Guía Seguridad en Venezuela

Guía para el Diseño e Implantación de
Arquitecturas Tecnológicas de Seguridad

Informática en el Sector de la Administración
Pública
Noviembre, 2005
Informe Final
Arquitectura Tecnológica de Seguridad

Informática
Noviembre 11, 2005

Servicio Autónomo Superintendencia de
Servicios de Certificación Electrónica
Tabla de Contenido
DECLARACIÓN DE CONFIDENCIALIDAD 3
INTRODUCCIÓN 4
1. MARCO CONCEPTUAL 6
1.1. Tipos de Ataque y Riesgos de Vulnerabilidad 8
1.1.1. . Peligros y Modos de Ataque: 8
1.1.2. . Vulnerabilidades más comunes que pueden comprometer la seguridad 11
1.1.3. . Habilidad del Atacante: 12
1.2. Estándares relacionados a la Arquitectura Tecnológica de Seguridad 13

1.2.1. . Modelo Open System Interconnect (OSI): 14
1.2.2. . Transmission Control Protocol (TCP/IP): 14
1.2.3. . Otros Estándares Internacionales 16
1.3. Descripción de las Soluciones de Seguridad 19

1.4. Consideraciones para el Diseño de una Arquitectura 32
2. MODELO Y APLICACIÓN DE LA ARQUITECTURA DE SEGURIDAD 34

2.1. Introducción: 34
2.2. Modelo de Arquitectura 34
2.2.1. . Arquitectura Tecnológica de Seguridad por Capas 34
2.2.2. . Propósito Arquitectura de Seguridad-Elementos de Control Seguridad 36
2.2.3. . Definición Modelo de Arquitectura Tecnológica de Seguridad Propuesto 39
2.3. Matriz de Soluciones para la Implantación de la Arquitectura 47

2.4. Matriz de Soluciones para los Procesos Tipo Identificados 74
2.4.1. . Matriz soluciones para interconexión con sedes y otros entes del estado 77
2.4.2. . Matriz de soluciones para web hosting 93
2.4.3. . Matriz de soluciones para acceso a internet 111
2.4.4. . Matriz de soluciones para acceso a usuarios remotos 115
2.4.5. . Matriz de soluciones para interconexión bancaria 119
2.4.6. . Matriz de soluciones para correo electrónico 135
Este documento fue desarrollado por Securenet Corp C.A. (SecureNet) para SUSCERTE con el objeto que pueda utilizarse como referencia y guía general en el diseño e implantación de
Arquitecturas de Tecnología de Seguridad Informática en los Institutos y Organismos del Estado. Para que sea efectiva la aplicación de esta Guía, el usuario debe hacer el trabajo previo
necesario para incluir los requerimientos y realidades de su Organización. Este Manual no debe ser copiado ni divulgado a personas distintas de las responsables de implantar y administrar la
Arquitectura de Seguridad Informática en los Organismos autorizados por SUSCERTE.
Pág. 1 de 200 Documento Confidencial Elaborado por:

Noviembre-2005
2.4.7. . Matriz de soluciones para sistemas de administración del personal 152

2.4.8. . Matriz de soluciones para sistemas administrativos y contables 171
2.4.9. . Matriz de soluciones para controles de acceso físico 190
3. GESTIÓN DE LA ARQUITECTURA DE SEGURIDAD 194
3.4. Procesos de Gestión de la Arquitectura de Seguridad: 194
3.4.1. . Mantenimiento: 195
3.4.2. . Monitoreo y Evaluación: 195
3.4.3. . Respuesta y Recuperación: 196
3.4.4. . Actualización: 197
3.4.5. . Divulgación y Reforzamiento: 197
3.5. Modelo de Gestión de la Seguridad 198
4. FACTORES CLAVES DE ÉXITO 200
ANEXO: GLOSARIO DE TERMINOS 2001

Noviembre-2005
Declaración de Confidencialidad
El siguiente documento contiene información confidencial. No debe ser distribuido por correo
electrónico, facsímile o cualquier otro medio electrónico a menos que ello sea aceptado por la
política de seguridad de SUSCERTE. Todas las copias y respaldos de este documento deberán
ser almacenados de forma segura. La información contenida en este informe no debe
compartirse con otras personas, a menos que sea personal autorizado.

