Tendencias y Estrategias

en Seguridad Informática
Tipos de ataques y enfoques para su resolver su mitigación

Para realizar el ejercicio se necesita:

Un navegador web o acceso a fuentes de datos sobre el área de seguridad informática

Objetivo de la actividad:

Aprender sobre los aspectos generales que requiere una estrategia en seguridad informática
para enfrentar y/o prevenir un ataque informático.

Primero describiremos dos conceptos que se emplean para ponderar y clasificar las amenazas
a un sistema informático: Superficie de ataque y arboles de ataques.

 Una superficie de ataque consiste en identificar las vulnerabilidades explotables y

alcanzables que posee un sistema informático. Algunos ejemplos son:

o Puertos abiertos que permitan la salida hacia la web u otros servidores, como
también código en ejecución escuchando en estos puertos.

o Servicios disponibles en el interior de un cortafuegos

o Código que procesa datos entrantes como email, XML, documentos office y
formatos de intercambio empleados en la industria.

o Formularios e interfaces web y SQL

o Un empleado con acceso a información sensible que pueda ser vulnerable a

ataques de ingeniería social.

Este análisis es útil para valorar la escala y severidad de las amenazas de un sistema.
Una vez que un análisis de puntos de vulnerabilidad ha sido determinado, permitirá a

© 2016 Patricio Galdames – IUT de Bayonne et du PaysBasque (UPPA) – Todos los derechos reservados
 los diseñadores reducir la superficie de ataque y con el hacer que la tarea del
adversario sea más difícil.

Un Árbol de Ataque es representación jerárquica de los datos que representa a un

conjunto potencial de técnicas para explotar vulnerabilidades de seguridad. En este
árbol, la raíz representa el incidente de seguridad y los distintos caminos que se
desprenden o ramas representan las distintas formas que un adversario puede lograr
llegar a ese objetivo (la raíz). La manera de llegar a la raíz puede significar que
incidentes intermedios deben ocurrir previamente.

Como ejemplo considere la figura 1 obtenida de [1] que nos muestra un árbol de
ataque obtenido del análisis de una aplicación de autenticación para acceso a la banca
en la Internet. La raíz del árbol nos muestra el objetivo del adversario. Las cajas
sombreadas (en verde) son nodos hojas en el árbol y representan eventos que se
requieren para conformar los ataques. Las cajas blancas consisten de uno o más
eventos de ataque específicos. Note que todos los nodos, excepto las hojas son nodos
que deben ser interpretados como posibilidades (OR)

Figura 1: Un árbol de Ataque para Autenticación de un banco en la Internet

Del análisis se desprende que hay tres componentes involucrados en la autenticación:

© 2016 Patricio Galdames – IUT de Bayonne et du PaysBasque (UPPA) – Todos los derechos reservados
  Terminal del usuario y usuario (UT/U): Estos ataques apuntan al equipo del usuario,
incluyendo aquellos tokens que pudieran estar involucrados, como por ejemplo tarjetas
inteligentes u otros tipos de generadores de contraseña. También, se incluyen a las
acciones del usuario.

 Canal de Comunicaciones (CC): Este tipo de ataque se enfoca en los enlaces de

comunicación.

 Servidor online del banco (IBS): Estos tipos de ataques son offline en contra de los
servidores que ejecutan la aplicación online del banco.

En este trabajo señalan que cincos estrategias de ataque se pueden identificar, cada una de las
cuales explota una o más vulnerabilidades de los tres componentes. Estas estrategias son:

 Comprometer las credenciales de los usuarios. Por ejemplo el adversario podría

intentar monitorear el uso de un PIN o contraseña, aplicar fuerza bruta para adivinar o
la clonación de una tarjeta inteligente.

 Inyectar comandos. El atacante es capaz de interceptar el tráfico entre UT e IBS. Con

ello podría hacerse pasar por un usuario valido y así acceder con los privilegios de este
usuario al sitio del banco online

 Adivinar credenciales de los usuarios. Se ha reportado que el empleo de ataques de

fuerza bruta a banco en línea es factible si se realiza una elección al azar de nombres
de usuario y contraseñas. Este ataque opera mediante el empleo de redes de
ordenadores cuya seguridad ha sido comprometida (se les llama zombies)

 Violación de las políticas de seguridad; Un empleado del banco podría exponer los
datos y credenciales de algún cliente si el banco presenta controles de acceso débiles.

