SEGURIDAD Y ALTA DISPONIBILIDAD · Vulnerabilidad Unicode ("Web Server Folder Traversal") Las versiones de IIS (Internet Information Server), si no se ha aplicado el correspondiente

JUAN EDUARDO TOLEDO PLAZA

2011

SEGURIDAD Y ALTA

DISPONIBILIDAD

Edu

UNIDAD 1: Adopcion de pautas de seguridad Informatica

2

Contenido Fiabilidad, confidencialidad, integridad y disponibilidad. ......................................................... 3

Fiabilidad ............................................................................................................................... 3

Confidencialidad .................................................................................................................... 3

Integridad .............................................................................................................................. 4

Disponibilidad ........................................................................................................................ 4

Elementos vulnerables en el sistema informático: hardware, software y datos. ..................... 5

Análisis de los principales vulnerabilidades de un sistema informático. .................................. 6

Amenaza Tipos: físicas y lógicas ................................................................................................ 8

Amenazas físicas .................................................................................................................... 8

Amenazas lógicas .................................................................................................................. 9

Seguridad física y ambiental. .................................................................................................. 10

Ubicación y protección física de los equipos y servidores. ................................................. 11

Sistemas de alimentación ininterrumpida. ......................................................................... 12

Sistemas biométricos: Funcionamiento. Estándares. ......................................................... 13

Seguridad lógica: ..................................................................................................................... 15

Copias de seguridad e imágenes de respaldo. .................................................................... 15

Medios de almacenamiento. ............................................................................................... 15

Control de acceso lógico: .................................................................................................... 17

Auditorias de seguridad informática . ................................................................................. 18

Criptografía. ......................................................................................................................... 19

Medidas de seguridad: ........................................................................................................ 21

Análisis forense en sistemas informáticos: ......................................................................... 22


3

Fiabilidad, confidencialidad, integridad y disponibilidad.

Fiabilidad

Se define como la probabilidad de que un bien funcione adecuadamente durante un período

determinado bajo condiciones operativas específicas (por ejemplo, condiciones de presión,

temperatura, velocidad, tensión o forma de una onda eléctrica, nivel de vibraciones, etc.).

Debe observarse que hay cuatro atributos específicos de esta definición. Estos son:

probabilidad;

un funcionamiento adecuado;

calificación con respecto al entorno;

tiempo.

Lo importante es que los equipos y sistemas que diseñamos y adquirimos para satisfacer

nuestras necesidades nos den las prestaciones que de ellos esperamos con un elevado

nivel de seguridad y confianza en su correcto funcionamiento, que dependerá siempre

tanto de la importancia que para nosotras tenga la función desempeñada por ese equipo

o sistema como las consecuencias de los fallos que puedan presentarse. Y aquí es donde

entra en acción la disciplina de la fiabilidad. Por ello, es necesario considerar la

fiabilidad como una disciplina mas en el diseño de cualquier sistema, desde el análisis

de la necesidad identificada hasta la retirada de servicio del sistema diseñado, y de

forma integrada con el resto de disciplinas de apoyo logístico.

Confidencialidad

La confidencialidad se entiende en el ámbito de la seguridad informática, como la

protección de datos y de información intercambiada entre un emisor y uno o más

destinatarios frente a terceros. Esto debe hacerse independientemente de la seguridad

del sistema de comunicación utilizado: de hecho, un asunto de gran interés es el

problema de garantizar la confidencialidad de la comunicación utilizado cuando el

sistema es inherentemente insegura (como Internet).

En un sistema que garantice la confidencialidad, un tercero que entra en posesión de la

información intercambiada entre el remitente y el destinatario no es capaz de extraer

cualquier contenido inteligible.

Para garantizarla se utilizan mecanismos de cifrado y de ocultación de la comunicación.

Digitalmente se puede mantener la confidencialidad de un documento con el uso de

llaves asimétricas. Los mecanismos de cifrado garantizan la confidencialidad durante el

tiempo necesario para descifrar el mensaje. Por esta razón, es necesario determinar

durante cuánto tiempo el mensaje debe seguir siendo confidencial. No existe ningún

mecanismo de seguridad absolutamente seguro.

Criptografía de clave pública (PKI)

El uso de tecnología de clave pública (PKI) es la forma más efectiva de garantizar la

confidencialidad y la integridad de la información. Está basada en el uso de un par de

claves, una de distribución pública y otra en poder únicamente del Propietario.


4

Integridad

Para la Seguridad de la Información, la integridad es la propiedad que busca mantener los

datos libres de modificaciones no autorizadas. (No es igual a integridad referencial en bases de

datos.) La violación de integridad se presenta cuando un empleado, programa o proceso (por

accidente o con mala intención) modifica o borra los datos importantes que son parte de la

información, así mismo hace que su contenido permanezca inalterado a menos que sea

modificado por personal autorizado, y esta modificación sea registrada, asegurando su

precisión y confiabilidad. La integridad de un mensaje se obtiene adjuntándole otro conjunto

de datos de comprobación de la integridad: la firma digital Es uno de los pilares fundamentales

de la seguridad de la información.

Disponibilidad

La disponibilidad es la característica, cualidad o condición de la información de

encontrarse a disposición de quienes deben acceder a ella, ya sean personas, procesos o

aplicaciones.

En el caso de los sistemas informáticos utilizados para almacenar y procesar la

información, los controles de seguridad utilizado para protegerlo, y los canales de

comunicación protegidos que se utilizan para acceder a ella deben estar funcionando

correctamente. La Alta disponibilidad sistemas objetivo debe seguir estando disponible

en todo momento, evitando interrupciones del servicio debido a cortes de energía, fallos

de hardware, y actualizaciones del sistema.

Garantizar la disponibilidad implica también la prevención de ataque de denegación de

servicio.