Noviembre-2005
Introducción
Con el objeto de proveer a los Institutos y Organismos de la Administración Pública de un
instrumento que los ayude a la definición de una Arquitectura Tecnológica de Seguridad
Estándar, acorde a los mejores principios internacionales pero a la vez en línea con los objetivos
de seguridad informática del Estado Venezolano, la Superintendencia de Servicios de
Certificación Electrónica (Suscerte) decidió la contratación de un asesoría para la elaboración de
un documento guía, contentivo de los estándares tecnológicos de seguridad informática y de los
lineamientos para el diseño y construcción de una Arquitectura Tecnológica de Seguridad
Informática efectiva y normalizada al nivel del sector de la administración pública.
Con dicho objetivo, Suscerte contrató a la Empresa SecureNet para que, a través de una
asesoría, llevara a cabo el Diseño de un Modelo de Arquitectura Tecnológica de Seguridad y
definiera una guía para la Aplicación de dicho Modelo, en las Instituciones y Organismos del
Estado, incluyendo la identificación de los procesos necesarios para lograr una efectiva Gestión
de la Arquitectura.
Como resultado de la Asesoría, se identificaron los Dominios de Uso de los Sistemas que se
desean proteger (infraestructura física, red o conectividad, sistema operativo, base de datos y
aplicaciones); así mismo, se definieron los objetivos que se buscan con la implantación de un
sistema de seguridad (confidencialidad, integridad y disponibilidad), y los elementos de control y
servicios que pueden establecerse para lograr dichos objetivos (identificación, autenticación,
autorización / control de acceso, no repudiación, administración y auditoria). El Modelo de
Arquitectura Tecnológica de Seguridad se definió como un modelo por capas, constituido por
cada uno de los Dominios de Uso, sobre los cuales deben actuar los diversos Elementos y
Servicios de Control de la seguridad.
Una vez definido el Modelo de Arquitectura Tecnológica de Seguridad, se definió una guía para
la Aplicación efectiva de dicho Modelo. En este sentido, se desarrolló una Matriz Genérica, con
todas las posibles soluciones, tecnológicas y administrativas, las cuales pueden ser
consideradas al momento de proceder a la implantación del Modelo de Arquitectura y que cada
Organismo debe decidir si incorporarlas o no, dependiendo de sus requerimientos particulares
de seguridad. Así mismo, se desarrolló una Matriz particular con las soluciones posibles para
cada uno de los nueve procesos críticos más comunes identificados en los Organismos e
Instituciones del Estado, siendo ellos: Interconexión con Sedes y otros Entes del Estado, Web
Hosting, Acceso a Internet, Acceso de Usuarios Remotos, Interconexión Bancaria, Correo
Electrónico, Sistemas de Administración del Personal, Sistemas Administrativos y Contables, y
Controles de Acceso Físico.
Como un complemento necesario al diseño e implantación de la Arquitectura de Seguridad, se
identificaron los procesos y esquemas de gestión que deben contemplarse para una efectiva
administración de la Arquitectura. Así mismo, se incluyó la revisión de posibles modelos de
gestión que pueden adoptarse y la necesidad de reforzar la definición de roles,
responsabilidades y esquemas de evaluación periódica, en caso de decidir una estrategia de
contratación de los servicios a terceros.
Esta Guía se ha dividido en cuatro capítulos: el primero contentivo del Marco Conceptual, en
el cual se da una visión global de lo que debe ser una Arquitectura Tecnológica de Seguridad y

Noviembre-2005
su relación con otros modelos tecnológicos aceptados como estándares al nivel internacional,
los cuales aportan elementos que deben tomarse en consideración al momento de diseñar una
Arquitectura Tecnológica de Seguridad; igualmente, se presentan las definiciones y
descripciones básicas de las tecnologías de seguridad existentes.
En el segundo capítulo se incluye lo correspondiente a la Aplicación de la Arquitectura
Tecnológica de Seguridad incluyendo la identificación de las diversas capas de la arquitectura
correspondientes a los Dominios de Uso y la definición de los servicios de seguridad o
Elementos de Control de la Seguridad a aplicar sobre cada Dominio; la definición del Ciclo de
Seguridad aplicable a la arquitectura y el listado de procesos típicos identificados junto a la
Matriz Genérica de tecnologías aplicables a cada proceso, y las Matrices particulares aplicables
a los procesos críticos más comunes en el Sector de la Administración Pública.
En el tercer capítulo se incluye el Modelo de Gestión de la Arquitectura, propuesto como
estándar a Suscerte para los Organismos de la Administración Pública. Para finalizar, en el
cuarto y último capítulo de este informe, se incluyen un conjunto de Factores que deben tenerse
muy presentes a objeto de asegurar el éxito del proyecto.

