Seguridad Informática.

1. Introducción a la seguridad.

Introducción.

Poner una introducción.

Conceptos.

Lo primero que tenemos que hacer es definir qué es la Seguridad Informática: Según Wikipedia, La seguridad informática es un estado de cualquier sistema informático que nos indica que este sistema está libre de peligro, daño o riesgo de forma que los recursos del sistema de información (material informático o programas) de una organización sean utilizados de la manera que se decidió. Lo primero que hay que tener en cuenta es que ningún sistema puede estar 100% libre de peligro.

Una de las definiciones de Seguridad Informática más curiosos que he encontrado es la de Jacqueline Olivera, tomada de la página del Gobierno de Venezuela. En ella, no sólo trata la evolución del términio, sino que trata de buscar una definición para algo en principio, bastante abstracto: "La interrelación dinámica (competencia) entre el agresor y el protector para obtener (o conservar) el valor tratado, enmarcada por la situación global."

• Se define como protector al poseedor del valor que no tiene porqué ser su propietario, sino que puede ser una entidad designada para ello a cambio de algo (por ejemplo, por dinero).
• Se define como agresor a la persona u organización que también desea dicho valor.
• Se define como valor, al elemento a proteger, que no tiene porqué ser tangible ni fácilmente cuantificable (información, intimidad, etc).

Uno de los elementos más importantes a preservar es la información:

• Un dato es la unidad mínima de información. Por ejemplo, un nombre, una fecha, un número de teléfono, un importe por sí mismo no es nada.
• La información es un conjunto de datos con un significado concreto. Por ejemplo, el nombre, fecha de nacimiento, teléfono y sueldo de una persona.

Como se verá más adelante no toda la información tiene la misma importancia, y por lo tanto no hay que invertir los mismos recursos para preservar información confidencial que para preservar la información pública que podemos obtener de las páginas amarillas.

Tópicos

He aquí algunos tópicos tomados de Wikipedia que nos ayudarán a defender nuestra postura frente a la dirección de la empresa o a nuestros propios compañeros:

• Mi sistema no es importante para un hacker. Este tópico se basa en la idea de que no introducir contraseñas seguras en una empresa no entraña riesgos pues ¿quién va a querer obtener información mía?. Sin embargo, dado que los métodos de contagio se realizan por medio de programas automáticos, desde unas máquinas a otras, estos no distinguen buenos de malos, interesantes de no interesantes, etc. Por tanto abrir sistemas y dejarlos sin claves es facilitar la vida a los virus.
• Estoy protegido pues no abro archivos que no conozco. Esto es falso, pues existen múltiples formas de contagio, además los programas realizan acciones sin la supervisión del usuario poniendo en riesgo los sistemas.
• Como tengo antivirus estoy protegido. En general los programas antivirus no son capaces de detectar todas las posibles formas de contagio existentes, ni las nuevas que pudieran aparecer conforme los ordenadores aumenten las capacidades de comunicación.
• Como dispongo de un firewall no me contagio. Esto únicamente proporciona una limitada capacidad de respuesta. Las formas de infectarse en una red son múltiples. Unas provienen directamente de accesos al sistema (de lo que protege un firewall) y otras de conexiones que se realizan (de las que no me protege). Emplear usuarios con altos privilegios para realizar conexiones puede entrañar riesgos.

Para dar una respuesta satisfactoria es necesario eliminar esas dudas y distinguir entre la seguridad teórica y la operacional o práctica.

Por ejemplo: la implementación de un sistema informático puede solucionar el problema de velocidad de procesamiento pero a su vez puede generar nuevos problemas como el de la formación de personal. Si además, están descontentos pueden llegar a generar problemas de seguridad.

En el análisis de este problema pueden apreciarse tres figuras:

1. La persona u organización que posee un valor también conocido como protector.
2. La persona u organización que desea ese valor también conocido como agresor.
3. El elemento a proteger denominado valor.

Luego, la seguridad se puede definirse como la relación entre el agresor y el protector para obtener (o conservar) un valor, dentro de la situación global.

Hagamos algunas aclaraciones:

1. El protector no siempre es el poseedor del valor.
2. El agresor no tienen porqué ser también el poseedor.
3. Ambas figuras pueden ser delegadas a terceros opr el cambio de otro valor, generalmente dinero.
4. El valor puede no ser algo concreto. Por ejemplo se podría querer cuidar, la intimidad o el conocimiento, etc.

Los competidores se pueden dividir en:

• Competidor Interno: es aquel que piensa que el interés de la organización está por encima de sus intereses y, por lo tanto, actúa para sobreponer su interés personal, provocando daños a la organización.
• Competidor Externo: es aquel que actúa para arrebatar al poseedor lo que para él significa un valor empresarial o personal (clientes, mercado, información, etc.).

La seguridad es un problema de antagonismo y competencia. Si no existe un competidor y/o una ameneza el problema no es de seguridad.

En el plano social, comercial e industrial hemos evolucionado técnica y científicametne desde una era primitiva agrícola auna era postmoderna tecnológica, pero utilizando los mismos principios en el ambiente virtual:

Este problema será solucionado satisfaciendo las necesidades de compresión del concepto "Seguridad" y "Sistema Informático" en torno de alguien (organización o particular) que gestiona información. Para esto es necesario acoplar los principios de seguridad expuestos en un contexto informático o viceversa. En definitiva los expertos en seguridad deben interactuar interdisciplinariamente para que exista seguridad informática.

Al contrario de lo que se piensa, este concepto no es nuevo y nació con los grandes centros de ordenadores. Con el pasar de los años, y como se sabe, las computadoras pasaron de ser grandes monstruos, que ocupaban salas enteras, a pequeños elementos de trabajo perféctamente ubicables sobre un escritorio de oficina. En este proceso de digitalización y miniaturización llamado "downsizing" la característica más importante que se perdió fue la seguridad. Los especialistas de seguiridad informática de hoy se basan en principios de aquellos antiguos MainFrames (grandes computadoras).

Para comenzar el análisis de la seguridad informática se deberá conocer las características de los que se pretende proteger: la información.

Así, podemos definir un dato como la unidad mínima con la que se compone la información.

Podemos definir información como un conjunto de datos que tiene un significado específico más allá de cada uno de éstos y que tendrá un sentido particular según cómo y quién la procese.

Establecer el valor de la información es algo totalmente relativo, resulta muy complicado de valorar adecuadamente debido a que se trata de algo intangible. Esto es algo que no ocurre con los equipos físicos, las aplicaciones o las personas.

Existe información que debe o puede ser pública y por lo tanto puede ser visualizada y empleada por cualquier persona, y aquella que debe ser privada. La información privada sólo puede ser visualizada por un determinado grupo de personas que tenga que trabajar con ella (por ejemplo informes económicos). Es en este tipo de información donde debemos aplicar nuestros esfuerzos para preservarla identificando si tiene las siguientes características:

• Se trata de información crítica: es decir, resulta indispensable para garantizar la continuidad operativa.
• Se trata de información valiosa: es decir, es un activo con valor en sí misma.
• Se trata de información privada: debe ser conocida sólo por las personas que la procesan.

La integridad de la información permite que su contenido permanezca inalterado a noser que sea modificado por personal autorizado, y esta modificación sea registrada para posteriores controles o auditorías. Un fallo de integridad puede estar dado a anomalías en el hardware, software, virus informáticos y/o modificación por personas que acceden al sistema.

La disponibilidad consiste en la capacidad de que la información esté siempre disponible para ser procesada por las personas autorizadas. Esto requiere que la misma se debe de mantener correctamente almacenada en el sistema y que además debemos garantizar (en la medida de lo posible) que el software funcione correctamente.

La privacidad es la necesidad de que la información sea conocida y accedida solo por las personas autorizadas. En casos de fallo de confidencialidad, la información puede provocar daños a su dueño (por ejemplo conocer antecedentes penales de una personas o informes económicos que deben resultar privados) o quedarse anticuada.

El control de la información permite asegurar que sólo aquellos usuarios que estén autorizados pueden acceder a la misma.

La autentificación permite definir qué información es válida y utilizable. Esta propiedad también permite asegurar el origen de la información, validando al emisor de la misma, para evitar que se puedan suplantar identidades de usuarios.

La consistencia se encarga de asegurar que el sistema se de forma correcta y acorde al cada uno de los usuarios que lo emplea.

El aislamiento permite regular el acceso al sistema, impidiendo que personas no autorizadas hagan uso del mismo.

La auditoría: se define como la capacidad de determinar qué acciones o procesos se están llevando a cabo en el sistema, así como quién las realiza y cuando.

Podemos definir una ameneza informática, como cualquier elemento que comprometa la seguridad del sistema.

