PDF de programación - Capítulo 4 Calidad de Información y Programas Malignos

Libro Electrónico de Seguridad Informática y Criptografía v4.1

Calidad de Información y Programas Malignos

Capítulo 4

Seguridad Informática y Criptografía

Ultima actualización del archivo: 01/03/06
Este archivo tiene: 27 diapositivas

v 4.1

Material Docente de
Libre Distribución

Dr. Jorge Ramió Aguirre
Universidad Politécnica de Madrid

Este archivo forma parte de un curso completo sobre Seguridad Informática y Criptografía. Se autoriza el uso,
reproducción en computador y su impresión en papel, sólo con fines docentes y/o personales, respetando los
créditos del autor. Queda prohibida su comercialización, excepto la edición en venta en el Departamento de
Publicaciones de la Escuela Universitaria de Informática de la Universidad Politécnica de Madrid, España.

Curso de Seguridad Informática y Criptografía © JRA

Capítulo 4: Calidad de Información y Programas Malignos

Página 106

¿Qué es la información?

• Bajo el punto de vista de la ingeniería:

– Estudio de las características y estadísticas del
lenguaje que nos permitirá su análisis desde un
enfoque matemático, científico y técnico.

• Bajo el punto de vista de la empresa:

– Conjunto de datos propios que se gestionan y

mensajes que se intercambian personas y/o
máquinas dentro de una organización.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 4: Calidad de Información y Programas Malignos

Libro Electrónico de Seguridad Informática y Criptografía v4.1

Capítulo 4: Calidad de Información y Programas Malignos

Página 107

Teoría de la información de Shannon

• El estudio hecho por Claude Shannon en años posteriores

a la 2ª Guerra Mundial ha permitido, entre otras cosas:
– Cuantificar la cantidad de información.
– Medir la entropía de la información.
– Definir un sistema con secreto perfecto.
– Calcular la redundancia y la ratio del lenguaje.
– Encontrar la distancia de unicidad.

Todo el estudio de Shannon está orientado a criptosistemas
clásicos que cifran letras, que tienen escaso interés en este libro.
No obstante, en un capítulo posterior se verán estos sistemas con
un mínimo detalle pues permiten analizar con cierta facilidad
sistemas con secreto perfecto.

http://es.wikipedia.org/wiki/Claude_Shannon



© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 4: Calidad de Información y Programas Malignos

Página 108

La información en la empresa

• Se entenderá como:

– Todo el conjunto de datos y ficheros de la empresa.
– Todos los mensajes intercambiados.
– Todo el historial de clientes y proveedores.
– Todo el historial de productos.
– En definitiva, el know-how de la organización.

• Si esta información se pierde o deteriora, le será

muy difícil a la empresa recuperarse y seguir
siendo competitiva. Por este motivo, es vital que
se implanten unas políticas de seguridad y que,
además, se haga un seguimiento de ellas.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 4: Calidad de Información y Programas Malignos

Libro Electrónico de Seguridad Informática y Criptografía v4.1

Capítulo 4: Calidad de Información y Programas Malignos

Página 109

Importancia de la información

• El éxito de una empresa dependerá de la
calidad de la información que genera y
gestiona. Así, una empresa tendrá una
información de calidad si ésta posee, entre
otras características, las de confidencialidad,
de integridad y de disponibilidad.

• La implantación de una política y medidas de seguridad

informática en la empresa comienza a tenerse en cuenta sólo a
finales de la década pasada. En este nuevo siglo, es un factor
estratégico en el desarrollo y éxito de la misma. Después de
atentados terroristas, incendios, huracanes y diversas amenazas,
muchas empresas han desaparecido por no haber sido capaces
de recuperarse tras haber perdido toda su información.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 4: Calidad de Información y Programas Malignos

Página 110

Vulnerabilidad de la información

• La información (datos) se verá afectada

por muchos factores, incidiendo
básicamente en los aspectos de
confidencialidad, integridad y
disponibilidad de la misma.

Un empleado
descontento...

• Desde el punto de vista de la empresa, uno

de los problemas más importantes puede
ser el que está relacionado con el delito o
crimen informático, bien por factores
externos o internos. Habrá que estar muy
atentos al factor humano interno.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 4: Calidad de Información y Programas Malignos

Libro Electrónico de Seguridad Informática y Criptografía v4.1

Capítulo 4: Calidad de Información y Programas Malignos

Página 111

Hay que implantar políticas de seguridad
El tratamiento y vulnerabilidad de la información se
verá influida por otros temas, como por ejemplo los
aspectos legales vigentes. Además, las empresas
cada día dependen más de sus comunicaciones y de
su trabajo en red, lo que aumenta su inseguridad.
Solución

Política 1

La solución parece
muy sencilla: crear
y aplicar políticas
de seguridad...

