I.

- Control de Acceso

Modulo 1 Control de Acceso

SEI4501 Seguridad Informtica

Escuela de Informtica y Telecomunicaciones

Administracin de Servicios de Red

1.- Identificacin
La identificacin de los usuarios es una tcnica fundamental en cuanto a la auditabilidad de sistemas y redes. La identificacin inequvoca de los usuarios permite realizar un seguimiento de sus acciones. La identificacin en este campo toma la forma de nombres o cdigos de usuarios, User ID o Logon ID. La caracterstica de estos se refiere a la necesidad de ser nicos.

Administracin de Servicios de Red

2.-Autenticacin
La autenticacin es un proceso complementario a la identificacin que se refiere a validar la identidad, o sea comprobar que es realmente usted es quien dice ser. La autenticacin es una forma de verificar la legitimidad de una entidad para accesar categoras especificas de informacin. La entidad puede ser un usuario, una maquina o componentes de software.

Administracin de Servicios de Red

Mtodos de Autenticacin
a)Biomtricos b)Contraseas c)Tokens de memoria y Smart Tokens d)Llaves criptogrficas

Administracin de Servicios de Red

a.- Biomtricos
Estos sistemas de autenticacin biomtrica se basan en caractersticas fsicas nicas de un individuo, para comprobar su identidad. Estos son atributos fisiolgicos como las huellas digitales, geometra de las manos, patrones de retina o voz, dinmica de escritura etc. La autenticacin biomtrica normalmente opera de la siguiente forma:
El usuario es inscrito creando un perfil de referencia basado en el atributo fsico seleccionado. El perfil obtenido es asociado con el individuo y almacenado para su uso posterior. Cuando se intenta el acceso, se mide el atributo biomtrico definido y se compara con el perfil de referencia previamente registrado, siendo aceptado a rechazado.
Administracin de Servicios de Red

b.- Contrasea
Una contrasea es un dato valioso y secreto que generalmente tiene la forma de una cadena de caracteres, que se utiliza como informacin para la autenticacin. Estas se utilizan para verificar que quien usa cierto ID de usuario (cuenta) es realmente el dueo de dicha cuenta. La combinacin cuenta-password debe ser nica a cada usuario. Las recomendaciones para la seleccin de contraseas son:
Contrasea seleccionada por el usuario. Contrasea generada por paquete de software Contrasea generada por Token

Para la Administracin de contraseas deben tener ciertas condiciones que conocer y respetar para obtener buenos resultados en relacin a los bienes protegidos. Administracin de Servicios de Red

b.- Contrasea
Consideraciones para el tiempo de vida de las contraseas:
El costo del reemplazo Riego en la distribucin Frecuencia de uso

Consideraciones para el cambio de contraseas:

60 das para usuarios regulares 30 das para usuarios con privilegios 15 das para oficiales de seguridad El mismo usuario cambia la contrasea en la expiracin Registrar log de cambios de password

Tambin es valioso destacar que las password que con las que normalmente se reciben los productos de software sean cambiadas lo antes posibles.
Administracin de Servicios de Red

c.- Tokens de memoria y Smart Tokens

Los Tokens de memoria almacenan, pero no procesan informacin. Se necesita de un dispositivo especial para leer y grabar informacin en el token. Los mas conocidos y comunes son las tarjetas de banda magntica Los Smart Tokens son fsicamente similares a una tarjeta de banda magntica, pero incluyen un microprocesador. Otros poseen pequeos dispositivos con apariencia de calculadora, llaveros, etc..

Administracin de Servicios de Red

Funcionamiento Token
Esquema de intercambio esttico de password, sea el usuario se autentica con el token y luego el token autentifica al usuario con el sistema. Esquema de generacin dinmica de password, sea el token genera un valor nico que cambia peridicamente un numero de 6 dgitos. Si se dispone de una interfaz electrnica esta hace la transferencia automticamente. Esquema de Desafo-Respuesta, el sistema genera un desafo, por ejemplo un numero aleatorio. El smart token genera una respuesta al desafo presentado por el sistema, el que es presentado al sistema para su validacin.