La disponibilidad además de ser importante en el proceso de seguridad de la

información, es además variada en el sentido de que existen varios mecanismos para

cumplir con los niveles de servicio que se requiera, tales mecanismos se implementan

en infraestructura tecnológica, servidores de correo electrónico, de bases de datos, de

web etc, mediante el uso de clusters o arreglos de discos, equipos en alta disponibilidad

a nivel de red, servidores espejo, replicación de datos, redes de almacenamiento (SAN),

enlaces redundantes, etc. La gama de posibilidades dependerá de lo que queremos

proteger y el nivel de servicio que se quiera proporcionar.


5

Elementos vulnerables en el sistema informático: hardware, software y

datos.

Un sistema informático, como todos sabemos, se compone de hardware, software,

personal dedicado y de lo más importante, datos (el motivo de todo el sistema). Deben

permitir tres operaciones principales. Almacenamiento, procesamiento y transmisión de

esa información. En el almacenamiento y en la transmisión están sobretodo los puntos

clave para que esa información pertenezca solamente a su dueño.

Los posbiles tipos de ataques pueden englobarse en cuatro grandes tipos:

Intercepción: Una persona, programa o proceso accede a una parte del sistema a la que

no está autorizado. Es difícil de detectar (sniffers, keyloggers...)

Modificación: Además de tener acceso, modifica, destruye, reemplaza o cambia los

datos o el funcionamiento del sistema.

Interrupción: Consiste en impedir que la información llegue a su destino. Es bastante

fácil de detectar pero igual de difícil que los anteriores de evitar.

Generación. Se refiere a la posibilidad de incluir campos y registros en una base de

datos, añadir líneas de código a un programa, añadir programas completos en un sistema

(virus), introducir mensajes no autorizados por una línea de datos...

Los elementos vulnerables a estos ataques son todos los que componen un sistema

informático, esto es, como ya hemos dicho, hardware de software, personal dedicado y

datos.

Ataques al hardware: Se pueden producir de forma intencionada o no. Incendios

fortuitos en los sistemas, fallos físicos, rotura física de cables....

Ataques al software: Se pueden centrar contra los programas del sistema operativo, a los

programas de utilidad o a los programas de usuario. Necesita de mayores conocimientos

técnicos (para los ataques harware, por ejemplo, bastaría con unas tijeras, un mazo...

cerillas...) Existe gran variedad de ataques software:

Bomba lógica, Gusanos, Backdoors o puertas falsas, Caballos de Troya, etc


6

Análisis de los principales vulnerabilidades de un sistema informático.

Para facilitar la identificación de las vulnerabilidades, se encuentran reunidas en

diversos grupos: vulnerabilidades que pueden afectar a todos los sistemas (G),

vulnerabilidades específicas de los sistemas operativos de la familia Windows (W) y

vulnerabilidades específicas de Unix y derivados (U).

G1. Instalación por defecto de sistemas operativos y aplicaciones Muchos programas,

incluyendo los sistemas operativos y aplicaciones, pueden realizar una instalación en la

que la seguridad no es un factor determinante. Es importante revisar todas las

configuraciones antes de poner la máquina accesible en la red.

G2. Cuentas de usuario sin contraseña o con contraseña fácilmente identificable Muchas

sistemas disponen de una única línea de defensa: la contraseña del usuario. Es

importante que todas las cuentas existentes dispongan de una contraseña y que esta sea

robusta y no fácilmente identificable, por personas o programas. Igualmente algunos

sistemas y aplicaciones crean cuentas de usuario en los que se asignan contraseñas por

omisión que son conocidas.

G3. Copias de seguridad no existentes o incompletas Hay una certeza evidente: tarde o

temprano ocurrirá un incidente que nos obligue a utilizar la copia de seguridad. Es

importante que éstas se realicen, sean verificadas y que existan métodos documentados

y probados para restaurar los datos. No hay nada más inútil que una copia de seguridad

que no pueda ser restaurada.

G4. Gran número de puertos abiertos Tanto los usuarios legítimos como los atacantes

acceden a nuestro sistemas a través de los puertos abiertos. Cuanto más puertos existan,

más posibilidades de que alguien pueda conectar con nuestro sistema. Por tanto, es

importante que sólo estén abiertos aquellos puertos que realmente son necesarios para el

normal funcionamiento del equipo.

G5. No realizar correctamente el filtrado de las direcciones entrantes y salientes La

suplantación de direcciones IP es un método frecuente utilizado por los atacantes como

medida de ocultación. Por tanto, deben aplicarse las medidas necesarias para impedir la

entrada y/o salida en nuestra red de direcciones IP incorrectas, inesperadas o no válidas.

G6. Registro de actividad no existente o incompleto La prevención de los incidentes de

seguridad es importante, pero mucho más es poder detectarlos lo antes posible. Para ello

es importante registrar cuanta más información posible sobre la actividad de nuestros

sistemas, aplicando las medidas necesarias para el análisis de estos registros de

actividad.

G7. Programas CGI vulnerables La mayoría de servidores web permiten utilizar

programas CGI para acceder a información, recoger información, identificar a los

usuarios, etc. Muchos de estos programas son habitualmente utilizados en los ataques

contra los sistemas, por lo que debe prestarse una especial atención a los mismos.


7

W1. Vulnerabilidad Unicode ("Web Server Folder Traversal") Las versiones de IIS

(Internet Information Server), si no se ha aplicado el correspondiente parche, son

vulnerables a un ataque consistente en ocultar URL ilegales (como el acceso a

directorios del sistema) mediante la representación de diversos caracteres en formato

Unicode.

W2. Desbordamiento de memoria intermedia en ISAPI Cuando se instala IIS, se

instalan automáticamente diversas extensiones ISAPI. Existen diversos problemas de

desbordamiento de memoria intermedia en estas extensiones que pueden ser utilizadas

por un atacante para obtener el control completo del sistema.

