SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN

Tamaño: px
Comenzar la demostración a partir de la página:

Download "SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN"

Transcripción

1 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN

2 UNIDADES DIDÁCTICAS

3 Gabriel Díaz Francisco Mur Elio Sancristóbal Manuel Castro Juan Peire SEGURIDAD EN LAS COMUNICAClONES Y EN LA INFORMACI~N

4 UNIDADES DIDÁCTICAS (555 17UDOlA01) SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN Quedan rigurosamente prohibidas, sin la autorización escrita de los titulares del «Copyright,>, bajo las sanciones establecidas en las leyes, la reproducción total o parcial de esta obra por cualquier medio o procedimiento, comprendidos la reprografia y el tratamiento informático, y la distribución de ejemplares de ella mediante alquiler o prdstamo públicos. O UNIVERSIDAD NACIONAL DE EDUCACIÓN A DISTANCIA - Madrid, 2004 Librería UNED: Bravo Murillo, 38; Madrid Tels.: , O G. Díaz, F. Mur, E. Sancristóbal, M. Castro, J. Peire ISBN: Depósito legal: M Primera edición: enero de 2004 Impreso en España - Printed in Spain Imprime: LERKO PRINT, S.A. Paseo de la Castellana, Madrid

5 CAP~TULO 1. Descripción del problema de la seguridad en las comunicaciones y en la información. Tipos de ataques...., 1.l. Introduccion Las preguntas que deben hacerse para definir el problema Soluciones aparentemente perfectas y soluciones razonables Conclusiones Evaluación... CAP~TULO 2. La seguridad en los elementos físicos existentes en una red...., 2.1. Introduccion Los sistemas de cableado o inalámbricos Repetidores, hubs y conmutadores (o switches) Encaminadores Los servidores y otras máquinas Conclusiones...., 2.7. Evaluacion... CAP~TULO 3. La seguridad en los elementos software existentes en una red Introducción Los sistemas operativos de estaciones y servidores...

6 3.3. Los protocolos y aplicaciones Mejoras de seguridad con IPv Criterios de evaluación de seguridad Conclusiones Evaluacion... CAPITULO 4. Métodos de ataque a equipos y redes Introduccion Taxonomía de los tipos de ataques Ataques orientados a la obtención de información sobre el.. objetivo Ataques orientados a la obtención no autorizada de información confidencial. basados en la mala administración de sistemas Ataques orientados a la obtención no autorizada de información confidencial. basados en vulnerabilidades del software Ataques de tipo denegación de sewicio (DOS) Ataques N creativos,, Conclusiones Evaluacion CAP~TULO 5. Defensas básicas ante ataques Introduccion Controles de acceso físico a sistemas Controles de acceso lógico a sistemas Otros controles simples de acceso a la información Conclusiones Evaluacion... CAPITULO 6. La política de seguridad como respuesta razonable a los problemas de seguridad en las comunicaciones y en la informacion Introduccion Qué es una política de seguridad? Aspectos físicos de la política de seguridad Aspectos lógicos de la política de seguridad Aspectos humanos y organizativos de la política de seguridad 6.6. Aspectos legales de la política de seguridad Conclusiones Evaluacion.....

7 CAPITULO 7. Introducción: métodos no criptográficos en la implantación de la política de seguridad Introduccion Herramientas que implementan la política de seguridad Otros elementos típicos a tener en cuenta Evaluación... CAP~TUL~ 8. Los cortafuegos íjirewalls) y SUS aplicaciones como elemento básico de una política de seguridad de redes Los gateways de aplicación o servidores proxy Qué se puede mejorar? Conclusione Evaluacion... CAP~TUL~ 9. Tecnología de última generación en cortahegos Caso práctico: el modelo Cisco PIX Firewall Caso práctico: el modelo Checkpoint Firewall Introduccion La confusión reinant 9.5. Conclusiones Evaluació CAP~TUL~ 10. Herramientas de análisis de vulnerabilidades para la auditona de seguridad en las comunicaciones Introduccion Caso práctico: el modelo Cisco Secure Scanner Caso práctico: los programas de Intemet Security Systems Conclusiones Evaluación... CAP~TULO 11. Herramientas de detección de intrusiones para la monitorización de la seguridad en las comunicaciones Introducció Caso prácti Caso práctico: los sistemas Real Secure de ISS Qué son los Honey pots? Conclusiones Evaluacion......

8 10 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMA( CAP~TULO 12. Diseño seguro de redes. Concepto de alta disponibilidad y diseños redundante..... Introduccion... Diseño de soluciones de alta disponibilidad... Los problemas de infraestmctura y soluciones... Los problemas en el nivel 2 de OS1 y soluciones... Los problemas en el nivel 3 de OS1 y soluciones... Consideraciones para el resto de los niveles OS1... Consideraciones para el almacenamiento en red: SAN (Storage Area Networks)... Consideraciones para los dispositivos de seguridad... Conclusiones..... Evaluacion... CAP~TULO 13. Introducción a la criptografía como herramienta de obtención de una mayor seguridad en las comunicaciones Introducción Elementos básicos de cualquier método criptográfico Distintos niveles criptográficos en el software de redes y sistemas Tipos de ataques a sistemas criptográficos Conclusiones Evaluacion..... CAP~TULO 14. Métodos criptográficos: sistemas de clave privada. sistemas de clave pública y sistemas de una sola vía (one-way hash) Introduccion Algoritmos de clave privada o de criptografia simétrica Funciones de una sola vía Algoritmos de clave pública o de criptografía asimétrica Conclusione Evaluacion... CAP~TULO 15. Certificación. autenticación e integridad de la informa-.... cion. Firma digital y PKI Introduccion Autenticación. integridad y no repudio Los sistemas de firma digital La necesidad de certificación. El estándar X.509 y las autoridades de certihcacion......

9 15.5. Los modelos de infraestructura de clave pública o PKI Problemas de seguridad de las Firmas digitales y de las PKI Conclusiones Evaluacion Protocolos criptográficos: SSL. PGP. IPSec y otros Introduccion Los protocolos de seguridad y comercio electrónico: SSL y SET Protocolos de tunneling de IP: PPTP y L2TP Los protocolos IPSec Los proto E Conclusiones Evaluació... CAP~TULO CAP~TULO 17. Redes privadas virtuales Introducción Caracterización de las re Ventajas e inconvenientes de las redes privadas virtuales Arquitecturas de redes privadas virtuales Diseño y planificación de redes privadas virtuales Problemas de rendimiento. mantenimiento y seguridad Conclusiones Evaluación... CAP~TULO 18. El comercio electrónico. Seguridad en las transacciones comerciales Introducció Tipos de co Ventajas de La LSSICE y cómo afecta al comercio electrónico en España Datos sobre el comercio electrónico en España Asuntos pendientes Conclusione Evaluacion..... Comentario bibliográfico Índice de acrónimos... Soluciones a las preguntas de evaluación......

10

11 En este mundo, cada vez más globalizado, todo tipo de organizaciones realizan sus funciones y tratan de cumplir sus objetivos basándose en estructuras de red. Las redes no son ya un lujo sino una pieza básica de las organizaciones, y su funcionamiento incorrecto o su falta de seguridad genera obstáculos que pueden resultar insalvables. Por estas razones, el estudio y conocimiento de los temas expuestos en este libro son, cada vez más, una necesidad para el personal informático de cualquier organización. Lo que pretenden los autores con este libro es ayudar a entender y, en la medida de lo posible, popularizar los problemas (y las soluciones disponibles) relacionados con la seguridad de las redes de ordenadores. Basta con abrir cualquier revista o periódico que se dedique a la informática, en cualquiera de sus aspectos, para encontrar referencias a problemas de seguridad informática, ya sea problemas de seguridad en sistemas o aplicaciones o problemas relacionados con la seguridad en dispositivos de red. Sólo a modo de referencias, se enumeran algunas de las más signiñcativas en los últimos meses: - Según el CERT (Computer Emergency Response Team), en los 6 primeros meses de 2003 ha aumentado el número de incidentes de seguridad, destacando entre los más peligrosos para las organizaciones los debidos a desbordamientos de memoria en sistemas y aplicaciones como el sistema de correo sendmail, librenas de los sistemas Windows, la aplicación SAMBA, etc, y distintas vulnerabilidades en implementaciones de protocolos como el SIP, el SSH o aplicaciones como Lotus Notes o Snorí o sistemas como Linux. - Según un estudio sobre la seguridad informática en la empresa española, llevado a cabo por la Asociación Española de Empresas de Tecnologías de la Información (SEDISI), seis de cada diez compañías

12 14 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACI~N españolas sufrieron ataques contra sus sistemas informáticos durante el año Según el mismo estudio, tan sólo una de cada diez empresas españolas posee planes de continuidad y otro de los problemas graves es la carencia de formación de los empleados. - En los primeros días de mayo se produjo un incremento exponencial de las incidencias protagonizadas por el gusano ~Fizzer,,. Además del correo electrónico, como principal vía de propagación masiva, se sirve del popular software de intercambio de archivos ~Kazaax para intentar llegar a más usuarios, y tiene funciones de puerta trasera, que permiten controlar de forma remota el sistema infectado. - También durante el mes de mayo, en EE.UU., se anunció haber confiscado más de 17 millones de euros procedentes del cibercrimen. Al menos 135 personas han sido inculpadas de estafa, robo de identidad u otro tipo de fraude mediante Internet. - Durante los meses de abril y mayo se detectó un envío de correos electrónicos engañosos, con la intención de estafar a clientes del banco BBVA, basado en el envío de una comunicación a los usuarios en el que se les pide que se den de alta cuanto antes en un servicio del banco. El mensaje está confeccionado con el propósito de obtener los datos de las personas que aun no han utilizado el servicio de banca electrónica. - El gusano ~BtcgBea~B. protagonizó una de las distribuciones más explosivas que se recuerdan, por el gran número de mensajes infectados que circularon en las primeras horas de su infección. El gusano tiene funcionalidades propias de un gusano, un virus, y un troyano de puerta trasera. Además de distribuirse de forma masiva a través del correo electrónico y por los recursos compartidos de las redes locales, es capaz de infectar determinados ejecutables del sistema Windows, captura todas las pulsaciones de teclado, y abre una puerta trasera en los sistemas infectados que permite el acceso y control indiscriminado de forma remota. - Se anunció la existencia de una vulnerabilidad de denegación de servicio en determinados encaminadores de Cisco Systems a través de la característica Sewice Assurance Agent y que permite a un atacante remoto la parada de los dispositivos vulnerables. - Microsoft distribuyó un parche acumulativo para Internet Explorer versiones y 6.0 para Windows Server Además de incluir todas las correcciones anteriores publicadas hasta la fecha, esta actualización soluciona dos nuevas vulnerabilidades consideradas como críticas.

