Protección de datos en una red

1
Seguridad Informática
Protección de datos en una red
chakan

2
Índice
• Introducción
• Requisitos
• Amenazas
• Herramientas
• Prácticas básicas
• Plan de Seguridad
• Ataques
• Tendencias de la Seguridad

3
Introducción
• Evolución vertiginosa Internet
– Conexión fácil, barata y rápida.
• Negocio en Internet. Evolución
– Fase 1
Presencia en la “red de redes”.
– Fase 2
Inicio de las posibilidades de negocio.
– Fase 3
Consolidación y primeras preocupaciones.
• Escasa inversión en seguridad
• Muy poca conciencia de seguridad

4
Introducción
• Principios básicos
• Seguridad absoluta
Inexistente.
• Seguridad vs. Usabilidad
Buscar el equilibrio.
• Seguridad en profundidad
Modelo en capas.
• Seguridad evolutiva
Actualización constante.
• Sistema Seguro
“Un sistema es seguro si en todo momento
se comporta como lo desea su propietario”
• Seguridad mesurada
Asignación eficiente de recursos.
• Mínimo privilegio
Sólo los permisos necesarios.
• Seguridad mediante oscuridad
Dificulta los ataques.

5
Introducción
• Áreas de Seguridad
– Sistemas Operativos (Windows, Linux, Mac).
– Aplicaciones o servicios (IIS, Apache, Word).
– Redes (LAN, WAN, WLAN).
– Datos (protección).
– Física (Alarmas, controles de acceso).
– Humana (conocimientos mínimos).
• Experto en seguridad
“Un profesional con excelentes conocimientos en administración de
sistemas operativos y de servicios, criptografía, programación y
redes de comunicaciones”

6
Requisitos
Requisitos de Seguridad
• Confidencialidad
Impedir el acceso no autorizado a la información del sistema (control de acceso).
• Integridad
Impedir la manipulación de la información.
• No repudio
Identificación unívoca del origen de la información.
• Disponibilidad
Los servicios deben estar siempre activos (24 x 7 x 365).
El cumplimiento de estos requisitos presupone que la
información está protegida y segura.

7
Amenazas
• Tipos de atacantes
• Vulnerabilidades
• Tipos de ataques
• Posibles daños

8
Tipos de atacantes
• Hacker
– Persona con abundantes conocimientos de informática y redes, que explora
(o penetra en) sistemas por puro reto.
– Sombrero Blanco / Negro / Gris.
• Cracker
– Persona con conocimientos extensos de seguridad que rompe códigos de
protección (“cracks”).
– “Hacker” que penetra en sistemas en beneficio propio (monetario, social o
por pura diversión destructiva).
– Definitivamente, “el lado oscuro”.
• Script Kiddies / Lamers
– Conocimientos mínimos / nulos de seguridad.
– Pueden causar graves daños (herramientas precocinadas).

9
Vulnerabilidades
• Red
– Elementos de la red (switches, routers, firewalls).
– Diseño de la red.
• Sistemas operativos y Servicios
– Bugs.
– Configuración incorrecta (por defecto).
• Humanas
– Elección de contraseñas débiles.
– Dejadez en la administración de equipos y servicios.
– Ingeniería social.
– ...

10
Tipos de ataques
• Rastreo o fingerprinting
– Obtener información sobre máquinas, servicios, personas.
• Barrido de puertos o portscanning
– Sistema operativos y servicios existentes en el sistema.
• Identificación de vulnerabilidades en el sistema
• Acceso al sistema (camuflaje y expansión)
– Intercepción de contraseñas (sniffer).
– Robo de fichero de contraseñas (fuerza bruta).
– Falsificación de la identidad (IP spoofing).
– Manipulación del sistema (troyanizar comandos).

