Seguridad en Redes: Servicios Seguros

1. Seguridad en Redes: Servicios Seguros M.C. Juan Carlos Olivares Rojas

2. Agenda Seguridad Informática Servicios de Red Seguros Tips de Seguridad

3. Seguridad Informática • Cualquier medida que impida la ejecución de operaciones no autorizadas sobre un sistema o red informática, cuyos efectos pueden conllevar daños sobre la información, comprometer su confidencialidad, autenticidad o integridad, disminuir el rendimiento de los equipos o bloquear el acceso de usuarios autorizados al sistema.

4. Seguridad • El ISO/IEC 17799, define CIA (Confidentialy, Integrity, Availability) como pilar fundamental de la Seguridad Informática. • Principios de “defensa en profundidad”: cifrado de datos, gestión de usuarios, configuración robusta de equipos, segmentación de redes (VLANs), Seguridad Perimetral.

5. Seguridad Informática • Existen 4 planes de actuación: técnico, humano, legal y organizativo. • La seguridad es un proceso. Se necesita de un Sistema de Gestión de Seguridad de la Información (SGSI). • La información es un recurso vital en el mundo globalizado de hoy en día.

6. Seguridad Informática • SSE/CMM (Systems Security Engineering/ Capability Maturity Model) define: • Nivel 0: Nada de seguridad • Nivel 1: Prácticas de seguridad realizadas de manera informal • Nivel 2: Planificación y seguimiento de las prácticas de seguridad

7. Seguridad Informática • Nivel 3: Definición y coordinación de las políticas y procedimientos de seguridad. • Nivel 4: Seguridad controlada a través de distintos controles y objetivos de calidad. • Nivel 5: Implantación de un proceso de mejora continua.

8. Seguridad Informática • Se tiene una jerarquía de seguridad informática: • CIA • Políticas • Planes • Procedimientos • Tareas y Operaciones • Registros y Evidencias.

9. Seguridad Informática • Ejemplo de seguridad CIA • Política: protección del servidor Web de la organización contra accesos no autorizados. • Procedimiento 1: Actualización del software del servidor Web. • Tarea1: Revisión diaria de los parches publicados por el fabricante.

10. Seguridad Informática • Tarea2: Seguimiento de las noticias sobre posibles fallos de seguridad. • Procedimiento 2: Revisión de los registros de actividad en el servidor. • Tarea1: revisión semanal de los “logs” del servidor para detectar anomalías.

11. Seguridad Informática • Tarea2: Configuraciones de alertas de seguridad que permitan reaccionar de forma urgente ante determinados tipos de ataques e intentos de intrusión. • Inventario de soportes físicos. Destructor de Discos Duros

12. SGSI • Un SGSI se encuentra estandarizado en la norma ISO 27001:2005. • La ISO 17799:2005 define buenas prácticas de SI pero en si no es certificable como tal. Se utilizó hasta antes de definirse el ISO 27001:2005 • Está basado en la norma británica BS7799 utilizada en seguridad de SI.

13. SGSI • A continuación se muestran las principales versiones del estándar: • ISO 27000 Vocabulario y Glosario • ISO 27001 Estándar certificable • ISO 27002 Relevo del ISO/IEC 17799:2005

14. SGSI • ISO 27003 Guía de implantación • ISO 27004 Métricas e indicadores • ISO 27005 Gestión de Riesgos • ISO 27006 Requerimientos para las entidades de auditoría y certificación.

15. SGSI • Se basa en la metodología de Dewey (Plan, Do, Check, Act). La cual quedaría definida así: • Plan: Establecer el SGSI • Do: Implantar y Operar el SGSI • Check: Monitorear y Revisar el SGSI

16. SGSI • Act: Mantener y mejorar el SGSI • Otras actividades: • Control de Documentos • Capacitación • Acción Correctiva • Acción preventiva

17. SGSI • Se clasifican cada uno de los activos, se determinan amenazas, vulnerabilidades, riesgos basándose en una escala de 1 (muy bajo) a 5 (muy alto). • Se debe realizar un Plan de Continuidad del Negocio, el cual puede contener: • DRP Disaster Recovery Planning

18. SGSI • BRP Business Resumption Planning • COOP Continuity Operations Planning • CP Contingence Planning • ERP Emergency Response Planning

19. SGSI • Pirámide Documental: • Manual de Seguridad • Procedimientos • Instrucciones de Trabajo • Documentos

20. SGSI • Se deben tomar en cuenta muchos aspectos para establecer mecanismos de seguridad: • Aspectos legales, sociales y éticos • Controles físicos • Cuestiones de política

21. SGSI • Problemas operacionales • Controles de hardware • Soporte del Sistema Operativo • Existen dos enfoques de seguridad: discrecional y obligatorio.

22. SGSI • En el discrecional, los usuarios tienen derechos de acceso diferentes (privilegios) por lo tanto son muy flexibles • El control obligatorio, cada objeto está etiquetado con un nivel de clasificación y a cada usuario se le da un nivel de acreditación. Son sistemas jerárquicos y rígidos.

