Seguridad en sistemas computacionales

Conceptos de Seguridad Informática...
Metodología ?

Riesgos Informáticos
y contra medidas...

Qué debo tener en cuenta al desarrollar un Area de SI ?...

Seguridad Informática: Estamos seguros ? JCH-2

♦Conceptos Básicos,

♦Riesgos Informáticos,

♦Modelos de Ataques,

♦Cómo defendernos,

♦Arquitectura de Seguridad Informática,

♦Area de Seguridad Informática,

♦Estamos seguros ?.

♦Consecuencias de la ausencia de Seguridad,
♦Daños por fenómenos naturales:
♦Infraestructura Física:
♦Centro de Cómputo,
♦Hardware,
♦Redes de Comunicación,
♦Información.
♦Fraude Informático:
♦Virus,
♦Robo de Software, Piratería,
♦Intereses económicos,
♦Inculpar a otros,
♦Imagen Corporativa.

♦Circunstancias que motivan el Fraude,
♦Oportunidad,
♦Baja probabilidad de detección,
♦Grado de conocimiento del sistema, herramientas y sitios
sobre vulnerabilidades,
♦Justificación,
♦Ego personal.
♦Cómo evitar el Fraude Informático ?,
♦Aplicar Metodología de seguridad clara,


Consideraciones importantes(1),
Seguridad en todo el esquema computacional,
Un intruso utilizará cualquier medio de penetración; no necesariamente el más
obvio ni el más complicado de romper...
Medio Cliente: C

Medio Comunicación: R

Medio Servidor: S
Medio Logístico: L


Consideraciones importantes(2),
♦Costos Vs Riesgos ==== Balance,


Administración de Riesgos
• Riesgo: Probabilidad de ocurrencia de un evento
adverso (DoS)
• Amenaza: Causante de un evento adverso (Virus)
• Vulnerabilidad: Debilidad frente a una amenaza(No
tener AntiVirus)
• Incidente: Materialización de un riesgo
• Impactos: Imagen, dinero, mercado, etc.

Fundamentos Básicos de la Seguridad Informática(1)
♦ Autenticación:Garantizar que quién solicita un acceso es

quién dice ser:
•Manejo de Passwords (Algo que se conoce)
•Estáticos
•Dinámicos (cambio períodico),
•Reglas de Inducción (Algo que se sabe generar),
•Token Cards, SmartCards (Algo que se tiene),
•Biométricos (Algo propio de un ente).

♦ Integridad: Garantizar que la información es la misma de

origen a destino:
•Huella digital de los datos - Hash (Checksum),

•MD5 (Message Digest 5),

•SHA-1 (Secure Hash Algoritm 1).


♦ Confidencialidad: Garantizar que nadie pueda entender

la información que fluye:

•Software y Hardware (combinaciones),

•Encripción Simétrica y Asimétrica,

•DES, TripleDES, AES(Seleccionado RIJNDAEL),

•RSA.


♦ Disponibilidad: Garantizar que los servicios estén activos
en todo momento:
•Plan de Continuidad: Planes de Contingencia,
•Operativa y Tecnológica,
•Pruebas Periódicas,
•Talleres Prácticos,
•Compromiso de los Clientes (Nivel de Acuerdo).


♦ Control de Acceso: Permitir que algo o alguien acceda
sólo lo que le es permitido:
•Políticas de Acceso, •Operaciones,
•Perfiles,
•Asociación usuarios y recursos,
•Niveles de
•Administración de recursos,
Sensibilidad,
•Periféricos, •ACL’s,
•Directorios, •Horarios y holgura,
•Archivos, etc, •Privilegios.

♦ No-Repudiación: Garantizar que quién genere un evento
válidamente, no pueda retractarse:

•Certificados Digitales,

•Firmas Digitales,

•Integridad,

•No copias de la llave privada para firmar.


♦ Auditoria:Llevar registro de los eventos importantes:

•Monitoreo de pistas,

•Ocasional,

•Periódico,

•Alertas,

•Herramientas Amigables.


