Proyecto Final

Recomendaciones para presentar la Actividad:

Enva el desarrollo de esta actividad a tu tutor@ en un documento de Word, que

llamars Proyecto Final.
Procura marcar siempre tus trabajos con un encabezado como el siguiente:
Nombre
Fecha
Actividad
Tema

ALEJANDRO SARABIA ARANGO

SEPTIEMBRE 06 DE 2012
PROYECTO FINAL
MANUAL DE PROCEDIMIENTOS

Luego de haber estudiado los tipos de vulnerabilidades ms comunes, las

herramientas usadas para proteger los datos, y haber generado sus
procedimientos, est listo para generar la carta magna de la seguridad de
la red: El manual de procedimientos.

Proyecto Final

1. Desarrolle el manual de procedimientos de la empresa. Este manual

debe tener el estudio previo que se hizo para establecer la base del
sistema de seguridad, el programa de seguridad, el plan de accin,
las tablas de grupos de acceso, la valoracin de los elementos de la
red, los formatos de informes presentados a la gerencia para
establecer el sistema de seguridad, los procedimientos escogidos
para la red, as como las herramientas, y el desarrollo de cada
procedimiento en forma algortmica (agregue todo lo que considere
necesario). Recuerde que el manual de procedimientos es un proceso
dinmico, por lo que debe modular todos los contenidos en unidades
distintas, para poder modificarlas en caso de que sea necesario.

Nota: Este trabajo final, ms que una nota para aprobar el curso, muestra la
capacidad que tiene, como persona, de gestionar la seguridad de una red.
Guarde este documento, pues es su carta de presentacin para cualquier
empleo en el que se le exija experiencia.
1 Redes y seguridad
Proyecto Final

INTRODUCCIN
En la actualidad, las organizaciones son cada vez ms dependientes de sus
redes informticas y un problema que las afecte, por mnimo que sea, puede
llegar a comprometer la continuidad de las operaciones.
La falta de medidas de seguridad en las redes es un problema que est en
crecimiento. Cada vez es mayor el nmero de atacantes y cada vez estn
ms organizados, por lo que van adquiriendo da a da habilidades ms
especializadas que les permiten obtener mayores beneficios. Tampoco
deben subestimarse las fallas de seguridad provenientes del interior mismo
de la organizacin.
El proponer o identificar una poltica de seguridad requiere un alto
compromiso con la organizacin, agudeza tcnica para establecer fallas y
debilidades, y constancia para renovar y actualizar dicha poltica en funcin
del dinmico ambiente que rodea las organizaciones modernas.
este manual de procedimientos encontraran de forma clara y precisa en la
cual ser administrada los sistemas de informacin de esta empresa para
brindar una mayor seguridad de su informacin y la manera de cmo
controlar sus activos tecnolgicos tanto a nivel de hardware como de
software.

2 Redes y seguridad
Proyecto Final

CONCEPTO DE SEGURIDAD
En la actualidad, la seguridad informtica ha adquirido gran auge, dadas las
Cambiantes

condiciones

las

nuevas

plataformas

de

computacin

disponibles. La Posibilidad de interconectarse a travs de redes, ha abierto

nuevos horizontes que Permiten explorar ms all de las fronteras de la
organizacin. Esta situacin ha llevado a la aparicin de nuevas amenazas en
los sistemas computarizados.
Consecuentemente,

muchas

organizaciones

gubernamentales

no

Gubernamentales internacionales [1,2] han desarrollado documentos y

directrices que Orientan en el uso adecuado de estas destrezas
tecnolgicas y recomendaciones con el Objeto de obtener el mayor
provecho de estas ventajas, y evitar el uso indebido de la Mismas. Esto
puede ocasionar serios problemas en los bienes y servicios de las Empresas
en el mundo.
En este sentido, las polticas de seguridad informtica (PSI) surgen como
una Herramienta organizacional para concientizar a cada uno de los
miembros de una Organizacin sobre la importancia y la sensibilidad de la
informacin y servicios crticos Que favorecen el desarrollo de la
organizacin y su buen funcionamiento.

1. Propsito
Establecer los pasos que se deben seguir para garantizar la seguridad en la
red.

2. Alcance
3 Redes y seguridad
Proyecto Final

Este procedimiento aplica al Jefe de Seguridad en Redes, bajo de la

supervisin del Director de teleinformtica.

3. Referencia

Para la elaboracin de este procedimiento, se tom como referencia

el manual de procedimientos.

