LOGO. Modulo 2. Carlos Villanueva

Transcripción

1 SSO5501 Hardening de un Sistema Operativo de Red LOGO Modulo 2 Carlos Villanueva

2 Introduccion Hardering, del ingles Endurecimiento, se refiere al proceso de segurizar un Sistema o Aplicación

3 Objetivos Generales Hardening d i Específicos. Web Server. Server Servicios

4 Hardening Específico (Web Server) Web Server Los web servers (servidores web) se han transformado en uno de los elementos indispensables para la interacción entre usuarios e información. Es importante t utilizar protocolos seguros (HTTPS, SSL, etc.) Los software's de servidores webserver más utilizados en la actualidad son: Apache, Internet Information Server.

5 Hardening Específico (Web Server) Control de Acceso Restricción del acceso en ciertas áreas de los web servers. Puede controlarse modificando los permisos de los usuarios en el servidor o bien por la creación de listas de control de acceso. Estructura de Directorio y Datos Asegurar que cada lugar se acceda solamente en las condiciones esperadas, Deshabilitarse los listados en el server. No utilizar opciones y nombres por defecto en archivos y directorios.

6 Hardening Específico (Web Server) Logging Herramienta fundamental en la que se basa el análisis y posterior interpretación de la información obtenida. El consorcio W3C posee formato Standard para logs de servidores web Herramientas de Análisis de Log Respaldos Es necesario hacer copias de respaldo en los servidores web. El backup es útil tanto para restaurar por completo un equipo a un estado operativo como para restaurar un pequeño número de archivos. Estrategia Utilizada Local, remoto, replicado, respaldo de archivos abiertos

7 Hardening Específico (Web Server) Integridad d La integridad de una página puede ser dañada por fallas de software o bien por ataques de intrusos que toman el control sobre algún sector y modifican su contenido (web defacing). Se recomienda entonces utilizar software de chequeo de integridad id d para los archivos estáticos. Detección de Web Server Clandestinos Se basan en la imitación de un sitio para conseguir que los usuarios coloquen sus datos, especialmente en instituciones bancarias. Un sitio fraudulento suele adoptar un nombre y dirección muy similar al original. Otros servidores contienen material ilegal, como ser software, música, películas y demás. Certificados digitales

8 Hardening Específico (Web Server) Vulnerabi-lidades de Scripting Los lenguajes de scripting son aquellos que están diseñados para ser ejecutados por medio de un intérprete, a diferencia de los compilados. Existe un tipo de ataque basado en la explotación de vulnerabilidades del sistema de validación de HTML incrustado que se denomina XSS por Cross Site Scripting CGIs Common Gateway Interface es una tecnología que permite a un iente con un explorador web, solicitar datos de un programa ejecutado del lado del servidor web. Cuando un usuario invoca un CGI se le está permitiendo ejecutar remotamente un programa en el servidor.

9 Hardening Específico (Web Server) Java Java es un lenguaje orientado a objetos desarrollado por Sun Microsystems a principios de los 90. Para trabajar con el lenguaje, el fabricante proporciona un compilador y una máquina virtual. JavaScript JavaScript es un lenguaje interpretado (no requiere compilación) ió que se utiliza principalmente i en páginas web. No permite acceder a elementos externos a la página web

10 Hardening Específico (Web Server) ActiveX ActiveX es una tecnología de Microsoft que se utiliza para desarrollar componentes de software orientados a objetos reutilizables. Considerando la seguridad de esta tecnología, debemos tener en cuenta su alta interactividad con el sistema operativo, lo cual puede convertirlo en un eslabón débil de la cadena de seguridad. Programación Segura de Scripts Para conseguir scripts seguros se debe tener muy en cuenta el correcto armado de los algoritmos, a fin de que no se produzca el consumo excesivo de recursos o el descontrol interno de la lógica de programación. Se deben comprobar todo tipo de accesos de los scripts, y la forma predeterminada de funcionamiento debe ser la de no permitir nada. También se debe minimizar el acceso a recursos.

11 Hardening Específico (Web Server) Code Signing El Code Signing, o firma de código, es el proceso de firmar digitalmente archivos ejecutables y scripts para confirmar la autoría del software y garantizar que el código no ha sido alterado ni está corrupto desde que fue firmado. Protegiendo el Web Browser Un navegador o explorador web es la aplicación que nos permite visualizar documentos de hipertexto desde servidores web. Los principales navegadores que se utilizan son el Internet Explorer de Microsoft y el Mozilla Firefox, los cuales trabajan de formas diferentes. Los navegadores se pueden complementar con plugins que agregan funcionalidades, pero se debe tener en cuenta que los mismos no provoquen una reducción en el nivel de seguridad.

