Documentos de Académico
Documentos de Profesional
Documentos de Cultura
Curso - Seguridad en Sistemas de Informacion PDF
Curso - Seguridad en Sistemas de Informacion PDF
El Arte de la Guerra nos ensea que no debemos depender de la posibilidad de que el enemigo no
venga, sino que debemos estar siempre listos a recibirlo. No debemos depender de la posibilidad de
que el enemigo no nos ataque, sino del hecho de que logramos que nuestra posicin sea inatacable.
El Arte de la Guerra, Sun Tzu
Este libro es el resultado de la recopilacin exhaustiva de informacin de diversas fuentes, todas ellas
incluidas en la bibliografa. Yo simplemente me he encargado de agrupar, ordenar, alimentar con mi
propia experiencia y presentar en diferentes captulos el presente libro, que pongo a disposicin
general. Cada captulo tiene una seccin de preguntas al final del mismo.
Este material, cubre todos los tpicos de la certificacin CompTIA Security+, y gran parte de los
tpicos de CompTIA Network+. Algunos temas y preguntas oficiales de certificaciones como CEH,
CISSP, NSA, CISA, han sido incluidos tambin en la seccin de preguntas de cada captulo. Para ms
detalle remtase al ndice y a la bibliografa.
Nando A. B. C.
Analista de Sistemas y Seguridad Informtica
Venezuela. 2010
CAPTULO 1
La informacin es uno de los recursos principales de las organizaciones. Piense qu pasara si roban
la frmula de alguna de las gaseosas internacionales? cunto representa esta informacin para la
empresa? Es decir, cuidar la informacin es cuidar la propia existencia de la compaa. En el presente
desarrollo, cada vez que se mencione Informacin se estar haciendo referencia a
la Informacin que es procesada por un Sistema Informtico; definiendo este ltimo como el conjunto
formado por las personas, computadoras (hardware y software), papeles, medios de almacenamiento
digital, el entorno donde actan y sus interacciones.
La seguridad es un concepto abstracto difcil de definir, podramos pensarla como una sensacin de
proteccin, que depende de varios factores (el contexto, nuestras fortalezas, nuestras debilidades, las
amenazas). Si unimos las dos definiciones, podramos intentar una definicin de seguridad de la
informacin, diciendo que es la sensacin que perciben las personas sobre el nivel de proteccin de la
informacin.
La seguridad de la informacin se encarga de protegerla de una amplia gama de amenazas, a fin de
garantizar la continuidad comercial del negocio, minimizar los daos y maximizar el retorno sobre las
inversiones y las oportunidades, normalmente se logra implementando un conjunto adecuado de
controles que abarcan polticas y procedimientos, involucrando recursos humanos, hardware y
software. Es decir, el trmino seguridad de la informacin cubre un amplio espectro de actividades, y
parte de nuestro trabajo como profesionales de la seguridad, ser hacer recomendaciones y tomar
acciones para minimizar los riesgos y exposicin de la informacin y dems activos. Estas
actividades, muchas veces no son sencillas, pero deberemos realizarlas correctamente para tener una
chance de mantener la seguridad de la informacin de la empresa dentro de niveles razonables.
La informacin es la sangre de todas las organizaciones y puede existir en muchas formas. Puede
ser impresa o escrita en papel, almacenada electrnicamente, transmitida por correo electrnico,
mostrada en pelculas o hablada en una conversacin. En el ambiente de negocio competitivo de hoy,
tal informacin est constantemente bajo amenaza de muchas fuentes. stas pueden ser internas,
externas, accidentales o maliciosas. Con el uso creciente de la nueva tecnologa, al almacenar,
transmitir y recuperar la informacin, hemos abierto un gran nmero y tipo creciente de amenazas .
Hay una necesidad de establecer una poltica comprensiva de seguridad de la informacin dentro de
todas las organizaciones. Usted necesita asegurar la confidencialidad, integridad y disponibilidad de la
informacin corporativa vital y de la informacin del cliente. El estndar para Information Security
Management System (ISMS) BS 7799, ya ha sido rpidamente establecido por los vendedores de
software ms grandes del mundo.
1.1.3 Conceptos
Seguridad Informtica
La Seguridad Informtica suele ser la forma ms habitual con la que nos referimos a todo aquello que
tiene que ver con la seguridad de los ordenadores y los sistemas. Es un concepto muy conocido pero
que est obsoleto. Hace hincapi en la seguridad de los sistemas, teniendo en cuenta las amenazas
de carcter fundamentalmente tecnolgico.
La Seguridad Informtica es un concepto de Seguridad que naci en la poca en la que no existan las
redes de banda ancha, los telfonos mviles o los servicios de internet como las redes sociales o las
tiendas virtuales. Es por ello que la Seguridad Informtica suele hacer un especial nfasis en proteger
los sistemas, es decir, los ordenadores, las redes y el resto de infraestructuras de nuestra
organizacin. La Seguridad Informtica es un concepto fundamentalmente tcnico.
El problema del enfoque de la Seguridad Informtica es que suele perder de vista otros aspectos
importantes para una organizacin y, en la mayora de las ocasiones, cuando nos hablan de
Seguridad Informtica nos parece algo completamente alejado de nuestra actividad diaria.
Seguridad de la Informacin
Estamos ante el trmino ms amplio y conceptual de los tres. Se basa en que lo fundamental es
proteger la informacin y en base a esta premisa se desarrollan todas los dems aspectos relativos a
la seguridad y a las medidas que necesitamos aplicar, as como el lugar donde hay que aplicarla. Es
un concepto que tiene en cuenta, no solamente la seguridad tecnolgica, sino tambin otras facetas
de la seguridad, como son, la seguridad desde el punto de vista jurdico, desde el punto de vista
normativo y desde el punto de vista organizativo.
De los tres conceptos el que ms nos interesa es el de la Seguridad de la Informacin, puesto que es
aquel que nos permitir sacar el mximo provecho a la aplicacin de la seguridad en nuestra
organizacin. Adems, es el ms actual y el ms amplio. Como veremos ms adelante, abarca todos
los aspectos relativos a la proteccin de la informacin. Por tanto, a partir de ahora y para todo lo que
resta del libro, hablaremos de seguridad desde el punto de vista de la Seguridad de la Informacin o
SI. La Seguridad de la Informacin no tiene que ver nicamente con cuestiones tecnolgicas, sino
tambin legales u organizativas, es decir, puede ser aplicada desde tres puntos de vista: legal, tcnico
y organizativo
La Tele-informtica
A menos que la red que trata de proteger se encuentre en un cuarto cerrado con acceso controlado y
no tenga conexiones desde el exterior, sus computadoras estarn en riesgo. Las entradas no
autorizadas y violaciones de seguridad ocurren casi a diario en todo el mundo. Estos infractores no
son slo vndalos en Internet, sino que puede ser el empleado que sustrae tiempo o servicios de la
computadora para su uso personal o mal intencionado.
En este captulo se estudia la seguridad de la informacin, los objetivos que persigue y porqu hoy en
da es una necesidad; por ltimo se presentan las tendencias actuales que afectan la seguridad de
manera que podamos tomar conciencia de la realidad a la que nos enfrentamos.
Desde los primeros das de la computacin, siempre ha existido la necesidad de establecer algn tipo
de control o proteccin sobre el equipamiento y eventualmente la informacin por ellos generada. No
obstante dichos controles y niveles de proteccin, han evolucionado necesariamente, acompaando
el avance en el campo de la informtica y las comunicaciones.
As como inicialmente, los nicos mecanismos de proteccin pasaban por ejemplo, por proteger
fsicamente el acceso al cuarto donde se albergaban los grandes computadores, con guardias de
seguridad; conforme la computacin fue evolucionando hacia equipos ms pequeos y al alcance de
mayor cantidad de usuarios, este modelo dejo de ser eficiente, debiendo complementar este tipo de
controles fsicos, con aquellos ms relacionados con aspectos de seguridad lgica.
Del mismo modo, la proliferacin de las redes de datos, requiri de nuevos cambios en los modelos de
seguridad a aplicar por parte de las diferentes organizaciones, que preocupadas por la seguridad de la
informacin relacionada con su actividad, requeran establecer ya no solo controles sobre los equipos,
sino tambin sobre el transporte de datos. En tal sentido, sin dudas el mayor impacto respecto de la
seguridad relacionada con computadoras hasta nuestros das, lo haya provocado el advenimiento de
Internet y con el, la interconexin de redes mencionadas a menudo como no seguras, muchas veces
ms all de nuestro propio control.
La informacin y los sistemas de procesamiento, por un lado, y los sistemas de comunicaciones y las
redes que le brindan apoyo son importantes recursos de toda empresa moderna. Hoy en da son
esenciales para el normal desenvolvimiento de las tareas, es decir, si una empresa no tiene
informacin se paraliza, piense que sucede si se corta el acceso a Internet en una empresa moderna,
los usuarios, especialmente los gerentes, comienzan a impacientarse, porque no pueden enviar y
recibir sus correos electrnicos, o porque no pueden consultar las ltimas noticias de los mercados en
la WEB, estos ejemplos bastan para darnos una idea de cuan necesaria es la informacin, entonces
cunto ms necesaria es la seguridad de la informacin para garantizar que la empresa siga
funcionando.
Los medios tcnicos nos brindan un nivel de seguridad limitado, y debe ser respaldado por una
gestin y procedimientos adecuados, es decir, la administracin de la seguridad de la informacin, que
exige la participacin de todos los empleados de la organizacin y en algunos casos tambin puede
requerir la participacin de proveedores, clientes y accionistas. Asimismo, puede solicitarse el
asesoramiento experto de organizaciones externas para garantizar un nivel de seguridad adecuado
para nuestra organizacin.
Los millones de personas que participan en la liberalidad de la red no son conscientes de la realidad,
como ejemplo presentamos a continuacin algunos indicadores:
El nmero de vulnerabilidades de los sistemas de informacin que se han comunicado a la
base de datos Buqtraq se ha cuadruplicado desde el inicio de 1998
El comit editorial conocido como "Common Vulnerabilities and Exposures" (CVE), formado por
20 organizaciones relacionadas con la seguridad, incluyendo fabricantes de software de
seguridad e instituciones acadmicas, han publicado, en 1999, ms de 1000 vulnerabilidades
maduras y bien conocidas en la lista CVE
El Instituto de Seguridad Informtica (Computer Security Institute) y el FBI investigaron
conjuntamente 643 casos de infracciones de seguridad informtica realizadas contra empresas
de los EE.UU., agencias estatales, instituciones financieras, centros mdicos y universidades,
comprobando que el 90% de las entidades analizadas haban sufrido ataques informticos en
el ltimo ao. 273 organizaciones informaron prdidas financieras por este tema que
ascendan a 270 millones de dlares ("2000 Computer Crime y Security Survey")
Ataques pasivos: Las agresiones pasivas son el tipo de las escuchas o monitorizaciones ocultas de
las transmisiones. La meta del oponente es obtener informacin que est siendo transmitida. Existen
dos tipos de agresiones: divulgacin del contenido de un mensaje o anlisis del trfico.
La divulgacin del contenido de un mensaje se entiende fcilmente. Una conversacin telefnica, un
mensaje de correo electrnico o un fichero transferido pueden contener informacin sensible o
confidencial. As, sera deseable prevenir que el oponente se entere del contenido de estas
transmisiones.
El segundo tipo de agresin pasiva, el anlisis del trfico, es ms sutil. Suponga que tenemos un
medio de enmascarar el contenido de los mensajes u otro tipo de trfico de informacin, aunque se
capturan los mensajes, no se podra extraer la informacin del mensaje. La tcnica ms comn para
enmascarar el contenido es el cifrado. Pero incluso si tenemos proteccin de cifrado, el oponente
podra ser capaz de observar los modelos de estos mensajes. El oponente podra determinar la
localizacin y la identidad de los computadores que se estn comunicando y observar la frecuencia y
la longitud de los mensajes intercambiados. Esta informacin puede ser til para extraer la naturaleza
de la comunicacin que se est realizando.
Las agresiones pasivas son muy difciles de detectar ya que no implican la alteracin de los datos. Sin
embargo, es factible impedir el xito de estas agresiones. As, el nfasis para tratar estas agresiones
est en la prevencin antes que la deteccin.
Las agresiones activas presentan caractersticas opuestas a las agresiones pasivas. Mientras que una
agresin pasiva es difcil de detectar, existen medidas disponibles para prevenirlas. Por otro lado, es
bastante difcil prevenir una agresin activa, ya que para hacerlo se requerira proteccin fsica
constante de todos los recursos y de todas las rutas de comunicacin. Por consiguiente, la meta es
detectarlos y recuperarse de cualquier perturbacin o retardo causados por ellos. Ya que la deteccin
tiene un efecto disuasivo, tambin puede contribuir a la prevencin.
Si bien muchos de los crmenes relacionados con computadoras, son novedosos y especficos, otros
no son ms que la evolucin de crmenes para los cuales nicamente a cambiado el medio. De este
modo por ejemplo, delitos comunes como el fraude han visto en la utilizacin de la computacin y las
redes de datos, el mbito ideal donde potenciarse.
Para comprender el porque de la tendencia al alza en cuanto a los crmenes relacionados con
computadoras, basta con revisar el rol que estas desempean hoy en da a nivel mundial. La
informacin es considerada uno de los activos mas valiosos, esta es generada, manipulada y
almacenada por medio de computadoras, pequeos dispositivos y redes de datos mientras que
coincidentemente, las organizaciones se vuelven cada vez mas dependiente de los sistemas y
servicios de informacin, por tanto no existe motivo por el cual pensar que estos datos pasaran
desapercibidos por aquellos que buscan algn tipo de rdito en la concrecin de un crimen.
Un ejemplo comn es cuando una persona comienza a robar informacin de websites o causa daos
a redes de computadoras o servidores. Estas actividades pueden ser absolutamente virtuales, porque
la informacin se encuentra en forma digital y el dao aunque real no tiene consecuencias fsicas
distintas a los daos causados sobre los ordenadores o servidores. En algunos sistemas judiciales la
propiedad intangible no puede ser robada y el dao debe ser visible. Un ordenador puede ser fuente
de evidencia y, aunque el ordenador no haya sido directamente utilizado para cometer el crimen, es un
excelente artefacto que guarda los registros, especialmente en su posibilidad de codificar la data. Esto
ha hecho que la data codificada de un ordenador o servidor tenga el valor absoluto de evidencia ante
cualquier corte del mundo.
En todo delito de los llamados informticos, hay que distinguir el medio y el fin. Para poder encuadrar
una accin dolosa o imprudente dentro de este tipo de delitos, el medio por el que se cometan debe
ser un elemento, bien o servicio, patrimonial del mbito de responsabilidad de la informtica, y el fin
que se persigue debe ser la produccin de un beneficio al sujeto o autor del ilcito; una finalidad
deseada que causa un perjuicio a un tercero.
A grandes rasgos, los delitos que de forma ms frecuente se cometen en un medio tan ilimitado como
es Internet son:
Vulneracin de la intimidad de las personas, invadiendo por ejemplo los correos electrnicos o
interceptando el envo de documentos.
Alteracin, destruccin en datos, programas o documentos electrnicos ajenos. En este tipo
delictivo se incluiran conductas como, por ejemplo, los actos de sabotaje contra soportes
electrnicos, o la introduccin de virus electrnicos para causar daos.
El espionaje industrial informtico, previsto con el fin de proteger los secretos empresariales.
Las estafas informticas, en las que se utiliza Internet como medio de comunicacin annimo:
es un lugar ideal para cometer este tipo de delitos.
La pornografa infantil, que se ha visto favorecida precisamente por ese anonimato que
proporciona la red.
Las injurias y las calumnias. Generalmente se cometen en foros o por correo electrnico.
Los delitos contra la propiedad industrial e intelectual. Internet se muestra como un medio de
lo ms propicio para vulnerar los derechos de autor mediante, por ejemplo, la reproduccin sin
permiso de los contenidos que configuran una pgina web.
Quines cometen delitos informticos? Las personas que cometen los "Delitos Informticos" son
aquellas que poseen ciertas caractersticas que no presentan el denominador comn de los
delincuentes, esto es, los personas que tienen destreza para el manejo de computadoras y
generalmente por su situacin laboral se encuentran en lugares estratgicos donde se maneja
informacin de carcter sensible, o bien son hbiles en el uso de los sistemas informatizados, an
cuando, en muchos de los casos, no desarrollen actividades laborales que faciliten la comisin de este
tipo de delitos. Con el tiempo se ha podido comprobar que los autores de los delitos informticos son
muy diversos y que lo que los diferencia entre s es la naturaleza de los delitos cometidos. De esta
forma, la persona que "entra" en un sistema informtico sin intenciones delictivas es muy diferente del
empleado de una institucin financiera que desva fondos de las cuentas de sus clientes. Los
delincuentes de la informtica son tan diversos como sus delitos; puede tratarse de estudiantes,
terroristas o figuras del crimen organizado. Estos delincuentes pueden pasar desapercibidos a travs
de las fronteras, ocultarse tras incontables enlaces o simplemente desvanecerse sin dejar ningn
documento de rastro.
Los indicadores anteriores, nos han permitido conocer algunos datos generales respecto de la
tecnologa y sus problemas de seguridad asociados. Lo cierto es que cada nueva implementacin de
sistemas y tecnologa, presupone riesgos. Parte del propsito de este capitulo, no es otro que el de
formar profesionales que comprendiendo dichos riesgos, sean capaces de plantear estrategias
eficaces con el fin de minimizar el mismo, afectando lo menos posible el propsito original para el cual
dichos sistemas o tecnologas fueron creadas.
Un aspecto que a menudo es pasado por alto, radica en el hecho de que l a seguridad debe ser
incumbencia de todos y no tan solo de los especialistas. Esto no solo es aplicable dentro de las
organizaciones, sino que tambin debera serlo en relacin al individuo como parte activa de la
sociedad de la informacin.
La dependencia respecto de los sistemas de informacin a la cual nos refiriramos anteriormente,
provoca que por ejemplo el eventual ataque a los sistemas de un banco, no solo pueda impactar
negativamente en su propio negocio, sino que a su vez probablemente existan cientos de clientes que
producto de dicho ataque, hayan visto comprometida por ejemplo su confidencialidad o privacidad. Del
mismo modo, cuando un proveedor de software no toma en serio la seguridad de sus productos,
deberamos comprender que las implicancias de este tipo de asuntos, podra inclusive tener impacto a
niveles de seguridad nacional, puesto que los gobiernos, al igual que cualquier organizacin del
mbito privado, a menudo utiliza en diferentes mbitos el mismo software que el resto de las
organizaciones. Que sucedera por ejemplo, si se distribuyera un nuevo gusano en condiciones de
explotar una nueva vulnerabilidad en alguno de los sistemas operativos utilizados en el servicio de
asistencia 911? cual sera el impacto de dicho servicio inoperable por horas o das?
En un mundo globalizado y altamente dependiente de la tecnologa, todos debemos entender nuestro
grado de responsabilidad respecto de los temas de seguridad de la informacin. Algunos desde
posiciones de estado, otros desde la visin del profesional calificado en tareas relativas a seguridad
de la informacin y otro tan solo como simples usuarios y/o consumidores de sistemas y tecnologa.
Las infracciones de seguridad afectan a las organizaciones de diversas formas. Con frecuencia, tienen
los resultados siguientes:
Prdida de beneficios
Perjuicio de la reputacin de la organizacin
Prdida o compromiso de la seguridad de los datos
Interrupcin de los procesos empresariales
Deterioro de la confianza del cliente
Deterioro de la confianza del inversor
Consecuencias legales: en muchos estados o pases, la incapacidad de proteger un sistema
tiene consecuencias legales; un ejemplo es Sarbanes Oxley, HIPAA, GLBA, California SB
1386.
Las infracciones de seguridad tienen efectos de gran repercusin. Cuando existe una debilidad en la
seguridad, ya sea real o slo una percepcin, la organizacin debe emprender acciones inmediatas
para garantizar su eliminacin y que los daos queden restringidos.
Muchas organizaciones tienen ahora servicios expuestos a los clientes, como los sitios Web. Los
clientes pueden ser los primeros en observar el resultado de un ataque. Por lo tanto, es esencial que
la parte de una compaa que se expone al cliente sea lo ms segura posible.
Es muy importante que una organizacin realice un examen consciente de su actual situacin
respecto a la seguridad, este anlisis permitir tomar acciones en caso que el resultado indique que
se encuentra en una situacin comprometida. El examen implica los siguientes pasos:
Identificacin de activos
Evaluacin de vulnerabilidades
Identificacin de amenazas
Estimacin de los riesgos
Estas cuatro acciones le ayudarn a identificar cuales recursos vale la pena proteger, y a valorizarlos,
debido a que algunos son ms importantes que otros, adems esta evaluacin le ayudar a la hora de
definir los recursos econmicos y humanos destinados para su proteccin.
1.2.2 Activos
Cada organizacin tiene activos y recursos valiosos. La identificacin de activos es el proceso por
medio del cual una compaa intenta valuar la informacin y sus sistemas. En algunos casos, es tan
simple como contabilizar las licencias de software; estas valuaciones de activos fsicos son parte de
un proceso de contabilizacin normal que una empresa debera realizar en forma rutinaria. La parte
ms dificultosa del proceso de identificacin de activos es intentar asignarle un valor a la informacin.
En algunos casos, podra ayudarnos si intentamos determinar qu sucedera en caso que la
informacin se pierda o se vuelva no disponible. Si la ausencia de esta informacin provoca que el
negocio se detenga, esta informacin es muy valiosa y se podr valuar segn el costo que le
provoque a la empresa esta detencin.
Es importante identificar todos los recursos de la red que podan verse afectados por un problema de
seguridad. Podemos mencionar los siguientes ejemplos de activos asociados a sistemas de
informacin:
Confidencialidad
Recursos de informacin: bases de datos y archivos, documentacin de sistemas, manuales
de usuario, material de capacitacin, procedimientos operativos o de soporte, planes de
continuidad, disposiciones relativas a sistemas de emergencia para la reposicin de
informacin perdida ("fallback"), informacin archivada.
Recursos de software: software de aplicaciones, software de sistemas, herramientas de
desarrollo y utilitarios.
Activos fsicos: equipamiento informtico (procesadores, monitores, computadoras porttiles,
mdems), equipos de comunicaciones (routers, PABXs, mquinas de fax, contestadores auto-
mticos), medios magnticos (cintas y discos), otros equipos tcnicos (suministro de
electricidad, unidades de aire acondicionado), mobiliario, lugares de emplazamiento.
Servicios: servicios informticos y de comunicaciones, utilitarios generales, por ej.,
calefaccin, iluminacin, energa elctrica, aire acondicionado.
Recursos humanos.
1.2.3 Vulnerabilidades
Probablemente las capacidades de seguridad del software y los sistemas utilizados en la organizacin
es el rea de mayor inters para el especialista de seguridad. A travs del estudio de estas
capacidades, podr detectar las vulnerabilidades y fortalecer el sistema antes que los
malintencionados se aprovechen.
Hasta hace poco tiempo, muchos desarrolladores de sistemas operativos no prestaban especial
atencin a las caractersticas de seguridad. Por ejemplo, un sistema operativo muy popular utiliza un
esquema de seguridad que descansa en un logon y password, pero cuando aparece el mensaje de
logon, en lugar de ingresar las credenciales, todo lo que tiene que hacer es un click sobre el botn
Cancelar y el sistema le permitir utilizar la mayora de las capacidades de red y acceso local a todos
los recursos. Esto es peor que no tener seguridad, porque muchos usuarios pensando en estas
caractersticas supondrn que tienen un sistema seguro. Esto no es as, y como resultado ocurren
muchos hurtos de informacin.
Tambin encontramos vulnerabilidades en los protocolos, por ejemplo, el protocolo TCP/IP (Transfer
Control Protocol/Internet Protocol) utilizado por la mayora de las redes corporativas, fue diseado
para permitir comunicaciones en un ambiente confiable. Mientras es muy robusto en su manejo de
errores, es por naturaleza inseguro. Por esta razn muchos ataques modernos ocurren a travs del
protocolo TCP/IP (En la Unidad 5 - Ataques y Contramedidas, se tratan los aspectos de seguridad
relativos a este protocolo).
Los sistemas operativos y programas de aplicacin han sido vulnerables a ataques internos y externos
por mucho tiempo. Las compaas de software quieren vender software que sea fcil de utilizar, con
interfaces grficas, y fcilmente configurables. Los usuarios quieren lo mismo. Desafortunadamente,
esta facilidad de uso y configuracin generalmente crea problemas de seguridad adicionales. Por
ejemplo, uno de los productos ms populares en la actualidad permite que los e-mails y attachments
puedan ejecutar programas embebidos en un mensaje. Esto permite crear mensajes de e-mail con
fantsticas presentaciones, pero tambin permite que los mensajes puedan llevar virus que pueden
daar la computadora y desparramarse hacia otras redes. El desarrollador de este software ha
desarrollado una actualizacin de seguridad, pero se observa que cada vez que se introduce una
actualizacin, alguien encuentra una forma de saltearla.
Este problema se ha vuelto de tanta importancia que los desarrolladores han puesto a disposicin de
los clientes soporte de seguridad on-line. En el pasado, se ocultaban las vulnerabilidades, pensando
que ayudaba a la seguridad del software; hoy en da se hacen pblicas y se proveen las soluciones
tan pronto como se descubren las vulnerabilidades. Esto, por otro lado, tambin ayuda a los Hackers
quienes conocen que estos cambios no sern realizados en muchos sistemas por un tiempo. Es decir,
el progreso hasta ahora ha sido la peor pesadilla del experto en seguridad, pero hay esperanzas que
esto cambie en el futuro porque muchos desarrolladores de sistemas estn replanteando las medidas
de seguridad, porque han reconocido que los productos que entregan no pueden proteger a las
organizaciones que los utilizan de la prdida de datos o abusos.
El modelo STRIDE de Microsoft proporciona una estructura para identificar las amenazas y los
posibles puntos dbiles:
Paso gran parte del tiempo volando alrededor del mundo y conversando con empresarios y
profesionales de TI acerca de la seguridad de la informacin. Jams dejo de asombrarme cuando
escucho que algunos expertos en seguridad, que cobran ms de lo que deberan, pasan horas
detallando cun compleja es la seguridad. No lo es. La seguridad puede resumirse en dos palabras
simples: Gestin de riesgos. No se trata de la eliminacin de riesgos, se trata de la mitigacin de
riesgos.
Kai Axford, CISSP, Estratega en Seguridad Senior de Microsoft Trustworthy Computing Group
Los requerimientos a cubrir en el rea de seguridad se identifican mediante una evaluacin metdica
de los riesgos de seguridad. Las erogaciones derivadas de la satisfaccin de las necesidades de
control deben ser equilibradas con respecto al impacto potencial de las fallas de seguridad en los
negocios.
La evaluacin de riesgos es una consideracin sistemtica de los siguientes puntos:
impacto potencial de una falla de seguridad en los negocios, teniendo en cuenta las
potenciales consecuencias por una prdida de la confidencialidad, integridad o disponibilidad
de la informacin y otros recursos.
probabilidad de ocurrencia de dicha falla tomando en cuenta las amenazas y vulnerabilidades
predominantes, y los controles actualmente implementados.
Los resultados de esta evaluacin ayudarn a orientar y a determinar las prioridades y acciones de
gestin adecuadas para la administracin de los riesgos concernientes a seguridad de la informacin,
y para la complementacin de los controles seleccionados a fin de brindar proteccin contra dichos
riesgos y reducirlos a un nivel aceptable.
Es importante llevar a cabo revisiones peridicas de los riesgos de seguridad y de los controles
implementados a fin de:
reflejar los cambios en los requerimientos y prioridades de la empresa;
considerar nuevas amenazas y vulnerabilidades;
corroborar que los controles siguen siendo eficaces y apropiados.
Los riesgos se pueden clasificar por el nivel de importancia y por la severidad de la prdida. Esta
valorizacin es muy til, porque no debera llegar a una situacin donde gasta ms para proteger
aquello que es menos valioso o aquello donde el costo de recuperarlo es inferior al de la prdida.
Entre los factores que tenemos que considerar para realizar una correcta evaluacin del riesgo,
encontramos:
El riesgo de prdida del recurso, que depender de las amenazas a las que est expuesto, las
contra medidas implementadas para protegerlo y sus vulnerabilidades asociadas. Es un arte
que depende del conocimiento y experiencia del evaluador.
La importancia que representa el recurso para la empresa, evaluada segn cada tipo, de
acuerdo a los siguientes factores:
Disponibilidad: es la medida de qu tan importante es tener el recurso disponible todo
el tiempo.
Integridad:es la medida de cun importante es que el recurso o los datos del mismo
sean consistentes. Esto es de particular trascendencia para los recursos de bases de
datos.
Confidencialidad: es la medida de cun importante es que los recursos slo sean
observados por las personas autorizadas.
Para realizar la cuantificacin del riesgo de perder un recurso, podremos asignarle un valor numrico.
Por ejemplo, al riesgo (Ri) de perder un recurso se le asigna un valor de cero a diez, donde cero
indica que no hay riesgo y diez es el riesgo ms alto. Este valor depender de los tipos de amenazas
a las que est expuesto el recurso, de las contra medidas implementadas actualmente y de las
vulnerabilidades conocidas. De manera similar, tambin se le puede asignar un valor entre cero y uno
a la importancia que representa el recurso para la empresa (Wi), donde cero significa que no tiene
importancia y uno la importancia ms alta.
La evaluacin general del riesgo (WRi) de cada recurso ser entonces el producto numrico del valor
del riesgo y su importancia. Es decir, WRi = Ri * Wi. Tambin podemos calcular el riesgo general de la
red, de la siguiente manera: WR = S (WRi) / S (Wi).
Supongamos, como ejemplo, una red simplificada con un router, un servidor y un bridge.
Los administradores de la red y de sistemas han producido las estimaciones siguientes para el riesgo
y la importancia de cada uno de los dispositivos que forman nuestra red: Como se ve, a cada uno de
los componentes del sistemas, se le ha asignado un cierto riesgo y una cierta importancia. Hay que
destacar que estos valores son totalmente subjetivos, dependen exclusivamente de quien quienes
estn realizando la evaluacin. Tenemos, entonces:
Router: R1 = 6
W1 = 7
Bridge: R2 = 6
W2 = 3
Servidor: R3 = 10
W3 = 10
La tabla que sigue a continuacin, nos muestra cmo podramos llevar a cabo esta tarea de una
manera ordenada y los valores que contiene son los que hemos tratado:
Recurso del sistema Riesgo (Ri) Importancia (Wi) Riesgo evaluado
(Ri * Wi)
Nmero Nombre
1 Router 6 7 42
2 Bridge 6 3 18
3 Servidor 10 10 100
Vemos que, en este caso, el recurso que debemos proteger ms es el Servidor ya que su riesgo
ponderado es muy alto. Por tanto, comenzaremos por buscar las probables causas que pueden
provocar problemas con los servicios brindados por l. Hay que tener muy en cuenta que, al realizar el
anlisis de riesgo,se deben identificar todos los recursos (por ms triviales que parezcan) cuya
seguridad est en riesgo de ser quebrantada. Ahora bien, cules son los recursos? Los recursos que
deben ser considerados al estimar las amenazas a la seguridad son solamente seis: Hardware,
Software, Datos, Gente, Documentacin, Accesorios.
Segn el estndar ITIL, los servicios deben ser recuperables dentro de Los parmetros convenidos
de confidencialidad e integridad.
Estas amenazas necesitan ser identificadas, clasificadas por categora y evaluadas para calcular la
magnitud de perdidas potenciales. Si bien es cierto que el riesgo real es difcil de medir, la priorizacin
de los riesgos potenciales, nos permitir conocer cual de ellos necesita ser tratado en primera
instancia.
Sin dudas esta es una visin simplificada, pero no obstante nos permite observar claramente que tipo
de informacin es la requerida a efectos de conocer el riesgo asociado a cada uno de los activos
dispuestos en nuestra organizacin.
Ahora bien, el equipo de gestin del riesgo tiene como objetivo primario, garantizar que la
organizacin se encuentra protegida ante los riesgos, teniendo en cuenta la relacin costo-beneficio
de la implementacin de controles. Este equipo, deber estar conformado por personal de las reas
sustantivas de la organizacin incluyendo IT y seguridad de la informacin.
Sus funciones se encontrarn relacionadas con la proposicin y mantenimiento de la Poltica de
Gestin de Riesgos, la redaccin de procedimientos, las tareas de anlisis de riesgos, la definicin de
mtricas, la capacitacin y concientizacin del personal, la elaboracin de documentacin y la
integracin de la Gestin de Riesgos al proceso de control de cambios, de modo tal que su poltica y
procesos relacionados se encuentren siempre actualizados.
Por ultimo, es de suma importancia recordar que una vez identificado, el riesgo puede ser Mitigado
(por medio de la implementacin de contramedidas, controles o salvaguardas), Transferido
(mediante la adquisicin de plizas de seguro) o Aceptado (riesgo aceptable), pero nunca
Rechazado o Ignorado.
1.3.8 Normativa
Por lo general, existe una relacin directa entre los objetivos del negocio y las computadoras e
informacin que con ellas es procesada. Debido a la importancia que la informacin y su
procesamiento tiene para toda organizacin, directores y gerentes deberan hacer de la proteccin de
sus activos de informacin un punto de mxima prioridad y proveer el soporte, tiempo, fondos y
recursos necesarios, a efectos de garantizar que los sistemas, redes e informacin, se encuentran
protegidos de la manera mas lgica posible (costo/beneficio).
Para que el plan de seguridad de una compaa sea implementado en forma exitosa, este necesita ser
de incumbencia de la alta gerencia de la organizacin, definitivamente no debe circunscribirse al rea
de IT o al rea de seguridad, y debe ser tratado con un enfoque del tipo TopDown. Esto significa que
debe nacer o surgir desde los niveles ms altos, pero ser til y funcional en cada nivel dentro de la
organizacin.
La gerencia debera comprender las regulaciones, leyes y responsabilidades que le afectan directa o
indirectamente, as como tambin ser capaz de definir que necesita ser protegido y que no. Al mismo
tiempo estos necesitan determinar que es lo que se espera del empleado en relacin con la seguridad
de la informacin y que consecuencias deberan asumir en caso de no cumplir con las normativas
establecidas. Estas decisiones deberan ser tomadas por quienes de acuerdo a la posicin que
ocupan dentro de la organizacin, son considerados el ultimo responsable, en caso de que algo
salga mal.
Un programa de seguridad, contiene todas y cada una de las piezas necesarias para proporcionar
proteccin a la organizacin. A fin de proveer la coordinacin necesaria para que estas piezas
funcionen del modo esperado. Un programa de seguridad debe incluir polticas, procedimientos,
estndares, guidelines, baselines, un programa de concientizacin de usuarios, un plan de respuesta
a incidentes, un programa de compliance, etc. El desarrollo de normativa, a menudo requiere de
equipos multidisciplinarios. Departamentos de legales y recursos humanos necesitan involucrarse en
el desarrollo de alguno de estos puntos, formando parte del equipo encargado del desarrollo de este
conjunto de documentos.
1.4.1 CONCEPTOS
1.4.2 Exposicin
Solemos referirnos bajo el termino Exposicin, a la instancia en la cual la informacin o un activo de
informacin, es susceptible a daarse o perderse por el accionar de un agente de amenaza. La
exposicin, no significa que el evento que produce la perdida o dao del recurso este ocurriendo,
solo significa que podra ocurrir dado que existe una amenaza y una vulnerabilidad que esta podra
explotar. Una vulnerabilidad, expone a una organizacin a un posible dao. Si la administracin de
contraseas en una organizacin es dbil, y no existen reglas que regulen su fortaleza, la
organizacin podra encontrarse expuesta a la posibilidad de que las contraseas de sus usuarios
sean adivinadas o capturadas, y utilizadas de modo no autorizado. Si una organizacin no realiza
revisiones frecuentes, respecto del estado de su cableado elctrico, y no posee controles efectivos
contra incendios en el lugar, se expone a si misma a incendios potencialmente devastadores.
1.4.3 Contramedidas
Un proceso de suma importancia a la hora de asegurar cualquier sistema de informacin, es la
seleccin de contramedidas. Formalmente, el trmino Contramedida o Salvaguarda es utilizado
para referirnos a cualquier tipo de medida que permita detectar, prevenir o minimizar el riesgo
asociado con la ocurrencia de una amenaza especfica. Eventualmente las Contramedidas o
Salvaguardas suelen recibir el nombre de Controles.
Podemos realizar una clasificacin de las amenazas segn su origen, as encontramos las siguientes
categoras:
Amenazas fsicas: Las amenazas fsicas se relacionan con la posibilidad de obtener acceso fsico a
los recursos. La mayora de los sistemas de computacin han desarrollado altos niveles de
sofisticacin para cuidarse de las amenazas externas. Sin embargo, estos sistemas generalmente son
vulnerables a ataques, sabotaje y robos originados en el interior.
Los sistemas deben operar en un ambiente controlado, sobre todo debemos proteger el acceso fsico
a la consola de administracin de los equipos, generalmente en los dispositivos de networking es un
puerto particular y en los servidores la consola de administracin se representa por el acceso desde
el teclado conectado al servidor.
Estos accesos representan un punto crtico de vulnerabilidad, porque desde el puerto de consola se
puede acceder a la mayora de las funciones administrativas de los equipos.
Existen varias medidas que se pueden implementar para mantener a los intrusos fuera del alcance de
los recursos, por ejemplo, puertas, locks, sistemas de vigilancia y sistemas de alarma, junto con
tcnicas biomtricas para el control de acceso al sistema.
Generalmente se emplean tcnicas denominadas, ingeniera social, para burlar los sistemas de
vigilancia, a travs de estas tcnicas los intrusos se aprovechan de la confianza natural que posee el
ser humano, por ejemplo, alguien ingresa a su edificio vestido con un uniforme y el logo
correspondiente, se aproxima a la recepcionista y se identifica como tcnico de la empresa mayorista
que provee las impresoras y le dice que viene a realizar el servicio tcnico preventivo
correspondiente. En la mayora de los casos la recepcionista le permitir pasar y le indicar donde
estn las impresoras. El atacante ha conseguido ingresar a su organizacin y probablemente con el
mismo truco pueda seguir accediendo a distintas reas (en la Unidad 5 - Ataques y Contramedidas, se
ver en mayor detalle este ataque y las formas de defendernos).
Catstrofes naturales: Desastres naturales son aquellos desastres provocados por la naturaleza
como los tornados, inundaciones, terremotos o fuertes tormentas elctricas. Generalmente ocasionan
grandes prdidas, principalmente porque su consecuencia casi inmediata es la interrupcin del
servicio informtico, es decir la disponibilidad de la informacin. Para que tengamos una idea de la
magnitud del problema, si nos situamos en los Estados Unidos, la prdida horaria por interrupcin de
energa elctrica es de ms de u$s 100.000 en las transacciones de comercio electrnico, y asciende
a u$s 8 millones para las operaciones de bolsa.
Error Humano: Es el que se produce por impericia o negligencia y el alcance del mismo es, de hecho,
impredecible. Esta afirmacin es muy importante porque cualquier incidente de seguridad informtica
genera costos que se relacionan con el dao producido.
Algunos de los incidentes ms comunes que podemos mencionar, son los siguientes:
Exposicin de datos personales de clientes.
Olvido de hacer un backup o hacerlo mal.
Codificar aplicaciones con errores involuntarios que las hacen vulnerables.
Desconectar involuntariamente servidores que estn brindando un servicio on-line.
Brindar informacin sobre la organizacin a personas desconocidas.
Elegir una password fcilmente vulnerada, o por otro lado, anotarla en un lugar de fcil acceso
porque no la puede recordar.
Software ilegal: Los programas de computadoras estn protegidos por las leyes de derechos de
autor y por los tratados internacionales. Mucha gente no se da cuenta de que usar software copiado
ilegalmente es un hurto y que el uso de software ilegal puede acarrear consecuencias serias a una
empresa, sus gerentes y sus empleados. Desafortunadamente, algunas veces se ignora el hecho de
que el software tiene un valor econmico. Sin embargo, el software es un elemento crtico de varios
aspectos del funcionamiento de su empresa y por lo tanto debe administrarse y registrarse como
cualquier otro activo. La adquisicin y administracin legal del software es un elemento esencial de los
negocios, debido a que:
Es una condicin que la empresa debe cumplir para mantenerse dentro de un marco de
legalidad.
Si tiene cualquier problema con el software, recibir soporte del fabricante y de sus
distribuidores autorizados.
Podr recibir aviso de actualizaciones, este punto es muy importante debido a que
continuamente se encuentran vulnerabilidades asociadas a los programas, el desarrollador se
encarga de realizar una actualizacin que solucione este problema, y la hace disponible on-line
para los usuarios registrados.
El software ilegal, o comnmente llamado "software pirata" tiene muchas formas y puede entrar a su
empresa de diversos modos, a continuacin enumeramos las formas ms comunes de piratera:
Copia en la oficina: Tal vez la forma de piratera de software al nivel de usuario final es la
copia sin licencia que ocurre en el lugar de trabajo. Tpicamente, un negocio compra una o
varias licencias de un producto y a medida que las necesidades de los usuarios crecen se
hacen copias ilegales a partir de uno de los programas con licencia.
Piratera en la red: Ocurre en redes de computadoras cuando un nmero mayor de usuarios
que el permitido por la licencia accede al programa de computadora. Varios administradores de
red fallan en reconocer que esto es una violacin de las leyes de derechos de autor, y no
controlan ni limitan adecuadamente el uso.
Piratera en Internet: La piratera de software ha crecido dramticamente con la expansin de
Internet. Los programas pueden ser descargados o enviados por correo electrnico a
individuos que no tienen una licencia.
Vendedores : A menudo, el canal de ventas al pblico puede ser la fuente de software ilegal.
Los vendedores de computadoras frecuentemente venden computadoras con software ya
instalado. Desafortunadamente, en algunas ocasiones, estas computadoras han sido cargadas
con software sin licencia.
Falsificacin: Los falsificadores tratan de engaar al consumidor para convencerlo de que
est comprando un producto legtimo. Aunque el paquete y los manuales pueden tener la
apariencia de un producto familiar, en realidad son falsificaciones. Para evitar esto deber
asegurarse de adquirir el software en compaas distribuidoras autorizadas.
Cdigo Malicioso: El cdigo malicioso, es quizs la amenaza con mayor prensa y la ms temida por
todos los usuarios en general. Cdigo malicioso es todo programa que genera algn tipo de problema
en la computadora en la cual se ejecuta, ya sea robo o destruccin de informacin, prdida de
productividad, prdida de privacidad, etc. Incluye a los virus, gusanos, caballos de Troya, espas,
puertas traseras y software de control remoto subrepticio. Es de prever que el problema de cdigo
malicioso ir en aumento en el mundo ya que su propagacin se ve facilitada por la conectividad de
Internet. El cdigo malicioso est evolucionando no en complejidad de tcnicas de programacin, sino
respecto de las artimaas de que se vale para que el usuario ejecute el programa y lo active. Por
supuesto que en muchos casos se explotan vulnerabilidades de los programas de correo electrnico,
pero quienes programan este tipo de cdigo suponen que los mensajes en los que est adjunto sern
ledos mayoritariamente con slo incorporar un asunto tal como "I love you". Este virus gener
prdidas por ms de u$s 8.700 millones globalmente considerados. Si bien muchas empresas son
afectadas por cdigo malicioso, uno de los principales afectados por este tipo de ataques es Microsoft,
quien a consecuencia de los daos provocados por Cdigo Rojo y Nimda perdi importantes clientes
que utilizaban IIS y que migraron a plataformas de Linux o Unix por considerarlas ms seguras.
En la sociedad, existen leyes que rigen el correcto comportamiento y mecanismos para encargarse de
los problemas originados por su no cumplimiento. En las organizaciones, se utilizan las polticas para
describir las reglas y expectativas, y los procedimientos para describir los cursos de accin para
encargarse de los problemas. Estas polticas y procedimientos permiten que cada uno comprenda el
punto de vista y la importancia que le otorga la organizacin a cada tpico, y que podra ocurrir si su
comportamiento no se ajusta.
Las polticas no deberan ser documentos estticos que permanezcan inalterables para siempre,
debern ser revisadas o revocadas conforme se produzcan cambios en el ambiente que di origen a
su creacin. Por ejemplo, antes que Internet se vuelva popular, muchas empresas utilizaban BBSs
(Bulletin Board Systems) para intercambiar informacin, cuando dejan este sistema para utilizar
Internet, la vieja poltica debera ser cancelada y reemplazada por una nueva poltica de acceso a
Internet.
En particular, las Polticas de Seguridad se enfocan en la necesidad de proteger los datos y sistemas
en una organizacin garantizando la confidencialidad, integridad y disponibilidad de la informacin. Es
decir, no slo incluye los archivos en un servidor, sino tambin el servidor mismo, y los dispositivos de
comunicacin que permiten a los usuarios acceder a los datos. Por ejemplo, se puede definir una
poltica para tratar todo lo referente a seguridad fsica de un edificio de oficinas y la potencial
amenaza de acceso no autorizado. sta, puede enunciar que el pblico en general debe permanecer
en la recepcin, frente al escritorio, pero los sitios mas all de este punto son slo para empleados.
Adems se debern definir procedimientos que indiquen los pasos a seguir cuando no se cumple la
poltica, por ejemplo, cuando se encuentra una persona no autorizada en una zona restringida.
Una Poltica de Seguridad, a menudo es referida como una declaracin de alto nivel en la cual se
establece el rol que se espera ocupe la seguridad de la informacin dentro de la organizacin. En una
poltica de seguridad, la gerencia establece el modo en que un programa de seguridad de la
informacin ser llevado a cabo, presenta las metas del programa, asigna responsabilidades,
demuestra el valor estratgico y tctico de la seguridad y se refiere a diferentes aspectos que se
requieren a fin de reforzar la seguridad.
La Poltica de Seguridad, ms all de presentar directivas de alta gerencia, definir la filosofa
organizacional de seguridad de la informacin y definir como se desarrollar el programa de
seguridad, debe cumplir con ciertas premisas bsicas entre las que se encuentran:
Debe ser independiente de la tecnologa y las soluciones
Debe definir responsabilidades y autoridades para la implantacin de la seguridad informtica
Debe ser de carcter abreviado y de alto nivel
Debe encontrarse alineada con la poltica general de la organizacin
Debe determinar las normativas generales que deben cumplirse
Al momento de establecer una Poltica de Seguridad de la Informacin, deben tambin ser tenidas en
cuenta las siguientes consideraciones:
Esta debe ser dictada por un Comit de Seguridad
Debe ser aprobada por las mximas autoridades
Debe ser comunicada a todo el personal y terceros
El personal y los terceros deben aceptar formalmente la Poltica
Debe encontrarse integrada con la Poltica de Gestin de Riesgos
Debe ser escrita en lenguaje claro y sin ambigedades
Debe ser consistente con las normativas legales y corporativas existentes
1.6.2 Estndares
Bajo el trmino de Estndar, generalmente nos referimos a un tipo especial de documento,
relacionado con la definicin de acciones, reglas, actividades mandatorias y regulaciones. Los
estndares pueden ser internos o de mandato externo a la organizacin (leyes del gobierno y
regulaciones). En lneas generales, los estndares especifican la forma de poner en prctica un
objetivo de la poltica, definen el uso de una determinada tecnologa o la aplicacin de una
determinada solucin de una manera uniforme. A fin de ejemplificar la diferencia entre poltica y
estndar, podramos imaginar por ejemplo, una sentencia de nuestra Poltica de Seguridad de la
Informacin, en donde se especifica: Se proteger la red de la organizacin de accesos no
autorizados desde redes externas mientras que el Estndar refirindose al mismo punto,
probablemente mencione algo as como: Se implementarn equipos Firewall para el control de
accesos a cada DMZ y a la LAN de la organizacin.
1.6.3 Baselines
Existen una serie de definiciones para describir el trmino Baseline. En el sentido ms estricto, un
Baseline, puede referir a un punto en el tiempo que pueda ser utilizado como una comparacin con
futuros cambios. Una vez que se han mitigado los riesgos y los sistemas han sido asegurados, un
Baseline es formalmente revisado y aceptado, despus de lo cual futuras implementaciones pueden
ser comparadas contra lo expresado en este documento. Debido a sus caractersticas propias, un
documento de Baseline suele ser utilizado como un punto de referencia constante. Los Baseline,
tambin son utilizados para definir el mnimo nivel de proteccin requerido por un sistema, aplicativo o
dispositivo. En el campo de la seguridad, Baselines especficos pueden ser definidos por tipo de
sistemas, a efectos de documentar los seteos necesarios en relacin al nivel de proteccin que se
espera que estos provean.
Hemos mencionado que los Baselines determinan como deben ser configurados los distintos aspectos
de seguridad de acuerdo a las diferentes tecnologas. Veamos cual sera en el ejemplo introducido en
los indicadores anteriores, el rol del Baseline:
Poltica: Se proteger la red de la organizacin de accesos no autorizados desde redes
externas
Estndar: Se implementarn equipos Firewall para el control de accesos a cada DMZ y a la
LAN de la organizacin.
Baseline: Permitir en el puerto XX el trfico YY, etc
1.6.4 Guidelines
Las Guidelines son acciones recomendadas y guas operacionales dirigidas a usuarios, al
departamento de IT, al departamento de operaciones y a otros, cuando un estndar especfico no es
de aplicacin. Las Guidelines pueden encontrarse relacionadas con metodologas respecto de
cuestiones tecnolgicas, del personal o de la seguridad fsica. Mientras que los estndares son reglas
especficas y de cumplimiento obligatorio, las Guidelines suelen ser ms generales y flexibles. En
resumen, las Guidelines no son otra cosa que definiciones generales establecidas para colaborar con
el cumplimiento de los objetivos de las polticas, proporcionando un marco en el cual implementar
controles adicionales. Es importante insistir en que debido a sus caractersticas, las Guidelines tienen
carcter de Recomendacin pero no son obligatorias.
Poltica: Se proteger la red de la organizacin de accesos no autorizados desde redes
externas
Estndar: Se implementarn equipos Firewall para el control de accesos a cada DMZ y a la
LAN de la organizacin.
Baseline; Permitir en el puerto XX el trfico YY, etc
Guideline; Los administradores de red sern capacitados sobre la implementacin y
configuracin de Firewalls
1.6.5 Objetivo
El principal objetivo de una poltica de seguridad es hacer conocer al personal administrativo,
gerentes, y dems usuarios, sus obligaciones respecto a la proteccin de los recursos tecnolgicos e
informacin. La poltica especificara los mecanismos a travs de los cuales se debera regir para
cumplir estas responsabilidades. Otra finalidad es proporcionar una referencia a partir de la cual
disear, configurar y/o auditar sistemas de computacin y redes.
La poltica de seguridad tambin permite guiar y proporcionar apoyo gerencial para lograr los objetivos
que la empresa desea en cuanto a confidencialidad, integridad y disponibilidad de la informacin. En
consecuencia, si una organizacin comienza a implementar medidas de proteccin sin tener al menos
una poltica de seguridad tcita o sobreentendida estara cometiendo un grave error, porque los
medios tcnicos no bastan para brindar seguridad, sino que deben estar apoyados por las polticas y
procedimientos correspondientes.
1.6.6 Responsabilidades
Como comentamos anteriormente, un aspecto importante de la poltica de seguridad es asegurar que
todos saben cal es su responsabilidad para mantener la seguridad.
La poltica debe garantizar que cada tipo de problema, an aquellos desconocidos, est asociado con
alguien que pueda manejarlo de manera responsable, de esta manera se evitarn incidentes o, al
menos, se minimizar su impacto. Esto es muy importante, porque debemos ser conscientes que es
difcil para una poltica de seguridad de red anticipar todas las amenazas posibles.
Asimismo, pueden existir varios niveles de responsabilidad asociados con una poltica, por ejemplo,
cada usuario deber ser responsable de guardar su contrasea. Un usuario que pone en riesgo su
cuenta aumenta la probabilidad de comprometer otras cuentas y recursos. Por otro lado, los
administradores de red y sistema son responsables de mantener la seguridad general.
1.6.11 Justificacin
Varios son los motivos que justifican la puesta en marcha de un proceso de clasificacin de
informacin. El primero y mas evidente, es sin dudas el hecho de que no todos los datos/informacin
tienen el mismo valor. Por su parte no todo el mundo debe acceder a todos los datos/informacin. Al
margen de los motivos mencionados, cada vez con ms frecuencia las organizaciones se encuentran
obligadas a cumplir con aspectos legales o regulatorios, y por consiguiente a encarar un proceso
formal de clasificacin de de informacin, el cual les permita establecer en forma exacta el nivel de
proteccin que debe ser otorgado a cada conjunto de datos. En nuestro pas, la ley de Proteccin de
Datos Personales o Habeas Data, es un claro ejemplo de este tipo de requerimientos, debido a que
los controles o medidas de seguridad requeridos para las organizaciones que administren datos
mencionados en la ley como sensibles, es superior al requerido a aquellas organizaciones que no
lidien con este tipo de datos.
Por ultimo, es de suma importancia notar que como norma general, toda informacin que no sea de
naturaleza pblica, debe clasificarse.
Es importante aclarar que estos modelos tradicionales, solo tienen en cuenta la sensibilidad de la
informacin al momento de su clasificacin. Por otro lado, tambin es de importancia conocer que una
organizacin puede optar por utilizar tan solo dos niveles de clasificacin, mientras que otra puede
requerir ms.
1.6.17 Difusin
Una vez escrita y acordada la poltica de seguridad, la organizacin debe asegurar que la declaracin
de la poltica se difunda y discuta en profundidad y a conciencia, para cumplir este objetivo, se
disponen de varias herramientas, por ejemplo podrn utilizarse listas de distribucin, publicacin en la
Intranet, o mediante educacin interna, a travs de seminarios de entrenamiento o charlas, de
acuerdo al tamao de la organizacin y las necesidades del momento. En definitiva, el objetivo es
garantizar que todo el personal de la empresa conozca y comprenda los lineamientos de la poltica y
se preocupe por su cumplimiento.
1.6.18 Cumplimiento
La organizacin debe garantizar que se lleven a cabo correctamente todos los procedimientos de
seguridad dentro de su rea de responsabilidad. Esto implica una revisin continua de la manipulacin
de informacin que realizan los usuarios, a travs de los logs que entregan los sistemas.
Tambin se debe considerar la implementacin de una revisin peridica in-situ de todos los
procedimientos definidos en la poltica para garantizar su cumplimiento. De acuerdo al tamao de la
organizacin y la poltica de seguridad, se deberan considerar las siguientes reas en el proceso de
revisin:
sistemas de informacin
proveedores de sistemas
usuarios
gerentes
Por otro lado, adems del objetivo enunciado anteriormente, se debern verificar los sistemas
operacionales a fin de garantizar que los controles de hardware y software hayan sido correctamente
implementados de acuerdo a las polticas y estndares.
Mediante la conduccin de procesos de Background Checks, la organizacin obtiene entre otros, los
siguientes beneficios:
Verificar que la informacin provista por el candidato es verdadera y actualizada
Obtener una primera idea acerca del nivel de integridad del candidato
Prevenir empleados no calificados
Evitar incorporar personas con tica o moral alterados
Prevenir posibles conflictos con el personal existente
Prevenir posibles prdidas por acciones fraudulentas
Prevenir acciones legales (De parte de empleados despedidos, 3ras partes por negligencia en
la contratacin del personal, de parte de otros empleados por violencia, malos tratos, etc.)
Metas de EISA:
Proporcionar estructura, coherencia y cohesin
Debe permitir un alineamiento del negocio hacia la seguridad
Principios inicio-fin definidos con estrategias de negocio
Asegurar que todos los modelos e implementaciones pueden ser trazados hacia atrs hasta la
estrategia de negocio, especficamente requerimientos de negocio y principios clave
Proveer abstraccin para que factores complicados puedan ser eliminados y reinstalados en
niveles de detalle diferente slo cuando sean requeridos
Establecer un lenguaje comn para la seguridad de la informacin dentro de la organizacin
Donde sea posible, todo lo anterior debera estar relacionado explcitamente con la estrategia de la
organizacin, metas y operaciones. La Arquitectura de Seguridad de Informacin en la Empresa
documentar el estado actual de los componentes tcnicos de seguridad listados arriba, as como un
estado ideal futuro deseado (Arquitectura de Referencia) y finalmente un estado meta futuro resultado
de los sacrificios y compromisos de ingeniera frente al ideal. Esencialmente el resultado es un
conjunto de modelos anidados e interrelacionados, usualmente dirigidos y mantenidos con software
especializado disponible en el mercado.
Semejante descripcin exhaustiva de las dependencias de la TI se ha solapado notablemente con la
metadata, en el sentido general de la IT, y con el concepto ITIL (Information Technology Infrastructure
Library - Biblioteca de Infraestructura de Tecnologas de la Informacin) de la Configuracin de los
Gestores de Bases de Datos. Mantener la precisin de esa informacin puede ser un desafo
importante. Junto con los modelos y diagramas se incluye un conjunto de mejores prcticas dirigidas a
la adaptabilidad de la seguridad, escalabilidad, manejabilidad etc. Estas mejores prcticas de
sistemas de ingeniera no son nicas a la Arquitectura de Seguridad de Informacin en la Empresa
pero son esenciales sin embargo para su xito. Conllevan cosas como modularidad, comunicacin
asncrona entre ms componentes, estandarizacin de identificadores clave y dems.
Aplicaciones exitosas de la Arquitectura de Seguridad de Informacin en la Empresa requieren una
posicin adecuada en la organizacin. La analoga con el plano de una ciudad es con frecuencia
invocada en esta relacin por ser instructiva. Un resultado intermedio de un proceso de arquitectura
es un inventario extenso de la estrategia de seguridad del negocio, procesos de seguridad del
negocio, cuadros organizacionales, inventarios de seguridad tcnicos, diagramas de sistema e interfaz
y topologas de red, as como de las relaciones explcitas entre ellos. Los inventarios y diagramas son
simplemente herramientas que apoyan la toma de decisiones. Pero esto no es suficiente. Debe ser un
proceso viviente. La arquitectura de Seguridad de Informacin en la Empresa es un componente clave
del proceso de gobierno de tecnologa de Seguridad de Informacin en cualquier organizacin de
tamao significativo. Cada vez ms compaas estn implementando procesos formales de
arquitectura de seguridad en la empresa para respaldar el gobierno y la gestin de la TI. Sin embargo,
como ya se indic en el primer prrafo de este artculo, se relaciona perfectamente de forma ms
general a la prctica de la optimizacin del negocio en lo que se refiere a la arquitectura de seguridad
del negocio, realizacin de la gestin as como de la arquitectura de seguridad de procesos. La
Arquitectura de Seguridad de informacin de la Empresa est tambin relacionada con la gestin de la
seguridad de la cartera de la TI y el sentido de la metadata en la empresa de TI.
Aunque el orange book describe cuatro clases, realmente los divide en dos categoras: sistemas que
incorporan controles de acceso discrecionales (categora C), con seguridad limitada a un nico nivel
de seguridad, y sistemas que incorporan controles de acceso obligatorios, que permiten procesar
informacin de diferentes niveles de seguridad (categoras A y B).
Los controles de acceso discrecionales exigen un proceso de identificacin y verificacin del usuario a
la entrada al sistema. Una vez verificado que se trata de un usuario autorizado, este podr acceder a
toda la informacin que no tenga definidas restricciones de acceso. Un ejemplo de este tipo de
controles es el mecanismo de permisos de UNIX: cuando un usuario crea un objeto, puede o no definir
un conjunto de permisos de manipulacin para l, su grupo y los restantes usuarios. Los controles de
acceso obligatorios requieren mltiples niveles de seguridad. Los objetos y sujetos del sistema deben,
obligatoriamente, tener un nivel de seguridad asociado. El sistema no debe permitir la creacin de
objetos o usuarios sin definir su nivel de seguridad, o que sean duplicados total o parcialmente con
diferente nivel de seguridad. Cuando un usuario desea acceder a un objeto, el sistema comprueba los
niveles de ambos y evala si se permite o no el acceso.
Modelo Bell-LaPadula: Uno de los modelos ms conocidos, est basado en mquinas de estados
finitos. De esta forma, el modelo consiste en la definicin de un conjunto de variables de estado y
funciones de transicin y un estado inicial, considerado seguro. As, si podemos probar que todas las
transiciones son seguras y que nos llevan a estados considerados seguros, podemos mediante
induccin demostrar que el sistema es seguro. el modelo de seguridad Bell-Lapadula , llamado as por
sus creadores David Elliott Bell y Len LaPadula, consiste en dividir el permiso de acceso de los
usuarios a la informacin en funcin de etiquetas de seguridad. Por ejemplo, en sistemas militares
norteamericanos, categorizndola en 4 niveles: no clasificado, confidencial, secreto y ultra secreto.
Este modelo se centra en la confidencialidad y no en la integridad. Se distinguen 2 tipos de entidades,
sujetos y objetos. Se define estados seguros y se prueba que cualquier transicin se hace de un
estado seguro a otro. Un estado se define como estado seguro si el nico modo de acceso permitido
de un sujeto a un objeto est en concordancia con la poltica de seguridad. Para determinar si un
modo de acceso especfico esta permitido, se compara la acreditacin de un sujeto con la clasificacin
del objeto (ms precisamente, la combinacin de la clasificacin y el conjunto de compartimientos)
para determinar si el sujeto esta autorizado para el modo de acceso especificado. El esquema de
clasificacin/acreditacin se expresa en trminos de un retculo. El modelo define 2 reglas de control
de acceso mandatorio (MAC) y una regla de control de acceso discrecional (DAC) con 3 propiedades:
1. Propiedad de seguridad simple: Un sujeto de un dado nivel de seguridad no puede leer un
objeto perteneciente a un nivel de seguridad ms alto.
2. Propiedad (Propiedad estrella): Un sujeto de un dado nivel de seguridad no debe escribir un
objeto perteneciente a un nivel de seguridad ms bajo. (Tambin llamada propiedad de
confinamiento)
3. Propiedad de seguridad discrecional: Se utiliza una matriz de acceso para especificar el
control de acceso discrecional
Con Bell-La Padula, los usuarios pueden crear contenido solo en su nivel de seguridad o por encima
(i.e, investigadores en el nivel secreto pueden crear archivos secretos o super secretos pero no
archivos pblicos). Inversamente, los usuarios pueden ver solamente contenido de su propio nivel o
inferior. El principio de tranquilidad del modelo de Bell-La Padula establece que la clasificacin de un
sujeto u objeto no cambia mientras est siendo referenciada. Hay 2 formas para el principio de
tranquilidad: el principio de tranquilidad fuerte establece que los niveles de seguridad no cambian
durante la operacin normal del sistema y el principio de tranquilidad dbil establece que los niveles
de seguridad no cambian de una manera que violen las reglas de una dada poltica de seguridad.
Modelo Brewer-Nash: llamado tambin muralla china(Chine Wall). Creado para proveer un tipo de
control de acceso, capaz de cambiar dinmicamente dependiendo de las acciones previas realizadas
por el usuario. Su principal objetivo es el de prevenir el conflicto de intereses.
Para reducir riesgo en un ambiente, se debe utilizar una estrategia de la defensa-en-profundidad para
proteger recursos contra amenazas externas e internas. Defensa en profundidad (llamado a veces
seguridad en profundidad o seguridad de varias capas) se toma de un trmino militar usado para
describir las contramedidas de la seguridad para formar un ambiente cohesivo de seguridad sin un
solo punto de falla. Las capas de la seguridad que forman la estrategia de defensa-en-profundidad
deben incluir medidas protectoras que implementen desde sus routers externos completamente a la
localizacin de los recursos y a todos los puntos entre ellos.
Por capas mltiples se implementa seguridad, y se debe ayudar a asegurar una capa si se
compromete la misma, Las otras capas proporcionarn la seguridad necesaria para proteger los
recursos. Por ejemplo, el compromiso del Firewall de una organizacin no debe proporcionar acceso
del atacante a los datos ms sensibles de la organizacin. Cada capa debe proporcionar idealmente
diversas formas de contramedidas para evitar que el mismo mtodo de ataque sea utilizado en las
diferentes capas. Se debe invertir en una proteccin multi-vendor contra virus si es posible. Tambin
es necesario asegurarse de que la proteccin de virus est configurada en diversos puntos como
gateway, server, clientes etctera. Para reducir al mnimo la posibilidad de que un ataque contra una
organizacin tenga xito, se debe utilizar el mayor nmero posible de niveles de defensa. Defender
una organizacin en profundidad implica el uso de varios niveles de defensa. Si un nivel se ve
comprometido, ello no conlleva necesariamente que tambin lo est toda la organizacin. Como
directriz general, se debe disear y crear cada nivel de la seguridad bajo el supuesto de que se ha
conseguido infringir la seguridad. Realizar los pasos necesarios para proteger el nivel en el que se
est trabajando.
Adems, hay muchas formas de proteger cada nivel individual mediante herramientas, tecnologas,
directivas y la aplicacin de las recomendaciones. Por ejemplo:
Nivel de directivas, procedimientos y concienciacin: programas educativos de seguridad para
los usuarios
Nivel de seguridad fsica: guardias de seguridad, bloqueos y dispositivos de seguimiento
Nivel perimetral: servidores de seguridad de hardware, software o ambos, y creacin de redes
privadas virtuales con procedimientos de cuarentena
Nivel de red de Internet: segmentacin de red, Seguridad IP (IPSec) y sistemas de deteccin
de intrusos de red
Nivel de host: prcticas destinadas a reforzar los servidores y clientes, herramientas de
administracin de revisiones, mtodos seguros de autenticacin y sistemas de deteccin de
intrusos basados en hosts.
Nivel de aplicacin: prcticas destinadas a reforzar las aplicaciones y el software antivirus
Nivel de datos: listas de control de acceso (ACL) y cifrado
Generalmente, los usuarios no tienen en cuenta la seguridad cuando realizan sus tareas diarias. Una
directiva de seguridad para una organizacin debe definir:
El uso aceptable.
El acceso remoto.
La proteccin de la informacin.
La copia de seguridad de los datos.
La seguridad del permetro.
La seguridad de los dispositivos y hosts bsicos.
Una directiva debe comunicar consenso y proporcionar el fundamento para que el departamento de
Recursos Humanos acte en el caso de que se infrinja la seguridad. Tambin puede ayudar a
demandar a quienes logren infringir la seguridad.
Una directiva de seguridad debe proporcionar a la organizacin un procedimiento de tratamiento de
incidentes apropiado. Debe definir:
Las reas de responsabilidad.
El tipo de informacin que debe registrarse.
El destino de esa informacin.
Qu acciones emprender tras un incidente.
Una directiva de seguridad adecuada suele ser el fundamento del resto de prcticas de seguridad.
Cada directiva debe ser lo suficientemente general para poder aplicarse en distintas tecnologas y
plataformas. Al mismo tiempo, debe ser lo suficientemente especfica para proporcionar a los
profesionales de IT orientacin sobre cmo implementar la directiva.
El mbito de la directiva de seguridad de una organizacin depende del tamao y complejidad de sta.
En muchas organizaciones hay consejos disponibles sobre cmo crear directivas de seguridad, por
ejemplo, en http://www.sans.org/ y http://www.iss.net/.
Los intrusos pueden usar estratagemas sociales para aprovecharse de los usuarios que no son
conscientes de los problemas de seguridad que pueden surgir en su lugar de trabajo o que los
desconocen. Para los usuarios, muchas medidas de seguridad parecen innecesarias y, por lo tanto, no
las siguen. Muchos ataques implican el uso de estratagemas sociales. Ciertos artificios sociales se
aprovechan de la despreocupacin por la seguridad con que la mayor parte de los usuarios actan en
su vida diaria. Un intruso puede emplear su tiempo de ocio o de trabajo en intentar conocer a los
usuarios y ganarse su confianza. Aunque un intruso formule preguntas aparentemente inofensivas, la
informacin que obtiene en conjunto le proporciona los medios para llevar a cabo o iniciar un ataque.
Para contrarrestar estas amenazas de estratagemas sociales, las organizaciones deben implementar
procedimientos claros y precisos, y procesos que deban cumplir todos los empleados, adems de
entrenarlos en el uso de estas directivas. Cada funcin que se desempee debe tener instrucciones
claras y documentadas.
Siempre se requieren programas de aprendizaje sobre seguridad para detallar estos procesos y
procedimientos. Las instrucciones deben formar una imagen completa de la seguridad de modo que
los usuarios entiendan la necesidad de disponer de seguridad en todos los niveles y en todas las
ocasiones. Una directiva de seguridad combina las necesidades de seguridad y la cultura de una
organizacin. Se ve afectada por el tamao de la organizacin y sus objetivos. Algunas directivas
pueden ser aplicables a todos los sitios pero otras son especficas de ciertos entornos. Una directiva
de seguridad debe equilibrar la posibilidad de control con la necesidad de productividad. Si las
directivas son demasiado restrictivas, los usuarios siempre encontrarn formas de omitir los controles.
Una organizacin debe demostrar un compromiso en la administracin con respecto al grado de
control definido en una directiva; de lo contrario, no se implementar correctamente.
Instalaciones elctricas: Trabajar con computadoras implica trabajar con electricidad. Por lo tanto
esta una de las principales reas a considerar en la seguridad fsica. Adems, es una problemtica
que abarca desde el usuario hogareo hasta la gran empresa. En la medida que los sistemas se
vuelven ms complicados se hace ms necesaria la presencia de un especialista para evaluar riesgos
particulares y aplicar soluciones que estn de acuerdo con una norma de seguridad industrial.
Picos y Ruidos Electromagnticos: Las subidas (picos) y cadas de tensin no son el nico
problema elctrico al que se han de enfrentar los usuarios. Tambin est el tema del ruido que
interfiere en el funcionamiento de los componentes electrnicos. El ruido interfiere en los datos,
adems de favorecer la escucha electrnica.
Cableado: Los cables que se suelen utilizar para construir las redes locales van del cable telefnico
normal al cable coaxial o la fibra ptica. Algunos edificios de oficinas ya se construyen con los cables
instalados para evitar el tiempo y el gasto posterior, y de forma que se minimice el riesgo de un corte,
rozadura u otro dao accidental. Los riesgos ms comunes para el cableado se pueden resumir en los
siguientes:
Interferencia: estas modificaciones pueden estar generadas por cables de alimentacin de
maquinaria pesada o por equipos de radio o microondas. Los cables de fibra ptica no sufren
el problema de alteracin (de los datos que viajan a travs de l) por accin de campos
elctricos, que si sufren los cables metlicos.
Corte del cable: la conexin establecida se rompe, lo que impide que el flujo de datos circule
por el cable.
Daos en el cable: los daos normales con el uso pueden daar el apantallamiento que
preserva la integridad de los datos transmitidos o daar al propio cable, lo que hace que las
comunicaciones dejen de ser fiables.
En la mayor parte de las organizaciones, estos problemas entran dentro de la categora de daos
naturales. Sin embargo tambin se pueden ver como un medio para atacar la red si el objetivo es
nicamente interferir en su funcionamiento. El cable de red ofrece tambin un nuevo frente de ataque
para un determinado intruso que intentase acceder a los datos. Esto se puede hacer:
Desviando o estableciendo una conexin no autorizada en la red: un sistema de administracin
y procedimiento de identificacin de acceso adecuados har difcil que se puedan obtener
privilegios de usuarios en la red, pero los datos que fluyen a travs del cable pueden estar en
peligro.
Haciendo una escucha sin establecer conexin, los datos se pueden seguir y pueden verse
comprometidos.
Luego, no hace falta penetrar en los cables fsicamente para obtener los datos que transportan.
Cableado de Alto Nivel de Seguridad: Son cableados de redes que se recomiendan para
instalaciones con grado de seguridad militar. El objetivo es impedir la posibilidad de infiltraciones y
monitoreos de la informacin que circula por el cable. Consta de un sistema de tubos (hermticamente
cerrados) por cuyo interior circula aire a presin y el cable. A lo largo de la tubera hay sensores
conectados a una computadora. Si se detecta algn tipo de variacin de presin se dispara un sistema
de alarma.
Emisiones Electromagnticas: Desde hace tiempo se sospecha que las emisiones, de muy baja
frecuencia que generan algunos perifricos, son dainas para el ser humano.
Segn recomendaciones cientficas estas emisiones podran reducirse mediante filtros adecuados al
rango de las radiofrecuencias, siendo estas totalmente seguras para las personas. Para conseguir que
las radiaciones sean mnimas hay que revisar los equipos constantemente y controlar su
envejecimiento.
Acciones Hostiles
Robo: Las computadoras son posesiones valiosas de las empresas y estn expuestas, de la
misma forma que lo estn las piezas de stock e incluso el dinero. Es frecuente que los
operadores utilicen la computadora de la empresa para realizar trabajos privados o para otras
organizaciones y, de esta manera, robar tiempo de mquina. La informacin importante o
confidencial puede ser fcilmente copiada. Muchas empresas invierten millones de dlares en
programas y archivos de informacin, a los que dan menor proteccin que la que otorgan a
una mquina de escribir o una calculadora. El software, es una propiedad muy fcilmente
sustrable y las cintas y discos son fcilmente copiados sin dejar ningn rastro
Fraude: Cada ao, millones de dlares son sustrados de empresas y, en muchas ocasiones,
las computadoras han sido utilizadas como instrumento para dichos fines. Sin embargo,
debido a que ninguna de las partes implicadas (compaa, empleados, fabricantes, auditores,
etc.), tienen algo que ganar, sino que ms bien pierden en imagen, no se da ninguna
publicidad a este tipo de situaciones.
Sabotaje: El peligro ms temido en los centros de procesamiento de datos, es el sabotaje.
Empresas que han intentado implementar programas de seguridad de alto nivel, han
encontrado que la proteccin contra el saboteador es uno de los retos ms duros. Este puede
ser un empleado o un sujeto ajeno a la propia empresa. Fsicamente, los imanes son las
herramientas a las que se recurre, ya que con una ligera pasada la informacin desaparece,
aunque las cintas estn almacenadas en el interior de su funda de proteccin. Una habitacin
llena de cintas puede ser destruida en pocos minutos y los centros de procesamiento de datos
pueden ser destruidos sin entrar en ellos. Adems, suciedad, partculas de metal o gasolina
pueden ser introducidos por los conductos de aire acondicionado. Las lneas de
comunicaciones y elctricas pueden ser cortadas, etc.
Control de Accesos
Controles de Acceso
Estos controles pueden implementarse en el Sistema Operativo, sobre los sistemas de aplicacin, en
bases de datos, en un paquete especfico de seguridad o en cualquier otro utilitario. Constituyen una
importante ayuda para proteger al sistema operativo de la red, al sistema de aplicacin y dems
software de la utilizacin o modificaciones no autorizadas; para mantener la integridad de la
informacin (restringiendo la cantidad de usuarios y procesos con acceso permitido) y para resguardar
la informacin confidencial de accesos no autorizados. Asimismo, es conveniente tener en cuenta
otras consideraciones referidas a la seguridad lgica, como por ejemplo las relacionadas al
procedimiento que se lleva a cabo para determinar si corresponde un permiso de acceso (solicitado
por un usuario) a un determinado recurso. Al respecto, el National Institute for Standars and
Technology (NIST)(1) ha resumido los siguientes estndares de seguridad que se refieren a los
requisitos mnimos de seguridad en cualquier sistema:
Identificacin y Autentificacin
Roles
Transacciones
Limitaciones a los Servicios
Modalidad de Acceso (Se refiere al modo de acceso que se permite al usuario sobre los
recursos y a la informacin )
Ubicacin y Horario
Control de Acceso Interno
Control de Acceso Externo
Administracin
Respuesta: Se refiere a desarrollar estrategias y tcnicas que indiquen cmo proceder ante un
incidente. El desarrollo de una respuesta apropiada involucra varios factores, por ejemplo, la
naturaleza de los ataques y los posibles objetivos, es decir, la estrategia de respuesta no ser la
misma si el incidente fue slo una exploracin de nuestra red o la penetracin de un sistema.
Entonces, cuando ocurra un incidente, debemos contar con un plan de respuesta bien pensado y
testeado, donde encontremos las estrategias de recuperacin y neutralizacin de las amenazas.
La evaluacin de estos objetivos, es una parte importante de los anlisis que se realizan en las
organizaciones para determinar el nivel de seguridad que posee. Si no se han tenido en cuenta en el
desarrollo de su infraestructura probablemente se lleven una sorpresa en cualquier momento, esta
sorpresa no ser agradable, y seguramente sus efectos sean costosos de solucionar.
Este proceso es un esfuerzo continuo e iterativo de parte de la compaa por proteger sus recursos
ms importantes al costo ms conveniente, mientras se reducen los riesgos al nivel apropiado.
1.7.4 Segurizacin
Despus de desarrollar una poltica de seguridad, debe asegurar su red utilizando las tecnologas
disponibles en el mercado (Firewalls, Sistemas de Deteccin de Intrusiones, Routers, VLANs).
Sin embargo, antes que pueda segurizar su red necesita analizar su conocimiento sobre los usuarios,
los activos que necesitan proteccin, los servicios, la topologa de red. Deber tener en cuenta que las
medidas de seguridad deben representar un balance entre un uso transparente para los usuarios y la
mxima seguridad, a un costo razonable.
1.7.5 Monitoreo
Una vez que la red ha sido segurizada, se deber monitorear la actividad en la red. Este proceso
puede realizarse con herramientas sofisticadas como los sistemas de deteccin de intrusiones, que
analizan el trfico de la red en busca de patrones anormales y adems, permiten recibir informacin
de dispositivos similares ubicados en otros puntos de la red. Para completar el monitoreo sera
conveniente activar y analizar todos los das los logs de los servidores y dispositivos de comunicacin
que tengamos en nuestra red. Cuando se detecta un incidente, se debe responder en forma rpida y
apropiada, segn lo que indique la poltica. Algunas de las acciones podrn estar configuradas en los
dispositivos de manera que acten en forma automtica, sin nuestra intervencin, por ejemplo los
sistemas de deteccin de intrusiones podran ejecutar una variedad de acciones, desde realizar un log
del incidente, hasta reconfigurar las polticas de acceso en los dispositivos de comunicacin (Router o
Firewall) para impedir el ingreso del trfico que gener el incidente.
1.7.6 Testing
Peridicamente deber escanear la red en busca de nuevas vulnerabilidades, utilizando herramientas
especialmente diseadas para esta tarea. Est claro que lo mejor es actuar en forma proactiva, es
decir, necesitamos encontrar las vulnerabilidades antes de que se produzca el ataque.
Lamentablemente, es inevitable que aparezcan nuevos "agujeros de seguridad" en un ambiente
creciente y cambiante como el de las redes actuales. Por esta razn deber testear continuamente los
recursos que han sufrido modificaciones, por ejemplo, instalacin de nuevas aplicaciones, sistemas
operativos, nuevos equipos de comunicaciones, Firewalls, routers, switchs, sistemas de deteccin de
intrusiones, antivirus, etc.
1.7.7 Perfeccionamiento
Deber analizar todos los resultados obtenidos a travs de los anteriores pasos del ciclo de seguridad,
luego implementar las contra medidas y mejoras necesarias en la poltica de seguridad de la red para
estar protegido respecto a las ltimas amenazas detectadas. No nos olvidemos del ltimo paso, tan
importante como los otros: comenzar nuevamente el ciclo de la Rueda de Seguridad.
En cierta forma una poltica de seguridad es un plan de administracin de riesgos, porque determina
el umbral de riesgo que una organizacin est dispuesta a aceptar. Esto se debe a varios motivos,
primero podemos afirmar que no existe una tecnologa de seguridad que nos garantice un 100% de
proteccin, pero aunque podemos acercarnos a un ideal, la mayora de las organizaciones no tienen
el presupuesto para implementar todas las medidas de seguridad requeridas. Entonces debemos
implementar la mejor poltica de seguridad que nuestro presupuesto pueda pagar, para lo cual
debemos centrarnos en los recursos ms valiosos y aplicar medidas de proteccin de acuerdo a su
importancia.
1.8 SNTESIS
Por ltimo, la Seguridad de la informacin representa el ndice en que un Sistema Informtico est
libre de todo peligro, dao o riesgo. Esta caracterstica es muy difcil de conseguir en un 100%, en
virtud de esto, normalmente se implementan medidas para acercarse al 100%.
Para garantizar que un sistema sea seguro se deber garantizar las caractersticas de Integridad,
Disponibilidad, Confidencialidad, Control y Autenticidad. Ser conveniente realizar un Anlisis de
Riesgos, para conocer qu es lo que queremos proteger?, de quin lo queremos proteger?, cmo
se puede lograr esto legislativa y tcnicamente?; para luego concluir con la formulacin de estrategias
adecuadas de seguridad tendientes a la disminucin de los riesgos, que se plasmarn en una poltica
de seguridad.
Qu es el modelo de referencia OSI? Esta considerado como el modelo principal para el anlisis
de las comunicaciones en una red. Fue liberado en 1984 y es utilizado por la ISO para describir el
flujo de informacin en una red, basndose en el concepto de modelo estratificado en capas. Este
modelo permite a los desarrolladores disponer de un conjunto de reglas que aseguren mayor
compatibilidad e interoperatibilidad entre las distintas tecnologas de red producidas por empresas en
el mundo entero.
Para que se utiliza IP? Es el protocolo que utiliza internet para encaminar la informacin entre
dispositivos, por este motivo toda maquina que se conecte a Internet debe imprementar este
dispositivo.
IP es el protocolo de capa de red de la familia de protocolos TCP/IP, interacta en esta capa con un
conjunto de protocolos subsiriarios que aportan mensajes de control y resolucin de direcciones
fsicas a direcciones IP
La idea de red de comunicaciones como infraestructura para ofrecer algn servicio de comunicacin
de informacin quizs se remonte muchos siglos atrs. Las redes basadas en el fenmeno de la
electricidad se remontan a mediados del siglo XIX, con la invencin del telgrafo. Pero las redes de
comunicacin de datos, digitales, surgen a partir de la invencin del ordenador moderno, hacia la
dcada de 1960 (aunque existieron mquinas de calcular bastante antes: el baco de los rabes, la
mquina de Leibniz y ya en el siglo XX, el computador ENIAC, basado en vlvulas de vaco).
Los primeros ordenadores con transistores eran equipos grandes y costosos en posesin de unas
pocas empresas (los llamados centros de clculo). Ofrecan los servicios a clientes que se
desplazaban fsicamente para entregar los datos de entrada y recoger los datos de salida. Es decir, al
principio el acceso a los ordenadores era local, a travs de terminales relativamente rudimentarios
conectados a ellos (lectores de tarjetas perforadas con los programas y datos, impresores en papel
continuo, teclados y pantallas de rayos catdicos, a lo sumo).
Con el fin de mejorar los servicios ofrecidos a sus clientes, los centros de clculo habilitaron
terminales en las ubicaciones de aqullos para permitir el acceso remoto, usando mdems y la red
analgica de telefona (la nica realmente extendida en aquella poca). Con el tiempo los
ordenadores empezaron a conectarse entre s para compartir datos y capacidad de proceso entre
ellos, as como terminales de entrada/salida ms sofisticados.
Ya tenemos las redes de ordenadores o de comunicacin de datos. La conectividad entre ordenadores
y terminales requiri la adicin de hardware (los llamados front-end de comunicaciones) y software
(los protocolos de comunicacin). Cada fabricante de ordenadores escogi su propio camino, es decir,
escogi su propia arquitectura de comunicaciones. Pero antes de definir con ms exactitud eso, se
har un breve repaso a la historia de las redes de datos.
Postrimeras de la dcada de 1960: En EUA, ARPA (Advanced Research Projects Agency) promueve
el desarrollo de una red especfica para la comunicacin entre los ordenadores de centros federales
militares y de investigacin. Dicha red deba ser robusta ante fallos de algunos de sus elementos
(topologa en malla con caminos redundantes) y adaptada al trfico generado por los ordenadores (el
paquete como unidad de informacin). Esa red, llamada ARPANet, fue el embrin de lo que hoy
conocemos como Internet.
Principios de la dcada de 1970: IBM presenta su arquitectura de comunicaciones SNA (System
Network Architecture). Poco despus Digital presenta la suya DNA (Digital Network Architecture);
Xerox, en sus laboratorios de Palo Alto (California, EUA) desarrolla una red de mbito local y
topologa en bus bautizada como Ethernet para conectar estaciones de trabajo a elevada velocidad;
en Canad, DATAPAC significa una de las primeras redes pblicas de datos.
Principios de la dcada de 1980: IBM, en sus laboratorios de Zurich (Suiza), desarrolla la red Token
Ring, otra red de mbito local con topologa en anillo y filosofa de acceso diferente al de la red
Ethernet. En 1985, la red SITA desarrollada por y para las compaas de transporte areo est
ampliamente extendida.
En Espaa: A principios de la dcada de 1970 la CTNE (Compaa Telefnica Nacional de Espaa)
presenta su red pblica de datos IBERPAC; la compaa influye de forma notable en la definicin, a
nivel internacional en el CCITT, en la definicin del estndar X.25 para dicho tipo de redes; en 1982 la
red sufre un cambio de tecnologa con la adopcin de equipos propios de fabricacin nacional (los
sistemas TESYS).
Ao 1978: La ISO (International Standards Organization) promueve el desarrollo de un modelo de
referencia para el desarrollo de una arquitectura de comunicaciones para la interconexin de sistemas
abiertos (OSI: Open Systems Interconnection).
Mediados de la dcada de 1990: Explosin de Internet y de las comunicaciones mviles celulares.
Una red de telecomunicaciones sirve para satisfacer la necesidad que tienen los usuarios de transferir
informacin desde un punto origen a un punto destino; como ejemplo podemos citar una conversacin
telefnica, el envo de un fax, etc. A estas necesidades especificas de telecomunicacin que tienen los
usuarios se las denomina servicios finales o teleservicios.
Los servicios portadores son el resultado de la capacidad que tiene la red para transferir informacin
extremo a extremo, independientemente del servicio final que soporte. Mediante estas capacidades
portadoras de la red se prestan los servicios finales.
Los servicios suplementarios o servicios de valor aadido aportan informacin adicional al proceso de
transferencia de informacin entre los puntos A y B, esta informacin adicional no es imprescindible
para la comunicacin. Algunos ejemplos son la tarificacin detallada, informacin del nmero llamante,
el contestador automtico en red, etc.
Los servicios ofrecidos por la telemtica se basan en unas redes de telecomunicaciones conectadas a
unos centros de servicios que ponen a disposicin de los usuarios bancos de datos o programas para
la realizacin de tareas especificas. El usuario tiene acceso a estas redes mediante terminales
apropiados que visualizan y/o procesan la informacin que transmiten las redes. Entre los servicios
telemticos podemos citar los servicios bancarios y el pago electrnico, en los que una red de oficinas
se encuentran interconectadas por medio de una red de datos con los ordenadores centrales o
centros de clculo, desde donde se proporciona, actualiza y procesa la informacin que las
transacciones bancarias requieran.
Desde sus orgenes, la industria de las telecomunicaciones nunca ha experimentado cambios tan
drsticos como en la ultima dcada, donde la liberalizacin y la competencia son las causantes de una
profunda reestructuracin en el mercado de las telecomunicaciones.
Como ya hemos visto, para transportar informacin de un punto a otro ha de haber un camino fsico
entre el origen y el destino, a este medio se le denomina canal de comunicacin. Para que la
informacin enviada por un extremo de ese canal se reciba correctamente en el otro extremo, la
informacin a transmitir tiene que sufrir un proceso de codificacin y adaptacin al medio, siendo
necesario que cumpla una serie de requisitos como son la velocidad, la sincronizacin, etc. En las
redes de comunicaciones de datos generalmente se trata de conectar a dos o ms equipos
informticos para que se puedan transferir informacin entre ellos.
Partimos de la base de que los ordenadores y equipos de datos trabajan con informacin digital
binaria, seal que solo puede tomar dos estados. Cuando estos ordenadores se quieran comunicar,
porque tienen informacin de un usuario para otro, se enviarn mensajes que estn compuestos por
una secuencia de bits que tendrn que codificarse, de manera que el ordenador que los reciba pueda
entender esa informacin y manejarla de la forma adecuada. Las seales que se transmiten por el
canal de comunicacin tendrn que cumplir una serie de requisitos como son el momento exacto y la
velocidad adecuada para el envo de los datos previamente codificados.
Transmisin serie: Este modo de transmisin se caracteriza porque los datos son enviados
uno a uno, bit a bit, uno a continuacin de otro de manera secuencial y por un nico canal de
transmisin. Normalmente se utiliza cuando la distancia entre emisor y receptor es grande, ya
que, a diferencia de la transmisin en paralelo, permite economizar circuitos fsicos o canales
de transmisin.
Transmisin paralelo: En este modo de operacin se envan en cada instante de tiempo
varios datos simultneamente, utilizando para ello varios circuitos entre el emisor y el receptor,
tantos como datos se envan cada vez.
Frente a la transmisin en serie tiene la ventaja de que multiplica la velocidad por el nmero de
datos que se envan simultneamente, pero tiene la desventaja de necesitar varios circuitos,
estando recomendada para pequeas distancias (del orden de unos metros como mximo).
2.3.4 Sincronismo
En la transmisin digital, para que el receptor pueda recuperar la informacin, es absolutamente
necesario que est sincronizado con el emisor, esto es que tengan como referencia la misma base de
tiempos.
Seal aniscrona: Se llama aniscrona a una seal digital cuando los instantes significativos
de la misma aparecen en cualquier momento, sin ninguna restriccin; la duracin de los
impulsos que representan los datos no tienen porqu ser mltiplos.
Seal iscrona: Se llama iscrona a una seal digital cuando los intervalos significativos son
mltiplos de un determinado valor T
Normalmente las seales digitales son generadas teniendo como referencia un reloj o base de
tiempos. Si una seal es generada por un nico reloj todas las transiciones entre elementos sern
mltiplos de un mismo valor T, siendo la seal resultante iscrona.
En los sistemas digitales, la unidad bsica del ancho de banda es bits por segundo (bps). El ancho de
banda es la medicin de la cantidad de informacin, o bits, que puede fluir desde un lugar hacia otro
en un perodo de tiempo determinado, o segundos. Aunque el ancho de banda se puede describir en
bits por segundo, se suelen usar mltiplos de bits por segundo. En otras palabras, el ancho de banda
de una red generalmente se describe en trminos de miles de bits por segundo (kbps), millones de
bits por segundo (Mbps), miles de millones de bits por segundo (Gbps) y billones de bits por segundo
(Tbps). A pesar de que las expresiones ancho de banda y velocidad a menudo se usan en forma
indistinta, no significan exactamente lo mismo. Se puede decir, por ejemplo, que una conexin T3 a
45Mbps opera a una velocidad mayor que una conexin T1 a 1,544Mbps. No obstante, si slo se
utiliza una cantidad pequea de su capacidad para transportar datos, cada uno de estos tipos de
conexin transportar datos a aproximadamente la misma velocidad. Por ejemplo, una cantidad
pequea de agua fluir a la misma velocidad por una tubera pequea y por una tubera grande. Por lo
tanto, suele ser ms exacto decir que una conexin T3 posee un mayor ancho de banda que una
conexin T1. Esto es as porque la conexin T3 posee la capacidad para transportar ms informacin
en el mismo perodo de tiempo, y no porque tenga mayor velocidad.
El ancho de banda vara segn el tipo de medio, adems de las tecnologas LAN y WAN utilizadas. La
fsica de los medios fundamenta algunas de las diferencias. Las seales se transmiten a travs de
cables de cobre de par trenzado, cables coaxiales, fibras pticas, y por el aire. Las diferencias fsicas
en las formas en que se transmiten las seales son las que generan las limitaciones fundamentales en
la capacidad que posee un medio dado para transportar informacin. No obstante, el verdadero ancho
de banda de una red queda determinado por una combinacin de los medios fsicos y las tecnologas
seleccionadas para sealizar y detectar seales de red. Por ejemplo, la actual comprensin de la
fsica de los cables de cobre de par trenzado no blindados (UTP) establece el lmite terico del ancho
de banda en ms de un gigabit por segundo (Gbps). Sin embargo, en la realidad, el ancho de banda
queda determinado por el uso de Ethernet 10BASE-T, 100BASE-TX, o 1000BASE-TX. En otras
palabras, el ancho de banda real queda determinado por los mtodos de sealizacin, las tarjetas de
interfaz de red (NIC) y los dems equipos de red seleccionados. Por lo tanto, el ancho de banda no
slo queda determinado por las limitaciones de los medios.
2.3.7 Tecnologas y equipos de acceso a las redes de datos
Las seales de datos son generadas y almacenadas por dispositivos de procesamiento, generalmente
ordenadores que trabajan de forma digital con datos binarios (bits). Para que estos dispositivos se
puedan comunicar por medio de redes de datos es necesario el envo de la informacin digital a
grandes distancias. Para posibilitar esa comunicacin es necesario conectar a los ordenadores o
controladores de comunicaciones (ETD) con equipos diseados para realizar esta funcin (ETCD).
Para el transporte de datos las seales (bits) pueden ser enviadas de dos formas: de forma digital
adaptando los niveles al medio de transmisin, o bien de manera analgica modulando y
demodulando la seal que se enva. Segn la tcnica utilizada y las tecnologas empleadas para su
desarrollo aparecen distintos dispositivos.
Los dispositivos ETCD ms conocidos y ms usados son los modems, que convierten la seal digital
(fuente de datos) que tiene un gran ancho de banda, en una seal analgica con menor requerimiento
de ancho de banda y apta para el envo a la lnea de transmisin.
La mayora de estos dispositivos siguen unas normas de estandarizacin propuestas por organismos
internacionales como la UIT-T, para de esta manera poder conectar con otros equipos que cumplan
las mismas normas aunque sean de distintos fabricantes.
Otros equipos que tambin trabajan con seales analgicas son los que utilizan tecnologa xDSL
(HDSL, ADSL, VDSL), dispositivos que ltimamente estn teniendo mucho auge, ya que multiplican la
velocidad de la lnea telefnica convencional (par de cobre) hasta valores impensables hace poco
tiempo, permitiendo mantener conversaciones telefnicas simultneamente al envo de datos, un
hecho que no es posible con los mdems tradicionales.
Otro equipo de acceso son las UTR (Unidades de Terminacin de Red), en ocasiones llamados
mdems banda base; estos equipos envan seales digitales adaptadas a la lnea de transmisin,
conformando y filtrando los pulsos digitales con el objetivo de conseguir un requerimiento menor de
ancho de banda que el de la seal original.
Un equipo ms que tambin consigue velocidades muy elevadas es el mdem-cable, estando
orientado principalmente al mercado residencial. Utiliza una tcnica de acceso compartido ya que el
medio de transmisin, cable coaxial, se comparte con todos los usuarios de una zona, edificio o rea
geogrfica; por este motivo y aunque la velocidad sea muy alta, la velocidad real que cada usuario
obtiene depende del nmero que estn conectados en cada momento.
Esta tecnologa hace la competencia en velocidad a los equipos ADSL.
Una ventaja aadida es que por el mismo cable se puede proporcionar a los usuarios varios servicios,
como son la televisin normal y de pago, telefona, acceso a Internet, adems del acceso a otras
redes de datos. Para realizar esto utiliza una tecnologa denominada HFC (Hbrido de Fibra y cable
Coaxial), que consiste en que los tendidos principales de estas redes, por la ciudad o entre distintas
localidades, se realiza con cables de fibra ptica, consiguiendo con ello una capacidad de transmisin
muy alta, para convertir posteriormente la seal en cada zona de la ciudad, pasndola a un cable
coaxial que llega hasta la casa del usuario.
Otro equipo utilizado para acceder a las redes son los modems inalmbricos, que se caracterizan
porque su medio de transmisin no es una lnea o cable conductor sino que envan la seal al espacio
en forma de ondas de radio a determinadas frecuencias. Estos aparatos se distinguen por la
movilidad puesto que no es necesario que estn conectados a un punto de red. Su principal utilizacin
es en entornos industriales, para oficinas mviles dentro de un rea limitada como puede ser un
edificio o bien para lugares donde la instalacin de cables pueda resultar complicado o peligroso; de
cualquier forma siempre su utilizacin est limitada a entornos reducidos.
Tambin podramos citar como equipo de acceso las tarjetas de Red de Area Local (LAN), que tienen
la particularidad de utilizarse para acceso a redes que abarcan distancias cortas, como una oficina o
un edificio. Estas tarjetas utilizan como medio de transmisin el cable de pares o coaxial y es
compartido por todas las tarjetas conectadas al mismo segmento de la red; por este motivo aunque la
velocidad a la que funcionan es muy alta, hasta 1000 Mbit/s, la velocidad efectiva de transferencia de
una tarjeta o estacin de la red es muy inferior a la velocidad a la que puede trabajar la red.
Mdem: La palabra mdem viene de la contraccin de dos palabras MOdulador y DEModulador. Este
equipo con la informacin digital modula una seal para el envo a la lnea de transmisin
(generalmente un canal telefnico con un ancho de banda de 300 a 3400 Hz.) y en el otro extremo del
canal la seal recibida se demodula recuperando los datos procedentes del origen.
UTR (Unidades de terminacin de red): Por UTR se entiende a aquellos dispositivos (ETCD) de
acceso a las redes por medio de pares simtricos, utilizando codificacin en banda base.
El nombre de unidad de terminacin de red se entiende por ser, para el cliente, el interfaz de acceso a
la red y el punto donde termina para la operadora de la misma.
Las velocidades de transmisin llegan hasta 512 Kbps. y las distancias alcanzadas entre las dos UTR
dependern fundamentalmente de la velocidad de transmisin y de la calidad y calibre del par
utilizado.
Las UTR tambin son conocidas como mdem banda base, este trmino no es del todo correcto, ya
que estrictamente hablando no modulan una seal para su envo a la lnea de transmisin, sino que
realizan una adaptacin o transformacin del cdigo binario de entrada para enviarlo al medio de
transmisin.
Esta adaptacin tiene como fin que el ancho de banda de la seal resultante sea menor o su espectro
en frecuencias sea ms estrecho, de esta manera la seal sufre menos distorsin y atenuacin en la
lnea. Las unidades de terminacin de red, al contrario de lo que ocurre con los mdems, no estn
normalizadas por la UIT-T.
Equipos xDSL: Los sistemas xDSL son utilizados para la transmisin de datos a altas velocidades,
pudiendo llegar hasta 52 Mbps utilizando el par de cobre normal. De esta manera se consigue
rentabilizar al mximo la planta exterior instalada, estando en disposicin de llegar a cualquier
domicilio o empresa sin necesidad de tender nuevos cables.
La primera especificacin de la tecnologa xDSL fue definida en 1987 por Bell Communications
Research; al principio se pens en esta tecnologa para suministrar vdeo bajo demanda y televisin
interactiva usando el par telefnico. La familia xDSL (Digital Subscriber Line, lnea de abonado
digital) est englobada por un conjunto de sistemas basados en la utilizacin del bucle de abonado
como lnea de transmisin y cuya diferencia estriba en la utilizacin del espectro de frecuencias y por
supuesto de la velocidad que consiguen alcanzar.
Estos equipos utilizan Multiplexacin por Divisin en Frecuencia (MDF), usando portadoras de
radiofrecuencia hasta de 1 Mhz, de esta manera separan el canal telefnico (300 a 3.400 hz) de los
canales de bajada o recepcin de datos y subida o transmisin.
Habitualmente se utiliza un dispositivo denominado spliter, compuesto de un filtro paso bajo y de
otro paso alto para separar las seales de baja frecuencia de telefona de las de alta frecuencia de
datos.
Como ocurre con los mdems, en estos equipos tambin existen varias formas de alterar la seal
portadora de radiofrecuencia modulndola para enviarla a la lnea de transmisin. Principalmente
estn siendo utilizados tres mtodos de modulacin que son: modulacin en cuadratura (QAM), CAP
(Carrierless Amplitude Phase) y DMT (Discrete Multi-Tone modulation), estos dos ltimos basados en
la modulacin QAM.
ADSL: La UIT-T ha normalizado los dispositivos xDSL bajo la norma colectiva G.990. ADSL
(Asymmetrical Digital Subscribers Line, lnea de abonado digital asimtrica) G992.1 Es el formato
original del que han derivado los otros miembros de la familia.
La denominacin de asimtrica es debida a que las velocidades de transmisin y recepcin son
distintas. La mxima velocidad de bajada con la que llega la informacin a nuestro ordenador puede
ser hasta de 8 Mbit/s; mientras que la velocidad de subida con la que enviamos informacin desde
nuestro ordenador puede llegar a 800 Kbit/s.
El bucle local de abonado puede alcanzar rangos que van desde 1 Km. para una velocidad de 8 Mbit/s
hasta 5 Km. para una velocidad de 2 Mbit/s.
Los equipos ADSL trabajan con un margen de frecuencias mucho mayor que los modems, desde los
24 Khz. hasta 1.100 Khz aproximadamente. Otra diferencia es que al utilizar un modo de transferencia
asimtrico, el equipo situado en el extremo de la central es distinto al equipo del cliente,
denominndose habitualmente ATU R (ADSL Terminal Unit Remote) el del lado del cliente y ATU
C (ADSL Terminal Unit Central) el situado en la central telefnica.
Los servicios ms comnmente prestados por esta tecnologa son el acceso a Internet a alta
velocidad, correo electrnico, vdeo bajo demanda, etc. estando orientado principalmente al usuario
domstico y a pequeos negocios.
ADSL Lite. (G922.2) Es una versin simplificada de ADSL, en la que el mdem del cliente tiene
incluida una versin muy limitada del filtro. La velocidad de bajada en este caso se reduce con
respecto a la versin ADSL normal, llegando 1,5 Mbit/s para una distancia de 3 a 4,5 Km. y la de
subida llega hasta los 64 Kbit/s.
La ventaja que tiene es que su instalacin es ms sencilla, pudiendo hacerla un usuario no
especializado como ocurre con cualquier mdem.
HDSL (High speed Digital Subscribers Line). (G922.1) Esta tecnologa es simtrica, siendo por
tanto iguales las velocidades en ambos sentidos entre el usuario y la red. Utiliza dos pares simtricos
sin carga, uno para cada sentido de transmisin, obteniendo velocidades de 2 Mbit/s para distancias
de 5 Km. Su principal utilizacin es para dar servicios de datos a empresas a velocidades E1/T1 (2
Mbit/s / 1,544 Mbit/s), tambin se puede usar para dar servicio a velocidades de N * 64 Kbit/s.
VDSL (Very high speed DSL) Es un sistema asimtrico desarrollado para su uso en bucles locales
muy cortos, en ocasiones es utilizado en el ltimo tramo del bucle local para proporcionar un acceso
directo a una fibra ptica que conecte con la red. Las velocidades de bajada comienzan desde 13
Mbit/s, pudiendo alcanzar hasta 52 Mbit/s, con 2,3 Mbit/s como canal de retorno hacia la red. El rango
de distancias que puede abarcar va desde 1,3 Km. para una velocidad de 13 Mbit/s a 300 m. para 52
Mbit/s.
Para estudiar las arquitecturas de comunicaciones es conveniente pensar que los objetos en
comunicacin son los procesos de aplicacin y no los sistemas (finales) donde se alojan. Bajo esta
premisa, ya puede intuirse que la tarea de poner en comunicacin dichos procesos puede llegar a ser
muy compleja.
Por eso, la mayora de arquitecturas de comunicaciones estn estructuradas en lo que suelen
llamarse capas o niveles. Las principales ventajas de una estructuracin de ese tipo son:
la modularidad o independencia entre tareas. Permite resolver el problema general en
pequeos problemas, ms simples y resolubles individualmente.
permitir varias alternativas para una misma tarea. Poder disponer de 2 protocolos, elegibles
por la entidad de nivel superior, en funcin de los requisitos necesarios.
la facilidad de cambios parciales. Por ejemplo, cambiar un protocolo por otro sin afectar al
resto del funcionamiento. Una aplicacin de ello podra ser la migracin a una nueva versin
de protocolo desde una anterior (pasar de IP versin 4 a IP versin 6, sin variar el resto de la
torre de protocolos, obteniendo por tanto el beneficio del nuevo estndar en las funciones de
las que especficamente sea responsable).
Durante la dcada de los 60, dentro del marco de la guerra fra, la Agencia de Proyectos de
Investigacin Avanzada del Departamento de Defensa de los Estados Unidos (DARPA) se plante la
posibilidad de que un ataque afectara a su red de comunicaciones y financi equipos de investigacin
en distintas universidades con el objetivo de desarrollar una red de ordenadores con una
administracin totalmente distribuida. Como resultado de la aplicacin de sus estudios en redes de
conmutacin de paquetes, se cre la denominada red ARPANET, de carcter experimental y altamente
tolerable a fallos. Ms adelante, a mediados de los 70, la agencia empez a investigar en la
interconexin de distintas redes, y en 1974 estableci las bases de desarrollo de la familia de
protocolos que se utilizan en las redes que conocemos hoy en da como redes TCP/IP.
El auge de las redes tuvo un comienzo desorganizado desde muchos puntos de vista. A principios de
1980 se experimentaron incrementos importantes en el nmero y tamao de las redes. A medida que
las compaas comprendan las ventajas de utilizar redes, se agregaban o expandan casi tan
rpidamente como surgan y se introducan nuevas tecnologas de red.
A mediados de 1980, estas compaas comenzaron a experimentar problemas ocasionados por la
rpida expansin. Entre las redes de compaas que utilizaron tecnologas privadas o propietarias
surgieron dificultades de incompatibilidad al momento de querer interconectarse o evolucionar.
En un intento por solucionar el problema de la incompatibilidad, la Organizacin Internacional para la
Estandarizacin (ISO) comenz el desarrollo de un modelo de networking, paralelo a los modelos
existentes, como DECnet, SNA y TCP/IP, para definir un conjunto de normas que sean aplicables a
todas las redes; esto permitira a los desarrolladores crear redes que sean compatibles y puedan
intercambiar informacin.
Este desarrollo se denomin Modelo de Referencia OSI (Open System Interconnection), liberado en
1984, y es utilizado por la ISO para describir la comunicacin en una red. Permite a los
desarrolladores disponer de un conjunto de reglas que aseguren mayor compatibilidad e
interoperabilidad entre las distintas tecnologas de red producidas por empresas en el mundo entero.
El modelo de referencia OSI se impuso como el principal modelo para las comunicaciones de red.
Aunque existen otros modelos, la mayora de los desarrolladores relacionaron sus productos al
modelo de referencia OSI y lo utilizan para la capacitacin de los usuarios en el uso de sus productos.
El modelo OSI es considerado la mejor herramienta para la enseanza sobre el envo y la recepcin
de datos en una red. El patrn para la Interconexin de Sistemas Abiertos se basa en un modelo de
protocolos estratificados, cada nivel se desarrolla sobre el anterior, proporcionando un conjunto de
servicios al nivel inmediatamente superior, por lo que el nivel ms alto dispondr de los servicios que
ofrecen todos los niveles inferiores. La comunicacin entre niveles equivalentes de distintos sistemas
es una comunicacin lgica horizontal.
Existen cuatro acciones, denominadas primitivas que son un conjunto de operaciones que sirven para
ofrecer los servicios entre niveles, a estas primitivas acceden los niveles por medio de los Puntos de
Acceso al Servicio (PAS, en ingls SAP Service Access Points). Este es un mtodo que se utiliza
para que los niveles se comuniquen entre s. Estas acciones son:
Solicitud.
Indicacin
Respuesta
Confirmacin
Beneficios del modelo OSI:
Reduce la complejidad
Estandariza las interfaces
Facilita la ingeniera modular
Acelera la evolucin
Facilita la enseanza y el aprendizaje
El intercambio de informacin entre capas se lleva a cabo por medio de un interfaz existente entre las
mismas, este interfaz puede estar compuesto por elementos lgicos y/o fsicos. Los protocolos de
cada uno de los niveles pueden ser diferentes e independientes entre s, lo nico que necesitan es
conocer los servicios que presta el interfaz con la capa inferior. El modelo OSI no especifica de forma
exacta los protocolos y servicios que se utilizarn en cada nivel, nicamente indica las funciones que
debe realizar cada capa, por lo que este modelo no se puede considerar como una arquitectura de
red.
CAPA 7 Aplicacin: Aplicaciones de usuario . Permite que las aplicaciones del usuario utilicen los
servicios de red para acceder a recursos que no se encuentran accesibles localmente. Por ejemplo la
aplicacin navegador web, permite acceder a pginas que se encuentran en servidores en cualquier
lugar del mundo. Algunos protocolos usados son HTTP, FTP, Telnet, SMTP, DNS, SNMP, DHCP,
BOOTP, NTP, TFTP, NDS, etc.
CAPA 6 Presentacin: Formato de datos comn . Se encarga de garantizar que los datos sean
legibles por el sistema receptor. Trabaja con la representacin y estructura de los datos. En esta capa
se puede realizar la encriptacin y compresin de datos. Permite codificar las imgenes, sonidos y
videos en diferentes formatos. Los formatos ms utilizados son:
Audio: wav, mp3, midi
Imgenes: jpg, bmp, gif
Video: avi, swf
Algunos protocolos usados son LPP, XDR, NetBIOS, NCP, X.25 PAD, etc.
Se suele decir que el nombre ms adecuado para la capa de Presentacin hubiera sido el de capa de
representacin. Si el modelo OSI persegua la interconexin de sistemas que fueran realmente
abiertos, deba resolverse el problema de los diferentes formatos con que cada sistema representaba
localmente su informacin (dependiente del fabricante del sistema, de su hardware y de su sistema
operativo). Es ah donde interviene la capa de presentacin.
CAPA 2 Enlace de datos: Tramas y control de acceso al medio . Se encarga de realizar el traslado
confiable de la informacin entre sistemas de computacin fsicamente contiguos, en su camino hacia
el destino final. Entre sus funciones debe garantizar el acceso ordenado de los sistemas al medio
fsico, control de errores y control de flujo. Para identificar los sistemas utiliza direccionamiento fsico,
en las tecnologas de LAN (Local Area Network) se denominan direcciones MAC. Define la topologa
lgica de una red. Las dos topologas lgicas utilizadas en redes LAN son redes de difusin y de
traspaso de token. Algunos protocolos usados son IEEE 802.3 ms conocido como Ethernet
(CSMA/CD), IEEE 802.5 (token passing), FDDI token passing, VLANs, ATM Adaptation Layer, ISDN,
Frame Relay, PPP, SMDS, HDLC, LAP-A, 802.2 (etiquetado de tramas).
CAPA 1 Fsica: Seales y medios . Se encarga del transporte fsico de la informacin entre los
sistemas de computacin. En esta capa encontramos las definiciones elctricas, mecnicas,
funcionales y de procedimientos de los elementos que forman parte de las redes. Aqu encontramos
los diferentes medios fsicos, como cable UTP, coaxial, fibra ptica, etc. Define la topologa fsica de la
red, las ms utilizadas son estrella, bus, y anillo. Son ejemplos de especificaciones de capa fsica: EIA
RS-232C (para enlaces locales de datos entre computadores y perifricos), IEEE 802.3 (una parte de
ella, para redes de rea local Ethernet), CCITT I.430 (para el acceso bsico a la RDSI), etc.
Capa de transporte Capa 4 del modelo OSI . La capa de transporte se encarga de la calidad de
servicio, garantizando, cuando la aplicacin lo requiera, confiabilidad, control de flujo, segmentacin y
control de errores en la comunicacin. Se basa en dos protocolos, TCP (orientado a la conexin) y
UDP (no orientado a la conexin). La capa de transporte transmite informacin TCP o UDP sobre
datagramas IP. En esta capa podamos encontrar problemas de autenticacin, de integridad y de
condencialidad. Algunos de los ataques ms conocidos en esta capa son las denegaciones de
servicio debidas a protocolos de transporte.
En cuanto a los mecanismos de seguridad incorporados en el diseo del protocolo de TCP (como las
negociaciones involucradas en el establecimiento de una sesin TCP), existe una serie de ataques
que aprovechan ciertas deciencias en su diseo. Una de las vulnerabilidades ms graves contra
estos mecanismos de control puede comportar la posibilidad de interceptacin de sesiones TCP
establecidas, con el objetivo de secuestrarlas y dirigirlas a otros equipos con nes deshonestos. Estos
ataques de secuestro se aprovechan de la poca exigencia en el protocolo de intercambio de TCP
respecto a la autenticacin de los equipos involucrados en una sesin. As, si un usuario hostil puede
observar los intercambios de informacin utilizados durante el inicio de la sesin y es capaz de
interceptar con xito una conexin en marcha con todos los parmetros de autenticacin congurados
adecuadamente, podr secuestrar la sesin.
Capa de Internet Capa 3 del modelo OSI . El propsito de la capa de Internet es encaminar paquetes
desde un origen hacia un destino. Se basa fundamentalmente en el Protocolo Internet (IP). En esta
capa se puede realizar cualquier ataque que afecte un datagrama IP. Se incluyen como ataques
contra esta capa las tcnicas de snifng, la suplantacin de mensajes, la modicacin de datos, los
retrasos de mensajes y la denegacin de mensajes. Pueden realizarse mediante aplicaciones que se
conocen con el nombre de sniffers.
Cualquier atacante puede suplantar un paquete si indica que proviene de otro sistema. La suplantaci
n de un mensaje se puede realizar, por ejemplo, dando una respuesta a otro mensaje antes de que lo
haga el suplantado.
En esta capa, la autenticacin de los paquetes se realiza a nivel de mquina (por direccin IP) y no a
nivel de usuario. Si un sistema suministra una direccin de mquina errnea, el receptor no detectar
la suplantacin. Para conseguir su objetivo, este tipo de ataques suele utilizar otras tcnicas, como la
prediccin de nmeros de secuencia TCP, el envenenamiento de tablas cach, etc. Por otro lado, los
paquetes se pueden manipular si se modican sus datos y se reconstruyen de forma adecuada los
controles de las cabeceras. Si esto es posible, el receptor ser incapaz de detectar el cambio.
Capa de acceso de red Capa 1 y 2 del modelo OSI . Esta capa, tambin llamada host a red, se ocupa
de todos los aspectos que involucren convertir un paquete en una trama y transmitirlo en el medio
fsico. Esta capa se encarga de las funciones de las capas fsica y de enlace de datos del modelo OSI.
Si se compara el modelo OSI con el modelo TCP/IP , se pueden ver que existen similitudes y
diferencias. Los ejemplos incluyen:
Similitudes
Se dividen en capas.
Poseen una capa de aplicacin, aunque incluyen servicios distintos.
Las capas de transporte y red de ambos modelos cumplen funciones similares.
Diferencias
TCP/IP combina las funciones de la capa de presentacin y de sesin del modelo OSI en la
capa de aplicacin.
En el modelo TCP/IP combina la capa de enlace de datos y la capa fsica del modelo OSI en
una sola capa.
El modelo OSI se desarroll antes de que se inventaran los protocolos, respecto al modelo
TCP/IP, los protocolos existan y el modelo fue una descripcin de los mismos.
El modelo TCP/IP no es general y no resulta apropiado para describir otra pila de protocolos
distinta de TCP/IP.
En sntesis, el modelo OSI ha demostrado ser muy til para estudiar las redes de computadoras. En
contraste, los protocolos OSI no se han hecho populares. Lo contrario sucede con TCP/IP, donde el
modelo prcticamente es inexistente, pero los protocolos se usan mucho, de hecho, la familia de
protocolos TCP/IP es el estndar en torno al cual se desarroll Internet.
Las vulnerabilidades de la capa de red estn estrechamente ligadas al medio sobre el que se realiza
la conexin. Esta capa presenta problemas de control de acceso y de condencialidad.
Son ejemplos de vulnerabilidades a este nivel los ataques a las lneas punto a punto: desvo de los
cables de conexin hacia otros sistemas, interceptacin intrusiva de las comunicaciones (pinchar la
lnea), escuchas no intrusivas en medios de transmisin sin cables, etc.
2.5 PUERTOS
Sockets y Puertos son conceptos introducidos por los protocolos TCP y UDP, y son referencias lgicas
respecto a por donde se conectarn determinados servicios o aplicaciones. Los Sockets son
referencias lgicas creadas por las aplicaciones basadas en TCP/IP que sirven para que estas se
comuniquen con su entorno, estas referencias lgicas requieren de tres parmetros que son: direccin
IP del host, tipo de servicio (TCP con conexin, UDP sin conexin) y numero de puerto. Los puertos
permiten entablar varias conexiones simultaneas por el mismo medio, por ejemplo cuando se abren
dos sesiones simultaneas de un navegador con URL diferentes.
La IANA (Internet Assigned Numbers Authority) administra la asignacin de puertos que van desde el 0
hasta el 65.536.
Los nmeros de puerto se dividen en:
Puertos bien conocidos
Puertos definidos por el usuario.
Los puertos del 1025 hasta el 65.536 son asignados por las aplicaciones de los usuarios.
Los puertos bien conocidos van del 0 a 1024 y se asignan a aplicaciones publicas como http y a
productos especficos de red. Por ejemplo:
Puerto Servicio
21 FTP
23 TELNET
25 SMTP
53 DNS
80 HTTP
139 NetBIOS
Una de las tcnicas de Hacking comunes consiste en explorar los puertos para saber si algunos de
ellos estn abiertos y a la escucha, y qu servicios vulnerables se estn ejecutando en ellos. Los
ataques mas sofisticados llevados adelante por Hackers experimentados se realizan a puertos
determinados porque ya se sabe que servicio estar escuchando. Los puertos son tambin usados por
los troyanos que activan esa va de comunicacin para permitir tomar el control de manera remota. De
la misma manera que existen escaneadores de puertos abiertos con servicios a la escucha, tambin
existen escaneadores de puertos de troyanos que permiten el ingreso y la administracin remota.
Las redes se pueden dividir en dos grandes categoras de acuerdo a su rea de cobertura:
Redes LAN (Local Area Networks - Redes de rea local)
Redes WAN (Wide Area Networks - Redes de rea amplia)
Las redes LAN generalmente se encuentran en su totalidad dentro de un mismo edificio o de un grupo
de edificios. Las redes WAN cubren un rea geogrfica ms extensa, por ejemplo, ciudades, pases, o
incluso el mundo entero .
Las WAN interconectan las LAN, que a su vez proporcionan acceso a los computadores o a los
servidores de archivos ubicados en otros lugares. Como las WAN conectan redes de usuarios dentro
de un rea geogrfica extensa, permiten que las empresas se comuniquen entre s a travs de
grandes distancias. Las WAN permiten que los computadores, impresoras y otros dispositivos de una
LAN compartan y sean compartidas por redes en sitios distantes. Las WAN proporcionan
comunicaciones instantneas a travs de zonas geogrficas extensas. El software de colaboracin
brinda acceso a informacin en tiempo real y recursos que permiten realizar reuniones entre personas
separadas por largas distancias, en lugar de hacerlas en persona. Networking de rea amplia tambin
dio lugar a una nueva clase de trabajadores, los empleados a distancia, que no tienen que salir de sus
hogares para ir a trabajar.
Cable coaxial consiste de un conductor de cobre rodeado de una capa de aislante flexible. El
conductor central tambin puede ser hecho de un cable de aluminio cubierto de estao que permite
que el cable sea fabricado de forma econmica. Sobre este material aislante existe una malla de
cobre tejida u hoja metlica que actua como el segundo hilo del circuito y como un blindaje para el
conductor interno. Esta segunda capa, o blindaje, tambin reduce la cantidad de interferencia
electromagntica externa. Cubriendo la pantalla est la chaqueta del cable.
Para las LAN, el cable coaxial ofrece varias ventajas. Puede tenderse a mayores distancias que el
cable de par trenzado blindado STP, y que el cable de par trenzado no blindado, UTP, sin necesidad
de repetidores. Los repetidores regeneran las seales de la red de modo que puedan abarcar
mayores distancias. El cable coaxial es ms econmico que el cable de fibra ptica y la tecnologa es
sumamente conocida. Se ha usado durante muchos aos para todo tipo de comunicaciones de datos,
incluida la televisin por cable.
Al trabajar con cables, es importante tener en cuenta su tamao. A medida que aumenta el grosor, o
dimetro, del cable, resulta ms difcil trabajar con l. Recuerde que el cable debe pasar por
conductos y cajas existentes cuyo tamao es limitado. Se puede conseguir cable coaxial de varios
tamaos. El cable de mayor dimetro es de uso especfico como cable de backbone de Ethernet
porque tiene mejores caractersticas de longitud de transmisin y de limitacin del ruido. Este tipo de
cable coaxial frecuentemente se denomina thicknet o red gruesa. Como su apodo lo indica, este tipo
de cable puede ser demasiado rgido como para poder instalarse con facilidad en algunas situaciones.
Generalmente, cuanto ms difcil es instalar los medios de red, ms costosa resulta la instalacin. El
cable coaxial resulta ms costoso de instalar que el cable de par trenzado. Hoy en da el cable
thicknet casi nunca se usa, salvo en instalaciones especiales.
En el pasado, el cable coaxial con un dimetro externo de solamente 0,35 cm (a veces denominado
thinnet o red fina) se usaba para las redes Ethernet. Era particularmente til para las instalaciones de
cable en las que era necesario que el cableado tuviera que hacer muchas vueltas. Como la instalacin
de thinnet era ms sencilla, tambin resultaba ms econmica. Por este motivo algunas personas lo
llamaban cheapernet (red barata). El trenzado externo metlico o de cobre del cable coaxial abarca la
mitad del circuito elctrico. Se debe tener especial cuidado de asegurar una slida conexin elctrica
en ambos extremos, brindando as una correcta conexin a tierra. La incorrecta conexin del material
de blindaje constituye uno de los problemas principales relacionados con la instalacin del cable
coaxial. Los problemas de conexin resultan en un ruido elctrico que interfiere con la transmisin de
seales sobre los medios de networking. Por esta razn, thinnet ya no se usa con frecuencia ni est
respaldado por los estndares ms recientes (100 Mbps y superiores) para redes Ethernet.
Cable STP El cable de par trenzado blindado (STP) combina las tcnicas de blindaje, cancelacin y
trenzado de cables. Cada par de hilos est envuelto en un papel metlico. Los dos pares de hilos
estn envueltos juntos en una trenza o papel metlico. Generalmente es un cable de 150 ohmios.
Segn se especifica para el uso en instalaciones de redes Token Ring, el STP reduce el ruido elctrico
dentro del cable como, por ejemplo, el acoplamiento de par a par y la diafona. El STP tambin reduce
el ruido electrnico desde el exterior del cable, como, por ejemplo, la interferencia electromagntica
(EMI) y la interferencia de radiofrecuencia (RFI). El cable de par trenzado blindado comparte muchas
de las ventajas y desventajas del cable de par trenzado no blindado (UTP). El cable STP brinda mayor
proteccin ante toda clase de interferencias externas, pero es ms caro y de instalacin ms difcil
que el UTP.
Un nuevo hbrido de UTP con STP tradicional se denomina UTP apantallado (ScTP), conocido
tambin como par trenzado de papel metlico (FTP). El ScTP consiste, bsicamente, en cable UTP
envuelto en un blindaje de papel metlico. ScTP, como UTP, es tambin un cable de 100 Ohms.
Muchos fabricantes e instaladores de cables pueden usar el trmino STP para describir el cable ScTP.
Es importante entender que la mayora de las referencias hechas a STP hoy en da se refieren en
realidad a un cable de cuatro pares apantallado. Es muy improbable que un verdadero cable STP sea
usado durante un trabajo de instalacin de cable. Los materiales metlicos de blindaje utilizados en
STP y ScTP deben estar conectados a tierra en ambos extremos. Si no estn adecuadamente
conectados a tierra o si hubiera discontinuidades en toda la extensin del material del blindaje, el STP
y el ScTP se pueden volver susceptibles a graves problemas de ruido. Son susceptibles porque
permiten que el blindaje acte como una antena que recoge las seales no deseadas. Sin embargo,
este efecto funciona en ambos sentidos. El blindaje no slo evita que ondas electromagnticas
externas produzcan ruido en los cables de datos sino que tambin minimiza la irradiacin de las ondas
electromagnticas internas. Estas ondas podran producir ruido en otros dispositivos. Los cables STP
y ScTP no pueden tenderse sobre distancias tan largas como las de otros medios de networking (tales
como el cable coaxial y la fibra ptica) sin que se repita la seal. El uso de aislamiento y blindaje
adicionales aumenta de manera considerable el tamao, peso y costo del cable. Adems, los
materiales de blindaje hacen que las terminaciones sean ms difciles y aumentan la probabilidad de
que se produzcan defectos de mano de obra. Sin embargo, el STP y el ScTP todava desempean un
papel importante, especialmente en Europa o en instalaciones donde exista mucha EMI y RFI cerca
de los cables.
Cable UTP El cable de par trenzado no blindado (UTP) es un medio de cuatro pares de hilos que se
utiliza en diversos tipos de redes. Cada uno de los 8 hilos de cobre individuales del cable UTP est
revestido de un material aislante. Adems, cada par de hilos est trenzado. Este tipo de cable cuenta
slo con el efecto de cancelacin que producen los pares trenzados de hilos para limitar la
degradacin de la seal que causan la EMI y la RFI. Para reducir an ms la diafona entre los pares
en el cable UTP, la cantidad de trenzados en los pares de hilos vara. Al igual que el cable STP, el
cable UTP debe seguir especificaciones precisas con respecto a cunto trenzado se permite por
unidad de longitud del cable.
El estndar TIA/EIA-568-B.2 especifica los componentes de cableado, transmisin, modelos de
sistemas, y los procedimientos de medicin necesarios para verificar los cables de par trenzado
balanceado. Exige el tendido de dos cables, uno para voz y otro para datos en cada toma. De los dos
cables, el cable de voz debe ser UTP de cuatro pares. El cable Categora 5 es el que actualmente se
recomienda e implementa con mayor frecuencia en las instalaciones. Sin embargo, las predicciones
de los analistas y sondeos independientes indican que el cable de Categora 6 sobrepasar al cable
Categora 5 en instalaciones de red. El hecho que los requerimientos de canal y enlace de la
Categora 6 sean compatibles con la Categora 5e hace muy fcil para los clientes elegir Categora 6 y
reemplazar la Categora 5e en sus redes. Las aplicaciones que funcionan sobre Categora 5e tambin
lo harn sobre Categora 6.
El cable de par trenzado no blindado presenta muchas ventajas. Es de fcil instalacin y es ms
econmico que los dems tipos de medios para networking. De hecho, el UTP cuesta menos por
metro que cualquier otro tipo de cableado para LAN. Sin embargo, la ventaja real es su tamao.
Debido a que su dimetro externo es tan pequeo, el cable UTP no llena los conductos para el
cableado tan rpidamente como sucede con otros tipos de cables. Esto puede ser un factor
sumamente importante a tener en cuenta, en especial si se est instalando una red en un edificio
antiguo. Adems, si se est instalando el cable UTP con un conector RJ-45, las fuentes potenciales de
ruido de la red se reducen enormemente y prcticamente se garantiza una conexin slida y de buena
calidad. El cableado de par trenzado presenta ciertas desventajas. El cable UTP es ms susceptible al
ruido elctrico y a la interferencia que otros tipos de medios para networking y la distancia que puede
abarcar la seal sin el uso de repetidores es menor para UTP que para los cables coaxiales y de fibra
ptica. En una poca, el cable de par trenzado era considerado ms lento para transmitir datos que
otros tipos de cables. Sin embargo, hoy en da ya no es as. De hecho, en la actualidad, se considera
que el cable de par trenzado es el ms rpido entre los medios basados en cobre.
Medios de fibra ptica La luz que se utiliza en las redes de fibra ptica es un tipo de energa
electromagntica. Cuando una carga elctrica se mueve hacia adelante y hacia atrs, o se acelera, se
produce un tipo de energa denominada energa electromagntica. Esta energa, en forma de ondas,
puede viajar a travs del vaco, el aire y algunos materiales como el vidrio. Una propiedad importante
de toda onda de energa es la longitud de onda. La radio, las microondas, el radar, la luz visible, los
rayos x y los rayos gama parecen ser todos muy diferentes. Sin embargo, todos ellos son tipos de
energa electromagntica. Si se ordenan todos los tipos de ondas electromagnticas desde la mayor
longitud de onda hasta la menor, se crea un continuo denominado espectro electromagntico. La
longitud de onda de una onda electromagntica es determinada por la frecuencia a la que la carga
elctrica que genera la onda se mueve hacia adelante y hacia atrs. Si la carga se mueve lentamente
hacia adelante y hacia atrs, la longitud de onda que genera es una longitud de onda larga. Visualice
el movimiento de la carga elctrica como si fuera una varilla en una charca. Si la varilla se mueve
lentamente hacia adelante y hacia atrs, generar movimientos en el agua con una longitud de onda
larga entre las partes superiores de las ondas. Si la varilla se mueve rpidamente hacia adelante y
hacia atrs, los movimientos en el agua tendrn una longitud de onda mas corta. Como todas las
ondas electromagnticas se generan de la misma manera, comparten muchas propiedades. Todas las
ondas viajan a la misma velocidad en el vaco. La velocidad es aproximadamente 300.000 kilometros
por segundo o 186.283 millas por segundo. Esta es tambin la velocidad de la luz. Los ojos humanos
estn diseados para percibir solamente la energa electromagntica de longitudes de onda de entre
700 y 400 nanmetros (nm). Un nanmetro es la mil millonsima parte de un metro (0,000000001
metro) de longitud. La energa electromagntica con longitudes de onda entre 700 y 400 nm recibe el
nombre de luz visible. Las longitudes de onda de luz ms largas que se encuentran cerca de los 700
nm se perciben como el color rojo. Las longitudes de onda ms cortas que se encuentran alrededor de
los 400 nm aparecen como el color violeta. Esta parte del espectro magntico se percibe como los
colores del arco iris.
Gua de Onda (Wave Guide): La gua de onda es otro medio de comunicacin tambin muy usado, el
cual opera en el rango de las frecuencias comnmente llamadas como microondas (en el orden de
GHz). Su construccin es de material metlico por lo que no se puede decir que sea un cable. El
ancho de banda es extremadamente grande y es usada principalmente cuando se requiere bajas
perdidas en la seal bajo condiciones de muy alta potencia como el caso desde una antena de
microondas a el receptor/transmisor de radio frecuencia. Las aplicaciones tpicas de este medio es en
las centrales telefnicas para bajar/subir seales provenientes de antenas de satlite o estaciones
terrenas de microondas. No todas las guas de onda son duras, tambin existen guas de onda ms
flexibles, existe un tipo de gua de onda que fabrica una compaa que se llama ANDREW, y a este
tipo de gua de onda flexible se le conoce como Heliax.
Microondas terrestre: Un radioenlace terrestre o microondas terrestre provee conectividad entre dos
sitios (estaciones terrenas) en lnea de vista (Line-of-Sight, LOS) usando equipo de radio con
frecuencias de portadora por encima de 1 GHz. La forma de onda emitida puede ser analgica
(convencionalmente en FM) o digital.
Las principales aplicaciones de un sistema de microondas terrestre son las siguientes:
Telefona bsica (canales telefnicos)
Datos
Telgrafo/Telex/Facsmile
Canales de Televisin.
Video
Telefona Celular (entre troncales)
Un sistema de microondas consiste de tres componentes principales: una antena con una corta y
flexible gua de onda, una unidad externa de RF (Radio Frecuencia) y una unidad interna de RF. Las
principales frecuencias utilizadas en microondas se encuentran alrededor de los 12 GHz, 18 y 23 Ghz,
las cuales son capaces de conectar dos localidades entre 1 y 15 millas de distancia una de la otra. El
equipo de microondas que opera entre 2 y 6 Ghz puede transmitir a distancias entre 20 y 30 millas.
Las licencias o permisos para operar enlaces de microondas pueden resultar un poco difciles ya que
las autoridades deben de asegurarse que ambos enlaces no causen interferencia a los enlaces ya
existentes.
El clima y el terreno son los mayores factores a considerar antes de instalar un sistema de
microondas. Como por ejemplo, no se recomienda instalar sistemas en lugares donde no llueva
mucho; en este caso deben usarse radios con frecuencias bajas (es decir menores a 10 GHz). La
consideraciones en terreno incluyen la ausencia de montaas o grandes cuerpos de agua las cuales
pueden ocasionar reflecciones de multi-trayectorias.
Radio Frecuencia (HF): Por convencin, la radio transmisin en la banda entre 3 Mhz y 30 Mhz es
llamada radio de alta frecuencia (HF) u ondas cortas. Las bandas de frecuencia dentro del espectro de
HF son asignadas por tratados internacionales para servicios especficos como movibles (aeronutico,
martimo y terrestre), radiodifusin, radio amateur, comunicaciones espaciales y radio astronoma. La
radio de HF tiene propiedades de propagacin que la hacen menos confiable que otras frecuencias;
sin embargo, la radio de HF permite comunicaciones a grandes distancias con pequeas cantidades
de potencia radiada.
Las ondas de radio de HF transmitidas desde antenas en la tierra siguen dos trayectorias. La onda
terrestre (groundwave) sigue la superficie de la tierra y la onda area (skywave) rebota de ida y vuelta
entre la superficie de la tierra y varias capas de la ionosfera terrestre. La til para comunicaciones de
hasta cerca de 400 millas, y trabaja particularmente bien sobre el agua. La onda area propaga
seales a distancias de hasta 4,000 millas con una confiabilidad en la trayectoria de 90 %.
La trayectoria de propagacin de las ondas areas son afectadas por dos factores El angulo y la
frecuencia Si la onda radiada entra en la capa ionizada con un angulo mayor que el (angulo crtico)
entonces la onda no es reflejada ; pero si el angulo es menor que la onda ser reflejada y regresara a
la tierra. Ambos efectos son mostrados en las siguientes figuras.
El peso del capa de la ionsfera afectara gandemente la distancia de salto. La distancia tambien varia
con la frecuencia de la onda transmitida. Ya que el peso y la densidad de la capas de la ionosfera
dependen tambien la radiacin solar, hay una significante diferencia entre la distancia de salto de las
transmisiones diurnas y las nocturnas.
Las ondas terrestres en cambio tiene un alcance ms corto comparadas con las ondas ereas. Las
ondas terrestres tienen tres componentes: la onda directa, la onda de superficie y la onda reflejada.
Las ondas terrestres son afectadas por la conductividad y las caracteristicas de la superficie de la
tierra. A ms alta conductividad mejor transmisin, asi las ondas terrestres viajan mejor sobre al agua
del mar, agua dulce, aguas pantanosas, etc. Sobre terreno rocosos y desierto la transmisin es muy
pobre, mientras que en zonas selvaticas es practicamente inutilizable. Las condiciones de humedad
en el aire cercanas a la tierra afectan grandemente las ondas terrestres. Las caractersticas de
propagacin de la onda terrestre tambien son afectadas por la frecuencia de la onda.
Lser/Infrarrojo: Las transmisiones de lser de infrarrojo directo envuelven las mismas tcnicas
empleadas en la transmisin por fibra ptica, excepto que el medio en este caso es el aire libre. El
lser tiene un alcance de hasta 10 millas, aunque casi todas las aplicaciones en la actualidad se
realizan a distancias menores de una milla. tpicamente, las transmisiones en infrarrojo son utilizadas
donde la instalacin de cable no es factible entre ambos sitios a conectar. Las velocidades tpicas de
transmisin a esas distancias son 1.5 Mbps. La ventaja del lser infrarrojo es que no es necesario
solicitar permiso ante las autoridades para utilizar esta tecnologa. Debe de tenerse mucho cuidado,
en la instalacin ya que los haces de luz pueden daar al ojo humano. Por lo que se requiere un lugar
adecuado para la instalacin del equipo. Ambos sitios deben de tener linea de vista.
Para distancias cortas las transmisiones va lser/infrarrojo son una excelente opcin. Lo cual resulta
en poco tiempo mas econmico que el empleo de estaciones terrenas de microondas. Se utiliza
bastante para conectar LANs localizadas en diferentes edificios.
Va Satlite: La idea de comunicacin global mediante el uso de satlites se debe a Arthur C. Clarke
quien se bas en el trabajo matemtico y fsico de las Leyes de Isaac Newton publicadas en 1687 y
las Leyes de Kepler, publicadas en el periodo 1609-1619, y lo uni con aplicaciones y tecnologa
existente en esa poca (1940's). La propuesta de Clarke en 1945 se basaba en lo siguiente:
El satlite servira como repetidor de comunicaciones
El satlite girara a 36,000 km de altura sobre el ecuador
A esa altura estara en rbita "Geoestracionaria"
Tres satlites separados a 120 entre s cubriran toda la tierra
Se obtendra energa elctrica mediante energa solar
El satlite sera una estacin espacial tripulada.
Casi todos estos puntos se llevaron a cabo unos aos despus, cuando mejor la tecnologa de
cohetes, con la excepcin del ltimo punto. Este no se cumpli debido al alto costo que implicaba el
transporte y mantenimiento de tripulacin a bordo de la estacin espacial, por cuestiones de seguridad
mdica y orgnica en los tripulantes, y finalmente por el avance de tcnicas de control remoto. Un
satlite acta como una estacin de relevacin (relay station) o repetidor. Un transpondedor recibe la
seal de un transmisor, luego la amplifica y la retransmite hacia la tierra a una frecuencia diferente.
Debe notarse que la estacin terrena transmisora enva a un solo satlite. El satlite, sin embargo,
enva a cualquiera de las estaciones terrenas receptoras en su rea de cobertura o huella (footprint).
La transmisin por satlite ofrece muchas ventajas para una compaa. Los precios de renta de
espacio satelital es ms estable que los que ofrecen las compaas telefnicas. Ya que la transmisin
por satlite no es sensitiva a la distancia. Y adems existe un gran ancho de banda disponible.
Los beneficios de la comunicacin por satlite desde el punto de vista de comunicaciones de datos
podran ser los siguientes:
Transferencia de informacin a altas velocidades (Kbps, Mbps)
Ideal para comunicaciones en puntos distantes y no fcilmente
accesibles geogrficamente.
Ideal en servicios de acceso mltiple a un gran nmero de puntos.
Permite establecer la comunicacin entre dos usuarios distantes con
la posibilidad de evitar las redes publicas telefnicas.
A pesar de las anteriores limitaciones, la transmisin por satlite sigue siendo muy popular. Los
satlites de rbita baja (Low Earth Orbit LEO) ofrecen otras alternativas a los satlites
geoestacionarios (Geosynchronous Earth Orbit GEO), los cuales giran alrededor de la tierra a ms de
2,000 millas. Los satlites de este tipo proveen comunicaciones de datos a baja velocidad y no son
capaces de manipular voz , seales de video o datos a altas velocidades. Pero tienen las ventajas que
los satlites GEO no tienen. Por ejemplo, no existe retardo en las transmisiones, son menos sensibles
a factores atmosfricos, y transmiten a muy poca potencia. Estos satlites operan a frecuencias
asignadas entre los 1.545 GHz y los 1.645 GHz (Banda L). Los reflectores parablicos (comnmente
llamados por error o por costumbre antenas) han sido el smbolo de las estaciones terrenas para
comunicaciones por satlite. Existen adems de los reflectores paraboloides o Prime Focus otros tipos
de antenas muy ampliamente usados en campo de las comunicaciones, tales como los reflectores
Fuera de foco (off-set), Casssegrain y los platos tipos Gregorianos.
Un NIC es una placa de circuito impreso que se coloca en la ranura de expansin de un bus de la
motherboard de un computador, o puede ser un dispositivo perifrico. Tambin se denomina adaptador
de red. Las NIC para computadores porttiles o de mano por lo general tienen el tamao de una
tarjeta PCMCIA. Cada NIC individual tiene un cdigo nico, denominado direccin de control de
acceso al medio (MAC). Esta direccin se utiliza para controlar la comunicacin de datos para el host
de la red. Tal como su nombre lo indica, la NIC controla el acceso del host al medio. Los dispositivos
de red son los que transportan los datos que deben transferirse entre dispositivos de usuario final. Los
dispositivos de red proporcionan el tendido de las conexiones de cable, la concentracin de
conexiones, la conversin de los formatos de datos y la administracin de transferencia de datos.
Algunos ejemplos de dispositivos que ejecutan estas funciones son los repetidores, hubs, puentes,
switches y routers.
2.6.10 Hub
El hub es un dispositivo prcticamente fuera de uso, que opera en la capa 1 del modelo OSI. Su
funcin es regenerar y retemporizar las seales de red. Los hubs toman los datos recibidos por un
puerto y lo retransmiten por todos los otros puertos, por este motivo, se dice que este dispositivo
"divide" el ancho de banda entre todas las estaciones conectadas. Forma un dominio de colisin entre
todas las estaciones conectadas, esto permite que los datos enviados por cada estacin sean
recibidos por todas las dems. Los hubs concentran las conexiones. En otras palabras, permiten que
la red trate un grupo de hosts como si fuera una sola unidad. Esto sucede de manera pasiva, sin
interferir en la transmisin de datos. Los hubs activos no slo concentran hosts, sino que adems
regeneran seales.
Los hubs en realidad son repetidores multipuerto. En muchos casos, la diferencia entre los dos
dispositivos radica en el nmero de puertos que cada uno posee. Mientras que un repetidor
convencional tiene slo dos puertos, un hub por lo general tiene de cuatro a veinticuatro puertos. Los
hubs por lo general se utilizan en las redes Ethernet 10BASE-T o 100BASE-T, aunque hay otras
arquitecturas de red que tambin los utilizan. El uso de un hub hace que cambie la topologa de la red
desde un bus lineal, donde cada dispositivo se conecta de forma directa al cable, a una en estrella. En
un hub, los datos que llegan a un puerto del hub se transmiten de forma elctrica a todos los otros
puertos conectados al mismo segmento de red, salvo a aquel puerto desde donde enviaron los datos.
Los dispositivos conectados al hub reciben todo el trfico que se transporta a travs del hub. Cuntos
ms dispositivos estn conectados al hub, mayores son las probabilidades de que haya colisiones.
Las colisiones ocurren cuando dos o ms estaciones de trabajo envan al mismo tiempo datos a travs
del cable de la red. Cuando esto ocurre, todos los datos se corrompen. Cada dispositivo conectado al
mismo segmento de red se considera un miembro de un dominio de colisin. Algunas veces los hubs
se llaman concentradores, porque los hubs sirven como punto de conexin central para una LAN de
Ethernet.
2.6.11 Puente
Un puente es un dispositivo que opera en la capa 2. Est diseado para conectar dos segmentos
LAN. El propsito de un puente es filtrar el trfico de una LAN, de forma que slo pase hacia la otra
LAN lo que est dirigido a ella. Todo el trfico que tiene origen y destino local, no se reenva hacia la
otra LAN. Para realizar su trabajo, el puente debe interpretar las tramas que son transmitidas en cada
LAN y decidir si las reenva de acuerdo a la direccin de destino. Se dice que este dispositivo "dedica"
el ancho de banda a cada red LAN que interconecta. Cuando una estacin enva una trama con
destino broadcast, esta trama es reenviada a todas las LANs.
Los puentes convierten los formatos de transmisin de datos de la red adems de realizar la
administracin bsica de la transmisin de datos. Los puentes, tal como su nombre lo indica,
proporcionan las conexiones entre LAN. Los puentes no slo conectan las LAN, sino que adems
verifican los datos para determinar si les corresponde o no cruzar el puente. Esto aumenta la
eficiencia de cada parte de la red.
A veces, es necesario dividir una LAN grande en segmentos ms pequeos que sean ms fciles de
manejar. Esto disminuye la cantidad de trfico en una sola LAN y puede extender el rea geogrfica
ms all de lo que una sola LAN puede admitir. Los dispositivos que se usan para conectar segmentos
de redes son los puentes, switches, routers y gateways. Los switches y los puentes operan en la capa
de enlace de datos del modelo de referencia OSI. La funcin del puente es tomar decisiones
inteligentes con respecto a pasar seales o no al segmento siguiente de la red.
Cuando un puente recibe una trama a travs de la red, se busca la direccin MAC destino en la tabla
de puenteo para determinar si hay que filtrar, inundar, o copiar la trama en otro segmento. El proceso
de decisin tiene lugar de la siguiente forma:
Si el dispositivo destino se encuentra en el mismo segmento que la trama, el puente impide
que la trama vaya a otros segmentos. Este proceso se conoce como filtrado.
Si el dispositivo destino est en un segmento distinto, el puente enva la trama hasta el
segmento apropiado.
