SEGURIDAD DE LAS TIC BAJO PROTOCOLOS TCP/IP - ANÁLISIS PARTICULAR EN ECUADOR MEDIANTE ESCANEO DE PUERTOS

Transcripción

1 SEGURIDAD DE LAS TIC BAJO PROTOCOLOS TCP/IP - ANÁLISIS PARTICULAR EN ECUADOR MEDIANTE ESCANEO DE PUERTOS Jorge I. Ortiz M. Corporación CENTRO NACIONAL DE CONTROL DE ENERGÍA -CENACE- Juan C. Vallecilla M. Corporación CENTRO NACIONAL DE CONTROL DE ENERGÍA -CENACE- RESUMEN En el presente artículo se describe lo relacionado a seguridad en redes de comunicación con protocolos TCP/IP, sus potenciales vulnerabilidades, tipos de ataques informáticos y nuevas tecnologías en cuanto a seguridad. Se presenta una estadística a nivel país sobre las vulnerabilidades encontradas en distintas redes de comunicación que trabajan bajo protocolos TCP/IP mediante escaneo de puertos. 1. PROTOCOLOS DE COMUNICACIÓN TCP/IP En la actualidad, la familia de protocolos de Internet, o más conocida como protocolos de comunicación TCP/IP, se han difundido masivamente en todo el mundo, convirtiéndose en la base de Internet, permitiendo la transmisión de información entre redes de computadoras. Efectivamente, TCP/IP es un conjunto de protocolos, siendo los más importantes el Protocolo de Control de Transmisión (TCP), y el Protocolo de Internet (IP), que fueron los primeros en definirse y los más utilizados. A la familia de protocolos de Internet, pertenecen alrededor de 100 protocolos, entre los cuales se mencionan: HTTP (Hyper Text Transfer Protocol) utilizado para acceder a páginas web, FTP (File Transfer Protocol) utilizado para transferencia de archivos, SMTP (Simple Mail Transfer Protocol) y POP (Post Office Protocol) utilizados para correo electrónico, TELNET para acceder a equipos remotos, etc. 1.1 Capas o Niveles de TCP/IP Con el modelo de capas o niveles se simplificó el intercambio de información entre equipos de cómputo, ya que cada capa tiene como entradas la información de su nivel inmediatamente inferior, y sus resultados o salidas son las entradas para su nivel inmediatamente superior Capa Física y Enlace (Ethernet) La capa física se refiere a los medios físicos de comunicación (cable, radio, fibra óptica), y a las actividades necesarias para tener un desempeño óptimo de dichos medios como: código de canales, modulación, potencias de señales, longitudes de onda, sincronización, temporización y distancias máximas. La capa física Ethernet utiliza direcciones de red de 48 bits, estas direcciones de red vienen impresas de fábrica en todas las placas de red Ethernet. Debido a que las direcciones Ethernet e IP son dos números distintos y que no guardan ninguna relación, para efectuar la comunicación a un host a través de su dirección IP, se necesita convertir ésta a la correspondiente dirección Ethernet. ARP (Address Resolution Protocol) es el protocolo encargado de realizar las conversiones de dirección correspondientes a cada host. Ningún paquete de datos puede salir de la red sin tener la dirección Ethernet y la dirección IP de la máquina de destino. La gestión de las direcciones Ethernet, se la realiza en la capa de red Capa de Red La capa de red se encarga de establecer los caminos para efectuar la transferencia de datos a través de la red, es decir, se ocupa del direccionamiento en la red, el ruteo, la fragmentación y desfragmentación de datagramas, los mensajes de control de Internet, y las tablas de direcciones físicas locales. Cada uno de estos servicios los administra un protocolo diferente. Los protocolos más importantes que se encuentran en esta capa son: el protocolo IP (Internet Protocol) se encarga del direccionamiento, ruteo y fragmentación de los datagramas, ICMP (Internet Control Message Protocol) maneja los mensajes de control de Internet, ARP/RARP gestionan las direcciones Ethernet locales. Cada equipo tiene una dirección IP única, compuesta por 32 bits en numeración binaria, por facilidad, se los separa en cuatro grupos de 8 bits y se los traduce a numeración decimal. Debido a que con 8 bits binarios 110

2 se puede formar un número decimal que varía desde 0 hasta 255, una dirección IP se presenta de la siguiente forma: , la separación con puntos es una convención Capa de Transporte La capa de transporte es la responsable de la transferencia de información a través de la red entre diferentes hosts. Los protocolos que se utilizan para transporte son TCP y UDP (User Datagram Protocol). Cada segmento de información entra o sale de la capa de transporte necesariamente por un puerto. Los puertos desde el 1 al 1024 se llaman privilegiados, ya que solo pueden ser abiertos por programas que tengan permisos de administrador. Por convención en estos puertos escuchan la mayoría de los servicios. Para que un cliente se comunique con el servidor, debe mandar un segmento fuera de su máquina, esto solamente es posible si se encuentra abierto un puerto. La comunicación entre