REGULARIZACIÓN DE VULNERABILIDADES Seminario: Tendencias de la Tecnología en Buenos Aires, 16 de Septiembre del 2008
Grupo del Retail con presencia en cinco países en Latinoamérica: Múltiples Unidades de Negocio La Compañía Situación Actual Hipermercados / Supermercados / Home Stores / Department Stores / Shoppings / Tarj. Crédito / Seguros / Viajes & Turismo Área TI distribuída y diversa Grupos Locales y Corporativos (mas de 1000 personas) Distintas culturas (de compañías y países) Variedad Tecnológica: OS: Windows, Solaris, Linux, OS400, etc... DB: Oracle, Informix, SQL, DB2, etc... Lang.: Java,.Net, VB, ABAP, RPG, etc... Mas de 350 aplicaciones soportando al negocio (además de distintos ERPs) Mas de 50 proyectos grandes al año ( > 4000 hs.) de todo tipo Canales: B2B, B2C, etc.. Core: Migración & Implementación ERPs (SAP/PeopleSoft/Oracle) / Nueva Plataforma POS Gestión: Datawarehouse / Business Intelligence Una realidad... Dinámica, volátil Driver: TIEMPO!!!!! 2
Objetivo Qué persigue un proyecto de regularización de vulnerabilidades? Elevar el nivel de seguridad global de la plataforma tecnológica de la compañía (equipos, SW de base, aplicaciones, etc...) Alto Medio-Alto Medio Medio-Bajo Bajo Generalmente se parte de un diagnóstico previo (assessment) donde se han documentado todas las vulnerabilidades 3
Periódicamente ejecutamos: Nuestro Ciclo de Control de la Seguridad Etapas Etapa 1: Diagnóstico de Seguridad PenTest Interno PenTest Externo Etapa 2: Proyecto de Etapa 3: Compliance & Actualización de Política 4
Etapa 1 Diagnóstico de Seguridad Básicamente consiste en: PenTest Externo Scanning de sistemas perimetrales Revisión de Aplicaciones Web Relevamiento de infraestructuras wireless Escalamiento de privilegios PenTest Interno Revisión de servidores y networking Relevamiento general de workstations Prueba de fortaleza general de passwords Escalamiento de privilegios Estado general de antivirus / parches 5
Etapa 2 ( I ) Elementos a tener en cuenta Input identificadas claramente Priorización Exposición al riesgo Costo de remediación Facilidad de explotación Alcance Foco en lo mas importante (riesgo) Recordar que... un elefante se come de a pedacitos... Tener en cuenta las complejidades de las distintas plataformas SW de Base <> Aplicaciones Seteo de expectativas Documentar!!!! 6
Elementos a tener en cuenta (cont.): Plan Involucramiento de todas las áreas Operaciones / Tecnología / Comunicaciones / Desarrollo Identificar las ventanas de trabajo Coordinar con los planes de las otras áreas Documentar compromisos Tener en cuenta el volumen Etapa 2 ( II ) Muchas vulnerabilidades concentradas en pocos equipos / aplicaciones Pocas vulnerabilidades repetidas en muchos equipos / aplicaciones Sacar el mejor provecho de la distribución de tareas Remediaciones que requieren análisis mas exhaustivos (aplicación de parches) Remediaciones que se resuelven fácilmente (política de contraseñas) Ejecución Cuidado con el impacto por la aparición de nuevos findings Seguimiento & Control como cualquier proyecto......... 7
Etapa 3 Compliance & Actualización de Política Compliance: Verificar que las vulnerabilidades fueron removidas Mismo equipo vs Otro equipo (Pros & Cons) Clave: Documentación del trabajo realizado (equipos, aplicaciones,...) Verificar que no se introdujeron nuevas vulnerabilidades Documentar y comunicar el estado final Publicar los resultados Actualizar Política: Update de las normas publicadas Comunicación / Difusión / Capacitación 8
Conclusiones Nuestra Experiencia Factores Críticos de Éxito: Partir de un buen diagnóstico Definir claramente el alcance y priorizar Manejar expectativas Involucrar a todas las áreas de TI Comunicar, comunicar & comunicar 9
Consultas 10