Si el puente desconoce la direccin destino, el puente enva la trama a todos los segmentos
excepto aquel en el cual se recibi. Este proceso se conoce como inundacin.
Si se ubica de forma estratgica, un puente puede mejorar el rendimiento de la red de manera
notoria.
2.6.12 Switch
Un Switch, al igual que un puente, es un dispositivo de capa 2 (Enlace de Datos). De hecho, el Switch
se denomina puente multipuerto. Los switches conmutan los datos slo hacia el puerto al que est
conectado el host destino. Se dice que este dispositivo "dedica" el ancho de banda a cada estacin
que interconecta. De la misma forma que los puentes, los switches retransmiten los broadcast por
todos sus puertos. Cuando dos hosts realizan una transferencia, el switch realiza una
microsegementacin para comunicar los dos puertos donde estn ubicados los hosts. Esta
microsegmentacin se mantiene mientras existe la transferencia y es independiente de otras
transferencias. Esto permite mantener mltiples transferencia de manera simultnea e independiente.
Los switches de grupos de trabajo agregan inteligencia a la administracin de transferencia de datos.
No slo son capaces de determinar si los datos deben permanecer o no en una LAN, sino que pueden
transferir los datos nicamente a la conexin que necesita esos datos. Otra diferencia entre un puente
y un switch es que un switch no convierte formatos de transmisin de datos.
La conmutacin es una tecnologa que alivia la congestin en las LAN Ethernet, reduciendo el trfico y
aumentando el ancho de banda. Los switches pueden remplazar a los hubs con facilidad debido a que
ellos funcionan con las infraestructuras de cableado existentes. Esto mejora el rendimiento con un
mnimo de intrusin en la red ya existente. Actualmente en la comunicacin de datos, todos los
equipos de conmutacin realizan dos operaciones bsicas: La primera operacin se llama
conmutacin de las tramas de datos. La conmutacin de las tramas de datos es el procedimiento
mediante el cual una trama se recibe en un medio de entrada y luego se transmite a un medio de
salida.
El segundo es el mantenimiento de operaciones de conmutacin cuando los switch crean y mantienen
tablas de conmutacin y buscan loops. Los switches operan a velocidades mucho ms altas que los
puentes y pueden admitir nuevas funcionalidades como, por ejemplo, las LAN virtuales. Un switch se
describe a veces como un puente multipuerto. Mientras que un puente tpico puede tener slo dos
puertos que enlacen dos segmentos de red, el switch puede tener varios puertos, segn la cantidad de
segmentos de red que sea necesario conectar. Al igual que los puentes, los switches aprenden
determinada informacin sobre los paquetes de datos que se reciben de los distintos computadores de
la red. Los switches utilizan esa informacin para crear tablas de envo para determinar el destino de
los datos que se estn mandando de un computador a otro de la red.
Aunque hay algunas similitudes entre los dos, un switch es un dispositivo ms sofisticado que un
puente. Un puente determina si se debe enviar una trama al otro segmento de red, basndose en la
direccin MAC destino. Un switch tiene muchos puertos con muchos segmentos de red conectados a
ellos. El switch elige el puerto al cual el dispositivo o estacin de trabajo destino est conectado. Los
switches Ethernet estn llegando a ser soluciones para conectividad de uso difundido porque, al igual
que los puentes, los switches mejoran el rendimiento de la red al mejorar la velocidad y el ancho de
banda.
Un switch Ethernet ofrece muchas ventajas. Un beneficio es que un switch para Ethernet permite que
varios usuarios puedan comunicarse en paralelo usando circuitos virtuales y segmentos de red
dedicados en un entorno virtualmente sin colisiones. Esto aumenta al mximo el ancho de banda
disponible en el medio compartido. Otra de las ventajas es que desplazarse a un entorno de LAN
conmutado es muy econmico ya que el hardware y el cableado se pueden volver a utilizar.
2.6.13 Router
El Router es un dispositivo de capa 3 (Red). Toma sus decisiones de encaminamiento analizando las
direcciones de red de los paquetes (PDU de capa 3). Los routers pueden conectar distintas
tecnologas de Capa 2. La funcin de un Router es examinar los paquetes que recibe en una interfase,
leer la direccin de destino de capa 3, elegir cul es la mejor ruta y conmutar el paquete hacia el
puerto de salida adecuado. Los routers no reenvan los broadcasts, por esto, se dice que "dividen" los
dominios de broadcasts. Generalmente, los routers tienen una o ms interfaces de LAN y una o ms
interfaces de WAN. Los routers poseen todas las capacidades indicadas antes. Los routers pueden
regenerar seales, concentrar mltiples conexiones, convertir formatos de transmisin de datos, y
manejar transferencias de datos. Tambin pueden conectarse a una WAN, lo que les permite conectar
LAN que se encuentran separadas por grandes distancias. Ninguno de los dems dispositivos puede
proporcionar este tipo de conexin.
Tablas de enrutamiento: Los Routers utilizan protocolos de enrutamiento para crear y guardar tablas
de enrutamiento que contienen informacin sobre las rutas. Esto ayuda al proceso de determinacin
de la ruta. Los protocolos de enrutamiento llenan las tablas de enrutamiento con una amplia variedad
de informacin. Esta informacin vara segn el protocolo de enrutamiento utilizado. Las tablas de
enrutamiento contienen la informacin necesaria para enviar paquetes de datos a travs de redes
conectadas. Los dispositivos de Capa 3 interconectan dominios de broadcast o LAN. Se requiere un
esquema de direccionamiento jerrquico para poder transferir los datos.
La tabla de enrutamiento se compone de informacin esttica, proporcionada por el propio
administrador de la red o dinmica, debido a la intervencin de protocolos de enrutamiento tales como
RIP, OSPF, IGRP, EIGRP, etc., quienes se encargan de actualizar el contenido de la tabla a medida
que se van produciendo cambios en la topologa, tales como: agregacin o remocin de dispositivos,
saturacin de enlaces por exceso de trfico, cadas de enlaces por interrupcin de servicios, etc.
Los Routers mantienen informacin importante en sus tablas de enrutamiento, que incluye lo
siguiente:
Tipo de protocolo: el tipo de protocolo de enrutamiento que cre la entrada en la tabla de
enrutamiento.
Asociaciones entre destino/siguiente salto: estas asociaciones le dicen al Router que un
destino en particular est directamente conectado al Router, o que puede ser alcanzado
utilizando un Router denominado "salto siguiente" en el trayecto hacia el destino final. Cuando
un Router recibe un paquete entrante, lee la direccin destino y verifica si hay concordancia
entre esta direccin y una entrada de la tabla de enrutamiento.
Mtrica de enrutamiento: los distintos protocolos de enrutamiento utilizan mtricas de
enrutamiento distintas. Las mtricas de enrutamiento se utilizan para determinar la
conveniencia de una ruta. Por ejemplo, el nmeros de saltos es la nica mtrica de
enrutamiento que utiliza el protocolo de informacin de enrutamiento (RIP). El Protocolo de
enrutamiento Gateway interior (IGRP) utiliza una combinacin de ancho de banda, carga,
retardo y confiabilidad como mtricas para crear un valor mtrico compuesto.
Interfaces de salida: la interfaz por la que se envan los datos para llegar a su destino final.
Los Routers se comunican entre s para mantener sus tablas de enrutamiento por medio de la
transmisin de mensajes de actualizacin del enrutamiento. Algunos protocolos de enrutamiento
transmiten estos mensajes de forma peridica, mientras que otros lo hacen cuando hay cambios en la
topologa de la red. Algunos protocolos transmiten toda la tabla de enrutamiento en cada mensaje de
actualizacin, y otros transmiten slo las rutas que se han modificado. Un Router crea y guarda su
tabla de enrutamiento, analizando las actualizaciones de enrutamiento de los Routers vecinos.
Los routers, al igual que los switches, permiten la separacin en dominios de colisin, pero no
reenvan el trfico broadcast, por lo que se los considera dispositivos que implementan la divisin de
segmentos en dominios de broadcast. Generalmente los routers tienen una o ms interfaces LAN y
una o ms interfaces WAN.
Dentro de la amplia gama de soluciones corporativas que podemos encontrar en el mercado, una de
ellas la constituyen los routers denominados "apantallados" los cuales realizan el reenvo de los
paquetes o un descarte de los mismos, basados en un conjunto de reglas provistas o configuradas por
el administrador de la red.
La configuracin en estos routers debe contemplar:
Qu servicios se ofrecern y en qu direccin.
Las limitaciones respecto a la cantidad de PCs que tendrn acceso a los servicios y su posible
agrupamiento.
La existencia de equipos en la Internet que deban autenticarse con los equipos internos.
Parmetros a considerar para crear las reglas o polticas:
Direccin IP origen y destino.
Protocolo de capa 3 (IP).
Protocolo de capa 4 (TCP/UDP).
En los segmentos TCP, el bit de ACK.
Tipo de mensaje para el caso de protocolo ICMP.
Puertos origen/destino de TCP y UDP.
Routers Apantallados (Screening router) o routers que filtran informacin: Previo al anlisis de
una implementacin con screening routers, recordemos que la redireccin ordinaria solamente tiene
en cuenta hacia dnde se dirige cada paquete de informacin, y selecciona cul es la mejor va para
llegar a su destino. Este tipo de redireccionamiento no tiene en cuenta las polticas de seguridad o si
la ruta es potencialmente segura o insegura. nicamente su objetivo es el de llevar la informacin a su
destino.
El "screening router", en cambio, analiza el paquete de informacin al detalle y establece si puede ser
enviado a su destino en funcin de las polticas de seguridad del sistema.
En el supuesto caso de que fuera el nico sistema de proteccin, y ante su posible falla, la red o el
equipo puede verse expuesto a las amenazas del exterior. El "screening router" puede dar acceso a
un servicio (o denegarlo). Pero, de haberse producido el acceso no autorizado, no puede realizar
protecciones individuales dentro del mismo.
Cmo filtra paquetes? Un Firewall filtra o discrimina paquetes de informacin o de datos que va
redirigiendo entre los host internos y externos del sistema, gracias a una seleccin que realiza
siguiendo las polticas de seguridad establecidas. Este redireccionamiento se conoce con el nombre
tcnico de "screening router". La finalidad de esta redireccin puede considerar algunos de los
siguientes elementos:
Bloqueo de todas las conexiones externas, salvo aquellas que trabajen bajo SMTP, para
permitir la recepcin de correo electrnico.
Bloqueo de todas las conexiones que puedan considerarse potencialmente inseguras.
Permitiendo el servicio de correo electrnico y de FTP, aunque manteniendo el bloqueo a
servicios potencialmente peligrosos como TFTP, RPC, servicios del tipo "r": rlogin (acceso por
clave no verificado), etc.
Existen una serie de elementos de seguridad que son similares a todos los Firewalls:
Un criterio de filtro de paquetes, que se establece para los puertos del dispositivo. Esta regla
se conoce como "filtro de paquetes".
Cuando un paquete de informacin llega al puerto establecido, cada uno de sus encabezados
se analiza. Generalmente atae a los del tipo IP, TCP o UDP.
Las reglas de filtro de paquetes se guardan en un orden preciso para que cada una de ellas se
ejecute en ese mismo orden, en funcin del tipo de paquete de informacin que llegue al
sistema de red o al equipo.
En el caso de que una regla (o parte de ella) se vea vulnerada, o no cumpla los requisitos
establecidos, el paquete de informacin podr recibirse en el sistema, pero, ste avisar
mediante alertas de cules han sido los protocolos y normas que no cumple.
Si la poltica de seguridad lo permite, la transmisin de los datos contina y se recibe el
paquete.
Si un paquete no cumple ninguna de las reglas, se manda un aviso al sistema, que impide su
acceso.
Una arquitectura del tipo "Screened Host" provee servicios desde un sistema que est en la red
interna, usando un router separado. La principal seguridad est dada por el filtrado de paquetes.
Definido por algunos autores como "Bastion Host", el mismo, podra estar situado en la red interna.
Los paquetes filtrados por el "screening router" son procesados de tal manera que el "Bastion Host" es
la nica mquina de la red interna a la que los host de Internet pueden abrir conexiones, donde solo
cierto tipo de conexiones son permitidas. Por lo tanto, cualquier sistema externo que intente acceder
al sistema interno deber conectarse con este host, el cual requiere tener un alto nivel de seguridad.
El filtrado de paquetes, tambin, debe permitirle al "Bastion Host" abrir conexiones al mundo exterior.
La configuracin del filtrado de paquetes en un "screening router", debera contemplar las siguientes
aproximaciones:
Permitir que hosts internos se conecten con hosts de Internet para ciertos servicios (servicios
permitidos por medio de paquetes filtrados), y
No permitir todas las conexiones desde los hosts internos (forzar a esos hosts a usar el
servicio de proxy via el "Bastion Host").
Estas aproximaciones se pueden combinar para brindar diferentes servicios: algunos pueden ser
permitidos directamente filtrando paquetes, mientras que otros directamente va proxy. Existen
algunas desventajas en una implementacin de este tipo; la principal es que si un ataque vulnera el
"Bastion Host", sto no es notado por la red interna. As mismo, el router tambin presenta un punto
de falla, si el mismo es comprometido, la red entera est disponible para ser atacada. El router puede
ser el primer elemento a utilizar en la estrategia de defensa perimetral, si bien el mismo debe contar
con recursos de seguridad e inspeccin para mejorar su rendimiento. En los temas subsiguientes
veremos, como esta instancia se potencia con los Firewalls.
2.6.14 Gateway
El trmino gateway se utiliza generalmente para todo software ejecutndose sobre un dispositivo, que
permite la conexin entre dos diferentes entornos actuando como un traductor. Usualmente un
gateway es necesario cuando un entorno, que utiliza un determinado protocolo, se comunica con otro
que emplea un protocolo distinto.
Un gateway puede traducir paquetes IPX (Novell) en paquetes IP, aceptar correos que provienen de
un tipo especfico de servidor y formato, y entregarlos en formato compresible para otro tipo diferente
de servidor o conectar enlaces de datos de distintas tecnologas, como Ethernet y Token Ring. Un
gateway ejecuta tareas mucho ms complejas que otros dispositivos de conexin como switches o
routers, sin embargo muchas personas designan a un router como un gateway, cuando ste es
utilizado para conectar dos tecnologas de enlace diferentes, tales como Ethernet a Frame Relay,
Ethernet a MPLS, Ethernet a Token Ring, etc. Otro ejemplo lo constituye un gateway de voz sobre IP
(VoIP), dispositivos utilizados para la digitalizacin de la voz a fin de poder transmitir la misma a
travs de redes digitales.
2.6.15 RAS
Remote Access Services (Servicios de Acceso Remoto) es un trmino utilizado para describir el
proceso de conexin entres sistemas remotos, bsicamente entre una estacin de trabajo que utiliza
la red telefnica pblica por medio de un mdem, a una red que utiliza un servidor RAS.
Un RAS tpico es el ofrecido por Microsoft Windows, el cual facilita la comunicacin entre
computadoras situadas a grandes distancias. La conexin puede estar materializada por diferentes
tecnologas, como ser PSTN, ISDN, DSL o Cablemodems. Dependiendo los protocolos que se utilicen
en su implementacin, dichas conexiones pueden ser en texto claro (sin seguridad) o protegidas
mediante el empleo de algoritmos de encriptacin.
2.6.16 PBX
Las compaas telefnicas emplean tecnologas de conmutacin, para trasmitir los llamados
telefnicos que realizan los abonados a sus correspondientes destinos. Una empresa telefnica posee
switches que conectan localidades, ciudades y reas metropolitanas, a travs del uso de anillos de
fibra ptica, por ejemplo.
Una Private Branch Exchange (PBX) es un switch telefnico privado que est situado dentro de la
empresa y es propiedad de la misma. Permite conectar a sus usuarios por medio de lneas locales,
facilitando las comunicaciones entre ellos sin tener que salir a la red pblica y cursando el trfico
externo a travs de enlaces troncales proporcionados por una prestataria externa.
Muchos sistemas PBX tienen password de administracin por defecto que nunca son cambiadas. En
consecuencia, un Phreaker (Hacker telefnico) que tiene conocimiento de las passwords tpicas de
cada fabricante de sistemas operativos para PBX, puede hacer uso de ellas para producir
enrutamiento de llamadas, reconfiguracin de switches o ganar acceso para realizar gratuitamente
llamadas locales e internacionales. De all la importancia de cambiar siempre las passwords por
defecto de estos dispositivos.
2.6.17 Firewall
Un Firewall constituye la primer lnea de defensa de una red y es empleado para restringir el acceso a
una red desde otra red. La mayora de las compaas utilizan Firewalls para restringir el acceso a sus
redes desde Internet, aunque tambin pueden ser usados para restringir trfico interno desde un
segmento de red a otro.
El propsito de los Firewall es aislar una red de otra y estn disponibles a travs de implementaciones
de software, como funcionalidad adicional en otro tipo de dispositivo (funciones de Firewall en un
Router) o como hardware dedicado (appliance especfico).
Un Firewall permite aplicar la poltica de seguridad de red de la compaa, inspeccionando el trfico
entrante y saliente a la misma, permitiendo slo los servicios autorizados mediante el anlisis de las
direcciones IP de origen y destino, los puertos de origen y destino y otros parmetros de inspeccin
como ser: nmeros de secuencia, campos de control, comandos especficos, etc., segn las
capacidades del sistema operativo del Firewall, filtrando los paquetes que no cumplen con la poltica
vigente.
La instalacin de un Firewall en la topologa de red de la empresa debe ser tal, que todo flujo de
trfico debe pasar sin excepcin a travs del mismo, a fin de poder implementar su poltica de
inspeccin.
Un Firewall puede ser un sistema (software o hardware), es decir, un dispositivo fsico (hard) que se
conecta entre la red y el cable de la conexin a Internet, como en el caso del CISCO PIX 535, o bien
un programa (soft) que se instala en el sistema que tiene el mdem (u otro dispositivo) que conecta
con Internet, como el Firewall-1 de CheckPoint. Incluso podemos encontrar PCs muy potentes y con
softwares especficos que lo nico que hacen es monitorear en tiempo real las comunicaciones entre
redes.
Es posible configurar un Firewall de forma que permita slo trfico de correo, de modo de proteger de
cualquier ataque sobre la red destino. Generalmente, estn configurados para proteger contra "logins"
sin autorizacin expresa desde cualquier parte del mundo. Esto, ayuda principalmente, a prevenir
ataques en mquinas y software de nuestra red.
Tambin, permiten bloquear el trfico "desde Internet hacia la empresa", admitiendo que los usuarios
del interior, se comuniquen libremente con los usuarios del exterior. Pueden protegernos de cualquier
tipo de ataque a la red, siempre y cuando se configuren para ello. Esto proporciona un sistema simple
para auditar la red.
Siempre que disponga de una red privada que vaya a conectarse a una red pblica, se necesita la
proteccin que este recurso ofrece. Incluso en el caso de los usuarios particulares que se conectan a
Internet mediante un mdem resulta recomendable, ya que permite estar protegido contra los ataques
que se puedan sufrir, as como moverse por la red de forma annima. De esta manera, los datos
estarn a salvo y la privacidad quedar asegurada.
Como claros beneficios, se pueden citar la seguridad frente a cierto nivel de ataques externos y la
oportunidad de permitir acceder a determinados recursos de la red pblica slo a ciertas personas. De
esta manera, el administrador sabe a qu elementos se accede y quin lo hace.
Tener uno de estos sistemas implica ciertas restricciones para los usuarios, que no suelen ser
aceptadas con agrado. Adems, puede constituir un cuello de botella en el acceso a ciertos recursos,
debido a que todo el trfico entre la red privada y la pblica debe ser analizado y registrado por si se
necesita un anlisis posterior de estos datos.
Tambin, hay que tener en cuenta que si falla ambas redes podran quedar virtualmente aisladas con
todos los inconvenientes que ello pueda acarrear. No obstante, las alternativas son la falta de
seguridad o la incapacidad de acceso a las redes pblicas, y ninguna de estas posibilidades resulta
aceptable.
SI bien son cada vez ms necesarios en nuestras redes, "todos los expertos recomiendan que no se
usen en lugar de otras herramientas, sino junto a ellas"; cualquier firewalls, desde el ms simple al
ms avanzado, presenta dos consideraciones de seguridad:
Por un lado, centralizan todas las medidas en un nico sistema, de forma que si ste se ve
comprometido y el resto de nuestra red no est lo suficientemente protegido, el atacante consigue
amenazar a toda la subred simplemente poniendo en jaque a una mquina.
El segundo punto, relacionado con ste, es la falsa sensacin de seguridad que proporciona:
generalmente un administrador que no disponga del mismo, comnmente, va a preocuparse de la
integridad de todas y cada una de sus mquinas, pero en el momento en que lo instala y lo configura
asume que toda su red es segura, por lo que se suele descuidar enormemente la seguridad de los
equipos de la red interna.
Esto, como acabamos de comentar, es un grave error, ya que en el momento que un pirata acceda al
Firewall en cuestin (recordemos que es un sistema muy expuesto a ataques externos)
automticamente va a tener la posibilidad de controlar toda la red objeto del ataque.
Como veremos ms adelante (y esto es algo de sentido comn), evidentemente no protege contra
ataques que no pasan por l: incluyendo todo tipo de ataques internos dentro del permetro de
seguridad, pero tambin otros factores que a priori no deberan suponer un problema. El tpico
ejemplo de estos ltimos son los usuarios que instalan sin permiso, sin conocimiento del administrador
de la red, y muchas veces sin pensar en sus consecuencias, un simple mdem en sus PCs o
estaciones de trabajo; esto tan habitual en muchas organizaciones, supone la violacin y la ruptura
total del permetro de seguridad, ya que posibilita accesos a la red no controlados por el Firewall.
Otro problema de sentido comn es la reconfiguracin de los sistemas al pasarlos de una zona a otra
con diferente nivel de seguridad, por ejemplo al mover un equipo que se encuentra en el rea
protegida a la DMZ (veremos ms adelante lo que estas siglas significan); este acto [que en ocasiones
no implica ni tan siquiera el movimiento fsico del equipo, sino simplemente conectarlo en una toma de
red diferente] puede ocasionar graves problemas de seguridad en nuestra organizacin, por lo que
cada vez que un cambio de este estilo se produzca no slo es necesaria la reconfiguracin del
sistema, sino la revisin de todas las polticas de seguridad aplicadas a esa mquina.
2.6.18 IDS
Un Intrusion Detection System (Sistema de Deteccin de Intrusos) cumple una funcin diferente a un
Firewall, debido a que son diseados para detectar anormalidades de seguridad, como ser el uso no
autorizado o abuso de un recurso, o bien un intento de ataque sobre los mismos. Estos recursos
pueden ser computadoras (servidores), redes o infraestructura de comunicaciones.
Un IDS est diseado para ayudar a mitigar el dao que puede causar a los recursos un incidente de
seguridad. Su funcin consiste en detectar trfico sospechoso y reaccionar enviando alarmas o
reconfigurando dispositivos con el objeto de finalizar conexiones.
Las herramientas generales de IDS pueden implementarse, al igual que los Firewalls, sobre
dispositivos dedicados (appliance) o mediante software. Aunque existen diferentes tipos de productos,
la mayora tienen en comn tres componentes:
Sensores Analizadores
Interface de administracin
Los sensores se encargan de recolectar el trfico y los datos propios de la actividad de los usuarios,
enviando esta informacin al analizador. ste controla el trfico recolectado en busca de actividades
sospechosas. Si detecta una actividad programada como maliciosa, enva inmediatamente una alarma
a la pantalla de la interface de administracin, a fin de alertar en forma oportuna al administrador de
seguridad, sobre la ejecucin de un posible ataque.
2.6.19 Comparacin del modelo IEEE con el modelo OSI
El Instituto de Ingeniera Elctrica y Electrnica (IEEE) es una organizacin profesional que define
estndares de red. Los estndares IEEE 802.3 y 802.5, son los estndares de LAN ms conocidos y
predominantes del mundo actual. Los estndares IEEE abarcan slo las dos capas inferiores del
modelo OSI. A diferencia del modelo OSI, los estndares IEEE dividen la capa de enlaces de datos en
dos subcapas , llamadas subcapa MAC (Medium Access Control - Control de Acceso al Medio) y
subcapa LLC (Logical Link Control - Control de enlace Lgico) .
La IEEE define con un estndar la subcapa LLC, denominado IEEE 802.2. La subcapa MAC comparte
la definicin del estndar con la capa fsica, as nos encontramos con los estndares IEEE 802.3,
802.11 que definen, adems de un mtodo de acceso, los medios y conectores que se debern utilizar
para interconectar los dispositivos
802.1x es un estndar del IEEE que est diseado para proporcionar acceso a una red. 802.1x realiza
la autenticacin de los clientes a nivel de puertos, utilizando la informacin contenida en las
credenciales nicas de cada cliente.
Al implementarse sobre un switch ocurre lo siguiente: El cliente, una estacin de trabajo por ejemplo,
le solicita acceso al dispositivo de conmutacin, es decir, al Switch, quien reenva al servidor de
autenticacin (RADIUS) dicha solicitud actuando como un proxy, bloqueando mientras tanto el acceso
a la red por parte del cliente. Este servidor de autenticacin valida la identidad del cliente y notifica al
Switch si el cliente est autorizado o no para acceder a la LAN
Una alternativa de seguridad para wireless LAN usando este estndar, consiste en proporcionar
autenticacin centralizada y distribucin dinmica de claves. Este enfoque del 802.11 utiliza 802.1x e
EAP para lograr esta funcionalidad, la cual comprende:
Autenticacin mutua entre el cliente y el servidor de autenticacin (RADIUS)
Claves de encriptacin que son derivadas dinmicamente luego de la autenticacin
Control centralizado de polticas, donde al expirar el tiempo de sesin se inicia un proceso de
reautenticacin y una nueva generacin de las claves de encriptacin.
Al implementarse, un cliente wireless que se asocia al access point no puede obtener acceso a la red
hasta que el usuario ejecuta el proceso de logon. Al hacerlo, se intercambian mensajes EAP entre el
cliente y el servidor de autenticacin (RADIUS) para realizar una autenticacin mutua, donde el cliente
verifica las credenciales del servidor y viceversa. Un suplicante EAP es usado en el dispositivo del
cliente para obtener sus credenciales. Luego de realizarse con xito la autenticacin mutua, se
obtiene una clave que va a ser empleada por el cliente durante su sesin. La password del cliente y la
clave de sesin nunca es transmitida en texto claro a travs del enlace.
Un ejemplo de protocolo no determinstico es CSMA/CD (Carrier Sense Multiple Access with Collision
Detection o acceso mltiple con deteccin de portadora y deteccin de colisiones), utilizado como
mtodo de acceso en el estndar 802.3. En CSMA/CD, cuando una estacin quiere transmitir,
escucha en el medio. Si el medio est ocupado, la estacin espera hasta que se desocupa; sino,
transmite de inmediato. Si dos o ms estaciones comienzan a transmitir simultneamente por un
medio desocupado, las tramas se superponen en el medio y la seal resultante se altera, esto se
conoce como colisin. Todas las estaciones involucradas en la colisin abortan su transmisin,
esperan un tiempo aleatorio y repiten de nuevo todo el proceso.
Por otro lado, Token Ring y FDDI, son ejemplos de protocolos determinsticos. En una red Token Ring,
los hosts se organizan en forma de anillo y una trama especial llamada "token" viaja de estacin a
estacin. Slo la estacin que tiene en su posesin el token es la estacin que puede transmitir. Como
slo existe un token, slo una estacin puede transmitir a la vez y de esta forma se evitan las
colisiones.
Las direcciones MAC se encuentran grabadas en las interfaces de red y no pueden ser modificadas,
por este motivo, tambin se las conoce como "direcciones fsicas". Cuando una estacin quiere enviar
datos hacia otra estacin, debe incluir la direccin de destino en el encabezado de la trama. Todas las
estaciones de la red LAN recibirn esta trama, pero slo la estacin que reconoce la direccin de
destino como propia ser la que procese la trama. Una estacin de trabajo podra configurar su NIC
para copiar localmente todas las tramas que son recibidas. Esta tcnica es conocida como modo
promiscuo y puede utilizarse para leer todo el trfico de una red. Ms adelante veremos los
problemas de seguridad pueden surgir en caso que algn usuario malicioso utilice esta tcnica.
Desactivacin de filtro MAC: Una de las tcnicas ms utilizadas por la mayora de los sniffers de
redes Ethernet se basa en la posibilidad de configurar la interfaz de red para que desactive su filtro
MAC (poniendo la tarjeta de red en modo promiscuo).
Las redes basadas en dispositivos Ethernet fueron concebidas en torno a una idea principal: todas las
mquinas de una misma red local comparten el mismo medio, de manera que todos los equipos son
capaces de ver el trco de la red de forma global.
Cuando se envan datos es necesario especificar claramente a quin van dirigidos, indicando la
direccin MAC. De los 48 bits que componen la direccin MAC, los 24 primeros bits identifican al
fabricante del hardware, y los 24 bits restantes corresponden al nmero de serie asignado por el
fabricante. Esto garantiza que dos tarjetas no puedan tener la misma direccin MAC.
Para evitar que cualquier mquina se pueda apropiar de informacin fraudulenta, las tarjetas Ethernet
incorporan un ltro que ignora todo el trco que no les pertenece, descartando aquellos paquetes con
una direccin MAC que no coincide con la suya. La desactivacin de este ltro se conoce con el
nombre de modo promiscuo.
Con el uso adecuado de expresiones regulares y otros ltros de texto, se podr visualizar o almacenar
nicamente la informacin que ms interese; en especial, aquella informacin sensible, como nombres
de usuario y contraseas.
El entorno en el que suele ser ms efectivo este tipo de escuchas son las redes de rea local
conguradas con una topologa en bus. En este tipo de redes, todos los equipos estn conectado a un
mismo cable. Esto implica que todo el trco transmitido y recibido por los equipos de la red pasa por
este medio comn.
Una solucin para evitar esta tcnica consiste en la segmentacin de la red y de los equipos mediante
el uso de conmutadores (switches). Al segmentar la red y los equipos, el nico trco que tendran
que ver las mquinas sera el que les pertenece, puesto que el conmutador se encarga de encaminar
hacia el equipo nicamente aquellos paquetes destinados a su direccin MAC. Aun as, existen
tcnicas para poder continuar realizando sniffing aunque se haya segmentado la red mediante
switches. Una de estas tcnicas es la suplantacin de ARP.
2.7 ETHERNET
El primer estndar Ethernet fue publicado en la dcada del 80 por Digital, Intel y Xerox (DIX),
evolucionando hasta convertirse en la actualidad en la tecnologa LAN de mayor difusin. Como
referencia pensemos que la mayora del trfico de Internet comienza y termina en una red Ethernet.
La versin original brindaba un ancho de banda de 10 Mbps sobre cable coaxil grueso (Thick Ethernet,
10BASE5) y permita comunicar estaciones hasta una distancia de 500 mts. Utilizaba el protocolo
CSMA/CD para ordenar el acceso al medio y resolver las colisiones.
Ethernet se fue adaptando de acuerdo a las nuevas necesidades y tecnologas. As es como hoy
podemos contar con redes ethernet de hasta 10Gbps de ancho de banda, transmitiendo sobre
distintos tipos de cobre y fibra ptica.
En la tabla puede observar un resumen de las caractersticas principales de las diferentes versiones.
2.7.1 Colisiones
En las redes ethernet todas las estaciones comparten el mismo medio para la transferencia de datos,
es decir que comparten el mismo cable fsico. Por este motivo, si dos estaciones comienzan a
transmitir de forma simultnea, las seales elctricas que se propagan por el cable colisionarn,
producindose una prdida de la informacin en trnsito .
El rea de la red donde las transmisiones pueden colisionar, se denomina "dominio de colisin". Un
dominio de colisin incluye todos los medios y dispositivos que conforman el rea (estaciones de
trabajo, repetidores, hubs, transceptores, medios fsicos, etc.).
2.7.2 CSMA/CD
El mtodo de acceso al medio de las redes Ethernet se denomina CSMA/CD por sus siglas en ingls
(Carrier Sense, Multiple Access with Collission Detection - Acceso Mltiple con Deteccin de portadora
y Deteccin de Colisiones).
Est mtodo define la forma en que las estaciones deben transmitir los datos por el medio fsico
compartido. Cuando una estacin quiere transmitir una trama, lo primero que realiza es un sensado
del medio para asegurarse que no exista otra estacin transmitiendo. Si el medio est ocupado,
espera un tiempo y vuelve a sensarlo. Si el medio est libre, comienza a transmitir y simultneamente
contina escuchando el medio para asegurarse que su transmisin no colisione con la transmisin de
otra estacin. Si finaliza la transmisin sin detectar colisin, significa que la trama se ha enviado de
forma exitosa. Si durante la transmisin detect una colisin, enva una seal de "jamming" para
asegurarse que todas las dems estaciones detecten la colisin y descarten la trama que estaban
recibiendo. Una vez enviada la seal de jamming, la estacin deja de transmitir y elige en forma
aleatoria el intervalo de tiempo que deber esperar antes de intentar la retransmisin.
Si en la retransmisin vuelve a ocurrir una colisin se repite el proceso; pero antes, se incrementa la
cantidad de posibles intervalos de tiempo entre los que la estacin tendr la posibilidad de elegir, de
esta manera las posibilidades que tendrn dos estaciones de coincidir en el mismo intervalo se
reducen. Este ciclo se repite 15 veces, si en la 15 retransmisin ocurre una colisin, se descarta la
trama y se reportan problemas en el acceso a la red.
Se ha visto que, aun cuando CSMA reduce la posibilidad de colisiones, stas todava se producen.
Dos o ms estaciones transmitiendo tramas que colisionan originan un desperdicio de la capacidad
(ancho de banda) disponible, pues la informacin en el medio fsico no es vlida durante todo el
tiempo que dura la transmisin de dichas tramas.
El inconveniente en CSMA es que cuando se produce una colisin entre tramas, el medio queda
ocupado durante todo el tiempo que dura la transmisin de la trama. Parece obvio que sera adecuado
cortar lo antes posible la transmisin con el fin de dejar libre el canal lo antes posible para iniciar un
nuevo intento.
Dotando a las estaciones de la capacidad de detectar en tiempo real que sus transmisiones se
superponen (colisionan) con otras, aquellas podran interrumpir su transmisin cuando eso sucediera,
ahorrando tiempo de mal uso del medio. El mecanismo de deteccin de colisiones (CD), por tanto,
reduce la duracin de las colisiones en caso de que stas se produzcan.
La realizacin del mecanismo CD depende de las caractersticas del medio fsico de transmisin, de la
tcnica de codificacin/modulacin empleada e incluso de la topologa de la red y de las variaciones
en los niveles de seal en cada punto de la red de las transmisiones procedentes de cualquier
estacin. La deteccin de colisiones es, por tanto, una tarea de la capa fsica aunque sta no toma
decisiones y simplemente notifica de la ocurrencia de colisin a la subcapa MAC, que es la que
ejecuta el algoritmo de acceso CSMA/CD.
En algunos contextos, el mecanismo CD no est exento de problemas; por ejemplo, en las redes va
radio la atenuacin de las seales es muy grande (como mnimo, aumenta con el cuadrado de la
distancia), por lo que, a veces, puede ser muy difcil detectar que una transmisin con un nivel de
seal fuerte se superpone con otra cuyo nivel es varios ordenes de magnitud ms dbil. (Este es el
llamado captura o enmascaramiento.)
El estndar IEEE 802.2 (LLC): El estndar IEEE 802.2 (o ISO 8802-2) describe la subcapa superior
de la capa de enlace de datos, siendo sus caractersticas principales:
Utilizando los servicios ofrecidos por la subcapa MAC (Medium Access Control), proporciona
servicios a la capa de red.
Proporciona capacidad de direccionamiento interno (a nivel de sistema) mediante los L-SAP y
control de errores y de flujo (opcionalmente).
Su protocolo interno (o de subcapa) est basado en la familia de protocolos de enlace HDLC.
Independiza las capas superiores de las particularidades de cada LAN.
El estndar IEEE 802.3 (Ethernet): Los antecedentes de este estndar se sitan hacia el ao 1974
en el centro de investigaciones de Xerox Corporation en Palo Alto (California, USA). All, los
ingenieros David R. Boggs y Robert M. Metcalfe, entre otros, disearon una red basada en el
protocolo CSMA/CD, operando a 2,94 Mbit/s, que conectaba 100 estaciones de trabajo a lo largo de
un bus de 1 km de longitud. Poco despus, la alianza entre las compaas Digital, Intel y Xerox
propone una norma industrial para conectividad local, a la que llamaron Ethernet, operando a 10
Mbit/s.
La norma IEEE 802.3 difiere ligeramente de la norma de facto Ethernet y, adems, describe a toda
una familia de redes basadas en el protocolo CSMA/CD. La especificacin original de Ethernet, defina
las capas fsica y de enlace de datos del modelo OSI. Como esta especificacin no era un estndar
abierto, la organizacin IEEE defini un estndar llamado IEEE 802.3.
Este estndar no es compatible con la especificacin de Ethernet, porque no define completamente la
capa de enlace de datos, sino que la divide en dos subcapas, como ya se mencion, las subcapas
MAC y LLC. El estndar IEEE 802.3 cubre la capa fsica y la subcapa MAC, mientras que otro
estndar, el IEEE 802.2, define la subcapa LLC.
Hoy en da, el trmino Ethernet a menudo se usa para referirse a todas las LAN de acceso mltiple
con deteccin de portadora y deteccin de colisiones (CSMA/CD). Es muy comn que en una misma
red se utilicen de forma simultnea las dos especificaciones.
En el grfico se pueden observar las diferencias en el formato de trama que utilizan. En la trama IEEE
se detalla el encabezado propio de 802.3 ms el encabezado que corresponde a la subcapa LLC -
802.2. Las tramas Ethernet incluyen un campo "tipo" donde se especifica el tipo de protocolo que
transporta encapsulado. Cada protocolo tiene asignado un nmero, por ejemplo IP tiene asignado el
nmero 0x0800. En las tramas IEEE 802.3, esta identificacin no es necesaria porque siempre
transportan el mismo protocolo, el IEEE 802.2, y ste es el encargado de identificar el protocolo
encapsulado (mediante campos del encabezado 802.2). Las tramas IEEE incluyen un campo de
longitud (Length) que contiene el tamao de los datos encapsulados (802.2 ms datos).
Token Ring: Esta tecnologa fue creada por IBM en los aos setenta y luego fue estandarizada por la
IEEE bajo el nombre de 802.5. Define una red donde todos los hosts conforman un anillo. El mtodo
de acceso al medio se denomina "token passing", porque se utiliza una trama de datos especial,
llamada token, para determinar qu estacin transmite. Como slo existe una trama de token, slo
una estacin podr transmitir simultneamente y no se producirn colisiones . El medio fsico es par
trenzado y puede trabajar a 4 Mbps o a 16 Mbps. En se pueden observar los formatos de una trama
de token y una trama de datos.
FDDI: Esta tecnologa define un anillo doble de fibra ptica y un ancho de banda de 100Mbps. El
mtodo de acceso al medio es similar a Token Ring, utiliza un token para definir qu estacin se
encuentra habilitada para transmitir. Es una red muy robusta dado el tipo de medio empleado (fibra
ptica) y porque contempla recuperacin ante fallas en el enlace fsico. Si ocurre una falla en un
anillo, se utiliza el segundo. En se pueden observar los formatos de una trama de token y una trama
de datos. Ambas tecnologas, as como Ethernet y sus derivados, son tecnologas de difusin, esto
significa que cuando una estacin transmite una trama, esta trama es recibida por todas las dems
estaciones. Cada estacin que recibe la trama, lee el campo de direccin destino, si no corresponde a
su direccin MAC, entonces descarta la trama, pero si se identifica como el destino, entonces termina
de recibir la trama y procede a interpretarla.
Frame Relay es una propuesta de ANSI de 1990, planteada como una evolucin del servicio de X.25,
que incorpora las mejoras tecnolgicas disponibles, para sustituir a las tecnologas de ese momento.
Frame Relay pretende sintetizar una tecnologa articulada sobre mecanismos simples. Por este
motivo, Frame Relay potencia los aspectos destinados a alcanzar esta simplicidad, entre los cuales
destacan la desaparicin de los elementos de gestin de la transmisin de los datos, la sealizacin
fuera de banda y la supresin de los controles de error en los nodos intermedios.
De esta forma, Frame Relay se perfila como una tecnologa que con una menor potencia en los
equipos consigue mejorar la velocidad de transmisin de datos y el funcionamiento general de la red
al simplificar los aspectos de gestin.
Entre las motivaciones que llevaron al desarrollo de esta tecnologa, pueden distinguirse las causas
funcionales y a las de implementacin.
Frame Relay es una tecnologa de red cuya simplicidad afecta a dos aspectos de control
fundamentales, que en otras redes como X.25 son muy importantes para su correcto funcionamiento:
En primer lugar, no hay controles de flujo, por lo que si se produce congestin en la red, el trfico
entrante puede perderse por simple desbordamiento de colas. En segundo lugar, no hay control de
errores en los nodos de la red, gracias a que el medio fsico proporciona una probabilidad de error de
smbolo baja.
El servicio ofrecido es orientado a conexin. Durante la fase de conexin, se establece la ruta del
circuito virtual y se sealiza a la red con el fin de garantizar parmetros de calidad al usuario (caudal y
retardo). La conmutacin se caracteriza por operar en modo conmutacin rpida de mensajes. Este
procedimiento trata de encaminar la informacin tan pronto la trama de datos entra al conmutador.
Frame Relay no prev mecanismos de prioridad para los paquetes de informacin, de tal modo que
todos ellos reciben el mismo trato por parte de la red. Sin embargo, esta afirmacin deber ser
matizada ms adelante puesto que aunque efectivamente la red no proporciona herramientas
explcitas de prioridad, s es cierto que existe una forma prctica que permite definir dos niveles de
calidad, basados en el campo DE de la trama.
2.9 PROTOCOLO IP
2.9.1 Fragmentacin IP
El protocolo IP es el encargado de seleccionar la trayectoria que deben seguir los datagramas IP. No
es un protocolo able ni orientado a conexin, es decir, no garantiza el control de ujo, la recuperacin
de errores ni que los datos lleguen a su destino.
A la hora de pasar a la capa inferior, los datagramas IP se encapsulan en tramas que, dependiendo de
la red fsica utilizada, tienen una longitud determinada. Cuando los datagramas IP viajan de unos
equipos a otros, pueden pasar por distintos tipos de redes. El tamao exacto de estos paquetes,
denominado MTU (Maxim Transfer Unit.), puede variar de una red a otra dependiendo del medio fsico
empleado para su transmisin.
As, el protocolo IP debe tener en cuenta que ningn dispositivo puede transmitir paquetes de una
longitud superior al MTU establecido por la red por la que hay que pasar. A causa de este problema,
es necesaria la reconversin de datagramas IP al formato adecuado.
La fragmentacin divide los datagramas IP en fragmentos de menor longitud y se realiza en el nivel
inferior de la arquitectura para que sea posible recomponer los datagramas IP de forma transparente
en el resto de niveles. El reensamblado realiza la operacin contraria.
El proceso de fragmentacin y reensamblado se ir repitiendo a medida que los datagramas vayan
viajando por diferentes redes.
Aunque la fragmentacin es, por lo general, una consecuencia natural del trco que viaja a travs de
redes con MTU de distintos tamaos, es posible que un atacante pueda realizar un mal uso de esta
propiedad del protocolo IP para provocar ataques de denegacin de servicio (a causa de una mala
implementacin de la pila TCP/IP), as como para esconder y facilitar la fase de recogida de
informacin (bsqueda de huellas identicativas, exploracin de puertos, ...) o incluso para hacer
pasar desapercibidos e introducir en la red paquetes para la explotacin de servicios. Esto ltimo es
posible porque muchos de los mecanismos de prevencin y de deteccin no implementan el
reensamblado de paquetes, y por ello no detectarn ni prevendrn este tipo de actividad a causa del
enmascaramiento que la fragmentacin les ofrece.
As pues, es importante comprender cmo funciona esta faceta del protocolo IP para entender este
mal uso del trco fragmentado que podra realizar un posible atacante para conseguir su objetivo.
Los dispositivos en la misma red lgica deben tener la misma direccin de red, pero cada uno debe
tener una direccin de host diferente . Esta agrupacin de direcciones en grupos de hosts o redes
hace que el direccionamiento de red tenga una estructura jerrquica, a diferencia del direccionamiento
de capa 2 cuya estructura es plana.
Una analoga al sistema de direccionamiento pueden ser los nmeros telefnicos, donde una parte (el
prefijo) identifica el pas o la regin y otra parte identifica el nmero particular. El prefijo es idntico
para todos los nmeros particulares del mismo pas o regin, pero cada telfono particular tiene un
nmero nico asociado.
2.9.5 Clases
Como se ha visto, las direcciones de red se dividen en una porcin asignada a la red y otra al host.
Con el fin de facilitar la administracin y optimizar el uso de direcciones, los diseadores del
direccionamiento determinaron la existencia de cinco clases de direcciones IP.
Clase A: La direccin Clase A se dise para admitir redes de tamao extremadamente grande, de
ms de 16 millones de direcciones de host disponibles. Las direcciones IP Clase A utilizan slo el
primer octeto para indicar la direccin de la red. Los tres octetos restantes son para las direcciones
host. Utiliza el primer octeto para direccionar redes y los tres restantes para direccionar los hosts
dentro de la red. El primer bit del primer octeto siempre es 0, entonces las direcciones de red de clase
A tienen un rango de 0 a 127, pero las direcciones 0 y 127 estn reservadas para fines especiales.
As, podemos tener hasta 126 redes clase A y en cada una de estas redes ms de 16 millones de
hosts. La red 127.0.0.0 se reserva para las pruebas de loopback. Los Routers o las mquinas locales
pueden utilizar esta direccin para enviar paquetes nuevamente hacia ellos mismos. Por lo tanto, no
se puede asignar este nmero a una red.
Clase B: La direccin Clase B se dise para cumplir las necesidades de redes de tamao moderado
a grande. Una direccin IP Clase B utiliza los primeros dos de los cuatro octetos para indicar la
direccin de la red. Los dos octetos restantes especifican las direcciones del host. Emplea dos
octetos para la porcin de red y los otros dos para la porcin del host. Los primeros dos bits de la
direccin de red han sido ajustados a 1 y 0, de esta manera la direccin de red tiene un rango desde
128 a 191. Con este formato, cada red podr tener ms de 65 mil hosts.
Clase C: Utiliza tres octetos para la porcin de red y los hosts de la red. Los tres primeros bits son
ajustados a 1, 1 y 0 respectivamente. Esto significa que la direccin de red para una red de clase C
vara desde 192 a 223. A cada una de estas redes se les pueden asignar hasta 254 hosts.
El espacio de direccionamiento Clase C es el que se utiliza ms frecuentemente en las clases de
direcciones originales. Este espacio de direccionamiento tiene el propsito de admitir redes pequeas
con un mximo de 254 hosts. Una direccin Clase C comienza con el binario 110. Por lo tanto, el
menor nmero que puede representarsees 11000000, 192 decimal. El nmero ms alto que puede
representarse es 11011111, 223 decimal. Si una direccin contiene un nmero entre 192 y 223 en el
primer octeto, es una direccin de Clase C.
Clase D y E: Estas clases de direccin estn reservadas para multicast (envo de informacin desde
un origen hacia varios destinos) y fines investigativos. No son utilizadas comercialmente para la
asignacin de direcciones a los hosts.
La direccin Clase D se cre para permitir multicast en una direccin IP. Una direccin multicast es
una direccin exclusiva de red que dirige los paquetes con esa direccin destino hacia grupos
predefinidos de direcciones IP. Por lo tanto, una sola estacin puede transmitir de forma simultnea
una sola corriente de datos a mltiples receptores. El espacio de direccionamiento Clase D, en forma
similar a otros espacios de direccionamiento, se encuentra limitado matemticamente. Los primeros
cuatro bits de una direccin Clase D deben ser 1110. Por lo tanto, el primer rango de octeto para las
direcciones Clase D es 11100000 a 11101111, o 224 a 239. Una direccin IP que comienza con un
valor entre 224 y 239 en el primer octeto es una direccin Clase D. Se ha definido una direccin
Clase E. Sin embargo, la Fuerza de tareas de ingeniera de Internet (IETF) ha reservado estas
direcciones para su propia investigacin. Por lo tanto, no se han emitido direcciones Clase E para ser
utilizadas en Internet. Los primeros cuatro bits de una direccin Clase E siempre son 1s. Por lo tanto,
el rango del primer octeto para las direcciones Clase E es 11110000 a 11111111, o 240 a 255.
2.9.6 Direcciones reservadas y privadas
En una direccin IP, nunca se asigna un campo de hosts igual a 0 a un host individual. En vez de esto,
una direccin IP con un campo de hosts de 0 se utiliza para referirse a la red en s misma. Por
ejemplo, 11.0.0.0.
El direccionamiento IP incluye, adems, una direccin de difusin o broadcast que se refiere a todos
los hosts de la red. Por regla, una direccin de difusin tiene todos los bits del campo de hosts
asignados como 1 (recordemos que el equivalente en decimal, de 8 bits 1 es 255). Por ejemplo, la
direccin 11.255.255.255, permitira alcanzar todos los hosts de la red 11.0.0.0. La direccin IP
255.255.255.255, se denomina comnmente broadcast de red local, y la utilizan los procesos para
alcanzar todos los hosts de la red local. Los routers normalmente no reenviarn estos paquetes.
La direccin de red 127.0.0.0, tampoco se puede utilizar para direccionamiento, porque se reserva
para loopback; y est diseada para utilizarse en las pruebas de funcionamiento del TCP/IP y para la
comunicacin de los procesos internos de la mquina local. Cuando algn programa utiliza la
direccin de loopback como destino, el software de protocolo regresa los datos sin generar trfico a
travs de la red.
Por otro lado, encontramos que hay ciertas direcciones en cada clase de direccin IP que no estn
asignadas. Estas direcciones se denominan direcciones privadas. Comnmente se utilizan para
direccionamiento en redes que no se conectan a Internet o en una red en la que no hay suficientes
direcciones pblicas disponibles. Debemos tener en cuenta que si deseamos conectar nuestra red con
Internet, estas direcciones deben ser traducidas a direcciones pblicas, porque cualquier trfico que
posea una direccin destino dentro de uno de los intervalos de direcciones privadas NO se enrutar a
travs de Internet .
Una mscara de subred tiene una longitud de 32 bits, dividida en 4 octetos, al igual que la direccin
IP. Se utiliza para determinar qu parte de la direccin IP corresponde al campo de red y qu parte
corresponde al campo de host.
La subred se interpreta mediante la mscara de red o subred. Si el bit de la mscara de red es 1, ese
bit equivalente en la direccin IP se interpreta como un bit de red. Si el bit de la mascara es 0, al bit
equivalente de la direccin IP se le considera parte de la direccin de host. De esta forma, un mtodo
para determinar la mscara de subred para una direccin IP particular, podra ser el siguiente:
1. Expresar la direccin IP en forma binaria.
2. Cambiar la porcin de red y subred de la direccin por todos unos.
3. Cambiar la porcin del host de la direccin por todos ceros.
4. Convertir la expresin en nmeros binarios nuevamente a la notacin decimal punteada.
Durante las ltimas dos dcadas, se desarrollaron numerosas extensiones al IPv4. Estas extensiones
se disearon especficamente para mejorar la eficiencia con la cual es posible utilizar un espacio de
direccionamiento de 32 bits. Dos de las ms importantes son las mscaras de subred y el
enrutamiento entre dominios sin clase (CIDR).
Mientras tanto, se ha definido y desarrollado una versin ms extensible y escalable del IP, la Versin
6 del IP (IPv6). IPv6 utiliza 128 bits en lugar de los 32 bits que en la actualidad utiliza el IPv4. IPv6
utiliza nmeros hexadecimales para representar los 128 bits. IPv6 proporciona 640 sextillones de
direcciones. Esta versin del IP porporciona un nmero de direcciones suficientes para futuras
necesidades de comunicacin.
Despus de diez aos de planificacin y desarrollo, el IPv6 lentamente comienza a implementarse en
redes selectas. Con el tiempo, el IPv6 podr reemplazar el IPv4 como el protocolo de Internet
dominante.
Un Router es un dispositivo de la capa de red que usa una o ms mtricas de enrutamiento para
determinar cul es la ruta ptima a travs de la cual se debe enviar el trfico de red. Las mtricas de
enrutamiento son valores que se utilizan para determinar las ventajas de una ruta sobre otra. Los
protocolos de enrutamiento utilizan varias combinaciones de mtricas para determinar la mejor ruta
para los datos. Los Routers interconectan segmentos de red o redes enteras. Pasan tramas de datos
entre redes basndose en la informacin de Capa 3. Los Routers toman decisiones lgicas con
respecto a cul es la mejor ruta para la entrega de datos. Luego dirigen los paquetes al puerto de
salida adecuado para que sean encapsulado para la transmisin. Los pasos del proceso de
encapsulamiento y desencapsulamiento ocurren cada vez que un paquete atraviesa un router. El
router debe desencapsular la trama de capa 2 y examinar la direccin de capa 3. El proceso completo
del envo de datos de un dispositivo a otro comprende encapsulamiento y desencapsulamiento de las
siete capas OSI. Este proceso divide el flujo de datos en segmentos, agrega los encabezados
apropiados e informacin final y luego transmite los datos. El proceso de desencapsulamiento es el
proceso inverso: quita los encabezados e informacin final, y luego combina los datos en un flujo
continuo.
La determinacin de la ruta ocurre a nivel de la capa de red. La determinacin de la ruta permite que
un Router compare la direccin destino con las rutas disponibles en la tabla de enrutamiento, y
seleccione la mejor ruta. Los Routers conocen las rutas disponibles por medio del enrutamiento
esttico o dinmico. Las rutas configuradas de forma manual por el administrador de la red son las
rutas estticas. Las rutas aprendidas por medio de otros Routers usando un protocolo de enrutamiento
son las rutas dinmicas. El Router utiliza la determinacin de la ruta para decidir por cul puerto debe
enviar un paquete en su trayecto al destino. Este proceso se conoce como enrutamiento del paquete.
Cada Router que un paquete encuentra a lo largo del trayecto se conoce como salto. El nmero de
saltos es la distancia cubierta. La determinacin de la ruta puede compararse a una persona que
conduce un automvil desde un lugar de la ciudad a otro. El conductor tiene un mapa que muestra las
calles que puede tomar para llegar a su destino, as como el Router posee una tabla de enrutamiento.
El conductor viaja desde una interseccin a otra al igual que un paquete va de un Router a otro en
cada salto. En cualquier interseccin el conductor determinar su ruta al ir hacia la izquierda, la
derecha, o avanzar derecho. Del mismo modo, un Router decide por cul puerto de salida debe
enviarse un paquete.
Las decisiones del conductor se ven influenciadas por mltiples factores como el trfico en la calle, el
lmite de velocidad, el nmero de carriles, si hay peaje o no, y si esa ruta se encuentra cerrada o no
con frecuencia. A veces es ms rpido tomar un recorrido ms largo por una calle ms angosta y
menos transitada que ir por una autopista con mucho trnsito. De la misma forma, los Routers pueden
tomar decisiones basndose en la carga, el ancho de banda, el retardo, el costo y la confiabilidad en
los enlaces de red. Se utiliza el siguiente proceso durante la determinacin de la ruta para cada
paquete que se enruta:
El router compara la direccin IP del paquete recibido contra las tablas que tiene.
Se obtiene la direccin destino del paquete .
Se aplica la mscara de la primera entrada en la tabla de enrutamiento a la direccin destino.
Se compara el destino enmascarado y la entrada de la tabla de enrutamiento.
Si hay concordancia, el paquete se enva al puerto que est asociado con la entrada de la
tabla.
Si no hay concordancia, se compara con la siguiente entrada de la tabla.
Si el paquete no concuerda con ninguno de las entradas de la tabla, el Router verifica si se
envi una ruta por defecto.
Si se envi una ruta por defecto, el paquete se enva al puerto asociado. Una ruta por defecto
es aquella que est configurada por el administrador de la red como la ruta que debe usarse si
no existe concordancia con las entradas de la tabla de enrutamiento.
El paquete se elimina si no hay una ruta por defecto. Por lo general se enva un mensaje al
dispositivo emisor que indica que no se alcanz el destino.
Los Routers utilizan los protocolos de enrutamiento para intercambiar las tablas de enrutamiento y
compartir la informacin de enrutamiento. En otras palabras, los protocolos de enrutamiento permiten
enrutar protocolos enrutados.
Las funciones de un protocolo de enrutamiento incluyen lo siguiente:
Ofrecer procesos para compartir la informacin de ruta
Permitir que los Routers se comuniquen con otros Routers para actualizar y mantener las
tablas de enrutamiento. Los ejemplos de protocolos de enrutamiento que admiten el protocolo
enrutado IP incluyen el Protocolo de informacin de enrutamiento (RIP) y el Protocolo de
enrutamiento de Gateway interior (IGRP), el Protocolo primero de la ruta libre ms corta
(OSPF), el Protocolo de Gateway fronterizo (BGP), el IGRP mejorado (EIGRP).
2.9.17 Protocolos enrutables y enrutados
Un protocolo es un conjunto de reglas que determina cmo se comunican los computadores entre s a
travs de las redes. Los computadores se comunican intercambiando mensajes de datos. Para
aceptar y actuar sobre estos mensajes, los computadores deben contar con definiciones de cmo
interpretar el mensaje. Los ejemplos de mensajes incluyen aquellos que establecen una conexin a
una mquina remota, mensajes de correo electrnico y archivos que se transmiten en la red. Un
protocolo describe lo siguiente:
El formato al cual el mensaje se debe conformar
La manera en que los computadores intercambian un mensaje dentro del contexto de una
actividad en particular
Un protocolo enrutado permite que un Router enve datos entre nodos de diferentes redes. Para que
un protocolo sea enrutable, debe admitir la capacidad de asignar a cada dispositivo individual un
nmero de red y uno de Host. Algunos protocolos como los IPX, requieren slo de un nmero de red
porque estos protocolos utilizan la direccin MAC del Host como nmero de Host. Otros protocolos,
como el IP, requieren una direccin completa que especifique la porcin de red y la porcin de Host.
Estos protocolos tambin necesitan una mscara de red para diferenciar estos dos nmeros. La
direccin de red se obtiene al realizar la operacin "AND" con la direccin y la mscara de red. La
razn por la que se utiliza una mscara de red es para permitir que grupos de direcciones IP
secuenciales sean considerados como una sola unidad. Si no se pudiera agrupar, cada Host tendra
que mapearse de forma individual para realizar el enrutamiento.
El Protocolo Internet (IP) es la implementacin ms popular de un esquema de direccionamiento de
red jerrquico. IP es un protocolo de entrega no orientado a la conexin, poco confiable y de mximo
esfuerzo. El trmino no orientado a la conexin significa que no se establece ningn circuito de
conexin dedicado antes de la transmisin, como s lo hay cuando se establece una comunicacin
telefnica. IP determina la ruta ms eficiente para los datos basndose en el protocolo de
enrutamiento. Los trminos poco confiables y de mximo esfuerzo no implican que el sistema no sea
confiable y que no funcione bien; ms bien significan que IP no verifica que los datos lleguen a su
destino. La verificacin de la entrega no siempre se lleva a cabo. A medida que la informacin fluye
hacia abajo por las capas del modelo OSI, los datos se procesan en cada capa. En la capa de red,
los datos se encapsulan en paquetes, tambin denominados datagramas. IP determina los contenidos
de cada encabezado de paquete IP, lo cual incluye el direccionamiento y otra informacin de control,
pero no se preocupa por la informacin en s. IP acepta todos los datos que recibe de las capas
superiores.
Uno de los principales problemas del networking es cmo comunicarse con los otros dispositivos de la
red. En la comunicacin TCP/IP, el datagrama de una red de rea local debe contener tanto una
direccin MAC destino como una direccin IP destino. Estas direcciones deben ser correctas y
concordar con las direcciones IP y MAC destino del dispositivo host. Si no concuerdan, el host destino
descartar el datagrama. La comunicacin dentro de un segmento de LAN requiere de dos
direcciones. Debe haber una forma de mapear las direcciones IP a MAC de forma automtica. Se
necesitara demasiado tiempo si el usuario creara los mapas de forma manual. El cojunto TCP/IP
cuenta con un protocolo, llamado Protocolo de resolucin de direcciones (ARP), que puede obtener
las direcciones MAC, de forma automtica, para la transmisin local. Pueden surgir diferentes
problemas cuando se manda informacin fuera de la LAN.
Para que TCP/IP pueda realizar la entrega de un paquete a un host, no es suficiente con conocer su
direccin IP, adems debe conocer la direccin fsica. De esta manera, la direccin MAC cumple la
funcin de identificar el destinatario prximo directo en el camino hacia el destinatario final,
identificado por la direccin IP (que podra ser el mismo).
La funcin del protocolo de resolucin de direcciones (Address Resolution Protocol - ARP) es
garantizar que un host encuentre la direccin fsica de otro host ubicado en la misma red, conociendo
su direccin IP . Para lograr su objetivo, el protocolo ARP utiliza dos tipos de tramas :
Una trama de peticin ARP. Esta trama permite solicitar la direccin MAC de un dispositivo,
identificado por su direccin IP. Para asegurarse que todos los dispositivos de la red local
procesen la peticin ARP, el origen coloca como direccin fsica de destino la direccin de
broadcast MAC (formada por F hexadecimales en todas las posiciones, es decir, FF-FF-FF-FF-
FF-FF).
Una trama de respuesta ARP. Esta trama es la respuesta a una peticin ARP, y se utiliza para
informar la direccin MAC solicitada. Se enva slo al host que origin la peticin ARP.
Por motivos de optimizacin, los hosts mantienen una tabla ARP local . Las tablas ARP son registros
guardados en la memoria cach de cada host que contienen las asociaciones de direcciones MAC a
direcciones IP, que el dispositivo aprende a travs de las solicitudes ARP realizadas. Estos registros
se mantienen en cada host por un perodo de tiempo determinado y luego se borran.
Las comunicaciones entre dos segmentos de LAN tienen una tarea extra. Tanto las direcciones IP
como las MAC son necesarias para el dispositivo de enrutamiento intermedio y el host destino. TCP/IP
tiene una variante en ARP llamada ARP proxy que proporciona la direccin MAC de un dispositivo
intermedio para realizar la transmisin a otro segmento de la red fuera de la LAN.
2.10.5 RARP
El Protocolo de resolucin inversa de direcciones (RARP) asocia las direcciones MAC conocidas a
direcciones IP. Esta asociacin permite que los dispositivos de red encapsulen los datos antes de
enviarlos a la red. Es posible que un dispositivo de red, como por ejemplo una estacin de trabajo sin
disco, conozca su direccin MAC pero no su direccin IP. RARP permite que el dispositivo realice una
peticin para conocer su direccin IP. Los dispositivos que usan RARP requieren que haya un servidor
RARP en la red para responder a las peticiones RARP. Considere el caso en que un dispositivo
origen desee enviar datos al dispositivo madre. En este ejemplo, el dispositivo fuente conoce su
propia direccin MAC pero es incapaz de ubicar su propia direccin IP en la tabla ARP. El dispositivio
origen debe incluir tanto su direccin MAC como su direccin IP para que el dispositivo destino retire
los datos, los pase a las capas superiores del modelo OSI y responda al dispositivo transmisor. De
esta manera, el origen inicia un proceso denominado peticin RARP. Esta peticin ayuda al dispositivo
origen a detectar su propia direccin IP. Las peticiones RARP se envan en broadcast a la LAN y el
servidor RARP que por lo general es un Router responde. RARP utiliza el mismo formato de paquete
que ARP. Sin embargo, en una peticin RARP, los encabezados MAC y el "cdigo de operacin" son
diferentes a los de una peticin ARP. El formato de paquete RARP contiene lugares para las
direcciones MAC tanto de los dispositivos de origen como de los de destino. El campo de direccin IP
origen est vaco. El broadcast se dirige a todos los dispositivos de la red. Por lo tanto, la direccin
MAC destino deber ser: FF:FF:FF:FF:FF:FF. Las estaciones de trabajo que admiten RARP tienen
cdigos en ROM que los dirige a iniciar el proceso de RARP.
2.10.6 BOOTP
El protocolo bootstrap (BOOTP) opera en un entorno cliente-servidor y slo requiere el intercambio de
un solo paquete para obtener la informacin IP. Sin embargo, a diferencia del RARP, los paquetes de
BOOTP pueden incluir la direccin IP, as como la direccin de un Router, la direccin de un servidor y
la informacin especfica del fabricante.
Un problema del BOOTP es que no se dise para proporcionar la asignacin dinmica de las
direcciones. Con el BOOTP, un administrador de redes crea un archivo de configuracin que
especifica los parmetros de cada dispositivo. El administrador debe agregar hosts y mantener la
base de datos del BOOTP. Aunque las direcciones se asignan de forma dinmica, todava existe una
relacin exacta entre el nmero de direcciones IP y el nmero de hosts. Esto significa que para cada
host de la red, debe haber un perfil BOOTP con una asignacin de direccin IP en l. Dos perfiles
nunca pueden tener la misma direccin IP. Es posible que estos perfiles se utilicen al mismo tiempo y
esto quiere decir que dos hosts tendran la misma direccin IP.
Un dispositivo utiliza el BOOTP para obtener una direccin IP cuando se inicializa. El BOOTP utiliza
UDP para transportar los mensajes. El mensaje UDP se encapsula en un paquete IP. Un computador
utiliza el BOOTP para enviar un paquete IP de broadcast a la direccin IP destino de todos unos, o
sea, 255.255.255.255 en anotacin decimal punteada. El servidor del BOOTP recibe el broadcast y
responde en forma de broadcast. El cliente recibe una trama y verifica la direccin MAC. Si el cliente
encuentra su propia direccin MAC en el campo de direccin destino y un broadcast en el campo IP
destino, toma la direccin IP y la guarda junto con la otra informacin proporcionada por el mensaje
BOOTP de respuesta.
2.10.7 ICMP
IP utiliza un mtodo de entrega de paquetes no confiable conocido como mecanismo de entrega con
el mejor esfuerzo. Esto significa que IP no incluye procesos para asegurar que los datos enviados
sean entregados al destino en los casos que ocurran problemas en la red, los paquetes que se
pierden, simplemente se pierden.
Si un dispositivo intermedio como un router falla, o si el dispositivo destino est desconectado de la
red, los paquetes de datos no se podrn entregar y el protocolo IP no tiene implementado ningn
mecanismo que le permita notificar al origen que la transmisin ha fallado.
El protocolo de mensajes de control de Internet (ICMP) es el componente de la pila de protocolos
TCP/IP que se ocupa de estas limitaciones de IP. Es importante tener en cuenta que ICMP no hace
que el protocolo IP sea confiable, la confiabilidad debe ser provista por las capas superiores en el
caso que sean necesarias.
ICMP se ocupa bsicamente de informar errores y sucesos para IP. Cuando ocurre un error en la
entrega de un datagrama, ICMP es usado para reportar ese error al origen del datagrama. Por
ejemplo, si la estacin 1 de la figura enva un datagrama a la estacin 2 pero la interfaz Ethernet del
router B no est disponible, el router utiliza ICMP para enviarle un mensaje a la estacin 1 (y slo a la
estacin 1) indicando que el datagrama no puede ser entregado. Note que ICMP no soluciona los
errores encontrados, simplemente los informa.
TCP es un protocolo orientado a la conexin. Los protocolos orientados a la conexin, deben realizar
una conexin entre el emisor y el receptor antes de transmitir informacin. Un extremo debe iniciar la
conexin (generalmente el cliente), y el otro extremo debe aceptarla (generalmente el servidor).
La conexin se divide en tres fases:
1. Establecimiento de la conexin
2. Transferencia de datos
3. Finalizacin de la conexin
Algunos protocolos que utilizan TCP para garantizar una comunicacin confiable entre las entidades
cliente y el servidor son los siguientes:
Telnet
FTP
HTTP
2.11.1 Identificacin de mecanismos de Control TCP
La huella identicativa que un atacante querra obtener de los sistemas de una red hace referencia a
toda aquella informacin de la implementacin de pila TCP/IP de los mismos. En primer lugar, esta
informacin le permitir descubrir de forma muy able el sistema operativo que se ejecuta en la
mquina analizada. Por otro lado, estos datos, junto con la versin del servicio y del servidor
obtenidos anteriormente, facilitarn al atacante la bsqueda de herramientas necesarias para realizar,
por ejemplo, una explotacin de un servicio contra algunos de estos sistemas.
La mayor parte de las tcnicas para obtener esta huella identicativa se basan en la informacin de la
pila TCP/IP que puede obtenerse a partir de los mecanismos de control del intercambio de tres pasos
propio del protocolo TCP/IP.
El protocolo TCP es un protocolo de la capa de transporte que asegura que los datos sean enviados
correctamente. Esto significa que se garantiza que la informacin recibida se corresponda con la
informacin enviada y que los paquetes sean ensamblados en el mismo orden en que fueron
enviados.
Generalmente, las caractersticas de implementacin de los mecanismos de control incorporados en el
diseo de TCP en pila TCP/IP de un sistema operativo se basa en la interpretacin que los
desarrolladores realizan de los RFC. La interpretacin de los RFC (y por lo tanto, las caractersticas
propias de implementacin) puede ser muy distinta en cada sistema operativo (incluso en diferentes
versiones de un mismo sistema operativo). As pues, la probabilidad de acierto del sistema operativo
remoto mediante esta informacin es muy elevada.
Los bits de cdigo son un componente esencial del segmento TCP, dado que definen el tipo de
segmento. Comprenden 6 bits, cada bit corresponde a una bandera:
U (URG): Indica que el campo Marcador Urgente es vlido.
A (ACK): Indica que el nmero de acuse de recibo almacenado en el campo Acuse de Recibo
es vlido.
P (PSH): Funcin PUSH, para indicar al TCP que entregue los datos de este mensaje de
inmediato al proceso de la capa superior.
R (RST): Indica al TCP que debe restablecer el circuito virtual, a causa de un error no
recuperable.
S (SYN): Indica la apertura de una conexin de circuito virtual, y un pedido de sincrona entre
el nmero de secuencia enviado y el nmero de acuse esperado.
F (FIN): Indica al TCP que debe finalizar la conexin, probablemente porque la aplicacin no
tiene ms datos para enviar.
2.11.4 Puertos
Entre dos estaciones de trabajo puede existir ms de una conexin TCP. Supongamos que desde
nuestra estacin de trabajo accedemos a un servidor web para visualizar una pgina y,
simultneamente transferimos un archivo hacia el mismo servidor. Para cada una de estas tareas, se
establece una conexin TCP diferente. Para indicarle al servidor que solicitamos una conexin para
transferir un archivo, o para visualizar una pgina, se utilizan los Puertos.
Los puertos (ports) tienen como objetivo identificar las diferentes aplicaciones. El puerto es un nmero
(entre 1 y 65535) que identifica la aplicacin que est transfiriendo informacin . Para cada segmento
TCP que se enva, se especifica un puerto origen (aplicacin transmisora) y un puerto destino
(aplicacin receptora) .
Los nmeros de puerto se pueden dividir en los siguientes intervalos:
Puertos inferiores a 255: asignados a aplicaciones pblicas, llamados puertos "bien conocidos"
(well known)
Puertos entre 255 y 1023: asignados a empresas para aplicaciones comercializables.
Puertos superiores a 1023: no estn regulados.
Cuando un cliente quiere conectarse a un servidor enva un segmento indicando, el puerto destino
(generalmente un puerto bien conocido) asociado a la aplicacin requerida y el puerto origen,
generalmente asociado a un nmero mayor a 1023.
La mayor parte de aplicaciones para realizar exploracin de puertos TCP suelen ser ruidosas, es
decir, no intentan esconder lo que se est analizando en la red. Esto suele ser as porque se presume
que o bien nadie est revisando la actividad de exploracin o que, utilizando un equipo comprometido,
nadie podr descubrir el equipo desde el que realmente se realiza la exploracin de puertos.
2.11.9 Sockets
Los sockets son interfaces utilizadas por los sistemas operativos para brindar acceso a los protocolos
de comunicaciones. Consideremos la siguiente terminologa:
Un socket es un tipo de "archivo" especial, el cual es usado por los procesos del sistema para
solicitar servicios de red al sistema operativo
Una direccin de socket est compuesta por tres componentes: <protocolo, direccin local,
proceso local>, por ejemplo, en TCP/IP, <tcp, 193.44.234.3, 12345>
Una conversacin es el enlace de comunicacin entre dos procesos
Una asociacin est formada por 5 componentes que especifican completamente los dos
procesos que comprenden una conexin: <protocolo, direccin local, proceso local, direccin
remota, proceso remoto>. Por ejemplo, en TCP/IP, una asociacin podra ser: <tcp,
193.44.234.3, 1500, 193.44.234.5, 21>
Para especificar cada extremo de la conexin se utiliza el trmino Media asociacin que puede
ser: <protocolo, direccin local, proceso local> o bien <protocolo, direccin remota, proceso
remoto>.
A las medias asociaciones, tambin se las llama socket, o direcciones de transporte.
En definitiva, un socket es un extremo de una comunicacin que puede ser llamado y direccionado a
una red. Dos procesos se comunican a travs de sockets TCP. Los sockets le proveen a los procesos
una conexin full-duplex hacia otro proceso . En una conexin TCP, cada extremo de la conexin
puede ser identificado por la direccin de socket <TCP, direccin IP, nmero de puerto>. La conexin
puede ser identificada unvocamente por la asociacin <TCP, direccin IP local, puerto local, direccin
IP remota, puerto remoto>. De esta forma, los servidores pueden establecer mltiples conexiones con
un mismo puerto origen, dado que cada conexin tendr una direccin de asociacin diferente.
2.13 VLANs
Una Red de rea Local Virtual (VLAN) es una agrupacin lgica de dispositivos o estaciones,
independientemente de su ubicacin fsica. No necesariamente estos dispositivos o estaciones
estarn conectados al mismo switch, ni todos los enlaces de un switch formarn parte de esta
agrupacin.
Anteriormente vimos que los switches conforman un slo dominio de broadcast entre todos sus
puertos. Esto no se cumple cuando tenemos VLANs: cada VLAN es un dominio de broadcast
diferente. Los dispositivos o usuarios de una VLAN se pueden agrupar por funciones, departamentos,
aplicaciones, etc., sin importar la ubicacin fsica de su segmento.
La configuracin de las VLANs se realiza en los switches en forma esttica o dinmica, en el primer
caso el administrador define los puertos de cada switch que pertenecern a cada VLAN, en el
segundo caso los puertos se asignan automticamente a las VLANs conforme a la direccin MAC o IP
de cada estacin. Sin embargo las VLANs no necesariamente se encuentran en un slo switch, sino
que se pueden crear VLANs distribuidas a lo largo de varios switches. Esto se logra interconectando
los switches mediante enlaces VLAN Trunking, estos enlaces transportan la informacin de todas las
VLANs entre los distintos switches.
Cuando se utilizan VLANs distribuidas, los enlaces de trunk deben transportar las tramas de todas las
VLANs para luego ser distribuidas en los puertos que correspondan de cada switch. Cada trama debe
llevar una identificacin de la VLAN a la que corresponde. A esto se le llama "etiquetado de trama".
Existen dos protocolos difundidos para realizar el etiquetado de tramas: ISL (Inter Switch Link)
protocolo propietario de Cisco, y 802.1q, que es un estndar abierto definido por la IEEE. Como cada
VLAN implica un direccionamiento de red diferente, la comunicacin entre VLANs se debe llevar a
cabo a travs de dispositivos de capa 3 (Routers).
En trminos sencillos, una red de rea local inalmbrica (WLAN) hace exactamente lo que el nombre
implica. Proporciona todas las funciones y beneficios de las tecnologas LAN tradicionales, como
Ethernet y Token Ring, pero sin las limitaciones impuestas por los alambres o cables. De esta forma,
las WLANs redefinen la forma en la cual la industria contempla las LANs. Conectividad ya no significa
conexin fsica. Las reas locales ya no se miden en pies ni en metros, sino en millas o kilmetros.
Una infraestructura no necesita estar enterrada u oculta detrs de los muros, sino que puede
desplazarse y cambiar segn las necesidades de una organizacin.
Una WLAN, al igual que una LAN, requiere un medio fsico a travs del cual pasan las seales de
transmisin. En lugar de utilizar par trenzado o cable de fibra ptica, las WLANs utilizan luz infrarroja
(IR) o frecuencias de radio (RFs). El uso de la RF es mucho ms popular debido a su mayor alcance,
mayor ancho de banda y ms amplia cobertura. Las WLANs utilizan las bandas de frecuencia de 2,4
gigahertz (GHz) y de 5 GHz. Estas porciones del espectro de RF estn reservadas en la mayor parte
del mundo para dispositivos sin licencia. El networking inalmbrico proporciona la libertad y la
flexibilidad para operar dentro de edificios y entre edificios.
Los sistemas inalmbricos no carecen completamente de cables. Los dispositivos inalmbricos son
slo una parte de la LAN cableada tradicional. Estos sistemas inalmbricos, diseados y construidos
utilizando microprocesadores y circuitos digitales estndar, se conectan a sistemas LAN cableados
tradicionales. Adems, los dispositivos inalmbricos deben recibir alimentacin que les proporcionen
energa para codificar, decodificar, comprimir, descomprimir, transmitir y recibir seales inalmbricas.
Los dispositivos WLAN de primera generacin, con sus bajas velocidades y falta de estndares, no
fueron populares. Los sistemas estandarizados modernos pueden ahora transferir datos a velocidades
aceptables. El comit IEEE 802.11 y la Alianza Wi-Fi han trabajado diligentemente para hacer al
equipo inalmbrico estandarizado e interoperable. La tecnologa inalmbrica soportar ahora las
tasas de datos y la interoperabilidad necesarias para la operacin de la LAN. Adems, el costo de los
nuevos dispositivos inalmbricos ha disminuido mucho. Las WLANs son ahora una opcin
econmicamente factible para la conectividad LAN. En la mayora de los pases estos dispositivos no
requieren licencia gubernamental.
2.14.1 Beneficios
Las LANs Ethernet cableadas actuales operan a velocidades de alrededor de 100 Mbps en la capa de
acceso, 1 Gbps en la capa de distribucin, y hasta 10 Gbps a nivel de la capa principal. La mayora de
las WLANs operan a una velocidad de 11 Mbps a 54 Mbps en la capa de acceso y no tienen como
objetivo operar en la capa de distribucin o en la capa principal. El costo de implementar WLANs
compite con el de las LANs cableadas. Por lo tanto, por qu instalar un sistema que se encuentra en
el extremo ms bajo de las capacidades de ancho de banda actuales? Una razn es que en muchos
entornos LAN pequeos, las velocidades ms lentas son adecuadas para soportar las necesidades de
las aplicaciones y del usuario. Con muchas oficinas conectadas ahora a la Internet por medio de
servicios de banda ancha como DSL o cable, las WLANs pueden manejar las demandas de ancho de
banda. Otra razn es que las WLANs permiten a los usuarios movilizarse dentro de un rea definida
con libertad y an as permanecer conectados. Durante las reconfiguraciones de oficina, las WLANs
no requieren un recableado ni sus costos asociados.
Las WLANs presentan numerosos beneficios para las oficinas hogareas, los negocios pequeos, los
negocios medianos, las redes de campus y las corporaciones ms grandes. Los entornos que es
probable que se beneficien de una WLAN tienen las siguientes caractersticas:
Requieren las velocidades de una LAN Ethernet estndar
Se benefician de los usuarios mviles
Reconfiguran la disposicin fsica de la oficina a menudo
Se expanden rpidamente
Utilizan una conexin a Internet de banda ancha
Enfrentan dificultades significativas al instalar LANs cableadas
Necesitan conexiones entre dos o ms LANs en un rea metropolitana
Requieren oficinas y LANs temporales
2.14.2 Consideraciones
En las LANs inalmbricas, una direccin MAC equivale a una ubicacin fsica. Esto se da por
supuesto implcitamente en el diseo de LANs cableadas. En IEEE 802.11 una estacin tiene una
MAC asociada, pero no es, en general, una ubicacin fsica fija . Las capas fsicas utilizadas en IEEE
802.11 son fundamentalmente diferentes de aqullas utilizadas en medios almbricos. Lo siguiente es
cierto respecto a los protocolos de capa fsica de IEEE 802.11:
Utilizan un medio que no tiene fronteras absolutas ni fcilmente observables
No estn protegidos de seales externas
Se comunican a travs de un medio que es significativamente menos confiable que los medios
cableados
Tienen topologas dinmicas
Les falta una conectividad completa. Normalmente, se supone que cada estacin puede
escuchar a cada una de las otras estaciones. Esta suposicin es invlida en el caso de las
WLANs. Bajo ciertas circunstancias, algunas estaciones pueden estar "ocultas" entre s.
A causa de las limitaciones de la capa fsica inalmbrica, las WLANs que necesitan cubrir distancias
geogrficas razonables deben construirse a partir de bloques de construccin de una cobertura
bsica.
Uno de los requisitos de IEEE 802.11 es manipular estaciones tanto mviles como porttiles. Una
estacin porttil se desplaza de ubicacin a ubicacin, pero slo se utiliza mientras se encuentra en
una ubicacin fija. Las estaciones mviles en realidad acceden a la LAN mientras se encuentran en
movimiento. Otro aspecto de las estaciones mviles es que a menudo reciben alimentacin
proveniente de bateras. De ah que la administracin de energa sea una consideracin importante.
Por ejemplo, no puede presuponerse que el receptor de una estacin siempre estar encendido.
Las WLANs son slo uno de los usos del espectro de frecuencia de radio (RF).
La definicin de radio de la Administracin de Servicios Generales de EE.UU. es la siguiente:
1. Telecomunicacin por medio de modulacin e irradiacin de ondas electromagnticas
2. Un transmisor, receptor o transceptor utilizado para la comunicacin a travs de ondas
electromagnticas
3. Un trmino general aplicado al uso de ondas de radio
Las tecnologas inalmbricas se componen de muchos parmetros variables. Algunas tecnologas
proporcionan comunicaciones en un solo sentido mientras que otras proporcionan comunicaciones
simultneas en dos sentidos. Algunas operan a niveles de baja energa, mientras que otros operan a
niveles de energa altos. Algunos son digitales y otros son analgicos. Algunos operan a distancias
cortas de 30,5 m (100 pies) o menos, y otros operan a mayores distancias, incluso a travs de
continentes. El costo de las diversas tecnologas inalmbricas puede variar de varios dlares
estadounidenses a billones de dlares estadounidenses. Las tecnologas inalmbricas, han estado en
circulacin durante muchos aos. La televisin, la radio AM/FM, la televisin satelital, los telfonos
celulares, los dispositivos de control remoto, el radar, los sistemas de alarmas, las radios climticas,
las CBs, y los telfonos inalmbricos estn integrados a la vida cotidiana. Las tecnologas
beneficiosas que dependen de la tecnologa inalmbrica incluyen sistemas de radares climticos,
rayos x, Imgenes de Resonancia Magntica (MRIs), hornos a microondas, y Satlites de
Posicionamiento Global (GPSs). La tecnologa inalmbrica rodea a la humanidad diariamente, en los
negocios y en la vida personal.
Los cuatro requisitos principales para una solucin WLAN son los siguientes:
1. Alta disponibilidad La alta disponibilidad se logra mediante la redundancia del sistema y
un diseo de rea de cobertura apropiado. La redundancia del sistema incluye APs
redundantes en frecuencias separadas. Un diseo de rea de cobertura apropiado incluye
cuentas para roaming, negociacin de velocidad automtica cuando se debilita la seal, una
seleccin apropiada de la antena, y el posible uso de repetidores para extender la cobertura a
reas donde un AP no podra utilizarse de otro modo.
2. Escalabilidad se logra soportando mltiples APs por rea de cobertura, que utilizan
mltiples frecuencias. Los APs tambin pueden llevar a cabo el equilibrio de la carga, si as se
lo desea.
3. Capacidad administrativa Las herramientas de diagnstico representan una gran porcin
de la administracin dentro de las WLANs. Los clientes debern poder administrar dispositivos
WLAN a travs de APIs estndar de la industria, incluyendo SNMP y Web, o a travs de
aplicaciones de administracin empresarial importantes, como CiscoWorks 2000, Cisco Stack
Manager, y Cisco Resource Monitor.
4. Arquitectura abierta La apertura se logra mediante la adhesin a estndares tales como
802.11a y 802.11b, la participacin en asociaciones de interoperabilidad como la Alianza Wi-Fi,
y de certificacin, como la certificacin FCC de EE.UU.
Otros requisitos estn evolucionando a medida que las tecnologas WLAN obtienen popularidad:
Seguridad Es esencial para encriptar los paquetes de datos transmitidos por va area.
Para instalaciones ms grandes, se requieren tambin una autenticacin centralizada del
usuario y una administracin centralizada de claves de cifrado.
Costo Los clientes esperan reducciones continuas en el precio de un 15 a un 30 por ciento
cada ao, e incrementos en desempeo y seguridad. Los clientes estn preocupados no slo
por el precio de adquisin sino por el costo total propietario (TCO), incluyendo los costos de
instalacin.
La mayora de los fabricantes desean que sus clientes utilicen sus APs y NICs de manera exclusiva.
Ofrecen cierto grado de capacidad reducida si existe la necesidad de combinar y hacer coincidir
diferentes marcas de APs y NICs. En la mayora de los casos los problemas son mayormente
cosmticos pero pueden resultar en un incremento de llamadas al escritorio de ayuda. Hasta el
lanzamiento de la siguiente generacin, el administrador del sistema tiene que tomar una difcil
decisin, utilizar un sistema de un nico fabricante, con todos los NICs y APs provenientes de ese
fabricante, o arreglrselas sin las herramientas de administracin avanzadas que proporcionan las
soluciones de un nico fabricante.
2.14.3 Instalacin de los medios
Es importante calcular todos los costos involucrados al disear redes. El impacto del diseo y la
construccin del edificio deben considerarse al instalar medios LAN. Algunos factores importantes a
considerar incluyen la calefaccin, ventilacin y acondicionamiento de aire (HVAC), el agua, los
desages cloacales, la iluminacin y los sistemas elctricos existentes. Los materiales estructurales
como el yeso, el cemento armado, la madera y el acero, as como los cdigos de incendios, deben
considerarse tambin. Muchas paredes representan un papel estructural y de contencin de
incendios, y no pueden perforarse sin seguir pasos especiales para restaurar su integridad.
Las LANs se convertirn rpidamente en una combinacin de sistemas cableados e inalmbricos,
dependiendo de las necesidades de la red y de las restricciones de diseo. En redes empresariales
ms grandes, las capas principal y de distribucin continuarn siendo sistemas de backbone
cableados, conectados en general por medio de fibra ptica y cables UTP. La capa ms cercana al
usuario final, la capa de acceso, ser la ms afectada por la implementacin de la tecnologa
inalmbrica.
Enlaces inalmbricos de edificio a edificio: Las conexiones de edificio a edificio se llevan a cabo en
general utilizando fibra ptica, a causa de las altas velocidades disponibles y para evitar medidas de
proteccin de conexin a tierra que se requieren en los medios de cobre. Instalar cable de fibra ptica
entre edificios es muy costoso y consume mucho tiempo. Incluso cortas distancias son difciles de
cubrir debido a utilidades subterrneas existentes, cemento armado y otros obstculos estructurales.
Una instalacin area sujeta con cuerdas es una opcin de instalacin alternativa. Las WLANs se han
convertido actualmente en una opcin popular puesto que la instalacin se limita a construir antenas
montadas. Qu sucedera si utilizramos conexiones de edificio a edificio all donde las distancias
excedieran los lmites de una propiedad o las limitaciones de cableado? La mayora de los negocios
utilizan una conectividad WAN entre sitios metropolitanos distantes. Algunos negocios utilizan
microondas entre sitios distantes. En el caso de los bridges LAN inalmbricos, los edificios que se
encuentran a hasta 32 km (20 millas) de distancia pueden conectarse a velocidades de hasta 11
Mbps.
En general, cuanto mayor es la distancia entre edificios, ms alto es el costo de la instalacin LAN
inalmbrica. Las antenas estndar rubber ducky no sern adecuadas. Se requieren torres y antenas
de elevada ganancia. Las torres pueden resultar costosas, dependiendo de la altura y los requisitos de
la construccin. El costo inicial puede recuperarse dentro del primer ao. Se generan ganancias
provenientes de un incremento en la productividad utilizando ms elevado ancho de banda y tarifas de
lneas arrendadas mensuales discontinuas.
Los bridges inalmbricos Cisco ofrecen muchas ventajas sobre conexiones alternativas ms costosas.
Por ejemplo, una lnea T-I cuesta en general aproximadamente 400 a 1000 dlares estadounidenses
por mes. Para un sitio con cuatro edificios, eso significara alrededor de 15.000 a 36.000 dlares
estadounidenses al ao. Con un sistema inalmbrico, la recuperacin de los costos de hardware
podra tener lugar realmente en menos de un ao.
Si una lnea T-I no est disponible o los edificios estn ubicados en la misma propiedad, podra
colocarse un cable subterrneo. No obstante, la introduccin en la tierra puede costar ms de 100
dlares estadounidenses por cada 0,3 m (1 pie), dependiendo de la tarea. Para conectar tres edificios
ubicados a 305 m (1000 pies) separados entre s, el costo podra exceder los 200.000 dlares
estadounidenses.
Las microondas son una solucin posible. En el caso de las microondas se requiere usualmente un
permiso del gobierno. En Estados Unidos, ste se obtiene de la Comisin Federal de Comunicaciones
(FCC). Este permiso sirve como proceso de registro que permite al dueo del permiso tomar acciones
legales contra aqullos que interfieran. El costo del equipamiento es en general de ms de 10.000
dlares estadounidenses por sitio, lo cual no incluye el costo de los elementos de instalacin. El
desempeo puede verse severamente degradado en el caso de niebla espesa, lluvia o nieve. Las
microondas tambin tienden a ser punto a punto. Las conexiones multipunto usualmente no son
posibles.
Independientemente de si son cableadas o inalmbricas, las redes modernas deben poder manipular
un ancho de banda ms elevado, ms aplicaciones y una mayor movilidad. Se requieren
combinaciones de tecnologas cableadas e inalmbricas para proporcionar las soluciones. El
diseador de redes es responsable de proporcionar el diseo ms eficaz en materia de costos y la
solucin que cumpla con o exceda las necesidades de la organizacin.
El diseo, la preparacin y el sondeo del sitio se tratarn en detalle posteriormente en el curso. Debe
completarse un sondeo del sitio antes de tomar las decisiones de implementacin. Por ejemplo, los
planes iniciales pueden incluir una solucin inalmbrica, pero el sondeo del sitio podra indicar que la
tecnologa inalmbrica sera ineficaz. Inversamente, una solucin cableada puede planificarse
inicialmente y el sondeo final puede probar que la solucin inalmbrica resultaba una mejor opcin.
2.14.5 Componentes
Estaciones: Las estaciones de trabajo deben poseer un adaptador inalmbrico para poder conectarse
a una red IEEE 802.11. En general, los adaptadores clientes ya vienen incorporados en la mayora de
las notebooks actuales, e inclusive en algunas PDAs y celulares. A las PCs de escritorio se les puede
agregar un adaptador mediante una ranura de expansin (PCI, USB, etc.). Al momento de seleccionar
el adaptador, debe verificar que sea compatible con la tecnologa utilizada en la red. Existen diferentes
substandards de la norma IEEE 802.11, y algunos de ellos no son compatibles entre s.
Access Points (AP) Los Access Points cumplen un rol de concentradores en las redes inalmbricas.
Este dispositivo gobierna las comunicaciones entre las estaciones. Su funcin es similar a la de un
hub dentro de una red cableada. Un Access Point contiene un transceptor de radio. Puede actuar
como punto central de una red inalmbrica autnoma o como punto de conexin entre redes
inalmbricas y cableadas. En grandes instalaciones, la funcionalidad de roaming proporcionada por
mltiples APs permite a los usuarios inalmbricos desplazarse libremente a travs de la facilidad, a la
vez que se mantiene un acceso sin interrupciones a la red.
Los APs vienen con funciones de tecnologa, seguridad y administracin variadas. Algunos APs son de
banda dual y soportan tecnologas tanto de 2,4 GHz como de 5 GHz, mientras que otros slo soportan
una nica banda. Algunos Access Point tienen firmware actualizable.
Estaciones inalmbricas (STA): Son dispositivos de usuario que cuentan con adaptadores que
realizan las funciones de las tarjetas de red Ethernet, adaptando las tramas Ethernet que genera el
dispositivo, a las tramas del estndar inalmbrico y viceversa, posibilitando la transmisin
transparente de la informacin. Estos adaptadores pueden estar integrados en el propio dispositivo o,
en caso contrario, tratarse de una tarjeta externa.
Bridges: Los bridges inalmbricos se usan generalmente para interconectar dos o ms redes LAN
cableadas. Los bridges se conectan entre ellos. Algunos bridges no permiten la conexin de
estaciones de trabajo (slo permiten conectarse con otro bridge). Se pueden utilizar para conectar dos
edificios, quizs se requiera el uso de antenas externas para expandir la cobertura del enlace
inalmbrico. Como el enlace se realiza en la capa de enlace de datos (Capa 2), es totalmente
transparente para las estaciones de trabajo que se encuentran en las redes cableadas. Ambas redes
forman parte del mismo segmento de capa 2.
Routers Los routers son dispositivos que implementan las funciones tradicionales de los routers, con
las de un Access Point. En general incluyen una o ms interfaces cableadas y una interface
inalmbrica a travs de un Access Point. Se utilizan mayormente para que un grupo de estaciones
cableadas e inalmbricas se conecten a Internet.
Los routers ms comunes incluyen una interface ethernet conectada mediante un puente a una
interface inalmbrica, similar a cualquier Access Point. Estas dos interfaces conforman un segmento
de capa 2, es decir, una red IP. Adems cuentan con una segunda interface ethernet que se encuentra
en otro segmento de capa 2. En general, esta interface se utiliza para conectar el vnculo a Internet.
Antenas Todos los dispositivos o adaptadores inalmbricos cuentan con antenas para la transmisin y
recepcin de los datos. En algunos casos, estas antenas se encuentran embebidas en el dispositivo,
mientras que en otros casos son visibles y/o extrables. Estas antenas son conocidas como Rubber
duck y ofrecen una cobertura limitada de la seal.
Una variedad de antenas opcionales de 2,4 GHz estn disponibles para APs y bridges, que pueden
utilizarse para reemplazar la antena estndar rubber ducky. Las antenas debern escogerse
cuidadosamente para asegurar la obtencin de un rango y cobertura ptimos.
Cada antena tiene diferentes capacidades de ganancia y rango, amplitudes de rayo, cobertura y
factores de forma. El acoplamiento de la antena correcta con el AP correcto permite una cobertura
eficiente en cualquier instalacin, as como una mejor confiabilidad a velocidades de datos ms altas.
Una cobertura detallada de las antenas se proporcionar posteriormente en el curso.
Los posibles modos de funcionamiento de los dispositivos de una red WLAN son los siguientes:
Modo ad-hoc: Permite la interconexin entre dispositivos de usuario sin necesidad de un
punto de acceso; cada estacin inalmbrica se comunica directamente con las otras
estaciones de la red.
Modo infraestructura: permite la conexin de las estaciones inalmbricas o dispositivos de
usuario a un punto de acceso que es quin gestiona las conexiones. Las estaciones
inalmbricas envan los paquetes al punto de acceso.
La mayor parte de las estaciones inalmbricas pueden funcionar en estos dos modos. Adicionalmente
existen otros modos de funcionamiento no tan usuales en las estaciones inalmbricas que se
describen a continuacin:
Modo master: permite a la estacin inalmbrica actuar como un punto de acceso para dar
servicio y gestionar las conexiones de otros dispositivos.
Modo monitor: permite capturar paquetes sin asociarse a un punto de acceso inalmbrico de
una red WLAN en modo infraestructura o sin asociarse a una red ad-hoc, es decir, permite
monitorizar la red sin transmitir trfico a la misma (forma pasiva).
Modo promiscuo: tambin permite capturar los paquetes de la red, pero en este caso es
necesario estar asociado a la misma.
El modo monitor y el modo promiscuo son dos modos utilizados en ataques en redes WLAN
Sistema de distribucin (DS) Las limitaciones de la capa fsica determinan las distancias de estacin
a estacin que pueden soportarse. En el caso de algunas redes esta distancia es suficiente. En el
caso de otras, se requiere un incremento en la cobertura. En lugar de existir independientemente, un
BSS tambin puede formar un conjunto de servicios extendido (ESS). Un ESS se construye a partir de
mltiples BSSs, que se conectan a travs de APs. Los APs se conectan a travs de un DS comn. El
DS puede ser cableado o inalmbrico, LAN o WAN. Cuando el DS es inalmbrico, se le llama WDS
(Wireless Distribution System). El DS permite que existan dispositivos mviles proporcionando los
servicios necesarios para manipular el mapeo de una direccin en movimiento y la integracin
transparente de mltiples BSSs. Los datos se desplazan entre un BSS y otro BSS a travs del DS.
Conjunto de servicios extendido (ESS) Un conjunto de servicios extendido (ESS) se define como
dos o ms BSSs conectados por medio de un DS comn. Esto permite la creacin de una red
inalmbrica de tamao y complejidad arbitrarios. Al igual que sucede con un BSS, todos los paquetes
de un ESS deben atravesar uno de los APs. Un concepto clave es que la red ESS se comporta de la
misma manera que una red IBSS o que una nica red BSS, es totalmente transparente para las
estaciones. Las estaciones que se encuentran dentro de un ESS pueden comunicarse entre diferentes
BSSs, y las estaciones mviles pueden desplazarse de un BSS a otro (dentro del mismo ESS), sin
que esto afecte su conectividad.
2.14.7 Implicancias
Un desafo importante de las WLANs es la interferencia de las seales de radio. En diseos de rea
metropolitana de edificio a edificio, es posible tener interferencia de terceros, otras compaas que
utilizan tecnologa inalmbrica. En esta situacin, los administradores de la red deben asegurarse de
utilizar diferentes canales. La interferencia no puede detectarse hasta que el enlace no se implemente
realmente. Puesto que los estndares 802.11 utilizan un espectro sin licencia, la mejor forma de evitar
la interferencia es cambiar de canales. Muchos otros dispositivos, como los telfonos porttiles, los
hornos a microondas, los parlantes inalmbricos y los dispositivos de seguridad, utilizan tambin estas
frecuencias. La cantidad de interferencia mutua que ser experimentada por estos dispositivos de
networking y otros planificados no est clara. La interferencia entre parlantes inalmbricos y otros
dispositivos es comn hoy en da. A medida que esta banda sin licencia se va poblando, es probable
que aparezcan otros tipos de interferencia. Los objetos fsicos y las estructuras de los edificios
tambin crean diversos niveles de interferencia.
El estndar 802.11 se denomina oficialmente Estndar IEEE para especificaciones MAC y PHY de
WLAN. Define los protocolos por aire necesarios para soportar un networking inalmbrico en un rea
local. El servicio principal del estndar 802.11 es entregar Unidades MAC de Servicio de Datos
(MSDUs) entre dispositivos peer LLC en la capa de enlace de datos. En general, una placa de radio, o
NIC, y uno o ms access points proporcionan las funciones del estndar 802.11.
Las caractersticas de MAC y PHY para las redes de rea local inalmbricas (WLANs) estn
especificadas en 802.11, 802.11b, 802.11a, y 802.11g, entre otros estndares. La capa MAC de este
estndar est diseada para soportar unidades de capa fsica adicionales a medida que se adoptan,
dependiendo de la capacidad del espectro y de las nuevas tcnicas de modulacin.
Las redes inalmbricas tienen caractersticas fundamentales que las hacen significativamente
diferentes a las LANs cableadas tradicionales. Algunos pases imponen requisitos especficos para el
equipamiento de radio adems de aqullos especificados en el estndar 802.11.
En las LANs inalmbricas, una direccin MAC equivale a una ubicacin fsica. Esto se da por
supuesto implcitamente en el diseo de LANs cableadas. En IEEE 802.11, la unidad direccionable es
una estacin (STA). La STA es el destino de un mensaje, pero no es, en general, una ubicacin fsica
fija.
Las capas fsicas utilizadas en IEEE 802.11 son fundamentalmente diferentes de aqullas utilizadas
en medios almbricos. Lo siguiente es cierto respecto a los protocolos PHY IEEE 802.11:
Utilizan un medio que no tiene fronteras absolutas ni fcilmente observables, fuera de las
cuales las estaciones no podrn enviar ni recibir frames de red.
No estn protegidos de seales externas.
Se comunican a travs de un medio que es significativamente menos confiable que los medios
cableados.
Tienen topologas dinmicas.
Les falta una conectividad completa. Normalmente, se supone que cada STA puede escuchar a
cada una de las otras STAs. Esta suposicin es invlida en el caso de las WLANs. Las STAs
pueden estar "ocultas" entre s.
Tienen propiedades de propagacin variables en el tiempo y asimtricas.
A causa de las limitaciones de los rangos PHY inalmbricos, las WLANs que necesitan cubrir
distancias geogrficas razonables deben construirse a partir de bloques de construccin de una
cobertura bsica.
Uno de los requisitos de IEEE 802.11 es manipular estaciones tanto mviles como porttiles. Una
estacin porttil se desplaza de ubicacin a ubicacin, pero slo se utiliza mientras se encuentra en
una ubicacin fija. Las estaciones mviles en realidad acceden a la LAN mientras se encuentran en
movimiento. No es suficiente para manipular slo estaciones porttiles, puesto que los efectos de
propagacin desdibujan la distincin entre estaciones porttiles y mviles. Las estaciones fijas a
menudo parecen ser mviles, debido a estos efectos de propagacin.
Otro aspecto de las estaciones mviles es que a menudo reciben alimentacin proveniente de
bateras. De ah que la administracin de energa sea una consideracin importante. Por ejemplo, no
puede presuponerse que el receptor de una estacin siempre estar encendido.
Se requiere IEEE 802.11 para aparecer en capas superiores, como LLC, como LAN IEEE 802. La red
IEEE 802.11 debe manipular la movilidad de la estacin dentro de la subcapa MAC.
IEEE 802.11: El trmino 802.11 se refiere realmente a una familia de protocolos, incluyendo la
especificacin original, 802.11, 802.11b, 802.11a, 802.11g y otros. El 802.11 es un estndar
inalmbrico que especifica conectividad para estaciones fijas, porttiles y mviles dentro de un rea
local. El propsito del estndar es proporcionar una conectividad inalmbrica para automatizar la
maquinaria y el equipamiento o las estaciones que requieren una rpida implementacin. stos
pueden ser porttiles, handheld o montados en vehculos en movimiento dentro de un rea local. El
estndar 802.11 se denomina oficialmente Estndar IEEE para especificaciones MAC (Capa de enlace
de datos Control de Acceso al Medio) y PHY (Capa Fsica) de WLAN. Define los protocolos por aire
necesarios para soportar un networking inalmbrico en un rea local. El servicio principal del estndar
802.11 es entregar tramas entre dispositivos pares que utilizan LLC en la capa de enlace de datos. En
general, una placa de radio, o NIC, y uno o ms access points proporcionan las funciones del
estndar 802.11.
IEEE 802.11b: La norma IEEE 802.11b, quizs la mas difundida de todas, trabaja en un rango de
frecuencias que van desde 2401MHz a 2495MHz. Presenta una divisin de este espectro en hasta 14
canales. Cada canal tiene un ancho de 22MHz.
La norma IEEE 802.11b especifica 4 anchos de banda del medio fsico: 1 Mbps, 2Mbps, 5.5Mbps y
11Mbps. Una estacin comenzar utilizando el mayor ancho de banda para ir decrementando
dependiendo de la calidad y potencia de la seal que recibe. IEEE 802.11b transmite mediante una
tcnica llamada DSSS (Espectro Expandido de Secuencia Directa) y utiliza tres tipos diferentes de
modulacin, dependiendo de la velocidad de datos usada:
Modulacin por Desplazamiento de Fase Bivalente (BPSK): se utiliza para transmitir datos a 1
Mbps.
Modulacin por Desplazamiento de Fase en Cuadratura (QPSK): se utiliza para transmitir
datos a 2 Mbps.
Modulacin de Cdigo Complementario (CCK): CCK utiliza un conjunto complejo de funciones
conocidas como cdigos complementarios para enviar ms datos. CCK es utilizado para
transmitir datos a 5.5 Mbps y a 11 Mbps.
La distribucin del ancho de banda se puede pensar como anillos concntricos cuyo centro es el
access point. En la medida que una estacin se aleja del centro, se conectar a un ancho de banda
menor.
IEEE.11a: La norma IEEE 802.11a fue la primer norma de alta velocidad, ofreciendo un ancho de
banda de 54Mbps. Esta norma trabaja en el rango de frecuencias de 5GHz. Se decidi cambiar de
frecuencia para lograr un mayor ancho de banda y para evitar interferencias con las redes IEEE
802.11b existentes. Como gran desventaja, al usar una frecuencia superior, las redes 802.11a tienen
una cobertura menor, debido a que la seal sufre una mayor atenuacin al traspasar paredes u
obstculos slidos. Como trabajan en frecuencias diferentes, un dispositivo 802.11a no ser
compatible con un dispositivo 802.11b.
IEEE 802.11n est construido basndose en estndares previos de la familia 802.11, agregando
multiple-input multiple-output (MIMO) y unin de interfaces de red (Channel Bonding), adems de
agregar tramas a la capa MAC.
MIMO usa mltiples antenas transmisoras y receptoras para mejorar el desempeo del sistema. MIMO
es una tecnologa que usa mltiples antenas para manejar ms informacin (cuidando la coherencia)
que utilizando una sla antena. Dos beneficios importantes que provee a 802.11n son la diversidad de
antenas y el multiplexado espacial.
La tecnologa MIMO depende de seales multiruta. Las seales multiruta son seales reflejadas que
llegan al receptor un tiempo despus de que la seal de lnea de visin (line of sight, LOS) ha sido
recibida. En una red no basada en MIMO, como son las redes 802.11a/b/g, las seales multiruta son
percibidas como interferencia que degradan la habilidad del receptor de recobrar el mensaje en la
seal. MIMO utiliza la diversidad de las seales multirutas para incrementar la habilidad de un
receptor de recobrar los mensajes de la seal.
Otra habilidad que provee MIMO es el Multiplexado de Divisin Espacial (SDM). SDM multiplexa
espacialmente mltiples flujos de datos independientes, transferidos simultneamente con un canal
espectral de ancho de banda. SDM puede incrementar significativamente el desempeo de la
transmisin conforme el nmero de flujos espaciales es incrementado. Cada flujo espacial requiere
una antena discreta tanto en el transmisor como el receptor. Adems, la tecnologa MIMO requiere
una cadena de radio frecuencia separada y un convertir de anlogo a digital para cada antena MIMO
lo cual incrementa el costo de implantacin comparado con sistemas sin MIMO.
Channel Bonding, tambin conocido como 40Mhz o unin de interfaces de red, es la segunda
tecnologa incorporada al estndar 802.11n la cual puede utilizar dos canales separados, que no se
solapen, para transmitir datos simultneamente. La unin de interfaces de red incrementa la cantidad
de datos que pueden ser transmitidos. Se utilizan dos bandas adyacentes de 20Mhz cada una, por
eso el nombre de 40Mhz. Esto permite doblar la velocidad de la capa fsica disponible en un solo
canal de 20Mhz. (Aunque el desempeo del lado del usuario no ser doblado.)
Utilizar conjuntamente una arquitectura MIMO con canales de mayor ancho de banda ofrece la
oportunidad de crear sistemas muy poderosos y rentables para incrementar la velocidad de
transmisin de la capa fsica.
CSMA/CD: Repasemos primero el funcionamiento del control de acceso al medio en las redes
tradicionales. Cuando una estacin quiere transmitir, primero realiza un censado del medio para
asegurarse que se encuentre libre. Si el medio esta ocupado, espera un tiempo y vuelve a intentar. Si
el medio est libre, la estacin comienza su transmisin. Mientras est transmitiendo, contina
escuchando el medio para verificar que la informacin transmitida no ha colisionado con otra. Si
finaliza su transmisin sin detectar una colisin, entonces se toma la transmisin como exitosa. En
caso que se detecte una colisin, se procede a esperar un tiempo aleatorio y volver a intentar la
transmisin.
CSMA/CA: Debido a las particularidades que tiene el aire para la dispersin de la seal, donde la
transmisin puede se diseminar ocupando todo el medio, no se puede implementar la deteccin de
colisiones. Las colisiones deben ser eliminadas. Para lograr esto, el control de acceso al medio en las
redes 802.11 es CSMA/CA, donde se implementa una tcnica para evitar que las estaciones
colisionen entre s. La modificacin implementada por CSMA/CA es sencilla, se agregan avisos y
confirmaciones de transmisin:
Antes de transmitir, un nodo debe enviar un Pedido de Transmisin RTS (Request To Send),
donde especifica el origen y destino.
Cuando el destino recibe el RTS, puede confirmar mediante un Preparado para transmitir
CTS (Clear To Send) o rechazar la transmisin con un mensaje de Ocupado RxBUSY.
Si el transmisor recibe un RxBUSY aborta la transmisin. Si recibe un CTS, comienza a
transmitir.
Una vez que finaliz la transmisin, el receptor debe enviar una confirmacin de recepcin. Si
fue correcta, enva un Acuse positivo ACK (Acknowledgement) y finaliza el proceso. Si fue
errnea, enva un Acuse negativo NACK (Not Acknowledgement) y el emisor intentar
retransmitir la trama.
La performance real que se puede obtener en una red inalmbrica se encuentra muy por debajo del
ancho de banda que provee el enlace fsico. Diferentes factores afectan a la performance, algunos de
ellos podemos mejorarlos y otros son intrnsecos de la tecnologa utilizada.
Para conocer las limitaciones de la performance, debemos partir del anlisis del Mtodo de Acceso al
Medio que se utiliza (CSMA/CA). Este mtodo impide que dos o ms estaciones transmitan
simultneamente (porque llevara a una colisin), mediante la reserva del medio previo a la
transmisin (RTS). Esto significa que si una estacin quiere transmitir 1 trama de datos, antes de
lograr su transmisin efectiva, debe enviar un RTS y esperar a recibir un CTS. Y una vez transmitido,
quedar a la espera de la confirmacin ACK enviada por el destinatario. Todo este proceso lleva a que
la performance mxima que se puede lograr en una red 802.11 no ser superior al 50% del ancho de
banda del medio. Esto quiere decir que para una red 802.11g, donde el ancho de banda del medio es
de 54Mbps, nunca tendremos tasas de transferencia superiores a 27Mbps. Otro factor que afecta de
manera directa al ancho de banda es la cantidad de estaciones que existen en el BSS. Cuanto mayor
sea el nmero de estaciones intentando transmitir, menor ser la porcin de ancho de banda para
cada una.
Otra consideracin a tener en cuenta es la existencia de repetidores. Cuando un AP no nos alcanza
para cubrir el radio necesario, y no tenemos alcance a travs de la infraestructura cableada, podemos
utilizar repetidores inalmbricos, formando una topologa.
Cuando existen dispositivos de diferente ancho de banda dentro de una red, como por ejemplo
dispositivos 802.11b y G asociados al mismo AP, existe una modificacin en el mtodo de transmisin.
Como se vio anteriormente, el ancho de banda mximo alcanzable en una red 802.11g ser de
27Mbps. Sin embargo, cuando existen dispositivos 802.11b, el AP debe asignar un tiempo para darles
la posibilidad de transmitir y que no queden en una espera infinita de liberacin del canal. Para
asignar este tiempo se agregan mecanismos de proteccin en la transmisin de los RTS y CTS y se
modifican algunos temporizadores de transmisin. Tomando estas modificaciones, cuando un AP
802.11g tiene habilitada la compatibilidad con 802.11b, tendr una performance mxima de 18Mbps. Y
esto suponiendo que no existen clientes 802.11b transmitiendo, slo por el hecho de ofrecer la
compatibilidad es que la performance sufre este impacto. Si agregamos dispositivos 802.11b, estos
dispositivos tienen una performance mxima de 6Mbps, mientras que un 802.11g tendr 18Mbps. Lo
que significa que un 802.11B tardar tres veces ms en transmitir que un 802.11G.
Cuando tenemos que cubrir grandes espacios con conectividad inalmbrica, debemos realizar una
planificacin en la asignacin de canales y la ubicacin de los APs, para aprovechar de la mejor
manera el ancho de banda disponible. Recordemos que en una red 802.11a existen 8 canales sin
solapamiento, mientras que en una red 802.11b/g existen slo 3. El objetivo de la planificacin de APs
y canales es evitar que exista un solapamiento entre las seales de dos dispositivos adyacentes. Para
esto debemos organizar una estructura de celdas, donde cada celda utiliza un canal y sus celdas
adyacentes utilizan canales no solapados.
Servicio de datos asncronos: Este servicio proporciona a las entidades peer LLC la capacidad para
intercambiar unidades de datos de servicios MAC (MSDUs). Para soportar este servicio la MAC local
utiliza los servicios de nivel PHY subyacentes para transportar una MSDU a una entidad MAC peer,
donde se la entregar a la LLC peer. Ese transporte MSDU asncrono se lleva a cabo sobre una base
de mayor esfuerzo y sin conexin. No existen garantas de que la MSDU se entregar exitosamente.
El transporte broadcast y multicast es parte del servicio de datos asncrono proporcionado por la MAC.
Debido a las caractersticas del medio inalmbrico, las MSDUs broadcast y multicast pueden
experimentar una ms baja calidad de servicio, en comparacin a la de las MSDUs unicast. Todas las
STAs soportan el servicio de datos asncrono.
Servicios de seguridad: Los servicios de seguridad de IEEE 802.11 son proporcionados por el
servicio de autenticacin y el mecanismo de Privacidad Equivalente a la Cableada (WEP). El alcance
de los servicios de seguridad proporcionados se limita a un intercambio de datos de estacin a
estacin. El servicio de privacidad ofrecido por la implementacin WEP IEEE 802.11 es el cifrado de la
MSDU. Para los propsitos de este estndar, WEP se visualiza como servicio de capa lgica ubicado
dentro de la subcapa MAC. La implementacin real del servicio WEP es transparente para la LLC y
para las otras capas que se encuentran por encima de la subcapa MAC. Los servicios de seguridad
proporcionados por la WEP en IEEE 802.11 fueron diseados para soportar los siguientes objetivos de
seguridad:
Confidencialidad
Integridad de los datos
Control de acceso
Ordenamiento de MSDUs: Los servicios proporcionados por la subcapa MAC permiten, y pueden
requerir, el reordenamiento de las MSDUs. La MAC reordenar intencionalmente las MSDUs, slo si
es necesario para aumentar la probabilidad de una entrega exitosa basada en el modo operativo
actual ("administracin de energa") de la(s) estacin o estaciones receptora(s). El nico efecto de
este reordenamiento es un cambio en el orden de la entrega de MSDUs broadcast y multicast. Este
cambio es relativo a MSDUs dirigidas, o unicast, que se originan desde una nica direccin de
estacin de origen. A las MSDUs unicast se les otorga prioridad sobre las multicast y broadcast.
Todas las estaciones deben construir frames para la transmisin y decodificacin de los frames al
recibirlos, basndose en un formato de frames estndar. Las unidades de datos del protocolo MAC
(MPDUs), o frames, se describen como una secuencia de campos en un orden especfico, como lo
muestra la actividad que aparece ms abajo.
Cada frame consiste en los siguientes componentes bsicos:
Un encabezado MAC, que consiste en informacin acerca del control de frames, la duracin, la
direccin y el control de las secuencias
Un cuerpo de frames de longitud variable, que contiene informacin especfica del tipo de
frame. Por ejemplo, en los frames de datos, esto contendra datos de la capa superior
Una secuencia de verificacin de frames (FCS), que contiene una verificacin de redundancia
cclica (CRC) IEEE de 32 bits
Los tres tipos principales de frames utilizados en la capa MAC son los siguientes:
1. Frames de datos
2. Frames de control
3. Frames de administracin
Los frames de datos se utilizan para la transmisin de datos. Los frames de control, como la Solicitud
para Enviar (RTS), Despejado para Enviar (CTS) y Confirmacin (ACK), controlan el acceso al medio
utilizando frames RTS, CTS y ACK. Los frames de administracin, como los frames baliza, se
transmiten de la misma manera en que los frames de datos intercambian la informacin de
administracin, pero no se envan a las capas superiores.
Arquitectura MAC: Antes de transmitir un frame, una STA debe obtener acceso al medio utilizando
uno de dos mtodos
1. El mtodo de acceso fundamental del MAC IEEE 802.11, acceso mltiple con deteccin de
portadora y colisin evitable (CSMA/CA), se denomina Funcin de Coordinacin Distribuida
(DCF). La DCF se implementa en todas las STAs, para su uso tanto en configuraciones de red
ad hoc como de infraestructura.
2. El MAC IEEE 802.11 MAC tambin puede incorporar un mtodo de acceso opcional,
denominado Funcin de Coordinacin de Punto (PCF), que crea un acceso libre de contencin
(CF). La PCF slo puede utilizarse en configuraciones de red de infraestructura.
Coexistencia de DCF y PCF: La DCF y la PCF pueden operar ambas concurrentemente dentro del
mismo BSS. Cuando ste es el caso, los dos mtodos de acceso se alternan, con un periodo de CF
seguido por un periodo de contencin. Adems, todas las transmisiones bajo la PCF pueden utilizar el
Espacio Interframe (IFS), que es ms pequeo que el utilizado para los frames transmitidos por medio
de la DCF. El uso de IFSs ms pequeos implica que el trfico coordinado por punto tendr un acceso
de prioridad al medio a travs de STAs que operan en modo DCF.
La capa MAC es slo la mitad de la operacin total de 802.11. El estndar de capa fsica (PHY) es la
otra mitad. La mayora de las definiciones de PHY contienen tres entidades funcionales, Diferentes
PHYs se definen como parte del estndar IEEE 802.11.
Sistema dependiente del medio fsico (PMD): El sistema PMD define las caractersticas y mtodos
de transmisin y recepcin de datos a travs de un medio inalmbrico entre dos o ms STAs, cada
una de ellas utilizando el mismo sistema PHY. Tambin se definen conjuntos de primitivos, para
describir la interfaz entre el PLCP y la subcapa PMD. La interfaz se denomina SAP PMD.
La subcapa PMD acepta los primitivos del servicio de la subcapa PLCP y proporciona el medio
mediante el cual se transmiten o reciben realmente los datos provenientes del medio. El flujo de datos,
la informacin de temporizacin y los parmetros de la seal recibidos se entregan a la subcapa
PLCP. Una funcionalidad similar se proporciona para la transmisin de datos.
2.14.11 Ondas
El diccionario Webster define una onda como: una "perturbacin o variacin" que pasa a travs de un
medio. El medio a travs del cual viaja la onda puede experimentar algunas oscilaciones de ndole
local a medida que la onda pasa, pero las partculas del medio no viajan con la onda. La perturbacin
puede asumir cualquier cantidad de formas, desde un impulso de amplitud finito hasta una onda
sinusoidal infinitamente larga.
Una forma de onda es una representacin de cmo la corriente alterna (AC) vara con el tiempo. La
forma de onda AC familiar es la onda sinusoidal, que deriva su nombre del hecho de que la corriente o
voltaje vara segn la funcin sinusoidal matemtica del tiempo transcurrido. La onda sinusoidal es
nica por el hecho de que representa energa enteramente concentrada en una nica frecuencia. Una
seal inalmbrica ideal asume una forma de onda sinusoidal, con una frecuencia usualmente medida
en ciclos por segundo o Hertz (Hz). Un milln de ciclos por segundo est representado por un
megahertz (MHz). Un billn de ciclos por segundo est representado por un gigahertz (GHz). Una
onda sinusoidal tiene varias propiedades bsicas:
Amplitud La distancia de cero al valor mximo de cada ciclo se denomina amplitud. La
amplitud positiva del ciclo y la amplitud negativa del ciclo son las mismas.
Periodo El tiempo que le lleva a una onda sinusoidal completar un ciclo se define como
periodo de la forma de onda. La distancia que viaja el seno durante este periodo se denomina
longitud de onda.
Longitud de onda La longitud de onda, indicada por el smbolo griego lambda l, es la
distancia a travs de la forma de onda desde un punto al mismo punto del siguiente ciclo.
Frecuencia La cantidad de repeticiones o ciclos por unidad de tiempo es la frecuencia,
expresada en general en ciclos por segundo, o Hz.
2.14.12 Watts
Para comprender qu es un watt, se debe considerar primero la energa. Una definicin de energa es
la capacidad para producir trabajo. Existen muchas formas de energa, incluyendo energa elctrica,
energa qumica, energa trmica, energa potencial gravitatoria, energa cintica y energa acstica.
La unidad mtrica de la energa es el Joule. La energa puede considerarse una cantidad.
Un watt es la unidad bsica de potencia, y la potencia est relacionada con la energa. No obstante,
potencia es un ndice, y energa una cantidad. La frmula para la potencia es
P = DE / Dt
DE es la cantidad de energa transferida.
Dt es el intervalo temporal durante el cual se transfiere la energa.
Si un Joule de energa se transfiere en un segundo, esto representa un watt (W) de potencia. Un watt
se define como un ampre (A) de corriente por un volt (V).
El FCC de EE.UU. permite que se emita un mximo de cuatro watts de energa en las transmisiones
WLAN en la banda no licenciada de 2,4 GHz. En las WLANs, los niveles de energa son tan bajos
como un miliwatt (mW), o una milsima (1/1000) de watt, que pueden utilizarse en un rea pequea.
Los niveles de energa en un nico segmento de WLAN son raramente ms elevados que 100 mW, lo
suficiente para comunicarse a una distancia de hasta tres cuartos de un kilmetro o media milla bajo
condiciones ptimas. Los access points en general tienen la capacidad para radiar desde 30 a 100
mW, dependiendo del fabricante. Las aplicaciones para exteriores de edificio a edificio son las nicas
que utilizan niveles de potencia por encima de los 100 mW.
2.14.13 Decibeles
El decibel (dB) es una unidad que se utiliza para medir la potencia elctrica. Un dB es un dcimo de
un Bel, que es una unidad de sonido ms grande as denominada en homenaje a Alexander Graham
Bell. El dB se mide en una escala logartmica base 10.
La base se incrementa en diez veces diez por cada diez dB medidos. Esta escala permite a las
personas trabajar ms fcilmente con grandes nmeros. Una escala similar (la escala de Richter) se
utiliza para medir terremotos. Por ejemplo, un terremoto de magnitud 6.3 es diez veces ms fuerte que
un terremoto de 5.3.
Puesto que dB no tiene ninguna referencia definida en particular, el dBx, donde la x representa un
valor especfico, se utiliza a menudo en lugar del dB. Por ejemplo, el dBm hace referencia al miliwatt.
Puesto que el dBm tiene una referencia definida, tambin puede convertirse a watts, si se lo desea. La
ganancia o prdida de potencia en una seal se determina comparndola con este punto de referencia
fijo, el miliwatt. Existen varios trminos relacionados con los que uno debera familiarizarse, para
disear e instalar WLANs apropiadamente:
dB miliWatt (dBm) sta es la unidad de medida del nivel de potencia de una seal. Si una
persona recibe una seal de un miliwatt, esto representa una prdida de cero dBm. No
obstante, si una persona recibe una seal de 0,001 miliwatts, entonces tiene lugar una prdida
de 30 dBm. Esta prdida se representa de la forma -30 dBm. Para reducir la interferencia con
otras, los niveles de potencia de una WLAN 802.11b estn limitados por los siguientes
organismos:
36 dBm de EIRP segn el FCC
20 dBm de EIRP segn el ETSI
dB dipolo (dBd) Esto se refiere a la ganancia que tiene una antena, en comparacin con la
antena dipolo de la misma frecuencia. Una antena dipolo es la antena ms pequea y menos
prctica en cuanto a la ganancia que puede obtenerse.
dB isotrpico (dBi) Esto se refiere a la ganancia que tiene una determinada antena, en
comparacin con una antena isotrpica, o de origen puntual, terica. Desafortunadamente, una
antena isotrpica no puede existir en el mundo real, pero es til para calcular reas de
cobertura y debilitamiento tericas.
Una antena dipolo tiene una ganancia de 2,14 dB por encima de la ganancia de una
antena isotrpica de 0 dBi. Por ejemplo, una simple antena dipolo tiene una ganancia
de 2,14 dBi o 0 dBd.
Potencia Irradiada Isotrpica Efectiva (EIRP) La EIRP se define como la potencia efectiva
que se halla en el lbulo principal de la antena transmisora. Es igual a la suma de la ganancia
de la antena, en dBi, ms el nivel de potencia, en dBm, que entra a la antena.
Ganancia Esto se refiere al incremento en la energa que parece agregar una antena a una
seal RF. Existen diferentes mtodos para medir esto, dependiendo del punto de referencia
elegido. Cisco Aironet inalmbrico se estandariza en dBi para especificar mediciones de
ganancia. Algunas antenas se clasifican en dBd. Para convertir cualquier nmero de dBd a dBi,
simplemente agregue 2,14 al nmero de dBd.
Uno de los diagramas ms importantes tanto en ciencia como en ingeniera es la grfica del espectro
EM. El diagrama del espectro EM tpico resume los alcances de las frecuencias, o bandas que son
importantes para comprender muchas cosas en la naturaleza y la tecnologa. Las ondas EM pueden
clasificarse de acuerdo a su frecuencia en Hz o a su longitud de onda en metros. El espectro EM tiene
ocho secciones principales, que se presentan en orden de incremento de la frecuencia y la energa, y
disminucin de la longitud de onda:
1. Ondas de potencia sta es la radiacin EM ms lenta y por lo tanto tambin tiene la menor
energa y la mayor longitud de onda.
2. Ondas de radio sta es la misma clase de energa que emiten las estaciones de radio al
aire para que un aparato de radio la capture y la reproduzca. No obstante, otras cosas, como
las estrellas y los gases del espacio tambin emiten ondas de radio. Muchas funciones de
comunicacin utilizan ondas de radio.
3. Microondas Las microondas cocinan maz inflado en pocos minutos. En el espacio, los
astrnomos utilizan las microondas para aprender acerca de la estructura de las galaxias
cercanas.
4. Luz infrarroja (IR) El infrarrojo a menudo se considera igual que el calor, porque hace que
sintamos tibia nuestra piel. En el espacio, la luz IR sirve para rastrear el polvo interestelar.
5. Luz visible ste es el rango visible para el ojo humano. La radiacin visible es emitida por
todo, desde lucirnagas hasta lmparas y estrellas. Tambin es emitida por partculas en
rpido movimiento que golpean a otras partculas.
6. Luz ultravioleta (UV) Es bien conocido que el sol es una fuente de radiacin ultravioleta
(UV). Son los rayos UV los que hacen que la piel se queme. Las estrellas y otros objetos
calientes del espacio emiten radiacin UV.
7. Rayos X Un doctor utiliza rayos X para observar los huesos y un dentista los utiliza para
observar los dientes. Los gases calientes del universo tambin emiten rayos X.
8. Rayos gamma Los materiales radioactivos naturales y fabricados por el hombre pueden
emitir rayos gamma. Los grandes aceleradores de partculas que los cientficos utilizan para
ayudarlos a comprender de qu est hecha la materia pueden irradiar en ocasiones rayos
gamma. No obstante, el mayor generador de rayos gamma de todos es el universo, que crea
radiacin gamma de muchas formas.
El espectro RF incluye varias bandas de frecuencia incluyendo las microondas y las Frecuencias Ultra
Altas (UHF) y Frecuencias Muy Altas (VHF) de emisin de radio terrestre y televisin. Aqu es tambin
donde operan las WLANs. El espectro RF tiene un rango que va desde los nueve kHz a miles de GHz.
Realmente consiste en dos secciones importantes del espectro EM, ondas de radio y microondas. Por
razones histricas, mucha gente se refiere a ambas secciones juntas como espectro RF. Las
frecuencias RF, que abarcan una porcin significativa del espectro de radiacin EM, se utilizan mucho
para las comunicaciones. La mayora de los rangos RF son licenciados, aunque unos pocos rangos se
utilizan sin licencia.
Cuando dos ondas EM ocupan el mismo espacio, sus efectos se combinan para formar una nueva
onda de diferente forma. Por ejemplo, los cambios en la presin del aire ocasionados por dos ondas
de sonido se suman. Las fuerzas elctricas y magnticas ocasionadas por dos ondas luminosas o dos
ondas de radio tambin se suman.
Jean Baptiste Fourier es responsable de un importante descubrimiento matemtico. Descubri que
una suma especial de ondas sinusoidales, de frecuencias relacionadas armnicamente, podan
sumarse para crear cualquier patrn de ondas. Las frecuencias relacionadas armnicamente son
frecuencias simples que son mltiplos de cierta frecuencia bsica. Ondas complejas pueden
construirse en base a ondas simples. Otra forma de enunciar esto es que cualquier onda reiterativa es
matemtica y fsicamente equivalente al resultado de tan slo sumar el conjunto correcto de ondas
sinusoidales. Esta suma se denomina serie de Fourier.
Es cierto que existe una cantidad infinita de diferentes frecuencias de ondas EM. No obstante,
hablando en trminos prcticos, cualquier creacin de ondas EM realmente ocupa ms que una
cantidad infinitesimal de espacio de frecuencia. Por lo tanto, las bandas de frecuencia tienen una
cantidad limitada de frecuencias, o canales de comunicaciones utilizables diferentes. Muchas partes
del espectro EM no son utilizables para las comunicaciones y muchas partes del espectro ya son
utilizadas extensamente con este propsito. El espectro electromagntico es un recurso finito. Una
forma de adjudicar este recurso limitado y compartido es disponer de instituciones internacionales y
nacionales que configuren estndares y leyes respecto a cmo puede utilizarse el espectro. En
EE.UU., es el FCC el que regula el uso del espectro. En Europa, el Instituto Europeo de Normalizacin
de las Telecomunicaciones (ETSI) regula el uso del espectro.
Las bandas de frecuencia reguladas se denominan espectro licenciado. Ejemplos de ste incluyen la
radio de Amplitud Modulada (AM) y Frecuencia Modulada (FM), la radio de radioaficionados o de onda
corta, los telfonos celulares, la televisin por aire, las bandas de aviacin y muchos otros. Para poder
operar un dispositivo en una banda licenciada, el usuario debe solicitar primero y luego otorgrsele la
licencia apropiada.
2.14.15 Seales
Un osciloscopio es un dispositivo electrnico importante y sofisticado que se utiliza para estudiar las
seales elctricas. Un osciloscopio puede graficar ondas, impulsos y patrones elctricos. Consta de
un eje x que representa el tiempo y de un eje y que representa el voltaje. Usualmente existen dos
entradas de voltaje al eje y, por lo cual dos ondas pueden observarse y medirse al mismo tiempo.
El estudio de cmo las seales varan con el tiempo se denomina anlisis del dominio de tiempo. Otra
forma de aprender acerca de las seales es analizar las frecuencias que utilizan. Los ingenieros se
refieren a este proceso como anlisis del dominio de frecuencia. Un dispositivo electrnico
denominado analizador de espectro crea grficas de potencia versus frecuencia.
Para comprender el anlisis del dominio de frecuencia en lo que tiene que ver con las WLANs, es til
examinar primero un sistema de radio ms familiar, para ser ms precisos, las emisoras de radio FM
comerciales. En este caso, el trmino radio se refiere a un dispositivo receptor, que podra estar
ubicado en una casa o automvil.
Cuando se sintoniza una radio FM, se cambia la configuracin de la misma, de modo tal que sta
responda a la frecuencia seleccionada. Las diferentes estaciones tienen cada una un centro o
frecuencia portadora diferente. Esto es as porque no interfieren entre s, transmitiendo en las mismas
frecuencias. Adems, dependiendo de factores tales como la potencia transmisora y la ubicacin de
una estacin, as como cualquier obstculo potencial, la fortaleza de la seal en el receptor de radio
FM puede ser dbil o fuerte. Estos mismos factores existen en una WLAN. Por ejemplo, para obtener
el mayor beneficio de mltiples APs en la misma ubicacin, es importante que no se superpongan sus
frecuencias. De otro modo, los APs interferirn entre s en lugar de multiplicar la cantidad de ancho de
banda utilizable por la cantidad de APs.
Un concepto muy importante en los sistemas de comunicaciones, incluyendo las WLANs, es el ruido.
La palabra ruido tiene el significado general de sonidos indeseables. No obstante, en el contexto de
las telecomunicaciones, el ruido puede definirse mejor como voltajes indeseables provenientes de
fuentes naturales y tecnolgicas. Puesto que el ruido es slo otra seal que produce ondas, puede
agregarse a otras seales, como se trat anteriormente. Si la seal afectada representa informacin
en un sistema de comunicaciones, el ruido puede cambiar la informacin. Es claro que esto no es
aceptable.
En lo que respecta a una WLAN, las fuentes de ruido incluyen la electrnica del sistema de la WLAN,
ms la interferencia de frecuencia de radio (RFI), y la interferencia electromagntica (EMI) que se
encuentra en el entorno WLAN. Estudiando el ruido, la gente puede reducir sus efectos en el sistema
WLAN.
Una forma de ruido se denomina de Gauss, o ruido blanco. El analizador espectroscpico de ruido
blanco es una lnea recta a travs de todas las frecuencias. En teora, el ruido de Gauss afecta a
todas las diferentes frecuencias de igual forma. En realidad, el ruido blanco no sigue un patrn tan
simple. No obstante, ste es an un concepto muy til, al estudiar sistemas de comunicaciones.
Puesto que el ruido blanco afectara de igual forma a todas las frecuencias de una seal de radio,
existen implicaciones para los circuitos tanto del transmisor como del receptor. Otra forma de ruido se
denomina interferencia de banda angosta. El trmino banda se refiere a una agrupacin de
frecuencias. Una banda angosta tiene un rango de frecuencias relativamente ms pequeo. La radio
FM es un ejemplo de interferencia de banda angosta. Aunque el ruido blanco perturbara de igual
forma a todas las estaciones de radio, la interferencia de banda angosta slo interferira con algunas
estaciones de radio.
Ambas formas de ruido son importantes para comprender las WLANs. Puesto que el ruido blanco
degradara los diversos canales de igual forma, los diversos componentes de FHSS y DSSS se veran
igualmente afectados. La interferencia de banda angosta podra perturbar slo a ciertos canales o a
extensos componentes del espectro. Incluso podra ser posible utilizar un canal diferente para evitar la
interferencia por completo.
2.14.17 Propagacin de RF
El estudio de cmo las ondas EM viajan e interactan con la materia puede volverse extremadamente
complejo. No obstante, existen varias simplificaciones importantes que pueden llevarse a cabo, para
estudiar ms fcilmente las propiedades de las ondas EM. Histricamente, estas simplificaciones se
desarrollaron para las ondas luminosas, pero tambin se aplican a las ondas de radio, las microondas
y todo el espectro EM.
En el vaco, las microondas de 2,4 GHz viajan a la velocidad de la luz. Una vez que se originan, estas
microondas continuarn en la direccin en la cual fueron emitidas para siempre, a menos que
interacten con alguna forma de materia. El rayo geomtrico se utiliza para significar que las
microondas estn viajando en espacio libre. Puesto que las WLANs se encuentran usualmente en
tierra, dentro de la atmsfera, las microondas viajan por el aire, no en el vaco. No obstante, en la
siguiente seccin el alumno ver que esto no cambia significativamente su velocidad.
De manera similar a la luz, cuando la RF viaja a travs de materia transparente, algunas de las ondas
se ven alteradas. Por lo tanto, la velocidad de las microondas de 2,4 GHz y 5 GHz tambin cambia, a
medida que las ondas viajan a travs de la materia. No obstante, la cantidad de la alteracin depende
mucho de la frecuencia de las ondas y de la materia. En las siguientes dos secciones, se estudiarn
algunos de los fenmenos que pueden afectar las ondas de radio de una WLAN a medida que viajan a
travs de la materia.
2.14.18 Refraccin
Una superficie se considera lisa si el tamao de las irregularidades es pequeo, en relacin a la
longitud de onda. De otro modo, se la considera irregular. Las ondas electromagnticas se difractan
alrededor de objetos interpuestos. Si el objeto es pequeo en relacin a la longitud de onda, tiene muy
poco efecto. La onda pasar alrededor del objeto sin perturbaciones. No obstante, si el objeto es
grande, aparecer una sombra detrs del mismo y una cantidad de energa significativa se refleja
nuevamente hacia el origen. Si el objeto tiene alrededor del mismo tamao que la longitud de onda,
las cosas se complican, y aparecen patrones de difraccin interesantes. Las ondas de radio tambin
cambian de direccin al entrar en materiales diferentes. Esto puede ser muy importante al analizar la
propagacin en la atmsfera. No slo es muy significativo para las WLANs, sino que se incluye aqu,
como parte del trasfondo general para el comportamiento de las ondas electromagnticas.
2.14.19 Reflexin
La reflexin tiene lugar cuando la luz rebota en la direccin general de la cual provino. Consideremos
una superficie metlica lisa como interfaz. A medida que las ondas golpean la superficie, gran parte de
su energa rebotar o se reflejar. Pensemos en experiencias comunes, como mirarse al espejo u
observar la luz del sol reflejndose desde una superficie metlica o agua. Cuando las ondas viajan de
un medio a otro, un determinado porcentaje de la luz se refleja. Esto se denomina reflexin de
Fresnel.
Las ondas de radio tambin se reflejan al entrar en diferentes medios. La ley de reflexin puede
describir estas reflexiones. Las ondas de radio pueden rebotar desde diferentes capas de la
atmsfera. Las propiedades reflexivas del rea donde ha de instalarse la WLAN son extremadamente
importantes y pueden determinar si una WLAN funciona o falla. Adems, los conectores a ambos
extremos de la lnea de transmisin que se dirigen a la antena debern estar apropiadamente
diseados e instalados, para que no tenga lugar ninguna reflexin de las ondas de radio. Si la lnea y
los conectores no coinciden apropiadamente, parte de la energa puede rebotar como eco y constituir
una prdida de potencia del sistema.
2.14.21 Multirrutura
Imaginemos un sndwich de varias capas de materiales transparentes. Imaginemos que la capa
central, el ncleo, tiene un ndice de refraccin ms alto que el de las dos capas exteriores. Los rayos
de luz que viajan en determinados ngulos a travs del medio del ncleo se reflejarn desde las
interfaces, de acuerdo a la ley de reflexin interna total. Ahora imaginemos una fuente de luz que
emita en varios ngulos, y que todos ellos se reflejaran. Esto se denomina distorsin multirruta o
interferencia.
En muchas instalaciones comunes de WLAN, las ondas de radio emitidas desde un transmisor viajan
a diferentes ngulos. Pueden reflejarse desde diferentes superficies y terminan llegando al receptor en
momentos levemente diferentes. Todas las ondas viajan a aproximadamente la velocidad de la luz. No
obstante, slo una pequea cantidad de diferencia temporal es necesaria, para resultar en una seal
de microondas distorsionada. La interferencia multirruta puede dar fuerza a la seal RF, pero
ocasionando niveles de calidad de la seal pobres. ste es un tema importante a considerar al instalar
WLANs.
2.14.24 Modularidad
La capa principal es la internetwork central de toda la empresa y puede incluir backbones de LAN y
WAN. La funcin principal de esta capa es proporcionar una estructura de transporte optimizada y
confiable y enviar trfico a altas velocidades. Adems, la capa principal es un backbone de
conmutacin de alta velocidad. Puesto que el trabajo primordial de un dispositivo de la capa principal
de la red es conmutar paquetes, el alumno deber disear la capa principal para que conmute los
paquetes tan rpido como sea posible. Por lo tanto, la capa principal de la red no deber llevar a cabo
ninguna manipulacin de paquetes. La manipulacin de paquetes, como el verificar las listas de
acceso o el filtrado, ralentizara la conmutacin.
La modularidad es otro beneficio de utilizar un diseo jerrquico, porque se ven facilitados los
cambios en la internetwork. Adems, la modularidad en el diseo de redes permite al usuario crear
elementos de diseo que pueden replicarse a medida que la red crece. Cuando un elemento del
diseo de la red requiere un cambio, el costo y la complejidad de efectuar la actualizacin se ve
restringida a un pequeo subconjunto de la red total. En grandes arquitecturas de red planas o de
malla, los cambios tienden a tener un impacto en una gran cantidad de sistemas.
La estructura modular de la red en elementos pequeos y fciles de comprender tambin simplifica el
aislamiento de fallos. El usuario puede comprender fcilmente los puntos de transicin de la red, e
identificar as puntos de fallo.
En ocasiones se considera equivocadamente que las capas principal, de distribucin y de acceso
deben existir cada una como entidad fsica clara y diferenciada. No obstante, ste no tiene por qu ser
el caso. Las capas se definen para ayudar a un diseo exitoso de la red y para representar la
funcionalidad que debe existir en una red. Cada capa puede encontrarse en routers o switches
diferenciados, puede combinarse en un nico dispositivo o puede omitirse totalmente. La forma en la
cual se implementan las capas depende de las necesidades de la red que se est diseando. Ntese
que debe mantenerse una jerarqua para que la red funcione de manera ptima.
La banda de 2,4GHz para uso en redes WLAN consta del siguiente rango de frecuencias: 2,4GHz -
2,4835 GHz, (ver CNAF en el Anexo I). El ancho de banda por canal en la banda de 2,4GHz es de
22MHz y la separacin entre canales de 5MHz; por lo tanto hay 13 canales disponibles, 3 de ellos no
solapados. El nmero de canales disponibles es de 13 en Estados Unidos y 11 en Europa
La banda de 5GHz para uso en redes WLAN consta del siguiente rango de frecuencias: 5,150GHz -
5,725GHz. En la banda de 5 GHz el ancho de banda por canal es de 20MHz y existen 12 canales no
solapados, 8 para uso en interiores y 4 para exteriores.
2.15 PREGUNTAS Y TIPS
- Monomodo
Fibra ptica:
- Multimodo
Wireless: - Satlite
- Wireless LAN por onda corta
- Wireless LAN infrarrojo (IR)
- Wireless LAN por spread spectrum (WLAN)
- IEEE 802.11a
- IEEE 802.11b
- IEEE 802.11g
3.1.1 Telnet
El protocolo Telnet es un protocolo de capa de aplicacin que emula una terminal remota a travs de
una red TCP/IP. El objetivo de este protocolo es definir una interfaz estndar para la
intercomunicacin entre sistemas finales, a travs de una terminal virtual .
Antiguamente para iniciar una sesin remota se conectaba al servidor una terminal sin poder de
procesamiento, llamada "terminal boba", por medio de un cable conectado al puerto serie y la
comunicacin se estableca a travs de un protocolo de transmisin serie. El servidor serva de centro
de la estrella donde convergan todas las terminales. Algunas desventajas de este sistema eran:
la distancia entre las terminales y el servidor, limitada por el alcance del cable serial
el costo asociado de mantener en el servidor un puerto serie por cada terminal remota
Con la llegada de las estaciones de trabajo y la difusin de las redes TCP/IP, las terminales remotas
fueron reemplazadas por un software de terminal virtual, que se ejecuta en la estacin y se comunica
con el servidor a travs de TCP/IP, utilizando el protocolo Telnet. Esta caracterstica elimina la
limitacin de distancia entre las terminales y el servidor.
El protocolo Telnet se encuentra definido principalmente por los RFC 854 (TELNET Protocol
Specifications) y 855 (TELNET Option Specifications). Se ejecuta sobre TCP y tiene asignado el
nmero de puerto 23 .
El protocolo TELNET se basa en tres ideas principales:
El concepto de "Terminal Virtual de Red" (NVT, Network Virtual Terminal). Una NVT es un
dispositivo imaginario que mantiene una estructura bsica comn a todos los tipos de
terminales. Cada host realiza la traduccin desde su estructura hacia la NVT cuando transmite
datos y desde la NVT hacia su estructura cuando recibe informacin.
Una visin simtrica de terminales y procesos, es decir, asocia una terminal virtual con un
proceso ejecutndose en la estacin
La negociacin de opciones, la cual es utilizada por las estaciones para negociar las diferentes
opciones que provee el protocolo, por ejemplo el tipo de terminal, una de las ms comunes es
VT100.
