Documentos de Académico
Documentos de Profesional
Documentos de Cultura
Programa Avanzado de Estudio en Seguridad Informática (Julio 2009)
Programa Avanzado de Estudio en Seguridad Informática (Julio 2009)
EN SEGURIDAD INFORMTICA
Versin Julio 2009
El Arte de la Guerra nos ensea que no debemos depender de la posibilidad de que el enemigo no
venga, sino que debemos estar siempre listos a recibirlo. No debemos depender de la posibilidad
de que el enemigo no nos ataque, sino del hecho de que logramos que nuestra posicin sea
inatacable.
El Arte de la Guerra, Sun Tzu
CAPTULO 1
1.1 SEGURIDAD DE LA INFORMACIN
controlado y no tenga conexiones desde el exterior, sus computadoras estarn en riesgo. Las
entradas no autorizadas y violaciones de seguridad ocurren casi a diario en todo el mundo. Estos
infractores no son slo vndalos en Internet, sino que puede ser el empleado que sustrae tiempo
o servicios de la computadora para su uso personal o mal intencionado.
Desde los primeros das de la computacin, siempre ha existido la necesidad de establecer algn
tipo de control o proteccin sobre el equipamiento y eventualmente la informacin por ellos
generada. No obstante dichos controles y niveles de proteccin, han evolucionado
necesariamente, acompaando el avance en el campo de la informtica y las comunicaciones.
As como inicialmente, los nicos mecanismos de proteccin pasaban por ejemplo, por proteger
fsicamente el acceso al cuarto donde se albergaban los grandes computadores, con guardias de
seguridad; conforme la computacin fue evolucionando hacia equipos ms pequeos y al alcance
de mayor cantidad de usuarios, este modelo dejo de ser eficiente, debiendo complementar este
tipo de controles fsicos, con aquellos ms relacionados con aspectos de seguridad lgica.
Del mismo modo, la proliferacin de las redes de datos, requiri de nuevos cambios en los
modelos de seguridad a aplicar por parte de las diferentes organizaciones, que preocupadas por la
seguridad de la informacin relacionada con su actividad, requeran establecer ya no solo
controles sobre los equipos, sino tambin sobre el transporte de datos. En tal sentido, sin dudas el
mayor impacto respecto de la seguridad relacionada con computadoras hasta nuestros das, lo
haya provocado el advenimiento de Internet y con el, la interconexin de redes mencionadas a
menudo como no seguras, muchas veces ms all de nuestro propio control.
La nueva tendencia respecto de la implementacin de gran cantidad de dispositivos mviles y
redes inalmbricas como parte de la nueva infraestructura tecnolgica, tambin ha requerido que
los profesionales en seguridad, ajusten nuevamente sus procedimientos y desarrollen un conjunto
de tcnicas y controles capaces de velar por la seguridad de la informacin con ellos relacionada.
En resumen, la implementacin de nuevas tecnologas indefectiblemente trae aparejado, el
advenimiento de nuevas oportunidades de negocio, as como tambin riesgos, amenazas y nuevos
vectores de ataque, siendo requerido como parte de un proceso continuo, la revisin constante de
los modelos de seguridad y la adecuacin de controles, de modo tal de mantener su vigencia.
Y esto es solamente lo que ha salido a la luz, podramos afirmar que el problema es mucho peor
de todo lo que se haya ledo u odo.
Computer Specific / Targeted Crime: Crmenes cometidos contra una computadora, red o
sistema (DoS, Attacking passwords, etc.)
Si bien muchos de los crmenes relacionados con computadoras, son novedosos y especficos,
otros no son ms que la evolucin de crmenes para los cuales nicamente a cambiado el medio.
De este modo por ejemplo, delitos comunes como el fraude han visto en la utilizacin de la
computacin y las redes de datos, el mbito ideal donde potenciarse.
Para comprender el porque de la tendencia al alza en cuanto a los crmenes relacionados con
computadoras, basta con revisar el rol que estas desempean hoy en da a nivel mundial. La
informacin es considerada uno de los activos mas valiosos, esta es generada, manipulada y
almacenada por medio de computadoras, pequeos dispositivos y redes de datos mientras que
coincidentemente, las organizaciones se vuelven cada vez mas dependiente de los sistemas y
servicios de informacin, por tanto no existe motivo por el cual pensar que estos datos pasaran
desapercibidos por aquellos que buscan algn tipo de rdito en la concrecin de un crimen.
vuelto ms frecuentes y sofisticados. Existe una amplia gama de actividades delictivas que se
realizan por medios informticos: ingreso ilegal a sistemas, intercepcin ilegal de redes,
interferencias, daos en la informacin (borrado, deterioro, alteracin o supresin de data), mal
uso de artefactos, chantajes, fraude electrnico, ataques a sistemas, robo de bancos, ataques
realizados por Hackers, violacin de los derechos de autor, pornografa infantil, pedofilia en
Internet, violacin de informacin confidencial y muchos otros.
El delito informtico incluye una amplia variedad de categoras de crmenes. Generalmente este
puede ser dividido en dos grupos:
Crmenes que tienen como objetivo redes de computadoras, por ejemplo, con la
instalacin de cdigos, gusanos y archivos maliciosos (Spam), ataque masivos a servidores
de Internet y generacin de virus.
Crmenes realizados por medio de ordenadores y del Internet, por ejemplo, espionaje por
medio del Internet, fraudes y robos, pornografa infantil, pedofilia Internet, etc.
Un ejemplo comn es cuando una persona comienza a robar informacin de websites o causa
daos a redes de computadoras o servidores. Estas actividades pueden ser absolutamente
virtuales, porque la informacin se encuentra en forma digital y el dao aunque real no tiene
consecuencias fsicas distintas a los daos causados sobre los ordenadores o servidores. En
algunos sistemas judiciales la propiedad intangible no puede ser robada y el dao debe ser visible.
Un ordenador puede ser fuente de evidencia y, aunque el ordenador no haya sido directamente
utilizado para cometer el crimen, es un excelente artefacto que guarda los registros,
especialmente en su posibilidad de codificar la data. Esto ha hecho que la data codificada de un
ordenador o servidor tenga el valor absoluto de evidencia ante cualquier corte del mundo.
En todo delito de los llamados informticos, hay que distinguir el medio y el fin. Para poder
encuadrar una accin dolosa o imprudente dentro de este tipo de delitos, el medio por el que se
cometan debe ser un elemento, bien o servicio, patrimonial del mbito de responsabilidad de la
informtica, y el fin que se persigue debe ser la produccin de un beneficio al sujeto o autor del
ilcito; una finalidad deseada que causa un perjuicio a un tercero.
A grandes rasgos, los delitos que de forma ms frecuente se cometen en un medio tan ilimitado
como es Internet son:
Las estafas informticas, en las que se utiliza Internet como medio de comunicacin
annimo: es un lugar ideal para cometer este tipo de delitos.
La pornografa infantil, que se ha visto favorecida precisamente por ese anonimato que
proporciona la red.
Las injurias y las calumnias. Generalmente se cometen en foros o por correo electrnico.
Los delitos contra la propiedad industrial e intelectual. Internet se muestra como un medio
de lo ms propicio para vulnerar los derechos de autor mediante, por ejemplo, la
reproduccin sin permiso de los contenidos que configuran una pgina web.
Quines cometen delitos informticos? Las personas que cometen los "Delitos Informticos" son
aquellas que poseen ciertas caractersticas que no presentan el denominador comn de los
delincuentes, esto es, los personas que tienen destreza para el manejo de computadoras y
generalmente por su situacin laboral se encuentran en lugares estratgicos donde se maneja
informacin de carcter sensible, o bien son hbiles en el uso de los sistemas informatizados, an
cuando, en muchos de los casos, no desarrollen actividades laborales que faciliten la comisin de
este tipo de delitos. Con el tiempo se ha podido comprobar que los autores de los delitos
informticos son muy diversos y que lo que los diferencia entre s es la naturaleza de los delitos
cometidos. De esta forma, la persona que "entra" en un sistema informtico sin intenciones
delictivas es muy diferente del empleado de una institucin financiera que desva fondos de las
cuentas de sus clientes. Los delincuentes de la informtica son tan diversos como sus delitos;
puede tratarse de estudiantes, terroristas o figuras del crimen organizado. Estos delincuentes
pueden pasar desapercibidos a travs de las fronteras, ocultarse tras incontables enlaces o
simplemente desvanecerse sin dejar ningn documento de rastro.
nuevo gusano en condiciones de explotar una nueva vulnerabilidad en alguno de los sistemas
operativos utilizados en el servicio de asistencia 911? cual sera el impacto de dicho servicio
inoperable por horas o das?
En un mundo globalizado y altamente dependiente de la tecnologa, todos debemos entender
nuestro grado de responsabilidad respecto de los temas de seguridad de la informacin. Algunos
desde posiciones de estado, otros desde la visin del profesional calificado en tareas relativas a
seguridad de la informacin y otro tan solo como simples usuarios y/o consumidores de sistemas y
tecnologa.
Las infracciones de seguridad afectan a las organizaciones de diversas formas. Con frecuencia,
tienen los resultados siguientes:
Prdida de beneficios
Las infracciones de seguridad tienen efectos de gran repercusin. Cuando existe una debilidad en
la seguridad, ya sea real o slo una percepcin, la organizacin debe emprender acciones
inmediatas para garantizar su eliminacin y que los daos queden restringidos.
Muchas organizaciones tienen ahora servicios expuestos a los clientes, como los sitios Web. Los
clientes pueden ser los primeros en observar el resultado de un ataque. Por lo tanto, es esencial
que la parte de una compaa que se expone al cliente sea lo ms segura posible.
situaciones que son mucho mayores que la simple proteccin contra virus informticos. Est
protegiendo muchos de los activos ms importantes de la empresa de personas que estn
altamente motivadas para abusar de estos activos, des afortunadamente algunas de estas
personas pueden estar dentro de la organizacin.
Es muy importante que una organizacin realice un examen consciente de su actual situacin
respecto a la seguridad, este anlisis permitir tomar acciones en caso que el resultado indique
que se encuentra en una situacin comprometida. El examen implica los siguientes pasos:
Identificacin de activos
Evaluacin de vulnerabilidades
Identificacin de amenazas
Estimacin de los riesgos
Estas cuatro acciones le ayudarn a identificar cuales recursos vale la pena proteger, y a
valorizarlos, debido a que algunos son ms importantes que otros, adems esta evaluacin le
ayudar a la hora de definir los recursos econmicos y humanos destinados para su proteccin.
principio, es que el nivel de Confidencialidad debe prevalecer no solo mientras que los datos
residen en los sistemas y dispositivos dentro de la red, sino tambin durante su transmisin y
almacenamiento en destino.
Varias son las amenazas que atentan contra la Confidencialidad: Usuarios pueden intencional o
accidentalmente divulgar informacin sensible al no encriptar la misma antes de que esta le sea
enviada a otra persona, pueden ser victima de algn tipo de ataque de ingeniera social en busca
de secretos comerciales, informacin en trnsito puede ser interceptada por terceros que se
encuentren en condiciones de realizar escuchas, etc.
La Confidencialidad, a menudo puede ser provista o reforzada, mediante la implementacin de un
estricto control de acceso, por medio de la encriptacin de datos (ya sea al momento de
almacenar o transmitir los mismos), la puesta en marcha de procesos de Clasificacin de la
Informacin, concientizacin y entrenamiento del personal. Cada uno de ellos suelen ser recursos
de suma importancia a la hora de combatir efectivamente aspectos tales como la divulgacin no
autorizada.
Integridad: La Integridad de la Informacin es la caracterstica que hace posible garantizar su
exactitud y confiabilidad, velando por que su contenido permanezca inalterado a menos que sea
modificado por personal autorizado, de modo autorizado y mediante procesos autorizados. A su
vez, es de suma importancia que esta modificacin sea registrada para posteriores controles o
auditorias.
Una falla de integridad puede estar dada entre otros, por anomalas en el hardware, software,
virus informticos y/o modificaciones inesperadas. Precisamente, a fin de mantener su integridad,
el conjunto de hardware, software y mecanismos intervinientes en el tratamiento de la
informacin, deben ser capaces de trabajar de manera coordinada, a efectos de procesar,
mantener y mover los datos a su destino previsto, sin que los mismos sufran cualquier tipo de
alteracin inesperada. Tanto los sistemas como la red, se deben proteger contra cualquier tipo de
interferencia exterior que pueda permitir algn tipo de contaminacin.
Ambientes en donde existen medidas que refuerzan el principio de Integridad en el tratamiento
de la informacin, permiten asegurar que atacantes o cualquier tipo de error cometido por los
usuarios, no sern capaces de comprometer la integridad del sistema o los datos.
Cuando un atacante distribuye un virus, una bomba lgica o un backdoor dentro del sistema, la
integridad de este es comprometida. Este hecho puede afectar negativamente el principio de
integridad de la informacin, debido a que la misma puede terminar por corromperse, ser
contaminada mediante la introduccin de datos errneos/falsos o modificada con fines malvolos.
El control de acceso, los sistemas de deteccin de intrusos, la aplicacin de chequeo de integridad,
los procedimientos de control de cambios, la separacin de funciones y la implementacin del
principio de Menor Privilegio, son solo algunos de los medios utilizados para prevenir problemas
de integridad.
Disponibilidad: La Disponibilidad u Operatividad de la Informacin es su capacidad de encontrarse
siempre disponible, para ser utilizada por las personas autorizadas. A fin de cumplir con este
principio, los sistemas y redes deben proveer la capacidad adecuada de procesamiento, actuar de
modo previsible y brindar un adecuado nivel de performance. A su vez, ellos deberan ser capaces
de recuperarse de interrupciones de manera rpida y segura, a fin de que la productividad no se
vea afectada negativamente. Entre las amenazas que afectan el principio de Disponibilidad, se
encuentran las fallas relacionadas con el software y hardware, aspectos relacionados con el
entorno (calor, fro, humedad, electricidad esttica, etc.), desastres naturales, denegaciones de
servicios (DoS, DDoS), etc. A fin de prevenir inconvenientes que puedan afectar la Disponibilidad,
deben ser implementados mecanismos de proteccin adecuados, con el fin de reforzar la
estrategia de continuidad del negocio definida por la organizacin, previniendo de este modo
amenazas internas o externas. En tal sentido deberan implementarse medidas de resguardo y
recuperacin, mecanismos redundantes, planes de contingencia, sistemas de prevencin y/o
deteccin de intrusos, procedimientos de hardening, etc. A su vez puntos nicos de fallas
deberan ser evitados.
1.2.4 Activos
Cada organizacin tiene activos y recursos valiosos. La identificacin de activos es el proceso por
medio del cual una compaa intenta valuar la informacin y sus sistemas. En algunos casos, es
tan simple como contabilizar las licencias de software; estas valuaciones de activos fsicos son
parte de un proceso de contabilizacin normal que una empresa debera realizar en forma
rutinaria. La parte ms dificultosa del proceso de identificacin de activos es intentar asignarle un
valor a la informacin. En algunos casos, podra ayudarnos si intentamos determinar qu
sucedera en caso que la informacin se pierda o se vuelva no disponible. Si la ausencia de esta
informacin provoca que el negocio se detenga, esta informacin es muy valiosa y se podr valuar
segn el costo que le provoque a la empresa esta detencin.
Es importante identificar todos los recursos de la red que podan verse afectados por un problema
de seguridad. Podemos mencionar los siguientes ejemplos de activos asociados a sistemas de
informacin:
1.2.5 Vulnerabilidades
Probablemente las capacidades de seguridad del software y los sistemas utilizados en la
organizacin es el rea de mayor inters para el especialista de seguridad. A travs del estudio de
estas capacidades, podr detectar las vulnerabilidades y fortalecer el sistema antes que los
malintencionados se aprovechen.
Hasta hace poco tiempo, muchos desarrolladores de sistemas operativos no prestaban especial
atencin a las caractersticas de seguridad. Por ejemplo, un sistema operativo muy popular utiliza
un esquema de seguridad que descansa en un logon y password, pero cuando aparece el mensaje
de logon, en lugar de ingresar las credenciales, todo lo que tiene que hacer es un click sobre el
botn Cancelar y el sistema le permitir utilizar la mayora de las capacidades de red y acceso local
a todos los recursos. Esto es peor que no tener seguridad, porque muchos usuarios pensando en
estas caractersticas supondrn que tienen un sistema seguro. Esto no es as, y como resultado
ocurren muchos hurtos de informacin.
Tambin encontramos vulnerabilidades en los protocolos, por ejemplo, el protocolo TCP/IP
(Transfer Control Protocol/Internet Protocol) utilizado por la mayora de las redes corporativas, fue
diseado para permitir comunicaciones en un ambiente confiable. Mientras es muy robusto en su
manejo de errores, es por naturaleza inseguro. Por esta razn muchos ataques modernos ocurren
a travs del protocolo TCP/IP (En la Unidad 5 - Ataques y Contramedidas, se tratan los aspectos de
seguridad relativos a este protocolo).
Los sistemas operativos y programas de aplicacin han sido vulnerables a ataques internos y
externos por mucho tiempo. Las compaas de software quieren vender software que sea fcil de
utilizar, con interfaces grficas, y fcilmente configurables. Los usuarios quieren lo mismo.
Desafortunadamente, esta facilidad de uso y configuracin generalmente crea problemas de
seguridad adicionales. Por ejemplo, uno de los productos ms populares en la actualidad permite
que los e-mails y attachments puedan ejecutar programas embebidos en un mensaje. Esto
permite crear mensajes de e-mail con fantsticas presentaciones, pero tambin permite que los
mensajes puedan llevar virus que pueden daar la computadora y desparramarse hacia otras
redes. El desarrollador de este software ha desarrollado una actualizacin de seguridad, pero se
observa que cada vez que se introduce una actualizacin, alguien encuentra una forma de
saltearla. Este problema se ha vuelto de tanta importancia que los desarrolladores han puesto a
disposicin de los clientes soporte de seguridad on-line. En el pasado, se ocultaban las
vulnerabilidades, pensando que ayudaba a la seguridad del software; hoy en da se hacen pblicas
y se proveen las soluciones tan pronto como se descubren las vulnerabilidades. Esto, por otro
lado, tambin ayuda a los Hackers quienes conocen que estos cambios no sern realizados en
muchos sistemas por un tiempo. Es decir, el progreso hasta ahora ha sido la peor pesadilla del
experto en seguridad, pero hay esperanzas que esto cambie en el futuro porque muchos
desarrolladores de sistemas estn replanteando las medidas de seguridad, porque han reconocido
que los productos que entregan no pueden proteger a las organizaciones que los utilizan de la
prdida de datos o abusos.
Los resultados de esta evaluacin ayudarn a orientar y a determinar las prioridades y acciones de
gestin adecuadas para la administracin de los riesgos concernientes a seguridad de la
informacin, y para la complementacin de los controles seleccionados a fin de brindar proteccin
contra dichos riesgos y reducirlos a un nivel aceptable. Es importante llevar a cabo revisiones
peridicas de los riesgos de seguridad y de los controles implementados a fin de:
reflejar los cambios en los requerimientos y prioridades de la empresa;
considerar nuevas amenazas y vulnerabilidades;
corroborar que los controles siguen siendo eficaces y apropiados.
El anlisis de riesgos implica determinar lo siguiente:
Qu necesita proteger: Evaluacin de los activos y su importancia
De quin debe protegerlo: Evaluacin de amenazas y vulnerabilidades
Cmo protegerlo: Evaluacin de contramedidas
Los riesgos se pueden clasificar por el nivel de importancia y por la severidad de la prdida. Esta
valorizacin es muy til, porque no debera llegar a una situacin donde gasta ms para proteger
aquello que es menos valioso o aquello donde el costo de recuperarlo es inferior al de la prdida.
Entre los factores que tenemos que considerar para realizar una correcta evaluacin del riesgo,
encontramos:
El riesgo de prdida del recurso, que depender de las amenazas a las que est expuesto,
las contra medidas implementadas para protegerlo y sus vulnerabilidades asociadas. Es un
arte que depende del conocimiento y experiencia del evaluador.
La importancia que representa el recurso para la empresa, evaluada segn cada tipo, de
acuerdo a los siguientes factores:
Disponibilidad: es la medida de qu tan importante es tener el recurso disponible
todo el tiempo.
Integridad:es la medida de cun importante es que el recurso o los datos del mismo
sean consistentes. Esto es de particular trascendencia para los recursos de bases de
datos.
Confidencialidad: es la medida de cun importante es que los recursos slo sean
observados por las personas autorizadas.
manera ordenada y los valores que contiene son los que hemos tratado:
Recurso del sistema
Nmero
Riesgo (Ri)
Importancia (Wi)
Riesgo evaluado
(Ri * Wi)
Nombre
1
Router
42
Bridge
18
Servidor
10
10
100
Vemos que, en este caso, el recurso que debemos proteger ms es el Servidor ya que su riesgo
ponderado es muy alto. Por tanto, comenzaremos por buscar las probables causas que pueden
provocar problemas con los servicios brindados por l. Hay que tener muy en cuenta que, al
realizar el anlisis de riesgo,se deben identificar todos los recursos (por ms triviales que
parezcan) cuya seguridad est en riesgo de ser quebrantada. Ahora bien, cules son los recursos?
Los recursos que deben ser considerados al estimar las amenazas a la seguridad son solamente
seis: Hardware, Software, Datos, Gente, Documentacin, Accesorios.
Estas amenazas necesitan ser identificadas, clasificadas por categora y evaluadas para calcular la
magnitud de perdidas potenciales. Si bien es cierto que el riesgo real es difcil de medir, la
priorizacin de los riesgos potenciales, nos permitir conocer cual de ellos necesita ser tratado en
primera instancia.
Sin dudas esta es una visin simplificada, pero no obstante nos permite observar claramente que
tipo de informacin es la requerida a efectos de conocer el riesgo asociado a cada uno de los
activos dispuestos en nuestra organizacin.
Objetivos
Metodologas
Indicadores claves para el monitoreo de los controles implementados para la mitigacin del
riesgo
Ahora bien, el equipo de gestin del riesgo tiene como objetivo primario, garantizar que la
organizacin se encuentra protegida ante los riesgos, teniendo en cuenta la relacin costobeneficio de la implementacin de controles. Este equipo, deber estar conformado por personal
de las reas sustantivas de la organizacin incluyendo IT y seguridad de la informacin.
Sus funciones se encontrarn relacionadas con la proposicin y mantenimiento de la Poltica de
Gestin de Riesgos, la redaccin de procedimientos, las tareas de anlisis de riesgos, la definicin
de mtricas, la capacitacin y concientizacin del personal, la elaboracin de documentacin y la
integracin de la Gestin de Riesgos al proceso de control de cambios, de modo tal que su poltica
y procesos relacionados se encuentren siempre actualizados.
Costo de Adquisicin
Costo de implementacin
Mantenimiento
Pruebas
Habilidad de recupero
Por ultimo, es de suma importancia recordar que una vez identificado, el riesgo puede ser
Mitigado (por medio de la implementacin de contramedidas, controles o salvaguardas),
Transferido (mediante la adquisicin de plizas de seguro) o Aceptado (riesgo aceptable), pero
nunca Rechazado o Ignorado.
1.3.8 Normativa
Por lo general, existe una relacin directa entre los objetivos del negocio y las computadoras e
informacin que con ellas es procesada. Debido a la importancia que la informacin y su
procesamiento tiene para toda organizacin, directores y gerentes deberan hacer de la proteccin
de sus activos de informacin un punto de mxima prioridad y proveer el soporte, tiempo, fondos
y recursos necesarios, a efectos de garantizar que los sistemas, redes e informacin, se
encuentran protegidos de la manera mas lgica posible (costo/beneficio).
Para que el plan de seguridad de una compaa sea implementado en forma exitosa, este necesita
ser de incumbencia de la alta gerencia de la organizacin, definitivamente no debe circunscribirse
al rea de IT o al rea de seguridad, y debe ser tratado con un enfoque del tipo TopDown. Esto
significa que debe nacer o surgir desde los niveles ms altos, pero ser til y funcional en cada nivel
dentro de la organizacin.
La gerencia debera comprender las regulaciones, leyes y responsabilidades que le afectan directa
o indirectamente, as como tambin ser capaz de definir que necesita ser protegido y que no. Al
mismo tiempo estos necesitan determinar que es lo que se espera del empleado en relacin con la
seguridad de la informacin y que consecuencias deberan asumir en caso de no cumplir con las
normativas establecidas. Estas decisiones deberan ser tomadas por quienes de acuerdo a la
posicin que ocupan dentro de la organizacin, son considerados el ultimo responsable, en caso
de que algo salga mal.
Un programa de seguridad, contiene todas y cada una de las piezas necesarias para proporcionar
proteccin a la organizacin. A fin de proveer la coordinacin necesaria para que estas piezas
funcionen del modo esperado. Un programa de seguridad debe incluir polticas, procedimientos,
estndares, guidelines, baselines, un programa de concientizacin de usuarios, un plan de
respuesta a incidentes, un programa de compliance, etc. El desarrollo de normativa, a menudo
requiere de equipos multidisciplinarios. Departamentos de legales y recursos humanos necesitan
involucrarse en el desarrollo de alguno de estos puntos, formando parte del equipo encargado del
desarrollo de este conjunto de documentos.
1.4.1 CONCEPTOS
1.4.2 Exposicin
Solemos referirnos bajo el termino Exposicin, a la instancia en la cual la informacin o un activo
de informacin, es susceptible a daarse o perderse por el accionar de un agente de amenaza.
La exposicin, no significa que el evento que produce la perdida o dao del recurso este
ocurriendo, solo significa que podra ocurrir dado que existe una amenaza y una vulnerabilidad
que esta podra explotar. Una vulnerabilidad, expone a una organizacin a un posible dao. Si la
administracin de contraseas en una organizacin es dbil, y no existen reglas que regulen su
fortaleza, la organizacin podra encontrarse expuesta a la posibilidad de que las contraseas de
sus usuarios sean adivinadas o capturadas, y utilizadas de modo no autorizado. Si una
organizacin no realiza revisiones frecuentes, respecto del estado de su cableado elctrico, y no
posee controles efectivos contra incendios en el lugar, se expone a si misma a incendios
potencialmente devastadores.
1.4.3 Contramedidas
Un proceso de suma importancia a la hora de asegurar cualquier sistema de informacin, es la
seleccin de contramedidas. Formalmente, el trmino Contramedida o Salvaguarda es
utilizado para referirnos a cualquier tipo de medida que permita detectar, prevenir o minimizar el
riesgo asociado con la ocurrencia de una amenaza especfica. Eventualmente las Contramedidas
o Salvaguardas suelen recibir el nombre de Controles.
Como vemos, no todas las amenazas son generadas por usuarios malintencionados, como el
Fraude informtico, las Intrusiones, o el Cdigo malicioso, sino que pueden surgir de acciones
descuidadas, negligencia, fallos de planificacin, como las Amenazas Fsicas, Errores Humanos o
instalacin de Software Ilegal.
Cada una de las categoras se detallar en las siguientes secciones de esta unidad.
1.5.6 Intrusiones
Las intrusiones son ingresos no autorizados a los sistemas de comunicaciones, servidores,
estaciones de trabajo, quebrando la seguridad de la empresa u organizacin.
Estos tipos de intrusiones son habituales en organismos gubernamentales, religiosos o militares, y
en general persiguen varios objetivos entre los que encontramos venganza, desafo intelectual o
tcnico, poder, a travs del acceso a informacin estratgica, ventaja competitiva, o simplemente
la proclama de algn tipo de mensaje en contra de los organismos o la ridiculizacin de los
mismos. Los delincuentes informticos no solo persiguen los objetivos mencionados, sino tambin
rdito econmico. Por ejemplo, en un caso de intrusin al casino on-line de la empresa
Cryptologic Gambling Software, los delincuentes modificaron el programa de ruleta de manera tal
de poder jugar sin perder nunca y as llegaron a ganar u$s 1.9 millones.
Las prdidas econmicas producidas por los Hackers malintencionados no solo estn relacionadas
con las prdidas directas producidas por los ataques, sino mucho peor an, por la prdida de
confianza. Por ejemplo, los clientes de un grupo de Estados de USA que usaban la tarjeta Visa para
sus transacciones electrnicas, se vieron afectados por delincuentes que interceptaban los datos
de sus tarjetas y operaciones. Esto oblig a la reemisin de las tarjetas y gener enormes prdidas
a causa de la prdida de confiabilidad en la institucin.
La gran cantidad de delitos registrados en todos los mbitos motiv la creacin de grupos
especiales dedicados a combatir a los ciberdelincuentes.
Copia en la oficina: Tal vez la forma de piratera de software al nivel de usuario final es la
copia sin licencia que ocurre en el lugar de trabajo. Tpicamente, un negocio compra una o
varias licencias de un producto y a medida que las necesidades de los usuarios crecen se
hacen copias ilegales a partir de uno de los programas con licencia.
general debe permanecer en la recepcin, frente al escritorio, pero los sitios mas all de este
punto son slo para empleados. Adems se debern definir procedimientos que indiquen los
pasos a seguir cuando no se cumple la poltica, por ejemplo, cuando se encuentra una persona no
autorizada en una zona restringida.
Una Poltica de Seguridad, a menudo es referida como una declaracin de alto nivel en la cual se
establece el rol que se espera ocupe la seguridad de la informacin dentro de la organizacin. En
una poltica de seguridad, la gerencia establece el modo en que un programa de seguridad de la
informacin ser llevado a cabo, presenta las metas del programa, asigna responsabilidades,
demuestra el valor estratgico y tctico de la seguridad y se refiere a diferentes aspectos que se
requieren a fin de reforzar la seguridad.
La Poltica de Seguridad, ms all de presentar directivas de alta gerencia, definir la filosofa
organizacional de seguridad de la informacin y definir como se desarrollar el programa de
seguridad, debe cumplir con ciertas premisas bsicas entre las que se encuentran:
Al momento de establecer una Poltica de Seguridad de la Informacin, deben tambin ser tenidas
en cuenta las siguientes consideraciones:
1.6.2 Estndares
Bajo el trmino de Estndar, generalmente nos referimos a un tipo especial de documento,
relacionado con la definicin de acciones, reglas, actividades mandatorias y regulaciones. Los
estndares pueden ser internos o de mandato externo a la organizacin (leyes del gobierno y
regulaciones). En lneas generales, los estndares especifican la forma de poner en prctica un
objetivo de la poltica, definen el uso de una determinada tecnologa o la aplicacin de una
determinada solucin de una manera uniforme. A fin de ejemplificar la diferencia entre poltica y
estndar, podramos imaginar por ejemplo, una sentencia de nuestra Poltica de Seguridad de la
Informacin, en donde se especifica: Se proteger la red de la organizacin de accesos no
autorizados desde redes externas mientras que el Estndar refirindose al mismo punto,
probablemente mencione algo as como: Se implementarn equipos Firewall para el control de
accesos a cada DMZ y a la LAN de la organizacin.
1.6.3 Baselines
Existen una serie de definiciones para describir el trmino Baseline. En el sentido ms estricto, un
Baseline, puede referir a un punto en el tiempo que pueda ser utilizado como una comparacin
con futuros cambios. Una vez que se han mitigado los riesgos y los sistemas han sido asegurados,
un Baseline es formalmente revisado y aceptado, despus de lo cual futuras implementaciones
pueden ser comparadas contra lo expresado en este documento. Debido a sus caractersticas
propias, un documento de Baseline suele ser utilizado como un punto de referencia constante. Los
Baseline, tambin son utilizados para definir el mnimo nivel de proteccin requerido por un
sistema, aplicativo o dispositivo. En el campo de la seguridad, Baselines especficos pueden ser
definidos por tipo de sistemas, a efectos de documentar los seteos necesarios en relacin al nivel
de proteccin que se espera que estos provean.
Hemos mencionado que los Baselines determinan como deben ser configurados los distintos
aspectos de seguridad de acuerdo a las diferentes tecnologas. Veamos cual sera en el ejemplo
introducido en los indicadores anteriores, el rol del Baseline:
LAN de la organizacin.
1.6.4 Guidelines
Las Guidelines son acciones recomendadas y guas operacionales dirigidas a usuarios, al
departamento de IT, al departamento de operaciones y a otros, cuando un estndar especfico no
es de aplicacin. Las Guidelines pueden encontrarse relacionadas con metodologas respecto de
cuestiones tecnolgicas, del personal o de la seguridad fsica. Mientras que los estndares son
reglas especficas y de cumplimiento obligatorio, las Guidelines suelen ser ms generales y
flexibles. En resumen, las Guidelines no son otra cosa que definiciones generales establecidas para
colaborar con el cumplimiento de los objetivos de las polticas, proporcionando un marco en el
cual implementar controles adicionales. Es importante insistir en que debido a sus caractersticas,
las Guidelines tienen carcter de Recomendacin pero no son obligatorias.
1.6.5 Objetivo
El principal objetivo de una poltica de seguridad es hacer conocer al personal administrativo,
gerentes, y dems usuarios, sus obligaciones respecto a la proteccin de los recursos tecnolgicos
e informacin. La poltica especificara los mecanismos a travs de los cuales se debera regir para
cumplir estas responsabilidades. Otra finalidad es proporcionar una referencia a partir de la cual
disear, configurar y/o auditar sistemas de computacin y redes.
La poltica de seguridad tambin permite guiar y proporcionar apoyo gerencial para lograr los
objetivos que la empresa desea en cuanto a confidencialidad, integridad y disponibilidad de la
informacin. En consecuencia, si una organizacin comienza a implementar medidas de proteccin
sin tener al menos una poltica de seguridad tcita o sobreentendida estara cometiendo un grave
error, porque los medios tcnicos no bastan para brindar seguridad, sino que deben estar
apoyados por las polticas y procedimientos correspondientes.
1.6.6 Responsabilidades
Como comentamos anteriormente, un aspecto importante de la poltica de seguridad es asegurar
que todos saben cal es su responsabilidad para mantener la seguridad.
La poltica debe garantizar que cada tipo de problema, an aquellos desconocidos, est asociado
con alguien que pueda manejarlo de manera responsable, de esta manera se evitarn incidentes
o, al menos, se minimizar su impacto. Esto es muy importante, porque debemos ser conscientes
que es difcil para una poltica de seguridad de red anticipar todas las amenazas posibles.
Asimismo, pueden existir varios niveles de responsabilidad asociados con una poltica, por
ejemplo, cada usuario deber ser responsable de guardar su contrasea. Un usuario que pone en
riesgo su cuenta aumenta la probabilidad de comprometer otras cuentas y recursos. Por otro lado,
los administradores de red y sistema son responsables de mantener la seguridad general.
passwords efectiva, definiendo guas para la autenticacin desde sitios remotos y el uso de
dispositivos de autenticacin (ejemplo, one-time passwords y dispositivos que las generan)
1.6.11 Justificacin
Varios son los motivos que justifican la puesta en marcha de un proceso de clasificacin de
informacin. El primero y mas evidente, es sin dudas el hecho de que no todos los
datos/informacin tienen el mismo valor. Por su parte no todo el mundo debe acceder a todos los
datos/informacin. Al margen de los motivos mencionados, cada vez con ms frecuencia las
organizaciones se encuentran obligadas a cumplir con aspectos legales o regulatorios, y por
consiguiente a encarar un proceso formal de clasificacin de de informacin, el cual les permita
establecer en forma exacta el nivel de proteccin que debe ser otorgado a cada conjunto de datos.
En nuestro pas, la ley de Proteccin de Datos Personales o Habeas Data, es un claro ejemplo de
este tipo de requerimientos, debido a que los controles o medidas de seguridad requeridos para
las organizaciones que administren datos mencionados en la ley como sensibles, es superior al
requerido a aquellas organizaciones que no lidien con este tipo de datos.
Ms all de los beneficios hasta aqu mencionados, quizs uno de suma importancia es aquel
relacionado con la optimizacin en la inversin de controles. El correcto proceso de clasificacin
de informacin, sirve de soporte para la seleccin de controles, evitando que la organizacin
invierta dinero en la implementacin de salvaguardas, contramedidas o controles, sobre activos
de informacin que no ameriten tal inversin.
Establece los controles mnimos sobre la informacin para cada nivel establecido, en
cumplimiento con normativas existentes
Por ultimo, es de suma importancia notar que como norma general, toda informacin que no sea
de naturaleza pblica, debe clasificarse.
Sensitivo pero sin Clasificar: De Baja Sensibilidad. Si se hace publica, puede causar serios
daos. Ej.: respuesta a tests.
Confidencial: De conocerse, podra causar serios daos. Slo para uso interno. Ej.:
informacin de salud, cdigo de programacin.
Top Secret: El grado ms alto. De conocerse podra causar dao extremo en relacin a la
Seguridad Nacional. Ej.: planos de nuevo armamento, informacin de espionaje.
Es importante aclarar que estos modelos tradicionales, solo tienen en cuenta la sensibilidad de la
informacin al momento de su clasificacin. Por otro lado, tambin es de importancia conocer que
una organizacin puede optar por utilizar tan solo dos niveles de clasificacin, mientras que otra
puede requerir ms.
1.6.17 Difusin
Una vez escrita y acordada la poltica de seguridad, la organizacin debe asegurar que la
declaracin de la poltica se difunda y discuta en profundidad y a conciencia, para cumplir este
objetivo, se disponen de varias herramientas, por ejemplo podrn utilizarse listas de distribucin,
publicacin en la Intranet, o mediante educacin interna, a travs de seminarios de
entrenamiento o charlas, de acuerdo al tamao de la organizacin y las necesidades del momento.
En definitiva, el objetivo es garantizar que todo el personal de la empresa conozca y comprenda
los lineamientos de la poltica y se preocupe por su cumplimiento.
1.6.18 Cumplimiento
La organizacin debe garantizar que se lleven a cabo correctamente todos los procedimientos de
este propsito. Por otro lado, adems de las revisiones anteriores, deber estar alerta para
realizar revisiones no programadas en respuesta a cualquier cambio en el contexto sobre el que se
elabor la poltica, por ejemplo, incidentes de seguridad significativos, nuevas vulnerabilidades o
cambios en la infraestructura tcnica de la organizacin. Por otro lado, adems de realizar
revisiones de la poltica, tambin deberan programarse evaluaciones peridicas sobre la eficacia
de la poltica, demostrada por la naturaleza, nmero e impacto de los incidentes de seguridad
registrados. Tambin es conveniente realizar una evaluacin sobre el costo e impacto de los
controles en el negocio, por ejemplo, para detectar una prdida de productividad a causa de
controles que no estn de acuerdo con la filosofa de trabajo. Por ltimo, se recomienda efectuar
la evaluacin del impacto en la poltica ante cualquier cambio tecnolgico en el mercado, por
ejemplo aparicin de dispositivos que incorporan nuevos controles y pueden reemplazar a los
existentes.
Obtener una primera idea acerca del nivel de integridad del candidato
Prevenir acciones legales (De parte de empleados despedidos, 3ras partes por negligencia
en la contratacin del personal, de parte de otros empleados por violencia, malos tratos,
etc.)
Asegurar que todos los modelos e implementaciones pueden ser trazados hacia atrs hasta
la estrategia de negocio, especficamente requerimientos de negocio y principios clave
Proveer abstraccin para que factores complicados puedan ser eliminados y reinstalados
en niveles de detalle diferente slo cuando sean requeridos
Cmo podra una arquitectura de seguridad ser modificada para que aada ms valor a la
organizacin?
Intranet, Extranet, Internet, comercio electrnico (eCommerce), EDI links con partes
Donde sea posible, todo lo anterior debera estar relacionado explcitamente con la estrategia de
la organizacin, metas y operaciones. La Arquitectura de Seguridad de Informacin en la Empresa
documentar el estado actual de los componentes tcnicos de seguridad listados arriba, as como
un estado ideal futuro deseado (Arquitectura de Referencia) y finalmente un estado meta futuro
resultado de los sacrificios y compromisos de ingeniera frente al ideal. Esencialmente el resultado
es un conjunto de modelos anidados e interrelacionados, usualmente dirigidos y mantenidos con
software especializado disponible en el mercado. Semejante descripcin exhaustiva de las
dependencias de la TI se ha solapado notablemente con la metadata, en el sentido general de la
IT, y con el concepto ITIL (Information Technology Infrastructure Library - Biblioteca de
Infraestructura de Tecnologas de la Informacin) de la Configuracin de los Gestores de Bases de
Datos. Mantener la precisin de esa informacin puede ser un desafo importante. Junto con los
modelos y diagramas se incluye un conjunto de mejores prcticas dirigidas a la adaptabilidad de la
seguridad, escalabilidad, manejabilidad etc. Estas mejores prcticas de sistemas de ingeniera no
son nicas a la Arquitectura de Seguridad de Informacin en la Empresa pero son esenciales sin
embargo para su xito. Conllevan cosas como modularidad, comunicacin asncrona entre ms
componentes, estandarizacin de identificadores clave y dems. Aplicaciones exitosas de la
Arquitectura de Seguridad de Informacin en la Empresa requieren una posicin adecuada en la
organizacin. La analoga con el plano de una ciudad es con frecuencia invocada en esta relacin
por ser instructiva. Un resultado intermedio de un proceso de arquitectura es un inventario
extenso de la estrategia de seguridad del negocio, procesos de seguridad del negocio, cuadros
organizacionales, inventarios de seguridad tcnicos, diagramas de sistema e interfaz y topologas
de red, as como de las relaciones explcitas entre ellos. Los inventarios y diagramas son
simplemente herramientas que apoyan la toma de decisiones. Pero esto no es suficiente. Debe ser
un proceso viviente. La arquitectura de Seguridad de Informacin en la Empresa es un
componente clave del proceso de gobierno de tecnologa de Seguridad de Informacin en
cualquier organizacin de tamao significativo. Cada vez ms compaas estn implementando
procesos formales de arquitectura de seguridad en la empresa para respaldar el gobierno y la
gestin de la TI. Sin embargo, como ya se indic en el primer prrafo de este artculo, se relaciona
perfectamente de forma ms general a la prctica de la optimizacin del negocio en lo que se
refiere a la arquitectura de seguridad del negocio, realizacin de la gestin as como de la
arquitectura de seguridad de procesos. La Arquitectura de Seguridad de informacin de la
Empresa est tambin relacionada con la gestin de la seguridad de la cartera de la TI y el sentido
de la metadata en la empresa de TI.
influenciado por las amenazas que el sistema debe afrontar y el tipo de sistema de que se trate. Es
muy diferente plantear un modelo para un entorno de alta seguridad, ms preocupado por la
posible filtracin de informacin confidencial, que para un entorno comercial, ms preocupado
por asegurar la integridad y actualidad de la informacin. Son estos tipos de detalles los que nos
guiarn a la hora de elegir el modelo. Una referencia importante en esta rea es el denominado
libro naranja (orange book), que durante aos ha procurado un estndar para la evaluacin de
sistemas. Divide los sistemas en cuatro categoras (algunas se subdividen en clases) en funcin de
los requerimientos que satisfacen. La categora ms baja es la D, que corresponde a sistemas que,
tras ser evaluados, no satisfacen los requerimientos de las categoras superiores. La siguiente
categora, la C, se divide en dos clases, C1 y C2, e introduce controles de acceso discrecionales. La
categora B, con tres clases B1, B2 y B3, introduce controles de acceso obligatorios. La categora A
se reserva a sistemas que, aunque son funcionalmente equivalentes a los de la categora B,
disponen de completas especificaciones formales de diseo y en los que se han aplicado tcnicas
de verificacin.
Cada una de las clases, excepto la D, especifica requerimientos en cuatro grandes reas:
Documentacin: especificacin de los documentos requeridos para cada una de las clases y
el contenido bsico de cada documento (por ejemplo: Gua de Usuario de Capacidades de
Seguridad, Documentacin de Comprobacin, Documentacin de Diseo de Seguridad).
Aunque el orange book describe cuatro clases, realmente los divide en dos categoras: sistemas
que incorporan controles de acceso discrecionales (categora C), con seguridad limitada a un nico
nivel de seguridad, y sistemas que incorporan controles de acceso obligatorios, que permiten
procesar informacin de diferentes niveles de seguridad (categoras A y B). Los controles de
acceso discrecionales exigen un proceso de identificacin y verificacin del usuario a la entrada al
sistema. Una vez verificado que se trata de un usuario autorizado, este podr acceder a toda la
informacin que no tenga definidas restricciones de acceso. Un ejemplo de este tipo de controles
es el mecanismo de permisos de UNIX: cuando un usuario crea un objeto, puede o no definir un
conjunto de permisos de manipulacin para l, su grupo y los restantes usuarios. Los controles de
acceso obligatorios requieren mltiples niveles de seguridad. Los objetos y sujetos del sistema
deben, obligatoriamente, tener un nivel de seguridad asociado. El sistema no debe permitir la
creacin de objetos o usuarios sin definir su nivel de seguridad, o que sean duplicados total o
parcialmente con diferente nivel de seguridad. Cuando un usuario desea acceder a un objeto, el
sistema comprueba los niveles de ambos y evala si se permite o no el acceso.
Modelo Bell-LaPadula: Uno de los modelos ms conocidos, est basado en mquinas de estados
finitos. De esta forma, el modelo consiste en la definicin de un conjunto de variables de estado y
funciones de transicin y un estado inicial, considerado seguro. As, si podemos probar que todas
las transiciones son seguras y que nos llevan a estados considerados seguros, podemos mediante
induccin demostrar que el sistema es seguro. el modelo de seguridad Bell-Lapadula , llamado as
por sus creadores David Elliott Bell y Len LaPadula, consiste en dividir el permiso de acceso de los
usuarios a la informacin en funcin de etiquetas de seguridad. Por ejemplo, en sistemas militares
norteamericanos, categorizndola en 4 niveles: no clasificado, confidencial, secreto y ultra
secreto. Este modelo se centra en la confidencialidad y no en la integridad. Se distinguen 2 tipos
de entidades, sujetos y objetos. Se define estados seguros y se prueba que cualquier transicin se
hace de un estado seguro a otro. Un estado se define como estado seguro si el nico modo de
acceso permitido de un sujeto a un objeto est en concordancia con la poltica de seguridad. Para
determinar si un modo de acceso especfico esta permitido, se compara la acreditacin de un
sujeto con la clasificacin del objeto (ms precisamente, la combinacin de la clasificacin y el
conjunto de compartimientos) para determinar si el sujeto esta autorizado para el modo de
acceso especificado. El esquema de clasificacin/acreditacin se expresa en trminos de un
retculo. El modelo define 2 reglas de control de acceso mandatorio (MAC) y una regla de control
de acceso discrecional (DAC) con 3 propiedades:
1. Propiedad de seguridad simple: Un sujeto de un dado nivel de seguridad no puede leer un
objeto perteneciente a un nivel de seguridad ms alto.
2. Propiedad (Propiedad estrella): Un sujeto de un dado nivel de seguridad no debe escribir
un objeto perteneciente a un nivel de seguridad ms bajo. (Tambin llamada propiedad de
confinamiento)
3. Propiedad de seguridad discrecional: Se utiliza una matriz de acceso para especificar el
control de acceso discrecional
Con Bell-La Padula, los usuarios pueden crear contenido solo en su nivel de seguridad o por
encima (i.e, investigadores en el nivel secreto pueden crear archivos secretos o super secretos
pero no archivos pblicos). Inversamente, los usuarios pueden ver solamente contenido de su
propio nivel o inferior. El principio de tranquilidad del modelo de Bell-La Padula establece que la
clasificacin de un sujeto u objeto no cambia mientras est siendo referenciada. Hay 2 formas
para el principio de tranquilidad: el principio de tranquilidad fuerte establece que los niveles de
seguridad no cambian durante la operacin normal del sistema y el principio de tranquilidad dbil
establece que los niveles de seguridad no cambian de una manera que violen las reglas de una
dada poltica de seguridad.
Modelo Brewer-Nash: llamado tambin muralla china(Chine Wall). Creado para proveer un tipo
de control de acceso, capaz de cambiar dinmicamente dependiendo de las acciones previas
realizadas por el usuario. Su principal objetivo es el de prevenir el conflicto de intereses.
Modelo Clark-Wilson: el modelo Clark-Wilson es un modelo que se basa en la jerarquizacin de
aplicaciones para el manejo de informacin de parte de los usuarios. Este modelo se encuentra
orientado a proteger la integridad de la informacin. Este modelo propone dos categoras de
mecanismos para prevenir la modificacin irrecuperable e incorrecta de la informacin,
fiable, adems de que en cada componente de la red deben existir medidas de seguridad
adicionales.
rea de influencia: Es la zona ms externa del sistema, donde es factible realizar acciones
contra la integridad de sta rea.
rea protegida: Es el espacio delimitado por barreras fsicas en el que se ejerce un cierto
control de movimientos y permanencia.
rea crtica: Es el espacio delimitado por barreras fsicas, en el interior del rea protegida,
cuyo acceso y permanencia son objeto de especiales medidas de control.
Por ejemplo:
Generalmente, los usuarios no tienen en cuenta la seguridad cuando realizan sus tareas diarias.
Una directiva de seguridad para una organizacin debe definir:
El uso aceptable.
El acceso remoto.
La proteccin de la informacin.
Una directiva debe comunicar consenso y proporcionar el fundamento para que el departamento
de Recursos Humanos acte en el caso de que se infrinja la seguridad. Tambin puede ayudar a
demandar a quienes logren infringir la seguridad. Una directiva de seguridad debe proporcionar a
la organizacin un procedimiento de tratamiento de incidentes apropiado. Debe definir:
Una directiva de seguridad adecuada suele ser el fundamento del resto de prcticas de seguridad.
Cada directiva debe ser lo suficientemente general para poder aplicarse en distintas tecnologas y
plataformas. Al mismo tiempo, debe ser lo suficientemente especfica para proporcionar a los
No hace falta recurrir a pelculas de espionaje para sacar ideas de cmo obtener la mxima
seguridad en un sistema informtico, adems de que la solucin sera extremadamente cara. A
veces basta recurrir al sentido comn para darse cuenta que cerrar una puerta con llave o cortar la
electricidad en ciertas reas siguen siendo tcnicas vlidas en cualquier entorno. A continuacin
se analizan los peligros ms importantes que se corren en un centro de procesamiento; con el
objetivo de mantener una serie de acciones a seguir en forma eficaz y oportuna para la
prevencin, reduccin, recuperacin y correccin de los diferentes tipos de riesgos.
Incendios
Inundaciones
Condiciones Climatolgicas
Seales de Radar
Instalaciones Elctricas
Ergometra (La Ergonoma es una disciplina que se ocupa de estudiar la forma en que
interacta el cuerpo humano con los artefactos y elementos que lo rodean, buscando que
esa interaccin sea lo menos agresiva y traumtica posible)
Instalaciones elctricas: Trabajar con computadoras implica trabajar con electricidad. Por lo tanto
esta una de las principales reas a considerar en la seguridad fsica. Adems, es una problemtica
que abarca desde el usuario hogareo hasta la gran empresa. En la medida que los sistemas se
vuelven ms complicados se hace ms necesaria la presencia de un especialista para evaluar
riesgos particulares y aplicar soluciones que estn de acuerdo con una norma de seguridad
industrial.
Picos y Ruidos Electromagnticos: Las subidas (picos) y cadas de tensin no son el nico
problema elctrico al que se han de enfrentar los usuarios. Tambin est el tema del ruido que
interfiere en el funcionamiento de los componentes electrnicos. El ruido interfiere en los datos,
adems de favorecer la escucha electrnica.
Cableado: Los cables que se suelen utilizar para construir las redes locales van del cable telefnico
normal al cable coaxial o la fibra ptica. Algunos edificios de oficinas ya se construyen con los
cables instalados para evitar el tiempo y el gasto posterior, y de forma que se minimice el riesgo
de un corte, rozadura u otro dao accidental. Los riesgos ms comunes para el cableado se
pueden resumir en los siguientes:
maquinaria pesada o por equipos de radio o microondas. Los cables de fibra ptica no
sufren el problema de alteracin (de los datos que viajan a travs de l) por accin de
campos elctricos, que si sufren los cables metlicos.
Corte del cable: la conexin establecida se rompe, lo que impide que el flujo de datos
circule por el cable.
Daos en el cable: los daos normales con el uso pueden daar el apantallamiento que
preserva la integridad de los datos transmitidos o daar al propio cable, lo que hace que
las comunicaciones dejen de ser fiables.
En la mayor parte de las organizaciones, estos problemas entran dentro de la categora de daos
naturales. Sin embargo tambin se pueden ver como un medio para atacar la red si el objetivo es
nicamente interferir en su funcionamiento. El cable de red ofrece tambin un nuevo frente de
ataque para un determinado intruso que intentase acceder a los datos. Esto se puede hacer:
Haciendo una escucha sin establecer conexin, los datos se pueden seguir y pueden verse
comprometidos.
Luego, no hace falta penetrar en los cables fsicamente para obtener los datos que transportan.
Cableado de Alto Nivel de Seguridad: Son cableados de redes que se recomiendan para
instalaciones con grado de seguridad militar. El objetivo es impedir la posibilidad de infiltraciones
y monitoreos de la informacin que circula por el cable. Consta de un sistema de tubos
(hermticamente cerrados) por cuyo interior circula aire a presin y el cable. A lo largo de la
tubera hay sensores conectados a una computadora. Si se detecta algn tipo de variacin de
presin se dispara un sistema de alarma.
Pisos de Placas Extrables: Los cables de alimentacin, comunicaciones, interconexin de equipos,
receptculos asociados con computadoras y equipos de procesamiento de datos pueden ser, en
caso necesario, alojados en el espacio que, para tal fin se dispone en los pisos de placas extrables,
debajo del mismo.
Sistema de Aire Acondicionado: Se debe proveer un sistema de calefaccin, ventilacin y aire
acondicionado separado, que se dedique al cuarto de computadoras y equipos de proceso de
datos en forma exclusiva. Teniendo en cuenta que los aparatos de aire acondicionado son causa
potencial de incendios e inundaciones, es recomendable instalar redes de proteccin en todo el
sistema de caera al interior y al exterior, detectores y extinguidores de incendio, monitores y
alarmas efectivas.
Emisiones Electromagnticas: Desde hace tiempo se sospecha que las emisiones, de muy baja
frecuencia que generan algunos perifricos, son dainas para el ser humano.
Segn recomendaciones cientficas estas emisiones podran reducirse mediante filtros adecuados
al rango de las radiofrecuencias, siendo estas totalmente seguras para las personas. Para
conseguir que las radiaciones sean mnimas hay que revisar los equipos constantemente y
controlar su envejecimiento.
Acciones Hostiles
Robo: Las computadoras son posesiones valiosas de las empresas y estn expuestas, de la
misma forma que lo estn las piezas de stock e incluso el dinero. Es frecuente que los
operadores utilicen la computadora de la empresa para realizar trabajos privados o para
otras organizaciones y, de esta manera, robar tiempo de mquina. La informacin
importante o confidencial puede ser fcilmente copiada. Muchas empresas invierten
millones de dlares en programas y archivos de informacin, a los que dan menor
proteccin que la que otorgan a una mquina de escribir o una calculadora. El software, es
una propiedad muy fcilmente sustrable y las cintas y discos son fcilmente copiados sin
dejar ningn rastro
Fraude: Cada ao, millones de dlares son sustrados de empresas y, en muchas ocasiones,
las computadoras han sido utilizadas como instrumento para dichos fines.
Sin embargo,
debido a que ninguna de las partes implicadas (compaa, empleados, fabricantes,
auditores, etc.), tienen algo que ganar, sino que ms bien pierden en imagen, no se da
ninguna publicidad a este tipo de situaciones.
Utilizacin de Guardias
Asegurar que los operadores puedan trabajar sin una supervisin minuciosa y no puedan
modificar los programas ni los archivos que no correspondan.
Asegurar que se estn utilizados los datos, archivos y programas correctos en y por el
procedimiento correcto.
Que la informacin transmitida sea recibida slo por el destinatario al cual ha sido enviada
y no a otro.
Controles de Acceso: Estos controles pueden implementarse en el Sistema Operativo, sobre los
sistemas de aplicacin, en bases de datos, en un paquete especfico de seguridad o en cualquier
otro utilitario. Constituyen una importante ayuda para proteger al sistema operativo de la red, al
sistema de aplicacin y dems software de la utilizacin o modificaciones no autorizadas; para
mantener la integridad de la informacin (restringiendo la cantidad de usuarios y procesos con
acceso permitido) y para resguardar la informacin confidencial de accesos no autorizados.
Asimismo, es conveniente tener en cuenta otras consideraciones referidas a la seguridad lgica,
como por ejemplo las relacionadas al procedimiento que se lleva a cabo para determinar si
corresponde un permiso de acceso (solicitado por un usuario) a un determinado recurso. Al
respecto, el National Institute for Standars and Technology (NIST)(1) ha resumido los siguientes
Identificacin y Autentificacin
Roles
Transacciones
Modalidad de Acceso (Se refiere al modo de acceso que se permite al usuario sobre los
recursos y a la informacin )
Ubicacin y Horario
Administracin
Nivel D: Este nivel contiene slo una divisin y est reservada para sistemas que han sido
evaluados y no cumplen con ninguna especificacin de seguridad. Sin sistemas no
confiables, no hay proteccin para el hardware, el sistema operativo es inestable y no hay
autentificacin con respecto a los usuarios y sus derechos en el acceso a la informacin.
Los sistemas operativos que responden a este nivel son MS-DOS y System 7.0 de
Macintosh.
ellos.
Nivel C2: Proteccin de Acceso Controlado: Este subnivel fue diseado para solucionar las
debilidades del C1. Cuenta con caractersticas adicionales que crean un ambiente de acceso
controlado. Se debe llevar una auditoria de accesos e intentos fallidos de acceso a objetos.
Tiene la capacidad de restringir an ms el que los usuarios ejecuten ciertos comandos o
tengan acceso a ciertos archivos, permitir o denegar datos a usuarios en concreto, con base
no slo en los permisos, sino tambin en los niveles de autorizacin.
Requiere que se
audite el sistema. Esta auditora es utilizada para llevar registros de todas las acciones
relacionadas con la seguridad, como las actividades efectuadas por el administrador del
sistema y sus usuarios. La auditora requiere de autenticacin adicional para estar seguros
de que la persona que ejecuta el comando es quien dice ser. Su mayor desventaja reside en
los recursos adicionales requeridos por el procesador y el subsistema de discos. Los
usuarios de un sistema C2 tienen la autorizacin para realizar algunas tareas de
administracin del sistema sin necesidad de ser administradores. Permite llevar mejor
cuenta de las tareas relacionadas con la administracin del sistema, ya que es cada usuario
quien ejecuta el trabajo y no el administrador del sistema.
Nivel B1: Seguridad Etiquetada: Este subnivel, es el primero de los tres con que cuenta el
nivel B. Soporta seguridad multinivel, como la secreta y ultrasecreta. Se establece que el
dueo del archivo no puede modificar los permisos de un objeto que est bajo control de
acceso obligatorio. A cada objeto del sistema (usuario, dato, etc.) se le asigna una etiqueta,
con un nivel de seguridad jerrquico (alto secreto, secreto, reservado, etc.) y con unas
categoras (contabilidad, nminas, ventas, etc.). Cada usuario que accede a un objeto debe
poseer un permiso expreso para hacerlo y viceversa. Es decir que cada usuario tiene sus
objetos asociados. Tambin se establecen controles para limitar la propagacin de derecho
de accesos a los distintos objetos.
Nivel B2: Proteccin Estructurada: Requiere que se etiquete cada objeto de nivel superior
por ser padre de un objeto inferior. La Proteccin Estructurada es la primera que empieza a
referirse al problema de un objeto a un nivel mas elevado de seguridad en comunicacin
con otro objeto a un nivel inferior. As, un disco rgido ser etiquetado por almacenar
archivos que son accedidos por distintos usuarios. El sistema es capaz de alertar a los
usuarios si sus condiciones de accesibilidad y seguridad son modificadas; y el
administrador es el encargado de fijar los canales de almacenamiento y ancho de banda a
utilizar por los dems usuarios.
Nivel B3: Dominios de Seguridad: Refuerza a los dominios con la instalacin de hardware:
por ejemplo el hardware de administracin de memoria se usa para proteger el dominio de
seguridad de acceso no autorizado a la modificacin de objetos de diferentes dominios de
seguridad. Existe un monitor de referencia que recibe las peticiones de acceso de cada
usuario y las permite o las deniega segn las polticas de acceso que se hayan definido.
Todas las estructuras de seguridad deben ser lo suficientemente pequeas como para
permitir anlisis y testeos ante posibles violaciones. Este nivel requiere que la terminal del
usuario se conecte al sistema por medio de una conexin segura. Adems, cada usuario
tiene asignado los lugares y objetos a los que puede acceder.
una
Poltica
de
2. Proteger la informacin de la
empresa en el nivel deseado.
3. Observar la actividad en los
puntos de acceso crticos de la
red.
4. Asegurar que las medidas de
seguridad son suficientes para
resistir los mtodos de intrusin y herramientas actuales.
5. Agregar o actualizar las medidas de seguridad segn sea necesario.
Este proceso es un esfuerzo continuo e iterativo de parte de la compaa por proteger sus
recursos ms importantes al costo ms conveniente, mientras se reducen los riesgos al nivel
apropiado.
1.7.4 Segurizacin
Despus de desarrollar una poltica de seguridad, debe asegurar su red utilizando las tecnologas
1.7.5 Monitoreo
Una vez que la red ha sido segurizada, se deber monitorear la actividad en la red. Este proceso
puede realizarse con herramientas sofisticadas como los sistemas de deteccin de intrusiones, que
analizan el trfico de la red en busca de patrones anormales y adems, permiten recibir
informacin de dispositivos similares ubicados en otros puntos de la red. Para completar el
monitoreo sera conveniente activar y analizar todos los das los logs de los servidores y
dispositivos de comunicacin que tengamos en nuestra red. Cuando se detecta un incidente, se
debe responder en forma rpida y apropiada, segn lo que indique la poltica. Algunas de las
acciones podrn estar configuradas en los dispositivos de manera que acten en forma
automtica, sin nuestra intervencin, por ejemplo los sistemas de deteccin de intrusiones
podran ejecutar una variedad de acciones, desde realizar un log del incidente, hasta reconfigurar
las polticas de acceso en los dispositivos de comunicacin (Router o Firewall) para impedir el
ingreso del trfico que gener el incidente.
1.7.6 Testing
Peridicamente deber escanear la red en busca de nuevas vulnerabilidades, utilizando
herramientas especialmente diseadas para esta tarea. Est claro que lo mejor es actuar en forma
proactiva, es decir, necesitamos encontrar las vulnerabilidades antes de que se produzca el
ataque. Lamentablemente, es inevitable que aparezcan nuevos "agujeros de seguridad" en un
ambiente creciente y cambiante como el de las redes actuales. Por esta razn deber testear
continuamente los recursos que han sufrido modificaciones, por ejemplo, instalacin de nuevas
aplicaciones, sistemas operativos, nuevos equipos de comunicaciones, Firewalls, routers, switchs,
sistemas de deteccin de intrusiones, antivirus, etc.
1.7.7 Perfeccionamiento
Deber analizar todos los resultados obtenidos a travs de los anteriores pasos del ciclo de
seguridad, luego implementar las contra medidas y mejoras necesarias en la poltica de seguridad
de la red para estar protegido respecto a las ltimas amenazas detectadas. No nos olvidemos del
ltimo paso, tan importante como los otros: comenzar nuevamente el ciclo de la Rueda de
Seguridad.
1.8.1 SNTESIS
Vamos a recordar los conceptos desarrollados en la presente unidad, recomendamos fuertemente
que sean aprendidos antes de continuar el desarrollo del curso. Presentamos conceptos
fundamentales de seguridad, en busca de la respuesta a las siguientes preguntas, Qu es la
seguridad de la informacin? y Cul es su objetivo? para responder estas preguntas debimos
introducir un conjunto de conceptos asociados. Definimos primero que una Amenaza es cualquier
elemento que comprometa al sistema, definiendo este ltimo como el conjunto formado por las
personas, computadoras (hardware y software), papeles, medios de almacenamiento digital,
informacin y el entorno donde actan y sus interacciones. En relacin con las amenazas y los
problemas de seguridad observamos que los tcnicos en sistemas de informacin, normalmente,
buscan medidas defensivas que no solucionan el problema de fondo, slo lo transforma o retrasa,
la amenaza o riesgo sigue all. Entonces, podemos definir Riesgo como la proximidad o posibilidad
de dao sobre un bien, ya se trate de actos naturales, errores u omisiones humanas y actos
intencionales de vndalos. Luego, el Dao o Incidente es el resultado de la amenaza; aunque esto
es slo la mitad del axioma. El dao tambin es el resultado de la no accin, o accin defectuosa,
del protector. El protector ser el encargado de detectar cada una de las Vulnerabilidades, es
decir, las debilidades del sistema que pueden ser explotadas y empleadas por la amenaza para
comprometerlo. Tambin ser el encargado de aplicar las Contramedidas o tcnicas de proteccin
adecuadas. Por ltimo, la Seguridad de la informacin representa el ndice en que un Sistema
Informtico est libre de todo peligro, dao o riesgo. Esta caracterstica es muy difcil de conseguir
en un 100%, en virtud de esto, normalmente se implementan medidas para acercarse al 100%.
Para garantizar que un sistema sea seguro se deber garantizar las caractersticas de Integridad,
Disponibilidad, Confidencialidad, Control y Autenticidad. Ser conveniente realizar un Anlisis de
Riesgos, para conocer qu es lo que queremos proteger?, de quin lo queremos proteger?,
cmo se puede lograr esto legislativa y tcnicamente?; para luego concluir con la formulacin de
estrategias adecuadas de seguridad tendientes a la disminucin de los riesgos, que se plasmarn
en una poltica de seguridad.
1.9.1 PREGUNTAS
Cules son tipos de documentacin que deben ser contemplados durante el desarrollo
de software? Documentacin tcnica del proyecto, Manual de usuario
CAPTULO 2
2.1 ELEMENTOS BSICOS DE NETWORKING
El objetivo de esta unidad es formar una slida base en los principales conceptos y componentes
de networking. El estudio de las vulnerabilidades y seguridad en redes informticas exige de
nuestra parte la comprensin de los fundamentos de las redes de datos y sus principales
tecnologas. Comenzaremos analizando el modelo de referencia OSI, luego continuamos con las
tecnologas LAN y finalmente la familia de protocolos TCP/IP. Un estudio a conciencia de estos
temas nos permitir avanzar sin inconvenientes en las unidades posteriores.
Qu es el modelo de referencia OSI? Esta considerado como el modelo principal para el anlisis
de las comunicaciones en una red. Fue liberado en 1984 y es utilizado por la ISO para describir el
flujo de informacin en una red, basndose en el concepto de modelo estratificado en capas. Este
modelo permite a los desarrolladores disponer de un conjunto de reglas que aseguren mayor
compatibilidad e interoperatibilidad entre las distintas tecnologas de red producidas por
empresas en el mundo entero.
Para que se utiliza IP? Es el protocolo que utiliza internet para encaminar la informacin entre
dispositivos, por este motivo toda maquina que se conecte a Internet debe imprementar este
dispositivo.
IP es el protocolo de capa de red de la familia de protocolos TCP/IP, interacta en esta capa con un
conjunto de protocolos subsiriarios que aportan mensajes de control y resolucin de direcciones
fsicas a direcciones IP
al medio, ordenado por el protocolo CSMA/CD. Permite transmitir informacin sobre diferentes
medio, Coaxial, Fibra ptica, par trenzado, con diferentes anchos de banda, desde 10 Mbps hasta
10 Gbps.
Qu significa la denominacin EDI? La denominacin EDI o intercambio electrnico de datos
corresponde a una estructura comn de documentos, por medio del cual las empresas que lo
implementan pueden intercambiar informacin de negocios, bienes y servicios, utilizando
computadoras a travs de redes privadas, empleando un formato estndar y minimizando los
costos operativos. Tambin es conocida con la denominacin B2B (Bussiness to Business).
Network Architecture). Poco despus Digital presenta la suya DNA (Digital Network Architecture);
Xerox, en sus laboratorios de Palo Alto (California, EUA) desarrolla una red de mbito local y
topologa en bus bautizada como Ethernet para conectar estaciones de trabajo a elevada
velocidad; en Canad, DATAPAC significa una de las primeras redes pblicas de datos.
Principios de la dcada de 1980: IBM, en sus laboratorios de Zurich (Suiza), desarrolla la red Token
Ring, otra red de mbito local con topologa en anillo y filosofa de acceso diferente al de la red
Ethernet. En 1985, la red SITA desarrollada por y para las compaas de transporte areo est
ampliamente extendida.
En Espaa: A principios de la dcada de 1970 la CTNE (Compaa Telefnica Nacional de Espaa)
presenta su red pblica de datos IBERPAC; la compaa influye de forma notable en la definicin, a
nivel internacional en el CCITT, en la definicin del estndar X.25 para dicho tipo de redes; en
1982 la red sufre un cambio de tecnologa con la adopcin de equipos propios de fabricacin
nacional (los sistemas TESYS).
Ao 1978: La ISO (International Standards Organization) promueve el desarrollo de un modelo de
referencia para el desarrollo de una arquitectura de comunicaciones para la interconexin de
sistemas abiertos (OSI: Open Systems Interconnection).
Mediados de la dcada de 1990: Explosin de Internet y de las comunicaciones mviles
celulares.
Como ya hemos visto, para transportar informacin de un punto a otro ha de haber un camino
fsico entre el origen y el destino, a este medio se le denomina canal de comunicacin. Para que la
informacin enviada por un extremo de ese canal se reciba correctamente en el otro extremo, la
informacin a transmitir tiene que sufrir un proceso de codificacin y adaptacin al medio, siendo
necesario que cumpla una serie de requisitos como son la velocidad, la sincronizacin, etc. En las
redes de comunicaciones de datos generalmente se trata de conectar a dos o ms equipos
informticos para que se puedan transferir informacin entre ellos.
Partimos de la base de que los ordenadores y equipos de datos trabajan con informacin digital
binaria, seal que solo puede tomar dos estados. Cuando estos ordenadores se quieran
comunicar, porque tienen informacin de un usuario para otro, se enviarn mensajes que estn
compuestos por una secuencia de bits que tendrn que codificarse, de manera que el ordenador
que los reciba pueda entender esa informacin y manejarla de la forma adecuada. Las seales
que se transmiten por el canal de comunicacin tendrn que cumplir una serie de requisitos como
son el momento exacto y la velocidad adecuada para el envo de los datos previamente
codificados.
2.3.4 Sincronismo
En la transmisin digital, para que el receptor pueda recuperar la informacin, es absolutamente
necesario que est sincronizado con el emisor, esto es que tengan como referencia la misma base
de tiempos.
Seal aniscrona: Se llama aniscrona a una seal digital cuando los instantes significativos de la
misma aparecen en cualquier momento, sin ninguna restriccin; la duracin de los impulsos que
representan los datos no tienen porqu ser mltiplos.
Seal iscrona: Se llama iscrona a una seal digital cuando los intervalos significativos son
mltiplos de un determinado valor T. Normalmente las seales digitales son generadas teniendo
como referencia un reloj o base de tiempos. Si una seal es generada por un nico reloj todas las
transiciones entre elementos sern mltiplos de un mismo valor T, siendo la seal resultante
iscrona.
Transmisin sncrona: En transmisin sncrona se enva, adems de los datos la seal de reloj; de
esta manera el receptor se sincroniza con el emisor y determina los instantes significativos de la
seal que recibe. Los datos se transmiten de manera consecutiva entre el emisor y el receptor, con
un flujo constante que viene determinado por la seal del reloj de sincronismo.
Cuando se trata de transmisin de seales por pares metlicos en donde intervienen un terminal u
ordenador (ETD) y un mdem (ETCD), la seal o reloj de sincronismo del emisor puede generarse
en cualquiera de estos dispositivos siendo comn para ambos. En el receptor el mdem es el
encargado de generar la seal de sincronismo a partir de la seal que le llega por la lnea.
En la transmisin sncrona los datos que se envan se agrupan en bloques formando tramas, que
son un conjunto consecutivo de bits con un tamao y estructura determinados.
Este tipo de transmisin es ms eficiente en la utilizacin del medio de transmisin que la
asncrona, siendo tambin ms inmune a errores por lo que se suele usar para mayores
velocidades que la asncrona.
Transmisin asncrona: Este modo de transmisin se caracteriza porque la base de tiempo del
emisor y receptor no es la misma, emplendose un reloj para la generacin de datos en la
transmisin y otro distinto para la recepcin. En este tipo de transmisin la informacin se
transmite por palabras, bytes o conjunto de bits, estando precedidos estos bits por un bit de
arranque o start y finalizando con al menos un bit de parada o stop pudiendo ser tambin 1,5
o 2 bits. A este conjunto de bits se le denomina carcter, pudindose transmitir en cualquier
momento, es decir que entre dos informaciones consecutivas (al contrario de lo que ocurre en la
transmisin sncrona) no tiene porqu haber un tiempo que sea mltiplo de un elemento unitario
bit. En este tipo de transmisin, el receptor sincroniza su reloj con el transmisor usando el bit de
arranque que llega con cada carcter.
Smplex En este modo solo es posible la transmisin en un sentido, del terminal que origina
la informacin hacia el que la recibe y procesa. Un ejemplo claro de este tipo son las
emisoras de radiodifusin.
espectro efectivo se considera aquel en el que la seal tiene su mayor componente de energa.
Suele considerarse aquel en el que la seal tiene el 90% de la energa.
El ancho de banda se define como la cantidad de informacin que puede fluir a travs de una
conexin de red en un perodo dado Es esencial comprender el concepto de ancho de banda al
estudiar networking, por las siguientes cuatro razones:
En los sistemas digitales, la unidad bsica del ancho de banda es bits por segundo (bps). El ancho
de banda es la medicin de la cantidad de informacin, o bits, que puede fluir desde un lugar
hacia otro en un perodo de tiempo determinado, o segundos. Aunque el ancho de banda se
puede describir en bits por segundo, se suelen usar mltiplos de bits por segundo. En otras
palabras, el ancho de banda de una red generalmente se describe en trminos de miles de bits por
segundo (kbps), millones de bits por segundo (Mbps), miles de millones de bits por segundo
(Gbps) y billones de bits por segundo (Tbps). A pesar de que las expresiones ancho de banda y
velocidad a menudo se usan en forma indistinta, no significan exactamente lo mismo. Se puede
decir, por ejemplo, que una conexin T3 a 45Mbps opera a una velocidad mayor que una conexin
T1 a 1,544Mbps. No obstante, si slo se utiliza una cantidad pequea de su capacidad para
transportar datos, cada uno de estos tipos de conexin transportar datos a aproximadamente la
misma velocidad. Por ejemplo, una cantidad pequea de agua fluir a la misma velocidad por una
tubera pequea y por una tubera grande. Por lo tanto, suele ser ms exacto decir que una
conexin T3 posee un mayor ancho de banda que una conexin T1. Esto es as porque la conexin
T3 posee la capacidad para transportar ms informacin en el mismo perodo de tiempo, y no
porque tenga mayor velocidad.
El ancho de banda vara segn el tipo de medio, adems de las tecnologas LAN y WAN utilizadas.
La fsica de los medios fundamenta algunas de las diferencias. Las seales se transmiten a travs
de cables de cobre de par trenzado, cables coaxiales, fibras pticas, y por el aire. Las diferencias
fsicas en las formas en que se transmiten las seales son las que generan las limitaciones
fundamentales en la capacidad que posee un medio dado para transportar informacin. No
obstante, el verdadero ancho de banda de una red queda determinado por una combinacin de
los medios fsicos y las tecnologas seleccionadas para sealizar y detectar seales de red. Por
ejemplo, la actual comprensin de la fsica de los cables de cobre de par trenzado no blindados
(UTP) establece el lmite terico del ancho de banda en ms de un gigabit por segundo (Gbps). Sin
embargo, en la realidad, el ancho de banda queda determinado por el uso de Ethernet 10BASE-T,
100BASE-TX, o 1000BASE-TX. En otras palabras, el ancho de banda real queda determinado por los
mtodos de sealizacin, las tarjetas de interfaz de red (NIC) y los dems equipos de red
seleccionados. Por lo tanto, el ancho de banda no slo queda determinado por las limitaciones de
los medios.
porque su medio de transmisin no es una lnea o cable conductor sino que envan la seal al
espacio en forma de ondas de radio a determinadas frecuencias. Estos aparatos se distinguen por
la movilidad puesto que no es necesario que estn conectados a un punto de red. Su principal
utilizacin es en entornos industriales, para oficinas mviles dentro de un rea limitada como
puede ser un edificio o bien para lugares donde la instalacin de cables pueda resultar complicado
o peligroso; de cualquier forma siempre su utilizacin est limitada a entornos reducidos.
Tambin podramos citar como equipo de acceso las tarjetas de Red de Area Local (LAN), que
tienen la particularidad de utilizarse para acceso a redes que abarcan distancias cortas, como una
oficina o un edificio. Estas tarjetas utilizan como medio de transmisin el cable de pares o coaxial
y es compartido por todas las tarjetas conectadas al mismo segmento de la red; por este motivo
aunque la velocidad a la que funcionan es muy alta, hasta 1000 Mbit/s, la velocidad efectiva de
transferencia de una tarjeta o estacin de la red es muy inferior a la velocidad a la que puede
trabajar la red.
Mdem: La palabra mdem viene de la contraccin de dos palabras MOdulador y DEModulador.
Este equipo con la informacin digital modula una seal para el envo a la lnea de transmisin
(generalmente un canal telefnico con un ancho de banda de 300 a 3400 Hz.) y en el otro extremo
del canal la seal recibida se demodula recuperando los datos procedentes del origen.
UTR (Unidades de terminacin de red): Por UTR se entiende a aquellos dispositivos (ETCD) de
acceso a las redes por medio de pares simtricos, utilizando codificacin en banda base. El
nombre de unidad de terminacin de red se entiende por ser, para el cliente, el interfaz de acceso
a la red y el punto donde termina para la operadora de la misma. Las velocidades de transmisin
llegan hasta 512 Kbps. y las distancias alcanzadas entre las dos UTR dependern
fundamentalmente de la velocidad de transmisin y de la calidad y calibre del par utilizado.
Las UTR tambin son conocidas como mdem banda base, este trmino no es del todo correcto,
ya que estrictamente hablando no modulan una seal para su envo a la lnea de transmisin, sino
que realizan una adaptacin o transformacin del cdigo binario de entrada para enviarlo al
medio de transmisin. Esta adaptacin tiene como fin que el ancho de banda de la seal
resultante sea menor o su espectro en frecuencias sea ms estrecho, de esta manera la seal sufre
menos distorsin y atenuacin en la lnea. Las unidades de terminacin de red, al contrario de lo
que ocurre con los mdems, no estn normalizadas por la UIT-T.
Equipos xDSL: Los sistemas xDSL son utilizados para la transmisin de datos a altas velocidades,
pudiendo llegar hasta 52 Mbps utilizando el par de cobre normal. De esta manera se consigue
rentabilizar al mximo la planta exterior instalada, estando en disposicin de llegar a cualquier
domicilio o empresa sin necesidad de tender nuevos cables. La primera especificacin de la
tecnologa xDSL fue definida en 1987 por Bell Communications Research; al principio se pens en
esta tecnologa para suministrar vdeo bajo demanda y televisin interactiva usando el par
telefnico. La familia xDSL (Digital Subscriber Line, lnea de abonado digital) est englobada por
un conjunto de sistemas basados en la utilizacin del bucle de abonado como lnea de transmisin
y cuya diferencia estriba en la utilizacin del espectro de frecuencias y por supuesto de la
velocidad que consiguen alcanzar.
Estos equipos utilizan Multiplexacin por Divisin en Frecuencia (MDF), usando portadoras de
radiofrecuencia hasta de 1 Mhz, de esta manera separan el canal telefnico (300 a 3.400 hz) de los
canales de bajada o recepcin de datos y subida o transmisin. Habitualmente se utiliza un
dispositivo denominado spliter, compuesto de un filtro paso bajo y de otro paso alto para
separar las seales de baja frecuencia de telefona de las de alta frecuencia de datos.
Como ocurre con los mdems, en estos equipos tambin existen varias formas de alterar la seal
portadora de radiofrecuencia modulndola para enviarla a la lnea de transmisin. Principalmente
estn siendo utilizados tres mtodos de modulacin que son: modulacin en cuadratura (QAM),
CAP (Carrierless Amplitude Phase) y DMT (Discrete Multi-Tone modulation), estos dos ltimos
basados en la modulacin QAM.
ADSL: La UIT-T ha normalizado los dispositivos xDSL bajo la norma colectiva G.990. ADSL
(Asymmetrical Digital Subscribers Line, lnea de abonado digital asimtrica) G992.1 Es el
formato original del que han derivado los otros miembros de la familia. La denominacin de
asimtrica es debida a que las velocidades de transmisin y recepcin son distintas. La mxima
velocidad de bajada con la que llega la informacin a nuestro ordenador puede ser hasta de 8
Mbit/s; mientras que la velocidad de subida con la que enviamos informacin desde nuestro
ordenador puede llegar a 800 Kbit/s. El bucle local de abonado puede alcanzar rangos que van
desde 1 Km. para una velocidad de 8 Mbit/s hasta 5 Km. para una velocidad de 2 Mbit/s. Los
equipos ADSL trabajan con un margen de frecuencias mucho mayor que los modems, desde los 24
Khz. hasta 1.100 Khz aproximadamente. Otra diferencia es que al utilizar un modo de transferencia
asimtrico, el equipo situado en el extremo de la central es distinto al equipo del cliente,
denominndose habitualmente ATU R (ADSL Terminal Unit Remote) el del lado del cliente y
ATU C (ADSL Terminal Unit Central) el situado en la central telefnica. Los servicios ms
comnmente prestados por esta tecnologa son el acceso a Internet a alta velocidad, correo
electrnico, vdeo bajo demanda, etc. estando orientado principalmente al usuario domstico y a
pequeos negocios.
ADSL Lite. (G922.2) Es una versin simplificada de ADSL, en la que el mdem del cliente tiene
incluida una versin muy limitada del filtro. La velocidad de bajada en este caso se reduce con
respecto a la versin ADSL normal, llegando 1,5 Mbit/s para una distancia de 3 a 4,5 Km. y la de
subida llega hasta los 64 Kbit/s. La ventaja que tiene es que su instalacin es ms sencilla,
pudiendo hacerla un usuario no especializado como ocurre con cualquier mdem.
HDSL (High speed Digital Subscribers Line). (G922.1) Esta tecnologa es simtrica, siendo por
tanto iguales las velocidades en ambos sentidos entre el usuario y la red. Utiliza dos pares
simtricos sin carga, uno para cada sentido de transmisin, obteniendo velocidades de 2 Mbit/s
para distancias de 5 Km. Su principal utilizacin es para dar servicios de datos a empresas a
velocidades E1/T1 (2 Mbit/s / 1,544 Mbit/s), tambin se puede usar para dar servicio a
velocidades de N * 64 Kbit/s.
VDSL (Very high speed DSL) Es un sistema asimtrico desarrollado para su uso en bucles locales
muy cortos, en ocasiones es utilizado en el ltimo tramo del bucle local para proporcionar un
acceso directo a una fibra ptica que conecte con la red. Las velocidades de bajada comienzan
desde 13 Mbit/s, pudiendo alcanzar hasta 52 Mbit/s, con 2,3 Mbit/s como canal de retorno hacia
la red. El rango de distancias que puede abarcar va desde 1,3 Km. para una velocidad de 13 Mbit/s
a 300 m. para 52 Mbit/s.
Para estudiar las arquitecturas de comunicaciones es conveniente pensar que los objetos en
comunicacin son los procesos de aplicacin y no los sistemas (finales) donde se alojan. Bajo esta
premisa, ya puede intuirse que la tarea de poner en comunicacin dichos procesos puede llegar a
ser muy compleja. Por eso, la mayora de arquitecturas de comunicaciones estn estructuradas en
lo que suelen llamarse capas o niveles. Las principales ventajas de una estructuracin de ese tipo
son:
permitir varias alternativas para una misma tarea. Poder disponer de 2 protocolos,
elegibles por la entidad de nivel superior, en funcin de los requisitos necesarios.
la facilidad de cambios parciales. Por ejemplo, cambiar un protocolo por otro sin afectar al
resto del funcionamiento. Una aplicacin de ello podra ser la migracin a una nueva
versin de protocolo desde una anterior (pasar de IP versin 4 a IP versin 6, sin variar el
resto de la torre de protocolos, obteniendo por tanto el beneficio del nuevo estndar en las
funciones de las que especficamente sea responsable).
Solicitud.
Indicacin
Respuesta
Confirmacin
Reduce la complejidad
Acelera la evolucin
El intercambio de informacin entre capas se lleva a cabo por medio de un interfaz existente
entre las mismas, este interfaz puede estar compuesto por elementos lgicos y/o fsicos. Los
protocolos de cada uno de los niveles pueden ser diferentes e independientes entre s, lo nico
que necesitan es conocer los servicios que presta el interfaz con la capa inferior. El modelo OSI no
especifica de forma exacta los protocolos y servicios que se utilizarn en cada nivel, nicamente
indica las funciones que debe realizar cada capa, por lo que este modelo no se puede considerar
como una arquitectura de red.
como Ethernet (CSMA/CD), IEEE 802.5 (token passing), FDDI token passing, VLANs, ATM
Adaptation Layer, ISDN, Frame Relay, PPP, SMDS, HDLC, LAP-A, 802.2 (etiquetado de tramas).
CAPA 1 Fsica: Seales y medios. Se encarga del transporte fsico de la informacin entre los
sistemas de computacin. En esta capa encontramos las definiciones elctricas, mecnicas,
funcionales y de procedimientos de los elementos que forman parte de las redes. Aqu
encontramos los diferentes medios fsicos, como cable UTP, coaxial, fibra ptica, etc. Define la
topologa fsica de la red, las ms utilizadas son estrella, bus, y anillo. Son ejemplos de
especificaciones de capa fsica: EIA RS-232C (para enlaces locales de datos entre computadores y
perifricos), IEEE 802.3 (una parte de ella, para redes de rea local Ethernet), CCITT I.430 (para el
acceso bsico a la RDSI), etc.
"datos", a la capa 4; la capa 4 agrega ms informacin y agrupa los datos en una PDU llamada
"segmento". La capa de red recibe los segmentos de la capa de transporte, le agrega informacin y
los transforma en "paquetes". Esta informacin contiene, entre otros elementos, las direcciones
de red origen y destino que permitirn realizar el encaminamiento de los datos. La capa de enlace
de datos toma los paquetes y los transforma en "tramas", al agregar informacin necesaria para
realizar sus funciones, por ejemplo, control de errores y acceso al medio. La capa fsica provee un
servicio a la capa de enlace de datos codificando las tramas en patrones de 1s y 0s, denominados
"bits" para su transmisin en el medio.
relacionados con las aplicaciones en esta capa, aqu se definen los protocolos de alto nivel,
aspectos de representacin y codificacin de los datos y control de dilogo entre procesos.
La capa de aplicacin presenta varias deficiencias de seguridad asociadas a sus protocolos. Debido
al gran nmero de protocolos definidos en esta capa, la cantidad de deficiencias presentes
tambin ser superior al resto de capas. Algunos ejemplos de deficiencias de seguridad a este
nivel podran ser los siguientes:
File Transfer Protocol. Al igual que Telnet, FTP es un protocolo que enva la informacin en
claro (tanto por el canal de datos como por el canal de comandos). As pues, al enviar el
identicador de usuario y la contrasea en claro por una red potencialmente hostil,
presenta las mismas deciencias de seguridad que veamos anteriormente con el protocolo
Telnet.
Aparte de pensar en mecanismos de proteccin de informacin para solucionar el
problema, FTP permite la conexin annima a una zona restringida en la cual slo se
permite la descarga de archivos. De este modo, se restringen considerablemente los
posibles problemas de seguridad relacionados con la captura de contraseas, sin limitar
una de las funcionalidades ms interesantes del servicio.
Hypertext Transfer Protocol. El protocolo HTTP es el responsable del servicio World Wide
Web. Una de sus vulnerabilidades ms conocidas procede de la posibilidad de entrega de
informacin por parte de los usuarios del servicio. Esta entrega de informacin desde el
cliente de HTTP es posible mediante la ejecucin remota de cdigo en la parte del servidor.
La ejecucin de este cdigo por parte del servidor suele utilizarse para dar el formato
adecuado tanto a la informacin entregada por el usuario como a los resultados devueltos
(para que el navegador del cliente la pueda visualizar correctamente). Si este cdigo que se
ejecuta presenta deciencias de programacin, la seguridad del equipo en el que est
funcionando el servidor se podr poner en peligro.
Capa de transporte Capa 4 del modelo OSI. La capa de transporte se encarga de la calidad de
servicio, garantizando, cuando la aplicacin lo requiera, confiabilidad, control de flujo,
segmentacin y control de errores en la comunicacin. Se basa en dos protocolos, TCP (orientado
a la conexin) y UDP (no orientado a la conexin). La capa de transporte transmite informacin
TCP o UDP sobre datagramas IP. En esta capa podamos encontrar problemas de autenticacin, de
integridad y de condencialidad. Algunos de los ataques ms conocidos en esta capa son las
denegaciones de servicio debidas a protocolos de transporte.
En cuanto a los mecanismos de seguridad incorporados en el diseo del protocolo de TCP (como
las negociaciones involucradas en el establecimiento de una sesin TCP), existe una serie de
ataques que aprovechan ciertas deciencias en su diseo. Una de las vulnerabilidades ms graves
contra estos mecanismos de control puede comportar la posibilidad de interceptacin de sesiones
TCP establecidas, con el objetivo de secuestrarlas y dirigirlas a otros equipos con nes
deshonestos. Estos ataques de secuestro se aprovechan de la poca exigencia en el protocolo de
intercambio de TCP respecto a la autenticacin de los equipos involucrados en una sesin. As, si
un usuario hostil puede observar los intercambios de informacin utilizados durante el inicio de la
sesin y es capaz de interceptar con xito una conexin en marcha con todos los parmetros de
autenticacin congurados adecuadamente, podr secuestrar la sesin.
Capa de Internet Capa 3 del modelo OSI. El propsito de la capa de Internet es encaminar
paquetes desde un origen hacia un destino. Se basa fundamentalmente en el Protocolo Internet
(IP). En esta capa se puede realizar cualquier ataque que afecte un datagrama IP. Se incluyen como
ataques contra esta capa las tcnicas de snifng, la suplantacin de mensajes, la modicacin de
datos, los retrasos de mensajes y la denegacin de mensajes. Pueden realizarse mediante
aplicaciones que se conocen con el nombre de sniffers.
Cualquier atacante puede suplantar un paquete si indica que proviene de otro sistema. La
suplantaci n de un mensaje se puede realizar, por ejemplo, dando una respuesta a otro mensaje
antes de que lo haga el suplantado.
En esta capa, la autenticacin de los paquetes se realiza a nivel de mquina (por direccin IP) y no
a nivel de usuario. Si un sistema suministra una direccin de mquina errnea, el receptor no
detectar la suplantacin. Para conseguir su objetivo, este tipo de ataques suele utilizar otras
tcnicas, como la prediccin de nmeros de secuencia TCP, el envenenamiento de tablas cach,
etc. Por otro lado, los paquetes se pueden manipular si se modican sus datos y se reconstruyen
de forma adecuada los controles de las cabeceras. Si esto es posible, el receptor ser incapaz de
detectar el cambio.
Capa de acceso de red Capa 1 y 2 del modelo OSI. Esta capa, tambin llamada host a red, se ocupa
de todos los aspectos que involucren convertir un paquete en una trama y transmitirlo en el
medio fsico. Esta capa se encarga de las funciones de las capas fsica y de enlace de datos del
modelo OSI. Si se compara el modelo OSI con el modelo TCP/IP , se pueden ver que existen
similitudes y diferencias. Los ejemplos incluyen:
Similitudes
Se dividen en capas.
Poseen una capa de aplicacin, aunque incluyen servicios distintos.
Las capas de transporte y red de ambos modelos cumplen funciones similares.
Diferencias
TCP/IP combina las funciones de la capa de presentacin y de sesin del modelo OSI en la
capa de aplicacin.
En el modelo TCP/IP combina la capa de enlace de datos y la capa fsica del modelo OSI en
una sola capa.
El modelo OSI se desarroll antes de que se inventaran los protocolos, respecto al modelo
TCP/IP, los protocolos existan y el modelo fue una descripcin de los mismos.
El modelo TCP/IP no es general y no resulta apropiado para describir otra pila de protocolos
distinta de TCP/IP.
En sntesis, el modelo OSI ha demostrado ser muy til para estudiar las redes de computadoras. En
contraste, los protocolos OSI no se han hecho populares. Lo contrario sucede con TCP/IP, donde el
modelo prcticamente es inexistente, pero los protocolos se usan mucho, de hecho, la familia de
protocolos TCP/IP es el estndar en torno al cual se desarroll Internet.
Las vulnerabilidades de la capa de red estn estrechamente ligadas al medio sobre el que se
realiza la conexin. Esta capa presenta problemas de control de acceso y de condencialidad.
Son ejemplos de vulnerabilidades a este nivel los ataques a las lneas punto a punto: desvo de los
cables de conexin hacia otros sistemas, interceptacin intrusiva de las comunicaciones (pinchar
la lnea), escuchas no intrusivas en medios de transmisin sin cables, etc.
2.5 PUERTOS
Sockets y Puertos son conceptos introducidos por los protocolos TCP y UDP, y son referencias
lgicas respecto a por donde se conectarn determinados servicios o aplicaciones. Los Sockets son
referencias lgicas creadas por las aplicaciones basadas en TCP/IP que sirven para que estas se
comuniquen con su entorno, estas referencias lgicas requieren de tres parmetros que son:
direccin IP del host, tipo de servicio (TCP con conexin, UDP sin conexin) y numero de puerto.
Los puertos permiten entablar varias conexiones simultaneas por el mismo medio, por ejemplo
cuando se abren dos sesiones simultaneas de un navegador con URL diferentes.
La IANA (Internet Assigned Numbers Authority) administra la asignacin de puertos que van desde
el 0 hasta el 65.536.
Los nmeros de puerto se dividen en: Puertos bien conocidos y Puertos definidos por el usuario.
Los puertos del 1025 hasta el 65.536 son asignados por las aplicaciones de los usuarios. Los
puertos bien conocidos van del 0 a 1024 y se asignan a aplicaciones publicas como http y a
productos especficos de red. Por ejemplo:
Puerto
Servicio
21
FTP
23
TELNET
25
SMTP
53
DNS
80
HTTP
139
NetBIOS
Una de las tcnicas de Hacking comunes consiste en explorar los puertos para saber si algunos de
ellos estn abiertos y a la escucha, y qu servicios vulnerables se estn ejecutando en ellos. Los
ataques mas sofisticados llevados adelante por Hackers experimentados se realizan a puertos
determinados porque ya se sabe que servicio estar escuchando. Los puertos son tambin usados
por los troyanos que activan esa va de comunicacin para permitir tomar el control de manera
remota. De la misma manera que existen escaneadores de puertos abiertos con servicios a la
escucha, tambin existen escaneadores de puertos de troyanos que permiten el ingreso y la
administracin remota.
Una LAN le permite a una empresa compartir recursos informticos, haciendo un uso eficiente de
los mismos. Dentro de los diferentes dispositivos que interactan para lograr este fin,
encontramos: Switch, Router, Gateway, RAS, PBX, Firewalls, IDS
Malla: Los distintos nodos estn ms o menos densamente unidos entre s por enlaces
directos (en general, de forma arbitraria y sin seguir ninguna jerarqua particular). Cuando
cualquier nodo est unido directamente a todos los dems mediante un enlace directo, se
dice que la red presenta una topologa de malla completa.
rbol: Los distintos nodos estn distribuidos en forma de ramificaciones sucesivas a partir
de un nico nodo raz.
Bus: Todos los nodos estn unidos por un nico enlace comn.
Anillo: Los nodos estn unidos en cadena, uno tras otro, cerrndose sta sobre si misma
(de manera circular).
La topologa lgica es la que define la forma en que las mquinas acceden a los medios. Los dos
tipos ms comunes de topologas lgicas son broadcast y transmisin de tokens o testigos.
La topologa broadcast simplemente significa que cada host enva sus datos hacia todos los
dems hosts del medio de red. Las estaciones no siguen ningn orden para utilizar la red, el orden
es el primero que entra, el primero que se sirve. Esta es la forma en que funciona Ethernet La
transmisin de tokens controla el acceso a la red mediante la transmisin de un token electrnico
a cada host de forma secuencial. Cuando un host recibe el token, eso significa que el host puede
enviar datos a travs de la red. Si el host no tiene ningn dato para enviar, pasa el token al
siguiente host y el proceso se vuelve a repetir. Esta es la forma en que funciona Token Ring.
El software de colaboracin brinda acceso a informacin en tiempo real y recursos que permiten
realizar reuniones entre personas separadas por largas distancias, en lugar de hacerlas en
persona. Networking de rea amplia tambin dio lugar a una nueva clase de trabajadores, los
empleados a distancia, que no tienen que salir de sus hogares para ir a trabajar.
las redes que usan cables. Sin embargo, la flexibilidad de no tener cables justifica el sacrificio de
estas caractersticas.
A menudo, los administradores tienen en cuenta las comunicaciones inalmbricas al instalar una
nueva red o al actualizar una red existente. Una red inalmbrica puede empezar a funcionar slo
unos pocos minutos despus de encender las estaciones de trabajo. Se proporciona la
conectividad a Internet a travs de una conexin con cable, router, cablemdem o mdem DSL y
un punto de acceso inalmbrico que sirve de hub para los nodos inalmbricos. En el entorno
residencial o de una pequea oficina, es posible combinar estos dispositivos en una sola unidad.
Los cables tienen distintas especificaciones y generan distintas expectativas acerca de su
rendimiento. Qu velocidad de transmisin de datos se puede lograr con un tipo particular de
cable? La velocidad de transmisin de bits por el cable es de suma importancia. El tipo de
conducto utilizado afecta la velocidad de la transmisin.
Qu distancia puede recorrer una seal a travs de un tipo de cable en particular antes de
que la atenuacin de dicha seal se convierta en un problema? En otras palabras, se
degrada tanto la seal que el dispositivo receptor no puede recibir e interpretar la seal
correctamente en el momento en que la seal llega a dicho dispositivo? La distancia
recorrida por la seal a travs del cable afecta directamente la atenuacin de la seal. La
degradacin de la seal est directamente relacionada con la distancia que recorre la seal
y el tipo de cable que se utiliza.
conductor central tambin puede ser hecho de un cable de aluminio cubierto de estao que
permite que el cable sea fabricado de forma econmica. Sobre este material aislante existe una
malla de cobre tejida u hoja metlica que actua como el segundo hilo del circuito y como un
blindaje para el conductor interno. Esta segunda capa, o blindaje, tambin reduce la cantidad de
interferencia electromagntica externa. Cubriendo la pantalla est la chaqueta del cable.
Para las LAN, el cable coaxial ofrece varias ventajas. Puede tenderse a mayores distancias que el
cable de par trenzado blindado STP, y que el cable de par trenzado no blindado, UTP, sin necesidad
de repetidores. Los repetidores regeneran las seales de la red de modo que puedan abarcar
mayores distancias. El cable coaxial es ms econmico que el cable de fibra ptica y la tecnologa
es sumamente conocida. Se ha usado durante muchos aos para todo tipo de comunicaciones de
datos, incluida la televisin por cable.
Al trabajar con cables, es importante tener en cuenta su tamao. A medida que aumenta el grosor,
o dimetro, del cable, resulta ms difcil trabajar con l. Recuerde que el cable debe pasar por
conductos y cajas existentes cuyo tamao es limitado. Se puede conseguir cable coaxial de varios
tamaos. El cable de mayor dimetro es de uso especfico como cable de backbone de Ethernet
porque tiene mejores caractersticas de longitud de transmisin y de limitacin del ruido. Este tipo
de cable coaxial frecuentemente se denomina thicknet o red gruesa. Como su apodo lo indica,
este tipo de cable puede ser demasiado rgido como para poder instalarse con facilidad en algunas
situaciones. Generalmente, cuanto ms difcil es instalar los medios de red, ms costosa resulta la
instalacin. El cable coaxial resulta ms costoso de instalar que el cable de par trenzado. Hoy en
da el cable thicknet casi nunca se usa, salvo en instalaciones especiales.
En el pasado, el cable coaxial con un dimetro externo de solamente 0,35 cm (a veces
denominado thinnet o red fina) se usaba para las redes Ethernet. Era particularmente til para las
instalaciones de cable en las que era necesario que el cableado tuviera que hacer muchas vueltas.
Como la instalacin de thinnet era ms sencilla, tambin resultaba ms econmica. Por este
motivo algunas personas lo llamaban cheapernet (red barata). El trenzado externo metlico o de
cobre del cable coaxial abarca la mitad del circuito elctrico. Se debe tener especial cuidado de
asegurar una slida conexin elctrica en ambos extremos, brindando as una correcta conexin a
tierra. La incorrecta conexin del material de blindaje constituye uno de los problemas principales
relacionados con la instalacin del cable coaxial. Los problemas de conexin resultan en un ruido
elctrico que interfiere con la transmisin de seales sobre los medios de networking. Por esta
razn, thinnet ya no se usa con frecuencia ni est respaldado por los estndares ms recientes
(100 Mbps y superiores) para redes Ethernet.
Cable STP El cable de par trenzado blindado (STP) combina las tcnicas de blindaje, cancelacin y
trenzado de cables. Cada par de hilos est envuelto en un papel metlico. Los dos pares de hilos
estn envueltos juntos en una trenza o papel metlico. Generalmente es un cable de 150 ohmios.
Segn se especifica para el uso en instalaciones de redes Token Ring, el STP reduce el ruido
elctrico dentro del cable como, por ejemplo, el acoplamiento de par a par y la diafona. El STP
tambin reduce el ruido electrnico desde el exterior del cable, como, por ejemplo, la
interferencia electromagntica (EMI) y la interferencia de radiofrecuencia (RFI). El cable de par
trenzado blindado comparte muchas de las ventajas y desventajas del cable de par trenzado no
blindado (UTP). El cable STP brinda mayor proteccin ante toda clase de interferencias externas,
pero es ms caro y de instalacin ms difcil que el UTP.
Un nuevo hbrido de UTP con STP tradicional se denomina UTP apantallado (ScTP), conocido
tambin como par trenzado de papel metlico (FTP). El ScTP consiste, bsicamente, en cable UTP
envuelto en un blindaje de papel metlico. ScTP, como UTP, es tambin un cable de 100 Ohms.
Muchos fabricantes e instaladores de cables pueden usar el trmino STP para describir el cable
ScTP. Es importante entender que la mayora de las referencias hechas a STP hoy en da se refieren
en realidad a un cable de cuatro pares apantallado. Es muy improbable que un verdadero cable
STP sea usado durante un trabajo de instalacin de cable. Los materiales metlicos de blindaje
utilizados en STP y ScTP deben estar conectados a tierra en ambos extremos. Si no estn
adecuadamente conectados a tierra o si hubiera discontinuidades en toda la extensin del
material del blindaje, el STP y el ScTP se pueden volver susceptibles a graves problemas de ruido.
Son susceptibles porque permiten que el blindaje acte como una antena que recoge las seales
no deseadas. Sin embargo, este efecto funciona en ambos sentidos. El blindaje no slo evita que
ondas electromagnticas externas produzcan ruido en los cables de datos sino que tambin
minimiza la irradiacin de las ondas electromagnticas internas. Estas ondas podran producir
ruido en otros dispositivos. Los cables STP y ScTP no pueden tenderse sobre distancias tan largas
como las de otros medios de networking (tales como el cable coaxial y la fibra ptica) sin que se
repita la seal. El uso de aislamiento y blindaje adicionales aumenta de manera considerable el
tamao, peso y costo del cable. Adems, los materiales de blindaje hacen que las terminaciones
sean ms difciles y aumentan la probabilidad de que se produzcan defectos de mano de obra. Sin
embargo, el STP y el ScTP todava desempean un papel importante, especialmente en Europa o
en instalaciones donde exista mucha EMI y RFI cerca de los cables.
Cable UTP El cable de par trenzado no blindado (UTP) es un medio de cuatro pares de hilos que se
utiliza en diversos tipos de redes. Cada uno de los 8 hilos de cobre individuales del cable UTP est
revestido de un material aislante. Adems, cada par de hilos est trenzado. Este tipo de cable
cuenta slo con el efecto de cancelacin que producen los pares trenzados de hilos para limitar la
degradacin de la seal que causan la EMI y la RFI. Para reducir an ms la diafona entre los
pares en el cable UTP, la cantidad de trenzados en los pares de hilos vara. Al igual que el cable
STP, el cable UTP debe seguir especificaciones precisas con respecto a cunto trenzado se permite
por unidad de longitud del cable.
Medios de fibra ptica La luz que se utiliza en las redes de fibra ptica es un tipo de energa
electromagntica. Cuando una carga elctrica se mueve hacia adelante y hacia atrs, o se acelera,
se produce un tipo de energa denominada energa electromagntica. Esta energa, en forma de
ondas, puede viajar a travs del vaco, el aire y algunos materiales como el vidrio. Una propiedad
importante de toda onda de energa es la longitud de onda. La radio, las microondas, el radar, la
luz visible, los rayos x y los rayos gama parecen ser todos muy diferentes. Sin embargo, todos ellos
son tipos de energa electromagntica. Si se ordenan todos los tipos de ondas electromagnticas
desde la mayor longitud de onda hasta la menor, se crea un continuo denominado espectro
electromagntico. La longitud de onda de una onda electromagntica es determinada por la
frecuencia a la que la carga elctrica que genera la onda se mueve hacia adelante y hacia atrs. Si
la carga se mueve lentamente hacia adelante y hacia atrs, la longitud de onda que genera es una
longitud de onda larga. Visualice el movimiento de la carga elctrica como si fuera una varilla en
una charca. Si la varilla se mueve lentamente hacia adelante y hacia atrs, generar movimientos
en el agua con una longitud de onda larga entre las partes superiores de las ondas. Si la varilla se
mueve rpidamente hacia adelante y hacia atrs, los movimientos en el agua tendrn una longitud
de onda mas corta. Como todas las ondas electromagnticas se generan de la misma manera,
comparten muchas propiedades. Todas las ondas viajan a la misma velocidad en el vaco. La
velocidad es aproximadamente 300.000 kilometros por segundo o 186.283 millas por segundo.
Esta es tambin la velocidad de la luz. Los ojos humanos estn diseados para percibir solamente
la energa electromagntica de longitudes de onda de entre 700 y 400 nanmetros (nm). Un
nanmetro es la mil millonsima parte de un metro (0,000000001 metro) de longitud. La energa
electromagntica con longitudes de onda entre 700 y 400 nm recibe el nombre de luz visible. Las
longitudes de onda de luz ms largas que se encuentran cerca de los 700 nm se perciben como el
color rojo. Las longitudes de onda ms cortas que se encuentran alrededor de los 400 nm
aparecen como el color violeta. Esta parte del espectro magntico se percibe como los colores del
arco iris.
Gua de Onda (Wave Guide): La gua de onda es otro medio de comunicacin tambin muy usado,
el cual opera en el rango de las frecuencias comnmente llamadas como microondas (en el orden
de GHz). Su construccin es de material metlico por lo que no se puede decir que sea un cable. El
ancho de banda es extremadamente grande y es usada principalmente cuando se requiere bajas
perdidas en la seal bajo condiciones de muy alta potencia como el caso desde una antena de
microondas a el receptor/transmisor de radio frecuencia. Las aplicaciones tpicas de este medio es
en las centrales telefnicas para bajar/subir seales provenientes de antenas de satlite o
estaciones terrenas de microondas. No todas las guas de onda son duras, tambin existen guas
de onda ms flexibles, existe un tipo de gua de onda que fabrica una compaa que se llama
ANDREW, y a este tipo de gua de onda flexible se le conoce como Heliax.
Microondas terrestre: Un radioenlace terrestre o microondas terrestre provee conectividad entre
dos sitios (estaciones terrenas) en lnea de vista (Line-of-Sight, LOS) usando equipo de radio con
frecuencias de portadora por encima de 1 GHz. La forma de onda emitida puede ser analgica
(convencionalmente en FM) o digital.
Las principales aplicaciones de un sistema de microondas terrestre son las siguientes:
Datos
Telgrafo/Telex/Facsmile
Canales de Televisin.
Video
Un sistema de microondas consiste de tres componentes principales: una antena con una corta y
flexible gua de onda, una unidad externa de RF (Radio Frecuencia) y una unidad interna de RF. Las
Lser/Infrarrojo: Las transmisiones de lser de infrarrojo directo envuelven las mismas tcnicas
empleadas en la transmisin por fibra ptica, excepto que el medio en este caso es el aire libre. El
lser tiene un alcance de hasta 10 millas, aunque casi todas las aplicaciones en la actualidad se
realizan a distancias menores de una milla. tpicamente, las transmisiones en infrarrojo son
utilizadas donde la instalacin de cable no es factible entre ambos sitios a conectar. Las
velocidades tpicas de transmisin a esas distancias son 1.5 Mbps. La ventaja del lser infrarrojo es
que no es necesario solicitar permiso ante las autoridades para utilizar esta tecnologa. Debe de
tenerse mucho cuidado, en la instalacin ya que los haces de luz pueden daar al ojo humano. Por
lo que se requiere un lugar adecuado para la instalacin del equipo. Ambos sitios deben de tener
linea de vista.
Para distancias cortas las transmisiones va lser/infrarrojo son una excelente opcin. Lo cual
resulta en poco tiempo mas econmico que el empleo de estaciones terrenas de microondas. Se
utiliza bastante para conectar LANs localizadas en diferentes edificios.
Va Satlite: La idea de comunicacin global mediante el uso de satlites se debe a Arthur C.
Clarke quien se bas en el trabajo matemtico y fsico de las Leyes de Isaac Newton publicadas en
1687 y las Leyes de Kepler, publicadas en el periodo 1609-1619, y lo uni con aplicaciones y
tecnologa existente en esa poca (1940's). La propuesta de Clarke en 1945 se basaba en lo
siguiente:
Casi todos estos puntos se llevaron a cabo unos aos despus, cuando mejor la tecnologa de
cohetes, con la excepcin del ltimo punto. Este no se cumpli debido al alto costo que implicaba
el transporte y mantenimiento de tripulacin a bordo de la estacin espacial, por cuestiones de
seguridad mdica y orgnica en los tripulantes, y finalmente por el avance de tcnicas de control
remoto. Un satlite acta como una estacin de relevacin (relay station) o repetidor. Un
transpondedor recibe la seal de un transmisor, luego la amplifica y la retransmite hacia la tierra a
una frecuencia diferente. Debe notarse que la estacin terrena transmisora enva a un solo
satlite. El satlite, sin embargo, enva a cualquiera de las estaciones terrenas receptoras en su
rea de cobertura o huella (footprint). La transmisin por satlite ofrece muchas ventajas para
una compaa. Los precios de renta de espacio satelital es ms estable que los que ofrecen las
compaas telefnicas. Ya que la transmisin por satlite no es sensitiva a la distancia. Y adems
existe un gran ancho de banda disponible.
Los beneficios de la comunicacin por satlite desde el punto de vista de comunicaciones de datos
podran ser los siguientes:
accesibles geogrficamente.
Sensibles a eclipses
A pesar de las anteriores limitaciones, la transmisin por satlite sigue siendo muy popular. Los
satlites de rbita baja (Low Earth Orbit LEO) ofrecen otras alternativas a los satlites
geoestacionarios (Geosynchronous Earth Orbit GEO), los cuales giran alrededor de la tierra a ms
de 2,000 millas. Los satlites de este tipo proveen comunicaciones de datos a baja velocidad y no
son capaces de manipular voz , seales de video o datos a altas velocidades. Pero tienen las
ventajas que los satlites GEO no tienen. Por ejemplo, no existe retardo en las transmisiones, son
menos sensibles a factores atmosfricos, y transmiten a muy poca potencia. Estos satlites operan
a frecuencias asignadas entre los 1.545 GHz y los 1.645 GHz (Banda L). Los reflectores parablicos
(comnmente llamados por error o por costumbre antenas) han sido el smbolo de las estaciones
terrenas para comunicaciones por satlite. Existen adems de los reflectores paraboloides o Prime
Focus otros tipos de antenas muy ampliamente usados en campo de las comunicaciones, tales
como los reflectores Fuera de foco (off-set), Casssegrain y los platos tipos Gregorianos.
Ventajas de la Fibra
ptica
Desventajas de la Fibra
ptica
Ventajas Satlite
Desventajas Satlite
Costo de operacin
mensual muy alto.
Inmunidad a la
interferencia y ruido
No requiere personal
especializado
Requiere contratacin de
la lnea ante una
compaa telefnica
Ventajas de la Fibra
ptica
Desventajas de la Fibra
ptica
Ventajas Satlite
Desventajas Satlite
Sensible a la interferencia
y ruido
No usa el espectro
radioelctrico
Sensible a eclipses
No existe retardo
Requiere de personal
especializado
El mantenimiento corre a
cargo del usuario
No recomendable para
aplicaciones de voz
Hace uso del espectro
radioelctrico
Un NIC es una placa de circuito impreso que se coloca en la ranura de expansin de un bus de la
Conmutacin de paquetes en modo circuito virtual: El camino que siguen todos los
paquetes pertenecientes a una comunicacin se determina en su inicio y permanece
invariable a lo largo de la comunicacin como en la conmutacin de circuitos. Aun
as, slo se determina el camino, no se hace una reserva de recursos (al menos no
en exclusiva) como suceda en la conmutacin de circuitos. De ah el nombre de
circuito virtual.
Clase I (tiempo real): de mensajes largos o continuos, en tiempo real (no tolera retardos
superiores, digamos, a 200 ms), admite errores, admite bloqueo, muy interactivo:
hombrehombre (telefona, videoconferencia), adecuado para la conmutacin de circuitos.
Clase III (pesado, diferido): de mensajes muy largos, no requiere tiempo real (tolera
retardos elevados, hasta de minutos), no admite errores, no admite bloqueo, no
interactivo: mquinamquina (transferencia de archivos, correo electrnico), adecuado
para la conmutacin de paquetes o circuitos.
2.6.10 Hub:
El hub es un dispositivo prcticamente fuera de uso, que opera en la capa 1 del modelo OSI. Su
funcin es regenerar y retemporizar las seales de red. Los hubs toman los datos recibidos por un
puerto y lo retransmiten por todos los otros puertos, por este motivo, se dice que este dispositivo
"divide" el ancho de banda entre todas las estaciones conectadas. Forma un dominio de colisin
entre todas las estaciones conectadas, esto permite que los datos enviados por cada estacin sean
recibidos por todas las dems. Los hubs concentran las conexiones. En otras palabras, permiten
que la red trate un grupo de hosts como si fuera una sola unidad. Esto sucede de manera pasiva,
sin interferir en la transmisin de datos. Los hubs activos no slo concentran hosts, sino que
adems regeneran seales.
Los hubs en realidad son repetidores multipuerto. En muchos casos, la diferencia entre los dos
dispositivos radica en el nmero de puertos que cada uno posee. Mientras que un repetidor
convencional tiene slo dos puertos, un hub por lo general tiene de cuatro a veinticuatro puertos.
Los hubs por lo general se utilizan en las redes Ethernet 10BASE-T o 100BASE-T, aunque hay otras
arquitecturas de red que tambin los utilizan. El uso de un hub hace que cambie la topologa de la
red desde un bus lineal, donde cada dispositivo se conecta de forma directa al cable, a una en
estrella. En un hub, los datos que llegan a un puerto del hub se transmiten de forma elctrica a
todos los otros puertos conectados al mismo segmento de red, salvo a aquel puerto desde donde
enviaron los datos.
Los hubs vienen en tres tipos bsicos:
Pasivo: Un hub pasivo sirve slo como punto de conexin fsica. No manipula o visualiza el
trfico que lo cruza. No amplifica o limpia la seal. Un hub pasivo se utiliza slo para
compartir los medios fsicos. En s, un hub pasivo no requiere energa elctrica.
Inteligente: A los hubs inteligentes a veces se los denomina "smart hubs". Estos
dispositivos bsicamente funcionan como hubs activos, pero tambin incluyen un chip
2.6.11 Puente:
Un puente es un dispositivo que opera en la capa 2. Est diseado para conectar dos segmentos
LAN. El propsito de un puente es filtrar el trfico de una LAN, de forma que slo pase hacia la
otra LAN lo que est dirigido a ella. Todo el trfico que tiene origen y destino local, no se reenva
hacia la otra LAN. Para realizar su trabajo, el puente debe interpretar las tramas que son
transmitidas en cada LAN y decidir si las reenva de acuerdo a la direccin de destino. Se dice que
este dispositivo "dedica" el ancho de banda a cada red LAN que interconecta. Cuando una
estacin enva una trama con destino broadcast, esta trama es reenviada a todas las LANs.
Los puentes convierten los formatos de transmisin de datos de la red adems de realizar la
administracin bsica de la transmisin de datos. Los puentes, tal como su nombre lo indica,
proporcionan las conexiones entre LAN. Los puentes no slo conectan las LAN, sino que adems
verifican los datos para determinar si les corresponde o no cruzar el puente. Esto aumenta la
eficiencia de cada parte de la red.
A veces, es necesario dividir una LAN grande en segmentos ms pequeos que sean ms fciles de
manejar. Esto disminuye la cantidad de trfico en una sola LAN y puede extender el rea
geogrfica ms all de lo que una sola LAN puede admitir. Los dispositivos que se usan para
conectar segmentos de redes son los puentes, switches, routers y gateways. Los switches y los
puentes operan en la capa de enlace de datos del modelo de referencia OSI. La funcin del puente
es tomar decisiones inteligentes con respecto a pasar seales o no al segmento siguiente de la
red.
Cuando un puente recibe una trama a travs de la red, se busca la direccin MAC destino en la
tabla de puenteo para determinar si hay que filtrar, inundar, o copiar la trama en otro segmento.
El proceso de decisin tiene lugar de la siguiente forma:
Si el puente desconoce la direccin destino, el puente enva la trama a todos los segmentos
excepto aquel en el cual se recibi. Este proceso se conoce como inundacin.
2.6.12 Switch:
Un Switch, al igual que un puente, es un dispositivo de capa 2 (Enlace de Datos). De hecho, el
Switch se denomina puente multipuerto. Los switches conmutan los datos slo hacia el puerto al
que est conectado el host destino. Se dice que este dispositivo "dedica" el ancho de banda a cada
estacin que interconecta. De la misma forma que los puentes, los switches retransmiten los
broadcast por todos sus puertos. Cuando dos hosts realizan una transferencia, el switch realiza
una microsegementacin para comunicar los dos puertos donde estn ubicados los hosts. Esta
microsegmentacin se mantiene mientras existe la transferencia y es independiente de otras
transferencias. Esto permite mantener mltiples transferencia de manera simultnea e
independiente. Los switches de grupos de trabajo agregan inteligencia a la administracin de
transferencia de datos. No slo son capaces de determinar si los datos deben permanecer o no en
una LAN, sino que pueden transferir los datos nicamente a la conexin que necesita esos datos.
Otra diferencia entre un puente y un switch es que un switch no convierte formatos de
transmisin de datos. La conmutacin es una tecnologa que alivia la congestin en las LAN
Ethernet, reduciendo el trfico y aumentando el ancho de banda. Los switches pueden remplazar
a los hubs con facilidad debido a que ellos funcionan con las infraestructuras de cableado
existentes. Esto mejora el rendimiento con un mnimo de intrusin en la red ya existente.
Actualmente en la comunicacin de datos, todos los equipos de conmutacin realizan dos
operaciones bsicas: La primera operacin se llama conmutacin de las tramas de datos. La
conmutacin de las tramas de datos es el procedimiento mediante el cual una trama se recibe en
un medio de entrada y luego se transmite a un medio de salida.
El segundo es el mantenimiento de operaciones de conmutacin cuando los switch crean y
mantienen tablas de conmutacin y buscan loops. Los switches operan a velocidades mucho ms
altas que los puentes y pueden admitir nuevas funcionalidades como, por ejemplo, las LAN
virtuales. Un switch se describe a veces como un puente multipuerto. Mientras que un puente
tpico puede tener slo dos puertos que enlacen dos segmentos de red, el switch puede tener
varios puertos, segn la cantidad de segmentos de red que sea necesario conectar. Al igual que los
puentes, los switches aprenden determinada informacin sobre los paquetes de datos que se
reciben de los distintos computadores de la red. Los switches utilizan esa informacin para crear
tablas de envo para determinar el destino de los datos que se estn mandando de un computador
a otro de la red.
Aunque hay algunas similitudes entre los dos, un switch es un dispositivo ms sofisticado que un
puente. Un puente determina si se debe enviar una trama al otro segmento de red, basndose en
la direccin MAC destino. Un switch tiene muchos puertos con muchos segmentos de red
conectados a ellos. El switch elige el puerto al cual el dispositivo o estacin de trabajo destino est
conectado. Los switches Ethernet estn llegando a ser soluciones para conectividad de uso
difundido porque, al igual que los puentes, los switches mejoran el rendimiento de la red al
mejorar la velocidad y el ancho de banda. Un switch Ethernet ofrece muchas ventajas. Un
beneficio es que un switch para Ethernet permite que varios usuarios puedan comunicarse en
paralelo usando circuitos virtuales y segmentos de red dedicados en un entorno virtualmente sin
colisiones. Esto aumenta al mximo el ancho de banda disponible en el medio compartido. Otra
de las ventajas es que desplazarse a un entorno de LAN conmutado es muy econmico ya que el
hardware y el cableado se pueden volver a utilizar.
2.6.13 Router:
El Router es un dispositivo de capa 3 (Red). Toma sus decisiones de encaminamiento analizando
las direcciones de red de los paquetes (PDU de capa 3). Los routers pueden conectar distintas
tecnologas de Capa 2. La funcin de un Router es examinar los paquetes que recibe en una
interfase, leer la direccin de destino de capa 3, elegir cul es la mejor ruta y conmutar el paquete
hacia el puerto de salida adecuado. Los routers no reenvan los broadcasts, por esto, se dice que
"dividen" los dominios de broadcasts. Generalmente, los routers tienen una o ms interfaces de
LAN y una o ms interfaces de WAN. Los routers poseen todas las capacidades indicadas antes. Los
routers pueden regenerar seales, concentrar mltiples conexiones, convertir formatos de
transmisin de datos, y manejar transferencias de datos. Tambin pueden conectarse a una WAN,
lo que les permite conectar LAN que se encuentran separadas por grandes distancias. Ninguno de
los dems dispositivos puede proporcionar este tipo de conexin.
Tablas de enrutamiento: Los Routers utilizan protocolos de enrutamiento para crear y guardar
tablas de enrutamiento que contienen informacin sobre las rutas. Esto ayuda al proceso de
determinacin de la ruta. Los protocolos de enrutamiento llenan las tablas de enrutamiento con
una amplia variedad de informacin. Esta informacin vara segn el protocolo de enrutamiento
utilizado. Las tablas de enrutamiento contienen la informacin necesaria para enviar paquetes de
datos a travs de redes conectadas. Los dispositivos de Capa 3 interconectan dominios de
broadcast o LAN. Se requiere un esquema de direccionamiento jerrquico para poder transferir los
datos. La tabla de enrutamiento se compone de informacin esttica, proporcionada por el propio
administrador de la red o dinmica, debido a la intervencin de protocolos de enrutamiento tales
como RIP, OSPF, IGRP, EIGRP, etc., quienes se encargan de actualizar el contenido de la tabla a
medida que se van produciendo cambios en la topologa, tales como: agregacin o remocin de
dispositivos, saturacin de enlaces por exceso de trfico, cadas de enlaces por interrupcin de
servicios, etc. Los Routers mantienen informacin importante en sus tablas de enrutamiento, que
incluye lo siguiente:
Interfaces de salida: la interfaz por la que se envan los datos para llegar a su destino final.
Los Routers se comunican entre s para mantener sus tablas de enrutamiento por medio de la
transmisin de mensajes de actualizacin del enrutamiento. Algunos protocolos de enrutamiento
transmiten estos mensajes de forma peridica, mientras que otros lo hacen cuando hay cambios
en la topologa de la red. Algunos protocolos transmiten toda la tabla de enrutamiento en cada
mensaje de actualizacin, y otros transmiten slo las rutas que se han modificado. Un Router crea
y guarda su tabla de enrutamiento, analizando las actualizaciones de enrutamiento de los Routers
vecinos. Los routers, al igual que los switches, permiten la separacin en dominios de colisin,
pero no reenvan el trfico broadcast, por lo que se los considera dispositivos que implementan la
divisin de segmentos en dominios de broadcast. Generalmente los routers tienen una o ms
interfaces LAN y una o ms interfaces WAN.
Dentro de la amplia gama de soluciones corporativas que podemos encontrar en el mercado, una
de ellas la constituyen los routers denominados "apantallados" los cuales realizan el reenvo de los
paquetes o un descarte de los mismos, basados en un conjunto de reglas provistas o configuradas
por el administrador de la red.
La configuracin en estos routers debe contemplar:
Las limitaciones respecto a la cantidad de PCs que tendrn acceso a los servicios y su
posible agrupamiento.
La existencia de equipos en la Internet que deban autenticarse con los equipos internos.
Routers Apantallados (Screening router) o routers que filtran informacin: Previo al anlisis de
una implementacin con screening routers, recordemos que la redireccin ordinaria solamente
tiene en cuenta hacia dnde se dirige cada paquete de informacin, y selecciona cul es la mejor
va para llegar a su destino. Este tipo de redireccionamiento no tiene en cuenta las polticas de
seguridad o si la ruta es potencialmente segura o insegura. nicamente su objetivo es el de llevar
la informacin a su destino. El "screening router", en cambio, analiza el paquete de informacin al
detalle y establece si puede ser enviado a su destino en funcin de las polticas de seguridad del
sistema. En el supuesto caso de que fuera el nico sistema de proteccin, y ante su posible falla, la
red o el equipo puede verse expuesto a las amenazas del exterior. El "screening router" puede dar
acceso a un servicio (o denegarlo). Pero, de haberse producido el acceso no autorizado, no puede
realizar protecciones individuales dentro del mismo.
Cmo filtra paquetes? Un Firewall filtra o discrimina paquetes de informacin o de datos que va
redirigiendo entre los host internos y externos del sistema, gracias a una seleccin que realiza
siguiendo las polticas de seguridad establecidas. Este redireccionamiento se conoce con el
nombre tcnico de "screening router". La finalidad de esta redireccin puede considerar algunos
de los siguientes elementos:
Bloqueo de todas las conexiones externas, salvo aquellas que trabajen bajo SMTP, para
permitir la recepcin de correo electrnico.
Un criterio de filtro de paquetes, que se establece para los puertos del dispositivo. Esta
regla se conoce como "filtro de paquetes".