13 - Las instalaciones LINUX con kemel de la serie 2.4.* (la actual) son susceptibles a un ataque de denegación de servicio remoto que permite consumos de CPU arbitrariamente elevados y, eventualmente, la caída de la máquina. Por otro lado, los informes de las distintas consultoras y organizaciones de defensa e investigación siguen afirmando, como se verá en alguno de los capítulos de este libro, que los ataques informáticos hacen perder muchos millones de euros todos los años y que tales ataques no tienen sólo un origen externo, (ataques provenientes de Intemet), sino que la mayor parte de ellos son debidos a toda una serie de problemas internos diversos, la mayor parte de ellos atribuible a malas configuraciones (o inexistentes) de dispositivos de seguridad o de soluciones criptográficas. Existe además un gran mercado de soluciones de seguridad, desde los productos (cortafuegos. encaminadores especiales, analizadores de vulnerabilidades, sistemas de detección de intrusiones, redes privadas virtuales) hasta los servicios (análisis de riesgos, creación de políticas de seguridad, implantación de las políticas y normas, auditorias de seguridad, monitorización extema del tráfico de redes) que dan una idea de la cierta madurez que ha alcanzado el mercado, huto de la necesidad de obtener, y mantener, un buen grado de seguridad en las redes de todo tipo de organizaciones. Parece bastante evidente que todos estos datos apuntan a la necesidad de personas bien formadas en todos estos campos y dispositivos y este libro tiene como uno de sus objetivos ayudar a esa formación necesaria, haciendo una introducción, más extensiva que intensiva, a casi todos los campos que forman, actualmente, el mundo de la seguridad en redes de ordenadores. PRESENTACI~N DEL LIBRO La estructura del libro presenta tres unidades didácticas. En la primera se hace una introducción a los problemas de seguridad en las comunicaciones e información y se hace un examen de los principales problemas de seguridad tanto en los elementos hardware como en los elementos software, es decir, tanto en medios y dispositivos como en sistemas operativos, aplicaciones y protocolos. Se hace también una clasificación de los ataques conocidos, utilizando para ello distintos criterios de clasificación y pretendiendo ser más didácticos que extensivos. Después de una primera aproximación a las defensas, en este caso sólo las más elementales y básicas, se pasa a definir lo qué se entiende, hoy en día, por política de seguridad. Este concepto es básico, pues todo el enfoque actual de la seguridad descansa sobre la idea de que la seguridad no se consigue únicamente con productos, sino que es, más bien, un proceso continuo, basado en una serie de normas de sentido común (la política de seguridad) adecuadas a cada entorno específico.

14 16 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN Con esa idea base comienza la segunda unidad didáctica, dedicada a los métodos no criptográficos de implantación de normas de seguridad. Se analizan todas las tecnologías típicas de cortafuegos actuales, desde los más sencillos hasta los que utilizan tecnología de filtros dinámicos de conexiones (stateful inspection), que, como se trata en la última unidad, suelen permitir también el uso de distintos métodos criptográficos para la creación de redes privadas virtuales. Asimismo se analizan las técnicas de análisis de vulnerabilidades y de detección de intrusiones, para acabar con las técnicas de creación de redes seguras con diseños de alta disponibilidad. La tercera y última unidad didáctica trata los métodos cnptográficos de obtención de seguridad informática. Se empieza enlazando la criptografía tradicional con sus usos informáticos, analizando los distintos algoritmos utilizados y qué propiedades de seguridad proporcionan. Se hace un análisis de conceptos y técnicas que ya son utilizados y que, aparentemente, lo serán cada vez más como los certificados electrónicos, la firma digital y sus aplicaciones y problemas, etc. A continuación se analizan algunos de los principales protocolos criptográficos de uso en sistemas de seguridad actuales, como IPSec o SSL. Uno de estos sistemas, quizás uno de los más populares por la cantidad de implantaciones actuales, es el de las redes privadas virtuales, analizado en otro de los capítulos de esta unidad didáctica. Finalmente se analizan las ventajas y problemas actuales del comercio electrónico, verdadero motor nuevo de creación de riqueza, que está cambiando claramente la forma de vivir en muchos sentidos.

15

16

17 Capítulo 3 DESCRIPCIÓN DEL PROBLEMA DE LA SEGURIDAD EN LAS COMWICACIONES Y EN LA INFORMACI~N. TIPOS DE ATAQUES

18

19 ESQUEMA 1.1. Introducción 1.2. Las preguntas que deben hacerse para definir el problema 1.3. Soluciones aparentemente perfectas y soluciones razonables 1.4. Conclusiones 1.5. Evaluación

20

21 Nuestro mundo está repleto de sistemas. compuestos por máquinas y por programas. Casi cada objeto que nos rodea es un sistema, compuesto por una o vanas máquinas, controladas por una o vanas piezas de componentes que se denominan software, que no son sino programas de ordenador. Muchos de esos sistemas (por ejemplo, los ordenadores) forman parte de redes, privadas o de empresa, públicas, grandes o pequeñas, interconectadas unas con otras y comunicándose entre sí mediante otro gran sistema hardware (cables o inalámbnco), gestionado, a su vez, por un conjunto de aplicaciones con distintos objetivos, a los que se denominan protocolos. La red Internet es, con una muy alta probabilidad, el sistema más complejo que se haya desarrollado jamás. Está compuesto por muchos millones de ordenadores interconectados mediante una red física de complejidad sin igual. Además, cada ordenador contiene gran cantidad de programas que interactúan entre sí (en el mismo sistema) o con otros programas en otros ordenadores de la red. Este sistema, al que se denomina Internet, suele estar recibiendo, y procesando, información de millones de personas a la vez. Desde el punto de vista del objetivo de este libro, todos los sistemas exhiben una serie de propiedades interesantes. Los sistemas son complejos y capaces de interactuar. Tomando como ejemplo un ordenador: sus miles de programas tienen cada uno su propio trabajo que realizar, pero, también, desarrollan este trabajo basándose en la interacción con sus semejantes en el mismo ordenador y en otros ordenadores. Otra propiedad curiosa (y, a veces, desagradable) de los sistemas es que muchos de ellos hacen cosas no pensadas (ni diseñadas) por sus creadores y usuarios. Se puede decir que los sistemas tienen propiedades no buscadas. Como ejemplos, se puede citar la forma en que los automóviles han cambiado la manera en la que las personas quedan para verse o, a veces, la forma en la que se enamoran, etc. 0, también, se puede pensar en cómo los aparatos de aire acondicionado han cambiado la manera en la cual se transmiten las

22 24 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACI~N enfermedades y catarros. Incluso han cambiado las fechas del año en las es que es más frecuente constiparse. Finalmente, los sistemas, especialmente los ordenadores de todas clases y con cualquier tipo de software, tienen estas propiedades no buscadas (bugs). Un bug es una clase de *fallo del sistema,, muy típico de la informática; es, simplemente, una propiedad no deseada de un sistema, que no se debe confundir con que el sistema no Funcione correctamente. Estas propiedades hacen que sea difícil conseguir que un sistema, como una red de Universidad, o de empresa, o, más aún, la red Intemet, sea seguro. Los sistemas seguros son difíciles de obtener. Los sistemas complejos seguros son aún más difíciles de realizar. Como se verá más adelante. los ataaues a los sistemas en redes se avrovechan de esa complejidad de la que se está hablando, ya sean ataques de obtención de información (de contraseñas de sistemas y aplicaciones o de datos), ataques de acceso no autorizado a sistemas, aplicaciones, etc., ataques de modificación de información o de borrado de información o ataques de denegación de servicio, que tienen como consecuencia la inhabilitación de un servidor Web o de correo y, en general, no poder usar un recurso concreto. Contra este tipo de problemas, se desarrollan tecnologías informáticas que, como los cortafuegos o la criptografía de comunicaciones, parecen impecables. Desde luego, son necesarios, como se verá más adelante, pero, a su vez, están compuestos de sistemas, que pueden (y, por desgracia, suelen) exhibir los mismos problemas citados. Si uno repasa los ejemplos de problemas de seguridad en las comunicaciones citados en la introducción general, comprobará que prácticamente todos (incluidos los que tienen que ver con problemas en sistemas de seguridad) están relacionados con esas propiedades de los sistemas que se han citado previamente. Ayudará bastante pensar, desde el principio (y a lo largo de todo el libro), que, con todos sus componentes hardware, software, etc., la seguridad es un sistema dentro de sistemas mayores, que más que un producto o un conjunto de ellos, más que una o vanas tecnologías, la seguridad es un proceso, que hace intervenir todas las tecnologías, todos los productos y, especialmente, el sentido común de los seres humanos que la gestionan, ese mismo sentido común que.es el menos común de los sentidos.. Por otro lado, ano hay nada nuevo bajo el sol,,. La seguridad en las redes y comunicaciones usa nuevas herramientas, nuevas tecnologías, pero no será digna de uso si no utiliza las viejas técnicas de seguridad humana que se llevan usando (cuando se usan) miles de años en muy diversas circunstancias. Esto último se puede ver más en detalle. Así, se va a dejar de pensar durante un rato en ordenadores, redes, virus, Internet, etc.

23 DESCRIPCIÓN DEL PROBLEMA DE LA SEGURIDAD EN LAS COMUNICACIONES Piense en un buen sistema de seguridad de un banco: debe tener en cuenta la prevención, la detección y la respuesta al problema concreto. Debe tener una cámara acorazada para proteger el dinero, joyas, etc. (prevención), debe tener alarmas para identificar a los posibles ladrones (detección) y debe contactar con los guardias (o la policía) para que los detenga (respuesta). La seguridad informática de hoy en día suele tener muy en cuenta la prevención (cortafuegos. criptografía, etc., como se verá más adelante) pero está evolucionando en cuanto a las otras dos (que también se tratarán en el libro). Empiezan, poco a poco, a verse herramientas de detección (como los sistemas de detección de intrusiones) y herramientas y sistemas (muchas veces humanos) de auditoria de vulnerabilidades. En la lista, de la introducción general del curso, de problemas de seguridad, hoy por hoy, casi todos tienen que ver con cómo vencer los mecanismos de prevención, pues, aún, los otros no suelen tenerse en cuenta suficientemente. Con todo esto en mente, se tratará en este capítulo de identificar cuáles son las preguntas que uno debe hacerse para definir mejor el sistema que uno quiere asegurar, explorando alguna solución aparentemente perfecta (pero solo aparentemente), y llegando a una solución imperfecta pero realista, basada en lo que se llamará política de seguridad del sistema, herramienta básica para la seguridad y concepto del que se hablará constantemente en este libro, pues será la.idea-motor. del resto del libro. Finalmente, se repasarán las ideas y conceptos Fundamentales enunciados en este capítulo LAS PREGUNTAS QUE DEBEN HACERSE PARA DEFINIR EL PROBLEMA En primer lugar, se debe recordar que el objetivo prioritario es conseguir la seguridad más completa para los sistemas y redes de comunicación. Para ello, se va a delimitar más el problema usando una vieja táctica pedagógica: hacerse preguntas clave. Nuestra primera pregunta clave debe resultar evidente, es de esperar, a estas alturas: A) Qué es lo que se quiere tener protegido?, o, expresado de otra forma, qué se puede perder? Esta pregunta debe llevar a realizar un inventario de los activos, entendiendo como tales los sistemas, redes, aplicaciones, elementos de red, bases de datos y, en general, cualquier tipo de activo, físico o no, que se quiera tener asegurado. Por supuesto, no todos los activos tendrán el mismo valor y éste será un criterio muy importante a la hora de establecer una estrategia de cara a la

