Seguridad en Sistemas y Redes de Computadoras. Módulo 3: Seguridad de las operaciones. Carlos A. Rojas Kramer UCC

Transcripción

1 Seguridad en Sistemas y Redes de Computadoras Módulo 3: Seguridad de las operaciones Carlos A. Rojas Kramer UCC

2 Agenda Manejo administrativo. Conceptos de operación de computadoras. Mecanismos para protección de los recursos. Tipos de ataque. Violaciones, brechas y reportes. Controles operacionales. 2

3 Definición Seguridad de las operaciones se refiere a todo lo que se hace para correr un sistema de cómputo. Incluye administración del sistema y tareas externas al sistema que soportan su operación (ej. mantener la documentación). No incluye planeación o diseño del sistema. 3

4 Soporte y operaciones son actividades rutinarias que permiten la correcta operación de los sistemas. Éstas incluyen: solución de problemas de hardware y software, carga y actualización de programas de software y asistencia a los usuarios para resolver problemas. 4

5 Manejo administrativo 5

6 Panorama La meta principal del soporte y operaciones es la correcta y continua operación de los sistemas de cómputo. Entre las metas de la seguridad computacional están la confidencialidad, integridad y disponibilidad. Estas metas están estrechamente vinculadas. 6

7 Separación de tareas (separation of duties) El objetivo de la separación de tareas es asegurar que ningún individuo (actuando solo) pueda comprometer una aplicación, una política, un procedimiento, una actividad o un control. La idea es minimizar las funciones incompatibles que no llevan a una buena estructura de control. 7

8 Roles operativos comunes Es deseable realizar una división del trabajo operativo en diferentes roles: Operador de computadoras. Analista de operaciones. Analista de control de jobs. Programador de producción. Analista de control de producción. Tape librarian. Control de la calidad. 8

9 Tareas del operador Las principales responsabilidades del operador de computadora son: Operaciones de consola. Respaldos del sistema. Trabajos de mantenimiento rutinario. En sistemas descentralizados estas tareas son muchas veces dejadas al usuario!! 9

10 Conceptos de operación de computadoras 10

11 Actividades operativas El personal responsable de las operaciones está relacionado con actividades importantes para la seguridad. Entre ellas: Corrida de procesos. Administración de anti-virus. Respaldos de información crítica. Cambios de computadoras / ubicación. Administración del menor privilegio. 11

12 Actividades operativas (cont) Operaciones privilegiadas (comandos y parámetros del sistema). Documentación. Conservación de información. Manejo de información y almacenamiento sensitivos. 12

13 Mecanismos para protección de los recursos 13

14 Mecanismos Para proteger los recursos se recomienda la aplicación de varios mecanismos esenciales: Protección de hw y sw de comunicaciones. Due care / due diligence. Requerimientos legales. Administración de medios de almacenamiento. Privacidad y protección. Equipo de procesamiento. 14

15 Hw y sw de comunicaciones Las labores de mantenimiento requieren acceso físico y/o lógico al sistema. Si alguien que normalmente no tiene acceso al sistema realiza el mantenimiento, se introduce una vulnerabilidad a la seguridad. Las cuentas de mantenimiento y diagnóstico deben asegurarse debidamente. Evitar passwords standard o por omisión. 15

16 Due care / due dilligence Due care: por ejemplo, capacitar a los empleados en seguridad es una buena práctica. Due dilligence: por ejemplo, requerir verificación de que los empleados han entendido los requerimientos de seguridad. Ambas acciones son necesarias y complementarias a la emisión de política. 16

17 Requerimientos legales Aseguran la continuidad de las operaciones. Ejemplos: Usar programas de software metering para verificar que los programas en uso están debidamente licenciados. Retención de los registros del negocio exigidos por la autoridad fiscal. 17

18 Medios de almacenamiento Incluyen medidas para proporcional protección física y ambiental, así como controles para cintas, diskettes, reportes impresos y otros medios de almacenamiento. La amplitud de los controles depende de muchos factores, como: tipo de datos, cantidad de media, naturaleza del ambiente de uso. 18