una máquina con otra se la realiza a través de puertos que van desde el 1025 al En el proceso de transmisión de información, el archivo a ser enviado es fragmentado en n segmentos, el protocolo TCP controla que el número de segmentos enviados sea igual al recibido, caso contrario manda a llamar nuevamente al segmento faltante, para finalmente fusionarlos en un solo archivo. Por otro lado, el protocolo UDP solamente transmite los segmentos sin realizar ningún control, no importa que no lleguen todos los segmentos, sino la velocidad de transmisión. Por ejemplo, para la transmisión de video y audio en tiempo real se utiliza UDP, ya que prima la velocidad de transmisión, en este caso no es tan apreciable la falta de segmentos de información, pero sí son muy apreciables los retrasos entre voz e imagen que se producen cuando un protocolo solicita retransmisión de datagramas. En cambio, para la transferencia de datos y archivos, resulta imposible pensar en recibir información incompleta, en este caso no es apreciable ni decidor que se demore un tiempo adicional la transferencia de información, siempre y cuando llegue la información íntegra, para este caso se utiliza el protocolo TCP Capa de Aplicación Es la capa que brinda aplicaciones de interfaz al usuario final, administrada directamente por software. Incorpora aplicaciones de red estándar como: TELNET, SMTP, FTP, HTTP, etc. Utilizan los programas comunes para comunicarse a través de una red con otros programas Ventajas y Desventajas de protocolos TCP/IP Las principales ventajas, las mismas que han sido los motivos de su popularidad, son: Independencia de la tecnología utilizada en la conexión a bajo nivel y la arquitectura del ordenador. Soporta múltiples tecnologías. Conectividad universal a través de la red Protocolos estandarizados La principal desventaja es que los protocolos TCP/IP no fueron creados teniendo en cuenta la seguridad. Toda la información que es transmitida a través de protocolos TCP/IP no es encriptada, a menos que los datos transmitidos hayan sido encriptados por otra aplicación previamente. Esta desventaja dio paso a un problema de gran magnitud, ya que adicionalmente las redes Ethernet utilizan el concepto de medio compartido para transmitir información, es decir, envían información en todas direcciones y a todos los host de la red local, confiando que solo va a acceder a dicha información el sujeto a quien estaba destinado el mensaje. Las desventajas de TCP/IP son vulnerabilidades latentes en una red, las mismas que si no son controladas a tiempo y eficazmente, podrían ser la causa de gravísimos problemas debido a ataques a las redes. 2. VULNERABILIDADES PROTOCOLOS TCP/IP Los ataques a redes informáticas pueden tener diferentes motivaciones como: fraude, extorsión, robo de información confidencial, venganza, acceso no autorizado a un sistema, anulación de servicios, o simplemente el desafío de vulnerar las seguridades de un sistema. Estos ataques pueden provenir principalmente de dos fuentes: Usuarios autentificados que forman parte de la red, como por ejemplo empleados internos o 111

3 colaboradores externos con acceso a sistemas dentro de la red de la empresa. También denominados insiders. Atacantes externos a la ubicación física de la organización, accediendo remotamente. También denominados outsiders. A continuación se presentan los diferentes tipos de ataques presentados en las redes: 2.1 Tipos de Ataques Conforme los protocolos de comunicaciones aumentan, se crean agujeros en las seguridades de los sistemas informáticos, provocando que la información e infraestructura física queden comprometidas, lo que podría ocasionar grandes daños y pérdidas para una empresa, en caso de ataques exitosos Caballos de Troya Consiste en introducir o anidar dentro de un programa una rutina o conjunto de instrucciones, (que generalmente llegan vía Internet), por supuesto no autorizadas y que la persona que lo ejecuta no conoce, para que dicho programa actúe de una forma diferente a como estaba previsto. Por ejemplo formatear el disco duro, modificar un fichero, sacar un mensaje, etc. Frecuentemente suele ser utilizado para cambiar la pantalla de login (imitándola), descubriendo de esta manera el password del usuario. Los caballos de Troya se dividen en varios tipos: puertas traseras, espías de contraseñas, registradores, descargadores, etc Ingeniería Social - IS Es la manipulación de las personas o usuarios que tengan acceso a la red interna para convencerlas de que ejecuten acciones o actos que normalmente no realizan, revelando todo lo necesario para superar las barreras de seguridad. Si el atacante tiene la experiencia suficiente, puede engañar fácilmente a un usuario (que desconoce las mínimas medidas de seguridad) en beneficio propio. Esta técnica es una de las más usadas y efectivas a la hora de averiguar nombres