11
Posibles daños
• Robo de Información
• Pérdida de datos
• Denegación de servicio
• Pérdida de imagen
• Posible responsabilidad legal

12
Herramientas
• Verificar o aumentar el nivel de seguridad de un sistema
(atacantes / defensores).
•Firewalls (control de tráfico)
IpTables, IPcop
•Detectores de intrusos
Snort, Real Secure
•Analizadores de logs
Swatch, LogWatch
•Verificadores de integridad
Tripwire
•Analizadores de puertos
nmap, PortScan
•Detectores de vulnerabilidades
Nessus, Saint
•Sniffers (captura de tráfico)
Wireshark, Sniffer
•Password crackers (contraseñas)
Passware, John the Ripper
•Troyanos (programas ocultos)
Back Oriffice
•Rootkits (ocultación y expansión)

13
Prácticas básicas
• Topología de red
Firewalls.
Servidores separados.
• Backups
Copias incrementales.
Imágenes de los SO.
• Antivirus
En TODO el sistema.
Actualización constante.
Búsqueda periódica de virus.
• Correo electrónico
No abrir ficheros adjuntos
desconocidos.
Emplear cifrado.
Obtener un buen nivel de seguridad en nuestro sistema
• Navegación Web
No almacenar contraseñas.
Comunicación cifrada.
• Otros programas
chat.
mensajería instantánea.
• Física
Salvapantallas protegido por
contraseña.
Arranque desde el disco duro.
• Formación
Estar al día.
Concienciación.

14
Gestión de Seguridad
SGSI-PDCA
ASEGURAR
MONITORIZAR y
REACCIONARCOMPROBAR
GESTIONAR y
MEJORAR
• Cortafuegos
• Software fiable
• VPN
• VLAN
• IDS
• NESSUS
• Actuar sobre las fallas
• Adminitración
de recursos

15
Plan de Seguridad (I)
• Plan de Seguridad
– Expresión física de la seguridad de un sistema.
– Aúna conceptos, requisitos y herramientas.
– Analiza sistemas, establece normas y documenta.
• ¿Qué debe incluir un Plan de Seguridad?
– Todos los procedimientos que se siguen en el sistema, de forma
clara y sencilla.
– Procedimientos de contingencia y emergencia.
– Todo aquello que se considere importante para la seguridad de
un sistema.

16
Plan de Seguridad (II)
Fases
• Identificación de elementos valiosos.
• Análisis y valoración de riesgos.
• Diseño de contramedidas.
• Implantación.
• Auditoría.
• Revisión continua.
Elementos
• Copias de Seguridad.
• Antivirus.
• Gestión de parches y actualizaciones.
• Administración de equipos.
• Contingencia ante desastres.
• Logs del sistema.
• Seguridad física.
• Formación.

19
Soluciones
• Firewalls (cortafuegos)
• Proxies (o pasarelas)
• Control de Acceso (ACL)
• Cifrado (protocolos seguros)
• Seguridad del edificio
• Hosts, Servidores
• Routers/Switches
• Deteccion de Intrusos IDS
Intrusión
Interna
Intrusión
Externa

20
Diseño de un sistema de seguridad
El proceso de diseñar un sistema de seguridad podría decirse que es
el encaminado a cerrar las posibles vías de ataque, lo cual hace
imprescindible un profundo conocimiento acerca de las debilidades que
los atacantes aprovechan, y del modo en que lo hacen.
Un administrador contra infinitos atacantes expertosUn administrador contra infinitos atacantes expertos
con diferentes tcon diferentes téécnicas y herramientascnicas y herramientas
Además, existe una gran variedad de ataques posibles a
vulnerabilidades pero en la practica se utiliza una combinación de
éstas. Los intrusos, antes de poder atacar una red, deben obtener la
mayor información posible acerca de esta; intentan obtener la
topología, el rango de IPs de la red, los S.O, los usuarios, etc.
El administrador debe saber, que existen organismos que informan de
forma actualizada, las técnicas de ataque utilizadas y novedades, ej
CERT/CC (Computer Emergency Response Team Coordination
Center) http://www.cert.org

