Vuelta a Espa a TechNet 2005-2006: Mantenga su infraestructura Segura . Contra Hackers.

1. Vuelta a Espa�a TechNet 2005-2006:Mantenga su infraestructura Segura�. Contra Hackers. Chema Alonso (MVP de Microsoft) Jose Parada (Ingeniero TechNet) David Cervigon (Ingeniero TechNet)

2. Recursos Technet WebCasts IT ShowTime Gu�as y manuales Chats Blogs Eventos Seguridad Software Technet Flash Flash MSDN Newsletter Seguridad Videos Demo Videos Interactivos

3. Agenda 09:00 - 09:30 : Registro 09:30 - 10:45 : Redes Wireless 10:45 - 11:15 : Caf� 11:30 - 12:30 : Actualizaciones de Seguridad 12:30 - 13:45 : Defensa nivel 7 13:45 - 14:00 : Preguntas

4. Redes Wireless Introducci�n, conceptos y funcionamiento DEMO: T�cnicas Hacker de ataque a redes Wireless Redes Wireless Seguras DEMO: Securizaci�n de una red Wireless

5. Introducci�n Hoy en d�a, las Wireless LAN se est�n convirtiendo poco a poco en parte esencial de las redes LAN tradicionales: Bajos costes de instalaci�n Disponibilidad No requiere de software adicional Movilidad La implantaci�n se esta realizando a mayor velocidad en los entornos dom�sticos y PYMES que en las grades empresas Este mercado esta menos concienciado de los problema de seguridad El aire es un medio inseguro. Los est�ndares iniciales tienen muchos problemas de seguridad.

6. Introducci�n Componentes Routers/Gateways, Puntos de acceso (AP), Repetidores Equivalente al HUB de la tecnolog�a ETHERNET. Ojo, no es un Switch por lo que los usuarios comparten el ancho de banda total. Adaptadores WIFI: PC Cards, PCI, Integradas, USB.... Antenas: unidireccionales y omnidireccionales Modos de funcionamiento Modo �AD-HOC�: los clientes se comunican directamente entre ellos. Solamente los clientes dentro de un rango de transmisi�n definido pueden comunicarse entre ellos. Modo �INFRASTUCTURE�: cada cliente env�a toda sus comunicaciones a una estaci�n central o punto de acceso (Access Point � AP). Este AP act�a como un bridge ethernet y reenv�a las comunicaciones a la red apropiada, ya sea una red cableada u otra red inal�mbrica.

7. Conceptos: Definicioneshttp://www.wi-fi.org/OpenSection/glossary.asp Frecuencia: de 2 a 5 GHz (Radio) Canal: Una porci�n del espectro de radiofrecuencias que usan los dispositivos para comunicarse. El uso de diferentes canales ayuda a reducir interferencias BSSID (Basic Service Set Identifier): Direcci�n �nica que identifica al Router/AP que crea la red wireless. Tiene formato de MAC address ESSID (Extended Service Set Identifier): Nombre �nico de hasta 32 caracteres para identificar a la red wireless. Todos los componentes de la misma red WLAN deben usar el mismo. SSID (Service Set Identifier): Equivalente a ESSID

8. Conceptos: Funcionamiento (I) Descubrimiento: La estaci�n ha de conocer la existencia del PA al que conectarse. Escaneo Pasivo: Espera recibir la se�al de PA Escaneo Activo: La estaci�n lanza tramas a un PA determinado y espera una respuesta Autenticaci�n: La estaci�n ha de autenticarse para conectarse a la red Asociaci�n: La estaci�n ha de asociarse para poder intercambiar datos con otras. Cifrado: Protecci�n de los datos que se env�an a trav�s de la red.

9. Conceptos: Funcionamiento (II) Tipos de tramas Wireless Tramas de Gesti�n: Ayudan al las estaciones a localizar y asociarse a PA disponibles. Se transmiten igual que las dem�s pero no se env�a a las capas superiores. Nivel 2 Tramas Baliza o �Beacon Frames� env�an: Sincronizaci�n horaria Anchos de banda, canal, tipo de se�al, etc.. SSID Las redes que no emiten el SSID en las BFs se denominan �redes cerradas� Tramas de Control: Usadas para el control de acceso al medio. Tramas de Datos: Usadas para la transmisi�n de los datos