W3. Remote Data Services de IIS Existen diversas vulnerabilidades en el componente

RDS (Remote Data Services) de IIS que pueden ser utilizadas por un atacante remoto

para la ejecución de mandatos del sistema con privilegios de administrador.

W4. NETBIOS - Recursos de red compartidos no protegidos Algunos protocolos de red

incluidos en el sistema operativo Windows no ofrecen mecanismos de protección

adecuados, por lo que un atacante remoto puede obtener acceso a la información

almacenada en los ordenadores.

W5.Obtención de información mediante sesiones de usuario anónimas Si el ordenador

Windows NT o Windows 2000 permite la conexión de usuarios anónimos (sin usuario

ni contraseña), un atacante remoto puede obtener información los recursos de red y las

cuentas de usuario definidas en el sistema.

W6. Contraseñas débiles en la SAM Con el objetivo de ofrecer compatibilidad

descendente, tanto Windows NT como Windows 2000 almacenan por omisión las

contraseñas utilizando un método de cifrado de escasa calidad. Esta contraseña cifrada

puede ser desvelada mediante ataques de fuerza brutas con relativamente poco esfuerzo.

U1. Desbordamiento de memoria intermedia en servicios RPC Los servicios RPC

permiten que un ordenador ejecute un programa en otro ordenador. Existen múltiples

vulnerabilidades por desbordamiento de memoria intermedia en estos servicios que

permiten a un atacante remoto la realización de ataques de denegación de servicio o la

obtención de privilegios de administrador.

U2. Vulnerabilidades en sendmail Sendmail es el programa más utilizado para en envío,

redirección y encaminamiento de mensajes de correo. Las versiones antiguas de este

programa tienen un gran número de problemas y vulnerabilidades que pueden permiten

a un atacante obtener acceso al sistema.

U3. Vulnerabilidades en BIND El programa BIND es habitualmente utilizado para

actuar como servidor de nombres de dominio (DNS). Algunas versiones del mismo

pueden ser utilizadas para obtener acceso al sistema con privilegios de administrador.

U4. Mandatos "R" La familia de mandatos "R" permiten a un usuario autenticado de

forma local ejecutar mandatos o acceder a sistemas remotos sin necesidad de volver a

autenticarse. Esto puede permitir a un atacante con acceso a un sistema acceder

libremente al resto de sistemas donde exista una relación de confianza.


8

U5. "Daemon" del protocolo de impresión remota (LPD) Existe una vulnerabilidad de

desbordamiento de memoria intermedia en diversas versiones del "daemon" lpd que

pueden ser utilizadas por un atacante para ejecutar código arbitrario en el sistema

vulnerable con privilegios de administrador.

U6. sadmind y mountd Sadmind es un programa para la administración de los sistemas

Solaris desde un entorno gráfico de usuario. Mountd facilita el acceso a los directorios

exportados mediante NFS. Ambos programas tienen diversos problemas de

desbordamiento de memoria intermedia que permiten a un atacante remoto obtener

privilegios de administrador en los sistemas vulnerables.

U7. Valores de SNMP por omisión El protocolo SNMP es ampliamente utilizado en la

monitorización y administración de virtualmente cualquier dispositivo existente en una

red. El sistema de seguridad utilizado, basado en los nombres de comunidad, es muy

débil. Además, los valores por omisión de muchos de estos periféricos permiten que

cualquiera pueda modificar su configuración.

Amenaza Tipos: físicas y lógicas

Amenazas físicas

Las principales amenazas que se prevén en la seguridad física son:

1. Desastres naturales, incendios accidentales tormentas e inundaciones.

2. Amenazas ocasionadas por el hombre.

3. Disturbios, sabotajes internos y externos deliberados.

Incendios

Inundaciones Se las define como la invasión de agua por exceso de escurrimientos superficiales o por

acumulación en terrenos planos, ocasionada por falta de drenaje ya sea natural o

artificial.

Condiciones Climatológicas

Señales de Radar La influencia de las señales o rayos de radar sobre el funcionamiento de una

computadora ha sido exhaustivamente estudiada desde hace varios años..

Instalaciones Eléctricas

Ergometría

Acciones Hostiles

Robo Las computadoras son posesiones valiosas de las empresas y están expuestas, de la

misma forma que lo están las piezas de stock e incluso el dinero.

Es frecuente que los operadores utilicen la computadora de la empresa para realizar

trabajos privados o para otras organizaciones y, de esta manera, robar tiempo de


9

máquina.

Fraude Cada año, millones de dólares son sustraídos de empresas y, en muchas ocasiones, las

computadoras han sido utilizadas como instrumento para dichos fines.

Sabotaje El peligro más temido en los centros de procesamiento de datos, es el sabotaje.

Empresas que han intentado implementar programas de seguridad de alto nivel, han

encontrado que la protección contra el saboteador es uno de los retos más duros. Este

puede ser un empleado o un sujeto ajeno a la propia empresa.

Amenazas lógicas

Ingenieria Social

Es la manipulación de las personas para convencerlas de que ejecuten acciones o actos

que normalmente no realizan para que revele todo lo necesario para superar las barreras

de seguridad.

Para evitar situaciones de IS es conveniente tener en cuenta estas recomendaciones:

Tener servicio técnico propio o de confianza.

Instruir a los usuarios para que no respondan ninguna pregunta sobre cualquier

característica del sistema y deriven la inquietud a los responsables que tenga

competencia para dar esa información.

Ingeniería Social Inversa

Consiste en la generación, por parte de los intrusos, de una situación inversa a la

originada en Ingeniería Social.

En este caso el intruso publicita de alguna manera que es capaz de brindar ayuda a los

usuarios, y estos lo llaman ante algún imprevisto.

