lista de posibles intrusos en una red, nada ms que porque alguien decidi utilizarlo para tales fines. Tampoco es bueno ser acusado de expandir un virus por el simple hecho de enviar mails sin comprobarlos anteriormente.

Los procedimientos simples mencionados pueden evitar grandes dolores de cabezas. 2.9.4.2.1.1 Amenaza no Intencionada (Empleado). El siguiente ejemplo ilustra una posible situacin de contingencia y el procedimiento a tener en cuenta: Un empleado, no desea perder la informacin que ha guardado en su disco rgido, as que la copia (el disco completo) a su carpeta particular del servidor, que resulta ser tambin el servidor principal de aplicaciones de la organizacin. No se han definido cuotas de disco para las carpetas particulares de los usuarios que hay en el servidor. El disco rgido del usuario tiene 6 GB de informacin y el servidor tiene 6,5 GB de espacio libre. El servidor de aplicaciones deja de responder a las actualizaciones y peticiones porque se ha quedado sin espacio en el disco. El resultado es que se deniega a los usuarios los servicios del servidor de aplicaciones y la productividad se interrumpe. A continuacin, se explica la metodologa que se debera haber adoptado antes de que el usuario decida realizar su copia de seguridad: Directivas: 1. Predecir Ataque/Riesgo: Negacin de servicios por abuso de recursos. 2. Amenaza: No existe. Empleado sin malas intenciones. 3. Ataque: No existe motivo ni herramienta, solo el desconocimiento por parte del usuario. 4. Estrategia Proactiva: a. Predecir posibles daos: prdida de productividad por espacio de disco/memoria agotados. b. Determinar y minimizar vulnerabilidades: implementar cuotas de discos. c. Evaluar planes de contingencia: servidor backup. d. Capacitar el usuario. 5. Estrategia Reactiva: a. Evaluar daos: prdida de produccin. b. Determinar su origen y repararlos: hacer espacio en el disco. c. Documentar y aprender: implementar plan de contingencia. 6. Examinar resultados y eficacia de la directiva: Ajustar la directiva con los nuevos conceptos incorporados. 1

2.9.4.2.1.2 Amenaza malintencionada (Insider). Una empresa competidora ofrece a un usuario cierta suma de dinero para obtener el diseo del ltimo producto desarrollado por su empresa. Como este usuario carece de los permisos necesarios para obtener el diseo se hace pasar como un Administrador, y usando ingeniera social, consigue el nombre de usuario y password de un usuario con los permisos que l necesita. La poltica de seguridad asociada a este evento debera haber contemplado: Directivas: 1. Predecir Ataque/Riesgo: Robo de informacin mediante el uso de ingeniera social. 2. Amenaza: Insider. 3. Ataque: Ingeniera social. 4. Estrategia Proactiva: a. Predecir posibles daos: prdida de productividad y/o beneficios. b. Determinar y minimizar vulnerabilidades: concientizacin de los usuarios. c. Evaluar planes de contingencia. 5. Estrategia Reactiva: a. Evaluar daos: prdida de beneficios e informacin. b. Determinar su origen: revelacin de login y password por parte el usuario. c. Reparacin de daos: implementar entrenamiento de los usuarios. d. Documentar y aprender. e. Implementar plan de contingencia. 6. Examinar resultados y eficacia de la directiva: Ajustar la directiva con los nuevos conceptos incorporados. 2.9.4.2.2 Personas ajenas al sistema. 2.9.4.2.2.1 Amenaza No Intencionada.

Un virus ingresa a la empresa mediante un mail enviado a un empleado, y comienza a expandirse dentro de la misma tomando como base la libreta de direcciones de los usuarios: Directivas: 1. Predecir Ataque/Riesgo: Negacin de servicio del servidor de correo electrnico por gran la cantidad de mensajes enviados/recibidos. 2. Amenaza: Virus. 3. Ataque: Virus de correo electrnico. 4. Estrategia Proactiva: a. Predecir posibles daos: prdida de productividad por negacin de servicio. b. Determinar y minimizar vulnerabilidades: actualizacin de antivirus y concientizacin de usuarios en el manejo del correo electrnico. c. Evaluar planes de contingencia: evaluar la importancia de un servidor backup. Antivirus. 5. Estrategia Reactiva: a. Evaluar daos: prdida de produccin. b. Determinar su origen: cada del servidor por overflow de mensajes. c. Reparacin de daos: implementar el servidor backup. Eliminacin del virus causante del problema. d. Documentar y aprender. e. Implementar plan de contingencia: servidor backup. 6. Examinar resultados y eficacia de la directiva: Ajustar la directiva con los nuevos conceptos incorporados. 2.9.4.2.2.2 Amenaza malintencionada (OutSider). Una persona ingresa al sistema de la empresa, con intenciones de recopilar informacin para su posterior venta: Directivas: 7. Predecir Ataque/Riesgo: Ingreso al sistema por vulnerabilidades en los sistemas o poltica de claves ineficiente. 1

8. Amenaza: Outsider recopilando informacin significativa. 9. Ataque: Ingreso al sistema. 10. Estrategia Proactiva: a. Predecir posibles daos: Robo y venta de informacin. Dao a la imgen de la empresa. b. Determinar y minimizar vulnerabilidades: actualizacin de sistemas vulnerables. Concientizacin a los usuarios en el manejo de contraseas fuertes. c. Evaluar planes de contingencia: implementacin de servidor backup para casos de dao de la informacin. Recuperacin de imagen. Evaluar formas de minimizar el dao por la informacin robada. 11. Estrategia Reactiva: f. Evaluar daos: informacin susceptible robada. g. Determinar su origen: ingreso al sistema. h. Reparacin de daos. i. Documentar y aprender. j. Implementar plan de contingencia: servidor backup. 12. Examinar resultados y eficacia de la directiva: Ajustar la directiva con los nuevos conceptos incorporados.