   AMENAZAS:
      MALICIOSAS:
        EXTERNAS.
        INTERNAS.
      NO MALICIOSAS.

   Figura 1.1. Tipos de amenazas.

Las amenazas pueden ser contempladas de forma temporal: antes del ataque, durante y después del mismo.

La prevención (antes del ataque): Se trata de mecanismos que mantienen la seguridad de un sistema durante su funcionamiento normal. Podemos citar aquí el cifrado de información para su posterior transmisión.

La detección (durante el ataque): Se trata de mecanismos encargardos de descubrir violaciones de la seguridad. Por ejemplo los programas de auditoría.

La recuperación (después del ataque): Estos métodos se aplican, cuando la violación del sistema ya se ha llevado a efecto, para devolver el sistema a su funcionamiento normal. Podemos poner aquí la recuperación de las copias de seguridad realizadas.

Las preguntas que se hace un administrador de sistemas de información ante un problema de seguridad, normalmente, están relacionadas con las medidas defensivas que no solucionan un problema dado, sólo lo transforma o retrasa. La amenaza o riesgo sigue allí y las prguntas que este administrador debería hacerse son:

¿Cuanto tardará esta amenaza en superar la solución que hemos planteado?

¿Cómo hacemos para detectarla e identificarla a tiempo?

¿Cómo podemos neutralizar la amenaza?

El riesgo es la posibilidad de efectuar un daño sobre un sistema. Según se trate de actos naturales, errores u omisiones humanas y actos intencionados, cada riesgo debe ser enfrentado de alguna de las siguientes maneras:

• Lo primero es minimizar la posibilidad de que ese riesgo se produzca.
• Si se produce, hay que procurar reducir al mínimo el daño producido.
• Hay que poner los medios necesarios para que la recuperación de los daños producidos sea lo más rápida posible..
• Por último es necesario corregir las medidas de seguridad para adecuarlas a los nuevos conocimientos adquiridos a partir del ataque.

Por lo tanto el daño es el resultado de la amenaza. El daño también es el resultado de la inacción, o de una acción errónea, del administrador del sistema. El daño puede producirse porque el administrador no supo identificar adecuadamente la amenaza o, si lo hizo, se impusieron otros criterios por encima de los de seguridad.

El administrador será el encargardo de detectar cada una de las debilidades del sistema que pueden ser explotadas y empleadas, para comprometer la seguridad del sistema.

También será el encargado de aplicar las medidas de protección necesarias. Esto implicará el índice en que un sistema informático está libre de peligro. Es imposible proteger un sistema en un 100% por lo que cuando se habla de fiabilidad de un sistema se la define como la posibilidad de que un sistema se comporte tal y como se esperaba de él, y se habla de sistema fiable en lugar de sistema seguro.

Para garantizar que un sistema sea fiable se deberá de implementar las características de integridad, operatividad, privacidad, control y autentificación.

Se debe conocer qué es lo que se va a proteger, de quién se va a proteger, y cómo se puede lograr esto legislativa y técnicamente. Después es necesario formular las estrategias adecuadas de seguridad que permitan la disminución de los riesgos.

Comprender y conocer la seguridad nos ayudará a realizar análisis sobre los riesgos, las vulnerabilidades, las amenazas y las contramedidas. Nos permitirá evaluar nuestra situación; a decidir medidas técnicas, tácticas e informáticas.

Es importante remarcar que cada unas de estas técnicas parten de la premisa de que no existe el 100% de seguridad.

1.3. Sistemas de seguridad.

A la hora de definir un sistema informático debemos tener en cuenta los siguientes parámetros:

• Reconocimiento: todos los usuarios deben identificarse al acceder al sistema. Además las operaciones de estos usuarios quedarán debidamente registradas en el sistema. Este proceso permite que no se produzcan accesos y manipulaciones indebidas de datos o se se producen, al menos que queden registradas.
• Aislamiento: Los datos empleados por los usuarios deben de ser independientes de los demás usuarios. También hay que separar los datos públicos de los críticos.
• Integridad: Podemos definir como un sistema íntegro a aquel en el que todas las partes que lo forman funcionan de forma correcta.
• Auditabilidad: Se trata de los procedimientos necesarios para la preparación de pruebas del sistema. Estas comprobaciones deben de ser periódicas y deben aportarnos datos precisos sobre el funcionamiento del sistema.

Un buen sistema de auditoría debería contestar preguntas tales como:

• ¿Se emplea el sistema de una forma adecuada?
• ¿Los datos que ofrece el sistema son los necesarios?
• ¿Se presentan los datos de forma correcta?
• ¿Las transacciones se realizan de forma correcta?
• ¿El sistema cumple las normas internas y externas vigentes?
• ¿El sistema contienen información referente al entorno: tiempo, lugar, autoridad, recurso, empleado y en general todos los datos necesarios?
• Recuperación: El sistema debe de ser capaz de recuperase de un ataque y además de recuperar los recursos que hayan podido perder o dañar.
• Administración: La administración permite monitorizar cualquier suceso del sistema y permite hacer un seguimiento de esos eventos de forma que el sistema se pueda ir mejorando de forma paulatina.

1.4. Intrusos.

Un intruso es una persona que intenta acceder (o que accede) a un sistema sin contar con una autorización válida, ya sea de forma intencionada o no. No contaremos aquí a aquellos usuarios que no siendo usuarios autorizados experimenten problemas para acceder a su cuenta por cualquier motivo (su cuenta puede haber caducado o el sistemas experimentar problemas que impidan a los usuarios acceder).

Existen muchas clasificaciones de intrusos pero atendiendo a su cantidad podemos dividirlos de la siguiente forma:

• Intrusos de nivel bajo: Se calculan en un 80% son nuevos usuarios intrusos realizan pruebas sin ningún objetivo concreto. A veces simplemente se trata de gente que prueba programas descaragdos de Internet sin tener del todo claro para qué sirven.
• Intrusos de nivel medio: Se calculan en un 10% pueden resultar más peligrosos que el grupo anterior. Tienen conocimientos más amplios que les permiten realizar tareas más avanzadas como conocer el sistema operativo de otra persona e investigar los posibles fallos que pueda haber en él.
• Intrusos de nivel alto: Se calculan en un 7%. Se trata de personas con amplios conocimientos de informática, redes y programación. Son capaces de buscar múltiples accesos a otros ordenadores e investigar la forma de ingresar en ellos.
• Intrusos de muy alto nivel: Son el 3% restante. Se trata de los más peligrosos tienen un conocimiento profundo y sistemático de los sistemas que atacan. También se trata de personas con una formación profunda en informática.

1.5. Protección de sistemas informáticos.

Cualquier sistema informático está compuesto siempre por tres elementos, el hardware, el software y los propios datos que almacena el sistema.

El hardware es la parte física del ordenador. La placa base, el microprocesador, las unidades de almacenamiento y en general cualquier periférico que se pueda conectar al ordenador.

El software se compone del sistema operativo que se encarga de gestionar el hardware así como las aplicaciones que se encuentren instaladas en el equipo.

Los datos son la parte más imporatante de este conjunto. Se trata de toda la información generada por las apliaciones y/o el sistema operativo. Los datos son la parte más crítica ya que son el resultado del trabajo realizado con el ordenador y son los que más precisan de protección y de separación entre los distintos usuarios.

Si se pierde o se estropea el hardware o el software pueden ser reemplazados sin excesivos problemas, pero los datos pueden resultar muy difíciles de recuperar y en ocasiones incluso imposible (al menos en su estado original).

Podríamos hablar de un cuarto tipo de elemento que serían los elementos de almacenamiento flexibles (cintas de backup unidades extraíbles, etc.)

Cualquiera de estos elementos es susceptible de ser atacado. Estos ataques pueden ser categorizados en ataques pasivos y activos.

Ataques pasivos

En este caso el intruso no realiza un ataque propiamente dicho sino que una vez conseguido el acceso adopta una actitud pasiva para esperar a que la información que busca sea transmitida. Sus principales objetivos don la intercepción de datos y el análisis de tráfico. Con esto el intruso espera conseguir información acerca del origen y destino de la información que escucha así como monitorizar los periodos de actividad que se puedan dar entre las transmisiones de datos.

Una forma de evitar que estos ataques tengan éxito consiste en realizar un cifrado de la información que se envía.

