Protegiendo las comunicaciones Seguridad de la información ante la generalización de los dispositivos móviles

Transcripción

1 Protegiendo las comunicaciones Seguridad de la información ante la generalización de los dispositivos móviles Marisol Oliva Consultora de Seguridad Telefónica España. Grandes Clientes

2 Índice 1. Introducción: Contexto actual y futuro 2. Algunos problemas y sus soluciones a. MDM/MDP b. Smishing c. Trazabilidad de comunicaciones 3. Conclusiones 2

3 1 Introducción La complejidad del entorno tecnológico MÓVILES COM. FIJAS PUESTO DE TRABAJO SISTEMAS y APLICACIONES SEGURIDAD HOST 3

4 1 Introducción: Contexto actual y futuro La complejidad del entorno tecnológico COLABORACIÓN / VÍDEO / MENSAJERÍA COM. FIJAS MÓVILES IPHONE SYMBIAN PUESTO DE TRABAJO BLACKBERRY TABLETAS y SMARTPHONES ANDROID WINDOWS PHONE IPAD OFFICE 365 VIRTUALIZACIÓN MICROSOFT LYNC CORREO FIJO CORPORATE IP CORREO MÓVIL VIRTUAL SERVER VIRTUAL DESKTOP NUEVOS PERFILES VIPs SISTEMAS y APLICACIONES SEGURIDAD APLICACIONES MÓVILES FUERZA CAMPO DIRECTORES OFICINA COLABORADORES CLOUD HOST CANAL MÓVIL CUADRO DE MANDO FICHA DE CLIENTE APLICACIONES INFRAESTRUCTURAS PLATAFORMAS 4

5 1 Introducción Muestra de malware en dispositivos móviles Fuente: McAfee

6 1 Introducción Fuente: Morgan Stanley Internet Trends

7 1 Introducción: La nueva problemática El problema anterior: Correo en el móvil El nuevo problema: Movilidad Corporativa 7

8 Cuestiones a tener en cuenta Puedo extender mis aplicaciones de backend? Puedo descubrir los dispositivos móviles que se conectan a mi red? Puedo configurar y gestionar de forma remota los dispositivos? Puedo separar los datos personales de los corporativos? Puedo configurar y forzar políticas de seguridad de forma remota? Puedo acceder al mail corporativo? Fuente Sybase 8

9 Qué necesito HOY Garantizar la identificación con el móvil de forma segura OTP MOVIL Gestionar y filtrar el acceso y las conexiones Internet y datos de forma segura Internet Seguro NAVEGACIÓN / AUTENTICACIÓN / ALMACENAMIENTO PROCESAMIENTO / GEOLOCALIZACIÓN Administrar y gestionar Completamente las aplicaciones y descargas Gestión de Dispositivos Segura Cifrar el contenido, verificar la gestión de la info y asegurar su destrucción 9

10 pero controlando todos los terminales Móviles Smartphones Tablets Thinclients Netbooks Portátiles PC fijos Impresoras 10

11 Las herramientas MDM (Mobile Data Management) Gestión de aplicaciones Gestión de dispositivos Gestión de políticas y configuraciones MDP (Mobile Data Protection) Protección contra malware Control de acceso securizado Navegación segura 11

12 El SMISHING El smishing es una variante del phishing a través del uso de los mensajes cortos o SMS. Mensajes de texto cuya actividad fraudulenta es la de obtener mediante engaños a los usuarios de telefonía móvil, información privada valiosa, o persuadir a los usuarios para que se dirijan a sitios web falsos, que contienen spyware y otros programas maliciosos que se descargarán sin permiso del usuario. En esta situación se producirá el envío masivo de SMS desde un origen común hacia dispositivos móviles (el caso más común). El usuario recibirá un SMS en su dispositivo móvil con distintos objetivos fraudulentos, como por ejemplo: Solicitando que se realice una llamada a un número de teléfono malicioso para confirmar sus credenciales bancarias a través de IVR. Solicitando que se instale una actualización de seguridad maliciosa con el objetivo de troyanizar el dispositivo móvil. Los datos de credenciales bancarias interceptados se enviarán por SMS a un número de teléfono malicioso. El malware a su vez se propaga a múltiples móviles de los contactos del usuario y estos a su vez envían smishing

13 Analogía SMS/ Cuál es la analogía del correo electrónico tradicional con el SMS? Para el envío de un correo electrónico entran en juego un servidor SMTP (p.e.j. correodeempresas.telefonica.es ) y una dirección de correo remitente (p.e.j. somebody@telefonica.es). Para el envío de SMS es necesario un Centro de Mensajes o SMSC (p.e.j ) y un remitente (p.e.j ó BancoNet). Cómo se identifican las situaciones fraudulentas? El atacante puede falsear la dirección de correo del remitente, pero nunca es posible falsear la dupla SMTP/dirección de correo remitente. Lo mismo ocurre cuando hablamos de SMS, es posible falsear el remitente, pero nunca la dupla SMSC /remitente. 13

14 Monitorización SMS Monitorización, detección y mitigación del fraude en la red móvil, servicio demandado actualmente por las Empresas que ofrecen a sus clientes aplicaciones/funcionalidades a través de dispositivos móviles. Los operadores son los únicos que pueden actuar en la monitorización en la red móvil (sms, mms) para mitigar los efectos del fraude. TRAFFICA RTT SONDAS SIGTRAN Monitorización en la red 3G/GSM de Movistar y Operadores Móviles Virtuales dependientes. Node B RNC BTS RANAP MSS BSC BSSMA P MAP MSS HLR MAP SMSC MEGAC O MGW MGW 14 14

15 Valores únicos de las redes móviles IMEI Identifica dispositivos IMSI (SIM) y MSISDN (# tel) Identifica abonados HLR (Localización) Los terminales están localizados 15 15

16 El problema de la trazabilidad en móviles En el ámbito de los servicios de acceso a contenidos y navegación a través de dispositivos móviles, los servicios han estado condicionados por la existencia de un proxy de navegación que centralizaba todas las peticiones. Esto implicaba que no se pudiera mantener la trazabilidad de las comunicaciones, y por tanto, asegurar la legitimidad de una conexión móvil. 3 casos de uso: Terminales WAP Terminales SmartPhone ipad y Portátiles con modem USB GGSN Terminales CON PROXY RED UNICA Integra Proxy Pull OPT MeS SERVICIOS TERCEROS SERVICIOS SRVICIOS OTT 16 16

17 Solución a la trazabilidad en móviles ADSL/WiFi HTTP Header Terminales WAP PROXY TME TM_user_IP HTTP Header TM_user_IP Internet Portal móvil de cliente Terminales SmartPhone GSM GPRS UMTS HSDPA Router TME Internet API SOAP IP Usuario UserID Laptop Modem USB RADIUS Direccionamimento PRIVADO Direccionamimento PÚBLICO FrameWork TME 17 17

18 Conclusiones Personas Tecnología Procesos 18

19 Fin de la presentación Muchas gracias 19