Administracin de Servicios de Red

d.- Llaves Criptogrficas

La utilizacin de llaves criptogrfica y firmas digitales pueden ser utilizadas como alternativa al uso de contraseas y acceso biomtrico o puede ser utilizado en combinacin con estos. Una llave privada es una llave criptogrfica que esta disponible solo para la persona, de esta manera es como se autentificar. Debido a esto debe ser altamente protegida. Esta llave privada puede ser utilizada para crear una firma digital, la cual tambin provee autenticacin para el usuario.

Administracin de Servicios de Red

10

3.- Auditabilidad
Esta es la propiedad de un sistema que asegura que las acciones efectuadas por un sujeto en el sistema pueden ser asociadas en forma nica a ese sujeto por lo que puede ser considerado responsable de sus acciones. Las acciones que se requiere rastrear incluyen tanto las acciones permitidas como las violaciones e intentos de violacin a las polticas de seguridad.

Administracin de Servicios de Red

11

Single sign-on (SSO)

Es un mtodo que permite a un usuario acceder a mltiples plataformas computacionales o sistemas aplicacionales despus de haber sido autenticado una nica vez. Algunas de las tecnologas SSO son:
Servicio de directorio SESAME Kerberos X.509

Administracin de Servicios de Red

12

4.- Tcnicas de Control de Acceso

Estas definen la forma en que se van a implantar las distintas soluciones de control de acceso. Existen distintas tcnicas que son tiles

Administracin de Servicios de Red

13

4.1 - Control de Acceso Discrecional (DAC)

Este control se denomina discrecional porque un sujeto con ciertos permisos de acceso sobre un determinado recurso, normalmente conocido como propietario, puede habilitar acceso a otro sujeto sobre dicho recurso, sin la intervencin del administrador. Esta tcnica no es recomendada porque no existe una administracin centralizada y cada propietario de la informacin puede definir sus niveles de proteccin.

Administracin de Servicios de Red

14

Lista de controles de acceso

Este es un mecanismo que implanta el control de acceso para un recurso del sistema, enumerando que identidades de las que posee el sistema se le permite el acceso al recurso, as como el tipo de permiso sobre este. En esta lista se puede incluir: usuarios, direccin de red, grupos de trabajo, computadores, etc

Administracin de Servicios de Red

15

4.2 - Control de acceso no-discrecional (NDAC)

Esto corresponde a un conjunto de controles administrados centralizadamente a diferencia del DA. Los usuarios no poseen capacidades para delegar facultades de acceso a otros usuarios. Esta forma de implantacin hace menos flexible el manejo de la proteccin de datos y facilita la implantacin de polticas corporativas de seguridad

Administracin de Servicios de Red

16

4.3 - Control de acceso mandatorio (MAC)

Esto se denomina tcnica de control de acceso multinivel. Todos los usuarios y recursos son clasificados y se les asigna un rotulo de seguridad. Los intentos de acceso a un recurso pueden ser rechazados si el rotulo de seguridad no corresponde al rotulo del recurso. Los controles MAC son de carcter prohibitivos, es decir, lo que no esta expresamente permitido, esta PROHIBIDO.

Administracin de Servicios de Red

17

5.- Administracin de control de Acceso

Administracin de Cuentas Monitoreo de Cuentas

Administracin de Servicios de Red

18

5.1 - Administracin de Cuentas

Las cuentas deben ser creadas cuando sean necesarias y cuenten con autorizacin. Se deben eliminar tan pronto dejen de ser necesarias.
Administracin de Servicios de Red

19

5.2 Monitoreo de Cuentas

La actividad de logeo se refiere a la recoleccin de informacin para realizar un seguimiento y revisin de la actividad del sistema. Se debe tener cuidado especial con las cuentas con muchos privilegios (root, administradores, etc.). Esta debe ser una actividad continua y cubrir todos los sistemas y servicios.