Las reglas de filtro de paquetes se guardan en un orden preciso para que cada una de ellas
se ejecute en ese mismo orden, en funcin del tipo de paquete de informacin que llegue
al sistema de red o al equipo.
En el caso de que una regla (o parte de ella) se vea vulnerada, o no cumpla los requisitos
establecidos, el paquete de informacin podr recibirse en el sistema, pero, ste avisar
mediante alertas de cules han sido los protocolos y normas que no cumple.
Si un paquete no cumple ninguna de las reglas, se manda un aviso al sistema, que impide
su acceso.
Permitir que hosts internos se conecten con hosts de Internet para ciertos servicios
(servicios permitidos por medio de paquetes filtrados), y
No permitir todas las conexiones desde los hosts internos (forzar a esos hosts a usar el
servicio de proxy via el "Bastion Host").
Estas aproximaciones se pueden combinar para brindar diferentes servicios: algunos pueden ser
permitidos directamente filtrando paquetes, mientras que otros directamente va proxy. Existen
algunas desventajas en una implementacin de este tipo; la principal es que si un ataque vulnera
el "Bastion Host", sto no es notado por la red interna. As mismo, el router tambin presenta un
punto de falla, si el mismo es comprometido, la red entera est disponible para ser atacada. El
router puede ser el primer elemento a utilizar en la estrategia de defensa perimetral, si bien el
mismo debe contar con recursos de seguridad e inspeccin para mejorar su rendimiento. En los
temas subsiguientes veremos, como esta instancia se potencia con los Firewalls.
2.6.14 Gateway
El trmino gateway se utiliza generalmente para todo software ejecutndose sobre un dispositivo,
que permite la conexin entre dos diferentes entornos actuando como un traductor. Usualmente
un gateway es necesario cuando un entorno, que utiliza un determinado protocolo, se comunica
con otro que emplea un protocolo distinto. Un gateway puede traducir paquetes IPX (Novell) en
paquetes IP, aceptar correos que provienen de un tipo especfico de servidor y formato, y
entregarlos en formato compresible para otro tipo diferente de servidor o conectar enlaces de
datos de distintas tecnologas, como Ethernet y Token Ring. Un gateway ejecuta tareas mucho ms
complejas que otros dispositivos de conexin como switches o routers, sin embargo muchas
personas designan a un router como un gateway, cuando ste es utilizado para conectar dos
tecnologas de enlace diferentes, tales como Ethernet a Frame Relay, Ethernet a MPLS, Ethernet a
Token Ring, etc. Otro ejemplo lo constituye un gateway de voz sobre IP (VoIP), dispositivos
utilizados para la digitalizacin de la voz a fin de poder transmitir la misma a travs de redes
digitales.
2.6.15 RAS
Remote Access Services (Servicios de Acceso Remoto) es un trmino utilizado para describir el
proceso de conexin entres sistemas remotos, bsicamente entre una estacin de trabajo que
utiliza la red telefnica pblica por medio de un mdem, a una red que utiliza un servidor RAS.
Un RAS tpico es el ofrecido por Microsoft Windows, el cual facilita la comunicacin entre
computadoras situadas a grandes distancias. La conexin puede estar materializada por diferentes
tecnologas, como ser PSTN, ISDN, DSL o Cablemodems. Dependiendo los protocolos que se
utilicen en su implementacin, dichas conexiones pueden ser en texto claro (sin seguridad) o
protegidas mediante el empleo de algoritmos de encriptacin.
2.6.16 PBX
Las compaas telefnicas emplean tecnologas de conmutacin, para trasmitir los llamados
telefnicos que realizan los abonados a sus correspondientes destinos. Una empresa telefnica
posee switches que conectan localidades, ciudades y reas metropolitanas, a travs del uso de
anillos de fibra ptica, por ejemplo. Una Private Branch Exchange (PBX) es un switch telefnico
privado que est situado dentro de la empresa y es propiedad de la misma. Permite conectar a sus
usuarios por medio de lneas locales, facilitando las comunicaciones entre ellos sin tener que salir
a la red pblica y cursando el trfico externo a travs de enlaces troncales proporcionados por una
prestataria externa. Entre sus componentes ms importantes, encontramos:
Muchos sistemas PBX tienen password de administracin por defecto que nunca son cambiadas.
En consecuencia, un Phreaker (Hacker telefnico) que tiene conocimiento de las passwords tpicas
de cada fabricante de sistemas operativos para PBX, puede hacer uso de ellas para producir
enrutamiento de llamadas, reconfiguracin de switches o ganar acceso para realizar gratuitamente
llamadas locales e internacionales. De all la importancia de cambiar siempre las passwords por
defecto de estos dispositivos.
2.6.17 Firewall
Un Firewall constituye la primer lnea de defensa de una red y es empleado para restringir el
acceso a una red desde otra red. La mayora de las compaas utilizan Firewalls para restringir el
acceso a sus redes desde Internet, aunque tambin pueden ser usados para restringir trfico
interno desde un segmento de red a otro. El propsito de los Firewall es aislar una red de otra y
estn disponibles a travs de implementaciones de software, como funcionalidad adicional en
otro tipo de dispositivo (funciones de Firewall en un Router) o como hardware dedicado
(appliance especfico).
Un Firewall permite aplicar la poltica de seguridad de red de la compaa, inspeccionando el
trfico entrante y saliente a la misma, permitiendo slo los servicios autorizados mediante el
anlisis de las direcciones IP de origen y destino, los puertos de origen y destino y otros
parmetros de inspeccin como ser: nmeros de secuencia, campos de control, comandos
especficos, etc., segn las capacidades del sistema operativo del Firewall, filtrando los paquetes
que no cumplen con la poltica vigente.
La instalacin de un Firewall en la topologa de red de la empresa debe ser tal, que todo flujo de
trfico debe pasar sin excepcin a travs del mismo, a fin de poder implementar su poltica de
inspeccin.
Un Firewall puede ser un sistema (software o hardware), es decir, un dispositivo fsico (hard) que
se conecta entre la red y el cable de la conexin a Internet, como en el caso del CISCO PIX 535, o
bien un programa (soft) que se instala en el sistema que tiene el mdem (u otro dispositivo) que
conecta con Internet, como el Firewall-1 de CheckPoint. Incluso podemos encontrar PCs muy
potentes y con softwares especficos que lo nico que hacen es monitorear en tiempo real las
comunicaciones entre redes.
Es posible configurar un Firewall de forma que permita slo trfico de correo, de modo de
proteger de cualquier ataque sobre la red destino. Generalmente, estn configurados para
proteger contra "logins" sin autorizacin expresa desde cualquier parte del mundo. Esto, ayuda
principalmente, a prevenir ataques en mquinas y software de nuestra red.
Tambin, permiten bloquear el trfico "desde Internet hacia la empresa", admitiendo que los
usuarios del interior, se comuniquen libremente con los usuarios del exterior. Pueden protegernos
de cualquier tipo de ataque a la red, siempre y cuando se configuren para ello. Esto proporciona
un sistema simple para auditar la red.
Siempre que disponga de una red privada que vaya a conectarse a una red pblica, se necesita la
proteccin que este recurso ofrece. Incluso en el caso de los usuarios particulares que se conectan
a Internet mediante un mdem resulta recomendable, ya que permite estar protegido contra los
ataques que se puedan sufrir, as como moverse por la red de forma annima. De esta manera, los
datos estarn a salvo y la privacidad quedar asegurada.
Beneficios e inconvenientes de un Firewall
Como claros beneficios, se pueden citar la seguridad frente a cierto nivel de ataques externos y la
oportunidad de permitir acceder a determinados recursos de la red pblica slo a ciertas
personas. De esta manera, el administrador sabe a qu elementos se accede y quin lo hace.
Tener uno de estos sistemas implica ciertas restricciones para los usuarios, que no suelen ser
aceptadas con agrado. Adems, puede constituir un cuello de botella en el acceso a ciertos
recursos, debido a que todo el trfico entre la red privada y la pblica debe ser analizado y
registrado por si se necesita un anlisis posterior de estos datos.
Tambin, hay que tener en cuenta que si falla ambas redes podran quedar virtualmente aisladas
con todos los inconvenientes que ello pueda acarrear. No obstante, las alternativas son la falta de
seguridad o la incapacidad de acceso a las redes pblicas, y ninguna de estas posibilidades resulta
aceptable.
SI bien son cada vez ms necesarios en nuestras redes, "todos los expertos recomiendan que no se
usen en lugar de otras herramientas, sino junto a ellas"; cualquier firewalls, desde el ms simple al
ms avanzado, presenta dos consideraciones de seguridad:
Por un lado, centralizan todas las medidas en un nico sistema, de forma que si ste se ve
comprometido y el resto de nuestra red no est lo suficientemente protegido, el atacante
2.6.18 IDS
Un Intrusion Detection System (Sistema de Deteccin de Intrusos) cumple una funcin diferente a
un Firewall, debido a que son diseados para detectar anormalidades de seguridad, como ser el
uso no autorizado o abuso de un recurso, o bien un intento de ataque sobre los mismos. Estos
recursos pueden ser computadoras (servidores), redes o infraestructura de comunicaciones.
Un IDS est diseado para ayudar a mitigar el dao que puede causar a los recursos un incidente
de seguridad. Su funcin consiste en detectar trfico sospechoso y reaccionar enviando alarmas o
reconfigurando dispositivos con el objeto de finalizar conexiones.
Las herramientas generales de IDS pueden implementarse, al igual que los Firewalls, sobre
dispositivos dedicados (appliance) o mediante software. Aunque existen diferentes tipos de
productos, la mayora tienen en comn tres componentes:
Sensores Analizadores
Interface de administracin
Los sensores se encargan de recolectar el trfico y los datos propios de la actividad de los
usuarios, enviando esta informacin al analizador. ste controla el trfico recolectado en busca de
actividades sospechosas. Si detecta una actividad programada como maliciosa, enva
inmediatamente una alarma a la pantalla de la interface de administracin, a fin de alertar en
forma oportuna al administrador de seguridad, sobre la ejecucin de un posible ataque.
Punto a punto
Wireless LAN
Cisco LEAP
EAP-TLS
PEAP
EAP-MD5
Al implementarse sobre un switch ocurre lo siguiente: El cliente, una estacin de trabajo por
ejemplo, le solicita acceso al dispositivo de conmutacin, es decir, al Switch, quien reenva al
servidor de autenticacin (RADIUS) dicha solicitud actuando como un proxy, bloqueando mientras
tanto el acceso a la red por parte del cliente. Este servidor de autenticacin valida la identidad del
cliente y notifica al Switch si el cliente est autorizado o no para acceder a la LAN
Una alternativa de seguridad para wireless LAN usando este estndar, consiste en proporcionar
autenticacin centralizada y distribucin dinmica de claves. Este enfoque del 802.11 utiliza
802.1x e EAP para lograr esta funcionalidad, la cual comprende:
Al implementarse, un cliente wireless que se asocia al access point no puede obtener acceso a la
red hasta que el usuario ejecuta el proceso de logon. Al hacerlo, se intercambian mensajes EAP
entre el cliente y el servidor de autenticacin (RADIUS) para realizar una autenticacin mutua,
donde el cliente verifica las credenciales del servidor y viceversa. Un suplicante EAP es usado en el
dispositivo del cliente para obtener sus credenciales. Luego de realizarse con xito la
autenticacin mutua, se obtiene una clave que va a ser empleada por el cliente durante su sesin.
La password del cliente y la clave de sesin nunca es transmitida en texto claro a travs del enlace.
de seal o conector en otro. Por ejemplo, un transceptor puede conectar una interfaz AUI de 15
pins a un jack RJ-45. Se considera un dispositivo de Capa 1, dado que slo analiza los bits y
ninguna otra informacin acerca de la direccin o de protocolos de niveles ms altos. Las NIC no
se representan con ningn smbolo estandarizado. Se entiende que siempre que haya dispositivos
de networking conectados a un medio de red, existe alguna clase de NIC o un dispositivo similar a
la NIC. Siempre que se ve un punto en un mapa topolgico, ste representa una interfaz NIC o
puerto que acta como una NIC.
2.6.22 Cliente/Servidor
En una disposicin cliente/servidor, los servicios de red se ubican en un computador dedicado
direccin de destino como propia ser la que procese la trama. Una estacin de trabajo podra
configurar su NIC para copiar localmente todas las tramas que son recibidas. Esta tcnica es
conocida como modo promiscuo y puede utilizarse para leer todo el trfico de una red. Ms
adelante veremos los problemas de seguridad pueden surgir en caso que algn usuario malicioso
utilice esta tcnica.
Desactivacin de filtro MAC: Una de las tcnicas ms utilizadas por la mayora de los sniffers de
redes Ethernet se basa en la posibilidad de configurar la interfaz de red para que desactive su
filtro MAC (poniendo la tarjeta de red en modo promiscuo).
Las redes basadas en dispositivos Ethernet fueron concebidas en torno a una idea principal: todas
las mquinas de una misma red local comparten el mismo medio, de manera que todos los
equipos son capaces de ver el trco de la red de forma global.
Cuando se envan datos es necesario especificar claramente a quin van dirigidos, indicando la
direccin MAC. De los 48 bits que componen la direccin MAC, los 24 primeros bits identifican al
fabricante del hardware, y los 24 bits restantes corresponden al nmero de serie asignado por el
fabricante. Esto garantiza que dos tarjetas no puedan tener la misma direccin MAC.
Para evitar que cualquier mquina se pueda apropiar de informacin fraudulenta, las tarjetas
Ethernet incorporan un ltro que ignora todo el trco que no les pertenece, descartando
aquellos paquetes con una direccin MAC que no coincide con la suya. La desactivacin de este
ltro se conoce con el nombre de modo promiscuo.
Con el uso adecuado de expresiones regulares y otros ltros de texto, se podr visualizar o
almacenar nicamente la informacin que ms interese; en especial, aquella informacin sensible,
como nombres de usuario y contraseas.
El entorno en el que suele ser ms efectivo este tipo de escuchas son las redes de rea local
conguradas con una topologa en bus. En este tipo de redes, todos los equipos estn conectado a
un mismo cable. Esto implica que todo el trco transmitido y recibido por los equipos de la red
pasa por este medio comn.
Una solucin para evitar esta tcnica consiste en la segmentacin de la red y de los equipos
mediante el uso de conmutadores (switches). Al segmentar la red y los equipos, el nico trco
que tendran que ver las mquinas sera el que les pertenece, puesto que el conmutador se
encarga de encaminar hacia el equipo nicamente aquellos paquetes destinados a su direccin
MAC. Aun as, existen tcnicas para poder continuar realizando sniffing aunque se haya
segmentado la red mediante switches. Una de estas tcnicas es la suplantacin de ARP.
2.7 ETHERNET
El primer estndar Ethernet fue publicado en la dcada del 80 por Digital, Intel y Xerox (DIX),
evolucionando hasta convertirse en la actualidad en la tecnologa LAN de mayor difusin. Como
referencia pensemos que la mayora del trfico de Internet comienza y termina en una red
Ethernet. La versin original brindaba un ancho de banda de 10 Mbps sobre cable coaxil grueso
(Thick Ethernet, 10BASE5) y permita comunicar estaciones hasta una distancia de 500 mts.
Utilizaba el protocolo CSMA/CD para ordenar el acceso al medio y resolver las colisiones.
Ethernet se fue adaptando de acuerdo a las nuevas necesidades y tecnologas. As es como hoy
podemos contar con redes ethernet de hasta 10Gbps de ancho de banda, transmitiendo sobre
distintos tipos de cobre y fibra ptica.
En la tabla
versiones.
2.7.1 Colisiones
En las redes ethernet todas las estaciones comparten el mismo medio para la transferencia de
datos, es decir que comparten el mismo cable fsico. Por este motivo, si dos estaciones comienzan
a transmitir de forma simultnea, las seales elctricas que se propagan por el cable colisionarn,
producindose una prdida de la informacin en trnsito. El rea de la red donde las
transmisiones pueden colisionar, se denomina "dominio de colisin". Un dominio de colisin
incluye todos los medios y dispositivos que conforman el rea (estaciones de trabajo, repetidores,
hubs, transceptores, medios fsicos, etc.).
2.7.2 CSMA/CD
El mtodo de acceso al medio de las redes Ethernet se denomina CSMA/CD por sus siglas en ingls
(Carrier Sense, Multiple Access with Collission Detection - Acceso Mltiple con Deteccin de
portadora y Deteccin de Colisiones).
Est mtodo define la forma en que las estaciones deben transmitir los datos por el medio fsico
compartido. Cuando una estacin quiere transmitir una trama, lo primero que realiza es un
sensado del medio para asegurarse que no exista otra estacin transmitiendo. Si el medio est
ocupado, espera un tiempo y vuelve a sensarlo. Si el medio est libre, comienza a transmitir y
simultneamente contina escuchando el medio para asegurarse que su transmisin no colisione
con la transmisin de otra estacin. Si finaliza la transmisin sin detectar colisin, significa que la
trama se ha enviado de forma exitosa. Si durante la transmisin detect una colisin, enva una
seal de "jamming" para asegurarse que todas las dems estaciones detecten la colisin y
descarten la trama que estaban recibiendo. Una vez enviada la seal de jamming, la estacin deja
de transmitir y elige en forma aleatoria el intervalo de tiempo que deber esperar antes de
intentar la retransmisin.
Si en la retransmisin vuelve a ocurrir una colisin se repite el proceso; pero antes, se incrementa
la cantidad de posibles intervalos de tiempo entre los que la estacin tendr la posibilidad de
elegir, de esta manera las posibilidades que tendrn dos estaciones de coincidir en el mismo
intervalo se reducen. Este ciclo se repite 15 veces, si en la 15 retransmisin ocurre una colisin,
se descarta la trama y se reportan problemas en el acceso a la red.
Se ha visto que, aun cuando CSMA reduce la posibilidad de colisiones, stas todava se producen.
Dos o ms estaciones transmitiendo tramas que colisionan originan un desperdicio de la
capacidad (ancho de banda) disponible, pues la informacin en el medio fsico no es vlida
durante todo el tiempo que dura la transmisin de dichas tramas.
El inconveniente en CSMA es que cuando se produce una colisin entre tramas, el medio queda
ocupado durante todo el tiempo que dura la transmisin de la trama. Parece obvio que sera
adecuado cortar lo antes posible la transmisin con el fin de dejar libre el canal lo antes posible
para iniciar un nuevo intento.
Dotando a las estaciones de la capacidad de detectar en tiempo real que sus transmisiones se
superponen (colisionan) con otras, aquellas podran interrumpir su transmisin cuando eso
sucediera, ahorrando tiempo de mal uso del medio. El mecanismo de deteccin de colisiones
(CD), por tanto, reduce la duracin de las colisiones en caso de que stas se produzcan.
La realizacin del mecanismo CD depende de las caractersticas del medio fsico de transmisin, de
la tcnica de codificacin/modulacin empleada e incluso de la topologa de la red y de las
variaciones en los niveles de seal en cada punto de la red de las transmisiones procedentes de
cualquier estacin. La deteccin de colisiones es, por tanto, una tarea de la capa fsica aunque
sta no toma decisiones y simplemente notifica de la ocurrencia de colisin a la subcapa MAC, que
es la que ejecuta el algoritmo de acceso CSMA/CD.
En algunos contextos, el mecanismo CD no est exento de problemas; por ejemplo, en las redes
va radio la atenuacin de las seales es muy grande (como mnimo, aumenta con el cuadrado de
la distancia), por lo que, a veces, puede ser muy difcil detectar que una transmisin con un nivel
de seal fuerte se superpone con otra cuyo nivel es varios ordenes de magnitud ms dbil. (Este
es el llamado captura o enmascaramiento.)
constituye el comit 802, al mando de Marius Graube (de Tektronic), con el fin de promover el
desarrollo de estndares para redes de rea local. As, la serie de estndares IEEE 802.x (donde x
es un nmero de 1 en adelante) ha venido definiendo los niveles arquitectnicos inferiores (capa
fsica y de enlace de datos segn el modelo OSI) para redes locales. En este mbito, la
organizacin ISO (International Standards Organization) tambin emite sus estndares, totalmente
equivalentes a los anteriores, bajo la denominacin ISO 8802-x.
La lista de estndares IEEE 802 ha ido creciendo con el tiempo, tanto por la incorporacin de
nuevos estndares como por la revisin/ampliacin de los ya existentes (que se representan
mediante IEEE 802.xy, donde x es el nmero que denota el estndar e y es una letra, de la a en
adelante, que denota la ampliacin/revisin llevada a cabo). Los principales estndares IEEE de la
serie 802 son los siguientes:
802.2: Describe el LLC (Logical Link Control), subcapa superior de la capa de enlace de
datos OSI, comn a todas las redes locales.
802.3: Describe una familia de redes locales basadas en el protocolo de acceso aleatorio de
tipo CSMA/CD. Inicialmente describa una red local con topologa en bus, de cable coaxial,
y velocidad de 10 Mbit/s (la conocida Ethernet, propuesta por Xerox, Digital e Intel en la
dcada de 1970); las numerosas revisiones posteriores introducen topologas en estrella,
de cable de pares trenzados o fibra ptica, y velocidades de 100 Mbit/s y 1 Gbit/s.
802.4: Describe Token Bus, una red con topologa en bus y protocolo de acceso basado en
pase de testigo (a partir de una propuesta de red de General Motors para entornos de
produccin); actualmente en desuso.
802.5: Describe Token Ring, una red con topologa en anillo, velocidades de 4 y 16 Mbit/s y
protocolo de acceso basado en pase de testigo (a partir de una propuesta de IBM hacia
1980); si bien a finales del siglo pasado lleg a tener una implantacin del orden del 1015% de las instalaciones de redes locales, actualmente est en desuso.
802.6: Describe DQDB (Dual Queue Dual Bus), una red de rea metropolitana con topologa
de doble bus, velocidades de decenas de Mbits/s y sofisticado protocolo de acceso basado
en una cola distribuida; si bien en la dcada de 1990 tuvo cierta implantacin, su futuro es
incierto.
802.11: Describe a las WLAN (Wireless LAN), redes locales sin hilos basadas en la
transmisin por microondas o infrarrojos y protocolo de acceso aleatorio.
802.12 Describe la red 100 VG-AnyLAN, una red con topologa en rbol, velocidad de 100
Mbit/s y protocolo de acceso por demanda (propuesta por Hewlett-Packard y otros);
actualmente en desuso.
El estndar IEEE 802.2 (LLC): El estndar IEEE 802.2 (o ISO 8802-2) describe la subcapa superior de
la capa de enlace de datos, siendo sus caractersticas principales:
Utilizando los servicios ofrecidos por la subcapa MAC (Medium Access Control),
proporciona servicios a la capa de red.
El estndar IEEE 802.3 (Ethernet): Los antecedentes de este estndar se sitan hacia el ao 1974
en el centro de investigaciones de Xerox Corporation en Palo Alto (California, USA). All, los
ingenieros David R. Boggs y Robert M. Metcalfe, entre otros, disearon una red basada en el
protocolo CSMA/CD, operando a 2,94 Mbit/s, que conectaba 100 estaciones de trabajo a lo largo
de un bus de 1 km de longitud. Poco despus, la alianza entre las compaas Digital, Intel y Xerox
propone una norma industrial para conectividad local, a la que llamaron Ethernet, operando a 10
Mbit/s. La norma IEEE 802.3 difiere ligeramente de la norma de facto Ethernet y, adems, describe
a toda una familia de redes basadas en el protocolo CSMA/CD. La especificacin original de
Ethernet, defina las capas fsica y de enlace de datos del modelo OSI. Como esta especificacin no
era un estndar abierto, la organizacin IEEE defini un estndar llamado IEEE 802.3. Este
estndar no es compatible con la especificacin de Ethernet, porque no define completamente la
capa de enlace de datos, sino que la divide en dos subcapas, como ya se mencion, las subcapas
MAC y LLC. El estndar IEEE 802.3 cubre la capa fsica y la subcapa MAC, mientras que otro
estndar, el IEEE 802.2, define la subcapa LLC. Hoy en da, el trmino Ethernet a menudo se usa
para referirse a todas las LAN de acceso mltiple con deteccin de portadora y deteccin de
colisiones (CSMA/CD). Es muy comn que en una misma red se utilicen de forma simultnea las
dos especificaciones.
En el grfico se pueden observar las diferencias en el formato de trama que utilizan. En la trama
IEEE se detalla el encabezado propio de 802.3 ms el encabezado que corresponde a la subcapa
LLC - 802.2. Las tramas Ethernet incluyen un campo "tipo" donde se especifica el tipo de protocolo
que transporta encapsulado. Cada protocolo tiene asignado un nmero, por ejemplo IP tiene
asignado el nmero 0x0800. En las tramas IEEE 802.3, esta identificacin no es necesaria porque
siempre transportan el mismo protocolo, el IEEE 802.2, y ste es el encargado de identificar el
protocolo encapsulado (mediante campos del encabezado 802.2). Las tramas IEEE incluyen un
campo de longitud (Length) que contiene el tamao de los datos encapsulados (802.2 ms datos).
Cada fragmento tiene que estar asociado a otro utilizando un identicador de fragmento
comn.
Este se clonar desde un campo de la cabecera IP, conocido como identicador IP (tambin
llamado ID de fragmento).
Cada fragmento tiene que saber si existen ms fragmentos a continuacin. Esto se indica
en la cabecera, dejando o no activado el indicador de ms fragmentos (more fragments,
MF) del datagrama IP.
Toda esta informacin ir en la cabecera IP, colocada en el datagrama IP. Esto afectar a todo el
trco TCP/IP puesto que IP es el protocolo responsable de la entrega de los paquetes.
una trama de datos. Ambas tecnologas, as como Ethernet y sus derivados, son tecnologas de
difusin, esto significa que cuando una estacin transmite una trama, esta trama es recibida por
todas las dems estaciones. Cada estacin que recibe la trama, lee el campo de direccin destino,
si no corresponde a su direccin MAC, entonces descarta la trama, pero si se identifica como el
destino, entonces termina de recibir la trama y procede a interpretarla.
2.9 PROTOCOLO IP
El Protocolo Internet (IP) es la implementacin ms utilizada de los protocolos de capa de red. IP
es el protocolo de red que usa Internet. En esta capa, los datos se encapsulan en paquetes
(tambin denominados datagramas). El protocolo IP define el formato del encabezado del
paquete, que incluye informacin de direccionamiento y otra informacin de control, pero no se
ocupa de los datos en s, es decir, acepta cualquier informacin que recibe desde las capas
superiores.
2.9.1 Fragmentacin IP
El protocolo IP es el encargado de seleccionar la trayectoria que deben seguir los datagramas IP.
No es un protocolo able ni orientado a conexin, es decir, no garantiza el control de ujo, la
recuperacin de errores ni que los datos lleguen a su destino.
A la hora de pasar a la capa inferior, los datagramas IP se encapsulan en tramas que, dependiendo
de la red fsica utilizada, tienen una longitud determinada. Cuando los datagramas IP viajan de
unos equipos a otros, pueden pasar por distintos tipos de redes. El tamao exacto de estos
paquetes, denominado MTU (Maxim Transfer Unit.), puede variar de una red a otra dependiendo
del medio fsico empleado para su transmisin.
As, el protocolo IP debe tener en cuenta que ningn dispositivo puede transmitir paquetes de una
longitud superior al MTU establecido por la red por la que hay que pasar. A causa de este
problema, es necesaria la reconversin de datagramas IP al formato adecuado.
La fragmentacin divide los datagramas IP en fragmentos de menor longitud y se realiza en el nivel
inferior de la arquitectura para que sea posible recomponer los datagramas IP de forma
transparente en el resto de niveles. El reensamblado realiza la operacin contraria.
El proceso de fragmentacin y reensamblado se ir repitiendo a medida que los datagramas vayan
viajando por diferentes redes.
Aunque la fragmentacin es, por lo general, una consecuencia natural del trco que viaja a travs
de redes con MTU de distintos tamaos, es posible que un atacante pueda realizar un mal uso de
esta propiedad del protocolo IP para provocar ataques de denegacin de servicio (a causa de una
mala implementacin de la pila TCP/IP), as como para esconder y facilitar la fase de recogida de
informacin (bsqueda de huellas identicativas, exploracin de puertos, ...) o incluso para hacer
pasar desapercibidos e introducir en la red paquetes para la explotacin de servicios. Esto ltimo
es posible porque muchos de los mecanismos de prevencin y de deteccin no implementan el
reensamblado de paquetes, y por ello no detectarn ni prevendrn este tipo de actividad a causa
del enmascaramiento que la fragmentacin les ofrece.
As pues, es importante comprender cmo funciona esta faceta del protocolo IP para entender
este mal uso del trco fragmentado que podra realizar un posible atacante para conseguir su
objetivo.
datagramas que enva a nuestra red con el objetivo de que pasen desapercibidos por diferentes
dispositivos de prevencin y de deteccin de ataques que no tienen implementado el proceso de
fragmentacin y reensamblado de datagramas IP.
En el caso de los dispositivos de prevencin ms bsicos (como, por ejemplo, encaminadores con
ltrado de paquetes), las decisiones para bloquear paquetes se basan generalmente en la
informacin de cabecera de los paquetes (como, por ejemplo, puertos TCP o UDP de destino,
banderas de TCP). Esto significa que los paquetes TCP y UDP fragmentados son susceptibles de
burlar aquellos mecanismos de prevencin que no implementen el proceso de reensamblado para
poder tener una visin global del paquete que hay que bloquear.
Por otro lado, en el caso de dispositivos de prevencin ms avanzados (como, por ejemplo,
pasarelas a nivel de aplicacin), as como en la mayor parte de los mecanismos de deteccin, las
decisiones para detectar paquetes potencialmente peligrosos acostumbran a basarse nuevamente
en la inspeccin de la cabecera del datagrama IP, as como en la parte de datos del paquete. Esto
significa que la fragmentacin se puede utilizar nuevamente para burlar este proceso de deteccin
y conseguir que estos paquetes entren o salgan de la red de forma desapercibida.
Con el objetivo de descubrir la MTU de la red e intentar asi realizar fragmentacin, el atacante
puede utilizar el indicador de no fragmentacin del datagrama IP. Cuando el indicador de no
fragmentacin est activado, como indica su nombre, no se realizar ninguna fragmentacin en el
datagrama. Por lo tanto, si un datagrama con este indicador cruza una red en la que se exija la
fragmentacin, el encaminador lo descubrir, descartar el datagrama y devolver el mensaje de
error al equipo emisor. Este mensaje de error ICMP contiene la MTU de la red que requiere la
fragmentacin. De esta forma, el atacante solo deber construir datagramas con diferentes
longitudes, con el indicador de fragmentacin establecido, a la espera de recibir estos mensajes
de error. Para solucionar el uso de la fragmentacin fraudulenta y garantizar una correcta
inspeccin de paquetes, es necesaria la implementacin del proceso de fragmentacin y el
reensamblado de datagramas en dispositivos de prevencin y deteccin. Esta solucin puede
suponer un coste adicional, ya que significa tener que examinar y almacenar cada fragmento.
Aunque puede resultar muy costoso en cuanto a recursos (tiempo, proceso y memoria), ser la
nica forma de asegurar que la inspeccin del paquete se ha realizado de forma correcta.
2.9.5 Clases
Como se ha visto, las direcciones de red se dividen en una porcin asignada a la red y otra al host.
Con el fin de facilitar la administracin y optimizar el uso de direcciones, los diseadores del
direccionamiento determinaron la existencia de cinco clases de direcciones IP.
Clase A: La direccin Clase A se dise para admitir redes de tamao extremadamente grande, de
ms de 16 millones de direcciones de host disponibles. Las direcciones IP Clase A utilizan slo el
primer octeto para indicar la direccin de la red. Los tres octetos restantes son para las
direcciones host. Utiliza el primer octeto para direccionar redes y los tres restantes para
direccionar los hosts dentro de la red. El primer bit del primer octeto siempre es 0, entonces las
direcciones de red de clase A tienen un rango de 0 a 127, pero las direcciones 0 y 127 estn
reservadas para fines especiales. As, podemos tener hasta 126 redes clase A y en cada una de
estas redes ms de 16 millones de hosts. La red 127.0.0.0 se reserva para las pruebas de loopback.
Los Routers o las mquinas locales pueden utilizar esta direccin para enviar paquetes
nuevamente hacia ellos mismos. Por lo tanto, no se puede asignar este nmero a una red.
Clase B: La direccin Clase B se dise para cumplir las necesidades de redes de tamao
moderado a grande. Una direccin IP Clase B utiliza los primeros dos de los cuatro octetos para
indicar la direccin de la red. Los dos octetos restantes especifican las direcciones del host.
Emplea dos octetos para la porcin de red y los otros dos para la porcin del host. Los primeros
dos bits de la direccin de red han sido ajustados a 1 y 0, de esta manera la direccin de red tiene
un rango desde 128 a 191. Con este formato, cada red podr tener ms de 65 mil hosts.
Clase C: Utiliza tres octetos para la porcin de red y los hosts de la red. Los tres primeros bits son
ajustados a 1, 1 y 0 respectivamente. Esto significa que la direccin de red para una red de clase C
vara desde 192 a 223. A cada una de estas redes se les pueden asignar hasta 254 hosts. El espacio
de direccionamiento Clase C es el que se utiliza ms frecuentemente en las clases de direcciones
originales. Este espacio de direccionamiento tiene el propsito de admitir redes pequeas con un
mximo de 254 hosts. Una direccin Clase C comienza con el binario 110. Por lo tanto, el menor
nmero que puede representarsees 11000000, 192 decimal. El nmero ms alto que puede
representarse es 11011111, 223 decimal. Si una direccin contiene un nmero entre 192 y 223 en
el primer octeto, es una direccin de Clase C.
Clase D y E: Estas clases de direccin estn reservadas para multicast (envo de informacin desde
un origen hacia varios destinos) y fines investigativos. No son utilizadas comercialmente para la
asignacin de direcciones a los hosts. La direccin Clase D se cre para permitir multicast en una
direccin IP. Una direccin multicast es una direccin exclusiva de red que dirige los paquetes con
esa direccin destino hacia grupos predefinidos de direcciones IP. Por lo tanto, una sola estacin
puede transmitir de forma simultnea una sola corriente de datos a mltiples receptores. El
espacio de direccionamiento Clase D, en forma similar a otros espacios de direccionamiento, se
encuentra limitado matemticamente. Los primeros cuatro bits de una direccin Clase D deben
ser 1110. Por lo tanto, el primer rango de octeto para las direcciones Clase D es 11100000 a
11101111, o 224 a 239. Una direccin IP que comienza con un valor entre 224 y 239 en el primer
octeto es una direccin Clase D. Se ha definido una direccin Clase E. Sin embargo, la Fuerza de
tareas de ingeniera de Internet (IETF) ha reservado estas direcciones para su propia investigacin.
Por lo tanto, no se han emitido direcciones Clase E para ser utilizadas en Internet. Los primeros
cuatro bits de una direccin Clase E siempre son 1s. Por lo tanto, el rango del primer octeto para
las direcciones Clase E es 11110000 a 11111111, o 240 a 255.
referenciar a todas las subredes de la red. La cantidad mxima de bits que se puede pedir
prestada ser aquella que resulte, luego de reservar 2 bits para el campo de host.
La divisin en subredes es otro mtodo para administrar las direcciones IP. Este mtodo, que
consiste en dividir las clases de direcciones de red completas en partes de menor tamao, ha
evitado el completo agotamiento de las direcciones IP. Resulta imposible hablar sobre el TCP/IP sin
mencionar la divisin en subredes. Como administrador de sistemas, es importante comprender
que la divisin en subredes constituye un medio para dividir e identificar las redes individuales en
toda la LAN. No siempre es necesario subdividir una red pequea. Sin embargo, en el caso de
redes grandes a muy grandes, la divisin en subredes es necesario. Dividir una red en subredes
significa utilizar una mscara de subred para dividir la red y convertir una gran red en segmentos
ms pequeos, ms eficientes y administrables o subredes.
El administrador del sistema debe resolver estos problemas al agregar y expandir la red. Es
importante saber cuntas subredes o redes son necesarias y cuntos hosts se requerirn en cada
red. Con la divisin en subredes, la red no est limitada a las mscaras de red por defecto Clase A,
B o C y se da una mayor flexibilidad en el diseo de la red. Las direcciones de subredes incluyen
la porcin de red ms el campo de subred y el campo de host. El campo de subred y el campo de
host se crean a partir de la porcin de host original de la red entera. La capacidad para decidir
cmo se divide la porcin de host original en los nuevos campos de subred y de host ofrece
flexibilidad en el direccionamiento al administrador de red. Para crear una direccin de subred,
un administrador de red pide prestados bits del campo de host y los designa como campo de
subred. El nmero mnimo de bits que se puede pedir es dos. Al crear una subred, donde se
solicita un slo bit, el nmero de la red suele ser red .0. El nmero de broadcast entonces sera la
red .255. El nmero mximo de bits que se puede pedir prestado puede ser cualquier nmero que
deje por lo menos 2 bits restantes para el nmero de host.
Una mscara de subred tiene una longitud de 32 bits, dividida en 4 octetos, al igual que la
direccin IP. Se utiliza para determinar qu parte de la direccin IP corresponde al campo de red y
qu parte corresponde al campo de host.
La subred se interpreta mediante la mscara de red o subred. Si el bit de la mscara de red es 1,
ese bit equivalente en la direccin IP se interpreta como un bit de red. Si el bit de la mascara es 0,
al bit equivalente de la direccin IP se le considera parte de la direccin de host. De esta forma, un
mtodo para determinar la mscara de subred para una direccin IP particular, podra ser el
siguiente:
1. Expresar la direccin IP en forma binaria.
2. Cambiar la porcin de red y subred de la direccin por todos unos.
3. Cambiar la porcin del host de la direccin por todos ceros.
4. Convertir la expresin en nmeros binarios nuevamente a la notacin decimal punteada.
Durante las ltimas dos dcadas, se desarrollaron numerosas extensiones al IPv4. Estas
extensiones se disearon especficamente para mejorar la eficiencia con la cual es posible utilizar
un espacio de direccionamiento de 32 bits. Dos de las ms importantes son las mscaras de
subred y el enrutamiento entre dominios sin clase (CIDR).
Mientras tanto, se ha definido y desarrollado una versin ms extensible y escalable del IP, la
Versin 6 del IP (IPv6). IPv6 utiliza 128 bits en lugar de los 32 bits que en la actualidad utiliza el
IPv4. IPv6 utiliza nmeros hexadecimales para representar los 128 bits. IPv6 proporciona 640
sextillones de direcciones. Esta versin del IP porporciona un nmero de direcciones suficientes
para futuras necesidades de comunicacin.
Despus de diez aos de planificacin y desarrollo, el IPv6 lentamente comienza a implementarse
en redes selectas. Con el tiempo, el IPv6 podr reemplazar el IPv4 como el protocolo de Internet
dominante.
Versin: Especifica el formato del encabezado de IP. Este campo de cuatro bits contiene el
nmero 4 si el encabezado es IPv4 o el nmero 6 si el encabezado es IPV6. Sin embargo
este campo no se usa para distinguir entre ambas versiones, para esto se usa el campo de
tipo que se encuentra en el encabezado de la trama de capa 2.
Longitud del encabezado IP (HLEN): Indica la longitud del encabezado del datagrama en
palabras de 32 bits. Este nmero representa la longitud total de toda la informacin del
encabezado, e incluye los dos campos de encabezados de longitud variable.
Tipo de servicio (TOS): Especifica el nivel de importancia que le ha sido asignado por un
protocolo de capa superior en particular, 8 bits.
Longitud total: Especifica la longitud total de todo el paquete en bytes, incluyendo los
datos y el encabezado, 16 bits. Para calcular la longitud de la carga de datos reste HLEN a la
longitud total.
Identificacin: Contiene un nmero entero que identifica el datagrama actual, 16 bits. Este
es el nmero de secuencia.
Sealadores: Un campo de tres bits en el que los dos bits de menor peso controlan la
fragmentacin. Un bit especifica si el paquete puede fragmentarse, y el otro especifica si el
Tiempo de existencia (TTL): campo que especifica el nmero de saltos que un paquete
puede recorrer. Este nmero disminuye por uno cuando el paquete pasa por un Router.
Cuando el contador llega a cero el paquete se elimina. Esto evita que los paquetes entren
en un loop (bucle) interminable.
Protocolo: indica cul es el protocolo de capa superior, por ejemplo, TCP o UDP, que recibe
el paquete entrante luego de que se ha completado el procesamiento IP, ocho bits.
Checksum del encabezado: ayuda a garantizar la integridad del encabezado IP, 16 bits.
Opciones: permite que IP admita varias opciones, como seguridad, longitud variable.
Relleno: se agregan ceros adicionales a este campo para garantizar que el encabezado IP
siempre sea un mltiplo de 32 bits
Datos: contiene informacin de capa superior, longitud variable hasta un de mximo 64 Kb.
Los Routers deben mantener tablas de enrutamiento y asegurarse de que otros Routers
conozcan las modificaciones a la topologa de la red. Esta funcin se lleva a cabo utilizando
un protocolo de enrutamiento para comunicar la informacin de la red a otros Routers.
Cuando los paquetes llegan a una interfaz, el Router debe utilizar la tabla de enrutamiento
para establecer el destino. El Router enva los paquetes a la interfaz apropiada, agrega la
informacin de entramado necesaria para esa interfaz, y luego transmite la trama.
Un Router es un dispositivo de la capa de red que usa una o ms mtricas de enrutamiento para
determinar cul es la ruta ptima a travs de la cual se debe enviar el trfico de red. Las mtricas
de enrutamiento son valores que se utilizan para determinar las ventajas de una ruta sobre otra.
Los protocolos de enrutamiento utilizan varias combinaciones de mtricas para determinar la
mejor ruta para los datos. Los Routers interconectan segmentos de red o redes enteras. Pasan
tramas de datos entre redes basndose en la informacin de Capa 3. Los Routers toman
decisiones lgicas con respecto a cul es la mejor ruta para la entrega de datos. Luego dirigen los
paquetes al puerto de salida adecuado para que sean encapsulado para la transmisin. Los pasos
del proceso de encapsulamiento y desencapsulamiento ocurren cada vez que un paquete atraviesa
un router. El router debe desencapsular la trama de capa 2 y examinar la direccin de capa 3. El
proceso completo del envo de datos de un dispositivo a otro comprende encapsulamiento y
desencapsulamiento de las siete capas OSI. Este proceso divide el flujo de datos en segmentos,
agrega los encabezados apropiados e informacin final y luego transmite los datos. El proceso de
desencapsulamiento es el proceso inverso: quita los encabezados e informacin final, y luego
combina los datos en un flujo continuo.
La determinacin de la ruta ocurre a nivel de la capa de red. La determinacin de la ruta permite
que un Router compare la direccin destino con las rutas disponibles en la tabla de enrutamiento,
y seleccione la mejor ruta. Los Routers conocen las rutas disponibles por medio del enrutamiento
esttico o dinmico. Las rutas configuradas de forma manual por el administrador de la red son las
rutas estticas. Las rutas aprendidas por medio de otros Routers usando un protocolo de
enrutamiento son las rutas dinmicas. El Router utiliza la determinacin de la ruta para decidir por
cul puerto debe enviar un paquete en su trayecto al destino. Este proceso se conoce como
enrutamiento del paquete. Cada Router que un paquete encuentra a lo largo del trayecto se
conoce como salto. El nmero de saltos es la distancia cubierta. La determinacin de la ruta puede
compararse a una persona que conduce un automvil desde un lugar de la ciudad a otro. El
conductor tiene un mapa que muestra las calles que puede tomar para llegar a su destino, as
como el Router posee una tabla de enrutamiento. El conductor viaja desde una interseccin a otra
al igual que un paquete va de un Router a otro en cada salto. En cualquier interseccin el
conductor determinar su ruta al ir hacia la izquierda, la derecha, o avanzar derecho. Del mismo
modo, un Router decide por cul puerto de salida debe enviarse un paquete.
Las decisiones del conductor se ven influenciadas por mltiples factores como el trfico en la
calle, el lmite de velocidad, el nmero de carriles, si hay peaje o no, y si esa ruta se encuentra
cerrada o no con frecuencia. A veces es ms rpido tomar un recorrido ms largo por una calle
ms angosta y menos transitada que ir por una autopista con mucho trnsito. De la misma forma,
los Routers pueden tomar decisiones basndose en la carga, el ancho de banda, el retardo, el
costo y la confiabilidad en los enlaces de red.
Se utiliza el siguiente proceso durante la
determinacin de la ruta para cada paquete que se enruta:
El router compara la direccin IP del paquete recibido contra las tablas que tiene.
Si hay concordancia, el paquete se enva al puerto que est asociado con la entrada de la
tabla.
Si se envi una ruta por defecto, el paquete se enva al puerto asociado. Una ruta por
defecto es aquella que est configurada por el administrador de la red como la ruta que
debe usarse si no existe concordancia con las entradas de la tabla de enrutamiento.
El paquete se elimina si no hay una ruta por defecto. Por lo general se enva un mensaje al
dispositivo emisor que indica que no se alcanz el destino.
Definir el formato y uso de los campos dentro de un paquete. El Protocolo Internet (IP) y el
intercambio de paquetes de internetworking (IPX) de Novell son ejemplos de protocolos
enrutados. Otros ejemplos son DECnet, AppleTalk, Banyan VINES y Xerox Network Systems
(XNS).
Los Routers utilizan los protocolos de enrutamiento para intercambiar las tablas de enrutamiento
y compartir la informacin de enrutamiento. En otras palabras, los protocolos de enrutamiento
permiten enrutar protocolos enrutados.
Las funciones de un protocolo de enrutamiento incluyen lo siguiente:
Permitir que los Routers se comuniquen con otros Routers para actualizar y mantener las
tablas de enrutamiento. Los ejemplos de protocolos de enrutamiento que admiten el
protocolo enrutado IP incluyen el Protocolo de informacin de enrutamiento (RIP) y el
Protocolo de enrutamiento de Gateway interior (IGRP), el Protocolo primero de la ruta libre
ms corta (OSPF), el Protocolo de Gateway fronterizo (BGP), el IGRP mejorado (EIGRP).
La manera en que los computadores intercambian un mensaje dentro del contexto de una
actividad en particular
Un protocolo enrutado permite que un Router enve datos entre nodos de diferentes redes. Para
que un protocolo sea enrutable, debe admitir la capacidad de asignar a cada dispositivo individual
un nmero de red y uno de Host. Algunos protocolos como los IPX, requieren slo de un nmero
de red porque estos protocolos utilizan la direccin MAC del Host como nmero de Host. Otros
protocolos, como el IP, requieren una direccin completa que especifique la porcin de red y la
porcin de Host. Estos protocolos tambin necesitan una mscara de red para diferenciar estos
dos nmeros. La direccin de red se obtiene al realizar la operacin "AND" con la direccin y la
mscara de red. La razn por la que se utiliza una mscara de red es para permitir que grupos de
direcciones IP secuenciales sean considerados como una sola unidad. Si no se pudiera agrupar,
cada Host tendra que mapearse de forma individual para realizar el enrutamiento.
El Protocolo Internet (IP) es la implementacin ms popular de un esquema de direccionamiento
realizadas. Estos registros se mantienen en cada host por un perodo de tiempo determinado y
luego se borran. Las comunicaciones entre dos segmentos de LAN tienen una tarea extra. Tanto las
direcciones IP como las MAC son necesarias para el dispositivo de enrutamiento intermedio y el
host destino. TCP/IP tiene una variante en ARP llamada ARP proxy que proporciona la direccin
MAC de un dispositivo intermedio para realizar la transmisin a otro segmento de la red fuera de
la LAN.
Hardware Size: Indica la longitud del tipo de trama sealado en el campo Hardware Type,
para el caso de Ethernet es de 6 bytes o 48 bits.
Protocol Size: Indica la longitud del tipo de protocolo de capa 3 sealado en el campo
Protocol Type, para el caso de IP es de 4 bytes o 32 bits.
2.10.5 RARP
El Protocolo de resolucin inversa de direcciones (RARP) asocia las direcciones MAC conocidas a
direcciones IP. Esta asociacin permite que los dispositivos de red encapsulen los datos antes de
enviarlos a la red. Es posible que un dispositivo de red, como por ejemplo una estacin de trabajo
sin disco, conozca su direccin MAC pero no su direccin IP. RARP permite que el dispositivo
realice una peticin para conocer su direccin IP. Los dispositivos que usan RARP requieren que
haya un servidor RARP en la red para responder a las peticiones RARP. Considere el caso en que
un dispositivo origen desee enviar datos al dispositivo madre. En este ejemplo, el dispositivo
fuente conoce su propia direccin MAC pero es incapaz de ubicar su propia direccin IP en la tabla
ARP. El dispositivio origen debe incluir tanto su direccin MAC como su direccin IP para que el
dispositivo destino retire los datos, los pase a las capas superiores del modelo OSI y responda al
dispositivo transmisor. De esta manera, el origen inicia un proceso denominado peticin RARP.
Esta peticin ayuda al dispositivo origen a detectar su propia direccin IP. Las peticiones RARP se
envan en broadcast a la LAN y el servidor RARP que por lo general es un Router responde. RARP
utiliza el mismo formato de paquete que ARP. Sin embargo, en una peticin RARP, los encabezados
MAC y el "cdigo de operacin" son diferentes a los de una peticin ARP. El formato de paquete
RARP contiene lugares para las direcciones MAC tanto de los dispositivos de origen como de los de
destino. El campo de direccin IP origen est vaco. El broadcast se dirige a todos los dispositivos
de la red. Por lo tanto, la direccin MAC destino deber ser: FF:FF:FF:FF:FF:FF. Las estaciones de
trabajo que admiten RARP tienen cdigos en ROM que los dirige a iniciar el proceso de RARP.
2.10.6 BOOTP
El protocolo bootstrap (BOOTP) opera en un entorno cliente-servidor y slo requiere el
intercambio de un solo paquete para obtener la informacin IP. Sin embargo, a diferencia del
RARP, los paquetes de BOOTP pueden incluir la direccin IP, as como la direccin de un Router, la
direccin de un servidor y la informacin especfica del fabricante. Un problema del BOOTP es que
no se dise para proporcionar la asignacin dinmica de las direcciones. Con el BOOTP, un
administrador de redes crea un archivo de configuracin que especifica los parmetros de cada
dispositivo. El administrador debe agregar hosts y mantener la base de datos del BOOTP. Aunque
las direcciones se asignan de forma dinmica, todava existe una relacin exacta entre el nmero
de direcciones IP y el nmero de hosts. Esto significa que para cada host de la red, debe haber un
perfil BOOTP con una asignacin de direccin IP en l. Dos perfiles nunca pueden tener la misma
direccin IP. Es posible que estos perfiles se utilicen al mismo tiempo y esto quiere decir que dos
hosts tendran la misma direccin IP. Un dispositivo utiliza el BOOTP para obtener una direccin IP
cuando se inicializa. El BOOTP utiliza UDP para transportar los mensajes. El mensaje UDP se
encapsula en un paquete IP. Un computador utiliza el BOOTP para enviar un paquete IP de
broadcast a la direccin IP destino de todos unos, o sea, 255.255.255.255 en anotacin decimal
punteada. El servidor del BOOTP recibe el broadcast y responde en forma de broadcast. El cliente
recibe una trama y verifica la direccin MAC. Si el cliente encuentra su propia direccin MAC en el
campo de direccin destino y un broadcast en el campo IP destino, toma la direccin IP y la guarda
junto con la otra informacin proporcionada por el mensaje BOOTP de respuesta.
2.10.7 ICMP
IP utiliza un mtodo de entrega de paquetes no confiable conocido como mecanismo de entrega
con el mejor esfuerzo. Esto significa que IP no incluye procesos para asegurar que los datos
enviados sean entregados al destino en los casos que ocurran problemas en la red, los paquetes
que se pierden, simplemente se pierden. Si un dispositivo intermedio como un router falla, o si el
dispositivo destino est desconectado de la red, los paquetes de datos no se podrn entregar y el
protocolo IP no tiene implementado ningn mecanismo que le permita notificar al origen que la
transmisin ha fallado. El protocolo de mensajes de control de Internet (ICMP) es el componente
de la pila de protocolos TCP/IP que se ocupa de estas limitaciones de IP. Es importante tener en
cuenta que ICMP no hace que el protocolo IP sea confiable, la confiabilidad debe ser provista por
las capas superiores en el caso que sean necesarias.
ICMP se ocupa bsicamente de informar errores y sucesos para IP. Cuando ocurre un error en la
entrega de un datagrama, ICMP es usado para reportar ese error al origen del datagrama. Por
ejemplo, si la estacin 1 de la figura enva un datagrama a la estacin 2 pero la interfaz Ethernet
del router B no est disponible, el router utiliza ICMP para enviarle un mensaje a la estacin 1 (y
slo a la estacin 1) indicando que el datagrama no puede ser entregado. Note que ICMP no
soluciona los errores encontrados, simplemente los informa.
ICMP echo. Como hemos visto anteriormente, el uso de trco ICMP de tipo echo permite
la exploracin de sistemas activos. As, con esta exploracin se pretende identicar los
equipos existentes dentro de la red que se quiere explorar, normalmente accesibles desde
internet. El campo TTL, utilizado en este intercambio de paquetes echode ICMP, suele ser
inicializado de forma distinta segn el sistema operativo que haya detrs del equipo.
Por otra parte, cuando se enva un paquete ICMP echo-request hacia la direccin de
difusin (broadcast), se consigue que con un nico paquete enviado todos los equipos
respondan con un paquete ICMP de tipo echo-reply.
Esta caracterstica no es propia de todos los sistemas operativos. As, por ejemplo, puede
estar presente en algunas variantes de sistemas operativos Unix, mientras que los sistemas
operativos de Microsoft no responden a este tipo de paquetes.
Estas dos informaciones, el nmero de TTL inicial y la respuesta a un ping enviado por
difusin, podra ser de utilizado como una primera huella identicativa de los sistemas de
la red.
El objetivo de TCP es proveer circuitos virtuales confiables entre los extremos de la comunicacin.
Para brindar estos servicios utiliza diferentes tcnicas que estudiaremos a continuacin.
TCP es un protocolo orientado a la conexin. Los protocolos orientados a la conexin, deben
realizar una conexin entre el emisor y el receptor antes de transmitir informacin. Un extremo
debe iniciar la conexin (generalmente el cliente), y el otro extremo debe aceptarla (generalmente
el servidor).
La conexin se divide en tres fases:
1. Establecimiento de la conexin
2. Transferencia de datos
3. Finalizacin de la conexin
Algunos protocolos que utilizan TCP para garantizar una comunicacin confiable entre las
entidades cliente y el servidor son los siguientes:
Telnet
FTP
HTTP
Reservado: No utilizado.
Bits de Cdigo: Banderas (flags) para indicar el tipo de segmento (ver detalle ms abajo).
Ventana: Cantidad de octetos que el emisor est preparado para recibir simultneamente.
Marcador Urgente: Indica la posicin final de los datos que deben ser procesados sin
respetar la secuencia en el flujo.
Opciones: Diferentes opcionales, como por ejemplo, el tamao mximo de segmento TCP.
Los bits de cdigo son un componente esencial del segmento TCP, dado que definen el tipo de
segmento. Comprenden 6 bits, cada bit corresponde a una bandera:
P (PSH): Funcin PUSH, para indicar al TCP que entregue los datos de este mensaje de
inmediato al proceso de la capa superior.
R (RST): Indica al TCP que debe restablecer el circuito virtual, a causa de un error no
recuperable.
F (FIN): Indica al TCP que debe finalizar la conexin, probablemente porque la aplicacin no
tiene ms datos para enviar.
2.11.4 Puertos
Entre dos estaciones de trabajo puede existir ms de una conexin TCP. Supongamos que desde
nuestra estacin de trabajo accedemos a un servidor web para visualizar una pgina y,
simultneamente transferimos un archivo hacia el mismo servidor. Para cada una de estas tareas,
se establece una conexin TCP diferente. Para indicarle al servidor que solicitamos una conexin
para transferir un archivo, o para visualizar una pgina, se utilizan los Puertos.
Los puertos (ports) tienen como objetivo identificar las diferentes aplicaciones. El puerto es un
nmero (entre 1 y 65535) que identifica la aplicacin que est transfiriendo informacin . Para
cada segmento TCP que se enva, se especifica un puerto origen (aplicacin transmisora) y un
puerto destino (aplicacin receptora) .
Los nmeros de puerto se pueden dividir en los siguientes intervalos:
Puertos inferiores a 255: asignados a aplicaciones pblicas, llamados puertos "bien
conocidos" (well known)
Puertos entre 255 y 1023: asignados a empresas para aplicaciones comercializables.
Puertos superiores a 1023: no estn regulados.
Cuando un cliente quiere conectarse a un servidor enva un segmento indicando, el puerto destino
(generalmente un puerto bien conocido) asociado a la aplicacin requerida y el puerto origen,
generalmente asociado a un nmero mayor a 1023.
TCP SYN scan. Enviando nicamente paquetes de inicio de conexin (SYN) por cada uno de
los puertos que se quieren analizar se puede determinar si estos estn abiertos o no.
Recibir como respuesta un paquete RST-ACK signica que no existe ningn servicio que
escuche por este puerto.
Por el contrario, si se recibe un paquete SYN-ACK, podemos armar la existencia de un
servicio asociado a dicho puerto TCP. En este caso, se enviar un paquete RST-ACK para no
establecer conexin y no ser registrados por el sistema objetivo, a diferencia del caso
anterior (TCP connect scan).
TCP FIN scan. Al enviar un paquete FIN a un puerto, deberamos recibir un paquete de
reset (RST) si dicho puerto est cerrado. Esta tcnica se aplica principalmente sobre
implementaciones de pilas TCP/IP de sistemas Unix.
TCP Xmas Tree scan. Esta tcnica es muy similar a la anterior, y tambin se obtiene como
resultado un paquete de reset si el puerto est cerrado. En este caso se envan paquetes
FIN, URG y PUSH.
TCP Null scan. En el caso de poner a cero todos los indicadores de la cabecera TCP, la
exploracin debera recibir como resultado un paquete de reset en los puertos no activos.
La mayor parte de aplicaciones para realizar exploracin de puertos TCP suelen ser ruidosas, es
decir, no intentan esconder lo que se est analizando en la red. Esto suele ser as porque se
presume que o bien nadie est revisando la actividad de exploracin o que, utilizando un equipo
comprometido, nadie podr descubrir el equipo desde el que realmente se realiza la exploracin
de puertos.
Al proveer recuperacin ante fallas, los protocolos superiores que se apoyan en TCP pueden omitir
este control, dado que tienen la certeza que todos los datos que pasen a TCP, sern transmitidos y
recibidos en forma ordenada y sin prdidas.
El mtodo de correccin de errores que implementa TCP se basa en la retransmisin de los
segmentos daados o perdidos, para realizar esta tarea debe controlar los nmeros de secuencia y
acuses de recibo. En la fase de transferencia de datos, cada segmento que se enva viaja con un
nmero de secuencia, que corresponde a la porcin del mensaje que se est transfiriendo .
Cuando se enva el acuse de recibo, se referencia el nmero de secuencia que se est esperando
recibir, es decir, se informa al otro extremo los segmentos que se han recibido correctamente y
desde qu punto del mensaje tiene que continuar la transmisin. A esto se le llama acuse de
recibo de expectativa, porque se informa lo que se est esperando recibir .
Si se pierde un mensaje en trnsito, o es descartado por el receptor por un error de transmisin,
el receptor no enva el acuse de recibo correspondiente. Pasado cierto tiempo en que el emisor no
recibe el acuse, procede a reenviar segmentos a partir del ltimo byte para el cual ha recibido un
acuse de recibo . Si por algn motivo se pierde el acuse de recibo, el emisor considerar que el
segmento no ha llegado al destino y tambin lo retransmitir .
2.11.9 Sockets
Los sockets son interfaces utilizadas por los sistemas operativos para brindar acceso a los
No orientado a la conexin
No aporta confiabilidad
SNMP
DNS
TFTP
Longitud del mensaje: Indica el nmero de bytes incluyendo el encabezado y los datos
Checksum: Suma de comprobacin para verificar la integridad del los datos, el encabezado
UDP y un pseudoencabezado IP que genera para asegurar principalmente el destino y tipo
de protocolo correcto.
que existe un sistema cortafuegos entre su equipo y el objetivo. Para confirmar esta ltima
posibilidad, se puede enviar un datagrama UDP al puerto cero. Esto tendra que generar una
respuesta ICMP de puerto no alcanzable. No recibir esta respuesta significa que existe un
dispositivo que filtra el trco.
La aplicacin por excelencia para realizar exploracin de puertos es Nmap (Network Mapper). Esta
herramienta implementa la gran mayora de tcnicas conocidas para exploracin de puertos y
permite descubrir informacin de los servicios y sistemas encontrados. Nmap tambin
implementa un gran nmero de tcnicas de reconocimiento de huellas identicativas, como las
que hemos visto anteriormente. Nmap, junto con Nessus, son dos de las herramientas ms
frecuentemente utilizadas tanto por administradores de redes como por posibles atacantes,
puesto que ofrecen la mayor parte de los datos necesarios para estudiar el comportamiento de un
sistema o red que se quiere atacar.
2.13 VLANs
Una Red de rea Local Virtual (VLAN) es una agrupacin lgica de dispositivos o estaciones,
independientemente de su ubicacin fsica. No necesariamente estos dispositivos o estaciones
estarn conectados al mismo switch, ni todos los enlaces de un switch formarn parte de esta
agrupacin.
Anteriormente vimos que los switches conforman un slo dominio de broadcast entre todos sus
puertos. Esto no se cumple cuando tenemos VLANs: cada VLAN es un dominio de broadcast
diferente. Los dispositivos o usuarios de una VLAN se pueden agrupar por funciones,
departamentos, aplicaciones, etc., sin importar la ubicacin fsica de su segmento.
La configuracin de las VLANs se realiza en los switches en forma esttica o dinmica, en el primer
caso el administrador define los puertos de cada switch que pertenecern a cada VLAN, en el
segundo caso los puertos se asignan automticamente a las VLANs conforme a la direccin MAC o
IP de cada estacin. Sin embargo las VLANs no necesariamente se encuentran en un slo switch,
sino que se pueden crear VLANs distribuidas a lo largo de varios switches. Esto se logra
interconectando los switches mediante enlaces VLAN Trunking, estos enlaces transportan la
informacin de todas las VLANs entre los distintos switches.
Cuando se utilizan VLANs distribuidas, los enlaces de trunk deben transportar las tramas de todas
las VLANs para luego ser distribuidas en los puertos que correspondan de cada switch. Cada trama
debe llevar una identificacin de la VLAN a la que corresponde. A esto se le llama "etiquetado de
trama". Existen dos protocolos difundidos para realizar el etiquetado de tramas: ISL (Inter Switch
Link) protocolo propietario de Cisco, y 802.1q, que es un estndar abierto definido por la IEEE.
Como cada VLAN implica un direccionamiento de red diferente, la comunicacin entre VLANs se
debe llevar a cabo a travs de dispositivos de capa 3 (Routers).
forma, las WLANs redefinen la forma en la cual la industria contempla las LANs. Conectividad ya
no significa conexin fsica. Las reas locales ya no se miden en pies ni en metros, sino en millas o
kilmetros. Una infraestructura no necesita estar enterrada u oculta detrs de los muros, sino que
puede desplazarse y cambiar segn las necesidades de una organizacin.
Una WLAN, al igual que una LAN, requiere un medio fsico a travs del cual pasan las seales de
transmisin. En lugar de utilizar par trenzado o cable de fibra ptica, las WLANs utilizan luz
infrarroja (IR) o frecuencias de radio (RFs). El uso de la RF es mucho ms popular debido a su
mayor alcance, mayor ancho de banda y ms amplia cobertura. Las WLANs utilizan las bandas de
frecuencia de 2,4 gigahertz (GHz) y de 5 GHz. Estas porciones del espectro de RF estn reservadas
en la mayor parte del mundo para dispositivos sin licencia. El networking inalmbrico proporciona
la libertad y la flexibilidad para operar dentro de edificios y entre edificios.
Los sistemas inalmbricos no carecen completamente de cables. Los dispositivos inalmbricos son
slo una parte de la LAN cableada tradicional. Estos sistemas inalmbricos, diseados y
construidos utilizando microprocesadores y circuitos digitales estndar, se conectan a sistemas
LAN cableados tradicionales. Adems, los dispositivos inalmbricos deben recibir alimentacin
que les proporcionen energa para codificar, decodificar, comprimir, descomprimir, transmitir y
recibir seales inalmbricas. Los dispositivos WLAN de primera generacin, con sus bajas
velocidades y falta de estndares, no fueron populares. Los sistemas estandarizados modernos
pueden ahora transferir datos a velocidades aceptables. El comit IEEE 802.11 y la Alianza Wi-Fi
han trabajado diligentemente para hacer al equipo inalmbrico estandarizado e interoperable. La
tecnologa inalmbrica soportar ahora las tasas de datos y la interoperabilidad necesarias para la
operacin de la LAN. Adems, el costo de los nuevos dispositivos inalmbricos ha disminuido
mucho. Las WLANs son ahora una opcin econmicamente factible para la conectividad LAN. En la
mayora de los pases estos dispositivos no requieren licencia gubernamental.
2.14.1 Beneficios
Las LANs Ethernet cableadas actuales operan a velocidades de alrededor de 100 Mbps en la capa
de acceso, 1 Gbps en la capa de distribucin, y hasta 10 Gbps a nivel de la capa principal. La
mayora de las WLANs operan a una velocidad de 11 Mbps a 54 Mbps en la capa de acceso y no
tienen como objetivo operar en la capa de distribucin o en la capa principal. El costo de
implementar WLANs compite con el de las LANs cableadas. Por lo tanto, por qu instalar un
sistema que se encuentra en el extremo ms bajo de las capacidades de ancho de banda actuales?
Una razn es que en muchos entornos LAN pequeos, las velocidades ms lentas son adecuadas
para soportar las necesidades de las aplicaciones y del usuario. Con muchas oficinas conectadas
ahora a la Internet por medio de servicios de banda ancha como DSL o cable, las WLANs pueden
manejar las demandas de ancho de banda. Otra razn es que las WLANs permiten a los usuarios
movilizarse dentro de un rea definida con libertad y an as permanecer conectados. Durante las
reconfiguraciones de oficina, las WLANs no requieren un recableado ni sus costos asociados.
Las WLANs presentan numerosos beneficios para las oficinas hogareas, los negocios pequeos,
los negocios medianos, las redes de campus y las corporaciones ms grandes. Los entornos que es
probable que se beneficien de una WLAN tienen las siguientes caractersticas:
Se expanden rpidamente
Tres tipos de transmisin de radio dentro de las bandas de frecuencia de 2,4 GHz no
licenciadas:
2.14.2 Consideraciones
En las LANs inalmbricas, una direccin MAC equivale a una ubicacin fsica. Esto se da por
supuesto implcitamente en el diseo de LANs cableadas. En IEEE 802.11 una estacin tiene una
MAC asociada, pero no es, en general, una ubicacin fsica fija . Las capas fsicas utilizadas en
IEEE 802.11 son fundamentalmente diferentes de aqullas utilizadas en medios almbricos. Lo
siguiente es cierto respecto a los protocolos de capa fsica de IEEE 802.11:
Les falta una conectividad completa. Normalmente, se supone que cada estacin puede
escuchar a cada una de las otras estaciones. Esta suposicin es invlida en el caso de las
WLANs. Bajo ciertas circunstancias, algunas estaciones pueden estar "ocultas" entre s.
A causa de las limitaciones de la capa fsica inalmbrica, las WLANs que necesitan cubrir distancias
geogrficas razonables deben construirse a partir de bloques de construccin de una cobertura
bsica.
Uno de los requisitos de IEEE 802.11 es manipular estaciones tanto mviles como porttiles. Una
estacin porttil se desplaza de ubicacin a ubicacin, pero slo se utiliza mientras se encuentra
en una ubicacin fija. Las estaciones mviles en realidad acceden a la LAN mientras se encuentran
en movimiento. Otro aspecto de las estaciones mviles es que a menudo reciben alimentacin
proveniente de bateras. De ah que la administracin de energa sea una consideracin
importante. Por ejemplo, no puede presuponerse que el receptor de una estacin siempre estar
encendido.
Las WLANs son slo uno de los usos del espectro de frecuencia de radio (RF).
Otros requisitos estn evolucionando a medida que las tecnologas WLAN obtienen popularidad:
Seguridad Es esencial para encriptar los paquetes de datos transmitidos por va area.
Para instalaciones ms grandes, se requieren tambin una autenticacin centralizada del
usuario y una administracin centralizada de claves de cifrado.
Costo Los clientes esperan reducciones continuas en el precio de un 15 a un 30 por
ciento cada ao, e incrementos en desempeo y seguridad. Los clientes estn preocupados
no slo por el precio de adquisin sino por el costo total propietario (TCO), incluyendo los
costos de instalacin.
La mayora de los fabricantes desean que sus clientes utilicen sus APs y NICs de manera exclusiva.
Ofrecen cierto grado de capacidad reducida si existe la necesidad de combinar y hacer coincidir
diferentes marcas de APs y NICs. En la mayora de los casos los problemas son mayormente
cosmticos pero pueden resultar en un incremento de llamadas al escritorio de ayuda. Hasta el
lanzamiento de la siguiente generacin, el administrador del sistema tiene que tomar una difcil
decisin, utilizar un sistema de un nico fabricante, con todos los NICs y APs provenientes de ese
fabricante, o arreglrselas sin las herramientas de administracin avanzadas que proporcionan las
soluciones de un nico fabricante.
conexiones de edificio a edificio all donde las distancias excedieran los lmites de una propiedad o
las limitaciones de cableado? La mayora de los negocios utilizan una conectividad WAN entre
sitios metropolitanos distantes. Algunos negocios utilizan microondas entre sitios distantes. En el
caso de los bridges LAN inalmbricos, los edificios que se encuentran a hasta 32 km (20 millas) de
distancia pueden conectarse a velocidades de hasta 11 Mbps.
En general, cuanto mayor es la distancia entre edificios, ms alto es el costo de la instalacin LAN
inalmbrica. Las antenas estndar rubber ducky no sern adecuadas. Se requieren torres y
antenas de elevada ganancia. Las torres pueden resultar costosas, dependiendo de la altura y los
requisitos de la construccin. El costo inicial puede recuperarse dentro del primer ao. Se generan
ganancias provenientes de un incremento en la productividad utilizando ms elevado ancho de
banda y tarifas de lneas arrendadas mensuales discontinuas.
Los bridges inalmbricos Cisco ofrecen muchas ventajas sobre conexiones alternativas ms
costosas. Por ejemplo, una lnea T-I cuesta en general aproximadamente 400 a 1000 dlares
estadounidenses por mes. Para un sitio con cuatro edificios, eso significara alrededor de 15.000 a
36.000 dlares estadounidenses al ao. Con un sistema inalmbrico, la recuperacin de los costos
de hardware podra tener lugar realmente en menos de un ao.
Si una lnea T-I no est disponible o los edificios estn ubicados en la misma propiedad, podra
colocarse un cable subterrneo. No obstante, la introduccin en la tierra puede costar ms de 100
dlares estadounidenses por cada 0,3 m (1 pie), dependiendo de la tarea. Para conectar tres
edificios ubicados a 305 m (1000 pies) separados entre s, el costo podra exceder los 200.000
dlares estadounidenses.
Las microondas son una solucin posible. En el caso de las microondas se requiere usualmente un
permiso del gobierno. En Estados Unidos, ste se obtiene de la Comisin Federal de
Comunicaciones (FCC). Este permiso sirve como proceso de registro que permite al dueo del
permiso tomar acciones legales contra aqullos que interfieran. El costo del equipamiento es en
general de ms de 10.000 dlares estadounidenses por sitio, lo cual no incluye el costo de los
elementos de instalacin. El desempeo puede verse severamente degradado en el caso de niebla
espesa, lluvia o nieve. Las microondas tambin tienden a ser punto a punto. Las conexiones
multipunto usualmente no son posibles. Independientemente de si son cableadas o inalmbricas,
las redes modernas deben poder manipular un ancho de banda ms elevado, ms aplicaciones y
una mayor movilidad. Se requieren combinaciones de tecnologas cableadas e inalmbricas para
proporcionar las soluciones. El diseador de redes es responsable de proporcionar el diseo ms
eficaz en materia de costos y la solucin que cumpla con o exceda las necesidades de la
organizacin. El diseo, la preparacin y el sondeo del sitio se tratarn en detalle posteriormente
en el curso. Debe completarse un sondeo del sitio antes de tomar las decisiones de
implementacin. Por ejemplo, los planes iniciales pueden incluir una solucin inalmbrica, pero el
sondeo del sitio podra indicar que la tecnologa inalmbrica sera ineficaz. Inversamente, una
solucin cableada puede planificarse inicialmente y el sondeo final puede probar que la solucin
inalmbrica resultaba una mejor opcin.
paquetes, para que al menos tengan el mismo nivel que la Ethernet cableada. El uso de protocolos
TCP/IP ayudar a proteger la red contra cualquier prdida o corrupcin de datos en el aire. La
mayora de los sistemas de WLAN utilizan una tecnologa de espectro expandido o multiplexado
por divisin de frecuencia ortogonal (OFDM).
Los dos tipos de radio de espectro expandido son secuencia directa (DSSS) y salto de frecuencia
(FHSS). Se basan en la idea de que una seal que se expande ampliamente o que se mueve
rpidamente de canal a canal ser difcil de detectar y de interferir con ella. DSSS genera un
patrn de bits redundante denominado chip o cdigo de chipping, para cada bit a transmitir. FHSS
utiliza una portadora de banda angosta que cambia la frecuencia en un patrn conocido tanto por
el transmisor como por el receptor. Si todo se mantiene apropiadamente sincronizado, esto crea
un nico canal lgico, incluso aunque la frecuencia cambie constantemente. Las primeras
implementaciones de 802.11 utilizaban FHSS, no obstante 802.11b estandariz DSSS.
Actualmente los estndares 802.11a y 802.11g, que operan en hasta 54 Mbps, utilizan OFDM en
lugar de DSSS. OFDM limita la diafona o la interferencia de los canales de transmisin. OFDM se
utiliza en servicios de emisin de audio digital europeos. En comparacin con DSSS, OFDM
permite ms velocidad. OFDM no pierde distancia. De hecho, facilita la capacidad para lograr
distancias ms largas. OFDM s requiere ms potencia de procesamiento en la radio.
Adems de cuidar de que coincidan las tecnologas de transmisin, los administradores de redes
inalmbricas deben tener en cuenta que los problemas de conexin tambin pueden existir en
entornos cambiantes donde hay obstculos que pueden bloquear, reflejar o dificultar el paso de
las seales. La eleccin y ubicacin del montaje de la antena debe considerarse cuidadosamente al
disear WLANs para evitar una futura interferencia. La conexin usualmente no se perder incluso
aunque el ancho de banda disponible caiga hasta niveles muy bajos. La falta de un ancho de banda
garantizado es de particular inters para muchas compaas.
2.14.5 Componentes
Estaciones: Las estaciones de trabajo deben poseer un adaptador inalmbrico para poder
conectarse a una red IEEE 802.11. En general, los adaptadores clientes ya vienen incorporados en
la mayora de las notebooks actuales, e inclusive en algunas PDAs y celulares. A las PCs de
escritorio se les puede agregar un adaptador mediante una ranura de expansin (PCI, USB, etc.).
Al momento de seleccionar el adaptador, debe verificar que sea compatible con la tecnologa
utilizada en la red. Existen diferentes substandards de la norma IEEE 802.11, y algunos de ellos no
son compatibles entre s.
Access Points (AP) Los Access Points cumplen un rol de concentradores en las redes inalmbricas.
Este dispositivo gobierna las comunicaciones entre las estaciones. Su funcin es similar a la de un
hub dentro de una red cableada. Un Access Point contiene un transceptor de radio. Puede actuar
como punto central de una red inalmbrica autnoma o como punto de conexin entre redes
inalmbricas y cableadas. En grandes instalaciones, la funcionalidad de roaming proporcionada
por mltiples APs permite a los usuarios inalmbricos desplazarse libremente a travs de la
facilidad, a la vez que se mantiene un acceso sin interrupciones a la red.
Los APs vienen con funciones de tecnologa, seguridad y administracin variadas. Algunos APs son
de banda dual y soportan tecnologas tanto de 2,4 GHz como de 5 GHz, mientras que otros slo
soportan una nica banda. Algunos Access Point tienen firmware actualizable.
Estaciones inalmbricas (STA): Son dispositivos de usuario que cuentan con adaptadores que
realizan las funciones de las tarjetas de red Ethernet, adaptando las tramas Ethernet que genera el
dispositivo, a las tramas del estndar inalmbrico y viceversa, posibilitando la transmisin
transparente de la informacin. Estos adaptadores pueden estar integrados en el propio
dispositivo o, en caso contrario, tratarse de una tarjeta externa.
Bridges: Los bridges inalmbricos se usan generalmente para interconectar dos o ms redes LAN
cableadas. Los bridges se conectan entre ellos. Algunos bridges no permiten la conexin de
estaciones de trabajo (slo permiten conectarse con otro bridge). Se pueden utilizar para conectar
dos edificios, quizs se requiera el uso de antenas externas para expandir la cobertura del enlace
inalmbrico. Como el enlace se realiza en la capa de enlace de datos (Capa 2), es totalmente
transparente para las estaciones de trabajo que se encuentran en las redes cableadas. Ambas
redes forman parte del mismo segmento de capa 2.
Routers Los routers son dispositivos que implementan las funciones tradicionales de los routers,
con las de un Access Point. En general incluyen una o ms interfaces cableadas y una interface
inalmbrica a travs de un Access Point. Se utilizan mayormente para que un grupo de estaciones
cableadas e inalmbricas se conecten a Internet.
Los routers ms comunes incluyen una interface ethernet conectada mediante un puente a una
interface inalmbrica, similar a cualquier Access Point. Estas dos interfaces conforman un
segmento de capa 2, es decir, una red IP. Adems cuentan con una segunda interface ethernet que
se encuentra en otro segmento de capa 2. En general, esta interface se utiliza para conectar el
vnculo a Internet.
Antenas Todos los dispositivos o adaptadores inalmbricos cuentan con antenas para la
transmisin y recepcin de los datos. En algunos casos, estas antenas se encuentran embebidas en
el dispositivo, mientras que en otros casos son visibles y/o extrables. Estas antenas son conocidas
como Rubber duck y ofrecen una cobertura limitada de la seal.
Una variedad de antenas opcionales de 2,4 GHz estn disponibles para APs y bridges, que pueden
utilizarse para reemplazar la antena estndar rubber ducky. Las antenas debern escogerse
cuidadosamente para asegurar la obtencin de un rango y cobertura ptimos.
Cada antena tiene diferentes capacidades de ganancia y rango, amplitudes de rayo, cobertura y
factores de forma. El acoplamiento de la antena correcta con el AP correcto permite una
cobertura eficiente en cualquier instalacin, as como una mejor confiabilidad a velocidades de
datos ms altas. Una cobertura detallada de las antenas se proporcionar posteriormente en el
curso.
Los posibles modos de funcionamiento de los dispositivos de una red WLAN son los siguientes:
La mayor parte de las estaciones inalmbricas pueden funcionar en estos dos modos.
Adicionalmente existen otros modos de funcionamiento no tan usuales en las estaciones
inalmbricas que se describen a continuacin:
Modo master: permite a la estacin inalmbrica actuar como un punto de acceso para dar
servicio y gestionar las conexiones de otros dispositivos.
Modo monitor: permite capturar paquetes sin asociarse a un punto de acceso inalmbrico
de una red WLAN en modo infraestructura o sin asociarse a una red ad-hoc, es decir,
permite monitorizar la red sin transmitir trfico a la misma (forma pasiva).
Modo promiscuo: tambin permite capturar los paquetes de la red, pero en este caso es
necesario estar asociado a la misma.
El modo monitor y el modo promiscuo son dos modos utilizados en ataques en redes WLAN
Sistema de distribucin (DS) Las limitaciones de la capa fsica determinan las distancias de
estacin a estacin que pueden soportarse. En el caso de algunas redes esta distancia es
suficiente. En el caso de otras, se requiere un incremento en la cobertura. En lugar de existir
independientemente, un BSS tambin puede formar un conjunto de servicios extendido (ESS). Un
ESS se construye a partir de mltiples BSSs, que se conectan a travs de APs. Los APs se conectan
a travs de un DS comn. El DS puede ser cableado o inalmbrico, LAN o WAN. Cuando el DS es
inalmbrico, se le llama WDS (Wireless Distribution System). El DS permite que existan
dispositivos mviles proporcionando los servicios necesarios para manipular el mapeo de una
direccin en movimiento y la integracin transparente de mltiples BSSs. Los datos se desplazan
entre un BSS y otro BSS a travs del DS.
Conjunto de servicios extendido (ESS) Un conjunto de servicios extendido (ESS) se define como
dos o ms BSSs conectados por medio de un DS comn. Esto permite la creacin de una red
inalmbrica de tamao y complejidad arbitrarios. Al igual que sucede con un BSS, todos los
paquetes de un ESS deben atravesar uno de los APs. Un concepto clave es que la red ESS se
comporta de la misma manera que una red IBSS o que una nica red BSS, es totalmente
transparente para las estaciones. Las estaciones que se encuentran dentro de un ESS pueden
comunicarse entre diferentes BSSs, y las estaciones mviles pueden desplazarse de un BSS a otro
(dentro del mismo ESS), sin que esto afecte su conectividad.
Roaming: es el proceso o capacidad de un cliente inalmbrico de desplazarse de una celda, o BSS,
a otra, sin perder conectividad con la red. Los access points se entregan el cliente entre s y son
invisibles al mismo. El estndar IEEE 802.11 no define cmo debera llevarse a cabo el roaming,
pero s define los bloques de construccin bsicos, que incluyen la bsqueda activa y pasiva y un
proceso de re-asociacin. La re-asociacin con el AP debe tener lugar cuando una estacin hace
roaming de un AP a otro.
2.14.7 Implicancias
Un desafo importante de las WLANs es la interferencia de las seales de radio. En diseos de rea
metropolitana de edificio a edificio, es posible tener interferencia de terceros, otras compaas
que utilizan tecnologa inalmbrica. En esta situacin, los administradores de la red deben
asegurarse de utilizar diferentes canales. La interferencia no puede detectarse hasta que el enlace
no se implemente realmente. Puesto que los estndares 802.11 utilizan un espectro sin licencia, la
mejor forma de evitar la interferencia es cambiar de canales. Muchos otros dispositivos, como los
telfonos porttiles, los hornos a microondas, los parlantes inalmbricos y los dispositivos de
seguridad, utilizan tambin estas frecuencias. La cantidad de interferencia mutua que ser
experimentada por estos dispositivos de networking y otros planificados no est clara. La
interferencia entre parlantes inalmbricos y otros dispositivos es comn hoy en da. A medida que
esta banda sin licencia se va poblando, es probable que aparezcan otros tipos de interferencia. Los
objetos fsicos y las estructuras de los edificios tambin crean diversos niveles de interferencia.
El estndar 802.11 se denomina oficialmente Estndar IEEE para especificaciones MAC y PHY de
WLAN. Define los protocolos por aire necesarios para soportar un networking inalmbrico en un
rea local. El servicio principal del estndar 802.11 es entregar Unidades MAC de Servicio de
Datos (MSDUs) entre dispositivos peer LLC en la capa de enlace de datos. En general, una placa de
radio, o NIC, y uno o ms access points proporcionan las funciones del estndar 802.11.
Las caractersticas de MAC y PHY para las redes de rea local inalmbricas (WLANs) estn
especificadas en 802.11, 802.11b, 802.11a, y 802.11g, entre otros estndares. La capa MAC de
este estndar est diseada para soportar unidades de capa fsica adicionales a medida que se
adoptan, dependiendo de la capacidad del espectro y de las nuevas tcnicas de modulacin.
Las redes inalmbricas tienen caractersticas fundamentales que las hacen significativamente
diferentes a las LANs cableadas tradicionales. Algunos pases imponen requisitos especficos para
el equipamiento de radio adems de aqullos especificados en el estndar 802.11.
En las LANs inalmbricas, una direccin MAC equivale a una ubicacin fsica. Esto se da por
supuesto implcitamente en el diseo de LANs cableadas. En IEEE 802.11, la unidad direccionable
es una estacin (STA). La STA es el destino de un mensaje, pero no es, en general, una ubicacin
fsica fija.
Las capas fsicas utilizadas en IEEE 802.11 son fundamentalmente diferentes de aqullas utilizadas
en medios almbricos. Lo siguiente es cierto respecto a los protocolos PHY IEEE 802.11:
Utilizan un medio que no tiene fronteras absolutas ni fcilmente observables, fuera de las
cuales las estaciones no podrn enviar ni recibir frames de red.
No estn protegidos de seales externas.
Se comunican a travs de un medio que es significativamente menos confiable que los
medios cableados.
Tienen topologas dinmicas.
Les falta una conectividad completa. Normalmente, se supone que cada STA puede
escuchar a cada una de las otras STAs. Esta suposicin es invlida en el caso de las WLANs.
Las STAs pueden estar "ocultas" entre s.
Tienen propiedades de propagacin variables en el tiempo y asimtricas.
A causa de las limitaciones de los rangos PHY inalmbricos, las WLANs que necesitan cubrir
distancias geogrficas razonables deben construirse a partir de bloques de construccin de una
cobertura bsica.
Uno de los requisitos de IEEE 802.11 es manipular estaciones tanto mviles como porttiles. Una
estacin porttil se desplaza de ubicacin a ubicacin, pero slo se utiliza mientras se encuentra
en una ubicacin fija. Las estaciones mviles en realidad acceden a la LAN mientras se encuentran
en movimiento. No es suficiente para manipular slo estaciones porttiles, puesto que los efectos
de propagacin desdibujan la distincin entre estaciones porttiles y mviles. Las estaciones fijas
a menudo parecen ser mviles, debido a estos efectos de propagacin.
Otro aspecto de las estaciones mviles es que a menudo reciben alimentacin proveniente de
bateras. De ah que la administracin de energa sea una consideracin importante. Por ejemplo,
Modulacin por Desplazamiento de Fase Bivalente (BPSK): se utiliza para transmitir datos a
1 Mbps.
La distribucin del ancho de banda se puede pensar como anillos concntricos cuyo centro es el
access point. En la medida que una estacin se aleja del centro, se conectar a un ancho de banda
menor.
IEEE.11a: La norma IEEE 802.11a fue la primer norma de alta velocidad, ofreciendo un ancho de
banda de 54Mbps. Esta norma trabaja en el rango de frecuencias de 5GHz. Se decidi cambiar de
frecuencia para lograr un mayor ancho de banda y para evitar interferencias con las redes IEEE
802.11b existentes. Como gran desventaja, al usar una frecuencia superior, las redes 802.11a
tienen una cobertura menor, debido a que la seal sufre una mayor atenuacin al traspasar
cada antena MIMO lo cual incrementa el costo de implantacin comparado con sistemas sin
MIMO.
Channel Bonding, tambin conocido como 40Mhz o unin de interfaces de red, es la segunda
tecnologa incorporada al estndar 802.11n la cual puede utilizar dos canales separados, que no se
solapen, para transmitir datos simultneamente. La unin de interfaces de red incrementa la
cantidad de datos que pueden ser transmitidos. Se utilizan dos bandas adyacentes de 20Mhz cada
una, por eso el nombre de 40Mhz. Esto permite doblar la velocidad de la capa fsica disponible en
un solo canal de 20Mhz. (Aunque el desempeo del lado del usuario no ser doblado.)
Utilizar conjuntamente una arquitectura MIMO con canales de mayor ancho de banda ofrece la
oportunidad de crear sistemas muy poderosos y rentables para incrementar la velocidad de
transmisin de la capa fsica.
Cuando el destino recibe el RTS, puede confirmar mediante un Preparado para transmitir
CTS (Clear To Send) o rechazar la transmisin con un mensaje de Ocupado RxBUSY.
transmitir.
Una vez que finaliz la transmisin, el receptor debe enviar una confirmacin de recepcin.
Si fue correcta, enva un Acuse positivo ACK (Acknowledgement) y finaliza el proceso. Si fue
errnea, enva un Acuse negativo NACK (Not Acknowledgement) y el emisor intentar
retransmitir la trama.
La performance real que se puede obtener en una red inalmbrica se encuentra muy por debajo
del ancho de banda que provee el enlace fsico. Diferentes factores afectan a la performance,
algunos de ellos podemos mejorarlos y otros son intrnsecos de la tecnologa utilizada.
Para conocer las limitaciones de la performance, debemos partir del anlisis del Mtodo de
Acceso al Medio que se utiliza (CSMA/CA). Este mtodo impide que dos o ms estaciones
transmitan simultneamente (porque llevara a una colisin), mediante la reserva del medio
previo a la transmisin (RTS). Esto significa que si una estacin quiere transmitir 1 trama de datos,
antes de lograr su transmisin efectiva, debe enviar un RTS y esperar a recibir un CTS. Y una vez
transmitido, quedar a la espera de la confirmacin ACK enviada por el destinatario. Todo este
proceso lleva a que la performance mxima que se puede lograr en una red 802.11 no ser
superior al 50% del ancho de banda del medio. Esto quiere decir que para una red 802.11g, donde
el ancho de banda del medio es de 54Mbps, nunca tendremos tasas de transferencia superiores a
27Mbps. Otro factor que afecta de manera directa al ancho de banda es la cantidad de estaciones
que existen en el BSS. Cuanto mayor sea el nmero de estaciones intentando transmitir, menor
ser la porcin de ancho de banda para cada una.
Otra consideracin a tener en cuenta es la existencia de repetidores. Cuando un AP no nos alcanza
para cubrir el radio necesario, y no tenemos alcance a travs de la infraestructura cableada,
podemos utilizar repetidores inalmbricos, formando una topologa.
Cuando existen dispositivos de diferente ancho de banda dentro de una red, como por ejemplo
dispositivos 802.11b y G asociados al mismo AP, existe una modificacin en el mtodo de
transmisin. Como se vio anteriormente, el ancho de banda mximo alcanzable en una red
802.11g ser de 27Mbps. Sin embargo, cuando existen dispositivos 802.11b, el AP debe asignar un
tiempo para darles la posibilidad de transmitir y que no queden en una espera infinita de
liberacin del canal. Para asignar este tiempo se agregan mecanismos de proteccin en la
transmisin de los RTS y CTS y se modifican algunos temporizadores de transmisin. Tomando
estas modificaciones, cuando un AP 802.11g tiene habilitada la compatibilidad con 802.11b,
tendr una performance mxima de 18Mbps. Y esto suponiendo que no existen clientes 802.11b
transmitiendo, slo por el hecho de ofrecer la compatibilidad es que la performance sufre este
impacto. Si agregamos dispositivos 802.11b, estos dispositivos tienen una performance mxima
de 6Mbps, mientras que un 802.11g tendr 18Mbps. Lo que significa que un 802.11B tardar tres
veces ms en transmitir que un 802.11G.
Cuando tenemos que cubrir grandes espacios con conectividad inalmbrica, debemos realizar una
planificacin en la asignacin de canales y la ubicacin de los APs, para aprovechar de la mejor
manera el ancho de banda disponible. Recordemos que en una red 802.11a existen 8 canales sin
solapamiento, mientras que en una red 802.11b/g existen slo 3. El objetivo de la planificacin de
APs y canales es evitar que exista un solapamiento entre las seales de dos dispositivos
adyacentes. Para esto debemos organizar una estructura de celdas, donde cada celda utiliza un
canal y sus celdas adyacentes utilizan canales no solapados.
seguido por un periodo de contencin. Adems, todas las transmisiones bajo la PCF pueden
utilizar el Espacio Interframe (IFS), que es ms pequeo que el utilizado para los frames
transmitidos por medio de la DCF. El uso de IFSs ms pequeos implica que el trfico coordinado
por punto tendr un acceso de prioridad al medio a travs de STAs que operan en modo DCF.
La capa MAC es slo la mitad de la operacin total de 802.11. El estndar de capa fsica (PHY) es la
otra mitad. La mayora de las definiciones de PHY contienen tres entidades funcionales, Diferentes
PHYs se definen como parte del estndar IEEE 802.11.
Procedimiento de convergencia de la capa fsica (PLCP): La funcin de convergencia de PHY
adapta las capacidades del sistema dependiente del medio fsico (PMD) para el servicio MAC. PLCP
define un mtodo para mapear las unidades de datos de protocolo de subcapa MAC (MPDUs) en
un formato de framing apto para su envo y recepcin entre dos o ms STAs utilizando el sistema
PMD asociado. El PHY intercambia unidades de datos de protocolo PHY (PPDUs) que contienen
una MPDU, ms informacin adicional acerca de encabezados para los transmisores y receptores
de la capa fsica. El PLCP tambin entrega frames entrantes desde el medio inalmbrico a la
subcapa MAC. El servicio de PHY es proporcionado a la entidad MAC de la STA a travs de un
access point de servicio (SAP), denominado SAP PHY.
Sistema dependiente del medio fsico (PMD): El sistema PMD define las caractersticas y mtodos
de transmisin y recepcin de datos a travs de un medio inalmbrico entre dos o ms STAs, cada
una de ellas utilizando el mismo sistema PHY. Tambin se definen conjuntos de primitivos, para
describir la interfaz entre el PLCP y la subcapa PMD. La interfaz se denomina SAP PMD.
La subcapa PMD acepta los primitivos del servicio de la subcapa PLCP y proporciona el medio
mediante el cual se transmiten o reciben realmente los datos provenientes del medio. El flujo de
datos, la informacin de temporizacin y los parmetros de la seal recibidos se entregan a la
subcapa PLCP. Una funcionalidad similar se proporciona para la transmisin de datos.
2.14.11 Ondas
El diccionario Webster define una onda como: una "perturbacin o variacin" que pasa a travs de
un medio. El medio a travs del cual viaja la onda puede experimentar algunas oscilaciones de
ndole local a medida que la onda pasa, pero las partculas del medio no viajan con la onda. La
perturbacin puede asumir cualquier cantidad de formas, desde un impulso de amplitud finito
hasta una onda sinusoidal infinitamente larga.
Una forma de onda es una representacin de cmo la corriente alterna (AC) vara con el tiempo.
La forma de onda AC familiar es la onda sinusoidal, que deriva su nombre del hecho de que la
corriente o voltaje vara segn la funcin sinusoidal matemtica del tiempo transcurrido. La onda
sinusoidal es nica por el hecho de que representa energa enteramente concentrada en una nica
frecuencia. Una seal inalmbrica ideal asume una forma de onda sinusoidal, con una frecuencia
usualmente medida en ciclos por segundo o Hertz (Hz). Un milln de ciclos por segundo est
representado por un megahertz (MHz). Un billn de ciclos por segundo est representado por un
gigahertz (GHz). Una onda sinusoidal tiene varias propiedades bsicas:
2.14.12 Watts
Para comprender qu es un watt, se debe considerar primero la energa. Una definicin de energa
es la capacidad para producir trabajo. Existen muchas formas de energa, incluyendo energa
elctrica, energa qumica, energa trmica, energa potencial gravitatoria, energa cintica y
energa acstica. La unidad mtrica de la energa es el Joule. La energa puede considerarse una
cantidad.
Un watt es la unidad bsica de potencia, y la potencia est relacionada con la energa. No
obstante, potencia es un ndice, y energa una cantidad. La frmula para la potencia es
P = DE / Dt
DE es la cantidad de energa transferida.
Dt es el intervalo temporal durante el cual se transfiere la energa.
Si un Joule de energa se transfiere en un segundo, esto representa un watt (W) de potencia. Un
watt se define como un ampre (A) de corriente por un volt (V).
El FCC de EE.UU. permite que se emita un mximo de cuatro watts de energa en las transmisiones
WLAN en la banda no licenciada de 2,4 GHz. En las WLANs, los niveles de energa son tan bajos
como un miliwatt (mW), o una milsima (1/1000) de watt, que pueden utilizarse en un rea
pequea. Los niveles de energa en un nico segmento de WLAN son raramente ms elevados que
100 mW, lo suficiente para comunicarse a una distancia de hasta tres cuartos de un kilmetro o
media milla bajo condiciones ptimas. Los access points en general tienen la capacidad para radiar
desde 30 a 100 mW, dependiendo del fabricante. Las aplicaciones para exteriores de edificio a
edificio son las nicas que utilizan niveles de potencia por encima de los 100 mW.
2.14.13 Decibeles
El decibel (dB) es una unidad que se utiliza para medir la potencia elctrica. Un dB es un dcimo
de un Bel, que es una unidad de sonido ms grande as denominada en homenaje a Alexander
Graham Bell. El dB se mide en una escala logartmica base 10.
La base se incrementa en diez veces diez por cada diez dB medidos. Esta escala permite a las
personas trabajar ms fcilmente con grandes nmeros. Una escala similar (la escala de Richter)
se utiliza para medir terremotos. Por ejemplo, un terremoto de magnitud 6.3 es diez veces ms
fuerte que un terremoto de 5.3.
Puesto que dB no tiene ninguna referencia definida en particular, el dBx, donde la x representa un
valor especfico, se utiliza a menudo en lugar del dB. Por ejemplo, el dBm hace referencia al
miliwatt. Puesto que el dBm tiene una referencia definida, tambin puede convertirse a watts, si
se lo desea. La ganancia o prdida de potencia en una seal se determina comparndola con este
punto de referencia fijo, el miliwatt. Existen varios trminos relacionados con los que uno debera
familiarizarse, para disear e instalar WLANs apropiadamente:
dB miliWatt (dBm) sta es la unidad de medida del nivel de potencia de una seal. Si
una persona recibe una seal de un miliwatt, esto representa una prdida de cero dBm. No
obstante, si una persona recibe una seal de 0,001 miliwatts, entonces tiene lugar una
prdida de 30 dBm. Esta prdida se representa de la forma -30 dBm. Para reducir la
interferencia con otras, los niveles de potencia de una WLAN 802.11b estn limitados por
los siguientes organismos:
36 dBm de EIRP segn el FCC
20 dBm de EIRP segn el ETSI
dB dipolo (dBd) Esto se refiere a la ganancia que tiene una antena, en comparacin con
la antena dipolo de la misma frecuencia. Una antena dipolo es la antena ms pequea y
menos prctica en cuanto a la ganancia que puede obtenerse.
dB isotrpico (dBi) Esto se refiere a la ganancia que tiene una determinada antena, en
comparacin con una antena isotrpica, o de origen puntual, terica. Desafortunadamente,
una antena isotrpica no puede existir en el mundo real, pero es til para calcular reas de
cobertura y debilitamiento tericas.
Una antena dipolo tiene una ganancia de 2,14 dB por encima de la ganancia de una
antena isotrpica de 0 dBi. Por ejemplo, una simple antena dipolo tiene una
ganancia de 2,14 dBi o 0 dBd.
Potencia Irradiada Isotrpica Efectiva (EIRP) La EIRP se define como la potencia efectiva
que se halla en el lbulo principal de la antena transmisora. Es igual a la suma de la
ganancia de la antena, en dBi, ms el nivel de potencia, en dBm, que entra a la antena.
Ganancia Esto se refiere al incremento en la energa que parece agregar una antena a
una seal RF. Existen diferentes mtodos para medir esto, dependiendo del punto de
referencia elegido. Cisco Aironet inalmbrico se estandariza en dBi para especificar
mediciones de ganancia. Algunas antenas se clasifican en dBd. Para convertir cualquier
nmero de dBd a dBi, simplemente agregue 2,14 al nmero de dBd.
dispersa a lo largo de la distancia. La luz visible que proviene de una lmpara que se encuentra en
una casa y las ondas de radio que provienen de una estacin de radio son dos tipos de ondas
electromagnticas. Otros ejemplos son las microondas, la luz infrarroja, la luz ultravioleta, los
rayos X y los rayos gamma.
Todas las ondas EM viajan a la velocidad de la luz en el vaco y tienen una longitud de onda (l) y
frecuencia (f), que pueden determinarse utilizando la siguiente ecuacin:
c = l x f, donde c = velocidad de la luz (3 x 108 m/s)
Esta frmula enuncia que la longitud de onda de cualquier onda EM viajando en el vaco, en
metros, multiplicada por la frecuencia de la misma onda EM, en Hz, siempre es igual a la velocidad
de la luz o 3 x 108 m/s o 186.000 millas por segundo (aproximadamente 300.000 km/s).
Uno de los diagramas ms importantes tanto en ciencia como en ingeniera es la grfica del
espectro EM. El diagrama del espectro EM tpico resume los alcances de las frecuencias, o bandas
que son importantes para comprender muchas cosas en la naturaleza y la tecnologa. Las ondas
EM pueden clasificarse de acuerdo a su frecuencia en Hz o a su longitud de onda en metros. El
espectro EM tiene ocho secciones principales, que se presentan en orden de incremento de la
frecuencia y la energa, y disminucin de la longitud de onda:
1. Ondas de potencia sta es la radiacin EM ms lenta y por lo tanto tambin tiene la
menor energa y la mayor longitud de onda.
2. Ondas de radio sta es la misma clase de energa que emiten las estaciones de radio al
aire para que un aparato de radio la capture y la reproduzca. No obstante, otras cosas,
como las estrellas y los gases del espacio tambin emiten ondas de radio. Muchas
funciones de comunicacin utilizan ondas de radio.
3. Microondas Las microondas cocinan maz inflado en pocos minutos. En el espacio, los
astrnomos utilizan las microondas para aprender acerca de la estructura de las galaxias
cercanas.
4. Luz infrarroja (IR) El infrarrojo a menudo se considera igual que el calor, porque hace
que sintamos tibia nuestra piel. En el espacio, la luz IR sirve para rastrear el polvo
interestelar.
5. Luz visible ste es el rango visible para el ojo humano. La radiacin visible es emitida por
todo, desde lucirnagas hasta lmparas y estrellas. Tambin es emitida por partculas en
rpido movimiento que golpean a otras partculas.
6. Luz ultravioleta (UV) Es bien conocido que el sol es una fuente de radiacin ultravioleta
(UV). Son los rayos UV los que hacen que la piel se queme. Las estrellas y otros objetos
calientes del espacio emiten radiacin UV.
7. Rayos X Un doctor utiliza rayos X para observar los huesos y un dentista los utiliza para
observar los dientes. Los gases calientes del universo tambin emiten rayos X.
8. Rayos gamma Los materiales radioactivos naturales y fabricados por el hombre pueden
emitir rayos gamma. Los grandes aceleradores de partculas que los cientficos utilizan para
ayudarlos a comprender de qu est hecha la materia pueden irradiar en ocasiones rayos
gamma. No obstante, el mayor generador de rayos gamma de todos es el universo, que
crea radiacin gamma de muchas formas.
El espectro RF incluye varias bandas de frecuencia incluyendo las microondas y las Frecuencias
Ultra Altas (UHF) y Frecuencias Muy Altas (VHF) de emisin de radio terrestre y televisin. Aqu es
tambin donde operan las WLANs. El espectro RF tiene un rango que va desde los nueve kHz a
miles de GHz. Realmente consiste en dos secciones importantes del espectro EM, ondas de radio y
microondas. Por razones histricas, mucha gente se refiere a ambas secciones juntas como
espectro RF. Las frecuencias RF, que abarcan una porcin significativa del espectro de radiacin
EM, se utilizan mucho para las comunicaciones. La mayora de los rangos RF son licenciados,
aunque unos pocos rangos se utilizan sin licencia.
Cuando dos ondas EM ocupan el mismo espacio, sus efectos se combinan para formar una nueva
onda de diferente forma. Por ejemplo, los cambios en la presin del aire ocasionados por dos
ondas de sonido se suman. Las fuerzas elctricas y magnticas ocasionadas por dos ondas
luminosas o dos ondas de radio tambin se suman.
Jean Baptiste Fourier es responsable de un importante descubrimiento matemtico. Descubri
que una suma especial de ondas sinusoidales, de frecuencias relacionadas armnicamente, podan
sumarse para crear cualquier patrn de ondas. Las frecuencias relacionadas armnicamente son
frecuencias simples que son mltiplos de cierta frecuencia bsica. Ondas complejas pueden
construirse en base a ondas simples. Otra forma de enunciar esto es que cualquier onda
reiterativa es matemtica y fsicamente equivalente al resultado de tan slo sumar el conjunto
correcto de ondas sinusoidales. Esta suma se denomina serie de Fourier.
Es cierto que existe una cantidad infinita de diferentes frecuencias de ondas EM. No obstante,
hablando en trminos prcticos, cualquier creacin de ondas EM realmente ocupa ms que una
cantidad infinitesimal de espacio de frecuencia. Por lo tanto, las bandas de frecuencia tienen una
cantidad limitada de frecuencias, o canales de comunicaciones utilizables diferentes. Muchas
partes del espectro EM no son utilizables para las comunicaciones y muchas partes del espectro ya
son utilizadas extensamente con este propsito. El espectro electromagntico es un recurso finito.
Una forma de adjudicar este recurso limitado y compartido es disponer de instituciones
internacionales y nacionales que configuren estndares y leyes respecto a cmo puede utilizarse
el espectro. En EE.UU., es el FCC el que regula el uso del espectro. En Europa, el Instituto Europeo
de Normalizacin de las Telecomunicaciones (ETSI) regula el uso del espectro.
Las bandas de frecuencia reguladas se denominan espectro licenciado. Ejemplos de ste incluyen
la radio de Amplitud Modulada (AM) y Frecuencia Modulada (FM), la radio de radioaficionados o
de onda corta, los telfonos celulares, la televisin por aire, las bandas de aviacin y muchos
otros. Para poder operar un dispositivo en una banda licenciada, el usuario debe solicitar primero
y luego otorgrsele la licencia apropiada.
2.14.15 Seales
Un osciloscopio es un dispositivo electrnico importante y sofisticado que se utiliza para estudiar
las seales elctricas. Un osciloscopio puede graficar ondas, impulsos y patrones elctricos.
Consta de un eje x que representa el tiempo y de un eje y que representa el voltaje. Usualmente
existen dos entradas de voltaje al eje y, por lo cual dos ondas pueden observarse y medirse al
mismo tiempo.
El estudio de cmo las seales varan con el tiempo se denomina anlisis del dominio de tiempo.
Otra forma de aprender acerca de las seales es analizar las frecuencias que utilizan. Los
ingenieros se refieren a este proceso como anlisis del dominio de frecuencia. Un dispositivo
electrnico denominado analizador de espectro crea grficas de potencia versus frecuencia.
Para comprender el anlisis del dominio de frecuencia en lo que tiene que ver con las WLANs, es
til examinar primero un sistema de radio ms familiar, para ser ms precisos, las emisoras de
radio FM comerciales. En este caso, el trmino radio se refiere a un dispositivo receptor, que
podra estar ubicado en una casa o automvil.
Cuando se sintoniza una radio FM, se cambia la configuracin de la misma, de modo tal que sta
responda a la frecuencia seleccionada. Las diferentes estaciones tienen cada una un centro o
frecuencia portadora diferente. Esto es as porque no interfieren entre s, transmitiendo en las
mismas frecuencias. Adems, dependiendo de factores tales como la potencia transmisora y la
ubicacin de una estacin, as como cualquier obstculo potencial, la fortaleza de la seal en el
receptor de radio FM puede ser dbil o fuerte. Estos mismos factores existen en una WLAN. Por
ejemplo, para obtener el mayor beneficio de mltiples APs en la misma ubicacin, es importante
que no se superpongan sus frecuencias. De otro modo, los APs interferirn entre s en lugar de
multiplicar la cantidad de ancho de banda utilizable por la cantidad de APs.
Un concepto muy importante en los sistemas de comunicaciones, incluyendo las WLANs, es el
ruido. La palabra ruido tiene el significado general de sonidos indeseables. No obstante, en el
contexto de las telecomunicaciones, el ruido puede definirse mejor como voltajes indeseables
provenientes de fuentes naturales y tecnolgicas. Puesto que el ruido es slo otra seal que
produce ondas, puede agregarse a otras seales, como se trat anteriormente. Si la seal afectada
representa informacin en un sistema de comunicaciones, el ruido puede cambiar la informacin.
Es claro que esto no es aceptable.
En lo que respecta a una WLAN, las fuentes de ruido incluyen la electrnica del sistema de la
WLAN, ms la interferencia de frecuencia de radio (RFI), y la interferencia electromagntica (EMI)
que se encuentra en el entorno WLAN. Estudiando el ruido, la gente puede reducir sus efectos en
el sistema WLAN.
Una forma de ruido se denomina de Gauss, o ruido blanco. El analizador espectroscpico de ruido
blanco es una lnea recta a travs de todas las frecuencias. En teora, el ruido de Gauss afecta a
todas las diferentes frecuencias de igual forma. En realidad, el ruido blanco no sigue un patrn tan
simple. No obstante, ste es an un concepto muy til, al estudiar sistemas de comunicaciones.
Puesto que el ruido blanco afectara de igual forma a todas las frecuencias de una seal de radio,
existen implicaciones para los circuitos tanto del transmisor como del receptor. Otra forma de
ruido se denomina interferencia de banda angosta. El trmino banda se refiere a una agrupacin
de frecuencias. Una banda angosta tiene un rango de frecuencias relativamente ms pequeo. La
radio FM es un ejemplo de interferencia de banda angosta. Aunque el ruido blanco perturbara de
igual forma a todas las estaciones de radio, la interferencia de banda angosta slo interferira con
algunas estaciones de radio.
Ambas formas de ruido son importantes para comprender las WLANs. Puesto que el ruido blanco
degradara los diversos canales de igual forma, los diversos componentes de FHSS y DSSS se veran
igualmente afectados. La interferencia de banda angosta podra perturbar slo a ciertos canales o
a extensos componentes del espectro. Incluso podra ser posible utilizar un canal diferente para
evitar la interferencia por completo.
2.14.17 Propagacin de RF
El estudio de cmo las ondas EM viajan e interactan con la materia puede volverse
extremadamente complejo. No obstante, existen varias simplificaciones importantes que pueden
llevarse a cabo, para estudiar ms fcilmente las propiedades de las ondas EM. Histricamente,
estas simplificaciones se desarrollaron para las ondas luminosas, pero tambin se aplican a las
ondas de radio, las microondas y todo el espectro EM. En el vaco, las microondas de 2,4 GHz
viajan a la velocidad de la luz. Una vez que se originan, estas microondas continuarn en la
direccin en la cual fueron emitidas para siempre, a menos que interacten con alguna forma de
materia. El rayo geomtrico se utiliza para significar que las microondas estn viajando en espacio
libre. Puesto que las WLANs se encuentran usualmente en tierra, dentro de la atmsfera, las
microondas viajan por el aire, no en el vaco. No obstante, en la siguiente seccin el alumno ver
que esto no cambia significativamente su velocidad.
De manera similar a la luz, cuando la RF viaja a travs de materia transparente, algunas de las
ondas se ven alteradas. Por lo tanto, la velocidad de las microondas de 2,4 GHz y 5 GHz tambin
cambia, a medida que las ondas viajan a travs de la materia. No obstante, la cantidad de la
alteracin depende mucho de la frecuencia de las ondas y de la materia. En las siguientes dos
secciones, se estudiarn algunos de los fenmenos que pueden afectar las ondas de radio de una
WLAN a medida que viajan a travs de la materia.
2.14.18 Refraccin
Una superficie se considera lisa si el tamao de las irregularidades es pequeo, en relacin a la
longitud de onda. De otro modo, se la considera irregular. Las ondas electromagnticas se
difractan alrededor de objetos interpuestos. Si el objeto es pequeo en relacin a la longitud de
onda, tiene muy poco efecto. La onda pasar alrededor del objeto sin perturbaciones. No
obstante, si el objeto es grande, aparecer una sombra detrs del mismo y una cantidad de
energa significativa se refleja nuevamente hacia el origen. Si el objeto tiene alrededor del mismo
tamao que la longitud de onda, las cosas se complican, y aparecen patrones de difraccin
interesantes. Las ondas de radio tambin cambian de direccin al entrar en materiales diferentes.
Esto puede ser muy importante al analizar la propagacin en la atmsfera. No slo es muy
significativo para las WLANs, sino que se incluye aqu, como parte del trasfondo general para el
comportamiento de las ondas electromagnticas.
2.14.19 Reflexin
La reflexin tiene lugar cuando la luz rebota en la direccin general de la cual provino.
Consideremos una superficie metlica lisa como interfaz. A medida que las ondas golpean la
superficie, gran parte de su energa rebotar o se reflejar. Pensemos en experiencias comunes,
como mirarse al espejo u observar la luz del sol reflejndose desde una superficie metlica o agua.
Cuando las ondas viajan de un medio a otro, un determinado porcentaje de la luz se refleja. Esto
se denomina reflexin de Fresnel. Las ondas de radio tambin se reflejan al entrar en diferentes
medios. La ley de reflexin puede describir estas reflexiones. Las ondas de radio pueden rebotar
desde diferentes capas de la atmsfera. Las propiedades reflexivas del rea donde ha de instalarse
la WLAN son extremadamente importantes y pueden determinar si una WLAN funciona o falla.
Adems, los conectores a ambos extremos de la lnea de transmisin que se dirigen a la antena
debern estar apropiadamente diseados e instalados, para que no tenga lugar ninguna reflexin
de las ondas de radio. Si la lnea y los conectores no coinciden apropiadamente, parte de la
energa puede rebotar como eco y constituir una prdida de potencia del sistema.
2.14.21 Multirrutura
Imaginemos un sndwich de varias capas de materiales transparentes. Imaginemos que la capa
central, el ncleo, tiene un ndice de refraccin ms alto que el de las dos capas exteriores. Los
rayos de luz que viajan en determinados ngulos a travs del medio del ncleo se reflejarn desde
las interfaces, de acuerdo a la ley de reflexin interna total. Ahora imaginemos una fuente de luz
que emita en varios ngulos, y que todos ellos se reflejaran. Esto se denomina distorsin
multirruta o interferencia.
En muchas instalaciones comunes de WLAN, las ondas de radio emitidas desde un transmisor
viajan a diferentes ngulos. Pueden reflejarse desde diferentes superficies y terminan llegando al
receptor en momentos levemente diferentes. Todas las ondas viajan a aproximadamente la
velocidad de la luz. No obstante, slo una pequea cantidad de diferencia temporal es necesaria,
para resultar en una seal de microondas distorsionada. La interferencia multirruta puede dar
fuerza a la seal RF, pero ocasionando niveles de calidad de la seal pobres. ste es un tema
importante a considerar al instalar WLANs.
Los modelos jerrquicos para el diseo de internetworks tambin utilizan capas, para simplificar la
tarea requerida para el internetworking. Cada capa puede concentrarse en funciones especficas,
permitiendo as al usuario elegir los sistemas y las funciones apropiadas para la capa. Como
resultado de ello, un modelo jerrquico simplifica la administracin de la internetwork y permite
al usuario controlar el crecimiento, sin pasar por alto los requisitos de la red.
Los dispositivos cableados tradicionales que se utilizan incluyen routers, switches, servidores e
impresoras. Tecnologas en desarrollo, como voz sobre IP (VoIP), pueden agregar capacidades
adicionales para LANs tanto cableadas como Inalmbricas. Finalmente, los dispositivos de
seguridad como Firewalls, dispositivos VPN y sistemas de deteccin de intrusiones se convierten
en requisitos para una LAN/WAN segura. Al implementar una solucin WLAN deben considerarse
todos los dispositivos. Esto se debe a que la WLAN debe interoperar sin fisuras con la red cableada
existente.
2.14.24 Modularidad
La capa principal es la internetwork central de toda la empresa y puede incluir backbones de LAN
y WAN. La funcin principal de esta capa es proporcionar una estructura de transporte optimizada
y confiable y enviar trfico a altas velocidades. Adems, la capa principal es un backbone de
conmutacin de alta velocidad. Puesto que el trabajo primordial de un dispositivo de la capa
principal de la red es conmutar paquetes, el alumno deber disear la capa principal para que
conmute los paquetes tan rpido como sea posible. Por lo tanto, la capa principal de la red no
deber llevar a cabo ninguna manipulacin de paquetes. La manipulacin de paquetes, como el
verificar
las
listas
de
acceso
o
el
filtrado,
ralentizara
la
conmutacin.
La modularidad es otro beneficio de utilizar un diseo jerrquico, porque se ven facilitados los
cambios en la internetwork. Adems, la modularidad en el diseo de redes permite al usuario
crear elementos de diseo que pueden replicarse a medida que la red crece. Cuando un elemento
del diseo de la red requiere un cambio, el costo y la complejidad de efectuar la actualizacin se
ve restringida a un pequeo subconjunto de la red total. En grandes arquitecturas de red planas o
de malla, los cambios tienden a tener un impacto en una gran cantidad de sistemas. La estructura
modular de la red en elementos pequeos y fciles de comprender tambin simplifica el
aislamiento de fallos. El usuario puede comprender fcilmente los puntos de transicin de la red, e
identificar as puntos de fallo. En ocasiones se considera equivocadamente que las capas principal,
de distribucin y de acceso deben existir cada una como entidad fsica clara y diferenciada. No
obstante, ste no tiene por qu ser el caso. Las capas se definen para ayudar a un diseo exitoso
de la red y para representar la funcionalidad que debe existir en una red. Cada capa puede
encontrarse en routers o switches diferenciados, puede combinarse en un nico dispositivo o
puede omitirse totalmente. La forma en la cual se implementan las capas depende de las
necesidades de la red que se est diseando. Ntese que debe mantenerse una jerarqua para que
la red funcione de manera ptima.
porciones exteriores que rodean al edificio, para un uso temporal. Por ejemplo, un cliente podra
utilizar APs en modo repetidor para extender la cobertura en la playa de estacionamiento durante
una poca pico de ventas de un supermercado. La asociacin de clientes se asigna al AP
cableado/raz y no al AP que acta como repetidor.
2.15 PREGUNTAS
Cul es el orden correcto de las capas del modelo OSI? aplicacin, presentacin, sesin,
transporte, red, enlace de datos y fsica
Cmo se denominan las capas del modelo TCP/IP? aplicacin, transporte, Internet,
acceso a red
Cuales son las caractersticas de un hub? Regenera y retemporiza las seales, Trabaja en
la Capa 1 del modelo OSI, Forma un dominio de colisin entre todas las estaciones
conectadas
Cul es el objetivo de la subcapa de Control de Enlace Lgico (LLC)? Permitir que la capa
de enlace de datos sea independiente de las capas de red y fsica.
Para qu se utiliza el protocolo ARP? Para encontrar una direccin MAC a partir de una
direccin IP
Cul es la principal funcin de ICMP? Informar al host origen que existe algn error en la
transferencia de los paquetes
Cules son las fases de una conexin TCP? Establecimiento de la conexin, Transferencia
de datos, Liberacin de la conexin
En una red con topologa de estrella, qu pasara si una sola conexin de uno de los host
de la red falla? Slo el host que tiene la conexin cada no tendr conexin a la red.
Qu dispositivo puede ser usado en una red de tipo token ring? Una Multistation Access
Unit (MSAU). Este dispositivo es usado para interconectar mltiples redes token ring, un
Hub o Switch es un dispositivo central usado en una topologa de estrella al cual cada host
est conectado.
Cul es la mxima velocidad en que opera una red Token Ring? Inicialmente operaban a
4 Mbps, esto fue incrementado luego a 16 Mbps
Cul es la mxima velocidad en que opera una red Ethernet 10Base-T? 10 Mbps
Cul es la mxima velocidad en que opera una red Ethernet 100Base-TX? 100 Mbps
Cul estndar IEEE describe Ethernet? El estndar 802.3. El estndar 802.4 describe redes
Token Bus, el 802.5 describe redes Token Ring y el 802.11 es para WLAN
El cable single-mode o modo simple de fibra ptica es usado en: Es usado en 10 GBase-ER
y 10 GBase-LR. El cable multimodo de fibra ptica es usado en 10 GBase-SR
CAPTULO 3
3.1 PROTOCOLOS Y SERVICIOS
Cmo definira el trmino protocolo? Es un Conjunto de reglas que definen el proceso de la
comunicacin entre dos o ms host dentro de una red
Qu es un servicio? Es un programa de aplicacin que se ejecuta en un host con el fin de ser
accedido por otro host. Los ms comunes pueden ser: E-mail, transferencia de archivos, acceso
remoto.
3.1.1 Telnet
El protocolo Telnet es un protocolo de capa de aplicacin que emula una terminal remota a travs
de una red TCP/IP. El objetivo de este protocolo es definir una interfaz estndar para la
intercomunicacin entre sistemas finales, a travs de una terminal virtual .
Antiguamente para iniciar una sesin remota se conectaba al servidor una terminal sin poder de
procesamiento, llamada "terminal boba", por medio de un cable conectado al puerto serie y la
comunicacin se estableca a travs de un protocolo de transmisin serie. El servidor serva de
centro de la estrella donde convergan todas las terminales. Algunas desventajas de este sistema
eran:
la distancia entre las terminales y el servidor, limitada por el alcance del cable serial
el costo asociado de mantener en el servidor un puerto serie por cada terminal remota
Con la llegada de las estaciones de trabajo y la difusin de las redes TCP/IP, las terminales remotas
fueron reemplazadas por un software de terminal virtual, que se ejecuta en la estacin y se
comunica con el servidor a travs de TCP/IP, utilizando el protocolo Telnet. Esta caracterstica
elimina la limitacin de distancia entre las terminales y el servidor.
El protocolo Telnet se encuentra definido principalmente por los RFC 854 (TELNET Protocol
Specifications) y 855 (TELNET Option Specifications). Se ejecuta sobre TCP y tiene asignado el
nmero de puerto 23 .
El protocolo TELNET se basa en tres ideas principales:
El concepto de "Terminal Virtual de Red" (NVT, Network Virtual Terminal). Una NVT es un
dispositivo imaginario que mantiene una estructura bsica comn a todos los tipos de
terminales. Cada host realiza la traduccin desde su estructura hacia la NVT cuando
transmite datos y desde la NVT hacia su estructura cuando recibe informacin.
Una visin simtrica de terminales y procesos, es decir, asocia una terminal virtual con un
proceso ejecutndose en la estacin
La negociacin de opciones, la cual es utilizada por las estaciones para negociar las
diferentes opciones que provee el protocolo, por ejemplo el tipo de terminal, una de las
ms comunes es VT100.
Proceso de conexin y funcionamiento: Para establecer una conexin Telnet entre un Cliente y un
Servidor, primero debe establecerse una conexin TCP a travs del saludo de tres vas. El cliente
debe iniciar esta conexin haciendo una solicitud al puerto 23 del Servidor . Esta conexin se
mantiene durante toda la sesin Telnet.
Una vez que finaliza el saludo de tres vas, se establece la conexin TCP, y el cliente y el servidor
deben negociar las opciones especficas de Telnet. Cuando finaliza la negociacin de las opciones,
se comienza la transferencia de datos entre el cliente y el servidor.
Cada tecla que presiona el cliente no es procesada localmente, sino que viaja a travs de la red
hasta el servidor, donde es procesada por la aplicacin Telnet, y transferida de vuelta al cliente
para que proceda a mostrarla por pantalla, en caso que llegue un ENTER al servidor, proceder a
ejecutar el comando formado por las letras que previamente le han llegado, y al igual que en el
caso anterior, enva la respuesta al cliente para que la muestre por pantalla .
El protocolo Telnet provee autenticacin de usuarios a travs del ingreso de un nombre de usuario
y una contrasea al iniciarse una sesin .
El mayor problema de seguridad de Telnet es que el trnsito de los datos se realiza en texto claro,
es decir sin encriptar. Si estamos en una red de difusin, como Ethernet, Token Ring o FDDI, el
trfico que enva una estacin es recibido por todas las dems que conforman la LAN y como los
datos no viajan encriptados, cualquier estacin podra leer las transacciones de otra estacin.
3.1.2 HTTP
El protocolo de transferencia de hipertexto (HTTP, HyperText Transfer Protocol) es el protocolo
usado en cada transaccin de la Web (WWW). HTTP fue desarrollado por el consorcio W3C y la
IETF, colaboracin que culmin en 1999 con la publicacin de una serie de RFC, siendo el ms
importante de ellos el RFC 2616, que especifica la versin 1.1.
HTTP define la sintaxis y la semntica que utilizan los elementos software de la arquitectura web
(clientes, servidores, proxies) para comunicarse. Es un protocolo orientado a transacciones y sigue
el esquema peticin-respuesta entre un cliente y un servidor. Al cliente que efecta la peticin (un
navegador o un spider) se lo conoce como "user agent" (agente del usuario). A la informacin
transmitida se la llama recurso y se la identifica mediante un URL. Los recursos pueden ser
archivos, el resultado de la ejecucin de un programa, una consulta a una base de datos, la
traduccin automtica de un documento, etc.
HTTP es un protocolo sin estado, es decir, que no guarda ninguna informacin sobre conexiones
anteriores. El desarrollo de aplicaciones web necesita frecuentemente mantener estado. Para esto
se usan las cookies, que es informacin que un servidor puede almacenar en el sistema cliente.
Esto le permite a las aplicaciones web instituir la nocin de "sesin", y tambin permite rastrear
usuarios ya que las cookies pueden guardarse en el cliente por tiempo indeterminado.
Una transaccin HTTP est formada por un encabezado seguido, opcionalmente, por una lnea en
blanco y algn dato. El encabezado especificar cosas como la accin requerida del servidor, o el
tipo de dato retornado, o el cdigo de estado.
El uso de campos de encabezados enviados en las transacciones HTTP le dan gran flexibilidad al
protocolo. Estos campos permiten que se enve informacin descriptiva en la transaccin,
permitiendo as la autenticacin, cifrado e identificacin de usuario.
Un encabezado es un bloque de datos que precede a la informacin propiamente dicha, por lo que
muchas veces se hace referencia a l como metadato, porque tiene datos sobre los datos
3.1.3 HTTPS
Hypertext Transfer Protocol Secure (en espaol: Protocolo seguro de transferencia de hipertexto),
ms conocido por sus siglas HTTPS, es un protocolo de red basado en el protocolo HTTP, destinado
a la transferencia segura de datos de hipertexto, es decir, es la versin segura de HTTP.
El sistema HTTPS utiliza un cifrado basado en SSL/TLS para crear un canal cifrado (cuyo nivel de
cifrado depende del servidor remoto y del navegador utilizado por el cliente) ms apropiado para
el trfico de informacin sensible que el protocolo HTTP. De este modo se consigue que la
informacin sensible (usuario y claves de paso normalmente) no puede ser usada por un atacante
que haya conseguido interceptar la transferencia de datos de la conexin, ya que lo nico que
obtendr ser un flujo de datos cifrados que le resultar imposible de descifrar.
Cabe mencionar que el uso del protocolo HTTPS no impide que se pueda utilizar HTTP. Es aqu,
cuando nuestro navegador nos advertir sobre la carga de elementos no seguros (HTTP), estando
conectados a un entorno seguro (HTTPS).
