Índice de contenido 1. INTRODUCCIÓN PRINCIPIOS DE LA SEGURIDAD INFORMÁTICA TIPOS DE BRECHAS EN LA SEGURIDAD EJERCICIOS...

Transcripción

1 Índice de contenido 1. INTRODUCCIÓN PRINCIPIOS DE LA SEGURIDAD INFORMÁTICA TIPOS DE BRECHAS EN LA SEGURIDAD EJERCICIOS PUNTOS DE VULNERABILIDAD EN LA SEGURIDAD...9 ATAQUES AL HARDWARE...11 ATAQUES AL SOFTWARE...11 ATAQUES A LOS DATOS LAS PERSONAS INVOLUCRADAS EJERCICIOS LAS AMENAZAS LÓGICAS...16 SOFTWARE INCORRECTO...16 HERRAMIENTAS DE SEGURIDAD...16 PUERTAS TRASERAS...17 BOMBAS LÓGICAS...17 CANALES CUBIERTOS...17 VIRUS...18 GUSANOS...19 CABALLOS DE TROYA...19 PROGRAMAS CONEJO O BACTERIAS...20 TÉCNICAS SALAMI...20 I.E.S Rodolfo Ucha Piñeiro 2009/2010 1/42

2 9. CATÁSTROFES PRÁCTICA POLÍTICAS DE SEGURIDAD MECANISMOS DE SEGURIDAD...23 MEDIDAS FÍSICAS...24 EJERCICIOS...25 MEDIDAS LÓGICAS...26 MEDIDAS HUMANAS...26 MEDIDAS ADMINISTRATIVAS...27 MEDIDAS LEGALES Y ÉTICAS...28 MEDIDAS LEGALES...28 MEDIDAS ÉTICAS...28 EJERCICIOS DE MECANISMOS DE SEGURIDAD SOLUCIONES EJERCICIOS REFERENCIAS...42 I.E.S Rodolfo Ucha Piñeiro 2009/2010 2/42

3 1. Introducción Puesto que la información puede proporcionar beneficios, siempre existirá alguien que ponga todos los medios a su alcance para obtenerla, manteniendo siempre una determinada proporcionalidad entre los medios necesarios para su obtención y el beneficio previsto. En los últimos años, se han realizado grandes avances en las tecnologías de la información y las comunicaciones. Se han creado grandes sistemas capaces de almacenar, procesar y transmitir gran cantidad de datos e información a gran velocidad y de manera muy cómoda. Tienen como contrapartida el grave problema de aumentar la inseguridad de la misma. Los actuales sistemas informáticos se han ido haciendo cada vez más complejos, y han puesto de manifiesto una mayor cantidad de puntos vulnerables en cuanto a seguridad de la información se refiere. Existen dos razones fundamentales para que esto suceda: El número de posibles atacantes al sistema y su imaginación crece rápidamente ante las posibilidades de obtención de grandes beneficios. Se puede pensar en el posible beneficio de un ataque a una red bancaria, la posibilidad de espionaje industrial, etc. Los medios disponibles para poder vulnerar un sistema son tan sofisticados como el sistema mismo, puesto que tienen el mismo origen tecnológico. La necesidad de proteger la información parece evidente. Definimos la seguridad informática como el área de la informática encargada de asegurar el buen uso de los recursos informáticos y la información como activos de una organización, manteniéndolos libres de peligros, daños o riesgos. I.E.S Rodolfo Ucha Piñeiro 2009/2010 3/42

4 2. Principios de la seguridad informática. El destino de los crímenes informáticas puede ser cualquier activo del sistema informático: hardware, software, medios de almacenamiento, datos, y personas que utiliza una organización para realizar tareas de computación. En cualquier sistema de seguridad, los tres principios básicos son: el del acceso más fácil, el de la caducidad del secreto y el de la eficiencia de las medidas tomadas. Principio del acceso más fácil: la filosofía del punto más débil enuncia el primer principio de seguridad. El punto más débil es la vulnerabilidad más seria. No tiene porque ser necesariamente la forma más obvia, y no necesariamente será aquella para la cual hallamos dispuesto el medio de defensa más sólido. Este principio indica que los especialistas en seguridad informática, deben considerar todas las posibles formas de acceso. Principio de caducidad del secreto: los datos confidenciales deben protegerse sólo hasta que ese secreto pierda su valor como tal. Se habla, por tanto, de la caducidad del sistema de protección: tiempo en el que debe mantenerse la confidencialidad o secreto del dato Principio de eficiencia: las medidas de control se implementan para que tengan un comportamiento efectivo, eficiente, sean fáciles de usar y apropiadas al medio. Efectivo: que funcionen en el momento oportuno. Eficiente: que optimicen los recursos del sistema. Apropiadas: que pasen desapercibidas para el usuario. Y lo más importante: ningún sistema de control resulta efectivo hasta que debemos utilizarlo al surgir la necesidad de aplicarlo. Junto con la concienciación de los usuarios, éste será uno de los grandes problemas de la Gestión de la Seguridad Informática. I.E.S Rodolfo Ucha Piñeiro 2009/2010 4/42

5 3. Tipos de brechas en la seguridad En seguridad informática, es importante conocer los siguientes conceptos: Una exposición es una forma de posible perdida o daño en un sistema de computación; como ejemplos de exposiciones, podemos nombrar el acceso a datos no autorizados, la modificación de datos, o el impedimento de acceso legítimo al sistema. Una vulnerabilidad es una debilidad del sistema de seguridad que puede ser utilizada para causar una perdida o un daño. El ataque. La persona que se aprovecha de una vulnerabilidad realiza un ataque al sistema. Una amenaza al sistema de computación es una circunstancia que tiene el potencial de causar un daño o una perdida; los ataques por parte de personas son ejemplos de amenazas, lo mismo que los desastres naturales, los errores humanos, y los fallos internos en el hardware o en el software. Un daño es la consecuencia de una vulnerabilidad, amenaza o ataque Por último, un control es una medida de protección -una acción, un dispositivo, un procedimiento, o una técnica- que reduce una vulnerabilidad. Las amenazas y los ataques podemos clasificarlas en dos tipos: pasivos o activos, en función de la intencionalidad de causar daño, y de la naturaleza del daño, por ejemplo, un acceso no autorizado de información, se considera un ataque pasivo, mientras la modificación no autorizada o denegación de un servicio, es un ataque activo. Hay cuatro formas de amenazas a la seguridad de un sistema de computación: interrupción, interceptación, modificación, y generación. I.E.S Rodolfo Ucha Piñeiro 2009/2010 5/42