III RESULTADOS Y DISCUSIN Los resultados presentados a continuacin, estn relacionados a los principales factores que causan prdida de informacin. Asi tambin, con otros datos de crucial importancia que exponen el funcionamiento de algunas redes.

* El 49 % de los factores que causan prdida de informacin, son problemas de hardware (el propio funcionamiento de los discos duros). El 4 % de los discos duros que son vendidos, sufren algn fallo durante el primer ao.

* El 28 % de los factores que causan prdida de informacin, son causados por el error humano. Es por eso que la capacitacin de usuarios es un punto crucial para la seguridad de una red. * El 14 % de los factores que causan prdida de informacin, son causados por problemas con el software. * El 7.8 % de los factores que causan prdida de informacin, son causados por los virus. * El 1.2 % de los factores que causan prdida de informacin, son causados por catstrofes naturales. * El 70 % de las empresas que no invierten en la seguridad (firewallls, herramientas, etc), sufren de robo de informacin o de los servicios que ellos proporcionan.

* Algunas acciones que ayudan a una empresa a proteger la informacin de una empresa son: * Realizar copias de seguridad regularmente, reduce la posibilidad de tener prdida total de informacin en el sistema. * Llevar a cabo ataques simulados de seguridad en una empresa, es una parte escencial para querer asegurar la informacin que se tiene. * Capacitar a los usuarios es sin duda, una herramienta fundamental para el buen desempeo de la empresa, y para asegurar la informacin. * Casi el 95 % de los usuarios de una red, dentro de una empresa, institucin o universidad, no cuentan con una contrasea segura.

IV CONCLUSIONES

Aislamiento vs globalizacin La situacin internacional actual exige una concientizacin, por parte de todos, que la informacin es conocimiento y como tal es necesario estudiar y lograr la forma de protegerla. Legislacin vigente Es urgente legislar un marco legal adecuado, no solo que castigue a los culpables sino que desaliente acciones hostiles futuras. Tecnologa existente. Existen infinidad de mtodos (muchas herramientas) que permiten violar un sistema. Daos minimizables. veces plasmados en

Muchas veces vasta con restringir accesos a informacin no utilizada o que no corresponde a los fines planteados. Otras veces la capacitacin ser la mejor herramienta para disminuir drsticamente los daos. Riesgos manejables Se ha probado que: La Seguridad Perfecta requiere un nivel de perfeccin que realmente no existe, y de hecho dudo que algn da exista, pero los riesgos deben y pueden ser manejables. Costos El costo en el que se incurre suele ser una miseria comparados con aquellos luego de producido un dao. El desconocimiento y la falta de informacin son el principal inconveniente cuando se evala la inclusin de seguridad como parte de un sistema.

V BIBLIOGRAFA Beaver, Kevin. 2004. Hacking for Dummies. Wiley Publishing, Inc., Indianapolis, Indiana, USA 388 p. Eric Greenberg 2003. Mission-Critical Security Planner, When hackers wont take No for an Answer. Wiley Publishing, Inc., Indianapolis, Indiana, USA, 434 p. Joe Harris, Cisco Network Security Little Black Book. The Coriolis Group, LLC. Scottsdale, Arizona, USA 2002. 293 p. Mas de 3 Jae, K. Shin. et al. 2000.The Internatonal Handbook of Computer Security. The Gleenlake Publishing Company, Ltd. Broadway, New York, USA. 274 p. Borghello, Cristian Fabian. Tesis. Seguridad Informtica, sus implicancias e implementacin, 2001.Universidad Tecnolgica Nacional. FERNADEZ, Carlos M. Seguridad en sistemas informticos. Ediciones Daz de Santos S.A..Espaa. 1988. Pgina 105.