de usuarios y passwords de acceso a la red. Por ejemplo, suele llamarse a un usuario haciéndose pasar por administrador del sistema y requerirle el password con alguna excusa convincente. O bien, podría enviarse un mail (falsificando la dirección origen a nombre del administrador) pidiendo al usuario que modifique su password a una palabra que el atacante suministra. Para evitar situaciones de IS es conveniente tener en cuenta estas recomendaciones: Mantener un servicio técnico propio o de confianza. Capacitar a los usuarios de red para que no contesten preguntas sobre cualquier característica del sistema y comuniquen la inquietud a los responsables que tenga competencia para dar esa información. Asegurarse que las llamadas telefónicas para solicitar información, corresponden a una persona segura o confiable Ingeniería Social Inversa - ISI Consiste en la generación, por parte de los intrusos, de una situación inversa a la originada en Ingeniería Social. El intruso intenta demostrar que es capaz de dar ayuda a los usuarios, y estos lo llaman ante algún imprevisto. El intruso aprovechara esta oportunidad para obtener la información necesaria para solucionar el problema del usuario y el suyo propio. La ISI es más difícil de llevar a cabo y por lo general se aplica cuando los usuarios están alertados acerca de las técnicas de IS. Puede usarse en algunas situaciones específicas y después de mucha preparación e investigación por parte del intruso: Generación de una falla en el funcionamiento normal del sistema. Generalmente esta falla es fácil de solucionar pero puede ser difícil de encontrar por los usuarios inexpertos (sabotaje). Requiere que el intruso tenga un mínimo contacto con el sistema. Comunicación a los usuarios de que la solución es brindada por el intruso (publicidad). Provisión de ayuda por parte del intruso encubierto como servicio técnico Trashing o Cartoneo Generalmente, un usuario anota su login y password en un papel y luego, cuando lo recuerda, lo arroja a la basura. Este procedimiento por más inocente que parezca es el que puede aprovechar un atacante para hacerse de una llave para entrar al sistema, es decir, nada se destruye, todo se transforma. 112

4 El Trashing puede ser físico (como el caso descrito) o lógico, como analizar buffers de impresora y memoria, bloques de discos, etc. El Trashing físico suele ser común en organizaciones que no disponen de alta confidencialidad, como colegios y universidades Ataques de Monitorización Este tipo de ataque se realiza para observar a la víctima y su sistema, con el objetivo de establecer sus vulnerabilidades y posibles formas de acceso futuro Decoy (Señuelos) Los Decoy son programas diseñados con la misma interface que otro original. En ellos se imita la solicitud de un logueo y el usuario desprevenido lo hace. Luego, el programa guardará esta información y dejará paso a las actividades normales del sistema Scanning (Búsqueda) El escaneo, como método de descubrir canales de comunicación susceptibles de ser explotados, lleva en uso mucho tiempo. La idea es recorrer (escanear) tantos puertos abiertos como sea posible, y guardar información de aquellos que sean receptivos o de utilidad para cada necesidad en particular. Muchas utilidades de auditoría también se basan en este paradigma. Escanear puertos implica las mismas técnicas de fuerza bruta. Se envía una serie de paquetes para varios protocolos y se deduce que servicios están escuchando o abiertos por las respuestas recibidas o no recibidas Eavesdropping Packet Sniffing La mayoría de redes son vulnerables al Eavesdropping, o a la pasiva intercepción (sin modificación) del tráfico de red. Esto se realiza utilizando programas para Packet Sniffers, los cuales monitorean los paquetes que circulan por la red. Los Sniffers pueden ser colocados tanto en una estación de trabajo conectada a la red, como a un equipo Router o a un Gateway de Internet, y esto puede ser realizado por un usuario con legítimo acceso, o por un intruso que ha ingresado por otras vías. Un Sniffer consiste en colocar a la placa de red en modo promiscuo, el cual desactiva el filtro de verificación de direcciones y por lo tanto todos los paquetes enviados a la red llegan a esta placa (computadora donde está instalado el Sniffer). Inicialmente este tipo de software, era únicamente utilizado por los administradores de redes locales, aunque con el tiempo ha llegado a convertirse en una herramienta muy usada por los intrusos. Actualmente existen Sniffers para capturar cualquier tipo de información específica. Por ejemplo contraseñas de un recurso compartido o de acceso a una cuenta bancaria, que generalmente viajan sin encriptar al ingresar a sistemas de acceso remoto. También son utilizados para capturar números de tarjetas de crédito y direcciones de s entrantes y salientes. El análisis de tráfico