Los protocolos HTTPS son utilizados por navegadores como: Safari, Internet Explorer, Mozilla
Firefox, Opera y Google Chrome, entre otros.
Es utilizado principalmente por entidades bancarias, tiendas en lnea, y cualquier tipo de servicio
que requiera el envo de datos personales o contraseas.
El puerto estndar para este protocolo es el 443.
3.1.4 SHTTP
El protocolo fue diseado por E. Rescorla y A. Schiffman de Enterprise Integration Technologies
(EIT). para obtener conexiones de HTTP. S-HTTP provee una variedad amplia de mecanismos para
tener prevista confidencialidad, autenticacin, e integridad, La separacin de poltica de
mecanismo fue un cometido explcito.
S-HTTP es un superconjunto de HTTP, el cual permite mensajes para ser narrado de forma
resumida de forma muy diversa. Las encapsulaciones pueden incluir cifrado, firma, o una
autenticacin basada en MAC. Esta encapsulacin puede ser recursiva, y un mensaje puede tener
varias transformaciones de seguridad aplicadas.
S-HTTP tambin incluye definiciones de encabezado para proveer la transferencia de clave, dar un
terminal remota. El funcionamiento es similar al de Telnet, con la diferencia que los datos que se
transfieren entre el Cliente y el Servidor viajan encriptados. SSH soporta diferentes tipos de
encriptacin, lo que permite que el usuario seleccione su preferencia.
Existen dos versiones de SSH actualmente: SSH1 y SSH2. SSH1 soporta los algoritmos de
encriptacin Blowfish, DES, 3DES y RC4; mientras que SSH2 soporta 3DES, RC4 y Twofish (En el
Modulo 2 - Capitulo 2 - Seguridad en los datos : Encriptacin, podr encontrar una descripcin de
las caractersticas de los algoritmos de encriptacin mencionados).
En la actualidad SSH se ha convertido en el mtodo seguro ms utilizado para el acceso interactivo
a sistemas remotos.
El protocolo SSH utiliza el puerto TCP 22 para realizar las conexiones . SSH se ocupa de la
confidencialidad e integridad en el trnsito de datos entre el cliente y el servidor. Inicia una sesin
encriptada entre el cliente y el servidor antes de transferir el nombre de usuario y la contrasea.
De esta forma, si un usuario malicioso escucha el medio para capturar los datos que viajan en
texto claro, no podr comprender los datos transferidos por SSH.
El uso de SSH ayuda a protegerse de diferentes tipos de ataques, como sniffing, IP spoofing o la
manipulacin de datos por usuarios no autorizados.
SSH es una aplicacin diseada para substituir determinadas herramientas de acceso remoto
usadas tradicionalmente en los sistemas Unix, como rsh(Remote Shell), rlogin(Remote Login) o
rcp(Remote Copy), por nuevas versiones con servicios de seguridad.
El autor de la primera implementacin del SSH, Tatu Ylnen, de la Universidad Tecnolgica de
Helsinki, public el ao 1995 la especificacin de la versin 1 del protocolo. Desde entonces se ha
trabajado en la especificacin de una nueva versin del protocolo, la 2.0, actualmente en fase de
borrador a la espera de su publicacin oficial como RFC. Aunque la funcionalidad que proporciona
es bsicamente la misma, la nueva versin incorpora muchas mejoras y es sustancialmente
distinta de la anterior. La versin antigua y la nueva del protocolo se referencia habitualmente
reverenciadas como SSH1 y SSH2, respectivamente.
Proceso de conexin y funcionamiento: El protocolo SSH necesita claves para poder encriptar la
informacin que transmite. Estas claves deben ser conocidas por los dos extremos, por lo que
deben ser transmitidas por la red. Este intercambio de claves debe ser previo a cualquier
transferencia de informacin. Para evitar la escucha de las claves que se transmiten, se utiliza un
esquema de claves asimtricas (se ver ms adelante) que asegura que las claves transmitidas no
podrn ser interceptadas ni modificadas.
Una vez que se realiz el intercambio de claves, comienza la transferencia de datos, de manera
similar a los dems protocolos.
El protocolo SSH provee un entorno seguro para la transferencia de informacin a travs de una
red no confiable. SSH permite asegurar:
Integridad: Los datos transmitidos no pueden ser modificados por terceros.
Autenticacin: Los extremos son quien dicen ser (evita el robo de autenticidad)
El protocolo de paquetes SSH se encarga de construir e intercambiar las unidades del protocolo,
que son los paquetes SSH.
El protocolo de capa de transporte se encarga del establecimiento de la conexin de transporte,
de la autenticacin del servidor y intercambio de claves, y de las peticiones de servicio de los
dems protocolos.
El protocolo de conexin gestiona las sesiones interactivas para la ejecucin remota de comandos,
mandando los datos de entrada de cliente a servidor y los de salida en sentido inverso. Tambin se
encarga de la redireccin de puertos TCP.
3.2.3 OpenSSH
OpenSSH (Open Secure Shell) es un conjunto de aplicaciones que permiten realizar
comunicaciones cifradas a travs de una red, usando el protocolo SSH. Fue creado como una
alternativa libre y abierta al programa Secure Shell, que es software propietario. El proyecto est
liderado por Theo de Raadt, residente en Calgary.
Sus desarrolladores aseguran que OpenSSH es ms seguro que el original, lo cual es debido a la
conocida reputacin de los desarrolladores de OpenBSD por crear cdigo limpio y perfectamente
auditado, lo que contribuye a que sea ms seguro. Su seguridad tambin es atribuible al hecho de
que su cdigo fuente se distribuya libremente con una licencia BSD. Aunque todo el cdigo fuente
del SSH original tambin est disponible, existen restricciones con respecto a su uso y distribucin,
lo que convierte a OpenSSH en un proyecto mucho ms atractivo a la hora de atraer nuevos
desarrolladores.
Muchas aplicaciones pueden ser securizadas con OpenSSH, haciendo de este sistema una potente
alternativa para sistemas VPN.
Cualquier aplicacin que use conexiones por TCP (preferiblemente con un slo puerto tcp) puede
ser utilizada a travs de tnel seguro- Algunos ejemplos de aplicaciones fcilmente tunelizables
son el X Window System, http usando un proxy y VNC. El tnel para el X Window System se crea
automticamente entre dos ordenadores corriendo Unix, as que las aplicaciones con interfaz
grfico pueden ser ejecutadas desde ordenadores remotos simplemente escribiendo su nombres.
Entre las aplicaciones cuya tunelizacin es posible, aunque compleja, se encuentran el ftp (no es
necesario, debido a la existencia de sftp) y SMB. Algunas aplicaciones llaman a OpenSSH para
crear el tnel, tales como DistCC, CVS, rsync y fetchmail. Se pueden montar sistemas de archivos
remotos a travs de ssh usando shfs, lufs o podfuk.
El servidor OpenSSH autentica a los usuarios usando sus propios sistemas de autenticacin,
implementados en el propio software:
Contrasea
Kerberos/GSSAPI
OpenSSH tambin puede usar PAM para llevar a cabo la autenticacin. PAM permite la seleccin
de mtodos de autenticacin y su poltica en tiempo de ejecucin, permitiendo mtodos
avanzados de autenticacin tales como:
OTPW
S/KEY
OPIE
3.2.4 Finger
El protocolo de capa de aplicacin Finger (definido por la RFC 1288), est diseado para
proporcionar informacin de los usuarios de una maquina local o de un servidor a travs de la red
TCP/IP. La informacin provista por el comando finger, depende de la implementacin del servidor
de finger. Generalmente, a travs de consultas a un servidor Finger, se pueden visualizar desde los
datos de un usuario particular hasta la lista de usuarios conectados a un host
Como vimos anteriormente, este protocolo proporciona informacin, a veces con gran detalle, de
los usuarios que pertenecen a una maquina. Para hacerlo, se utiliza el comando finger desde un
cliente, dndole como argumento un nombre de mquina y dominio precedido del smbolo @, y
opcionalmente, un nombre de usuario.
Desde el punto de vista de la seguridad, finger proporciona mucha informacin que podra ser de
utilidad para un atacante. Una persona podra obtener nombres de usuario, hbitos de conexin,
cuentas inactivas, incluso algunos administradores completan exhaustivamente la informacin de
finger, con datos como sus oficinas y nmeros telefnicos. Esta informacin podra ser fcilmente
aprovechable por alguna entidad externa para practicar ingeniera social contra el personal de la
organizacin.
3.2.5 FTP
El protocolo FTP (File Transfer Protocol) es el estndar actual para la transferencia de archivos en
redes TCP/IP. Este servicio utiliza el protocolo TCP para sus conexiones y un modelo
cliente/servidor.
Las principales caractersticas de FTP son:
Brinda un acceso interactivo: Aunque puede utilizarse software de aplicacin para realizar
las transferencias mediante FTP, la mayora de las implementaciones de los sistemas
operativos proporcionan una interfaz interactiva, es decir a travs del uso de comandos,
para acceder a servidores remotos.
Permite especificar un formato de representacin para la transferencia, optando entre
texto o binario: Un usuario puede especificar si va a transferir un archivo de texto o binario,
as como el formato de texto que utilizan.
Realiza control de autenticacin: Antes de realizar la transferencia de archivos, es
obligatorio que cada cliente se autentique con el servidor proporcionando un nombre de
usuario y contrasea vlidos.
Antes de desarrollar la metodologa y caractersticas de las conexiones en FTP es importante
identificar dos implementaciones diferentes de este protocolo (ambas utilizan TCP para sus
conexiones):
FTP Estndar: Fue la primera implementacin del protocolo. En las transferencias de
archivos con FTP estndar el cliente inicia una conexin hacia el servidor (al puerto 21) y es
el servidor quien posteriormente inicia una conexin hacia el cliente, desde el puerto 20 a
3.2.6 TFTP
El protocolo TFTP (Trivial File Transfer Protocol - Protocolo de Transferencia de Archivos Trivial) es
un protocolo de transferencia de archivos muy simple . Utiliza el protocolo UDP y tiene las
siguientes caractersticas:
Provee control de errores para cada datagrama.
No realiza una conexin entre el Cliente y el Servidor.
No provee control de flujo.
No provee acceso interactivo.
No provee autenticacin.
La simplicidad de este protocolo permite su implementacin en dispositivos con escasos recursos,
de memoria y almacenamiento, por ejemplo algunos modelos de routers lo utilizan para actualizar
sus sistemas operativos. Generalmente se utiliza en ambientes controlados, por ejemplo dentro de
una LAN, dado que no es confiable.
TFTP permite realizar transferencias de archivos entre un cliente y un servidor, el cliente realiza la
solicitud inicial al puerto UDP nmero 69 del servidor. Debido a que su implementacin es muy
sencilla, prcticamente cualquier error causar la finalizacin de la transferencia; a excepcin de la
prdida de un segmento, que causar la retransmisin del ltimo transmitido.
Para iniciar una transferencia, el cliente enva una peticin de lectura o escritura al servidor. Si el
servidor acepta el requerimiento, se transfiere el archivo en bloques de tamao fijo de 512 bytes.
Cada bloque se enumera consecutivamente, comenzando desde 1. Cada paquete debe ser
reconocido con un acuse de recibo antes que el siguiente sea transferido. Cuando se recibe un
paquete con un tamao menor a 512 bytes se asume que es el fin de la transferencia
Inicialmente, el cliente enva una solicitud al servidor al puerto UDP 69, el servidor responde a la
solicitud asignando un puerto diferente, que se utilizar para el resto de la transferencia.
TFTP es un protocolo que no provee autenticacin de usuarios, ni encriptacin de datos en
trnsito, por lo que puede considerarse un protocolo no seguro. Debido a esto es recomendable
no implementar este servicio, por otro lado si es necesario para realizar transferencias entre
dispositivos, debemos controlar los archivos y directorios que estarn expuestos. Generalmente,
slo se permite la lectura de archivos, pero no la escritura.
Las ltimas versiones de TFTP se configuran de forma predeterminada para prohibir el acceso a
cualquier directorio, excepto a /tftpboot. Este hecho es una buena medida, pero an as los
atacantes pueden obtener cualquier archivo contenido en este directorio. Esto incluye la
obtencin de archivos delicados de configuracin de routers, previa obtencin del nombre del
archivo que, generalmente, es "nombre del router".cfg. En muchos casos el intruso conseguira
acceder a las contraseas del router y de las comunidades SNMP (En la seccin 3.8 - SNMP, puede
obtener informacin adicional sobre este protocolo) .
3.2.7 DHCP
El Protocolo de Configuracin Dinmica de Hosts (DHCP) fue diseado por la IETF como el sucesor
del protocolo BOOTP para la configuracin automtica de hosts en una red TCP/IP. El protocolo
DHCP mejora a su antecesor principalmente en dos aspectos:
DHCP permite que el host reciba toda la informacin que pueda necesitar para su
configuracin de red en un solo mensaje (por ejemplo, adems de su direccin IP, puede
recibir la mscara de subred, la direccin de un gateway y de un servidor DNS)
DHCP utiliza un mecanismo de asignacin de direcciones IP en forma dinmica. As, el
servidor DHCP mantiene un conjunto de direcciones IP y a medida que los clientes le
solicitan direcciones, se las asigna por un perodo de tiempo determinado.
DHCP est implementado segn el modelo cliente - servidor, es decir, debemos tener un servidor
DHCP configurado en nuestra red local. Actualmente es el protocolo de configuracin dinmica
ms difundido y de uso generalizado. En redes TCP/IP extensas representa una herramienta de
gran utilidad para los administradores de red, por un lado reduce la cantidad de errores en las
configuraciones de los hosts y, por otro lado permite una utilizacin ms eficiente de las
direcciones IP. La configuracin automtica de hosts a travs del protocolo DHCP fue un gran
avance en contraste con BOOTP. Un servidor DHCP puede ser configurado para realizar
asignaciones estticas de IP a clientes segn la direccin MAC de cada cliente, como as tambin
puede entregar direcciones IP de un conjunto de direcciones en forma dinmica sin tener en
cuenta quien se las pida. Las direcciones que entrega un servidor DHCP a los clientes son
asignadas por un perodo de tiempo determinado. Segn los requisitos o las necesidades de cada
LAN el tiempo de asignacin de la direccin puede variar de minutos a horas. Todo el proceso de
comunicacin entre el cliente y el servidor DHCP se realiza utilizando el protocolo UDP, a travs
del puerto 67 en el servidor
Cuando un cliente necesita configurarse en forma automtica a travs de DHCP, el proceso de
solicitud y asignacin de la configuracin consiste en un dilogo entre el cliente y el servidor DHCP
(o los servidores). El primer paso que realiza el cliente es enviar un mensaje de broadcast a toda la
red local con el fin de encontrar algn servidor DHCP (el mensaje DHCPDISCOVER. En la figura se
puede ver una descripcin de los posibles valores a los tipos de mensajes DHCP). Una vez que el
cliente enva el paquete DHCPDISCOVER, queda a la espera de respuestas de servidores DHCP que
existan en la red. Los paquetes DHCPDISCOVER tienen como destino una direccin broadcast, con
el fin de asegurar que todos los hosts de la red reciban el paquete.
Todos los hosts y servidores DHCP de la red local reciben el mensaje del cliente. Slo los
servidores DHCP interpretan el mensaje y le contestan al cliente enviando un paquete
DHCPOFFER. El cliente puede recibir cero o ms respuestas a su solicitud.
Cuando el cliente recibe las ofertas de los servidores, selecciona una (por ejemplo, la primera en
llegar) y negocia con el servidor el tiempo de la direccin IP y dems informacin de
configuracin. Para esto, el cliente le responde a servidor DHCP seleccionado con un paquete
DHCPREQUEST. La figura muestra la informacin que un cliente generalmente obtiene de un
servidor DHCP.
Con el objeto de enviar un acuse de recibo al cliente el servidor le enva un paquete DHCPACK
Un cliente que recibi toda su configuracin TCP/IP a travs de DHCP y no necesita ms acceso a la
red antes que finalice el tiempo que el servidor le asign su direccin, puede enviarle un paquete
DHCPRELEASE con el fin de comunicarle que liber su direccin IP. En el caso que el cliente de red
necesite mantener acceso a la red por un tiempo posterior al asignado por el servidor, necesita
renegociar su asignacin. La figura muestra como un cliente realiza el perodo de renovacin.
Dentro de un ambiente DHCP hay que tomar ciertos recaudos para evitar el uso indebido.
Si revisamos el proceso utilizado por DHCP, podemos ver que el primer paquete enviado por una
estacin cliente DHCP (DHCP Discover), es un broadcast a toda la red. Este broadcast puede ser
respondido por cualquier servidor que se encuentre en la red local. De esta manera una estacin
cualquiera que implemente un servidor DHCP podr asignar direcciones IP a su parecer,
provocando problemas de comunicacin entre las estaciones de la red local .
Otro aspecto a tener en cuenta depende del tipo de asignaciones que estemos realizando.
Si estamos realizando asignacin dinmica de direcciones, podra suceder que una estacin
externa a nuestra red, se conecte a ella y reciba una direccin vlida, obteniendo los
mismos permisos y privilegios que una estacin interna .
Si estamos realizando asignacin esttica de direcciones, una estacin maliciosa podra
engaar al servidor DHCP cambiando intencionalmente la direccin MAC de sus tramas
para obtener una direccin IP
3.2.8 SNMP
SNMP (Simple Network Management Protocol o Protocolo simple de administracin de red) es un
protocolo de capa de aplicacin que facilita el intercambio de informacin entre dispositivos de
red. SNMP permite a los administradores monitorear la performance de la red, el funcionamiento
de los dispositivos, encontrar y solucionar problemas.
Existen actualmente tres versiones de SNMP: SNMP Versin 1 (SNMPv1), SNMP Versin 2
(SNMPv2) y SNMP Versin 3 (SNMPv3). Las tres versiones mantienen caractersticas en comn, en
SNMPv2 se agregaron nuevas operaciones sobre los dispositivos y en SNMPv3 se mejor la
seguridad del protocolo de administracin.
El protocolo SNMP permite a un administrador de red supervisar y controlar el funcionamiento de
uno o ms dispositivos a travs de una red. SNMP utiliza el protocolo UDP en el puerto 161
SNMP define tres elementos:
Dispositivos administrados
Agentes
NMSs (Network Management Stations - Estaciones de administracin de red)
Un dispositivo administrado es un host que contiene un agente SNMP. Los dispositivos
administrados recolectan informacin la guardan y la dejan disponible para las NMSs. Routers,
switches, hubs, estaciones de trabajo e impresoras pueden ser dispositivos administrados.
Un agente es un software que ejecutan los dispositivos administrados. Un agente tiene el
conocimiento local de la informacin de red del dispositivo y la traduce en una forma compatible
al protocolo SNMP.
Las NMSs proveen la mayor parte del procesamiento y requerimientos del sistema de
administracin. Pueden existir ms de una NMS. Cada estacin de administracin se conecta a los
dispositivos administrados y recolecta la informacin que tengan disponible. As, las estaciones de
administracin concentran toda la informacin de los dispositivos de red administrados y la
procesan para que sea fcilmente comprensible.
Una MIB (Management Information Base - Base de Informacin para Administracin) es un
conjunto de informacin organizada jerrquicamente. Esta informacin est compuesta por los
objetos que son administrados de cada dispositivo, identificados por identificadores de objeto
(OI).
Un objeto administrado (tambin llamado objeto MIB, objeto, o un MIB) es una caracterstica
especfica del dispositivo administrado. Estos objetos administrados estn formados por una o
ms variables que informan su estado. Dentro de una jerarqua MIB el dentificador de objeto (OI o
Object ID) es nico. La jerarqua MIB puede ser descripta como un rbol con una raz sin nombre,
de la cual se asignan niveles a diferentes organizaciones.
Los OI del primer nivel son asignados a diferentes organizaciones estndar, mientras que los
objetos de niveles inferiores son asignados por organizaciones asociadas. Los fabricantes pueden
definir ramas privadas que incluyan objetos administrados para sus productos especficos.
Generalmente, las MIBs que no estn estandarizadas son posicionadas en ramas experimentales.
Un ejemplo de un objeto administrado es ipAddrTable, que es un objeto de la categora IP, que
reporta el nmero IP asociado a cada interfaz. Este objeto puede ser identificado unvocamente
por el nombre de su objeto: iso . identified-organization . dod . internet . mgmt . mib . ip .
ipAddrTable o por su descriptor de objeto equivalente: 1.3.6.1.2.1.4.20
Aunque pueda parecer complejo el mtodo para definir y llegar a un objeto, proporciona una
herramienta muy poderosa que permite a las estaciones explorar las diferentes MIB de los
distintos dispositivos en una forma rpida y simple.
SNMPv1 constituye la primera definicin e implementacin del protocolo SNMP, estando descrito
en las RFC 1155, 1157 y 1212 del IETF (Internet Engineering Task Force). El vertiginoso crecimiento
de SNMP desde su aparicin en 1988, puso pronto en evidencia sus debilidades, principalmente su
imposibilidad de especificar de una forma sencilla la transferencia de grandes bloques de datos y
la ausencia de mecanismos de seguridad; debilidades que trataran de ser subsanadas en las
posteriores definiciones del protocolo.
SNMPv2 apareci en 1993, estando definido en las RFC 1441-1452. SNMPv1 y SNMPv2 tienen
muchas caractersticas en comn, siendo la principal mejora la introduccin de tres nuevas
operaciones de protocolo:
GetBulk para que el gestor recupere de una forma eficiente grandes bloques de datos, tales
como las columnas de una tabla. Inform para que un agente enve informacin espontnea
al gestor y reciba una confirmacin.
Report para que el agente enve de forma espontnea excepciones y errores de protocolo.
SNMPv2 tambin incorpora un conjunto mayor de cdigos de error y ms colecciones de datos. En
1995 apareci una revisin de SNMPv2, denominada SNMPv2c, descripta en las RFC 1901-1910,
que incluye una configuracin ms sencilla y mayor modularidad. La RFC 1446 describe tambin
un mecanismo para la segurizacin en el protocolo SNMPv2 a travs de MD5. La nueva y ltima
versin de SNMP, SNMPv3, refuerza las prestaciones de seguridad, incluyendo autenticacin,
privacidad y control de acceso; y de administracin de protocolo, con una mayor modularidad y la
posibilidad de configuracin remota .
SNMPv3 apareci en 1997, estando descrito en las RFC 1902-1908 y 2271-2275. Cabe destacar
que SNMPv3 no se trata de un estndar que reemplaza a SNMPv1 y/o SNMPv2, sino que define
una serie de capacidades adicionales de seguridad y administracin a ser utilizadas en conjunto
con SNMPv2 (preferiblemente) o SNMPv1. Estas mejoras harn que SNMP se constituya en un
protocolo de gestin con altas prestaciones para todo tipo de redes.
El modelo de seguridad basado en usuario o USM (User-Based Security Model) proporciona los
servicios de autenticacin y privacidad en SNMPv3. El mecanismo de autenticacin en USM
asegura que un mensaje recibido fue trasmitido por el origen y adems, que el mensaje no fue
alterado durante su trnsito y que no fue artificialmente retardado o repetido.
Para conseguir la autenticacin, el gestor y el agente que desean comunicarse deben compartir la
misma clave de autenticacin secreta configurada previamente fuera de SNMPv3 (no es
almacenada en la MIB y no es accesible mediante SNMP). Por otro lado, la facilidad de privacidad
de USM posibilita a los gestores y a los agentes encriptar mensajes para prevenir que sean
analizados por intrusos. De nuevo, el gestor y el agente deben compartir una clave secreta
configurada previamente (En el Modulo 2 - Captulo 2- Seguridad de los datos : Encriptacin, se
describen en detalle los algoritmos de clave compartida).
El modelo de control de acceso basado en vistas o VCAM (Views-Based Access Control Model)
permite proporcionar diferentes niveles de acceso a las MIB de los agentes para los distintos
gestores en SNMPv3. Un agente puede, de este modo, restringir el acceso para determinados NMS
a parte de su MIB o bien limitar las operaciones que podrn realizar. La poltica de control de
acceso a ser utilizada por el agente para cada NMS debe estar configurada previamente;
consistiendo bsicamente en una tabla que detalla los privilegios de acceso para los distintos NMS
autorizados. Mientras que la autenticacin es realizada por usuario, el control de acceso es
realizado por grupos, donde un grupo sera un conjunto de usuarios.
identificar la comunidad: public y private (el primer nombre de comunidad generalmente premite
el acceso de slo lectura a los datos mientras que el segundo tiene permisos de modificacin). As,
un usuario malicioso podra intentar acceder a los dispositivos administrados adivinando el
nombre de la comunidad y acceder a toda la informacin almacenada en los dispositivos. Por otro
lado, la falta de autenticacin entre las NMS y los dispositivos administrados permitira a un
atacante modificar la informacin que envan, tanto los dispositivos administrados como las NMS,
y de esta forma reportar datos falsos pudiendo causar un caos en la administracin de la red . A
diferencia de sus predecesores SNMPv3 soporta autenticacin, a travs de MD5, y encriptacin de
datos, lo que permite crear un ambiente seguro ante los tipos de ataques arriba descriptos. Tenga
en cuenta que SNMPv3 es un protocolo reciente, por lo que debe asegurarse que tanto sus
dispositivos como sus estaciones de administracin lo soporten.
3.2.9 DNS
En los comienzos de Internet, para identificar los diferentes hosts se utilizaba nicamente las
direcciones IP. Esto evolucion rpidamente en la utilizacin de nombres simblicos de host. De
forma que en lugar de identificar a un host con su direccin IP, se utilizaba un nombre compuesto
por caracteres. Esto introdujo el problema de mantener la relacin de direcciones IP a nombres de
una forma centralizada y coordinada.
Inicialmente, la relacin de nombres a direcciones IP se mantena por el Network Information
Center (NIC) en un solo archivo llamado HOSTS.TXT, que era tomado por todas las estaciones
utilizando FTP. Debido al crecimiento explosivo de Internet, este mecanismo dej de ser prctico y
fue reemplazado por un nuevo concepto: El Sistema de Nombres de Dominio (DNS).
El sistema de nombres de dominio permite que una estacin obtenga la direccin IP de un nombre
dado de forma dinmica, sin necesidad de mantener un archivo centralizado con todas las
relaciones . El sistema de nombres de dominio es un sistema distribuido, donde miles de
servidores conforman la estructura del sistema, y cada uno mantiene slo una porcin del
direccionamiento. Los mensajes DNS pueden ser transmitidos mediante TCP o UDP, en ambos
casos se utiliza el puerto 53. Si se utiliza UDP, el tamao mximo de segmento es de 512 bytes,
mientras que si se utiliza TCP, en el comienzo del segmento se especifica el tamao total.
En el estndar que define DNS, se especifica que para consultas comunes se debe utilizar
preferentemente UDP. Si la respuesta debe ser separada (debido al lmite de 512 bytes), se debe
utilizar TCP. Se prefiere UDP sobre TCP debido a que UDP tiene menos overhead que TCP. En muy
raros casos una respuesta excede los 512 bytes. Para realizar las transferencias de zonas (veremos
ms adelante el concepto de zonas) se debe utilizar TCP, dado que en este caso, la cantidad de
datos a transferir es mucho mayor que 512 bytes. El espacio de nombres de dominio es un espacio
jerrquico, donde existen dominios y subdominios, conformando un rbol de dominios. Considere
el dominio pc1.aula3.deptoinf.facultad.edu. Aqu, aula3.deptoinf.facultad.edu es el nombre de
dominio de ms bajo nivel, aula3 es un subdominio de deptoinf.facultad.edu, que a su vez es un
subdominio de facultad.edu, un subdomino de edu. La jerarqua de nombres se puede representar
a travs de un rbol jerrquico
Dominios Genricos: Los nombres compuestos por tres caracteres que conforman los dominios de
Los mensajes de consultas y respuestas son transportados por UDP o TCP. Este proceso se realiza
siguiendo un modelo cliente servidor. La funcin cliente es transparente para el usuario y es
llamada por las aplicaciones para realizar las resoluciones. El servidor de nombres, es una
aplicacin servidora que provee las traducciones de nombres a direcciones IP.
Operacin del resolver: Las consultas de nombres pueden ser de dos tipos: recursivas o iterativas.
Un bit dentro de la solicitud especifica si el cliente solicita una consulta recursiva o iterativa. La
diferencia entre las consultas se da cuando el servidor consultado no puede resolver la consulta. Si
el cliente solicita una consulta recursiva (la mayora de los casos) significa que el servidor deber
consultar hasta obtener una respuesta para la solicitud. Si el cliente solicita una consulta iterativa,
el servidor enviar como respuesta la informacin que tenga disponible y una lista de servidores
adicionales para que el cliente pueda consultar directamente.
Las respuestas de nombres de dominio, pueden ser de dos tipos: autoritativas o no-autoritativas.
Un bit dentro de la respuesta especifica el tipo. Cuando un servidor recibe una consulta para un
dominio de una zona sobre la que tiene autoridad, enviar una respuesta autoritativa. Cuando
recibe una consulta para un dominio sobre el que no tiene autoridad, su accin depende del tipo
de consulta:
Si es una consulta de tipo recursiva, reenviar la consulta hacia otro servidor con autoridad,
o hacia los servidores root. Si el segundo servidor no responde con una respuesta
autoritativa (por ejemplo si ha delegado la zona a otro servidor), el proceso es repetido
hasta obtener la respuesta. El servidor enviar esta respuesta de tipo no-autoritativa.
Cuando un servidor o un resolver obtiene una respuesta, la guarda en cach para mejorar
la performance de consultas posteriores. La entrada en cach ser guardada por un
perodo de tiempo especificado por el origen en un campo dentro de la respuesta (TTL).
Tpicamente 172800 segundos (dos das).
Si es una consulta de tipo iterativa, enviar la informacin que tenga en su cach, ms una
lista de servidores de nombre para ser contactados para informacin autoritativa.
La base de datos distribuida del sistema de nombres de dominio est compuesta por registros de
recursos (RR), los cuales se encuentran divididos en diferentes clases para diferentes tipos de
redes. Aqu se estudiarn slo los registros correspondientes a la clase Internet.
Los registros de recursos proveen un mapeo entre nombres de dominio y objetos de red. Los
objetos de red ms comunes son las direcciones de los hosts de internet, pero el sistema de
nombres de dominio se encuentra designado para ubicar un amplio rango de objetos. Una zona
consiste en un grupo de registros de recursos, comenzando con un registro "Start of Authority"
(SOA). El registro SOA identifica el nombre de dominio de la zona. Deber haber un registro Name
Server (NS) para el servidor de dominio primario de la zona. Tambin pueden existir registros NS
para los servidores de nombres de dominio secundarios de la zona. Los registros NS son usados
para identificar cul de los servidores de dominio son "autoritativos" o tienen a cargo la zona.
Luego, vienen los dems registros de recursos, que pueden mapear nombres a direcciones IP, o
alias a nombres. El formato general de un registro de recurso se puede observar en la figura.
Donde:
Nombre: El nombre de dominio a ser definido. El DNS es muy general en las reglas de
composicin de sus nombres. Sin embargo, recomienda una sintaxis para los nombres de
dominio que minimizarn la posibilidad que las aplicaciones que utilizan DNS interpreten
errneamente un nombre de dominio. Un nombre que cumple con la recomendacin, debe
consistir en una serie de etiquetas compuestas por caracteres alfanumricos o guiones, con
una longitud entre 1 y 63 caracteres, comenzando con un caracter alfabtico. Cada etiqueta
se encuentra separada por puntos ".". Los nombres de dominio no distinguen entre
maysculas y minsculas.
TTL: El tiempo de vida en segundos en los que este registro deber ser guardado en cach.
Clase: Identifica la familia de protocolos. El valor usado generalmente es IN (Internet).
Tipo: Identifica los diferentes tipos de recursos en este registro. Los diferentes tipos se
encuentran descriptos por los RFC 1034, 1035 y 1706
Rdata: El valor depende del tipo, por ejemplo:
A: una direccin IP (si la clase es IN)
CNAME: un nombre de dominio
MX: (Mail eXchanger) un valor de 16 bits que indica preferencia (valores ms bajos
indican mayor preferencia) seguido por un nombre de dominio
NS: un nombre de host
PTR: un nombre de dominio
El sistema de nombres de dominio provee mapeos de nombres simblicos a direcciones IP y
viceversa. El mtodo para buscar un nombre de dominio dentro de la base de datos es
relativamente simple, dada la estructura jerrquica. El proceso reverso, no puede seguir la
jerarqua. Por lo tanto, existe otro espacio de nombres para mapeos reversos. El dominio se
denomina in-addr.arpa (se utiliza arpa dado que Internet originalmente era ARPAnet).
Las direcciones IP normalmente se representan mediante cuatro nmeros separados por coma, y
existe un subdominio para cada jerarqua. Sin embargo, dado que los nombres de dominio tienen
la parte menos significativa del nombre al comienzo (es decir, un nombre va de lo particular -un
host- a lo general -el dominio-) y que las direcciones IP tienen sus bytes ms significativos al
comienzo (una direccin IP va de lo general -red- a lo particular -host-), las direcciones IP se
escriben en orden inverso. Por ejemplo, el dominio del nombre de dominio correspondiente a
129.34.139.30 es 30.139.34.129.in-addr.arpa. Dada una direccin IP, el sistema de nombres de
dominio puede ser usado para encontrar el nombre de host mapeado. Una consulta para
encontrar un nombre de dominio asociado a una direccin IP se denomina consulta "pointer".
En internet se encuentra disponible mucha informacin sobre los diferentes dominios que existen.
Una herramienta creada para la obtencin de dicha informacin es el WHOIS. Existen muchas
bases de datos WHOIS que se pueden consultar y que pueden proveer informacin sobre un
dominio especfico o sobre un bloque de direcciones IP. Para consultar las distintas bases de datos
whois existen diferentes mecanismos. Se pueden realizar consultas mediante la pgina web
perteneciente a la entidad ARIN (American Registry for Internet Numbers) o mediante un cliente
Existen diferentes tipos de amenazas al sistema de nombres de dominio, que en general no tienen
como objetivo especfico el servicio DNS, sino que son un paso intermedio en el proceso de un
ataque. El mayor inconveniente de DNS es que no realiza autenticacin ni cifrado de las consultas
y las respuestas, y en general, slo comprenden un mensaje UDP para la consulta y un mensaje
UDP para la respuesta. Aqu listaremos las amenazas ms importantes al sistema de nombres de
dominio:
Modificacin de un paquete: Una de las amenazas ms simples contra DNS son las modificaciones
de los paquetes enviados para realizar una consulta o una respuesta. En estos casos, el atacante
modifica un paquete para inyectar informacin propia, por ejemplo, con el objetivo de engaar
sobre una direccin IP.
Ataques basados en nombres: Otro tipo de ataques que pueden inyectar informacin falsa son los
ataques basados en nombres, generalmente llamados "cach poisoning". Aqu, lo que realiza el
atacante es agregar informacin a una respuesta, para "envenenar" la cach del resolver de una
estacin. De esta forma, se pueden agregar relaciones de nombres a direcciones IP a voluntad del
atacante.
DNS Spoofing: Este ataque hace referencia al falseamiento de una direccin IP ante una consulta
de resolucin de nombre (esto es, resolver con una direccin falsa un cierto nombre DNS), o
viceversa (resolver con un nombre falso una cierta direccin IP) debido a la falta de autenticacin
de este servicio. Esto se puede conseguir de diferentes formas, desde modificando las entradas
del servidor encargado de resolver una cierta peticin para falsear las relaciones direccinnombre, hasta comprometiendo un servidor que infecte la cach de otro (lo que se conoce como
DNS Poisoning); incluso sin acceso a un servidor DNS real, un atacante puede enviar datos
falseados como respuesta a una peticin de su vctima sin ms que averiguar los nmeros de
secuencia correctos.
Denegacin de Servicio: As como cualquier otro servicio, el sistema de nombres de dominio es
vulnerable a ataques por Denegacin de Servicio (DoS). An peor, los servidores DNS pueden ser
utilizados como amplificadores de DoS, dado que los paquetes de respuesta son
significativamente mayores que los paquetes de solicitudes. Una alternativa para defendernos de
los ataques al sistema de nombres de dominio es utilizar DNS Security (DNSSEC). DNSSEC es un
mtodo para suministrar autenticacin a las consultas DNS. Esto asegura que los datos no han sido
modificados durante el viaje desde el cliente hacia el servidor y viceversa. Cabe notar que este
mtodo slo soluciona los ataques por modificacin y basados en nombre, pero no realiza nada
contra las denegaciones de servicio. Otra alternativa para solucionar los problemas de seguridad
son las herramientas provistas por las implementaciones de servidores DNS. En general, proveen
filtros asociados a las transferencias de zonas (por ejemplo, slo permitirn transferir zonas
completas a los servidores propios), filtros para limitar las consultas, etc.
3.2.10 NetBIOS
El protocolo NetBIOS fue desarrollado por Sytec para IBM en 1983. En sus comienzos operaba slo
sobre un protocolo propietario de Sytec diseado para las redes locales de IBM. Este protocolo,
permita una arquitectura de bus para la LAN con limitaciones de 70 a 80 estaciones.
Con el lanzamiento de Token-Ring, se implement un emulador de NetBIOS que permita su
operacin en estas nuevas redes. En 1985 se introdujo el protocolo NetBEUI (NetBIOS Extended
User Interface) que permiti, entre otras cosas, la ampliacin de hasta 260 dispositivos en un
anillo y mltiples anillos conectados por puentes. En 1987, la RFC 1001 defini un estndar para
los servicios de NetBIOS sobre TCP y UDP. Este protocolo actualmente es muy utilizado, junto con
el protocolo SMB, por la familia de productos Microsoft para compartir recursos en redes LAN. En
las secciones siguientes, se analizarn las principales caractersticas de NetBIOS y las funciones del
comando NBTSTAT en un ambiente Microsoft NetBIOS provee los servicios de sesin descriptos en
la capa 5 del modelo OSI. Es un protocolo de aplicacin que permite compartir recursos en una
red. Se encarga de establecer la sesin y mantener las conexiones.
Este protocolo no fue diseando para hacer llegar sus datos hasta la estacin destino, sea que se
encuentre en una red LAN o WAN, por este motivo debe utilizar otro protocolo para transportar
sus datos (por ejemplo, en redes LAN generalmente se utiliza el protocolo NetBEUI, y en las redes
WAN el protocolo TCP/IP). Los protocolos que pueden prestar el servicio de transporte a NetBIOS
son:
IPX/SPX
NetBEUI
TCP/IP
El hecho de tener que ser transportado por otros protocolos se debe a que al operar en la capa 5
de OSI no provee un formato de datos para la transmisin, este formato es provisto por los
protocolos antes mencionados. En lo que respecta al protocolo NetBIOS deben considerarse los
siguientes servicios, que intervienen en el proceso de funcionamiento y conexin entre estaciones
Servicio de Nombres (NBNS - NetBIOS Name Service): Este servicio se implementa para
identificar los extremos de las conexiones. NetBIOS identifica las entidades que intervienen
en una comunicacin mediante nombres formados por 16 caracteres alfanumricos. Utiliza
dos tipos de nombres: nombres nicos de hosts, denominado "UNIQUE" y nombres de
grupos, denominados GROUP, para asociar ms de un host. Aunque en principio las
especificaciones NetBIOS permiten nombres de 16 caracteres, Microsoft los limita a 15 y
usa el caracter nmero 16 como un sufijo NetBIOS. Este sufijo es usado por el software de
red de Microsoft para identificar el servicio o dispositivo registrado. Entonces, para conocer
que representa un nombre NetBIOS, se deben analizar los primeros 15 caracteres (la parte
que se lee fcilmente), el caracter 16 (normalmente expresado como dos dgitos
hexadecimales) y el tipo de nombre (UNIQUE o GROUP). En la figura se pueden observar
algunos ejemplos de sufijos NetBIOS y su significado.
Servicio de Comunicacin no orientado a la conexin: Conocido tambin como "Servicio de
datagramas". En este servicio la estacin enva los datos encapsulados en datagramas; es
decir los mensajes son enviados en forma independiente, sin establecer una conexin con
el destino.
Servicio de Comunicacin orientado a la conexin: Conocido tambin como "Servicio de
conexin". Aqu se establece una conexin y un camino entre ambos hosts (que no son
necesariamente sern dos estaciones, puede ser entre una estacin y un servidor). En este
tipo de comunicacin existe un intercambio seguro de datos, garantizado por el protocolo.
El comando NBSTAT (disponible en la mayora de las implementaciones de sistemas operativos de
Microsoft), muestra las estadsticas del protocolo y las conexiones actuales de TCP/IP usando NBT
(NetBIOS sobre TCP/IP). La ejecucin del comando se realiza desde la interfaz de lnea de
comandos con la siguiente sintaxis:
NBTSTAT [-a Nombreremoto] [-A direccin IP] [-c] [-n] [-r] [-R] [-RR] [-s] [-S] [intervalo]
Donde:
NombreRemoto: Nombre NetBIOS del host remoto.
Direccin IP: Direccin IP del host remoto. Utilizaremos la opcin -a o -A para indicar el
equipo del cual queremos obtener los datos.
intervalo: indica el intervalo en segundos que esperar para volver a mostrar las
estadsticas seleccionadas. Tambin se puede utilizar la combinacin de teclas Ctrl+C para
parar volver a mostrar los resultados.
3.2.11 SMB
SMB (Server Message Block) fue definido en 1987 por Microsoft/Intel como Microsoft
Networks/Open Net-file Sharing Protocol. Sus posteriores desarrollos estuvieron a cargo de
Microsoft y otros. Este protocolo permite a una aplicacin o al usuario de una aplicacin
compartir archivos, discos, directorios, impresoras, puertos seriales, y realizar comunicaciones a
travs de una red. Est desarrollado siguiendo la arquitectura cliente-servidor, en otras palabras
permite a un cliente leer, crear y modificar archivos de un servidor remoto; de esta forma el
cliente slo necesita que el servidor est configurado para recibir y responder solicitudes SMB.
SMB se define con una estructura cliente-servidor, donde el cliente formula una solicitud y el
servidor enva su respuesta. El servidor mantiene su sistema de archivos y otros recursos tales
como: impresoras, mailslots, named pipes, APIs; disponibles para los clientes sobre la red. Los
clientes se conectan al servidor usando TCP/IP, NetBEUI o IPX/SPX. Una vez que la conexin est
establecida, el cliente enva comandos (llamados SMBs) al servidor para trabajar con el sistema de
archivos.
Las principales implementaciones de SMB pertenecen a Microsoft y estn incluidas en Windows
for Workgroup 3.x, Windows 9x y Windows NT, por ejemplo, se estn utilizando cuando se usa el
File Manager o el Explorador de Windows, para visualizar y acceder a los recursos compartidos en
otras estaciones. Tambin existen numerosas implementaciones de SMB para otros sistemas
operativos como UNIX, Linux, OS/2 y Digital. Como vimos, la relacin entre los clientes y el
servidor se realiza a travs de solicitudes que los clientes formulan a los servidores. Los elementos
del protocolo definidos para realizar estas tareas se conocen como solicitudes y respuestas, y
reciben el nombre de SMBs
Los SMBs tienen un formato especfico el cual es similar tanto para la solicitud como para la
respuesta enviada por el servidor. Constan de una cabecera de tamao fijo, un parmetro de
tamao variable y una porcin para los datos. Una vez que se ha realizado la conexin con el
servidor, el cliente est listo para solicitar los servicios, siendo necesario en primera instancia que
el servidor y el cliente identifiquen qu variante del protocolo van a utilizar para comunicarse. Es
decir que el primer paso es que se establezca el protocolo que va a permitir que ambos se
entiendan, para ello el cliente enva un mensaje negprot SMB al servidor. All el cliente lista las
versiones del protocolo que entiende, por su parte el servidor puede responder indicando cual
versin quiere usar o 0XFFFF en el caso que no acepte ninguna de las opciones del cliente. Luego
que el servidor acepta una versin para comunicarse con el cliente, le enva un mensaje negprot
response informando sus capacidades (por ejemplo tamao mximo del buffer), esto es para el
caso de las ltimas versiones. Una vez que el protocolo se ha establecido, el cliente puede
proceder a establecer una conexin con el servidor (loguearse) para lo cual utiliza un mensaje
sessetupX SMB, en el cual se enva un nombre de usuario y la contrasea. La respuesta del
servidor indica si la identificacin fue validada, en cuyo caso le asignar un UID al cliente y podr
suministrarle la informacin solicitada. Una vez que el cliente se ha logueado en el servidor puede
proceder a conectarse al sistema de archivos, para ello el cliente enva un mensaje tcon o tconX
SMB donde especifica el nombre de la red a la que se quiere conectar. Una vez que est conectado
al sistema de archivos podr operar directamente sobre los archivos del servidor, utilizando los
mensajes, open SMBs para abrirlos, read SMBs para leerlos, write SMBs para escribirlos y close
SMBs para cerrarlos luego que fueron utilizados.
El protocolo SMB presenta dos mtodos de control de acceso a los recursos:
Share level: cada recurso compartido puede tener una contrasea para acceder a los
archivos que ste contenga. El usuario podr acceder a los mismos siempre y cuando tenga
ese permiso de entrada (la password). Para las primeras variantes de SMB (Protocolos Core
y Core Plus) ste era el nico modelo de seguridad disponible. En los sistemas operativos
Windows 3.11 y Windows 95 es el nivel de seguridad por defecto.
User level: en este nivel se protege a los archivos de cada usuario, adems de la proteccin
del nivel que se mencion anteriormente. Est basado en los derechos de acceso del
usuario, para ello es necesario que cada cliente se conecte al servidor con el fin de que sea
autenticado, si tiene xito el servidor le asignar un UID que deber ser presentado en
todos los siguientes accesos a los recursos del mismo. Este modelo de seguridad est
disponible a partir de la tercera variante de SMB.
En una estructura de red con grupos de trabajo, cada estacin mantiene su propia informacin de
seguridad, es decir que la seguridad es distribuida. Si en lugar de utilizar grupos de trabajo se
implementan dominios, la seguridad es administrada centralmente. Cada dominio tiene uno o ms
controladores de dominio, quienes mantienen informacin relacionada con los usuarios, como sus
nombres, contraseas, horas autorizadas de uso y grupos a los que pertenecen, entre otras
opciones. Al utilizar una estructura de solicitud-respuesta para la comunicacin de un cliente a un
servidor, hay que tener en cuenta algunos temas relacionados con su seguridad. Por ejemplo, un
usuario malicioso ubicado entre el cliente y el servidor puede engaar al cliente, tomando sus
datos de autenticacin, luego hacindose pasar por el cliente puede acceder al servidor. Otro
punto a tener en cuenta es la debilidad de los algoritmos de encriptacin de password utilizados
por los sistemas operativos Windows 9x y NT, esto permite que un atacante que capture las
credenciales de un usuario cuando viajan a travs de la red, pueda desencriptarlas a travs de
ataques por fuerza bruta o criptoanlisis. Los sistemas operativos Windows NT y 2000 incluyen
APIs que proporcionan bastante informacin sobre cualquier mquina a travs del puerto 139 en
TCP (donde trabaja SMB) incluso a usuarios que no se hayan autenticado. As, cualquier mquina
que se conecte al puerto de un sistema NT/2000 podra obtener acceso al host y obtener
informacin como recursos compartidos, nombres de usuarios, claves del registro, etc. Este acceso
se conoce como acceso por sesin nula ya que no utiliza autenticacin y por consigue acceso a los
recursos tpicos de estos sistemas operativos como IPC$, ADMI$, etc..
3.3 PREGUNTAS
En telnet: En qu momento el cliente enva datos al servidor? Por cada tecla que
presiona el cliente
Para qu se utiliza el finger? Para ver informacin sobre los usuarios conectados en el
sistema. Para ver informacin detallada sobre un usuario en particular
Cules son los tres servicios principales que implementa NetBIOS? Servicio de nombres,
servicio de conexin y servicio de datagramas
Para qu sirve el comando NBTSTAT? Para reportar estadsticas y usos del protocolo
NetBIOS
CAPTULO 4
4.1 SEGURIDAD EN EL DISEO DE REDES
En qu capa del modelo OSI trabajan los switches? Al igual que los puentes trabajan en la capa 2
de enlace de datos
Qu dispositivos establecen dominios de colisin? Los Switchs y puentes segmentan las redes
en distintos dominios de colisin.
En qu capa del modelo OSI trabajan los routers? En la capa 3 (capa de red)
Qu dispositivos establecen dominios de broadcast? Los routers son dispositivos que no
reenvan loas broadcast y por lo tanto segmentan las redes en diferentes dominios de broadcast.
Para qu puede ser til filtrar el trfico en una red? Bsicamente un filtro de trfico se utiliza
para:
Registro: mostrar el flujo de paquetes que no cumplan con los parmetros normales
Qu significa AAA?
Authentication: Autenticacin
Authorization: Autorizacin
Accounting: Auditoria
Cules son los protocolos ms usados para asegurar el acceso a la red? TACACS, TACACS+,
RADIUS, Kerberos
Disear una red siempre ha sido difcil, pero hoy en da la tarea es cada vez ms difcil debido a la
gran variedad de opciones. A continuacin se examinarn las principales metas del diseo de una
red, cuales son las prioridades que se adaptan al desarrollo de la red, entre otras cosas. Un
efectivo administrador de la red es tambin un cuidadoso planeador.
Metas del diseo
El diseador de la red debe siempre preguntarse algunas preguntas bsicas de la red antes de que
empiece la fase del diseo. Quin va a usar la red ? Qu tareas van a desempear los usuarios
en la red? Quin va a administrar la red? Igualmente importante Quin va a pagar por ella?
Quin va a pagar la mantenerla? Cuando esas respuestas sean respondidas, las prioridades sern
establecidas y el proceso del diseo de la red ser mucho ms productivo. Estas prioridades se
convertirn en las metas del diseo. Vamos a examinar algunas de esas metas clave.
Desempeo (performance): Los tipos de datos procesados pueden determinar el grado de
desempeo requerido. Si la funcin principal de la red es transacciones en tiempo real, entonces
el desempeo asume una muy alta prioridad y desafortunadamente el costo de eleva sbitamente
en este trueque desempeo/costo.
Volumen proyectado de trfico: Algunos equipos de interconexin como los puentes,
concentradores pueden ocasionar cuellos de botella (bottlenecks) en las redes con trfico pesado.
Cuando se est diseando una red se debe de incluir el nmero proyectado de usuarios, el tipo de
trabajo que los usuarios harn, el tipo de aplicaciones que se corrern y el monto de
comunicaciones remotas (www, ftp, telnet, VoIP, realaudio, etc). Podrn los usuarios enviar
rfagas cortas de informacin o ellos podrn enviar grandes archivos? Esto es particularmente
importante para determinar el monto de grficas que se podrn transmitir sobre la red. Si bien un
diseador de red no puede predecir el futuro, ste debe de estar al tanto de las tendencias de la
industria. Si un servidor de fax o email va a hacer instalado en la red, entonces el diseador
deber de anticipar que estos nuevos elementos no afecten grandemente al volumen actual de
trfico de la red.
Expansin futura: Las redes estn siempre en continuo creciendo. Una meta del diseo deber ser
planear para el crecimiento de la red para que las necesidades compaa no saturen en un futuro
inmediato. Los nodos debern ser diseados para que estos puedan ser enlazados al mundo
exterior. Cuantas estaciones de trabajo puede soportar el sistema operativo de red? La pliza de
precios del vendedor de equipos hace factible la expansin futura? El ancho de banda del medio
de comunicacin empleado es suficiente para futuro crecimiento de la red? El equipo de
comunicaciones tiene puertos disponibles para futuras conexiones?
Seguridad: Muchas preguntas de diseo estn relacionadas a la seguridad de la red. Estarn
encriptados los datos? Qu nivel de seguridad en los passwords es deseable? Son las demandas
de seguridad lo suficientemente grandes para requerir cable de fibra ptica? Qu tipos de
sistema de respaldo son requeridos para asegurar que los datos perdidos siempre puedan ser
recuperados? Si la red local tiene acceso a usuarios remotos, Que tipo de seguridad ser
implementada para prevenir que hackers entren a nuestra red?
Redundancia: Las redes robustas requieren redundancia, s algn elemento falla, la red deber por
s misma deber seguir operando. Un sistema tolerante a fallas debe estar diseado en la red, de
tal manera, si un servidor falla, un segundo servidor de respaldo entrar a operar
inmediatamente. La redundancia tambin se aplica para los enlaces externos de la red. Los
enlaces redundantes aseguran que la red siga funcionando en caso de que un equipo de
comunicaciones falle o el medio de transmisin en cuestin. Es comn que compaas tengan
enlaces redundantes, si el enlace terrestre falla (por ejemplo, una lnea privada), entra en
operacin el enlace va satlite o va microondas. Es lgico que la redundancia cuesta, pero a
veces es inevitable.
Compatibilidad: hardware & software La compatibilidad entre los sistemas, tanto en hardware
como en software es una pieza clave tambin en el diseo de una red. Los sistemas deben ser
compatibles para que estos dentro de la red puedan funcionar y comunicarse entre s, por lo que
el diseador de la red, deber tener cuidado de seleccionar los protocolos mas estndares,
sistemas operativos de red, aplicaciones (como un simple procesador de palabras). As como de
tener a la mano el conversor de un formato a otro.
Compatibilidad: organizacin & gente: Ya una vez que la red esta diseada para ser compatible
con el hardware y software existente, sera un gran error si no se considera la organizacin y el
personal de la compaa. A veces ocurre que se tienen sistemas de la ms alta tecnologa y no se
tiene el personal adecuado para operarlos. O lo contrario, se tiene personal con amplios
conocimientos y experiencia operando sistemas obsoletos. Para tener xito, la red deber trabajar
dentro del marco de trabajo de las tecnologas y filosofas existentes.
Costo: El costo que implica disear, operar y mantener una red, quiz es uno de los factores por
los cuales las redes no tengan la seguridad, redundancia, proyeccin a futuro y personal
adecuado. Seguido ocurre que las redes se adapten al escaso presupuesto y todos las metas del
diseo anteriores no se puedan implementar. Los directivos, muchas veces no tienen idea del alto
costo que tiene un equipo de comunicaciones, un sistema operativo para mltiple usuarios y
muchas veces no piensan en el mantenimiento. El costo involucrado siempre ser un factor
importante para el diseo de una red.
El paso de Especificacin de Requerimientos es la etapa preliminar y es donde se especifican todos
los requerimientos y variables que van a estar presentes en el diseo de una red. La Fase de
Diseo, toma los elementos de la especificacin para disear la red en base a las necesidades de
la organizacin. Cualquier punto no previsto se revisa y se lleva a la fase anterior de Especificacin
de Requerimientos. La fase de Instalacin se toman "los planos" de la fase de diseo y se
empiezan a instalar fsicamente los dispositivos y elementos de la red. Cualquier imprevisto se
regresa nuevamente a la fase de Diseo o en su caso a la fase de Especificacin. La fase de
Pruebas es la fase final del proceso y consiste en realizar toda clase de pruebas a la red ya
instalada para comprobar o constatar que cumple con las Especificaciones de Requerimientos. Ya
realizadas las pruebas con xito la red est lista para su uso. Cualquier imprevisto, se regresa a las
fases anteriores.
4.1.2 Conmutacin
La conmutacin LAN es producida por dispositivos de capa 2 (switches y puentes). Estos
dispositivos se ubican conectando a dos o ms redes LAN. En esta unidad veremos los diferentes
aspectos funcionales y la utilizacin de la conmutacin como herramienta de seguridad en
entornos LAN. Bsicamente, los switches o puentes, leen las tramas que son transmitidas en un
segmento LAN, y las retransmiten a los dems segmentos slo si esto es necesario. Para poder
tomar la decisin de reenviar o no una trama, deben crear una tabla donde asocien cada direccin
MAC de la red a una interfaz (donde se encuentra conectada). Luego, cuando reciben una trama,
leen el encabezado para conocer la direccin MAC destino de la trama. De acuerdo a la direccin
destino seleccionar el puerto por el que la reenviarn.
medios que forman un segmento donde pueden ocurrir colisiones. Se pueden conectar diferentes
segmentos, agregando ms estaciones al mismo dominio de colisin, o agregando un dominio de
colisin diferente. Los dispositivos de capa 1 extienden los dominios de colisin. Por ejemplo, si
tenemos dos segmentos formados por 4 estaciones y un hub cada uno y los conectamos mediante
otro hub, las 8 estaciones y los 3 hubs conformarn un solo dominio de colisin, es decir que el
ancho de banda asignado al segmento ser repartido entre las ocho estaciones.
Para segmentar un dominio de colisin, podemos utilizar un dispositivo de capa 2, con lo que las
colisiones quedarn circunscriptas a cada segmento. Dado que los dispositivos de capa 2 reenvan
los broadcast, definiremos un nuevo concepto: los "dominios de broadcasts". Un dominio de
broadcast estar definido por todos los medios, estaciones y dispositivos que compartirn
broadcasts de capa 2. Un dispositivo de capa 2 extiende los dominios de broadcast.
Cuando el switch se enciende por primera vez, no cuenta con ninguna asociacin MAC-Puerto.
Debe ir aprendindolas a medida que recibe trfico de las estaciones. Cada vez que una estacin
enva una trama, el switch lee la direccin MAC origen y la relaciona al puerto desde donde la
recibi. De esta forma, va formando la tabla que utiliza para seleccionar hacia qu puerto
reenviar una trama. Cuando recibe una trama con una direccin MAC destino que an no conoce,
el switch reenva la trama hacia todos los puertos.
extensin). Este protocolo, implementado en los switches, detecta y bloquea los enlaces
redundantes, de forma que la topologa formada contenga un nico camino entre dos nodos
cualesquiera. Un switch cumplir el rol de "raz" o centro de la topologa, desde donde se
desprendern las "ramas" o enlaces hacia los dems switches. A esta topologa se la llama rbol
de extensin. Para determinar la topologa Spanning Tree se utilizan tramas denominadas BPDU
(Bridge Protocol Data Unit) que son enviadas y recibidas por todos los switches de la red a
intervalos regulares. Si ocurre una falla en algn enlace, el protocolo STP re calcular el rbol de
extensin, de forma de desbloquear los enlaces necesarios para brindar conectividad completa sin
bucles.
encapsula la trama Ethernet en una trama ISL antes de transmitirla a travs del enlace de Trunk .
En el otro extremo, el switch des encapsula la trama y la enva nicamente a los puertos
asocaciados a la VLAN indicada. El mayor inconveniente de ISL es que incrementa el tamao de la
trama. Si la trama tiene un tamao de 1518 bytes, al agregarse el encabezado de ISL (30 bytes),
tendr un tamao de 1548 bytes, tamao inaceptable para una red Ethernet. IEEE 802.1q no
encapsula la trama, sino que modifica el encabezado de la trama para agregar la informacin
necesaria .
establecen qu tipo de trfico se permite y cul no. Para realizar el filtrado del trfico, los
dispositivos generalmente examinan la cabecera de los paquetes segn van pasando, y decide la
suerte del paquete completo segn lo que establezcan las reglas de filtrado.
permitir o denegar todo el conjunto de protocolos Internet (IP). Las ACL extendidas verifican las
direcciones origen y destino de los paquetes. Tambin pueden verificar protocolos, nmeros de
puerto y otros parmetros especficos (como tipo de mensajes ICMP o bits del encabezado de
segmentos TCP). Esto ofrece mayor flexibilidad para describir las verificaciones que debe realizar
la ACL y hace que se usen con mayor frecuencia para verificar condiciones, porque ofrecen una
mayor cantidad de opciones de control que las ACL estndar. El tipo de ACL estndar se numera
desde 1 a 99. Probablemente no pueda ofrecerle el tipo de control de filtrado de trfico que se
necesite ya que sus criterios son muy limitados. Las ACL extendidas usan un nmero dentro del
intervalo del 100 al 199. A diferencia de las estndar con estas listas se pueden establecer filtros
ms complejos, por ejemplo, al filtrar nmeros de puertos y se puede controlar el acceso a los
servicios de una red a otra. En la figura se puede ver un ejemplo de la utilizacin de una lista de
acceso estndar. Por filtrar slo teniendo en cuenta la direccin origen de los paquetes, deben
ubicarse lo ms cerca posible del destino. De no ser as, no se podra asegurar que el destino del
trfico sea el esperado y se estara filtrando trfico errneo.
Estndar
Extendida
Rango 1 a 99
4.3.2 Arquitectura
AAA consiste de tres reas separadas que trabajan en forma conjunta. Estas reas proveen un
nivel de seguridad bsico en el control de acceso a los recursos y equipamientos de la red. Este
control permite a los usuarios acceder a servicios en forma confiable y segura.
Autenticacin: La autenticacin puede ser definida como el proceso utilizado para verificar que
una mquina o usuario que intenta acceder a un recurso es quien dice ser. El proceso de
autenticacin generalmente utiliza nombres de usuario, passwords, identificadores nicos,
entidades certificantes, o algunos otros elementos para permitir verificar la identidad contra un
dispositivo o software que analice y valide esas credenciales.
Autorizacin: La autorizacin o control de acceso puede ser definido como una poltica,
componente de software o hardware que es usado para permitir o denegar el acceso a un recurso.
Esto puede ser un componente avanzado como una tarjeta inteligente, un dispositivo biomtrico o
un dispositivo de acceso a la red como un Router, access point wireless o access server. Tambin
puede ser un servidor de archivos o recursos que asigne determinados permisos como los
sistemas operativos de red (Windows 2000, Novell, etc.). Tambin puede ser un conjunto de reglas
que definen la operacin de un componente de software limitando la entrada a un sistema o a la
red.
Auditora: Auditora es el proceso de registrar eventos, errores, acceso e intentos de
autenticaciones en un sistema. Es importante que usted pueda seguir un rastro del acceso, las
tentativas del acceso, los problemas o los errores de los hosts, y otros acontecimientos que sean
importantes para los sistemas que necesiten estar supervisados y controlados.
administrador o superusuario que tiene acceso a todos los cheros, y por tanto a las
contraseas de los usuarios. Un super-usuario que fuera mal intencionado podra hacer un mal
uso de este privilegio. O un super-usuario que tuviera un momento de descuido podra dar pie a
que otro usuario se aprovechara.
Existe un hecho que favorece al atacante en este caso: si los usuarios pueden escoger sus
contraseas, normalmente no usarn combinaciones arbitrarias de caracteres sino palabras fciles
de recordar. Por tanto, el espacio de bsqueda se reduce considerablemente. El atacante puede,
pues, limitarse a probar palabras de un diccionario o combinaciones derivadas a partir de estas
palabras. Por este motivo a este tipo de ataque se lo conoce como ataque de diccionario.
Una primera solucin es restringir el acceso a la lista de contraseas, protegindola contra lectura.
Aun que en la lista aparezcan las contraseas codicadas, el acceso a esta lista por parte de un
atacante le permite realizar cmodamente un ataque de diccionario.
One time passwords: El envo de contraseas en texto claro a travs de redes permiten que algn
usuario malicioso capture esa contrasea y la utilice posteriormente para obtener acceso a los
sistemas. El sistema de clave de nica vez hace que se genere una clave de acceso al momento
que la necesite el cliente y posteriormente esa clave no tenga ms validez.
El sistema S/Key utiliza algoritmos de hashing de una va con el fin de crear un esquema de
contraseas de nica vez (o tambin llamado One time passwords). En este sistema, las
contraseas son enviadas en texto claro a travs de la red pero, luego que la password fue
utilizada, caduca y no es vlida para ser utilizada nuevamente. Una ventaja de S/Key es que
protege el intento de acceso de un espa sin necesitar modificaciones del cliente.
El sistema S/Key tiene tres componentes principales:
Cliente: Pide el login del usuario. No realiza ningn almacenamiento de contraseas.
Host: Procesa la contrasea. Almacena la contrasea de nica vez y la secuencia del login
en un archivo. Tambin le provee al cliente el valor inicial para calcular el hash.
Un calculador de claves: Es la funcin de hash para la contrasea de nica vez.
Token cards: Otro sistema de autenticacin de password de nica vez que le agrega cierto grado
de seguridad adicional es el uso de una token card o "tarjeta inteligente" y un servidor de token.
Cada token card es programada para un usuario especfico y adems de esa tarjeta, cada usuario
tiene un cdigo de seguridad que le permite obtener de su tarjeta una clave de nica vez. Las
token cards y los servidores generalmente implementan estos pasos para autenticar a un usuario:
Los usuarios generan una clave de nica vez con la tarjeta usando un algoritmo de
seguridad
El usuario ingresa la contrasea de nica vez en la pantalla de autenticacin
El cliente remoto enva la contrasea de nica vez al servidor de token y al Servidor de
Acceso (NAS)
Es en esta decisin donde principalmente entran en juego las dos caractersticas bsicas de la
fiabilidad de todo sistema biomtrico (en general, de todo sistema de autenticacin): las tasas de
rechazo por no poder comprender los datos capturados y de falsa aceptacin donde el sistema
tomara como vlido a un usuario que no lo es.
4.4.1 PAP
PAP ofrece un mtodo de autenticacin simple para que un host remoto establezca su identidad,
utilizando el saludo de dos vas. PAP es utilizado por el protocolo PPP para autenticar el
establecimiento de un enlace. El modo de trabajo de PAP consiste en enviar el par de datos
usuario y contrasea de forma reiterada a travs del enlace hasta que se acusa recibo de la
autenticacin o la conexin se termina. Para que se validen los datos, en el otro extremo se debe
tener registrado el mismo usuario y contrasea que se estn enviando . PAP no es un protocolo de
autenticacin slido. Las contraseas se envan a travs del enlace en texto no cifrado, y no hay
proteccin contra la posibilidad de ver los datos en forma clara o los intentos de descubrimientos
por fuerza bruta. El host remoto tiene control de la frecuencia y la temporizacin de los intentos
de conexin. Otro punto a tener en cuenta es que PAP realiza la autenticacin slo al momento de
establecer el enlace y una vez establecido el enlace, no vuelve a enviar el usuario y contrasea.
Las principales caractersticas de PAP son:
4.4.2 CHAP
El mecanismo de autenticacin utilizado por CHAP consiste en asegurar la identidad de los hosts
remotos utilizando un saludo de tres vas Esto se realiza durante el establecimiento inicial del
enlace y se puede repetir en cualquier momento una vez que se ha establecido el enlace.
A diferencia de PAP, en CHAP la contrasea nunca es enviada a travs del enlace. El host enva un
mensaje de comprobacin al nodo remoto. El nodo remoto responde con un valor (este valor es el
resultado de una funcin hash con la contrasea). El host compara el valor de la respuesta con su
propio valor y si los valores concuerdan, se produce un acuse de recibo de la autenticacin. De
otro modo, la conexin no se establece.
CHAP ofrece funciones tales como verificacin peridica para mejorar la seguridad. Esta
caracterstica, junto con la posibilidad de realizar autenticaciones una vez que el enlace est
establecido y el no envo de las contraseas en texto claro resulta que CHAP sea ms efectivo que
PAP.
4.5.1 WEP
El estndar IEEE 802.11 para las redes LAN inalmbricas incluye la definicin de WEP (Wired
Equivalent Privacy) para proteger a los usuarios autorizados de escuchas casuales. WEP realiza una
encriptacin de cada una de las tramas que se transmiten al aire. El estndar fija un tamao de
claves de 40 bits, pero algunos fabricantes las han extendido hasta ms de 128 bits. Cuando se
activa WEP, el cliente y el access point deben tener claves WEP coincidentes. WEP usa el mtodo
de cifrado RC4 (Rivest Cipher 4) creado por Ron Rivest de RSA Data Security, Inc.
implementaciones que permiten realizar una captura de tramas y realizar el clculo de la clave
WEP, las ms difundidas son WEPCrack y Airsnort (ver vnculos).
Otra vulnerabilidad de WEP es que WEP est apuntado a realizar autenticacin de dispositivos y
no de usuarios. Las claves WEP se deben configurar en los dispositivos (Interfaces inalmbricas y
Access Points) en lugar de ser ingresadas por un usuario. El robo o acceso indebido a un
dispositivo de un usuario malicioso estara entregando las claves utilizadas en toda la red.
Para solucionar estos problemas se cre el estndar 802.11i, el cual aplica los conceptos vistos en
802.1x, ms algunas modificaciones a WEP (TKIP) que veremos en las seccin siguiente.
La primer mejora es una alternativa temporaria que permitira mejorar la seguridad en las
infraestructuras ya instaladas, sin necesidad de realizar un cambio de hardware. Casi cualquier
dispositivo con soporte WEP, con una simple actualizacin del software o firmware podra
implementar TKIP. El problema de WEP es que usa siempre la misma clave. TKIP define una clave
temporal de 128 bits que se comparte entre clientes y access points. Esta clave es combinada con
la direccin MAC del adaptador, y luego agrega un vector de inicializacin de 128 bits (ms de 5
veces superior al original) para producir la clave de cifrado . Este procedimiento asegura que cada
estacin utilizar claves diferentes para realizar el cifrado.
TKIP utiliza RC4 para realizar el cifrado, al igual que WEP, pero con la diferencia que cambia la
clave temporal cada 10.000 paquetes, con lo que decrementa la posibilidad de filtrar informacin
para realizar el clculo de la clave.
La solucin de raz al problema de la encriptacin es el reemplazo del algoritmo utilizado. Como
reemplazo para RC4, 802.11i propone la utilizacin de AES, un algoritmo probada mente robusto.
La gran desventaja de esta alternativa, es que para implementarla se debera cambiar la mayor
parte del hardware actualmente instalado.
Hay personas entusiastas, dispuestas y calificadas para tomar ventaja de cada vulnerabilidad de
WLAN. Ellas estn constantemente tratando de descubrir y explotar nuevas vulnerabilidades. Se
han escrito numerosos documentos sobre el tema de la seguridad del 802.11. Lo que sigue es un
resumen de las principales vulnerabilidades:
Control de acceso dbil: Las credenciales de autenticacin son presentadas por los
dispositivos y no por usuarios de la red. Es decir que los privilegios estarn asociados a
dispositivos en lugar de usuarios.
Reconocimiento
Ataque de acceso
Las polticas de seguridad proporcionan muchos beneficios. Ellas valen el tiempo y el esfuerzo
necesarios para desarrollarlas. El desarrollo de una buena poltica de seguridad logra lo siguiente:
Una poltica de seguridad inalmbrica efectiva trabaja para asegurar que los recursos de la red de
la organizacin estn protegidos contra el sabotaje y el acceso inapropiado, que incluye tanto el
acceso intencional como el accidental. Todas las caractersticas de la seguridad inalmbrica
deberan ser configuradas en conformidad con la poltica de seguridad de la organizacin. Si no
est presente una poltica de seguridad, o si est desactualizada, se debera crear o actualizar
antes de decidir cmo configurar o hacer uso de los dispositivos inalmbricos.
La seguridad no era una gran preocupacin para las primeras WLANs. El equipo era propietario,
costoso y difcil de conseguir. Muchas WLANs usaban el Identificador del Conjunto de Servicio
[Service Set Identifier (SSID)] como una forma bsica de seguridad. Algunas WLANs controlaban en
acceso ingresando la direccin de control de acceso al medio (MAC) de cada cliente en los access
points inalmbricos. Ninguna opcin era segura, ya que el sniffing inalmbrico poda revelar las
direcciones MAC vlidas y el SSID.
El SSID es una cadena de 1 a 32 caracteres del Cdigo Estndar Norteamericano para el
Intercambio de Informacin [American Standard Code for Information Interchange (ASCII)] que
puede ser ingresada en los clientes y en los access points. La mayora de los access points tienen
opciones como SSID broadcast ['broadcast de SSID'] y allow any SSID ['permitir cualquier SSID'].
Estas caractersticas estn normalmente activas por defecto y facilitan la configuracin de una red
inalmbrica. El usar la opcin allow any SSID permite que un cliente con un SSID en blanco
acceda a un access point. El SSID broadcast enva paquetes baliza que publican el SSID. El
desactivar estas dos opciones no asegura a la red, ya que un sniffer inalmbrico puede fcilmente
capturar un SSID vlido del trfico normal de la WLAN. Los SSIDs no deberan ser considerados una
caracterstica segura.
Cuando se transmite una trama, las direcciones MAC son visibles. Un atacante slo
necesitara capturar una direccin MAC vlida para poder acceder a la red. Es
popularmente conocido que se puede transmitir tramas con una direccin MAC
modificada.
Controlar el acceso a una red inalmbrica usando direcciones MAC es tedioso. Se debe mantener
un inventario preciso y los usuarios deben reportar rpidamente la prdida o el robo de equipo.
En ciertos casos, la autenticacin de direcciones MAC puede suplementar las caractersticas de
seguridad, pero no debera ser nunca el nico mtodo en una WLAN.
4.5.5 WPA
Los diseadores de red y los expertos en seguridad saben que no es suficiente arreglar las
debilidades de WEP. La verdadera seguridad inalmbrica requiere ms que slo hacer dinmicas
las claves WEP o mejorar el WEP. La verdadera seguridad inalmbrica debe poder autenticar a los
usuarios, no slo a los dispositivos. Las organizaciones deben decidir cunta seguridad necesitan
e incluirla en la poltica de seguridad inalmbrica. Algunas redes dependern de soluciones VPN
existentes para proporcionar seguridad adicional. Otras redes implementarn el control de acceso
y los arreglos para WEP, que estn incluidos en el Acceso Protegido Wi-Fi (WPA). WPA (Wi-Fi
Protected Access) es un sistema para proteger las redes inalmbricas creado para corregir las
deficiencias de WEP. Al popularizarse las debilidades de WEP, la IEEE comenz a trabajar en un
nuevo estndar, el IEEE 802.11i. En el tiempo intermedio en que se encontraba en desarrollo este
nuevo estndar, naci WPA, como una solucin temporal, que se puede implementar sin cambios
de hardware en los dispositivos (pero s requiere una actualizacin de software).
Los datos siguen siendo cifrados mediante RC4, pero se utilizan claves de 128 bits ms un vector
de inicializacin de 48 bits (lo que da la friolera de 281.474.976.710.656 combinaciones). Otra
mejora introducida por WPA es el protocolo TKIP (Temporal Key Integrity Protocol). TKIP se
encarga de cambiar dinmicamente la clave utilizada para encriptar. Estos cambios se realizan
cada 10.000 tramas, para evitar ofrecer la informacin suficiente a potenciales atacantes y no
requieren ninguna accin de parte del usuario. Adems de estas mejoras en la autenticacin y en
la encriptacin, WPA incorpora mejoras en el control de integridad de los mensajes. Para mejorar
este control de integridad, se cambi el algoritmo de CRC a un algoritmo especfico para control
de integridad (MIC - Message Integrity Code) llamado Michael. Adems de mejorar la
autenticacin de cada mensaje, Michael incluye un contador en cada trama para evitar los ataques
de replay. Una vez que se public el estndar 802.11i (Junio de 2004), WPA sufri ciertas
modificaciones convirtindose en WPA2. WPA2 implementa de manera completa 802.11i. La
mayor diferencia es que se modific el algoritmo de encriptacin, utilizndose el potente AES
(Advanced Encryption Standard) en lugar de RC4. Es muy probable que los dispositivos antiguos
no soporten WPA2 debido a que se requieren cambios de hardware para su implementacin.
WPA Corporativo: WPA fue diseado para trabajar con un servidor de autenticacin centralizado
(RADIUS) mediante el protocolo de control de acceso 802.1x. Al trabajar de esta manera, a cada
usuario se le puede asignar una contrasea diferente. Mediante 802.1x, la autenticacin se realiza
por usuario y no por dispositivo.
WPA Personal: WPA tambin provee un esquema de autenticacin ms sencillo para ambientes
donde no se pueda costear un servidor de autenticacin, donde todos los dispositivos deben
compartir una misma clave pre-compartida (Pre Shared Key PSK). En general se le denomina
WPA hogareo o personal.
En esta implementacin se tienen los beneficios de seguridad
mejorada al tener un esquema de encriptacin (TKIP) y de control de integridad fuerte (Michael),
pero tiene las siguientes desventajas:
4.5.6 WPA2
WPA2 est basado en el nuevo estndar IEEE 802.11i. WPA, por ser una versin previa, puede ser
considerado una versin de migracin, dado que no incluye todas las caractersticas del 802.11i,
mientras que WPA2 se puede aceptar como la versin certificada del estndar. Al igual que su
antecesor, la alianza Wi-Fi llama a la versin de clave pre-compartida WPA2-Personal y WPAPersonal, mientras que la versin con autenticacin 802.1x se denomina WPA2Enterprise y WPAEnterprise.
Existen algunas diferencias entre WPA y WPA2 que se detallan a continuacin:
CCMP se basa en el algoritmo de encriptacin AES en su modo de operacin CCM, con una
longitud de clave y tamao de bloque de 128 bits. AES es a CCMP lo que RC4 es a TKIP, pero
al contrario de TKIP, que se dise para acomodarse al hardware existente para WEP, CCMP
es un nuevo diseo.
En TKIP, el MIC se calcula en base a la MSDU, mientras que en CCMP se calcula en base a la
MPDU. La diferencia entre MSDU y MPDU radica en que una MSDU representa a los datos
antes de la fragmentacin, mientras que una MPDU son mltiples unidades de datos luego
de la fragmentacin.
4.5.7 Bluetooth
El Estndar Bluetooth, nacido en 1994 y formalizado en 1998 por el Bluetooth-SIG (Special Interest
Group), es una tecnologa inalmbrica de bajo costo, que opera en la banda no licenciada de
2.4Ghz de frecuencia (misma banda que utilizan algunos estndares de la tecnologa 802.11).
Existen hoy en da tres versiones de Bluetooth (BT):
Data Rate 3Mbps: Uno de los hechos que hacen que esta tecnologa sea de bajo costo, es la
potencia necesaria para funcionar, tan slo 0,1 Watts, que sin duda alguna reduce
considerablemente el consumo de los equipos y que adems permite ser incorporada en los
telfonos celulares y las PDA, sin que afecte en exceso el consumo de sus bateras. La tecnologa
BT permite la comunicacin inalmbrica entre diferentes dispositivos que la incorporen, sin
necesidad de lnea de vista y son el reemplazo esperado de la tecnologa infrarroja.
Modo Descubrimiento
Modo No Descubrimiento
Modo 2: Aplicacin/ Nivel Servicio: Ocurre en la capa L2CAP, nivel de servicios. Primero se
establece un canal entre el nivel LM y el de L2CAP y recin entonces se inicializan los
parmetros de seguridad. Como caracterstica, el acceso a servicios y dispositivos es
controlado por un Gestor de Seguridad por lo cual variando las polticas de seguridad y los
niveles de confianza se pueden gestionar los accesos de aplicaciones con diferentes
requerimientos de seguridad que operen en paralelo. Otra caracterstica importante de
este modo es que no hay ninguna codificacin adicional de PIN o claves.
Es muy comn encontrarse en los archivos almacenados en las PDA y en los Celulares, los usuarios
y las contraseas de las PC y hasta de los servidores que para no dejarlos anotados en un papel lo
anotan en sus dispositivos mviles. Los lugares de mayor riesgo o donde es fcilmente posible
obtener informacin como la mencionada anteriormente es en lugares pblicos como por
ejemplo: En el cine, En una plaza con mucha gente, En una biblioteca, En un centro comercial o en
un bar, En un campo de ftbol, En alguna tienda de telefona, tren, autobs.
Como podemos ver la informacin comprometida, puede o no ser de carcter corporativo, pero
puede brindar al atacante de obtener datos que permitan desarrollar luego una estrategia de
ataque ms efectiva. Desde principios de 2003, comenzaron a hacerse pblicas, algunas
debilidades y vulnerabilidades que afectaban directamente a esta tecnologa. La primera de ellas,
fue descubierta por la gente de Atstake, y fue denominada War Nibling, y permite descubrir a
todos los dispositivos que estn en el alcance del atacante estn estos en modo descubrimiento o
no.
4.5.8 RFID
En la lucha eterna del equilibrio entre la seguridad y la funcionalidad, ya hemos visto pasar a
varias tecnologas, solo por mencionar algunas 802.11, Bluetooth entre otras, pero como no poda
ser de otra manera le llego el turno a RFID (Radio Frequency Identificacin).
RFID, es una tecnologa de identificacin por radiofrecuencias, que permite el reconocimiento
automtico a distancia, basado en uno de sus principales componentes los TAGS (Etiquetas) de
RFID, permitiendo esto un beneficio muy importante en lo que refiere a la logstica, la distribucin
y la cadena de abastecimiento, pero como veremos ms adelante la aplicacin de esta tecnologa,
tambin est siendo adoptada en muchos otros aspectos y procesos, como el control de accesos y
el pago electrnico y la identificacin de documentacin personal.
Tipos de etiquetas: Existen tres tipos de etiquetas, stas se diferencian entre si por la frecuencia
en la que operan, la cantidad de informacin que pueden contener, el tipo de funcionamiento y su
durabilidad:
Etiquetas Pasivas: Estas operan en la Frecuencia de los 13,56 MHZ y no tienen fuente de
energa interna, sino que la pequea corriente inducida en la antena, brindada por la seal
entrante de la frecuencia radial, produce la energa suficiente para que el circuito
integrado, pueda encenderse y comenzar a transmitir (Backscatter). Estas etiquetas son las
de menos tamao, por ende las ms livianas y con una vida til que puede ir hasta los 99
aos.
Etiquetas Semipasivas: Son muy similares a las etiquetas Pasivas, salvo por el agregado de
una pequea batera, esta batera mantiene una corriente continua en la memoria no
voltil del circuito integrado, por lo cual la antena no debe preocuparse por recolectar la
dicha corriente. La antena est ms optimizada a su funcin de transmisin de radio
frecuencia lo cual hace que sea ms rpida y robusta que los Tags Pasivos.
Etiquetas Activas: Las etiquetas activas poseen su propia fuente de energa y son capaces
de alcanzar mayores distancias (10 metros aproximadamente), a poseer una batera su vida
til de es de hasta 10 aos, estos economizan el consumo de energa, trabajando en
intervalos definidos de operacin.
RFID Tipos de Frecuencias: Existen distintas frecuencias en las que los sistemas de RFID, pueden
operar, cada una de ellas representa distintos pro y contras en base a su aplicacin.
Microwaves
Aplicaciones de RFID: Hoy en da, existen numerosas aplicaciones para estas tecnologas, pero la
mas creciente, es el que est bajo el estndar EPC (Electronic Product Code), utilizada en la
identificacin de productos, la cual brinda una clave nica para un producto, que permite detallar
informacin sobre el mismo, en cualquier momento de la cadena de abastecimiento.
Adicionalmente, entre otras aplicaciones podemos mencionar las siguientes:
Identificacin de pacientes
Identificacin de convictos
Identificacin de pasaportes
Los sistemas RFID, se relacionan con varios procesos crticos, como el control de acceso fsico, el
seguimiento de productos, los sistemas de pago y otros ms. Si bien, como vimos, los riesgos ms
publicitados de esta tecnologa se relacionan con la privacidad, a continuacin veremos algunos
otros, que tambin deberan ser considerados.
Relay Attacks en tarjetas de proximidad, Destruccin del TAG y Prevencin de Lectura, RFID
- SQL Injection, RFID Virus, Algoritmos de Encriptacin dbiles, Sniffing, Spoofing
Cuando se utiliza 802.1x en una red inalmbrica, se pueden implementar diferentes variantes de
EAP, las ms conocidas son:
LEAP (Lightweight EAP): Tambin llamada EAP-Cisco, es la versin de Cisco de 802.1x EAP.
Provee un mtodo de distribucin de claves WEP dinmicas, que varan por usuario y por
sesin. De esta forma se decrementa la cantidad de tramas con la misma clave WEP, para
evitar su clculo.
EAP-TLS (EAP-Transport Layer Security): algoritmo de autenticacin basado en TLS que
implementa autenticacin basada en certificados digitales X.509 (se estudiarn mas
adelante). Exige que todos los clientes y servidores tengan certificados digitales.
PEAP (Protected EAP): basado en la autenticacin EAP-TLS, PEAP permite utilizar diferentes
tipos de autenticacin del cliente, como EAP-GTC para one-time passwords y EAP-MD5
autenticacin basada en passwords. De esta forma no se requiere que todos los
dispositivos tengan certificados digitales.
EAP-GTC (Generic Token Card EAP): provee autenticacin basada en one-time password
EAP-MD5: provee un mtodo de autenticacin basado en username y password.
4.5.10 TACACS+
TACACS+ (Terminal Access Controller Access Control System Plus) es una versin mejorada de
TACACS. TACACS+ es un protocolo de Autenticacin, Autorizacin, y Auditora (AAA) que reside en
un servidor centralizado. Existen al menos tres versiones de TACACS: TACACS, XTACACS y TACACS+:
TACACS: TACACS es una especificacin estndar de protocolo definido en el RFC 1492 que reenva
el nombre de usuario y contrasea a un servidor centralizado. Este servidor mantiene una base de
datos TACACS con los usuarios. De acuerdo a los parmetros pasados, el servidor acepta o rechaza
la autenticacin, enviando un mensaje.
XTACACS: XTACACS define extensiones de Cisco al protocolo TACACS para soportar nuevas
caractersticas. XTACACS es multiprotocolo y puede autorizar conexiones con SLIP, PPP, IPX, ARAP y
Telnet. XTACACS soporta mltiples servidores TACACS, y syslog para el envo de informacin de
auditora. Actualmente, XTACACS se encuentra obsoleto, dados los nuevos requerimientos de AAA
del mercado y a la existencia de TACACS+.
TACACS+: TACACS+ es una versin en constante mejora de TACACS que permite al servidor
TACACS+ brindar servicios de AAA de manera independiente. Cada servicio puede ser usado con
su propia base de datos o puede ser usado en conjunto con los dems servicios. TACACS+ no es
compatible con XTACACS ni con la versin original de TACACS. Actualmente se encuentra como
una propuesta en la IETF, por lo que no es un servicio estndar. TACACS+ permite la opcin de
encriptar toda la informacin que se intercambia entre el cliente y el servidor. TACACS y sus
diferentes versiones utilizan TCP como transporte, y tienen reservado el nmero de puerto 49.
4.5.11 RADIUS
RADIUS (Remote Authentication Dial-In User Service) es otra alternativa para realizar AAA. RADIUS
es un protocolo AAA desarrollado por Livingston Enterprises, Inc (ahora parte de Lucent
Technologies). Es un sistema de seguridad distribuida que seguriza el acceso remoto a redes y las
protege de accesos no autorizados. RADIUS est compuesto por tres componentes:
1. Un protocolo basado en UDP
2. Servidor
3. Cliente
Segn la definicin del protocolo, RADIUS tienen reservados los nmeros de puerto 1812 (para
autenticacin) y 1813 (para auditora), pero existen muchas implementaciones que utilizan los
puertos 1645 y 1646 respectivamente.
El servidor es ejecutado en una computadora, generalmente dentro del sitio propietario de la red,
mientras que el cliente reside en el NAS y puede estar distribuido en toda la red.
Modelo Cliente Servidor: El NAS opera como el cliente, reenviando la informacin de
autenticacin de los usuarios al servidor RADIUS configurado, y luego, actuando de acuerdo a la
respuesta del servidor. Los servidores RADIUS son los responsables de recibir los requerimientos
de los usuarios, autenticarlos, y devolver toda la informacin necesaria para que el cliente habilite
los servicios correspondientes. El servidor RADIUS puede mantener una base de datos de los
usuarios de forma local, utilizar la base de datos de Windows, o un directorio LDAP.
Seguridad de la red: Las transacciones entre el cliente y el servidor son autenticadas por un
secreto compartido, que no se enva por la red. Las contraseas son enviadas cifradas.
Mtodos de autenticacin flexibles: El servidor RADIUS soporta diferentes mtodos para
autenticar un usuario. Soporta PPP, PAP, CHAP, MS-CHAP, Unix login, etc.
4.5.13 Kerberos
Kerberos fue creado en el Instituto de Tecnologa de Massachusetts a comienzo de los 80. La
versin actual de Kerberos es la versin 5, y ha sido publicada por la IETF como el RFC 1510. El
sistema operativo Microsoft Windows 2000 utiliza a Kerberos como su tcnica de autenticacin.
El protocolo Kerberos depende de una tcnica de autenticacin que incluye secretos compartidos.
El concepto bsico es bastante simple: si un secreto es conocido slo por dos personas, entonces
cualquiera de las dos personas puede verificar la identidad de la otra confirmando que la otra
persona conoce el secreto. Kerberos resuelve este problema con criptografa de clave secreta. En
vez de compartir una clave de acceso, los extremos de la comunicacin comparten una clave
criptogrfica, y usan el conocimiento de esta clave para verificar la identidad uno del otro.
Kerberos tiene tres componentes: un cliente, un servidor y una intermediario de confianza para
mediar entre ellos. Este intermediario es el protocolo KDC (Key Distribution Center, Centro de
Distribucin de Claves). El KDC es un servicio que corre en un servidor fsicamente seguro.
Mantiene una base de datos con la informacin de las cuentas de sistema (usuarios, servidores,
estaciones). Para cada cuenta, mantiene una clave conocida slo por el KDC y la cuenta. Esta clave
se usa en intercambios entre la cuenta y el KDC.
Cuando un cliente quiere hablar con un servidor, el cliente enva una solicitud al KDC, y el KDC
distribuye una clave de sesin para que utilicen los extremos interesados (el cliente y el servidor)
cuando se autentican uno al otro. La copia de la clave de sesin del servidor est encriptada con la
clave compartida entre el KDC y el servidor. La copia de la clave de sesin del cliente est
encriptada en la clave compartida entre el KDC y el cliente.
Algunos empleados pueden no darse cuenta de que un despliegue WLAN no autorizado (es
decir, instalar puntos de acceso no autorizados conectados a la LAN o a la WLAN), puede
aumentar los riesgos en la seguridad. Por ello, es conveniente fijar pautas claras que
promuevan la cooperacin activa. Tambin sera conveniente emplear alguna herramienta
que permita la deteccin de este tipo de equipos.
Las redes LAN no son substituidas por las redes WLAN. Las redes WLAN deben emplearse
Utilizar perfiles de usuario que permitan el control de acceso para usuarios internos o
empleados y usuarios invitados (clientes, proveedores, etc.)
Las redes WLAN deben ser asignadas a una subred dedicada y no compartida con una red
LAN. Entre la red WLAN y la red LAN deber existir una estructura de firewall adecuada as
como mecanismos de autenticacin.
Para proteger los servidores de la empresa de ataques DOS, los servicios que se desea
prestar a los usuarios inalmbricos deben ubicarse en una DMZ que retransmita estas
peticiones de los servicios a los servidores de la empresa. Por lo tanto, es recomendable
emplear una red redundante para ofrecer alta disponibilidad.
Firewalls: La red WLAN es considerada insegura, por lo que todo el trfico entre ella
y la red corporativa debe ser filtrada. Filtrados especiales deben aplicarse a
protocolos, direcciones IP origen y subredes destino.
En el caso en que la red WLAN est diseada con puntos de acceso que se puedan
configurar con diferentes modos de seguridad (WEP, WPA, IEEE 802.11i), se recomienda
configurar la red con un nico modo. Si es necesario configurar los puntos de acceso con
diferentes modos de seguridad, es recomendable agrupar los puntos de acceso utilizando
el mismo modo de seguridad en una subred. Por ejemplo, crear una subred para puntos de
acceso que empleen WEP y otra para puntos de acceso que empleen WPA. Para facilitar la
creacin de subredes, Se recomienda que los puntos de acceso tengan la funcionalidad de
soporte de mltiples SSIDs. De esta forma, se pueden asociar diferentes polticas de
seguridad a diferentes SSIDs de un mismo punto de acceso.
Habilitar el cifrado sobre el trfico enviado por el interfaz areo siempre que sea posible.
Asegurar fsicamente los puntos de acceso, para evitar que personal no deseado tenga
acceso a l.
Las redes WLAN sern slo accesibles por aquellos dispositivos asociados al SSID adecuado.
Para evitar el acceso por parte de usuarios no deseados es fundamental deshabilitar el
broadcast de SSID que, en general, llevan a cabo por defecto los puntos de acceso. Aunque
este mecanismo de seguridad es fcilmente vulnerable, tal y como han demostrado
numerosos estudios, su prctica sigue siendo recomendable puesto que supone un primer
nivel de defensa contra ataques y permite evitar la conexin de usuarios de manera
automtica a la red, ya que aunque no hagan uso de ella para transmitir informacin,
degradan la conexin de otros usuarios.
Emplear protocolos seguros de gestin como SSL o SSH cuando sea posible.
En caso de que no sea posible emplear IEEE 802.11i, una alternativa a utilizar es WPA. WPA
aporta mejoras importantes con respecto a WEP:
Emplear Listas de Control de Acceso (ACL) para que el acceso a la red sea restringido a los
usuarios cuyas direcciones MAC estn contenidas en la tabla ACL, la cual puede estar
distribuida en los diferentes puntos de acceso o centralizada en un servidor. Esta medida es
slo recomendable cuando el nmero de usuarios es reducido.
Para evitar los ataques de diccionario o por fuerza bruta contra contraseas se recomienda:
Llevar a cabo el bloqueo de cuentas de usuario por parte del servidor RADIUS tras
una serie de intentos de autenticacin fallidos.
Concienciar a la plantilla.
Emplear claves de usuario dinmicas, por ejemplo mediante autenticacin OTP con
PEAP y EAP-TTLS.
Emplear EAP-TLS.
Habilitar el cifrado sobre el trfico enviado por el interfaz areo siempre que sea posible.
Tipo y ubicacin de antenas estudiada para restringir el rea de cobertura radio dentro del
radio deseado.
Empleo de materiales opacos en la construccin del edificio para atenuar la seal, y evitar
que sta se propague fuera del edificio.
Vigilancia exterior.
Una red en modo mixto no es ms segura que una red sin WPA, por lo que no se recomienda
emplear este modo.
La Wi-Fi Alliance recomienda llevar a cabo el despliegue de una solucin basada en WPA siguiendo
los siete pasos que se detallan a continuacin:
Estudiar el Sistema operativo de los usuarios que van a utilizar esta solucin
Puntos de acceso inalmbricos que soporten WPA y una conexin segura con un servidor
RADIUS. Los puntos de acceso se configuran para aceptar solamente conexiones WPA y
rechaza conexiones WEP. En el caso de implementar esta solucin en instalaciones nuevas,
podra tenerse en cuenta la opcin de adquirir equipos que nicamente sean compatibles
con WPA. WPA ofrece mecanismos de seguridad mucho ms robustos que los utilizados por
WEP, en cuanto a la autenticacin, integridad y confidencialidad.
En funcin del mtodo de autenticacin utilizado pueden ser empleados opcionalmente los
siguientes elementos adicionales:
Proporciona autenticacin OTP mediante servidores RADIUS. Puede emplearse con PEAP o
EAP-TTLS.
Servidor OTP
Adicionalmente, es recomendable proteger el modo EAP empleado (LEAP, PEAP, EAPTTLS) contra
ataques de fuerza bruta. El servidor RADIUS debe bloquear las cuentas de usuario tras una serie
de intentos de logueo fallidos. Cuando la cuenta de usuario est bloqueada el usuario no puede
ser autenticado (y por lo tanto no puede utilizar la red WLAN) hasta que no se lleven a cabo una
serie de acciones administrativas. Esto permitir al administrador de la red (y responsable de
seguridad) llevar a cabo un anlisis de la solucin de seguridad empleada y si es necesario
mejorarla. Para evitar este riesgo, se puede exigir a los usuarios inalmbricos llevar a cabo
autenticacin tipo OTP.
Las principales ventajas e inconvenientes de esta solucin de seguridad son los siguientes:
Pros:
Emplear una solucin de seguridad que permite al personal acceder a todos los
recursos de la red.
Contras:
Para instalaciones que dispongan de usuarios y puntos de acceso WEP sera conveniente migrar
los puntos de acceso de un mecanismo de seguridad WEP a uno basadao WPA para dotar la red
WLAN de una mayor nivel de seguridad. No obstante, si no fuera posible llevar a cabo esta
migracin, es posible un entorno heterogneo que combine soluciones basadas en WEP y WPA
simultneamente o configurar los puntos de acceso para que trabajen en modo mixto WEP-WPA,
de forma que soporten usuarios WPA y usuarios WEP. Es importante destacar que, slo es posible
desplegar una red en modo mixto WEP-WPA. Para evitar comprometer la seguridad de la red
debido a la vulnerabilidad de WEP no es posible hacerlo en modo mixto WEP-WPA2.
Es recomendable que los puntos de acceso que slo soporten WEP y que no sea posible
actualizarlos con parches WPA sean situados en la misma subred para formar as una subred
WEP-LAN con polticas de seguridad independientes del resto de puntos de acceso.
En cualquier caso, la consecuencia directa de soportar ambos tipos de usuarios es que el nivel de
seguridad de la red WLAN ser el del mecanismo WEP. Por ello, se recomienda migrar todos los
puntos de acceso y usuarios a WPA en lugar de mantener un entorno mixto.
IEEE802.11i
Los elementos clave de la arquitectura de una solucin de despliegue de redes WLAN que
implementen un mecanismo de seguridad basado en IEEE 802.11i son los mismos que empleados
en una solucin WPA. La nica diferencia es que los puntos de acceso deben soportar el estndar
IEEE 802.11i.
Una de las principales diferencias entre IEEE 802.11i y WPA se encuentra en el algoritmo de
cifrado utilizado, IEEE 802.11i utiliza AES y WPA, al igual que WEP, utiliza RC4. Por lo que s que
existen puntos de acceso que soportan el modo mixto WEP-WPA, pero no que soporten el modo
mixto WEP-IEEE 802.11i.
Pros:
Emplear una solucin de seguridad que permite al personal acceder a todos los
recursos de la red.
Contras:
IPSec VPN
Como se ha comentado anteriormente, para equipos IEEE 802.11 que tienen solamente WEP
como mecanismo de seguridad, es necesario proteger el acceso a red con otros mecanismos
adicionales. En estos casos, el uso de un VPN IPsec es altamente recomendable.
Cabe destacar que una solucin VPN basada en IPsec es compatible con el uso de WPA e IEEE
802.11i.
La utilizacin de las soluciones VPN basadas en IPsec es especialmente recomendable en el caso
en que la plantilla de la empresa sea itinerante, para proporcionar seguridad al conectarse a
Internet o a la red de la empresa desde otras redes que no se la propia red de su empresa.
Los elementos clave de la arquitectura de una red WLAN en la que se emplea una solucin VPN
basada en la tecnologa IPsec para asegurar el trfico de datos son los siguientes:
Firewall. Se recomienda ubicar un Firewall despus del concentrador VPN que aplique
polticas de seguridad al flujo no cifrado.
Servidor RADIUS
Se recomienda utilizar polticas basadas en certificados para establecer los tneles IPsec en lugar
de llaves pre-compartidas. Emplear llaves pre-compartidas es peligroso, porque si un atacante las
obtiene, es difcil detectar que las llaves estn comprometidas. Por lo que implica sobrecarga en el
mantenimiento al obligar peridicamente las llaves precompartidas. Adems, se recomienda que
el concentrador VPN compruebe el estado de los certificados de usuario contra las autoridades
CRL (las principales Autoridades Certificadoras internacionales actualmente son Verisign y Thawte)
un servidor de OCSP.
Las principales ventajas e inconvenientes de esta solucin de seguridad VPN basada en IPsec son
los siguientes:
Pros:
Emplear una solucin de seguridad que permite al personal acceder a todos los
recursos de la red.
Contras:
Las redes WLAN desplegadas en sitios pblicos son conocidas como Hotspots y suelen ofrecer
conectividad a Internet en hoteles, aeropuertos, centros de reuniones, etc. Tambin estn
emergiendo las redes WLAN conocidas como Hotzones que no son otra cosa que la extensin de
los hotspots fuera de los citados recintos o edificios cubriendo zonas amplias de una ciudad.
Son redes cuyo propsito es proveer servicio al pblico en general, tanto usuarios particulares
como empresariales, usuarios con diferentes tipos de dispositivos inalmbricos, muy diversos
niveles de conocimientos informticos y, en muchos casos, sin permisos de administrador en sus
dispositivos, lo que implica limitaciones en sus dispositivos a la hora de cambiar parmetros de
configuracin.
Las posibles limitaciones en cuanto a la configuracin del dispositivo de usuario, as como la
necesidad de ofrecer un servicio fcil de usar, hacen que las soluciones de seguridad
recomendadas para entornos empresariales, como por ejemplo WEP, WPA, IEEE 802.11i o WPA2
tengan difcil aplicacin en entornos pblicos.
La seguridad de una red empresarial no significa tener un firewall en una caja o tener un antivirus,
tiene mucho qu ver con el diseo de la estructura de la red y la manera de operacin de la
empresa y su manera de hacer negocios.
4.7 PREGUNTAS
Qu sucede cuando un switch recibe una trama con direccin MAC destino broadcast?
La reenva por todos sus puertos
En un dominio de colisin, todo el trfico que envan o reciben las estaciones puede ser
escuchado por las dems estaciones. Verdadero
Cmo hace el switch para aprender la ubicacin de los hosts? Cada vez que recibe una
trama, lee su direccin origen y la asocia al puerto
Cul es el objetivo del protocolo STP Spanning Tree Protocol? Definir una topologa de
rbol para evitar los bucles
Cmo se transmiten las tramas en los enlaces de VLAN Trunking? Se les agrega una
Para qu se puede utilizar el filtrado de trfico? Para decidir qu tipo de paquetes pasan
y cules no
Qu sucede con un paquete que al ser comparado con las sentencias de una ACL no
concuerda con ninguna? Se deniega
En un sistema con Token Cards, el usuario de dnde obtiene su contrasea de nica vez?
De la Token Card y su cdigo
Cmo enva las contraseas PAP para autenticar el establecimiento del enlace? Enva la
contrasea en texto claro sin cifrar
Cmo enva las contraseas CHAP para autenticar el establecimiento del enlace? Calcula
un hash de la contrasea y enva ese hash
Qu mejoras a WEP se incluyen en el nuevo estndar 802.11i? Cambiar RC4 por AES, El
agregado de TKIP
CAPTULO 5
5.1 ATAQUES Y CONTRAMEDIDAS
El conocimiento de los diferentes ataques y sus caractersticas, le permiten a un analista en
seguridad estar ms prevenido y mejor preparado ante la posibilidad de que sus sistemas sean
atacados.
Cmo definira un ataque y que consecuencias podra tener? Un ataque ocurre cuando una
persona intenta acceder, modificar o daar un sistema o entorno. Puede realizar una
interceptacin, modificacin, interrupcin o falsificacin de los datos.
Qu factores considera que pueden incrementar el riesgo de recibir un ataque?
Protocolos
Dispersin geogrfica
Errores de configuracin
Passwords
Cmo aprenden las direcciones MAC los switches? A medida que reciben trfico de las
estaciones. Cada vez una estacin enva una trama, el switch lee la direccin MAC origen y la
relaciona al puerto desde donde la recibi. De esta forma, va formando la tabla que utiliza para
seleccionar hacia que puerto reenviar una trama. Cuando recibe una trama con una direccin
MAC destino que an no conoce el switch reenva la trama hacia todos los puertos.
Qu es una VLAN? Es una agrupacin lgica de dispositivos o estaciones independiente de su
ubicacin fsica. No necesariamente, estos dispositivos o estaciones estn conectados al mismo
switch, ni todos los enlaces de un switch formarn parte de esta agrupacin. La configuracin de
las VLANs se realiza en los switchs.
Cmo se realiza la asignacin dinmica de direcciones IP? Se puede realizar mediante DHCP,
este permite que el host reciba toda la informacin que pueda necesitar para su configuracin de
5.1.1 Introduccin
Con la expansin de redes actuales, el incremento de la velocidad en los accesos y en el uso de los
servicios de networking, los ataques encuentran un escenario cada vez ms amplio y accesible a
travs de las redes. La amenaza de los ataques a redes, servidores, y estaciones de trabajo
actualmente pueden provenir de diversos sitios y se deben aplicar, mantener y monitorear todas
las medidas necesarias para mantenerse seguros de un ataque.
Mantener la seguridad, hoy por hoy consiste en participar de una batalla diaria entre la gente que
desea atacar a los sistemas y la gente que desarrolla productos y servicios para ayudar a
protegerlos. Piense que su red es, entonces, el campo de batalla.
Las redes de ordenadores se encuentran expuestas a ataques informticos con tanta frecuencia
que es necesario imponer una gran cantidad de requisitos de seguridad para la proteccin de sus
recursos. Aunque las deciencias de estos sistemas se pueden comprobar mediante herramientas
convencionales, no siempre son corregidas. En general, estas debilidades pueden provocar un
agujero en la seguridad de la red y facilitar entradas ilegales en el sistema.
La mayora de las organizaciones disponen actualmente de mecanismos de prevencin y de
mecanismos de proteccin de los datos integrados en sus redes. Sin embargo, aunque estos
mecanismos se deben considerar imprescindibles, hay que estudiar como continuar aumentando
la seguridad asumida por la organizacin.
As, un nivel de seguridad nicamente perimetral (basado tan solo en la integracin en la red de
sistemas cortafuegos y otros mecanismos de prevencin) no debera ser suciente. Debemos
pensar que no todos los accesos a la red pasan por el cortafuegos, y que no todas las amenazas
son originadas en la zona externa del cortafuegos. Por otra parte, los sistemas cortafuegos, como
el resto de elementos de la red, pueden ser objeto de ataques e intrusiones.
Una analoga que ayuda a entender la necesidad de incorporar estos elementos podra ser la
comparacin entre la seguridad de una red informtica y la seguridad de un edicio: las puertas
de entrada ejercen un primer nivel de control de acceso, pero normalmente no nos quedamos
aqu; instalaremos detectores de movimiento o cmaras de vigilancia en puntos claves del edicio
para detectar la existencia de personas no autorizadas, o que hacen un mal uso de los recursos,
poniendo en peligro la seguridad. Adems, existirn vigilantes de seguridad, libros de registro en
los que se apuntar a todo el personal que accede a un determinado departamento que
consideramos crtico, etc. Toda esta informacin se procesa desde una ocina de control de
seguridad donde se supervisa el registro de las cmaras y se llevan los libros de registro.
Todos estos elementos, proyectados en el mundo digital, conguran lo que se conoce en el mbito
de la seguridad de redes informticas como mecanismos de deteccin.
5.1.2 Qu es un ataque?
Un ataque ocurre cuando una persona o un grupo de personas intenta acceder, modificar o daar
un sistema o entorno. Estos ataques pueden ser simples y no estar relacionados o pueden ser ms
complejos y ejecutados en forma organizada.
Un ataque ocurre de diferentes formas y por distintas razones. Estos ataques generalmente
intentan lograr algunos de estos objetivos:
Un ataque de acceso: es un ataque donde alguien quiere acceder a sus recursos. Ataca la
privacidad.
Un ataque de modificacin: es un ataque de alguien que quiere modificar los datos de su
sistema. Ataca la integridad.
Un ataque de denegacin de servicio: Es un ataque de alguien que quiere interrumpir
algn servicio de networking. Ataca la disponibilidad.
Un ataque de fabricacin: consiste en falsificar la informacin. Ataca la autenticidad.
5.1.2 Motivaciones
Las personas que ataquen los sistemas se ven motivados por diferentes razones:
Por diversin o desafo: Un usuario malicioso podra intentar atacar cualquier sitio slo con
el fin de divertirse o probar que puede hacerlo.
Por venganza: Un empleado descontento o algn empleado de la competencia podra
atacar sus sistemas para tomar venganza de alguna situacin que lo haya desfavorecido.
Por terrorismo: Alguna organizacin que tenga fines polticos y/o religiosos puede
comprometer la informacin o la estabilidad de su sistema para imponer su ideologa.
Rdito econmico: Algn usuario malicioso podra comprometer el funcionamiento de sus
sistemas o alterar la informacin de los mismos con el fin de verse favorecido
econmicamente.
Ventaja competitiva: Una empresa de la competencia podra acceder a sus sistemas para
recabar informacin de ndole estratgico empresarial y ubicarse en una mejor posicin
competitiva.
Poder: Algunas personas podran intentar acceder a la informacin sensible que reside en
sus sistemas slo para tener el conocimiento de esa informacin.
Protocolos
Ambiente multilenguaje y multiproveedor
Dispersin geogrfica
Falta de actualizacin del software de base
Uso incorrecto de las aplicaciones
Errores en los programas
Errores de configuracin
Passwords
Falta de supervisin y/o control
5.2.2 Protocolos
An cuando mantengamos nuestro software libre de problemas de implementacin, nuestras
configuraciones totalmente libres de errores, y todos los usuarios protegidos con contraseas de
alta complejidad, podemos ser vulnerables. Esto es debido a que muchas vulnerabilidades se
encuentran asociadas a las definiciones de los protocolos.
Es necesario diferenciar entre la definicin de un protocolo y su implementacin. La definicin de
un protocolo generalmente es creada por entidades generadoras de estndares, como la IETF
(Internet Engineering Task Force) que define protocolos a travs de los documentos RFC. Las
implementaciones son creadas por las entidades desarrolladoras de software. As es como
tenemos, por ejemplo, diferentes implementaciones de TCP, existe una implementacin de
Microsoft, de Solaris, Linux, SCO, IBM, Cisco, etc. Muchas veces, las diferentes implementaciones
no se comportan de la misma manera, a pesar de ser conformes a la definicin del protocolo. Si la
definicin del protocolo o la implementacin tienen un problema de seguridad, nuestra red ser
vulnerable.
Cuando se crearon los protocolos que hoy sirven de base para Internet, tuvieron como objetivo la
alta disponibilidad, y no la seguridad. As es como podemos encontrar mltiples problemas de
seguridad en su definicin. A medida que se han encontrado las vulnerabilidades, algunos
protocolos han evolucionado en nuevas versiones, se han creado protocolos complementarios
para segurizarlos o, sencillamente, se difundi el problema pero no se modific el protocolo.
Un ejemplo claro de este tipo de problemas es el protocolo ms difundido globalmente: IP. El
protocolo IP transporta los datos encapsulados en texto plano, con lo que cualquier usuario que
escuche la red, podr interpretar la informacin. Tampoco realiza ningn control sobre el emisor,
as es como cualquier usuario puede cambiar su direccin IP y hacerse pasar por otro usuario
(esto se denomina "spoofing"). Actualmente se encuentra en investigacin la nueva versin del
protocolo IP: IP versin 6, que define las herramientas necesarias para evitar estos problemas.
Dado que IPv6 an no se encuentra implementado mundialmente, se ha creado un protocolo
complementario a la versin actual de IP, que sirve de solucin temporal a los problemas de
seguridad de IP: IPSec.
beneficios al momento de realizar una compra de una plataforma o un sistema de base, dado que
podemos seleccionar lo que se ajuste mejor a nuestras necesidades. El problema que esto trae
aparejado es que se necesitarn diferentes herramientas de control y/o administracin y personal
especializado en cada una de las plataformas en uso dentro de la organizacin. Cuanta mayor sea
la diversidad de plataformas, mayor ser la cantidad de problemas de seguridad y mayor ser el
riesgo al que estaremos expuesto. Las empresas desarrolladoras de software y hardware van
evolucionando en el tiempo y son muy dinmicas. Se fusionan con otras empresas, son absorbidas
y eliminadas del mercado, se dividen, etc. Debido a esto, es imposible mantenerse siempre bajo la
misma plataforma.
Un ejemplo de esto, es el uso de SMB para compartir archivos mediante Internet . El protocolo
SMB fue creado para su utilizacin dentro de una red LAN confiable, si se lo utiliza mediante redes
no confiables, corremos el riesgo de compartir archivos hacia terceras personas, dar acceso a los
recursos de nuestra red, o an incluso perder nuestra informacin.
Otro ejemplo podra ser el uso de una consola remota Telnet para realizar configuraciones de
equipos a travs de Internet. Ya hemos visto los problemas de seguridad que tiene Telnet, por lo
que corremos el riesgo de difundir nuestras configuraciones a cualquier usuario malicioso que lo
desee. En lugar de Telnet, se debera utilizar SSH.
5.2.8 Passwords
El problema de seguridad ms comn no proviene de fallos en implementaciones o problemas de
seguridad de los protocolos utilizados, sino que proviene de contraseas inseguras o fciles de
adivinar. Este inconveniente es muy fcil de solucionar (slo es necesario cambiar la contrasea),
pero muy difcil de concientizar a los usuarios de la red a utilizar contraseas complejas, variantes
en el tiempo. Es necesario hacer responsable al usuario de las acciones que se realicen con su
nombre de usuario y contrasea. De esta forma, el usuario tendr ms cuidado al momento de
distribuir sus datos.
Un usuario malicioso que quiera conocer la contrasea de otro usuario, podra realizar repetidos
intentos hasta obtener el ingreso. Por lo que tambin es necesario realizar un control de la
cantidad de intentos fallidos de ingreso. En general se permiten slo tres intentos fallidos, luego
de eso, se puede deshabilitar la cuenta por un tiempo determinado o hasta que el administrador
la vuelva a habilitar.
La mayora de los sistemas operativos de red permiten definir una poltica de contraseas. En
general, se puede definir la longitud mxima y mnima, el perodo mximo en que estar activa
(pasado ese perodo deber ser cambiada), el perodo mnimo en que estar activa (el tiempo que
debe transcurrir antes que un usuario est habilitado para cambiar su contrasea), un control de
complejidad (para evitar contraseas triviales), un control de historial (para evitar que se repitan
las contraseas), etc.
Valores de una poltica de contraseas seguras:
Longitud mxima: -
Perodo mnimo: 1 da
CNAME (canonical name) -- Provee nombres o alias adicionales para localizar una
computadora
SamSpade: Esta herramienta provee informacin sobre el DNS, WHOIS, IPBlock y permite
hacer Ping, Dig, Trace, etc.
Web Data Extractor Tool: Esta herramienta extrae data de los meta tags, enlaces, email,
nmeros telefnicos, fax, entre otras cosas y permite almacenarlos en el disco duro.
Spiderfoot: Esta herramienta provee informacin sobre sub-dominios, versin del web
server, dominios similares, emails y bloques de red (Netblocks)
NsLookup: Nslookup es una herramienta valiosa para hacer consultas a los DNS para la
resolucion de nombres de Host. Viene instalado en los sistemas operativos UNIX y
Windows y se puede accesar a travez del command prompt.
es capaz de construir un mapa de la red objetivo. Este tipo de herramientas renen las
caractersticas necesarias como para consultar que hosts se encuentran disponibles, que servicios
en ellos se ejecutan y mucha informacin adicional, de suma importancia para el atacante. (Ej.:
Cheops-NG).
Port scanners: Un port scanner o escaner de puertos, es una herramienta diseada
especficamente para indagar un host, acerca de sus puertos abiertos. Como tal, esta herramienta
suele ser de suma utilidad para el atacante, a la hora de identificar los puertos abiertos del host
objetivo, as como tambin los servicios que en l se encuentran corriendo. (Ej.: Nmap)
Vulnerability Scanners: Los scanners de vulnerabilidades, son herramientas diseadas para buscar
e identificar vulnerabilidades y/o debilidades en una aplicacin, host o red. Estos se componen
bsicamente de un conjunto de herramientas de descubrimiento, y escaneo, ms una base de
datos de vulnerabilidades conocidas, contra las cuales se intenta hacer corresponder cada uno de
los hallazgos. (Ej.: Nessus). Al trmino de esta fase, el atacante debera haber sido capaz de
obtener el conjunto de informacin necesaria, a efectos de decidir el o los puntos especficos que
intentar vulnerar. Dicha informacin incluye pero no se limita a: Sistemas Telefnicos a la espera
de comunicaciones entrantes, puertos de servicios abiertos-cerrados-filtrados, posibles
vulnerabilidades relacionadas con los servicios ofrecidos por el sistema, red o host objetivo.
Algunos de los tipos de ataque mediante scanners son: Escaneo de conexin TCPconnect, Escaneo
TCP reverse ident, FTP bounce attack, Escaneo UDP ICMP port unreachable, Fingerprinting,
Escaneo TCP SYN, Escaneo TCP FIN, Stealth Port Scanning, Escaneo de fragmentacin,
Eavesdropping-Packet Sniffing, Snooping, Downloading.
Contramedidas: Entre las contramedidas bsicas relacionadas con la mitigacin del riesgo en esta
fase, se puede mencionar el filtrado de puertos, la eliminacin en el sistema de los servicios
innecesarios, la implementacin de sistemas de deteccin y prevencin de intrusos, etc.
Filtrado de paquetes
Como contra medida general, siempre tenemos que tener en cuenta al filtrado de paquetes y la
revisin peridica de los archivos de logs para conocer los eventos que han sucedido en el
sistema.
Escalada de privilegios: Este tipo de ataque, puede ser el siguiente paso de un atacante luego de
haber obtenido acceso a un sistema, ya que permite obtener permisos como Administrador al
equipo, de ese modo no se tienen derechos restringidos.
Un atacante puede causar la mayora del dao consiguiendo privilegios administrativos en una
red. Hay varias utilidades que un atacante puede utilizar para ganar privilegio administrativo. Por
ejemplo, la utilidad Getadmin.exe en sistemas Microsoft, es usada para otorgar a usuarios
comunes privilegios administrativos agregando a estos usuarios al grupo de administradores. Esta
utilidad funciona con todas las cuentas excepto con la cuenta de Guest.
Es importante observar que cualquier cuenta se haya concedido el Debug Programs right.
Siempre se podr ejecutar satisfactoriamente Getadmin.exe, incluso despus de la aplicacin del
hotfix. Esto es porque el Debug Programs right habilita al usuario a adjuntar cualquier proceso.
El Debug Programs right es inicialmente otorgado a Administradores y debe ser utilizado
nicamente con usuarios altamente confiables. Tambin, si Getadmin.exe se ejecuta con una
cuenta que sea ya un miembro del grupo local de los administradores, continua funcionando
(incluso luego de aplicar el hotfix).
Como ejemplo, por defecto Windows XP instala el software de ayuda y accesibilidad que se activa
pulsando la tecla SHIFT 5 veces seguida. Si lo haces vers que aparece una ventana que te permite
configurar la aplicacin. El fichero que se ejecuta es sethc.exe ubicado en
C:\WINDOWS\SYSTEM32. El ataque consiste en sustituir sethc.exe por cmd.exe (esto se puede
hacer con un disco de arranque ntfsdos o con un LIVE CD de Linux como Knoppix) y as cuando
pulsemos la tecla SHIFT 5 veces seguidas se nos abrir la shell de comandos, desde la cual
podemos hacer TODO lo que queramos con el equipo. La cosa est en pulsar 5 veces la tecla SHIFT
antes de iniciar sesin, y se nos abrir la shell con permisos de ADMINISTRADOR.
cortafuegos y las listas de control), la mayor parte de las conexiones sern eliminadas. De esta
forma, el atacante slo descubrir dos de las mquinas de la red (el servidor de DNS y el servidor
web). El atacante decide atacar el servidor de HTTP. Para ello, tratar de descubrir que tipo de
servidor est funcionando en este equipo (le interesa el nombre y la versin del servidor en
cuestin), ya que es muy probable que existan deciencias de programacin en la aplicacin que
est ofreciendo dicho servicio. Por otra parte, el atacante tambin intentar descubrir el sistema
operativo y la arquitectura hardware en la que se ejecuta el servidor. Esta informacin ser
importante a la hora de buscar los exploits que nalmente utilizar para realizar el ataque de
intrusin. Para obtener toda esta informacin, el atacante tiene suciente con las entradas de DNS
que la propia compaa le est ofreciendo (a travs de los campos HINFO de las peticiones). De
esta forma, el atacante descubre que el servidor web est funcionando bajo una arquitectura
concreta y que en este servidor hay instalado un determinado sistema operativo.
Otra fuente de informacin para descubrir el sistema operativo y la aplicacin que ofrece el
servicio web, y contrastar as la informacin ya obtenida, podran ser las cabeceras de las
respuestas HTTP que el servidor enva a cada peticin de HTTP o HTTPS).
El atacante, que colecciona un amplio repertorio de aplicaciones para abusar de este producto,
acabar obteniendo un acceso con privilegios de administrador. Supongamos, por ejemplo, que
dicha intrusin la realiza gracias a la existencia de un buffer mal utilizado que existente en la
aplicacin en cuestin.
La primera observacin que podemos indicar de todo el proceso que acabamos de describir es
que los mecanismos de prevencin de la red permiten la realizacin de este abuso contra el
servidor de HTTP, ya que la forma de realizar el desbordamiento de buffer se realizar mediante
peticiones HTTP legtimas (aceptadas en las listas de control del sistema cortafuegos).
As pues, sin necesidad de violar ninguna de las polticas de control de acceso de la red, el
atacante puede acabar hacindose con el control de uno de los recursos conectados a la red de la
compaa.
Una vez comprometido el servidor de HTTP, el intruso entrar en la fase de ocultacin y
comenzar a eliminar rpidamente todas aquellas marcas que pudieran delatar su entrada en el
sistema. Adems, se encargar de instalar en el equipo atacado un conjunto de rootkits. Una
rootkit es una recopilacin de herramientas de sistema, la mayora de ellas fraudulentas, que se
encargarn de dejar puertas abiertas en el sistema atacado, para garantizar as futuras conexiones
con la misma escalada de privilegios, as como ofrecer la posibilidad de realizar nuevos ataques al
sistema o a otros equipos de la red (denegaciones de servicio, escuchas en la red, ataques contra
contraseas del sistema, etc).
Una vez nalizada la fase de ocultacin de huellas, el atacante dispone de un equipo dentro de la
red que le podr servir de trampoln para realizar nuevos ataques e intrusiones en el resto de
equipos de la compaa. Adems, operando desde una mquina interna de la red, el atacante ya
no estar sujeto a las restricciones impuestas por los sistemas de prevencin.
Finalmente, una vez llegados a este punto el atacante dispondr sin ningn problema de los datos
que los clientes tienen almacenados en la base de datos.
Este ejemplo nos muestra como la existencia de un sistema cortafuegos (u otros mecanismos de
prevencin) y la utilizacin de comunicaciones cifradas (como un mecanismo de proteccin de
datos) no es suciente a la hora de defender nuestros sistemas de red.
5.4.1 Interceptacin
En un entorno de seguridad informtica, nos referimos a interceptacin cuando un usuario no
autorizado obtiene acceso a la informacin. Estos tipos de ataques resultan complejos de detectar,
sobre todo si es pasivo y el atacante no deja huellas. En las siguientes secciones se analizarn,
entre otros, los siguientes ataques de interceptacin y sus contramedidas:
Eavesdropping
STP Manipulation
CAM table overflow
5.4.2 Modificacin
En un ataque por modificacin, un usuario malicioso generalmente obtiene acceso no autorizado
a un recurso con los privilegios necesarios para cambiar el entorno y lo hace para su beneficio.
Modificar un flujo de datos en una transmisin de red o archivos en un servidor pueden ser
ejemplos de estos ataques. En estos casos, la deteccin puede ser ms sencilla que en la
interceptacin porque existe informacin que se modifica. De todas formas, la deteccin de
modificacin requiere un estudio exhaustivo por parte de un analista en seguridad.
5.4.3 Interrupcin
La interrupcin consiste en daar o dejar sin funcionamiento un sistema completo o parte de ste.
Para un atacante, puede ser un desafo, una venganza o la forma de facilitarle el acceso a algn
otro recurso. Si bien la deteccin es inmediata, los daos ocasionados por la suspensin del
servicio y el tiempo de recuperacin pueden ser muy importantes y se deben tomar la mayor
cantidad de recaudos posibles para evitar sufrir un ataque de este tipo.
5.4.4 Falsificacin
La falsificacin puede aplicarse a la creacin de nuevos objetos dentro del sistema, o simplemente
participar en una conversacin simulando ser otro interlocutor. Un ejemplo muy comn es un
usuario malicioso, quien altera su identidad simulando ser un host determinado con el fin de
obtener algn beneficio propio. Existen diferentes tcnicas de detectar los intentos de falsificacin
y se revisarn posteriormente en las siguientes secciones.
5.4.5 Reconocimiento
El reconocimiento es el descubrimiento no autorizado de la topologa de la red, sus sistemas,
servicios o vulnerabilidades. Este proceso (que consiste en obtener informacin) en la mayora de
los casos precede a un ataque por denegacin de servicios (DoS). Es importante notar que los
atacantes se aprovechan de las debilidades presentes en la red y de la publicacin de informacin
que se haga. El reconocimiento es algo similar a un ladrn oportunista, que constantemente
rastrea el panorama buscando alguna debilidad (como una puerta abierta, o un descuido) para
aprovecharse. Como se mencion anteriormente, el reconocimiento es el descubrimiento no
autorizado de la topologa de la red, sus sistemas, servicios o vulnerabilidades
Este proceso consiste generalmente en estos pasos:
El usuario malicioso (intruso) tpicamente realiza barridas de ping a la red destino para
determinar qu direcciones IP estn siendo utilizadas. Las barridas de ping consisten en
enviar paquetes ICMP echos a cada uno de los nmeros IP que forman la red de la vctima.
Una vez que el atacante puede determinar qu hosts son utilizados, se utiliza un localizador
de puertos disponibles (port scanner) para determinar qu servicios estn activos en cada
una de las direcciones IP.
Cuando se obtuvo la lista de puertos disponibles en cada IP, resta conectarse a las
aplicaciones de cada uno de los puertos donde se encontr algn servicio. As se podr
determinar el tipo y versin de cada uno, como tambin el tipo y versin del sistema
operativo del host.
Basado en esta informacin, el intruso puede determinar si existe alguna posible vulnerabilidad
que pueda explotar. Para realizar cada paso del reconocimiento de una red, existen numerosas
herramientas o alternativas. Algunas herramientas ya integran toda la secuencia de pasos:
detectan los hosts alcanzables en una red, y por cada uno de estos realizan una bsqueda de sus
servicios y vulnerabilidades. Utilizando, por ejemplo, las herramientas nslookup y whois, un
atacante puede determinar tambin el rango de direcciones IP asignados a una corporacin o
entidad.
Sondeo ICMP: Un sondeo ICMP revelara en redes potencialmente dbiles y poco protegidas,
informacin sobre sus equipos. Existen varios tipos de mensajes ICMP, pero a nosotros nos
interesan especialmente cuatro de ellos, que son los que resultan verdaderamente tiles para
rastrear una red.
Echo request: Tambin conocidos como paquetes ping. Mediante Nmap, podemos realizar
barridos ping para identificar de una manera sencilla los equipos de la red.
Timestamp request: Son solicitudes de tiempo y se utilizan para obtener el tiempo que
tarda nuestro equipo en obtener una respuesta del equipo victima.
direcciones de red.
Subnet address mask request: Estos mensajes revelan informacin sobre la mascara de
subred utilizada por el equipo analizado. Esto servir al atacante para realizar el mapa de la
estructura de la red y sus subredes.