4. Responsabilidades

Secretario Administrativo: Responsable de autorizar este procedimiento.

Director de Teleinformtica: Responsable de revisar y supervisar la
aplicacin de este Procedimiento
Jefe Seguridad en Redes: Responsable de elaborar y aplicar este
procedimiento.

5. CLIENTES Y PROVEEDORES
PROVEEDORES
Externos

ENTREGABLES
Equipo, Software y Licenciamiento.

Jefe de telefona y Videoconferencia

Formato de Solicitudes

Clientes
Unidad Administrativa

ENTREGABLES
Especificaciones tcnicas Hardware y
Software.
Equipos con Polticas de Seguridad
Implementados o Servicios de redes
Configurados.

4 Redes y seguridad
Proyecto Final

6. DIRECTORIO ACTIVO
El directorio activo permite al administrador de red establecer polticas de
seguridad, esta almacena informacin de una organizacin en una base de
datos central, organizada y accesible.
Nos permite una serie de objetivos relacionados como agregar usuarios,
grupos de usuarios, permisos y asignacin de recursos y polticas de acceso.
NOMBRE

RIESGO

IMPORTANCI

RIESGO

(R)

A (W)

EVALUADO

10

10

DETALLE

(RXW)
Base de Datos

100

Esta

es

la

razn de ser
de la empresa
porque

all

estn
almacenados
los detalles de
los clientes y

Servidor Web

10

80

los

productos

de

la

empresa.
Es un Equipo
costoso por el
tema

de

servicios

los
que

estn
Swith

15

montados.
El swith es un
equipo

activo

que se puede
cambiar,

PC

5 Redes y seguridad
Proyecto Final

21

resetear

volver

configurar.
Son
los

equipos lo cual
los empleados
procesan
informacin se
puede
modificar

cambiar
piezas
Impresora

fcilmente.
Recurso para

la elaboracin
de trabajos lo
cual

si

daa
cambia

se
se
con

facilidad.

NOMBRE

GRUPO

DE

USUARIOS

TIPO

DE

PRIVILEGIOS

ACCESO

Base de Datos

Empleados

Local

Solo Lectura

Base de Datos

Administracin
Clientes, Producto

Local

Solo Lectura

Acceso a Internet
Servidor
Pagina

y Presupuesto
Usuario
Tcnicos

Local
Local

Solo Lectura
Lectura y Escritura.

Web
Acceso a Servidor,

Mantenimiento
Administradores de

Local y Remoto

Lectura y Escritura

Router y Swith
Acceso a Equipos

red
Tcnicos

Local

Todos

de

de

Sistemas

7. CREACIN DE LOS USUARIOS

Cada usuario de la compaa se le agrega un usuario corporativo con su
respectivo modo de acceso y sus limitaciones.
Procedimiento de alta cuenta de usuarios: se lleva a cabo cuando se crea
una cuenta de usuario teniendo en cuenta datos personales, cargo y
funciones a realizar.
El administrador del directorio activo deber solicitar los siguientes datos:
6 Redes y seguridad
Proyecto Final

Nombres y Apellidos
rea de desempeo
Cargo
Extensin del rea de trabajo
Tipo de contrato
Correo electrnico

Con estos datos el LOGIN del usuario seria

Letra inicial del nombre
Apellido completa
Letra inicial del apellido
NOMBRE
Juan

1 APELLIDO
Zapata

2 APELLIDO
Ruiz

LOGIN
JZAPATAR

Carlos
Alejandr

Sarabia

Arango

ASARABIAA

o
Procedimiento de buenas contraseas: Determinar buenas contraseas de
usuario que deben contener letras, nmeros y caracteres para que sea ms
difcil de descifrar para que sea ms tedioso para el software que descifran
las claves.
8. CREACIN DE LA CUENTA CORPORATIVA
La cuenta corporativa es importante por los datos confidenciales de la
empresa el administrador solicita los siguientes datos:
Nombres y Apellidos
rea de desempeo
Cargo
7 Redes y seguridad
Proyecto Final

 Extensin del rea de trabajo

Tipo de contrato
Correo electrnico
Con estos datos el administrador crea el ID de la siguiente forma:
Letra inicial del nombre
Apellido completa
Letra inicial del apellido