GONCALVES, Marcus. Firewalls Complete. Beta Book. McGraw Hill. 1997. EE.UU. Pgina 25 HERNNDEZ, Roberto. Firewalls: Seguridad en las redes e Internet. Boletn de Poltica Informtica N 2. Pgina 7. Espaa. 2000 HOWARD, John D. Thesis: An Analysis of security on the Internet 19891995. Carnegie Institute of Technology. Carnegie Mellon University. 1995. EE.UU. http://www.cert.org. Captulo 6-Pgina 52. HOWARD, John D. Thesis: An Analysis of security on the Internet 19891995. Carnegie Institute of Technology. Carnegie Mellon University. 1995. EE.UU. http://www.cert.org. Captulo 6Pgina 71 HOWARD, John D. Thesis: An Analysis of security on the Internet 19891995. Carnegie Institute of Technology. Carnegie Mellon University. 1995. EE.UU. http://www.cert.org. Captulo 12Pgina 165 HOWARD, John D. Thesis. An Analysis of security on the Internet 19891995. Carnegie Institute of Technology. Carnegie Mellon University. 1995. EE.UU. http://www.cert.org. Captulo 12Pgina 168 HUERTA, Antonio Villaln. Seguridad en Unix y redes. Versin 1.2 Digital Open Publication License v.10 o Later. 2 de Octubre de 2000. Captulo 5Pgina 81. http://www.kriptopolis.com LUCENA LPEZ, Manuel Jos. Criptografa y Seguridad en Computadores. Dpto. de Informtica Universidad de Jan. Edicin virtual. Espaa. 1999. http://www.kriptopolis.com. Captulo 2 Pgina 23. Orange Book. Department Of Defense. Library N S225, 711. EEUU. 1985. http://www.doe.gov www.securityfocus.com www.recoverylabs.com HUERTA, Antonio Villaln. Seguridad en Unix y Redes. Versin 1.2 Digital Open Publication License v.10 o Later. 2 de Octubre de 2000. http://www.kriptopolis.com POYATO, CheloCOLL, FranciscoMORENO David. Definicin de una poltica de seguridad. Espaa. 2000. http://www.rediris.es/cert RFC 1244: Site Security Handbook. J. Reynolds P. Holbrook. Julio 1991 SPAFFORD, Gene. Manual de seguridad en redes. ArCERT. Argentina. 2000. http://www.arcert.gov.ar STRASSMANN, Paul A. El arte de presupuestar: como justificar los fondos para Seguridad Informtica. http://www.nextvision.com 3

Computers Chaos Club. http://www.ccc.de Pginas no oficiales de seguridad http://www.nwnetworks.com/iesf.html http://www.nwnetworks.com/iesc.html


Maximum Security. A Hackers guide to protecting your Internet Site and Network. Macmillan Computer Publishing. 1999. EE.UU. Captulo 25. http://sams.net http://www.itlibrary.com/reference/library/1575212684/ewtoc.html

Safe Internet Programming: Creadores sobre seguridad en Java http://www.cs.princeton.edu/sip Hostile Applets Home Page (HAHP): Seguridad en Java. Dr. Mark D. LaDue. http://www.rstcorp.com/hostile-applets ARDITA, Julio Cesar. Prueba de Vulnerabilidad. 19962001 CYBSEC S.A. http://www.cybsec.com/ES/articulos/default.php Leopold, George. Infowar: Can bits really replace bullets? EE Times, Nov 6, 1995. Schuba, Christopher and Eugene Spafford. Addressing Weaknesses in the Domain Name System Protocol, 1993, disponible desde ftp://coast.cs.purdue.edu/pub CERT: Computer Emergency Response Team. Grupo de Seguridad Internacional especializado en dar respuesta a las empresas y organizaciones que denuncian ataques informticos a sus sistemas de informacin. http://www.cert.org

VI APNDICES Apndice A Uso de un software para contraseas El siguiente software llamado PAnGen, es utilizado para verificar si la contrasea existente es fuerte. Tambin con este software se puede generar nuevas contraseas. La siguiente figura muestra el ejecutable del programa.

En esta imagen, podemos observar el ambiente grfico del software. El programa consta bsicamente de 2 partes. Una para analizar las contraseas, y la otra para generar las contraseas. En esta seccin veremos la forma en que se analizan las contraseas.

Esta es la seccin donde se introduce la contrasea. Se puede verificar la seguridad de la contrasea escrita (pobre, media, buena). Si la casilla de verificacin est activada, el texto escrito no se podr ver.

En esta seccin, se especifica el largo de la contrasea y el nmero de caracteres escritos.

Aqu se ajusta la precision requerida en cuanto a nmeros y smbolos especiales.

El anlisis de la contrasea que obtuvo el resultado de good, es presentado a continuacin. Se toma en cuenta el largo, letras maysculas, nmeros, smbolos especiales y letras minsculas. El software hace un porcentaje del uso de cada uno de stos criterios y obtiene un promedio, en este caso 90%. Esta seccin tambin muestra el equivalente de la contrasea a un nmero denominado bit key. El bit key es el equivalente de la longitude de la contrasea en bits. Entre ms grande es la llave mejor es la contrasea.

Muy brevemente, as es como funciona el analizador de contraseas. Ahora revisaremos cmo funciona el generador de contraseas. La siguiente imagen muestra el ambiente grfico.

Primero se especifica el largo deseado (mnimo y mximo) de la contrasea que se va a generar.

Aqu, se especifica si se desea incluir smbolos especiales, letras maysculas y nmeros, o caractres repetidos.

Se muestran las contraseas generadas. Y se puede analizar la seguridad de las contraseas. Si la seguridad no es la deseada, se cambian los parmetros mencionados en la imagen anterior.

