Microsoft IT Security Gestión de la Seguridad dentro de la red corporativa de Microsoft

1. Microsoft ITSecurityGestión de la Seguridad dentro de la red corporativa de Microsoft

2. Agenda • Microsoft y su entorno • El Proyecto de Seguridad en MS • Acceso Remoto (RAS) & Smart Card • Seguridad en la red Wireless de MS • Seguridad en Sistemas Internos • Seguridad en Exchange y Outlook • Modelo de Respuesta a Incidentes de OTG

3. Poner a disposición de de nuestros usuarios internos, clientes y partners de forma proactiva la infraestructura de IT y aplicaciones, que les permitan trabajar en cualquier momento y en cualquier lugar excediendo sus expectativas Rick Devenuti. CIO & VP ITG Mission

4. El Entorno de Microsoft • 72,000 mailboxes • 150,000+ PCs • >9,000 servers • 110 Microsoft Exchange Messaging Servers Stockholm Benelux Dublin Munich TVP Chicago Redmond Les Ulis Milan Madrid Chofu & Otemachi Silicon Valley Charlotte • 400+ supported Microsoft sites worldwide Los Colinas Dubai • >400 apps • 26M voice calls per month • 55K employees • 5K contractors • 17K vendors Singapore Sao Paulo Sydney Johannesburg • 4.5M+ e-mail messages per day internally8m  Internet

5. La Situación actual de MS • Situación • Microsoft es uno de los objetivos preferidos • 100k+ intentos de ataques por mes • 125k+ mensajes en cuarentena por mes • 225k dispositivos conectados a la red • 300k conexiones vía RAS conexiones por semana • Retos • La Cultura interna de MS • Comprobaciones internas de aplicaciones • Liderazgo Tecnológico

6. Objetivo del Grupo“Information Security” Un entorno de TI compuesto por servicios, aplicaciones e infraestructura que a la vez da privacidad y seguridad sin dejar de tener una alta disponibilidad Requisitos: • No se puede comprometer mi identidad • Los recursos son seguros y están disponibles • Mis datos y comunicaciones son privadas • Roles y Responsabilidades claramente definidos • Responder a tiempo a las amenazas y/o riesgos

7. Agenda • Microsoft y su entorno • El Proyecto de Seguridad en MS • Acceso Remoto (RAS) & Smart Card • Seguridad en la red Wireless de MS • Seguridad en Sistemas Internos • Seguridad en Exchange y Outlook • Modelo de Respuesta a Incidentes de OTG

8. El Entorno y sus Peligros IntellectualProperty Theft UnauthorizedAccess Intrusions Internet Home LANs Criminal /CI Use ofOnline Services E-mail gateways PPTP/RAS Servers Remote Users Proxies Direct Taps Labs Extranet InternetData Centers CDCs, RDCsTail Sites CorpNet 3rd PartyConnections PSS EVN Virus Denial ofService Phreaking Malicious Code

9. Mitigate risk to the infrastructure through implementation of four key strategies 1. Securethe Network Perimeter 2. Securethe NetworkInterior 3. SecureKey Assets 4. Enhance Monitoring and Auditing • Secure Wireless • Smart Cards for RAS • Secure Remote User • Next Generation AV • Messaging Firewall • Direct Connections • IDC Network Cleanup • Eliminate Weak Passwords • Acct Segregation • Patch Management • NT4 Domain Migration • Network Segmentation • Smart Cards for Admin Access • Regional Security Assessment • Automate Vulnerability Scans • Secure Source Code Assets • Lab Security Audit • Network Intrusion Detection • Automate Security Event Analysis • Use MOM for Server Integrity Checking Trustworthy Computing

10. Agenda • Microsoft y su entorno • El Proyecto de Seguridad en MS • Acceso Remoto (RAS) & Smart Card • Seguridad en la red Wireless de MS • Seguridad en Sistemas Internos • Seguridad en Exchange y Outlook • Modelo de Respuesta a Incidentes de OTG

11. Servicio de Acceso Remoto (RAS) • Las soluciones de MS incluyen: • Direct Dial RAS • PPTP VPN • Más de 175 puntos de acceso remoto en todo el mundo • Utilizado por más de 70,000 empleados • Más de 300,000 conexiones cada semana • Acceso a los sistemas de correo corporativo, intranet, internet y servidores de datos

