Seguridad Y Auditora

Contexto de Seguridad
Valor Dueos imponen Contramedidas pueden ser reducidas por puede ser conciente de para reducir pueden contener Vulnerabilidades conducen a que explotan Agentes de Amenazas aumenta las que incrementan Amenazas a Riesgos a Activos Deseo de Minimizar

Desean abusar y/o daar

Evaluacin de Seguridad en Sistemas Computacionales

Seleccin de una Vulnerabilidad Buffer Overflow

Cert establece que Buffer Overflow en el 2002 an es la Qualys establece en las ltimas 10 vulnerabilidades, 4 a SecureSoftware menciona en primer lugar al Buffer Ov Secunia detalla entre el 14 y el 17 de octubre 9/25 nuev

Evaluacin de Seguridad en Sistemas Computacionales

Contexto de Seguridad
Vulnerabilidades
Debilidad de un sistema o producto Propias de los sistemas operativos Errores de programacin no intencionales Errores de programacin intencionales Falta de conciencia y/o conocimiento de la seguridad

CSI/FBI 2003 Computer Crime and Security Survey

Evaluacin de Seguridad en Sistemas Computacionales

Anlisis de Seguridad
100 90 80 70 60 50 40 30 20 10 0
Negacin de Servicio Laptop Wiretapping Fraude de Telecomunicaciones Acceso no autorizado interno Virus Fraude Financiero Abuso Interno de Acceso a la Red Penetracin de Sistemas Eavesdroping de Telecomunicaciones Sabotage

1999 2000 2001 2002 2003

Robo de informacin

Evaluacin de Seguridad en Sistemas Computacionales

Anlisis de Buffer Overflow

Falta de control a nivel de programacin Manejo de memoria por parte de los sistemas operativos (stack, ejecutables, bibliotecas) Ataque de una variable de control por BO Ejecucin de Cdigo Malicioso por BO

Evaluacin de Seguridad en Sistemas Computacionales

Ejecucin de Cdigo Malicioso Code Red

Alto impacto y difusin > 350000 hosts infectados en un da Generado para un contexto determinado
Vulnerabilidad en el index server (IIS) http + ISAPI Introduccin mediante Get Inetinfo.exe forma parte del IIS msvcrt.dll se carga en 0x78000000

Evaluacin de Seguridad en Sistemas Computacionales

Ejecucin de Cdigo Malicioso Code Red

Peticiones .ida .idq mapeadas al index server (idq.dll) Peticin GET genera el desborde Se sobrescribe dir. Retorno EIP = 0x7801CBD3 0x7801CBD3 = call ebx en msvcrt.dll

Evaluacin de Seguridad en Sistemas Computacionales

Criterio de Certificacin y Evaluacin Componentes

Objetivos Polticas de Seguridad Organizacional Polticas de la Seguridad de los Sistemas Esfuerzos + costos beneficios < riesgos Certificacin .vs. Evaluacin Fortaleza de Seguridad .vs. Compromiso de Seguridad
Evaluacin de Seguridad en Sistemas Computacionales

Criterio de Certificacin y Evaluacin

Criterios existentes
ICSA Common Criteria
Orange Book (TCSEC) v.1985

UK Confidence Levels 1989

Canadian Criteria 1993

German Criteria French Criteria

ITSEC 1991

Federal Criteria v.1993

Common Criteria V1.0 1996 V2.0 1998

Evaluacin de Seguridad en Sistemas Computacionales

Criterio de Certificacin
ICSA
Criterio Genrico Inicio de Proceso Testeo Proceso de Certificacin

Evaluacin de Seguridad en Sistemas Computacionales

Criterio de Evaluacin - CC
Common Criteria
Acreditados Representantes Evaluadores

Autorizantes Certificadores Consumidores

Desarrolladores

Evaluacin de Seguridad en Sistemas Computacionales

Criterio de Evaluacin - CC

Parte 1 Introduccin y Modelo General

Parte 2 Parte 3 Requerimientos Funcionales Requerimientos de Compromiso de seguridad de seguridad

Orientado al incremento de seguridad desde los procesos de Desarrollo Evaluacin Operacin

TOE
Evaluacin de Seguridad en Sistemas Computacionales

Criterio de Evaluacin - CC
El no tener en cuenta algunos aspectos en el proceso de desarrollo puede generar vulnerabilidades (Buffer Overflows). Perfiles de Proteccin Objetivos de Seguridad Objetivo de Evaluacin
Evaluacin de Seguridad en Sistemas Computacionales

Criterio de Evaluacin - CC
Evaluar PP Resultados de Evaluacin del PP Catalogar PP PP Evaluado

Evaluar ST

Resultados de Evaluacin del ST

Evaluar TOE

Resultados de Evaluacin del TOE

Catalogar Certificado

TOE Evaluado

Evaluacin de Seguridad en Sistemas Computacionales

Criterio de Evaluacin - CC
EAL1 Funcionalmente testeado EAL2 Estructuralmente testeado EAL3 Metdicamente testeado y chequeado EAL4 Metdicamente diseado, testeado y revisado EAL5 Semiformalmente diseado y testeado EAL6 Semiformalmente verificado, diseado y testeado EAL7 Formalmente verificado, diseado y testeado