19 Administración de la media Aspectos y controles que deben incluirse: Identificación (marking). Bitácoras y registros (logging). Verificación de integridad. Protección ambiental. Transmisión (transporte). Desecho. 19

20 Privacidad y protección Algunos aspectos a cuidar: Reportes impresos. Papel carbón. Mensajería y correo. Información desplegada en pantallas. Diskettes, etc. Intercepción de datos. 20

21 Equipo de procesamiento Aspectos a cuidar: Operadores y help desk: capacidad para detectar e identificar problemas de seguridad. Acceso a equipos críticos debidamente restringido. Protección física y ambiental. Robo de equipo. Robo de partes. 21

22 Tipos de ataque 22

23 Ataque a las operaciones Los centros de cómputo y operaciones están sujetos a tipos específicos de ataque: Cuentas de mantenimiento, con passwords por omisión o fáciles de adivinar. Puertos de diagnóstico, cuya finalidad es permitir el soporte remoto por parte del fabricante o proveedor del equipo. 23

24 Ataque a las operaciones (cont) Ataques por teclado, consisten en hurgar datos mediante recursos disponibles a usuarios normales, que a veces incluyen herramientas avanzadas de diagnóstico de software. Ataques de laboratorio, es hurgar datos con la ayuda de equipo o herramientas elaboradas. Piggybacking, es cuando una persona no autorizada ingresa a un centro de cómputo atrás de una persona autorizada. 24

25 Violaciones, brechas y reportes 25

26 Necesidad de las bitácoras El staff de operaciones puede violar las reglas de seguridad intencional o accidentalmente, dando lugar a brechas pequeñas o significativamente grandes. Lo apropiado es reportar esas violaciones o brechas conforme ocurren, preferiblemente mediante bitácoras para análisis y rastreo, que sirven como evidencia de soporte. 26

27 Prácticas recomendadas Bitácoras de terminación anormal de procesos operativos. Bitácoras de corridas y re-ejecución de procesos. Bitácoras de operaciones de consola. Revisión de prácticas de los operadores, mediante entrevistas y registro de excepciones. 27

28 Controles sobre los operadores Separación de tareas. Vacaciones obligatorias (una semana mín). Bitácoras de actividades. Acceso limitado a la documentación de los sistemas. TQM. 28

29 Bitácoras Se recomienda usar dos tipos de bitácoras: Bitácoras de transacciones Bitácoras de registro de errores. El contenido de las bitácoras puede ser de utilidad para detectar fraudes y para trabajo de investigación criminal. 29

30 Bitácoras de transacciones Además de servir como controles compensatorios, las bitácoras de transacciones son de gran valor para la recuperación de desastres como pérdida de datos o fallas de hardware/software. Se recomienda la utilización de bitácoras separadas para diferentes tipos de evento. 30

31 Tipos de bitácora de transacc. 1) De transacciones de aplicaciones. 2) De base de datos. 3) De sistema operativo (consola). 4) De telecomunicaciones. 5) De seguridad de control de acceso. 6) De contabilización de jobs. 31

32 7) De administración de problemas (help desk) 8) De administración de cambios. 9) De mantenimiento preventivo al hardware. 10) De administración del sistema. 11) De corrida de jobs. 32

33 Bitácoras de errores Pueden ser manuales o automáticas. Puede indicarse el tipo de error, quién lo corrigió y cuándo. Suelen utilizarse reportes de sumario de errores. 33

34 Controles operacionales 34

35 Controles operacionales Los controles operacionales son los procedimientos y mecanismos aplicados en el día a día para proteger los sistemas de aplicación en operación (o los planeados cuando se conviertan en operacionales). 35

36 Sumario de controles op. Protección física y ambiental. Controles de producción y E/S. Planeación de emergencias, respaldos y contingencias. Auditoría y detección de variaciones. Controles de mantenimiento del sw de aplicación. Documentación. Manejo de incidentes. 36