Seguridad en los Sistemas

Transcripción

1 Seguridad en los Sistemas M. Farias-Elinos 1 Contenido Introducción Conceptos Proceso de seguridad Causas de inseguridad 2 1

2 Necesitamos seguridad? En cualquier sociedad, un pequeño porcentaje de la gente es maliciosa. Se estima que Internet ahora tiene de 30 a 40 millones de usuarios. Aún si el porcentaje de usuarios maliciosos es menor del 1% de esa sociedad, el número potencial de usuarios maliciosos es tan grande que debiera de preocuparle. Building Internet Firewalls; B. Chapman, E. Zwicky; O Reilly & Associates; 1995) 3 Conceptos Amenaza: - Posibilidad de ocurrencia de algún evento que afecte el buen funcionamiento de un sistema. Vulnerabilidad: - Característica del sistema o del medio ambiente que facilita que la amenaza tenga lugar. Ataque:- Evento, exitoso o no, que atenta contra el buen funcionamiento de un sistema, sin importar si es intencional o accidental. Riesgo:- Facilidad con que un ataque se implementa (Vulnerabilidad x Amenaza). 4 2

3 Conceptos Ataque Backdoor Bug SIA (Sistema de Información Automatizada) DoS (Denial of Service) Hacker Cracker Intruso Firewall Modo promiscuo Rootkit Sniffer Caballo de troya Vulnerabilidad Detección de intrusos Buffer overflow Incidente 5 Amenazas del sistema Las amenazas afectan principalmente al Hardware, al Software y a los Datos. Estas se deben a fenómenos de: Interrupción Interceptación Modificación Generación Flujo Normal Interrupción Interceptación Modificación Generación 6 3

4 Sobre los ataques Mayor Manual Tools DDoS/ DScan Menor self replicating code back doors exploting known vulnerabilities & bad configs sweepers password cracking Password guessing & social engineering sniffers disabling audits stealth diagnostics hijacking sessions packet spoofing GUI denial of service Automated Attack Tools 7 Evolución del cómputo Al inicio el cómputo era exclusivo de los gobiernos, las universidades con mayor presupuesto y las grandes corporaciones. El avance tecnológico permite incorpar el cómputo en los procesos administrativos de las empresas. El abaratamiento facilita el acceso de las computadoras en el ambiente casero. 8 4

5 Cómputo - seguridad La evolución de la seguridad está estrechamente ligada a la evolución del cómputo Mainframes ->Downsizing -> PC s/lan s -> Internet Inicia a principios de los 70 s, por influencia de sistemas como MULTICS. Casos como el de Clifford Stoll (1986), el gusano de Internet (1988) y Mitnick/Shimomura (1994) dejan huella en la historia del Cómputo y la Seguridad. 9 Definición Seguridad - (sustantivo femenino). Certeza, firmeza, confianza. (locución adverbial). Sin riesgo. Seguridad - (sust.) Dícese de las cosas ciertas, firmes y/o libres de peligro o riesgo. Estado de las cosas bajo protección. 10 5

6 Definición tradicional de seguridad CONFIDENCIALIDAD: Es la característica que asegura que las personas no tienen acceso a los datos a no ser que estén autorizadas para conocerlos. DISPONIBILIDAD: Es la característica que asegura que los recursos del sistema y la información estarán disponibles a los usuarios autorizados siempre que éstos los necesiten. INTEGRIDAD: Es la característica que garantiza que el sistema realiza correctamente lo que debe realizar y sólo lo que debe realizar. 11 Definiciones de Seguridad Un sistema es seguro si se comporta como usted espera que lo haga. Dr. Eugene Spafford Director del CERIAS (Center for Education and Research on Information Assurance and Security) Libro: Practical UNIX Security 12 6

7 Otra definición Qué es la seguridad en cómputo? Intenta salvaguardar las propiedades básicas de la información: integridad, confidencialidad y disponibilidad Se basa en mecanismos que se pueden clasificar en: autenticación, autorización y auditoría 13 Seguridad vs. Obscuridad S i guardo en una caja fuerte una carta, escondo la caja en algún lugar de Nueva York, y luego les pido que lean la carta, eso no es seguridad: es obscuridad. Si por otra parte, guardo en una caja fuerte una carta, les doy las especificaciones de la caja, y cientos de cajas fuertes con sus combinaciones para que ustedes y analistas expertos revisen el mecanismo de seguridad; y aún así no pueden abrir la caja fuerte y leer la carta, eso es seguridad. - Bruce S c h n e i e r Padre de la criptografía moderna Libro : Applied Cryptography 14 7