 Uso de una sesión valida. En este ataque se convence al usuario de intentar conectarse
al usuario con el IBS con un ID de sesión inicial. Una vez que el usuario se autentifica
con el servidor, el atacante podría utilizar tal ID de sesión para enviar paquetes al
servidor y así suplantar la identidad del usuario.

En [2] se sugiere que toda estrategia de seguridad debe involucrar tres factores:

 Especificación/política. ¿Que se supone que el esquema de seguridad debe hacer?

Una política de seguridad es al menos una descripción informal o formal (deseable) de

lo que deseamos sea el comportamiento de un sistema. Tales políticas podrían referir a
requerimientos de confidencialidad, integridad y disponibilidad. Una política formal
debe establecer reglas y prácticas que especifiquen o regulen como un sistema o
organización provee servicios de seguridad para proteger recursos de los sistemas

© 2016 Patricio Galdames – IUT de Bayonne et du PaysBasque (UPPA) – Todos los derechos reservados
 críticos y sensibles. Tales políticas deben ser reforzadas por controles técnicos del
sistema así como también por controles operacionales y de gestión.

Usualmente el manager al definir una política debe considerar los siguientes tradeoff:
Usabilidad versus seguridad y costo de la seguridad versus costo de fallar y de la
recuperación.

 Implementación/mecanismos: ¿Cómo funciona?

Esta involucra cuatro cursos complementarios de acción:

o Prevención: tomar medidas proactivas con el fin de impedir o hacer difícil para
un adversario realizar un ataque. Por ejemplo, considere la transmisión de
datos encriptados. Es importante mantener medidas que permitan impedir el
acceso no autorizados a las claves empleadas por el algoritmo de encriptación
con el fin de mantener la confidencialidad de los datos.

o Detección: Ya que no es siempre posible garantizar completa prevención,

resulta práctico poseer la capacidad de detectar un posible ataque en curso. Por
ejemplo, veremos más adelante como los sistemas de detección de intrusos se
diseñan para detectar acceso no autorizado de individuos que ingresan al
sistema. Otro ejemplo, corresponde a la detección de ataques de denegación de
servicios.

o Respuesta: Si un sistema de seguridad detecta un ataque en curso, el sistema

debiera de ser capaz de tomar acciones para detener el ataque y así evitar
mayores daños del ataque.

o Recuperación: La medida típica corresponde a mantener sistemas de respaldo

con el fin de hacer frente problemas de integridad que presenten los datos.

 Aseguramiento/Evaluación: ¿Realmente funciona?

De acuerdo al manual de seguridad computacional de NIST, el aseguramiento es el

grado de confianza que uno tiene sobre las medidas de seguridad, tanto técnicas y
operaciones, que estas funcionaran de acuerdo a como se entiende que lo hagan para
proteger el sistema y la información que este procesa. Aquí es donde debemos
verificar si el diseño de seguridad del sistema cumple con sus requerimientos y si su
implementación también lo hace con sus especificaciones.

© 2016 Patricio Galdames – IUT de Bayonne et du PaysBasque (UPPA) – Todos los derechos reservados
 La evaluación es el proceso de examinar si un ordenador o sistema cumple ciertos
criterios. Este proceso involucra pruebas (testing) pero también pruebas formales con
técnicas matemáticas.

Ejercicio 1

 Desarrolle un árbol de ataque para ganar acceso al contenido de una caja fuerte.

 Lea el articulo académico [2]

 De un ejemplo donde deba de encontrar un trade-off entre usabilidad y seguridad y

otro ejemplo para el caso costo de seguridad versus costo de recuperación. En ambos
casos brevemente fundamente la elección de sus ejemplos.

Recuerda:

Escriba su respuesta en un documento de texto y súbalo a la carpeta designada a tal efecto.

Referencias:

[1] Dimitriadis Ch.-K, “Analyzing the Security of Internet Banking Authentication Mechanisms”,
Information Systems Control Journal, vol. 3., 2007.

[2] Lampson B. “Computer Security in the Real World”, Computer, June 2004.

© 2016 Patricio Galdames – IUT de Bayonne et du PaysBasque (UPPA) – Todos los derechos reservados