Administracin de Servicios de Red

20

6.- Metodologas de Control de Acceso

En general, esto significa que la compaa mantiene usuarios, permisos y derechos en una locacin central. En relacin con esta forma de implantacin se detallaran los siguientes tipos de accesos centralizados
Radius Tacacs

Administracin de Servicios de Red

21

6.1 - Radius (Remote Authentication DialIn User Service)

Este es un protocolo y software Cliente-Servidor que posibilita a servidores de acceso remoto comunicarse con un servidor central para autentificar usuarios conmutados y autorizar el acceso a determinados servicios y sistemas. Radius mantiene los perfiles de los usuarios en una base de datos central que puede ser compartida por todos los servidores remotos. Provee un buen nivel de seguridad y permite establecer polticas que pueden ser aplicadas desde un nico punto de red. Las transacciones entre el cliente y el servidor RADIUS son autenticadas por medio de un secreto compartido el cual nunca es enviado por la red. Adems cualquier password se enva encriptada entre un cliente y un servidor RADIUS. Administracin de Servicios de Red un estndar publicado en el RFC-2138 RADIUS es

22

6.2 - Tacacs (Terminal Access Controller Access Control System)

Es un antiguo protocolo de autenticacin UDP para UNIX que permite a un servidor de acceso remoto enviar una identificacin y password de un usuario a un servidor de autenticacin que determina si es posible permitir el acceso a un sistema dado. Este protocolo ha sido reemplazado por TACACS+, este es un protocolo TCXP que mejora TACACS y XTACACS separando las funciones de autenticacin, autorizacin, y contabilizacin encriptando todo el trafico entre el servidor de acceso a red y el servidor de autenticacin.

Administracin de Servicios de Red

23

7.- Control de Acceso Descentralizado

Se basa en 2 mtodos
Dominio Un dominio de seguridad puede ser entendido como un ambiente de confianza en el que todos los sujetos y objetos comparten polticas de seguridad comn, procedimientos y restricciones que son manejados por el mismo sistema de administracin. Confianza Los usuarios de un dominio no pueden acceder a los recursos de otro dominio a menos que expresamente se establezca una relacin de confianza por parte de los administradores de los dominios

Administracin de Servicios de Red

24

8.- Verificacin de la Seguridad y Deteccin de Intrusiones

Cuando se ha definido una arquitectura de seguridad y se han establecido las condiciones definidas, es necesario que las medidas dispuestas produzcan los efectos deseados, determinar y corregir posibles desviaciones y validar. Los principales medios de verificacin de la seguridad son:
Monitoreo Auditoria

Administracin de Servicios de Red

25

8.1 - Monitoreo
El monitoreo es un proceso continuo de revisin de la actividad de un sistema o una red de comunicaciones, para asegurar la disponibilidad, integridad y confidencialidad. La deteccin de intrusos es la forma mas comn de monitoreo. Este es un mtodo que se orienta a capturar y analizar en lnea la actividad de acceso a los recursos de la red o el sistema, ya sean exitosos o frustrados. La forma mas conocida de monitoreo son los Intrusin Detection Systems (IDS)

Administracin de Servicios de Red

26

8.1.1 - Deteccin de Intrusos

La deteccin de intrusos es el proceso de supervisin de los eventos ocurridos en un computador o en la red, analizndolos en busca de seales de intrusin, definidos por comprometer la trada CIA (confidencialidad, integridad y disponibilidad) o desorientar los mecanismos de seguridad de una computadora o red. Ejemplo de intrusiones:
Usuarios autorizados que intentan obtener privilegios adicionales Atacantes que logran acceder a los sistemas Usuarios autorizados que emplean mal los privilegios dados

Administracin de Servicios de Red

27

8.1.2 - Tipos de Intrusiones

Una intrusin es una violacin de la poltica de seguridad del sistema. Los intrusos utilizan fallas en l arquitectura de los sistemas y el conocimiento interno de los sistemas operativos para burlar los procesos normales de autenticacin.