10. IEEE 802.11 Est�ndar de la IEEE: Opera en frecuencias de 2.4 a 5 GHz 802.11: 1 a 2 Mbps a 2.4GHz 802.11a: 54 Mbps a 5GHz 802.11b: 11Mbps a 2.4GHz 802.11g: 54 Mbps a 2.4GHz Adem�s: d (Cambios de MAC), e (QoS), j (Jap�n), n (x4, x8) ... Cada fabricante implementa sus propias soluciones para mejorar el rendimiento en la transferencia de datos. (108 Mbps)

11. Seguridad en IEEE 802.11 Inciso: Autenticaci�n, Encriptaci�n/Cifrado, Firmado Autenticaci�n Open System Authentication Shared Key Authentication (WEP) Ambos permiten autenticaci�n por filtrado de MAC Encriptaci�n e Integridad de datos WEP (Wired Equivalent Privacy) ? Usa un algoritmo RC4 de cifrado con claves de 40-bit o 104-bit Calcula un ICV de 32-bit a partir de los datos a enviar Genera un IV de 24-bit �Se usa el mismo secreto compartido tanto para autenticar (en el desaf�o/respuesta) como para encriptar!

12. Cifrado y descifrado WEP

13. DEMO: T�cnicas Hacker de ataque a redes Wireless Ataque a WLAN protegida con: Ocultaci�n de SSID Control de acceso por MAC Address Clave WEP

14. Ataque a Redes Wireless 802.11 Hemos sacado el SSID oculto y tipo de cifrado Averiguado: el canal de emisi�n BSSID y direcciones MAC Obtenemos la clave WEP Ya vemos el tr�fico: Direcci�n IP, Puerta de enlace... Etc... �Spoofeamos� la MAC Configuramos la red con los datos recogidos

15. La ra�z de los problemas de 802.11 La clave WEP es compartida entre todos los clientes No se contempla la forma de distribuirla ni su cambio en el tiempo. �El est�ndar 802.11 especifica que cambiar el IV en cada paquete es opcional!. Y cada fabricante es libre de gestionarlo como quiera. Reutilizaci�n del IV El IV es de 24-bit -> se repite cada 16.777.216 tramas! Debilidad de RC4 El ICV es un CRC32 independiente del secreto compartido Conocido el texto de una trama puede sacarse el de cualquiera sin conocer la clave WEP (bit-flipping) M�s en: http://www.isaac.cs.berkeley.edu/isaac/wep-faq.html Crackearlas es �trivial�

16. As� es que con 802.11... Rogue APs. DoS, ataques por Asociaci�n/Disociaci�n. F�cil monitorizaci�n. No extensible a otros m�todos de autenticaci�n. Imposible autenticar por usuario No extensible a otros m�todos de gesti�n de la clave compartida Hay que implementar nuevos mecanismos de Autenticaci�n, Cifrado y Firmado

17. Implantaci�n de Redes Wireless Seguras

18. Soluciones Wireless SegurasWPA y WPA2 WPA: Certificaci�n de la WI-FI Alliance para las soluciones Wireless que cumplan ciertos requisitos de seguridad. Surgi� mientras estaba listo el est�ndar IEEE802.11i WPA2: Certificaci�n de la WI-FI Alliance para las soluciones Wireless que cumplan los requisitos de seguridad dictados por IEEE 802.11i

19. Cambios requeridos por WPA y WPA2 (IEEE802.11i) Autenticaci�n WPA y WPA2: Open System Authentication para la asociaci�n Para la autenticaci�n mutua y del usuario: Enterprise ? 802.1X sobre 802.11 Personal ? PSK (Pre-Sahred Key) �Ojo! Cifrado e Integridad de Datos WPA: TKIP (Temporary Key Integrity Protocol) WPA2: AES (Advanced Encryption Standard), aka Counter Mode Cipher Block Chaining-Message Authentication Code (CBC-MAC) protocol (CCMP)

20. Autenticaci�n 802.1X sobre 802.11 802.1X surge como un m�todo de autenticaci�n de �puertos� redes LAN Implementa un Protocolo de Autenticaci�n Extensible (EAP) ? Nivel 2 Dise�ado originalmente para ser usado en PPP y adaptado por 802.1X para ser encapsulado y enviado en redes LAN o Wireless No tiene seguridad �built-in�. Los protocolos de autenticaci�n deben implementar sus propios m�todos de seguridad. El m�todo de autenticaci�n es elegido por los equipos durante la negociaci�n de forma transparente al AP Aplicado a redes Wireless 802.11 Evita la aparici�n de Rogue APs usando autenticaci�n mutua. Evita accesos no autorizados autenticando tanto a los usuarios como a sus equipos. Produce una PMK (Pairwise Master Key) de 256-bit por cada sesi�n para cada cliente Mas detalles sobre su funcionamiento en: http://www.microsoft.com/technet/community/columns/cableguy/cg0402.mspx

