L4 5EGUR1D4D 4PLIC4D4 4 L4 V1D4 D14R14 Y 4L ENTORNO D1G1T4L. Kelvin Martínez García Líder de concienciación en seguridad digital

Transcripción

1 L4 5EGUR1D4D 4PLIC4D4 4 L4 V1D4 D14R14 Y 4L ENTORNO D1G1T4L Kelvin Martínez García Líder de concienciación en seguridad digital

2 AGENDA El entorno mundial VICA (o VUCA) Qué es seguridad? Gestión de seguridad Seguridad y recurso humano Gestión del riesgo Seguridad y el planeta Seguridad y libertad: guerra mundial Seguridad y política Seguridad y naturaleza Seguridad y cuerpo humano Seguridad y educación Caso de estudio

3

4

5

6 Protagonismo de la ciberseguridad en el mundo actual Fuente: bbc.co.uk

7 Protagonismo de la ciberseguridad en el mundo actual La industria ha fallado, dice Amit Yoran, presidente de RSA, unidad de EMC Corp., en una entrevista. Mire cualquier periódico. Incluso las organizaciones que están invirtiendo millones y millones de dólares en seguridad, aún están teniendo problemas constantemente. ( ) Educado en las fuerzas armadas y veterano del departamento de Defensa, Yoran no cree que RSA, o cualquier empresa, pueda eliminar las incursiones de los hackers. Agregando que, al final del día, los malos aún logran ingresar. Los comentarios de Yoran reflejan una reflexión inusual en esta industria, luego de ataques informáticos de alto perfil en Sony Corp., J.P Morgan Chase, Anthem Inc. y otras firmas personas La industria de la seguridad es parecida a la industria de las curitas, dice Jeff Moss, un ex hacker que ahora asesora al Departamento de Seguridad Interna de Estados Unidos. Aplicamos curitas mejores, más rápidas y más grandes... Pero realmente no estamos curando al paciente. Fuente: lat.wsj.com

8 Protagonismo de la ciberseguridad en el mundo actual Fuente: eluniversal.com.mx

9 4. Protagonismo de la ciberseguridad en el mundo actual

10

11

12 VIDEOS

13

14

15

16

17

18 OBJETIVOS DEL PROYECTO OBJETIVO GENERAL Diseñar e implementar las prácticas de laboratorio en la temática de Seguridad en Redes de Telecomunicaciones para asignaturas del Departamento de Ingeniería Electrónica. OBJETIVOS ESPECÍFICOS Diseñar e implementar seis (6) prácticas de laboratorio que demuestren las vulnerabilidades actualmente más conocidas en las redes de datos, en particular de protocolos de la familia TCP/IP, y la forma de manejarlas, tanto en la versión estudiante como en la versión docente. Establecer y aplicar un instrumento de validación de la efectividad de las prácticas de laboratorio que permita verificar el cumplimiento de sus objetivos, antes de la realización directa en los cursos establecidos por el Departamento de Ingeniería Electrónica. Realizar una propuesta de incorporación, dentro de los contenidos programáticos de las asignaturas: seguridad en redes, redes de telecomunicaciones y laboratorio de redes de telecomunicaciones, de las prácticas de laboratorios elaboradas, según su pertinencia

19 MODELO PEDAGÓGICO Knud Illeris: Dimensiones del aprendizaje David Kolb: Aprendizaje experiencial como eje

20 MODELO PEDAGÓGICO David Kolb: Ciclo del aprendizaje experiencial

21 DISEÑO DE LAS PRÁCTICAS 1. Requerimientos de las asignaturas de redes 2. Definición de los objetivos de diseño 3. Elección del enfoque 4. Selección de temas 5. Diseño de la topología de red 6. Selección de herramientas de ataque y análisis 7. Creación del escenario para la práctica 8. Establecimiento de las reglas 9. Retroalimentación