6 1. En una interrupción, se pierde, se hace inutilizable o inaccesible un activo del sistema. Por ejemplo, destrucción de un dispositivo hardware, borrado de un programa o de un fichero de datos, o fallo del Sistema Operativo. 2. Una interceptación implica que alguna parte no autorizada consigue acceder a un activo, o uso de privilegios no adquiridos. La parte no autorizada puede ser una persona, un programa, o un computador. Por ejemplo, copia ilícita de programas o datos, escucha no autorizada en una red, etc. Una interceptación silenciosa puede no dejar rastros que permitan su detección. 3. Una modificación implica que una parte no autorizada no sólo consigue acceder, sino que además estropea o modifica en su beneficio, algún activo. Por ejemplo, modificar valores en una base de datos, un programa para que realice acciones complementarias, los datos que se están transmitiendo, o algún hardware. Algunos tipos de modificaciones pueden ser detectados con medidas simples, mientras que otras más sutiles pueden ser imposibles de detectar. 4. Una generación consiste en la creación por una parte no autorizada de objetos falsos en el sistema de computación. El intruso puede añadir transacciones en una red, o añadir registros en una base de datos. Algunas de estas adiciones pueden ser detectadas como falsificaciones, pero sí están muy bien realizadas, pueden ser indistinguibles de las reales. I.E.S Rodolfo Ucha Piñeiro 2009/2010 6/42

7 4. Ejercicios. 1. Indica para los ejemplos de interrupciones, interceptaciones, modificaciones, y generaciones señalados en el apartado anterior, si se trata de amenazas pasivas o activas y a qué activo del sistema informático afectan. 2. Indica cuáles de las amenazas anteriores pueden afectar a los distintos activos del sistema. Cuál consideras el activo más vulnerable? 3. Clasificar los siguientes supuestos en exposicón, vulnerabilidad, ataque, amenaza, daño o control: (a) Un usuario deja un terminal desbloqueado. (b) Un administrador guarda la cinta de Backup en un armario bajo llave. (c) Un usuario de dice a otro su contraseña para que entre en su terminal. (d) En un edificio en el que las tuberías de agua discurren por el falso techo se produce una fuga. (e) Un individuo envía un solicitando información sobre cuentas bancarias. (f) Un individuo envía un a muchas personas suplantando la identidad de cierta entidad bancaria. (g) Un CPD tiene instalado un firewall. (h) Un usuario apunta su contraseña en un post-it y lo pega en la pantalla. (i) Un CPD tiene instalado un sistema anti-spam. (j) Un administrador sale del CPD dejándolo desatendido y con la puerta abierta. (k) En un edificio las tuberías de agua discurren por el falso techo. (l) Un usuario recibe una llamada solicitándole su contraseña para labores de administración. (m)un usuario deja un CD con información importante sobre la mesa. (n) El armario en que que se encuentran las cintas de seguridad está ubicado junto al servidor. I.E.S Rodolfo Ucha Piñeiro 2009/2010 7/42

8 (o) Un becario entra a trabajar en un CPD. 4. Clasificar las siguientes ataques en activo o pasivo; hardware o software; interrupcion, interceptación, modificación o generación: (p) Ojear informes en papel. (q) Robar informes en papel. (r) Sustituir un informe en papel por otro. (s) Añadir hojas con datos fraudulentos a un informe en papel. (t) Leer el post-it de la pantalla con la contraseña del usuario y utilizarla para entrar en el sistema. (u) Copiar el contenido de un CD que se haya sobre una mesa. (v) Robar una cinta de Backup. (w)dar una patada al servidor de ficheros. (x) Acceder mediante una cuenta de un usuario para intentar obtener la contraseña de más usuarios. (y) Usar la contraseña de un usuario para enviar información haciéndose pasar por éste. (z) Modificar el contenido de los datos de cierta aplicación de manera fraudulenta. (aa) Instalar un programa que monitorice lo enviado a internet desde cierto ordenador. (ab) Instalar una bomba lógica que elimine ciertos datos o programas a una fecha determinada. (ac) (ad) Monitorizar el tráfico de una red de ordenadores. Inyectar paquetes de datos en una red de ordenadores con fines fraudulentos. 5. Sugiere alguna medida de seguridad que conozcas para las amenazas anteriores. I.E.S Rodolfo Ucha Piñeiro 2009/2010 8/42

9 5. Puntos de vulnerabilidad en la Seguridad La Seguridad de un sistema de computación consiste en mantener cuatro características: confidencialidad, integridad, disponibilidad y no repudio, para los activos del sistema: El secreto o confidencialidad: un activo de un sistema de computación debe ser accesible solamente a las partes autorizadas con los privilegios adquiridos. El tipo de acceso: lectura, visualización, impresión e incluso el conocimiento de la existencia de un objeto. La integridad: un activo sólo puede ser modificado por las partes autorizadas. En este contexto, la modificación incluye escritura, cambio, cambio de estado, borrado y creación de objetos. La disponibilidad o accesibilidad: los activos deben estar accesibles a las partes autorizadas. La validación de identificación o autentificación y no repudio: busca la seguridad en el proceso de dar y reconocer la autenticidad de la información y/o la identidad de los actores y/o el permiso por parte de los autorizados. Se conoce como autentificación al conjunto de mecanismos destinados a comprobar algúbn atributo de un objeto (origen, identidad, integridad, etc). Disitnguimos entre autentificación de usuarios y mensajes: La autentificación de mensajes. Implica del emisor tener la seguridad de que la fuente de los datos es la requerida, y que el emisor no pueda negar que ha enviado dicha información (no repudio); del receptor implica tener la seguridad de que la información llega exclusivamente al destino requerido, y que el receptor no pueda negar haber recibido la información. La autentificación de usuario. En este caso se trata de garantizar la presencia de un usuario legal en el sistema. I.E.S Rodolfo Ucha Piñeiro 2009/2010 9/42

