Implementación de la Seguridad en Aplicaciones y Datos.

Defensa en Profundidad.

Nivel de Directivas: Programas de concientización y aprendizaje para los usuarios. Nivel de Seguridad Física: Guardias de seguridad, bloqueos y dispositivos de seguimiento. Nivel de Perimetral: Servidores de Seguridad y VPNs con procedimientos de Cuarentena. Nivel de red: Segmentación de Red, IPSec y sistemas de detección de intrusos de Red. Nivel de host: Sistemas de detección de intrusos basados en Host, aplicación de revisiones

y actualizaciones de seguridad y métodos seguros de autenticación. Nivel de aplicación: Actualización de software y antivirus. Nivel de Datos: Listas de control de acceso y métodos de cifrado.

Descripción del Nivel de Aplicación.

Una aplicación es un servicio que concede acceso al cliente a la información que se encuentre en un servidor. Los servicios que brinde el servidor no deben de ser anulados, pero si protegidos de ataques malintencionados. Un ataque se puede generar por una aplicación que tenga defectos en su seguridad, por puntos vulnerables del servidor y uso excesivo de aplicaciones. Se debe aplicar actualizaciones a todo el software que se usa para cubrir los puntos vulnerables, evitar que los programas se ejecuten con privilegios de administrador y ejecutar los programas solo con los servicios necesarios.

Sistemas de protección como Application Hardening, verificación de HTML, origen de los cookies, seguridad en el servidor de infraestructura, garantizan la protección en una organización; una aplicación debe de ser probado a fondo antes de ser puesto en marcha en el servidor.

Importancia de la seguridad en las aplicaciones.

La defensa en profundidad es un sistema que puede ayudar a proteger la seguridad de una organización. La mayor parte de los ataques se están generando en aplicaciones, y es por lo tanto imperativo la protección de estas mismas aplicando actualizaciones de seguridad tanto al software como al servidor que proporciona servicios.

Importancia de la seguridad en los datos.

Proteja los datos como última línea de defensa. Configure los permisos de archivo. Configure el cifrado de los datos.

Por medio de cifrado de archivos, listas de control de acceso, copias de seguridad, permisos NTFS que permiten la auditoria de archivos y carpetas, uso de Windows Rights Management Services y sistemas de control de directorio de Active Directory, ayudan a proteger los datos de personas no autorizadas que pueden comprometer el estado de una organización.

Recomendaciones para los servidores de aplicaciones.

Configure el sistema operativo para que sea seguro. Aplique la configuración de línea de base del servidor y la plantilla de seguridad

incremental correspondiente al servidor. Aplique las revisiones de seguridad y/o service packs más recientes en el sistema

operativo con el fin de protegerlo de ataques. Habilite solo los servicios necesarios en el servidor y los permisos necesarios de

administración a los administradores. Aplique defensa en profundidad.

Protección de Exchange Server.

Dependencias de seguridad de Exchange.

Seguridad del sistema operativo. Seguridad en la red por medio de cifrado de datos. Seguridad IIS que trabaja en conjunto OWA Outlook Web Access. Seguridad en los clientes. Seguridad de Active Directory. Exchange almacena información crucial a cerca de

Exchange.

Seguridad en los servidores Exchange.

Aplique la plantilla de seguridad línea base del servidor y la plantilla incremental correspondiente a Exchange, para servicios y aplicaciones de usuario Exchange.

Para el servidor OWA aplique bloqueo de seguridad IIS, incluido URLScan y modo de aislamiento de aplicaciones.

Para el servidor de servicios de fondo aplique la plantilla de seguridad. En controladores de dominio aplique la plantilla de seguridad BaselineDC.inf y luego la

plantilla de seguridad incremental.

Aspectos de seguridad en los servidores Exchange.

Bloqueo del acceso no autorizado del servidor Exchange. Bloqueo y cifrado de las comunicaciones. Bloqueo del correo no deseado. Bloqueo de los mensajes electrónicos no seguros como archivos adjuntos o que contengan

virus.

Configuración de la autenticación - Parte 1.

Exchange Server y Outlook se comunican por medio de RPC y se puede usar con HTTPS. Al configurar esta opción el tráfico de autenticación se cifra por SSL. Este servidor también admite SPA (Autenticación de Contraseña Segura) para cifrar el tráfico de autenticación mas no el de los datos de los mensajes que se envian, eliminando el problema de común de seguridad de protocolos de correo estándar. Para cifrar los datos que se envían se puede utilizar SSL sobre IMAP o POP.

Configuración de la autenticación - Parte 2.

