Tema 2 LA SEGURIDAD EN LOS ELEMENTOS FÍSICOS EXISTENTES EN UNA RED

Transcripción

1 Seguridad 1

2 Tema 2 LA SEGURIDAD EN LOS ELEMENTOS FÍSICOS EXISTENTES EN UNA RED

3 Elementos hardware de una red - Canales de comunicación y cableados. - Repetidores. - Hubs o concentradores. - Conmutadores - Encaminadores - Estaciones de trabajo y Servidores. 3

4 2.2. LOS SISTEMAS DE CABLEADO O INALÁMBRICOS Par trenzado: son usados en redes Ethernet, pueden dar lugar a la primera inseguridad por las interferencias electromagnéticas. Una solución posible consiste en usar cables apantallados pero que son más caros Productos TEMPEST: termino empleado por el ejércitos para aumentar la seguridad de determinados productos como cables apantallados, conmutadores apantallados, etc. Fibra óptica: además de permitir una mayor velocidad de transmisión, es completamente inmune a las interferencias electromagnéticas, Redes inalámbricas (WLAN) o wireless: Las WLANS usan señales electromagnéticas para comunicar información de un punto a otro, sin necesidad de ningún cable. En una configuración típica un dispositivo Transmisor/receptor, denominado punto de acceso, conecta los dispositivos inalámbricos a la red de cable. Tal dispositivo recibe, almacena y transmite los datos entre la WLAN y la red cableada. Hay que tener en cuenta los segmentos de red en que no existan conmutadores y no se tenga un control muy exhaustivo de quién está conectado con un equipo al segmento, se corre el riesgo de que alguien este usando un analizador de protocolos (o sniffer) que permite ver el tráfico de cualquier equipo conectado a la red. 4

5 2.3. REPETIDORES, HUBS Y CONMUTADORES (O SWITCHES) Repetidor: no es más que un amplificador de la señal, con dos puertos. Solo implementa Funciones del nivel 1 de OSI. Se usan, simplemente, para extender la distancia máxima para la que un cable funciona correctamente. Hubs: son repetidores multipuerto que soportan cables de par trenzado en una topología de estrella. Cada nodo se comunica con el hub, que, a su vez, amplifica la señal y la transmite por cada uno de los puertos. Funcionan en el nivel 1 de OSI. Conmutadores: son inteligentes, trabajan a nivel 2 de OSI, también existen conmutadores de nivel 3, cuyas funcionalidades coinciden con las de los encaminadores. VLANs: Técnica típica de los conmutadores, para mejorar la seguridad. Permite establecer redes de área local virtuales. Las VLANs son grupos de ordenadores relacionados lógicamente entre sí por un número de grupo (número de VLAN) Desafortunadamente, más posibilidades de configuración, supone más posibilidades de ataques. Hay 2 métodos para acceder al conmutador : - A través de la consola, directa al conmutador. - Remotamente, por telnet, ssh o http, https. 5

6 ACCESO AL CONMUTADOR Este hecho hay que considerarlo como elementa de la política de seguridad. Para acceder? 1. Hay que conocer el nombre y contraseña correctos. 2. Hay que estar usando una dirección IP correcta. 3. Para SSL, hay que tener un certificado digital correcto. 4. Hay que conocer la dirección IP correcta del conmutador para abrir la sesión Web. 5. Una vez en la ventana, se teclea el nombre y la contraseña, que será contrastado contra un servidor de autenticación, usando, por ejemplo, protocolo RADIUS. 6. Ya se está dentro. Ahora, hay que saber cómo configurarlo. 6

7 ACCESO AL CONMUTADOR Se puede hacer caer, repetidamente, un conmutador y, como consecuencia, dejarlo fuera de servicio, con todo el potencial de caída de la red correspondiente, desde una situación remota, sin más que conocer la versión del conmutador, su dirección IP y un poco de suerte. Resumiendo, los dispositivos físicos de la red, de nivel bajo en la arquitectura OSI, deben también tenerse en cuenta en la política de seguridad, especialmente los conmutadores. Hay que pensar qué mecanismos de seguridad se imponen para ellos, para el acceso a ellos y para su gestión, incluyendo la auditoria de posibles vulnerabilidades de su sistema operativo. 7

8 2.4. ENCAMINADORES Encaminadores o Routers Incorporan la función de filtrado, y determinan la ruta hacia el destino de cada mensaje. Implementan, al menos, los niveles 1, 2 y 3 de la arquitectura OSI. Difieren de los conmutadores, fundamentalmente, en que actúan sobre los paquetes transferidos entre los niveles de red de las estaciones, a diferencia de los conmutadores que lo hacen sobre las tramas al nivel de enlace de datos. Casi el 90% de los encaminadores son IP, es decir, sus mensajes son mensajes de aplicaciones y protocolos de la familia IP. 8