10 Las amenazas a los principales activos podrían resumirse en la siguiente figura, sin embargo las debilidades del sistema las constituyen todos sus activos (hardware, software, medios de almacenamiento, datos, y personas): El responsable de la seguridad informática no debe descuidar ninguno de los cinco elementos susceptibles de ataque al sistema, si bien, los datos son la parte más vulnerable del sistema. Si se cumplen los principios vistos anteriormente, diremos, en general, que los datos están protegidos y seguros. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

11 Ataques al hardware Es un punto de ataque bastante simple; sin embargo, se pueden tomar medidas razonables para su salvaguarda. Los computadores pueden ser dañados por el agua, por el fuego, los gases, la electricidad, etc. A veces las personas que trabajan con computadores, los estropean fortuitamente con comidas o bebidas. Todos estos tipos de problemas se enmarcan en la categoría de daños involuntarios : actos accidentales que no suelen causar daños serios al hardware. Los daños voluntarios suponen un tipo de ataque mucho más serio, donde alguien quiere dañar el hardware: con armas, bombas, fuegos, etc. Las llaves, los lápices y otros útiles usuales pueden ser utilizados para realizar corto circuitos. Las dispositivos también pueden ser robados. La lista de ataques posibles sería muy larga. Los problemas más importantes son el robo y la destrucción. Los grandes sistemas suelen estar bien protegidos, sin embargo no suele ocurrir lo mismo con los microcomputadores, a los que no se les presta la misma atención. Ataques al software El software puede ser destruido o modificado de forma maliciosa, o accidentalmente. El resultado es el mismo, independientemente del motivo: el software no se puede utilizar, bien porque ha sido borrado o modificado y no hace lo que debe. Las posibles acciones sobre el software son: Borrado. Es relativamente sencillo borrar un programa; de hecho, muchas veces hemos borrado programas de forma accidental. En determinados entornos, donde el software es un elemento muy valioso, el acceso al software está controlado de forma muy cuidadosa, a través de un proceso que recibe el nombre de gestión de configuración, por el cual el software no puede ser borrado, destruido o reemplazado de forma accidental. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

12 Modificación. La modificación de un programa puede perseguir que éste falle durante su ejecución, o simplemente que realice alguna acción no esperada. Podemos agrupar las modificaciones del software en los siguientes tipos: 1. Bombas lógicas. Programa que funciona bien normalmente, pero falla en circunstancias especiales 1. Caballos de Troya. Programas que aparentemente realizan una función, pero de forma oculta están realizando otra. 2. Puerta trasera. Un punto de entrada secreto a un programa. 3. Programas que capturan información, y la hacen accesible a personas o programas no autorizados. Robo. En este caso nos referimos a la copia no autorizada de software. Este problema afecta a los desarrolladores y distribuidores de software, que cobran unos derechos por la distribución de los programas. Ataques a los datos La seguridad del hardware suele estar en manos de un grupo reducido del personal de computación. La seguridad del software se extiende a todos los programadores y analistas que crean o modifican los programas. Los datos impresos, sin embargo, pueden ser interpretados por cualquier persona, por ello son el activo más vulnerable. Los datos tienen un valor, aunque éste sea difícil de evaluar y sea válido durante un periodo limitado de tiempo. Por ejemplo, los datos tienen un coste, quizás medible por el coste de reconstruir o volver a desarrollar los datos perdidos; los datos confidenciales capturados por un competidor, pueden suponer un problema muy grave; los datos de carácter financiero, no deben hacerse públicos; etc. Podemos considerar las diferentes características de seguridad, aplicadas a los datos: Secreto e Integridad. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

13 Integridad. La modificación o generación de nuevos datos requiere de un entendimiento de la tecnología de transmisión o almacenamiento, así como del formato de los mismos. Por lo tanto, se necesita un nivel muy alto de sofisticación para modificar los datos existentes o crear datos nuevos. La forma más habitual de realizar esto, es a través de programas maliciosos, utilidades especiales de gestión de ficheros o aplicaciones de comunicación. Los datos son especialmente vulnerables a las modificaciones. Una simple modificación, muy pequeña puede no ser detectada por las vías ordinarias. Por ejemplo, alguien puede escribir un programa que reduzca el interés que paga un banco por el dinero, en un céntimo por cada cliente, y acumular dicho dinero en una cuenta propiedad de dicha persona. Normalmente, ningún cliente o empleado detectará esta situación. Este tipo de ataque recibe el nombre de Ataque tipo salami (por lo de la rodaja de dinero). 6. Las personas involucradas Podemos definir el crimen computacional como cualquier crimen que involucra o utiliza un computador. Muchas empresas, no informan de los crímenes computacionales que han sufrido, por el daño que esto puede causar en su reputación. Las personas más expertas son conscientes de que la seguridad computacional es un problema muy importante. Podemos distinguir entre criminales pasivos, que fisgonean, pero no modifican ni destruyen; y los activos, que dañan el objetivo o lo modifican en su beneficio. Estos son los principales tipos de criminales computacionales: 1. Aficionados. La mayoría de los crímenes informáticas conocidos hasta la fecha, han sido realizados por aficionados (profesionales o usuarios normales de un sistema). Muchas de I.E.S Rodolfo Ucha Piñeiro 2009/ /42