Proceso de conexin y funcionamiento: Para establecer una conexin Telnet entre un Cliente y un
Servidor, primero debe establecerse una conexin TCP a travs del saludo de tres vas. El cliente
debe iniciar esta conexin haciendo una solicitud al puerto 23 del Servidor . Esta conexin se
mantiene durante toda la sesin Telnet.
Una vez que finaliza el saludo de tres vas, se establece la conexin TCP, y el cliente y el servidor
deben negociar las opciones especficas de Telnet. Cuando finaliza la negociacin de las opciones, se
comienza la transferencia de datos entre el cliente y el servidor.
Cada tecla que presiona el cliente no es procesada localmente, sino que viaja a travs de la red hasta
el servidor, donde es procesada por la aplicacin Telnet, y transferida de vuelta al cliente para que
proceda a mostrarla por pantalla, en caso que llegue un ENTER al servidor, proceder a ejecutar el
comando formado por las letras que previamente le han llegado, y al igual que en el caso anterior,
enva la respuesta al cliente para que la muestre por pantalla .
El protocolo Telnet provee autenticacin de usuarios a travs del ingreso de un nombre de usuario y
una contrasea al iniciarse una sesin .
El mayor problema de seguridad de Telnet es que el trnsito de los datos se realiza en texto claro, es
decir sin encriptar. Si estamos en una red de difusin, como Ethernet, Token Ring o FDDI, el trfico
que enva una estacin es recibido por todas las dems que conforman la LAN y como los datos no
viajan encriptados, cualquier estacin podra leer las transacciones de otra estacin.
3.1.2 HTTP
El protocolo de transferencia de hipertexto (HTTP, HyperText Transfer Protocol) es el protocolo usado
en cada transaccin de la Web (WWW). HTTP fue desarrollado por el consorcio W3C y la IETF,
colaboracin que culmin en 1999 con la publicacin de una serie de RFC, siendo el ms importante
de ellos el RFC 2616, que especifica la versin 1.1.
HTTP define la sintaxis y la semntica que utilizan los elementos software de la arquitectura web
(clientes, servidores, proxies) para comunicarse. Es un protocolo orientado a transacciones y sigue el
esquema peticin-respuesta entre un cliente y un servidor. Al cliente que efecta la peticin (un
navegador o un spider) se lo conoce como "user agent" (agente del usuario). A la informacin
transmitida se la llama recurso y se la identifica mediante un URL. Los recursos pueden ser archivos,
el resultado de la ejecucin de un programa, una consulta a una base de datos, la traduccin
automtica de un documento, etc.
HTTP es un protocolo sin estado, es decir, que no guarda ninguna informacin sobre conexiones
anteriores. El desarrollo de aplicaciones web necesita frecuentemente mantener estado. Para esto se
usan las cookies, que es informacin que un servidor puede almacenar en el sistema cliente. Esto le
permite a las aplicaciones web instituir la nocin de "sesin", y tambin permite rastrear usuarios ya
que las cookies pueden guardarse en el cliente por tiempo indeterminado.
Una transaccin HTTP est formada por un encabezado seguido, opcionalmente, por una lnea en
blanco y algn dato. El encabezado especificar cosas como la accin requerida del servidor, o el tipo
de dato retornado, o el cdigo de estado.
El uso de campos de encabezados enviados en las transacciones HTTP le dan gran flexibilidad al
protocolo. Estos campos permiten que se enve informacin descriptiva en la transaccin, permitiendo
as la autenticacin, cifrado e identificacin de usuario.
Un encabezado es un bloque de datos que precede a la informacin propiamente dicha, por lo que
muchas veces se hace referencia a l como metadato, porque tiene datos sobre los datos
3.1.3 HTTPS
Hypertext Transfer Protocol Secure (en espaol: Protocolo seguro de transferencia de hipertexto), ms
conocido por sus siglas HTTPS, es un protocolo de red basado en el protocolo HTTP, destinado a la
transferencia segura de datos de hipertexto, es decir, es la versin segura de HTTP.
El sistema HTTPS utiliza un cifrado basado en SSL/TLS para crear un canal cifrado (cuyo nivel de
cifrado depende del servidor remoto y del navegador utilizado por el cliente) ms apropiado para el
trfico de informacin sensible que el protocolo HTTP. De este modo se consigue que la informacin
sensible (usuario y claves de paso normalmente) no puede ser usada por un atacante que haya
conseguido interceptar la transferencia de datos de la conexin, ya que lo nico que obtendr ser un
flujo de datos cifrados que le resultar imposible de descifrar.
Cabe mencionar que el uso del protocolo HTTPS no impide que se pueda utilizar HTTP. Es aqu,
cuando nuestro navegador nos advertir sobre la carga de elementos no seguros (HTTP), estando
conectados a un entorno seguro (HTTPS).
Los protocolos HTTPS son utilizados por navegadores como: Safari, Internet Explorer, Mozilla Firefox,
Opera y Google Chrome, entre otros.
Es utilizado principalmente por entidades bancarias, tiendas en lnea, y cualquier tipo de servicio que
requiera el envo de datos personales o contraseas.
El puerto estndar para este protocolo es el 443.
3.1.4 SHTTP
El protocolo fue diseado por E. Rescorla y A. Schiffman de Enterprise Integration Technologies (EIT).
para obtener conexiones de HTTP. S-HTTP provee una variedad amplia de mecanismos para tener
prevista confidencialidad, autenticacin, e integridad, La separacin de poltica de mecanismo fue un
cometido explcito.
S-HTTP es un superconjunto de HTTP, el cual permite mensajes para ser narrado de forma resumida
de forma muy diversa. Las encapsulaciones pueden incluir cifrado, firma, o una autenticacin basada
en MAC. Esta encapsulacin puede ser recursiva, y un mensaje puede tener varias transformaciones
de seguridad aplicadas.
S-HTTP tambin incluye definiciones de encabezado para proveer la transferencia de clave, dar un
certificado a la transferencia, y las funciones administrativas similares. S-HTTP parece ser sumamente
flexible, lo cual permitir al programador desarrollar aplicaciones web sin temor a que la aplicacin
sea vulnerada. S-HTTP tambin ofrece el potencial para el desenvolvimiento sustancial del usuario
dentro de l, y el descuido de la autenticacin y las actividades de cifrado.
S-HTTP no confa en un esquema particular de certificacin de clave. Incluye soporte para RSA, hacia
dentro se agrupa, fuera de banda y el cambio de clave kerberos. Las claves para las certificaciones
pueden ser provistas en un mensaje, u obtenido en otro sitio. Como en SSL, las llaves pblicas del
cliente no son requeridas.
Las amenazas del S-HTTP son similares a las existentes contra el SSL. Sin embargo, la naturaleza
ms general de S-HTTP hace difcil de determinar exactamente cules son posibles. En el caso de un
hacker, o del looker, el ataque contra un CA puede ser ms difcil, debido a la existencia de CAs
mltiples. Una clave se poda verificar tericamente por varios CAs, haciendo un ataque infeasible.
El modo operacional por defecto de S-HTTP es substancialmente ms resistente al ataque que el del
SSL. Resiste el criptoanlisis claro de texto, hombre en el centro, y juega a nuevo ataques. Es ms
robusto que el SSL, porque se permite la renegociacin y las recomprobaciones de la opcin.
Adems, el costo del texto claro del criptoanlisis DES es substancialmente ms alto que el de RC4-
40. (Recuerde que el DES cifra por defecto para S-HTTP, y RC4-40 cifra por defecto para el SSL).
Para romper una clave RC4-40 en aproximacin con respecto a costos al mes es en promedio de
$125. Para romper una clave del DES en costos de un mes es un aproximado de $10.000
(extrapolado de Wiener, 1994). Una clave DES de 56 bits cuesta un milln de dlares a la rotura sobre
7 horas. (Wiener, 1994) esta escala de costos va hacia arriba y hacia abajo en una forma lineal. (1/2
milln de dlares por mquina tomar 14 horas). Un mes tiene 720 horas (24 horas x 30 das), que es
102 perodos de 7 horas. El costo de romper el DES en un mes es cas cerca de $10 000, en
comparacin con $125 para 40 bits RC4.
El uso en el intercambio de la clave es potencialmente muy problemtico; los autores no pasan
bastante tiempo para asegurar que las claves se transfieren correctamente. Una transferencia
incorrecta sera un esquema que enva B como Ea(B). Es decir, B dominante que substituye la clave A
no se puede enviar usando la clave A para cifrarla. Si un atacante tiene llave quebrada A, entonces l
tendr B dominante, y el cambio de la llave es una prdida de tiempo (con respecto a ese atacante).
Esta equivocacin fue incurrida a menudo por un japons en la segunda guerra mundial. (Kahn) que
esperaba que los programadores aprendan que de esto los errores de otros (especialmente los viejos
errores de 50 aos) son una apuesta pobre.
S-HTTP, es flexible, puede ofrecer a un programador bastantes variantes. Obviamente, no ofrece
muchas opciones quebradas, sino que no parece hacer que cualquier cosa como los SSL con la
actitud de "cifre todo y no lo que pueda". Un programador, especialmente uno no familiarizado con las
aplicaciones de seguridad y criptografa, podra pensar que "usar S-HTTP me proteger" y que no
podr proporcionar totalmente ninguna proteccin criptogrfica para su informacin. La probabilidad
de que esto suceda es discutible, pero es viable tener en consideracin el problema.
El protocolo SSH (Secure Shell) fue creado con el fin de segurizar los datos en trnsito de una
terminal remota. El funcionamiento es similar al de Telnet, con la diferencia que los datos que se
transfieren entre el Cliente y el Servidor viajan encriptados. SSH soporta diferentes tipos de
encriptacin, lo que permite que el usuario seleccione su preferencia.
Existen dos versiones de SSH actualmente: SSH1 y SSH2. SSH1 soporta los algoritmos de
encriptacin Blowfish, DES, 3DES y RC4; mientras que SSH2 soporta 3DES, RC4 y Twofish (En el
Modulo 2 - Capitulo 2 - Seguridad en los datos : Encriptacin, podr encontrar una descripcin de las
caractersticas de los algoritmos de encriptacin mencionados).
En la actualidad SSH se ha convertido en el mtodo seguro ms utilizado para el acceso interactivo a
sistemas remotos.
El protocolo SSH utiliza el puerto TCP 22 para realizar las conexiones . SSH se ocupa de la
confidencialidad e integridad en el trnsito de datos entre el cliente y el servidor. Inicia una sesin
encriptada entre el cliente y el servidor antes de transferir el nombre de usuario y la contrasea. De
esta forma, si un usuario malicioso escucha el medio para capturar los datos que viajan en texto claro,
no podr comprender los datos transferidos por SSH.
El uso de SSH ayuda a protegerse de diferentes tipos de ataques, como sniffing, IP spoofing o la
manipulacin de datos por usuarios no autorizados.
SSH es una aplicacin diseada para substituir determinadas herramientas de acceso remoto usadas
tradicionalmente en los sistemas Unix, como rsh(Remote Shell), rlogin(Remote Login) o rcp(Remote
Copy), por nuevas versiones con servicios de seguridad.
El autor de la primera implementacin del SSH, Tatu Ylnen, de la Universidad Tecnolgica de
Helsinki, public el ao 1995 la especificacin de la versin 1 del protocolo. Desde entonces se ha
trabajado en la especificacin de una nueva versin del protocolo, la 2.0, actualmente en fase de
borrador a la espera de su publicacin oficial como RFC. Aunque la funcionalidad que proporciona es
bsicamente la misma, la nueva versin incorpora muchas mejoras y es sustancialmente distinta de la
anterior. La versin antigua y la nueva del protocolo se referencia habitualmente reverenciadas como
SSH1 y SSH2, respectivamente.
Proceso de conexin y funcionamiento: El protocolo SSH necesita claves para poder encriptar la
informacin que transmite. Estas claves deben ser conocidas por los dos extremos, por lo que deben
ser transmitidas por la red. Este intercambio de claves debe ser previo a cualquier transferencia de
informacin. Para evitar la escucha de las claves que se transmiten, se utiliza un esquema de claves
asimtricas (se ver ms adelante) que asegura que las claves transmitidas no podrn ser
interceptadas ni modificadas.
Una vez que se realiz el intercambio de claves, comienza la transferencia de datos, de manera
similar a los dems protocolos.
El protocolo SSH provee un entorno seguro para la transferencia de informacin a travs de una red
no confiable. SSH permite asegurar:
Integridad: Los datos transmitidos no pueden ser modificados por terceros.
Autenticacin: Los extremos son quien dicen ser (evita el robo de autenticidad)
Confidencialidad: Los mensajes enviados no pueden ser ledos por terceros
No repudio: Un mensaje que ha sido enviado no puede rechazarse
Rechazo de duplicados: no permite que se enve dos veces el mismo mensaje
SSH confa en que los dos extremos de la conexin son seguros, si alguno de ellos ha sido
comprometido, todos los recursos que se utilicen sobre SSH tambin lo sern.
La aplicacin define un protocolo propio para la transmisin segura de los datos, el protocolo SSH.
Este protocolo se sita directamente por debajo de la capa de transporte, (concretamente del
transporte TCP) y, como veremos en este apartado, proporciona servicios anlogos a los del protocolo
SSL/TLS. Aparte de establecer conexiones seguras, el protocolo SSH tambin ofrece otras
funcionalidades como, por ejemplo, la re-direccin de puertos TCP o la comunicacin entre clientes y
servidores de ventanas X, a travs de una conexin SSH.
De la misma forma que en SSL/TLS se distinguen dos subcapas en el nivel de transporte seguro, en
SSH tambin se puede considerar una divisin en dos subniveles. Adems, en SSH2 el nivel superior
est estructurado en tres protocolos, uno por encima del otro.
Condencialidad. SSH sirve para comunicar datos, que habitualmente son la entrada de una
aplicacin remota y la salida que genera, o bien la informacin que se transmite por un puerto
redirigido, y la confidencialidad de estos datos se garantiza mediante el cifrado.
Como en el caso del protocolo SSL/TLS, en SSH se aplica un cifrado simtrico a los datos y, por lo
tanto, ser necesario realizar previamente un intercambio seguro de claves entre cliente y servidor.
Una diferencia respecto a SSL/TLS es que en SSH2 se pueden utilizar algoritmos de cifrado distintos
en los dos sentidos de la comunicacin.
Un servicio adicional que proporciona SSH es la confidencialidad de la identidad del usuario. Mientras
que en SSL 3.0 y TLS 1.0, si se opta por autenticar al cliente, ste tiene que enviar su certificado en
claro, en SSH (y tambin en SSL 2.0) la autenticacin del usuario se realiza cuando los paquetes ya
se mandan cifrados. Por otro lado, SSH2 tambin permite ocultar ciertas caractersticas del trco
como, por ejemplo, la longitud real de los paquetes.
Autenticacin de mensaje. Igual que en SSL/TLS, en SSH2 la autenticidad de los datos se garantiza
aadiendo a cada paquete un cdigo MAC calculado con una clave secreta. Tambin existe la
posibilidad de utilizar algoritmos MAC distintos en cada sentido de la comunicacin.
Igual que SSL/TLS, SSH tambin est diseado con los siguientes criterios adicionales:
Eciencia. SSH contempla la compresin de los datos intercambiados para reducir la longitud
de los paquetes. SSH2 permite negociar el algoritmo que se utilizar en cada sentido de la
comunicacin, aunque solamente existe uno definido en la especificacin del protocolo. Este
algoritmo es compatible con el que utilizan programas como gzip(RFC 19501952).
A diferencia de SSL/TLS, en SSH no est prevista la reutilizacin de claves de sesiones
anteriores: en cada nueva conexin se vuelven a calcular las claves. Esto es as porque SSH
est pensado para conexiones que tienen una duracin ms o menos larga, como suelen ser
las sesiones de trabajo interactivas con un ordenador remoto, y no para las conexiones cortas
pero consecutivas, que son ms tpicas del protocolo de aplicacin HTTP (que es el que
inicialmente se quera proteger con SSL). De todas formas, SSH2 define mecanismos para
intentar acortar el proceso de negociacin.
Extensibilidad. En SSH2 tambin se negocian los algoritmos de cifrado, de autenticacin de
usuario, de MAC, de compresin y de intercambio de claves. Cada algoritmo se identifica con
una cadena de caracteres que representa su nombre. Los nombres pueden corresponder a
algoritmos oficialmente registrados, o bien a algoritmos propuestos experimentalmente o
definidos localmente.
El protocolo de paquetes SSH se encarga de construir e intercambiar las unidades del protocolo, que
son los paquetes SSH.
El protocolo de capa de transporte se encarga del establecimiento de la conexin de transporte, de la
autenticacin del servidor y intercambio de claves, y de las peticiones de servicio de los dems
protocolos.
El protocolo de conexin gestiona las sesiones interactivas para la ejecucin remota de comandos,
mandando los datos de entrada de cliente a servidor y los de salida en sentido inverso. Tambin se
encarga de la redireccin de puertos TCP.
3.2.3 OpenSSH
OpenSSH (Open Secure Shell) es un conjunto de aplicaciones que permiten realizar comunicaciones
cifradas a travs de una red, usando el protocolo SSH. Fue creado como una alternativa libre y abierta
al programa Secure Shell, que es software propietario. El proyecto est liderado por Theo de Raadt,
residente en Calgary.
Sus desarrolladores aseguran que OpenSSH es ms seguro que el original, lo cual es debido a la
conocida reputacin de los desarrolladores de OpenBSD por crear cdigo limpio y perfectamente
auditado, lo que contribuye a que sea ms seguro. Su seguridad tambin es atribuible al hecho de que
su cdigo fuente se distribuya libremente con una licencia BSD. Aunque todo el cdigo fuente del SSH
original tambin est disponible, existen restricciones con respecto a su uso y distribucin, lo que
convierte a OpenSSH en un proyecto mucho ms atractivo a la hora de atraer nuevos desarrolladores.
Muchas aplicaciones pueden ser securizadas con OpenSSH, haciendo de este sistema una potente
alternativa para sistemas VPN.
Cualquier aplicacin que use conexiones por TCP (preferiblemente con un slo puerto tcp) puede ser
utilizada a travs de tnel seguro- Algunos ejemplos de aplicaciones fcilmente tunelizables son el X
Window System, http usando un proxy y VNC. El tnel para el X Window System se crea
automticamente entre dos ordenadores corriendo Unix, as que las aplicaciones con interfaz grfico
pueden ser ejecutadas desde ordenadores remotos simplemente escribiendo su nombres.
Entre las aplicaciones cuya tunelizacin es posible, aunque compleja, se encuentran el ftp (no es
necesario, debido a la existencia de sftp) y SMB. Algunas aplicaciones llaman a OpenSSH para crear
el tnel, tales como DistCC, CVS, rsync y fetchmail. Se pueden montar sistemas de archivos remotos
a travs de ssh usando shfs, lufs o podfuk.
El servidor OpenSSH autentica a los usuarios usando sus propios sistemas de autenticacin,
implementados en el propio software:
Clave pblica (id.rsa, authorized_keys)
Contrasea
Kerberos/GSSAPI
OpenSSH tambin puede usar PAM para llevar a cabo la autenticacin. PAM permite la seleccin de
mtodos de autenticacin y su poltica en tiempo de ejecucin, permitiendo mtodos avanzados de
autenticacin tales como:
OTPW
S/KEY
OPIE
3.2.4 Finger
El protocolo de capa de aplicacin Finger (definido por la RFC 1288), est diseado para proporcionar
informacin de los usuarios de una maquina local o de un servidor a travs de la red TCP/IP. La
informacin provista por el comando finger, depende de la implementacin del servidor de finger.
Generalmente, a travs de consultas a un servidor Finger, se pueden visualizar desde los datos de un
usuario particular hasta la lista de usuarios conectados a un host
Como vimos anteriormente, este protocolo proporciona informacin, a veces con gran detalle, de los
usuarios que pertenecen a una maquina. Para hacerlo, se utiliza el comando finger desde un cliente,
dndole como argumento un nombre de mquina y dominio precedido del smbolo @, y
opcionalmente, un nombre de usuario. Desde el punto de vista de la seguridad, finger proporciona
mucha informacin que podra ser de utilidad para un atacante. Una persona podra obtener nombres
de usuario, hbitos de conexin, cuentas inactivas, incluso algunos administradores completan
exhaustivamente la informacin de finger, con datos como sus oficinas y nmeros telefnicos. Esta
informacin podra ser fcilmente aprovechable por alguna entidad externa para practicar ingeniera
social contra el personal de la organizacin.
Las principales caractersticas de finger que debera tener en cuenta son:
No utiliza autenticacin.
No cifra los datos que transmite (por lo que pueden ser interceptados e interpretados).
Muestra los nombres de usuarios actualmente conectados y desde dnde estn conectados.
Esto no slo revela nombres vlidos de usuarios en el sistema, sino que tambin puede ayudar
a conocer la topologa de la red privada.
Brinda toda la informacin que el administrador (o los usuarios) hayan cargado sobre sus
perfiles.
El servicio de finger, debe ser habilitado con mucha precaucin en un servidor. Tenga en cuenta que el
comienzo de un ataque consiste en recabar informacin y la funcin de este servicio es precisamente
publicar informacin. Como se mencion anteriormente, el servicio finger no incorpora un mecanismo
de autenticacin, por este motivo, si se necesita habilitar este servicio debera incorporar alguna
herramienta que permita filtrar los accesos no deseados.
3.2.5 FTP
El protocolo FTP (File Transfer Protocol) es el estndar actual para la transferencia de archivos en
redes TCP/IP. Este servicio utiliza el protocolo TCP para sus conexiones y un modelo cliente/servidor.
Las principales caractersticas de FTP son:
Brinda un acceso interactivo: Aunque puede utilizarse software de aplicacin para realizar las
transferencias mediante FTP, la mayora de las implementaciones de los sistemas operativos
proporcionan una interfaz interactiva, es decir a travs del uso de comandos, para acceder a
servidores remotos.
Permite especificar un formato de representacin para la transferencia, optando entre texto o
binario: Un usuario puede especificar si va a transferir un archivo de texto o binario, as como
el formato de texto que utilizan.
Realiza control de autenticacin: Antes de realizar la transferencia de archivos, es obligatorio
que cada cliente se autentique con el servidor proporcionando un nombre de usuario y
contrasea vlidos.
Forma de conexin: Tanto en el uso de FTP estndar como FTP pasivo, el cliente inicia una conexin
hacia el servidor al puerto 21 (convencionalmente asignado a ese servicio) utilizando TCP. Esta
comunicacin se suele llamar, canal de control (o conexin de control). Si se utiliza una comunicacin
por FTP estndar, el cliente utiliza este canal para enviar un paquete con el comando PORT y
establecer el nmero de puerto que utilizar con el servidor para la transferencia de datos. As, el
servidor inicia una conexin desde el puerto 20 local (utilizando tambin TCP) hacia el nmero de
puerto establecido por cliente en el canal de control. Este nuevo canal generalmente es llamado
conexin de transferencia de datos.
Si en lugar de utilizar FTP estndar, se utiliza FTP pasivo, en lugar de enviar un paquete con el
comando PORT el cliente enva el comando PASV. Este comando tiene como objetivo averiguar el
puerto que usar el servidor para la conexin de transferencia de datos. Posteriormente el cliente
inicia una conexin a ese puerto del servidor donde se realiza la conexin para la transferencia de
datos.
Las conexiones de transferencia de datos pueden crearse de manera dinmica cuando se necesiten,
pero la conexin de control contina a travs de toda la sesin del usuario. Una vez que la conexin
de control desaparece, la sesin finaliza y el software en ambos extremos termina todos los procesos
de transferencia de datos.
Como se describi anteriormente, las caractersticas del servicio FTP hacen que la autorizacin sea
un proceso obligatorio, por lo cual slo los clientes que cuenten con un usuario y contraseas vlidos
en el servidor podran tener acceso. Con el fin de facilitar el acceso a determinados archivos pblicos,
la mayora de los servidores FTP permiten el acceso de un usuario annimo, generalmente llamado
anonymous. El acceso al FTP annimo significa que el cliente no necesita tener un usuario y
contrasea propios para utilizar el servicio, sino que ingresa como invitado con las restricciones que
imponga el administrador del servicio.
Se debe recordar que este servicio es autenticado, entonces podemos aprovechar esta caracterstica
para definir en forma cuidadosa los datos y directorios a los que tendr acceso cada usuario,
especialmente el usuario annimo. Respecto a este ltimo, si no son necesarios los accesos
annimos, convendr deshabilitarlo. Por otro lado, si debe permitir los accesos annimos, sera
recomendable que los usuarios annimos slo puedan descargar informacin del servidor. Otra
caracterstica importante, respecto a la seguridad del protocolo, es que la transferencia de datos se
realiza en texto claro, entonces, si nos encontramos en una red de difusin, como Ethernet, Token
Ring o FDDI, cualquier estacin podra interceptar e interpretar los datos, nombres de usuarios y
contraseas que se enven por FTP
3.2.6 TFTP
El protocolo TFTP (Trivial File Transfer Protocol - Protocolo de Transferencia de Archivos Trivial) es un
protocolo de transferencia de archivos muy simple . Utiliza el protocolo UDP y tiene las siguientes
caractersticas:
Provee control de errores para cada datagrama.
No realiza una conexin entre el Cliente y el Servidor.
No provee control de flujo.
No provee acceso interactivo.
No provee autenticacin.
Para iniciar una transferencia, el cliente enva una peticin de lectura o escritura al servidor. Si el
servidor acepta el requerimiento, se transfiere el archivo en bloques de tamao fijo de 512 bytes.
Cada bloque se enumera consecutivamente, comenzando desde 1. Cada paquete debe ser
reconocido con un acuse de recibo antes que el siguiente sea transferido. Cuando se recibe un
paquete con un tamao menor a 512 bytes se asume que es el fin de la transferencia
Inicialmente, el cliente enva una solicitud al servidor al puerto UDP 69, el servidor responde a la
solicitud asignando un puerto diferente, que se utilizar para el resto de la transferencia.
TFTP es un protocolo que no provee autenticacin de usuarios, ni encriptacin de datos en trnsito,
por lo que puede considerarse un protocolo no seguro. Debido a esto es recomendable no
implementar este servicio, por otro lado si es necesario para realizar transferencias entre dispositivos,
debemos controlar los archivos y directorios que estarn expuestos. Generalmente, slo se permite la
lectura de archivos, pero no la escritura.
Las ltimas versiones de TFTP se configuran de forma predeterminada para prohibir el acceso a
cualquier directorio, excepto a /tftpboot. Este hecho es una buena medida, pero an as los atacantes
pueden obtener cualquier archivo contenido en este directorio. Esto incluye la obtencin de archivos
delicados de configuracin de routers, previa obtencin del nombre del archivo que, generalmente, es
"nombre del router".cfg. En muchos casos el intruso conseguira acceder a las contraseas del router
y de las comunidades SNMP (En la seccin 3.8 - SNMP, puede obtener informacin adicional sobre
este protocolo) .
En algunas implementaciones de TFTP se puede especificar una lista de hosts, a travs de
direcciones IP o nombres DNS, que tendrn permitida o denegada la escritura y/o lectura de archivos,
si no existe esta posibilidad, deberamos contemplar alguna tcnica auxiliar para controlar el acceso al
servidor TFTP.
3.2.7 DHCP
El Protocolo de Configuracin Dinmica de Hosts (DHCP) fue diseado por la IETF como el sucesor
del protocolo BOOTP para la configuracin automtica de hosts en una red TCP/IP. El protocolo DHCP
mejora a su antecesor principalmente en dos aspectos:
DHCP permite que el host reciba toda la informacin que pueda necesitar para su
configuracin de red en un solo mensaje (por ejemplo, adems de su direccin IP, puede
recibir la mscara de subred, la direccin de un gateway y de un servidor DNS)
DHCP utiliza un mecanismo de asignacin de direcciones IP en forma dinmica. As, el
servidor DHCP mantiene un conjunto de direcciones IP y a medida que los clientes le solicitan
direcciones, se las asigna por un perodo de tiempo determinado.
DHCP est implementado segn el modelo cliente - servidor, es decir, debemos tener un servidor
DHCP configurado en nuestra red local. Actualmente es el protocolo de configuracin dinmica ms
difundido y de uso generalizado. En redes TCP/IP extensas representa una herramienta de gran
utilidad para los administradores de red, por un lado reduce la cantidad de errores en las
configuraciones de los hosts y, por otro lado permite una utilizacin ms eficiente de las direcciones
IP. La configuracin automtica de hosts a travs del protocolo DHCP fue un gran avance en contraste
con BOOTP. Un servidor DHCP puede ser configurado para realizar asignaciones estticas de IP a
clientes segn la direccin MAC de cada cliente, como as tambin puede entregar direcciones IP de
un conjunto de direcciones en forma dinmica sin tener en cuenta quien se las pida. Las direcciones
que entrega un servidor DHCP a los clientes son asignadas por un perodo de tiempo determinado.
Segn los requisitos o las necesidades de cada LAN el tiempo de asignacin de la direccin puede
variar de minutos a horas. Todo el proceso de comunicacin entre el cliente y el servidor DHCP se
realiza utilizando el protocolo UDP, a travs del puerto 67 en el servidor
Cuando un cliente necesita configurarse en forma automtica a travs de DHCP, el proceso de
solicitud y asignacin de la configuracin consiste en un dilogo entre el cliente y el servidor DHCP (o
los servidores). El primer paso que realiza el cliente es enviar un mensaje de broadcast a toda la red
local con el fin de encontrar algn servidor DHCP (el mensaje DHCPDISCOVER. En la figura se
puede ver una descripcin de los posibles valores a los tipos de mensajes DHCP). Una vez que el
cliente enva el paquete DHCPDISCOVER, queda a la espera de respuestas de servidores DHCP que
existan en la red. Los paquetes DHCPDISCOVER tienen como destino una direccin broadcast, con el
fin de asegurar que todos los hosts de la red reciban el paquete.
Todos los hosts y servidores DHCP de la red local reciben el mensaje del cliente. Slo los servidores
DHCP interpretan el mensaje y le contestan al cliente enviando un paquete DHCPOFFER. El cliente
puede recibir cero o ms respuestas a su solicitud.
Cuando el cliente recibe las ofertas de los servidores, selecciona una (por ejemplo, la primera en
llegar) y negocia con el servidor el tiempo de la direccin IP y dems informacin de configuracin.
Para esto, el cliente le responde a servidor DHCP seleccionado con un paquete DHCPREQUEST. La
figura muestra la informacin que un cliente generalmente obtiene de un servidor DHCP.
Con el objeto de enviar un acuse de recibo al cliente el servidor le enva un paquete DHCPACK
Un cliente que recibi toda su configuracin TCP/IP a travs de DHCP y no necesita ms acceso a la
red antes que finalice el tiempo que el servidor le asign su direccin, puede enviarle un paquete
DHCPRELEASE con el fin de comunicarle que liber su direccin IP. En el caso que el cliente de red
necesite mantener acceso a la red por un tiempo posterior al asignado por el servidor, necesita
renegociar su asignacin. La figura muestra como un cliente realiza el perodo de renovacin. Dentro
de un ambiente DHCP hay que tomar ciertos recaudos para evitar el uso indebido.
Si revisamos el proceso utilizado por DHCP, podemos ver que el primer paquete enviado por una
estacin cliente DHCP (DHCP Discover), es un broadcast a toda la red. Este broadcast puede ser
respondido por cualquier servidor que se encuentre en la red local. De esta manera una estacin
cualquiera que implemente un servidor DHCP podr asignar direcciones IP a su parecer, provocando
problemas de comunicacin entre las estaciones de la red local .
Otro aspecto a tener en cuenta depende del tipo de asignaciones que estemos realizando.
Si estamos realizando asignacin dinmica de direcciones, podra suceder que una estacin
externa a nuestra red, se conecte a ella y reciba una direccin vlida, obteniendo los mismos
permisos y privilegios que una estacin interna .
Si estamos realizando asignacin esttica de direcciones, una estacin maliciosa podra
engaar al servidor DHCP cambiando intencionalmente la direccin MAC de sus tramas para
obtener una direccin IP
3.2.8 SNMP
SNMP (Simple Network Management Protocol o Protocolo simple de administracin de red) es un
protocolo de capa de aplicacin que facilita el intercambio de informacin entre dispositivos de red.
SNMP permite a los administradores monitorear la performance de la red, el funcionamiento de los
dispositivos, encontrar y solucionar problemas.
Existen actualmente tres versiones de SNMP: SNMP Versin 1 (SNMPv1), SNMP Versin 2 (SNMPv2)
y SNMP Versin 3 (SNMPv3). Las tres versiones mantienen caractersticas en comn, en SNMPv2 se
agregaron nuevas operaciones sobre los dispositivos y en SNMPv3 se mejor la seguridad del
protocolo de administracin.
Un dispositivo administrado es un host que contiene un agente SNMP. Los dispositivos administrados
recolectan informacin la guardan y la dejan disponible para las NMSs. Routers, switches, hubs,
estaciones de trabajo e impresoras pueden ser dispositivos administrados.
Un agente es un software que ejecutan los dispositivos administrados. Un agente tiene el
conocimiento local de la informacin de red del dispositivo y la traduce en una forma compatible al
protocolo SNMP.
Las NMSs proveen la mayor parte del procesamiento y requerimientos del sistema de administracin.
Pueden existir ms de una NMS. Cada estacin de administracin se conecta a los dispositivos
administrados y recolecta la informacin que tengan disponible. As, las estaciones de administracin
concentran toda la informacin de los dispositivos de red administrados y la procesan para que sea
fcilmente comprensible.
Una MIB (Management Information Base - Base de Informacin para Administracin) es un conjunto
de informacin organizada jerrquicamente. Esta informacin est compuesta por los objetos que son
administrados de cada dispositivo, identificados por identificadores de objeto (OI).
Un objeto administrado (tambin llamado objeto MIB, objeto, o un MIB) es una caracterstica
especfica del dispositivo administrado. Estos objetos administrados estn formados por una o ms
variables que informan su estado. Dentro de una jerarqua MIB el dentificador de objeto (OI o Object
ID) es nico. La jerarqua MIB puede ser descripta como un rbol con una raz sin nombre, de la cual
se asignan niveles a diferentes organizaciones.
Los OI del primer nivel son asignados a diferentes organizaciones estndar, mientras que los objetos
de niveles inferiores son asignados por organizaciones asociadas. Los fabricantes pueden definir
ramas privadas que incluyan objetos administrados para sus productos especficos. Generalmente, las
MIBs que no estn estandarizadas son posicionadas en ramas experimentales.
Un ejemplo de un objeto administrado es ipAddrTable, que es un objeto de la categora IP, que reporta
el nmero IP asociado a cada interfaz. Este objeto puede ser identificado unvocamente por el nombre
de su objeto: iso . identified-organization . dod . internet . mgmt . mib . ip . ipAddrTable o por su
descriptor de objeto equivalente: 1.3.6.1.2.1.4.20
Aunque pueda parecer complejo el mtodo para definir y llegar a un objeto, proporciona una
herramienta muy poderosa que permite a las estaciones explorar las diferentes MIB de los distintos
dispositivos en una forma rpida y simple.
SNMPv1 constituye la primera definicin e implementacin del protocolo SNMP, estando descrito en
las RFC 1155, 1157 y 1212 del IETF (Internet Engineering Task Force). El vertiginoso crecimiento de
SNMP desde su aparicin en 1988, puso pronto en evidencia sus debilidades, principalmente su
imposibilidad de especificar de una forma sencilla la transferencia de grandes bloques de datos y la
ausencia de mecanismos de seguridad; debilidades que trataran de ser subsanadas en las
posteriores definiciones del protocolo.
SNMPv2 apareci en 1993, estando definido en las RFC 1441-1452. SNMPv1 y SNMPv2 tienen
muchas caractersticas en comn, siendo la principal mejora la introduccin de tres nuevas
operaciones de protocolo:
GetBulk para que el gestor recupere de una forma eficiente grandes bloques de datos, tales
como las columnas de una tabla. Inform para que un agente enve informacin espontnea al
gestor y reciba una confirmacin.
Report para que el agente enve de forma espontnea excepciones y errores de protocolo.
Los nombres de las comunidades pueden ser modificados en los agentes con el fin de impedir el
acceso a una NMS que no conozca el nombre de la comunidad.
Cuando un agente y una NMS estn configuradas en la misma comunidad, las NMS le envan
solicitudes (a travs de comandos) y esperan las respuestas del agente. Este comportamiento es
implementado usando una de las cuatro operaciones:
Get: es utilizada por la NMS para obtener el valor de una o ms instancias de un objeto de un
agente. Si el agente no puede proveer el valor de todas las instancias del objeto en una lista,
no devuelve ningn valor.
GetNext: es utilizada por la NMS para obtener los valores de la siguiente instancia en una tabla
o lista.
Set: es utilizada por la NMS para establecer los valores de las instancias de un objeto.
Trap: es utilizada por los agentes para reportar de forma espontnea (no esperan la consulta
de la NMS) ciertos eventos.
En la versin 2 de SNMP se incorporaron tres operaciones ms:
GetBulk: es utilizada para la recuperacin de grandes bloques de datos en forma eficiente,
tales como las columnas de una tabla.
Inform: es utilizada para el envo de informacin espontnea al gestor y que reciba una
confirmacin.
Report: es utilizada por el agente para el envo espontneo de excepciones y errores de
protocolo.
Se debe tener en cuenta que SNMPv1 y SNMPv2 no poseen encriptacin de los datos que transmiten.
En redes con medios compartidos, esto podra permitir que una persona no autorizada pueda estar
"escuchando" y as recabar informacin (como modelos de dispositivos, direccionamiento, nombres de
comunidades, etc.) que revele datos de la red .
Otro punto a tener en cuenta, es la falta de autenticacin de SNMPv1 y SNMPv2, es decir, la nica
verificacin que realizan los agentes SNMP antes de responder las solicitudes realizadas por la NMS
es que concuerde el nombre de comunidad. Esto es muy importante si consideramos que la mayora
de las implementaciones de los dispositivos utilizan dos nombres por defectos para identificar la
comunidad: public y private (el primer nombre de comunidad generalmente premite el acceso de slo
lectura a los datos mientras que el segundo tiene permisos de modificacin). As, un usuario malicioso
podra intentar acceder a los dispositivos administrados adivinando el nombre de la comunidad y
acceder a toda la informacin almacenada en los dispositivos. Por otro lado, la falta de autenticacin
entre las NMS y los dispositivos administrados permitira a un atacante modificar la informacin que
envan, tanto los dispositivos administrados como las NMS, y de esta forma reportar datos falsos
pudiendo causar un caos en la administracin de la red . A diferencia de sus predecesores SNMPv3
soporta autenticacin, a travs de MD5, y encriptacin de datos, lo que permite crear un ambiente
seguro ante los tipos de ataques arriba descriptos. Tenga en cuenta que SNMPv3 es un protocolo
reciente, por lo que debe asegurarse que tanto sus dispositivos como sus estaciones de
administracin lo soporten.
3.2.9 DNS
En los comienzos de Internet, para identificar los diferentes hosts se utilizaba nicamente las
direcciones IP. Esto evolucion rpidamente en la utilizacin de nombres simblicos de host. De forma
que en lugar de identificar a un host con su direccin IP, se utilizaba un nombre compuesto por
caracteres. Esto introdujo el problema de mantener la relacin de direcciones IP a nombres de una
forma centralizada y coordinada.
Inicialmente, la relacin de nombres a direcciones IP se mantena por el Network Information Center
(NIC) en un solo archivo llamado HOSTS.TXT, que era tomado por todas las estaciones utilizando
FTP. Debido al crecimiento explosivo de Internet, este mecanismo dej de ser prctico y fue
reemplazado por un nuevo concepto: El Sistema de Nombres de Dominio (DNS).
El sistema de nombres de dominio permite que una estacin obtenga la direccin IP de un nombre
dado de forma dinmica, sin necesidad de mantener un archivo centralizado con todas las relaciones .
El sistema de nombres de dominio es un sistema distribuido, donde miles de servidores conforman la
estructura del sistema, y cada uno mantiene slo una porcin del direccionamiento. Los mensajes
DNS pueden ser transmitidos mediante TCP o UDP, en ambos casos se utiliza el puerto 53. Si se
utiliza UDP, el tamao mximo de segmento es de 512 bytes, mientras que si se utiliza TCP, en el
comienzo del segmento se especifica el tamao total.
En el estndar que define DNS, se especifica que para consultas comunes se debe utilizar
preferentemente UDP. Si la respuesta debe ser separada (debido al lmite de 512 bytes), se debe
utilizar TCP. Se prefiere UDP sobre TCP debido a que UDP tiene menos overhead que TCP. En muy
raros casos una respuesta excede los 512 bytes. Para realizar las transferencias de zonas (veremos
ms adelante el concepto de zonas) se debe utilizar TCP, dado que en este caso, la cantidad de datos
a transferir es mucho mayor que 512 bytes. El espacio de nombres de dominio es un espacio
jerrquico, donde existen dominios y subdominios, conformando un rbol de dominios. Considere el
dominio pc1.aula3.deptoinf.facultad.edu. Aqu, aula3.deptoinf.facultad.edu es el nombre de dominio de
ms bajo nivel, aula3 es un subdominio de deptoinf.facultad.edu, que a su vez es un subdominio de
facultad.edu, un subdomino de edu. La jerarqua de nombres se puede representar a travs de un
rbol jerrquico
Dominios Genricos: Los nombres compuestos por tres caracteres que conforman los dominios de
ms alto nivel, son llamados dominios genricos, o dominios organizacionales.
Dominios nacionales: Existen tambin dominios de alto nivel para cada cdigo de pas conforme a la
ISO 3166 (desde .ae para los Emiratos rabes Unidos hasta zw para Zimbawe). Estos son llamados
dominios nacionales o geogrficos. La mayora de los pases, dentro de sus dominios, tienen una
estructura similar a los dominios genricos, as es como podemos encontrar dominios edu.ar, .com.uk,
.gov.uy, etc.
Los mensajes de consultas y respuestas son transportados por UDP o TCP. Este proceso se realiza
siguiendo un modelo cliente servidor. La funcin cliente es transparente para el usuario y es llamada
por las aplicaciones para realizar las resoluciones. El servidor de nombres, es una aplicacin
servidora que provee las traducciones de nombres a direcciones IP.
Operacin del resolver: Las consultas de nombres pueden ser de dos tipos: recursivas o iterativas.
Un bit dentro de la solicitud especifica si el cliente solicita una consulta recursiva o iterativa. La
diferencia entre las consultas se da cuando el servidor consultado no puede resolver la consulta. Si el
cliente solicita una consulta recursiva (la mayora de los casos) significa que el servidor deber
consultar hasta obtener una respuesta para la solicitud. Si el cliente solicita una consulta iterativa, el
servidor enviar como respuesta la informacin que tenga disponible y una lista de servidores
adicionales para que el cliente pueda consultar directamente.
Las respuestas de nombres de dominio, pueden ser de dos tipos: autoritativas o no-autoritativas. Un
bit dentro de la respuesta especifica el tipo. Cuando un servidor recibe una consulta para un dominio
de una zona sobre la que tiene autoridad, enviar una respuesta autoritativa. Cuando recibe una
consulta para un dominio sobre el que no tiene autoridad, su accin depende del tipo de consulta:
Si es una consulta de tipo recursiva, reenviar la consulta hacia otro servidor con autoridad, o
hacia los servidores root. Si el segundo servidor no responde con una respuesta autoritativa
(por ejemplo si ha delegado la zona a otro servidor), el proceso es repetido hasta obtener la
respuesta. El servidor enviar esta respuesta de tipo no-autoritativa. Cuando un servidor o un
resolver obtiene una respuesta, la guarda en cach para mejorar la performance de consultas
posteriores. La entrada en cach ser guardada por un perodo de tiempo especificado por el
origen en un campo dentro de la respuesta (TTL). Tpicamente 172800 segundos (dos das).
Si es una consulta de tipo iterativa, enviar la informacin que tenga en su cach, ms una
lista de servidores de nombre para ser contactados para informacin autoritativa.
La base de datos distribuida del sistema de nombres de dominio est compuesta por registros de
recursos (RR), los cuales se encuentran divididos en diferentes clases para diferentes tipos de redes.
Aqu se estudiarn slo los registros correspondientes a la clase Internet.
Los registros de recursos proveen un mapeo entre nombres de dominio y objetos de red. Los objetos
de red ms comunes son las direcciones de los hosts de internet, pero el sistema de nombres de
dominio se encuentra designado para ubicar un amplio rango de objetos. Una zona consiste en un
grupo de registros de recursos, comenzando con un registro "Start of Authority" (SOA). El registro
SOA identifica el nombre de dominio de la zona. Deber haber un registro Name Server (NS) para el
servidor de dominio primario de la zona. Tambin pueden existir registros NS para los servidores de
nombres de dominio secundarios de la zona. Los registros NS son usados para identificar cul de los
servidores de dominio son "autoritativos" o tienen a cargo la zona. Luego, vienen los dems registros
de recursos, que pueden mapear nombres a direcciones IP, o alias a nombres. El formato general de
un registro de recurso se puede observar en la figura. Donde:
Nombre: El nombre de dominio a ser definido. El DNS es muy general en las reglas de
composicin de sus nombres. Sin embargo, recomienda una sintaxis para los nombres de
dominio que minimizarn la posibilidad que las aplicaciones que utilizan DNS interpreten
errneamente un nombre de dominio. Un nombre que cumple con la recomendacin, debe
consistir en una serie de etiquetas compuestas por caracteres alfanumricos o guiones, con
una longitud entre 1 y 63 caracteres, comenzando con un caracter alfabtico. Cada etiqueta se
encuentra separada por puntos ".". Los nombres de dominio no distinguen entre maysculas y
minsculas.
TTL: El tiempo de vida en segundos en los que este registro deber ser guardado en cach.
Clase: Identifica la familia de protocolos. El valor usado generalmente es IN (Internet).
Tipo: Identifica los diferentes tipos de recursos en este registro. Los diferentes tipos se
encuentran descriptos por los RFC 1034, 1035 y 1706
Rdata: El valor depende del tipo, por ejemplo:
A: una direccin IP (si la clase es IN)
CNAME: un nombre de dominio
MX: (Mail eXchanger) un valor de 16 bits que indica preferencia (valores ms bajos
indican mayor preferencia) seguido por un nombre de dominio
NS: un nombre de host
PTR: un nombre de dominio
Modificacin de un paquete: Una de las amenazas ms simples contra DNS son las modificaciones
de los paquetes enviados para realizar una consulta o una respuesta. En estos casos, el atacante
modifica un paquete para inyectar informacin propia, por ejemplo, con el objetivo de engaar sobre
una direccin IP.
Ataques basados en nombres: Otro tipo de ataques que pueden inyectar informacin falsa son los
ataques basados en nombres, generalmente llamados "cach poisoning". Aqu, lo que realiza el
atacante es agregar informacin a una respuesta, para "envenenar" la cach del resolver de una
estacin. De esta forma, se pueden agregar relaciones de nombres a direcciones IP a voluntad del
atacante.
DNS Spoofing: Este ataque hace referencia al falseamiento de una direccin IP ante una consulta de
resolucin de nombre (esto es, resolver con una direccin falsa un cierto nombre DNS), o viceversa
(resolver con un nombre falso una cierta direccin IP) debido a la falta de autenticacin de este
servicio. Esto se puede conseguir de diferentes formas, desde modificando las entradas del servidor
encargado de resolver una cierta peticin para falsear las relaciones direccin-nombre, hasta
comprometiendo un servidor que infecte la cach de otro (lo que se conoce como DNS Poisoning);
incluso sin acceso a un servidor DNS real, un atacante puede enviar datos falseados como respuesta
a una peticin de su vctima sin ms que averiguar los nmeros de secuencia correctos.
3.2.10 NetBIOS
El protocolo NetBIOS fue desarrollado por Sytec para IBM en 1983. En sus comienzos operaba slo
sobre un protocolo propietario de Sytec diseado para las redes locales de IBM. Este protocolo,
permita una arquitectura de bus para la LAN con limitaciones de 70 a 80 estaciones.
Con el lanzamiento de Token-Ring, se implement un emulador de NetBIOS que permita su operacin
en estas nuevas redes. En 1985 se introdujo el protocolo NetBEUI (NetBIOS Extended User Interface)
que permiti, entre otras cosas, la ampliacin de hasta 260 dispositivos en un anillo y mltiples anillos
conectados por puentes. En 1987, la RFC 1001 defini un estndar para los servicios de NetBIOS
sobre TCP y UDP. Este protocolo actualmente es muy utilizado, junto con el protocolo SMB, por la
familia de productos Microsoft para compartir recursos en redes LAN. En las secciones siguientes, se
analizarn las principales caractersticas de NetBIOS y las funciones del comando NBTSTAT en un
ambiente Microsoft NetBIOS provee los servicios de sesin descriptos en la capa 5 del modelo OSI.
Es un protocolo de aplicacin que permite compartir recursos en una red. Se encarga de establecer la
sesin y mantener las conexiones.
Este protocolo no fue diseando para hacer llegar sus datos hasta la estacin destino, sea que se
encuentre en una red LAN o WAN, por este motivo debe utilizar otro protocolo para transportar sus
datos (por ejemplo, en redes LAN generalmente se utiliza el protocolo NetBEUI, y en las redes WAN el
protocolo TCP/IP). Los protocolos que pueden prestar el servicio de transporte a NetBIOS son:
IPX/SPX
NetBEUI
TCP/IP
El hecho de tener que ser transportado por otros protocolos se debe a que al operar en la capa 5 de
OSI no provee un formato de datos para la transmisin, este formato es provisto por los protocolos
antes mencionados. En lo que respecta al protocolo NetBIOS deben considerarse los siguientes
servicios, que intervienen en el proceso de funcionamiento y conexin entre estaciones
Servicio de Nombres (NBNS - NetBIOS Name Service): Este servicio se implementa para
identificar los extremos de las conexiones. NetBIOS identifica las entidades que intervienen en
una comunicacin mediante nombres formados por 16 caracteres alfanumricos. Utiliza dos
tipos de nombres: nombres nicos de hosts, denominado "UNIQUE" y nombres de grupos,
denominados GROUP, para asociar ms de un host. Aunque en principio las especificaciones
NetBIOS permiten nombres de 16 caracteres, Microsoft los limita a 15 y usa el caracter nmero
16 como un sufijo NetBIOS. Este sufijo es usado por el software de red de Microsoft para
identificar el servicio o dispositivo registrado. Entonces, para conocer que representa un
nombre NetBIOS, se deben analizar los primeros 15 caracteres (la parte que se lee
fcilmente), el caracter 16 (normalmente expresado como dos dgitos hexadecimales) y el tipo
de nombre (UNIQUE o GROUP). En la figura se pueden observar algunos ejemplos de sufijos
NetBIOS y su significado.
Servicio de Comunicacin no orientado a la conexin: Conocido tambin como "Servicio de
datagramas". En este servicio la estacin enva los datos encapsulados en datagramas; es
decir los mensajes son enviados en forma independiente, sin establecer una conexin con el
destino.
Servicio de Comunicacin orientado a la conexin: Conocido tambin como "Servicio de
conexin". Aqu se establece una conexin y un camino entre ambos hosts (que no son
necesariamente sern dos estaciones, puede ser entre una estacin y un servidor). En este
tipo de comunicacin existe un intercambio seguro de datos, garantizado por el protocolo.
3.2.11 SMB
SMB (Server Message Block) fue definido en 1987 por Microsoft/Intel como Microsoft Networks/Open
Net-file Sharing Protocol. Sus posteriores desarrollos estuvieron a cargo de Microsoft y otros. Este
protocolo permite a una aplicacin o al usuario de una aplicacin compartir archivos, discos,
directorios, impresoras, puertos seriales, y realizar comunicaciones a travs de una red. Est
desarrollado siguiendo la arquitectura cliente-servidor, en otras palabras permite a un cliente leer,
crear y modificar archivos de un servidor remoto; de esta forma el cliente slo necesita que el servidor
est configurado para recibir y responder solicitudes SMB.
SMB se define con una estructura cliente-servidor, donde el cliente formula una solicitud y el servidor
enva su respuesta. El servidor mantiene su sistema de archivos y otros recursos tales como:
impresoras, mailslots, named pipes, APIs; disponibles para los clientes sobre la red. Los clientes se
conectan al servidor usando TCP/IP, NetBEUI o IPX/SPX. Una vez que la conexin est establecida,
el cliente enva comandos (llamados SMBs) al servidor para trabajar con el sistema de archivos.
Las principales implementaciones de SMB pertenecen a Microsoft y estn incluidas en Windows for
Workgroup 3.x, Windows 9x y Windows NT, por ejemplo, se estn utilizando cuando se usa el File
Manager o el Explorador de Windows, para visualizar y acceder a los recursos compartidos en otras
estaciones. Tambin existen numerosas implementaciones de SMB para otros sistemas operativos
como UNIX, Linux, OS/2 y Digital. Como vimos, la relacin entre los clientes y el servidor se realiza a
travs de solicitudes que los clientes formulan a los servidores. Los elementos del protocolo definidos
para realizar estas tareas se conocen como solicitudes y respuestas, y reciben el nombre de SMBs
Los SMBs tienen un formato especfico el cual es similar tanto para la solicitud como para la respuesta
enviada por el servidor. Constan de una cabecera de tamao fijo, un parmetro de tamao variable y
una porcin para los datos. Una vez que se ha realizado la conexin con el servidor, el cliente est
listo para solicitar los servicios, siendo necesario en primera instancia que el servidor y el cliente
identifiquen qu variante del protocolo van a utilizar para comunicarse. Es decir que el primer paso es
que se establezca el protocolo que va a permitir que ambos se entiendan, para ello el cliente enva un
mensaje negprot SMB al servidor. All el cliente lista las versiones del protocolo que entiende, por su
parte el servidor puede responder indicando cual versin quiere usar o 0XFFFF en el caso que no
acepte ninguna de las opciones del cliente. Luego que el servidor acepta una versin para
comunicarse con el cliente, le enva un mensaje negprot response informando sus capacidades (por
ejemplo tamao mximo del buffer), esto es para el caso de las ltimas versiones.
Una vez que el protocolo se ha establecido, el cliente puede proceder a establecer una conexin con
el servidor (loguearse) para lo cual utiliza un mensaje sessetupX SMB, en el cual se enva un nombre
de usuario y la contrasea. La respuesta del servidor indica si la identificacin fue validada, en cuyo
caso le asignar un UID al cliente y podr suministrarle la informacin solicitada. Una vez que el
cliente se ha logueado en el servidor puede proceder a conectarse al sistema de archivos, para ello el
cliente enva un mensaje tcon o tconX SMB donde especifica el nombre de la red a la que se quiere
conectar. Una vez que est conectado al sistema de archivos podr operar directamente sobre los
archivos del servidor, utilizando los mensajes, open SMBs para abrirlos, read SMBs para leerlos, write
SMBs para escribirlos y close SMBs para cerrarlos luego que fueron utilizados.
El protocolo SMB presenta dos mtodos de control de acceso a los recursos:
Share level: cada recurso compartido puede tener una contrasea para acceder a los archivos
que ste contenga. El usuario podr acceder a los mismos siempre y cuando tenga ese
permiso de entrada (la password). Para las primeras variantes de SMB (Protocolos Core y
Core Plus) ste era el nico modelo de seguridad disponible. En los sistemas operativos
Windows 3.11 y Windows 95 es el nivel de seguridad por defecto.
User level: en este nivel se protege a los archivos de cada usuario, adems de la proteccin
del nivel que se mencion anteriormente. Est basado en los derechos de acceso del usuario,
para ello es necesario que cada cliente se conecte al servidor con el fin de que sea
autenticado, si tiene xito el servidor le asignar un UID que deber ser presentado en todos
los siguientes accesos a los recursos del mismo. Este modelo de seguridad est disponible a
partir de la tercera variante de SMB.
En una estructura de red con grupos de trabajo, cada estacin mantiene su propia informacin de
seguridad, es decir que la seguridad es distribuida. Si en lugar de utilizar grupos de trabajo se
implementan dominios, la seguridad es administrada centralmente. Cada dominio tiene uno o ms
controladores de dominio, quienes mantienen informacin relacionada con los usuarios, como sus
nombres, contraseas, horas autorizadas de uso y grupos a los que pertenecen, entre otras opciones.
Al utilizar una estructura de solicitud-respuesta para la comunicacin de un cliente a un servidor, hay
que tener en cuenta algunos temas relacionados con su seguridad. Por ejemplo, un usuario malicioso
ubicado entre el cliente y el servidor puede engaar al cliente, tomando sus datos de autenticacin,
luego hacindose pasar por el cliente puede acceder al servidor. Otro punto a tener en cuenta es la
debilidad de los algoritmos de encriptacin de password utilizados por los sistemas operativos
Windows 9x y NT, esto permite que un atacante que capture las credenciales de un usuario cuando
viajan a travs de la red, pueda desencriptarlas a travs de ataques por fuerza bruta o criptoanlisis.
Los sistemas operativos Windows NT y 2000 incluyen APIs que proporcionan bastante informacin
sobre cualquier mquina a travs del puerto 139 en TCP (donde trabaja SMB) incluso a usuarios que
no se hayan autenticado. As, cualquier mquina que se conecte al puerto de un sistema NT/2000
podra obtener acceso al host y obtener informacin como recursos compartidos, nombres de
usuarios, claves del registro, etc. Este acceso se conoce como acceso por sesin nula ya que no
utiliza autenticacin y por consigue acceso a los recursos tpicos de estos sistemas operativos como
IPC$, ADMI$, etc.
3.3 PREGUNTAS Y TIPS
En telnet: En qu momento el cliente enva datos al servidor? Por cada tecla que
presiona el cliente
Para qu se utiliza el finger? Para ver informacin sobre los usuarios conectados en el
sistema. Para ver informacin detallada sobre un usuario en particular
Cules son caractersticas de FTP? Se utiliza para la transferencia de archivo en redes
TCP/IP, Brinda un acceso interactivo, Realiza en forma obligatoria un proceso de
autenticacin, Permite especificar el formato de la representacin de los datos
Cul es una caracterstica de seguridad importante a tener en cuenta con el servicio
FTP? No encripta los datos que circulan entre el cliente y servidor
En TFTP, qu sucede si se pierde un segmento? Se retransmite el ltimo segmento
transmitido
Para qu se utiliza el protocolo DHCP? Realiza la configuracin TCP/IP de un host en
forma automtica
En SNMP: Cul es la funcin de un agente? Recolectar informacin del dispositivo
administrado en el que reside, guardarla y dejarla disponible para los NMSs en una MIB,
Procesar y responder los mensajes de las NMS
En SNMP En qu formato se guardan las variables de estado de cada dispositivo
administrado? En una Base de informacin jerrquica llamada MIB
Qu ventajas agreg SNMPv3 a las versiones de SNMP anteriores? Mejoras en el
servicio de Autenticacin y Privacidad en las transacciones entre los agentes y la NMS
Cmo est organizado el espacio de nombres de dominio? Es un espacio de nombres
jerrquico
Cules son los tres servicios principales que implementa NetBIOS? Servicio de
nombres, servicio de conexin y servicio de datagramas
Para qu sirve el comando NBTSTAT? Para reportar estadsticas y usos del protocolo
NetBIOS
Cul es una caracterstica de seguridad a tener en cuenta con el protocolo SMB? La
contrasea es cifrada cuando circula por la red pero puede ser vista a travs de fuerza bruta
Qu tcnica utiliza SSH para asegurar la confidencialidad de los datos? Encriptacin
Qu ventajas tiene el TCP sobre el UDP? TCP es ms flexible y ms confiable en
correccin de errores y es el ms utilizado.
Nombre un servicio de nombre alternativo. Servicios NIS, NIS+ y WINS
Hay dos convenciones usadas al elegir un dominio. Cules son? Organizacional, tales
como .com, .edu, .gov, y ubicacin geogrfica como .do .fr
Un servicio FTP enva la informacin de usuario y password en texto plano!
CAPTULO 4
En qu capa del modelo OSI trabajan los switches? Al igual que los puentes trabajan en la capa 2
de enlace de datos
Qu dispositivos establecen dominios de colisin? Los Switchs y puentes segmentan las redes
en distintos dominios de colisin.
En qu capa del modelo OSI trabajan los routers? En la capa 3 (capa de red)
Para qu puede ser til filtrar el trfico en una red? Bsicamente un filtro de trfico se utiliza
para:
Control: decidir hasta donde acceder y hacia donde no
Seguridad: permitir la entrada de datos solo de lugares confiables y a servicios especficos
Registro: mostrar el flujo de paquetes que no cumplan con los parmetros normales
Qu significa AAA?
Authentication: Autenticacin
Authorization: Autorizacin
Accounting: Auditoria
Cules son los protocolos ms usados para asegurar el acceso a la red? TACACS, TACACS+,
RADIUS, Kerberos
Disear una red siempre ha sido difcil, pero hoy en da la tarea es cada vez ms difcil debido a la
gran variedad de opciones. A continuacin se examinarn las principales metas del diseo de una red,
cuales son las prioridades que se adaptan al desarrollo de la red, entre otras cosas. Un efectivo
administrador de la red es tambin un cuidadoso planeador.
El diseador de la red debe siempre hacerse algunas preguntas bsicas de la red antes de que
empiece la fase del diseo. Quin va a usar la red? Qu tareas van a desempear los usuarios en
la red? Quin va a administrar la red? Igualmente importante Quin va a pagar por ella? Quin va
a pagar la mantenerla? Cuando esas respuestas sean respondidas, las prioridades sern establecidas
y el proceso del diseo de la red ser mucho ms productivo. Estas prioridades se convertirn en las
metas del diseo. Vamos a examinar algunas de esas metas clave.
Desempeo (performance) : Los tipos de datos procesados pueden determinar el grado de desempeo
requerido. Si la funcin principal de la red es transacciones en tiempo real, entonces el desempeo
asume una muy alta prioridad y desafortunadamente el costo de eleva sbitamente en este trueque
desempeo/costo.
Volumen proyectado de trfico: Algunos equipos de interconexin como los puentes, concentradores
pueden ocasionar cuellos de botella (bottlenecks) en las redes con trfico pesado. Cuando se est
diseando una red se debe de incluir el nmero proyectado de usuarios, el tipo de trabajo que los
usuarios harn, el tipo de aplicaciones que se corrern y el monto de comunicaciones remotas (www,
ftp, telnet, VoIP, realaudio, etc). Podrn los usuarios enviar rfagas cortas de informacin o ellos
podrn enviar grandes archivos? Esto es particularmente importante para determinar el monto de
grficas que se podrn transmitir sobre la red. Si bien un diseador de red no puede predecir el futuro,
ste debe de estar al tanto de las tendencias de la industria. Si un servidor de fax o email va a hacer
instalado en la red, entonces el diseador deber de anticipar que estos nuevos elementos no afecten
grandemente al volumen actual de trfico de la red.
Expansin futura: Las redes estn siempre en continuo creciendo. Una meta del diseo deber ser
planear para el crecimiento de la red para que las necesidades compaa no saturen en un futuro
inmediato. Los nodos debern ser diseados para que estos puedan ser enlazados al mundo exterior.
Cuantas estaciones de trabajo puede soportar el sistema operativo de red? La pliza de precios del
vendedor de equipos hace factible la expansin futura? El ancho de banda del medio de
comunicacin empleado es suficiente para futuro crecimiento de la red? El equipo de
comunicaciones tiene puertos disponibles para futuras conexiones?
Redundancia: Las redes robustas requieren redundancia, s algn elemento falla, la red deber por s
misma deber seguir operando. Un sistema tolerante a fallas debe estar diseado en la red, de tal
manera, si un servidor falla, un segundo servidor de respaldo entrar a operar inmediatamente. La
redundancia tambin se aplica para los enlaces externos de la red. Los enlaces redundantes aseguran
que la red siga funcionando en caso de que un equipo de comunicaciones falle o el medio de
transmisin en cuestin. Es comn que compaas tengan enlaces redundantes, si el enlace terrestre
falla (por ejemplo, una lnea privada), entra en operacin el enlace va satlite o va microondas. Es
lgico que la redundancia cuesta, pero a veces es inevitable.
Compatibilidad: hardware & software La compatibilidad entre los sistemas, tanto en hardware como en
software es una pieza clave tambin en el diseo de una red. Los sistemas deben ser compatibles
para que estos dentro de la red puedan funcionar y comunicarse entre s, por lo que el diseador de la
red, deber tener cuidado de seleccionar los protocolos mas estndares, sistemas operativos de red,
aplicaciones (como un simple procesador de palabras). As como de tener a la mano el conversor de
un formato a otro.
Compatibilidad: organizacin & gente: Ya una vez que la red esta diseada para ser compatible con el
hardware y software existente, sera un gran error si no se considera la organizacin y el personal de
la compaa. A veces ocurre que se tienen sistemas de la ms alta tecnologa y no se tiene el
personal adecuado para operarlos. O lo contrario, se tiene personal con amplios conocimientos y
experiencia operando sistemas obsoletos. Para tener xito, la red deber trabajar dentro del marco de
trabajo de las tecnologas y filosofas existentes.
Costo: El costo que implica disear, operar y mantener una red, quiz es uno de los factores por los
cuales las redes no tengan la seguridad, redundancia, proyeccin a futuro y personal adecuado.
Seguido ocurre que las redes se adapten al escaso presupuesto y todos las metas del diseo
anteriores no se puedan implementar. Los directivos, muchas veces no tienen idea del alto costo que
tiene un equipo de comunicaciones, un sistema operativo para mltiple usuarios y muchas veces no
piensan en el mantenimiento. El costo involucrado siempre ser un factor importante para el diseo de
una red.
4.1.2 Conmutacin
La conmutacin LAN es producida por dispositivos de capa 2 (switches y puentes). Estos dispositivos
se ubican conectando a dos o ms redes LAN. En esta unidad veremos los diferentes aspectos
funcionales y la utilizacin de la conmutacin como herramienta de seguridad en entornos LAN.
Bsicamente, los switches o puentes, leen las tramas que son transmitidas en un segmento LAN, y las
retransmiten a los dems segmentos slo si esto es necesario. Para poder tomar la decisin de
reenviar o no una trama, deben crear una tabla donde asocien cada direccin MAC de la red a una
interfaz (donde se encuentra conectada). Luego, cuando reciben una trama, leen el encabezado para
conocer la direccin MAC destino de la trama. De acuerdo a la direccin destino seleccionar el
puerto por el que la reenviarn.
Por almacenamiento y reenvo (store and forward): se recibe la trama completa antes de realizar la
conmutacin. Una vez que recibi completamente la trama, de acuerdo a su direccin destino, la
reenva por el puerto correspondiente. Dependiendo del tamao de la trama, variar el tiempo de
conmutacin. El tiempo ser mayor para tramas ms grandes, dado que se tardar ms tiempo en la
recepcin completa. Dado que cuenta con la trama completa, el switch puede comprobar si la trama
es correcta antes de reenviarla, con lo que slo reenviar las tramas correctas.
Por mtodo de corte (cut through): La conmutacin se realiza sin esperar la recepcin de la trama
completa. Una vez que se recibi el encabezado (donde se encuentra la direccin MAC destino), se
toma la decisin de reenvo y se realiza la conmutacin a medida que se va recibiendo el resto de la
trama. Esta tcnica impone una latencia fija mnima para cualquier trama. La desventaja de este
mtodo es su falta de comprobacin de errores. Existen dos variantes del mtodo de corte:
conmutacin rpida (fast-forward) y libre de fragmentos (fragment free):
Conmutacin rpida: Slo se espera recibir la direccin MAC destino para realizar la
conmutacin. Es el mtodo de conmutacin ms veloz. Puede ocurrir que reenve tramas
errneas debido a colisiones.
Libre de fragmentos: Espera a recibir los primeros 64 bytes de la trama, con lo que se
asegura el tamao de frame mnimo para no generar colisiones.
Una VLAN es una agrupacin lgica de dispositivos o estaciones independiente de su ubicacin fsica
(por eso se denomina lgica). No necesariamente, estos dispositivos o estaciones estarn conectados
al mismo switch, ni todos los enlaces de un switch formarn parte de esta agrupacin.
Anteriormente vimos que los switches conforman un solo dominio de broadcast entre todos sus
puertos. Esto no se cumple cuando tenemos VLANs: cada VLAN es un dominio de broadcast
diferente. Los dispositivos o usuarios de una VLAN se pueden agrupar por funciones, departamentos,
aplicaciones, etc., independientemente de la ubicacin fsica de su segmento. La configuracin de las
VLANs se realiza en los switches. Las VLANs permiten armar varias redes dentro de un mismo switch.
Estas redes no tendrn ninguna comunicacin con las dems redes virtuales, es decir que desde el
punto de vista de las estaciones es como si estuvieran en redes fsicas diferentes . Esto brinda la
flexibilidad de crear agrupaciones de usuarios de acuerdo a sus funciones o requerimientos, sin
importar su ubicacin fsica. Podemos crear redes que se encuentren distribuidas a lo largo de un
edificio. Las VLANs no necesariamente se encuentran en un solo switch, sino que se pueden crear
VLANs distribuidas a lo largo de varios switches. Esto se logra interconectando los switches mediante
enlaces VLAN Trunking. Estos enlaces transportan la informacin de todas las VLANs entre los
switches. Las VLANs se pueden crear de forma esttica o dinmica. Estticamente, el administrador
de la red define en el o los switches los puertos que correspondern a cada VLAN. Dinmicamente, se
pueden crear VLANs de acuerdo a la direccin MAC o IP de cada estacin. El puerto automticamente
detecta la estacin conectada y de acuerdo a esa informacin se asocia dinmicamente a una VLAN
Desde el punto de vista del direccionamiento IP, las redes LAN conmutadas conforman slo una
subred, mientras que en una red dividida en VLANs, cada VLAN ser una subred diferente.
El primer mtodo impone una poltica muy restrictiva e implica el conocimiento de todo el trfico que
desea estar permitido (el cual debe estar declarado en forma explcita en las reglas de filtrado). Este
mtodo puede ser el ms indicado donde no se puede determinar con exactitud el trfico no deseado.
La conexin de una LAN a Internet puede ser un ejemplo donde este mtodo funcionara muy bien. El
segundo mtodo podra imponer una poltica ms permisiva. Aqu se debe conocer con precisin cul
es el trfico que quiere denegarse (debe declarase explcita mente en las reglas de filtrado) y todo lo
que no est denegado est permitido. Esta alternativa resulta muy conveniente cuando slo se
quieren establecer filtros de trficos a servicios exclusivos u orgenes determinados.
Linux: En Linux, el filtrado de paquetes est programado en el ncleo (como mdulo o como
componente esttico). Segn la versin del ncleo se puede utilizar el comando iptables o ipchains"
para configurar las reglas de filtrado. Linux utiliza tres conjuntos de reglas llamadas cadenas para
aplicar los filtros segn corresponda:
Cadena INPUT: Contiene la lista de reglas que se aplican a los paquetes que llegan al host
donde est configurado el filtro y el destino del paquete es el mismo host.
Cadena OUTPUT: Contiene la lista de reglas que se aplican a los paquetes que salen del host
donde est configurado el filtro.
Cadena FORWARD: Contiene la lista de reglas que se aplican a los paquetes que llegan al
host donde est configurado el filtro pero el destino es algn otro host. Esta cadena se utiliza
cuando el host que tiene las reglas de filtrado se comporta como un router
Cisco IOS: El IOS de Cisco implementa el filtrado de paquetes a travs de listas de control de acceso
llamadas ACL. Estas listas contienen un conjunto de reglas que indican qu se debe hacer con cada
paquete. Las ACL son aplicadas indicando la interfaz del dispositivo y el sentido del flujo de la
informacin. As, al momento de aplicar una lista de acceso se debe indicar en qu interfaz se
posiciona el filtro y cundo se va a tener en cuenta ese filtro: si para el trfico que llegue a esa interfaz
o el trfico que salga de esa interfaz.
Las ACL estndar verifican slo la direccin origen de los paquetes que se deben enrutar. Se deben
usar cuando se desea bloquear o permitir todo el trfico de una red o un host o tambin para permitir
o denegar todo el conjunto de protocolos Internet (IP). Las ACL extendidas verifican las direcciones
origen y destino de los paquetes. Tambin pueden verificar protocolos, nmeros de puerto y otros
parmetros especficos (como tipo de mensajes ICMP o bits del encabezado de segmentos TCP).
Esto ofrece mayor flexibilidad para describir las verificaciones que debe realizar la ACL y hace que se
usen con mayor frecuencia para verificar condiciones, porque ofrecen una mayor cantidad de
opciones de control que las ACL estndar. El tipo de ACL estndar se numera desde 1 a 99.
Probablemente no pueda ofrecerle el tipo de control de filtrado de trfico que se necesite ya que sus
criterios son muy limitados. Las ACL extendidas usan un nmero dentro del intervalo del 100 al 199. A
diferencia de las estndar con estas listas se pueden establecer filtros ms complejos, por ejemplo, al
filtrar nmeros de puertos y se puede controlar el acceso a los servicios de una red a otra. En la figura
se puede ver un ejemplo de la utilizacin de una lista de acceso estndar. Por filtrar slo teniendo en
cuenta la direccin origen de los paquetes, deben ubicarse lo ms cerca posible del destino. De no ser
as, no se podra asegurar que el destino del trfico sea el esperado y se estara filtrando trfico
errneo.
Estndar Extendida
Filtra segn el origen Filtra segn el origen y destino
Permite o deniega una pila de protocolos completa Especifica un protocolo y puerto particular
Rango 1 a 99 Rango 100 a 199
El proceso de establecer controles de acceso es crtico. El control de acceso define cmo los usuarios
y los sistemas se comunican y de qu manera lo hacen.
El control de acceso protege la informacin de usuarios y sistemas no autorizados. El modelo AAA es
el ms utilizado para implementar confiabilidad, integridad y disponibilidad de los datos y recursos.
AAA define un conjunto de procesos usados para proteger datos, equipos y confidencializar
informacin. Uno de los objetivos de AAA es proveer:
Confidencialidad: El contenido de los datos no debe ser revelado
Integridad: El contenido de los datos debe permanecer intacto y no debe sufrir alteraciones
Disponibilidad: El contenido de los datos debe estar accesible cuando se necesite
4.3.2 Arquitectura
AAA consiste de tres reas separadas que trabajan en forma conjunta. Estas reas proveen un nivel
de seguridad bsico en el control de acceso a los recursos y equipamientos de la red. Este control
permite a los usuarios acceder a servicios en forma confiable y segura.
Autenticacin: La autenticacin puede ser definida como el proceso utilizado para verificar que una
mquina o usuario que intenta acceder a un recurso es quien dice ser. El proceso de autenticacin
generalmente utiliza nombres de usuario, passwords, identificadores nicos, entidades certificantes, o
algunos otros elementos para permitir verificar la identidad contra un dispositivo o software que
analice y valide esas credenciales.
Autorizacin: La autorizacin o control de acceso puede ser definido como una poltica, componente
de software o hardware que es usado para permitir o denegar el acceso a un recurso. Esto puede ser
un componente avanzado como una tarjeta inteligente, un dispositivo biomtrico o un dispositivo de
acceso a la red como un Router, access point wireless o access server. Tambin puede ser un
servidor de archivos o recursos que asigne determinados permisos como los sistemas operativos de
red (Windows 2000, Novell, etc.). Tambin puede ser un conjunto de reglas que definen la operacin
de un componente de software limitando la entrada a un sistema o a la red.
Se debe tener en cuenta que mientras ms elevado sea el nivel de seguridad que se desea
implementar ms complejo ser definir contraseas para los usuarios y memorizarlas, sin embargo
este mtodo es vulnerable frente a diversas tcnicas de sniffing.
La idea bsica de la autenticacin basada en contraseas es que el usuario A manda su identidad (su
identicador de usuario, su nombre de login, etc.) seguida de una contrasea secreta x (una palabra o
combinacin de caracteres que el usuario pueda memorizar). El vericador B comprueba que la
contrasea sea vlida, y si lo es da por buena la identidad de A.
La manera ms simple de comprobar una contrasea es que el vericador tenga una lista de las
contraseas asociadas a los usuarios, es decir, una lista de pares. Cuando A enva su contrasea, el
vericador compara directamente el valor recibido x con el que gura en la lista.
Si se trata de las contraseas correspondientes a usuarios de un sistema informtico, es evidente que
no pueden estar guardadas en un chero de acceso pblico: es necesario que la lista est protegida
contra lectura. Pero si alguien encuentra la manera de saltarse esta proteccin (cosa que en
ocasiones pasa en los sistemas multiusuario), automticamente tendr acceso a las contraseas de
todos los usuarios. Adems, en estos sistemas normalmente hay un usuario administrador o
superusuario que tiene acceso a todos los cheros, y por tanto a las contraseas de los usuarios. Un
super-usuario que fuera mal intencionado podra hacer un mal uso de este privilegio. O un super-
usuario que tuviera un momento de descuido podra dar pie a que otro usuario se aprovechara.
Existe un hecho que favorece al atacante en este caso: si los usuarios pueden escoger sus
contraseas, normalmente no usarn combinaciones arbitrarias de caracteres sino palabras fciles de
recordar. Por tanto, el espacio de bsqueda se reduce considerablemente. El atacante puede, pues,
limitarse a probar palabras de un diccionario o combinaciones derivadas a partir de estas palabras.
Por este motivo a este tipo de ataque se lo conoce como ataque de diccionario.
Una primera solucin es restringir el acceso a la lista de contraseas, protegindola contra lectura.
Aun que en la lista aparezcan las contraseas codicadas, el acceso a esta lista por parte de un
atacante le permite realizar cmodamente un ataque de diccionario.
One time passwords: El envo de contraseas en texto claro a travs de redes permiten que algn
usuario malicioso capture esa contrasea y la utilice posteriormente para obtener acceso a los
sistemas. El sistema de clave de nica vez hace que se genere una clave de acceso al momento que
la necesite el cliente y posteriormente esa clave no tenga ms validez.
El sistema S/Key utiliza algoritmos de hashing de una va con el fin de crear un esquema de
contraseas de nica vez (o tambin llamado One time passwords). En este sistema, las contraseas
son enviadas en texto claro a travs de la red pero, luego que la password fue utilizada, caduca y no
es vlida para ser utilizada nuevamente. Una ventaja de S/Key es que protege el intento de acceso de
un espa sin necesitar modificaciones del cliente.
El sistema S/Key tiene tres componentes principales:
Cliente: Pide el login del usuario. No realiza ningn almacenamiento de contraseas.
Host: Procesa la contrasea. Almacena la contrasea de nica vez y la secuencia del login en
un archivo. Tambin le provee al cliente el valor inicial para calcular el hash.
Un calculador de claves: Es la funcin de hash para la contrasea de nica vez.
Token cards: Otro sistema de autenticacin de password de nica vez que le agrega cierto grado de
seguridad adicional es el uso de una token card o "tarjeta inteligente" y un servidor de token. Cada
token card es programada para un usuario especfico y adems de esa tarjeta, cada usuario tiene un
cdigo de seguridad que le permite obtener de su tarjeta una clave de nica vez. Las token cards y los
servidores generalmente implementan estos pasos para autenticar a un usuario:
Los usuarios generan una clave de nica vez con la tarjeta usando un algoritmo de seguridad
El usuario ingresa la contrasea de nica vez en la pantalla de autenticacin
El cliente remoto enva la contrasea de nica vez al servidor de token y al Servidor de Acceso
(NAS)
El servidor de token usa el mismo algoritmo para verificar si la password es correcta y
autentica al usuario remoto
Identificacin biomtrica: Los sistemas biomtricos se basan en caractersticas fsicas del usuario a
identificar . La autenticacin basada en caractersticas fsicas existe desde que existe el hombre y, sin
darnos cuenta, es la que ms utiliza cualquiera de nosotros en su vida cotidiana: a diario identificamos
a personas por los rasgos de su cara o por su voz. Obviamente aqu el agente reconocedor lo tiene
fcil porque es una persona, pero en el modelo aplicable a redes o sistemas el agente ha de ser un
dispositivo que, basndose en caractersticas del sujeto a identificar, le permita o deniegue acceso a
un determinado recurso. Aunque la autenticacin de usuarios mediante mtodos biomtricos es
posible utilizando cualquier caracterstica nica y mensurable del individuo (esto incluye desde la
forma de teclear ante un ordenador hasta los patrones de ciertas venas, pasando por el olor corporal),
tradicionalmente ha estado basada en cinco grandes grupos. El proceso general de autenticacin
sigue unos pasos comunes a todos los modelos de autenticacin biomtrica:
Captura o lectura de los datos que el usuario a validar presenta
Extraccin de ciertas caractersticas de la muestra (por ejemplo, las minucias de una huella
dactilar)
Comparacin de tales caractersticas con las guardadas en una base de datos
Finalmente la decisin de si el usuario es vlido o no.
Es en esta decisin donde principalmente entran en juego las dos caractersticas bsicas de la
fiabilidad de todo sistema biomtrico (en general, de todo sistema de autenticacin): las tasas de
rechazo por no poder comprender los datos capturados y de falsa aceptacin donde el sistema
tomara como vlido a un usuario que no lo es.
PAP: Ofrece un mtodo de autenticacin simple para que un host remoto establezca su identidad,
utilizando el saludo de dos vas. PAP es utilizado por el protocolo PPP para autenticar el
establecimiento de un enlace. El modo de trabajo de PAP consiste en enviar el par de datos usuario y
contrasea de forma reiterada a travs del enlace hasta que se acusa recibo de la autenticacin o la
conexin se termina. Para que se validen los datos, en el otro extremo se debe tener registrado el
mismo usuario y contrasea que se estn enviando . PAP no es un protocolo de autenticacin slido.
Las contraseas se envan a travs del enlace en texto no cifrado, y no hay proteccin contra la
posibilidad de ver los datos en forma clara o los intentos de descubrimientos por fuerza bruta. El host
remoto tiene control de la frecuencia y la temporizacin de los intentos de conexin. Otro punto a
tener en cuenta es que PAP realiza la autenticacin slo al momento de establecer el enlace y una
vez establecido el enlace, no vuelve a enviar el usuario y contrasea.
Las principales caractersticas de PAP son:
Provee un mtodo simple para que un nodo remoto establezca su identidad
Utiliza intercambio de 2 vas
El nodo remoto enva un nombre de usuario/contrasea reiteradamente hasta que se acusa
recibo de la autenticacin o la conexin se termina
No es un protocolo de autenticacin slido
Las contraseas se envan en texto no cifrado
No hay proteccin contra la reproduccin o los intentos de descubrimiento mediante intentos
reiterados de ensayo y error
CHAP: El mecanismo de autenticacin utilizado por CHAP consiste en asegurar la identidad de los
hosts remotos utilizando un saludo de tres vas Esto se realiza durante el establecimiento inicial del
enlace y se puede repetir en cualquier momento una vez que se ha establecido el enlace.
A diferencia de PAP, en CHAP la contrasea nunca es enviada a travs del enlace. El host enva un
mensaje de comprobacin al nodo remoto. El nodo remoto responde con un valor (este valor es el
resultado de una funcin hash con la contrasea). El host compara el valor de la respuesta con su
propio valor y si los valores concuerdan, se produce un acuse de recibo de la autenticacin. De otro
modo, la conexin no se establece.
CHAP ofrece funciones tales como verificacin peridica para mejorar la seguridad. Esta
caracterstica, junto con la posibilidad de realizar autenticaciones una vez que el enlace est
establecido y el no envo de las contraseas en texto claro resulta que CHAP sea ms efectivo que
PAP.
Si existiera un NAS brindando el acceso en una red, el administrador deber almacenar los usuarios y
contraseas en el NAS. Esto indica una autenticacin local o base de datos de seguridad local. Las
principales caractersticas de la seguridad local son:
Usado para redes pequeas
Los usuarios y contraseas son almacenados en el router
No se requiere de una base de datos externa
El administrador del sistema debe configurar la base de datos local especificando los usuarios para
cada uno que quiera conectarse a cada dispositivo. Existen protocolos para implementar bases de
datos de seguridad remotas que sern vistos en secciones posteriores.
Un propsito principal de la seguridad es mantener afuera a los intrusos. En la mayora de los casos,
esto significa construir paredes fuertes y establecer puertas pequeas bien protegidas para
proporcionar acceso seguro a un grupo selecto de personas. Esta estrategia funciona mejor para las
LANs cableadas que para las WLANs. El crecimiento del comercio mvil y de las redes inalmbricas
hace que los modelos viejos sean inadecuados. Las soluciones de seguridad deben estar integradas
sin fisuras y ser muy transparentes, flexibles y administrables.
Cuando la mayora de la gente habla sobre seguridad, hacen referencia a asegurar que los usuarios
puedan realizar slo las tareas que tienen autorizado hacer y que puedan obtener slo la informacin
que tienen autorizado tener. La seguridad tambin significa asegurar que los usuarios no puedan
causar dao a los datos, a las aplicaciones o al entorno operativo de un sistema. La palabra seguridad
comprende la proteccin contra ataques maliciosos. La seguridad tambin comprende el control de los
efectos de los errores y de las fallas del equipo. Todo lo que pueda proteger contra un ataque
inalmbrico probablemente evitar tambin otros tipos de problemas.
Las WLANs son vulnerables a ataques especializados y no especializados. Muchos de estos ataques
explotan las debilidades de la tecnologa, ya que la seguridad de WLAN 802.11 es relativamente
nueva. Tambin hay muchas debilidades de configuracin, ya que en algunas instalaciones no se
utilizan las caractersticas de seguridad de las WLANs en todos los equipos. En realidad, muchos
dispositivos son entregados con passwords de administrador predeterminadas. Finalmente, hay
debilidades de polticas. Cuando una compaa no tiene una poltica de seguridad clara sobre el uso
de la tecnologa inalmbrica, los empleados pueden configurar sus propios APs. Un AP configurado
por un empleado se conoce como un AP furtivo (rogue AP), y en general no cuentan con la
configuracin de seguridad apropiada.
Las redes LAN se han extendido hacia ambientes que podran permitir el acceso no autorizado de
dispositivos. Ejemplos de estos ambientes, son las redes LAN corporativas que se distribuyen hasta
ambientes de acceso pblico, redes de servicios inalmbricos donde no se encuentran definidas sus
fronteras, redes LAN de hoteles creadas para dar servicios a sus clientes, etc. En estos ambientes es
necesario restringir el acceso a los servicios ofrecidos por la red LAN para permitir el acceso slo a
los usuarios habilitados. El estndar IEEE 802.1x - Port Based Network Access Control (Control de
acceso a la red basado en puertos) define la forma en que se debe realizar la autenticacin y
autorizacin de los usuarios que acceden a una red LAN a travs de un puerto con caractersticas
punto a punto, y prohibir el acceso en caso que falle la autenticacin y autorizacin. Los puertos
incluyen los puertos de un switch, puente, o las asociaciones entre estaciones y access points de las
redes inalmbricas IEEE 802.11. La autenticacin IEEE 802.1x es una arquitectura cliente servidor
provista a travs de EAPOL (Extensible Authentication Protocol sobre LAN). El protocolo EAP lo
veremos en la prxima seccin. El servidor de autenticacin autentica a cada cliente que se conecta a
un puerto antes de proveerles acceso a los servicios ofrecidos por la red.
IEEE 802.1x contiene tres elementos principales :
1. Autenticador (Authenticator): El dispositivo que permite la autenticacin del suplicante.
Controla el acceso fsico a la red basndose en la autenticacin del suplicante. Es un
intermediario entre el suplicante y el servidor de autenticacin.
2. Suplicante (Supplicant): Cliente que solicita acceso a la red y responde los requerimientos del
autenticador.
3. Servidor de autenticacin (Authentication Server): Provee el servicio de autenticacin al
autenticador. Este servicio determina, dadas las credenciales del Suplicante, si est autorizado
o no a acceder a los servicios ofrecidos por el Autenticador
La comunicacin entre el suplicante y el autenticador se realiza mediante EAP sobre LAN. Puede
soportar mltiples mecanismos de autenticacin, como MD5, one time passwords, Token cards, etc.
4.4.1 WEP
El estndar IEEE 802.11 para las redes LAN inalmbricas incluye la definicin de WEP (Wired
Equivalent Privacy) para proteger a los usuarios autorizados de escuchas casuales. WEP realiza una
encriptacin de cada una de las tramas que se transmiten al aire. El estndar fija un tamao de claves
de 40 bits, pero algunos fabricantes las han extendido hasta ms de 128 bits. Cuando se activa WEP,
el cliente y el access point deben tener claves WEP coincidentes. WEP usa el mtodo de cifrado RC4
(Rivest Cipher 4) creado por Ron Rivest de RSA Data Security, Inc.
La primer mejora es una alternativa temporaria que permitira mejorar la seguridad en las
infraestructuras ya instaladas, sin necesidad de realizar un cambio de hardware. Casi cualquier
dispositivo con soporte WEP, con una simple actualizacin del software o firmware podra implementar
TKIP. El problema de WEP es que usa siempre la misma clave. TKIP define una clave temporal de 128
bits que se comparte entre clientes y access points. Esta clave es combinada con la direccin MAC
del adaptador, y luego agrega un vector de inicializacin de 128 bits (ms de 5 veces superior al
original) para producir la clave de cifrado . Este procedimiento asegura que cada estacin utilizar
claves diferentes para realizar el cifrado.
TKIP utiliza RC4 para realizar el cifrado, al igual que WEP, pero con la diferencia que cambia la clave
temporal cada 10.000 paquetes, con lo que decrementa la posibilidad de filtrar informacin para
realizar el clculo de la clave.
La solucin de raz al problema de la encriptacin es el reemplazo del algoritmo utilizado. Como
reemplazo para RC4, 802.11i propone la utilizacin de AES, un algoritmo probada mente robusto. La
gran desventaja de esta alternativa, es que para implementarla se debera cambiar la mayor parte del
hardware actualmente instalado.
Hay personas entusiastas, dispuestas y calificadas para tomar ventaja de cada vulnerabilidad de
WLAN. Ellas estn constantemente tratando de descubrir y explotar nuevas vulnerabilidades. Se han
escrito numerosos documentos sobre el tema de la seguridad del 802.11. Lo que sigue es un resumen
de las principales vulnerabilidades:
Control de acceso dbil: Las credenciales de autenticacin son presentadas por los
dispositivos y no por usuarios de la red. Es decir que los privilegios estarn asociados a
dispositivos en lugar de usuarios.
Encriptacin de datos dbil: Se ha comprobado que el sistema de encriptacin definido en la
primer especificacin de 802.11 (WEP) es ineficiente como medio para cifrar datos.
No hay integridad de mensajes - Se ha probado que el Valor de Control de Integridad (ICV) no
es efectivo como medio para asegurar la integridad de los mensajes.
Los mtodos de ataques inalmbricos pueden ser divididos en tres categoras:
Reconocimiento
Ataque de acceso
Negacin del Servicio [Denial of Service (DoS)]
Acceso: Rogue APs: La mayora de los clientes se asocian al access point con la seal ms fuerte. Si
un atacante ubica un AP con el mismo SSID de la WLAN vctima, los clientes ms prximos se
asociarn al AP atacante en lugar del AP oficial de la red. El AP furtivo tendr acceso al trfico de
red de todos los clientes asociados. Un AP furtivo puede ser usado para realizar ataques por man-
in-the-middle contra trfico encriptado en capa de aplicacin, como SSL o SSH. El AP furtivo tambin
puede usar spoofing de ARP e IP para engaar a los clientes y recibir conexiones desde ellos,
obteniendo informacin como nombres de usuario, passwords e informacin confidencial. El AP furtivo
puede tambin pedir sesiones no protegidas con la Privacidad Equivalente a la Cableada (WEP) con
clientes durante la asociacin. Ataques de Privacidad Equivalente a la Cableada (WEP) Los ataques
contra la WEP incluyen Bit Flipping, Replay Attacks, y la coleccin Weak IV. Muchos ataques WEP no
han salido del laboratorio, pero estn bien documentados. Un utilitario, llamado AirSnort, captura
Vectores de Inicializacin dbiles para determinar la clave WEP que se est usando.
Denegacin de Servicio: La DoS ocurre cuando un atacante desactiva o corrompe las redes,
sistemas o servicios inalmbricos, con la intencin de negar el servicio a usuarios autorizados. Los
ataques DoS toman muchas formas. En la mayora de los casos, la realizacin del ataque comprende
simplemente ejecutar un exploit, un script o una herramienta. El atacante no necesita acceder
previamente al objetivo, porque todo lo que se necesita normalmente es una forma de acceder a l.
Por estas razones y a causa del gran dao potencial, los ataques DoS son los ms temidos, ya que
son los ms difciles de evitar. Un utilitario, llamado Wlan Jack, enva paquetes de desasociacin
falsos que desconectan a los clientes 802.11 del access point. Siempre que se ejecute el utilitario de
ataque, los clientes no pueden usar la WLAN.
Otro tipo de ataques comprenden la insercin de seales en los canales utilizados por las redes
WLAN, buscando lograr un alto nivel de ruido, para que las estaciones bajo ataque no puedan
comunicarse. De hecho, cualquier dispositivo que opere a 2.4 GHz o a 5 GHz puede ser usado como
una herramienta DoS.
Las polticas de seguridad proporcionan muchos beneficios. Ellas valen el tiempo y el esfuerzo
necesarios para desarrollarlas. El desarrollo de una buena poltica de seguridad logra lo siguiente:
Proporciona un proceso para auditar la seguridad inalmbrica existente.
Proporciona un marco de trabajo general para implementar la seguridad
Define los comportamientos que estn o no permitidos
Ayuda a determinar cules herramientas y procedimientos son necesarios para la organizacin
Ayuda a comunicar un consenso entre un grupo de directivos clave y define las
responsabilidades de los usuarios y de los administradores
Define un proceso para manipular violaciones inalmbricas
Crea una base para la accin lgica, si fuera necesario
Una poltica de seguridad inalmbrica efectiva trabaja para asegurar que los recursos de la red de la
organizacin estn protegidos contra el sabotaje y el acceso inapropiado, que incluye tanto el acceso
intencional como el accidental. Todas las caractersticas de la seguridad inalmbrica deberan ser
configuradas en conformidad con la poltica de seguridad de la organizacin. Si no est presente una
poltica de seguridad, o si est desactualizada, se debera crear o actualizar antes de decidir cmo
configurar o hacer uso de los dispositivos inalmbricos.
La seguridad no era una gran preocupacin para las primeras WLANs. El equipo era propietario,
costoso y difcil de conseguir. Muchas WLANs usaban el Identificador del Conjunto de Servicio
[Service Set Identifier (SSID)] como una forma bsica de seguridad. Algunas WLANs controlaban en
acceso ingresando la direccin de control de acceso al medio (MAC) de cada cliente en los access
points inalmbricos. Ninguna opcin era segura, ya que el sniffing inalmbrico poda revelar las
direcciones MAC vlidas y el SSID.
El SSID es una cadena de 1 a 32 caracteres del Cdigo Estndar Norteamericano para el Intercambio
de Informacin [American Standard Code for Information Interchange (ASCII)] que puede ser
ingresada en los clientes y en los access points. La mayora de los access points tienen opciones
como SSID broadcast ['broadcast de SSID'] y allow any SSID ['permitir cualquier SSID']. Estas
caractersticas estn normalmente activas por defecto y facilitan la configuracin de una red
inalmbrica. El usar la opcin allow any SSID permite que un cliente con un SSID en blanco acceda a
un access point. El SSID broadcast enva paquetes baliza que publican el SSID. El desactivar estas
dos opciones no asegura a la red, ya que un sniffer inalmbrico puede fcilmente capturar un SSID
vlido del trfico normal de la WLAN. Los SSIDs no deberan ser considerados una caracterstica
segura.
Controlar el acceso a una red inalmbrica usando direcciones MAC es tedioso. Se debe mantener un
inventario preciso y los usuarios deben reportar rpidamente la prdida o el robo de equipo. En ciertos
casos, la autenticacin de direcciones MAC puede suplementar las caractersticas de seguridad, pero
no debera ser nunca el nico mtodo en una WLAN.
4.4.5 WPA
Los diseadores de red y los expertos en seguridad saben que no es suficiente arreglar las
debilidades de WEP. La verdadera seguridad inalmbrica requiere ms que slo hacer dinmicas las
claves WEP o mejorar el WEP. La verdadera seguridad inalmbrica debe poder autenticar a los
usuarios, no slo a los dispositivos. Las organizaciones deben decidir cunta seguridad necesitan e
incluirla en la poltica de seguridad inalmbrica. Algunas redes dependern de soluciones VPN
existentes para proporcionar seguridad adicional. Otras redes implementarn el control de acceso y
los arreglos para WEP, que estn incluidos en el Acceso Protegido Wi-Fi (WPA). WPA (Wi-Fi Protected
Access) es un sistema para proteger las redes inalmbricas creado para corregir las deficiencias de
WEP. Al popularizarse las debilidades de WEP, la IEEE comenz a trabajar en un nuevo estndar, el
IEEE 802.11i. En el tiempo intermedio en que se encontraba en desarrollo este nuevo estndar, naci
WPA, como una solucin temporal, que se puede implementar sin cambios de hardware en los
dispositivos (pero s requiere una actualizacin de software).
Los datos siguen siendo cifrados mediante RC4, pero se utilizan claves de 128 bits ms un vector de
inicializacin de 48 bits (lo que da la friolera de 281.474.976.710.656 combinaciones). Otra mejora
introducida por WPA es el protocolo TKIP (Temporal Key Integrity Protocol). TKIP se encarga de
cambiar dinmicamente la clave utilizada para encriptar. Estos cambios se realizan cada 10.000
tramas, para evitar ofrecer la informacin suficiente a potenciales atacantes y no requieren ninguna
accin de parte del usuario. Adems de estas mejoras en la autenticacin y en la encriptacin, WPA
incorpora mejoras en el control de integridad de los mensajes. Para mejorar este control de integridad,
se cambi el algoritmo de CRC a un algoritmo especfico para control de integridad (MIC - Message
Integrity Code) llamado Michael. Adems de mejorar la autenticacin de cada mensaje, Michael
incluye un contador en cada trama para evitar los ataques de replay. Una vez que se public el
estndar 802.11i (Junio de 2004), WPA sufri ciertas modificaciones convirtindose en WPA2. WPA2
implementa de manera completa 802.11i. La mayor diferencia es que se modific el algoritmo de
encriptacin, utilizndose el potente AES (Advanced Encryption Standard) en lugar de RC4. Es muy
probable que los dispositivos antiguos no soporten WPA2 debido a que se requieren cambios de
hardware para su implementacin.
WPA Corporativo: WPA fue diseado para trabajar con un servidor de autenticacin centralizado
(RADIUS) mediante el protocolo de control de acceso 802.1x. Al trabajar de esta manera, a cada
usuario se le puede asignar una contrasea diferente. Mediante 802.1x, la autenticacin se realiza por
usuario y no por dispositivo.
WPA Personal: WPA tambin provee un esquema de autenticacin ms sencillo para ambientes
donde no se pueda costear un servidor de autenticacin, donde todos los dispositivos deben compartir
una misma clave pre-compartida (Pre Shared Key PSK). En general se le denomina WPA hogareo
o personal. En esta implementacin se tienen los beneficios de seguridad mejorada al tener un
esquema de encriptacin (TKIP) y de control de integridad fuerte (Michael), pero tiene las siguientes
desventajas:
La autenticacin se realiza por dispositivo
Se debe configurar en todos los dispositivos la misma clave o No permite la implementacin de
diferentes polticas de seguridad
4.4.6 WPA2
WPA2 est basado en el nuevo estndar IEEE 802.11i. WPA, por ser una versin previa, puede ser
considerado una versin de migracin, dado que no incluye todas las caractersticas del 802.11i,
mientras que WPA2 se puede aceptar como la versin certificada del estndar. Al igual que su
antecesor, la alianza Wi-Fi llama a la versin de clave pre-compartida WPA2-Personal y WPA-
Personal, mientras que la versin con autenticacin 802.1x se denomina WPA2Enterprise y WPA-
Enterprise.
Existen algunas diferencias entre WPA y WPA2 que se detallan a continuacin:
CCMP se basa en el algoritmo de encriptacin AES en su modo de operacin CCM, con una
longitud de clave y tamao de bloque de 128 bits. AES es a CCMP lo que RC4 es a TKIP, pero
al contrario de TKIP, que se dise para acomodarse al hardware existente para WEP, CCMP
es un nuevo diseo.
En WPA2 la computacin de MIC utiliza el algoritmo CBC-MAC mientras que en WPA se utiliza
el algoritmo Michael basado en las direcciones origen y destino de la trama, la MSDU y la
Temporal MIC Key (TMK).
En TKIP, el MIC se calcula en base a la MSDU, mientras que en CCMP se calcula en base a la
MPDU. La diferencia entre MSDU y MPDU radica en que una MSDU representa a los datos
antes de la fragmentacin, mientras que una MPDU son mltiples unidades de datos luego de
la fragmentacin.
4.4.7 Bluetooth
El Estndar Bluetooth, nacido en 1994 y formalizado en 1998 por el Bluetooth-SIG (Special Interest
Group), es una tecnologa inalmbrica de bajo costo, que opera en la banda no licenciada de 2.4Ghz
de frecuencia (misma banda que utilizan algunos estndares de la tecnologa 802.11).
Existen hoy en da tres versiones de Bluetooth (BT):
Bluetooth Protocolo V1.1 No provee compatibilidad para coexistir con 802.11
Bluetooth Protocolo V1.2 (2003) Data Rate 1Mbps
Bluetooth Protocolo V2.0 +EDR (Enhanced Data Rate) (2004)
Data Rate 3Mbps: Uno de los hechos que hacen que esta tecnologa sea de bajo costo, es la
potencia necesaria para funcionar, tan slo 0,1 Watts, que sin duda alguna reduce considerablemente
el consumo de los equipos y que adems permite ser incorporada en los telfonos celulares y las
PDA, sin que afecte en exceso el consumo de sus bateras. La tecnologa BT permite la comunicacin
inalmbrica entre diferentes dispositivos que la incorporen, sin necesidad de lnea de vista y son el
reemplazo esperado de la tecnologa infrarroja.
Cuando se conectan ms de un dispositivo BT compartiendo el mismo canal de comunicacin, forman
una red denominada Piconet. Dichas redes estn compuestas por un dispositivo Master quien impone
la frecuencia de saltos para la Piconet y todos los dems dispositivos son los denominados Slaves
(esclavos). Las Piconet solo pueden aceptar hasta 7 dispositivos Slaves conectados al mismo tiempo,
sin embargo, son soportados hasta 200 dispositivos pasivos.
Cabe mencionar que si algn dispositivo se encuentra en modo No Descubrimiento, igualmente puede
ser mapeado siempre y cuando el atacante conozca la Mac Address del mismo. Bsicamente los
modelos de Seguridad de los dispositivos Bluetooth se clasifican en tres modos primarios:
Modo 1: Sin seguridad (Modo Default): Esencialmente, los mecanismos de autenticacin y
cifrado estn deshabilitados
Modo 2: Aplicacin/ Nivel Servicio: Ocurre en la capa L2CAP, nivel de servicios. Primero se
establece un canal entre el nivel LM y el de L2CAP y recin entonces se inicializan los
parmetros de seguridad. Como caracterstica, el acceso a servicios y dispositivos es
controlado por un Gestor de Seguridad por lo cual variando las polticas de seguridad y los
niveles de confianza se pueden gestionar los accesos de aplicaciones con diferentes
requerimientos de seguridad que operen en paralelo. Otra caracterstica importante de este
modo es que no hay ninguna codificacin adicional de PIN o claves.
Modo 3: Autenticacin va PIN/ Seguridad a nivel MAC/ Encriptacin: Ocurre a nivel de
Link y todas las rutinas se corren internamente en el chip BlueTooth por lo que nada se
transmite en texto plano. A diferencia del Modo 2, los procedimientos de seguridad se inician
antes de establecer algn canal y el cifrado se basa en la autenticacin PIN y seguridad MAC.
Bsicamente, comparte una clave de enlace (clave de link) secreta entre dos dispositivos. Para
generar esta clave, se usa un procedimiento de paring cuando los dos dispositivos se
comunican por primera vez.
Es muy comn encontrarse en los archivos almacenados en las PDA y en los Celulares, los usuarios y
las contraseas de las PC y hasta de los servidores que para no dejarlos anotados en un papel lo
anotan en sus dispositivos mviles. Los lugares de mayor riesgo o donde es fcilmente posible
obtener informacin como la mencionada anteriormente es en lugares pblicos como por ejemplo: En
el cine, En una plaza con mucha gente, En una biblioteca, En un centro comercial o en un bar, En un
campo de ftbol, En alguna tienda de telefona, tren, autobs.
Como podemos ver la informacin comprometida, puede o no ser de carcter corporativo, pero puede
brindar al atacante de obtener datos que permitan desarrollar luego una estrategia de ataque ms
efectiva. Desde principios de 2003, comenzaron a hacerse pblicas, algunas debilidades y
vulnerabilidades que afectaban directamente a esta tecnologa. La primera de ellas, fue descubierta
por la gente de Atstake, y fue denominada War Nibling, y permite descubrir a todos los dispositivos
que estn en el alcance del atacante estn estos en modo descubrimiento o no.
4.4.8 RFID
En la lucha eterna del equilibrio entre la seguridad y la funcionalidad, ya hemos visto pasar a varias
tecnologas, solo por mencionar algunas 802.11, Bluetooth entre otras, pero como no poda ser de otra
manera le llego el turno a RFID (Radio Frequency Identificacin).
RFID, es una tecnologa de identificacin por radiofrecuencias, que permite el reconocimiento
automtico a distancia, basado en uno de sus principales componentes los TAGS (Etiquetas) de RFID,
permitiendo esto un beneficio muy importante en lo que refiere a la logstica, la distribucin y la
cadena de abastecimiento, pero como veremos ms adelante la aplicacin de esta tecnologa,
tambin est siendo adoptada en muchos otros aspectos y procesos, como el control de accesos y el
pago electrnico y la identificacin de documentacin personal.
Tipos de etiquetas: Existen tres tipos de etiquetas, stas se diferencian entre si por la frecuencia en
la que operan, la cantidad de informacin que pueden contener, el tipo de funcionamiento y su
durabilidad:
Etiquetas Pasivas: Estas operan en la Frecuencia de los 13,56 MHZ y no tienen fuente de
energa interna, sino que la pequea corriente inducida en la antena, brindada por la seal
entrante de la frecuencia radial, produce la energa suficiente para que el circuito integrado,
pueda encenderse y comenzar a transmitir (Backscatter). Estas etiquetas son las de menos
tamao, por ende las ms livianas y con una vida til que puede ir hasta los 99 aos.
Etiquetas Semipasivas: Son muy similares a las etiquetas Pasivas, salvo por el agregado de
una pequea batera, esta batera mantiene una corriente continua en la memoria no voltil del
circuito integrado, por lo cual la antena no debe preocuparse por recolectar la dicha corriente.
La antena est ms optimizada a su funcin de transmisin de radio frecuencia lo cual hace
que sea ms rpida y robusta que los Tags Pasivos.
Etiquetas Activas: Las etiquetas activas poseen su propia fuente de energa y son capaces
de alcanzar mayores distancias (10 metros aproximadamente), a poseer una batera su vida
til de es de hasta 10 aos, estos economizan el consumo de energa, trabajando en intervalos
definidos de operacin.
RFID Tipos de Frecuencias: Existen distintas frecuencias en las que los sistemas de RFID, pueden
operar, cada una de ellas representa distintos pro y contras en base a su aplicacin.
Low Frequency (125 a 134.2 kHz y de 140 a 148.5 kHz)
High Frequency (13.56 MHz)
Ultra-High Frequency (915 MHz, 433.92 MHz. o 315 MHz)
Microwaves
Aplicaciones de RFID: Hoy en da, existen numerosas aplicaciones para estas tecnologas, pero la
mas creciente, es el que est bajo el estndar EPC (Electronic Product Code), utilizada en la
identificacin de productos, la cual brinda una clave nica para un producto, que permite detallar
informacin sobre el mismo, en cualquier momento de la cadena de abastecimiento. Adicionalmente,
entre otras aplicaciones podemos mencionar las siguientes:
Implementaciones ganaderas, para la identificacin de ganado, su historial, sus progenitores,
sus descendientes y su produccin.
Identificacin en medicamentos de la fecha de vencimiento o bien la informacin sobre los
efectos secundarios del mismo.
Medios de pago electrnico (Mastercard Paypass)
Identificacin de pacientes
Identificacin de convictos
Identificacin de billetes de alta denominacin
Identificacin de pasaportes
Identificacin de registros de conducir
Identificacin de entradas a eventos deportivos y espectculos (Mundial Alemania 2006)
Sistemas de Control de acceso
Los sistemas RFID, se relacionan con varios procesos crticos, como el control de acceso fsico, el
seguimiento de productos, los sistemas de pago y otros ms. Si bien, como vimos, los riesgos ms
publicitados de esta tecnologa se relacionan con la privacidad, a continuacin veremos algunos otros,
que tambin deberan ser considerados.
Relay Attacks en tarjetas de proximidad, Destruccin del TAG y Prevencin de Lectura, RFID -
SQL Injection, RFID Virus, Algoritmos de Encriptacin dbiles, Sniffing, Spoofing
4.4.10 TACACS+
TACACS+ (Terminal Access Controller Access Control System Plus) es una versin mejorada de
TACACS. TACACS+ es un protocolo de Autenticacin, Autorizacin, y Auditora (AAA) que reside en
un servidor centralizado. Existen al menos tres versiones de TACACS: TACACS, XTACACS y
TACACS+:
TACACS es una especificacin estndar de protocolo definido en el RFC 1492 que reenva el nombre
de usuario y contrasea a un servidor centralizado. Este servidor mantiene una base de datos
TACACS con los usuarios. De acuerdo a los parmetros pasados, el servidor acepta o rechaza la
autenticacin, enviando un mensaje.
XTACACS define extensiones de Cisco al protocolo TACACS para soportar nuevas caractersticas.
XTACACS es multiprotocolo y puede autorizar conexiones con SLIP, PPP, IPX, ARAP y Telnet.
XTACACS soporta mltiples servidores TACACS, y syslog para el envo de informacin de auditora.
Actualmente, XTACACS se encuentra obsoleto, dados los nuevos requerimientos de AAA del mercado
y a la existencia de TACACS+.
TACACS+ es una versin en constante mejora de TACACS que permite al servidor TACACS+ brindar
servicios de AAA de manera independiente. Cada servicio puede ser usado con su propia base de
datos o puede ser usado en conjunto con los dems servicios. TACACS+ no es compatible con
XTACACS ni con la versin original de TACACS. Actualmente se encuentra como una propuesta en la
IETF, por lo que no es un servicio estndar. TACACS+ permite la opcin de encriptar toda la
informacin que se intercambia entre el cliente y el servidor.
TACACS y sus diferentes versiones utilizan TCP como transporte, y tienen reservado el nmero de
puerto 49.
4.4.11 RADIUS
RADIUS (Remote Authentication Dial-In User Service) es otra alternativa para realizar AAA. RADIUS
es un protocolo AAA desarrollado por Livingston Enterprises, Inc (ahora parte de Lucent
Technologies). Es un sistema de seguridad distribuida que seguriza el acceso remoto a redes y las
protege de accesos no autorizados. RADIUS est compuesto por tres componentes:
1. Un protocolo basado en UDP
2. Servidor
3. Cliente
Segn la definicin del protocolo, RADIUS tienen reservados los nmeros de puerto 1812 (para
autenticacin) y 1813 (para auditora), pero existen muchas implementaciones que utilizan los puertos
1645 y 1646 respectivamente. El servidor es ejecutado en una computadora, generalmente dentro del
sitio propietario de la red, mientras que el cliente reside en el NAS y puede estar distribuido en toda la
red.
Modelo Cliente Servidor: El NAS opera como el cliente, reenviando la informacin de autenticacin
de los usuarios al servidor RADIUS configurado, y luego, actuando de acuerdo a la respuesta del
servidor. Los servidores RADIUS son los responsables de recibir los requerimientos de los usuarios,
autenticarlos, y devolver toda la informacin necesaria para que el cliente habilite los servicios
correspondientes. El servidor RADIUS puede mantener una base de datos de los usuarios de forma
local, utilizar la base de datos de Windows, o un directorio LDAP.
Seguridad de la red: Las transacciones entre el cliente y el servidor son autenticadas por un secreto
compartido, que no se enva por la red. Las contraseas son enviadas cifradas.
Mtodos de autenticacin flexibles: El servidor RADIUS soporta diferentes mtodos para autenticar
un usuario. Soporta PPP, PAP, CHAP, MS-CHAP, Unix login, etc.
4.4.12 TACACS+ versus RADIUS
Protocolo de capa de transporte: RADIUS utiliza UDP, mientras que TACACS+ utiliza TCP. Como
UDP no brinda confiabilidad ni control de flujo, RADIUS debe implementar controles y retransmisiones,
lo que lo vuelven ms complejo que TACACS+ para su programacin.
Encriptacin de datos: RADIUS slo soporta la encriptacin de las contraseas. Esto, a pesar de no
proveer las contraseas, puede permitir a un usuario malicioso conocer los movimientos de los
accesos, ingresos, salidas, etc. TACACS+ soporta la encriptacin de todo el trfico entre el cliente y el
servidor.
4.4.13 Kerberos
Kerberos fue creado en el Instituto de Tecnologa de Massachusetts a comienzo de los 80. La versin
actual de Kerberos es la versin 5, y ha sido publicada por la IETF como el RFC 1510. El sistema
operativo Microsoft Windows 2000 utiliza a Kerberos como su tcnica de autenticacin.
El protocolo Kerberos depende de una tcnica de autenticacin que incluye secretos compartidos. El
concepto bsico es bastante simple: si un secreto es conocido slo por dos personas, entonces
cualquiera de las dos personas puede verificar la identidad de la otra confirmando que la otra persona
conoce el secreto. Kerberos resuelve este problema con criptografa de clave secreta. En vez de
compartir una clave de acceso, los extremos de la comunicacin comparten una clave criptogrfica, y
usan el conocimiento de esta clave para verificar la identidad uno del otro.
Kerberos tiene tres componentes: un cliente, un servidor y una intermediario de confianza para mediar
entre ellos. Este intermediario es el protocolo KDC (Key Distribution Center, Centro de Distribucin de
Claves). El KDC es un servicio que corre en un servidor fsicamente seguro. Mantiene una base de
datos con la informacin de las cuentas de sistema (usuarios, servidores, estaciones). Para cada
cuenta, mantiene una clave conocida slo por el KDC y la cuenta. Esta clave se usa en intercambios
entre la cuenta y el KDC.
Cuando un cliente quiere hablar con un servidor, el cliente enva una solicitud al KDC, y el KDC
distribuye una clave de sesin para que utilicen los extremos interesados (el cliente y el servidor)
cuando se autentican uno al otro. La copia de la clave de sesin del servidor est encriptada con la
clave compartida entre el KDC y el servidor. La copia de la clave de sesin del cliente est encriptada
en la clave compartida entre el KDC y el cliente.
La solucin de seguridad para redes WLAN en un entorno empresarial es muy dependiente de las
polticas de seguridad que se quieran implantar. A continuacin, se indican recomendaciones de
diseo de redes WLAN que garantizan diferentes niveles de seguridad empezando desde niveles
bsicos hasta niveles ms completos y comparables a los niveles de seguridad de redes cableadas.
No obstante, debe ser tenido en cuenta que la utilizacin de excesivas normas de seguridad podra
reducir la eficiencia de funcionamiento de una red WLAN.
WEP: Las redes WLAN IEEE 802.11 con el mecanismo de seguridad WEP habilitado, tienen que ser
consideradas como inseguras puesto que WEP es un protocolo con numerosas vulnerabilidades
probadas. Por ello, en una instalacin en que los puntos de acceso slo dispongan de cifrado WEP, es
necesario aplicar medidas estrictas de seguridad para acceder a la red cableada. A pesar de su
vulnerabilidad, es recomendable emplear WEP cuando sea la nica solucin de seguridad
implementable para evitar dejar la red WLAN abierta y completamente expuesta a posibles ataques.
Al ser WEP es un mecanismo de seguridad que presenta ciertas vulnerabilidades, para reforzar la
seguridad proporcionada a una red WLAN por una solucin WEP, es recomendable utilizar algn
mecanismo adicional como es la solucin VPN basada en IPsec.
Por ltimo, a la hora de disear una clave WEP para la red es conveniente hacerlo asocindole
valores hexadecimales, en lugar de caracteres ASCII, ya que el nmero de caracteres ASCII es
limitado (el alfabeto ASCII consta de 127 caracteres, 255 si se emplean caracteres extendidos) y parte
de la clave tendra asociado un valor nulo, vulnerabilidad de la que se suelen aprovechar las
herramientas de descubrimiento de claves WEP. Adems, es aconsejable emplear claves
hexadecimales con valores no nulos en los bits de menos peso.
WPA: Un sistema de seguridad basado en WPA puede funcionar en los siguientes modos de
operacin:
Modo WPA, slo para usuarios con WPA.
Modo mixto, para usuarios con y sin WPA.
Una red en modo mixto no es ms segura que una red sin WPA, por lo que no se recomienda emplear
este modo.
La Wi-Fi Alliance recomienda llevar a cabo el despliegue de una solucin basada en WPA siguiendo
los siete pasos que se detallan a continuacin:
Seleccionar el mecanismo de seguridad y credenciales
Analizar las base de datos de autenticacin de usuarios que se pueden utilizar
Estudiar el Sistema operativo de los usuarios que van a utilizar esta solucin
Selccionar el Supplicant (software disponible en terminal de usuario para realizar la
autenticacin)
Seleccionar el tipo de EAP
Seleccionar el servidor de autenticacin a utilizar
Tras realizar estos pasos, se conocer qu elementos conformarn la solucin y se estar preparado
para implementar polticas de autenticacin basadas en IEEE 802.1x y comenzar la instalacin de la
red WLAN.
En general, los elementos clave de la arquitectura de una solucin de despliegue de redes WLAN que
implementen un mecanismo de seguridad basado en WPA son los siguientes:
Software especfico en el dispositivo inalmbrico. La solucin del software debe estar basada
en un tipo de EAP que soporte el tipo de autenticacin seleccionado. Para dotar de mayor
seguridad a la red, el tipo de EAP debe proporcionar una autenticacin mutua, por lo tanto, no
es recomendable utilizar EAP-MD5.
En caso de utilizacin de EAP-TLS, EAP-TTLS y PEAP se recomienda configurar los usuarios
inalmbricos con un certificado de un servidor seguro y evitar que el usuario pueda modificar
estos parmetros. nicamente el administrador debe tener privilegios para poder modificar el
certificado empleado. Si no se configura el certificado los ataques Man In The Middle son
posibles.
Puntos de acceso inalmbricos que soporten WPA y una conexin segura con un servidor
RADIUS. Los puntos de acceso se configuran para aceptar solamente conexiones WPA y
rechaza conexiones WEP. En el caso de implementar esta solucin en instalaciones nuevas,
podra tenerse en cuenta la opcin de adquirir equipos que nicamente sean compatibles con
WPA. WPA ofrece mecanismos de seguridad mucho ms robustos que los utilizados por WEP,
en cuanto a la autenticacin, integridad y confidencialidad.
Servidor AAA. El servidor AAA proporciona la autenticacin de usuarios a la red WLAN. El
servidor AAA es el encargado de generar las llaves dinmicas utilizadas en el mecanismo WPA
y enva estas llaves a los puntos de acceso. En caso de utilizacin de certificados, se
recomienda que el servidor AAA contraste el estado del certificado del usuario contra un
autoridad CRL (las principales Autoridades Certificadoras internacionales actualmente son
Verising y Thawte) un servidor OCSP. Es posible llevar a cabo implementaciones con
servidores AAA distribuidos para posibilitar reparto de carga as como confiabilidad a la red.
En funcin del mtodo de autenticacin utilizado pueden ser empleados opcionalmente los siguientes
elementos adicionales:
Servidor PKI. Proporciona certificados X.509 para la autenticacin de usuario y de servidor.
Necesario en caso de emplearse EAP-TLS, EAP-TTLS y PEAP.
Proporciona autenticacin OTP mediante servidores RADIUS. Puede emplearse con PEAP o
EAP-TTLS.
Servidor OTP
Adicionalmente, es recomendable proteger el modo EAP empleado (LEAP, PEAP, EAPTTLS) contra
ataques de fuerza bruta. El servidor RADIUS debe bloquear las cuentas de usuario tras una serie de
intentos de logueo fallidos. Cuando la cuenta de usuario est bloqueada el usuario no puede ser
autenticado (y por lo tanto no puede utilizar la red WLAN) hasta que no se lleven a cabo una serie de
acciones administrativas. Esto permitir al administrador de la red (y responsable de seguridad) llevar
a cabo un anlisis de la solucin de seguridad empleada y si es necesario mejorarla. Para evitar este
riesgo, se puede exigir a los usuarios inalmbricos llevar a cabo autenticacin tipo OTP.
Las principales ventajas e inconvenientes de esta solucin de seguridad son los siguientes:
Pros:
Emplear una solucin de seguridad que permite al personal acceder a todos los
recursos de la red.
Permite definir diferentes perfiles de usuario.
Contras:
Algoritmo de cifrado que emplea ha sido vulnerado.
Se aumenta la carga de trabajo del administracin, ya que tiene que configurar el
software especfico WPA de los dispositivos inalmbricos.
Dependiendo del mtodo EAP utilizado requiere el uso de certificados en la parte
usuario.
Para instalaciones que dispongan de usuarios y puntos de acceso WEP sera conveniente migrar los
puntos de acceso de un mecanismo de seguridad WEP a uno basadao WPA para dotar la red WLAN
de una mayor nivel de seguridad. No obstante, si no fuera posible llevar a cabo esta migracin, es
posible un entorno heterogneo que combine soluciones basadas en WEP y WPA simultneamente o
configurar los puntos de acceso para que trabajen en modo mixto WEP-WPA, de forma que soporten
usuarios WPA y usuarios WEP. Es importante destacar que, slo es posible desplegar una red en
modo mixto WEP-WPA. Para evitar comprometer la seguridad de la red debido a la vulnerabilidad de
WEP no es posible hacerlo en modo mixto WEP-WPA2.
Es recomendable que los puntos de acceso que slo soporten WEP y que no sea posible actualizarlos
con parches WPA sean situados en la misma subred para formar as una subred WEP-LAN con
polticas de seguridad independientes del resto de puntos de acceso.
En cualquier caso, la consecuencia directa de soportar ambos tipos de usuarios es que el nivel de
seguridad de la red WLAN ser el del mecanismo WEP. Por ello, se recomienda migrar todos los
puntos de acceso y usuarios a WPA en lugar de mantener un entorno mixto.
IEEE802.11i
Los elementos clave de la arquitectura de una solucin de despliegue de redes WLAN que
implementen un mecanismo de seguridad basado en IEEE 802.11i son los mismos que empleados en
una solucin WPA. La nica diferencia es que los puntos de acceso deben soportar el estndar IEEE
802.11i.
Una de las principales diferencias entre IEEE 802.11i y WPA se encuentra en el algoritmo de cifrado
utilizado, IEEE 802.11i utiliza AES y WPA, al igual que WEP, utiliza RC4. Por lo que s que existen
puntos de acceso que soportan el modo mixto WEP-WPA, pero no que soporten el modo mixto WEP-
IEEE 802.11i.
Pros:
Emplear una solucin de seguridad que permite al personal acceder a todos los
recursos de la red.
Permite definir diferentes perfiles de usuario.
Contras:
Puntos de acceso de determinados fabricantes no soportan la actualizacin software al
mecanismo IEEE802.11i, en estos casos es necesario el cambio de los puntos de
acceso desplegados por otros nuevos que s soporten IEEE802.111i.
Sobrecarga de configuracin de usuarios WPA, interno tipo empleado e invitados.
Dependiendo del mtodo EAP utilizado requiere el uso de certificados en la parte del
software del dispositivo inalmbrico.
IPSec VPN
Como se ha comentado anteriormente, para equipos IEEE 802.11 que tienen solamente WEP como
mecanismo de seguridad, es necesario proteger el acceso a red con otros mecanismos adicionales.
En estos casos, el uso de un VPN IPsec es altamente recomendable.
Cabe destacar que una solucin VPN basada en IPsec es compatible con el uso de WPA e IEEE
802.11i.
La utilizacin de las soluciones VPN basadas en IPsec es especialmente recomendable en el caso en
que la plantilla de la empresa sea itinerante, para proporcionar seguridad al conectarse a Internet o a
la red de la empresa desde otras redes que no se la propia red de su empresa.
Los elementos clave de la arquitectura de una red WLAN en la que se emplea una solucin VPN
basada en la tecnologa IPsec para asegurar el trfico de datos son los siguientes:
Dispositivos inalmbricos. Proporcionan conectividad inalmbrica a los puntos de acceso.
Software especfico IPsecVPN instalado en el dispositivo inalmbrico. Es el extremo del tnel
IPsec en el dispositivo de usuario. El usuario inicia la sesin VPN a travs de este software
especfico y es el concentrador VPN el encargado de autenticar y validar el acceso del usuario
a la red WLAN.
El punto de acceso inalmbrico proporciona conectividad Ethernet a la red corporativa. Si el
punto de acceso tiene capacidades de filtrado, se puede filtrar el trfico para permitir
nicamente los protocolos DHCP e IPsec.
Gateway/concentrador IPsec VPN. Autentica y valida a los usuarios inalmbricos. Puede
realizar tambin funciones de servidor DHCP para los usuarios inalmbricos.
Firewall. Se recomienda ubicar un Firewall despus del concentrador VPN que aplique
polticas de seguridad al flujo no cifrado.
Existe una variedad de mecanismos de autenticacin a utilizar cuando se emplea el mecanismo VPN
basado en IPsec:
Servidor RADIUS
Servidor PKI. Proporciona certificados X.509 para la autenticacin de usuario y de servidor. Se
recomienda que los certificados de usuario sean accesibles solamente mediante hardware
protegido con contrasea como, por ejemplo, smart-cards o llaves USB.
Servidor OTP. Proporciona autenticacin OTP mediante servidores RADIUS.
Se recomienda utilizar polticas basadas en certificados para establecer los tneles IPsec en lugar de
llaves pre-compartidas. Emplear llaves pre-compartidas es peligroso, porque si un atacante las
obtiene, es difcil detectar que las llaves estn comprometidas. Por lo que implica sobrecarga en el
mantenimiento al obligar peridicamente las llaves precompartidas. Adems, se recomienda que el
concentrador VPN compruebe el estado de los certificados de usuario contra las autoridades CRL (las
principales Autoridades Certificadoras internacionales actualmente son Verisign y Thawte) un
servidor de OCSP.
Las principales ventajas e inconvenientes de esta solucin de seguridad VPN basada en IPsec son los
siguientes:
Pros:
Emplear una solucin de seguridad que permite al personal acceder a todos los
recursos de la red.
Permite definir diferentes perfiles de usuario.
Reutilizacin de la VPN fuera del entorno empresarial.
Contras:
Necesidad de un concentrador VPN.
Sobrecarga de configuracin de usuarios VPN.
Excluye a los invitados.
Es una solucin costosa.
Las redes WLAN desplegadas en sitios pblicos son conocidas como Hotspots y suelen ofrecer
conectividad a Internet en hoteles, aeropuertos, centros de reuniones, etc. Tambin estn emergiendo
las redes WLAN conocidas como Hotzones que no son otra cosa que la extensin de los hotspots
fuera de los citados recintos o edificios cubriendo zonas amplias de una ciudad.
Son redes cuyo propsito es proveer servicio al pblico en general, tanto usuarios particulares como
empresariales, usuarios con diferentes tipos de dispositivos inalmbricos, muy diversos niveles de
conocimientos informticos y, en muchos casos, sin permisos de administrador en sus dispositivos, lo
que implica limitaciones en sus dispositivos a la hora de cambiar parmetros de configuracin.
Las posibles limitaciones en cuanto a la configuracin del dispositivo de usuario, as como la
necesidad de ofrecer un servicio fcil de usar, hacen que las soluciones de seguridad recomendadas
para entornos empresariales, como por ejemplo WEP, WPA, IEEE 802.11i o WPA2 tengan difcil
aplicacin en entornos pblicos.
La seguridad de una red empresarial no significa tener un firewall en una caja o tener un antivirus,
tiene mucho qu ver con el diseo de la estructura de la red y la manera de operacin de la empresa y
su manera de hacer negocios.
4.6 PREGUNTAS Y TIPS
Qu sucede cuando un switch recibe una trama con direccin MAC destino broadcast?
La reenva por todos sus puertos
En un dominio de colisin, todo el trfico que envan o reciben las estaciones puede ser
escuchado por las dems estaciones. Verdadero
Cmo hace el switch para aprender la ubicacin de los hosts? Cada vez que recibe una
trama, lee su direccin origen y la asocia al puerto
Cul es el mtodo de conmutacin ms confiable? Por almacenamiento y reenvo
Cul es el objetivo del protocolo STP Spanning Tree Protocol? Definir una topologa de
rbol para evitar los bucles
Podra implementar un servicio de AAA donde utilice Kerberos para realizar
autenticacin y TACACS+ para autorizacin y auditora? Si es correcto
Qu es una VLAN? Una agrupacin lgica de dispositivos o estaciones independiente de su
ubicacin fsica
Cmo se transmiten las tramas en los enlaces de VLAN Trunking? Se les agrega una
"etiqueta" indicando a que VLAN corresponden
Cmo se interconectan las diferentes VLANs? Mediante un dispositivo de capa 3
Para qu se puede utilizar el filtrado de trfico? Para decidir qu tipo de paquetes pasan y
cules no
Cmo se le llaman en el IOS de Cisco al conjunto de reglas que determinan si un
paquete est permitido o denegado? Listas de control de acceso
En qu sentido analiza el conjunto de reglas de una ACL el IOS de Cisco? En forma
secuencial de la primera a la ltima
Qu sucede con un paquete que al ser comparado con las sentencias de una ACL no
concuerda con ninguna? Se deniega
Qu significa AAA? Authentication - Authorization Accounting
En un sistema con Token Cards, el usuario de dnde obtiene su contrasea de nica
vez? De la Token Card y su cdigo
Qu significan las siglas NAS? Network Access Server
Cmo enva las contraseas PAP para autenticar el establecimiento del enlace? Enva la
contrasea en texto claro sin cifrar
Cmo enva las contraseas CHAP para autenticar el establecimiento del enlace?
Calcula un hash de la contrasea y enva ese hash
Cul es el objetivo de IEEE 802.1x? Define la forma en que se debe realizar la
autenticacin y autorizacin de usuarios que acceden a una red LAN
Qu mejoras a WEP se incluyen en el nuevo estndar 802.11i? Cambiar RC4 por AES, El
agregado de TKIP
Qu sistema de control de acceso le permite al propietario de un recurso establecer el
permiso de acceso a un recurso? El propietario de un recurso es responsable por los
privilegios de acceso mediante DAC (Discretionary Access Control)
Qu algoritmo de encriptacin recomienda IEEE 802.11i? AES
CAPTULO 5:
Cmo definira un ataque y que consecuencias podra tener? Un ataque ocurre cuando una
persona intenta acceder, modificar o daar un sistema o entorno. Puede realizar una interceptacin,
modificacin, interrupcin o falsificacin de los datos.
Cmo aprenden las direcciones MAC los switches? A medida que reciben trfico de las
estaciones. Cada vez una estacin enva una trama, el switch lee la direccin MAC origen y la
relaciona al puerto desde donde la recibi. De esta forma, va formando la tabla que utiliza para
seleccionar hacia que puerto reenviar una trama. Cuando recibe una trama con una direccin MAC
destino que an no conoce el switch reenva la trama hacia todos los puertos.
Cmo se realiza la asignacin dinmica de direcciones IP? Se puede realizar mediante DHCP,
este permite que el host reciba toda la informacin que pueda necesitar para su configuracin de red
en un solo mensaje, utiliza un mecanismo de direcciones IP en forma dinmica.
El servidor DHCP mantiene un conjunto de direcciones IP y a medida que los clientes le solicitan
direcciones se las asigna por un perodo de tiempo determinado.
DHCP est implementado segn el modelo cliente-servidor, es decir, debemos tener un servidor
DHCP configurado en nuestra red local. Actualmente es el protocolo de configuracin dinmica ms
difundido y de uso generalizado.
5.1.1 Introduccin
Con la expansin de redes actuales, el incremento de la velocidad en los accesos y en el uso de los
servicios de networking, los ataques encuentran un escenario cada vez ms amplio y accesible a
travs de las redes. La amenaza de los ataques a redes, servidores, y estaciones de trabajo
actualmente pueden provenir de diversos sitios y se deben aplicar, mantener y monitorear todas las
medidas necesarias para mantenerse seguros de un ataque.
Mantener la seguridad, hoy por hoy consiste en participar de una batalla diaria entre la gente que
desea atacar a los sistemas y la gente que desarrolla productos y servicios para ayudar a protegerlos.
Piense que su red es, entonces, el campo de batalla.
Las redes de ordenadores se encuentran expuestas a ataques informticos con tanta frecuencia que
es necesario imponer una gran cantidad de requisitos de seguridad para la proteccin de sus
recursos. Aunque las deciencias de estos sistemas se pueden comprobar mediante herramientas
convencionales, no siempre son corregidas. En general, estas debilidades pueden provocar un
agujero en la seguridad de la red y facilitar entradas ilegales en el sistema.
La mayora de las organizaciones disponen actualmente de mecanismos de prevencin y de
mecanismos de proteccin de los datos integrados en sus redes. Sin embargo, aunque estos
mecanismos se deben considerar imprescindibles, hay que estudiar como continuar aumentando la
seguridad asumida por la organizacin.
As, un nivel de seguridad nicamente perimetral (basado tan solo en la integracin en la red de
sistemas cortafuegos y otros mecanismos de prevencin) no debera ser suciente. Debemos pensar
que no todos los accesos a la red pasan por el cortafuegos, y que no todas las amenazas son
originadas en la zona externa del cortafuegos. Por otra parte, los sistemas cortafuegos, como el resto
de elementos de la red, pueden ser objeto de ataques e intrusiones.
Una analoga que ayuda a entender la necesidad de incorporar estos elementos podra ser la
comparacin entre la seguridad de una red informtica y la seguridad de un edicio: las puertas de
entrada ejercen un primer nivel de control de acceso, pero normalmente no nos quedamos aqu;
instalaremos detectores de movimiento o cmaras de vigilancia en puntos claves del edicio para
detectar la existencia de personas no autorizadas, o que hacen un mal uso de los recursos, poniendo
en peligro la seguridad. Adems, existirn vigilantes de seguridad, libros de registro en los que se
apuntar a todo el personal que accede a un determinado departamento que consideramos crtico,
etc. Toda esta informacin se procesa desde una ocina de control de seguridad donde se supervisa
el registro de las cmaras y se llevan los libros de registro.
Todos estos elementos, proyectados en el mundo digital, conguran lo que se conoce en el mbito de
la seguridad de redes informticas como mecanismos de deteccin.
5.1.2 Qu es un ataque?
Un ataque ocurre cuando una persona o un grupo de personas intenta acceder, modificar o daar un
sistema o entorno. Estos ataques pueden ser simples y no estar relacionados o pueden ser ms
complejos y ejecutados en forma organizada.
Un ataque ocurre de diferentes formas y por distintas razones. Estos ataques generalmente intentan
lograr algunos de estos objetivos:
Un ataque de acceso: es un ataque donde alguien quiere acceder a sus recursos. Ataca la
privacidad.
Un ataque de modificacin: es un ataque de alguien que quiere modificar los datos de su
sistema. Ataca la integridad.
Un ataque de denegacin de servicio: Es un ataque de alguien que quiere interrumpir algn
servicio de networking. Ataca la disponibilidad.
Un ataque de fabricacin: consiste en falsificar la informacin. Ataca la autenticidad.
5.1.2 Motivaciones
Las personas que ataquen los sistemas se ven motivados por diferentes razones:
Por diversin o desafo: Un usuario malicioso podra intentar atacar cualquier sitio slo con el
fin de divertirse o probar que puede hacerlo.
Por venganza: Un empleado descontento o algn empleado de la competencia podra atacar
sus sistemas para tomar venganza de alguna situacin que lo haya desfavorecido.
Por terrorismo: Alguna organizacin que tenga fines polticos y/o religiosos puede comprometer
la informacin o la estabilidad de su sistema para imponer su ideologa.
Rdito econmico: Algn usuario malicioso podra comprometer el funcionamiento de sus
sistemas o alterar la informacin de los mismos con el fin de verse favorecido
econmicamente.
Ventaja competitiva: Una empresa de la competencia podra acceder a sus sistemas para
recabar informacin de ndole estratgico empresarial y ubicarse en una mejor posicin
competitiva.
Poder: Algunas personas podran intentar acceder a la informacin sensible que reside en sus
sistemas slo para tener el conocimiento de esa informacin.
En esta seccin estudiaremos las principales causas que contribuyen a la inseguridad en las redes.
Los problemas de inseguridad actuales no se encuentran favorecidos nicamente por usuarios
maliciosos, sino que muchas veces se encuentran ayudados por desinteligencias propias del
administrador de la red, por malas implementaciones de las aplicaciones, desconocimiento,
negligencia, etc.
Para esta seccin, hemos catalogado los principales factores que pueden generar problemas de
seguridad en las siguientes categoras:
Falta de polticas y/o normativas
Protocolos
Ambiente multilenguaje y multiproveedor
Dispersin geogrfica
Falta de actualizacin del software de base
Uso incorrecto de las aplicaciones
Errores en los programas
Errores de configuracin
Passwords
Falta de supervisin y/o control
5.2.2 Protocolos
An cuando mantengamos nuestro software libre de problemas de implementacin, nuestras
configuraciones totalmente libres de errores, y todos los usuarios protegidos con contraseas de alta
complejidad, podemos ser vulnerables. Esto es debido a que muchas vulnerabilidades se encuentran
asociadas a las definiciones de los protocolos.
Es necesario diferenciar entre la definicin de un protocolo y su implementacin. La definicin de un
protocolo generalmente es creada por entidades generadoras de estndares, como la IETF (Internet
Engineering Task Force) que define protocolos a travs de los documentos RFC. Las
implementaciones son creadas por las entidades desarrolladoras de software. As es como tenemos,
por ejemplo, diferentes implementaciones de TCP, existe una implementacin de Microsoft, de Solaris,
Linux, SCO, IBM, Cisco, etc. Muchas veces, las diferentes implementaciones no se comportan de la
misma manera, a pesar de ser conformes a la definicin del protocolo. Si la definicin del protocolo o
la implementacin tienen un problema de seguridad, nuestra red ser vulnerable.
Cuando se crearon los protocolos que hoy sirven de base para Internet, tuvieron como objetivo la alta
disponibilidad, y no la seguridad. As es como podemos encontrar mltiples problemas de seguridad
en su definicin. A medida que se han encontrado las vulnerabilidades, algunos protocolos han
evolucionado en nuevas versiones, se han creado protocolos complementarios para segurizarlos o,
sencillamente, se difundi el problema pero no se modific el protocolo.
Un ejemplo claro de este tipo de problemas es el protocolo ms difundido globalmente: IP. El protocolo
IP transporta los datos encapsulados en texto plano, con lo que cualquier usuario que escuche la red,
podr interpretar la informacin. Tampoco realiza ningn control sobre el emisor, as es como
cualquier usuario puede cambiar su direccin IP y hacerse pasar por otro usuario (esto se denomina
"spoofing"). Actualmente se encuentra en investigacin la nueva versin del protocolo IP: IP versin 6,
que define las herramientas necesarias para evitar estos problemas. Dado que IPv6 an no se
encuentra implementado mundialmente, se ha creado un protocolo complementario a la versin actual
de IP, que sirve de solucin temporal a los problemas de seguridad de IP: IPSec.
5.2.3 Ambiente multilenguaje y multiproveedor
Actualmente existen mltiples proveedores de mltiples servicios. Esto trae importantes beneficios al
momento de realizar una compra de una plataforma o un sistema de base, dado que podemos
seleccionar lo que se ajuste mejor a nuestras necesidades. El problema que esto trae aparejado es
que se necesitarn diferentes herramientas de control y/o administracin y personal especializado en
cada una de las plataformas en uso dentro de la organizacin. Cuanta mayor sea la diversidad de
plataformas, mayor ser la cantidad de problemas de seguridad y mayor ser el riesgo al que
estaremos expuesto. Las empresas desarrolladoras de software y hardware van evolucionando en el
tiempo y son muy dinmicas. Se fusionan con otras empresas, son absorbidas y eliminadas del
mercado, se dividen, etc. Debido a esto, es imposible mantenerse siempre bajo la misma plataforma.
5.2.8 Passwords
El problema de seguridad ms comn no proviene de fallos en implementaciones o problemas de
seguridad de los protocolos utilizados, sino que proviene de contraseas inseguras o fciles de
adivinar. Este inconveniente es muy fcil de solucionar (slo es necesario cambiar la contrasea),
pero muy difcil de concientizar a los usuarios de la red a utilizar contraseas complejas, variantes en
el tiempo. Es necesario hacer responsable al usuario de las acciones que se realicen con su nombre
de usuario y contrasea. De esta forma, el usuario tendr ms cuidado al momento de distribuir sus
datos.
Un usuario malicioso que quiera conocer la contrasea de otro usuario, podra realizar repetidos
intentos hasta obtener el ingreso. Por lo que tambin es necesario realizar un control de la cantidad
de intentos fallidos de ingreso. En general se permiten slo tres intentos fallidos, luego de eso, se
puede deshabilitar la cuenta por un tiempo determinado o hasta que el administrador la vuelva a
habilitar.
La mayora de los sistemas operativos de red permiten definir una poltica de contraseas. En general,
se puede definir la longitud mxima y mnima, el perodo mximo en que estar activa (pasado ese
perodo deber ser cambiada), el perodo mnimo en que estar activa (el tiempo que debe transcurrir
antes que un usuario est habilitado para cambiar su contrasea), un control de complejidad (para
evitar contraseas triviales), un control de historial (para evitar que se repitan las contraseas), etc.
En esta seccin estudiaremos cules son los pasos que realiza un intruso para atacar un sistema. Es
importante conocer la forma en que proceden los intrusos para conocer la forma de detenerlos. En
general, los intrusos realizan las mismas actividades cuando desean ingresar o atacar a un sistema,
por lo que podemos generalizar los pasos en:
Reconocimiento - Investigacin
Escaneo
Penetracin Obtencin de acceso
Mantenimiento de acceso Extensin de la influencia
Borrado u ocultamiento de huellas
Para cada uno de estos pasos, estudiaremos el comportamiento del intruso y las tcnicas que
podemos utilizar para detectarlo y detenerlo.
La fase de recogida de informacin podra empezar con la utilizacin de todas aquellas aplicaciones
de administracin que permitan la obtencin de informacin de un sistema como, por ejemplo, ping,
traceroute, whois, nger, rusers, nslookup, rcpinfo, telnet, dig, etc.
La simple ejecucin del comando ping contra la direccin IP asociada a un nombre de dominio podra
ofrecer al atacante informacin de gran utilidad. Para empezar, esta informacin le permitir
determinar la existencia de uno o ms equipos conectados a la red de este dominio.
Una vez descubierta la existencia de, como mnimo, uno de los equipos del dominio, el atacante
podra obtener informacin relacionada con la topologa o la distribucin fsica y lgica de la red,
mediante alguna aplicacin de administracin como, por ejemplo, traceroute. Mucha de la informacin,
antes mencionada, como Domain Names, algunas direcciones IP, Pas, Ciudad, e informacin de
contacto los Crackers la obtienen buscando en las bases de datos de WHOIS. Las bases de datos
WHOIS mantienen detalles de direcciones IP registradas en 5 regiones del Mundo. Estas bases de
datos son manejadas por 5 organizaciones llamadas Regional Internet Registry (RIR).
Network Mapping Tools: Herramientas automticas relacionadas con el descubrimiento de host y/o
sistemas. Como resultado de la ejecucin de este tipo de herramientas, el atacante a menudo es
capaz de construir un mapa de la red objetivo. Este tipo de herramientas renen las caractersticas
necesarias como para consultar que hosts se encuentran disponibles, que servicios en ellos se
ejecutan y mucha informacin adicional, de suma importancia para el atacante. (Ej.: Cheops-NG).
