Introduccin a la Seguridad

Informtica
T.S.U. Jess Rivero
INSTRUCTOR ASL
FUNDACITE MERIDA
Academia de Software Libre
Agosto 2006
Historial de revisiones
Revisin 0.1 Marzo 2006
Primera revisin.

Copyright 2006 Jess Rivero

Se concede permiso para copiar, distribuir y modificar este documento segn los trminos de la GNU Free
Documentation License, Versin 1.2 o cualquiera posterior publicada por la Free Software Foundation,
sin secciones invariantes ni textos de cubierta delantera o trasera.

Introduccin a la Seguridad Informtica

1. Que es Seguridad Informtica?

La seguridad informtica, generalmente consiste en asegurar que los recursos del sistema de informacin
(Material Informtico o programas) de una organizacin sean utilizados de la manera que se decidi.
La seguridad informtica busca la proteccin contra los riesgos liados a la informtica. Los riesgos son en
funcin de varios elementos:
Las amenazas que pesan sobre los activos a proteger.
Las vulnerabilidades de estos activos.
Su sensibilidad, la cual es la conjuncin de diferentes factores: la confidencialidad, la integridad, la
disponibilidad o accesiblidad.

2. Premisas

La "globalizacin" en el conocimiento ha supuesto una quiebra de la seguridad de tiempos pasados

amparada, en gran medida, en un cierto ocultismo.

Los sistemas anteriores no eran ms seguros que los actuales, tan slo eran mucho ms desconocidos.

Se cae, habitualmente, en abordar la implantacin de la seguridad como respuesta a un problema o

situacin especfica, sin estudiar todos los elementos que puedan estar relacionados.

Si hablamos de una plataforma web abierta a internet, la seguridad no es responder si instalamos tal o
cual cortafuegos, es bastante ms que eso:

Sistemas de alimentacin ininterrumpida para mquinas crticas.

Duplicidad de almacenamiento control fsico.

Auditora de conexiones internas y externas.

Blindaje de ficheros de sistema.

Control de modificacin de ficheros.

Monitorizacin de trfico de red.

Poltica de salvaguardas y mucho ms.

Un concepto global de seguridad informtica sera aquel definido como el conjunto de procedimientos y
actuaciones encaminados a conseguir la garanta de funcionamiento del sistema de informacin, obteniendo eficacia, entendida como el cumplimiento de la finalidad para el que estaba establecido, manteniendo
la integridad, entendida como la inalterabilidad del sistema por agente externo al mismo, y alertando la

Introduccin a la Seguridad Informtica

deteccin de actividad ajena, entendida como el control de la interaccin de elementos externos al propio
sistema. Si conseguimos todo esto, tarea harto difcil vaya por delante, podremos decir que disponemos
de un sistema seguro.
En el mundo de la Informtica se utiliza habitualmente una divisin en dos grandes reas que denominamos Hardware y Software.
Dentro del rea del Hardware los objetos de nuestra atencin son fundamentalmente tres: servidores,
clientes y lneas de comunicaciones.
Dentro del rea de Software los objetos de nuestra atencin son tambin tres: sistema operativo, bases de
datos y aplicaciones.

3. Necesidad de La Seguridad
En primer lugar para garantizar el correcto funcionamiento del sistema de informacin. Toda la inversin
que se haga de nada servir si no conseguimos alcanzar la funcionalidad para la que se cre el sistema.
En segundo lugar, por prestigio y futuro del sistema y, por extensin, de la Aministracin Pblica de la
empresa o Institucin. Qu provocara el conocimiento de una quiebra de seguridad del sistema informtico de la FAN, PDVSA, o en algunos ministerios, prdida de informacin de aos de historia, poseedor de
bases de datos referidas desde a terrorismo hasta narcotrfico pasando por datos personales presupuestos,
nminas, creo que sobran comentarios. Ello no quiere decir que caigamos en evitar todas aquellas funcionalidades que puedan suponer una quiebra en la seguridad, lo que hay que plantearse es ms funcionalidad
con ms seguridad. Por ltimo, pero no por ello menos importante, por una razn de imperativo legal. La
Gaceta Oficial de la Repblica Bolivariana de Venezuela La Asamblea Nacional de la Repblica Bolivariana de Venezuela Decreta La Ley Especial contra los Delitos Informticos, la cual tiene por objeto
la proteccin integral de los sistemas que utilicen tecnologas de informacin, as como la prevencin y
sancin de los delitos cometidos contra tales sistemas o cualquiera de sus componentes o los cometidos
mediante el uso de dichas tecnologas, en los trminos previstos en esta ley1.