puede ser utilizado también para determinar relaciones entre organizaciones e individuos. Para realizar estas funciones se analizan las tramas o paquetes de un segmento de red, y presentan al usuario sólo las que son de su interés. Normalmente, los buenos Sniffers, no se pueden detectar, aunque la inmensa mayoría, y debido a que están demasiado relacionados con el protocolo TCP/ IP, si pueden ser detectados con algunos trucos de red Snooping Downloading El fin de este ataque es obtener la información de una red sin modificarla, mediante la intercepción del tráfico de red. El atacante ingresa a los documentos, mensajes de correo electrónico y otra información guardada, realizando en la mayoría de los casos un downloading (copia de documentos) de esa información a su propia computadora, para luego hacer un análisis exhaustivo de la misma. El Snooping puede ser realizado por simple curiosidad, pero también es realizado con fines de espionaje y robo de información o software. Los casos más resonantes de este tipo de ataques fueron: el robo de un archivo con más de 1700 números de tarjetas de crédito desde una compañía de música mundialmente famosa, y la difusión ilegal de reportes oficiales reservados de las Naciones Unidas, acerca de la violación de derechos humanos en algunos países europeos en estado de guerra Denegación de Servicios (DOS) Los ataques de Negación de Servicio tienen como objetivo saturar los recursos del sistema de la víctima de forma tal que se inhabilita los servicios brindados por la misma. El ataque más común es el Ping de la muerte, el cual consiste en el envío de más de bytes a la victima congestionando el servicio de red Jamming o Flooding Este tipo de ataque consiste en desactivar o saturar los recursos del sistema. Principalmente consiste 113

5 en consumir toda la memoria o espacio en disco disponible. El atacante satura el sistema con mensajes que requieren establecer una conexión TCP. Sin embargo, en vez de proveer la dirección IP del emisor, el mensaje contiene falsas direcciones IP usando Spoofing y Looping. El sistema responde al mensaje, pero como no recibe respuesta, acumula buffers con información de las conexiones abiertas, impidiendo tener conexiones legítimas. Este tipo de ataques se da principalmente en proveedores de internet teniendo bajas temporales del servicio por ataques que explotan el protocolo TCP. Muchos Hosts de Internet han sido dados de baja por el ping de la muerte (una versión-trampa del comando ping). Mientras que el ping normal simplemente verifica si un sistema esta enlazado a la red, el ping de la muerte causa el bloqueo instantáneo del equipo. Esta vulnerabilidad ha sido ampliamente utilizada en el pasado pero, aún hoy pueden encontrarse sistemas vulnerables. Otra acción común es la de enviar millares de s sin sentido a todos los usuarios posibles en forma continua, saturando los sistemas destinos Smurf o Broadcast Storm Consiste en recolectar una serie de direcciones BroadCast para a continuación, mandar una petición ICMP (simulando un Ping) a cada una de ellas en serie, varias veces, falsificando la dirección IP de origen (máquina víctima). El paquete obtenido es manipulado maliciosamente y difundido en Broadcast de tal manera que los hosts mandarán una respuesta a la víctima cuya dirección IP figura en el paquete ICMP. La víctima no puede hacer nada para evitarlo. La solución está en manos de los administradores de red, los cuales deben configurar adecuadamente sus Routers para filtrar los paquetes ICMP de peticiones indeseadas (Broadcast); o bien configurar sus máquinas para que no respondan a dichos paquetes. 3. INVESTIGACIÓN DE VULNERABILIDADES EN LOS SISTEMAS DE INFORMACIÓN DEL ECUADOR 3.1 Breve reseña de las Vulnerabilidades de los Sistemas de Información a nivel mundial A partir de los años 80 s, se inició la expansión tecnológica a gran escala de los sistemas informáticos y de información a nivel mundial, provocando una nueva era en las Tecnologías de la Información y Comunicación, teniendo como parte fundamental el desarrollo del protocolo de comunicaciones TCP/IP. Paralelamente a la expansión tecnológica se fueron desarrollando métodos y técnicas para vulnerar a estos nuevos sistemas, es así que cada vez que se ha implementado un nuevo sistema de protección contra intrusos, al poco tiempo se han registrado ataques exitosos a las redes de información. Esta dinámica de cambio permanente y cada vez en menor tiempo, nos permite concluir que no existe un sistema de información 100% infalible, ni seguro en el tiempo. Podría pensarse que los ataques a los sistemas de información lo realizan solamente a empresas o instituciones pequeñas, las cuales no tienen sistemas robustos de seguridad informática, sin embargo el ataque a la NASA, Pentágono, Ejército y Gobierno Estadounidense entre febrero de 2001 y marzo de 