Administracin de Servicios de Red

28

Tipos de Intrusiones
Intentos de entrada: Persona ajena a la entidad intenta acceder de forma no autorizada. Penetraciones en el sistemas de control: Se refiere al uso no autorizado del software o S.O Fuga de informacin: Extraccin de informacin confidencial desde la organizacin a redes externas. Denegacin de servicio: obstruccin o inutilizacin de los servicios entregados por el equipo o red. Uso malicioso: uso de los recursos mas all de los privilegios designados o establecidos en las polticas

Administracin de Servicios de Red

29

8.2 - Tipos de Sistemas de Deteccion de Intrusos (IDS)

Un sistema de deteccin de intrusos (IDS) se usa para monitorear trafico de una red o el log de actividad de un servidor, para determinar si se ha producido alguna violacin de las polticas de seguridad Existen 3 mtodos conocidos

Administracin de Servicios de Red

30

8.2.1 - Sistemas de Deteccin de Intrusos basados en Red

Son los que proveen informacin confiable, monitorean en tiempo real, sin consumir recursos de la red o servidores. Un IDS de red permanece inactivo mientras adquiere datos, estos pueden detectar incluso ataques de denegacin de servicios. Una de los problemas que presentan estos IDS es que no pueden detectar un ataque a un host ejecutado desde un terminal conectado a ese host.

Administracin de Servicios de Red

31

8.2.2 - Sistemas de Deteccin de Intrusos basados en Host

Los sistemas de deteccin de intrusos basados en host son aplicaciones instaladas en un computador con el objetivo de monitorear la actividad realizada en el sistema. Este tipo de sistema es mas especifico y se utiliza para asegurarse de que archivos crticos de sistema no sean modificados de manera no autorizada, revisando logs y monitoreando los recursos de sistema

Administracin de Servicios de Red

32

8.2.3 - Sistemas de Deteccin de Intrusos basados en Servidores

Un IDS basado de servidores puede revisar el log de eventos y de sistemas en busca de trafico anormal y determinar si el ataque fue exitoso. La capacidad de deteccin esta limitada a la informacin registrada en el log

Administracin de Servicios de Red

33

8.3.- Mtodos de Deteccin

Identificacin de firma del ataque
Consiste en almacenar como referencia atributos y valores asociados a un ataque, lo que es conocido como firma. Entonces, cuando son recuperados los datos de un evento determinado se comparan con la base de datos de firmas de ataques. Si existe coincidencia se activa una respuesta.

Identificacin de Anomalas
En este caso el IDS recopila datos y define un perfil de normalidad para la red o servidor monitoreado. Adicionalmente recopila muestras de comportamientos durante un periodo de uso normal. Se confecciona as un perfil que representa una situacin tpica que incluye: uso de memoria, CPU, tipos de paquetes recepcionados, etc.. Con esta informacin se puede detectar un ataque dado que produce estadsticas de sistemas anormales.
Administracin de Servicios de Red

34

8.4 - Respuestas a la Intrusin

Respuesta Activa Estas son respuestas automatizadas que se toman cuando suceden ciertos tipos de intrusiones. Hay 3 categoras: Recoleccin de informacin adicional: significa recolectar informacin adicional sobre un probable ataque, es a veces la mas productiva.
Administracin de Servicios de Red

35

8.4 - Respuestas a la Intrusin

Respuesta Pasiva Estas entregan informacin a los usuarios del sistema, de manera de confiar a las personas la toma de acciones contra el evento que genero la respuesta. Tipos de respuestas:
Alarmas: Es la mas comn de alertar a los usuarios a travs de mensajes en pantalla o sonidos llamativos. Traps SNMP: Mecanismo comnmente usado para concentrar en una consola centralizada el estado de varios dispositivos de diferentes caractersticas, funciones y fabricantes. Seales: pueden ser mensajes a Beepers, celulares o casillas de correos electrnicos.