4. Identificacin de requisitos de seguridad

Common Criteria o CC (ISO/IEC 15408:1999): estndar internacional para identificar y definir requisitos
de seguridad. Se suele emplear para redactar dos tipos de documentos:

Perfil de proteccin (Protection Profile o PP): es un documento que define las propiedades de seguridad
que se desea que tenga un producto; bsicamente se trata de un listado de requisitos de seguridad.

Objetivo de seguridad (Security Target o ST): es un documento que describe lo que hace un producto
que es relevante desde el punto de vista de la seguridad.

Introduccin a la Seguridad Informtica

5. Entorno y objetivos de seguridad

El primer paso para redactar un PP o un ST es identificar el entorno de seguridad: En qu entorno vamos
a trabajar? Qu activos debemos proteger? Para que se va a usar el producto?
A partir de esta identificacin obtenemos una serie de supuestos sobre el entorno (tipos de usuarios, tipo de
red, etc.), una lista de posibles amenazas y una descripcin de las polticas de seguridad de la organizacin.
Por ltimo se define un conjunto de objetivos de seguridad, demostrando que con ellos se combaten las
amenazas y se cumplen las polticas.

6. Requisitos funcionales
Los CC definen un conjunto de requisitos funcionales de seguridad que puede necesitar una aplicacin:

Auditora de Seguridad: permite el registro de eventos (hay que identificar cuales pueden ser interesantes desde el punto de vista de la seguridad).

No rechazo (Non-repudiation): uso de tcnicas para verificar la identidad del emisor y/o el receptor
de un mensaje.

Soporte de cifrado: si se usa cifrado qu operaciones la usan? que algoritmos y tamaos de clave se
utilizan? cmo se gestionan las claves?

Proteccin de datos de usuario: especificar una poltica para la gestin de datos de usuario (control
de acceso y reglas de flujo de informacin).

Identificacin y autenticacin: uso de tcnicas de validacin de identidad.

Gestin de seguridad: definicin de perfiles de usuario y niveles de acceso asociados

Privacidad: soporte del anonimato de los usuarios.

Autodefensa: la aplicacin debe incluir sistemas de validacin de su funcionamiento y fallar de manera

segura si esa validacin no se cumple.

Utilizacin de recursos: soporte a la asignacin de recursos, tolerancia a fallos.

Control de acceso: soporte de sistemas que limiten el nmero y tipo de sesiones, el nivel de concurrencia y que proporcionen informacin sobre sesiones anteriores al usuario para ayudar a la deteccin
de intrusos.

Rutas o canales fiables: existencia de mecanismos que permitan al usuario identificar que accede a la
aplicacin real (p. ej. certificados digitales) evitando ataques del tipo hombre en el medio.

Activos: todo elemento que compone el proceso de la comunicacin, la cual la componen: la informacin, el emisor, el medio que la transporta y finalmente el receptor.

Riesgo: es la exposicin a prdida o posible dao de la informacin que pueda causar prdida de dinero,
tiempo y reputacin entre otras.

Introduccin a la Seguridad Informtica

Amenaza: es cualquier actividad que represente posible dao a su informacin. Las amenazas pueden
tomar muchas formas.

Vulnerabilidad: es una debilidad en la seguridad de la informacin que puede ser explotada por una
amenaza; que podra ser, una debilidad en su sistema de seguridad de red, procesos, y procedimientos.
Algunas de las vulnerabilidades que pueden considerarse seran la ubicacin de la informacin sensible,
el nmero de personas que necesitan acceder a ella, y como es accedida dicha informacin.