Ataques activos

A diferencia de los ataques pasivos estos si que implican la modificación del flujo de datos transmitido y a veces incluso la creación de un falso flujo de datos. Generalmente son realizados por intrusos avanzados y se les puede subdividir en cuatro categorías:

• Ataque de destrucción: En este tipo de ataque se hace que un objeto del sistema se pierda, quede inutilizable o no disponible. A veces se ataca todo el sistema dejándo este totalmente inutilizable.
• Ataque de intercepción: En este tipo de atalque un intruso consigue el acceso a una parte del sistema comportándose (en principio) como un usuario autorizado.
• Ataque de modificación: Se trata de un ataque similar al de intercepción. Si se consigue un acceso con los suficientes privilegios resulta posible modificar otros objetos del sistema.
• Ataque de simulación: En este ataque se persigue crar un objeto que sea similar al original atacado pero que ofrezca una serie de ventajas al atacante y consiguiendo a la vez que resulte difícil de distinguir. Por ejemplo reemplazar un archivo del sistema con uno falso para que los usuarios dejen datos que en los que el atacante pueda estar interesado.

1.6. Seguridad lógica.

El objeto más importante de un sistema informático siempre es la información, y por lo tanto uno de los objetivos principales disponer de métodos que permitan la salvaguarda y que la aseguren. A la protección de la información se la denomina como seguridad lógica.

Es decir, la seguridad lógica consiste en la aplicación de barreras y procedimientos que controlen el acceso a los datos y además que sólo permita acceder a ellos a las personas autorizadas para hacerlo.

Entre las tareas que deben presentar la seguridad lógica podemos destacar:

• Asegurar que se estén utilizando los datos, archivos y programas correctos.
• Asegurar que la información que se transmite sea recibida sólo por el usuario al que ha sido enviada.
• Restringir y controlar el acceso de los usuarios a los archivos y programas.
• Asegurar la existencia de sistemas alternativos de transmisión para casos de emergencia.

1.7. El control de acceso.

Los controles de acceso se implementan normalmente en los sistemas operativos, Aunque en ocasiones también se encuentran en el acceso a las aplicaciones. Un control de acceso exige del usuario una serie de datos que validen su acceso al propio sistema. De esta forma se asegura que sólo las personas adecuadas acceden al equipo.

Estos sistemas de acceso son un importante nivel de protección para el sistema operativo de forma que controla el acceso de los usuarios al propio sistema, a las aplicaciones que están instaladas en él y como no a los datos almacenados en el sistema, asegurando la integridad de la información. Además cumplen la misión de evitar accesos no autorizados al sistema.

Además, es conveniente tener en cuetna otras consideraciones referidas a las seguridad lógica, como por ejemplo las relacionadas al procedimiento que se lleva a cabo para determinar si corresponde un permiso de acceso (solicitado por un usuario) a un determinado recurso.

1.8. Identificación y autenticación.

Se trata del primer control que se encuentra en un sistema informático y se encarga de evitar el acceso de usuarios no autorizados al sistema. Es la base para la mayor parte de los controles de acceso y para la monitorización de las actividades de los usuarios.

Se entiende por identificación a la acción en la que el usuario se registra en el sistema (introduce su nombre y su contraseña).

Se denomina autenticación a la operación en la que el sistema revisa el nombre y la contraseña del usuario, la reconoce como válida y permite el acceso del usuario a los recursos que le correspondan.

Existen cuatro tipos de técnicas que permiten realizar la autenticación de la identidad del usuario, las cuales pueden ser utilizadas individualmente o combinadas:

• Entregar al usuario una clave secreta de acceso o password, una clave criptográfica, un número de identifiación personal, etc.
• Entregar al usuario un medio físico de acceso como por ejemplo una tarjeta magnética.
• Entregar al usuario un sistema de identificación físico mediante huellas digitales o reconocimiento de retina.
• Emplear alguna habilidad del usuario, como por ejemplo su escritura o su voz.

Observe que los usuarios tienen tendencia a olvidar sus claves o a extraviar sus tarjetas (a veces ambas cosas) mientras que opr otro lado, los controles de autenticación biométricos serían los más apropiados y fáciles de administrar, pero resultan excesivamente costosos.

Resulta conveniente (en términos de eficiencia) que los usuarios sean identificados y autenticados sólamente una vez, pudiendo acceder a partir de ahí a todas las aplicaciones y datos que su perfil les permita, tanto en sistemas locales como en sistemas remotos.

Una de los métodos más comunes para implementar esta identificación de usuarios es un servidor de autentificaciones contra el que los usuarios se identifican, y que es el que se encarga de autenticar al usuario sobre los demás equipos a los que se pueda acceder.

La seguridad informática se basa, en gran medida, en una buena administración de los permisos de acceso a los diferentes recursos de un sistema informático.

La creación, activación, manejo, monitorización y cierre de las cuentas de usuario, es necesaria para poder considerar que la solicitud de habilitación de un permiso de acceso para un usuario determinado, debe provenir de su superior y, de acuerdo con sus requerimientos específicos de acceso, debe generarse un perfil en el sistema de seguridad, en el sistema operativo o en la aplicación según corresponda.

Además, la identificación de los usuarios debe estar definida mediante una norma homogénea para toda la organización.

Deben existir revisiones periódicas de la administración de las cuentas y de los permisos de acceso establecidos. Las dos revisiones deben afrontarse desde el punto de vista del sistema operativo, y aplicación por aplicación, pudiendo ser llevadas a cabo por personal de auditoría o por la gerencia propietaria del sistema; siempre sobre la base de que cada usuario disponga del mínimo permiso que requiera de acuerdo con sus funciones.

Las revisiones tienen que verificar que los permisos de acceso de cada individuo están configurados de acuerdo con sus necesidades, la actividad de las cuentas de usuarios o la autorización de cada habilitación de acceso. Un buen método es analizar las cuentas en busca de periodos de inactividad o cualquier aspecto que no sea normal.

También existen procedimientos que hay que tener en cuenta en caso de despidos del personal. En especial del personal de sistemas que puede presentar altos riesgos ya que en general se trata de empleados con capacidad para modificar aplicaciones o la configuración del sistema. También el personal de otras áreas puede causar daños.

Para evitar estas situaciones, es recomendable anular los permisos de acceso a las personas que se desvincularán de la organizción, lo antes posible. En caso de despido, lo ideal sería anular el permiso de acceso previamente a la notificación de la persona sobre la situación.

1.9. Modalidades de acceso.

Podemos definir como modo de acceso a los permisos de un usuario sobre los recursos y la información. Los accesos pueden ser:

• Lectura: Un usuario puede únicamente leer o visualizar la información pero no modificarla. Es importante tener en cuetna que en este modo de acceso si se puede copiar o imprimir la información.
• Escritura: El usuario puede añadir datos, modificar y/o borrar información.
• Ejecución: El usuario puede ejecutar programas.
• Borrado: El usuario puede eliminar objetos del sistema (programas, campos de datos o archivos).
• Creación: Permite al usuario crear nuevos archivos.
• Todas las anteriores: Normalmente este método se reserva sólo para los administradores.

1.10. Control de acceso interno.

1.10.1. Passwords.

Generalmente se utilizan para realizar la autentificación del usuario y sirven para proteger los datos y aplicaciones. Los controles implementados a través de la utilización de palabras claves resultan de bajo costo. Sin embargo, cuando el usuario se ve en la necesidad de utilizar varias palabras claves para acceder a diversos sistemas encuentra difícil recordarlas y probablemente las escriba o elija palabras fácilmente deducibles, con lo que se ve comprometida la seguridad.

Lo sincronización de passwords consiste en permitir que un usuario acceda con la misma password a diferentes sistemas interrelacionados y, su actualización automática en todos ellos en caso de ser modificada. Podría pensarse que esta es una característica negativa para la seguridad de un sistema, ya que una vez descubierta la clave de un usuario, se podría tener acceso a los múltiples sistemas a los que tiene acceso dicho usuario. Sin embargo, estudios hechos muestran que las personas normalmente suenen manejar una sóla password para todos los sitios a los que tengan acceso, y que si se los fuerza a elegir diferentes passwords tienen a guardarlas escritas para no olvidarlas, lo cual significa un riesgo aún mayor. Para implementar la sincronización de passwords entres sistemas es necesario que todos ellos tengan un alto nivel de seguridad.

La caducidad controla cuando pueden y/o deben cambiar sus passwords los usuarios. Se define el periodo mínimo que debe pasar para que los usuarios puedan cambiar sus passwords, y un periodo máximo que puede transcurrir para que caduquen.

1.10.2. Encriptación.

La información encriptada solamente puede ser desencriptada por quienes posean la clave apropiada. La encriptación es potente medida de control de acceso.

1.10.3. Listas de control de acceso.

Las listas de control de acceso son un registro donde se encuentran los nombres de los usuarios que tienen permiso de acceso a un determinado recurso del sistema, así como el modo de acceso del usuario. Este tipo de listas varían considerablemente en su capacidad y flexibilidad.

1.10.4. Limitaciones de la interfaz de usuario.

Estos limites, generalmente, son utilizados en conjunto con las listas de control de accesos y restringen a los usuarios a funciones específicas. Básicamente pueden ser tres tipos: menús, vistas sobre bases de datos y límites físicos sobre la interfase de usuario.