Port scanners: Un port scanner o escaner de puertos, es una herramienta diseada especficamente
para indagar un host, acerca de sus puertos abiertos. Como tal, esta herramienta suele ser de suma
utilidad para el atacante, a la hora de identificar los puertos abiertos del host objetivo, as como
tambin los servicios que en l se encuentran corriendo. (Ej.: Nmap)
Vulnerability Scanners: Los scanners de vulnerabilidades, son herramientas diseadas para buscar
e identificar vulnerabilidades y/o debilidades en una aplicacin, host o red. Estos se componen
bsicamente de un conjunto de herramientas de descubrimiento, y escaneo, ms una base de datos
de vulnerabilidades conocidas, contra las cuales se intenta hacer corresponder cada uno de los
hallazgos. (Ej.: Nessus). Al trmino de esta fase, el atacante debera haber sido capaz de obtener el
conjunto de informacin necesaria, a efectos de decidir el o los puntos especficos que intentar
vulnerar. Dicha informacin incluye pero no se limita a: Sistemas Telefnicos a la espera de
comunicaciones entrantes, puertos de servicios abiertos-cerrados-filtrados, posibles vulnerabilidades
relacionadas con los servicios ofrecidos por el sistema, red o host objetivo. Algunos de los tipos de
ataque mediante scanners son: Escaneo de conexin TCPconnect, Escaneo TCP reverse ident, FTP
bounce attack, Escaneo UDP ICMP port unreachable, Fingerprinting, Escaneo TCP SYN, Escaneo
TCP FIN, Stealth Port Scanning, Escaneo de fragmentacin, Eavesdropping-Packet Sniffing,
Snooping, Downloading.
Contramedidas: Entre las contramedidas bsicas relacionadas con la mitigacin del riesgo en esta
fase, se puede mencionar el filtrado de puertos, la eliminacin en el sistema de los servicios
innecesarios, la implementacin de sistemas de deteccin y prevencin de intrusos, etc.
Contramedidas: Las contra medidas para estas tcnicas ya las hemos estudiado, pero no est de
ms repasarlas:
Actualizacin constante del software instalado
Definicin de polticas de contraseas
Ejecucin peridica de anlisis de vulnerabilidades y auditoria de cdigo
Ejecucin de procedimientos de hardening
Filtrado de paquetes
Implementacin de HIDSs+, NIDSs e IPSs
Procedimientos de revisin peridica de logs
Como contra medida general, siempre tenemos que tener en cuenta al filtrado de paquetes y la
revisin peridica de los archivos de logs para conocer los eventos que han sucedido en el sistema.
Escalada de privilegios: Este tipo de ataque, puede ser el siguiente paso de un atacante luego de
haber obtenido acceso a un sistema, ya que permite obtener permisos como Administrador al
equipo, de ese modo no se tienen derechos restringidos.
Un atacante puede causar la mayora del dao consiguiendo privilegios administrativos en una red.
Hay varias utilidades que un atacante puede utilizar para ganar privilegio administrativo. Por ejemplo,
la utilidad Getadmin.exe en sistemas Microsoft, es usada para otorgar a usuarios comunes privilegios
administrativos agregando a estos usuarios al grupo de administradores. Esta utilidad funciona con
todas las cuentas excepto con la cuenta de Guest.
Es importante observar que cualquier cuenta se haya concedido el Debug Programs right. Siempre
se podr ejecutar satisfactoriamente Getadmin.exe, incluso despus de la aplicacin del hotfix. Esto
es porque el Debug Programs right habilita al usuario a adjuntar cualquier proceso. El Debug
Programs right es inicialmente otorgado a Administradores y debe ser utilizado nicamente con
usuarios altamente confiables. Tambin, si Getadmin.exe se ejecuta con una cuenta que sea ya un
miembro del grupo local de los administradores, continua funcionando (incluso luego de aplicar el
hotfix).
Como ejemplo, por defecto Windows XP instala el software de ayuda y accesibilidad que se activa
pulsando la tecla SHIFT 5 veces seguida. Si lo haces vers que aparece una ventana que te permite
configurar la aplicacin. El fichero que se ejecuta es sethc.exe ubicado en C:\WINDOWS\SYSTEM32.
El ataque consiste en sustituir sethc.exe por cmd.exe (esto se puede hacer con un disco de arranque
ntfsdos o con un LIVE CD de Linux como Knoppix) y as cuando pulsemos la tecla SHIFT 5 veces
seguidas se nos abrir la shell de comandos, desde la cual podemos hacer TODO lo que queramos
con el equipo. La cosa est en pulsar 5 veces la tecla SHIFT antes de iniciar sesin, y se nos abrir la
shell con permisos de ADMINISTRADOR.
Contramedidas: Si no se pudo evitar el ingreso, es necesario detectarlo para evitar futuros ingresos.
Para lograr detectarlo, es necesario evitar el borrado de los archivos de log. Para evitar que un intruso
elimine los archivos de log, se puede optar por mantenerlos guardados fuera del lugar donde se
generan. Hemos visto anteriormente cmo podemos armar una arquitectura donde todos los archivos
de auditora sean guardados en un servidor de log. De esta forma, si se eliminan los logs del
dispositivo atacado, quedar la copia en el servidor de logs.
Es complicado evitar la copia de archivos, pero puede detectarse la modificacin de ellos. Existen
herramientas que crean un hash de los archivos de sistema, y avisan al administrador en caso de
detectar una modificacin. Un ejemplo de este tipo de herramientas es Tripwire.
Contramedidas: Una vez que el atacante ha logrado vulnerar la seguridad de nuestro sistema y ha
sido capaz de acceder el host objetivo, lo mejor es considerar la posibilidad de instalar nuevamente el
sistema a partir de las copias de oro del software de base, los aplicativos que sobre l se encuentran
corriendo y los datos almacenados como parte de nuestra poltica de resguardo. No obstante se debe
notar que la implementacin de sistemas centralizados de logging, procesos adecuados de hardening
y sistemas de integridad de archivos, deberan ser considerados siempre que sea posible a fin de
detectar un ataque, minimizar el impacto del mismo o al menos colaborar a su eventual investigacin.
5.4.1 Interceptacin
En un entorno de seguridad informtica, nos referimos a interceptacin cuando un usuario no
autorizado obtiene acceso a la informacin. Estos tipos de ataques resultan complejos de detectar,
sobre todo si es pasivo y el atacante no deja huellas.
En las siguientes secciones se analizarn, entre otros, los siguientes ataques de interceptacin y sus
contramedidas:
Eavesdropping
STP Manipulation
CAM table overflow
5.4.2 Modificacin
En un ataque por modificacin, un usuario malicioso generalmente obtiene acceso no autorizado a un
recurso con los privilegios necesarios para cambiar el entorno y lo hace para su beneficio. Modificar
un flujo de datos en una transmisin de red o archivos en un servidor pueden ser ejemplos de estos
ataques. En estos casos, la deteccin puede ser ms sencilla que en la interceptacin porque existe
informacin que se modifica. De todas formas, la deteccin de modificacin requiere un estudio
exhaustivo por parte de un analista en seguridad.
5.4.3 Interrupcin
La interrupcin consiste en daar o dejar sin funcionamiento un sistema completo o parte de ste.
Para un atacante, puede ser un desafo, una venganza o la forma de facilitarle el acceso a algn otro
recurso. Si bien la deteccin es inmediata, los daos ocasionados por la suspensin del servicio y el
tiempo de recuperacin pueden ser muy importantes y se deben tomar la mayor cantidad de recaudos
posibles para evitar sufrir un ataque de este tipo.
5.4.4 Falsificacin
La falsificacin puede aplicarse a la creacin de nuevos objetos dentro del sistema, o simplemente
participar en una conversacin simulando ser otro interlocutor. Un ejemplo muy comn es un usuario
malicioso, quien altera su identidad simulando ser un host determinado con el fin de obtener algn
beneficio propio. Existen diferentes tcnicas de detectar los intentos de falsificacin y se revisarn
posteriormente en las siguientes secciones.
5.4.5 Reconocimiento
El reconocimiento es el descubrimiento no autorizado de la topologa de la red, sus sistemas, servicios
o vulnerabilidades. Este proceso (que consiste en obtener informacin) en la mayora de los casos
precede a un ataque por denegacin de servicios (DoS). Es importante notar que los atacantes se
aprovechan de las debilidades presentes en la red y de la publicacin de informacin que se haga. El
reconocimiento es algo similar a un ladrn oportunista, que constantemente rastrea el panorama
buscando alguna debilidad (como una puerta abierta, o un descuido) para aprovecharse. Como se
mencion anteriormente, el reconocimiento es el descubrimiento no autorizado de la topologa de la
red, sus sistemas, servicios o vulnerabilidades
Este proceso consiste generalmente en estos pasos:
El usuario malicioso (intruso) tpicamente realiza barridas de ping a la red destino para
determinar qu direcciones IP estn siendo utilizadas. Las barridas de ping consisten en enviar
paquetes ICMP echos a cada uno de los nmeros IP que forman la red de la vctima.
Una vez que el atacante puede determinar qu hosts son utilizados, se utiliza un localizador de
puertos disponibles (port scanner) para determinar qu servicios estn activos en cada una de
las direcciones IP.
Cuando se obtuvo la lista de puertos disponibles en cada IP, resta conectarse a las
aplicaciones de cada uno de los puertos donde se encontr algn servicio. As se podr
determinar el tipo y versin de cada uno, como tambin el tipo y versin del sistema operativo
del host.
Basado en esta informacin, el intruso puede determinar si existe alguna posible vulnerabilidad que
pueda explotar. Para realizar cada paso del reconocimiento de una red, existen numerosas
herramientas o alternativas. Algunas herramientas ya integran toda la secuencia de pasos: detectan
los hosts alcanzables en una red, y por cada uno de estos realizan una bsqueda de sus servicios y
vulnerabilidades. Utilizando, por ejemplo, las herramientas nslookup y whois, un atacante puede
determinar tambin el rango de direcciones IP asignados a una corporacin o entidad.
Sondeo ICMP: Un sondeo ICMP revelara en redes potencialmente dbiles y poco protegidas,
informacin sobre sus equipos. Existen varios tipos de mensajes ICMP, pero a nosotros nos interesan
especialmente cuatro de ellos, que son los que resultan verdaderamente tiles para rastrear una red.
Echo request: Tambin conocidos como paquetes ping. Mediante Nmap, podemos realizar
barridos ping para identificar de una manera sencilla los equipos de la red.
Timestamp request: Son solicitudes de tiempo y se utilizan para obtener el tiempo que tarda
nuestro equipo en obtener una respuesta del equipo victima.
Information request: Este mensaje se ide en un principio para localizar sistemas
autoconfigurables en el momento de arranque, consiguiendo de esta manera descubrir
direcciones de red.
Subnet address mask request: Estos mensajes revelan informacin sobre la mascara de
subred utilizada por el equipo analizado. Esto servir al atacante para realizar el mapa de la
estructura de la red y sus subredes.
Barrido ICMP: Permite realizar barridos ICMP con el fin de localizar maquinas internas. Un barrido
ICMP consiste en enviar mensajes de tipo 8 "echo request" a todas las direcciones IP internas de la
red. Con Nmap se realizara con el comando:
Con el argumento -sP, estamos indicando a Nmap que realice un barrido ping en la red. Un
administrador competente, habr filtrado el trfico ICMP en los Firewalls y en el router, por ello esta
tcnica quedara obsoleta y habra que condimentarla con algo ms. Podramos aadir al comando el
argumento "-PI", que enviar paquetes de sondeo TCP ACK y SYN al puerto 80 de cada equipo:
Como se apreciar, hemos obtenido ms informacin con este comando que con el anterior.
Rastreo Vainilla connect(): TCP es un protocolo de control en el que por medio de banderas (flags)
se controla la conexin realizada, indicando cuando se inicia, cuando se establece, cuando finaliza...
En el protocolo TCP, para indicar que se va a establecer una conexin, se enva un paquete con flag
SYN de sincronizacin de los sequence numbers (nmeros de secuencia) a un puerto determinado, la
maquina receptora, si tiene ese puerta abierto, enviar un paquete con flag SYN para sincronizar los
nmeros de secuencia y un paquete con flag ACK para afirmar que la conexin ha sido realizada,
finalmente, el primer equipo (cliente) enviar un paquete con flag ACK para asegurar que la conexin
se ha establecido tambin por parte del cliente. Sin embargo, si el cliente enva un paquete con flag
SYN a un puerto que se encuentra cerrado o filtrado, el servidor responder con un paquete con flag
RST.
Rastreo de flag SYN medio abierto: para sincronizar una conexin entre dos equipos utilizando el
protocolo TCP/IP, el cliente manda al servidor un SYN, el servidor responde con un SYN/ACK en el
caso de que el puerto est abierto y con un RST si est cerrado. En el caso de que est abierto y se
enve el SYN/ACK, el cliente concluye con un ACK. La tcnica de rastreo de flag SYN medio abierto
se distingue de la Vainilla connect() en que esta ltima, si el puerto est abierto, el cliente responde
con un flag ACK. En SYN medio abierto, en caso de que se encuentre abierto el puerto, en lugar de
responder con un ACK se responde con un RST, lo que provoca que se reinicie bruscamente la
conexin. Estos dos mtodos son fcilmente detectados por los IDS, as que no son aconsejables en
caso de querer realizar un anlisis sigiloso. Para realizar estos rastreos podemos utilizar Nmap con el
argumento -sS: $ nmap -sS 192.168.2.156
En Nmap se puede ajustar la poltica de tiempos con el argumento "-T". Con el argumento "-T sneaky"
se puede llegar a burlar la seguridad de los Firewalls. Esto consiste en enviar muy rpidamente
paquetes SYN a diferentes puertos, lo que provocar un desbordamiento de SYN (un tipo de DoS).
Mtodos de rastreo sigiloso: Estos tipos de mtodos, aprovechan la estructura de la propia pila
TCP/IP para escanear sin ser detectados (en algunas ocasiones, ya que depender del IDS y
sobretodo del SO). Cuando en los mtodos anteriores envibamos paquetes SYN a un host y este nos
responda con el conocido SYN/ACK, daba a conocer que el puerto en cuestin estaba abierto, pero
cuando responda con un RST, daba a entender que el puerto estaba cerrado o filtrado. Muchos IDS
son capaces de detectar paquetes con el indicador SYN recibidos y lo que harn ser avisar al
administrador de sistema dicindole: "Estn evalundonos!", a lo que el administrador del sistema
responder tomando mayores medidas de seguridad.
Rastreo TCP con indicador inverso: Este rastreo va a consistir en enviar sondeos con indicadores
de tipo FIN, URG, PUSH y NULL. Existen tres tipos de sondeos:
Sondeo FIN = Consistir en enviar paquetes con el indicador FIN.
Sondeo XMAS = Consistir en enviar paquetes con los indicadores FIN, URG y PUSH.
Sondeo NULL = Consistir en enviar paquetes con el indicador NULL.
Rastreo con indicador ACK: Otra tcnica sigilosa es la de enviar paquetes con indicador ACK y
luego analizar la informacin de los paquetes RST recibidos. Esta tcnica explota vulnerabilidades de
la pila TCP/IP de sistemas BSD. Existen dos modos de hacerlo:
Anlisis del TTL: El TTL es el tiempo de vida de los paquetes recibidos (Time To Live). Para
realizar este ataque, hay que enviar miles de paquetes con indicador ACK a diferentes puertos
del equipo vctima. Despus habr que analizar los resultados. Nmap nos permite hacer esto
con el argumento "sA". A la hora de analizar las respuestas habr que fijarse en el TTL del
paquete.
Anlisis del campo WINDOW: Para realizar este ataque se llevar a cabo un procedimiento
similar al anterior, enviando muchos paquetes ACK y analizando el campo WINDOW del
paquete respuesta. Por norma general, los puertos cerrados tienen un valor WINDOW de 0.
Para realizarlo podemos utilizar Nmap con el argumento -sW.
Rastreo de rebote FTP (FTP bounce): Muchos servidores web tienen su propio servidor FTP y en
muchas redes podemos localizar ordenadores que hacen de servidores de archivos y utilizan el
protocolo FTP para desarrollar dicha misin. Es posible que tengamos localizado un servidor FTP
desactualizado que permita realizar este tipo de ataques. Existe une defecto en la forma en la que los
servidores FTP gestionan las conexiones mediante el comando PORT, que enva datos a equipos y
puertos especificados por el usuario.
Esto es lo que sucede cuando se lleva a cabo este ataque:
1. El atacante conecta con el puerto del servidor FTP (por defecto el 21). Introduce el modo
pasivo, el servidor por tanto es forzado a enviar datos utilizando DTP al puerto especificado
por el atacante en un objetivo.
2. El atacante intenta conectar con un puerto especfico TCP del servidor objetivo mediante el
comando PORT.
3. Se crea una conexin con el equipo objetivo especificado por el comando PORT anterior,
mediante el comando LIST. Si se observa una repuesta 226, el puerto est abierto, si la
repuesta es 425, el puerto est cerrado o filtrado.
En realidad el argumento que realiza el escaneo FTP bounce es el "-b". El "-P0" sirve para especificar
a Nmap que no queremos que realice un ping.
5.4.7 Wardriving
Es un caso particular del ataque anterior (escuchas de red) donde individuos equipados con material
apropiado (dispositivo inalmbrico, antena, software de rastreo y unidad GPS) tratan de localizar en
un vehculo, moto, caminando, puntos de acceso inalmbricos.
No emitir BEACON FRAMES o emitirlos sin el ESSID permite que slo aquellos usuarios que
conozcan el ESSID de la red WLAN se puedan conectar a ella, ya que obligan a llevar a cabo el
descubrimiento de red mediante el envo de tramas PROVE REQUEST con un determinado ESSID
por parte del usuario. Este tipo de redes se conocen como redes WLAN cerradas. Sin embargo, es
posible descubrir el ESSID de una red an en estas circunstancias con dispositivos operando en modo
monitor y capturando tramas PROVE REQUEST de otros usuarios de la red. El envo de este tipo de
tramas se puede forzar mediante un ataque de denegacin de servicio en el que desasociamos a un
usuario vlido de la red para que vuelva a intentar conectar se a la misma.
5.4.9 Eavesdropping
Eavesdropping es el proceso de escuchar una conversacin o parte de sta. En eavesdropping, la
persona que "escucha" o tiene acceso a los datos de esta conversacin, lo hace slo porque ninguna
de las partes que integran la conversacin ha tenido en cuenta que sus datos pueden ser ledos . Es
decir, la posibilidad de tomar e interpretar los datos es por un descuido de las partes.
Como vimos anteriormente, la interceptacin o eavesdropping, es un proceso mediante el cual un
agente capta informacin (en claro o cifrada) que no le iba dirigida. Esta captacin puede realizarse
por muchsimos medios (por ejemplo, capturando las radiaciones electromagnticas o simplemente
interpretando las seales elctricas de los cables) . Aunque no es un ataque que represente un dao o
una baja en un servicio, lo ms peligroso del eavesdropping es que resulta muy difcil de detectar
mientras que se produce, de forma que un atacante puede capturar informacin privilegiada sin que
nadie se d cuenta. Un medio de interceptacin bastante habitual es el sniffing. Este mtodo consiste
en capturar tramas que circulan por la red mediante un software que corre en una mquina conectada
al segmento de red o bien mediante un dispositivo que se engancha directamente el cableado. Estos
dispositivos, denominados sniffers de alta impedancia, se conectan en paralelo con el cable de forma
que la impedancia total del cable y el aparato es similar a la del cable solo, lo que hace difcil su
deteccin.
Otro punto a tener en cuenta cuando estudiamos eavesdropping es la imposibilidad de establecer
lmites concretos en redes wireless. En este tipo de infraestructura, realizar eavesdropping es mucho
ms sencillo ya que no se requiere ningn acceso fsico al medio, el medio donde se transportan los
datos est disponible siempre. Cualquier usuario malicioso con una placa de red compatible con la
tecnologa wireless que se utilice, tiene la posibilidad de "ver" las tramas que circulan desde los
Access Points y las placas, si es que no se han implementado las medidas de seguridad adecuadas.
Contramedidas: Ya que los ataques de eavesdropping son, por lo general, difciles de detectar, es
importante considerar algunos puntos claves para evitar o facilitar que se produzca en una red.
Algunos de estos puntos son:
No permitir la existencia de segmentos de red de fcil acceso ya que representan el sitio
indicado para que un atacante se conecte y capture trfico. No obstante esto puede resultar
difcil en redes ya instaladas pero puede ser tenido en cuenta para instalaciones nuevas.
Utilizar cifrado para realizar las comunicaciones o el almacenamiento de la informacin. Para
cifrar la informacin se puede utilizar un software o dispositivos de cifrado (utilizar dispositivos
involucran una alternativa ms costosa pero ms eficiente que el uso de software).
No permitir tomas de red libres habilitadas, donde un usuario malicioso puede conectarse para
capturar trfico. Es recomendable analizar regularmente la red para verificar que todas las
mquinas activas estn autorizadas.
Realizar autenticacin a nivel de la capa de enlace. Por ejemplo, en wireless la utilizacin de
802.11i permite disponer de una capa ms de seguridad en el acceso a la red
Test DNS: En este mtodo, la herramienta de deteccin en s misma est en modo promiscuo.
Creamos numerosas conexiones TCP/IP falsas en nuestro segmento de red, esperando un sniffer
pobremente escrito para atrapar esas conexiones y resolver la direccin IP de los inexistentes host.
Algunos sniffers realizan bsquedas inversas DNS en los paquetes que capturan. Cuando se realiza
una bsqueda inversa DNS, una utilidad de deteccin de sniffers huele la peticin de las operaciones
de bsqueda para ver si el objetivo es aquel que realiza la peticin del host inexistente.
Test de ping: Este mtodo confa en un problema en el ncleo de la mquina receptora. Podemos
construir una peticin tipo "ICMP echo" con la direccin IP de la mquina sospechosa de hospedar un
sniffer, pero con una direccin MAC deliberadamente errnea. Enviamos un un paquete "ICMP echo"
al objetivo con la direccin IP correcta, pero con una direccin de hardware de destino distinta. La
mayora de los sistemas desatendern este paquete ya que su direccin MAC es incorrecta. Pero en
algunos sistemas Linux, NetBSD y NT, puesto que el NIC est en modo promiscuo, el sniffer analizar
este paquete de la red como paquete legtimo y responder por consiguiente. Si el blanco en cuestin
responde a nuestra peticin, sabremos que est en modo promiscuo. Un atacante avanzado puede
poner al da sus sniffers para filtrar tales paquetes para que parezca que el NIC no hubiera estado en
modo promiscuo.
Test ICMP: Ping de Latencia. En ste mtodo, hacemos ping al blanco y anotamos el Round Trip Time
(RTT, retardo de ida y vuelta o tiempo de latencia) Creamos centenares de falsas conexiones TCP en
nuestro segmento de red en un perodo de tiempo muy corto. Esperamos que el sniffer est
procesando estos paquetes a razn de que el tiempo de latencia incremente. Entonces hacemos ping
otra vez, y comparamos el RTT esta vez con el de la primera vez. Despus de una serie de tests y
medias, podemos concluir o no si un sniffer est realmente funcionando en el objetivo o no.
Test ARP: Podemos enviar una peticin ARP a nuestro objetivo con toda la informacin rpida
excepto con una direccin hardware de destino errnea. Una mquina que no est en modo
promscuo nunca ver este paquete, puesto que no era destinado a ellos, por lo tanto no contestar.
Si una mquina est en modo promiscuo, la peticin ARP sera considerada y el ncleo la procesara
y contestara. Por la mquina que contesta, sabremos que la mquina est en modo promiscuo.
Test Etherping: Enviamos un ping echo al host a testear con una IP de destino correcta y direccin
MAC falseada. Si el host responde, es que su interfaz est en modo promiscuo, es decir, existe un
sniffer a la escucha y activo.
5.5 ATAQUES DE ACCESO Y SUS CONTRAMEDIDAS
Un ataque por acceso consiste en que un atacante obtiene los privilegios necesarios para acceder a
dispositivos o recursos de red en forma ilcita. Generalmente para conseguir el acceso a un sistema
los mtodos ms utilizados son:
Explotar contraseas triviales: Aplicar fuerza bruta, diccionarios o herramientas de crack.
Explotar servicios mal configurados: Servicios como TFTP, FTP annimo y acceso remoto al
registro. Relaciones de confianza entre dominios. Servicios de archivos compartidos.
Explotar fallas de aplicaciones.
Acceso a aplicaciones fuera del dominio, desbordamientos de buffers: Examinar y explotar
fallas de protocolos.
Ingeniera social: Engaar a los usuarios simulando ser personal de seguridad con el fin de
obtener informacin. Buscar nombres de usuarios y contraseas anotadas en los lugares de
trabajo. Examinar los papeles arrojados a la basura para encontrar informacin.
El acceso a datos no autorizados puede resultar en una simple lectura de datos (en algunos casos es
tan fcil como encontrar carpetas compartidas en Windows, Unix o Macintosh con acceso pblico sin
contraseas). Tambin puede resultar en la modificacin, copia o eliminado de informacin.
El atacante enva una trama de disasociacin a la vctima para que busque un punto de acceso al que
conectarse. Posteriormente hace creer a la vctima que es el punto de acceso original, pero operando
en otro canal, obtiene de la vctima la informacin necesaria para conectarse a la red y se conecta al
punto de acceso original con la otra tarjeta, hacindose pasar por un usuario vlido.
Contramedidas: Para evitar los ataques de man-in-the-middle resulta fundamental poder asegurar
que los extremos de una comunicacin son quien dicen ser. Esto se puede lograr utilizando
autenticacin mediante una entidad certificante.
5.5.5 IP spoofing
En un ataque de falsificacin de IP (IP spoofing), el intruso cambia la direccin IP de los paquetes
transmitidos, falsificando la direccin IP origen para hacerse pasar por otro usuario. De esta forma, el
intruso asume la identidad de un usuario vlido y obtiene los privilegios de acceso de ese usuario.
Durante un ataque de IP spoofing, el atacante, desde una red externa, pretende hacerse pasar por un
usuario de confianza. El atacante podra utilizar una direccin IP dentro del rango de direcciones de la
red, o utilizar una direccin externa que es de confianza y tiene permitido el acceso a los recursos de
la red.
Normalmente, un ataque de IP spoofing se encuentra limitado a la insercin de datos o comandos
dentro de un flujo de datos existente de una aplicacin cliente-servidor, o una conversacin par a par.
El atacante, simplemente enva la informacin, pero no espera respuesta alguna, dado que el sistema
atacado, enviar la respuesta a la direccin IP origen, y no al atacante.
Para lograr una comunicacin bidireccional, el atacante debera cambiar las tablas de enrutamiento de
los dispositivos intermedios entre l y el objetivo, de forma de crear un camino de vuelta para los
paquetes con su direccin IP falsificada.
As como el eavesdropping, los ataques por IP spoofing no se encuentran limitados a atacantes
externos. Este ataque puede ser usado por usuarios internos de la red para lograr ciertos privilegios
asignados slo a unas direcciones IP.
Adems de esta tcnica, otra forma ms sencilla es la de redefinir la direccin fsica o MAC de una
interfaz inalmbrica por una direccin MAC vlida dentro del sistema atacado. Para ello, basta con
emplear un sniffer que permita capturar alguna MAC vlida en el sistema y posteriormente esperar a
que sta deje de transmitir en el sistema o emplear un ataque DoS contra ella para desconectarla de
la red y utilizar su direccin MAC. Esta prctica permite romper filtros basados en direcciones MAC.
Con cualquiera de estas tcnicas, el atacante ser capaz de recopilar informacin sensible como
contraseas, nmeros de cuenta, etc.
Contramedidas: Para evitar ataques por IP spoofing, se pueden crear filtros de paquetes especficos,
que no permitan el ingreso de paquetes con direccin IP origen de la red que quieren acceder. Para
evitar los ataques internos, la asignacin de privilegios debera realizarse en base a un nombre de
usuario u otro mtodo de autenticacin, y no a una direccin IP.
Contramedidas: Las siguientes tcnicas pueden ser utilizadas para prevenir ataques de DNS
rebinding:
DNS pinning - fijando una direccin IP al valor recibido en la primera respuesta DNS. Esta
tcnica puede bloquear algunos usos legtimos del DNS dinmico.
Bloqueando la resolucin de nombres externos en direcciones internas en los servidores de
nombres locales de la organizacin.
Los servidores pueden rechazar peticiones HTTP con una cabecera de Host irreconocible.
5.5.8 Pharming
Pharming es la explotacin de una vulnerabilidad en el software de los servidores DNS (Domain Name
System) o en el de los equipos de los propios usuarios, que permite a un atacante redirigir un nombre
de dominio (domain name) a otra mquina distinta. De esta forma, un usuario que introduzca un
determinado nombre de dominio que haya sido redirigido, acceder en su explorador de internet a la
pgina web que el atacante haya especificado para ese nombre de dominio.
La palabra Pharming deriva del trmino farm (granja en ingls) y est relacionada con el trmino
"phishing", utilizado para nombrar la tcnica de ingeniera social que, mediante suplantacin de
correos electrnicos o pginas web, intenta obtener informacin confidencial de los usuarios, desde
nmeros de tarjetas de crdito hasta contraseas.
El origen de la palabra se halla en que una vez que el atacante ha conseguido acceso a un servidor
DNS o varios servidores (granja de servidores o DNS), se dice que ha hecho un farming.
En una conferencia organizada por el Antiphishing Working Group, Phillip Hallam-Baker defini este
trmino como "un neologismo de mercadotecnia diseado para convencer a banqueros y empresarios
de comprar nuevos equipos o accesorios de seguridad".
Si buscamos en un diccionario de ingls el trmino pharming, lo encontraremos definido como "la
produccin de frmacos a partir de plantas y animales modificados genticamente".
Todos los ordenadores conectados a internet tienen una direccin IP nica, que consiste en 4 octetos
(4 grupos de 8 dgitos binarios) de 0 a 255 separados por un punto (ej: 127.0.0.1). Estas direcciones
IP son comparables a las direcciones postales de las casas, o al nmero de los telfonos.
Debido a la dificultad que supondra para los usuarios tener que recordar esas direcciones IP,
surgieron los Nombres de Dominio, que van asociados a las direcciones IP del mismo modo que los
nombres de las personas van asociados a sus nmeros de telfono en una gua telefnica.
Los ataques mediante pharming pueden realizarse de dos formas: directamente a los servidores DNS,
con lo que todos los usuarios se veran afectados, o bien atacando a ordenadores concretos,
mediante la modificacin del fichero "hosts" presente en cualquier equipo que funcione bajo Microsoft
Windows o sistemas Unix.
La tcnica de pharming se utiliza normalmente para realizar ataques de phishing, redirigiendo el
nombre de dominio de una entidad de confianza a una pgina web, en apariencia idntica, pero que
en realidad ha sido creada por el atacante para obtener los datos privados del usuario, generalmente
datos bancarios.
Contramedidas: Anti-Pharming es el trmino usado para referirse a las tcnicas utilizadas para
combatir el pharming. Algunos de los mtodos tradicionales para combatir el pharming son la
utilizacin de software especializado, la proteccin DNS y el uso de addons para los exploradores
web, como por ejemplo toolbars. El software especializado suele utilizarse en los servidores de
grandes compaas para proteger a sus usuarios y empleados de posibles ataques de pharming y
phishing, mientras que el uso de addons en los exploradores web permite a los usuarios domsticos
protegerse de esta tcnica. La proteccin DNS permite evitar que los propios servidores DNS sean
hackeados para realizar ataques pharming. Los filtros anti-spam normalmente no protegen a los
usuarios contra esta tcnica.
5.5.9 Replay
En un ataque de repeticin de sesin, un atacante registra (monitorea y captura) todo los paquetes y
comandos que un usuario utilice en una sesin entre un cliente y un servidor. As, la sesin puede ser
"repetida" por el atacante utilizando la misma informacin que pudo obtener anteriormente.
Contramedidas: Para evitar la repeticin de sesin se debe utilizar algn protocolo que no permita la
interpretacin de paquetes duplicados. Tambin se puede utilizar una entidad certificante que asegure
la identidad de los extremos con el fin de rechazar cualquier intento de conexin por un host que no es
quien dice ser.
5.5.11 Bluejacking
El trmino bluejacking se refiere a una tcnica consistente en enviar mensajes no solicitados entre
dispositivos Bluetooth, como por ejemplo telfonos mviles, PDAs o porttiles. La tecnologa Bluetooth
tiene un alcance limitado de unos 10 metros normalmente en dispositivos pequeos (como telfonos
mviles) aunque otros aparatos ms grandes (como porttiles) con transmisores ms potentes pueden
alcanzar los 100 metros. Hay quien piensa que el trmino bluejacking viene de Bluetooth y "hijacking".
Aunque suena lgico un bluejacker no intercepta nada: nicamente utiliza una caracterstica en su
dispositivo, y en el del receptor. Ambas partes mantienen el control absoluto sobre su dispositivo, y el
bluejacker no puede hacer nada, ni siquiera ver la informacin personal contenida. Bluejacking es
bastante inofensivo, pero como mucha gente no sabe qu ocurre piensan que su telfono mvil tiene
un virus o alguien entr a el. Normalmente un bluejacker slo enviar un mensaje de texto, aunque en
los modelos de telfonos ms recientes es posible enviar tambin imgenes y sonido.
Actualmente hay varios programas utilizados para esta prctica (como Bluetooth Messenger, Easy
Jack, etc.), aunque el ms utilizado es Mobiluck. Ahora se est empezando a utilizar BT Info, que hace
muchas ms cosas: apaga el telfono de la vctima, explora su agenda y sus sms, y hasta puede
llamar y enviar mensajes.
5.5.12 Bluesnarfing
Bluesnarfing es el robo de informacin de un dispositivo inalmbrico a travs de una conexin
Bluetooth, ya sea entre telfonos, porttiles o PDAs. Esto permite acceso al calendario, la lista de
contactos, correos y mensajes de texto. Bluesnarfing es mucho mas serio en relacin al Bluejacking,
pero ambos explotan otros dispositivos Bluetooth sin su conocimiento. Cualquier dispositivo que
tenga encendido el Bluetooth y este se encuentre en Modo Descubierto (osea que puede ser
encontrado por otros dispositivos en el rango) puede ser atacado. Apagando esta opcin puede
protegerse de la posibilidad de ser Bluesnarfiado. Siendo esto una invasin de la privacidad, el
Bluesnarfing es ilegal en algunos pases. Dentro de este Rango de Herramientas Encontramos al
Mismo BT Info (Super Bluetooth Hack), el BT File Manager, el BT Explorer, Miyux y otra gran variedad
de utilidades.
5.5.13 Bluebugging
Alguna gente considera el Bluebugging como una forma de Bluesnarfing. Pero la naturaleza de este
es muy diferente. Blue Bugging fue inventado en 2004, mas o menos un ao despues de que
empezara el Bluesnarfing. Mientras el bluesnarfing se trata de robar cosas o archivos del dispositivo
de la victima, el Blue Bugging hace un trabajo diferente. Toma el control del mvil de la victima, y por
medio de comandos hace lo que el BlueBugger desee (dentro de este rango tenemos al BT Info o
Super Bluetooth Hack). Para decirlo en palabras fciles, significa que el bluebugger toma el control de
tu telfono, y lo usa para enviar mensajes o para hacer una llamada. Mientras al principio el
bluebugging requera que el bugger(literalmente) usara un dispositivo previamente acomodado, las
nuevas herramientas del bluebugging han hecho la mayor parte del trabajo, lo que significa que
cualquiera con el conocimiento y la herramienta adecuada puede tomar control de tu telfono. Las
posibilidades y consecuencias de esto, estn a la Imaginacin.
Contramedidas:
Un Firewall con las reglas de filtrado correctas permitir un control excelente de las conexiones
entrantes/salientes de la red. Esto impedir el acceso o difusin de un autorooter.
Intrusion detection systems: A pesar que no pueden detener directamente el accionar de un
autorooter, pueden alertar sobre su deteccin.
Deshabilitar servicios no utilizados: Esto es esencial, no slo para la defensa ante autorooters
sino como defensa para todo tipo de ataques.
Antivirus: Muchos autorooters son detectados por antivirus. Tener una buena poltica de
antivirus en su corporacin podr ayudarlo a detener la distribucin de un autorooter.
Mantener actualizado el sistema: Mediante las herramientas provistas por los desarrolladores o
con filtros especiales en caso que exista una solucin.
Contramedidas: Puesto que SQL Injection es un ataque que se aprovecha de malas prcticas de
programacin, la principal contramedida es preventiva y se encuentra relacionada con la codificacin
segura de aplicaciones. La implementacin de un estricto control de entrada de datos, es la principal
contramedida cuando de prevenir la inyeccin de cdigo se trata. No obstante, a continuacin se
mencionan algunas mximas:
Escape las comillas simples.
Rechace lo que conoce como Bad Input
Solo permita el acceso de Good Input
Siempre que sea posible, utilice stored procedures, pero no confe en ellos en un ciento por
ciento. Su mala utilizacin, puede hacer que estos tambin sean susceptibles a SQL Injection.
Realice auditorias de cdigo en forma peridica
Contramedidas: El objetivo principal al intentar proteger una aplicacin contra problemas de XSS, no
es otro que el de codificar aplicaciones en forma segura, las cuales implementen y refuercen el
concepto de validacin de entradas de modo efectivo. Hoy en da algunos lenguajes han comenzado a
implementar opciones especiales a fin de verificar el input antes de que este sea publicado en nuestro
html, de este modo se obtiene un segundo control, transformando la validacin de entrada en el
primero de ellos y el encoding de la informacin a publicar en el segundo.
Contramedidas: Para impedir este tipo de ataque, es esencial que los mtodos PUT, DELETE,
CONNECT y TRACE estn deshabilitados en sus servidores Web ya que todos representan un riesgo
de seguridad. Si una aplicacin necesita uno o ms de estos mtodos, tal como los servicios Web
REST (que puede necesitar PUT o DELETE), es importante verificar que su uso sea apropiadamente
limitado a los usuarios confiables y en condiciones seguras. Para deshabilitar el soporte de HTTP
TRACE en un servidor Apache, fije TreaceEnable en Off. Si est corriendo IIS en un servidor
Windows, use la herramienta URLScan para rechazar las solicitudes HTTP TRACE o para permitir
solo los mtodos necesarios para satisfacer los requerimientos de su sitio y de su poltica de
seguridad. Es fcil para un atacante, o para un administrador de sistema, verificar si un servidor Web
soporta el mtodo TRACE. Usando utilitarios tales como el Netcat de fuente abierto un servicio de
redes que puede leer las conexiones de red con TCP o UDP los atacantes pueden usar el mtodo
OPTIONSS de HTTP para obtener la lista de mtodos soportados por el servidor Web.
Contramedidas: A fin de evitar el tampering, se debe evitar el uso de campos ocultos para manejar
cualquier tipo de informacin sensible. Al mismo tiempo, las validaciones en cada uno de los
parmetros utilizados en una pgina web, deben encontrarse correctamente validados.
5.5.22 Wardialing
Hace algunos aos, cuando Internet an no se encontraba desarrollada como en la actualidad, gran
parte de las comunicaciones de datos, eran realizadas a travs de la red telefnica por medio de la
utilizacin de mdems. Debido a ello, era muy comn encontrar centros de cmputos donde se
apilaban una gran cantidad de mdems conectados a un pool pre-establecido de nmeros telefnicos,
de forma tal que por ejemplo, sucursales dispersas pudieran establecer una comunicacin con los
mismos, para una vez conectados acceder a los recursos de la red interna de la organizacin. A fin de
llevar a cabo este tipo de funciones, varias compaas de desarrollo de software comenzaron a
comercializar productos (Remote Control, PCAnywhere, etc.) que fueran capaces de, contando con
una porcin CLIENTE (REMOTE) y una porcin SERVIDOR (HOST), brindarles la capacidad a los
usuarios de aprovechar sus mdems para establecer comunicaciones de datos entre equipos.
En la actualidad, si bien es cierto que tras el auge de Internet, gran parte de las comunicaciones de
datos son cursadas a travs de dicha red, tambin lo es el hecho de que an existen aplicaciones o
soluciones que involucran la posibilidad de recibir conexiones de datos a partir de una comunicacin
del tipo Dial-Up por medio de la utilizacin de mdems. Un ejemplo de este tipo de aplicaciones, se
encuentra en centrales telefnicas las cuales a menudo poseen mdems de servicio conectados a
lneas dedicadas a fin de que tcnicos puedan accederlas remotamente con el objeto de brindar
mantenimiento , realizar cambios de configuracin, etc.
Ahora bien, a que nos referimos cuando hablamos de Wardialing? bsicamente al hecho de barrer o
escanear grandes rangos de nmeros telefnicos, utilizando para tal fin un MODEM en conjunto con
algn tipo de herramienta de software capaz de tomar un listado de telfonos preestablecidos, discar
los mismos e intentar detectar el tipo de dispositivo que se encuentra a la escucha en el otro extremo,
para finalmente grabar un archivo de log en donde el atacante/auditor pueda a posterior, conocer en
forma exacta si efectivamente existe algn dispositivo o software a la escucha, esperando conexiones
entrantes. Al margen de esta operacin bsica, algunas de las herramientas de Wardialing ms
potentes, tienen la capacidad de reconocer la existencia de los paquetes de software comerciales ms
importantes e incluso intentar lograr acceso, mediante la utilizacin de usuarios y contraseas por
default en tales productos. A pesar de lo que pudiera parecer a simple vista, hoy en da an sigue
siendo probable hallar dado un rango telefnico, dispositivos a la espera de comunicaciones
entrantes. Muchas veces, usuarios corporativos instalan mdems en sus Workstation, de modo tal de
poder accederlas remotamente desde sus hogares, sin el consentimiento del administrador de
seguridad y violando las polticas internas. Este hecho, podra permitir que un atacante en su etapa de
reconocimiento, encuentre este tipo de conexiones por medio de tcnicas de Wardialing y se
aproveche de ellas ganando acceso no autorizado a la red corporativa.
Contramedidas: Las polticas corporativas, deberan prohibir en forma explcita a sus empleados la
instalacin de mdems en sus terminales. Por su parte, los analistas de seguridad deberan practicar
evaluaciones peridicas, mediante tcnicas de Wardialing, a efectos de detectar posibles puntos de
entrada en su rango telefnico. Entre los objetivos posibles por parte de un atacante, podran
encontrarse dispositivos tales como: equipos de FAX y centrales telefnicas. Se recomienda evitar
siempre que sea posible, la utilizacin de los servicios de acceso remoto de administracin a centrales
telefnicas corporativas, sobre todo aquellas vinculadas con la red de datos.
Contramedidas: Tal como lo mencionramos cuando nos referimos a los ataques de ingeniera social
en general, a fin de prevenir el shoulder surfing, se debe principalmente trabajar en la implementacin
de planes de educacin y concientizacin de usuarios. Desde el punto de vista tcnico, se debe evitar
la utilizacin de cualquier tipo de aplicacin en la cual el ingreso de las passwords tipiadas pueda ser
observado en pantalla.
5.5.27 Hbridos
Hoy en da, la mayora de las herramientas avanzadas de cracking de contraseas brindan al atacante
o analista de seguridad, no solo la posibilidad de lanzar ataques basados en diccionario o fuerza
bruta, sino que adems incorporan la caracterstica de ejecutar lo que se conoce como ataques
hbridos, los cuales no son otra cosa que una tcnica consistente en la combinacin de de los ataques
de fuerza bruta y diccionario. Cuando un ataque hibrido es lanzado, un archivo de diccionario es
utilizado, pero a la vez sobre l se realizan una serie de permutaciones y variaciones intentando
ampliar su rango de accin no solo a las palabras conocidas contenidas en el diccionario
seleccionado, sino a su vez intentando algn tipo de variacin que pudiera coincidir con el criterio
utilizado por el usuario al momento de seleccionar su contrasea. Al momento de configurar este tipo
de ataques, es posible al igual que en los ataques de fuerza bruta, el set de caracteres que se utilizar
al momento de combinar estos con las bsquedas de diccionario.
Contramedidas: Los ataques de tipo hbrido, suelen ser efectivos sobre todo cuando se intenta hallar
algunas de las combinaciones que con mayor frecuencia utilizan los usuarios al momento de
seleccionar sus contraseas tal como la mezcla de una palabra de uso comn con una cifra numrica
o un conjunto de caracteres alfabticos (Ej.: Irresponsable123456). Nuevamente, las contramedidas
a aplicar siguen siendo principalmente aquellas mencionadas en el indicador Fuerza Bruta, aunque a
menudo suele ser recomendado el armado de contraseas basadas por ejemplo en la seleccin de
una frase larga de varias palabras, para luego tomar sus iniciales al momento de establecer una clave
(Ej.: El mar nunca ha estado mejor que el da de hoy, no crees? Emnhemqeddhn?)
Aparte de los backdoors, otros ataques muy comunes que es conveniente analizar son:
TCP session hijacking: En este caso, un usuario malicioso se interpone en el medio de una
sesin TCP de dos hosts. Como la autenticacin de los servicios ocurre generalmente al
comienzo de la conexin, esto le permite al atacante obtener acceso en el host destino.
Redireccin de puertos: La redireccin de puertos consiste en asociar un puerto especfico en
un host a algn otro puerto del mismo host o a algn otro puerto de algn otro host. De esta
forma, cuando se accede a un puerto determinado del primer host, en realidad se accede a
algn otro servicio del mismo host o de algn otro. Los Firewalls generalmente filtran los
paquetes segn los protocolos y puertos que utilicen, por lo que la redireccin de puertos es un
mecanismo que le permite a un atacante que consiga acceso a un host detrs del Firewall
superar en gran medida las limitaciones que el Firewall le impona.
Ataques a contraseas: Los ataques de contraseas generalmente consisten en la prueba
metdica una a una de un conjunto de contraseas sobre un destino determinado. En la
medida que el destino del ataque no imponga un nmero mximo de intentos de accesos
fallidos, el atacante podr seguir intentando validar su acceso con la verificacin de
contraseas nuevas hasta conseguirlos. El origen de las contraseas que son probadas
pueden ser obtenidos de algn diccionario de palabras comunes o simplemente generadas en
forma secuencial por el atacante.
Contramedidas: Firewalls: Los backdoors abren puertos para aceptar las conexiones de los intrusos,
de esta forma, si tenemos reglas apropiadas, podremos filtrar los posibles intentos de acceso.
Antivirus: Los antivirus actuales detectan los backdoors ms conocidos, sobre todo para plataforma
Win32.
Como los routers, tanto los switches capa 2 como los de capa 3 tienen algunas consideraciones de
seguridad que se deben tener en cuenta. En las secciones posteriores se vern los ataques o
vulnerabilidades ms comunes relacionado con la capa 2 y los switches (como principales dispositivos
de esa capa). A continuacin se analizarn los siguientes temas:
La sobrecarga en la tabla CAM de los switches
El acceso a diferentes VLANs
La utilizacin de STP para modificar el rbol de expansin
La falsificacin de direcciones MAC
La inundacin y saturacin del servidor DHCP
Contramedidas: Para protegernos de este tipo de ataques podemos configurar seguridad por puertos
en el switch. Esta opcin permite especificar la direccin MAC asociada a un puerto, o la cantidad de
direcciones MAC que podrn ser aprendidas por un puerto especfico. Cuando el switch detecta una
direccin MAC invlida puede filtrar la trama sospechosa, o bloquear el puerto.
Dependiendo del tipo de organizacin, puede convertirse en un dolor de cabeza asociar una direccin
MAC por puerto, dado que ante cada cambio de puerto, deber reconfigurarse el switch. Una opcin
ms flexible, es limitar la cantidad de direcciones que podr aprender un puerto.
Switch Spoofing: Aqu el atacante configura su sistema para simular un Switch. Esto requiere que su
adaptador de red sea capaz de emular la sealizacin 802.1q el protocolo del IEEE para etiquetado de
tramas y comunicacin de VLANs a nivel de trunking. Usando este mtodo, el atacante puede
aparecer como un switch con un puerto de trunk, si lo logra podr conocer todo el trfico de VLANs
que exista, pudiendo capturar la informacin contenida en las diferentes tramas.
Double Tagging: Otro tipo de ataque de VLAN hopping, involucra la trasmisin de tramas con un
doble etiquetado (tagging) 802.1q. De esta manera, el primer switch que recibe la trama interpreta el
primer etiquetado y reenva dicha trama a los puertos configurados con la VLAN nativa del atacante,
pero incluye en el reenvo a los puertos de trunk. El segundo switch que recibe la trama a travs del
puerto de trunk, interpreta el segundo etiquetado, reenviando esta trama a la VLAN destino. A fin de
mitigar el ataque de VLAN hopping, se requiere realizar cambios en la configuracin de VLAN. Uno de
los ms importantes, es utilizar un identificador de VLAN dedicado para todos los puertos de trunk.
Tambin deshabilitar todos los puertos no utilizados y asignarlos a una VLAN sin uso. Todos los
puertos de usuario, es decir donde existen hosts conectados, deben ser configurados en modo de
notrunk, desactivando especficamente el Dynamic Trunk Protocol (DTP) en dichos puertos.
Private VLAN: Consiste en un mecanismo que permite restringir las comunicaciones entre hosts
situados en la misma subred IP. Limitan los puertos dentro de una VLAN, que pueden comunicarse
con otros puertos de la misma VLAN. Puertos aislados (isolated ports) dentro de una VLAN, pueden
comunicarse solamente con puertos promiscuos (promiscuous ports). Puertos de comunidad
(community ports) pueden comunicarse solamente con otros puertos de la misma comunidad o con
puertos promiscuos. Puertos promiscuos pueden comunicarse con cualquier tipo de puertos.
Ataque Private VLAN Proxy: En este tipo de ataque, se enva trfico a un host conectado a un
puerto promiscuo, por ejemplo un router. El atacante enva un paquete con la direcciones origen IP y
MAC de su propia estacin, la direccin IP de destino de la vctima, pero la direccin MAC de destino
del router. El switch reenva la trama al router, pues ste est ubicado sobre un puerto promiscuo,
estando permitido este dilogo en Private VLAN. El router interpreta la direccin IP de destino y rutea
el paquete sobrescribiendo la direccin MAC de destino con la del host vctima. Ahora el switch
reenva la trama hacia el puerto donde est situado el host vctima. Este ataque slo permite inyectar
trfico a la vctima, pues cualquier intento de envo de trfico de respuesta por parte de la vctima,
ser bloqueado por la configuracin de la Private VLAN.
Este escenario no es una vulnerabilidad propia de Private VLAN, debido a que las reglas de envo de
trfico de una Private VLAN se cumplen, sin embargo se produce una violacin de la seguridad. A fin
de mitigar este ataque, pueden configurarse ACLs en el router, como as tambin VLAN ACLs.
Contramedida: Para evitar un ataque de VLAN hopping es necesario realizar modificaciones en las
configuraciones de VLAN. Uno de los elementos ms importantes es utilizar identificadores de VLAN
dedicados para todos los puertos que sean de Trunk. Tambin, se deben desactivar todos los puertos
no utilizados del switch y ubicarlos en una VLAN no utilizable. Los puertos para dar servicio a los
usuarios se deben configurar deshabilitando explcitamente el modo trunk, desactivando DTP en estos
puertos.
Contramedida: Para contrarrestar la manipulacin del STP, puede configurar los switches con el fin
de delimitar el uso del protocolo STP o indicar en cada puerto del switch si desde ste puede llegar al
switch raz o no. En dispositivos Cisco puede utilizar los comandos root guard y bpdu guard con el fin
de asegurar la ubicacin del switch raz en la red y asegurar los bordes de propagacin de STP. El
comando root guard permite asegurar la ubicacin del switch raz de la red. El comando BPDU
GUARD est diseado para permitir a los administradores de redes mantener la topologa de red
predictiva. Mientras BPDU GUARD le puede parecer innecesario porque puede asignar prioridad cero
a los dispositivos (recuerde que cero representa la menor prioridad, y el switch que tenga menor
prioridad ser raz), pero tienen que tener en cuenta que el bridge ID se forma por la prioridad y la
direccin MAC, lo que no garantiza que sea siempre el candidato a switch raz.
Se trata de una codificacin hexadecimal en pareja de 48 bits de informacin. Los 24 primeros bits
(tres primeras parejas de nmeros) identifican al fabricante del hardware, y los 24 bits restantes
corresponden al nmero de serie asignado por el fabricante, lo que garantiza que dos tarjetas no
puedan tener la misma direccin MAC.
Los ataques por MAC address spoofing (Falsificacin de direccin MAC) se basan en el uso de una
direccin MAC de otro host para hacer que el switch objetivo enve las tramas al intruso en vez de
enviarlas al host destino real. Si el intruso enva una trama con la direccin MAC origen de otro host,
har que el switch sobrescriba la tabla CAM para reenviar las tramas hacia ese puerto. Hasta que el
host que est siendo falsificado no enva una trama (que volver a sobrescribir la tabla CAM), no
recibir ms trafico.
Es una variacin del ataque por falsificacin de direccin MAC inserta entradas en la tabla ARP de las
estaciones de usuarios. Como hemos visto, ARP es utilizado por las estaciones para asociar
direcciones IP con direcciones MAC. Este ataque se lleva a cabo enviando un ARP Reply a una
estacin asociando la direccin IP del objetivo del ataque a la direccin MAC del intruso. En este
caso, no se utiliza una direccin MAC falsificada, sino que se "envenena" la tabla ARP de las dems
estaciones. Es utilizado para obtener una direccin MAC desconocida a partir de una direccin IP
conocida dentro de una LAN, donde los hosts de la misma subred residen. Normalmente una estacin
enviar para esto una solicitud ARP, mediante una trama broadcast a todas las dems estaciones y
recibir una respuesta ARP conteniendo la direccin MAC buscada, por parte de la estacin que tiene
la direccin IP conocida. Dentro de este esquema, existen respuestas ARP no solicitadas llamadas
ARP gratuitos, que pueden ser explotados maliciosamente por un atacante para enmascarar una
direccin IP sobre un segmento. Tpicamente, esta accin es ejecutada para posibilitar un ataque
denominado Man in the Middle (MITM), en el cual el atacante engaa a los dispositivos que entablarn
una comunicacin a travs de la red, enviando su propia direccin MAC mediante ARP gratuitos. Cada
estacin involucrada (un cliente y un servidor o una estacin con su default gateway) almacena en su
ARP cach la direccin IP del otro host, pero asociada a la direccin MAC del atacante, con lo cual el
trfico pasa por ste antes de dirigirse a su destino, posibilitando la captura de datos.
Es posible indicar al sistema operativo que la informacin en la cach ARP es esttica y por tanto, no
debe ser actualizada con la informacin que le provenga de la red. Esto prevendr el ataque, pero
puede resultar problemtico en redes donde se actualicen los sistemas conectados a la red de forma
regular.
Los switch de gama alta, poseen funcionalidades especficas para prevenir este tipo de ataques. Es
necesario configurarlos adecuadamente para que mantengan ellos mismos una asociacin IP-MAC
adecuada y prevengan estos ataques.
Una adecuada segmentacin de las subredes con routers y redes virtuales (otra de las
funcionalidades de algunos switch) es la mejor prevencin.
Existen herramientas que permiten conocer si una tarjeta de red en una subred se encuentra en modo
promiscuo. Esto puede indicar la existencia de un ataque de envenenamiento ARP.
Contramedidas: Las tcnicas para contrarrestar los ataques por inundacin de la tabla CAM tambin
pueden ser aplicadas a los ataques de DHCP starvation, por ejemplo, limitando el nmero de
direcciones MAC en los puertos del switch. Otro punto a tener en cuenta surge de la RFC 3118,
Autenticacin para Mensajes DHCP, que hace ms complicado el ataque de inundacin y agotamiento
al servidor DHCP. Finalmente, la opcin 82 de DHCP, puede contribuir a prevenir este ataque
especificando determinada informacin en los clientes para el servidor DHCP. As, el servidor podra
utilizar esta informacin para implementar polticas de asignacin de direcciones.
DHCP snooping proporciona un alto grado de seguridad al filtrar los mensajes DHCP que arriban
desde puertos no declarados para procesar este tipo de trfico. De esta manera, slo los puertos
autorizados, por estar conectados a los verdaderos DHCP, pueden transmitir este tipo de mensajes,
actuando como un Firewall. De esta manera un administrador puede diferenciar entre interfaces de no
confianza, conectadas a usuarios finales, de interfaces de confianza conectadas a los verdaderos
servidores DHCP.
DHCP snooping permite construir una tabla de asignaciones de direcciones IP, debido a que registra
el intercambio de mensajes DHCP que ocurre cuando un servidor asigna estas direcciones IP a las
estaciones que lo solicitan. Dicha tabla contiene la siguiente informacin:
Direccin MAC de la estacin de trabajo
Direccin IP otorgada
Tiempo de vida o alquiler de la direccin IP
Tipo de enlace o binding
Nmero de VLAN a la que pertenece la estacin
Identificador del puerto al que est conectado la estacin
De esta manera, DHCP snooping permite tambin mitigar los ataques de ARP spoofing.
Por mensajes de control: Se envan paquetes con mensajes de control para que los dispositivos
interrumpan la operacin de la red.
Por inundacin (IP Flooding): Consumen los recursos con una gran cantidad de paquetes. Un
ejemplo de este tipo de ataques es el SYN Flood. Este ataque consiste en enviar masivamente
peticiones de conexiones TCP (con el cdigo SYN activado). Para cada peticin de conexin, el
receptor debe reservar una porcin de memoria. Si se realiza una cantidad suficiente de peticiones de
conexin, el receptor consumir toda su memoria y no podr responder a nuevas peticiones.
Este ataque se realiza habitualmente en redes locales o en conexiones con un gran ancho de banda.
Consiste en la generacin de trco basura con el objetivo de conseguir la degradacin del servicio.
De esta forma, se resume el ancho de banda disponible, ralentizando las comunicaciones existentes
de toda la red.
Podemos pensar en la utilizacin de este ataque principalmente en redes locales cuyo control de
acceso al medio es nulo y cualquier mquina puede ponerse a enviar y recibir paquetes sin que se
establezca ningn tipo de limitacin en el ancho de banda que consume.
Algunos de los mtodos ms conocidos son:
Ping de la muerte: La utilidad ping sirve principalmente para saber si un host est activo y
adems podemos determinar el delay existente hasta ese host. En este ataque, bsicamente
se le enva un paquete ICMP de ping a un host esperando su respuesta. La diferencia est en
que si se le enva un paquete muy grande, ste puede llegar desordenado por lo que el host
pide al origen que le vuelva a enviar una parte o la totalidad del paquete, produciendo as un
datagrama ICMP muy grande que ocasionar su cada.
Al igual que otros ataques de denegacin existentes, utiliza una denicin de longitud mxima
de datagrama IP fraudulenta.
La longitud mxima de un datagrama IP es de 65535 bytes, incluyendo la cabecera del
paquete (20 bytes) y partiendo de la base de que no hay opciones especiales especicadas.
Por otra parte, recordemos que el protocolo ICMP tiene una cabecera de 8 bytes. De esta
forma, si queremos construir un mensaje ICMP tenemos disponibles 65535 - 20 - 8 = 65507
bytes.
Debido a la posibilidad de fragmentacin de IP, si es necesario enviar ms de 65535 bytes, el
datagrama IP se fragmentar y se reensamblar en el destino.
El ataque ping de la muerte se basa en la posibilidad de construir, mediante el comando ping,
un datagrama IP superior a los 65535 bytes, fragmentado en N trozos, con el objetivo de
provocar incoherencias en el proceso de reensamblado.
Si, por ejemplo, construimos un mensaje ICMP de tipo echo-request de 65510 bytes mediante
el comando ping -s 65510, los datos ICMP podrn ser enviados en un nico paquete
fragmentado en N trozos (segn la MTU de la red), pero pertenecientes al mismo datagrama
IP. Si hacemos la suma de los distintos campos del datagrama, veremos que los 20 bytes de
cabecera IP ms los 8 bytes de cabecera ICMP, junto con los datos ICMP (65510 bytes)
ocuparn 65538 bytes. De esta forma, el ataque consigue provocar un desbordamiento de 3
bytes. Este hecho provocar que al reconstruir el paquete original en el destino, se producirn
errores que, si existen deciencias en la implementacin de la pila TCP/IP del sistema, podran
causar la degradacin total del sistema atacado.
Syn flood: El Syn Flood o TCP/SYM Flood es uno de los ms famosos de los ataques tipo
Denial of Service. Se basa en un "saludo" incompleto entre el host atacante y el objetivo del
ataque. El Cliente enva un paquete SYN pero no responde al paquete ACK del 2 paso del
saludo de tres vas TCP, ocasionando que el servidor permanezca a la escucha un
determinado tiempo, reservando recursos para la nueva conexin, hasta cancelar la llamada.
Si se envan muchos saludos incompletos, se consigue que el servidor se paralice o por lo
menos se ralentice. El ataque de TCP/SYN Flooding sea provecha del nmero de conexiones
que estn esperando para establecer un servicio en particular para conseguir la denegacin
del servicio.
Cada vez que se procesa una conexin, deben crearse datagramas IP para almacenar la
informacin necesaria para el funcionamiento del protocolo. Esto puede llegar a ocupar mucha
memoria. Como la memoria del equipo es nita, es necesario imponer restricciones sobre el
nmero de conexiones que un equipo podr aceptar antes de quedarse sin recursos.
Cuando un atacante congura una inundacin de paquetes SYN de TCP, no tiene ninguna
intenciin de complementar el protocolo de intercambio, ni de establecer la conexin. Su
objetivo es exceder los lmites establecidos para el nmero de conexiones que estn a la
espera de establecerse para un servicio dado.
Esto puede hacer que el sistema que es vctima del ataque sea incapaz de establecer
cualquier conexin adicional para este servicio hasta que las conexiones que esten a la espera
bajen el umbral.
Hasta que se llegue a este lmite, cada paquete SYN genera un SYN/ACK que permanecer en
la cola a la espera de establecerse. Es decir, cada conexin tiene un temporizador (un lmite
para el tiempo que el sistema espera, el establecimiento de la conexin) que tiende a
congurarse en un minuto.
Cuando se excede el lmite de tiempo, se libera la memoria que mantiene el estado de esta
conexin y la cuenta de la cola de servicios disminuye en una unidad. Despus de alcanzar el
lmite, puede mantenerse completa la cola de servicios, evitando que el sistema establezca
nuevas conexiones en este puerto con nuevos paquetes SYN.
Dado que el nico propsito de la tcnica es inundar la cola, no tiene ningn sentido utilizar la
direccin IP real del atacante, ni tampoco devolver los SYN/ACK, puesto que de esta forma
facilitara que alguien pudiera llegar hasta el siguiendo la conexin. Por lo tanto, normalmente
se falsea la direccin de origen del paquete, modicando para ello la cabecera IP de los
paquetes que intervendrn en el ataque de una inundacin SYN.
Land attack: Este ataque consiste en un error en la implementacin de la pila TCP/IP en
sistemas Windows. Aqu el atacante enva a algn puerto abierto de un servidor (generalmente
al 113 o al 139) un paquete, maliciosamente construido con la IP y puerto origen igual que la IP
y puerto destino. Al final la mquina termina por colapsarse.
Teardrop: Los ataques Teardrop I y Teardrop II afectan a fragmentos de paquetes. En este
caso, un atacante puede enviarles paquetes manipulados a sistemas Windows con el fin de
adulterar los nmeros de fragmentos de los paquetes. Algunas implementaciones de colas IP
no vuelven a recomponer correctamente los fragmentos ya que se superponen, haciendo que
el sistema se cuelgue. El Windows NT 4.0 es especialmente vulnerable a este ataque. Aunque
existen parches que pueden aplicarse para solucionar el problema.
El ataque Teardrop intentar realizar una utilizacin fraudulenta de la fragmentacin IP para
poder confundir al sistema operativo en la reconstruccin del datagrama original y colapsar asi
el sistema.
Snork: El ataque Snork se basa en una utilizacin malintencionada de dos servicios tpicos en
sistemas Unix: el servicio CHARGEN (CHARacter GENerator, generador de caracteres) y el
servicio ECHO. El primer servicio se limita a responder con una secuencia aleatoria de
caracteres a las peticiones que recibe. El segundo servicio, ECHO, se utiliza como sistema de
pruebas para vericar el funcionamiento del protocolo IP. As, esta denegacin de servicio se
basa en el envo de un datagrama especial al ordenador de destino, que una vez reconocido,
enviar una respuesta al equipo de origen.
El ataque Snork consiste en el cruce de los servicios ECHO y CHARGEN, mediante el envo de
una peticin falsa al servicio CHARGEN, habiendo colocado previamente como direccin de
origen la direccin IP de la mquina que hay que atacar (con el puerto del servicio ECHO como
puerto de respuesta). De esta forma, se inicia un juego de ping-pong innito. Este ataque se
puede realizar con distintos pares de equipos de la red obteniendo un consumo masivo de
ancho de banda hasta degradar el rendimiento de la misma.Tambin se puede realizar contra
una misma mquina (ella misma se enva una peticin y su respuesta) consiguiendo consumir
los recursos (especialmente CPU y memoria) de este equipo.
Una variante del IP Flooding tradicional consiste en la utilizacin de la direccin de difusin de la red
como direccin de destino de los datagramas IP. De esta forma, el encaminador de la red se ver
obligado a enviar el paquete a todos los ordenadores de la misma, consumiendo ancho de banda y
degradando el rendimiento del servicio.
Tambin existen otras variantes en las que se envan peticiones ICMP de tipo echo-request a varios
ordenadores suplantando la direccin IP de origen, sustituida por la direccin de difusin ( broadcast)
de la red que se quiere atacar. De esta forma, todas las respuestas individuales se ven amplicadas y
propagadas a todos los ordenadores conectados a la red.
Debido a que en general estos ataques no realizan ninguna accin declarada como prohibida, o
denegada, son ataques difciles de detectar.
Para defendernos de los ataques de DoS por explotacin de vulnerabilidades, como lo hemos visto
anteriormente, es imperioso mantener los sistemas libres de vulnerabilidades mediante las ltimas
actualizaciones.
Para defendernos de los ataques de DoS por mensajes de control, necesitaremos crear los filtros de
paquetes apropiados.
Para defendernos de los ataques de DoS por inundacin, existen dispositivos llamados IDS (Intrution
Detection Systems) que veremos ms adelante, que ayudan a detectar a un ataque de este tipo en
proceso. Analizan el flujo de datos buscando patrones de ataques. Otra alternativa es restringir la
cantidad de conexiones simultneas que atender un servidor.
El peligro de los ataques de denegacin de servicio viene dado por su independencia de plataforma.
Como sabemos, el protocolo IP permite una comunicacin homognea (independiente del tipo de
ordenador o fabricante) a travs de espacios heterogneos (redes Ethernet, ATM, ...). De esta forma,
un ataque exitoso contra el protocolo IP se convierte inmediatamente en una amenaza real para todos
los equipos conectados a la red, independientemente de la plataforma que utilicen.
Las formas de ataque DoS ms comunes en redes WLAN son los siguientes:
Radio jamming. Interferir el espectro con una seal de alta potencia inhabilitando que el
usuario legtimo acceda al servicio.
Wireless DoS. Es inherente al protocolo IEEE 802.11. Como las tramas de gestin no estn
protegidas por privacidad, autenticacin e integridad, cualquier atacante puede realizar un
ataque Wireless DoS sin ms que mandando tramas de disociacin a cualquier usuario de la
red WLAN.
En general, para llevar a cabo este tipo de ataques es necesario configurar el interfaz WLAN
modo Master y con la MAC del AP (con un sniffer).
Evitar un ataque de inundacin no resulta muy sencillo. Algunos servicios en los sistemas operativos
permiten definir el nmero mximo de conexiones, o la capacidad mxima que puede consumir en el
host, pero no todos lo hacen. La mayora de los sistemas son susceptibles entonces a sufrir este tipo
de ataques. Adems, continuamente son descubiertos nuevos bugs (fallas de seguridad) en los
servicios o el mismo sistema operativo. Afortunadamente, la mayora de los desarrolladores han
implementado tcnicas de actualizacin peridicas con el fin de minimizar los efectos de estos
ataques. Un analista de seguridad debe mantener actualizados todos sus sistemas con las ltimas
mejoras de seguridad para cada sistema. Otro punto a tener en cuenta para no sufrir ataques de
inundacin, es configurar los routers de borde para que ajusten la velocidad de arribo de
determinados tipos de paquetes (por ejemplos, limitar la velocidad de ICMP y TCP Syn).
Hasta la fecha era muy difcil impedir un ataque DoS a ordenadores basados en la arquitectura NT,
como Windows 2000 o XP; no ocurre as lo mismo con el kernel de Linux. Sin embargo, existe un
modo de fortalecer la pila del protocolo TCP/IP en Windows; ya sea en redes internas o redes
conectadas a Internet.
Se abre, por tanto, Regedit y en la clave:
HKey_Local_Machine/System/CurrentControlSet/Services/Tcpip/Parameters
Se colocan los siguientes valores DWORD:
EnableICMPRedirect = 0
Se deshabilitan las redirecciones ICMP, impidiendo que un ataque se redirija a un tercero.
SynAttackProtect = 2
Establece el lmite SYN, para que no se cree una situacin en la que la conexin TCP se
bloquee en un estado semi abierto. La configuracin predeterminada es 0. Un valor de 2
controla la caducidad de las conexiones abiertas y medio abiertas.
TCPMaxConnectResponseRetransmissions = 2
Determina las veces que TCP transmite un mensaje SYN/ACK que no es respondido. TCP
retransmite confirmaciones hasta alcanzar el nmero de este valor.
TCPMaxHalfOpen = 500
Nmero de conexiones que el servidor puede mantener en estado semi abierto antes de que
TCP/IP inicie la proteccin contra ataques SYN.
TCPMaxHalfOpenRetired = 400
Nmero de conexiones que el servidor puede mantener en estado semi abierto, incluso
despus de retransmitir una conexin. Si se sobrepasa esta entrada, TCP/IP inicia la
proteccin contra ataques SYN.
TCPMaxPortsExhausted = 5
Nmero de solicitudes de conexin que el sistema rechazar antes de que TCP/IP inicie la
proteccin contra ataques SYN.
TCPMaxDataRetransmissions = 3
Nmero de veces que TCP retransmite un segmento de datos desconocido en una conexin
existente.
EnableDeadGWDetect = 0
Determina si el ordenador tiene que detectar puertas de enlace inactivas. Un valor de 1 implica
que el sistema solicite a TCP que cambie a una puerta de enlace de reserva en caso de
conexiones con problemas. Las puertas de enlace de reserva estn definidas en la
Configuracin TCP/IP, en Red, del Panel de control.
EnablePMTUDiscovery = 0
Determina si est habilitado el descubrimiento MTU de ruta de acceso, donde TCP descubre el
paquete de mayor tamao en la ruta a un host remoto.
DisableIPSourceRouting = 2
Determina si un ordenador permite que los clientes conectados establezcan la ruta que los
paquetes deben seguir hasta su destino. Un valor de 2 impide el enrutamiento de origen de los
paquetes IP.
NoNameReleaseOnDemand = 1
Determina si el ordenador libera su nombre NetBIOS a otro ordenador que lo solicite o si un
paquete malintencionado quiere apropiarse del nombre NetBIOS.
PerformRouterDiscovery = 0
Determina si el ordenador realiza un descubrimiento del router de esta tarjeta. El
descubrimiento solicita la informacin del router y agrega la informacin a una tabla de ruta
-ARP-. El valor de 0 incluso impide el envenenamiento ARP.
A todo lo anterior, an puede asegurarse ms la pila TCP/IP para las aplicaciones socket de Windows
(Winsock), como es el caso de los servidores web o FTP. Cabe aadir que el responsable de las
conexiones a aplicaciones Winsock es el driver Afd.sys. El problema de este driver es que en
Windows 2000 y XP se modific para admitir un nmero mayor de conexiones en estado semi abierto,
sin denegar acceso a los clientes legtimos. En Windows 2003 se ha habilitado otro tipo de proteccin.
Afd.sys puede usar la copia de seguridad dinmica del Registro, configurable, en lugar de hacerlo con
la copia de seguridad esttica. Y eso es lo que vamos a hacer en:
HKey_Local_Machine/System/CurrentControlSet/Services/AFD/Parameters
Colocando los siguientes valores DWORD:
EnableDynamicBacklog = 1
Alterna entre el uso de una copia de seguridad esttica y una dinmica del Registro. El valor
predeterminado es 0, lo que nicamente permite el uso de la copia de seguridad esttica.
MinimumDynamicBacklog = 20
Nmero mnimo de conexiones permitidas a la escucha. Si las conexiones libres descienden
por debajo de este valor se crea un subproceso para crear conexiones libres adicionales. Un
valor demasiado grande reduce el rendimiento del ordenador.
MaximumDynamicBacklog = 20000
Nmero mximo de conexiones libres y medio abiertas. Ms all de este valor no habrn
conexiones libres adicionales, al estar limitado.
DynamicBacklogGrowthDelta = 10
Nmero de extremos Winsock en cada conjunto de asignacin solicitado por el ordenador. Un
nmero demasiado elevado provoca que los recursos del sistema se ocupen de forma
innecesaria.
Muy probablemente, pocas afirmaciones respecto de los diferentes aspectos relacionados con
Seguridad de la Informacin, sean tan validos como el hecho de que no importa donde usted se
encuentre, ni el nivel de seguridad que sus sistemas ostenten, muy probablemente alguna vez estos
sern atacados y eventualmente su seguridad vulnerada. Consientes de tal situacin, resulta
imprescindible que nuestra organizacin se encuentre preparada para actuar del modo correcto,
cuando llegue el momento de hacer frente a un incidente de seguridad.
A lo largo de los siguientes indicadores, intentaremos introducir las actividades relacionadas con las
prcticas de respuesta a incidentes, los objetivos que con ellas se persiguen, el armado del equipo de
respuesta a incidentes, las habilidades requeridas y los principales puntos involucrados en una
respuesta efectiva. A fin de adentrarnos en los principales aspectos relacionados con la respuesta a
incidentes, es de suma importancia comenzar estableciendo correctamente aquello que debe ser
definido como un Incidente de Seguridad. En lneas generales, un Incidente de Seguridad puede ser
definido como cualquier evento adverso que compromete o intenta comprometer la confidencialidad,
integridad, disponibilidad, legalidad o confiabilidad de la informacin. Un incidente, tambin puede ser
referido como cualquier violacin a la poltica de seguridad de la organizacin A menudo suele
cometerse el error de identificar como incidente, tan solo aquellos eventos ms terribles y/o
desastrosos, mientras que un incidente puede ser tan pequeo como la infeccin con virus de una
notebook o un llamado a un usuario por parte de un tercero no identificado tratando de obtener algn
tipo de informacin interna de la organizacin. Tal como veremos en breve, resulta de suma
importancia que no solo se defina internamente en la organizacin, qu debe ser tomado como un
incidente de seguridad y que no, sino que a su vez cada uno de los empleados de la misma conozcan
exactamente que aspectos configuran un incidente, a fin de ser capaces de identificarlos y reportarlos.
5.7.1 Objetivos
En lneas generales, la Respuesta a Incidentes como tal, envuelve todas y cada una de las acciones
tomadas frente a un incidente, durante y despus de que el mismo haya ocurrido. Entre los objetivos
primarios de una estrategia de Respuesta a Incidentes se encuentran:
Proveer una manera efectiva y eficiente de enfrentar la situacin de forma tal que sea posible
reducir el impacto potencial en la organizacin
Proveer a la gerencia de la informacin suficiente para que estos puedan decidir sobre el curso
de accin apropiado
Mantener o restaurar la continuidad del negocio
Defenderse frente a ataques futuros.
Disuadir a potenciales nuevos atacantes a travs de la investigacin, persecucin y
procesamiento.
Por ltimo, es importante mencionar, que el establecimiento de una correcta Gestin de Respuesta a
Incidentes, puede permitir a la organizacin responder a los incidentes en forma sistemtica, facilitar
una recuperacin rpida y eficiente de incidentes de seguridad, minimizando la perdida de informacin
e interrupcin de servicios, mejorar continuamente el marco de seguridad y el proceso de tratamiento
de incidentes y manejar correctamente los aspectos legales que pudieran surgir en el tratamiento de
incidentes.
Al momento de planificar una estrategia efectiva en relacin a las prcticas de respuesta a incidentes,
es requisito fundamental no solo trabajar en funcin de algn tipo de metodologa o poltica formal al
respecto, sino tambin contar con un equipo bien entrenado, conformado por personas con diferentes
habilidades y conocedoras de los procesos de la organizacin.
Si bien el conjunto general de habilidades que se describirn en el prximo indicador, nos permitirn
conocer en lneas generales, los perfiles que deben ser asociados a un equipo de respuesta a
incidentes a partir de sus competencias y conocimientos, es importante notar que parte del xito de
toda estrategia de respuesta a incidentes, radica en contar con un equipo interdisciplinario el cual
conjugue el valor de recursos capaces de aportar su conocimiento del negocio, con el expertise propio
de campos tan diversos como son los de recursos humanos, legales, seguridad, tecnologa,
operaciones, etc.
La elaboracin de un plan efectivo de respuesta a incidentes, debe a su vez regirse por una serie de
pasos, los cuales basados en las sentencias mximas expuestas en la poltica de respuesta a
incidentes, permitan llevar a cabo el conjunto necesario de tareas a fin de tratar un incidente
determinado. Un ejemplo en cuanto a los posibles pasos a adoptar se menciona a continuacin:
Realizar una evaluacin inicial
Comunicar el incidente
Contener el dao y minimizar el riesgo
Identificar el tipo y gravedad del incidente
Proteger las pruebas
Notificar a los organismos externos, si corresponde
Recuperar los sistemas
Compilar y organizar la documentacin del incidente
Valorar los daos y costos del incidente
Revisar las directivas de respuesta y actualizacin
Recomendaciones de Seguridad
Defensa en profundidad
Seguro por diseo
Privilegios mnimos
Aprender de los errores cometidos
Mantener la seguridad
Hacer que los usuarios se centren en la concienciacin de seguridad
Desarrollar y probar planes y procedimientos de respuesta a incidentes
Se deber seguir el modelo de defensa en profundidad. Cada nivel del modelo est protegido por los
niveles contiguos y depende de todos los niveles que se implementan. Hay un compromiso constante
entre la funcionalidad y la seguridad. Ambos raramente se complementan. Aunque quizs en alguna
ocasin lo importante haya sido la funcionalidad, ahora se busca definitivamente la seguridad. As se
facilita una implementacin segura por diseo. El software y los sistemas son seguros de forma
predeterminada y por diseo, con lo que se simplifica la creacin de un entorno de red seguro. Los
procesos y las aplicaciones que se ejecutan en un sistema logran este objetivo mediante un nivel
definido de privilegios sobre el sistema. A menos que se configuren de otro modo, los procesos
iniciados, mientras un usuario est conectado al sistema, se ejecutan con los mismos privilegios que
tiene el usuario. Para impedir ataques accidentales, todos los usuarios del sistema deben iniciar
sesin en l con los privilegios mnimos necesarios para realizar sus funciones. Los virus se ejecutan
con los privilegios del usuario que haya iniciado la sesin. En consecuencia, los virus tendrn un
mbito mucho ms amplio si el usuario inicia sesin como administrador. Las aplicaciones y los
servicios tambin se deben ejecutar con los privilegios mnimos necesarios. Es muy importante que se
entienda que la seguridad no es un objetivo: es un medio. Un entorno nunca es completamente
seguro. Siguen apareciendo nuevos virus, revisiones y puntos dbiles en los sistemas. Aprenda de la
experiencia y conserve una documentacin exhaustiva de todo lo que suceda. Para mantener la
seguridad, implementar procedimientos de supervisin y auditora, y comprobar que los resultados de
estos procedimientos se procesan con regularidad.
Disponer de planes y procedimientos de respuesta a incidentes claros, completos y bien
comprobados, es la clave para permitir una reaccin rpida y controlada ante las amenazas.
5.8 MONITOREO DE TRFICO EN LA RED
Los sistemas de monitoreo se encargan de observar las conexiones dentro de una red y en algunos
casos tambin son los responsables de dar aviso al administrador de la red e incluso bloquear una
conexin. Entre las aplicaciones ms utilizadas para el monitoreo de trfico de red se encuentran:
Netstat: El comando Netstat es una aplicacin utilizada para visualizar las conexiones de red al
equipo, tablas de enrutamiento y listado de puertos abiertos. Est disponible en entornos Linux y
Windows, basta con abrir una consola y escribir netstat para ver las opciones disponibles.
Se pueden realizar consultas de conexin, puertos activos y pasivos. Usndolo con las opciones t,
u, w, y x se muestran las conexiones activas de puertos TCP, UDP, RAW o Unix. Si a su vez se
incluye el modificador a, se mostrar tambin una lista de los puertos que estn esperando una
conexin (es decir, que estn escuchando). Esto dar una lista de todos los servicios que estn
corriendo actualmente en el sistema. Si se ejecuta el comando Netstat usando el indicador -r se puede
observar las tablas de enrutamiento al igual que se verifica con el comando route. Si se combina con
el parmetro -i, Netstat presenta estadsticas de las interfaz fsicas del host. Con la opcin -a se
muestra el estado de todos los sockets, todas las tablas de enrutamiento, y todas las interfaces
lgicas y fsicas.
Ntop: Ntop (Network Top) es una herramienta en sistemas Linux que permite monitorear en tiempo
real usuarios y aplicaciones que estn consumiendo recursos de red y a su vez puede dar aviso de
errores visualizados con un alerta del lado del cliente de la aplicacin. Posee una interfaz la cual se
accede va web a travs del puerto 3000 o de forma segura por medio del puerto 3003, desde donde
se pueden obtener estadsticas mediante un conjunto de grficos, los cuales agrupan las conexiones
por protocolos, usuarios, etc. Es una aplicacin fundamental para el administrador de redes que
permite observar como est siendo utilizado el ancho de banda para verificar posibles abusos,
vulnerabilidades o fallas en el esquema de red. Estos reportes se encuentran en forma de grficos y
resmenes de trfico histrico, detalle agrupado por origen del mismo (local, remoto, o ambos),
sentido (Solo enviado, solo recibido, o ambos), filtro por protocolos y una serie de utilidades para
exportar las estadsticas de trfico recopiladas por ntop en forma de archivos de texto, XML y otras
Nagios: El sistema de monitoreo Nagios es una aplicacin open source que verifica el estado de los
hosts y servicios especificados, y posee la capacidad de alertar (ya sea en forma grfica, sonora,
mediante mails al adminsitrador, sms, o incluso un sistema de desarrollo propio) cuando el
comportamiento no sea el adecuado y cuando el mismo retorne a su estado normal.
5.9 PREGUNTAS Y TIPS
Cuales son factores que contribuyen a la inseguridad en las redes? Falta de polticas y/o
normativas, Uso incorrecto de las aplicaciones, Errores en los programas, Ambiente
multilenguaje y multiproveedor
Por qu la falta de normativas o polticas de uso pueden ayudar a los ataques? Porque
no existen reglamentaciones de uso de la red, y los usuarios pueden realizar actividades que
faciliten los ataques
Por qu se deben revisar las opciones de un software recin instalado? Porque muchas
aplicaciones inician con configuraciones inseguras
En qu orden se realizan las fases de un ataque? Investigacin, Penetracin,
Permanencia, Expansin, Logro del objetivo.
En qu consiste un ataque de interceptacin? Un usuario no autorizado obtiene acceso a
la informacin o los datos.
Cul opcin describe ms correctamente un ataque por interrupcin? Un usuario
malicioso ataca a un sistema o parte de ste con el fin de dejarlo sin funcionamiento
Una de las fases del ataque es el reconocimiento, en qu consiste? Es el descubrimiento
no autorizado de la topologa de la red, sus sistemas, servicios o vulnerabilidades
De qu forma se puede evitar el reconocimiento de la red? Estableciendo filtros de trfico
En qu consiste el eavesdropping? En tomar datos que circulan por la red
Cul de las siguientes opciones describe ms exactamente man-in-the-middle? Es un
host que tiene acceso a los paquetes que atraviesan la red y se interpone en una conversacin
actuando como intermediario entre el emisor y el receptor con algn fin malicioso
Cmo podemos detectar una modificacin de archivos dentro de nuestro sistema?
Utilizando software especfico que genera un hash de cada archivo y reporta cuando hubo
modificaciones
En qu consiste un ataque por IP spoofing? El atacante falsifica su direccin IP para ganar
los privilegios de otro usuario
Cmo puede defenderse de los ataques de CAM Table Overflow? Mediante seguridad por
puertos en los switches
Cul de las siguientes opciones representan un problema de seguridad asociado a la
utilizacin de STP? Un usuario malicioso podra engaar a los switches de la red y podra
transformarse en el switch raz con el fin de ver las tramas que circulen entre switches
Qu debe enviar un intruso para realizar un ataque de MAC address spoofing? Una
trama cambiando su direccin MAC origen por la del objetivo
Qu puede conseguir un intruso mediante un ataque de ARP poisoning? Redireccionar
la direccin IP del objetivo hacia su direccin MAC
En qu se diferencia la Denegacin de Servicio con la Denegacin de Servicio
Distribuida? La DoS realiza el ataque desde un solo host, mientras que la DDoS utiliza
mltiples hosts para realizar el ataque
Qu medida preventiva puede tomar para evitar sufrir un ataque de DoS o DDoS por
inundacin de ICMP o TCP Syn? Configurar los routers de borde para regular el flujo de
paquetes
Qu tipo de ataque requiere realizar un sniffing a la red? Man-in-the-Middle
Qu tipo de ataque es el TCP/IP Hijacking? Man-in-the-Middle
Snort, TCPDump y Wireshark son comnmente usados para un Sniffing de Red
SSH es un mecanismo que se puede usar para encriptar credenciales sobre FTP o Telnet
Cul es el principio de la seguridad que garantiza la exactitud de la informacin? La
Integridad
En la prctica el bit ACK esta a 1 siempre, excepto en el primer segmento enviado por el host
que inicia la conexin.!
Cul es el puerto TCP por defecto cuando se protege el protocolo SMTP mediante SSL?
Puerto 25
Qu intenta explotar un ataque de tipo MAC Flooding? La cantidad de memoria asignada
para la MAC Address table
Un CLR (Common Language Runtime. Mquina virtual de Microsoft ) contiene una lista de las
llaves tanto pblicas como privadas!
CAPTULO 6
El permetro de red es el rea de una red que est ms expuesta a un ataque del exterior. Los
permetros de red se pueden conectar a numerosos entornos diferentes, que van desde socios
comerciales a Internet. Cada organizacin usa criterios distintos para definir su permetro.
El compromiso de la seguridad en el permetro puede resultar en:
Ataque a la red corporativa
Ataque a los usuarios remotos
Ataque a un socio comercial
Ataque desde una sucursal
Ataque a servicios de Internet
Ataque desde Internet
La mayora de los expertos en seguridad se centran en el rea desde la que cabe esperar que se
origine un ataque, como Internet. Sin embargo, los intrusos tambin son conscientes de que sta ser
la solucin que probablemente utilice e intentarn atacar la red desde algn otro lugar. Es muy
importante que todas las entradas y salidas de la red sean seguras.
Es improbable que uno sea el responsable de la implementacin de seguridad de los socios
comerciales; por lo tanto, no se puede confiar completamente en todo el acceso que se origine en ese
entorno. Adems, no se tiene control del hardware de los usuarios remotos, lo que constituye otro
motivo para no confiar en el mismo. Las sucursales podran no contener informacin confidencial y,
por lo tanto, es posible que tengan una implementacin menos segura. Sin embargo, podran tener
vnculos directos a la oficina principal que un intruso podra usar.
Es importante considerar la seguridad de la red en conjunto, no slo en reas individuales.
La proteccin del permetro de red incluye:
Servidores de seguridad
Bloqueo de puertos de comunicacin
Traduccin de direcciones IP y puertos
Redes privadas virtuales
Protocolos de tnel
Cuarentena en VPN
La proteccin de los permetros se puede llevar a cabo principalmente con servidores de seguridad.
La configuracin de un servidor de seguridad puede ser difcil desde el punto de vista tcnico. Por lo
tanto, los procedimientos deben detallar claramente los requisitos.
Los sistemas operativos recientes de Microsoft Windows facilitan el bloqueo de los puertos de
comunicacin innecesarios para reducir el perfil de ataque de un equipo.
La traduccin de direcciones de red (NAT, Network Address Translation) permite a una organizacin
disimular las configuraciones de direcciones IP y de puertos internos para impedir que usuarios
malintencionados ataquen los sistemas internos con informacin de red robada. Los mecanismos de
seguridad del permetro pueden ocultar tambin los servicios internos, incluso aquellos que estn
disponibles externamente, de modo que un intruso nunca se comunique de forma directa con ningn
sistema que no sea el servidor de seguridad desde Internet.
Cuando los datos salen del entorno que est bajo la responsabilidad de uno, es importante que se
encuentren en un estado que garantice su seguridad y que lleguen intactos a destino. Esto se puede
conseguir mediante protocolos de tnel y cifrado, con el fin de crear una red privada virtual (VPN,
Virtual Private Network).
Cuando los equipos remotos establecen comunicacin a travs de una VPN, las organizaciones
pueden seguir pasos adicionales para examinar esos equipos y garantizar que cumplan una directiva
de seguridad predeterminada. Los sistemas que establecen la conexin se aslan en un rea
independiente de la red hasta que se completan las comprobaciones de seguridad.
La proteccin del permetro de una red es el aspecto ms importante para parar un ataque del
exterior. Si un permetro sigue siendo seguro, la red interna se debe proteger contra ataques externos.
Se enumeran abajo algunas maneras de implementar la defensa del permetro:
Packet Filtering
Inspeccin de paquetes
Intrusion Detection
Los ataques no provienen slo de orgenes externos. Tanto si los ataques internos son genuinos como
si son meros accidentes, muchos sistemas y servicios se daan desde dentro las organizaciones. Es
importante implementar medidas internas de seguridad orientadas a las amenazas mal intencionadas
y accidentales.
El acceso a los sistemas y recursos de red internos permite a los intrusos obtener acceso fcilmente a
los datos de la organizacin.
Mediante el acceso a la infraestructura de red tambin pueden supervisar la red e investigar el trfico
que se est transportando. Las redes totalmente enrutadas, aunque hacen que la comunicacin sea
ms fcil, permiten a los intrusos tener acceso a los recursos de la misma red independientemente de
si se encuentran o no en ella.
Uno puede tener una serie de redes en su organizacin y debe evaluar cada una individualmente para
asegurarse de que est asegurada apropiadamente. Se enumeran abajo algunas maneras de
implementar defensas de red:
VLAN Access Control Lists
Internal Firewall
Auditing
Intrusion Detection
Para proteger el entorno de la red interna, se debe requerir que cada usuario se autentique de forma
segura en un controlador de dominio y en los recursos a los que tenga acceso. Utilizar la autenticacin
mutua, de modo que el cliente tambin conozca la identidad del servidor, con el fin de impedir la copia
accidental de datos a los sistemas de los intrusos.
Segmentar fsicamente los conmutadores, es decir, crear particiones de la red para impedir que toda
ella est disponible desde un nico punto. Se puede crear particiones si se utilizan enrutadores y
conmutadores de red independientes o si crean varias redes virtuales de rea local (VLAN, Virtual
Local Area Network) en el mismo conmutador fsico.
Considerar cmo se van a administrar los dispositivos de red, como los conmutadores. Por ejemplo, el
grupo de trabajo de red podra utilizar Telnet para tener acceso a un conmutador o enrutador y realizar
cambios de configuracin. Telnet pasa todas las credenciales de seguridad en texto sin cifrar. Esto
significa que los nombres y las contraseas de los usuarios son accesibles para cualquiera que pueda
rastrear el segmento de red. Esto puede constituir una debilidad importante de la seguridad.
Considerar permitir nicamente el uso de un mtodo seguro y cifrado, como SSH de shell o acceso
de terminal serie directo. Tambin se deben proteger adecuadamente las copias de seguridad de las
configuraciones de dispositivos de red. Las copias de seguridad pueden revelar informacin sobre la
red que resulte til a un intruso. Si se detecta una punto dbil, se pueden utilizar copias de seguridad
de la configuracin de los dispositivos para realizar una restauracin rpida de un dispositivo y revertir
a una configuracin ms segura.
Restringir el trfico aunque est segmentado. Puede utilizar 802.1X para proporcionar un acceso
cifrado y autenticado tanto en las LAN inalmbricas como en las estndar. Esta solucin permite
utilizar cuentas de Active Directory y contraseas o certificados digitales para la autenticacin. Si se
utilizan certificados, se tendr que integrar una infraestructura de clave pblica (PKI, Public Key
Infrastructure), en Servicios de Windows Certificate Server; para las contraseas o certificados,
tambin necesitar un servidor RADIUS integrado en el Servicio de autenticacin Internet (IAS,
Internet Authentication Service) de Windows. En Windows Server 2003 se incluyen IAS y Servicios de
Certificate Server. Implementar tecnologas de cifrado y firma, por ejemplo la firma de IPSec o bloque
de mensajes de servidor (SMB, Server Message Block), con el fin de impedir a los intrusos rastrear los
paquetes de la red y reutilizarlos.
Los Firewalls e IDS son herramientas muy importantes que nos permiten agregar funcionalidades de
seguridad a nuestro diseo, sobre todo nos permiten interactuar en forma dinmica con el entorno y
responder rpidamente a los incidentes.
Qu es un ataque y cules son sus objetivos? Un ataque ocurre cuando una persona o un grupo
de personas intenta acceder, modificar o daar un sistema o entorno. Ocurre de diferentes formas y
por distintas razones. Estos ataques generalmente intentan lograr algunos de de estos objetivos:
Un ataque de acceso: es un ataque donde alguien quiere acceder a sus recursos
Un ataque de modificacin: es un ataque de alguien que quiere modificar los datos de su
sistema
Un ataque de denegacin de servicio: Es un ataque de alguien que quiere interrumpir algn
servicio de networking
Un ataque de fabricacin: consiste en falsificar la informacin, ataca la autenticidad.
Cmo pueden las PC de una red interna con direccionamiento privado acceder a Internet, si
sus direcciones IP no son ruteables? El protocolo NAT (Network Address Translation) se caracteriza
por permitir el uso en nuestras redes de nmeros IP considerados como no ruteables (tambin
llamados privados) y poder conectarnos ainternet, esta posibilidad la brinda el protocolo al utilizar un
mecanismo conocido como traslacin, el cual permite que los paquetes con destino a Internet
enviados desde una red privada, sean interceptados a fin de que en el paquete IP el nmero IP no
ruteable sea remplazado por uno que s lo es, con lo cual el paquete IP resultante queda listo para ser
ruteado en Internet.
Qus es un PIX? Es un Firewall desarrollado por Cisco System, con poderosas caractersticas de
anlisis y filtrado de paquetes obtenidas a travs de varias tcnicas, entre ellas la inspeccin de pleno
estado. Est implementado como un dispositivo independiente y completamente dedicado. Uno de los
aspectos bsicos de la seguridad es el control del trfico que ingresa y egresa de nuestra red, as
como tambin el monitoreo general de los sistemas, ya sea para conocer que las medidas de
seguridad se encuentran establecidas como para detectar qu es lo que est sucediendo. Un error
tpico es creer que por tener implementadas estas medidas, el sistema ya ser inmune a todo tipo de
ataques. Antes que una intrusin suceda, se pueden poner en prctica una serie de controles para
prevenir, disuadir y detectar anormalidades. Durante una intrusin, las medidas de deteccin podrn
alertar la existencia de un atacante en base a los eventos producidos, ya sea en forma directa o
mediante la correlacin de un conjunto de ellos. Adicionalmente, durante la intrusin se puede
recolectar toda la informacin disponible que pueda ser utilizada para el estudio de la tcnica de
ataque.
El Switch (Interno): La primer capa de proteccin en una red es el switch en donde se conectan las
computadoras. Una buena prctica es separar las diferentes bocas en varias VLANs forzando el
trfico entre las las mismas y generando un sistema de proteccin de capa tres del modelo OSI
mediante ACLs en los routers. Con una buena implementacin de estas VLANs podemos evitar el uso
de ARP spoofing, tcnicas usadas por muchas herramientas de captura de trfico como Ettercap y
DSNIFF.
CAPA 2: El permetro del Firewall (Externo): Mediante un Firewall, fcilmente se pueden establecer
reglas para hacer cumplir ciertas restricciones y ms. En este ejemplo, el Firewall previene cualquier
conexin de entrada a la red interna. As mismo, este permite que los sistemas internos establezcan
las conexiones de salida (y permite el trfico de vuelta solamente para las conexiones iniciadas desde
la red interna). Tambin se puede tener un control detallado, habilitando procesos que inspeccionen el
trfico de red en la capa de aplicacin. Tambin se puede alterar automticamente el contenido de
cada paquete (como campos de IP) y hacer NAT.
CAPA 3: El Firewall de la DMZ (Externo): A veces, los usuarios externos necesitan tener acceso a
ciertos recursos (como un servidor web, o un servidor de correo) que obligadamente los Firewall de la
primera lnea deben dejar pasar. Estos servidores se ubican en un rea que no compromete el resto
de la red privada.
Encriptacin (Interno): Para asegurarse que la comunicacin establecida sea privada a los usuarios
que la originaron, y contemplando el posible caso de sufrir una captura de trfico de red, es
conveniente utilizar protocolos encriptados como Secure Shell (SSH) Secure Socket Layer (SSL), los
cuales evitan que el trfico interceptado sea interpretado por el atacante. En este ejemplo,
encriptando el trfico de red resulta casi imposible que un ataque interno obtenga, por ejemplo, las
credenciales de logueo y minimiza o prcticamente elimina la posibilidad de sufrir un ataque del tipo
man-in-the-middle en la organizacin.
Autenticacin Fuerte (Interno): Este tipo de autenticacin se utiliza para proteger activos de alta
criticidad para contrarrestar la posibilidad de que alguien utilice la contrasea obtenida de alguna
manera (ya sea porque la observ cuando se escriba o por medio de alguna aplicacin como
keylogers). Una alternativa para implementar esto es utilizar contraseas del tipo one-time, agregando
al tpico usuario y clave, una tarjeta Smartcard, un generador de token o una aplicacin de software
que otorguen un cdigo nico para ese logueo. Un buen ejemplo para citar es el caso de la
implementacin del e-token del home banking del HSBC, un llavero generador de cdigos que se
modifican constantemente y se utilizan en conjunto con un nombre de usuario (no el nmero de DNI
como en la mayora de los casos de home banking), una contrasea alfanumrica de ms de seis
dgitos, y obviamente el cdigo generado por el e-token.
Capa 5: NetFlow (Analizadores de trfico de alto nivel): Se utiliza para identificar determinados
parmetros de una conexin y ubicar patrones conocidos, guardados en una base de datos, de
actividades potencialmente anmalas. Los parmetros de conexin que generalmente se apartan son:
Direccin IP Origen.
Direccin IP Destino.
Puerto Origen.
Puerto Destino
Protocolo
Cantidad de Datos Transmitidos.
Capa 6: Antivirus: Otra lnea de defensa muy importante se encuentra contenida en el Antivirus, el
cual protege al sistema de virus, gusanos y troyanos, especialmente ahora que los sistemas de
computadoras superan los lmites de nuestras oficinas con el uso de computadores porttiles. Como
complemento a este tipo de aplicaciones es recomendable la utilizacin de programas anti-spyware,
anti-rootkit y anti-spam.
Capa 7: Sistemas de Prevencin de Intrusos en Host: Los IPS de host corren de forma local en el
sistema a proteger. Poseen mejoras significativas con respecto a los antivirus ya que cuentan con la
habilidad de detectar cdigo malicioso como keyloggeers o troyanos desde el mismo instante en que
el atacante est instalndolos. Un IPS de host como el Cisco Security Agent (CSA) , ademas de lo
anteriormente detallado, protege al sistema de otros tipos de ataque como buffer overflow y posee la
posibilidad de alertar al administrador de sistemas mediante el envo de mensajes de texto o e-mails.
Routers con filtro de paquetes: Se trata de un dispositivo que encamina el trco TCP/IP
(encaminador de TCP/IP) sobre la base de una serie de reglas de ltrado que deciden que paquetes
se encaminan a travs suyo y cuales se descartan.
Las reglas de ltrado se encargan de determinar si a un paquete le est permitido pasar de la parte
interna de la red a la parte externa, y viceversa, vericando el trco de paquetes legtimo entre
ambas partes.
Los encaminadores con ltrado de paquetes, al trabajar a nivel de red, pueden aceptar o denegar
paquetes jndose en las cabeceras del protocolo (IP, UDP, TCP, ...), como pueden ser:
Direcciones de origen y de destino.
Tipos de protocolo e indicadores (ags) especiales.
Puertos de origen y de destino o tipos de mensaje (segn el protocolo).
Contenido de los paquetes.
Tamao del paquete.
Una poltica de denegacin por defecto suele ser ms costosa de mantener, ya que ser necesario
que el administrador indique explcitamente todos los servicios que tienen que permanecer abiertos
(los dems, por defecto, sern denegados en su totalidad).
En cambio, una poltica de aceptacin por defecto es ms sencilla de administrar, pero incrementa el
riesgo de permitir ataques contra nuestra red, ya que requiere que el administrador indique
explcitamente que paquetes es necesario descartar (los dems, por defecto, sern aceptados en su
totalidad).
La construccin de un sistema cortafuegos mediante un encaminador conltrado de paquetes es
realmente econmica, ya que generalmente suelen ser construidos con hardware ya disponible.
Adems, ofrece un alto rendimiento para redes con una carga de trco elevada. Adicionalmente, esta
tecnologa permite la implantacin de la mayor parte de las polticas de seguridad necesarias.
Proxy a nivel de aplicacin: Una pasarela a nivel de aplicacin, conocida tambin como servidor
intermediario (proxy), no encamina paquetes a nivel de red sino que acta como retransmisor a nivel
de aplicacin. Los usuarios de la red contactaran con el servidor intermediario, que a su vez estar
ofreciendo un servicio proxy asociado a una o ms aplicaciones determinadas.
Una pasarela separa completamente el interior del exterior de la red en la capa de enlace, ofreciendo
nicamente un conjunto de servicios a nivel de aplicacin. Esto permite la autenticacin de los
usuarios que realizan peticiones de conexin y el anlisis de conexiones a nivel de aplicacin.
Estas dos caractersticas provocan que las pasarelas ofrezcan una mayor seguridad respecto a los
ltros de paquetes, presentando un rango de posibilidades muy elevado. Por el contrario, la
penalizacin introducida por estos dispositivos es mucho mayor. En el caso de una gran carga de
trco en la red, el rendimiento puede llegar a reducirse drsticamente.
En la prctica, las pasarelas y los dispositivos de red con ltrado de paquetes son complementarios.
As, estos dos sistemas se pueden combinar, proporcionando ms seguridad y exibilidad que si se
utilizara solamente uno.
El uso de las pasarelas proporciona varios benecios. De entrada, una pasarela podra permitir el
acceso nicamente a aquellos servicios para los que hay un servidor proxy habilitado. As, si una
pasarela contiene servicios intermediarios tan solo para los servicios HTTP y DNS, entonces slo
HTTP y DNS estarn permitidos en la red interna. El resto de servicios seran completamente
rechazados.
Otro benecio del uso de pasarelas es que el protocolo tambin se puede ltrar, prohibiendo asi el uso
de distintos subservicios dentro de un mismo servicio permitido. Por ejemplo, mediante una pasarela
que ltrara conexiones FTP, sera posible prohibir nicamente el uso del comando PUT de FTP,
dejando habilitado el resto de comandos. Esta caracterstica no sera posible haciendo uso
nicamente de ltros de paquetes.
Adicionalmente, los servidores intermediarios tambin pueden implantar el ltro de conexiones por
direccin IP de la misma forma que los ltros de paquetes, ya que la direccin IP est disponible en el
mbito de aplicacin en el cual se realizar el ltrado.
Aun obteniendo ms control global sobre los servicios vigilados, las pasarelas tambin presentan
algunas problemticas. Uno de los primeros inconvenientes que hay que destacar es la necesidad de
tener que configurar un servidor proxy para cada servicio de la red que se debe vigilar (HTTP, DNS,
Telnet, FTP, ...). Adems, en el caso de protocolos cliente servidor como, por ejemplo, FTP, pueden
llegar a ser necesarios algunos pasos adicionales para conectar el punto nal de la comunicacin.
Proxy a nivel de circuito: Las pasarelas a nivel de circuito son un hbrido entre los esquemas de
ltrado de paquetes y el uso de servidores intermediarios. Una pasarela a nivel de circuito es un
dispositivo similar al de pasarela a nivel de aplicacin, donde el usuario establece primero una
conexin con el sistema cortafuegos y ste establece la conexin con el equipo de destino.
Pero, en contraste con una pasarela tradicional, una pasarela a nivel de circuito opera de manera
similar a un ltro de paquetes a nivel de red una vez que la conexin ha sido inicializada.
6.1.8 Outsourcing
El outsourcing es la externalizacin de un determinado proceso en una empresa, es decir se contrata
dicha actividad a una empresa externa, en vez de realizar el proceso con personal propio. Las tareas
ms susceptibles de ser externalizadas son las labores administrativas, la logstica, partes de la
produccin y los sistemas de informacin. Respecto de esta ltima tarea podemos mencionar dos
esquemas, el housing y hosting, ambos delegan la responsabilidad sobre el mantenimiento de
equipos, de software, sistemas de seguridad y conexiones, copias de seguridad, etc.
En un esquema de housing la responsabilidad del proveedor sobre los problemas de seguridad
residira en la administracin de la seguridad fsica de los servidores, de los routers y servidores DNS,
sistemas de deteccin de intrusiones y en la instalacin y configuracin de Firewalls, es decir, de
todos los componentes de conectividad que permiten que nuestros equipos funcionen
adecuadamente. Estos componentes son comunes a los otros servers alojados por nuestro proveedor.
Esta situacin aumenta las probabilidades de "ser blanco" de ataques, ya que un router atacado por
un "intruso", con el objetivo de afectar la disponibilidad de un servicio determinado alojado en los
sistemas de nuestro proveedor, podra tener como consecuencia directa la indisponibilidad de
nuestros servicios. De esta manera seramos perjudicados por una accin emprendida contra otra
empresa que comparte un mismo "sitio" con nosotros.
En el esquema de hosting la situacin es un poco ms comprometida porque no slo tendremos que
considerar los factores relativos a la seguridad fsica de un esquema de housing, sino que deberemos
considerar tambin problemticas de seguridad relativas al sistema operativo y aplicaciones, ya que
estos elementos tambin son compartidos con las otras empresas. Es decir existe un punto
particularmente dbil en el esquema de hosting: las vulnerabilidades que pudiesen tener los servicios
con los que compartimos el servidor. Si un sistema que se encuentra alojado en nuestro servidor
posee una vulnerabilidad que permitiese por ejemplo, modificar archivos, estaramos ante un grave
problema de seguridad muy difcil de controlar.
Si la seguridad de nuestros servicios es un tema importante para la empresa, es muy recomendable
que evale todas las ventajas y desventajas respecto de la ubicacin del mismo.
6.1.9 NAT
Recordemos que anteriormente comentamos que las direcciones IP son un recurso escaso, por este
motivo, normalmente las empresas proveedoras de acceso a Internet entregan a sus clientes una
direccin IP pblica, indispensable para identificar a su computadora en el mundo Internet y
excepcionalmente entregan direcciones mltiples. Entonces, NAT es un protocolo diseado para
aumentar el grado de eficiencia con la cual se usan las direcciones IP en Internet.
Por otro lado este protocolo se caracteriza por permitir el uso en nuestras redes de nmeros IP
considerados como no ruteables (tambin llamados privados) y poder igualmente conectarnos a
Internet, esta posibilidad la brinda el protocolo al utilizar un mecanismo conocido como traslacin, el
cual permite que los paquetes con destino a Internet enviados desde una red privada, sean
interceptados a fin de que en el paquete IP el nmero IP no ruteable sea remplazado por uno que s lo
es, con lo cual el paquete IP resultante queda listo para ser ruteado en Internet.
Entonces, las tcnicas de NAT contribuyen a la seguridad de la red por dos razones fundamentales, la
primera porque las estaciones de trabajo tienen por defecto asignados nmeros IP no ruteables en
Internet por lo tanto, nadie externo a su red puede alcanzar directamente sus estaciones de trabajo.
La segunda razn es porque utiliza un mecanismo inequvoco para controlar los paquetes que pueden
ingresar desde Internet a la LAN del usuario, este mecanismo es la tabla de traslacin, la cual slo
permite que ingresen a la LAN los paquetes que corresponden a respuestas a conexiones iniciadas
por una mquina de la red LAN, o acceso a servicios publicados y que cuenten con una entrada
inscripta en dicha tabla de traslacin, si el paquete que llega no tiene una correspondencia exacta en
la tabla de traslacin el mismo es descartado. Adicionalmente, este paquete debe llegar dentro del
intervalo de tiempo determinado por el sistema para tener abierta una entrada en la tabla de
traslaciones.
6.1.10 NAC
Las soluciones de Control de Acceso a Redes (NAC) permiten nicamente a los dispositivos
autorizados acceder y operar en una red. Si se aplica correctamente, NAC puede mejorar el perfil de
seguridad de una red y reducir los riesgos a los que se enfrentan las empresas.
Los distintos enfoques de NAC han creado un importante y controvertido debate en toda la industria
de seguridad de TI. Los beneficios de NAC son claros, aunque todava no se han realizado de forma
generalizada.
Actualmente muchas soluciones de NAC son todava propuestas costosas que requieren una re-
arquitectura de la red y estn basadas en un conjunto de tecnologas bypassable. Al mismo tiempo,
muchos proveedores ofrecen soluciones NAC que no proporcionan plena cobertura de la red y dejan a
las empresas expuestas a vulnerabilidades.
La visibilidad y el descubrimiento de un dispositivo en tiempo real son la base para el proceso NAC,
elimina uno de los puntos principales de ataque y permite la cobertura de NAC por toda infraestructura
de la red. Si una solucin NAC no puede identificar todos los dispositivos conectados a la red en
tiempo real, es probable que la seguridad en nuestra red se vea decrementada. NAC debe ser tratada
como una metodologa de seguridad. Una buena solucin NAC proporcionar un conocimiento
profundo de la red por perfiles de dispositivos conectados a la red e identificar correctamente si dichos
dispositivos son o no autorizados.
Las actuales tecnologas de control de accesos desaparecern a medida que las empresas vayan
adoptando sistemas de autenticacin que operen en el extremo de las redes, de acuerdo con una
reciente investigacin, el mercado NAC se encuentra actualmente sumido en una gran confusin y
que los NACs actuales son meramente preventivos.
6.1.11 PAT
Es una tcnica de traslacin de direcciones que permite conectar mltiples estaciones de trabajo a
Internet con una sola direccin IP ruteable, tambin se conoce con el nombre de masquerading o PAT.
Esta tcnica permite entre otras cosas, realizar un uso eficiente de las direcciones IP
Con esta tcnica, el dispositivo que realiza el PAT, inscribe en su tabla de traslaciones por cada
conexin una entrada que indica:
El nmero IP de origen desde el cual se inici la conexin (nmero IP no ruteable)
El nmero de puerto TCP/IP desde el cual se origin la conexin.
El nmero de puerto TCP/IP con el cual se reemplazo el nmero de puerto de origen.
Con los dos primeros datos el sistema identifica hacia dnde tiene que ir dirigido el paquete
internamente y con el tercer dato, el cual no se repite en ninguna de las conexiones establecidas
hacia el exterior, el sistema diferencia a qu sistema interno, definido con los dos primeros valores,
corresponde el paquete IP al momento que ste llega al dispositivo que hace PAT, de esta manera
usando los puertos TCP/IP de origen del paquete IP el sistema puede multiplexar las conexiones de
mltiples estaciones de trabajo para que en todas las conexiones el nmero IP no ruteable sea
remplazado por una nica direccin IP ruteable.
No todo el trfico es soportado por PAT, en general cualquier trfico TCP/UDP que no transporte el
nmero IP de origen o destino en la parte de datos del paquete IP permite interactuar a dispositivos
que estn protegidos por PAT, por ejemplo http, tftp, telnet, finger, NTP, NFS, rlogin, rsh, rcp, ICMP,
FTP, Netbios sobre TCP/IP, Real Audio, CuSeeMe, Stream Works, H.323, Netmeeting, VDOLive,
Vxtreme. Por otro lado, no son soportados por PAT, el trfico IP multicast, Routing table updates,
Transferencias de zona DNS, BOOTP, talk, ntalk, SNMP, Netshow.
Analizada la problemtica de los Firewalls en la seccin anterior, vamos a analizar ahora qu tipos de
funcionalidades se necesitan para cubrir las necesidades encontradas y qu tipos de dispositivos
pueden albergar dichas funcionalidades.
A partir de la identificacin bsica de una comunicacin, es decir direcciones IP (de Capa 3) y puertos
(de Capa 4) de origen y destino en ambos casos, se encuentra que en la prctica la ubicacin y
manejo de puertos es muy variable y no siempre previsible. Esto presenta un obstculo para asegurar
un buen nivel de seguridad procurando mantener abiertos al paso slo los puertos estrictamente
necesarios en cada conexin.
Surge entonces la necesidad de apelar a ms informacin presente en los encabezamientos de las
capas de los paquetes. Mientras alguna de esta informacin est presente en el encabezamiento IP,
otra est en el del TCP, mientras que aparece claro que un conocimiento cabal de lo que hace o
puede hacer una aplicacin (y por lo tanto un posible ataque) slo puede obtenerse llegando hasta la
Capa de Aplicacin de la pila de protocolos.
Tres aproximaciones se consideran en este punto: la ms simple, el Filtro de Paquetes implementado
generalmente en enrutadores; la ms compleja, el Gateway de Aplicacin basado en servicios proxy,
Filtros Dinmicos o Adaptativos, y algo intermedio que hemos llamado genricamente Inspeccin de
pleno estado. Los Filtros de Paquetes son muy rpidos pero no ofrecen gran seguridad, mientras que
los Gateways de Aplicacin son relativamente lentos pero ofrecen el mayor nivel de seguridad posible.
Entre tanto, los Filtros Dinmicos son los que han recibido ms dedicacin en los ltimos tiempos en
la bsqueda de optimizar velocidad y seguridad
Suelen ser utilizados para controlar y monitorear el trfico saliente de la red privada. Pueden llegar a
dificultar las conexiones que se realizan a travs de ellos. Para optimizar los tiempos de espera,
utilizan una memoria intermedia (cach) que almacena los datos que se piden con mayor frecuencia.
Tambin pueden realizar un seguimiento exhaustivo de todos los datos que se transfieren, de manera
que no quede duda posible acerca de si se ha transmitido determinada informacin a travs de ellos.
Asimismo, el administrador del sistema tiene que configurar las aplicaciones para que funcionen
correctamente a travs del servidor proxy. La forma en que funcionan es relativamente sencilla:
cuando se solicita una conexin con una direccin externa a la red privada, el proxy acta como
intermediario. La conexin se realiza con el proxy, y es ste el que se conecta con la direccin remota.
De esta forma, todos los datos de la comunicacin tienen que pasar por el proxy, que puede
almacenar todas las direcciones que se visiten e incluso puede denegar el acceso a algunas de ellas.
El uso de este tipo de dispositivos permite una autenticacin mediante contrasea, de forma que slo
se permita realizar conexiones con el exterior de la red a determinados usuarios. Existe un tipo de
proxy llamado "Sock", que nicamente tiene la misin de permitir las conexiones a travs de un
Firewall. No permite autenticacin, aunque s el registro de todas las conexiones realizadas. No
obstante, en algunos productos existentes actualmente en el mercado, se ha incluido la caracterstica
de autenticacin por contrasea de tipo "kerberos".
Son aquellos dispositivos que estando conectados a ambos permetros (interior y exterior), no
permiten el paso de paquetes IP a travs de ellos. Comnmente, se denomina ip-forwarding
desactivado.
La comunicacin se produce por medio de programas denominados proxies, que se ejecutan en el
Firewall. Este tipo de sistema tambin se denomina Bastion host. Desde el punto de vista conceptual,
este tipo de Firewall funciona a nivel de aplicacin.
Un usuario interior que desea hacer uso de un servicio exterior, deber conectarse primero al Firewall,
donde el proxy atender su peticin, y en funcin de la configuracin en dicho Firewall, se conectar
al servicio exterior solicitado y har de "puente" entre el servicio exterior y el usuario interior. Es
importante notar que para la utilizacin de un servicio externo, han de establecerse dos (2)
conexiones o sockets, una desde la mquina interior hasta el Firewall, y otra desde el Firewall hasta la
mquina que albergue el servicio exterior.
En el caso de este tipo de Firewalls, los programas clientes deben estar configurados para redirigir las
peticiones al Firewall, en lugar de al host final. Esto es comn en navegadores WWW, como Netscape
o Internet Explorer, y en clientes FTP, como WS_FTP y otros. En cambio, aplicaciones tipo TELNET,
no suelen incluir este tipo de soporte, y para ello, lo habitual es conectar directamente con el Firewall
y desde all, el proxy permite especificar el destino final de la aplicacin telnet en cuestin.
La capacidad de logging o registro de actividad es mucho mayor con este tipo de dispositivos. La
informacin tpica registrada por estos sistemas, va desde el nombre de usuario que ha conseguido
autenticarse satisfactoriamente, hasta los nombres y tamaos de ficheros transmitidos va FTP,
pasando por los URL's solicitados a travs del proxy HTTP.
Asimismo, un proxy puede estar basado en un programa (Layer 7 modelo OSI) que permite o niega el
acceso a una aplicacin determinada entre dos redes. Los clientes proxy se comunican slo con los
servidores proxy, que autorizan las peticiones y las envan a los servidores reales, o las deniegan y
las devuelven a quien las solicit. En tal sentido, pueden escucharse definiciones que tipifican a los
proxies como "intermediarios" entre los usuarios (normalmente de una red local) e Internet. No
obstante, tambin existen en el mercado proxies basados en un dispositivo de hardware
Es por ello, que una de las funcionalidades reales de un Proxy es recibir peticiones de usuarios y
redirigirlas a Internet. La ventaja que presenta es que con una nica conexin a Internet se posibilita
conectar varios usuarios.
Funcionalidades Asociadas
De acuerdo al diseo de nuestra red y los elementos de seguridad que incorporemos, podemos definir
las siguientes arquitecturas de Firewall:
Gateway de doble conexin.
Host protegido.
Subred protegida.
Todas estas arquietecturas persiguen el mismo objetivo, controlar el acceso entre nuestra red interna
y una red externa, asociada con un ambiente inseguro de cuyas amenazas nos queremos proteger.
Antes de ver en detalle estos diseos, creemos conveniente definir el concepto de bastion host,
debido a que se utilizar en varias oportunidades. Un bastion host, normalmente es un servidor donde
se ejecutan procesos que son considerados crticos para la seguridad de la red, por este motivo su
configuracin se realiza pensando especialmente en la seguridad tanto lgica como fsica. En general
posee una versin segurizada del sistema operativo, donde se han habilitado solamente los servicios
esenciales, entre ellos el servicio de auditora que debe ser revisado peridicamente por el
administrador. Un ejemplo de su aplicacin lo podemos encontrar en los proxies, quienes deberan
implementarse siempre sobre bastion hosts.
En las secciones siguientes analizaremos los Firewalls personales, se trata de una categora
relativamente nueva, que surgi como respuesta a las necesidades de seguridad de los usuarios de
PC para entornos de banda ancha y navegacin en Internet o en el entorno corporativo. En este ltimo
caso el Firewall personal es utilizado por los administradores en caso de necesitar un nivel de
proteccin adicional para ciertas PC o servidores considerados muy importantes.
A pesar de que los Firewalls personales son muy sencillos de operar, hay muchas consideraciones a
tener en cuenta segn el escenario donde se utilicen. Quizs el escenario ms simple sea el de un
usuario con un nico PC conectado a Internet, donde el Firewall protege ante cualquier intento de
conexin proveniente de Internet que no haya sido pedido por el usuario. Pero la situacin es ms
complicada cuando el usuario trabaja en una pequea red y, adems del acceso a Internet, debe
conectarse a otros equipos, impresoras, etc. Estos casos exigen un determinado conocimiento de los
programas y conexiones, muchas veces ms all del usuario promedio.
Si el usuario sin conocimiento avanza en la configuracin se puede encontrar con dos escenarios, por
un lado puede suceder que el Firewall este configurado en forma permisiva, dejando pasar ms trfico
del que debera, con lo cual el Firewall no nos brindara la proteccin que deseamos, y por otro lado
podra denegar trfico necesario para el funcionamiento normal de la PC con lo cual el Firewall estara
impidiendo que trabajemos correctamente.
Los Firewalls personales estn diseados para brindar la mxima seguridad posible, haciendo un
balance entre el nivel de proteccin, facilidad de uso y mantenimiento. La mayora tienen asistentes
de configuracin, as como tambin varias configuraciones predeterminadas que ayudan a mantener
un alto nivel de seguridad sin perder funcionalidad. Muchos de ellos poseen servicios de actualizacin
automtica y suman capacidades de deteccin de trfico malicioso, y algunos incluso permiten
bloquear los avisos pop-up tan comunes en muchos sitios de Internet.
Todava los productos de Firewall personal estn ms avanzados en la plataforma Windows, aunque
todas las distribuciones de Linux tienen la posibilidad de utilizar el Firewall propio del sistema
operativo, denominado ipchains o iptables dependiendo las versiones.
Proceso por anlisis estadstico: Para detectar ataques no conocidos, normalmente se utilizan
tcnicas estadsticas que permiten elaborar patrones de actividad y contrastarlos con la actividad
normal, detectando de esta manera posibles anomalas. Aunque poco desarrollado en la prctica, este
enfoque tiene ilimitadas posibilidades. Los mtodos basados en redes neuronales, algoritmos
genticos, minera de datos o los relacionados con el sistema inmune biolgico, son tan slo algunos
de los utilizados en la deteccin de anomalas. Todos ellos han dado resultados satisfactorios.
Proceso por anlisis de integridad: Permiten detectar cambios en los archivos u objetos, para esto
crean un modelo sobre el estado del sistema, y comparan los cambios posteriores con respecto a ese
modelo. Este es el mtodo utilizado por las herramientas de chequeo de integridad de archivos, que
utilizan mecanismos robustos de encriptacin, como las funciones hash.
Snort es un sniffer de paquetes y un detector de intrusos basado en red (se monitoriza todo un
dominio de colisin NIDS). Es un software muy flexible que ofrece capacidades de almacenamiento de
sus bitcoras tanto en archivos de texto como en bases de datos abiertas como lo es MySQL.
Implementa un motor de deteccin de ataques y barrido de puertos que permite registrar, alertar y
responder ante cualquier anomala previamente definida. As mismo existen herramientas de terceros
para mostrar informes en tiempo real (ACID) o para convertirlo en un Sistema Detector y Preventor de
Intrusos.
Este IDS implementa un lenguaje de creacin de reglas flexible, potente y sencillo. Durante su
instalacin ya nos provee de cientos de filtros o reglas para backdoor, DDoS, finger, FTP, ataques
web, CGI, Nmap.
Puede funcionar como sniffer (podemos ver en consola y en tiempo real qu ocurre en nuestra red,
todo nuestro trfico), registro de paquetes (permite guardar en un archivo los logs para su posterior
anlisis, un anlisis offline) o como un IDS normal (en este caso NIDS). Cuando un paquete coincide
con algn patrn establecido en las reglas de configuracin, se logea. As se sabe cuando, de donde y
cmo se produjo el ataque.
An cuando tcpdump es considerada una herramienta de auditora muy til, no se considera un
verdadero IDS puesto que no analiza ni seala paquetes por anomalas. tcpdump imprime toda la
informacin de paquetes a la salida en pantalla o a un archivo de registro sin ningn tipo de anlisis.
Un verdadero IDS analiza los paquetes, marca las transmisiones que sean potencialmente maliciosas
y las almacena en un registro formateado, as, Snort utiliza la librera estndar libcap y tcpdump como
registro de paquetes en el fondo.
Snort est disponible bajo licencia GPL, gratuito y funciona bajo plataformas Windows y UNIX/Linux.
Dispone de una gran cantidad de filtros o patrones ya predefinidos, as como actualizaciones
constantes ante casos de ataques, barridos o vulnerabilidades que vayan siendo detectadas a travs
de los distintos boletines de seguridad.
La caracterstica ms apreciada de Snort, adems de su funcionalidad, es su subsistema flexible de
firmas de ataques. Snort tiene una base de datos de ataques que se est actualizando
constantemente y a la cual se puede aadir o actualizar a travs de la Internet. Los usuarios pueden
crear 'firmas' basadas en las caractersticas de los nuevos ataques de red y enviarlas a la lista de
correo de firmas de Snort, para que as todos los usuarios de Snort se puedan beneficiar. Esta tica
de comunidad y compartir ha convertido a Snort en uno de los IDSes basados en red ms populares,
actualizados y robustos.
Respuestas Activas: Involucra tomar una accin especfica ante un ataque o amenaza determinada.
El objetivo consiste en adoptar una accin o conjunto de acciones inmediatas que posibiliten
minimizar el potencial impacto de un incidente. Este tipo de respuesta requiere una planificacin
minuciosa, que comprenda un anlisis de la situacin de cada evento en conjunto con polticas de
seguridad claras y concretas. Entre las respuestas ms comunes, encontramos:
Descarte de paquetes
Bloqueo de puertos
Terminacin de conexiones, procesos o sesiones
Ejecucin de cambios en la configuracin de dispositivos de borde (Firewalls y Routers)
6.4.6 IPS
Los Sistemas de Prevencin de Intrusiones (IPS) son dispositivos de hardware o software encargados
de analizar el trfico de red con el objetivo de detectar y responder a posibles ataques o intrusiones.
La respuesta tpica consiste en descartar los paquetes involucrados en el ataque o modificarlos para
que se anule su propsito. Este comportamiento clasifica a los IPS como dispositivos proactivos,
debido a su reaccin automtica ante situaciones anmalas. El comportamiento de los IPS se
asemeja al de los Firewalls, ya que ambos toman decisiones con respecto a la aceptacin de un
paquete. Sin embargo, la diferencia radica en el hecho de que un Firewall basa sus decisiones en los
encabezados del paquete entrante, particularmente los propios a la capa de red y transporte del
modelo OSI, mientras que un IPS basa sus decisiones no solo en los encabezados del paquete, sino
en el contenido del campo de datos. Mientras que un IDS tradicional se limita a detectar y notificar
sobre una intrusin, el IPS intenta detener esa intrusin de algn modo. Aunque tambin existen los
IDS con respuestas activas, tpicamente un IDS monitorea una red, escuchando el trfico y
reaccionando ante una anormalidad, no siendo muy efectivo ante ataques atmicos, es decir, ataques
de un solo paquete. Un IPS, al estar intercalado en la red de modo tal que el trfico lo atraviesa,
puede detectar y anular este tipo de ataque, disminuyendo el tiempo de reaccin contra el mismo.
Un honeypot puede ser tan simple como un ordenador que ejecuta un programa, que analiza el trfico
que entra y sale de un ordenador hacia Internet, escuchando en cualquier nmero de puertos. El
procedimiento consiste en mantener una debilidad o vulnerabilidad en un programa, en el sistema
operativo, en el protocolo, o en cualquier otro elemento del equipo susceptible de ser atacado, que
motive al atacante a usarlo, de manera que se muestre dispuesto a emplear todas sus habilidades
para explotar dicha debilidad y obtener acceso al sistema.
Por otro lado, un honeypot puede ser tan complejo como una completa red de ordenadores
completamente funcionales, funcionando bajo distintos sistemas operativos y ofreciendo gran cantidad
de servicios. Cuando algn sistema que est incluido en dicha red sea atacado de alguna forma, se
advierte al administrador.
Otra opcin muy utilizada es crear honeypots completamente virtuales: programas especficamente
diseados para simular una red, engaar al atacante con direcciones falsas, IP fingidas y ordenadores
inexistentes, con el nico fin de confundirlo o alimentar el ataque para analizar nuevos mtodos. Si
algo tienen en comn los honeypots es que no guardan ninguna informacin relevante, y si lo parece,
si se muestran contraseas o datos de usuario, son completamente ficticios.
Honeypots de alta interaccin: Suelen ser usados por las compaas en sus redes internas . Estos
honeypots estn construidos con mquinas reales, o consisten en una sola mquina real con un
sistema operativo normal, como el que podra utilizar cualquier usuario. Se colocan en la red interna
en produccin. Si estn bien configurados, cualquier intento de acceso a ellos debe suponer una
alerta a tener en cuenta. Puesto que no tienen ninguna utilidad ms que la de ser atacados, el hecho
de que de alguna forma se intente acceder a ese recurso significa por definicin que algo no va bien.
Cada interaccin con ese honeypot se considera sospechosa por definicin. Todo este trfico debe ser
convenientemente monitorizado y almacenado en una zona segura de la red, y a la que un potencial
atacante no tenga acceso. Esto es as porque, si se tratase de un ataque real, el intruso podra a su
vez borrar todo el trfico generado por l mismo, las seales que ha ido dejando, con lo que el ataque
pasara desapercibido y el honeypot no tendra utilidad real.
Las ventajas que ofrecen los honeypots de alta interaccin es que pueden prevenir ataques de todo
tipo. Tanto los conocidos como los desconocidos. Al tratarse de un sistema real, contiene todos los
fallos de software conocidos y desconocidos que pueda albergar cualquier otro sistema. Si un
atacante intenta aprovechar un fallo desconocido hasta el momento (llamados en el argot 0 day),
ser la propia interaccin con la mquina, para intentar explotar el fallo, lo que alerte del problema y
ayude a descubrir ese nuevo fallo. En contraposicin, por ejemplo un detector de intrusos (IDS)
basado en firmas, podra alertar en la red de solo intentos de aprovechar fallos o ataques ya
conocidos, para los que tiene firmas que le permiten reconocerlos. La ventaja del honeypot es que,
sea el ataque nuevo o no, el intento de ataque alertar al administrador, y esto le permitir estar alerta
cuanto antes del potencial peligro.
En este sentido, los honeypots se usan para mitigar los riesgos de las compaas, en el sentido
tradicional de uso de las conocidas herramientas defensivas. Lo que la diferencia de los tradicionales
cortafuegos o detectores de intrusos es su naturaleza activa en vez de pasiva. De modo figurado un
honeypot se muestra como un anzuelo, no como un muro de contencin para evitar ataques, muy al
contrario, busca dichos ataques y se encarga de entretenerlos. Muchas compaas lo usan como un
valor aadido ms a sus elementos de seguridad, como complemento a sus herramientas tpicas. Se
obtiene as una fcil deteccin y reconocimiento de los ataques, de forma que pueden elaborar con
esos datos estadsticas que ayudan a configurar de manera ms efectiva sus herramientas pasivas.
Conociendo cuanto antes los problemas de seguridad a los que ms se atacan o los nuevos objetivos,
ms eficazmente podr defenderse una compaa concreta contra ellos.
Como toda herramienta destinada a mejorar la seguridad, los honeypots tienen sus ventajas e
inconvenientes. Su mayor utilidad radica en su simpleza. Al ser un mecanismo cuyo nico fin consiste
en que intenten aprovechar sus debilidades, no realiza ningn servicio real, y el trfico que transita a
travs de l va a ser muy pequeo. Si se detecta trfico que va o viene hacia el sistema, casi con toda
probabilidad va a ser una prueba, escaneo o ataque. El trfico registrado en un sistema de este tipo
es sospechoso por naturaleza, por lo que su gestin y estudio se simplifica en gran medida. Aunque,
por supuesto, ocurran falsos positivos, expresin que, en este caso, invierte su significado. Si un
falso positivo se produce normalmente cuando una actividad sospechosa tomada como ataque no
resulta serlo, en el ambiente de los honeypots, el falso positivo sera el trfico gestionado por la
mquina que no representa una amenaza. En esta simpleza de uso de trfico y recursos, radica su
mayor ventaja. En resumen, poca informacin, pero muy valiosa.
Entre los problemas que se pueden producir por el trabajo con honeypots, destaca la posibilidad de
que se vuelva en contra del administrador. Si no se disea de una manera absolutamente estudiada,
si no se ata cada cabo, si no se asla convenientemente, el atacante puede acabar comprometiendo
un sistema real y llegar a datos valiosos conectados al honeypot.
Honeypots de baja interaccin: Suelen ser creados y gestionados por organizaciones dedicadas a la
investigacin del fraude en Internet, o cualquier tipo de organizacin que necesite investigar sobre las
nuevas amenazas en la red. Son mucho ms complejos de administrar y mantener, y la informacin
que reciben debe ser lo ms extensa posible, sta debe ser organizada y analizada para que sea de
utilidad.
Se suelen tratar de sistemas especficos que emulan servicios, redes, pilas TCP o cualquier otro
aspecto de un sistema real, pero sin serlo. Existe un meta-sistema detrs, invisible para el atacante,
que est simulando ser cualquier cosa para la que est programado ser. No tienen que implementar
un comportamiento completo de un sistema o servicio. Normalmente simulan ser un servicio, y ofrecen
respuesta a un subconjunto de respuestas simple. Por ejemplo, un honeypot que simule ser un
servidor de correo, puede simular aceptar conexiones y permitir que se escriba en ellas un correo,
aunque nunca llegar a enviarlo realmente.
Normalmente este tipo de honeypots no est destinado a atrapar atacantes reales, sino herramientas
automatizadas. Un ser humano podra detectar rpidamente si se trata de un servidor real o no, bien
por su experiencia o por otras caractersticas que le hagan sospechar que no se encuentra en un
entorno real. Sin embargo, sistemas automatizados como programas de explotacin automtica,
gusanos, virus, etc., programados especficamente para realizar una accin sobre un servicio, no
detectarn nada extrao. Harn su trabajo intentando explotar alguna vulnerabilidad, el honeypot
simular ser explotado, y el administrador del honeypot obtendr la informacin que desea.
Este tipo de honeypots, tienen el problema de que en ellos resulta ms complejo descubrir nuevos
tipos de ataques. Estn preparados para simular ciertos servicios que se saben atacados, y a
responder de cierta manera para que el ataque crea que ha conseguido su objetivo. Pero en ningn
caso puede comportarse de formas para las que no est programado, por ejemplo para simular la
explotacin de nuevos tipos de amenazas.
Honeymonkeys: Un honeypot puede ser diseado como un servidor en vez de cmo un equipo es
decir, como un sistema (honeypot que hace de servidor) que espera ser contactado con un cliente
(equipo). Desde el momento en el que uno de los objetivos de un honeypot es recavar informacin
sobre ataques, surgi un concepto de un honeypot cliente que no espere a recibir ataques sino que
los genere activamente. Se les llama honeymonkeys.
Desde hace varios aos, el vector de ataque ms utilizado en Internet es el navegador. Las medidas
de seguridad han aumentado y cada vez resulta ms difcil aprovechar vulnerabilidades en clientes
programas- de correo electrnico, que vena siendo el vector de ataque ms usado. El uso popular de
cortafuegos tambin hizo que cada vez fuese ms complicado para atacantes aprovechar
vulnerabilidades en el propio sistema operativo. Por tanto, con el traslado a la web de los servicios
(foros, chats, etc.), el navegador se convirti en el objetivo favorito de los atacantes. Con solo visitar
una web, se intenta aprovechar todo tipo de vulnerabilidades en el navegador para ejecutar cdigo en
el cliente e infectarlo.
Tras este concepto surgen los honeymonkeys. Su funcin principal , al igual que la de los honeypots,
es igualmente detectar nuevos tipos de ataques y frmulas de infeccin e igual que los honeypots,
estn formados por un mdulo de exploracin y un mdulo de recogida de datos. Sin embargo en el
caso de los honeymonkeys, la exploracin se hace activamente a travs de navegadores. El
honeymonkey funciona como un sistema automtico de navegacin que visita toda clase de pginas
web con el fin de que alguna de ellas intente aprovechar vulnerabilidades en el navegador. Poseen
una naturaleza mucho ms activa que el honeypot, en el sentido en el que patrullan la red como si
fueran un usuario visitando enlaces compulsivamente.
Fue Microsoft quien los bautiz. Monkey (mono, en ingls) hace alusin a los saltos y el dinamismo
del tipo de accin que realizan. Con este mtodo, al igual que los honeypots, se pueden encontrar
nuevos exploits, gusanos, etc., siempre que se analice y procese convenientemente toda la
informacin recogida.
Una honeywall es un ordenador configurado para filtrar y observar el trfico que generan uno o varios
honeypots protegiendo al resto de la subred de los ataques de los mismos. Es una parte esencial de
una honeynet y cuenta con varios mecanismos para controlar las acciones de los bots capturados. El
equipo que hace este papel debe ser invisible para los honeypots con el fin de estudiar en profundidad
y sin interferir qu hacen y cmo.
Dado el potencial peligro del uso de honeypots, y a su propia naturaleza, el uso de herramientas
virtuales resulta muy conveniente y es ampliamente aceptado. Las ventajas de un sistema virtual
sobre uno fsico son evidentes:
Permiten ser restauradas en cuestin de minutos en caso de accidente, desastre o
compromiso: la mayora de sistemas virtuales permiten almacenar un estado ideal y volver a
l en cualquier momento de manera mucho ms rpida que si hubiese que restaurar un
sistema fsico y devolverlo a un estado anterior.
Permiten ser portadas a diferentes mquinas fsicas que la alojan: los sistemas virtuales, por
definicin, se ejecutan por igual en cualquier mquina fsica, que emulan el entorno necesario
a travs de un programa para poder reproducir el sistema virtual.
Permiten ahorrar costes: una misma mquina fsica puede alojar un nmero indeterminado de
mquinas virtuales, tantas como le permitan sus recursos, y con tantos sistemas operativos
como se desee.
En esta unidad desarrollaremos los conceptos de diseo definidos en el modelo de seguridad Cisco
SAFE. SAFE describe los requerimientos funcionales de las redes actuales. Las diferentes decisiones
de diseo pueden variar, dependiendo de las funcionalidades que deseamos implementar en nuestra
red. Sin embargo, los siguientes objetivos de diseo, listados de acuerdo a su prioridad, pueden
ayudarlo en el proceso de la toma de decisiones:
Seguridad y mitigacin de ataques basada en polticas
Implementacin de seguridad en toda la infraestructura (no slo en dispositivos de seguridad
especficos)
Instalacin de bajo costo
Administracin y reportes seguros
Autenticacin y autorizacin de los usuarios y administradores a los recursos crticos
Deteccin de intrusos en los recursos y subredes crticas
SAFE es ante todo, una arquitectura de seguridad. Debe prevenir que la mayora de los ataques
afecten los recursos ms importantes de la red. Los ataques que logren tener xito en penetrar la
primer lnea de defensa, o que sean originados desde la red interna, deben ser detectados y
contenidos rpidamente para minimizar sus efectos en el resto de la red. Sin embargo, an siendo
segura, la red debe continuar proveyendo los servicios crticos esperados por los usuarios. Una
seguridad apropiada y una buena funcionalidad pueden ser provistas al mismo tiempo. La arquitectura
SAFE no es una forma revolucionaria de disear redes, sino que provee consejos para desarrollar
redes seguras.
En muchos puntos del proceso de diseo de redes, es necesario decidir entre una funcionalidad
integral de un dispositivo versus la utilizacin de un dispositivo especializado. La funcionalidad integral
es muy atractiva porque se puede implementar en el equipamiento existente, o porque las
caractersticas pueden interoperar con el resto de los dispositivos para proveer una mejor solucin
funcional. Los dispositivos especializados son usados generalmente cuando la funcionalidad requerida
es muy avanzada, o las necesidades de performance requieren el uso de un hardware particular.
Tome sus decisiones basndose en la capacidad y funcionalidad del dispositivo versus las ventajas de
integracin del dispositivo. Por ejemplo, la eleccin entre un router con capacidades de Firewall, o un
router ms simple con un Firewall separado. A lo largo de esta arquitectura, ambos tipos de sistemas
han sido usados. Cuando los requerimientos de diseo no apuntan a una decisin especfica, se opt
por la funcionalidad integral para reducir el costo global de la solucin.
Como alternativa al ya mencionado syslog, existe una aplicacin de caractersticas similares a ste,
pero que implementa algunas mejoras. El syslog-ng es un sistema de logueo flexible y altamente
escalable, ideal para crear soluciones de logueo centralizadas. Algunas de las mejores caractersticas
se detallan a continuacin:
Transferencia de logs de manera fiable desde el host al servidor o servidores remotos,
enviados mediante el protocolo TCP asegurando que no haya perdidas de mensajes.
Logueo seguro mediante SSL/TLS: Los mensajes de logs pueden contener informacin
sensible la cual no es conveniente que sea visualizada por terceros. Syslog-ng puede utilizar
TLS para encriptar la comunicacin. TLS tambin permite la autenticacin mutua entre el
cliente y el servidor mediante el uso de certificados X.509.
Buffering de mensajes en disco: Si la conexin de red no se encuentra disponible durante el
envo de mensajes, el syslog-ng almacena durante este tiempo los mismos en el disco local
hasta que la conexin se reponga. De esta manera no existe prdida de informacin ante una
falla en la red.
Acceso directo a Base de datos: Conservacin de sus mensajes en una base de datos, lo que
permite realizar bsquedas y consultas de los mensajes e interoperar con analizadores de
logs. Esta aplicacin puede interactuar con MySQL, Oracle, PostgreSQL y SQLite.
Entornos heterogneos: Syslog-ng permite recoger los registros de forma masiva en entornos
heterogneos utilizando diferentes sistemas operativos y plataformas de hardware, incluyendo
Linux, Unix, BSD, Sun Solaris, HP-UX y AIX. Adems existe un agente el cual puede transferir
registros de Microsoft Windows y almacenarlos en un servidor syslog-ng.
Filtrar y clasificar: Syslog-ng puede ordenar los mensajes de registro basados en su contenido
con diversos parmetros, como host de origen, aplicacin y prioridad. Filtrados complejos
utilizando expresiones regulares y operadores booleanos ofrecen la posibilidad de realizar
envos de los mensajes muy importantes a destinos especficos.
Soporte de Ipv4 e Ipv6: Adems, esta aplicacin est preparada para trabajar en ambos
entornos de red.
En sistemas operativos de Microsoft, existen algunas alternativas como WinSysLog, Syslog Watcher,
SyslogIT, etc.
Dispositivos Claves:
Servidor Dial-in: Autentica usuarios remotos individuales y finaliza sus conexiones analgicas.
Servidores DNS: Dan servicio de DNS para los dominios propios a las consultas externas y
resuelven todas las consultas internas.
Servidores FTP/HTTP: Proveen informacin pblica sobre la organizacin.
Firewall: Provee proteccin de recursos y filtrado inteligente de trfico. Provee seguridad
diferenciada para los usuarios remotos. Autentica los sitios remotos de confianza y provee
conectividad utilizando tneles IPSec.
Switches de Capa 2: Proveen conectividad de capa 2.
NIDS: Proveen monitores de capa 4-7 en los segmentos claves del mdulo.
Servidor SMTP: Acta como relay entre Internet y los servidores de correo internos.
Inspecciona el contenido de los correos (Spam, virus, contenidos).
Concentrador VPN: Autentica usuarios remotos individuales y finaliza sus tneles IPSec.
Router de borde: Provee filtrado bsico y conectividad de capa 3 hacia Internet.
Mitigacin de amenazas:
Los servidores de acceso pblico son potenciales objetivos de ataques. Las siguientes son las
amenazas esperadas y la forma de mitigarlas:
Acceso no autorizado: Mitigado por filtrado de paquetes en el router de borde y el Firewall
corporativo.
Ataques de capa de aplicacin: Mitigado por los IDSs a nivel de host y red.
Ataques de virus y troyanos: Mitigado por el filtrado de contenidos de e-mail, IDSs de host y
antivirus de host.
Ataques de Passwords: Limitar los servicios disponibles a ataques de fuerza bruta. Sistemas
operativos e IDS pueden detectar esta amenaza.
Denegacin de Servicio: Control de trfico en el router de borde.
IP spoofing: Filtrado por RFC 2827 y 1918 en el router de borde y en el router de ingreso a la
red.
Packet sniffers: Infraestructura switcheada e IDS de host para limitar la exposicin. Control de
MACs por puerto para evitar el overflow de la tabla CAM en los switchs.