7. Principios de Seguridad
En general se suele decir que los tres objetivos fundamentales de la seguridad informtica son:

Confidencialidad (Confidentiality): el acceso a los activos del sistema est limitado a usuarios autorizados. Estamos respondiendo a la pregunta: quin podr acceder a los mismos?
La confidencialidad intenta prevenir la revelacin no autorizada, intencional o no, del contenido de un
mensaje o de informacin en general. La prdida de informacin puede producirse de muchas maneras,
por ejemplo, por medio de la publicacin intencional de informacin confidencial de una organizacin
o por medio de un mal uso de los derechos de acceso en un sistema.

Integridad (Integrity): Los activos del sistema slo pueden ser borrados o modificados por usuarios
autorizados, qu se podr hacer con ella?.
La integridad asegura que:

No se realizan modificaciones de datos en un sistema por personal o procesos no autorizados.

No se realizan modificaciones no autorizadas de datos por personal o procesos autorizados.

Los datos son consistentes, es decir, la informacin interna es consistente entre si misma y respecto
de la situacin real externa.

Disponibilidad (Availability): el acceso a los activos en un tiempo razonable est garantizado para
usuarios autorizados.
La informacin tiene que estar disponible para quienes la necesiten y cuando la necesiten, si estn
autorizados: de qu manera, y cuando se podr acceder a ella?
La disponibilidad asegura que el acceso a los datos o a los recursos de informacin por personal autorizado se produce correctamente y en tiempo. Es decir, la disponibilidad garantiza que los sistemas
funcionan cuando se les necesita.

Introduccin a la Seguridad Informtica

Lo contrario de la confidencialidad, integridad y la disponibilidad son la revelacin, la modificacin y
la destruccin.
Por tanto, la confidencialidad, la integridad y la disponibilidad son unos conceptos claves en el mbito
de la seguridad de la informacin y los activos.
Figura 1. Triangulo ID

Preguntas Interesantes.

Cuales seran las prdidas generadas a la compaa si los datos estn comprometidos?

Cuales seran las prdidas generadas a la compaa si existe una prdida de propiedad intelectual?

Cuales son las prdidas de ingresos en un mercado compartido?

Qu valor implica la prdida de privacidad?

Qu valor representa la prdida de reputacin?

Tendr sentido proteger la informacin si los usuarios no contribuyen en tal accin?

Introduccin a la Seguridad Informtica

8. Seguridad de la Informacin
El propsito principal ser proteger la informacin independientemente donde se encuentre almacenada
sea en:

Papel

Discos duros de pcs, dispositivos extrables.

Inclusive en la memoria de las personas.

Lo que implica que nuestros objetivos se centraran en proteger lo que en lo sucesivo identificaremos como
activos:

La informacin

Los equipos que la soportan

Los usuarios que hacen uso de ella.

9. Activos
La informacin. En ste grupo se encuentran los activos que conservan la informacin registrada, bien
sean medios fsicos o electrnicos, entre ellos se mencionan los ms importantes:
Documentos, informes, libros, manuales, correspondencias, patentes, informacin de mercado, cdigo de
programacin, lneas de comando, reportes financieros, archivos de configuracin, planillas de sueldos de
empleados, plan de negocios de una empresa, etc.
Posibles vulnerabilidades: Robos de documentos, prdidas de archivos de configuracin, etc.
Equipos que la soportan.

Software. Este grupo contiene todos los programas de computadora que se utilizan para la automatizacin de procesos, es decir, accesos, lectura, trnsito y almacenamiento de la informacin. Entre ellos
se pueden citar, aplicaciones generales, programas especficos, sistemas operativos, entre otros.
La seguridad de la informacin persigue determinar como los programas estn a disposicin de los
usuarios, la forma en que son accedidos y la forma en que se establece la comunicacin tanto a nivel
de usuarios-programas, y los programas entre si, sin dejar a un lado como otros sistemas tambin
interactan con nuestros programas. Todo esto se realiza con la intencin de poder ubicar las fallas
(vulnerabilidades) para que puedan ser tratadas sus respectivas correcciones.
Las aplicaciones debern estar protegidas para que la comunicacin entre base de datos, otras aplicaciones y los usuarios se realice de forma segura, atendiendo a los principios bsicos de la seguridad de
la informacin.