14 estas personas, no son criminales profesionales, sino personas normales que detectan algún fallo en el sistema de seguridad que les permite acceder a dinero o a otro de tipo de objetos valiosos. 2. Hackers, Crackers, Phreaking. a) Los hackers también llamados Geek intentan acceder a facilidades del sistema, a las que no están autorizados. No suelen tener afán destructor. Se plantean vencer el sistema de seguridad de un computador, como un reto, que supone un crimen, pero sin víctimas. Suelen comunicar sus éxitos. b) Los crackers en este caso los fines suelen ser maliciosos. c)los phreaking antecesores del hacking utilizaban sus conocimientos en telefonía y comunicaciones para curiosear y no pagar facturas telefónicas. 3. Criminales profesionales. A diferencia de los anteriores, los criminales profesionales son conscientes de las consecuencias del crimen informático que están realizando. En la mayoría de los casos, estas personas comienzan como profesionales de la informática, y derivan hacia el crimen informático. En muchos casos, sus delitos no son conocidos pues las empresas prefieren silenciarlos; esto, evidentemente les permite seguir cometiendo el mismo de tipo de actos delictivos. 7. Ejercicios. 1. Clasifica los siguientes criminales computaciones en activos o pasivos: a) Un empleado de mantenimiento que corta accidentalmente el suministro eléctrico b) Estudiante intentando acceder al correo de su amigo c) Un hacker intentando acceder a un sistema para el que no tiene permiso. d) Un informático que modifica los datos de un ingreso en una cuenta e) Un pirata informático al que se le ha pagado para que robe un software. f) Un trabajador que mira cuánto cobra su compañero. g) Un estudiante que introduce un virus para borrar datos. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

15 2. Dados los siguientes tipos de amenazas, identifica a qué activo/s del sistema afectan y qué característica/s de su seguridad vulneran (confidencialidad, integridad, disponibilidad, no repudio) : a) Exploits b) Virus c) Keylogger d) Gusanos e) Dialers f) Bugs g) Backdoors h) Hoax "El Manipulador" i) Troyanos "El Maestro del Disfraz" j) Phishing "La Pesca Milagrosa" k) Spyware "El Espía" l) Adware "El Vendedor Intenso" m)jokes n) Spam "El Cartero Indeseado" o) pharming p) Craker 3. Averigua en qué consisten las siguientes amenazas: a) Scanning b) Smurf o broadcast storm c) Sniffing d) Spoofing (IP, DNS, WEB) 4. Los virus informáticos se pueden clasificar siguiendo criterios muy diversos. Algunos tipos son los siguientes. Localiza en internet una breve descripción de cada tipo a) Residentes b) De acción directa c) De sobreescritura d) De boot e) De macro f) De enlace o directorio g) Encriptados h) Multipartites i) Polimórficos j) De fichero k) De compañía l) De FAT m) Gusanos n) Troyanos o) Bombas lógicas p) Virus falsos I.E.S Rodolfo Ucha Piñeiro 2009/ /42

16 8. Las amenazas lógicas Bajo la etiqueta de `amenazas lógicas' encontramos todo tipo de programas que de una forma u otra pueden dañar a nuestro sistema, creados de forma intencionada para ello (software malicioso, tambien conocido como malware) o simplemente por error (bugs o agujeros). Software incorrecto Las amenazas más habituales a un sistema provienen de errores cometidos de forma involuntaria por los programadores de sistemas o de aplicaciones. A estos errores de programación se les denomina bugs, y a los programas utilizados para aprovechar uno de estos fallos y atacar al sistema, exploits. Cualquiera puede conseguir un exploit y utilizarlo contra nuestra máquina sin ni siquiera saber cómo funciona; incluso hay exploits que dañan seriamente la integridad de un sistema (negaciones de servicio o incluso acceso root remoto) y están preparados para ser utilizados desde MS-DOS, con lo que cualquier pirata novato (comunmente, se les denomina Script Kiddies) puede utilizarlos contra un servidor y conseguir un control total de una máquina sin saber nada del sistema atacado. Herramientas de seguridad Cualquier herramienta de seguridad representa un arma de doble filo: de la misma forma que un administrador las utiliza para detectar y solucionar fallos en sus sistemas o en la subred completa, un potencial intruso las puede utilizar para detectar esos mismos fallos y aprovecharlos para atacar los equipos. Herramientas como nessus, saint o satan pasan de ser útiles a ser peligrosas cuando las utilizan crackers que buscan información sobre las vulnerabilidades de un host o de una red completa. Como administradores debemos utilizar estas herramientas de seguridad que muestren las debilidades de nuestros sistemas para corregirlas, tenemos que estar seguro que un atacante no va a dudar en utilizar tales herramientas para explotar las debilidades encontradas. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

17 Puertas traseras Durante el desarrollo de aplicaciones grandes o de sistemas operativos es habitual entre los programadores insertar `atajos' en los sistemas habituales de autenticación del programa o del núcleo que se esta diseñando. A estos atajos se les denomina puertas traseras, y con ellos se consigue mayor velocidad a la hora de detectar y depurar fallos. Algunos programadores pueden dejar estos atajos en las versiones denitivas de su software para facilitar un mantenimiento posterior, para garantizar su propio acceso, o simplemente por descuido; la cuestión es que si un atacante descubre una de estas puertas traseras va a tener un acceso global a datos que no debería poder leer, lo que obviamente supone un grave peligro para la integridad de nuestro sistema. Bombas lógicas Las bombas lógicas son partes de código de ciertos programas que permanecen sin realizar ninguna función hasta que son activadas; en ese punto, la función que realizan no es la original del programa, sino que generalmente se trata de una acción perjudicial. Los activadores más comunes de estas bombas logicas pueden ser la ausencia o presencia de ciertos ficheros, la ejecución bajo un determinado UID o la llegada de una fecha concreta; cuando la bomba se activa va a poder realizar cualquier tarea que pueda realizar la persona que ejecuta el programa: si las activa el root, o el programa que contiene la bomba esta setuidado a su nombre, los efectos obviamente pueden ser fatales. Canales cubiertos Los canales cubiertos (o canales ocultos, segun otras traducciones) son canales de comunicación que permiten a un proceso transferir información a otros (locales o remotos) que no estan autorizados a leer dicha información. Los canales cubiertos no son una amenaza demasiado habitual en redes de I+D, ya que suele I.E.S Rodolfo Ucha Piñeiro 2009/ /42