1.10.5. Etiquetas de seguridad.

Las etiquetas son designaciones otorgadas a los recursos (como por ejemplo un archivo) que puede utilizarse para varios propósitos como control de accesos, especificación de medidas de protección, etc. Estas etiquetas no son modificables.

1.11. Control de acceso externo.

1.11.1. Dispositivos de control de puertos.

Estos dispositivos autorizan el acceso a un puerto determinado y pueden estar físicamente separados o incluídos en otro dispositivo de comunicaciones, como por ejemplo un modem.

1.11.2. Cortafuegos o puertas de seguridad.

Permiten bloquear o filtrar el acceso entre dos redes, usualmente una privada y otra externa (por ejemplo Internet). Los cortafuegos permiten que los usuarios internos se conecten a la red exterior al mismo tiempo que previenen la intromisión de atacantes o virus a los sistemas de la organización.

1.11.3. Acceso de personal contratado o consultores.

Debido a que este tipo de personal en general presta servicios temporarios, debe ponerse especial consideración en la política de administración de sus perfiles de acceso.

1.11.4. Accesos públicos.

Para los sistemas de información consultados por el público en general, o los utilizados para distribuir o recibir información computerizada (mediante, por ejemplo, la distribución y recepción de formularios en soporte magnético, o la consulta y recepción de información a través de correo electrónico) deben tenerse en cuenta medidas especiales de seguridad, ya que se incrementa el riesgo y se dificulta su administración.

Debe considerarse para estos casos de sistemas públicos, que un ataque externo o interno puede acarrear un impacto negativo en la imagen de la organización.

1.11.5. Administración.

Una vez establecidos los controles de acceso sobre los sistemas y la aplicación, es necesario realizar una eficiente administración de estas medidas de seguridad lógica, lo que involucra la implementación, seguimientos, pruebas y modificaciones sobre los accesos de los usuarios de los sistemas.

La política de seguridad que se aplique a la seguridad lógica debe determinar las decisiones referidas a la determinación de los controles de accesos y especificando las consideraciones necesarias para el establecimiento de perfiles de usuarios.

La definición de los permisos de acceso requiere determinar cual será el nivel de seguridad necesario sobre los datos, por lo que es imprescindible clasificar la información, determinando el riesgo que produciría una eventual exposición de la misma a usuarios no autorizados.

Así los diversos niveles de la información requerirán diferentes medidas y niveles de seguridad.

Para empezar la implementación, es conveniente comenzar definiendo qué medidas de seguridad se deben aplicar sobre la información más sensible y las aplicaciones más críticas. Después se continúa en orden descendente sobre la información y las aplicaciones que requieran menos protección o que no resulten tan críticas.

Una vez clasificados los datos, deberán establecerse las medidas de seguridad para cada uno de los niveles.

Un programa específico para la administración de los usuarios informáticos desarrollado sobre la base de las consideraciones expuestas, puede constituir un compromiso vacío, si no existe una conciencia de la seguridad organizacional por parte de todos los empleados. Esta conciencia de la seguiridad puede alcanzarse mediante el ejemplo del personal directivo en el cumplimiento de las políticas y el establecimiento de compromisos firmados por el personal, donde se especifique la responsabilidad de cada uno.

Pero además de este compromiso debe existir una concientización por parte de la administración hacia el personal en donde se remarque la importancia de la información y las consecuencias posibles de su pérdida o apropiación de la misma por agentes extraños a la organización.

1.12. Seguridad física.

La seguridad física consiste en la aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial. Se refiere a los controles y mecanismos de seguridad dentro y alrededor del centro de cálculo así como los medios de acceso remoto al y desde el mismo; implementados para proteger el hardware y medios de almacenamientos de datos.

1.13. Tipos de desastres.

Cada sistema es único y por lo tanto la política de seguridad a implementar no será única. Este concepto vale, también, para el edificio en el que nos encontramos. Es por ello que siempre se recomendarán pautas de aplicación general y no procedimientos específicos.

Este tipo de seguridad está enfocado a cubrir las amenazas ocasionadas tanto por el hombre como por la naturaleza del medio físico en que se encuentra ubicado el centro.

Las principales amenazas que se prevén en seguridad física son:

1. Desastres naturales, incendios accidentales, tormentas e inundaciones.
2. Amenazas ocasionadas por el hombre.
3. Disturbios, sabotajes internos y externos deliberados.

A veces basta recurrir al sentido común para darse cuenta que cerrar una puerta con llave o cortar la electricidad en ciertas áreas siguen siendo técnicas válidas en cualquier organización o empresa.

A continuación se analizan los peligros más importantes que corren en un centro de procesamiento; con el objetivo de mantener una serie de acciones a seguir en forma eficaz y oportuna para la prevención, reducción, recuperación y corrección de los diferentes tipos de riesgos.

1.13.1. Incendios.

Los incendios son causados por el uso inadecuado de combustibles, fallas de instalaciones eléctricas defectuosas y el inadecuado almacenamiento y traslado de sustancias peligrosas.

El fuego es una de las principales amenazas contra la seguridad. Es considerado el enemigo número uno de las computadoras ya que puede destruir fácilmente los archivos de información y programas.

Desgraciadamente los sistemas antifuego dejan mucho que desear, causando casi igual daño que el propio fuego, sobre todo a los elementos electrónicos. El dióxido de carbono, actual alternativa al agua, resulta peligroso para los propios empleados si quedan atrapados en la sala de cálculo.

Los diversos factores a contemplar para reducir los riesgos de incendio a los que se encuentra sometido un centro de cálculo son:

1. El área en la que se localicen los ordenadores debe estar en un local que no sea combustible o inflamable.
2. El local no debe situarse encima, debajo o adyacente a áreas donde se procesen, fabriquen o almacenen materiales inflamables, explosivos, gases tóxicos o sustancias radiactivas.
3. Las paredes deben hacerse de materiales incombustibles y extenderse desde el suelo al techo.
4. Debe construirse un "falso piso" instalado sobre el piso real, con materiales incombustibles y resistentes al fuego.
5. No debe de estar permitido fumar en el área de proceso.
6. Deben emplearse muebles incombustibles y papeleras metálicas. Deben evitarse los materiales plásticos e inflamables.
7. El piso y el techo en el recinto del centro de cálculo y de almacenamiento de medios magnéticos deben ser impermeables.

1.13.2. Seguridad del equipamiento.

Es necesario proteger los equipos de cómputo instalándose en áreas en las cuales el acceso a los mismos sólo sea para personal autorizado. Además, es necesario que estas áreas cuenten con los mecanismos de ventilación y detección de incendios adecuados.

Para protegerlos se debe tener en cuenta que:

• La temperatura no debe sobrepasar los 18º C y el límite de humedad no debe superar el 65% para evitar el deterioro.
• Los centros de cálculo deben estar provistos de equipo para la extinción de incendios en relación al grado de riesgo y la clase de fuego que sea posible en ese ámbito.
• Deben instalarse extintores manuales (portátiles) y/o automáticos (rociadores).

1.13.3. Recomendaciones.

El personal designado para usar extintores de fuego debe ser entrenado en su uso. Si hay problemas de detección de fuego que activan el sistema e extinción, todo el personal de esa área debe estar entrenado para no interferir con este proceso automático.

Implementar paredes protectoras de fuego alrededor de las áreas que se desea proteger del incendio que podría originarse en las áreas adyacentes.

Proteger el sistema contra daños causados por el humo. Este, en particular la clase que es principalmente espeso, negro y de materiales especiales, puede ser muy dañino y requiere una lenta y costosa operación de limpieza.

Mantener procedimientos planeados para recibir y almacenar abastecimientos de papel.

Suministrar información, del centro de cálculo, al departamento local de bomberos, antes de que ellos sean llamados en una emergencia. Hacer que este departamento esté consciente de las particularidades y vulnerabilidades del sistema, por excesivas cantidades de agua y la conveniencia de una salida para el humo, es importante. Además, ellos pueden ofrecer excelentes consejos como precauciones para prevenir incendios.

1.13.4. Inundaciones.

Una inundación se define como la invasión de agua. Esta es una de las causas de mayores desastres en centros de cálculo.

Además de las causas naturales que pueden provocar una inundación, se puede dar el caso de que los esfuerzos por apagar un incendio provoque inundaciones que puedan afectar al centro de cálculo.

Para evitar que esto suceda se puede tomar como medida al diseñar el centro situar un techo impermeable que permita evitar el paso del agua de una planta superior al propio centro, además de situar puertas herméticas para evitar el agua tanto si se trata de agua proveniente de la misma planta como de agua que pueda descender por las escaleras.