Trashing (Cartoneo)

Generalmente, un usuario anota su login y password en un papelito y luego, cuando lo

recuerda, lo arroja a la basura. Este procedimiento por más inocente que parezca es el

que puede aprovechar un atacante para hacerse de una llave para entrar el

sistema..."nada se destruye, todo se transforma".

Ataques de Monitorización

Este tipo de ataque se realiza para observar a la victima y su sistema, con el objetivo de

establecer sus vulnerabilidades y posibles formas de acceso futuro.

Ataques de Autenticación

Este tipo de ataque tiene como objetivo engañar al sistema de la víctima para ingresar al

mismo. Generalmente este engaño se realiza tomando las sesiones ya establecidas por la

víctima u obteniendo su nombre de usuario y password.


10

Denial of Service (DoS)

Los protocolos existentes actualmente fueron diseñados para ser empleados en una

comunidad abierta y con una relación de confianza mutua. La realidad indica que es

más fácil desorganizar el funcionamiento de un sistema que acceder al mismo; así los

ataques de Negación de Servicio tienen como objetivo saturar los recursos de la víctima

de forma tal que se inhabilita los servicios brindados por la misma.

Seguridad física y ambiental.

El control de acceso no sólo requiere la capacidad de identificación, sino también

asociarla a la apertura o cerramiento de puertas, permitir o negar acceso basado en

restricciones de tiempo, área o sector dentro de una empresa o institución.

Utilización de Guardias

Utilización de Detectores de Metales El detector de metales es un elemento sumamente práctico para la revisión de personas,

ofreciendo grandes ventajas sobre el sistema de palpación manual.

La sensibilidad del detector es regulable, permitiendo de esta manera establecer un

volumen metálico mínimo, a partir del cual se activará la alarma.

La utilización de este tipo de detectores debe hacerse conocer a todo el personal. De este

modo, actuará como elemento disuasivo.

Utilización de Sistemas Biométricos.

Pueden eliminar la necesidad de poseer una tarjeta para acceder. Aunque las reducciones de

precios han disminuido el costo inicial de las tarjetas en los últimos años, el verdadero beneficio

de eliminarlas consiste en la reducción del trabajo concerniente a su administración.

Utilizando un dispositivo biométrico los costos de administración son más pequeños, se realiza

el mantenimiento del lector, y una persona se encarga de mantener la base de datos actualizada.

Sumado a esto, las características biométricas de una persona son intransferibles a otra.

Verificación Automática de Firmas (VAF) En este caso lo que se considera es lo que el usuario es capaz de hacer, aunque también

podría encuadrarse dentro de las verificaciones biométricas.

Mientras es posible para un falsificador producir una buena copia visual o facsímil, es

extremadamente difícil reproducir las dinámicas de una persona: por ejemplo la firma

genuina con exactitud.

La VAF, usando emisiones acústicas toma datos del proceso dinámico de firmar o de

escribir.

La secuencia sonora de emisión acústica generada por el proceso de escribir constituye

un patrón que es único en cada individuo. El patrón contiene información extensa sobre

la manera en que la escritura es ejecutada.

El equipamiento de colección de firmas es inherentemente de bajo costo y robusto.

Esencialmente, consta de un bloque de metal (o algún otro material con propiedades

acústicas similares) y una computadora barata.


11

Seguridad con Animales Sirven para grandes extensiones de terreno, y además tienen órganos sensitivos mucho

más sensibles que los de cualquier dispositivo y, generalmente, el costo de cuidado y

mantenimiento se disminuye considerablemente utilizando este tipo de sistema.

Así mismo, este sistema posee la desventaja de que los animales pueden ser engañados

para lograr el acceso deseado.

Ubicación y protección física de los equipos y servidores.

La seguridad física de los sistemas informáticos consiste en la aplicación de

barreras físicas y procedimientos de control como medidas de prevención y

contramedidas contra las amenazas a los recursos y la información confidencial. Más

claramente, y particularizando para el caso de equipos Unix y sus centros de operación,

por `seguridad física' podemos entender todas aquellas mecanismos - generalmente de

prevención y detección - destinados a proteger físicamente cualquier recurso del

sistema; estos recursos son desde un simple teclado hasta una cinta de backup con toda

la información que hay en el sistema, pasando por la propia CPU de la máquina.


12

Acceso físico

La posibilidad de acceder físicamente a una máquina - en general, a cualquier sistema

operativo - hace inútiles casi todas las medidas de seguridad que hayamos aplicado

sobre ella: hemos de pensar que si un atacante puede llegar con total libertad hasta una

estación puede por ejemplo abrir la CPU y llevarse un disco duro; sin necesidad de

privilegios en el sistema, sin importar la robustez de nuestros cortafuegos, sin nisiquiera

una clave de usuario, el atacante podrá seguramente modificar la información

almacenada, destruirla o simplemente leerla. Incluso sin llegar al extremo de desmontar

la máquina, que quizás resulte algo exagerado en entornos clásicos donde hay cierta

vigilancia, como un laboratorio o una sala de informática, la persona que accede al

equipo puede pararlo o arrancar una versión diferente del sistema operativo sin llamar

mucho la atención. Si por ejemplo alguien accede a un laboratorio con máquinas Linux,

seguramente le resultará fácil utilizar un disco de arranque, montar los discos duros de

la máquina y extraer de ellos la información deseada; incluso es posible que utilice un

ramdisk con ciertas utilidades que constituyan una amenaza para otros equipos, como

nukes o sniffers.