24 26 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN seguridad. Por ejemplo, supóngase una empresa con una base de datos con información de sus productos. Digamos que esta base de datos es accesible a los posibles clientes por Internet. Supóngase que se tiene una copia de seguridad de la base de datos suficientemente buena y que se tiene un plan de recuperación de la base de datos en caso de pérdida de datos. Supóngase que el coste de tal recuperación se estima en Tiene sentido poner en marcha un sistema de prevención de ataques que cueste ? La respuesta suele ser NO!, pero, y si la empresa solo vende por Intemet, en cuánto dañana su imagen ese ataque y perdida? Esta situación hay que evaluarla con detalle en lo que se denomina el análisis de riesgos, que se tratará más adelante. Como ya se ha comentado, esto no es más que aplicar ideas generales a la informática. Cuando se va a contratar un seguro para nuestra casa, también se realiza un inventario para la compañía de seguros. El objetivo del inventano es poder obtener una idea precisa de la cuantía de las perdidas en caso de robo. Otra pregunta que ayudará mucho a definir el problema es: B) Contra quién se quiere proteger? o, expresado de otra forma, en quién se puede confiar y en quién no?, quiénes son los posibles atacantes? En otros libros, refiriéndose a esta idea, se desarrolla lo que se llama el modelo de confianza. Con este análisis, se debe decidir qué empleados tienen acceso a que activos y por qué, qué tipo de acceso (si es que alguno) se va a dar a cada persona de cada organización que colabore con la empresa, qué tipo de acceso (físico o lógico), es decir, acceso a ordenadores, redes y datos. Asimismo, se deberá pensar en qué tipo de acceso van a tener los posibles clientes de la organización. La cosa se complica un poco (y suele hacerlo) si alguno de los clientes es, además, colaborador de la organización. Además, se debe meditar (estrujamos la cabeza) lo más posible sobre quién y por qué querría atacar a la organización. Esto, que está muy ligado con lo anterior, hará incluir una categoría de individuos que no ha aparecido aún: los smalosx de la película. Podría parecer que son clases separadas, que estos últimos son de una categoría distinta a la de los empleados, compañeros, colaboradores o clientes; pero esto no suele ser así, desgraciadamente. Si uno estudia distintas encuestas serias sobre perdidas económicas debidas a ataques informáticos (http://www.fbi.com/, observa que se dan una serie de características comunes:

25 DESCRlPCIbN DEL PROBLEMA DE LA SEGURIDAD EN LAS COMUNICACIONES Alrededor del 65% (el 55% en unas encuestas, el 75% en otras) de los encuestados reconocen haber sido atacados (perdidas de datos, perdida de información, inhabilitación de servidores o de acceso a redes, cambio de información, robo, fraude, etc.) en el último año. 2. Alrededor del 60% de los encuestados reconocen que algunos de sus ataques fueron realizados desde el interior de sus organizaciones. 3. Alrededor del 60% de los encuestados reconocen que algunos de sus ataques fueron realizados mediante conexiones desde la red Internet. 4. Prácticamente todos los encuestados reconocen haber sufrido más incidentes de este estilo que en el año anterior. Con esto se llega a la conclusión de que el perfil del posible atacante no hay que buscarlo solo en un <asuario. de la red Internet, sino también dentro de la organización. Sin pretender ser completamente exhaustivo, se van a enumerar los tipos de atacantes más habituales y sus posibles motivaciones. En cuanto a los tipos, se debe empezar hablando del hacker. Es ésta una palabra que ha cambiado de significado con el tiempo. Al principio, los hackers eran simplemente personas muy expertas en un sistema operativo, protocolos, etc., que, en el caso de encontrarse fallos de seguridad de un sistema, lo notificaban al fabricante, incluso, a veces, facilitando, además, una posible solución. Tales personas existen todavía y, aunque sus hallazgos suelen ser bien interesantes, hay una polémica, hoy en día, sobre si hacen bien o mal a la industria informática. Pero más bien se le da hoy un sentido peyorativo a la palabra hacker, pensando en alguien que, por distintas motivaciones (venganza, ira, cuestiones religiosas, políticas o simplemente reto intelectual), ataca las redes o sistemas de una organización. Algunos ejemplos de tales motivaciones son: Empleados que son despedidos injustamente, desde su punto de vista y que dejan en los sistemas de la empresa.sorpresas,> que destruyen datos de la organización. Empleados que entienden que son injustamente pagados, a menudo en comparación con algún compañero suyo, y alteran los registros de personal propios o de los compañeros o de ambos. Defensores de los derechos civiles (principalmente en los EE.UU.) que atacan a los servidores Web de organizaciones racistas y, por supuesto, el caso contrario. Hackers que roban mensajes de correo electrónico de unos políticos, para otros políticos.

26 28 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFOR~MCIÓN Individuos que acceden a sitios Web muy conocidos (por ejemplo, el del periódico New York Times) para cambiar su contenido, por razones de línea editorial u otras. Otro tipo de atacante cada vez más extendido es el -amateur que juegan (en EE.UU., se les llama wannabes, despectivamente). El perfil suele ser el de una persona joven (o muy joven), sin experiencia de sistemas ni de redes, que usa herramientas automatizadas contra sistemas por Internet, para ver qué pasa. Como citaba uno de ellos en una revista, para qué voy a jugar *a matar marcianitos,, en mi PC, pudiendo desconectar redes enteras de Internet?, esto es mucho más emocionante. En este caso si hay una diferencia con la vida *no informática.. En la <<vida real., un ladrón profesional puede llegar a.formar. a una serie de aprendices con disciplina, esfuerzo, entrenamiento y, sobre todo, mucho tiempo, hasta conseguir que alguno consiga el «título» de ladrón profesional. Hay que insistir, cuesta mucho tiempo. Una persona, suficientemente brillante, pero desequilibrada, puede crear una aplicación que desconecte redes (o solo sistemas) de Intemet, valiéndose de las numerosas vulnerabilidades existentes en ellos, hacerla fácil de uso, crear un manual de usuario de la herramienta y publicarla en Internet, accesible a mucha gente a la vez, que la podrán usar de forma incontrolada para estas y otras muchas aplicaciones. Se está hablando de herramientas reales, que llevan siendo observadas desde hace más de 3 años en Internet, que han causado muchos problemas y que forman parte de lo que, más adelante, se definirán como.herramientas de ataque por denegación de servicio.. Suelen pedir como entrada de datos el nombre del sistema que se quiere desconectar y, como mucho, el nombre de otro sistema por el que se quiera hacer pasar el atacante. Colocadas <<sabiamente. en determinados Web o servidores ftp, son accesibles a decenas de miles de camateurss en pocos días y estos solo tienen que probar repetidamente contra multitud de sitios <<a ver qué pasan. Los amateurs son muy peligrosos. Finalmente, se hablará de un tercer tipo de atacante, el menos numeroso pero el más peligroso: el profesional. Se conoce como tal al individuo que presta (interesada o desinteresadamente) sus conocimientos y experiencia para atacar con un objetivo concreto, que puede ser el robo, la alteración de información con fines delictivos o el sabotaje. Lo que les caracteriza especialmente es el modo <cprofesionaln de atacar. Al igual que un ladrón que pretende robar en una serie de casas de una calle obtiene primero la mayor cantidad de información de cada casa, piso, vecino, portero, automóviles, etc., el profesional obtiene una gran cantidad de información para estar bien seguro de cuales son los puntos débiles y por dónde puede empezar su trabajo. El siguiente paso suele ser el ataque de acceso a

27 DESCRIPCIÓN DEL PROBLEMA DE LA SEGURIDAD EN LAS COMUNICACIONES algún sistema, pero borrando sus huellas y sin alterar nada (o lo menos posible). Suele dejarse varios caminos de huida posibles, suele atacar mediante saltos (conexiones de equipo a equipo) y tener muy claro dónde, cuándo y durante cuánto tiempo estará seguro en su ataque. Suele tener muy claro que el atacado debe defender todas sus posiciones, el solo tiene que encontrar el eslabón más débil y aprovecharse del dicho de que.una cadena es tan segura como su eslabón más débil.. Otra pregunta muy importante para caracterizar finalmente el problema es: C) Cómo se quiere proteger? o, más concretamente qué tecnologías, mecanismos, sistemas concretos, procesos se van a utilizar para protegerlo? Para contestar bien a esta pregunta se tienen que conocer dos temas complejos: a) los distintos tipos de ataques posibles. b) las distintas defensas posibles. y a esto se va a tratar de contestar durante la mayoría de capítulos de este libro. Antes de seguir, hay que hacer un comentario muy importante. Nunca se van a conocer todos los distintos tipos de ataques posibles. Es imposible que lo haga nadie, pues nadie puede abarcar todo lo hecho y todo lo que se puede estar haciendo ahora y se podrá hacer más adelante. Así, un buen profesional ha de conformarse con conocer el mayor número posible y estar bien informado sobre todos los nuevos que van apareciendo. No obstante, y antes de estudiarlos con más detalle en el capítulo 4 de este libro, se van a enumerar, como introducción, los tipos más importantes: 1. Ataques para obtener información. Son ataques -no intrusivos~, que tienen como objetivo obtener información (como direcciones IP de redes y sistemas, sistemas operativos de cada equipo, números de puerto abiertos, aplicaciones y sus versiones, contraseñas, etc.). 2. Ataques de acceso no autorizado. Son ataques de acceso de personas no autorizadas a los sistemas. Suelen ser pruebas, sin mayor interés que demostrarse a sí mismos que pueden llegar a ese sistema. Pueden ser peligrosos si el acceso se hace, además, a través de una cuenta privilegiada del sistema. 3. Ataques con revelación de información. Una vez se tiene el acceso anterior, se puede utilizar ese acceso para acceder a información secreta, con idea de aprovecharse de esa información, de borrarla o, peor aún, de modificarla con algún fin no demasiado lícito.

28 30 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN 4. Ataques de denegación de servicio. Buscan dejar no disponible un sistema, un servicio o una red, habitualmente agotando el recurso, sea este el ancho de banda, espacio en disco, conexiones TCP, etc. Desafortunadamente, este tipo de ataques no suele necesitar ningún acceso previo a ningún sistema. Éstos serían los más importantes, pero, además, hay que recordar que el atacante no tiene por que cumplir fielmente con un tipo de ataque determinado. Cada vez más, los ataques suelen ser combinaciones de vanos de estos ataques. En cuanto a las defensas posibles, aspecto éste completamente ligado con el anterior, se van a incluir igualmente en este libro, algunas de las más importantes: 1. Esquemas de seguridad de sistemas operativos. Especialmente para el caso de servidores con información muy relevante y de dispositivos de gestión de red, se deben mantener unos buenos esquemas de seguridad de ficheros, usuarios y aplicaciones, así como de servicios de red controlados desde tales sistemas. 2. Sistemas de identificación o autenticación seguros. Hay muchos y muy razonables, desde las contraseñas hasta los sistemas biométricos, certificados digitales, tarjetas de identificación o distintas combinaciones. Se pueden usar tanto para acceso local a dispositivos como para acceso remoto. 3. Sistemas de cortafuegos (o firewalls). Sistemas de control de la información en forma de mensajes que entran o salen de una red. Son muy populares hoy en día y los hay de muchos tipos distintos. 4. Sistemas criptográficos. Son sistemas que permiten, de varias formas distintas, mantener la integridad y la autenticación de mensajes o datos, así como la privacidad o confidencialidad de los mismos. Finalmente, como se verá, se integran en protocolos y parte de distintos sistemas operativos y aplicaciones, que usan algoritmos criptográficos suficientemente probados. 5. Sistemas antivirus. Son aplicaciones locales, o distribuidas, que permiten defenderse de los virus informáticos, nombre que reciben algunas aplicaciones utilizadas para cualquiera de los ataques citados más arriba y que se explorarán en más detalle a lo largo del libro. 6. Sistemas de análisis de vulnerabilidades. Son aplicaciones que permiten buscar en sistemas y aplicaciones instaladas distintos bugs o vulnerabilidades conocidas, para decidir si se corrigen (parchean), se cambian de versión o se dejan como están. 7. Sistemas de detección de intmsiones. Son sistemas o aplicaciones que permiten, en tiempo real, detectar determinados tipos de ataques y alertar sobre ellos, a la vez que, en algunos casos, pueden pararlos.