Reconocimiento de la red: los IDSs detectan ataques de reconocimiento. Filtrado de protocolos
para limitar la fuga de informacin.
Explotacin de confianza: Modelo de confianza restrictivo para limitar estos ataques
El servicio de acceso remoto y de VPNs tambin pueden ser objetivos de ataques. Las siguientes son
las amenazas esperadas y la forma de mitigarlas:
Descubrimiento de la topologa de red: Listas de control de acceso en el router de ingreso
limitan el acceso al concentrador de VPN y al Firewall (cuando finaliza tneles IPSec) slo para
trfico IKE y ESP.
Ataques de Password: Uso de One-time passwords (OTP) mitigarn los ataques de fuerza
bruta.
Accesos no autorizados: Servicios de Firewall luego de la desencripcin de un paquete
previenen trfico a puertos no autorizados.
Ataques Man-in-the-middle: Estos ataques son mitigados mediante la encriptacin del trfico
remoto.
Packet sniffers: Infraestructura switcheada para limitar la exposicin. Control de MACs por
puerto para evitar el overflow de la tabla CAM en los switchs.
Dispositivos Claves:
Dispositivo de acceso banda ancha: Provee acceso a la red del proveedor (DSL, cable, etc.).
Firewall con VPN: Provee tneles encriptados entre el sitio remoto y la red central. Provee
proteccin a nivel de red de los recursos del sitio remoto y filtrado de trfico stateful.
Firewall personal: Provee proteccin a PCs individuales.
Router con Firewall y VPN: Provee tneles encriptados entre el sitio remoto y la red central.
Provee proteccin a nivel de red de los recursos del sitio remoto y filtrado de trfico stateful.
Puede proveer servicios avanzados como voz o QoS.
Cliente de VPN por software: Provee tneles encriptados entre PCs individuales y la red
central.
Cliente de VPN por hardware: Provee tneles encriptados entre el sitio remoto y la red central.
Mitigacin de amenazas:
Acceso no autorizado: Mitigado por filtrado e inspeccin stateful en el router o Firewall remoto,
o a travs del control de acceso a las aplicaciones via Firewalls personales.
Reconocimiento de la red: Filtrado de protocolos en el dispositivo del sitio remoto para limitar
su efectividad.
Ataques de virus y troyanos: Mitigado por el filtrado de contenidos de e-mail, IDSs de host y
antivirus de host.
IP spoofing: Filtrado por RFC 2827 y 1918 en el router de borde y en el router del sitio remoto.
Ataques Man-in-the-middle: Estos ataques son mitigados mediante la encriptacin del trfico
remoto.
Las conexiones RAS y VPN contra el concentrador deben pasar por el Firewall antes de permitir su
acceso a dispositivos de la red interna, por tal motivo se recomienda colocarlos en interfaces del
Firewall de menor seguridad y filtrar el uso de los protocolos permitidos.
Dispositivos Clave:
Switch de capa 3: Provee conmutacin y enrutamiento en la red interna. Soporta servicios de
filtrado de trfico.
Switch de capa 2: Provee servicios de capa 2 a las estaciones de trabajo.
Servidores corporativos: Proveen correo electrnico (SMTP y POP3) a los usuarios internos,
as como servicios de archivo, impresin y DNS.
Estaciones de trabajo: Proveen servicios de datos a los usuarios autorizados.
Estacin de administracin SNMP: Provee administracin de dispositivos y manejo de alarmas.
Estacin de IDSs de red: Provee resmen de las alarmas de los IDS de toda la red.
Estaciones Syslog: Recopila la informacin de log de los dispositivos.
Servidor de control de acceso: Provee servicios de autenticacin a los dispositivos de red
Servidor de One-time Password (OTP): Autoriza el paso de la informacin de OTP del Servidor
de control de acceso.
Dispositivos IDS de red: Proveen monitoreo de Capa 4-7 de los segmentos claves.
Mitigacin de amenazas:
Packet sniffers: Infraestructura switcheada e IDS de host para limitar la exposicin. Control de
MACs por puerto para evitar el overflow de la tabla CAM en los switchs.
Ataques de virus y troyanos: Mitigado por el filtrado de contenidos de e-mail, IDSs de host y
antivirus de host.
Acceso no autorizado: Mitigado por el uso de IDS de host.
Ataques de Passwords: El servidor de control de acceso permite el uso de autenticacin fuerte
para las aplicaciones claves.
Ataques a capa de aplicacin: Sistemas operativos, dispositivos y aplicaciones deben
mantenerse con sus actualizaciones al da. Mitigados por IDS de Host.
IP spoofing: Filtrado por RFC 2827 previene spoofing.
Explotacin de confianza: Las relaciones de confianza deben ser explcitos.
Las instrucciones de diseo que se presentan en este captulo sirven de ayuda para seleccionar las
caractersticas necesarias para el servidor de seguridad, teniendo en cuenta consideraciones
importantes como el crecimiento y el costo. Este captulo define tambin las distintas clases de
servidores de seguridad y, mediante el uso de las instrucciones de diseo, debe poder seleccionar la
clase que se ajuste mejor a sus necesidades. A partir de los conocimientos y la terminologa tcnica
proporcionados en este captulo, podr analizar con los fabricantes del servidor de seguridad los
productos que pueden ofrecerle y evaluar si se adecan a sus necesidades.
Este captulo considera los requisitos de un servidor de seguridad interno de una red empresarial, los
tipos de dispositivos que pueden cumplir esos requisitos y las opciones disponibles para su
implantacin. Desafortunadamente, las intrusiones en redes por parte de usuarios externos e internos
se han convertido en un suceso habitual, lo que significa que las organizaciones deben instalar alguna
proteccin contra las mismas. Un servidor de seguridad cuesta dinero y supone un impedimento para
el flujo de trfico. Por lo tanto, debe asegurarse de que el servidor de seguridad est diseado para
ser tan rentable y eficaz como sea posible.
En una organizacin empresarial, a menudo habr dos servidores de seguridad distintos: el servidor
de seguridad perimetral y el servidor de seguridad interno. Aunque las tareas de estos servidores de
seguridad son similares, tambin tienen prioridades distintas, ya que el servidor de seguridad
perimetral se centra en proporcionar lmites a los usuarios externos no confiables, mientras que el
servidor de seguridad interno se centra en evitar que los usuarios externos obtengan acceso a la red
interna y en limitar las acciones que pueden realizar los usuarios internos. Un servidor de seguridad
comprueba los paquetes IP y bloquea los que reconoce como intrusos. Se puede realizar el bloqueo si
se reconoce de forma predeterminada que ciertos paquetes son ilegales. Tambin es posible
configurar el servidor de seguridad para que bloquee ciertos paquetes. El protocolo TCP/IP se dise
hace muchos aos sin tener en cuenta la piratera informtica ni las intrusiones y, por lo tanto,
presenta muchos puntos dbiles. Por ejemplo, el protocolo ICMP se dise como un mecanismo de
seales dentro de TCP/IP, pero est expuesto al abuso y puede provocar problemas como ataques de
denegacin de servicio. Un servidor de seguridad interno tiene requisitos ms exactos que un servidor
de seguridad perimetral. Esto sucede porque el trfico interno resulta ms difcil de controlar, ya que
su destino legtimo puede ser cualquier servidor de la red interna.
Cul es el presupuesto disponible? Todos los servidores de seguridad del entorno deben
proporcionar el mayor nivel de servicio posible y ser, adems, rentables. Se deben tener en cuenta los
daos que podra sufrir el negocio si el servidor est demasiado restringido por el costo. Tenga en
cuenta cules seran los costos del tiempo de inactividad de la organizacin si un ataque de
denegacin de servicio suspendiese el servicio.
La organizacin requiere que el servidor de seguridad est activo en todo momento? Si ofrece un
servicio de servidor Web pblico con disponibilidad constante, necesita un tiempo de actividad de casi
el 100%. Todos los servidores de seguridad tienen probabilidades de error, cmo se pueden reducir?
La disponibilidad de un servidor de seguridad se puede mejorar mediante dos mtodos:
Componentes redundantes: Al duplicar algunos de los componentes con ms posibilidades de
error, como el sistema de alimentacin, la resistencia del servidor mejora, ya que el primer
componente puede dar error sin que ello tenga efectos sobre el funcionamiento general.
Normalmente, los servidores de seguridad ms econmicos no tienen opciones redundantes,
ya que resulta costoso agregar resistencia, en particular, porque no aumenta la potencia de
procesamiento.
Dispositivos duplicados: La duplicacin del dispositivo del servidor de seguridad proporciona
un sistema completamente resistente, aunque a un costo considerable, ya que tambin
requiere un cableado de red duplicado y una conectividad duplicada en los enrutadores o
conmutadores a los que se conecta el servidor de seguridad. Sin embargo, en funcin de los
servidores de seguridad, es posible que tambin se doble el rendimiento como compensacin.
En teora, todos los servidores de seguridad, desde el ms pequeo al ms grande, pueden
duplicarse, pero en la prctica tambin se necesita un mecanismo de cambio de conexin de
software que los servidores de seguridad ms pequeos pueden no tener.
Cules son los requisitos de rendimiento de los servidores de seguridad? El rendimiento se puede
considerar en trminos de bits por segundo o de paquetes transferidos por segundo. Si se trata de
una operacin nueva, es posible que no conozca las velocidades de rendimiento y, si esta operacin
se lleva a cabo de forma satisfactoria, el rendimiento de Internet podra aumentar rpidamente.
Cmo se puede controlar un aumento? Debe seleccionar una solucin de servidor de seguridad que
pueda escalar a medida que aumenta el rendimiento. El servidor de seguridad puede crecer
agregando ms componentes o se podra instalar otro servidor de seguridad en paralelo?
A menudo, personas que desean perjudicar a organizaciones o robar secretos comerciales para
obtener una ventaja competitiva utilizan Internet como herramienta. Si instala un servidor de seguridad
perimetral y observa el registro de intrusiones, el volumen de las mismas le sorprender. La mayora
de estas intrusiones slo son pruebas para ver si la mquina responde y averiguar los servicios que
utiliza. Puede parecer inofensivo, pero si el atacante descubre la mquina que utiliza, podra atacar
sus servicios, una vez conocidos sus puntos dbiles. No todos los ataques se basan en Internet.
Tambin debe proteger la informacin importante de los usuarios internos de la red empresarial. La
mayora de las organizaciones dispone de informacin importante que debe protegerse de ciertos
usuarios de la red interna, incluidos empleados, proveedores y clientes.
Un servidor de seguridad es un mecanismo que sirve para controlar el flujo de trfico IP entre dos
redes. Los dispositivos de servidor de seguridad funcionan habitualmente en L3 (nivel 3) del modelo
OSI, aunque algunos modelos tambin pueden funcionar a niveles superiores.
Es importante destacar que los servidores de seguridad mitigan slo algunos tipos de peligros.
Generalmente, un servidor de seguridad no evita el dao que se puede infligir a un servidor con un
problema de seguridad de software. Los servidores de seguridad se deben implementar como parte de
una arquitectura de seguridad completa de la organizacin. En funcin de las caractersticas que
admita un servidor de seguridad, el trfico se permite o bloquea mediante varias tcnicas. Dichas
tcnicas ofrecen grados distintos de proteccin, segn las capacidades del servidor de seguridad. Las
caractersticas siguientes del servidor de seguridad se enumeran de menor a mayor complejidad:
Filtros de entrada del adaptador de red
Filtros de paquetes estticos
Traduccin de direcciones de red (NAT)
Inspeccin con estado
Inspeccin de circuitos
Filtrado de aplicaciones
En general, los servidores de seguridad que proporcionan caractersticas complejas tambin incluyen
caractersticas ms simples. Sin embargo, debe leer la informacin del proveedor con atencin antes
de elegir un servidor de seguridad, ya que pueden existir diferencias sutiles entre su funcionalidad
implcita y su funcionalidad real. Normalmente, la seleccin de un servidor de seguridad implica la
consulta de sus caractersticas y su prueba, para comprobar que funciona de acuerdo con las
especificaciones.
Filtros de entrada del adaptador de red: El filtrado de entrada del adaptador de red examina las
direcciones de origen o destino y otra informacin del paquete entrante y lo bloquea o lo deja pasar.
Se aplica slo al trfico entrante y no puede controlar el trfico de salida. Relaciona direcciones IP y
nmeros de puerto para UDP y TCP, as como para el protocolo de trfico, TCP, UDP y encapsulacin
de ruta genrica (GRE). El filtrado de entrada del adaptador de red permite una denegacin rpida y
eficiente de los paquetes entrantes estndar que cumplan los criterios de las reglas configurados en el
servidor de seguridad. Sin embargo, puede eludirse fcilmente, ya que slo relaciona encabezados
del trfico IP y asume que el trfico que se filtra sigue los estndares IP y no ha sido fabricado para
eludir el filtrado.
Filtros de paquetes estticos: Los filtros de paquetes estticos son similares a los filtros de entrada
del adaptador de red en cuanto a que simplemente comparan los encabezados IP para determinar si
debe o no permitir que el trfico pase por la interfaz. Sin embargo, los filtros de paquetes estticos
permiten el control sobre las comunicaciones entrantes y salientes de una interfaz. Adems, los filtros
de paquetes estticos suelen permitir una funcin adicional sobre el filtrado del adaptador de red, que
consiste en comprobar si se incluye el bit de reconocimiento en el encabezado IP. El bit ACK
proporciona informacin acerca de si el paquete es una solicitud nueva o una solicitud devuelta de
otra original. No verifica si el paquete se envi en un principio por la interfaz que lo recibe, slo
comprueba si el trfico que entra en la interfaz parece trfico de respuesta en funcin de las
convenciones de los encabezados IP. Esta tcnica slo se aplica al protocolo TCP y no al protocolo
UDP. Al igual que el filtrado de entrada del adaptador de red, el filtrado de paquetes esttico es muy
rpido, pero sus capacidades son limitadas y el trfico manipulado para eludirlo, lo consigue.
Traduccin de direcciones de red: En el intervalo de direcciones IP de todo el mundo, algunos
intervalos se designan como direcciones privadas. Estos intervalos se han creado para su utilizacin
en la organizacin y no tienen ningn sentido en Internet. El trfico con destino a estas direcciones IP
no se puede enrutar a travs de Internet, por lo que asignar una direccin privada a sus dispositivos
internos puede proporcionarles cierta proteccin frente a los intrusos. Sin embargo, a menudo estos
dispositivos internos necesitan tener acceso a Internet y la Traduccin de direcciones de red (NAT)
convierte la direccin privada en una direccin de Internet. Aunque NAT no es estrictamente una
tecnologa de servidor de seguridad, al ocultar la direccin IP real de un servidor, se evita que algn
atacante pueda obtener informacin valiosa sobre el servidor.
Inspeccin con estado: En la inspeccin con estado, todo el trfico de salida se registra en una tabla
de estado. Cuando el trfico de conexin vuelve a la interfaz, se comprueba la tabla de estado para
garantizar que el trfico se ha originado en sta. La inspeccin con estado es ligeramente ms lenta
que el filtrado de paquetes esttico. Sin embargo, garantiza que el trfico slo pasa si coincide con las
solicitudes de trfico salientes. La tabla de estado contiene elementos como la direccin IP de destino,
el paquete IP de origen, el puerto al que se llama y el host de origen. Algunos servidores de seguridad
almacenan ms informacin (como los fragmentos IP enviados y recibidos) en la tabla de estado,
mientras que otros almacenan menos. El servidor de seguridad puede comprobar que el trfico se
procesa cuando vuelve toda la informacin fragmentada o una parte de sta. Los servidores de
seguridad de distintos proveedores implantan la caracterstica de inspeccin con estado de forma
distinta, por lo que debe leer con atencin la documentacin del servidor de seguridad. La
caracterstica de inspeccin con estado ayuda a mitigar el peligro que supone el reconocimiento de
redes y la suplantacin de IP.
Es importante comprender que algunas de estas clases se solapan. Esto se debe a su diseo, ya que
la solapacin permite a un tipo de solucin de servidor de seguridad abarcar varias clases. Tambin
es posible que ms de un modelo de hardware del mismo proveedor proporcione varias clases, lo que
permite a la organizacin seleccionar un modelo que se adapte a sus requisitos presentes y futuros.
Aparte del conjunto de precio y caractersticas, los servidores de seguridad se pueden clasificar segn
su rendimiento. Sin embargo, en la mayora de los casos, los fabricantes no proporcionan cifras sobre
el rendimiento. Cuando se proporcionan (normalmente, para dispositivos de sistemas de seguridad de
hardware) no se sigue el proceso de medida estndar, lo que dificulta las comparaciones entre
distintos fabricantes. Por ejemplo, una medida es el nmero de bits por segundo (bps), pero puesto
que, en realidad, el servidor de seguridad transmite paquetes IP, esta medida no tiene sentido si no se
incluye el tamao del paquete utilizado al medir la velocidad.
Para aumentar la disponibilidad del servidor de seguridad, puede implantarse como un nico
dispositivo con o sin componentes redundantes o como un par de servidores de seguridad
redundantes con algn tipo de mecanismo de equilibrio de carga y/o conmutacin por error.
La seguridad de los productos de servidor de seguridad tiene una importancia capital. Aunque no hay
estndares en la industria para la seguridad del servidor de seguridad, la asociacin independiente de
proveedores International Computer Security Association (ICSA) utiliza un programa de certificacin
destinado a comprobar la seguridad de los productos de este tipo disponibles en el mercado. ICSA
somete a sus pruebas a un nmero significativo de los productos de servidor de seguridad disponibles
actualmente en el mercado.
Se debe prestar atencin para asegurar que un servidor de seguridad cumple los estndares de
seguridad requeridos, y una forma de hacerlo consiste en seleccionar un servidor de seguridad con la
certificacin ICSA. Adems, debe existir un registro de seguimiento para el servidor de seguridad que
se elija. Existen varias bases de datos de problemas de seguridad en Internet. Resulta interesante
consultarlas para obtener informacin sobre los problemas de seguridad del producto que tiene
pensado adquirir. Desafortunadamente, todos los productos (basados en hardware y software)
presentan problemas. Adems de determinar el nmero y la gravedad de los errores que han afectado
al producto que desea comprar, tambin es importante evaluar la respuesta del proveedor a los
problemas de seguridad expuestos.
La mayora de los protocolos de Internet que utiliza la versin 4 del Protocolo de Internet (IPv4) puede
protegerse con un servidor de seguridad. Esto incluye protocolos de bajo nivel, como TCP y UDP, y
protocolos de alto nivel como HTTP, SMTP y FTP. Revise cualquier producto de servidor de seguridad
que se pueda considerar para asegurar de que admite el tipo de trfico necesario. Algunos servidores
de seguridad tambin pueden interpretar el protocolo GRE, que es el de encapsulacin para el
protocolo de tnel punto a punto (PPTP) utilizado en algunas implementaciones de VPN.
Algunos servidores de seguridad han integrado filtros de aplicaciones para protocolos como HTTP,
SSL, DNS, FTP, SOCKS v4, RPC, SMTP, H. 323 y el protocolo de oficina de correo (POP).
Tambin debe considerar el futuro del protocolo TCP/IP e IPv6, y si ste debe ser un requisito
obligatorio para cualquier servidor de seguridad, incluso si actualmente utiliza Ipv4.
6.6 SNTESIS
Muchos de los servicios que las personas demandan son, por naturaleza, inseguros. Los Firewalls son
como los agentes de trnsito para estos servicios. Refuerzan las polticas de seguridad del sitio,
permitiendo que pasen slo los servicios aprobados y aquellos que cumplen con las reglas
establecidas para ello.
Su implementacin fsica vara de un sitio a otro. Con mayor frecuencia un Firewall es un conjunto de
componentes de hardware (un equipo dedicado, un router o un host, con el software apropiado).
Existen varias formas de configurar estos equipos, dependiendo de la poltica de seguridad, del
presupuesto y de las operaciones generales de un sitio especfico.
Los Firewalls ofrecen una excelente proteccin contra las amenazas a la red, pero no son una
solucin de seguridad total. Ciertas amenazas estn fuera del control del Firewall. Debe encontrar
otras formas de protegerse contra ellas incorporando seguridad fsica, seguridad a nivel de los hosts y
educacin para el usuario en su plan de seguridad.
Los Sistemas de deteccin de intrusiones complementan las medidas de seguridad, y nos protegern
en caso que el atacante ya est dentro de la red interna, en este caso el Firewall no puede hacer casi
nada por resistir un ataque. Los usuarios internos pueden robar datos, daar el hardware y el software
y modificar programas de manera sutil. Las amenazas desde adentro requieren medidas de seguridad
internas, como los sistemas de deteccin de intrusiones.
En general podremos implementar IDSs basados en red y en hosts, los primeros escuchan las
comunicaciones que circulan por el segmento donde estn instalados y los basados en hosts se
instalan en hosts determinados, por ejemplo los servidores, y permiten auditar los eventos que
suceden en el mismo. Ambos IDSs recogen informacin, la analizan y pueden frenar en forma activa
aquellos eventos que interpreten como un ataque, adems deben enviar reportes a una consola
central donde el administrador puede observar el comportamiento de la red.
6.7 PREGUNTAS Y TIPS
Todo especialista en seguridad necesita conocer los fundamentos del hardening de sistemas. Este
captulo tiene como objetivo presentar las tcnicas y mtodos del hardening, orientados
principalmente a sistemas operativos, redes y aplicaciones.
Es bien sabido que al instalar cualquier sistema operativo o aplicacin, las opciones y caractersticas
por defecto suelen ser genricas, no adecuadas a necesidades en particular. Esto no tiene una razn
de ser caprichosa, sino que responde a que lo que se instala sea funcional a la mayora de las
personas. Mucho software tambin brinda la posibilidad de seleccionar entre distintos tipos de
instalacin, en la cual se hace foco en ciertas cosas, como minimizacin de lo instalado, maximizacin
de recursos disponibles, y otras opciones tpicas.
As es como nace el concepto de Hardening, del ingls endurecimiento, que refiere al proceso de
segurizar un sistema o aplicacin en funcin de su proteccin contra eventos determinados.
Normalmente esto incluye habilitar o deshabilitar funciones, cerrar accesos y puertos no utilizados, y
eliminar lo que no es necesario para el funcionamiento normal.
Para poder mantener un sistema en un estado de funcionamiento seguro es necesario conocer
primero los aspectos que lo podran transformar en inseguro. El conocimiento en profundidad de las
caractersticas de los sistemas servir para tomar conciencia del impacto que puede provocar el uso
incorrecto del mismo o la existencia de una vulnerabilidad.
Es por esto que se requiere ante todo estar informado. Claro que en un mundo donde la informacin
circula a altsima velocidad, cuesta demasiado estar constantemente actualizado en lo que a
tecnologa se refiere, pero tratndose de la seguridad, ser una tarea crtica para poder obtener
resultados positivos.
Existe una gran cantidad de recursos en la web que nos pueden mantener al tanto de las noticias de
seguridad. Tal vez una de las ms reconocidas de habla hispana sea Hispasec
(http://www.hispasec.com/). Tambin en la seccin de noticias del sitio Delitos Informticos podemos
hallar datos actualizados (http://www.delitosinformaticos.com).
Es recomendable contar con distintas fuentes, ya que las noticias suelen ser encaradas para en
distintos niveles de usuario, desde lo meramente informativo hasta lo ms tcnico.
Los Hotfixes son componentes diseados para reparar problemas que ocurren en un nmero de
servidores o equipos de trabajo relativamente pequeo. Son creados en general por el proveedor del
software cuando aparecen ciertos problemas de compatibilidad o funcionalidad con un producto de un
fabricante utilizado en una plataforma de hardware especfica. En espaol se encuentra traducido
muchas veces a la palabra "revisin" al referirse a un hotfix.
Por lo general suelen contener uno o ms archivos, y tienen como fin resolver problemas de reciente
aparicin, como son los agujeros de seguridad. Pueden instalarse manual o automticamente a travs
de un sistema de gestin de paquetes como puede ser Windows Update para el sistema operativo
Windows, YUM o APT para el sistema operativo Linux.
Muchas veces un hotfix no es sometido a rigurosas pruebas antes de ser lanzado, pues soluciona
problemas crticos que fueron descubiertos recientemente. Por lo tanto, los hotfixs simplemente sirven
para solucionar un problema especfico, y se recomienda al igual que con los updates, instalarlos slo
si es necesario, para el caso sera cuando se manifieste ese error o problema en la aplicacin o
sistema operativo.
En lo posible, se deberan probar en un ambiente que no sea de produccin, y solo luego de una
etapa de prueba debera considerarse la aplicacin en produccin. Tambin es bueno tener en cuenta
una metodologa de vuelta atrs, en el caso de querer eliminarlos luego de ser aplicados.
En el caso de Microsoft, dispone del Microsoft Network Security Hotfix Checker (HfNetChk), una
herramienta que puede ser descargada y utilizada en los sistemas Windows y sirve para detectar
faltas de parches en el sistema. Tambin existen herramientas de otras compaas para la misma
tarea.
Los Service Packs son grupos de parches que se utilizan para actualizar, corregir y mejorar
aplicaciones y sistemas operativos. Son testeados sobre una gran cantidad de hardware y
aplicaciones, a fin de asegurar compatibilidad con otros parches y actualizaciones existentes, y para
cubrir mucha ms rea funcional que un conjunto de hotfixes. Tambin se recomienda que sean
testeados antes de ser aplicados en entornos de produccin, esto es porque ms all de los testeos
que pueda realizar el proveedor del software, sera imposible probar todas las combinaciones de
sistemas que podemos encontrar en el mercado, con lo cual depender del administrador el testeo
propio.
La denominacin Service Pack fue popularizada por Microsoft cuando comenz a agrupar conjuntos
de parches que actualizaban su sistema operativo Windows. Son de dos tipos:
Incremental: en la cual cada SP no contiene las actualizaciones anteriores, por lo que debe
instalarse el SP anterior antes de instalar el SP siguiente.
Acumulativo: que es el caso contrario, cada SP contiene el SP anterior, lo que hace mucho
ms fcil y rpida la actualizacin. Microsoft Windows posee esta tcnica. Por lo general es
altamente recomendable la instalacin de un SP actualizado (especialmente los de sistemas
operativos) para mejorar el rendimiento, reparar errores y solucionar agujeros de seguridad.
De hecho es comn que para poder ejecutar nuevas aplicaciones se deba obligatoriamente
instalar determinados SP.
7.1.5 Firewalling
El hecho de contar con un dispositivo de firewalling en el permetro de una red, nos obliga a analizarlo
como parte del hardening del sistema informtico. Esto puede parecer redundante, ya que los
Firewalls se configuran exclusivamente para brindar seguridad, pero dicha tarea no implica un
funcionamiento inherentemente efectivo. Puede continuar pareciendo una obviedad, pero una
verdadera configuracin segura de un dispositivo perimetral como lo es un Firewall, requiere un
estricto control y verificacin, tanto antes de ser puesto en marcha como peridicamente, o bien
cuando exista un requerimiento que lo amerite.
La regla de oro a seguir ser la siguiente: todo aquello que no fue explcitamente permitido, debe ser
prohibido. Esto implica mucho trabajo de configuracin, ya que frente a cada requisito de entrada o
salida de la red, se debe contemplar una regla de filtrado, y si consideramos la gran cantidad de
puertos y accesos que utiliza el software en los sistemas actuales, es fcil notar la complejidad que se
asume al cumplir esta regla.
De todas maneras, al instalar un Firewall puede ser preferible priorizar la incomodidad inicial frente a
la exposicin inicial, ya que la primera se mitiga con el tiempo y un cuidadoso seguimiento y la
segunda podra conducir a incidentes. As podemos comenzar a realizar los chequeos
correspondientes dependiendo del tipo de Firewall con el que contemos. No olvidemos que no es lo
mismo un filtrado de capa 3 (por direccin) que un filtrado de capa 4 (por puerto), as como tampoco
ser lo mismo el filtrado en capa 7 (aplicaciones). Para cada instancia de revisin, debemos
comprobar que el uso de cada recurso es indispensable para quien lo solicita.
Se debe tener sumo cuidado al intentar modificar reglas o directivas previamente definidas, ya que el
procesamiento ordenado y secuencial de las mismas, tiene un efecto especfico para cada peticin de
acceso. Es decir, se debe comprender el funcionamiento completo del Firewall y sus reglas para poder
considerar modificaciones.
Por otra parte, un Firewall no nos proteger de ataques internos ni sustituir otras medidas de
seguridad, por lo tanto deben considerarse como un elemento ms (aunque indispensable) de la
seguridad de un sistema. En cuanto a los parches y actualizaciones de seguridad, deben tenerse en
cuenta, tanto para los Firewalls por software como por hardware (firmware upgrade).
Los sistemas operativo Windows poseen un sistema de Firewall reducido que provee caractersticas
de filtrado. Los sistemas del tipo GNU/Linux basan su filtrado de paquetes en el esquema de netfilter,
implementado mediante la herramienta iptables. Est considerado uno de los sistemas de filtrado ms
potentes que existen.
7.1.6 HIDS
Los sistemas de deteccin de intrusos (IDS) pueden estar basados en Host o ser de Red. Esta
principal clasificacin determina el uso que se le dar y su mbito de aplicacin. En este caso nos
referimos a los Host IDS (HIDS) y las consideraciones en cuanto al hardening de los mismos.
Primeramente, ser necesario tener en cuenta el sistema operativo sobre el cual se quiere realizar la
deteccin, ya que de este depender el software utilizado y diversas medidas basadas en su
funcionamiento interno. Una vez definido el SO, podemos definir algunos criterios de seleccin y
optimizacin
Uno de los principales podra ser la carga de la CPU, esto es debido a que tendremos que establecer
una buena relacin entre deteccin y rendimiento. De nada servir un sistema muy ajustado que no
permita trabajar a las aplicaciones y usuarios, pero tampoco servir un sistema que no consuma
tantos recursos y a la vez sea ineficiente.
Otro de los aspectos ser el uso en el disco rgido. Esto es relativo al tamao que la aplicacin utiliza
para s mismo, tanto en su estado fundamental recin instalado, como a travs del tiempo con los
nuevos archivos generados (firmas, logs, etc.)
Continuando con los criterios, podemos tomar en cuenta la usabilidad, ya que nos permitir el mejor
acceso a la configuracin, y finalmente, estudiaremos la calidad en la deteccin, ya sea para ataques
conocidos como desconocidos.
Una buena optimizacin de seguridad en cuanto a HIDS consistir en la verificacin de la deteccin y
posterior ajuste (realimentacin) dentro del sistema. Es necesario que los patrones y firmas estn
actualizados, y que se haya contado con suficiente tiempo de entrenamiento, el cual depender del
tamao, carga y trfico del equipo en cuestin (por lo general servidores).
La optimizacin tambin constar en asegurarse de que los patrones de comportamiento
considerados por nosotros como intrusivos, son efectivamente detectados, y que frente a cada nivel
de alerta se origine el aviso correspondiente, ya sea en la consola local, o mediante mensajes al
administrador (e-mail, sms, etc.).
7.1.8 Hardening en SO
Las listas de comprobacin son una serie de guas metodolgicas que se utilizan para controlar que
una tarea es realizada por completo (muchas veces en un determinado orden) y sin olvidar los tems
fundamentales de la misma. Estas checklists se utilizan tanto en procesos de auditoria informtica
como en tareas cotidianas de mantenimiento y tambin para realizar procedimientos definidos y
repetibles.
En la prctica son una herramienta que intenta apuntalar la dificultad de las personas para recordar
demasiadas tareas, y por otro lado, asegura un estndar en el relevamiento de datos realizado, a fin
de ser procesado posteriormente de manera ms fcil y rpida.
Las listas de comprobacin deben ser confeccionadas por personas idneas para tener la plena
certeza de que se contemplara todo lo necesario para completar la tarea en cuestin. Muchas veces
es bueno que estn sujetas a revisin antes de ser puestas en uso.
No debe olvidarse que es bueno tomar como parmetro otras listas de comprobacin relacionadas, ya
que de esa manera se pueden ajustar a nuestras necesidades sin tener que crearlas desde cero, con
un consecuente ahorro de tiempo y esfuerzo. Para ayudarnos en esta tarea, existen aplicaciones para
crear listas de comprobacin, pero bien puede utilizarse un simple procesador de texto.
La seguridad de los sistemas operativos es la base del nivel de seguridad esperable para todo lo que
dependa del mismo, empezando por las aplicaciones. Es por esta simple razn que debe dedicarse un
tiempo razonable a la segurizacin inicial del mismo, ajustando sus configuraciones e intentando que
no queden opciones por defecto sin analizar.
Comenzaremos estudiando el proceso de inicializacin del sistema, pasando por la seleccin del
sistema de archivos y su integridad, hasta el ajuste de polticas y logs de auditoria. Luego
estudiaremos la configuracin de los protocolos relacionados con el uso de las redes e Internet, y
veremos algunas herramientas tiles a la hora de realizar hardening.
Debemos tener en cuenta que con el concepto de hardening siempre intentar segurizar la plataforma
con las herramientas que la misma cuenta, y mediante el ajuste de configuraciones existentes. El
agregado de aplicaciones externas escapa al concepto ortodoxo de hardening, aunque por supuesto
que sirve a los fines de la seguridad.
Es importante conocer el estado en el que se encuentran los sistemas operativos out of the box para
poder reforzarlos a partir de dicho estado. En el caso de sistemas Windows, es bien conocido el
estado recin instalado, ya que ser nico para toda instalacin. Para el caso de sistemas GNU/Linux,
la gran variedad de distribuciones y opciones de instalacin existentes hace que se torne ms
complejo el hecho de saber a priori el estado en el que queda el sistema out of the box.
Como normal general, empezaremos por dejar en los sistemas solamente las aplicaciones y
caractersticas que se utilizarn especficamente.
7.1.9 OS y NOS
A la hora de reforzar los sistemas, es bueno tener en cuenta para empezar, las recomendaciones que
da el proveedor del mismo. En cuanto a los sistemas instalados en equipos cliente, tendrn
configuraciones especiales que los harn dependientes en gran medida de los servidores contra los
cuales realicen sus tareas. Por su parte, los servidores pueden diferir en sus aplicaciones instaladas y
los servicios que proveen.
Se debe tener especial cuidado de no desactivar servicios y funciones importantes del sistema,
tomando en cuenta que algunos SO permiten deshabilitar incluso las funciones crticas. Una prctica
recomendable es documentar todos los cambios que se realizan, a fin de poder construir una
metodologa replicable en el futuro, y tambin para poder volver hacia atrs las modificaciones en
caso de necesitarlo.
El sistemas operativo ms utilizados hoy en da en equipos de escritorio es sin duda Windows XP de
Microsoft, que poco a poco reemplaz a las versiones anteriores (Windows 95, 98 y ME). En menor
medida se pueden encontrar equipos con sistemas GNU/Linux, cada vez ms cerca del usuario final, y
Mac OS X en equipos Apple.
En cuanto a sistemas de red, tambin Microsoft tiene gran presencia con su serie comenzada por los
clsicos Windows NT y 2000, hoy evolucionados hacia Windows 2003/2008. Pero en el mbito de los
servidores tambin encontramos una amplia difusin de sistemas derivados de UNIX, como ser Sun
Solaris, HP-UX, AIX, BSD, y por supuesto, GNU/Linux. Por otro lado tenemos Novell Netware, que
implement su propio protocolo y basa su seguridad en lo que se denomin NDS (Network Directory
Service) hoy conocido como eDirectory.
Una buena combinacin de lneas de defensa en el inicio brindar una barrera cada vez mas difcil de
atravesar para los atacantes locales.
Se debe tener cuidado de no contar con polticas demasiado estrictas para las cuentas, ya que
pueden impactar negativamente en los usuarios, por ejemplo, al obligar a u usuario a recordar
contraseas nuevas y largas lo nico que conseguimos en el mediano plazo es que las anote en un
papel o en un archivo de texto plano en su escritorio.
7.1.13 Auditora
En general, se define como un proceso sistemtico que consiste en obtener y evaluar objetivamente
evidencias sobre las afirmaciones relativas a actos y eventos, con el fin de determinar el grado de
correspondencia entre esas afirmaciones y los criterios establecidos, para luego comunicar los
resultados a las personas interesadas.
En el entorno de los sistemas operativos, un registro de auditoria (log) es un registro permanente de
acontecimientos importantes ocurridos en el sistema. La escritura del mismo se realiza
automticamente cada vez que ocurre un evento, se almacena en un rea protegida del sistema, y es
un mecanismo importante de deteccin. El registro de auditoria debe ser revisado cuidadosamente y
con la frecuencia adecuada. Las capacidades de auditoria que proveen un sistema o aplicacin son
las que van a permitir determinar qu elementos acceden a qu partes del mismo en sus distintos
niveles.
Para los fines del hardening, es necesario ajustar al mximo las capacidades propias de los SO y
combinarlas adecuadamente con las de las aplicaciones, a fin de poder contar con los registros ms
completos para cada rea de operacin. Debe tenerse cuidado de proteger el propio mecanismo de
auditora, ya que si se desactiva, de nada servirn tantos ajustes.
En el caso de que un sistema quede comprometido, los logs ya no sern de utilidad debido a que
carecen de confiabilidad por el solo hecho de haber sido vulnerada la seguridad del sistema. Es
posible considerar un sistema de log que solo permita escribir los archivos al final de los mismos
(modo append) para que no puedan ser modificados en cualquier ubicacin del mismo una vez
escritos. Una vez alcanzado un determinado tamao o pasado un tiempo predefinido, los logs pueden
almacenarse, y deben hacerlo en un lugar seguro, que cuente con la posibilidad de accederlos si se
requieren para futuros anlisis. Tambin podemos contar con un log server (servidor de logs) que
podra centralizar los registros de auditoria de los distintos servidores de una red, para que puedan
ser analizados y protegidos de manera ms controlada. Por ltimo, existe la posibilidad de utilizar
registros fsicos para casos muy especiales o crticos.
Para completar la lista, no podemos dejar de mencionar a Microsoft Baseline Security Analyzer
(MBSA) que es una herramienta fcil de utilizar que ayuda a determinar el estado de seguridad en
funcin de las recomendaciones de seguridad de Microsoft y ofrece guas para corregir los fallos.
Bastille Linux: Bastille es un programa para hardening de SO GNU/Linux que acta mediante
el bloqueo de caractersticas habituales, configurndolo para que se comporte de manera
proactiva frente a la seguridad, y disminuya la susceptibilidad de ser comprometido. Bastille
tambin puede evaluar el estado actual de seguridad de un sistema, reportando los seteos con
los que trabaja, e incluso considera la funcionalidad de deshacer y revertir. Bastille hace foco
en dejar que el administrador elija como quiere segurizar el sistema. En su modo por defecto
hace preguntas interactivas, explicando los temas y creando una poltica basada en las
respuestas del usuario o administrador (root). Luego aplica las polticas al sistema. En su
modo de valuacin, crea un reporte orientado a explicarle al usuario los tpicos relativos a las
opciones disponibles mientras le indica cuales son las que estn vigentes en el sistema en ese
momento. Otro de los objetivos de Bastille es educar al administrador respecto a la seguridad,
ayudndolo a realizar elecciones concretas y bien pensadas.
Grsecurity: ofrece una serie de parches al ncleo de Linux para mejorar la seguridad del
sistema. No es un servicio adicional de seguridad ni un mdulo de kernel. Toma prestados
algunos conceptos de LIDS (Linux Intrusion Detection System). Provee protecciones para
distintos tipos de ataques a nivel de software e incluye auditoria adicional del kernel. (figura
3.3.10) Toma el modelo de deteccin, prevencin y contencin. Para cada una de estas
instancias se vale de diferentes mecanismos. El proyecto nos ofrece prevencin contra Buffer
Overflows mediante el sistema PaX, control de Acceso basado en Roles (RBAC), aleatoriedad
en los ID de los procesos y la pila TCP/IP y vistas restringidas de los procesos, entre otras
cosas. Los parches se distribuyen en un nico parche que se aplica al kernel, el cual pesa
menos de un megabyte actualmente, y habilita las caractersticas antes mencionadas, muchas
de las cuales son independientes entre s. Cada funcionalidad opera como un pequeo parche
del kernel y algunas pueden resultar en una sensible baja de la performance.
7.1.22 Logging
El sistema de logs en un webserver es la herramienta fundamental en la que se basa el anlisis y
posterior interpretacin de la informacin obtenida de la navegacin realizada en las pginas
contenidas en el mismo.
En los logs de un webserver interesan principalmente los datos de los navegantes, es decir, la
direccin de origen, navegador utilizado, hora de acceso, tiempo total de conexin, y operaciones
realizadas contra el sitio. El consorcio W3C determina un formato standard para logs de servidores
web, pero existen distintos formatos propietarios.
Es de esperarse que la cantidad de informacin obtenida por los registros de un webserver pueda ser
mucha, por lo cual puede ser necesario contar con aplicaciones externas para su anlisis. As nacen
las herramientas de anlisis de logs, que tienen la capacidad de correlacionar eventos y datos a fin de
obtener informacin procesada que sirva para el administrador. Normalmente los logs solo deben ser
accedidos por el administrador, nunca por los usuarios del sistema. El anlisis estadstico de los logs
puede usarse para definir patrones de trfico, comportamiento o similares.
Como todo sistema de logs, debe tenerse en cuenta el almacenamiento de los logs antiguos
(incluyendo su compresin y seguridad) y los ciclos de rotacin definidos.
La industria del software en su creciente y decidida penetracin en todos los aspectos de los negocios
y procesos de las organizaciones modernas, es una de las realidades tangibles que la sociedad,
particularmente del siglo XXI, observa con inquietante y curioso anlisis. Si bien, la necesidad de
generar mejores soluciones sistematizadas, que aumenten la efectividad de las acciones corporativas
y den mayor valor agregado a sus clientes, se contrasta con las presiones e implicaciones que esto
lleva en el desarrollo mismo de dichas soluciones. En este sentido, el balancear la necesidad de
obtener un producto de software de ptima calidad que permita a la organizacin adelantar con
oportunidad y alto contenido estratgico sus directrices de negocio, enfrenta un doble desafo para los
dedicados a la programacin y construccin de los sistemas de informacin de las organizaciones, as
como para los clientes de los mencionados sistemas. Por un lado, todas las variables asociadas con
la administracin del proyecto en s mismo, las cuales imprimen una importante complejidad al
desarrollo de soluciones informticas, y en segundo lugar, los altos estndares de aseguramiento de
la calidad del desarrollo de software.
En esta encrucijada de formalidad administrativa y tcnica, la construccin de sistemas de informacin
ofrece un desafo prctico para las nuevas generaciones de programadores y administradores de
proyectos informticos, y una especial atencin de los experimentados ingenieros de software para
contextualizar sus aprendizajes en elementos conceptuales y formales que alimenten la prctica de la
creacin de software.
Por tanto y, considerando el gran reto de la construccin de software, la necesidad de soluciones de
software intercomunicadas (orientadas al uso de redes de computadores), la utilizacin de modernos
lenguajes de programacin (JAVA, PYTHON, PERL, PHP, entre otros), la necesidad de soluciones
eficientes y de alta portabilidad, el uso de metodologas de aseguramiento de calidad, se hace
necesario revisar elementos relacionados con las prcticas y principios de programacin segura como
aspecto complementario del proceso de desarrollo de software.
En esta seccin no se pretende estudiar de forma ms profunda los aspectos relacionados con la
programacin segura, solo dar un resumen completo de sus principales caractersticas. La
Metodologa, o estndar de programacin segura de ISECOM (Institute for Security and Open
Methodologies) ahonda ms en e tema, proponiendo prcticas seguras en el desarrollo de software y
aplicaciones para la Web.
7.2.3 Vulnerabilidades de Scripting
Los lenguajes de scripting son aquellos que estn diseados para ser ejecutados por medio de un
intrprete, a diferencia de los compilados. Muchos rechazan la clasificacin de lenguajes interpretados
y compilados, considerando que el modo de ejecucin es independiente del mismo. Como ejemplo
podemos nombrar los ya conocidos Perl, Python, Bash, Ruby y muchos ms.
Particularmente en las plataformas GNU/Linux, el scripting es un componente fundamental de la
administracin, que se realiza en lenguajes como el anteriormente mencionado Bash, u otros
intrpretes similares, como ser csh, tcsh, ksh y otros. La potencia y simpleza de esta clase de
lenguajes aplicados a los sistemas Linux consigue una combinacin muy poderosa para realizar todo
tipo de tareas administrativas. Existe un tipo de ataque basado en la explotacin de vulnerabilidades
del sistema de validacin de HTML incrustado que se denomina XSS por Cross Site Scripting (se lo
llam as para no confundirlo con la tecnologa CSS). Originalmente abarcaba cualquier ataque que
permitiera ejecutar cdigo de scripting en el contexto de otro dominio. Estos errores se pueden
encontrar en cualquier aplicacin web, no solo sitios.
El problema radica en que normalmente no se validan correctamente los datos de entrada usados en
las aplicaciones. Puede estar presente de forma directa, por medio de foros, mensajes de error o
comentarios, o bien indirecta, por redirecciones o framesets, etc. En cuanto a los lenguajes de
scripting, el intrprete puede considerar parte de la seguridad del mismo, pero la lgica ser
responsabilidad del programador.
7.2.4 CGIs
CGI, o Common Gateway Interface es una tecnologa que permite a un cliente con un explorador web,
solicitar datos de un programa ejecutado del lado del servidor web. CGI especifica un estndar para
transferencia de datos entre cliente y programa. El resultado final de la ejecucin son objetos MIME.
Las aplicaciones que se ejecutan en el servidor se denominan CGIs.
Cuando un usuario invoca un CGI se le est permitiendo ejecutar remotamente un programa en el
servidor, de manera que podra intentarse la introduccin de parmetros manipulados para que
funcionase de manera maliciosa. Como condicin de seguridad, los programas solamente deberan
ejecutar las acciones para las que fueron concebido. No se debe dar al cliente ms informacin que la
que se desee suministrar. Tampoco se debe confiar en la informacin de los datos introducidos por el
cliente. En caso de xito en un ataque, se debe minimizar el dao potencial al sistema.
Para distinguir si un CGI es seguro, debemos analizar primero su complejidad (es preferible que sean
sencillos). Por otra parte, debemos chequear si acta sobre archivos del sistema o interacta con
otros programas. Siempre es necesario validar las entradas procedentes de los formularios. Debe
tenerse especial cuidado con los campos ocultos, ya que no se visualizan en el navegador pero s en
el cdigo HTML. Es importante recordar que no se ejecutan necesariamente desde un formulario, sino
que tambin pueden hacerlo directamente a travs de la ventana de URL.
7.2.5 Java
Java es un lenguaje orientado a objetos desarrollado por Sun Microsystems a principios de los 90.
Las aplicaciones se compilan normalmente en un bytecode que se interpreta en tiempo de ejecucin.
El lenguaje toma mucha de su sintaxis de C y C++ pero su modelo de objetos es ms simple. Para
trabajar con el lenguaje, el fabricante proporciona un compilador y una mquina virtual. Utiliza el
modelo de seguridad de Sandbox, el cual se implementa con distintas tcnicas:
Las caractersticas del lenguaje y el compilador
La verificacin del bytecode
El cargador de clases
El gestor de Seguridad Desde este punto de vista podemos considerar seguro el uso de este
lenguaje, aunque de todas formas siempre es posible desactivar su ejecucin desde las
Opciones de Internet si nos encontramos en un entorno Windows con Internet Explorer.
Es una buena prctica el hecho de contar con la versin ms actualizada de la mquina virtual
provista por Sun para ejecutar las aplicaciones en este lenguaje, llamadas comnmente applets.
7.2.6 Javascript
Javascript es un lenguaje interpretado (no requiere compilacin) que se utiliza principalmente en
pginas web. Posee una sintaxis semejante a la de Java y el lenguaje C. Por el contrario que Java, no
es un lenguaje orientado a objetos propiamente dicho (no dispone de herencia) sino que est basado
en prototipos (las clases se generan clonando clases base). Los navegadores por su parte, interpretan
su cdigo, que est integrado en las pginas web. Fue diseado para cumplir ciertas normas de
seguridad para proteger el sistema del usuario. Tras cargar una pgina HTML, el navegador ejecuta
su cdigo sin que el usuario tenga que saberlo. Una norma de sus creadores fue la imposibilidad de
acceder a elementos externos a la pgina web. No puede acceder a archivos de usuario ni ejecutar
programas. Tampoco se pueden realizar conexiones con otros servidores desde el lado del usuario. El
Internet Explorer de Microsoft puede eludir estas restricciones mediante controles ActiveX, por lo cual
debe tenerse sumo cuidado al combinar las tecnologas.
7.2.7 ActiveX
ActiveX es una tecnologa de Microsoft que se utiliza para desarrollar componentes de software
orientados a objetos reutilizables. Es aprovechada en el desarrollo de pginas dinmicas. Se presenta
tanto del lado del servidor como del cliente, aunque existan diferencias en el uso en cada caso. En el
cliente, funcionan como pequeos programas que se pueden incluir en de pginas web y sirven para
realizar diversas acciones. Son parecidos a los Applets de Java en su funcionamiento, aunque difieren
en la seguridad, ya que un Applet de Java no podr tomar privilegios ms all de la mquina virtual y
los controles ActiveX s. Los scripts de ActiveX son particulares del navegador Internet Explorer, y
funcionan como controles, similares al uso de plugins. En el servidor tambin existen controles
ActiveX, y estn presentes en la creacin de sitios en ASP.
En cuanto a las consideraciones de seguridad referidas a esta tecnologa, debemos tener en cuenta
su alta interactividad con el sistema operativo, lo cual puede convertirlo en un eslabn dbil de la
cadena de seguridad. Desde el navegador Internet Explorer es posible ajustar las configuraciones
predeterminadas para aceptar o no los controles ActiveX. Esto se realiza mediante el ajuste de Nivel
Personalizado en la solapa Seguridad del cuadro de Opciones de Internet (en la barra del
programa aparece luego de un click en Herramientas). En cuanto al lado del servidor, debemos
asegurarnos de cumplir con los requerimientos de seguridad al realizar la programacin de los sitios
dinmicos.
De esta manera es posible asegurar que un archivo o documento que emite un creador a muchos
usuarios, conserva su integridad y no es modificado en el camino. Es decir, el archivo es exactamente
el mismo que el provisto por el creador. Ampliando el concepto, podemos obtener certificados que
permitan confirmar adems los datos del creador de cdigo que es entregado para su instalacin. Es
muy recomendable que empresas y desarrolladores que pretendan distribuir programas o contenido,
los aseguren a travs de los mecanismos de firma digital, para as generar confianza en sus
receptores. Para hacerlo de manera vlida oficialmente, debe obtenerse un certificado de una
autoridad certificante. En pocas palabras, una manera muy til de fortalecer un sistema es mediante la
comprobacin de las firmas de los archivos, especialmente una vez descargados de la web del
proveedor.
SMTP: El SMTP (Simple Mail Transfer Protocol) es un protocolo de red, basado en texto plano que se
utiliza para el intercambio de correo electrnico entre distintos equipos. Una limitacin del protocolo
SMTP, es el hecho que no soporta autenticacin en forma nativa. A partir de una extensin realizada a
este protocolo, el SMTP-AUTH, se obtuvo una mejora en el hecho que los usuarios emisores deben
autenticarse para poder enviar sus correos. Tambin se puede fortalecer el nivel de seguridad de las
conexiones por SMTP, configurndolo para que soporte encriptacin por Secure Socket Layer (SSL).
Para esto por defecto se suele utilizar el puerto TCP 587.
POP3: El POP3 (Post Office Protocol versin 3) es un protocolo que se utiliza para obtener mensajes
de correo electrnico alojados en un servidor. Algunas versiones no tan conocidas de POP3 son:
APOP POP3 con autenticacin MDS. En este protocolo, el cliente de correo enva un hash
codificado de la contrasea al servidor en lugar una contrasea encriptada
KPOP POP3 con autenticacin Kerberos
RPOP POP3 con autenticacin RPOP, que utiliza un identificador de usuario similar a una
contrasea para autenticar las peticiones POP Para aadirle seguridad a la conexin por
protocolo POP3, una buena prctica es utilizar la encriptacin Secure Socket Layer (SSL) para
la autenticacin del cliente y las sesiones de transferencias de datos. El puerto por defecto
para este tipo de conexin es el TCP 995.
IMAP: El IMAP (Internet Message Access Protocol) es un protocolo de red para acceder a mensajes
de correo electrnico que se encuentren almacenados en un servidor. Mediante este protocolo se
puede tener acceso al correo desde cualquier equipo con conexin a Internet, ya que los mensajes
permanecen en el servidor. Los usuarios una vez que acceden a su correo pueden borrarlos. IMAP
tambin permite a las aplicaciones cliente crear, modificar y borrar carpetas del lado del servidor,
facilitando la gestin de los correos electrnicos. Es especialmente recomendado para usuarios que
acceden a su correo desde diversos equipos. De manera anloga a POP3, se puede agregar un nivel
de seguridad a la conexin por IMAP utilizando la encriptacin Secure Socket Layer (SSL) para la
autenticacin del cliente y las sesiones de transferencias de datos.
MIME: El formato MIME (Multipurpose Internet Mail Extensions) son una serie de especificaciones
dirigidas al intercambio de todo tipo de archivos a travs de Internet y que este sea transparente para
el usuario. De todas las especificaciones, una parte importante est orientada a mejorar la
transferencia de texto en distintos idiomas. Hoy por hoy, se puede afirmar que ningn cliente de correo
electrnico o navegador web puede considerarse como tal si no soporta el formato MIME.
DNS primarios, o bien uno primario y uno secundario. Si se realiza algn cambio en un servidor
primario o secundario, el cambio se propagar hacia otros servidores DNS de confianza. Si se inserta
un registro falso dentro de los servidores DNS, este registro apuntar a la ubicacin del atacante,
convirtindola en una ubicacin legtima. Imaginen la situacin donde un determinado sitio, fue
redireccionado maliciosamente a otro de la competencia, o peor an, a algn sitio ilegal. Para evitar
este tipo de ataques, se debe estar seguro que los servidores DNS requieran autenticacin antes que
se haga cualquier tipo de propagacin. En entornos Linux y Unix, y prcticamente la mayor parte de
los servidores DNS, estn montados sobre BIND.
7.2.14 Servidores DHCP
DHCP (Dynamic Host Configuration Protocol) es el protocolo que permite a los distintos nodos de una
red IP obtener sus parmetros de configuracin automticamente, como ser direccin IP, mscara de
subred, Gateway, etc. En lo que respecta a la seguridad, los servidores DHCP agregan un nivel de
complejidad ms a la estructura de seguridad, pero bien configurados tambin ofrecen la posibilidad
de acotar y controlar la asignacin de direcciones y parmetros de red a los equipos cliente. Para
poder lograr esto los administradores deben definir estrictas ACL (Access Control Lists) para limitar a
los usuarios la posibilidad de modificar las configuraciones de red. Del mismo modo que en todas las
aplicaciones de servidores anteriores, los administradores tambin deben aplicar los parches de
seguridad, updates, service packs y hotfixes necesarios para que el DHCP quede correctamente
configurado y protegido. Como consideracin adicional relativa a la seguridad, es importante controlar
la generacin de servidores DHCP falsos, ya que estos pueden enviar direcciones distintas a los
diversos clientes, violando las configuraciones y los controles de seguridad. Para evitar esto, es
necesario que los administradores tengan herramientas de control de trfico de red y as detectar
cualquier tipo de anomala. En la mayora de las plataformas existen distintos controles de acceso y
autenticacin para este tipo de servidores, como administrador es una buena prctica estar
familiarizados con las mismas.
Las vulnerabilidades de seguridad informtica han existido desde siempre. Hasta 1990 la gran
mayora de los intrusos ingresaba a los sistemas informticos utilizando tcnicas de scanning, ataques
de fuerza bruta, probando usuarios y diferentes passwords, ingeniera social, etc. A partir de principios
de los 90 los intrusos comenzaron a ingresar a los sistemas informticos a travs de la explotacin de
vulnerabilidades, que eran conocidas primariamente dentro de los ambientes underground y
posteriormente, con el uso masivo de Internet comienza a surgir los primeros Web Sites de
vulnerabilidades. A medida que se hacan conocidas diferentes vulnerabilidades, tambin se
publicaban herramientas de seguridad y parches con el objetivo de ayudar a los administradores.
Actualmente, Internet representa una gran fuente de informacin donde existe mucha ms cantidad de
informacin sobre cmo ingresar a sistemas que sobre cmo protegerlos.
El test de penetracin o Hacking tico implica, entonces, al conjunto de actividades que permiten
comprometer un equipo con el fin de determinar que tan seguro es ante los ataques realizados.
El resultado del test de penetracin mostrar una idea general del estado de la seguridad de los
sistemas frente a los ataques. Si se encontraran una o ms vulnerabilidades, no se realiza su
explotacin. Como conclusin de este paso, se debe obtener un informe que indique:
Pruebas de seguridad realizadas en el test.
Lista de vulnerabilidades y debilidades encontradas.
Referencia tcnica a estas vulnerabilidades y sus contramedidas.
Recomendaciones.
A lo largo de esta unidad estudiaremos el origen de las vulnerabilidades. Este estudio nos ayudar en
la realizacin de un anlisis de vulnerabilidades y una vez encontradas las vulnerabilidades a buscar
sus soluciones.
Las vulnerabilidades provienen de diferentes mbitos, y las podemos clasificar en:
Vulnerabilidades de implementacin
Vulnerabilidades de configuracin
Vulnerabilidades de dispositivo
Vulnerabilidades de protocolo
En esta seccin estudiaremos las herramientas que se pueden utilizar para realizar un anlisis de
vulnerabilidades. Existen diversas herramientas, y hemos intentado realizar una clasificacin de ellas.
Posiblemente, muchas herramientas quedarn fuera de estas categoras, pero esto servir para
conocer las ms utilizadas:
Escaneo de puertos
Deteccin de vulnerabilidades
Analizador de protocolos
Passwords crackers
Ingeniera social
Trashing
Como parte del anlisis de vulnerabilidades, es necesario conocer cundo se debe aplicar cada
herramienta, y los resultados que podemos esperar de ellas.
8.3.5 Trashing
Aunque parezca desagradable, la bsqueda de datos dentro de la basura puede proveer informacin
importante para comenzar un anlisis. Tomar objetos de la basura es completamente legal, por lo que
no existe una forma de evitarlo. Quizs la informacin obtenida no sea la necesaria para realizar un
ataque, pero, por ejemplo, puede ofrecer informacin para realizar Ingeniera Social. Datos tales como
agendas con nmeros de telfono, memos, organigramas, resmenes de ventas, planificaciones de
reuniones, hardware fuera de uso, manuales de uso, etc. pueden ser un muy buen paso para
comenzar la investigacin. Las planificaciones de vacaciones, pueden decirnos qu usuarios se
encuentran fuera de la organizacin, los manuales o polticas nos pueden informar sobre la estructura
de seguridad y permisos que tienen los usuarios, el hardware en desuso, se puede utilizar para poder
recuperar la informacin que tena. Quizs dentro del disco obtengamos nombres de usuarios,
contraseas, etc.
8.4 METODOLOGA
En esta seccin desarrollaremos los pasos a seguir para llevar a cabo un anlisis de vulnerabilidades.
Estos pasos comprenden:
Acuerdo de confidencialidad entre las partes
Estableciendo las reglas del juego
Reuniendo informacin
Test interior
Test exterior
Documentacin e informe
Una vez que se recopil esta informacin, se procede a realizar las siguientes pruebas:
Sondeo de Red: El sondeo de red sirve como introduccin a los sistemas a ser analizados. Se
analizan Nombres de Dominio, Nombres de Servidores, Direcciones IP, Mapa de Red,
Informacin del ISP, Propietarios del Sistema y del Servicio.
Identificacin de los Servicios de Sistemas: En esta prueba se deben enumerar los
servicios de Internet activos o accesibles as como traspasar el Firewall con el objetivo de
encontrar ms mquinas activas. Luego es necesario llevar adelante un anlisis de la
aplicacin que escucha tras dicho servicio. Tras la identificacin de los servicios, el siguiente
paso es identificar el sistema mediante las pruebas sobre el sistema con el fin de obtener
respuestas que puedan distinguir su sistema operativo y su versin (fingerprinting).
Bsqueda y Verificacin de Vulnerabilidades: La finalidad de esta prueba es la
identificacin, comprensin y verificacin de debilidades, errores de configuracin y
vulnerabilidades en un servidor o en una red. La bsqueda de vulnerabilidades utilizando
herramientas automticas es una forma eficiente de determinar agujeros de seguridad
existentes y niveles de parcheado de los sistemas, pero no se debe menospreciar la
informacin de nuevas vulnerabilidades que se publican en sitios underground, todava no
incluidas en las herramientas automticas.
Testeo de Aplicaciones de Internet: Un test de Aplicaciones de Internet emplea diferentes
tcnicas de testeo de Software para encontrar fallos de seguridad en aplicaciones
cliente/servidor de un sistema desde Internet. Como se est realizando un anlisis externo,
pueden ser utilizados en este mdulo los tests de "Caja Negra".
Enrutamiento: Este mdulo est diseado para asegurar que slo aquello que debe ser
expresamente permitido, puede ser aceptado en la red; todo lo dems debe ser denegado.
Testeo de Relaciones de Confianza: El propsito es verificar los controles de acceso desde
Internet plantendose como una entidad confiada de la red interna.
Verificacin de Radiacin Electromagntica (EMR): Este es un mtodo para verificar la
Seguridad de las Emisiones electromagnticas emitidas por diferentes dispositivos. Se puede
capturar la radiacin electromagntica de los dispositivos tales como CRTs, LCDs, impresoras,
mdems, telfonos mviles, entre otros y utilizarse para reconstruir los datos mostrados en la
pantalla, impresos, transmitidos.
Verificacin de Redes Inalmbricas [802.11]: Este es un mtodo para la verificacin del
acceso a redes WLAN 802.11, estudiando la cobertura de la red y el acceso a los access
points o redes ad-hoc.
Sin duda, una de las amenazas de seguridad con ms prensa entre los usuarios de computadores y
pblico en general, sea aquella referida a los ataques de Virus informticos. Desde hace algunos aos
y especialmente a partir de la explosin de Internet como medio de comunicacin global, se han
sucedido una serie de episodios que han hecho del Cdigo Malicioso en general y de los virus en
particular, una de las principales causas de prdida de dinero por incidentes de seguridad. A lo largo
de esta unidad, definiremos conceptualmente el trmino Cdigo Malicioso as como cada uno de los
componentes de software que integran esta categora, la forma en la que se presentan, los daos que
son capaces de causar y las medidas de proteccin que se encuentran a nuestra disposicin a fin de
minimizar el riesgo de su amenaza.
Qu es el cdigo malicioso? Todo programa o fragmento de cdigo generado para que su accionar
produzca algn problema en un equipo o sistema de cmputo, interfiriendo en su normal
funcionamiento.
Ya sea que usted administre una red corporativa de computadoras, o bien su propio sistema
hogareo, probablemente haya sido vctima de algn tipo de virus informtico, al menos una vez.
Desde la introduccin conceptual de estos ltimos en los aos sesenta, hasta nuestros das, el
software catalogado como Cdigo Malicioso, ha sido parte responsable, de algunos de los ms
importantes incidentes de seguridad a nivel mundial, acarreando en la mayora de los casos, prdidas
econmicas contadas en millones de dlares, a las compaas y usuarios damnificados.
Pero los virus informticos, no son la nica manifestacin de cdigo malicioso, de la misma forma en
que los perjuicios econmicos, no siempre se encuentran relacionados con la prdida de un bien
tangible. Ataques a la privacidad, productividad, disponibilidad e integridad suelen ser tambin,
producidos por este tipo de amenazas.
Como profesional en seguridad de la informacin, deber estar preparado para poder identificar los
aspectos claves respecto de cada una de las variantes conocidas de Cdigo Malicioso, as como
tambin su alcance y la contramedida asociada.
El enunciado de mtodos, polticas, procedimientos y el empleo de herramientas relacionadas con la
seguridad de la informacin frente a este tipo de amenazas, as como la concientizacin respecto del
alcance global de las mismas, son el eje principal del presente captulo.
Comenzaremos esta seccin definiendo el trmino Cdigo Malicioso, como Todo programa o
fragmento de cdigo, que genera en su accionar, algn tipo de problema en el sistema de cmputo en
el cual se ejecuta, interfiriendo de esta forma con el normal funcionamiento del mismo.
Si bien es cierto que los distintos tipos de Cdigo Malicioso poseen caractersticas particulares, que
los distinguen entre s y ayudan a su catalogacin, tambin lo es el hecho de que comparten algunos
aspectos en comn:
Generalmente se trata de componentes de software, desarrollados con un fin especfico.
En algn punto interfieren con la operacin normal del sistema de cmputo.
Suelen instalarse y ejecutarse sin el consentimiento expreso del usuario.
Requieren de un sistema de cmputo anfitrin para cumplir su cometido.
Si bien es cierto, que el verdadero origen de lo que hoy se conoce como Cdigo Malicioso, es
incierto, existen una serie de hitos histricos que suelen servir como referencia al momento de
establecer una lnea de tiempo al respecto.
La historia nos indica que ya en 1949, el matemtico John Von Neumann describi conceptualmente,
programas que se reproducan a s mismos y que podran asemejarse a los que hoy conocemos como
virus informticos. Los finales de la dcada del 50 por su parte, fueron testigo del desarrollo por parte
de un grupo de programadores de los laboratorios Bell, de un juego denominado Core Wars, el cual
tena la capacidad de reproducirse cada vez que se ejecutaba y poda llegar a saturar la memoria del
equipo del otro jugador. Al mismo tiempo, los propios creadores del curioso juego, inventaron tambin
lo que hoy da, a la distancia, podra denominarse el primer antivirus, al escribir una aplicacin
llamada Reeper que bsicamente se encargaba de destruir las copias hechas por Core Wars.
De todas formas, no sera hasta 1986, ao en el cual hara su aparicin Brain, un virus para DOS de
origen Pakistan, que se comenzara a hablar de virus dainos, probablemente uno de los primeros
Cdigos Maliciosos de la historia.
Muchas cosas han cambiado desde la aparicin de las primeras formas de Cdigo Malicioso, aunque
sin lugar a dudas la capacidad de distribucin que estos han logrado es el factor de mayor evolucin.
Atrs han quedado los das en los que se apelaba al uso de disquetes como medio predilecto para el
despliegue de virus informticos. La explosin de Internet ha transformado las antiguas infecciones
locales, en epidemias mundiales.
Antiguamente, los creadores de Cdigo Malicioso apelaban a tcnicas de programacin que les
permitiera distribuir su producto a travs de la memoria compartida de un mainframe, ms tarde
llegara el turno de aquellos que haciendo uso del sector de boteo de los discos anfitriones, esperaban
ansiosos la llegada de un ente portador que los trasladara hasta su prxima vctima. Las primeras
conexiones LAN fueron testigo de alguna de las primeras infecciones a travs de recursos
compartidos. Finalmente Internet, se ha transformado en el medio de distribucin por excelencia,
contribuyendo incluso al desarrollo de nuevas formas de Cdigo Malicioso como los cookies y el
spyware. Si ha estado atento a lo ledo hasta el momento, probablemente este de acuerdo con
nosotros respecto de que las perspectivas actuales no parecen ser muy buenas. Espere a conocer las
futuras.
Es cierto que generalmente se suele asociar a los virus con el trmino de Cdigo Malicioso, aunque
como ya hemos manifestado anteriormente, no son la nica amenaza. Empresas encargadas, por
ejemplo, de realizar el seguimiento de los hbitos de compra o uso, de Internet por parte de los
usuarios haciendo uso de cookies o cdigo activo descargable imperceptiblemente, en nuestra rutina
diaria de exploracin de Internet, se estn convirtiendo cada vez ms en una amenaza comn, al
dispensar componentes no autorizados en nuestros equipos.
Entre las novedades, algunos grupos del underground informtico, ya se encuentran trabajando en
pruebas de concepto respecto del desarrollo de Cdigo Malicioso capaz de distribuirse a travs de
dispositivos mviles tales como asistentes personales o telfonos celulares, abriendo de esta forma
nuevas posibilidades para la distribucin de este tipo de componentes de software.
En resumen, epidemias mundiales, ataques a la privacidad a gran escala y una comunidad de
creadores de virus a la orden del da, componen junto a la explosin de Internet como medio de
distribucin un cuadro al que debe prestarse la debida atencin.
Pero cul es la buena noticia detrs de estos datos? La buena noticia, es precisamente que a pesar
de los malos augurios existen una serie de buenas prcticas y herramientas de software con un alto
grado de eficacia a la hora de hacer frente a esta amenaza minimizando el impacto de su accionar.
Hoy da, es muy comn observar que la mayora de los usuarios promedio, posee al menos su
software antivirus. Por otra parte, generalmente los equipos que se comercializan para el uso
corporativo u hogareo suelen despacharse con alguno de estos programas como parte del paquete
de software incluido. Lo cierto es que a pesar de ello, cada vez con ms frecuencia nos encontramos
con software antivirus o sistemas operativos que carecen de las actualizaciones que los hacen
inmunes a las amenazas conocidas, y este es una vez ms el punto dbil que seguir haciendo del
Cdigo Malicioso un verdadero dolor de cabeza.
Al margen de las caractersticas comunes que comparten los distintos tipos de Cdigo Malicioso,
existen diferencias fundamentales que hacen necesaria su clasificacin de acuerdo a su origen,
forma, daos que provocan y funcin para la cual han sido desarrollados.
Siguiendo este criterio y a los efectos de su estudio en el presente captulo, revisaremos en detalle las
siguientes cinco categoras principales, las cuales a su vez podrn contener su propia estructura
interna:
Virus
Troyanos
Cookies
Keyloggers
Spyware
9.2 VIRUS
Sin temor a equivocarnos, estamos en condiciones de afirmar que los virus informticos, son quizs el
tipo de Cdigo Malicioso ms extendido. Su historia y evolucin han hecho de ellos una de las
amenazas ms temidas para los administradores de sistemas de informacin y usuarios en general.
Como veremos a lo largo de esta seccin la variedad de virus conocidos va desde aquellos
sumamente inofensivos hasta algunos de los ms destructivos. En algunos casos, hasta se torna
complicado encuadrar algunos de ellos en alguna de las categoras que presentaremos a
continuacin, puesto que los ltimos especmenes conocidos hacen uso de diversas tcnicas para
lograr su objetivo, las cuales a su vez incluyen aprovechamientos de vulnerabilidades en los sistemas
operativos ms frecuentemente utilizados, carga de cdigos exploits y sus propios servidores de
correo SMTP incorporados tendientes a hacer ms efectiva su distribucin.
9.2.1 Qu es un virus?
Un virus es una pieza de software diseada para infectar un sistema de cmputo. En esencia, los
diferentes tipos de virus, al igual que el resto del Cdigo Malicioso sobre los que trataremos en este
captulo, no son ms que pequeos componentes de software, desarrollados generalmente en
lenguajes de alto nivel, bajo nivel e hbridos (C, C++, Assembler, etc.) con el objeto de concretar algn
tipo de accin maliciosa, no deseada por el propietario del equipo anfitrin.
A pesar de que un virus puede estar construido tan solo con el objeto de infectar una PC y
permanecer en ella el mayor tiempo posible, lo cierto es que generalmente suelen acarrear problemas
mayores que van desde la simple eliminacin de archivos claves del sistema operativo, pasando por la
completa destruccin de particiones de discos duros, hasta llegar incluso en algunos casos, a daar el
firmware del equipo de la vctima.
Pero esto no es todo, la mayora de ellos suelen contar con las habilidades necesarias como para
atacar nuevos sistemas y distribuirse tanto como les sea posible, causando frecuentemente ataques
de denegacin de servicio, algunas veces framente calculados y dirigidos a objetivos previamente
estipulados
En resumen, podramos concluir que algunas de las caractersticas ms importantes de los virus, son
la posibilidad de replicarse y de poseer rutinas de dao. Aquellos virus que no poseen una rutina de
dao, pueden igualmente causar distintos tipos de inconvenientes, al consumir espacio de
almacenamiento, memoria y degradar completamente el desempeo de los equipos de cmputo
infectados.
Macro Virus: De acuerdo a un estudio de la ICSA (International Computer Security Association), los
denominados Macro Virus, suman alrededor del 80 por ciento del total de virus conocidos, al tiempo
que ostentan el ttulo de ser uno de los tipos de ms amplia explotacin hoy da.
A diferencia de otros virus, estos no son especficos de un sistema operativo en particular, pero s del
grupo de aplicaciones para las que fueron creados.
Los Macro Virus, suelen estar construidos con cdigo tendiente a explotar algunas de las
caractersticas avanzadas, implementadas en las aplicaciones de oficina ms ampliamente utilizadas.
Las capacidades integradas de programacin o creacin de macros que stas poseen, suelen incluir
un set de instrucciones lo suficientemente potente, como para que los creadores de este tipo de virus
elaboren su cdigo malicioso basado en l. Algunos macro virus crean rplicas de s mismos, mientras
que otros infectan documentos. Ejemplos: Relax, Melissa.A, Bablas, 097M/Y2K.
Virus Polimorfos: El trmino de Polimorfo, de mltiples formas, suele ser el apropiado para nombrar
a aquellos virus que tienen la capacidad de mutar alguna de sus formas (cambiar las caractersticas
de su cdigo cuando se replica), haciendo ms difcil su deteccin por parte del software antivirus que
utiliza mtodos de anlisis de cadenas simples. Funcionalidades tales como la encriptacin de
determinadas partes de su cdigo original suelen servir tambin a este propsito, evitando en algunos
casos, la deteccin por firmas. Ejemplos: Elkern, Marburg, Satan Bug, Tuareg.
Bombas Lgica: Las bombas lgicas, son un tipo de Cdigo Malicioso muy particular. Si bien
pueden encontrarse como un programa independiente, generalmente suele asociarse el trmino de
Bomba Lgica con pequeos fragmentos de cdigo, incluidos dentro de otros programas preparados
especficamente para activarse al cumplirse ciertos eventos definidos como parte de su lgica interna.
Una de las particularidades de este tipo de amenazas, es que mientras que ninguno de estos eventos
predefinidos suceda, pueden llegar a pasar totalmente desapercibidas.
Hoaxes o Engaos: De la mayora de los cdigos maliciosos existentes, los Hoax quizs sean los
ms simpticos, aunque no por eso, del todo inofensivos. En rigor de verdad, un Hoax es un falso
virus y no realiza por s mismo ninguna accin. Generalmente consiste en un mensaje de correo
electrnico en el que se alerta sobre la supuesta existencia de un nuevo virus que ningn antivirus
detecta. Este tipo de mensaje generalmente apela a tcnicas de ingeniera social, mediante las que se
insta a los usuarios a eliminar en forma manual, los supuestos archivos infectados por este virus
inexistente, generando de esta forma que el propietario del sistema sea quien se auto-inflija el dao.
Worms o Gusanos: Antiguamente, sola utilizarse el trmino de Worm o Gusano, para referirse a
un tipo de cdigo malicioso en particular con el poder de auto-replicarse realizando copia de s mismo
o de alguna de sus partes. Los primeros gusanos, tenan como nica finalidad, la de ir consumiendo
memoria del sistema atacado hasta desbordar la RAM, siendo sta su nica accin maligna.
Los Worm o Gusanos no son considerados virus en el estricto sentido de la palabra, pues
bsicamente no necesitan infectar otros archivos para poder multiplicarse, de hecho, la multiplicacin
es una caracterstica inherente a su construccin.
Si bien es cierto que la esencia detrs de la creacin de Worms o Gusanos no ha variado, muy
lejos han quedado ya, los tiempos en los que su accionar apuntaba tan solo a consumir memoria de
los mainframe atacados. Hoy da, los gusanos suelen estar dotados de la capacidad necesaria como
para:
Instalar troyanos y keyloggers en nuestro sistema.
Configurar los equipos atacados para que acten como un servidor Proxy.
Hacer uso de los recursos de procesamiento y ancho de banda del sistema vctima para lanzar
ataques dirigidos de denegacin de servicio.
Hacer uso de los recursos de almacenamiento del sistema vctima para albergar material
considerado como ilegal en algunos pases.
Los ltimos gusanos conocidos, han causado estragos alrededor del mundo. Sus nuevas
capacidades, incluyen la explotacin de vulnerabilidades conocidas en algunos de los sistemas
operativos ms utilizados, caracterstica que ha contribuido a transformar este tipo de Cdigo
Malicioso en una de las amenazas ms serias en materia de seguridad de la informacin. Ejemplos:
PSWBugbear.B, Lovgate.F, Trile.C, Sobig.D, Mapson .
Retrovirus: Los denominados Retrovirus, son aquellos que actan directamente sobre el software
antivirus instalado en su sistema, intentando de esta forma anular su accionar. Algunos de estos
especmenes utilizan vulnerabilidades del propio software antivirus o intentan eliminar las definiciones
de las cuales estos se valen para realizar su tarea.
Stealth Virus o Virus indetectable: La particularidad de los virus Stealth o Indetectables, reside en la
capacidad de ocultamiento que stos poseen. Una de las tcnicas bsicas en tal sentido, suele estar
dada por acciones tendientes a engaar al sistema operativo, de forma tal que ste reporte un tamao
para el archivo infectado igual que el original. Esta accin podra hacer que en ciertas circunstancias
el software antivirus, no se percate de su presencia.
Multipartite Virus o Virus Multi-parte: Suele denominarse Virus Multi-parte, a aquellos que tienen la
capacidad de atacar un sistema en mltiples formas. Los virus incluidos en esta categora, suelen ser
sumamente dainos y pueden comenzar infectando el sector de boteo para luego continuar con los
archivos ejecutables y documentos de Word, para finalmente volver el disco inutilizable. Ejemplo:
Ywinz.
Armored Virus o Virus Blindado/ Encriptado: El trmino blindado proviene de las caractersticas de
diseo de algunos virus, tendientes a dificultar su anlisis o deteccin. Por lo general, suelen
incorporar funciones de proteccin, especialmente contra los debuggers o des-ensambladores
utilizados por los expertos. Otras veces, incluyen aspectos en su programacin, tendientes a desviar
la atencin del cdigo verdaderamente responsable por la actividad maliciosa. Ejemplos: Elvira, Trile .
Companion Virus o Virus Acompaante: Un virus acompaante, suele unirse a programas legtimos
para luego crear un programa con una extensin diferente, que se albergar en algn directorio
temporal de su sistema. Al momento en que el usuario ejecute el programa legtimo, el programa
compaero se ejecutar en su lugar, logrando de esta forma, que el programa infectado, realice el
trabajo sucio, para finalmente dejar actuar al programa verdadero. Ejemplos: Stator, Asimos.1539,
Terrax.1069.
Phage Virus o Virus Parsito: Este tipo de virus, acta modificando otros programas. Debido a su
accionar, la re-instalacin de los programas infectados, suele ser la nica forma de quitarlo del
sistema vctima. Si una vez reinstalados los programas atacados, por algn motivo, quedara vestigio
del parsito en cualquiera de los archivos del sistema, no tardara en lanzarse un nuevo proceso de
infeccin. Ejemplos: Jerusalem, CIH (Chernobyl), WNT/RemEXp.
CIH (Chernobyl): Hacia Junio de 1998, unos cuantos virus haban sorprendido al mundo, pero la
aparicin de CIH marc un hito al convertirse en el primer virus con la capacidad de daar el hardware
de una computadora. La accin destructiva se lanzaba, en su versin original, el 26 de Abril, y
consista en sobre-escribir la BIOS de cierto tipo de computadores. Una vez logrado su objetivo, el
chip conteniendo la BIOS daada, deba ser remplazado para volver a poner el equipo atacado en
funcionamiento.
Love Bug (I Love You): Love Bug, es probablemente uno de los virus ms conocidos de la historia.
Este original gusano de origen Filipino, programado en Visual Basic Script, se presentaba ante el
usuario pretendiendo ser una carta de amor, utilizando como asunto, la frase I LOVE YOU, mientras
que en su cuerpo poda leerse el mensaje: kindly check the attached love letter coming from me.
Finalmente, el abrir el archivo adjunto, ejecutaba el cdigo malicioso, el cual en caso de detectar un
cliente Outlook instalado en el sistema, realizaba el reenvo del virus a todas las cuentas de correo
contenidas en la libreta de direcciones del sistema infectado, y sobrescriba ciertos archivos. Love
Bug, fue uno de los primeros gusanos en demorar tan solo algunas horas, en dar la vuelta alrededor
del mundo.
Sircam: Sircam es bsicamente un gusano que llega oculto dentro de un mensaje de correo
electrnico. La primera lnea del contenido del mensaje incluye el texto: Hola cmo ests? mientras
que el cuerpo del mismo invita al usuario infectado, a dar su punto de vista respecto de un archivo
adjunto, el cual contiene la carga maliciosa. Sircam es altamente infeccioso motivo por el cual
consigue propagarse muy rpidamente envindose automticamente a todos los contactos que
encuentra en la libreta de direcciones existente en las computadoras infectadas y a su vez
esparcindose en las redes internas bajo plataformas Microsoft, en las cuales se utilicen unidades de
disco como recursos compartidos. Dos consecuencias conocidas de este gusano son: la obtencin de
datos privados de los usuarios que infecta y una posible denegacin de servicio al consumir el espacio
total del disco duro y la eliminacin de datos contenidos en el mismo.
Cdigo Rojo: Cdigo Rojo o Red Code es otro gusano que se propaga a travs de redes,
aprovechndose de una vulnerabilidad existente en los servidores Index Server 2.0, Indexing
Service e IIS 4.0 y 5.0 consistente en un desbordamiento de buffer. Adicionalmente, es capaz
de reiniciar o bloquear los equipos, causando una DoS al crear numerosos hilos (procesos) de
ejecucin en memoria, las cuales se comportan como copias del propio gusano (600 hilos en el caso
de ordenadores con el sistema operativo en chino y 300 en los dems casos). Por otra parte, para
encontrar otros equipos a los que infectar, Red Code genera mscaras y direcciones IP. Cuatro de
estas direcciones se encuentran dentro de la red de clase A, tres de ellas estn en la red de clase B y
otra se genera de manera totalmente aleatoria.
SQL Slammer: Este gusano cuenta con la particularidad de que sus ataques, afectan exclusivamente
a servidores que ejecuten Microsoft SQL. Se aprovecha de una vulnerabilidad de tipo desbordamiento
de buffer encontrada en servidores SQL que no tengan instalado el SP 3. Las consecuencias de su
ataque pasan por la denegacin de servicio causada por el trfico generado por el cdigo del gusano
dirigido al puerto 1434 UDP (SQL Server Resolution Service Port). Slammer apareci seis meses
despus de que se hubiera anunciado la vulnerabilidad de la que hace uso.
Blaster: Tambin conocido como Lovsan, Blaster es un gusano que slo afecta a ordenadores con
sistemas operativos Windows 2003/XP/2000/NT. Se aprovecha de una vulnerabilidad conocida como
Desbordamiento de Buffer RPC para propagarse al mayor nmero de ordenadores posible. Una de
las particularidades de este virus es la lgica incluida en l, mediante la cual se planifica en el tiempo,
un ataque DoS contra el sitio web de Microsoft: windowsupdate.com. Para ello, Blaster enva un
paquete de tamao 40 Bytes a dicho sitio web cada 20 milisegundos, a travs del puerto 80.
Blaster se propaga atacando direcciones IP generadas aleatoriamente y explotando los servicios RPC
vulnerables, luego de lo cual intenta descargar en el ordenador atacado una copia de s mismo, va su
propio servidor TFTP. Este gusano, apareci slo tres semanas despus de que se diera a conocer la
vulnerabilidad de la que hace uso.
Klez: Klez, probablemente se encuentre entre los gusanos ms exitosos de la historia de Internet. Un
ao despus de hacer su aparicin, continuaba siendo uno de los cdigos maliciosos ms extendido.
Klez se aprovecha de una vulnerabilidad de Outlook Express, logrando de esta forma activarse con
slo hacer una vista previa del mensaje (caracterstica que suele ser utilizada por un sin nmero de
usuarios de este tipo de software). Como en la mayora de los casos, exista el parche
correspondiente para esta vulnerabilidad, antes de que se lanzara el gusano. As y todo, Klez logr
una penetracin pocas veces vistas. Como parte de su actividad maliciosa, ste instalaba un nuevo
virus conocido como Elkern, el cual se encargaba de desactivar Firewalls personales y aplicaciones
antivirus, no sin antes eliminar archivos del sistema infectado.
Nicehello: Se trata de un gusano sin efectos destructivos que se propaga a travs del correo
electrnico. De este modo, una vez infectado el ordenador, manda una copia de s mismo a todas las
direcciones de correo que encuentra en la Lista de contactos del programa de mensajera instantnea
MSN Messenger. Adems, NiceHello enva un correo electrnico al autor del virus, en el que incluye el
nombre de usuario y contrasea de MSN Messenger del usuario del ordenador afectado. Si bien es
cierto que este virus no posee en principio implicancias destructivas, suele tomarse como prueba de
concepto respecto de las posibilidades que representa la obtencin de claves de uno de los
mensajeros instantneos ms ampliamente utilizados, con la invasin a la privacidad que ello
significa.
Bugbear: A pesar de que este cdigo malicioso, comparte algunas caractersticas con Klez
(Aprovecha la misma vulnerabilidad de Outlook Express) es mucho ms peligroso, debido a que entre
sus acciones, se cuenta la apertura de una puerta trasera a la escucha en el puerto 1080, ms un
keylogger capaz de registrar lo tipiado por el usuario vctima. Como si esto fuera poco, Bugbear
posea una lista de 1300 direcciones de entidades bancarias que utilizadas en conjunto con los
registros de teclado, le permita activar el mismo al detectar el acceso a alguno de los bancos
incluidos en su carga til, por parte del usuario.
Sobig: La versin original de este virus, se propagaba a un ritmo estremecedor, en parte gracias a
que posea su propio motor SMTP. Si bien como en el resto de los casos, las sucesivas versiones
mutaban su presentacin, en sus inicios sola llegar al usuario desde el remitente big@boss.com y el
contenido: Attached file: a la vez que adjuntaba un archivo con extensin .PIF o .MPEG. Sobig haca
uso de otro mtodo de dispersin el cual le permita atravesar redes internas a travs de los recursos
compartidos. Una vez producida la infeccin, Sobig enviaba un mensaje a la direccin: pagers.icq.com
y a continuacin, se conectaba a una pgina Web para descargarse un virus de tipo troyano.
Sasser: El accionar de Sasser no difiere mucho del resto de los gusanos comentados, desde el punto
de vista que tambin se propaga explotando una vulnerabilidad, en aquellos sistemas Windows 2000,
2003 y XP que no han sido convenientemente actualizados. En este caso se trata de un
desbordamiento de buffer en el subsistema LSASS (Local Security Authority Subsystem Service).
Cuando Sasser explota la vulnerabilidad LSASS, provoca un desbordamiento de buffer en el programa
LSASS.EXE, lo cual desencadena el reinicio del ordenador.
Si bien esta primer enumeracin sigue estando vigente, en la actualidad, solemos ms bien, referirnos
al Ciclo de Vida de un Virus, haciendo un paralelismo con su contrapartida biolgica. Dicho ciclo
empieza cuando es creado y termina cuando es completamente erradicado. El siguiente esquema
describe cada etapa:
Creacin: Hasta hace poco tiempo, crear un virus requera el conocimiento de un lenguaje de
programacin. Hoy en da cualquier persona con un conocimiento bsico de programacin
puede crear un virus. Tpicamente, las personas que desean causar un dao extenso y
aleatorio a las computadoras crean un virus.
Replicacin: Los virus tpicamente se replican por un largo perodo antes de que estos se
activen, permitiendo un basto tiempo para su esparcimiento.
Activacin: Los virus con rutinas de dao se activarn cuando ciertas condiciones sean
cubiertas, por ejemplo, en cierta fecha o cuando los usuarios infectados realicen una accin en
particular. Los virus sin rutinas de daos no se activan, sin embargo causan dao al robar
espacio de almacenamiento.
Descubrimiento: Esta fase no siempre sigue a la activacin, pero tpicamente lo hace.
Cuando un virus es detectado y aislado, este es enviado al ICSA en Washington, DC., para ser
documentado y distribuido a los desarrolladores de software antivirus.
Asimilacin: En este punto, los desarrolladores de software antivirus modifican su software
para que este pueda detectar el nuevo virus. Esto puede tomar desde un da hasta seis meses,
dependiendo del desarrollador y el tipo de virus.
Erradicacin: Si suficientes usuarios instalan software de actualizacin para la proteccin
antivirus, cualquier virus puede ser limpiado. No todos los virus han desaparecido
completamente, pero muchos han dejado de ser una amenaza mayor.
Entre los daos ms importantes que producen los virus informticos, se encuentran:
1. Daos a determinado tipo de hardware.
2. Alteracin o prdida de datos.
3. Denegacin de Servicio.
4. Manipulacin de Datos.
5. Prdida de Productividad.
6. Prdida de Credibilidad.
7. Prdida de Ganancias.
8. Vergenza.
Un buen software de control antivirus debera cumplir mnimamente con los siguientes requisitos que
a continuacin se detallan:
Debe estar certificado por la ICSA (International Computer Security Association).
Debe tener exploracin en tiempo real o programado.
Debe contar con una consola de administracin y reportes central.
Debe contar con las herramientas para proteger los diferentes focos de infeccin (discos, mail,
web, etc.).
Debe cubrir la actualizacin de nuevas firmas antivirus en forma automtica y desatendida en
servidores y clientes.
No debe degradar la performance del dispositivo resguardado.
Debe integrarse con el sistema de respaldo sin afectar la performance, garantizando un
backup libre de virus.
Debe contar con herramientas de logueo de eventos, estadsticas y reportes para el
seguimiento de incidentes.
Debe implementar un sistema de alarmas (e-mail, traps SNMP, pager, etc.).
Independientemente del sistema antivirus a emplear, es fundamental acompaar su implementacin
con una poltica antivirus a nivel empresarial correctamente diseada, que defina cmo debe
establecerse y mantenerse el sistema antivirus. Para ello son necesarios los siguientes elementos:
Calidad del software antivirus.
Equipos de respuesta ante incidentes.
Prevencin automtica (tiempo real).
Actualizacin y modificaciones automatizadas.
Respaldo de la informacin.
Proteccin de los servidores de archivos.
Identificacin de los usuarios que ponen en peligro el sistema.
Eliminacin las fuentes de software no controlado.
9.3 TROYANOS
Dentro de los denominados Cdigos Maliciosos, los troyanos han sabido ganarse un lugar
privilegiado. A travs del tiempo, este tipo de amenaza ha ido creciendo no solo en nmero, sino
tambin respecto del potencial dao que son capaces de producir. Integridad y Privacidad son dos
principios que suelen ser fcilmente vulnerados, una vez que un troyano ingresa exitosamente a
nuestro sistema.
9.3.1 Qu es un troyano?
En su definicin ms amplia, solemos referirnos a los Troyanos como todo programa que lleva oculta
una funcionalidad determinada que ser usada con fines maliciosos y en contra del usuario que lo
instala. Un Troyano, tomado de la mitologa griega del Caballo de Troya, el cual se entreg como un
regalo de buena fe y en cuyo interior se escondan los soldados enemigos, tpicamente viene en un
correcto empaquetamiento, pero al igual que su par mitolgico, tiene intenciones ocultas dentro de su
cdigo.
Una de las principales diferencias entre un virus y un troyano, es la inhabilidad de estos ltimos para
replicarse. En teora, si ste se replica entonces se debe de clasificar como un virus. Otra de las
grandes diferencias, es que generalmente, el Troyano forma parte del cdigo fuente del programa
instalado y se compila junto con l, mientras que el virus simplemente se aade o suplanta el
programa original. Cabe aclarar, que si bien un troyano, no necesariamente debe funcionar como
Backdoor o Puerta Trasera, lo cierto es que la mayora de ellos s lo hace, por lo tanto, cuando en
este captulo nos refiramos a Troyanos, lo haremos teniendo en mente su aplicacin como
herramienta de administracin remota subrepticia. Los Troyanos, suelen llegar a nuestro sistema,
como un programa aparentemente inofensivo, pretendiendo ser algo que no son o hacer algo que
no hacen. Algunas veces, se envan como adjuntos de correo, fingiendo ser una utilidad de sistema ,
otras como parte integral de una aplicacin lcita previamente troyanizada, aunque desde el punto de
vista especfico de su difusin, son capaces de aprovechar cualquiera de los mtodos utilizados por
los virus informticos, de hecho, algunos de los tipos de Virus y Gusanos ms peligrosos, poseen la
capacidad de introducir y ejecutar troyanos y keyloggers, como parte de su accionar malicioso. Ciertas
herramientas disponibles en la actualidad, permiten ocultar un troyano, en casi cualquier tipo de
archivo o aplicacin, lo que genera para el atacante, un sin nmero de posibilidades a la hora de
planear su introduccin en el sistema objetivo.
Magic Lantern: Para la fecha, 2010 y segn una fuente mencionada por el servicio de noticias
MSNBC, el FBI estara desarrollando su propio troyano, para combatir al terrorismo. La idea del
programa, es robar las contraseas de todo aquel (en principio sospechoso), que use correo
electrnico cifrado para sus comunicaciones.
Este troyano, conocido como Magic Lantern (Linterna Mgica), podra enviarse a cualquier
sospechoso, como un adjunto a un mensaje aparentemente inocente.
Aprovechndose de algunas vulnerabilidades, podra incluso instalarse sin el conocimiento del
destinatario, y a partir de all capturara las contraseas usadas por el supuesto terrorista, envindolas
a las oficinas del FBI.
Linterna Mgica sera parte de un programa ms complejo de vigilancia, llamado Cyber Knight
(Caballero ciberntico), el cul incluira una base de datos que permitira al FBI cruzar informacin
proveniente de e-mails, salas de chat, mensajeros instantneos tipo ICQ y llamadas telefnicas por
Internet.
Algunas fuentes consultadas del FBI, ni negaron ni admitieron la noticia, pero declararon que no es
nada nuevo que la organizacin ha estado trabajando con especialistas de la industria de la
seguridad, para crear una herramienta que fuera eficaz en combatir tanto al terrorismo, como a otros
actos delictivos. Y aunque no debera ser una sorpresa, tampoco es apropiado que se revelen las
tecnologas que especficamente se usarn, explic un portavoz.
Por otro lado, est el gran tema que involucra a nuestras libertades individuales. Organizaciones
norteamericanas que defienden los derechos civiles de los ciudadanos, ya han reaccionado ante lo
que consideran un claro abuso a estos principios.
Mientras algunos discuten si el uso de este software por parte del FBI debera limitarse a casos
especiales, otros estn seguros que este tipo de tecnologa no va a impedir los actos criminales
serios, aunque si va a comprometer la privacidad de usuarios inocentes en todo el mundo.
Back Orifice: El 3 de Agosto de 1998 el grupo de Hackers conocidos como The Culto of the Dead
Cow (el Culto a la Vaca Muerta) sorprendi al mundo con el lanzamiento de su popular y temido Back
Orifice, uno de los troyanos ms importantes de la historia, el cual incluso fue distribuido con su
cdigo fuente y plug-ins, adems de sus componentes compilados. Unos aos ms tarde, el mismo
grupo liberaba su nueva versin Back Orifice 2000 mejor conocida como BO2K, la cual contaba
con grandes modificaciones, entre ellas la posibilidad de poder ser ejecutado sobre Windows
NT/2000. De la misma forma que en su primera versin, BO2K puede conseguirse junto a su kit de
desarrollo, lo cual hace que cualquier programador pueda variar su fisonoma o agregar
caractersticas que lo hagan ms potente y menos detectable. BO2k posee caractersticas que le
permiten conectarse con canales de Chat especficos e informar la direccin IP de la PC en donde se
est ejecutando. A su vez, permite ser instalado en modo Stealth. Al igual que el resto de los
troyanos analizados en esta seccin, permite a un usuario remoto, controlar la mayora de las
funciones principales del equipo vctima, incluyendo: Sistema de archivos, Registro, Passwords,
Networking y Procesos en ejecucin.
Netbus: Netbus fue desarrollado por el programador sueco Carl Frederik Neikter en Marzo de 1998,
quien alguna vez dijo: "NetBus fue creado para que la gente tenga algo de diversin con sus amigos.
Yo espero que NetBus y programas similares como Back Orifice harn que la gente sea ms
consciente de los riesgos de seguridad de sus sistemas". Desafortunadamente, ambos programas
fueron ms all de ser aparentes simples travesuras. Netbus dispone de una interfaz ms prctica y
sencilla que Back Orifice. Es muy verstil en su configuracin y hay varias versiones circulando por
Internet. Por defecto el servidor ejecutable se llama patch.exe (aunque obviamente puede llamarse de
cualquier otra forma).
Netbus 2.0 Profesional: Esta versin, posee algunas caractersticas que lo alejaran de la categora
de troyano y lo acercaran a su calidad de herramienta de administracin remota. La ms importante
de ellas, es que su activacin en la parte servidor, requiere (a diferencia de su antecesor) la
interaccin con el usuario para ser instalado.
SubSeven: Desarrollado en Alemania por el grupo de Hackers S7G (Sub 7 Germany), este troyano es
ms fcil de usar y ofrece ms funciones que las primeras versiones de Back Orifice y NetBus. Al
margen de aquellas que comparte con el resto del grupo, Subseven posee un sin nmero de utilidades
que lograran irritar al ms tranquilo de los usuarios una vez dentro de su sistema. Cambio de los
seteos grficos de Windows, utilizacin remota de su webcam, efectos del tipo Flip Screen y lograr
que la PC atacada pronuncie palabras gracias a los plugins de Text-2-Speech, son funcionalidades
incluidas dentro de esta suite.
Optix: Siendo uno de los troyanos ms nuevos, Optix desarrollado por el grupo de Hackers alemn
EvilEye, es sin lugar a dudas uno de los ms potentes de su grupo. Desde su liberacin el 22 de
Abril del 2003, representa uno de los cdigos maliciosos ms peligrosos. Quizs una de sus
caractersticas ms temidas, es aquella que le permite actuar como retrovirus y deshabilitar 75 de
los software antivirus ms populares (Anti-Trojan, AVG, Cheyenne, eTrust Antivirus, Norton Antivirus,
F-Prot, Kaspersky, McAfee, NOD32, Panda, TrendMicro, etc.). Lo mismo sucede con los procesos de
32 de los Firewalls personales frecuentemente utilizados en estaciones de trabajo (Agnitum Outpost,
eTrust Firewall, Kaspersky AntiHacker, Kerio, BlackIce, Norton Firewall, Zonealarm, etc) Algunas de
las mejoras introducidas en Optix, incluyen nuevos canales de notificacin al lograr un ataque exitoso
(CGI, MSN y PHP), autodestruccin de su componente de server en caso de ser atacado, etc.
9.3.3 Funcionamiento
Al margen de su definicin formal, solemos referirnos a los troyanos, bsicamente como un programa
de administracin remota que suele instalarse y actuar en forma oculta para poder funcionar, sin ser
percibido por el usuario atacado. Como tal, desde el punto de vista de su funcionamiento requiere al
menos de tres componentes fundamentales:
1. Una parte Servidor, a ser instalada en forma subrepticia en la mquina del usuario objetivo,
de forma tal que pueda ejecutarse en cada reinicio de Windows, abriendo (en la mayora de los
casos) una puerta trasera en el sistema a travs de un puerto de comunicacin.
2. Una parte Cliente, a ser instalada en el equipo del atacante, encargada de comunicarse con
la mquina infectada y llevar a cabo acciones contra ella.
3. Un protocolo de comunicacin compartido entre ambos extremos, a fin de asegurar la
comunicacin. Generalmente TCP/UDP.
Ms all de sus componentes bsicos, la mayora de los troyanos conocidos, suelen incluir una serie
de herramientas tendientes a configurar la forma en la que se deber comportar este cdigo
malicioso, de cara a su distribucin y funcionamiento en general una vez dentro del sistema objetivo.
Existen al menos tres fases claramente identificadas respecto del funcionamiento de un troyano:
1. Arribo al Sistema Vctima: Aunque existen determinados virus que como parte de su accionar
instalan troyanos, a diferencia de stos, los troyanos no tienen capacidad para reproducirse
por su cuenta y la infeccin ha de pasar generalmente por manos del usuario incauto que,
mediante engaos, ejecuta el fichero con el troyano.
2. Consolidacin de Posicin: En el momento que el troyano es ejecutado intentar modificar el
sistema a fin de garantizar su ejecucin cada vez que nuestro equipo sea arrancado. A tal
efecto deber modificar los archivos y registros del sistema que crea necesarios para que
Windows lo ejecute automticamente.
3. Comunicacin con el atacante: Si su ejecucin es exitosa, intentar establecer un vnculo de
comunicacin con el atacante, a travs de alguna de las formas disponibles (MSN, ICQ, CGI,
etc.)
Los daos producidos a travs de la ejecucin de troyanos en nuestro sistema, pueden ser tan
importantes como el atacante lo haya planeado. A diferencia de otras amenazas, la posibilidad de
tomar control remoto de un equipo, pone al intruso en posicin de decidir sobre el destino de los
datos. Acciones tales como, el registro de pulsaciones de teclado, la obtencin de contraseas del
equipo atacado, la utilizacin del mismo como plataforma de nuevos ataques, la copia o eliminacin
de archivos privados, la obtencin de instantneas mediante el uso de la webcam de la victima y
tantas otras acciones que atentan contra la privacidad e integridad, suelen contarse entre algunas de
las posibilidades brindadas por este tipo de amenaza.
9.4 COOKIES
Mucho se ha hablado respecto de las cookies. Si bien es cierto que gran parte de la funcionalidad que
disfrutamos hoy da al navegar en la Web, est relacionada con sus buenos usos, lo cierto es que
suelen encontrarse con frecuencia, implementaciones para nada aceptables.
Usos tales como la personalizacin de pginas, la seleccin de idiomas y los carritos de compras, sin
duda ofrecen ventajas para todos. No obstante, el seguimiento de visitas a una web, carteles
publicitarios, marketing personalizado, almacenamiento de contraseas o nmeros de tarjetas de
crdito y otro tipo de informacin sensible, deberan ser tenidas en cuenta como verdaderas
amenazas a la privacidad y confidencialidad.
DoubleClick es una de las ms clebres compaas de marketing en Internet que con sus tracking
cookies monitorea la navegacin de los usuarios en decenas de millones de computadoras en todo el
mundo. Dicha informacin luego es comercializada entre sus clientes para definir tendencias, gustos y
hbitos de esos usuarios que puedan definir estrategias de publicidad y marketing.
Las cookies son enviadas desde el servidor al cliente (navegador) y almacenadas en ste, luego el
navegador enva estas cookies al servidor permitiendo as la identificacin del cliente en el servidor.
Un dato importante, es que en todos los caso, no es el servidor quien escribe en nuestro disco duro,
sino nuestro explorador. Esto es, el servidor donde se encuentra alojado el Website, solicita a nuestro
explorador de Internet que lea o escriba las Cookies, pero en ningn caso tiene acceso a nuestro
disco duro a travs de ellas.
Desde el punto de vista de la construccin de una Cookie, existen bsicamente seis parmetros que
pueden ser pasados a stas.
1. Nombre: Nombre de la Cookie.
2. Value: Valor de la Cookie.
3. Expire: Indica la hora en que se eliminar la cookie
4. Path: Subdirectorio en donde tiene valor la cookie.
5. Dominio: Dominio en donde tiene valor la cookie.
6. Secure: Indica que la cookie slo se transmitir a travs de una conexin segura HTTPS.
De acuerdo a sus necesidades, los desarrolladores web, suelen hacer uso de estas variables, a fin de
obtener la interactividad requerida.
9.5 KEYLOGGERS
Pocas aplicaciones atentan contra la privacidad, como es capaz de hacerlo el uso de un Keylogger.
Sin embargo, hace ya unos aos, se ha instalado en la sociedad, una gran polmica en torno a ellos,
debido a que en algunos casos, su utilizacin podra encontrarse circunscripta a actividades lcitas. En
esta seccin definiremos el trmino Keylogger, a la vez que revisaremos su funcionamiento, uso,
contramedidas y aspectos legales relacionados.
Un Keylogger no es ni ms ni menos que una aplicacin destinada a registrar en forma remota, el
comportamiento de un usuario en una PC. Su funcin principal, es la de grabar todo aquello que sea
escrito por intermedio del teclado (aunque la mayora no slo se remite a esto) para que luego, esta
informacin sea enviada al atacante, o almacenada en algn sitio del disco rgido del equipo vctima,
esperando a ser recuperada. En concordancia con su origen como herramienta espa, una de las
caractersticas bsicas de todo Keylogger es la de pasar desapercibido tanto al momento de la
instalacin como de su uso y reporte, para lo que cuentan con caractersticas de las denominadas
Stealth. Generalmente, su introduccin depende del propsito para el cual se haya planeado su
utilizacin. En el caso de los atacantes, probablemente sea a travs de la construccin de un troyano
que los incluya. Por otro lado, si se tratara de un administrador de sistemas corporativo con
instrucciones precisas acerca de vigilar el accionar de los empleados, seguramente utilizar alguna
otra tcnica de instalacin remota.
De todas formas, la introduccin de Keyloggers a los sistemas informticos, no siempre se refieren a
instalaciones dirigidas. En la actualidad, existen una gran cantidad de virus, gusanos y troyanos que
los incluyen como parte de su carga maliciosa
Un ejemplo claro de esta metodologa, es la utilizada por un gusano de nombre Bugbear. Una de sus
variantes, introducida en Junio del 2003, no slo se propagaba rpidamente a travs del correo
electrnico y recursos compartidos, sino que a su vez inclua una puerta trasera y un Keylogger de
caractersticas un tanto especiales.
Bugbear incorporaba en su codificacin referencias a un millar de instituciones bancarias, en caso
de que el usuario del equipo infectado utilizara el servicio on-line de alguna de las instituciones
bancarias incluidas en su lista interna, el Keylogger era lanzado, con el propsito de registrar
cuentas, usuarios, contraseas y dems informacin que enviaba a un conjunto de 10 direcciones de
correo propiedad del creador del virus.
Si bien es cierto que existen en el mercado, aplicaciones especficamente pensadas para hacer frente
a esta amenaza (tal es el caso de Advanced Ant-Keylogger de Spydex, Inc. y Privacy Keyboard
de Raytown Corp.), al da de hoy, ninguna suele ser lo suficientemente efectiva como para ser
considerada una solucin seria. De todas formas, la combinacin de estas ltimas con el software
antivirus, debera conformar una contramedida aceptable.
Al igual que con los troyanos, la mejor proteccin contra los Keyloggers debera pasar por no
permitir su ingreso a la red.
9.6 MALWARE
Segn la Wikipedia, el Malware (Malicious Software Software malicioso) es un tipo de software que
tiene como objetivo infiltrarse o daar una computadora sin el consentimiento de su propietario. El
trmino malware es muy utilizado por profesionales de la informtica para referirse a una variedad de
software hostil, intrusivo o molesto. El trmino virus informtico es utilizado en muchas ocasiones para
referirse a todos los tipos de malware, incluyendo los verdaderos virus.
9.6.1 Qu es un spyware?
En el sentido ms amplio de su definicin, el trmino Spyware se utiliza para describir toda
tecnologa que asista a la obtencin de informacin acerca de una persona u organizacin sin su
conocimiento. En la jerga de Internet sin embargo, se conoce como Spyware a pequeos programas
dedicados a llevar un control del comportamiento de los usuarios, con la intencin de vender esta
informacin a terceras partes interesadas, generalmente empresas relacionadas con las reas de
marketing y publicidad.
Desde todo punto de vista, el Spyware ostenta claramente un amplio sentido comercial. Muchas
empresas se relacionan comercialmente a travs de estos programas espas obteniendo algn rdito
de su accionar que, de una u otra forma, termina significando un ingreso monetario.
Esta Cadena Comercial se encuentra formada principalmente por:
Programadores independientes que incluyen Spyware en sus aplicaciones, a cambio de unos
centavos por cada versin que sea descargada de Internet.
Empresas dedicadas a la implementacin de productos de medicin de audiencia (tal es el
caso de Red Sheriff) del lado del servidor, que si bien no distribuyen spyware utilizan tcnicas
similares para obtener informacin del perfil del consumidor, obtienen dinero a cambio de la
implementacin de su software.
Compaas dedicadas al marketing y la publicidad, quienes consumen la informacin
proporcionada por el Spyware, y brindan servicios a terceros por los que cobran dinero
(Estudios de mercado, Penetracin de productos, Perfil del consumidor, Informacin
demogrfica, etc.).
Scumware: En esencia, solemos referirnos a Scumware como el tipo de Spyware con la habilidad
de personalizar la publicidad mostrada en nuestro explorador (generalmente en formato de
PopUps), haciendo uso para ello de la informacin obtenida como parte del accionar de estos
programas. Algunos, como FlashTrack, cuentan incluso con la posibilidad de registrar el tipo de
bsquedas que como usuarios solemos realizar en los motores del tipo de Google o Yahoo y
relacionarlo con su base de datos de anunciantes a fin de mostrar publicidades relacionadas con
nuestras bsquedas.
Browser Hijackers: Este tipo de Spyware es probablemente uno de los ms intrusivos, teniendo en
cuenta que como parte de su accionar suelen interactuar, generalmente, con el registro de Windows
modificndolo con el objeto de alterar algunas caractersticas de nuestro Explorador. Cuestiones tales
como el re-direccionamiento de la pgina de inicio o el agregado de nuevos botones a la barra de
tareas de nuestro explorador, suelen formar parte de su accionar.
Server Side Spyware: Este tipo de Spyware, se diferencia del resto debido a que los componentes
espas, se encuentran implementados del lado del servidor. Al igual que sus colegas que hacen lo
propio del lado del cliente, se encuentran programados para recolectar informacin de los usuarios,
que luego es comercializada.
Por lo general, el Spyware suele introducirse en nuestras PC como parte de la instalacin de algn
tipo de software gratuito (freeware) o con la ejecucin de cracks para software licenciado.
Frecuentemente sin el consentimiento del usuario. Uno de los ejemplos ms significativos, lo
constituye sin lugar a dudas, el de las aplicaciones de intercambio de archivo tales como: KaZaa,
Bearshare e iMesh, debido a que, producto de su enorme penetracin entre los usuarios de todo el
mundo, se han transformado en una posibilidad de negocio tanto para sus propios desarrolladores,
como para las empresas que utilizan sus aplicaciones como transporte del software espa. El
Spyware se instala en nuestra PC, de la misma forma que lo hace cualquier aplicacin tradicional. Si
bien muchas veces se encuentran contenidos en sus propios archivos ejecutables, suele ser muy
comn, encontrarlos como .DLLs adjuntas al software anfitrin. De la misma manera, el registro de
Windows, suele ser utilizado por estas aplicaciones para almacenar informacin relativa a su
configuracin inicial.
En lneas generales, la mayora del software Spyware, basa su funcionamiento en los siguientes
pasos principales:
Ingreso al sistema: Generalmente en forma subrepticia y como parte de alguna de las
aplicaciones Freeware de mayor distribucin.
Obtencin de informacin local: Aprovechando toda la informacin provista por el propio
sistema operativo (Configuracin Regional, Tipo del sistema operativo, etc.)
Monitoreo del Sistema: Programas residentes, anlisis de los archivos del explorador
(historia de los sitios visitados) y deteccin preactiva de las conexiones a Internet, son
acciones llevadas a cabo en este punto.
Registro: Grabacin en disco de la informacin recolectada.
Accin: En este punto, el Spyware puede realizar una o varias de las siguientes acciones:
envo de la informacin obtenida al centro de recoleccin de datos va Internet; obtencin de
mensajes personalizados por parte del centro de recoleccin, tendientes a ser mostrados al
usuario; modificacin de determinados aspectos de las pginas Web visualizadas mediante el
explorador; reemplazo de banners estndares por banners personalizados; etc.
Badware Alcalinos: Este es un tipo de Malware mitad spyware, mitad backdoor, suele residir en las
ventanas del sistema observando incesantemente hasta que se lanza al acecho de un usuario.
Dialers: son programas que llaman a un nmero telefnico de larga distancia, o de tarifas especiales,
para, a travs del mdem, entrar de forma automtica y oculta para el usuario y sin su consentimiento,
principalmente a pginas de juegos, adivinacin o pornogrficas, que van a redituar en beneficio
econmico a los creadores del malware, pero que adems al usuario le crean la obligacin de pagar
grandes tarifas por el servicio telefnico. Existen en Internet pginas preparadas para descargar,
instalar y ejecutar dialers de conexin y virus informticos capaces de llevar a cabo todo lo anterior,
con la desventaja de su rpida propagacin. Actualmente las conexiones por medio de banda ancha,
han evitado estos problemas.
As que, habiendo aclarado un poco las terminologas de Malware y Virus Informtico, podemos
comenzar a ver con mayor claridad que a pesar de que ambos trminos formen parte de un mismo
entorno tienen algunas diferencias, es como comparar a un mamfero con un elefante, el mamfero es
un conjunto pero el elefante es una entidad que forma parte del conjunto mamfero Las diferencias
entre unos y otros existen, al igual que existen diferencias entre los diferentes mtodos para prevenir
y limpiar un computador infectado, decir que un Antivirus muchas veces no reconoce todos los tipos
de malware, y los antimalware o antispyware no tienen la capacidad de reconocer virus y menos
eliminarlos.
Al igual que otros sistemas Unix, Linux implementa un entorno multiusuario donde los usuarios
reciben una serie de privilegios o permisos especficos y donde existe un control de acceso dedicado.
Para obtener el control de un sistema Linux o provocar alguna consecuencia seria al propio sistema,
el malware debera obtener acceso root en dicho sistema. Una de las vulnerabilidades de Linux es que
multitud de usuarios piensan que no es vulnerable a los virus. Tom Ferris, un investigador de Security
Protocols en Mission Viejo, California, dijo en 2006: " En la mente de la gente, si no es Windows, es
seguro, y ese no es el caso. Piensan que nadie escribe malware para Linux o Mac OS X. Pero eso no
es necesariamente cierto...". Shane Coursen, un consultor tcnico senior de Kaspersky Lab seal
que "el crecimiento del malware en Linux se debe simplemente a su creciente popularidad,
particularmente como sistema operativo de escritorio... La utilizacin de un sistema operativo es
directamente relacionada con el inters de los programadores de malware a la hora de desarrollar
software malicioso para ese sistema operativo". Los virus presentan una potencial, aunque mnima,
amenaza a los sistemas Linux. Si un binario infectado contiene uno de esos virus al ser ejecutado, el
sistema se infectara. El nivel de infeccin dependera de los privilegios del usuario que ejecut el
binario. Un binario ejecutado bajo una cuenta de superusuario podra llegar a infectar el sistema
entero. Por otro lado, las vulnerabilidades de escalada de privilegios pueden permitir que malware
ejecutndose bajo una cuenta de acceso limitado tambin se propague por todo el sistema. El uso de
repositorios oficiales de software reduce las amenazas de instalacin de software malicioso, al ser
comprobados por los administradores, los cuales intentan asegurar que no se cuele ningn malware
en sus repositorios. Por ello, para asegurar la distribucin segura de software, estn disponibles
sistemas como los checksum MD5. El uso adecuado de estas firmas digitales supone una lnea
adicional de defensa, que previene la violacin de las comunicaciones a travs de ataques man-in-
the-middle o ataques de redireccin como ARP Spoofing o DNS Poisoning. Todo esto limita el alcance
de los ataques, reduciendo los potenciales usuarios malignos a los autores originales y a aquellos con
acceso administrativo al propio repositorio.
Una nueva rea de sospecha descubierta en 2007 es el de los virus multiplataforma, a raz del
incremento de la popularidad de las aplicaciones multiplataforma. Este tema apareci en el frente
debido a la distribucin de un virus de OpenOffice.org llamado Bad Bunny.
Stuart Smith, de Symantec, escribi lo siguiente: Lo que hace a este virus merecedor de mencin es
que ilustra lo fcil que puede abusarse de las plataformas de scripting, extensiones, plug-ins, ActiveX,
etc. [...] La habilidad del malware de sobrevivir en un entorno multiplataforma o multiaplicacin tiene
especial relevancia segn ms y ms malware se lanza a travs de sitios web. Cunto falta para que
alguien use algo como esto para poder infectar a travs de JavaScript, sin importar la plataforma del
usuario?
Scott Granneman, de SecurityFocus, declar que: "algunas mquinas Linux definitivamente necesitan
software antivirus. Servidores Samba o NFS, por ejemplo, pueden almacenar documentos en
formatos vulnerables e indocumentados de Microsoft, como Word o Excel, que contengan y
propaguen virus. Los servidores de correo de Linux deberan ejecutar software AV para neutralizar los
virus antes de que aparezcan en las bandejas de entrada de usuarios de Outlook o Outlook Express ".
9.7 ANTIVIRUS
Los antivirus nacieron como una herramienta simple cuyo objetivo fuera detectar y eliminar virus
informticos, durante la dcada de 1980. Con el transcurso del tiempo, la aparicin de sistemas
operativos ms avanzados e Internet, los antivirus han evolucionado hacia programas ms avanzados
que no slo buscan detectar un Virus informticos, sino bloquearlo para prevenir una infeccin por los
mismos, as como actualmente ya son capaces de reconocer otros tipos de malware, como spyware,
rootkits, etc. El funcionamiento de un antivirus vara de uno a otro, aunque su comportamiento normal
se basa en contar con una lista de virus conocidos y su formas de reconocerlos (las llamadas firmas o
vacunas), y analizar contra esa lista los archivos almacenados o transmitidos desde y hacia un
ordenador. Adicionalmente, muchos de los antivirus actuales han incorporado funciones de deteccin
proactiva, que no se basan en una lista de malware conocido, sino que analizan el comportamiento de
los archivos o comunicaciones para detectar cuales son potencialmente dainas para el ordenador,
con tcnicas como Heurstica, HIPS, etc. Usualmente, un antivirus tiene un (o varios) componente
residente en memoria que se encarga de analizar y verificar todos los archivos abiertos, creados,
modificados, ejecutados y transmitidos en tiempo real, es decir, mientras el ordenador est en uso.
Asimismo, cuentan con un componente de anlisis bajo demando (los conocidos scanners,
exploradores, etc), y mdulos de proteccin de correo electrnico, Internet, etc.
El objetivo primordial de cualquier antivirus actual es detectar la mayor cantidad de amenazas
informticas que puedan afectar un ordenador y bloquearlas antes de que la misma pueda infectar un
equipo, o poder eliminarla tras la infeccin. Dado que una caracterstica de los virus es el consumo de
recursos, los virus ocasionan problemas tales como prdida de productividad, baja en el rendimiento
del equipo, cortes en los sistemas de informacin o daos a nivel de datos. Otra de las caractersticas
es la posibilidad que tienen de ir replicndose en otras partes del sistema de informacin. Las redes
en la actualidad ayudan a dicha propagacin.
Los daos que los virus dan a los sistemas informticos son:
Prdida de informacin (evaluable y actuable segun el caso)
Horas de contencin (Tcnicos de SI, Horas de paradas productivas, perdida productiva,
tiempos de contencin o reinstalacin, cuantificables segn el caso+horas de asesora
externa)
Prdida de imagen (Valor no cuantificable)
Tambin es importante tener en cuenta que existen algunos malware que tienen la capacidad de
ocultar carpetas. Hay que tener en cuenta que cada virus es una situacin nueva, por lo que es difcil
cuantificar a priori lo que puede costar una intervencin. Tenemos que encontrar mtodos de realizar
planificacin en caso de que se produzcan estas contingencias. Existen dos grandes grupos de
contaminaciones, los virus donde el usuario en un momento dado ejecuta o acepta de forma
inadvertida la instalacin del virus, o los gusanos donde el programa malicioso acta replicndose a
travs de las redes. En cualquiera de los dos casos, el sistema operativo infectado comienza a sufrir
una serie de comportamientos anmalos o no previstos. Dichos comportamientos son los que nos dan
la traza del problema y tienen que permitir la recuperacin del mismo.
Dentro de las contaminaciones ms frecuentes por interaccin del usuario estn las siguientes:
Mensajes que ejecutan automticamente programas (como el programa de correo que abre
directamente un archivo adjunto)
Ingeniera social, mensajes como ejecute este programa y gane un premio.
Instalacin de software que pueda contener junto con ste uno o varios programas maliciosos.
Existen mltiples medios de intentar combatir el problema. Sin embargo debemos ser realistas.
Conforme nuevos programas y sistemas operativos se introduzcan en el mercado ms difcil va a ser
tener controlados a todos y ms sencillo va a ser que a alguien se le ocurran nuevas formas de
infectar el sistema. Ante este tipo de problemas estn los softwares llamados antivirus. Estos antivirus
tratan de descubrir las trazas que ha dejado un software malicioso, para eliminarlo o detectarlo, y en
algunos casos contener o parar la contaminacin. Los mtodos para contener o reducir los riesgos
asociados a los virus pueden ser los denominados activos o pasivos.
Antivirus (activo): Estos programas como se ha mencionado tratan de encontrar la traza de los
programas maliciosos mientras el sistema este funcionando. Tratan de tener controlado el sistema
mientras funciona parando las vas conocidas de infeccin y notificando al usuario de posibles
incidencias de seguridad. Como programa que est continuamente funcionando, el antivirus tiene un
efecto adverso sobre el sistema en funcionamiento. Una parte importante de los recursos se destinan
al funcionamiento del mismo. Adems dado que estn continuamente comprobando la memoria de la
maquina, dar ms memoria al sistema no mejora las prestaciones del mismo. Otro efecto adverso son
los falsos positivos, es decir al notificar al usuario de posibles incidencias en la seguridad, ste que
normalmente no es un experto de seguridad se acostumbra a dar al botn de autorizar a todas las
acciones que le notifica el sistema. De esta forma el antivirus funcionando da una sensacin de falsa
seguridad.
Tipos de vacunas:
CA:Slo deteccin: Son vacunas que solo detectan archivos infectados sin embargo no
pueden eliminarlos o desinfectarlos.
CA:Deteccin y desinfeccin: son vacunas que detectan archivos infectados y que pueden
desinfectarlos.
CA:Deteccin y aborto de la accin: son vacunas que detectan archivos infectados y detienen
las acciones que causa el virus.
CA:Deteccin y eliminacin de archivo/objeto: son vacunas que detectan archivos infectados y
eliminan el archivo u objeto que tenga infeccin.
CB:Comparacin directa: son vacunas que comparan directamente los archivos para revisar si
alguno esta infectado
CB:Comparacin por firmas: son vacunas que comparan las firmas de archivos sospechosos
para saber si estn infectados.
CB:Comparacin de signature de archivo: son vacunas que comparan las signaturas de los
atributos guardados en tu equipo.
CB:Por mtodos heursticos: son vacunas que usan mtodos heursticos para comparar
archivos.
CC:Invocado por el usuario: son vacunas que se activan instantneamente con el usuario.
CC:Invocado por la actividad del sistema: son vacunas que se activan instantneamente por la
actividad del sistema
Filtros de ficheros (activos): Otra aproximacin es la de generar filtros dentro de la red que
proporcionen un filtrado ms selectivo. Desde el sistema de correos, hasta el empleo de tcnicas de
firewall, proporcionan un mtodo activo y eficaz de eliminar estos contenidos.
En general este sistema proporciona una seguridad donde el usuario no requiere de intervencin,
puede ser ms tajante, y permitir emplear nicamente recursos de forma ms selectiva. Cuando el
nmero de puestos a filtrar crece puede ser conveniente.
Consideraciones de red: Disponer de una visin clara del funcionamiento de la red permite poner
puntos de verificacin filtrado y deteccin ah donde la incidencia es ms claramente identificable. Sin
perder de vista otros puntos de accin es conveniente:
1. Mantener al mximo el nmero de recursos de red en modo de slo lectura. De esta forma se
impide que computadoras infectadas los propaguen.
2. Centralizar los datos. De forma que detectores de virus en modo batch puedan trabajar durante
la noche.
3. Realizar filtrados de firewall de red. Eliminar los programas de comparticin de datos, como
pueden ser los P2P; Mantener esta poltica de forma rigurosa, y con el consentimiento de la
gerencia.
4. Reducir los permisos de los usuarios al mnimo, de modo que slo permitan el trabajo diario.
5. Controlar y monitorizar el acceso a Internet. Para poder detectar en fases de recuperacin
cmo se ha introducido el virus, y as determinar los pasos a seguir.
9.7.1 Heurstica
En los productos antivirus se conoce como Heurstica a las tcnicas que emplean para reconocer
cdigos maliciosos (virus, gusanos, troyanos, etc.) que no se encuentren en su base de datos (ya sea
porque son nuevos, o por no ser muy divulgados). El trmino general implica funcionalidades como
deteccin a travs de firmas genricas, reconocimiento del cdigo compilado, desensamblado,
desempaquetamiento, entre otros. Su importancia radica en el hecho de ser la nica defensa
automtica posible frente a la aparicin de nuevos cdigos maliciosos de los que no se posea firmas:
Firmas Genricas: Hay muchos cdigos maliciosos que son modificados por sus autores para
crear nuevas versiones. Usualmente, estas variantes contienen similitudes con los originales,
por lo que se catalogan como una familia de virus. Gracias a las similitudes dentro del cdigo
del virus, los antivirus pueden llegar a reconocer a todos los miembros de la misma familia a
travs de una nica firma o vacuna genrica. Esto permite que al momento de aparecer una
nueva versin de un virus ya conocido, aquellos antivirus que implementan esta tcnica
puedan detectarlo sin la necesidad de una actualizacin. sistema para realizar las operaciones
necesarias. Las implementaciones de heurstica de algunos antivirus utilizan tcnicas para
reconocer instrucciones comnmente aplicadas por los cdigos maliciosos, y as poder
identificar si un archivo ejecutable puede llegar a ser un cdigo malicioso.
Desensamblado: La heurstica de algunos antivirus es capaz de analizar el cdigo fuente de
los programas sospechosos. De esta forma puede reconocer un posible cdigo malicioso si
encuentra tcnicas de desarrollo que suelen usarse para programar virus, sin la necesidad de
una actualizacin.
Desempaquetamiento: Los programadores de cdigos maliciosos suelen usar
empaquetadores de archivos ejecutables como UPX con el fin de modificar la "apariencia" del
virus a los ojos del anlisis antivirus. Para evitar ser engaados por un cdigo malicioso
antiguo y luego reempaquetado, los antivirus incluyen en sus tcnicas heursticas mtodos de
desempaquetamiento. De esta forma pueden analizar el cdigo real del programa, y no el
empaquetado.
Cmo se conoce la tcnica para redirigir a los usuarios a sitios Web clandestinos, a
travs de DNS infectadas o creadas intencionalmente para el fraude? Pharming
Cmo se denomina al tipo de spyware que tiene la habilidad de personalizar la
publicidad mostrada en nuestro explorador? Scumware
Cules son componentes fundamentales de los troyanos? Protocolo de comunicacin,
Cliente, Servidor
Cmo se denomina al tipo de virus que tiene la capacidad de mutar alguna de sus
formas, haciendo ms difcil su deteccin? Polimorfo
Cul era la nica finalidad de los primeros gusanos? Consumir memoria del sistema
atacado hasta desbordar la RAM
Cmo se denomina el tipo de virus que acta directamente sobre el software antivirus
instalado en un sistema, intentando anular su accionar? Retrovirus
CAPTULO 10
Qu es una funcin de Hash? Es una operacin matemtica que, aplicada sobre un conjunto de
datos de cualquier tamao otorga como resultado un conjunto de caracteres de tamao fijo (hash) e
independiente del original, con la propiedad de ser inequvocamente asociado a los datos iniciales y
prcticamente imposible obtener a partir de dicho resultado o hash, el mensaje o conjunto de datos
originales.
En su acepcin general, suele utilizarse el trmino Criptografa, para referirse al Arte de ocultar
informacin. A pesar de ello, la Criptografa como la conocemos hoy da, ha dejado de ser un arte
para convertirse en una tcnica o conglomerado de tcnicas, tendientes a la proteccin u ocultacin
de algn tipo de informacin frente a observadores no autorizados.
Uno de los aspectos determinantes en el mbito de la Criptografa, se encuentra dado por los cdigos
criptogrficos que en l se utilizan. Las personas relacionadas con la investigacin y el desarrollo de
los diferentes cdigos criptogrficos, suelen ser referidos como Criptgrafos.
Evidentemente, el requerimiento de comunicaciones secretas se encuentra directamente relacionado
con la existencia de algn tipo de peligro o desconfianza respecto de que un mensaje transmitido sea
interceptado por un potencial atacante.
Es de esperar, que de existir este potencial atacante, utilizar todos los medios a su alcance para
descifrar esos mensajes secretos mediante un conjunto de tcnicas y mtodos que constituyen una
ciencia conocida como criptoanlisis. El grupo de personas capaces de analizar, interpretar y
finalmente romper dichos cdigos, invalidando su utilizacin como mecanismo efectivo de proteccin
de datos, se denominan Criptoanalistas. La estrategia que utiliza un Criptoanalista depende de la
naturaleza del esquema de cifrado y la informacin de que ste disponga.
Por lo general, tanto los Criptgrafos como los Criptoanalistas, suelen ser eminentes profesionales,
provenientes del mbito de estudio de las matemticas y las ciencias de la computacin.
10.1.1 Historia
La Criptografa, es un campo casi tan antiguo como la humanidad misma. A lo largo de la historia, los
mensajes cifrados han jugado un rol preponderante en el desarrollo de grandes acontecimientos.
Alguno de los primeros registros de esfuerzos criptogrficos, datan del ao 2000 antes de Cristo. Los
antiguos egipcios usaron mtodos criptogrficos, mientras el pueblo utilizaba la lengua demtica, los
sacerdotes usaban la escritura hiertica (jeroglfica) incomprensible para el resto.
Esclavos con textos grabados en su cuero cabelludo y alfabetos de extraos smbolos parecen haber
estado relacionados de algn modo con los inicios de su aplicacin.
Parecera ser que el primer caso claro de uso de mtodos criptogrficos, tuvo lugar durante la guerra
de Atenas y Esparta. En este caso, el cifrado se basaba en la alteracin del mensaje original,
mediante la inclusin de smbolos innecesarios que desaparecan al enrollar la lista en un rodillo
llamado escitala. El mensaje quedaba claro cuando se enrollaba la tira de papel alrededor de ste, el
cual estaba diseado con la longitud y el grosor adecuados.
Pero existe un punto en la historia que suele ser considerado como el primer antecedente claramente
documentado de un sistema de cifrado. El mismo, tiene como protagonista a Julio Csar, quien habra
ideado un mtodo consistente en sustituir cada letra de un mensaje, por su tercera siguiente en el
alfabeto. La mayora de las fuentes indican tambin que, hacia la misma poca, existieron muchas
otras civilizaciones que utilizaron mtodos similares.
Pero el ingenio humano se seguira aplicando en pro de la confidencialidad. Hacia finales del siglo
XVI, el Italiano Girolamo Cardano, utiliz el mtodo de la tarjeta perforada, la cual se deba colocar
sobre un texto, para poder leer el mensaje cifrado.
En el siglo XVII Carlos I, hizo uso de los cdigos de sustitucin silbica, mientras que Napolen en
sus campaas militares y escritos diplomticos, us los llamados mtodos Richelieu y Rossignol.
El siglo XIX por su parte, dejara su huella en la historia de la Criptografa. El criptgrafo holands
Auguste Kerckhoffs, escriba un libro fundamental bajo el ttulo La Criptografa Militar, en el que se
expresaban claramente una serie de reglas, que deban ser cumplidas por un buen sistema
criptogrfico.
Si bien es cierto que el desarrollo de la Criptografa habra mostrado hasta este momento un
crecimiento interesante, el comienzo de la Segunda Guerra Mundial marca sin lugar a dudas el inicio
de la Criptografa Moderna, coincidente con el nacimiento de las computadoras. Alemania construa su
mquina Enigma, mientras que en un lugar llamado Bletchley Park, un grupo de cientficos, entre los
que se encontraba Alan Turing, trabajaba en el proyecto ULTRA tratando de descifrar los mensajes
enviados por el ejrcito alemn, con su nueva mquina. Este grupo de cientficos dise y utiliz el
primer computador de la Historia, denominado Colossus, aunque esta informacin permaneci en
secreto hasta mediados de los 70.
10.1.3 Criptologa
La criptologa es el estudio de los criptosistemas, sistemas que ofrecen medios seguros de
comunicacin en los que un emisor oculta o cifra un mensaje antes de transmitirlo para que slo un
receptor autorizado pueda descifrarlo. Sus reas principales de estudio son la criptografa y el
criptoanlisis, pero tambin se incluye la esteganografa como parte de esta ciencia aplicada. En
tiempos recientes, el inters por la criptologa se ha extendido asimismo a otras aplicaciones aparte
de la comunicacin segura de informacin y, actualmente, una de los ms extendidos usos de las
tcnicas y mtodos estudiados por la criptologa es la autentificacin de informacin digital (tambin
llamada firma digital).
En ocasiones se emplean los verbos encriptar y cifrar como sinnimos, al igual que sus respectivas
contrapartes, desencriptar y descifrar. No obstante, lo correcto es utilizar el trmino cifrar en lugar de
encriptar, ya que se trata de un anglicismo sin reconocimiento acadmico, proveniente del trmino
encrypt. Por otra parte, tampoco debe emplearse codificar en lugar de cifrar, puesto que el primero
designa la emisin de un mensaje mediante algn cdigo, mas no necesariamente oculto, secreto o
ininteligible. Escribir en cualquier idioma, por ejemplo, implica el uso de un cdigo, que ser
comprensible para los receptores que conozcan dicho cdigo, pero no para otros individuos.
10.1.4 Criptoanlisis
Criptoanlisis (del griego krypts, "escondido" y analein, "desatar") es el estudio de los mtodos para
obtener el sentido de una informacin cifrada, sin acceso a la informacin secreta requerida para
obtener este sentido normalmente. Tpicamente, esto se traduce en conseguir la clave secreta. En el
lenguaje no tcnico, se conoce esta prctica como romper o forzar el cdigo, aunque esta expresin
tiene un significado especfico dentro del argot tcnico.
"Criptoanlisis" tambin se utiliza para referirse a cualquier intento de sortear la seguridad de otros
tipos de algoritmos y protocolos criptogrficos en general, y no solamente el cifrado. Sin embargo, el
criptoanlisis suele excluir ataques que no tengan como objetivo primario los puntos dbiles de la
criptografa utilizada; por ejemplo, ataques a la seguridad que se basen en el soborno, la coercin
fsica, el robo, el keylogging y dems, aunque estos tipos de ataques son un riesgo creciente para la
seguridad informtica, y se estn haciendo gradualmente ms efectivos que el criptoanlisis
tradicional.
Aunque el objetivo ha sido siempre el mismo, los mtodos y tcnicas del criptoanlisis han cambiado
drsticamente a travs de la historia de la criptografa, adaptndose a una creciente complejidad
criptogrfica, que abarca desde los mtodos de lpiz y papel del pasado, pasando por mquinas como
Enigma -utilizada por los nazis durante la Segunda Guerra Mundial-, hasta llegar a los sistemas
basados en computadoras del presente.
Los resultados del criptoanlisis han cambiado tambin: ya no es posible tener un xito ilimitado al
romper un cdigo, y existe una clasificacin jerrquica de lo que constituye un ataque en la prctica. A
mediados de los aos 70 se invent una nueva clase de criptografa: la criptografa asimtrica. Los
mtodos utilizados para romper estos sistemas son por lo general radicalmente diferentes de los
anteriores, y usualmente implican resolver un problema cuidadosamente construido en el dominio de
la matemtica pura. El ejemplo ms conocido es la factorizacin de enteros.
El criptoanlisis ha evolucionado conjuntamente con la criptografa, y la competicin entre ambos
puede ser rastreada a lo largo de toda la historia de la criptografa. Las claves nuevas se diseaban
para reemplazar los esquemas ya rotos, y nuevas tcnicas de criptoanlisis se desarrollaban para
abrir las claves mejoradas. En la prctica, se considera a ambas como las dos caras de la misma
moneda: para crear un sistema criptogrfico seguro, es necesario tener en cuenta los descubrimientos
del criptoanlisis. De hecho, hoy en da se suele invitar a la comunidad cientfica a que trate de
romper las nuevas claves criptogrficas, antes de considerar que un sistema es lo suficientemente
seguro para su uso.
Aunque la expresin criptoanlisis es relativamente reciente (fue acuada por William F. Friedman en
1920), los mtodos para romper cdigos y cifrados son mucho ms antiguos. La primera explicacin
conocida del criptoanlisis se debe al sabio rabe del siglo IX, Yusuf Yaqub ibn Ishaq al-Sabbah Al-
Kindi, en su Manuscrito para Descifrar Mensajes Criptogrficos. Este tratado incluye una descripcin
del mtodo de anlisis de frecuencias (Ibraham, 1992).
El anlisis de frecuencias es la herramienta bsica para romper los cifrados clsicos. En todas las
lenguas conocidas, ciertas letras del alfabeto aparecen ms frecuentemente que otras; por ejemplo,
en espaol, las vocales son muy frecuentes, ocupando alrededor del 45% del texto, siendo la E y la A
las que aparecen en ms ocasiones, mientras que la frecuencia sumada de F, Z, J, X, W y K no
alcanza el 2%. Igualmente, se pueden reunir estadsticas de aparicin de pares o tros de letras. El
anlisis de frecuencias revelar el contenido original si el cifrado utilizado no es capaz de ocultar
estas estadsticas. Por ejemplo, en un cifrado de substitucin simple (en el que cada letra es
simplemente substituida por otra), la letra ms frecuente en el texto cifrado sera un candidato
probable para representar la letra "E".
El anlisis de frecuencias se basa tanto en el conocimiento lingstico como en las estadsticas, pero
al volverse cada vez ms complicados los cifrados, las matemticas se convirtieron gradualmente en
el enfoque predominante en el criptoanlisis. Este cambio fue particularmente evidente durante la
Segunda Guerra Mundial, cuando los esfuerzos para romper los cdigos del Eje requirieron nuevos
niveles de sofisticacin matemtica. Ms an, la automatizacin fue aplicada por primera vez en la
Historia al criptoanlisis, bajo la forma de los dispositivos Bomba y Colossus, una de las primeras
computadoras.
Aunque la computacin fue utilizada con gran xito durante la Segunda Guerra Mundial, tambin hizo
posible nuevos mtodos criptogrficos que eran rdenes de magnitud ms complejos que los
empleados hasta la fecha. Tomada como un todo, la criptografa moderna se ha vuelto mucho ms
impenetrable al criptoanalista que los mtodos de pluma y papel del pasado, y parece que en la
actualidad llevan ventaja sobre los mtodos del puro criptoanlisis. El historiador David Kahn escribi:
"Son muchos los criptosistemas en venta hoy por parte de cientos de compaas comerciales que no
pueden ser rotos por ningn mtodo conocido de criptoanlisis. De hecho, en ciertos sistemas incluso
un ataque de texto plano escogido, en el que un fragmento de texto plano seleccionado es comparado
con su versin cifrada, no permite conocer el cdigo para romper otros mensajes. En cierto sentido,
entonces, el criptoanlisis est muerto. Pero ste no es el final de la historia. El criptoanlisis puede
estar muerto, pero, mezclando mis metforas, hay ms de un modo de desollar un gato. "
10.1.5 Esteganografa
Del griego steganos (oculto) y graphos (escritura), la esteganografa se puede definir como la
ocultacin de informacin en un canal encubierto con el propsito de prevenir la deteccin de un
mensaje oculto.
La esteganografa estudia el conjunto de tcnicas cuyo fin es insertar informacin sensible dentro de
otro fichero. A este fichero se le denomina fichero contenedor (grficos, documentos, programas
ejecutables, etc.). De esta forma, se consigue que la informacin pase inadvertida a terceros, de tal
forma que slo sea recuperada por un usuario legtimo que conozca un determinado algoritmo de
extraccin de la misma.
Esta ciencia ha suscitado mucho inters en los ltimos aos debido a que ha sido utilizada por
organizaciones criminales y terroristas. No obstante, no se trata de ningn nuevo ingenio, se lleva
empleando desde la ms remota antigedad. Este artculo pretende introducir al lector en el campo de
la esteganografa, clarificando sus diferencias con la criptografa y mostrando ejemplos de software
para hacer uso de esta tcnica.
Ms de 400 aos antes de Cristo, Herodoto ya reflej en su libro Las Historias el uso de la
esteganografa en la antigua Grecia. En dicho libro describe como un personaje toma un cuadernillo
de dos hojas o tablillas; raya bien la cera que las cubre y en la madera misma graba un mensaje y lo
vuelve a cubrir con cera.
De manera similar, durante la Segunda Guerra Mundial se hacen pequeas perforaciones sobre las
letras de inters de un peridico de tal forma que al sostenerlo a la luz se pueden observar todas
aquellas letras seleccionadas e interpretarlas en forma de mensaje.
Bastante ms familiar para el lector resulta el ejemplo de la tinta invisible. Son muchos los nios que
juegan a enviarse mensajes escritos con zumo de limn o substancias similares (con alto contenido en
carbono), de tal forma que al calentar la superficie sobre la que se escribe el mensaje, ste aparece
en un tono color caf. Esta tcnica se puede hacer ms compleja si se involucran reacciones
qumicas.
Queda patente que la esteganografa ha estado presente en nuestra civilizacin desde tiempos
inmemoriales y ha sido tradicionalmente empleada por las agencias militares y de inteligencia, los
criminales y la polica, as como por civiles que desean saltarse restricciones gubernamentales. Ahora
bien, mientras la esteganografa clsica se basaba nicamente en el desconocimiento del canal
encubierto bajo uso, en la era moderna se emplean canales digitales (imagen, video, audio, protocolos
de comunicaciones, etc.) para alcanzar el objetivo. En muchos casos el objeto contenedor es
conocido, lo que se ignora es el algoritmo de insercin de la informacin en dicho objeto.
Teniendo en cuenta que pueden existir adversarios activos, una buena tcnica esteganogrfica
debe ser robusta ante distorsiones, ya sean accidentales o fruto de la interaccin de un
adversario activo.
La robustez ante distorsiones tambin suele ser un objetivo de la criptografa, ahora bien, la
esteganografa y la criptografa son campos distintos. En la criptografa, el objetivo es asegurar la
confidencialidad de la informacin ante los ojos de un interceptor que es capaz de ver el
criptograma, aun cuando ste conoce el algoritmo que lo genera. En cambio, la esteganografa
busca ocultar la presencia del mensaje en s; ya que si se llega a identificar la posicin del
mensaje se conoce directamente la comunicacin (conocido el algoritmo de ocultacin), lo que no
ocurre en el caso del criptograma.
Por tanto, la esteganografa en solitario entra en profunda contradiccin con uno de los principios
bsicos de la seguridad: la seguridad por oscuridad (desconocimiento) no funciona.
Para que la esteganografa sea de ms utilidad se debe combinar con la criptografa. El mensaje
a intercambiar se ha de cifrar (de forma robusta) y luego introducir en el objeto contenedor. De
esta forma, aunque un interceptor descubra el patrn esteganogrfico, jams puede llegar a
conocer el mensaje intercambiado.
La combinacin de estas dos tcnicas tiene otra ventaja adicional, cuando se emplea la
criptografa en solitario se conoce que se estn intercambiando mensajes, lo cual puede servir
como punto de partida para un ataque con el fin de descubrir dicho mensaje. Al introducir la
esteganografa, en una gran mayora de casos ni siquiera se conoce que existe una comunicacin
cifrada.
Sustitucin de bits del objeto contenedor
Esta tcnica consiste en sustituir ciertos bits del fichero contenedor por los de la informacin a
ocultar. La ventaja de este enfoque es que el tamao del fichero contenedor no se ve alterado y,
gracias a la redundancia y/o exceso de detalle en dichos ficheros, en muchas ocasiones tampoco
su calidad.
Por ejemplo, en un fichero de sonido se pueden emplear los bits que no son audibles por el odo
humano para ser reemplazados por los bits del mensaje.
Si se trabaja con imgenes, el mtodo tradicional consiste en sustituir los bits menos
significativos (LSB), en una escala de color de 24 bits (mas de 16 millones de colores). Esto se
traduce tan slo en que un pxel con un tono rojo se ve un 1% ms oscuro. En muchos casos son
cambios inapreciables a los sentidos humanos que tan slo pueden ser detectados mediante
anlisis computacional de la estructura de los ficheros.