2002, perpetrado por el hacker británico Gary Mckinnon de 42 años, debería sentar precedentes en la cultura de seguridad informática de las organizaciones a nivel mundial. Esta intrusión, fue calificada por el Gobierno Norteamericano como el mayor acceso ilegal a datos informatizados en la historia militar estadounidense, por lo que el Gobierno Estadounidense esta solicitando la extradición del implicado, una multa de hasta 1.75 millones de dólares y una condena de hasta 70 años de prisión, si es hallado culpable. En su defensa, McKinnon explicó que su única intención había sido encontrar información sobre ovnis. Ataques a grandes instituciones bancarias como Citibank en marzo de 2006 denominado como el peor Hack económico de la historia, o la vulneración del sistema de cifrado de Cisco Systems VPN por hackers alemanes en octubre de 2005, entre otros, son ejemplos recientes de las vulnerabilidades encontradas en las redes de sistemas de información de empresas gigantes a nivel mundial. 3.2 Vulnerabilidades de los Sistemas de Información en Ecuador Desde 1998 hasta la fecha, se han registrado más de 350 ataques exitosos a páginas web en Ecuador (fuente: Como ejemplos de sitios web hackeados en Ecuador, se puede mencionar el ataque al Sistema de Información para la Gobernabilidad Democrática SIGOB (del Gobierno Nacional - en febrero de 2004, a 114

6 TV Cable en agosto de 2003, y el más reciente, a la página web de la Presidencia del Ecuador el pasado marzo de Con el propósito de conocer la situación actual de las vulnerabilidades registradas en los sistemas de comunicación de las organizaciones y empresas ecuatorianas, se procedió a realizar el escaneo de puertos aproximadamente a 250 portales y páginas web de instituciones del país, entre los cuales se encuentran los sectores de la salud, eléctrico, gobierno, industrias, medios de comunicación, universidades e instituciones financieras, obteniéndose los siguientes resultados: Los portales y páginas escaneadas en los sectores industrial y medios de comunicación, presentan protecciones y seguridades en sus sistemas de información; mientras que los sectores de salud e instituciones financieras presentan el mayor porcentaje de potenciales vulnerabilidades en sus redes de información como se puede observar en la figura 1. Se puede concluir que, de 100 portales y páginas web de industrias ecuatorianas, 96.2% de empresas tienen los puertos bloqueados, es decir, no es posible el acceso a usuarios desconocidos desde el medio externo a sus redes; 3.8% de empresas tienen los puertos parcialmente bloqueados, es decir solamente tienen abiertos los puertos necesarios para ejecutar sus procesos; y finalmente se puede observar que ninguna industria de la muestra analizada, tiene puertos abiertos todos sus puertos, lo que indica que es un sector que ha desarrollado una importante cultura de seguridad de la información. INDUSTRIAS 00 M. DE COMUNICACIÓN 00 UNIVERSIDADES SECTOR ELÉCTRICO GOBIERNO INSTITUCIONES FINANCIERAS SALUD % 20% 40% 60% 80% 100% El mantener puertos abiertos en una red de sistemas de información, es una de las principales vulnerabilidades de las redes, ya que tanto los usuarios legítimos como los atacantes se conectan a los sistemas por medio de puertos. Cuantos más puertos se encuentren abiertos, hay más formas para que alguien se conecte a una red. Por lo tanto, es importante mantener abiertos sólo los puertos imprescindibles para que el sistema funcione correctamente. El resto de los puertos deben mantenerse cerrados. Resulta muy preocupante que instituciones de los sectores: universitario, eléctrico, gobierno, financiero y salud presenten altos porcentajes de puertos completamente abiertos en sus sistemas de información, ya que esto abre un abanico de posibilidades de ataques a sus redes, a la vez que conlleva un sinnúmero de consecuencias. La figura 2, muestra una interesante tendencia a nivel país, la misma que presenta un porcentaje muy alto (36%) de organizaciones que mantienen sus sistemas de información con los todos los puertos abiertos. Este porcentaje debe minimizarse, para evitar los problemas que se han descrito en este documento, sin embargo un comportamiento usual en las organizaciones es buscar las soluciones luego de ocurridos los problemas. En la tendencia presentada a nivel país, se puede observar que hay organizaciones que salen de dicha tendencia como casos particulares, de ahí la importancia de tener una estadística desagregada por sectores, ya que nos permite identificar de manera específica a las organizaciones con mayor potencial de vulnerabilidades en sus sistemas de información. En cuanto a las organizaciones que se encontraron con puertos abiertos, se pudo observar que las organizaciones pequeñas son la mayoría, sin embargo esta no es una regla, ya que también se encontró organizaciones grandes con este problema. P. AB P. BLQ P. P. BLQ P.P. BLQ 12.6% P. AB 36,0% FIGURA: 1 Estadística de vulnerabilidades en redes de información en Ecuador, mostrada por sectores. Análisis por escaneo de puertos. Donde: P.AB : Puertos Abiertos P.BLQ : Puertos Bloqueados P.P.BLQ : Puertos Parcialmente Bloqueados P. BLQ 51,3% FIGURA 2: Estadística global de vulnerabilidades en redes de información en Ecuador. Análisis por escaneo de puertos. 115