21. M�todos de Autenticaci�n EAP nos permite elegir TLS: Transport Layer Security (certificados de cliente y servidor) IKE: Internet Key Exchange Kerberos Otros (MD5, LEAP, etc.) PEAP: Protected Extensible Authentication Protocol. Evita que la conversaci�n EAP vaya sin encriptar Genera un canal TLS usando el certificado del servidor RADIUS Posteriormente podemos implementar de nuevo un m�todo EAP de autenticaci�n mutua MS-CHAP v2 (usuario y contrase�a) TLS (certificados de cliente y servidor)

22. Esquema de Autenticaci�n

23. Generaci�n de las claves de cifrado

24. TKIP (Temporary Key Integrity Protocol) Utiliza cifrado entre la estaci�n cliente y el Punto de Acceso con clave sim�trica. Utiliza 4 claves distintas entre Punto de Acceso y cada Cliente Wireless para tr�fico Unicast y 2 claves para tr�fico broadcast y/o multicast. Las claves se recalculan para cada paquete con una funci�n de mezclado para cada paquete Usa IV de 48-bit

25. Integridad de datos en TKIP: Michael Provee de integridad y �antireplay� Calcula un �Message Integrity Code� (MIC) de 8 bytes Estos 8 bytes se introducen entre los datos y los 4 Bytes del ICV de la trama 802.11 Se cifra junto con los datos y el ICV Mas informaci�n en: http://www.microsoft.com/technet/community/columns/cableguy/cg1104.mspx

26. AES Protocolo sustituto de DES Utiliza el algoritmo de cifrado por bloques de Rijndael Permite claves de 128, 196 y 256 bits Es el algoritmo de cifrado m�s seguro que podemos utilizar en redes WLAN. No vulnerado a fecha de hoy Mas informaci�n en: http://www.microsoft.com/technet/community/columns/cableguy/cg0805.mspx

27. RESUMEN:

28. RECOMENDACIONES (de mas a menos seguras): Empresa: WPA2: AES y PEAP-TLS WPA2: AES y PEAP-MS-CHAP v2 WPA: TKIP y PEAP-TLS WPA: TKIP y PEAP-MS-CHAP v2 SOHO (Small Office, Home Office) WPA2: AES y secreto compartido WPA: TKIP y secreto compartido

29. DEMO: Implantaci�n de una red Wireless Segura

30. Pasos Configurar puntos de acceso Agrupar usuarios y m�quinas Configurar IAS (RADIUS) Dar de alta los AP como clientes Configurar la pol�tica de acceso Definir pol�ticas Wireless Definir pol�ticas para obtenci�n de certificados

31. REFERENCIAS http://www.microsoft.com/spain/servidores/windowsserver2003/technologies/networking/wifi/default.aspx IEEE 802.11 Wireless LAN Security with Microsoft Windows XP Step-by-Step Guide for Setting Up Secure Wireless Access in a Test Lab Enterprise Deployment of Secure 802.11 Networks Using Microsoft Windows Configuring Windows XP IEEE 802.11 Wireless Networks for the Home and Small Business Troubleshooting Windows XP IEEE 802.11 Wireless Access http://www.wi-fi.org/OpenSection/index.asp Configuring Wireless Settings Using Windows Server 2003 Group Policy TKIP: Wi-Fi Protected Access Data Encryption and Integrity AES: Wi-Fi Protected Access 2 Data Encryption and Integrity

33. Caf�

34. Actualizaciones de Seguridad Expedientes de Seguridad, Bugs y Exploits. Shellcodes. DEMO: Generaci�n y ejecuci�n de Exploits Terminolog�a y consideraciones acerca de las Actualizaciones de Seguridad Herramientas de Monitorizaci�n y Actualizaci�n de sistemas. MBSA, EXBPA. MU, WSUS y SMS. Windows Server Update Services DEMO: Implantaci�n WSUS, Administraci�n y Despliegue de Actualizaciones.

