Control de Acceso. Profesor: Víctor Cárdenas Schweiger

Transcripción

1 Control de Acceso Profesor: Víctor Cárdenas Schweiger 2016

2 Introducción El profesional de la seguridad informática debe ser consciente del control de acceso requisitos y sus medios de implementación que aseguren la disponibilidad de un sistema, confidencialidad e integridad. En el mundo de la red de computadores, este profesional debe comprender el uso del control de acceso en distribución, así como centralizada en sus diferentes arquitecturas. El profesional también debe entender las amenazas, vulnerabilidades y riesgos que son asociados con la infraestructura del sistema de información, la prevención y medidas de detectives que están disponibles para hacerles frente. 2

3 Control de Acceso La razón fundamental. Controlar el acceso a sistemas de información y redes asociadas, esto es necesario para la preservación de su confidencialidad, integridad y disponibilidad. La confidencialidad asegura que la información no sea revelada a personas no autorizadas o procesos. 3

4 Control de Acceso La integridad aborda los siguientes tres objetivos: Prevención de la modificación de la información por usuarios no autorizados. Prevención de la modificación no autorizada o involuntaria de información por los usuarios autorizados. La preservación de la coherencia interna y externa. 4

5 La preservación de la coherencia interna y externa. A. La Consistencia interna asegura que los datos internos sean coherentes. Ejemplo una base de datos. B. Consistencia externa asegura que los datos almacenados en la base de datos este en consonancia con el mundo real. 5

6 La Razón Fundamental Esta política es una declaración de alto nivel de intención de la administración en materia del control de acceso a la información y el personal que están autorizados a recibir esa información. Hay tres cosas que deben ser consideradas para la planificación e implementación de acceso: Mecanismos de control para evitar las amenazas hacia el sistema. La vulnerabilidad del sistema a estas amenazas El riesgo de que la amenaza se materialice. 6

7 Definiciones Amenaza. Un evento o una actividad que tiene el potencial para causar daño a los sistemas de información o redes. Vulnerabilidad. Una debilidad o la falta de una garantía, que puede ser explotada por un amenaza, causando daños a los sistemas de información o redes. Riesgo. El potencial daño o pérdida de un sistema de información o de la red, la probabilidad de que una amenaza se materialice. 7

8 Controles Los controles se implementan para mitigar el riesgo y reducir el potencial de pérdida. Los controles pueden ser de carácter preventivo, de detección o corrección. 8

9 Controles Los controles preventivos se ponen en marcha para inhibir sucesos dañinos. Los controles de detección se han establecido para descubrir ocurrencias perjudiciales. Los controles correctivos se utilizan para restaurar los sistemas que son víctimas de ataques dañinos. Para aplicar estas medidas, los controles pueden ser de carácter administrativo, lógico o técnico, y físico. 9

10 Controles Administrativos Los controles administrativos incluyen: Políticas y procedimientos. Verificaciones de antecedentes. Pautas de trabajo Una revisión del historial de vacaciones, y el aumento de supervisión. 10

11 Controles Lógicos o Técnicos Los controles lógicos o técnicos implican la restricción del acceso a los sistemas y la protección de la información. Ejemplos de estos tipos de controles son el cifrado, tarjetas inteligentes, listas de control de acceso y protocolos de transmisión. 11

12 Controles Físicos Los controles físicos incorporan los guardias de seguridad y construcción en general, como el bloqueo de las puertas, la obtención de acceso a las salas de servidores o computadores portátiles, la protección de los cables, la separación de funciones, y la copia de seguridad de archivos. 12

13 Modelos para controlar el acceso Para controlar el acceso de un sujeto (una entidad activa, como individuo o proceso) a un objeto (una entidad pasiva, como un archivo) implica el establecimiento de reglas de acceso. Estas reglas pueden pueden clasificar en tres categorías o modelos: Control de Acceso Obligatorio. Control de Acceso Discrecional. Control de Acceso No-Discrecional. 13

14 Control de Acceso Obligatorio La autorización de acceso de un sujeto a un objeto es dependiente de etiquetas, que indican dependencia del sujeto, y la clasificación o sensibilidad del objeto. Por ejemplo, en el ejército. Por lo tanto, los documentos deben ser necesarios para que esa persona pueda completar una tarea asignada. Incluso si el individuo se borra para un nivel de clasificación de información, a menos que exista una necesidad de saber, el individuo no debe tener acceso a la información. 14