18 ser mucho más fácil para un atacante aprovechar cualquier otro mecanismo de ataque lógico; sin embargo, es posible su existencia, y en este caso su detección suele ser difícil: algo tan simple como el puerto finger abierto en una máquina puede ser utilizado a modo de covert channel por un pirata con algo de experiencia. Virus Un virus es una secuencia de código que se inserta en un fichero ejecutable (denominado huesped), de forma que cuando el archivo se ejecuta, el virus tambien lo hace, insertándose a sí mismo en otros programas. Los virus se pueden clasificar en función de múltiples características y criterios: según su origen, las técnicas que utilizan para infectar, los tipos de ficheros que infectan, los lugares donde se esconden, los daños que causan, el sistema operativo o la plataforma tecnológica que atacan, etc. Todas estas clasificaciones tienen muchos puntos en común, por lo que un mismo virus puede pertenecer a varias categorías al mismo tiempo. Residentes De acción directa De sobreescritura De boot De macro De enlace o directorio Encriptados Multipartites Polimórficos De fichero De compañía De FAT Para ver más información sobre cada uno de estos tipos de virus, puedes consultar las Soluciones ejercicios. de este tema, pero existe gran cantidad de información, que se actualiza a cada momento, en la web. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

19 Gusanos Un gusano es un programa capaz de ejecutarse y propagarse por sí mismo a través de redes, en ocasiones portando virus o aprovechando bugs de los sistemas a los que conecta para dañarlos. Al ser difíciles de programar su número no es muy elevado, pero el daño que pueden causar es muy grande: el mayor incidente de seguridad en Internet fue precisamente el Internet Worm, un gusano que en 1988 causo perdidas millonarias al infectar y detener más de 6000 máquinas conectadas a la red. Hemos de pensar que un gusano puede automatizar y ejecutar en unos segundos todos los pasos que seguirá un atacante humano para acceder a nuestro sistema: mientras que una persona, por muchos conocimientos y medios que posea, tardará como mínimo horas en controlar nuestra red completa (un tiempo más que razonable para detectarlo), un gusano puede hacer eso mismo en pocos minutos: de ahí su enorme peligro y sus devastadores efectos. Caballos de Troya Los troyanos o caballos de Troya son instrucciones escondidas en un programa de forma que este parezca realizar las tareas que un usuario espera de él, pero que realmente ejecute funciones ocultas (generalmente en detrimento de la seguridad) sin el conocimiento del usuario; como el Caballo de Troya de la mitología griega, al que deben su nombre, ocultan su función real bajo la apariencia de un programa inofensivo que a primera vista funciona correctamente. En la práctica totalidad de los ataques a Unix, cuando un intruso consigue el privilegio necesario en el sistema instala troyanos para ocultar su presencia o para asegurarse la entrada en caso de ser descubierto: por ejemplo, es típico utilizar lo que se denomina un rootkit, que no es más que un conjunto de versiones troyanas de ciertas utilidades (netstat, ps, who... ), para conseguir que cuando el administrador las ejecute no vea la informacion relativa al atacante (sus procesos o su conexión); otro programa que se suele suplantar es login, por ejemplo para que al recibir un cierto nombre de usuario y contraseña proporcione acceso al sistema inmediato. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

20 Programas conejo o bacterias Bajo este nombre se conoce a los programas que no hacen nada útil, sino que simplemente se dedican a reproducirse hasta que el numero de copias acaba con los recursos del sistema (memoria, procesador, disco... ), produciendo una negación de servicio, incluso pueden llegar a provocar la parada total de la máquina. Hemos de pensar hay ciertos programas que pueden actuar como conejos sin proponerselo; ejemplos típicos se suelen encontrar en los sistemas destinados a practicas en las que se enseña a programar al alumnado: es muy común que un bucle que por error se convierte en infinito contenga entre sus instrucciones algunas de reserva de memoria, lo que implica que si el sistema no presenta una correcta política de cuotas para procesos de usuario pueda venirse abajo o degradar enormemente sus prestaciones. Técnicas salami Por técnica salami se conoce al robo automatizado de pequeñas cantidades de bienes (generalmente dinero) de una gran cantidad origen. El hecho de que la cantidad inicial sea grande y la robada pequeña hace extremadamente difícil su detección: si se automatiza el robo de céntimos de, por ejemplo, cada nómina pagada en la universidad o de cada beca concedida, tras un mes de actividad seguramente se habra robado una enorme cantidad de dinero sin que nadie se haya percatado de este hecho, ya que de cada origen se ha tomado una cantidad mínima. Estas técnicas salami se comentan como amenaza potencial, aunque se suelen utilizar para atacar sistemas bancarios; sin embargo, podrían usarse contra sistemas dedicados a contabilidad, facturación de un departamento o gestión de nóminas del personal, I.E.S Rodolfo Ucha Piñeiro 2009/ /42

21 9. Catástrofes Las catástrofes (naturales o articiales) son la amenaza menos probable contra los entornos habituales, sin embargo, el hecho de que las catastrofres sean amenazas poco probables no implica que contra ellas no se tomen unas medidas básicas, ya que si se produjeran generarán los mayores daños. Un subgrupo de las catástrofes es el denominado de riesgos poco probables: aunque existen, la posibilidad de que se produzcan es tan baja que nadie toma, o nadie puede tomar, medidas contra ellos ejemplos, ataque nuclear contra el sistema, el impacto de un satélite contra la sala de operaciones, o la abducción de un operador por una nave extraterrestre. Como ejemplos de catastrofes hablaremos de terremotos, inundaciones, incendios, humo o atentados de baja magnitud (más comunes de lo que podamos pensar); obviamente los riesgos poco probables los trataremos como algo anecdótico. 10. Práctica Las amenazas a nuestro sistema pueden tener su origen en las personas, amenazas lógicas o catástrofes, y por lo tanto las tendremos en cuenta a la hora de analizar las vulnerabilidades del sistema informático, para, posteriormente, definir la política de seguridad de nuestro sistema, y decidir qué mecanismos de seguridad empleará la misma. Práctica: localiza una herramienta de diagnóstico de vulnerabilidades del sistema en la web. Realiza un pequeño manual de funcionalidad de dicha herramienta que indique brevemente su modo de funcionamiento. Si es posible (si es gratuita o tiene licencia educativa), descárgala, instálala e intenta realizar una pequeña prueba a modo de demostración (la práctica se considerará completa si se desarrolla este punto). Valoración: en el caso de que se lleve a cabo la práctica completa y correctamente, sumará 1 punto a la nota de la evaluación. No será válido que dos alumnos presenten la misma herramienta. Fecha de presentación por determinar. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