Noviembre-2005
1. Marco Conceptual
La Seguridad de la Información es usualmente un tema poco entendido en una organización.
Anteriormente, los ambientes centralizados de computación eran bastante controlados y
normados, a los que muy pocos tenían acceso. Sin embargo, con la aparición de la tecnología
cliente-servidor, el desarrollo que ha tenido el ambiente distribuido y la tecnología de redes, y
en especial con la aparición y desarrollo del Internet y la comunicación electrónica global, la
seguridad se ha convertido en un elemento vital del que se habla mucho pero que es difícil de
entender en su verdadera dimensión.
La Arquitectura de Seguridad como tal, comprende los diversos elementos que se requieren a
efecto de lograr niveles aceptables de control y administración de la seguridad y es, en efecto,
el marco teórico primordial con el que cuenta una empresa a efecto de que todo el personal
contribuya a la seguridad de los activos de información, en la medida de sus roles y
responsabilidades en la empresa.
Una Arquitectura de Seguridad incluye elementos tales como las políticas, normativas, y
procedimientos, los cuales están muy cercanos a la cultura organizacional y por lo tanto, para
su implantación efectiva, requiere de un proceso de internalización en el personal lo cual lleva
tiempo. Así mismo, la Arquitectura de Seguridad incluye todo lo relacionado a las tecnologías
de seguridad, las cuales deben responder a estándares tecnológicos y cumplir un objetivo
específico dentro de la Arquitectura de Seguridad de forma de evitar inversiones innecesarias
o que se dejen al descubierto áreas importantes de la seguridad. La estructura organizacional,
así como los esquemas administrativos y gerenciales para la gestión de la seguridad, son
otros elementos importantísimos que conforman la Arquitectura de Seguridad.
DIAGRAMA: ARQUITECTURA DE SEGURIDAD

Noviembre-2005
Suscerte, asumiendo un rol rector en el área de seguridad informática para el sector de la

administración pública, ha venido trabajando en la definición de las políticas y normativas de
seguridad informática; ahora, a través de esta asesoría, cubre lo relacionado a la Arquitectura
Tecnológica de Seguridad. Posteriormente, quedará bajo la responsabilidad de cada
Organismo o Institución su implantación efectiva de acuerdo a sus propias realidades y
complementarla con una organización de seguridad y los esquemas gerenciales necesarios.
Una Arquitectura Tecnológica de Seguridad Informática es aquella que permite, a través de la
incorporación de soluciones tecnológicas y administrativas, la protección de los activos de
información de un amplio rango de amenazas de forma de asegurar la continuidad de los
procesos del negocio, minimizar las posibilidades de daños al negocio por pérdida de
información y maximizar el retorno de la inversión y las oportunidades de negocio.
La información puede existir y/o manipularse en diversas formas: impresa en papel o escrita,
almacenada de forma electrónica, procesada en computadores, transmitida por las redes o
incluso en forma verbal. Para efecto de este documento, cuando hablemos de la Arquitectura
Tecnológica de Información estaremos considerando sólo la información procesada,
almacenada y transmitida, por medios electrónicos, a través de los computadores y redes de
comunicación.
Para que una Arquitectura Tecnológica de Seguridad sea efectiva debe ser confiable y capaz
de proteger los sistemas y activos de información de las Instituciones, en todos los niveles,
mientras la información se transmite, procesa o almacena. Los controles de seguridad deben
ser robustos y capaces de cubrir el dinamismo de las redes, arquitecturas y atacantes.
Además, los controles deben ser repetibles, posibles de implantarse en nuevas aplicaciones,
procesos de negocio y tecnologías emergentes. Adicionalmente, para que la Arquitectura
Tecnológica de Seguridad sea verdaderamente efectiva, sus controles y mecanismos deben
ser monitoreados y efectivamente administrados para mantener la Arquitectura actualizada y
capaz de responder ante nuevas amenazas.
La seguridad de información es, por lo tanto, crítica en los diversos niveles y elementos que
conforman un sistema. A pesar de ello, una solución tecnológica de seguridad típicamente
ataca una vulnerabilidad específica olvidando la visión global de lo que debe contemplar un
sistema de información para ser verdaderamente seguro. De esta forma, las organizaciones
usualmente implantan sus soluciones desconociendo si todos los requerimientos de seguridad
se han cubierto o cuál es el posible impacto de estas soluciones en otras partes del sistema
de información. Más aún, en oportunidades se desconoce de qué tipo de ataques nos estamos
protegiendo y qué significa una Arquitectura Tecnológica de Seguridad; por ello, antes de
proceder a identificar los elementos que conformarán el Modelo de Arquitectura propuesto,
revisaremos algunos conceptos generales relacionados con los tipos de ataques y riesgos que
enfrentamos; así mismo, revisaremos algunos conceptos generales sobre la Arquitectura
Tecnológica de Seguridad y lo que debemos contemplar para el diseño de una Arquitectura
que responda a los requerimientos de los Organismos e Instituciones de la Administración
Pública; adicionalmente, se revisarán algunos de los principales estándares internacionales
existentes y de las principales soluciones tecnológicas que se pueden aplicar. Una vez
entendido todo este marco teórico, pasaremos, en el capítulo dos, a definir la Arquitectura
Tecnológica de Seguridad para Suscerte.