29 DESCRIPCI~N DEL PROBLEMA DE LA SEGURIDAD EN LAS COMUNICACIONES Una vez conocidos los ataques y las posibles defensas, se deberá decidir qué defensas se eligen frente a que ataques, pero aún no se puede del todo, faita todavía una última pregunta más, bastante delicada: D) Cuánto dinero se puede emplear en implantar y mantener el sistema de seguridad? La seguridad en las comunicaciones puede ser más o menos completa, pero siempre tiene un componente (como cualquier problema de seguridad) económico. Se debe tener en cuenta el dinero (o recursos de todo tipo) que van a ser empleados en cada una de las siguientes tareas; 1. Adquisición de herramientas hardware y sofrware, que implementen algunas de las defensas citadas. 2. El tiempo empleado en configurarlas y educar a los usuarios en su uso. 3. El tiempo empleado en la administración, mantenimiento y reconfiguración para permitir nuevos servicios, auditar las herramientas, etc. 4. El tiempo empleado, en muchos casos, en volver a una situación estable, después de la inconveniencia para los usuarios de alguno de los nuevos sistemas. Así pues, resumiendo, para tratar de enfocar el problema con acierto se debe tener cuanto más conocimiento mejor de qué se puede perder, qué se quiere proteger, de quién se quiere proteger, quién puede querer atacar, cómo pueden ser los ataques, cuáles pueden ser las defensas y cuánto se puede invertir. Finalmente, se debería tratar de condensar todo este conocimiento en un análisis de riesgos que, de manera condensada, tendría 4 puntos clave: 1. Valorar los activos 2. Entender todas las posibles amenazas. 3. Monitorizar y conocer todas las debilidades y vulnerabilidades del sistema. 4. Tratar de poner en marcha todas las medidas posibles para disminuir la probabilidad de tener perdidas SOLUCIONES APARENTEMENTE PERFECTAS Y SOLUCIONES RAZONABLES Aunque este capítulo es únicamente descriptivo (como su nombre indica), ya se ha visto qué tipos de problemas se pueden encontrar para asegurar, en lo posible, las redes. Éstos son realmente complejos y con muchas connotaciones físicas y lógicas.

30 32 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN Contra problemas tan complejos como éstos se puede hacer una aproximación completa, en el sentido de tratarlos como problemas científicos, estudiarlos de manera analítica, teniendo como objetivo que, en el sistema concreto, la probabilidad de sufrir un ataque sea lo más cercana a cero. A esta aproximación, que ahora se va a desarrollar, se le da el nombre de aproximación militar. Tal aproximación, que sería perfecta si lograra su objetivo -probabilidad de sufrir un ataque igual a cer* pasa por cumplir y hacer cumplir una serie de requisitos formidables sobre todas las partes de la organización que va a ser asegurada y lleva a tomar una serie de decisiones de mucho peso, como por ejemplo: No aceptación de ningún código de aplicación no desarrollado siguiendo las propias normas de seguridad. No aceptación de ningún sistema operativo no suficientemente comprobado, lo que suele querer decir, tecnología menos moderna. No aceptación de ninguna actualización de ningún sistema operativo hasta que hubiera pasado un margen suficiente de xexposiciónn al mundo real como para estar stranquilos~. No conectarse a Intemet o, si ya se estuviese conectado, desconectarse de ella y constituir una red propia. Hay organizaciones, como los ejércitos, algunos sistemas del transporte ferroviario japonés, proyectos de investigación de tecnología militar, etc., que tienden a esta solución perfecta, pero la mayoría de las organizaciones de cualquier otro tipo no suelen ah-ontar el problema de la seguridad de las comunicaciones de esa manera, debido al altísimo coste económico que tiene, no suele ser un lujo al alcance de cualquiera y, en el caso del comercio electrónico, se podría decir que de nadie. Para cualquiera que lea una revista de informática actual, podría parecerle que con la cantidad de herramientas disponible de todo tipo, esto no debería ser así; pero conviene recordar que la seguridad no es un producto, sino un proceso, en el que están involucrados desde sistemas software y hardware, redes, aplicaciones, organizaciones y personas. La criptografía, por ejemplo, no ha sido nunca en su historia tan potente y nunca ha sido tan fácilmente burlada como hoy en día. Existen muchas herramientas, pero hay que saber usarlas, no solo en el sentido de configurarlas, sino en el sentido de dirigirlas en el sentido adecuado, con la estrategia válida, que, por supuesto, tiene que tener en cuenta el componente económico. En este sentido es en el que se habla de una aproximación realista, en la cual se tienen en cuenta todos los factores citados en el apartado anterior, pero también el de no gastarse todo el presupuesto de la organización y sus recursos, que debe seguir funcionando y cumpliendo sus objetivos, sean éstos

31 DESCRIPCIÓN DEL PROBLEMA DE LA SEGURIDAD EN LAS COMUNICACIONES de negocio (telecomunicaciones, financieros, energéticos, etc.) o públicos (sanidad, transporte, educación, etc.). Y en el marco de esta aproximación se define lo que se denomina poiítica de seguridad. Siguiendo los criterios más comúnmente aceptados, como los del KIETF Site Security Handbook~, se puede definir la política de seguridad como:.una serie de sentencias formales (normas) que deben cumplir todas las personas que tengan acceso a cualquier información y10 tecnología de una organización. B El propósito principal de una política de seguridad es informar a los usuarios, trabajadores y personal de dirección de los requisitos obligatorios para proteger los valores tecnológicos e información de la empresa. La política debería especificar los mecanismos a través de los cuales estos requisitos puedan ser conocidos. Otro propósito es proporcionar una base para adquirir, configurar y auditar los sistemas de ordenadores y las redes. Por tanto, emplear un conjunto de herramientas de seguridad sin una política de seguridad implícita, no tendría mucho sentido. Una buena política de seguridad debe cumplir una serie de normas generales, una vez más, de sentido común: 1. Debe poderse implantar. Como consecuencia de ella, se deben tener unas normas de comportamiento para los usuarios y administradores, unas «políticas de uso aceptable,,. 2. Debe entenderse. Debería de explicarse a todo el personal de la organización el alcance de no cumplirla, así como el significado técnico y legal de una serie de conceptos que se irán analizando en detalle en el libro, como confidencialidad, integridad, identificación, autenticación, etc. 3. Debe cumplirse. Debe contemplar una serie de procedimientos de auditoria, para comprobar que no es.papel mojado., sino que está, realmente, cumpliéndose. Debe contemplar, igualmente, sanciones adecuadas a cada una de las posibles infracciones. En este sentido, es muy importante señalar que debe estar respaldada completamente por la dirección de la organización, sin tal apoyo nunca se puede llevar a cabo. 4. Debe definir responsabilidades. No puede ser igual el papel de un usuario que el de un administrador de una gran red, en el sentido de las distintas responsabilidades. 5. Debe permitir que siga realizándose el trabajo normal. Si no fuera así, se estaría en la aproximación militar: no se permite un nuevo ser-

32 34 SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACION vicio, hasta que sea completamente seguro. Debe oh-ecerse seguridad, pero no al precio de que no funcione la empresa. Debe implicar un análisis de riesgos, teniendo en cuenta el precio de la seguridad frente a la probabilidad de pérdida. 6. Debe ser exhaustiva. Debe tener en cuenta todos los componentes del sistema, es decir, debe incluir como objetivos asegurar: Componentes físicos. Sistemas informáticos (ordenadores personales, portátiles, servidores, hosts, etc.) y su software. Aplicaciones en red de los sistemas. Sistemas de red (encaminadores, puentes, conmutadores, etc.) y su sofrware. Sistemas de gestión de red Organizaciones humanas, individuos, departamentos, divisiones, colaboradores externos, clientes, etc. 7. Debe incluir mecanismos de respuesta. Habrá que tener en cuenta qué se debe hacer al sufrir un ataque, cómo pararlo, cómo identificar al atacante y cómo responder al ataque. 8. Debe tener mecanismos de actualización. Esto es, simplemente, por el principio enunciado de que la seguridad es un proceso. Al descubrir mediante una auditoria por ejemplo, un fallo en el sistema de seguridad no contemplado en la política, hay que poder hacer una nueva versión de la misma e implementarla. Además, como se verá en el capítulo 6, hay que tener en cuenta muchos otros detalles importantes. No es este el momento de profundizar en ellos, pero su enumeración dará una idea de conjunto de su importancia: Contemplar el principio de privilegio mínimo necesario. El principio de defensa en profundidad, con la existencia de más de un nivel de defensas. El principio de diversidad de defensa, con la existencia de defensas de distintos tipos. Conocimiento permanente del punto débil de la organización Participación universal del personal de la organización. Simplicidad de los mecanismos de seguridad. Se debería pensar en la política de seguridad de un sistema como en la política de asuntos exteriores de un gobierno: define sus intenciones y sus objetivos y mantiene una consistencia en todas sus acciones, especialmente

33 de defensa ante las amenazas. Si no existieran amenazas, no haría falta ninguna política de seguridad. España la tiene como estado, pero Galicia, por ejemplo, no la necesita como parte del estado. Esta aproximación es, en el fondo, la aplicación (compleja a veces, sencilla otras veces) del sentido común al problema existente. Aún así, la mayor parte de las organizaciones en las que debería estar utilizándose no se hace. En las encuestas previamente citadas, se sigue teniendo alrededor de un 30% de los encuestados sin ninguna política de seguridad y un i70%! con una política de seguridad que reconocen que no se cumple, ni se mantiene. En el mundo actual, y se está haciendo día a día, la mayor parte de las organizaciones adoptarán, más tarde o temprano, una aproximación semejante. En España, el cumplimiento de leyes como la LOPD (Ley Orgánica de Protección de Datos) y la LSSICE (Ley de Servicios de la Sociedad de Información y Comercio Electrónico) está obligando ya a muchas empresas a poner en marcha esta aproximación. Solo se verá la solución perfecta (que nunca lo es del todo) en contadas ocasiones CONCLUSIONES Se ha hecho una descripción introductoria de cuál es el objetivo que se quiere definir y en el que se quiere profundizar a lo largo de este libro: Las redes de comunicaciones están presentes, hoy en día, en todos los sitios. Tales redes son, en realidad, complejos *sistemas de sistemas», formados por máquinas trabajando e interactuando entre sí, almacenando e intercambiando datos de todas clases, y usadas y gestionadas por seres humanos. Las máquinas, los sistemas y subsistemas exhiben una serie de propiedades que hacen que no sean completamente predecibles cuando trabajan solas o en comunicación, como por ejemplo los bugs, algunos de los cuales se traducen en problemas de falta de fiabilidad y precisión, otros en falta de seguridad. Tales problemas, unidos a una posible mala gestión técnica y la aceleración del trabajo del día a día, hacen que se hayan desarrollado, y lo sigan haciendo, todo tipo de ataques de obtención de información, de robo, sabotaje, denegación de servicio, etc. Todas las organizaciones están, de una manera u otra, expuestas a ese tipo de ataques, pero pocas tienen en cuenta algo más que sistemas de prevención que, como se ve todos los días en la vida real, no son sufi-