Barrido ICMP: Permite realizar barridos ICMP con el fin de localizar maquinas internas. Un barrido
ICMP consiste en enviar mensajes de tipo 8 "echo request" a todas las direcciones IP internas de la
red. Con Nmap se realizara con el comando:
$
sudo
nmap
-sP
192.168.2.0/24
Starting
Nmap
4.62
( http://nmap.org ) at 2008-12-22 01:46 CET n hostname -replacing with '*' Host (192.168.2.1) appears to be up. MAC
Address: 00:XX:XX:XX:XX:XX Host 192.168.2.100 appears to be up.
Host 192.168.2.103 appears to be up. Host 192.168.2.114 appears to
be up. Host 192.168.2.116 appears to be up. Host 192.168.2.117
appears to be up. Host 192.168.2.124 appears to be up. Nmap done:
256 IP addresses (7 hosts up) scanned in 2.142 seconds
Con el argumento -sP, estamos indicando a Nmap que realice un barrido ping en la red. Un
administrador competente, habr filtrado el trfico ICMP en los Firewalls y en el router, por ello
esta tcnica quedara obsoleta y habra que condimentarla con algo ms. Podramos aadir al
comando el argumento "-PI", que enviar paquetes de sondeo TCP ACK y SYN al puerto 80 de cada
equipo:
$
sudo
nmap
-sP
-PI
192.168.2.0/24
Starting
Nmap
4.62
( http://nmap.org ) at 2008-12-22 01:46 CET n hostname -replacing with '*' Host (192.168.2.1) appears to be up. MAC
Address: 00:XX:XX:XX:XX:XX Host 192.168.2.100 appears to be up.
Host 192.168.2.103 appears to be up. Host 192.168.2.107 appears to
be up. Host 192.168.2.114 appears to be up. Host 192.168.2.116
appears to be up. Host 192.168.2.117 appears to be up. Host
192.168.2.124 appears to be up. Host 192.168.2.136 appears to be
up. Host 192.168.2.141 appears to be up. Nmap done: 256 IP
addresses (7 hosts up) scanned in 6.053 seconds
Como se apreciar, hemos obtenido ms informacin con este comando que con el anterior.
Rastreo Vainilla connect(): TCP es un protocolo de control en el que por medio de banderas (flags)
se controla la conexin realizada, indicando cuando se inicia, cuando se establece, cuando
finaliza... En el protocolo TCP, para indicar que se va a establecer una conexin, se enva un
paquete con flag SYN de sincronizacin de los sequence numbers (nmeros de secuencia) a un
puerto determinado, la maquina receptora, si tiene ese puerta abierto, enviar un paquete con
flag SYN para sincronizar los nmeros de secuencia y un paquete con flag ACK para afirmar que la
conexin ha sido realizada, finalmente, el primer equipo (cliente) enviar un paquete con flag ACK
para asegurar que la conexin se ha establecido tambin por parte del cliente. Sin embargo, si el
cliente enva un paquete con flag SYN a un puerto que se encuentra cerrado o filtrado, el servidor
responder con un paquete con flag RST.
Rastreo de flag SYN medio abierto: para sincronizar una conexin entre dos equipos utilizando el
protocolo TCP/IP, el cliente manda al servidor un SYN, el servidor responde con un SYN/ACK en el
caso de que el puerto est abierto y con un RST si est cerrado. En el caso de que est abierto y se
enve el SYN/ACK, el cliente concluye con un ACK. La tcnica de rastreo de flag SYN medio abierto
se distingue de la Vainilla connect() en que esta ltima, si el puerto est abierto, el cliente
responde con un flag ACK. En SYN medio abierto, en caso de que se encuentre abierto el puerto,
en lugar de responder con un ACK se responde con un RST, lo que provoca que se reinicie
bruscamente la conexin. Estos dos mtodos son fcilmente detectados por los IDS, as que no
son aconsejables en caso de querer realizar un anlisis sigiloso. Para realizar estos rastreos
podemos utilizar Nmap con el argumento -sS: $ nmap -sS 192.168.2.156
En Nmap se puede ajustar la poltica de tiempos con el argumento "-T". Con el argumento "-T
sneaky" se puede llegar a burlar la seguridad de los Firewalls. Esto consiste en enviar muy
rpidamente paquetes SYN a diferentes puertos, lo que provocar un desbordamiento de SYN (un
tipo de DoS).
Mtodos de rastreo sigiloso: Estos tipos de mtodos, aprovechan la estructura de la propia pila
TCP/IP para escanear sin ser detectados (en algunas ocasiones, ya que depender del IDS y
sobretodo del SO). Cuando en los mtodos anteriores envibamos paquetes SYN a un host y este
nos responda con el conocido SYN/ACK, daba a conocer que el puerto en cuestin estaba abierto,
pero cuando responda con un RST, daba a entender que el puerto estaba cerrado o filtrado.
Muchos IDS son capaces de detectar paquetes con el indicador SYN recibidos y lo que harn ser
avisar al administrador de sistema dicindole: "Estn evalundonos!", a lo que el administrador
del sistema responder tomando mayores medidas de seguridad.
Rastreo TCP con indicador inverso: Este rastreo va a consistir en enviar sondeos con indicadores
de tipo FIN, URG, PUSH y NULL. Existen tres tipos de sondeos:
Sondeo XMAS = Consistir en enviar paquetes con los indicadores FIN, URG y PUSH.
conectar a un puerto cerrado. Por eso esta tcnica slo es eficaz con plataformas UNIX.
Para realizar uno de estos sondeos podemos utilizar Nmap con sus respectivos argumentos:
Rastreo con indicador ACK: Otra tcnica sigilosa es la de enviar paquetes con indicador ACK y
luego analizar la informacin de los paquetes RST recibidos. Esta tcnica explota vulnerabilidades
de la pila TCP/IP de sistemas BSD. Existen dos modos de hacerlo:
Anlisis del TTL: El TTL es el tiempo de vida de los paquetes recibidos (Time To Live). Para
realizar este ataque, hay que enviar miles de paquetes con indicador ACK a diferentes
puertos del equipo vctima. Despus habr que analizar los resultados. Nmap nos permite
hacer esto con el argumento "sA". A la hora de analizar las respuestas habr que fijarse en
el TTL del paquete.
Anlisis del campo WINDOW: Para realizar este ataque se llevar a cabo un procedimiento
similar al anterior, enviando muchos paquetes ACK y analizando el campo WINDOW del
paquete respuesta. Por norma general, los puertos cerrados tienen un valor WINDOW de 0.
Para realizarlo podemos utilizar Nmap con el argumento -sW.
Rastreo de rebote FTP (FTP bounce): Muchos servidores web tienen su propio servidor FTP y en
muchas redes podemos localizar ordenadores que hacen de servidores de archivos y utilizan el
protocolo FTP para desarrollar dicha misin. Es posible que tengamos localizado un servidor FTP
desactualizado que permita realizar este tipo de ataques. Existe une defecto en la forma en la que
los servidores FTP gestionan las conexiones mediante el comando PORT, que enva datos a
equipos y puertos especificados por el usuario.
Esto es lo que sucede cuando se lleva a cabo este ataque:
1. El atacante conecta con el puerto del servidor FTP (por defecto el 21). Introduce el modo
pasivo, el servidor por tanto es forzado a enviar datos utilizando DTP al puerto especificado
por el atacante en un objetivo.
2. El atacante intenta conectar con un puerto especfico TCP del servidor objetivo mediante el
comando PORT.
3. Se crea una conexin con el equipo objetivo especificado por el comando PORT anterior,
mediante el comando LIST. Si se observa una repuesta 226, el puerto est abierto, si la
repuesta es 425, el puerto est cerrado o filtrado.
Todo esto lo podemos hacer con Nmap mediante el siguiente comando:
$
nmap
-P0
-b
usuario:contrasea@servidor:puerto
ipdestino
En realidad el argumento que realiza el escaneo FTP bounce es el "-b". El "-P0" sirve para
especificar a Nmap que no queremos que realice un ping.
Contramedidas: El descubrimiento se basa en alcanzar mquinas de una red y explorar su
contenido. Una alternativa para evitar el descubrimiento es establecer filtros de trfico. El filtrado
de trfico puede actuar como una barrera que impida los paquetes ICMP echos (generalmente
utilizados en la primer fase del descubrimiento) como tambin un delimitador del rea donde se
brindan los servicios. La mayora de las implementaciones de los servicios permiten tambin
definir un rango de hosts permitidos y un rango de hosts denegados para acceder a sus servicios.
5.4.7 Wardriving
Es un caso particular del ataque anterior (escuchas de red) donde individuos equipados con
material apropiado (dispositivo inalmbrico, antena, software de rastreo y unidad GPS) tratan de
localizar en un vehculo, moto, caminando, puntos de acceso inalmbricos.
Service Set IDentifier) respectivamente. El BSSID suele ser la direccin MAC del equipo y, por lo
tanto, es nica. El ESSID es el nombre de 32 caracteres de la red. Todos los puntos de acceso de
una red deben tener el mismo ESSID.
A menudo al ESSID se le considera como el nombre de la red y es el parmetro clave para llevar a
cabo el descubrimiento de una red WLAN por parte de un usuario. As, existen dos procesos
mediante los cuales el usuario puede identificar la existencia de una o varias redes WLAN en
modo infraestructura. Dichos procesos de descubrimiento de red son los siguientes:
Escaneo Pasivo: El dispositivo de usuario espera recibir la seal del punto de acceso. Los
puntos de acceso emiten BEACON FRAMES cada cierto intervalo fijo de tiempo. Las
BEACON FRAMES son anuncios de la red emitidos por el punto de acceso inalmbrico que
normalmente contienen el ESSID. Los usuarios escuchan estos BEACON FRAMES e
identifican al punto de acceso. En ese momento ya puede iniciarse el proceso de asociacin
y autenticacin.
Escaneo Activo: La estacin lanza tramas a un punto de acceso determinado y espera una
respuesta. El usuario tambin puede enviar una trama PROVE REQUEST con un
determinado ESSID para ver si algn el punto de acceso inalmbrico responde.
No emitir BEACON FRAMES o emitirlos sin el ESSID permite que slo aquellos usuarios que
conozcan el ESSID de la red WLAN se puedan conectar a ella, ya que obligan a llevar a cabo el
descubrimiento de red mediante el envo de tramas PROVE REQUEST con un determinado ESSID
por parte del usuario. Este tipo de redes se conocen como redes WLAN cerradas. Sin embargo, es
posible descubrir el ESSID de una red an en estas circunstancias con dispositivos operando en
modo monitor y capturando tramas PROVE REQUEST de otros usuarios de la red. El envo de este
tipo de tramas se puede forzar mediante un ataque de denegacin de servicio en el que
desasociamos a un usuario vlido de la red para que vuelva a intentar conectar se a la misma.
5.4.9 Eavesdropping
Eavesdropping es el proceso de escuchar una conversacin o parte de sta. En eavesdropping, la
persona que "escucha" o tiene acceso a los datos de esta conversacin, lo hace slo porque
ninguna de las partes que integran la conversacin ha tenido en cuenta que sus datos pueden ser
ledos . Es decir, la posibilidad de tomar e interpretar los datos es por un descuido de las partes.
Como vimos anteriormente, la interceptacin o eavesdropping, es un proceso mediante el cual un
agente capta informacin (en claro o cifrada) que no le iba dirigida. Esta captacin puede
realizarse por muchsimos medios (por ejemplo, capturando las radiaciones electromagnticas o
simplemente interpretando las seales elctricas de los cables) . Aunque no es un ataque que
represente un dao o una baja en un servicio, lo ms peligroso del eavesdropping es que resulta
muy difcil de detectar mientras que se produce, de forma que un atacante puede capturar
informacin privilegiada sin que nadie se d cuenta. Un medio de interceptacin bastante habitual
es el sniffing. Este mtodo consiste en capturar tramas que circulan por la red mediante un
software que corre en una mquina conectada al segmento de red o bien mediante un dispositivo
que se engancha directamente el cableado. Estos dispositivos, denominados sniffers de alta
impedancia, se conectan en paralelo con el cable de forma que la impedancia total del cable y el
aparato es similar a la del cable solo, lo que hace difcil su deteccin.
falsos negativos que ocasiona debido a que en muchos casos las implementaciones de la pila
TCP/IP varan entre versiones del mismo sistema operativo. Como ejemplos destacar el filtrado de
paquetes en kernels de Linux.
En condiciones normales, los paquetes son aceptados o rechazados a nivel hardware por la tarjeta
de red segn la MAC address de destino que aparezca en el frame Ethernet. Slo si esa MAC
address es la de la propia mquina o la de broadcast, el paquete es aceptado (copiado) y
procesado (se pasa al kernel); en caso contrario, se rechaza (se ignora). Para cada PC del segmento
de red que se desee analizar se crea un paquete con una MAC address de destino que no exista en
el segmento, cualquier mquina con la tarjeta de red en modo no promiscuo rechazar
directamente un paquete que tiene como destino una que no es la suya ni la de broadcast, y no
procesar el paquete, mientras que una tarjeta en modo promiscuo pasar el paquete al kernel,
este analizar el paquete exclusivamente segn los datos del paquete IP que encapsule, el
paquete es un ping completamente normal que es contestado por la mquina que tiene el sniffer
revelando as su estado.
Filtrado de paquetes broadcast en algunos drivers de Windows: La idea es la misma que en el
filtrado de paquetes en kernels de Linux, la caracterstica a considerar en este caso es cmo el
driver del sistema operativo decide cundo un paquete va dirigido a la direccin broadcast
ff:ff:ff:ff:ff:ff, cuando la tarjeta de red est en modo no promiscuo, se verifican los seis octetos
mientras que en estado promiscuo slo se verifica el primero de ellos, este hecho facilita mucho la
deteccin de sniffers. Se crea un paquete dirigido a la MAC address ff:00:00:00:00:00, cualquier
tarjeta en modo no promiscuo lo va a rechazar automticamente, mientras que una tarjeta en
modo promiscuo con un sistema operativo Windows que use el driver afectado confundir ese
paquete con uno dirigido a broadcast, y lo procesar. Las tcnicas no dependientes del sistema
operativo son menos fiables y menos concluyentes, suelen basarse en suposiciones del
comportamiento de determinados sniffers, convirtiendo estas tcnicas intiles en determinados
ambientes. A destacar como ventaja no suelen provocar falsos negativos.
Test DNS: En este mtodo, la herramienta de deteccin en s misma est en modo promiscuo.
Creamos numerosas conexiones TCP/IP falsas en nuestro segmento de red, esperando un sniffer
pobremente escrito para atrapar esas conexiones y resolver la direccin IP de los inexistentes
host. Algunos sniffers realizan bsquedas inversas DNS en los paquetes que capturan. Cuando se
realiza una bsqueda inversa DNS, una utilidad de deteccin de sniffers huele la peticin de las
operaciones de bsqueda para ver si el objetivo es aquel que realiza la peticin del host
inexistente.
Test de ping: Este mtodo confa en un problema en el ncleo de la mquina receptora. Podemos
construir una peticin tipo "ICMP echo" con la direccin IP de la mquina sospechosa de hospedar
un sniffer, pero con una direccin MAC deliberadamente errnea. Enviamos un un paquete "ICMP
echo" al objetivo con la direccin IP correcta, pero con una direccin de hardware de destino
distinta. La mayora de los sistemas desatendern este paquete ya que su direccin MAC es
incorrecta. Pero en algunos sistemas Linux, NetBSD y NT, puesto que el NIC est en modo
promiscuo, el sniffer analizar este paquete de la red como paquete legtimo y responder por
consiguiente. Si el blanco en cuestin responde a nuestra peticin, sabremos que est en modo
promiscuo. Un atacante avanzado puede poner al da sus sniffers para filtrar tales paquetes para
que parezca que el NIC no hubiera estado en modo promiscuo.
Test ICMP: Ping de Latencia. En ste mtodo, hacemos ping al blanco y anotamos el Round Trip
Time (RTT, retardo de ida y vuelta o tiempo de latencia) Creamos centenares de falsas conexiones
TCP en nuestro segmento de red en un perodo de tiempo muy corto. Esperamos que el sniffer
est procesando estos paquetes a razn de que el tiempo de latencia incremente. Entonces
hacemos ping otra vez, y comparamos el RTT esta vez con el de la primera vez. Despus de una
serie de tests y medias, podemos concluir o no si un sniffer est realmente funcionando en el
objetivo o no.
Test ARP: Podemos enviar una peticin ARP a nuestro objetivo con toda la informacin rpida
excepto con una direccin hardware de destino errnea. Una mquina que no est en modo
promscuo nunca ver este paquete, puesto que no era destinado a ellos, por lo tanto no
contestar. Si una mquina est en modo promiscuo, la peticin ARP sera considerada y el ncleo
la procesara y contestara. Por la mquina que contesta, sabremos que la mquina est en modo
promiscuo.
Test Etherping: Enviamos un ping echo al host a testear con una IP de destino correcta y direccin
MAC falseada. Si el host responde, es que su interfaz est en modo promiscuo, es decir, existe un
sniffer a la escucha y activo.
es tan fcil como encontrar carpetas compartidas en Windows, Unix o Macintosh con acceso
pblico sin contraseas). Tambin puede resultar en la modificacin, copia o eliminado de
informacin.
El atacante enva una trama de disasociacin a la vctima para que busque un punto de acceso al
que conectarse. Posteriormente hace creer a la vctima que es el punto de acceso original, pero
operando en otro canal, obtiene de la vctima la informacin necesaria para conectarse a la red y
se conecta al punto de acceso original con la otra tarjeta, hacindose pasar por un usuario vlido.
Contramedidas: Para evitar los ataques de man-in-the-middle resulta fundamental poder asegurar
que los extremos de una comunicacin son quien dicen ser. Esto se puede lograr utilizando
autenticacin mediante una entidad certificante.
algn Firewall y los hosts del segmento confan entre s. Si un usuario malicioso pudiera atacar a
slo uno de los servidores comprometera la seguridad de la red completa.
Otra forma de un acceso involucra la escalacin de privilegios. La escalacin de privilegios ocurre
cuando un usuario obtiene privilegios o derechos para la ejecucin de comandos o acceso a
archivos que le estn asignados por el administrador. Una vez que un usuario malicioso escala en
los niveles de privilegios, puede instalar sniffers, crear cuentas con accesos ocultos, utilizarla para
un DDoS y eliminar archivos (o parte de estos) del registro del sistema.
Los sistemas ms comunes que implementan relaciones de confianzas son:
Active Directory y Dominios en entornos Windows
NFS y NIS en entornos UNIX
Contramedidas: Para evitar ataques por abuso de relaciones de confianza lo ms importante es
mantener a todos los hosts del dominio (que forman la relacin de confianza) lo ms protegidos
posibles. Esto implica las actualizaciones ms recientes de seguridad en los servicios y sistemas
operativos como tambin la implementacin de tcnicas de Firewall para evitar los accesos no
autorizados. Otro punto a tener en cuenta es no ejecutar servicios que no sean estrictamente
necesarios. Aunque los servicios se ejecuten slo para un dominio de confianza, piense que si el
servicio no es necesario, es una posibilidad ms de acceso a nuestro host para un atacante.
se puede utilizar software especfico, como ya hemos visto, que permite mantener un hash de los
archivos crticos, con lo que cualquier modificacin no autorizada generar un hash diferente al
guardado, lo que permitir su deteccin.
5.5.5 IP spoofing
En un ataque de falsificacin de IP (IP spoofing), el intruso cambia la direccin IP de los paquetes
transmitidos, falsificando la direccin IP origen para hacerse pasar por otro usuario. De esta
forma, el intruso asume la identidad de un usuario vlido y obtiene los privilegios de acceso de
ese usuario. Durante un ataque de IP spoofing, el atacante, desde una red externa, pretende
hacerse pasar por un usuario de confianza. El atacante podra utilizar una direccin IP dentro del
rango de direcciones de la red, o utilizar una direccin externa que es de confianza y tiene
permitido el acceso a los recursos de la red.
Normalmente, un ataque de IP spoofing se encuentra limitado a la insercin de datos o comandos
dentro de un flujo de datos existente de una aplicacin cliente-servidor, o una conversacin par a
par. El atacante, simplemente enva la informacin, pero no espera respuesta alguna, dado que el
sistema atacado, enviar la respuesta a la direccin IP origen, y no al atacante.
Para lograr una comunicacin bidireccional, el atacante debera cambiar las tablas de
enrutamiento de los dispositivos intermedios entre l y el objetivo, de forma de crear un camino
de vuelta para los paquetes con su direccin IP falsificada.
As como el eavesdropping, los ataques por IP spoofing no se encuentran limitados a atacantes
externos. Este ataque puede ser usado por usuarios internos de la red para lograr ciertos
privilegios asignados slo a unas direcciones IP.
Adems de esta tcnica, otra forma ms sencilla es la de redefinir la direccin fsica o MAC de una
interfaz inalmbrica por una direccin MAC vlida dentro del sistema atacado. Para ello, basta con
emplear un sniffer que permita capturar alguna MAC vlida en el sistema y posteriormente
esperar a que sta deje de transmitir en el sistema o emplear un ataque DoS contra ella para
desconectarla de la red y utilizar su direccin MAC. Esta prctica permite romper filtros basados
en direcciones MAC. Con cualquiera de estas tcnicas, el atacante ser capaz de recopilar
informacin sensible como contraseas, nmeros de cuenta, etc.
Contramedidas: Para evitar ataques por IP spoofing, se pueden crear filtros de paquetes
especficos, que no permitan el ingreso de paquetes con direccin IP origen de la red que quieren
acceder. Para evitar los ataques internos, la asignacin de privilegios debera realizarse en base a
un nombre de usuario u otro mtodo de autenticacin, y no a una direccin IP.
La primera variante del envenenamiento de cach de DNS involucra redirigir el nombre del
servidor del atacante del dominio hacia el servidor de nombres del dominio objetivo, luego se
asigna a dicho servidor de nombres una direccin IP especificada por el atacante.
La segunda variante de envenenamiento de cach DNS involucra redirigir el servidor de nombres
de otro dominio hacia otro dominio no relacionado a la peticin original de una direccin IP
especificada por el atacante.
La tercera variante de envenenamiento de cach de DNS, que es denominada falsificacin de DNS
(DNS Forgery) involucra hacer demorar la respuesta real hacia una consulta recursiva DNS hacia el
servidor DNS. Las consultas DNS contienen un nmero identificador (nonce) de 16 bits, utilizado
para identificar las respuestas asociadas a una respuesta dada. Si el atacante puede predecir
exitosamente el valor de dicho nmero identificador y devolver la respuesta primero, el servidor
aceptar la respuesta del atacante como vlida. Si el servidor elige aleatoriamente el puerto
origen de respuesta, el ataque se volver ms dificultoso, dado que la respuesta falsa debe ser
enviada por el mismo puerto desde donde la consulta se origin.
Enviando un nmero de peticiones simultneas de DNS al servidor para forzarlo a enviar ms
consultas recursivas, la probabilidad de predecir exitosamente uno de los nmeros identificadores
se incrementa. Esta modificacin es una forma de ataque de cumpleaos (birthday attack).
Contramedidas: Muchos ataques de envenenamiento de cach puede ser prevenidos
simplemente por servidores DNS siendo menos confiables que la informacin pasada por ello por
otros servidores DNS, e ignorando cualquier registro DNS retornado y que no sea directamente
relevante a la consulta. Por ejemplo, versiones recientes de BIND ahora contienen cdigo que
evala estos casos. Como se mencion anteriormente, la seleccin aleatoria del puerto origen de
consultas DNS, combinada con el uso de nmeros aleatorios critogrficamente seguros para elegir
el puerto y el nmero identificador de 16 bits puede reducir grandemente la probabilidad de
ataques de carrera DNS exitosos. Una versin segura de DNS, DNSSEC, utiliza firmas criptogrficas
electrnicas validadas con un certificado digital confiable para determinar la autenticidad de los
datos. DNSSEC puede contener ataques de envenenamiento de cach.
Este tipo de ataque puede ser mitigado tambin por las capas de transporte o aplicacin para
conseguir validacin extremo a extremo (end-to-end validation) una vez que una conexin es
establecida en extremo. Un ejemplo comn de esto es el uso de Seguridad de Capa de Transporte
y firmas digitales. Por ejemplo, usando la versin segura de HTTP, HTTPS, los usuarios pueden
verificar si el certificado digital es vlido y pertenece al dueo esperado de un sitio web. De
manera similar, el programa de inicio de sesin remoto SSH verifica certificados digitales en los
extremos (si los conoce) antes de proseguir con una sesin. Para aplicaciones que descargan
actualizaciones automticamente, la aplicacin puede alojar una copia local del certificado digital
de los datos y validar el certificado almacenado en la actualizacin de software contra el
certificado alojado.
de la poltica del mismo origen de los navegadores. Normalmente las peticiones del cdigo
embebido en las pginas web (Javascript, Java, Flash..) estn limitadas al sitio web desde el que se
han originado (poltica del mismo origen). DNS rebinding puede mejorar la habilidad de Malware
basado en Javascript para penetrar en redes privadas transtornando la poltica del mismo origen.
Usando DNS rebinding un atacante puede sortear Firewalls, navegar en intranets corporativas,
mostrar documentos sensibles, y comprometer mquinas internas sin parchear. El atacante
registra un dominio el cual delega a un servidor DNS que l controla. El servidor est configurado
para responder con un parmetro TTL muy corto, que previene que la respuesta sea cacheada. La
primera respuesta contiene la direccin IP de el servidor con el cdigo malicioso. Las
consiguientes respuestas contienen direcciones IP de redes privadas falsas (RFC 1918)
presumiblemente detrs de un Firewall que es la meta del atacante. Dado que las dos son
respuestas DNS completamente vlidas, autorizan al script el acceso a hosts dentro de la red
privada. Devolviendo mltiples direcciones IP, el servidor DNS habilita al script para escanear la
red local o realizar actividades maliciosas.
Contramedidas: Las siguientes tcnicas pueden ser utilizadas para prevenir ataques de DNS
rebinding:
DNS pinning - fijando una direccin IP al valor recibido en la primera respuesta DNS. Esta
tcnica puede bloquear algunos usos legtimos del DNS dinmico.
Los servidores pueden rechazar peticiones HTTP con una cabecera de Host irreconocible.
5.5.8 Pharming
Pharming es la explotacin de una vulnerabilidad en el software de los servidores DNS (Domain
Name System) o en el de los equipos de los propios usuarios, que permite a un atacante redirigir
un nombre de dominio (domain name) a otra mquina distinta. De esta forma, un usuario que
introduzca un determinado nombre de dominio que haya sido redirigido, acceder en su
explorador de internet a la pgina web que el atacante haya especificado para ese nombre de
dominio. La palabra Pharming deriva del trmino farm (granja en ingls) y est relacionada con el
trmino "phishing", utilizado para nombrar la tcnica de ingeniera social que, mediante
suplantacin de correos electrnicos o pginas web, intenta obtener informacin confidencial de
los usuarios, desde nmeros de tarjetas de crdito hasta contraseas. El origen de la palabra se
halla en que una vez que el atacante ha conseguido acceso a un servidor DNS o varios servidores
(granja de servidores o DNS), se dice que ha hecho un farming.
En una conferencia organizada por el Antiphishing Working Group, Phillip Hallam-Baker defini
este trmino como "un neologismo de mercadotecnia diseado para convencer a banqueros y
empresarios de comprar nuevos equipos o accesorios de seguridad".
Si buscamos en un diccionario de ingls el trmino pharming, lo encontraremos definido como "la
produccin de frmacos a partir de plantas y animales modificados genticamente".
Todos los ordenadores conectados a internet tienen una direccin IP nica, que consiste en 4
octetos (4 grupos de 8 dgitos binarios) de 0 a 255 separados por un punto (ej: 127.0.0.1). Estas
direcciones IP son comparables a las direcciones postales de las casas, o al nmero de los
telfonos.
Debido a la dificultad que supondra para los usuarios tener que recordar esas direcciones IP,
surgieron los Nombres de Dominio, que van asociados a las direcciones IP del mismo modo que
los nombres de las personas van asociados a sus nmeros de telfono en una gua telefnica.
Los ataques mediante pharming pueden realizarse de dos formas: directamente a los servidores
DNS, con lo que todos los usuarios se veran afectados, o bien atacando a ordenadores concretos,
mediante la modificacin del fichero "hosts" presente en cualquier equipo que funcione bajo
Microsoft Windows o sistemas Unix.
La tcnica de pharming se utiliza normalmente para realizar ataques de phishing, redirigiendo el
nombre de dominio de una entidad de confianza a una pgina web, en apariencia idntica, pero
que en realidad ha sido creada por el atacante para obtener los datos privados del usuario,
generalmente datos bancarios.
Contramedidas: Anti-Pharming es el trmino usado para referirse a las tcnicas utilizadas para
combatir el pharming. Algunos de los mtodos tradicionales para combatir el pharming son la
utilizacin de software especializado, la proteccin DNS y el uso de addons para los exploradores
web, como por ejemplo toolbars. El software especializado suele utilizarse en los servidores de
grandes compaas para proteger a sus usuarios y empleados de posibles ataques de pharming y
phishing, mientras que el uso de addons en los exploradores web permite a los usuarios
domsticos protegerse de esta tcnica. La proteccin DNS permite evitar que los propios
servidores DNS sean hackeados para realizar ataques pharming. Los filtros anti-spam
normalmente no protegen a los usuarios contra esta tcnica.
5.5.9 Replay
En un ataque de repeticin de sesin, un atacante registra (monitorea y captura) todo los
paquetes y comandos que un usuario utilice en una sesin entre un cliente y un servidor. As, la
sesin puede ser "repetida" por el atacante utilizando la misma informacin que pudo obtener
anteriormente.
Contramedidas: Para evitar la repeticin de sesin se debe utilizar algn protocolo que no permita
la interpretacin de paquetes duplicados. Tambin se puede utilizar una entidad certificante que
asegure la identidad de los extremos con el fin de rechazar cualquier intento de conexin por un
host que no es quien dice ser.
ser un problema a menudo relacionado con aplicaciones basadas en TCP/IP tal como una sesin
Telnet o una aplicacin de comercio electrnico basada en la web. A fin de llevar adelante el
Hijack (secuestro) de una conexin TCP/IP, el atacante debe primero ser capaz de interceptar los
datos de un usuario legtimo, para luego insertarse en esta sesin. Una forma sencilla de ver este
ataque, es por medio de un ejemplo conceptual el cual incluya un atacante el cual logra acceso a
un host de la red, para lgicamente desconectar este de dicha red. Acto seguido, el atacante
inserta otra mquina con la misma direccin IP y continua el dialogo con el interlocutor del
sistema desconectado ocupando su lugar. Si esto pudiera ser realizado con la suficiente rapidez, el
atacante podra ganar acceso a la sesin que involucraba al sistema desconectado y su
interlocutor, siendo que el Server podra no notar lo ocurrido y responder como si se tratara de un
cliente confiable. Si bien es cierto que este tipo de ataques suelen ser algo sofisticados, la verdad
es que con la aparicin de diferentes herramientas en condicin de automatizar los mismos,
pueden en ciertos casos ser llevados a cabo con relativa facilidad. Hunt por ejemplo, es una de las
herramientas que implementan monitoreo y secuestro de sesin, la cual funciona
excepcionalmente bien con sesiones Telnet y FTP.
Contramedidas: Una de las principales contramedidas a la hora de prevenir secuestros de sesin
en conexiones TCP/IP, radica en la utilizacin de sesiones encriptadas y de mtodos de
autenticacin fuertes. La utilizacin de protocolos tales como IPSec o Kerberos, permiten entre
otras funciones servir como contramedida para la ejecucin de ataques de secuestro de sesin.
5.5.11 Bluejacking
El trmino bluejacking se refiere a una tcnica consistente en enviar mensajes no solicitados entre
dispositivos Bluetooth, como por ejemplo telfonos mviles, PDAs o porttiles. La tecnologa
Bluetooth tiene un alcance limitado de unos 10 metros normalmente en dispositivos pequeos
(como telfonos mviles) aunque otros aparatos ms grandes (como porttiles) con transmisores
ms potentes pueden alcanzar los 100 metros. Hay quien piensa que el trmino bluejacking viene
de Bluetooth y "hijacking". Aunque suena lgico un bluejacker no intercepta nada: nicamente
utiliza una caracterstica en su dispositivo, y en el del receptor. Ambas partes mantienen el control
absoluto sobre su dispositivo, y el bluejacker no puede hacer nada, ni siquiera ver la informacin
personal contenida. Bluejacking es bastante inofensivo, pero como mucha gente no sabe qu
ocurre piensan que su telfono mvil tiene un virus o alguien entr a el. Normalmente un
bluejacker slo enviar un mensaje de texto, aunque en los modelos de telfonos ms recientes es
posible enviar tambin imgenes y sonido.
Actualmente hay varios programas utilizados para esta prctica (como Bluetooth Messenger, Easy
Jack, etc.), aunque el ms utilizado es Mobiluck. Ahora se est empezando a utilizar BT Info, que
hace muchas ms cosas: apaga el telfono de la vctima, explora su agenda y sus sms, y hasta
puede llamar y enviar mensajes.
5.5.12 Bluesnarfing
Bluesnarfing es el robo de informacin de un dispositivo inalmbrico a travs de una conexin
Bluetooth, ya sea entre telfonos, porttiles o PDAs. Esto permite acceso al calendario, la lista de
contactos, correos y mensajes de texto. Bluesnarfing es mucho mas serio en relacin al
Bluejacking, pero ambos explotan otros dispositivos Bluetooth sin su conocimiento. Cualquier
dispositivo que tenga encendido el Bluetooth y este se encuentre en Modo Descubierto (osea que
puede ser encontrado por otros dispositivos en el rango) puede ser atacado. Apagando esta
opcin puede protegerse de la posibilidad de ser Bluesnarfiado. Siendo esto una invasin de la
privacidad, el Bluesnarfing es ilegal en algunos pases. Dentro de este Rango de Herramientas
Encontramos al Mismo BT Info (Super Bluetooth Hack), el BT File Manager, el BT Explorer, Miyux y
otra gran variedad de utilidades.
5.5.13 Bluebugging
Alguna gente considera el Bluebugging como una forma de Bluesnarfing. Pero la naturaleza de
este es muy diferente. Blue Bugging fue inventado en 2004, mas o menos un ao despues de que
empezara el Bluesnarfing. Mientras el bluesnarfing se trata de robar cosas o archivos del
dispositivo de la victima, el Blue Bugging hace un trabajo diferente. Toma el control del mvil de la
victima, y por medio de comandos hace lo que el BlueBugger desee (dentro de este rango
tenemos al BT Info o Super Bluetooth Hack). Para decirlo en palabras fciles, significa que el
bluebugger toma el control de tu telfono, y lo usa para enviar mensajes o para hacer una
llamada. Mientras al principio el bluebugging requera que el bugger(literalmente) usara un
dispositivo previamente acomodado, las nuevas herramientas del bluebugging han hecho la
mayor parte del trabajo, lo que significa que cualquiera con el conocimiento y la herramienta
adecuada puede tomar control de tu telfono. Las posibilidades y consecuencias de esto, estn a
la Imaginacin.
que se logr el acceso a una estacin, servidor o dispositivo, pueden realizar diferentes acciones:
Copiar software para permitir accesos futuros (llamados rootkits)
Capturar datos que viajen por la red, mediante un sniffer
Modificar informacin
Instalar software zombies que esperarn por rdenes para realizar un ataque por DdoS.
Estas herramientas son extremadamente peligrosas, porque automatizan el proceso de un
atacante y permiten realizar ataques masivos indiscriminados. Todas las fases de un ataque
pueden verse reducidas a minutos con estas herramientas. Generalmente, los autorooters se
encuentran enfocados en la bsqueda de slo una vulnerabilidad, pero se han reportado casos de
bsqueda de mltiples vulnerabilidades.
Contramedidas:
Un Firewall con las reglas de filtrado correctas permitir un control excelente de las
conexiones entrantes/salientes de la red. Esto impedir el acceso o difusin de un
autorooter.
Siempre que sea posible, utilice stored procedures, pero no confe en ellos en un ciento
por ciento. Su mala utilizacin, puede hacer que estos tambin sean susceptibles a SQL
Injection.
El usuario sigue un enlace, que incluye codificada una cadena de entrada como argumento
de entrada a algn parmetro de la pgina del sitio web.
Este cdigo se ejecuta en el navegador de la vctima, con los mismos privilegios que
cualquier otro cdigo legtimo del mismo sitio web.
Contramedidas: El objetivo principal al intentar proteger una aplicacin contra problemas de XSS,
no es otro que el de codificar aplicaciones en forma segura, las cuales implementen y refuercen el
concepto de validacin de entradas de modo efectivo. Hoy en da algunos lenguajes han
comenzado a implementar opciones especiales a fin de verificar el input antes de que este sea
publicado en nuestro html, de este modo se obtiene un segundo control, transformando la
validacin de entrada en el primero de ellos y el encoding de la informacin a publicar en el
segundo.
domain en el navegador del visitante para recolectar las credenciales en cache de cualquier sitio,
incluyendo aquellos que utilizan SSL.
Otro mtodo ms comnmente usado toma el snippet JavaScript que contiene la solicitud TRACE y
lo inyecta en la aplicacin Web vulnerable. El JavaScript ser capaz de enviar los encabezados de
las solicitudes de la vctima, incluyendo la informacin de cookie etiquetada como httpOnly, al
atacante. httpOnly es un parmetro adicional agregado a los cookies, que oculta a los cookies de
los scripts y es soportado por la mayora de los navegadores; el mtodo TRACE, sin embargo,
puede ser usado evitar esta proteccin.
Contramedidas: Para impedir este tipo de ataque, es esencial que los mtodos PUT, DELETE,
CONNECT y TRACE estn deshabilitados en sus servidores Web ya que todos representan un riesgo
de seguridad. Si una aplicacin necesita uno o ms de estos mtodos, tal como los servicios Web
REST (que puede necesitar PUT o DELETE), es importante verificar que su uso sea apropiadamente
limitado a los usuarios confiables y en condiciones seguras. Para deshabilitar el soporte de HTTP
TRACE en un servidor Apache, fije TreaceEnable en Off. Si est corriendo IIS en un servidor
Windows, use la herramienta URLScan para rechazar las solicitudes HTTP TRACE o para permitir
solo los mtodos necesarios para satisfacer los requerimientos de su sitio y de su poltica de
seguridad. Es fcil para un atacante, o para un administrador de sistema, verificar si un servidor
Web soporta el mtodo TRACE. Usando utilitarios tales como el Netcat de fuente abierto un
servicio de redes que puede leer las conexiones de red con TCP o UDP los atacantes pueden usar
el mtodo OPTIONSS de HTTP para obtener la lista de mtodos soportados por el servidor Web.
Entre los ejemplos ms bsicos de Parameter Tampering, se encuentra el cambio del lado del
cliente de los parmetros en los campos de un formulario o la propia modificacin de atributos en
una URL determinada, con el objeto de manipular de uno u otro modo el resultado lgico de la
aplicacin.
En cuanto al uso de campos ocultos, el ejemplo ms tpico es el de la utilizacin de los mismos al
publicar el valor de determinados artculos en un portal de ventas on-line. Si para fijar el precio de
los mismos, se utilizaran campos ocultos en los formularios, un usuario malicioso podra
eventualmente interponer una aplicacin que acte de proxy http tal como Paros entre su
browser y el servidor web, para entonces capturar el trfico, editar el valor existente en el campo
oculto (no visualizado a travs del navegador, pero accesible al interceptar el trfico pues viaja
como valor oculto del formulario) y finalmente enviar al servidor el formulario con los valores de
precio del producto (del campo supuestamente oculto) modificado. Una accin de este tipo,
permitira que un atacante decida el precio a pagar por cualquiera de los artculos dispuestos en la
pgina web del portal de ventas on-line, siempre que no se cuenten con validaciones del lado del
servidor y se haya deslindado esta responsabilidad del lado del cliente.
Contramedidas: A fin de evitar el tampering, se debe evitar el uso de campos ocultos para
manejar cualquier tipo de informacin sensible. Al mismo tiempo, las validaciones en cada uno de
los parmetros utilizados en una pgina web, deben encontrarse correctamente validados.
5.5.22 Wardialing
Hace algunos aos, cuando Internet an no se encontraba desarrollada como en la actualidad,
gran parte de las comunicaciones de datos, eran realizadas a travs de la red telefnica por medio
de la utilizacin de mdems. Debido a ello, era muy comn encontrar centros de cmputos donde
se apilaban una gran cantidad de mdems conectados a un pool pre-establecido de nmeros
telefnicos, de forma tal que por ejemplo, sucursales dispersas pudieran establecer una
comunicacin con los mismos, para una vez conectados acceder a los recursos de la red interna de
la organizacin. A fin de llevar a cabo este tipo de funciones, varias compaas de desarrollo de
software comenzaron a comercializar productos (Remote Control, PCAnywhere, etc.) que fueran
capaces de, contando con una porcin CLIENTE (REMOTE) y una porcin SERVIDOR (HOST),
brindarles la capacidad a los usuarios de aprovechar sus mdems para establecer comunicaciones
de datos entre equipos.
En la actualidad, si bien es cierto que tras el auge de Internet, gran parte de las comunicaciones de
datos son cursadas a travs de dicha red, tambin lo es el hecho de que an existen aplicaciones o
soluciones que involucran la posibilidad de recibir conexiones de datos a partir de una
comunicacin del tipo Dial-Up por medio de la utilizacin de mdems. Un ejemplo de este tipo de
aplicaciones, se encuentra en centrales telefnicas las cuales a menudo poseen mdems de
servicio conectados a lneas dedicadas a fin de que tcnicos puedan accederlas remotamente con
el objeto de brindar mantenimiento , realizar cambios de configuracin, etc.
Ahora bien, a que nos referimos cuando hablamos de Wardialing? bsicamente al hecho de barrer
o escanear grandes rangos de nmeros telefnicos, utilizando para tal fin un MODEM en conjunto
con algn tipo de herramienta de software capaz de tomar un listado de telfonos
preestablecidos, discar los mismos e intentar detectar el tipo de dispositivo que se encuentra a la
escucha en el otro extremo, para finalmente grabar un archivo de log en donde el
atacante/auditor pueda a posterior, conocer en forma exacta si efectivamente existe algn
dispositivo o software a la escucha, esperando conexiones entrantes. Al margen de esta operacin
bsica, algunas de las herramientas de Wardialing ms potentes, tienen la capacidad de reconocer
la existencia de los paquetes de software comerciales ms importantes e incluso intentar lograr
acceso, mediante la utilizacin de usuarios y contraseas por default en tales productos. A pesar
de lo que pudiera parecer a simple vista, hoy en da an sigue siendo probable hallar dado un
rango telefnico, dispositivos a la espera de comunicaciones entrantes. Muchas veces, usuarios
corporativos instalan mdems en sus Workstation, de modo tal de poder accederlas remotamente
desde sus hogares, sin el consentimiento del administrador de seguridad y violando las polticas
internas. Este hecho, podra permitir que un atacante en su etapa de reconocimiento, encuentre
este tipo de conexiones por medio de tcnicas de Wardialing y se aproveche de ellas ganando
acceso no autorizado a la red corporativa.
Contramedidas: Las polticas corporativas, deberan prohibir en forma explcita a sus empleados la
instalacin de mdems en sus terminales. Por su parte, los analistas de seguridad deberan
practicar evaluaciones peridicas, mediante tcnicas de Wardialing, a efectos de detectar posibles
puntos de entrada en su rango telefnico. Entre los objetivos posibles por parte de un atacante,
podran encontrarse dispositivos tales como: equipos de FAX y centrales telefnicas. Se
recomienda evitar siempre que sea posible, la utilizacin de los servicios de acceso remoto de
administracin a centrales telefnicas corporativas, sobre todo aquellas vinculadas con la red de
datos.
5.5.27 Hbridos
Hoy en da, la mayora de las herramientas avanzadas de cracking de contraseas brindan al
atacante o analista de seguridad, no solo la posibilidad de lanzar ataques basados en diccionario o
fuerza bruta, sino que adems incorporan la caracterstica de ejecutar lo que se conoce como
ataques hbridos, los cuales no son otra cosa que una tcnica consistente en la combinacin de de
los ataques de fuerza bruta y diccionario. Cuando un ataque hibrido es lanzado, un archivo de
diccionario es utilizado, pero a la vez sobre l se realizan una serie de permutaciones y variaciones
intentando ampliar su rango de accin no solo a las palabras conocidas contenidas en el
diccionario seleccionado, sino a su vez intentando algn tipo de variacin que pudiera coincidir
con el criterio utilizado por el usuario al momento de seleccionar su contrasea. Al momento de
configurar este tipo de ataques, es posible al igual que en los ataques de fuerza bruta, el set de
caracteres que se utilizar al momento de combinar estos con las bsquedas de diccionario.
Contramedidas: Los ataques de tipo hbrido, suelen ser efectivos sobre todo cuando se intenta
hallar algunas de las combinaciones que con mayor frecuencia utilizan los usuarios al momento de
seleccionar sus contraseas tal como la mezcla de una palabra de uso comn con una cifra
numrica o un conjunto de caracteres alfabticos (Ej.: Irresponsable123456). Nuevamente, las
contramedidas a aplicar siguen siendo principalmente aquellas mencionadas en el indicador
Fuerza Bruta, aunque a menudo suele ser recomendado el armado de contraseas basadas por
ejemplo en la seleccin de una frase larga de varias palabras, para luego tomar sus iniciales al
momento de establecer una clave (Ej.: El mar nunca ha estado mejor que el da de hoy, no
crees? Emnhemqeddhn?)
contraseas nuevas hasta conseguirlos. El origen de las contraseas que son probadas
pueden ser obtenidos de algn diccionario de palabras comunes o simplemente generadas
en forma secuencial por el atacante.
Contramedidas: Firewalls: Los backdoors abren puertos para aceptar las conexiones de los
intrusos, de esta forma, si tenemos reglas apropiadas, podremos filtrar los posibles intentos de
acceso. Antivirus: Los antivirus actuales detectan los backdoors ms conocidos, sobre todo para
plataforma Win32.
puertos en el switch. Esta opcin permite especificar la direccin MAC asociada a un puerto, o la
cantidad de direcciones MAC que podrn ser aprendidas por un puerto especfico. Cuando el
switch detecta una direccin MAC invlida puede filtrar la trama sospechosa, o bloquear el
puerto. Dependiendo del tipo de organizacin, puede convertirse en un dolor de cabeza asociar
una direccin MAC por puerto, dado que ante cada cambio de puerto, deber reconfigurarse el
switch. Una opcin ms flexible, es limitar la cantidad de direcciones que podr aprender un
puerto.
comunidad o con puertos promiscuos. Puertos promiscuos pueden comunicarse con cualquier tipo
de puertos.
Ataque Private VLAN Proxy: En este tipo de ataque, se enva trfico a un host conectado a un
puerto promiscuo, por ejemplo un router. El atacante enva un paquete con la direcciones origen
IP y MAC de su propia estacin, la direccin IP de destino de la vctima, pero la direccin MAC de
destino del router. El switch reenva la trama al router, pues ste est ubicado sobre un puerto
promiscuo, estando permitido este dilogo en Private VLAN. El router interpreta la direccin IP de
destino y rutea el paquete sobrescribiendo la direccin MAC de destino con la del host vctima.
Ahora el switch reenva la trama hacia el puerto donde est situado el host vctima. Este ataque
slo permite inyectar trfico a la vctima, pues cualquier intento de envo de trfico de respuesta
por parte de la vctima, ser bloqueado por la configuracin de la Private VLAN.
Este escenario no es una vulnerabilidad propia de Private VLAN, debido a que las reglas de envo
de trfico de una Private VLAN se cumplen, sin embargo se produce una violacin de la seguridad.
A fin de mitigar este ataque, pueden configurarse ACLs en el router, como as tambin VLAN ACLs.
Contramedida: Para evitar un ataque de VLAN hopping es necesario realizar modificaciones en las
configuraciones de VLAN. Uno de los elementos ms importantes es utilizar identificadores de
VLAN dedicados para todos los puertos que sean de Trunk. Tambin, se deben desactivar todos los
puertos no utilizados del switch y ubicarlos en una VLAN no utilizable. Los puertos para dar
servicio a los usuarios se deben configurar deshabilitando explcitamente el modo trunk,
desactivando DTP en estos puertos.
llegar al switch raz o no. En dispositivos Cisco puede utilizar los comandos root guard y bpdu
guard con el fin de asegurar la ubicacin del switch raz en la red y asegurar los bordes de
propagacin de STP. El comando root guard permite asegurar la ubicacin del switch raz de la red.
El comando BPDU GUARD est diseado para permitir a los administradores de redes mantener la
topologa de red predictiva. Mientras BPDU GUARD le puede parecer innecesario porque puede
asignar prioridad cero a los dispositivos (recuerde que cero representa la menor prioridad, y el
switch que tenga menor prioridad ser raz), pero tienen que tener en cuenta que el bridge ID se
forma por la prioridad y la direccin MAC, lo que no garantiza que sea siempre el candidato a
switch raz.
Direccin IP otorgada
De esta manera, DHCP snooping permite tambin mitigar los ataques de ARP spoofing.
Podemos pensar en la utilizacin de este ataque principalmente en redes locales cuyo control de
acceso al medio es nulo y cualquier mquina puede ponerse a enviar y recibir paquetes sin que se
establezca ningn tipo de limitacin en el ancho de banda que consume.
Algunos de los mtodos ms conocidos son:
Ping de la muerte: La utilidad ping sirve principalmente para saber si un host est activo y
adems podemos determinar el delay existente hasta ese host. En este ataque,
bsicamente se le enva un paquete ICMP de ping a un host esperando su respuesta. La
diferencia est en que si se le enva un paquete muy grande, ste puede llegar
desordenado por lo que el host pide al origen que le vuelva a enviar una parte o la
totalidad del paquete, produciendo as un datagrama ICMP muy grande que ocasionar su
cada.
Al igual que otros ataques de denegacin existentes, utiliza una denicin de longitud
mxima de datagrama IP fraudulenta.
La longitud mxima de un datagrama IP es de 65535 bytes, incluyendo la cabecera del
paquete (20 bytes) y partiendo de la base de que no hay opciones especiales especicadas.
Por otra parte, recordemos que el protocolo ICMP tiene una cabecera de 8 bytes. De esta
forma, si queremos construir un mensaje ICMP tenemos disponibles 65535 - 20 - 8 = 65507
bytes.
Debido a la posibilidad de fragmentacin de IP, si es necesario enviar ms de 65535 bytes,
el datagrama IP se fragmentar y se reensamblar en el destino.
El ataque ping de la muerte se basa en la posibilidad de construir, mediante el comando
ping, un datagrama IP superior a los 65535 bytes, fragmentado en N trozos, con el objetivo
de provocar incoherencias en el proceso de reensamblado.
Si, por ejemplo, construimos un mensaje ICMP de tipo echo-request de 65510 bytes
mediante el comando ping -s 65510, los datos ICMP podrn ser enviados en un nico
paquete fragmentado en N trozos (segn la MTU de la red), pero pertenecientes al mismo
datagrama IP. Si hacemos la suma de los distintos campos del datagrama, veremos que los
20 bytes de cabecera IP ms los 8 bytes de cabecera ICMP, junto con los datos ICMP (65510
bytes) ocuparn 65538 bytes. De esta forma, el ataque consigue provocar un
desbordamiento de 3 bytes. Este hecho provocar que al reconstruir el paquete original en
el destino, se producirn errores que, si existen deciencias en la implementacin de la pila
TCP/IP del sistema, podran causar la degradacin total del sistema atacado.
Syn flood: El Syn Flood o TCP/SYM Flood es uno de los ms famosos de los ataques tipo
Denial of Service. Se basa en un "saludo" incompleto entre el host atacante y el objetivo
del ataque. El Cliente enva un paquete SYN pero no responde al paquete ACK del 2 paso
del saludo de tres vas TCP, ocasionando que el servidor permanezca a la escucha un
determinado tiempo, reservando recursos para la nueva conexin, hasta cancelar la
llamada. Si se envan muchos saludos incompletos, se consigue que el servidor se paralice o
por lo menos se ralentice. El ataque de TCP/SYN Flooding sea provecha del nmero de
conexiones que estn esperando para establecer un servicio en particular para conseguir la
denegacin del servicio.
Cada vez que se procesa una conexin, deben crearse datagramas IP para almacenar la
informacin necesaria para el funcionamiento del protocolo. Esto puede llegar a ocupar
mucha memoria. Como la memoria del equipo es nita, es necesario imponer restricciones
sobre el nmero de conexiones que un equipo podr aceptar antes de quedarse sin
recursos.
Cuando un atacante congura una inundacin de paquetes SYN de TCP, no tiene ninguna
intenciin de complementar el protocolo de intercambio, ni de establecer la conexin. Su
objetivo es exceder los lmites establecidos para el nmero de conexiones que estn a la
espera de establecerse para un servicio dado.
Esto puede hacer que el sistema que es vctima del ataque sea incapaz de establecer
cualquier conexin adicional para este servicio hasta que las conexiones que esten a la
espera bajen el umbral.
Hasta que se llegue a este lmite, cada paquete SYN genera un SYN/ACK que permanecer
en la cola a la espera de establecerse. Es decir, cada conexin tiene un temporizador (un
lmite para el tiempo que el sistema espera, el establecimiento de la conexin) que tiende a
congurarse en un minuto.
Cuando se excede el lmite de tiempo, se libera la memoria que mantiene el estado de esta
conexin y la cuenta de la cola de servicios disminuye en una unidad. Despus de alcanzar
el lmite, puede mantenerse completa la cola de servicios, evitando que el sistema
establezca nuevas conexiones en este puerto con nuevos paquetes SYN.
Dado que el nico propsito de la tcnica es inundar la cola, no tiene ningn sentido
utilizar la direccin IP real del atacante, ni tampoco devolver los SYN/ACK, puesto que de
esta forma facilitara que alguien pudiera llegar hasta el siguiendo la conexin. Por lo tanto,
normalmente se falsea la direccin de origen del paquete, modicando para ello la
cabecera IP de los paquetes que intervendrn en el ataque de una inundacin SYN.
Land attack: Este ataque consiste en un error en la implementacin de la pila TCP/IP en
sistemas Windows. Aqu el atacante enva a algn puerto abierto de un servidor
(generalmente al 113 o al 139) un paquete, maliciosamente construido con la IP y puerto
origen igual que la IP y puerto destino. Al final la mquina termina por colapsarse.
Teardrop: Los ataques Teardrop I y Teardrop II afectan a fragmentos de paquetes. En este
caso, un atacante puede enviarles paquetes manipulados a sistemas Windows con el fin de
adulterar los nmeros de fragmentos de los paquetes. Algunas implementaciones de colas
IP no vuelven a recomponer correctamente los fragmentos ya que se superponen, haciendo
que el sistema se cuelgue. El Windows NT 4.0 es especialmente vulnerable a este ataque.
Aunque existen parches que pueden aplicarse para solucionar el problema.
El ataque Teardrop intentar realizar una utilizacin fraudulenta de la fragmentacin IP
para poder confundir al sistema operativo en la reconstruccin del datagrama original y
colapsar asi el sistema.
Snork: El ataque Snork se basa en una utilizacin malintencionada de dos servicios tpicos
en sistemas Unix: el servicio CHARGEN (CHARacter GENerator, generador de caracteres) y el
servicio ECHO. El primer servicio se limita a responder con una secuencia aleatoria de
caracteres a las peticiones que recibe. El segundo servicio, ECHO, se utiliza como sistema
de pruebas para vericar el funcionamiento del protocolo IP. As, esta denegacin de
servicio se basa en el envo de un datagrama especial al ordenador de destino, que una vez
reconocido, enviar una respuesta al equipo de origen.
El ataque Snork consiste en el cruce de los servicios ECHO y CHARGEN, mediante el envo
de una peticin falsa al servicio CHARGEN, habiendo colocado previamente como direccin
de origen la direccin IP de la mquina que hay que atacar (con el puerto del servicio ECHO
como puerto de respuesta). De esta forma, se inicia un juego de ping-pong innito. Este
ataque se puede realizar con distintos pares de equipos de la red obteniendo un consumo
masivo de ancho de banda hasta degradar el rendimiento de la misma.Tambin se puede
realizar contra una misma mquina (ella misma se enva una peticin y su respuesta)
consiguiendo consumir los recursos (especialmente CPU y memoria) de este equipo.
El trfico generado por DoS puede ser:
Aleatorio. Cuando la direccin de origen o destino del paquete IP es cticia o falsa. Este
tipo de ataque es el ms bsico y simplemente busca degradar el servicio de comunicacin
del segmento de red al que est conectado el ordenador responsable del ataque.
UDP. Con el objetivo de generar peticiones sin conexin a ninguno de los puertos
disponibles. Segn la implementacin de la pila TCP/IP de las mquinas involucradas, las
peticiones masivas a puertos especcos UDP pueden llegar a causar el colapso del sistema.
TCP. Para generar peticiones de conexin con el objetivo de saturar los recursos de red de
la mquina atacada.
Para defendernos de los ataques de DoS por explotacin de vulnerabilidades, como lo hemos visto
anteriormente, es imperioso mantener los sistemas libres de vulnerabilidades mediante las
ltimas actualizaciones.
Para defendernos de los ataques de DoS por mensajes de control, necesitaremos crear los filtros
de paquetes apropiados.
Para defendernos de los ataques de DoS por inundacin, existen dispositivos llamados IDS
(Intrution Detection Systems) que veremos ms adelante, que ayudan a detectar a un ataque de
este tipo en proceso. Analizan el flujo de datos buscando patrones de ataques. Otra alternativa es
restringir la cantidad de conexiones simultneas que atender un servidor.
El peligro de los ataques de denegacin de servicio viene dado por su independencia de
plataforma. Como sabemos, el protocolo IP permite una comunicacin homognea
(independiente del tipo de ordenador o fabricante) a travs de espacios heterogneos (redes
Ethernet, ATM, ...). De esta forma, un ataque exitoso contra el protocolo IP se convierte
inmediatamente en una amenaza real para todos los equipos conectados a la red,
independientemente de la plataforma que utilicen.
Las formas de ataque DoS ms comunes en redes WLAN son los siguientes:
Radio jamming. Interferir el espectro con una seal de alta potencia inhabilitando que el
usuario legtimo acceda al servicio.
Wireless DoS. Es inherente al protocolo IEEE 802.11. Como las tramas de gestin no estn
protegidas por privacidad, autenticacin e integridad, cualquier atacante puede realizar un
ataque Wireless DoS sin ms que mandando tramas de disociacin a cualquier usuario de
la red WLAN.
En general, para llevar a cabo este tipo de ataques es necesario configurar el interfaz WLAN
modo Master y con la MAC del AP (con un sniffer).
Un punto a tener en cuenta es que las mquinas utilizadas finalmente para realizar el ataque son,
generalmente, mquinas de usuario hogareos. Al momento de comenzar el ataque no se le
realiza ningn aviso previo al usuario y cuando se completa el ataque, el programa instalado
generalmente se elimina del sistema o infecta al usuario con algn virus que destruya la evidencia
el rastro. A diferencia de los ataques por DoS, los ataques por DDoS son en la mayora de los casos
por inundacin.
Si el atacante tiene un ancho de banda para el acceso a la red menor al de la vctima, resultara
muy complicado poder "inundarlo" hasta saturarlo. Con el ataque distribuido en un gran nmero
de hosts el atacante logra generar el trfico suficiente para ahogar a la vctima.
As, consumen los recursos de una vctima enviando ms paquetes de los que pueda procesar. Un
ejemplo de este tipo de ataques es el SYN Flood (ya visto en el ataque por DoS). Este ataque
consiste en enviar masivamente peticiones de conexiones TCP (con el cdigo SYN activado). Para
cada peticin de conexin, el receptor debe reservar una porcin de memoria. Si se realiza una
cantidad suficiente de peticiones de conexin, el receptor consumir toda su memoria y no podr
responder a nuevas peticiones.
Un ataque muy comn de DDoS es el ataque Smurf.
Este sistema de ataque se basa en transmitir a la red una trama ICMP correspondiente a
una peticin de ping. Esta trama lleva como direccin de origen la direccin IP de la
vctima, y como direccin de destino la direccin broadcast de la red atacada. De esta
forma se consigue que por cada trama que se transmite a la red, contesten a la vctima
todos aquellos sistemas que tienen habilitado el poder contestar a paquetes destinados a
la direccin broadcast de la red.
Como direccin de origen se pone la direccin IP de la m;aquina que debe ser atacada. En
el campo de la direccin IP de destino se pone la direccin de difusin de la red local o red
que se utilizar como trampoln para colapsar a la vctima.
Con esta peticin fraudulenta, se consigue que todas las mquinas de la red respondan a la
vez a una misma mquina, consumiendo todo el ancho de banda disponible y saturando el
ordenador atacado.
Otro ataque por DDoS muy conocido es el TFN (Tribe Flood Network).
En este ataque, un usuario malicioso obtiene acceso privilegiado a mltiples hosts e instala
un software que realice Syn Flood (visto anteriormente) sobre un destino en particular al
momento de recibir la orden del atacante. As, el atacante enva la instruccin a los hosts
zombies y stos realizan un SYN Flood sobre la vctima, ocasionando que quede fuera de
servicio.
EnableICMPRedirect = 0
Se deshabilitan las redirecciones ICMP, impidiendo que un ataque se redirija a un tercero.
SynAttackProtect = 2
Establece el lmite SYN, para que no se cree una situacin en la que la conexin TCP se
bloquee en un estado semi abierto. La configuracin predeterminada es 0. Un valor de 2
TCPMaxConnectResponseRetransmissions = 2
Determina las veces que TCP transmite un mensaje SYN/ACK que no es respondido. TCP
retransmite confirmaciones hasta alcanzar el nmero de este valor.
TCPMaxHalfOpen = 500
Nmero de conexiones que el servidor puede mantener en estado semi abierto antes de
que TCP/IP inicie la proteccin contra ataques SYN.
TCPMaxHalfOpenRetired = 400
Nmero de conexiones que el servidor puede mantener en estado semi abierto, incluso
despus de retransmitir una conexin. Si se sobrepasa esta entrada, TCP/IP inicia la
proteccin contra ataques SYN.
TCPMaxPortsExhausted = 5
Nmero de solicitudes de conexin que el sistema rechazar antes de que TCP/IP inicie la
proteccin contra ataques SYN.
TCPMaxDataRetransmissions = 3
Nmero de veces que TCP retransmite un segmento de datos desconocido en una conexin
existente.
EnableDeadGWDetect = 0
Determina si el ordenador tiene que detectar puertas de enlace inactivas. Un valor de 1
implica que el sistema solicite a TCP que cambie a una puerta de enlace de reserva en caso
de conexiones con problemas. Las puertas de enlace de reserva estn definidas en la
Configuracin TCP/IP, en Red, del Panel de control.
EnablePMTUDiscovery = 0
Determina si est habilitado el descubrimiento MTU de ruta de acceso, donde TCP
descubre el paquete de mayor tamao en la ruta a un host remoto.
DisableIPSourceRouting = 2
Determina si un ordenador permite que los clientes conectados establezcan la ruta que los
paquetes deben seguir hasta su destino. Un valor de 2 impide el enrutamiento de origen de
los paquetes IP.
NoNameReleaseOnDemand = 1
Determina si el ordenador libera su nombre NetBIOS a otro ordenador que lo solicite o si
un paquete malintencionado quiere apropiarse del nombre NetBIOS.
PerformRouterDiscovery = 0
Determina si el ordenador realiza un descubrimiento del router de esta tarjeta. El
descubrimiento solicita la informacin del router y agrega la informacin a una tabla de
ruta -ARP-. El valor de 0 incluso impide el envenenamiento ARP.
A todo lo anterior, an puede asegurarse ms la pila TCP/IP para las aplicaciones socket de
Windows (Winsock), como es el caso de los servidores web o FTP. Cabe aadir que el responsable
de las conexiones a aplicaciones Winsock es el driver Afd.sys. El problema de este driver es que en
Windows 2000 y XP se modific para admitir un nmero mayor de conexiones en estado semi
abierto, sin denegar acceso a los clientes legtimos. En Windows 2003 se ha habilitado otro tipo de
proteccin. Afd.sys puede usar la copia de seguridad dinmica del Registro, configurable, en lugar
de hacerlo con la copia de seguridad esttica. Y eso es lo que vamos a hacer en:
HKey_Local_Machine/System/CurrentControlSet/Services/AFD/Parameters
Colocando los siguientes valores DWORD:
EnableDynamicBacklog = 1
Alterna entre el uso de una copia de seguridad esttica y una dinmica del Registro. El
valor predeterminado es 0, lo que nicamente permite el uso de la copia de seguridad
esttica.
MinimumDynamicBacklog = 20
Nmero mnimo de conexiones permitidas a la escucha. Si las conexiones libres descienden
por debajo de este valor se crea un subproceso para crear conexiones libres adicionales.
Un valor demasiado grande reduce el rendimiento del ordenador.
MaximumDynamicBacklog = 20000
Nmero mximo de conexiones libres y medio abiertas. Ms all de este valor no habrn
conexiones libres adicionales, al estar limitado.
DynamicBacklogGrowthDelta = 10
Nmero de extremos Winsock en cada conjunto de asignacin solicitado por el ordenador.
Un nmero demasiado elevado provoca que los recursos del sistema se ocupen de forma
innecesaria.
las prcticas de respuesta a incidentes, los objetivos que con ellas se persiguen, el armado del
equipo de respuesta a incidentes, las habilidades requeridas y los principales puntos involucrados
en una respuesta efectiva. A fin de adentrarnos en los principales aspectos relacionados con la
respuesta a incidentes, es de suma importancia comenzar estableciendo correctamente aquello
que debe ser definido como un Incidente de Seguridad. En lneas generales, un Incidente de
Seguridad puede ser definido como cualquier evento adverso que compromete o intenta
comprometer la confidencialidad, integridad, disponibilidad, legalidad o confiabilidad de la
informacin. Un incidente, tambin puede ser referido como cualquier violacin a la poltica de
seguridad de la organizacin A menudo suele cometerse el error de identificar como incidente,
tan solo aquellos eventos ms terribles y/o desastrosos, mientras que un incidente puede ser tan
pequeo como la infeccin con virus de una notebook o un llamado a un usuario por parte de un
tercero no identificado tratando de obtener algn tipo de informacin interna de la organizacin.
Tal como veremos en breve, resulta de suma importancia que no solo se defina internamente en la
organizacin, qu debe ser tomado como un incidente de seguridad y que no, sino que a su vez
cada uno de los empleados de la misma conozcan exactamente que aspectos configuran un
incidente, a fin de ser capaces de identificarlos y reportarlos.
5.7.1 Objetivos
En lneas generales, la Respuesta a Incidentes como tal, envuelve todas y cada una de las
acciones tomadas frente a un incidente, durante y despus de que el mismo haya ocurrido. Entre
los objetivos primarios de una estrategia de Respuesta a Incidentes se encuentran:
Proveer una manera efectiva y eficiente de enfrentar la situacin de forma tal que sea
posible reducir el impacto potencial en la organizacin
Proveer a la gerencia de la informacin suficiente para que estos puedan decidir sobre el
curso de accin apropiado
La respuesta al incidente
El registro de incidentes
A pesar de que a simple vista la respuesta a incidentes parecera ser un proceso reactivo,
en realidad debe ser referido como la ejecucin reactiva de un plan proactivo.
La elaboracin de un plan efectivo de respuesta a incidentes, debe a su vez regirse por una serie
de pasos, los cuales basados en las sentencias mximas expuestas en la poltica de respuesta a
incidentes, permitan llevar a cabo el conjunto necesario de tareas a fin de tratar un incidente
determinado. Un ejemplo en cuanto a los posibles pasos a adoptar se menciona a continuacin:
Comunicar el incidente
Recomendaciones de Seguridad
Defensa en profundidad
Privilegios mnimos
Mantener la seguridad
Se deber seguir el modelo de defensa en profundidad. Cada nivel del modelo est protegido por
los niveles contiguos y depende de todos los niveles que se implementan. Hay un compromiso
constante entre la funcionalidad y la seguridad. Ambos raramente se complementan. Aunque
quizs en alguna ocasin lo importante haya sido la funcionalidad, ahora se busca definitivamente
la seguridad. As se facilita una implementacin segura por diseo. El software y los sistemas son
seguros de forma predeterminada y por diseo, con lo que se simplifica la creacin de un entorno
de red seguro. Los procesos y las aplicaciones que se ejecutan en un sistema logran este objetivo
mediante un nivel definido de privilegios sobre el sistema. A menos que se configuren de otro
modo, los procesos iniciados, mientras un usuario est conectado al sistema, se ejecutan con los
mismos privilegios que tiene el usuario. Para impedir ataques accidentales, todos los usuarios del
sistema deben iniciar sesin en l con los privilegios mnimos necesarios para realizar sus
funciones. Los virus se ejecutan con los privilegios del usuario que haya iniciado la sesin. En
consecuencia, los virus tendrn un mbito mucho ms amplio si el usuario inicia sesin como
administrador. Las aplicaciones y los servicios tambin se deben ejecutar con los privilegios
mnimos necesarios. Es muy importante que se entienda que la seguridad no es un objetivo: es un
medio. Un entorno nunca es completamente seguro. Siguen apareciendo nuevos virus, revisiones
y puntos dbiles en los sistemas. Aprenda de la experiencia y conserve una documentacin
Network Security cambi Nessus3 a una licencia propietaria aunque gratuita, donde se distribuyen
los binarios pero no as sus fuentes, es por eso que para correr dicha versin es necesario
descargarla y compilarla en muchas de las distribuciones Linux.
Est formado bsicamente por tres partes que se describen a continuacin:
Cliente: El cliente, que puede ser instalado en la misma mquina o en forma remota, es el
encargado de realizar la interfaz con el administrador, ya sea en forma grfica o de consola.
Este, al momento de finalizado el escaneo, muestra un reporte que puede ser exportado en
varios formatos como XML, LaTex y HTML, o utilizar la alternativa de generar una base de
conocimiento para tomar como referencia en los prximos escaneos de vulnerabilidades.
Pluggins: Debido a su interfaz modular, basada en plugins, se puede hacer que esta
herramienta realice el chequeo especfico de ciertas caractersticas de conectividad de
servicios y aplicaciones escritos en un lenguaje propio llamado NASL (L (Nessus Attack
Scripting, lenguaje de Scripting optimizado para interacciones personalizadas en redes.)
los cuales pueden ser activados o desactivados personalizando, de esta manera, el chequeo
a realizar. Hay que tener en cuenta que existen varios pluggins que pueden confundir al
sistema de deteccin de intrusos que est siendo atacado donde sera posible la activacin
de un mtodo de defensa que podra generar una eventual cada del sistema.
Nagios: El sistema de monitoreo Nagios es una aplicacin open source que verifica el estado de
los hosts y servicios especificados, y posee la capacidad de alertar (ya sea en forma grfica,
sonora, mediante mails al adminsitrador, sms, o incluso un sistema de desarrollo propio) cuando
el comportamiento no sea el adecuado y cuando el mismo retorne a su estado normal.
5.9 PREGUNTAS
Cuales son factores que contribuyen a la inseguridad en las redes? Falta de polticas y/o
normativas, Uso incorrecto de las aplicaciones, Errores en los programas, Ambiente
multilenguaje y multiproveedor
Por qu la falta de normativas o polticas de uso pueden ayudar a los ataques? Porque
no existen reglamentaciones de uso de la red, y los usuarios pueden realizar actividades
que faciliten los ataques
Por qu se deben revisar las opciones de un software recin instalado? Porque muchas
aplicaciones inician con configuraciones inseguras
malicioso ataca a un sistema o parte de ste con el fin de dejarlo sin funcionamiento
Cmo puede defenderse de los ataques de CAM Table Overflow? Mediante seguridad
por puertos en los switches
Qu debe enviar un intruso para realizar un ataque de MAC address spoofing? Una
trama cambiando su direccin MAC origen por la del objetivo
Qu medida preventiva puede tomar para evitar sufrir un ataque de DoS o DDoS por
inundacin de ICMP o TCP Syn? Configurar los routers de borde para regular el flujo de
paquetes
CAPTULO 6
6.1 SEGURIDAD EN EL PERMETRO INTERNO Y EXTERNO DE LA RED
El permetro de red es el rea de una red que est ms expuesta a un ataque del exterior. Los
permetros de red se pueden conectar a numerosos entornos diferentes, que van desde socios
comerciales a Internet. Cada organizacin usa criterios distintos para definir su permetro.
El compromiso de la seguridad en el permetro puede resultar en:
La mayora de los expertos en seguridad se centran en el rea desde la que cabe esperar que se
origine un ataque, como Internet. Sin embargo, los intrusos tambin son conscientes de que sta
ser la solucin que probablemente utilice e intentarn atacar la red desde algn otro lugar. Es
muy importante que todas las entradas y salidas de la red sean seguras.
Es improbable que uno sea el responsable de la implementacin de seguridad de los socios
comerciales; por lo tanto, no se puede confiar completamente en todo el acceso que se origine en
ese entorno. Adems, no se tiene control del hardware de los usuarios remotos, lo que constituye
otro motivo para no confiar en el mismo. Las sucursales podran no contener informacin
confidencial y, por lo tanto, es posible que tengan una implementacin menos segura. Sin
embargo, podran tener vnculos directos a la oficina principal que un intruso podra usar.
Es importante considerar la seguridad de la red en conjunto, no slo en reas individuales.
La proteccin del permetro de red incluye:
Servidores de seguridad
Protocolos de tnel
Cuarentena en VPN
Los sistemas operativos recientes de Microsoft Windows facilitan el bloqueo de los puertos de
comunicacin innecesarios para reducir el perfil de ataque de un equipo.
La traduccin de direcciones de red (NAT, Network Address Translation) permite a una
organizacin disimular las configuraciones de direcciones IP y de puertos internos para impedir
que usuarios malintencionados ataquen los sistemas internos con informacin de red robada. Los
mecanismos de seguridad del permetro pueden ocultar tambin los servicios internos, incluso
aquellos que estn disponibles externamente, de modo que un intruso nunca se comunique de
forma directa con ningn sistema que no sea el servidor de seguridad desde Internet.
Cuando los datos salen del entorno que est bajo la responsabilidad de uno, es importante que se
encuentren en un estado que garantice su seguridad y que lleguen intactos a destino. Esto se
puede conseguir mediante protocolos de tnel y cifrado, con el fin de crear una red privada virtual
(VPN, Virtual Private Network).
El protocolo de tnel que emplean los sistemas de Microsoft es el Protocolo de tnel punto a
punto (PPTP, Point-to-Point Tunneling Protocol), que utiliza Cifrado punto a punto de Microsoft
(MPPE, Microsoft Point-to-Point Encryption), o Protocolo de tnel de nivel 2 (L2TP, Layer 2
Tunneling Protocol), que utiliza el cifrado de IPSec.
Cuando los equipos remotos establecen comunicacin a travs de una VPN, las organizaciones
pueden seguir pasos adicionales para examinar esos equipos y garantizar que cumplan una
directiva de seguridad predeterminada. Los sistemas que establecen la conexin se aslan en un
rea independiente de la red hasta que se completan las comprobaciones de seguridad.
La proteccin del permetro de una red es el aspecto ms importante para parar un ataque del
exterior. Si un permetro sigue siendo seguro, la red interna se debe proteger contra ataques
externos. Se enumeran abajo algunas maneras de implementar la defensa del permetro:
Packet Filtering
Inspeccin de paquetes
Intrusion Detection
Los ataques no provienen slo de orgenes externos. Tanto si los ataques internos son genuinos
como si son meros accidentes, muchos sistemas y servicios se daan desde dentro las
organizaciones. Es importante implementar medidas internas de seguridad orientadas a las
amenazas mal intencionadas y accidentales.
El acceso a los sistemas y recursos de red internos permite a los intrusos obtener acceso
fcilmente a los datos de la organizacin.
Mediante el acceso a la infraestructura de red tambin pueden supervisar la red e investigar el
trfico que se est transportando. Las redes totalmente enrutadas, aunque hacen que la
comunicacin sea ms fcil, permiten a los intrusos tener acceso a los recursos de la misma red
independientemente de si se encuentran o no en ella.
Los sistemas operativos de red tienen instalados muchos servicios. Cada servicio de red constituye
un posible medio de ataque.
Uno puede tener una serie de redes en su organizacin y debe evaluar cada una individualmente
para asegurarse de que est asegurada apropiadamente. Se enumeran abajo algunas maneras de
implementar defensas de red:
Internal Firewall
Auditing
Intrusion Detection
Para proteger el entorno de la red interna, se debe requerir que cada usuario se autentique de
forma segura en un controlador de dominio y en los recursos a los que tenga acceso. Utilizar la
autenticacin mutua, de modo que el cliente tambin conozca la identidad del servidor, con el fin
de impedir la copia accidental de datos a los sistemas de los intrusos.
Segmentar fsicamente los conmutadores, es decir, crear particiones de la red para impedir que
toda ella est disponible desde un nico punto. Se puede crear particiones si se utilizan
enrutadores y conmutadores de red independientes o si crean varias redes virtuales de rea local
(VLAN, Virtual Local Area Network) en el mismo conmutador fsico.
Considerar cmo se van a administrar los dispositivos de red, como los conmutadores. Por
ejemplo, el grupo de trabajo de red podra utilizar Telnet para tener acceso a un conmutador o
enrutador y realizar cambios de configuracin. Telnet pasa todas las credenciales de seguridad en
texto sin cifrar. Esto significa que los nombres y las contraseas de los usuarios son accesibles para
cualquiera que pueda rastrear el segmento de red. Esto puede constituir una debilidad importante
de la seguridad. Considerar permitir nicamente el uso de un mtodo seguro y cifrado, como SSH
de shell o acceso de terminal serie directo. Tambin se deben proteger adecuadamente las copias
de seguridad de las configuraciones de dispositivos de red. Las copias de seguridad pueden revelar
informacin sobre la red que resulte til a un intruso. Si se detecta una punto dbil, se pueden
utilizar copias de seguridad de la configuracin de los dispositivos para realizar una restauracin
rpida de un dispositivo y revertir a una configuracin ms segura.
Restringir el trfico aunque est segmentado. Puede utilizar 802.1X para proporcionar un acceso
cifrado y autenticado tanto en las LAN inalmbricas como en las estndar. Esta solucin permite
utilizar cuentas de Active Directory y contraseas o certificados digitales para la autenticacin. Si
se utilizan certificados, se tendr que integrar una infraestructura de clave pblica (PKI, Public Key
Infrastructure), en Servicios de Windows Certificate Server; para las contraseas o certificados,
tambin necesitar un servidor RADIUS integrado en el Servicio de autenticacin Internet (IAS,
Internet Authentication Service) de Windows. En Windows Server 2003 se incluyen IAS y Servicios
de Certificate Server. Implementar tecnologas de cifrado y firma, por ejemplo la firma de IPSec o
bloque de mensajes de servidor (SMB, Server Message Block), con el fin de impedir a los intrusos
rastrear los paquetes de la red y reutilizarlos.
Los Firewalls e IDS son herramientas muy importantes que nos permiten agregar funcionalidades
de seguridad a nuestro diseo, sobre todo nos permiten interactuar en forma dinmica con el
entorno y responder rpidamente a los incidentes.
Qu es un ataque y cules son sus objetivos? Un ataque ocurre cuando una persona o un grupo
de personas intenta acceder, modificar o daar un sistema o entorno. Ocurre de diferentes formas
y por distintas razones. Estos ataques generalmente intentan lograr algunos de de estos objetivos:
Cmo pueden las PC de una red interna con direccionamiento privado acceder a Internet, si sus
direcciones IP no son ruteables? El protocolo NAT (Network Address Translation) se caracteriza
por permitir el uso en nuestras redes de nmeros IP considerados como no ruteables (tambin
llamados privados) y poder conectarnos ainternet, esta posibilidad la brinda el protocolo al utilizar
un mecanismo conocido como traslacin, el cual permite que los paquetes con destino a Internet
enviados desde una red privada, sean interceptados a fin de que en el paquete IP el nmero IP no
ruteable sea remplazado por uno que s lo es, con lo cual el paquete IP resultante queda listo para
ser ruteado en Internet.
Qus es un PIX? Es un Firewall desarrollado por Cisco System, con poderosas caractersticas de
anlisis y filtrado de paquetes obtenidas a travs de varias tcnicas, entre ellas la inspeccin de
pleno estado. Est implementado como un dispositivo independiente y completamente dedicado.
Uno de los aspectos bsicos de la seguridad es el control del trfico que ingresa y egresa de
nuestra red, as como tambin el monitoreo general de los sistemas, ya sea para conocer que las
medidas de seguridad se encuentran establecidas como para detectar qu es lo que est
sucediendo. Un error tpico es creer que por tener implementadas estas medidas, el sistema ya
ser inmune a todo tipo de ataques. Antes que una intrusin suceda, se pueden poner en prctica
una serie de controles para prevenir, disuadir y detectar anormalidades. Durante una intrusin, las
medidas de deteccin podrn alertar la existencia de un atacante en base a los eventos
producidos, ya sea en forma directa o mediante la correlacin de un conjunto de ellos.
Adicionalmente, durante la intrusin se puede recolectar toda la informacin disponible que
pueda ser utilizada para el estudio de la tcnica de ataque.
implementar una poltica de control de acceso entre dos o ms redes. Entonces, un Firewall o
cortafuego protege la red privada de una compaa contra el pblico o las redes compartidas con
quienes est conectada. Un Firewall evala cada paquete que ingresa o sale de la empresa y lo
compara con las polticas de seguridad de la red, implementadas a travs de una coleccin de
reglas, que reflejan las convenciones, y procedimientos d seguridad que gobiernan las
comunicaciones hacia y desde una red. Podemos encontrarlos como una funcionalidad adicional
en los propios Routers (software IOS Firewall de Cisco Systems), como una aplicacin software
ejecutndose en una PC (por ejemplo LINUX) o como dispositivos independientes y
completamente dedicados (como los PIX de Cisco Systems).
Internet: Como ya es sabido, Internet es una red global que permite conectar
computadoras y redes situadas en todo el mundo. Este entorno debera asumirse como de
bajo nivel de confianza, debido a que no se controla el trfico que circula por la misma, ni
se puede conocer de antemano las intenciones de los usuarios que se conectan a nuestros
servicios pblicos.
Intranet: Conforman redes privadas implementadas y mantenidas por una misma empresa
u organizacin. Una Intranet utiliza la misma tecnologa que existe en Internet, como ser el
uso de hipervnculos o enlaces, acceso a diferentes clases de archivos multimedia, etc. Una
misma Intranet puede estar conectada a travs de Internet, pero slo permitir el acceso a
Extranet: Permite extender el alcance de una Intranet, a fin de incluir redes de partners.
Una Extranet permite el acceso a la red privada de un partner mediante un enlace privado
o utilizando un canal seguro a travs de Internet. Una Extranet involucra la conexin entre
redes no confiables, debido a que cada una de ellas se encuentra bajo una poltica de
administracin diferente.
DMZ: Una zona desmilitarizada (DMZ) es un rea donde se sitan los servidores pblicos,
es decir, aquellos que deben ser accedidos por todo tipo de usuarios y desde cualquier
parte. Aislando un server en la DMZ, se pueden ocultar otras redes o evitar el acceso a
reas crticas de nuestra red, reduciendo de esta manera la amenaza de intrusiones en los
recursos internos. Normalmente su implementacin se realiza mediante la utilizacin de
Firewalls.
ciertos recursos (como un servidor web, o un servidor de correo) que obligadamente los Firewall
de la primera lnea deben dejar pasar. Estos servidores se ubican en un rea que no compromete
el resto de la red privada.
Encriptacin (Interno): Para asegurarse que la comunicacin establecida sea privada a los usuarios
que la originaron, y contemplando el posible caso de sufrir una captura de trfico de red, es
conveniente utilizar protocolos encriptados como Secure Shell (SSH) Secure Socket Layer (SSL), los
cuales evitan que el trfico interceptado sea interpretado por el atacante. En este ejemplo,
encriptando el trfico de red resulta casi imposible que un ataque interno obtenga, por ejemplo,
las credenciales de logueo y minimiza o prcticamente elimina la posibilidad de sufrir un ataque
del tipo man-in-the-middle en la organizacin.
CAP 4: Sistemas de Prevencin de Intrusos de red (Externo): Los sistemas de prevencin de
intrusos (IPS) son dispositivos ubicados en puntos claves de una red interna, los cuales analizan
continuamente el trfico de la misma en bsqueda de patrones conocidos, guardados en una
base de datos, para poder avisar y ejecutar acciones a tiempo para combatir actividades
potencialmente maliciosas. En captulos posteriores se describirn con ms detalle diferentes
herramientas de este tipo.
Autenticacin Fuerte (Interno): Este tipo de autenticacin se utiliza para proteger activos de alta
criticidad para contrarrestar la posibilidad de que alguien utilice la contrasea obtenida de alguna
manera (ya sea porque la observ cuando se escriba o por medio de alguna aplicacin como
keylogers). Una alternativa para implementar esto es utilizar contraseas del tipo one-time,
agregando al tpico usuario y clave, una tarjeta Smartcard, un generador de token o una aplicacin
de software que otorguen un cdigo nico para ese logueo. Un buen ejemplo para citar es el caso
de la implementacin del e-token del home banking del HSBC, un llavero generador de cdigos
que se modifican constantemente y se utilizan en conjunto con un nombre de usuario (no el
nmero de DNI como en la mayora de los casos de home banking), una contrasea alfanumrica
de ms de seis dgitos, y obviamente el cdigo generado por el e-token.
Capa 5: NetFlow (Analizadores de trfico de alto nivel): Se utiliza para identificar determinados
parmetros de una conexin y ubicar patrones conocidos, guardados en una base de datos, de
actividades potencialmente anmalas. Los parmetros de conexin que generalmente se apartan
son:
Direccin IP Origen.
Direccin IP Destino.
Puerto Origen.
Puerto Destino
Protocolo
Capa 6: Antivirus: Otra lnea de defensa muy importante se encuentra contenida en el Antivirus,
el cual protege al sistema de virus, gusanos y troyanos, especialmente ahora que los sistemas de
computadoras superan los lmites de nuestras oficinas con el uso de computadores porttiles.
Como complemento a este tipo de aplicaciones es recomendable la utilizacin de programas antispyware, anti-rootkit y anti-spam.
Capa 7: Sistemas de Prevencin de Intrusos en Host: Los IPS de host corren de forma local en el
sistema a proteger. Poseen mejoras significativas con respecto a los antivirus ya que cuentan con
la habilidad de detectar cdigo malicioso como keyloggeers o troyanos desde el mismo instante en
que el atacante est instalndolos. Un IPS de host como el Cisco Security Agent (CSA) , ademas de
lo anteriormente detallado, protege al sistema de otros tipos de ataque como buffer overflow y
posee la posibilidad de alertar al administrador de sistemas mediante el envo de mensajes de
texto o e-mails.
Routers con filtro de paquetes: Se trata de un dispositivo que encamina el trco TCP/IP
(encaminador de TCP/IP) sobre la base de una serie de reglas de ltrado que deciden que
paquetes se encaminan a travs suyo y cuales se descartan.
Las reglas de ltrado se encargan de determinar si a un paquete le est permitido pasar de la
parte interna de la red a la parte externa, y viceversa, vericando el trco de paquetes legtimo
entre ambas partes.
Los encaminadores con ltrado de paquetes, al trabajar a nivel de red, pueden aceptar o denegar
paquetes jndose en las cabeceras del protocolo (IP, UDP, TCP, ...), como pueden ser:
Una poltica de denegacin por defecto suele ser ms costosa de mantener, ya que ser necesario
que el administrador indique explcitamente todos los servicios que tienen que permanecer
abiertos (los dems, por defecto, sern denegados en su totalidad).
En cambio, una poltica de aceptacin por defecto es ms sencilla de administrar, pero incrementa
el riesgo de permitir ataques contra nuestra red, ya que requiere que el administrador indique
explcitamente que paquetes es necesario descartar (los dems, por defecto, sern aceptados en
su totalidad).
La construccin de un sistema cortafuegos mediante un encaminador conltrado de paquetes es
realmente econmica, ya que generalmente suelen ser construidos con hardware ya disponible.
Adems, ofrece un alto rendimiento para redes con una carga de trco elevada. Adicionalmente,
esta tecnologa permite la implantacin de la mayor parte de las polticas de seguridad necesarias.
Proxy a nivel de aplicacin: Una pasarela a nivel de aplicacin, conocida tambin como servidor
intermediario (proxy), no encamina paquetes a nivel de red sino que acta como retransmisor a
nivel de aplicacin. Los usuarios de la red contactaran con el servidor intermediario, que a su vez
estar ofreciendo un servicio proxy asociado a una o ms aplicaciones determinadas.
Una pasarela separa completamente el interior del exterior de la red en la capa de enlace,
ofreciendo nicamente un conjunto de servicios a nivel de aplicacin. Esto permite la
autenticacin de los usuarios que realizan peticiones de conexin y el anlisis de conexiones a
nivel de aplicacin.
Estas dos caractersticas provocan que las pasarelas ofrezcan una mayor seguridad respecto a los
ltros de paquetes, presentando un rango de posibilidades muy elevado. Por el contrario, la
penalizacin introducida por estos dispositivos es mucho mayor. En el caso de una gran carga de
trco en la red, el rendimiento puede llegar a reducirse drsticamente.
En la prctica, las pasarelas y los dispositivos de red con ltrado de paquetes son
red protegida de todos aquellos accesos no autorizados, actuando como un punto central de
control y facilitando las tareas de administracin. Por otro lado, por el hecho de situarse en un
punto intermedio, los sistemas cortafuegos ofrecen otras funciones de seguridad interesantes
como podran ser la monitorizacin de las conexiones de red, el anlisis de contenidos, la
realizacin de controles de autenticacin adicionales, la construccin de redes privadas virtuales,
etc. Tambin pueden realizar funciones no relacionadas directamente con la seguridad de la red,
como la traduccin de direcciones IP (NAT), la gestin de servicios de red, el control del ancho de
banda.
6.1.8 Outsourcing
El outsourcing es la externalizacin de un determinado proceso en una empresa, es decir se
contrata dicha actividad a una empresa externa, en vez de realizar el proceso con personal propio.
Las tareas ms susceptibles de ser externalizadas son las labores administrativas, la logstica,
partes de la produccin y los sistemas de informacin. Respecto de esta ltima tarea podemos
mencionar dos esquemas, el housing y hosting, ambos delegan la responsabilidad sobre el
mantenimiento de equipos, de software, sistemas de seguridad y conexiones, copias de seguridad,
etc.
En un esquema de housing la responsabilidad del proveedor sobre los problemas de seguridad
residira en la administracin de la seguridad fsica de los servidores, de los routers y servidores
DNS, sistemas de deteccin de intrusiones y en la instalacin y configuracin de Firewalls, es decir,
de todos los componentes de conectividad que permiten que nuestros equipos funcionen
adecuadamente. Estos componentes son comunes a los otros servers alojados por nuestro
proveedor. Esta situacin aumenta las probabilidades de "ser blanco" de ataques, ya que un router
atacado por un "intruso", con el objetivo de afectar la disponibilidad de un servicio determinado
alojado en los sistemas de nuestro proveedor, podra tener como consecuencia directa la
indisponibilidad de nuestros servicios. De esta manera seramos perjudicados por una accin
emprendida contra otra empresa que comparte un mismo "sitio" con nosotros.
En el esquema de hosting la situacin es un poco ms comprometida porque no slo tendremos
que considerar los factores relativos a la seguridad fsica de un esquema de housing, sino que
deberemos considerar tambin problemticas de seguridad relativas al sistema operativo y
aplicaciones, ya que estos elementos tambin son compartidos con las otras empresas. Es decir
existe un punto particularmente dbil en el esquema de hosting: las vulnerabilidades que
pudiesen tener los servicios con los que compartimos el servidor. Si un sistema que se encuentra
alojado en nuestro servidor posee una vulnerabilidad que permitiese por ejemplo, modificar
archivos, estaramos ante un grave problema de seguridad muy difcil de controlar.
Si la seguridad de nuestros servicios es un tema importante para la empresa, es muy
recomendable que evale todas las ventajas y desventajas respecto de la ubicacin del mismo.
6.1.9 NAT
Recordemos que anteriormente comentamos que las direcciones IP son un recurso escaso, por
este motivo, normalmente las empresas proveedoras de acceso a Internet entregan a sus clientes
6.1.10 NAC
Las soluciones de Control de Acceso a Redes (NAC) permiten nicamente a los dispositivos
autorizados acceder y operar en una red. Si se aplica correctamente, NAC puede mejorar el perfil
de seguridad de una red y reducir los riesgos a los que se enfrentan las empresas.
Los distintos enfoques de NAC han creado un importante y controvertido debate en toda la
industria de seguridad de TI. Los beneficios de NAC son claros, aunque todava no se han realizado
de forma generalizada.
Actualmente muchas soluciones de NAC son todava propuestas costosas que requieren una rearquitectura de la red y estn basadas en un conjunto de tecnologas bypassable. Al mismo
tiempo, muchos proveedores ofrecen soluciones NAC que no proporcionan plena cobertura de la
red y dejan a las empresas expuestas a vulnerabilidades.
La visibilidad y el descubrimiento de un dispositivo en tiempo real son la base para el proceso
NAC, elimina uno de los puntos principales de ataque y permite la cobertura de NAC por toda
infraestructura de la red. Si una solucin NAC no puede identificar todos los dispositivos
conectados a la red en tiempo real, es probable que la seguridad en nuestra red se vea
decrementada. NAC debe ser tratada como una metodologa de seguridad. Una buena solucin
NAC proporcionar un conocimiento profundo de la red por perfiles de dispositivos conectados a la
red e identificar correctamente si dichos dispositivos son o no autorizados.
Las actuales tecnologas de control de accesos desaparecern a medida que las empresas vayan
adoptando sistemas de autenticacin que operen en el extremo de las redes, de acuerdo con una
reciente investigacin, el mercado NAC se encuentra actualmente sumido en una gran confusin y
que los NACs actuales son meramente preventivos.
6.1.11 PAT
Es una tcnica de traslacin de direcciones que permite conectar mltiples estaciones de trabajo a
Internet con una sola direccin IP ruteable, tambin se conoce con el nombre de masquerading o
PAT. Esta tcnica permite entre otras cosas, realizar un uso eficiente de las direcciones IP
Con esta tcnica, el dispositivo que realiza el PAT, inscribe en su tabla de traslaciones por cada
conexin una entrada que indica:
El nmero IP de origen desde el cual se inici la conexin (nmero IP no ruteable)
El nmero de puerto TCP/IP desde el cual se origin la conexin.
El nmero de puerto TCP/IP con el cual se reemplazo el nmero de puerto de origen.
Con los dos primeros datos el sistema identifica hacia dnde tiene que ir dirigido el paquete
internamente y con el tercer dato, el cual no se repite en ninguna de las conexiones establecidas
hacia el exterior, el sistema diferencia a qu sistema interno, definido con los dos primeros
valores, corresponde el paquete IP al momento que ste llega al dispositivo que hace PAT, de esta
manera usando los puertos TCP/IP de origen del paquete IP el sistema puede multiplexar las
conexiones de mltiples estaciones de trabajo para que en todas las conexiones el nmero IP no
ruteable sea remplazado por una nica direccin IP ruteable.
No todo el trfico es soportado por PAT, en general cualquier trfico TCP/UDP que no transporte el
nmero IP de origen o destino en la parte de datos del paquete IP permite interactuar a
dispositivos que estn protegidos por PAT, por ejemplo http, tftp, telnet, finger, NTP, NFS, rlogin,
rsh, rcp, ICMP, FTP, Netbios sobre TCP/IP, Real Audio, CuSeeMe, Stream Works, H.323, Netmeeting,
VDOLive, Vxtreme. Por otro lado, no son soportados por PAT, el trfico IP multicast, Routing table
updates, Transferencias de zona DNS, BOOTP, talk, ntalk, SNMP, Netshow.
capas de los paquetes. Mientras alguna de esta informacin est presente en el encabezamiento
IP, otra est en el del TCP, mientras que aparece claro que un conocimiento cabal de lo que hace o
puede hacer una aplicacin (y por lo tanto un posible ataque) slo puede obtenerse llegando
hasta la Capa de Aplicacin de la pila de protocolos.
Tres aproximaciones se consideran en este punto: la ms simple, el Filtro de Paquetes
implementado generalmente en enrutadores; la ms compleja, el Gateway de Aplicacin basado
en servicios proxy, Filtros Dinmicos o Adaptativos, y algo intermedio que hemos llamado
genricamente Inspeccin de pleno estado. Los Filtros de Paquetes son muy rpidos pero no
ofrecen gran seguridad, mientras que los Gateways de Aplicacin son relativamente lentos pero
ofrecen el mayor nivel de seguridad posible. Entre tanto, los Filtros Dinmicos son los que han
recibido ms dedicacin en los ltimos tiempos en la bsqueda de optimizar velocidad y seguridad
que provengan de la red externa y tengan un puerto destino mayor a 1023. Este tipo de filtro
demiasiado permisivo no es deseable, ya que podramos estar permitiendo conexiones desde el
exterior a servicios en estaciones internas que estn escuchando en puertos mayores a 1023 (Ej.
Backdoors). Una solucin a este problema en TCP, son algunas implementaciones de filtrado
esttico que permiten analizar los campos de cdigo del encabezado TCP (SYN, ACK, FIN, etc.)
entonces se podra permitir que slo ingresen aquellos paquetes que contengan el cdigo ACK=1.
De esta forma estaramos denegando un inicio de conexin (que contiene SYN=1, ACK=0) desde el
exterior al interior. Esta solucin no se puede implementar en UDP, debido a que no es orientado a
conexiones.
expuesto a ataques del tipo denial of service, con lo cual toda la red podra quedarse sin servicio.
Finalmente es fcil imaginarnos que su implementacin es trabajosa y a medida que crece nuestra
red, se torna extremadamente complejo tener un sistema de seguridad basado en proxies.
Existen diferentes implementaciones de Proxies, la ms comn son los servidores Proxy de capa de
aplicacin, pero existe otra implementacin denominada SOCKS que operan en la capa de
transporte. Al operar en capa 4, son independientes de la aplicacin utilizada. Actualmente
conviven dos versiones: SOCKSv4 y SOCKSv5. La diferencia entre ellas es que la versin 5 soporta
autenticacin de usuarios.
Algunas de las ventajas a mencionar son:
Los proxies analizan los pedidos de los clientes y de acuerdo a reglas preestablecidas
autorizan o deniegan los mismos.
Para ello abren el datagrama y analizan la direccin, puerto destino y el URL al que hace el
pedido.
Suelen ser utilizados para controlar y monitorear el trfico saliente de la red privada. Pueden
llegar a dificultar las conexiones que se realizan a travs de ellos. Para optimizar los tiempos de
espera, utilizan una memoria intermedia (cach) que almacena los datos que se piden con mayor
frecuencia. Tambin pueden realizar un seguimiento exhaustivo de todos los datos que se
transfieren, de manera que no quede duda posible acerca de si se ha transmitido determinada
informacin a travs de ellos. Asimismo, el administrador del sistema tiene que configurar las
aplicaciones para que funcionen correctamente a travs del servidor proxy. La forma en que
funcionan es relativamente sencilla: cuando se solicita una conexin con una direccin externa a
la red privada, el proxy acta como intermediario. La conexin se realiza con el proxy, y es ste el
que se conecta con la direccin remota. De esta forma, todos los datos de la comunicacin tienen
que pasar por el proxy, que puede almacenar todas las direcciones que se visiten e incluso puede
denegar el acceso a algunas de ellas.
El uso de este tipo de dispositivos permite una autenticacin mediante contrasea, de forma que
slo se permita realizar conexiones con el exterior de la red a determinados usuarios. Existe un
tipo de proxy llamado "Sock", que nicamente tiene la misin de permitir las conexiones a travs
de un Firewall. No permite autenticacin, aunque s el registro de todas las conexiones realizadas.
No obstante, en algunos productos existentes actualmente en el mercado, se ha incluido la
caracterstica de autenticacin por contrasea de tipo "kerberos".
Firewalls basados en Proxies
Son aquellos dispositivos que estando conectados a ambos permetros (interior y exterior), no
permiten el paso de paquetes IP a travs de ellos. Comnmente, se denomina ip-forwarding
desactivado.
La comunicacin se produce por medio de programas denominados proxies, que se ejecutan en el
Firewall. Este tipo de sistema tambin se denomina Bastion host. Desde el punto de vista
conceptual, este tipo de Firewall funciona a nivel de aplicacin.
Un usuario interior que desea hacer uso de un servicio exterior, deber conectarse primero al
Firewall, donde el proxy atender su peticin, y en funcin de la configuracin en dicho Firewall,
se conectar al servicio exterior solicitado y har de "puente" entre el servicio exterior y el usuario
interior. Es importante notar que para la utilizacin de un servicio externo, han de establecerse
dos (2) conexiones o sockets, una desde la mquina interior hasta el Firewall, y otra desde el
Firewall hasta la mquina que albergue el servicio exterior.
En el caso de este tipo de Firewalls, los programas clientes deben estar configurados para redirigir
las peticiones al Firewall, en lugar de al host final. Esto es comn en navegadores WWW, como
Netscape o Internet Explorer, y en clientes FTP, como WS_FTP y otros. En cambio, aplicaciones tipo
TELNET, no suelen incluir este tipo de soporte, y para ello, lo habitual es conectar directamente
con el Firewall y desde all, el proxy permite especificar el destino final de la aplicacin telnet en
cuestin.
La capacidad de logging o registro de actividad es mucho mayor con este tipo de dispositivos. La
informacin tpica registrada por estos sistemas, va desde el nombre de usuario que ha
conseguido autenticarse satisfactoriamente, hasta los nombres y tamaos de ficheros transmitidos
va FTP, pasando por los URL's solicitados a travs del proxy HTTP.
Asimismo, un proxy puede estar basado en un programa (Layer 7 modelo OSI) que permite o niega
el acceso a una aplicacin determinada entre dos redes. Los clientes proxy se comunican slo con
los servidores proxy, que autorizan las peticiones y las envan a los servidores reales, o las
deniegan y las devuelven a quien las solicit. En tal sentido, pueden escucharse definiciones que
tipifican a los proxies como "intermediarios" entre los usuarios (normalmente de una red local) e
Internet. No obstante, tambin existen en el mercado proxies basados en un dispositivo de
hardware
Es por ello, que una de las funcionalidades reales de un Proxy es recibir peticiones de usuarios y
redirigirlas a Internet. La ventaja que presenta es que con una nica conexin a Internet se
posibilita conectar varios usuarios.
Funcionalidades Asociadas
Normalmente, un proxy es a su vez un servidor de cach. La funcin de "la memoria cach" es
almacenar las pginas Web a las que se accede ms asiduamente en una memoria. As cuando un
usuario quiere acceder a Internet, accede a travs del Proxy, que mirar en la cach para ver si
tiene la pgina a la cual quiere acceder el usuario. Si es as, le devolver la pgina de la cach y si
no, ser el Proxy el que acceda a Internet, obtenga la pgina y la enve al usuario. Con la cach se
aceleran en gran medida los accesos a Internet, sobre todo si los usuarios suelen acceder
habitualmente a las mismas pginas.
El Proxy es "transparente" al usuario, los empleados en una empresa debern configurar el
navegador especificando que acceden a Internet a travs de un Proxy (deber indicarse la
direccin IP del proxy y el puerto por el que se acceder).
Otros proxies recientemente aparecidos en el mercado realizan adems funciones de filtrado,
como por ejemplo, dejar que un usuario determinado acceda a unas ciertas pginas de Internet o
que no acceda a ninguna. Con esta funcin es posible configurar una red local en la que existan
usuarios a los que se les permita salir a Internet, otros a los que se les permita enviar correo, pero
no salir a Internet y otros que no tengan acceso a Internet. Esta caracterstica muchas veces hace
que los proxies sean confundidos con un Firewall. El Proxy y el Firewall son diferentes, pero no
estara mal que estuvieran combinados. El Proxy se usa para redirigir las peticiones que recibe de
varios usuarios a Internet de forma transparente y se encarga de devolverles las respuestas
(ejemplo: las pginas Web). Asimismo pueden ser utilizados para FTP, POP3, SMTP, IMAP, TELNET,
etc. El firewall sin embargo, es nicamente un mtodo de proteccin de la red local (o de una PC
personal), con el que es posible "cerrar" o "abrir" ciertos puertos, IPs, aplicaciones, etc.
conexiones, y adems slo cierto tipo de conexiones son permitidas. Por otro lado, el filtrado de
paquetes, tambin debe permitirle al "Bastion Host" abrir conexiones con la red exterior. La
configuracin del filtrado de paquetes en el Firewall, debera combinarse con el o los servicios
proxies implementados en el bastion host, de manera que se pueden brindar diferentes servicios:
algunos pueden ser controlados con el filtrado paquetes, mientras que otros a travs del proxy.
Existen algunas desventajas en una implementacin de este tipo; la principal es que si un ataque
vulnera el "Bastion Host", puede tener acceso a la red Interna o provocar una denegacin de
ciertos servicios.
A pesar de que los Firewalls personales son muy sencillos de operar, hay muchas consideraciones
a tener en cuenta segn el escenario donde se utilicen. Quizs el escenario ms simple sea el de
un usuario con un nico PC conectado a Internet, donde el Firewall protege ante cualquier intento
de conexin proveniente de Internet que no haya sido pedido por el usuario. Pero la situacin es
ms complicada cuando el usuario trabaja en una pequea red y, adems del acceso a Internet,
debe conectarse a otros equipos, impresoras, etc. Estos casos exigen un determinado
conocimiento de los programas y conexiones, muchas veces ms all del usuario promedio.
Si el usuario sin conocimiento avanza en la configuracin se puede encontrar con dos escenarios,
por un lado puede suceder que el Firewall este configurado en forma permisiva, dejando pasar
ms trfico del que debera, con lo cual el Firewall no nos brindara la proteccin que deseamos, y
por otro lado podra denegar trfico necesario para el funcionamiento normal de la PC con lo cual
el Firewall estara impidiendo que trabajemos correctamente. Los Firewalls personales estn
diseados para brindar la mxima seguridad posible, haciendo un balance entre el nivel de
proteccin, facilidad de uso y mantenimiento. La mayora tienen asistentes de configuracin, as
como tambin varias configuraciones predeterminadas que ayudan a mantener un alto nivel de
seguridad sin perder funcionalidad. Muchos de ellos poseen servicios de actualizacin automtica
y suman capacidades de deteccin de trfico malicioso, y algunos incluso permiten bloquear los
avisos pop-up tan comunes en muchos sitios de Internet.
intrusiones son los equivalentes a los equipos de video y a los sistemas de alarma contra ladrones.
Estos guardan la informacin que reciben y la analizan para detectar patrones de comportamiento
sospechoso, retomando el ejemplo de seguridad fsica, operan de una forma parecida a un
custodio que recorre los puestos y analiza las imgenes que vienen de las cmaras de seguridad
conocidos utilizando firmas para detectar patrones de uso incorrecto en el trfico de la red. El IDS
acta como un sensor de la deteccin de intrusiones en lnea, observando paquetes y sesiones a
medida que fluyen a travs del Firewall, rastreando cada una de ellas y analizando si concuerdan
con cualquiera de las firmas IDS. Cuando detecta una actividad sospechosa, pueden responder
antes de que se pueda poner en peligro la seguridad de la red. Adems, el administrador de la red
puede configurar el sistema IDS para que elija la respuesta apropiada ante diferentes amenazas,
por ejemplo en algunos casos bastar con informar al responsable de seguridad la situacin va email, pero en otros ser conveniente que adems bloquee la conexin asociada.
Proceso por anlisis estadstico: Para detectar ataques no conocidos, normalmente se utilizan
tcnicas estadsticas que permiten elaborar patrones de actividad y contrastarlos con la actividad
normal, detectando de esta manera posibles anomalas. Aunque poco desarrollado en la prctica,
este enfoque tiene ilimitadas posibilidades. Los mtodos basados en redes neuronales, algoritmos
genticos, minera de datos o los relacionados con el sistema inmune biolgico, son tan slo
algunos de los utilizados en la deteccin de anomalas. Todos ellos han dado resultados
satisfactorios.
Proceso por anlisis de integridad: Permiten detectar cambios en los archivos u objetos, para esto
crean un modelo sobre el estado del sistema, y comparan los cambios posteriores con respecto a
ese modelo. Este es el mtodo utilizado por las herramientas de chequeo de integridad de
archivos, que utilizan mecanismos robustos de encriptacin, como las funciones hash.
Notificaciones
Respuestas Activas: Involucra tomar una accin especfica ante un ataque o amenaza
determinada. El objetivo consiste en adoptar una accin o conjunto de acciones inmediatas que
posibiliten minimizar el potencial impacto de un incidente. Este tipo de respuesta requiere una
planificacin minuciosa, que comprenda un anlisis de la situacin de cada evento en conjunto
con polticas de seguridad claras y concretas. Entre las respuestas ms comunes, encontramos:
Descarte de paquetes
Bloqueo de puertos
6.4.6 IPS
Los Sistemas de Prevencin de Intrusiones (IPS) son dispositivos de hardware o software
encargados de analizar el trfico de red con el objetivo de detectar y responder a posibles ataques
o intrusiones. La respuesta tpica consiste en descartar los paquetes involucrados en el ataque o
modificarlos para que se anule su propsito. Este comportamiento clasifica a los IPS como
dispositivos proactivos, debido a su reaccin automtica ante situaciones anmalas. El
comportamiento de los IPS se asemeja al de los Firewalls, ya que ambos toman decisiones con
respecto a la aceptacin de un paquete. Sin embargo, la diferencia radica en el hecho de que un
Firewall basa sus decisiones en los encabezados del paquete entrante, particularmente los propios
a la capa de red y transporte del modelo OSI, mientras que un IPS basa sus decisiones no solo en
los encabezados del paquete, sino en el contenido del campo de datos. Mientras que un IDS
tradicional se limita a detectar y notificar sobre una intrusin, el IPS intenta detener esa intrusin
de algn modo. Aunque tambin existen los IDS con respuestas activas, tpicamente un IDS
monitorea una red, escuchando el trfico y reaccionando ante una anormalidad, no siendo muy
efectivo ante ataques atmicos, es decir, ataques de un solo paquete. Un IPS, al estar intercalado
en la red de modo tal que el trfico lo atraviesa, puede detectar y anular este tipo de ataque,
disminuyendo el tiempo de reaccin contra el mismo.
No utilizar los directorios por defecto para guardar los logs ya que son muy conocidos por
los atacantes.
intercepcin de la informacin .
Como alternativa al ya mencionado syslog, existe una aplicacin de caractersticas similares a
ste, pero que implementa algunas mejoras. El syslog-ng es un sistema de logueo flexible y
altamente escalable, ideal para crear soluciones de logueo centralizadas. Algunas de las mejores
caractersticas se detallan a continuacin:
Logueo seguro mediante SSL/TLS: Los mensajes de logs pueden contener informacin
sensible la cual no es conveniente que sea visualizada por terceros. Syslog-ng puede
utilizar TLS para encriptar la comunicacin. TLS tambin permite la autenticacin mutua
entre el cliente y el servidor mediante el uso de certificados X.509.
Acceso directo a Base de datos: Conservacin de sus mensajes en una base de datos, lo que
permite realizar bsquedas y consultas de los mensajes e interoperar con analizadores de
logs. Esta aplicacin puede interactuar con MySQL, Oracle, PostgreSQL y SQLite.
Soporte de Ipv4 e Ipv6: Adems, esta aplicacin est preparada para trabajar en ambos
entornos de red.
seguridad por mdulo, en lugar de intentar completar la arquitectura en un solo paso. El diseo de
seguridad de cada mdulo se describe de forma separada, pero es validada como una parte del
diseo completo. Muchas redes no se pueden dividir fcilmente en mdulos bien definidos. Esta
aproximacin provee una gua para implementar diferentes funciones de seguridad en toda la red.
Los autores no esperan que se diseen las redes idnticas a los modelos definidos por la
arquitectura SAFE, sino que se utilice una combinacin de la arquitectura descripta integrada en la
red existente. El diseo SAFE consiste en tres mdulos principales : el mdulo internet
corporativa, el mdulo de red interna y el mdulo WAN. El mdulo de internet corporativa tiene la
conexin a Internet y es el punto final de las VPN y servicios pblicos (DNS, HTTP, FTP y SMTP). El
trfico dial-in tambin finaliza en este mdulo. El mdulo de red interna contiene la
infraestructura de switcheado de capa 2 y 3 con los usuarios corporativos, servidores de
administracin y servidores de Intranet. Desde una perspectiva WAN, existen dos opciones para
que los sitios remotos se conecten con la red. La primera es mediante una conexin WAN privada
(Punto a punto digital, Frame Relay, etc.) provista por el mdulo WAN. La segunda opcin es
mediante VPNs a travs del mdulo de internet corporativa.
SMTP y DNS). Adicionalmente, este mdulo finaliza los tneles IPSec de los usuarios y sitios
remotos, as como las conexiones dial-in
Dispositivos Claves:
Servidor Dial-in: Autentica usuarios remotos individuales y finaliza sus conexiones
analgicas.
Servidores DNS: Dan servicio de DNS para los dominios propios a las consultas externas y
resuelven todas las consultas internas.
Servidores FTP/HTTP: Proveen informacin pblica sobre la organizacin.
Firewall: Provee proteccin de recursos y filtrado inteligente de trfico. Provee seguridad
diferenciada para los usuarios remotos. Autentica los sitios remotos de confianza y provee
conectividad utilizando tneles IPSec.
Switches de Capa 2: Proveen conectividad de capa 2.
NIDS: Proveen monitores de capa 4-7 en los segmentos claves del mdulo.
Servidor SMTP: Acta como relay entre Internet y los servidores de correo internos.
Inspecciona el contenido de los correos (Spam, virus, contenidos).
Concentrador VPN: Autentica usuarios remotos individuales y finaliza sus tneles IPSec.
Router de borde: Provee filtrado bsico y conectividad de capa 3 hacia Internet.
Mitigacin de amenazas:
Los servidores de acceso pblico son potenciales objetivos de ataques. Las siguientes son las
amenazas esperadas y la forma de mitigarlas:
Acceso no autorizado: Mitigado por filtrado de paquetes en el router de borde y el Firewall
corporativo.
Ataques de capa de aplicacin: Mitigado por los IDSs a nivel de host y red.
Ataques de virus y troyanos: Mitigado por el filtrado de contenidos de e-mail, IDSs de host
y antivirus de host.
Ataques de Passwords: Limitar los servicios disponibles a ataques de fuerza bruta. Sistemas
operativos e IDS pueden detectar esta amenaza.
Denegacin de Servicio: Control de trfico en el router de borde.
IP spoofing: Filtrado por RFC 2827 y 1918 en el router de borde y en el router de ingreso a
la red.
Packet sniffers: Infraestructura switcheada e IDS de host para limitar la exposicin. Control
de MACs por puerto para evitar el overflow de la tabla CAM en los switchs.
Reconocimiento de la red: los IDSs detectan ataques de reconocimiento. Filtrado de
protocolos para limitar la fuga de informacin.
Explotacin de confianza: Modelo de confianza restrictivo para limitar estos ataques
El servicio de acceso remoto y de VPNs tambin pueden ser objetivos de ataques. Las siguientes
son las amenazas esperadas y la forma de mitigarlas:
Descubrimiento de la topologa de red: Listas de control de acceso en el router de ingreso
limitan el acceso al concentrador de VPN y al Firewall (cuando finaliza tneles IPSec) slo
para trfico IKE y ESP.
Ataques de Password: Uso de One-time passwords (OTP) mitigarn los ataques de fuerza
bruta.
Accesos no autorizados: Servicios de Firewall luego de la desencripcin de un paquete
previenen trfico a puertos no autorizados.
Ataques Man-in-the-middle: Estos ataques son mitigados mediante la encriptacin del
trfico remoto.
Packet sniffers: Infraestructura switcheada para limitar la exposicin. Control de MACs por
puerto para evitar el overflow de la tabla CAM en los switchs.
dentro del diseo de SAFE. La conectividad remota se aplica tanto a los usuarios mviles como a
los trabajadores hogareos. El enfoque principal de estos diseos es proveer conectividad desde
el sitio remoto a la red central a travs de Internet. Las cuatro siguientes opciones incluyen
soluciones de slo software, hardware y software o slo hardware:
Opcin de acceso por software: Usuario remoto con un cliente de VPN por software y un
Firewall personal en la PC.
Opcin de sitio remoto con Firewall: Sitio remoto protegido por un Firewall dedicado que
tambin provee conectividad IPSec a la red central. La conexin a Internet es provista
mediante un dispositivo de acceso banda ancha asignado por el ISP (P. Ej: DSL o
CableModem).
Opcin de Cliente de VPN por hardware: Sitio remoto utilizando un cliente de VPN por
hardware dedicado que provee conectividad IPSec a la red central. La conexin a Internet
es provista mediante un dispositivo de acceso banda ancha asignado por el ISP
Opcin de sitio remoto con Router: Sitio remoto utilizando un router que provee servicios
de Firewall y de conexiones IPSec. Este router puede conectarse directamente a Internet o
utilizar un dispositivo de acceso banda ancha asignado por el ISP
Dispositivos Claves:
Dispositivo de acceso banda ancha: Provee acceso a la red del proveedor (DSL, cable, etc.).
Firewall con VPN: Provee tneles encriptados entre el sitio remoto y la red central. Provee
proteccin a nivel de red de los recursos del sitio remoto y filtrado de trfico stateful.
Estacin de IDSs de red: Provee resmen de las alarmas de los IDS de toda la red.
Estaciones Syslog: Recopila la informacin de log de los dispositivos.
Servidor de control de acceso: Provee servicios de autenticacin a los dispositivos de red
Servidor de One-time Password (OTP): Autoriza el paso de la informacin de OTP del
Servidor de control de acceso.
Dispositivos IDS de red: Proveen monitoreo de Capa 4-7 de los segmentos claves.
Mitigacin de amenazas:
Packet sniffers: Infraestructura switcheada e IDS de host para limitar la exposicin. Control
de MACs por puerto para evitar el overflow de la tabla CAM en los switchs.
Ataques de virus y troyanos: Mitigado por el filtrado de contenidos de e-mail, IDSs de host
y antivirus de host.
Acceso no autorizado: Mitigado por el uso de IDS de host.
Ataques de Passwords: El servidor de control de acceso permite el uso de autenticacin
fuerte para las aplicaciones claves.
Ataques a capa de aplicacin: Sistemas operativos, dispositivos y aplicaciones deben
mantenerse con sus actualizaciones al da. Mitigados por IDS de Host.
IP spoofing: Filtrado por RFC 2827 previene spoofing.
Explotacin de confianza: Las relaciones de confianza deben ser explcitos.
Red de borde: Esta red se conecta directamente a Internet a travs de un enrutador que
proporciona una capa de proteccin inicial en forma de filtro bsico de trfico de red. Enva
datos a la red perimetral a travs de un servidor de seguridad perimetral.
Red perimetral: Esta red, a menudo denominada DMZ (red desmilitarizada) o red de
extremo, vincula los usuarios entrantes a los servidores Web u otros servicios. A
continuacin, los servidores Web se vinculan a las redes internas a travs de un servidor de
seguridad interno.
Redes internas: Las redes internas se vinculan a los servidores internos, como el servidor
SQL y los usuarios internos.
Cules son los requisitos de rendimiento de los servidores de seguridad? El rendimiento se puede
considerar en trminos de bits por segundo o de paquetes transferidos por segundo. Si se trata de
una operacin nueva, es posible que no conozca las velocidades de rendimiento y, si esta
operacin se lleva a cabo de forma satisfactoria, el rendimiento de Internet podra aumentar
rpidamente. Cmo se puede controlar un aumento? Debe seleccionar una solucin de servidor
de seguridad que pueda escalar a medida que aumenta el rendimiento. El servidor de seguridad
puede crecer agregando ms componentes o se podra instalar otro servidor de seguridad en
paralelo?
A menudo, personas que desean perjudicar a organizaciones o robar secretos comerciales para
obtener una ventaja competitiva utilizan Internet como herramienta. Si instala un servidor de
seguridad perimetral y observa el registro de intrusiones, el volumen de las mismas le
sorprender. La mayora de estas intrusiones slo son pruebas para ver si la mquina responde y
averiguar los servicios que utiliza. Puede parecer inofensivo, pero si el atacante descubre la
mquina que utiliza, podra atacar sus servicios, una vez conocidos sus puntos dbiles. No todos
los ataques se basan en Internet. Tambin debe proteger la informacin importante de los
usuarios internos de la red empresarial. La mayora de las organizaciones dispone de informacin
importante que debe protegerse de ciertos usuarios de la red interna, incluidos empleados,
proveedores y clientes.
Un servidor de seguridad es un mecanismo que sirve para controlar el flujo de trfico IP entre dos
redes. Los dispositivos de servidor de seguridad funcionan habitualmente en L3 (nivel 3) del
modelo OSI, aunque algunos modelos tambin pueden funcionar a niveles superiores.
Generalmente, un servidor de seguridad interno proporciona las ventajas siguientes:
Es importante destacar que los servidores de seguridad mitigan slo algunos tipos de peligros.
Generalmente, un servidor de seguridad no evita el dao que se puede infligir a un servidor con
un problema de seguridad de software. Los servidores de seguridad se deben implementar como
Inspeccin de circuitos
Filtrado de aplicaciones
ste puede admitir todos los servicios que se requiere que admita la clase.
Las clases son las siguientes:
Clase 1: Servidores de seguridad personales: Un servidor de seguridad personal se define como
un servicio de software que se ejecuta en un sistema operativo que proporciona una sencilla
funcionalidad de servidor de seguridad para un equipo personal. Al crecer el nmero de
conexiones permanentes a Internet (al contrario que las conexiones de acceso telefnico), ha
aumentado el uso de servidores de seguridad personales.
Aunque se ha diseado para proteger a un nico equipo personal, un servidor de seguridad
personal tambin puede proteger a una red pequea si el equipo en el que se ha instalado
comparte su conexin a Internet con otros equipos de la red interna. Sin embargo, un servidor de
seguridad personal tiene un rendimiento limitado y reduce el rendimiento del equipo personal en
el que est instalado. Los mecanismos de proteccin suelen ser menos efectivos que una solucin
de servidor de seguridad dedicada porque suelen estar restringidos al bloqueo de direcciones IP y
de puertos aunque, en general, un equipo personal necesita un nivel de proteccin inferior.
Los servidores de seguridad personales pueden incluirse sin costo alguno con un sistema operativo
o adquirirse a un precio muy bajo. Son adecuados para el fin con el que se han diseado, pero no
deben utilizarse en empresas, ni siquiera en pequeas oficinas satlite, ya que su rendimiento y
funcionalidad estn muy limitados. Sin embargo, son particularmente adecuados para los usuarios
mviles que utilizan equipos porttiles.
Las ventajas de los servidores de seguridad personales incluyen:
Slo control bsico: La configuracin suele ser slo una combinacin de filtrado de
paquetes esttico y bloqueo de aplicaciones basado en permisos.
Slo control bsico: La configuracin suele ser slo una combinacin de filtrado de
paquetes esttico y bloqueo de aplicaciones basado en permisos.
Soporte tcnico limitado del fabricante: Puesto que se trata de productos de bajo costo, el
soporte tcnico del fabricante se limita, habitualmente, al correo electrnico o a un sitio
Web.
Sistemas modulares: Tanto el hardware como el software se pueden actualizar para cumplir
con los requisitos nuevos. Las actualizaciones de hardware pueden incluir puertos Ethernet
adicionales, mientras que las actualizaciones de software pueden incluir la deteccin de
nuevos mtodos de intrusin.
Costo elevado: Los servidores de seguridad de hardware superiores suelen ser caros.
Aunque pueden adquirirse por tan poco como 100 dlares USA, el costo es mucho mayor
para un servidor de seguridad empresarial y con frecuencia se basa en los requisitos de
nmero de sesiones simultneas, rendimiento y disponibilidad.
Es importante comprender que algunas de estas clases se solapan. Esto se debe a su diseo, ya
que la solapacin permite a un tipo de solucin de servidor de seguridad abarcar varias clases.
Tambin es posible que ms de un modelo de hardware del mismo proveedor proporcione varias
clases, lo que permite a la organizacin seleccionar un modelo que se adapte a sus requisitos
presentes y futuros. Aparte del conjunto de precio y caractersticas, los servidores de seguridad se
pueden clasificar segn su rendimiento. Sin embargo, en la mayora de los casos, los fabricantes
no proporcionan cifras sobre el rendimiento. Cuando se proporcionan (normalmente, para
dispositivos de sistemas de seguridad de hardware) no se sigue el proceso de medida estndar, lo
que dificulta las comparaciones entre distintos fabricantes. Por ejemplo, una medida es el nmero
de bits por segundo (bps), pero puesto que, en realidad, el servidor de seguridad transmite
paquetes IP, esta medida no tiene sentido si no se incluye el tamao del paquete utilizado al medir
la velocidad.
En la interfaz interna, bloquear paquetes salientes que parezcan haberse originado desde
una direccin IP externa para restringir un ataque interno.
Permitir consultas basadas en UDP y respuestas de los servidores DNS al host de bastin de
resolucin de DNS.
Permitir consultas basadas en UDP y respuestas del host de bastin de resolucin de DNS a
los servidores DNS internos.
Permitir consultas basadas en TCP de los servidores DNS internos al host de bastin de
resolucin de DNS, incluidas las respuestas a las consultas.
Permitir consultas basadas en TCP del host de bastin de resolucin de DNS a los
servidores DNS internos, incluidas las respuestas a las consultas.
Permitir transferencias de zona entre el host de bastin de anuncio de DNS y los hosts
servidores DNS internos.
Permitir correo saliente del servidor de correo SMTP interno al host de bastin SMTP de
salida.
Permitir correo entrante del host de bastin SMTP de entrada al servidor de correo SMTP
interno.
Permitir que el trfico originado desde el servidor en servidores VPN llegue a los hosts
internos y que las respuestas se devuelvan a los servidores VPN.
Todo el acceso Web de salida de los clientes internos pasa por un servidor proxy y las
respuestas se les devuelven.
Realizar una inspeccin con estado de paquetes entre todos los segmentos de red que se
unan (servidor de seguridad de circuitos, nivel 3 y nivel 4).
Admitir caractersticas de alta disponibilidad como conmutacin por error con estado.
Enrutar el trfico entre todos los segmentos de red conectados sin utilizar la Traduccin de
direcciones de red.
Para aumentar la disponibilidad del servidor de seguridad, puede implantarse como un nico
6.6 SNTESIS
Muchos de los servicios que las personas demandan son, por naturaleza, inseguros. Los Firewalls
son como los agentes de trnsito para estos servicios. Refuerzan las polticas de seguridad del
sitio, permitiendo que pasen slo los servicios aprobados y aquellos que cumplen con las reglas
establecidas para ello.