Administracin de Servicios de Red

36

8.5 .- Auditorias
Normalmente se lleva a cabo una auditoria cuando se quiere saber como se compara la organizacin con respecto a normas especificas internas o externas. Una auditoria consiste en tomar un juego de reglas y compararlas con las practicas vigentes de la organizacin. En este sentido una auditoria es la mejor prueba de seguridad. En caso de auditorias a ambientes de redes, las herramientas usadas son las mismas usadas en las pruebas de penetracin.
Satan NMAP Nessus Internet Scanner
Administracin de Servicios de Red

37

9.- Metodos de Ataque

A continuacin se analizarn los trucos y estrategias utilizadas para obtener acceso no autorizado a los activos e informacin de una empresa. Es muy importante tener claros estos conceptos, como tambin las contramedidas necesarias para asegurarse que estn debidamente identificados y mitigados o eliminados.

Administracin de Servicios de Red

38

9.1.- Metodos
Fuerza Bruta Mas que una tcnica de cripto-anlisis es un mecanismo de ataque que consiste en probar todas las posibilidades de acceso a un sistema, en forma exhaustiva. Un ataque de este tipo puede siempre lograr el objetivo, pero ser rentable solo si el valor de los datos a recuperar es mayor que el costo del ataque (tiempo + recursos). Las defensas contra este tipo de ataque se centran en subir los costos aumentando la cantidad de posibilidades. Por ejemplo, el aumento en el largo de la password o el aumento del largo
Administracin de Servicios de Red

39

9.2 - Ataques DoS

TCP Syn Attack
Este ataque se produce cuando toda la memoria destinada a procesar el inicio de las conexiones es ocupada por conexiones fraudulentas o excesivas, sin dejar recursos para otras solicitudes de conexin (SYN) a las que el servidor responde con un acuse de recibo (ACK) y queda a la espera de la respuesta de originador de la solicitud. Esa respuesta no llega y deja ocupado ese espacio de memoria a la espera de respuesta.

Administracin de Servicios de Red

40

Ataques DoS
PING OF DEATH (Ping de la Muerte)
El Ping de la Muerte consiste en enviar un paquete ilegal de ICMP Echo de largo mayor al permitido (que es 65.507 bytes), con lo que genera un problema en el proceso de reconstruccin del paquete, que puede producir la detencin del servidor. Una solucin temporal a este problema es bloquear los paquetes de tipo PING.

Administracin de Servicios de Red

41

Ataques DoS
SMURF attack
Este ataque inunda las redes con trafico Broadcast lo que resulta en una congestin. El atacante enva una gran cantidad de ping modificados para indicar como origen la direccin de la victima el ataque. El resultado es una gran cantidad de respuestas a solicitudes que son enviadas a la direccin IP de la victima, causando un alto trafico y en algunos casos saturacin de la red o el servidor.

Administracin de Servicios de Red

42

Ataques DoS
SPOOFING
Es un tipo de ataque en el cual una entidad del sistema asume en forma ilegal la identidad de otro objeto. El spoofing (suplantacin) es un ataque mediante el cual una persona o proceso pretende ser una persona o proceso que pose mayores privilegios.

Administracin de Servicios de Red

43

Ataques DoS
SPAMMING
Envo indiscriminado, no solicitado, no deseado de mensajes de correo electrnico especialmente de tipo comercial y generalmente anuncios masivos. Tambin conocido como correo basura. Tambin caen dentro de esta categora quienes envan un mensaje de correo idntico repetidamente a una direccin particular, lo cual se conoce como Mail Bombing

Administracin de Servicios de Red

44

Ataques DoS
SNIFFER
El Sniffer es un programa o un dispositivo que permite visualizar los datos que viajan por una red. Los sniffer se pueden usar para acciones legitimas de la administracin de la red y para el robo de informacin. Los sniffer no utilizados pueden ser peligrosos para la seguridad de una red ya que son difciles de detectar y permiten visualizar todo el trafico de la red. Ejemplos Wireshark Tcpdump Ip sniffer

Administracin de Servicios de Red

45