Apndice B Diez Tips para obtener mejores resultados


Existen algunos pasos para lograr vender y conseguir patrocinios que son necesarios para mejorar los esfuerzos para lograr mejores ataques simulados. En este apndice se muestran aquellos que son los ms efectivos Cultive un Aliado y Patrocinador Vender un ataque simulado y Seguridad de la Informacin a ciertos gerentes de ciertas empresas, no es algo que se deba llevar a cabo solo. Consiga un aliado preferentemente, su gerente o alguien a ese nivel o superior en la organizacin quin entienda el valor de un ataque simulado. No sea exagerado 3

Depende de usted, hacer un caso bueno y poner la seguridad de informacin y la necesidad de un ataque simulado en un mbito de direccin superior. Simplemente no vuelva las cosas a un nivel fuera de proporcin a fin de introducir temor, incertidumbre, y duda. Enfquese en educar a los ejecutivos superiores con un consejo prctico. Un miedo racional que sea proporcional a la amenaza est bien. No exagere. Demuestre Cmo la Organizacin no puede permitirse el lujo de ser hackeada Demuestre lo dependiente que es la organizacin de sus sistemas de informacin. Cree escenarios del tipo Qu si? del tipo de una valoracin del negocio-impactopara mostrar qu puede suceder y qu tan lejos puede avanzar la organizacin sin usar la red, computadoras y datos. Pregunte a los ejecutivos de alto mando qu haran sin su sistema computacional y personal de sistemas. Mustreles evidencias de ancdotas del mundo real en los ataques de los hackers, incluyendo problemas de malware, seguridad fsica e ingeniera social pero sea positivo en cuanto a ellos. No maneje estos asuntos de una manera negativa como se habl en el punto anterior. Ms bin, mantngalos informados sobre serios sucesos de seguridad en su industria. Encuentre historias relacionadas a empresas similares u organizaciones a las cuales se les pueda relacionar. Enumere los Beneficios Generales de un Ataque Simulado Platique sobre cmo un ataque simulado puede ayudar a encontrar vulnerabilidades en sistemas de informacin que generalmente son pasados por alto. Hgales saber que los ataques simulados es una manera de pensar como los chicos malos para que se puedan proteger de ellos. Muestre cmo los Ataques Simulados especficamente ayudan a la Organizacin Documente beneficios que apoyan las metas comerciales globales: * Demuestre cmo la seguridad no tiene que ser cara e incluso puede ayudar a ahorrar dinero a la organizacin a largo plazo. La Seguridad es mucho ms fcil y ms barata de construir al principio que agregarla despus La Seguridad no tiene que ser inconveniente y puede habilitar la productividad si se hace propiamente. * Hable sobre cmo pueden ofrecerse nuevos productos o servicios para una ventaja competitiva si los sistemas de informacin seguros estn en el lugar. Involcrese en la Empresa Entienda la empresa cmo opera, quines son los jugadores importantes, y qu poltica est envuelta: 1

* Asista a las reuniones para conocer y que lo conozcan. Esto puede ayudar a demostrar que le interesa la empresa. * Sea una persona de valor que est interesado en contribuir a la empresa. Establezca Su Credibilidad Enfoque en estas tres caractersticas: * Sea positivo sobre la organizacin, y demuestre que realmente le interesa la empresa. Su actitud es importante. * Establezca buena relacin con gerentes, verdaderamente entiende el lado de la empresa. y mustreles que

* Para crear cualquier relacin comercial positiva, debe ser fidedigno. Construya con el tiempo esa confianza, y vender la seguridad ser ms fcil. Hable en Su Nivel Nadie realmente es impresionado con charlas tcnicas. Hable en trminos de la empresa. Muchos Profesionales de Seguridad e Ingenieros en Tecnologa pierden a muchos gerentes a la hora que comienzan a hablar. Relacione los problemas de seguridad con procesos y funciones de trabajo diarios. Muestre el Valor en Sus Esfuerzos Si puede demostrar que lo que est haciendo le ofrece a la empresa algo de valor, puede mantener un paso bueno y no tiene que constantemente suplicar para permanecer con su programa de ataques simulados. Tenga presente estos puntos: * Documente su envolvimiento en la seguridad de informacin, y cree reportes para altos ejecutivos en cuanto al estado de la seguridad enla organizacin. Dles ejemplos sobre cmo sus sistemas sern asegurados de ataques conocidos. * Enumere resultados tangibles como una prueba de concepto. Muestre ejemplos de reportes de valoracin de seguridad que se han ejecutado en los sistemas o de la seguridad de las herramientas. * Dudas, preocupaciones, y objeciones por la direccin superior como peticiones para ms informacin. Encuentre respuestas, y regrese armado y listo para mostrar el mrito de su ataque simulado. Sea Flexible y Adaptable Preprese para el escepticismo y rechazo al principio pasa mucho sobre todo de tales gerentes superiores que muy frecuentemente estn completamente desconectados sobre tecnologas de informacin. 1

No est a la defensiva. La seguridad es un proceso a largo plazo, no un producto a corto plazo, o una simple valoracin.

Apendice C Diez Errores Mortales


Varios errores mortales pueden crear estragos en sus resultados de los ataques simulados e incluso en su trabajo o carrera. No obtener una aprobacin por escrito Conseguir una aprobacin para sus esfuerzos en los ataques simulados si es de parte de un gerente superior o un cliente es algo obligatorio. Es su tarjeta salga de la crcel gratis. Obtenga aprobacin documentada que incluye a lo siguiente: * Explcitamente ponga su plan, su horario, y los sistemas afectados. * Consiga la autorizacin del que toma las decisiones, estando l de acuerdo con los trminos y estando de acuerdo en no sealarlo a usted como responsable por el uso malicioso u otras cosas que pueden suceder intencionalmente. * Consiga la copia original firmada del acuerdo.