Su implementacin fsica vara de un sitio a otro. Con mayor frecuencia un Firewall es un conjunto
de componentes de hardware (un equipo dedicado, un router o un host, con el software
apropiado). Existen varias formas de configurar estos equipos, dependiendo de la poltica de
seguridad, del presupuesto y de las operaciones generales de un sitio especfico.
Los Firewalls ofrecen una excelente proteccin contra las amenazas a la red, pero no son una
solucin de seguridad total. Ciertas amenazas estn fuera del control del Firewall. Debe encontrar
otras formas de protegerse contra ellas incorporando seguridad fsica, seguridad a nivel de los
hosts y educacin para el usuario en su plan de seguridad.
Los Sistemas de deteccin de intrusiones complementan las medidas de seguridad, y nos
protegern en caso que el atacante ya est dentro de la red interna, en este caso el Firewall no
puede hacer casi nada por resistir un ataque. Los usuarios internos pueden robar datos, daar el
hardware y el software y modificar programas de manera sutil. Las amenazas desde adentro
requieren medidas de seguridad internas, como los sistemas de deteccin de intrusiones.
En general podremos implementar IDSs basados en red y en hosts, los primeros escuchan las
comunicaciones que circulan por el segmento donde estn instalados y los basados en hosts se
instalan en hosts determinados, por ejemplo los servidores, y permiten auditar los eventos que
suceden en el mismo. Ambos IDSs recogen informacin, la analizan y pueden frenar en forma
activa aquellos eventos que interpreten como un ataque, adems deben enviar reportes a una
consola central donde el administrador puede observar el comportamiento de la red.
6.7 PREGUNTAS
Para qu se utiliza la tabla de traslaciones en NAT y PAT? Para controlar los paquetes que
pueden ingresar a la red interna
Cul es una ventaja del uso de PAT? Impide que los dispositivos externos accedan
directamente a las estaciones de la red interna
Cul es uno de los datos que almacena PAT en la tabla de traslaciones? El nmero de
puerto TCP/IP con el cual se reemplaz el nmero de puerto de origen
En qu capa del modelo OSI operan los filtros estticos de paquetes? Red y Transporte
Cules dispositivos nos puede proteger de los abusos cometidos por los usuarios
internos? Los sistemas de deteccin de intrusiones
Cules son funciones de un IDS? Monitorizar y analizar los eventos del sistema y el
comportamiento de los usuarios, Comunican alarmas cuando se produce una situacin
anormal
Cules son limitaciones o desventajas de un IDS? Falsos positivos, Defensa ante nuevos
ataques, Defensa ante ataques sofisticados
CAPTULO 7
7.1 HARDENING (Endurecimiento)
Todo especialista en seguridad necesita conocer los fundamentos del hardening de sistemas. Este
captulo tiene como objetivo presentar las tcnicas y mtodos del hardening, orientados
principalmente a sistemas operativos, redes y aplicaciones.
Es bien sabido que al instalar cualquier sistema operativo o aplicacin, las opciones y
caractersticas por defecto suelen ser genricas, no adecuadas a necesidades en particular. Esto no
tiene una razn de ser caprichosa, sino que responde a que lo que se instala sea funcional a la
mayora de las personas. Mucho software tambin brinda la posibilidad de seleccionar entre
distintos tipos de instalacin, en la cual se hace foco en ciertas cosas, como minimizacin de lo
instalado, maximizacin de recursos disponibles, y otras opciones tpicas.
As es como nace el concepto de Hardening, del ingls endurecimiento, que refiere al proceso de
segurizar un sistema o aplicacin en funcin de su proteccin contra eventos determinados.
Normalmente esto incluye habilitar o deshabilitar funciones, cerrar accesos y puertos no
utilizados, y eliminar lo que no es necesario para el funcionamiento normal.
Para poder mantener un sistema en un estado de funcionamiento seguro es necesario conocer
primero los aspectos que lo podran transformar en inseguro. El conocimiento en profundidad de
las caractersticas de los sistemas servir para tomar conciencia del impacto que puede provocar
el uso incorrecto del mismo o la existencia de una vulnerabilidad.
Es por esto que se requiere ante todo estar informado. Claro que en un mundo donde la
informacin circula a altsima velocidad, cuesta demasiado estar constantemente actualizado en lo
que a tecnologa se refiere, pero tratndose de la seguridad, ser una tarea crtica para poder
obtener resultados positivos.
Existe una gran cantidad de recursos en la web que nos pueden mantener al tanto de las noticias
de seguridad. Tal vez una de las ms reconocidas de habla hispana sea Hispasec
(http://www.hispasec.com/). Tambin en la seccin de noticias del sitio Delitos Informticos
podemos hallar datos actualizados (http://www.delitosinformaticos.com).
Es recomendable contar con distintas fuentes, ya que las noticias suelen ser encaradas para en
distintos niveles de usuario, desde lo meramente informativo hasta lo ms tcnico.
Los Hotfixes son componentes diseados para reparar problemas que ocurren en un nmero de
servidores o equipos de trabajo relativamente pequeo. Son creados en general por el proveedor
del software cuando aparecen ciertos problemas de compatibilidad o funcionalidad con un
producto de un fabricante utilizado en una plataforma de hardware especfica. En espaol se
encuentra traducido muchas veces a la palabra "revisin" al referirse a un hotfix.
Por lo general suelen contener uno o ms archivos, y tienen como fin resolver problemas de
reciente aparicin, como son los agujeros de seguridad. Pueden instalarse manual o
automticamente a travs de un sistema de gestin de paquetes como puede ser Windows
Update para el sistema operativo Windows, YUM o APT para el sistema operativo Linux.
Muchas veces un hotfix no es sometido a rigurosas pruebas antes de ser lanzado, pues soluciona
problemas crticos que fueron descubiertos recientemente. Por lo tanto, los hotfixs simplemente
sirven para solucionar un problema especfico, y se recomienda al igual que con los updates,
instalarlos slo si es necesario, para el caso sera cuando se manifieste ese error o problema en la
aplicacin o sistema operativo.
En lo posible, se deberan probar en un ambiente que no sea de produccin, y solo luego de una
etapa de prueba debera considerarse la aplicacin en produccin. Tambin es bueno tener en
cuenta una metodologa de vuelta atrs, en el caso de querer eliminarlos luego de ser aplicados.
En el caso de Microsoft, dispone del Microsoft Network Security Hotfix Checker (HfNetChk), una
herramienta que puede ser descargada y utilizada en los sistemas Windows y sirve para detectar
faltas de parches en el sistema. Tambin existen herramientas de otras compaas para la misma
tarea.
Los Service Packs son grupos de parches que se utilizan para actualizar, corregir y mejorar
aplicaciones y sistemas operativos. Son testeados sobre una gran cantidad de hardware y
aplicaciones, a fin de asegurar compatibilidad con otros parches y actualizaciones existentes, y
para cubrir mucha ms rea funcional que un conjunto de hotfixes. Tambin se recomienda que
sean testeados antes de ser aplicados en entornos de produccin, esto es porque ms all de los
testeos que pueda realizar el proveedor del software, sera imposible probar todas las
combinaciones de sistemas que podemos encontrar en el mercado, con lo cual depender del
administrador el testeo propio.
La denominacin Service Pack fue popularizada por Microsoft cuando comenz a agrupar
conjuntos de parches que actualizaban su sistema operativo Windows. Son de dos tipos:
Incremental: en la cual cada SP no contiene las actualizaciones anteriores, por lo que debe
instalarse el SP anterior antes de instalar el SP siguiente.
Acumulativo: que es el caso contrario, cada SP contiene el SP anterior, lo que hace mucho
ms fcil y rpida la actualizacin. Microsoft Windows posee esta tcnica. Por lo general es
altamente recomendable la instalacin de un SP actualizado (especialmente los de sistemas
operativos) para mejorar el rendimiento, reparar errores y solucionar agujeros de
seguridad. De hecho es comn que para poder ejecutar nuevas aplicaciones se deba
obligatoriamente instalar determinados SP.
Para el caso de los parches de cdigo, se aplican directamente al cdigo fuente de las aplicaciones
en lugar de a la versin compilada, por lo tanto un programador podr saber que nuevas
caractersticas aade el parche.
Por ejemplo, en el desarrollo del sistema operativo Linux, que publica todo su cdigo libremente,
Linus Torvalds (su autor original) recibe cientos de miles de parches desde muchos programadores
para que los aplique en su versin. En estos proyectos de software libre, es comn que los autores
reciban parches o que mucha gente publique parches de forma autnoma que arreglan problemas
o agregan funcionalidades.
Como dato curioso, podemos mencionar al servidor web ms usado en la actualidad, Apache, que
evolucion como un conjunto de parches que un grupo de encargados de pginas web creaban
para aadir funcionalidades. Adems, su nombre deriva del hecho de que sea un conjunto de
parches (en ingls, a patchy server o un servidor parcheado).
Existe una categora de parches que tiene como fin el de alterar el comportamiento del software
para fines especficos, no considerados por el proveedor, por ejemplo el de no pagar por un
software pago, lgicamente que estos ltimos son ilegales y no se recomienda su utilizacin.
La creciente industria del software y sus continuo ciclo de actualizaciones hace que sea necesario
organizar de manera clara y segura la aplicacin de parches y dems componentes orientados al
mantenimiento del software, ya sean aplicativos o sistemas operativos.
De esta manera, muchos fabricantes de software disearon sistemas automticos para la
aplicacin de parches, a fin de resolver los posibles problemas derivados de la gran cantidad de
software existente para ser administrado y mantenido.
Para los sistemas operativos ms utilizados, como la serie Windows, de Microsoft, existen tambin
aplicaciones de terceras partes, que tambin pueden gestionar parches de dicha plataforma. Un
claro ejemplo de un completo sistema de aplicacin de parches es el Windows Server Update
Services (WSUS) de Microsoft, que provee actualizaciones de seguridad para los sistemas
operativos Microsoft Windows y otras aplicaciones. WSUS es una alternativa centralizada de otros
sistemas como Microsoft Update. Mediante WSUS los administradores pueden manejar
centralmente la distribucin de parches a travs de Actualizaciones automticas a todas las
computadoras de una red corporativa.
WSUS se desarroll a partir de Software Update Services (SUS), el que solo poda actualizar
parches del sistema operativo. WSUS supera a SUS en que expande el rango de aplicaciones que
puede actualizar. La infraestructura de WSUS permite que desde un servidor central se descarguen
automticamente los parches y actualizaciones para los clientes en la organizacin, en vez de
hacerlo del sitio web Microsoft Windows Update. Esto ahorra ancho de banda, tiempo y espacio
de almacenamiento debido a que las computadoras individualmente no necesitan conectarse a
servidores externos a la organizacin, sino que se conectan a servidores locales.
Un correcto trabajo en cada uno de los niveles supone un mayor nivel de seguridad que crece
exponencialmente con la conjuncin de los mismos.
7.1.5 Firewalling
El hecho de contar con un dispositivo de firewalling en el permetro de una red, nos obliga a
analizarlo como parte del hardening del sistema informtico. Esto puede parecer redundante, ya
que los Firewalls se configuran exclusivamente para brindar seguridad, pero dicha tarea no implica
un funcionamiento inherentemente efectivo. Puede continuar pareciendo una obviedad, pero una
verdadera configuracin segura de un dispositivo perimetral como lo es un Firewall, requiere un
estricto control y verificacin, tanto antes de ser puesto en marcha como peridicamente, o bien
cuando exista un requerimiento que lo amerite.
La regla de oro a seguir ser la siguiente: todo aquello que no fue explcitamente permitido, debe
ser prohibido. Esto implica mucho trabajo de configuracin, ya que frente a cada requisito de
entrada o salida de la red, se debe contemplar una regla de filtrado, y si consideramos la gran
cantidad de puertos y accesos que utiliza el software en los sistemas actuales, es fcil notar la
complejidad que se asume al cumplir esta regla.
De todas maneras, al instalar un Firewall puede ser preferible priorizar la incomodidad inicial
frente a la exposicin inicial, ya que la primera se mitiga con el tiempo y un cuidadoso
seguimiento y la segunda podra conducir a incidentes. As podemos comenzar a realizar los
chequeos correspondientes dependiendo del tipo de Firewall con el que contemos. No olvidemos
que no es lo mismo un filtrado de capa 3 (por direccin) que un filtrado de capa 4 (por puerto), as
como tampoco ser lo mismo el filtrado en capa 7 (aplicaciones). Para cada instancia de revisin,
debemos comprobar que el uso de cada recurso es indispensable para quien lo solicita.
Se debe tener sumo cuidado al intentar modificar reglas o directivas previamente definidas, ya
que el procesamiento ordenado y secuencial de las mismas, tiene un efecto especfico para cada
peticin de acceso. Es decir, se debe comprender el funcionamiento completo del Firewall y sus
reglas para poder considerar modificaciones. Por otra parte, un Firewall no nos proteger de
ataques internos ni sustituir otras medidas de seguridad, por lo tanto deben considerarse como
un elemento ms (aunque indispensable) de la seguridad de un sistema. En cuanto a los parches y
actualizaciones de seguridad, deben tenerse en cuenta, tanto para los Firewalls por software
como por hardware (firmware upgrade). Los sistemas operativo Windows poseen un sistema de
Firewall reducido que provee caractersticas de filtrado. Los sistemas del tipo GNU/Linux basan su
filtrado de paquetes en el esquema de netfilter, implementado mediante la herramienta iptables.
Est considerado uno de los sistemas de filtrado ms potentes que existen.
7.1.6 HIDS
Los sistemas de deteccin de intrusos (IDS) pueden estar basados en Host o ser de Red. Esta
principal clasificacin determina el uso que se le dar y su mbito de aplicacin. En este caso nos
referimos a los Host IDS (HIDS) y las consideraciones en cuanto al hardening de los mismos.
Primeramente, ser necesario tener en cuenta el sistema operativo sobre el cual se quiere realizar
la deteccin, ya que de este depender el software utilizado y diversas medidas basadas en su
funcionamiento interno. Una vez definido el SO, podemos definir algunos criterios de seleccin y
optimizacin
Uno de los principales podra ser la carga de la CPU, esto es debido a que tendremos que
establecer una buena relacin entre deteccin y rendimiento. De nada servir un sistema muy
ajustado que no permita trabajar a las aplicaciones y usuarios, pero tampoco servir un sistema
que no consuma tantos recursos y a la vez sea ineficiente.
Otro de los aspectos ser el uso en el disco rgido. Esto es relativo al tamao que la aplicacin
utiliza para s mismo, tanto en su estado fundamental recin instalado, como a travs del tiempo
con los nuevos archivos generados (firmas, logs, etc.) Continuando con los criterios, podemos
tomar en cuenta la usabilidad, ya que nos permitir el mejor acceso a la configuracin, y
finalmente, estudiaremos la calidad en la deteccin, ya sea para ataques conocidos como
desconocidos. Una buena optimizacin de seguridad en cuanto a HIDS consistir en la verificacin
de la deteccin y posterior ajuste (realimentacin) dentro del sistema. Es necesario que los
patrones y firmas estn actualizados, y que se haya contado con suficiente tiempo de
entrenamiento, el cual depender del tamao, carga y trfico del equipo en cuestin (por lo
general servidores).
La optimizacin tambin constar en asegurarse de que los patrones de comportamiento
considerados por nosotros como intrusivos, son efectivamente detectados, y que frente a cada
nivel de alerta se origine el aviso correspondiente, ya sea en la consola local, o mediante mensajes
al administrador (e-mail, sms, etc.).
7.1.8 Hardening en SO
Las listas de comprobacin son una serie de guas metodolgicas que se utilizan para controlar
que una tarea es realizada por completo (muchas veces en un determinado orden) y sin olvidar los
tems fundamentales de la misma. Estas checklists se utilizan tanto en procesos de auditoria
informtica como en tareas cotidianas de mantenimiento y tambin para realizar procedimientos
definidos y repetibles.
En la prctica son una herramienta que intenta apuntalar la dificultad de las personas para
recordar demasiadas tareas, y por otro lado, asegura un estndar en el relevamiento de datos
realizado, a fin de ser procesado posteriormente de manera ms fcil y rpida.
Las listas de comprobacin deben ser confeccionadas por personas idneas para tener la plena
certeza de que se contemplara todo lo necesario para completar la tarea en cuestin. Muchas
veces es bueno que estn sujetas a revisin antes de ser puestas en uso.
No debe olvidarse que es bueno tomar como parmetro otras listas de comprobacin
relacionadas, ya que de esa manera se pueden ajustar a nuestras necesidades sin tener que
crearlas desde cero, con un consecuente ahorro de tiempo y esfuerzo. Para ayudarnos en esta
tarea, existen aplicaciones para crear listas de comprobacin, pero bien puede utilizarse un simple
procesador de texto.
La seguridad de los sistemas operativos es la base del nivel de seguridad esperable para todo lo
que dependa del mismo, empezando por las aplicaciones. Es por esta simple razn que debe
dedicarse un tiempo razonable a la segurizacin inicial del mismo, ajustando sus configuraciones e
intentando que no queden opciones por defecto sin analizar.
Comenzaremos estudiando el proceso de inicializacin del sistema, pasando por la seleccin del
sistema de archivos y su integridad, hasta el ajuste de polticas y logs de auditoria. Luego
estudiaremos la configuracin de los protocolos relacionados con el uso de las redes e Internet, y
veremos algunas herramientas tiles a la hora de realizar hardening.
Debemos tener en cuenta que con el concepto de hardening siempre intentar segurizar la
plataforma con las herramientas que la misma cuenta, y mediante el ajuste de configuraciones
existentes. El agregado de aplicaciones externas escapa al concepto ortodoxo de hardening,
aunque por supuesto que sirve a los fines de la seguridad.
Es importante conocer el estado en el que se encuentran los sistemas operativos out of the box
para poder reforzarlos a partir de dicho estado. En el caso de sistemas Windows, es bien conocido
el estado recin instalado, ya que ser nico para toda instalacin. Para el caso de sistemas
GNU/Linux, la gran variedad de distribuciones y opciones de instalacin existentes hace que se
torne ms complejo el hecho de saber a priori el estado en el que queda el sistema out of the box.
Como normal general, empezaremos por dejar en los sistemas solamente las aplicaciones y
caractersticas que se utilizarn especficamente.
7.1.9 OS y NOS
A la hora de reforzar los sistemas, es bueno tener en cuenta para empezar, las recomendaciones
que da el proveedor del mismo. En cuanto a los sistemas instalados en equipos cliente, tendrn
configuraciones especiales que los harn dependientes en gran medida de los servidores contra
los cuales realicen sus tareas. Por su parte, los servidores pueden diferir en sus aplicaciones
instaladas y los servicios que proveen. Se debe tener especial cuidado de no desactivar servicios y
funciones importantes del sistema, tomando en cuenta que algunos SO permiten deshabilitar
incluso las funciones crticas. Una prctica recomendable es documentar todos los cambios que
se realizan, a fin de poder construir una metodologa replicable en el futuro, y tambin para poder
volver hacia atrs las modificaciones en caso de necesitarlo.
Una buena combinacin de lneas de defensa en el inicio brindar una barrera cada vez mas difcil
de atravesar para los atacantes locales.
Poltica de autenticacin: ya sea mediante Kerberos o cualquier otro sistema. Las polticas
de cuentas se aplican a nivel de dominio y afectan a todas las cuentas del mismo. De existir
un grupo de usuarios que necesiten una poltica separada se recomienda segmentarlos en
otro dominio.
Se debe tener cuidado de no contar con polticas demasiado estrictas para las cuentas, ya que
pueden impactar negativamente en los usuarios, por ejemplo, al obligar a u usuario a recordar
contraseas nuevas y largas lo nico que conseguimos en el mediano plazo es que las anote en un
papel o en un archivo de texto plano en su escritorio.
7.1.13 Auditora
En general, se define como un proceso sistemtico que consiste en obtener y evaluar
objetivamente evidencias sobre las afirmaciones relativas a actos y eventos, con el fin de
determinar el grado de correspondencia entre esas afirmaciones y los criterios establecidos, para
luego comunicar los resultados a las personas interesadas.
En el entorno de los sistemas operativos, un registro de auditoria (log) es un registro permanente
de acontecimientos importantes ocurridos en el sistema. La escritura del mismo se realiza
automticamente cada vez que ocurre un evento, se almacena en un rea protegida del sistema, y
es un mecanismo importante de deteccin. El registro de auditoria debe ser revisado
cuidadosamente y con la frecuencia adecuada. Las capacidades de auditoria que proveen un
sistema o aplicacin son las que van a permitir determinar qu elementos acceden a qu partes
del mismo en sus distintos niveles.
Para los fines del hardening, es necesario ajustar al mximo las capacidades propias de los SO y
combinarlas adecuadamente con las de las aplicaciones, a fin de poder contar con los registros
ms completos para cada rea de operacin. Debe tenerse cuidado de proteger el propio
mecanismo de auditora, ya que si se desactiva, de nada servirn tantos ajustes.
En el caso de que un sistema quede comprometido, los logs ya no sern de utilidad debido a que
carecen de confiabilidad por el solo hecho de haber sido vulnerada la seguridad del sistema. Es
posible considerar un sistema de log que solo permita escribir los archivos al final de los mismos
(modo append) para que no puedan ser modificados en cualquier ubicacin del mismo una vez
escritos. Una vez alcanzado un determinado tamao o pasado un tiempo predefinido, los logs
pueden almacenarse, y deben hacerlo en un lugar seguro, que cuente con la posibilidad de
accederlos si se requieren para futuros anlisis. Tambin podemos contar con un log server
(servidor de logs) que podra centralizar los registros de auditoria de los distintos servidores de
una red, para que puedan ser analizados y protegidos de manera ms controlada. Por ltimo,
existe la posibilidad de utilizar registros fsicos para casos muy especiales o crticos.
seguridad, por lo tanto deben tomarse medidas externas para su uso como protocolo seguro.
IPX/SPX (Internetwork Packet Exchange/Sequenced Packet Exchange) es utilizado por los sistemas
Novell Netware. IPX y SPX derivan de los protocolos IDP y SPP de los servicios de red de Xerox. El
uso de IPX est disminuyendo desde el boom de Internet. Hoy es posible utilizar productos Novell
sin IPX. Para cada uno de estos protocolos, debemos realizar las configuraciones necesarias en los
sistemas operativos, a fin de evitar posibles ataques. Un intruso podra cambiar la configuracin
de red en un equipo para que el comportamiento de las comunicaciones se modifique, por
ejemplo, podra redireccionarse el trfico, cambiarse el servidor de resolucin de nombres, o bien
utilizar nuestro sistema para lanzar ataques de denegacin de servicios.
opciones para las diferentes posibilidades de segurizacin. Algunos programas freeware o libres
para realizar hardening son:
Para completar la lista, no podemos dejar de mencionar a Microsoft Baseline Security Analyzer
(MBSA) que es una herramienta fcil de utilizar que ayuda a determinar el estado de seguridad en
funcin de las recomendaciones de seguridad de Microsoft y ofrece guas para corregir los fallos.
Bastille Linux: Bastille es un programa para hardening de SO GNU/Linux que acta mediante el
bloqueo de caractersticas habituales, configurndolo para que se comporte de manera proactiva
frente a la seguridad, y disminuya la susceptibilidad de ser comprometido. Bastille tambin puede
evaluar el estado actual de seguridad de un sistema, reportando los seteos con los que trabaja, e
incluso considera la funcionalidad de deshacer y revertir. Bastille hace foco en dejar que el
administrador elija como quiere segurizar el sistema. En su modo por defecto hace preguntas
interactivas, explicando los temas y creando una poltica basada en las respuestas del usuario o
administrador (root). Luego aplica las polticas al sistema. En su modo de valuacin, crea un
reporte orientado a explicarle al usuario los tpicos relativos a las opciones disponibles mientras
le indica cuales son las que estn vigentes en el sistema en ese momento. Otro de los objetivos de
Bastille es educar al administrador respecto a la seguridad, ayudndolo a realizar elecciones
concretas y bien pensadas.
Grsecurity: ofrece una serie de parches al ncleo de Linux para mejorar la seguridad del sistema.
No es un servicio adicional de seguridad ni un mdulo de kernel. Toma prestados algunos
conceptos de LIDS (Linux Intrusion Detection System). Provee protecciones para distintos tipos de
ataques a nivel de software e incluye auditoria adicional del kernel. (figura 3.3.10) Toma el modelo
de deteccin, prevencin y contencin. Para cada una de estas instancias se vale de diferentes
mecanismos. El proyecto nos ofrece prevencin contra Buffer Overflows mediante el sistema PaX,
control de Acceso basado en Roles (RBAC), aleatoriedad en los ID de los procesos y la pila TCP/IP y
vistas restringidas de los procesos, entre otras cosas. Los parches se distribuyen en un nico
parche que se aplica al kernel, el cual pesa menos de un megabyte actualmente, y habilita las
caractersticas antes mencionadas, muchas de las cuales son independientes entre s. Cada
funcionalidad opera como un pequeo parche del kernel y algunas pueden resultar en una
sensible baja de la performance.
misma es un archivo de texto que representa una configuracin. Se pueden aplicar a un equipo
local, importar a un objeto de directiva de grupo o utilizar para analizar la seguridad.
Normalmente estn asociadas a la plataforma Windows y se manejan mediante el complemento
de Plantillas de seguridad para Microsoft Management Console (MMC). Se pueden usar tal como
se suministran o se pueden crear plantillas personalizadas, para lo que hay que modificar la
configuracin de las plantillas de seguridad integradas. Despus de hacer los cambios en la
plantilla, pueden aplicarse al sistema. Las plantillas se pueden aplicar a un equipo local, un
dominio o una unidad organizativa. En sistemas Windows existen cuatro categoras de plantillas de
seguridad pregeneradas: Bsica, Segura, Alta seguridad y Variada. Las plantillas de seguridad
bsica, segura y de alta seguridad representan niveles de seguridad crecientes. Las plantillas
variadas incluyen las de compatibilidad, componentes opcionales, y de configuracin original. Es
importante utilizarlas adecuadamente. Esto implica por ejemplo, no aplicarlas sin haberlas
probado, no modificar una original sin guardarla y conocer bien la implicancia de todas las
opciones disponibles.
Apache: un software libre de cdigo abierto para plataformas basadas en Unix y tambin
con versiones para Windows. Se desarrolla dentro del proyecto HTTP Server de la Apache
Software Foundation.
Originalmente era parte del Option Pack para Windows NT, luego fue integrado en otros sistemas
de Microsoft. Los servicios que ofrece son: FTP, SMTP, NNTP y HTTP/HTTPS.
7.1.22 Logging
El sistema de logs en un webserver es la herramienta fundamental en la que se basa el anlisis y
posterior interpretacin de la informacin obtenida de la navegacin realizada en las pginas
contenidas en el mismo. En los logs de un webserver interesan principalmente los datos de los
navegantes, es decir, la direccin de origen, navegador utilizado, hora de acceso, tiempo total de
conexin, y operaciones realizadas contra el sitio. El consorcio W3C determina un formato
standard para logs de servidores web, pero existen distintos formatos propietarios. Es de
esperarse que la cantidad de informacin obtenida por los registros de un webserver pueda ser
mucha, por lo cual puede ser necesario contar con aplicaciones externas para su anlisis. As
nacen las herramientas de anlisis de logs, que tienen la capacidad de correlacionar eventos y
datos a fin de obtener informacin procesada que sirva para el administrador. Normalmente los
logs solo deben ser accedidos por el administrador, nunca por los usuarios del sistema. El anlisis
estadstico de los logs puede usarse para definir patrones de trfico, comportamiento o similares.
Como todo sistema de logs, debe tenerse en cuenta el almacenamiento de los logs antiguos
(incluyendo su compresin y seguridad) y los ciclos de rotacin definidos.
con una sutil alteracin puede quedar en estado de inutilizacin. En los servidores web, tenemos
diferentes archivos que deben ser protegidos contra alteraciones no autorizadas. Por empezar
estn los archivos de cdigo fuente de los sitios web, adems de los propios del sistema operativo
y la aplicacin web en s misma, pero tambin tenemos que cuidar los logs del sistema, que no
pueden ser firmados de manera tan simple debido a su constante modificacin. La integridad de
una pgina puede ser daada por fallas de software o bien por ataques de intrusos que toman el
control sobre algn sector y modifican su contenido (web defacing). Es responsabilidad del dueo
que la informacin de la pgina est en condiciones de integridad, y responsabilidad del prestador
del servicio asegurar la integridad de la informacin a partir de que se encuentre en el servidor
correspondiente. Se recomienda entonces utilizar software de chequeo de integridad para los
archivos estticos, y manejarse con polticas correctas para evitar la alteracin no autorizada de
los archivos que realmente deben cambiar (utilizar procedimientos autorizados).
7.2.4 CGIs
CGI, o Common Gateway Interface es una tecnologa que permite a un cliente con un explorador
web, solicitar datos de un programa ejecutado del lado del servidor web. CGI especifica un
estndar para transferencia de datos entre cliente y programa. El resultado final de la ejecucin
son objetos MIME. Las aplicaciones que se ejecutan en el servidor se denominan CGIs.
Cuando un usuario invoca un CGI se le est permitiendo ejecutar remotamente un programa en el
servidor, de manera que podra intentarse la introduccin de parmetros manipulados para que
funcionase de manera maliciosa. Como condicin de seguridad, los programas solamente
deberan ejecutar las acciones para las que fueron concebido. No se debe dar al cliente ms
informacin que la que se desee suministrar. Tampoco se debe confiar en la informacin de los
datos introducidos por el cliente. En caso de xito en un ataque, se debe minimizar el dao
potencial al sistema. Para distinguir si un CGI es seguro, debemos analizar primero su complejidad
(es preferible que sean sencillos). Por otra parte, debemos chequear si acta sobre archivos del
sistema o interacta con otros programas. Siempre es necesario validar las entradas procedentes
de los formularios. Debe tenerse especial cuidado con los campos ocultos, ya que no se visualizan
en el navegador pero s en el cdigo HTML. Es importante recordar que no se ejecutan
necesariamente desde un formulario, sino que tambin pueden hacerlo directamente a travs de
la ventana de URL.
7.2.5 Java
Java es un lenguaje orientado a objetos desarrollado por Sun Microsystems a principios de los 90.
Las aplicaciones se compilan normalmente en un bytecode que se interpreta en tiempo de
ejecucin. El lenguaje toma mucha de su sintaxis de C y C++ pero su modelo de objetos es ms
simple. Para trabajar con el lenguaje, el fabricante proporciona un compilador y una mquina
virtual. Utiliza el modelo de seguridad de Sandbox, el cual se implementa con distintas tcnicas:
El cargador de clases
El gestor de Seguridad Desde este punto de vista podemos considerar seguro el uso de
este lenguaje, aunque de todas formas siempre es posible desactivar su ejecucin desde
las Opciones de Internet si nos encontramos en un entorno Windows con Internet
Explorer.
Es una buena prctica el hecho de contar con la versin ms actualizada de la mquina virtual
provista por Sun para ejecutar las aplicaciones en este lenguaje, llamadas comnmente applets.
7.2.6 Javascript
Javascript es un lenguaje interpretado (no requiere compilacin) que se utiliza principalmente en
pginas web. Posee una sintaxis semejante a la de Java y el lenguaje C. Por el contrario que Java,
no es un lenguaje orientado a objetos propiamente dicho (no dispone de herencia) sino que est
basado en prototipos (las clases se generan clonando clases base). Los navegadores por su parte,
interpretan su cdigo, que est integrado en las pginas web. Fue diseado para cumplir ciertas
normas de seguridad para proteger el sistema del usuario. Tras cargar una pgina HTML, el
navegador ejecuta su cdigo sin que el usuario tenga que saberlo. Una norma de sus creadores
fue la imposibilidad de acceder a elementos externos a la pgina web. No puede acceder a
archivos de usuario ni ejecutar programas. Tampoco se pueden realizar conexiones con otros
servidores desde el lado del usuario. El Internet Explorer de Microsoft puede eludir estas
restricciones mediante controles ActiveX, por lo cual debe tenerse sumo cuidado al combinar las
tecnologas.
7.2.7 ActiveX
ActiveX es una tecnologa de Microsoft que se utiliza para desarrollar componentes de software
orientados a objetos reutilizables. Es aprovechada en el desarrollo de pginas dinmicas. Se
presenta tanto del lado del servidor como del cliente, aunque existan diferencias en el uso en cada
caso. En el cliente, funcionan como pequeos programas que se pueden incluir en de pginas web
y sirven para realizar diversas acciones. Son parecidos a los Applets de Java en su funcionamiento,
aunque difieren en la seguridad, ya que un Applet de Java no podr tomar privilegios ms all de
la mquina virtual y los controles ActiveX s. Los scripts de ActiveX son particulares del navegador
Internet Explorer, y funcionan como controles, similares al uso de plugins. En el servidor tambin
existen controles ActiveX, y estn presentes en la creacin de sitios en ASP. En cuanto a las
consideraciones de seguridad referidas a esta tecnologa, debemos tener en cuenta su alta
interactividad con el sistema operativo, lo cual puede convertirlo en un eslabn dbil de la cadena
de seguridad. Desde el navegador Internet Explorer es posible ajustar las configuraciones
predeterminadas para aceptar o no los controles ActiveX. Esto se realiza mediante el ajuste de
Nivel Personalizado en la solapa Seguridad del cuadro de Opciones de Internet (en la barra
del programa aparece luego de un click en Herramientas). En cuanto al lado del servidor,
debemos asegurarnos de cumplir con los requerimientos de seguridad al realizar la programacin
de los sitios dinmicos.
De esta manera es posible asegurar que un archivo o documento que emite un creador a muchos
usuarios, conserva su integridad y no es modificado en el camino. Es decir, el archivo es
exactamente el mismo que el provisto por el creador. Ampliando el concepto, podemos obtener
certificados que permitan confirmar adems los datos del creador de cdigo que es entregado
para su instalacin. Es muy recomendable que empresas y desarrolladores que pretendan
distribuir programas o contenido, los aseguren a travs de los mecanismos de firma digital, para
as generar confianza en sus receptores. Para hacerlo de manera vlida oficialmente, debe
obtenerse un certificado de una autoridad certificante. En pocas palabras, una manera muy til de
fortalecer un sistema es mediante la comprobacin de las firmas de los archivos, especialmente
una vez descargados de la web del proveedor.
atencin a los agregados y plugins que se relaciona con sitios no confiables, ya que los programas
espa y dems software malicioso estn a la orden del da. Finalmente, debe tenerse en cuenta
que un error en la informacin presentada por el navegador podra ocasionar el pasaje
involuntario por un sitio de phishing, que solo tiene como objetivo el robo de informacin del
usuario. Para el caso particular del Internet Explorer, las caractersticas de seguridad se configuran
desde las Opciones de Internet. En el Firefox, las encontramos en la pestaa de Seguridad del
cuadro de Opciones.
SMTP: El SMTP (Simple Mail Transfer Protocol) es un protocolo de red, basado en texto plano que
se utiliza para el intercambio de correo electrnico entre distintos equipos. Una limitacin del
protocolo SMTP, es el hecho que no soporta autenticacin en forma nativa. A partir de una
extensin realizada a este protocolo, el SMTP-AUTH, se obtuvo una mejora en el hecho que los
usuarios emisores deben autenticarse para poder enviar sus correos. Tambin se puede fortalecer
el nivel de seguridad de las conexiones por SMTP, configurndolo para que soporte encriptacin
por Secure Socket Layer (SSL). Para esto por defecto se suele utilizar el puerto TCP 587.
POP3: El POP3 (Post Office Protocol versin 3) es un protocolo que se utiliza para obtener
mensajes de correo electrnico alojados en un servidor. Algunas versiones no tan conocidas de
POP3 son:
APOP POP3 con autenticacin MDS. En este protocolo, el cliente de correo enva un hash
codificado de la contrasea al servidor en lugar una contrasea encriptada
RPOP POP3 con autenticacin RPOP, que utiliza un identificador de usuario similar a una
contrasea para autenticar las peticiones POP Para aadirle seguridad a la conexin por
protocolo POP3, una buena prctica es utilizar la encriptacin Secure Socket Layer (SSL)
para la autenticacin del cliente y las sesiones de transferencias de datos. El puerto por
defecto para este tipo de conexin es el TCP 995.
IMAP: El IMAP (Internet Message Access Protocol) es un protocolo de red para acceder a
mensajes de correo electrnico que se encuentren almacenados en un servidor. Mediante este
protocolo se puede tener acceso al correo desde cualquier equipo con conexin a Internet, ya que
los mensajes permanecen en el servidor. Los usuarios una vez que acceden a su correo pueden
borrarlos. IMAP tambin permite a las aplicaciones cliente crear, modificar y borrar carpetas del
lado del servidor, facilitando la gestin de los correos electrnicos. Es especialmente
recomendado para usuarios que acceden a su correo desde diversos equipos. De manera anloga
a POP3, se puede agregar un nivel de seguridad a la conexin por IMAP utilizando la encriptacin
Secure Socket Layer (SSL) para la autenticacin del cliente y las sesiones de transferencias de
datos.
MIME: El formato MIME (Multipurpose Internet Mail Extensions) son una serie de
especificaciones dirigidas al intercambio de todo tipo de archivos a travs de Internet y que este
sea transparente para el usuario. De todas las especificaciones, una parte importante est
orientada a mejorar la transferencia de texto en distintos idiomas. Hoy por hoy, se puede afirmar
que ningn cliente de correo electrnico o navegador web puede considerarse como tal si no
soporta el formato MIME.
S/MIME: El formato S/MIME (Secure / Multipurpose Internet Mail Extensions) es un estndar
criptogrfico de clave pblica y firmado de correo electrnico encapsulado en MIME desarrollado
por RSA. S/MIME provee los servicios de seguridad criptogrfica para distintas aplicaciones de
mensajera electrnica:
Autenticidad
Integridad
No repudio
Privacidad
Footprinting de la red: Una gran cantidad de informacin relativa a las redes se almacena
en los servidores DNS. Mediante el uso de algunas aplicaciones sencillas de DNS lookup, un
Delegacin de dominios: Los DNS lookup por lo general requieren de dos servidores
DNS primarios, o bien uno primario y uno secundario. Si se realiza algn cambio en un servidor
primario o secundario, el cambio se propagar hacia otros servidores DNS de confianza. Si se
inserta un registro falso dentro de los servidores DNS, este registro apuntar a la ubicacin del
atacante, convirtindola en una ubicacin legtima. Imaginen la situacin donde un determinado
sitio, fue redireccionado maliciosamente a otro de la competencia, o peor an, a algn sitio ilegal.
Para evitar este tipo de ataques, se debe estar seguro que los servidores DNS requieran
autenticacin antes que se haga cualquier tipo de propagacin. En entornos Linux y Unix, y
prcticamente la mayor parte de los servidores DNS, estn montados sobre BIND.
servidor sea muy reducido. Por otro lado, los servidores NNTP son vulnerables a diversos tipos de
ataques, ya que suelen ser una fuente de recursos para la red interna. Estos servidores a menudo
realizan transmisiones de informacin en grandes cantidades, por lo que son blancos de ataques
de DoS en momentos de altos niveles de trfico. Otros tipos de ataques frecuente en los
servidores NNTP son los ataques de SPAM o mensajes no solicitados. Para evitar este tipo de
ataques usualmente los mensajes son evaluados por un moderador antes de llegar a las listas, con
el objetivo de asegurarse que los mismos correspondan a usuarios vlidos. En el caso que se
manejen grandes cantidades de mensajes, se suele complementar la tarea del moderador con
Bots, unas herramientas automatizadas que pueden detectar mensajes SPAM y eliminarlos.
Como ocurre con el caso del SPAM, los servidores NNTP tambin pueden llegar a tener problemas
relativos a la seguridad similares a las de los servidores de correo electrnico. Esto se debe a que
por defecto, no siempre estn configurados en forma correcta las limitaciones de los parmetros
de almacenamiento de informacin o limitados los archivos adjuntos. Tambin es importante
tomar conciencia de la problemtica que puede ocasionar el hecho que software malicioso
adjunto a los mensajes pueda aceptarse en el servidor y ser almacenado en el mismo.
Por lo tanto, los servidores NNTP deben estar restringidos solamente a entidades vlidas, las
cuales requieren por parte del administrador una correcta configuracin de los lmites de acceso y
el tipo de adjuntos que se pueden almacenar. Tambin es importante tener en cuenta cual es la
plataforma sobre la cual est montado el servidor, a fin de ajustar las medidas relativas a la dicha
plataforma.
CAPTULO 8
8.1 ANLISIS DE VULNERABILIDADES
Qu tareas realizara si tuviera que hacer un anlisis de vulnerabilidades en una red?
Reunir informacin
Test interior
Test exterior
Documentar e informar
Consultas NSLOOKUP para saber cuales son los servidores que tiene la empresa
Las vulnerabilidades de seguridad informtica han existido desde siempre. Hasta 1990 la gran
mayora de los intrusos ingresaba a los sistemas informticos utilizando tcnicas de scanning,
ataques de fuerza bruta, probando usuarios y diferentes passwords, ingeniera social, etc. A partir
de principios de los 90 los intrusos comenzaron a ingresar a los sistemas informticos a travs de
la explotacin de vulnerabilidades, que eran conocidas primariamente dentro de los ambientes
underground y posteriormente, con el uso masivo de Internet comienza a surgir los primeros Web
Sites de vulnerabilidades. A medida que se hacan conocidas diferentes vulnerabilidades, tambin
se publicaban herramientas de seguridad y parches con el objetivo de ayudar a los
administradores. Actualmente, Internet representa una gran fuente de informacin donde existe
mucha ms cantidad de informacin sobre cmo ingresar a sistemas que sobre cmo protegerlos.
toda la exploracin y obtener toda la informacin posible desde dicha IP y del resto de los
equipos que se encuentren en el rango asociado. No se realiza ninguna intrusin, tan solo
se detecta y se documenta.
Caja Blanca: El analista de seguridad tiene una visin total de la red a analizar, as como
acceso a todos los equipos como sperusuario. Se realiza un anlisis de la configuracin del
S.O, de los servicios instalados, de las comunicaciones entre equipos. Este tipo de anlisis
tiene la ventaja de ser ms completo y exhaustivo, el resultado suele ser mucho ms
especfico y muestra una visin ms exacta del estado actual de un sistema.
Como parte del anlisis de vulnerabilidades, es necesario conocer cundo se debe aplicar cada
herramienta, y los resultados que podemos esperar de ellas.
TCP SYN scanning: Esta tcnica no establece una conexin completa. Enva un SYN y espera
la respuesta. Si recibe como respuesta un segmento RST, significa que el puerto no se
encuentra activo. Si la respuesta es SYN-ACK, significa que el puerto se encuentra abierto
[3], inmediatamente se enva un RST para evitar que se establezca la conexin. Esta tcnica
al no establecer una conexin, no es logueada por los sistemas estndares.
TCP FIN scanning (Stealth scanning): Esta tcnica se basa en un bug en las
implementaciones TCP, por lo que no es 100% confiable. Este bug hace que si se enva un
segmento FIN hacia un puerto abierto, el puerto lo descarta, y si el puerto se encuentra
cerrado, enva como respuesta el RST apropiado.
Fragmentation scanning: sta no es una tcnica nueva, sino que es una modificacin a
otras tcnicas para evitar ser detectadas por Firewalls o IDS. Antes de enviar directamente
el segmento apropiado, se fragmenta en pequeos paquetes IP. De esta forma, los
dispositivos de control que no realicen un reensamblado de los paquetes, no podrn
detectar el escaneo en curso.
UDP ICMP port unreachable scanning: este tipo de escaneo realiza prueba a puertos UDP.
Como no se establecen conexiones se vuelve ms complicado realizar el escaneo. Pero en
general, las implementaciones UDP devuelven un paquete ICMP_PORT_UNREACH cuando
se enva un segmento a un puerto UDP que no se encuentra activo. De esta forma se puede
detectar los puertos cerrados, y por exclusin, obtener los puertos abiertos. Dado que ni
los segmentos UDP ni los paquetes ICMP tienen la seguridad de llegar a destino, el escaneo
de puertos UDP puede ser inexacto.
Puerto Abierto: Un puerto se encuentra abierto cuando al enviar un SYN para intentar
establecer una conexin, el destino responde exitosamente con un SYN+ACK. Es este
estado el que generalmente los atacantes buscan para explotar vulnerabilidades, ya que se
sabe que un servicio se encuentra detrs esperando conexiones.
Puerto Filtrado: En el caso de los puertos filtrados o bloqueados, a cualquier envo de SYN
(o intento de establecer una conexin), no se recibe nada. Muy probablemente se deba a
que el destino tiene un firewall que elimina el flujo normal de los paquetes.
el atacante, con slo conocer el nmero telefnico de la vctima, y sin realizar ninguna accin
sospechosa sobre la red, podr tener acceso con los privilegios de un usuario interno. La
ingeniera social termina cuando se obtiene la informacin buscada. Las actividades que se
realicen con la informacin obtenida ya no entran en el marco de la Ingeniera social.
Aqu, la mejor contramedida es la educacin de los usuarios de la red. En la poltica que firman los
usuarios, se debe especificar que el nombre de usuario y contrasea no pueden ser transmitidos
mediante otro medio que no sea persona a persona. De esta forma se evitar tambin que
posibles escuchas de la red intercepten la informacin.
8.3.6 Trashing
Aunque parezca desagradable, la bsqueda de datos dentro de la basura puede proveer
informacin importante para comenzar un anlisis. Tomar objetos de la basura es completamente
legal, por lo que no existe una forma de evitarlo. Quizs la informacin obtenida no sea la
necesaria para realizar un ataque, pero, por ejemplo, puede ofrecer informacin para realizar
Ingeniera Social. Datos tales como agendas con nmeros de telfono, memos, organigramas,
resmenes de ventas, planificaciones de reuniones, hardware fuera de uso, manuales de uso, etc.
pueden ser un muy buen paso para comenzar la investigacin. Las planificaciones de vacaciones,
pueden decirnos qu usuarios se encuentran fuera de la organizacin, los manuales o polticas nos
pueden informar sobre la estructura de seguridad y permisos que tienen los usuarios, el hardware
en desuso, se puede utilizar para poder recuperar la informacin que tena. Quizs dentro del
disco obtengamos nombres de usuarios, contraseas, etc.
8.4 METODOLOGA
En esta seccin desarrollaremos los pasos a seguir para llevar a cabo un anlisis de
vulnerabilidades. Estos pasos comprenden:
Acuerdo de confidencialidad entre las partes
Estableciendo las reglas del juego
Reuniendo informacin
Test interior
Test exterior
Documentacin e informe
Es importante conocer los pasos a seguir durante el anlisis. Generalmente, el anlisis de
vulnerabilidades forma parte de un desarrollo de seguridad ms general, donde el objetivo sea
conocer el estado actual de la red y los riesgos que sta tiene.
Si est realizando un tes de caja blanca obtenga: Direcciones de los servidores, Nombres de
usuario y contraseas, Servicios que se brindan, Esquema de direccionamiento, Topologa
fsica de la rede, Niveles de privilegios.
Si est realizando un test de caja negra obtenga: Direccin o nombre de dominio a testear
responsabilidades tanto del empleador como de los empleados. Adems de estas pruebas se
pueden incorporar las pruebas que se listan en el test exterior (en la siguiente seccin), pero
tomando como punto de inicio del test a un usuario interno.
8.3 PREGUNTAS
Suponga que Ud. quiere realizar un anlisis de vulnerabilidades de toda una red y el
nico dato que tiene para realizar el anlisis es la direccin IP de un host Qu tipo de
anlisis sera? Caja Negra
Cules son tcnicas de escaneo de puertos? TCP SYN scanning, TCP FIN scanning, Connect
scanning
Cul es el principal objetivo de un test interior? Acceder a los servidores desde la red
interna de la empresa como un usuario tpico con el fin de obtener privilegios y/o accesos
no autorizados
Qu diferencia existe entre un test interior y un test exterior? Para realizar el test
interior el analista en seguridad se ubica en la red interna y para el otro caso en la red
externa
Cules son los pasos a seguir para realizar un anlisis de vulnerabilidades? Acuerdo de
confidencialidad entre las partes, Establecimiento de las reglas, Reuniendo informacin,
Test interior, Test exterior, Documentacin e informe
de
configuracin?
Conociendo
CAPTULO 9
9.1 CDIGO MALICIOSO
Sin duda, una de las amenazas de seguridad con ms prensa entre los usuarios de computadores y
pblico en general, sea aquella referida a los ataques de Virus informticos. Desde hace algunos
aos y especialmente a partir de la explosin de Internet como medio de comunicacin global, se
han sucedido una serie de episodios que han hecho del Cdigo Malicioso en general y de los virus
en particular, una de las principales causas de prdida de dinero por incidentes de seguridad. A lo
largo de esta unidad, definiremos conceptualmente el trmino Cdigo Malicioso as como cada
uno de los componentes de software que integran esta categora, la forma en la que se presentan,
los daos que son capaces de causar y las medidas de proteccin que se encuentran a nuestra
disposicin a fin de minimizar el riesgo de su amenaza.
Qu es el cdigo malicioso? Todo programa o fragmento de cdigo generado para que su
accionar produzca algn problema en un equipo o sistema de cmputo, interfiriendo en su normal
funcionamiento.
Ya sea que usted administre una red corporativa de computadoras, o bien su propio sistema
hogareo, probablemente haya sido vctima de algn tipo de virus informtico, al menos una vez.
Desde la introduccin conceptual de estos ltimos en los aos sesenta, hasta nuestros das, el
software catalogado como Cdigo Malicioso, ha sido parte responsable, de algunos de los ms
importantes incidentes de seguridad a nivel mundial, acarreando en la mayora de los casos,
prdidas econmicas contadas en millones de dlares, a las compaas y usuarios damnificados.
Pero los virus informticos, no son la nica manifestacin de cdigo malicioso, de la misma forma
en que los perjuicios econmicos, no siempre se encuentran relacionados con la prdida de un
bien tangible. Ataques a la privacidad, productividad, disponibilidad e integridad suelen ser
tambin, producidos por este tipo de amenazas.
Como profesional en seguridad de la informacin, deber estar preparado para poder identificar
los aspectos claves respecto de cada una de las variantes conocidas de Cdigo Malicioso, as
como tambin su alcance y la contramedida asociada.
El enunciado de mtodos, polticas, procedimientos y el empleo de herramientas relacionadas con
la seguridad de la informacin frente a este tipo de amenazas, as como la concientizacin
respecto del alcance global de las mismas, son el eje principal del presente captulo.
Comenzaremos esta seccin definiendo el trmino Cdigo Malicioso, como Todo programa o
fragmento de cdigo, que genera en su accionar, algn tipo de problema en el sistema de
cmputo en el cual se ejecuta, interfiriendo de esta forma con el normal funcionamiento del
mismo.
Si bien es cierto que los distintos tipos de Cdigo Malicioso poseen caractersticas
particulares, que los distinguen entre s y ayudan a su catalogacin, tambin lo es el hecho de que
comparten algunos aspectos en comn:
una persona sin muchos recursos intelectuales generar su propio virus con tan solo unos clicks del
ratn. Si bien estos ltimos no suelen llegar a provocar los daos de sus hermanos mayores, no
dejan de ser preocupantes.
Es cierto que generalmente se suele asociar a los virus con el trmino de Cdigo Malicioso,
aunque como ya hemos manifestado anteriormente, no son la nica amenaza. Empresas
encargadas, por ejemplo, de realizar el seguimiento de los hbitos de compra o uso, de Internet
por parte de los usuarios haciendo uso de cookies o cdigo activo descargable
imperceptiblemente, en nuestra rutina diaria de exploracin de Internet, se estn convirtiendo
cada vez ms en una amenaza comn, al dispensar componentes no autorizados en nuestros
equipos.
Entre las novedades, algunos grupos del underground informtico, ya se encuentran trabajando
en pruebas de concepto respecto del desarrollo de Cdigo Malicioso capaz de distribuirse a
travs de dispositivos mviles tales como asistentes personales o telfonos celulares, abriendo de
esta forma nuevas posibilidades para la distribucin de este tipo de componentes de software.
En resumen, epidemias mundiales, ataques a la privacidad a gran escala y una comunidad de
creadores de virus a la orden del da, componen junto a la explosin de Internet como medio de
distribucin un cuadro al que debe prestarse la debida atencin.
Pero cul es la buena noticia detrs de estos datos? La buena noticia, es precisamente que a
pesar de los malos augurios existen una serie de buenas prcticas y herramientas de software con
un alto grado de eficacia a la hora de hacer frente a esta amenaza minimizando el impacto de su
accionar.
Hoy da, es muy comn observar que la mayora de los usuarios promedio, posee al menos su
software antivirus. Por otra parte, generalmente los equipos que se comercializan para el uso
corporativo u hogareo suelen despacharse con alguno de estos programas como parte del
paquete de software incluido. Lo cierto es que a pesar de ello, cada vez con ms frecuencia nos
encontramos con software antivirus o sistemas operativos que carecen de las actualizaciones que
los hacen inmunes a las amenazas conocidas, y este es una vez ms el punto dbil que seguir
haciendo del Cdigo Malicioso un verdadero dolor de cabeza.
Al margen de las caractersticas comunes que comparten los distintos tipos de Cdigo Malicioso,
existen diferencias fundamentales que hacen necesaria su clasificacin de acuerdo a su origen,
forma, daos que provocan y funcin para la cual han sido desarrollados.
Siguiendo este criterio y a los efectos de su estudio en el presente captulo, revisaremos en detalle
las siguientes cinco categoras principales, las cuales a su vez podrn contener su propia
estructura interna:
Virus
Troyanos
Cookies
Keyloggers
Spyware
9.2 VIRUS
Sin temor a equivocarnos, estamos en condiciones de afirmar que los virus informticos, son
quizs el tipo de Cdigo Malicioso ms extendido. Su historia y evolucin han hecho de ellos una
de las amenazas ms temidas para los administradores de sistemas de informacin y usuarios en
general.
Como veremos a lo largo de esta seccin la variedad de virus conocidos va desde aquellos
sumamente inofensivos hasta algunos de los ms destructivos. En algunos casos, hasta se torna
complicado encuadrar algunos de ellos en alguna de las categoras que presentaremos a
continuacin, puesto que los ltimos especmenes conocidos hacen uso de diversas tcnicas para
lograr su objetivo, las cuales a su vez incluyen aprovechamientos de vulnerabilidades en los
sistemas operativos ms frecuentemente utilizados, carga de cdigos exploits y sus propios
servidores de correo SMTP incorporados tendientes a hacer ms efectiva su distribucin.
9.2.1 Qu es un virus?
Un virus es una pieza de software diseada para infectar un sistema de cmputo. En esencia, los
diferentes tipos de virus, al igual que el resto del Cdigo Malicioso sobre los que trataremos en
este captulo, no son ms que pequeos componentes de software, desarrollados generalmente
en lenguajes de alto nivel, bajo nivel e hbridos (C, C++, Assembler, etc.) con el objeto de concretar
algn tipo de accin maliciosa, no deseada por el propietario del equipo anfitrin.
A pesar de que un virus puede estar construido tan solo con el objeto de infectar una PC y
permanecer en ella el mayor tiempo posible, lo cierto es que generalmente suelen acarrear
problemas mayores que van desde la simple eliminacin de archivos claves del sistema operativo,
pasando por la completa destruccin de particiones de discos duros, hasta llegar incluso en
algunos casos, a daar el firmware del equipo de la vctima.
Pero esto no es todo, la mayora de ellos suelen contar con las habilidades necesarias como para
atacar nuevos sistemas y distribuirse tanto como les sea posible, causando frecuentemente
ataques de denegacin de servicio, algunas veces framente calculados y dirigidos a objetivos
previamente estipulados
En resumen, podramos concluir que algunas de las caractersticas ms importantes de los virus,
son la posibilidad de replicarse y de poseer rutinas de dao. Aquellos virus que no poseen una
rutina de dao, pueden igualmente causar distintos tipos de inconvenientes, al consumir espacio
de almacenamiento, memoria y degradar completamente el desempeo de los equipos de
cmputo infectados.
origen, las tcnicas que utilizan para infectar, los tipos de ficheros que infectan, los lugares donde
se esconden, los daos que causan, el sistema operativo, la plataforma tecnolgica que atacan,
etc. Todas estas clasificaciones tienen muchos puntos en comn, por lo que un mismo virus puede
pertenecer a varias categoras al mismo tiempo. A continuacin se presenta una breve descripcin
de los tipos de virus ms importantes.
Macro Virus: De acuerdo a un estudio de la ICSA (International Computer Security Association),
los denominados Macro Virus, suman alrededor del 80 por ciento del total de virus conocidos, al
tiempo que ostentan el ttulo de ser uno de los tipos de ms amplia explotacin hoy da.
A diferencia de otros virus, estos no son especficos de un sistema operativo en particular, pero s
del grupo de aplicaciones para las que fueron creados.
Los Macro Virus, suelen estar construidos con cdigo tendiente a explotar algunas de las
caractersticas avanzadas, implementadas en las aplicaciones de oficina ms ampliamente
utilizadas. Las capacidades integradas de programacin o creacin de macros que stas poseen,
suelen incluir un set de instrucciones lo suficientemente potente, como para que los creadores de
este tipo de virus elaboren su cdigo malicioso basado en l. Algunos macro virus crean rplicas
de s mismos, mientras que otros infectan documentos. Ejemplos: Relax, Melissa.A, Bablas,
097M/Y2K.
Virus Polimorfos: El trmino de Polimorfo, de mltiples formas, suele ser el apropiado para
nombrar a aquellos virus que tienen la capacidad de mutar alguna de sus formas (cambiar las
caractersticas de su cdigo cuando se replica), haciendo ms difcil su deteccin por parte del
software antivirus que utiliza mtodos de anlisis de cadenas simples. Funcionalidades tales como
la encriptacin de determinadas partes de su cdigo original suelen servir tambin a este
propsito, evitando en algunos casos, la deteccin por firmas. Ejemplos: Elkern, Marburg, Satan
Bug, Tuareg.
Bombas Lgica: Las bombas lgicas, son un tipo de Cdigo Malicioso muy particular. Si bien
pueden encontrarse como un programa independiente, generalmente suele asociarse el trmino
de Bomba Lgica con pequeos fragmentos de cdigo, incluidos dentro de otros programas
preparados especficamente para activarse al cumplirse ciertos eventos definidos como parte de
su lgica interna.
Una de las particularidades de este tipo de amenazas, es que mientras que ninguno de estos
eventos predefinidos suceda, pueden llegar a pasar totalmente desapercibidas.
Hoaxes o Engaos: De la mayora de los cdigos maliciosos existentes, los Hoax quizs sean los
ms simpticos, aunque no por eso, del todo inofensivos. En rigor de verdad, un Hoax es un falso
virus y no realiza por s mismo ninguna accin. Generalmente consiste en un mensaje de correo
electrnico en el que se alerta sobre la supuesta existencia de un nuevo virus que ningn antivirus
detecta. Este tipo de mensaje generalmente apela a tcnicas de ingeniera social, mediante las
que se insta a los usuarios a eliminar en forma manual, los supuestos archivos infectados por este
virus inexistente, generando de esta forma que el propietario del sistema sea quien se auto-inflija
el dao.
Caballos de Troya o Troyanos: Un troyano o Caballo de Troya, es un programa que se diferencia de
los virus tradicionales en que no se reproduce infectando otros ficheros. Tampoco se propaga
haciendo copias de s mismo. Por el contrario, suelen llegar al sistema objetivo como parte de
programas aparentemente inofensivos, a la espera de poder ser ejecutados a fin de instalar el
verdadero cdigo troyano escondido detrs de esta cortina de humo. (Debido a la amenaza que
representan los troyanos para los sistemas de informacin, se ha dispuesto una seccin exclusiva
para su tratamiento, ms adelante en este mismo captulo). Ejemplos: IRC.Sx2, Trifor.
Worms o Gusanos: Antiguamente, sola utilizarse el trmino de Worm o Gusano, para referirse
a un tipo de cdigo malicioso en particular con el poder de auto-replicarse realizando copia de s
mismo o de alguna de sus partes. Los primeros gusanos, tenan como nica finalidad, la de ir
consumiendo memoria del sistema atacado hasta desbordar la RAM, siendo sta su nica accin
maligna.
Los Worm o Gusanos no son considerados virus en el estricto sentido de la palabra, pues
bsicamente no necesitan infectar otros archivos para poder multiplicarse, de hecho, la
multiplicacin es una caracterstica inherente a su construccin.
Si bien es cierto que la esencia detrs de la creacin de Worms o Gusanos no ha variado, muy
lejos han quedado ya, los tiempos en los que su accionar apuntaba tan solo a consumir memoria
de los mainframe atacados. Hoy da, los gusanos suelen estar dotados de la capacidad necesaria
como para:
Instalar troyanos y keyloggers en nuestro sistema.
Configurar los equipos atacados para que acten como un servidor Proxy.
Hacer uso de los recursos de procesamiento y ancho de banda del sistema vctima para
lanzar ataques dirigidos de denegacin de servicio.
Hacer uso de los recursos de almacenamiento del sistema vctima para albergar material
considerado como ilegal en algunos pases.
Los ltimos gusanos conocidos, han causado estragos alrededor del mundo. Sus nuevas
capacidades, incluyen la explotacin de vulnerabilidades conocidas en algunos de los sistemas
operativos ms utilizados, caracterstica que ha contribuido a transformar este tipo de Cdigo
Malicioso en una de las amenazas ms serias en materia de seguridad de la informacin.
Ejemplos: PSWBugbear.B, Lovgate.F, Trile.C, Sobig.D, Mapson.
Retrovirus: Los denominados Retrovirus, son aquellos que actan directamente sobre el software
antivirus instalado en su sistema, intentando de esta forma anular su accionar. Algunos de estos
especmenes utilizan vulnerabilidades del propio software antivirus o intentan eliminar las
definiciones de las cuales estos se valen para realizar su tarea.
Stealth Virus o Virus indetectable: La particularidad de los virus Stealth o Indetectables, reside en
la capacidad de ocultamiento que stos poseen. Una de las tcnicas bsicas en tal sentido, suele
estar dada por acciones tendientes a engaar al sistema operativo, de forma tal que ste reporte
un tamao para el archivo infectado igual que el original. Esta accin podra hacer que en ciertas
circunstancias el software antivirus, no se percate de su presencia.
Multipartite Virus o Virus Multi-parte: Suele denominarse Virus Multi-parte, a aquellos que
tienen la capacidad de atacar un sistema en mltiples formas. Los virus incluidos en esta
categora, suelen ser sumamente dainos y pueden comenzar infectando el sector de boteo para
luego continuar con los archivos ejecutables y documentos de Word, para finalmente volver el
disco inutilizable. Ejemplo: Ywinz.
Armored Virus o Virus Blindado/ Encriptado: El trmino blindado proviene de las caractersticas
de diseo de algunos virus, tendientes a dificultar su anlisis o deteccin. Por lo general, suelen
incorporar funciones de proteccin, especialmente contra los debuggers o des-ensambladores
utilizados por los expertos. Otras veces, incluyen aspectos en su programacin, tendientes a
desviar la atencin del cdigo verdaderamente responsable por la actividad maliciosa. Ejemplos:
Elvira, Trile.
Companion Virus o Virus Acompaante: Un virus acompaante, suele unirse a programas
legtimos para luego crear un programa con una extensin diferente, que se albergar en algn
directorio temporal de su sistema. Al momento en que el usuario ejecute el programa legtimo, el
programa compaero se ejecutar en su lugar, logrando de esta forma, que el programa infectado,
realice el trabajo sucio, para finalmente dejar actuar al programa verdadero. Ejemplos: Stator,
Asimos.1539, Terrax.1069.
Phage Virus o Virus Parsito: Este tipo de virus, acta modificando otros programas. Debido a su
accionar, la re-instalacin de los programas infectados, suele ser la nica forma de quitarlo del
sistema vctima. Si una vez reinstalados los programas atacados, por algn motivo, quedara
vestigio del parsito en cualquiera de los archivos del sistema, no tardara en lanzarse un nuevo
proceso de infeccin. Ejemplos: Jerusalem, CIH (Chernobyl), WNT/RemEXp.
Abril, y consista en sobre-escribir la BIOS de cierto tipo de computadores. Una vez logrado su
objetivo, el chip conteniendo la BIOS daada, deba ser remplazado para volver a poner el equipo
atacado en funcionamiento.
Love Bug (I Love You): Love Bug, es probablemente uno de los virus ms conocidos de la historia.
Este original gusano de origen Filipino, programado en Visual Basic Script, se presentaba ante el
usuario pretendiendo ser una carta de amor, utilizando como asunto, la frase I LOVE YOU,
mientras que en su cuerpo poda leerse el mensaje: kindly check the attached love letter coming
from me. Finalmente, el abrir el archivo adjunto, ejecutaba el cdigo malicioso, el cual en caso de
detectar un cliente Outlook instalado en el sistema, realizaba el reenvo del virus a todas las
cuentas de correo contenidas en la libreta de direcciones del sistema infectado, y sobrescriba
ciertos archivos. Love Bug, fue uno de los primeros gusanos en demorar tan solo algunas horas, en
dar la vuelta alrededor del mundo.
Sircam: Sircam es bsicamente un gusano que llega oculto dentro de un mensaje de correo
electrnico. La primera lnea del contenido del mensaje incluye el texto: Hola cmo ests?
mientras que el cuerpo del mismo invita al usuario infectado, a dar su punto de vista respecto
de un archivo adjunto, el cual contiene la carga maliciosa. Sircam es altamente infeccioso motivo
por el cual consigue propagarse muy rpidamente envindose automticamente a todos los
contactos que encuentra en la libreta de direcciones existente en las computadoras infectadas y a
su vez esparcindose en las redes internas bajo plataformas Microsoft, en las cuales se utilicen
unidades de disco como recursos compartidos. Dos consecuencias conocidas de este gusano son:
la obtencin de datos privados de los usuarios que infecta y una posible denegacin de servicio al
consumir el espacio total del disco duro y la eliminacin de datos contenidos en el mismo.
Nimda: Originario de China, Nimda es un peligroso gusano. El mismo se propaga extremadamente
rpido valindose de dos vulnerabilidades. La primera, afecta servidores Windows corriendo IIS
(Web Directory Traversal Exploit) y la segunda a las versiones 4.0 y 5.0 de Microsoft Internet
Explorer. A su vez, Nimda es capaz de forzar la creacin de los recursos compartidos en redes
Windows, para luego utilizarlas tambin como medio de propagacin. Su objetivo es propagarse al
mayor nmero de equipos, infectando todos los ficheros con extensin EXE que encuentra y
activndose cuando el usuario abre los programas Word y Wordpad. Nimda apareci cuatro meses
despus de que se anunciara la vulnerabilidad de la que hace uso.
Cdigo Rojo: Cdigo Rojo o Red Code es otro gusano que se propaga a travs de redes,
aprovechndose de una vulnerabilidad existente en los servidores Index Server 2.0, Indexing
Service e IIS 4.0 y 5.0 consistente en un desbordamiento de buffer. Adicionalmente, es capaz
de reiniciar o bloquear los equipos, causando una DoS al crear numerosos hilos (procesos) de
ejecucin en memoria, las cuales se comportan como copias del propio gusano (600 hilos en el
caso de ordenadores con el sistema operativo en chino y 300 en los dems casos). Por otra parte,
para encontrar otros equipos a los que infectar, Red Code genera mscaras y direcciones IP. Cuatro
de estas direcciones se encuentran dentro de la red de clase A, tres de ellas estn en la red de
clase B y otra se genera de manera totalmente aleatoria.
SQL Slammer: Este gusano cuenta con la particularidad de que sus ataques, afectan
exclusivamente a servidores que ejecuten Microsoft SQL. Se aprovecha de una vulnerabilidad de
tipo desbordamiento de buffer encontrada en servidores SQL que no tengan instalado el SP 3. Las
consecuencias de su ataque pasan por la denegacin de servicio causada por el trfico generado
por el cdigo del gusano dirigido al puerto 1434 UDP (SQL Server Resolution Service Port).
Slammer apareci seis meses despus de que se hubiera anunciado la vulnerabilidad de la que
hace uso.
Blaster: Tambin conocido como Lovsan, Blaster es un gusano que slo afecta a ordenadores con
sistemas operativos Windows 2003/XP/2000/NT. Se aprovecha de una vulnerabilidad conocida
como Desbordamiento de Buffer RPC para propagarse al mayor nmero de ordenadores posible.
Una de las particularidades de este virus es la lgica incluida en l, mediante la cual se planifica en
el tiempo, un ataque DoS contra el sitio web de Microsoft: windowsupdate.com. Para ello, Blaster
enva un paquete de tamao 40 Bytes a dicho sitio web cada 20 milisegundos, a travs del puerto
80. Blaster se propaga atacando direcciones IP generadas aleatoriamente y explotando los
servicios RPC vulnerables, luego de lo cual intenta descargar en el ordenador atacado una copia de
s mismo, va su propio servidor TFTP. Este gusano, apareci slo tres semanas despus de que se
diera a conocer la vulnerabilidad de la que hace uso.
Klez: Klez, probablemente se encuentre entre los gusanos ms exitosos de la historia de Internet.
Un ao despus de hacer su aparicin, continuaba siendo uno de los cdigos maliciosos ms
extendido. Klez se aprovecha de una vulnerabilidad de Outlook Express, logrando de esta forma
activarse con slo hacer una vista previa del mensaje (caracterstica que suele ser utilizada por un
sin nmero de usuarios de este tipo de software). Como en la mayora de los casos, exista el
parche correspondiente para esta vulnerabilidad, antes de que se lanzara el gusano. As y todo,
Klez logr una penetracin pocas veces vistas. Como parte de su actividad maliciosa, ste
instalaba un nuevo virus conocido como Elkern, el cual se encargaba de desactivar Firewalls
personales y aplicaciones antivirus, no sin antes eliminar archivos del sistema infectado.
Nicehello: Se trata de un gusano sin efectos destructivos que se propaga a travs del correo
electrnico. De este modo, una vez infectado el ordenador, manda una copia de s mismo a todas
las direcciones de correo que encuentra en la Lista de contactos del programa de mensajera
instantnea MSN Messenger. Adems, NiceHello enva un correo electrnico al autor del virus, en
el que incluye el nombre de usuario y contrasea de MSN Messenger del usuario del ordenador
afectado. Si bien es cierto que este virus no posee en principio implicancias destructivas, suele
tomarse como prueba de concepto respecto de las posibilidades que representa la obtencin de
claves de uno de los mensajeros instantneos ms ampliamente utilizados, con la invasin a la
privacidad que ello significa.
Bugbear: A pesar de que este cdigo malicioso, comparte algunas caractersticas con Klez
(Aprovecha la misma vulnerabilidad de Outlook Express) es mucho ms peligroso, debido a que
entre sus acciones, se cuenta la apertura de una puerta trasera a la escucha en el puerto 1080,
ms un keylogger capaz de registrar lo tipiado por el usuario vctima. Como si esto fuera poco,
Bugbear posea una lista de 1300 direcciones de entidades bancarias que utilizadas en conjunto
con los registros de teclado, le permita activar el mismo al detectar el acceso a alguno de los
bancos incluidos en su carga til, por parte del usuario.
Sobig: La versin original de este virus, se propagaba a un ritmo estremecedor, en parte gracias a
que posea su propio motor SMTP. Si bien como en el resto de los casos, las sucesivas versiones
mutaban su presentacin, en sus inicios sola llegar al usuario desde el remitente big@boss.com y
el contenido: Attached file: a la vez que adjuntaba un archivo con extensin .PIF o .MPEG. Sobig
haca uso de otro mtodo de dispersin el cual le permita atravesar redes internas a travs de los
recursos compartidos. Una vez producida la infeccin, Sobig enviaba un mensaje a la direccin:
pagers.icq.com y a continuacin, se conectaba a una pgina Web para descargarse un virus de tipo
troyano.
Sasser: El accionar de Sasser no difiere mucho del resto de los gusanos comentados, desde el
punto de vista que tambin se propaga explotando una vulnerabilidad, en aquellos sistemas
Windows 2000, 2003 y XP que no han sido convenientemente actualizados. En este caso se trata
de un desbordamiento de buffer en el subsistema LSASS (Local Security Authority Subsystem
Service). Cuando Sasser explota la vulnerabilidad LSASS, provoca un desbordamiento de buffer en
el programa LSASS.EXE, lo cual desencadena el reinicio del ordenador.
Creacin: Hasta hace poco tiempo, crear un virus requera el conocimiento de un lenguaje
de programacin. Hoy en da cualquier persona con un conocimiento bsico de
programacin puede crear un virus. Tpicamente, las personas que desean causar un dao
extenso y aleatorio a las computadoras crean un virus.
Replicacin: Los virus tpicamente se replican por un largo perodo antes de que estos se
activen, permitiendo un basto tiempo para su esparcimiento.
Activacin: Los virus con rutinas de dao se activarn cuando ciertas condiciones sean
cubiertas, por ejemplo, en cierta fecha o cuando los usuarios infectados realicen una
accin en particular. Los virus sin rutinas de daos no se activan, sin embargo causan dao
al robar espacio de almacenamiento.
Administracin remota.
Actualizaciones diarias y automticas.
Informes de deteccin de virus.
Filtrado de contenidos y monitorizacin del sistema en tiempo real.
9.3 TROYANOS
Dentro de los denominados Cdigos Maliciosos, los troyanos han sabido ganarse un lugar
privilegiado. A travs del tiempo, este tipo de amenaza ha ido creciendo no solo en nmero, sino
tambin respecto del potencial dao que son capaces de producir. Integridad y Privacidad son dos
principios que suelen ser fcilmente vulnerados, una vez que un troyano ingresa exitosamente a
nuestro sistema.
9.3.1 Qu es un troyano?
En su definicin ms amplia, solemos referirnos a los Troyanos como todo programa que lleva
oculta una funcionalidad determinada que ser usada con fines maliciosos y en contra del usuario
que lo instala. Un Troyano, tomado de la mitologa griega del Caballo de Troya, el cual se entreg
como un regalo de buena fe y en cuyo interior se escondan los soldados enemigos, tpicamente
viene en un correcto empaquetamiento, pero al igual que su par mitolgico, tiene intenciones
ocultas dentro de su cdigo. Una de las principales diferencias entre un virus y un troyano, es la
inhabilidad de estos ltimos para replicarse. En teora, si ste se replica entonces se debe de
clasificar como un virus. Otra de las grandes diferencias, es que generalmente, el Troyano forma
parte del cdigo fuente del programa instalado y se compila junto con l, mientras que el virus
simplemente se aade o suplanta el programa original. Cabe aclarar, que si bien un troyano, no
necesariamente debe funcionar como Backdoor o Puerta Trasera, lo cierto es que la mayora
de ellos s lo hace, por lo tanto, cuando en este captulo nos refiramos a Troyanos, lo haremos
teniendo en mente su aplicacin como herramienta de administracin remota subrepticia. Los
Troyanos, suelen llegar a nuestro sistema, como un programa aparentemente inofensivo,
pretendiendo ser algo que no son o hacer algo que no hacen. Algunas veces, se envan como
adjuntos de correo, fingiendo ser una utilidad de sistema , otras como parte integral de una
Back Orifice: El 3 de Agosto de 1998 el grupo de Hackers conocidos como The Culto of the Dead
Cow (el Culto a la Vaca Muerta) sorprendi al mundo con el lanzamiento de su popular y temido
Back Orifice, uno de los troyanos ms importantes de la historia, el cual incluso fue distribuido con
su cdigo fuente y plug-ins, adems de sus componentes compilados. Unos aos ms tarde, el
mismo grupo liberaba su nueva versin Back Orifice 2000 mejor conocida como BO2K, la cual
contaba con grandes modificaciones, entre ellas la posibilidad de poder ser ejecutado sobre
Windows NT/2000. De la misma forma que en su primera versin, BO2K puede conseguirse
junto a su kit de desarrollo, lo cual hace que cualquier programador pueda variar su fisonoma o
9.3.3 Funcionamiento
Al margen de su definicin formal, solemos referirnos a los troyanos, bsicamente como un
programa de administracin remota que suele instalarse y actuar en forma oculta para poder
funcionar, sin ser percibido por el usuario atacado. Como tal, desde el punto de vista de su
funcionamiento requiere al menos de tres componentes fundamentales:
1. Una parte Servidor, a ser instalada en forma subrepticia en la mquina del usuario
objetivo, de forma tal que pueda ejecutarse en cada reinicio de Windows, abriendo (en la
mayora de los casos) una puerta trasera en el sistema a travs de un puerto de
comunicacin.
2. Una parte Cliente, a ser instalada en el equipo del atacante, encargada de comunicarse
con la mquina infectada y llevar a cabo acciones contra ella.
3. Un protocolo de comunicacin compartido entre ambos extremos, a fin de asegurar la
comunicacin. Generalmente TCP/UDP.
Ms all de sus componentes bsicos, la mayora de los troyanos conocidos, suelen incluir una
serie de herramientas tendientes a configurar la forma en la que se deber comportar este cdigo
malicioso, de cara a su distribucin y funcionamiento en general una vez dentro del sistema
objetivo.
Existen al menos tres fases claramente identificadas respecto del funcionamiento de un troyano:
1. Arribo al Sistema Vctima: Aunque existen determinados virus que como parte de su
accionar instalan troyanos, a diferencia de stos, los troyanos no tienen capacidad para
reproducirse por su cuenta y la infeccin ha de pasar generalmente por manos del usuario
incauto que, mediante engaos, ejecuta el fichero con el troyano.
2. Consolidacin de Posicin: En el momento que el troyano es ejecutado intentar modificar
el sistema a fin de garantizar su ejecucin cada vez que nuestro equipo sea arrancado. A tal
efecto deber modificar los archivos y registros del sistema que crea necesarios para que
Windows lo ejecute automticamente.
3. Comunicacin con el atacante: Si su ejecucin es exitosa, intentar establecer un vnculo de
comunicacin con el atacante, a travs de alguna de las formas disponibles (MSN, ICQ, CGI,
etc.)
Los daos producidos a travs de la ejecucin de troyanos en nuestro sistema, pueden ser tan
importantes como el atacante lo haya planeado. A diferencia de otras amenazas, la posibilidad de
tomar control remoto de un equipo, pone al intruso en posicin de decidir sobre el destino de
los datos. Acciones tales como, el registro de pulsaciones de teclado, la obtencin de contraseas
del equipo atacado, la utilizacin del mismo como plataforma de nuevos ataques, la copia o
eliminacin de archivos privados, la obtencin de instantneas mediante el uso de la webcam de
la victima y tantas otras acciones que atentan contra la privacidad e integridad, suelen contarse
entre algunas de las posibilidades brindadas por este tipo de amenaza.
9.4 COOKIES
Las Cookies, constituyen un importante mtodo utilizado al momento de mantener el estado
en la web, interpretando como estado a la habilidad que poseen determinadas aplicaciones, de
trabajar en forma interactiva con el usuario. Originalmente, fueron diseadas para ayudar a que
un sitio web, reconociera el navegador de un usuario que repite su visita al mismo, y de esta
forma ser capaz de guardar y recordar las preferencias que el usuario hubiera escogido durante su
visita anterior. Con el correr del tiempo, las cookies se fueron transformando, en potentes
herramientas de marketing, o visto de otra forma, en un nuevo tipo de Cdigo Malicioso que
9.5 KEYLOGGERS
Pocas aplicaciones atentan contra la privacidad, como es capaz de hacerlo el uso de un
Keylogger. Sin embargo, hace ya unos aos, se ha instalado en la sociedad, una gran polmica en
torno a ellos, debido a que en algunos casos, su utilizacin podra encontrarse circunscripta a
actividades lcitas. En esta seccin definiremos el trmino Keylogger, a la vez que revisaremos su
funcionamiento, uso, contramedidas y aspectos legales relacionados. Un Keylogger no es ni ms
ni menos que una aplicacin destinada a registrar en forma remota, el comportamiento de un
usuario en una PC. Su funcin principal, es la de grabar todo aquello que sea escrito por
intermedio del teclado (aunque la mayora no slo se remite a esto) para que luego, esta
informacin sea enviada al atacante, o almacenada en algn sitio del disco rgido del equipo
vctima, esperando a ser recuperada. En concordancia con su origen como herramienta espa, una
de las caractersticas bsicas de todo Keylogger es la de pasar desapercibido tanto al momento
de la instalacin como de su uso y reporte, para lo que cuentan con caractersticas de las
denominadas Stealth. Generalmente, su introduccin depende del propsito para el cual se haya
planeado su utilizacin. En el caso de los atacantes, probablemente sea a travs de la construccin
de un troyano que los incluya. Por otro lado, si se tratara de un administrador de sistemas
corporativo con instrucciones precisas acerca de vigilar el accionar de los empleados,
seguramente utilizar alguna otra tcnica de instalacin remota.
De todas formas, la introduccin de Keyloggers a los sistemas informticos, no siempre se
refieren a instalaciones dirigidas. En la actualidad, existen una gran cantidad de virus, gusanos y
troyanos que los incluyen como parte de su carga maliciosa
Un ejemplo claro de esta metodologa, es la utilizada por un gusano de nombre Bugbear. Una de
sus variantes, introducida en Junio del 2003, no slo se propagaba rpidamente a travs del
correo electrnico y recursos compartidos, sino que a su vez inclua una puerta trasera y un
Keylogger de caractersticas un tanto especiales.
Bugbear incorporaba en su codificacin referencias a un millar de instituciones bancarias, en
caso de que el usuario del equipo infectado utilizara el servicio on-line de alguna de las
instituciones bancarias incluidas en su lista interna, el Keylogger era lanzado, con el propsito
de registrar cuentas, usuarios, contraseas y dems informacin que enviaba a un conjunto de 10
direcciones de correo propiedad del creador del virus.
Bsicamente, el funcionamiento de un Keylogger depende especficamente, de la configuracin
previa que se haya realizado sobre l y de la plataforma para la que haya sido desarrollado (Unix,
Windows, etc.). La mayora de los Keylogger ms utilizados, suelen permitir embeber el
software espa dentro de una aplicacin legtima, para as distribuirlo en forma sencilla. Por otra
parte, estos programas pueden ser configurados para interceptar todo contenido escrito despus
de que sean digitadas ciertas frases como porno, sexo, fraude o tu esposa est
durmiendo?, en el equipo auditado.
En lneas generales, la secuencia lgica al momento de trabajar con un Keylogger, consta de tres
pasos principales:
Configuracin de los aspectos del Keylogger: Este es probablemente, uno de los pasos
ms importantes, pues es la instancia en donde se decide cules son los eventos que
despertarn al keylogger (una hora en particular, el tipeo de una palabra especial, etc.),
la forma en la que se espera recibir o almacenar la informacin obtenida y las
caractersticas del Log (slo texto, snapshot del escritorio, sitios web ms visitados,
mensajes escritos en MSN o ICQ, etc.). El punto final de este primer paso, consiste en la
obtencin del ejecutable a ser instalado.
9.6 SPYWARE
A medida que Internet se converta en un medio de comunicacin global, millones de
programadores vean en ella una gran vidriera a la hora de hacer conocer sus aplicaciones, sea
cual fuere el propsito de las mismas. Lo cierto, es que el distribuir sus desarrollos en forma
gratuita, en algunos casos, poda dar como resultado una falta de soporte al momento de intentar
dotar a estas aplicaciones de mayor funcionalidad o servicios asociados. En parte, como una
alternativa de solucin ante esta problemtica, nace el spyware como soporte financiero de la
gran mayora del software disponible como freeware en Internet. Puesto que el accionar del
Spyware y sus derivados, suele ser considerado en muchos casos como una herramienta de
invasin a la privacidad, a lo largo de esta seccin intentaremos abordar esta problemtica,
definiendo algunos trminos, revisando los fundamentos de las partes, los aspectos legales de su
utilizacin y las contramedidas asociadas con esta amenaza.
9.6.1 Qu es un spyware?
En el sentido ms amplio de su definicin, el trmino Spyware se utiliza para describir toda
tecnologa que asista a la obtencin de informacin acerca de una persona u organizacin sin su
conocimiento. En la jerga de Internet sin embargo, se conoce como Spyware a pequeos
programas dedicados a llevar un control del comportamiento de los usuarios, con la intencin de
vender esta informacin a terceras partes interesadas, generalmente empresas relacionadas con
las reas de marketing y publicidad. Desde todo punto de vista, el Spyware ostenta claramente
un amplio sentido comercial. Muchas empresas se relacionan comercialmente a travs de estos
programas espas obteniendo algn rdito de su accionar que, de una u otra forma, termina
significando un ingreso monetario.
Esta Cadena Comercial se encuentra formada principalmente por:
Programadores independientes que incluyen Spyware en sus aplicaciones, a cambio de
unos centavos por cada versin que sea descargada de Internet.
Empresas dedicadas a la implementacin de productos de medicin de audiencia (tal es el
caso de Red Sheriff) del lado del servidor, que si bien no distribuyen spyware utilizan
tcnicas similares para obtener informacin del perfil del consumidor, obtienen dinero a
cambio de la implementacin de su software.
Compaas dedicadas al marketing y la publicidad, quienes consumen la informacin
proporcionada por el Spyware, y brindan servicios a terceros por los que cobran dinero
(Estudios de mercado, Penetracin de productos, Perfil del consumidor, Informacin
demogrfica, etc.).
tipo de bsquedas que como usuarios solemos realizar en los motores del tipo de Google o Yahoo
y relacionarlo con su base de datos de anunciantes a fin de mostrar publicidades relacionadas con
nuestras bsquedas.
Browser Hijackers: Este tipo de Spyware es probablemente uno de los ms intrusivos, teniendo
en cuenta que como parte de su accionar suelen interactuar, generalmente, con el registro de
Windows modificndolo con el objeto de alterar algunas caractersticas de nuestro Explorador.
Cuestiones tales como el re-direccionamiento de la pgina de inicio o el agregado de nuevos
botones a la barra de tareas de nuestro explorador, suelen formar parte de su accionar.
Server Side Spyware: Este tipo de Spyware, se diferencia del resto debido a que los
componentes espas, se encuentran implementados del lado del servidor. Al igual que sus
colegas que hacen lo propio del lado del cliente, se encuentran programados para recolectar
informacin de los usuarios, que luego es comercializada. Por lo general, el Spyware suele
introducirse en nuestras PC como parte de la instalacin de algn tipo de software gratuito
(freeware) o con la ejecucin de cracks para software licenciado. Frecuentemente sin el
consentimiento del usuario. Uno de los ejemplos ms significativos, lo constituye sin lugar a
dudas, el de las aplicaciones de intercambio de archivo tales como: KaZaa, Bearshare e iMesh,
debido a que, producto de su enorme penetracin entre los usuarios de todo el mundo, se han
transformado en una posibilidad de negocio tanto para sus propios desarrolladores, como para las
empresas que utilizan sus aplicaciones como transporte del software espa. El Spyware se instala
en nuestra PC, de la misma forma que lo hace cualquier aplicacin tradicional. Si bien muchas
veces se encuentran contenidos en sus propios archivos ejecutables, suele ser muy comn,
encontrarlos como .DLLs adjuntas al software anfitrin. De la misma manera, el registro de
Windows, suele ser utilizado por estas aplicaciones para almacenar informacin relativa a su
configuracin inicial.
En lneas generales, la mayora del software Spyware, basa su funcionamiento en los siguientes
pasos principales:
Monitoreo del Sistema: Programas residentes, anlisis de los archivos del explorador
(historia de los sitios visitados) y deteccin preactiva de las conexiones a Internet, son
acciones llevadas a cabo en este punto.
Accin: En este punto, el Spyware puede realizar una o varias de las siguientes acciones:
envo de la informacin obtenida al centro de recoleccin de datos va Internet; obtencin
de mensajes personalizados por parte del centro de recoleccin, tendientes a ser
mostrados al usuario; modificacin de determinados aspectos de las pginas Web
visualizadas mediante el explorador; reemplazo de banners; etc.
dedicado. Para obtener el control de un sistema Linux o provocar alguna consecuencia seria al
propio sistema, el malware debera obtener acceso root en dicho sistema. Una de las
vulnerabilidades de Linux es que multitud de usuarios piensan que no es vulnerable a los virus.
Tom Ferris, un investigador de Security Protocols en Mission Viejo, California, dijo en 2006: "En la
mente de la gente, si no es Windows, es seguro, y ese no es el caso. Piensan que nadie escribe
malware para Linux o Mac OS X. Pero eso no es necesariamente cierto...". Shane Coursen, un
consultor tcnico senior de Kaspersky Lab seal que "el crecimiento del malware en Linux se
debe simplemente a su creciente popularidad, particularmente como sistema operativo de
escritorio... La utilizacin de un sistema operativo es directamente relacionada con el inters de
los programadores de malware a la hora de desarrollar software malicioso para ese sistema
operativo". Los virus presentan una potencial, aunque mnima, amenaza a los sistemas Linux. Si un
binario infectado contiene uno de esos virus al ser ejecutado, el sistema se infectara. El nivel de
infeccin dependera de los privilegios del usuario que ejecut el binario. Un binario ejecutado
bajo una cuenta de superusuario podra llegar a infectar el sistema entero. Por otro lado, las
vulnerabilidades de escalada de privilegios pueden permitir que malware ejecutndose bajo una
cuenta de acceso limitado tambin se propague por todo el sistema. El uso de repositorios
oficiales de software reduce las amenazas de instalacin de software malicioso, al ser
comprobados por los administradores, los cuales intentan asegurar que no se cuele ningn
malware en sus repositorios. Por ello, para asegurar la distribucin segura de software, estn
disponibles sistemas como los checksum MD5. El uso adecuado de estas firmas digitales supone
una lnea adicional de defensa, que previene la violacin de las comunicaciones a travs de
ataques man-in-the-middle o ataques de redireccin como ARP Spoofing o DNS Poisoning. Todo
esto limita el alcance de los ataques, reduciendo los potenciales usuarios malignos a los autores
originales y a aquellos con acceso administrativo al propio repositorio.
Una nueva rea de sospecha descubierta en 2007 es el de los virus multiplataforma, a raz del
incremento de la popularidad de las aplicaciones multiplataforma. Este tema apareci en el frente
debido a la distribucin de un virus de OpenOffice.org llamado Bad Bunny.
Stuart Smith, de Symantec, escribi lo siguiente: Lo que hace a este virus merecedor de mencin
es que ilustra lo fcil que puede abusarse de las plataformas de scripting, extensiones, plug-ins,
ActiveX, etc. [...] La habilidad del malware de sobrevivir en un entorno multiplataforma o
multiaplicacin tiene especial relevancia segn ms y ms malware se lanza a travs de sitios
web. Cunto falta para que alguien use algo como esto para poder infectar a travs de JavaScript,
sin importar la plataforma del usuario?
Scott Granneman, de SecurityFocus, declar que: "algunas mquinas Linux definitivamente
necesitan software antivirus. Servidores Samba o NFS, por ejemplo, pueden almacenar
documentos en formatos vulnerables e indocumentados de Microsoft, como Word o Excel, que
contengan y propaguen virus. Los servidores de correo de Linux deberan ejecutar software AV
para neutralizar los virus antes de que aparezcan en las bandejas de entrada de usuarios de
Outlook o Outlook Express".
9.7 ANTIVIRUS
Los antivirus nacieron como una herramienta simple cuyo objetivo fuera detectar y eliminar virus
informticos, durante la dcada de 1980. Con el transcurso del tiempo, la aparicin de sistemas
operativos ms avanzados e Internet, los antivirus han evolucionado hacia programas ms
avanzados que no slo buscan detectar un Virus informticos, sino bloquearlo para prevenir una
infeccin por los mismos, as como actualmente ya son capaces de reconocer otros tipos de
malware, como spyware, rootkits, etc. El funcionamiento de un antivirus vara de uno a otro,
aunque su comportamiento normal se basa en contar con una lista de virus conocidos y su formas
de reconocerlos (las llamadas firmas o vacunas), y analizar contra esa lista los archivos
almacenados o transmitidos desde y hacia un ordenador. Adicionalmente, muchos de los antivirus
actuales han incorporado funciones de deteccin proactiva, que no se basan en una lista de
malware conocido, sino que analizan el comportamiento de los archivos o comunicaciones para
detectar cuales son potencialmente dainas para el ordenador, con tcnicas como Heurstica,
HIPS, etc. Usualmente, un antivirus tiene un (o varios) componente residente en memoria que se
encarga de analizar y verificar todos los archivos abiertos, creados, modificados, ejecutados y
transmitidos en tiempo real, es decir, mientras el ordenador est en uso. Asimismo, cuentan con
un componente de anlisis bajo demando (los conocidos scanners, exploradores, etc), y mdulos
de proteccin de correo electrnico, Internet, etc. El objetivo primordial de cualquier antivirus
actual es detectar la mayor cantidad de amenazas informticas que puedan afectar un ordenador
y bloquearlas antes de que la misma pueda infectar un equipo, o poder eliminarla tras la
infeccin. Dado que una caracterstica de los virus es el consumo de recursos, los virus ocasionan
problemas tales como prdida de productividad, baja en el rendimiento del equipo, cortes en los
sistemas de informacin o daos a nivel de datos. Otra de las caractersticas es la posibilidad que
tienen de ir replicndose en otras partes del sistema de informacin. Las redes en la actualidad
ayudan a dicha propagacin.
Los daos que los virus dan a los sistemas informticos son:
Tambin es importante tener en cuenta que existen algunos malware que tienen la capacidad de
ocultar carpetas. Hay que tener en cuenta que cada virus es una situacin nueva, por lo que es
difcil cuantificar a priori lo que puede costar una intervencin. Tenemos que encontrar mtodos
de realizar planificacin en caso de que se produzcan estas contingencias. Existen dos grandes
grupos de contaminaciones, los virus donde el usuario en un momento dado ejecuta o acepta de
forma inadvertida la instalacin del virus, o los gusanos donde el programa malicioso acta
replicndose a travs de las redes. En cualquiera de los dos casos, el sistema operativo infectado
comienza a sufrir una serie de comportamientos anmalos o no previstos. Dichos
comportamientos son los que nos dan la traza del problema y tienen que permitir la recuperacin
del mismo.
Dentro de las contaminaciones ms frecuentes por interaccin del usuario estn las siguientes:
Instalacin de software que pueda contener junto con ste uno o varios programas
maliciosos.
Existen mltiples medios de intentar combatir el problema. Sin embargo debemos ser realistas.
Conforme nuevos programas y sistemas operativos se introduzcan en el mercado ms difcil va a
ser tener controlados a todos y ms sencillo va a ser que a alguien se le ocurran nuevas formas de
infectar el sistema. Ante este tipo de problemas estn los softwares llamados antivirus. Estos
antivirus tratan de descubrir las trazas que ha dejado un software malicioso, para eliminarlo o
detectarlo, y en algunos casos contener o parar la contaminacin. Los mtodos para contener o
reducir los riesgos asociados a los virus pueden ser los denominados activos o pasivos.
Antivirus (activo): Estos programas como se ha mencionado tratan de encontrar la traza de los
programas maliciosos mientras el sistema este funcionando. Tratan de tener controlado el sistema
mientras funciona parando las vas conocidas de infeccin y notificando al usuario de posibles
incidencias de seguridad. Como programa que est continuamente funcionando, el antivirus tiene
un efecto adverso sobre el sistema en funcionamiento. Una parte importante de los recursos se
destinan al funcionamiento del mismo. Adems dado que estn continuamente comprobando la
memoria de la maquina, dar ms memoria al sistema no mejora las prestaciones del mismo. Otro
efecto adverso son los falsos positivos, es decir al notificar al usuario de posibles incidencias en la
seguridad, ste que normalmente no es un experto de seguridad se acostumbra a dar al botn de
autorizar a todas las acciones que le notifica el sistema. De esta forma el antivirus funcionando da
una sensacin de falsa seguridad.
Tipos de vacunas:
CA:Slo deteccin: Son vacunas que solo detectan archivos infectados sin embargo no
pueden eliminarlos o desinfectarlos.
CA:Deteccin y desinfeccin: son vacunas que detectan archivos infectados y que pueden
desinfectarlos.
CB:Comparacin directa: son vacunas que comparan directamente los archivos para revisar
si alguno esta infectado
CB:Comparacin por firmas: son vacunas que comparan las firmas de archivos
sospechosos para saber si estn infectados.
CB:Comparacin de signature de archivo: son vacunas que comparan las signaturas de los
atributos guardados en tu equipo.
CB:Por mtodos heursticos: son vacunas que usan mtodos heursticos para comparar
archivos.
CC:Invocado por el usuario: son vacunas que se activan instantneamente con el usuario.
CC:Invocado por la actividad del sistema: son vacunas que se activan instantneamente
por la actividad del sistema
Filtros de ficheros (activos): Otra aproximacin es la de generar filtros dentro de la red que
proporcionen un filtrado ms selectivo. Desde el sistema de correos, hasta el empleo de tcnicas
de firewall, proporcionan un mtodo activo y eficaz de eliminar estos contenidos.
En general este sistema proporciona una seguridad donde el usuario no requiere de intervencin,
puede ser ms tajante, y permitir emplear nicamente recursos de forma ms selectiva. Cuando el
nmero de puestos a filtrar crece puede ser conveniente.
Copias de seguridad (pasivo): Mantener una poltica de copias de seguridad garantiza la
recuperacin de los datos y la respuesta cuando nada de lo anterior ha funcionado.
Asimismo las empresas deberan disponer de un plan y detalle de todo el software instalado para
tener un plan de contingencia en caso de problemas.
Consideraciones de software: El software es otro de los elementos clave en la parte de
planificacin. Se debera tener en cuenta la siguiente lista de comprobaciones:
1. Tener el software imprescindible para el funcionamiento de la actividad, nunca menos pero
tampoco ms. Tener controlado al personal en cuanto a la instalacin de software es una
medida que va implcita. As mismo tener controlado el software asegura la calidad de la
procedencia del mismo (no debera permitirse software pirata o sin garantas). En todo
caso un inventario de software proporciona un mtodo correcto de asegurar la
reinstalacin en caso de desastre.
2. Disponer del software de seguridad adecuado. Cada actividad forma de trabajo mtodos de
conexin a Internet requieren una medida diferente de aproximacin al problema. En
general, las soluciones domsticas, donde nicamente hay un equipo expuesto, no son las
mismas que las soluciones empresariales.
3. Mtodos de instalacin rpidos. Para permitir la reinstalacin rpida en caso de
contingencia.
4. Asegurar licencias. Determinados softwares imponen mtodos de instalacin de una vez,
que dificultan la reinstalacin rpida de la red. Dichos programas no siempre tienen
alternativas pero ha de buscarse con el fabricante mtodos rpidos de instalacin.
5. Buscar alternativas ms seguras. Existe software que es famoso por la cantidad de agujeros
de seguridad que introduce. Es imprescindible conocer si se puede encontrar una
alternativa que proporcione iguales funcionalidades pero permitiendo una seguridad extra.
Consideraciones de red: Disponer de una visin clara del funcionamiento de la red permite poner
puntos de verificacin filtrado y deteccin ah donde la incidencia es ms claramente identificable.
Sin perder de vista otros puntos de accin es conveniente:
1. Mantener al mximo el nmero de recursos de red en modo de slo lectura. De esta forma
se impide que computadoras infectadas los propaguen.
2. Centralizar los datos. De forma que detectores de virus en modo batch puedan trabajar
durante la noche.
3. Realizar filtrados de firewall de red. Eliminar los programas de comparticin de datos,
como pueden ser los P2P; Mantener esta poltica de forma rigurosa, y con el
consentimiento de la gerencia.
4. Reducir los permisos de los usuarios al mnimo, de modo que slo permitan el trabajo
diario.
5. Controlar y monitorizar el acceso a Internet. Para poder detectar en fases de recuperacin
cmo se ha introducido el virus, y as determinar los pasos a seguir.
9.7.1 Heurstica
En los productos antivirus se conoce como Heurstica a las tcnicas que emplean para reconocer
cdigos maliciosos (virus, gusanos, troyanos, etc.) que no se encuentren en su base de datos (ya
sea porque son nuevos, o por no ser muy divulgados). El trmino general implica funcionalidades
como deteccin a travs de firmas genricas, reconocimiento del cdigo compilado,
desensamblado, desempaquetamiento, entre otros. Su importancia radica en el hecho de ser la
nica defensa automtica posible frente a la aparicin de nuevos cdigos maliciosos de los que no
se posea firmas. Hay muchos cdigos maliciosos que son modificados por sus autores para crear
nuevas versiones. Usualmente, estas variantes contienen similitudes con los originales, por lo que
se catalogan como una familia de virus. Gracias a las similitudes dentro del cdigo del virus, los
antivirus pueden llegar a reconocer a todos los miembros de la misma familia a travs de una
nica firma o vacuna genrica. Esto permite que al momento de aparecer una nueva versin de un
virus ya conocido, aquellos antivirus que implementan esta tcnica puedan detectarlo sin la
necesidad de una actualizacin. Cuando se compila un programa para poder convertirlo en un
archivo ejecutable, la codificacin resultante representa instrucciones que se le darn al sistema
para realizar las operaciones necesarias. Las implementaciones de Heurstica de algunos antivirus
utilizan tcnicas para reconocer instrucciones comnmente aplicadas por los cdigos maliciosos, y
as poder identificar si un archivo ejecutable puede llegar a ser un cdigo malicioso. Todo archivo
ejecutable puede ser desensamblado con el objetivo de obtener el cdigo fuente del programa en
lenguaje ensamblador. La heurstica de algunos antivirus es capaz de analizar el cdigo fuente de
los programas sospechosos. De esta forma puede reconocer un posible cdigo malicioso si
encuentra tcnicas de desarrollo que suelen usarse para programador virus, sin la necesidad de
una actualizacin. Los programadores de cdigos maliciosos suelen usar empaquetadores de
archivos ejecutables como UPX con el fin de modificar la "apariencia" del virus a los ojos del
anlisis antivirus. Para evitar ser engaados por un cdigo malicioso antiguo y luego
reempaquetado, los antivirus incluyen en sus tcnicas heursticas mtodos de
desempaquetamiento. De esta forma pueden analizar el cdigo real del programa, y no el
empaquetado. La heurstica es un aspecto muy difcil de probar en los antivirus, dado que se
requiere realizar las denominadas evaluaciones retrospectivas.
9.8 PREGUNTAS
Cmo se conoce la tcnica para redirigir a los usuarios a sitios Web clandestinos, a
travs de DNS infectadas o creadas intencionalmente para el fraude? Pharming
Cmo se denomina al tipo de virus que tiene la capacidad de mutar alguna de sus
formas, haciendo ms difcil su deteccin? Polimorfo
Cul era la nica finalidad de los primeros gusanos? Consumir memoria del sistema
atacado hasta desbordar la RAM
Cmo se denomina el tipo de virus que acta directamente sobre el software antivirus
instalado en un sistema, intentando anular su accionar? Retrovirus
CAPTULO 10
10.1 SEGURIDAD DE LOS DATOS: CRIPTOGRAFA
Qu es la criptografa? Es la tcnica o conjunto de de tcnicas empleadas para proteger los datos
almacenados o en trnsito de manera que no sean legibles frente a observadores no autorizados.
Segn el diccionario de la Real Academia, la palabra Criptografa proviene del Griego Kriptos que
significa oculto, y Graphein que significa escritura, y su definicin es: Arte de escribir con clave
secreta o de un modo enigmtico
Qu tipo de claves utilizan los algoritmos simtricos y asimtricos? Un algoritmo simtrico
utiliza una nica clave o secreto compartido para encriptar y desencriptar, en cambio, un
algoritmo asimtrico utiliza una clave pblica para encriptar y una clave privada para
desencriptar.
Cul es la desventaja de un sistema asimtrico para procesos de encriptacin de datos? Los
sistemas asimtricos utilizan altos niveles de recursos de procesamiento para la encriptacin de
grandes bloques de datos, dado que emplean claves de mayor tamao para ofrecer una seguridad
comparable a los sistemas simtricos.
Qu es una funcin de Hash? Es una operacin matemtica que, aplicada sobre un conjunto de
datos de cualquier tamao otorga como resultado un conjunto de caracteres de tamao fijo (hash)
e independiente del original, con la propiedad de ser inequvocamente asociado a los datos
iniciales y prcticamente imposible obtener a partir de dicho resultado o hash, el mensaje o
conjunto de datos originales.
Desde tiempos inmemorables, la humanidad ha recurrido a diversas artimaas al momento de
ocultar de algn modo, cualquier tipo de elemento que resultara vital para su supervivencia. La
informacin o los datos, transmitidos de hombre a hombre en aquellas primeras comunicaciones
gestuales, probablemente hayan incluido algn tipo de mtodo, que permitiera a los involucrados,
sentirse seguros respecto de la confidencialidad de sus acciones.
En la actualidad, una sociedad altamente dependiente de la tecnologa en general y de la
administracin de la informacin por medios electrnicos en particular, requiere de mtodos cada
vez ms sofisticados como prcticos, al momento de asegurar cuestiones tales como: la
confidencialidad, integridad , autenticidad y no-repudio de los datos envueltos en un sistema de
informacin. Las siguientes secciones, nos permitirn introducir el trmino Criptografa, as como
los aspectos referentes a su funcionamiento y aplicacin.
En su acepcin general, suele utilizarse el trmino Criptografa, para referirse al Arte de ocultar
informacin. A pesar de ello, la Criptografa como la conocemos hoy da, ha dejado de ser un arte
para convertirse en una tcnica o conglomerado de tcnicas, tendientes a la proteccin u
10.1.1 Historia
La Criptografa, es un campo casi tan antiguo como la humanidad misma. A lo largo de la historia,
los mensajes cifrados han jugado un rol preponderante en el desarrollo de grandes
acontecimientos.
Alguno de los primeros registros de esfuerzos criptogrficos, datan del ao 2000 antes de Cristo.
Los antiguos egipcios usaron mtodos criptogrficos, mientras el pueblo utilizaba la lengua
demtica, los sacerdotes usaban la escritura hiertica (jeroglfica) incomprensible para el resto.
Esclavos con textos grabados en su cuero cabelludo y alfabetos de extraos smbolos parecen
haber estado relacionados de algn modo con los inicios de su aplicacin.
Parecera ser que el primer caso claro de uso de mtodos criptogrficos, tuvo lugar durante la
guerra de Atenas y Esparta. En este caso, el cifrado se basaba en la alteracin del mensaje original,
mediante la inclusin de smbolos innecesarios que desaparecan al enrollar la lista en un rodillo
llamado escitala. El mensaje quedaba claro cuando se enrollaba la tira de papel alrededor de ste,
el cual estaba diseado con la longitud y el grosor adecuados.
Pero existe un punto en la historia que suele ser considerado como el primer antecedente
claramente documentado de un sistema de cifrado. El mismo, tiene como protagonista a Julio
Csar, quien habra ideado un mtodo consistente en sustituir cada letra de un mensaje, por su
tercera siguiente en el alfabeto. La mayora de las fuentes indican tambin que, hacia la misma
poca, existieron muchas otras civilizaciones que utilizaron mtodos similares.
Pero el ingenio humano se seguira aplicando en pro de la confidencialidad. Hacia finales del siglo
XVI, el Italiano Girolamo Cardano, utiliz el mtodo de la tarjeta perforada, la cual se deba colocar
sobre un texto, para poder leer el mensaje cifrado.
En el siglo XVII Carlos I, hizo uso de los cdigos de sustitucin silbica, mientras que Napolen en
sus campaas militares y escritos diplomticos, us los llamados mtodos Richelieu y Rossignol.
El siglo XIX por su parte, dejara su huella en la historia de la Criptografa. El criptgrafo holands
Auguste Kerckhoffs, escriba un libro fundamental bajo el ttulo La Criptografa Militar, en el que
se expresaban claramente una serie de reglas, que deban ser cumplidas por un buen sistema
criptogrfico.
Si bien es cierto que el desarrollo de la Criptografa habra mostrado hasta este momento un
crecimiento interesante, el comienzo de la Segunda Guerra Mundial marca sin lugar a dudas el
inicio de la Criptografa Moderna, coincidente con el nacimiento de las computadoras. Alemania
construa su mquina Enigma, mientras que en un lugar llamado Bletchley Park, un grupo de
cientficos, entre los que se encontraba Alan Turing, trabajaba en el proyecto ULTRA tratando de
descifrar los mensajes enviados por el ejrcito alemn, con su nueva mquina. Este grupo de
cientficos dise y utiliz el primer computador de la Historia, denominado Colossus, aunque esta
informacin permaneci en secreto hasta mediados de los 70.
Aplicando la fuerza bruta, es decir, probando uno a uno todos los valores posibles de la
clave de descifrado x hasta encontrar uno que produzca un texto en claro con sentido.
de asegurar datos, ya sea que stos se encuentren en trnsito o almacenados de algn modo. La
premisa bsica detrs de esta utilidad, es la modificacin de los datos a proteger, de tal manera
que solamente las personas que tengan la llave adecuada puedan tener acceso a la versin
original de los mismos.
La criptografa, tal como la conocemos hoy da, involucra varias formas de encriptacin/
desencriptacin, as como diferentes mtodos de autenticacin. Aunque sus mtodos y
aplicaciones siguen siendo cada vez ms complejos, la criptografa como tal sigue girando
fundamentalmente alrededor de problemas matemticos difciles de solucionar. Un problema
puede ser difcil de resolver porque su solucin requiere de cierto conocimiento secreto, como la
llave para desencriptar un mensaje cifrado o para firmar un documento digital. Tambin puede ser
que sea intrnsecamente difcil de solucionar, en trminos de los requerimientos matemticos o de
cmputo necesarios para solucionar o decodificar el mensaje encriptado.
10.1.5 Caractersticas
Antes de continuar con el resto de las secciones, ser de vital importancia definir algunas de las
caractersticas principales relacionadas con los procesos criptogrficos en general.
Como hemos mencionado en prrafos anteriores, en el caso de la criptografa, la proteccin de la
informacin se basa principalmente en la transformacin del texto original, tambin denominado
Texto en Claro, en Texto Cifrado o Criptograma. Dicha transformacin o Cifrado, se logra mediante
la aplicacin de distintos tipos de algoritmos, en combinacin con un parmetro al que se
denomina Clave. El conjunto de Algoritmos, Texto en Claro, Texto Cifrado y Clave, suele conocerse
con el nombre de Criptosistema. Al respecto, resulta importante mencionar, que la fortaleza de un
Criptosistema, suele estar dado por la fortaleza de su Clave, y no por el conocimiento de los
mtodos utilizados en la transformacin del mensaje original.
receptor.
Asimtricos (Clave Pblica): Para el caso de los algoritmos asimtricos, la clave de cifrado
es de conocimiento general (Clave Pblica). Sin embargo, no ocurre lo mismo con la clave
de descifrado (Clave Privada), que se ha de mantener en secreto. Si bien es cierto que
ambas claves no son independientes entre s, del conocimiento de la Pblica no es posible
deducir la Privada sin ningn otro dato (Cosa que s es factible en los sistemas de Clave
Secreta).
Irreversibles: Este tipo de algoritmos tienen la particularidad de poder cifrar un texto claro,
no permitiendo su descifrado. Si bien a simple vista parecera ser un sistema sin utilidad, lo
cierto es que existen cientos de aplicaciones que se aprovechan de esta facultad, como por
ejemplo las Funciones de Hash.
Segn el nmero de smbolos cifrados a la vez
Bloque: Toman el texto en claro y lo dividen en bloques de igual longitud, para luego cifrar
cada bloque en forma independiente. Generalmente, suelen emplearse bloques de 64 bits.
Flujo: En este tipo de algoritmos, el Texto en Claro es cifrado smbolo tras smbolo (bit a
bit), con la particularidad de que cada uno, se cifra con una clave diferente. Debido a esta
caracterstica, los algoritmos de flujo, suelen cumplir con algunas de las reglas necesarias
para ser mencionados como de Cifrado Invulnerable o de Secreto Perfecto.
aumentar en caso de que ms personas ingresen al cuarto. Si bien es cierto que esto no es una
regla, s, es una probabilidad. Un Ataque de Cumpleaos trabaja de la misma forma y suele ser
aplicable, por ejemplo, a la evaluacin de un hash. Si un proceso aleatorio pa, genera como salida
un hash h de valor v, es probable que en un perodo de tiempo t, vuelva a repetirse la generacin
de un nuevo hash equivalente a v. Puesto que ste no es un ataque al algoritmo, sino a su
resultado, suele ser referido como Ataque a la Clave.
Ataque al Algoritmo
Debido a su concepcin, distintas implementaciones de un algoritmo de encriptacin
determinado, pueden ser susceptibles de contener vulnerabilidades o debilidades que
habiendo pasado desapercibidas en su desarrollo, y hechas pblicas a posterior, puedan
servir de brecha utilizable por un atacante.
Un caso comn que suele aplicarse frecuentemente como ejemplo, es el del protocolo WEP
(Wired Equivalent Privacy). Hace algn tiempo, se hizo pblico un documento, que discuta
una debilidad terica en el algoritmo que fue utilizado como base, para el sistema de
seguridad de este protocolo. Unos das despus, los desarrolladores de WEP expresaron a
la comunidad, que la vulnerabilidad era terica y no podra suceder en el mundo real. En el
plazo de siete das a partir de estas declaraciones, se recibieron una docena de ejemplos
prcticos de cmo romper las caractersticas de seguridad implementadas en WEP.
Intercepcin
Los ataques de intercepcin, generalmente suelen aprovecharse de la obtencin de datos
cifrados en un canal de comunicacin, a fin de utilizar esta informacin como punto de
partida para un Ataque Matemtico. A mayor cantidad de datos obtenidos en el proceso
de intercepcin, mayor probabilidad de acierto ser logrado por medio del anlisis de los
mismos.
Nota: Cuando hablamos de Ataques Matemticos, nos referimos a aquellos que
precisamente, usan modelos matemticos en conjunto con anlisis estadstico para
determinar el funcionamiento de un sistema criptogrfico en particular. Este tipo de
ataques, dependen de interceptar grandes cantidades de datos, y metdicamente proceder
a descifrar los mensajes utilizando un ataque al algoritmo o a la generacin de la clave.
10.1.8 Claves
Como hemos podido observar hasta aqu, la gran mayora de los sistemas criptogrficos, se
complementan o se basan en la generacin y utilizacin de algn tipo de clave. De acuerdo a su
uso, los diferentes tipos de clave, suelen pertenecer a alguno de los siguientes grandes grupos:
Clave privada: Se denomina Clave Privada, a aquella que relacionada con un sistema
criptogrfico asimtrico, slo es conocida por el propietario de la misma.
entorno a los tipos de clave Pblica y Privada ha significado un gran avance respecto de
la criptografa prctica, el concepto de Clave Secreta o Clave Compartida ha permitido
solucionar uno de los problemas comnmente encontrados en los criptosistemas en la
antigedad: el intercambio seguro de claves. En rigor de verdad, una Clave Compartida es
aquella que siendo secreta, se encuentra en poder y es conocida, tanto por el emisor como
por el receptor.
Ms all del tipo de clave utilizado en cada caso, y a pesar de la existencia de algunos sistemas
criptogrficos cuya seguridad no se encuentre basada en ellas, el uso de claves largas y complejas,
siempre ser un factor que contribuya a la seguridad del sistema evaluado.
simtrica k. Para descifrar, slo se requiere realizar la operacin inversa con el texto cifrado y el
mismo texto de cifrado S. La operacin de combinacin que se utiliza normalmente es la suma, y
la operacin inversa por tanto es la resta. Si el texto est formado por caracteres, este algoritmo
sera como una cifra de Csar en que la clave va cambiando de un carcter a otro. La clave que
corresponde cada vez viene dada por el texto de cifrado S (llamado keystream en ingls).
En los esquemas de cifrado en ujo, el texto en claro M puede ser de cualquier longitud, y el texto
de cifrado S ha de ser como mnimo igual de largo. De hecho, no es necesario disponer del
mensaje entero antes de empezar a cifrarlo o descifrarlo, ya que se puede implementar el
algoritmo para que trabaje con un ujo de datos que se va generando a partir de la clave (el
texto de cifrado). De ah procede el nombre de este tipo de algoritmos.
Los algoritmos de cifrado en ujo actualmente en uso tienen la propiedad que son poco costosos
de implementar. Las implementaciones en hardware son relativamente simples y, por lo tanto,
ecientes en su rendimiento (en trminos de bits cifrados por segundo). Pero tambin las
implementaciones en software pueden ser muy ecientes.
Las caractersticas del cifrado en ujo lo hacen apropiado para entornos en los que se necesite un
rendimiento alto y los recursos (capacidad de clculo, consumo de energa) sean limitados. Para
ello se suelen utilizar en comunicaciones mviles: redes locales sin hilos, telefona mvil, etc. Un
ejemplo de algoritmo de cifrado en ujo es el RC4 (Rons Code 4). Fue diseado por Ronald Rivest
en 1987 y publicado en Internet por un remitente annimo en 1994. Es el algoritmo de cifrado en
ujo mas utilizado en muchas aplicaciones gracias a su simplicidad y velocidad. Por ejemplo, el
sistema de proteccin WEP (Wired Equivalent Privacy) que incorpora el estndar IEEE 802.11 para
tecnologa LAN inalmbrica utiliza este criptosistema de cifrado en ujo.
Algoritmos de cifrado en bloques: En una cifra de bloque, el algoritmo de cifrado o descifrado se
aplica separadamente a bloques de entrada de longitud ja b, y para cada uno de ellos el
resultado es un bloque de la misma longitud. Para cifrar un texto en claro de L bits debemos
dividirlo en bloques de b bits cada uno y cifrar estos bloques uno a uno. Si L no es mltiple de b,
se pueden agregar bits adicionales hasta llegar a un nmero lleno de bloques, pero luego puede
ser necesario indicar de alguna forma cuntos bits haba realmente en el mensaje original. El
descifrado tambin se debe realizar bloque a bloque.
Muchos de los algoritmos del cifrado de bloque se basan en la combinacin de dos operaciones
bsicas: sustitucin y transposicin.
La sustitucin consiste en traducir cada grupo de bits de la entrada a otro, de acuerdo con una
permutacin determinada.
La transposicin consiste en reordenar la informacin del texto en claro segn un patrn
determinado. Un ejemplo podra ser la formacin grupos de cinco letras, incluidos los espacios en
blanco, y rescribir cada grupo (1, 2, 3, 4, 5) en el orden (3, 1, 5, 4, 2)
Cuando se utiliza el cifrado simtrico para proteger las comunicaciones, se puede escoger el
algoritmo que sea ms apropiado a las necesidades de cada aplicacin: normalmente, a ms
seguridad menos velocidad de cifrado, y viceversa.
Un aspecto que hay que tener en cuenta es que, aunque el cifrado puede conseguir que un
atacante no descubra directamente los datos transmitidos, en ocasiones es posible que se pueda
deducir informacin indirectamente. Por ejemplo, en un protocolo que utilice mensajes con una
cabecera ja, la aparicin de los mismos datos cifrados varias veces en una transmisin puede
indicar dnde empiezan los mensajes. Esto pasa con el cifrado en ujo si su periodo no es lo
sucientemente largo, pero en un cifrado en bloque, si dos bloques de texto en claro son iguales y
se utiliza la misma clave, los bloques cifrados tambin sern iguales. Para contrarrestar esta
propiedad, se pueden aplicar distintos modos de operacin al cifrado en bloque.
10.2.3 DES
Este criptosistema, es probablemente uno de los ms estudiados en la historia de la criptografa.
Desarrollado originalmente por IBM como una variacin de un criptosistema llamado Lucifer,
revisado y comprobado por la NSA a mediados de los aos setenta, y adoptado por gran cantidad
de industrias y gobiernos, DES se ha convertido en un estndar de encriptacin de clave simtrica.
Desde el punto de vista de su funcionamiento , DES suele ser un algoritmo de cifrado por bloques
en el cual, una entrada M (Mensaje) sufre en primer lugar, una transposicin bajo una
permutacin denominada IP (Permutacin Inicial) , originando To=IP(M). Despus de pasar To
diecisis veces por una funcin f, se transpone bajo la permutacin inversa IP', obtenindose as el
resultado final. DES toma bloques de informacin de 64 bits y los cifra mediante el procedimiento
descrito anteriormente con una clave de 56 bits, realmente la clave inicial es de 64 bits, pero
debido a que los bits menos significativos de cada byte se utilizan como bits de paridad y no
aportan ninguna informacin adicional, pueden ser eliminados, obtenindose de esta forma una
clave efectiva de 56 bits. Si bien es cierto que DES es considerado un algoritmo fuerte, el tamao
final de su clave (56 bits) en conjuncin con el poder de cmputo actual, lo vuelven
computacionalmente vulnerable a un ataque de fuerza bruta.
1. DES-EEE3 Se cifra tres veces con una clave diferente cada vez.
2. DES-EDE3 Primero se cifra, luego se descifra y por ltimo se vuelve a cifrar, cada vez con
una clave diferente.
3. DES-EEE2 / DES-EDE2 Similares a los anteriores, con la salvedad de que la clave usada en el
primer y en el ltimo paso coinciden.
3DES es considerablemente ms duro de romper que muchos otros sistemas basados en
algoritmos simtricos, quizs por ello, a pesar del surgimiento de nuevas opciones, contina
siendo uno de los ms utilizados.
10.2.5 AES
En 2 de Enero de 1997, el NIST (National Institute of Standards and Technology) anunciaba
formalmente el inicio de la bsqueda del algoritmo simtrico que reemplazara a DES como
estndar de encriptacin. La gran particularidad de este programa, resida en que era abierto e
instaba a participar a profesionales de todo el mundo. Unos aos ms tarde, los finalistas haban
sido seleccionados. MARS, RC6, Rijndael, Serpent y Twofish, seran sometidos a algunas de las
pruebas ms exigentes, a fin de encontrar al que se convertira en el nuevo estndar AES.
Finalmente el 2 de Octubre del 2000, el NIST anunciaba que Rijndael, un algoritmo de origen
Belga, desarrollado por Joan Daemon y Vincent Rijmen, se convertira en el sustituto de DES hasta
entrado el siglo XXI. AES al igual que DES, es un sistema de cifrado por bloques, con la diferencia
que stos, en vez de ser de 64, son de 128 bits. Existen varias versiones de AES, utilizando claves
de 128, 192 o 256 bits. En la actualidad, AES es el estndar usado por las agencias
gubernamentales de los Estados Unidos, y entre algunas de sus caractersticas principales, se
encuentra su buena combinacin de seguridad, velocidad, eficiencia, sencillez y flexibilidad.
Utiliza claves entre 40 y 128 bits y es conocido por ser muy rpido y eficiente. Si bien se encuentra
patentado por Entrust Technologies, su uso libre ha sido permitido.
Blowfish: Blowfish, es un sistema de cifrado producido por la firma Counterpane, de quien Bruce
Schneier (autor del libro Applied Criptography)es su CEO. En este algoritmo, el cifrado se lleva a
cabo mediante 16 vueltas en las que se opera con una funcin sencilla. Cada vuelta incluye una
permutacin y una sustitucin en funcin de la clave y de los datos. El resto de operaciones
elementales son XOR y la suma modular (mdulo 2^32). Utiliza claves de hasta 448 bits, y hasta el
momento ha resistido con xito todos los ataques. Por ello y por su estructura suele ser
considerado uno de los algoritmos ms seguros, a pesar de lo cual no se utiliza masivamente.
Serpent: Con 59 votos, Serpent ocupo el segundo lugar en el certamen en busca del estndar AES.
Si bien su diseo es bastante conservador, logra gran velocidad al encriptar mltiples bloques en
forma simultnea, utilizando para cada bloque solamente 1 bit del procesador. Dicho de otra
forma, sobre un procesador de 32 bits es posible encriptar 32 bloques en paralelo. Esta tcnica
conocida como "bitslicing" es la misma que se utiliza en las implementaciones ms veloces del
DES. Muchos especialistas coinciden en que Serpent y Rijndael, son bastante similares, aunque
suele decirse que Rijndael es ms rpido mientras que Serpent es ms seguro. Serpent es de
dominio pblico y sus autores no han colocado restricciones a su uso.
MARS: MARS, un nuevo desarrollo de IBM, posee un diseo innovador al incluir un ncleo
criptogrfico con una capa de difusin, lo que le permite utilizar varias funciones diferentes en sus
iteraciones. En rigor de verdad, MARS combina en un algoritmo, cada una de las tcnicas
conocidas de criptografa. El largo de clave de MARS, puede ser variado entre 128 y 400 bits.
Twofish: Twofisth, es originario de Estados Unidos. Su diseo se bas en "Blowfish" un algoritmo
muy popular. Una de sus particularidades, es el uso de tablas internas de datos variables que
dependen de la clave, respecto de las cuales, sus diseadores han hecho un gran esfuerzo al
comprobar que cada una de las variantes posibles, sea lo suficientemente fuerte. Utiliza bloques
de 128 bits y claves de 256 bits.
cifrado de clave pblica suelen basarse en funciones-trampa de un solo sentido. Una funcin de
un solo sentido es aquella cuya computacin es fcil, mientras que invertir la funcin es
extremadamente difcil. Puesto que la clave privada asociada a una clave pblica, contiene la
porcin de informacin necesaria para resolver la funcin relativa a la encriptacin, la prdida de
privacidad respecto de sta, abrira una brecha de seguridad en el criptosistema.
Los usuarios "A" y "B" eligen dos exponentes arbitrarios (x, y). los que se mantienen en
secreto
El usuario A calcula f(x)=(a)x mod p, envindoselo a B
El usuario B calcula f(y)=(a)y mod p, envindoselo a A
Ahora el usuario A calcula k=(f(y))x mod p, o lo que es lo mismo k=((a)y)x mod p
Ahora el usuario B calcula k=(f(x))y mod p, o lo que es lo mismo k=((a)x)y mod p
Por lo tanto k=k= (a)xy mod p
10.3.3 RSA
RSA desarrollado por Ron Rivest, Adi Shamir, y Leonard Adleman en 1978, es probablemente el
sistema criptogrfico asimtrico ms conocido y utilizado, a la vez que es considerado un estndar
de facto. Basado en las investigaciones de Diffie-Hellman, este equipo de trabajo cre su
algoritmo y fundo la empresa RSA Security Inc. Puesto que su patente ha expirado hacia fines del
2000, en la actualidad es considerado de uso libre. RSA ha sido implementado con xito, tanto en
la encriptacin como en esquemas de firma digital. Su proceso involucra claves de 1024 bits y
matemticamente, se basa en la dificultad de factorizar nmeros primos de gran tamao. Si bien
este ltimo punto denota la complejidad que presupone la factorizacin de nmeros primos en
tiempo computacional, existe la posibilidad terica de que algn desarrollo futuro, de nuevos
mtodos asociados a este problema, permitan realizar dicha operacin matemtica en tiempos
que computacionalmente tornaran este sistema inseguro. A pesar de ello, de momento, este
algoritmo contina siendo considerado como uno de los ms seguros.
