UNIVERSIDAD CATÓLICA ANDRÉS BELLO. FACULTAD DE INGENIERÍA. ESCUELA DE INFORMATICA. METODOLOGIA DE LA INVESTIGACION.

Transcripción

1 UNIVERSIDAD CATÓLICA ANDRÉS BELLO. FACULTAD DE INGENIERÍA. ESCUELA DE INFORMATICA. METODOLOGIA DE LA INVESTIGACION. APLICACIÓN DE LAS NUEVAS VERSIONES DE SNMP PARA LA GESTIÓN DE REDES ELABORADO POR: LEONARDO HERNÁNDEZ CI: / EXP: CARACAS, 02 DE JULIO DE 2008

2 PLANTEAMIENTO DEL PROBLEMA Debido a los altos niveles de inseguridad que rondan en la Internet actualmente el certificado digital de hace una herramienta necesaria ya sea para navegar, comprar y enviar/recibir correos, entre muchas otras aplicaciones. El protocolo Simple de Administración de Red o SNMP se emplea para la administración de red en Internet y prácticamente todos los sistemas operativos enrutadores, switches, módems cable o ADSL se ofrecen con el este servicio. El problema de seguridad detectado es tal, que cientos de dispositivos, sistemas y fabricantes se ven afectados. Entre estos últimos se encuentran Cisco, 3Com, Alcatel, Ericsson, HP, IBM, Intel y Microsoft entre otras. Los peligros de los fallos descubiertos en las últimas versiones, como "el acceso a privilegios no autorizados, ataques de denegación de servicio o provocar comportamientos inestables" ha generado inconsistencias en aplicaciones y servicios de RED que se benefician de este protocolo de seguridad. Uno de los problemas detectados en la versión 3 de dicho protocolo es la carencia de certificados digitales, lo que atenta contra la garantía que provee un tercero (o autoridad de certificación) con la vinculación entre la identidad del usuario que utiliza el protocolo y su clave pública, acarreando problemas tales como el de robo de identidad, inestabilidad del sistema y atacando a la integridad del mismo.

3 JUSTIFICACION La urgencia al ofrecer mejoras en relación a la seguridad computacional es cada vez más grande debido al creciente número de redes y congestión en el tráfico de paquetes transmitidos, el protocolo SNMP no es la excepción. Es necesario incrementar el rendimiento en cuanto al intercambio de información de administración entre dispositivos de red, solventar fallas en cuanto a inestabilidad y promover un mayor nivel de seguridad en el paso de mensajes por la RED, en esta última ofreciendo un aporte a la última versión del protocolo SNMP con la inclusión de certificados digitales ofreciendo una distinción en cuanto a la calidad de recepción de paquetes de red, e incrementando la rapidez de envío de los mismos por la red al descartar aquellos que no posean esta marca de seguridad. Es un aporte al software libre, ya que el protocolo SNMP está disponible para LINUX desarrollado bajo el lenguaje de programación JAVA, y cuya última versión carece de la inclusión de firmas digitales por no ser indispensable para el funcionamiento del mismo, pero no considerando la eficiencia del funcionamiento del mismo bajo ambientes distribuidos donde el envío y recepción de paquetes es muy grande, creando la urgencia de una especie de colador para aquellos paquetes basura o innecesarios que viajan y se transmiten por la red.

4 OBJETIVO GENERAL Implantación y desarrollo de certificados y firmas en la última versión del protocolo Simple de Administración de Red o SNMP. OBJETIVOS ESPECÍFICOS Examinar la SITUACION y las CONDICIONES del ambiente de programación del protocolo SNMP, así como el ciclo de vida del mismo desde la perspectiva y el enfoque de la seguridad computacional y de sus impactos sobre el paso de mensajes en la gestión de Redes Detallar la dinámica de los problemas de seguridad relacionados con la versión 3 del protocolo SNMP, desde el punto de vista del encarecimiento de los medios para asegurar adecuadamente la incorporación de los certificados digitales. Obtener información y ahondar acerca de la desventaja del uso de cerificados digitales en la capa de aplicación para la gestión de redes y el impacto que causa para monitorizar y controlar el estatus de dispositivos conectados a Internet. Advertir que efecto tendría la no inclusión de estos certificados digitales sobre la seguridad del paso de mensajes por la red en las aplicaciones. Determinar en qué condiciones opera la nueva versión del protocolo de Seguridad SNMP. Estimar cuál es la probabilidad de caer en un entorno inseguro utilizando la nueva versión de SMNP Interpretar cómo se relaciona con otros protocolos de seguridad en la actualidad

