Seguridad en las comunicaciones

2. Seguridad en las comunicaciones.

2.1 Aspectos a tener en cuenta.

La seguridad en los computadores implica tres exigencias que son:

-        Secreto: acceso a la información y recursos sólo a los entes autorizados.

-        Integridad: modificación de la información y recursos sólo por entes autorizados.

-        Disponibilidad: la información y recursos deben estar disponibles para los entes autorizados.

Una comunicación esté segura de quien  o quienes son las otras partes (man in the midle):

-        Control de acceso

-        Prueba de origen

-        Prueba de recepción

-        No rechazo

-        No publico.

2.2 Amenazas y ataques.

Estas amenazas son violaciones potenciales de la seguridad de un sistema o una red de comunicaciones como:

-        Accidentales.

-        Intencionales.

Podemos clasificar los ataques de forma genérica como ataques pasivos, aquellos que no producen modificación ni en la información ni en el funcionamiento aparente de las redes de comunicaciones y/o sistemas; o activos, aquellos que alteran el comportamiento de los sistemas y las redes de comunicaciones.

Podemos agrupar los ataques en:

-        Acceso no autorizado: revelación de datos, reenvío de datos, manipulación de datos, repudio de datos y recepción de datos.

-        Sobre las identidades: suplantación de identidad, intercepción de identidades.

-        Sobre servicios: denegación de servicio (DoS), encaminamiento incorrecto.

Los ataques tienen distintos tipos de motivación:

-        Gubernamental o militar.

-        Negocios

-        Financieros.

-        Terroristas.

-        Rencor.

-        Diversión.

2.3 Vulnerabilidades.

 Un ataque tiene lugar porque existe una vulnerabilidad en algún punto del sistema.

Ejemplos de vulnerabilidades:

-        Acceso físico.

-        Defectos o errores en el software o en los sistemas operativos (bugs). Estos bugs se descubren analizando el código fuente. Una de las maneras más típicas de aprovecharse de errores de programación suele ser provocar desbordamientos de pila.

-        Sistemas operativos inseguros: un S.O. no seguro es una fuente de vulnerabilidades.

-        Malas configuraciones: son una fuente de vulnerabilidad para sistemas operativos, aplicaciones o dispositivos.

-        Vulnerabilidades en las comunicaciones: son objeto de ataque por la debilidad de muchos de los protocolos de comunicación actuales y también  para utilizar redes públicas para transmitir datos de manera encubierta.

-        Acceso a equipos intermedios: un atacante normalmente no atacará una red de manera directa sino a través de equipos intermedios.

2.4 Tipos de ataques por herramientas.

-                Gusanos (Worms)

-                Trap-Door

-                Caballos de Troya

-                Virus

-                Bombas lógicas.

3. Ataques a redes TCP/IP

3.1 Estructura de un ataque a TCP/IP.

Los podemos clasificar como:

-        Exploración y obtención de información.

-        Ataque a servicios telemáticos

-        Basado en las comunicaciones o el funcionamiento de protocolos.

Cualquier ataque se dividirá en las siguientes etapas:

-        Foot-printing: son técnicas que usaremos para intentar establecer el perfil del funcionamiento y las características de seguridad del sitio o atacar, recopilando información sobre como se conecta a Internet.

-        Scanning: el escaneo de direcciones y puertos podremos averiguar que servidores están activos y como. Los mecanismos usados son “el barrido de pings” y escaneo de puertos.

-        Enumeración: una vez tenemos toda esta información, pasamos a la etapa de enumeración, donde, dependiendo  del sistema operativo objetivo la utilizaremos de una u otra manera.

3.2 Ejemplos de ataques a redes TCP/IP.

Ataques de Denegación de Servicios (DoS).

EL principal objetivo de estos ataques es el consumo de recursos o de ancho de banda de una red o sistema atacado de manera que el atacante consiga, finalmente, dejar este objetivo fuera de servicio.

-        IP SPOOFING: tiene como objetivo la ejecución de comandos de forma remota.

-        TCP HIJACKING: tiene como objetivo la monotorización de los paquetes.

-        Ataques sobre encaminamiento: su objetivo es alterar las rutas de los paquetes para alcanzar su destino, intentando desviarlas a su antojo para su provecho.

-        Ataques sobre DNS: su objetivo es tratar de alterar la resolución de nombres.

-        Virus: son programas maliciosos que son capaces de infectar un sistema y, a veces, capaces de reproducirse y expandirse en otros sistemas.

TEMA 8 PARTE 2 POLÍTICAS DE SEGURIDAD

Una política de seguridad es un plan de acción o un conjunto de reglas a los que atenerse para evitar posibles riesgos o problemas de seguridad de un ordenador, red o un país.

Algunas características de una buena política de seguridad son:

-        Deber ser posible su implementación a nivel organizativo.

-        Deber ser posible su implementación a nivel técnico.

-        Debe ser posible su cumplimiento obligatorio mediante la utilización de herramientas de seguridad.

-        Debe definir claramente las áreas de responsabilidad de los usuarios.

-        Deber ser flexible y adaptable a los cambios que se puedan producir.

Aspectos que se debe incluir una política de seguridad son:

-        Definición de las clases de usuarios.

-        Definición del sistema de passwords.

-        Definición de las clases de información.

-        Definición de los permisos de acceso.

2. Implementación de una política de seguridad.

1. Planificación de las necesidades de seguridad.

Confidencialidad, integridad de los datos, disponibilidad, consistencia, control y auditoría.

2. Análisis de riesgos.

Identificación de amenazas y puntos críticos de la red. La toma o no de una medida ha de estar directamente relacionada con el análisis coste beneficio. Hemos de tener en cuenta que el análisis realizado será siempre diferente para cada organización.

El objetivo de estos métodos es intentar medir los posibles riesgos que afronta nuestra empresa y cual sería la probabilidad de que estos se produjeran.

3. Análisis de de coste-beneficio.

Los posibles riesgos inherentes al sistema y habiendo hecho una clasificación  según su gravedad y probabilidad de ocurrencia, hemos de pasar a decidir como vamos a afrontarlos.

Ejemplos de coste-beneficio:

-        SAI en un entorno en que no se producen muchas caídas de red eléctrica.

-        Perdida del password de un administrador en una entidad financiera.

4. Desarrollo de políticas de seguridad.

Las políticas deben de ser:

-        Sencillas y generales.

-        Complejas y por servicio.

Deben:

-        Aclarar que se está protegiendo.

-        Establecer las responsabilidades de la protección.

-        Establecer las bases para resolver e interpretar conflictos posteriores

5.Auditoria y respuesta ante incidentes.

Las auditorías son la última parte de nuestro sistema. Pese a haber instaurado una política de seguridad y confiar en los usuarios, debemos de verificar que esta política realmente se lleva a cabo, mediante aplicaciones que comprueben que efectivamente los usuarios siguen las recomendaciones.