PDF de programación - Tesis Seguridad Informática - Su Implicancia e Implementación

Tesis
Seguridad
Informática

Su Implicancia e
Implementación

www.segu-info.com.ar - 2007

Cristian F. Borghello
2001

¿ Porqué Seguridad Informática ?

 Convicción de su inexistencia práctica.

 Visión de su necesidad.

 Visión de su importancia.

 Atracción tecnológica y humana.

www.segu-info.com.ar 2007 - 2

Objetivos

 Presentar los conceptos y alcances

técnicos, administrativos y legales.

 Conocer los protagonistas y

sus responsabilidades.

 Conocer las vulnerabilidades y

fortalezas de los sistemas.

 Establecer políticas de seguridad.

www.segu-info.com.ar 2007 - 3

Componentes Estudiados

 Componente físico
 Componente lógico

• Ataques
• Defensas

 Componente humano

• Legislación
• Personas

 Comunicaciones
 Evaluación de costos
 Políticas seguridad

www.segu-info.com.ar 2007 - 4

Objetivo de la Seguridad Informática

El objetivo de la seguridad informática es
mantener la Integridad, Disponibilidad,
Privacidad, Control y Autenticidad de la
información manejada por computadora.

www.segu-info.com.ar 2007 - 5

Elementos de la Seguridad Informática

1

 Integridad

sistema permanecen
Los componentes del
inalterados a menos que sean modificados por los
usuarios autorizados.

 Disponibilidad

Los usuarios deben tener disponibles todos
componentes del sistema cuando así lo deseen.

los

 Privacidad

Los componentes del sistema son accesibles sólo
por los usuarios autorizados.

www.segu-info.com.ar 2007 - 6

Elementos de la Seguridad Informática

2

 Control

Solo los usuarios autorizados deciden cuando y
como permitir el acceso a la información.

 Autenticidad

Definir que la información requerida es válida y
utilizable en tiempo, forma y distribución.

 No Repudio

Evita que cualquier entidad que envió o recibió
información alegue, que no lo hizo.

 Auditoria

Determinar qué, cuándo, cómo y quién realiza
acciones sobre el sistema.

www.segu-info.com.ar 2007 - 7

Operatividad vs Seguridad

OPERATIVIDAD

=

1

SEGURIDAD

La función se vuelve

exponencial

acercandose al
100% de seguridad

www.segu-info.com.ar 2007 - 8

Seguridad Física

1

de

físicas

barreras

Aplicación
y
procedimientos de control, como medidas
de prevención y contramedidas ante
amenazas a los recursos e información.

www.segu-info.com.ar 2007 - 9

Seguridad Física

2

Amenazas

 Incendios

 Inundaciones

 Terremotos

 Trabajos no ergométricos

 Instalaciones eléctricas

• Estática
• Suministro ininterrumpido de corriente
• Cableados defectuosos

 Seguridad del equipamiento

www.segu-info.com.ar 2007 - 10

Seguridad Física

3

Controles

 Sistemas de alarma
 Control de personas
 Control de vehículos
 Barreras infrarrojas-ultrasónicas
 Control de hardware
 Controles biométricos

• Huellas digitales

• Control de voz

• Patrones oculares

• Verificación de firmas

www.segu-info.com.ar 2007 - 11

Seguridad Lógica

1

Aplicación de barreras y procedimientos
que resguarden el acceso a los datos y sólo
se permita acceder a ellos a las personas
autorizadas para hacerlo.

www.segu-info.com.ar 2007 - 12

Seguridad Lógica

2

Identificación: El usuario se da a conocer al
sistema.

Autentificación: Verificación del sistema ante
la Identificación.

Formas de Autentificación-Verificación

. Algo que la persona conoce - Password
. Algo que la persona es - Huella digital
. Algo que la persona hace - Firmar

. Algo que la persona posee - Token Card

www.segu-info.com.ar 2007 - 13

Delito Informático

1

Cualquier comportamiento antijurídico, no
ético o no autorizado, relacionado con el
procesado automático de datos y/o
transmisiones de datos.

Se realizan por medios informáticos y tienen
como objeto a la información en sí misma.

www.segu-info.com.ar 2007 - 14

Delitos Informáticos

2

 Fraudes cometidos mediante manipulación

de computadoras

 Daños a programas o datos almacenados

 Manipulación de datos de E/S

 Distribución de virus

 Espionaje

 Acceso no autorizado

 Reproducción y distribución de programas

protegido por la ley

www.segu-info.com.ar 2007 - 15

Amenazas Humanas

1

 Hacker: persona curiosa, inconformista y paciente
que busca su superacion continua aprovechando las
posibilidades que le brindan los sistemas.
 Cracker: hacker dañino.
 Phreaker: persona que engaña a las compañias
telefónicas para su beneficio propio.
 Pirata Informático: persona que vende software
protegido por las leyes de Copyright.
 Creador de virus  Diseminadores de virus
 Insider: personal interno de una organización que
amenaza de cualquier forma al sistema de la misma.

www.segu-info.com.ar 2007 - 16

Intrusión – Amenazas

2

www.segu-info.com.ar 2007 - 17

Comunicaciones

Protocolo: conjunto de normas que rige el
información entre dos
intercambio de
computadoras.