Nombre
Juan

1 apellido
Zapata

2 apellido
Ruiz

ID CORREO
JZAPATAR@hp.com.co

Carlos
Alejandro

Sarabia

Arango

ASARABIAA@hp.com.c
o

9. PROCEDIMIENTO INVENTARIOS BIENES ACTIVOS

Cuando ingresa nuevo personal a la empresa el jefe de dicha rea o
departamento ser el encargado de enviar una solicitud por correo
electrnico al rea de informtica, este correo debe llegar tanto al
encargado de los bienes tecnolgicos como al jefe de dicha rea
(Informtica).
Inmediatamente el agente de soporte tcnico empezar a preparar la
mquina con los programas solicitados, incluyendo el correo, corporativo,
impresora y el S.O con todas sus actualizaciones (parches de seguridad).
Adems antes de entregar el equipo de cmputo el usuario deber firmar un
acta en la cual se describe las partes esenciales con sus respectivos
seriales. El formato utilizado aplica tambin para cuando una persona realiza
un reintegro al rea de sistemas.

8 Redes y seguridad
Proyecto Final

10. PROCEDIMIENTO PARA SOPORTE TCNICO

Se implementar una mesa de ayuda de 3 niveles de los cuales se dividen as:
Primer nivel
Por medio de la lnea telefnica que se habilitar los usuarios que llamen
recibirn asistencia remota hasta donde lo permita la situacin, en este
caso el incidente que se presenta, si no se resuelve de forma oportuna el
servicio que el usuario necesita se deber tomar los datos del usuario y
registrarlo en el software de incidentes para que el segundo nivel se haga
cargo.
Segundo nivel
Interviene el Agente de soporte en sitio, el cul brindar atencin de una
forma amable y educada y resolver el incidente que se presente.
El agente de soporte en sitio se encargar fuera de resolver el incidente, el
de verificar que el sistema local est sin problemas, es decir, mirar que el
equipo no presente dems fallas para as evitar el llamado concurrente del
usuario.
Si el segundo nivel no puede dar solucin al incidente se escalar el servicio
al tercer nivel.
Tercer nivel
En este nivel encontramos a los administradores de servidores.

11. HERRAMIENTAS PARA CONTROL

Las herramientas para uso de administracin de redes, ser nica y
exclusivamente para el personal administrativo del rea de redes y sobre
ellos caer toda responsabilidad por el uso de la misma.
ARANDA SOFTWARE

9 Redes y seguridad
Proyecto Final

Se utilizarn los mdulos de Aranda para llevar un control preciso tanto en

software como en hardware, hay que tener en cuenta que se deber instalar
en cada mquina (computador) un agente el cual recoger toda la
informacin a nivel de software y hardware.
Mdulo Metrix
Recoge informacin del software que tenga instalado cada equipo, esto nos
ayudar a tener control sobre los programas que se instalen ya que la idea
aqu es evitar que la empresa se vea sancionada por no tener un ptimo
control sobre este tema.
Mdulo Network
Permite conocer los dispositivos de red en un diagrama topolgico que
permite las vistas de routers, switches, servidores, estaciones de trabajo y
servicios.
Este software permite encontrar fallas en la red rpidamente, adems son
ste se puede administrar dispositivos conectados a la red de una entidad,
como routers, switchs, estaciones de trabajo, impresoras, entre otros.
Permite obtener reportes con los siguientes datos:
Identificador
Nombre del dispositivo
Ubicacin
Descripcin
Fabricante
Tipo de dispositivo
IP
MAC, entre otros.
NETLOG
Como hay ataques a la red a gran velocidad haciendo en ocasiones imposible
de detectar, esta herramienta es indispensable pues nos permite ver
paquetes que circulan por la red y determinar si son sospechosos, peligrosos
o si es un ataque que se produjo.

10 Redes y seguridad
Proyecto Final

GABRIEL
Tomara este demonio, para contrarrestar ataques SATAN, pues el Daemon
Security Application Technical Authorization Network es una excelente
herramienta, que puede ocasionar grandes daos. GABRIEL es muy til pues
una mquina afectada enva inmediatamente un reporte al servidor, haciendo
ms fcil solucionar e identificar la mquina.

Comprende Cliente-Servidor
Identifica el ataque SATAN
Conexin de inmediata de fallos de cliente

CRACK
Esta herramienta es muy til para implementar la cultura en los usuarios de
generar contraseas ptimas, pues recordemos y tengamos presentes que
los datos son un valor muy importante de una empresa.
Esta herramienta es muy til para implementar la cultura en los
usuarios de generar contraseas ptimas, pues recordemos y
tengamos presentes que los datos son un valor muy importante de una
empresa.
Realiza una inspeccin para detectar passwords dbiles y vulnerables
Comprueba la complejidad de las contraseas.