34 36 SECUNDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN ciente para parar tales ataques. Pocas tienen en cuenta temas como son los mecanismos de detección y respuesta. Para precisar más el problema, deben plantearse una serie de preguntas: Qué es lo que se quiere tener protegido? Contra quién se quiere proteger? Cómo se quiere proteger? Cuánto dinero se puede emplear en implantar y mantener el sistema de seguridad? que ayudarán a identificar muchos detalles necesarios, como los datos más importantes de la organización, el modelo de confianza en la organización, qué tipo de ataques se puede sufnr más probablemente, y a un análisis de riesgos, que permita abordar el problema con mucha más información. Se ha visto, también, la importancia que tiene, hoy en día, una buena política de seguridad, verdadero eje maestro del sistema de seguridad, modificable, implantable y resultado de una decisión consciente de la dirección, en un mundo en el que, raramente, se puede permitir el lujo de abordar el problema con el objetivo de que el ataque sea completamente imposible. Finalmente, hay que remarcar, otra vez, la idea de que la seguridad a aplicar a un sistema no es el resultado de una ecuación matemática, no se consigue comprando uno u otro producto, o ambos, ni contratando el mayor experto anti-hacker (o hacker) del mundo. Es un proceso complejo que debe apoyarse, obviamente, en las herramientas sofisticadas de seguridad de que se dispone actualmente, pero no deja de ser un proceso, que hay que vigilar, mantener y alimentar. En los siguientes capítulos, se explorará, ya con más detalle, muchos de estos aspectos descritos aquí, empezando por los elementos hardware y software habituales en las redes de comunicación, siguiendo con los métodos de ataque (se intentará entrar en la mente de un hacker), tratando de normalizarlos, y viendo sus posibles defensas, para llegar a una definición más exhaustiva de una buena política de seguridad en el capítulo 6 del libro. 1. Un bug es: a) Una consecuencia, imposible de evitar, del mal diseño de los compiladores actuales. b) Una herramienta de seguridad, diseñada para detectar problemas en las comunicaciones.

FORMACIÓN DE EXPERTO EN EL CICLO DE VIDA DE LA SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN

FORMACIÓN DE EXPERTO EN EL CICLO DE VIDA DE LA SEGURIDAD EN LAS COMUNICACIONES Y EN LA INFORMACIÓN Curso 100% subvencionado por el Programa Avanza Formación para trabajadores de pyme. TSI-010106-2011-130 CURSO DE: FORMACIÓN DE EXPERTO EN EL CICLO DE VIDA DE LA SEGURIDAD EN LAS COMUNICACIONES Y EN LA

Más detalles

GUÍA DE ESTUDIO DE LA ASIGNATURA SEGURIDAD

GUÍA DE ESTUDIO DE LA ASIGNATURA SEGURIDAD GRADO GUÍA DE ESTUDIO DE LA ASIGNATURA SEGURIDAD 2ª PARTE PLAN DE TRABAJO Y ORIENTACIONES PARA SU DESARROLLO 2014-2015 Dr. Mª de los Llanos Tobarra Abad Dr. Roberto Hernández Berlinches GRADO EN INGENIERÍA

Más detalles

PROCESOS Y HERRAMIENTAS DE GESTIÓN DE LA SEGURIDAD DE REDES

PROCESOS Y HERRAMIENTAS DE GESTIÓN DE LA SEGURIDAD DE REDES ASIGNATURA DE GRADO: PROCESOS Y HERRAMIENTAS DE GESTIÓN DE LA SEGURIDAD DE REDES Curso 2014/2015 (Código:71023074) 1.PRESENTACIÓN DE LA ASIGNATURA Esta guía presenta las orientaciones básicas que requiere

Más detalles

ASIGNATURA DE GRADO: SEGURIDAD

ASIGNATURA DE GRADO: SEGURIDAD ASIGNATURA DE GRADO: SEGURIDAD Curso 2014/2015 (Código:71013124) 1.PRESENTACIÓN DE LA ASIGNATURA Esta guía presenta las orientaciones básicas que requiere el alumno para el estudio de la asignatura de

Más detalles

SEGURIDAD INFORMÁTICA DE DATOS, SISTEMAS Y COMUNICACIONES

SEGURIDAD INFORMÁTICA DE DATOS, SISTEMAS Y COMUNICACIONES ASIGNATURA DE MÁSTER: SEGURIDAD INFORMÁTICA DE DATOS, SISTEMAS Y COMUNICACIONES Curso 2011/2012 (Código:28803222) 1.PRESENTACIÓN Hoy en día en la mayoría de redes industriales y de sistemas de procesos

Más detalles

SEGURIDAD INFORMÁTICA 2º SISTEMAS MICROINFORMÁTICOS Y REDES 1. CONTENIDOS MÍNIMOS PARA LA EVALUACIÓN POSITIVA

SEGURIDAD INFORMÁTICA 2º SISTEMAS MICROINFORMÁTICOS Y REDES 1. CONTENIDOS MÍNIMOS PARA LA EVALUACIÓN POSITIVA 2ª evaluación 1ª evaluación DEPARTAMENTO MATERIA CURSO INFORMÁTICA SEGURIDAD INFORMÁTICA 2º SISTEMAS MICROINFORMÁTICOS Y REDES 1. CONTENIDOS MÍNIMOS PARA LA EVALUACIÓN POSITIVA - Conocer las diferencias

Más detalles

Seguridad en Informática Aspectos Duros y Blandos. Dr. José Fernández G.

Seguridad en Informática Aspectos Duros y Blandos. Dr. José Fernández G. Seguridad en Informática Aspectos Duros y Blandos Dr. José Fernández G. Octubre 2013 Agenda Definición de Seguridad Informática. Objetivos del Área de Seguridad Informática. Amenazas y sus distintos tipos.

Más detalles

Seguridad Informática

Seguridad Informática Seguridad Informática Cuando hablamos de Informática nos referimos a todos los recursos que están relacionados con el manejo de la información y, como es de todos conocido la información viene a representar

Más detalles

CICLO FORMATIVO DE GRADO MEDIO SISTEMAS MICROINFORMÁTICOS Y REDES (S.M.R.) SEGURIDAD INFORMÁTICA Programación didáctica

CICLO FORMATIVO DE GRADO MEDIO SISTEMAS MICROINFORMÁTICOS Y REDES (S.M.R.) SEGURIDAD INFORMÁTICA Programación didáctica CICLO FORMATIVO DE GRADO MEDIO SISTEMAS MICROINFORMÁTICOS Y REDES (S.M.R.) SEGURIDAD INFORMÁTICA Programación didáctica CURSO 2010-2011 I.E.S. JOSE LUIS SAMPEDRO INMACULADA BELÉN MAS Departamento de Informática

Más detalles

Identificación... 1. Contenido... 1. Objetivos del módulo/unidad formativa profesional... 2

Identificación... 1. Contenido... 1. Objetivos del módulo/unidad formativa profesional... 2 Identificación Ciclo: Sistemas Microinformáticos y Redes 2º Código: 0226 Módulo profesional: Seguridad informática Profesor/a: Javier Sorinas Buil Año: 2015-2016 Contenido Identificación... 1 Contenido...

Más detalles

El contenido de este fichero está publicado bajo una licencia Creative Commons. Reconocimiento-NoComercial-SinObraDerivada 2.

El contenido de este fichero está publicado bajo una licencia Creative Commons. Reconocimiento-NoComercial-SinObraDerivada 2. El contenido de este fichero está publicado bajo una licencia Creative Commons. La licencia bajo la que se encuentra este fichero es: Reconocimiento-NoComercial-SinObraDerivada 2.1 España Puede ver el

Más detalles

CI Politécnico Estella

CI Politécnico Estella SÍNTESIS PROGRAMACIÓN DEL MÓDULO/ DEPARTAMENTO:INFORMÁTICA GRUPO/CURSO: 2º MR 2014-15 MÓDULO / : SEGU PROFESOR: SARA SANZ LUMBIER 3.- CONTENIDOS: 3.1.- Enumera las Unidades Didácticas o Temas: (precedidos

Más detalles

SEGURIDAD INFORMATICA. Prof.: Ing. Alberto Esteban Barrera Alumno: Ricardo Farfán Patiño

SEGURIDAD INFORMATICA. Prof.: Ing. Alberto Esteban Barrera Alumno: Ricardo Farfán Patiño SEGURIDAD INFORMATICA Prof.: Ing. Alberto Esteban Barrera Alumno: Ricardo Farfán Patiño DEFINICIONES DE HACKER: Un hacker (del inglés hack, recortar), también conocidos como sombreros blancos es el neologismo

Más detalles

SIE - Firewall DMZ. Protección perimetral para su red local. 1. Importancia de los firewalls. 2. Arquitectura de la red

SIE - Firewall DMZ. Protección perimetral para su red local. 1. Importancia de los firewalls. 2. Arquitectura de la red Protección perimetral para su red local por ALBA Software SIE Firewall es un sistema pensado para proteger la red de su empresa de posibles ataques de Internet. El firewall actua de barrera separando la

Más detalles

Seguridad Perimetral. Juan Manuel Espinoza Marquez juanmanuel.espinoza@gmail.com CFT San Agustín Linares -2012

Seguridad Perimetral. Juan Manuel Espinoza Marquez juanmanuel.espinoza@gmail.com CFT San Agustín Linares -2012 Seguridad Perimetral Juan Manuel Espinoza Marquez juanmanuel.espinoza@gmail.com CFT San Agustín Linares -2012 Introducción La mayoría de las empresas sufren la problemática de seguridad debido a sus necesidades

Más detalles

SEGURIDAD EN INFORMÁTICA

SEGURIDAD EN INFORMÁTICA SEGURIDAD EN INFORMÁTICA LA SEGURIDAD Y SUS IMPLICACIONES Características principales de la seguridad en Internet: Confidencialidad. Sólo deben tener acceso a aquellas personas autorizadas para ello. Autentificación

Más detalles

GUIA DE SOLUCIONES Y SEGURIDADES ANTE POTENCIALES ATAQUES A LA PLATAFORMA LINUX

GUIA DE SOLUCIONES Y SEGURIDADES ANTE POTENCIALES ATAQUES A LA PLATAFORMA LINUX CAPITULO 7 CONCLUSIONES Y RECOMENDACIONES 1.- CONCLUSIONES Linux es un sistema operativo que requiere de altos conocimientos técnicos como programación, una alta cultura investigativa, curiosidad e iniciativa,