Introduccin a la Seguridad Informtica

Posibles Vulnerabilidades: Fallas publicadas no reparadas. Prdida en los sistemas de respaldo.

Hardware. Estos activos representan toda la infraestructura tecnolgica que brinda soporte a la informacin durante su uso, trnsito y almacenamiento.
Entre los equipos que se encuentran en este grupo se pueden citar: cualquier equipo en el cual se
almacene, procese o transmita la informacin de la empresa, siendo los ms importantes: computadoras, servidores, equipos porttiles, mainframes, medios de almacenamiento, equipos de conectividad,
enrutadores, switchs y cualquier otro elemento de una red de computadoras por donde transita la informacin.
Posibles vulnerabilidades: Fallas elctricas que daen los equipos, inundaciones en centros de cmputo,
robo de equipos porttiles.

Organizacin. En este grupo se incluyen los aspectos que componen la estructura fsica y organizativa
de las empresas.
Se refiere a la organizacin lgica y fsica que tiene el personal dentro de la empresa en cuestin.
Como ejemplos de estructura organizativa, tenemos entre otros: la estructura departamental y funcional,
el cuadro de asignacin de funcionarios, la distribucin de funciones y los flujos de informacin de la
empresa.
En lo que se refiere al ambiente fsico, se consideran entre otros: salas y armarios donde estn localizados los documentos, fototeca, sala de servidores de archivos.
Posibles Vulnerabilidades:

Ubicacin insegura de documentos, equipos o personas.

Estructura organizacional que no permita los cambios en materia de seguridad.

Usuarios. El grupo usuarios se refiere a los individuos que utilizan la estructura tecnolgica y de comunicacin de la empresa y que manejan la informacin.
El enfoque de la seguridad en los usuarios, est orientado hacia la toma de conciencia de formacin
del hbito de la seguridad para la toma de decisiones y accin por parte de todos los empleados de una
empresa, desde su alta direccin hasta los usuarios finales de la informacin, incluyendo los grupos que
mantienen en funcionamiento la estructura tecnolgica, como los tcnicos, operadores y administradores de ambientes tecnolgicos.
Posibles vulnerabilidades: Olvido de contraseas, falta de cooperacin por parte de los usuarios en
materia de seguridad, descuido de parte de los usuarios en el manejo de la informacin.

Introduccin a la Seguridad Informtica

10. Administracin de Riesgos

Para su compaa la informacin tiene un valor incalculable y tiene que estar disponible cuando y donde sea requerida, para ser utilizada por personal requerido. Como experto en seguridad, su trabajo es
minimizar la oportunidad que el tringulo CID (figura 1) sea colapsado.
La administracin de riesgos, es el proceso completo usado para identificar, controlar, y atenuar el impacto
de eventos indeterminados. Ya que es imposible eliminar los riesgos completamente, el objetivo de la
administracin de riesgos es minimizarlos y tratar de conservar la integridad del tringulo CID (figura 1).
La administracin de riesgos (figura 2) se puede definir como la ejecucin de los siguientes pasos, haciendo notar que dicho proceso nunca termina y una vez que completamos la ltima actividad, bien podramos
iniciarlo nuevamente para realizar una depuracin, o implantarlo y revisarlo constantemente.
Figura 2. Adminitracin de Riesgos

Introduccin a la Seguridad Informtica

Para minimizar los riesgos, lo que se debe hacer en primera instancia es identificar los riesgos potenciales,
amenazas y vulnerabilidades, en todas las reas del objeto de estudio (por ejemplo: su compaa).

Riesgo. Es la exposicin a prdida o posible injuria. En aspectos de seguridad de la informacin, el

riesgo es que la informacin de tu compaa est disponible para terceros, lo cual causar prdidas a la
compaa, tiempo, dinero y reputacin.

Amenaza. En aspectos de seguridad de la informacin, es una actividad que representa posible peligro
a su informacin. Las amenazas pueden tomar muchas formas, pero cualquier amenaza es aquella que
pueda perjudicar la integridad del tringulo CID.