Visto esto, parece claro que cierta seguridad física es necesaria para garantizar la

seguridad global de la red y los sistemas conectados a ella; evidentemente el nivel de

seguridad física depende completamente del entorno donde se ubiquen los puntos a

proteger (no es necesario hablar sólo de equipos Unix, sino de cualquier elemento físico

que se pueda utilizar para amenazar la seguridad, como una toma de red apartada en

cualquier rincón de un edificio de nuestra organización). Mientras que parte de los

equipos estarán bien protegidos, por ejemplo los servidores de un departamento o las

máquinas de los despachos, otros muchos estarán en lugares de acceso semipúblico,

como laboratorios de prácticas; es justamente sobre estos últimos sobre los que

debemos extremar las precauciones, ya que lo más fácil y discreto para un atacante es

acceder a uno de estos equipos y, en segundos, lanzar un ataque completo sobre la red.

Sistemas de alimentación ininterrumpida.

Es un dispositivo que gracias a sus baterías, puede proporcionar energía eléctrica tras un

apagón a todos los dispositivos que tenga conectados. Otra de las funciones de los UPS

es la de mejorar la calidad de la energía eléctrica que llega a las cargas, filtrando subidas

y bajadas de tensión y eliminando armónicos de la red en el caso de usar corriente

alterna.

Los UPS dan energía eléctrica a equipos llamados cargas críticas, como pueden ser

aparatos médicos, industriales o informáticos que, como se ha mencionado

anteriormente, requieren tener siempre alimentación y que ésta sea de calidad, debido a

la necesidad de estar en todo momento operativos y sin fallos (picos o caídas de

tensión).


13

Tipos.

UPS de continua (activo)

Las cargas conectadas a los UPS requieren una alimentación de corriente continua, por

lo tanto éstos transformarán la corriente alterna de la red comercial a corriente continua

y la usarán para alimentar la carga y almacenarla en sus baterías. Por lo tanto no

requieren convertidores entre las baterías y las cargas.

UPS de corriente alterna (pasivo)

Estos UPS obtienen a su salida una señal

alterna, por lo que necesitan un inversor para

transformar la señal continua que proviene de

las baterías en una señal alterna.

Sistemas biométricos: Funcionamiento. Estándares.

Funcionamiento

Pueden eliminar la necesidad de poseer una tarjeta para acceder. Aunque las

reducciones de precios han disminuido el costo inicial de las tarjetas en los últimos

años, el verdadero beneficio de eliminarlas consiste en la reducción del trabajo

concerniente a su administración.

Utilizando un dispositivo biométrico los costos de administración son más pequeños, se

realiza el mantenimiento del lector, y una persona se encarga de mantener la base de

datos actualizada. Sumado a esto, las características biométricas de una persona son

intransferibles a otra.

Ejemplos de Sistemas biometricos

Emisión de Calor

Se mide la emisión de calor del cuerpo (termograma), realizando un mapa de valores sobre la

forma de cada persona.

Huella Digital

Basado en el principio de que no existen dos huellas dactilares iguales, este sistema

viene siendo utilizado desde el siglo pasado con excelentes resultados.

Cada huella digital posee pequeños arcos, ángulos, bucles, remolinos, etc. (llamados

minucias) características y la posición relativa de cada una de ellas es lo analizado para


14

establecer la identificación de una persona. Esta aceptado que dos personas no tienen

más de ocho minucias iguales y cada una posee más de 30, lo que hace al método

sumamente confiable.

Verificación de Voz

La dicción de una (o más) frase es grabada y en el acceso se compara la vos

(entonación, diptongos, agudeza, etc.).

Este sistema es muy sensible a factores externos como el ruido, el estado de animo y

enfermedades de la persona, el envejecimiento, etc.

Verificación de Patrones Oculares

Estos modelos pueden estar basados en los patrones del iris o de la retina y hasta el

momento son los considerados más efectivos (en 200 millones de personas la

probabilidad de coincidencia es casi 0).

Estandares

Estándar ANSI X.9.84: creado en 2001, por la ANSI (American National

Standards Institute) y actualizado en 2003, define las condiciones de los

sistemas biométricos para la industria de servicios financieros haciendo

referencia a la transmisión y almacenamiento seguro de información biométrica,

y a la seguridad del hardware asociado.

Estándar ANSI / INCITS 358: creado en 2002 por ANSI y BioApi

Consortium, presenta una interfaz de programación de aplicación que garantiza

que los productos y sistemas que cumplen este estándar son interoperables entre

sí.

Estándar NISTIR 6529: también conocido como CBEFF (Common Biometric

Exchange File Format) es un estándar creado en 1999 por NIST y Biometrics

Consortium que propone un formato estandarizado (estructura lógica de archivos

de datos) para el intercambio de información biométrica.

Estándar ANSI 378: creado en 2004 por la ANSI, establece criterios para

representar e intercambiar la información de las huellas dactilares a través del

uso de minucias. El propósito de esta norma es que un sistema biométrico

dactilar pueda realizar procesos de verificación de identidad e identificación,

empleando información biométrica proveniente de otros sistemas.

Estándar ISO 19794-2: creado en 2005 por la ISO/IEC con propósitos similares

a la norma ANSI 378, respecto a la que guarda mucha similitud.

Estándar PIV-071006: creado en 2006 por el NIST y el FBI en el contexto de

la norma FIPS 201 del gobierno de EE.UU, establece los criterios de calidad de

imagen que deben cumplir los lectores de huellas dactilares para poder ser

usados en procesos de verificación de identidad en agencias federales.


15

Seguridad lógica:

Copias de seguridad e imágenes de respaldo.

Es un duplicado de nuestra información más importante, que realizamos para

salvaguardar los documentos, archivos, fotos, etc., de nuestro ordenador, por si acaso

ocurriese algún problema que nos impidiese acceder a los originales que tenemos en él.

Esta Copia de Seguridad también se denomina Copia de Respaldo e incluso, podremos

encontrarnos con la denominación Backup en términos ingleses.

Medios de almacenamiento.

Soportes de almacenamiento.

Cintas magnéticas

Discos magnéticos

o Disquetes

o Discos duros

Discos duros externos

Discos ópticos

o CD

o DVD

o Blu-ray

Tarjetas de memoria

USB

Almacenamiento redundante y distribuido: RAID y Centros de Respaldo.