Noviembre-2005
1.1 Tipos de Ataque y Riesgos de Vulnerabilidad

Para diseñar la arquitectura tecnológica de seguridad es imprescindible conocer sobre los
tipos de ataque posibles que habrá que enfrentar y las causas más comunes de
vulnerabilidad. Sólo cuando conocemos quiénes pueden ser los posibles atacantes, cuáles
son los tipos de ataques posibles y por qué razones podemos estar vulnerables a esos
ataques, podremos tomar las previsiones necesarias para que la arquitectura que se
diseñe sea robusta. Con este objetivo, a continuación se incluye tanto un listado de
posibles tipos de ataque, como de las posibles causas de vulnerabilidad.
1.1.1. Peligros y Modos de Ataque:

Son innumerables los tipos de ataque posibles. A continuación se incluye la descripción
de algunos de ellos y de las acciones que se pueden tomar para protegerse:
Sniffing: consiste en escuchar los datos que atraviesan la red, sin interferir con la
conexión a la que corresponden, permite principalmente obtener passwords, y/o
información confidencial. Protección: basta con emplear mecanismos de autenticación
y encriptación.
Barrido de puertos: utilizado para la detección de servicios abiertos en máquina tanto
TCP como UDP. Protección: filtrado de puertos permitidos y gestión de logs y alarmas.
Bug de fragmentación de paquetes: se logra con longitudes ilegales (más pequeñas
o más grandes) de fragmentos, con solapamiento entre ellos o saturación con multitud
de fragmentos pequeños (ejemplo ping de la muerte) Protección: actualmente en los
routers se limita el tráfico ICMP o incluso se analiza la secuencia de fragmentación;
también pueden aplicarse patches al sistema operativo.
Explotar bugs del software: se trata de aprovechar errores que incluye el software
desde el momento mismo de su diseño; a través de ellos es posible adquirir privilegios
en la ejecución, por ejemplo buffers overflow (BOF o desbordamiento de pila).
Además, muchos programas corren con demasiados privilegios. La cadena o
secuencia de órdenes para explotar esta vulnerabilidad del software se conoce como
“exploit”.. Protección: corregir programación o incluir últimos patches en los servicios.
Desbordamiento de pila: sobre la entrada de datos en un programa privilegiado el
cual no verifique la longitud de los argumentos en una función, se puede modificar la
dirección de retorno al sobrescribir la pila de ejecución. Protección: construir código
seguro.
Spoofing: se basa en la idea de que si un atacante puede predecir el número inicial de
secuencia de la conexión TCP generada por la máquina destino, entonces el atacante
puede adoptar la identidad de la máquina "confiada"; en otras palabras, el atacante
intenta ganar el acceso a un sistema haciéndose pasar por otro que dispone de los
privilegios suficientes para realizar la conexión (red de confianza).