Evaluacin de Seguridad en Sistemas Computacionales

Windows 2000 certificado EAL 4 +

Item Esquema de Evaluacin Objetivo de Evaluacin Perfil de Proteccin Identificacin United States NIAP Common Criteria Evaluation and Validation Schema Sistema Operativo Microsoft Windows 2000 Perfil de Proteccin de Acceso Controlado; Versin 1.d, 8 de Octubre de 1999 Objetivo de Seguridad Windows 2000; Versin 2.0, 18 de Octubre de 2002 Reporte tcnico de Evaluacin para Windows 2000; Ver. 1.0,4 de Octubre 2002 Part 2 Conformant, Part 3 conformant, EAL 4 + Microsoft Corporation Microsoft Corporation SAIC The Aerospace Corporation

Objetivo de Seguridad Reporte Tcnico de Evaluacin Resultado de Conformidad Patrocinador Desarrolladores Evaluadores Validadotes

Evaluacin de Seguridad en Sistemas Computacionales

Windows 2000 certificado EAL 4 + - Conclusiones

Evaluacin que puede generar confusiones Certificacin obtenida luego de tres aos La descripcin de las premisas de la certificacin no son del todo claras en primera instancia La certificacin comprende a Windows 2000 con Service Pack 3 y Hotfix Q326886 Surge Service Pack 4 con modificaciones de seguridad La certificacin no se ve afectada por el Service Pack 4 Entendemos que la certificacin es vlida
Evaluacin de Seguridad en Sistemas Computacionales

Conclusiones

Generar conciencia de la existencia de vulnerabilidades y la necesidad de la seguridad Explotar una vulnerabilidad requiere conocimientos y no es una tarea sencilla Necesidad de formalizar los conceptos de seguridad Proactividad medida vs reactividad a medida Unificacin de Criterios Requerimientos para el correcto entendimiento de una evaluacin Verificacin de la utilidad del CC referido a W2K Recomendamos el uso del CC
Evaluacin de Seguridad en Sistemas Computacionales

Buffer Overflow

Evaluacin de Seguridad en Sistemas Computacionales

Buffer Overflow

Evaluacin de Seguridad en Sistemas Computacionales

Buffer Overflow

Evaluacin de Seguridad en Sistemas Computacionales

Buffer Overflow

Evaluacin de Seguridad en Sistemas Computacionales

TCSEC
D Proteccin mnima C1 Proteccin de seguridad discreta C2 Proteccin de acceso controlado B1 Proteccin de seguridad etiquetada B2 Proteccin estructurada B3 Seguridad de dominios A1 Diseo verificado
Evaluacin de Seguridad en Sistemas Computacionales

ITSEC

E0 Compromiso Inadecuado E1 Arquitectura informal, testeo funcional E2 E1+ Diseo informal, testeo y controles interno E3 E2 + Inspeccin de cdigo fuente E4 E3 + Modelo formal E5 E4 + Modelo formal y fuente acoplados E6 E5 + Especificacin formal de lo anterior

Evaluacin de Seguridad en Sistemas Computacionales

Criterio de Evaluacin - CC
Perfiles de Proteccin
Introduccin del PP
Identificacin del PP Visin general del PP

Descripcin el TOE Ambiente de Seguridad del TOE Objetivos de Seguridad Requerimientos de Seguridad de TI
Asunciones Amenazas Polticas de Seguridad Organizacional Objetivos de Seguridad para el TOE Objetivos de Seguridad para el Ambiente

Requerimientos de Seguridad de TOE

Requerimientos Funcionales de Seguridad del TOE Requerimientos de Compromiso de Seguridad del TOE

Requerimientos de Seguridad para el ambiente de TI Notas de aplicacin del PP

Razn

Razn de objetivos de Seguridad Razn de requerimientos de Seguridad

Evaluacin de Seguridad en Sistemas Computacionales

Criterio de Evaluacin - CC
Objetivo de Seguridad
Introduccin del ST Descripcin el TOE Ambiente de Seguridad del TOE Objetivos de Seguridad Requerimientos de Seguridad de TI
Asunciones Amenazas Polticas de Seguridad Organizacional Objetivos de Seguridad para el TOE Objetivos de Seguridad para el Ambiente Identificacin del ST Visin general del ST Conformidad del CC

Requerimientos de Seguridad de TOE

Requerimientos Funcionales de Seguridad del TOE Requerimientos de Compromiso de Seguridad del TOE

Requerimientos de Seguridad para el ambiente de TI

Resumen de especificacin del TOE Reclamos al PP

Funciones de Seguridad para el TOE Medidas de compromiso Referencias al PP Ajustes al PP Adicionales al PP Razn de objetivos de Seguridad Razn de requerimientos de Seguridad Razn de especificacin del TOE Razn de reclamos de PP

Razn

Evaluacin de Seguridad en Sistemas Computacionales

Criterio de Evaluacin - CC
Familia Funcional Clase Funcional Nombre de Clase Nombre de Familia Comportamiento de la Familia Nivelacin de componentes Administracin Auditoria Componentes

Introduccin de Clase Familias Funcionales

Componente Identificacin del Componente Elementos Funcionales Dependencias Evaluacin de Seguridad en Sistemas Computacionales