Procedimiento
Se toman dos nmeros primos grandes, llamados "p" y "q"
Se calcula "n" , llamado mdulo, como el producto n=p.q
Se elige un nmero "e", de tal modo que "e" es menor que "n" y primo relativo (no tiene
factor comn, excepto 1) de (p-1).(q-1)
Se elige otro nmero "d" tal que (ed-1) es divisible por (p-1).(q-1), es decir que su resto es
cero
Los valores "e" y "d" son llamados exponentes pblico y privado respectivamente
La Clave Pblica es el par (n,e) mientras que la Clave Privada es el par (n,d)
Los factores "p" y "q" pueden almacenarse con la clave privada o ser destruidos
una funcionalidad similar a RSA pero requiere menos potencia de cmputo y por ende menos
energa para funcionar, han sido los elegidos en muchos casos para brindar soluciones
criptogrcas en pequeos dispositivos, como por ejemplo telfonos celulares y dispositivos
inalmbricos, PDA, etc. Los sistemas de ECC, se encuentran basados en el concepto de utilizar
puntos sobre una curva a fin de definir un par de claves pblica y privada. Si bien es cierto que la
Criptografa de Curva Elptica, suele ser considerado uno de los campos ms prometedores dentro
de las tcnicas modernas de cifrado asimtrico, suele verse como un punto negativo la relativa
falta de estudios tericos sobre este formalismo matemtico.
Criptografa Fsica, incluye varios mtodos de cifrado. Alguno de los ms comunes, implican la
transposicin o sustitucin de caracteres o palabras, aunque otros como la esteganografa, poseen
caractersticas ms particulares. La gran mayora de los mtodos de cifrado, de los que se ocupa la
criptografa fsica, suelen existir desde hace cientos de aos, y si bien hoy da pueden no resultar
muy efectivos utilizados individualmente, suelen constituir la base de sistemas ms avanzados. Un
buen ejemplo de esto, se encuentra en los algoritmos simtricos, quienes suelen utilizar como
parte de su funcionamiento interno, el producto de operaciones de sustitucin y transposicin.
10.4.1 Sustitucin
El mtodo de sustitucin se basa, tal como su nombre lo indica, en sustituir un caracter o cadena
de caracteres por otro caracter o cadena de caracteres. Dentro de este grupo, suelen identificarse
dos categoras principales: Sustituciones Monoalfabticas y Sustituciones Polialfabticas. Los
algoritmos de sustitucin monoalfabtica, son los ms simples y su utilizacin se remonta a la
edad media. Uno de los ejemplos ms claros al respecto, lo representa el cifrado Csar. Por su
parte, los algoritmos que utilizan sustituciones polialfabticas, hacen uso de mltiples alfabetos
previamente estipulados, sobre los que se basa la sustitucin. Quizs, uno de los ejemplos ms
significativos de este tipo de sustitucin, lo constituya el Cifrado de Vigenre. Una de las
debilidades de los sistemas de sustitucin, suele estar representada por la posibilidad por parte de
un atacante, de analizar estadsticamente la ocurrencia de determinados valores conocidos que
puedan servir de pista o patrn, al momento de resolver el criptosistema. Un ejemplo de esto,
podra ser el de las vocales en el alfabeto espaol.
10.4.2 Transposicin
De la misma forma en la que los algoritmos de sustitucin operan sobre los caracteres, los de
transposicin operan sobre las posiciones, sin alterar el carcter original. Esto suele representar
en parte, una gran ventaja frente a los algoritmos de sustitucin, puesto que al estar operando
sobre las posiciones, un anlisis estadstico no sera suficiente para quebrar el criptosistema,
debido a que cada carcter aparecer en las proporciones en que deba aparecer.
Por lo general, los algoritmos de transposicin, suelen dividir el mensaje original en bloques de
igual tamao, sobre los que luego realizan las operaciones correspondientes.
10.4.3 Esteganografa
La esteganografa, suele ser definida como el arte o ciencia de comunicar de manera oculta un
mensaje, camuflando la informacin entre otro conjunto de datos para que pase desapercibida.
El trmino esteganografa proviene del griego "steganos" (secreto) y "grafa" (escrito), y tiene un
origen muy antiguo. Los primeros documentos que describen el uso de estas tcnicas datan de los
tiempos de Herodoto en la Grecia antigua. Una de las primeras y sencillas tcnicas
esteganogrficas de las que se conocen registros, es la tinta invisible, que consista en ocultar los
mensajes escritos con zumo de limn en un papel en el que al calentarlo, apareca lo escrito.
La encriptacin por medio de tcnicas esteganogrficas, pude ser muy difcil de detectar, motivo
por el cual, se ha convertido en un dolor de cabeza para los administradores corporativos que
deben impedir el filtrado de informacin confidencial por parte de empleados lcitos. Gracias a las
aplicaciones disponibles hoy da, es posible esconder informacin en todo tipo de archivos, tales
como fotografas, audio y video.
Los sistemas hbridos, son el resultado de la combinacin de ms de un algoritmo de encriptacin
o mtodo de cifrado. Este tipo de criptosistemas, representa un avance significativo en favor de
llevar la criptografa terica a la prctica. Tal como mencionramos en secciones anteriores, las
fortalezas de cada uno de los algoritmos conocidos puestas a trabajar en conjunto permiten
implementar sistemas de cifrado prcticos y seguros a la vez.
El ejemplo por excelencia, cuando nos referimos a sistemas hbridos, tiene como protagonistas a
dos de los criptosistemas ms utilizados en los ltimos aos: PGP (Pretty Good Privacy) y GnuPG
(The GNU Privacy Guard).
El concepto fundamental detrs de este tipo de sistemas, se basa en el uso de un cifrado de clave
pblica para compartir una clave para el cifrado simtrico. La clave de sesin es cifrada con la
clave pblica, y el mensaje saliente es cifrado con la clave simtrica, todo combinado
automticamente en un slo paquete. En este escenario, el destinatario debe usar su clave
privada para descifrar la clave de sesin, para luego utilizar la clave de sesin que le servir
finalmente para descifrar el mensaje.
Si bien tanto PGP como GnuPG, se basan en el mismo concepto (la combinacin de algoritmos
simtricos y asimtricos), su diferencia fundamental radica en el hecho, de que gracias a su
esencia como parte del proyecto GNU, GnuPG, no utiliza IDEA ni RSA (ambos, algoritmos
patentados y con restricciones en algunos pases) y por tanto puede ser usado sin restriccin
alguna por el pblico en general.
bases de datos conteniendo las firmas MD5/SHA1 de prcticamente todos los archivos de los
sistemas operativos conocidos
Pero la aplicacin de Funciones de Hash, puede verse limitada en ciertas circunstancias. En
aquellos casos en los que un atacante, consiga acceder tanto a la informacin original como a los
valores resumidos, nada le impedira modificar la informacin y volver a generar un nuevo hash,
que a los ojos del usuario final o remitente, pueda pasar por verdadero. Dicho de otro modo, si
bien la utilizacin de funciones de hash, aporta su utilidad desde el punto de vista de la
integridad, en muchos casos se requerir de la combinacin de otros mtodos que acompaen su
implementacin.
10.5.2 MD5
MD5 (Message Digest), fue desarrollado por Ron Rivest (RSA Security, Inc.) y publicado por
primera vez, en el RFC 1321 en Abril de 1992. Este algoritmo, es en verdad una versin ampliada
de MD4, el cual si bien posee caractersticas similares, fue originalmente pensado, teniendo en
mente la velocidad y no tanto la seguridad. MD5 incluye una serie de optimizaciones respecto de
MD4, e incorpora algunos conceptos que lo hacen ms seguro.
MD5 realiza una manipulacin de bits para obtener, como resultante de clculo, un valor hash de
128-bits, o lo que es lo mismo, una serie de 16 caracteres (32 dgitos hexadecimales), lo que da un
conjunto de valores de 2 a la 128.
Una de los cuestionamientos que suelen hacerse a este algoritmo, es tal vez, su corta extensin.
Puesto que gran cantidad de empresas como por ejemplo Microsoft, Sun, IBM y otras, han
adoptado universalmente este algoritmo para controlar las versiones de algunas de sus
aplicaciones (Objetos ActiveX, aplicaciones Java, etc.) resulta tericamente posible, que en algn
momento se encuentren dos valores hash MD5 iguales, para diferentes componentes.
Uno de los motivos principales que motivaron el desarrollo de MD5, fue la ruptura de MD4. A
pesar de ello, dos investigadores, de nombre Boer y Bosselaers afirman haber encontrado pseudocolisiones en la funcin de compresin de MD5, mientras que Dobbertin asegura haber hecho lo
propio en la funcin de compresin del mismo algoritmo.
Hasta hace poco, el algoritmo de hash ms usado era el MD5. Pero como el resumen que da es de
slo 128 bits, y aparte se han encontrado otras formas de generar colisiones parciales en el
algoritmo, actualmente se recomienda utilizar algoritmos ms seguros, como el SHA-1. El
algoritmo SHA-1, publicado el 1995 en un estndar del NIST (como revisin de un algoritmo
anterior llamado simplemente SHA), da resmenes de 160 bits. El ao 2002 el NIST public
variantes de este algoritmo que generan resmenes de 256, 384 y 512 bits.
10.5.3 SHA-1
SHA-1 (Secure Hash Algorithm), ha sido diseado por el NIST (National Institute of Standards and
Technology), a partir de MD4, motivo por el cual, su diseo guarda alguna relacin con este
algoritmo y con MD5. A pesar de ello, SHA-1 es considerado un algoritmo ms fuerte, debido en
parte a que la salida que produce es de 160-bits, lo que genera un conjunto de elementos
resultantes de 2 a la 160. Si bien existieron algunos ataques exitosos a la primer versin
denominada SHA, SHA-1, no ha sido roto de momento, motivo por el cual es considerado una
excelente opcin en relacin al resto de las alternativas.
La respuesta a esta problemtica, suele estar relacionada con la implementacin de algn tipo de
sistema que permita, no slo asegurar la integridad, sino que tambin haga lo propio con la
autenticidad. Es decir, siempre que un receptor B reciba un mensaje que parezca provenir del
emisor A, el esquema implementado debera permitir averiguar, no slo si el mensaje viene de A,
si no tambin si fue modificado en su trayectoria.
Podemos distinguir dos tipos de autenticacin:
10.6.1 MAC
Como una de las primeras alternativas surgidas a la hora de asegurar la integridad de la
informacin transmitida o almacenada, surgi el concepto de MAC (Message Authentications
Codes) o Cdigo de Autenticacin de Mensajes. En la prctica, el funcionamiento de MAC, radica
en la inclusin de informacin adicional, como parte integral del mensaje a transmitir.
Generalmente, esta informacin adicional suele estar formada por una clave compartida que es
conocida por ambos extremos de la comunicacin.
Si bien el concepto detrs de HMAC es el mismo, el uso de Funciones de Hash (he de aqu la H
adicional) como parte integral del proceso de generacin de este Cdigo de Autenticacin, lo
transforma en una herramienta an ms efectiva. Cuando HMAC se pone en funcionamiento, el
mensaje original es procesado junto a la clave de secreto compartido, por una funcin hash del
estilo de MD5 o SHA-1. Esta operacin produce como resultado, un valor de hash, el cual es
transmitido junto al mensaje original al otro extremo de la comunicacin. El receptor, recibe el
mensaje y el valor de hash enviado por el emisor, y procede a recalcular un nuevo hash, ya que
conoce la clave que se combin con la informacin transmitida. Luego, el valor de hash enviado,
es comparado con el valor de hash generado por el receptor. En caso de que ambos valores sean
coincidentes, la integridad y autenticidad del mensaje estarn garantizadas. Si cualquier parte del
mensaje original hubiera sido cambiada en trnsito o bien se hubiera falsificado el mensaje, los
valores de hash seran diferentes, y la modificacin o falsificacin podran ser detectadas.
Si el autor de la rma es alguien en quien conamos, el certicado nos sirve como garanta de que
la clave pblica pertenece al usuario que gura identicado en el certicado. Quien rma el
certicado puede ser una autoridad que se responsabilice de vericar fehacientemente la
autenticidad de las claves pblicas. En este caso, se dice que el certicado ha sido generado por
una autoridad de certicacin (CA).
Puede haber distintos formatos de certicados, pero el ms usado es el de los certicados X.509,
especicado en la denicin del servicio de directorio X.500.
El directorio X.500 permite almacenar y recuperar informacin, expresada como atributos, de un
conjunto de objetos. Los objetos X.500 pueden representar, por ejemplo, pases, ciudades, o bien
empresas, universidades (en general, organizaciones), departamentos, facultades (en general,
unidades organizativas), personas, etc. Todos estos objetos estn organizados jerrquicamente en
forma de rbol (en cada nodo del rbol existe un objeto) y, dentro de cada nivel, los objetos se
identican mediante un atributo distintivo. A nivel global, cada objeto se identica con un nombre
distintivo (DN), que no es ms que la concatenacin de los atributos distintivos que hay entre la
raz del rbol y el objeto en cuestin. El sistema de nombres es, pues, parecido al DNS de Internet,
con la diferencia que los componentes de un nombre DNS son simples cadenas de caracteres, y los
de un DN X.500 son atributos, cada uno con un tipo y un valor.
Un certificado nos soluciona el problema de la autenticidad de la clave pblica si est rmado por
una CA en la cual confiamos, Pero que pasa si nos comunicamos con un usuario que tiene un
certificado emitido por una CA que no conocemos?
Existe la posibilidad que una CA tenga un certicado que garantice la autenticidad de su clave
pblica, rmado por otra CA. Esta otra CA puede que si que la conozcamos, o puede que a su vez
tenga un certicado rmado por una tercera CA, y as sucesivamente. De esta forma, se puede
establecer una jerarqua de autoridades de certicacin, donde las CA de nivel ms bajo emiten
los certicados de usuario, y las CA de cada nivel son certicadas por una de nivel superior.
La Recomendacin X.509, adems de denir el formato de los certicados, tambin dene otra
estructura llamada lista de revocacin de certicados o CRL. Una lista de este tipo sirve para
publicar los certicados que han dejado de ser vlidos antes de su fecha de caducidad. Los
motivos pueden ser diversos: se ha emitido otro certicado que sustituye al revocado, ha
cambiado el DN del titular (por ejemplo, ha dejado de trabajar en la empresa en la que estaba), le
han robado su clave privada, etc. De este modo, si queremos asegurarnos completamente de la
validez de un certicado, no basta con vericar su rma, sino que debemos obtener la versin
actual de la CRL (publicada por la CA que emiti el certicado) y comprobar que el certicado no
aparece en esta lista. Una CA normalmente actualizar su CRL de forma peridica, aadiendo cada
vez los certicados que hayan sido revocados. Cuando llegue la fecha de caducidad que constaba
en el certicado, ya no ser necesario volver a incluirlo en la CRL. Esto permite que las CRL no
crezcan indenidamente.
Segn la relacin que haya entre las dos claves, los algoritmos criptogrficos se clasican en
algoritmos simtricos si la clave de cifrado y la de descifrado son la misma, o algoritmos de clave
pblica si las claves son distintas. Los algoritmos simtricos, a su vez, se pueden clasicar en
algoritmos de cifrado en ujo, si el cifrado consiste en aadir al texto datos pseudoaleatrios
calculados a partir de la clave, o algoritmos de cifrado en bloque, si el cifrado se realiza sobre
bloques de medida ja del texto original.
La particularidad de la criptografa de clave pblica es que a partir de la clave pblica es
prcticamente imposible deducir la clave privada. Esto permite que cualquiera que conozca la
clave pblica de un usuario pueda usarla para cifrar datos condenciales, con la seguridad que
solamente quien tenga la clave privada correspondiente podr descifrarlos, y sin necesidad de
acordar ninguna clave secreta a travs de un canal seguro. El uso de las claves al revs (la privada
para cifrar y la pblica para descifrar) es la base de las rmas digitales.
Dado que la criptografa de clave pblica es computacionalmente ms costosa que la simtrica, no
se utiliza nunca directamente para obtener condencialidad, si no siempre a travs de una clave
de sesin simtrica. Del mismo modo, la rma de un texto no se calcula directamente a partir del
texto, si no aplicndole una funcin hash segura. La propiedad de este tipo de funcin es que es
muy difcil encontrar un mensaje que de el mismo hash que otro.
Para garantizar que las claves pblicas son autnticas, y pertenecen a quien se supone que han de
pertenecer, se pueden utilizar certicados digitales o de clave pblica, como por ejemplo los
certicados X.509. Cuando una autoridad de certicacin (CA) rma un certicado, est dando fe
de la autenticidad entre el vnculo entre de la clave pblica correspondiente y la identidad del
usuario. Los certicados son un componente bsico de la infraestructura de clave pblica (PKI),
como tambin lo son las listas de revocacin de certicados (CRL). Las rmas digitales
proporcionan el servicio de autenticacin de mensaje. Los llamados cdigos MAC tambin
proporcionan este servicio, pero utilizando claves secretas compartidas en lugar de claves
pblicas. Otro servicio de autenticacin es el de autenticacin de entidad. Este mecanismo
permite comprobar que la otra parte de la comunicacin es quien dice ser, y no un impostor. Esto
se puede conseguir con tcnicas de autenticacin dbil basadas en contraseas o, si es necesario,
con tcnicas de autenticacin fuerte basadas en protocolos de reto-respuesta, que a diferencia de
las anteriores son resistentes a muchos ms ataques que las primeras.
10.7 PREGUNTAS
Cules son caractersticas de una Funcin de Hash? El valor de salida debe tener un
tamao fijo, Debe encontrarse libre de colisiones
Cmo se conoce al conjunto de: Algoritmos, Texto Claro, Texto Cifrado y Clave?
Criptosistema
Cmo se denomina al chip cifrador que se utilizaba como parte del proyecto Key
Escrow? Clipper chip
Cules son las tcnicas que se combinan en un proceso de Firma Digital? Criptografa
asimtrica, Funciones de Hash
Cules son las longitudes efectivas de las claves AES? 128, 192 y 256 bits
CAPTULO 11
11.1 TNELES Y VPN
Qu es una VPN? Es una red privada implementada sobre una red pblica o semipblica,
valindose de protocolos de encriptacin y encapsulamiento que permiten interconectar los dos
extremos de manera segura.
Por qu utilizar una VPN sobre una red pblica? En general nos permiten un ahorro de costos de
telecomunicaciones reemplazando las tecnologas tradicionales (Punto a Punto, Frame Relay, etc)
que contratamos a los Carriers para unir dos puntos a larga distancia e incluso internacionales,
garantizando confiabilidad e integridad a los datos transportados.
Cules son los protocolos ms conocidos en las implementaciones de tneles?
Qu protocolos agrupa IPSec? Este protocolo est integrado por un conjunto de estndares
abiertos que garantizan la confidencialidad, integridad, autenticacin del orgen, el intercambio
de claves y anti-replay. Estos protocolos son:
AH (Authentication Header)
Cul es la diferencia de implementar IPSec en modo tnel o modo transporte? En el modo tnel
se encapsula el datagrama original en un nuevo datagrama, el cual posee las direcciones IP de los
gatways IPSec que mantienen el tnel, en cambio en el modo transporte, la seguridad es de
extremo a extremo, donde solamente se asegura la carga til del datagrama IP, puesto que se
mantiene la cabecera IP original.
Qu es una Asociacin de Seguridad (SA)? Representa un conjunto de polticas y claves utilizadas
para proteger los datos involuncrados en una comunicacin IPSec. Dentro de la SA se definen los
algoritmos a emplear, las claves de autenticacin, la definicin del trfico al que se debe aplicar y
el protocolo y el modo a utilizar.
Muy atrs en el tiempo, han quedado aquellos primeros inicios en la historia de la informtica, en
donde el requerimiento fundamental por parte de un ambiente de cmputo, se encontraba
relacionado con la posesin de un gran servidor o computador principal para satisfacer las
necesidades de clculo de una organizacin. Este viejo modelo, fue reemplazado rpidamente, por
otro que considera un nmero grande de computadores separados pero interconectados, que
efectan el mismo trabajo, dando lugar al nacimiento de las redes informticas. Pero el
crecimiento que han sufrido las redes informticas en los ltimos aos, ha superado cualquier
expectativa al respecto. Un claro ejemplo, se encuentra dado por Internet, una red de redes de
alcance mundial, que ha logrado convertirse en tan solo unos aos, en uno de los instrumentos de
comunicacin ms preciados de la edad moderna. Hoy en da, muchos de los servicios que
utilizamos comnmente, requieren de algn tipo de interconexin para poder funcionar
eficientemente. Empleados que trabajan desde sus hogares, dispositivos mviles, telfonos IP y
una amplia gama de componentes de red, han pasado a convertirse en una realidad cotidiana.
Pero el concepto de redes e interconexin, no necesariamente se encuentra relacionado con la
seguridad o privacidad de los datos que sobre ellas se transfieren, de hecho puesto que las redes
fueron pensadas originalmente, con el objeto de compartir informacin, caractersticas tales
como la seguridad, no han sido parte integral de su diseo. En las prximas secciones, veremos
algunas de las tecnologas actuales, que permiten afrontar el desafo de interconectar redes, en
forma segura y confiable.
Con el paso del tiempo, la complejidad en torno al diseo e implementacin de redes, ha
aumentado considerablemente. Empresas de todos los tamaos, han visto en Internet y las
tecnologas que la soportan, una forma atractiva de solucionar sus problemas de comunicacin, o
transformar la manera en la que hacen negocios con sus clientes y proveedores. Debido en parte a
estos hechos, y en funcin de otorgar diferentes esquemas de seguridad, al conjunto de redes
interconectadas entre s, ha surgido la necesidad de referirnos a ellas en funcin de la zona a la
que pertenecen:
Internet: Internet, es una red pblica y global. Pblica, porque puede ser utilizada por cualquier
persona, a travs del servicio provisto por alguno de los grandes proveedores de acceso a la
misma y Global, debido a que conecta a miles de computadores alrededor del mundo. De acuerdo
a sus caractersticas, Internet es un ambiente de trabajo sobre el cual debemos asumir, que no
tenemos control alguno respecto de quines y cmo la utilizan. El usuario del otro lado, puede ser
un potencial cliente, o un avezado atacante. En definitiva, no tendremos ninguna manera de
conocer esta situacin, al menos que estemos monitoreando sus acciones, en forma constante.
Intranet: Se denomina Intranet a aquellas redes privadas, que siendo implementadas y
mantenidas por una compaa u organizacin individual, utilizan como parte de su
funcionamiento, las mismas tecnologas en las que se basa Internet. A diferencia de lo que sucede
con esta ltima, el acceso a una Intranet, se limita a los sistemas incluidos dentro de la misma. Si
bien es cierto, que frecuentemente, suele verse Intranets conectadas con Internet, los recursos
situados dentro del mbito de la Intranet, no se encuentran disponibles para el acceso a los
usuarios, a los que no se autorice expresamente. Dicho de otra forma, el acceso a una Intranet, se
concede a los usuarios confiados dentro de la red corporativa, o usuarios de la misma en
posiciones remotas.
Extranet: Una Extranet expande las posibilidades de conectividad de su Intranet, ms all de los
lmites de su propia organizacin, convirtindola en una red semi-privada. La implementacin de
una Extranet, brinda la posibilidad de conectar un socio de negocios u otra organizacin digna de
confianza, por medio de una red privada, o de una conexin que utilice un canal de
comunicaciones seguro, a travs de Internet. Podra decirse que una Extranet es una WAN privada,
pero que trabaja con protocolos abiertos no propietarios o, en otras palabras, sera como la
interconexin de Intranets de diferentes empresas, que se encuentran bajo administraciones
distintas.
El usuario remoto llama a su ISP local y se conecta a la red del ISP de forma normal.
Cuando requiere conectarse a la red corporativa, el usuario inicia el tnel enviando una
peticin a un servidor VPN de la red corporativa.
El usuario comienza a enviar datos a travs del tnel, los cuales generalmente son cifrados
por el software VPN (del cliente) antes de ser enviados sobre la conexin del ISP.
En el destino, el servidor VPN recibe los datos y los descifra, re-enviando los datos hacia la
red corporativa. Cualquier informacin enviada de vuelta al usuario remoto tambin es
cifrada antes de enviarse por Internet, tarea que recae sobre el extremo contrario al
cliente.
En las VPN entre intranets, la situacin ms habitual es que en cada intranet hay una
pasarela VPN, que conecte la red local con Internet. Esta pasarela se comunica con la de las
otras intranets, aplicando el cifrado y las protecciones que sean necesarias a las
comunicaciones de pasarela a pasarela a travs de Internet. Cuando los paquetes llegan a
la intranet de destino, la pasarela correspondiente los descifra y los reenva por la red local
hasta el ordenador que los tenga que recibir. De esta manera es utiliza la infraestructura
pblica de Internet, en lugar de establecer lneas privadas dedicadas, que supondran un
coste ms elevado. Tambin se aprovecha la abilidad y redundancia que proporciona
Internet, ya que si una ruta no est disponible siempre se pueden encaminar los paquetes
por otro camino, mientras que con una lnea dedicada la redundancia supondra un coste
an ms elevado.
En las VPN de acceso remoto, a veces llamadas VPDN, un usuario se puede comunicar con
una intranet a travs de un proveedor de acceso a Internet, utilizando tecnologa
convencional como por ejemplo a travs de un mdem ADSL. El ordenador del usuario ha
de disponer de software cliente. VPN para comunicarse con la pasarela VPN de la intranet y
llevar a cabo la autenticacin necesaria, el cifrado, etc. De este modo tambin se
aprovecha la infraestructura de los proveedores de Internet para el acceso a la intranet, sin
necesidad de llamadas a un mdem de la empresa, que pueden llegar a tener un coste
considerable.
El caso de las VPN extranet puede ser como el de las VPN entre intranets, en que la
comunicacin segura se establece entre pasarelas VPN, o bien como el de las VPN de
acceso remoto, en que un cliente VPN se comunica con la pasarela de la intranet. La
diferencia, pero, es que en este caso normalmente el control de acceso es ms restrictivo
para permitir solamente el acceso a los recursos autorizados.
La denicin de una red virtual lleva a cabo mediante el establecimiento de tneles, que permiten
encapsular paquetes de la red virtual, con sus protocolos, dentro de paquetes de otra red, que
normalmente es Internet, con su protocolo, es decir IP. Para la comunicacin entre las distintas
intranets, o entre el ordenador que accede remotamente y la intranet, se pueden utilizar los
protocolos que sean ms convenientes. Los paquetes de estos protocolos, para poderlos hacer
llegar a su destino a travs de Internet, se pueden encapsular en datagramas IP, que dentro suyo
contendrn los paquetes originales. Cuando lleguen a su destino, se desencapsulan estos
datagramas para recuperar los paquetes con el formato nativo del protocolo correspondiente.
Hay protocolos que pueden ser utilizados para establecer los tneles, dependiendo del nivel de la
comunicacin al cual se quiera realizar la proteccin.
Tneles a nivel de red. El protocolo utilizado en la gran mayora de conguraciones VPN es IPsec
en modo tnel, generalmente con ESP par cifrar los datos, y opcionalmente con AH para
autenticar los paquetes encapsulados. Las pasarelas VPN son, en este caso, pasarelas seguras
Ipsec.
Tneles a nivel de enlace. En el caso de las VPN de acceso remoto o VPDN, existe la posibilidad de
encapsular tramas PPP, que son las que transmite normalmente un cliente VPN de este tipo, sobre
datagramas IP. Hay diversas
cuestiones que las VPN, han sabido resolver a la perfeccin. En la actualidad, el bajo costo de
accesos de banda ancha a Internet, clientes VPN integrados en los sistemas operativos ms
utilizados, y equipos de networking con posibilidades de VPN All in One, han transformado la
implementacin de este tipo de soluciones, en algo verdaderamente accesible desde el punto de
vista econmico y sencillo en relacin a los requerimientos iniciales.
Pero no todo son buenas noticias cuando la idea es montar VPNs sobre Internet. A diferencia de lo
que sucede en las redes privadas o los accesos dedicados, Internet, debe ser contemplada como
una red No Fiable. La volatilidad del ancho de banda efectivo, as como las interrupciones de
servicio, o sencillamente la libertad subyacente a su concepcin, sumado a que no se trata de
otra red bajo nuestro control, hacen que debamos ser sumamente cuidadosos a la hora de
decidir que Nivel de Servicio esperamos brindar con este tipo de soluciones.
11.1.6 Tunelizacin
Las redes privadas virtuales, habilitan como parte de su funcionamiento, la creacin de tneles o
conductos dedicados de un sitio a otro. La tecnologa de tneles, comnmente referida como
Tunneling, representa un mtodo vlido al momento de transferir datos entre dos redes
similares sobre una red intermedia diferente. Por medio de una tcnica conocida como
"encapsulacin", estos tneles, suelen tener la capacidad de encerrar un tipo de paquete de
datos, dentro del paquete de otro protocolo (Generalmente TCP/IP), y en el caso particular de los
tneles VPN, proceder a la encriptacin de los datos transmitidos a travs del mismo, de forma tal
que en caso de que se produzca algn tipo de intercepcin sobre la red pblica subyacente, estos
resulten ilegibles a los ojos del atacante.
De acuerdo con este procedimiento, los paquetes encapsulados viajan a travs de Internet o
cualquier otro tipo de red pblica, hasta que alcanzan su destino. Una vez all, se separan y
vuelven a su formato original. En resumen, un tnel podra ser definido como la senda o recorrido
lgico, que siguen las PDUs de un protocolo (encapsulado en otro) atravesando una red pblica.
Si bien es cierto que los tneles suelen ser parte fundamental de las tecnologas VPN, han existido
desde hace mucho tiempo. Solo por citar un ejemplo, el tunelizado de protocolos tales como SNA
e IPX, se ha utilizado y se sigue utilizando con xito en varias implementaciones. De igual forma,
MBone hace uso de tneles multicast sobre una red unicast, as como 6Bone hace lo propio con
tneles IPv6 sobre redes Ipv4. Respecto de su funcionamiento, con frecuencia, los tneles suelen
ser establecidos en las capas 2 y 3 debido sobre todo a que sto los hace independientes del
medio, aunque SSH y S/MIME en capa 7 y SSL/TSL en capa 4, nos muestran la existencia de otras
alternativas. Por su parte, aspectos tales como las fases (establecimiento / encapsulado) y los
elementos que componen un tnel (Protocolo del carrier, Protocolo de encapsulamiento y
Protocolo pasajero) , suelen ser caractersticas propias de esta tecnologa.
En la actualidad, suele ser comn referirse a las tecnologas de tunneling de acuerdo tambin, a su
modo de generacin. De esta forma, se distingue entre Tneles Voluntarios o Tneles
Obligatorios.
Tuneles voluntarios: Estos corredores se forman entre ordenadores de usuario o corredores de
enrutamiento que utilizan software que acta como agente cliente para establecer una conexin
virtual contra un servidor virtual que tiene la funcin de ser el destino de la comunicacin. En este
caso, tanto los clientes como los servidores finales han de tener instalados y configurados los
protocolos con los que entubat el camino, ya se en conexiones de tipo serie o por red. Una ventaja
aadida a esta modalidad, es que las mquinas implicadas (finales e intermedias) pueden ser de
propsito general y no estar espesficamente diseadas para operar con VPN
Tuneles obligatorios: Cuando se utilizan dispositivos dedicados es cuando se habla de tunelizacin
obligatoria o impuesta, donde los servidores de destino estn diseados con capacidad para
generar el tunel al recibir la comunicacin del cliente. Estos dispositivos reciben el nombre de
Procesadores Front End (FEP) cuando emplean el protocolo PPTP; Concentrador de Acceso (LAC),
cuando trabajan con L2TP; o pasarela de seguridad IP cuando emplean IPSec en su
funcionamiento.
11.2 OpenVPN
OpenVPN es una solucin de conectividad basada en software: SSL (Secure Sockets Layer) VPN
Virtual Private Network (red virtual privada), OpenVPN ofrece conectividad punto-a-punto con
validacin jerrquica de usuarios y host conectados remotamente, resulta una muy buena opcin
en tecnologas Wi-Fi (redes inalmbricas EEI 802.11) y soporta una amplia configuracin, entre
ellas balanceo de cargas entre otras. Est publicado bajo la licencia GPL, de software libre.
OpenVPN, es un excelente producto de software creado por James Yonan en el ao 2001 y que ha
estado siendo mejorado desde entonces. Ninguna otra solucin ofrece una mezcla semejante de
seguridad a nivel empresarial, seguridad, facilidad de uso y riqueza de caractersticas. Es una
solucin multiplataforma que ha simplificado mucho la configuracin de VPN's dejando atrs los
tiempos de otras soluciones difciles de configurar como IPsec y hacindola ms accesible para
gente inexperta en este tipo de tecnologa.
OpenVPN es una excelente nueva solucin para VPN que implementa conexiones de capa 2 o 3,
usa los estndares de la industria SSL/TLS para cifrar y combina todos las caractersticas
mencionadas anteriormente en las otras soluciones VPN. Su principal desventaja por el momento
es que hay muy pocos fabricantes de hardware que lo integren en sus soluciones. De todos modos
no hay que preocuparse siempre que contemos con un Linux en el cual podremos implementarlo
sin ningn problema mediante software. Para cifrar datos se usan Passwords o claves de
cifrado.OpenVPN tiene dos modos considerados seguros, uno basado en claves estticas precompartidas y otro en SSL/TLS usando certificados y claves RSA. Cuando ambos lados usan la
misma clave para cifrar y descifrar los datos, estamos usando el mecanismo conocido como clave
simtrica y dicha clave debe ser instalada en todas las mquinas que tomarn parte en la
conexin VPN. Si bien SSL/TLS + claves RSA es por lejos la opcin ms segura, las claves estticas
cuentan con la ventaja de la simplicidad.
Ventajas: OpenVPN provee seguridad, estabilidad y comprobados mecanismos de cifrado sin sufrir
la complejidad de otras soluciones VPN como las de Ipsec.
Adems ofrece ventajas que van ms all que cualquier otra solucin como ser:
Posibilidad de implementar dos modos bsicos, en capa 2 o capa 3, con lo que se logran
tneles capaces de enviar informacin en otros protocolos no-IP como IPX o broadcast
(NETBIOS).
Proteccin de los usuarios remotos. Una vez que OpenVPN ha establecido un tnel el
firewall de la organizacin proteger el laptop remoto aun cuando no es un equipo de la
red local. Por otra parte, solo un puerto de red podr ser abierto hacia la red local por el
remoto asegurando proteccin en ambos sentidos.
Conexiones OpenVPN pueden ser realizadas a travs de casi cualquier firewall. Si se posee
acceso a Internet y se puede acceder a sitios HTTPS, entonces un tnel OpenVPN debera
funcionar sin ningn problema.
Soporte para proxy. Funciona a travs de proxy y puede ser configurado para ejecutar como
un servicio TCP o UDP y adems como servidor (simplemente esperando conexiones
entrantes) o como cliente (iniciando conexiones).
Solo un puerto en el firewall debe ser abierto para permitir conexiones, dado que desde
OpenVPN 2.0 se permiten mltiples conexiones en el mismo puerto TCP o UDP.
Las interfaces virtuales (tun0, tun1, etc.) permiten la implementacin de reglas de firewall
muy especficas.
Todos los conceptos de reglas, restricciones, reenvo y NAT10 pueden ser usados en tneles
OpenVPN.
Ningn problema con NAT. Tanto los clientes como el servidor pueden estar en la red
usando solamente IPs privadas.
Diseo modular. Se basa en un excelente diseo modular con un alto grado de simplicidad tanto
en seguridad como red.
Desventajas
No tiene compatibilidad con IPsec que justamente es el estndar actual para soluciones
VPN.
Al da de hoy slo se puede conectar a otras computadoras. Pero esto est cambiando,
dado que ya existen compaas desarrollando dispositivos con clientes OpenVPN
integrados.
OpenVPN
Tecnologa sencilla
Diferentes
implementaciones
de
distintos Tecnologas de cifrado estandarizadas
proveedores pueden ser incompatibles entre si
Configuracin compleja y tecnologa compleja
Fcil de aprender
principiantes
Necesidad de uso de
protocolos en el firewall
muchos
puertos
xito
tecnologa
rpido
para
Problemas con direcciones dinmicas en ambas Trabaja con servidores de nombres dinmicos
puntas
como DynDNS o No-IP con reconexiones rpidas
y transparentes
Problemas de seguridad de las tecnologas IPsec SSL/TLS como estndar de criptografa
Control de trfico (Traffic shaping)
Velocidad (ms de 20 Mbps en mquinas de
1Ghz)
Compatibilidad con firewall y proxies
Ningn problema con NAT (ambos lados puede
ser redes NATeadas)
Posibilidades para hackers y road warriors
11.3 PPTP
Sin lugar a dudas, en el mbito de las redes de acceso remoto y VPNs, nada hubiera sido igual, sin
el desarrollo de PPTP. Las siglas con las que se identifica este protocolo, se corresponden con su
nombre en Ingls: Point-to-Point Tunneling Protocol y su concepcin se atribuye a un consorcio
de empresas, conformado por: Microsoft, P.Ascen Communications, 3Com, Primary Access, ECI
Telematics y US.Robotics, entre otros.
Publicado en Julio de 1999 bajo el RFC 2637, PPTP se presenta como un protocolo que permite el
intercambio seguro de datos, proveyendo soporte multi-protocolo, autenticacin y cifrado, a la vez
que extiende las posibilidades provistas hasta el momento por PPP (Point-to-Point Protocol. RFC
1171), al encapsular paquetes PPP en datagramas IP (utilizando una versin extendida de GRE) y
posibilitar su transmisin en redes TCP/IP. El objetivo detrs del diseo de PPTP, fue el de obtener
un protocolo simple, que brindara compatibilidad multiprotocolo y que tuviera la capacidad de
cruzar una amplia gama de redes IP.
Uno de los aspectos que ms han contribuido a la utilizacin de PPTP, es sin lugar a dudas la
aceptacin que el mismo ha tenido en la industria (de la cual forman parte alguna de las empresas
que a su vez desarrollaron este protocolo). Sistemas operativos como Windows 98SE, Windows NT
4.0 y Windows 2000, tanto en sus versiones de escritorio como servidor, lo incluyen como parte
de su instalacin, provocando de esta forma, la disponibilidad casi inmediata de un cliente en cada
uno de los equipos en los cuales se haya instalado alguno de estos sistemas operativos. De la
misma forma, y a pesar de que muchas veces se lo ha considerado como un protocolo propiedad
de Microsoft, existen varios clientes y servidores PPTP para gran parte del resto de los sistemas
operativos (Linux, FreeBSD, NetBSD y OpenBSD).
Ms all de su disponibilidad en gran parte de los escritorios, puesto que PPTP es capaz de brindar
comunicaciones encriptadas sobre las estructuras de comunicaciones existentes como PSTNs
(Public Switched Telephone Networks) e Internet, su uso se ha extendido hasta convertirlo en
algn momento, en uno de los protocolos preferidos a la hora de implementar las primeras VPNs.
Si bien es cierto que una de las fortalezas de PPTP, es su utilizacin junto a PPP para establecer un
primer vnculo a travs de un mdem y lnea telefnica, sobre el cual finalmente montar PPTP, su
uso podra ser requerido en redes internas o LANs, en cuyo caso no hara falta el establecimiento
de conexin brindado por PPP, sino que la VPN podra ser establecida localmente va PPTP contra
un servidor en la misma red interna. Este tipo de implementacin puede carecer de sentido en
algunos casos, aunque la capacidad de soportar mltiples protocolos (IP, IPX y NetBEUI) puede ser
un fin en s mismo.
como parte de su funcionamiento, paquetes PPP que contienen los datos en datagramas IP, para
lo cual se vale del protocolo GRE, el cual se ver en detalle ms adelante. Una vez que los
datagramas llegan al servidor PPTP, son desensamblados con el fin de obtener el paquete PPP y
desencriptados de acuerdo al protocolo de red transmitido (recordando la naturaleza multi
protocolo de PPTP).
El protocolo PPTP especifica adems una serie de mensajes de control con el fin de establecer,
mantener y destruir el tnel PPTP previamente generado. Estos mensajes son transmitidos en
paquetes de control en el interior de segmentos TCP. De este modo, los paquetes de control
almacenan la cabecera IP, la cabecera TCP, el mensaje de control PPTP y los trailers apropiados.
La autenticacin PPTP se basa en un sistema de acceso en el cual todos los clientes, deben
proporcionar un conjunto de usuario / contrasea. La autenticacin remota de clientes PPTP es
realizada empleando los mismos mtodos de autenticacin utilizados por cualquier otro tipo de
servidor de acceso remoto (RAS). En el caso de Microsoft, la autenticacin utilizada para el acceso
a los RAS soporta los protocolos CHAP, MS-CHAP y PAP.
de forma segura. Por otra parte, este protocolo es ampliamente soportado por la plataforma
Windows de Microsoft, a la vez que existen clientes y servidores implementados en Linux,
FreeBSD, etc. Esta caracterstica, lo hace sumamente interesante al momento de implementar
VPNs de bajo costo, utilizando a tal efecto, el software que se encuentra disponible en la mayora
de las empresas y clientes remotos. De la misma forma, su posibilidad multiprotocolo, hace de
PPTP una opcin sumamente atractiva en aquellos casos donde existe necesidad de conectar
redes de protocolos dismiles. En contraposicin a las ventajas observadas, sin dudas su limitacin
ms importante, se encuentre relacionada con algunas falencias de seguridad tanto en su diseo,
como en algunas de sus implementaciones, las cuales con el paso del tiempo, han vuelto a este
protocolo menos seguro y algo obsoleto en relacin a nuevas propuestas, como por ejemplo L2TP.
de forma tal que ste pueda ser transportado por una red utilizando otro protocolo, no slo ha
resultado atractiva, sino tambin til y eficiente.
GRE, son las siglas de Generic Routing Encapsulation y se consolid como una respuesta
acertada de CISCO y del grupo de personas que trabajaron en su desarrollo, en torno a resolver los
inconvenientes relativos a la encapsulacin de protocolos, manifestados hasta el momento.
Hasta la aparicin de GRE, protocolos como Internet Protocol Encapsulation of AX.25 (IPEAX,
RFC 1226) que permitan la encapsulacin de frames X.25 dentro de paquetes IP, o propuestas
como la de Novell de Junio de 1991: Tunneling IPX traffic through IP networks (RFC 1234), que
haca lo propio con paquetes IPX a travs de redes IP, cumplan con su cometido pero slo lo
hacan con tipo de protocolos para el cual haban sido desarrollados. En este punto es donde GRE
ha conseguido diferenciarse del resto.
Debido a su concepcin como protocolo de routing y encapsulamiento genrico, GRE ofrece a los
profesionales de Networking la posibilidad de conocer y administrar un slo protocolo de
encapsulamiento con el que pueden trabajar en diferentes plataformas y entornos operativos.
conexin de estos servicios, al permitir que una comunicacin no necesariamente deba terminar
en un NAS (Network Access Server) y s pueda terminar en un nodo local.
Al margen de esta particularidad, L2TP es un protocolo de tunneling y como tal brinda la
capacidad de transportar mltiples protocolos. De esta forma IP, IPX y SNA se encuentran
soportados.
Caractersticas:
Utiliza Network Control Protocol (NCP) para negociar la asignacin de una direccin IP
Provee los mismos mtodos de autenticacin que PPP, PAP (Password Authentication
Protocol) y CHAP (Challenge Handshake Authentication Protocol)
superior que debe encapsularse (IPX, DECNET, etc.). El protocolo encapsulador indica el protocolo
que ser empleado para la creacin, mantenimiento y terminacin del tnel de comunicacin
(L2F). Por ltimo, el protocolo portador es el encargado de realizar el transporte de todo el
conjunto. Por lo general, este protocolo suele ser IP, dadas sus capacidades de enrutamiento, su
acople a los diferentes medios y su carcter de estndar en el mbito de Internet.
Entre las principales ventajas que ofrece L2F es posible mencionar su soporte multiprotocolo, la
existencia de un menor overhead en comparacin con PPTP, la multiplexacin de numerosas
sesiones remotas (minimizando el nmero de tneles abiertos en un momento dado), y la gestin
dinmica de los tneles, en la cual los recursos de los servidores de acceso a la red se minimizan al
iniciar los tneles nicamente cuando existe trfico de usuario. Adems, por cada tnel L2F
establecido, el proceso de seguridad genera una clave aleatoria como medida de prevencin ante
posibles ataques basados en spoofing. A su vez, en el interior de los tneles, cada una de las
sesiones multiplexadas mantendr un nmero de secuencia para evitar problemas debidos a la
duplicidad de paquetes.
terminacin PPP. LNS gestiona el lado del servidor del protocolo L2TP. Ya que L2TP se apoya sobre
el medio al que llegan los tneles L2TP, LNS slo puede tener una nica interfaz LAN o WAN,
aunque es capaz de terminar las llamadas entrantes en cualquiera de la amplia gama de las
interfaces PPP LAC (asncronos, ISDN, PPP sobre ATM, PPP sobre Frame Relay). Se localiza del lado
de la red corporativa.
NAS (Network Access Server): Este dispositivo proporciona a los usuarios acceso temporal a la red
bajo demanda. Este acceso es punto a punto, de uso tpico en lneas de la red telefnica
convencional o ISDN. En la implementacin Cisco, un NAS sirve como LAC. Mediante los
mencionados componentes, el protocolo L2TP, posibilita el encapsulamiento de diferentes
protocolos, haciendo uso de las capacidades de PPP a la vez que incorpora, facilidades mejoradas
y una integracin estupenda con IPSec (Protocolo que estudiaremos en detalle, en nuestra
prxima seccin).
memos, mediante los cuales se presentara en sociedad un nuevo protocolo denominado IPSec (IP
Security).
Segn lo definido oportunamente por el IETF (Internet Engineering Task Force), IPSec es un
conjunto de estndares abiertos, tendientes a asegurar la privacidad y seguridad de las
comunicaciones sobre redes IP, por medio del uso de servicios criptogrficos. Esta definicin, nos
permite entrever algunos de los aspectos ms importantes detrs de IPSec, comenzando con el
trmino estndares abiertos, lo cual representa sin lugar a dudas un buen comienzo.
Cuando IETF hace mencin a estndares abiertos, se refiere a que, a diferencia de otros mtodos
de comunicacin segura, IPSec no se encuentra limitado a algn sistema o algoritmo de
autentificacin o encriptacin en particular, permitiendo a quien decida implementarlo, escoger
entre distintos mtodos o conjuntos de mtodos estndares que se utilizarn como parte de dicha
implementacin.
En concordancia con lo enunciado en el RFC 2401, IPSec se ha diseado con el objeto de
proporcionar interoperabilidad, alta calidad y seguridad basada en criptografa no slo para IPv6
donde es mandatario, sino tambin en IPv4.
El conjunto de servicios de seguridad ofrecidos por IPSec, incluye control de acceso,
confidencialidad, integridad, autentificacin del origen de datos, antireplay y no repudio (cuando
se utiliza Firma Digital como medio de autenticacin).
Una de las particularidades de IPSec, es que a diferencia de alguno de los viejos conjuntos de
estndares, en los cuales la seguridad se aplicaba sobre la capa de aplicacin del modelo OSI,
IPSec hace lo propio en la capa de red. Al funcionar de esta forma, la proteccin se hace efectiva
para la capa IP y/o los protocolos de capa superior, transformndose en la mayora de las
oportunidades, en una solucin sumamente transparente en relacin a las aplicaciones.
De acuerdo a sus caractersticas, IPSec se ha transformado en la actualidad, en el mtodo
obligado, a la hora de implementar sistemas del tipo VPNs que requieran atravesar con seguridad
un medio pblico, como por ejemplo Internet.
En las prximas secciones, recorreremos cada uno de los componentes de esta tecnologa, a la vez
que intentaremos describir el funcionamiento de cada uno de ellos.
11.6.1 Componentes
IPSec es considerado un grupo de extensiones de la familia del protocolo IP. Como tal, su
funcionalidad se encuentra basada en un conjunto de componentes, cada uno con funciones
especficas claramente definidas.
Recordemos, por cierto, que las tres principales condiciones de una mensajera segura son:
Privacidad o Confidencialidad: que el mensaje sea ledo slo por el destinatario previsto.
Autenticacin: que el mensaje venga de quin dice que viene.
Integridad: que el mensaje no haya sido modificado en su camino entre los extremos.
A modo de introduccin, mencionaremos brevemente en la presente seccin, algunos de estos
componentes principales que garantizan estas condiciones y algunas otras complementarias como
red interna. Esta operatoria, permite que cada uno de estos host se comunique en forma segura
con el gateway implementado a tal fin, sin la necesidad de que IPSec est presente en cada uno de
ellos. Debido a esta operatoria, solemos referirnos al modo tnel, como modo transparente,
puesto que su funcionamiento, hace que los clientes finales en cada uno de los extremos, por lo
general no se enteren de que IPSec est protegiendo el trfico de sus comunicaciones.
El modo tnel, suele ser utilizado entre dispositivos de frontera, en aquellos casos donde se
requiere proteccin transparente sobre redes no confiables. Como caracterstica particular, en
este tipo de implementaciones, la cabecera exterior puede poseer direcciones origen y destino
diferentes a la cabecera interna (encapsulada), puesto que se crea un nuevo encabezado IP con las
direcciones IP de los gateways de origen y destino. Respecto de los protocolos IPSec en este modo,
ESP cifra y opcionalmente autentica el paquete IP interno, mientras que AH autentica el paquete
IP interno y parte de la cabecera IP externa.
En resumen, el modo tnel provee seguridad para el paquete IP completo, puesto que el paquete
IP original es encriptado, encapsulado en un nuevo paquete IP y la direccin IP externa, es la
utilizada para rutear el paquete a travs de Internet, pudiendo corresponder a las IP internas un
esquema de direccionamiento privado.
En el modo tnel, el datagrama original se encapsula entero, con su cabecera y sus datos, dentro
de otro datagrama. Este otro datagrama tendr una cabecera IP en la cual las direcciones de
origen y de destino sern las de los nodos inicio y nal de la SA. Por tanto, se dice que entre estos
dos nodos hay un tnel dentro del cual viajan intactos los datagramas originales. A continuacin
de la cabecera IP del datagrama externo hay la cabecera AH o ESP.
Modo Transporte: Este modo suele ser el indicado en aquellas circunstancias donde la seguridad
se establece de extremo a extremo, aplicndose solamente a las comunicaciones de Host a Host.
En este tipo de escenarios, cada host realiza la encapsulacin de sus propios datos, requirindose
la ejecucin de IPSec, en ambos puntos de la conexin, determinando de esta forma, que cada
extremo de una comunicacin IPSec, signifique a su vez, el final mismo de la aplicacin. Cuando el
modo transporte es implementado se asegura la proteccin de la carga til IP. En este esquema,
ESP cifra y opcionalmente autentica el campo de datos de IP, mientras que AH autentica campo de
datos de IP y parte de la cabecera. En modo transporte, el encabezado IPSec se inserta entre el
encabezado IP y el encabezado siguiente, generalmente de Capa 4 (TCP o UDP). El modo
transporte, protege la carga til de los paquetes pero mantiene la informacin referente a
direcciones IP en texto claro, puesto que sta es utilizada para rutear los paquetes a travs de
Internet. Es importante tener en cuenta, que en esta modalidad, los datos de los paquetes bajo
IPSec viajan encriptados tanto en la red pblica (Internet) como en la propia LAN de los extremos.
En el modo transporte, la cabecera AH o ESP se incluye despus de la cabecera IP convencional,
como si fuera una cabecera de un protocolo de nivel superior, y a continuacin van los datos del
datagrama (por ejemplo, un segmento TCP con su cabecera correspondiente, etc.).
El protocolo IP prev que un datagrama se pueda fragmentar, y se puede dar el caso que los
fragmentos de un mismo datagrama vayan por caminos diferentes hasta llegar a su destino nal.
Esto representara un problema en una SA entre pasarelas seguras (o entre un nodo extremo y una
pasarela segura) si se utilizara el modo transporte: por ejemplo, algunos fragmentos podran
quedar sin proteger, otros podran resultar indescifrables porque no han pasado por la pasarela
que los haba de descifrar, etc. Para evitar estas situaciones, en IPsec slo se permite el modo
transporte en las SA extremo a extremo.
El modo tnel no tiene este problema porque, aunque la SA sea entre pasarelas, cada datagrama
tiene como direccin de destino la del nodo que hay al nal del tnel, y todos los fragmentos
nalmente tienen que llegar a este nodo. Por tanto, el modo tnel se puede utilizar en cualquier
SA, tanto si es extremo a extremo como si interviene una pasarela segura.
11.6.3 Protocolo AH
AH (IP Autentication Header o Cabecera de Autenticacin IP) definido en el RFC 2406 es utilizado
en IPSec, a fin de proveer integridad y autenticacin del origen de datos para los datagramas IP,
pudiendo opcionalmente, proporcionar proteccin a la rplica por parte del receptor, cuando se
establece una asociacin de seguridad (puesto que esto se logra incrementando un nmero de
secuencia, este ltimo servicio slo ser eficaz en aquellos casos donde el receptor, controla este
nmero de secuencia.). Como mencionramos en su descripcin general, AH realiza su mejor
intento a la hora de proteger cabeceras IP y datos de los protocolos superiores. Sin embargo,
puesto que el valor de algunos campos de la cabecera IP puede cambiar en trnsito, el paquete
finalmente en poder del receptor, puede no ser fiable. Los valores de tales campos no se pueden
proteger por AH, lo que provoca en definitiva, que la proteccin proporcionada por AH a la
cabecera IP sea un tanto fragmentaria.
AH, puede ser aplicado slo, en combinacin con ESP o lo que es an ms comn, como parte del
modo tnel. Como el resto de los servicios de seguridad incluidos en IPSec, AH puede ser utilizado
en comunicaciones host a host, entre gateways, o en una combinacin de gateways y host. A
diferencia de ESP (IP Encapsulating Security Payload), AH no provee encriptacin y por ende
confidencialidad, como parte de su funcionamiento.
AH, se identifica en IPv4, con el valor 51 en el campo protocolo. Su formato, contiene
fundamentalmente, un valor de 32-bit en el sector indicado como SPI (ndice de parmetro de
seguridad), que en combinacin con la IP destino y el protocolo de seguridad (AH) identifica
unvocamente la asociacin de seguridad (SA) para este datagrama. Un nmero de secuencia de
32-bit, utilizado al momento de actuar como prevencin a la rplica y un campo de longitud
variable, conteniendo el valor HMAC del paquete.
Por ltimo, si bien es cierto que AH y ESP, ofrecen servicios similares, algunas de las razones del
uso de AH, se encuentran relacionadas con su bajo overhead respecto de ESP, su utilizacin
mandataria en IPv6 y el hecho de que por su concepcin, no existan restricciones en cuanto a su
exportacin.
11.6.6 Compresin IP
En aquellos entornos donde la decisin de proveer servicios de encriptacin a un conjunto de
datos en trnsito se lleva a la prctica, es inevitable el impacto negativo obtenido. Esto se debe
bsicamente a dos aspectos claves, el tiempo de procesamiento en los extremos a la hora de
encriptar y des-encriptar la informacin y, el tamao efectivo de los paquetes a ser transmitidos.
A fin de solucionar el segundo de estos inconvenientes, varias alternativas de compresin de datos
han sido discutidas a lo largo de los ltimos aos. Algunos RFCs se han encargado incluso de echar
luz sobre alguno de los aspectos relacionados con este asunto, tal es el caso del RFC 2393. Uno de
los principales problemas a los que se enfrenta la compresin IP, en particular al momento de ser
aplicada en conjunto con IPSec, se encuentra relacionado con la prdida de datos innata en todo
proceso de compresin.
11.6.9 IKE
En Noviembre de 1998, se presentaba el RFC 2409, mediante el cual se defina un protocolo
conocido como IKE (Internet Key Exchange), el cual valindose del agrupamiento de
implementaciones previas en relacin a algunas de las particularidades del manejo de claves, se
convertira rpidamente en el protocolo utilizado en las implementaciones IPSec.
IKE negocia en forma automtica las Asociaciones de Seguridad (SA) de IPSec, permitiendo su
utilizacin sin preconfiguracin manual. Este esquema de manejo automtico de claves es
necesario para el servicio antireplay, ya que en el mismo se debe cerrar la SA actual y abrir una
nueva en determinada situacin para evitar el ciclado del contador de secuencia, dado que estos
nmeros de secuencia son los que permiten la implementacin del mencionado servicio de
seguridad.
Tal como se encuentra referido en su RFC, IKE se encuentra basado en ISAKMP (Internet Security
Association and Key Management Protocol), el cual provee un marco de trabajo (ms
concretamente pasos) para la autenticacin y el intercambio de claves, pero no define ste.
OAKLEY, el cual describe una serie de intercambios de claves llamados modos y detalla el tipo de
servicio provisto por cada uno (por ejemplo: Re-envo del Secreto Perfecto, Proteccin de
Identidad y Autenticacin). Por ltimo SKEME, donde se describe una tcnica sumamente verstil
de intercambio de claves, la cual provee anonimato, repudiabilidad y un rpido refresco de claves.
En resumen, IKE es un protocolo que utiliza parte de OAKLEY y parte de SKEME, en conjunto con
ISAKMP, a fin de obtener un protocolo capaz de trabajar en forma segura con asociaciones de
seguridad en protocolos como AH y ESP.
IKE provee como parte de su funcionamiento, los siguientes beneficios:
Permite que las claves de encriptacin cambien durante una sesin IPSec.
La proteccin a nivel de red garantiza que los datos que se enven a los protocolos de nivel
superior, como TCP o UDP, se transmitirn protegidos. El inconveniente es que puede ser
necesario adaptar la infraestructura de la red y, en particular los encaminadores (routers),
para que entiendan las extensiones que es preciso aadir al protocolo de red (IP) para
proporcionar esta seguridad.
La proteccin a nivel de transporte, por su lado, tiene la ventaja de que slo se precisa
adaptar las implementaciones de los protocolos (TCP, UDP, etc.) que haya en los nodos
extremos de la comunicacin, que normalmente estn incorporadas al sistema operativo o
en libreras especializadas. En este caso, pues, slo sera necesario un cambio en el
software.
El objetivo inicial del diseo del protocolo SSL fue proteger las conexiones entre clientes y
servidores web con el protocolo HTTP. Esta proteccin deba permitir al cliente asegurarse que se
haba conectado al servidor autntico, y enviarle datos confidenciales, como por ejemplo un
nmero de tarjeta de crdito, con la confianza que nadie ms que el servidor sera capaz de ver
estos datos. Las funciones de seguridad, pero, no se implementaron directamente en el protocolo
de aplicacin HTTP, si no que se opt por introducirlas a nivel de transporte. De este modo podra
haber muchas ms aplicaciones que hicieran uso de esta funcionalidad.
Una caracterstica distintiva del WTLS es que no solamente permite proteger conexiones TCP,
como hacen SSL y TLS, si no que tambin define un mecanismo de proteccin para las
comunicaciones en modo datagrama, usadas en diversas aplicaciones mviles.
Los servicios de seguridad que proporcionan los protocolos SSL/TLS son:
Condencialidad. El ujo normal de informacin en una conexin SSL/TLS consiste en
intercambiar paquetes con datos cifrados mediante claves simtricas (por motivos de eciencia y
rapidez). Al inicio de cada sesin, cliente y servidor se ponen de acuerdo en que claves utilizarn
para cifrar los datos. Siempre se utilizan dos claves distintas: una para los paquetes enviados del
cliente al servidor, y la otra para los paquetes enviados en sentido contrario.
Para evitar que un intruso que est escuchando el dilogo inicial pueda saber cuales son las claves
acordadas, se sigue un mecanismo seguro de intercambio de claves, basado en criptografa de
clave pblica. El algoritmo concreto para este intercambio tambin se negocia durante el
establecimiento de la conexin.
Autenticacin de entidad. Con un protocolo de reto-respuesta basado en rmas digitales el
cliente pude conrmar la identidad del servidor al cual se ha conectado. Para validar las rmas el
cliente necesita conocer la clave pblica del servidor, y esto normalmente se realiza a travs de
certicados digitales.
SSL/TLS tambin prev la autenticacin del cliente frente al servidor. Esta posibilidad, pero, no se
usa tan a menudo porque muchas veces, en lugar de autenticar automticamente el cliente a nivel
de transporte, las mismas aplicaciones utilizan su propio mtodo de autenticacin.
Autenticacin de mensaje. Cada paquete enviado en una conexin SSL/TLS, a ms de ir cifrado,
puede incorporar un cdigo MAC para que el destinatario compruebe que nadie ha modicado el
paquete. Las claves secretas par el clculo de los cdigos MAC (una para cada sentido) tambin se
acuerdan de forma segura en el dilogo inicial.
Un ejemplo de autenticacin de cliente a nivel de aplicacin son las contraseas que pueden
introducir los usuarios en formularios HTML. Si la aplicacin utiliza este mtodo, al servidor ya no
le hace falta autenticar al cliente a nivel de transporte.
Una situacin tpica en que se utiliza SSL/TLS es la de un navegador web que accede a una pgina
HTML que contiene imgenes: con HTTP no persistente (el nico modo denido en HTTP 1.0),
esto requiere una primera conexin para la pgina y a continuacin tantas conexiones como
imgenes haya. Si las conexiones pertenecen a la misma sesin SSL/TLS, slo hace falta realizar la
negociacin una vez.
A ms, los protocolos SSL/TLS estn diseados con estos criterios adicionales:
Eciencia. Dos de las caractersticas de SSL/TLS, la denicin de sesiones y la compresin de los
datos, permiten mejorar la eciencia de la comunicacin.
Extensibilidad. Al inicio de cada sesin, cliente y servidor negocian los algoritmos que utilizarn
para el intercambio de claves, la autenticacin y el cifrado (a ms del algoritmo de compresin).
Las especicaciones de los protocolos incluyen unas combinaciones predenidas de algoritmos
criptogrcos, pero dejan abierta la posibilidad de aadir nuevos algoritmos si se descubren otros
que sean ms ecientes o ms seguros.
La capa de transporte seguro que proporciona SSL/TLS se puede considerar dividida en dos
subcapas.
En la subcapa inferior, estos mensajes son estructurados en registros a los cuales se les
aplica, segn corresponda, la compresin, la autenticacin y el cifrado.
El protocolo de registros SSL/TLS es el que permite que los datos protegidos sean
convenientemente codicados por el emisor y interpretados por el receptor. Los parmetros
necesarios para la proteccin, como pueden ser los algoritmos y las claves, se establecen de forma
segura al inicio de la conexin mediante el protocolo de negociacin SSL/TLS.
El protocolo de registros SSL/TLS se encarga de formar cada registro con sus campos
correspondientes, calcular el MAC, y cifrar los datos, el MAC y el padding con los algoritmos y las
claves que pertocan. En la fase de negociacin, mientras no se hayan acordado los algoritmos, los
contenido nal descifrado, solamente sabr que ser distinto al original). Si pasa esto, el receptor
detectar que el paquete ha sido alterado porque el cdigo de autenticacin (MAC) casi con total
seguridad ser incorrecto.
Si la alteracin se realiza en los mensajes de negociacin cuando aun no se aplica ningn cdigo
MAC, con la nalidad por ejemplo de forzar la adopcin de algoritmos criptogrcos ms dbiles y
vulnerables, esta manipulacin ser detectada en la vericacin de los mensajes Finished.
Repeticin, eliminacin o reordenacin de paquetes. Si el atacante vuelve a enviar un paquete
correcto que ya haba sido enviado antes, o suprime algn paquete haciendo que no llegue a su
destino, o los cambia de orden, el receptor lo detectar porque los cdigos MAC no coincidirn
con el valor esperado. Esto es as porque en el clculo del MAC se utiliza un nmero de secuencia
que se va incrementando en cada paquete. Tampoco se pueden copiar los mensajes enviados en
un sentido (de cliente a servidor o de servidor a cliente) al sentido contrario, porque en los dos
ujos de la comunicacin se utilizan claves de cifrado y de MAC diferentes. Como consideracin
nal, cabe destacar que la fortaleza de los protocolos seguros recae no solamente en su diseo si
no en el de las implementaciones. Si una implementacin solamente soporta algoritmos
criptogrcos dbiles (con pocos bits de clave), o genera nmeros pseudoaleatrios fcilmente
predecibles, o guarda los valores secretos en almacenamiento (memoria o disco) accesible por
atacantes, etc., no estar garantizando la seguridad del protocolo.
11.7 PREGUNTAS
Qu utiliza IPSec para negociar en forma automtica las Asociaciones de Seguridad? IKE
Cules son redes de transporte vlidas para la implementacin de L2TP? ATM, IP, X.25
Cules de las siguientes son ventajas de una implementacin VPN? Bajo costo,
Accesibilidad
Cules son los protocolos de los cuales deriva L2TP? L2F, PPTP
CAPTULO 12
12.1 SEGURIDAD EN E-COMMERCE
Seguramente han sido muchas, las veces que hemos escuchado en boca de empresarios,
responsables de reas de tecnologa y pblico en general, la frase Internet ha cambiado la forma
de hacer negocios. A tan solo algunos aos del surgimiento de Internet como plataforma global
de comunicaciones, ya eran varios los emprendedores que, con visin de futuro y un porcentaje
de riesgo importante, apostaban al desarrollo de un mercado, que poco tiempo despus, se
convertira quizs, en uno de los mbitos ms prominentes para el desarrollo comercial.
A lo largo de esta unidad, estudiaremos los principales conceptos detrs de las transacciones
comerciales en general y del comercio electrnico en particular. Revisaremos algunas de las
tecnologas claves que asisten a los profesionales de seguridad informtica a la hora de disear
una plataforma de cmputo segura orientada especficamente a brindar servicios de E-Commerce,
y nos detendremos a evaluar aquellos aspectos que no siendo tcnicos, influyen en su mbito de
aplicacin.
Cul es la diferencia entre HTTP y HTML? El protocolo de transferencia de hipertexto (HTTP) es
un protocolo de nivel de aplicacin del stack TCP/IP que define una serie de mtodos e
instrucciones simples, basadas en ASCII, para comunicar al servidor Web con el cliente (Browser)
mientras que HTML (Lenguaje de marcas de hipertexto) es el lenguaje definido por medio de una
serie de etiquetas que establecen las caractersticas y el formato de los elementos dispuestos en
un documento Web.
Qu ventajas y desventajas poseen las aplicaciones CGI? Las aplicaciones CGI (Interfaz Comn
de Gateway) son una forma flexible y potente al momento de generar contenidos Web dinmicos,
permitiendo nutrir al sitio Web a partir de informacin ingresada por los clientes y as personalizar
la informacin. Por otro lado, muchas veces, las malas prcticas de programacin en estos
componentes generan un grave riesgo desde el punto de vista de la seguridad.
Cul es la ventaja de un escner de vulnerabilidades? Es una herramienta de evaluacin de
vulnerabilidades que buscar determinar, en los dispositivos de la red, los puertos abiertos y las
vulnerabilidades o exploits conocidos, entorno a las aplicaciones o servicios que se encuentren
activos en stos.
Qu caractersticas debe cumplir una comunicacin segura? Debe satisfacer 4 requisitos a saber:
privacidad o confidencialidad del mensaje, garantizando su interpretacin por parte del
destinatario previsto, identificacin del remitente, integridad del contenido del mensaje y
conocimiento de la recepcin.
Dicha conexin, suele realizarse en la mayora de los casos, por medio de un tipo de software
cliente denominado browser, el cual interpreta de una determinada forma, la informacin
contenida en el servidor que se encuentra publicando el servicio a acceder, y la presenta al cliente
que realizar el requerimiento. Pero la tecnologa no se detiene y es importante mencionar que en
este ltimo tiempo, el trmino de Servicio WEB, ha comenzado a ser utilizado para hacer
referencia a un pequeo grupo de componentes, desarrollados sobre tecnologas web, que a
travs de una interfaz claramente definida y conocida, puede ser accedidos a travs de Internet de
la misma forma que una pgina web, pero que apuntan a cambiar una Internet centrada en las
personas, y basada en los contenidos, a aquella que se piensa, estar centrada en aplicaciones y
basada en servicios.
HTML son las siglas de Lenguaje de Marcado de Hipertexto y como su nombre lo indica, se
define como una serie de etiquetas que sern las responsables de establecer el formato o las
caractersticas de los elementos dispuestos en un documento. En HTML, las etiquetas se
encuentran delimitadas por caracteres del tipo < y >, y su funcin es la de delimitar un
conjunto de formatos y funcionalidades definidas en la especificacin HTML. El funcionamiento de
HTML, es sumamente sencillo. Cuando se visualiza un documento escrito en HTML, en un
explorador Web, este interpreta las etiquetas y su funcin especfica, y muestra el resultado de la
misma. A pesar de ser el primer lenguaje utilizado al momento de presentar pginas Web, HTML
sigue siendo una tecnologa ampliamente utilizada en la actualidad.
ASP, son las siglas de Activate Server Pages, designadas para definir una tecnologa introducida
por Microsoft en 1996. Es parte del Internet Information Server (IIS) desde la versin 3.0 y es una
tecnologa de pginas activas que permite el uso de diferentes scripts y componentes en conjunto
con el tradicional HTML para mostrar pginas generadas dinmicamente.
ASP es una tecnologa dinmica funcionando del lado del servidor, por lo tanto, cuando un usuario
solicita un documento ASP a un servidor web, las instrucciones de programacin dentro del script
(Documento ASP) son ejecutadas para enviar al navegador nicamente el cdigo HTML resultante.
Una de las principales ventajas detrs de ASP, radica en la seguridad que tiene el programador
sobre su cdigo, ya que ste se encuentra nicamente en los archivos del servidor que al ser
solicitado a travs del web, es ejecutado, por lo que los usuario no tienen acceso ms que a la
pgina resultante en su navegador.
Es un lenguaje multiplataforma.
Capacidad de conexin con la mayora de los manejadores de base de datos que se utilizan
en la actualidad, destaca su conectividad con MySQL.
Posee una amplia documentacin en su pgina oficial ([2]), entre la cual se destaca que
todas las funciones del sistema estn explicadas y ejemplificadas en un nico archivo de
ayuda.
Es libre, por lo que se presenta como una alternativa de fcil acceso para todos.
JavaServer Pages (JSP) es una tecnologa Java que permite generar contenido dinmico para web,
en forma de documentos HTML, XML o de otro tipo.
Esta tecnologa es un desarrollo de la compaa Sun Microsystems. La Especificacin JSP 1.2 fue la
primera que se liber y en la actualidad est disponible la Especificacin JSP 2.1.
Las JSP's permiten la utilizacin de cdigo Java mediante scripts. Adems, es posible utilizar
algunas acciones JSP predefinidas mediante etiquetas. Estas etiquetas pueden ser enriquecidas
mediante la utilizacin de Libreras de Etiquetas (TagLibs o Tag Libraries) externas e incluso
personalizadas. JSP puede considerarse como una manera alternativa, y simplificada, de construir
servlets. Es por ello que una pgina JSP puede hacer todo lo que un servlet puede hacer, y
viceversa. Cada versin de la especificacin de JSP est fuertemente vinculada a una versin en
particular de la especificacin de servlets.
El funcionamiento general de la tecnologa JSP es que el Servidor de Aplicaciones interpreta el
cdigo contenido en la pgina JSP para construir el cdigo Java del servlet a generar. Este servlet
ser el que genere el documento (tpica mente HTML) que se presentar en la pantalla del
Navegador del usuario.
En JSP se crean pginas de manera parecida a como se crean en ASP o PHP. Generamos archivos
con extensin .jsp que incluyen, dentro de la estructura de etiquetas HTML, las sentencias Java a
ejecutar en el servidor. Antes de que sean funcionales los archivos, el motor JSP lleva a cabo una
fase de traduccin de esa pgina en un servlet, implementado en un archivo class (Byte codes de
Java). Esta fase de traduccin se lleva a cabo habitualmente cuando se recibe la primera solicitud
de la pgina .jsp, aunque existe la opcin de pre compilar en cdigo para evitar ese tiempo de
espera la primera vez que un cliente solicita la pgina.
12.2.3 Arquitectura
Como todo proyecto, el desarrollo y puesta en marcha de un sitio web, comienza con la definicin
implementados con mayor o menor grado de xito, por desarrolladores web y oficiales de
seguridad. Entre los ms frecuentes se encuentran:
Autenticacin basada en formularios Suele ser uno de los mtodos ms utilizados a la hora
de solicitar identificacin On-Line. En este escenario, se solicita por medio de un formulario
diseado a tal efecto, nombre de usuario y contrasea, tras lo cual se intenta validar el
usuario ya sea contra un archivo plano almacenado localmente en el webserver, una base
de datos en backend o algn otro tipo de soporte de datos.
Autenticacin Bsica Este mtodo, fue uno de los primeros implementados y se basa en la
codificacin en base64, de la informacin de usuario y contrasea proporcionada por el
usuario que solicita el acceso.
Autenticacin Digest (Resumen) Cuando el mtodo de autenticacin seleccionado es aquel
basado en Digest, el funcionamiento del proceso relacionado, es idntico al utilizado en un
esquema de autenticacin bsica, con la nica diferencia que en este caso la informacin
de usuario y contrasea en trnsito, se resumen utilizando un algoritmo criptogrfico como
MD5.
NTLM Se trata de un mtodo de autenticacin propiedad de Microsoft, por medio del cual
se implementa el esquema LM (Lan Manager) en las cabeceras de solicitud y respuesta
HTTP.
Microsoft Passport Es uno de los mtodos ms novedosos. Utiliza claves compartidas entre
Microsoft y sitios asociados, as como tambin informacin dispuesta en cookies. Cuando
es implementado, permite a los sitios web asociados a este servicio, autenticar usuarios
basndose en su afiliacin al servicio Microsoft Passport Single Sing-In
En plataformas Unix/Linux desactivar todos aquellos programas que hagan uso del bit
setuserid o setgroupid
instalar parches de Kernel que hagan que el espacio de la pila no sea ejecutable (ejemplo
Grsecurity)
12.2.11 Scripts
Los Scripts son una poderosa herramienta, a la hora de automatizar tareas repetitivas, que
realizadas de otra forma, llevaran mucho ms tiempo o seran susceptibles a algunos de los
tpicos errores humanos por repeticin. Los administradores no son la excepcin y puesto que, un
Script representa una forma ordenada de ejecutar instrucciones tendientes a realizar algn tipo de
accin, suelen codificar sus propios Scripts en lenguajes como Sh (Bourne Shell), TCL, WScript,
JScript, VBScript, ADSI e inclusive Perl, a fin de aliviar su tarea diaria. Como toda secuencia de
comandos o cdigo de programacin, un Script administrativo, mal programado, u olvidado en un
servidor web, puede representar un riesgo potencial. Puesto que con el transcurso de los aos, la
tecnologa de Scripting ha avanzado hasta constituirse en muchos casos, en poderosos lenguajes
capaces de interactuar con algunas de las caractersticas ms importantes del sistema operativo
en el que corren, el dao que son capaces de causar bajo el control de un atacante, es
inversamente proporcional a las ventajas que significan para un buen administrador. En otro
orden, suelen identificarse aquellos Scripts que dispuestos en un sitio web, apuntan a dotar al
mismo de algn tipo de interactividad. En estos casos, una vez ms, defectos en su programacin,
o fallas en su implementacin, podran permitir una gran diversidad de ataques, que van desde la
utilizacin de su funcionalidad en provecho del atacante, hasta la accin de saltearse aquellas
restricciones, que el desarrollador web inexperto, intento implementar en su Website como parte
de su seguridad.
12.2.12 CGI
Como hemos visto en indicadores anteriores, un sitio web se encuentra conformado entre otros
componentes, por contenido esttico, el cual generalmente suele ser actualizado por el
administrador o webmaster y contenido dinmico, el cual es generado on-the-fly o en vuelo por
programas a tal efecto, dispuestos del lado de servidor. CGI, son las siglas de Common Gateway
Interface o Interfaz de Pasarela Comn, y precisamente su funcin es la de especificar la forma en
la que cliente y servidor, deben interactuar en un esquema web. A pesar de ello, comnmente
solemos utilizar el trmino CGI, para referirnos a aquellos programas que permiten desarrollar
poderosos guiones a la hora de mostrar contenido Web en forma dinmica. Desde su concepcin,
los programas CGI se han establecido como una de las formas ms potentes y flexibles a la hora de
generar contenidos dinmicos. Sin embargo, podemos establecer sin temor a equivocarnos, que
debido esencialmente, a malas prcticas de programacin, suele ser muy frecuente toparse con
programas CGIs mal escritos, lo cual significa un grave riesgo desde el punto de vista de la
seguridad (No olvidemos que un programa CGI, no es ni ms ni menos que cdigo ejecutable en
un servidor web!!, el cual la mayora de las veces se encuentra escrito en lenguajes tales como:
C/C++ , Fortran , PERL , TCL , Shell de Unix , Visual Basic , AppleScript, etc.) A lo largo de los aos
muchos han sido los programas CGIs que se han hecho famosos al ser descubiertos en ellos,
vulnerabilidades que permitan su explotacin. Distribuciones de Linux, y software de Microsoft,
han incorporado inclusive, cdigos de ejemplos o programas CGIs con graves deficiencias en su
codificacin. Muchas herramientas han sido desarrolladas a la hora de detectar CGIs
problemticos, pero sin lugar a dudas, ninguna de ellas merece ms formar parte del kit de
herramientas del profesional de seguridad informtica que Nikto. Nikto es una herramienta
basada el Lib Whisker, que incluye una gran base de datos con CGIs vulnerables, la cual utiliza al
momento de chequear un webserver, a fin de informar de coincidencias encontradas.
Contra medidas generales:
Eliminar la mayor cantidad de CGIs que sean incluidos como parte de la instalacin
estndar de un Web Server
No ejecutar bajo ningn punto de vista CGIs que no hayan sido programados
concienzudamente y auditados por personal calificado
Al programar CGIs, evitar dar por contado que solo se recibirn los datos esperados.
Siempre debern ser verificados los datos recibidos.
al riesgo inherente a los controles ActiveX, el mismo se encuentra relacionado con la potencial
descarga y ejecucin de cdigo ejecutable al equipo vctima.
Contra medidas generales:
Utilizar usuarios sin privilegios al navegar por Internet, en combinacin con ACLs fuertes y
bien pensadas en los sistemas clientes
cdigo fuente es libre y a pesar de su largo historial de vulnerabilidades, la respuesta por parte de
la comunidad, respecto de la liberacin de parches, es excepcional.
Precisamente desde el punto de vista de su seguridad, muchas vulnerabilidades se han
encontrado y corregido en el software, pero por lo general, las mismas se encuentran relacionadas
con los mdulos de extensin y no con el ncleo mismo de Apache. Pero a qu nos referimos
con mdulos? La estructura de Apache se compone de un mdulo principal o kernel de producto,
y una serie de mdulos adicionales que se incorporan al mismo a fin de brindar alguna
funcionalidad en particular. Por ejemplo, requerir mod_perl para habilitar la posibilidad de
corrida de Scripts escritos en Perl, tanto como el mdulo mod_php4 para utilizar la
funcionalidad PHP4 al momento de servir este tipo de contenido.
Apache provee una serie de caractersticas avanzadas en cuanto al seteo de su seguridad, y la
totalidad de las mismas, pueden ser fcilmente configuradas por medio de los correspondientes
archivos de configuracin. Uno de los puntos ms significativos de este producto, es que al poseer
el cdigo fuente, una auditora completa es posible, al igual que el desarrollo de nuevas
funcionalidades.
Internet Information Server: Internet Information Server o IIS, constituye la solucin propuesta
por Microsoft a la hora de servir aplicaciones web en la plataforma Windows. De hecho, a partir
de Windows 2000 Internet Information Server es parte integral del sistema operativo, y no un
componente del famoso Option Pack entregado junto a Windows NT 4.0.
Una de las particularidades respecto de IIS, se encuentra relacionada con la implementacin de
sus mdulos de extensin en la figura de filtros ISAPI (Internet Server Application Programming
Interface), por medio del cual se puede precisamente extender la funcionalidad del servidor web,
desarrollando nuevas DLLs con un fin determinado. Desde un punto de vista de diseo, los filtros
ISAPI en conjunto con la utilizacin de secuencias ASP (Active Server Pages) brindan gran poder a
la hora de resolver situaciones complejas, que antes requeran la codificacin de lentos programas
CGIs. Desde el punto de vista de su seguridad, IIS, ha constituido un objetivo constante en la mira
de atacantes quienes vieron con asombro la frecuencia con la que a lo largo del tiempo, se
descubran vulnerabilidades tales como: los ataques de revelacin de cdigo fuente (:::$DATA), el
revelado de informacin mediante errores en la codificacin de guiones del estilo de
showcode.asp, el soporte para la ejecucin de comandos privilegiados en las consultas de bases
de datos de backend (MDAC/RDS) y ataques por desbordamiento de buffers como los
mencionados en el indicador 5.2.8. Al mismo tiempo, es justo decir que IIS, en sus versiones 5.0 y
6.0, ha mostrado ser una solucin madura capaz de soportar eficientemente el tunning necesario
a fin de proveer una plataforma web sumamente segura.
muy poco til sern las cerradas configuraciones por defecto de IIS 6.0, si lo primero que realiza
un administrador desprevenido, es habilitar todas sus caractersticas, cuando en realidad slo
requerira servir pginas estticas. Respecto de las consideraciones de seguridad, relativas a
servidores web en general y a IIS/Apache en particular, probablemente una de las ms
importantes sea aquella que dicta, la obligatoriedad de mantenerse actualizado en cuanto al nivel
de parches aparecidos para la plataforma administrada. Esto disminuir notablemente el riesgo de
ser atacados por un atacante por medio de alguna herramienta automtica que haga uso del
ltimo Exploit. De la misma forma, nada ser ms valioso para el profesional de seguridad
informtica, que el estar actualizado respecto de todos aquellos descubrimientos que se realizan a
diario en torno a los sistemas operativos y aplicativos con los que trabajamos frecuentemente. En
el rea multimedia, encontrar algunas de las listas de correo o fuentes de informacin
recomendables, a la hora de realizar esta tarea. Por ltimo, herramientas como las presentadas en
el rea multimedia, en conjunto con dispositivos IDS (como Snort), Firewalls, honeypots, polticas,
procedimientos, hardening de sistema operativo, etc. suelen ser necesarios, a la hora de disear
un ambiente de cmputo seguro, en torno a brindar servicios web.
Unos de los motivos principales que han hecho del correo electrnico, el servicio de Internet ms
utilizado a travs del tiempo, radica en las posibilidades que se desprenden de su utilizacin. Al
igual que otro tipo de tecnologas, el e-mail ha transformado la vida de gran parte de la poblacin
mundial, a la vez que ha contribuido en gran medida al desarrollo de los negocios y a la baja de
costos en comunicaciones, que de otra forma, requeriran de medios ms onerosos.
En la actualidad, muchas organizaciones dependen de una u otra forma de los servicios de
correo en ellas implementado. Esta dependencia, ha impactado directamente en los niveles de
disponibilidad, fiabilidad y seguridad que son requeridos a la hora de mantener este servicio
7x24x365 funcionando. Al mismo tiempo, el correo electrnico tal como fue inicialmente
concebido, ha evolucionado. Hoy da, algunos productos brindan funcionalidades adicionales,
generalmente relacionadas con soluciones de workflow, colaboracin, seguimiento de reuniones y
agendas compartidas. Estos servicios adicionales junto al servicio bsico de mensajera, hacen de
este tipo de herramientas, un potente instrumento a la hora de establecer un vnculo de
comunicacin efectivo. Pero no todo es tan sencillo a la hora de mantener un sitio de correo
electrnico funcionando. Problemas en las diferentes implementaciones, protocolos poco seguros,
riesgos y amenazas propios del medio pblico de transmisin de datos, y nuevos requerimientos a
la hora de incluir dispositivos mviles como clientes vlidos de nuestra solucin, hacen que se
requiera un cuidadoso diseo respecto de la seguridad necesaria, a la hora de cumplir con los
objetivos de negocio detrs de toda implementacin de un servidor de correo electrnico
corporativo.
12.3.1 Arquitectura
La arquitectura bsica detrs de una solucin de correo electrnico, se encuentra conformada por
una serie de componentes principales, cada uno de ellos con funciones claramente definidas,
entre las que se encuentran los procesos de trasmitir y administrar mensajes de correo
electrnico. Su funcionamiento en conjunto, es lo que permite aprovechar, este magnifico medio
de comunicacin. A continuacin, mencionaremos brevemente, cada uno de estos componentes
principales:
MUA (Mail User Agent, Agente de Usuario de Correo): El MUA (Mail User Agent, Agente de
Usuario de Correo), probablemente sea el componente con el que los usuarios suelen estar ms
familiarizados, puesto que precisamente, su funcin especfica es la de actuar como interfaz entre
el usuario final y el MTA (Mail Transfer Agent, Agente de transferencia de correo). Respecto de su
implementacin, el MUA no es ni ms ni menos que el software que conocemos como Cliente de
Correo Electrnico. Mediante su uso, es posible como mnimo, leer y escribir mensajes. Ejemplos
de este tipo de software, son: Microsoft Outlook, Outlook Express, Mutt, Pine, Eudora, Pegasus,
etc.
MTA (Mail Transfer Agent, Agente de Trasnferencia de Correo): Un programa MTA (Mail Transfer
Agent, Agente de Transferencia de Correo) transfiere los mensajes de correo electrnico entre
mquinas que usan el protocolo SMTP. Un mensaje puede pasar por varios MTA hasta llegar a su
destino final. Algunos de los MTA ms populares son: Sendmail, Qmail, Postfix, Exchange,
12.3.2 SMTP
SMTP, son las siglas de "Simple Mail Transfer Protocol" o Protocolo Simple de Transmisin de
Correo. Este protocolo fue publicado en Agosto de 1982 en el RFC 821, y su funcin principal, es
la de transmitir correo electrnico de manera confiable y eficiente, bien sea de cliente a servidor,
o entre servidores. En la pila de protocolos TCP/IP, SMTP se ubica en la capa de aplicacin y utiliza
como parte de su funcionamiento, el puerto 25 TCP.
El protocolo SMTP, define una serie de comandos y
mensajes, los cuales son utilizados al momento de
establecer y mantener una comunicacin o conversacin
entre las partes.
Desde el punto de vista de su funcionamiento, un
intercambio SMTP bsico, comienza con la emisin del
comando MAIL From: <Direccin de Correo Electrnico>
para iniciar el intercambio. El sistema que recibe este
comando, responde con un mensaje 250 para informar de
que se ha recibido el primer comando. A continuacin, el
sistema conectado comunica las direcciones de correo
electrnico para recibir el mensaje del sistema receptor,
seguido de un mensaje con el comando DATA. Este mensaje notifica al sistema receptor que la
siguiente parte de la comunicacin ser el cuerpo real del mensaje de correo electrnico. Cuando
el sistema conectado finaliza de enviar el mensaje de correo electrnico, coloca un punto sencillo
(.) en una lnea. A partir de ese momento, se considera que el mensaje se ha enviado.
Un aspecto importante respecto de SMTP, es que a diferencia de protocolos tales como IMAP4 o
POP3, este no requiere autenticacin en su forma ms bsica. Desde el punto de vista de su
seguridad, esto ha provocado la proliferacin de correo basura o spam, puesto que un usuario
remoto, puede en determinadas circunstancias, utilizar el sistema de otro para enviar correo a
listas completas de destinatarios, haciendo uso de los recursos y ancho de banda de dicho
sistema. Si bien es cierto que las aplicaciones SMTP actuales, han progresado en tal sentido al
minimizar este comportamiento y restringir las transmisiones de modo que slo los hosts
conocidos enven correo electrnico; este aspecto sumado a la caracterstica de protocolo en
texto plano propia de SMTP, deben ser puntos a considerar, a la hora de administrar seguridad.
Ejemplos de respuestas SMTP:
12.3.3 POP3
POP3, son las siglas de "Post Office Protocol " o Protocolo
de Oficina de Correo. POP3, fue hecho pblico en Mayo de
1991 mediante la publicacin del RFC 1225, el cual a su vez,
se encuentra basado en el RFC 918, publicado en Octubre
de 1984. La idea principal detrs de POP en general y POP3
en particular, se encuentra relacionada con la necesidad de
contar con un protocolo que permita a los clientes de
correo electrnico, recuperar mensajes de servidores
remotos y almacenarlos en forma local. En la pila de
protocolos TCP/IP, POP3 se ubica en la capa de aplicacin y
utiliza como parte de su funcionamiento, el puerto 110 TCP.
Debido
a
sus
caractersticas
de
recuperacin,
almacenamiento local y eliminacin de correos en el servidor central, POP3 suele ser uno de los
protocolos ms utilizados por usuarios finales.
Al mismo tiempo, POP3 funciona adecuadamente sin necesidad de utilizar una conexin
permanente a Internet o a cualquiera que sea la red que contenga el servidor de correo accedido.
A la hora de establecer una conexin a un servidor POP, el cliente de correo abre una conexin
TCP en el puerto 110 del servidor. Cuando la conexin se ha establecido, el servidor POP enva al
cliente POP una invitacin, tras lo cual las dos mquinas se envan entre s otros comandos y
respuestas especificadas en el protocolo. Como parte de esta comunicacin, al cliente POP se le
pide que se autentifique en lo que se denomina Estado de autenticacin, donde el nombre de
usuario y la contrasea del usuario se envan al servidor POP. Si la autenticacin es correcta, el
cliente POP pasa al Estado de transaccin, fase en la que se pueden utilizar comandos del tipo
LIST, RETR y DELE para mostrar, descargar y eliminar mensajes del servidor, respectivamente. Los
mensajes definidos para su eliminacin no se quitan realmente del servidor hasta que el cliente
POP enva el comando QUIT para terminar la sesin. En ese momento, el servidor POP pasa al
Estado de actualizacin, fase en la que se eliminan los mensajes marcados y se limpian todos los
recursos restantes de la sesin.
12.3.4 IMAP4
IMAP, son las siglas de Internet Message Access Protocol o Protocolo de Acceso a Mensajes de
Internet, el cual en su versin 4, se encuentra definido en el RFC 1730 desde Diciembre de 1994.
En el nivel ms bsico, IMAP4 consiste en un mtodo de acceso a mensajes almacenados
remotamente. Una de sus caractersticas principales, radica en que los mensajes de correo
electrnico administrados por este protocolo, se conservan en el servidor de correo remoto,
donde el usuario puede leerlos o eliminarlos, adems de cambiar el nombre o eliminar los
buzones de correo utilizados para su almacenamiento.
Al igual que el resto de los protocolos revisados en los
ltimos indicadores, el protocolo IMAP4, se ubica en la capa
de aplicacin del modelo TCP/IP y hace uso del puerto TCP
143 Debido a su funcionamiento, IMAP4 suele permitir al
usuario, una serie de posibilidades aadidas, que no se
encuentran en otros protocolos. Usuarios que se conectan a
Internet o a una red privada a travs de una conexin DialUp, suelen verse beneficiados por su uso, debido a que,
slo la informacin de cabecera del correo se obtiene
inicialmente, existe la posibilidad de visualizar stas, para
luego decidir posponer la descarga de aquellos mensajes
que por ejemplo, contengan archivos adjuntos de gran
tamao. De la misma manera, el usuario puede eliminar el correo electrnico que no le interesa
sin tener que ver antes el cuerpo del mensaje, lo cual evita tener que descargar un mensaje
mediante la conexin de red que utilicen.
volumen de SPAM o correo basura que recibimos a diario. Software especficamente escrito para
aprovecharse de esta condicin, suele ser utilizado por individuos sin escrpulos, que hacen uso
del tiempo de proceso y ancho de banda de terceros si autorizacin.
Como profesionales en seguridad, deberemos incluir como parte de nuestra rutina de control, el
testing de esta funcionalidad en los servidores de correo de nuestro cliente u organizacin, a fin
de detectar sistemas con servicio de Relay Abierto. Si bien es cierto que existe la posibilidad de
realizar dicha tarea ingresando comandos va Telnet al puerto 25, la mayora de las veces,
resultar ms prctico utilizar guiones automticos o herramientas especficamente pensadas para
dicha tarea. Relay Check , es un pequeo programa escrito en Perl, con la capacidad necesaria
para escanear la red en busca de host SMTP que permitan relaying. Otra posibilidad, es la de
utilizar alguno de los servicios On-Line. Un buen ejemplo de estos ltimos, es www.ordb.org
(Open Relay Database).
El proceso de configuracin de Relay, difiere de un software de servidor a otro. Las versiones 8.9 y
posteriores de Sendmail por ejemplo, rechazan de forma predeterminada el reenvio de correo. Lo
mismo ocurre con las versiones posteriores a la 0.91 de Qmail. A diferencia de estos ltimos,
Postfix ha rechazado siempre el reenvo de forma predeterminada. En el caso de los productos
Exchange de Microsoft, deber seguir las instrucciones descriptas en la siguiente URL:
http://www.ordb.org
copias de resguardo automatizadas, por medio del propio cliente de correo. Outlook por ejemplo,
permite ejecutar tareas peridicas de resguardo, con tan solo configurar una serie de opciones.
12.3.7 SPAM
Se utiliza el trmino Spam, para referirse a la prctica de enviar indiscriminadamente mensajes de
correo electrnico no solicitados. El Spam, suele ser tambin conocido como UCE (Unsolicited
Commercial Email) o UBE (Unsolicited Bulk Mail). Desde el punto de vista tcnico, generalmente
suele catalogarse un correo como Spam, cuando este es no solicitado y masivo a la vez.
No solicitado Porque el receptor no dio un permiso verificable al remitente para que este le
enve el mensaje.
Masivo Porque el mensaje es enviado como parte de una coleccin mayor de mensajes,
donde todos tienen idntico contenido.
En los ltimos aos, el Spam ha crecido a pasos agigantados. Se estima que aproximadamente el
70% del trfico internacional de correo electrnico es Spam. Estos valores, han hecho que un
manto de preocupacin generalizada, se cierna sobre la comunidad informtica en general.
Aquellos que realizan la accin de enviar correo masivo y no solicitado, se los conoce con el
trmino de Spammers. Muchas veces, sus servicios suelen ser contratados por empresas o
individuos, que pagan a estos por cantidad de correos enviados, otras, las propias compaas se
encargan de repartir cientos, miles o millones de correos al mes, intentando comunicar sus
productos. Muchas son las tcnicas utilizadas por los spammers a la hora de realizar su tarea, y
stas suelen ser cada vez ms avanzadas.
Como profesionales de seguridad informtica, existen una serie de tareas que podemos
emprender a efectos de reducir el potencial impacto del Spam en nuestras compaas o clientes:
1. Configurar en forma correcta nuestros servidores de correo, a fin de que los mismos no
posean, por ejemplo, un Servicio de Relay Abierto.
2. Implementar filtros (Bayesianos, De firma digital, Heursticos, etc.)
3. Configurar la utilizacin de listas negras del tipo RBL (Realtime Blackhole Lists), SBL de
Spamhouse, etc en nuestro servidor de correo electrnico.
4. Denunciar al Spammer frente al ISP (Internet Service Provider)
Desde el punto de vista legal, existen algunos lineamientos y recomendaciones prcticas, como las
presentadas en el rea multimedia, aunque ninguna ley especfica.
12.3.8 HOAX
Por lo general, suele utilizarse el trmino de Hoax (Broma o Engao), para referirse a un falso
virus, el cual no realiza por si mismo ninguna accin. Generalmente consiste en un mensaje de
correo electrnico en el que se alerta sobre la supuesta existencia de un nuevo virus que ningn
antivirus detecta. Este tipo de mensaje generalmente apela a tcnicas de ingeniera social,
mediante las que se insta a los usuarios a eliminar en forma manual, los supuestos archivos
infectados por este virus inexistente, generando de esta forma que el propietario del sistema sea
quien se auto-inflija el dao.Los Hoax ms efectivos, son aquellos que suelen distribuirse en
cadena. Algunos tienen textos alarmantes sobre catstrofes (virus informticos, perder el trabajo
o incluso la muerte) que pueden sucederle al usuario receptor del correo, si este no reenva el
mensaje a todos y cada uno de los contactos de su libreta de direcciones. Si bien es cierto que
muchos de estos mensajes o cadenas, pueden ser detenidos configurando determinado tipos de
reglas en nuestro software de administracin de contenidos, lo cierto es que el profesional en
seguridad informtica, deber implementar, planes de capacitacin especficos, dirigidos a los
usuarios del sitio que administra, a fin de explicar las consecuencias negativas (utilizacin de
ancho de banda, perdida de productividad, etc.) de este tipo de prcticas.
corriendo tan solo un servicio de Gateway de Correo Electrnico (Generalmente un Relay SMTP
convenientemente configurado), dispuesto en el permetro externo (pblico).
En su configuracin tpica, un esquema de este tipo funciona de la siguiente forma:
1. Un Gateway de Correo Electrnico (Tambin llamado Gateway SMTP) dispuesto sobre el
lado pblico de su esquema de filtrado (Por ejemplo dentro de su primer zona DMZ), se
configura para aceptar mails entrantes, provenientes de Internet, mediante un servicio
SMTP.
2. Este procesa el mail recibido, realiza los chequeos que fueran necesarios (Anti Spam,
Antivirus, Filtro de Contenidos, etc.) y reenva el correo al servidor de la zona segura, en
nuestra LAN interna.
De la misma forma, el Gateway de Correo Electrnico, recibe el correo saliente, proveniente del
servidor interno, ejecuta los chequeos que hayan sido planificados y finalmente enva el mismo a
travs de Internet. De esta manera, se logra fundamentalmente, no exponer el Servidor de Correo
en el cual se albergan los mailboxes, a una zona poco segura de nuestra DMZ.
Independientemente del control de virus, spam y contenido que se realiza en el equipo de Relay
que se encuentra en la red de permetro, tambin es altamente recomendable colocar un sistema
antivirus sobre el sistema de correo corporativo para evitar, que en caso de ingresar un virus a la
empresa por otra va, ste se propague a todos los dispositivos utilizando el correo interno. Como
recomendramos en unidades anteriores, en caso de atender esta ultima alternativa, lo
recomendable sera instalar dos productos antivirus de diferentes fabricantes, en cada uno de los
puntos mencionados (Relay / Mailserver).
que se han implementado con xito a lo largo de los aos. Sin lugar a dudas, Sendmail ha sido la
plataforma con el mayor market share respecto de un servidor de correo electrnico. A pesar de
ello, Sendmail ha pasado por momentos en donde se encontraban y parcheaban, vulnerabilidades
frecuentemente. Desde el punto de vista de su configuracin, suele ser considerado uno de los
ms difciles, en parte, debido a su crptico sistema de Scripts. Al contrario, Postfix ha resultado un
buen reemplazo para Sendmail, debido en parte a que es muy fcil de configurar. Exim, es
considerado una opcin sumamente poderosa, escalable y se encuentra muy bien documentado,
motivo por el cual son muchas ya, las grandes compaas que lo han adoptado a la hora de
manejar sus comunicaciones de correo electrnico. Por ltimo, Qmai tiene la fama de ser una de
las opciones ms seguras, al punto de que existe una recompensa de u$s 10000 para cualquiera
que pueda realizar un Exploit que le afecte. Al da de hoy, dicha recompensa no ha sido reclamada.
Lotus Notes: Lotus Notes, ha sido por aos el servidor de correo corporativo utilizado por grandes
corporaciones. Pionero respecto de todas aquellas cuestiones relacionadas con soluciones del tipo
workflow y colaboracin en lnea, Lotus Notes, mantiene un concepto levemente diferente
respecto del resto de los servidores populares, en cuanto a aspectos tales como por ejemplo los
mtodos de almacenamiento de mensajes. En cuanto a su funcionalidad, Lotus Notes posee todas
aquellas caractersticas avanzadas en cuanto al manejo de correo, agenda, trabajo cooperativo en
lnea, mensajera instantnea, administracin de documentos y contactos.
Configurar los servicios de autenticacin segura, en aquellos clientes POP que cuenten con
dicha capacidad.
Desactivar aquellos comandos extendidos como EXPN y VRFY siempre que no sean
necesarios.
Editar los banners o fingerprints de aquellos servicios que se estn ofreciendo.
Escribir polticas y procedimientos efectivos, respecto del resguardo y recuperacin de la
informacin contenida en los maiboxes.
PGP / OpenPGP: Pretty Good Privacy (PGP) es un paquete de software, creado por Philip
Zimmermann en 1991, que prevee rutinas criptogrficas para E-mail y almacenamiento de
archivos. Bsicamente, implementa criptosistemas y protocolos criptogrficos existentes en un
programa multiplataforma. Dentro de sus funcionalidades podemos contar: encriptacin de
mensajes, firma digital, compresin de datos y compatibilidad con E-mail por medio de la
conversin Radix-64 (PGP/MIME).
A partir del PGP de Zimmermann, el OpenPGP Working Group del IETF (Internet Engineering Task
Force propuso el OpenPGP como un estndar ms utilizado de encriptacin de e-mail en el mundo
(RFC 2440). Los algoritmos empleados por defecto que se definen son:
El Gamal y RSA para transporte de claves
DES, IDEA y CAST5 para encriptacin
DSA para firmar
SHA-1 y MD5 para el clculo de los hashes
CAPTULO 13
13.1 SEGURIDAD EN DATACENTERS
Qu se conoce bajo el trmino de Seguridad fsica? Se trata del conjunto de mecanismos de
prevencin y deteccin, destinados a evitar que la informacin confidencial, los recursos
informticos o su entorno, sean accedidos de forma no autorizada.
Qu significa el concepto de Clustering? Se trata de un grupo de computadoras independientes
trabajando juntas, como un recurso unificado, brindando de cara a las aplicaciones la visin de
estar siendo ejecutadas en una nica computadora. Es una solucin a los problemas de
disponibilidad ya que cualquiera de los nodos puede mantener el servicio en caso que otro falle.
Qu propsito tiene la implementacin de un mecanismo Single Sign-On? Dada la complejidad
de administrar usuarios y contraseas en entornos de cmputo con mltiples plataformas que
requieren ser accedidas por un mismo usuario, los sistemas Single Sign-On implementan
mecanismos para integrar el control de acceso con un solo usuario y contrasea.
Cul es la finalidad de un plan de contingencia? Tiene como fin enumerar procedimientos
completos a la hora de actuar frente a un incidente puntual que comprometa la continuidad del
negocio, con el perjuicio econmico que sto significara
Sin lugar a dudas, la seguridad fsica es uno de los aspectos menos tenido en cuenta a la hora de
disear sistemas informticos. A pesar de ello, algunos de los incidentes de seguridad ms
terribles, suelen estar relacionados frecuentemente, con deficiencias en el esquema de seguridad
fsica, planteado para una instalacin de cmputo pobremente diseada.
Lamentablemente, el profesional en seguridad informtica, suele ser contactado frecuentemente
por clientes que solicitan la implementacin de distintos tipos de productos o dispositivos de
seguridad tales como Firewalls y Detectores de Intrusos, con la intencin de proteger su red, a
pesar de no poseer, por ejemplo, sistemas de resguardo eficientes.
Como profesional en seguridad informtica, parte de su trabajo se encontrar relacionado con la
evaluacin de riesgos y la utilizacin de mtricas efectivas, a la hora de determinar el factor de
ocurrencia de un incidente y la contramedida que, en su relacin costo beneficio, sea considerada
la adecuada a la hora de minimizar el riesgo informtico inherente a toda implementacin
tecnolgica. Los indicadores dispuestos a lo largo de la presente unidad, pondrn a su disposicin,
toda aquella informacin que le ser de utilidad, a la hora de recomendar a su empresa o cliente,
las polticas, procedimientos y tecnologas necesarias, al momento de planear y disear una
estrategia eficiente, respecto de la seguridad fsica y sus aspectos relacionados.
Para comenzar, definiremos bajo el trmino de Seguridad Fsica, al conjunto de mecanismos de
prevencin y deteccin, destinados a evitar que la informacin confidencial, los recursos de los
sistemas protegidos o su entorno, sean accedidos de forma no autorizada. Cuando hablamos de
recursos del sistema, nos referimos a componentes, que van desde un simple teclado, pasando
por una cinta de resguardo conteniendo toda la informacin de una organizacin o la propia CPU y
discos de los equipos servidores, hasta la integridad del propio centro de cmputos o
emplazamiento fsico.
Si bien es cierto, que dependiendo del entorno y los activos a proteger, esta seguridad ser ms o
menos importante y restrictiva, aunque siempre deber ser un punto central a la hora de
establecer una estrategia de seguridad efectiva.
Uno de los aspectos generales, que nunca debe ser pasado por alto, es aquel que se encuentra
relacionado con el dao potencial, que un incidente relacionado con la seguridad fsica puede
provocar. De nada servir tomar medidas para prevenir o detectar accesos no autorizados a
nuestra red en forma lgica, de aquellos que requieren la explotacin de fallos en el software, si
un atacante puede acceder fsicamente a nuestro Datacenter y robar una cinta conteniendo una
imagen completa del sistema en cuestin, o un disco removible con informacin confidencial. Sin
ir tan lejos, un empleado de maestranza sin malicia, por simple desconocimiento, por ejemplo
podra conectar una aspiradora a una lnea de UPS de nuestro Centro de Cmputos y provocar un
apagn elctrico en el corazn de nuestra red con el perjuicio que sto implicara.
Se denomina centro de procesamiento de datos o CPD a aquella ubicacin donde se concentran
todos los recursos necesarios para el procesamiento de la informacin de una organizacin.
Tambin se conoce como centro de cmputo (Iberoamrica) o centro de clculo (Espaa) o centro
de datos por su equivalente en ingls data center. Dichos recursos consisten esencialmente en
unas dependencias debidamente acondicionadas, computadoras y redes de comunicaciones.
Entre los factores ms importantes que motivan la creacin de un CPD se puede destacar el
garantizar la continuidad del servicio a clientes, empleados, ciudadanos, proveedores y empresas
colaboradoras, pues en estos mbitos es muy importante la proteccin fsica de los equipos
informticos o de comunicaciones implicados, as como servidores de bases de datos que puedan
contener informacin crtica.
El diseo de un centro de procesamiento de datos comienza por la eleccin de su ubicacin
geogrfica, y requiere un balance entre diversos factores:
Almacenes.
Etc.
Acondicionamiento de salas.
Etc.
Cerraduras electromagnticas.
Torniquetes.
Cmaras de seguridad.
Detectores de movimiento.
Tarjetas de identificacin.
Etc.
Una vez acondicionado el habitculo se procede a la instalacin de las computadoras, las redes de
rea local, etc. Esta tarea requiere un diseo lgico de redes y entornos, sobre todo en aras a la
seguridad. Algunas actuaciones son:
Etc.
13.1.1 Riesgos
Como mencionramos con anterioridad, gran parte del xito en las tareas emprendidas por el
analista de seguridad, se basan en la acertada administracin del riesgo, por tal motivo, la
identificacin del mismo suele ser un factor clave en toda estrategia de seguridad. Si bien es cierto
que pueden existir diferentes visiones al respecto, la mayora de los especialistas suelen coincidir
en que, el acceso fsico no autorizado, los desastres naturales (Inundaciones, Tormentas Elctricas,
Terremotos, etc.) y las alteraciones del entorno (Electricidad, Ruido Elctrico, Humo, Incendios,
Temperaturas Extremas, etc.) suelen ser algunos de los grupos de riesgo ms importantes. Debido
a que gran parte de estas amenazas han sido comentadas en la primera unidad de ESR 1
Seguridad de la Informacin, no nos detendremos a enumerarlas en detalle.
Desde el punto de vista fsico, los riesgos suelen encontrarse por lo general, relacionados con
alguna de las siguientes categoras:
Robo y Hurto: Para comenzar, diremos que pese a que en definitiva el resultado final de un Robo o
Hurto, traer aparejada por lo general, la prdida de un bien, es preciso establecer la diferencia
entre ambos conceptos a los efectos de una eventual denuncia policial y posterior causa judicial.
Por definicin, suele hablarse de robo, cuando la sustraccin del bien se lleva a cabo mediante
intimidacin o fuerza, mientras que deberamos referirnos a hurto, cuando dicha sustraccin se
realiza sin la presencia del propietario. De cualquier forma, pocas amenazas suelen causar tanto
dao econmico como el robo o hurto perpetrado en un centro de cmputos, pues ste va ms
all del costo de recuperacin de lo robado. Paradas de servicio provocadas por el tiempo de
espera en los reemplazos de los componentes robados, puede significar por ejemplo, prdidas
econmicas varias veces superiores al costo mismo del componente a reponer.
Destruccin: A diferencia de otro tipo de riesgos, la Destruccin cuenta con la caracterstica
adicional, de que el dao puede ser inflingido de forma Accidental o de forma Intencional. El
tropiezo con uno de los cables principales relacionados con el tendido elctrico, podra ocasionar
la cada fsica de un server mal ubicado, provocando su rotura y por ende un corte abrupto en los
servicios ofrecidos por el sistema afectado. De la misma forma, el derramamiento de caf o
bebidas gaseosas sobre un componente electrnico, podra volver inutilizable una placa principal.
Por otra parte, un empleado descontento, podra daar intencionalmente las cintas de backup
almacenadas, volvindolas inservibles, provocando un enorme perjuicio al momento de que las
mismas sean requeridas.
13.1.3 Responsabilidades
Muchas veces, luego de ocurrido un incidente, suele existir una etapa en la cual se requiere
asignar responsabilidades respecto de lo ocurrido. En algunos casos, la misma podr recaer en una
persona, o quizs en un grupo de ellas. Frecuentemente, el siguiente paso despus de la
asignacin de responsabilidades, suele estar signado por consecuencias econmicas, laborales o
incluso penales para los involucrados. Generalmente, stas suelen ser establecidas en forma
proporcional al dao o perjuicio sufrido como parte del incidente, aunque todo depender en
gran parte de la organizacin o empresa involucrada.
En este sentido, es sumamente importante tener claro que uno de los requisitos fundamentales
en toda organizacin, es precisamente, la de contar con polticas y procedimientos claros a la hora
de pre-establecer, aquellos puntos que debern ser considerados clave, a la hora de asignar
responsabilidades. Entre los ms importantes se encuentran:
Quines sern los responsables?
Cul es el alcance de la responsabilidad y en qu circunstancias?
Cules son las consecuencias de no cumplir con una responsabilidad implcita?
Existe una cadena de responsabilidad? En caso de que la respuesta sea afirmativa Quin
es responsable de qu?
Las responsabilidades, han sido informadas en forma correcta?
Ahora bien, a pesar de ser necesaria, la definicin y formalizacin de estos puntos como parte de
una poltica de seguridad, es imprescindible referirnos una vez ms, a la importancia que tiene
para el xito de la estrategia de seguridad, que Ejecutivos y Directores empresariales, se
Permite que las claves de encriptacin cambien durante una sesin IPSec
Debe existir un rea de recepcin atendida por personal u otros medios de control de
acceso fsico al rea o edificio. El acceso a las distintas reas y edificios debe estar
restringido exclusivamente al personal autorizado.
Las barreras fsicas deben, si es necesario, extenderse desde el piso (real) hasta el techo
(real), a fin de impedir el ingreso no autorizado y la contaminacin ambiental, por ejemplo,
Todas las puertas de incendio de un permetro de seguridad deben tener alarma y cerrarse
automticamente, con apertura desde el interior solamente.
Generador de respaldo.
Todo equipamiento relacionado con los procesos crticos de la compaa, deber encontrarse
conectado a un equipo de energa ininterrumpible (UPS), a fin de asegurar el correcto apagado en
caso de un corte repentino en el suministro. Como todo componente involucrado en la seguridad
de un centro de cmputos, debern existir normas y procedimientos que exijan que los UPS sean
probados en forma regular. Por otra parte, en aquellos casos donde la operacin informtica no
pueda ser interrumpida, deber considerarse la implementacin de sistemas generadores de
electricidad, sobre los cuales necesariamente debern recaer controles peridicos y evaluaciones
de operacin y desempeo.
Las lneas de energa elctrica y telecomunicaciones que se conectan con las instalaciones
de procesamiento de informacin deben ser subterrneas, siempre que sea posible, o
sujetas a una adecuada proteccin alternativa.
El cableado de red debe estar protegido contra interceptacin no autorizada o dao, por
ejemplo mediante el uso de conductos o evitando trayectos que atraviesen reas pblicas.
Los cables de energa deben estar separados de los cables de comunicaciones para evitar
interferencias.
Entre los controles adicionales a considerar para los sistemas sensibles o crticos se
encuentran los siguientes:
13.4 EQUIPAMIENTO
Pocas cosas son tan importantes en un centro de cmputos o datacenter, como el propio
equipamiento en l instalado. A diferencia de lo que ocurre con el resto del parque de la empresa,
probablemente los equipos utilizados en el centro de datos, requieran una serie de cuidados
especiales. De la misma forma, la eleccin de dicho equipamiento, podr significar gran parte del
xito respecto de los servicios informticos que planea brindar a su corporacin. Por este motivo,
deber ser extremadamente cuidadoso al momento de realizar dicha seleccin.
Por otra parte, del mismo modo en que los conceptos de Defensa en Profundidad, son aplicados
a la seguridad lgica, fsicamente, los servidores dispuestos en un datacenter, debern poseer una
serie de caractersticas bsicas de seguridad, que sirvan como la ltima barrera a vencer por un
atacante, que haya logrado acceder al permetro controlado. Cerraduras bloqueando la extraccin
de discos hotswap, alarmas dispuestas en el chasis del equipamiento crtico, discos con
controladoras especiales que impiden su utilizacin en otro que no sea el equipo original, lockers
de teclados, racks con cerraduras y claves en el setup, son slo algunas de las tecnologas a
implementar, al momento de velar por la seguridad fsica del equipamiento instalado.
En los prximos indicadores, repasaremos con algo ms de detalle, aquellas caractersticas que
junto a las mencionadas, se ponen al servicio del analista de seguridad, al momento de planear e
implementar, seguridad en un centro de cmputos.
13.4.1 Seleccin
Como mencionramos en prrafos anteriores, la seleccin del equipamiento a utilizar en un centro
de cmputos, tendr gran incidencia en el resultado final del esquema de seguridad planteado.
Como es de esperar, las caractersticas de seguridad inherentes al equipamiento a adquirir, por lo
general se encontrarn relacionadas con el costo del mismo. Por este motivo, como analista de
seguridad, deber realizar un estudio previo, que avale su seleccin, teniendo en cuenta los
riesgos que presupondr, no contar con las prestaciones recomendadas.
Para empezar, usted deber realizar el correcto dimensionamiento, en cuanto a capacidad de
proceso y almacenamiento. Puesto que este es un factor fundamental, deber realizarse teniendo
en cuenta el software a correr, la cantidad de usuarios a soportar, las recomendaciones del
proveedor y la infraestructura general de la empresa. La mayora del los paquetes de software
implementados en el sector corporativo, poseen sus propios mtodos a la hora de realizar un
dimensionamiento efectivo, tngalos en cuenta a la hora de realizar sus previsiones.
Por otra parte, se deber prestar especial atencin a todo aquel equipamiento, que haya sido
identificado como crtico en su etapa de relevamiento, respecto de los sistemas que soporta y la
calidad de servicio a brindar (Dada por ejemplo, por el tiempo mximo de downtime permitido en
su negocio). Estos, debern poseer la mayor cantidad de componentes redundantes que sea
posible, teniendo en cuenta el presupuesto asignado, la tecnologa a implementar y el tipo de
componente.
Por ltimo, un aspecto sumamente importante a la hora de seleccionar el equipamiento a utilizar
en su implementacin de un centro de cmputos, radica en el soporte brindado por el proveedor
del mismo. De nada servir un servidor de gran potencia, si al momento de requerir el reemplazo
de un componente, el mismo no es provisto a tiempo o directamente no se consigue en el
mercado. Del mismo modo, una adecuada poltica de update del firmware necesario para el
correcto funcionamiento de los componentes, deber ser contemplada.
13.4.2 Clustering
Con el correr del tiempo, muchas fueron las empresas que establecieron el crecimiento de su
negocio, en torno a soluciones informticas. Grandes sistemas de e-commerce, completas
soluciones ERP (Enterprise Resource Planning) y centros de atencin a usuarios on-line, son tan
solo algunos de los negocios que requieren velar por uno de los factores crticos en toda
implementacin: Disponibilidad. Como una de las principales herramientas, a la hora de garantizar
13.4.3 Redundancia
Otra de las tecnologas al alcance del profesional de seguridad informtica, al momento de
asegurar aspectos tales como la disponibilidad, es aquella que se encuentra relacionada con los
dispositivos redundantes. Si bien es cierto, que comnmente esta tecnologa es implementada en
sistemas de discos, lo cierto es que las capacidades de redundancia, no se restringen nicamente
a este tipo de dispositivos. Fuentes, placas de red y memoria, son tan solo algunos de los
componentes a tener en cuenta, al momento de solicitar esta caracterstica al equipamiento
seleccionado.
RAID (Redundant Arrays of Independent Disks o Arreglo Redundante de Discos Independientes)
Se denomina RAID, a la tecnologa que utiliza mltiples discos, a la hora de proveer tolerancia a
fallos y mejoras en la performance de operaciones de lectura y escritura (Esta ltima
caracterstica, en alguna de sus configuraciones). Dicho de otra forma, un RAID es una coleccin
de discos que integran uno o ms subsistemas, combinados con un software de control el cual se
encarga de controlar la operacin del mismo y de presentarlo al Sistema Operativo como un slo
gran dispositivo de almacenamiento. A nivel general, existen dos posibilidades al implementar un
sistema basado en RAID: que el mismo se realice por software, o por medio de hardware
especialmente diseado a tal efecto. Las soluciones por hardware funcionan gestionando el
subsistema RAID, en forma totalmente independientemente del host, presentndole a este un
solo disco. Generalmente se trata de placas especiales en donde se encuentra implementada esta
funcionalidad. En las soluciones por software por el contrario, este dispositivo es emulado. Esta
ltima opcin puede ser lenta, pero no requiere de la compra de hardware adicional.
De acuerdo a sus caractersticas, varias son las designaciones de sistemas RAID. Algunas de las
implementaciones ms comnmente utilizadas se encuentran dadas por los niveles RAID 0, 1 y 5.
Hoy en da, algunos de los sistemas operativos ms populares como por ejemplo Windows
2000/2003 Server y Linux, soportan este tipo de configuracin por software.
RAID 0 (Arreglo de discos divididos sin tolerancia a fallas - No Redundante)
El RAID de nivel 0 requiere al menos 2 discos para ser implementado. En esta modalidad, se
implementa un arreglo de discos divididos, la informacin es separada en bloques y cada bloque
es grabado en una unidad de disco diferente. El desempeo de Entrada/Salida se ve muy
beneficiado por la dispersacin de la carga a travs de muchos canales y discos.
El mejor desempeo se alcanza cuando los datos son divididos a travs de mltiples controladoras
con tan solo un disco por controladora. No existe sobrecarga por el clculo de paridad. Suele
referirse como un diseo muy simple de implementar. Al mismo tiempo, generalmente no suele
ser realmente considerado como un RAID, ya que no es tolerante a fallas. La falla de una sola
unidad resultara en una prdida de informacin en el arreglo
RAID 1 (Espejeado y Duplexing Espejeo): El nivel de RAID 1 requiere al menos dos unidades de
disco para ser implementado. Una unidad de datos y una unidad de rplica. Cuando se describen
datos en una unidad, tambin se escriben en la otra. El disco redundante es una rplica exacta del
disco de datos, por lo que se conoce tambin como disco espejo. Los datos pueden leerse de
cualquiera de las dos unidades de forma que si se daara la unidad de datos, es posible acceder a
la unidad de rplica, permitiendo que el sistema pueda seguir funcionando. Con este nivel de RAID
se obtiene la misma velocidad de lectura/ escritura que una configuracin normalizada de disco,
por lo que constituye la mejor opcin para aplicaciones que conllevan un gran nmero de
operaciones de escritura.
RAID 3: Conocido tambin como Striping con paridad dedicada. Utiliza tambin un disco de
proteccin de informacin separado para almacenar informacin de control codificada con lo que
se logra una forma ms eficaz de proporcionar redundancia de datos. Este control de informacin
codificada o paridad proviene de los datos almacenados en los discos y permite la reconstruccin
de informacin en caso de fallas. Se requieren como mnimo 3 discos y se utiliza la capacidad de
un disco para la informacin de control. Los datos se dividen en fragmentos que se transfieren a
los discos que funcionan en paralelo, lo que permite enviar ms datos de una sola vez, y aumentar
en forma sustancial la velocidad general de transferencia de datos. Esta ltima caracterstica
convierte a este nivel en idneo para que estas aplicaciones que requieran la transferencia de
grandes ficheros contiguos hacia y desde el ordenador central.
RAID 5: Se necesita un mnimo de tres unidades para implementar una solucin RAID 5. Este array
ofrece tolerancia al fallo, pero adems, optimiza la capacidad del sistema permitiendo una
utilizacin de hasta el 80% de la capacidad del conjunto de discos. Esto lo consigue mediante el
clculo de informacin de paridad y su almacenamiento alternativo por bloques en todos los
discos del conjunto. La informacin del usuario se graba por bloques y de forma alternativa en
todos ellos. De esta manera, si cualquiera de las unidades de disco falla, se puede recuperar la
informacin en tiempo real, sobre la marcha, mediante una simple operacin lgica de OR
exclusivo, sin que el servidor deje de funcionar. RAID 5 es la solucin ms econmica por
megabyte, que ofrece la mejor relacin de precio, rendimiento y disponibilidad para la mayora de
los servidores.
Intermedia o Copia: Copia todos los archivos seleccionados, no marca los archivos como
copiados, es decir, no restablece a cero el atributo de archivo modificado. Este mtodo se
utiliza cuando se quieren hacer copias de archivos entre procesos normales e
incrementales sin que se invaliden los mismos (cintas de resguardo adicionales o
espontneas).
Diferencial: Copia los archivos creados o modificados desde la ltima copia de seguridad
full o incremental. No marca el atributo del archivo como copiado, es decir, no se
restablece su valor a cero, el mismo sigue siendo uno.
Incremental o Progresiva: Copia los archivos creados o modificados desde la ltima copia
de seguridad full o incremental. Marca los archivos como copiados, es decir, cambia el
atributo de archivo modificado a cero.
Nota: La marca de copiado (archive) es un atributo o indicador propio de cada archivo, es un bit
que los programas de backup ponen en cero cuando realizan una copia del archivo. Cuando los
archivos sufren modificaciones el sistema operativo, cambia el valor de este atributo, indicando al
programa de copia de seguridad, que ha sido modificado.
Un esquema de resguardo semanal del tipo diferencial hace una copia de todos los archivos
creados o modificados desde la copia full anterior, aumentando el tamao y el tiempo necesario
para realizar el resguardo a medida que pasan los das, en cambio, un esquema incremental,
realiza un salvado de los archivos modificados o creados desde el da anterior, requiriendo menos
tiempo y espacio en cinta. La desventaja de ste mtodo, radica en el momento de realizar la
recuperacin ya que requiere la copia full y las sucesivas copias incrementales hasta el da
solicitado.
Single Sign-On (SSO): Sin lugar a dudas, uno de los mayores problemas a resolver en grandes
entornos de cmputo con mltiples sistemas y aplicaciones que requieren ser accedidas por un
mismo usuario, es aquel que requiere memorizar y administrar diferentes combinaciones de
usuario y contrasea. El propsito de la soluciones de Single Sign-On, es precisamente el de lograr
que el usuario obtenga acceso a los sistemas y aplicaciones que requiera, utilizando para ello, un
solo par de usuario/contrasea. Esta funcionalidad, se ha convertido en una realidad en muchos
entornos operativos. Kerberos, Microsoft Active Directory y Novell eDirectory son tan solo algunos
ejemplos de este tipo de implementaciones.
Siempre que sea posible, se deber implementar la visualizacin de mensajes al ingreso del
sistema, mediante los cuales se deber advertir que slo los usuarios autorizados pueden
acceder a la computadora en cuestin.
Las polticas de cuentas implementadas, debern restringir los intentos de conexin a no
ms de 3 intentos siempre que sea posible
ID de usuario
Podra requerirse que ciertos registros de auditoria sean archivados como parte de la poltica de
retencin de registros o debido a los requerimientos de recoleccin de evidencia
ltimos aos y el software, se mantendrn en los niveles de evolucin observados en los ltimos
aos.
A lo largo de esta seccin, intentaremos revisar algunos de los motivos por el cual un plan de
continuidad de negocios, es un asunto que debe ser tenido en cuenta, por cualquier organizacin
a fin de que su negocio, pueda ser puesto en marcha en el menor lapso de tiempo posible, luego
de producido un incidente de seguridad grave.
Probablemente, una de las definiciones ms claras respecto de la finalidad detrs de toda
implementacin de un Plan de Continuidad del Negocio, se encuentre descripta en el punto 11.1
de las normas ISO 17799. All se define como objetivo bsico de todo Plan de Continuidad del
Negocio, el Contrarrestar las interrupciones de las actividades comerciales y proteger los
procesos crticos de los negocios de los efectos de fallas significativas o desastres.
En la misma seccin, se describe la necesidad de implementar un proceso de administracin de la
continuidad de los negocios, a fin de reducir la discontinuidad ocasionada por desastres y fallas de
seguridad (que pueden ser el resultado de, por ejemplo, desastres naturales, accidentes, fallas en
el equipamiento, acciones deliberadas, etc.) a niveles aceptables, a travs de la combinacin de
una serie de controles preventivos y de recuperacin previamente estipulados. Por tal motivo,
planes de contingencia, deben ser desarrollados e implementados, para garantizar que los
procesos de negocios puedan restablecerse dentro de los plazos por ste requeridos.
Varias acciones son necesarias al momento de llevar a la prctica, un plan de este tipo, en tal
sentido, el anlisis previo respecto de las consecuencias de desastres, fallas de seguridad e
interrupciones del servicio probables en el entorno estudiado, es un punto fundamental.
Segn un informe publicado por PC Week, las estadsticas muestran que el 50% de las empresas
que pierden sus sistemas crticos durante ms de 10 das (tras un desastre) nunca llegan a
recuperarse... Es ms, el 93% de las empresas que no tienen un plan de recuperacin desaparecen
en 5 aos. Por otra parte, se calcula que, hasta el 2005, un 20 por ciento de las empresas en
funcionamiento alrededor del mundo, sufrirn un incidente serio en sus sistemas de informacin
y/o comunicaciones. Esto ltimo, debido en parte a que con ms de 600 millones de usuarios de
Internet, se ha multiplicado peligrosamente la cantidad de incidentes.