Más detalles

CÓDIGO: G52332 CURSO: SEGURIDAD INFORMATICA NIVEL MEDIO-AVANZADO Modalidad: Distancia Duración: 150 h

CÓDIGO: G52332 CURSO: SEGURIDAD INFORMATICA NIVEL MEDIO-AVANZADO Modalidad: Distancia Duración: 150 h PROGRAMA FORMATIVO CÓDIGO: G52332 CURSO: SEGURIDAD INFORMATICA NIVEL MEDIO-AVANZADO Modalidad: Distancia Duración: 150 h Objetivos: Los contenidos incluidos en este curso abarcan los conceptos básicos

Más detalles

3-ANÁLISIS DE VULNERABILIDADES

3-ANÁLISIS DE VULNERABILIDADES 3-ANÁLISIS DE VULNERABILIDADES Es la tercera fase del ciclo de auditoria del tipo Hacking Ético, y tiene como objetivo el identificar si un sistema es débil o susceptible de ser afectado o atacado de alguna

Más detalles

Software y Aplicaciones

Software y Aplicaciones Software y Aplicaciones 1. Consejo de Seguridad Informática ST04-006 Saber qué son los Parches Cuando los proveedores advierten vulnerabilidades en sus productos, a menudo largan parches para solucionar

Más detalles

HERRAMIENTAS DE SEGURIDAD

HERRAMIENTAS DE SEGURIDAD Seguridad Informática I M.C. Cintia Quezada Reyes HERRAMIENTAS DE SEGURIDAD Siempre es conveniente instalar herramientas de seguridad y es aconsejable que éstas sean las que se consideren necesarias después

Más detalles

Seguridad en Sistemas

Seguridad en Sistemas Seguridad en Sistemas Introducción En nuestra presentación el objetivo principal es entender que es seguridad y si existe la seguridad en los sistemas, y comprobamos que la seguridad en los sistemas no

Más detalles

Tutorial Redes Privadas Virtuales (VPNs sobre ADSL)

Tutorial Redes Privadas Virtuales (VPNs sobre ADSL) Tutorial Redes Privadas Virtuales (VPNs sobre ADSL) Cuando su empresa cuenta con más de una sucursal o mantiene intercambio constante de información entre sus proveedores y clientes, es vital encontrar

Más detalles

Capítulo 3: Lineamientos y prácticas para la administración del ancho de banda

Capítulo 3: Lineamientos y prácticas para la administración del ancho de banda Capítulo 3: Lineamientos y prácticas para la administración del ancho de banda 3.1 Comparación de la asignación estática y dinámica del ancho de banda La asignación estática es una técnica eficiente cuando

Más detalles

TALLER MANUEL ARROYAVE HENAO PRESENTADO A:

TALLER MANUEL ARROYAVE HENAO PRESENTADO A: TALLER DESCUBRIENDO OTRAS HERRAMIENTAS DE SW AUDITORIA MANUEL ARROYAVE HENAO JHON FREDY GIRALDO PRESENTADO A: CARLOS HERNAN GÓMEZ INGENIERO DE SISTEMAS UNIVERSIDAD DE CALDAS FACULTAD DE INGENIRIAS INGENIERIA

Más detalles

RECOMENDACIONES PARA SOFTWARE E INFRAESTRUCTURA SEGURA

RECOMENDACIONES PARA SOFTWARE E INFRAESTRUCTURA SEGURA RECOMENDACIONES PARA SOFTWARE E INFRAESTRUCTURA SEGURA Rodrigo Ferrer CISSP rodrigo.ferrer@sisteseg.com Bogotá Colombia www.sisteseg.com El objetivo primordial de la elaboración de este documento, se relaciona

Más detalles

ATAQUES DDOS. La seguridad de Internet en Jaque

ATAQUES DDOS. La seguridad de Internet en Jaque ATAQUES DDOS La seguridad de Internet en Jaque Índice Introducción Ataques DOS Ataques DOS Distribuidos Herramientas DDOS Soluciones Historia ATAQUES DDOS Introducción Internet se ha convertido en la última

Más detalles

SEGURIDAD EN INTERNET. MALWARE

SEGURIDAD EN INTERNET. MALWARE 1 SEGURIDAD EN INTERNET. MALWARE En Internet, como en casi todos los ámbitos de la vida, la seguridad, entendida tal cual se recoge en la Real Academia de la Lengua, es prácticamente imposible de conseguir;

Más detalles

Seguridad Wi-Fi. Seguridad Wi-Fi

Seguridad Wi-Fi. Seguridad Wi-Fi Cuando Ud. se comunica a través de Internet usando una conexión cableada o inalámbrica, querrá asegurar que sus comunicaciones y ficheros tienen privacidad y están protegidos. Si sus transmisiones no son

Más detalles

SEGURIDAD DE LOS DATOS 1/1. Copyright Nokia Corporation 2002. All rights reserved. Ver. 1.0

SEGURIDAD DE LOS DATOS 1/1. Copyright Nokia Corporation 2002. All rights reserved. Ver. 1.0 SEGURIDAD DE LOS DATOS 1/1 Copyright Nokia Corporation 2002. All rights reserved. Ver. 1.0 Contenido 1. INTRODUCCIÓN... 3 2. ARQUITECTURAS DE ACCESO REMOTO... 3 2.1 ACCESO MEDIANTE MÓDEM DE ACCESO TELEFÓNICO...

Más detalles

Seguridad en el correo electrónico y colaboración de su empresa

Seguridad en el correo electrónico y colaboración de su empresa Seguridad en el correo electrónico y colaboración de su empresa Estrategia de defensa en profundidad Hoy debido a las múltiples amenazas en seguridad que han evolucionado en Internet, las compañías están

Más detalles

9243059 Edición 1 ES. Nokia y Nokia Connecting People son marcas comerciales registradas de Nokia Corporation

9243059 Edición 1 ES. Nokia y Nokia Connecting People son marcas comerciales registradas de Nokia Corporation 9243059 Edición 1 ES Nokia y Nokia Connecting People son marcas comerciales registradas de Nokia Corporation Cliente de VPN Guía de usuario 9243059 Edición 1 Copyright 2005 Nokia. Reservados todos los

Más detalles

mope SEGURIDAD INFORMÁTICA

mope SEGURIDAD INFORMÁTICA DENOMINACIÓN: Código: IFCT0109 Familia Profesional: Informática y Comunicaciones Área profesional: Sistemas y telemática Nivel de cualificación profesional: 3 Cualificación profesional de referencia: IFC153_3

Más detalles

IPEC SANTA BÁRBARA DE HEREDIA MANTENIMIENTO PREVENTIVO DE COMPUTADORAS. Seguridad de los datos - Virus / Malware / Antivirus

IPEC SANTA BÁRBARA DE HEREDIA MANTENIMIENTO PREVENTIVO DE COMPUTADORAS. Seguridad de los datos - Virus / Malware / Antivirus IPEC SANTA BÁRBARA DE HEREDIA MANTENIMIENTO PREVENTIVO DE COMPUTADORAS Seguridad de los datos - Virus / Malware / Antivirus Seguridad de la información Son técnicas y actividades destinadas a preservar

Más detalles

1. SEGURIDAD INFORMÁTICA. 1.1. Seguridad informática

1. SEGURIDAD INFORMÁTICA. 1.1. Seguridad informática 1. SEGURIDAD INFORMÁTICA 1.1. Seguridad informática Seguridad física. Se entiende como el conjunto de medidas y protocolos para controlar el acceso físico a un elemento. Aplicado a la seguridad informática

Más detalles

12º Unidad Didáctica. Microsoft Internet Security and Acceleration Server ISA SERVER 2006. Eduard Lara

12º Unidad Didáctica. Microsoft Internet Security and Acceleration Server ISA SERVER 2006. Eduard Lara 12º Unidad Didáctica Microsoft Internet Security and Acceleration Server ISA SERVER 2006 Eduard Lara 1 ISA SERVER Es un firewall de stateful packet inspection (analiza el encabezado de los paquetes IP)

Más detalles

Guía del empleado seguro

Guía del empleado seguro Guía del empleado seguro INTRODUCCIÓN La seguridad de la información en una empresa es responsabilidad del departamento de IT (tecnologías de la información) o del propio área de Seguridad de la Información

Más detalles

Servicios de Seguridad de la Información

Servicios de Seguridad de la Información Servicios de Seguridad de la Información Las siguientes actuaciones son medidas dirigidas a garantizar la Confidencialidad, Privacidad y Disponibilidad de los Servicios de la Información y que podemos

Más detalles

RECETA ELECTRÓNICA Informe de Seguridad

RECETA ELECTRÓNICA Informe de Seguridad RECETA ELECTRÓNICA Informe de Seguridad EJIE, S.A. AVDA. MEDITERRÁNEO, 3 01010 - VITORIA-GASTEIZ 27/03/2007 1. INTRODUCCIÓN La información incluida a continuación pretende dar una información aproximada

Más detalles

Norma de seguridad de datos de la Industria de tarjetas de pago (PCI)

Norma de seguridad de datos de la Industria de tarjetas de pago (PCI) Norma de seguridad de datos de la Industria de tarjetas de pago (PCI) Resumen de los cambios de la a la 3.0 de las PCI DSS (Normas de seguridad de datos de la Industria de tarjetas de pago) Noviembre de

Más detalles

DESCRIPCIÓN DEL PROGRAMA TÉCNICO EN SEGURIDAD INFORMÁTICA

DESCRIPCIÓN DEL PROGRAMA TÉCNICO EN SEGURIDAD INFORMÁTICA DESCRIPCIÓN DEL PROGRAMA TÉCNICO EN SEGURIDAD INFORMÁTICA La Auditoría de las Tecnologías de la Información y las Comunicaciones adquiere cada vez mayor importancia, debido a la necesidad de garantizar

Más detalles

CUALIFICACIÓN SEGURIDAD INFORMÁTICA PROFESIONAL. Nivel 3. Versión 5 Situación RD 1087/2005 Actualización

CUALIFICACIÓN SEGURIDAD INFORMÁTICA PROFESIONAL. Nivel 3. Versión 5 Situación RD 1087/2005 Actualización Página 1 de 25 CUALIFICACIÓN SEGURIDAD INFORMÁTICA PROFESIONAL Familia Profesional Informática y Comunicaciones Nivel 3 Código IFC153_3 Versión 5 Situación RD 1087/2005 Actualización Competencia general

Más detalles

DOCUMENTO PARA CLIENTES, PROVEEDORES O TERCEROS- POLÍTICAS DE SEGURIDAD EMTELCO 1. POLÍTICA DE ACCESO PORTÁTILES SEDES EMTELCO.