Vulnerabilidad. Es una debilidad en la seguridad de la informacin que podra ser explotada por una
amenaza; esto es, una debilidad en sus sistemas, seguridad de red, procesos y procedimientos.

El punto crtico que corresponde a minimizar los riesgos, consiste en la identificacin de los riesgos y en
crear un plan de atenuacin o minimizacin para dichos riesgos.

11. Conclusiones
En la seguridad de la informacin, se debe proteger la consistencia del tringulo C-I-D, pero no se podr
realizar a cualquier costo, y quizs no sea necesario proteger la informacin. Por ejemplo, si su compaa
vende agua purificada enbotellada basadado en el proceso de la osmosis reversa, ya que este proceso es
bien conocido, por consiguiente no tiene sentido proteger dicho proceso de produccin. Sin embargo, si
su compaa ha identificado un proceso revolucionario que reduce los costos y tiempo a la mitad en dicho
proceso, usted sin duda alguna tratar de proteger dicha informacin. Este es un lmite para valorar la
implementacin de un plan de proteccin donde deben combinarse el valor del conocimiento, amenazas,
vulnerabilidades, y riesgos de tal forma que se construya un verdadero plan de atenuacin de riesgos. Para
ello ser necesario:

Colocarle un valor a la informacin.

Identificar tantos riesgos como sean posibles tanto sus amenazas y vulnerabilidades asociadas.

Minimizar los riesgos identificados.

Sea consciente que siempre hay que cosas que fueron pasadas por alto.

Este es el lmite en el momento de minimizar riesgos, en algunas ocasiones el costo o dificultad de reducir
un riesgo es mayor que el riesgo por si mismo. Por ejemplo, si trabaja en una fbrica de refrescos y
posee un archivo de texto donde estn almacenados todos los ingredientes para producir la lnea entera
de productos, no tendra sentido esforzarse invertiendo tiempo y dinero entre otros para proteger dicha
informacin ya que es una simple lista de ingredientes. Ahora, si usted tiene una frmula para la mejor
venta del producto y su compaa es la nica en crear ese producto si tendr sentido hacer la inversin
correspondiente para proteger dicha informacin. Todo plan de aministracin de riesgos es distinto porque
cada compaa tiene justamente sus propias caractersticas, presupuesto, y mano de obra para ser utilizada
en la administracin de riesgos. De seguro estas preguntas le ayudaran mucho...

10

Introduccin a la Seguridad Informtica

Que informacin necesita ser asegurada?

Cual es el valor de la informacin?

Cuales son las oportunidades en que la informacin pueda estar comprometida?

De que manera la informacin es accesada?

Que tantas personas acceden a la informacin?

Es la informacin fcil de asegurar?

Indistintamente si decide mitigar un riesgo, deber identificar tantos riesgos potenciales como sea posible
y desarrollar un plan de mitigacin que comprenda cada uno de ellos. Cuando los riesgos son identificados
y se les asigna un costo (en tiempo y dinero) para asegurar la informacin, puede ser comparado con el
valor de la informacin para determinar que medidas de seguridad son razonables. Para toda situacin, la
administracin de riesgos y el tratado de los mismos ser diferente. Basndose en el ejemplo de la fbrica
de refrescos, podr identificar lo siguiente:

El valor de la frmula es de 10 millardos de Bs porque justamente es el volumen de ganancias anuales.

El riesgo que la competencia pueda obtener la frmula.

La amenaza de que alguien de afuera pueda localizar y apoderarse de la frmula, o que un empleado
pueda hacer llegarla a la competencia indistintamente si la vende o la obsequia.

Las vulnerabilidades de que la frmula est almacenada en cinco ubicaciones diferentes y que un gran
nmero de personas tenga acceso a la misma.

Para atenuar los riesgos, la frmula puede resguardarse en un solo lugar y de hecho inaccesible, pero
esto resulta imprctico. Un mejor plan de mitigacin, sera reducir el nmero de copias de la frmula
de 5 ubicaciones distintas a 3, as como limitar el acceso a 25 personas con su respectivo registro.

