Seguridad Informática: Introducción (II) Jesús Moreno León j.morenol@gmail.com Septiembre 2010
Estas diapositivas son una obra derivada de los seminarios de formación impartidos por Marta Beltrán y Antonio Guzman de la URJC Jesús Moreno León, Septiembre de 2010 Algunos derechos reservados. Este artculo se distribuye bajo la licencia Reconocimiento-CompartirIgual 3.0 España" de Creative Commons, disponible en http://creativecommons.org/licenses/by-sa/3.0/es/deed.es Este documento (o uno muy similar) esta disponible en (o enlazado desde) http://informatica.gonzalonazareno.org
Algo de terminología Activos: elementos que pertenecen a la empresa y que se quieren proteger - Datos - Instalaciones - Software - Personal - Hardware - Servicios Amenazas: - Interrupción - Modificación - Interceptación - Fabricación
Algo de terminología Vulnerabilidad: probabilidad de que una amenaza se materialice contra un activo Es un fallo en el diseño o configuración de un software Una vulnerabilidad genera un expediente de seguridad identificado por un Bugtraq id http://www.securityfocus.com
Algo de terminología Tiempos de reacción y día cero Se define como día cero, el día en el que se hace pública una vulnerabilidad A partir de este momento, el tiempo que se tarde en dar una solución será el tiempo de reacción De este tiempo de reacción depende la probabilidad de que la vulnerabilidad descubierta sea explotada para configurar un ataque
Algo de terminología Procedimiento de análisis de vulnerabilidades 1. Detección y descripción de la vulnerabilidad (INFO + DISCUSSION) 2. Implementación de la explotación de la vulnerabilidad del sistema 3. Desarrollo de EXPLOITS 4. Solución al problema 5. Generación de Parche o versión de software (PATCHES,FIXES y HOTFIXES)
Algo de terminología Escáner de Vulnerabilidades: es un programa que explora un servidor completo para ver si se ajusta al patrón reconocido de una lista de vulnerabilidades En el caso de detectar una vulnerabilidad se muestra la información almacenada según su bugtraq id Security Auditor s Research Assitant (SARA) http://www-arc.com Nessus http://www.nessus.org Internet Security Scanner de Real Security http://www.iss.net/emea/spain.php Retina Network Scanner http://www.eeye.com/
Ejercicio: GFI LANguard Scanner
Algo de terminología Riesgo: posibilidad de que se materialice una amenaza aprovechando una vulnerabilidad Ataque: la materialización de una amenaza Impacto: consecuencia de de un ataque
Ataques Tipos de atacantes: Cracker Objetivo: Romper el sistema de seguridad Víctimas: Sistemas de protección de software Sistemas de protección de grabación Ejemplo: astalavista.com Phreaker Objetivo: Busca aprovechar de forma ilegal servicios privados Víctimas: Televisión de pago Servicios de telefonía Estafas a compañías de suministros
Ataques Tipos de atacantes: Crasher Objetivo: Provocar que los sistemas dejen de funcionar Víctimas: Hacker Cualquier sistema que sea susceptible de sufrir un ataque de denegación de servicio(dos) Objetivo: Saltarse la seguridad de un sistema para poder acceder a partes prohibidas o conseguir información privilegiada Víctimas: Cualquier sistema o usuario informático
Ataques Ataques Internos Son los realizados desde dentro del sistema u organización Son potencialmente devastadores Atacantes: Personal Interno Ex empleados Ex administradores
Ataques Ataques Externos Los objetivos de este tipo de ataques son: Aprovechar un servicio para el que no se está autorizado Conseguir el acceso en un sistema para posteriormente desarrollar un ataque interno Obtener información privilegiada Atacantes Curiosos Mercenarios
Ataques Tipo de ataques Aprovechar un Software Incorrecto Se aprovechan los fallos software (bugs) de un programa para comprometer la seguridad del sistema Solución: Sistema de actualizaciones y detección de intrusos Virus, troyanos y gusanos Es software que pretende ejecutarse de forma no autorizada en un sistema para: Crear puertas traseras Dañar datos Reproducirse en otros sistema de forma masiva Amenazas Físicas
Política de seguridad Una política de seguridad establece los objetivos de la empresa con respecto a la seguridad, así como las normas y directrices a aplicar. Requiere que previamente se realicen varias tareas: Identificar los activos de la organización. Identificar las amenazas de cada uno de los activos listados. Identificar las vulnerabilidades de la organización. Identificar los requerimientos de seguridad de la organización. Desarrollar un plan de contingencia que asegure la continuidad del negocio protegiendo el sistema de las amenazas o recuperándolo tras un impacto