Asumir que puede encontrar todas las vulnerabilidades durante las pruebas. Existen muchas vulnerabilidades de seguridad algunas conocidas y otras desconocidas que puede no encontrarlas durante las pruebas. No haga ninguna garanta diciendo que puede encontrar todas las vulnerabilidades de seguridad. Estar iniciando algo que no podr terminar. Apguese a los principios siguientes: * Sea realista. * Use buenas herramientas. * Conozca sus sistemas y practique para mejorar sus tcnicas. Asumir que puede eliminar todas las vulnerabilidades de Seguridad Relacionado a las computadoras, la seguridad al 100% nunca ha sido alcanzada y nunca lo ser. No puede prevenir todas las vulnerabilidades de seguridad. Lo har bien si: * Sigue las mejores prcticas. * Protege sus sistemas. * Aplique tantas medidas de proteccin como sea posible. Llevar a cabo pruebas una sola vez Un ataque simulado es un periodo de tiempo instantneo del estado global de seguridad. Nuevas amenazas y vulnerabilidades aparecen continuamente, asi que debe llevar a cabo estas pruebas regularmente para asegura que se mantiene con las defensas ms recientes de seguridad para sus sistemas. Pretender conocerlo todo Nadie que trabaja con las computadoras o la seguridad de informacin lo sabe todo. Es bsicamente imposible mantenerse al ritmo de todas las versiones del software, modelo de hardware, y nuevas tecnologas que surgen todo el tiempo. Ejecutar sus pruebas sin ver las cosas desde el punto de vista de un Hacker Piense sobre cmo un hacker externo puede atacar a su red y computadoras. Puede necesitar un poco de informacin interior para probar algunas cosas razonablemente, pero trate de limitar eso lo ms que se pueda. Consiga una perspectiva fresca. Estudie los comportamientos de un hacker y ataques comunes para que sepa que probar. Ignorar ataques comunes Enfquese en los sistemas y pruebe los que ms importan. Puede hachear todo el da en un escritorio ejecutando MS-DOS desde un disco de 5 1/4 sin tarjeta de red y sin drive, pero hace algn bien? No usar las herramientas correctas 1

Sin las herramientas correctas para la tarea, es casi imposible de conseguir algo. Descargue las herramientas libres mencionadas. Cree su caja de herramientas con el tiempo. Esto le ahorrar esfuerzo e impresionar a otros con los resultados Realizar ataques simulados a los Sistemas de Produccin en un mal tiempo Uno de las mejores maneras para perder su trabajo o clientes es ejecutar ataques en contra de sistemas de produccin cuando todo el mundo los est usando. Asegrese de saber cuando es tiempo indicado para realizar pruebas. Puede ser en la noche. Tercerizar las pruebas y no estar involucrado Tercerizar es bueno, pero debe estar involucrado. Es una mala idea de entregar las riendas a una tercera parte para todas las pruebas de seguridad sin darles seguimiento y estar al pie para saber que se est llevando a cabo.

Apndice D HACKERS Y CRACKERS FAMOSOS


DRAPER JOHN, CAPTAIN CRUNCH En septiembre de 1970 John Draper, tambin conocido como Captain Crunch, descubre que el obsequio ofrecido en las cajas de cereal Captain Crunch duplica perfectamente la frecuencia de tono de 2600 hz. de una lnea de WATS, permitindole hacer llamadas telefnicas gratis y la gran vctima era AT&T. HOLLAND WAU Y WENERY STEFFEN "Lo logramos, por fin... Slo hay algo seguro, la infinita inseguridad de la seguridad". Fue lo que escribio Wau Holland, en su cuaderno de notas, el 2 de mayo de 1987. Los dos hackers alemanes, de 23 y 20 aos respectivamente, haban ingresado sin autorizacin al sistema de la central de investigaciones aerospaciales ms grande del mundo (NASA). Por qu lo hicieron?, Porque es fascinante, la nica aventura posible est en la pantalla de un ordenador, respondieron. Cuando Wau y Steffen advirtieron que los tcnicos los haban detectado, le enviaron un telex, avisando de su intrusin. ING-HOU CHEN Taipei, Taiwan, Abril 30 de 1999. El autor del virus Chernobyl, dijo a los investigadores que el cre el bug con la esperanza de humillar y vengarse de los que llamo proveedores incompetentes de antivirus para software. Pero l admiti que no esperaba que CIH (iniciales de su autor) causara dao alrededor del mundo. Este virus devast cientos de miles de computadoras