OWA permite varios métodos de autenticación:

Autenticación Básica: No segura, y usa SSL para cifrar las comunicaciones incluido los datos de autenticación.

Autenticación Integrada: Los datos de usuario y contraseña no se transmiten por internet. Solo funciona en Internet Explorer y podría no funcionar cuando el tráfico de autenticación pasa por servidores de seguridad.

Autenticación de texto Implícita: Autenticación basada en estándares proporcionando seguridad similar a la de la integrada. Se puede utilizar en versiones de exploradores recientes, pero en las versiones anteriores podría no funcionar.

Autenticación basada en formularios: Permite a un usuario proporcionar sus credenciales en un formulario que se muestra como parte de una página web, con esto el administrador puede configurar el termino de la sesión por periodo de inactividad.

Seguridad en las comunicaciones.

Configure el cifrado RPC en el cliente y el cifrado de la conexión MAPI entre Outlook y el servidor Exchange. MAPI utiliza RPC y admite cifrado de forma nativa.

Utilice ISA Server con los paquetes de características 1 para que acepte todo el tráfico que este cifrado y no el RPC sin cifrar. Además para permitir solo el trafico de correo electrónico que llega de internet a los servidores Exchange.

Configure SSL para cifrar las comunicaciones de correo electrónico, en caso de necesitar que se firme el correo electrónico o que solo el destinatario deseado pueda leer el correo electrónico cifrado use S/MIME.

S/MIME utiliza criptografía de clave pública para firmar y cifrar los mensajes.

Cifrado de un mensaje.

1. Se crea un mensaje nuevo y se le asigna el destinatario. El remitente especifica que el mensaje debe de mandarse cifrado.

2. En Active Directory se hace la búsqueda del certificado del usuario destino que contiene la clave pública.

3. El mensaje se cifra con la clave pública y se envía.4. Cuando el mensaje se envía de servidor SMTP al otro se encapsula en S/MIME.5. El mensaje llega cifrado al buzón de destino.6. Cuando el destinatario abre el mensaje se descifra el contenido con la clave privada que él

tiene.

Bloqueo de correo no deseado en Exchange 2000.

Cierre las retransmisiones abiertas para que no se envíe SPAM por medio de SMTP. Este tipo de correo no requiere autenticación y se envía de servidor en servidor así el destinatario no se encuentre en ese lado.

Protéjase de la suplantación de direcciones en el campo De. El servidor Exchange bloquea esto por medio de firmas digitales.

Impida que Exchange resuelva los nombres de destinatario en cuentas GAL, permitiendo así que el correo que provenga de afuera quede sin resolver para que los usuarios se protejan del correo de suplantación.

Configure búsquedas DNS inversas para que Exchange rechace los correos que se envía desde servidores SMTP que no pertenezcan al dominio.

Bloqueo de correo no deseado en Exchange 2003.

Compatibilidad con listas de bloqueo en tiempo real, por medio de una lista de dirección IP que incluye dirección de origen, así como servidores configurados para la retransmisión abierta o listas de cuentas de usuarios de acceso telefónico.

Listas globales de direcciones rechazadas y aceptadas. Filtrado de destinatarios entrantes y remitentes que no se encuentren presentes en el

servicio de Active Directory. Protección mejorada contra la retransmisión con la especificación de usuarios que pueden

enviar correo a los servidores SMTP virtuales. Integración con Outlook 2003 y filtrado de correo no deseado de terceros.

Bloqueo de mensajes no seguros.

Implemente puertas de enlace antivirus, supervisando los mensajes entrantes y salientes, y actualizando las firmas con frecuencia.

Configure la seguridad en los archivos adjuntos de Outlook, la seguridad el explorador Web determina si los archivos adjuntos se pueden abrir en OWA.

Implemente ISA Server con el complemento Message Screener para bloquear los mensajes entrantes en función del tamaño, el tipo de archivo adjunto, el remitente o una palabra clave.

Uso de permisos para proteger Exchange.

El modelo de administración centralizada permite:

Permitir que otros administradores se encarguen de los distintos componentes de una organización Exchange.

Delegación de administración para los objetos que se encuentren en el servidor, o para los servidores que se encuentre en servicio de directorio.

Para servidores Exchange 2000 otorgue permisos administrativos necesarios, para los servidores Exchange 2003 se manejan 3 tipos de administración:

Administrador total de Exchange: permiso para modificar todos los componentes y permiso para realizar cambios.

Administrador de Exchange: permiso para modificar todos los componentes pero no para realizar cambios.

Administrador con permiso de vista de Exchange: permiso para ver objetos.

Mejoras en Exchange Server 2003.

