Taller de productos sobre seguridad.
1.) Fundamentos de Seguridad: La información debe considerarse un activo
importante con el que cuentan las organizaciones para satisfacer sus
objetivos, razón por la cual tienen un alto valor para las mismas y es crítica
para su desempeño y subsistencia.
Por tal motivo, al igual que el resto de los activos organizacionales, debe
asegurarse que esté debidamente protegida.
¿Contra qué se debe proteger la información?
las buenas prácticas en seguridad de la información protegen a esta contra
una amplia gama de amenazas, tanto de orden fortuito (destrucción parcial o
total por incendio, inundaciones, eventos eléctricos y otros) como de orden
deliberado, tal como fraude, espionaje, sabotaje, vandalismo, etc.
Confidencialidad: Se garantiza que la información es accesible solo aquellas
personas autorizadas.
Integridad: Se salvaguarda la exactitud y totalidad de la información y los
métodos de procesamiento y transmisión.
Disponibilidad: Se garantiza que los usuarios actualizados tienen acceso a la
información y a los recursos relacionados toda vez que lo requieran.
El no Repudio: ofrece protección a un usuario frente a que otro usuario
niegue posteriormente que en realidad se realizó cierta comunicación. Esta
protección se efectúa por medio de una colección de evidencias irrefutables
que permitirán la resolución de cualquier disputa.
2) Vulnerabilidad: En seguridad informática, la palabra vulnerabilidad hace
referencia a una debilidad en un sistema permitiéndolo a un atacante violar
la confidencialidad, integridad, disponibilidad, control de acceso y
consistencia del sistema o de sus datos y aplicaciones.
Amenaza: Una amenaza es una violación potencial de la seguridad. No es
necesario que la violación ocurra para que la amenaza exista.
Ataques más Comunes:
Scanning (Búsqueda)
El Escaneo, como método de descubrir canales de comunicación susceptibles
de ser explotados, lleva en uso mucho tiempo. La idea es recorrer (escanear)
tantos puertos de escucha como sea posible, y guardar información de
aquellos que sean receptivos o de utilidad para cada necesidad en particular.
Muchas utilidades de auditoría también se basan en este paradigma.
TCP Connect () Scanning
Esta es la forma básica del escaneo de puertos TCP. Si el puerto está
escuchando, devolverá una respuesta de éxito; cualquier otro caso significará
que el puerto no está abierto o que no se puede establecer conexión con él.
TCP SYN Scanning
Cuando dos procesos establecen una comunicación usan el modelo
Cliente/Servidor para establecer la conexión. La aplicación del Servidor
“escucha” todo lo que ingresa por los puertos.
La identificación del Servidor se efectúa a través de la dirección IP del sistema
en el que se ejecuta y del número de puerto del que depende para la
TCP FIN Scanning- Stealth Port Scanning
Hay veces en que incluso el escaneó SYN no es lo suficientemente
“clandestino” o limpio. Algunos sistemas (Firewalls y filtros de paquetes)
monitorizan la red en busca de paquetes SYN a puertos restringidos.
Para subsanar este inconveniente los paquetes FIN, en cambio, podrían ser
capaces de pasar sin ser advertidos. Este tipo de Escaneó está basado en la
idea de que los puertos cerrados tienden a responder a los paquetes FIN con
el RST correspondiente. Los puertos abiertos, en cambio, suelen ignorar el
paquete en cuestión.
Fragmentación Scanning
Esta no es una nueva técnica de escaneo como tal, sino una modificación de
las anteriores. En lugar de enviar paquetes completos de sondeo, los mismos
se particionan en un par de pequeños fragmentos IP. Así, se logra partir una
cabecera IP en distintos paquetes para hacerlo más difícil de monitorizar por
los filtros que pudieran estar ejecutándose en la máquina objetivo.
IP Splicing-Hijacking
Se produce cuando un atacante consigue interceptar una sesión ya
establecida. El atacante espera a que la víctima se identifique ante el sistema
y tras ello le suplanta como usuario autorizado.
Obtención de Passwords
Este método comprende la obtención por “Fuerza Bruta” de aquellas claves
que permiten ingresar a los sistemas, aplicaciones, cuentas, etc. Atacados.
6) Criptografía:
Es la ciencia y arte describir mensajes en forma cifrada o en código
. Es parte
de un campo de estudios que trata las comunicaciones secretas, usadas,
entre otras finalidades, para:
- autentificar la
identidad de usuarios
- autentificar y proteger el sigilo de
comunicaciones personales y de
transacciones
comerciales y bancarias
- proteger la integridad de
transferencias electrónicas
de fondos.
8. La seguridad perimetral es un conjunto de sistemas de detección electrónica diseñado para proteger perímetros internos y externos.
La característica que hace que la seguridad perimetral sea mas efectiva que los sistemas de seguridad convencionales o no-perimetrales es que detecta, disuade y frena al intruso con mucha mas antelación.