15 Control de acceso discrecional El sujeto tiene la autoridad, dentro de ciertos límites, para especificar qué objetos pueden ser accesibles. Por ejemplo, las listas de control de acceso pueden ser utilizadas. Este tipo de control de acceso se utiliza en situaciones en las dinámicas locales, donde los sujetos deben tener la discreción para especificar qué recursos están autorizados para que accedan ciertos usuarios. Cuando un usuario, dentro de ciertas limitaciones, tiene el derecho de modificar el control de acceso a ciertos objetos, esto se denomina como dirigido por el usuario de control de acceso discrecional. 15

16 Control de acceso no discrecional Una autoridad central determina qué materias puede tener acceso a ciertos objetos sobre la base de la política de seguridad de la organización. El acceso, los controles pueden estar basados en el papel del individuo en la organización (basado en roles) o en las responsabilidades del sujeto y obligaciones (basado en tareas). En una organización donde hay cambios frecuentes de personal, no discrecional de control de acceso es útil porque los controles de accesos se basan en el papel del individuo o el título dentro de la organización. Estos controles de acceso no tiene que ser cambiado cada vez que una nueva persona se hace cargo de que papel. 16

17 Combinaciones de Control Mediante la combinación de controles preventivos y de detección, la técnica administrativa, (lógico), y los medios físicos de aplicación, se obtienen las siguientes parejas: Preventiva/administrativa Preventiva/técnica Preventiva/física Detective/administrativa Detective/técnica Detective/física Estas seis parejas y de los elementos clave que están asociados con su control son los mecanismos que se discuten a continuación. 17

18 Preventiva/Administrativa En este emparejamiento, se hace hincapié en los mecanismos que apoyan el control de acceso. Estos mecanismos incluyen las políticas de organización y procedimientos, antes del empleo. Verificación de antecedentes Prácticas estrictas de contratación, los acuerdos de empleo, procedimientos por término de contratos. La programación de vacaciones Etiquetado de materiales sensibles El aumento de la supervisión, la formación, la conciencia de seguridad, el comportamiento, sensibilización Registrar los procedimientos para obtener acceso a los sistemas de información y las redes. 18

19 Preventiva/Técnica Utiliza la tecnología para hacer cumplir las políticas de control de acceso. Estos controles técnicos son conocidos también como controles lógicos y pueden ser incorporados en el sistema operativo, puede ser aplicaciones de software, o puede ser hardware. Algunos de los controles típicos de prevención / técnicas son protocolos de cifrado, tarjetas inteligentes, biometría (para la autenticación), locales y remotos acceso a paquetes de software de control, los sistemas de call-back, las contraseñas, las interfaces de usuario, los menús limitados y el software de detección de virus. 19

20 Preventiva/Técnica Algunos ejemplos son: Protocolos de cifrado. Tarjetas inteligentes Biometría (para la autenticación), Acceso Local y remoto a controles de software. Los sistemas de call-back Las contraseñas, las interfaces de usuario, los menús limitados y el software de detección de virus. 20

21 Preventiva/Física Muchas de las medidas preventivas / física son intuitivas. Estas medidas están destinadas a restringir el acceso físico a las áreas con sistemas que contienen información sensible. La área o zona a proteger está definido por un perímetro de seguridad circular que se encuentra bajo control de acceso. 21

22 Preventiva/Física Los controles preventivos / física incluyen vallas, chapas, puertas múltiples (una el hombre-trampa que consiste en dos puertas separadas físicamente de forma que un individuo puede ser "Atrapado" en el espacio entre las puertas después de entrar en una de las puertas), tarjetas de banda magnéticas para el ingreso, biometría (para la identificación), guardias, perros, el control ambiental sistemas (temperatura, humedad, y así sucesivamente), y la creación y el diseño de área de acceso. Las medidas preventivas / físico también se aplican a las zonas que se utilizan para el almacenamiento de los archivos de datos de copia de seguridad. 22