12. MaliciousUsers MaliciousSoftware Threat Enforce Remote System SecurityConfiguration 2 FactorAuthentication Requirement Connection Manager and RAS Quarantine Smart Cardsfor RAS Solution Asegurando el Perímetro de la red. Estrategia para el Acceso Remoto

13. RAS - Requisitos • Para conectarse a la red corporativa un usuario tiene que tener: • Una tarjeta Smartcard • Windows XP • Personal firewall Activado • Última versión de antivirus • Últimas actualizaciones de seguridad • El software “Connection Manager”

14. Componentes de la solución SMART CARD Smart Card Hardware • RFID Badge • 32k chip • Windows for Smart cards • PC • Smart card reader Client Software Server Software • Cryptographic Service Provider (CSP) • Windows • Resource Manager • Reader drivers • Connection Manager • Windows Active Directory • Windows Certificate Server • Card management tools • RAS Quarantine Service

15. SC IAS Secure Remote Access Reader 1 Card inserted 3 RAS client accesses smart card and retrieves cert from card 2 User inputs PIN 6 IAS verifies certificate then looks up principal in DS 5 RAS sends certificate in a EAP/TLS request to the IAS Server RAS Client VPNServer 4 Connect to VPN server and pass config checks 7 IAS returns Radius Access Accept

16. Agenda • Microsoft y su entorno • El Proyecto de Seguridad en MS • Acceso Remoto (RAS) & Smart Card • Seguridad en la red Wireless de MS • Seguridad en Sistemas Internos • Seguridad en Exchange y Outlook • Modelo de Respuesta a Incidentes de OTG

17. Microsoft IT WLAN • Dirección de la compañía. Bill Gates • Desarrollo de software de Microsoft para entornos wireless • Peticiones de los usuarios para la implantación de la tecnología WLAN • Dar mayor mobilidad al usuario • Piloto • Puget Sound. Campus de Redmond • Extenderlo al resto de las subsidiarias de MS según viabilidad: • Costes • Requisitos / Regulaciones legales

18. 802.11b. Problemática • WEP • Clave única necesaria para toda la compañía • WLAN 802.11b es sólo 40-bit • Las claves WEP no cambian dinámicamente y por lo tanto son vulnerables a los ataques • Una clave WEP de 128-bit puede ser decodificada en unas 2 horas. Una de 40-bit en 40 minutos • Complicado de administrar. • Filtrado por direcciones MAC (Media Access Control) • No es escalable • listas de excepción tienen que ser administradas y propagadas por los APs. • La lista puede tener un límite de tamaño • La dirección MAC tiene que estar asociada al nombre de usuario • El usuario podría no informar en caso de pérdida de la tarjeta • El usuario podría cambiar su dirección MAC

19. 802.1X La Solución • El AP controla el acceso a la red del cliente basándose en la autentificación de la cuenta de dominio del usuario y/o la cuenta de su máquina • Se asegura el proceso de autentificación utilizando la tecnología PKI (Public Key Infrastructure) disponible en Windows XP • Extensible authentication protocol over LAN (EAPoL) • Transport Layer Security (TLS) • El usuario y el ordenador negocian la autentificación con el Internet Authentication Server (IAS). • IAS es la implementación que ha hecho Microsoft del estándar de RADIUS • Las claves WEP son dinámicas • Cambian en cada nueva sesión, al hacer roaming o a intervalos de tiempo

20. Secure Wireless Domain UserCertificate EAP/TLS Connection RADIUS(IAS) CertificateAuthority Uncontrolled Port Laptop DomainController Domain Controllerused to log onto domain after obtaining an IP address from DHCP 802.1XAccess Point Exchange Controlled Port DHCP Peers File

21. Agenda • Microsoft y su entorno • El Proyecto de Seguridad en MS • Acceso Remoto (RAS) & Smart Card • Seguridad en la red Wireless de MS • Seguridad en Sistemas Internos • Seguridad en Exchange y Outlook • Modelo de Respuesta a Incidentes de OTG

22. Primer nivel de seguridad: Asegurar el perímetro de la red • Utilizar redes Wireless seguras • Utilizar un sistema de detección de intrusiones/ataques en la red efectivo • Asegurar las conexiones remotas de los usuarios • Obstaculizar la entrada de Virus en el perímetro externo de la red

23. Segundo nivel de seguridad: Asegurando el interior de la red • Controlar las aplicaciones y programas disponibles para los usuarios • Eliminar contraseñas débiles • Eliminar las cuentas de administración compartidas • Utilizar controladores de dominio seguros • Hacer obligatorio el uso de software de Antivirus y actualizaciones de seguridad.