Este es un ?”&# #” (/ E=? t=& e=#
Mensaje Encripción (A) %#/”+*# A => u = ( s=“ n=/
j=* M=% a=+

Este es un ?”&# #” (/ •A debe ser secreto,
Mensaje DesEncripción (A) %#/”+*# •Pocos participantes,

Este es un ?”&# #” (/ E=? t=& e=#
Mensaje Encripción (Ak) %#/”+*# Ak => u = ( s=“ n=/
j=* M=% a=+
E=$ t=# e=!
Este es un ?”&# #” (/
Mensaje DesEncripción (Ak) %#/”+*# Am=> u = ) s=? n=¿
j=‘ M=* a=-
•A siempre igual, •La clave es la Seguridad, no A,
•A es conocido por todos, •Dos o mas participantes deben
•Muchos participantes, compartir la misma clave,
•A usado con claves diferentes •Algoritmos simétricos,
genera distintos resultados, •Cómo distribuyo la clave de
manera segura ?.

• Cada participante tiene 2 claves: Pedro Ana
Intercambio de públicas
•Clave Privada (Pri): Sólo la conoce
PriPedro PriAna
el dueño,
PubPedro PubAna
•Clave Pública (Pub): Puede ser
PubAna PubPedro
conocida por cualquiera. Encripción (APubAna)
Este es un ?”&# #” (/
• El algoritmo A es conocido por todos, %#/”+*#
Mensaje
• No importa la cantidad de
DesEncripción (APriAna)
participantes,
• La Seguridad se basa en el par de
?”&# #” (/ Este es un
claves de cada participante (Pri, Pub), Mensaje
%#/”+*#
• No hay problema en distribuir las
claves públicas, DesEncripción (APriPedro) Encripción (APubPedro)
• De la clave pública no se puede
Este es un
deducir la privada y viceversa, Mensaje
• Algoritmos Asimétricos,

• Las firmas dependen tanto de la clave
Pedro Ana
Intercambio de públicas
privada como de los datos del
PriPedro PriAna
mensaje,
PubPedro PubAna
• Los procesos de encripción y firma PubAna PubPedro
digital se pueden combinar,
Firmar (APrivPedro) Verificar (APubPedro)
• Ojo: Si cambio de claves (Pub y Pri) Este es un Este es un
Mensaje Mensaje
debo preservar las anteriores para Firmado Firmado

validar los mensajes anteriores,
Verificar (APubAna) Firmar (APriAna)
• Fundamentos de los PKI’s. Este es un Este es un
Mensaje Mensaje
Firmado Firmado


Cómo funciona actualmente el modelo simétrico y asimétrico ?
Comienzo de sesión segura. Proponer llave de sesión. Asimétrico.
Pedro Ana
S S

PrvPedro PubAna PubPedro PrvAna

OK

Mensajes encriptados con llave acordada. Simétrico.

Este es un Este es un
Mensaje Mensaje

S S


♦ Medio Logístico,

♦ Medio Cliente,

♦ Medio Comunicación,

♦ Medio Servidor.


Medio Logístico(1)
♦ Descuido de papeles o documentos confidenciales,

♦Passwords,

♦Listas de control de Acceso,

♦Mapas de la Red de la Organización,

♦Listados de información sensible.
♦ Contra medida: Admon. de documentos y/o papeles sensibles.
Categorías para los documentos.


Medio Logístico(2)
♦ Ingeniería Social,
• Ataque de Autoridad: con o sin armas,
• Ataque de Conocimiento: Solicitar otro tipo de información basándose en
conocimiento profundo,
• Ataque de Respuesta: Basarse en mentiras,
• Ataque Persistente: Intentos repetitivos con amenazas,
• Ataques sobre las actividades diarias: Revisar acciones, movimientos, etc.,
• El ataque 10: Usar el atractivo físico,
• Ataque por engaño: Habilitar falsas alarmas para deshabilitar las
verdaderas,
• Ataque Help-Desk: Pasarse por un usuario de la red de la organización,
• Ataque de los premios: Prometer premios si se llena cierta información.
♦ Contra medida: Esquemas de autenticación. Protección física. Seleccionar
personal idóneo para funciones sensibles. Procedimientos claros.