Muchas configuraciones son seguras de forma predeterminada. Permisos más restrictivos. Nuevas características de transporte de correo. Nuevo Asistente para conexión a Internet. Compatibilidad con la autenticación entre bosques.

Diez principios fundamentales para proteger Exchange.

1. Instale el service pack mas reciente.2. Instale las revisiones de seguridad aplicables.3. Ejecute MBSA.4. Compruebe la configuración de retransmisión.5. Deshabilite o proteja las cuentas conocidas.6. Utilice una solución de antivirus en niveles.7. Utilice un servidor de seguridad.8. Evalúe ISA Server.9. Proteja OWA.10. Implemente una estrategia de copia de seguridad.

Cómo Outlook 2003 y Exchange 2003 Evalúan E-Mail Comerciales no solicitados.

1. Cuando un mensaje de E-mail es recibido por el transporte, la dirección IP es evaluada contra las listas de aceptar o negar. Si se encuentra una coincidencia en la lista de negación, el mensaje se para en el nivel del protocolo.

2. Si la dirección IP no está en la lista de aceptar ni negar, el mensaje de E-mail es evaluado contra una lista de bloqueo. Si se encuentra en la lista de bloqueo, el mensaje se para en el nivel del protocolo.

3. El mensaje de E-mail se evalúa contra software de terceras partes, productos anti-junk, e-mail o plug-ins que se configuran en la capa de transporte.

4. El mensaje de E-mail se mueve al information store y, de acuerdo con su Nivel de Spam y cómo el usuario ha configurado el Outlook, se entrega a una carpeta o se borra.

Configuraciones Firewall para servidores Front-End y Back-End seguros.

Usted debe planear la colocación y la configuración de firewalls para la seguridad de red, implementando servidores front-end y back-end. Existen cuatro localizaciones típicas para firewalls en topologías front-end y back-end server:

ISA Server localizado en una red del perímetro con el servidor front-end, localizado detrás del segundo firewall. En este escenario, el ISA Server u otro proxy server reverse está situado entre dos firewalls separados. El primer firewall separa al ISA Server de Internet. El segundo firewall separa al ISA Server de la red interna de la compañía. ISA Server remite todas las peticiones entre el cliente y el servidor front-end. Dado que ISA Server solo reenvía las peticiones al servidor front-end. Los servidores back-end no se ven comprometidos. Y, porque el servidor front-end está situado en la red interna con otros

servidores internos, esta configuración proporciona el mejor nivel de seguridad permitiendo que usted reduzca al mínimo los puertos que necesita abrir en el firewall interno.

Protección de SQL Server.

Configuración básica de seguridad.

Aplique Service Packs y revisiones. Utilice MBSA para detectar las actualizaciones de SQL no aplicadas. Deshabilite los servicios que no se utilicen:

MSSQLSERVER (obligatorio). SQLSERVERAGENT. MSSQLServerADHelper. Microsoft Search. Microsoft DTC.

Amenazas comunes para los servidores de bases de datos y medidas preventivas.

Inserción de SQL: El intruso se aprovecha de los puntos vulnerables del código de acceso a los datos y de la validación de entradas de una aplicación para ejecutar comandos arbitrarios en la base de datos con el contexto de seguridad de la aplicación Web.

Espionaje de red: La arquitectura de implementación de la mayor parte de las aplicaciones incluye una separación física entre el código de acceso a los datos y el servidor de bases de datos. Como resultado, los datos confidenciales, por ejemplo los específicos de una aplicación o las credenciales de inicio de sesión de una base de datos, se deben proteger de los fisgones o espías que actúan en la red.

Acceso no autorizado al servidor: El acceso directo al servidor de base de datos debe restringirse a equipos cliente específicos para impedir el acceso no autorizado al mismo.

Averiguación de contraseñas: Una primera línea común de ataque es intentar averiguar las contraseñas de los nombres de cuenta conocidos, como la cuenta del administrador de SQL Server.

Medidas Preventivas.

limitar y sanear los datos de entrada antes de utilizarlos en consultas SQL. Utilice parámetros SQL con tipos seguros para el acceso de datos para que estén sujetos a

comprobaciones de tipo y longitud. Utilice un inicio de sesión de SQL Server con permisos limitados para que no se pueda

acceder directamente a las tablas. Utilizar autenticación de Windows para conectar con el servidor de base datos y evitar que

se envíen credenciales a través de la red. Instale un certificado de servidor en el servidor de bases de datos, como resultado las

credenciales SQL se cifran automáticamente a través de la red.