24. Asegurando el Interior de la red. Segmentación de la red • Eliminar o reducir el riesgo: • Parque de ordenadores gestionado por OTG • Segmentar los entornos controlados e incontrolados • Restringir los niveles de acceso a la red • Enfoque de la segmentación de la red: • Evitar que los sistemas incontrolados se conecten a los sistemas controlados • Utilizar IPsec para soportar los requisitos de seguridad

25. Agenda • Microsoft y su entorno • El Proyecto de Seguridad en MS • Acceso Remoto (RAS) & Smart Card • Seguridad en la red Wireless de MS • Seguridad en Sistemas Internos • Seguridad en Exchange y Outlook • Modelo de Respuesta a Incidentes de OTG

26. Infraestructura de Exchange • 6 inbound/outbound IMCs & Virus Walls • 5 regional outbound IMCs & Virus Walls

27. Solución Antivirus para Exchange • Requisitos del diseño: • Todos los mensajes entrantes tienen que ser “escaneados” • Todos los mensajes salientes tienen que ser “escaneados” • Los ejecutables son eliminados y se notifica al usuario de esta acción • Mensajes a usuarios no existentes son devueltos antes de ser escaneados

28. Gestión del SPAM • Desde Septiembre del 2001: • Incremento del 258% • Incremento del correo 86% • Objetivo de MS: Boquear 100% de los mensajes identificados como SPAM en los internet mail Gateways. • Emails con publicidad a la atención directa del usuario puede no ser identificado como Spam y es por lo tanto enviado al buzón de destino.

29. Agenda • Microsoft y su entorno • El Proyecto de Seguridad en MS • Acceso Remoto (RAS) & Smart Card • Seguridad en la red Wireless de MS • Seguridad en Sistemas Internos • Seguridad en Exchange y Outlook • Modelo de Respuesta a Incidentes de OTG

30. Gestión de incidentes Graves • Problemas típicos: • Todos los grupos que participan en la resolución del incidente operan de manera independiente. • La respuesta es básicamente táctica y no hay una estrategia coordinada • Las respuestas no son consistentes. Estas pueden ser distintas en función de los grupos que participan. • Se obvian interdependencias entre grupos clave (PR, comunicaciones internas, etc)

31. People Process Metodología de Seguridad de OTG • Dedicated staff • Training • Security—a mindset and a priority • Employee education • Planning for security • Prevention • Detection • Reaction • Baseline technology • Standards, encryption, protection • Product security features • Security tools and products Technology

32. Prevención de incidentes • Monitorizar • Auditorias de los sistemas • Detección de intrusiones • Establecer una defensa sólida • Asegurando a los clientes de acceso remoto

33. Plan de respuesta a los incidentes SecurityScan/Audit InternalWeb Site Information on incident received Operations User ExternalWeb Site Support Decision to begin Incident Response Plan • Quick guide to determining the significance of incident • Severity of the event • Overall business impact • Criticality of vulnerable/attacked assets • Public availability of information • Scope of exposure • Public relations impacts • Extent of use of groups outside of security Response Phase Evaluate Situation Isolate and Contain ResponseTeamAssembled Establish First Course of Action Analyze and Respond Ongoing evaluationand response revisions Trigger Phase Alert Others as Required Revise/Improve Response Process De-escalation:Return to Normal Operations Post-IncidentReview Begin Remediation

34. Conclusiones • Prevenir es menos costoso que reaccionar ante los incidentes. • Es interesante desarrollar en las empresas un sistema de auditorias, monitorización de los sistemas, y procedimientos de actuación a la vez que educamos a los usuarios sobre como hacer que sus sistemas sean seguros. • El impacto a la infraestructura se reduce si tenemos un plan de respuesta a incidentes bien construido, detallado y flexible.

35. Más Información • Más información sobre las implementaciones internas de OTG en: http://www.microsoft.com • TechNet: http://www.microsoft.com/technet/showcase • Case Study Resources:http://www.microsoft.com/resources/casestudies

36. Microsoft ITSecurity