Medio Logístico(3)
♦ Responsabilidad sobre una sola área o persona,
♦ Contra medida: Segregación de funciones (definición de políticas
de seguridad Vs. Administración de las políticas) en áreas
diferentes. Doble intervención. Doble autenticación.

♦ Empleados y/o Ex-empleados disgustados,
♦ Contra medida: Sacar de todo acceso a los ex-empleados. Política
de autenticación y control de acceso clara para los empleados.
Cultura de seguridad informática.


Medio Cliente(1)
♦ Virus:
• Tabla de Particiones,
• Boot Sector,
• Archivos,
• Polimórficos: Encripción, se alteran solos,
• Stealth: Parcialmente residentes en memoria,
• Múltiples partes: Combina 2 anteriores,
• Macro Virus.
♦ Contra medida: Antivirus para Micros, Servidores, Firewalls, Correo e
Internet. Políticas claras sobre riesgos en Internet. Restringir mensajes
de fuentes dudosas.


Medio Cliente(2)
♦ Mal uso de los passwords:
♦Muy cortos,
♦Muy simples (sin números, símbolos y/o caracteres especiales),
♦Palabras comunes a un diccionario,
♦Lógicas simples (password = login al contrario),
♦Passwords estáticos.
♦ Contra medida: Políticas de administración de passwords (vigencia,
herramientas para romperlos y generar reportes). Esquemas robustos
de autenticación (Token Cards, Smart Cards, Biométricos).


Medio Cliente(3)
♦ Ningún control de acceso al Micro:
♦Micro sensible no protegido físicamente,
♦No control de acceso al sistema operacional,
♦Passwords escritos cerca al Micro,
♦Administración pobre del sistema de archivos y privilegios locales,
♦Compartir el Micro sin discriminar el usuario.
♦Ningún sistema de seguridad local (permite cargar agentes
residentes locales).
♦ Contra medida: Control de acceso físico al Micro. Políticas de
administración en el sistema operacional. Perfiles claros por usuario.
Módulos de seguridad activos.

Medio Comunicaciones y Servidor(1)
♦ Ver información por la Red,
♦ Contra medida: Encripción,

♦ Modificar información que viaja por la Red,
♦ Contra medida: Checksums (hash), firmas,

♦ Modificar información que viaja por la Red,
♦ Contra medida: Checksums (hash), firmas,


Spoofing
Tipo de Spoof Escenario Por qué puede suceder Cómo prevenir
Envía mensajes vagos con Verificar dirección IP fuente
falso "from" a un servidor del mensaje o usar firmas
Email SMTP No Autenticación en SMTP digitales
Atacante envia mensaje vía
una cuenta de remailer
Remailer anónimo anónimo No Autenticación en SMTP Firmas digitales
Usar el login y el pw de otra Proteger pw o usar
Login persona para lograr acceso No cuidar paswwords autenticación robusta
Enviar paquetes RIP o ICMP No autenticación en No los use en redes
Routing redireccionados a un router redirecionamiento RIP o ICMP inseguras
Enviar un no solicitado Usar DNS modificados que
dominio/dir. al servidor no hagan cache en sus
DNS víctima No autenticación en DNS entradas
Enviar dirección falsa a un
Direcciones IP Host La IP fuente no es verificada Bloquear red interna
Atacante inserta paquetes
Robo de sesión falsos en sesión activa Ya hubo una autenticación Sesiones encriptadas
Un típico "hombre en el medio"
Atacante crea una copia del donde se reescriben las
WEB site, permitiendo que solicitudes finales (y las Esté seguro que su URL si
Spoofing de WEB todo el tráfico pase por ahí respuestas) es la correcta

DoS
Ataque Disco Ancho de banda BufferOverflow Ciclos CPU o Crash Notas
Cargar grandes datos vía
ftp X Llena el disco
Causar mensajes grandes
en logs X X X Disco o buffer overflow
Bloquear puerto por
SYN Flood X corto tiempo
Overlapping frafmentos
Teardrop X X IP
Redirecciona
broadcast, spoof de IP
Smurf X de la víctima
Envía mensajes de
error a NT RPC puerto
Snork X 135
Spoofing de paquetes
UDP bomba X X entre echo y puertos
Usa apuntadores de
OOB ataque X X datos urgentes falsos
Buffer overflow de los
Ping of Death X X datagramas IP
Flood Ping X X Empantana la red
Manda basura al
WinNuke X X puerto 139 de NT
Envía spoof de la
Land X X víctima como fuente
Sobrecarga servidor de
correo, gateway o
mailbox de los
Mailbombs, spam X X usuarios


