SM@RT-IT Information Security Network Management Solutions
SERVICIO DE CONSULTORIA DE RED
INTRODUCCIÓN El servicio de consultoría de red, considera actividades conducentes a obtener una visión holistica del escenario actual del cliente desde el punto de las Tecnologías de la Información y las Comunicaciones (TIC), para su posterior análisis y elaboración de un documento con hallazgos, y recomendaciones que mejor se adecuen a la realidad y necesidades tecnológicas requeridas, para el apoyo al negocio del cliente. El documento, es el entregable final para el cliente y considera para su elaboración, la experiencia del consultor a cargo de la consultoría, un equipo multidisciplinario asesor, las mejores practicas y estándares de la industria tal como, ISO17779, NIST e IETF RFC, todo lo cual proveerá del fundamento teórico práctico, para la elaboración del documento. Siendo las actividades y descripción de la consultoría, indicadas en la siguiente Agenda.
AGENDA 1. ALCANCES 2. METODOLOGIA 3. ENTREGABLES
1.ALCANCES La consultoría se divide en las siguientes 3 etapas: 1.1ENTREVISTA AL PERSONAL 1.2EVALUACIÓN ARQUITECTURA DE RED 1.3 EVALUACIÓN SEGURIDAD DE LA RED
1.ALCANCES 1.1 ENTREVISTA AL PERSONAL Entrevista con personal responsable de la administración de las TIC en el cliente, a objeto de conocer mas en profundidad como el personal entiende y opera en el proceso de administración de dichas tecnologías e identifica su rol, las Normas, Políticas y Procedimientos que le compete en tal proceso. Esto permitirá, si aplica, revisar y documentar, como esto afecta sobre la administración sus tecnologías y el potencial impacto en la operación del negocio de la organización. Del mismo modo, previo al inicio de las entrevistas, se solicita un esquema u organigrama que servirá de apoyo durante el proceso. Para facilitar el proceso de entrevista, el consultor a cargo utilizará un cuestionario con un conjunto de preguntas orientadas hacia la administración, de manera que estas puedan ser respondidas dentro de un periodo no superior a 10 minutos por cada entrevista. Por lo tanto es importante para facilitar el avance en esta etapa, disponer de una oficina o sala, para realizar las actividades involucradas en esta etapa.
1. ALCANCES 1.2 EVALUACIÓN ARQUITECTURA DE RED Topología de red Se solicita al cliente un diagrama lógico de la red y si este no se encuentra disponible, se genera uno en colaboración con el cliente. Diagrama que debe considerar en detalle, la forma lógica de conectividad de los elementos de la red del cliente y flujo de datos. Inspección visual de las instalaciones Ubicación física, del equipamiento de comunicaciones, seguridad y servidores, para validar tanto la infraestructura que lo sustenta, como la consistencia del diagrama de topología de la red. Análisis de la red de datos A través de una herramienta de software, se realiza la captura y análisis del comportamiento del tráfico de la LAN.
1.ALCANCES 1.3 EVALUACIÓN SEGURIDAD DE LA RED Esta actividad tiene como objetivo, determinar la brecha de seguridad (Gap between) entre el escenario del cliente y un escenario basado en mejores practicas y estándares de la industria de la seguridad de la información, razón por la cual se realizan actividades desde los siguientes enfoques: Administración Considera el levantamiento de información, mediante un cuestionario, con el objeto de identificar, políticas y procedimientos relativos a la administración de la plataforma de servicios de la red y su operación. Análisis de los Servidores Chequeo de vulnerabilidades del sistema operativo y niveles de riesgo que representa su exposición hacia la LAN.
1.ALCANCES 1.3 EVALUACIÓN SEGURIDAD DE LA RED Topología Se identifican la inter-relación y niveles de criticidad de los diferentes elementos de la red, respecto de la disponibilidad del servicio para los usuarios. Ethical Hacking Involucra análisis controlado de los niveles de vulnerabilidad, que potencialmente puedan exponer los servicios publicados (Web, Correo, DNS, etc.) hacia una red externa (Internet, extranet)
1.ALCANCES En la figura, se indica un cronograma de actividades involucradas en la ejecución de la Consultoría. En este ejemplo, el tiempo total empleado en la consultoría, considerando una organización de 200 usuarios y 10 Servidores, es 7 días.
2. METODOLOGIA Durante la consultoría se considera a modo de referencia, la utilización de las mejores prácticas conocidas en la Industria, sumado a la experiencia del consultor, permitirán generar un documento con las recomendaciones más adecuadas para el cliente. Para el apoyo en la ejecución ordenada de las actividades, se considera utilizar un diagrama de flujo, para cada una de las siguientes actividades especificas a ejecutar: 2.1 Levantamiento de información. 2.2 Monitoreo del tráfico de la red. 2.3 Análisis de vulnerabilidad.