7 Debido a los servicios que tienen las distintas empresas como son correo electrónico, servicio de transferencia de archivos, portales WEB, publicación de información, etc., se utilizan puertos TCP que permiten la comunicación de los distintos servicios internos de una empresa con la red externa de internet. De los resultados anteriormente presentados, se observó que los puertos comúnmente abiertos son los siguientes: Puerto 21: es utilizado por el protocolo FTP (File Transfer Protocol) para la transferencia de archivos sobre el protocolo TCP/IP. Puerto 22: es utilizado por el protocolo SSH (Secure Shell) para las conexiones remotas entre dos terminales permitiendo la transferencia de datos de manera segura y el protocolo SFTP (Security File Transfer Protocol) que permite la transferencia segura de ficheros de información. Puerto 23: es utilizado por el protocolo TELNET para las conexiones entre dos terminales remotos. Este protocolo no permite una transferencia de datos de manera segura. Puerto 25: es utilizado por el protocolo SMTP (Simple Mail Transfer Protocol) para el intercambio de mensajes de correo electrónico entre computadoras. Puerto 80: es utilizado por el protocolo HTTP (Hyper Text Transfer Protocol) para la transferencia de archivos principalmente en formato HTML (HyperText Mark-Up Language) lenguaje utilizado para la construcción de páginas WEB. El protocolo ICMP (Internet Control Messsage Protocol) es utilizado para la administración de las aplicaciones de red, el mismo que fue utilizado para el barrido de puertos. De esta manera permite conocer los puertos abiertos de un sistema, por lo que se recomienda mantener a este protocolo cerrado en los equipos de seguridad perimetral impidiendo que un atacante obtenga información importante para realizar su cometido. El análisis realizado, se efectuó a una muestra significativa de portales y páginas web, con fines completamente didácticos, con el objetivo de tener un diagnóstico de las seguridades básicas existentes en las organizaciones ecuatorianas con respecto a sus sistemas de información. 4. PREVENCIÓN Y SEGURIDAD DE PROTOCOLOS TCP/IP La conclusión tras el análisis de las vulnerabilidades desde un punto de vista operacional es que para evitarlas pueden definirse las tareas a realizar dentro de un sistema de seguridad en tres etapas: Prevención: implementada por dispositivos como: IPS (sistema de prevención de intrusos), firewalls. Detección: a través de sistemas como los IDS (sistema de detección de intrusos). Respuesta: las acciones a tomar deben ser dirigidas por la parte humana, normalmente los administradores de la red. 4.1 IPS s e IDS s En la actualidad, los sistemas IPS/IDS se constituyen en la tecnología más avanzada en sistemas de seguridad perimetral, son el paso siguiente a los firewalls. Una vez actualizados, estos sistemas son capaces de reconocer vulnerabilidades de las aplicaciones más comunes a puertos abiertos en el firewall. Los sistemas de prevención de intrusos (IPS) son una evolución de los sistemas de detección de intrusos (IDS). La gran diferencia es que los IDS muestran permisividad a los intrusos para ingresar a las redes, ya que su propósito es detectar la intrusión, no detenerla ni prevenirla. El IDS se limita a detectar y notificar la intrusión al administrador de la red, quien deberá tomar las acciones correctivas pertinentes. Por otra parte, los IPS combinan múltiples funcionalidades, como firewall, IDS, inspección statefull y detección de anomalías de protocolo, antivirus, valoración de vulnerabilidades, filtrado de contenidos, etc. De esta forma, consiguen proteger automáticamente de los ataques antes de que hayan impactado en la red, poniendo el énfasis en la prevención y en la automatización. En algunos casos, los sistemas IPS empiezan a ofrecer también capacidades antispyware y de deep inspection para una seguridad a nivel de aplicación, lo que les permite analizar el contenido de los paquetes, pudiendo actuar como un segundo filtro sobre el tráfico que los firewall periféricos han dejado pasar. En este contexto, las ventajas y beneficios de los sistemas de prevención de intrusiones (IPS) son, 116