1.13.5. Climatología.

Normalmente se reciben por anticipado los avisos de tormentas, tempestades, tifones y catástrofes sísmicas similares. Las condiciones atmosféricas severas se asocian a ciertas partes del mundo pero la evolución de la climatología y la inseguridad que esta provoca en los últimos tiempos hace que sean necesario tenerla en cuenta siempre.

La frecuencia y severidad de su ocurrencia deben ser tenidas en cuenta al decidir la construcción de un edificio. La comprobación de los informes climatológicos o la existencia de un servicio que notifique la proximidad de una tormenta severa, permite que se tomen precauciones adicionales, tales como la retirada de objetos móviles, la provisión de calor, iluminación o combustible para la emergencia.

1.13.6. Terremotos.

Estos fenómenos sísmicos pueden ser tan poco intensos que solamente instrumentos muy sensibles los detectan o tan intensos que causan la destrucción de edificios y la pérdida de muchas vidas humanas.

Es un problema que también se debe de tener en cuenta ya que las zonas sísmicas se han ampliado, produciéndose terremotos (aunque de baja intensidad) en zonas que no parecían tener actividad sísmica aparente o conocida anteriormente.

1.13.7. Instalación eléctrica.

Trabajar con ordenadores implica trabajar con electricidad. Por ese motivo esta este es n parámetro especialmente importante en el desarrollo de la seguridad física. La instalación eléctrica afecta por igual a todo tipo de instalaciones de cualquier tamaño, es decir, afecta por igual a un usuario doméstico como a una gran corporación.

Conforme se trabaja con sistemas más grandes, es necesario contar con un diseño de la instalación más cuidado y profesional, es necesario analizar las necesidades y los posibles problemas que se pueden presentar, así como los riesgos que puede tener la instalación desde ese punto de vista.

1.13.8. Picos y ruídos electromagnéticos.

Las variaciones de tensión (aumentos y caídas) no son el único problema eléctrico al que se han de enfrentar los usuarios. El ruído que interfiere en el funcionamiento de los componentes electrónicos es un parámetro a tener muy en cuenta por la forma en que puede afectar al funcionamiento de los ordenadores. El ruído interfiere en los datos, además de favorecer la escucha electrónica.

1.13.9. Cableado.

Los cables que se suelen utilizar para construir redes lcoales van del cable telefónico normal al cable coaxial o la fibra óptica. La selección del cable se realiza en función de las necesidades de rendimiento de la red. Algunas instalaciones se construyen con los cables preinstalados como parte del diseño y de las necesidades. De esta forma se intenta evitar que una mala instalación de los cables provoque problemas en el correcto funcionamiento de la red.

Los factores de riesgo que pueden afectar a los cables son:

1. Interferencias: pueden estar provocadas por cables de alimentación eléctrica o por equipos de radio. Los cables de fibra óptica no padecen ningún problema de alteración provocados por campos eléctricos, dándose este tipo de alteraciones sólo cables metálicos.
2. Daños en los cables: Si el cable sufre alguna pérdida en su continuidad (tanto en su núcleo como en su recubrimiento) no será capaz de transmitir los datos de forma adecuada, si se trata de un corte severo la comunicación fallará por completo.

Los cables de red son también un punto por el que un sistema puede ser atacado por un posible agresor que intente acceder a los datos. Estos ataque pueden ser:

3. Desviar o crear una conexión no autorizada en la red: un sistema de administración y procedimiento de identificación de acceso adecuado hará difícil que se puedan obtener privilegios de usuario en la red, pero los datos que fluyen a través del cable pueden estar en peligro.
4. Haciendo una escucha sin establecer conexión, los datos sepu eden seguir y pueden verse comprometidos.

Luego, no hace falta penetrar en los cables físicamente para obtener los datos que transportan.

1.13.10. Cableado de alto nivel de seguridad.

Son cableados de redes que se recomiendan para instalaciones con grado de seguridad militar. El objetivo es impedir la posibilidad de infiltraciones y monitoreos de la información que circula por el cable. Consta de un sistema de tubos (herméticamente cerrados) por cuyo interior circula aire a presión y el cable. A lo largo de la tubería hay sensores conectados a un ordenador. Si se detecta algún tipo de variación en la presión se dispara un sistema de alarma.

1.13.11. Pisos de placas extraíbles.

Los cables de alimentación, comunicaciones, interconexión de equipos, receptáculos asociados con ordenadores y equipos de procesamiento de datos pueden ser, en caso necesario, alojados en el espacio que, para tal fin se dispone en los pisos de placas extraíbles debajo del mismo.

1.13.12. Sistemas de aire acondicionado.

Se debe proveer un sistema de calefacción, ventilación y aire acondicionado separado, que se dedique al cuarto de computadoras y equipos de proceso de datos en forma exclusiva.

Teniendo en cuenta que los aparatos de aire acondicionado son causa potencial de incendios e inundaciones, es recomendable instalar redes de protección en todo el sistema de cañería al interior y al exterior, detectores y extintores de incendio, monitores y alarmas efectivas.

1.13.13. Emisiones electromagnéticas.

Desde hace tiempo se sospecha que las emisiones, de muy baja frecuencia que generan algunos periféricos, son dañinas para el ser humano.

Según recomendaciones científicas estas emisiones podrían reducirse mediante filtros adecuados al rango de las radiofrecuencias, siendo estas totalmente seguras para las personas.

Para conseguir que las radiaciones sean mínimas hay que revisar los equipos constantemente y controlar su envejecimiento.

1.14. Protección de sistemas informáticos.

Toda vez que hemos identificado cuales son los puntos débiles de nuestro sistema hemos de conocer cuales son los recursos que tenemos. Algunas de estas herramientas son evidentes (seguridad física por ejemplo) otras no lo son tanto.

Algunas de las debilidades de un sistema se deben a una mala aplicación de la tecnología existente. Otras veces esas debilidades se deben a un mal planteamiento de esas medidas de seguridad. Los usuarios también son una causa muy frecuente de los errores de seguridad. La responsabilidad de todo administrador es cerrar todas estas puertas y evaluar todas las situaciones.

Como ya se ha indicado antes la seguridad no es una ciencia exacta y no existen medidas totalmente fiables.

1.14.1. Probar los posibles errores del sistema.

De la misma forma que los atacantes de un sistema realizan pruebas para buascar puntos débiles, resulta una buena medida que los administradores realicen pruebas sobre su propio sistema, atacándolo para probar su resistencia. De este modo sep ueden comprobar vulnerabilidades que no se puedan apreciar en el funcionamiento diario del sistema.

Las herramientas que tiene un administrador a su disposición para probar la seguridad de su sistema son: Los registros o logs, los sistemas de detección de intrusos y los cortafuegos. Además también puede emplear herramientas como escáneres de puertos y software de análisis de vulnerabilidades.

A este tipo de pruebas se las conoce como test de penetración y evalúan lo seguro que resulta un sistema a intrusiones.

Este tipo de test tienen que tener relación con el tipo de información que maneja la organización. De esta forma, según la información que se tenga que proteger, se podrá determinar la estructura del sistema de seguridad.

Además del hardware y el software, es necesario contar con unas políticas de seguridad claras y bien definidas que permitan una política de actuación para los usuarios del sistema.

1.14.2. Administración de la seguridad.

Podemos separar las tareas que conlleva la administración de la seguridad en tres grupos principales:

• Autenticación: La autenticación establece que los usuarios y objetos pueden tener acceso al conjunto de recursos que el sistema puede ofrecer.
• Autorización: La autorización se encarga de que los usuarios y objetos autorizados tengan acceso únicamente a las áreas de trabajo sobre las cuales ellas deben tener dominio.
• Auditoría: La auditoría se encarga de la vigilancia de los servicios del sistema. Dentro de la auditoría se puede distinguir el mantenimiento de las estadísticas de acceso, de uso y políticas de acceso físico a los recursos.

Por lo general, las políticas son el primer paso que permite a una organización entrar en un ambiente de seguridad, puesto que reflejan su "voluntad de hacer algo" que permita detener un posible ataque antes de que éste suceda. A continuación se citan algunos de los métodos de protección más comúnmente empleados.