35. Gesti�n de la Seguridad

36. Bug Un error de software o computer bug, que significa bicho de computadora, es el resultado de un fallo de programaci�n introducido en el proceso de creaci�n de programas de computadora. El t�rmino bug fue acreditado err�neamente a Grace Murray Hopper, una pionera en la historia de la computaci�n, pero Thomas Edison ya lo empleaba en sus trabajos para describir defectos en sistemas mec�nicos por el a�o 1870. Fuente: Wikipedia en Espa�ol

37. Bug

38. Exploit Exploit (viene de to exploit - aprovechar) - c�digo escrito con el fin de aprovechar un error de programaci�n para obtener diversos privilegios. software. Un buen n�mero de exploits tienen su origen en un conjunto de fallos similares. Algunos de los grupos de vulnerabilidades m�s conocidos son: Vulnerabilidades de desbordamiento de pila o buffer overflow. Vulnerabilidades de condici�n de carrera (Race condition). Vulnerabilidades de error de formato de cadena (format string bugs). Vulnerabilidades de Cross Site Scripting (XSS). Vulnerabilidades de inyecci�n SQL (SQL injection). Vulnerabilidades de inyecci�n de caracteres (CRLF). Fuente: Wikipedia en Espa�ol

39. Payload El payload de un virus o un gusano es cualquier acci�n que se programa para que se lleve a cabo adem�s de su propia propagaci�n. El t�rmino se usa para cualquiera de las funciones, independientemente de que lleguen a funcionar o no Fuente: Wikipedia

40. Proceso explotaci�n de una Vulnerabilidad 1.- Se descubre una vulnerabilidad a) Por el fabricante b) Por un tercero 2.- Se aprende a explotarlo a) Ingenier�a inversa de C�digo b) Ingenier�a inversa de Patch 3.- Se usa un Payload para automatizar

41. Comunidades Hacker

42. Expedientes de Seguridad

43. DEMO: Generaci�n y ejecuci�n de Exploits

46. Grados de Severidad en Microsoft

47. Herramientas de Monitorizaci�n y Auditoria El objetivo es dejar un Servidor en D�a-0. Zero Day Server es aquel que tiene todo el software que corre en su sistema actualizado y no tiene ning�n bug conocido. Es el m�ximo nivel de seguridad que se puede alcanzar con el software que corre en un sistema. Existen Zero Day Exploits Auditorias de seguridad No son las �nicas que deben hacerse Se deben realizar de forma autom�tica y de forma manual [�artesana�]. Con la visi�n de un atacante y con la visi�n del administrador.

48. Auditor�a Caja Negra Se realiza desde fuera Ofrece la visi�n de un hacker No puede ser ejecutada desde dentro ? Falsos positivos No garantiza �Servidor Seguro� No todos los esc�ner ofrecen los mismos resultados. SSS, Nessus, GFI Languard, Retina, ISS Real Secure, etc �

49. Scanners de Vulnerabilidades Satan, Saint, Sara Shadow Security Scanner http://www.safety-lab.com GFI Languard Network Security Scanner http:///www.gfihispana.com Retina http://www.eeye.com Nessus http://www.nessus.org NetBrute, R3X

50. Auditor�a Caja Blanca Se realiza internamente Con privilegios y visualizaci�n completa del sistema Se utilizan herramientas proporcionadas por el fabricante o propias MBSA EXBPA MOM 2005 �.

51. MBSA Ayuda a identificar sistemas Windows vulnerables. Escanea buscando actualizaciones no aplicadas y fallos en la configuraci�n del software. Escanea distintas versiones de Windows y distintas aplicaciones. Escanea en local o m�ltiples m�quinas en remoto v�a GUI o l�nea de comandos. Genera informes XML sobre los resultados de cada equipo. Corre en Windows Server 2003, Windows 2000 y Windows XP Se integra con SMS 2003 SP1, con SUS y WSUS

52. MBSA

53. EXBPA Examina un despliegue de Exchange Server y determina si esta configurado siguiendo las recomendaciones de Microsoft. Genera una lista de puntos, como configuraciones mejorables, u opciones no recomendadas o soportadas. Juzga la salud general del sistema. Ayuda a resolver los problemas encontrados. Busca tambi�n Actualizaciones de Seguridad que falten.

54. EXBPA

55. Herramientas para laGesti�n de Actualizaciones

56. Productos de Terceros

57. �Qu� es WSUS? Un �Feature Pack� RTW (Release to Web) de Microsoft Windows Server Gratuito: http://www.microsoft.com/windowsserversystem/updateservices/evaluation/sysreqs.mspx No necesita ning�n tipo de CAL adicional Una soluci�n funcional: Automatiza el proceso de gesti�n de parches y actualizaciones todo lo posible Gestiona parches de otros productos adem�s de Windows Incluye las funcionalidades que le demandabais SUS 1.0 Mejora y facilita las tareas del administrador Componente clave de las actuales y futuras soluciones de gesti�n de Parches y Actualizaciones de Microsoft Aprovechado por otras herramientas (i.e., SMS & MBSA) Expone un rico conjunto de API para facilitar la personalizaci�n y extensibilidad Escalabilidad hacia (Microsoft Update)