8 innegables. Se trata de soluciones de protección globales que, desplegadas correctamente y con las configuraciones adecuadas, ofrecen a los administradores de redes una potente herramienta. Usuarios de estas tecnologías aseguran haber registrado reducciones de hasta un 70% en las alertas por virus y gusanos en comparación con la utilización de IDS tradicionales. No basta ya la instalación de firewalls cuyo funcionamiento se limita al análisis de los paquetes a Nivel de Red en la frontera de la infraestructura. Sin embargo, pese a las ventajas de los IPS para el administrador de red, presentan algunas particularidades que deben ser tenidas en cuenta a la hora de elegir un determinado producto. Al trabajar, a diferencia de los sistemas IDS, en modo in-line, analizando todo el tráfico que pasa por la red en tiempo real, su rendimiento debe ser lo más cercano posible a la velocidad de cable; de lo contrario se producirían problemas de cuellos de botella. Por otra parte, un administrador de seguridad que apueste por la introducción de IPS en su organización, deberá asumir el inconveniente de que en ocasiones puedan bloquear tráficos legítimos. Este limitante es en realidad una característica heredada de sus predecesores, los IDS; el problema es que, al realizarse el bloqueo de manera automática, los falsos positivos (tráfico seguro, calificado como inseguro por el IPS) quedan de forma igualmente automática bloqueados. Para muchos, sin embargo, merece la pena asumir este riesgo. 5 CONCLUSIONES En el presente documento, se realizó un análisis de la seguridad de los sistemas de información de diferentes tipos de organizaciones, instituciones y empresas en el Ecuador, mediante el método de escaneo de puertos, con propósitos exclusivamente didácticos. Según el análisis realizado en el numeral 3, existen organizaciones que en función de su naturaleza laboral o de servicios, presentan diferentes tendencias y niveles de seguridad en sus sistemas de información. Se puede observar que los sectores de industrias y medios de comunicación poseen mayoritariamente sistemas de información con altos niveles de seguridad; sin embargo en los sectores: eléctrico, gobierno, financiero, universidades y salud, existen altos porcentajes de organizaciones que no tienen implementados ni los sistemas básicos de seguridad de información como lo es el bloqueo de puertos. Las vulnerabilidades de los sistemas de información presentan una constante dinámica de cambio en función del desarrollo tecnológico, es así que en la actualidad, los ataques a las redes se caracterizan por: Los tipos de amenazas evolucionan continuamente. Los sistemas de información para objetivos críticos de las organizaciones se están integrando cada vez más con Internet. El daño y la velocidad de los ataques se incrementan continuamente. El software continúa teniendo vulnerabilidades intrínsecas desde la caja. Tomando en cuenta que las amenazas cada vez son más complejas y, a veces, difíciles de detectar, se hace necesaria una formación del personal responsable de las TIC (Tecnologías de la Información y Comunicación) en todas las organizaciones públicas y privadas, para luchar contra la ingenuidad, la ignorancia de buenas prácticas y la falta de concientización existente sobre la necesidad de preservar la seguridad de la información. FIGURA 3: Configuración típica de IPS en la periferia de una red. La seguridad de la información debe estar orientada a garantizar o mantener tres cualidades esenciales y universales como son: disponibilidad, integridad y confidencialidad. Adicionalmente en algunos entornos, especialmente en implementaciones bancarias y financieras, interesan además otros aspectos muy 117

9 importantes de las transacciones on-line como son la autenticidad y la trazabilidad. Las gerencias de las organizaciones no pueden mostrarse ajenas a este escenario y deben considerar el desarrollo, la adquisición, conservación y utilización segura de las TIC como algo imprescindible que garantice el funcionamiento eficaz al servicio del ciudadano y de los intereses nacionales. Por definición, ningún sistema es cien por ciento seguro o inmune a ataques externos o internos, por lo que es deber de las organizaciones el fomentar una cultura de seguridad de las TIC en su personal, basada en la concientización de la problemática, a través de difusión de información con respecto a: riesgos e impactos económicos, pérdida de información valiosa, caos en procesos diarios, entrega no oportuna de productos y/o servicios, ejemplos de ataques recientes ocurridos en el país y en el mundo, etc. En este contexto deberíamos preguntarnos: Cuanto costaría no disponer de correo electrónico, o de los sistemas de procesos administrativos? Cuanto costaría perder números de cuentas, archivos, documentos electrónicos, información confidencial, etc.? Cuanto costaría el restablecimiento de los servicios? Cuánto costaría que la información contenida en servidores y computadoras fuera retransmitida hacia otro lugar sin conocimiento ni autorización? Toda organización por pequeña que sea y por mínima información que