1. Sistemas de detección de intrusos: Estos sistemas permiten analizar las los registros del sistema en busca de anomalías o sucesos que se puedan considerar. Pueden considerarse también como un sistema de monitorización.
2. Monitores de red: Monitorizan las conexiones que se intentan establecer en una red o equipo en particular, siendo capaces de efectuar una acción sobre la base de métricas como: origen y destino de la conexión, servicio solicitado, permisos, etc. Las acciones que pueden emprender suelen ir desde el rechazo de la conexión hasta alertar al administrador. En esta categoría están los cortafuegos.
3. Sistemas de análisis de vulnerabilidades: Analizan sistemas en busca de vulnerabilidades conocidas anticipadamente. El peliro que pueden suponer estos sistemas es que pueden ser utilizados tanto por personas autorizadas como opr personas que buscan acceso no autorizado al sistema.
4. Sistemas de protección de la integridad de información: Sistemas que mediante criptografía o sumas de verificación tratan de asegurar que no ha habido alteraciones indeseadas en la información que se intenta proteger. Algunos ejemplos son los programas que implementan algoritmos de encriptación como Message Digest (MD5) o Secure Hash Algorithm (SHA), o bien sistemas que utilizan varios de ellos como PGP.
5. Sistemas de protección de la privacidad de la información: Se trata de herramientas que utilizan criptografía para asegurar que la información sólo sea visible para quién tiene autorización. Su aplicación se realiza principalmente en las comunicaciones entre dos entidades. Dentro de este tipo de herramientas se pueden citar a Pretty Good Privaci (PGP), Secure Sockets Layer (SSL) y los Certificados Digitales.

Así pues, un modelo de seguridad debe estar formado por múltiples componentes que pueden ser incorporados de manera progresiva al conjunto de la seguridad de la organización, persuadiendo a los posibles agresores de no atacar al sistema. Los componentes con que debe contar un buen modelo de seguridad son:

• Contar con una política de seguridad de la organización.
• Realización de auditorías.
• Sistemas de seguridad a nivel de cortafuegos.
• Sistemas de detección de intrusos.
• Plan de contingencia.
• Pruebas de vulnerabilidad.

1.14.3. Pruebas de vulnerabilidad.

Las pruebas de vulnerabilidad son un conjunto de metodologías y técnicas, que permiten relizar una evaluación completa de los puntos débiles de los sistemas informáticos. Consiste en un modelo que reproduce intentos de acceso, a cualquier sistema informático, de un intruso pontencial desde los diferentes puntos de entrada que existan, tanto internos como remotos.

El objetivo general de los test de vulnerabilidad es acceder a los equipos informáticos de una organización e intentar obtener los privilegios del administrador del sistema, logrando así realizar cualquier tarea sobre dichos equipos. También se podrá definir otros objetivos secundarios que permitan realizar pruebas puntuales sobre algunos ámbitos particulares de la empresa.

Los test de vulnerabilidad están formados por los siguientes elementos:

1. Test de vulnerabilidad externo: El objetivo de este test es acceder de forma remota a los equipos de una organización y conseguir el nivel de administrador del sistema. Se realizan desde fuera del propio sistema y consisten en penetrar en la red normalmente a través de cortafuegos para luego acceder a la red interna. Entre las pruebas que se pueden realizar tenemos:
• Pruebas de usuarios.
• Seguridad de passwords.
• Captura de tráfico de red.
• Detección de conexiones externas.
• Detección de protocolos utilizados.
• Escaneo de puertos TCP, UDP e ICMP.
• Intentos de acceso vía accesos remotos, módems, Internet, etc.
• Análisis de la seguridad de las conexiones con proveedores, trabajadores remotos o entidades externas a la organización.
• Prueba de ataques de Denegación de Servicio.
2. Test de vulnerabilidad interno: Este tipo de test se encarga de probar el nivel de seguridad interno. Debe ser capaz de definir qué puede hacer un agresor interno, y como puede pasar de ser un usuario con privilegios bajos a pasar a un nivel de administrador. Este test también se compone de numerosas pruebas:
• Análisis de protocolos internos y sus vulnerabilidades.
• Autenticación de usuarios.
• Verificación de permisos y recursos compartidos.
• Test de los servidores principales (WWW, DNS, FTP, SMTP, etc).
• Test de vulnerabilidad sobre las aplicaciones propietarias.
• Nivel de detección de intrusión de los sistemas.
• Análisis de la seguridad de las estaciones de trabajo.
• Seguridad de la red.
• Verificación de reglas de acceso.

1.14.4. Trampas de red.

Estas trampas son sistemas que se activan con la finalidad específica de que los expertos en seguridad puedan observar en secreto la actividad de los agresores sin que estos se percaten.

Consiste en activar un servidor y llenarlo de archivos tentadores, hacer que sea difícil, pero no imposible penetrarlo y sentarse a esperar que aparezcan los intrusos. Las trampas de red ofrecen a los agresores un gran espacio para recorrer. Presentan obstáculos que poseen un nivel de complejidad suficiente para atraerlos, pero sin irse al extremo para no desalentarlos. Ellos juegan con archivos y conversan animadamente entre ellos sobre todos los programas que encuentran, mientras el personal de seguridad observa con deleite cada movimiento que hacen.

1.14.5. Cortafuegos.

Los cortafuegos son uno de los elementos más empleados a la hora de implementar la seguridad de un sistema. Aunque deben ser uno de los sistemas a los que más se debe prestar atención, distan mucho de ser la solución final a los problemas de seguridad.

De hecho, los cortafuegos no tienen nada que hacer contra técnicas como la ingeniería social y los ataques internos.

Un cortafuegos es un sistema ubicado entre dos redes que aplica una política de seguridad establecida. Es el mecanismo encargado de proteger una red fiable de una que no lo es (por ejemplo, Internet).

Los objetivos que debe cumplir un cortafuegos son:

1. Todo el tráfico desde dentro hacia fuera, y viceversa, debe pasar a través de él.
2. Sólo el tráfico autorizado definido por la política local de seguridad es permitido.

Figura: Nube Internet, muro ardiendo (cortafuegos), Servidor y 3 PCs

Figura 1.2. Cortafuegos

Como puede observarse, el cortafuegos, sólo sirve de defensa perimetral de la red, pero no defiende de ataques o errores venidos del interior, como tampoco puede ofrecer protección una vez que el intruso lo traspasa.

Algunos cortafuegos aprovechan esta capacidad de que toda información entrante y saliente debe pasar a través de ellos para proveer servicios de seguridad adicionales como la encriptación del tráfico de red. Se entiende que si dos cortafuegos están conectados, ambos debem emplear el mismo método de encriptación-desencriptación para entablar la comunicación.

1.14.6. Routers y bridges.

Cuando los paquetes de información viajan entre su destino y origen, vía TCP/IP, estos pasan por diferentes routers.

Los routers son dispositivos electrónicos encargados de establecer comunicaciones externas y de convertir los protocolos utilizandos en las LAN en protocolos WAN y viceversa.

En cambio, si se conectan dos redes del tipo LAN se utilizan puentes, los cuales son puentes que operan a nivel de Enlace.

La evolución tecnológica les ha permitido transformarse en ordenadores especializados en determinar, si el paquete tiene un destino externo y el camino más corto y más descongestionado hacia el router de la red destino. En caso de que el paquete provenga de afuera, determina el destino en la red interna y lo deriva a la máquina correspondiente o devuelve el paquete a su origen en caso de que él no sea el destinatario del mismo.

Los routers toman decisiones en base a conjuntos de datos, regla, filtros y excepciones que le indican que rutas son más apropiadas para enviar paquetes.

1.14.7. Tipos de cortafuegos.

1.14.7.1. De filtrado de paquetes.

Se utilizan routers con filtros y reglas basadas en políticas de control de acceso. El router es el encargado de filtrar los paquetes basados en cualquiera de los siguientes criterios:

1. Protocolos utilizados.
2. Dirección IP de origen y de destino.
3. Puerto TCP-UDP de origen y de destino.

Estos criterios permiten gran flexibilidad en el tratamiento del tráfico. Restringiendo las comunicaciones entre dos computadoras (mediante las direcciones IP) se permite determinar entre cuales máquinas la comuncación está permitida.

El filtrado de paquetes mediante puertos y protocolos permite establecer qué servicios estarán disponibles al usuario y por cuales puertos. Se puede permitir navegar en la WWW (puerto 80 abierto) pero no acceder a la transferencia de archivos vía FTP (puerto 21 cerrado).

Debido a su funcionamiento y estructura basada en el filtrado de direcciones y puertos este tipo de Cortafuegos trabajan en los niveles de transporte y de red del modelo OSI y están conectados a ambos perímetros (interior y exterior) de la red.

Tienen la ventaja de ser económicos, tienen un alto nivel de desempeño y son transparentes para los usuarios conectados a la red. Sin embargo, presentan debilidades como:

1. No protege las capas superiores a nivel OSI.
2. Las necesidades aplicativas son difíciles de traducir como filtros de protocolos y puertos.
3. No son capaces de esconder la topología de redes privadas, por lo que exponen la red al mundo exterior.
4. Sus capacidades de auditoría suenen ser limitadas, al igual que su capacidad de registro de actividades.
5. No soportan políticas de seguridad complejas como autentificación de usuarios y control de accesos con horarios prefijados.