23. SGSI • La autenticación es el proceso que consiste en verificar que el usuario es quién dice ser. • La autorización es el proceso para que un usuario pueda realizar una acción. • Registro de auditoría es un archivo o base de datos en el que el sistema lleva la cuenta de las operaciones realizadas por los usuarios.

24. SGSI • Los controles de acceso obligatorio se rigen en base al principio de Bell-LaPadula: • El usuario i puede recuperar el objeto j sólo si el nivel de acreditación de i es mayor o igual al nivel de clasificación de j (“propiedad de seguridad simple”).

25. SGSI • El usuario i puede actualizar el objeto j sólo si el nivel de acreditación de i es igual al nivel de clasificación de j. • Los controles de acceso se dividen en 4: D, C, B y A. • Donde D es la protección mínima, C es discrecional, B es obligatoria y A es verificada.

26. SGSI • Dentro de C, se encuentran los niveles C1 (menos segura) y C2. • La seguridad física es muy importante a tal punto que se debe de considerar en todo SGSI. • Una de las normas de seguridad física más utilizada es: BS 7799-2:2002.

27. SGSI • No sobrecargar los circuitos eléctricos y cordones de extensión. Asegurarse que el voltaje combinado no exceda la capacidad de los circuitos. • Tener un extintor de fuegos tipos C. • No utilizar ningún tipo de electrodoméstico dentro del site.

28. SGSI • No tomar líquidos dentro del site. • No fumar. • Tener letreros de seguridad. • No situar equipos en sitios altos para evitar caídas. No colocar equipos cerca de ventanas.

29. Riesgos de Seguridad Informática

30. Riesgos de Seguridad Informática

31. Pasos Recomendados en una Estrategia

32. Evaluación de Activos

33. COBIT Control Objective for Information & related Technology.

34. ITIL • IT Infrastructure Library, incluye definiciones de las mejores prácticas para la gestión de Servicios. La definición se divide en dos volúmenes: • Soporte de Servicios • Distribución de Servicios

35. Amenazas de Seguridad • Intercepción • Interrupción • Modificación • Fabricación

36. Amenazas de Seguridad • Ingeniería Social • Ataques pasivos • Ataques activos • Análisis de Riesgos • Interrupción del Serivicio • FPGA

37. Amenazas de Seguridad • Virus informáticos • Gusanos • Troyanos • Spyware • Adware • Dialers • Exploit • Bots • Pharming

38. Amenazas de Seguridad • Backdoor • Bomba fork • Hijacker • Keystroke o Keyloggers • Párasito Informático

39. Amenazas de Seguridad • Phishings • Pornware • Rabbit • Rootkit • Spam • Pop-Ups • Bomba Lógica • Cookies (Malas) • Trampas y/o Inocentadas

40. Mecanismos de Seguridad • Cifrado • Autorización • Autenticación • Auditoría

41. Mecanismos de Seguridad • Derecho a la intimidad • Elaboración de perfiles • Dispositivos biométricos • Uso de VPN • Uso de certificados de autoridad

42. Mecanismos de Seguridad • Antivirus • Firewall • Anti-Spyware • Anti-Rootkits • Parches (Service Pack) • Configuraciones • Trucos, Trucos y más trucos

43. Mecanismos de Seguridad • Hacer copias de seguridad • Habilitar las zonas de seguridad • Utilizar antivirus y dos firewalls* • Control para padres • Utilización de sockets seguros (SSL)

44. Mecanismos de Seguridad • Emplear claves difíciles de acordar.* • Comprobar el estado del sistema operativo. • Comprobación del estado del hardware • Evitar descargas de archivos. • IDS Sistemas Detector de Intrusos • Utilización de Proxys

45. Firewall • Es un monitor de redes cuya finalidad es el filtrado de paquetes y funcionar de pasarela de alto nivel. • Seguridad en un Cisco Catalyst: • permit tcp any host 209.98.208.33 established • acces-list 100 permit tcp any 179.12.244.1 eq smtp.

46. Herramientas Monitoreo • Se encargan de ver el estado de algunos procesos • Los sniffers entran en esta categoría aunque no son del todo herramientas de monitoreo. • Algunos monitores: Cacti, Nagios, Nessus • Utilerías: Pathping, Tracert, nslookup

47. Superusuario • Se debe controlar esta cuenta por que este usuario puede: • Borrar, agregar o modificar cuentas de usuario • Leer y escribir todos los archivos y crear unos nuevos. • Agregar o borrar dispositivos

48. Superusuario • Instalar nuevo software • Leer el correo electrónico de otros • Husmear el tráfico de toda la LAN • Modificar las bitácoras del sistema

49. Certificados de Seguridad • Es un documento emitido y firmado por una Autoridad de Certificación CA. • Se pueden obtener certificados digitales de prueba, por ejemplo de VeriSign. • Si se planifica bien una red, se pueden reducir del 80-90% de los problemas de la red.

50. Resolución de Problemas • Desarrollar una estrategia para resolver problemas • Conocer la red • Enseñar a los usuarios a reconocer un problema • Conocer el proceso de trabajo de la organización