22 11. Políticas de seguridad. Todo sistema informático debe disponer de una serie de normas y protocolos de actuación que determinen qué mecanismos de seguridad van a ser utilizados para mantener el correcto funcionamiento del sistema, cómo van a ser utilizados y en qué momento. Todo ello define la política de seguridad de un sistema informático. Para diseñar una política de seguridad que defina responsabilidades y reglas a seguir para evitar tales amenazas o minimizar sus efectos en caso de que se produzcan, hemos de realizar un analisis de las vulnerabilidades del sistema y amenazas potenciales que puede sufrir, las perdidas que podrán generar, y la probabilidad de su ocurrencia. Se han definido dos posibilidades en cuanto a políticas de seguridad que se distinguen entre sí por el momento en el que se aplican. Políticas de seguridad activa persiguen anular o reducir los riesgos existentes o sus consecuencias para el sistema. Es decir, se trata de medidas de prevención que tratan de evitar los problemas. Estas medidas a priori son caras e incómodas, y es preciso seleccionar aquellas que sean adecuadas al nivel de riesgo y al tipo de amenaza que se prevé. Las más habituales: el cifrado y las contraseñas Políticas de seguridad pasiva, que tratan de minimizar los problemas que aparecen como consecuencia de algún problema con la seguridad; es decir, son medidas a posteriori, una vez que se ha producido el problema. Estas medidas garantizan el diagnóstico del problema y proporcionan la posibilidad de recuperar o restaurar la situación corrompida. A los mecanismos utilizados para implementar esta política de seguridad se les denomina mecanismos de seguridad; son la parte mas visible de nuestro sistema de seguridad, y se convierten en la herramienta básica para garantizar la proteccion de los sistemas o de la red. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

23 12. Mecanismos de seguridad. El principal objetivo de la seguridad computacional es instituir una serie de controles/medidas/métodos/mecanismos/técnicas que permitan preservar el secreto, la integridad, la disponibilidad, la autenticidad y el no repudio. Hay que tener en cuenta, que los mecanismos de seguridad llevan un coste asociado que obliga a subordinar algunas ventajas del sistema. A mayores y más restrictivas medidas de seguridad, menos amigable el sistema. Por ello es imprescindible seleccionar aquellas adecuadas al nivel de riesgo y así garantizar el uso de las mismas y la satisfacción del usuario. Los mecanismos de seguridad se dividen en tres grandes grupos: 1. De prevención son aquellos que aumentan la seguridad de un sistema durante el funcionamiento normal de éste, previniendo la ocurrencia de violaciones a la seguridad; por ejemplo, el uso de cifrado en la transmisión de datos. 2. De detección son aquellos que se utilizan para detectar violaciones de la seguridad o intentos de violación; ejemplos de estos mecanismos son los programas de auditoría. 3. De recuperación son aquellos que se aplican cuando una violación del sistema se ha detectado, para retornar a éste a su funcionamiento correcto; ejemplos de estos mecanismos son la utilización de copias de seguridad o el hardware adicional. Dentro de este ultimo grupo de mecanismos de seguridad encontramos un subgrupo denominado mecanismos de analisis forense, cuyo objetivo no es simplemente retornar al sistema a su modo de trabajo normal, sino averiguar el alcance de la violación, las actividades de un intruso en el sistema, y la puerta utilizada para entrada; de esta forma se previenen ataques posteriores y se detectan ataques a otros sistemas de nuestra red. Además de esta clasificación, podemos distinguir cuatro clases de medidas de seguridad: físicas, lógicas, administrativas y legales, en función de frente de aplicación a nuestro sistema. Dentro de éstas las habrá preventivas, de detección y de recuperación. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

24 Medidas físicas. Las medidas físicas tienen que ver con la protección física (mediante la utilización de medios materiales), utilizadas normalmente para proteger nuestro sistema frente al acceso directo o físico no autorizado, desastres naturales o condiciones medioambientales adversas. Se trata fundamentalmente de establecer un perímetro de seguridad en nuestro sistema. Existen tres factores a considerar: El acceso físico al sistema por parte de personas no autorizadas Los daños físicos por parte de agentes nocivos o contingencias Las medidas de recuperación en caso de fallos La seguridad física comprende los siguientes puntos de protección de nuestro sistema, para cada uno de los cuáles tendremos que utilizar controles específicos: 1. Protección contra accesos indeseables: disposición de barreras físicas para controlar el acceso a las distintas zonas del sistema; se tendrá en cuenta que sean adecuadas al nivel de seguridad de los habitáculos. Mecanismos de seguridad o controles: Guardas, cámaras, puestos de apertura con clave, exclusas, etc Protección contra incendios: pertenece a las medidas de prevención de catástrofes. Sectorización, puertas y muros cortafuegos, cajas ignífugas, sistemas de detección automática y manual, extintores, Protección contra inundaciones: pertenece a las medidas de prevención de catástrofes. Disposición de elementos impermeabilizantes en muros, drenajes perimetrales, etc Resistencia y control de elementos contructivos: definición de requisitos de resistencia estructural. Control de condiciones medioambientales (temperatura, humedad, polvo,...) 5. Instalaciones auxiliares: requisitos para el diseño de instalaciones auxiliares dirigidos a facilitar el mantenimiento de los mismos. Control de entrada y salida de material (elementos desechables, consumibles, material anticuado,...) I.E.S Rodolfo Ucha Piñeiro 2009/ /42