22
Controles críticos de seguridad para
evitar ataques en redes corporativas
#1: Inventario de dispositivos autorizados y no autorizados
Conocer e inventariar los dispositivos que forman parte o deben pertenecer a nuestra red, y bloquear el acceso al resto.
#2: Inventario de software autorizado y no autorizado.
Al igual que con los dispositivos, realizar la misma tarea con el software corporativo. Esto facilitará futuras tareas ya sean
de mantenimiento, actualización, etc. Así mismo, utilizar herramientas que hagan un seguimiento del software instalado,
consolas de gestión y centralización...Con ello podremos evitar contar en nuestra infraestructura con el típico PC del rincón
con acceso a internet y con una jungla que ni la del amazonas con tanto espécimen.
#3: Configuraciones seguras de hardware y software para portátiles, equipos y servidores.
Bastionado de los equipos que utilizan los usuarios, antes de su inclusión en la red así como durante su actividad. Aunque
parezca simple la acción de enchufar un cable de red a un portátil, os recuerdo que hace unos años existía un bicho que en
10 segundos nos dejaba los equipos inutilizados nada más configurar la conexión a Internet, reiniciándonos el sistema una y
otra vez.
#4: Configuraciones seguras para dispositivos de red (Firewalls, Routers y Switches)
Hace poco os hablábamos por aquí sobre herramientas capaces de auditar la seguridad de estos dispositivos de red. En la
mayoría de los casos son dispositivos que no sufren grandes cambios en sus configuraciones, por lo que no está de más
revisarlos, ya que en muchas ocasiones todo el peso de la seguridad se delega en ellos.
#5: Defensa perimetral
Establecer una buena seguridad "perimetral" mediante proxys, redes DMZ, sistemas de prevención de intrusiones (IPS -
Intrusion Prevention System), firewalls... Para ataques que provengan del exterior, esta es la primera puerta que se
encontrarán nuestros amigos los "malos", por lo que conviene tenerla con unas cuantas cerraduras.
#6: Mantenimiento, monitorización y análisis de registros de auditoría
Aunque en muchos casos se opte por desactivar los registros de eventos en los dispositivos por cuestiones de rendimiento,
y evitar tener trabajo de revisión de logs todas las mañanas a primera hora que nos dificulten el disfrutar de nuestro primer
café, conviene revisar las configuraciones para registrar los eventos adecuados, ya que en un futuro lo agradeceremos
cuando se nos pidan explicaciones frente a cualquier tipo de incidentes.
#7: Seguridad en aplicaciones software
Todos los desarrollos, ya sean propios de nuestra compañía como desarrollos de terceros, deberían ser revisados antes de
ponerlos a funcionar dentro de nuestra infraestructura. Aún con herramientas automáticas (que facilitarían a su vez
revisiones periódicas) o de forma manual, nunca está de más conocer a fondo los posibles peligros o riesgos. No importa de
dónde venga el software que tenemos que implantar, al fin y al cabo...programan humanos.

23
Controles criticas de seguridad para
#8: Uso controlado de privilegios de administración
Con unos buenos mecanismos de control de acceso para dispositivos, ya sean de red, equipos de usuario o servidores, un
usuario con privilegios máximos se autenticará en los sistemas en ocasiones contadas con los dedos de una mano. Por ello,
se recomienda vigilar, monitorizar y rastrear accesos mediante usuarios que cuenten con privilegios máximos.
Pongamos un ejemplo rápido: Si en una compañía, el único método de acceso a equipos de usuarios es mediante una
cuenta del dominio, la cuenta de Administrador local se encuentra restringida, ¿no resultaría extraño que todas las
mañanas, a las 9, se detectara un proceso de logon en un equipo por el usuario Administrador?.
#9: Acceso controlado a recursos basado en su grado de confidencialidad
Siempre es necesario realizar un ejercicio de análisis de la información a la que se pueda acceder, y por ello, es
conveniente realizar segregaciones de datos en base a su nivel de confidencialidad. En ejemplos de recursos compartidos,
por ejemplo, los privilegios deberían definirse según directorios y quién pueda acceder a ellos.
#10: Análisis continuo de vulnerabilidades y sus correspondientes mitigaciones
Se deben realizar análisis periódicos de vulnerabilidades de nuestros activos, no únicamente cuando estos se vayan a
conectar en nuestra red. En la actualidad, gran parte de las herramientas utilizadas para la auditoría de vulnerabilidades en
sistemas suelen contar con gestión de procesos periódicos, capaces de generar informes detallados con la "foto" entre
análisis y análisis. Quizás una revisión diaria sea absurda, pero en ciertas ocasiones, y según el tipo de dispositivos en
objeto de revisión, un año resulte demasiado. Busquemos el término medio que no moleste y sea adecuado.
#11: Control y monitorización de cuentas
Al hilo de la recomendación #8, también sería conveniente contar con registros un poco más detallados sobre los accesos.
No sólo cuando y quién accede, si no posibles intentos fallidos continuos, si la autenticación fallida se debe al usuario o a la
contraseña suministrada, etc.
#12: Defensa frente a malware
Punto clave, de nada sirve protegernos de lo que nos pueda venir de fuera, si luego permitimos que nuestra red interna
sea un parque de atracciones para los bichos que puedan venir en pendrives y demás. La protección y monitorización de
estas amenazas también debe constituirse estableciéndose en diferentes puntos de nuestra red, apoyándonos no sólo en
las soluciones típicas de antivirus, si no en sistemas de detección y prevención de intrusiones.
#13: Control y limitación de puertos de red, protocolos y servicios
Cuantas veces habremos oído las típicas frases de "hombre, si desde fuera no pueden acceder, ¿para que voy a restringir
puertos?". Mal. Es muy habitual realizar revisiones internas de infraestructuras y encontrarse sistemas en los que dudas si
realmente son honeypots (mínimo 1000 puertos abiertos, desde el finger, echo, daytime....) o sistemas que ofrezcan un
servicio legítimo. No está de más restringir siempre, a nivel del propio sistema, puertos y servicios que no sean necesarios
para la función que desempeña.