Buffer Overflow(1)
Char *
vg_error;

int f_suma(int x, int y) Tope Pila
{
printf(“Escriba algo..n”);
gets(vg_error);
........
/*--- Si hubo error mensaje en p_error ---*/ Dir. de retorno
Return(x+y);
} Vg_error
int main ()
{ Datos
int
res;
printf(“Comienzo...n”); Código
vg_error = (char *)malloc(10);
res = f_suma(3, 4, vg_error);
printf(“Suma = %i. n”, res);
free(vg_error);
} Seguridad Informática: Estamos seguros ? JCH-33

Buffer Overflow(2)

Tope Pila
gets(vg_error); === “1234567890Dir.Cod.Maligno Cod.Maligno”

Cod. Maligno

Dir. Cod. Maligno
Vg_error=1234567890
int main ()
{ Datos
int
res;
printf(“Comienzo...n”); Código
vg_error = (char *)malloc(10);
res = f_suma(3, 4, vg_error);
printf(“Suma = %i. n”, res);
free(vg_error);
} Seguridad Informática: Estamos seguros ? JCH-34

Tecnologías Vs Fundamentos


Tecnologías Vs Fundamentos (1)


Acuerdos de Servicios de Seguridad
Ley contra Marco Legal Mecanismos de
Delitos
Seguridad
informáticos

Acuerdo en
Decreto, Modelos de
términos de
Resolución encripción,
seguridad
etc.

SSL - SET


♦Transacción SSL...
1. Cliente abre conexión con Servidor y envía mensaje ClientHello

2. Servidor responde con ServerHello. Session ID
Cliente Servidor
(Browser) 3. Servidor envía su Certificado. Llave Pública LPS WEB
4. Servidor envía solicitud de certificado del Cliente

5. Cliente envía su certificado

6. Cliente envía mensaje ClientKeyExchange LSe LPS LVS

7. Cliente envía mensaje para verificar certificado
LSe
8. Ambos envían confirmación de que están listos

9. Prueba de mensaje de ambos sin modificaciones


Cliente
1. Cliente Navega y decide comprar. Llena forma de compra Comerciante

2. SET envía información del pedido y pago
7. Comerciante completa la orden de compra

8. Comerciante captura Transacción
3. Comerciante inf. De pago al banco

6. Banco autoriza pago
•!!!!Hay Encripción,
9. Envía cuenta •Certificados firmados
de pago basados en autoridades
certificadoras

4. Banco comerciante verifica con
banco cliente por autorización de pago

5. Banco cliente autoriza pago

Banco de la Tarjeta(VISA) Banco del Comerciante


VPNs


VPN(1)
Plataforma de Acceso actual
Criptos
Criptos
MODEM
MODEM 14.4Kbps

Enrutador

RED DE ACCESO

RED DE LA ENTIDAD CENTRAL
Enrutador
Red Telefónica
Pública Conmutada

ps
4 .4b Enrutador
o1
ad
Cifr PPP 19.2Kbps
c.
Asin
Asinc. Cifrado 14.4bps

Enrutador
PPP 19.2Kbps


VPN(2)

Transmisión: Líneas telefónicas
 Alto tiempo de establecimiento de conexión,
 Baja velocidad de transmisión,
 Cantidad limitada de líneas de acceso,
 Sin opción de contingencia automática,
 Obsolescencia de los equipos utilizados.


VPN(3)
♦Virtual Private Network - VPN,

♦Es una red privada virtual, que utiliza como

medio de transmisión una red publica (como

Internet) o privada para conectarse de manera

segura con otra red .


VPN(6)

Flexibilidad
Operación independiente
del medio de tx.

