PDF de programación - Modelo de Disociación de la Información (MDI) asociado a un Sistema de Gestión de Seguridad

Universidad de Almería

Máster en Administración, Comunicaciones y

Seguridad Informática



Modelo de Disociación de la
Información (MDI) asociado a

un Sistema de Gestión de

Seguridad



Autor:
Félix Manuel García Martínez







Modelo de Disociación de la
Información (MDI) asociado a

un Sistema de Gestión de

Seguridad



Félix Manuel García Martínez

Analista de Seguridad Informática
[email protected]







•
•

http://www.gnu.org/licenses/gpl.html (Licencia original en inglés)
http://www.viti.es/gnu/licenses/gpl.html (Traducción de la licencia al castellano)



Tanto la memoria de este trabajo como el software desarrollado se distribuyen bajo la licencia GNU GPL v3.
La Licencia Pública General GNU (GNU GPL) es una licencia libre, sin derechos para software y otro tipo de trabajos.
Las licencias para la mayoría del software y otros trabajos prácticos están destinadas a suprimir la libertad de compartir y modificar
esos trabajos. Por el contrario, la Licencia Pública General GNU persigue garantizar su libertad para compartir y modificar todas las
versiones de un programa--y asegurar que permanecerá como software libre para todos sus usuarios.

Cuando hablamos de software libre, nos referimos a libertad, no a precio. Las Licencias Públicas Generales están destinadas a
garantizar la libertad de distribuir copias de software libre (y cobrar por ello si quiere), a recibir el código fuente o poder conseguirlo si
así lo desea, a modificar el software o usar parte del mismo en nuevos programas libres, y a saber que puede hacer estas cosas.

Para obtener más información sobre las licencias y sus términos puede consultar:

Se ha realizado el presente trabajo
para la obtención del título de
Máster Propio en Administración,
Comunicaciones y Seguridad Informática
por la Universidad de Almería
http://masteracsi.ual.es



ÍNDICE

AGRADECIMIENTOS..................................................................................................................................................... 9

INTRODUCCIÓN ........................................................................................................................................................... 10

CAPÍTULO 1 ORIGEN DE LA NECESIDAD ........................................................................................................ 13
1.1 ASPECTOS NORMATIVOS, DE PRIVACIDAD Y LEGALES ................................................................... 13
1.1.1 Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal .............................................. 13
1.1.2 Real Decreto 1720/2007, de 21 de Diciembre, de desarrollo de la LOPD ........................................ 16
1.1.3 PCI-DSS. Payment Card Industry Data Security Standard ................................................................. 19
1.1.4 LSSI. Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico. ................... 23
1.1.5 Normas UNE-ISO/IEC 27001 y 27002. Sistemas de Gestión de Seguridad de la Información..... 25
1.1.6 Resumen ..................................................................................................................................................... 29

CAPÍTULO 2 MODELO DE SOLUCIÓN ............................................................................................................... 31
2.1 ESTRATEGIA A SEGUIR: MODELO PDCA ........................................................................................................... 31
2.2 ANÁLISIS DE LA SOLUCIÓN PLANTEADA ............................................................................................................. 33
2.2.1 Estudio de la actividad empresarial de la organización........................................................................ 33
2.2.2 Gestión de activos: clasificación de la información............................................................................... 34
2.2.3 Protección perimetral de los sistemas informáticos .............................................................................. 35
2.2.4 Integridad de la información almacenada............................................................................................... 37
2.2.5 Confidencialidad de la información transmitida y almacenada ........................................................... 38
2.2.6 Disponibilidad del servicio......................................................................................................................... 39
2.2.7 Control de acceso a los datos .................................................................................................................. 41
2.2.8 Copias de seguridad .................................................................................................................................. 43
2.2.9 Retención de los datos del tráfico de comunicaciones......................................................................... 44
2.2.10 Modelo de disociación de la información y transferencia internacional de datos .......................... 44
2.3 MODELO DE DATOS....................................................................................................................................... 50
2.3.1 Entidad-relación.......................................................................................................................................... 50

CAPÍTULO 3

IMPLEMENTACIÓN TÉCNICA DE LA SOLUCIÓN.................................................................... 52
3.1 INTRODUCCIÓN.................................................................................................................................................... 52
3.2 INSTALACIÓN Y CONFIGURACIÓN DE SERVIDORES LAMP ................................................................................ 53
3.3 INSTALACIÓN Y CONFIGURACIÓN DE LOS SISTEMAS DE PROTECCIÓN PERIMETRAL ........................................ 71
3.3.1 Firewall perimetral ...................................................................................................................................... 83
3.3.2 Proxy inverso .............................................................................................................................................. 91
3.3.3 Sistema de detección de intrusos de red (NIDS) .................................................................................. 98
3.3.4 Sniffer de red............................................................................................................................................. 113



8 MDI asociado a un Sistema de Gestión de Seguridad Proyecto de fin de Máster


3.4 IMPLEMENTACIÓN DE CONTROLES SOBRE LA INTEGRIDAD DE LA INFORMACIÓN.......................................... 115
3.5 IMPLEMENTACIÓN DE CONTROLES SOBRE LA CONFIDENCIALIDAD DE LA INFORMACIÓN ............................. 116
3.5.1 Confidencialidad de la información transmitida ................................................................................... 116
3.5.2 Confidencialidad de la información almacenada ................................................................................. 128
3.6 INSTALACIÓN Y CONFIGURACIÓN DE UN CLUSTER EN ALTA DISPONIBILIDAD ................................................ 159
3.6.1 DRBD ......................................................................................................................................................... 159
3.6.2 Instalación y configuración del resto de paquetes .............................................................................. 181
3.6.3 Funcionalidad MySQL Replication......................................................................................................... 225
3.7 IMPLEMENTACIÓN DEL MODELO DE CONTROL DE ACCESO............................................................................. 244
3.7.1 Cambios en la estructura de la tabla “login”, perteneciente a la base de datos “restaurante” ..... 244
3.7.2 Creación de la nueva tabla “intentos_usuarios” en la base de datos “restaurante”....................... 246
3.7.3 Cambios en el código de la página “auth.php” .................................................................................... 248
3.7.4 Cambios en el código de la página “login.php”.................................................................................... 254
3.8 INSTALACIÓN Y CONFIGURACIÓN DE UN “PACKET LOGGER”.......................................................................... 256
3.9 IMPLEMENTACIÓN DEL MODELO DE DISOCIACIÓN DE LA INFORMACIÓN...................................................... 259
3.9.1 Instalación y configuración de las instancias de la nube.................................................................... 260
3.9.2 Desarrollo del modelo de Disociación ................................................................................................... 291
3.10 IMPLEMENTACIÓN DEL SISTEMA DE COPIAS DE SEGURIDAD ........................................................................... 352
3.10.1 Creación del script de backup ............................................................................................................. 353
3.10.2 Programación de la ejecución del script ............................................................................................ 366

CAPÍTULO 4 PRUEBA DEL SISTEMA............................................................................................................... 381
4.1 CASOS DE USO PRESTADOS POR LA APLICACIÓN..........................