Si bien es cierto que gran cantidad de empresas, ya han comenzado a trabajar proactivamente en
la implementacin de planes que aseguren la continuidad del negocio, an siguen siendo pocas en
porcentaje global. Segn una dato de Gartner Dataquest, Habr que esperar hasta el ejercicio
2007 para que al menos el 35 por ciento de las grandes empresas dispongan de una
infraestructura de continuidad de negocio. As, ajenas a las amenazas (terrorismo, virus, gusanos,
Hackers, crackers...) viven la mayor parte de las empresas del mundo. Tanto es as que, en el 2002,
slo el 25 por ciento de las 2.000 firmas ms importantes del mundo haban diseado un plan de
continuidad de negocio, que les salvara del desastre en caso de incidencia
Pero, muchas veces, la implementacin de planes tendientes a asegurar la continuidad del
negocio, suele iniciarse luego de que un incidente, haya demostrado ser lo suficientemente
importante. Y no hay que remontarse mucho en el tiempo para observar las lamentables
repercusiones de un desastre a gran escala. Adems de las vidas perdidas como consecuencia de
los atentados del 11 de septiembre en Nueva York, varias fueron las empresas que desaparecieron
debido a la falta de backups, almacenados fuera de las Torres Gemelas y la imposibilidad de
retomar sus operaciones comerciales, luego de producido el atentado.
Poco a poco, las empresas en general van tomando conciencia de la necesidad de disear e
implementar un Plan de Continuidad del Negocio, efectivo. Nuestra tarea como analistas de
seguridad, deber ser entonces, recomendar esta prctica y lograr una implementacin efectiva.
3. Tiempo esperado mximo de duracin del plan Entendiendo como tal, el tiempo mximo
en que se podr continuar operando bajo condiciones de contingencia.
4. Roles, Responsabilidad y Autoridad Este punto, debe ser considerado de suma importancia
a fin de asegurar la correcta puesta en marcha del plan de contingencia. Se debe
determinar en forma clara, cul es el papel de cada uno de los sectores de la organizacin
ante la contingencia y cmo se alteran los procedimientos habituales para dar lugar a los
procedimientos de contingencia. As mismo, coordinadores en la contingencia, debern ser
designados y entrenados a tal efecto.
5. Requerimiento de recursos Qu recursos sern requeridos a la hora de operar en el modo
contingencia y cules de los recursos habitualmente utilizados no se debern utilizar, son
aspectos que deben encontrarse debidamente documentados y verificados lo ms
exhaustivamente posible.
Por ltimo, un plan de contingencia, podra ser tan sencillo como evaluar la necesidad de proveer
un listado de artculos con sus precios asociados, a los vendedores de una sucursal, para que sean
utilizados en caso de que el sistema central no est disponible, o tan complejo como la
implementacin de un centro de procesamiento alternativo, que contando con rplicas exactas del
equipamiento y los datos contenidos en el sitio primario, brinde la posibilidad de continuar con las
tareas de un gran centro de cmputos
Telecomunicaciones
Arquitectura
Sistema elctrico
Sistema Mecnico
Dentro de cada subsistema el estndar desarrolla una serie de tem como los de la tabla:
Telecomunicaciones
Arquitectura
Elctrica
Mecnica
Cableado de racks
Cableado de racks
Cantidad de accesos
Sistemas de
climatizacin
Accesos redundantes
Accesos redundantes
Presin positiva
Presin positiva
Presin positiva
Cargas crticas
Caeras y drenajes
rea de distribucin
Requerimientos NFPA 75
Redundancia de UPS
Chillers
Backbone
Barrera de vapor
Topologa de UPS
CRACs y
condensadores
Cableado horizontal
Techos y pisos
PDUs
Control de HVAC
rea de oficinas
Puesta a tierra
Deteccin de incendio
Alimentacin redundante
NOC
EPO (Emergency
Power Off)
Sprinklers
Patch panels
Sala de UPS
y bateras
Bateras
Patch cords
Sala de generador
Monitoreo
Deteccin por
aspiracin (ASD)
Documentacin
Control de acceso
Generadores
Deteccin de lquidos
CCTV
Transfer switch
Uno de los mayores puntos de confusin en el campo del uptime (tiempo disponible de los
sistemas) es la definicin de datacenter confiable; ya que lo que es aceptable para una persona o
compaa no lo es para otra. Empresas competitivas con infraestructuras de datacenter
completamente diferentes proclaman poseer alta disponibilidad; esto puede ser cierto y
pruebas de componentes o sistemas, entre otros. Para infraestructuras que utilizan sistemas de
enfriamiento por agua significa doble conjunto de tuberas. Debe existir suficiente capacidad y
doble lnea de distribucin de los componentes, de forma tal que sea posible realizar
mantenimiento o pruebas en una lnea, mientras que la otra atiende la totalidad de la carga. En
este tier, actividades no planeadas como errores de operacin o fallas espontneas en la
infraestructura pueden todava causar una interrupcin del datacenter. La carga mxima en los
sistemas en situaciones crticas es de 90%. Muchos datacenters tier III son diseados para poder
actualizarse a tier IV, cuando los requerimientos del negocio justifiquen el costo. La tasa de
disponibilidad mxima del datacenter es 99.982% del tiempo.
Tier IV: tolerante a fallas Este datacenter provee capacidad para realizar cualquier actividad
planeada sin interrupciones en las cargas crticas, pero adems la funcionalidad tolerante a fallas
le permite a la infraestructura continuar operando aun ante un evento crtico no planeado. Esto
requiere dos lneas de distribucin simultneamente activas, tpicamente en una configuracin
system + system; elctricamente esto significa dos sistemas de UPS independientes, cada sistema
con un nivel de redundancia N+1. La carga mxima de los sistemas en situaciones crticas es de
90% y persiste un nivel de exposicin a fallas, por el inicio una alarma de incendio o porque una
persona inicie un procedimiento de apagado de emergencia o Emergency Power Off (EPO), los
cuales deben existir para cumplir con los cdigos de seguridad contra incendios o elctricos. La
tasa de disponibilidad mxima del datacenter es 99.995% del tiempo.
Para poner en perspectiva la tasa de disponibilidad que se pretende para los distintos tiers, el
cuadro 2 expresa su significado expresado en el tiempo de parada anual del datacenter. Estos
porcentajes deben considerarse como el promedio de cinco aos. Hay que tener en cuenta que
para un tier IV se contempla que la nica parada que se produce es por la activacin de un EPO y
esto slo sucede una vez cada cinco aos. No obstante para la exigencia que demanda un tier IV
algunas empresas u organizaciones manifiestan necesitar una disponibilidad de cinco nueves,
esto significa un 99,999% de disponibilidad. Esto es poco ms de cinco minutos anuales sin
sistemas. El propsito del estndar TIA 942 es proveer una serie de recomendaciones y guidelines
para el diseo e instalacin de un datacenter. La intencin es que sea utilizado por los diseadores
que necesitan un conocimiento acabado del facility planning, el sistema de cableado y el diseo
de redes. El estndar TIA 942 y la categorizacin de tiers se encuentran en pleno auge en Amrica
Latina. Esto es bueno porque lleva al replanteo de las necesidades de infraestructura de una
manera racional y alineada con las necesidades propias de disponibilidad del negocio en que se
encuentran las organizaciones.
registros. Aqu es donde muchos gerentes de negocios centran su atencin. En lugar de comenzar
por el devastador punto final de la interrupcin del negocio, mitigacin, control de daos,
recuperacin del desastre, y reanudacin del negocio; comencemos por el principio. Asumamos
que existen factores de riesgo que lo han llevado a utilizar la NFPA 75 y veamos qu tiene esta
norma para usted.
El enfoque lgico es en primer lugar prevenir incendios, lo que simplemente implica eliminar
todas las fuentes de ignicin y reducir la cantidad de materiales combustibles en la sala. En el
improbable caso de que un incendio se propague desde otra rea a una sala de TI, minimizar los
combustibles tanto de papel como electrnicos, le dar al incendio menos materiales de los cuales
alimentarse. El rea por debajo de pisos elevados puede ser la pesadilla de las tareas domsticas.
No slo se acumula la basura y otros combustibles debajo de l, sino que tambin a veces all se
almacenan cosas. Una inspeccin peridica del rea, conducida por alguien cuya prioridad sea la
proteccin contra incendios, puede eliminar muchos innecesarios combustibles potenciales. Las
reas de subsuelo tambin suelen contener cables. Los que no estn actualmente en uso pero que
sern utilizados en el futuro deben ser etiquetados e identificados como tales. Todos los otros
cables abandonados deberan ser removidos siempre que fuera posible. Esto es necesario por
varias razones. Una gran cantidad de cables no utilizados puede interferir con el flujo de aire
destinado a mantener la temperatura de la computadora dentro del margen de funcionamiento.
En el caso de un incendio, el aislamiento del cable puede generar humo corrosivo. Y si existe una
gran cantidad de cables enmaraados, el incendio podra llegar a estar arraigado en lo profundo,
hacindolo ms desafiante para combatir que un incendio de superficie. Los cables excedentes
pueden tambin obstruir los patrones de descarga de los sistemas de extincin de incendios.
Cuando se remueven los cables, cualquier infiltracin debe ser prevenida con un cortafuegos a
travs de construcciones de clasificacin ignfuga. Dado que remover cables abandonados puede
daar otros cables, su remocin debe ser planeada cuidadosamente.
Dado que la historia nos dice que la mayora de los incendios comienzan fuera del rea de la TI, se
colocan barreras en forma de construccin con clasificacin ignfuga de una hora de resistencia
para impedir que las llamas se propaguen a tales reas.
Bsicamente, la sala del equipo de TI est rodeada por una construccin de clasificacin ignfuga
de una hora de resistencia, y cualquier filtracin a travs de estas paredes de clasificacin ignfuga
debe ser rellenada con materiales cortafuegos. Las salas que rodean la sala del equipo de TI, que
contienen equipos de ventilacin, almacenamiento de medios de cinta, y oficinas de soporte, con
frecuencia son importantes para la actividad de TI, entonces ellos, tambin, deberan tener una
mnima construccin de clasificacin ignfuga de una hora de resistencia todo alrededor. Se
recomienda la construccin con clasificacin de dos horas.
Las salas mecnicas y elctricas, que con frecuencia son extremadamente importantes para la
operacin continuada de las sala de informtica, tambin deberan tener una construccin de
clasificacin ignfuga de una hora de resistencia. Adems, los conductos de ventilacin deben
estar equipados con reguladores de tiro activados mediante detectores de humo. Cualquier
conducto que preste servicio a otras partes del edificio o que pase a travs del rea de TI debe
tener reguladores de tiro de humo e incendio automticos.
Es interesante observar la lgica de los sistemas de proteccin contra incendios para los espacios
de TI. Regla nmero uno: si el edificio esta completamente protegido por rociadores, el rea de TI
tambin debe tener un sistema de rociadores automticos. Por qu? Si el rea instalada sin
rociadores resultara ser el punto del origen del incendio, el mismo podra terminar devastando el
sistema de rociadores del edificio. Con frecuencia, se le teme al agua en los espacios de TI. Sin
embargo, este temor usualmente es infundado. Otro temor es que la tubera del rociador pueda
gotear. Normalmente, las tuberas de los rociadores no comienzan de repente a gotear a menos
que estn fsicamente daadas, como podra ser en un depsito. La posibilidad de dao de
impacto a la tubera de los rociadores en una sala de informtica es remota.
Los registros siempre son un punto de discusin cuando se refiere a las reas de TI. Aqu hay unas
pocas reglas bsicas. Los registros en la sala de TI se deben mantener en el mnimo absoluto y
deberan ser slo aquellos necesarios para la operacin esencial. Todos los registros importantes
se deben duplicar y almacenar en una ubicacin remota de modo de no estar expuestos al mismo
incendio que los originales. Los registros se deben almacenar en gabinetes metlicos cerrados. Los
sistemas automatizados de almacenamiento de informacin (AISS por sus siglas en ingls) son
permitidos en las salas de TI slo si un sistema dedicado de rociadores o sistema de agente
gaseoso est instalado en cada unidad. Las salas de bibliotecas de cintas y de almacenamiento de
medios deben estar fuera de la sala de TI, estar protegidas con un sistema de extincin de
incendios, y tener al menos una construccin de clasificacin ignfuga de una hora de resistencia.
No debera haber nada ms en estas salas, y no se deberan permitir actividades sino aquellas
relacionadas al almacenamiento.
La construccin de clasificacin ignfuga alrededor de la sala de TI y de toda el rea de TI debera
extenderse desde el piso estructural hasta el piso/cielorraso estructural de arriba. Esto con
frecuencia se lo conoce como construccin losa a losa. Esto sirve a dos propsitos. El primero
debera ser obvio: usted no quiere que el humo o las llamas fuera del rea se traslade dentro del
rea de TI. El segundo entra en juego cuando se emplea un sistema de agente gaseoso. Uno de los
componentes ms crticos del sistema de inundacin total de agente limpio es el gabinete que
contiene la concentracin del agente extintor suficiente tiempo para extinguir el incendio y
prevenir la re-ignicin. Las paredes de la sala de TI deben ser lo bastante hermticas como para
contener la concentracin del agente extintor por este perodo de tiempo. Los instaladores de
sistemas extintores de incendios saben bien esto, pero tienen poco o ningn control sobre la
construccin de la sala, y el problema de filtracin no se descubre hasta que la prueba de
presurizacin de la sala es efectuada durante la puesta en servicio del sistema extintor de
incendios. Prestar atencin a este detalle durante la construccin ayuda a evitar dolores de cabeza
y demoras de ocupacin ms tarde.
Cada operacin de TI debe contar con tres planes: plan de emergencia de incendios, plan de
control de daos, y plan de procedimientos de recuperacin. El ms ignorado de estos planes es,
con frecuencia, el plan de procedimientos de recuperacin, el cual delinea las tareas que el
personal debe emprender, incluyendo transporte y comunicacin crticos para la continuidad de
las operaciones del negocio. Al desarrollar un plan de recuperacin, el objetivo es regresar la
operacin del negocio al nivel en que estaba el da antes de la catstrofe. Si su negocio es tomar
pedidos por medio de una lnea telefnica gratuita y contina con la entrega de productos, el
esfuerzo de recuperacin debera estar dirigido hacia el restablecimiento de la operacin
telefnica y la conexin del personal a los sistemas de procesamiento informtico y telefnico, lo
cual permitir que continen los envos. El plan final incluira una instalacin redundante en un
sitio remoto que tenga acceso a los datos de las copias de seguridad. Si la operacin no es tan
crtica o la instalacin redundante ha sido considerada poco realista por razones econmicas, es
imprescindible un buen plan de recuperacin en sitio. Una vez que ha ocurrido un incendio o
algn evento catastrfico, el lugar no necesita ser desalojado. Si la instalacin incorpora las
caractersticas de diseo delineadas en la NFPA 75 y tiene planes efectivos de control de daos e
incendio, el plan de recuperacin es el que hay que implementar.
Al desarrollar un plan de recuperacin, deben producirse discusiones sobre los daos ocasionados
por el agua, humo y calor. El dao por el calor es con frecuencia la razn por la que los artculos
expuestos son irrecuperables. Los daos por agua y humo usualmente son menos severos, pero
con frecuencia son los que ms se malinterpretan. El humo de una sala de informtica usualmente
contiene cloruro y azufre que corroe el delicado equipo electrnico. Siempre es necesario remover
cualquier remanente de estos contaminantes. El humo puede ocasionar pequeos daos
inmediatos, pero cuando se los deja desatendidos por un perodo prolongado, los derivados
corrosivos de la combustin actan con la humedad en el aire para comenzar el proceso de
corrosin.
Toda compaa que tenga una instalacin TI deber desarrollar un plan o enfrentar las
consecuencias el da del desastre. No hacer nada podra ser la peor alternativa.
CAPTULO 14
14.1 AUDITORIA DE SISTEMAS DE INFORMACIN
Enuncie, en trminos generales, la misin de auditoria. Consiste en las actividades de relevar e
informar a la Direccin de la organizacin, sobre el diseo y funcionamiento de los controles
implementados y sobre la fiabilidad de la informacin suministrada, a fin de que por medio de
cursos de accin alternativos, sea factible lograr una utilizacin ms eficiente y segura de esta
informacin, la que servir como base para una adecuada toma de decisiones.
Qu se entiende por auditoria interna? Es aquella que se realiza con recursos materiales y
humanos pertenecientes a la organizacin auditada. sta es creada por expresa por expresa
decisin de la empresa, con sus recursos internos, pudiendo eventualmente ser disuelta en
cualquier momento.
Qu comprende el control preventivo? Dentro de esta categora, se encuentran todos aquellos
controles que apuntan a evitar un evento o incidente, descartando problemas antes que los
mismo aparezcan.
Qu significa la caracterstica de independencia del auditor? Consiste en la libertad
profesional que caracteriza al auditor, para que ste pueda expresar su opinin libre de todo tipo
de presiones, como ser: polticas, religiosas, familiares, intereses de grupo, etc.
En qu consiste la tcnica de muestreo? El muestreo, cualquiera que sea su forma, consiste en la
aplicacin de una serie de pruebas a una muestra suficientemente representativa de la poblacin
total.
En su nivel ms general, solemos referirnos a la Auditoria de los Sistemas de Informacin, como el
proceso por el cual, se recolecta y evalan evidencias, a fin de establecer si los activos
relacionados con la informacin, se encuentran protegidos y sus controles funcionando. As
mismo, generalmente el auditor es responsable no slo de revisar, sino tambin de informar a la
Direccin de la Organizacin, sobre el diseo y funcionamiento de los controles implantados y
sobre la fiabilidad de la informacin suministrada. Los procesos evaluados por medio de la
prctica de la Auditoria, involucran no slo procedimientos automticos o de procesamiento
electrnico, sino tambin los procedimientos no-automticos relacionados con ellos y las
interfaces intervinientes, a fin de que por medio del sealamiento de cursos alternativos se logre
una utilizacin ms eficiente y segura de la informacin que servir para una adecuada toma de
decisiones. Debido a las caractersticas propias de esta actividad, la Auditoria de Sistemas de
Informacin, engloba aspectos tcnicos, legales, normativos y por sobre todo un fuerte
componente de tica personal y profesional, sin la cual ninguno de los componentes
anteriormente citados tendra sentido.
Proceso de auditoria:
Recolectar evidencia
Evaluar evidencia
Verificar controles
Informar a la Direccin
Aspectos tcnicos
Aspectos normativos
tica profesional
Aspectos legales
tica personal
Ser independiente
slo se debiera permitir un acceso diferente al slo-de-lectura para copias aisladas de los
archivos del
ser referida como Peridica, Espordica o Continua, en funcin de como se haya definido
oportunamente su prctica en relacin a los objetivos planteados como resultado de la misma; la
ltima de estas opciones suele ser aquella que con mayor frecuencia, suele ser la escogida,
cuando de auditar un Sistema de Informacin se trata.
Y esto no es casualidad, los Sistemas de Informacin,
suelen poseer caractersticas dinmicas que hacen
que los cambios se encuentren a la orden del da,
propiciando
muchas
veces,
que
controles
previamente especificados, dejen de ser vlidos, de
la misma forma en que circuitos administrativos
oportunamente definidos carezcan de sentido al
cambiar su aspecto prctico, debido muchas veces al
componente humano actuante en la organizacin.
Pero no slo las auditoras de un gran Sistema de Informacin se ven relacionadas con los
cambios frecuentes. Aplicando este mismo concepto a la auditora puntual de un sistema de
cmputo, por ejemplo en instancias de un Test de Penetracin, nos encontramos con una
situacin similar, debido a lo cual, como resultado del test realizado, podremos ofrecer al
propietario del sistema, una fotografa de cmo se encuentra su sistema al momento de realizado
el test, aunque dicha fotografa puede no ser importante, si al da siguiente se cambia la
configuracin del sistema previamente auditado, ya sea accidental o intencionalmente. Respecto a
esto ltimo, proyectos como el OSSTMM (Open Source Security Testing Methodology Manual) de
ISECOM (Institute for Security and Open Methodologies), plantean el testeo metodolgico y en
forma continua al momento de ejecutar el anlisis de seguridad de un sistema objetivo,
practicando ms de una instantnea en diferentes momentos. En resumen, la auditora
continua, brindar a usted los elementos necesarios como para mantener sus controles al
corriente, evitando que cambios imprevistos en los Sistemas de Informacin o en sus controles
asociados, repercutan en forma negativa respecto del negocio y su esquema de Tecnologa de la
Informacin.
Anlisis de riesgos
Implementacin de controles
evaluacin de riesgos no debe ser nunca considerada, como una tarea a cumplir de una vez para
siempre. Por el contrario, debe ser un proceso continuo, una actividad bsica de la organizacin,
tal como lo es la evaluacin continua de la utilizacin de los sistemas de informacin o la mejora
continua de los procesos. Varias son las metodologas posibles a la hora de realizar una evaluacin
de riesgos efectiva. A continuacin, mencionaremos brevemente, alguno de los puntos
mencionados en CobiT, en su item P09 (Planeacin & Organizacin) Evaluacin de Riesgos, los
cuales apuntan a establecer una serie de objetivos de control, o directrices, a ser utilizados como
marco de referencia a la hora de determinar la forma en la que los riesgos debern ser
administrados.
Enfoque de Evaluacin de Riesgos: Deber establecerse un enfoque general, en el cual se defina
claramente el alcance, los lmites y la metodologa a utilizar. Del mismo modo las
responsabilidades y habilidades requeridas en el proceso, debern ser especificadas en esta etapa.
Identificar las relaciones entre la organizacin y su entorno, entender la organizacin, sus
objetivos, estrategias, capacidades y habilidades, as como identificar todos aquellos objetos
(reas, procesos, proyectos, etc.) de la organizacin a los cuales se podra aplicar un Anlisis de
Riesgos, son aspectos fundamentales de esta etapa.
Identificacin de Riesgos: El propsito final de esta etapa es proveer los mecanismos necesarios
para recopilar la informacin relacionada con los elementos esenciales de riesgos, tales como
activos, amenazas, elementos vulnerables, protecciones, consecuencias y probabilidades de
amenaza. Es importante recordar, que la administracin de riesgos, no est dirigida
exclusivamente a evitarlos. Su enfoque est en identificar, evaluar, controlar y dominar los
riesgos. Administracin de riesgos tambin significa tomar ventaja de las oportunidades y tomar
riesgos basados en decisiones informadas y anlisis de resultados.
Medicin de Riesgos: Tal como se encuentra especificado en CobiT, El enfoque de la evaluacin
de riesgos deber asegurar que el anlisis de la informacin de identificacin de riesgos genere
como resultado una medida cuantitativa y/o cualitativa del riesgo al cual est expuesta el rea
examinada. Asimismo, deber evaluarse la capacidad de aceptacin de riesgos de la organizacin.
Plan de Accin contra Riesgos: En esta etapa, se deber proporcionar la definicin del plan de
accin contra los riesgos identificados oportunamente, para asegurar la existencia de los controles
y medidas de seguridad necesarias a fin de mitigar los riesgos en forma continua.
Aceptacin de Riesgos: Llegada esta instancia, la organizacin deber definir y formalizar, cul es
el nivel de riesgo residual que asumir, dependiendo de la oportuna identificacin y medicin del
riesgo, de la poltica organizacional, de la incertidumbre incorporada al enfoque de evaluacin de
riesgos y del resultado econmico de dichas evaluaciones.
Objetivos del anlisis de riesgos:
organizacin, requieren de mantenimiento continuo, de forma tal, que los mismos sean adaptados
a las circunstancias actuales, reflejando la realidad de los procesos y operaciones.
de dignidad requeridas por su profesin. El auditor deber facilitar e incrementar la confianza del
auditado en base a una actuacin de transparencia en su actividad profesional, sin alardes
cientfico-tcnico que, por su incomprensin, pueden restar credibilidad a los resultados
obtenidos y a las directrices aconsejadas.
Informar a las partes que correspondan, los resultados del trabajo de auditora realizado.
Conocimientos, prctica profesional y capacitacin que debe tener el personal que intervendr en
la auditora, son algunos de los objetivos que debern encontrarse relacionados con el objeto de
la auditora. Algunos equipos de trabajo, podran requerir elementos con habilidades especficas
(Por ejemplo, al realizar una auditora de cdigo). Por otra parte, se deber planificar y solicitar, la
asignacin de recursos de la propia organizacin a ser auditada, los cuales debern contar con el
suficiente nivel, como para poder coordinar el desarrollo de la auditora, proporcionar toda la
informacin que se solicite y programar las reuniones y entrevistas requeridas. ste es un punto
muy importante ya que, de no tener el apoyo de la alta direccin, ni contar con un grupo
multidisciplinario en el cual estn presentes una o varias personas del rea a auditar, sera casi
imposible obtener informacin en el momento y con las caractersticas deseadas.
14.3.6 Muestreos
Por lo general, el dictamen del auditor suele basarse en evidencia. Precisamente una de las
tcnicas por las cuales, es posible recopilar dicha evidencia de auditora, es el muestreo. El
muestreo, cualquiera sea su forma, consiste en la aplicacin de pruebas de cumplimiento o
sustantivas a una muestra suficientemente representativa de la poblacin total, bien se trate esta,
de una serie de transacciones o de un conjunto de partidas que forman el saldo de una cuenta.
La utilizacin de tcnicas de muestreo, es especialmente til, en aquellos casos donde el tiempo y
los costos, impiden una verificacin total del ambiente a auditar. A continuacin, mencionaremos
algunos conceptos relacionados con las tcnicas de muestreo en general:
Frecuentemente solemos referirnos a muestra como un subconjunto de puntos, tomados
de un contexto general.
Las tcnicas de muestreo, suelen ser frecuentemente utilizadas, a la hora de inferir
caractersticas relativas a una poblacin, basadas en los resultados del examen de las
caractersticas de una muestra de la poblacin.
Muestreo Estadstico: Objetivo para determinar el tamao de la muestra y para elegir los
criterios. El auditor decide cuantitativamente el grado de aproximacin con que la muestra
debe representar a la poblacin (en %).
Muestreo No Estadstico: Utiliza el juicio del auditor para determinar el mtodo de
muestreo y el nmero de cosas que sern examinadas de una poblacin.
Para que un mtodo de muestreo, sea adecuado, la mayora de las veces el auditor requerir de
un plan de actividades que considere entre otros, los siguientes aspectos principales:
Si bien es cierto que hoy da en el mercado, es posible obtener herramientas CAATS especficas
(IDEA, ACL, etc.), muchas veces, funciones de asistencia con el objeto de analizar datos o reportar
hallazgos, podrn ser perfectamente realizadas, utilizando diversos recursos informticos
tradicionales como por ejemplo: software de utilidades, comandos SQL, opciones y reportes
integrados en los sistemas a auditar, desarrollos a medida, etc. Segn ISACA (Information Systems
Audit and Control Association) por ejemplo, las CAATS suelen ser clasificadas en cuatro categoras:
1. Software de Anlisis de Datos.
2. Software o Utilidades de evaluacin de la seguridad de la red.
3. Software o Utilidades de evaluacin de la seguridad en Sistemas Operativos y DBMS.
4. Herramientas de testeo y auditora de cdigo
En resumen, las CAATS pueden consistir en paquetes de programas comerciales especficos,
programas escritos a medida para un propsito puntual de auditora, programas de utileras o
programas de administracin del sistema incluidos con el mismo. Independientemente de la
fuente de los programas, el auditor deber verificar su validez para fines de auditora antes de su
uso.
cualquier otra tarea que habiendo sido previamente planificada, requiera ser ejecutada a fin de
obtener la evidencia necesaria a la hora de pasar a la fase de evaluacin de resultados.
A fin de que los trabajos realizados en esta etapa sean plausibles de convertirse en elemento
probatorio, el profesional a cargo deber seguir una estricta poltica de documentacin, la cual
podra tener forma de gua, a fin de que sea posible registrar, todos y cada uno de los pasos de
auditora y para sealar la ubicacin del material de evidencia.
14.4.5 Informe
A menudo, el informe de auditora es considerado el producto final del trabajo del auditor de
sistemas, y como tal, es de gran importancia que el mismo cumpla con las pautas de estilo y
diseo requeridos al momento de realizar una presentacin de calidad.
Como hemos visto a lo largo de esta unidad, la auditoria contiene elementos de anlisis, de
verificacin y de exposicin de debilidades y disfunciones. El objetivo del informe de auditora, se
encuentra relacionado precisamente, con la formalizacin por escrito, de todas aquellas
sugerencias y planes de accin, que producto del proceso de auditora, aparecen como necesarios
a fin de eliminar las disfunciones y debilidades antedichas; estas sugerencias plasmadas en el
Informe final, generalmente reciben el nombre de Recomendaciones.
Es necesario comentar, que por lo general, el informe final requerir de la redaccin previa de
borradores e informes parciales previos al informe final, con el objeto de contrastar las opiniones
del grupo de auditores entre si, y eventualmente las personas auditadas. Este proceso se realiza
con el objeto de descubrir fallos de apreciacin, o al solo efecto de unificar criterios entre los
miembros del equipo de trabajo.
Por su parte, si bien es cierto que no existe una plantilla obligatoria a la hora de confeccionar el
informe de auditora, debern ser tenidos en cuenta, una serie de lineamientos generales en
cuanto a su estructura. A modo de ejemplo, enumeraremos a continuacin algunas de las
secciones principales que debern formar parte del mismo:
Elementos de ubicacin (Fechas de comienzo de la auditora y confeccin del informe,
identificacin personal de los miembros del grupo de auditora y de cada uno de los
entrevistados, responsabilidad y puesto de trabajo que ostente, etc.).
Carta de introduccin o presentacin.
Definicin de objetivos y alcance de la auditora.
Enumeracin de temas considerados (A modo de introduccin general).
Cuerpo expositivo (Por cada tema considerado: situacin actual, hallazgos, tendencias,
puntos dbiles y amenazas, recomendaciones y plan de accin, etc.).
Conclusin global del auditor expresando una opinin sobre los controles y procedimientos
revisados.
Procesar informacin respecto de las personas implica una responsabilidad que debe estar
orientada a conjugar los intereses de las empresas usuarias de bases de datos con el derecho a la
privacidad de la gente. Este es un concepto fundamental, que debe ser tenido en cuenta por el
profesional de seguridad informtica en todo momento. Claro est que en un mundo tendiente a
informatizar aspectos que involucran los datos de millones de personas, existe la necesidad de
regular y poner lmites al uso que se har de los mismos.
Cabezas, la pgina principal del sitio de la Corte Suprema de Justicia de Argentina, fue hackeada.
Aparecan all imgenes del fotgrafo asesinado y una proclama pidiendo el esclarecimiento de los
hechos. La pgina tena la firma del grupo Hacker argentino "X-Team". Dos aos ms tarde, el 19
de enero de 2001, era detenido en el Aeropuerto Internacional de Ezeiza, el pirata informtico
Wence, aparente lder del grupo X-Team y acusado de ser responsable entre otros, del hecho
anteriormente citado. La denuncia era por daos y presunta asociacin ilcita, este ltimo, un
delito no excarcelable. Sucede que para las leyes argentinas, el hacking no existe en la
jurisprudencia actual. Finalmente, el 20 de Marzo de 2002, el Juez a cargo de la causa, estableca
en su fallo, que una pgina web no puede asimilarse al concepto de cosa (definicin que si se
encuentra contemplada en el cdigo penal actual) en tanto y en cuanto, por su naturaleza, no es
un objeto corpreo ni puede ser detectado materialmente, motivo por el cual, dejaba sin efecto la
denuncia, declarando el sobreseimiento de todos y cada uno de los implicados en la causa
14.5.5 COBIT
Hace ya algunos aos, los profesionales de IT, comenzaron a verse en la necesidad de conocer
varias normas de control diferentes (DTI, NIST, etc.), cada una de ellas con una funcin u
orientacin especfica, a la hora de organizar sus departamentos relacionados con las tecnologas
de la informacin. El inconveniente detrs de ello, pasaba porque ninguna de las normas,
proporcionaba un modelo de control completo y utilizable (especficamente sobre IT), como
soporte para los procesos de negocio.
Atentos a esta necesidad, la Information Systems Audit And Control Association (ISACA), en
conjunto con un grupo de empresas, desarroll, tomando como referencia la publicacin en los
EE.UU de los modelos de control generales de COSO, un marco de referencia genuino, para la
definicin de objetivos de control aplicados a las Tecnologas de Informacin, que recibira el
nombre de COBIT: Objetivos de Control para la Informacin y Tecnologas Afines.
El COBIT se compone de un conjunto de 34 objetivos de control de alto nivel, uno para cada uno
de los procesos de TI, agrupados en cuatro dominios principales:
Planeamiento y Organizacin.
Adquisicin e Implementacin.
Entrega (de Servicio)
Monitoreo.
Tal como se menciona en el resumen ejecutivo de este marco de referencia, esta estructura cubre
todo y cada uno de los aspectos de la informacin y de la tecnologa que la soporta. Dirigiendo
estos 34 objetivos de control de alto nivel, el propietario de procesos de negocio podr asegurar
que se proporciona un sistema de control adecuado para el ambiente de tecnologa de
informacin. Pero el COBIT no slo estipula objetivos de control, a su vez, cada uno de ellos se
incluye como parte de la entrega, una serie de guas imprescindibles, a la hora de revisar o auditar
el cumplimiento de los objetivos propuestos.
Penetration Test: Se trata de una actividad con objetivo especfico y acotado empleando
tcnicas de Hacking y en general aplicando metodologas de Caja Negra (Sin ningn tipo
de informacin, mas all de la que puede contar cualquier individuo ajeno a la empresa)
Segn la definicin de OSSTMM: Test de seguridad con un objetivo definido que finaliza
cuando el objetivo es alcanzado o el tiempo ha terminado.
Para completar un poco el enfoque que ISECOM (Institute for Security and Open Methodologies),
entidad responsable del proyecto OSSTMM, ofrece sobre estas clasificaciones se presenta a
continuacin las actividades que pueden ser llevadas a cabo (La misma se presenta textualmente
en sus manuales): ISECOM aplica los siguientes trminos a los diferentes tipos de sistemas y de
testeos de seguridad de redes, basados en tiempo y costo para el Testeo de Seguridad de Internet:
Test de Intrusin: se refiere en general a los proyectos orientados a objetivos en los cuales
dicho objetivo es obtener un trofeo, que incluye ganar acceso privilegiado con medios precondicionales.
Hacking tico: se refiere generalmente a los tests de intrusin en los cuales el objetivo es
obtener trofeos en la red dentro del tiempo predeterminado de duracin del proyecto.
14.6.2 Es posible respetar algn mtodo que permita repetir esta tarea
y obtener ndices de evolucin?
En este punto es donde se plantea a ttulo de gua lo que propone OSSTMM. Se reitera, no porque
sea mejor o peor que cualquier otra que pueda emplear una empresa consultora, sino
simplemente por ser una referencia gratuita y sobre todo porque tiene su punto de partida en
respetar la mayora de los estndares, tal cual lo expresa en sus primeras pginas, estando en
plena conformidad con los mismos (ISO-17799 o BS-7799, GAO y FISCAM, NIST,CVE de Mitre, etc.).
Resumidamente, esta metodologa propone un proceso de evaluacin de una serie de reas que
reflejan los niveles de seguridad que posee la infraestructura a auditar, a estos los denominar
Dimensiones de seguridad, y consisten en el anlisis de lo siguiente:
Visibilidad
Acceso
Confianza
Autenticacin
No repudio
Confidencialidad
Privacidad
Autorizacin
Integridad
Seguridad
Alarma.
Para un trabajo metdico y secuencial, describe seis secciones que abarcan el conjunto de los
elementos que componen todo sistema actual, ellas son:
1. Seguridad de la Informacin
2. Seguridad de los Procesos
3. Seguridad en las tecnologas de Internet
4. Seguridad en las Comunicaciones
5. Seguridad Inalmbrica
6. Seguridad Fsica
En cada seccin se especifican una serie de mdulos a ser evaluados, teniendo en cuenta si aplica
o no cada uno de ellos a la infraestructura en cuestin, el resultado de la observacin de todos
ellos es lo que permitir pintar el mapa de seguridad.
Otro aspecto que trata con bastante detalle es la Evaluacin de riesgo, teniendo en cuenta que
dentro de cada mdulo se encuentran los valores adecuados (RAVs) para obtener las mtricas
finales, lo cual como se recalc en este texto es uno de los principios que debe tener en cuenta
todo auditor si es consciente de las necesidades del cliente.
14.7 SNTESIS
En trminos resumidos, podemos destacar que:
Una auditora de seguridad informtica o auditora de seguridad de sistemas de informacin (SI)
es el estudio que comprende el anlisis y gestin de sistemas para identificar y posteriormente
corregir las diversas vulnerabilidades que pudieran presentarse en una revisin exhaustiva de las
estaciones de trabajo, redes de comunicaciones o servidores. Una vez obtenidos los resultados, se
detallan, archivan y reportan a los responsables quienes debern establecer medidas preventivas
de refuerzo, siguiendo siempre un proceso secuencial que permita a los administradores mejorar
la seguridad de sus sistemas aprendiendo de los errores cometidos con anterioridad.
Anlisis forense. El anlisis forense es una metodologa de estudio ideal para el anlisis
posterior de incidentes, mediante el cual se trata de reconstruir cmo se ha penetrado en
el sistema, a la par que se valoran los daos ocasionados. Si los daos han provocado la
inoperabilidad del sistema, el anlisis se denomina anlisis postmortem.
Auditora de cdigo de aplicaciones. Anlisis del cdigo tanto de aplicaciones pginas Web
como de cualquier tipo de aplicacin, independientemente del lenguaje empleado
Realizar auditoras con cierta frecuencia asegura la integridad de los controles de seguridad
aplicados a los sistemas de informacin. Acciones como el constante cambio en las
configuraciones, la instalacin de parches, actualizacin de los softwares y la adquisicin de nuevo
hardware hacen necesario que los sistemas estn continuamente verificados mediante auditora.
Una auditora se realiza con base a un patrn o conjunto de directrices o buenas practicas
sugeridas. Existen estndares orientados a servir como base para auditoras de informtica. Uno
de ellos es COBIT (Objetivos de Control de la Tecnologas de la Informacin), dentro de los
objetivos definidos como parmetro, se encuentra el "Garantizar la Seguridad de los Sistemas".
Adicional a este estndar podemos encontrar el standard ISO 27002, el cual se conforma como un
cdigo internacional de buenas prcticas de seguridad de la informacin, este puede constituirse
PREGUNTAS
Cul es la frecuencia ideal con la que debe practicarse una auditora? Continua
Cul es el proyecto que debera ser tenido en cuenta para un testeo metodolgico al
momento de ejecutar un anlisis de seguridad? OSSTMM
Cmo se conoce al desarrollo que realiz ISACA, tomando como referencia los modelos
de control COSO? COBIT
Cules son funciones a realizar por el auditor informtico? Revisar y juzgar los controles
implantados en los circuitos y sistemas informticos, Revisar y juzgar el nivel de eficacia,
utilidad fiabilidad y seguridad de los sistemas utilizados
CAPTULO 15
15.1 INFORMTICA FORENSE
La Informtica forense permite la solucin de conflictos tecnolgicos relacionados con seguridad
informtica y proteccin de datos. Gracias a ella, las empresas obtienen una respuesta a
problemas de privacidad, competencia desleal, fraude, robo de informacin confidencial y/o
espionaje industrial surgidos a travs de uso indebido de las tecnologas de la informacin.
Mediante sus procedimientos se identifican, aseguran, extraen, analizan y presentan pruebas
generadas y guardadas electrnicamente para que puedan ser aceptadas en un proceso legal.
Segn el FBI, la informtica (o computacin) forense es la ciencia de adquirir, preservar, obtener y
presentar datos que han sido procesados electrnicamente y guardados en un medio
computacional. Desde 1984, el Laboratorio del FBI y otras agencias que persiguen el cumplimiento
de la ley empezaron a desarrollar programas para examinar evidencia computacional.
Si bien es cierto que originalmente, la potencia de la informtica forense se orientaba
especficamente a computadores, la constante evolucin de la tecnologa ha borrado esos lmites
de modo tal que sea posible extender un anlisis forense ms all de los limites de los
computadores tradicionales. Hoy en da, PDAs, telfonos celulares y otros dispositivos, suelen ser
objeto de una investigacin forense. Es fundamental remarcar que la Informtica Forense no
aplica sino hasta despus de acontecido un incidente.
Para qu sirve? Para garantizar la efectividad de las polticas de seguridad y la proteccin tanto
de la informacin como de las tecnologas que facilitan la gestin de esa informacin.
En qu consiste? Consiste en la investigacin de los sistemas de informacin con el fin de
detectar evidencias de la vulneracin de los sistemas.
Para realizar un adecuado anlisis de Informtica forense se requiere un equipo multidisciplinar
que incluya profesionales expertos en derecho de las TI y expertos tcnicos en metodologa
forense. Esto es as porque se trata de garantizar el cumplimiento tanto de los requerimientos
jurdicos como los requerimientos tcnicos derivados de la metodologa forense.
Cul es su finalidad? Cuando una empresa contrata servicios de Informtica forense puede
perseguir objetivos preventivos, anticipndose al posible problema u objetivos correctivos, para
una solucin favorable una vez que la vulneracin y las infracciones ya se han producido.
En conclusin, estamos hablando de la utilizacin de la informtica forense con una finalidad
preventiva, en primer trmino. Como medida preventiva sirve a las empresas para auditar,
mediante la prctica de diversas pruebas tcnicas, que los mecanismos de proteccin instalados y
las condiciones de seguridad aplicadas a los sistemas de informacin son suficientes. Asimismo,
permite detectar las vulnerabilidades de seguridad con el fin de corregirlas. Cuestin que pasa por
redactar y elaborar las oportunas polticas sobre uso de los sistemas de informacin facilitados a
los empleados para no atentar contra el derecho a la intimidad de esas personas.
Por otro lado, cuando la seguridad de la empresa ya ha sido vulnerada, la informtica forense
permite recoger rastros probatorios para averiguar, siguiendo las evidencias electrnicas, el origen
del ataque (si es una vulneracin externa de la seguridad) o las posibles alteraciones,
manipulaciones, fugas o destrucciones de datos a nivel interno de la empresa para determinar las
actividades realizadas desde uno o varios equipos concretos.
Qu metodologas utiliza la Informtica forense? Las distintas metodologas forenses incluyen la
recogida segura de datos de diferentes medios digitales y evidencias digitales, sin alterar los datos
de origen. Cada fuente de informacin se cataloga preparndola para su posterior anlisis y se
documenta cada prueba aportada. Las evidencias digitales recabadas permiten elaborar un
dictamen claro, conciso, fundamentado y con justificacin de las hiptesis que en l se barajan a
partir de las pruebas recogidas.
Cul es la forma correcta de proceder? Y, por qu? Todo el procedimiento debe hacerse tenido
en cuenta los requerimientos legales para no vulnerar en ningn momento los derechos de
terceros que puedan verse afectados. Ello para que, llegado el caso, las evidencias sean aceptadas
por los tribunales y puedan constituir un elemento de prueba fundamental, si se plantea un litigio,
para alcanzar un resultado favorable.
La informtica forense est adquiriendo una gran importancia dentro del rea de la informacin
electrnica, esto debido al aumento del valor de la informacin y/o al uso que se le da a sta, al
desarrollo de nuevos espacios donde es usada (por Ej. el Internet), y al extenso uso de
computadores por parte de las compaas de negocios tradicionales (por Ej. bancos). Es por esto
que cuando se realiza un crimen, muchas veces la informacin queda almacenada en forma
digital. Sin embargo, existe un gran problema, debido a que los computadores guardan la
informacin de forma tal que no puede ser recolectada o usada como prueba utilizando medios
comunes, se deben utilizar mecanismos diferentes a los tradicionales. Es de aqu que surge el
estudio de la computacin forense como una ciencia relativamente nueva.
Resaltando su carcter cientfico, tiene sus fundamentos en las leyes de la fsica, de la electricidad
y el magnetismo. Es gracias a fenmenos electromagnticos que la informacin se puede
almacenar, leer e incluso recuperar cuando se crea eliminada. La informtica forense, aplicando
procedimientos estrictos y rigurosos puede ayudar a resolver grandes crmenes apoyndose en el
mtodo cientfico, aplicado a la recoleccin, anlisis y validacin de todo tipo de pruebas digitales.
Estos objetivos son logrados de varias formas, entre ellas, la principal es la recoleccin de
evidencia.
Prosecucin Criminal: Evidencia incriminatoria puede ser usada para procesar una variedad
de crmenes, incluyendo homicidios, fraude financiero, trfico y venta de drogas, evasin
de impuestos o pornografa infantil.
Litigacin Civil: Casos que tratan con fraude, discriminacin, acoso, divorcio, pueden ser
ayudados por la informtica forense.
Temas corporativos: Puede ser recolectada informacin en casos que tratan sobre acoso
sexual, robo, mal uso o apropiacin de informacin confidencial o propietaria, o an de
espionaje industrial.
15.1.3 Metodologa
Tal como sucede en el resto de las prcticas, los investigadores forenses a menudo suelen llevar
adelante sus procesos de investigacin siguiendo algn tipo de metodologa ampliamente
aceptada por la comunidad profesional. A continuacin, se describen las principales etapas a
menudo asociadas a una metodologa efectiva de investigacin forense (Identificacin,
Adquisicin, Autenticacin, Anlisis y Presentacin) as como tambin los principales aspectos
relacionados con cada una de ellas:
Identificacin: Durante esta parte de la investigacin, se busca de alguna forma, determinar a
nivel general, la magnitud de la misma, identificando aquellos puntos sobre los cuales se llevara a
cabo el trabajo forense y obteniendo en definitiva un resumen de los pasos a seguir. Entre las
tareas propias de esta etapa se encuentran:
Generacin de las tareas a realizar as como el orden de las mismas, teniendo en cuenta el
tipo de incidente y los dispositivos afectados.
Obtencin de las rdenes necesarias para comenzar con las prcticas forenses, teniendo en
cuenta las leyes imperantes en el lugar del incidente, as como las polticas internas de la
compaa.
fundamental e imprescindible, en toda investigacin para la cual se requiera una instancia judicial.
En la prctica, esto se traduce como la utilizacin de herramientas capaces de generar sumas de
verificacin mediante el uso de funciones hash como los provistos por los algoritmos MD5 y
SHA. La particularidad de este tipo de algoritmos, es que suelen cumplir con propiedades bsicas
e imprescindibles al momento de autenticar documentos electrnicos.
Anlisis: Esta es la etapa donde el investigador forense, en muchos casos en la tranquilidad de su
laboratorio, valindose de copias forenses validadas, iniciar la exanimacin en busca de todos
aquellos datos que puedan concluir en evidencia. Algunas tareas propias de esta etapa son:
Correlacin de Logs.
Etc.
relacionado con los atributos que la misma debe poseer a fin de que esta pueda ser considerada
admisible ante una corte. A continuacin se mencionan brevemente dichos atributos principales:
Qu era la evidencia?
15.1.6 Recomendaciones
A la hora de llevar a cabo una investigacin forense, deberan ser tenidas en cuenta algunas
recomendaciones de nivel general, con el objeto de no perder de vista algunos de los aspectos
ms importantes relacionados con dicho proceso. A continuacin se mencionan una escueta lista
de carcter general:
Documentar TODO.
Contratar profesionales.
Preservar
Sobre recolectar evidencia digital, las acciones tomadas no deben cambiar por ningn
motivo esta evidencia.
Cuando es necesario que una persona tenga acceso a evidencia digital original, esa persona
debe ser un profesional forense.
Cualquier agencia que sea responsable de recolectar, tener acceso, almacenar o transferir
evidencia digital es responsable de cumplir con estos principios.
Durabilidad.
Otros materiales se magnetizan con dificultad (es decir, requieren de un campo magntico
fuerte), pero una vez se magnetizan, mantienen su magnetizacin cuando el campo se
apaga. Se llaman Materiales Magnticos Duros, o Magnetos Permanentes.
Estos cuatro fenmenos son explotados por los fabricantes de cabezas grabadoras magnticas,
que leen y escriben datos, para almacenar y recuperar datos en unidades de disco, de cinta y otros
dispositivos de almacenamiento magntico.
Aplicaciones en almacenamiento de datos:
escritos N y S) son detectados como cambios en el voltaje. Estas fluctuaciones de voltaje es decir,
la seal- son conducidas a las terminales sensoras del GMR. Sin embargo, el ruido elctrico est
presente en todos los circuitos elctricos (las cabezas GMR no son la excepcin), por lo que la
seal combinada con el ruido de un lector GMR son enviados por medio de cables los circuitos
electrnicos de la unidad de disco, para decodificar la secuencia de tiempo de los impulsos (y los
espacios entre los impulsos) en unos y ceros binarios.
Archivo Swap de Windows: Los sistemas operativos Microsoft Windows utilizan un archivo
especial como un "cuaderno de apuntes" para escribir datos cuando se necesita memoria de
acceso aleatorio adicional. En Windows 95/98/ME/XP, a estos archivos se les conoce como
Archivos Swap de Windows. En Windows NT/2000 se conocen como directorios de pgina de
Windows pero tiene esencialmente las mismas caractersticas que los de Win9x.
Los archivos de intercambio son potencialmente enormes y la mayora de los usuarios de PC son
inconscientes de su existencia. El tamao de estos archivos puede extenderse desde 20MB a
200MB, el potencial de estos es contener archivos sobrantes del tratamiento de los procesadores
de texto, los mensajes electrnicos, la actividad en Internet (cookies, etc), logs de entradas a
bases de datos y de casi cualquier otro trabajo que haya ocurrido durante las ltimas sesiones.
Todo esto genera un problema de seguridad, porque el usuario del computador nunca es
informado de este almacenamiento transparente. Los Archivos Swap de Windows actualmente
proporcionan a los especialistas en computacin forense pistas con las cuales investigar, y que no
se podran conseguir de otra manera.
Unallocated File Space: Cuando los archivos son borrados o suprimidos en DOS, Win9x,
WinNT/2003, el contenido de los archivos no es verdaderamente borrado. A menos que se utilice
algn software especial que ofrezca un alto grado de seguridad en el proceso de eliminacin, los
datos "borrados", permanecen en un rea llamada espacio de almacenamiento no-asignado
(Unallocated File Space). Igual sucede con el file slack asociado al archivo antes de que ste fuera
borrado. Consecuentemente, siguen existiendo los datos, escondidos pero presentes, y pueden
ser detectados mediante herramientas de software para el anlisis de la computacin forense.
Retiro de la lmina reflectiva : Se puede retirar la lmina con algn elemento cortante, sin
embargo se debe destruir la lmina reflectiva, y an as pueden quedar algunos rastros de
datos en el policarbonato.
Cortar en pedazos : Con una cortadora industrial de papel, el CD podra ser destruido, sin
embargo, la lmina reflectiva podra separarse del CD y no ser cortada correctamente.
Re-escritura : Para los CDs re-escribibles, es posible volverlos a escribir de tal forma que el
proceso dae los datos. Sin embargo, no se sabe si por mecanismos especiales sea posible
recuperar la informacin.
Rayado Simple : A menos que uno quiera ser realmente precavido, la forma mas fcil de
destruir un CD es rayando la parte superior. La razn por la que se debe rayar la parte
superior es porque es esta la que mantiene los datos. Si es rayada la parte inferior es fcil
recuperar la capa y corregir el problema, utilizando productos comerciales para recuperar
CDs.
EnCase: EnCase es un ejemplo de herramientas de este tipo. Desarrollada por Guidance Software
Inc, permite asistir al especialista forense durante el anlisis de un crimen digital.
Se escogi mostrar esta herramienta por tratarse del software lder en el mercado, el producto
ms ampliamente difundido y de mayor uso en el campo del anlisis forense.
Algunas de las caractersticas ms importantes de EnCase se relacionan a continuacin:
Copiado Comprimido de Discos Fuente. Encase emplea un estndar sin prdida (loss-less)
para crear copias comprimidas de los discos origen. Los archivos comprimidos resultantes,
pueden ser analizados, buscados y verificados, de manera semejante a los normales
(originales). Esta caracterstica ahorra cantidades importantes de espacio en el disco del
computador del laboratorio forense, permitiendo trabajar en una gran diversidad de casos
al mismos tiempo, examinando la evidencia y buscando en paralelo.
involucran una gran cantidad de discos duros, discos extrables, discos zip y otros tipos
de dispositivos de almacenamiento de la informacin. Con Encase, el examinador puede
buscar todos los datos involucrados en un caso en un solo paso. La evidencia se clasifica, si
esta comprimida o no, y puede ser colocada en un disco duro y ser examinada en paralelo
por el especialista. En varios casos la evidencia puede ser ensamblada en un disco duro
grande o un servidor de red y tambin buscada mediante EnCase en un solo paso.
Anlisis Electrnico Del Rastro De Intervencin. Sellos de fecha, sellos de hora, registro de
accesos y la actividad de comportamiento reciclado son a menudo puntos crticos de una
investigacin por computador. EnCase proporciona los nicos medios prcticos de
recuperar y de documentar esta informacin de una manera no invasora y eficiente. Con la
caracterstica de ordenamiento, el anlisis del contenido de archivos y la interfaz de
EnCase, virtualmente toda la informacin necesitada para un anlisis de rastros se puede
proporcionar en segundos.
Vista de archivos y otros datos en el espacio Unallocated. EnCase provee una interfaz tipo
Explorador de Windows y una vista del Disco Duro de origen, tambin permite ver los
archivos borrados y todos los datos en el espacio Unallocated. Tambin muestra el Slack
File con un color rojo despus de terminar el espacio ocupado por el archivo dentro del
Visualizador Integrado de imgenes con Galera. EnCase ofrece una vista completamente
integrada que localiza automticamente, extrae y despliega muchos archivos de imgenes
como .gif y .jpg del disco. Seleccionando la "Vista de Galera" se despliega muchos
formatos de imgenes conocidas, incluyendo imgenes eliminadas, en el caso de una vista
pequea. El examinador puede despus escoger las imgenes relevantes al caso e
inmediatamente integrar todas las imgenes en el reporte de EnCase. No es necesario ver
los archivos grficos usando software de terceros, a menos que el formato de archivo no
sea muy conocido y todava no sea soportado por EnCase.
Conservar notas detalladas. Estas deberan incluir fechas y horarios. Si es posible generar
un copia automtica. (por ejemplo, sobre los sistema Unix, se puede utilizar el programa
"Script", sin embargo, el archivo output que se genera no debera ser para medios, es decir
parte de la evidencia). Las notas y las impresiones deberan ser firmadas y fechadas.
Notar la diferencia entre el sistema real y el UTC. Para cada marca de tiempo provista,
indicar si se utiliza UTC y hora local.
Estar preparado para testificar (tal vez aos ms tarde) trazando todas las acciones que
tomaste y en que momentos. Las notas detalladas sern vitales.
Minimizar los cambios a los datos a medida que los van recolectando. Esto no esta limitado
a los cambios de contenido, tu deberas evitar la actualizacin de archivos o tiempos de
acceso de directorio.
Para cada dispositivo, debera adoptarse un enfoque metdico que siga las directivas
establecidas de tu procedimiento de recoleccin. La velocidad ser a menudo critica, por
eso donde exista un numero de dispositivos que requieran examen puede ser apropiado
extender el trabajo entre tu equipo para recolectar la evidencia en paralelo. Sin embargo,
en una recoleccin de sistema simple debera realizarse paso por paso.
Deberas hacer una copia a nivel de bit de los medios del sistema. Si deseas hacer un
anlisis forense, deberas hacer una copia a nivel de bit de tu copia de evidencia para tal
fin, ya que tu anlisis alterar casi seguramente el tiempos de acceso de los archivos.
Orden de volatilidad
Cuando recolectes la evidencia deberas proceder desde los voltil a lo menos voltil. Aqu hay un
ejemplo de orden de volatilidad para un sistema tpico.
Registros, Cache.
Disco
Medio de Archivos.
Se puede perder mucha evidencia y el atacante puede haber alterado los startup/shutdown
scripts/services para destruir evidencia.
Cuando elimines los caminos externos para el cambio, observa que simplemente
desconectando o filtrando desde la red puede accionar "deadman switches" que detectan
cuanto estn fuera de la red y limpian la evidencia.
Consideraciones privadas
Respetar las reglas de privacidad y las directivas de tu compaa y de tu jurisdiccin legal. En
particular, asegrate de que ninguna informacin recolectada junto con la evidencia que ests
buscando est disponible a cualquiera que normalmente no tuviera acceso a esta informacin.
Esto incluye acceso a archivos log (que pueden revelar modelos de comportamiento del usuario)
as como tambin archivos de datos personales.
No te entrometas en la privacidad de la gente sin una justificacin convincente. En particular, no
recolectes informacin de reas a las que tu normalmente no tienes porque acceder (tales como
almacenamiento de archivos personal) al menos que tengas indicios suficientes de que existe un
incidente real.
Asegrate de que tengas el apoyo de los procedimientos establecidos de tu compaa en seguir
los pasos que t haces para recolectar la evidencia de un incidente.
Consideraciones Legales
La Evidencia de computadora necesita ser:
Admisible: debe estar de acuerdo con ciertas reglas legales antes de ser puesta ante una
corte.
Herramientas necesarias
Deberas tener los programas que necesitas para realizar la recoleccin de evidencia y anlisis
forense en medios de solo lectura (por Ej. Un CD). Deberas tener preparado un set de
herramientas para cada uno de los sistemas operativos que manejes antes de tener que usarlo.
Tu test de herramientas debera incluir lo siguiente:
Programas para estado de sistemas de examen (por Ej. "showrev", "ifconfig", "netsat",
"arp").
Programas para generar sumas de control y Firmas (por Ej. "shalsum", a cheksum-enabled
"dd", "safeBack", "pgp").
Programas para generar imgenes esenciales y para examinarlas (por Ej. "goore", "gdb").
Los ordenadores y las redes pueden verse involucrados en un crimen informtico siendo las
herramientas utilizadas para cometer el crimen, las vctimas del crimen o ser utilizadas para
propsitos incidentales relacionados con el crimen. El Anlisis Forense de Sistemas comprende el
proceso de extraccin, conservacin, identificacin, documentacin, interpretacin y presentacin
de las evidencias digitales de forma que sean legalmente aceptadas en cualquier proceso legal,
proporcionando las tcnicas y principios que facilitan la investigacin del delito.
Linux es un entorno ideal en el cual realizar tareas de anlisis forense pues est dotado de gran
variedad de herramientas que facilitan todas las etapas que se deben llevar a cabo en la
realizacin de un anlisis exhaustivo de un sistema comprometido.
Otra ventaja de GNU/Linux para investigadores forenses es la capacidad del interfaz "loopback",
que permite montar un chero que contiene una imagen del disco (obtenida con dd) dentro del
sistema de cheros de la estacin de anlisis
Los pasos para empezar la investigacin de un incidente son diferentes en cada caso. El
investigador debe tomar decisiones basndose en su experiencia y el "sexto sentido" para llegar al
fondo del asunto. No es necesario seguir pasos determinados, ni su orden es importante a veces.
Puede que algunos pasos bsicos sean ms de lo que hace falta y tambin puede ser que estos
sean insuficientes para solucionar el problema. Los pasos bsicos pueden concluir en localizar
todas las huellas y eventos que se produjeron. Y en supuestos los pasos bsicos no han desvelado
la situacin, se debe recurrir a llevar acabo un anlisis profundo o de-compilacin de las
aplicaciones encontradas durante la bsqueda. Estas aplicaciones pueden ser escritas totalmente
desde cero y protegidas, pero en la mayora de los casos son aplicaciones utilizadas de forma
comn, que circulan por la red, estn o no estn protegidas. Cuando hablamos de proteccin de
cheros podemos hablar sobre tcnicas de confusin, ofuscacin y compresin (Ver apndice A
para detalles).
Una vez que el Administrador del sistema tenga sospechas de que su sistema haya sido violado, y
que no existan pruebas que indiquen lo contrario como por ejemplo resultados de chequeos de
integridad realizados por por alguna herramienta como Tripwire o AIDE (Advanced Intrusion
Detection Environment), tiene que considerar que efectivamente el sistema ha sido violado. Desde
aqul momento, es necesario tener mximo cuidado para evitar que se produzca cualquier
alteracin de la "escena del crimen".
Hay varios tipos de pruebas que oculta el sistema, con diferentes niveles de volatilidad, en lugares
como registros del procesador, estructura de datos en la memoria, swap, estructuras de datos de
red, contadores, procesos de usuario en memoria y stacks, cache del le system, el le system y
etc.
Ser muy difcil o casi imposible de reunir toda esa informacin en el preciso momento que el
intruso est operando, por lo tanto necesitamos prescindir de ella y reunir aquella informacin,
que se recoge con mayor facilidad antes de llegada de un especialista forense que determinar el
mtodo de entrada, actividad de intrusos, identidad y origen de intrusos, duracin de
compromiso, posiblemente lo bastante para localizarles). En otras palabras Cmo? Qu?
Quin? De dnde? Cuando?
La opcin ms fcil es de evitar que las cosas no cambien - cerrar el sistema o suspender su
funcionamiento. Normalmente los sistemas Unix se cierran con el comando shutdown. Eso se hace
para asegurarse que todos los servicios han nalizado de forma limpia, todos los cheros cache y
buffers de sistemas estn usheados y los usuarios estn noticados. Este procedimiento es
perfecto para sistemas intactos, pero en un sistema afectado, esa accin, lo ms seguro que borre
alguna informacin de inters. Hubo casos cuando los intrusos programaban sistemas para
eliminar algunos cheros en la mquina cuando el interfaz de red se deshabilitase ( es decir,
cuando el cable de conexin haya sido desconectado) o cuando el procedimiento de un shutdown
normal haya sido activado.
Para prevenir esas modicaciones del sistema de cheros es mejor sacar el cable de electricidad
del enchufe (S, s, lo has ledo bien). Hay que estar informados que puede ser que alguna
informacin en la memoria o informacin del cache no guardada en el disco puede ser eliminada
como estado de red, procesos ejecutndose en la memoria, accesos a memoria kernel, contenido
de registros swap, etc.
Para ello antes de sacar el cable del enchufe puede hacer lo siguiente; ejecutar varios comandos
antes de apagar de forma "bruta" el sistema. Se debe hacerlo en una sesin script.
script -a fichero
Tambin se pueden utilizar algunas herramientas para obtener informacin de utilidad:
last, w, who - Obtener el listado de usuarios actuales en el sistema, logins anteriores, etc.
ls - Obtener el listado largo (ls -lat) de cheros en lugares sospechosos, los home
directories, directorio /dev, directorio /root, etc.
ps - Obtener el listado largo de todos los procesos incluidos aquellos sin ttys (e.g., ps
auxwww y ps elfwww -- aadir ms ags w si el listado se acorta).
lsof - Obtener un listado completo de descriptores de cheros, que puede mostrar algunos
backdoors, sniffers, eggdrop IRC bots, redireccionadores de puertos para VNC, etc.
nc (NetCat) Permite transferir va red la informacin del equipo afectado a otro sistema
en el cual realizar el anlisis. Ej.
En el sistema de anlisis de ejecutar: nc l p puerto > fichero de salida
En el sistema comprometido se ejecutar: cat /etc/passwd | nc maquina de
anlisis puerto -w 2
fdisk muestra las particiones existentes en cada unidad de disco, estn o no montadas
en ese momento
dd Permite crear imgenes (copias bit a bit) de los sistemas de archivos. Ej. dd
if=/dev/fd0 of=/tmp/disco.img
La ejecucin del comando dd if=/dev/zero of=/dev/fd0 permite inicializar
completamente el dispositivo sobre el que se va a almacenar la imagen.
Si no hay seguridad de que las utilidades comunes estn mostrando la verdadera situacin, se
debe utilizar aplicaciones alternativas. Los mdulos de kernel cargables (LKM) o libreras
dinmicas, pueden estar alteradas para proporcionar informacin falsa. En estos casos se debe
utilizar binarios compilados de forma esttica desde un toolkit como Fire Biatchux o descargados
de la web de incident-responce.org.
Se debe cuestionar permanentemente la informacin que el servidor est proporcionando. Sera
aconsejable y mucho ms fcil y seguro si simplemente el disco duro fuese extrado de la mquina
afectada y fuese montado en modo slo lectura en una estacin de anlisis similar al servidor
atacado.
Se debe tambin considerar montar el disco como noexec y nodev para asegurarse que no pueda
ser ejecutada ninguna aplicacin desde el disco duro comprometido y que se ignoren los cheros
de dispositivos en el directorio /dev. Ej. mount -o ro,noexec,nodev /dev/hda1 /t
Si no disponemos de un equipo dedicado para el anlisis, ni decidimos llevarlo por la va ocial,
pero tenemos el inters de conocer los detalles del ataque y el equipo tiene un CD-ROM, existen
herramientas forenses que permiten el estudio post-mortem "en situ". Un buen ejemplo de
herramienta de este tipo es Fire-Biatchux que permite tener de forma instantnea un entorno de
anlisis seguro, proporcionando copias ntegras de todos los binarios necesarios de GNU/Linux y
Solaris para llevar acabo la investigacin.
Anlisis con Autopsy
Autopsy es un frontal Web que permite realizar operaciones de anlisis forense sirviendo como
interfaz grfico del popular juego de herramientas forenses The Sleuth Kit (TSK). TSK es un
referente en el mundo del anlisis forense mediante la lnea de mandatos, y que permite a los
investigadores lanzar auditoras forenses no intrusivas en los sistemas a investigar. Probablemente
la mayor concentracin de uso de TSK la tengamos en dos tipos de anlisis: anlisis genrico de
sistemas de archivos y lneas temporales de ficheros.
TSK tiene una larga historia, ya que emplea el mismo cdigo que The Coroner's Toolkit (TCT), de
Wietse Venema y Dan Farmer, y puede ser empleado en plataformas Linux, Mac OS X, CYGWIN,
OpenBSD, FreeBSD y Solaris. Es posible su instalacin en Windows, aunque es poco frecuente, ya
que la mayora de suites forenses suelen estar disponibles como live CDs de Linux, aprovechando
no slo la abundancia de aplicaciones libres, sino la integracin de las mismas.
Para facilitar la labor de los investigadores, TSK y Autopsy suelen ir de la mano, lo que hace que no
sea necesario invocar constantemente la lnea de comandos cuando queremos inspeccionar una
imagen.
Una vez el disco ha sido sacado de la mquina, debe ser almacenado de forma segura para poder
ser utilizado como prueba a posteriori en un juicio. Si no se almacena de forma correcta, no ser
la primera vez que la investigacin no pueda seguir o las pruebas se declaren nulas por parte de
un juez o jurado por contaminacin o tratamiento indebido.
Es necesario tomar notas de lo que se hace con el disco duro, y a que hora, almacenndolo en una
ubicacin segura como por ejemplo una caja fuerte. Es recomendable que siempre que se trabaje
con el medio original est acompaado por un colega, para que conste a los efectos legales y su
testimonio pueda ser conrmado por alguien con un nivel de conocimientos similar.
Las copias deben ser hechas bit-por-bit, es decir ser necesario hacer imgenes del disco. La
investigacin debe ser llevada sobre una copia y nunca sobre el disco original. Se debe hacer tres
copias del disco duro original. Sobre todas las copias y original se debe llevar acabo una
verificacin criptogrcas - un checksum MD5.
Est analizando el sistema con las herramientas forenses especcas o no, se debe de seguir los
mismos pasos bsicos siempre para prepararse para el anlisis completo del sistema.
Empezar haciendo apuntes detallados en el cuaderno. Tener bien detallados apuntes con la
fecha y hora del inicio y n de cualquier trabajo realizado ser muy til durante y al nal
del anlisis. Es importante que todos los hechos pertinentes al caso durante la preparacin,
recuperacin y anlisis de las pruebas sobre un ataque, estn perfectamente
documentados. Estas notas servirn como base para poder desarrollar un informe
detallado de incidencia que se debe preparar una vez terminado el anlisis. Este
documento deber servir como una prueba del incidente o ataque. Siempre que se realiza
cualquier apunte al cuaderno, el asistente debe tener un completo conocimiento y
entendimiento de lo que ha sido apuntado.
Haga 3 imgenes del disco duro entero y trabaje con copias, y no con el original! En el
peor caso que tenga que trabajar con el disco original correra el riesgo de hacer una
pequea equivocacin que eliminara las huellas de forma parcial o total. El original debe
ser almacenado en una caja fuerte para estar totalmente seguros que el contenido del
dispositivo no est alterado o eliminado. Para ello generaramos vericaciones de
integridad MD5, las imprimiremos en etiquetas y stas las pegaremos en el original y en las
copias. La etiqueta del original debe contener la fecha y hora de extraccin del disco del
sistema comprometido, y la fecha y hora de almacenamiento del disco en la caja fuerte. Las
etiquetas de las 3 copias deben tener letras de alfabeto griego (como ejemplo).
A la hora de verificar los MD5 del disco y de la/s cintas si al menos un nico byte ha sido
modificado a la hora de realizar la duplicacin o backup, el checksum no coincidir. Eso
puede estar causado por un sector daado en el disco duro o en la cinta, puede que haya
hecho una copia del sistema "vivo" (no montado read-only), o haya hecho la copia de una
particin incorrecta.
grave-robber - Una utilidad para capturar informacin sobre inodes, para luego pueda ser
procesada por el programa mactime del mismo toolkit.
unrm y lazarus - Herramientas para la recuperacin de archivos borrados (logs, RAM, swap,
etc.). Estas aplicaciones identican y recuperan la informacin oculta en los sectores del
disco duro.
De todas esas herramientas, las ms tiles y interesantes son grave-robber y mactime. unrm y
lazarus son buenas si se tiene mucho tiempo y espacio libre en el disco, ya que el programa
necesita identicar informacin en los sectores del disco para recuperar los cheros (logs, fuentes,
etc..) borrados por los intrusos.
La funcin ms bsica de grave-robber es de escanear algunas o todas sistemas de cheros con
funcin stat() para obtener informacin de los inodes. Grave-robber crea en la carpeta /data un
directorio llamado como el nombre del host de la mquina y all almacena los inodes, dentro del
chero body. El programa mactime luego ordena los resultados y los muestra: segn el tiempo,
cual de los tres timestamps corresponde, muestra el tipo de chero, tamao y a quin pertenece
junto con el path.
Desde el listado, podremos sacar algunas conclusiones sobre la actividad que ha ejercido el
intruso/los intrusos durante el tiempo que estuvieron dentro del sistema. Eso puede incluir
instalacin de caballos de Troya, backdoors, sustitucin de cheros legtimos del sistema
operativo, descarga de herramientas, modificacin de las libreras del sistema o instalacin de
rpms/debs/pkgs etc. Tambin podemos ver desde aqu la creacin de directorios ocultos,
ejecucin de los comandos de sistema operativo, compilacin y ejecucin de aplicaciones. Toda
esa informacin que nunca se almacena de forma directa, puede ser extrada de la informacin
que da mactime.
se haya identificado un ataque. Constituye un punto clave dentro de los planes de seguridad de la
informacin, ya que mientras que la deteccin del incidente es el punto que afecta a la seguridad
del sistema, la respuesta define cmo debe reaccionar el equipo de seguridad para minimizar los
daos y recuperar los sistemas, todo ello garantizando la integridad del conjunto.
El plan de respuesta a incidentes suele dividirse en varias fases, entre las que destacan:
1) respuesta inmediata, para evitar males mayores, como reconfigurar automticamente las
reglas de los cortafuegos o inyectar paquetes de RESET sobre conexiones establecidas
2) investigacin, para recolectar evidencias del ataque que permitan reconstruirlo con la
mayor fidelidad posible
3) recuperacin, para volver a la normalidad en el menor tiempo posible y evitar que el
incidente se repita de nuevo
4) creacin de informes, para documentar los datos sobre los incidentes y que sirvan como
base de conocimiento con posterioridad, para posibles puntos de mejora y como
informacin para todos los integrantes de la organizacin. De manera adicional, se hacen
necesarios los informes por posibles responsabilidades legales que pudieran derivarse.
Suelen distinguirse dos tipos de evidencia. La primera, conocida como voltil, comprende la
informacin que desaparece cuando un sistema informtico pierde la alimentacin elctrica. Por
consiguiente, en esta categora se incluye tanto la memoria RAM , los procesos activos y usuarios
conectados, as como la informacin de la red y aplicaciones a la escucha en todos los puertos en
el momento de la interrupcin. El segundo tipo de evidencia es la de disco, que puede ser
capturada sin necesidad de tener la mquina encendida, simplemente con acceso fsico al disco.
Dada su fragilidad, y que puede perderse con mucha facilidad, este tipo de evidencia es la primera
que debe ser recogida. Por tanto, en la medida de lo posible, la mquina objeto del anlisis no
debera ser apagada o reiniciada hasta que se haya completado el proceso. Si se ha ensayado con
anterioridad o es realizado por un especialista, no debera llevar ms de unos pocos minutos.
La teora seala que la herramienta perfecta para esta tarea no debera apoyarse en absoluto en el
sistema operativo objeto del anlisis, pues ste podra haber sido fcilmente manipulado para
devolver resultados errneos. Sin embargo, a pesar de que tales herramientas existen, como la
tarjeta PCI Tribble, son herramientas hardware, que necesitan estar instaladas en la mquina
antes de la intrusin, ataque o anlisis de la misma. Evidentemente, este escenario slo es factible
para mquinas que procesan informacin especialmente sensible, cuyo hardware puede ser
fcilmente controlado.
En el resto de casos, la inmensa mayora, hay que conformarse con utilizar herramientas software
y limitar el proceso de recoleccin de informacin a los mnimos pasos posibles, con el fin de
generar el menor impacto posible sobre la mquina analizada.
Existen varias distribuciones especializadas en anlisis forense, pero quiz las ms adecuadas sean
Helix, de la empresa e-fense, especializada en anlisis forense (www.e-fense.com) y BackTrack,
orientada tambin a pruebas de intrusin (www.remote-exploit.org/backtrack.html). Ambas son
de libre distribucin y directamente utilizables tanto en entornos Windows como Unix, por lo que
NTFS (New Technology File System) es un sistema de archivos diseado especficamente para
Windows NT (incluyendo las versiones Windows 2000, Windows 2003, Windows XP y Windows
Vista), con el objetivo de crear un sistema de archivos eficiente, robusto y con seguridad
incorporada desde su base. Tambin admite compresin nativa de ficheros, cifrado (esto ltimo
slo a partir de Windows 2000) e incluso transacciones (slo a partir de Windows Vista). Est
basado en el sistema de archivos HPFS de IBM/Microsoft usado en el sistema operativo OS/2, y
tambin tiene ciertas influencias del formato de archivos HFS diseado por Apple.
Todo lo que tiene que ver con los ficheros, se almacena en forma de metadatos. Esto permiti una
fcil ampliacin de caractersticas durante el desarrollo de Windows NT. un ejemplo lo hallamos
en la inclusin de campos de indexado aadidos para posibilitar el funcionamiento de Active
Directory.
Los nombres de archivo son almacenados en Unicode (UTF-16), y la estructura de ficheros en
rboles-B, una estructura de datos compleja que acelera el acceso a los ficheros y reduce la
fragmentacin, que era lo ms criticado del sistema FAT.
Se emplea un registro transaccional (journal) para garantizar la integridad del sistema de ficheros
(pero no la de cada archivo). Los sistemas que emplean NTFS han demostrado tener una
estabilidad mejorada, que resultaba un requisito ineludible considerando la naturaleza inestable
de las versiones ms antiguas de Windows NT. Sin embargo, a pesar de lo descrito anteriormente,
este sistema de archivos posee un funcionamiento prcticamente secreto, ya que Microsoft no ha
liberado su cdigo como hizo con FAT.
Gracias a la ingeniera inversa, aplicada sobre el sistema de archivos, se desarroll controladores
como el NTFS-3G que actualmente proveen a sistemas operativos GNU/Linux, Solaris, MacOS X o
BSD, entre otros, de soporte completo de lectura y escritura en particiones NTFS.
Tipo 3. Red. Entrada al sistema a travs de la red. Por ejemplo con el comando net use,
recursos compartidos, impresoras, etc.
Tipo 4. Batch. Entrada a la red desde un proceso por lotes o script programado.
Tipo 10. Remote Interactive. Cuando accedemos a travs de Terminal Services, Escritorio
Remoto o Asistencia Remota.
C:\RECYCLER\S-1-5-21-1417001333-343818398-1801674531-1004
C:\RECYCLER\ S-1-5-21-1417001333-343818398-1801674531-500
Si entramos en la carpeta del usuario en la ruta C:\RECYCLER\S-1-5-21-1417001333-3438183981801674531-500> Y ejecutamos Rifiuti (Herramienta de anlisis forense para la papelera de
reciclaje. Tambin est disponible para Linux), rifiuti INFO2>e:\analisis.txt
Automticamente se genera el archivo analisis.txt donde podremos saber: la fecha y hora de
eliminacin, la ruta de donde se eliminaron, y el tamao de todos los archivos que se enviaron a la
papelera de reciclaje
Cuando eliminamos un fichero, Windows lo renombra siguiendo este parmetro:
D <Unidad raz del sistema> <nmero> .Extensin del archivo
Es decir, que si nosotros quisisemos eliminar el archivo Contabilidad.doc y lo mandsemos a la
Papelera de Reciclaje, Windows lo renombrara de la siguiente manera: DC1.Doc. Si borrsemos
otro archivo, a ste nuevo archivo se le pondra el nmero 2, y as sucesivamente.
Si al menos un archivo se ha movido a la Papelera de Reciclaje, el archivo INFO2 existir. Cuando
se vaca la Papelera de Reciclaje, el contenido del archivo INFO2 se limpiar, y el nmero se
establecer de nuevo a 1. Es decir, el archivo INFO2 se suprime y se crea un nuevo y vaco INFO2.
SECURITY
SOFTWARE
SYSTEM
SAM
DEFAULT
El registro de Windows se crea durante la instalacin del sistema operativo. Est formado por seis
apartados, llamados HKEYS (llaves), perfectamente estructurados y donde se guarda importante
informacin de cada aplicacin o dispositivo conectado a nuestro ordenador, adems de todas las
claves de acceso. Los apartado son:
podramos buscar todo acceso fsico a la mquina, cambio de directivas y creacin de cuentas de
usuario. Eso nos podra dar una idea de quin toca el sistema. Por ejemplo, el evento 624 es el
referido por Windows para un suceso de creacin de cuenta de usuario. Otro ejemplo de suceso,
sera el relativo al inicio de sesin. Windows almacena este suceso con el identificador 528.
Windows tiene distintos archivos Log para auditar los posibles sucesos y/o errores que puedan
surgir en la vida til del sistema operativo. Algunos de ellos son:
En trminos resumidos, el Visor de eventos es una til herramienta para visualizar los logs del
sistema.
Ruta de instalacin
Clave de Producto
Aplicaciones Instaladas
Podemos utilizar varias herramientas para analizar el registro. Algunas de ellas son:
Una vez abierto estos archivos de sistema que referencian al registro de Windows (SECURITY,
SYSTEM, SOFTWARE, SAM, DEFAULT) con alguna de estas aplicaciones, podremos movernos por
sus distintas ramas, y poder as analizar los datos que contienen estos ficheros.
&date
/t
El comando SC me va a permitir conseguir una lista de los servicios que actualmente estn
corriendo en la mquina. Aunque SC posee muchos comandos para poder regular su salida, un
comando resultante vlido podra ser el siguiente:
SC query >ServiceOpen.txt
>>ServiceOpen.txt
&date
/t
>>ServiceOpen.txt
&time
/t
El tercer paso que vamos a realizar ser la recopilacin de supuestos procesos maliciosos, puertos
de escucha, identificacin de aplicaciones no autorizadas y la finalizacin de procesos legtimos.
Para saber cuantas conexiones tengo abiertas puedo utilizar el comando nativo de Windows
netstat. Utilizar la opcin a para conocer todas las conexiones y puertos de escucha, y la juntar
con la opcin -b para conocer el ejecutable que crea la conexin necesaria para llegar al TCP/IP. El
comando resultante fechado para su posterior anlisis quedara:
netstat ab >Conexiones.txt
Conexiones.txt
&date
/t
>>Conexiones.txt
&time
/t
Para saber los procesos que tenemos actualmente corriendo en nuestro sistema utilizaremos la
aplicacin nativa de Windows tasklist, o en su defecto pslist (sysinternals). Tambin utilizaremos la
herramienta Fport. Ambas herramientas (tasklist, pslist) permiten realizar esta operacin en local
como en remoto. El comando resultante quedara:
Tasklist
>Procesos.txt
>>Procesos.txt
&date
/t
>>Procesos.txt
&time
/t
Tambin vamos a recopilar informacin sobre los servicios que dependen de los procesos que
estn en funcionamiento. Tasklist tambin contempla esta situacin. El comando sera:
Tasklist
/SVC
>ProcesosYServicios.txt
&date
>>ProcesosYServicios.txt &time /t >>ProcesosYServicios.txt
/t
Muchas veces cuando en el sistema hay determinados rootkits, virus o troyanos, ste no nos
muestra una salida coherente, de ah a que siempre que podamos utilicemos aplicaciones que
sean lo menos intrusivas en el sistema. Si somos un poco paranoicos en ese tema, para ver los
puertos abiertos en un sistema podemos utilizar la herramienta fport. Por regla general, no nos
debemos fiar de un sistema en el que haya corriendo este tipo de virus. Bsicamente fport nos
muestra la misma salida que si ejecutsemos el comando nativo netstat con el filtro a y n.
Tambin puede identificar puertos desconocidos que estn abiertos, con sus correspondientes
procesos y PID. Tambin podramos recabar informacin sobre los mdulos que cargan estos
proceso
Podemos averiguar por ejemplo qu DLL estn asociadas a un determinado proceso.As
tendremos un control ms exhaustivo sobre los procesos. Para recabar esta informacin podemos
utilizar la herramienta de sysinternals ListDLLS.exe. Por ejemplo, si quisisemos averiguar qu DLL
dependen del proceso con PID 1548utilizaramos la siguiente sintaxis:
ListDLLS.exe 1548
/t>>DLL1548.txt
>DLL1548.txt
&date
/t
>>DLL1548.txt
&time
El cuarto paso que vamos a realizar ser una recopilacin de los ltimos accesos a ficheros,
clasificados por fechas. Esta lista nos servir de referencia a la hora de realizar el anlisis, y
podremos comprobar qu ficheros se modificaron en el da o los das en los que el sistema estuvo
comprometido. Podremos utilizar varias herramientas destinadas a tal fin, pero vamos utilizar slo
dos. En una primera instancia podremos utilizar el comando nativo de Windows DIR, con algunas
reglas para que nos muestre los ficheros modificados conforme a la fecha. Podramos utilizar el
siguiente comando:
DIR /t: a /a /s /o: d c:\ >Directory.txt &date /t >>Directory.txt
&time /t >>Directory.txt
/s Muestra todos los archivos del directorio especificado, incluidos los subdirectorios
En varias ocasiones esta lista puede ser largusima y el fichero puede ocuparnos unos cuantos
megas. La herramienta que vamos a describir a continuacin puede ayudarnos a buscar archivos
en fechas concretas. La herramienta en s se llama MacMatch.exe. sta herramienta bsicamente
buscar ficheros modificados en un intervalo de tiempo, que lgicamente se lo daremos nosotros.
En prrafos anteriores, hemos podido comprobar cmo funciona el archivo de registro de
Windows, y cmo podemos sacar informacin de ellos. Para auditar los sucesos relativos a los
inicios de sesin, el archivo de seguridad del visor de sucesos nos mostrar todos los sucesos
auditados, como inicios de sesin fallidos, inicios de sesin correctos, alguna operacin con
privilegios, etc. Si tuvisemos que mirar uno a uno todos esos sucesos en un entorno de
produccin, prcticamente nos sera casi imposible de terminar, debido a la longitud del fichero.
Aqu es donde acta la herramienta NtLast. Por medio de esta herramienta podremos averiguar
de forma sencilla todos y cada uno de los sucesos del sistema.
Cdigo de STOP: Si hemos configurado nuestro sistema para que nos vuelque el contenido
de la memoria, ste nos generar un archivo para su posterior anlisis. Estos archivos se
dividen en Small Memory Dump, Kernel Memory Dump, Complete Memory Dump. En
muchos casos, la informacin que viene contenida en un MiniDump, no es suficiente para
analizar en profundidad un error. Hace aos el espacio en disco podra ser un problema
para almacenar este tipo de datos, pero hoy en da esto ya no es un problema. Si queremos
analizar mejor el error, configurar el sistema para generar o un volcado de memoria
completo (Complete Memory Dump) o un volcado del Kernel (Kernel Memory Dump).
CAPTULO 16
16.1 SEGURIDAD EN GNU/LINUX
Ante todo Linux es un sistema multiusuario real. Puede haber varios usuarios distintos trabajando
a la vez cada uno desde su terminal. El sistema tiene la obligacin de proteger a unos usuarios
frente a otros y protegerse a s mismo. Linux es una excelente estacin de trabajo aislada, pero lo
habitual es que cada mquina linux est conectada a una red y adems est prestando servicios
de red. El sistema tiene la obligacin de garantizar los servicios que presta.
Adems, con la generalizacin de las conexiones con Internet y el rpido desarrollo del software,
la seguridad se est convirtiendo en una cuestin cada vez ms importante. Ahora, la seguridad es
un requisito bsico, ya que la red global es insegura por definicin. Mientras sus datos estn
almacenados en un soporte informtico, mientras sus datos vayan desde un sistema X a otro
sistema Y a travs de un medio fsico, Internet, por ejemplo, puede pasar por ciertos puntos
durante el camino proporcionando a otros usuarios la posibilidad de interceptarlos, e incluso
alterar la informacin contenida. Incluso algn usuario de su sistema puede modificar datos de
forma maliciosa para hacer algo que nos pueda resultar perjudicial. Con el acceso masivo y barato
a Internet se han reducido notablemente los costes de un atacante para asaltar un sistema en red,
a la vez que ha aumentado paralelamente el nmero de potenciales atacantes. Resumiendo, a
nadie le gustara que desconocidos abran su correo privado, que miren en sus cajones, que se
hagan copias de las llaves de su escritorio o de la tarjeta de crdito. Pues todo esto es aplicable en
la misma medida a las redes telemticas.
Tambin queremos remarcar el carcter dinmico de la seguridad de los sistemas en red.
Continuamente aparecen nuevos mtodos para conseguir accesos indebidos o comprometer el
correcto funcionamiento de la red. Esto obliga a estar actualizado permanentemente, y consultar
las publicaciones electrnicas que informan de los ltimos sucesos detectados. Evidentemente,
estas publicaciones informan principalmente sobre actividades que ya se han llevado a cabo, por
lo que esperamos que no sea el primero en sufrirlas. Pero tambin se puede encontrar
informacin sobre debilidades detectadas antes de que se lleven a cabo. Por todo esto, este curso
no pretende proporcionar una lista actualizada de programas o servicios potencialmente
inseguros o de programas que afectan a la seguridad (denominados exploits). Como
continuamente aparecen nuevos programas para comprometer la seguridad de las redes y de las
comunicaciones, lo que s haremos ser indicar los lugares ms habituales donde buscar una
informacin actualizada de ese tipo, y algunos mtodos generales para prevenir que esos
programas tengan xito en su sistema.
Primero, tenga en cuenta que ningn sistema es "completamente" seguro. El nico sistema seguro
es aquel que no est conectado en red, que est apagado y encerrado bajo llave.
Desde esta perspectiva, partimos de que todo lo nico que puede hacer es aumentar la dificultad
para que alguien pueda comprometer la seguridad de su sistema. Tampoco todos los usuarios
tienen las mismas necesidades de seguridad en sus entornos. Por ejemplo, los usuarios
domsticos de Linux, no necesitan demasiado trabajo para mantener alejados a los crackers
ocasionales, mientras que para los usuarios muy especializados de Linux, como por ejemplo
servidores de Internet, bancos, compaas de telecomunicaciones, etc., se necesita un trabajo
mucho ms detallado para garantizar la seguridad en los trminos previstos.
Tambin tenemos que tener en cuenta que existe una relacin inversa entre seguridad y
funcionalidad. Tiene que decidir dnde est el equilibrio entre la facilidad de uso de su sistema y
su seguridad. Por ejemplo, puede necesitar que cualquiera que llame por el mdem a su sistema,
y nuestro mdem tenga que devolver la llamada a su nmero de casa. Este mecanismo garantiza
un mayor nivel de seguridad, pero si alguien no est en casa, le hace ms difcil conectarse. Otra
forma de aumentar la seguridad sera no tener conexin con Internet, pero seguro que no es eso
lo que queremos.
Tambin existe una relacin inversa entre el nivel de seguridad y el nmero de servicios distintos
que presta un sistema. Cada servicio prestado por un sistema puede ser susceptible de ser
utilizado contra el propio equipo servidor, como puede ser el caso de bloqueos intencionados,
conocidos como ataque de denegacin de servicio (DoS). Pero un sistema servidor que no presta
servicios es menos servidor.
En el caso de administrar un instalacin mediana o grande conviene establecer una "Poltica de
Seguridad" que fije el nivel de seguridad que requiere ese sitio y que sistema de comprobacin se
realiza. Puede encontrar un ejemplo muy conocido de poltica de seguridad en el RFC 2196.
Como probablemente sabr, las fuentes del ncleo de linux son abiertas. Cualquiera puede
obtenerlas, analizarlas y modificarlas. El modelo de desarrollo abierto, que siguen tanto Linux
como la mayora de las aplicaciones que se ejecutan sobre l, conduce a altos niveles de
seguridad. Es cierto que cualquiera puede acceder al cdigo fuente para encontrar las debilidades,
pero no es menos cierto que el tiempo que tarda en aparecer la solucin para cualquier debilidad
se mide ms fcilmente en horas que en das.
Gracias a esto, Linux es conocido por su alto nivel de estabilidad que parte del propio ncleo del
sistema operativo (lo que propiamente es Linux).
Servicios en Linux
Linux tiene disponible todos los servicios habituales en una red:
Bases de datos.
Servicios de internet.
Pero adems hay que resear que cada servicio funciona sin afectar al resto de los servicios. Ud.
puede modificar la direccin IP de su equipo, las rutas, aadir, parar o reiniciar un servicio
concreto sin que el resto de los servicios se vean afectados. Slo es necesario detener el equipo
para realizar operaciones con el hardware, como aadir un disco duro, o utilizar un nuevo ncleo.
No tendr, pues, la necesidad de tener que ser Ud. mismo el atacante de su propio sistema, a
diferencia de lo que ocurre en otros sistemas operativos.
Normalmente querr garantizar que el sistema permanece en funcionamiento de forma adecuada.
Querr garantizar que nadie pueda obtener o modificar una informacin a la que no tiene derecho
legtimo. Y tambin querr garantizar unas comunicaciones seguras. Una buena planificacin
ayuda bastante a conseguir los niveles de seguridad que pretendemos. Antes de intentar asegurar
su sistema debera determinar contra qu nivel de amenaza quiere protegerse, qu riesgo acepta
o no y, como resultado, cmo de vulnerable es su sistema. Debera analizar su sistema para saber
qu est protegiendo, por qu lo est protegiendo, qu valor tiene y quines tienen
responsabilidad sobre sus datos y otros elementos.
Qu est en juego si alguien entra en su sistema? Desde luego ser distinto para un usuario en
casa con un enlace PPP dinmico que para las compaas que conectan su mquina a Internet u
otra gran red.
Cuanto tiempo me llevara recuperar/recrear cualquier dato que se ha perdido? Una inversin en
tiempo ahora puede ahorrar diez veces ms de tiempo con posterioridad si tiene que recrear los
datos que se perdieron. Ha verificado su estrategia de copias de respaldo, y ha verificado sus
datos ltimamente?
La seguridad pretende que los sistemas informticos que utiliza una entidad se mantengan en
funcionamiento segn los requisitos de la poltica establecida por la propia entidad. Cada entidad
define una serie de servicios que pretende obtener de una red de ordenadores para prestarlos a
unos usuarios legtimos.
En particular, en Linux tendremos que proteger ciertos ficheros que contienen informacin sobre
los usuarios (/etc/passwd, /etc/shadow), los ficheros de configuracin del sistema (los
contenidos en /etc), el acceso al sistema para que se realice segn marca la poltica prevista y la
correcta utilizacin de los recursos para evitar abusos (p.e. si un usuario tiene slo una cuenta de
correo, que no pueda abrir una shell en el sistema). A todo esto habr que sumar la proteccin de
los distintos servicios que presta.
Un arranque seguro
Cuando alguien inicia el sistema operativo Linux se encuentra con una pantalla de login: el sistema
est pidiendo que se identifique. Si es un usuario conocido, podr iniciar una sesin y trabajar con
el sistema. Si no lo es, no tendr opcin de hacer absolutamente nada. Adems, el sistema registra
todos los intentos de acceso (fallidos o no), por lo que no pasarn desapercibidos intentos
repetidos de acceso no autorizado. LILO (Linux Loader) es el encargado de cargar el sistema
operativo en memoria y pasarle informacin para su inicio. A su vez, Vd. puede pasarle
parmetros a LILO para modificar su comportamiento.
Por ejemplo, si alguien en el indicador de LILO aade init single, el sistema se inicia en modo
monousuario y proporciona una shell de root sin contrasea. Si en su entorno de trabajo cree
necesario evitar que alguien pueda iniciar el sistema de esta forma, debera utilizar el parmetro
restricted en el fichero de configuracin de LILO (habitualmente /etc/lilo.conf). Este parmetro le
permite iniciar normalmente el sistema, salvo en el caso de que se hayan incluido argumentos en
la llamada a LILO, que solicita una clave. Esto proporciona un nivel de seguridad razonable:
permite iniciar el sistema, pero no manipular el arranque. Si tiene mayores necesidades de
seguridad puede incluir la opcin password. De esta forma necesitar una clave para iniciar el
sistema. En estas condiciones, slo podr iniciar el sistema quien conozca la clave.
Puede encontrar ms detalles en las pginas del manual lilo y lilo.conf. Para ello, introduzca en la
lnea de comandos las siguientes rdenes:
# man lilo
# man lilo.conf
consistentes en convencer a ciertos usuarios para que suministren una informacin que debiera
ser mantenida en secreto, como sus nombres de usuario y contraseas.
En este apartado de seguridad local pretendemos dar unas ideas generales de los riesgos
existentes, mecanismos para su solucin y unas directrices de actuacin que deberan convertirse
en hbitos cotidianos.
Cuentas de Usuarios y Grupos: Cada usuario del sistema est definido por una lnea en el
fichero /etc/passwd y cada grupo por otra lnea en el fichero /etc/group. Cada usuario pertenece
a uno o varios grupos y cada recurso pertenece a un usuario y un grupo. Los permisos para un
recurso se pueden asignar al propietario, al grupo y a otros (resto de los usuarios). Ahora bien,
para mantener un sistema seguro, pero funcional, tendremos que realizar las combinaciones
necesarias entre el propietario y grupo de un recurso con los permisos de los propietarios, grupos
y otros. Por ejemplo, la unidad de disco flexible tiene las siguientes caractersticas:
brw-rw-r-- 1 root floppy 2,0 may 5 1998 /dev/fd0
Cuando queramos que un usuario pueda escribir en la unidad de disco, slo tendremos que
incluirlo en el grupo floppy. Cualquier otro usuario que no pertenezca al grupo floppy (salvo root)
slo podr leer el disquete. El administrador tiene que conocer las necesidades de cada uno de
sus usuarios y asignarle los mnimos privilegios para que pueda realizar su trabajo sin resultar un
peligro para otros usuarios o el sistema. Ms abajo veremos otro mecanismo para poder utilizar
un recurso sobre el cual no tenemos privilegios.
Otro peligro potencial para el sistema es mantener cuentas abiertas que se han dejado de utilizar.
Estas cuentas pueden constituir un buen refugio para un potencial atacante y pasar
desapercibidas sus acciones.
Seguridad de las claves: La seguridad de una sola cuenta puede comprometer la seguridad de
todo el sistema. Esto es una realidad ante la que debemos protegernos.
Por un lado tenemos que asegurarnos de que nuestros usuarios utilizan claves slidas:
Para comprobar que este requisito se verifica en nuestro sistema, podemos usar los mismos
mecanismos que utilizan los atacantes. Existen varios programas que van probando varias palabras
de diccionario, claves habituales y combinaciones de caracteres, que son cifrados con el mismo
algoritmo que usa el sistema para mantener sus claves; despus son comparadas con el valor de la
clave cifrada que queremos averiguar hasta que el valor obtenido de un cifrado coincide con una
clave cifrada. Posteriormente notificaremos al usuario que su clave es dbil y le solicitaremos que
la modifique. Usando este mecanismo, al menos podemos garantizar que no estaremos en
inferioridad de condiciones con respecto a los atacantes locales. Un conocido programa para
realizar el descifrado de claves es John the Ripper. Por otro lado, las claves cifradas se almacenan
en el fichero /etc/passwd. Cualquier usuario del sistema tiene permiso de lectura sobre este
fichero. Lo que es peor, agujeros en los navegadores permiten que se puedan leer ficheros
arbitrarios de una mquina (evidentemente, que el usuario de navegador tenga permiso para
leer), de manera que lleguen hasta un hacker que cree pginas web que exploten estos agujeros.
Entonces puede parecer a primera vista que nos encontramos con un grave agujero de seguridad.
El atacante, una vez obtenido el fichero /etc/passwd no tiene ms que ejecutar su programa
revientaclaves favorito y sentarse a esperar hasta que empiecen a aparecer nombres de usuario
con sus respectivas contraseas, algo que suele pasar muy rpidamente. Con suerte, si el
administrador es ingenuo o dejado, incluso dar con la clave del root, abrindosele as las puertas
a la mquina objetivo. Para solucionar esta vulnerabilidad, podemos recurrir a contraseas en la
sombra (shadow passwords), un mecanismo consistente en extraer las claves cifradas del fichero
/etc/passwd y situarlas en otro fichero llamado /etc/shadow, que slo puede leer el root y
dejar el resto de la informacin en el original /etc/passwd. El fichero /etc/shadow slo
contiene el nombre de usuario y su clave, e informacin administrativa, como cundo expira la
cuenta, etc. El formato del fichero /etc/shadow es similar al siguiente:
usuario : clave : ultimo
desactiva : reservado
puede
debe
aviso
expira
ftp://ftp.cin.net/usr/ggallag/shadow/shadow-current.tar.gz
ftp://ftp.netural.com/pub/linux/shadow/shadow-current.tar.gz
Para activar contraseas en la sombra, tiene que ejecutar pwconv como root; accin que crear
su fichero /etc/shadow.
El bit SUID/SGID: En muchas ocasiones un proceso necesita ejecutarse con unos privilegios
mayores (o menores) que el usuario que lo lanz. Por ejemplo, un usuario puede modificar su
propia clave con el mandato passwd, pero esto implica modificar el fichero /etc/passwd, y
para esto un usuario "de a pie" no tiene permiso. Cmo se soluciona? Pues activando el bit SUID
del comando passwd (notese que cuando esto sucede, la x de ejecutable pasa a ser una s):
ls -la /usr/bin/passw*
-r-sr-xr-x 1 root bin 15613 abr 27 1998 /usr/bin/passwd
Esto quiere decir que cuando se ejecute, el proceso correspondiente va a tener los privilegios del
propietario del comando (es decir, el root), no del usuario que lo lanz. En otras palabras, el
proceso generado por passwd pertenece a root. A primera vista, esto puede parecer una seria
brecha de seguridad. Y lo es. Si el programa funciona correctamente, no tiene por qu dar
problemas; pero pequeos defectos en el programa pueden ser utilizados por alguien para tratar
de ejecutar otro cdigo distinto con los privilegios de este proceso. El mtodo suele ser el
desbordamiento de la pila (buffer overflow).
Cualquier atacante que haya entrado en un sistema de forma ilegtima intentar dejar una shell
con el bit SUID para mantener ese nivel de privilegio cuando vuelva a entrar en el sistema.
SGID es lo mismo que SUID, pero aplicado al grupo.
As pues, tenga cuidado con los programas con el bit SUID/SGIG. Puede encontrarlos con
root# find / -type f \( -perm -04000 -o -perm
-02000 \) -print
Tenga en cuenta que algunos programas (como passwd) tienen que tener el bit SUID. Compruebe
en los lugares habituales, (que indicamos en la seccin correspondiente) que ninguno de los
programas propiedad del root o SUID que utiliza en su sistema, tiene un fallo de seguridad
conocido que pueda ser explotado.
Nunca debe permitir que quede una shell SUID corriendo en el sistema. Si el root deja
desatendida la consola durante unos instantes (recuerde, debe utilizar siempre xlock), un
intruso podra escribir lo siguiente:
# cp /bin/sh /tmp/cuenta-root
# chmod 4755 /tmp/cuenta-root
crendose una versin SUID de la shell sh. En el futuro, cuando el atacante ejecute ese programa,
cuenta-root, se convertir en root! Si lo escondiera en un directorio oculto, la nica forma de
encontrarlo sera escaneando el sistema completo como se ha explicado antes.
Seguridad del root: Los peores destrozos de un sistema es probable que no vengan de ningn
Cracker, o de un malvolo intruso. En muchsimas ms ocasiones ha sido el propio administrador
el que ha destrozado el sistema. S, el root. Por qu? Por descuido, por exceso de confianza, por
ignorancia. Evitar este problema no es difcil. Siguiendo unas fciles normas, podr protegerse de
Ud. mismo:
No use la cuenta de root por norma. Evtela. Intente primero cualquier accin como un
usuario normal, y si ve que no tiene permiso, piense porqu y use el comando su si es
necesario.
Ejecute los comandos de forma segura verificando previamente la accin que va a realizar.
Por ejemplo si quiere ejecutar rm borrar.*, ejecute primero ls borrar.* y si es lo
que pretende modifique el mandato y ejectelo.
Ciertos mandatos admiten una opcin (-i) para actuar de forma interactiva. Actvela, si no
lo est ya aadiendo estas lneas a su fichero de recursos par la shell:
alias rm='rm -i'
alias cp='cp -i'
alias mv='mv -i'
Siempre puede evitar estas preguntas, a veces incordiosas, con el mandato yes, cuando
est seguro de la operacin que est realizando:
$ yes s|rm borrar.*
Como ya deben saber, el directorio actual no est, por defecto, en la ruta de bsqueda de
ejecutables (PATH). Esto garantiza que no lanzaremos, sin darnos cuenta, un ejecutable que
est en el directorio actual llamado, por ejemplo ls.
Evite que la clave del root viaje por una red sin cifrar. Utilice ssh u otro canal seguro.
Limite los terminales desde los que se puede conectar root. Es preferible limitarlo a la
consola del sistema. Esto se puede decidir en /etc/securetty. Si necesita una sesin
remota como root, entre como usuario normal y luego use su.
Acte de forma lenta y meditada cuando sea root. Sus acciones podran afectar a un
montn de cosas. Pinselo antes de teclear!
Hay herramientas como sudo que permiten a ciertos usuarios utilizar comandos privilegiados sin
necesidad de ser root, como montar o desmontar dispositivos. Adems registra las actividades
que se realizan, lo que ayuda a determinar qu hace realmente este usuario.
informacin legtima contenida en una mquina, como pueden ser el contenido de una pgina
web o una base de datos.
Cmo podemos mantener un almacenamiento seguro?: La respuesta no puede ser concreta,
pero s que se pueden tomar ciertas medidas que garanticen un mnimo de seguridad y
funcionalidad. Si Ud. va a administrar un sistema Linux para dar servicio a diversos usuarios,
debera tener algunas nociones sobre sistemas de ficheros, que pasamos a explicar a
continuacin.
El rbol de directorios: Para quienes no estn familiarizados con las caractersticas del sistema de
almacenamiento de informacin en sistemas Unix, hay que indicar que se organizan en un nico
rbol de directorios. Cada soporte, disco, particin, disquete o CD tiene su propia organizacin
lgica, un sistema de ficheros. Para poder usar uno de estos soportes tenemos que "montarlo" en
un directorio existente. El contenido de la particin nos aparecer como el contenido del
directorio. Un primer criterio para mantener un sistema seguro sera hacer una correcta
distribucin del espacio de almacenamiento. Esto limita el riesgo de que el deterioro de una
particin afecte a todo el sistema. La prdida se limitara al contenido de esa particin. No hay
unas normas generales aplicables; el uso al que vaya destinado el sistema y la experiencia son las
bases de la decisin adecuada, aunque s podemos dar algn consejo:
Si el sistema va a dar servicio a mltiples usuarios que requieren almacenamiento para sus
datos privados, sera conveniente que el directorio /home tuviera su propia particin.
Si el equipo va a ser un servidor de correo, impresin, etc., el directorio /var o incluso
/var/spool podran tener su propia particin.
Algunos directorios son necesarios en la particin raz. Contienen datos que son necesarios
durante el proceso de arranque del sistema. Son /dev/, /etc, /bin, /sbin, /lib,
/boot.
El directorio /usr/local contiene los programas compilados e instalados por el
administrador. Resulta conveniente usar una particin propia para proteger estos
programas personalizados de futuras actualizaciones del sistema. Este criterio tambin se
puede aplicar al directorio /opt.
Permisos: Linux, como sistema multiusuario, asigna un propietario y un grupo a cada fichero (y
directorio) y unos permisos al propietario, al grupo y al resto de los usuarios. La forma ms rpida
de comprobar esta caracterstica es usar el comando ls -la. As nos aparece el tipo de fichero,
el propietario, el grupo, los permisos e informacin adicional. Por supuesto, el sistema de ficheros
tiene que admitir esta caracterstica, como es el caso del sistema de ficheros ext2 (Linux nativo).
En los sistemas de ficheros pensados para entornos monousario, como msdos o vfat, no tenemos
esta caracterstica, por lo que son inseguros y su uso no es aconsejable bajo Linux.
Es conveniente tener claros los permisos que se pueden asignar a un fichero o directorio. Puede
que algunas aplicaciones no funcionen bien si algn fichero no tiene el permiso o el propietario
correctos, bien por falta de permisos o bien por exceso. Algunas aplicaciones son un poco
quisquillosas en este aspecto. Por ejemplo, fetchmail es un programa que podemos usar para
recoger el correo de un servidor pop (por ejemplo). Este programa se configura en el fichero
.fetchmailrc, donde tendremos que indicar la clave que usamos en el servidor; pues bien, si
este fichero tiene permiso de lectura para otro usuario que no sea el propietario, fetchmail no
funcionar. Otras aplicaciones, como por ejemplo inn (un servidor de noticias de Internet)
tampoco funcionar si el propietario de sus ficheros es otro usuario distinto a news. Todo esto
est perfectamente documentado en cada uno de los programas, por lo que es conveniente leer la
documentacin que aporta y las pginas del manual.
Permisos de ficheros y directorios: Como decamos anteriormente, tenemos que asegurarnos de
que los ficheros del sistema y los de cada usuario slo son accesibles por quienes tienen que
hacerlo y de la forma que deben. No slo hay que protegerse de ataques o miradas indiscretas,
tambin hay que protegerse de acciones accidentales. En general, cualquier sistema UNIX divide el
control de acceso a ficheros y directorios en tres elementos: propietario, grupo y otros.
Tanto el propietario como el grupo son nicos para cada fichero o directorio. Eso s, a un grupo
pueden pertenecer mltiples usuarios. Otros hace referencia a los usuarios que ni son el
propietario ni pertenecen al grupo. Todas estas caractersticas se almacenan en el sistema de
ficheros, en particular en un i-nodo, que es un elemento que describe las caractersticas de un
fichero en disco (salvo su nombre).
Permisos en Unix
Propiedad: Qu usuario y grupo posee el control de los permisos del i-nodo. Se almacenan como
dos valores numricos, el uid (user id) y gid (group id).
Permisos: Bits individuales que definen el acceso a un fichero o directorio. Los permisos para
directorio tienen un sentido diferente a los permisos para ficheros. Ms abajo se explican algunas
diferencias.
Lectura (r):
Fichero: Poder acceder a los contenidos de un fichero
Directorio: Poder leer un directorio, ver qu ficheros contiene
Escritura (w):
Fichero: Poder modificar o aadir contenido a un fichero
Directorio: Poder borrar o mover ficheros en un directorio
Ejecucin(x):
Fichero: Poder ejecutar un programa binario o guion de shell
Directorio: Poder entrar en un directorio
Estos permisos se pueden aplicar a:
usuario (u): El propietario del fichero
grupo (g): El grupo al que pertenece el fichero
otros (o): El resto de los usuarios del sistema
Adems tenemos otros bits de permisos que no podemos pasar por alto cuando estamos tratando
de temas de seguridad.
Sticky bit: El sticky bit tiene su significado propio cuando se aplica a directorios. Si el sticky bit
est activo en un directorio, entonces un usuario slo puede borrar ficheros que son de su
propiedad o para los que tiene permiso explcito de escritura, incluso cuando tiene acceso de
escritura al directorio. Esto est pensado para directorios como /tmp, que tienen permiso de
escritura global, pero no es deseable permitir a cualquier usuario borrar los ficheros que quiera. El
sticky bit aparece como 't' en los listados largos de directorios.
drwxrwxrwt 19 root root 8192 Jun 24 14:40 tmp
Attributo SUID: (Para Ficheros): Este bit describe permisos al identificador de usuario del fichero.
Cuando el modo de acceso de ID de usuario est activo en los permisos del propietario, y ese
fichero es ejecutable, los procesos que lo ejecutan obtienen acceso a los recursos del sistema
basados en el usuario que crea el proceso (no el usuario que lo lanza). Por ejemplo
/usr/bin/passwd es un ejecutable propiedad de root y con el bit SUID activo. Por qu? Este
programa lo puede usar cualquier usuario para modificar su clave de acceso, que se almacena en
-rw-r--r-- 1 root root 1265 Jun 22 17:35 /etc/passwd
pero segn los permisos que observamos en este fichero, slo root puede escribir y modificar en
l. Entonces sera imposible que un usuario pudiera cambiar su clave si no puede modificar este
fichero. La solucin para este problema consiste en activar el bit SUID para este fichero:
-r-s--x--x 1 root root 10704 Apr 14 23:21 /usr/bin/passwd
de forma que cuando se ejecute, el proceso generado por l es un proceso propiedad de root con
todos los privilegios que ello acarrea.
Piensa que esto puede ser un riesgo para la seguridad? Efectivamente lo podra ser si no
mantenemos un mnimo de atencin, ya que en este tipo de programas se pueden producir
desbordamientos de bfer que comprometan su sistema. Recuerde siempre lo siguiente:
Comprobar que cualquier programa con est bit activo no tiene ningn desbordamiento de
buffer (conocido).
Atributo SGID: (Para ficheros): Si est activo en los permisos de grupo, este bit controla el estado
de "poner id de grupo" de un fichero. Acta de la misma forma que SUID, salvo que afecta al
grupo. El fichero tiene que ser ejecutable para que esto tenga algn efecto.
Atributo SGID: (Para directorios): Si activa el bit SGID en un directorio ( con "chmod g+s
directorio"), los ficheros creados en ese directorio tendrn puesto su grupo como el grupo del
directorio. A continuacin se describen los significados de los permisos de acceso individuales
para un fichero. Normalmente un fichero tendr una combinacin de los siguientes permisos:
-r-------- Permite acceso de lectura al propietario
--w------- Permite modificar o borrar el fichero al propietario
---x------ Permite ejecutar este programa al propietario, (los guiones de shell tambin requieren
permisos de lectura al propietario)
---s------ Se ejecutar con usuario efectivo ID = propietario
-------s-- Se ejecutar con usuario efectivo ID = grupo
-rw------T No actualiza "instante de ltima modificacin". Normalmente usado para ficheros de
intercambio (swap)
---t------ No tiene efecto. (antes sticky bit)
A continuacin se describen los significados de los permisos de acceso individuales para un
directorio. Normalmente un directorio tendr una combinacin de los siguientes permisos:
dr-------- Permite listar el contenido pero no se pueden leer los atributos.
d--x------ Permite entrar en el directorio y usar en las rutas de ejecucin completas.
dr-x------ Permite leer los atributos del fichero por el propietario.
d-wx------ Permite crear/borra ficheros.
d------x-t Previene el borrado de ficheros por otros con acceso de escritura. Usado en /tmp
d---s--s-- No tiene efecto
Los ficheros de configuracin del sistema (normalmente en /etc) es habitual que tengan el modo
640 (-rw-r-----), y que sean propiedad del root. Dependiendo de los requisitos de seguridad del
sistema, esto se puede modificar. Nunca deje un fichero del sistema con permiso de escritura para
un grupo o para otros. Algunos ficheros de configuracin, incluyendo /etc/shadow, slo deberan
tener permiso de lectura por root, y los directorios de /etc no deberan ser accesibles, al menos
por otros.
SUID Shell Scripts: Los scripts de shell SUID son un serio riesgo de seguridad, y por esta razn el
ncleo no los acepta. Sin importar lo seguro que piense que es su script de shell, puede ser
utilizado para que un Cracker pueda obtener acceso a una shell de root.
Enlaces: Los sistemas de ficheros de tipo Unix permiten crear enlaces entre ficheros. Los enlaces
pueden ser duros o simblicos. El primer caso consiste en asignar ms de un nombre a los
mismos datos en disco. Un enlace duro no consume ms espacio adicional que el que pueda
representar el nuevo nombre que le damos a unos datos y slo es vlido para ficheros que estn
en el mismo sistema de ficheros, es decir, la misma particin. Los enlaces simblicos son ficheros
que apuntan a otro fichero o directorio. Crean un nuevo fichero pequeo que contiene la ruta del
fichero destino.
Tripwire: Una forma cmoda de detectar ataques locales (y tambin de red) en su sistema es
ejecutar un programa que verifique la integridad de la informacin almacenada en los ficheros, tal
como Tripwire. El programa Tripwire ejecuta varios cheksums de todos los binarios importantes y
ficheros de configuracin y los compara con una base de datos con valores de referencia
aceptados como buenos. As se detecta cualquier cambio en los ficheros.
Es buena idea instalar tripwire en un disquete y protegerlo fsicamente. De esta forma no se
puede alterar tripwire o modificar su base de datos. Una vez que tripwire se ha configurado, es
buena idea ejecutarlo como parte de de los deberes habituales de administracin para ver si algo
ha cambiado. Incluso puede aadir una entrada a crontab para ejecutar tripwire desde su disquete
todas las noches y enviar por correo los resultados y verlos por la maana, algo como esto:
MAILTO=gonzalo
15 05 * * * root /usr/local/bin/tripwire
que le enviar por correo un informe cada maana a las 5:15 am.
Tripwire puede ser una de la mejores herramientas para detectar intrusos antes de que tenga otro
tipo de noticias de ellos. Como son muchos los ficheros que se modifican en su sistema, debera
tener cuidado para discernir lo que es la actividad de un Cracker y lo que es la actividad normal
del sistema.
Limitar el espacio: Una ataque posible a cualquier sistema es intentar consumir todo el espacio
del disco duro. Una primera proteccin contra este ataque es separar el rbol de directorios en
diversos discos y particiones. Pero esto puede no ser suficiente y por eso el ncleo del sistema
proporciona la posibilidad de controlar el espacio de almacenamiento por usuario o grupo.
Lo primero que tendramos que hacer es asegurarnos de que nuestro ncleo tiene soporte para
las cuotas de usuarios.
# dmesg | grep quotas
VFS: Diskquotas version dquot_6.4.0 initialized
En caso contrario, el ncleo no ha sido compilado con soporte para el sistema de cuotas para
usuarios. En este caso ser necesario compilar un nuevo ncleo Linux. El resto del procedimiento
de instalacin se puede realizar utilizando la documentacin existente. Ahora es necesario editar
El lmite soft es un lmite de aviso y el lmite hard es un lmite insalvable, es decir, el sistema ya no
le asigna ms espacio. De una forma anloga, podramos modificar la cuota de espacio asignada al
grupo users con:
# edquota -g users
Normas prcticas: Aunque sea necesario tener claros los conceptos y dedicarle algo de tiempo a
una correcta planificacin, tampoco los pelligros expuestos tienen por qu asustar a nadie. Todas
las distribuciones de Linux traen unos valores por defecto que son ms que razonables para cubrir
unas necesidades normales.
nosuid, nodev, noexec.
Salvo casos excepcionales, no debera haber ninguna razn para que se permita la
ejecucin de programas SUID/SGID en los directorios home de los usuarios. Esto lo
podemos evitar usando la opcin `nosuid' en el fichero /etc/fstab para las
particiones que tengan permiso de escritura por alguien que no sea el root. Tambin puede
ser til usar `nodev' y `noexec' en las particiones de los directorios personales de los
usuarios y en /var, lo que prohbe la creacin dispositivos de bloque o carcter y la
ejecucin de programas.
Sistemas de ficheros en red
Si exporta sistemas de archivos va NFS, est seguro de configurar /etc/exports con los
accesos lo ms restrictivos posibles. Esto significa no usar plantillas, no permitir acceso de
escritura a root y montar como slo lectura siempre que sea posible.
umask
Configure la mscara de creacin de ficheros para que sea lo ms restrictiva posible. Son
habituales 022, 033, y la ms restictiva 077, y aadirla a /etc/profile.
El comando umask se puede usar para determinar el modo de creacin de ficheros por
defecto en su sistema. Es el complemento octal a los modos de fichero deseado. Si los
ficheros se crean sin ningn miramiento de estado de permisos, el usuario, de forma
inadvertida, podr asignar permisos de lectura o escritura a alguien que no debera
tenerlos. De forma tpica, el estado de umask incluye 022, 027 y 077, que es lo ms
restrictivo. Normalmente umask se pone en /etc/profile y por tanto se aplica a todos los
usuarios del sistema. Por ejemplo, puede tener una lnea parecida a la siguiente:
# Pone el valor por defecto de umask del usuario
umask 033
Est seguro de que el valor umask de root es 077, lo cual desactiva los permisos de lectura,
escritura y ejecucin para otros usuarios, salvo que explcitamente use chmod(1).
Si est usando , y utiliza su esquema de creacin de idetificador de grupos y usuarios (User
Private Groups), slo es necesario usar 002 para umask. Esto se debe a que al crear un
usuario se crea un grupo exclusivo para ese usuario.
Limitar recursos
Ponga el lmites al sistema de ficheros en lugar de 'ilimitado' como est por defecto. Puede
done
echo "Actualiza la base de datos si es necesario"
Puede eliminar los permisos SUID o SGIG de un programa con chmod(1), y siempre
puede devolverlo a su estado original si piensa que es absolutamente necesario.
Permisos de escritura
Los ficheros con permiso de escritura global, particularmente los del sistema, pueden ser
un agujero de seguridad si un cracker obtiene acceso a su sistema y los modifica. Adems,
los directorios con permiso de escritura global son peligrosos, ya que permiten a un cracker
aadir y borrar los ficheros que quiera. Para localizar los ficheros con permiso de escritura
global, use el siguiente comando:
root# find / -perm -2 -print
y est seguro de saber por qu tienen esos permisos de escritura. En el curso normal de
una operacin los ficheros tendrn permisos de escritura, incluidos algunos de /dev y
enlaces simblicos.
Ficheros extraos
Los ficheros sin propietario tambin pueden ser un indicio de que un intruso ha accedido a
su sistema. Puede localizar los ficheros de su sistema que no tienen propietario o que no
pertenecen a un grupo con el comando:
root# find / -nouser -o -nogroup -print
Ficheros peligrosos
La localizacin de ficheros .rhosts debera ser uno de los deberes regulares de la
administracin de su sistema, ya que estos ficheros no se deberan permitir en sus sistema.
Recuerde que un cracker slo necesita una cuenta insegura para potencialmente obtener
acceso a toda su red. Puede localizar todos los ficheros .rhosts de su sistema con el
siguiente comando:
root# find /home -name .rhosts -print
Permisos
Finalmente, antes de cambiar permisos en cualquier sistema de ficheros, est seguro de
que entiende lo que hace. Nunca cambie permisos de un fichero simplemente porque
parezca la forma fcil de hacer que algo funcione. Siempre debe determinar porqu el
fichero tiene esos permisos y propietario antes de modificarlos.
l, tendremos que ejecutar make menuconfig (o make xconfig si estamos en modo grfico).
As nos aparecen todas las opciones de configuracin. Dentro de ellas nos vamos a fijar en las que
estn relacionadas con la seguridad, viendo una breve explicacin de lo que hacen y cmo se
usan. Como el ncleo controla las caractersticas de red de su sistema, es importante que el
ncleo tenga las opciones que garanticen la seguridad y que el propio ncleo no pueda ser
comprometido. Para prevenir algunos de los ltimos ataques de red, debe intentar mantener una
versin del ncleo actualizada.
Una de las caractersticas ms interesantes del ncleo Linux es la posibilidad de realizar
enmascaramiento de direcciones. Con esta tcnica podremos dar acceso a Internet a una red local
con direcciones privadas de forma transparente, es decir, sin ningn tipo de modificacin en la
configuracin de las aplicaciones clientes, a diferencia de los proxies clsicos. Consiste en que el
sistema Linux que posee la conexin hacia el exterior recibe las peticiones de conexin desde los
equipos de la red local que tienen direcciones no vlidas para Internet. El equipo Linux rehace la
peticin poniendo su propia direccin IP y modificando el puerto al que tiene que responder el
equipo remoto. Cuando Linux recibe la respuesta del equipo remoto, mira el puerto al que va
destinado y vuelve a rehacer el paquete para enviarlo al equipo concreto de la red local que
solicit la conexin. De esta forma podemos mantener un nivel aceptable de proteccin para los
equipos de la red local, ya que slo podrn recibir respuestas a peticiones que ellos mismos
originaron.
Opciones de compilacin
IP: Drop source routed frames (CONFIG_IP_NOSR): Esta opcin debera estar activada. Source
routed frames contienen la ruta completa de sus destinos dentro del paquete. Esto significa que
los enrutadores a travs de los que circula el paquete no necesitan inspeccionarlo, y slo lo
reenvan. Esto podra ocasionar que los datos que entran a su sistema puedan ser un exploit
potencial.
IP: Firewalling (CONFIG_IP_FIREWALL): Esta opcin es necesaria si va a configurar su mquina
como un cortafuegos, hacer enmascaramiento o desea proteger su estacin de trabajo con lnea
telefnica de que alguien entre a travs de su interfaz PPP. Con esta opcin activa podremos usar
el filtrado de paquetes en el propio ncleo del sistema, decidiendo el trfico que llega o sale de
nuestro equipo.
IP: forwarding/gatewaying (CONFIG_IP_FORWARD): Si activa reenvo IP (IP forwarding), su Linux
esencialmente se convierte en un encaminador (router). Si su mquina est en una red, podra
estar enviando datos de una red a otra, y quizs saltndose un cortafuegos que est puesto all
para evitar que esto suceda. A los usuarios con un puesto aislado y conexin telefnica les
interesar desactivar esta caracterstica. Otros usuarios deberan pensar en las implicaciones de
seguridad de hacer esto en su caso concreto. Las mquinas que acten como cortafuegos tendrn
que activar esta caracterstica y usarla junto al software cortafuegos. Puede activar y desactivar el
reenvo IP (IP forwarding) dinmicamente usando el siguiente comando:
Trabajando en modo texto se puede hacer en una consola virtual (como root)
tail -f /var/log/messages
y
tail -f /var/log/secure
Y de esta forma podemos ir viendo las incidencias del sistema. Conviene tambin familiarizarse
con las anotaciones que aparecen habitualmente para diferenciarlas de las que puedan presentar
un problema. En modo grfico hay un programa llamado ktail que le muestra las incidencias de
una forma similar a la anterior.
Comunicaciones seguras: Por ltimo, nos interesar mantener unas comunicaciones seguras para
garantizar la privacidad e integridad de la informacin. Actualmente existen las herramientas
necesarias para cada necesidad.
Podemos usar cifrados simtricos como pgp y gpg para documentos, correo electrnico y
comunicaciones sobre canales inseguros
Podemos crear canales de comunicacin seguros de distinto tipo:
SSH (Secure Shell), stelnet: SSH y stelnet son programas que le permiten efectuar
conexiones con sistemas remotos y mantener una conexin cifrada. Con esto evitamos,
entre otras cosas, que las claves circulen por la red sin cifrar.
Cryptographic IP Encapsulation (CIPE): CIPE cifra los datos a nivel de red. El viaje de los
paquetes entre hosts se hace cifrado. A diferencia de SSH que cifra los datos por conexin,
lo hace a nivel de socket. As un conexin lgica entre programas que se ejecutan en hosts
diferentes est cifrada. CIPE se puede usar en tunnelling para crear una Red Virtual Privada.
El cifrado a bajo nivel tiene la ventaja de poder hacer trabajar la red de forma transparente
entre las dos redes conectadas en la RVP sin ningn cambio en el software de aplicacin.
SSL: En su estado actual proporciona los siguientes servicios:
Cifrado de datos: la informacin transferida, aunque caiga en manos de un atacante,
ser indescifrable, garantizando as la confidencialidad.
Autenticacin de servidores: el usuario puede asegurarse de la identidad del
servidor al que se conecta y al que posiblemente enve informacin personal
confidencial.
Integridad de mensajes: se impide que modificaciones intencionadas o accidentales
en la informacin mientras viaja por Internet pasen inadvertidas.
Opcionalmente, autenticacin de cliente: permite al servidor conocer la identidad
del usuario, con el fin de decidir si puede acceder a ciertas reas protegidas.
Determinar los servicios activos: Desactive todos los servicios que no vaya a prestar, en particular
revise los ficheros /etc/inittab, /etc/inetd.conf y los demonios que se lanzan durante el arranque.
Si no est realmente seguro de lo que hace, mejor no haga nada; las distribuciones ms modernas
incorporan unos mnimos de seguridad aceptables para un usuario medio. No tiene sentido tener
abierto un servicio del que no va a hacer uso ningn usuario legal. Puede que est consumiendo
recursos de su sistema para ofrecer a algn atacante la posibilidad de violarlo. Puede usar un
analizador de puertos para ver qu parte de su sistema es visible desde el exterior. Existen
utilidades como SATAN, Nessus o nmap que realizan esta labor. Trinux es una minidistribucin de
Linux totalmente portable que se puede llevar en 2 3 disquetes y se ejecuta por completo en
RAM, puedindose usar desde cualquier equipo para la red. Se arranca desde el disquete y no
utiliza el disco duro para nada. Contiene las ltimas versiones de algunas herramientas muy
prcticas enfocadas a la seguridad en redes. Nos permitir analizar el trfico de la red, analizar
puertos e incluso ver el contenido de los paquetes que circulan por la red.
Proteger los ficheros importantes: Existe un parche para el ncleo Linux que impide que ciertos
ficheros puedan ser modificados, incluso por el propio root. El ncleo parcheado de esta forma
puede garantizarnos la integridad de la informacin almacenada incluso en el caso de que alguien
consiguiera privilegios de root en nuestro sistema. Este parche se puede obtener, junto con la
informacin necesaria para su instalacin, en LIDS. Si no queremos aplicar el parche, s que
deberamos vigilar los permisos de ficheros y directorios.
Software actualizado: La gran mayora del sofware que acompaa a Linux es de cdigo fuente
pblico, como el propio ncleo. Esto es una garanta de seguridad en s. Cientos de expertos
analizan minuciosamente el cdigo para detectar alguna pega que poder publicar en las listas de
correo sobre seguridad ms prestigiosas, y se corrigen con gran rapidez. De esta forma nos
garantizamos un software de calidad y no una mera seguridad aparente. Esto por otro lado nos
obliga a ir sustituyendo las versiones defectuosas por otras corregidas y que mejoran las
prestaciones. En cualquier sistema operativo, mantener un software que ha demostrado tener
fallos supone asumir un riesgo innecesario. Para estar actualizado consulte los recursos de
informacin sobre seguridad en Linux.