alrededor del mundo. Chen cre el virus en Abril, cuando todava era estudiante de ingeniera computacional en el Instituto Tecnolgico. Este inusual virus destructivo, programado para funcionar el 26 de Abril, (13 aniversario del desastre nuclear de Chernobyl), trata de borrar el disco rgido y escribir basura en algunos otros componentes, evitando de este modo el futuro encendido de la computadora. KEVIN Y RONALD Ronald y Kevin, con los nombres de guerra Makaveli y TooShort en el ciberespacio, asaltaron los ordenadores del Pentgono en Marzo del ao 1998, a la tierna edad de 17 aos. Estos dos forajidos virtuales, con sus conocimientos y con un equipo bsico informtico, se introdujeron en cuatro sistemas de la Marina y siete de las fuerzas areas, relacionados con centros digitales en Estados Unidos y Okinawa. LA MACCHIA DAVID En 1994 David La Macchia, estudiante de 20 aos del prestigioso y serio MIT, reconoce que ha distribuido en Internet multitud de programas informticos obtenidos sin licencia y por valor de un milln de dlares. Para ofrecerlos a los cibernautas mont su propia BBS. LEVIN VLADIMIR Un matemtico ruso de 24 aos, penetr va Internet desde San Petersburgo en los sistemas informticos centrales del banco Citybank en Wall Street, Este pirata logr transferir a diferentes cuentas de EE.UU., Rusia, Finlandia, Alemania, Israel, Holanda y Suiza fondos por valor de 10 millones de dlares, segn el FBI. Detenido en el Reino Unido a principios de 1995, Levin espera que los tribunales britnicos se pronuncien sobre una demanda de extradicin solicitada por EE.UU. MITNICK KEVIN, EL CNDOR, EL CHACAL DE LA RED Como hacker, la carrera de Mitnick tiene sus inicios en 1980 cuando apenas contaba 16 aos y, obsesionado por las redes de computadoras, rompi la seguridad del sistema administrativo de su colegio, pero no para alterar sus notas, lo hizo solo para mirar. La primera vez que lo detuvieron fue en 1981 por robar manuales de la Pacific Telephone. La informacin robada tena un valor equivalente a los 200 mil dlares y tuvo que cumplir una condena tres meses de crcel y a un ao bajo libertad condicional. En 1983 intent ingresar en las computadoras de la universidad de California del Sur y poco despus penetr el sistema de la agencia de crditos TRW. En 1987 lo condenaron a treinta y seis meses de libertad condicional por robo de soft, tras hackear los sistemas del Departamento de Defensa de EE.UU. y la NASA. Un ao ms tarde fue arrestado de nuevo cuando era estudiante de la Universidad del Sur de California. En esta ocasin entr ilegalmente a ARPAnet (la predecesora de Internet) y trat de acceder a la computadora del Pentgono. Lo sentenciaron a seis meses de crcel en una prisin juvenil en California. Durante ese tiempo le negaron el acceso a los telfonos y a lo largo de los doce meses de rehabilitacin no pudo acercarse a una computadora. 2

Ms tarde, y ya en libertad, se apoder de 16 cdigos de seguridad de MCI y junto a un amigo, Lenny DiCicco, entraron a la red del laboratorio de investigaciones de Digital Corporation, conocida como Easynet. Ambos hackers queran obtener una copia del prototipo del nuevo sistema operativo de seguridad de Digital llamado VMS. El personal de seguridad de Digital se dio cuenta inmediatamente del ataque y dieron aviso al FBI, y comenzaron a rastrear a los hackers. Mitnick fue arrestado en 1988 por invadir el sistema de Digital Equipment. La empresa acus a Mitnick y a DiCicco ante un juez federal de causarles daos por 4 millones de dlares en el robo de su sistema operativo. Fue declarado culpable de un cargo de fraude en computadoras y de uno por posesin ilegal de cdigos de acceso de larga distancia. Adicional a la sentencia el fiscal obtuvo una orden de la corte que prohiba a Mitnick el uso del telfono en la prisin alegando que el prisionero podra obtener acceso a las computadoras a travs de cualquier telfono. A peticin de Mitnick el juez lo autoriz a llamar nicamente a su abogado, a su esposa, a su madre y a su abuela y slo bajo supervisin de un oficial de la prisin. Este caso produjo revuelo en los Estados Unidos, no slo por el hecho delictivo sino por la tctica que utiliz la defensa. Su abogado convenci al juez que Mitnick sufra de una adiccin por las computadoras equivalente a la de un drogadicto, un alcohlico o un apostador. Gracias a esta maniobra de la defensa Mitnick fue sentenciado a slo un ao de prisin y al salir de all deba seguir un programa de seis meses para tratar su adiccin a las computadoras. Durante su tratamiento le fue prohibido tocar una computadora o un mdem y lleg a perder ms de 45 kilos. Para 1991 ya era el hacker que haba ocupado la primera plana del New York Times y uno de sus reporteros, John Markoff, decidi escribir un libro de estilo Cyberpunk narrando las aventuras de Mitnick. Al parecer a Mitnick no le gust el libro ya que luego de salir a la venta, la cuenta en Internet de Markoff fue invadida, cambiando su nivel de acceso, de manera de que cualquier persona en el mundo conectada a Internet poda ver su correo electrnico. En 1992, y luego de concluir su programa, Mitnick comenz a trabajar en una agencia de detectives. Pronto se descubri un manejo ilegal en el uso de la base de datos y fue objeto de una investigacin por parte del FBI quien determin que haba violado los trminos de su libertad condicional. Se ofreci una recompensa de 1 milln de dlares a quien arrestara a Mitnick. Luego de convertirse en prfugo de la justicia cambi de tctica y concluy que la mejor manera de no ser rastreado era utilizando telfonos celulares. Luego de varios intentos infructuosos, en cuanto a calidad de informacin, se encontr con la computadora de Tsutomu Shimomura la cual invadi en la Navidad de 1994. Shimomura, fsico computista y experto en sistemas de seguridad del San Diego Supercomputer Center, era adems un muy buen hacker, pero era de los chicos buenos, ya que cuando hallaba una falla de seguridad en algn sistema lo reportaba a las autoridades, no a otros hackers. Shimomura not que alguien haba invadido su computadora en su ausencia, utilizando un mtodo de intrusin muy sofisticado y que l nunca antes haba 2