8 Mas sobre seguridad No hay ningún sistema 100% seguro! El único sistema totalmente seguro es aquel que está apagado, desconectado, guardado en una caja fuerte de titanio, encerrado en un bunker de concreto, rodeado por gas venenoso y cuidado por guardias muy bien armados y pagados. Aún así, no apostaría mi vida por él. - Eugene Spafford 15 Qué busca la seguridad? Proteger derechos El derecho a la privacía El derecho a estar informados Proteger activos Información (Bases de datos) Equipos (Sistemas de Control, Redes,...) Reforzar las reglas Leyes, políticas y procedimientos 16 8

9 Requerimientos de seguridad REQUISITOS DE SEGURIDAD AUTENTICACIÓN CONTROL ACCESO CONFIDENCIALIDAD INTEGRIDAD NO REPUDIO DISPONIBILIDAD PRIVACIDAD A R Q U I T E C T U R A T E C N O L Ó G I C A SEGURIDAD 17 El Proceso de Seguridad Prevenir Corregir / Responder Detectar Valorar 18 9

10 Niveles de Seguridad Nivel de Seguridad Descripción General 0 Caos No existen procesos organizados o estándar 1 Políticas y Tecnología Ad- Hoc 2 Estructura y Administraci ón de Riesgo Inicial 3 Monitoreo, métricas y auditoría de Redes Inicial 4 Programa de Seguridad Adaptiva de Redes (ANS) 5 Tecnologías Avanzadas Procesos Políticas Tecnologías M étricas No existen procesos organizados o estándar Responsabili dades de Seguridad e identificación formal de amenazas y vulnerabilida des Procesos de coontrol de configuracion es de seguridad y entrenamient o de personal Análisis de mejoras contínuas de los procesos Ningún proceso adicional Pocas o inexistentes Algunas políticas generales (Mejores Prácticas) Políticas y protecciones basadas en la identificación de amenazas y vulnerabilidades Políticas iniciales de monitoreo de amenazas y vulnerabilidades Políticas de ANS y prevención integradas. Entrenamiento obligatorio Políticas y procedimientos de tecnología de avanzada Requerimientos tecnológicos inexistentes Uso general de protecciones de seguridad paquetizadas Uso de tecnología de estudio de amenazas y vulnerabilidades Uso de tecnología de estudio de amenazas y vulnerabilidades Entorno ANS y encripción de bajo nivel integrados Soluciones de encripción y autenticación avanzadas Ninguna Ninguna Ninguna Métricas de amenazas y vulnerabilid ades y situación inicial de riesgo Situación de seguridad completa, y métricas de respuesta y concientizac ión Ninguna métrica adicional 19 Causas de inseguridad La deficiencia en los equipos respectivos de soporte La inteligencia social El espionaje industrial La deficiente administración de una red Los virus Fallos en la seguridad de programas Los vándalos informáticos 20 10

11 Huecos de seguridad Física En el software No confiar el los scripts y/o programas de instalación Por la falta de experiencia Filosofía de seguridad y forma de mantenerla 21 Intrusiones y ataques Instrusiones al sistema Física Por sistema Remota Técnicas utilizadas Barrido de puertos Escaneo del medio Bugs Backdoors 22 11

12 Intrusiones y ataques Esquema del comportamiento Entrar al sistema Explotar un fallo para obtener privilegios Controlar el sistema Formas de controlar Copia del archivo de password para desencriptarlos Instalación de sniffers y/o cabalos de troya 23 Formas de protección Firewalls VPN s Conexiones seguras (SSL) Wrappers Software de analisis de vulnerabilidad Fingerprints para archivos 24 12

13 Formas de protección Normas de asignación de cuentas tunning 25 Por qué nos preocupa la seguridad? A partir de los años 80 el uso del ordenador personal comienza a ser común. Asoma ya la preocupación por la integridad de los datos. En la década de los años 90 proliferan los ataques a sistemas informáticos, aparecen los virus y se toma conciencia del peligro que nos acecha como usuarios de PCs y equipos conectados a Internet. Las amenazas se generalizan a finales de los 90. Se toma en serio la seguridad: década de los 00s 26 13