Utilice SSL entre el servidor WEB y Bases de datos para proteger los datos confidenciales de las aplicaciones.

Utilice un canal seguro IPSec entre el servidor WEB y el servidor Base de Datos. Comprobar que los puertos SQL no son visibles desde fuera del perímetro. Restrinja el acceso directo de hosts no autorizados. Cree contraseñas que satisfagan la seguridad de la organización. Evite usar contraseñas comunes.

Categorías de seguridad de los servidores de bases de datos.

Opciones de seguridad como autenticación, auditoria y las cuentas que se ejecutan para el servicio SQL con mínimos privilegios.

La capacidad de tener acceso a los objetos de SQL debe de revisarse, además que hay que eliminar las bases de datos de ejemplos.

Quitar recursos compartidos innecesarios y agregar permisos NTFS limitados. Configure auditoria para poder identificar posibles intrusos acompañado de listas de

control de acceso. Deshabilite servicios innecesarios para reducir los posibles ataques en el servidor. Limite el número de cuentas de Windows accesible al servidor SQL. Limite y controle el registro para impedir actualizaciones no autorizadas de las opciones

de configuración. Controlar puertos que no se estén utilizando deshabilitándolos. Limitar los protocolos de comunicación del cliente.

Seguridad de la red.

Limite SQL Server para que utilice TCP/IP con el fin de utilizar filtros IPSec, TCP/IP, métodos de autenticación.

Refuerce la pila TCP/IP. Restrinja los puertos que no se usen en el servidor de seguridad y en los servidores que se

encuentren detrás de él.

Seguridad del sistema operativo.

Configure la cuenta de servicios SQL con privilegios mínimos, en caso que ingrese un intruso no pueda realizar tantos daños.

Elimine y deshabilite las cuentas que no se usen. Proteja el tráfico de autenticación configurando el sistema operativo de modo que no

acepte ningún método de autenticación de Windows que proporcione una seguridad menos a NTLMv2. Esto incluye deshabilitar la autenticación LAN Manager y NTLMv1.

Inicios de sesión, usuarios y funciones.

Utilice una cuenta segura para el administrador del sistema. Quite la cuenta de usuario invitado de SQL. Quite el inicio de sesión BUILTIN\Administradores. No conceda permisos para la función pública para tener acceso a las bases de datos,

procedimientos almacenados y otros objetos.

Archivos, directorios y recursos compartidos.

- Compruebe los permisos de los directorios de instalación de SQL Server.- Compruebe que el grupo de usuarios Todos no tenga permisos para los archivos de SQL

Server y solo asígnale permiso control total de forma explícita al grupo de administradores y a la cuenta de sistema local.

- Proteja los archivos de registro de instalación, después de haber instalado un SP para SQL se guardan copias de seguridad de las contraseñas, con killpwd.exe se quitan estas copias de los registros de seguridad.

- Proteja y quite las herramientas, utilidades SDK.- Quite los recursos compartidos innecesarios.- Restrinja el acceso a los recursos compartidos necesarios.- Proteja las claves del registro con ACLs.

Auditoría de SQL.

Registre todos los intentos erróneos de iniciar sesión en Windows. Registre las acciones erróneas y correctas del sistema de archivos. Utilice la auditoria de

NTFS para detectar intentos de acciones potencialmente peligrosos. Habilite la auditoria de inicio de sesión de SQL Server. Habilite la auditoría general de SQL Server.

Seguridad de los objetos de base de datos.

Quite las bases de datos de ejemplo Pubs y Northwind. No conceda acceso a los usuarios invitados. La mejor forma de proteger los procedimientos almacenados es asegurarse de tener una autenticación segura y proporcionar después una autorización con permisos limitados.

Proteja los procedimientos almacenados Proteja los procedimientos almacenados extendidos Limite el acceso de cmdExec a la función sysadmin para evitar que usuarios que no se

encuentren en este grupo ejecuten tareas que pudieran requerir acceso con privilegios del sistema.

Uso de vistas y procedimientos almacenados.

Utilice procedimientos almacenados siempre que sea posible para asegurarse que este tipo de información se almacena en el servidor de bases de datos y solo la pueden ver los usuarios que envían consultas. El uso de estos procedimientos también suprime las condiciones en las que se puede producir un ataque de inyección de código.

Utilice vistas en lugar de permitir acceso a las tablas puede reducir la cantidad de información accesible a los usuarios de servidores SQL Server e impide a los intrusos obtener acceso a toda la información de las mismas.

Seguridad de las aplicaciones Web.

Muchas aplicaciones web tienen acceso a los servidores SQL, estas aplicaciones requieren una configuración especial de seguridad.