1.14.7.2. Proxy de aplicaciones.

Para evitar las debilidades asociadas al filtrado de paquetes, los desarrolladores crearon software de aplicación encargados de filtrar las conexiones. Estas aplicaciones son conocidas como servidores proxy y la máquina donde se ejecuta recibe el nombre de ordenador bastión.

El proxy, instalado sobre el ordenador bastión, actúa de intermediario entre el cliente y el servidor real de la aplicación, siendo transparente a ambas partes.

Cuando un usuario desea un servicio, lo hace a través del proxy. Este, realiza el pedido al servidor real y devuelve los resultados al cliente. Su función fue la de analizar el tráfico de red en busca de contenido que viole la seguridad de la misma. En la siguiente imagen se puede ver de forma gráfica.

Figura: Dos ordenadores cliente y servidor real con dos flechas una en cada sentido tachadas y un tercer ordenador servidor bastión del que hay flechas de dos puntas hacia cliente y servidor real.

Figura 1.3. Ordenador bastión.

1.14.7.3. Servidor dual.

Son dispositivos que están conectados a ambos lados de la red (interior y exterior) y no dejan pasar paquetes IP (como sucede en el caso del filtrado de paquetes), por lo que se dice que actúan con el "IP-Forwarding desactivado".

Un usuario interno que desee hacer uso del un servicio exterior, deberá conectarse primero al cortafuegos, en donde el proxy atenderá su petición, y en función de la configuración que tenga el cortafuegos, se conectará al servicio exterior solicitado y hará de puente entre éste y el usuario interior.

Es decir que se utilizarán dos conexiones. Uno desde la máquina interior hasta el cortafuegos y el otro desde este hasta la máquina que albergue el servicio exterior.

Figura: Un servidor en el centro de la imagen, con una flecha que apunta a la izquierda, hacia una nube; y una flecha que apunta hacia la derecha a 4 PC (en un recuadro) de la red.

Figura 1.4. Servidor dual.

1.14.8. Políticas de diseño de cortafuegos.

Las políticas de accesos en un cortafuegos se deben diseñar poniendo principal atención en sus limitaciones y capacidades pero también pensando en las amenazas y vulnerabilidades presentes en una red externa insegura.

Conocer los puntos a proteger es el primer paso a la hora de establecer las normas de seguridad. También es importante definir los usuarios contra los que se debe proteger cada recurso, ya que las medidas diferirán notablemente en función de esos usuarios.

Genralmente se plantean algunas preguntas fundamentales que debe cumplir cualquier política de seguridad:

• ¿Qué hay que proteger? Se deberían proteger todos los elementos de la red interna (hardware, software, datos, etc.).
• ¿De quién debemos protegernos? De cualquier acceso no autorizado desde el exterior y contra los ataques que puedan producirse desde el interior. Sin embargo, podemos definir niveles de confianza, permitiendo selectivamente el acceso a determinados servicios o denegando cualquier tipo de acceso a otros.
• ¿Cómo hay que protegerse? Aquí se pueden definir varias opciones en función del control que se quiera ejercer sobre la información y los usuarios. Es evidente que la importancia de la información a proteger debe determinar el nivel que se desea implantar en el sistema. Pero a priori podemos contar con los siguientes niveles.
• Se prohibe cualquier servicio excepto aquellos expresamente permitidos. Esta es la opción más recomendable y utilizada aunque algunas veces suele acarrear problemas por usuarios descontentos que no pueden acceder a ciertos serviciox.
• Se controla todo, y por lo tanto no se permite nada.
• Se controla pero se permite demasiado.
• No se controla (o se hace poco por controlar) y se permite todo.

1.14.9. Restricciones en el cortafuegos.

La parte más importante de las tareas que realizan los cortafuegos, la de permitir o denegar determinados servicios, se hacen en función de los distintos usuarios y de su ubicación:

1. Usuarios internos con permiso de salida para servicios restringidos: permite especificar una serie de redes y direcciones a los que denomina Trusted (validados). Estos usuarios, cuando provengan del interior, van a poder acceder a determinados servicios externos que se han definido.
2. Usuarios externos con permiso de entrada desde el exterior: Este es el caso más sensible a la hora de vigilarse. suele tratarse de usuarios externos que por algún motivo deben acceder para consultar servicios de la red interna.

También es habitual utilizar estos accesos por parte de terceros para prestar servicios al perímetro interior de la red. Sería conveniente que estas cuentas sean activadas y desactivadas bajo demanda y únicamenet el tiempo que sean necesarias.

1.14.10. Ventajas de un cortafuegos.

Los cortafuegos manejan el acceso entre dos redes. Si no se pone un cortafuegos, todos los ordenadores de la red estarán expuestos a los ataques desde el exterior. Esto implica que la seguridad de la red sería tan buena (o tan mala) como costase saltar la seguridad de cada ordenador conectado a la red.

Los cortafuegos permiten además monitorizar la seguridad de la red y activar alarmas ante ataques que se puedan dar desde el exterior, el responsable que debe realizar esta monitorización debe ser el admnistrador de la red.

Otra causa que ha disparado el uso de los cortafuegos es que el hecho de que las direcciones IP estén empezando a agotarse ha provocado el uso de traductores de direcciones que comúnmente son situados en el propio cortafuegos.

Además los cortafuegos son especialmente útiles para llevar las estadísticas del tráfico de la red, y que parámetros han influído más en ese tráfico, de esta manera el administrador de la red puede restringir el uso de estos procesos y economizar o aprovechar mejor el ancho de banda disponible.

1.14.11. Desventajas de un cortafuegos.

Los cortafuegos no son sistemas inteligentes, actúan de acuerdo a una serie de parámetros por el administrador, si un paquete de información no se encuentra dentro de estos parámetros como una amenaza de peligro simplemente lo deja pasar. En este aspecto funciona como un antivirus, si te toca un virus que no está en la lista... Un cortafuegos mal configurado puede convertirse e un obstáculo para la seguridad de la red y no en una ayuda.

Otra limitación es que el cortafuegos sólo trabaja con paquetes, es decir que si un intruso logra entrar a la organización y descubre contraseñas o fallos del cortafuegos y difunde esta información, el cortafuegos no se dará cuenta.

El cortafuegos tampoco provee de herramientas contra la filtración de software o archivos infectados con virus, por lo que es necesario instalar en la máquina donde se instala el cortafuegos, de antivirus apropiados.

Finalmente, un cortafuegos es vulnerable desde el punto de vista de la seguridad interna, es decir, no protege de la gente que está dentro de la red interna. Un cortafuegos será más efectivo si se complemente con una defensa interna. Un cortafuegos será más efectivo si se complementa con una defensa interna. En general cuanto más tráfico permita el cortafuegos mayor es el riesgo de una violación de la seguridad, hay que buscar un equilibrio entre no entorpecer el trabajo de los usuarios de la red y no ser demasiado permisivos de forma que no se comprometa la seguridad.

1.15. Access Control Lists (ACL)

Las listas de control de accesos proveen de un nivel de seguridad adicional a los clásicos provistos por los sistemas operativos. Estas listas permiten definir permisos a usuarios y grupos concretos. Por ejemplo pueden definirse sobre un servidor una lista de todos los usuarios (o grupos de ellos) a los que se permite el acceso a los servicios de la red. También pueden definirse otras características tales como limitaciones de ancho de banda y ocupación de almacenamiento, horarios de conexión, etc.

1.16. Detección de intrusos

Para que la seguridad esté bien implementada debe contemplarse en conjunto. Este criterio pretende recordar que todos los sistemas de protección explicados, son eficaces, pero distan mucho de ser la protección ideal.

Así, ha que explicar la conveniencia de añadir elementos que controlen lo que ocurre dentro de la red.

Como se ha visto, la integridad de un sistema se puede dañar de distintas maneras y la forma de evitar esto es con la instalación de sistemas de detección de intrusos en tiempo real, estos sistemas realizan las siguientes tareas:

• Inspeccionar el tráfico de la red localizando posibles ataques.
• Controlar los registros de los servidores para detectar acciones sospechosas (tanto de intrusos como de usuarios autorizados).
• Mantener una base de datos con el estado exacto de cada uno de los archivos del sistema para detectar la modificación de los mismos.
• Controlar el ingreso de cada nuevo archivo al sistema para detectar archivos infectados con virus, troyanos, o puertas traseras.
• Controlar el núcleo del sistema operativo con el fin de controlar los recursos y acciones del mismo.
• Avisar al administrador de cualquiera de las acciones mencionadas.