23 Detective/Administrativa Se superponen con los controles preventivos / administrativa porque se puede aplicar para la prevención de futuras violaciones de directiva de seguridad o para detectar violaciones existentes. Ejemplos de estos controles son las políticas de organización y procedimientos, verificaciones de antecedentes, la programación de las vacaciones, el etiquetado de productos sensibles, una mayor supervisión, la capacitación acerca de la seguridad, el comportamiento y la conciencia. Ejemplos son la rotación de puestos, el intercambio de responsabilidades, y las revisiones de los registros de auditoría. 23

24 Detective/Técnica Tienen la intención de revelar las violaciones de la política de seguridad, utilizando los medios técnicos. Estas medidas incluyen la detección de intrusiones a los sistemas y generados automáticamente. Los informes de violación de la información en base a auditorías. Estos informes se pueden indicar las variaciones de funcionamiento "normal" o detectar acceso no autorizados. 24

25 Detective/Técnica Por ejemplo, el registro de los intentos de conexión en una estación de trabajo. Por lo tanto, tres o mas intentos por un individuo en una estación de trabajo se informa como una violación, lo que elimina la necesidad de revisar el log-normal de los errores de entrada. Debido a la importancia de la información de auditoría, los registros de auditoría deben ser protegidos en el más alto nivel de sensibilidad en el sistema. 25

26 Detective/Física Por lo general requieren un ser humano para evaluar la entrada de los sensores o cámaras para determinar si existe una amenaza real. Algunos de estos tipos de control son detectores de movimientos, detectores térmicos y cámaras de video. 26

27 Identificación y Autenticación Son las piedras angulares de la mayoría de los sistemas de control de acceso. La identificación es el acto de un usuario profesando una identidad a un sistema, generalmente en forma de un registro un ID para el sistema. La identificación se establece la rendición de cuentas de usuario para las acciones en el sistema. La autenticación es la comprobación de que la identidad declarada del usuario es válida y normalmente se implementa a través de una contraseña de usuario en el registro en el tiempo. 27

28 Identificación y Autenticación La autenticación se basa sobre los tipos de factores los tres siguientes: Tipo 1. Algo que sabes, como un PIN o contraseña. Tipo 2. Algo que tiene, como una tarjeta ATM o una tarjeta inteligente. Tipo 3. Algo de lo que son (físicamente), como una huella digital o escáner de retina. A veces, un cuarto factor, algo que se hace, se añade a esta lista. Algo que se hace se puede escribir el nombre o otras frases en un teclado. Por el contrario, algo que no puede ser considerado como algo que usted es. Autenticación de dos factores se refiere al acto de exigir dos de los tres factores que utilizado en el proceso de autenticación. Por ejemplo cajero automático, requiere la tarjeta y el PIN. 28

29 Identificación de Usuarios Se define como el conjunto de cualidades únicas e irrepetibles que le permiten distinguir de otros. Los identificadores de los usuarios pueden ser intrínsecos o extrínsecos. 29

30 Identificadores Intrínsecos Del ADN de la Persona. Fondo del Ojo. Iris. Huellas dactilares. Fisonomía de las manos. Rasgos faciales. Timbre de voz. Cinemática de la Firma Manuscrita. Olor corporal. 30

31 Identificadores Extrínsecos PIN s. Contraseñas (Passwords). Firma manuscrita. Número de cuenta bancaria. Tarjeta inteligente. Terminal desde el que se conecta el usuario. 31

32 Identificación de Usuarios Los elementos utilizados para identificar a un usuario pueden ser: Lo que sabe: contraseñas(passwords),pin s Lo que se posee (token): tarjeta de crédito, tarjeta inteligente, teléfono móvil, llave USB(pendrive). Lo que es: características biométricas del individuo. Lo que sabe hacer: firma manuscrita. 32

33 Contraseñas Las contraseñas pueden ser comprometidas y deben ser protegidas. En el caso ideal, una contraseña sólo debe usarse una vez. Este "One-Time Password" proporciona la máxima seguridad porque una nueva contraseña se requiere para cada nuevo inicio de sesión. Una contraseña que es la misma para cada inicio de sesión se llama contraseña estática. Una contraseña que cambia con cada inicio de sesión se denomina una contraseña dinámica. 33