Noviembre-2005
El ataque que más se suele utilizar sobre conexiones TCP es el conocido como
adivinación del número de secuencia (ISN). Es usual además que el suplantado se deje
fuera de servicio con un ataque de Negación de Servicio, para que no cierre la
conexión cuando la máquina atacada la reconozca. Otros ataques de este tipo son el
ARP (“Address Resolution Protocol”) spoofing (que una IP suplantada tenga asociada
la MAC Address del atacante), y el DNS (”Domain Name System”) spoofing (que el
nombre del suplantado tenga la IP del atacante), donde el intruso se anticipa a alguna
pregunta ARP o DNS. Protección: encriptado del protocolo, evitar que entren
direcciones IP origen, propias de la red interna, desde el exterior, evitar redes de
confianza, utilizar algoritmos complejos (aleatorios) para generar ISN, evitar un
excesivo número de sesiones abiertas a mitad.
Hijacking: Consiste en robar o secuestrar una conexión después que el usuario ha
superado con éxito el proceso de identificación ante el sistema. Para ello, en un
momento determinado, el intruso adelanta una respuesta en la conexión TCP (con los
ISN correctos, lo cual lo obtiene por sniffing de algún paquete de la conexión lo cual le
permite averiguar las direcciones IP y los puertos), de esta forma el que estaba
conectado no cumple con los ISN debido a que el intruso mandó información válida
quedando excluido de la conexión, por lo que el intruso puede tomar el control. El
computador, desde el cual se lanza el ataque, debe estar en alguna de las dos redes
extremo de la conexión o, al menos, en la ruta entre ambas. Protección: uso de
encriptación o uso de una red conmutada.
Ingeniería Social: son ataques que aprovechan la buena voluntad de los usuarios de
los sistemas atacados. Un ejemplo de este tipo de ataque es el envío de un correo con
el remitente "root" a un usuario con el mensaje "por favor, cambie su password a
“informática", el atacante entonces puede entrar con ese password y, a partir de ahí,
emplear otras técnicas de ataque. Otra forma es a través de la incitación a visitar
determinadas páginas web (Phishing), descargar fotos, etc. Protección: concientizar a
los usuarios acerca de los riesgos de seguridad y qué información no deben suministrar
a nadie; reforzar el cumplimiento de las políticas de seguridad; utilizar sistemas
robustos de autenticación.
Acceso Físico: consiste en el acceso físico a los recursos del sistema, pudiendo entrar
en consola, adquirir información escrita, etc. Protección: políticas de seguridad
Adivinación de Passwords: la definición de claves o passwords sencillos de adivinar
permite que los intrusos puedan descubrirlos fácilmente. Adicionalmente, al no
modificar los passwords definidos por defecto en los sistemas operativos se le deja
abierta la puerta a los intrusos. Protección: definir e implantar políticas de seguridad
para la utilización de claves robustas.
Confianza transitiva: en los sistemas Unix existe el concepto de confianza entre hosts
y/o usuarios, que permite la conexión entre sí, de diferentes sistemas o usuarios, de
forma “oficial”, sin necesidad de autenticación. De esta forma, cualquier atacante que
tome el control de una máquina o que suplante la IP (spoofing), podrá conectarse
gracias a la confianza entre hosts y/o usuarios. Protección: Evitar el uso de Relaciones
de Confianza en los sistemas Windows y de los archivos .rhosts en los sistemas Unix.