Cada una de estas herramientas permite mantener controlados a la gran mayoría de los intrusos normales. Otros, con suficientes conocimientos, y experiencia serán capaces de utilizar métodos más sofisticados para violar la seguridad (tanto interna como externa). Estos son los casos a los que se debe prestar una atención especial para integrarlos en la política de seguridad existente de la organización.

1.16.1. Sistemas de detección de intrusos (IDS).

Un sistema de detección de intrusos es otro componente dentro del modelo de seguridad de una organización. Se utilizan para detectar actividades anómalas tanto desde el exterior como del interior de un sistema informático.

Los sistemas de detección de intrusos pueden clasificarse, según su función y comportamiento en:

• Sistemas de detección de intrusos basados en host: trabaja desde un host para detectar actividad anómalas en el mismo host.
• Sistemas de detección de intrusos basados en redes: trabaja sobre el tráfico de información que circula por una red.
• Sistemas basados en el comportamiento. Una intrusión puede ser detectada observando una desviación del comportamiento normal o esperado de un usuario del sistema.

La idea en la que se basan los sistemas de detección de intrusos es que una actividad intrusiva se define como un conjunto de actividades anómalas. Si alguien consigue entrar de forma ilegal al sistema, se supone que no actuará como un usuario normal sino que su comportamiento se alejará del de un usuario normal. Ya sea porque intentará acceder a recursos a los que no tiene privilegio o bien porque sus horas de acceso no siguen la pauta de un usuario registrado.

Las instrucciones pueden clasificarse en:

• Intrusiones no anómalas: En este caso la actividad es intrusiva pero como no es anómala no se detecta. No suponen un problema pero tienen el peligro de que hacen que el sistema ofrezca una apariencia de falsa seguridad.
• Falsas intrusiones: El sistema indica erróneamente la existencia de intrusión.
• Intrusión no anómala: Existe una intrusión y ésta es detectada por el sistema.

Los sistemas de detección de intrusiones anómalas siguen normalmente varias métricas para determinar cuánto se aleja el usuario de lo que se considera comportamiento normal.

1.16.1.1. Características de los sistemas de detección de intrusos.

Cualquier sistema de detección de intrusos debería, sea cual sea el mecanismo en que esté basado, debería contar con las siguientes características:

• Debe funcionar continuamente sin supervisión humana. El sitema debe ser lo suficientemente fiable para poder ser ejecutado en segundo plano dentro del equipo que está siendo observado.
• Debe ser tolerante a fallos en el sentido de que debe ser capaz de sobrevivir a una caída del sistema.
• En relación con el punto anterior, debe ser resistente a perturbaciones. El sistema puede monitorizarse a sí mismo para asegurarse de que no ha sido perturbado, de la misma forma que un antivirus debe ser capaz de validarse para saber que está libre de una infección.
• Debe imponer una mínima sobrecarga sobre el sistema. Un sistema que ralentiza la máquina, simplemente no será utilizado.
• Debe observar desviaciones sobre el comportamiento estándar.
• Debe ser fácilmente adaptable al sistema ya instalado. Cada sistema tiene un patrón de funcionamiento diferente y el mecanismo de defensa debe adaptarse de manera sencilla a esos patrones.
• Debe ser capaz de adaptarse a los cambios de comportamiento del sistema según se añaden nuevas aplicaciones al mismo.

1.16.1.2. Ventajas de los sistemas de detección de intrusos.

• Suministra información muy interesante sobre el tráfico malicioso de la red.
• Permiten a los administradores prevenir daños antes de que se produzcan.
• Permiten identificar el origen de los ataques que sufren.
• Alerta al personal de seguridad de que alguien está tratando de entrar.
• La posibilidad de detectar intrusiones desconocidas e imprevistas. Pueden incluso contribuir al descubrimiento de nuevos ataques.
• Pueden ayudar a detectar ataques del tipo "abuso de privilegios" que no implica realmente ninguna vulnerabilidad de seguridad. En pocas palabras, se trata de una aproximación a la paranoia: "todo aquello que no se ha visto previamente es peligroso".
• Menor costo de implementación y mantenimiento al ubicarse en puntos estratégicos de la red.
• Dificulta el trabajo del intruso de eliminar sus huellas.

1.16.1.3. Desventajas de los sistemas de detección de intrusos.

• Se producen falsas alarmas.
• Se producen fallos en las alarmas.
• No deben considerarse como algo que reemplace a las auditorías de seguridad y a las políticas de seguridad.

1.16.1.4. Problemas de implantación de los sistemas de detección de intrusos.

• La alta tasa de falsas alarmas dado que no es posible cubrir todo el ámbito del comportamiento de un sistema de información durante la fase de aprendizaje.
• El comportamiento puede cambiar con el tiempo, haciendo necesario un re-entrenamiento periódico del perfil, lo que da lugar a la no disponibilidad del sistema o la generación de falsas alarmas adicionales.
• El sistema puede sufrir ataques durante la fase de aprendizaje, con lo que el perfil de comportamiento contendrá un comportamiento intrusivo el cual no será considerado anómalo.

1.17. Call back

Este procedimiento es utilizado para verificar la autenticidad de una llamada vía modem. El usuario llama, se autentifica contra el sistema, se desconecta y luego el servidor se conecta al número que en teoría pertenece al usuario.

La ventaja reside en que si un intruso desea hacerse pasar por el usuario, la llamada se devolverá al usuario legal y no al intruso, siendo este desconectado. Como precaución adicional, el usuario deberá verificar que la llamada-retorno proceda del número donde llamó previamente.

1.18. Sistemas anti-sniffers

Esta técnica consiste en detectar Sniffers en el sistema. Generalmente estos programas se basan en verificar el estado de la placa de red, para detectar el modo en el cual está actuando (recordar que un Sniffer se coloca en Modo Promiscuo), y el tráfico de datos en ella.

Resumen

• La seguridad se puede definirse como la relación entre el agresor y el protector para obtener (o conservar) un valor.
• Una amenaza informática se define como cualquier elemento qeu comprometa la seguridad del sistema.
• El daño es el resultado de la inacción, o de una acción errónea, del administrador del sistema.
• Un sistema de seguridad debe cumplir los siguientes parámetros: reconocimiento, aislamiento, integridad, recuperación, administración y auditabilidad.
• Un intruso es una persona que intenta acceder o accede a un sistema sin contar con una autorización válida a un sistema informático ya sea de forma intencionada o no.

Autoevaluación

El alumno debe intentar hacer los ejercicios sin mirar la solución y luego comprobar el resultado.

1. A la persona que posee un valor se la denomina:
1. Protector.
2. Agresor.
3. Valor.
4. Administrador.
2. Podemos definir un dato como:
1. La información que se debe proteger.
2. La unidad mínima que compone la información.
3. Ninguna de las anteriores.
4. Ambas respuestas son correctas.
3. La integridad de la información permite:
1. Que su contenido permanezca inalterado excepto por aquellos que tienen los permisos adecuados.
2. Que la información sea conocida sólo por aquellos que tengan acceso a ella.
3. Define que la información es válida y utilizable.
4. Ninguna de las anteriores.
4. La recuperación permite:
1. Descubrir al agresor mientras realiza el ataque.
2. Evitar un ataque antes de que se produzca.
3. Volver a poner en marcha el sistema después de un ataque.
4. Ninguna de las anteriores.
5. Los intrusos se definen como:
1. Personas que acceden al sistema desde el interior del propio sistema para dañarlo.
2. Personas que acceder al sistema desde el exterior del sistema para dañarlo.
3. Las respuestas a y b son correctas.
4. Las respuestas a y b son incorrectas.
6. Los ataques de destrucción pertenecen a los ataques de tipo:
1. Activo.
2. Pasivo.
3. De intrusión.
4. De intercepción.
7. La seguridad lógica se encarga de...
1. Proteger los datos y la información.
2. Proteger los dispositivos físicos del sistema.
3. Proteger a los usuarios del sistema.
4. Ninguna de las anteriores.
8. Las pruebas de vulnerabilidades son...
1. Captura del tráfico de la red.
2. Evaluaciones de los puntos débiles de un sistema.
3. Detección de protocolos utilizados.
4. Todas las respuestas son correctas.
9. Un cortafuegos es...
1. Un sistema de detección de intrusos.
2. Un sistema que comprueba la información y la deja pasar o no según unos parámetros establecidos.
3. Un sistema de trampas para posibles intrusos.
4. Todas las respuestas son correctas.
10. Los sistemas de detección de intrusos...
1. Inspeccionan el tráfico de la red buscando posibles ataques.
2. Controlan el registro de los servidores.
3. Mantienen una base de datos con el estado de todos los archivos.
4. Todas las respuestas son correctas.

Soluciones

abaccaadbd he fallado la 3 que he contestado C en lugar de A y la 8 que puse b posiblemente d y era la d.