24
#14: Control de dispositivos wireless
Podemos contar con dispositivos y access points que ofrezcan los mecanismos de cifrado más potentes para nuestras redes
inalámbricas, portales cautivos, con restricciones a nivel físico, etc etc etc...y luego de repente descubres que X
departamento le ha dado por enchufar un router wifi típico para su conexión propia de ADSL. Y si, también es posible
mediante ellos acceder a la red interna. Es conveniente en ocasiones sacar a pasear cualquier Stumbler para comprobar, al
igual que necesitábamos inventariar todos los dispositivos de red, si tenemos en cuenta todos y cada uno de los dispositivos
que ofrezcan conectividad inalámbrica y que formen parte, en muchos casos sin conocimiento alguno, de nuestra
infraestructura.
#15: Prevención de fugas de información
La fuga de información está suponiendo, cada vez más, una grave amenaza para multitud de empresas. Ya lejos de
volcados de bases de datos por aplicaciones vulnerables online, o incluso de robo de portátiles que tanto estuvieron de
moda, en la mayoría de los casos el problema viene desde dentro. Muchas veces lo hemos comentado por aquí, cuando se
dan situaciones en los que los empleados tienen su emule instalado y compartiendo carpetas que no deben, cuando tienen
acceso, por no prevenir lo comentado en el punto #9, a demasiada información, cuando por correo electrónico pasan ciertos
documentos a otras compañías....para ello ya existen soluciones software denominadas DLP (Data Loss Prevention) que son
capaces de definir, monitorizar y proteger aquella información sensible.
#16: Ingeniería de red segura
El buen diseño y arquitectura de una red es fundamental, definiendo una correcta y adecuada segmentación basada tanto
en la organización como en la seguridad.
#17: Tests de intrusión y pruebas por parte de equipos "Red Team"
Además de los típicos análisis de vulnerabilidades, es conveniente definir y simular una serie de patrones de posibles
ataques sobre nuestra infraestructura contra los que nos podríamos enfrentar, y conocer si estamos preparados antes ellos,
para su monitorización, respuesta y actuación. Estas pruebas suelen contratarse a personal externo de la organización,
pudiendo así tener una perspectiva diferente y alejada de "nuestra realidad".
#18: Capacidad de respuesta frente a incidentes
Lejos de pruebas, en este punto se propone la elaboración de procedimientos para la respuesta frente a incidentes que
puedan ocasionarse. Al igual que con los simulacros de incendios, también es conveniente revisar y poner en práctica estos
procedimientos para definir si realmente son correctos y suficientes, provocando acciones como las comentadas en el
anterior punto #17

25
#19: Capacidad de recuperación de datos
Que decir de las copias de seguridad y su vital importancia, en varias ocasiones os hemos hablado de ellas en este blog.
Debe contarse con un sistema robusto de copias de seguridad, sobretodo para aquellos datos de mayor importancia.
#20: Estudio de técnicas de seguridad y formación necesaria para cubrir huecos
Formación, formación y formación. Pero no sólo a nuestro personal más técnico, todos y cada uno (también sabiendo
diferenciar perfiles y el tipo de formación a ofrecer) de nuestros empleados deberían contar con una formación básica en
materia de seguridad. Quizás a algunos departamentos sólo debamos recordarles los consejos básicos sobre navegación
segura por internet, elección de contraseñas robustas, identificación de posibles phishings en e-mails...y a otros como
validar correctamente los parámetros de sus aplicaciones en desarrollo, como cifrar las conexiones, etc etc.