Inclusive podra no haber pensado en limitar el acceso a la zona donde se utiliza la frmula para elaborar
el producto, a travs de una lista de las personas que pueden tener acceso, y adicionalmente incorporar
un mtodo de autenticacin para los mismos. Estos son probablemente amenazas significativas adicionales, vulnerabilidades y riesgos que deben ser consideradas para poder atenuarlas. Identificarlas
tanto como sean posibles, son tareas de un buen especialista de seguridad.

12. Ataques a la Seguridad

Una forma til de clasificar los ataques a la seguridad, empleada en la recomendacin X.800 y RFC 2828,
es la distincin entre ataques pasivos y ataques activos. Un ataque pasivo intenta conocer o hacer uso
de informacin del sistema, pero no afecta a los recursos del mismo. Un ataque activo, por el contrario,
intenta alterar los recursos del sistema o afectar a su funcionamiento.
Ataques Pasivos. Se dan en forma de escucha o de observacin no autorizadas de las transmisiones. El
objetivo del oponente es obtener informacin que se est transmitiendo. Dos tipos de ataques pasivos son
la obtencin de contenidos de mensajes y el anlisis de trfico.

11

Introduccin a la Seguridad Informtica

La obtencin de contenidos de mensajes, por lo general circunstancias como una conversacin telefnica,
un mensaje de correo electrnico o un archivo que se transmite por la red pueden contener infomacin
confidencial. Lo que se trata de evitar es que un oponente conozca los contenidos de esas transmisiones.
El anlisis de trfico, es ms sutil, en el supuesto que hemos enmascarado los contenidos de los mensajes u
otro trfico de informacin de forma que el oponente, a pesar de que halla capturado el mensaje, no pueda
extraer la informacin que contiene. La tcnica ms comn para enmascarar los contenidos es el cifrado,
inclusive con la informacin cifrada, un oponente podra observar el patrn de los mensajes, determinar
la localizacin e identidad de los servidores que se comunican y descubrir la frecuencia, tanto la longitud
de los mensajes que se estn intercambiando. Esta informacin puede ser til para averiguar la naturaleza
de la comunicacin que est teniendo lugar.
Los ataques pasivos son muy difciles de detectar ya que no implican alteraciones en los datos. Normalmente, el mensaje se enva y se recibe de una forma aparentemente normal y ni el emisor ni el receptor
son conscientes de que una tercera persona ha ledo los mensajes o ha observado el patrn de trfico.
Ataques Activos. Implican alguna modificacin del flujo de datos o la creacin de un flujo falso y se
pueden dividir en cuatro categoras:

Suplantacin de Identidad. Se produce cuando un entidad finge ser otra. Un ataque de este tipo incluyen habitualmente una de las otras formas de ataque activo. Por ejemplo, las secuencias de autentificacin pueden ser capturadas y repetidas despus de que una secuencia vlida haya tenido lugar,
permitiendo as, que una entidad entidad autorizada con pocos privilegios obtenga privilegios extras,
hacindose pasar por la entidad que realmente los posee.

La repeticin. Implica la captura pasiva de una unidad de datos y su retransmisin posterior para
producir un efecto no autorizado.

La modificacin de mensajes. Significa que una parte de un mensaje original es alterada, o que los
mensajes se hjan retrasado o reordenado, para producir un efecto no autorizado. Por ejemplo, el mensaje
"Permitir a Carlos Prez que lea las cuentas de archivos confidenciales" se modifica por: "Permitir a
Luis Garca que lea las cuentas de archivos confidenciales"

La Interrupcin de servicio. impide el uso o la gestin normal de las utilidades de comunicacin.

Este ataque podra tener un objetivo especfico, donde una entidad podra suprimir todos los mensajes
dirigidios a un destino en particular (por ejemplo el servicio de auditora de la seguridad). Otra forma
de este tipo de ataque es la interrupcin de una red completa, ya sea inhabilitndola o sobrecargndola
con mensajes para reducir el rendimiento.

Notas
1. http://www.gobiernoenlinea.gob.ve/docMgr/sharedfiles/LeyEspecialcontraDelitosInformaticos.pdf

12