DOCUMENTO PARA CLIENTES, PROVEEDORES O TERCEROS- POLÍTICAS DE SEGURIDAD EMTELCO 1. POLÍTICA DE ACCESO PORTÁTILES SEDES EMTELCO. DOCUMENTO PARA CLIENTES, PROVEEDORES O TERCEROS- POLÍTICAS DE SEGURIDAD EMTELCO Las siguientes políticas de seguridad son aplicables a los clientes, proveedores y/o terceros, que tengan alguna relación

Más detalles

Seguridad (informática) en redes corporativas

Seguridad (informática) en redes corporativas Seguridad (informática) en redes corporativas Algunos aspectos de la seguridad informática en departamentos de salud Joan Pau García Úbeda Informática Hospital Lluís Alcanyís Departament Xàtiva-Ontinyent

Más detalles

Módulos: Módulo 1. El núcleo de Linux - 5 Horas

Módulos: Módulo 1. El núcleo de Linux - 5 Horas Módulos: Módulo 1 El núcleo de Linux - 5 Horas En este módulo se centrará en el estudio en profundidad del núcleo de Linux. Los estudiantes tendrán que ser capaces de conocer en profundidad los distintos

Más detalles

MÁSTER ONLINE EN ADMINISTRACIÓN LINUX

MÁSTER ONLINE EN ADMINISTRACIÓN LINUX MÁSTER ONLINE EN ADMINISTRACIÓN LINUX Módulo 1 Hardware & Arquitectura de sistemas - 20 horas Este módulo permite conocer y configurar los elementos básicos del hardware del sistema, como también otros

Más detalles

ETHICAL HACKING. FAVA - Formación en Ambientes Virtuales de Aprendizaje. SENA - Servicio Nacional de Aprendizaje

ETHICAL HACKING. FAVA - Formación en Ambientes Virtuales de Aprendizaje. SENA - Servicio Nacional de Aprendizaje ETHICAL HACKING INTRODUCCIÓN Desde hace varias décadas han aparecido nuevas modalidades de delitos informáticos dentro de los que se encuentran los ataques por crackers o hackers capaces de comprometer

Más detalles

1. Aplica medidas de seguridad pasiva en sistemas informáticos describiendo características de entornos y relacionándolas con sus necesidades

1. Aplica medidas de seguridad pasiva en sistemas informáticos describiendo características de entornos y relacionándolas con sus necesidades Módulo Profesional: Seguridad informática. Código: 0226. Resultados de aprendizaje y criterios de evaluación. 1. Aplica medidas de seguridad pasiva en sistemas informáticos describiendo características

Más detalles

Introducción a redes Ing. Aníbal Coto

Introducción a redes Ing. Aníbal Coto Capítulo 1: Exploración de la red Introducción a redes Ing. Aníbal Coto 1 Capítulo 1: Objetivos Explicar la forma en que se utilizan varias redes en la vida cotidiana. Explicar las topologías y los dispositivos

Más detalles

SEGURIDAD INFORMÁTICA

SEGURIDAD INFORMÁTICA I.E.S. RUIZ GIJÓN DEPARTAMENTO DE INFORMÁTICA UTRERA (Sevilla) Objetivos, Contenidos y Criterios de Evaluación: C.F. GRADO MEDIO Sistemas Microinformáticos y Redes Curso: 2º CURSO ACADÉMICO 2013/2014 PROFESOR:

Más detalles

EXPERTO EN ADMINISTRACIÓN Y SEGURIDAD DE REDES INFORMÁTICAS

EXPERTO EN ADMINISTRACIÓN Y SEGURIDAD DE REDES INFORMÁTICAS Instituto de Formación Profesional CBTech Estudie desde su hogar y obtenga un certificado universitario Formación a distancia de EXPERTO EN ADMINISTRACIÓN Y SEGURIDAD DE REDES INFORMÁTICAS 1 Temario del

Más detalles

Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas por la CNBS

Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas por la CNBS Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas por la CNBS Julio 2005 Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas

Más detalles

5 POLÍTICAS DE SEGURIDAD INFORMÁTICA

5 POLÍTICAS DE SEGURIDAD INFORMÁTICA Capítulo 5 POLÍTICAS DE SEGURIDADD INFORMÁTICA En este capítulo se describen las políticas de seguridad para optimizar el control del ISP Cap.5 Pág. 99 POLÍTICAS DE SEGURIDAD INFORMÁTICA La Seguridad informática

Más detalles

Botnets: el lado oscuro del cloud computing

Botnets: el lado oscuro del cloud computing Botnets: el lado oscuro del cloud computing De Angelo Comazzetto, Senior Product Manager Las botnets representan una amenaza seria para su red, su empresa, sus socios y sus clientes. Las botnets compiten

Más detalles

Seguridad. Estos son algunos de los elementos de alta tecnología que BANCOLOMBIA utiliza para garantizar la seguridad en sus transacciones:

Seguridad. Estos son algunos de los elementos de alta tecnología que BANCOLOMBIA utiliza para garantizar la seguridad en sus transacciones: Seguridad Su información está segura en BANCOLOMBIA En BANCOLOMBIA nos hemos propuesto asegurar la confidencialidad, disponibilidad e integridad de la información, uno de nuestros recursos más valiosos.

Más detalles

ÍNDICE. Presentación... 15. Tema 1. DESCRIPCIÓN DEL PROBLEMA DE SEGURIDAD EN REDES. TIPOS DE

ÍNDICE. Presentación... 15. Tema 1. DESCRIPCIÓN DEL PROBLEMA DE SEGURIDAD EN REDES. TIPOS DE ÍNDICE Presentación.......................................................................... 15 Tema 1. DESCRIPCIÓN DEL PROBLEMA DE SEGURIDAD EN REDES. TIPOS DE ATAQUES....................................................................

Más detalles

TEMA 12 DISEÑO SEGURO DE REDES: ALTA DISPONIBILIDAD Y REDUNDANCIA

TEMA 12 DISEÑO SEGURO DE REDES: ALTA DISPONIBILIDAD Y REDUNDANCIA TEMA 12 DISEÑO SEGURO DE REDES: ALTA DISPONIBILIDAD Y REDUNDANCIA INTRODUCCIÓN Cuando se habla de alta disponibilidad se habla de los tres nueves (99,999% del tiempo del año funcionando correctamente),

Más detalles

Redes Privadas Virtuales (VPN)

Redes Privadas Virtuales (VPN) Redes Privadas Virtuales (VPN) Integrantes: - Diego Álvarez Delgado - Carolina Jorquera Cáceres - Gabriel Sepúlveda Jorquera - Camila Zamora Esquivel Fecha: 28 de Julio de 2014 Profesor: Agustín González

Más detalles

-------------------------------------------------------------------------------------------------------------

------------------------------------------------------------------------------------------------------------- Resumen: Las empresas se enfrentan a multitud de amenazas, como desastres naturales o espionaje industrial Sin embargo, hoy por hoy son las amenazas informáticas las que aumentan a mayor ritmo Este artículo

Más detalles

Código de uso de los sistemas y recursos informáticos 20150331

Código de uso de los sistemas y recursos informáticos 20150331 Código de uso de los sistemas y recursos informáticos 20150331 Índice de contenido Introducción...3 Alcance...3 Vigencia...3 Interpretación...4 Derechos de los usuarios...7 1. Acceso a los recursos informáticos...7

Más detalles

Haga clic para modificar el estilo de título del patrón Haga clic para modificar el estilo de texto del patrón

Haga clic para modificar el estilo de título del patrón Haga clic para modificar el estilo de texto del patrón texto del DESAFÍOS PARA ALCANZAR EL CUMPLIMIENTO: GUÍA DE IMPLEMENTACIÓN, INTEGRACIÓN DE LA SEGURIDAD EN EL CICLO DE VIDA DEL SOFTWARE, LABORATORIO PCI DSS COMPLIANT. FERMÍN GARDE FERNÁNDEZ RESPONSABLE

Más detalles

Seguridad de la Información. Juan Heguiabehere

Seguridad de la Información. Juan Heguiabehere Seguridad de la Información Juan Heguiabehere Temario Qué es seguridad de la información? Atributos esenciales de la información Arquitectura de seguridad de la información Procesos Herramientas Regulaciones

Más detalles

Seguridad SSL Número: 18 Sección: Artículos.

Seguridad SSL Número: 18 Sección: Artículos. Seguridad SSL Número: 18 Sección: Artículos. Es un hecho de todos conocido que Internet constituye un canal de comunicaciones inseguro, debido a que la información que circula a través de esta vasta red

Más detalles

Implantación de seguridad en entornos Web.

Implantación de seguridad en entornos Web. ESCUELA TÉCNICA SUPERIOR DE INGENIERÍA DE TELECOMUNICACIÓN UNIVERSIDAD POLITÉCNICA DE CARTAGENA Proyecto Fin de Carrera Implantación de seguridad en entornos Web. AUTOR: Juan Manuel Saura Martín. DIRECTOR:

Más detalles

Cómo trabaja el Atacante? El atacante trabaja en 5 pasos, los cuales son: Ethical-Hacker.net. Reconocimiento. Borrado de Huellas.

Cómo trabaja el Atacante? El atacante trabaja en 5 pasos, los cuales son: Ethical-Hacker.net. Reconocimiento. Borrado de Huellas. El equipo de inteligencia en seguridad de es una organización de investigación de primer nivel dedicada a descubrir vulnerabilidades y fallas de seguridad en redes de cómputo. Pocas son las organizaciones

Más detalles

MÁSTER EN SISTEMAS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN DE LA UNED

MÁSTER EN SISTEMAS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN DE LA UNED MÁSTER EN SISTEMAS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN DE LA UNED INTRODUCCIÓN GENERAL DEL CURSO A. Parte jurídica. MÓDULO 1. La propiedad industrial e intelectual en el ámbito tecnológico. Las marcas

Más detalles

INFORME DE ACCESO REMOTO SEGURO CON PROTECCIÓN WAF WEB APPLICATION FIREWALL. Universidad de Alcalá Departamento de Ciencias de la Computación

INFORME DE ACCESO REMOTO SEGURO CON PROTECCIÓN WAF WEB APPLICATION FIREWALL. Universidad de Alcalá Departamento de Ciencias de la Computación LABORATORIO INFORME DE ACCESO REMOTO SEGURO CON PROTECCIÓN WAF WEB APPLICATION FIREWALL SonicWALL SRA 4200 Universidad de Alcalá Departamento de Ciencias de la Computación SonicWALL SRA 4200 SonicWALL

Más detalles

Qué son y cómo combatirlas

Qué son y cómo combatirlas Redes zombies Qué son y cómo combatirlas Calle San Rafael, 14 28108 Alcobendas (Madrid) 902 90 10 20 www..com Introducción Hoy en día podemos encontrar un elevado número de amenazas en la red, pero unas

Más detalles

MANUAL SOBRE SEGURIDAD EN INTERNET

MANUAL SOBRE SEGURIDAD EN INTERNET MANUAL SOBRE SEGURIDAD EN INTERNET VIRUS Los virus informáticos son programas que se propagan ocultos dentro de otro programa, correo electrónico, página web, o fichero, alterando el funcionamiento del

Más detalles

CAPÍTULO II USO Y RESPONSABILIDADES DE LA RED

CAPÍTULO II USO Y RESPONSABILIDADES DE LA RED CAPÍTULO II USO Y RESPONSABILIDADES DE LA RED Existen numerosas cuestiones que deben abordarse al elaborar una política de seguridad: 1. Quién esta autorizado para usar los recursos? 2. Cuál es el uso

Más detalles

La seguridad en la red: verdades, mentiras y consecuencias Aproximación práctica a la criptografía aplicada

La seguridad en la red: verdades, mentiras y consecuencias Aproximación práctica a la criptografía aplicada La seguridad en la red: verdades, mentiras y consecuencias Aproximación práctica a la criptografía aplicada 1 2 Aproximación práctica a la criptografía aplicada 1- Qué es la criptografía aplicada 2- Propiedades:

Más detalles

Es Internet un lugar seguro para vivir?