Los archivos BMP son un formato estndar de imagen de mapa de bits en sistemas operativos
DOS, Windows y vlido para MAC y PC. Soporta imgenes de 24 bits (millones de colores) y 8
bits (256 colores), y puede trabajar en escala de grises, RGB y CMYK.
Cada pxel de un archivo BMP de 24 bits est representado por tres bytes. Cada uno de estos
bytes contiene la intensidad de color rojo, verde y azul (RGB: red, green, blue). Combinando los
valores en esas posiciones podemos obtener los 2 24, ms de 16 millones, de colores que puede
mostrar un pxel. A su vez, cada byte contiene un valor entre 0 y 255, o lo que es lo mismo, entre
00000000 y 11111111 en binario, siendo el dgito de la izquierda el de mayor peso. Lo que
demuestra que se pueden modificar los bits menos significativos de un pxel sin producir mayor
alteracin.
La implicacin es que, utilizando cambios de un bit en cada componente de un pxel, se puede
encajar tres bits de informacin oculta por pxel sin producir cambios notables en la imagen. Esto
se puede hacer para cada pxel de una imagen. Se necesitan ocho pxeles para ocultar tres bytes
de informacin, en codificacin ASCII esto son 3 letras de informacin oculta. As, en una imagen
BMP de 502x126 pxeles se puede ocultar un mensaje de 23.719 caracteres ASCII.
En este caso se aaden los bits de informacin a partir de una determinada marca estructural del
fichero (fin de fichero o EOF, espacios de padding o alineamiento, etc.). Esta opcin presenta el
inconveniente de que s se modifica el tamao del objeto contenedor, con lo cual puede levantar
sospechas.
Para extrapolar esta idea al ejemplo de las imgenes BMP hay que comprender primero como se
estructura dicho formato. Los primeros 54 bytes contienen los metadatos de la imagen, que se
dividen de la siguiente manera:
2 bytes - contienen siempre la cadena BM, que revela que se trata de un BMP.
4 bytes - tamao del archivo en bytes.
4 bytes - reservados (para usos futuros), contienen ceros.
4 bytes - offset, distancia entre cabecera y primer pxel de la imagen.
4 bytes - tamao de los metadatos (esta estructura en s).
4 bytes - ancho (nmero de pxeles horizontales).
4 bytes - alto (nmero de pxeles verticales).
2 bytes - nmero de planos de color.
2 bytes - profundidad de color.
4 bytes - tipo de compresin (vale cero, ya que BMP es un formato no comprimido).
4 bytes - tamao de la estructura imagen.
4 bytes - pxeles por metro horizontal.
4 bytes - pxeles por metro vertical.
4 bytes - cantidad de colores usados.
4 bytes - cantidad de colores importantes.
Dada esta estructura, la forma trivial de ocultar datos consiste en ocultarlos justo despus de los
metadatos (entre los metadatos y los datos de la imagen en s) y modificar el campo offset
(distancia entre los metadatos y los pxeles de la imagen). De esta forma se puede dejar espacio
para todo el contenido adicional que se desee albergar.
Esta alternativa consiste simplemente en generar un fichero contenedor con la propia informacin
a ocultar, en lugar de obtener el fichero contenedor por separado y manipularlo para incluir dicha
informacin.
Por ejemplo, dado un algoritmo especfico de reordenamiento de los bytes de los datos a ocultar
se puede generar una secuencia de pxeles de un archivo BMP que tengan cierto significado
visual. Si el receptor conoce el algoritmo de reordenamiento, la transmisin de informacin es
posible.
Estegoanlisis
El protocolo TCP/IP es apropiado para crear canales encubiertos de comunicacin ya que a travs de
las cabeceras se pueden enviar datos relevantes para dos entes que acuerdan un protocolo
encubierto. Usando este enfoque es posible empotrar datos en peticiones de conexin iniciales,
conexiones establecidas u otros pasos intermedios.
Por ejemplo, considerando nicamente la cabecera TCP, se pueden ocultar datos en el nmero de
secuencia inicial de una conexin. Esto ofrece 32 bits de datos ocultos por paquete de conexin inicial
(SYN), es decir, 4 caracteres ASCII. Siguiendo esta filosofa se puede ocultar informacin en otros
campos de las cabeceras de los distintos protocolos que componen TCP/IP, siempre y cuando los
cambios no impliquen el rechazo de los paquetes intercambiados.
Control de malware
El malware de hoy da normalmente se comunica con un punto de control en posesin del atacante
para recibir rdenes de descarga de mdulos adicionales, para enviar datos robados, para indicar que
una nueva vctima ha sido infectada, etc.
El protocolo ms utilizado para este tipo de comunicacin es HTTP ya que normalmente tiene lugar
sobre un puerto que no est filtrado por los cortafuegos y porque puede pasar desapercibido en el
resto de trfico de red generado por la navegacin legtima.
La facilidad de establecer un canal de control con peticiones HTTP GET/POST tradicionales tambin
implica que la comunicacin es fcilmente detectable (si no se emplean tcnicas de cifrado) por las
empresas que gestionan los servidores web/servidores de DNS asociados al enlace de control. Aun
ms fcil es la identificacin e interpretacin de dicha comunicacin para un analista de malware. Esto
significa que ante denuncia de actividad ilegal asociada a un determinado punto de control, las
infraestructuras son cerradas ms rpidamente por las empresas que las gestionan.
La consecuencia para el atacante es un tiempo de vida medio de su canal de control inferior, y por
tanto un menor retorno de inversin. Para que la identificacin y el cierre de las infraestructuras
asociadas a un troyano no sea tan trivial, los atacantes han ideado diversas tcnicas: desde el simple
codificado de las instrucciones para generar cadenas sin significado aparente hasta el uso de P2P.
En este afn por encubrir y fortalecer los canales de comunicacin maliciosa, la esteganografa se
erige como una baza muy interesante. De hecho, los creadores del gusano Waledac ya han empleado
esteganografa por insercin en la descarga e instalacin de mdulos adicionales que emplea el
ejemplar malicioso.
Una de las funcionalidades de Waledac es la capacidad de descargar e interpretar un archivo de
imagen JPEG especialmente manipulado. Dicho archivo es una imagen JPEG normal a la que se le ha
aadido un ejecutable tras la imagen en s, despus de un determinado marcador JPEG para ser
coherente con el estndar. El ejecutable se cifra con una operacin XOR simple de un byte. El
resultado es una imagen que se puede visualizar en la mayora de navegadores y visores pero que
transporta cdigo malicioso adicional para ser instalado por un equipo ya infectado por Waledac.
Marcas de agua digitales
La esteganografa es una tcnica en constante evolucin, con una larga historia y con capacidad
para adaptarse a nuevas tecnologas. A medida que las herramientas de esteganografa se hacen ms
avanzadas, las tcnicas y las herramientas empleadas en el estegoanlisis tambin se hacen ms
complejas.
Los ficheros contenedores no tienen que ser forzosamente imgenes, cualquier medio es vlido
(audio, video, ejecutables, etc.). Lejos de ser un ingenio exclusivamente terico, el malware ha
demostrado hacer un uso activo de la esteganografa, y se espera que surjan nuevos enfoques de uso
para dificultar la labor de los analistas.
Pero las aplicaciones de esta ciencia no slo se restringen al mbito de lo poco tico, pudiendo
ayudar en campos como la medicina, proteccin de menores, etc.
En cualquier caso, la eficiencia de las nuevas tcnicas de estegoanlisis hace necesario el uso de la
esteganografa combinada con criptografa con el fin de alcanzar un nivel de seguridad razonable. La
criptografa garantiza la confidencialidad de una conversacin pero no esconde el hecho de que dicha
conversacin se est manteniendo. Por otra parte, la esteganografa en solitario puede ocultar el
hecho de que una conversacin se mantiene, pero una vez descubierta la interaccin, es posible que
un atacante conozca el contenido intercambiado. Aun cuando descubrir el contenido original fuera
difcil, un atacante puede modificar el estego-objeto para impedir la comunicacin (ataque activo).
Conjugando ambas tcnicas se alcanza una complementariedad que multiplica la seguridad de un
intercambio de mensajes.
10.1.8 Caractersticas
Como hemos mencionado en prrafos anteriores, en el caso de la criptografa, la proteccin de la
informacin se basa principalmente en la transformacin del texto original, tambin denominado Texto
en Claro, en Texto Cifrado o Criptograma. Dicha transformacin o Cifrado, se logra mediante la
aplicacin de distintos tipos de algoritmos, en combinacin con un parmetro al que se denomina
Clave. El conjunto de Algoritmos, Texto en Claro, Texto Cifrado y Clave, suele conocerse con el
nombre de Criptosistema. Al respecto, resulta importante mencionar, que la fortaleza de un
Criptosistema, suele estar dado por la fortaleza de su Clave, y no por el conocimiento de los mtodos
utilizados en la transformacin del mensaje original.
Ataque a las Claves: Tambin conocido como ataques por Fuerza Bruta. los ataques a las claves,
suelen ser uno de los ms populares. Bsicamente consisten, en la realizacin de intentos de
adivinacin reiterados, ya sea mediante palabras comnmente usadas o aleatorias. El objetivo de este
tipo de ataques, suele estar conformado por passwords, mensajes encriptados o cualquier otro tipo de
clave basada en encriptacin.
Puesto que la cantidad de tiempo que toma el romper una password depende de la longitud de la
misma y del tipo de caracteres seleccionados, claves ms largas y complejas, tienden a hacer este
tipo de ataques ms complicados.
Birthday Attack o Ataque de Cumpleaos: Los ataques del cumpleaos se basan en una premisa
simple. Si 25 personas se encuentran en un cuarto, el estudio de las probabilidades dicta que es
probable que al menos dos de esas personas cumplan aos el mismo da. Dicha probabilidad
aumentar en caso de que ms personas ingresen al cuarto. Si bien es cierto que esto no es una
regla, s, es una probabilidad. Un Ataque de Cumpleaos trabaja de la misma forma y suele ser
aplicable, por ejemplo, a la evaluacin de un hash. Si un proceso aleatorio pa, genera como salida un
hash h de valor v, es probable que en un perodo de tiempo t, vuelva a repetirse la generacin de un
nuevo hash equivalente a v. Puesto que ste no es un ataque al algoritmo, sino a su resultado, suele
ser referido como Ataque a la Clave.
Ataque al Algoritmo
Debido a su concepcin, distintas implementaciones de un algoritmo de encriptacin
determinado, pueden ser susceptibles de contener vulnerabilidades o debilidades que
habiendo pasado desapercibidas en su desarrollo, y hechas pblicas a posterior, puedan
servir de brecha utilizable por un atacante.
Un caso comn que suele aplicarse frecuentemente como ejemplo, es el del protocolo WEP
(Wired Equivalent Privacy). Hace algn tiempo, se hizo pblico un documento, que discuta una
debilidad terica en el algoritmo que fue utilizado como base, para el sistema de seguridad de
este protocolo. Unos das despus, los desarrolladores de WEP expresaron a la comunidad,
que la vulnerabilidad era terica y no podra suceder en el mundo real. En el plazo de siete
das a partir de estas declaraciones, se recibieron una docena de ejemplos prcticos de cmo
romper las caractersticas de seguridad implementadas en WEP.
Intercepcin
Los ataques de intercepcin, generalmente suelen aprovecharse de la obtencin de datos
cifrados en un canal de comunicacin, a fin de utilizar esta informacin como punto de partida
para un Ataque Matemtico. A mayor cantidad de datos obtenidos en el proceso de
intercepcin, mayor probabilidad de acierto ser logrado por medio del anlisis de los mismos.
Nota: Cuando hablamos de Ataques Matemticos, nos referimos a aquellos que
precisamente, usan modelos matemticos en conjunto con anlisis estadstico para determinar
el funcionamiento de un sistema criptogrfico en particular. Este tipo de ataques, dependen de
interceptar grandes cantidades de datos, y metdicamente proceder a descifrar los mensajes
utilizando un ataque al algoritmo o a la generacin de la clave.
Meet-in-the-middle (Encuentro a medio camino): El ataque por encuentro a medio camino o meet-
in-the-middle es un ataque similar al ataque de cumpleaos, que utiliza un compromiso entre tiempo y
espacio.
Mientras que el ataque de cumpleaos trata de encontrar dos valores del dominio de una funcin que
tienen como imagen el mismo resultado, este ataque trata de encontrar un valor en el rango del
dominio de composicin de dos funciones, de tal manera que la imagen de la primera funcin da lo
mismo que la imagen inversa de la segunda funcin - de ah el nombre del ataque-.
Fue desarrollado en 1977 por Whitfield Diffie y Martin Hellman, en un intento de expandir un bloque
cifrado. En la bsqueda de una mejor seguridad del cifrado de un bloque, se podra intentar la idea de
usar simplemente dos claves criptogrficas para cifrar dos veces los datos. A priori, se podra pensar
que esto debera elevar al cuadrado la seguridad del esquema de doble cifrado. Ciertamente, una
bsqueda exhaustiva de todas las claves posibles requerira 2 2n intentos, si cada clave fuera de n bits,
comparado con los 2 n intentos requeridos para una clave nica. Sin embargo, Diffie y Hellman
encontraron un compromiso entre tiempo y memoria que podra quebrar el cifrado en solamente el
doble de tiempo. El ataque se basa en el cifrado por un extremo y el descifrado por el otro, buscando
un encuentro a medio
Deriva de reloj: Se refiere a varios fenmenos relacionados debido a los que un reloj no marcha
exactamente a la misma velocidad que otro, lo que significa, que despus de cierto tiempo la hora
indicada por el reloj se ira separando (a esto se refiere la deriva) de la indicada por el otro. Este
fenmeno es aprovechado por las computadoras para construir generadores de nmeros aleatorios y
tambin puede ser utilizado para ataques de tiempo en criptografa.
10.1.11 Claves
Como hemos podido observar hasta aqu, la gran mayora de los sistemas criptogrficos, se
complementan o se basan en la generacin y utilizacin de algn tipo de clave. De acuerdo a su uso,
los diferentes tipos de clave, suelen pertenecer a alguno de los siguientes grandes grupos:
Clave privada: Se denomina Clave Privada, a aquella que relacionada con un sistema
criptogrfico asimtrico, slo es conocida por el propietario de la misma.
Clave pblica: Tambin relacionado con un sistema criptogrfico asimtrico, se llama Clave
Pblica a aquella clave que siendo propiedad de un sujeto, es dada a conocer pblicamente.
Clave Compartida: Si bien es cierto, que el desarrollo de los sistemas criptogrficos entorno a
los tipos de clave Pblica y Privada ha significado un gran avance respecto de la criptografa
prctica, el concepto de Clave Secreta o Clave Compartida ha permitido solucionar uno de
los problemas comnmente encontrados en los criptosistemas en la antigedad: el intercambio
seguro de claves. En rigor de verdad, una Clave Compartida es aquella que siendo secreta,
se encuentra en poder y es conocida, tanto por el emisor como por el receptor.
Ms all del tipo de clave utilizado en cada caso, y a pesar de la existencia de algunos sistemas
criptogrficos cuya seguridad no se encuentre basada en ellas, el uso de claves largas y complejas,
siempre ser un factor que contribuya a la seguridad del sistema evaluado.
10.2 ALGORITMOS SIMTRICOS (Criptografa de clave simtrica)
Se denomina Algoritmo Simtrico a todo proceso criptogrfico que utilice en su accionar una misma
clave para encriptar y desencriptar. Para que este tipo de criptosistema funcione correctamente, tanto
el emisor como el receptor del mensaje, deben encontrarse en conocimiento de la clave a utilizar ,
transformando sta en su Secreto Compartido. Debido a ello, la existencia de un canal seguro a
travs del cual se pueda realizar el intercambio de claves, se convierte en un requisito indispensable.
Puesto que este tipo de algoritmos, basa su seguridad en la privacidad de su clave, el espacio o
longitud de las mismas, es de vital importancia a fin de lograr que stas sean de difcil adivinacin.
Algunas de las caractersticas principales de este algoritmo, lo han vuelto muy popular, lo que ha
llevado a que en la actualidad, varios de los ms importantes sistemas criptogrficos lo implementen
con xito.
Los sistemas criptogrficos de clave simtrica se caracterizan porque la clave de descifrado x es
idntica a la clave de cifrado k, o bien se puede deducir directamente a partir de sta.
Para simplicar, supondremos que en este tipo de criptosistemas la clave de descifrado es igual a la
de cifrado: x = k (si no, siempre podemos considerar que en el algoritmo de descifrado el primer paso
es calcular la clave x a partir de k). Es por esto que estas tcnicas criptogrcas se denominan de
clave simtrica, o a veces tambin de clave compartida.
La seguridad del sistema recae pues en mantener en secreto la clave k. Cuando los participantes en
una comunicacin quieren intercambiarse mensajes condenciales, tienen que escoger un clave
secreta y usarla para cifrar los mensajes. Entonces, pueden enviar estos mensajes por cualquier canal
de comunicacin, con la conanza que, aun que el canal sea inseguro y susceptible de ser
inspeccionado por terceros, ningn espa Z ser capaz de interpretarlos.
Los algoritmos de cifrado en ujo actualmente en uso tienen la propiedad que son poco costosos de
implementar. Las implementaciones en hardware son relativamente simples y, por lo tanto, ecientes
en su rendimiento (en trminos de bits cifrados por segundo). Pero tambin las implementaciones en
software pueden ser muy ecientes.
Las caractersticas del cifrado en ujo lo hacen apropiado para entornos en los que se necesite un
rendimiento alto y los recursos (capacidad de clculo, consumo de energa) sean limitados. Para ello
se suelen utilizar en comunicaciones mviles: redes locales sin hilos, telefona mvil, etc. Un ejemplo
de algoritmo de cifrado en ujo es el RC4 (Rons Code 4). Fue diseado por Ronald Rivest en 1987 y
publicado en Internet por un remitente annimo en 1994. Es el algoritmo de cifrado en ujo mas
utilizado en muchas aplicaciones gracias a su simplicidad y velocidad. Por ejemplo, el sistema de
proteccin WEP (Wired Equivalent Privacy) que incorpora el estndar IEEE 802.11 para tecnologa
LAN inalmbrica utiliza este criptosistema de cifrado en ujo.
Cuando se utiliza el cifrado simtrico para proteger las comunicaciones, se puede escoger el algoritmo
que sea ms apropiado a las necesidades de cada aplicacin: normalmente, a ms seguridad menos
velocidad de cifrado, y viceversa.
Un aspecto que hay que tener en cuenta es que, aunque el cifrado puede conseguir que un atacante
no descubra directamente los datos transmitidos, en ocasiones es posible que se pueda deducir
informacin indirectamente. Por ejemplo, en un protocolo que utilice mensajes con una cabecera ja,
la aparicin de los mismos datos cifrados varias veces en una transmisin puede indicar dnde
empiezan los mensajes.
Esto pasa con el cifrado en ujo si su periodo no es lo sucientemente largo, pero en un cifrado en
bloque, si dos bloques de texto en claro son iguales y se utiliza la misma clave, los bloques cifrados
tambin sern iguales. Para contrarrestar esta propiedad, se pueden aplicar distintos modos de
operacin al cifrado en bloque.
10.2.3 DES
Este criptosistema, es probablemente uno de los ms estudiados en la historia de la criptografa.
Desarrollado originalmente por IBM como una variacin de un criptosistema llamado Lucifer, revisado
y comprobado por la NSA a mediados de los aos setenta, y adoptado por gran cantidad de industrias
y gobiernos, DES se ha convertido en un estndar de encriptacin de clave simtrica. Desde el punto
de vista de su funcionamiento , DES suele ser un algoritmo de cifrado por bloques en el cual, una
entrada M (Mensaje) sufre en primer lugar, una transposicin bajo una permutacin denominada IP
(Permutacin Inicial) , originando To=IP(M). Despus de pasar To diecisis veces por una funcin f, se
transpone bajo la permutacin inversa IP', obtenindose as el resultado final.
DES toma bloques de informacin de 64 bits y los cifra mediante el procedimiento descrito
anteriormente con una clave de 56 bits, realmente la clave inicial es de 64 bits, pero debido a que los
bits menos significativos de cada byte se utilizan como bits de paridad y no aportan ninguna
informacin adicional, pueden ser eliminados, obtenindose de esta forma una clave efectiva de 56
bits. Si bien es cierto que DES es considerado un algoritmo fuerte, el tamao final de su clave (56 bits)
en conjuncin con el poder de cmputo actual, lo vuelven computacionalmente vulnerable a un ataque
de fuerza bruta.
10.2.5 AES
En 2 de Enero de 1997, el NIST (National Institute of Standards and Technology) anunciaba
formalmente el inicio de la bsqueda del algoritmo simtrico que reemplazara a DES como estndar
de encriptacin. La gran particularidad de este programa, resida en que era abierto e instaba a
participar a profesionales de todo el mundo. Unos aos ms tarde, los finalistas haban sido
seleccionados. MARS, RC6, Rijndael, Serpent y Twofish, seran sometidos a algunas de las pruebas
ms exigentes, a fin de encontrar al que se convertira en el nuevo estndar AES.
Finalmente el 2 de Octubre del 2000, el NIST anunciaba que Rijndael, un algoritmo de origen Belga,
desarrollado por Joan Daemon y Vincent Rijmen, se convertira en el sustituto de DES hasta entrado
el siglo XXI. AES al igual que DES, es un sistema de cifrado por bloques, con la diferencia que stos,
en vez de ser de 64, son de 128 bits. Existen varias versiones de AES, utilizando claves de 128, 192 o
256 bits.
En la actualidad, AES es el estndar usado por las agencias gubernamentales de los Estados Unidos,
y entre algunas de sus caractersticas principales, se encuentra su buena combinacin de seguridad,
velocidad, eficiencia, sencillez y flexibilidad.
La particularidad de los algoritmos asimtricos, o de clave pblica radica en que, a diferencia de los
algoritmos simtricos, utilizan dos claves y no una, en su proceso de cifrado y descifrado. Ambas
claves suelen ser referidas como clave pblica y clave privada.
En este tipo de esquema, el remitente utiliza la clave pblica del destinatario para cifrar el mensaje, el
cual una vez cifrado, slo puede ser descifrado por la clave privada del mismo. Para que esto suceda,
ambos extremos de la comunicacin deben estar en conocimiento de la clave pblica, lo cual no
representa riesgo alguno puesto que es prcticamente imposible deducir una clave privada a partir de
su contrapartida pblica.
Esto ltimo, se debe a que los sistemas de cifrado de clave pblica suelen basarse en funciones-
trampa de un solo sentido. Una funcin de un solo sentido es aquella cuya computacin es fcil,
mientras que invertir la funcin es extremadamente difcil. Puesto que la clave privada asociada a una
clave pblica, contiene la porcin de informacin necesaria para resolver la funcin relativa a la
encriptacin, la prdida de privacidad respecto de sta, abrira una brecha de seguridad en el
criptosistema.
10.3.1 Ventajas y limitaciones
Una de las ventajas ms apreciables de los esquemas criptogrficos basados en algoritmos
asimtricos, radica en la posibilidad por parte de quien desea recibir informacin cifrada, de hacer
llegar a sus potenciales emisores su clave pblica, sin perjuicio de que ello signifique un riesgo,
logrando de esta forma comenzar una conversacin fiable sin necesidad de establecer previamente un
canal seguro donde intercambiar claves privadas.
Esta caracterstica de los sistemas basados en clave pblica, hace que la limitacin implcita en los
algoritmos simtricos, respecto de la distribucin de claves privadas, entre muchos participantes de
una comunicacin segura, encuentre en ella una aplicacin fundamental al momento de resolver este
dilema.
Como desventaja, los algoritmos asimtricos, deben utilizar claves de mayor tamao para ofrecer una
seguridad comparable a la de los algoritmos simtricos. A su vez, suelen resultar ms lentos, mientras
que producen mensajes cifrados de mayor tamao. Cabe destacar que este tipo de algoritmos
requieren una mayor utilizacin de recursos, por lo cual no suelen emplearse en mecanismos de
encriptacin de grandes volmenes de datos.
Utilizamos el trmino de Criptografa Fsica, para referirnos a todo aquel mtodo de cifrado que no
altera los valores involucrados en dicha operacin, por medio de un proceso matemtico. La
Criptografa Fsica, incluye varios mtodos de cifrado. Alguno de los ms comunes, implican la
transposicin o sustitucin de caracteres o palabras, aunque otros como la esteganografa, poseen
caractersticas ms particulares. La gran mayora de los mtodos de cifrado, de los que se ocupa la
criptografa fsica, suelen existir desde hace cientos de aos, y si bien hoy da pueden no resultar muy
efectivos utilizados individualmente, suelen constituir la base de sistemas ms avanzados. Un buen
ejemplo de esto, se encuentra en los algoritmos simtricos, quienes suelen utilizar como parte de su
funcionamiento interno, el producto de operaciones de sustitucin y transposicin.
Sustitucin: El mtodo de sustitucin se basa, tal como su nombre lo indica, en sustituir un
caracter o cadena de caracteres por otro caracter o cadena de caracteres. Dentro de este
grupo, suelen identificarse dos categoras principales: Sustituciones Monoalfabticas y
Sustituciones Polialfabticas. Los algoritmos de sustitucin monoalfabtica, son los ms
simples y su utilizacin se remonta a la edad media. Uno de los ejemplos ms claros al
respecto, lo representa el cifrado Csar. Por su parte, los algoritmos que utilizan
sustituciones polialfabticas, hacen uso de mltiples alfabetos previamente estipulados,
sobre los que se basa la sustitucin. Quizs, uno de los ejemplos ms significativos de este
tipo de sustitucin, lo constituya el Cifrado de Vigenre. Una de las debilidades de los
sistemas de sustitucin, suele estar representada por la posibilidad por parte de un atacante,
de analizar estadsticamente la ocurrencia de determinados valores conocidos que puedan
servir de pista o patrn, al momento de resolver el criptosistema. Un ejemplo de esto, podra
ser el de las vocales en el alfabeto espaol.
Transposicin: De la misma forma en la que los algoritmos de sustitucin operan sobre los
caracteres, los de transposicin operan sobre las posiciones, sin alterar el carcter original.
Esto suele representar en parte, una gran ventaja frente a los algoritmos de sustitucin, puesto
que al estar operando sobre las posiciones, un anlisis estadstico no sera suficiente para
quebrar el criptosistema, debido a que cada carcter aparecer en las proporciones en que
deba aparecer. Por lo general, los algoritmos de transposicin, suelen dividir el mensaje
original en bloques de igual tamao, sobre los que luego realizan las operaciones
correspondientes.
Podramos definir una Funcin Hash, como aquella operacin que se realiza sobre un conjunto de
datos de cualquier tamao, de tal forma que se obtiene como resultado, otro conjunto de datos en
ocasiones denominado resumen o valor hash de los datos originales, de tamao fijo e independiente
del tamao original, que adems, tiene la propiedad de estar asociado unvocamente a los datos
iniciales, es decir, es prcticamente imposible encontrar dos mensajes distintos que tengan un
resumen hash idntico.
Gracias a sus caractersticas, las aplicaciones principales de las Funciones de Hash, suelen ser
fundamentalmente tres:
1. Contraseas: Las funciones hash son una excelente opcin al momento de almacenar
contraseas. Gracias a su caracterstica de irreversibilidad, almacenar el valor hash de una
contrasea es ms seguro que almacenar la contrasea misma en forma criptogrfica.
2. Firmas Digitales: Realizar operaciones de firma digital sobre mensajes grandes, puede ser
computacionalmente muy costoso. En su lugar, suele aplicarse una Funcin Hash sobre el
mensaje original, para finalmente firmar digitalmente el valor hash, de menor tamao, obtenido
como resultado de la primera operacin.
3. Integridad y Autentificacin: El valor obtenido al aplicar una Funcin de Hash, a un mensaje,
suele ser utilizado para comprobar la integridad y autenticidad del mismo. Puesto que cualquier
cambio sucedido sobre el mensaje original, alterara el valor hash resultante, el eventual
receptor podra ser capaz de utilizar la misma Funcin Hash, que el emisor para comparar que
el resultado obtenido es coincidente con el calculado al inicio de la comunicacin. La
autentificacin se da cuando la Funcin de Hash se calcula, no solamente tomando como
argumento el mensaje a transmitir, sino tambin en base a un secreto compartido entre los
corresponsales de la comunicacin.
Nota: Es muy comn referirse al valor hash obtenido a travs de una funcin hash, como por los
trminos en ingls message digest o fingerprint.
Para que una Funcin de Hash pueda ser utilizada con fines criptogrficos, debe poseer una serie de
caractersticas bsicas:
La entrada debe poder ser de cualquier tamao.
El valor hash (salida) debe tener un tamao fijo.
Debe encontrarse libre de colisiones, esto es, que dadas dos cadenas como entrada x'' e y'',
no se obtenga un mismo valor hash tal que H(x)=H(y).
Debe ser Irreversible (one-way hash o hash de un solo sentido); es decir, dado un valor hash
h'', no sea posible encontrar una entrada x'' tal que H(x)=h.
Un valor hash debe ser computacionalmente fcil y rpido de calcular.
10.5.1 Ventajas y limitaciones
Las Funciones Hash, se han convertido en este ltimo tiempo, en una poderosa herramienta en
manos de profesionales de seguridad y usuarios en general. Sus caractersticas nicas, nos permiten
obtener valores hash o resumen que pueden ser almacenados y luego comparados para verificar que
los archivos o mensajes resumidos, no han sido modificados o, dicho de otra forma, conservan su
integridad.
En ciertos mbitos, como en la Informtica Forense, los investigadores se ven obligados a someter la
informacin recolectada en la escena del crimen, a operaciones de hash, a fin de que la evidencia
pueda ser tomada como tal, en una posible instancia judicial.
Los administradores de sistemas, deben hacer uso de las bondades provistas por las funciones de
hash, al instalar por ejemplo, un nuevo servidor web. El conservar en un lugar seguro, los valores
hasheados, de cada uno de los archivos de sistema intervinientes en la instalacin original, le
permitir corroborar el reemplazo no autorizado de alguno de estos archivos por parte de un atacante,
ante un posible incidente de seguridad.
Nota: Herramientas como Tripwire, AIDE, md5sum y md5dep, suelen automatizar en parte la
obtencin y en algunos el almacenamiento seguro, de valores hash en una instalacin de software.
Por otro lado, sitios web como Know Goods o NIST, nos permiten consultar On-Line, bases de datos
conteniendo las firmas MD5/SHA1 de prcticamente todos los archivos de los sistemas operativos
conocidos
Pero la aplicacin de Funciones de Hash, puede verse limitada en ciertas circunstancias. En aquellos
casos en los que un atacante, consiga acceder tanto a la informacin original como a los valores
resumidos, nada le impedira modificar la informacin y volver a generar un nuevo hash, que a los ojos
del usuario final o remitente, pueda pasar por verdadero. Dicho de otro modo, si bien la utilizacin de
funciones de hash, aporta su utilidad desde el punto de vista de la integridad, en muchos casos se
requerir de la combinacin de otros mtodos que acompaen su implementacin.
10.5.2 MD5
MD5 (Message Digest), fue desarrollado por Ron Rivest (RSA Security, Inc.) y publicado por primera
vez, en el RFC 1321 en Abril de 1992. Este algoritmo, es en verdad una versin ampliada de MD4, el
cual si bien posee caractersticas similares, fue originalmente pensado, teniendo en mente la
velocidad y no tanto la seguridad. MD5 incluye una serie de optimizaciones respecto de MD4, e
incorpora algunos conceptos que lo hacen ms seguro.
MD5 realiza una manipulacin de bits para obtener, como resultante de clculo, un valor hash de 128-
bits, o lo que es lo mismo, una serie de 16 caracteres (32 dgitos hexadecimales), lo que da un
conjunto de valores de 2 a la 128.
Una de los cuestionamientos que suelen hacerse a este algoritmo, es tal vez, su corta extensin.
Puesto que gran cantidad de empresas como por ejemplo Microsoft, Sun, IBM y otras, han adoptado
universalmente este algoritmo para controlar las versiones de algunas de sus aplicaciones (Objetos
ActiveX, aplicaciones Java, etc.) resulta tericamente posible, que en algn momento se encuentren
dos valores hash MD5 iguales, para diferentes componentes.
Uno de los motivos principales que motivaron el desarrollo de MD5, fue la ruptura de MD4. A pesar de
ello, dos investigadores, de nombre Boer y Bosselaers afirman haber encontrado pseudo-colisiones en
la funcin de compresin de MD5, mientras que Dobbertin asegura haber hecho lo propio en la
funcin de compresin del mismo algoritmo.
Hasta hace poco, el algoritmo de hash ms usado era el MD5. Pero como el resumen que da es de
slo 128 bits, y aparte se han encontrado otras formas de generar colisiones parciales en el algoritmo,
actualmente se recomienda utilizar algoritmos ms seguros, como el SHA-1. El algoritmo SHA-1,
publicado el 1995 en un estndar del NIST (como revisin de un algoritmo anterior llamado
simplemente SHA), da resmenes de 160 bits. El ao 2002 el NIST public variantes de este
algoritmo que generan resmenes de 256, 384 y 512 bits.
10.5.3 SHA-1
SHA-1 (Secure Hash Algorithm), ha sido diseado por el NIST (National Institute of Standards and
Technology), a partir de MD4, motivo por el cual, su diseo guarda alguna relacin con este algoritmo
y con MD5. A pesar de ello, SHA-1 es considerado un algoritmo ms fuerte, debido en parte a que la
salida que produce es de 160-bits, lo que genera un conjunto de elementos resultantes de 2 a la 160.
Si bien existieron algunos ataques exitosos a la primer versin denominada SHA, SHA-1, no ha sido
roto de momento, motivo por el cual es considerado una excelente opcin en relacin al resto de las
alternativas.
A partir del desarrollo de Internet, como medio de comunicacin global, muchos han sido los
comercios, empresas o entidades financieras, que atrados por las virtudes de este nuevo medio,
comenzaron a ofrecer servicios asociados a su rubro. Desde el principio, uno de los problemas
fundamentales a resolver en este contexto, ha sido solventar la necesidad de corroborar en forma
segura, que una persona es quien dice ser, al presentarse ante un servicio determinado.
Precisamente, se conoce con el trmino de autenticacin, al proceso por el cual es posible confirmar
la identidad, de cada una de las partes involucradas en el proceso de una comunicacin o intercambio
de mensajes. A continuacin, presentaremos una serie de conceptos, tendientes a asegurar tres
principios bsicos referidos a la seguridad de la informacin:
Integridad
Autenticacin
No Repudio
Tal como mencionramos en secciones anteriores, las funciones de hash nos provean una
herramienta fundamental a la hora de asegurar la integridad de un mensaje. Al mismo tiempo,
presentbamos sus limitaciones, al mencionar algunos contextos en los cuales un valor hash, poda
ser cambiado al mismo tiempo que su contenido original, provocando que el receptor del mensaje,
termine por NO obtener la informacin tal como lo esperaba el emisor.
La respuesta a esta problemtica, suele estar relacionada con la implementacin de algn tipo de
sistema que permita, no slo asegurar la integridad, sino que tambin haga lo propio con la
autenticidad. Es decir, siempre que un receptor B reciba un mensaje que parezca provenir del emisor
A, el esquema implementado debera permitir averiguar, no slo si el mensaje viene de A, si no
tambin si fue modificado en su trayectoria.
10.6.1 MAC
Como una de las primeras alternativas surgidas a la hora de asegurar la integridad de la informacin
transmitida o almacenada, surgi el concepto de MAC (Message Authentications Codes) o Cdigo de
Autenticacin de Mensajes. En la prctica, el funcionamiento de MAC, radica en la inclusin de
informacin adicional, como parte integral del mensaje a transmitir. Generalmente, esta informacin
adicional suele estar formada por una clave compartida que es conocida por ambos extremos de la
comunicacin.
Si bien el concepto detrs de HMAC es el mismo, el uso de Funciones de Hash (he de aqu la H
adicional) como parte integral del proceso de generacin de este Cdigo de Autenticacin, lo
transforma en una herramienta an ms efectiva. Cuando HMAC se pone en funcionamiento, el
mensaje original es procesado junto a la clave de secreto compartido, por una funcin hash del estilo
de MD5 o SHA-1. Esta operacin produce como resultado, un valor de hash, el cual es transmitido
junto al mensaje original al otro extremo de la comunicacin. El receptor, recibe el mensaje y el valor
de hash enviado por el emisor, y procede a recalcular un nuevo hash, ya que conoce la clave que se
combin con la informacin transmitida. Luego, el valor de hash enviado, es comparado con el valor
de hash generado por el receptor. En caso de que ambos valores sean coincidentes, la integridad y
autenticidad del mensaje estarn garantizadas. Si cualquier parte del mensaje original hubiera sido
cambiada en trnsito o bien se hubiera falsificado el mensaje, los valores de hash seran diferentes, y
la modificacin o falsificacin podran ser detectadas.
Existen varias posibilidades a la hora de seleccionar el algoritmo de hash involucrado en una
operacin HMAC, aunque MD5 y SHA-1 suelen ser la eleccin ms frecuente. Si bien es cierto que
con ambos algoritmos se obtiene un resultado similar, el hecho de que SHA-1 produzca salidas de
160-bit, hace que esta combinacin sea ms fuerte que la de MD5 (128-bit).
Por otra parte, quizs una de las caractersticas principales que han de tener las Firmas Digitales, es
que deben depender tanto del mensaje como del autor. De no cumplirse este principio bsico, el
receptor podra modificar el mensaje y mantener la firma, producindose de esta forma, un fraude. Es
muy comn or hablar de Firma Electrnica, confundiendo a sta con la Firma Digital. Se entiende por
Firma Electrnica: "al conjunto de datos electrnicos integrados, ligados o asociados de manera lgica
a otros datos electrnicos, utilizado por el signatario como su medio de identificacin, que carezca de
alguno de los requisitos legales para ser considerada Firma Digital.
La firma digital hace referencia, en la transmisin de mensajes telemticos y en la gestin de
documentos electrnicos, a un mtodo criptogrfico que asocia la identidad de una persona o de un
equipo informtico al mensaje o documento. En funcin del tipo de firma, puede, adems, asegurar la
integridad del documento o mensaje.
Los trminos de firma digital y firma electrnica se utilizan con frecuencia como sinnimos, pero este
uso en realidad es incorrecto. Mientras que firma digital hace referencia a una serie de mtodos
criptogrficos, firma electrnica es un trmino de naturaleza fundamentalmente legal y ms amplio
desde un punto de vista tcnico, ya que puede contemplar mtodos no criptogrficos.
La funcin hash es un algoritmo matemtico que permite calcular un valor resumen de los datos a ser
firmados digitalmente. Funciona en una sola direccin, es decir, no es posible, a partir del valor
resumen, calcular los datos originales. Cuando la entrada es un documento, el resultado de la funcin
es un nmero que identifica inequvocamente al texto. Si se adjunta este nmero al texto, el
destinatario puede aplicar de nuevo la funcin y comprobar su resultado con el que ha recibido. Ello
no obstante, este tipo de operaciones no estn pensadas para que las lleve a cabo el usuario, sino
que se utiliza software que automatiza tanto la funcin de calcular el valor hash como su verificacin
posterior.
Si el autor de la rma es alguien en quien conamos, el certicado nos sirve como garanta de que la
clave pblica pertenece al usuario que gura identicado en el certicado. Quien rma el certicado
puede ser una autoridad que se responsabilice de vericar fehacientemente la autenticidad de las
claves pblicas. En este caso, se dice que el certicado ha sido generado por una autoridad de
certicacin (CA).
Puede haber distintos formatos de certicados, pero el ms usado es el de los certicados X.509,
especicado en la denicin del servicio de directorio X.500.
El directorio X.500 permite almacenar y recuperar informacin, expresada como atributos, de un
conjunto de objetos. Los objetos X.500 pueden representar, por ejemplo, pases, ciudades, o bien
empresas, universidades (en general, organizaciones), departamentos, facultades (en general,
unidades organizativas), personas, etc. Todos estos objetos estn organizados jerrquicamente en
forma de rbol (en cada nodo del rbol existe un objeto) y, dentro de cada nivel, los objetos se
identican mediante un atributo distintivo. A nivel global, cada objeto se identica con un nombre
distintivo (DN), que no es ms que la concatenacin de los atributos distintivos que hay entre la raz
del rbol y el objeto en cuestin. El sistema de nombres es, pues, parecido al DNS de Internet, con la
diferencia que los componentes de un nombre DNS son simples cadenas de caracteres, y los de un
DN X.500 son atributos, cada uno con un tipo y un valor.
Un certificado nos soluciona el problema de la autenticidad de la clave pblica si est rmado por una
CA en la cual confiamos, Pero que pasa si nos comunicamos con un usuario que tiene un certificado
emitido por una CA que no conocemos?
Existe la posibilidad que una CA tenga un certicado que garantice la autenticidad de su clave pblica,
rmado por otra CA. Esta otra CA puede que si que la conozcamos, o puede que a su vez tenga un
certicado rmado por una tercera CA, y as sucesivamente. De esta forma, se puede establecer una
jerarqua de autoridades de certicacin, donde las CA de nivel ms bajo emiten los certicados de
usuario, y las CA de cada nivel son certicadas por una de nivel superior.
La Recomendacin X.509, adems de denir el formato de los certicados, tambin dene otra
estructura llamada lista de revocacin de certicados o CRL. Una lista de este tipo sirve para publicar
los certicados que han dejado de ser vlidos antes de su fecha de caducidad. Los motivos pueden
ser diversos: se ha emitido otro certicado que sustituye al revocado, ha cambiado el DN del titular
(por ejemplo, ha dejado de trabajar en la empresa en la que estaba), le han robado su clave privada,
etc.
De este modo, si queremos asegurarnos completamente de la validez de un certicado, no basta con
vericar su rma, sino que debemos obtener la versin actual de la CRL (publicada por la CA que
emiti el certicado) y comprobar que el certicado no aparece en esta lista. Una CA normalmente
actualizar su CRL de forma peridica, aadiendo cada vez los certicados que hayan sido revocados.
Cuando llegue la fecha de caducidad que constaba en el certicado, ya no ser necesario volver a
incluirlo en la CRL. Esto permite que las CRL no crezcan indenidamente.
En este captulo hemos visto que las tcnicas criptogrcas permiten cifrar un texto mediante una
clave de cifrado, y solamente quien conozca la clave de descifrado correspondiente ser capaz de
obtener el texto original.
Segn la relacin que haya entre las dos claves, los algoritmos criptogrficos se clasican en
algoritmos simtricos si la clave de cifrado y la de descifrado son la misma, o algoritmos de clave
pblica si las claves son distintas. Los algoritmos simtricos, a su vez, se pueden clasicar en
algoritmos de cifrado en ujo, si el cifrado consiste en aadir al texto datos pseudoaleatrios
calculados a partir de la clave, o algoritmos de cifrado en bloque, si el cifrado se realiza sobre bloques
de medida ja del texto original.
La particularidad de la criptografa de clave pblica es que a partir de la clave pblica es
prcticamente imposible deducir la clave privada. Esto permite que cualquiera que conozca la clave
pblica de un usuario pueda usarla para cifrar datos condenciales, con la seguridad que solamente
quien tenga la clave privada correspondiente podr descifrarlos, y sin necesidad de acordar ninguna
clave secreta a travs de un canal seguro. El uso de las claves al revs (la privada para cifrar y la
pblica para descifrar) es la base de las rmas digitales.
Dado que la criptografa de clave pblica es computacionalmente ms costosa que la simtrica, no se
utiliza nunca directamente para obtener condencialidad, si no siempre a travs de una clave de
sesin simtrica. Del mismo modo, la rma de un texto no se calcula directamente a partir del texto, si
no aplicndole una funcin hash segura. La propiedad de este tipo de funcin es que es muy difcil
encontrar un mensaje que de el mismo hash que otro.
Para garantizar que las claves pblicas son autnticas, y pertenecen a quien se supone que han de
pertenecer, se pueden utilizar certicados digitales o de clave pblica, como por ejemplo los
certicados X.509. Cuando una autoridad de certicacin (CA) rma un certicado, est dando fe de la
autenticidad entre el vnculo entre de la clave pblica correspondiente y la identidad del usuario. Los
certicados son un componente bsico de la infraestructura de clave pblica (PKI), como tambin lo
son las listas de revocacin de certicados (CRL). Las rmas digitales proporcionan el servicio de
autenticacin de mensaje. Los llamados cdigos MAC tambin proporcionan este servicio, pero
utilizando claves secretas compartidas en lugar de claves pblicas.
Otro servicio de autenticacin es el de autenticacin de entidad. Este mecanismo permite comprobar
que la otra parte de la comunicacin es quien dice ser, y no un impostor. Esto se puede conseguir con
tcnicas de autenticacin dbil basadas en contraseas o, si es necesario, con tcnicas de
autenticacin fuerte basadas en protocolos de reto-respuesta, que a diferencia de las anteriores son
resistentes a muchos ms ataques que las primeras.
Qu es una VPN? Es una red privada implementada sobre una red pblica o semipblica,
valindose de protocolos de encriptacin y encapsulamiento que permiten interconectar los dos
extremos de manera segura.
Por qu utilizar una VPN sobre una red pblica? En general nos permiten un ahorro de costos de
telecomunicaciones reemplazando las tecnologas tradicionales (Punto a Punto, Frame Relay, etc) que
contratamos a los Carriers para unir dos puntos a larga distancia e incluso internacionales,
garantizando confiabilidad e integridad a los datos transportados.
Qu protocolos agrupa IPSec? Este protocolo est integrado por un conjunto de estndares
abiertos que garantizan la confidencialidad, integridad, autenticacin del orgen, el intercambio de
claves y anti-replay. Estos protocolos son:
AH (Authentication Header)
ESP (Encapsulating Security Payload)
IKE (Internet Key Exchange)
Cul es la diferencia de implementar IPSec en modo tnel o modo transporte? En el modo tnel
se encapsula el datagrama original en un nuevo datagrama, el cual posee las direcciones IP de los
gatways IPSec que mantienen el tnel, en cambio en el modo transporte, la seguridad es de extremo
a extremo, donde solamente se asegura la carga til del datagrama IP, puesto que se mantiene la
cabecera IP original.
Muy atrs en el tiempo, han quedado aquellos primeros inicios en la historia de la informtica, en
donde el requerimiento fundamental por parte de un ambiente de cmputo, se encontraba relacionado
con la posesin de un gran servidor o computador principal para satisfacer las necesidades de
clculo de una organizacin.
Este viejo modelo, fue reemplazado rpidamente, por otro que considera un nmero grande de
computadores separados pero interconectados, que efectan el mismo trabajo, dando lugar al
nacimiento de las redes informticas. Pero el crecimiento que han sufrido las redes informticas en los
ltimos aos, ha superado cualquier expectativa al respecto. Un claro ejemplo, se encuentra dado por
Internet, una red de redes de alcance mundial, que ha logrado convertirse en tan solo unos aos, en
uno de los instrumentos de comunicacin ms preciados de la edad moderna. Hoy en da, muchos de
los servicios que utilizamos comnmente, requieren de algn tipo de interconexin para poder
funcionar eficientemente. Empleados que trabajan desde sus hogares, dispositivos mviles, telfonos
IP y una amplia gama de componentes de red, han pasado a convertirse en una realidad cotidiana.
Pero el concepto de redes e interconexin, no necesariamente se encuentra relacionado con la
seguridad o privacidad de los datos que sobre ellas se transfieren, de hecho puesto que las redes
fueron pensadas originalmente, con el objeto de compartir informacin, caractersticas tales como la
seguridad, no han sido parte integral de su diseo. En las prximas secciones, veremos algunas de
las tecnologas actuales, que permiten afrontar el desafo de interconectar redes, en forma segura y
confiable.
Con el paso del tiempo, la complejidad en torno al diseo e implementacin de redes, ha aumentado
considerablemente. Empresas de todos los tamaos, han visto en Internet y las tecnologas que la
soportan, una forma atractiva de solucionar sus problemas de comunicacin, o transformar la manera
en la que hacen negocios con sus clientes y proveedores. Debido en parte a estos hechos, y en
funcin de otorgar diferentes esquemas de seguridad, al conjunto de redes interconectadas entre
s, ha surgido la necesidad de referirnos a ellas en funcin de la zona a la que pertenecen:
Internet: Internet, es una red pblica y global. Pblica, porque puede ser utilizada por
cualquier persona, a travs del servicio provisto por alguno de los grandes proveedores de
acceso a la misma y Global, debido a que conecta a miles de computadores alrededor del
mundo. De acuerdo a sus caractersticas, Internet es un ambiente de trabajo sobre el cual
debemos asumir, que no tenemos control alguno respecto de quines y cmo la utilizan. El
usuario del otro lado, puede ser un potencial cliente, o un avezado atacante. En definitiva, no
tendremos ninguna manera de conocer esta situacin, al menos que estemos monitoreando
sus acciones, en forma constante.
Intranet: Se denomina Intranet a aquellas redes privadas, que siendo implementadas y
mantenidas por una compaa u organizacin individual, utilizan como parte de su
funcionamiento, las mismas tecnologas en las que se basa Internet. A diferencia de lo que
sucede con esta ltima, el acceso a una Intranet, se limita a los sistemas incluidos dentro de la
misma. Si bien es cierto, que frecuentemente, suele verse Intranets conectadas con Internet,
los recursos situados dentro del mbito de la Intranet, no se encuentran disponibles para el
acceso a los usuarios, a los que no se autorice expresamente. Dicho de otra forma, el acceso
a una Intranet, se concede a los usuarios confiados dentro de la red corporativa, o usuarios de
la misma en posiciones remotas.
Extranet: Una Extranet expande las posibilidades de conectividad de su Intranet, ms all de
los lmites de su propia organizacin, convirtindola en una red semi-privada. La
implementacin de una Extranet, brinda la posibilidad de conectar un socio de negocios u otra
organizacin digna de confianza, por medio de una red privada, o de una conexin que utilice
un canal de comunicaciones seguro, a travs de Internet. Podra decirse que una Extranet es
una WAN privada, pero que trabaja con protocolos abiertos no propietarios o, en otras
palabras, sera como la interconexin de Intranets de diferentes empresas, que se encuentran
bajo administraciones distintas.
La denicin de una red virtual lleva a cabo mediante el establecimiento de tneles, que permiten
encapsular paquetes de la red virtual, con sus protocolos, dentro de paquetes de otra red, que
normalmente es Internet, con su protocolo, es decir IP. Para la comunicacin entre las distintas
intranets, o entre el ordenador que accede remotamente y la intranet, se pueden utilizar los protocolos
que sean ms convenientes. Los paquetes de estos protocolos, para poderlos hacer llegar a su
destino a travs de Internet, se pueden encapsular en datagramas IP, que dentro suyo contendrn los
paquetes originales. Cuando lleguen a su destino, se desencapsulan estos datagramas para recuperar
los paquetes con el formato nativo del protocolo correspondiente.
Hay protocolos que pueden ser utilizados para establecer los tneles, dependiendo del nivel de la
comunicacin al cual se quiera realizar la proteccin.
Tneles a nivel de red. El protocolo utilizado en la gran mayora de conguraciones VPN es IPsec en
modo tnel, generalmente con ESP par cifrar los datos, y opcionalmente con AH para autenticar los
paquetes encapsulados. Las pasarelas VPN son, en este caso, pasarelas seguras Ipsec.
Tneles a nivel de enlace. En el caso de las VPN de acceso remoto o VPDN, existe la posibilidad de
encapsular tramas PPP, que son las que transmite normalmente un cliente VPN de este tipo, sobre
datagramas IP. Hay diversas
11.1.4 VPN por Internet
Como mencionramos en una seccin anterior, probablemente haya sido Internet el disparador a partir
del cual el concepto detrs de VPN se haya hecho tan popular. Y no es para menos, Internet se ha
convertido en la red pblica ms importante de todos los tiempos. Hoy da, muy probablemente
encuentre algn proveedor deseoso de brindarle acceso, en el lugar donde usted lo requiera. Hasta
hace algunos aos, cuando se requera comunicar oficinas distantes o sucursales, la nica opcin
pasaba, dependiendo de la distancia que separara los puntos, por recurrir a la instalacin de lneas
dedicadas o enlaces por satlite. Con el advenimiento de Internet, slo faltaba resolver los temas
relacionados con la seguridad en la transmisin de datos, cuestiones que las VPN, han sabido
resolver a la perfeccin. En la actualidad, el bajo costo de accesos de banda ancha a Internet, clientes
VPN integrados en los sistemas operativos ms utilizados, y equipos de networking con posibilidades
de VPN All in One, han transformado la implementacin de este tipo de soluciones, en algo
verdaderamente accesible desde el punto de vista econmico y sencillo en relacin a los
requerimientos iniciales.
Pero no todo son buenas noticias cuando la idea es montar VPNs sobre Internet. A diferencia de lo
que sucede en las redes privadas o los accesos dedicados, Internet, debe ser contemplada como una
red No Fiable. La volatilidad del ancho de banda efectivo, as como las interrupciones de servicio, o
sencillamente la libertad subyacente a su concepcin, sumado a que no se trata de otra red bajo
nuestro control, hacen que debamos ser sumamente cuidadosos a la hora de decidir que Nivel de
Servicio esperamos brindar con este tipo de soluciones.
Remote Access VPN: Las VPN de Acceso Remoto, suelen ser consideradas la evolucin
natural de aquel tipo de conexiones Dial-Up tan frecuentemente utilizadas. Suelen ser la
solucin acertada a la hora de asegurar las conexiones de usuarios mviles, tele-trabajadores
o cualquier otro tipo de usuario tradicional, que desee aprovechar a la hora de establecer
conexiones con sus redes corporativas, las ventajas brindadas por los clientes VPNs que
acompaan la mayora de los sistemas operativos tradicionales. En este tipo de VPN,
generalmente un usuario establece un vnculo a travs de Internet por intermedio de su ISP
(Internet Service Provider), para luego poner en funcionamiento el cliente instalado en su
estacin de trabajo remota, el cual en conjunto con un dispositivo alojado en el mismo
proveedor o en el extremo correspondiente a su compaa actuando como terminador, permite
establecer la denominada Red Privada Virtual.
LAN-to-LAN VPNs: Las VPNs LAN-to-LAN, suelen ser implementadas, a fin de establecer un
vnculo seguro y confiable entre redes de distintas organizaciones (extranet VPN,
interconectando clientes, proveedores, socios de negocios, etc.), o bien entre redes distantes
de una misma organizacin (Intranet VPN, interconectando oficinas centrales, oficinas
remotas, etc.). En ambos casos, este tipo de conexin representa una evolucin respecto de la
utilizacin de Lneas Punto a Punto o del tipo Frame Relay. De hecho, una VPN LAN-to-
LAN o Site-to-Site, suele ser referida como una extensin de las clsicas redes WAN. Por lo
general, una VPN de este tipo, requiere de Routers, Firewalls o Concentradores VPN, para ser
construida.
En la actualidad, una VPN puede ser implementada mediante Software, Hardware o una
combinacin de ambos. Sistemas operativos como Windows 2000/2003, incorporan su propio
servidor VPN, mientras que implementaciones como FreeSWAN, significan su contrapartida
por parte del software libre. De la misma forma, cada vez son ms los ISP que, con el objetivo
de brindar un servicio diferencial a sus clientes, promocionan la tercerizacin de distintos tipos
de implementaciones VPNs. De esta manera, es posible deslindar en ellos responsabilidades
tales como el armado de tneles sobre sus propios backbone o nodos. En caso de estar
pensando en esta posibilidad, debera tener en cuenta, cul es el grado de privacidad que le
ha llevado a pensar en una solucin VPN, y en caso de que ste sea alto por qu querra
usted tercerizar este servicio.
11.1.6 Tunelizacin
Las redes privadas virtuales, habilitan como parte de su funcionamiento, la creacin de tneles o
conductos dedicados de un sitio a otro. La tecnologa de tneles, comnmente referida como
Tunneling, representa un mtodo vlido al momento de transferir datos entre dos redes similares
sobre una red intermedia diferente. Por medio de una tcnica conocida como "encapsulacin", estos
tneles, suelen tener la capacidad de encerrar un tipo de paquete de datos, dentro del paquete de otro
protocolo (Generalmente TCP/IP), y en el caso particular de los tneles VPN, proceder a la
encriptacin de los datos transmitidos a travs del mismo, de forma tal que en caso de que se
produzca algn tipo de intercepcin sobre la red pblica subyacente, estos resulten ilegibles a los ojos
del atacante.
De acuerdo con este procedimiento, los paquetes encapsulados viajan a travs de Internet o cualquier
otro tipo de red pblica, hasta que alcanzan su destino. Una vez all, se separan y vuelven a su
formato original. En resumen, un tnel podra ser definido como la senda o recorrido lgico, que
siguen las PDUs de un protocolo (encapsulado en otro) atravesando una red pblica.
Si bien es cierto que los tneles suelen ser parte fundamental de las tecnologas VPN, han existido
desde hace mucho tiempo. Solo por citar un ejemplo, el tunelizado de protocolos tales como SNA e
IPX, se ha utilizado y se sigue utilizando con xito en varias implementaciones. De igual forma,
MBone hace uso de tneles multicast sobre una red unicast, as como 6Bone hace lo propio con
tneles IPv6 sobre redes Ipv4. Respecto de su funcionamiento, con frecuencia, los tneles suelen ser
establecidos en las capas 2 y 3 debido sobre todo a que sto los hace independientes del medio,
aunque SSH y S/MIME en capa 7 y SSL/TSL en capa 4, nos muestran la existencia de otras
alternativas. Por su parte, aspectos tales como las fases (establecimiento / encapsulado) y los
elementos que componen un tnel (Protocolo del carrier, Protocolo de encapsulamiento y Protocolo
pasajero) , suelen ser caractersticas propias de esta tecnologa.
En la actualidad, suele ser comn referirse a las tecnologas de tunneling de acuerdo tambin, a su
modo de generacin. De esta forma, se distingue entre Tneles Voluntarios o Tneles Obligatorios.
11.2 OpenVPN
OpenVPN es una solucin de conectividad basada en software: SSL (Secure Sockets Layer) VPN
Virtual Private Network (red virtual privada), OpenVPN ofrece conectividad punto-a-punto con
validacin jerrquica de usuarios y host conectados remotamente, resulta una muy buena opcin en
tecnologas Wi-Fi (redes inalmbricas EEI 802.11) y soporta una amplia configuracin, entre ellas
balanceo de cargas entre otras. Est publicado bajo la licencia GPL, de software libre. OpenVPN, es
un excelente producto de software creado por James Yonan en el ao 2001 y que ha estado siendo
mejorado desde entonces. Ninguna otra solucin ofrece una mezcla semejante de seguridad a nivel
empresarial, seguridad, facilidad de uso y riqueza de caractersticas. Es una solucin multiplataforma
que ha simplificado mucho la configuracin de VPN's dejando atrs los tiempos de otras soluciones
difciles de configurar como IPsec y hacindola ms accesible para gente inexperta en este tipo de
tecnologa.
OpenVPN es una excelente nueva solucin para VPN que implementa conexiones de capa 2 o 3, usa
los estndares de la industria SSL/TLS para cifrar y combina todos las caractersticas mencionadas
anteriormente en las otras soluciones VPN. Su principal desventaja por el momento es que hay muy
pocos fabricantes de hardware que lo integren en sus soluciones. De todos modos no hay que
preocuparse siempre que contemos con un Linux en el cual podremos implementarlo sin ningn
problema mediante software. Para cifrar datos se usan Passwords o claves de cifrado.OpenVPN tiene
dos modos considerados seguros, uno basado en claves estticas pre-compartidas y otro en SSL/TLS
usando certificados y claves RSA. Cuando ambos lados usan la misma clave para cifrar y descifrar los
datos, estamos usando el mecanismo conocido como clave simtrica y dicha clave debe ser
instalada en todas las mquinas que tomarn parte en la conexin VPN. Si bien SSL/TLS + claves
RSA es por lejos la opcin ms segura, las claves estticas cuentan con la ventaja de la simplicidad.
Ventajas: OpenVPN provee seguridad, estabilidad y comprobados mecanismos de cifrado sin sufrir la
complejidad de otras soluciones VPN como las de Ipsec.
Adems ofrece ventajas que van ms all que cualquier otra solucin como ser:
Posibilidad de implementar dos modos bsicos, en capa 2 o capa 3, con lo que se logran
tneles capaces de enviar informacin en otros protocolos no-IP como IPX o broadcast
(NETBIOS).
Proteccin de los usuarios remotos. Una vez que OpenVPN ha establecido un tnel el firewall
de la organizacin proteger el laptop remoto aun cuando no es un equipo de la red local. Por
otra parte, solo un puerto de red podr ser abierto hacia la red local por el remoto asegurando
proteccin en ambos sentidos.
Conexiones OpenVPN pueden ser realizadas a travs de casi cualquier firewall. Si se posee
acceso a Internet y se puede acceder a sitios HTTPS, entonces un tnel OpenVPN debera
funcionar sin ningn problema.
Soporte para proxy. Funciona a travs de proxy y puede ser configurado para ejecutar como un
servicio TCP o UDP y adems como servidor (simplemente esperando conexiones entrantes) o
como cliente (iniciando conexiones).
Solo un puerto en el firewall debe ser abierto para permitir conexiones, dado que desde
OpenVPN 2.0 se permiten mltiples conexiones en el mismo puerto TCP o UDP.
Las interfaces virtuales (tun0, tun1, etc.) permiten la implementacin de reglas de firewall muy
especficas.
Todos los conceptos de reglas, restricciones, reenvo y NAT10 pueden ser usados en tneles
OpenVPN.
Alta flexibilidad y posibilidades de extensin mediante scripting. OpenVPN ofrece numerosos
puntos para ejecutar scripts individuales durante su arranque.
Soporte transparente para IPs dinmicas. Se elimina la necesidad de usar direcciones IP
estticas en ambos lados del tnel.
Ningn problema con NAT. Tanto los clientes como el servidor pueden estar en la red usando
solamente IPs privadas.
Instalacin sencilla en cualquier plataforma. Tanto la instalacin como su uso son
increblemente simples.
Diseo modular. Se basa en un excelente diseo modular con un alto grado de simplicidad tanto en
seguridad como red.
Desventajas
No tiene compatibilidad con IPsec que justamente es el estndar actual para soluciones VPN.
Falta de masa crtica.
Todava existe poca gente que conoce como usar OpenVPN.
Al da de hoy slo se puede conectar a otras computadoras. Pero esto est cambiando, dado
que ya existen compaas desarrollando dispositivos con clientes OpenVPN integrados.
IPSec OpenVPN
Estndar de la tecnologa VPN Aun desconocida y no compatible con IPsec
Plataformas de hardware (dispositivos, aparatos) Solo en computadoras, pero en todos los
sistemas operativos disponibles
Tecnologa conocida y probada Tecnologa nueva y aun en crecimiento
Muchas interfaces grficas disponibles Sin interfaces grficas profesionales, aunque ya
existen algunos proyectos prometedores
Modificacin compleja del stack IP Tecnologa sencilla
Necesidad de modificaciones crticas al kernel Interfaces de red y paquetes estandarizados
Necesidad de permisos de administrador Ejecuta en el espacio del usuario y puede ser
chroot-ed
Diferentes implementaciones de distintos Tecnologas de cifrado estandarizadas
proveedores pueden ser incompatibles entre si
Configuracin compleja y tecnologa compleja Facilidad, buena estructuracin, tecnologa
modular y facilidad de configuracin
Curva de aprendizaje muy pronunciada Fcil de aprender y xito rpido para
principiantes
Necesidad de uso de muchos puertos y Utiliza solo un puerto del firewall
protocolos en el firewall
Problemas con direcciones dinmicas en ambas Trabaja con servidores de nombres dinmicos
puntas como DynDNS o No-IP con reconexiones rpidas
y transparentes
Problemas de seguridad de las tecnologas IPsec SSL/TLS como estndar de criptografa
Control de trfico (Traffic shaping)
Velocidad (ms de 20 Mbps en mquinas de
1Ghz)
Compatibilidad con firewall y proxies
Ningn problema con NAT (ambos lados puede
ser redes NATeadas)
Posibilidades para hackers y road warriors
11.3 PPTP
Sin lugar a dudas, en el mbito de las redes de acceso remoto y VPNs, nada hubiera sido igual, sin el
desarrollo de PPTP. Las siglas con las que se identifica este protocolo, se corresponden con su
nombre en Ingls: Point-to-Point Tunneling Protocol y su concepcin se atribuye a un consorcio de
empresas, conformado por: Microsoft, P.Ascen Communications, 3Com, Primary Access, ECI
Telematics y US.Robotics, entre otros.
Publicado en Julio de 1999 bajo el RFC 2637, PPTP se presenta como un protocolo que permite el
intercambio seguro de datos, proveyendo soporte multi-protocolo, autenticacin y cifrado, a la vez que
extiende las posibilidades provistas hasta el momento por PPP (Point-to-Point Protocol. RFC 1171), al
encapsular paquetes PPP en datagramas IP (utilizando una versin extendida de GRE) y posibilitar su
transmisin en redes TCP/IP. El objetivo detrs del diseo de PPTP, fue el de obtener un protocolo
simple, que brindara compatibilidad multiprotocolo y que tuviera la capacidad de cruzar una amplia
gama de redes IP.
Uno de los aspectos que ms han contribuido a la utilizacin de PPTP, es sin lugar a dudas la
aceptacin que el mismo ha tenido en la industria (de la cual forman parte alguna de las empresas
que a su vez desarrollaron este protocolo). Sistemas operativos como Windows 98SE, Windows NT
4.0 y Windows 2000, tanto en sus versiones de escritorio como servidor, lo incluyen como parte de su
instalacin, provocando de esta forma, la disponibilidad casi inmediata de un cliente en cada uno de
los equipos en los cuales se haya instalado alguno de estos sistemas operativos. De la misma forma,
y a pesar de que muchas veces se lo ha considerado como un protocolo propiedad de Microsoft,
existen varios clientes y servidores PPTP para gran parte del resto de los sistemas operativos (Linux,
FreeBSD, NetBSD y OpenBSD).
Ms all de su disponibilidad en gran parte de los escritorios, puesto que PPTP es capaz de brindar
comunicaciones encriptadas sobre las estructuras de comunicaciones existentes como PSTNs (Public
Switched Telephone Networks) e Internet, su uso se ha extendido hasta convertirlo en algn momento,
en uno de los protocolos preferidos a la hora de implementar las primeras VPNs. Si bien es cierto que
una de las fortalezas de PPTP, es su utilizacin junto a PPP para establecer un primer vnculo a travs
de un mdem y lnea telefnica, sobre el cual finalmente montar PPTP, su uso podra ser requerido en
redes internas o LANs, en cuyo caso no hara falta el establecimiento de conexin brindado por PPP,
sino que la VPN podra ser establecida localmente va PPTP contra un servidor en la misma red
interna. Este tipo de implementacin puede carecer de sentido en algunos casos, aunque la capacidad
de soportar mltiples protocolos (IP, IPX y NetBEUI) puede ser un fin en s mismo.
Hacia Octubre de 1994, se publicaba en el RFC 1701, el desarrollo de CISCO en torno a un nuevo
protocolo de encapsulamiento de propsito general. Si bien por aqul entonces, existan varias
propuestas previas, de caractersticas similares (RFC 1226, RFC 1234, RFC 1241, RFC 1479, etc.), el
aspecto entorno a su concepcin como protocolo de propsito general, lo llev a convertirse
rpidamente en un estndar de facto, a la hora de generar tneles de datos.
Sin lugar a dudas, la idea de un mecanismo sencillo a la hora de encapsular datos de un protocolo, de
forma tal que ste pueda ser transportado por una red utilizando otro protocolo, no slo ha resultado
atractiva, sino tambin til y eficiente.
GRE, son las siglas de Generic Routing Encapsulation y se consolid como una respuesta acertada
de CISCO y del grupo de personas que trabajaron en su desarrollo, en torno a resolver los
inconvenientes relativos a la encapsulacin de protocolos, manifestados hasta el momento.
Hasta la aparicin de GRE, protocolos como Internet Protocol Encapsulation of AX.25 (IPEAX, RFC
1226) que permitan la encapsulacin de frames X.25 dentro de paquetes IP, o propuestas como la de
Novell de Junio de 1991: Tunneling IPX traffic through IP networks (RFC 1234), que haca lo propio
con paquetes IPX a travs de redes IP, cumplan con su cometido pero slo lo hacan con tipo de
protocolos para el cual haban sido desarrollados. En este punto es donde GRE ha conseguido
diferenciarse del resto.
Debido a su concepcin como protocolo de routing y encapsulamiento genrico, GRE ofrece a los
profesionales de Networking la posibilidad de conocer y administrar un slo protocolo de
encapsulamiento con el que pueden trabajar en diferentes plataformas y entornos operativos.
De esta forma, se consigue obtener un paquete original (Payload Packet), con una cabecera GRE en
donde se especifican valores tales como el tipo de protocolo contenido en la carga til, y una cabecera
de entrega dotada de la informacin de routing general, que posibilitar que este paquete cruce la red
anfitrin, en busca del extremo que lo recibir, lo desencapsular y lo pondr sobre la red destino.
Algn tiempo despus de que CISCO y Microsoft, hicieran sus intentos con L2F (Cisco Layer 2
Forwarding) y PPTP (Point-to-Point Tunneling Protocol) respectivamente, ambos decidieron que era
tiempo de consolidar esfuerzos y trabajar sobre un protocolo de tunneling que, implementando
caractersticas de sus desarrollos anteriores, lograse convertirse en un verdadero estndar. Fruto de
esta unin, surgira en Agosto de 1999 bajo el RFC 2661, un protocolo denominado L2TP (Layer 2
Tunneling Protocol), el cual poco tiempo despus, se convertira en uno de los ms utilizados al
momento de establecer tneles de datos. A lo largo de la prxima seccin, recorreremos algunos de
los aspectos ms destacados de esta tecnologa, as como tambin la forma en la que la misma es
implementada en el mbito de las Redes Privadas Virtuales (VPNs).
Tal como se menciona en el correspondiente RFC, PPP define un mecanismo de encapsulacin
tendiente a transportar, paquetes multi-protocolo a travs de la capa 2 (L2) en una comunicacin de
extremo a extremo. En este escenario, tpicamente un usuario obtiene una conexin del tipo L2,
contra un Servidor de Acceso a la Red (NAS por Network Access Server) a travs de cualquiera de
los mtodos tradicionales como ser: Dial-Up, ADSL, ISDN, etc.; para luego levantar o ejecutar, un
enlace PPP sobre la mencionada conexin. En tal configuracin, el punto de terminacin L2 y el punto
final de la sesin PPP residen en el mismo dispositivo fsico (es decir, el NAS).
L2TP extiende el modelo tpico utilizado por PPP, permitiendo que los puntos finales de L2 y de PPP
residan en distintos dispositivos interconectados. Con L2TP, un usuario tiene una conexin L2 a un
concentrador de acceso, como por ejemplo un banco de mdems, y el concentrador genera entonces
un tnel de frames individuales de PPP al NAS. Esto permite que el proceso real de los paquetes PPP,
pueda ser separado de la terminacin del circuito de capa 2.
Si bien este nuevo esquema no representa diferencias desde el punto de vista funcional para el
usuario, tecnolgicamente, permite a los proveedores de acceso, separar funciones en cuanto a la
conexin de estos servicios, al permitir que una comunicacin no necesariamente deba terminar en un
NAS (Network Access Server) y s pueda terminar en un nodo local.
Al margen de esta particularidad, L2TP es un protocolo de tunneling y como tal brinda la capacidad de
transportar mltiples protocolos. De esta forma IP, IPX y SNA se encuentran soportados.
Caractersticas:
Publicado en agosto de 1999 bajo el RFC 2661
Desarrollado por un consorcio conformado primeramente por Microsoft y Cisco
Debido a su concepcin, L2TP es considerado el sucesor de L2F y PPTP
Define un mecanismo de encapsulacin de capa 2
Se plantea como el complemento ideal de IPSec
Utiliza Network Control Protocol (NCP) para negociar la asignacin de una direccin IP
Provee los mismos mtodos de autenticacin que PPP, PAP (Password Authentication
Protocol) y CHAP (Challenge Handshake Authentication Protocol)
LAC (L2TP Access Concentrator): Se aade un dispositivo LAC a los componentes fsicos de
la red conmutada, como la red telefnica convencional o ISDN, o se coloca con un sistema de
terminacin PPP capaz de gestionar el protocolo L2TP. Un LAC slo necesita implementar el
medio sobre el cual opera el L2TP para admitir el trfico de una o ms LNS. Puede "tunelizar"
cualquier protocolo que incluya PPP. LAC es el iniciador de las llamadas entrantes y el
receptor de las llamadas salientes. Se encuentra implementado generalmente en un ISP,
aunque tambin puede existir en un cliente remoto.
LNS (L2TP Network Server): Un LNS opera sobre cualquier plataforma con capacidad de
terminacin PPP. LNS gestiona el lado del servidor del protocolo L2TP. Ya que L2TP se apoya
sobre el medio al que llegan los tneles L2TP, LNS slo puede tener una nica interfaz LAN o
WAN, aunque es capaz de terminar las llamadas entrantes en cualquiera de la amplia gama de
las interfaces PPP LAC (asncronos, ISDN, PPP sobre ATM, PPP sobre Frame Relay). Se
localiza del lado de la red corporativa.
NAS (Network Access Server): Este dispositivo proporciona a los usuarios acceso temporal a
la red bajo demanda. Este acceso es punto a punto, de uso tpico en lneas de la red telefnica
convencional o ISDN. En la implementacin Cisco, un NAS sirve como LAC. Mediante los
mencionados componentes, el protocolo L2TP, posibilita el encapsulamiento de diferentes
protocolos, haciendo uso de las capacidades de PPP a la vez que incorpora, facilidades
mejoradas y una integracin estupenda con IPSec (Protocolo que estudiaremos en detalle, en
nuestra prxima seccin).
Es un hecho que Internet est cambiando rpidamente la forma de hacer negocios, pero al mismo
tiempo que esta Red de Redes se hace cada vez ms grande en su extensin, mayores son las
amenazas que se ciernen a su alrededor.
El desarrollo de la pila de protocolos TCP/IP, tuvo lugar en una poca en la cual la seguridad no
representaba un desafo, de hecho, el desafo concreto se encontraba mas bien relacionado con la
posibilidad de interconexin y la expansin resultante de su aplicacin en el campo real. Aos ms
tarde, y especialmente con el advenimiento de Internet, las falencias de este protocolo respecto de su
seguridad entre otras, se hicieron notar con fuerza. En respuesta a estos inconvenientes, en
Noviembre de 1998, se publicaba bajo el RFC 2401, el que sera el primero de una serie de memos,
mediante los cuales se presentara en sociedad un nuevo protocolo denominado IPSec (IP Security).
Segn lo definido oportunamente por el IETF (Internet Engineering Task Force), IPSec es un conjunto
de estndares abiertos, tendientes a asegurar la privacidad y seguridad de las comunicaciones sobre
redes IP, por medio del uso de servicios criptogrficos. Esta definicin, nos permite entrever algunos
de los aspectos ms importantes detrs de IPSec, comenzando con el trmino estndares abiertos,
lo cual representa sin lugar a dudas un buen comienzo.
Cuando IETF hace mencin a estndares abiertos, se refiere a que, a diferencia de otros mtodos
de comunicacin segura, IPSec no se encuentra limitado a algn sistema o algoritmo de
autentificacin o encriptacin en particular, permitiendo a quien decida implementarlo, escoger entre
distintos mtodos o conjuntos de mtodos estndares que se utilizarn como parte de dicha
implementacin.
En concordancia con lo enunciado en el RFC 2401, IPSec se ha diseado con el objeto de
proporcionar interoperabilidad, alta calidad y seguridad basada en criptografa no slo para IPv6
donde es mandatario, sino tambin en IPv4.
El conjunto de servicios de seguridad ofrecidos por IPSec, incluye control de acceso, confidencialidad,
integridad, autentificacin del origen de datos, antireplay y no repudio (cuando se utiliza Firma Digital
como medio de autenticacin).
Una de las particularidades de IPSec, es que a diferencia de alguno de los viejos conjuntos de
estndares, en los cuales la seguridad se aplicaba sobre la capa de aplicacin del modelo OSI, IPSec
hace lo propio en la capa de red. Al funcionar de esta forma, la proteccin se hace efectiva para la
capa IP y/o los protocolos de capa superior, transformndose en la mayora de las oportunidades, en
una solucin sumamente transparente en relacin a las aplicaciones.
De acuerdo a sus caractersticas, IPSec se ha transformado en la actualidad, en el mtodo obligado, a
la hora de implementar sistemas del tipo VPNs que requieran atravesar con seguridad un medio
pblico, como por ejemplo Internet.
En las prximas secciones, recorreremos cada uno de los componentes de esta tecnologa, a la vez
que intentaremos describir el funcionamiento de cada uno de ellos.
11.6.1 Componentes
IPSec es considerado un grupo de extensiones de la familia del protocolo IP. Como tal, su
funcionalidad se encuentra basada en un conjunto de componentes, cada uno con funciones
especficas claramente definidas.
Recordemos, por cierto, que las tres principales condiciones de una mensajera segura son:
Privacidad o Confidencialidad: que el mensaje sea ledo slo por el destinatario previsto.
Autenticacin: que el mensaje venga de quin dice que viene.
Integridad: que el mensaje no haya sido modificado en su camino entre los extremos.
A modo de introduccin, mencionaremos brevemente en la presente seccin, algunos de estos
componentes principales que garantizan estas condiciones y algunas otras complementarias como
son el antireplay y la administracin de claves. Posteriormente sern desarrollados en indicadores
posteriores con mayor detalle.
ESP (Encapsulating Security Payload): ESP, es otro de los protocolos provistos por IPSec. Como
parte de su funcionamiento, ESP provee autenticacin, integridad y proteccin a la rplica al igual que
AH, aunque a diferencia de este ltimo, ESP se ocupa tambin de asegurar la confidencialidad de los
datos. Al implementar ESP, el analista de seguridad, tiene la posibilidad de decidir, en algunos casos
por medio de las asociaciones de seguridad, cual de los servicios provistos por este protocolo,
requieren ser utilizados (proteccin a la rplica e integridad, confidencialidad con o sin autenticacin,
etc.). De acuerdo a sus caractersticas particulares, AH y ESP pueden ser utilizados en conjunto,
aunque en la mayora de los casos la utilizacin de uno de ellos ser suficiente.
IKE (Internet Key Exchange): Una de las caractersticas ms interesantes del conjunto de
componentes relacionados con IPSec, es sin lugar a dudas el servicio de intercambio de claves
provisto por IKE. Puesto que gran parte del funcionamiento de IPSec, se basa en principios
criptogrficos, claves y algoritmos, stos se encuentran presentes en la mayora de los procesos
involucrados. Como en cualquier esquema de este tipo, el conjunto de claves utilizadas, debe ser
conocido de antemano por los extremos de una comunicacin, este servicio es precisamente brindado
por IKE. Si bien es cierto que IKE no es un requerimiento de IPSec, puesto que la labor de administrar
claves de sesin en forma manual puede ser un gran inconveniente, la mayora de las
implementaciones actuales, hacen uso de esta tecnologa.
Modo Tunel: Cuando el modo tnel se pone en funcionamiento, entran en juego los denominados
gateways IPSec (Bsicamente Routers o Firewalls con facilidades IPSec), los cuales implementan
proteccin completa al paquete IP, encapsulando el datagrama original en otro datagrama que posee
las direcciones IP de los gateways IPSec que mantienen el tnel, a la vez que se responsabilizan por
la generacin de tneles sobre los host ubicados generalmente del lado de la red interna. Esta
operatoria, permite que cada uno de estos host se comunique en forma segura con el gateway
implementado a tal fin, sin la necesidad de que IPSec est presente en cada uno de ellos. Debido a
esta operatoria, solemos referirnos al modo tnel, como modo transparente, puesto que su
funcionamiento, hace que los clientes finales en cada uno de los extremos, por lo general no se
enteren de que IPSec est protegiendo el trfico de sus comunicaciones.
El modo tnel, suele ser utilizado entre dispositivos de frontera, en aquellos casos donde se requiere
proteccin transparente sobre redes no confiables. Como caracterstica particular, en este tipo de
implementaciones, la cabecera exterior puede poseer direcciones origen y destino diferentes a la
cabecera interna (encapsulada), puesto que se crea un nuevo encabezado IP con las direcciones IP
de los gateways de origen y destino. Respecto de los protocolos IPSec en este modo, ESP cifra y
opcionalmente autentica el paquete IP interno, mientras que AH autentica el paquete IP interno y parte
de la cabecera IP externa.
En resumen, el modo tnel provee seguridad para el paquete IP completo, puesto que el paquete IP
original es encriptado, encapsulado en un nuevo paquete IP y la direccin IP externa, es la utilizada
para rutear el paquete a travs de Internet, pudiendo corresponder a las IP internas un esquema de
direccionamiento privado.
En el modo tnel, el datagrama original se encapsula entero, con su cabecera y sus datos, dentro de
otro datagrama. Este otro datagrama tendr una cabecera IP en la cual las direcciones de origen y de
destino sern las de los nodos inicio y nal de la SA. Por tanto, se dice que entre estos dos nodos hay
un tnel dentro del cual viajan intactos los datagramas originales. A continuacin de la cabecera IP
del datagrama externo hay la cabecera AH o ESP.
Modo Transporte: Este modo suele ser el indicado en aquellas circunstancias donde la seguridad se
establece de extremo a extremo, aplicndose solamente a las comunicaciones de Host a Host. En
este tipo de escenarios, cada host realiza la encapsulacin de sus propios datos, requirindose la
ejecucin de IPSec, en ambos puntos de la conexin, determinando de esta forma, que cada extremo
de una comunicacin IPSec, signifique a su vez, el final mismo de la aplicacin. Cuando el modo
transporte es implementado se asegura la proteccin de la carga til IP. En este esquema, ESP cifra y
opcionalmente autentica el campo de datos de IP, mientras que AH autentica campo de datos de IP y
parte de la cabecera. En modo transporte, el encabezado IPSec se inserta entre el encabezado IP y el
encabezado siguiente, generalmente de Capa 4 (TCP o UDP). El modo transporte, protege la carga
til de los paquetes pero mantiene la informacin referente a direcciones IP en texto claro, puesto que
sta es utilizada para rutear los paquetes a travs de Internet. Es importante tener en cuenta, que en
esta modalidad, los datos de los paquetes bajo IPSec viajan encriptados tanto en la red pblica
(Internet) como en la propia LAN de los extremos. En el modo transporte, la cabecera AH o ESP se
incluye despus de la cabecera IP convencional, como si fuera una cabecera de un protocolo de nivel
superior, y a continuacin van los datos del datagrama (por ejemplo, un segmento TCP con su
cabecera correspondiente, etc.).
El protocolo IP prev que un datagrama se pueda fragmentar, y se puede dar el caso que los
fragmentos de un mismo datagrama vayan por caminos diferentes hasta llegar a su destino nal. Esto
representara un problema en una SA entre pasarelas seguras (o entre un nodo extremo y una
pasarela segura) si se utilizara el modo transporte: por ejemplo, algunos fragmentos podran quedar
sin proteger, otros podran resultar indescifrables porque no han pasado por la pasarela que los haba
de descifrar, etc. Para evitar estas situaciones, en IPsec slo se permite el modo transporte en las SA
extremo a extremo.
El modo tnel no tiene este problema porque, aunque la SA sea entre pasarelas, cada datagrama
tiene como direccin de destino la del nodo que hay al nal del tnel, y todos los fragmentos
nalmente tienen que llegar a este nodo. Por tanto, el modo tnel se puede utilizar en cualquier SA,
tanto si es extremo a extremo como si interviene una pasarela segura.
11.6.3 Protocolo AH
AH (IP Autentication Header o Cabecera de Autenticacin IP) definido en el RFC 2406 es utilizado en
IPSec, a fin de proveer integridad y autenticacin del origen de datos para los datagramas IP,
pudiendo opcionalmente, proporcionar proteccin a la rplica por parte del receptor, cuando se
establece una asociacin de seguridad (puesto que esto se logra incrementando un nmero de
secuencia, este ltimo servicio slo ser eficaz en aquellos casos donde el receptor, controla este
nmero de secuencia.). Como mencionramos en su descripcin general, AH realiza su mejor intento
a la hora de proteger cabeceras IP y datos de los protocolos superiores. Sin embargo, puesto que el
valor de algunos campos de la cabecera IP puede cambiar en trnsito, el paquete finalmente en poder
del receptor, puede no ser fiable. Los valores de tales campos no se pueden proteger por AH, lo que
provoca en definitiva, que la proteccin proporcionada por AH a la cabecera IP sea un tanto
fragmentaria.
AH, puede ser aplicado slo, en combinacin con ESP o lo que es an ms comn, como parte del
modo tnel. Como el resto de los servicios de seguridad incluidos en IPSec, AH puede ser utilizado en
comunicaciones host a host, entre gateways, o en una combinacin de gateways y host. A diferencia
de ESP (IP Encapsulating Security Payload), AH no provee encriptacin y por ende confidencialidad,
como parte de su funcionamiento.
AH, se identifica en IPv4, con el valor 51 en el campo protocolo. Su formato, contiene
fundamentalmente, un valor de 32-bit en el sector indicado como SPI (ndice de parmetro de
seguridad), que en combinacin con la IP destino y el protocolo de seguridad (AH) identifica
unvocamente la asociacin de seguridad (SA) para este datagrama. Un nmero de secuencia de 32-
bit, utilizado al momento de actuar como prevencin a la rplica y un campo de longitud variable,
conteniendo el valor HMAC del paquete.
Por ltimo, si bien es cierto que AH y ESP, ofrecen servicios similares, algunas de las razones del uso
de AH, se encuentran relacionadas con su bajo overhead respecto de ESP, su utilizacin mandataria
en IPv6 y el hecho de que por su concepcin, no existan restricciones en cuanto a su exportacin.
11.6.6 Compresin IP
En aquellos entornos donde la decisin de proveer servicios de encriptacin a un conjunto de datos en
trnsito se lleva a la prctica, es inevitable el impacto negativo obtenido. Esto se debe bsicamente a
dos aspectos claves, el tiempo de procesamiento en los extremos a la hora de encriptar y des-
encriptar la informacin y, el tamao efectivo de los paquetes a ser transmitidos.
A fin de solucionar el segundo de estos inconvenientes, varias alternativas de compresin de datos
han sido discutidas a lo largo de los ltimos aos. Algunos RFCs se han encargado incluso de echar
luz sobre alguno de los aspectos relacionados con este asunto, tal es el caso del RFC 2393. Uno de
los principales problemas a los que se enfrenta la compresin IP, en particular al momento de ser
aplicada en conjunto con IPSec, se encuentra relacionado con la prdida de datos innata en todo
proceso de compresin.
Como hemos mencionado, la compresin IP es especialmente til cuando un proceso de encriptacin
es aplicado a un datagrama IP. La propia encriptacin de un datagrama IP hace que los datos
obtenidos como producto sean en esencia aleatorios, transformando la compresin en las capas ms
bajas del protocolo ineficaz. Por tal motivo, en aquellos casos donde encriptacin y compresin sean
requeridos, la compresin debe ser aplicada, antes de la encriptacin.
Esquema de funcionamiento
Una vez que un dispositivo reconoce la identidad del otro y viceversa, el intercambio de informacin
va IKE se realiza por medio de mensajes UDP al port 500.
Fase I: Esta fase, se utiliza para establecer una asociacin de seguridad (SA) ISAKMP
(Internet Security Association and Key Management Protocol), mediante la cual, las entidades
realizan la negociacin y autenticacin inicial, a fin de asegurar el canal de datos. Dicha
negociacin, puede ser llevada a la prctica en varios modos de establecimiento, cada uno con
caractersticas particulares (ver seccin 3.6.13). La denominada Fase I, hace uso de los
mtodos de autenticacin mencionados en la seccin anterior (Autenticacin con Clave Pre-
compartida, Autenticacin con Encriptacin de Clave Pblica y Autenticacin con Firma
Digital), y as como los modos de establecimiento, depender de la eleccin de los parmetros
configurados en el circuito IPSec y del escenario de implementacin.
Fase II: Una vez concluida la Fase I, se pone en funcionamiento la Fase II, la cual tiene como
objetivo primordial establecer la asociacin de seguridad (SA) que ser utilizada para
comunicar ambos extremos. Por medio de este dilogo, se acuerda entre las partes el tipo de
protocolo a utilizar (AH, ESP), el modo (tnel, transporte) y algunos de los algoritmos
involucrados (3DES, MD5, SHA-1, etc.)
En resumen, en su nivel ms bsico, el proceso general de una conexin IPSec podra verse como un
circuito de tres pasos:
1. Se arranca una conexin ISAKMP SA utilizando el Modo Principal o el Modo Agresivo.
2. Se utiliza el Modo Rpido para negociar una SA, utilizando el IKE SA establecido.
3. Se utilizan los mtodos, algoritmos y claves establecidos en el SA para la comunicacin de
datos entre los puntos hasta la expiracin del SA gobernante.
En los apartados anteriores hemos visto los mecanismos bsicos de proteccin, que proporcionan
servicios como la condencialidad o la autenticacin.
En el momento de aplicar estos mecanismos a las redes de computadores, existen diversas opciones
en cuanto al nivel de las comunicaciones donde se introduzcan les funciones de seguridad.
La proteccin a nivel de red garantiza que los datos que se enven a los protocolos de nivel
superior, como TCP o UDP, se transmitirn protegidos. El inconveniente es que puede ser
necesario adaptar la infraestructura de la red y, en particular los encaminadores (routers), para
que entiendan las extensiones que es preciso aadir al protocolo de red (IP) para proporcionar
esta seguridad.
La proteccin a nivel de transporte, por su lado, tiene la ventaja de que slo se precisa adaptar
las implementaciones de los protocolos (TCP, UDP, etc.) que haya en los nodos extremos de la
comunicacin, que normalmente estn incorporadas al sistema operativo o en libreras
especializadas. En este caso, pues, slo sera necesario un cambio en el software.
La proteccin a nivel de aplicacin puede responder mejor a las necesidades de ciertos
protocolos. Un ejemplo concreto es el del correo electrnico, en el que interesa proteger los
datos de aplicacin, es decir, los mensajes de correo, ms que los paquetes a nivel de
transporte o de red. Esto es as porque un mensaje es vulnerable a ataques de acceso
ilegtimo o de falsicacin no slo cuando se est transmitiendo por la red sino tambin cuando
est almacenado en el buzn del destinatario.
El objetivo inicial del diseo del protocolo SSL fue proteger las conexiones entre clientes y servidores
web con el protocolo HTTP. Esta proteccin deba permitir al cliente asegurarse que se haba
conectado al servidor autntico, y enviarle datos confidenciales, como por ejemplo un nmero de
tarjeta de crdito, con la confianza que nadie ms que el servidor sera capaz de ver estos datos. Las
funciones de seguridad, pero, no se implementaron directamente en el protocolo de aplicacin HTTP,
si no que se opt por introducirlas a nivel de transporte. De este modo podra haber muchas ms
aplicaciones que hicieran uso de esta funcionalidad.
Una caracterstica distintiva del WTLS es que no solamente permite proteger conexiones TCP, como
hacen SSL y TLS, si no que tambin define un mecanismo de proteccin para las comunicaciones en
modo datagrama, usadas en diversas aplicaciones mviles.
Un ejemplo de autenticacin de cliente a nivel de aplicacin son las contraseas que pueden
introducir los usuarios en formularios HTML. Si la aplicacin utiliza este mtodo, al servidor ya no le
hace falta autenticar al cliente a nivel de transporte.
Una situacin tpica en que se utiliza SSL/TLS es la de un navegador web que accede a una pgina
HTML que contiene imgenes: con HTTP no persistente (el nico modo denido en HTTP 1.0), esto
requiere una primera conexin para la pgina y a continuacin tantas conexiones como imgenes
haya. Si las conexiones pertenecen a la misma sesin SSL/TLS, slo hace falta realizar la
negociacin una vez.
A ms, los protocolos SSL/TLS estn diseados con estos criterios adicionales:
Extensibilidad. Al inicio de cada sesin, cliente y servidor negocian los algoritmos que utilizarn para
el intercambio de claves, la autenticacin y el cifrado (a ms del algoritmo de compresin). Las
especicaciones de los protocolos incluyen unas combinaciones predenidas de algoritmos
criptogrcos, pero dejan abierta la posibilidad de aadir nuevos algoritmos si se descubren otros que
sean ms ecientes o ms seguros.
La capa de transporte seguro que proporciona SSL/TLS se puede considerar dividida en dos
subcapas.
La subcapa superior se encarga bsicamente de negociar los parmetros de seguridad y de
transferir los datos de la aplicacin. Tanto los datos de negociacin como los de aplicacin se
intercambian en mensajes.
En la subcapa inferior, estos mensajes son estructurados en registros a los cuales se les
aplica, segn corresponda, la compresin, la autenticacin y el cifrado.
El protocolo de registros SSL/TLS es el que permite que los datos protegidos sean convenientemente
codicados por el emisor y interpretados por el receptor. Los parmetros necesarios para la
proteccin, como pueden ser los algoritmos y las claves, se establecen de forma segura al inicio de la
conexin mediante el protocolo de negociacin SSL/TLS.
El protocolo de registros SSL/TLS se encarga de formar cada registro con sus campos
correspondientes, calcular el MAC, y cifrar los datos, el MAC y el padding con los algoritmos y las
claves que pertocan. En la fase de negociacin, mientras no se hayan acordado los algoritmos, los
registros no se cifran ni se autentican, es decir, se aplican algoritmos nulos.
El protocolo de negociacin SSL/TLS, tambin llamado protocolo de encajada de manos (Handshake
Protocol), tiene por nalidad autenticar el cliente y/o el servidor, y acordar los algoritmos y claves que
se utilizaran de forma segura, es decir, garantizando la condencialidad y la integridad de la
negociacin. Como todos los mensajes SSL/TLS, los mensajes del protocolo de negociacin se
incluyen dentro del campo de datos de los registros SSL/TLS para ser transmitidos al destinatario.
Lectura de los paquetes enviados por el cliente y servidor. Cuando los datos se envan cifrados,
un atacante que pueda leer los paquetes, por ejemplo utilizando tcnicas de snifng, se enfrenta al
problema de romper el cifrado si quiere interpretar su contenido. Las claves que se utilizan para el
cifrado se intercambian con mtodos de clave pblica, que el atacante tendra que romper si quiere
saber cuales son los valores acordados.
Es preciso advertir, pero, que dependiendo de la aplicacin que lo utilice, el protocolo SSL/TLS puede
ser objeto de ataques con texto en claro conocido. Por ejemplo, cuando se utiliza juntamente con
HTTP para acceder a servidores web con contenidos conocidos.
Si la comunicacin es totalmente annima, es decir sin autenticacin de servidor ni cliente, s que
existe la posibilidad de capturar las claves secretas con un ataque conocido como hombre a medio
camino (en ingls, man-in-themiddle attack). En este ataque el espa genera sus propias claves
pblicas y privadas, y cuando una parte enva a la otra informacin sobre su clave pblica, tanto en un
sentido como en el otro, el atacante la intercepta y la sustituye por la equivalente con la clave pblica
fraudulenta. Dado que el intercambio es annimo, el receptor no tiene manera de saber si la clave
pblica que recibe es la del emisor autntico o no.
En cambio, si se realiza la autenticacin de servidor y/o cliente, es necesario enviar un certicado
donde tiene que haber la clave pblica del emisor rmada por una autoridad de certicacin que el
receptor reconozca, y por tanto no puede ser sustituida por otra.
Suplantacin de servidor o cliente. Cuando se realiza la autenticacin de servidor o cliente, el
certicado digital debidamente rmado por la CA sirve para vericar la identidad de su propietario. Un
atacante que quiera hacerse pasar por el servidor (o cliente) autntico debera obtener su clave
privada, o bien la de la autoridad de certicacin que ha emitido el certicado para poder generar otro
con una clave pblica diferente y que parezca autntico.
Alteracin de los paquetes. Un atacante puede modicar los paquetes para que lleguen al
destinatario con un contenido distinto del original (si estn cifrados no podr controlar cual ser el
contenido nal descifrado, solamente sabr que ser distinto al original). Si pasa esto, el receptor
detectar que el paquete ha sido alterado porque el cdigo de autenticacin (MAC) casi con total
seguridad ser incorrecto.
Si la alteracin se realiza en los mensajes de negociacin cuando aun no se aplica ningn cdigo
MAC, con la nalidad por ejemplo de forzar la adopcin de algoritmos criptogrcos ms dbiles y
vulnerables, esta manipulacin ser detectada en la vericacin de los mensajes Finished.
Seguramente han sido muchas, las veces que hemos escuchado en boca de empresarios,
responsables de reas de tecnologa y pblico en general, la frase Internet ha cambiado la forma de
hacer negocios.
A tan solo algunos aos del surgimiento de Internet como plataforma global de comunicaciones, ya
eran varios los emprendedores que, con visin de futuro y un porcentaje de riesgo importante,
apostaban al desarrollo de un mercado, que poco tiempo despus, se convertira quizs, en uno de
los mbitos ms prominentes para el desarrollo comercial.
A lo largo de esta unidad, estudiaremos los principales conceptos detrs de las transacciones
comerciales en general y del comercio electrnico en particular. Revisaremos algunas de las
tecnologas claves que asisten a los profesionales de seguridad informtica a la hora de disear una
plataforma de cmputo segura orientada especficamente a brindar servicios de E-Commerce, y nos
detendremos a evaluar aquellos aspectos que no siendo tcnicos, influyen en su mbito de aplicacin.
Qu ventajas y desventajas poseen las aplicaciones CGI? Las aplicaciones CGI (Interfaz Comn
de Gateway) son una forma flexible y potente al momento de generar contenidos Web dinmicos,
permitiendo nutrir al sitio Web a partir de informacin ingresada por los clientes y as personalizar la
informacin. Por otro lado, muchas veces, las malas prcticas de programacin en estos componentes
generan un grave riesgo desde el punto de vista de la seguridad.
A pesar de que los servicios WEB tal como hoy los conocemos, suele ser mencionado como una
tecnologa sumamente novedosa, lo cierto es que conceptualmente, ya en 1945, el director de la
Oficina de Desarrollo e Investigacin Cientfica de los EE.UU. (Dr. Vannevar Bush), dejaba entrever su
preocupacin en un artculo aparecido en The Athlantic Online, en el cual mencionaba que la
cantidad de informacin que estaba siendo generada por aquella poca, se transformaba en contenido
intil al no existir ningn sistema que permitiera encontrar y relacionar una bsqueda puntual. En el
mismo artculo, Vannevar, propona el desarrollo de un dispositivo personal, llamado memex, un
aparato que segn su creador, permitira a cada individuo almacenar su informacin en microfilmes,
consultarlos rpidamente, y lo que es ms importante, crear vnculos entre un documento y otro.
Algunos aos ms tarde, a fines de los 60, Douglas Engelbart, presentaba un mtodo denominado
NLS (oNLine System), el cual requera de un entorno de trabajo por computadora, el cual permita
almacenar publicaciones con catlogos, ndices y reglas especficas para citar documentos en forma
rpida y sencilla por parte del lector. En este sistema, los archivos de documentos se almacenaban en
forma jerrquica para facilitar su acceso.
Pero fue en 1965, cuando el trmino hipertexto, acuado por Ted Nelson en un artculo publicado
bajo el nombre A File Structure for the Complex, the Changing, and the Indeterminate", pasara a
formar parte de la historia. En su trabajo, Nelson presentaba un modelo para la interconexin de
documentos electrnicos, que servira de base para lo que en 1989, se dara a conocer como World
Wide Web, un desarrollo conceptual de Tim Berners-Lee, un investigador del CERN (Organizacin
Europea de Investigacin Nuclear), el cual comprenda un sistema de Hipertexto, para compartir
informacin basado en Internet, concebido originalmente para servir como herramienta de
comunicacin entre los cientficos nucleares del CERN. Finalmente en 1990, Tim Berners-Lee
escribira junto a Robert Cailliau, el primer browser de la historia: WorldWide Web.
Mucho tiempo ha pasado ya, desde aquellos primeros momentos en donde Internet, mostraba su cara
a travs de una Word Wide Web esttica, en donde poda encontrarse slo informacin respecto de
investigaciones universitarias o de organizaciones gubernamentales. Hoy en da, una gran cantidad de
propuestas, se ciernen sobre la web, creando de sta un espacio de alcance mundial, con informacin
de todo tipo y color.
Nuevas tecnologas, han hecho que los servicios web se vuelvan atractivos, interactivos y en muchos
casos necesarios para el normal funcionamiento de los negocios. Aplicaciones WEBs, en torno a esta
tecnologa, se han transformado en el nuevo estndar de facto al momento de ser distribuidas a travs
de Intranet, transformando la forma en la que los nuevos desarrolladores, disean y distribuyen sus
aplicaciones.
En lneas generales, un servicio web, es referido como la accin de publicar informacin en un
servidor conectado a una red (Internet, Intranet, etc.), por medio de un conjunto de mtodos y
tecnologas estndares (TCP/IP, HTTP, HTML, etc.).
Un esquema tpico, suele encontrarse conformado, por un servidor conectado a Internet, en el cual se
ha configurado la posibilidad de servir pginas web, generalmente a travs de un puerto
especficamente designado a tal efecto (80, 443). De esta forma, valindose de la estructura de
nombres provista por DNS (Domain Name Service), usuarios conectados a la RED, pueden acceder
un servicio web, haciendo referencia a lo que se conoce como URL (Uniform Resource Locator). Dicha
conexin, suele realizarse en la mayora de los casos, por medio de un tipo de software cliente
denominado browser, el cual interpreta de una determinada forma, la informacin contenida en el
servidor que se encuentra publicando el servicio a acceder, y la presenta al cliente que realizar el
requerimiento.
Pero la tecnologa no se detiene y es importante mencionar que en este ltimo tiempo, el trmino de
Servicio WEB, ha comenzado a ser utilizado para hacer referencia a un pequeo grupo de
componentes, desarrollados sobre tecnologas web, que a travs de una interfaz claramente definida y
conocida, puede ser accedidos a travs de Internet de la misma forma que una pgina web, pero que
apuntan a cambiar una Internet centrada en las personas, y basada en los contenidos, a aquella que
se piensa, estar centrada en aplicaciones y basada en servicios.
HTML son las siglas de Lenguaje de Marcado de Hipertexto y como su nombre lo indica, se define
como una serie de etiquetas que sern las responsables de establecer el formato o las
caractersticas de los elementos dispuestos en un documento. En HTML, las etiquetas se encuentran
delimitadas por caracteres del tipo < y >, y su funcin es la de delimitar un conjunto de formatos y
funcionalidades definidas en la especificacin HTML.
El funcionamiento de HTML, es sumamente sencillo. Cuando se visualiza un documento escrito en
HTML, en un explorador Web, este interpreta las etiquetas y su funcin especfica, y muestra el
resultado de la misma. A pesar de ser el primer lenguaje utilizado al momento de presentar pginas
Web, HTML sigue siendo una tecnologa ampliamente utilizada en la actualidad.
ASP, son las siglas de Activate Server Pages, designadas para definir una tecnologa introducida por
Microsoft en 1996. Es parte del Internet Information Server (IIS) desde la versin 3.0 y es una
tecnologa de pginas activas que permite el uso de diferentes scripts y componentes en conjunto con
el tradicional HTML para mostrar pginas generadas dinmicamente.
ASP es una tecnologa dinmica funcionando del lado del servidor, por lo tanto, cuando un usuario
solicita un documento ASP a un servidor web, las instrucciones de programacin dentro del script
(Documento ASP) son ejecutadas para enviar al navegador nicamente el cdigo HTML resultante.
Una de las principales ventajas detrs de ASP, radica en la seguridad que tiene el programador sobre
su cdigo, ya que ste se encuentra nicamente en los archivos del servidor que al ser solicitado a
travs del web, es ejecutado, por lo que los usuario no tienen acceso ms que a la pgina resultante
en su navegador.
Ventajas:
Es un lenguaje multiplataforma.
Capacidad de conexin con la mayora de los manejadores de base de datos que se utilizan en
la actualidad, destaca su conectividad con MySQL.
Capacidad de expandir su potencial utilizando la enorme cantidad de mdulos (llamados ext's
o extensiones).
Posee una amplia documentacin en su pgina oficial ([2]), entre la cual se destaca que todas
las funciones del sistema estn explicadas y ejemplificadas en un nico archivo de ayuda.
Es libre, por lo que se presenta como una alternativa de fcil acceso para todos.
Permite las tcnicas de Programacin Orientada a Objetos.
Biblioteca nativa de funciones sumamente amplia e incluida.
No requiere definicin de tipos de variables.
Tiene manejo de excepciones (desde PHP5).
JavaServer Pages (JSP) es una tecnologa Java que permite generar contenido dinmico para web,
en forma de documentos HTML, XML o de otro tipo.
Esta tecnologa es un desarrollo de la compaa Sun Microsystems. La Especificacin JSP 1.2 fue la
primera que se liber y en la actualidad est disponible la Especificacin JSP 2.1.
Las JSP's permiten la utilizacin de cdigo Java mediante scripts. Adems, es posible utilizar algunas
acciones JSP predefinidas mediante etiquetas. Estas etiquetas pueden ser enriquecidas mediante la
utilizacin de Libreras de Etiquetas (TagLibs o Tag Libraries) externas e incluso personalizadas. JSP
puede considerarse como una manera alternativa, y simplificada, de construir servlets. Es por ello que
una pgina JSP puede hacer todo lo que un servlet puede hacer, y viceversa. Cada versin de la
especificacin de JSP est fuertemente vinculada a una versin en particular de la especificacin de
servlets.
El funcionamiento general de la tecnologa JSP es que el Servidor de Aplicaciones interpreta el cdigo
contenido en la pgina JSP para construir el cdigo Java del servlet a generar. Este servlet ser el
que genere el documento (tpica mente HTML) que se presentar en la pantalla del Navegador del
usuario.
En JSP se crean pginas de manera parecida a como se crean en ASP o PHP. Generamos archivos
con extensin .jsp que incluyen, dentro de la estructura de etiquetas HTML, las sentencias Java a
ejecutar en el servidor. Antes de que sean funcionales los archivos, el motor JSP lleva a cabo una fase
de traduccin de esa pgina en un servlet, implementado en un archivo class (Byte codes de Java).
Esta fase de traduccin se lleva a cabo habitualmente cuando se recibe la primera solicitud de la
pgina .jsp, aunque existe la opcin de pre compilar en cdigo para evitar ese tiempo de espera la
primera vez que un cliente solicita la pgina.
12.2.3 Arquitectura
Como todo proyecto, el desarrollo y puesta en marcha de un sitio web, comienza con la definicin de
su arquitectura. Siguiendo con el patrn lgico a la hora de velar por la seguridad de la informacin,
es de suma importancia, que el profesional de seguridad informtica, se encuentre involucrado en la
implementacin de un proyecto WEB, desde el momento mismo en el cual se define su arquitectura.
Todo punto de control mencionado en esta etapa, har la diferencia entre un sitio web seguro y uno
con claras deficiencias de diseo, fcilmente aprovechables por un atacante. Cuando hablamos de
Arquitectura, en relacin a un sitio web, nos estamos refiriendo especficamente, a los distintos
componentes que forman parte de la misma, y el modo en el que interactan entre s. En su nivel ms
bsico, una arquitectura WEB tpica, se encuentra conformada por los siguientes cuatro elementos:
1. Un servidor central conectado a Internet, configurado con los servicios necesarios a la hora de
servir pginas web (Bsicamente un demonio o servicio HTTP)
2. Protocolos en comn (TCP/IP, HTTP, HTTPS, S-HTTP, etc.)
3. Formato de documentos estandarizados (HTML, ASP, PHP, JSP, etc.)
4. Clientes estndares capaces de interpretar la informacin publicada.
Al margen de los mencionados componentes, existen quienes suscriben como parte fundamental de
una arquitectura Web, a aquellos aspectos que siendo propios de la etapa de diseo (Usabilidad,
estructura de documentacin jerrquica en cuanto a su publicacin, nivel de interactividad, etc.)
repercuten fuertemente en el resultado final de cara al usuario.
Por otra parte, debemos ser conscientes que este modelo bsico, poco a poco ha ido cambiando
hasta transformar un sitio web, en algo verdaderamente complejo. Este nuevo escenario, se encuentra
conformado por aplicaciones, en donde diseo grfico, programacin avanzada, esquemas de
redundancia, tcnicas de clustering y utilizacin de bases de datos, se dan cita para conformar
arquitecturas especficas en torno a cada uno de estos nuevos componentes, haciendo de ella, un
verdadero desafo para todo profesional relacionado con la tecnologa de la informacin en general y
la seguridad informtica en particular.
AIDE (Advanced Intrusion Detection Environment, Entorno Avanzado de Deteccin de Intrusos): AIDE
es un sistema de deteccin de intrusos basado en host (HIDS, Host-Based Intrusion Detection
System), una alternativa libre a Tripwire (si usted ya conoce Tripwire no debera tener dificultades para
aprender a configurar AIDE). Los HIDS se usan para detectar cambios en los ficheros de configuracin
y binarios importantes, generalmente generando un resumen cifrado ("hash") nico de los ficheros a
ser verificados, y almacenndolos en un lugar seguro. Con un procedimiento regular (tal que una vez
al da), los resmenes "buenos" se comparan con los generados a partir de la copia actual de cada
fichero, para determinar si el fichero ha cambiado. Los HIDS son una gran herramienta para detectar
cambios no permitidos en un sistema, pero necesitan un poco de trabajo para implementarlos
adecuadamente y hacer un buen uso de ellos.
Tripwire una herramienta de seguridad e integridad de datos. Tripwire compara los archivos y
directorios con una base de datos de la ubicacin de archivos, las fechas en que han sido modificados
y otros datos. Tripwire genera la base tomando una instantnea. Esta base de datos contiene
fundamentos los cuales son instantneas de archivos y directorios especficos en momentos
particulares. Los contenidos de la base de datos de fundamentos deberan ser generados antes de
que el sistema est en riesgo, esto es antes de que se conecte a la red. Despus de crear la base de
datos de fundamentos, Tripwire compara la base de datos actual con la base de datos de
fundamentos e informa de cualquier modificacin, adicin o eliminacin. El software de aseguramiento
de integridad de los datos Tripwire, monitorea la consistencia de archivos y directorios de sistema
crticos identificando todos los cambios hechos a ellos. Esto lo hace mediante un mtodo
automatizado de verificacin que se ejecuta a intervalos regulares. Si Tripwire detecta que uno de los
archivos monitoreados ha sido cambiado, lo notifica al administrador del sistema va email. Debido a
que Tripwire puede fcilmente identificar los archivos que son modificados, agregados o eliminados,
se agiliza el proceso de recuperacin luego de una entrada forzada pues mantiene el nmero de
archivos que deben ser restaurados a un mnimo. Estas habilidades hacen de Tripwire una
herramienta excelente para los administradores de sistemas que requieren tanto de facilidades para
deteccin de intrusos como de control de daos para sus servidores.
12.2.12 CGI
Como hemos visto en indicadores anteriores, un sitio web se encuentra conformado entre otros
componentes, por contenido esttico, el cual generalmente suele ser actualizado por el administrador
o webmaster y contenido dinmico, el cual es generado on-the-fly o en vuelo por programas a tal
efecto, dispuestos del lado de servidor.
CGI, son las siglas de Common Gateway Interface o Interfaz de Pasarela Comn, y precisamente su
funcin es la de especificar la forma en la que cliente y servidor, deben interactuar en un esquema
web. A pesar de ello, comnmente solemos utilizar el trmino CGI, para referirnos a aquellos
programas que permiten desarrollar poderosos guiones a la hora de mostrar contenido Web en forma
dinmica. Desde su concepcin, los programas CGI se han establecido como una de las formas ms
potentes y flexibles a la hora de generar contenidos dinmicos. Sin embargo, podemos establecer sin
temor a equivocarnos, que debido esencialmente, a malas prcticas de programacin, suele ser muy
frecuente toparse con programas CGIs mal escritos, lo cual significa un grave riesgo desde el punto
de vista de la seguridad (No olvidemos que un programa CGI, no es ni ms ni menos que cdigo
ejecutable en un servidor web!!, el cual la mayora de las veces se encuentra escrito en lenguajes
tales como: C/C++ , Fortran , PERL , TCL , Shell de Unix , Visual Basic , AppleScript, etc.)
A lo largo de los aos muchos han sido los programas CGIs que se han hecho famosos al ser
descubiertos en ellos, vulnerabilidades que permitan su explotacin. Distribuciones de Linux, y
software de Microsoft, han incorporado inclusive, cdigos de ejemplos o programas CGIs con graves
deficiencias en su codificacin. Muchas herramientas han sido desarrolladas a la hora de detectar
CGIs problemticos, pero sin lugar a dudas, ninguna de ellas merece ms formar parte del kit de
herramientas del profesional de seguridad informtica que Nikto. Nikto es una herramienta basada el
Lib Whisker, que incluye una gran base de datos con CGIs vulnerables, la cual utiliza al momento de
chequear un webserver, a fin de informar de coincidencias encontradas.
Java Script, es un lenguaje de Script, con una sintaxis idntica a Java. A diferencia de lo que ocurre
con Java, no es posible escribir aplicaciones Java Script del tipo standalone. El cdigo Java Script
brinda la posibilidad de ser embebido en etiquetas HTML, y es ejecutado, al ser interpretado por el
browser del cliente. Esta caracterstica, hace del cdigo Java Script, una potente herramienta puesto
que entre otras cosas, permite acceder a los recursos del sistema, del equipo donde se esta
ejecutando. Java Script puede ser utilizado tanto del lado del cliente como del servidor. Desde el
punto de vista de la seguridad, un atacante puede llegar a utilizar componentes Java Script a su favor
en varias formas diferentes, ya sea aprovechndose de su funcionalidad (Ejemplo: rutinas de escritura
y lectura de archivos, envo de mails, etc.) o salteando validaciones de preproceso de formularios, tan
solo enviando peticiones HTTP directas que no utilicen el browser (La herramienta denominada
Netcat, puede resultar una magnfica herramienta al momento de testear esta tipo de circunstancias).
Applets: Se denomina Applets Java, a pequeos programas escritos en Java que al ser descargados,
son ejecutados del lado del cliente, haciendo uso para ello de plugins denominados Virtual Machine.
La idea inicial detrs de este tipo de componentes, es aislar su ejecucin en un rea restringida de
memoria o sandbox, de forma tal, que l mismo no tenga la posibilidad de ganar acceso a cualquier
otro sector. A lo largo del tiempo, se han detectado varios defectos en diferentes tipos de
implementaciones respecto de sandboxs, o VMachines que permitan al cdigo contenido en un
applet Java, escapar a las limitaciones impuestas e interactuar con componentes de sistema a los
cuales no deberan tener acceso bajo ninguna circunstancia.
Ubicacin del servidor desde el punto de vista de la RED: Partiendo de la base, de que la mayora
de los servidores web son utilizados en la publicacin de contenido, que de una u otra forma se
encuentra expuesto al pblico en general, suele ser recomendable la instalacin del mismo en una
subred separada a la de la LAN corporativa, a efectos de que el trfico proveniente de Internet, no
atraviese la misma. De esta forma, se evita a su vez, que la red Interna sea visible desde el exterior.
El armado de una DMZ fuerte, suele ser la mayora de las veces, una buena opcin.
Evaluacin peridica de la seguridad: De acuerdo con el principio que dicta, que la seguridad es un
proceso continuo, deber planificar y ejecutar, evaluaciones peridicas de seguridad sobre los sitios
que administra. Por su parte, la implementacin de nuevas funcionalidades, siempre implicar nuevos
seteos o ajustes al esquema previamente planteado.
Muchos profesionales de seguridad informtica, coincidimos en que las probabilidades de que un site
sea vctima de un ataque, son de un ciento por ciento. La experiencia dicta que tarde o temprano, un
atacante con el skill adecuado y con el tiempo de su lado, lograr impartir algn tipo de dao. Con
esta idea en mente, la planificacin de adecuadas tcnicas de resguardo y recuperacin ante
incidentes, deben encontrarse entre los lineamientos bsicos de toda implementacin que involucre
servidores web.
A pesar de que la mayora de las tcnicas tradicionales, de almacenamiento en cinta o dispositivos del
tipo NAS (Network Attach Storage), continan siendo efectivas, cada vez son ms las compaas que
hacen uso de soluciones de clustering y balanceo de carga.
Otra alternativa, suele pasar por mantener dos servers separados, siendo uno de acceso pblico y el
otro copia del original, dispuesto en una zona privada accesible slo para el administrador del
Website, en el cual se alberga una copia actualizada del sitio publicado. En caso de que la integridad
en el servidor primario, sea vulnerada, se estar en condiciones de realizar una rpida publicacin del
contenido de resguardo, simplificando en gran medida las tareas administrativas entorno al armado de
un nuevo server.
Nota: Si bien es cierto que esta ltima alternativa, apunta a restaurar rpidamente un Website, deber
contar con los procedimientos de respuesta a incidentes, necesarios, a la hora de identificar cuales
han sido los puntos que permitieron a un atacante, vulnerar la seguridad del site atacado.
Apache Web Server: Apache, es considerado hoy da, como el servidor web ms utilizado en
Internet. Un rpido vistazo a la informacin provista por Netcraft, basta para ilustrar de que forma se
encuentra posicionado con cerca del 70% del Market Share, respecto del resto de las alternativas.
Apache es software libre, bajo licencia GNU y como tal su cdigo fuente se encuentra disponible. A su
vez, se encuentra incluido en la mayora de las distribuciones Linux, motivo que ha contribuido en
gran parte a su amplia distribucin.
Algunas de las caractersticas principales de Apache, se encuentran relacionadas con que: es
altamente configurable, extensible (gracias a su esquema de mdulos asociado), gratuito, su cdigo
fuente es libre y a pesar de su largo historial de vulnerabilidades, la respuesta por parte de la
comunidad, respecto de la liberacin de parches, es excepcional.
Precisamente desde el punto de vista de su seguridad, muchas vulnerabilidades se han encontrado y
corregido en el software, pero por lo general, las mismas se encuentran relacionadas con los mdulos
de extensin y no con el ncleo mismo de Apache. Pero a qu nos referimos con mdulos? La
estructura de Apache se compone de un mdulo principal o kernel de producto, y una serie de
mdulos adicionales que se incorporan al mismo a fin de brindar alguna funcionalidad en particular.
Por ejemplo, requerir mod_perl para habilitar la posibilidad de corrida de Scripts escritos en Perl,
tanto como el mdulo mod_php4 para utilizar la funcionalidad PHP4 al momento de servir este tipo
de contenido.
Apache provee una serie de caractersticas avanzadas en cuanto al seteo de su seguridad, y la
totalidad de las mismas, pueden ser fcilmente configuradas por medio de los correspondientes
archivos de configuracin. Uno de los puntos ms significativos de este producto, es que al poseer el
cdigo fuente, una auditora completa es posible, al igual que el desarrollo de nuevas funcionalidades.
Internet Information Server: Internet Information Server o IIS, constituye la solucin propuesta por
Microsoft a la hora de servir aplicaciones web en la plataforma Windows. De hecho, a partir de
Windows 2000 Internet Information Server es parte integral del sistema operativo, y no un componente
del famoso Option Pack entregado junto a Windows NT 4.0.
Una de las particularidades respecto de IIS, se encuentra relacionada con la implementacin de sus
mdulos de extensin en la figura de filtros ISAPI (Internet Server Application Programming Interface),
por medio del cual se puede precisamente extender la funcionalidad del servidor web, desarrollando
nuevas DLLs con un fin determinado. Desde un punto de vista de diseo, los filtros ISAPI en conjunto
con la utilizacin de secuencias ASP (Active Server Pages) brindan gran poder a la hora de resolver
situaciones complejas, que antes requeran la codificacin de lentos programas CGIs. Desde el punto
de vista de su seguridad, IIS, ha constituido un objetivo constante en la mira de atacantes quienes
vieron con asombro la frecuencia con la que a lo largo del tiempo, se descubran vulnerabilidades
tales como: los ataques de revelacin de cdigo fuente (:::$DATA), el revelado de informacin
mediante errores en la codificacin de guiones del estilo de showcode.asp, el soporte para la
ejecucin de comandos privilegiados en las consultas de bases de datos de backend (MDAC/RDS) y
ataques por desbordamiento de buffers como los mencionados en el indicador 5.2.8. Al mismo tiempo,
es justo decir que IIS, en sus versiones 5.0 y 6.0, ha mostrado ser una solucin madura capaz de
soportar eficientemente el tunning necesario a fin de proveer una plataforma web sumamente segura.
Existen dos tipos de escaneos: pasivo o activo. El escaneo pasivo inspecciona y recolecta informacin
pero no busca vulnerar directamente las instalaciones, en cambio, el escaneo activo realiza exprofeso
una serie de ataques conocidos y registra los resultados de los mismos. Muchas veces los directivos
de sistemas e incluso los oficiales de seguridad, son reacios a implementar los escaneos de red o test
de penetracin, por desconocer los resultados negativos que podran provocar. Si recordamos
captulos anteriores, donde estudiamos la Rueda de la Seguridad y la importancia de probar
continuamente la efectividad de nuestras defensas para generar mejoras contnuas. Por ultimo, es
importante tener en cuenta la evaluacin de seguridad de las aplicaciones web implementadas, puesto
que las mismas suelen ser un objetivo concreto de gran parte de los atacantes. Numerosas
vulnerabilidades suelen explotarse a diario en tal sentido, algunas de las mas importantes se
encuentran relacionadas con: SQL Injection, Cross-Site-Scripting, etc. Auditora de cdigo, testing
especfico sobre su comportamiento, y conceptos de programacin segura, suelen formar parte de las
mejores prcticas entorno a su seguridad.
12.3.1 Arquitectura
La arquitectura bsica detrs de una solucin de correo electrnico, se encuentra conformada por una
serie de componentes principales, cada uno de ellos con funciones claramente definidas, entre las
que se encuentran los procesos de trasmitir y administrar mensajes de correo electrnico. Su
funcionamiento en conjunto, es lo que permite aprovechar, este magnifico medio de comunicacin. A
continuacin, mencionaremos brevemente, cada uno de estos componentes principales:
MUA (Mail User Agent, Agente de Usuario de Correo): El MUA (Mail User Agent, Agente de Usuario
de Correo), probablemente sea el componente con el que los usuarios suelen estar ms
familiarizados, puesto que precisamente, su funcin especfica es la de actuar como interfaz entre el
usuario final y el MTA (Mail Transfer Agent, Agente de transferencia de correo). Respecto de su
implementacin, el MUA no es ni ms ni menos que el software que conocemos como Cliente de
Correo Electrnico. Mediante su uso, es posible como mnimo, leer y escribir mensajes. Ejemplos de
este tipo de software, son: Microsoft Outlook, Outlook Express, Mutt, Pine, Eudora, Pegasus, etc.
MTA (Mail Transfer Agent, Agente de Trasnferencia de Correo): Un programa MTA (Mail Transfer
Agent, Agente de Transferencia de Correo) transfiere los mensajes de correo electrnico entre
mquinas que usan el protocolo SMTP. Un mensaje puede pasar por varios MTA hasta llegar a su
destino final. Algunos de los MTA ms populares son: Sendmail, Qmail, Postfix, Exchange, GroupWise
y Lotus Notes.
Nota: Muchos de los agentes MUA actuales, sirven tambin para enviar correo. Sin embargo, no se
debe confundir esta accin con las funciones propias y verdaderas de un MTA. Un agente MUA no
entrega directamente el mensaje al servidor de correo del destinatario final; esta funcin est
reservada al agente MTA.
MDA (Mail Delivery Agent, Agente de Entrega de Correo): Los agentes MTA utilizan programas
MDA (Mail Delivery Agent, Agente de entrega de correo) para entregar el correo electrnico al buzn
de un usuario concreto. En muchos casos, el agente MDA es realmente un LDA (Local Delivery Agent,
Agente de entrega local), como bin/mail o Procmail en el mundo Unix o Local Delivery en productos
como Exchange Server. Cualquier programa que gestione realmente un mensaje para entregarlo al
punto donde lo leer un agente MUA se puede considerar un agente MDA.
12.3.2 SMTP
SMTP, son las siglas de "Simple Mail Transfer Protocol" o Protocolo Simple de Transmisin de
Correo. Este protocolo fue publicado en Agosto de 1982 en el RFC 821, y su funcin principal, es la
de transmitir correo electrnico de manera confiable y eficiente, bien sea de cliente a servidor, o entre
servidores. En la pila de protocolos TCP/IP, SMTP se ubica en la capa de aplicacin y utiliza como
parte de su funcionamiento, el puerto 25 TCP.
El protocolo SMTP, define una serie de comandos y mensajes,
los cuales son utilizados al momento de establecer y mantener
una comunicacin o conversacin entre las partes.
Desde el punto de vista de su funcionamiento, un intercambio
SMTP bsico, comienza con la emisin del comando MAIL
From: <Direccin de Correo Electrnico> para iniciar el
intercambio. El sistema que recibe este comando, responde
con un mensaje 250 para informar de que se ha recibido el
primer comando. A continuacin, el sistema conectado
comunica las direcciones de correo electrnico para recibir el
mensaje del sistema receptor, seguido de un mensaje con el
comando DATA. Este mensaje notifica al sistema receptor que
la siguiente parte de la comunicacin ser el cuerpo real del
mensaje de correo electrnico. Cuando el sistema conectado
finaliza de enviar el mensaje de correo electrnico, coloca un punto sencillo (.) en una lnea. A partir
de ese momento, se considera que el mensaje se ha enviado.
Un aspecto importante respecto de SMTP, es que a diferencia de protocolos tales como IMAP4 o
POP3, este no requiere autenticacin en su forma ms bsica. Desde el punto de vista de su
seguridad, esto ha provocado la proliferacin de correo basura o spam, puesto que un usuario remoto,
puede en determinadas circunstancias, utilizar el sistema de otro para enviar correo a listas completas
de destinatarios, haciendo uso de los recursos y ancho de banda de dicho sistema. Si bien es cierto
que las aplicaciones SMTP actuales, han progresado en tal sentido al minimizar este comportamiento
y restringir las transmisiones de modo que slo los hosts conocidos enven correo electrnico; este
aspecto sumado a la caracterstica de protocolo en texto plano propia de SMTP, deben ser puntos a
considerar, a la hora de administrar seguridad.
12.3.4 IMAP4
IMAP, son las siglas de Internet Message Access Protocol o Protocolo de Acceso a Mensajes de
Internet, el cual en su versin 4, se encuentra definido en el RFC 1730 desde Diciembre de 1994. En
el nivel ms bsico, IMAP4 consiste en un mtodo de acceso a mensajes almacenados remotamente.
Una de sus caractersticas principales, radica en que los mensajes de correo electrnico
administrados por este protocolo, se conservan en el servidor de correo remoto, donde el usuario
puede leerlos o eliminarlos, adems de cambiar el nombre o
eliminar los buzones de correo utilizados para su
almacenamiento.
Al igual que el resto de los protocolos revisados en los ltimos
indicadores, el protocolo IMAP4, se ubica en la capa de
aplicacin del modelo TCP/IP y hace uso del puerto TCP 143
Debido a su funcionamiento, IMAP4 suele permitir al usuario,
una serie de posibilidades aadidas, que no se encuentran en
otros protocolos. Usuarios que se conectan a Internet o a una
red privada a travs de una conexin Dial-Up, suelen verse
beneficiados por su uso, debido a que, slo la informacin de
cabecera del correo se obtiene inicialmente, existe la
posibilidad de visualizar stas, para luego decidir posponer la
descarga de aquellos mensajes que por ejemplo, contengan archivos adjuntos de gran tamao. De la
misma manera, el usuario puede eliminar el correo electrnico que no le interesa sin tener que ver
antes el cuerpo del mensaje, lo cual evita tener que descargar un mensaje mediante la conexin de
red que utilicen.
12.3.7 SPAM
Se utiliza el trmino Spam, para referirse a la prctica de enviar indiscriminadamente mensajes de
correo electrnico no solicitados. El Spam, suele ser tambin conocido como UCE (Unsolicited
Commercial Email) o UBE (Unsolicited Bulk Mail). Desde el punto de vista tcnico, generalmente suele
catalogarse un correo como Spam, cuando este es no solicitado y masivo a la vez.
No solicitado Porque el receptor no dio un permiso verificable al remitente para que este le
enve el mensaje.
Masivo Porque el mensaje es enviado como parte de una coleccin mayor de mensajes, donde
todos tienen idntico contenido.
En los ltimos aos, el Spam ha crecido a pasos agigantados. Se estima que aproximadamente el
70% del trfico internacional de correo electrnico es Spam. Estos valores, han hecho que un manto
de preocupacin generalizada, se cierna sobre la comunidad informtica en general.
Aquellos que realizan la accin de enviar correo masivo y no solicitado, se los conoce con el trmino
de Spammers. Muchas veces, sus servicios suelen ser contratados por empresas o individuos, que
pagan a estos por cantidad de correos enviados, otras, las propias compaas se encargan de repartir
cientos, miles o millones de correos al mes, intentando comunicar sus productos. Muchas son las
tcnicas utilizadas por los spammers a la hora de realizar su tarea, y stas suelen ser cada vez ms
avanzadas.
Como profesionales de seguridad informtica, existen una serie de tareas que podemos emprender a
efectos de reducir el potencial impacto del Spam en nuestras compaas o clientes:
1. Configurar en forma correcta nuestros servidores de correo, a fin de que los mismos no
posean, por ejemplo, un Servicio de Relay Abierto.
2. Implementar filtros (Bayesianos, De firma digital, Heursticos, etc.)
3. Configurar la utilizacin de listas negras del tipo RBL (Realtime Blackhole Lists), SBL de
Spamhouse, etc en nuestro servidor de correo electrnico.
4. Denunciar al Spammer frente al ISP (Internet Service Provider)
Desde el punto de vista legal, existen algunos lineamientos y recomendaciones prcticas, como las
presentadas en el rea multimedia, aunque ninguna ley especfica.
12.3.8 HOAX
Por lo general, suele utilizarse el trmino de Hoax (Broma o Engao), para referirse a un falso virus, el
cual no realiza por si mismo ninguna accin. Generalmente consiste en un mensaje de correo
electrnico en el que se alerta sobre la supuesta existencia de un nuevo virus que ningn antivirus
detecta. Este tipo de mensaje generalmente apela a tcnicas de ingeniera social, mediante las que se
insta a los usuarios a eliminar en forma manual, los supuestos archivos infectados por este virus
inexistente, generando de esta forma que el propietario del sistema sea quien se auto-inflija el
dao.Los Hoax ms efectivos, son aquellos que suelen distribuirse en cadena. Algunos tienen textos
alarmantes sobre catstrofes (virus informticos, perder el trabajo o incluso la muerte) que pueden
sucederle al usuario receptor del correo, si este no reenva el mensaje a todos y cada uno de los
contactos de su libreta de direcciones. Si bien es cierto que muchos de estos mensajes o cadenas,
pueden ser detenidos configurando determinado tipos de reglas en nuestro software de administracin
de contenidos, lo cierto es que el profesional en seguridad informtica, deber implementar, planes de
capacitacin especficos, dirigidos a los usuarios del sitio que administra, a fin de explicar las
consecuencias negativas (utilizacin de ancho de banda, perdida de productividad, etc.) de este tipo
de prcticas.
De la misma forma, el Gateway de Correo Electrnico, recibe el correo saliente, proveniente del
servidor interno, ejecuta los chequeos que hayan sido planificados y finalmente enva el mismo a
travs de Internet. De esta manera, se logra fundamentalmente, no exponer el Servidor de Correo en
el cual se albergan los mailboxes, a una zona poco segura de nuestra DMZ. Independientemente del
control de virus, spam y contenido que se realiza en el equipo de Relay que se encuentra en la red de
permetro, tambin es altamente recomendable colocar un sistema antivirus sobre el sistema de
correo corporativo para evitar, que en caso de ingresar un virus a la empresa por otra va, ste se
propague a todos los dispositivos utilizando el correo interno. Como recomendramos en unidades
anteriores, en caso de atender esta ultima alternativa, lo recomendable sera instalar dos productos
antivirus de diferentes fabricantes, en cada uno de los puntos mencionados (Relay / Mailserver).
Sendmail, Qmail, Postfix y Exim: En el mundo Unix y Linux, varios son los productos Open Source
que se han implementado con xito a lo largo de los aos. Sin lugar a dudas, Sendmail ha sido la
plataforma con el mayor market share respecto de un servidor de correo electrnico. A pesar de ello,
Sendmail ha pasado por momentos en donde se encontraban y parcheaban, vulnerabilidades
frecuentemente. Desde el punto de vista de su configuracin, suele ser considerado uno de los ms
difciles, en parte, debido a su crptico sistema de Scripts. Al contrario, Postfix ha resultado un buen
reemplazo para Sendmail, debido en parte a que es muy fcil de configurar. Exim, es considerado una
opcin sumamente poderosa, escalable y se encuentra muy bien documentado, motivo por el cual son
muchas ya, las grandes compaas que lo han adoptado a la hora de manejar sus comunicaciones de
correo electrnico. Por ltimo, Qmai tiene la fama de ser una de las opciones ms seguras, al punto
de que existe una recompensa de u$s 10000 para cualquiera que pueda realizar un Exploit que le
afecte. Al da de hoy, dicha recompensa no ha sido reclamada.
Lotus Notes: Lotus Notes, ha sido por aos el servidor de correo corporativo utilizado por grandes
corporaciones. Pionero respecto de todas aquellas cuestiones relacionadas con soluciones del tipo
workflow y colaboracin en lnea, Lotus Notes, mantiene un concepto levemente diferente respecto del
resto de los servidores populares, en cuanto a aspectos tales como por ejemplo los mtodos de
almacenamiento de mensajes. En cuanto a su funcionalidad, Lotus Notes posee todas aquellas
caractersticas avanzadas en cuanto al manejo de correo, agenda, trabajo cooperativo en lnea,
mensajera instantnea, administracin de documentos y contactos.
PGP / OpenPGP: Pretty Good Privacy (PGP) es un paquete de software, creado por Philip
Zimmermann en 1991, que prevee rutinas criptogrficas para E-mail y almacenamiento de archivos.
Bsicamente, implementa criptosistemas y protocolos criptogrficos existentes en un programa
multiplataforma. Dentro de sus funcionalidades podemos contar: encriptacin de mensajes, firma
digital, compresin de datos y compatibilidad con E-mail por medio de la conversin Radix-64
(PGP/MIME).
A partir del PGP de Zimmermann, el OpenPGP Working Group del IETF (Internet Engineering Task
Force propuso el OpenPGP como un estndar ms utilizado de encriptacin de e-mail en el mundo
(RFC 2440). Los algoritmos empleados por defecto que se definen son:
El Gamal y RSA para transporte de claves
DES, IDEA y CAST5 para encriptacin
DSA para firmar
SHA-1 y MD5 para el clculo de los hashes
Cul es la definicin de un ataque de Ingeniera Social? Suele definirse como el proceso por el
cual un atacante intenta adquirir informacin acerca de su red y sistemas de informacin, conversando
con personas relacionada con la organizacin. Puede ser realizado va telefnica, por correo
electrnico o personalmente.
Sin lugar a dudas, la seguridad fsica es uno de los aspectos menos tenido en cuenta a la hora de
disear sistemas informticos. A pesar de ello, algunos de los incidentes de seguridad ms terribles,
suelen estar relacionados frecuentemente, con deficiencias en el esquema de seguridad fsica,
planteado para una instalacin de cmputo pobremente diseada.
Lamentablemente, el profesional en seguridad informtica, suele ser contactado frecuentemente por
clientes que solicitan la implementacin de distintos tipos de productos o dispositivos de seguridad
tales como Firewalls y Detectores de Intrusos, con la intencin de proteger su red, a pesar de no
poseer, por ejemplo, sistemas de resguardo eficientes.
Como profesional en seguridad informtica, parte de su trabajo se encontrar relacionado con la
evaluacin de riesgos y la utilizacin de mtricas efectivas, a la hora de determinar el factor de
ocurrencia de un incidente y la contramedida que, en su relacin costo beneficio, sea considerada la
adecuada a la hora de minimizar el riesgo informtico inherente a toda implementacin tecnolgica.
Los indicadores dispuestos a lo largo de la presente unidad, pondrn a su disposicin, toda aquella
informacin que le ser de utilidad, a la hora de recomendar a su empresa o cliente, las polticas,
procedimientos y tecnologas necesarias, al momento de planear y disear una estrategia eficiente,
respecto de la seguridad fsica y sus aspectos relacionados.
Para comenzar, definiremos bajo el trmino de Seguridad Fsica, al conjunto de mecanismos de
prevencin y deteccin, destinados a evitar que la informacin confidencial, los recursos de los
sistemas protegidos o su entorno, sean accedidos de forma no autorizada. Cuando hablamos de
recursos del sistema, nos referimos a componentes, que van desde un simple teclado, pasando por
una cinta de resguardo conteniendo toda la informacin de una organizacin o la propia CPU y discos
de los equipos servidores, hasta la integridad del propio centro de cmputos o emplazamiento fsico.
Si bien es cierto, que dependiendo del entorno y los activos a proteger, esta seguridad ser ms o
menos importante y restrictiva, aunque siempre deber ser un punto central a la hora de establecer
una estrategia de seguridad efectiva.
Uno de los aspectos generales, que nunca debe ser pasado por alto, es aquel que se encuentra
relacionado con el dao potencial, que un incidente relacionado con la seguridad fsica puede
provocar. De nada servir tomar medidas para prevenir o detectar accesos no autorizados a nuestra
red en forma lgica, de aquellos que requieren la explotacin de fallos en el software, si un atacante
puede acceder fsicamente a nuestro Datacenter y robar una cinta conteniendo una imagen completa
del sistema en cuestin, o un disco removible con informacin confidencial. Sin ir tan lejos, un
empleado de maestranza sin malicia, por simple desconocimiento, por ejemplo podra conectar una
aspiradora a una lnea de UPS de nuestro Centro de Cmputos y provocar un apagn elctrico en el
corazn de nuestra red con el perjuicio que sto implicara.
Una vez seleccionada la ubicacin geogrfica es necesario encontrar unas dependencias adecuadas
para su finalidad, ya se trate de un local de nueva construccin u otro ya existente a comprar o
alquilar. Algunos requisitos de las dependencias son:
Doble acometida elctrica.
Muelle de carga y descarga.
Montacargas y puertas anchas.
Altura suficiente de las plantas.
Medidas de seguridad en caso de incendio o inundacin: drenajes, extintores, vas de
evacuacin, puertas ignfugas, etc.
Aire acondicionado, teniendo en cuenta que se usar para la refrigeracin de equipamiento
informtico.
Almacenes.
Etc.
An cuando se disponga del local adecuado, siempre es necesario algn despliegue de
infraestructuras en su interior:
Falsos suelos y falsos techos.
Cableado de red y telfono.
Doble cableado elctrico.
Generadores y cuadros de distribucin elctrica.
Acondicionamiento de salas.
Instalacin de alarmas, control de temperatura y humedad con avisos SNMP o SMTP.
Etc.
Una parte especialmente importante de estas infraestructuras son aquellas destinadas a la seguridad
fsica de la instalacin, lo que incluye:
Cerraduras electromagnticas.
Torniquetes.
Cmaras de seguridad.
Detectores de movimiento.
Tarjetas de identificacin.
Etc.
Una vez acondicionado el habitculo se procede a la instalacin de las computadoras, las redes de
rea local, etc. Esta tarea requiere un diseo lgico de redes y entornos, sobre todo en aras a la
seguridad. Algunas actuaciones son:
Creacin de zonas desmilitarizadas (DMZ).
Segmentacin de redes locales y creacin de redes virtuales (VLAN).
Despliegue y configuracin de la electrnica de red: pasarelas, routers, conmutadores, etc.
Creacin de los entornos de explotacin, pre-explotacin, desarrollo de aplicaciones y gestin
en red.
Creacin de la red de almacenamiento.
Instalacin y configuracin de los servidores y perifricos.
Etc.
13.1.1 Riesgos
Como mencionramos con anterioridad, gran parte del xito en las tareas emprendidas por el analista
de seguridad, se basan en la acertada administracin del riesgo, por tal motivo, la identificacin del
mismo suele ser un factor clave en toda estrategia de seguridad. Si bien es cierto que pueden existir
diferentes visiones al respecto, la mayora de los especialistas suelen coincidir en que, el acceso
fsico no autorizado, los desastres naturales (Inundaciones, Tormentas Elctricas, Terremotos, etc.) y
las alteraciones del entorno (Electricidad, Ruido Elctrico, Humo, Incendios, Temperaturas Extremas,
etc.) suelen ser algunos de los grupos de riesgo ms importantes. Debido a que gran parte de estas
amenazas han sido comentadas en la primera unidad de ESR 1 Seguridad de la Informacin, no nos
detendremos a enumerarlas en detalle.
Desde el punto de vista fsico, los riesgos suelen encontrarse por lo general, relacionados con
alguna de las siguientes categoras:
Robo y Hurto: Para comenzar, diremos que pese a que en definitiva el resultado final de un Robo o
Hurto, traer aparejada por lo general, la prdida de un bien, es preciso establecer la diferencia entre
ambos conceptos a los efectos de una eventual denuncia policial y posterior causa judicial. Por
definicin, suele hablarse de robo, cuando la sustraccin del bien se lleva a cabo mediante
intimidacin o fuerza, mientras que deberamos referirnos a hurto, cuando dicha sustraccin se realiza
sin la presencia del propietario. De cualquier forma, pocas amenazas suelen causar tanto dao
econmico como el robo o hurto perpetrado en un centro de cmputos, pues ste va ms all del
costo de recuperacin de lo robado. Paradas de servicio provocadas por el tiempo de espera en los
reemplazos de los componentes robados, puede significar por ejemplo, prdidas econmicas varias
veces superiores al costo mismo del componente a reponer.
13.1.3 Responsabilidades
Muchas veces, luego de ocurrido un incidente, suele existir una etapa en la cual se requiere asignar
responsabilidades respecto de lo ocurrido. En algunos casos, la misma podr recaer en una persona,
o quizs en un grupo de ellas. Frecuentemente, el siguiente paso despus de la asignacin de
responsabilidades, suele estar signado por consecuencias econmicas, laborales o incluso penales
para los involucrados. Generalmente, stas suelen ser establecidas en forma proporcional al dao o
perjuicio sufrido como parte del incidente, aunque todo depender en gran parte de la organizacin o
empresa involucrada.
En este sentido, es sumamente importante tener claro que uno de los requisitos fundamentales en
toda organizacin, es precisamente, la de contar con polticas y procedimientos claros a la hora de
pre-establecer, aquellos puntos que debern ser considerados clave, a la hora de asignar
responsabilidades. Entre los ms importantes se encuentran:
Quines sern los responsables?
Cul es el alcance de la responsabilidad y en qu circunstancias?
Cules son las consecuencias de no cumplir con una responsabilidad implcita?
Existe una cadena de responsabilidad? En caso de que la respuesta sea afirmativa Quin
es responsable de qu?
Las responsabilidades, han sido informadas en forma correcta?
Ahora bien, a pesar de ser necesaria, la definicin y formalizacin de estos puntos como parte de una
poltica de seguridad, es imprescindible referirnos una vez ms, a la importancia que tiene para el
xito de la estrategia de seguridad, que Ejecutivos y Directores empresariales, se encuentren
involucrados al nivel correspondiente. Slo de esta forma, se podr conseguir implantar las polticas
necesarias, a la hora de determinar responsabilidades y asignar sus consecuencias.