VPNs
Costo-Beneficio
Seguridad


VPN(12)
Por qué son seguras las VPNs ?
 El equipo de VPN realiza funciones de autenticación,
encripción, chequeo de integridad y autenticidad de la
información

X Y
B
A
X YC Π λ οντρολ Παγο Παγο


VPN(13)

X Y B
A

 X y Y son VPN Gateway que van a
establecer un túnel seguro
 Por medio de certificados digitales Y
conoce a X
 X conoce a Y

VPN(14)

X Y B
A

 X y Y realizan un intercambio seguro de
llaves y acuerdan una clave secreta con la
cual cifrarán los datos
 El cifrado de los datos se hace con algoritmos
robustos como 3DES cuyas claves pueden ser
de 168 bits (DES: clave de 56 bits)

VPN(15)

X Y B
A

 Una clave de 128 bits es imposible de
descubrir en un tiempo favorable
 Sin la clave no se pueden descifrar los datos
 Y y X pueden negociar una nueva clave
cada cierto tiempo (minutos)

VPN(22)
Criterios para seleccionar una VPN

 Cumplir recomendaciones de
Superbancaria,
 Cumplir estándares internacionales para
VPN,
 Flexibilidad – Gestión remota,
 Desempeño,
 Costo,
 Seguridad.


PKI


PKI – Problemática Actual
Correo Correo
Intermediarios Usuarios
Financieros Internos

Certificados Autenticación
Digitales Servidores Web de Usuarios

Portal de Múltiples Módulos
Seguridad De Seguridad


PKI – Definición
Infraestructura de seguridad de gran alcance
con servicios basados en técnicas y
conceptos de llaves públicas


PKI - Funciones
n Brindar interoperabilidad entre sistemas.
n Facilitar seguridad en las operaciones.
n Fomentar el desarrollo del Comercio
Electrónico – Mecanismos.


PKI – Componentes (cont.)
n CA – Autoridad ó Entidad Certificadora
– Es la entidad que genera los certificados.
– Implementa las politicas definidas.
– Usa un procedimiento de cómo se van a utilizar
los certificados.


n RA – Autoridad ó Entidad de Registro
– Es un servicio subordinado de la CA.
– Ofrece facilidad en la delegación de tareas para
esquemas de organizaciones distribuidas.


n Repositorio de Certificados
– Lugar en donde se almacenan los certificados.
– Llamado también directorio.
– LDAP (Lightweight Directory Access Protocol)
n Es un estándar adoptado por los sistemas de PKI.
n Soporta gran cantidad de usuarios.
n Es fácilmente escalable.
n Es eficiente para requerimientos de búsqueda.
n Está basado en un estándar abierto (RFC 1777).


n CRL – Certificate Revocation List
– Es un directorio usado por las aplicaciones
cliente para verificar la validez de un
certificado digital.
– Hay incertidumbre de la actualización del
directorio
– Una alternativa es el procedimiento naciente
OCSP (On-line Certificate Status Protocol)


PKI - Arquitectura
Núcleo de la PKI
Solicitud
Validación
Aprobación RA
Registro
Informar
Autoridad Expide
de Registro Genera copias
Revoca
Autoridad de Expiración
Certificación Histórico
Lan–Internet Actualiza CRL
Usuarios finales Actualiza CVL
CA

CVS Repositorio
Atiende
consultas
Organizaciones
X
CRL CVL

PKI – Cerrada y Abierta en
Venezuela
n Cerrada
n Abierta


PKI – Alcance del Proyecto
n Fase 1
– Estudio técnico de los diferentes proveedores
de sistemas de PKI.
n Fase 2
– Implantación del sistema elegido.
– Integración con el correo electrónico.
– Integración con los dispositivos de VPN.
– Aseguramiento de los servidores WEB .
– Aseguramiento de los documentos electrónicos.