Es Internet un lugar seguro para vivir? Seguridad file:///home/jpiquer/jpiquer/charlas/seguridad4/charla.html Es Internet un lugar seguro para vivir? José M. Piquer DCC - U. de Chile 1 of 1 06/08/2007 04:43 PM Internet Comercial (8) file:///home/jpiquer/jpiquer/charlas/seguridad4/1.html

Más detalles

Protección de los clientes contra los ataques a la red

Protección de los clientes contra los ataques a la red Protección de los clientes contra los ataques a la red La información incluida en este documento representa el punto de vista actual de Microsoft Corporation acerca de los temas tratados hasta la fecha

Más detalles

Seguridad de la información en SMart esolutions

Seguridad de la información en SMart esolutions Seguridad de la información en SMart esolutions Índice Qué es SMart esolutions? Qué es la seguridad de la información? Definiciones Opciones de seguridad de SMart esolutions Preguntas frecuentes 04/05/2005

Más detalles

El Hacking Ético y los Grupos Hackitivistas Anonymous y Lulzsec

El Hacking Ético y los Grupos Hackitivistas Anonymous y Lulzsec Metodología. www.dsteamseguridad.com La Metodología de la charla esta guiada por el concepto de cada una de las fases de ataque, con su respectiva demostración Arquitectura de Red (Laboratorio Virtual)

Más detalles

Seguridad en la transmisión de Datos

Seguridad en la transmisión de Datos Seguridad en la transmisión de Datos David Peg Montalvo Santiago de Compostela Noviembre 2005 Índice 01 Seguridad. Ámbito de aplicación 02 Control de acceso 03 Conceptos básicos de criptografía 04 PKI

Más detalles

CUESTIONES DE INFORMÁTICA DEL TEMA 3. LA SOCIEDAD DE LA INFORMACIÓN Y LA WEB 2.0.

CUESTIONES DE INFORMÁTICA DEL TEMA 3. LA SOCIEDAD DE LA INFORMACIÓN Y LA WEB 2.0. CUESTIONES DE INFORMÁTICA DEL TEMA 3. LA SOCIEDAD DE LA INFORMACIÓN Y LA WEB 2.0. 1. Explica qué es el protocolo TCP/IP El protocolo TCP/IP es el que permite a los ordenadores conectados a Internet gestionar

Más detalles

Realizado por: Daniel Sánchez Álvarez

Realizado por: Daniel Sánchez Álvarez Realizado por: Daniel Sánchez Álvarez QUE SON? Es una red de equipos infectados por códigos maliciosos que son controlados por un atacante, disponiendo de sus recursos para que trabajen de forma conjunta

Más detalles

SISTEMA UNIFICADO DE CONTROL EN TIEMPO REAL (SUCTR)

SISTEMA UNIFICADO DE CONTROL EN TIEMPO REAL (SUCTR) SISTEMA UNIFICADO DE CONTROL EN TIEMPO REAL (SUCTR) Sistema Unificado de Control en Tiempo Real - SUCTR: El sistema unificado de control en tiempo real, en adelante SUCTR, es un sistema de administración

Más detalles

ENDPOINT PROTECTION STANDARD. Para empresas con más de 25 equipos

ENDPOINT PROTECTION STANDARD. Para empresas con más de 25 equipos ENDPOINT PROTECTION STANDARD Para empresas con más de 25 equipos 2 ESET Endpoint Protection Standard Tanto si acabas de montar tu empresa como si está ya establecida, hay algunas cosas que deberías esperar

Más detalles

U.D. 8 Juan Carlos Pérez González. UD 8. Auditorías

U.D. 8 Juan Carlos Pérez González. UD 8. Auditorías UD 8. Auditorías Requisitos de seguridade do sistema e dos datos. Obxectivos da auditoría. Ámbito da auditoría. Aspectos auditables. Mecanismos de auditoría. Alarmas e accións correctivas. Información

Más detalles

TEMA 42 Principales amenazas para la seguridad de los SI s: Intrusiones, virus, phishing, spam y otros..

TEMA 42 Principales amenazas para la seguridad de los SI s: Intrusiones, virus, phishing, spam y otros.. TEMA 42 Principales amenazas para la seguridad de los SI s: Intrusiones, virus, phishing, spam y otros.. 1 Introducción... 1 2 Programas maliciosos... 3 2.1 Métodos de infección:...3 2.2 Métodos de prevención...4

Más detalles

Infraestructura Tecnológica. Sesión 10: Sistemas cortafuego

Infraestructura Tecnológica. Sesión 10: Sistemas cortafuego Infraestructura Tecnológica Sesión 10: Sistemas cortafuego Contextualización Actualmente tendemos a utilizar los sistemas de comunicación en una forma masiva, por lo que no siempre tenemos el cuidado adecuado

Más detalles

Como crear una red privada virtual (VPN) en Windows XP

Como crear una red privada virtual (VPN) en Windows XP Como crear una red privada virtual (VPN) en Windows XP Introducción Cada vez es más habitual moverse en escenarios en donde se requiere el acceso a recursos remotos desde cualquier lugar, incluso recursos

Más detalles

Decálogo de. ciberseguridad. El camino hacia la ciberseguridad en su empresa

Decálogo de. ciberseguridad. El camino hacia la ciberseguridad en su empresa Decálogo de ciberseguridad El camino hacia la ciberseguridad en su empresa 1234 5678 empieza por un solo paso Todo viaje, por largo que sea, Lao-Tsé Podríamos comenzar este decálogo con esa frase tan manida:

Más detalles

CONEXIÓN A INTERNET DE UNA RED DE ORDENADORES

CONEXIÓN A INTERNET DE UNA RED DE ORDENADORES CONEXIÓN A INTERNET DE UNA RED DE ORDENADORES Juan Manuel Hernández Álvarez de Cienfuegos Introducción En la pasada revista se vio lo que es preciso para conectar un único ordenador a Internet; en la actual,

Más detalles

Cuaderno de notas del OBSERVATORIO

Cuaderno de notas del OBSERVATORIO Cuaderno de notas del OBSERVATORIO Instituto Nacional de Tecnologías de la Comunicación CORTAFUEGOS (FIREWALLS): QUÉ SON Y PARA QUÉ SIRVEN Los firewalls o cortafuegos son una de las herramientas básicas

Más detalles

CCNA SECURITY CISCO ACCIÓN FORMATIVA AVENIDA DE GIJÓN, 30 BAJO 33420 LUGONES (SIERO) TELÉFONO 985 26 91 29

CCNA SECURITY CISCO ACCIÓN FORMATIVA AVENIDA DE GIJÓN, 30 BAJO 33420 LUGONES (SIERO) TELÉFONO 985 26 91 29 ACADEMIA LUGONES AVENIDA DE GIJÓN, 30 BAJO 33420 LUGONES (SIERO) TELÉFONO 985 26 91 29 ACALUG@ACADEMIALUGONES.COM WWW.ACADEMIALUGONES.COM ACCIÓN FORMATIVA CCNA SECURITY CISCO CCNA SECURITY CISCO Este curso

Más detalles

Lección 17: Datos personales. Guía de seguridad para usuarios

Lección 17: Datos personales. Guía de seguridad para usuarios Lección 17: Datos personales. Guía de seguridad para usuarios Dña. María Goretti López Deltell goretti.lopez@madrid.org Agencia de Protección de Datos de la Comunidad de Madrid Algunos casos 2 El factor

Más detalles

DIPLOMADO EN SEGURIDAD INFORMÁTICA

DIPLOMADO EN SEGURIDAD INFORMÁTICA INSTITUTO TECNOLÓGICO AUTÓNOMO DE MEXICO DIPLOMADO EN SEGURIDAD INFORMÁTICA Coordinador: M.en.C Uciel Fragoso Rodríguez Objetivo general: Entender la situación de un medio ambiente interconectado en el

Más detalles

REPÚBLICA DE COLOMBIA Alcaldía Municipal de Facatativá. Dirección de Informática

REPÚBLICA DE COLOMBIA Alcaldía Municipal de Facatativá. Dirección de Informática REPÚBLICA DE COLOMBIA Alcaldía Municipal de Facatativá Dirección de Informática Documento Plan de contingencias y sugerencias Diseño, Desarrollo e Implementación Versión I 1.- SOLUCIÓN PROPUESTA Y PLAN

Más detalles

PROYECTO METODOLOGIA PARA LA ELABORACION DEL PLAN DE SEGURIDAD INFORMATICA

PROYECTO METODOLOGIA PARA LA ELABORACION DEL PLAN DE SEGURIDAD INFORMATICA PROYECTO METODOLOGIA PARA LA ELABORACION DEL PLAN DE SEGURIDAD INFORMATICA Propósitos de este documento El objetivo del presente documento es establecer una metodología para la elaboración del Plan de

Más detalles

Seguridad y eficacia

Seguridad y eficacia Seguridad y eficacia 1 EQUIPO DE KSI * Quince años experiencia en Formación en Sistemas, Desarrollo, Auditorías y Consultorías de Seguridad * Expertos en Sistemas de Gestión de Seguridad de Información

Más detalles

Descripción de servicio. Firewall en Red de Nueva Generación

Descripción de servicio. Firewall en Red de Nueva Generación Descripción de servicio. Firewall en Red de Nueva Generación Interoute, Walbrook Building, 195 Marsh Wall, London, E14 9SG, UK Tel: +800 4683 7681 Email: info@interoute.com 1 Introducción Este documento

Más detalles

SEGURIDAD EN SISTEMAS DE INFORMACION. TEMA 1. Introducción

SEGURIDAD EN SISTEMAS DE INFORMACION. TEMA 1. Introducción SEGURIDAD EN SISTEMAS DE INFORMACION TEMA 1. Introducción FJRP. SSI, 2007 10 de febrero de 2007 1 1. Definición y objetivos DEFINICIÓN: Se entiende por seguridad una característica de un sistema (no sólo

Más detalles

Cuaderno de notas del OBSERVATORIO CÓMO COMPROBAR LA INTEGRIDAD DE LOS FICHEROS

Cuaderno de notas del OBSERVATORIO CÓMO COMPROBAR LA INTEGRIDAD DE LOS FICHEROS Cuaderno de notas del OBSERVATORIO Instituto Nacional de Tecnologías de la Comunicación CÓMO COMPROBAR LA INTEGRIDAD DE LOS FICHEROS Comprobar la integridad de un fichero consiste en averiguar si algún

Más detalles

Recordando 28/05/2014. Es el conjunto que resulta de la integración de cuatro. Cuál es el objetivo de integrar estos componentes?

Recordando 28/05/2014. Es el conjunto que resulta de la integración de cuatro. Cuál es el objetivo de integrar estos componentes? Introducción a la Seguridad Informática Dra. Maricela Bravo La información como activo estratégico Recordando Qué es un sistema de información? Es el conjunto que resulta de la integración de cuatro elementos:

Más detalles

Tipos de ciberataques. y claves para prevenirlos

Tipos de ciberataques. y claves para prevenirlos Tipos de ciberataques y claves para prevenirlos Introducción Los ciberdelincuentes actuales emplean diversas técnicas complejas para evitar ser detectados mientras tratan de colarse en las redes corporativas

Más detalles