Modelo OSI  TCP/IP

Aplicación

Presentación

Aplicación

SMTP – POP – MIME – HTTP

ICMP – FTP – TELNET

Sesión

Transporte

Transporte

TCP – UDP

Red

Enlace datos

Físico

Internet

Físico

IP – IPX/SPX – Appletalk

PPP – SLIP – Ethernet

Token Ring – ARP – RARR

www.segu-info.com.ar 2007 - 18

Amenazas

Marco Legal acorde con los avances tecnólogicos

Crackers

Hackers

Insiders

Errores

Virus

Ingeniería Social

Amenaza

Protegido

Bien

Marco Tecnológico – Comunicaciones – Internet

Amenaza: elemento que compromete al sistema

www.segu-info.com.ar 2007 - 19

Tipos de Ataques
 Ingeniería Social – Social Inversa
 Trashing
 Vulnerabilidades propias de los sistemas

1

Monitorización

Autentificación

Observación

Verificación Falsa

 Shoulder Surfing
 Decoy
 Scanning

 Spoofing
 Looping
 Hijacking
 Backdoors
 Exploits
 Obtención de claves

www.segu-info.com.ar 2007 - 20

Tipos de Ataques

2

Denial of Service

Modificación

Saturación de Servicios

Daños

 Jamming Flooding
 SynFlood

 Connection Flood

 Land Attack
 Smurf Attack

 Nuke
 Tear Drop

 Bombing

 Tampering

 Borrado de huellas

 Ataques con Scripts

 Ataques con ActiveX

 Ataque con JAVA

 Virus

www.segu-info.com.ar 2007 - 21

Ataques

Implementación

. Recopilación de información
. Exploración del sistema
. Enumeración e identificación
. Intrusión

Defensa

 Mantener hardware actualizado
 No permitir tráfico broadcast
 Filtrar tráfico de red
 Auditorías
 Actualización de los sistemas
 Capacitación permanente

www.segu-info.com.ar 2007 - 22

Virus

Programa de actuar subrepticio para el usuario; cuyo
código incluye información suficiente y necesaria para
que, utilizando los mecanismos de ejecución que le
ofrecen otros programas, puedan reproducirse y ser
susceptibles de mutar; resultando de dicho proceso la
modificación, alteración y/o daño de los programas,
información y/o hardware afectados.

Modelo:

Dañino
Autoreproductor
Subrepticio

Daño Implícito
Daño Explícito

www.segu-info.com.ar 2007 - 23

Tipos de Virus

Carácter Vandálico



Amateur

Programas que no

cumplen con la
definición de virus

 Sector de arranque
 Archivos ejecutables
 Residentes
 Macrovirus
 De email
 De sabotaje

 Hoax

 Gusanos

 Caballos de troya

 Bombas lógicas

Carácter Dirigido



Profesional y de espionaje

 Armas digitales

www.segu-info.com.ar 2007 - 24

Antivirus

Gran base de datos con la “huella digital” de
todos los virus conocidos para identificarlos y
también con las pautas más comunes de los
virus.

Detección
Confirmar la

presencia de un virus



Identificación

Determinar que virus

fue detectado

Detección – Identificación

 Scanning

 Búsqueda heurística

 Monitor de actividad

 Chequeador de integridad

www.segu-info.com.ar 2007 - 25

Modelo de Protección

 Política de seguridad de la organización

 Auditorías permanentes

 Plan de respuestas a incidentes

 Sistema de seguridad a nivel físico

 Seguridad a nivel Router–Firewall

 Sistemas de detección de intrusos (IDS)

 Penetration Testing

l



M
o
d
e
o
D
e
s
c
e
n
d
e
n
t
e

www.segu-info.com.ar 2007 - 26

Penetration Testing

Conjuntos de técnicas tendientes a realizar
una evaluación integral de las debilidades de
los sistema.

Externo

Interno

 Fuerzas de las passwords

 Protocolos internos

 Captura de tráfico de red

 Autentificación de usuarios

 Detección de protocolos

 Aplicaciones propietarias

 Scanning de puertos

 Verificación de permisos

 Vulnerabilidades existentes
 Ataques de DoS

 Test de servidores

 Ataques de DoS

 Seguridad física en las

estaciones de trabajo

www.segu-info.com.ar 2007 - 27

Firewalls

Sistema ubicado entre dos redes y que ejerce
una política de
seguridad establecida.
Mecanismo encargado de proteger una red
confiable de otra que no lo es.

Características

 Defensa perimetral.

 Defensa nula en el

interior.

 Protección nula contra un

intruso que lo traspasa.

 Sus reglas son definidas

por humanos.

www.segu-info.com.ar 2007 - 28

Tipos de Firewalls

. Filtrado de paquetes

 Filtran Protocolos, IPs y puertos utilizados

. Gateway de Aplicaciones

 Se analizan cada uno de los paquetes que ingresa

al sistema

. Firewalls personales

 Aplicaciones disponibles para usuarios finales.

www.segu-info.com.ar 2007 - 29

Tipos de Firewalls

1

. Filtrado de paquetes

 Filtra Protocolos, IPs y puertos utilizados

Economicos y con alto desempeño

No esconden la topología de la red

. Gateway de Aplicaciones

 Nodo Bastion intermediario entre Cliente y Servidor

Transparente al usuario

Bajan rendimiento de la red

. Dual Homed Host

 Conectados al perímetro interior y exterior

Paquetes IPs desactivado

www.segu-info.com.ar 2007 - 30

Tipos de Firewalls

2

. Screened Host

 Router + Host Bastion.

El Bastion es el único acces