5 METODOLOGÍA A SER UTILIZADA Al estar el trabajo de investigación envuelto en parte a un proceso de desarrollo de Software, es aconsejable el uso de una metodología de Desarrollo de Software que cumpla con las necesidades que representa dicho proceso. Para ello he definido RUP como metodología a implementar para el desarrollo e implantación de Certificados Digitales en la versión 3 del protocolo SNMP. El Rational Unified Process (RUP) es una metodología formal, a veces también llamada proceso, para desarrollo de software, documentada en hipertexto para ser consultada a través de un navegador. El RUP describe a gran detalle todas las actividades, roles, responsabilidades, productos de trabajo y herramientas para definir quién hace qué y en qué momento en un proyecto de desarrollo de software. El proceso ha sido elaborado en base a 6 ideales llamados principios clave que, a través del tiempo, han mostrado ser un conjunto de mejores prácticas para la industria del software. El RUP, entonces, representa un ideal que sirve de referencia para todo equipo de desarrollo, independientemente de su tamaño o de la tecnología que utilice para la construcción del software, y que debe adaptarse a cada equipo de desarrollo para que pueda ser efectivo. Este proceso se conoce como implantación y consiste en tomar y adaptar del RUP general todo lo que es relevante para el proceso propio. Habrán de adaptarse los templetes, nombres de productos de trabajo y roles, ajustar responsabilidades para que correspondan a la estructura organizacional local, etc. Una vez concluido este proceso, la organización habrá desarrollado su propio proceso de desarrollo basado en RUP, que es el principal objetivo que debe cumplir toda organización que busque utilizar la metodología. El RUP, como software, se distribuye acompañado de una herramienta para documentar procesos. El Rational Method Composer, como se llama, es un

6 editor de procesos basado en Eclipse que, aunque genérico, contiene todos los componentes de RUP dispuestos como una librería que permite utilizar sus partes para confeccionar un proceso propio y publicarlo en hipertexto para su consulta general.

7 MARCO DE REFERENCIA El SNMP es un protocolo ampliamente conocido y muy utilizado en ambientes donde la red es muy grande (30 hubs, 20 Routers, 20 Servidores, etc.) y además donde la estabilidad física de la Red es vital (bancos, edificios corporativos, grandes empresas). El SNMP consta de 3 elementos: los "Agents", el "Manager" y los MIB (Management Information Base). Los Agents son programas que son instalados en Routers, Hubs y Estaciones de Trabajo, que permiten una interfaz entre el protocolo SNMP y la configuración local del equipo. El "Manager" es el programa central que consulta (o configura) las variables de cada nodo, interactuando con el "Agent" respectivo. El MIB es el "árbol" de especificaciones de la red, donde la raíz del árbol contiene las variables más globales de lo que sucede en la red y las "hojas" del árbol corresponden a la información detallada de cada nodo en la red (los Agents). El MIB es conceptual y es mostrado por el Manager y este debe reunir la información de los Agents. Lo anterior se puede visualizar en el siguiente esquema: (Fig. numero 1)

8 Figura Nº 1 Diagrama de funcionamiento del protocolo SNMP Existen cinco tipos de paquetes SNMP llamados PDU (Protocol Data Unit): dos para leer datos de los nodos, dos para configurar datos de los nodos y uno para los TRAP (umbrales prefijados que activan una señal de alarma), que usa el Agent para enviar eventos (programados por el administrador) como la "inicialización de un nodo" o la falla de una estación, etc. Así, si el administrador desea saber el valor de una variable de un Router, usa SNMP para enviar un PDU a ese nodo. El agente (Agent) del Router busca en su MIB el valor actual de la variable y envía el valor en otro PDU al Manager Lo que se puede hacer en cada nodo depende del agente respectivo, vale decir, se puede programar enteramente un Router vía SNMP, consultar sus estadísticas de tráfico, se puede administrar un nodo UNIX (crear cuentas, verificar espacio en disco, etc.) vía SNMP sólo "leyendo" y "escribiendo" variables. Las ventajas del SNMP son su fácil uso y el hecho de que permite manejar los nodos físicos de la red en forma centralizada (remota). Los Managers que se destacan son en su mayoría versiones comerciales, como HP Open View, SUNNET Manager, CISCO Works, IBM NetView. También existen otros de dominio público, como XSNMP, AARNet Traffic Monitoring para UNIX; NetGuardian y SNMPMan para Windows. En el Anexo Nº 3 se incluye una breve descripción de HP Openview y NetGuardian. A partir de la clasificación del punto 3.1, podemos clasificar a los monitores SNMP según: Objetivo: Principalmente Monitor de Estados (o variables), ya que no están orientados a ser monitores de tráfico. Reporte: Histórico en su mayoría. En el caso de las alarmas o TRAP son de "Tiempo Real".