Valide todos los datos de entrada antes de agregar a la base de datos, para evitar la inserción de código SQL.

Proteja la autenticación y la autorización, exigiendo a los usuarios contraseñas seguras y habilite periodo de caducidad para ellas mismas. No almacene credenciales del cliente y utilice protocolos de túnel para cifrar las contraseñas. Limite a los usuarios a los recursos del sistema.

Proteja los datos confidenciales mediante IPSec o HTTPS. Utilice cuentas de servicio y proceso con los mínimos privilegios, proteja el canal de

comunicación para administración remota. Evite almacenar datos importantes en la web. Configure la auditoría y el registro para identificar comportamientos sospechosos. Sepa

que apariencia tiene el tráfico correcto. Utilice métodos estructurados de tratamiento de excepciones, no revele información de

implementación de las aplicaciones confidenciales, considere el uso de una estructura de administración centralizada.

Diez principios básicos para proteger SQL Server.

1. Instale el service pack mas reciente.2. Ejecute MBSA.3. Configure la autenticación de Windows.4. Aisle el servidor y realice copias de seguridad.5. Compruebe la contraseña del administrador del sistema.6. Limite los privilegios de los servicios de SQL Server.7. Bloquee los puertos en el servidor de seguridad.8. Utilice NTFS.9. Quite archivos de configuración y bases de datos de ejemplos.10. Audite conexiones.

Seguridad en Small Business Server.

Un servidor SBS está diseñado para proporcionar varias funciones de red, como controlador de dominio, servidor IIS, servidor de archivos, servidor Exchange, servidor SQL, y posiblemente servidor de fax.

Reconocimiento de las amenazas.

Esta expuesto a amenazas externas e internas como cualquier servidor, y de hecho a una lista amplia de amenazas por el hecho que maneja muchos servicios.

Protección contra amenazas externas.

Configure directivas de contraseñas para requerir el uso de contraseñas complejas. Configure el acceso remoto seguro con Remote WEB Workplace y con una conexión VPN,

las 2 deben de configurarse independientemente. Cambie el nombre de la cuenta administrador.

Implemente las recomendaciones de seguridad para Exchange e IIS. Utilice un servidor de seguridad.

Uso de un servidor de seguridad.

Cuenta con ISA Server 2000 en las ediciones de SBS 2000 Y 2003. Puede comunicarse ISA Server 2003 con un servidor de seguridad remoto por medio de

UPnP ISA Server proporciona protección a nivel de capa de aplicación.

Protección contra amenazas internas.

Implemente una solución antivirus que admita Exchange Server 2003. Implemente un plan de copia de seguridad Ejecute MBSA Controle los permisos de acceso. WSBS cuenta con plantillas de usuarios predefinidas que

sirven de ayuda para asignar el grado apropiado de acceso al crear cuentas. Instruya a los usuarios sobre el uso de contraseñas seguras, no dejar las estaciones de

trabajo desatendidas, no descargar programas que no se conozcan el origen, no ejecutar macros que no tengan firma digital.

No utilice el servidor como estación de trabajo. Proteja físicamente el servidor de los usuarios que quieran tener acceso. Limite el espacio de disco de los usuarios mediante asignación de cuota de los usuarios y la

restricción del tamaño de los buzones. Actualice el software con las últimas revisiones de seguridad y service pack.

Seguridad en los datos.

Función y limitaciones de los permisos de archivo.

Los permisos NTFS se usan para proteger los archivos del acceso no autorizado mientras el sistema operativo se encuentra activo, pero pueden ser desactivados por administradores. Como solución el cifrado puede solucionar estos problemas cuando los permisos de sistemas de archivos son insuficientes.

Impiden el acceso no autorizado. Limitan la capacidad de los administradores. No protegen contra los intrusos con acceso físico. El cifrado proporciona seguridad adicional.

Función y limitaciones de EFS.

Ventajas:

Garantiza la privacidad de la información. Utiliza una solida tecnología de claves públicas.

Peligros:

Se impide el acceso a los datos si se pierde la clave privada.

Claves privadas en los equipos clientes.

Las claves se cifran con un derivado de la contraseña del usuario. Las claves privadas solo son seguras en la medida que lo es la contraseña. Las privadas se pierden cuando el perfil del usuario se pierde.

Implementación de EFS: cómo conseguir que sea correcta.

Utilice directivas de grupo para deshabilitar EFS hasta que prepare la implementación centralizada.

Planee y diseñe directivas. Diseñe agentes de recuperación. Asigne certificados. Utilice directivas de grupo para implementarla.