visto. El intruso le haba robado su correo electrnico, software para el control de telfonos celulares y varias herramientas de seguridad en Internet. All comenz la cuenta regresiva para Mitnick. Shimomura se propuso como orgullo personal atrapar al hacker que haba invadido su privacidad. Ms tarde, El 16 de febrero de 1995, Mitnick fue capturado, juzado y condenado a 25 aos de prisin, lejos de computadoras y telfonos. Pero, el 22 de marzo de 1999, se consigue un acuerdo con jueces y fiscales. Los trminos concretos se desconocen, pero se sabe que en marzo de 2000 Mitnick quedara en libertad con la condicin irrevocable de no poder acercarse a una computadora. Kevin Mitnick, este sencillo nombre, oculta la verdadera identidad de uno de los mayores crackers de la historia. Fue una de las mayores pesadillas del Departamento de justicia de los Estados Unidos. Entr virtualmente en una base de misiles, lleg a falsificar 20.000 nmeros de tarjetas de crdito y a causar prdidas millonarias a varias empresas.

MORRIS ROBERT En noviembre de 1988, Morris lanz un programa gusano, diseado por l mismo, buscando debilidades en sistemas de seguridad, y que pudiera correrse y multiplicarse por s solo. La expansin exponencial de este programa caus el consumo de los recursos de y ms de 6000 sistemas resultaron daados o fueron seriamente perjudicados. Eliminar al gusano de sus computadoras causo a las vctimas muchos das de productividad perdidos, y millones de dlares. Como consecuencia, se creo el CERT (Equipo de Respuesta de Emergencias Computacionales) para combatir problemas similares en el futuro. Morris fue condenado y sentenciado a tres aos de libertad condicional, 400 horas de servicio comunitario y US $10000 de fianza, bajo el cargo de Fraude computacional y abuso. La sentencia fue fuertemente criticada debido a que fue muy ligera, pero reflejaba lo inocuo de las intenciones de Morris ms que el dao causado. MURPHY IAN, CAPTAIN ZAP En julio de 1981 Ian Murphy, un muchacho de 23 aos que se autodenominaba Captain Zap, gana notoriedad cuando entra a los sistemas en la Casa Blanca, el Pentgono, BellSouth Corp. TRW y deliberadamente deja su currculum. En 1981, no haba leyes muy claras para prevenir el acceso no autorizado a las computadoras militares o gubernamentales. Captain Zap mostr la necesidad de hacer ms clara la legislacin. Con cargos de robo de propiedad, finalmente, Murphy fue multado por US$ 1000 y sentenciado a 2 aos de prueba. PAINT Y HAGIS Estos son los seudnimos de los dos hackers que el 10 de Diciembre de 1997 accedieron a uno de los buscadores ms utilizados en Internet. Los terroristas informticos autodenominados "Paints & Hagis", accedieron al servidor del popular navegador Yahoo! Y dejaron un mensaje amenazante a los casuales 3

visitantes. Este ataque no result ser ms de una modificacin de una pgina web, y un ejemplo temprano de las muchas que se modifican hoy da a da. PETERSON JUSTIN TANNER, AGENT STEAL Peterson crackeaba las agencias de crdito. Esta falta de personalidad le llev a su cada y a la de otros. Tiempo despus, se dice, obtuvo un trato con el FBI. Esto le facilit su salida de la crcel y no pudo ser demostrado un fraude mediante una trasferencia de dinero. POULSEN KEVIN, DARK DANTE En diciembre de 1992 Kevin Poulsen fue acusado de robar rdenes de tarea relacionadas con un ejercicio de la fuerza area militar americana. Se acus Poulsen del robo de informacin nacional bajo una seccin del estatuto de espionaje federal y fue condenando a 10 aos en la crcel (sali bajo palabra a los 5 aos). Como Cracker, sigui el mismo camino que Kevin Mitnick, pero fue ms conocido por su habilidad para controlar el sistema telefnico de Pacific Bell. Incluso lleg a ganar un Porsche en un concurso radiofnico, si su llamada fuera la 102, y as fue. Poulsen tambin cracke todo tipo de sitios, pero l se interesaba por los que contenan material de defensa nacional. Esto fue lo que lo llev a su estancia en la crcel, 5 aos, fue liberado en 1996, supuestamente reformado. SMITH DAVID Programador de 30 aos, detenido por el FBI y acusado de crear y distribuir el virus que ha bloqueado miles de cuentas de correo, Melissa. Entre los cargos presentados contra l, figuran el de bloquear las comunicaciones publicas y de daar los sistemas informticos. Acusaciones que en caso de demostrarse en el tribunal podran acarrearle una pena de hasta 10 aos de crcel. Por el momento y a la espera de la decisin que hubiese tomado el juez, David Smith esta en libertad bajo fianza de U$S 10000. Melissa en su corta vida haba conseguido contaminar a ms de 100.000 computadoras de todo el mundo, incluyendo a empresas como Microsoft, Intel, Compaq, administraciones pblicas estadounidenses como la del Gobierno del Estado de Dakota del Norte y el Departamento del Tesoro. Sin embargo, la detencin de Smith no significa que el virus haya dejado de actuar. Compaas informticas siguen alertando que an pueden quedar miles de usuarios expuestos a sus efectos, por desconocimiento o por no haber instalado en sus equipos sistemas antivricos que frenen la actividad de Melissa u otros virus, que han venido apareciendo ltimamente como Happy99 o Papa. THE MENTOR Y GRUPO H4G13 El autodenominado grupo H4G13, con Mentor a su cabeza quera demostrar hasta donde eran capaces de llegar, y lo dejaron plasmado de una manera efectiva, colocando en la pagina principal de la NASA, durante media hora, el manifiesto hacker ms conocido hasta el momento. ZINN HERBERT, SHADOWHACK Herbert Zinn, (expulsado de la educacin media superior), y que operaba bajo el seudnimo de Shadowhawk, fue el primer sentenciado bajo el cargo de 2