34 Contraseñas El cambio de contraseñas también puede caer entre estos dos extremos. Las contraseñas pueden ser obligadas a cambiar de manera mensual, trimestral o en otro intervalos, dependiendo de la criticidad de la información que necesita protección y las frecuencia de uso de contraseña. Obviamente, cuanto más veces se utiliza una contraseña, la probabilidad aumenta el compromiso de la seguridad. 34

35 Contraseñas Estos tipos de fichas son ejemplos de algo que usted tiene. Una tarjeta de cajero automático es un elemento que almacena su información específica. Las tarjetas inteligentes proporcionan una capacidad aún más por la incorporación de potencia de procesamiento adicional en la tarjeta. Los siguientes son los cuatro tipos de las tarjetas inteligentes: Tokens de contraseñas estáticas. Tokens contraseña dinámica síncrona. Tokens asíncronos contraseña dinámica Challenge-response tokens 35

36 Tokens de contraseñas estáticas. El propietario o se autentica en el token. El símbolo autentica al propietario a un sistema de información. 36

37 Tokens contraseña dinámica síncrona El símbolo genera un nuevo valor de contraseña única en el intervalo de tiempo (la contraseña puede estar cifrada con una clave secreta). La única contraseña se introduce en un sistema o estación de trabajo junto con el PIN de un propietario. La entidad o la autenticación en un sistema o estación de trabajo conoce la clave secreta de un propietario y su PIN, y la entidad verifica que la contraseña introducida es válida y que se ha introducido en la ventana de tiempo válido. 37

38 Tokens asíncronos contraseña dinámica Este esquema es similar al esquema de contraseña dinámica sincrónica, a excepción de la nueva contraseña se generan de manera asincrónica y no tienen que ajustarse a una ventana de tiempo para la autenticación. 38

39 Desafío-respuesta tokens En todos estos esquemas, un dispositivo de autenticación de front-end y un back-end de autenticación por el servidor, que da servicio a varias estaciones de trabajo o la Parte anfitriona, puede realizar la autenticación. Un ejemplo es la tecnología GSM que la clave esta almacenada en la SIM. Otro ejemplo es un acceso a un sitio web que no tiene permiso de acceso el usuario anonymous. 39

40 Biométricos Una alternativa al uso de contraseñas para la autenticación en el acceso lógico o técnico al control, es la biometría. Biometría se basan en el mecanismo de autenticación Tipo 3 - algo que usted es. Biometría se define como un medio automático de identificación o autenticar la identidad de una persona viva sobre la base fisiológica o de comportamiento, características. 40

41 Biométricos En la biometría, la identificación es un "uno-a-muchos" la búsqueda de características de un individuo en una base de datos de imágenes almacenadas. Autenticación en la biometría es un "One to - one "búsqueda para verificar un reclamo de una identidad hecha por una persona. Biometría se utiliza para identificación en los controles físicos y para la autenticación de los controles lógicos. 41

42 Biometría Reconocimiento de Voz Los sistemas basados en el reconocimiento de voz son bastantes conocidos. Ya sea para dictar trabajos al computador como ViaVoice de IBM. O para dar ejecución de comandos a los teléfonos móviles de hoy en día. 42

43 Reconocimiento de Voz Este sistema se basa en el reconocimiento de voz. Utiliza la técnica de análisis espectral de las ondas sonoras que emite un individuo. Para una mejor grabación debe existir un ambiente libre de ruido. Se puede adulterar la voz y hackear (replay attack) el sistema con un dispositivo llamado magnetófono o también un celular moderno. 43

44 Biometría Reconocimiento de firma manuscritas No solo se limitan a reconocimiento de verificación estática. Sino también otros aspectos como: Tiempo empleado por la persona. Número de veces que se separa el bolígrafo del papel. Ángulo que se realiza en cada trazo. Presión ejercida en los cambios de sentidos. 44

45 Reconocimiento de Firma Manuscrita En este sentido ya se ha creado un lápiz biométrico, creado por la compañía Secure Signature Systems. El cual incorpora varios sensores capaces de registrar y comparar de la forma que realiza la firma. 45

46 Biometría Huellas Dactilares La huella dactilar de una persona ha sido un patrón bastante bueno para determinar su identidad. Cada huella se compone de: Segmentos curvos. Arcos. Remolinos(más conocidos como minucias). 46

47 Tipos de Lectores 47

48 48