RAID hace referencia a un sistema de almacenamiento que usa múltiples discos duros

o SSD entre los que se distribuyen o replican los datos. Dependiendo de su

configuración , los beneficios de un RAID respecto a un único disco son uno o varios de

los siguientes: mayor integridad, mayor tolerancia a fallos, mayor throughput

(rendimiento) y mayor capacidad. En sus implementaciones originales, su ventaja clave

era la habilidad de combinar varios dispositivos de bajo coste y tecnología más antigua

en un conjunto que ofrecía mayor capacidad, fiabilidad, velocidad o una combinación

de éstas que un solo dispositivo de última generación y coste más alto.

Raid mas usuales:

Un RAID 0 (también llamado conjunto dividido o volumen dividido)

distribuye los datos equitativamente entre dos o más discos sin información

de paridad que proporcione redundancia. Es importante señalar que el RAID

0 no era uno de los niveles RAID originales y que no es redundante.

http://es.wikipedia.org/wiki/Redundancia


16

Un RAID 1 crea una copia exacta (o espejo) de un conjunto de datos en

dos o más discos. Esto resulta útil cuando el rendimiento en lectura es

más importante que la capacidad. Un conjunto RAID 1 sólo puede ser

tan grande como el más pequeño de sus discos

Un RAID 5 usa división de datos a nivel de bloques

distribuyendo la información de paridad entre todos los

discos miembros del conjunto. El RAID 5 ha logrado

popularidad gracias a su bajo coste de redundancia.

Generalmente, el RAID 5 se implementa con soporte

hardware para el cálculo de la paridad. RAID 5 necesitará

un minimo de 3 discos para ser implementado.

Un centro de respaldo es un centro de procesamiento de datos (CPD) específicamente

diseñado para tomar el control de otro CPD principal en caso de contingencia.

Un centro de respaldo se diseña bajo los mismos principios que cualquier CPD, pero

bajo algunas consideraciones más. En primer lugar, debe elegirse una localización

totalmente distinta a la del CPD principal con el objeto de que no se vean ambos

afectados simultáneamente por la misma contingencia. Es habitual situarlos entre 20 y

40 kilómetros del CPD principal. La distancia está limitada por las necesidades de

telecomunicaciones entre ambos centros.

Almacenamiento remoto: SAN, NAS y almacenamiento clouding.

SAN

Es una red concebida para conectar servidores, matrices (arrays) de discos y librerías de

soporte. Principalmente, está basada en tecnología fibre channel y más recientemente

en iSCSI. Su función es la de conectar de manera rápida, segura y fiable los distintos

elementos que la conforman.

NAS

Es el nombre dado a una tecnología de almacenamiento dedicada a compartir la

capacidad de almacenamiento de un computador (Servidor) con ordenadores personales

o servidores clientes a través de una red (normalmente TCP/IP), haciendo uso de un

Sistema Operativo optimizado para dar acceso con los protocolos CIFS, NFS, FTP o

TFTP.

http://es.wikipedia.org/wiki/Bloque_%28inform%C3%A1tica%29

http://es.wikipedia.org/wiki/Paridad_%28telecomunicaciones%29


17

Clouding

En este tipo de computación todo lo que puede ofrecer un sistema informático se ofrece

como servicio,1 de modo que los usuarios puedan acceder a los servicios disponibles "en

la nube de Internet" sin conocimientos (o, al menos sin ser expertos) en la gestión de los

recursos que usan. Según el IEEE Computer Society, es un paradigma en el que la

información se almacena de manera permanente en servidores de Internet y se envía a

cachés temporales de cliente, lo que incluye equipos de escritorio, centros de ocio,

portátiles, etc.

"Cloud computing" es un nuevo modelo de prestación de servicios de negocio y

tecnología, que permite al usuario acceder a un catálogo de servicios estandarizados y

responder a las necesidades de su negocio, de forma flexible y adaptativa, en caso de

demandas no previsibles o de picos de trabajo, pagando únicamente por el consumo

efectuado.

Políticas de almacenamiento.

1. Ser confiable: Minimizar las probabilidades de error. Muchos medios

magnéticos como las cintas de respaldo, los disquetes, o discos duros tienen

probabilidades de error o son particularmente sensibles a campos magnéticos,

elementos todos que atentan contra la información que hemos respaldado allí.

2. Estar fuera de línea, en un lugar seguro: Tan pronto se realiza el respaldo de

información, el soporte que almacena este respaldo debe ser desconectado de la

computadora y almacenado en un lugar seguro tanto desde el punto de vista de

sus requerimientos técnicos como humedad, temperatura, campos magnéticos,

como de su seguridad física y lógica.

3. La forma de recuperación sea rápida y eficiente: Es necesario probar la

confiabilidad del sistema de respaldo no sólo para respaldar sino que también

para recuperar. Hay sistemas de respaldo que aparentemente no tienen ninguna

falla al generar el respaldo de la información pero que fallan completamente al

recuperar estos datos al sistema informático.

Control de acceso lógico:

- Identificación, autenticación y autorización

Primer contacto con seguridad computacional: log on en una computadora

● El primer paso es llamado identificación: uno dice quién es

● El segundo paso es llamado autenticación: uno prueba su identidad

● El sistema compara los datos ingresados contra los que tiene registrados en un

password file

La autorización es una parte del sistema operativo que protege los recursos del sistema

permitiendo que sólo sean usados por aquellos consumidores a los que se les ha

concedido autorización para ello. Los recursos incluyen archivos y otros objetos de

dato, programas, dispositivos y funcionalidades provistas por aplicaciones. Ejemplos de

consumidores son usuarios del sistema, programas y otros dispositivos.

http://es.wikipedia.org/wiki/Computaci%C3%B3n_en_nube#cite_note-0


18

- Política de contraseñas

1. Se deben utilizar al menos 8 caracteres para crear la clave. Según un estudio de la

Universidad de Wichita, el número medio de caracteres por contraseña para usuarios

entre 18 y 58 años habituales de Internet es de 7. Esto conlleva el peligro de que el

tiempo para descubrir la clave se vea reducido a minutos o incluso segundos.