58. Contenido y Productos Soportados Contenido Microsoft Windows, Microsoft Office, Microsoft SQL Server, Microsoft Exchange Server Se agregar�n productos adicionales (i.e. ISA Server 2004) Sistemas Operativos Cliente/agente Windows 2000 SP3 y posterior, Windows XP y posterior (Tb. versiones y x64) Windows 2003 (solo 32-bit), Windows 2003 SP1 (x64 y ia64) Servidor Windows 2000 SP4 y posterior Windows 2003 y posterior (solo 32-bit) Soporte Internacional 25 Windows client locales 17 Windows Server locales

60. Arquitectura Piezas de la soluci�n Windows Server Update Services Automatic Updates client agent Microsoft Update Group Policy y Active Directory Piezas del servidor IIS / IE6 SP1 BITS y WinHTTP (KB842773) MSI 3.1 Microsoft SQL Server WMSDE/MSDE .NET Framework 1.1 SP1 Scripting v�a SDK

61. Arquitectura del Servidor Interfaz de administraci�n Web. Motor de sincronizaci�n para descargar las actualizaciones de Microsoft Update. Base de datos SQL que mantiene el resto de los datos que no son actualizaciones. Permite una estructura de servidores jer�rquica Usa BITS (Background Intelligent Transfer Service) para un uso eficiente del ancho de banda Escalable

62. Arquitectura del Servidor (cont.)

63. Arquitectura del cliente El agente (Win32 Service) implementa la mayor parte de la funcionalidad Extensibilidad basada en manejadores de tipo Update Manejadores para MSI, update.exe, drivers etc. Se auto-actualiza autom�ticamente a nuevas versiones ofrecidas por el servidor. Controlable via GPO Seguro

64. Arquitectura del cliente

65. Cosas a tener en cuenta �Que Base de datos voy a usar? �Necesito una jerarqu�a? �Necesito replicas? �Que m�todo vamos a usar para instalar las actualizaciones? �Donde voy a almacenar las actualizaciones? �En que idiomas tengo los productos que voy a actualizar? �C�mo voy a configurar los clientes? �Qu� opciones de seguridad tengo que considerar?

66. �Que Base de datos voy a usar? La mejor ?: Instalaci�n local de WMSDE / MSDE. SQL Server ya existente (local o remoto). El principal factor es la infraestructura existente. WMSDE/MSDE valdr� en la mayor�a de los casos. Utilizar SQL solamente si ya est� instalado y tiene capacidad de aguantar m�s carga No modificar nunca directamente los datos en SQL. Usar WSUSUtil.exe para backup

67. Jerarqu�as y R�plicas Aut�nomo = padre/hijo Solo los elementos comunes suponen ancho de banda El almac�n del padre es el com�n m�ltiplo de todos las aprobaciones de los hijos. Replica = Configuraci�n espejo. Solamente la pertenencia a grupos es �nica. Puede repartir parcialmente las tareas de administraci�n. �til para distribuir la sobrecarga de red. Se configura durante la instalaci�n y no puede cambiarse luego. El despliegue puede consistir en m�ltiples capas de servidores WSUS

68. Servidor �nico

69. Servidores de r�plica

70. Delegaciones

71. Redes desconectadas

72. �Qu� m�todo vamos a usar para instalar las actualizaciones? Instalaci�n Express vs. est�ndar Instalaci�n est�ndar: Descarga y reemplaza el fichero completo. M�s costoso para el cliente y la red local Instalaci�n Express: Descarga e instala solo �deltas� (diferencias) M�s costoso para el servidor WSUS y el enlace WAN

73. �Donde voy a almacenar las actualizaciones?Opciones de almacenamiento Dos opciones: Sistema de archivos local Microsoft Update (solo almacenamos la informaci�n acerca de las actualizaciones) Depende de d�nde est�n los clientes en relaci�n al WSUS Clientes en �red local� � Local file system Clientes �fuera� � Microsoft Update

74. Por defecto son todos (3 tipos de Chino, dos de Japon�s adem�s del Coreano....) Eso es MUCHO tr�fico y MUCHAS Gigas WSUS solamente podr� informar sobre un cliente si los datos para su idioma se han descargado Recomendaci�n: No almacenar los datos localmente si hay gran variedad y variabilidad de idiomas �En que idiomas tengo los productos que voy a actualizar?Locales