25 6. Grupos de continuidad y electrógenos: disposición de estas unidades con especificaciones de potencia a soportar, tiempos de respuesta,... Fuentes de alimentación ininterrumpida, estabilizadores de corriente, fuentes de ventilación alternativo,. Sistemas de recuperación (backups, redundancia, sistemas alternativos geográficamente separados y protegidos,..) Ejercicios 1. Existen diferentes métodos para desarrollar una política de seguridad. Enumera tres de ellos y explica brevemente, los pasos de su metodología. 2. Podemos resumir la seguridad física mediante el siguiente esquema. Indica para cada punto del esquema un mecanismo de seguridad que pudiésemos aplicar e indica si se trata de un mecanismo preventivo, de detección o de recuperación: Protección del hardware Acceso físico Prevención Detección Desastres naturales Terremotos Tormentas eléctricas Inundaciones y humedad Desastres del entorno Electricidad Ruido eléctrico Incendios y humo Temperaturas extremas Protección de los datos Eavesdropping Backups Otros elementos Radiaciones electromagnéticas 3. Localiza las normas de aplicación de cableado estructurado para CPD 4. La realización de backups se considera una medida física o lógica?justifica la respuesta. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

26 Medidas lógicas. Las medidas de seguridad lógica son las integradas en el sistema operativo o en aplicaciones. Son mucho más específicas, e incluyen la autenticación de los usuarios, la determinación de derechos de acceso a los recursos y la informacióny al uso correcto de los mismos, así como la distribución de las responsabilidades entre usuarios. Entre los tipos de controles de seguridad lógicos que podemos incluir en nuestra política podemos destacar: Política de contro de accesos: incluye sistema de identificación y autentificación de usuarios autorizados y un sistema de control de acceso a la información. Política de instalación y copia software Política de copias de seguridad Política de monitorización y auditoría Uso de criptografía Uso de cortafuegos. Medidas humanas. Dentro de las medidas de seguridad lógicas se incluyen las medidas humanas, es decir, aquellas relacionadas con las personas. Se trata de definir las funciones, relaciones y responsabilidades de distintos usuarios potenciales del sistema. Es necesario identificar los tipos fundamentales de usuarios. A cada tipo se le aplicará una política de control de accesos distinta y se les imputarán distinto grado de responsabilidades sobre el sistema. El administrador del sistema y en su caso el administrador de seguridad Los usuarios del sistema Las personas relacionadas con el sistema pero sin necesidad de usarlo Las personas ajenas al sistema I.E.S Rodolfo Ucha Piñeiro 2009/ /42

27 Medidas administrativas Las medidas administrativas son aquellas que deben ser tomadas por la personas encargadas de definir la política de seguridad para ponerla en práctica, hacerla viable y vigilar su correcto funcionamiento. Documentación y publicación de la política de seguridad y de las medidas tomadas para ponerla en práctica. Debe quedar claro quién fija la polítca y quién la pone en práctica. Establecimiento de un plan de formación y concienciación del personal. Los usuarios deben: 1. Tener los conocimientos técnicos necesarios para usar la parte del sistema que les corresponde. Esto evita fallos involuntarios. 2. Ser conscientes de los problemas de seguridad de la información a la que tienen acceso 3. Conocer la política de seguridad de la empresa y las medidas tomadas para ponerla en práctica. 4. Conocer sus responsabilidades respecto al uso del sistema informático y las consecuencias de un mal uso del mismo. Algunos de los controles más simples, como los cambios frecuentes de palabras claves, pueden ser realizados sin coste alguno pero con efectos muy importantes. Hay que concienciar al usuario en este tipo de acciones para que las lleve a cabo de forma autónoma. Pero no olvidemos: las medidas de seguridad aplicadas siempre deben ser proporcionales al valor de lo que queremos proteger. No es necesario siempre 'lo mejor'; en seguridad 'lo mejor' es lo necesario. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

28 Medidas legales y éticas Los controles éticos y legales son una parte importante de la seguridad informática. Medidas legales Existen una serie de medidas legales para disuadir al atacante o para aplicar algún tipo de castigo a posteriori. Este tipo de medidas trasciende al ámbito de la empresa, y normalmente, son fijadas por instituiciones gubernamentales e incluso instituiciones internacionales, pero es preciso conocerlas y darlas a conocer, para disuadir a posibles infractores. La legislación vigente relacionada, directa o indirectamente, con los sistemas de la información trata los siguientes aspectos: Legislación sobre protección de datos. Legislación sobre los servicios de la sociedad de la información y el correo electrónico. Normas ISO sobre gestión de seguridad de la información. Protección jurídica del software Medidas de protección legal contra la piratería informática (legislación española) Legislación comunitaria sobre protección de software Medidas éticas El área de la ética en la informática está muy poco clara; no es que el personal informático no tenga principios éticos, sino que la sociedad en general y la comunidad informática en particular, no ha adoptado unas normas formales éticas. Algunas organizaciones intentan desarrollar códigos éticos para los profesionales informáticos. Aunque son importantes, antes de que estos códigos éticos sean aceptados globalmente, y por tanto sean efectivos, la comunidad informática y el público en general debe entender que clase de conductas son apropiadas y porqué. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