9 Ataques que puede sufrir un encaminador 1. Ataques de denegación de servicio, sin necesidad de acceso. 2. Ataques de acceso para modificación de información, casi siempre de las tablas de rutas. Suelen realizarse mediante telnet, ssh, etc. 3. Ataques basados en la falta de autenticación. Se tratan de mensajes enviados en cualquiera de los protocolos citados, con una información de rutas errónea y que, al no preguntar el encaminador es quién la manda y aceptarla sin problemas, permite controlar en parte la red. Hay dos modalidades para este tipo de ataques: - Enviar información muy errónea, para volver loca a la red. - Enviar mensajes a 2 encaminadores, explicándoles (mediante rutas falsas) que la ruta más corta entre ellos, pasa por la definida, para poder sniffar la información en el segmento de red con mayor facilidad. 9

10 2.5. LOS SERVIDORES Y OTRAS MÁQUINAS Las máquinas de un entorno de red suelen ser: - Estaciones de trabajo: Son máquinas de uso final de un usuario - Servidores: Son máquinas que ofrecen servicios y que suelen tener como sistema operativo alguna modalidad de UNIX o Windows server. Directrices de una buena política de seguridad: Hacer responsable a cada usuario de buena parte de la seguridad de su estación de trabajo: Seguir un protocolo seguridad en las cuentas de usuario y contraseña, pues, a través de ellas, se tiene acceso a datos y aplicaciones compartidas, correo, etc. - Usar antivirus para aumentar la seguridad de ficheros y directorios personales. En cuanto a la seguridad de los servidores, se debe tener en cuenta vanas cosas: - Usar protocolos de copias de seguridad en servidores de datos que garanticen la disponibilidad de los datos. - En servidores de autenticación, o Controlador de Domínio, usar sistemas de ficheros seguros y robustos como el NTFS de Windows o Tru64 UNIX. - En servidores de aplicaciones, como un servidor de correo electrónico, servidor DNS, servidor http, ftp o de cualquier otra aplicación IP típica, hay que tener especialmente configuradas tales aplicaciones con todos los filtros recomendados - Los servidores deben estar ubicados físicamente en lugar seguro, tanto más seguro cuanto más delicado sea su contenido.

11 2.6. CONCLUSIONES En cualquier sistema de comunicaciones existen tres piezas clave: los emisores, los receptores y el medio de comunicación. Hay componentes hardware a tener en cuenta en cualquier proceso de seguridad, que se pretenda seguir para las redes que se utilicen. como los cables, los repetidores y hubs. No todos los cables ofrecen la misma seguridad, que siempre será más seguro trabajar con par trenzado apantallado o con fibra óptica. En comunicaciones inalámbricas se hace más patente la encriptación de los datos. Hay que dedicar un buen espacio (y tiempo) en la política de seguridad a la configuración correcta y mantenimiento de los conmutadores y de los encaminadores. Es esencial elegir correctamente cuáles se van a usar, cómo y quién los va a configurar, cómo será su mantenimiento y su auditoria.

12 2.7. EVALUACIÓN 1. Los encaminadores son máquinas más seguras que los hubs por: a) Porque implementan hasta el nivel 3 de la arquitectura OSI, y los hubs solo hasta el nivel 1. b) No son necesariamente más seguros. Depende de su configuración concreta. c) Tienen mecanismos físicos de seguridad adicionales. d) Son más seguros los hubs, al no tener ninguna configuración especial que realizar en ellos. 2. Cuáles de las siguientes características son típicas de los productos TEMPEST? a) Protegen frente a desastres naturales, como tempestades. b) Son productos que están apantallados frente a la interferencia electromagnética. c) Los hay desde un simple cable apantallado hasta un edificio apantallado. d) No ofrecen mucha más seguridad pero, en cambio, son muy baratos. 3. Las VLAN (redes de área local virtuales) son: a) Redes locales montadas en secreto, basándose en técnicas criptográficas secretas. b) Grupos de ordenadores, relacionados lógicamente entre sí, por un número de grupo (o de VLAN) y configurados por el administrador de un conmutador. c) Grupos de ordenadores, en distintas redes IP, en distintas situaciones geográficas, dependientes de distintos encaminadores y conmutadores. d) Un nuevo desarrollo de seguridad, probado únicamente como piloto, en el MIT.

13 2.7. EVALUACIÓN 4. Para la gestión remota de un encaminador o de un conmutador siempre es más seguro: a) Acceder a el mediante ssh o telnet, que da, además, las mejores prestaciones de velocidad. b) Acceder a el mediante http, al poderse usar criptografía SSL c) Depende, en cada caso de cómo este configurado. No hay una solución claramente más segura que otra. d) No puede accederse remotamente. 5. Para una mayor seguridad se deben usar SO en las máquinas con el siguiente criterio: a) Todos los servidores deben ser LINUX. Es el más probado con diferencia. b) Todas las máquinas deben ser Windows 2000, excepto los servidores que deben ser UNIX, a poder ser de un fabricante con soporte de su producto. c) No hay un criterio único. La decisión dependerá de muchos factores, entre otros la estabilidad, las aplicaciones que se vayan a usar y los criterios de autenticación de usuarios.. d) Todos los servidores deben ser mainframes con MVS, sistema de IBM lo suficientemente desconocido como para no temer ataques sobre él.