9 Intrusividad: Se consideran Intrusivos, ya que utilizan bastante la red para obtener las variables. Se ha demostrado que la eficiencia (throughput) de la red baja cuando se utiliza SNMP. Operación: Claramente Remota. Protocolos: El SNMP es principalmente una aplicación TCP/IP, por lo que la gran mayoría de los Manager y Agents de la red son TCP/IP. En general, cubre todos los tipos de redes Microsoft, TCP/IP y Novell. En el caso de las versiones Ethernet, tanto el Manager como el Agent son construidos de acuerdo al dispositivo a manejar.

10 LIMITACIONES El presente trabajo logra, con limitaciones de tiempo y recursos, implantar certificados digitales y firmas digitales a la versión 3 del protocolo SNMP en base a un código fuente suministrado por cuya base sustenta el desarrollo de nuestra aplicación y nuestro aporte en relación a seguridad computacional se refiere. Determinar el índice de vulnerabilidad del código es indispensable para el éxito de nuestro aporte, dando como inquietud la posibilidad de implementar la metodología utilizada de estudio y desarrollo RUP, ya que dificultaría los tiempos de entrega y efectividad de los prototipos una ves desarrollados. Es importante anotar que a medida que crece el auge e implantación de IPV6 SNMP se hace cada vez más difícil de implementar debido a la incompatibilidad de la carencia del campo de verificación de bit de seguridad del datagrama IPV6, dejando dicha tarea como trabajo agregado a los Routers o Hubs en sistemas distribuidos. Haciéndolo no muy eficiente y ocupando mucho ancho de banda. ALCANCE Con la implantación de certificados digitales nuestro propósito es disminuir el trabajo de las estaciones de trabajo en cuanto a minimizar los costes o riesgos de seguridad y ofrecer flexibilidad en cuanto a todo lo que se puede conectar a una red puede convertirse en un agente SNMP, garantizando la flexibilidad, extensibilidad, siguiendo las misma pauta del protocolo SNMP de ofrecer la única manera conocida de gestionar una red grande heterogénea. Por lo tanto, los resultados deseados no son concluyentes y no se debe asumir que los índices de vulnerabilidad calculados para cada iteración en el desarrollo garantizan por su valor numérico, el nivel utópico de seguridad en la red, más si de aliviar el tráfico de la misma.

11 ARQUITECTURA TECNICA DE LA SOLUCION HARDWARE DISPOSITIVOS COMPATIBLES WEB SERVER Red Interna BD 1 BD2 Esta configuración está basada en valores medios de experiencias pasadas de investigación para entornos que se consideran estandarte como una configuración interna INTRANET, el cual servirá de prueba para la experiencia. Cant. 1 1 Entorno de desarrollo y pruebas Configuración mín. Recomendada Uso Servidor Cognos (Windows) - Servidor Web 8 BI 2 CPU + 2Gb RAM x CPU - Application Server (Tomacat 4.1) (4Gb RAM) - Servidor Web (Internet Information Server IIS 6.0) - Servidor de Cubos (PowerCubes) - Servidor de Herramientas de modelado para creación de cubos y modelos relacionales (Framework Manager y Transformer OLAP Servidor de Base de Datos (Windows) 2 CPU + 2Gb RAM x CPU (4Gb RAM) Modeling) - Microsoft SQL Server Microsoft SQL Intergartion Services - Clientes de Conexión a los sistemas de BD origen

12 PLAN DE PROYECTO En base a una primera toma de contacto, se puede establecer el siguiente esquema de plan de proyecto, con la estimación en tiempos de cada una de las principales tareas a realizar. Este plan no pretende ser más que una aproximación de las principales tareas a realizar, como base para una estimación económica. Si bien se plantea un orden natural de ejecución, ciertas actividades se pueden realizar en paralelo o deben ser realizadas por más de un componente.

13 BIBLIOGRAFIA SIDNIE M. FEIT - SNMP: A Guide to Network Management (Hardcover) -Essential SNMP - Segunda Edicion Douglas R Mauro, Kevin J Schmidt How to Manage Your Network Using SNMP: The Networking Management Practicum - Marshall T. Rose, Keith McCloghrie - Prentice Hall