Fraude Computacional y Abuso. Zinn tenia 16 cuando viol el acceso a AT&T y los sistemas del Departamento de Defensa. Fue sentenciado el 23 de enero de 1989, por la destruccin del equivalente a US$ 174000 en archivos, copias de programas, los cuales estaban valuados en millones de dlares, adems publico contraseas y instrucciones de cmo violar la seguridad de los sistemas computacionales. Zinn fue sentenciado a 9 meses de crcel y a una fianza de US$ 10000. HACKERS ARDITA JULIO CESAR, EL GRITN Es considerado el hacker ms famoso de Argentina. Naci en Ro Gallegos, el 28 de marzo del 1974. Utiliz su primera computadora mientras realizaba su secundaria. En quinto ao, junto con dos compaeros ayudaron a informatizar el sistema de notas y facturacin del colegio en el cual estudiaba. Este muchacho, salt a la fama el 28 de diciembre de 1995, da de los Santos Inocentes, cuando su domicilio fue allanado por la Justicia Argentina luego de que los Estados Unidos alertaran sobre reiteradas intrusiones a varias de sus redes informticas de Defensa, entre ellas la del Pentgono. Las intrusiones provenan de una computadora conectada a una lnea telefnica desde un departamento de Barrio Norte, en la Capital Federal. El Gritn ingresaba en la red de computadoras de la empresa Telecom a travs de lneas gratuitas 0800, para luego realizar intromisiones en sistemas informticos ajenos. En la causa argentina nmero 45048/95, con cartula "Ardita Julio C., sobre defraudacin", el juzgado de Instruccin nmero 38 a cargo de la jueza Wilma Lpez, dispuso que Ardita compareciera ante un tribunal oral pero por fraude telefnico (estimado por la empresa Telecom en $50), ya que las intrusiones informticas no estn contempladas en el Cdigo Penal. Sin embargo, por el mismo episodio, Ardita ya tuvo que recorrer una espinosa demanda penal en los Estados Unidos, donde las intrusiones informticas, las violaciones de cdigos secretos y la posesin de claves ajenas s son delitos graves. El proceso termin el 19 de mayo 1999, cuando un tribunal de la ciudad de Boston, lo conden a 3 aos de libertad condicional y a pagar una multa de U$S5000 por haber vulnerado, entre otros varios, el sistema informtico de la Marina. Hoy en da, con 27 aos, Julio Cesar Ardita paga religiosamente sus facturas telefnicas; se levanta temprano por las maanas y camina hasta la zona de Tribunales. All est Cybsec S.A., la exitosa empresa de seguridad informtica que el exGritn administra junto a su socio. BARAM PAUL Posiblemente el mayor hacker de la historia. Ya hackeaba Internet antes de que existiera. El fu quien introdujo el concepto de hacker. FARMER DAN 2

Trabaj con Spafford en la creacin de COPS (1991) y al mismo tiempo con el famoso Computer Emergency Response Team (CERT). Tiempo ms tarde Farmer gan gran notoriedad al crear el System Administrator Tool for Analyzing Networks (SATAN). Una gran herramienta para analizar vulnerabilidades en redes. GATES BILL Y ALLEN PAUL En sus tiempos de aprendices, estos dos hombres de Washington se dedicaban a hackear software. Empezaron en los 80 y han creado los mayores imperios de software de todo el mundo. RITCHIE DENNIS, THOMSON KEN Y KERRIGHAN BRIAN Programadores de los Laboratorios Bell. Son los desarrolladores de UNIX y C. Se los considera los padres de la informtica masiva al desarrollar el sistema operativo y el lenguaje ms poderosos de la actualidad. SPAFFORD EUGENE Profesor de informtica. Colabor para crear el Computer Oracle Password Security System (COPS) un sistema de seguridad semiautomtico. Es un hombre muy respetado en el campo de la seguridad. STALLMAN RICHARD Se uni al Laboratorio de inteligencia artificial de la MIT en 1971. Fue ganador del premio McArthur por sus desarrollos de software. Fue fundador de Free Software Foundation, creando aplicaciones y programas gratis. TORVALDS LINUS Torvalds empez a conocer el UNIX y a tomar clases de programacin en C sobre los 90. Un ao despus empez a escribir un SO parecido al UNIX. Despus de otro ao, lo subi a Internet pidiendo colaboracin; hoy es llamado LINUX. VEHEMA WIETSE Vehema viene de la Universidad de Tecnologa de Eindhoven, en los Pases Bajos. Un gran programador, con un don para ello, adems de tener un amplio historial en programas sobre seguridad. Es el coautor del SATAN con Farmer. Vehema escribi el TCP Wrapper, uno de los programas de seguridad ms usado en el mundo.

Vous aimerez peut-être aussi