PKI – Alcance del Proyecto
n Fase 3
– Generación de un esquema real de SSO.
– Adecuación de aplicaciones Legacy para operar
con la PKI (este punto se realizará de manera
incremental).
n Fase 4
– Retroalimentación de los esquemas generados y
adaptación de las nuevas tecnologías
(mantenimiento continuo y soporte)


Autenticación, Integridad, Privacidad, Disponibilidad, Políticas Globales
Control de Acceso, No-Repudación, Auditoria Políticas de Seguridad Informática

Mercadeo Cultura Seguridad, Políticas,
CIVISI 1 Planes deContingencia y Mapas de Acción
Definición del Mundo
1 Equipo Atención Emergencias
6 Recomendaciones

2

Modelo Seguridad de la Org.
Análisis de Riesgos Talleres, Pruebas Continuidad
e Impactos
6 Activar Continuidad

Diseño Políticas 5 Rastreo y Manejo Incidente
de Seguridad
4 Volver Normalidad

Diseño Mecanismos 3 Plan de Acción
de Seguridad Inmediata - Grupo Incidentes

Ataques Reales o
Implementación y 3 2 Falla de Esquema
Pruebas de
Políticas, Mecanismos Evaluación Resultados
2
2 Vulnerabilidad

Implantación Políticas 1 Pruebas de Vulnerabilidad
y Mecanismos
1
Monitoreo y Seguimiento

ASI
Control Interno
Area Adm. SI Auditoría
Seminarios, Estándares Seguridad Informática: Estamos seguros ? JCH-66

Control Arquitectura de
Interno Area de Seguridad Informática Seguridad

Políticas, estándares Seguridad Análisis de Riesgos Seguridad Continuidad del
y Visión Seguridad de Redes e Impactos Aplicaciones Negocio

Políticas de SI Encripción x HW Metodologías BD Metodologías
Análisis Riesgos WEB Estrategias
VPNs y
Visión Tecnológica Encripción x SW Análisis Impactos Seguridad Apls Procedimientos
FWs Incidentes/CERT Herr. Auditoría Planes Conting.
Estándares sobre SI Virus LIB Mecanismos Herr. Libres Talleres
Correo Interno Seguimiento AR SSO Pruebas Planes
Externo - Seguro Nuevos Proyectos Fundamentos Certificación
PKIs Liderar Certificación Acuerdos
Centro de Cómputo

Pruebas de Vulnerabilidad
Area Admon de SI
Sistemas Operacionales Proyectos de SI
en Producción Auditoría
Transferencias Seguras


FUNDAMENTOS DE SEGURIDAD

POLÍTICAS DE SEGURIDAD

Son las directrices de alto nivel que
establecen un marco de referencia para la
actuación de todos los empleados y
funcionarios del Banco Central de la
Republica Bolivariana de Venezuela.




ESTÁNDARES Y PROCEDIMIENTOS

Estándar: Conjunto de requisitos de
obligatorio cumplimiento que especifican
tecnologías y métodos para implementar las
políticas de seguridad





Procedimiento: define un conjunto de pasos
operacionales para efectuar una labor
particular





M1 M2 Mi .... Mn
MECANISMOS DE SEGURIDAD


♦ Fundamental en toda Organización entender los conceptos e

importancia de la Seguridad Informática,

♦ Areas dentro de la Organización que se hagan cargo,

♦ Los fundamentos básicos son buen punto de partida para

estudio de Seguridad Informática,

♦ Visión sobre la Seguridad Informática alineada con

estándares internacionales,

♦ Campañas preventivas en toda la organización,

♦No existe la seguridad 100% pero si se pueden

minimizar, evitar, transferir y/o aceptar riesgos,

♦Es necesario seguir una metodología para estudio de la

seguridad,

♦Ataque la seguridad por frentes, sin perder su

globalidad,

♦Tecnología valiosa: Encripción, Llaves P y P, PKI, VPN,

♦ PKIs (3 o 4 máximo) serán una realidad en Colombia,

♦ Si ud. no prueba su SI, otros lo harán y posiblemente

comprometerán sus activos y su imagen corporativa,

♦ Pruebas de Vulnerabilidad: Buena herramienta para validar el

modelo de seguridad de la Organización,

♦ Vital mantener Plan de Continuidad del Negocio robusto en la

Organización.


Seguridad en sistemas computacionales

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à Seguridad en sistemas computacionales

Similaire à Seguridad en sistemas computacionales (20)

Plus de Universidad Nororiental Gran Mariscal de Ayacucho

Plus de Universidad Nororiental Gran Mariscal de Ayacucho (20)

Dernier

Dernier (20)

Seguridad en sistemas computacionales