Noviembre-2005
Caballo de Troya: consiste en un programa que se enmascara como algo que no es,
normalmente con el propósito de conseguir acceso a una cuenta o ejecutar comandos
con los privilegios de otro usuario. Protección: revisión periódica de archivos
comprimidos, utilización de firma digital, comprobación del sistema de Archivos,
utilización de sistemas Antivirus y Antiespía.
Negación de Servicios: estos ataques buscan obstaculizar la continuidad operacional
de los sistemas. Diversas formas existen para lograr este objetivo:
o Agotar el ancho de banda del enlace de una red determinada de forma que la
máquina atacada se sature agotando la lista de escucha o “listen”
o Mail bombing, generación de conexiones http o ftp masivas (inundación de
paquetes SYN TCP), a veces con dirección origen inexistente, para que no
pueda realizar un RST, conocido como SYN flooding (inundación).
o Pings (o paquetes UDP al puerto 7 de echo) a direcciones broadcast con
dirección origen a la máquina atacada, conocido como Smurf, Fraggle
Protección: evitar por reglas las diferentes situaciones creadas, limitar tráfico ICMP en
routers, evitar contestación a broadcast.
Ataques dirigidos por datos: son ataques que tienen lugar en modo diferido, sin la
participación activa por parte del atacante en el momento en el que se producen. El
atacante se limita a hacer llegar a la víctima una serie de datos que, al ser
interpretados, ejecutarán el ataque propiamente dicho, como por ejemplo un virus a
través del correo electrónico o código JavaScript maligno. Protección: firma digital,
filtrado de información.
Enrutamiento fuente: los paquetes IP admiten opcionalmente el enrutamiento fuente
con el que la persona que inicia la conexión TCP puede especificar una ruta explícita
hacia él. La máquina destino debe usar la inversa de esa ruta como ruta de retorno,
tenga o no sentido, lo que significa que un atacante puede hacerse pasar por cualquier
máquina en la que el destino confíe (obligando a que la ruta hacia la máquina real pase
por la del atacante). Protección: dado que el enrutamiento fuente es raramente usado,
la forma más fácil de defenderse contra esto es a través de su deshabilitación en el
router, Transformación de direcciones de Red (NAT).
ICMP Redirect: con la opción redirect, alguien puede alterar la ruta a un destino para
que las conexiones en las que esté interesado pasen por su máquina, de forma que
pueda intervenirlas. Los mensajes redirect deben obedecerlos sólo los hosts, no los
routers, y sólo cuando estos provengan de un router de una red directamente
conectada. Protección: filtrado de paquetes.
Modificación de los protocolos de routing: RIP (“Routing Information Protocol”),
BGP (“Border Gateway Protocol”), de forma que redirecciona la información por otras
rutas del atacante. Protección: utilizar protocolos de routing con encriptación (IPSec).
Spyware: El uso de Internet se ha vuelto cada vez más importante y personas
inescrupulosas se aprovechan de esto para sembrar código activos de computación en
páginas web los cuales permitan, desde saber cuál es el comportamiento de un usuario

Noviembre-2005
en Internet, hasta sembrar programas que permitan tomar control de los computadores
(BackDoors). Muchas compañías tienen, sin saberlo, actualizaciones automáticas y
sincronización con equipos remotos los cuales mantienen registro de las actividades
que realizan los equipos de computación. Estos programas pueden ser utilizados por
espías para robar información corporativa. Protección: Utilizar sistemas que realicen
chequeos de instalaciones de software no autorizado sumado al uso de un analizador
de contenido el cual permite bloquear este tipo de código.
Spam: es la recepción de correo no solicitado que puede llegar a interrumpir las
operaciones, adicionalmente es una técnica que permite tomar control de los servidores
de correo para envío masivo de correo a terceros desde ese servidor. Aunque no es un
virus, tiene características similares. Se propaga a través del correo electrónico.
Algunos de estos mensajes poseen código oculto que puede ser utilizado para espiar.
Protección: Filtrado de correos utilizando firmas y revisión heurística.
1.1.2. Vulnerabilidades más comunes que pueden comprometer la seguridad