75. �Qu� opciones de seguridad tengo que considerar? WSUS siempre detr�s de un firewall Sobre el sistema operativo securizado Utilizar siempre SSL Los clientes deben validarse con su certificado de m�quina para recibir las actualizaciones Usar una CA p�blica si no se tiene la opci�n de distribuir una CA ra�z corporativa (nada m�s sencillo con Directorio Activo)

76. Opciones de configuraci�n del cliente Nombre del servidor WSUS (en formato http://server:8530). Target Group (debe haberse creado previamente en WSUS). Tiempo de b�squeda de nuevas actualizaciones despu�s de reiniciar. Frecuencia de actualizaci�n del cliente No reiniciar autom�ticamente tras la instalaci�n. Demorar el reinicio Comportamiento de la descarga y la instalaci�n Frecuencia de los recordatorios para reiniciar tras la instalaci�n Instalar actualizaciones al Apagar Apariencia del bot�n de Apagar Usuarios no administradores pueden aprobar descargas e instalaciones

77. �C�mo voy a configurar los clientes? Manualmente / Scripts HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate Por pol�ticas (WUAU.ADM) Locales = Manualmente (gpedit.msc) GPOs en Directorio Activo Ver la �Deployment Guide�

78. Migraci�n desde SUS 1.0 Puntos a tener en cuenta: La instalaci�n NO actualiza. Se migra el contenido y las aprobaciones, no la configuraci�n. Dos Escenarios Al mismo servidor A un servidor remoto

79. RECURSOS

80. Web MVPs

81. Defensa Nivel 7:Firewall de Aplicaci�n: ISA Server 2004 Chema Alonso MS MVP Windows Security Inform�tica64

82. Firewalls Se introducen entre redes para cortar tr�fico. Implican la separaci�n f�sica de las redes para permitir que pasen o no los mensajes. Pueden inspeccionar la torre completa de comunicaciones y reconocer sesiones.

83. Firewalls Firewall de Red: Filtrado de direcciones IP, puertos, tipo de protocolos y flags de cabeceras. Filtrado discreto de paquetes. Implementados en Routers de conexi�n. Implementados por Software en protocolos de comunicaciones.

84. Firewalls Firewall Nivel de Aplicaci�n: Inspeccionan y reconocen el protocolo utilizado en una sesi�n. Pueden utilizar para la toma de decisiones todos los objetos de seguridad de una red integr�ndolos en un �rbol LDAP. Reglas complejas que pueden requerir el establecimiento de sesiones completas entre firewall y el cliente.

85. ISA Server: Novedades Enterprise Edition Gesti�n Empresarial Arrays Network Load Balancing ISA Server 2004 Appliance Pre-configurado y Pre-testeado Configuraci�n bastionada para reducir la superficie de ataque Sencillez ISA Server SE 2004 SP1

86. Arquitectura ISA Server 2004 Firewall multired: Nivel de Red. Nivel de Aplicaci�n. Servidor VPN: T�neles. Clientes. Servidor Cach�.

87. Soporte Multired ISA Server 2004 divide los sistemas de red en funci�n de las necesidades planteadas en el marco de la seguridad. Definici�n de redes y grupos de redes. Definici�n de la interconexi�n entre redes mediante NAT o enrutamiento. Permite gesti�n independiente. Presenta soporte para redes. Internas. Perimetrales. Externas. Interconexi�n sitios VPN. VPN de Cuarentena.

92. Reglas de Publicaci�n Se utilizan para publicar servidores. Asistentes de publicaci�n: Web Server. Secure Web Server. Mail Server. Definici�n de servidores por servicios.

93. Firewall de aplicaci�n

94. Necesidades Inspeccionar el tr�fico al nivel de aplicaci�n. Permitir o denegar el paso de datos a determinados contenidos o aplicaciones. Proporcionan controles sobre determinados ataques. Sistema extensible sobre filtrados de conexiones.

95. M�todos de implementaci�n Implementadas directamente sobre las reglas de acceso y las publicaciones. Como un a�adido sobre reglas y publicaciones. Como funcionalidad sobre ISA a nivel Firewall.

96. Filtro HTTP Las necesidades de la empresa permiten el tr�fico a trav�s del puerto 80. Por el puerto 80 no solo viaja tr�fico HTTP puro, sino que puede disfrazar otras comunicaciones. Malware. P2P. Servicios de mensajer�a � Determinados ataques contra Servicios Web pueden ser controlados a este nivel.

97. Controles HTTP Mediante el filtro HTTP pueden ser controlados estos aspectos de la comunicaci�n: T�cnicas de Buffer Overflow. Denegaci�n de servicio. Subida de datos en escenarios de publicaci�n. Control de m�todos. Control de cabeceras.