Prevenir prdidas de informacin: Existen acontecimientos de los que nos puede resultar muy
difcil protegernos como son los desastres naturales, nicamente podremos seguir una serie de
pasos para evitar que su incidencia sea lo menor posible. La mejor solucin es mantener un buen
conjunto de copias de seguridad sobre toda la informacin necesaria del sistema. Hay que pensar
que las copias de seguridad no slo nos protegen de desastres naturales, tambin de los desastres
que pueda ocasionar algn intruso en nuestro sistema, de cualquier ataque a la disponibilidad o
integridad de la informacin del sistema. Si los datos tienen un tamao inferior a 650Mb, puede
ser una buena opcin grabarlos en un CD, bien permanente (ya que es ms difcil de falsificar con
posterioridad, y si estn almacenados de forma adecuada pueden durar mucho tiempo) o
regrabable. Las cintas y otros medios sobre los que se puede escribir deberan protegerse tan
pronto como se completa la copia y se verifica para evitar la falsificacin. Tenga cuidado y
almacene su copia de seguridad en un sitio seguro. Una buena copia de seguridad le asegura que
tiene un buen punto desde el que restaurar su sistema. Hay que insistir en la seguridad de las
copias de seguridad. Si las copias de seguridad no estn almacenadas en un sitio seguro, puede
que el posible intruso no tenga necesidad de idear mtodos sofisticados para obtenerla, si le basta
con copiar o sustraer un CD.
Caractersticas de las copias de seguridad: Cuando se realice una copia de seguridad es
conveniente seleccionar un mtodo que garantice la conservacin de las caractersticas de la
informacin como son derechos y permisos. Si realizamos una copia de seguridad de una forma o
sobre un soporte que no contemple esta posibilidad, si tenemos que restaurar los datos sobre el
sistema el resultado sobre la seguridad y funcionalidad globales puede ser impredecible.
Secuencia de Copias: Es necesario tener un poltica de copias de seguridad adecuada a las
caractersticas de la entidad que estamos gestionando. Quizs el mejor mtodo es el de rotacin
de cintas. Pasamos a verlo con un ejemplo. Un ciclo de seis cintas es fcil de mantener. Esto
incluye cuatro cintas para la semana, una cinta para cada Viernes y una cinta para para los Viernes
impares. Se realiza una copia incremental cada da, y una copia completa en la cinta adecuada de
cada Viernes. Si hace algn cambio importante o aade datos importantes a su sistema tambin
sera adecuado efectuar una copia.
Copiar las Bases de Datos del Sistema: Existe cierta informacin del sistema que es imprescindible
para su correcto funcionamiento. Es conveniente tener una copia de estos ficheros en una
ubicacin segura. En particular resulta conveniente tener una copia del contenido del directorio
/etc. Tambin hay que mantenerla en lugar seguro, ya que tiene copias de los ficheros
/etc/passwd y /etc/shadows, entre otros que puedan contener claves de usuarios que no estn
cifradas. Tambin en cada sistema se puede tener una base de datos de las aplicaciones que hay
instaladas en el servidor. Cada distribucin dispone de alguna herramienta que nos realiza el
mantenimiento de la base de datos a la mism vez que instala o desinstala aplicaciones. La prdida
de esta base de datos nos hara perder el control sobre qu aplicaciones tenemos instaladas.
En muchas situaciones tambin ser necesario tener copia de seguridad de los ficheros de registro
de incidencias, para tener constancia de las distintas actividades del sistema.
Consejos
Verificar regularmente la integridad de los ficheros con algn software como tripwire.
Instalar cortafuegos.
En resumen
Ahora, una vez vistas las caractersticas generales de seguridad, lo que queda es aplicar el sentido
comn. Tenemos que ver nuestra situacin y respondernos a una serie de preguntas:
Qu queremos proteger?
conviene tomar medidas apresuradas que puedan aumentar el impacto del ataque. Vamos a
distinguir una serie de situaciones posibles y cmo se debe actuar. Una vez visto esto nos queda
aplicar el sentido comn.
Deteccin de un ataque activo: Nos ponemos en situacin: acabamos de detectar un ataque que
est actualmente en curso. El ataque puede ser de diversa naturaleza. Dejaremos aparte los casos
genricos como detectar alguien manipulando fsicamente el ordenador.
Ataque local: Cuando detectamos un ataque local tendremos que verificar la identidad del
atacante. No conviene sacar conclusiones precipitadas y culpar a alguien de atacar el sistema
cuando slo puede que sea una negligencia a la hora de seleccionar una clave o abandonar abierta
una consola. Hay que verificar el origen de la conexin, los registros del sistema y los procesos que
tiene activos. Tendremos que comprobar si son los habituales y qu es lo que se sale de lo normal.
Despus nos dirigiremos a esa persona, por telfono o personalmente, para preguntar qu est
haciendo y pedir que cese en la actividad. Si no tiene una conexin activa y no tiene idea de lo
que le estamos diciendo, habr que profundizar en la investigacin porque cabe la posibilidad de
que alguien haya utilizado esa cuenta de forma ilegtima. Si reconoce el incidente, que le informe
de los mecanismos que ha utilizado, las acciones que ha realizado y acte en consecuencia. Nunca
se precipite para hacer acusaciones. Recopile todas las pruebas que haya detectado en los
registros, procesos, modificaciones de informacin, etc. Sea rpido, pero seguro. Est en juego su
sistema y su prestigio.
Ataque en red: Si el ataque se produce a travs de la red podemos tener distintas situaciones. En
general puede ser conveniente espiar un poco al intruso para obtener ms pruebas y despus
desconectar el interfaz de red si es posible. Si no fuera posible desconectar el interfaz, deberamos
usar algn filtro para las conexiones procedentes de la direccin del atacante. Programas como
ipchains (o ipfwadm en su caso) pueden realizar esta labor. Si desconectamos el interfaz o
denegamos (no rechazar) los paquetes procedentes de esa direccin el intruso lo podra
interpretar como un error de red, ms que una deteccin del ataque. Si no se pudiera limitar el
acceso a las direcciones que usa el intruso, intente cerrar la cuenta del usuario. Observe que
cerrar una cuenta no es una cosa simple. Tiene que tener en cuenta los ficheros .rhosts, el acceso
FTP y otras posibles puertas traseras.
En general no es aconsejable apagar el sistema. Por supuesto, nunca apagarlo en caliente; esto
podra hacernos perder la informacin que tenemos en memoria. En Linux podemos ver la lista de
procesos que hay en ejecucin y matar aquellos que puedan estar daando al sistema.
Somos el destino del ataque o somos un punto intermedio?: Se puede dar la situacin que
nuestra mquina no sea el destino final del ataque. Puede que el intruso la haya utilizado como
punto intermedio para atacar a otros sistemas e intentar dificultar el seguimiento de las pistas. En
este caso, adems de limitar las acciones del atacante deberamos notificarlo al administrador del
destino del ataque y conservar todas las pruebas existentes por si se pudieran reclamar
judicialmente. En cualquier caso, si queremos dar validez legal a las pruebas obtenidas, sera
conveniente la intervencin judicial.
Es habitual que durante los prximos minutos el atacante vuelva a intentar continuar con sus
acciones, tal vez usando una cuenta diferente y/o una direccin de red distinta.
El ataque ha concluido: Ha detectado un compromiso que ya ha ocurrido o bien lo ha detectado
mientras ocurra y ha echado al atacante fuera de su sistema. Ahora viene la parte ms dura del
incidente: tratar de dejar el sistema mejor que estaba antes de que ocurriera.
Tapar el agujero: Determine los medios que us el atacante para acceder a su sistema. Deber
analizar cuidadosamente los ficheros de registro del sistema. En ellos debera haber una
informacin valiosa para seguir la pista de las actividades del intruso en nuestra mquina. Las
causas ms habituales son una mala configuracin de algn servicio, un programa defectuoso o la
negligencia de algn usuario con respecto a su clave de acceso.
Compruebe por los cauces ms conocidos, que se pueden consultar en la pgina sobre recursos de
seguridad bajo Linux, la existencia de algn nuevo exploit que pueda ser la causa u otros fallos
que tenga que corregir.
Si no elimina al atacante, probablemente volver. No slo a su mquina, sino a cualquiera otra de
la red. Durante sus incursiones ha podido utilizar algn sniffer, y disponer de informacin
suficiente para tener acceso a otras mquinas locales.
Si sospecha que el atacante ha obtenido copias de los ficheros /etc/passwd, /etc/shadow,
/etc/ppp/pap-secrets, /etc/ppp/chap-secrets o cualquier otro fichero que contenga datos de
usuarios y claves, sera conveniente modificarlas todas. Si tiene distintos usuarios en su mquna,
oblgueles a cambir su clave. En general es preferible cambiar siempre las claves despues de un
incidente, una vez que sepamos que lo hacemos de una forma segura.
Verifique si se han modificado las limitaciones al acceso a distintas herramientas de
administracin remota como linuxconf. Puede que el atacante trate de abrir alguna puerta trasera
para continuar aprovechndose de nuestras mquinas.
En algunos casos puede interesar antes de nada, hacer alguna copia de todo el disco duro para
seguir investigando el incidente en otra mquina distinta que no est conectada a la red y no
perder una informacin que puede ser valiosa.
Evaluacin de los efectos del ataque: El siguiente paso que hay que realizar es la evaluacin de los
efectos que ha tenido el ataque. Tiene que tener en mente la naturaleza del ataque para evaluar
los efectos. Si ha sido una denegacin de servicio es probable que el atacante no haya tenido
acceso a la informacin local. Si tena instalado algn programa, estilo Tripwire, que verifica la
integridad, su trabajo ahora sera ms cmodo. En caso contrario tendr que verificar todos sus
datos importantes. Verifique las fechas de creacin de los ficheros binarios y si detecta alguna
incongruencia con la fecha de instalacin puede empezar a sospechar. Si tiene la posibilidad,
compare los tamaos de los ficheros con otro sistema limpio y por supuesto, no trate de
verificar los programas ejecutndolos como root.
Unas buena alternativa es volver a instalar el sistema. Guarde los ficheros de configuracin para
tener una funcionalidad idntica a la previa al ataque. En Linux, los ficheros de configuracin se
almacenan en modo texto por lo que no son susceptibles de contener caballos de Troya. Eso s,
debera verificar que las configuraciones son las originales y no han sido manipuladas por el
atacante. Reinstale el sistema y utilice las copias de seguridad para reponer los datos de los
usuarios. Hay que tener especial cuidado con las copias de seguridad. Tiene que estar seguro de
que las copias de seguridad que est utilizando son previas a cualquier ataque. No se arriesgue a
restaurar unas copias de seguridad que pudieran tener algn caballo de Troya; tenga un cuidado
especial con los ficheros binarios que restaura.
Avisar: Si cree que ha sido objeto de un ataque que no est documentado, debera notificarlo a
alguna organizacin de seguridad como CERT o similar para que se pueda solucionar lo antes
posible y evitar que otros sistemas lo puedan padecer. Y aunque sea un hecho documentado con
anterioridad, no dude en pedir consulta a alguna de la mltiples lista de correo que tratan temas
de seguridad en general y de Linux en particular. En Espaa resulta especialmente recomendada la
lista CERT-ES de RedIris. Si ha conseguido informacin sobre el atacante, se lo debera notificar al
administrador del dominio del intruso. Puede buscar este contacto con whois, con la base de
datos del Internic o en RedIris. Podra enviarles un mensaje de correo con todos los registros
relacionados con el incidente, fechas y horas. Si conoce alguna otra informacin sobre su intruso,
podra mencionarla tambin. En ciertas situaciones, tras enviar el correo podra llamar por
telfono al administrador del sistema que origin el incidente. Si el admininistrador localiza a su
atacante, podra hacerle las cosas mucho ms fciles. Los buenos Hackers con frecuencia usan
sistemas intermedios. Algunos (o muchos) puede que ni sepan que han sido comprometidos.
Intentar seguir la pista de un cracker hasta su origen puede ser difcil. Siendo educado con los
administradores, le puede facilitar la obtencin de la ayuda necesaria. De todas formas,
esperamos que la lectura de este captulo sea totalmente innecesaria, si ha seguido unas normas
adecuadas de seguridad.
APNDICE A: Herramientas
Kismet: es un sniffer, un husmeador de paquetes, y un sistema de deteccin de intrusiones para
redes inalmbricas 802.11. Kismet funciona con cualquier tarjeta inalmbrica que soporte el modo
de monitorizacin raw, y puede rastrear trfico 802.11b, 802.11a y 802.11g. El programa corre
bajo Linux, FreeBSD, NetBSD, OpenBSD, y Mac OS X. El cliente puede tambin funcionar en
Windows, aunque la nica fuente entrante de paquetes compatible es otra sonda.
Kismet se diferencia de la mayora de los otros sniffers inalmbricos en su funcionamiento pasivo.
Es decir que lo hace sin enviar ningn paquete detectable, permitiendo detectar la presencia de
varios puntos de acceso y clientes inalmbricos, asociando unos con otros.
Kismet tambin incluye caractersticas bsicas de Sistemas de deteccin de intrusos como detectar
programas de rastreo inalmbricos incluyendo a NetStumbler, as como tambin ciertos ataques
de red inalmbricos.
Kismet tiene tres partes diferenciadas. Una Sonda que puede usarse para recoger paquetes, que
son enviados a un servidor para su interpretacin. Un servidor que puede o bien ser usado en
conjuncin con una sonda, o consigo mismo, interpretando los datos de los paquetes,
extrapolando la informacin inalmbrica, y organizndola. El cliente se comunica con el servidor y
muestra la informacin que el servidor recoge.
Airmon: Antes de empezar a capturar trfico debemos poner nuestra tarjeta en modo monitor,
con esta aplicacin lo hacemos.
Airodump: Se usa para capturar datos trasmitidos a travs del protocolo 802.11 y en particular
para la captura y recoleccin de IVs (vectores iniciales) de los paquetes WEP con la intencin de
usar aircrack. Si existe un receptor GPS conectado al ordenador, airodump muestra las
coordenadas del AP.
Aireplay: Es una herramienta para la creacin de peticiones ARP
Aircrack: Aircrack es un programa crackeador de claves 802.11 WEP y WPA/WPA2-PSK. Aircrack
puede recuperar la clave WEP una vez que se han capturado suficientes paquetes encriptados con
airodump. Este programa de la suite aircrack lleva a cabo varios tipos de ataques para descubrir la
clave WEP con pequeas cantidades de paquetes capturados, combinando ataques estadsticos
con ataques de fuerza bruta. Para crackear claves WPA/WPA2-PSK, es necesario usar un
diccionario.
Para romper claves WEP se pueden utilizar mltiples tcnicas:
Ataques FMS ( Fluhrer, Mantin, Shamir) - son tcnicas estadsticas
Ataques Korek - tambien tcnicas estadsticas
Fuerza bruta
Cuando se usan tcnicas estadsticas para crackear claves WEP, cada byte de la clave es tratado de
forma individual. Usando matemticas estadsticas, la posibilidad de que encuentres un byte
determinado de la clave crece algo ms de un 15% cuando se captura el vector de inicializacin
(IV) correcto para ese byte de la clave. Esencialmente, ciertos IVs revelan algn byte de la clave
WEP. Esto es bsicamente en que consisten las tcnicas estadsticas.
Usando una serie de pruebas estadsticas llamadas FMS y ataques Korek, se van acumulando
posibilidades o votos (votes) para cada byte de la clave WEP. Cada ataque tiene un nmero
diferente de votos asociado con l, por lo que la probabilidad de cada ataque varia
matemticamente. Cuantos ms votos tengamos de un byte o valor particular, mayor probabilidad
hay de que sea el correcto.
MACchanger: Es una utilidad que permite ver y modificar (fake) la MAC address.
Microsoft Baseline Security Analyzer: Permite explorar mltiples sistemas, a fin de identificar
falta de actualizaciones y errores comunes de configuracin, en sistemas operativos y aplicaciones
de Windows de uso corriente(IIS, SQL Server, etc.)
Software Update Services (SUS): Se trata de una herramienta fundamental a la hora de mantener
el nivel de actualizacin de parches para el conjunto de sistemas Windows, en instalaciones con
un gran numero de equipos conectados a la LAN
Qchain: Permite al administrador, instalar por medio de scripting, varios parches simultneos, sin
necesidad de realizar mltiples booteos
Nikto: Es una secuencia de comandos en Perl, que utiliza la librera Libwhisker para las funciones
HTTP/Socket. Su funcin es la de examinar servidores Web en busca de mltiples problemas,
incluyendo configuraciones errneas, archivos y secuencias de comando inseguras o
predeterminadas y aplicaciones anticuadas.
Netcat: Ha sido bautizada la navaja suiza debido a sus mltiples utilidades. En su nivel ms
bsico, es capaz de leer y escribir datos a travs de conexiones de red utilizando los protocolos
TCP y UDP
Achilles: Es un servidor proxy, que acta como una persona en el medio (man in the middle)
durante una sesin HTTP. Un proxy de HTTP tpico pasa paquetes hacia y desde el explorador de
Web cliente y un servidor de Web. Achilles intercepta los datos en una sesin HTTP en cualquier
direccin y le da la habilidad al usuario de alterar los datos antes de ser transmitidos.
BACK TRACK: es una distribucin GNU/Linux en formato LiveCD pensada y diseada para la
Monitorear el trfico Wireless con Kismet: Al iniciar la aplicacin, Kismet preguntar por el
adaptador Wireless, lo normal sera ath0. A partir de aqu Kismet comenzar a detectar el
rango de redes.
Se usa Kismet por 2 razones:
Seleccione el AP al cual quiere acceder, copie y pegue los datos del broadcast name
(essid) y la mac address (bssid ) y el nmero del canal del AP objetivo en un editor de texto
(se usar despus). Deje el Kismet corriendo para que el adaptador Wireless se mantenga
en modo monitor
9 es el canal 9 del AP
1 le dice a airodump que slo recolecte IVS Los paquetes de datos de la llave WEP
Asociar la tarjeta wireless con el AP al que se esta accediendo: En una consola escribir el
siguiente comando
aireplay-ng -1 0 -e nombre_ap -a 00:11:22:33:44:55 -h 00:fe:22:33:f4:e5
ath0
Desencriptando la llave WEP con Aircrack: Busque el archivo usado en el paso 2 en el que
guard los IVS capturados. Escriba en una consola:
aircrack-ng -s /mnt/hda2/home/archivo.ivs
Listo, una vez obtenido la clave WEP en Hexadecimal lo que nos resta es pasarla a ASCII
WIFISLAX: es una distribucin GNU/Linux con funcionalidades de LiveCD y LiveUSB pensada y
diseada para la auditora de seguridad y relacionada con la seguridad informtica en general.
Deriva del inicio de varios desarrollos sin xito de otras distribuciones cono Knoppix, Debian y
finalmente Slax. Tras realizar un destacable trabajo, se utilizaron funcionalidades de antiguas
versiones de BackTrack, debido a que esta ltima, nace de la unin de dos grandes distribuciones
orientadas a la seguridad, el Auditor + WHAX.
WiFiSlax incluye larga lista de herramientas de seguridad y auditora listas para ser utilizadas,
entre las que destacan numerosos scanners de puertos y vulnerabilidades, herramientas para
creacin y diseo de exploits, sniffers, herramientas de anlisis forense y herramientas para la
auditora Wireless, adems de aadir una serie de tiles lanzadores muy intuitivos.
Wifislax es un CD de arranque que contiene al sistema operativo Linux. Puede hacer correr Linux
directamente desde el CDROM sin instalacin. Aunque lleva incorporado herramientas de
instalacin en el disco duro o en llaveros USB, o una emulacin en Windows. Wifislax esta basado
bsicamente y principalmente en SLAX (basado en la distribucin Slackware Linux), pero debido al
gran trabajo realizado por los autores del BackTrack hemos trabajado directamente sobre este
ultimo live CD, as pues catalogar al Wifislax como una live CD podra incluso considerarse como
errneo. Tambin estn disponibles todos los scripts y cdigos fuente, los cuales pueden ser
utilizados para construir tu propio live CD.
Esta distribucin de seguridad, contiene entre otros Asistencia Chipset, Herramientas Wireless,
Suite Aircrack y aircrack-ng, estudio de cifrado (WEP, WPA y WPA2), nmap, amap, lanzadores para
asistencia de conexin, herramientas bluetooth, etc.
WifiWay: Es un live CD que, basado en el sistema operativo Linux, puede ser ejecutado sin
necesidad de instalacin directamente desde el CDROM o tambin desde el disco duro como
LiveHD, adems de poderse instalar en memorias USB o en disco duro.
Wifiway es un Linux live cd diseado por www.seguridadwireless.net y www.wifiway.org esta
pensada y diseada para la auditora de seguridad del estndar 802.11. (WiFi, BlueTooth y RFID) y
ademas con soporte internacional. Deriva del inicio de varios desarrollos, algunos muy xitosos
como es el caso de WiFiSlax. Se debe destacar que Wifiway no est basada en otras distribuciones
si no que es Linux From Scratch.
Linux From Scratch o LFS es una coleccin de documentos que nos indican los pasos para compilar
una distribucin GNU/Linux desde cero. El proyecto se diferencia de otras distribuciones en que
no consta de paquetes y scripts pre ensamblados para una instalacin automtica del sistema,
sino que sus usuarios son provistos simplemente con paquetes de cdigo fuente y un manual de
instrucciones para el armado de un sistema GNU/Linux propio.
Debido al inmenso trabajo que demanda la instalacin de este sistema en comparacin a otras
distribuciones, los usuarios que deciden hacer uso de LFS son principalmente aficionados que
desean aprender sobre el funcionamiento interno de un sistema GNU/Linux y ensamblar un
sistema a su medida. Linux From Scratch es tambin utilizado como base de varias distribuciones,
usualmente alejadas de su espritu original de "metadistribucin".
Wifiway incluye una larga lista de herramientas de seguridad y auditora inalmbrica listas para ser
utilizadas, especializadas en la auditora Wireless, adems de aadir una serie de tiles lanzadores
muy intuitivos.
Una caracterstica de esta distribucin es que hace uso de un script (airoway.sh) que simplifica y
acelera el proceso de una auditora Wireless.
Zabbix: Es una aplicacin open source que nos permite monitorizar nuestros servidores va web.
Permite un acceso centralizado a toda la informacin obtenida de nodos de nuestra red.
Encuentra automticamente, mediante un rango de IPs, servicios y SNMP, y empieza a
monitorizarlos automticamente. Tiene una buena escalabilidad, ha sido testeado contra 5000
servidores y dispositivos. Permite una administracin sencilla, guardndose los datos en BD
(Oracle, MySQL, PostgreSQL o SQLite). Monitorizacin en tiempo real, mandando avisos mediante
email, SMS o Jabber. Zabbix resume en sus objetivos principales su eficacia y potencia:
Interfaz amigable
Reaccionar rpidamente
Zabbix es capaz de monitorizar numerosos parmetros en una red, as como indicarnos la salud,
rendimiento e integridad de sus equipos. Utiliza un mecanismo de notificaciones extremadamente
flexible y nos ofrece un excelente catlogo de informes y grficas perfectos para el anlisis de
nuestros equipos, ya sea a nivel de software o hardware.
IPCop: Es una distribucin Linux que implementa un cortafuegos (o firewall) y proporciona una
simple interfaz web de administracin basndose en una computadora personal. Originalmente
naci como una extensin (fork) de la distribucin SmoothWall cuyo desarrollo haba estado
congelado bastante tiempo.
IPCop tiene como objetivos ser un cortafuegos sencillo, con pocos requerimientos hardware
orientado a usuarios domsticos o a pequeas empresas (SOHO), administrado a travs de una
interfaz web, con funcionalidades basicas y avanzadas, yendo (a manera de ejemplo) desde el
simple filtrado de paquetes hasta la asignacin de ancho de banda fijo a cada puesto de trabajo o
la configuracin de redes virtuales VPN. IPCop se actualiza desde el Interfaz Web de manera muy
sencilla, incluyendo actualizaciones del Kernel.
IPCop est capado y solo tiene instaladas las herramientas justas para su funcin como firewall,
limitando el dao que podra hacer un intruso que comprometiera el sistema. Si se desea ampliar
la funcionalidad existen extensiones, comunes con SmoothWall, que permiten instalar todo tipo
de utilidades como por ejemplo instalar Nmap para escanear IPs.
La distribucin Linux se puede bajar desde el sitio oficial en ingls, consiste de una imagen ISO de
menos de 100Mb la cual puede ser grabada en un CD e instalada en cualquier PC que tenga al
menos dos interfaces de red.
Topologas de red soportadas: Permite la implementacin de diferentes topologas de red, ya sea
desde la simple LAN que sale a internet, hasta la creacin de una zona desmilitarizada (DMZ),
soportando tambin la inclusin de una red inalmbrica.
Las diferentes zonas las divide en colores, siendo:
SmoothWall: Smoothwall es una distribucin Linux que tiene como objetivo proporcionar un
cortafuegos o Firewall de fcil administracin e instalacin, administrable a travs de una interfaz
web.
Squid: es un popular programa de software libre que implementa un servidor proxy y un demonio
para cach de pginas web, publicado bajo licencia GPL. Tiene una amplia variedad de utilidades,
desde acelerar un servidor web, guardando en cach peticiones repetidas a DNS y otras
bsquedas para un grupo de gente que comparte recursos de la red, hasta cach de web, adems
de aadir seguridad filtrando el trfico. Est especialmente diseado para ejecutarse bajo
entornos tipo Unix. Squid ha sido desarrollado durante muchos aos y se le considera muy
completo y robusto. Aunque orientado a principalmente a HTTP y FTP es compatible con otros
protocolos como Internet Gopher. Implementa varias modalidades de cifrado como TLS, SSL, y
HTTPS.
OSSIM: Es una distribucin de productos open source integrados para construir una
infraestructura de monitorizacin de seguridad. Su objetivo es ofrecer un marco para centralizar,
organizar y mejorar las capacidades de deteccin y visibilidad en la monitorizacin de eventos de
seguridad de la organizacin.
PuTTY: Es un cliente SSH, Telnet, rlogin, y TCP raw con licencia libre. Disponible originariamente
slo para Windows, ahora tambin est disponible en varias plataformas Unix, y se est
desorrollando la versin para Mac OS clsico y Mac OS X. Otra gente ha contribuido con versiones
no oficiales para otras plataformas, tales como Symbian para telfonos mviles. Es software beta
escrito y mantenido principalmente por Simon Tatham, open source y licenciado bajo la Licencia
MIT.
Quarkbase (www.quarkbase.com) es la ltima herramienta online en aparecer cuyo cometido es
realizar una completa analtica de la url que introducimos en su campo correspondiente. Para ello
nos encontramos con la pgina inicial, bastante sencilla, pero que una vez introducida la url, nos
aparece una pgina ms completa estructurando su informacin en diferentes apartados.
Lo primero que nos encontraremos en la pgina de la informacin de cualquier url es su captura y
un resumen del mismo. Ms abajo nos encontramos con datos introductorios, donde adems, nos
darn una serie de enlace de sitios similares. Le sigue la popularidad social, donde ya
empezaremos a obtener una serie de nmero y grficas, que tambin encontraremos en el
apartado de trfico, donde adems obtendremos una serie de grficas de Alexa. La informacin de
las personas que estn tras una url, los enlaces entrantes desde diferentes fuentes, y la
informacin tcnica, son los ltimos apartados que podemos conocer de una url. Gracias a
Quarkbase podemos conocer mucho ms de cualquier sitio web, informacin que en su mayor
parte han sido obtenidas a travs de Zoominfo, CrunchBase, Bloglines, Dmoz y Dealipedia.
AbouThiSite (www.aboutthisite.com), un servicio de reciente aparicin que nos mostrar una
serie de datos sobre cualquier url que le indiquemos. Basta con que le indiquemos una url para
que nos muestre la informacin general, donde conoceremos quien est detrs de la url junto con
otros datos como el pagerank, nmero de visitas diarias o la ip del servidor donde est alojado.
Adems, tambin obtendremos una paleta de colores donde conoceremos el porcentaje de cada
tono de color usado en el diseo de la pgina a la que pertenece la url. Sabremos asimismo si
valida las normas del W3C o el set de caracteres utilizado. Pero si lo que queremos saber es la
ubicacin del servidor, tambin nos lo indica a travs de un mapa de Google Maps as como los
datos que la acompaan. Por ltimo podremos conocer los vecinos, tal y como tambin hace
MyIpNeighbors. Para quien an no lo entienda, sobre la ip del servidor conoceremos otros sitios
web que comparten el mismo servidor web que la url que estamos analizando. Tambin nos
mostrar una captura de la web a la que pertenece la url.
GreatDB (www.greatdb.com) es una utilidad que recopila en una sola interfaz varias herramientas
para saber todo acerca de cualquier sitio web con tan solo ingresar su URL: Whois, Alexa,
blacklinks, paginas indexadas por Google y Yahoo, Screenshots de Internet Archives Wayback,
entre muchas otras. Podemos averiguar, la antigedad, el lenguaje, las 5 palabras clave, etc.
EventReporter de Adiscon permite a los administradores combinar funciones de informe de
registro de sucesos y alerta de UNIX y Windows en un nico entorno. Es compatible con el
protocolo syslog estndar de UNIX para la integracin con sistemas basados en este sistema
operativo, as como con el protocolo simple de transferencia de correo (SMTP) para el reenvo de
alertas. EventReporter incluye un agente que se puede configurar para recopilar sucesos de
seguridad de varios equipos, filtrarlos y, a continuacin, colocarlos en una base de datos. En
funcin del suceso de seguridad, se podr reenviar estos sucesos por correo electrnico, iniciar
aplicaciones y crear mensajes de red, entre otros.
GFI LANguard Security Event Log Monitor (SELM) de GFI. LANguard realiza la deteccin de
intrusiones basada en los registros de sucesos y lleva a cabo la administracin de stos en toda la
red. Asimismo, almacena y analiza los registros de sucesos de todos los equipos de red y alerta en
tiempo real acerca de los problemas de seguridad, ataques y otros sucesos crticos. Security Event
Log Monitor puede almacenar los registros de sucesos en una base de datos central y ofrece
reglas e informes personalizados para el anlisis forense.
Tcplogger: Este programa escucha todos los servicios sobre TCP, dejando una traza de cada
servicio en un archivo de trazas, indicando la hora, la mquina origen y el puerto de esa
conexin.
Etherscan: Es una herramienta que monitorea la red buscando ciertos protocolos con
actividad inusual, como puedan ser conexiones tftp - en este caso, si se han realizado con
xito nos indica qu archivos se han llevado -, comandos en el puerto de sendmail (25 tcp)
como vrfy, expn, algunos comandos de rpc como rpcinfo, peticiones al servidor de NIS
(algunas herramientas utilizan este tipo de servidores para obtener el archivo de password,
ej: ypx), peticiones al demonio de mountd, etc. Etherscan se ejecuta en modo promiscuo
en la mquina utilizando (al igual que las anteriores) el NIT (Network Interface Tap de
SunOs 4.1.x), y tambin el "Packet Filtering Interface" para realizar esas capturas.
Nstat: Esta herramienta que originariamente fue diseada para obtener estadsticas de uso
de varios protocolos, se puede utilizar para detectar cambios en los patrones de uso de la
red, que nos puedan hacer sospechar que algo raro est pasando en la misma. Esta
herramienta viene acompaada por dos utilidades que nos permiten analizar la salida que
origina nstat, a saber: nsum, nload. La primera de ellas, nos da informacin de ciertos
periodos de tiempo. La segunda, es un programa awk que produce una salida que puede
ser vista de forma grfica por herramientas como xvgr. Para concluir este apartado,
podemos decir que esta herramienta es muy til para detectar ciertos tipos de ataques, tal
como hemos reflejado anteriormente (con etherscan), as como dar una idea de qu tipo
de protocolos estn viajando por la red. Adems, tiene la ventaja de que al estar en modo
promiscuo, con slo tenerlo en una mquina del segmento se puede tener monitoreado
todo el segmento en el que est conectado.
Argus: Es una herramienta de dominio pblico que permite auditar el trfico IP que se produce en
nuestra red, mostrndonos todas las conexiones del tipo indicado que descubre. Este programa se
ejecuta como un demonio, escucha directamente la interfaz de red de la mquina y su salida es
mandada bien a un archivo de trazas o a otra mquina para all ser leda. En la captura de
paquetes IP se le puede especificar condiciones de filtrado como protocolos especficos, nombres
de mquinas, etc. A la hora de leer esa informacin disponemos de una herramienta que incluye
el software (llamado ra) y que nos permite tambin realizar filtros de visualizacin. Una
caracterstica de esta herramienta es la posibilidad de filtrar paquetes de acuerdo a las
listas de acceso de los routers CISCO. Es posible por tanto decirle que nos capture aquellos
paquetes que no cumplen las reglas de la lista de acceso definida para esa interfaz del router.
Como en el caso anterior (netlog) es posible ejecutar el comando en modo promiscuo (si lo que
queremos es auditar todo nuestro segmento). Este programa divide las transacciones en cuatro
grupos: TCP, UDP/DNS, MBONE, ICMP.
Tcpdump: Es un software de dominio pblico que imprime las cabeceras de los paquetes que
pasan por una interfaz de red. Este programa es posible ejecutarlo en modo promiscuo con lo que
tendremos las cabeceras de los paquetes que viajan por la red. Tanto en la captura como en la
visualizacin de la informacin, es posible aplicar filtros por protocolo (TCP, UDP, IP, ARP, RARP...),
puertos (en este caso el puerto puede ser un nmero o un nombre especificado en el
archivo/etc/services), direcciones fuente, direcciones destino, direcciones de red, as como
realizar filtros con operadores (=, <, >, !=, and, not, ...). En la ltima versin, es posible ver
tambin los paquetes de datos.
SATAN (Security Administrator Tool for Analyzing Networks): Es un software de dominio pblico
creado por Dan Farmer que chequea mquinas conectadas en red y genera informacin sobre el
tipo de mquina, qu servicios da cada mquina y avisa de algunos fallos de seguridad que tengan
dichas mquinas. Una de las ventajas de SATAN frente a otros paquetes, es que utiliza una interfaz
de WWW (como Mosaic, Netscape,..), va creando una base de datos de todas las mquinas
chequeadas y las va relacionando entre ellas (de forma que si encuentra una mquina insegura, y
chequea otra mquina que est relacionada con sta, automticamente esta segunda quedar
marcada tambin como insegura). Adems, tiene la posibilidad de poder chequear las mquinas
con tres niveles ("light", normal y "heavy"). Una vez realizado el chequeo de la mquina se genera
una salida en formato html, y en el caso de encontrar fallos, da una pequea explicacin sobre el
fallo en concreto. Cuando existe algn documento sobre ese fallo recogido en el CERT (advisory)
tiene un enlace a ese documento, para que sobre la marcha pueda ser consultado. Asimismo, en
el caso de que el fallo de seguridad sea debido a versiones antiguas de software da la posibilidad
(mediante un enlace) de instalar una versin nueva de ese software. Algunos de los servicios
chequeados por SATAN son: finger, NFS, NIS, ftp, DNS, rexd, as como tipo de sistema operativo,
versin de sendmail, etc. La base de datos generada por SATAN puede ser luego consultada por
varios campos: tipo de sistema operativo, tipo de servicio (servidores de NIS, ftp, NFS, X, etc).
SATAN ha sido diseado como una herramienta de seguridad para ayudar a administradores de
sistemas y redes, pero tambin puede ser utilizada para atacar a sistemas y descubrir la topologa
de la red de una organizacin. SATAN es capaz de chequear mquinas por subredes, con lo que
quedan al descubierto todas las mquinas que se encuentran conectadas en dicha subred.
ISS (Internet Security Scanner): Es una herramienta de la cual existe versin de dominio pblico
que chequea una serie de servicios para comprobar el nivel de seguridad que tiene esa mquina.
ISS es capaz de chequear una direccin IP o un rango de direcciones IP (en este caso se indican dos
direcciones IP e ISS chequear todas las mquinas dentro de ese rango). El programa viene
acompaado de dos utilidades que son ypx y strobe. La primera, nos permite la transferencia de
mapas NIS a travs de la red y la segunda, chequea y describe todos los puertos TCP que tiene la
mquina que chequeamos. Como podemos ver, con la primera herramienta es posible la
transferencia de los archivos de "password" en aquellas mquinas que hayan sido configuradas
como servidores de NIS. ISS se puede ejecutar con varias opciones y la salida se deja en un
archivo. Adems, si ha podido traerse el archivo de "password" de la mquina chequeada, crear
un archivo aparte con la direccin IP de la mquina.
Courtnet: Este software de dominio pblico sirve para identificar la mquina origen que intenta
realizar ataques mediante herramientas de tipo SATAN. El programa es un script perl que trabaja
conjuntamente con tcpdump. Courtney recibe entradas desde tcpdump y controla la presencia de
peticiones a nuevos servicios del stack TCP/IP (las herramientas de este tipo realizan ataques,
chequeando de forma ordenada todos los puertos TCP y UDP que tiene el sistema, para poder ver
qu servicios tiene instalados dicha mquina). Si se detecta que se est produciendo un continuo
chequeo de estos puertos en un breve intervalo de tiempo, Courtney da un aviso. Este aviso se
manda va syslog. Courtney puede generar dos tipos de alarmas dependiendo del ataque que se
est produciendo (normal o "heavy", las herramientas como SATAN dispone de distintos grados de
chequeo de la mquina). Esta herramienta necesita el intrprete de PERL y el tcpdump.
Gabriel: Software desarrollado por "Los Altos Technologies Inc" que permite detectar "ataques"
como los generados por SATAN. Gabriel identifica el posible ataque y de forma inmediata lo
notifica al administrador o responsable de seguridad. La notificacin se puede realizar de varias
formas (e-mail, cu, archivo de trazas). Este programa existe, en este momento, para SunOs y
Solaris, y est formado por un cliente y un servidor. El cliente se instala en cualquier mquina de la
red, recoge la informacin que se est produciendo y la enva al servidor va syslog. Estos clientes
adems envan de forma regular informacin al servidor para indicarle que estn en
funcionamiento.
Tcplist: Es un pequeo programa de dominio pblico que nos informa acerca de todas las
conexiones TCP desde o hacia la mquina donde lo estamos ejecutando.
Nocol (Network Operations Center On-Line): Es un conjunto de programas de monitoreo de
sistemas y redes. El software es un conjunto de agentes que recogen informacin y escriben la
salida en un formato que se puede, luego, procesar. Cada dato procesado recibe el nombre de
evento y cada evento tiene asociado una gravedad.
Netflow Analyzer: es una herramienta de monitorizacin de ancho de banda basado en tecnologa
web. Permite analizar la utilizacin de ancho de banda y ofrece visibilidad completa sobre routers
y switches Cisco. Gracias a sus informes detallados y grficos en tiempo real, NetFlow Analyzer
proporciona informacin muy completa sobre el trfico de red, sin necesidad de utilizar sondas.
APNDICE B: Definiciones
DEF CON es una de las ms viejas convenciones de Hackers. Se lleva a cabo generalmente en la
ltima semana del mes de julio o la primera semana de agosto en Las Vegas. La primera reunin
de DEF CON tuvo lugar en Las Vegas, en junio de 1993. Los Def Con Goons organizan y controlan el
evento. La mayora de los asistentes son profesionales de la seguridad informtica, Crackers, y
Hackers con intereses comunes como la programacin, las computadoras y la seguridad.
ECHELON es considerada la mayor red de espionaje y anlisis para interceptar comunicaciones
electrnicas de la historia. Controlada por la comunidad UKUSA (Estados Unidos, Canad, Gran
Bretaa, Australia, y Nueva Zelanda), ECHELON puede capturar comunicaciones por radio y
satlite, llamadas de telfono, faxes y e-mails en casi todo el mundo e incluye anlisis automtico
y clasificacin de las interceptaciones. Se estima que ECHELON intercepta ms de tres mil millones
de comunicaciones cada da. A pesar de haber sido presuntamente construida con el fin de
controlar las comunicaciones militares y diplomticas de la Unin Sovitica y sus aliados, se
sospecha que en la actualidad ECHELON es utilizado tambin para encontrar pistas sobre tramas
terroristas, planes del narcotrfico e inteligencia poltica y diplomtica. Sus crticos afirman que el
sistema es utilizado tambin para el espionaje econmico y la invasin de privacidad en gran
escala. La existencia de ECHELON fue hecha pblica en 1976 por Winslow Peck.
Los miembros de esta alianza de habla inglesa son parte de la alianza de inteligencia UKUSA, que
lleva reuniendo inteligencia desde la Segunda Guerra Mundial. El sistema est bajo la
administracin de la NSA (National Security Agency). Esta organizacin cuenta con 100.000
empleados tan slo en Maryland (Estados Unidos) (otras fuentes hablan de 380.000 empleados a
escala mundial), por lo que es probablemente la mayor organizacin de espionaje del mundo. La
informacin es enviada desde Menwith Hill (Reino Unido) por satlite a Fort Meade en Maryland
(EEUU).
A cada estado dentro de la alianza UKUSA le es asignado una responsabilidad sobre el control de
distintas reas del planeta. La tarea principal de Canad sola ser el control del rea meridional de
la antigua Unin Sovitica. Durante el perodo de la guerra fra se puso mayor nfasis en el control
de comunicaciones por satlite y radio en centro y Sudamrica, principalmente como medida para
localizar trfico de drogas y secuaces en la regin. Los Estados Unidos, con su gran cadena de
satlites espas y puertos de escucha controlan gran parte de Latinoamrica, Asia, Rusia asitica y
el norte de China. Gran Bretaa intercepta comunicaciones en Europa, Rusia y frica. Australia
examina las comunicaciones de Indochina, Indonesia y el sur de China, mientras que Nueva
Zelanda barre el Pacfico occidental.
Varias fuentes afirman que estos estados han ubicado estaciones de intercepcin electrnica y
satlites espaciales para capturar gran parte de las comunicaciones establecidas por radio,
satlite, microondas, mviles y fibra ptica. Las seales capturadas son luego procesadas por una
serie de superordenadores, conocidas como diccionarios, las cuales han sido programadas para
buscar patrones especficos en cada comunicacin, ya sean direcciones, palabras, frases o incluso
voces especficas. Segn algunas fuentes el sistema dispone de 120 estaciones fijas y satlites
geoestacionarios. Estos podran filtrar ms del 90% del trfico de internet. Las antenas de Echelon
pueden captar ondas electromagnticas y trasmitirlas a un lugar central para su procesamiento. Se
recogen los mensajes aleatoriamente y se procesan mediante los diversos filtros buscando
palabras clave. Este procedimiento se denomina "Control estratgico de las telecomunicaciones".
OWASP (acrnimo de Open Web Application Security Project, en ingls Proyecto de seguridad de
aplicaciones web abiertas) es un proyecto de cdigo abierto dedicado a determinar y combatir las
causas que hacen que el software sea inseguro. La Fundacin OWASP es un organismo sin nimo
de lucro que apoya y gestiona los proyectos e infraestructura de OWASP. La comunidad OWASP
est formada por empresas, organizaciones educativas y particulares de todo mundo. Juntos
constituyen una comunidad de seguridad informtica que trabaja para crear artculos,
metodologas, documentacin, herramientas y tecnologas que se liberan y pueden ser usadas
gratuitamente por cualquiera.
OWASP es un nuevo tipo de entidad en el mercado de seguridad informtica. Estar libre de
presiones corporativas facilita que OWASP proporcione informacin imparcial, prctica y
redituable sobre seguridad de aplicaciones informtica. OWASP no est afiliado a ninguna
compaa tecnolgica, si bien apoya el uso informado de tecnologas de seguridad. OWASP
recomienda enfocar la seguridad de aplicaciones informticas considerando todas sus
dimensiones: personas, procesos y tecnologas.
Los documentos con ms xito de OWASP incluyen la Gua OWASP y el ampliamente adoptado
documento de autoevaluacin OWASP Top 10. Las herramientas OWASP ms usadas incluyen el
entorno de formacin WebGoat, la herramienta de pruebas de penetracin WebScarab y las
utilidades de seguridad para entornos .NET OWASP DotNet. OWASP cuenta con unos 50 captulos
locales por todo el mundo y miles de participantes en las listas de correo del proyecto. OWASP ha
organizado la serie de conferencias AppSec para mejorar la construccin de la comunidad de
seguridad de aplicaciones web.
SANS Institute: El Instituto SANS (SysAdmin Audit, Networking and Security Institute) es una
institucin con nimo de lucro fundada en 1989, con sede en Bethesda (Maryland, Estados
Unidos) que agrupa a 165.000 profesionales de la seguridad informtica (consultores,
administradores de sistemas, universitarios, agencias gubernamentales, etc.)
Sus principales objetivos son:
ser til para las organizaciones en todos los sectores a travs de su adopcin por innumerables
compaas como base para consulta, educacin y soporte de herramientas de software. Hoy, ITIL
es conocido y utilizado mundialmente. Pertenece a la OGC, pero es de libre utilizacin.
ITIL fue desarrollada al reconocer que las organizaciones dependen cada vez ms de la Informtica
para alcanzar sus objetivos corporativos. Esta dependencia en aumento ha dado como resultado
una necesidad creciente de servicios informticos de calidad que se correspondan con los
objetivos del negocio, y que satisfagan los requisitos y las expectativas del cliente. A travs de los
aos, el nfasis pas de estar sobre el desarrollo de las aplicaciones TI a la gestin de servicios TI.
La aplicacin TI (a veces nombrada como un sistema de informacin) slo contribuye a realizar los
objetivos corporativos si el sistema est a disposicin de los usuarios y, en caso de fallos o
modificaciones necesarias, es soportado por los procesos de mantenimiento y operaciones. ITIL
fue producido originalmente a finales de 1980 y constaba de 10 libros centrales cubriendo las dos
principales reas de Soporte del Servicio y Prestacin del Servicio. Estos libros centrales fueron
ms tarde soportados por 30 libros complementarios que cubran una numerosa variedad de
temas, desde el cableado hasta la gestin de la continuidad del negocio. A partir del ao 2000, se
acometi una revisin de la biblioteca. En esta revisin, ITIL ha sido reestructurado para hacer
ms simple el acceder a la informacin necesaria para administrar sus servicios. Los libros
centrales se han agrupado en dos, cubriendo las reas de Soporte del Servicio y Prestacin del
Servicio, en aras de eliminar la duplicidad y mejorar la navegacin. El material ha sido tambin
actualizado y revisado para un enfoque conciso y claro.
CCNA (Cisco Certified Network Associate) es una certificacin entregada por la compaa Cisco
Systems a las personas que hayan rendido satisfactoriamente el examen correspondiente sobre
infraestructuras de red e Internet. Est orientada a los profesionales que operan equipamiento de
networking. Hay un curso preparatorio, del mismo nombre, ofrecido en las academias de
networking Cisco en todo el mundo. Existen distintos niveles de certificacin en la lnea de
operacin, recientemente se lanzaron unas certificaciones entre nivel tcnico y profesional
llamadas concentraciones y hasta ahora slo hay concentraciones en redes inalmbricas, voz
sobre Ip y seguridad pero todas son de nivel CCNA, es decir, uno puede estar certificado como
CCNA en redes inalmbricas por ejemplo. El siguiente nivel es el CCNP ("Cisco Certified Network
Professional").
CCNP (Cisco Certified Network Professional) es el nivel intermedio de certificacin de la compaa.
Para obtener esta certificacin, se han de superar varios exmenes, clasificados segn la empresa
en 4 mdulos. Esta certificacin, es la intermedia de las certificaciones generales de Cisco, no est
tan valorada como el CCIE, pero si, mucho ms que el CCNA.
CCIE: El Certificado Cisco de Experto en Internet (CCIE) es el nivel de Cisco ms alto de la
certificacin profesional. CCIE es una certificacin de nivel avanzado para los profesionales que
tienen el entrenamiento, la experiencia y la confianza para abordar los problemas ms
desafiantes de su campo. El CCIE certifica as las habilidades de establecimiento de una red de
un individuo en el nivel experto. CCIE es un programa aparte que, hasta principios del 2009, no
tena un programa oficial de entrenamiento. Para certificar al nivel experto no es prerrequisito
haber certificado otros niveles (CCNA, CCNP o equivalentes), pero tener una certificacin de Cisco
de nivel avanzado, tal como CCNP (Certificado Cisco de Profesional de Red), CCDP (Certificado
Cisco de Profesional de Diseo), CCIP (Certificado Cisco de Profesional de Internet), o CCSP
(Certificado Cisco de profesional en Seguridad) seran deseables antes de tomar el CCIE.
CompTIA: La Asociacin de la industria de tecnologa de cmputo (Computing Technology Industry
Association(CompTIA)) es una organizacin sin fines de lucro fundada en 1982 y que se dedica a la
certificacin de profesionales para la industria de tecnologas de informacin. Los exmenes de
certificacin de CompTIA son administrados a travs de los centros de pruebas Pearson VUE y
Prometric. Adems de certificaciones, CompTIA proporciona membresas corporativas. Entre sus
certificaciones ms conocidas tenemos:
CompTIA Network+: La certificacin Network+ sirve para demostrar las habilidades como
un tcnico de red: entender el hardware de red, instalacin y Resolucin de problemas.
Network+ sirve para prepararse y continuar con las certificaciones de Microsoft y las
certificaciones de Cisco.
CompTIA Security+: es una certificacin que trata sobre seguridad informtica; la temtica
est relacionada con criptografa y control de acceso. Actualmente, y de acuerdo a
CompTIA, hay ms de 23,000 personas en el mundo que se han certificado con esta
modalidad.
LPI: El Linux Professional Institute (LPI) o Instituto Profesional Linux es una organizacin sin nimo
de lucro que otorga certificaciones profesionales de Linux a administradores de sistema, as como,
programadores. El instituto aplica los exmenes en casi todos los pases del mundo y proporciona
una amplia gama de certificaciones, LPIC, para profesionales. Es un miembro fundador del
Desktop Linux Consortium y es conocido en todo el mundo como la primera organizacin en
impulsar y apoyar el uso de Linux, Cdigo abierto y Software Libre. Se constituye formalmente
como una organizacin sin nimo de lucro en octubre de 1999 siendo sus fundadores Chuck
Mead, Dan York y algunos otros. Su sede se encuentra cerca de Toronto, Ontario Canad. Las
certificaciones LPI -en ingls, LPI Certificacin (LPIC)- han sido diseadas para certificar la
capacitacin de los profesionales de las Tecnologas de la Informacin usando el Sistema
Operativo Linux y herramientas asociadas a este sistema. Ha sido diseado para ser independiente
de la distribucin y siguiendo la Linux Standard Base y otros estndares relacionados. El programa
LPI se basa en realizacin de encuestas para establecer un nivel de certificacin basado en el
puesto de trabajo a desempear utilizando para ello procesos de Psicometra para garantizar la
relevancia y calidad de la certificacin. Los programas de certificacin LPI estn actualmente en
revisin; la intencin es actualizarlos para as poder acompaar la evolucin de las Tecnologas de
la Informacin. Para ello se est en permanente contacto con la industria del sector donde se
realizan estudios y evaluaciones para determinar los perfiles idneos del profesional Linux. Luego
de establecer los nuevos objetivos de la certificacin, se elaborarn los nuevos exmenes que
comenzarn a tener vigencia a partir del 1 de Abril del 2009
MCP (Microsoft Certified Professional): Es una Certificacin de competencias ofrecida por
Microsoft, que acredita las destrezas de profesionales y tcnicos en la aplicacin de las tecnologas
de este fabricante en soluciones de negocios para la empresa. La MCP certifica destrezas,
conocimientos y experiencia en, al menos, una herramienta Microsoft de las reas de Desarrollo
de Aplicaciones, Administracin de Bases de Datos y Administracin de Infraestructura de Red. Los
candidatos a MCP deben aprobar un examen de certificacin Microsoft para validar y dimensionar
su eficiencia y expertise. Los exmenes de certificacin requeridos para esta credencial deben ser
rendidos en los centros Prometric instalados alrededor del mundo. Completando una serie de
exmenes MCP definidos dentro de un currculo determinado, estn disponibles una serie de
certificaciones de destrezas orientadas a los roles como:
CEH (Certified Ethical Hacker): Certified Ethical Hacker es una certificacin profesional promovida
por el Consorcio Internacional de Consultas de Comercio Electrnico. Un Hacker tico es el
nombre adoptado para la realizacin de pruebas de penetracin o intrusin a redes informticas.
Un hacker tico usualmente es un empleado o persona perteneciente a una organizacin, el cual
intenta introducirse a una red informtica o un sistema informtico, utilizando mtodos y tcnicas
Hacker, pero su propsito principal es la bsqueda y resolucin de vulnerabilidades de seguridad
que permitieron la intrusin. La Certificacin de Hacker tico CEH actualmente se encuentra en su
versin 6.
CISSP (Certified Information Systems Security Professional) es una certificacin de alto nivel
profesional otorgada por la (ISC)2 (International Information Systems Security Certification
Consortium, Inc), con el objetivo de ayudar a las empresas a reconocer a los profesionales con
formacin en el rea de seguridad de la informacin. CISSP es considerada como una de las
credenciales de mayor representatividad en el mbito de la seguridad informtica a nivel mundial.
Para mayo del 2006, haba registrados 38384 CISSPs en el mundo. Los aspirantes a obtener la
certificacin CISSP deben cumplir con los siguientes requerimientos:
Aprobar el examen para CISSP: Este examen consta de 250 preguntas de seleccin simple y
6 horas de duracin, en el cual se evala el manejo que tiene el candidato sobre cada uno
de los 10 dominios de conocimiento que conforman el Common Body of Knowledge (CBK).
Demostrar experiencia mnima de 5 aos en al menos dos de los 10 dominios del CBK.
En caso de ser seleccionado para tal fin, el aspirante debe someterse y pasar un proceso de
auditora.
Con el objetivo de mantener su estado de CISSP, aquellos profesionales certificados deben realizar
cierta cantidad de actividades cuya finalidad primordial es asegurar que el profesional se ha
mantenido activo en el rea de la seguridad. Cada una de estas actividades reciben cierta cantidad
de crditos (CPE) de los cuales el profesional debe reunir 120 cada 3 aos. Si el CISSP no rene los
120 CPEs en el tiempo definido, debe entonces volver a tomar y aprobar el examen si desea
mantener su certificacin.
SSCP: La certificacin Systems Security Certified Practitioner (Profesional Certificado en Seguridad
de Sistemas ) es una certificacin neutral para tcnicos en seguridad computacional entregada por
el consorcio (ISC)2: International Information Systems Security Certification Consortium. Las siete
reas generales que cubre esta certificacin estn contenidas en el "SSCP Common Body of
Knowledge" Los siete campos son: Controles de Acceso; Anlisis y Monitoreo; Criptografa; Cdigo
Malintencionado; Redes y Telecomunicaciones; Riesgo, Respuesta y Recuperacin y Operaciones
de Seguridad y Administracin.
Conexiones Dedicadas Privadas ("Leased Lines"): Tal y como su nombre lo implica los circuitos
son alquilados completos y son privados, un caso comn es: Si una oficina en cierta ciudad
requiere acceso las 24 horas a otra informacin que resida en otra ciudad o pas. Sus velocidades
oscilan desde 56Kbps hasta (800 veces mayor) 45 Mbps (T3) . En ocasiones la atraccin a este tipo
de conexin tambin se debe a los ahorros de telefona que pueden generar oficinas de la misma
empresa.
Conexiones Dedicadas Compartidas ("Packet Switched"): Este tipo de conexin, similar a la
anterior, es compartida por varios usuarios o empresas que envan su informacin a un slo punto
para realizar la transmisin, el ejemplo ms claro de esto es el Backbone de Internet. A este tipo
de conexin pertenecen las tecnologas de Frame Relay, ATM, Cable Coaxial y Satelital.
circuito est perdiendo bits (informacin), pero esto no siempre es usado en una sola trama.
Una casilla de tiempo (TS16) es usualmente reservada para propsitos de sealizacin, para
controlar la configuracin de la llamada y desmonte de acuerdo a varios protocolos estandar de
telecomunicaciones. Esto incluye sealizacin de canales asociados (Channel Associated Signaling
- CAS) en donde un juego de bits es usado para replicar la apertura y cerrada del circuito (como si
se descolgara y se marcara en un telfono analgico).
Sistemas ms recientes usan sealizacin de canal comn (Common Channel Signaling - CCS) como
ISDN o sistema de sealizacin nmero 7 (SS7 - Signalling System 7), el cual enva pequeos
mensajes codificados con ms informacin de la llamada, incluyendo Identificador de llamada
(Caller ID), tipo de transmisin requerida etc.
WDM: (del ingls Wavelength Division Multiplexing) es una tecnologa que multiplexa varias
seales sobre una sola fibra ptica mediante portadoras pticas de diferente longitud de onda,
usando luz procedente de un lser o un LED.
Este trmino se refiere a una portadora ptica (descrita tpicamente por su longitud de onda)
mientras que la multiplexacin por divisin de frecuencia generalmente se emplea para referirse a
una portadora de radiofrecuencia (descrita habitualmente por su frecuencia). Sin embargo, puesto
que la longitud de onda y la frecuencia son inversamente proporcionales, y la radiofrecuencia y la
luz son ambas formas de radiacin electromagntica, la distincin resulta un tanto arbitraria.
El dispositivo que une las seales se conoce como multiplexor mientras que el que las separa es
un demultiplexor. Con el tipo adecuado de fibra puede disponerse un dispositivo que realice
ambas funciones a la vez, actuando como un multiplexor ptico de insercin-extraccin.
Los primeros sistemas WDM aparecieron en torno a 1985 y combinaban tan slo dos seales. Los
sistemas modernos pueden soportar hasta 160 seales y expandir un sistema de fibra de 10 Gb/s
hasta una capacidad total 25.6 Tb/s sobre un solo par de fibra.
CWDM: El multiplexado por divisin aproximada de longitud de onda (CWDM) es un sistema que
pertenece a la familia de multiplexion por divisin de longitud de onda (WDM), se utiliz a
principios de los aos 80 para transportar seal de video (CATV) en conductores de fibra
multimodo, fue estandarizado por la ITU-T (internacional Telecommunication Union
Telecommunication sector), cuya norma es: ITU-T G.694.2 en el ao 2002
Dentro de la familia WDM existen 4 sistemas, DWND de ultra larga distancia, DWDM de larga
distancia, DWDM metropolitana y CWDM, las 3 primeras utilizan componentes pticos ms
complejos, de mayores distancias de transmisin y ms caros que CWDM, la cual esta desarrollada
especialmente para zonas metropolitanas, ofreciendo anchos de banda relativamente altos a un
coste mucho ms bajo esto debido a los componentes pticos de menor complejidad, limitada
capacidad y distancia, por lo cual es la ms competitiva a corta distancia.
DWDM: es el acrnimo, en ingls, de Dense wavelength Division Multiplexing, que significa
Multiplexacin por divisin en longitudes de onda densas. DWDM es una tcnica de transmisin
de seales a travs de fibra ptica usando la banda C (1550 nm).
Green Computing: tambin conocido como Green IT o traducido al espaol como Tecnologas
Verdes se refiere al uso eficiente de los recursos computacionales minimizando el impacto
ambiental, maximizando su viabilidad econmica y asegurando deberes sociales. No solo identifica
a las principales tecnologas consumidoras de energa y productores de desperdicios ambientales
sino que ofrece el desarrollo de productos informticos ecolgicos y promueve el reciclaje
computacional. Algunas de las tecnologas clasificadas como verdes debido a que contribuyen a la
reduccin en el consumo de energa o emisin de dixido de carbono son computacin en nube,
computacin grid, virtualizacin en centros de datos y teletrabajo.
El trmino de green computing comenz a utilizarse despus de que la Agencia de Proteccin
Ambiental (EPA, por sus siglas en ingls) de los Estados Unidos desarrollara el programa de Estrella
de Energa en el ao de 1992, diseado para promover y reconocer la eficiencia energtica de
diversas tecnologas como computadoras, monitores y aires acondicionados. La EPA cuenta con
una herramienta que funciona en internet con la que se puede realizar una Evaluacin Ambiental
de Productos Electrnicos (EPEAT) y que sirve para seleccionar y evaluar computadoras de
escritorio, laptops y monitores en base a sus caractersticas ambientales. Los productos EPEAT
estn diseados para reducir el consumo de energa, disminuir las actividades de mantenimiento y
permitir el reciclaje de materiales incrementando su eficiencia y tiempo de vida de los productos
computacionales.
Virtualizacin: La virtualizacin es una tecnologa que comparte los recursos de cmputo en
distintos ambientes permitiendo que corran diferentes sistemas en la misma mquina fsica. Crea
un recurso fsico nico para los servidores, el almacenamiento y las aplicaciones. La virtualizacin
de servidores permite el funcionamiento de mltiples servidores en un nico servidor fsico. Si un
servidor se utiliza a un porcentaje de su capacidad, el hardware extra puede ser distribuido para la
construccin de varios servidores y mquinas virtuales. La virtualizacin ayuda a reducir la huella
de carbono del centro de datos al disminuir el nmero de servidores fsicos y consolidar mltiples
aplicaciones en un nico servidor con lo cual se consume menos energa y se requiere menos
enfriamiento. Adems se logra un mayor ndice de utilizacin de recursos y ahorro de espacio.
Computacin en nube: La computacin en nube, del ingls cloud computing, es una tecnologa
que permite ofrecer servicios de computacin a travs de Internet. La nube es una metfora de
Internet. Es una forma de computacin distribuida que proporciona a sus usuarios la posibilidad
de utilizar una amplia gama de recursos en redes de computadoras para completar su trabajo. Los
recursos se escalan de forma dinmica y se proporcionan como un servicio a travs de Internet.
Los usuarios no necesitan conocimientos, experiencia ni control de la infraestructura tecnolgica.
Al utilizar computacin en nube las empresas se vuelven ms ecolgicas porque disminuyen su
consumo de energa al incrementar su capacidad sin necesidad de invertir en ms infraestructura.
Adems se aumenta la tasa de utilizacin del hardware ya que se comparten los recursos.
En este tipo de computacin todo lo que puede ofrecer un sistema informtico se ofrece como
servicio, de modo que los usuarios puedan acceder a los servicios disponibles "en la nube de
Internet"[2] sin conocimientos (o, al menos sin ser expertos) en la gestin de los recursos que
usan. Segn el IEEE Computer Society, es un paradigma en el que la informacin se almacena de
manera permanente en servidores en Internet y se enva a cachs temporales de cliente, lo que
incluye equipos de sobremesa, centros de ocio, porttiles, etc. Esto se debe a que, pese a que las
capacidades de las PC han mejorado sustancialmente, gran parte de su potencia es
desaprovechada, al ser mquinas de propsito general. La computacin en nube es un concepto
general que incorpora el software como servicio, tal como la Web 2.0 y otros recientes, tambin
conocidos como tendencias tecnolgicas, donde el tema en comn es la confianza en Internet
para satisfacer las necesidades de cmputo de los usuarios.
Como ejemplos de computacin en nube destacan Amazon EC2, Google Apps, eyeOS y Microsoft
Azure, que proveen aplicaciones comunes de negocios en lnea accesibles desde un navegador
web, mientras el software y los datos se almacenan en los servidores.
Computacin Grid: La computacin grid es una tecnologa innovadora que permite utilizar de
forma coordinada todo tipo de recursos (entre ellos cmputo, almacenamiento y aplicaciones
especficas) que no estn sujetos a un control centralizado. En este sentido es una nueva forma de
computacin distribuida, en la cual los recursos pueden ser heterogneos (diferentes
arquitecturas, supercomputadores, clusters...) y se encuentran conectados mediante redes de
rea extensa (por ejemplo Internet). Desarrollado en mbitos cientficos a principios de los aos
1990, su entrada al mercado comercial siguiendo la idea de la llamada Utility computing supone
una revolucin que dar mucho que hablar.
El trmino grid se refiere a una infraestructura que permite la integracin y el uso colectivo de
ordenadores de alto rendimiento, redes y bases de datos que son propiedad y estn administrados
por diferentes instituciones. Puesto que la colaboracin entre instituciones envuelve un
intercambio de datos, o de tiempo de computacin, el propsito del grid es facilitar la integracin
de recursos computacionales. Universidades, laboratorios de investigacin o empresas se asocian
para formar grid para lo cual utilizan algn tipo de software que implemente este concepto.
Centro de Procesamiento de Datos (CPD): Se denomina centro de procesamiento de datos o CPD
a aquella ubicacin donde se concentran todos los recursos necesarios para el procesamiento de
la informacin de una organizacin. Tambin se conoce como centro de cmputo (Iberoamrica) o
centro de clculo (Espaa) o centro de datos por su equivalente en ingls data center. Dichos
recursos consisten esencialmente en unas dependencias debidamente acondicionadas,
computadoras y redes de comunicaciones.
Un CPD es un edificio o sala de gran tamao usada para mantener en l una gran cantidad de
equipamiento electrnico. Suelen ser creados y mantenidos por grandes organizaciones con
objeto de tener acceso a la informacin necesaria para sus operaciones. Por ejemplo, un banco
puede tener un data center con el propsito de almacenar todos los datos de sus clientes y las
operaciones que estos realizan sobre sus cuentas. Prcticamente todas las compaas que son
medianas o grandes tienen algn tipo de CPD, mientras que las ms grandes llegan a tener varios.
Entre los factores ms importantes que motivan la creacin de un CPD se puede destacar el
garantizar la continuidad del servicio a clientes, empleados, ciudadanos, proveedores y empresas
colaboradoras, pues en estos mbitos es muy importante la proteccin fsica de los equipos
informticos o de comunicaciones implicados, as como servidores de bases de datos que puedan
contener informacin crtica.
INERGEN: es el nombre comercial (y marca registrada) de una gas diseado para la extincin de
incendios. Est indicado para fuego elctrico y estancias cerradas. Se emplea habitualmente en
centros de proceso de datos. El gas INERGEN es una mezcla de elementos gaseosos en la siguiente
proporcin:
Nitrgeno: 52%.
Argn: 40%.
Es invisible e inodoro.
NOC (Network Operation Center): El Centro de Operaciones de Red es un sistema de operaciones
centralizado que permite el monitoreo de todas las unidades de conectividad, de servidores y
plataforma de escritorio; as como tambin la administracin y monitoreo de bases de datos e
Internet.
Entrevistas
Mediante este tipo de aproximacin a la organizacin, se busca entender los diferentes aspectos
que la conforman, tanto en el aspecto tecnolgico, como en los procesos crticos, los cuales a su
vez, son soportados por las aplicaciones y la infraestructura tecnolgica.
La Empresa identificar los siguientes elementos en el marco de la norma de seguridad
ISO17799/ISO 27001:
Evaluacin de riesgo
La evaluacin de riesgos identifica las amenazas, vulnerabilidades y riesgos de la informacin,
sobre la plataforma tecnolgica de una organizacin, con el fin de generar un plan de
implementacin de los controles que aseguren un ambiente informtico seguro, bajo los criterios
de disponibilidad, confidencialidad e integridad de la informacin. Los dos puntos importantes a
considerar son:
La magnitud del impacto sobre el sistema, la cual se mide por el nivel de degradacin de
uno o combinacin de alguno de
los siguientes elementos: confidencialidad,
disponibilidad, integridad.
Determinacin de la probabilidad
Con el fin de derivar una probabilidad o una estimacin de la ocurrencia de un evento, los
siguientes factores deben ser tomados en cuenta:
Naturaleza de la vulnerabilidad.
La probabilidad que una vulnerabilidad potencial pueda ser explotada por una fuente de amenaza
la podemos clasificar en alta, media-alta, media, media-baja y baja, como se describe a
continuacin.
Nivel
Definicin
Alta=5
Media-Alta=4
Media=3
La amenaza es posible.
Media-Baja=2
Baja=1
Identificacin de vulnerabilidades
Para la identificacin de vulnerabilidades sobre la plataforma de tecnologa, se utilizan
herramientas como listas de verificacin y herramientas de software que determinan
vulnerabilidades a nivel del sistema operativo y Firewall:
Seguridad Fsica.
Monitoreo ambiental
Control de acceso
Desastres naturales
Control de incendios
Inundaciones
Polticas en el Firewall
VPN
Deteccin de intrusos
Routers
Switches
Firewall
Hubs
RAS
Correo Electrnico
Se define las aplicaciones que son crticas para la organizacin y por cada una de
ellas se obtendr una matriz de riesgo. Es importante considerar que las
aplicaciones estn soportadas por: Sistemas operativos, hardware servidor, redes
LAN y WAN, y el Centro de cmputo.
Consecuencias de tipo financiero, es decir prdidas causadas sobre un activo fsico o lgico
determinado y las consecuencias que este activo no funcione, y afecte la operacin de la
compaa.
Identificacin de controles
En esta fase se evaluarn las conclusiones de la valoracin respecto a ISO17799 y la matriz de
riesgo con el fin de identificar los controles que mitiguen los riesgos encontrados.
Definicin de polticas
Se entiende por poltica, las reglas generales de comportamiento definidas para la interaccin
entre los usuarios y los activos informticos. Las polticas son independientes de los ambientes
propios de la entidad y representan la base de un modelo de seguridad. Las Polticas de seguridad
dependen de la cultura de la organizacin. Por esta razn las polticas y procedimientos deben
estar hechos a la medida, segn los requerimientos especficos de cada organizacin. Para la
definicin de las polticas y procedimientos se realiza un proceso de validacin en conjunto con la
organizacin con el fin de generar polticas y procedimientos que se ajusten a esta. Como punto
de partida para la definicin de las polticas se tendr como referencia el anlisis de riesgo
realizado, los controles del ISO 1 7799/ISO 27001.
Las polticas cubrirn los siguientes temas:
Seguridad en la Organizacin:
Clasificacin de la Informacin:
Seguridad fsica:
Seguridad ambiental
Control de Acceso.
Continuidad de Negocio.
Audiencia
Introduccin
Definiciones
Objetivo
Enunciado de la Poltica
Roles y responsabilidades
Violaciones a la poltica
Definicin de procedimientos
Los procedimientos son la descripcin detallada de la manera como se implanta una poltica. El
procedimiento incluye todas las actividades requeridas, los roles y responsabilidades de las
personas encargadas de llevarlos a cabo.
Los procedimientos a definir son los siguientes: Administracin de cuentas de usuario.
Manejo de Incidentes
Manejo de Virus
Procedimiento de respaldo
Introduccin
Objetivo
Alcance
Responsable de su administracin
Definicin de estndares
Es la definicin cuantitativa o cualitativa de un valor o parmetro determinado que puede estar
incluido en una poltica o procedimiento.
Algunos de los principales estndares a definir son:
Longitudes de contraseas
Histrico de contraseas
Switches
Routers
Firewall
VPNs
Sistema Operativo
paquetes, donde uno de ellos es capaz de filtrar aquellos paquetes que deberan haber sido
rechazados por el filtro anterior.
Un aspecto importante de esta estrategia es la necesidad de evitar fallas de modo comn es decir
que los diferentes mecanismos deben ser cuidadosamente configurados para evitar que las fallas
de un mecanismo no se propaguen al resto.
Punto de choque. Esta estrategia consiste en depender de un nico punto de acceso al sistema. Ya
que no existe otro camino, los esfuerzos de control y mecanismos de seguridad se centran y
simplifican en monitorear un solo sitio de la red. Este punto debe estar fuertemente defendido
contra todo tipo de ataques y estar listo para responder si los detecta. Hay muchos ejemplos de
puntos de choque en la vida cotidiana: los pasos fronterizos, las cajas registradoras de un
supermercado, la taquilla de un cine. Esta estrategia se considera como una solucin todo en
uno. Como consecuencia, uno de los problemas que presenta es que si un atacante es capaz de
traspasar la seguridad de este nico punto del acceso tendr acceso a todos los recursos del
sistema. Esta situacin puede ser tratada utilizando mecanismos de proteccin redundantes
(defensa a fondo) y as reforzar la seguridad de dicho punto. Adicionalmente, otro de los
inconvenientes que puede provocar esta estrategia, es que pueden producirse bajas en el
desempeo si se ve superada la capacidad del punto de acceso de registrar los sucesos y controlar
todo el trfico de entrada y salida.
En muchas soluciones para la seguridad de las redes, este punto de choque es implementado por
un Firewall perimetral por lo que ste debe tener la capacidad de procesar todo el trfico que por
l pase sin afectar sensiblemente al desempeo de las comunicaciones. La alternativa a este
problema es proveer ms caminos de acceso a los Sistemas Informticos, pero estos caminos
tambin deben ser protegidos por algn mecanismo de seguridad, lo que hace ms compleja la
solucin. La estrategia del punto de choque no es til si existe una forma alternativa de acceder a
la red, por lo que estos caminos deben ser cuidadosamente localizados y restringidos del acceso
exterior. Un punto de choque es inservible si hay una manera efectiva de que un atacante lo evite.
Por qu molestarse en atacar la puerta principal, que est fortificada, si la puerta trasera est
totalmente abierta?
El eslabn ms dbil . Se basa en la idea de que una cadena es tan fuerte como su eslabn ms
dbil. Se deben conocer los puntos dbiles de las defensas para, si es posible, eliminarlos o
monitorizarlos. Aunque no por esto debe restarse importancia a la seguridad de otros aspectos del
sistema. Esta estrategia, aplicada a las redes, establece que un sitio es tan seguro como lo es su
enlace ms dbil. Este enlace suele ser el objetivo de los ataques a la privacidad de una red.
Siempre habr algn punto que ser el ms dbil de todos, la idea es que ese enlace debe ser lo
suficientemente seguro en proporcin al riesgo que implica que sea vulnerado. Algunos afirman
que el eslabn ms dbil en la cadena de la seguridad informtica es el usuario.
Diversificacin de la defensa . Si todos los sistemas son iguales, alguien que sepa entrar en alguno
de ellos quiz penetre en todos. Por eso, esta estrategia plantea el uso de diferentes tipos de
mecanismos de seguridad de diferentes proveedores para maximizar la seguridad. Esta estrategia
todos los usuarios pueden utilizar todos los servicios de la red. De esta forma es posible reducir
los privilegios requeridos para varias operaciones sin afectar al servicio prestado a los usuarios del
sistema. Esta estrategia es difcil de implementar cuando no est prevista como una caracterstica
de diseo en los programas y protocolos que estn siendo utilizados. Debe tenerse cuidado en
asegurarse si realmente se est logrando implementar esta estrategia. En cualquier caso, es
posible que se termine por implementar algo menos que el mnimo privilegio, o mucho ms. Esta
consideracin esta relacionada con el objeto sobre el cual se aplica la restriccin, es decir la
granularidad de la proteccin. Por ejemplo, aplicar la restriccin sobre los usuarios, puede
restringir el uso de servicios que fueron pensados para todos los usuarios.
Estado a prueba de fallos. Uno de los principios fundamentales en la seguridad es que si un
mecanismo de seguridad fallara, debera negarse el acceso a todo usuario, inclusive aquellos
usuarios permitidos ya que no se puede determinar si lo son si la funcin de autenticacin no
est funcionando, es decir debe fallar en un estado seguro. Este principio debe ser considerado
al disear firewalls de Internet. Los filtros de paquetes y gateways, deben fallar en tal forma que el
trfico desde y hacia Internet sea detenido. La mayora de las aplicaciones y dispositivos utilizados
en una solucin firewall, como routers de filtrado de paquetes y servidores proxy, dejan de
retransmitir informacin si fallan. Esta estrategia est apoyada por la implementacin de una
posicin especfica con respecto a decisiones de seguridad y polticas. Existen dos posibles
posiciones: (1) Rechazar por defecto, estableciendo cuales son los servicios que sern
permitidos, cualquier otro ser rechazado, y (2) Aceptar por defecto, estableciendo cuales son
los servicios que no son permitidos, cualquier otro ser aceptado. Es claro que la posicin de
rechazar por defecto es una estrategia a prueba de fallos ya que si el mecanismo falla no habr
comunicacin se que sea aceptada. Por otro lado, la posicin de Aceptar por defecto, asume que
todo es permitido a menos que se conozca que es inseguro, en cuyo caso se prohbe su acceso.
Esta posicin no es en absoluto una implementacin de una estrategia de estado a prueba de
fallos.
Participacin universal. Ms que una estrategia, es un principio que debera cumplir toda solucin
de seguridad. Se plantea que todo individuo en la organizacin que posee la red privada debe
colaborar en mantener y cumplir las Medidas de Seguridad que permitan ofrecer una proteccin
efectiva sus sistemas. De otra forma, un atacante podra aprovechar la debilidad de aquellos
sistemas a cargo de estas personas para poder llegar al resto de los recursos de la red. Un ejemplo
claro de esto sera el caso de alguien que desde su equipo decidiera establecer una conexin
telefnica a Internet utilizando un modem, sin ningn tipo de proteccin. Estara abriendo una
puerta trasera a posibles atacantes. Esta colaboracin es necesaria ya que al administrador de
seguridad de la red no puede estar en todos lados; al menos no debera convertirse en una batalla
entre ste y los individuos de la organizacin.
Seguridad a travs de oscuridad. La idea de esta estrategia est basada en mantener oculta la
verdadera naturaleza del sistema de seguridad, de esta forma, un atacante lo pasar por alto
como una posible vctima. Pero esta suposicin es algo ingenua ya que varios estudios han
demostrado que el inters de un atacante por un determinado sitio no solo est determinado por
el inters que ste tenga sobre la informacin del sistema. Esta estrategia, aunque puede ser til
en el comienzo de la vida de un sitio, y una buena precaucin, es una base pobre para una
solucin de seguridad a largo plazo ya que la informacin tiende a filtrarse y los atacantes son
habilidosos para obtener informacin relevante del sitio
Seguridad basada en Hosts. En este modelo, los esfuerzos de proteccin estn enfocados en los
sistemas finales de una red privada, es decir que los mecanismos de seguridad son implementados
en estos sistemas, y son ellos mismos quienes deciden si aceptar o no los paquetes de una
comunicacin. Probablemente sea el modelo de seguridad para computadoras mas comnmente
usado en la actualidad, aunque el mayor problema con este modelo es que no es escalable si no
se considera un esquema de administracin apropiado, por lo que solo es usado en ambientes
muy pequeos o donde no existe una red configurada que pueda ofrecer tal tipo de proteccin. El
mayor impedimento para hacer efectiva la seguridad de estos sistemas en ambientes de redes de
computadoras actuales es la complejidad y heterogeneidad de esos ambientes. Inclusive si todos
los hosts fueran idnticos o si tal heterogeneidad fuera superada, un sitio con un gran nmero de
hosts hace que sea difcil asegurar de forma efectiva a cada uno. Mantener e implementar
efectivamente la proteccin a este nivel requiere una importante cantidad de tiempo y esfuerzo, y
es una tarea compleja. En pocas palabras, puede no ser rentable implementar un nivel de
seguridad a nivel de hosts para sitios grandes ya que requieran muchas restricciones, y mucho
personal de seguridad. Adicionalmente, este modelo presenta un problema importante en cuanto
a puntos de ahogo y enlaces dbiles: no existe un nico punto de acceso ya que existen mltiples
conexiones, una para cada host, muchas de las cuales pueden estar dbilmente protegidas.
Seguridad basada en la Red . El modelo de seguridad de red se enfoca en controlar el acceso a la
red, y no en asegurar los hosts en s mismos. Este modelo esta diseado para tratar los problemas
identificados en el ambiente de seguridad de hosts, aplicando los mecanismos de proteccin en
un lugar en comn por el cual circula todo el trfico desde y hacia los hosts: los puntos de acceso
a la red. Un enfoque de seguridad de red involucra la construccin de firewalls para proteger
redes confiadas de redes no confiables, utilizando slidas tcnicas de autenticacin, y usando
encriptacin para proteger la confidencialidad e integridad de los datos a medida que atraviesan
la red. La ventaja sobre el modelo de seguridad de hosts es una considerable reduccin del costo
para proveer la misma o mejor proteccin, ya que solo se necesita proteger unos pocos puntos de
acceso (en muchos casos, uno) lo que permite concentrar todos los esfuerzos en una solucin
perimetral. Este modelo es escalable en la medida de que la solucin perimetral pueda soportar
los cambios sin afectar su desempeo. Una desventaja de este modelo es que es muy dependiente
de algunos pocos puntos de acceso por lo que pueden producirse reducciones en el desempeo
del trafico de entrada y salida de la red; por otro lado, la proteccin lograda no es flexible y posee
un bajo grado de granularidad, es decir, no es posible especializar la proteccin necesaria para
cada host y sistema final de la red privada.
Internet y controlar el trfico que llega y sale de ella. De aqu surgen dos aspectos bsicos a cubrir
por una solucin de seguridad para redes, seguridad en trnsito y regulacin de trfico, los cuales,
cuando son combinados, ayudan a garantizar que la informacin correcta sea entregada de forma
segura al lugar correcto. Existe tambin la necesidad de asegurar que los hosts que reciban la
informacin, la procesen apropiadamente, de aqu surge el espectro completo de seguridad de los
hosts. La proteccin de una red contra amenazas no puede ser lograda por una sola tecnologa o
servicio por lo que es necesario disear una estrategia balanceada que permita cubrir los puntos
dbiles en la seguridad de una red.
Seguridad en trnsito: Todas las comunicaciones entre sitios que forman parte de una red publica
son vulnerables a ataques de escuchas, ste riesgo est asociado con la importancia que tiene la
informacin para quien tenga la habilidad de interceptar dicha comunicacin. La seguridad en
transito enfatiza la necesidad de mantener los datos seguros mientras transitan una red pblica
como Internet. As, disponemos de ciertas funciones o servicios que cubren distintos puntos de
este aspecto.
Limitar la exposicin de la red interna: De esta forma podemos ocultar "todo" lo que sucede
dentro de la red de la organizacin de la red publica, que de otra forma significara un riesgo en la
seguridad de las comunicaciones y los recursos. Mediante este servicio es posible ocultar el
esquema de direcciones de la red interior, para evitar que cualquier host no confiable efecte
comunicaciones de forma directa con alguno de los host de nuestra red, as como tambin
asegurar que todo el trafico entre hosts confiables de la red privada que atraviese una red publica
se mantenga de esa forma (es decir, solo accesible a aquellos hosts a quienes est destinada la
comunicacin). Estas funcionalidades pueden ser logradas mediante el uso de la Traduccin de
Direcciones de Red (NAT) y de Redes Privadas Virtuales (VPN) respectivamente.
Tunneling de Trfico, Puntos de control y Monitoreo: La transmisin de paquetes entre dos
sistemas finales remotos en Internet involucra la intervencin de varios sistemas intermedios que
pueden tener acceso a la informacin transmitida si no se considera ningn esquema de
privacidad. Un tnel es un tipo especial de conexin entre dos sistemas a travs de una red. La
conexin establecida es directa y virtual es decir que simulan una conexin por cable directa que
comunica dos sistemas. Estas conexiones pueden ser usadas para evitar las limitaciones de una
topologa ya que un paquete enviado a travs de un tnel pasa inadvertido de los nodos que
intervienen en la ruta real hasta el destinatario (quien tambin tiene configurado el tnel). Por
ejemplo un tnel puede comunicar dos sitios remotos que estn conectados mediante
proveedores de conexin a redes pblicas (como un ISP). Este tipo de conexiones proveen de
servicios tales como encriptado de datos, autenticacin, control de acceso (autorizacin) e
integridad de datos Dos Firewalls conectados mediante tneles ofrecen proteccin del exterior
mientras que el tnel provee conectividad. Si el trfico del tnel es encriptado, los riesgos son
menores y los beneficios son importantes.
Con la utilizacin de un tnel, un host que se encuentra fsicamente en otra red, pertenece
virtualmente a nuestra red local con lo que es posible que un servidor ofrezca un servicio ms
confiable y transparente a sus usuarios. En favor de esto ltimo, las conexiones de tnel existen
ms all del tiempo de conexin, es decir, no terminan cuando la transmisin de datos entre los
dos sistemas ha finalizado; es una conexin acordada y configurada previa a cualquier transmisin
de datos y, en principio, permanente.
Configurados adecuadamente, los tneles permiten forzar el trfico (de entrada y salida) de un
Firewall a travs de puntos de control especficos del mismo y de esta forma es posible monitorear
la actividad de la red en tales puntos de acceso; utilizando alarmas y habilitando el registro del
Firewall podemos buscar actividades sospechosas para detectar la presencia de intrusos, adems
de los beneficios ya comentados de utilizar un tnel.
Regulacin de Trfico: Otro de los aspectos importantes acerca de la seguridad de las redes es
regular de cerca qu tipos de paquetes pueden viajar entre redes. Si un paquete que puede hacer
algo malicioso a un host remoto nunca llega a l, el host remoto no se ver afectado. La regulacin
del trfico provee este servicio entre hosts y sitios remotos. Esto sucede en tres reas bsicas de
la red: routers, Firewall y hosts. Cada uno provee servicios similares en diferentes puntos de la
red. De hecho, la lnea que los diferencia es arbitraria y difusa.
Poltica de Seguridad: La poltica de seguridad deber ser una de las primeras consideraciones al
disear una solucin de seguridad pues ser la que gue la eleccin y configuracin de la
tecnologa a utilizar. Y en su definicin influye un factor clave: la postura del diseador, es decir la
actitud ante los riesgos que corre la red por su conexin a una red pblica. Est afectada por la
opinin y habilidades del diseador y responder a una filosofa que ser ms o menos flexible
(aceptamos solo aquello que sea seguro -porque lo conocemos-, o rechazar solo aquello que es
malo -porque lo conocemos-). No elegir o seleccionar una politica de seguridad, es tambin en s
misma una poltica de seguridad: la de permitir todo. Una filosofa apropiada es aquella que no
considere que todo es absoluto, es decir, que encuentre un punto intermedio que se ajuste a las
necesidades de la organizacin. Sera deseable que pueda minimizar el peligro y proveer a la vez
los beneficios de una conexin de red.
Con esto debe quedar en claro que no existe una frmula para la poltica de seguridad de una red
privada sino que cada responsable debe disearla segn el caso, las necesidades, las directivas, las
restricciones y otros factores que fundamenten o no una determinada decisin. Tales decisiones
son necesariamente dependientes del contexto. Las consideraciones de una poltica de seguridad
estn dirigidas por las necesidades estructurales, de negocios o tecnolgicas de la organizacin y
pueden involucrar decisiones tales como restringir el trfico de salida de red que permita a los
empleados exportar datos valiosos, restringir el software importado por los empleados sin
permiso de la compaa, impedir el uso de un determinado protocolo de comunicacin porque no
puede ser administrado de forma segura, entre otras. Este es un proceso iterativo que permite
modificar la filosofa para ajustarse a las necesidades del momento.
El funcionamiento de un Firewall est fuertemente asociado a la poltica de seguridad elegida.
Definir los lmites de comportamiento es fundamental para la operacin de un Firewall. Por lo
tanto, una vez que se haya establecido y documentado apropiadamente una slida poltica de
seguridad, el Firewall debe ser configurado para reflejarla y es su trabajo aplicarla como parte de
una defensa de permetro (siguiendo el enfoque tradicional). Consecuentemente se configura un
Firewall para rechazar todo, a menos que hayamos elegido explcitamente aceptarlo y correr el
riesgo. Tomar el camino opuesto de rechazar solo a los ofensores conocidos es una opcin
extremadamente peligrosa. Por ltimo, cualquier cambio hecho al Firewall debera se corregido en
la poltica de seguridad y viceversa.
Filtros y listas de acceso: Los filtros son programas que generalmente se encuentran situados en
los sistemas que proveen conectividad entre redes, es decir los puntos de acceso a la red, routers,
firewalls y gateways (aunque esto no es as para todos los casos). Estos efectan un anlisis para
determinar el destino del paquete completo en base a la informacin contenida en el encabezado
de los paquetes que llegan a dichos sistemas y en funcin de un conjunto de reglas. De aqu
podra decidir desechar el paquete, es decir, no permitir que contine viajando por la red en la
direccin original (entrando o saliendo); aceptar el paquete, con lo cual continuara atravesando la
red, o hacer algo ms (por ejemplo, redireccionarlo a otro punto de la red).
Las reglas especifican patrones o propiedades en los datos del encabezado de un paquete
asociados con la accin a tomar con dicho paquete. Cada paquete que atraviesa el filtro es
comparado contra la lista de reglas tambin conocida como cadena de reglas. Para decidir el
destino de un paquete, el filtro busca, a travs del conjunto de reglas, alguna que coincida con el
contenido del encabezado del paquete. Una vez encontrada dicha regla, se lleva a cabo la accin
indicada por la regla para el paquete. Esta lista de reglas debe ser configurada para reflejar la
poltica de seguridad asumida por la solucin de seguridad de la red.
Con la utilizacin de un filtro es posible bloquear toda comunicacin con ciertas partes (sitios) de
la red externa para evitar determinados comportamientos no deseables en los sistemas finales de
la red privada; permite restringir todas las comunicaciones entrantes a ciertos servicios de la red
para evitar el acceso a recursos privados; y habilitar alarmas o avisos que adviertan que paquetes
entran, salen o son rechazados. Por lo tanto el filtro de paquetes puede actuar tanto para la
entrada como para la salida de paquetes de la red.
Partiendo de la necesidad de implantar estos servicios para una solucin Firewall, se ha definido
un modelo de referencia que establece los diferentes componentes que deben estar presentes:
Funcin de Integridad: asegura que el paquete ha sido recibido tal cual fue enviado y que
no ha sido falseado en el transcurso de su transmisin.
Funcin de cumplimiento del Acceso: realiza el control final de los datos entrantes
derivando la decisin a los mdulos apropiados; ste es un servicio de la misma naturaleza
que el de control de acceso, solo que a un nivel superior (referido a la aplicacin
responsable de procesar el paquete).
NAT: Traduccin de Direcciones de red: La traduccin de direcciones de red (NAT por Network
Address Translation) fue creada, inicialmente con el propsito de resolver el problema de
escalabilidad de direcciones IP y su agotamiento para la asignacin de nuevas nmeros IP; otra
ventaja de NAT es que permite ocultar el esquema de direcciones de una red privada al exterior
ofreciendo un importante servicio para una solucin de seguridad.
La estrategia utilizada por la aplicacin de esta tecnologa est basada en la distribucin
topolgica de la asignacin de futuras direcciones IP de cada espacio de direcciones de red a los
distintos dominios de ruteo de trnsito de datos (redes privadas). Las direcciones IP dentro de un
red privada no son nicas globalmente, sino que son reusadas en otros dominios, resolviendo as
el problema de agotamiento de direcciones.
Cuando un paquete es enviado al exterior de la red, la direccin IP de origen es traducida a una
direccin nica globalmente para evitar posibles conflictos con otros espacios de direcciones
asignados a otras redes privadas y ocultar el esquema de direcciones de la red local. Para esto, la
funcin de NAT se implementa en cada punto de salida entre la red privada y una conexin a la
red pblica. Cada dispositivo NAT tiene una tabla de pares de direcciones IP: direcciones locales y
direcciones nicas asignadas globalmente para poder realizar el mapeo. Ocurre la operacin
inversa con las direcciones de los paquetes que provienen del exterior. Con este esquema, es
posible que una nica direccin IP sea necesaria para representar a un grupo entero de
computadoras.
La traduccin de direcciones permite a un nico dispositivo que interconecte la red privada con la
red exterior, por ejemplo un router o un firewall, actuar como agente entre Internet y la red local.
NAT puede ser instalado sin grandes cambios a estos dispositivos, lo que lo hace una buena opcin
con importantes beneficios. NAT es transparente a las sistemas internos y externos y operan en la
capa de red sin agregar mucho tiempo de cmputo adicional a las comunicaciones.
La traduccin de direcciones puede funcionar de diferentes modos:
Solapamiento: Cuando las direcciones usadas en la red interna son direcciones registradas
usadas en otra red, el router debe mantener una tabla de bsqueda de stas direcciones
para poder interceptarlas y reemplazarlas con direcciones IP nicas registradas. El router
NAT debe traducir las direcciones internas a direcciones nicas registradas as como las
direcciones registradas externas a direcciones que sean nicas a la red privada.
IPsec Arquitectura de Seguridad para IP: IPsec est diseado para proveer seguridad basada en
criptografa, de alta calidad e interoperable para Ipv4 e Ipv6. Los servicios de seguridad ofrecidos
incluyen control de acceso, integridad en comunicaciones sin conexin, autenticacin del origen
de datos, proteccin contra ataques de repeticin, confidencialidad mediante encriptado, entre
otros. Estos servicios son provistos en la capa IP ofreciendo proteccin para sta y las capas
superiores. Para ofrecer tales servicios, IPsec utiliza dos protocolos de seguridad de trfico, AH
(Authentication Header) y ESP (Encapsulating Security Payload) adems del uso de protocolos y
procedimientos de administracin de claves criptogrficas. El protocolo de administracin
automtica de claves por defecto es IKE. IKE es usado para establecer una poltica de seguridad
compartida y claves autenticadas para servicios que las requieran (como IPsec). Antes del envo de
trafico IPsec, cada router/firewall/host debe ser capaz de verificar la identidad de su par. Esto
puede ser hecho manualmente entregando claves pre-compartidas en ambos hosts.
El conjunto de protocolos de seguridad utilizados y la forma en que son empleados estar
determinado por requerimientos del sistema y de seguridad de los usuarios y aplicaciones.
Los mecanismos utilizados por IPsec estn diseados para ser independientes de los algoritmos
empleados. Esta modularidad permite la seleccin de diferentes conjuntos de algoritmos sin
afectar las otras partes del sistema. De todas formas, IPsec propone un conjunto de algoritmos por
defecto para ser usados y proveer interoperabilidad en Internet.
AH y ESP: El Encabezado de Autenticacin (Authentication Header - AH) de IP provee integridad
para comunicacin sin conexin y autenticacin del origen de datos para datagramas IP y para
proveer proteccin ante ataques de repeticin [RFC-2402] [RFC-2406].
AH provee autenticacin para la mayor parte de la informacin del encabezado IP y para los
protocolos del nivel superior. No todos los campos del encabezado IP son protegidos ya que son
modificados en trnsito.
AH puede ser aplicado solo, en combinacin con ESP (Encapsulating Security Payload), o de forma
anidada a travs del uso del modo tnel. Los servicios de seguridad pueden establecerse entre un
par de sistemas finales, entre un par de gateways de seguridad o entre un gateway o un sistema
final.
ESP puede ser usado para proveer los mismos servicios de seguridad, y tambin provee un servicio
de encriptacin. La principal diferencia entre la seguridad provista por ESP y AH es el alcance de la
proteccin. Especficamente, ESP no protege ningn campo del encabezado IP (excepto en modo
tnel, donde los datos encriptados por ESP corresponden a otro paquete IP).
Redes Privadas Virtuales y Firewalls: Es comn que un Firewall implemente un servicio VPN, de
esta forma, es posible conectar dos redes con proteccin perimetral mediante tneles de Firewall
a Firewall, con lo cual se obtiene una red privada conformada por dos redes remotas.
Existen dos consideraciones en cuanto al acceso por parte de usuarios de una red a los recursos
de la otra, dependiendo de la confianza o acuerdo existente: Las comunicaciones entre ambos
Firewalls, a travs de una VPN pueden ser efectuadas con acceso controlado o acceso abierto.
En conexiones con acceso controlado, la VPN es utilizada solo para ofrecer privacidad entre ambos
puntos, ya que no existe una completa relacin de confianza entre ambas partes, por lo que la
comprobacin de autenticidad se lleva a cabo para cada comunicacin y el acceso a los recursos
de la red es restringido para ciertos servicios. En este caso se utiliza un firewall para controlar el
acceso a la red interna.
En conexiones con acceso abierto, la VPN es configurada para que ambos firewalls tengan un
acceso completo a los recursos de la otra red. No se requiere un control de autenticidad ya que se
ha acordado previamente este permiso (es decir que no se realiza por no considerarse necesario).
En este esquema, el firewall realiza la funcin de conectividad mediante VPN, por lo que el trfico
es privado, y si agregamos la confianza que resulta de que todos los sitios son administrados por la
misma organizacin, bajo las mismas polticas de seguridad, se podrn permitir todos los servicios
de red sobre esta VPN. De esta forma, las transmisiones estn bajo la proteccin del firewall, por
lo que el permetro de seguridad de la red se extiende a los sistemas remotos conectados
mediante la VPN; todos estos sistemas se encuentran virtualmente en la misma red privada con un
permetro de red virtual.
Tambin es posible establecer una VPN entre un firewall y un sitio remoto simple para proveer
acceso privado a usuarios mviles o conexiones hogareas. De la misma forma que las conexiones
anteriores, stas pueden ser con acceso controlado o abierto. El primero es til para clientes y
socios que necesiten acceso a servicios o sistemas particulares. El segundo es til para empleados
o socios de la organizacin que necesiten tener acceso a recursos compartidos, como ser,
archivos, impresoras, unidades de almacenamiento masivo, etc.; en ambos casos estos servicios o
recursos estn situados dentro del permetro de seguridad de la red. Mediante VPNs todas estas
operaciones pueden realizarse de forma segura. Existen varias tecnologas para implementar
Redes Privadas Virtuales, la principal es criptografa.
Existe una consideracin muy importante para hacer posible el uso global de las VPNs, y es la
necesidad de estandarizacin. Es deseable que cualquier sistema de conexin o firewall sea capaz
de establecer una red privada virtual con cualquier otro en cualquier parte del mundo. Cuando la
tecnologa de VPN surgi, no exista un estndar para configurar este tipo de conexiones, y
algunos proveedores crearon un mecanismo, llamado swIPe (software IP encription) pero no era el
nico, existan otras variantes pero no eran compatibles ya que se hacan portables para una
arquitectura en particular.
Para que la conectividad provista por las VPN sea ampliamente aprovechada, los diferentes sitios
deben poder ser capaces de comunicarse con mecanismos compatibles e independientes de la
plataforma usada, aunque utilicen diferentes productos. La estandarizacin puede resolver estos
problemas. Actualmente, el estndar de la Arquitectura de Seguridad para el Protocolo de Internet
(IPsec) ha propuesto un ambiente de protocolos de seguridad, que permitir la interoperabilidad
de aquellos proveedores que utilicen las recomendaciones de ste estndar.
Una VPN debe responder a consideraciones de cuatro tipos de tecnologas, de entre los cuales los
ms importantes actualmente son:
Todos estos mecanismos deben funcionar en forma coordinada para poder integrar una eficiente
funcionalidad para una VPN. Los Firewalls para Internet son un requerimiento muy importante en
el momento de considerar una conexin a una red pblica. Si sumamos a esta solucin la
funcionalidad de una red privada virtual se pueden extender los horizontes de una red local
ofreciendo ambos servicios en uno: conectividad privada. Las VPNs no desplazan a los Firewalls,
son parte de ellos: un Firewalls es responsable de implementar la poltica de seguridad de la red
privada de una organizacin como parte del permetro de defensa; con el uso de redes privadas
virtuales, los Firewalls podrn aplicar estas polticas sobre conexiones de red privadas hacia sitios
remotos.
Control de Acceso y Filtros: Una de las funciones ms importantes de un firewall es el filtrado o
control de acceso de toda la informacin que sea recibida en los distintos puntos de acceso a la
red interna o a los sistemas finales, que son administrados por aqul. El filtrado de datos permite
controlar la transferencia segura de datos basado principalmente en: la direccin de donde
provienen los datos, la direccin de destino de los datos y los protocolos de transporte y
aplicacin utilizados. Esta funcin puede ser implementada en diferentes niveles de la
arquitectura de red, con lo cual se logran diferentes niveles de granularidad, es decir, qu tan
minucioso es el control de seguridad efectuado. Sobre la base del nivel donde se efecte el
filtrado, la funcin se implementar en diferentes dispositivos1. Los niveles mencionados son
tres2: filtrado de paquetes, control de acceso de conexiones y filtrado de datos de aplicacin.
Filtrado de paquetes (a nivel de red): Los filtros de paquetes operan al ms bajo nivel de
abstraccin en el cual, los datos son transmitidos en paquetes y analizados como tales. En la
familia de protocolos TCP/IP, los filtros son aplicados al nivel de transporte (TCP, UDP) y al nivel de
red (IP). Este mecanismo es implementado por lo general en los sistemas intermedios (gateways o
routers) que conectan la red interna con la red pblica. Cada paquete que ingresa a la red es
interceptado y analizado por la funcin de filtrado, implementada por un filtro de paquetes en
estos dispositivos intermedios. Suelen ser llamados Router de Filtrado de Paquetes o Gateways de
Filtrado de Paquetes. El filtro rechaza o reenva los paquetes al destinatario original, segn reglas
especificadas en Listas de Control de Acceso (ACL), que son almacenadas en el router o gateway,
basadas en los datos de los encabezados de los paquetes TCP e IP. Bsicamente los datos
analizados son las direcciones IP y puertos TCP de origen y destino de los paquetes. Un filtro de
paquetes no mantiene informacin de contexto para los paquetes que sean parte de una
conexin; todos los paquetes son tratados de forma independiente, sin ser relacionados con
ningn otro. La principal ventaja del filtrado de paquetes es que permite proveer, en un nico sitio
o punto, una proteccin particular para la red entera. Adems es transparente a los usuarios de la
red ya que no requiere configuracin alguna en los sistemas que interconecta ni realizar tareas
especiales de transmisin u otro tipo, lo que ofrece una estructura flexible en el sentido de que
puede ser modificada o re-estructurada sin necesidad de modificar el resto de la red.
Aunque existen algunas desventajas como posibles problemas de desempeo que pueden ser
clasificados en tres categoras [Peri]: nmero de campos examinados, posicin del campo en el
paquete, demora del proceso. Esto afecta el espacio necesario para almacenar las reglas, el
nmero de comparaciones y la complejidad del algoritmo. El ncleo de un filtro de paquetes
consiste de un lenguaje de descripcin que permite expresar reglas de polticas de seguridad
orientadas a paquetes. Las reglas definidas hacen referencia a entidades, es decir que identifica
dispositivos o sistemas por medio de sus direcciones IP. La sintxis de estos lenguaje no est
estandarizada por lo que diferentes productos permiten expresar las reglas de diferentes formas.
Para ser efectivo, un filtro debe permitir expresar reglas utilizando comodines y rangos de valores
para referirse a ms de un host o dispositivo. Por ejemplo permitir los paquetes destinados al
host 130.15.214.23 pero slo entre los puertos 1000 y 1050 (130.15.214:1000..1050); y negar
todos aquellos paquetes provenientes de la red 170.210.122.0 (170.210.122.*:*).
Tambin debe considerarse el espacio necesario para almacenar las reglas ya que existen
mltiples caminos que pueden tomar los paquetes hasta llegar al dispositivo filtrador. De aqu
surge, tambin, la necesidad de algoritmos de bsqueda de reglas. Todos estos aspectos afectan el
desempeo del filtro afectando tambin el desempeo de la red. La funcin de filtrado de
paquetes puede implementarse en varios sitios de la red interna. La forma ms directa y simple es
utilizar un router que la soporte. Un router tendr dos interfaces, una que conecte a la red externa
y la otra a la red interna. Los filtros pueden aplicarse en una de las dos interfaces, o en ambas.
Adems puede aplicarse al trfico de entrada como al de salida, o a ambos. Estas caractersticas
varan con los diferentes routers. Tales consideraciones reflejan diferentes polticas ms o menos
flexibles, con ms o menos puntos de control. Una buena poltica a respetar es que si un paquete
ha de ser rechazado, que sea cuanto antes. Otra posible opcin es efectuar el filtrado
independientemente de la interfaz de red. Una alternativa es utilizar filtros basados en hosts, tales
como screend de Digital Equipment Corporation disponible para algunos sistemas operativos;
ipfilterd de SGI Systems y Karlbridge. Otra herramienta es IPTables/NetFilter, la cuarta generacin
de filtros de paquetes para Linux. La primer generacin fue ipfw, creada para BSD UNIX y portada
para Linux. Uno de los objetivos de NetFilter es proveer una infraestructura de filtrado de
paquetes dedicada que los usuarios y desarrolladores pudieran instalar como agregado en el
kernel de Linux.
Filtrado de paquetes con NAT: Es posible efectuar el filtrado de paquetes junto con la Traduccin
de Direcciones de Red sin causar dificultades a ninguna de las dos funciones. La funcin de filtrado
de paquetes se disea ignorando por completo cualquier traduccin de direcciones que se lleve a
cabo ya que sta ltima se realiza entre la entrada / salida de datos en el borde de la red y el
filtrado de paquetes. Las direcciones captadas por el filtro sern las direcciones origen y destino
reales.
Control de Acceso de Conexiones: Este mecanismo controla y retransmite conexiones TCP
manteniendo registro del estado de todos los paquetes que agrupan tal conexin, de forma que
solo aquellos hosts externos confiables puedan establecer conexiones con aquellos dispositivos
habilitados a ofrecer un servicio a tales usuarios. De la misma forma es posible restringir las
conexiones originadas en la red interna con destino a ciertos sitios de la red externa. Esta funcin
es realizada por un proceso proxy instalado en un gateway que interconecta la red interna con la
red pblica. Estos dispositivos son llamados gateways a nivel de circuitos.
Una alternativa a mantener el contexto de cada paquete es utilizar tablas dinmicas basadas en
las banderas SYN/ACK del encabezado de los paquetes TCP. En esta forma, la tabla de reglas se
genera a medida que un host interno solicita una conexin con un sitio externo por lo que el
gateway asume la poltica de reenviar solo aquellos paquetes entrantes que pertenezcan a
conexiones iniciadas desde el interior y rechazar aquellas iniciadas en el exterior (similar a la
estrategia lograda con NAT dinmico). Mediante el uso del proxy, los sistemas internos no podrn
establecer conexiones directas con el exterior sino por intermedio del proxy; quien solicite una
conexin, se conectar a un puerto TCP del gateway, luego el proxy determinar si la conexin es
permitida o no, basado en un conjunto de reglas de acceso que utilizan informacin del
encabezado del paquete TCP, luego (si la conexin fue aceptada) el gateway crea una conexin al
dispositivo interno final. En este caso, el gateway retransmitir todos los paquetes involucrados en
la conexin. Estos gateways pueden implementar algunos mecanismos de control de acceso tales
como autenticacin e intercambio de mensajes de protocolo entre cliente y proxy para establecer
ciertos parmetros del circuito. El control de acceso de conexiones no es del todo transparente ya
que los usuarios deben ser configurados para dirigir todas sus solicitudes al dispositivo que
implemente esta funcin. La ventaja del mecanismo de filtrado a nivel de circuitos es que provee
servicios para un amplio rango de protocolos aunque requiere software especial en el cliente, lo
que lleva al problema de que la seguridad basada en hosts no es escalable (con una arquitectura
de seguridad perimetral). A medida que crece la red, la administracin de la seguridad de los
clientes se hace ms compleja por lo que demora ms tiempo llevarla a cabo y propensa al error;
esto si no se efecta un control central e implementado de forma distribuida.
Filtrado de Datos de Aplicacin: Este mecanismo interpreta los datos encapsulados en los
paquetes correspondientes a protocolos de aplicacin particulares para determinar si deben o no
deben ser procesados por la aplicacin correspondiente, ya que pueden contener datos que
afecten el buen funcionamiento de las mismas. La funcin de seguridad ofrecida por este
mecanismo es mucho ms segura que las anteriores. Son implementados por servicios proxies
instalados en gateways, llamados gateways a nivel de aplicacin. Proveen una barrera de
seguridad entre los usuarios internos y la red pblica. Los usuarios de la red interna se conectan al
filtro de datos de aplicacin, quien funciona como intermediario entre diferentes servicios de la
red externa y el usuario interno. Son implementaciones de propsito especial que intentan ofrecer
servicios de seguridad a las aplicaciones que procesen tales datos. Son especficos de la aplicacin,
es decir que se necesita un proceso proxy para cada aplicacin. Esto presenta una desventaja de
implementacin. Aunque solo algunos programas o protocolos de aplicacin necesitan ser
analizados (por Ej. FTP y protocolos de correo electrnico, ICMP) ya que otros no presentan
peligros de seguridad. El correo electrnico puede ser dirigido a travs de estos dispositivos, sin
importar que tecnologa se utilice en el resto del Firewall. Tambin hay que tener en cuenta que el
tipo de filtrado usado depende de las necesidades locales. Un sitio con muchos usuarios de PC
debera analizar los archivos que reciba por posibles virus. Adems presentan otra ventaja, que en
algunos ambientes es bastante crtica: el registro de todo el trfico de entrada y salida es simple
implementar.
Planes de seguridad: Para mantener una visin clara e integral de las polticas de seguridad a
definir, es til establecer un plan de seguridad que ofrezca un marco de guas generales para tales
polticas. De esta forma, las polticas individuales sern consistentes con toda la arquitectura de
seguridad
Un plan de seguridad debe definir:
...entre otros.
Al igual que un plan de seguridad ofrece un marco de diseo para una poltica de seguridad, stas
se definen a diferentes niveles de especificacin o abstraccin lo que ofrece una visin ms clara y
coherente del esquema de seguridad completo resultante. Cada iteracin o nivel, especifica
requerimientos de seguridad ms detallados enfocados en diferentes aspectos. Las diferentes
polticas se refieren a: seguridad del sitio, acceso a servicios de red, diseo del Firewall, polticas
especficas del sistema.
Poltica de seguridad del sitio: La poltica de seguridad del sitio es una poltica global destinada a
la proteccin de los recursos de informacin de la organizacin. Incluye desde escners hasta el
acceso remoto a unidades de discos. Es una poltica de alto nivel que especifica lineamientos y
requerimientos generales como por ejemplo:
A partir de esta poltica de seguridad surgen polticas especficas del sitio que cubren el acceso
fsico a la propiedad, acceso general a sistemas de informacin y acceso especfico a los servicios
de esos sistemas. La poltica de acceso a servicios de red es formulada en este nivel.
Poltica de Acceso a Servicios de Red: La Poltica de Acceso a Servicios de Red es una poltica de
alto nivel, especfica de alguna caracterstica; define aquellos servicios que sern permitidos o
explcitamente denegados de la red privada, la forma en la que estos servicios sern usados y las
condiciones de las excepciones a esta poltica. Se enfoca en la restriccin y uso de los servicios de
la red interna, tambin incluye todos los otros accesos externos a la red tales como accesos
telefnicos y conexiones SLIP y PPP. Esto es importante ya que algunas restricciones en el acceso a
los servicios de la red puede llevar a los usuarios a tratar de utilizar otros que pueden crear puntos
dbiles de acceso a ataques. Esta poltica debe ser diseada antes de que el firewall sea
implementado. La poltica debe ser realista y slida. Una poltica realista provee un balance entre
proteger a la red de riesgos conocidos y proveer al usuario acceso razonable a los recursos de la
red. Una poltica slida restringe los servicios previendo todos los posibles puntos de acceso a tal
servicio. Una medida comn asumida por una poltica de acceso a servicios de red es restringir el
acceso a un sitio desde Internet, pero permitir el acceso desde el sitio a Internet, o permitir
acceso desde Internet slo a algunos sistemas seleccionados. ste ltimo tipo de acceso debe ser
permitido slo si es necesario y debe ser combinado con caractersticas de autenticacin
avanzada.
Poltica de Diseo de Firewall: Es una poltica de bajo nivel que describe cmo el Firewall
controlar el acceso a los servicios restringidos como se defini en la poltica de acceso a servicios
de red. La poltica de diseo es especfica de cada Firewall. Define las reglas utilizadas para
implementar la poltica de acceso a servicios de red. Debe ser diseada en relacin a, y con
completo conocimiento de caractersticas tales como las limitaciones y capacidades del Firewall, y
las amenazas y vulnerabilidades asociadas con las tecnologas utilizadas (como TCP/IP). Los
Firewalls generalmente implementan una de dos polticas de diseo bsicas:
La primer poltica es menos deseable, ya que ofrece ms vas por las cuales puede accederse a un
servicio, evitando el Firewall, mientras que la segunda es ms fuerte y segura, aunque es ms
restrictiva para los usuarios. sta ltima es la clsicamente usada en todas las reas de seguridad
de la informacin. Por lo tanto, dependiendo de los requerimientos de seguridad y flexibilidad,
ciertos tipos de Firewalls son ms apropiados que otros, haciendo muy importante que la poltica
sea considerada antes de implementar un Firewall. De otra forma, el Firewall podra no cubrir las
funcionalidades esperadas.
Polticas especficas del sistema: Es implementada por el sistema mediante el uso de funciones de
control de acceso. Generalmente establece el permiso de acceso a ciertos recursos para ciertos
individuos de la organizacin.
Para ser efectiva, una poltica requiere visibilidad, lo que favorece a la implementacin de la
misma ayudando a asegurar que sea comunicada a travs de la toda la organizacin. Adems,
debe ser integrada y consistente con otras directivas existentes, leyes, guas, procedimientos, y la
misin global de la empresa.
Crear un CSIRT principal (Computer Security Incident Response Team, Equipo de respuesta
a incidentes de seguridad informtica).
Los administradores de sistemas pasan mucho tiempo con los entornos de red y estn muy
familiarizados con las redes. Documentan los entornos y crean copias de seguridad. Debe existir
un proceso de auditora ya implementado para supervisar el rendimiento y la utilizacin. Debe
haberse alcanzado cierto nivel de conciencia antes de implementar un equipo de respuesta a
incidentes. Por ms detalles que se conozcan del entorno de red, el riesgo de ataques persiste.
Toda estrategia de seguridad sensata debe incluir detalles sobre la forma de responder a
diferentes tipos de ataque.
En la mayora de los mbitos de la vida, es mejor prevenir que curar, y la seguridad no es una
excepcin. Siempre que sea posible, se desear evitar que, en primer lugar, se produzcan
incidentes de seguridad. No obstante, resulta imposible evitar todos los incidentes de seguridad.
Cuando se produce un incidente de seguridad, se debe garantizar que se minimice su repercusin.
Para minimizar la cantidad y repercusin de los incidentes de seguridad, debe seguir estas pautas:
Evaluar de forma regular las vulnerabilidades del entorno. Las evaluaciones deben ser
realizadas por un experto en seguridad con la autoridad necesaria (con derechos de
administrador de los sistemas) para llevar a cabo estas acciones.
Comprobar con regularidad todos los sistemas y dispositivos de red para garantizar que
tienen instaladas las revisiones ms recientes.
Comprobar con regularidad todos los registros y mecanismos de registro, incluidos los
registros de eventos del sistema operativo, los registros especficos de aplicacin y los
registros de sistema de deteccin de intrusiones.
Crear un CSIRT para abordar los incidentes de seguridad. Para obtener ms informacin
sobre los CSIRT, consulte la siguiente seccin de este documento.
El CSIRT es crucial para tratar con los incidentes de seguridad del entorno. El equipo debe estar
formado por un grupo de personas responsables de abordar los incidentes de seguridad. Los
miembros del equipo deben haber definido claramente sus tareas para asegurar que no quede
ningn rea de la respuesta sin cubrir. El hecho de reunir un equipo antes de que se produzca
cualquier incidente es muy importante para la organizacin e influir positivamente en la manera
Servir como punto central de comunicacin, tanto para recibir los informes de incidentes
de seguridad, como para difundir informacin esencial sobre los incidentes a las entidades
correspondientes.
Al crear un CSIRT, debe preparar al equipo para tratar con los incidentes. Para preparar al equipo,
debe seguir estas pautas:
Colocar toda la informacin del sistema de emergencia en una ubicacin central y sin
conexin, como una carpeta fsica o un equipo sin conexin. Esta informacin de
emergencia incluye las contraseas de los sistemas, las direcciones IP, la informacin sobre
la configuracin de los enrutadores, las listas de conjuntos de reglas del firewall, copias de
Comunicar el incidente.
Estos pasos no son puramente secuenciales, sino que se suceden a lo largo del incidente. Por
ejemplo, la documentacin comienza al principio y contina durante todo el ciclo de vida del
incidente; las comunicaciones tambin se producen durante todo el incidente.
Algunos aspectos del proceso se desarrollan junto a otros. Por ejemplo, como parte de la
evaluacin inicial, se har una idea de la naturaleza general del ataque. Es importante usar esta
informacin para contener el dao y minimizar el riesgo tan pronto como sea posible. Si acta con
rapidez, podr ahorrar tiempo y dinero, y salvar la reputacin de la organizacin. No obstante,
hasta que conozca mejor el tipo y la gravedad del ataque, no podr contener el dao ni minimizar
el riesgo de forma realmente efectiva. Una respuesta excesiva podra causar an ms dao que el
ataque inicial. Al llevar a cabo estos pasos de manera conjunta, obtendr la mejor unin entre
acciones rpidas y efectivas.
Muchas actividades podran indicar un posible ataque a su organizacin. Por ejemplo, cuando un
administrador de red realiza labores de mantenimiento del sistema, puede parecer que alguien
est iniciando alguna forma de ataque. En otros casos, un sistema mal configurado puede llevar a
varios falsos positivos en el sistema de deteccin de intrusiones, lo que dificulta la identificacin
de los verdaderos incidentes.
Como parte de su evaluacin inicial, debe realizar las siguientes acciones:
Tomar medidas para determinar si est tratando con un incidente verdadero o un falso
positivo.
Hacerse una idea general del tipo y la gravedad del ataque. Debe reunir al menos suficiente
informacin para su investigacin adicional y para empezar a contener los daos y
minimizar el riesgo.
Cuando sospeche que hay un incidente de seguridad, debe comunicar rpidamente la infraccin al
resto del CSIRT principal. El coordinador de incidentes, junto con el resto del equipo, debe
identificar rpidamente con quin debe contactar fuera del CSIRT principal. As se garantiza que se
puede mantener un control y una coordinacin de incidentes adecuada, al tiempo que se
minimizan los daos. Tenga en cuenta que los daos pueden producirse de muchas formas y que
un titular en el peridico que describa una infraccin de seguridad puede ser mucho ms
destructivo que muchas intrusiones en el sistema. Por este motivo y para evitar que los atacantes
estn avisados, slo se debe informar a aquellos implicados en la respuesta a incidentes hasta que
el incidente est totalmente controlado. Basndose en cada situacin concreta, el equipo
determinar a quin se debe informar acerca del incidente. Podra tratarse de cualquiera, desde
personas concretas hasta toda la compaa y los clientes externos. La comunicacin externa debe
estar coordinada con el representante legal.
Al actuar rpidamente para reducir los efectos reales y potenciales de un ataque, puede marcar la
diferencia entre un ataque de menor o mayor importancia. La respuesta exacta depender de la
organizacin y de la naturaleza del ataque al que se enfrente. No obstante, se sugieren las
siguientes prioridades como punto de partida:
1. Proteger la vida humana y la seguridad de las personas. Por supuesto, esta debe ser
siempre la mxima prioridad.
2. Proteger la informacin secreta y confidencial. Como parte de su plan de respuesta a
incidentes, debe definir claramente qu informacin es secreta o confidencial. Esto le
permitir establecer prioridades a sus respuestas de proteccin de datos.
3. Proteger otra informacin, como datos cientficos, sobre propiedad o del mbito directivo.
Puede que otra informacin de su entorno tambin sea valiosa. Debe proteger en primer
lugar los datos ms valiosos antes de pasar a otros menos tiles.
4. Proteger el hardware y software contra el ataque. Esto incluye protegerlos contra la
prdida o la modificacin de los archivos de sistema y contra daos fsicos al hardware. Los
daos en los sistemas pueden tener como consecuencia un costoso tiempo de inactividad.
5. Minimizar la interrupcin de los recursos informticos (incluidos los procesos). Aunque el
tiempo de produccin sea muy importante en la mayora de los entornos, el hecho de
mantener los sistemas en funcionamiento durante un ataque puede tener como
consecuencia problemas ms graves en el futuro. Por este motivo, la minimizacin de la
interrupcin de los recursos informticos debe ser generalmente una prioridad
relativamente baja.
Existen varias medidas que se pueden tomar para contener el dao y minimizar el riesgo en el
Intentar evitar que los atacantes sepan que conoce sus actividades. Puede resultar difcil,
porque algunas respuestas esenciales pueden alertar a los atacantes. Por ejemplo, si hay
una reunin de emergencia del CSIRT o solicita un cambio inmediato de todas las
contraseas, algn atacante interno puede saber que est al corriente de un incidente.
Comparar el costo de dejar sin conexin los sistemas en peligro y los sistemas relacionados
con el riesgo de continuar funcionando. En la inmensa mayora de los casos, debe
desconectar el sistema de la red inmediatamente. No obstante, puede tener contratos de
servicio en funcionamiento que requieran que los sistemas estn disponibles, incluso con
la posibilidad de sufrir daos adicionales. En estas circunstancias, puede decidir mantener
un sistema conectado con conectividad limitada para reunir pruebas adicionales durante
un ataque en proceso. A veces, el dao y el alcance de un incidente pueden ser tan
extensos que tenga que tomar medidas que apelen a las clusulas penales especificadas en
sus contratos de nivel de servicio. En todo caso, es muy importante que las acciones que
lleve a cabo en caso de incidente se traten de antemano y se describan en el plan de
respuesta para que se puedan tomar medidas inmediatas cuando ocurra un ataque.
Determinar los puntos de acceso usados por el atacante e implementar las medidas
adecuadas para evitar futuros accesos. Las medidas pueden incluir la deshabilitacin de un
mdem, la adicin de entradas de control de acceso en un enrutador o firewall, o el
aumento de las medidas de seguridad fsicas.
Considere la opcin de volver a crear un sistema con discos duros nuevos (se deben
eliminar los discos duros existentes y almacenarlos, ya que se pueden usar como prueba si
decide procesar a los atacantes). Asegrese de que cambia las contraseas locales.
Tambin debera cambiar las contraseas de las cuentas de servicio y administrativas en
todo el entorno.
Para poder recuperarse de forma eficaz de un ataque, debe determinar la gravedad de la situacin
de peligro que han sufrido los sistemas. Esto determinar cmo contener y minimizar el riesgo,
cmo recuperarse de l, en qu momento y a quin comunicar el incidente, y si se debe intentar
obtener una indemnizacin legal.
Debe intentar:
Determinar la naturaleza del ataque (puede ser diferente a lo que sugiere la evaluacin
inicial).
Al realizar estas acciones, podr determinar las respuestas apropiadas para su entorno. Un buen
plan de respuesta a incidentes resumir los procedimientos especficos que ha de seguir hasta
obtener ms informacin sobre el ataque. Generalmente, la naturaleza de los sntomas del ataque
determinar el orden en el que deber seguir los procedimientos definidos en el plan. Ya que el
tiempo es de suma importancia, los procedimientos que requieran menos tiempo tendrn
prioridad ante los que consuman ms tiempo. Para ayudar a determinar la gravedad del ataque,
debe llevar a cabo estas acciones:
Ponerse en contacto con otros miembros del equipo de respuesta para informarles de sus
conclusiones, hacer que comprueben sus resultados, determinar si estn al corriente de
actividades relacionadas o ataques potenciales, y ayudar a determinar si el incidente es un
falso positivo. A veces, lo que quizs parezca ser un incidente verdadero en la evaluacin
inicial, resultar un falso positivo.
Buscar espacios en blanco, o la ausencia de los mismos, en los registros del sistema.
Comparar los sistemas con comprobaciones de integridad del sistema y los archivos
realizadas con anterioridad. Esto le permite identificar las adiciones, supresiones,
modificaciones y modificaciones del permiso y control realizadas en el sistema de archivos
y el Registro. Puede ahorrar mucho tiempo al responder a los incidentes si identifica
exactamente qu ha sufrido peligro y qu reas hay que recuperar.
Buscar datos confidenciales, como los nmeros de tarjeta de crdito y empleado o los
datos del cliente, que se puedan haber cambiado de ubicacin o escondido para
modificarlos o recuperarlos en el futuro. Puede que tambin deba comprobar si en los
sistemas hay informacin no empresarial, copias ilegales de software y mensajes de correo
electrnico u otros registros que puedan ayudar en una investigacin. Si existe la
posibilidad de infringir la privacidad u otras leyes al buscar en un sistema durante la
investigacin, debe contactar con su asesora jurdica antes de continuar.
duracin del incidente. (El software de integridad del sistema y archivos, junto con los sistemas de
deteccin de intrusiones, puede ayudarle en esta tarea.) En algunos casos, la ltima o incluso las
ltimas copias de seguridad pueden no ser adecuadas para recuperar un estado apropiado, de
modo que debe archivar con regularidad copias de seguridad de los datos en una ubicacin
externa.
El CSIRT debe documentar minuciosamente todos los procesos al tratar con un incidente. Se debe
incluir una descripcin de la infraccin y detalles de cada accin tomada (quin llev a cabo la
accin, cundo lo hizo y por qu motivos). Se debe avisar a todas las personas implicadas con
acceso durante el proceso de respuesta.
Despus, se debe organizar la documentacin cronolgicamente, comprobar que est completa, y
firmarla y revisarla con la directiva y los representantes legales. Asimismo, deber proteger las
pruebas recopiladas en la fase de proteccin de pruebas. Debe plantearse la presencia de dos
personas durante todas las fases, que puedan aprobar cada paso. Esto ayudar a reducir la
probabilidad de que las pruebas se consideren no admisibles y de que se modifiquen despus.
Recuerde que el atacante puede ser un empleado, contratista, empleado temporal u otra persona
de la organizacin. Sin documentacin completa y detallada, la identificacin de un atacante
interno ser muy difcil. Una documentacin apropiada tambin le proporciona la mejor
oportunidad de procesar legalmente a los atacantes.
Al determinar los daos que sufre la organizacin, debe considerar tanto los costos directos como
los indirectos. El dao y los costos del incidente constituirn una prueba importante y necesaria si
decide emprender acciones legales. Entre ellos, se pueden contar los siguientes:
Costos legales.
Costos relacionados con el tiempo de inactividad del sistema (por ejemplo, productividad
de los empleados perdida, ventas perdidas, sustitucin del hardware, del software y de
otras propiedades).
Una vez que se hayan finalizado las fases de documentacin y recuperacin, debe revisar el
proceso minuciosamente. Determine con su equipo qu pasos se siguieron correctamente y qu
errores se cometieron. En casi todos los casos, descubrir que debe modificar algunos procesos
para controlar mejor futuros incidentes. Encontrar debilidades en su plan de respuesta a
incidentes. Este anlisis posterior tiene como objetivo encontrar oportunidades de mejora, que
iniciarn un nuevo proceso de planificacin de la respuesta a incidentes.
BIBLIOGRAFA
Aspectos Avanzados de Seguridad en Redes. Joaqun Garca Alfaro, Xavier Perramn Tornil
Tcnicas de Defensa: Mecanismos comunes bajo variantes del sistema operativo Unix. Juan
Pablo Sarubbi Universidad Nacional de Lujn
ISO 17799
COBIT v4
Redes inalmbricas: IEEE 802.11. Enrique de Miguel Ponce, Enrique Molina Tortosa, Vicente
Momp Maicas