Es bien sabido que la seguridad puede ser comprometida por muchos motivos, los más
comunes se mencionan a continuación:
Empleados: las estadísticas internacionales indican que más del 70% de las
violaciones de seguridad en las empresas ocurren internamente, bien sea por personal
con ánimos de revancha, o simplemente por mera curiosidad.
Sistemas mal configurados: es práctica muy común instalar los sistemas tal y como
los provee el fabricante, sin eliminar servicios ni cerrar puertos que jamás serán
utilizados. Por lo general, estas configuraciones por defecto poseen vulnerabilidades
que pueden ser explotadas por individuos malintencionados con la finalidad de ingresar
a los sistemas
Falta de Políticas y Procedimientos que refuercen la seguridad: un elemento
primordial de toda arquitectura de seguridad es el correspondiente a las políticas y
generalmente se utilizan tecnologías para reforzar su cumplimiento. La carencia de
buenas políticas de seguridad podría permitir que se instalen tecnologías inadecuadas,
o incorrectamente, abriendo así brechas en la seguridad de datos corporativa.
Herramientas equivocadas: el uso de herramientas de seguridad es necesario, pero
si no se tiene en cuenta el por qué y para que se necesitan, realmente no sirven de
mucho; por ejemplo, es posible que se adquieran sistemas de análisis de
vulnerabilidades que no sean utilizados ni actualizados regularmente los cuales dejen
vulnerabilidades sin detectar en los diferentes sistemas.
Inexistencia de Monitoreo: el uso de herramientas de monitoreo es necesario para la
detección oportuna de posibles ataques; más aún, es necesario centralizar las alertas
en un único lugar, a fin de poder dar respuesta efectiva y eficiente ante posibles
ataques. Sin embargo, cuando se adquiere tecnología puntual de seguridad muchas
veces no se toma en cuenta que la información generada por ellas puede ser

Noviembre-2005
monitoreada y, en muchas ocasiones, ni siquiera se activan las de auditorias de

seguridad de dichos dispositivos permitiendo que los atacantes pasen desapercibidos.
Código mal escrito: cuando se escriben programas, pocas veces se tienen en cuenta
las características mínimas de seguridad como, por ejemplo, el evitar que se
sobrecarguen variables o que se pasen parámetros no esperados. Esto puede ser
aprovechado por los hackers para generar fallas que les permita ingresar a los
sistemas.
1.1.3. Habilidad del Atacante:

Además de ser innumerables los tipos de ataque a los que se está expuesto, en
ocasiones se dificulta aún más proteger un sistema, porque las combinaciones de
ataque son múltiples y, si los atacantes son hábiles, éstos esconden el ataque por
eliminación de huellas:
• Modificación de la fecha de acceso a archivos
• Eliminación de las entradas en los logs
• Invalidación de mecanismos de registro, por ejemplo eliminar “syslog” por saturación
de buffer
En estas situaciones, las medidas a tomar son:
• Realizar copias de seguridad
• Comprobar la integridad del sistema para detectar posibles ataques
• Analizar los logs del sistema
• Analizar todas las vistas en la periferia, así como la detección de intrusos
• Utilizando patches adecuados, así como envolventes (proxies), que eviten las
vulnerabilidades conocidas en aplicaciones e implementen mecanismos de control de
acceso Prevención de
Programas Maliciosos
Prevención de uso Abusivo

Protección de la
Integridad de los sistemas
Prevención de
Falsificación de
Usuarios
Prevención de
Falsificación de
Servidores
Prevención de Ataques Remotos
Prevención de intervención y manipulación