12 Hardening Específico ( Server) Server Como normas generales, no debería haber aplicaciones i extrañas o desconocidas instaladas en el servidor de correo electrónico. Los permisos y accesos al mismo deben ser estrictamente controlados para bloquear la instalación o ejecución de programas no autorizados.

13 Hardening Específico ( Server) Arquitectura La arquitectura de los servidores de correo electrónico es del tipo iente/servidor. La mayoría de los protocolos no encriptan la información de autenticación, si no que esta viaja en texto plano a través de Internet. SMTP El SMTP (Simple Mail Transfer Protocol) es un protocolo de red, basado en texto plano que se utiliza para el intercambio de correo electrónico entre distintos t equipos.

14 Hardening Específico ( Server) Pop3 El POP3 (Post Office Protocol versión 3) es un protocolo que se utiliza para obtener mensajes de correo electrónico alojados en un servidor. Para añadirle seguridad a la conexión por protocolo POP3, una buena práctica es utilizar la encriptación ió Secure Socket Layer (SSL) IMAP El IMAP (Internet Message Access Protocol) es un protocolo de red para acceder a mensajes de correo electrónico que se encuentren almacenados en un servidor. Mediante este protocolo se puede tener acceso al correo desde cualquier equipo con conexión a Internet, ya que los mensajes permanecen en el servidor. Los usuarios una vez que acceden a su correo pueden borrarlos.

15 Hardening Específico ( Server) MIME El formato MIME (Multipurpose Internet Mail Extensions) Et son una serie de especificaciones i dirigidas al intercambio de todo tipo de archivos a través de Internet y que este sea transparente para el usuario. S-MIME El formato S/MIME (Secure / Multipurpose Internet Mail Extensions) es un estándar criptográfico de ave pública y firmado de correo electrónico encapsulado en MIME.

16 Hardening Específico ( Server) PGP PGP (Pretty Good Privacy) es una aplicación desarrollada por Phil Zimmermann, cuyo objetivo es proteger la información que se distribuye a través de Internet. Para ello hace uso del sistema de criptografía de ave pública, como también firma digital para autenticar documentos. SMTP Relay El SMTP Relay u Open Relay, es un servidor de correo SMTP que permite el reenvío de correos electrónicos por parte de terceros. Si un servidor de correo electrónico tiene habilitado el Open Relay, está expuesto a potenciales problemas, como ser, sufrir ataques por DoS o bien que un spammer utilice el servidor para reenviar su SPAM.

17 Hardening Específico ( Server) Código Malicioso En el caso de la prevención de ejecución de Código Malicioso en el servidor de correo electrónico, es necesario asegurarse el correcto funcionamiento del antivirus y todas aquellas aplicaciones que complementen la detección y contención de este tipo de software dañino.

18 Hardening Específico (Servicios) Servicios Tradicionales Existen otra variedad de servidores que brindan distintos t servicios. i Cada uno de ellos tiene asociados problemas inherentes a cada servicio en particular. A continuación analizaremos los más representativos.

19 Hardening Específico (Servicios) FTP (File Transfer Protocol) Servicio con varios problemas de Seguridad Contraseñas sin encriptación, Virus, Extensión de Red, etc DNS Un servidor de DNS (Domain Name Services) resuelve hostnames con direcciones IP. Principales ataques: Ataque de DoS a un DNS, Footprinting de la red, Delegación de dominios.

20 Hardening Específico (Servicios) DHCP DHCP (Dynamic Host Configuration Protocol) es el protocolo que permite a los distintos nodos de una red IP obtener sus parámetros de configuración automáticamente, como ser dirección IP, máscara de subred, Gateway, etc. En la mayoría de las plataformas existen distintos controles de acceso y autenticación para este tipo de servidores. NNTP El NNTP (Network News Transfer Protocol) es un protocolo que se utiliza para la lectura y publicación de artículos de noticias en Usenet. Los servidores NNTP son vulnerables a diversos tipos de ataques, ya que suelen ser una fuente de recursos para la red interna. (Spam DoS)

21 Hardening Específico (Servicios) File Server Brindar el acceso remoto a archivos almacenados en dicho equipo. Algunos protocolos para compartir archivos utilizados en este tipo de servidores son SMB (Unix/Linux y Windows) y NFS (Unix/Linux). Print Server Un servidor de impresión o servidor de impresoras es una computadora o equipo discreto que puede aceptar y administrar distintos trabajos de impresión de computadoras iente conectadas a dicho servidor a través de la red.

22 Hardening Específico (Servicios) Repositorio de Datos Inuyen una gran cantidad de variantes de sistemas de almacenamiento interconectados para el mantenimiento y protección de los datos.

23 LOGO