Estos sistemas detectan las señales provinientes del perímetro protegido, generadas por
escalamiento, intentos de corte, o golpes en las vallas o bien simples pisadas en el interior del área protegida.
Reconocido mundialmente por su fiabilidad y adaptabilidad en las condiciones topográficas y climáticas más exigentes.
9. INTRODUCCIÓN:
Entendemos por plan de contingencia el conjunto de procedimientos alternativos a la operativa normal de cada empresa, cuya finalidad es la de permitir el funcionamiento de ésta, aún cuando alguna de sus funciones deje de hacerlo por culpa de algún incidente tanto interno como ajeno a la organización
Las causas pueden ser variadas y pasan por un problema informático, un fallo en la correcta circulación de información o la falta de provisión de servicios básicos tales como energía eléctrica, gas, agua y telecomunicaciones.
Los dos factores claves en la definición de un plan de contingencia para un sistema informático son la seguridad y ladisponibilidad.
El primero determina la capacidad que tiene un sistema de garantizar que la información no se perderá en ningún caso. El segundo determina el tiempo que se tardará en volver a disponer de dicha información.
Los elementos que intervienen son:
Antigüedad del hardware
Puede parecer obvio, pero disponer de equipos más o menos nuevos, no sólo proporciona un buen rendimiento sino una menor probabilidad de fallos.
Es importante renovar con frecuencia el hardware usado para los servidores y evitar, en lo posible, agotar el periodo de garantía del fabricante.
Con más motivo en los servidores que proporcionan los servicios críticos como validación de usuario, correo electrónico, archivos o ERP.
Si en un equipo con garantía del fabricante vigente el reemplazo de una pieza esencial puede significar una parada de entre 4 y 24 horas (en función del contrato de servicio); un equipo sin garantía puede estar hasta una semana pendiente de recibir una pieza, en el caso que la pieza todavía se fabrique o tenga un equivalente para su sustitución.
Sistemas de redundancia
Los sistemas pueden redundarse (o replicarse) a dos niveles:
Hardware
El más extendido es la replicación de la información contenida en los discos duros. Actualmente se opta por los sistemas RAID por Hardware.
Entre estos, la elección se basa en los requisitos de rendimiento frente a los costes:
Raid 1 (o mirroring): duplicación de un disco en otro de idéntico tamaño. No mejora el rendimiento y el factor de aumento de coste es 2.
Raid 1+0 (o striping+mirroring): banda de discos sobre disco duplicados. Mejora sustancialmente el rendimiento al escribir y leer de dos soportes distintos. El factor de aumento de coste es 2.
Raid 50: banda de discos sobre banda de discos con paridad. Proporciona una versión combinada de las mejoras de rendimiento del RAID 5 y el RAID 1+0. El factor de aumento de coste es de 1.5 (muy pocas controladoras proporcionan este nivel actualmente).
(NOTA: el factor de aumento de coste es el número de Megabytes físicos que hay que instalar por cada Megabyte resultante. Por ejemplo, un RAID 5 de 500 Gigabytes, requiere discos por un total de 750 Gigabytes, aproximadamente)
Otros sistemas de redundancia de hardware son las fuentes de alimentación y los sistemas de refrigeración.
Por último, las comunicaciones (ADSL, cables y SDSL) se pueden redundar usando distintas compañías y tecnologías mediante firewalls que lo soporten.
Software
Es el más difícil de implantar.
Tener una aplicación que permita funcionar en dos equipos distintos para proporcionar redundancia depende enteramente del desarrollo de la aplicación. Aplicaciones como Active Directory (logon, DNS, etéctera), Exchange Server o SQL Server proporcionan sistemas propios de redundancia, algunos con la tecnologia Clustering de Microsoft.
Los sistemas de recepción de correo y envío vía SMTP también permiten redundancia.
Copias de seguridad
Según el objetivo que persiguen, hay dos tipos de copia de seguridad:
Para recuperación de datos en caso de eliminación accidental
Para recuperación de sistemas en caso de desastre
Los puntos críticos de las copias de seguridad son:
Volumen de información que se pretende copiar: determina el coste del sistema.
Rotación de los soportes: determina la franja de tiempo en que se puede recuperar la información. Utilizando una rotación semanal del juego de soportes (uno para cada día de la semana) se podrá retroceder una semana en el tiempo en caso de pérdida de información accidental.
Añadiendo una rotación mensual (uno diferente para cada viernes del mes, por ejemplo) se podrá retroceder un mes en el tiempo.
A pesar de contener toda la información de una compañía, un sistema de copias de seguridad permite recuperar la información, pero muchas veces (sobretodo cuando el volumen es importante) no permite una recuperación rápida de la información.
Protocolo para casos de emergencia y planes de contingencia
Sea cual sea el nivel de redundancia de Hardware o el sistema de copias de seguridad, toda compañía debería tener un protocolo para la recuperación en caso de desastre.