Política 2

Política 3

... Y solamente ahora
comienza a tomarse
verdaderamente en serio.

http://www.rediris.es/cert/doc/docu_rediris/poliseg.es.html



© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 4: Calidad de Información y Programas Malignos

Página 112

Acciones contra los datos

• Una persona no autorizada podría:
– Clasificar y desclasificar los datos.
– Filtrar información.
– Alterar la información.
– Borrar la información.
– Usurpar datos.
– Hojear información clasificada.
– Deducir datos confidenciales.

obvia

Por lo tanto, la
protección de
datos resulta

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 4: Calidad de Información y Programas Malignos

Libro Electrónico de Seguridad Informática y Criptografía v4.1

Capítulo 4: Calidad de Información y Programas Malignos

Página 113

Copias de seguridad: backup

• La medida más elemental para la protección de los datos es

determinar una buena política de copias de seguridad o backups:
– Copia de seguridad completa

• Todos los datos (la primera vez).

– Copias de seguridad incrementales

• Sólo se copian los ficheros creados o modificados desde el

último backup.

– Elaboración de un plan de backup en función del volumen de

información generada

• Tipo de copias, ciclo de esta operación, etiquetado correcto.
• Diarias, semanales, mensuales: creación de tablas.
– Establecer quién, cómo y dónde se guardan esos datos.

http://www.criptored.upm.es/guiateoria/gt_m001l.htm



© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 4: Calidad de Información y Programas Malignos

Página 114

Hackers, crakers, script kiddies...

• Hacker:

• Cracker:

• Script kiddie:

– Definición inicial de los ingenieros del MIT que hacían

alardes de sus conocimientos en informática.

– Entre muchas clasificaciones están las de White Hat

(generalmente no delictivos), Blak Hat (generalmente es
delictivo) y Grey Hat (reconvertidos por la empresa).

– Persona que intenta de forma ilegal romper la seguridad de

un sistema por diversión o interés.

– Un inexperto, normalmente un adolescente, que usará

programas que se descarga de Internet para atacar sistemas.

Más información en:

http://www.umanizales.edu.co/encuentrohackers/tiposh.htm



© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 4: Calidad de Información y Programas Malignos

Libro Electrónico de Seguridad Informática y Criptografía v4.1

Capítulo 4: Calidad de Información y Programas Malignos

Página 115

Puntos vulnerables en la red

Las empresas relacionadas con las Nuevas Tecnologías
de la Información NTIs hacen uso de varias técnicas y
herramientas de redes para el intercambio de datos:

• Transferencia de ficheros (ftp)
• Transferencia de datos e información a través de

• Conexiones remotas a máquinas y servidores

Internet (http)

(telnet)

Todo esto presentará importantes riesgos de
ataques por parte de delincuentes informáticos,
pero ...

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 4: Calidad de Información y Programas Malignos

Página 116

¿Dónde está el verdadero enemigo?

Por muy organizados que puedan estar estos
grupos de delincuentes, primero que nada hay
que ponerse en el lugar que nos corresponde y
no caer en la paranoia.
Además, debemos pensar que el peor enemigo
puede estar dentro de casa. Según estadísticas
fiables, cerca del 80% de las amenazas de
seguridad provienen de la propia organización.

La solución sigue siendo la misma: la puesta en marcha
de una adecuada política de seguridad en la empresa.

© Jorge Ramió Aguirre Madrid (España) 2006

Capítulo 4: Calidad de Información y Programas Malignos

Libro Electrónico de Seguridad Informática y Criptografía v4.1

Capítulo 4: Calidad de Información y Programas Malignos

Página 117

Algunos ataques y delitos informáticos

Son acciones que vulneran la confidencialidad,
integridad y disponibilidad de la información.
– Ataques a un sistema informático:

Fraude Malversación Robo
Sabotaje Espionaje Chantaje
Revelación Mascarada Virus
Gusanos C. de Troya Spam

© Jorge Ramió Aguirre Madrid (España) 2006

http://www.delitosinformaticos.com/delitos/



Capítulo 4: Calidad de Información y Programas Malignos

Página 118

Fraude y sabotaje

Fraude
Acto deliberado de manipulación de datos perjudicando
a una persona física o jurídica que sufre de esta forma
una pérdida económica. El autor del delito logra de esta
forma un beneficio normalmente económico.
Sabotaje
Acción con la que se desea perjudicar a una empresa
entorpeciendo deliberadamente su marcha, averiando
sus equipos, herramientas, programas, etc. El autor no
logra normalmente con ello beneficios económicos pero
pone en jaque mate a la organización.

© J