Respecto de este ltimo punto, vale la pena detenernos a fin de establecer algunos de los aspectos
principales, relacionados con la amenaza dispensada por ataques de Ingeniera Social. Generalmente,
suele definirse como Ingeniera Social, al proceso por el cual, un atacante intenta adquirir informacin
acerca de su red y sistemas de informacin, conversando con personas relacionadas con su
organizacin. Un ataque de Ingeniera Social, puede ser realizado ya sea va telefnica, por correo
electrnico o personalmente y generalmente se basa en todo tipo de tcnicas, engaos y cualquier
otro tipo de artilugio vlido, a la hora de convencer a un usuario a que ejecute cdigo conteniendo un
troyano, obtener contraseas, o cualquier otra informacin que pueda ser de utilidad a un atacante al
momento de planear un ataque ms elaborado
A diferencia de lo que ocurre con la mayora de los ataques vistos hasta el momento, en donde
diversos aspectos tcnicos pueden ser aplicados a la hora de prevenirlos, la Ingeniera Social brinda
un desafo adicional al oficial de seguridad, puesto que su mejor defensa frente a este tipo de
ataques, se encuentra directamente relacionada con la capacitacin brindada a los usuarios, staff
tcnico y direccin de la empresa, como parte de su tarea de Educacin y Prevencin.
Beneficios de IKE:
Elimina la necesidad de especificar manualmente los parmetros de seguridad de IPSec en
ambos extremos
Permite a los administrador especificar el tiempo de vida de una asociacin de seguridad (SA)
en IPSec
Permite que las claves de encriptacin cambien durante una sesin IPSec
Le permite a IPSec proveer servicio contra la rplica
Permite soportar autoridades de certificacin (CA), logrando una implementacin IPSec
escalable
Permite la autenticacin dinmica entre pares
13.3 SEGURIDAD FSICA Y AMBIENTAL
Tal como lo definiramos al inicio de esta unidad, el trmino de Seguridad Fsica, suele ser utilizado
para referirnos al conjunto de mecanismos de prevencin y deteccin, destinados a evitar que la
informacin confidencial, los recursos de los sistemas protegidos o su entorno, sean accedidos de
forma no autorizada. Suele decirse que la seguridad fsica, es algo ms sencilla de lograr que la
seguridad lgica. Parte de esta afirmacin, se encuentra relacionada, con que habitualmente, las
amenazas capaces de producir un dao fsico a las instalaciones de nuestro cliente o compaa,
suelen ser ms fciles de identificar que amenazas de tipo lgicas.
La Seguridad Fsica y Ambiental, es una rama en si misma de la Seguridad Informtica en general.
Sus procedimientos asociados, involucran el conocimiento y entendimiento de cada una de las
posibles amenazas, as como tambin los mtodos, procedimientos y tecnologas con las que cuenta
un profesional al momento de minimizar el riesgo.
Por otra parte, la calidad y potencia lumnica dispuesta en instalaciones de trabajo, el nivel de ruido,
as como diferentes normas ergonomtricas, suelen con frecuencia ser contempladas en
determinados entornos de trabajo, debido a que pueden incidir sobre los recursos humanos que se
encuentran trabajando en una locacin especfica.
Todo equipamiento relacionado con los procesos crticos de la compaa, deber encontrarse
conectado a un equipo de energa ininterrumpible (UPS), a fin de asegurar el correcto apagado en
caso de un corte repentino en el suministro. Como todo componente involucrado en la seguridad de
un centro de cmputos, debern existir normas y procedimientos que exijan que los UPS sean
probados en forma regular. Por otra parte, en aquellos casos donde la operacin informtica no pueda
ser interrumpida, deber considerarse la implementacin de sistemas generadores de electricidad,
sobre los cuales necesariamente debern recaer controles peridicos y evaluaciones de operacin y
desempeo.
13.4 EQUIPAMIENTO
Pocas cosas son tan importantes en un centro de cmputos o datacenter, como el propio
equipamiento en l instalado. A diferencia de lo que ocurre con el resto del parque de la empresa,
probablemente los equipos utilizados en el centro de datos, requieran una serie de cuidados
especiales. De la misma forma, la eleccin de dicho equipamiento, podr significar gran parte del xito
respecto de los servicios informticos que planea brindar a su corporacin. Por este motivo, deber
ser extremadamente cuidadoso al momento de realizar dicha seleccin.
Por otra parte, del mismo modo en que los conceptos de Defensa en Profundidad, son aplicados a la
seguridad lgica, fsicamente, los servidores dispuestos en un datacenter, debern poseer una serie
de caractersticas bsicas de seguridad, que sirvan como la ltima barrera a vencer por un atacante,
que haya logrado acceder al permetro controlado. Cerraduras bloqueando la extraccin de discos
hotswap, alarmas dispuestas en el chasis del equipamiento crtico, discos con controladoras
especiales que impiden su utilizacin en otro que no sea el equipo original, lockers de teclados, racks
con cerraduras y claves en el setup, son slo algunas de las tecnologas a implementar, al momento
de velar por la seguridad fsica del equipamiento instalado.
13.4.1 Seleccin
Como mencionramos en prrafos anteriores, la seleccin del equipamiento a utilizar en un centro de
cmputos, tendr gran incidencia en el resultado final del esquema de seguridad planteado. Como es
de esperar, las caractersticas de seguridad inherentes al equipamiento a adquirir, por lo general se
encontrarn relacionadas con el costo del mismo. Por este motivo, como analista de seguridad,
deber realizar un estudio previo, que avale su seleccin, teniendo en cuenta los riesgos que
presupondr, no contar con las prestaciones recomendadas.
Para empezar, usted deber realizar el correcto dimensionamiento, en cuanto a capacidad de proceso
y almacenamiento. Puesto que este es un factor fundamental, deber realizarse teniendo en cuenta el
software a correr, la cantidad de usuarios a soportar, las recomendaciones del proveedor y la
infraestructura general de la empresa. La mayora del los paquetes de software implementados en el
sector corporativo, poseen sus propios mtodos a la hora de realizar un dimensionamiento efectivo,
tngalos en cuenta a la hora de realizar sus previsiones.
Por otra parte, se deber prestar especial atencin a todo aquel equipamiento, que haya sido
identificado como crtico en su etapa de relevamiento, respecto de los sistemas que soporta y la
calidad de servicio a brindar (Dada por ejemplo, por el tiempo mximo de downtime permitido en su
negocio). Estos, debern poseer la mayor cantidad de componentes redundantes que sea posible,
teniendo en cuenta el presupuesto asignado, la tecnologa a implementar y el tipo de componente.
Por ltimo, un aspecto sumamente importante a la hora de seleccionar el equipamiento a utilizar en su
implementacin de un centro de cmputos, radica en el soporte brindado por el proveedor del mismo.
De nada servir un servidor de gran potencia, si al momento de requerir el reemplazo de un
componente, el mismo no es provisto a tiempo o directamente no se consigue en el mercado. Del
mismo modo, una adecuada poltica de update del firmware necesario para el correcto funcionamiento
de los componentes, deber ser contemplada.
13.4.2 Clustering
Con el correr del tiempo, muchas fueron las empresas que establecieron el crecimiento de su negocio,
en torno a soluciones informticas. Grandes sistemas de e-commerce, completas soluciones ERP
(Enterprise Resource Planning) y centros de atencin a usuarios on-line, son tan solo algunos de los
negocios que requieren velar por uno de los factores crticos en toda implementacin: Disponibilidad.
Como una de las principales herramientas, a la hora de garantizar precisamente, la disponibilidad en
los diferentes servicios prestados por el equipamiento instalado en nuestro datacenter, ha surgido el
concepto de Clustering y su tecnologa relacionada.
En su definicin ms elemental, un Cluster, no es ms que un grupo de computadoras independientes
trabajando juntas, como un recurso unificado, brindando de cara a las aplicaciones que en l se
ejecutan, la visin de estar siendo ejecutadas en una nica imagen. De acuerdo a su funcionamiento,
un cluster provee entre otras facilidades, una solucin excelente a los problemas de disponibilidad,
debido a que en la mayora de las configuraciones probables (Activo-Activo, Activo-Standby, Tolerante
a Fallos), cualquiera de los nodos participantes del cluster, se encuentra en posicin de atender
requerimientos de la aplicacin, en caso de que el nodo principal sufra un desperfecto
Para que un cluster sea implementado, no slo deber poseerse el equipamiento necesario, sino
tambin sistemas operativos y en algunos casos software complementario que posibilite su
funcionamiento o monitoreo. Windows 2000 en sus versiones Advanced Server and Datacenter
Server, Windows 2003, Unix y Linux suelen ser algunas de las alternativas de sistemas operativos con
estas posibilidades.
Muchas veces, puede suceder que el motivo principal para la implementacin de un cluster, no sea el
aseguramiento de la disponibilidad, pero s, la potencia de cmputo a obtener. Soluciones Open
Source del tipo OpenMosix, en conjunto con software del tipo Linux y equipos de bajo costo, han
logrado llevar el poder de supercomputadores, que hasta hace algunos aos se encontraba subscripto
a grandes empresas o gobiernos, a un pblico ms amplio
13.4.3 Redundancia
Otra de las tecnologas al alcance del profesional de seguridad informtica, al momento de asegurar
aspectos tales como la disponibilidad, es aquella que se encuentra relacionada con los dispositivos
redundantes. Si bien es cierto, que comnmente esta tecnologa es implementada en sistemas de
discos, lo cierto es que las capacidades de redundancia, no se restringen nicamente a este tipo de
dispositivos. Fuentes, placas de red y memoria, son tan solo algunos de los componentes a tener en
cuenta, al momento de solicitar esta caracterstica al equipamiento seleccionado.
RAID 1 (Espejeado y Duplexing Espejeo): El nivel de RAID 1 requiere al menos dos unidades de
disco para ser implementado. Una unidad de datos y una unidad de rplica. Cuando se describen
datos en una unidad, tambin se escriben en la otra. El disco redundante es una rplica exacta del
disco de datos, por lo que se conoce tambin como disco espejo. Los datos pueden leerse de
cualquiera de las dos unidades de forma que si se daara la unidad de datos, es posible acceder a la
unidad de rplica, permitiendo que el sistema pueda seguir funcionando. Con este nivel de RAID se
obtiene la misma velocidad de lectura/ escritura que una configuracin normalizada de disco, por lo
que constituye la mejor opcin para aplicaciones que conllevan un gran nmero de operaciones de
escritura.
RAID 3: Conocido tambin como Striping con paridad dedicada. Utiliza tambin un disco de proteccin
de informacin separado para almacenar informacin de control codificada con lo que se logra una
forma ms eficaz de proporcionar redundancia de datos. Este control de informacin codificada o
paridad proviene de los datos almacenados en los discos y permite la reconstruccin de informacin
en caso de fallas. Se requieren como mnimo 3 discos y se utiliza la capacidad de un disco para la
informacin de control. Los datos se dividen en fragmentos que se transfieren a los discos que
funcionan en paralelo, lo que permite enviar ms datos de una sola vez, y aumentar en forma
sustancial la velocidad general de transferencia de datos. Esta ltima caracterstica convierte a este
nivel en idneo para que estas aplicaciones que requieran la transferencia de grandes ficheros
contiguos hacia y desde el ordenador central.
RAID 5: Se necesita un mnimo de tres unidades para implementar una solucin RAID 5. Este array
ofrece tolerancia al fallo, pero adems, optimiza la capacidad del sistema permitiendo una utilizacin
de hasta el 80% de la capacidad del conjunto de discos. Esto lo consigue mediante el clculo de
informacin de paridad y su almacenamiento alternativo por bloques en todos los discos del conjunto.
La informacin del usuario se graba por bloques y de forma alternativa en todos ellos. De esta
manera, si cualquiera de las unidades de disco falla, se puede recuperar la informacin en tiempo
real, sobre la marcha, mediante una simple operacin lgica de OR exclusivo, sin que el servidor deje
de funcionar. RAID 5 es la solucin ms econmica por megabyte, que ofrece la mejor relacin de
precio, rendimiento y disponibilidad para la mayora de los servidores.
Nota: La marca de copiado (archive) es un atributo o indicador propio de cada archivo, es un bit que
los programas de backup ponen en cero cuando realizan una copia del archivo. Cuando los archivos
sufren modificaciones el sistema operativo, cambia el valor de este atributo, indicando al programa de
copia de seguridad, que ha sido modificado.
Un esquema de resguardo semanal del tipo diferencial hace una copia de todos los archivos creados
o modificados desde la copia full anterior, aumentando el tamao y el tiempo necesario para realizar el
resguardo a medida que pasan los das, en cambio, un esquema incremental, realiza un salvado de
los archivos modificados o creados desde el da anterior, requiriendo menos tiempo y espacio en
cinta. La desventaja de ste mtodo, radica en el momento de realizar la recuperacin ya que requiere
la copia full y las sucesivas copias incrementales hasta el da solicitado.
Uno de los principios bsicos de la seguridad, es aquel que involucra algn tipo de mtodo de control
de acceso. Estos, definen cmo se comunicarn usuarios y sistemas y en qu forma lo harn. El
principal objetivo detrs de todo control de acceso lgico, es el de proteger la informacin almacenada
a travs de operaciones informticas. En tal sentido y en su nivel ms general, tres son los modelos
bsicos utilizados para explicar el control de acceso como tal. A continuacin mencionaremos
brevemente cada uno de ellos
Uno de los principios bsicos de la seguridad, es aquel que involucra algn tipo de mtodo de control
de acceso. Estos, definen cmo se comunicarn usuarios y sistemas y en qu forma lo harn. El
principal objetivo detrs de todo control de acceso lgico, es el de proteger la informacin almacenada
a travs de operaciones informticas. En tal sentido y en su nivel ms general, tres son los modelos
bsicos utilizados para explicar el control de acceso como tal. A continuacin mencionaremos
brevemente cada uno de ellos:
DAC (Discretionary Access Control o Control de Acceso Discrecional): En el modelo de
Control de Acceso Discrecional (DAC), un usuario bien identificado (tpicamente, el creador o
propietario del recurso) decide cmo protegerlo estableciendo cmo compartirlo, mediante
controles de acceso impuestos por el sistema. Una de las caractersticas principales en este
esquema, radica en que el propietario del recurso puede cederlo a un tercero. En este modelo,
se establecen ACLs (Access Control List o Listas de Control de Acceso) mediante las cuales
es posible para el propietario del recurso, otorgar o revocar acceso a individuos o grupos.
DAC, permite que la informacin sea compartida fcilmente entre los usuarios, puesto que se
presenta como un modelo dinmico y natural.
MAC (Mandatory Access Control o Control de Acceso Mandatorio): En el modelo de
Control de Acceso Mandatorio (MAC), es el sistema quien protege los recursos. Todo recurso
del sistema, y todo principal (usuario o entidad del sistema que represente a un usuario) debe
poseer una etiqueta de seguridad. Esta etiqueta de seguridad sigue el modelo de clasificacin
de la informacin militar, en donde la confidencialidad de la informacin es lo ms relevante,
formando lo que se conoce como poltica de seguridad multinivel. Una etiqueta de seguridad
se compone de una clasificacin o nivel de seguridad (nmero en un rango, o un conjunto de
clasificaciones discretas, desde DESCLASIFICADO hasta ALTO SECRETO) y una o ms
categoras o compartimentos de seguridad. El modelo MAC, se denomina esttico, debido
principalmente a que utiliza un conjunto predefinido de privilegios de acceso para los archivos
del sistema. En la prctica, los administradores del sistema establecen estos parmetros y los
asocian con una cuenta, archivo o recurso. En este esquema, los administradores son las
nicas personas autorizadas a realizar cambios en los niveles de acceso.
RBAC (Role-Based Access Control o Control de Acceso Basado en Roles): El modelo de
Control de Acceso Basado en Roles (RBAC), es considerado como un intento de unificar los
modelos DAC y MAC consiguiendo una arquitectura donde el sistema impone el control de
acceso, pero sin las rgidas restricciones impuestas por las etiquetas de seguridad existentes
en el modelo MAC. Las polticas de control de accesos, basado en roles, regulan el acceso de
los usuarios a la informacin en trminos de sus actividades y funciones de trabajo,
representndose as de forma natural la estructura de las organizaciones. Debido a sus
caractersticas, el modelo RBAC suele ser uno de los ms implementados en algunos de los
sistemas operativos ms conocidos.
Sistemas OTP (One Time Passwords o Passwords de un Slo Uso): Una de las caractersticas
clave, detrs del concepto utilizado por OPT, radica en que el password del usuario, nunca se trasmite
por la red, en su defecto lo que s se trasmite es una clave de sesin previamente negociada, que es
utilizada por nica vez para luego ser descartada. Como parte del funcionamiento de OTP:
1. El usuario se conecta al servidor (la mquina en la que quiere abrir una sesin).
2. El servidor enva al usuario un reto ("challenge").
3. El usuario calcula la respuesta al reto (el one-time password), utilizando para ello una clave
privada, y la enva de vuelta al servidor.
4. El servidor por su parte calcula tambin la respuesta, y la compara con la que ha recibido. Si
ambas coinciden, se permite la entrada al servidor y el OTP queda invalidado para futuras
entradas
Puesto que la funcin que se utiliza para calcular la respuesta a un desafo, es tal que resulta
imposible calcular un OTP a partir de los anteriores, aunque se intercepte alguno de los OTP, ste no
se podr utilizar para entrar en la cuenta del usuario, ni tampoco para averiguar los OTPs que se
utilizarn a continuacin. Otro tipo de implementacin de OTP, consiste en calcular previamente un
nmero fijo de OTP. De esta forma, en lugar de calcular la respuesta al desafo, el usuario tendr que
consultar en su lista de valores conocidos y teclear el password adecuado.
SmartCards: Una SmartCard, es una tarjeta, mediante la cual es posible acceder a mltiples
recursos, entre los cuales se incluyen: edificios, estacionamientos y computadoras. En este tipo de
esquema, cada computadora a la que se requiera el acceso, deber contar con un lector capaz de leer
la informacin (Bsicamente la identidad de quien la posee y los privilegios concedidos) contenida en
dicha tarjeta.
Single Sign-On (SSO): Sin lugar a dudas, uno de los mayores problemas a resolver en grandes
entornos de cmputo con mltiples sistemas y aplicaciones que requieren ser accedidas por un mismo
usuario, es aquel que requiere memorizar y administrar diferentes combinaciones de usuario y
contrasea. El propsito de la soluciones de Single Sign-On, es precisamente el de lograr que el
usuario obtenga acceso a los sistemas y aplicaciones que requiera, utilizando para ello, un solo par de
usuario/contrasea. Esta funcionalidad, se ha convertido en una realidad en muchos entornos
operativos. Kerberos, Microsoft Active Directory y Novell eDirectory son tan solo algunos ejemplos de
este tipo de implementaciones.
A fin de resultar exitoso, el proceso de planificacin, deber estar centrado en aquellos objetivos de
negocios, que en etapas anteriores, hubieren sido identificados como claves a los efectos de
preservar la continuidad del negocio, en los plazos estipulados. A su vez, aspectos tales como:
dotacin de personal, recursos que no procesan informacin y acuerdos por reanudacin de
emergencia en sitios alternativos debern formar parte integral del plan a implementar.
Por ltimo, un plan de contingencia, podra ser tan sencillo como evaluar la necesidad de proveer un
listado de artculos con sus precios asociados, a los vendedores de una sucursal, para que sean
utilizados en caso de que el sistema central no est disponible, o tan complejo como la
implementacin de un centro de procesamiento alternativo, que contando con rplicas exactas del
equipamiento y los datos contenidos en el sitio primario, brinde la posibilidad de continuar con las
tareas de un gran centro de cmputos
13.6.5 Prueba, mantenimiento y re-evaluacin
Para que un Plan de Continuidad del Negocio, sea efectivo el mismo deber mantener su vigencia y
transformarse en parte integral del resto de los procesos de administracin y gestin relacionados con
la organizacin. Un plan bien desarrollado pero desactualizado, podra causar costos innecesarios y
comprometer seriamente la situacin de una organizacin frente a un incidente. Suposiciones
incorrectas, negligencias o los propios cambios en el equipamiento o el personal involucrado, podra
ser motivo de fallas en un proceso previamente estipulado, por tal motivo, la evaluacin continua y la
definicin de procesos de pruebas efectivas, en relacin de los procedimientos descritos en el plan,
deben ser considerados prcticas esenciales. Un cronograma de pruebas para los planes de
continuidad del negocio deber ser parte integral del proceso. El mismo deber indicar claramente,
cmo y cundo debe probarse cada elemento dispuesto en el plan. En el punto 11.1.5 de las normas
ISO 17799, se recomienda en forma explcita, probar con frecuencia cada uno de los componentes del
plan y utilizar diversas tcnicas para garantizar que los planes funcionarn en la vida real, en el
momento que sea necesario. Entre los tipos contemplados por dicha norma se encuentran:
1. Pruebas de discusin de diversos escenarios (discutiendo medidas para la recuperacin del
negocio utilizando ejemplo de interrupciones).
2. Simulaciones (especialmente para entrenar al personal en el desempeo de sus roles de
gestin posterior a incidentes o crisis).
3. Pruebas de recuperacin tcnica (garantizando que los sistemas de informacin puedan ser
restablecidos con eficacia).
4. Pruebas de recuperacin en un sitio alternativo (ejecutando procesos de negocio en paralelo,
con operaciones de recuperacin fuera del sitio principal).
5. Pruebas de instalaciones y servicios de proveedores (garantizando que los productos y
servicios de proveedores externos cumplan con el compromiso contrado).
6. Ensayos completos (probando que la organizacin, el personal, el equipamiento, las
instalaciones y los procesos pueden afrontar las interrupciones).
En temas anteriores mencionamos estos dos aspectos y analizamos al fuego como un factor de riesgo
crtico porque conspira contra la disponibilidad al atacar la infraestructura soporte, pero a su vez la
propia infraestructura debe funcionar 7x24. Trasladada esta propiedad al campo de accin del
datacenter, se debe considerar a este como la interrelacin de una serie de subsistemas de
infraestructura que dan respaldo al equipamiento crtico (hardware), para mantener una disponibilidad
de sistemas adecuada para las caractersticas propias del negocio en que nos encontremos. Hay que
tener en cuenta que no todas las actividades requieren el mismo nivel de disponibilidad y esto surgir
de un anlisis previo llamado BIA (Business Impact Anlisis) que cuantifica econmicamente el
impacto que produce una parada del datacenter en el negocio de la organizacin. En lneas generales
podemos establecer a priori una clasificacin aproximada de la criticidad de los sistemas para
distintas reas de actividad.
Dentro de cada subsistema el estndar desarrolla una serie de tem como los de la tabla:
Uno de los mayores puntos de confusin en el campo del uptime (tiempo disponible de los sistemas)
es la definicin de datacenter confiable; ya que lo que es aceptable para una persona o compaa no
lo es para otra. Empresas competitivas con infraestructuras de datacenter completamente diferentes
proclaman poseer alta disponibilidad; esto puede ser cierto y depender de la interpretacin subjetiva
de disponibilidad que se realice para el tipo de negocio en que se encuentre una compaa. Lo cierto
es que para aumentar la redundancia y los niveles de confiabilidad, los puntos nicos de falla deben
ser eliminados tanto en el datacenter como en la infraestructura que le da soporte. Los cuatro niveles
de tiers que plantea el estndar se corresponden con cuatro niveles de disponibilidad, teniendo que a
mayor nmero de tier mayor disponibilidad, lo que implica tambin mayores costos constructivos. Esta
clasificacin es aplicable en forma independiente a cada subsistema de la infraestructura
(telecomunicaciones, arquitectura, elctrica y mecnica). Hay que tener en cuenta que la clasificacin
global del datacenter ser igual a la de aquel subsistema que tenga el menor nmero de tier. Esto
significa que si un datacenter tiene todos los subsistemas tier IV excepto el elctrico que es tier III, la
clasificacin global ser tier III.
Es importante tener en cuenta esto porque cuando se pretende la adecuacin de datacenters actuales
a tier IV, en lugares como Amrica Latina, hay limitaciones fsicas difciles de salvar en los
emplazamientos edilicios actuales. Prcticamente para lograr un datacenter tier IV hay que disearlos
de cero con el estndar en mente como gua. Un ejemplo claro de esto es que es muy difcil lograr la
provisin de energa de dos subestaciones independientes o poder lograr las alturas que requiere el
estndar en los edificios existentes (3 m mnimo sobre piso elevado y no menor de 60 cm entre el
techo y el equipo ms alto).
Para poner en perspectiva la tasa de disponibilidad que se pretende para los distintos tiers, el cuadro
2 expresa su significado expresado en el tiempo de parada anual del datacenter. Estos porcentajes
deben considerarse como el promedio de cinco aos. Hay que tener en cuenta que para un tier IV se
contempla que la nica parada que se produce es por la activacin de un EPO y esto slo sucede una
vez cada cinco aos. No obstante para la exigencia que demanda un tier IV algunas empresas u
organizaciones manifiestan necesitar una disponibilidad de cinco nueves, esto significa un 99,999%
de disponibilidad. Esto es poco ms de cinco minutos anuales sin sistemas. El propsito del estndar
TIA 942 es proveer una serie de recomendaciones y guidelines para el diseo e instalacin de un
datacenter. La intencin es que sea utilizado por los diseadores que necesitan un conocimiento
acabado del facility planning, el sistema de cableado y el diseo de redes. El estndar TIA 942 y la
categorizacin de tiers se encuentran en pleno auge en Amrica Latina. Esto es bueno porque lleva al
replanteo de las necesidades de infraestructura de una manera racional y alineada con las
necesidades propias de disponibilidad del negocio en que se encuentran las organizaciones.
Debido a que la proteccin contra incendios es una parte integral de la continuidad del negocio, la
NFPA desarroll la NFPA 75, Proteccin de equipos electrnicos procesadores de datos por
computadora , que presenta un enfoque lgico de la proteccin contra incendios y la continuidad del
negocio basado en el riesgo. Desde el punto de vista del negocio, el factor de riesgo ms importante
usualmente es el perjuicio econmico ocasionado por la prdida de equipos o registros. Aqu es donde
muchos gerentes de negocios centran su atencin. En lugar de comenzar por el devastador punto final
de la interrupcin del negocio, mitigacin, control de daos, recuperacin del desastre, y reanudacin
del negocio; comencemos por el principio. Asumamos que existen factores de riesgo que lo han
llevado a utilizar la NFPA 75 y veamos qu tiene esta norma para usted.
El enfoque lgico es en primer lugar prevenir incendios, lo que simplemente implica eliminar todas las
fuentes de ignicin y reducir la cantidad de materiales combustibles en la sala. En el improbable caso
de que un incendio se propague desde otra rea a una sala de TI, minimizar los combustibles tanto de
papel como electrnicos, le dar al incendio menos materiales de los cuales alimentarse. El rea por
debajo de pisos elevados puede ser la pesadilla de las tareas domsticas. No slo se acumula la
basura y otros combustibles debajo de l, sino que tambin a veces all se almacenan cosas. Una
inspeccin peridica del rea, conducida por alguien cuya prioridad sea la proteccin contra incendios,
puede eliminar muchos innecesarios combustibles potenciales. Las reas de subsuelo tambin suelen
contener cables. Los que no estn actualmente en uso pero que sern utilizados en el futuro deben
ser etiquetados e identificados como tales. Todos los otros cables abandonados deberan ser
removidos siempre que fuera posible. Esto es necesario por varias razones. Una gran cantidad de
cables no utilizados puede interferir con el flujo de aire destinado a mantener la temperatura de la
computadora dentro del margen de funcionamiento. En el caso de un incendio, el aislamiento del
cable puede generar humo corrosivo. Y si existe una gran cantidad de cables enmaraados, el
incendio podra llegar a estar arraigado en lo profundo, hacindolo ms desafiante para combatir que
un incendio de superficie. Los cables excedentes pueden tambin obstruir los patrones de descarga
de los sistemas de extincin de incendios. Cuando se remueven los cables, cualquier infiltracin debe
ser prevenida con un cortafuegos a travs de construcciones de clasificacin ignfuga. Dado que
remover cables abandonados puede daar otros cables, su remocin debe ser planeada
cuidadosamente.
Dado que la historia nos dice que la mayora de los incendios comienzan fuera del rea de la TI, se
colocan barreras en forma de construccin con clasificacin ignfuga de una hora de resistencia para
impedir que las llamas se propaguen a tales reas.
Bsicamente, la sala del equipo de TI est rodeada por una construccin de clasificacin ignfuga de
una hora de resistencia, y cualquier filtracin a travs de estas paredes de clasificacin ignfuga debe
ser rellenada con materiales cortafuegos. Las salas que rodean la sala del equipo de TI, que
contienen equipos de ventilacin, almacenamiento de medios de cinta, y oficinas de soporte, con
frecuencia son importantes para la actividad de TI, entonces ellos, tambin, deberan tener una
mnima construccin de clasificacin ignfuga de una hora de resistencia todo alrededor. Se
recomienda la construccin con clasificacin de dos horas.
Las salas mecnicas y elctricas, que con frecuencia son extremadamente importantes para la
operacin continuada de las sala de informtica, tambin deberan tener una construccin de
clasificacin ignfuga de una hora de resistencia. Adems, los conductos de ventilacin deben estar
equipados con reguladores de tiro activados mediante detectores de humo. Cualquier conducto que
preste servicio a otras partes del edificio o que pase a travs del rea de TI debe tener reguladores de
tiro de humo e incendio automticos.
Es interesante observar la lgica de los sistemas de proteccin contra incendios para los espacios de
TI. Regla nmero uno: si el edificio esta completamente protegido por rociadores, el rea de TI
tambin debe tener un sistema de rociadores automticos. Por qu? Si el rea instalada sin
rociadores resultara ser el punto del origen del incendio, el mismo podra terminar devastando el
sistema de rociadores del edificio. Con frecuencia, se le teme al agua en los espacios de TI. Sin
embargo, este temor usualmente es infundado. Otro temor es que la tubera del rociador pueda
gotear. Normalmente, las tuberas de los rociadores no comienzan de repente a gotear a menos que
estn fsicamente daadas, como podra ser en un depsito. La posibilidad de dao de impacto a la
tubera de los rociadores en una sala de informtica es remota.
Los registros siempre son un punto de discusin cuando se refiere a las reas de TI. Aqu hay unas
pocas reglas bsicas. Los registros en la sala de TI se deben mantener en el mnimo absoluto y
deberan ser slo aquellos necesarios para la operacin esencial. Todos los registros importantes se
deben duplicar y almacenar en una ubicacin remota de modo de no estar expuestos al mismo
incendio que los originales. Los registros se deben almacenar en gabinetes metlicos cerrados. Los
sistemas automatizados de almacenamiento de informacin (AISS por sus siglas en ingls) son
permitidos en las salas de TI slo si un sistema dedicado de rociadores o sistema de agente gaseoso
est instalado en cada unidad. Las salas de bibliotecas de cintas y de almacenamiento de medios
deben estar fuera de la sala de TI, estar protegidas con un sistema de extincin de incendios, y tener
al menos una construccin de clasificacin ignfuga de una hora de resistencia. No debera haber
nada ms en estas salas, y no se deberan permitir actividades sino aquellas relacionadas al
almacenamiento.
La construccin de clasificacin ignfuga alrededor de la sala de TI y de toda el rea de TI debera
extenderse desde el piso estructural hasta el piso/cielorraso estructural de arriba. Esto con frecuencia
se lo conoce como construccin losa a losa. Esto sirve a dos propsitos. El primero debera ser
obvio: usted no quiere que el humo o las llamas fuera del rea se traslade dentro del rea de TI. El
segundo entra en juego cuando se emplea un sistema de agente gaseoso. Uno de los componentes
ms crticos del sistema de inundacin total de agente limpio es el gabinete que contiene la
concentracin del agente extintor suficiente tiempo para extinguir el incendio y prevenir la re-ignicin.
Las paredes de la sala de TI deben ser lo bastante hermticas como para contener la concentracin
del agente extintor por este perodo de tiempo. Los instaladores de sistemas extintores de incendios
saben bien esto, pero tienen poco o ningn control sobre la construccin de la sala, y el problema de
filtracin no se descubre hasta que la prueba de presurizacin de la sala es efectuada durante la
puesta en servicio del sistema extintor de incendios. Prestar atencin a este detalle durante la
construccin ayuda a evitar dolores de cabeza y demoras de ocupacin ms tarde.
Cada operacin de TI debe contar con tres planes: plan de emergencia de incendios, plan de control
de daos, y plan de procedimientos de recuperacin. El ms ignorado de estos planes es, con
frecuencia, el plan de procedimientos de recuperacin, el cual delinea las tareas que el personal debe
emprender, incluyendo transporte y comunicacin crticos para la continuidad de las operaciones del
negocio. Al desarrollar un plan de recuperacin, el objetivo es regresar la operacin del negocio al
nivel en que estaba el da antes de la catstrofe. Si su negocio es tomar pedidos por medio de una
lnea telefnica gratuita y contina con la entrega de productos, el esfuerzo de recuperacin debera
estar dirigido hacia el restablecimiento de la operacin telefnica y la conexin del personal a los
sistemas de procesamiento informtico y telefnico, lo cual permitir que continen los envos. El plan
final incluira una instalacin redundante en un sitio remoto que tenga acceso a los datos de las copias
de seguridad. Si la operacin no es tan crtica o la instalacin redundante ha sido considerada poco
realista por razones econmicas, es imprescindible un buen plan de recuperacin en sitio. Una vez
que ha ocurrido un incendio o algn evento catastrfico, el lugar no necesita ser desalojado. Si la
instalacin incorpora las caractersticas de diseo delineadas en la NFPA 75 y tiene planes efectivos
de control de daos e incendio, el plan de recuperacin es el que hay que implementar.
Al desarrollar un plan de recuperacin, deben producirse discusiones sobre los daos ocasionados
por el agua, humo y calor. El dao por el calor es con frecuencia la razn por la que los artculos
expuestos son irrecuperables. Los daos por agua y humo usualmente son menos severos, pero con
frecuencia son los que ms se malinterpretan. El humo de una sala de informtica usualmente
contiene cloruro y azufre que corroe el delicado equipo electrnico. Siempre es necesario remover
cualquier remanente de estos contaminantes. El humo puede ocasionar pequeos daos inmediatos,
pero cuando se los deja desatendidos por un perodo prolongado, los derivados corrosivos de la
combustin actan con la humedad en el aire para comenzar el proceso de corrosin.
Toda compaa que tenga una instalacin TI deber desarrollar un plan o enfrentar las consecuencias
el da del desastre. No hacer nada podra ser la peor alternativa.
CAPTULO 14
Qu se entiende por auditoria interna? Es aquella que se realiza con recursos materiales y
humanos pertenecientes a la organizacin auditada. sta es creada por expresa por expresa decisin
de la empresa, con sus recursos internos, pudiendo eventualmente ser disuelta en cualquier
momento.
Proceso de auditoria:
Recolectar evidencia
Evaluar evidencia
Verificar controles
Informar a la Direccin
Aspectos relacionados con la auditoria de sistemas de informacin:
Aspectos tcnicos
Aspectos normativos
tica profesional
Aspectos legales
tica personal
Cualquiera sea el tamao de una organizacin, con frecuencia sta deber enfrentar, diversos tipos
de riesgos, sean los mismos de origen interno o externo. Teniendo este punto en claro, la evaluacin,
administracin y control de dicho riesgo, deber ser considerada parte integral de todo planeamiento
de auditora.
Cuando hablamos de Evaluacin del Riesgo, solemos referirnos al proceso de identificacin y anlisis
de los riesgos y vulnerabilidades a los cuales se encuentran sometidos los sistemas de informacin en
particular, y todo recurso informtico en general.
Algunos autores, afirman que La Administracin de Riesgos es una aproximacin cientfica al
comportamiento del riesgo, anticipando posibles prdidas accidentales, por medio del diseo e
implementacin de procedimientos y controles, que minimicen la ocurrencia de incidentes, o el
impacto financiero que los mismos pudieran generar. Una correcta Evaluacin del Riesgo, sentar las
bases necesarias, a la hora de trabajar en la posterior gestin o administracin de los mismos.
Las Actividades de Control por su parte, deben estar integradas en el proceso de Evaluacin del
Riesgo. Una vez que estos fueran analizados, debern establecerse los mtodos y procedimientos de
control necesarios, los cuales a su vez debern ser cumplidos correcta y oportunamente. Las
Actividades de Control establecidas, permitirn entonces, garantizar que las medidas necesarias para
hacer frente a los riesgos que amenazan la consecucin de los objetivos de negocio, dispuestos por la
direccin de la organizacin, han sido adoptadas. Al mismo tiempo, los hitos de control establecidos,
cerrarn el crculo previamente establecido, al ser factibles de ser revisados mediante prcticas de
auditora.
Caractersticas:
Anlisis de riesgos
Reflejar los cambios en los requerimientos y prioridades de la empresa
Implementacin de controles
Considerar nuevas amenazas y vulnerabilidades
Comprobar si los controles son efectivos
Cualquier auditora, suele encontrarse ntimamente relacionada con el mbito de su aplicacin, el cual
incluye no slo cosas, sino personas y la tarea que ellas realizan. Desde este punto de vista, varios
son los elementos que deben ser identificados como Claves a la hora de comenzar los trabajos de
auditora en una organizacin.
Por lo general, las personas actan diferente al saberse auditados, lo cual puede provocar un cambio
transitorio en su trabajo, el cual poco tiene que ver con los procedimientos y prcticas realizadas a
diario. ste es un punto que deber ser tenido en cuenta especialmente, por ejemplo a la hora de
realizar auditoras remotas de sistemas, o test de penetracin controlados. La mayora de las veces,
ser aconsejable que las nicas personas informadas de la realizacin de este tipo de operaciones,
sean los responsables de la contratacin o los directivos, y no los empleados o personas involucradas
en forma directa con los sistemas a auditar. De este modo, se lograr obtener resultados ms reales,
entre los cuales se deben incluir por ejemplo, la respuesta por parte de los administradores
responsables. Por otra parte, aspectos tales como: La relacin entre el auditor y el auditado, la
independencia por parte de la auditora, la tica profesional y los recursos al alcance del grupo
encargado de llevarla a la prctica, forman parte de los lineamientos principales, que de acuerdo a su
importancia, sern mencionados en los prximos indicadores
14.3.1 Relacin entre el auditor y el auditado
Un aspecto clave a fin llevar a cabo una auditora exitosa, tanto sea, desde el punto de vista del
auditor o del cliente que solicita la auditora, es aquel que regula, cul debe ser especficamente la
relacin entre auditor y auditado. En tal respecto, suele decirse que la relacin entre los miembros del
equipo de auditora y el cliente debe ser de confidencialidad y discrecin. Los miembros del equipo de
auditora no deben transferir, sin aprobacin expresa del cliente y, cuando corresponda, sin la
aprobacin del auditado, informacin o documentos obtenidos durante la auditora, ni el informe final,
a terceras partes, excepto que sea requerido por ley.
Un aspecto fundamental, es aquel que se refiere a la independencia misma, que las partes debern
comprender y adoptar en la prctica de sus funciones. Sin dicha independencia, una auditora podra
carecer de sentido.
Es de esperar que las funciones de anlisis y revisin que el auditor informtico lleve a cabo en el
transcurso de su labor, puedan chocar con la psicologa del auditado, debido a diversos factores tanto
tcnicos como psicolgicos. Generalmente, el auditor deber prever como parte de su trabajo, la
posibilidad de encontrar reticencia por parte del auditado, lo cual es comprensible y, deber ser tenido
en cuenta a la hora de obrar correctamente.
En todo momento, el auditor deber tener en claro, que en su posicin, slo deber limitarse a emitir
un juicio global o parcial basado en hechos y situaciones incontrovertibles, careciendo de poder para
modificar la situacin analizada por l mismo. Al mismo tiempo, tanto en sus relaciones con el
auditado como con terceras personas deber en todo momento, actuar conforme a las normas
implcitas o explcitas de dignidad requeridas por su profesin.
El auditor deber facilitar e incrementar la confianza del auditado en base a una actuacin de
transparencia en su actividad profesional, sin alardes cientfico-tcnico que, por su incomprensin,
pueden restar credibilidad a los resultados obtenidos y a las directrices aconsejadas.
La Asociacin de Auditora y Control de Sistemas , cre este cdigo de tica profesional para guiar la
conducta profesional y personal de los miembros de la asociacin y/o los poseedores de la
designacin CISA:
Los auditores de Sistemas Certificados debern:
Apoyar el establecimiento y cumplimiento apropiado de procedimientos estndares y controles
en los sistemas de informacin
Cumplir con los estndares de auditora de sistemas de informacin adoptador por la
Asociacin de Auditora de sistemas de Informacin
Dar servicios a sus empleadores, accionistas, clientes y pblico en general en forma diligente,
leal y honesta y no formar parte de actividades impropias o ilegales
Mantener la confidencialidad de la informacin obtenida en el curso de sus tareas. Dicha
informacin no debe ser usada en beneficio propio ni ser entregada a terceros
Realizar sus tareas en forma objetiva e independiente, y rechazar la realizacin de actividades
que amenacen o parezcan amenazar su independencia
Mantener competencia en los campos relacionados a la auditora de sistemas de informacin a
travs de la participacin en actividades de desarrollo profesional
Obtener suficiente material y documentacin de sus observaciones que le permita respaldar
sus recomendaciones y conclusiones
Informar a las partes que correspondan, los resultados del trabajo de auditora realizado.
Dar apoyo a la educacin y el conocimiento de clientes, gerentes y pblico en general sobre la
auditora de sistemas de informacin
Mantener altos estndares de conducta y personalidad tanto en las actividades profesionales
como personales
14.3.6 Muestreos
Por lo general, el dictamen del auditor suele basarse en evidencia. Precisamente una de las tcnicas
por las cuales, es posible recopilar dicha evidencia de auditora, es el muestreo. El muestreo,
cualquiera sea su forma, consiste en la aplicacin de pruebas de cumplimiento o sustantivas a una
muestra suficientemente representativa de la poblacin total, bien se trate esta, de una serie de
transacciones o de un conjunto de partidas que forman el saldo de una cuenta.
La utilizacin de tcnicas de muestreo, es especialmente til, en aquellos casos donde el tiempo y los
costos, impiden una verificacin total del ambiente a auditar. A continuacin, mencionaremos algunos
conceptos relacionados con las tcnicas de muestreo en general:
Frecuentemente solemos referirnos a muestra como un subconjunto de puntos, tomados de
un contexto general.
Las tcnicas de muestreo, suelen ser frecuentemente utilizadas, a la hora de inferir
caractersticas relativas a una poblacin, basadas en los resultados del examen de las
caractersticas de una muestra de la poblacin.
Muestreo Estadstico: Objetivo para determinar el tamao de la muestra y para elegir los
criterios. El auditor decide cuantitativamente el grado de aproximacin con que la muestra
debe representar a la poblacin (en %).
Muestreo No Estadstico: Utiliza el juicio del auditor para determinar el mtodo de muestreo y
el nmero de cosas que sern examinadas de una poblacin.
Para que un mtodo de muestreo, sea adecuado, la mayora de las veces el auditor requerir de un
plan de actividades que considere entre otros, los siguientes aspectos principales:
Definir la poblacin o universo.
Elegir el mtodo de muestreo.
Determinar los objetivos del muestreo.
Establecer los procedimientos de muestreo estadstico.
Si bien es cierto que hoy da en el mercado, es posible obtener herramientas CAATS especficas
(IDEA, ACL, etc.), muchas veces, funciones de asistencia con el objeto de analizar datos o reportar
hallazgos, podrn ser perfectamente realizadas, utilizando diversos recursos informticos tradicionales
como por ejemplo: software de utilidades, comandos SQL, opciones y reportes integrados en los
sistemas a auditar, desarrollos a medida, etc. Segn ISACA (Information Systems Audit and Control
Association) por ejemplo, las CAATS suelen ser clasificadas en cuatro categoras:
1. Software de Anlisis de Datos.
2. Software o Utilidades de evaluacin de la seguridad de la red.
3. Software o Utilidades de evaluacin de la seguridad en Sistemas Operativos y DBMS.
4. Herramientas de testeo y auditora de cdigo
En resumen, las CAATS pueden consistir en paquetes de programas comerciales especficos,
programas escritos a medida para un propsito puntual de auditora, programas de utileras o
programas de administracin del sistema incluidos con el mismo. Independientemente de la fuente de
los programas, el auditor deber verificar su validez para fines de auditora antes de su uso.
Como probablemente haya notado a lo largo de esta unidad, la Auditora de Sistemas de Informacin
persigue a nivel general, los mismos objetivos propuestos por la Auditora Tradicional. Si partimos de
la base, de que ambas centran su atencin en la salvaguarda de los activos y la integridad de los
datos, al tiempo que procuran asegurar aspectos tales como la eficacia y eficiencia en los procesos de
negocio, veremos que las coincidencias son notables. Por su parte, el proceso de Auditora de
Sistemas de Informacin, se puede concebir como una fuerza que ayuda a las organizaciones a
conseguir mejorar estos objetivos. Por ende, la definicin de un programa de auditora tendiente a
llevar a los hechos estos lineamientos generales, deber ser considerada un requerimiento esencial
dentro del esquema de negocio.
14.4.5 Informe
A menudo, el informe de auditora es considerado el producto final del trabajo del auditor de sistemas,
y como tal, es de gran importancia que el mismo cumpla con las pautas de estilo y diseo requeridos
al momento de realizar una presentacin de calidad.
Como hemos visto a lo largo de esta unidad, la auditoria contiene elementos de anlisis, de
verificacin y de exposicin de debilidades y disfunciones. El objetivo del informe de auditora, se
encuentra relacionado precisamente, con la formalizacin por escrito, de todas aquellas sugerencias y
planes de accin, que producto del proceso de auditora, aparecen como necesarios a fin de eliminar
las disfunciones y debilidades antedichas; estas sugerencias plasmadas en el Informe final,
generalmente reciben el nombre de Recomendaciones.
Es necesario comentar, que por lo general, el informe final requerir de la redaccin previa de
borradores e informes parciales previos al informe final, con el objeto de contrastar las opiniones del
grupo de auditores entre si, y eventualmente las personas auditadas. Este proceso se realiza con el
objeto de descubrir fallos de apreciacin, o al solo efecto de unificar criterios entre los miembros del
equipo de trabajo.
Por su parte, si bien es cierto que no existe una plantilla obligatoria a la hora de confeccionar el
informe de auditora, debern ser tenidos en cuenta, una serie de lineamientos generales en cuanto a
su estructura. A modo de ejemplo, enumeraremos a continuacin algunas de las secciones principales
que debern formar parte del mismo:
Elementos de ubicacin (Fechas de comienzo de la auditora y confeccin del informe,
identificacin personal de los miembros del grupo de auditora y de cada uno de los
entrevistados, responsabilidad y puesto de trabajo que ostente, etc.).
Carta de introduccin o presentacin.
Definicin de objetivos y alcance de la auditora.
Enumeracin de temas considerados (A modo de introduccin general).
Cuerpo expositivo (Por cada tema considerado: situacin actual, hallazgos, tendencias, puntos
dbiles y amenazas, recomendaciones y plan de accin, etc.).
Conclusin global del auditor expresando una opinin sobre los controles y procedimientos
revisados.
Cada vez con ms frecuencia, las organizaciones incorporan como parte de sus procedimientos de
administracin de sistemas, reglamentaciones y normativas especficas a fin de adecuar su
operatoria, a aquellos lineamientos generales que apuntan a transmitir lo que oportunamente fuera
considerado alguna de las mejores prcticas en relacin a la informtica en general y al manejo de
informacin en particular.
Ya sea que usted se desempee como administrador de sistemas, analista de seguridad, consultor, o
auditor en sistemas de informacin; muchos de los proyectos que encarar a lo largo de su carrera
profesional, se encontrarn relacionados de una u otra forma con aquellas leyes, reglamentaciones y
normativas, aplicables a su actividad o lo que tambin es probable con regulaciones propias del
segmento de negocio en donde se desempee, que requerirn de su entero conocimiento, a fin de
aplicarlas en forma eficaz y oportuna
En los prximos indicadores, tendremos oportunidad de presentar brevemente, algunas de las leyes,
reglamentaciones y normativas, que encontrndose ntimamente relacionadas con las tecnologas de
la informacin, suelen a menudo, ser consideradas las de mayor importancia. Como profesional en
seguridad informtica, ser parte de su responsabilidad, el conocer, aplicar y transmitir a sus clientes,
la necesidad y las ventajas, que suele traer aparejada la implementacin y/o adecuacin, de los
procedimientos seguidos por la organizacin, a las leyes y normativas vigentes; as como tambin, los
beneficios econmicos que la puesta en marcha de las mismas implica, al encontrarse estas
relacionadas con la concrecin en forma segura, de los objetivos de negocio pautados por la direccin
de la empresa.
Procesar informacin respecto de las personas implica una responsabilidad que debe estar orientada
a conjugar los intereses de las empresas usuarias de bases de datos con el derecho a la privacidad
de la gente. Este es un concepto fundamental, que debe ser tenido en cuenta por el profesional de
seguridad informtica en todo momento. Claro est que en un mundo tendiente a informatizar
aspectos que involucran los datos de millones de personas, existe la necesidad de regular y poner
lmites al uso que se har de los mismos.
14.5.5 COBIT
Hace ya algunos aos, los profesionales de IT, comenzaron a verse en la necesidad de conocer varias
normas de control diferentes (DTI, NIST, etc.), cada una de ellas con una funcin u orientacin
especfica, a la hora de organizar sus departamentos relacionados con las tecnologas de la
informacin. El inconveniente detrs de ello, pasaba porque ninguna de las normas, proporcionaba un
modelo de control completo y utilizable (especficamente sobre IT), como soporte para los procesos
de negocio.
Atentos a esta necesidad, la Information Systems Audit And Control Association (ISACA), en
conjunto con un grupo de empresas, desarroll, tomando como referencia la publicacin en los EE.UU
de los modelos de control generales de COSO, un marco de referencia genuino, para la definicin de
objetivos de control aplicados a las Tecnologas de Informacin, que recibira el nombre de COBIT:
Objetivos de Control para la Informacin y Tecnologas Afines.
El COBIT se compone de un conjunto de 34 objetivos de control de alto nivel, uno para cada uno de
los procesos de TI, agrupados en cuatro dominios principales:
Planeamiento y Organizacin.
Adquisicin e Implementacin.
Entrega (de Servicio)
Monitoreo.
Tal como se menciona en el resumen ejecutivo de este marco de referencia, esta estructura cubre
todo y cada uno de los aspectos de la informacin y de la tecnologa que la soporta. Dirigiendo estos
34 objetivos de control de alto nivel, el propietario de procesos de negocio podr asegurar que se
proporciona un sistema de control adecuado para el ambiente de tecnologa de informacin. Pero el
COBIT no slo estipula objetivos de control, a su vez, cada uno de ellos se incluye como parte de la
entrega, una serie de guas imprescindibles, a la hora de revisar o auditar el cumplimiento de los
objetivos propuestos.
Para completar un poco el enfoque que ISECOM (Institute for Security and Open Methodologies),
entidad responsable del proyecto OSSTMM, ofrece sobre estas clasificaciones se presenta a
continuacin las actividades que pueden ser llevadas a cabo (La misma se presenta textualmente en
sus manuales): ISECOM aplica los siguientes trminos a los diferentes tipos de sistemas y de testeos
de seguridad de redes, basados en tiempo y costo para el Testeo de Seguridad de Internet:
Bsqueda de Vulnerabilidades: se refiere generalmente a las comprobaciones automticas
de un sistema o sistemas dentro de una red.
Escaneo de la Seguridad: se refiere en general a las bsquedas de vulnerabilidades que
incluyen verificaciones manuales de falsos positivos, identificacin de los puntos dbiles de la
red y anlisis profesional individualizado.
Test de Intrusin: se refiere en general a los proyectos orientados a objetivos en los cuales
dicho objetivo es obtener un trofeo, que incluye ganar acceso privilegiado con medios pre-
condicionales.
Evaluacin de Riesgo: se refiere a los anlisis de seguridad a travs de entrevistas e
investigacin de nivel medio que incluye la justificacin negocios, las justificaciones legales y
las justificaciones especficas de la industria.
Auditora de Seguridad: hace referencia a la inspeccin manual con privilegios
administrativos del sistema operativo y de los programas de aplicacin del sistema o sistemas
dentro de una red o redes.
Hacking tico: se refiere generalmente a los tests de intrusin en los cuales el objetivo es
obtener trofeos en la red dentro del tiempo predeterminado de duracin del proyecto.
Test de Seguridad y su equivalente militar, Evaluacin de Postura, es una evaluacin de
riesgo con orientacin de proyecto de los sistemas y redes, a travs de la aplicacin de
anlisis profesional mediante escaneos de seguridad donde la intrusin se usa generalmente
para confirmar los falsos positivos y los falsos negativos dentro del tiempo permitido de
duracin del proyecto.
14.6.2 Es posible respetar algn mtodo que permita repetir esta tarea
y obtener ndices de evolucin?
En este punto es donde se plantea a ttulo de gua lo que propone OSSTMM. Se reitera, no porque
sea mejor o peor que cualquier otra que pueda emplear una empresa consultora, sino simplemente
por ser una referencia gratuita y sobre todo porque tiene su punto de partida en respetar la mayora de
los estndares, tal cual lo expresa en sus primeras pginas, estando en plena conformidad con los
mismos (ISO-17799 o BS-7799, GAO y FISCAM, NIST,CVE de Mitre, etc.). Resumidamente, esta
metodologa propone un proceso de evaluacin de una serie de reas que reflejan los niveles de
seguridad que posee la infraestructura a auditar, a estos los denominar Dimensiones de seguridad,
y consisten en el anlisis de lo siguiente:
Visibilidad
Acceso
Confianza
Autenticacin
No repudio
Confidencialidad
Privacidad
Autorizacin
Integridad
Seguridad
Alarma.
Para un trabajo metdico y secuencial, describe seis secciones que abarcan el conjunto de los
elementos que componen todo sistema actual, ellas son:
1. Seguridad de la Informacin
2. Seguridad de los Procesos
3. Seguridad en las tecnologas de Internet
4. Seguridad en las Comunicaciones
5. Seguridad Inalmbrica
6. Seguridad Fsica
En cada seccin se especifican una serie de mdulos a ser evaluados, teniendo en cuenta si aplica o
no cada uno de ellos a la infraestructura en cuestin, el resultado de la observacin de todos ellos es
lo que permitir pintar el mapa de seguridad.
Otro aspecto que trata con bastante detalle es la Evaluacin de riesgo, teniendo en cuenta que
dentro de cada mdulo se encuentran los valores adecuados (RAVs) para obtener las mtricas finales,
lo cual como se recalc en este texto es uno de los principios que debe tener en cuenta todo auditor si
es consciente de las necesidades del cliente.
14.7 SNTESIS
Realizar auditoras con cierta frecuencia asegura la integridad de los controles de seguridad aplicados
a los sistemas de informacin. Acciones como el constante cambio en las configuraciones, la
instalacin de parches, actualizacin de los softwares y la adquisicin de nuevo hardware hacen
necesario que los sistemas estn continuamente verificados mediante auditora.
Una auditora se realiza con base a un patrn o conjunto de directrices o buenas practicas sugeridas.
Existen estndares orientados a servir como base para auditoras de informtica. Uno de ellos es
COBIT (Objetivos de Control de la Tecnologas de la Informacin), dentro de los objetivos definidos
como parmetro, se encuentra el "Garantizar la Seguridad de los Sistemas". Adicional a este estndar
podemos encontrar el standard ISO 27002, el cual se conforma como un cdigo internacional de
buenas prcticas de seguridad de la informacin, este puede constituirse como una directriz de
auditora apoyndose de otros estndares de seguridad de la informacin que definen los requisitos
de auditora y sistemas de gestin de seguridad, como lo es el estndar ISO 27001.
PREGUNTAS Y TIPS
Cul es la frecuencia ideal con la que debe practicarse una auditora? Continua
Cmo se denominan las sugerencias plasmadas en el informe final de auditora?
Recomendaciones
Cul es el proyecto que debera ser tenido en cuenta para un testeo metodolgico al
momento de ejecutar un anlisis de seguridad? OSSTMM
Qu tipo de auditora proporciona un mayor grado de objetividad? Auditora Externa
Cmo se denomina al hecho de que una organizacin defina y formalice el nivel de
riesgo residual que asumir? Aceptacin de riesgo
Cmo se denomina al proceso de identificacin y anlisis de riesgos y vulnerabilidades
a los cuales se encuentran sometidos los recursos informticos? Evaluacin de Riesgos
Cmo se conoce al desarrollo que realiz ISACA, tomando como referencia los
modelos de control COSO? COBIT
En qu Ley se contemplan casos tales como "Acceso no autorizado", "Dao a datos
informticos", "Violacin del correo electrnico? Delito Informtico
Qu representa un excelente punto de partida para el auditor? Poltica de Seguridad
Cules de las siguientes son funciones de CAATS? Programas de muestreo, Programas
de verificacin por oposicin, Pruebas de detalle de transacciones, Simulacin paralela
Cules son funciones a realizar por el auditor informtico? Revisar y juzgar los controles
implantados en los circuitos y sistemas informticos, Revisar y juzgar el nivel de eficacia,
utilidad fiabilidad y seguridad de los sistemas utilizados
Cules son tcnicas de documentacin de auditora? Cuestionarios personalizados,
Entrevistas, Organigramas, Diagramas de Flujo
CAPTULO 15
Para qu sirve? Para garantizar la efectividad de las polticas de seguridad y la proteccin tanto de
la informacin como de las tecnologas que facilitan la gestin de esa informacin.
Cul es su finalidad? Cuando una empresa contrata servicios de Informtica forense puede
perseguir objetivos preventivos, anticipndose al posible problema u objetivos correctivos, para una
solucin favorable una vez que la vulneracin y las infracciones ya se han producido.
En conclusin, estamos hablando de la utilizacin de la informtica forense con una finalidad
preventiva, en primer trmino. Como medida preventiva sirve a las empresas para auditar, mediante la
prctica de diversas pruebas tcnicas, que los mecanismos de proteccin instalados y las condiciones
de seguridad aplicadas a los sistemas de informacin son suficientes. Asimismo, permite detectar las
vulnerabilidades de seguridad con el fin de corregirlas. Cuestin que pasa por redactar y elaborar las
oportunas polticas sobre uso de los sistemas de informacin facilitados a los empleados para no
atentar contra el derecho a la intimidad de esas personas.
Por otro lado, cuando la seguridad de la empresa ya ha sido vulnerada, la informtica forense permite
recoger rastros probatorios para averiguar, siguiendo las evidencias electrnicas, el origen del ataque
(si es una vulneracin externa de la seguridad) o las posibles alteraciones, manipulaciones, fugas o
destrucciones de datos a nivel interno de la empresa para determinar las actividades realizadas desde
uno o varios equipos concretos.
Cul es la forma correcta de proceder? Y, por qu? Todo el procedimiento debe hacerse tenido
en cuenta los requerimientos legales para no vulnerar en ningn momento los derechos de terceros
que puedan verse afectados. Ello para que, llegado el caso, las evidencias sean aceptadas por los
tribunales y puedan constituir un elemento de prueba fundamental, si se plantea un litigio, para
alcanzar un resultado favorable.
La informtica forense est adquiriendo una gran importancia dentro del rea de la informacin
electrnica, esto debido al aumento del valor de la informacin y/o al uso que se le da a sta, al
desarrollo de nuevos espacios donde es usada (por Ej. el Internet), y al extenso uso de computadores
por parte de las compaas de negocios tradicionales (por Ej. bancos). Es por esto que cuando se
realiza un crimen, muchas veces la informacin queda almacenada en forma digital. Sin embargo,
existe un gran problema, debido a que los computadores guardan la informacin de forma tal que no
puede ser recolectada o usada como prueba utilizando medios comunes, se deben utilizar
mecanismos diferentes a los tradicionales. Es de aqu que surge el estudio de la computacin forense
como una ciencia relativamente nueva.
Resaltando su carcter cientfico, tiene sus fundamentos en las leyes de la fsica, de la electricidad y
el magnetismo. Es gracias a fenmenos electromagnticos que la informacin se puede almacenar,
leer e incluso recuperar cuando se crea eliminada. La informtica forense, aplicando procedimientos
estrictos y rigurosos puede ayudar a resolver grandes crmenes apoyndose en el mtodo cientfico,
aplicado a la recoleccin, anlisis y validacin de todo tipo de pruebas digitales.
15.1.3 Metodologa
Tal como sucede en el resto de las prcticas, los investigadores forenses a menudo suelen llevar
adelante sus procesos de investigacin siguiendo algn tipo de metodologa ampliamente aceptada
por la comunidad profesional. A continuacin, se describen las principales etapas a menudo asociadas
a una metodologa efectiva de investigacin forense (Identificacin, Adquisicin, Autenticacin,
Anlisis y Presentacin) as como tambin los principales aspectos relacionados con cada una de
ellas:
Identificacin: Durante esta parte de la investigacin, se busca de alguna forma, determinar a nivel
general, la magnitud de la misma, identificando aquellos puntos sobre los cuales se llevara a cabo el
trabajo forense y obteniendo en definitiva un resumen de los pasos a seguir. Entre las tareas propias
de esta etapa se encuentran:
Obtencin en primera instancia del grado de dao causado a nivel general.
Identificacin de el/los equipos de computo involucrados as como sus caractersticas
principales.
Generacin de las tareas a realizar as como el orden de las mismas, teniendo en cuenta el
tipo de incidente y los dispositivos afectados.
Obtencin de las rdenes necesarias para comenzar con las prcticas forenses, teniendo en
cuenta las leyes imperantes en el lugar del incidente, as como las polticas internas de la
compaa.
Adquisicin: Durante esta etapa, el investigador forense tendr la responsabilidad de ejecutar el
Plan de Adquisicin elaborado como parte de su trabajo de Identificacin. Generalmente se conoce
como Adquisicin, al conjunto de acciones concretas que se deben llevar a cabo, a fin de obtener la
evidencia necesaria para el curso de la investigacin. Los procesos involucrados en esta etapa,
pueden ser tan variados como complejos tcnicamente, dependiendo del marco en el que se haya
constituido el incidente y su rea de influencia.
Una de las tareas ms frecuentes, llevada a cabo en esta etapa, es la de Extraccin de Datos, la
cual deber involucrar, todos aquellos dispositivos o componentes (Discos, Memoria RAM, sistemas
de LOGS, etc.) de los cuales se presume podra obtenerse evidencia del incidente.
Estos cuatro fenmenos son explotados por los fabricantes de cabezas grabadoras magnticas, que
leen y escriben datos, para almacenar y recuperar datos en unidades de disco, de cinta y otros
dispositivos de almacenamiento magntico.
Aplicaciones en almacenamiento de datos:
Cabezas de Escritura : Cabezas usadas para escribir bits de informacin en un disco
magntico giratorio, dependen de los fenmenos A y B para producir y controlar campos
magnticos fuertes.
Cabezas de lectura : stas dependen de los fenmenos A, B y C y son sensibles a los campos
magnticos residuales de los medios de almacenamiento magnetizados (D).
Medios de Almacenamiento:(Como discos de computador) Los medios de almacenamiento
magntico son magnetizados de manera permanente en una direccin (Norte o Sur)
determinada por el campo de escritura. Estos medios explotan el fenmeno D.
15.1.9 Escribiendo datos magnticos
Los computadores almacenan datos en un disco giratorio en la forma de dgitos binarios, o bits
transmitidos a la unidad de disco en una secuencia de tiempo correspondiente a los dgitos binarios
(bits) uno y cero. Estos bits son convertidos en una onda de corriente elctrica que es transmitida por
medio de cables al rollo de la cabeza de escritura. En su forma ms simple, un bit uno corresponde a
un cambio en la polaridad de la corriente, mientras que un bit cero corresponde a una ausencia de
cambio en la polaridad de la corriente de escritura. Entonces, un disco en movimiento es magnetizado
en la direccin positiva (Norte) para una corriente positiva y es magnetizado en la direccin negativa
(Sur) para un flujo de corriente negativo. En otras palabras, los unos almacenados aparecen en donde
ocurre una inversin en la direccin magntica en el disco, y los ceros residen entre los unos.
Un reloj de regulacin est sincronizado con la rotacin del disco y existen celdas de bit para cada tick
del reloj; algunas de estas celdas de bits representarn un uno (una inversin en la direccin
magntica, tal como N cambiando a S o S cambiando a N) y otras representarn ceros (polaridad N
constante o S constante). Una vez escritos, los bits en la superficie del disco quedan magnetizados
permanentemente en una direccin o la otra, hasta que nuevos patrones sean escritos sobre los
viejos. Existe un campo magntico relativamente fuerte directamente sobre la localizacin de los unos
y su fuerza se desvanece rpidamente a medida que la cabeza de grabacin se aleja. Un movimiento
significativo en cualquier direccin que se aleje de un uno causa una dramtica prdida en la fuerza
del campo magntico, lo que implica que para detectar bits de datos de manera confiable, es
extremadamente importante que las cabezas de lectura vuelen muy cerca de la superficie del disco
magnetizado.
File Slack: Los archivos son creados en varios tamaos dependiendo de lo que contengan. Los
sistemas basados en DOS, Windows 95/98/ME/XP y Windows NT/2000/2003 almacenan los archivos
en bloques de tamao fijo llamados clusters, en los cuales raramente el tamao de los archivos
coinciden perfectamente con el tamao de uno o muchos clusters.
El espacio de almacenamiento de datos que existe desde el final del archivo hasta el final del cluster
se llama "file slack". Los tamaos de los clusters varan en longitud dependiendo del sistema operativo
involucrado y, en el caso de Windows 95/98/ME/XP, del tamao de la particin lgica implicada. Un
tamao ms grande en los clusters significan ms file slack y tambin mayor prdida de espacio de
almacenamiento. Sin embargo, esta debilidad de la seguridad del computador crea ventajas para el
investigador forense, porque el file slack es una fuente significativa de evidencia y pistas. El file slack,
potencialmente contiene octetos de datos aleatoriamente seleccionados de la memoria del
computador. Esto sucede porque DOS/Windows escribe normalmente en bloques de 512 bytes
llamados sectores. Los clusters estn compuestos por bloques de sectores, si no hay suficientes
datos en el archivo para llenar el ultimo sector del archivo, DOS/Windows diferencia hacia arriba(los
datos) completando el espacio restante con datos que se encuentran en ese momento en la memoria
del sistema.
Archivo Swap de Windows: Los sistemas operativos Microsoft Windows utilizan un archivo especial
como un "cuaderno de apuntes" para escribir datos cuando se necesita memoria de acceso aleatorio
adicional. En Windows 95/98/ME/XP, a estos archivos se les conoce como Archivos Swap de
Windows. En Windows NT/2000 se conocen como directorios de pgina de Windows pero tiene
esencialmente las mismas caractersticas que los de Win9x. Los archivos de intercambio son
potencialmente enormes y la mayora de los usuarios de PC son inconscientes de su existencia. El
tamao de estos archivos puede extenderse desde 20MB a 200MB, el potencial de estos es contener
archivos sobrantes del tratamiento de los procesadores de texto, los mensajes electrnicos, la
actividad en Internet (cookies, etc), logs de entradas a bases de datos y de casi cualquier otro trabajo
que haya ocurrido durante las ltimas sesiones. Todo esto genera un problema de seguridad, porque
el usuario del computador nunca es informado de este almacenamiento transparente. Los Archivos
Swap de Windows actualmente proporcionan a los especialistas en computacin forense pistas con
las cuales investigar, y que no se podran conseguir de otra manera.
Unallocated File Space: Cuando los archivos son borrados o suprimidos en DOS, Win9x,
WinNT/2003, el contenido de los archivos no es verdaderamente borrado. A menos que se utilice
algn software especial que ofrezca un alto grado de seguridad en el proceso de eliminacin, los
datos "borrados", permanecen en un rea llamada espacio de almacenamiento no-asignado
(Unallocated File Space). Igual sucede con el file slack asociado al archivo antes de que ste fuera
borrado. Consecuentemente, siguen existiendo los datos, escondidos pero presentes, y pueden ser
detectados mediante herramientas de software para el anlisis de la computacin forense.
Para sanitizar (degauss) todos los medios de disco, rgidos o flexibles (por ej., diskettes, Bernoulli,
Syquest y unidades de Disco Duro) se deben usar degaussers de Unidad de Disco. Para este tipo de
dispositivos la NSA tiene una nueva categora de degaussers, conocida como Degaussers de
Propsito Especial.
DSS, como todas las agencias del DoD, referencia el Information Systems Security Products and
Services Catalog como gua de sanitizacin de memoria y medios. NSA publica el Information
Systems Security Products and Services Catalog entre sus productos y servicios de seguridad
para sistemas de informacin. La lista de productos degausser (DPL) est dedica a los degaussers
de discos y cintas magnticas. La DPL hace un excelente trabajo identificando los fabricantes de
degaussers y los diferentes tipos de stos.
Eliminacin de Datos en Cds: Los datos de un CD estn almacenados en la parte superior del CD
por medio de una capa reflectiva que es leda por un lser. Los CDs ofrecen buenas alternativas para
almacenar informacin por largos periodos de tiempo, pero puede ser necesario destruirlos. Se
mencionan algunos medios para hacer esto:
Retiro de la lmina reflectiva : Se puede retirar la lmina con algn elemento cortante, sin
embargo se debe destruir la lmina reflectiva, y an as pueden quedar algunos rastros de
datos en el policarbonato.
Cortar en pedazos : Con una cortadora industrial de papel, el CD podra ser destruido, sin
embargo, la lmina reflectiva podra separarse del CD y no ser cortada correctamente.
Destruir el CD por medios qumicos : Una posible alternativa es introducir el CD en Acetona, lo
cual dejara la lmina superior inservible, sin embargo es posible que la lmina de
policarbonato an contenga algunos rastros de informacin.
Destruccin por Incineracin : Probablemente es el mtodo ms rpido y eficiente, pero es
realmente nocivo para el medio ambiente. El humo del policarbonato puede ser perjudicial para
la salud de las personas.
Destruccin por medio de un horno microondas : Introduciendo el CD en un microondas por
unos 3 segundos puede destruir gran parte del CD, sin embargo no todas las partes sern
destruidas. Este mtodo no se recomienda, especialmente porque puede daar el horno
debido a los campos magnticos que usa el horno y que pueden causar un cortocircuito debido
a que el CD contiene metales.
Re-escritura : Para los CDs re-escribibles, es posible volverlos a escribir de tal forma que el
proceso dae los datos. Sin embargo, no se sabe si por mecanismos especiales sea posible
recuperar la informacin.
Rayado Simple : A menos que uno quiera ser realmente precavido, la forma mas fcil de
destruir un CD es rayando la parte superior. La razn por la que se debe rayar la parte superior
es porque es esta la que mantiene los datos. Si es rayada la parte inferior es fcil recuperar la
capa y corregir el problema, utilizando productos comerciales para recuperar CDs.
Hardware: El hardware es uno de los elementos que se deben tener en cuenta a la hora de la
recoleccin de evidencia, debido a que puede ser usado como instrumento, como objetivo del crimen,
o como producto del crimen (por Ej. contrabando o robo), es por eso que se deben tener
consideraciones especiales. Lo primero que se debe preguntar el investigador es qu partes se deben
buscar o investigar.
EnCase: EnCase es un ejemplo de herramientas de este tipo. Desarrollada por Guidance Software
Inc, permite asistir al especialista forense durante el anlisis de un crimen digital. Se escogi mostrar
esta herramienta por tratarse del software lder en el mercado, el producto ms ampliamente difundido
y de mayor uso en el campo del anlisis forense.
Orden de volatilidad
Cuando recolectes la evidencia deberas proceder desde los voltil a lo menos voltil. Aqu hay un
ejemplo de orden de volatilidad para un sistema tpico.
Registros, Cache.
Tabla de ruta. ARP Cache, Tabla de Proceso, Ncleo de estadsticas, memoria
Sistema de Archivo temporarios
Disco
Datos de monitoreo y log's remotos que es relevante al sistema en cuestin
Configuracin fsica, topologa de red.
Medio de Archivos.
Consideraciones privadas
Herramientas necesarias
Deberas tener los programas que necesitas para realizar la recoleccin de evidencia y anlisis
forense en medios de solo lectura (por Ej. Un CD). Deberas tener preparado un set de herramientas
para cada uno de los sistemas operativos que manejes antes de tener que usarlo.
Tu test de herramientas debera incluir lo siguiente:
Un programa para procesos de examen (por Ej. "ps")
Programas para estado de sistemas de examen (por Ej. "showrev", "ifconfig", "netsat", "arp").
Un programa para hacer copias bit-a-bit (por Ej. "dd", "SafeBack").
Programas para generar sumas de control y Firmas (por Ej. "shalsum", a cheksum-enabled
"dd", "safeBack", "pgp").
Programas para generar imgenes esenciales y para examinarlas (por Ej. "goore", "gdb").
Escritura/manuscritos para la recoleccin de evidencia automatizada (por Ej. The Coroner's
toolkit (FAR 1999)
La ciencia forense es metdica y se basa en acciones premeditadas para reunir pruebas y analizarlas.
La tecnologa, en caso de anlisis forense en sistemas informticos, son aplicaciones que hacen un
papel importante en reunir la informacin y pruebas necesarias. La escena del crimen es el ordenador
y la red a la cual ste est conectado. El objetivo de un anlisis forense informtico es realizar un
proceso de bsqueda detallada para reconstruir a travs de todos los medios el log de
acontecimientos que tuvieron lugar desde el momento cuando el sistema estuvo en su estado integro
hasta el momento de deteccin de un acceso no autorizado.
Esa tarea debe ser llevada acabo con mxima cautela, asegurndose que se conserva intacta, a la
mayor medida posible, la informacin contenida en el disco de un sistema comprometido, de forma
similar que los investigadores policiales intentan mantener la escena del crimen intacta, hasta que se
recogen todas las pruebas posibles.
El trabajo de un investigador forense es necesario para ofrecer un punto de partida fundamental para
los investigadores policiales, ofrecindoles pistas slidas, as como pruebas para su uso posterior.
Los ordenadores y las redes pueden verse involucrados en un crimen informtico siendo las
herramientas utilizadas para cometer el crimen, las vctimas del crimen o ser utilizadas para
propsitos incidentales relacionados con el crimen. El Anlisis Forense de Sistemas comprende el
proceso de extraccin, conservacin, identificacin, documentacin, interpretacin y presentacin de
las evidencias digitales de forma que sean legalmente aceptadas en cualquier proceso legal,
proporcionando las tcnicas y principios que facilitan la investigacin del delito.
Linux es un entorno ideal en el cual realizar tareas de anlisis forense pues est dotado de gran
variedad de herramientas que facilitan todas las etapas que se deben llevar a cabo en la realizacin
de un anlisis exhaustivo de un sistema comprometido.
Otra ventaja de GNU/Linux para investigadores forenses es la capacidad del interfaz "loopback", que
permite montar un chero que contiene una imagen del disco (obtenida con dd) dentro del sistema de
cheros de la estacin de anlisis
Los pasos para empezar la investigacin de un incidente son diferentes en cada caso. El investigador
debe tomar decisiones basndose en su experiencia y el "sexto sentido" para llegar al fondo del
asunto. No es necesario seguir pasos determinados, ni su orden es importante a veces.
Puede que algunos pasos bsicos sean ms de lo que hace falta y tambin puede ser que estos sean
insuficientes para solucionar el problema. Los pasos bsicos pueden concluir en localizar todas las
huellas y eventos que se produjeron. Y en supuestos los pasos bsicos no han desvelado la situacin,
se debe recurrir a llevar acabo un anlisis profundo o de-compilacin de las aplicaciones encontradas
durante la bsqueda. Estas aplicaciones pueden ser escritas totalmente desde cero y protegidas, pero
en la mayora de los casos son aplicaciones utilizadas de forma comn, que circulan por la red, estn
o no estn protegidas. Cuando hablamos de proteccin de cheros podemos hablar sobre tcnicas de
confusin, ofuscacin y compresin (Ver apndice A para detalles).
Una vez que el Administrador del sistema tenga sospechas de que su sistema haya sido violado, y
que no existan pruebas que indiquen lo contrario como por ejemplo resultados de chequeos de
integridad realizados por por alguna herramienta como Tripwire o AIDE (Advanced Intrusion Detection
Environment), tiene que considerar que efectivamente el sistema ha sido violado. Desde aqul
momento, es necesario tener mximo cuidado para evitar que se produzca cualquier alteracin de la
"escena del crimen".
Hay varios tipos de pruebas que oculta el sistema, con diferentes niveles de volatilidad, en lugares
como registros del procesador, estructura de datos en la memoria, swap, estructuras de datos de red,
contadores, procesos de usuario en memoria y stacks, cache del le system, el le system y etc.
Ser muy difcil o casi imposible de reunir toda esa informacin en el preciso momento que el intruso
est operando, por lo tanto necesitamos prescindir de ella y reunir aquella informacin, que se recoge
con mayor facilidad antes de llegada de un especialista forense que determinar el mtodo de
entrada, actividad de intrusos, identidad y origen de intrusos, duracin de compromiso, posiblemente
lo bastante para localizarles). En otras palabras Cmo? Qu? Quin? De dnde? Cuando?
La opcin ms fcil es de evitar que las cosas no cambien - cerrar el sistema o suspender su
funcionamiento. Normalmente los sistemas Unix se cierran con el comando shutdown. Eso se hace
para asegurarse que todos los servicios han nalizado de forma limpia, todos los cheros cache y
buffers de sistemas estn usheados y los usuarios estn noticados. Este procedimiento es perfecto
para sistemas intactos, pero en un sistema afectado, esa accin, lo ms seguro que borre alguna
informacin de inters. Hubo casos cuando los intrusos programaban sistemas para eliminar algunos
cheros en la mquina cuando el interfaz de red se deshabilitase ( es decir, cuando el cable de
conexin haya sido desconectado) o cuando el procedimiento de un shutdown normal haya sido
activado.
Para prevenir esas modicaciones del sistema de cheros es mejor sacar el cable de electricidad del
enchufe (S, s, lo has ledo bien). Hay que estar informados que puede ser que alguna informacin en
la memoria o informacin del cache no guardada en el disco puede ser eliminada como estado de red,
procesos ejecutndose en la memoria, accesos a memoria kernel, contenido de registros swap, etc.
Para ello antes de sacar el cable del enchufe puede hacer lo siguiente; ejecutar varios comandos
antes de apagar de forma "bruta" el sistema. Se debe hacerlo en una sesin script.
script -a fichero
Tambin se pueden utilizar algunas herramientas para obtener informacin de utilidad:
last, w, who - Obtener el listado de usuarios actuales en el sistema, logins anteriores, etc.
ls - Obtener el listado largo (ls -lat) de cheros en lugares sospechosos, los home directories,
directorio /dev, directorio /root, etc.
ps - Obtener el listado largo de todos los procesos incluidos aquellos sin ttys (e.g., ps auxwww
y ps elfwww -- aadir ms ags w si el listado se acorta).
lsof - Obtener un listado completo de descriptores de cheros, que puede mostrar algunos
backdoors, sniffers, eggdrop IRC bots, redireccionadores de puertos para VNC, etc.
nd - Identicar todos cheros corrientes, directorios modicados desde la fecha de ltimo
acceso no autorizado, o que pertenecen al usuario desde cuya cuenta se sospecha que fue
originado el ataque. La utilidad "nd" modifica el i-node "last accessed" con el timestamp
actual, entonces no debe utilizar esta utilidad para barrer el sistema de cheros, si todava
quiere saber cuales son los cheros accedidos por el atacante si el sistema de cheros est
montado en modo lectura y escritura.
ltrace, strace, truss (SunOS 5) - Ver ltimos accesos a ficheros de configuracin de "rootkit",
ejemplo: Examinar el fichero /bin/ls trucado.
nc (NetCat) Permite transferir va red la informacin del equipo afectado a otro sistema en el
cual realizar el anlisis. Ej.
En el sistema de anlisis de ejecutar: nc l p puerto > fichero de salida
En el sistema comprometido se ejecutar: cat /etc/passwd | nc maquina de
anlisis puerto -w 2
mount Muestra los sistemas de archivos que se encuentran montados
fdisk muestra las particiones existentes en cada unidad de disco, estn o no montadas en
ese momento
dd Permite crear imgenes (copias bit a bit) de los sistemas de archivos. Ej. dd
if=/dev/fd0 of=/tmp/disco.img
La ejecucin del comando dd if=/dev/zero of=/dev/fd0 permite inicializar
completamente el dispositivo sobre el que se va a almacenar la imagen.
Si no hay seguridad de que las utilidades comunes estn mostrando la verdadera situacin, se debe
utilizar aplicaciones alternativas. Los mdulos de kernel cargables (LKM) o libreras dinmicas,
pueden estar alteradas para proporcionar informacin falsa. En estos casos se debe utilizar binarios
compilados de forma esttica desde un toolkit como Fire Biatchux o descargados de la web de
incident-responce.org.
Se debe cuestionar permanentemente la informacin que el servidor est proporcionando. Sera
aconsejable y mucho ms fcil y seguro si simplemente el disco duro fuese extrado de la mquina
afectada y fuese montado en modo slo lectura en una estacin de anlisis similar al servidor
atacado.
Se debe tambin considerar montar el disco como noexec y nodev para asegurarse que no pueda ser
ejecutada ninguna aplicacin desde el disco duro comprometido y que se ignoren los cheros de
dispositivos en el directorio /dev. Ej. mount -o ro,noexec,nodev /dev/hda1 /t
Si no disponemos de un equipo dedicado para el anlisis, ni decidimos llevarlo por la va ocial, pero
tenemos el inters de conocer los detalles del ataque y el equipo tiene un CD-ROM, existen
herramientas forenses que permiten el estudio post-mortem "en situ". Un buen ejemplo de herramienta
de este tipo es Fire-Biatchux que permite tener de forma instantnea un entorno de anlisis seguro,
proporcionando copias ntegras de todos los binarios necesarios de GNU/Linux y Solaris para llevar
acabo la investigacin.
Autopsy es un frontal Web que permite realizar operaciones de anlisis forense sirviendo como
interfaz grfico del popular juego de herramientas forenses The Sleuth Kit (TSK). TSK es un referente
en el mundo del anlisis forense mediante la lnea de mandatos, y que permite a los investigadores
lanzar auditoras forenses no intrusivas en los sistemas a investigar. Probablemente la mayor
concentracin de uso de TSK la tengamos en dos tipos de anlisis: anlisis genrico de sistemas de
archivos y lneas temporales de ficheros.
TSK tiene una larga historia, ya que emplea el mismo cdigo que The Coroner's Toolkit (TCT), de
Wietse Venema y Dan Farmer, y puede ser empleado en plataformas Linux, Mac OS X, CYGWIN,
OpenBSD, FreeBSD y Solaris. Es posible su instalacin en Windows, aunque es poco frecuente, ya
que la mayora de suites forenses suelen estar disponibles como live CDs de Linux, aprovechando no
slo la abundancia de aplicaciones libres, sino la integracin de las mismas.
Para facilitar la labor de los investigadores, TSK y Autopsy suelen ir de la mano, lo que hace que no
sea necesario invocar constantemente la lnea de comandos cuando queremos inspeccionar una
imagen.
Una vez el disco ha sido sacado de la mquina, debe ser almacenado de forma segura para poder ser
utilizado como prueba a posteriori en un juicio. Si no se almacena de forma correcta, no ser la
primera vez que la investigacin no pueda seguir o las pruebas se declaren nulas por parte de un juez
o jurado por contaminacin o tratamiento indebido.
Es necesario tomar notas de lo que se hace con el disco duro, y a que hora, almacenndolo en una
ubicacin segura como por ejemplo una caja fuerte. Es recomendable que siempre que se trabaje con
el medio original est acompaado por un colega, para que conste a los efectos legales y su
testimonio pueda ser conrmado por alguien con un nivel de conocimientos similar.
Las copias deben ser hechas bit-por-bit, es decir ser necesario hacer imgenes del disco. La
investigacin debe ser llevada sobre una copia y nunca sobre el disco original. Se debe hacer tres
copias del disco duro original. Sobre todas las copias y original se debe llevar acabo una verificacin
criptogrcas - un checksum MD5.
Est analizando el sistema con las herramientas forenses especcas o no, se debe de seguir los
mismos pasos bsicos siempre para prepararse para el anlisis completo del sistema.
En algunos casos es necesario fotograar el equipo afectado antes de mover cualquier detalle
del mismo. Eso puede ser necesario como prueba del incidente en casos que posiblemente
puedan acabar en una sala de juicio. En otros casos ser necesario documentar los detalles
de todos los componentes del sistema como valores ID de los dispositivos SCSI, por ejemplo y
etc.
Empezar haciendo apuntes detallados en el cuaderno. Tener bien detallados apuntes con la
fecha y hora del inicio y n de cualquier trabajo realizado ser muy til durante y al nal del
anlisis. Es importante que todos los hechos pertinentes al caso durante la preparacin,
recuperacin y anlisis de las pruebas sobre un ataque, estn perfectamente documentados.
Estas notas servirn como base para poder desarrollar un informe detallado de incidencia que
se debe preparar una vez terminado el anlisis. Este documento deber servir como una
prueba del incidente o ataque. Siempre que se realiza cualquier apunte al cuaderno, el
asistente debe tener un completo conocimiento y entendimiento de lo que ha sido apuntado.
Haga 3 imgenes del disco duro entero y trabaje con copias, y no con el original! En el peor
caso que tenga que trabajar con el disco original correra el riesgo de hacer una pequea
equivocacin que eliminara las huellas de forma parcial o total. El original debe ser
almacenado en una caja fuerte para estar totalmente seguros que el contenido del dispositivo
no est alterado o eliminado. Para ello generaramos vericaciones de integridad MD5, las
imprimiremos en etiquetas y stas las pegaremos en el original y en las copias. La etiqueta del
original debe contener la fecha y hora de extraccin del disco del sistema comprometido, y la
fecha y hora de almacenamiento del disco en la caja fuerte. Las etiquetas de las 3 copias
deben tener letras de alfabeto griego (como ejemplo).
A la hora de verificar los MD5 del disco y de la/s cintas si al menos un nico byte ha sido
modificado a la hora de realizar la duplicacin o backup, el checksum no coincidir. Eso puede
estar causado por un sector daado en el disco duro o en la cinta, puede que haya hecho una
copia del sistema "vivo" (no montado read-only), o haya hecho la copia de una particin
incorrecta.
The Coroners Toolkit (o el "TCT") es un suite de aplicaciones escritas por Dan Farmer y Wietse
Venema para un curso organizado por IBM sobre un estudio forense de equipos comprometidos.
Las aplicaciones ms importantes del suite son:
grave-robber - Una utilidad para capturar informacin sobre inodes, para luego pueda ser
procesada por el programa mactime del mismo toolkit.
unrm y lazarus - Herramientas para la recuperacin de archivos borrados (logs, RAM, swap,
etc.). Estas aplicaciones identican y recuperan la informacin oculta en los sectores del disco
duro.
mactime - El programa para visualizar los cheros/directorios su timestamp MAC (Modication,
Access, y Change).
De todas esas herramientas, las ms tiles y interesantes son grave-robber y mactime. unrm y lazarus
son buenas si se tiene mucho tiempo y espacio libre en el disco, ya que el programa necesita
identicar informacin en los sectores del disco para recuperar los cheros (logs, fuentes, etc..)
borrados por los intrusos.
La funcin ms bsica de grave-robber es de escanear algunas o todas sistemas de cheros con
funcin stat() para obtener informacin de los inodes. Grave-robber crea en la carpeta /data un
directorio llamado como el nombre del host de la mquina y all almacena los inodes, dentro del
chero body. El programa mactime luego ordena los resultados y los muestra: segn el tiempo, cual
de los tres timestamps corresponde, muestra el tipo de chero, tamao y a quin pertenece junto con
el path.
Desde el listado, podremos sacar algunas conclusiones sobre la actividad que ha ejercido el
intruso/los intrusos durante el tiempo que estuvieron dentro del sistema. Eso puede incluir instalacin
de caballos de Troya, backdoors, sustitucin de cheros legtimos del sistema operativo, descarga de
herramientas, modificacin de las libreras del sistema o instalacin de rpms/debs/pkgs etc. Tambin
podemos ver desde aqu la creacin de directorios ocultos, ejecucin de los comandos de sistema
operativo, compilacin y ejecucin de aplicaciones. Toda esa informacin que nunca se almacena de
forma directa, puede ser extrada de la informacin que da mactime.
15.3 ANLISIS FORENSE EN WINDOWS
Un plan de respuesta a incidentes ayuda a estar preparado y a saber cmo se debe actuar una vez se
haya identificado un ataque. Constituye un punto clave dentro de los planes de seguridad de la
informacin, ya que mientras que la deteccin del incidente es el punto que afecta a la seguridad del
sistema, la respuesta define cmo debe reaccionar el equipo de seguridad para minimizar los daos y
recuperar los sistemas, todo ello garantizando la integridad del conjunto.
El plan de respuesta a incidentes suele dividirse en varias fases, entre las que destacan:
1) respuesta inmediata, para evitar males mayores, como reconfigurar automticamente las
reglas de los cortafuegos o inyectar paquetes de RESET sobre conexiones establecidas
2) investigacin, para recolectar evidencias del ataque que permitan reconstruirlo con la mayor
fidelidad posible
3) recuperacin, para volver a la normalidad en el menor tiempo posible y evitar que el incidente
se repita de nuevo
4) creacin de informes, para documentar los datos sobre los incidentes y que sirvan como base
de conocimiento con posterioridad, para posibles puntos de mejora y como informacin para
todos los integrantes de la organizacin. De manera adicional, se hacen necesarios los
informes por posibles responsabilidades legales que pudieran derivarse.
Suelen distinguirse dos tipos de evidencia. La primera, conocida como voltil, comprende la
informacin que desaparece cuando un sistema informtico pierde la alimentacin elctrica. Por
consiguiente, en esta categora se incluye tanto la memoria RAM , los procesos activos y usuarios
conectados, as como la informacin de la red y aplicaciones a la escucha en todos los puertos en el
momento de la interrupcin. El segundo tipo de evidencia es la de disco, que puede ser capturada sin
necesidad de tener la mquina encendida, simplemente con acceso fsico al disco.
Dada su fragilidad, y que puede perderse con mucha facilidad, este tipo de evidencia es la primera
que debe ser recogida. Por tanto, en la medida de lo posible, la mquina objeto del anlisis no debera
ser apagada o reiniciada hasta que se haya completado el proceso. Si se ha ensayado con
anterioridad o es realizado por un especialista, no debera llevar ms de unos pocos minutos.
La teora seala que la herramienta perfecta para esta tarea no debera apoyarse en absoluto en el
sistema operativo objeto del anlisis, pues ste podra haber sido fcilmente manipulado para
devolver resultados errneos. Sin embargo, a pesar de que tales herramientas existen, como la tarjeta
PCI Tribble, son herramientas hardware, que necesitan estar instaladas en la mquina antes de la
intrusin, ataque o anlisis de la misma. Evidentemente, este escenario slo es factible para
mquinas que procesan informacin especialmente sensible, cuyo hardware puede ser fcilmente
controlado.
En el resto de casos, la inmensa mayora, hay que conformarse con utilizar herramientas software y
limitar el proceso de recoleccin de informacin a los mnimos pasos posibles, con el fin de generar el
menor impacto posible sobre la mquina analizada.
Existen varias distribuciones especializadas en anlisis forense, pero quiz las ms adecuadas sean
Helix, de la empresa e-fense, especializada en anlisis forense (www.e-fense.com) y BackTrack,
orientada tambin a pruebas de intrusin (www.remote-exploit.org/backtrack.html). Ambas son de libre
distribucin y directamente utilizables tanto en entornos Windows como Unix, por lo que slo es
necesario introducir el CD en la unidad y comenzar a trabajar. Se distribuyen en forma de CD
autoarrancable (Live CD), de forma que tambin es posible cargar un Sistema Operativo nuevo,
absolutamente confiable, para realizar la segunda parte del proceso de recogida de evidencias.
Otra opcin, exclusiva para entornos Microsoft, es el kit gratuito Forensic Acquisition Utilities (FAU)
disponible en www.gmgsystemsinc.com/fau. FAU contiene binarios compilados estticamente, de
forma que hagan el mnimo uso posible del sistema, el cual, debe recordarse, ha sido comprometido y
no es fiable.
Generalmente un sistema de archivos tiene directorios que asocian un nombre de archivo a cada
archivo, usualmente conectando el nombre de archivo a un ndice en una tabla de asignacin de
archivos de algn tipo como FAT en sistemas de archivos MS-DOS o los inodos de los sistemas
Unix.
La estructura de directorios suele ser jerrquica, ramificada o "en rbol", aunque en algn caso podra
ser plana. En algunos sistemas de archivos los nombres de archivos son estructurados, con sintaxis
especiales para extensiones de archivos y nmeros de versin. En otros, los nombres de archivos son
simplemente cadenas de texto y los metadatos de cada archivo son alojados separadamente.
En los sistemas de archivos jerrquicos, usualmente, se declara la ubicacin precisa de un archivo
con una cadena de texto llamada "ruta" o path en ingls. La nomenclatura para rutas vara
ligeramente de sistema en sistema, pero mantienen por lo general una misma estructura. Una ruta
viene dada por una sucesin de nombres de directorios y subdirectorios, ordenados jerrquicamente
de izquierda a derecha y separados por algn carcter especial que suele ser una barra ('/') o barra
invertida ('\') y puede terminar en el nombre de un archivo presente en la ltima rama de directorios
especificada.
NTFS (New Technology File System) es un sistema de archivos diseado especficamente para
Windows NT (incluyendo las versiones Windows 2000, Windows 2003, Windows XP y Windows Vista),
con el objetivo de crear un sistema de archivos eficiente, robusto y con seguridad incorporada desde
su base. Tambin admite compresin nativa de ficheros, cifrado (esto ltimo slo a partir de Windows
2000) e incluso transacciones (slo a partir de Windows Vista). Est basado en el sistema de archivos
HPFS de IBM/Microsoft usado en el sistema operativo OS/2, y tambin tiene ciertas influencias del
formato de archivos HFS diseado por Apple.
Todo lo que tiene que ver con los ficheros, se almacena en forma de metadatos. Esto permiti una
fcil ampliacin de caractersticas durante el desarrollo de Windows NT. un ejemplo lo hallamos en la
inclusin de campos de indexado aadidos para posibilitar el funcionamiento de Active Directory.
Los nombres de archivo son almacenados en Unicode (UTF-16), y la estructura de ficheros en
rboles-B, una estructura de datos compleja que acelera el acceso a los ficheros y reduce la
fragmentacin, que era lo ms criticado del sistema FAT.
Se emplea un registro transaccional (journal) para garantizar la integridad del sistema de ficheros
(pero no la de cada archivo). Los sistemas que emplean NTFS han demostrado tener una estabilidad
mejorada, que resultaba un requisito ineludible considerando la naturaleza inestable de las versiones
ms antiguas de Windows NT. Sin embargo, a pesar de lo descrito anteriormente, este sistema de
archivos posee un funcionamiento prcticamente secreto, ya que Microsoft no ha liberado su cdigo
como hizo con FAT.
Gracias a la ingeniera inversa, aplicada sobre el sistema de archivos, se desarroll controladores
como el NTFS-3G que actualmente proveen a sistemas operativos GNU/Linux, Solaris, MacOS X o
BSD, entre otros, de soporte completo de lectura y escritura en particiones NTFS.
El registro de Windows se crea durante la instalacin del sistema operativo. Est formado por seis
apartados, llamados HKEYS (llaves), perfectamente estructurados y donde se guarda importante
informacin de cada aplicacin o dispositivo conectado a nuestro ordenador, adems de todas las
claves de acceso. Los apartado son:
HKEY_LOCAL_MACHINE: Es la llave ms importante, contiene las versiones de los
controladores utilizados por nuestro hardware.
HKEY_LOCAL_MACHINE\SAM Archivos asociados: sam y sam.log
HKEY_LOCAL_MACHINE\SECURITY Archivos asociados: Security y Security.log
HKEY_LOCAL_MACHINE\SOFTWARE Archivos asociados: Software y Software.log
HKEY_LOCAL_MACHINE\SYSTEM Archivos asociados: System y Sistem.log
HKEY_CURRENT_CONFIG: Ms informacin sobre configuracin de hardware, redes y
seguridad. Archivos asociados: System y System.log
HKEY_CLASSES_ROOT: Contiene los tipos de archivos utilizados y su asociacin con cada
programa en concreto, los directorios dnde estn instalados y los comandos de apertura.
HKEY_DYN_DATA: En este apartado se guarda la informacin de los dispositivos plug and
play (los que Windows reconoce e instala) como la tarjeta de sonido, vdeo, ratn o el monitor.
HKEY_USERS: Contiene la informacin de usuario, como el modo en que tenemos
configurado que se presenten las carpetas, los salvapantallas, sonido, etc. Archivos asociados:
Ntuser.dat y Ntuser.dat.log
HKEY_CURRENT_USERS: El mismo tipo de informacin que el anterior pero, guarda las
configuraciones de varios usuarios.
En trminos resumidos, el Visor de eventos es una til herramienta para visualizar los logs del
sistema.
Una vez abierto estos archivos de sistema que referencian al registro de Windows (SECURITY,
SYSTEM, SOFTWARE, SAM, DEFAULT) con alguna de estas aplicaciones, podremos movernos por
sus distintas ramas, y poder as analizar los datos que contienen estos ficheros.
El comando SC me va a permitir conseguir una lista de los servicios que actualmente estn corriendo
en la mquina. Aunque SC posee muchos comandos para poder regular su salida, un comando
resultante vlido podra ser el siguiente:
SC query >ServiceOpen.txt &date /t >>ServiceOpen.txt &time /t
>>ServiceOpen.txt
El tercer paso que vamos a realizar ser la recopilacin de supuestos procesos maliciosos, puertos de
escucha, identificacin de aplicaciones no autorizadas y la finalizacin de procesos legtimos. Para
saber cuantas conexiones tengo abiertas puedo utilizar el comando nativo de Windows netstat.
Utilizar la opcin a para conocer todas las conexiones y puertos de escucha, y la juntar con la
opcin -b para conocer el ejecutable que crea la conexin necesaria para llegar al TCP/IP. El
comando resultante fechado para su posterior anlisis quedara:
netstat ab >Conexiones.txt &date /t >>Conexiones.txt &time /t
Conexiones.txt
Para saber los procesos que tenemos actualmente corriendo en nuestro sistema utilizaremos la
aplicacin nativa de Windows tasklist, o en su defecto pslist (sysinternals). Tambin utilizaremos la
herramienta Fport. Ambas herramientas (tasklist, pslist) permiten realizar esta operacin en local como
en remoto. El comando resultante quedara:
Tasklist >Procesos.txt &date /t >>Procesos.txt &time /t >>Procesos.txt
Tambin vamos a recopilar informacin sobre los servicios que dependen de los procesos que estn
en funcionamiento. Tasklist tambin contempla esta situacin. El comando sera:
Tasklist /SVC >ProcesosYServicios.txt &date /t >>ProcesosYServicios.txt
&time /t >>ProcesosYServicios.txt
Muchas veces cuando en el sistema hay determinados rootkits, virus o troyanos, ste no nos muestra
una salida coherente, de ah a que siempre que podamos utilicemos aplicaciones que sean lo menos
intrusivas en el sistema. Si somos un poco paranoicos en ese tema, para ver los puertos abiertos en
un sistema podemos utilizar la herramienta fport. Por regla general, no nos debemos fiar de un
sistema en el que haya corriendo este tipo de virus. Bsicamente fport nos muestra la misma salida
que si ejecutsemos el comando nativo netstat con el filtro a y n. Tambin puede identificar puertos
desconocidos que estn abiertos, con sus correspondientes procesos y PID. Tambin podramos
recabar informacin sobre los mdulos que cargan estos proceso
Podemos averiguar por ejemplo qu DLL estn asociadas a un determinado proceso.As tendremos
un control ms exhaustivo sobre los procesos. Para recabar esta informacin podemos utilizar la
herramienta de sysinternals ListDLLS.exe. Por ejemplo, si quisisemos averiguar qu DLL dependen
del proceso con PID 1548utilizaramos la siguiente sintaxis:
ListDLLS.exe 1548 >DLL1548.txt &date /t >>DLL1548.txt &time /t>>DLL1548.txt
El cuarto paso que vamos a realizar ser una recopilacin de los ltimos accesos a ficheros,
clasificados por fechas. Esta lista nos servir de referencia a la hora de realizar el anlisis, y
podremos comprobar qu ficheros se modificaron en el da o los das en los que el sistema estuvo
comprometido. Podremos utilizar varias herramientas destinadas a tal fin, pero vamos utilizar slo dos.
En una primera instancia podremos utilizar el comando nativo de Windows DIR, con algunas reglas
para que nos muestre los ficheros modificados conforme a la fecha. Podramos utilizar el siguiente
comando:
DIR /t: a /a /s /o: d c:\ >Directory.txt &date /t >>Directory.txt &time /t
>>Directory.txt
/t:a Nos muestra el campo del ltimo acceso (Fecha)
/a Muestra todos los ficheros
/s Muestra todos los archivos del directorio especificado, incluidos los subdirectorios
/o Lista los archivos indicados
d Muestra los ms antiguos primero (Por fecha y hora)
En varias ocasiones esta lista puede ser largusima y el fichero puede ocuparnos unos cuantos
megas. La herramienta que vamos a describir a continuacin puede ayudarnos a buscar archivos en
fechas concretas. La herramienta en s se llama MacMatch.exe. sta herramienta bsicamente
buscar ficheros modificados en un intervalo de tiempo, que lgicamente se lo daremos nosotros.
En prrafos anteriores, hemos podido comprobar cmo funciona el archivo de registro de Windows, y
cmo podemos sacar informacin de ellos. Para auditar los sucesos relativos a los inicios de sesin,
el archivo de seguridad del visor de sucesos nos mostrar todos los sucesos auditados, como inicios
de sesin fallidos, inicios de sesin correctos, alguna operacin con privilegios, etc. Si tuvisemos
que mirar uno a uno todos esos sucesos en un entorno de produccin, prcticamente nos sera casi
imposible de terminar, debido a la longitud del fichero. Aqu es donde acta la herramienta NtLast.
Por medio de esta herramienta podremos averiguar de forma sencilla todos y cada uno de los sucesos
del sistema.
Los administradores de sistemas pasan mucho tiempo con los entornos de red y estn muy
familiarizados con las redes. Documentan los entornos y crean copias de seguridad. Debe existir un
proceso de auditora ya implementado para supervisar el rendimiento y la utilizacin. Debe haberse
alcanzado cierto nivel de conciencia antes de implementar un equipo de respuesta a incidentes. Por
ms detalles que se conozcan del entorno de red, el riesgo de ataques persiste. Toda estrategia de
seguridad sensata debe incluir detalles sobre la forma de responder a diferentes tipos de ataque.
En la mayora de los mbitos de la vida, es mejor prevenir que curar, y la seguridad no es una
excepcin. Siempre que sea posible, se desear evitar que, en primer lugar, se produzcan incidentes
de seguridad. No obstante, resulta imposible evitar todos los incidentes de seguridad. Cuando se
produce un incidente de seguridad, se debe garantizar que se minimice su repercusin. Para
minimizar la cantidad y repercusin de los incidentes de seguridad, debe seguir estas pautas:
Establecer claramente y poner en prctica todas las directivas y procedimientos. Muchos
incidentes de seguridad estn provocados accidentalmente por el personal de TI, que no ha
seguido o no ha entendido los procedimientos de administracin de cambios, o bien no ha
configurado correctamente los dispositivos de seguridad, como pueden ser los firewall o los
sistemas de autenticacin. Las directivas y los procedimientos se deben probar
exhaustivamente para garantizar que son prcticos y claros, y que ofrecen el nivel de
seguridad apropiado.
Obtener compatibilidad administrativa para las directivas de seguridad y el control de
incidentes.
Evaluar de forma regular las vulnerabilidades del entorno. Las evaluaciones deben ser
realizadas por un experto en seguridad con la autoridad necesaria (con derechos de
administrador de los sistemas) para llevar a cabo estas acciones.
Comprobar con regularidad todos los sistemas y dispositivos de red para garantizar que tienen
instaladas las revisiones ms recientes.
Establecer programas de formacin sobre la seguridad tanto para el personal de TI como para
los usuarios finales. La mayor vulnerabilidad de cualquier sistema es el usuario carente de
experiencia. El gusano ILOVEYOU aprovech de forma eficaz esa vulnerabilidad entre el
personal de TI y los usuarios finales.
Se deben enviar pancartas de seguridad que recuerden a los usuarios sus responsabilidades y
restricciones, junto con la advertencia de que se pueden emprender acciones legales en caso
de infraccin. Estas pancartas facilitan el hecho de reunir pruebas y procesar a los atacantes.
Se debe buscar asesoramiento legal para asegurarse de que la redaccin de las pancartas de
seguridad es apropiada.
Desarrollar, implementar y poner en prctica una directiva que requiera contraseas seguras.
Para obtener ms informacin sobre contraseas, consulte el apartado "Aplicacin del uso de
contraseas seguras en las organizaciones" del kit de orientaciones sobre seguridad.
Supervisar y analizar con regularidad el trfico de red y el rendimiento del sistema.
Comprobar con regularidad todos los registros y mecanismos de registro, incluidos los
registros de eventos del sistema operativo, los registros especficos de aplicacin y los
registros de sistema de deteccin de intrusiones.
Comprobar los procedimientos de restauracin y copia de seguridad. Debe saber dnde se
almacenan las copias de seguridad, quin tiene acceso a ellas y los procedimientos para la
restauracin de datos y la recuperacin del sistema. Asegrese de que las copias de seguridad
y los medios se comprueban con regularidad mediante la restauracin selectiva de datos.
Crear un CSIRT para abordar los incidentes de seguridad. Para obtener ms informacin sobre
los CSIRT, consulte la siguiente seccin de este documento.
El CSIRT es crucial para tratar con los incidentes de seguridad del entorno. El equipo debe estar
formado por un grupo de personas responsables de abordar los incidentes de seguridad. Los
miembros del equipo deben haber definido claramente sus tareas para asegurar que no quede ningn
rea de la respuesta sin cubrir. El hecho de reunir un equipo antes de que se produzca cualquier
incidente es muy importante para la organizacin e influir positivamente en la manera de tratar los
incidentes. Un equipo adecuado realizar las siguientes tareas:
Supervisar los sistemas en busca de infracciones de seguridad.
Servir como punto central de comunicacin, tanto para recibir los informes de incidentes de
seguridad, como para difundir informacin esencial sobre los incidentes a las entidades
correspondientes.
Documentar y catalogar los incidentes de seguridad.
Aumentar el nivel de conciencia con respecto a la seguridad dentro de la compaa para
ayudar a evitar que se den incidentes en la organizacin.
Posibilitar la auditora de sistemas y redes mediante procesos como la evaluacin de
vulnerabilidades y pruebas de penetracin.
Obtener ms informacin sobre las nuevas vulnerabilidades y estrategias de ataque
empleadas por los atacantes.
Investigar acerca de nuevas revisiones de software.
Analizar y desarrollar nuevas tecnologas para minimizar los riesgos y vulnerabilidades de
seguridad.
Ofrecer servicios de consultora sobre seguridad.
Perfeccionar y actualizar continuamente los sistemas y procedimientos actuales.
Al crear un CSIRT, debe preparar al equipo para tratar con los incidentes. Para preparar al equipo,
debe seguir estas pautas:
Formarlos en el uso adecuado y la ubicacin de las herramientas de seguridad crticas.
Tambin ha de estudiar el hecho de facilitarles equipos porttiles preconfigurados con estas
herramientas para asegurar que no se malgasta tiempo en la instalacin y configuracin de las
herramientas, de modo que puedan responder a los incidentes. Estos sistemas y las
herramientas asociadas deben estar protegidos adecuadamente cuando no se usen.
Reunir toda la informacin de comunicacin pertinente. Debe asegurarse de que cuenta con
los nombres y nmeros de telfono de contacto de las personas de la organizacin a las haya
que avisar (incluidos los miembros del CSIRT, los responsables de mantener todos los
sistemas y los encargados de las relaciones con los medios). Tambin necesita los detalles del
proveedor de servicios de Internet (ISP) y las autoridades locales y nacionales. Hable con la
asesora legal para contactar con las autoridades locales pertinentes antes de que se produzca
un incidente. Esto le ayudar a asegurarse de que entiende los procedimientos apropiados
para comunicar los incidentes y reunir pruebas. Debe informar a la asesora legal de cualquier
contacto con las autoridades.
Colocar toda la informacin del sistema de emergencia en una ubicacin central y sin
conexin, como una carpeta fsica o un equipo sin conexin. Esta informacin de emergencia
incluye las contraseas de los sistemas, las direcciones IP, la informacin sobre la
configuracin de los enrutadores, las listas de conjuntos de reglas del firewall, copias de las
claves de entidad emisora de certificados, los nombres y nmeros de telfono de contacto, los
procedimientos de extensin, etc. Esta informacin debe estar disponible con facilidad y se
debe mantener en un lugar seguro. Un mtodo para proteger y hacer esta informacin
fcilmente disponible consiste en cifrarla en un equipo porttil de seguridad dedicado,
guardado en una caja fuerte con acceso limitado a ciertos individuos, como el coordinador del
CSIRT, o el director del departamento informtico o tecnolgico.
La pertenencia y estructura ideal del CSIRT depende del tipo de organizacin y de la estrategia de
administracin de riesgos. No obstante, como regla general, el CSIRT debe pertenecer en parte o
totalmente al equipo de seguridad de la organizacin. El equipo principal est compuesto por
profesionales responsables de coordinar una respuesta a cualquier incidente. El nmero de miembros
del CSIRT depender normalmente del tamao y la complejidad de la organizacin. No obstante, debe
asegurarse de que cuenta con suficientes miembros para cubrir adecuadamente todas las tareas del
equipo en cualquier momento.
Establecimiento de las funciones en el equipo
Coordinador de equipo del CSIRT. El CSIRT debe tener a alguien a cargo de sus actividades.
Generalmente, el coordinador de equipo del CSIRT ser responsable de las actividades del CSIRT y
coordinar las revisiones de sus acciones. Esto quizs acarree cambios en las directivas y
procedimientos para el control de futuros incidentes.
Coordinador de incidentes del CSIRT. En caso de que se produzca un incidente, se debe designar un
individuo responsable de coordinar la respuesta. El coordinador de incidentes del CSIRT es
propietario del incidente o del conjunto de incidentes de seguridad relacionados. Toda comunicacin
acerca del evento se coordina a travs del coordinador de incidentes: al hablar con cualquiera que no
pertenezca al CSIRT, representar a todo el equipo. El coordinador de incidentes puede variar segn
la naturaleza del incidente y, a menudo, no se trata del coordinador de equipo del CSIRT.
Miembros asociados al CSIRT. Aparte del equipo del CSIRT principal, se debe contar con varias
personas concretas que traten y respondan a incidentes concretos. Los miembros asociados
provienen de varios departamentos diferentes de la organizacin. Deben especializarse en reas
afectadas por incidentes de seguridad que el CSIRT principal no trata directamente. Los miembros
asociados pueden implicarse directamente en un incidente o servir de punto de entrada para delegar
la responsabilidad a alguien ms apropiado dentro de su departamento. En la siguiente tabla se
muestran algunas sugerencias con respecto a los miembros asociados y sus funciones.
Todos los miembros del entorno de TI deben saber cmo actuar en caso de incidente. El CSIRT
realizar la mayora de las acciones en respuesta a un incidente, pero todo el personal de TI debe
saber cmo informar de incidentes internamente. Los usuarios finales deben informar de cualquier
actividad sospechosa al personal de TI directamente o a travs de un personal de asistencia, no
directamente al CSIRT. Cada miembro del equipo debe revisar el plan de respuesta a incidentes
detalladamente. El hecho de que el plan sea fcilmente accesible para todo el personal de TI ayudar
a garantizar que, cuando se produzca un incidente, se seguirn los procedimientos correctos.
Para elaborar un plan satisfactorio de respuesta a incidentes se deben seguir estos pasos:
Realizar una evaluacin inicial.
Comunicar el incidente.
Contener el dao y minimizar el riesgo.
Identificar el tipo y la gravedad del ataque.
Proteger las pruebas.
Notificar a los organismos externos, si corresponde.
Recuperar los sistemas.
Compilar y organizar la documentacin del incidente.
Valorar los daos y costos del incidente.
Revisar las directivas de respuesta y actualizacin.
Estos pasos no son puramente secuenciales, sino que se suceden a lo largo del incidente. Por
ejemplo, la documentacin comienza al principio y contina durante todo el ciclo de vida del incidente;
las comunicaciones tambin se producen durante todo el incidente.
Algunos aspectos del proceso se desarrollan junto a otros. Por ejemplo, como parte de la evaluacin
inicial, se har una idea de la naturaleza general del ataque. Es importante usar esta informacin para
contener el dao y minimizar el riesgo tan pronto como sea posible. Si acta con rapidez, podr
ahorrar tiempo y dinero, y salvar la reputacin de la organizacin.
No obstante, hasta que conozca mejor el tipo y la gravedad del ataque, no podr contener el dao ni
minimizar el riesgo de forma realmente efectiva. Una respuesta excesiva podra causar an ms dao
que el ataque inicial. Al llevar a cabo estos pasos de manera conjunta, obtendr la mejor unin entre
acciones rpidas y efectivas.
Muchas actividades podran indicar un posible ataque a su organizacin. Por ejemplo, cuando un
administrador de red realiza labores de mantenimiento del sistema, puede parecer que alguien est
iniciando alguna forma de ataque. En otros casos, un sistema mal configurado puede llevar a varios
falsos positivos en el sistema de deteccin de intrusiones, lo que dificulta la identificacin de los
verdaderos incidentes.
Cuando sospeche que hay un incidente de seguridad, debe comunicar rpidamente la infraccin al
resto del CSIRT principal. El coordinador de incidentes, junto con el resto del equipo, debe identificar
rpidamente con quin debe contactar fuera del CSIRT principal. As se garantiza que se puede
mantener un control y una coordinacin de incidentes adecuada, al tiempo que se minimizan los
daos. Tenga en cuenta que los daos pueden producirse de muchas formas y que un titular en el
peridico que describa una infraccin de seguridad puede ser mucho ms destructivo que muchas
intrusiones en el sistema. Por este motivo y para evitar que los atacantes estn avisados, slo se
debe informar a aquellos implicados en la respuesta a incidentes hasta que el incidente est
totalmente controlado. Basndose en cada situacin concreta, el equipo determinar a quin se debe
informar acerca del incidente. Podra tratarse de cualquiera, desde personas concretas hasta toda la
compaa y los clientes externos. La comunicacin externa debe estar coordinada con el
representante legal.
Al actuar rpidamente para reducir los efectos reales y potenciales de un ataque, puede marcar la
diferencia entre un ataque de menor o mayor importancia. La respuesta exacta depender de la
organizacin y de la naturaleza del ataque al que se enfrente. No obstante, se sugieren las siguientes
prioridades como punto de partida:
1. Proteger la vida humana y la seguridad de las personas. Por supuesto, esta debe ser siempre
la mxima prioridad.
2. Proteger la informacin secreta y confidencial. Como parte de su plan de respuesta a
incidentes, debe definir claramente qu informacin es secreta o confidencial. Esto le permitir
establecer prioridades a sus respuestas de proteccin de datos.
3. Proteger otra informacin, como datos cientficos, sobre propiedad o del mbito directivo.
Puede que otra informacin de su entorno tambin sea valiosa. Debe proteger en primer lugar
los datos ms valiosos antes de pasar a otros menos tiles.
4. Proteger el hardware y software contra el ataque. Esto incluye protegerlos contra la prdida o
la modificacin de los archivos de sistema y contra daos fsicos al hardware. Los daos en los
sistemas pueden tener como consecuencia un costoso tiempo de inactividad.
5. Minimizar la interrupcin de los recursos informticos (incluidos los procesos). Aunque el
tiempo de produccin sea muy importante en la mayora de los entornos, el hecho de mantener
los sistemas en funcionamiento durante un ataque puede tener como consecuencia problemas
ms graves en el futuro. Por este motivo, la minimizacin de la interrupcin de los recursos
informticos debe ser generalmente una prioridad relativamente baja.
Existen varias medidas que se pueden tomar para contener el dao y minimizar el riesgo en el
entorno. Como mnimo, debe llevar a cabo las siguientes acciones:
Intentar evitar que los atacantes sepan que conoce sus actividades. Puede resultar difcil,
porque algunas respuestas esenciales pueden alertar a los atacantes. Por ejemplo, si hay una
reunin de emergencia del CSIRT o solicita un cambio inmediato de todas las contraseas,
algn atacante interno puede saber que est al corriente de un incidente.
Comparar el costo de dejar sin conexin los sistemas en peligro y los sistemas relacionados
con el riesgo de continuar funcionando. En la inmensa mayora de los casos, debe desconectar
el sistema de la red inmediatamente. No obstante, puede tener contratos de servicio en
funcionamiento que requieran que los sistemas estn disponibles, incluso con la posibilidad de
sufrir daos adicionales. En estas circunstancias, puede decidir mantener un sistema
conectado con conectividad limitada para reunir pruebas adicionales durante un ataque en
proceso. A veces, el dao y el alcance de un incidente pueden ser tan extensos que tenga que
tomar medidas que apelen a las clusulas penales especificadas en sus contratos de nivel de
servicio. En todo caso, es muy importante que las acciones que lleve a cabo en caso de
incidente se traten de antemano y se describan en el plan de respuesta para que se puedan
tomar medidas inmediatas cuando ocurra un ataque.
Determinar los puntos de acceso usados por el atacante e implementar las medidas
adecuadas para evitar futuros accesos. Las medidas pueden incluir la deshabilitacin de un
mdem, la adicin de entradas de control de acceso en un enrutador o firewall, o el aumento
de las medidas de seguridad fsicas.
Considere la opcin de volver a crear un sistema con discos duros nuevos (se deben eliminar
los discos duros existentes y almacenarlos, ya que se pueden usar como prueba si decide
procesar a los atacantes). Asegrese de que cambia las contraseas locales. Tambin debera
cambiar las contraseas de las cuentas de servicio y administrativas en todo el entorno.
Para poder recuperarse de forma eficaz de un ataque, debe determinar la gravedad de la situacin de
peligro que han sufrido los sistemas. Esto determinar cmo contener y minimizar el riesgo, cmo
recuperarse de l, en qu momento y a quin comunicar el incidente, y si se debe intentar obtener una
indemnizacin legal.
Debe intentar:
Determinar la naturaleza del ataque (puede ser diferente a lo que sugiere la evaluacin inicial).
Determinar el punto de origen del ataque.
Determinar la intencin del ataque. Estaba el ataque dirigido especficamente a su
organizacin para conseguir informacin concreta o fue un ataque aleatorio?
Identificar los sistemas puestos en peligro.
Identificar los archivos a los que se ha tenido acceso y determinar su grado de
confidencialidad.
Al realizar estas acciones, podr determinar las respuestas apropiadas para su entorno. Un buen plan
de respuesta a incidentes resumir los procedimientos especficos que ha de seguir hasta obtener
ms informacin sobre el ataque. Generalmente, la naturaleza de los sntomas del ataque determinar
el orden en el que deber seguir los procedimientos definidos en el plan. Ya que el tiempo es de suma
importancia, los procedimientos que requieran menos tiempo tendrn prioridad ante los que consuman
ms tiempo. Para ayudar a determinar la gravedad del ataque, debe llevar a cabo estas acciones:
Ponerse en contacto con otros miembros del equipo de respuesta para informarles de sus
conclusiones, hacer que comprueben sus resultados, determinar si estn al corriente de
actividades relacionadas o ataques potenciales, y ayudar a determinar si el incidente es un
falso positivo. A veces, lo que quizs parezca ser un incidente verdadero en la evaluacin
inicial, resultar un falso positivo.
Determinar si se ha usado hardware no autorizado en la red o si hay signos de acceso no
autorizado a travs de controles de seguridad fsicos puestos en peligro.
Examinar los grupos clave (administradores de dominio, administradores, etc.) en busca de
entradas no autorizadas.
Buscar software de evaluacin o de deteccin de vulnerabilidades de seguridad. A menudo, se
pueden encontrar utilidades de violacin en los sistemas en peligro durante la recopilacin de
pruebas.
Buscar procesos o aplicaciones no autorizados en ejecucin o configurados para ejecutarse
usando las carpetas de inicio o las entradas del Registro.
Buscar espacios en blanco, o la ausencia de los mismos, en los registros del sistema.
Revisar los registros del sistema de deteccin de intrusiones en busca de signos de intrusin,
qu sistemas pueden estar afectados, los mtodos de ataque, el tiempo y la duracin del
ataque, as como el grado de los posibles daos.
Examinar otros archivos de registro en busca de conexiones inusuales, auditoras de
seguridad correctas no habituales, inicio de sesin fallidos, intentos de inicio de sesin en
cuentas predeterminadas, actividad fuera del horario laboral, cambios de permisos en los
archivos, directorios y recursos compartidos, y permisos de usuario elevados o cambiados.
Comparar los sistemas con comprobaciones de integridad del sistema y los archivos realizadas
con anterioridad. Esto le permite identificar las adiciones, supresiones, modificaciones y
modificaciones del permiso y control realizadas en el sistema de archivos y el Registro. Puede
ahorrar mucho tiempo al responder a los incidentes si identifica exactamente qu ha sufrido
peligro y qu reas hay que recuperar.
Buscar datos confidenciales, como los nmeros de tarjeta de crdito y empleado o los datos
del cliente, que se puedan haber cambiado de ubicacin o escondido para modificarlos o
recuperarlos en el futuro. Puede que tambin deba comprobar si en los sistemas hay
informacin no empresarial, copias ilegales de software y mensajes de correo electrnico u
otros registros que puedan ayudar en una investigacin. Si existe la posibilidad de infringir la
privacidad u otras leyes al buscar en un sistema durante la investigacin, debe contactar con
su asesora jurdica antes de continuar.
Comparar el rendimiento de los sistemas sospechosos con sus niveles de rendimiento de lnea
de base. Por supuesto, se presupone que las lneas de base se han creado y actualizado
adecuadamente.
Al determinar qu sistemas se han puesto en peligro y cmo, generalmente comparar los sistemas
con una lnea de base registrada con anterioridad del mismo sistema antes de sufrir estos ataques. El
hecho de asumir que una instantnea reciente del sistema es suficiente para la comparacin puede
ponerle en una situacin difcil si la instantnea anterior proviene de un sistema que ya ha sido
atacado. En entornos Windows las herramientas como EventCombMT, DumpEL y Microsoft
Operations Manager (MOM) pueden ayudarle a determinar el nivel de ataques que ha sufrido un
sistema. Los sistemas de deteccin de intrusiones de terceros avisan de los ataques de antemano y
otras herramientas muestran los cambios en los archivos de los sistemas.
En muchos casos, si el entorno ha sufrido un ataque intencionado, puede que desee poner una
denuncia contra los autores. Para conservar esta opcin, debe reunir pruebas que se puedan usar
contra ellos, incluso si finalmente se decide no llevar a cabo tal accin. Es muy importante realizar
copias de seguridad de los sistemas en peligro tan pronto como sea posible. Realice copias de
seguridad de los sistemas antes de realizar cualquier accin que pueda afectar a la integridad de los
datos en los medios originales.
Alguien cualificado en el anlisis forense informtico debe hacer al menos dos copias de seguridad
completas bit a bit del sistema entero con medios totalmente nuevos. Al menos se debe realizar una
copia de seguridad en un medio que admita una sola escritura pero mltiples lecturas, como CD-R o
DVD-R. Esta copia de seguridad se debe usar slo para propsitos legales y se debe proteger en
lugar seguro hasta que se necesite.
La otra copia de seguridad se puede usar para la recuperacin de datos. No se debe tener acceso a
estas copias de seguridad a menos que sea con propsitos legales, de modo que se deben proteger
fsicamente. Asimismo, necesitar documentar la informacin acerca de las copias de seguridad:
quin realiz las copias de seguridad de los sistemas, cundo, cmo se protegieron y quin tena
acceso a ellas.
Una vez que se hayan realizado las copias de seguridad, debe eliminar los discos duros originales y
almacenarlos en una ubicacin fsicamente segura. Estos discos se pueden usar como prueba forense
en un juicio. Los discos duros nuevos se deben usar para restaurar el sistema.
En ocasiones, la ventaja de conservar los datos puede que no iguale a los costos de retrasar la
respuesta y la recuperacin del sistema. Los costos y las ventajas de conservar los datos se deben
comparar con los de una recuperacin ms rpida para cada evento.
Para sistemas muy grandes, puede que no sea posible realizar copias completas de todos los
sistemas en peligro. En lugar de esta operacin, debe realizar copias de seguridad de todos los
registros y de las partes seleccionadas y violadas del sistema.
Si es posible, realice tambin copias de seguridad de los datos de estado del sistema. Pueden pasar
meses o aos hasta que se celebre un juicio, de modo que es importante tener archivados todos los
detalles del incidente para su uso en el futuro.
A menudo, el aspecto legal ms difcil de procesar un crimen informtico es reunir pruebas de forma
que se adapten a las leyes de presentacin de pruebas de la jurisdiccin en cuestin. De ah que el
componente ms importante del proceso forense sea la documentacin detallada y completa sobre
cmo se procedi con los sistemas, quin y cmo lo hizo, para aportar pruebas confiables. Firme y
ponga fecha a cada pgina de la documentacin.
Una vez que cuente con copias de seguridad comprobadas y funcionales, puede borrar los sistemas
infectados y volverlos a crear. Esto le permitir empezar a trabajar de nuevo. Las copias de seguridad
ofrecen la prueba crtica y definitiva necesaria para emprender acciones legales. Se debe usar una
copia de seguridad distinta a la forense para restaurar los datos.
Despus de contener el incidente y reunir los datos necesarios para un posible juicio, debe plantearse
si debe comunicrselo a los organismos externos adecuados. Toda comunicacin externa se debe
coordinar con el representante legal. Entre los organismos a los que puede acudir se encuentran los
siguientes: autoridades competentes locales y nacionales, organismos externos de seguridad y
expertos en virus. Los organismos externos pueden ofrecer ayuda tcnica, una resolucin ms rpida
e informacin derivada de incidentes similares para ayudarle a recuperarse completamente del
incidente y evitar que se vuelva a producir en el futuro.
En sectores y tipos de infracciones concretos, quizs tenga que notificar la situacin a los clientes y al
pblico general, especialmente si los clientes pueden verse directamente afectados por el incidente.
Si el evento caus una repercusin financiera considerable, puede que desee informar del incidente a
las autoridades competentes.
Para compaas e incidentes de un perfil superior, puede que los medios de comunicacin se vean
implicados. La atencin de los medios a un incidente de seguridad no suele ser deseable, pero a
menudo resulta inevitable. La atencin de los medios puede permitir a su organizacin tomar una
postura proactiva en la comunicacin del incidente. Como mnimo, los procedimientos de respuesta a
incidentes deben definir claramente a los individuos autorizados a hablar con los representantes de
los medios.
Normalmente, el departamento de relaciones pblicas de la organizacin hablar con los medios. No
debe intentar negar a los medios que se ha producido un incidente, porque hacerlo probablemente
daar su reputacin ms que la admisin proactiva y las respuestas visibles. Esto no significa que
deba notificar a los medios cada incidente independientemente de su naturaleza o gravedad. Debe
valorar la respuesta apropiada a los medios segn el caso.
Al determinar los daos que sufre la organizacin, debe considerar tanto los costos directos como los
indirectos. El dao y los costos del incidente constituirn una prueba importante y necesaria si decide
emprender acciones legales. Entre ellos, se pueden contar los siguientes:
Costos debidos a la prdida de la ventaja competitiva por la divulgacin de informacin
confidencial o de propietario.
Costos legales.
Costos laborales por el anlisis de las infracciones, la reinstalacin del software y la
recuperacin de datos.
Costos relacionados con el tiempo de inactividad del sistema (por ejemplo, productividad de
los empleados perdida, ventas perdidas, sustitucin del hardware, del software y de otras
propiedades).
Costos relacionados con la reparacin y posible actualizacin de las medidas de seguridad
fsicas daadas o ineficaces (cierres, paredes, cajas, etc.).
Otros daos derivados, como la prdida de la reputacin o de la confianza del cliente.
Una vez que se hayan finalizado las fases de documentacin y recuperacin, debe revisar el proceso
minuciosamente. Determine con su equipo qu pasos se siguieron correctamente y qu errores se
cometieron. En casi todos los casos, descubrir que debe modificar algunos procesos para controlar
mejor futuros incidentes.
Encontrar debilidades en su plan de respuesta a incidentes. Este anlisis posterior tiene como
objetivo encontrar oportunidades de mejora, que iniciarn un nuevo proceso de planificacin de la
respuesta a incidentes.
CAPTULO 16
Ante todo Linux es un sistema multiusuario real. Puede haber varios usuarios distintos trabajando a la
vez cada uno desde su terminal. El sistema tiene la obligacin de proteger a unos usuarios frente a
otros y protegerse a s mismo. Linux es una excelente estacin de trabajo aislada, pero lo habitual es
que cada mquina linux est conectada a una red y adems est prestando servicios de red. El
sistema tiene la obligacin de garantizar los servicios que presta.
Adems, con la generalizacin de las conexiones con Internet y el rpido desarrollo del software, la
seguridad se est convirtiendo en una cuestin cada vez ms importante. Ahora, la seguridad es un
requisito bsico, ya que la red global es insegura por definicin. Mientras sus datos estn
almacenados en un soporte informtico, mientras sus datos vayan desde un sistema X a otro sistema
Y a travs de un medio fsico, Internet, por ejemplo, puede pasar por ciertos puntos durante el camino
proporcionando a otros usuarios la posibilidad de interceptarlos, e incluso alterar la informacin
contenida. Incluso algn usuario de su sistema puede modificar datos de forma maliciosa para hacer
algo que nos pueda resultar perjudicial. Con el acceso masivo y barato a Internet se han reducido
notablemente los costes de un atacante para asaltar un sistema en red, a la vez que ha aumentado
paralelamente el nmero de potenciales atacantes. Resumiendo, a nadie le gustara que
desconocidos abran su correo privado, que miren en sus cajones, que se hagan copias de las llaves
de su escritorio o de la tarjeta de crdito. Pues todo esto es aplicable en la misma medida a las redes
telemticas.
Primero, tenga en cuenta que ningn sistema es "completamente" seguro. El nico sistema seguro es
aquel que no est conectado en red, que est apagado y encerrado bajo llave.
Desde esta perspectiva, partimos de que todo lo nico que puede hacer es aumentar la dificultad para
que alguien pueda comprometer la seguridad de su sistema. Tampoco todos los usuarios tienen las
mismas necesidades de seguridad en sus entornos. Por ejemplo, los usuarios domsticos de Linux,
no necesitan demasiado trabajo para mantener alejados a los crackers ocasionales, mientras que para
los usuarios muy especializados de Linux, como por ejemplo servidores de Internet, bancos,
compaas de telecomunicaciones, etc., se necesita un trabajo mucho ms detallado para garantizar
la seguridad en los trminos previstos.
Tambin tenemos que tener en cuenta que existe una relacin inversa entre seguridad y funcionalidad.
Tiene que decidir dnde est el equilibrio entre la facilidad de uso de su sistema y su seguridad. Por
ejemplo, puede necesitar que cualquiera que llame por el mdem a su sistema, y nuestro mdem
tenga que devolver la llamada a su nmero de casa. Este mecanismo garantiza un mayor nivel de
seguridad, pero si alguien no est en casa, le hace ms difcil conectarse. Otra forma de aumentar la
seguridad sera no tener conexin con Internet, pero seguro que no es eso lo que queremos.
Tambin existe una relacin inversa entre el nivel de seguridad y el nmero de servicios distintos que
presta un sistema. Cada servicio prestado por un sistema puede ser susceptible de ser utilizado
contra el propio equipo servidor, como puede ser el caso de bloqueos intencionados, conocidos como
ataque de denegacin de servicio (DoS). Pero un sistema servidor que no presta servicios es menos
servidor.
En el caso de administrar un instalacin mediana o grande conviene establecer una "Poltica de
Seguridad" que fije el nivel de seguridad que requiere ese sitio y que sistema de comprobacin se
realiza. Puede encontrar un ejemplo muy conocido de poltica de seguridad en el RFC 2196.
Como probablemente sabr, las fuentes del ncleo de linux son abiertas. Cualquiera puede
obtenerlas, analizarlas y modificarlas. El modelo de desarrollo abierto, que siguen tanto Linux como la
mayora de las aplicaciones que se ejecutan sobre l, conduce a altos niveles de seguridad. Es cierto
que cualquiera puede acceder al cdigo fuente para encontrar las debilidades, pero no es menos
cierto que el tiempo que tarda en aparecer la solucin para cualquier debilidad se mide ms fcilmente
en horas que en das.
Gracias a esto, Linux es conocido por su alto nivel de estabilidad que parte del propio ncleo del
sistema operativo (lo que propiamente es Linux).
Servicios en Linux
Pero adems hay que resear que cada servicio funciona sin afectar al resto de los servicios. Ud.
puede modificar la direccin IP de su equipo, las rutas, aadir, parar o reiniciar un servicio concreto
sin que el resto de los servicios se vean afectados. Slo es necesario detener el equipo para realizar
operaciones con el hardware, como aadir un disco duro, o utilizar un nuevo ncleo. No tendr, pues,
la necesidad de tener que ser Ud. mismo el atacante de su propio sistema, a diferencia de lo que
ocurre en otros sistemas operativos.
En particular, en Linux tendremos que proteger ciertos ficheros que contienen informacin sobre los
usuarios (/etc/passwd, /etc/shadow), los ficheros de configuracin del sistema (los contenidos en
/etc), el acceso al sistema para que se realice segn marca la poltica prevista y la correcta
utilizacin de los recursos para evitar abusos (p.e. si un usuario tiene slo una cuenta de correo, que
no pueda abrir una shell en el sistema). A todo esto habr que sumar la proteccin de los distintos
servicios que presta.
Linux proporciona los niveles exigibles de seguridad fsica para un sistema operativo:
Un arranque seguro
Posibilidad de bloquear las terminales
Por supuesto, las capacidades de un sistema multiusuario real.
Cuando alguien inicia el sistema operativo Linux se encuentra con una pantalla de login: el sistema
est pidiendo que se identifique. Si es un usuario conocido, podr iniciar una sesin y trabajar con el
sistema. Si no lo es, no tendr opcin de hacer absolutamente nada. Adems, el sistema registra
todos los intentos de acceso (fallidos o no), por lo que no pasarn desapercibidos intentos repetidos
de acceso no autorizado. LILO (Linux Loader) es el encargado de cargar el sistema operativo en
memoria y pasarle informacin para su inicio. A su vez, Vd. puede pasarle parmetros a LILO para
modificar su comportamiento.
Por ejemplo, si alguien en el indicador de LILO aade init single, el sistema se inicia en modo
monousuario y proporciona una shell de root sin contrasea. Si en su entorno de trabajo cree
necesario evitar que alguien pueda iniciar el sistema de esta forma, debera utilizar el parmetro
restricted en el fichero de configuracin de LILO (habitualmente /etc/lilo.conf). Este parmetro le
permite iniciar normalmente el sistema, salvo en el caso de que se hayan incluido argumentos en la
llamada a LILO, que solicita una clave. Esto proporciona un nivel de seguridad razonable: permite
iniciar el sistema, pero no manipular el arranque. Si tiene mayores necesidades de seguridad puede
incluir la opcin password. De esta forma necesitar una clave para iniciar el sistema. En estas
condiciones, slo podr iniciar el sistema quien conozca la clave.
Puede encontrar ms detalles en las pginas del manual lilo y lilo.conf. Para ello, introduzca en la
lnea de comandos las siguientes rdenes:
# man lilo
# man lilo.conf
Cuentas de Usuarios y Grupos: Cada usuario del sistema est definido por una lnea en el fichero
/etc/passwd y cada grupo por otra lnea en el fichero /etc/group. Cada usuario pertenece a uno o
varios grupos y cada recurso pertenece a un usuario y un grupo. Los permisos para un recurso se
pueden asignar al propietario, al grupo y a otros (resto de los usuarios). Ahora bien, para mantener un
sistema seguro, pero funcional, tendremos que realizar las combinaciones necesarias entre el
propietario y grupo de un recurso con los permisos de los propietarios, grupos y otros. Por ejemplo, la
unidad de disco flexible tiene las siguientes caractersticas:
Cuando queramos que un usuario pueda escribir en la unidad de disco, slo tendremos que incluirlo
en el grupo floppy. Cualquier otro usuario que no pertenezca al grupo floppy (salvo root) slo podr
leer el disquete.
El administrador tiene que conocer las necesidades de cada uno de sus usuarios y asignarle los
mnimos privilegios para que pueda realizar su trabajo sin resultar un peligro para otros usuarios o el
sistema. Ms abajo veremos otro mecanismo para poder utilizar un recurso sobre el cual no tenemos
privilegios.
No se asuste. Los valores que traen por defecto las distribuciones de Linux son suficiente para
mantener el sistema seguro.
Otro peligro potencial para el sistema es mantener cuentas abiertas que se han dejado de utilizar.
Estas cuentas pueden constituir un buen refugio para un potencial atacante y pasar desapercibidas
sus acciones.
Seguridad de las claves: La seguridad de una sola cuenta puede comprometer la seguridad de todo
el sistema. Esto es una realidad ante la que debemos protegernos.
Por un lado tenemos que asegurarnos de que nuestros usuarios utilizan claves slidas:
No deben ser una palabra conocida.
Deberan contener letras, nmeros y caracteres especiales.
Deben ser fciles de recordar y difciles de adivinar.
Para comprobar que este requisito se verifica en nuestro sistema, podemos usar los mismos
mecanismos que utilizan los atacantes. Existen varios programas que van probando varias palabras
de diccionario, claves habituales y combinaciones de caracteres, que son cifrados con el mismo
algoritmo que usa el sistema para mantener sus claves; despus son comparadas con el valor de la
clave cifrada que queremos averiguar hasta que el valor obtenido de un cifrado coincide con una clave
cifrada. Posteriormente notificaremos al usuario que su clave es dbil y le solicitaremos que la
modifique. Usando este mecanismo, al menos podemos garantizar que no estaremos en inferioridad
de condiciones con respecto a los atacantes locales. Un conocido programa para realizar el descifrado
de claves es John the Ripper. Por otro lado, las claves cifradas se almacenan en el fichero
/etc/passwd. Cualquier usuario del sistema tiene permiso de lectura sobre este fichero. Lo que es
peor, agujeros en los navegadores permiten que se puedan leer ficheros arbitrarios de una mquina
(evidentemente, que el usuario de navegador tenga permiso para leer), de manera que lleguen hasta
un hacker que cree pginas web que exploten estos agujeros. Entonces puede parecer a primera vista
que nos encontramos con un grave agujero de seguridad. El atacante, una vez obtenido el fichero
/etc/passwd no tiene ms que ejecutar su programa revientaclaves favorito y sentarse a esperar
hasta que empiecen a aparecer nombres de usuario con sus respectivas contraseas, algo que suele
pasar muy rpidamente. Con suerte, si el administrador es ingenuo o dejado, incluso dar con la clave
del root, abrindosele as las puertas a la mquina objetivo. Para solucionar esta vulnerabilidad,
podemos recurrir a contraseas en la sombra (shadow passwords), un mecanismo consistente en
extraer las claves cifradas del fichero /etc/passwd y situarlas en otro fichero llamado
/etc/shadow, que slo puede leer el root y dejar el resto de la informacin en el original
/etc/passwd. El fichero /etc/shadow slo contiene el nombre de usuario y su clave, e informacin
administrativa, como cundo expira la cuenta, etc. El formato del fichero /etc/shadow es similar al
siguiente:
usuario : clave : ultimo : puede : debe : aviso : expira : desactiva :
reservado
usuario: El nombre del usario.
clave: La clave cifrada
ultimo: Das transcurridos del ltimo cambio de clave desde el da 1/1/70
puede: Das transcurridos antes de que la clave se pueda modificar.
tiene: Das transcurridos antes de que la clave tenga que ser modificada.
aviso: Dias de aviso al usuario antes de que expire la clave.
expira: Das que se desactiva la cuenta tras expirar la clave.
desactiva: Das de duracin de la cuenta desde el 1/1/70.
reservado: sin comentarios.
Un ejemplo podra ser:
julia : gEvm4sbKnGRlg : 10627 : 0 : 99999 : 7 : -1 : -1 : 134529868
El paquete de Shadow Passwords se puede descargar desde cualquiera de los siguientes sitios, con
instrucciones para su instalacin:
ftp://i17linuxb.ists.pwr.wroc.pl/pub/linux/shadow/shadow-current.tar.gz
ftp://ftp.icm.edu.pl/pub/Linux/shadow/shadow-current.tar.gz
ftp://iguana.hut.fi/pub/linux/shadow/shadow-current.tar.gz
ftp://ftp.cin.net/usr/ggallag/shadow/shadow-current.tar.gz
ftp://ftp.netural.com/pub/linux/shadow/shadow-current.tar.gz
Para activar contraseas en la sombra, tiene que ejecutar pwconv como root; accin que crear su
fichero /etc/shadow.
El bit SUID/SGID: En muchas ocasiones un proceso necesita ejecutarse con unos privilegios mayores
(o menores) que el usuario que lo lanz. Por ejemplo, un usuario puede modificar su propia clave con
el mandato passwd, pero esto implica modificar el fichero /etc/passwd, y para esto un usuario "de a
pie" no tiene permiso. Cmo se soluciona? Pues activando el bit SUID del comando passwd (notese
que cuando esto sucede, la x de ejecutable pasa a ser una s):
ls -la /usr/bin/passw*
-r-sr-xr-x 1 root bin 15613 abr 27 1998 /usr/bin/passwd
Esto quiere decir que cuando se ejecute, el proceso correspondiente va a tener los privilegios del
propietario del comando (es decir, el root), no del usuario que lo lanz. En otras palabras, el proceso
generado por passwd pertenece a root. A primera vista, esto puede parecer una seria brecha de
seguridad. Y lo es. Si el programa funciona correctamente, no tiene por qu dar problemas; pero
pequeos defectos en el programa pueden ser utilizados por alguien para tratar de ejecutar otro
cdigo distinto con los privilegios de este proceso. El mtodo suele ser el desbordamiento de la pila
(buffer overflow).
Cualquier atacante que haya entrado en un sistema de forma ilegtima intentar dejar una shell con el
bit SUID para mantener ese nivel de privilegio cuando vuelva a entrar en el sistema.
SGID es lo mismo que SUID, pero aplicado al grupo.
As pues, tenga cuidado con los programas con el bit SUID/SGIG. Puede encontrarlos con
root# find / -type f \( -perm -04000 -o -perm -02000 \) -print
Tenga en cuenta que algunos programas (como passwd) tienen que tener el bit SUID. Compruebe en
los lugares habituales, (que indicamos en la seccin correspondiente) que ninguno de los programas
propiedad del root o SUID que utiliza en su sistema, tiene un fallo de seguridad conocido que pueda
ser explotado.
Nunca debe permitir que quede una shell SUID corriendo en el sistema. Si el root deja desatendida la
consola durante unos instantes (recuerde, debe utilizar siempre xlock), un intruso podra escribir lo
siguiente:
# cp /bin/sh /tmp/cuenta-root
# chmod 4755 /tmp/cuenta-root
crendose una versin SUID de la shell sh. En el futuro, cuando el atacante ejecute ese programa,
cuenta-root, se convertir en root! Si lo escondiera en un directorio oculto, la nica forma de
encontrarlo sera escaneando el sistema completo como se ha explicado antes.
Seguridad del root: Los peores destrozos de un sistema es probable que no vengan de ningn
Cracker, o de un malvolo intruso. En muchsimas ms ocasiones ha sido el propio administrador el
que ha destrozado el sistema. S, el root. Por qu? Por descuido, por exceso de confianza, por
ignorancia. Evitar este problema no es difcil. Siguiendo unas fciles normas, podr protegerse de Ud.
mismo:
No use la cuenta de root por norma. Evtela. Intente primero cualquier accin como un usuario
normal, y si ve que no tiene permiso, piense porqu y use el comando su si es necesario.
Ejecute los comandos de forma segura verificando previamente la accin que va a realizar. Por
ejemplo si quiere ejecutar rm borrar.*, ejecute primero ls borrar.* y si es lo que
pretende modifique el mandato y ejectelo.
Ciertos mandatos admiten una opcin (-i) para actuar de forma interactiva. Actvela, si no lo
est ya aadiendo estas lneas a su fichero de recursos par la shell:
alias rm='rm -i'
alias cp='cp -i'
alias mv='mv -i'
Siempre puede evitar estas preguntas, a veces incordiosas, con el mandato yes, cuando est
seguro de la operacin que est realizando:
$ yes s|rm borrar.*
Como ya deben saber, el directorio actual no est, por defecto, en la ruta de bsqueda de
ejecutables (PATH). Esto garantiza que no lanzaremos, sin darnos cuenta, un ejecutable que
est en el directorio actual llamado, por ejemplo ls.