22 DISEÑO DE LAS PRÁCTICAS OBJETIVOS DE DISEÑO Facilitar una comprensión más profunda de conceptos tales como: estructura de las PDU (Protocolo Data Units), direcciones MAC, direcciones IP y puertos. A partir de sus vulnerabilidades, afianzar el entendimiento del funcionamiento de algunos de los protocolos más utilizados en las redes. Posibilitar a los estudiantes la comprensión y análisis detallado de algunos ataques de red posibles por las brechas de seguridad de los protocolos, y las defensas que se pueden establecer en la práctica. Facilitar a los estudiantes la integración del conocimiento y teorías de seguridad adquiridos, con problemas que se pueden presentar en la práctica en las empresas Concienciar a los estudiantes sobre las vulnerabilidades que son inherentes a todo sistema y la necesidad de tomar medidas para asegurarlo. Incentivar el trabajo en equipo entre los estudiantes y la motivación, que es un aspecto fundamental dentro del proceso de aprendizaje. Prevenir la afectación de sistemas productivos de la Universidad o de empresas, que podría acarrear pérdidas económicas o de reputación.

23 DISEÑO DE LAS PRÁCTICAS ATAQUES SELECCIONADOS No. Ataque seleccionado 1 MAC Spoofing / Flooding 2 WEP Cracking 3 STP Root Role Claiming 4 ARP Spoofing 5 DHCP Spoofing 6 TCP Scanning

24 Equipos necesarios

25 TOPOLOGÍA DE RED

26 Topología de red para práctica 2: deauthentication / WEP Cracking

27 Topología de red para práctica 4: STP Root Role Claiming

28 DESARROLLO Experiencia al cursar las asignaturas de redes Necesidades de contenido y prácticas Pruebas de los ataques en el laboratorio Selección de temas de las prácticas Selección de herramientas Elaboración de la primera guía para estudiantes Primera validación: 4 estudiantes Segunda validación: 4 estudiantes Intercambio de roles dentro de la práctica Separación de las guías según roles Sesiones teóricas Observación de los estudiantes Tercera validación: 8 estudiantes Hojas de instrucciones y comandos Instrumento de validación técnica Cuarta validación: 8 estudiantes

29 DESARROLLO ENTREGABLES Por cada práctica, para los estudiantes: Guía del administrador Hoja de anotaciones del administrador (validación técnica) Comandos del administrador Guía del atacante Comandos del atacante Por cada práctica, para el docente: Instrumento de evaluación de la práctica (validación pedagógica) En general, para el docente: manual del docente

30 VALIDACIÓN PEDAGÓGICA valor y pertinencia de la práctica dentro del proceso educativo. TÉCNICA: Asimilación de los conceptos de redes y seguridad Criterios: Preparación y habilidad para entender la práctica Claridad de las instrucciones de la práctica Nivel de dificultad Nivel de interés en la práctica Tiempo asignado para realizarla Validez de la práctica como parte de la asignatura Interés en la realización de la práctica Cumplimiento del objetivo de aprendizaje establecido Dificultades para el desarrollo Aspectos valiosos para el aprendizaje Cambios a realizar para la mejora de la práctica

31 RESULTADOS Mayo 20 de 2015 Práctica WEP Cracking Estudiante Número pregunta Tema pregunta Preparación y habilidad Instrucciones claras Nivel de dificultad Nivel de interés Cantidad de tiempo Valor de la práctica Interesante Juan Manuel Ángel Reinemer Juan David Alfonso B. / Mauricio Rubio Jairo González Daniela Colina / Carolina Céspedes Andrés Córdoba / Marco Loaiza Cumplimiento de objetivo Promedio 4,2 4,2 3,2 4,6 3,0 4,8 4,8 4,6

32 CONCLUSIONES Aprovechamiento de infraestructura de laboratorio de redes de telecomunicaciones Importancia de aprendizaje de vulnerabilidades de los protocolos de red Comprobación de funcionamiento de mecanismos de protección Inclusión de vulnerabilidades en los contenidos de las asignaturas de redes Valor de los elementos didácticos incorporados a las prácticas Interés de los estudiantes al tener la oportunidad de sentir, observar y hacer. Validación de los modelos pedagógicos seleccionados Desarrollo futuro: capa de aplicación, otros dispositivos, actualización de ataques.

33 NECESITAMOS HACKERS ÉTICOS GRACIAS