2. Se recomienda utilizar en una misma contraseña dígitos, letras y caracteres

especiales.

3. Es recomendable que las letras alternen aleatoriamente mayúsculas y minúsculas.

Hay que tener presente el recordar qué letras van en mayúscula y cuáles en

minúscula. Según el mismo estudio, el 86% de los usuarios utilizan sólo letras

Auditorias de seguridad informática .

- Concepto. Tipos de auditorias.

Es un proceso llevado a cabo por profesionales especialmente capacitados para el

efecto, y que consiste en recoger, agrupar y evaluar evidencias para determinar si un

sistema de información salvaguarda el activo empresarial, mantiene la integridad de los

datos, lleva a cabo eficazmente los fines de la organización, utiliza eficientemente los

recursos, y cumple con las leyes y regulaciones establecidas.

Permiten detectar de forma sistemática el uso de los recursos y los flujos de

información dentro de una organización y determinar qué información es crítica para el

cumplimiento de su misión y objetivos, identificando necesidades, duplicidades, costes,

valor y barreras, que obstaculizan flujos de información eficientes.

Dentro de la auditoría informática destacan los siguientes tipos:

Auditoría de la gestión: la contratación de bienes y servicios, documentación

de los programas, etc.

Auditoría legal del Reglamento de Protección de Datos: Cumplimiento legal

de las medidas de seguridad exigidas por el Reglamento de desarrollo de la Ley

Orgánica de Protección de Datos.

Auditoría de los datos: Clasificación de los datos, estudio de las aplicaciones y

análisis de los flujogramas.

Auditoría de las bases de datos: Controles de acceso, de actualización, de

integridad y calidad de los datos.

Auditoría de la seguridad: Referidos a datos e información verificando

disponibilidad, integridad, confidencialidad, autenticación y no repudio.

Auditoría de la seguridad física: Referido a la ubicación de la organización,

evitando ubicaciones de riesgo, y en algunos casos no revelando la situación

física de esta. También está referida a las protecciones externas (arcos de

seguridad, CCTV, vigilantes, etc.) y protecciones del entorno.

Auditoría de la seguridad lógica: Comprende los métodos de autenticación de

los sistemas de información.

Auditoría de las comunicaciones. Se refiere a la auditoria de los procesos de

autenticación en los sistemas de comunicación.


19

Auditoría de la seguridad en producción: Frente a errores, accidentes y

fraudes.

la técnica de la auditoría, siendo por tanto aceptables equipos multidisciplinarios

formados por titulados en Ingeniería Informática e Ingeniería Técnica en Informática y

licenciados en derecho especializados en el mundo de la auditoría.

- Pruebas y herramientas de auditoria informática.

En la realización de una auditoría informática el auditor puede realizar las siguientes

pruebas:

Pruebas sustantivas: Verifican el grado de confiabilidad del SI del organismo.

Se suelen obtener mediante observación, cálculos, muestreos, entrevistas,

técnicas de examen analítico, revisiones y conciliaciones. Verifican asimismo la

exactitud, integridad y validez de la información.

Pruebas de cumplimiento: Verifican el grado de cumplimiento de lo revelado

mediante el análisis de la muestra. Proporciona evidencias de que los controles

claves existen y que son aplicables efectiva y uniformemente.

Las principales herramientas de las que dispone un auditor informático son:

Observación

Realización de cuestionarios

Entrevistas a auditados y no auditados

Muestreo estadístico

Flujogramas

Listas de chequeo

Mapas conceptuales

Criptografía.

- Objetivos. Conceptos. Historia.

Objetivos

En esencia la criptografía trata de enmascarar las representaciones caligráficas de una

lengua, de forma discreta. Si bien, el área de estudio científico que se encarga de ello es

la Criptología.

Un ejemplo cotidiano de criptografía es el que usamos cuando mandamos una carta. El

mensaje origen queda enmascarado por una cubierta denominada sobre, la cual declara

el destinatario coherente, que además conoce el proceso inverso para hacer público el

mensaje contenido en el sobre.

Conceptos

La palabra criptografía es un término genérico que describe todas las técnicas que permiten

cifrar mensajes o hacerlos ininteligibles sin recurrir a una acción específica. El verbo asociado

es cifrar.


20

La criptografía se basa en la aritmética: En el caso de un texto, consiste en transformar

las letras que conforman el mensaje en una serie de números (en forma de bits ya que

los equipos informáticos usan el sistema binario) y luego realizar cálculos con estos

números para:

•Modificarlos y hacerlos incomprensibles. El resultado de esta modificación (el mensaje

cifrado) se llama texto cifrado, en contraste con el mensaje inicial, llamado texto simple.

•Asegurarse de que el receptor pueda descifrarlos. El hecho de codificar un mensaje

para que sea secreto se llama cifrado. El método inverso, que consiste en recuperar el

mensaje original, se llama descifrado.

1.-Las claves simétricas: son las claves que se usan tanto para el cifrado como para el

descifrado. En este caso hablamos de cifrado simétrico o cifrado con clave secreta.

2.-Las claves asimétricas: son las claves que se usan en el caso del cifrado asimétrico

(también llamado cifrado con clave pública). En este caso, se usa una clave para el

cifrado y otra para el descifrado.

Las dos técnicas más sencillas de cifrado, en la criptografía clásica, son la sustitución

(que supone el cambio de significado de los elementos básicos del mensaje -las letras,

los dígitos o los símbolos-) y la transposición (que supone una reordenación de los

mismos); la gran mayoría de las cifras clásicas son combinaciones de estas dos

operaciones básicas.