Evite que la clave del root viaje por una red sin cifrar. Utilice ssh u otro canal seguro.
Limite los terminales desde los que se puede conectar root. Es preferible limitarlo a la consola
del sistema. Esto se puede decidir en /etc/securetty. Si necesita una sesin remota como
root, entre como usuario normal y luego use su.
Acte de forma lenta y meditada cuando sea root. Sus acciones podran afectar a un montn
de cosas. Pinselo antes de teclear!
Hay herramientas como sudo que permiten a ciertos usuarios utilizar comandos privilegiados sin
necesidad de ser root, como montar o desmontar dispositivos. Adems registra las actividades que se
realizan, lo que ayuda a determinar qu hace realmente este usuario.
Como se puede poner en riesgo el correcto funcionamiento del sistema?: Podemos apuntar
algunas ideas: violando la privacidad de la informacin, obteniendo unos privilegios que no le
corresponden a un usuario, haciendo un uso desmedido de los recursos o modificando informacin
legtima contenida en una mquina, como pueden ser el contenido de una pgina web o una base de
datos.
Permisos: Linux, como sistema multiusuario, asigna un propietario y un grupo a cada fichero (y
directorio) y unos permisos al propietario, al grupo y al resto de los usuarios. La forma ms rpida de
comprobar esta caracterstica es usar el comando ls -la. As nos aparece el tipo de fichero, el
propietario, el grupo, los permisos e informacin adicional. Por supuesto, el sistema de ficheros tiene
que admitir esta caracterstica, como es el caso del sistema de ficheros ext2 (Linux nativo). En los
sistemas de ficheros pensados para entornos monousario, como msdos o vfat, no tenemos esta
caracterstica, por lo que son inseguros y su uso no es aconsejable bajo Linux.
Es conveniente tener claros los permisos que se pueden asignar a un fichero o directorio. Puede que
algunas aplicaciones no funcionen bien si algn fichero no tiene el permiso o el propietario correctos,
bien por falta de permisos o bien por exceso. Algunas aplicaciones son un poco quisquillosas en este
aspecto. Por ejemplo, fetchmail es un programa que podemos usar para recoger el correo de un
servidor pop (por ejemplo). Este programa se configura en el fichero .fetchmailrc, donde
tendremos que indicar la clave que usamos en el servidor; pues bien, si este fichero tiene permiso de
lectura para otro usuario que no sea el propietario, fetchmail no funcionar. Otras aplicaciones,
como por ejemplo inn (un servidor de noticias de Internet) tampoco funcionar si el propietario de sus
ficheros es otro usuario distinto a news. Todo esto est perfectamente documentado en cada uno de
los programas, por lo que es conveniente leer la documentacin que aporta y las pginas del manual.
Propiedad: Qu usuario y grupo posee el control de los permisos del i-nodo. Se almacenan como dos
valores numricos, el uid (user id) y gid (group id).
Permisos: Bits individuales que definen el acceso a un fichero o directorio. Los permisos para
directorio tienen un sentido diferente a los permisos para ficheros. Ms abajo se explican algunas
diferencias.
Lectura (r):
Fichero: Poder acceder a los contenidos de un fichero
Directorio: Poder leer un directorio, ver qu ficheros contiene
Escritura (w):
Fichero: Poder modificar o aadir contenido a un fichero
Directorio: Poder borrar o mover ficheros en un directorio
Ejecucin(x):
Fichero: Poder ejecutar un programa binario o guion de shell
Directorio: Poder entrar en un directorio
Estos permisos se pueden aplicar a:
usuario (u): El propietario del fichero
grupo (g): El grupo al que pertenece el fichero
otros (o): El resto de los usuarios del sistema
Adems tenemos otros bits de permisos que no podemos pasar por alto cuando estamos tratando de
temas de seguridad.
Sticky bit: El sticky bit tiene su significado propio cuando se aplica a directorios. Si el sticky bit est
activo en un directorio, entonces un usuario slo puede borrar ficheros que son de su propiedad o
para los que tiene permiso explcito de escritura, incluso cuando tiene acceso de escritura al
directorio. Esto est pensado para directorios como /tmp, que tienen permiso de escritura global, pero
no es deseable permitir a cualquier usuario borrar los ficheros que quiera. El sticky bit aparece como
't' en los listados largos de directorios.
drwxrwxrwt 19 root root 8192 Jun 24 14:40 tmp
Attributo SUID: (Para Ficheros): Este bit describe permisos al identificador de usuario del fichero.
Cuando el modo de acceso de ID de usuario est activo en los permisos del propietario, y ese fichero
es ejecutable, los procesos que lo ejecutan obtienen acceso a los recursos del sistema basados en el
usuario que crea el proceso (no el usuario que lo lanza). Por ejemplo /usr/bin/passwd es un ejecutable
propiedad de root y con el bit SUID activo. Por qu? Este programa lo puede usar cualquier usuario
para modificar su clave de acceso, que se almacena en
pero segn los permisos que observamos en este fichero, slo root puede escribir y modificar en l.
Entonces sera imposible que un usuario pudiera cambiar su clave si no puede modificar este fichero.
La solucin para este problema consiste en activar el bit SUID para este fichero:
Piensa que esto puede ser un riesgo para la seguridad? Efectivamente lo podra ser si no
mantenemos un mnimo de atencin, ya que en este tipo de programas se pueden producir
desbordamientos de bfer que comprometan su sistema. Recuerde siempre lo siguiente:
No asignar el bit SUID salvo cuando sea estrictamente necesario.
Comprobar que cualquier programa con est bit activo no tiene ningn desbordamiento de
buffer (conocido).
No asignarlo jams si el programa permite salir a la shell.
Atributo SGID: (Para ficheros): Si est activo en los permisos de grupo, este bit controla el estado
de "poner id de grupo" de un fichero. Acta de la misma forma que SUID, salvo que afecta al grupo. El
fichero tiene que ser ejecutable para que esto tenga algn efecto.
Atributo SGID: (Para directorios): Si activa el bit SGID en un directorio ( con "chmod g+s
directorio"), los ficheros creados en ese directorio tendrn puesto su grupo como el grupo del
directorio. A continuacin se describen los significados de los permisos de acceso individuales para un
fichero. Normalmente un fichero tendr una combinacin de los siguientes permisos:
A continuacin se describen los significados de los permisos de acceso individuales para un directorio.
Normalmente un directorio tendr una combinacin de los siguientes permisos:
Los ficheros de configuracin del sistema (normalmente en /etc) es habitual que tengan el modo 640 (-
rw-r-----), y que sean propiedad del root. Dependiendo de los requisitos de seguridad del sistema, esto
se puede modificar. Nunca deje un fichero del sistema con permiso de escritura para un grupo o para
otros. Algunos ficheros de configuracin, incluyendo /etc/shadow, slo deberan tener permiso de
lectura por root, y los directorios de /etc no deberan ser accesibles, al menos por otros.
SUID Shell Scripts: Los scripts de shell SUID son un serio riesgo de seguridad, y por esta razn el
ncleo no los acepta. Sin importar lo seguro que piense que es su script de shell, puede ser utilizado
para que un Cracker pueda obtener acceso a una shell de root.
Enlaces: Los sistemas de ficheros de tipo Unix permiten crear enlaces entre ficheros. Los enlaces
pueden ser duros o simblicos. El primer caso consiste en asignar ms de un nombre a los
mismos datos en disco. Un enlace duro no consume ms espacio adicional que el que pueda
representar el nuevo nombre que le damos a unos datos y slo es vlido para ficheros que estn en el
mismo sistema de ficheros, es decir, la misma particin. Los enlaces simblicos son ficheros que
apuntan a otro fichero o directorio. Crean un nuevo fichero pequeo que contiene la ruta del fichero
destino.
Tripwire: Una forma cmoda de detectar ataques locales (y tambin de red) en su sistema es ejecutar
un programa que verifique la integridad de la informacin almacenada en los ficheros, tal como
Tripwire. El programa Tripwire ejecuta varios cheksums de todos los binarios importantes y ficheros de
configuracin y los compara con una base de datos con valores de referencia aceptados como
buenos. As se detecta cualquier cambio en los ficheros.
Es buena idea instalar tripwire en un disquete y protegerlo fsicamente. De esta forma no se puede
alterar tripwire o modificar su base de datos. Una vez que tripwire se ha configurado, es buena idea
ejecutarlo como parte de de los deberes habituales de administracin para ver si algo ha cambiado.
Incluso puede aadir una entrada a crontab para ejecutar tripwire desde su disquete todas las noches
y enviar por correo los resultados y verlos por la maana, algo como esto:
MAILTO=gonzalo
15 05 * * * root /usr/local/bin/tripwire
que le enviar por correo un informe cada maana a las 5:15 am.
Tripwire puede ser una de la mejores herramientas para detectar intrusos antes de que tenga otro tipo
de noticias de ellos. Como son muchos los ficheros que se modifican en su sistema, debera tener
cuidado para discernir lo que es la actividad de un Cracker y lo que es la actividad normal del sistema.
Limitar el espacio: Una ataque posible a cualquier sistema es intentar consumir todo el espacio del
disco duro. Una primera proteccin contra este ataque es separar el rbol de directorios en diversos
discos y particiones. Pero esto puede no ser suficiente y por eso el ncleo del sistema proporciona la
posibilidad de controlar el espacio de almacenamiento por usuario o grupo.
Lo primero que tendramos que hacer es asegurarnos de que nuestro ncleo tiene soporte para las
cuotas de usuarios.
En caso contrario, el ncleo no ha sido compilado con soporte para el sistema de cuotas para
usuarios. En este caso ser necesario compilar un nuevo ncleo Linux. El resto del procedimiento de
instalacin se puede realizar utilizando la documentacin existente. Ahora es necesario editar el
fichero /etc/fstab y aadir usrquota o grpquota en la particin o particiones en las que nos
interese limitar el espacio de almacenamiento. El siguiente ejemplo establece el sistema de cuotas
para el uso del directorio /home montado en la particin /dev/hda3:
/dev/hda3 /home ext2 defaults,usrquota 1 2
Ahora podemos recopilar la informacin de las particiones donde se haya definido el sistema de
cuotas. Podemos usar el comando:
/sbin/quotachek -av
Ya est activo el sistema de cuotas y la prxima vez que se inicie el sistema, se activarn
automticamente en todas las particiones que se hayan definido. Ya no ser necesario volver a
ejecutar manualmente este comando, ya que el sistema lo hara de forma automtica al comprobar y
montar cada uno de los sistemas de ficheros desde el fichero /etc/rc.d/rc.sysinit. El siguiente
paso es definir la cuotas para cada usuario. Para ello existen dos mtodos. El primero consiste en
editar la quota de cada usuario. Por ejemplo, para editar la cuota del usuario antonio, se ejecuta
desde el usuario root el comando:
# edquota -u antonio
El sistema de cuotas de Linux permite limitar el nmero de bloques y el nmero de i-nodos que un
usuario puede tener. Los valores a modificar son los lmites que estn puestos entre parntesis (que
ahora valen 0). Ah se puede especificar cualquier cantidad (en Kbytes). Por ejemplo, para limitar la
cuota de disco del usuario antonio a 1 Mb, se pondra lo siguiente:
El lmite soft es un lmite de aviso y el lmite hard es un lmite insalvable, es decir, el sistema ya no le
asigna ms espacio. De una forma anloga, podramos modificar la cuota de espacio asignada al
grupo users con:
# edquota -g users
Normas prcticas: Aunque sea necesario tener claros los conceptos y dedicarle algo de tiempo a una
correcta planificacin, tampoco los pelligros expuestos tienen por qu asustar a nadie. Todas las
distribuciones de Linux traen unos valores por defecto que son ms que razonables para cubrir unas
necesidades normales.
nosuid, nodev, noexec.
Salvo casos excepcionales, no debera haber ninguna razn para que se permita la ejecucin
de programas SUID/SGID en los directorios home de los usuarios. Esto lo podemos evitar
usando la opcin `nosuid' en el fichero /etc/fstab para las particiones que tengan
permiso de escritura por alguien que no sea el root. Tambin puede ser til usar `nodev' y
`noexec' en las particiones de los directorios personales de los usuarios y en /var, lo que
prohbe la creacin dispositivos de bloque o carcter y la ejecucin de programas.
Sistemas de ficheros en red
Si exporta sistemas de archivos va NFS, est seguro de configurar /etc/exports con los
accesos lo ms restrictivos posibles. Esto significa no usar plantillas, no permitir acceso de
escritura a root y montar como slo lectura siempre que sea posible.
umask
Configure la mscara de creacin de ficheros para que sea lo ms restrictiva posible. Son
habituales 022, 033, y la ms restictiva 077, y aadirla a /etc/profile.
El comando umask se puede usar para determinar el modo de creacin de ficheros por defecto
en su sistema. Es el complemento octal a los modos de fichero deseado. Si los ficheros se
crean sin ningn miramiento de estado de permisos, el usuario, de forma inadvertida, podr
asignar permisos de lectura o escritura a alguien que no debera tenerlos. De forma tpica, el
estado de umask incluye 022, 027 y 077, que es lo ms restrictivo. Normalmente umask se
pone en /etc/profile y por tanto se aplica a todos los usuarios del sistema. Por ejemplo, puede
tener una lnea parecida a la siguiente:
# Pone el valor por defecto de umask del usuario
umask 033
Est seguro de que el valor umask de root es 077, lo cual desactiva los permisos de lectura,
escritura y ejecucin para otros usuarios, salvo que explcitamente use chmod(1).
Si est usando , y utiliza su esquema de creacin de idetificador de grupos y usuarios ( User
Private Groups), slo es necesario usar 002 para umask. Esto se debe a que al crear un
usuario se crea un grupo exclusivo para ese usuario.
Limitar recursos
Ponga el lmites al sistema de ficheros en lugar de 'ilimitado' como est por defecto. Puede
controlar el lmite por usuario utilizando el mdulo PAM de lmite de recursos y
/etc/pam.d/limits.conf. Por ejemplo, los lmites para un grupo `users' podra parecer a esto:
@users hard core 0
@users hard nproc 50
@users hard rss 5000
Esto dice que se prohiba la creacin de ficheros core, restringe el nmero de procesos a 50, y
restringe el uso de memoria por usuario a 5M.
wtmp, utmp
Los ficheros /var/log/wtmp y /var/run/utmp contienen los registros de conexin de todos
los usuarios de su sistema. Se debe mantener su integridad, ya que determinan cundo y
desde dnde entr en su sistema un usuario o un potencial intruso. Los ficheros deberan tener
los permisos 644, sin afectar a la normal operacin del sistema.
Sticky bit
El sticky bit se puede usar para prevenir borrados accidentales o proteger un fichero para
sobreescritura. Tambin previene que alguien cree enlaces simblicos a un fichero, que ha
sido el origen de ataques basados en el borrado de los ficheros /etc/passwd o
/etc/shadow. Vea la pgina del manual de chattr(1) para tener ms informacin.
SUID y SGID
Los ficheros SUID y SGID de su sistema son potenciales riesgos de seguridad y deberan ser
controlados. Como estos programas garantizan privilegios especiales al usuario que los
ejecuta, es necesario estar seguro que no hay instalados programas inseguros. Un truco
favorito de los crackers es explotar programas con el bit SUID, y entonces dejar un programa
SUID como puerta trasera para entrar la prxima vez, incluso aunque el agujero original ya
est tapado.
Encuentre todos los programas SUID/SGID de su sistema y mantener la pista de lo que son,
para que est prevenido de cualquier cambio que podra indicar un potencial intruso. Use el
siguiente comando para localizar todos los progrmas SUID/SGID en su sistema:
root# find / -type f \( -perm -04000 -o -perm -02000 \)
Incluso podra crear una base de datos de progrmas SUID con
root# find / -type f \( -perm -04000 -o -perm -02000 \)>/var/suid
y posteriormente verificar si ha aparecido alguno nuevo con el siguiente guin:
for fich in `find / -type f \( -perm -04000 -o -perm -02000 \)`
do
if ! grep $fich /var/suid
then
echo "$fich es un nuevo fichero con SUID"
fi
done
echo "Actualiza la base de datos si es necesario"
Puede eliminar los permisos SUID o SGIG de un programa con chmod(1), y siempre puede
devolverlo a su estado original si piensa que es absolutamente necesario.
Permisos de escritura
Los ficheros con permiso de escritura global, particularmente los del sistema, pueden ser un
agujero de seguridad si un cracker obtiene acceso a su sistema y los modifica. Adems, los
directorios con permiso de escritura global son peligrosos, ya que permiten a un cracker aadir
y borrar los ficheros que quiera. Para localizar los ficheros con permiso de escritura global, use
el siguiente comando:
root# find / -perm -2 -print
y est seguro de saber por qu tienen esos permisos de escritura. En el curso normal de una
operacin los ficheros tendrn permisos de escritura, incluidos algunos de /dev y enlaces
simblicos.
Ficheros extraos
Los ficheros sin propietario tambin pueden ser un indicio de que un intruso ha accedido a su
sistema. Puede localizar los ficheros de su sistema que no tienen propietario o que no
pertenecen a un grupo con el comando:
root# find / -nouser -o -nogroup -print
Ficheros peligrosos
La localizacin de ficheros .rhosts debera ser uno de los deberes regulares de la
administracin de su sistema, ya que estos ficheros no se deberan permitir en sus sistema.
Recuerde que un cracker slo necesita una cuenta insegura para potencialmente obtener
acceso a toda su red. Puede localizar todos los ficheros .rhosts de su sistema con el
siguiente comando:
root# find /home -name .rhosts -print
Permisos
Finalmente, antes de cambiar permisos en cualquier sistema de ficheros, est seguro de que
entiende lo que hace. Nunca cambie permisos de un fichero simplemente porque parezca la
forma fcil de hacer que algo funcione. Siempre debe determinar porqu el fichero tiene esos
permisos y propietario antes de modificarlos.
Opciones de compilacin
IP: Drop source routed frames (CONFIG_IP_NOSR): Esta opcin debera estar activada. Source
routed frames contienen la ruta completa de sus destinos dentro del paquete. Esto significa que los
enrutadores a travs de los que circula el paquete no necesitan inspeccionarlo, y slo lo reenvan.
Esto podra ocasionar que los datos que entran a su sistema puedan ser un exploit potencial.
Ese fichero (y muchos otros ficheros de /proc) aparecer con longitud cero, pero en realidad no es
un fichero en el sentido clsico, sino que son datos guardados en memoria.
Dispositivos del ncleo: Hay algunos dispositivos de bloque y carcter disponibles en Linux que
tambin le resultarn utiles para mantener la seguridad de sus sistema.
Los dos dispositivos /dev/random y /dev/urandom los proporciona el ncleo para generar datos
aleatorios en cualquier instante. Por ejemplo, se utilizan para iniciar un nmero de secuencia para
conexiones TCP/IP.
Ambos, /dev/random y /dev/urandom, deberan ser suficientemente seguros como para generar claves
PGP, SSH y otras aplicaciones donde son un requisito nmeros aleatorios seguros para generar
claves vlidas para una sesin. Los atacantes no deberan ser capaces de determinar el siguiente
nmero dada cualquier secuencia de nmeros con este origen. Se han dedicado muchos esfuerzos
para garantizar que los nmeros que se obtienen de esta fuente son pseudoaleatorios en todos los
sentidos de la palabra pseudoaleatorio.
La nica diferencia es que /dev/random suministra bytes aleatorios y le hace esperar para que se
acumulen ms. Observe que en algunos sistemas puede bloquear durante un rato a la espera de que
se genere una nueva entrada de usuario al sistema. Por tanto debe tener cuidado al usar
/dev/random. (Quizs lo mejor que puede hacer es usarlo cuando est generando informacin
sensible de claves e indicarle al usuario que pulse una tecla repetidas veces hasta que indique por la
pantalla "Ya es suficiente").
/dev/random tiene gran calidad de entropa, midiendo tiempos entre interrupciones, etc. Bloquea hasta
que hay disponibles suficientes bits de datos aleatorios.
/dev/urandom es parecido, no es tan seguro, pero suficiente para la mayora de las aplicaciones.
Puede leer los dispositivos usando algo parecido a lo siguiente:
Esto imprimir seis caracteres aleatorios en la consola, vlidos para la generacin de una clave.
Inetd: Para atender las solicitudes de conexin que llegan a nuestro equipo existe un demonio
llamado inetd que est a la escucha de todos los intentos de conexin que se realicen a su mquina.
Cuando le llega una solicitud de conexin ir dirigida a un puerto (nmero de servicio, quizs sea ms
claro que puerto), por ejemplo, el 80 sera una solicitud al servidor de pginas web, 23 para telnet, 25
para smtp, etc. Los servicios de red que presta su mquina estn descritos en /etc/inetd.conf (y
en /etc/services los nmeros de puertos). Por ejemplo, en /etc/inetd.conf podemos
encontrar las siguientes lneas:
(...)
pop-3 stream tcp nowait root /usr/sbin/tcpd ipop3d
# imap stream tcp nowait root /usr/sbin/tcpd imapd
(...)
Esto quiere decir que, cuando llegue una solicitud de conexin al puerto 110 (pop3) se ejecutar el
programa /usr/sbin/tcpd ipop3d. Sin embargo, el servicio imap est deshabilitado (est
comentado con un # delante), por lo que el sistema no le responde.
Registro y conocimiento de incidencias: A parte de todo esto, puede conocer las incidencias que
ocurren durante el funcionamiento del sistema. Por un lado conviene familiarizarse con los procesos
que se ejecutan habitualmente en una mquina. Es una buena costumbre ejecutar peridicamente ps
axu. Cualquier cosa extraa debiramos aclararla. Puede matar cualquier proceso con la orden kill
-9 pid (o killall -9 nombre_proceso). Pero en caso de ataque activo, lo mejor es desconectar
de la red inmediatamente, si es posible, claro est.
Despus tenemos los registros de incidencias (las ubicaciones pueden ser diferentes dependiendo del
sistema, pero no radicalmente distintas) de /var/log.
Trabajando en modo texto se puede hacer en una consola virtual (como root)
tail -f /var/log/messages
y
tail -f /var/log/secure
Y de esta forma podemos ir viendo las incidencias del sistema. Conviene tambin familiarizarse con
las anotaciones que aparecen habitualmente para diferenciarlas de las que puedan presentar un
problema. En modo grfico hay un programa llamado ktail que le muestra las incidencias de una forma
similar a la anterior.
Comunicaciones seguras: Por ltimo, nos interesar mantener unas comunicaciones seguras para
garantizar la privacidad e integridad de la informacin. Actualmente existen las herramientas
necesarias para cada necesidad.
Podemos usar cifrados simtricos como pgp y gpg para documentos, correo electrnico y
comunicaciones sobre canales inseguros
Podemos crear canales de comunicacin seguros de distinto tipo:
SSH (Secure Shell), stelnet: SSH y stelnet son programas que le permiten efectuar conexiones
con sistemas remotos y mantener una conexin cifrada. Con esto evitamos, entre otras cosas,
que las claves circulen por la red sin cifrar.
Cryptographic IP Encapsulation (CIPE): CIPE cifra los datos a nivel de red. El viaje de los
paquetes entre hosts se hace cifrado. A diferencia de SSH que cifra los datos por conexin, lo
hace a nivel de socket. As un conexin lgica entre programas que se ejecutan en hosts
diferentes est cifrada. CIPE se puede usar en tunnelling para crear una Red Virtual Privada.
El cifrado a bajo nivel tiene la ventaja de poder hacer trabajar la red de forma transparente
entre las dos redes conectadas en la RVP sin ningn cambio en el software de aplicacin.
SSL: En su estado actual proporciona los siguientes servicios:
Cifrado de datos: la informacin transferida, aunque caiga en manos de un atacante,
ser indescifrable, garantizando as la confidencialidad.
Autenticacin de servidores: el usuario puede asegurarse de la identidad del servidor al
que se conecta y al que posiblemente enve informacin personal confidencial.
Integridad de mensajes: se impide que modificaciones intencionadas o accidentales en
la informacin mientras viaja por Internet pasen inadvertidas.
Opcionalmente, autenticacin de cliente: permite al servidor conocer la identidad del
usuario, con el fin de decidir si puede acceder a ciertas reas protegidas.
Determinar los servicios activos: Desactive todos los servicios que no vaya a prestar, en particular
revise los ficheros /etc/inittab, /etc/inetd.conf y los demonios que se lanzan durante el arranque. Si no
est realmente seguro de lo que hace, mejor no haga nada; las distribuciones ms modernas
incorporan unos mnimos de seguridad aceptables para un usuario medio. No tiene sentido tener
abierto un servicio del que no va a hacer uso ningn usuario legal. Puede que est consumiendo
recursos de su sistema para ofrecer a algn atacante la posibilidad de violarlo. Puede usar un
analizador de puertos para ver qu parte de su sistema es visible desde el exterior. Existen utilidades
como SATAN, Nessus o nmap que realizan esta labor. Trinux es una minidistribucin de Linux
totalmente portable que se puede llevar en 2 3 disquetes y se ejecuta por completo en RAM,
puedindose usar desde cualquier equipo para la red. Se arranca desde el disquete y no utiliza el
disco duro para nada. Contiene las ltimas versiones de algunas herramientas muy prcticas
enfocadas a la seguridad en redes. Nos permitir analizar el trfico de la red, analizar puertos e
incluso ver el contenido de los paquetes que circulan por la red.
Proteger los ficheros importantes: Existe un parche para el ncleo Linux que impide que ciertos
ficheros puedan ser modificados, incluso por el propio root. El ncleo parcheado de esta forma puede
garantizarnos la integridad de la informacin almacenada incluso en el caso de que alguien
consiguiera privilegios de root en nuestro sistema. Este parche se puede obtener, junto con la
informacin necesaria para su instalacin, en LIDS. Si no queremos aplicar el parche, s que
deberamos vigilar los permisos de ficheros y directorios.
Software actualizado: La gran mayora del sofware que acompaa a Linux es de cdigo fuente
pblico, como el propio ncleo. Esto es una garanta de seguridad en s. Cientos de expertos analizan
minuciosamente el cdigo para detectar alguna pega que poder publicar en las listas de correo sobre
seguridad ms prestigiosas, y se corrigen con gran rapidez. De esta forma nos garantizamos un
software de calidad y no una mera seguridad aparente. Esto por otro lado nos obliga a ir sustituyendo
las versiones defectuosas por otras corregidas y que mejoran las prestaciones. En cualquier sistema
operativo, mantener un software que ha demostrado tener fallos supone asumir un riesgo innecesario.
Para estar actualizado consulte los recursos de informacin sobre seguridad en Linux.
Prevenir prdidas de informacin: Existen acontecimientos de los que nos puede resultar muy difcil
protegernos como son los desastres naturales, nicamente podremos seguir una serie de pasos para
evitar que su incidencia sea lo menor posible. La mejor solucin es mantener un buen conjunto de
copias de seguridad sobre toda la informacin necesaria del sistema. Hay que pensar que las copias
de seguridad no slo nos protegen de desastres naturales, tambin de los desastres que pueda
ocasionar algn intruso en nuestro sistema, de cualquier ataque a la disponibilidad o integridad de la
informacin del sistema. Si los datos tienen un tamao inferior a 650Mb, puede ser una buena opcin
grabarlos en un CD, bien permanente (ya que es ms difcil de falsificar con posterioridad, y si estn
almacenados de forma adecuada pueden durar mucho tiempo) o regrabable. Las cintas y otros
medios sobre los que se puede escribir deberan protegerse tan pronto como se completa la copia y
se verifica para evitar la falsificacin. Tenga cuidado y almacene su copia de seguridad en un sitio
seguro. Una buena copia de seguridad le asegura que tiene un buen punto desde el que restaurar su
sistema. Hay que insistir en la seguridad de las copias de seguridad. Si las copias de seguridad no
estn almacenadas en un sitio seguro, puede que el posible intruso no tenga necesidad de idear
mtodos sofisticados para obtenerla, si le basta con copiar o sustraer un CD.
Copiar las Bases de Datos del Sistema: Existe cierta informacin del sistema que es imprescindible
para su correcto funcionamiento. Es conveniente tener una copia de estos ficheros en una ubicacin
segura. En particular resulta conveniente tener una copia del contenido del directorio /etc. Tambin
hay que mantenerla en lugar seguro, ya que tiene copias de los ficheros /etc/passwd y /etc/shadows,
entre otros que puedan contener claves de usuarios que no estn cifradas.
Tambin en cada sistema se puede tener una base de datos de las aplicaciones que hay instaladas en
el servidor. Cada distribucin dispone de alguna herramienta que nos realiza el mantenimiento de la
base de datos a la mism vez que instala o desinstala aplicaciones. La prdida de esta base de datos
nos hara perder el control sobre qu aplicaciones tenemos instaladas.
En muchas situaciones tambin ser necesario tener copia de seguridad de los ficheros de registro de
incidencias, para tener constancia de las distintas actividades del sistema.
Consejos
Suscribirse a las listas de correo de alertas de seguridad para estar actualizado.
Prestar atencin a los ficheros de registro.
Actualizar el software inseguro.
Verificar regularmente la integridad de los ficheros con algn software como tripwire.
Tener unas copias de seguridad adecuadas.
Utilizar PGP o GnuPG para garantizar la autenticidad y la privacidad.
Verificar con periodicidad los puertos de los equipos.
Revisar peridicamente las cuentas de usuario.
Asignar cuotas de uso de recursos del sistema.
Mantener los terminales seguros.
Asegurarse de tener claves slidas.
Mantener el sistema de ficheros con propietarios y permisos adecuados.
Instalar cortafuegos.
En resumen
Ahora, una vez vistas las caractersticas generales de seguridad, lo que queda es aplicar el sentido
comn. Tenemos que ver nuestra situacin y respondernos a una serie de preguntas:
Qu queremos proteger?
Qu valor tiene lo que queremos proteger?
Qu coste tiene la seguridad?
De quin nos queremos proteger?
Cules son los puntos dbiles de nuestro sistema?
Las posibles respuestas a estas preguntas nos proporcionan un abanico de posibilidades demasiado
amplio como para poderlo tratar todo.
Lo primero que tenemos que determinar es lo que queremos proteger. No ser lo mismo una estacin
de trabajo personal aislada con conexiones a Internet espordicas que un servidor web con conexin
permanente o un cortafuegos.
Tambin tendremos que considerar el coste de lo que queremos proteger: posible coste econmico,
tiempo de restauracin o instalacin, prestigio, perdida de clientes, etc. Tambin el coste de la
seguridad en unos trminos parecidos a los anteriores. Sera absurdo que invirtiramos ms en
proteccin que el coste de lo protegido.
Tambin hay que considerar que existe una relacin inversa entre seguridad y funcionalidad. Cuanto
ms seguro hacemos un sistema, menos funcional resulta, ofreciendo menos servicios y ms
limitaciones de acceso. Esto tambin constituye otro coste adicional: facilidad de uso.
Despus de saber qu y de qu tenemos que protegernos, de quines y cules son sus posibles
objetivos, y viendo los servicios que necesariamente hay que prestar o usar, obtendremos un
esquema elemental de nuestra situacin y de las medidas que tenemos que tomar.
Deteccin de un ataque activo: Nos ponemos en situacin: acabamos de detectar un ataque que
est actualmente en curso. El ataque puede ser de diversa naturaleza. Dejaremos aparte los casos
genricos como detectar alguien manipulando fsicamente el ordenador.
Ataque local: Cuando detectamos un ataque local tendremos que verificar la identidad del atacante.
No conviene sacar conclusiones precipitadas y culpar a alguien de atacar el sistema cuando slo
puede que sea una negligencia a la hora de seleccionar una clave o abandonar abierta una consola.
Hay que verificar el origen de la conexin, los registros del sistema y los procesos que tiene activos.
Tendremos que comprobar si son los habituales y qu es lo que se sale de lo normal. Despus nos
dirigiremos a esa persona, por telfono o personalmente, para preguntar qu est haciendo y pedir
que cese en la actividad. Si no tiene una conexin activa y no tiene idea de lo que le estamos
diciendo, habr que profundizar en la investigacin porque cabe la posibilidad de que alguien haya
utilizado esa cuenta de forma ilegtima. Si reconoce el incidente, que le informe de los mecanismos
que ha utilizado, las acciones que ha realizado y acte en consecuencia. Nunca se precipite para
hacer acusaciones. Recopile todas las pruebas que haya detectado en los registros, procesos,
modificaciones de informacin, etc. Sea rpido, pero seguro. Est en juego su sistema y su prestigio.
Ataque en red: Si el ataque se produce a travs de la red podemos tener distintas situaciones. En
general puede ser conveniente espiar un poco al intruso para obtener ms pruebas y despus
desconectar el interfaz de red si es posible. Si no fuera posible desconectar el interfaz, deberamos
usar algn filtro para las conexiones procedentes de la direccin del atacante. Programas como
ipchains (o ipfwadm en su caso) pueden realizar esta labor. Si desconectamos el interfaz o
denegamos (no rechazar) los paquetes procedentes de esa direccin el intruso lo podra interpretar
como un error de red, ms que una deteccin del ataque. Si no se pudiera limitar el acceso a las
direcciones que usa el intruso, intente cerrar la cuenta del usuario. Observe que cerrar una cuenta no
es una cosa simple. Tiene que tener en cuenta los ficheros .rhosts, el acceso FTP y otras posibles
puertas traseras.
En general no es aconsejable apagar el sistema. Por supuesto, nunca apagarlo en caliente; esto
podra hacernos perder la informacin que tenemos en memoria. En Linux podemos ver la lista de
procesos que hay en ejecucin y matar aquellos que puedan estar daando al sistema.
Somos el destino del ataque o somos un punto intermedio?: Se puede dar la situacin que
nuestra mquina no sea el destino final del ataque. Puede que el intruso la haya utilizado como punto
intermedio para atacar a otros sistemas e intentar dificultar el seguimiento de las pistas. En este caso,
adems de limitar las acciones del atacante deberamos notificarlo al administrador del destino del
ataque y conservar todas las pruebas existentes por si se pudieran reclamar judicialmente. En
cualquier caso, si queremos dar validez legal a las pruebas obtenidas, sera conveniente la
intervencin judicial.
Es habitual que durante los prximos minutos el atacante vuelva a intentar continuar con sus
acciones, tal vez usando una cuenta diferente y/o una direccin de red distinta.
Tapar el agujero: Determine los medios que us el atacante para acceder a su sistema. Deber
analizar cuidadosamente los ficheros de registro del sistema. En ellos debera haber una informacin
valiosa para seguir la pista de las actividades del intruso en nuestra mquina. Las causas ms
habituales son una mala configuracin de algn servicio, un programa defectuoso o la negligencia de
algn usuario con respecto a su clave de acceso.
Compruebe por los cauces ms conocidos, que se pueden consultar en la pgina sobre recursos de
seguridad bajo Linux, la existencia de algn nuevo exploit que pueda ser la causa u otros fallos que
tenga que corregir.
Si no elimina al atacante, probablemente volver. No slo a su mquina, sino a cualquiera otra de la
red. Durante sus incursiones ha podido utilizar algn sniffer, y disponer de informacin suficiente
para tener acceso a otras mquinas locales.
Si sospecha que el atacante ha obtenido copias de los ficheros /etc/passwd, /etc/shadow,
/etc/ppp/pap-secrets, /etc/ppp/chap-secrets o cualquier otro fichero que contenga datos de usuarios y
claves, sera conveniente modificarlas todas. Si tiene distintos usuarios en su mquna, oblgueles a
cambir su clave. En general es preferible cambiar siempre las claves despues de un incidente, una
vez que sepamos que lo hacemos de una forma segura.
Verifique si se han modificado las limitaciones al acceso a distintas herramientas de administracin
remota como linuxconf. Puede que el atacante trate de abrir alguna puerta trasera para continuar
aprovechndose de nuestras mquinas.
En algunos casos puede interesar antes de nada, hacer alguna copia de todo el disco duro para seguir
investigando el incidente en otra mquina distinta que no est conectada a la red y no perder una
informacin que puede ser valiosa.
Evaluacin de los efectos del ataque: El siguiente paso que hay que realizar es la evaluacin de los
efectos que ha tenido el ataque. Tiene que tener en mente la naturaleza del ataque para evaluar los
efectos. Si ha sido una denegacin de servicio es probable que el atacante no haya tenido acceso a la
informacin local. Si tena instalado algn programa, estilo Tripwire, que verifica la integridad, su
trabajo ahora sera ms cmodo. En caso contrario tendr que verificar todos sus datos importantes.
Verifique las fechas de creacin de los ficheros binarios y si detecta alguna incongruencia con la fecha
de instalacin puede empezar a sospechar. Si tiene la posibilidad, compare los tamaos de los
ficheros con otro sistema limpio y por supuesto, no trate de verificar los programas ejecutndolos
como root.
Unas buena alternativa es volver a instalar el sistema. Guarde los ficheros de configuracin para tener
una funcionalidad idntica a la previa al ataque. En Linux, los ficheros de configuracin se almacenan
en modo texto por lo que no son susceptibles de contener caballos de Troya. Eso s, debera verificar
que las configuraciones son las originales y no han sido manipuladas por el atacante. Reinstale el
sistema y utilice las copias de seguridad para reponer los datos de los usuarios. Hay que tener
especial cuidado con las copias de seguridad. Tiene que estar seguro de que las copias de seguridad
que est utilizando son previas a cualquier ataque. No se arriesgue a restaurar unas copias de
seguridad que pudieran tener algn caballo de Troya; tenga un cuidado especial con los ficheros
binarios que restaura.
Avisar: Si cree que ha sido objeto de un ataque que no est documentado, debera notificarlo a
alguna organizacin de seguridad como CERT o similar para que se pueda solucionar lo antes posible
y evitar que otros sistemas lo puedan padecer. Y aunque sea un hecho documentado con anterioridad,
no dude en pedir consulta a alguna de la mltiples lista de correo que tratan temas de seguridad en
general y de Linux en particular. En Espaa resulta especialmente recomendada la lista CERT-ES de
RedIris. Si ha conseguido informacin sobre el atacante, se lo debera notificar al administrador del
dominio del intruso. Puede buscar este contacto con whois, con la base de datos del Internic o en
RedIris. Podra enviarles un mensaje de correo con todos los registros relacionados con el incidente,
fechas y horas. Si conoce alguna otra informacin sobre su intruso, podra mencionarla tambin. En
ciertas situaciones, tras enviar el correo podra llamar por telfono al administrador del sistema que
origin el incidente. Si el admininistrador localiza a su atacante, podra hacerle las cosas mucho ms
fciles. Los buenos Hackers con frecuencia usan sistemas intermedios. Algunos (o muchos) puede
que ni sepan que han sido comprometidos. Intentar seguir la pista de un cracker hasta su origen
puede ser difcil. Siendo educado con los administradores, le puede facilitar la obtencin de la ayuda
necesaria. De todas formas, esperamos que la lectura de este captulo sea totalmente innecesaria, si
ha seguido unas normas adecuadas de seguridad.
APNDICE A: Herramientas
Airmon: Antes de empezar a capturar trfico debemos poner nuestra tarjeta en modo monitor, con
esta aplicacin lo hacemos.
Airodump: Se usa para capturar datos trasmitidos a travs del protocolo 802.11 y en particular para la
captura y recoleccin de IVs (vectores iniciales) de los paquetes WEP con la intencin de usar
aircrack. Si existe un receptor GPS conectado al ordenador, airodump muestra las coordenadas del
AP.
Cuando se usan tcnicas estadsticas para crackear claves WEP, cada byte de la clave es tratado de
forma individual. Usando matemticas estadsticas, la posibilidad de que encuentres un byte
determinado de la clave crece algo ms de un 15% cuando se captura el vector de inicializacin (IV)
correcto para ese byte de la clave. Esencialmente, ciertos IVs revelan algn byte de la clave WEP.
Esto es bsicamente en que consisten las tcnicas estadsticas.
Usando una serie de pruebas estadsticas llamadas FMS y ataques Korek, se van acumulando
posibilidades o votos (votes) para cada byte de la clave WEP. Cada ataque tiene un nmero diferente
de votos asociado con l, por lo que la probabilidad de cada ataque varia matemticamente. Cuantos
ms votos tengamos de un byte o valor particular, mayor probabilidad hay de que sea el correcto.
MACchanger: Es una utilidad que permite ver y modificar (fake) la MAC address.
Microsoft Baseline Security Analyzer: Permite explorar mltiples sistemas, a fin de identificar falta
de actualizaciones y errores comunes de configuracin, en sistemas operativos y aplicaciones de
Windows de uso corriente(IIS, SQL Server, etc.)
Software Update Services (SUS): Se trata de una herramienta fundamental a la hora de mantener el
nivel de actualizacin de parches para el conjunto de sistemas Windows, en instalaciones con un gran
numero de equipos conectados a la LAN
Qchain: Permite al administrador, instalar por medio de scripting, varios parches simultneos, sin
necesidad de realizar mltiples booteos
Nikto: Es una secuencia de comandos en Perl, que utiliza la librera Libwhisker para las funciones
HTTP/Socket. Su funcin es la de examinar servidores Web en busca de mltiples problemas,
incluyendo configuraciones errneas, archivos y secuencias de comando inseguras o predeterminadas
y aplicaciones anticuadas.
Netcat: Ha sido bautizada la navaja suiza debido a sus mltiples utilidades. En su nivel ms bsico,
es capaz de leer y escribir datos a travs de conexiones de red utilizando los protocolos TCP y UDP
Achilles: Es un servidor proxy, que acta como una persona en el medio (man in the middle)
durante una sesin HTTP. Un proxy de HTTP tpico pasa paquetes hacia y desde el explorador de
Web cliente y un servidor de Web. Achilles intercepta los datos en una sesin HTTP en cualquier
direccin y le da la habilidad al usuario de alterar los datos antes de ser transmitidos.
BACK TRACK: es una distribucin GNU/Linux en formato LiveCD pensada y diseada para la
auditora de seguridad y relacionada con la seguridad informtica en general. Actualmente tiene una
gran popularidad y aceptacin en la comunidad que se mueve en torno a la seguridad informtica.
Deriva de la unin de dos grandes distribuciones orientadas a la seguridad, el Auditor + WHAX. WHAX
es la evolucin del Whoppix (WhiteHat Knoppix), el cual pas a basarse en la distribucin Linux SLAX
en lugar de Knoppix.
Incluye larga lista de herramientas de seguridad listas para usar, proporciona en un par de minutos
acceso a ms de 300 herramientas de todo tipo entre las que destacan numerosos scanners de
puertos y vulnerabilidades, archivos de exploits, sniffers, herramientas de anlisis forense y
herramientas para la auditora Wireless.
Fue incluida en la famosa lista Top 100 Network Security Tools del 2006 disponible en SecTools.Org.
Es una de las ms conocidas y apreciadas distribuciones GNU/Linux orientadas a profesionales de la
seguridad, con un enfoque especial hacia la realizacin de tests de penetracin. Para dar una idea de
su popularidad, baste decir que ocupa el puesto 32 en el famoso rnking de Insecure.org.
Wifislax es un CD de arranque que contiene al sistema operativo Linux. Puede hacer correr Linux
directamente desde el CDROM sin instalacin. Aunque lleva incorporado herramientas de instalacin
en el disco duro o en llaveros USB, o una emulacin en Windows. Wifislax esta basado bsicamente y
principalmente en SLAX (basado en la distribucin Slackware Linux), pero debido al gran trabajo
realizado por los autores del BackTrack hemos trabajado directamente sobre este ultimo live CD, as
pues catalogar al Wifislax como una live CD podra incluso considerarse como errneo. Tambin estn
disponibles todos los scripts y cdigos fuente, los cuales pueden ser utilizados para construir tu propio
live CD.
Esta distribucin de seguridad, contiene entre otros Asistencia Chipset, Herramientas Wireless, Suite
Aircrack y aircrack-ng, estudio de cifrado (WEP, WPA y WPA2), nmap, amap, lanzadores para
asistencia de conexin, herramientas bluetooth, etc.
WifiWay: Es un live CD que, basado en el sistema operativo Linux, puede ser ejecutado sin necesidad
de instalacin directamente desde el CDROM o tambin desde el disco duro como LiveHD, adems
de poderse instalar en memorias USB o en disco duro.
Wifiway es un Linux live cd diseado por www.seguridadwireless.net y www.wifiway.org esta pensada
y diseada para la auditora de seguridad del estndar 802.11. (WiFi, BlueTooth y RFID) y ademas
con soporte internacional. Deriva del inicio de varios desarrollos, algunos muy xitosos como es el
caso de WiFiSlax. Se debe destacar que Wifiway no est basada en otras distribuciones si no que es
Linux From Scratch.
Linux From Scratch o LFS es una coleccin de documentos que nos indican los pasos para compilar
una distribucin GNU/Linux desde cero. El proyecto se diferencia de otras distribuciones en que no
consta de paquetes y scripts pre ensamblados para una instalacin automtica del sistema, sino que
sus usuarios son provistos simplemente con paquetes de cdigo fuente y un manual de instrucciones
para el armado de un sistema GNU/Linux propio.
Debido al inmenso trabajo que demanda la instalacin de este sistema en comparacin a otras
distribuciones, los usuarios que deciden hacer uso de LFS son principalmente aficionados que desean
aprender sobre el funcionamiento interno de un sistema GNU/Linux y ensamblar un sistema a su
medida. Linux From Scratch es tambin utilizado como base de varias distribuciones, usualmente
alejadas de su espritu original de "metadistribucin".
Wifiway incluye una larga lista de herramientas de seguridad y auditora inalmbrica listas para ser
utilizadas, especializadas en la auditora Wireless, adems de aadir una serie de tiles lanzadores
muy intuitivos.
Una caracterstica de esta distribucin es que hace uso de un script (airoway.sh) que simplifica y
acelera el proceso de una auditora Wireless.
Zabbix: Es una aplicacin open source que nos permite monitorizar nuestros servidores va web.
Permite un acceso centralizado a toda la informacin obtenida de nodos de nuestra red. Encuentra
automticamente, mediante un rango de IPs, servicios y SNMP, y empieza a monitorizarlos
automticamente. Tiene una buena escalabilidad, ha sido testeado contra 5000 servidores y
dispositivos. Permite una administracin sencilla, guardndose los datos en BD (Oracle, MySQL,
PostgreSQL o SQLite). Monitorizacin en tiempo real, mandando avisos mediante email, SMS o
Jabber. Zabbix resume en sus objetivos principales su eficacia y potencia:
Interfaz amigable
Hacer las cosas simples
Utilizar los mnimos recursos
Reaccionar rpidamente
Documentar cualquier aspecto del software
Zabbix es capaz de monitorizar numerosos parmetros en una red, as como indicarnos la salud,
rendimiento e integridad de sus equipos. Utiliza un mecanismo de notificaciones extremadamente
flexible y nos ofrece un excelente catlogo de informes y grficas perfectos para el anlisis de
nuestros equipos, ya sea a nivel de software o hardware.
IPCop: Es una distribucin Linux que implementa un cortafuegos (o firewall) y proporciona una simple
interfaz web de administracin basndose en una computadora personal. Originalmente naci como
una extensin (fork) de la distribucin SmoothWall cuyo desarrollo haba estado congelado bastante
tiempo.
IPCop tiene como objetivos ser un cortafuegos sencillo, con pocos requerimientos hardware orientado
a usuarios domsticos o a pequeas empresas (SOHO), administrado a travs de una interfaz web,
con funcionalidades basicas y avanzadas, yendo (a manera de ejemplo) desde el simple filtrado de
paquetes hasta la asignacin de ancho de banda fijo a cada puesto de trabajo o la configuracin de
redes virtuales VPN. IPCop se actualiza desde el Interfaz Web de manera muy sencilla, incluyendo
actualizaciones del Kernel.
IPCop est capado y solo tiene instaladas las herramientas justas para su funcin como firewall,
limitando el dao que podra hacer un intruso que comprometiera el sistema. Si se desea ampliar la
funcionalidad existen extensiones, comunes con SmoothWall, que permiten instalar todo tipo de
utilidades como por ejemplo instalar Nmap para escanear IPs.
La distribucin Linux se puede bajar desde el sitio oficial en ingls, consiste de una imagen ISO de
menos de 100Mb la cual puede ser grabada en un CD e instalada en cualquier PC que tenga al menos
dos interfaces de red.
Topologas de red soportadas: Permite la implementacin de diferentes topologas de red, ya sea
desde la simple LAN que sale a internet, hasta la creacin de una zona desmilitarizada (DMZ),
soportando tambin la inclusin de una red inalmbrica.
Las diferentes zonas las divide en colores, siendo:
Roja (o Red) = zona de Internet,
Verde (green) = Red de rea Local (LAN) cableada,
Naranja (Orange) = zona desmilitarizada (DMZ, para la granja de servidores),
Azul (Blue) = zona inalmbrica (Wireless).
SmoothWall: Smoothwall es una distribucin Linux que tiene como objetivo proporcionar un
cortafuegos o Firewall de fcil administracin e instalacin, administrable a travs de una interfaz web.
Squid: Squid es un popular programa de software libre que implementa un servidor proxy y un
demonio para cach de pginas web, publicado bajo licencia GPL. Tiene una amplia variedad de
utilidades, desde acelerar un servidor web, guardando en cach peticiones repetidas a DNS y otras
bsquedas para un grupo de gente que comparte recursos de la red, hasta cach de web, adems de
aadir seguridad filtrando el trfico. Est especialmente diseado para ejecutarse bajo entornos tipo
Unix.
Squid ha sido desarrollado durante muchos aos y se le considera muy completo y robusto. Aunque
orientado a principalmente a HTTP y FTP es compatible con otros protocolos como Internet Gopher.
Implementa varias modalidades de cifrado como TLS, SSL, y HTTPS.
OSSIM: Es una distribucin de productos open source integrados para construir una infraestructura de
monitorizacin de seguridad. Su objetivo es ofrecer un marco para centralizar, organizar y mejorar las
capacidades de deteccin y visibilidad en la monitorizacin de eventos de seguridad de la
organizacin.
PuTTY: Es un cliente SSH, Telnet, rlogin, y TCP raw con licencia libre. Disponible originariamente slo
para Windows, ahora tambin est disponible en varias plataformas Unix, y se est desorrollando la
versin para Mac OS clsico y Mac OS X. Otra gente ha contribuido con versiones no oficiales para
otras plataformas, tales como Symbian para telfonos mviles. Es software beta escrito y mantenido
principalmente por Simon Tatham, open source y licenciado bajo la Licencia MIT.
AbouThiSite (www.aboutthisite.com), un servicio de reciente aparicin que nos mostrar una serie de
datos sobre cualquier url que le indiquemos. Basta con que le indiquemos una url para que nos
muestre la informacin general, donde conoceremos quien est detrs de la url junto con otros datos
como el pagerank, nmero de visitas diarias o la ip del servidor donde est alojado.
Adems, tambin obtendremos una paleta de colores donde conoceremos el porcentaje de cada tono
de color usado en el diseo de la pgina a la que pertenece la url. Sabremos asimismo si valida las
normas del W3C o el set de caracteres utilizado.
Pero si lo que queremos saber es la ubicacin del servidor, tambin nos lo indica a travs de un mapa
de Google Maps as como los datos que la acompaan. Por ltimo podremos conocer los vecinos, tal
y como tambin hace MyIpNeighbors. Para quien an no lo entienda, sobre la ip del servidor
conoceremos otros sitios web que comparten el mismo servidor web que la url que estamos
analizando. Tambin nos mostrar una captura de la web a la que pertenece la url.
GreatDB (www.greatdb.com) es una utilidad que recopila en una sola interfaz varias herramientas
para saber todo acerca de cualquier sitio web con tan solo ingresar su URL: Whois, Alexa, blacklinks,
paginas indexadas por Google y Yahoo, Screenshots de Internet Archives Wayback, entre muchas
otras. Podemos averiguar, la antigedad, el lenguaje, las 5 palabras clave, etc.
GFI LANguard Security Event Log Monitor (SELM) de GFI. LANguard realiza la deteccin de
intrusiones basada en los registros de sucesos y lleva a cabo la administracin de stos en toda la
red. Asimismo, almacena y analiza los registros de sucesos de todos los equipos de red y alerta en
tiempo real acerca de los problemas de seguridad, ataques y otros sucesos crticos. Security Event
Log Monitor puede almacenar los registros de sucesos en una base de datos central y ofrece reglas e
informes personalizados para el anlisis forense.
Systrack 3 de Lakeside Software, Inc. Emite alarmas de registro de suceso prcticamente en tiempo
real a travs de Event Log Monitor. Event Log Monitor inspecciona de forma peridica todos los
registros de sucesos de un equipo con el fin de determinar si ocurri algo nuevo desde la ltima
inspeccin. Systrack 3 filtra los sucesos recin descubiertos y realiza la accin pertinente. Estos filtros
pueden utilizar la configuracin predeterminada, la configuracin definida por el usuario o una
combinacin de ambas. Las cadenas de caracteres especficos en las propiedades de los sucesos,
como el nombre de una estacin de trabajo o un usuario, pueden desencadenar alarmas de registro
de sucesos. Un suceso tambin puede ejecutar una secuencia de comandos o reiniciar el equipo. Los
filtros tambin pueden generar capturas del protocolo simple de administracin de redes (SNMP),
mensajes emergentes de Windows o alertas de correo electrnico.
TCP Wrappers: es un software de domino pblico desarrollado por Wietse Venema (Universidad de
Eindhoven, Holanda). Su funcin principal es: proteger a los sistemas de conexiones no deseadas a
determinados servicios de red, permitiendo a su vez ejecutar determinados comandos ante
determinadas acciones de forma automtica. Con este paquete podemos monitorear y filtrar
peticiones entrantes a distintos servicios TCP-IP, como: SYSTAT, FINGER, FTP, RLOGIN, RSH,
REXEC, TFTP, TALK. El software est formado por un pequeo programa que se instala en el
"/etc/inetd.conf". Una vez instalado, se pueden controlar los accesos mediante el uso de reglas y dejar
una traza de todos los intentos de conexin tanto admitidos como rechazados (por servicios, e
indicando la mquina que hace el intento de conexin). El programa utiliza el syslogd (puerto 514 udp)
para mandar esa informacin; por defecto utilizar la salida de mail, la cual estar indicada en el
archivo de configuracin de syslogd (/etc/syslog.conf) con la lnea mail.debug. Esto se puede cambiar
en los fuentes del programa y se puede re-dirigir a otro lugar mediante el uso de las variables de
usuario que deja libres el syslogd (LOCAL_0,...LOCAL_7, estas variables vienen definidas en el
archivo /usr/include/syslog.h). Una vez modificados los fuentes, se deber indicar al syslogd donde
debe dejar la informacin de esa variable local.
En referencia al control de conexiones a distintos servicios, el software utiliza dos archivos de
informacin (hosts.allow, hosts.deny) situados en el directorio "/etc". Es en estos archivos donde se
definirn las reglas que deben utilizarse para el filtrado de los paquetes. El filtrado se puede realizar
teniendo en cuenta tanto a mquinas como a servicios o una mezcla de ambos. En el caso de las
mquinas hay varias formas de hacerlo. Por ejemplo se le puede indicar que slo se conecten las
mquinas pertenecientes al mismo dominio (esto se puede ampliar a los que tengan el mismo rango
de direcciones IP, para evitar que mquinas no definidas en el DNS no puedan conectarse), o slo
aqullas cuyos nombres sean especificados de forma explcita.
Netlog: Este software de dominio pblico diseado por la Universidad de Texas, es una herramienta
que genera trazas referentes a servicios basados en IP (TCP, UDP) e ICMP, as como trfico en la red
(los programas pueden ejecutarse en modo promiscuo) que pudiera ser "sospechoso" y que indicara
un posible ataque a una mquina (por la naturaleza de ese trfico). El paquete est formado por el
siguiente conjunto de programas:
Tcplogger: Este programa escucha todos los servicios sobre TCP, dejando una traza de cada
servicio en un archivo de trazas, indicando la hora, la mquina origen y el puerto de esa
conexin.
Udplogger: Es semejante al anterior, pero para los servicios sobre UDP.
Icmplogger: Se encarga de trazar el trfico de icmp.
Etherscan: Es una herramienta que monitorea la red buscando ciertos protocolos con actividad
inusual, como puedan ser conexiones tftp - en este caso, si se han realizado con xito nos
indica qu archivos se han llevado -, comandos en el puerto de sendmail (25 tcp) como vrfy,
expn, algunos comandos de rpc como rpcinfo, peticiones al servidor de NIS (algunas
herramientas utilizan este tipo de servidores para obtener el archivo de password, ej: ypx),
peticiones al demonio de mountd, etc. Etherscan se ejecuta en modo promiscuo en la mquina
utilizando (al igual que las anteriores) el NIT (Network Interface Tap de SunOs 4.1.x), y tambin
el "Packet Filtering Interface" para realizar esas capturas.
Nstat: Esta herramienta que originariamente fue diseada para obtener estadsticas de uso de
varios protocolos, se puede utilizar para detectar cambios en los patrones de uso de la red,
que nos puedan hacer sospechar que algo raro est pasando en la misma. Esta herramienta
viene acompaada por dos utilidades que nos permiten analizar la salida que origina nstat, a
saber: nsum, nload. La primera de ellas, nos da informacin de ciertos periodos de tiempo. La
segunda, es un programa awk que produce una salida que puede ser vista de forma grfica
por herramientas como xvgr. Para concluir este apartado, podemos decir que esta herramienta
es muy til para detectar ciertos tipos de ataques, tal como hemos reflejado anteriormente (con
etherscan), as como dar una idea de qu tipo de protocolos estn viajando por la red.
Adems, tiene la ventaja de que al estar en modo promiscuo, con slo tenerlo en una mquina
del segmento se puede tener monitoreado todo el segmento en el que est conectado.
Argus: Es una herramienta de dominio pblico que permite auditar el trfico IP que se produce en
nuestra red, mostrndonos todas las conexiones del tipo indicado que descubre. Este programa se
ejecuta como un demonio, escucha directamente la interfaz de red de la mquina y su salida es
mandada bien a un archivo de trazas o a otra mquina para all ser leda. En la captura de paquetes
IP se le puede especificar condiciones de filtrado como protocolos especficos, nombres de mquinas,
etc. A la hora de leer esa informacin disponemos de una herramienta que incluye el software
(llamado ra) y que nos permite tambin realizar filtros de visualizacin. Una caracterstica de esta
herramienta es la posibilidad de filtrar paquetes de acuerdo a las
listas de acceso de los routers CISCO. Es posible por tanto decirle que nos capture aquellos paquetes
que no cumplen las reglas de la lista de acceso definida para esa interfaz del router. Como en el caso
anterior (netlog) es posible ejecutar el comando en modo promiscuo (si lo que queremos es auditar
todo nuestro segmento). Este programa divide las transacciones en cuatro grupos: TCP, UDP/DNS,
MBONE, ICMP.
Tcpdump: Es un software de dominio pblico que imprime las cabeceras de los paquetes que pasan
por una interfaz de red. Este programa es posible ejecutarlo en modo promiscuo con lo que tendremos
las cabeceras de los paquetes que viajan por la red. Tanto en la captura como en la visualizacin de la
informacin, es posible aplicar filtros por protocolo (TCP, UDP, IP, ARP, RARP...), puertos (en este
caso el puerto puede ser un nmero o un nombre especificado en el archivo/etc/services), direcciones
fuente, direcciones destino, direcciones de red, as como realizar filtros con operadores (=, <, >, !=,
and, not, ...). En la ltima versin, es posible ver tambin los paquetes de datos.
SATAN (Security Administrator Tool for Analyzing Networks): Es un software de dominio pblico
creado por Dan Farmer que chequea mquinas conectadas en red y genera informacin sobre el tipo
de mquina, qu servicios da cada mquina y avisa de algunos fallos de seguridad que tengan dichas
mquinas. Una de las ventajas de SATAN frente a otros paquetes, es que utiliza una interfaz de WWW
(como Mosaic, Netscape,..), va creando una base de datos de todas las mquinas chequeadas y las
va relacionando entre ellas (de forma que si encuentra una mquina insegura, y chequea otra
mquina que est relacionada con sta, automticamente esta segunda quedar marcada tambin
como insegura). Adems, tiene la posibilidad de poder chequear las mquinas con tres niveles ("light",
normal y "heavy"). Una vez realizado el chequeo de la mquina se genera una salida en formato html,
y en el caso de encontrar fallos, da una pequea explicacin sobre el fallo en concreto. Cuando existe
algn documento sobre ese fallo recogido en el CERT (advisory) tiene un enlace a ese documento,
para que sobre la marcha pueda ser consultado. Asimismo, en el caso de que el fallo de seguridad
sea debido a versiones antiguas de software da la posibilidad (mediante un enlace) de instalar una
versin nueva de ese software. Algunos de los servicios chequeados por SATAN son: finger, NFS,
NIS, ftp, DNS, rexd, as como tipo de sistema operativo, versin de sendmail, etc. La base de datos
generada por SATAN puede ser luego consultada por varios campos: tipo de sistema operativo, tipo
de servicio (servidores de NIS, ftp, NFS, X, etc). SATAN ha sido diseado como una herramienta de
seguridad para ayudar a administradores de sistemas y redes, pero tambin puede ser utilizada para
atacar a sistemas y descubrir la topologa de la red de una organizacin. SATAN es capaz de
chequear mquinas por subredes, con lo que quedan al descubierto todas las mquinas que se
encuentran conectadas en dicha subred.
ISS (Internet Security Scanner): Es una herramienta de la cual existe versin de dominio pblico que
chequea una serie de servicios para comprobar el nivel de seguridad que tiene esa mquina. ISS es
capaz de chequear una direccin IP o un rango de direcciones IP (en este caso se indican dos
direcciones IP e ISS chequear todas las mquinas dentro de ese rango). El programa viene
acompaado de dos utilidades que son ypx y strobe. La primera, nos permite la transferencia de
mapas NIS a travs de la red y la segunda, chequea y describe todos los puertos TCP que tiene la
mquina que chequeamos. Como podemos ver, con la primera herramienta es posible la transferencia
de los archivos de "password" en aquellas mquinas que hayan sido configuradas como servidores de
NIS. ISS se puede ejecutar con varias opciones y la salida se deja en un archivo. Adems, si ha
podido traerse el archivo de "password" de la mquina chequeada, crear un archivo aparte con la
direccin IP de la mquina.
Courtnet: Este software de dominio pblico sirve para identificar la mquina origen que intenta
realizar ataques mediante herramientas de tipo SATAN. El programa es un script perl que trabaja
conjuntamente con tcpdump. Courtney recibe entradas desde tcpdump y controla la presencia de
peticiones a nuevos servicios del stack TCP/IP (las herramientas de este tipo realizan ataques,
chequeando de forma ordenada todos los puertos TCP y UDP que tiene el sistema, para poder ver
qu servicios tiene instalados dicha mquina). Si se detecta que se est produciendo un continuo
chequeo de estos puertos en un breve intervalo de tiempo, Courtney da un aviso. Este aviso se
manda va syslog. Courtney puede generar dos tipos de alarmas dependiendo del ataque que se est
produciendo (normal o "heavy", las herramientas como SATAN dispone de distintos grados de
chequeo de la mquina). Esta herramienta necesita el intrprete de PERL y el tcpdump.
Gabriel: Software desarrollado por "Los Altos Technologies Inc" que permite detectar "ataques" como
los generados por SATAN. Gabriel identifica el posible ataque y de forma inmediata lo notifica al
administrador o responsable de seguridad. La notificacin se puede realizar de varias formas (e-mail,
cu, archivo de trazas). Este programa existe, en este momento, para SunOs y Solaris, y est formado
por un cliente y un servidor. El cliente se instala en cualquier mquina de la red, recoge la informacin
que se est produciendo y la enva al servidor va syslog. Estos clientes adems envan de forma
regular informacin al servidor para indicarle que estn en funcionamiento.
Tcplist: Es un pequeo programa de dominio pblico que nos informa acerca de todas las conexiones
TCP desde o hacia la mquina donde lo estamos ejecutando.
DEF CON es una de las ms viejas convenciones de Hackers. Se lleva a cabo generalmente en la
ltima semana del mes de julio o la primera semana de agosto en Las Vegas. La primera reunin de
DEF CON tuvo lugar en Las Vegas, en junio de 1993. Los Def Con Goons organizan y controlan el
evento. La mayora de los asistentes son profesionales de la seguridad informtica, Crackers, y
Hackers con intereses comunes como la programacin, las computadoras y la seguridad.
OWASP (acrnimo de Open Web Application Security Project, en ingls Proyecto de seguridad de
aplicaciones web abiertas) es un proyecto de cdigo abierto dedicado a determinar y combatir las
causas que hacen que el software sea inseguro. La Fundacin OWASP es un organismo sin nimo de
lucro que apoya y gestiona los proyectos e infraestructura de OWASP. La comunidad OWASP est
formada por empresas, organizaciones educativas y particulares de todo mundo. Juntos constituyen
una comunidad de seguridad informtica que trabaja para crear artculos, metodologas,
documentacin, herramientas y tecnologas que se liberan y pueden ser usadas gratuitamente por
cualquiera.
OWASP es un nuevo tipo de entidad en el mercado de seguridad informtica. Estar libre de presiones
corporativas facilita que OWASP proporcione informacin imparcial, prctica y redituable sobre
seguridad de aplicaciones informtica. OWASP no est afiliado a ninguna compaa tecnolgica, si
bien apoya el uso informado de tecnologas de seguridad. OWASP recomienda enfocar la seguridad
de aplicaciones informticas considerando todas sus dimensiones: personas, procesos y tecnologas.
Los documentos con ms xito de OWASP incluyen la Gua OWASP y el ampliamente adoptado
documento de autoevaluacin OWASP Top 10. Las herramientas OWASP ms usadas incluyen el
entorno de formacin WebGoat, la herramienta de pruebas de penetracin WebScarab y las utilidades
de seguridad para entornos .NET OWASP DotNet. OWASP cuenta con unos 50 captulos locales por
todo el mundo y miles de participantes en las listas de correo del proyecto. OWASP ha organizado la
serie de conferencias AppSec para mejorar la construccin de la comunidad de seguridad de
aplicaciones web.
SANS Institute: El Instituto SANS (SysAdmin Audit, Networking and Security Institute) es una
institucin con nimo de lucro fundada en 1989, con sede en Bethesda (Maryland, Estados Unidos)
que agrupa a 165.000 profesionales de la seguridad informtica (consultores, administradores de
sistemas, universitarios, agencias gubernamentales, etc.)
Sus principales objetivos son:
Reunir informacin sobre todo lo referente a seguridad informtica (sistemas operativos,
routers, firewalls, aplicaciones, IDS, etc.)
Ofrecer capacitacin y certificacin en el mbito de la seguridad informtica
LPI: El Linux Professional Institute (LPI) o Instituto Profesional Linux es una organizacin sin nimo de
lucro que otorga certificaciones profesionales de Linux a administradores de sistema, as como,
programadores. El instituto aplica los exmenes en casi todos los pases del mundo y proporciona una
amplia gama de certificaciones, LPIC, para profesionales. Es un miembro fundador del Desktop Linux
Consortium y es conocido en todo el mundo como la primera organizacin en impulsar y apoyar el uso
de Linux, Cdigo abierto y Software Libre. Se constituye formalmente como una organizacin sin
nimo de lucro en octubre de 1999 siendo sus fundadores Chuck Mead, Dan York y algunos otros. Su
sede se encuentra cerca de Toronto, Ontario Canad. Las certificaciones LPI -en ingls, LPI
Certificacin (LPIC)- han sido diseadas para certificar la capacitacin de los profesionales de las
Tecnologas de la Informacin usando el Sistema Operativo Linux y herramientas asociadas a este
sistema. Ha sido diseado para ser independiente de la distribucin y siguiendo la Linux Standard
Base y otros estndares relacionados. El programa LPI se basa en realizacin de encuestas para
establecer un nivel de certificacin basado en el puesto de trabajo a desempear utilizando para ello
procesos de Psicometra para garantizar la relevancia y calidad de la certificacin. Los programas de
certificacin LPI estn actualmente en revisin; la intencin es actualizarlos para as poder acompaar
la evolucin de las Tecnologas de la Informacin. Para ello se est en permanente contacto con la
industria del sector donde se realizan estudios y evaluaciones para determinar los perfiles idneos del
profesional Linux. Luego de establecer los nuevos objetivos de la certificacin, se elaborarn los
nuevos exmenes que comenzarn a tener vigencia a partir del 1 de Abril del 2009
CEH (Certified Ethical Hacker): Certified Ethical Hacker es una certificacin profesional promovida
por el Consorcio Internacional de Consultas de Comercio Electrnico. Un Hacker tico es el nombre
adoptado para la realizacin de pruebas de penetracin o intrusin a redes informticas. Un hacker
tico usualmente es un empleado o persona perteneciente a una organizacin, el cual intenta
introducirse a una red informtica o un sistema informtico, utilizando mtodos y tcnicas Hacker, pero
su propsito principal es la bsqueda y resolucin de vulnerabilidades de seguridad que permitieron la
intrusin. La Certificacin de Hacker tico CEH actualmente se encuentra en su versin 6.
CISSP (Certified Information Systems Security Professional) es una certificacin de alto nivel
profesional otorgada por la (ISC)2 (International Information Systems Security Certification
Consortium, Inc), con el objetivo de ayudar a las empresas a reconocer a los profesionales con
formacin en el rea de seguridad de la informacin. CISSP es considerada como una de las
credenciales de mayor representatividad en el mbito de la seguridad informtica a nivel mundial.
Para mayo del 2006, haba registrados 38384 CISSPs en el mundo. Los aspirantes a obtener la
certificacin CISSP deben cumplir con los siguientes requerimientos:
Aprobar el examen para CISSP: Este examen consta de 250 preguntas de seleccin simple y 6
horas de duracin, en el cual se evala el manejo que tiene el candidato sobre cada uno de los
10 dominios de conocimiento que conforman el Common Body of Knowledge (CBK).
Demostrar experiencia mnima de 5 aos en al menos dos de los 10 dominios del CBK.
Adherirse al Cdigo de tica de la ISC2.
En caso de ser seleccionado para tal fin, el aspirante debe someterse y pasar un proceso de
auditora.
Con el objetivo de mantener su estado de CISSP, aquellos profesionales certificados deben realizar
cierta cantidad de actividades cuya finalidad primordial es asegurar que el profesional se ha
mantenido activo en el rea de la seguridad. Cada una de estas actividades reciben cierta cantidad de
crditos (CPE) de los cuales el profesional debe reunir 120 cada 3 aos. Si el CISSP no rene los 120
CPEs en el tiempo definido, debe entonces volver a tomar y aprobar el examen si desea mantener su
certificacin.
Conexiones Dedicadas Privadas ("Leased Lines"): Tal y como su nombre lo implica los circuitos
son alquilados completos y son privados, un caso comn es: Si una oficina en cierta ciudad requiere
acceso las 24 horas a otra informacin que resida en otra ciudad o pas. Sus velocidades oscilan
desde 56Kbps hasta (800 veces mayor) 45 Mbps (T3) . En ocasiones la atraccin a este tipo de
conexin tambin se debe a los ahorros de telefona que pueden generar oficinas de la misma
empresa.
Bonded T1: Una bonded T1 son dos o ms lneas T1 que han sido unidas juntas para incrementar el
ancho de banda. Si una lnea T1 provee 1,5 mbps, dos lneas T1 proveern 3 mbps (o 46 canales de
voz o datos). Las lneas T1 permiten velocidades de 1,544 mbps. Un T1 fraccionado permite 64 kbps
por canal. Una Bonded T1, permite velocidades de hasta 3 mbps.
Conexiones T3: Las lneas T3 son conexiones dedicadas de telfono con transferencia de datos de
entre 43 y 45 mbps. En realidad una lnea T3 consiste de 672 canales individuales, cada uno soporta
64 kbps. Las lneas T3 son utilizadas principalmente por los ISP para conectarse al backbone de
internet. Un T3 tpico soporta una velocidad de 43 a 45 mbps.
Conexiones E1: E1 es un formato de transmisin digital; su nombre fue dado por la administracin de
la (CEPT). Es una implementacin de la portadora-E. El formato de la seal E1 lleva datos en una
tasa de 2,048 millones de bits por segundo y puede llevar 32 canales de 64 Kbps * cada uno, de los
cuales treinta y uno son canales activos simultneos para voz o datos en SS7 (Sistema de
Sealizacin Nmero 7). En R2 el canal 16 se usa para sealizacin por lo que estn disponibles 30
canales para voz o datos. E1 lleva en una tasa de datos algo ms alta que el T-1 (que lleva 1544
millones de bits por segundo) porque, a diferencia del T-1, no hace el bit-robbing y los ocho bits por
canal se utilizan para cifrar la seal. E1 y el T-1 se pueden interconectar para uso internacional.
Un enlace E1 opera sobre dos juegos separados de cable, usualmente es un cable coaxial. Una seal
nominal de 2,4 voltios es codificada con pulsos usando un mtodo que evita perodos largos sin
cambios de polaridad. La tasa de lnea es de 2,048 Mbit/s (full duplex, o sea, 2,048 Mbit/s descarga y
2,048 Mbit/s carga) el cual esta abierto en 32 segmentos de tiempo (llamados Time Slots), cada uno
tiene un turno direccionado de 8 bit. De esa manera cada casilla enva y recibe un nmero de 8 bits
muestreado 8000 veces por segundo (8 x 8000 x 32 = 2.048.000). Esto es ideal para llamadas
telefnicas de voz, en donde la voz es muestreada en un nmero de 8 bit a esa tasa de datos y es
reconstruida en el otro extremo.
Una casilla de tiempo (TS0) es reservado para efectos de segmentacin, y transmite alternadamente
un patrn arreglado. Esto permite al receptor detectar el inicio de cada trama y encontrar cada canal
en el turno. Los estandares permiten que se realice un chequeo de redundacia cclica a travs de
todos los bit transmitidos en cada segmento, para detectar si el circuito est perdiendo bits
(informacin), pero esto no siempre es usado en una sola trama.
Una casilla de tiempo (TS16) es usualmente reservada para propsitos de sealizacin, para controlar
la configuracin de la llamada y desmonte de acuerdo a varios protocolos estandar de
telecomunicaciones. Esto incluye sealizacin de canales asociados (Channel Associated Signaling -
CAS) en donde un juego de bits es usado para replicar la apertura y cerrada del circuito (como si se
descolgara y se marcara en un telfono analgico).
Sistemas ms recientes usan sealizacin de canal comn (Common Channel Signaling - CCS) como
ISDN o sistema de sealizacin nmero 7 (SS7 - Signalling System 7), el cual enva pequeos
mensajes codificados con ms informacin de la llamada, incluyendo Identificador de llamada (Caller
ID), tipo de transmisin requerida etc.
WDM: (del ingls Wavelength Division Multiplexing) es una tecnologa que multiplexa varias seales
sobre una sola fibra ptica mediante portadoras pticas de diferente longitud de onda, usando luz
procedente de un lser o un LED.
Este trmino se refiere a una portadora ptica (descrita tpicamente por su longitud de onda) mientras
que la multiplexacin por divisin de frecuencia generalmente se emplea para referirse a una
portadora de radiofrecuencia (descrita habitualmente por su frecuencia). Sin embargo, puesto que la
longitud de onda y la frecuencia son inversamente proporcionales, y la radiofrecuencia y la luz son
ambas formas de radiacin electromagntica, la distincin resulta un tanto arbitraria.
El dispositivo que une las seales se conoce como multiplexor mientras que el que las separa es un
demultiplexor. Con el tipo adecuado de fibra puede disponerse un dispositivo que realice ambas
funciones a la vez, actuando como un multiplexor ptico de insercin-extraccin.
Los primeros sistemas WDM aparecieron en torno a 1985 y combinaban tan slo dos seales. Los
sistemas modernos pueden soportar hasta 160 seales y expandir un sistema de fibra de 10 Gb/s
hasta una capacidad total 25.6 Tb/s sobre un solo par de fibra.
CWDM: El multiplexado por divisin aproximada de longitud de onda (CWDM) es un sistema que
pertenece a la familia de multiplexion por divisin de longitud de onda (WDM), se utiliz a principios de
los aos 80 para transportar seal de video (CATV) en conductores de fibra multimodo, fue
estandarizado por la ITU-T (internacional Telecommunication Union Telecommunication sector), cuya
norma es: ITU-T G.694.2 en el ao 2002
Dentro de la familia WDM existen 4 sistemas, DWND de ultra larga distancia, DWDM de larga
distancia, DWDM metropolitana y CWDM, las 3 primeras utilizan componentes pticos ms complejos,
de mayores distancias de transmisin y ms caros que CWDM, la cual esta desarrollada
especialmente para zonas metropolitanas, ofreciendo anchos de banda relativamente altos a un coste
mucho ms bajo esto debido a los componentes pticos de menor complejidad, limitada capacidad y
distancia, por lo cual es la ms competitiva a corta distancia.
DWDM: DWDM es el acrnimo, en ingls, de Dense wavelength Division Multiplexing, que significa
Multiplexacin por divisin en longitudes de onda densas. DWDM es una tcnica de transmisin de
seales a travs de fibra ptica usando la banda C (1550 nm).
DWDM es un mtodo de multiplexacin muy similar a la Multiplexacin por divisin de frecuencia que
se utiliza en medios de transmisin electromagnticos. Varias seales portadoras (pticas) se
transmiten por una nica fibra ptica utilizando distintas longitudes de onda de un haz lser cada una
de ellas. Cada portadora ptica forma un canal ptico que podra ser tratado independientemente del
resto de canales que comparten el medio (fibra ptica) y contener diferente tipo de trafico. De esta
manera se puede multiplicar el ancho de banda efectivo de la fibra ptica, as como facilitar
comunicaciones bidireccionales. Se trata de una tcnica de transmisin muy atractiva para las
operadoras de telecomunicaciones ya que les permite aumentar su capacidad sin tender ms cables
ni abrir zanjas. Para transmitir mediante DWDM es necesario dos dispositivos complementarios: un
multiplexador en lado transmisor y un demultiplexador en el lado receptor. A diferencia del CWDM, en
DWDM se consigue mayor nmeros de canales pticos reduciendo la dispersin cromtica de cada
canal mediante el uso de un lser de mayor calidad, fibras de baja dispersin o mediante el uso de
mdulos DCM "Dispersion Compensation Modules". De esta manera es posible combinar ms canales
reduciendo el espacio entre ellos. Actualmente se pueden conseguir 40, 80 o 160 canales pticos
separados entre si 100 GHz, 50 GHz o 25 GHz respectivamente.
El primer sistema WDM en combinar dos seales portadoras hizo su aparicin alrededor de 1985. A
principios del siglo 21, la tecnologa permite combinar hasta 160 seales con un ancho de banda
efectivo de unos 10 gigabits por segundo. Ya las operadoras estn probando los 40 Gbit/s. No
obstante la capacidad terica de una sola fibra ptica se estima en 1.600 Gbit/s. De manera que es
posible alcanzar mayores capacidades en el futuro, a medida que avance la tecnologa.
Fibra Oscura: es la denominacin popular que se atribuye a los circuitos de fibra ptica, que han sido
desplegados por algn operador de telecomunicaciones, pero no estn siendo utilizados. La
conectividad por la fibra se comercializa en bruto, de manera que es el propio cliente quien aplica la
tecnologa de transmisin que ms se adeca a sus necesidades, mejorando as el rendimiento
obtenido puesto que se evitan conversiones innecesarias de protocolos.
Cuando un operador de telecomunicaciones despliega su red de fibra ptica tiene que hacer una gran
inversin para construir las canalizaciones y tender los cables de fibra ptica. Si en un futuro fuese
necesario ampliar la capacidad de una red ya existente, sera necesario reabrir las zanjas y tender
cables adicionales. Dado lo costoso de esta operacin, resulta ms atractivo sobredimensionar la red
inicial instalando ms cables de fibra ptica de los que son necesarios.
Los cables de fibra pueden contener diferentes nmeros de fibras: 8,16,32,64,128,256 etc. Debido al
sobredimensionamiento, no todas las fibras se emplean. Los que quedan sin uso reciben el nombre de
fibra oscura. En ltimo trmino, algunos de estos cables nunca llegan a ser utilizados, es decir, nunca
se transmite luz a travs de ellos. De ah la denominacin de fibra oscura.
Existen grandes compaas que disponen de diversas sedes alejadas entre s por distancias
considerables, y que tienen necesidad de grandes anchos de banda para intercomunicar dichas
sedes. Las operadoras de telecomunicaciones pueden cubrir estas necesidades concretas alquilando
sus circuitos de fibra oscura a estas compaas.
La fibra oscura es una opcin cara de telecomunicaciones, pero existen casos en los que resulta
rentable. Por ejemplo, grandes bancos y organizaciones gubernamentales usan la fibra oscura para
interconectar sus centros de procesos de datos con los correspondientes centros de respaldo.
Green Computing: tambin conocido como Green IT o traducido al espaol como Tecnologas Verdes
se refiere al uso eficiente de los recursos computacionales minimizando el impacto ambiental,
maximizando su viabilidad econmica y asegurando deberes sociales. No solo identifica a las
principales tecnologas consumidoras de energa y productores de desperdicios ambientales sino que
ofrece el desarrollo de productos informticos ecolgicos y promueve el reciclaje computacional.
Algunas de las tecnologas clasificadas como verdes debido a que contribuyen a la reduccin en el
consumo de energa o emisin de dixido de carbono son computacin en nube, computacin grid,
virtualizacin en centros de datos y teletrabajo.
El trmino de green computing comenz a utilizarse despus de que la Agencia de Proteccin
Ambiental (EPA, por sus siglas en ingls) de los Estados Unidos desarrollara el programa de Estrella
de Energa en el ao de 1992, diseado para promover y reconocer la eficiencia energtica de
diversas tecnologas como computadoras, monitores y aires acondicionados. La EPA cuenta con una
herramienta que funciona en internet con la que se puede realizar una Evaluacin Ambiental de
Productos Electrnicos (EPEAT) y que sirve para seleccionar y evaluar computadoras de escritorio,
laptops y monitores en base a sus caractersticas ambientales. Los productos EPEAT estn diseados
para reducir el consumo de energa, disminuir las actividades de mantenimiento y permitir el reciclaje
de materiales incrementando su eficiencia y tiempo de vida de los productos computacionales.
Virtualizacin: La virtualizacin es una tecnologa que comparte los recursos de cmputo en distintos
ambientes permitiendo que corran diferentes sistemas en la misma mquina fsica. Crea un recurso
fsico nico para los servidores, el almacenamiento y las aplicaciones. La virtualizacin de servidores
permite el funcionamiento de mltiples servidores en un nico servidor fsico. Si un servidor se utiliza
a un porcentaje de su capacidad, el hardware extra puede ser distribuido para la construccin de
varios servidores y mquinas virtuales. La virtualizacin ayuda a reducir la huella de carbono del
centro de datos al disminuir el nmero de servidores fsicos y consolidar mltiples aplicaciones en un
nico servidor con lo cual se consume menos energa y se requiere menos enfriamiento. Adems se
logra un mayor ndice de utilizacin de recursos y ahorro de espacio.
Computacin en nube: La computacin en nube, del ingls cloud computing, es una tecnologa que
permite ofrecer servicios de computacin a travs de Internet. La nube es una metfora de Internet.
Es una forma de computacin distribuida que proporciona a sus usuarios la posibilidad de utilizar una
amplia gama de recursos en redes de computadoras para completar su trabajo. Los recursos se
escalan de forma dinmica y se proporcionan como un servicio a travs de Internet. Los usuarios no
necesitan conocimientos, experiencia ni control de la infraestructura tecnolgica. Al utilizar
computacin en nube las empresas se vuelven ms ecolgicas porque disminuyen su consumo de
energa al incrementar su capacidad sin necesidad de invertir en ms infraestructura. Adems se
aumenta la tasa de utilizacin del hardware ya que se comparten los recursos.
En este tipo de computacin todo lo que puede ofrecer un sistema informtico se ofrece como
servicio, de modo que los usuarios puedan acceder a los servicios disponibles "en la nube de
Internet"[2] sin conocimientos (o, al menos sin ser expertos) en la gestin de los recursos que usan.
Segn el IEEE Computer Society, es un paradigma en el que la informacin se almacena de manera
permanente en servidores en Internet y se enva a cachs temporales de cliente, lo que incluye
equipos de sobremesa, centros de ocio, porttiles, etc. Esto se debe a que, pese a que las
capacidades de las PC han mejorado sustancialmente, gran parte de su potencia es desaprovechada,
al ser mquinas de propsito general. La computacin en nube es un concepto general que incorpora
el software como servicio, tal como la Web 2.0 y otros recientes, tambin conocidos como tendencias
tecnolgicas, donde el tema en comn es la confianza en Internet para satisfacer las necesidades de
cmputo de los usuarios.
Como ejemplos de computacin en nube destacan Amazon EC2, Google Apps, eyeOS y Microsoft
Azure, que proveen aplicaciones comunes de negocios en lnea accesibles desde un navegador web,
mientras el software y los datos se almacenan en los servidores.
Computacin Grid: La computacin grid es una tecnologa innovadora que permite utilizar de forma
coordinada todo tipo de recursos (entre ellos cmputo, almacenamiento y aplicaciones especficas)
que no estn sujetos a un control centralizado. En este sentido es una nueva forma de computacin
distribuida, en la cual los recursos pueden ser heterogneos (diferentes arquitecturas,
supercomputadores, clusters...) y se encuentran conectados mediante redes de rea extensa (por
ejemplo Internet). Desarrollado en mbitos cientficos a principios de los aos 1990, su entrada al
mercado comercial siguiendo la idea de la llamada Utility computing supone una revolucin que dar
mucho que hablar.
El trmino grid se refiere a una infraestructura que permite la integracin y el uso colectivo de
ordenadores de alto rendimiento, redes y bases de datos que son propiedad y estn administrados por
diferentes instituciones. Puesto que la colaboracin entre instituciones envuelve un intercambio de
datos, o de tiempo de computacin, el propsito del grid es facilitar la integracin de recursos
computacionales. Universidades, laboratorios de investigacin o empresas se asocian para formar grid
para lo cual utilizan algn tipo de software que implemente este concepto.
INERGEN: es el nombre comercial (y marca registrada) de una gas diseado para la extincin de
incendios. Est indicado para fuego elctrico y estancias cerradas. Se emplea habitualmente en
centros de proceso de datos. El gas INERGEN es una mezcla de elementos gaseosos en la siguiente
proporcin:
Nitrgeno: 52%.
Argn: 40%.
Dixido de carbono: 8%.
Es invisible e inodoro.
SkipJack: El Skipjack es un algoritmo de cifrado diseado por la Agencia de Seguridad Nacional para
proteger datos a nivel gubernamental en los Estados Unidos. Inicialmente, su diseo era secreto, la
estructura del algoritmo se mantuvo de forma confidencial, sin embargo, debido a problemas que tuvo
la NSA para proporcionar toda la cobertura que se requera, el algoritmo se hizo pblico. Estaba
implementado tpicamente en hardware de propsito especfico.
APENDICE C: Metodologa de Anlisis de Riesgo
Existen numerosas metodologas disponibles para la realizacin de anlisis de riesgos, ya que es una
labor que requiere de bastante dedicacin y con una metodologa estructurada se facilita la tarea,
sobre todo si existe una herramienta que simplifique todo el proceso.
La organizacin debe escoger aquella que se ajuste a sus necesidades, y si considera varias
opciones, inclinarse por la ms sencilla. Hay que tener en cuenta que el anlisis de riesgos debe
revisarse peridicamente, por lo que si se hace con una metodologa complicada, esta labor
necesitar de una dedicacin excesiva.
En una organizacin nunca se podr eliminar totalmente el riesgo, siempre quedar un cierto nivel de
riesgo, por lo que es importante que todos los riesgos residuales sean aceptados por la Direccin.
A continuacin haremos una descripcin detallada de los pasos con que cuenta nuestra metodologa
de anlisis de riesgo, la cual consideramos el punto central de la definicin de una estrategia de
seguridad, perfectamente alineada con la visin de la organizacin, dentro de su entorno de
operacin. Esta metodologa es el resultado de la combinacin de diferentes propuestas existentes en
la industria, y utiliza mtodos tanto cualitativos, como cuantitativos, los primeros permiten agilidad en
el proceso y facilidad en la asignacin de valores de impacto o riesgo, y los segundos nos permiten la
precisin y exactitud, necesarias a la hora de tomar decisiones de tipo financiero, por ejemplo, en el
caso de la seleccin de los controles adecuados, para mitigar un posible evento negativo a la
operacin y continuidad del negocio.
Entrevistas
Mediante este tipo de aproximacin a la organizacin, se busca entender los diferentes aspectos que
la conforman, tanto en el aspecto tecnolgico, como en los procesos crticos, los cuales a su vez,
son soportados por las aplicaciones y la infraestructura tecnolgica.
La Empresa identificar los siguientes elementos en el marco de la norma de seguridad
ISO17799/ISO 27001:
Descripcin de la Organizacin y sus Objetivo. Entendimiento de la organizacin, sus reas
funcionales y su ubicacin geogrfica.
El levantamiento del detalle topolgico de la infraestructura de tecnologa existente, en el cual
se especificar y detallar la plataforma de hardware, software, comunicaciones y procesos
utilizados por XXX.
Listas de verificacin de la Infraestructura Tecnolgica: El objetivo de las listas de chequeo es
identificar las vulnerabilidades de las plataformas tecnolgicas.
Evaluacin de riesgo
La evaluacin de riesgos identifica las amenazas, vulnerabilidades y riesgos de la informacin, sobre
la plataforma tecnolgica de una organizacin, con el fin de generar un plan de implementacin de los
controles que aseguren un ambiente informtico seguro, bajo los criterios de disponibilidad,
confidencialidad e integridad de la informacin. Los dos puntos importantes a considerar son:
La probabilidad de una amenaza
La magnitud del impacto sobre el sistema, la cual se mide por el nivel de degradacin de uno o
combinacin de alguno de los siguientes elementos: confidencialidad, disponibilidad,
integridad.
Determinacin de la probabilidad
Con el fin de derivar una probabilidad o una estimacin de la ocurrencia de un evento, los siguientes
factores deben ser tomados en cuenta:
Fuente de la amenaza y su capacidad.
Naturaleza de la vulnerabilidad.
La probabilidad que una vulnerabilidad potencial pueda ser explotada por una fuente de amenaza la
podemos clasificar en alta, media-alta, media, media-baja y baja, como se describe a continuacin.
Nivel Definicin
Alta=5 La amenaza esta altamente motivada y es suficientemente
capaz de llevarse a cabo.
Media-Alta=4 La amenaza est fundamentada y es posible.
Media=3 La amenaza es posible.
Media-Baja=2 La amenaza no posee la suficiente capacidad.
Baja=1 La amenaza no posee la suficiente motivacin y capacidad.
Identificacin de vulnerabilidades
Para la identificacin de vulnerabilidades sobre la plataforma de tecnologa, se utilizan herramientas
como listas de verificacin y herramientas de software que determinan vulnerabilidades a nivel del
sistema operativo y Firewall:
Seguridad Fsica.
Monitoreo ambiental
Control de acceso
Desastres naturales
Control de incendios
Inundaciones
Seguridad en las conexiones a Internet.
Polticas en el Firewall
VPN
Deteccin de intrusos
Seguridad en la infraestructura de comunicaciones.
Routers
Switches
Firewall
Hubs
RAS
Seguridad en Sistema Operacionales(Unix, Windows)
Correo Electrnico
Seguridad en las aplicaciones Crticas
Se define las aplicaciones que son crticas para la organizacin y por cada una de ellas
se obtendr una matriz de riesgo. Es importante considerar que las aplicaciones estn
soportadas por: Sistemas operativos, hardware servidor, redes LAN y WAN, y el Centro
de cmputo.
Bsqueda de vulnerabilidades en su red (Windows y Linux)
Directorios compartidos, puertos abiertos, cuentas no usadas.
Revisin de actualizaciones aplicadas en los sistemas operativos.
Deteccin de dispositivos USB
Identificacin de controles
En esta fase se evaluarn las conclusiones de la valoracin respecto a ISO17799 y la matriz de riesgo
con el fin de identificar los controles que mitiguen los riesgos encontrados.
Definicin de polticas
Se entiende por poltica, las reglas generales de comportamiento definidas para la interaccin entre
los usuarios y los activos informticos. Las polticas son independientes de los ambientes propios de
la entidad y representan la base de un modelo de seguridad. Las Polticas de seguridad dependen de
la cultura de la organizacin. Por esta razn las polticas y procedimientos deben estar hechos a la
medida, segn los requerimientos especficos de cada organizacin. Para la definicin de las polticas
y procedimientos se realiza un proceso de validacin en conjunto con la organizacin con el fin de
generar polticas y procedimientos que se ajusten a esta. Como punto de partida para la definicin de
las polticas se tendr como referencia el anlisis de riesgo realizado, los controles del ISO 1
7799/ISO 27001.
Definicin de procedimientos
Los procedimientos son la descripcin detallada de la manera como se implanta una poltica. El
procedimiento incluye todas las actividades requeridas, los roles y responsabilidades de las personas
encargadas de llevarlos a cabo.
Los procedimientos a definir son los siguientes: Administracin de cuentas de usuario.
Manejo de Incidentes
Manejo de Virus
Administracin de cuentas privilegiadas.
Procedimiento de Control de Cambios.
Procedimiento de Acceso al edificio.
Procedimiento de acceso al centro de Cmputo.
Procedimiento de respaldo
Una solucin de seguridad completa de los sistemas de Informacin requiere algo ms que la ltima
tecnologa, otros componentes crticos que debe incluir son, como mnimo: una estrategia de
seguridad, una gestin de riesgos en lnea con las necesidades de negocio de la empresa, un poltica
de seguridad actualizada, una organizacin que asuma la responsabilidad de la seguridad, un plan de
divulgacin y unas normas para la implantacin de la tecnologa.
La poltica de seguridad misma responder a la posicin que asuma la organizacin ante las
amenazas. Esta posicin se traduce en la determinacin de una estrategia de seguridad que
corresponde a un enfoque en particular para la eleccin de las reglas y medidas a tomar para proteger
la red. Porque una buena estrategia asegura una decisin ptima en cada momento.
Una estrategia bien planificada debe ir acompaada por una serie de recursos informticos de
respaldo, por la implantacin de una serie de medidas de seguridad (fsicas, lgicas, organizativas),
por una organizacin de emergencia y por unos procedimientos de actuacin encaminados a
conseguir una restauracin progresiva y gil de los servicios de negocio afectados por una
paralizacin total o parcial de la capacidad operativa de la empresa.
Dependiendo de las caractersticas y la finalidad de la empresa, las estrategias de seguridad pueden
ir dirigidas a evitar la materializacin a ultranza de las amenazas, a minimizar su impacto, a la
restauracin lo ms rpidamente posible de la operatividad del sistema tras un ataque, a la
persecucin y deteccin de los responsables del asalto, o bien a una combinacin de ellas
Existen algunas estrategias generales que responden a diferentes principios asumidos para llevar a
cabo la implementacin de una solucin de seguridad. Antes de establecer cualquier medida de
seguridad es importante comprender algunas estrategias bsicas empleadas para la proteccin de un
Sistema de Informacin.
La defensa a fondo . El fallo de un solo mecanismo de seguridad no debe comprometer por completo
toda la seguridad. Esta estrategia se basa en la implementacin de varios mecanismos de seguridad y
que cada uno de ellos refuerce a los dems. Se trata de no depender solamente de una manera de
seguridad sin importar cun fuerte parezca sino de instalar varios procedimientos que se respalden
entre s. De esta forma se evita que la falla de uno de los mecanismos deje vulnerable al Sistema de
Informacin al completo. Aplicaciones de esta estrategia se pueden ver en otros aspectos de la vida,
por ejemplo: una puerta de acceso a una vivienda con ms de una cerradura y varios cerrojos.
La idea es hacerle ms difcil y costoso a un atacante la tarea de violar la seguridad del sistema de
informacin. Esto se logra con la multiplicidad y redundancia de la proteccin, es decir, con cada
mecanismo respaldando a los dems mecanismos de seguridad y cubriendo aspectos solapados, de
forma que si uno de esos mecanismos falla, existen otras barreras ms que vencer. Por ejemplo, se
pueden aplicar polticas de seguridad de red, junto con polticas de seguridad de hosts y con la
seguridad humana (educacin en seguridad para los integrantes de la organizacin y usuarios del
sistema de informacin). Para el caso de la seguridad de red, por ejemplo, con un firewall, es comn
utilizar una solucin de mltiples capas donde puede existir ms de un filtro de paquetes, donde uno
de ellos es capaz de filtrar aquellos paquetes que deberan haber sido rechazados por el filtro anterior.
Un aspecto importante de esta estrategia es la necesidad de evitar fallas de modo comn es decir que
los diferentes mecanismos deben ser cuidadosamente configurados para evitar que las fallas de un
mecanismo no se propaguen al resto.
Punto de choque . Esta estrategia consiste en depender de un nico punto de acceso al sistema. Ya
que no existe otro camino, los esfuerzos de control y mecanismos de seguridad se centran y
simplifican en monitorear un solo sitio de la red. Este punto debe estar fuertemente defendido contra
todo tipo de ataques y estar listo para responder si los detecta. Hay muchos ejemplos de puntos de
choque en la vida cotidiana: los pasos fronterizos, las cajas registradoras de un supermercado, la
taquilla de un cine. Esta estrategia se considera como una solucin todo en uno. Como
consecuencia, uno de los problemas que presenta es que si un atacante es capaz de traspasar la
seguridad de este nico punto del acceso tendr acceso a todos los recursos del sistema. Esta
situacin puede ser tratada utilizando mecanismos de proteccin redundantes (defensa a fondo) y as
reforzar la seguridad de dicho punto. Adicionalmente, otro de los inconvenientes que puede provocar
esta estrategia, es que pueden producirse bajas en el desempeo si se ve superada la capacidad del
punto de acceso de registrar los sucesos y controlar todo el trfico de entrada y salida.
En muchas soluciones para la seguridad de las redes, este punto de choque es implementado por un
Firewall perimetral por lo que ste debe tener la capacidad de procesar todo el trfico que por l pase
sin afectar sensiblemente al desempeo de las comunicaciones. La alternativa a este problema es
proveer ms caminos de acceso a los Sistemas Informticos, pero estos caminos tambin deben ser
protegidos por algn mecanismo de seguridad, lo que hace ms compleja la solucin. La estrategia
del punto de choque no es til si existe una forma alternativa de acceder a la red, por lo que estos
caminos deben ser cuidadosamente localizados y restringidos del acceso exterior. Un punto de
choque es inservible si hay una manera efectiva de que un atacante lo evite. Por qu molestarse en
atacar la puerta principal, que est fortificada, si la puerta trasera est totalmente abierta?
El eslabn ms dbil . Se basa en la idea de que una cadena es tan fuerte como su eslabn ms dbil.
Se deben conocer los puntos dbiles de las defensas para, si es posible, eliminarlos o monitorizarlos.
Aunque no por esto debe restarse importancia a la seguridad de otros aspectos del sistema. Esta
estrategia, aplicada a las redes, establece que un sitio es tan seguro como lo es su enlace ms dbil.
Este enlace suele ser el objetivo de los ataques a la privacidad de una red.
Siempre habr algn punto que ser el ms dbil de todos, la idea es que ese enlace debe ser lo
suficientemente seguro en proporcin al riesgo que implica que sea vulnerado. Algunos afirman que el
eslabn ms dbil en la cadena de la seguridad informtica es el usuario.
Diversificacin de la defensa . Si todos los sistemas son iguales, alguien que sepa entrar en alguno de
ellos quiz penetre en todos. Por eso, esta estrategia plantea el uso de diferentes tipos de
mecanismos de seguridad de diferentes proveedores para maximizar la seguridad. Esta estrategia
puede complementarse con la de defensa a fondo... El objetivo es reducir las posibilidades de fallas
comunes en todos los sistemas utilizados para proteger el sistema, debidas a errores propios de los
sistemas o de configuracin. Esta estrategia tiene la desventaja del posible costo adicional, tanto
econmico como de tiempo y complejidad, ya que se debe conocer el funcionamiento y manejo de
ms de un producto. Otra de las posibles desventajas es la incompatibilidad de los sistemas, aunque
actualmente existen estndares en varias reas de la seguridad que hacen posible que diferentes
sistemas puedan coexistir en la misma red colaborando para lograr una solucin integral. Adems,
diversos sistemas configurados por la misma persona (o el mismo grupo de personas) pueden
compartir problemas comunes, por ejemplo, si el problema es un malentendido sobre como funciona
un protocolo especfico, todos sus sistemas pueden estar configurados incorrectamente siguiendo ese
malentendido... Por eso, adicionalmente estos sistemas pueden ser configurados por distintos
administradores de seguridad para evitar que algn error conceptual por parte de los mismos afecte a
la proteccin completa. Aunque se reconoce que utilizar mltiples tipos de Sistemas de Seguridad
pueden potencialmente incrementar la seguridad, con frecuencia se concluye que la diversificacin de
defensas requiere ms trabajo de lo que vale, y que las ganancias y mejoras no compensan el costo.
Simplicidad . La simplicidad es una estrategia de seguridad que se basa en dos principios: (1)
Mantener las cosas sencillas las hace ms fciles de comprender Si algo no se entiende, no se
puede saber si es seguro o no, y (2) lo complejo proporciona muchos escondites para que se
oculten toda clase de cosas (por ejemplo, es ms fcil mantener seguro un apartamento que una
mansin). Se sabe que cuanto ms grande y complejo es un sistema, ms errores tendr, ser ms
difcil de utilizar y ms costoso de testear. Adems, probablemente posea agujeros de seguridad no
conocidos que un atacante puede explotar, por ms complejos que sean. La simplicidad de los
sistemas de seguridad es un factor importante de una slida defensa de red. Particularmente los
sistemas de seguridad de red a nivel de aplicacin no deberan tener funcionalidades desconocidas y
deberan mantenerse lo ms simples posible.
Falla segura . La seguridad absoluta no existe, por tanto, en la medida de lo posible los sistemas
deben tener una falla segura, es decir, si van a fallar deben hacerlo de tal forma que nieguen el
acceso a un atacante en lugar de dejarlo entrar, o dejen de funcionar si detectan alguna anomala. La
estrategia de falla segura es ampliamente aplicada en la vida diaria. Los dispositivos elctricos estn
diseados para apagarse (detenerse) cuando fallan de alguna forma. Los ascensores estn diseados
para frenar si no tienen energa elctrica. Las puertas elctricas, por lo general, se abren cuando falla
la energa, a fin de que nadie quede atrapado en los edificios.
Participacin universal . Ms que una estrategia, es un principio que debera cumplir toda solucin de
seguridad. Se plantea que todo individuo en la organizacin que posee la red privada debe colaborar
en mantener y cumplir las Medidas de Seguridad que permitan ofrecer una proteccin efectiva sus
sistemas. De otra forma, un atacante podra aprovechar la debilidad de aquellos sistemas a cargo de
estas personas para poder llegar al resto de los recursos de la red. Un ejemplo claro de esto sera el
caso de alguien que desde su equipo decidiera establecer una conexin telefnica a Internet
utilizando un modem, sin ningn tipo de proteccin. Estara abriendo una puerta trasera a posibles
atacantes. Esta colaboracin es necesaria ya que al administrador de seguridad de la red no puede
estar en todos lados; al menos no debera convertirse en una batalla entre ste y los individuos de la
organizacin.
Seguridad a travs de oscuridad . La idea de esta estrategia est basada en mantener oculta la
verdadera naturaleza del sistema de seguridad, de esta forma, un atacante lo pasar por alto como
una posible vctima. Pero esta suposicin es algo ingenua ya que varios estudios han demostrado que
el inters de un atacante por un determinado sitio no solo est determinado por el inters que ste
tenga sobre la informacin del sistema. Esta estrategia, aunque puede ser til en el comienzo de la
vida de un sitio, y una buena precaucin, es una base pobre para una solucin de seguridad a largo
plazo ya que la informacin tiende a filtrarse y los atacantes son habilidosos para obtener informacin
relevante del sitio
Seguridad basada en Hosts . En este modelo, los esfuerzos de proteccin estn enfocados en los
sistemas finales de una red privada, es decir que los mecanismos de seguridad son implementados en
estos sistemas, y son ellos mismos quienes deciden si aceptar o no los paquetes de una
comunicacin. Probablemente sea el modelo de seguridad para computadoras mas comnmente
usado en la actualidad, aunque el mayor problema con este modelo es que no es escalable si no se
considera un esquema de administracin apropiado, por lo que solo es usado en ambientes muy
pequeos o donde no existe una red configurada que pueda ofrecer tal tipo de proteccin. El mayor
impedimento para hacer efectiva la seguridad de estos sistemas en ambientes de redes de
computadoras actuales es la complejidad y heterogeneidad de esos ambientes. Inclusive si todos los
hosts fueran idnticos o si tal heterogeneidad fuera superada, un sitio con un gran nmero de hosts
hace que sea difcil asegurar de forma efectiva a cada uno. Mantener e implementar efectivamente la
proteccin a este nivel requiere una importante cantidad de tiempo y esfuerzo, y es una tarea
compleja. En pocas palabras, puede no ser rentable implementar un nivel de seguridad a nivel de
hosts para sitios grandes ya que requieran muchas restricciones, y mucho personal de seguridad.
Adicionalmente, este modelo presenta un problema importante en cuanto a puntos de ahogo y enlaces
dbiles: no existe un nico punto de acceso ya que existen mltiples conexiones, una para cada host,
muchas de las cuales pueden estar dbilmente protegidas.
Seguridad basada en la Red . El modelo de seguridad de red se enfoca en controlar el acceso a la red,
y no en asegurar los hosts en s mismos. Este modelo esta diseado para tratar los problemas
identificados en el ambiente de seguridad de hosts, aplicando los mecanismos de proteccin en un
lugar en comn por el cual circula todo el trfico desde y hacia los hosts: los puntos de acceso a la
red. Un enfoque de seguridad de red involucra la construccin de firewalls para proteger redes
confiadas de redes no confiables, utilizando slidas tcnicas de autenticacin, y usando encriptacin
para proteger la confidencialidad e integridad de los datos a medida que atraviesan la red. La ventaja
sobre el modelo de seguridad de hosts es una considerable reduccin del costo para proveer la misma
o mejor proteccin, ya que solo se necesita proteger unos pocos puntos de acceso (en muchos casos,
uno) lo que permite concentrar todos los esfuerzos en una solucin perimetral. Este modelo es
escalable en la medida de que la solucin perimetral pueda soportar los cambios sin afectar su
desempeo. Una desventaja de este modelo es que es muy dependiente de algunos pocos puntos de
acceso por lo que pueden producirse reducciones en el desempeo del trafico de entrada y salida de
la red; por otro lado, la proteccin lograda no es flexible y posee un bajo grado de granularidad, es
decir, no es posible especializar la proteccin necesaria para cada host y sistema final de la red
privada.
Requerimientos funcionales de una solucin de seguridad
El objetivo de una solucin de seguridad es "aislar" el segmento de la red local del resto de Internet y
controlar el trfico que llega y sale de ella. De aqu surgen dos aspectos bsicos a cubrir por una
solucin de seguridad para redes, seguridad en trnsito y regulacin de trfico, los cuales, cuando son
combinados, ayudan a garantizar que la informacin correcta sea entregada de forma segura al lugar
correcto. Existe tambin la necesidad de asegurar que los hosts que reciban la informacin, la
procesen apropiadamente, de aqu surge el espectro completo de seguridad de los hosts. La
proteccin de una red contra amenazas no puede ser lograda por una sola tecnologa o servicio por lo
que es necesario disear una estrategia balanceada que permita cubrir los puntos dbiles en la
seguridad de una red.
Seguridad en trnsito: Todas las comunicaciones entre sitios que forman parte de una red publica
son vulnerables a ataques de escuchas, ste riesgo est asociado con la importancia que tiene la
informacin para quien tenga la habilidad de interceptar dicha comunicacin. La seguridad en transito
enfatiza la necesidad de mantener los datos seguros mientras transitan una red pblica como Internet.
As, disponemos de ciertas funciones o servicios que cubren distintos puntos de este aspecto.
Limitar la exposicin de la red interna: De esta forma podemos ocultar "todo" lo que sucede dentro
de la red de la organizacin de la red publica, que de otra forma significara un riesgo en la seguridad
de las comunicaciones y los recursos. Mediante este servicio es posible ocultar el esquema de
direcciones de la red interior, para evitar que cualquier host no confiable efecte comunicaciones de
forma directa con alguno de los host de nuestra red, as como tambin asegurar que todo el trafico
entre hosts confiables de la red privada que atraviese una red publica se mantenga de esa forma (es
decir, solo accesible a aquellos hosts a quienes est destinada la comunicacin). Estas
funcionalidades pueden ser logradas mediante el uso de la Traduccin de Direcciones de Red (NAT) y
de Redes Privadas Virtuales (VPN) respectivamente.
Regulacin de Trfico: Otro de los aspectos importantes acerca de la seguridad de las redes es
regular de cerca qu tipos de paquetes pueden viajar entre redes. Si un paquete que puede hacer
algo malicioso a un host remoto nunca llega a l, el host remoto no se ver afectado. La regulacin del
trfico provee este servicio entre hosts y sitios remotos. Esto sucede en tres reas bsicas de la red:
routers, Firewall y hosts. Cada uno provee servicios similares en diferentes puntos de la red. De
hecho, la lnea que los diferencia es arbitraria y difusa.
Poltica de Seguridad: La poltica de seguridad deber ser una de las primeras consideraciones al
disear una solucin de seguridad pues ser la que gue la eleccin y configuracin de la tecnologa a
utilizar. Y en su definicin influye un factor clave: la postura del diseador, es decir la actitud ante los
riesgos que corre la red por su conexin a una red pblica. Est afectada por la opinin y habilidades
del diseador y responder a una filosofa que ser ms o menos flexible (aceptamos solo aquello que
sea seguro -porque lo conocemos-, o rechazar solo aquello que es malo -porque lo conocemos-). No
elegir o seleccionar una politica de seguridad, es tambin en s misma una poltica de seguridad: la de
permitir todo. Una filosofa apropiada es aquella que no considere que todo es absoluto, es decir, que
encuentre un punto intermedio que se ajuste a las necesidades de la organizacin. Sera deseable
que pueda minimizar el peligro y proveer a la vez los beneficios de una conexin de red.
Con esto debe quedar en claro que no existe una frmula para la poltica de seguridad de una red
privada sino que cada responsable debe disearla segn el caso, las necesidades, las directivas, las
restricciones y otros factores que fundamenten o no una determinada decisin. Tales decisiones son
necesariamente dependientes del contexto. Las consideraciones de una poltica de seguridad estn
dirigidas por las necesidades estructurales, de negocios o tecnolgicas de la organizacin y pueden
involucrar decisiones tales como restringir el trfico de salida de red que permita a los empleados
exportar datos valiosos, restringir el software importado por los empleados sin permiso de la
compaa, impedir el uso de un determinado protocolo de comunicacin porque no puede ser
administrado de forma segura, entre otras. Este es un proceso iterativo que permite modificar la
filosofa para ajustarse a las necesidades del momento.
El funcionamiento de un Firewall est fuertemente asociado a la poltica de seguridad elegida. Definir
los lmites de comportamiento es fundamental para la operacin de un Firewall. Por lo tanto, una vez
que se haya establecido y documentado apropiadamente una slida poltica de seguridad, el Firewall
debe ser configurado para reflejarla y es su trabajo aplicarla como parte de una defensa de permetro
(siguiendo el enfoque tradicional). Consecuentemente se configura un Firewall para rechazar todo, a
menos que hayamos elegido explcitamente aceptarlo y correr el riesgo. Tomar el camino opuesto de
rechazar solo a los ofensores conocidos es una opcin extremadamente peligrosa. Por ltimo,
cualquier cambio hecho al Firewall debera se corregido en la poltica de seguridad y viceversa.
Filtros y listas de acceso: Los filtros son programas que generalmente se encuentran situados en los
sistemas que proveen conectividad entre redes, es decir los puntos de acceso a la red, routers,
firewalls y gateways (aunque esto no es as para todos los casos). Estos efectan un anlisis para
determinar el destino del paquete completo en base a la informacin contenida en el encabezado de
los paquetes que llegan a dichos sistemas y en funcin de un conjunto de reglas. De aqu podra
decidir desechar el paquete, es decir, no permitir que contine viajando por la red en la direccin
original (entrando o saliendo); aceptar el paquete, con lo cual continuara atravesando la red, o hacer
algo ms (por ejemplo, redireccionarlo a otro punto de la red).
Las reglas especifican patrones o propiedades en los datos del encabezado de un paquete asociados
con la accin a tomar con dicho paquete. Cada paquete que atraviesa el filtro es comparado contra la
lista de reglas tambin conocida como cadena de reglas. Para decidir el destino de un paquete, el
filtro busca, a travs del conjunto de reglas, alguna que coincida con el contenido del encabezado del
paquete. Una vez encontrada dicha regla, se lleva a cabo la accin indicada por la regla para el
paquete. Esta lista de reglas debe ser configurada para reflejar la poltica de seguridad asumida por la
solucin de seguridad de la red.
Con la utilizacin de un filtro es posible bloquear toda comunicacin con ciertas partes (sitios) de la
red externa para evitar determinados comportamientos no deseables en los sistemas finales de la red
privada; permite restringir todas las comunicaciones entrantes a ciertos servicios de la red para evitar
el acceso a recursos privados; y habilitar alarmas o avisos que adviertan que paquetes entran, salen o
son rechazados. Por lo tanto el filtro de paquetes puede actuar tanto para la entrada como para la
salida de paquetes de la red.
Partiendo de la necesidad de implantar estos servicios para una solucin Firewall, se ha definido un
modelo de referencia que establece los diferentes componentes que deben estar presentes:
Funcin de Auditora o Monitoreo: permite el registro de eventos relevantes del sistema, muy
til para la deteccin de intrusos.
Funcin de Autenticacin: permite la identificacin certera de la entidad con la cual se
establece una comunicacin.
Funcin de Integridad: asegura que el paquete ha sido recibido tal cual fue enviado y que no
ha sido falseado en el transcurso de su transmisin.
Funcin de control de Acceso (filtrado de paquetes): en base a informacin dentro del paquete,
se verifican las reglas de seguridad para determinar el destino del paquete.
Funcin de cumplimiento del Acceso: realiza el control final de los datos entrantes derivando la
decisin a los mdulos apropiados; ste es un servicio de la misma naturaleza que el de
control de acceso, solo que a un nivel superior (referido a la aplicacin responsable de
procesar el paquete).
NAT: Traduccin de Direcciones de red: La traduccin de direcciones de red (NAT por Network
Address Translation) fue creada, inicialmente con el propsito de resolver el problema de escalabilidad
de direcciones IP y su agotamiento para la asignacin de nuevas nmeros IP; otra ventaja de NAT es
que permite ocultar el esquema de direcciones de una red privada al exterior ofreciendo un importante
servicio para una solucin de seguridad.
La estrategia utilizada por la aplicacin de esta tecnologa est basada en la distribucin topolgica de
la asignacin de futuras direcciones IP de cada espacio de direcciones de red a los distintos dominios
de ruteo de trnsito de datos (redes privadas). Las direcciones IP dentro de un red privada no son
nicas globalmente, sino que son reusadas en otros dominios, resolviendo as el problema de
agotamiento de direcciones.
Cuando un paquete es enviado al exterior de la red, la direccin IP de origen es traducida a una
direccin nica globalmente para evitar posibles conflictos con otros espacios de direcciones
asignados a otras redes privadas y ocultar el esquema de direcciones de la red local. Para esto, la
funcin de NAT se implementa en cada punto de salida entre la red privada y una conexin a la red
pblica. Cada dispositivo NAT tiene una tabla de pares de direcciones IP: direcciones locales y
direcciones nicas asignadas globalmente para poder realizar el mapeo. Ocurre la operacin inversa
con las direcciones de los paquetes que provienen del exterior. Con este esquema, es posible que una
nica direccin IP sea necesaria para representar a un grupo entero de computadoras.
La traduccin de direcciones permite a un nico dispositivo que interconecte la red privada con la red
exterior, por ejemplo un router o un firewall, actuar como agente entre Internet y la red local. NAT
puede ser instalado sin grandes cambios a estos dispositivos, lo que lo hace una buena opcin con
importantes beneficios. NAT es transparente a las sistemas internos y externos y operan en la capa de
red sin agregar mucho tiempo de cmputo adicional a las comunicaciones.
IPsec Arquitectura de Seguridad para IP: IPsec est diseado para proveer seguridad basada en
criptografa, de alta calidad e interoperable para Ipv4 e Ipv6. Los servicios de seguridad ofrecidos
incluyen control de acceso, integridad en comunicaciones sin conexin, autenticacin del origen de
datos, proteccin contra ataques de repeticin, confidencialidad mediante encriptado, entre otros.
Estos servicios son provistos en la capa IP ofreciendo proteccin para sta y las capas superiores.
Para ofrecer tales servicios, IPsec utiliza dos protocolos de seguridad de trfico, AH (Authentication
Header) y ESP (Encapsulating Security Payload) adems del uso de protocolos y procedimientos de
administracin de claves criptogrficas. El protocolo de administracin automtica de claves por
defecto es IKE. IKE es usado para establecer una poltica de seguridad compartida y claves
autenticadas para servicios que las requieran (como IPsec). Antes del envo de trafico IPsec, cada
router/firewall/host debe ser capaz de verificar la identidad de su par. Esto puede ser hecho
manualmente entregando claves pre-compartidas en ambos hosts.
El conjunto de protocolos de seguridad utilizados y la forma en que son empleados estar
determinado por requerimientos del sistema y de seguridad de los usuarios y aplicaciones.
Los mecanismos utilizados por IPsec estn diseados para ser independientes de los algoritmos
empleados. Esta modularidad permite la seleccin de diferentes conjuntos de algoritmos sin afectar
las otras partes del sistema. De todas formas, IPsec propone un conjunto de algoritmos por defecto
para ser usados y proveer interoperabilidad en Internet.
Redes Privadas Virtuales y Firewalls: Es comn que un Firewall implemente un servicio VPN, de
esta forma, es posible conectar dos redes con proteccin perimetral mediante tneles de Firewall a
Firewall, con lo cual se obtiene una red privada conformada por dos redes remotas.
Existen dos consideraciones en cuanto al acceso por parte de usuarios de una red a los recursos de
la otra, dependiendo de la confianza o acuerdo existente: Las comunicaciones entre ambos Firewalls,
a travs de una VPN pueden ser efectuadas con acceso controlado o acceso abierto.
En conexiones con acceso controlado, la VPN es utilizada solo para ofrecer privacidad entre ambos
puntos, ya que no existe una completa relacin de confianza entre ambas partes, por lo que la
comprobacin de autenticidad se lleva a cabo para cada comunicacin y el acceso a los recursos de
la red es restringido para ciertos servicios. En este caso se utiliza un firewall para controlar el acceso
a la red interna.
En conexiones con acceso abierto, la VPN es configurada para que ambos firewalls tengan un acceso
completo a los recursos de la otra red. No se requiere un control de autenticidad ya que se ha
acordado previamente este permiso (es decir que no se realiza por no considerarse necesario). En
este esquema, el firewall realiza la funcin de conectividad mediante VPN, por lo que el trfico es
privado, y si agregamos la confianza que resulta de que todos los sitios son administrados por la
misma organizacin, bajo las mismas polticas de seguridad, se podrn permitir todos los servicios de
red sobre esta VPN. De esta forma, las transmisiones estn bajo la proteccin del firewall, por lo que
el permetro de seguridad de la red se extiende a los sistemas remotos conectados mediante la VPN;
todos estos sistemas se encuentran virtualmente en la misma red privada con un permetro de red
virtual.
Tambin es posible establecer una VPN entre un firewall y un sitio remoto simple para proveer acceso
privado a usuarios mviles o conexiones hogareas. De la misma forma que las conexiones
anteriores, stas pueden ser con acceso controlado o abierto. El primero es til para clientes y socios
que necesiten acceso a servicios o sistemas particulares. El segundo es til para empleados o socios
de la organizacin que necesiten tener acceso a recursos compartidos, como ser, archivos,
impresoras, unidades de almacenamiento masivo, etc.; en ambos casos estos servicios o recursos
estn situados dentro del permetro de seguridad de la red. Mediante VPNs todas estas operaciones
pueden realizarse de forma segura.
Existen varias tecnologas para implementar Redes Privadas Virtuales, la principal es criptografa.
Existe una consideracin muy importante para hacer posible el uso global de las VPNs, y es la
necesidad de estandarizacin. Es deseable que cualquier sistema de conexin o firewall sea capaz de
establecer una red privada virtual con cualquier otro en cualquier parte del mundo. Cuando la
tecnologa de VPN surgi, no exista un estndar para configurar este tipo de conexiones, y algunos
proveedores crearon un mecanismo, llamado swIPe (software IP encription) pero no era el nico,
existan otras variantes pero no eran compatibles ya que se hacan portables para una arquitectura en
particular.
Para que la conectividad provista por las VPN sea ampliamente aprovechada, los diferentes sitios
deben poder ser capaces de comunicarse con mecanismos compatibles e independientes de la
plataforma usada, aunque utilicen diferentes productos. La estandarizacin puede resolver estos
problemas.
Actualmente, el estndar de la Arquitectura de Seguridad para el Protocolo de Internet (IPsec) ha
propuesto un ambiente de protocolos de seguridad, que permitir la interoperabilidad de aquellos
proveedores que utilicen las recomendaciones de ste estndar.
Una VPN debe responder a consideraciones de cuatro tipos de tecnologas, de entre los cuales los
ms importantes actualmente son:
Mecanismos de encriptado: IPsec, PPTP, T2L, PT2L
Algoritmos de encriptado: RC2 y RC4, DES y 3DES, IDEA, CAST
Mecanismos de negociacin e intercambio de claves para encriptado: ISAKMP, SKIP
Algoritmos utilizados para intercambiar claves para el encriptado: RSA, Diffie-Hellman
Todos estos mecanismos deben funcionar en forma coordinada para poder integrar una eficiente
funcionalidad para una VPN.
Los Firewalls para Internet son un requerimiento muy importante en el momento de considerar una
conexin a una red pblica. Si sumamos a esta solucin la funcionalidad de una red privada virtual se
pueden extender los horizontes de una red local ofreciendo ambos servicios en uno: conectividad
privada. Las VPNs no desplazan a los Firewalls, son parte de ellos: un Firewalls es responsable de
implementar la poltica de seguridad de la red privada de una organizacin como parte del permetro
de defensa; con el uso de redes privadas virtuales, los Firewalls podrn aplicar estas polticas sobre
conexiones de red privadas hacia sitios remotos.
Filtrado de paquetes (a nivel de red): Los filtros de paquetes operan al ms bajo nivel de
abstraccin en el cual, los datos son transmitidos en paquetes y analizados como tales. En la familia
de protocolos TCP/IP, los filtros son aplicados al nivel de transporte (TCP, UDP) y al nivel de red (IP).
Este mecanismo es implementado por lo general en los sistemas intermedios (gateways o routers)
que conectan la red interna con la red pblica. Cada paquete que ingresa a la red es interceptado y
analizado por la funcin de filtrado, implementada por un filtro de paquetes en estos dispositivos
intermedios. Suelen ser llamados Router de Filtrado de Paquetes o Gateways de Filtrado de
Paquetes. El filtro rechaza o reenva los paquetes al destinatario original, segn reglas especificadas
en Listas de Control de Acceso (ACL), que son almacenadas en el router o gateway, basadas en los
datos de los encabezados de los paquetes TCP e IP. Bsicamente los datos analizados son las
direcciones IP y puertos TCP de origen y destino de los paquetes. Un filtro de paquetes no mantiene
informacin de contexto para los paquetes que sean parte de una conexin; todos los paquetes son
tratados de forma independiente, sin ser relacionados con ningn otro.
La principal ventaja del filtrado de paquetes es que permite proveer, en un nico sitio o punto, una
proteccin particular para la red entera. Adems es transparente a los usuarios de la red ya que no
requiere configuracin alguna en los sistemas que interconecta ni realizar tareas especiales de
transmisin u otro tipo, lo que ofrece una estructura flexible en el sentido de que puede ser modificada
o re-estructurada sin necesidad de modificar el resto de la red.
Aunque existen algunas desventajas como posibles problemas de desempeo que pueden ser
clasificados en tres categoras [Peri]: nmero de campos examinados, posicin del campo en el
paquete, demora del proceso. Esto afecta el espacio necesario para almacenar las reglas, el nmero
de comparaciones y la complejidad del algoritmo.
El ncleo de un filtro de paquetes consiste de un lenguaje de descripcin que permite expresar reglas
de polticas de seguridad orientadas a paquetes. Las reglas definidas hacen referencia a entidades, es
decir que identifica dispositivos o sistemas por medio de sus direcciones IP. La sintxis de estos
lenguaje no est estandarizada por lo que diferentes productos permiten expresar las reglas de
diferentes formas.
Para ser efectivo, un filtro debe permitir expresar reglas utilizando comodines y rangos de valores
para referirse a ms de un host o dispositivo. Por ejemplo permitir los paquetes destinados al host
130.15.214.23 pero slo entre los puertos 1000 y 1050 (130.15.214:1000..1050); y negar todos
aquellos paquetes provenientes de la red 170.210.122.0 (170.210.122.*:*).
Tambin debe considerarse el espacio necesario para almacenar las reglas ya que existen mltiples
caminos que pueden tomar los paquetes hasta llegar al dispositivo filtrador. De aqu surge, tambin, la
necesidad de algoritmos de bsqueda de reglas. Todos estos aspectos afectan el desempeo del filtro
afectando tambin el desempeo de la red.
La funcin de filtrado de paquetes puede implementarse en varios sitios de la red interna. La forma
ms directa y simple es utilizar un router que la soporte.
Un router tendr dos interfaces, una que conecte a la red externa y la otra a la red interna. Los filtros
pueden aplicarse en una de las dos interfaces, o en ambas. Adems puede aplicarse al trfico de
entrada como al de salida, o a ambos. Estas caractersticas varan con los diferentes routers. Tales
consideraciones reflejan diferentes polticas ms o menos flexibles, con ms o menos puntos de
control. Una buena poltica a respetar es que si un paquete ha de ser rechazado, que sea cuanto
antes. Otra posible opcin es efectuar el filtrado independientemente de la interfaz de red.
Una alternativa es utilizar filtros basados en hosts, tales como screend de Digital Equipment
Corporation disponible para algunos sistemas operativos; ipfilterd de SGI Systems y Karlbridge. Otra
herramienta es IPTables/NetFilter, la cuarta generacin de filtros de paquetes para Linux. La primer
generacin fue ipfw, creada para BSD UNIX y portada para Linux. Uno de los objetivos de NetFilter es
proveer una infraestructura de filtrado de paquetes dedicada que los usuarios y desarrolladores
pudieran instalar como agregado en el kernel de Linux.
Filtrado de paquetes con NAT: Es posible efectuar el filtrado de paquetes junto con la Traduccin de
Direcciones de Red sin causar dificultades a ninguna de las dos funciones. La funcin de filtrado de
paquetes se disea ignorando por completo cualquier traduccin de direcciones que se lleve a cabo
ya que sta ltima se realiza entre la entrada / salida de datos en el borde de la red y el filtrado de
paquetes. Las direcciones captadas por el filtro sern las direcciones origen y destino reales.
Una alternativa a mantener el contexto de cada paquete es utilizar tablas dinmicas basadas en las
banderas SYN/ACK del encabezado de los paquetes TCP. En esta forma, la tabla de reglas se genera
a medida que un host interno solicita una conexin con un sitio externo por lo que el gateway asume
la poltica de reenviar solo aquellos paquetes entrantes que pertenezcan a conexiones iniciadas desde
el interior y rechazar aquellas iniciadas en el exterior (similar a la estrategia lograda con NAT
dinmico). Mediante el uso del proxy, los sistemas internos no podrn establecer conexiones directas
con el exterior sino por intermedio del proxy; quien solicite una conexin, se conectar a un puerto
TCP del gateway, luego el proxy determinar si la conexin es permitida o no, basado en un conjunto
de reglas de acceso que utilizan informacin del encabezado del paquete TCP, luego (si la conexin
fue aceptada) el gateway crea una conexin al dispositivo interno final. En este caso, el gateway
retransmitir todos los paquetes involucrados en la conexin.
Estos gateways pueden implementar algunos mecanismos de control de acceso tales como
autenticacin e intercambio de mensajes de protocolo entre cliente y proxy para establecer ciertos
parmetros del circuito. El control de acceso de conexiones no es del todo transparente ya que los
usuarios deben ser configurados para dirigir todas sus solicitudes al dispositivo que implemente esta
funcin.
La ventaja del mecanismo de filtrado a nivel de circuitos es que provee servicios para un amplio rango
de protocolos aunque requiere software especial en el cliente, lo que lleva al problema de que la
seguridad basada en hosts no es escalable (con una arquitectura de seguridad perimetral). A medida
que crece la red, la administracin de la seguridad de los clientes se hace ms compleja por lo que
demora ms tiempo llevarla a cabo y propensa al error; esto si no se efecta un control central e
implementado de forma distribuida.
Filtrado de Datos de Aplicacin: Este mecanismo interpreta los datos encapsulados en los paquetes
correspondientes a protocolos de aplicacin particulares para determinar si deben o no deben ser
procesados por la aplicacin correspondiente, ya que pueden contener datos que afecten el buen
funcionamiento de las mismas. La funcin de seguridad ofrecida por este mecanismo es mucho ms
segura que las anteriores. Son implementados por servicios proxies instalados en gateways, llamados
gateways a nivel de aplicacin. Proveen una barrera de seguridad entre los usuarios internos y la red
pblica. Los usuarios de la red interna se conectan al filtro de datos de aplicacin, quien funciona
como intermediario entre diferentes servicios de la red externa y el usuario interno.
Son implementaciones de propsito especial que intentan ofrecer servicios de seguridad a las
aplicaciones que procesen tales datos. Son especficos de la aplicacin, es decir que se necesita un
proceso proxy para cada aplicacin. Esto presenta una desventaja de implementacin. Aunque solo
algunos programas o protocolos de aplicacin necesitan ser analizados (por Ej. FTP y protocolos de
correo electrnico, ICMP) ya que otros no presentan peligros de seguridad. El correo electrnico
puede ser dirigido a travs de estos dispositivos, sin importar que tecnologa se utilice en el resto del
Firewall. Tambin hay que tener en cuenta que el tipo de filtrado usado depende de las necesidades
locales. Un sitio con muchos usuarios de PC debera analizar los archivos que reciba por posibles
virus. Adems presentan otra ventaja, que en algunos ambientes es bastante crtica: el registro de
todo el trfico de entrada y salida es simple implementar.
Planes de seguridad: Para mantener una visin clara e integral de las polticas de seguridad a
definir, es til establecer un plan de seguridad que ofrezca un marco de guas generales para tales
polticas. De esta forma, las polticas individuales sern consistentes con toda la arquitectura de
seguridad
Al igual que un plan de seguridad ofrece un marco de diseo para una poltica de seguridad, stas se
definen a diferentes niveles de especificacin o abstraccin lo que ofrece una visin ms clara y
coherente del esquema de seguridad completo resultante. Cada iteracin o nivel, especifica
requerimientos de seguridad ms detallados enfocados en diferentes aspectos. Las diferentes
polticas se refieren a: seguridad del sitio, acceso a servicios de red, diseo del Firewall, polticas
especficas del sistema.
Poltica de seguridad del sitio: La poltica de seguridad del sitio es una poltica global destinada a la
proteccin de los recursos de informacin de la organizacin. Incluye desde escners hasta el acceso
remoto a unidades de discos. Es una poltica de alto nivel que especifica lineamientos y
requerimientos generales como por ejemplo:
La informacin es vital para la economa de la organizacin
Se realizar todo esfuerzo rentable para asegurar la confidencialidad, integridad, autenticidad,
disponibilidad y utilidad de la informacin,
La proteccin de la confidencialidad, integridad, y disponibilidad de recursos de informacin es
prioridad de todos los empleados en todos los niveles de la compaa
A partir de esta poltica de seguridad surgen polticas especficas del sitio que cubren el acceso fsico
a la propiedad, acceso general a sistemas de informacin y acceso especfico a los servicios de esos
sistemas. La poltica de acceso a servicios de red es formulada en este nivel.
Poltica de Acceso a Servicios de Red: La Poltica de Acceso a Servicios de Red es una poltica de
alto nivel, especfica de alguna caracterstica; define aquellos servicios que sern permitidos o
explcitamente denegados de la red privada, la forma en la que estos servicios sern usados y las
condiciones de las excepciones a esta poltica. Se enfoca en la restriccin y uso de los servicios de la
red interna, tambin incluye todos los otros accesos externos a la red tales como accesos telefnicos
y conexiones SLIP y PPP. Esto es importante ya que algunas restricciones en el acceso a los servicios
de la red puede llevar a los usuarios a tratar de utilizar otros que pueden crear puntos dbiles de
acceso a ataques. Esta poltica debe ser diseada antes de que el firewall sea implementado. La
poltica debe ser realista y slida. Una poltica realista provee un balance entre proteger a la red de
riesgos conocidos y proveer al usuario acceso razonable a los recursos de la red. Una poltica slida
restringe los servicios previendo todos los posibles puntos de acceso a tal servicio. Una medida
comn asumida por una poltica de acceso a servicios de red es restringir el acceso a un sitio desde
Internet, pero permitir el acceso desde el sitio a Internet, o permitir acceso desde Internet slo a
algunos sistemas seleccionados. ste ltimo tipo de acceso debe ser permitido slo si es necesario y
debe ser combinado con caractersticas de autenticacin avanzada.
Poltica de Diseo de Firewall: Es una poltica de bajo nivel que describe cmo el Firewall controlar
el acceso a los servicios restringidos como se defini en la poltica de acceso a servicios de red. La
poltica de diseo es especfica de cada Firewall. Define las reglas utilizadas para implementar la
poltica de acceso a servicios de red. Debe ser diseada en relacin a, y con completo conocimiento
de caractersticas tales como las limitaciones y capacidades del Firewall, y las amenazas y
vulnerabilidades asociadas con las tecnologas utilizadas (como TCP/IP). Los Firewalls generalmente
implementan una de dos polticas de diseo bsicas:
Permitir todo servicio, a menos que sea expresamente restricto, o
Denegar todo servicio, a menos que sea expresamente permitido.
La primer poltica es menos deseable, ya que ofrece ms vas por las cuales puede accederse a un
servicio, evitando el Firewall, mientras que la segunda es ms fuerte y segura, aunque es ms
restrictiva para los usuarios. sta ltima es la clsicamente usada en todas las reas de seguridad de
la informacin.
Por lo tanto, dependiendo de los requerimientos de seguridad y flexibilidad, ciertos tipos de Firewalls
son ms apropiados que otros, haciendo muy importante que la poltica sea considerada antes de
implementar un Firewall. De otra forma, el Firewall podra no cubrir las funcionalidades esperadas.
Polticas especficas del sistema: Es implementada por el sistema mediante el uso de funciones de
control de acceso. Generalmente establece el permiso de acceso a ciertos recursos para ciertos
individuos de la organizacin.
Para ser efectiva, una poltica requiere visibilidad, lo que favorece a la implementacin de la misma
ayudando a asegurar que sea comunicada a travs de la toda la organizacin. Adems, debe ser
integrada y consistente con otras directivas existentes, leyes, guas, procedimientos, y la misin global
de la empresa.
APENDICE E: Sistema de Gestin de la Seguridad de la Informacin
(SGSI)
El concepto clave de un SGSI es para una organizacin del diseo, implantacin, mantenimiento de
un conjunto de procesos para gestionar eficientemente la accesibilidad de la informacin, buscando
asegurar la confidencialidad, integridad y disponibilidad de los activos de informacin minimizando a la
vez los riesgos de seguridad de la informacin.
Como todo proceso de gestin, un SGSI debe seguir siendo eficiente durante un largo tiempo
adaptndose a los cambios internos de la organizacin as como los externos del entorno.
La ISO/IEC 27001 por lo tanto incorpora el tpico "Plan-Do-Check-Act" (PDCA) que significa
"Planificar-Hacer-Controlar-Actuar" siendo este un enfoque de mejora continua:
Plan (planificar): es una fase de diseo del SGSI, realizando la evaluacin de riesgos de
seguridad de la informacin y la seleccin de controles adecuados.
Do (hacer): es una fase que envuelve la implantacin y operacin de los controles.
Check (controlar): es una fase que tiene como objetivo revisar y evaluar el desempeo
(eficiencia y eficacia) del SGSI.
Act (actuar): en esta fase se realizan cambios cuando sea necesario para llevar de vuelta
el SGSI a mximo rendimiento.
La mejor definicin de SGSI es descrito por la ISO/IEC 27001 y ISO/IEC 27002 y relaciona los
estndares publicados por la International Organization for Standardization (ISO) y la International
Electrotechnical Commission (IEC).
La figura ms relevante del modelo organizativo ser el Comit de Seguridad, mximo rgano decisor
del SGSI, integrado por directivos de todas las reas implicadas directamente en la seguridad. Son
claros candidatos Tecnologas de la Informacin, Oficial Mayor, Asesora Legal y Recursos Humanos.
Tambin son parte esencial del Comit de Seguridad el Responsable de Seguridad, encargado de la
planificacin, coordinacin y ejecucin de las actividades de seguridad de la informacin en toda la
organizacin, y el Auditor Interno. Por supuesto, el modelo organizativo incluir a los responsables de
las diferentes reas tcnicas (Sistemas, Infraestructuras y Desarrollo), como responsables de la
ejecucin de las actividades de seguridad de la informacin en sus reas respectivas.
La actividad ms definitoria de esta fase es el anlisis de riesgos . A fin de conocer con el mayor rigor
posible los riesgos a los que estn expuestos los activos que deseamos proteger, es necesario llevar
a cabo un proceso sistemtico de estimacin de los riesgos a los que est expuesta nuestra
organizacin. El anlisis de riesgos un proceso en el que generalmente conviene contar con tcnicos
expertos.
El anlisis de riesgos tendr como resultado el tratamiento que la organizacin dar a cada uno de
los diferentes riesgos, teniendo como referencia la poltica de seguridad y la normativa aplicable. Es lo
que el estndar denomina seleccin de controles , y lleva asociada la identificacin de indicadores de
eficacia de las medidas de tratamiento de los riesgos. No se debe minimizar la importancia de esta
ltima tarea, ya que est en la base del ciclo PDCA. Los indicadores aportarn informacin sobre la
eficacia de nuestro SGSI y deben, de esta forma, ayudarnos a reorientarlo al final de cada ciclo.
En relacin con la seleccin de controles, la norma ISO/IEC 27002 constituye un buen punto de
partida a la hora de definir qu controles deseamos implantar. De hecho, la norma ISO/IEC 27001
obliga a redactar un documento de aplicabilidad, en el cual se deben justificar la no aplicabilidad de
aquellos controles que se decida no tener en consideracin y la aplicabilidad de aquellos que es
necesario tratar.
Este es tambin el momento de determinar si se desea obtener la certificacin de nuestro SGSI. El
proceso de certificacin es un proceso relativamente dilatado, de ciclos de tres aos. Por supuesto,
tiene pros y contras. Entre los primeros, podemos mencionar que la obligacin de someterse a
auditoras anuales supone un acicate para mejorar la gestin del SGSI o tambin que permite obtener
una acreditacin nacional (con alcance internacional), contribuyendo positivamente a la imagen de la
organizacin. En sentido opuesto, debe tenerse presente que requiere una dedicacin adicional a las
exigencias derivadas del propio SGSI y que supone un coste econmico.
Por ltimo, mencionaremos de nuevo la importancia del compromiso de la direccin en toda esta fase,
ya que el tratamiento que se dar a los diferentes riesgos (que se plasmar en un plan de accin)
supone o bien aportar los recursos necesarios para implantar las salvaguardas contempladas en dicho
plan de accin o para transferir el riesgo a un tercero o bien asumir (aceptar explcitamente) la
responsabilidad de los daos que podran causar los riesgos residuales , aquellos para los que no se
va a implantar salvaguarda alguna ni se van a transferir a terceros.
Entre los requerimientos menos aplaudidos a la hora de mantener vivo un SGSI se encuentra la
obligacin de mantener debidamente documentados los mltiples procedimientos operativos de
gestin de la seguridad. Por ejemplo: cmo se gestionan los incidentes de seguridad, cmo se
autorizan y revocan los privilegios de acceso, cmo se llevan a cabo las actualizaciones de software o
cmo se bascula al centro de respaldo. Dado el esfuerzo requerido, es muy recomendable planificarlo
tambin a corto, medio y largo plazo.
Tambin forman parte del da a da el desarrollo de programas de formacin y concienciacin continua
en relacin con la seguridad de la informacin y dirigidos a todo el personal.
La otra cara de esta fase es la de la puesta en marcha de mejoras. Una vez que, tras el anlisis de
riesgos, se han identificado los principales riesgos a los que se hallan expuestos nuestros activos y
seleccionado los controles a aplicar, ha de elaborarse un plan de accin. Este plan incluir todos los
proyectos que se consideran adecuados para implantar las salvaguardas seleccionadas. Es
aconsejable distribuir los proyectos en el tiempo, agrupndolos en corto, medio y largo plazo, segn
criterios tales como su complejidad, urgencia y disponibilidad de recursos.
El plan de accin (o de tratamiento de riesgos) debe priorizar las acciones, incluir las necesidades de
recursos y sus responsabilidades. Y, obviamente, debe contemplar la implementacin de las mtricas
que permitan medir la eficacia de los controles seleccionados.
Pero muchas otras actividades de vigilancia se realizan de forma puntual y es por ello muy
recomendable planificarlas. Destacaremos las siguientes:
Medir con la periodicidad definida la efectividad de los controles para verificar que se cumple
con los requisitos de seguridad. Es recomendable utilizar una herramienta de seguimiento
flexible en la generacin de informes y orientada a integrarse con un cuadro de mando. Por
supuesto, es importante automatizar las medidas cuando sea posible y eficiente hacerlo.
Realizar auditoras internas a nuestro SGSI (la norma recoge la figura del Auditor Interno,
como se mencion al describir el modelo organizativo).
Realizar las auditoras exigidas por la legislacin aplicable. El caso ms evidente es el de las
auditoras exigidas por la Ley Orgnica de Proteccin de Datos de Carcter Personal.
Si se ha optado por certificar nuestro SGSI, es obligatorio realizar tambin la auditora externa
y las revisiones que exige la empresa certificadora.
Revisar los resultados de las anteriores auditoras de seguridad, incidentes de seguridad,
resultados de las mediciones de eficacia, sugerencias y observaciones de todas las partes
implicadas por parte de la direccin para garantizar que el alcance definido al comienzo sigue
siendo el ptimo, constatar la eficacia creciente del SGSI y validar las medidas correctoras.
Fase de Mejoras (act)
Corresponde a esta fase la puesta en marcha de las mejoras identificadas a partir de las actividades
de verificacin mencionadas anteriormente.
Estas mejoras pueden ser tanto acciones preventivas como correctivas, pero orientadas siempre hacia
la solucin definitiva del problema. En este sentido, juega un papel importante el anlisis de la causa
raz, aquella que constituye la razn de fondo del incidente que queremos resolver.
Las mejoras introducidas son asimismo medidas de seguridad y debe, por tanto, verificarse que
alcanzan los objetivos previstos. De la misma forma, deben ser adecuadamente documentadas y
comunicadas a las partes interesadas.
De especial relevancia para el xito del ciclo de mejora es la ptima ejecucin de la revisin por la
Direccin (recogida en el apartado 7 de la ISO/IEC 27001). Consiste en una revisin peridica en la
que se presentan a la Direccin una foto suficientemente completa del SGSI y propuestas de mejora,
de forma que la Direccin tome las decisiones que considere oportunas sobre anlisis de riesgos,
cambios en procedimientos y controles de seguridad, recursos necesarios o indicadores de eficacia.
El conjunto de decisiones adoptadas es la entrada fundamental para la fase de planeamiento que
abrir el ciclo PDCA siguiente.
BIBLIOGRAFA