38
Tendencias de seguridad
Todas las líneas actuales de investigación en seguridad de redes
comparten una idea:
“La concentración de la seguridad en un punto, obligando a
todo el tráfico entrante y saliente pase por un mismo punto,
que normalmente se conoce como cortafuegos o firewall,
permitiendo concentrar todos los esfuerzos en el control de
tráfico a su paso por dicho punto”

39
Firewall
Consiste en un dispositivo formado por uno o varios equipos que
se sitúan entre la red de la empresa y la red exterior
(normalmente la Internet), que analiza todos los paquetes
que transitan entre ambas redes y filtra los que no deben
ser reenviados, de acuerdo con un criterio establecido de
antemano, de forma simple.
Para que no se convierta en cuello de botella en la red, deben de
procesar los paquetes a una velocidad igual o superior al router.

40
Firewall
Crea un perímetro de seguridad y defensa de la organización
que protege.
Su diseño ha de ser acorde con los servicios que se necesitan
tanto privados como públicos (WWW, FTP, Telnet,...) así como
conexiones por remotas.
Al definir un perímetro, el cortafuegos opera también como NAT
(Network Address Traslation) y Proxy (servidor multipasarela).

41
Detección de intrusos: IDS
Las vulnerabilidades de los diferentes sistemas dentro de
una red son los caminos para realizar los ataques.
En muchas ocasiones, el atacante enmascara el ataque en
tráfico permitido por el cortafuegos y por tanto para delatarlo
se necesita un IDS. Son complementarios.
Características deseables para un IDS son:
• continuamente en ejecución y debe poderse analizar él mismo
y detectar si ha sido modificado por un atacante
• utilizar los mínimos recursos posibles
• debe de adaptarse fácilmente a los cambios de sistemas y
usuarios, por lo que en ocasiones poseen inteligencia
para adaptarse (aprender por su experiencia) y
configurarse.

42
Tipos de IDS según localización
• NIDS (Network Intrusion Detection System): detecta los
paquetes armados maliciosamente y diseñados para no ser
detectados por los cortafuegos. Consta de un sensor situado
en un segmento de la red y una consola.
• Ventaja: no se requiere instalar software adicional en
ningún servidor
• Inconveniente: es local al segmento, si la información
cifrada no puede procesarla
• HIDS (Host Intrusion Detection System): analiza el tráfico
sobre un servidor.
• Ventajas: registra comandos utilizados, es más fiable,
mayor probabilidad de acierto que NIDS.

43
Tipos de IDS según modelos de detección
• Detección de mal uso: verifica sobre tipos ilegales de
tráfico, secuenciassecuencias que previamente se sabe se utilizan para
realizar ataques (ataques (conocidas como exploits))
• Detección de uso anómalo: verifica diferencias estadísticas
del comportamiento normal de una red, según franjas
horarias, según la utilización de puertos (evitaría el rastreo de
puertos)
Tipos de IDS según naturaleza
• Pasivos: registran violación y generan una alerta
• Reactivos: responden ante la situación, anulando sesión,
rechazando conexión por el cortafuegos, etc

47
Topologia de Red de Empresa

48
PREGUNTAS
Referencias:
http://www.arcert.gov.ar/
http://www.segu-info.com.ar/
http://edu.eset-la.com/
http://www.dragonjar.org/
http://www.vulnerabilityassessment.co.uk/
http://www.packetstormsecurity.org/
http://insecure.org/
http://www.isecom.org/
chakan

Protección de datos en una red

Recommended

Recommended

More Related Content

What's hot

What's hot (18)

Viewers also liked

Viewers also liked (8)

Similar to Protección de datos en una red

Similar to Protección de datos en una red (20)

Recently uploaded

Recently uploaded (20)

Protección de datos en una red