14 Qué hay de nuevo en los 00s? Principalmente por el uso de Internet, el tema de la protección de la información se transforma en una necesidad y con ello se populariza la terminología Políticas de seguridad : Normas, recomendaciones, estándares. Protección de la información El usuario final desea saber, por ejemplo, como evitar los virus en un . Productos futuros: Seguridad añadida 27 Interés en el delito informático El delito informático parece ser un buen negocio : Objeto Pequeño: la información está almacenada en contenedores pequeños : no es necesario un camión para robar el banco, joyas, dinero,... Contacto Físico: no existe contacto físico en la mayoría de los casos. Se asegura el anonimato y la integridad física del delincuente. Alto Valor: el objeto codiciado tiene un alto valor. El contenido (los datos) vale mucho más que el soporte que los almacena (disquete, disco compacto,...). Unica solución: el uso de Políticas de seguridad

15 Seguridad física v/s seguridad lógica El estudio de la seguridad informática puede plantearse desde dos enfoques: Seguridad Física: protección del sistema ante las amenazas físicas, planes de contingencia, control de acceso físico, políticas de backups,... Seguridad Lógica: protección de la información en su propio medio mediante el uso de herramientas de seguridad er principio de la seguridad informática El intruso al sistema utilizará cualquier artilugio que haga más fácil su acceso y posterior ataque. Existirá una diversidad de frentes desde los que puede producirse un ataque. Esto dificulta el análisis de riesgos porque el delincuente aplica la filosofía del punto más débil de este principio. PREGUNTA: Cuáles son los puntos débiles de un sistema informático? 30 15

16 Debilidades del sistema informático (I) HARDWARE - SOFTWARE - DATOS MEMORIA - USUARIOS Los tres primeros puntos conforman el llamado Triángulo de Debilidades del Sistema Hardware: Errores intermitentes, conexión suelta, desconexión de tarjetas, etc. Software: Sustracción de programas, modificación, ejecución errónea, defectos en llamadas al sistema, etc. Datos: Alteración de contenidos, introducción de datos falsos, manipulación fraudulenta de datos, etc. 31 Debilidades del sistema informático (II) Memoria: Introducción de virus, mal uso de la gestión de memoria, bloqueo del sistema, etc. Usuarios: Suplantación de identidad, acceso no autorizado, visualización de datos confidenciales, etc. Es muy difícil diseñar un plan que contemple de forma eficiente todos estos aspectos. Debido al Principio de Acceso más Fácil, no se deberá descuidar ninguno de los cinco elementos susceptibles de ataque del sistema informático

17 Triángulo de debilidades Interrupción Interceptación Modificación Generación (pérdida) (acceso) (cambio) (alteración) Los datos serán la parte más vulnerable del sistema. DATOS Ejemplos de ataques HD Interrupción (denegar servicio) Interceptación (robo) SW Modificación (falsificación) Interrupción (borrado) Interceptación (copia) 33 Ataques característicos Hardware: Agua, fuego, electricidad, polvo, cigarrillos, comida... Software: Borrados accidentales, intencionados, fallos de líneas de programa, bombas lógicas, robo, copias ilegales. Datos: Los mismos puntos débiles que el software. Dos problemas: no tienen valor intrínseco pero sí su interpretación y algunos son de carácter público

18 2º principio de la seguridad informática Los datos deben protegerse sólo hasta que pierdan su valor. Se habla, por tanto, de la caducidad del sistema de protección: tiempo en el que debe mantenerse la confidencialidad o secreto del dato. Esto nos llevará a la fortaleza del sistema de cifra. PREGUNTA: Cuánto tiempo deberá protegerse un dato? 35 3 er principio de la seguridad informática Las medidas de control se implementan para ser utilizadas de forma efectiva. Deben ser eficientes, fáciles de usar y apropiadas al medio. Que funcionen en el momento oportuno. Que lo hagan optimizando los recursos del sistema. Que pasen desapercibidas para el usuario. Ningún sistema de control resulta efectivo hasta que es utilizado al surgir la necesidad de aplicarlo