Descripción del Proyecto.

Objetivos.

1. Identificar el conjunto de acciones que permitan mitigar los riesgos de seguridad que puedan llegar a
comprometer la disponibilidad, integridad y disponibilidad de la información y activos tecnológicos de la
Secretaría de Educación Pública.

2. Dimensionar y proponer la tecnología que pueda mitigar los riesgos de seguridad y a su vez resguarde el
correcto funcionamiento de los Servicios Informáticos que la Secretaría de Educación Pública proporciona a
sus usuarios internos como externos.

3. Identificar las áreas de oportunidad en el enfoque y alcance de los servicios de outsourcing de seguridad
que se requieran.

Metodologia
Las metodologias que se seguiran cabalmente para realizar esta evaluacion e implantar las soluciones que
resulten de esta seran OWASP para el inventario y analisis de los riesgos y NIST 800-30 para el manejo y
mitigacion de los mismos.

Actividades
1 Inventario
Tomar o validar el inventario de todos los sistemas y componentes de la red.
2 Desglosar
Se desglosara cada uno de los elementos del inventario en componentes en caso de que este
compuesto de varios, en funcionalidad requerida y la conectividad necesaria.
2.1 Desglose de componentes
El desglosar los elementos del inventario en sus componentes mas simples dara mas vision en el
analisis de que protocolos, tecnologias y dependencias usan para asi poder dirigir las pruebas de
seguridad y penetracion especificamente a los posibles puntos de fallos que puedan tener.
2.2 Desglose de funcionalidad
Se analizaran los casos de uso de los sistemas para detectar excepciones no atendidas o posibles
abusos que podrian traducirse riesgos de confidencialidad, integridad o disponibilidad de los
sistemas y/o su informacion.
2.3 Desglose de conectividad
El desglosar detalladamente los requerimientos de conectividad de los componentes del inventario
tecnologico permitira modelar las pruebas de seguridad de forma optima, delimitar correctamente
las conexiones de este elemento y modelar mejor el trafico en la red.
3 Modelado de riesgos
Teniendo ya el detalle de los sistemas, sus componentes, su funcionamiento esperado y sus
dependencias se procedera a evaluar todos las vulnerabilidades que pueden tener en los diversos
escenarios que sus casos de usos y las excepciones lo permitan.
 4 Modelados y desarrollo de pruebas de seguridad y penetracion
Despues de haber completado el modelado de riesgos se procedera a ejecutar una bateria de pruebas
por cada componente. (OpenVAS, Metaexploit y OWASP WebScarab)
Las bateria de pruebas puede estar conformada hasta por 66 pruebas unitarias distintas dependiendo
del desglose de componentes y conectividad. Estas pruebas o puntos de control pueden dividirse en las
siguientes 9 categorias:
* Administracion de la configuracion * Logica de negocio
* Autentificacion * Autorizacion
* Manejo de sesiones * Validacion de datos
* DoS (Negacion de Servicio) * Web Services
* Ajax
5 Ejecucion de pruebas
Las pruebas se calendarizaran de acuerdo con el cliente y se efectuaran procurando el menor impacto
a los sistemas y redes de produccion utilizando herramientas especializadas y desarrollos especificos
para estas tareas.
6 Evaluacion de resultados y definicion de estrategias de mitigacion de riesgos.
Con los resultados de las pruebas recolectados se analizaran las debilidades en los sistemas e
infraestructura para establecer las estrategias de mitigacion de riesgos mas efectivas.
7 Asegurar y robustecer los sistemas mediante IPS y Firewalls
Se robusteceran los IPS y se implementaran las reglas de firewalls necesarias para mitigar riesgos y
proteger los servicios criticos.
8 Implementacion del modelado del trafico
En base a los resultados de las pruebas junto con el conocimiento detallado de los requerimientos de
red de los componentes se modelara el trafico implementando nuevos moduladores o reconfigurando el
equipo con que se cuente, para garantizar una disponibilidad optima de la red para los sistemas criticos.
9 Implementacion de sistema de monitoreo, correlacion y administracion de bitacoras
El sistema de monitoreo tendra los siguientes modulos:
* Revision de disponibilidad de los servicios
* Monitoreo de trafico en la red
* Monitoreo de vulnerabilidades
* Deteccion de anomalias
* Administracion de inventario

Entregables

1. Entrega de documentacion del inventario

2. Reporte de los resultados del analisis inicial

3. Estrategia de Mitigacion de Riesgos

4. Optimizacion y satisfaccion de los requerimientos de seguridad para la red

5. Proteccion de los sistemas criticos

6. Sistema de correlacion de eventos de seguridad, monitoreo y administracion de bitacora

7. Capacitacion a los ingenieros del SOC (Centro de Operacion de Seguridad)