98. Filtro contenido HTTP Controlan el tr�fico de datos a trav�s de firmas. En transmisi�n de datos. En recepci�n de datos. Impedir tr�fico a palabras claves. Control de acceso a sitios web. Detenci�n de comunicaciones de aplicaciones por firma y cabecera.

99. Control de aplicaciones HTTP

100. Filtro ProxyWeb Se aplica de forma directa sobre HTTP. Permite la extensi�n del filtro HTTP y de autentificaci�n sobre otros protocolos. Garantiza el control sobre comunicaciones en entornos propietarios.

101. Protocolos RPC Un n�mero considerables de servicios se establecen mediante RPC. Problem�tica de las transmisiones RPC. Inicio de comunicaci�n sobre 135 para localizar el puerto de comunicaci�n. Establece comunicaci�n en puertos por encima de 1024. El administrador no deber�a abrir todos los puertos por encima del 1024.

102. Filtro RPC Las comunicaciones RPC se pueden parametrizar por el UUID. Identificador del servicio RPC. Identificador del interface. ISA Server 2004 presenta un asistente para la creaci�n de protocolos RPC basados en UUID. Manual. Autom�ticamente conectando a un servidor y seleccionando sus UUID correspondientes. El servicio de Firewall aplica con posterioridad los filtros para permitir la transferencia de datos a UUID determinados.

103. Transmisi�n RPC

104. Filtro SMTP ISA Server 2004 para el protocolo SMTP presenta un filtro que realiza el control de los comandos SMTP. Se puede ampliar la funcionalidad del filtro SMTP mediante Message Screener.

105. Message Screener Message Screener se instala como un componente adicional de MS ISA 2004. Puede ser instalado sobre cualquier servidor que ejecute IIS 5.0 o 6.0 y tenga instalado el Servidor SMTP. No se recomienda su implementaci�n sobre el servidor MS Exchange Server 2003, ya que podr�a interferir en los filtros propios.

106. Implicaciones de Implantaci�n En funci�n de los escenarios de implantaci�n, habr� que tener en cuenta las siguientes medidas: Publicar DNS para reconocer los Servidores de correo Internos. Publicar o crear las reglas de acceso necesarias para los servidores SMTP. Establecer conexiones entre servidores SMTP.

107. Message Screener Message Screener aporta mayores funcionalidades que el filtro smtp controlando: Palabras en cabecera o cuerpo del mensaje. Permite parar Virus difundidos por e-mail cuando a�n no hay vacunas. Bloqueos de remitente y dominios. Correos con attachments.

109. Message Screener Cuando se aplica una regla de filtrado se pueden establecer 3 acciones diferentes: Eliminar el mensaje. Retener el mensaje para inspeccionarlo posteriormente. Enviar una notificaci�n a una direcci�n de correo.

110. Filtro FTP Controla la conexi�n a trav�s de los puertos din�micos FTP. Realiza la conversi�n de las direcciones para los clientes SecureNat. Controla los procesos de escritura, prioritariamente en entornos de publicaci�n.

111. Filtros de autentificaci�n ISA Server 2004 presenta una serie de mecanismos para garantizar los procedimientos de autentificaci�n. Integraci�n con Directorio Activo. Filtro Web RSA para autentificaci�n de usuarios SecurID. Filtro de autentificaci�n Radius. Filtros de formulario de autentificaci�n para OWA.

112. DEMOFiltro HTTP

113. Bridging HTTP-s con ISA Server 2004

114. �Problem�tica� HTTP-s Conexiones HTTP-s ofrecen: Autenticaci�n mediante certificados. Cifrado mediante t�neles SSL. Conexiones HTTP-s condicionan: Transmisi�n datos extremo-extremo. Paso a trav�s de sistemas de protecci�n de forma oculta.

115. �Problem�tica� HTTP-s Conexiones HTTP-s Firewalls e IDS no pueden inspeccionar tr�fico. Ataques pasan sin ser detectados por firewalls: SQL Injections. Cross-Site Scripting (XSS) Red Code. Unicode.

116. �Problem�tica� HTTP-s Cifrado y autenticado es �til contra: Sniffers. Man In The Middle. Pero hay que dejar que los sistemas de protecci�n inspeccionen el contenido. Firewalls. IDS.

117. Bridging HTTP-s El proceso de Bridging en conexiones HTTP-s permite que las conexiones se cifren en dos tramos. Entre cliente y Firewall. Entre Firewall y Servidor.