29 Ejercicios de Mecanismos de seguridad. 1. Qué es un congelador en el contexto de seguridad informática? Qué tipo de medida de seguridad es? 2. Indica en qué consiste la clonación de discos duros. Qué tipo de medida de seguridad es lógica o física? Preventiva, de recuperación o de detección? 3. Qué es la agencia de protección de datos? 4. Localiza alguna ley o real decreto que regule los siguientes aspectos: a) Medidas de seguridad de ficheros automatizados que contengan datos de carácter personal b) Infracciones y sanciones por incumplir las normas que regulan la protección de datos de carácter personal. c) Protección jurídica de software. 5. Dados las siguientes medidas de seguridad, indica para cada una: a) Si se trata de medias de seguridad activas o pasivas, b) El tipo de medida de seguridad: física, lógica, administrativa o legal c) Si se trata de una medida preventiva, de detección o de recuperación. d) Para cuál de las siguientes amenazas/ataques las utilizarías. Errores humanos Robo y alteración de la información contenida en el sistema Robo y alteración de la información durante la transmisión Robo, fallo o sabotaje de los equipos Recepción de información falsa Sabotaje de la información Virus Robo de la información del sistema Fallo en el suministro eléctrico Desastre natural Hay que tener en cuenta que algunas de las medidas se pueden considerar tanto activas como pasivas y pueden utilizarse para afrontar distintos tipos de amenazas. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

30 Las medidas de seguridad son las siguientes: Control de la procedencia de los programas. Asignación de derechos adecuada sobre los activos del sistema. Autenticación de usuarios. Equipos de reserva. Elección y mantenimiento adecuado de claves. Establecimiento de alarmas. Para avisar al administrador de seguridad en caso de cualquier evento relacionado con la seguridad. Utilización de Supresores de picos de tensión. Uso de canales seguros. En muchos casos se deben utilizar redes públicas, y por tanto poco seguras, por lo cual será necesario utilizar mecanismos de cifrado. Consultar los registros de auditoría. Fijación de los equipos a un soporte. Autenticación de la información. Mediante el uso de mecanismos de firma digital. Guardar las copias de seguridad en lugares seguros. Acceso restringido al sistema. Formación de usuario. Herramientas antivirus. Acceso restringido a las salas de ordenadores. Registros de auditoría. Copias de seguridad. Identificación de los equipos. Asegurar los equipos. Utilización de mecanismos de Tolerancia a Fallos. Utilización de herramientas de bloqueo. Para evitar que intrusos entren en el sistema. Utilización de Sistemas de Alimentación Ininterrumpida. Cifrado. I.E.S Rodolfo Ucha Piñeiro 2009/ /42

31 Ejercicios punto Soluciones ejercicios. 1. Amenazas pasivas/activas y a qué activo afectan a) Destrucción de un dispositivo hardware activa-hardware; borrado de un programa activa-software; borrado de un fichero de datos activa-datos; fallo del Sistema Operativo pasiva-software b) Copia ilícita de programas pasiva-software; copia ilícita de datos pasiva-datos; escucha no autorizada en una red pasiva-datos. c) Todos los ataques o amenaza que supongan una modificación se consideran activos. Modificar valores en una base de datos datos; modificar un programa para que realice acciones complementarias software; los datos que se están transmitiendo datos; algún hardware hardware d) Añadir transacciones en una red activo-datos; añadir registros en una base de datos activo-datos 2. El activo más vulnerable los datos. 3. De los siguientes son: a) Exposiciones: Un usuario deja un terminal desbloqueado. Un usuario de dice a otro su contraseña para que entre en su terminal. Un usuario apunta su contraseña en un post-it y lo pega en la pantalla. Un administrador sale del CPD dejándolo desatendido y con la puerta abierta. Un usuario deja un CD con información importante sobre la mesa. b) Vulnerabilidad En un edificio las tuberías de agua discurren por el falso techo. El armario en que que se encuentran las cintas de seguridad está ubicado junto al I.E.S Rodolfo Ucha Piñeiro 2009/ /42

32 servidor. Un becario entra a trabajar en un CPD. c) Ataque En un edificio, en el que las tuberías de agua discurren por el falso techo, se produce una fuga. Un individuo envía un a muchas personas suplantando la identidad de cierta entidad bancaria. d) Amenaza Un individuo envía un solicitando información sobre cuentas bancarias. Un usuario recibe una llamada solicitándole su contraseña para labores de administración. e) Daño f) Control Un administrador guarda la cinta de Backup en un armario bajo llave. Un CPD tiene instalado un firewall. Un CPD tiene instalado un sistema anti-spam. 4. Ataque activo o pasivo; hardware o software; interrupcion, interceptación, modificación o generación: (a) Ojear informes en papel pasivo, datos, interceptación (b) Robar informes en papel activo, datos, interrupción (c) Sustituir un informe en papel por otro. activo, datos, generación e interrupción (d) Añadir hojas con datos fraudulentos a un informe en papel generación activo, datos, (e) Leer el post-it de la pantalla con la contraseña del usuario y utilizarla para entrar en el sistema. 2 cosas, la lectura pasivo, datos, interceptación; el uso. (f) Copiar el contenido de un CD que se haya sobre una mesa interceptación pasivo, datos, I.E.S Rodolfo Ucha Piñeiro 2009/ /42

33 (g) Robar una cinta de Backup. activo, datos, interrupción (h) Dar una patada al servidor de ficheros. modificación/interrupción activo, hardware, (i) Acceder mediante una cuenta de un usuario para intentar obtener la contraseña de más usuarios. pasivo, datos, interceptación (j) Usar la contraseña de un usuario para enviar información haciéndose pasar por éste. activo, datos, generación (k) Modificar el contenido de los datos de cierta aplicación de manera fraudulenta. activo, software, modificación (l) Instalar un programa que monitorice lo enviado a internet desde cierto ordenador. pasivo, datos, interceptación (m)instalar una bomba lógica que elimine ciertos datos o programas a una fecha determinada. activo, software, modificación (n) Monitorizar el tráfico de una red de ordenadores. pasivo, datos, interceptación (o) Inyectar paquetes de datos en una red de ordenadores con fines fraudulentos. activo, datos, generación 5. Veremos más adelante. Ejercicios punto Criminales computaciones activos o pasivos: a) Pasivos Un empleado de mantenimiento que corta accidentalmente el suministro eléctrico Estudiante intentando acceder al correo de su amigo Un hacker intentando acceder a un sistema para el que no tiene permiso. Un trabajador que mira cuánto cobra su compañero. b) Activos Un informático que modifica los datos de un ingreso en una cuenta I.E.S Rodolfo Ucha Piñeiro 2009/ /42