La elaboración de este protocolo, o plan de contingencia, debe hacerse ponderando la importancia y el coste de los siguientes factores:
Definición de los elementos informáticos críticos (correo, ERP, terminal server)
Cálculo del coste por hora sin servicio
Tiempo de recuperación del sistema en caso de: - Pérdida accidental de información
- Pérdida total de un elemento (caída del correo electrónico, por ejemplo) - Destrucción total de un servidor
- Destrucción total de todo el sistema (por incendio por ejemplo)
Los costes de previsión para un plan de contingencia son:
Hardware adicional
Sistemas de almacenamiento externo (NAS) para una rápida recuperación de los datos
Contratación de servicio de garantía de menor respuesta
Desde la aparición de sistemas de virtualización, los equipos con procesadores de varios núcleos y los sistemas NAS de almacenamiento en red, el diseño de un plan de contingencia de rápida recuperación se ha simplificado y su coste se ha reducido drásticamente.
Recuperacion de la información
La recuperación de información es el conjunto de tareas mediante las cuales el usuario localiza y accede a los recursos de información que son pertinentes para la resolución del problema planteado. En larecuperación de información desempeñan un papel fundamental los siguientes factores:
lenguajes documentales
la descripción del objeto documental.
En principio, la recuperación de información engloba las acciones encaminadas a identificar, seleccionar y acceder a los recursos deinformación útiles al usuario, sin perjuicio de otras acepciones del concepto.
El objeto documental se ha organizado y representado, utilizando una serie de normas y
convenciones, en un soporte informático, mediante el diseño, creación y mantenimiento de bases de datos (RIJSBERGEN, 1979).
La siguiente fase lógica es la recuperación del contenido de las mismas, siguiendo unos criterios de pertinencia. En el ámbito de la documentación automatizada, la recuperación de
información adoptará la forma del acceso, selección y explotación de las bases de datos, utilizando diferentes técnicas.
11. Incidente
Un incidente es cualquier evento relacionado con la seguridad de lainformación en el cual alguna política de seguridad ha sido violada. Losatributos de un incidente pueden incluir:
•Acceso no autorizado o intento de acceso al sistema de información.
•Interrupción o negación de servicio.
•Alteración o destrucción de los procesos de entrada, almacenamientoo salida de información
Cambios o intentos de cambio en hardware, software o firmware sinconocimiento del usuario.
Entendiendo un incidente
Cualquier ocurrencia que es clasificada como un ataque en el sistema,la red o una estación de trabajo es considerada un incidente. La informaciónnecesaria para entender un ataque incluye:
•La naturaleza del ataque.
•Por que el atacante escogió ese objetivo (pueda que nunca se sepa siel sujeto nunca es identificado)
El nivel de riesgo
Daño o peligro potencial futuro
Alcance del Incidente
Una vez que la naturaleza del ataque esta completamente entendida,es necesario determinar que afecta. Esto puede incluir:
•Hardware
•Software
•Datos
•Personas
•Documentación física
•ComunicacionesEsto debe determinarse sin importar si el ataque fue intencional o no
Computacion Forense
La computación forense es la ciencia de adquirir, preservar, obtener ypresentar datos que han sido procesados electrónicamente y guardados enun medio computacional.También se define como el proceso de identificar, preservar, analizary presentar evidencia digital de tal forma que puede ser aceptada en lasolución de un caso donde esta involucrada la tecnología digital parainvestigar un crimen tecnológico.La computación forense no es utilizada solo para investigar
crímenestecnológicos, como lo son el ingreso no autorizado a una red o la distribuciónde material ilegal, también es utilizada para investigar cualquier crimendonde una computadora puede tener alguna evidencia almacenada (porejemplo, correo electrónico entre una victima de violación y el violador).
2.3 Objetivos de la computación forense
La computación forense tiene 3 objetivos primordiales:
•La compensación de los daños causados por los criminales ointrusos.
•La persecución y procesamiento judicial de los criminales.
Estos objetivos son logrados de varias formas, entre ellas, la principales la recolección de evidencia.
2.4 Usos de la Computación Forense
Existen varios usos de la computación forense, muchos de estos usosprovienen de la vida diaria, y no tienen que estar directamente relacionadoscon la computación forense:
•Prosecución Criminal: Evidencia incriminatoria que puede serusada para procesar una variedad de crímenes, incluyendohomicidios, fraude financiero, tráfico y venta de drogas, evasiónde impuestos o pornografía infantil.
•Litigación Civil: Casos que tratan con fraude, discriminación,acoso, divorcio, pueden ser ayudados por la computaciónforense.
•Investigación de Seguros: La evidencia encontrada encomputadores, puede ayudar a las compañías de seguros adisminuir los costos de los reclamos por accidentes ycompensaciones.
•Temas corporativos: Puede ser recolectada información encasos que tratan sobre acoso sexual, robo, mal uso oapropiación de información confidencial o propietaria, o aún deespionaje
industrial.