118. Bridging HTTP-s Ventajas: El Firewall puede inspeccionar el contenido. Se pueden aplicar reglas mediante filtros. Se pueden detectar ataques. No se pierde seguridad. Si se desea, se puede dejar descifrado para inspecciones NIDS.

119. Bridging HTTP-s MS ISA Server 2004 permite: Tunneling HTTPS por cualquier puerto. MS ISA Server 2000 hay que configurar puertos SSL. Bridging HTTPS con: Cifrado entre cliente-firewall y firewall servidor. Cifrado entre cliente-firewall. Cifrado entre firewall-Servidor.

120. DEMOBridging HTTPS

121. Addons

122. Addons ISA Server 2004 presenta una arquitectura abierta para: Desarrollar (SDK ISA Server). Implementar nuevas herramientas. Software de terceros ampl�an las funcionalidades de ISA Server 2004.

123. Tipos de Addons Implementaciones de antivirus para ISA Server. Gesti�n de tr�fico web. Websense. Gesti�n de tr�fico y aplicaci�n de cuotas. Ampliaci�n de los componentes Sockets. Mejoras en sistemas de detecci�n de intrusos.

125. Controles Ataques Winnuke. Ataques tipo Land. Ping de la muerte. Ataques Half-Scan. Bombas UDP. Escaneo de puertos.

126. Detecci�n de ataques DNS Desbordamiento de nombres de HOST sobre DNS. Desbordamiento de longitud DNS. Control de trasferencias de zona.

127. RECURSOS: Gu�a de la consolidaci�n de Seguridad de ISA Server 2004. http://www.microsoft.com/spain/technet/recursos/articulos/securityhardeningguide.mspx

128. IT Forum en Barcelona (15-17 Nov)http://www.mseventseurope.com/msitforum/05/pre/content/default.aspx M�S DE 260 SESIONES T�CNICAS E INTERACTIVAS, incluyendo; Chalk-&-Talks y Panel Discussions para fomentar sus aptitudes t�cnicas. Una selecci�n de SEMINARIOS PRECONFERNCIA para acelerar su aprendizaje. M�S DE 65 HANDS-ON LABS (PR�CTICAS CON ORDENADOR) para ponerse al d�a con las �ltimas novedades. CONTENIDO NUEVO EN; Windows Server R2, SQL Server 2005, BizTalk Server 2006, Windows Vista y la siguiente versi�n de Microsoft Office as� como Navision, Microsoft CRM y Great Plains. LOS MEJORES CONFERENCIANTES de los Grupos de Producto de Microsoft y expertos internacionales de la industria. PRESENTACI�N DE KEYNOTE � Bob Muglia, Vicepresidente Senior, Divisi�n de Windows Server. PREGUNTE A LOS EXPERTOS que desaf�an problemas t�cnicos en un entorno renovado. COMUNIDAD DEL IT FORUM DE MICROSOFT � Conecte con los profesionales que vienen a inspirarnos compartiendo sus ideas y conocimiento. PABELL�N DE EXHIBICI�N donde m�s de 100 partners y patrocinadores mostrar�n soluciones que le ayudar�n con su trabajo. INCREMENTE SU PRODUCTIVIDAD y respalde su negocio con nuevas oportunidades e ideas.

129. TechNet Flash Informaci�n t�cnica del producto Los �ltimos Boletines de Seguridad y actualizaciones de Microsoft Nuevos Service Packs y art�culos Knowledge Base de Microsoft Downloads, Pruebas y Betas Convocatoria de Seminarios y Jornadas T�cnicas TechNet Informaci�n de los Foros TechNet Pr�ximos Videos T�cnicos Online Trucos, pistas Suscr�bete en http://www.microsoft.com/spain/technet

130. TechNews Suscripci�n gratuita enviando un mail: mailto:technews@informatica64.com

131. Technet Webcasts Seminarios Online gratuitos en castellano 1 hora de duraci�n Tecnolog�a LiveMeeting En directo y tambi�n grabados Organizados por tem�ticas Directorio activo Exchange IIS 7 SQL 2005 Gesti�n de Actualizaciones de seguridad Novedades para Windows Server 2003 Despliegue de sistemas y aplicaciones M�s informaci�n en: http://www.microsoft.com/spain/technet/jornadas/webcasts/default.asp

132. �Preguntas? Chema Alonso Microsoft MVP Windows Security chema@informatica64.com David Cervig�n Microsoft IT Evangelist davidce@microsoft.com http://blogs.technet.com/davidcervigon Jose Parada Microsoft IT Evangelist jparada@microsoft.com http://blogs.technet.com/padreparada