El descifrado es el proceso inverso que recupera el texto plano a partir del criptograma y

la clave. El protocolo criptográfico especifica los detalles de cómo se utilizan los

algoritmos y las claves (y otras operaciones primitivas) para conseguir el efecto deseado

Historia

Ya las primeras civilizaciones desarrollaron técnicas para enviar mensajes durante las

campañas militares, de forma que si el mensajero era interceptado la información que portaba

no corriera el peligro de caer en manos del enemigo.El primer método de criptografía fue en el

siglo V a.C, era conocido como "Escítala". El segundo criptosistema que se conoce fue

documentado por el historiador griego Polibio: un sistema de sustitución basado en la posición

de las letras en una tabla. También los romanos utilizaron sistemas de sustitución, siendo el

método actualmente conocido como César, porque supuestamente Julio César lo empleó en

sus campañas, uno de los más conocidos en la literatura (según algunos autores, en realidad

Julio César no usaba este sistema de sustitución, pero la atribución tiene tanto arraigo que el

nombre de este método de sustitución ha quedado para los anales de la historia). Otro de los

métodos criptográficos utilizados por los griegos fue la escítala espartana, un método de

trasposición basado en un cilindro que servía como clave en el que se enrollaba el mensaje

para poder cifrar y descifrar.

Tras la conclusión de la Segunda Guerra Mundial, la criptografía tiene un desarrollo teórico

importante, siendo Claude Shannon y sus investigaciones sobre teoría de la información

esenciales hitos en dicho desarrollo. Además, los avances en computación automática suponen

tanto una amenaza para los sistemas existentes como una oportunidad para el desarrollo de


21

nuevos sistemas. A mediados de los años 70, el Departamento de Normas y Estándares

norteamericano publica el primer diseño lógico de un cifrador que estaría llamado a ser el

principal sistema criptográfico de finales de siglo: el Estándar de Cifrado de Datos o DES. En

esas mismas fechas ya se empezaba a gestar lo que sería la, hasta ahora, última revolución de

la criptografía teórica y práctica: los sistemas asimétricos. Estos sistemas supusieron un salto

cualitativo importante, ya que permitieron introducir la criptografía en otros campos que hoy

día son esenciales, como el de la firma digital.

Medidas de seguridad:

- Política de seguridad.

Una política de seguridad en el ámbito de la criptografía de clave pública o PKI es un

plan de acción para afrontar riesgos de seguridad, o un conjunto de reglas para el

mantenimiento de cierto nivel de seguridad. Pueden cubrir cualquier cosa desde buenas

prácticas para la seguridad de un solo ordenador, reglas de una empresa o edificio, hasta

las directrices de seguridad de un país entero.

La política de seguridad es un documento de alto nivel que denota el compromiso de la

gerencia con la seguridad de la información. Contiene la definición de la seguridad de la

información bajo el punto de vista de cierta entidad.

- Seguridad activa y Seguridad pasiva.

*Seguridad activa: Tiene como objetivo proteger y evitar posibles daños en los

sistemas informáticos. Podemos encontrar diferentes recursos para evitarlos como:

-Una de esas técnicas que podemos utilizar es el uso adecuado de contraseñas, que

podemos añadirles números, mayúsculas, etc.

-También el uso de software de seguridad informática: como por ejemplo ModSecurity,

que es una herramienta para la detección y prevención de intrusiones para aplicaciones

web, lo que podríamos denominar como “firewall web”.

-Y la encriptación de los datos.

*Seguridad pasiva: Su fin es minimizar los efectos causados por un accidente, un

usuario o malware. Las practicas de seguridad pasiva más frecuentes y mas utilizadas

hoy en día son:

-El uso de hardware adecuado contra accidentes y averías.

-También podemos utilizar copias de seguridad de los datos y del sistema operativo.


22

Análisis forense en sistemas informáticos:

- Funcionalidad y fases de un análisis forense.

Es la técnica de capturar, procesar e investigar información procedente de sistemas

informáticos utilizando una metodología con el fin de que pueda ser utilizada en la

justicia”.

La Informática Forense se encarga de analizar sistemas informáticos en busca de

evidencia que colabore a llevar adelante una causa judicial o una negociación

extrajudicial.

Fases

1. Surge un pedido desde un juzgado.

2. Se elabora un Plan (Inteligencia).

3. Se realiza el proceso de “secuestro de evidencia”.

4. Se realizan copias – Cadena de custodia.

5. Se realiza el análisis.

6. Se escribe y presenta el reporte.

- Respuesta a incidentes.


23

- Análisis de evidencias digitales.

El primer paso es identificar qué computadora puede contener evidencia, reconociendo

la frágil naturaleza de los datos digitales.

La segunda gran tarea es preservar la evidencia contra daños accidentales o

intencionales, usualmente esto se realiza efectuando una copia o imagen espejada exacta

del medio analizado.

Una verdadera imagen espejada es una copia sector a sector de la unidad original

investigada.

El tercer paso es analizar la imagen copia de la original, buscando la evidencia o

información necesaria.

Finalmente una vez terminada la investigación se debe realizar el reporte de los

hallazgos a la persona indicada para tomar las decisiones, como puede ser un juez o un

CEO.

- Herramientas de análisis forense.

WINHEX

- Editor de discos, memorias, procesos.

-Posee muchos usos en informática forense (Clonación de discos, Captura de RAM,

búsqueda de archivos ocultos, etc).

-Puede entrar en un diskette.

-Captura la memoria RAM

Documents

SEGURIDAD Y ALTA DISPONIBILIDAD · Vulnerabilidad Unicode ("Web Server Folder Traversal") Las versiones de IIS (Internet Information Server), si no se ha aplicado el correspondiente