TRINUX
Ser muy til para controlar el trfico de correos electrnicos entrantes y
salientes, evitar el robo de contraseas y la intercepcin de correos, esta
herramienta nos evitara un DoS que hara colapsar los sistemas de una
empresa.
12. PLAN DE EJECUCIN

11 Redes y seguridad
Proyecto Final

Elaborando el plan de ejecucin como una lista de chequeo o checklist no

enfocamos en una lista de tareas a llevar a cabo para chequear el
funcionamiento del sistema.
Asegurar el entorno. Qu es necesario proteger? Cules son los
riesgos?
Determinar prioridades para la seguridad y el uso de los recursos.
Crear planes avanzados sobre qu hacer en una emergencia.
Trabajar para educar a los usuarios del sistema sobre las

necesidades y las ventajas de la buena seguridad

Estar atentos a los incidentes inusuales y comportamientos extraos.
Asegurarse de que cada persona utilice su propia cuenta.
Estn las copias de seguridad bien resguardadas?
No almacenar las copias de seguridad en el mismo sitio donde se las

realiza
Los permisos bsicos son de slo lectura?
Si se realizan copias de seguridad de directorios/archivos crticos,
usar chequeo de comparacin para detectar modificaciones no
autorizadas.
Peridicamente rever todo los archivos de booteo de los sistemas y
los archivos de configuracin para detectar modificaciones y/o
cambios en ellos.
Tener sensores de humo y fuego en el cuarto de computadoras.
Tener medios de extincin de fuego adecuados en el cuarto de
computadoras.
Entrenar a los usuarios sobre qu hacer cuando se disparan las
alarmas.
Instalar y limpiar regularmente filtros de aire en el cuarto de
computadoras.
Instalar UPS, filtros de lnea, protectores gaseosos al menos en el
cuarto de computadoras.
Tener planes de recuperacin de desastres.
Considerar usar fibras pticas como medio de transporte de
informacin en la red.
Nunca usar teclas de funcin programables en una terminal para
almacenar informacin de login o password.
12 Redes y seguridad
Proyecto Final

 Considerar realizar autolog de cuentas de usuario.

Concientizar a los usuarios de pulsar la tecla ESCAPE antes de
ingresar su login y su password, a fin de prevenir los Caballos de
Troya.
Considerar la generacin automtica de password.
Asegurarse de que cada cuenta tenga un password.
No crear cuentas por defecto o guest para alguien que est
temporariamente en la organizacin.
No permitir que una sola cuenta est compartida por un grupo de
gente.
Deshabilitar las cuentas de personas que se encuentren fuera de la
organizacin por largo tiempo.
Deshabilitar las cuentas dormidas por mucho tiempo.
Deshabilitar o resguardar fsicamente las bocas de conexin de red
no usadas.
Limitar el acceso fsico a cables de red, routers, bocas, repetidores y
terminadores.
Los usuarios deben tener diferentes passwords sobre diferentes
segmentos de la red.
Monitorear regularmente la actividad sobre los Gateway.

Plan

de contingencia:
Que se debe hacer en caso de una falla o un ataque a los sistemas.
Capacitacin constante:
Esto incluye tanto a los usuarios como a los administradores de los sistemas.
Monitoreo:
Garantizar un buen funcionamiento de las PSI.

Elementos de una PSI

Rango de accin de las polticas. Esto se refiere a las personas
sobre las cuales se posa la ley, as como los sistemas a los que
afecta.
Reconocimiento de la informacin como uno de los principales
activos de la empresa.
13 Redes y seguridad
Proyecto Final

 Objetivo principal de la poltica y objetivos secundarios de la

misma. Si se hace referencia a un elemento particular, hacer una
descripcin de dicho elemento.
Responsabilidades generales de los miembros y sistemas de la
empresa.
Como la poltica cubre ciertos dispositivos y sistemas, estos deben
tener un mnimo nivel de seguridad. Se debe definir este umbral
mnimo.
Explicacin de lo que se considera una violacin y sus
repercusiones ante el no cumplimiento de las leyes.
Responsabilidad que tienen los usuarios frente a la informacin a
la que tienen acceso.

14 Redes y seguridad
Proyecto Final