2. METODOLOGIA
2. METODOLOGIA
2. METODOLOGIA
3. ENTREGABLES 3.1 HALLAZGOS Análisis de tráfico de LAN Análisis de vulnerabilidad Sistema operativo de Servidores Servicios publicados. 3.2RECOMENDACIONES MEJORES PRACTICAS Topologia de red Física Lógica Seguridad Perimetral Normas, Políticas y procedimientos
3. ENTREGABLES 3.1 EJEMPLO DE HALLAZGOS Análisis de tráfico de red LAN (Tiempo de respuesta cliente-servidor)
3.ENTREGABLES 3.1 EJEMPLO DE HALLAZGOS Análisis de tráfico de red LAN (Los equipos con más utilización de la red)
3. ENTREGABLES 3.1 EJEMPLO DE HALLAZGOS Análisis de tráfico de red LAN (Distribución de protolocos)
3.ENTREGABLES 3.1 EJEMPLO DE HALLAZGOS Análisis de tráfico de red LAN (Salud de la red)
3.ENTREGABLES 3.1 EJEMPLO DE HALLAZGOS Análisis de vulnerabilidad Servidores
3.ENTREGABLES 3.1 EJEMPLO DE HALLAZGOS Análisis de vulnerabilidad Servidores y su solución
3. ENTREGABLES 3.1 EJEMPLO DE RECOMENDACIONES Análisis de vulnerabilidad Servidores y su solución
3. ENTREGABLES 3.1 EJEMPLO DE RECOMENDACIONES Análisis de vulnerabilidad Servidores y su solución
3.ENTREGABLES 3.1 EJEMPLO DE RECOMENDACIONES Análisis de vulnerabilidad Servidores y su solución
3.ENTREGABLES 3.1 EJEMPLO DE RECOMENDACIONES Análisis de vulnerabilidad Servidores y su solución
3.ENTREGABLES 3.2 EJEMPLO DE RECOMENDACIONES Topologia de red (Seguridad Perimetral) IDS IPS ANTIVIRUS DE RED ANTIVIRUS DE SISTEMA INTERNET LAN DMZ SERVICIOS SERVICIOS USUARIOS
3.ENTREGABLES 3.2 EJEMPLO DE RECOMENDACIONES Topologia de red (Segmentación del trafico de la red, mediante VLAN)
3.ENTREGABLES 3.2 EJEMPLO DE RECOMENDACIONES Normas, Políticas y procedimientos para la Navegación en Internet. Norma: Internet como herramienta de apoyo a labor de cada empleado. Política: Todo empleado tiene acceso al utilizar Internet y su uso será restringido de acuerdo a su función y rol dentro de la organización. Procedimiento: El administrador de la red debe clasificar a los usuarios, considerando su rol y función, lo cual deberá ser informado por el área de administración y finanzas, con un perfil de usuario, el cual tendrá permisos y restricciones, de forma que la utilización del canal de Internet no afecte al resto de los usuarios dentro de la red.
3.ENTREGABLES 3.2 EJEMPLO DE RECOMENDACIONES Normas, Políticas y procedimientos de Respaldos de información. Norma: Los datos que representen información, distribuidos al interior de los sistemas de la organización, deben ser respaldados. Política: La ejecución de los respaldos, debe considerar una periodicidad acorde a la clasificación de la información y su criticidad, tal como: Respaldo diario de la información confidencial y critica. Respaldo semanal incremental de la información interna. Respaldo mensual de la información confidencial y critica. Procedimiento: El administrador de sistemas, debe seleccionar la cinta previamente rotulada, según el tipo de respaldo a realizar. Acceder al menú Y del software de respaldo Z corporativo y programar las políticas de respaldo. Una vez finalizado el proceso, se debe incluir en la rotulación de la cinta, el responsable del respaldo, la fecha y hora de inicio y termino del mismo y almacenar la cinta en un lugar definido para tal efecto.
3. ENTREGABLES 3.2 EJEMPLO DE RECOMENDACIONES Normas, Políticas y procedimientos de Password. Norma: Todo usuario que acceda a un sistema de la organización, debe ingresar su nombre de usuario y Password de acceso. Política: Debe contener un mínimo de 8 caracteres de longitud. No debe utilizar nombres propios, de cosas, animales o fechas conmemorativas. Deben contener letras y números y al menos 1 carácter especial. Debe contener al menos 2 números, no consecutivos. Debe tener un tiempo de expiración no mayor a 3 meses. Todos los usuarios deberán cambiar su Password la primera vez que accede un sistema. Procedimiento: El administrador de sistemas, debe ir al controlador de dominio y controlar las propiedades de cada usuario.
SM@RT-IT Allow companies to focus on their business.