tenga, posee datos y procesos que representan una considerable inversión en términos de conocimientos, tiempo, dinero y esfuerzo. La seguridad dentro de una organización no consiste únicamente en tener equipos activos que realicen esta función, es necesario complementar con políticas de seguridad las cuales involucren la capacitación del personal a fin de que estos no entreguen información que comprometa la seguridad de la red. Al conseguir en una organización, que la cultura de seguridad de la información llegue a convertirse en una práctica diaria en el trabajo, el personal sabrá que éste no es un esfuerzo únicamente de los profesionales encargados de la administración de las TIC, sino de toda la organización. Llegar a incorporar a la seguridad de la información como parte de la actividad cotidiana, de cada uno de los individuos que tienen contacto con la organización, es el objetivo final de la cultura de seguridad. 6. RECOMENDACIONES El análisis realizado a varias organizaciones y empresas en el país, se lo puede ampliar a otros sectores como: telecomunicaciones, transporte aéreo, petróleos, etc., todo esto con el objetivo de conocer el estado particular de los sistemas de seguridad de las TIC en el país, y proponer las soluciones correspondientes. Habitualmente se suele implementar equipos de seguridad perimetral como firewall o IED a la salida/entrada de la red de Internet, permitiendo el control de puertos y acceso de usuarios, evitando ataques a los sistemas sensibles de una empresa, sin embargo la utilización de estas herramientas de seguridad clásicas, basadas en el filtrado simple de los datagramas que circulan por Internet, ha resultado insuficiente ante los ataques organizados. Cuando el atacante es único y está perfectamente identificado (usualmente por la dirección IP), los sistemas básicos de seguridad pueden resultar un muro de defensa relativamente efectivo. Sin embargo, cuando el atacante no está identificado de una forma explícita o el número de atacantes es desconocido (ataques de denegación de servicio distribuido), estos sistemas no pueden dar la respuesta adecuada, es cuando resulta imprescindible la implementación de nuevas tecnologías como los IPS. Se presentan a continuación algunas recomendaciones básicas para usuarios de las redes: Utilizar contraseñas difíciles de suponer combinadas con números, símbolos, mayúsculas y minúsculas. Cambiarlas frecuentemente. Siempre y cuando sea posible, no dejar computadoras conectadas a la red. las No abrir bajo ningún concepto, archivos adjuntos de correo electrónico que vengan de extraños, sin importar lo que mencione su asunto o el archivo adjunto. También se deberá sospechar siempre, de cualquier archivo adjunto no solicitado, enviado por alguien conocido, ya que se puede haber enviado sin el conocimiento de esa persona desde una máquina infectada. No entregar la clave de red, esta es personal y puede ser mal utilizada por terceros, provocando graves huecos de seguridad al interior de una red. 118

10 Según una estadística presentada por el Instituto SANS de Norteamérica y el FBI, un alto porcentaje de ataques a las redes de los sistemas de información se deben a la inoportuna instalación de parches largamente anunciados, esto hubiera prevenido la mayoría de los ataques exitosos. La mayoría de los atacantes, simplemente se aprovechan de quienes no actualizan su software. 7. REFERENCIAS BIBLIOGRÁFICAS (1) RHODES, Mark; Network Security The Complete Reference, McGraw Hill, (2) McNAB Chris; Seguridad de Redes; Editorial Anaya Multimedia; (3) : Instituto Sans, entrenamiento, certificación e investigación de seguridad informática. (4) : Estadísticas de seguridad de sistemas de información. 8 CURRICULUM VITAE Jorge Israel Ortiz Mármol.- Nació en mayo de 1976 en la ciudad de Riobamba, Ecuador. Recibió su título de Ingeniero Eléctrico de la Escuela Politécnica Nacional de Quito, en Egresado de la Maestría en Gerencia de Sistemas de la Escuela Politécnica del Ejército en Ha desempeñado sus labores profesionales en la Empresa Eléctrica Riobamba, en la Dirección de Planificación (2002). En el CENACE se desempeñó en el Área Centro de Operaciones de la Dirección de Operaciones, como operador de Generación y Transmisión del S.N.I. ( ). Actualmente se desempeña como Ingeniero Administrador del Sistema de Medición Comercial del MEM, en la Dirección de Sistemas de Información. Juan Vallecilla Mosquera.- Nació en Quito, Ecuador en Recibió su título de Ingeniero Electrónico de la Escuela Politécnica del Ejército en el Egresado de la Maestría en Redes de Información y Conectividad de la Escuela Politécnica del Ejército en Actualmente se desempeña como Ingeniero de Telecomunicaciones en la Dirección de Sistemas de Información. Sus áreas de interés se relacionan con los protocolos de transmisión SCADA y redes de Comunicaciones. 119