DIAGRAMA: ESQUEMAS DE PROTECCIÓN Y PREVENCIÓN

Noviembre-2005
1.2. Estándares relacionados a la Arquitectura Tecnológica de

Seguridad
Muchos creen que pueden resolver sus brechas de seguridad a través de la incorporación
de tecnologías específicas; sin embargo, lo único cierto en el área de seguridad de
información, es que no existe forma de garantizar en un 100% la seguridad de los sistemas y
las redes; sólo se puede lograr que sea más difícil que personas no autorizadas puedan
accederlos. Otro error muy común es pensar que las soluciones de una Institución pueden
ser igualmente válidas para otra Institución y es que cada organización es diferente por su
naturaleza y objetivos. Adicionalmente, es importante considerar que un proveedor
específico no puede cubrir en su totalidad las necesidades de seguridad de una empresa,
por el contrario, se considera una mala práctica la utilización de productos de un solo
fabricante.
Como vimos anteriormente, existe una gran variedad de ataques posibles a las
vulnerabilidades pero, en la práctica, se utiliza una combinación de éstas; por lo tanto, al
diseñar un sistema de seguridad debe buscarse la forma de cerrar las posibles vías de
ataque, lo cual hace imprescindible un buen conocimiento acerca de las debilidades que los
atacantes aprovechan y del modo cómo lo hacen.
Por todo esto, podemos aseverar que el diseño de una Arquitectura Tecnológica de
Seguridad tiene un nivel importante de complejidad, a tal punto, que ello hace que no exista
una solución “perfecta”. Sin embargo, si consideramos los objetivos y realidades de las
Instituciones u Organismos Gubernamentales; definimos los servicios de seguridad
requeridos, sobre la base de los procesos que se ejecutan y el grado de sensibilidad o
criticidad de la información que se maneja en el sector público y en cada Institución en
particular; identificamos las soluciones y tecnologías ofrecidas por los diversos fabricantes y
cuándo utilizarlas, podríamos lograr el diseño de una arquitectura tecnológica de seguridad
estándar, para el sector de la administración pública del Estado Venezolano, bastante
cercana a lo que podría llamarse una solución “perfecta”.
Para el diseño de la Arquitectura Tecnológica de Seguridad que nos compete nos
focalizaremos en la identificación de las diversas capas que existen en los sistemas
distribuidos y los requerimientos de seguridad para cada una de ellas, así como las
implicaciones sobre el resto. De esta forma, podremos diseñar una Arquitectura Tecnológica
por capas la cual facilitará a los Organismos públicos la definición de sus requerimientos de
seguridad en los varios niveles de los sistemas de información.
Antes de proceder a la identificación de las capas del Modelo, correspondientes a los
diversos dominios de seguridad en un sistema de información, es importante revisar algunas
arquitecturas definidas y aceptadas hoy día como estándares, en el área de tecnología de
información, de forma tal de establecer una guía comparativa del Modelo que definiremos
con algunos de los modelos o estándares aceptados internacionalmente.

Noviembre-2005
1.2.1. Modelo Open System Interconnect (OSI):

La Organización de Estándares Internacionales definió el Modelo OSI de 7 capas el cual
contempla el Modelo 7498-1 para Redes, el 7498-2 de Seguridad, 7498-3 que identifica el
modelo de nombres y direccionamientos y el 7498-4 que define el marco de gestión. De
éstos, el más conocido es el de redes el cual contempla las siguientes capas:
1. Aplicación
2. Presentación
3. Sesión
4. Transporte
5. Red
6. Enlace de Datos
7. Física
Es importante tomar en consideración que el Modelo OSI para Redes fue desarrollado por la
Organización Internacional de Estandarización (ISO) en el año 1977 y actualizado en 1994
con el objetivo primordial de lograr la comunicación entre computadores de diversos
fabricantes. Como su nombre lo indica, el énfasis de este modelo es en el área de Redes, y
muy especialmente de Redes tipo WAN, cubriendo lo relacionado a la transmisión y entrega
de la información, y tratando muy vagamente elementos tales como Sistemas Operativos,
Bases de Datos y Aplicativos, áreas éstas que han sido parcialmente cubiertas por
definiciones complementarias posteriores que se han hecho a las capas de sesión,
presentación y aplicación del Modelo OSI.
EL Modelo OSI de Seguridad 7498-2 fue diseñado también sobre la base de 7 áreas pero
dirigidas a cubrir los siguientes elementos de control de la seguridad:
1. Autenticación
2. Control de Acceso
3. No Repudiación
4. Integridad
5. Confidencialidad
6. Disponibilidad/ Certificación
7. Firma/ Notarización
1.2.2. Transmission Control Protocol (TCP/IP):

Otro estándar aceptado internacionalmente es el TCP/IP el cual comprende un conjunto de
protocolos que incluye, entre otros, los protocolos IP para Internet y el TCP para Control de
Transmisiones que son los que le dan el nombre. Los protocolos no son más que un
conjunto de reglas que gobiernan el formato y significado de las tramas, paquetes y
mensajes que se intercambian entre las entidades corresponsales dentro de una misma
capa; ellos son utilizados de forma tal que todos los computadores puedan comunicarse
entre sí.

Noviembre-2005
La Arquitectura TCP/IP consta de cinco capas en las que se agrupan los diversos protocolos
relacionándose con los niveles OSI 7498-1 tal como se muestra en el siguiente gráfico:
A diferencia del Modelo OSI, que es netamente teórico y por lo tanto referencial, el TCP/IP
tiene implementaciones prácticas que son ampliamente utilizadas y sobre las cuales se
sustentan la mayor parte de las conexiones en redes de comunicación de computadores;
muchas de estas implementaciones no contemplaron la visión de seguridad al momento de
ser desarrolladas lo que generó la necesidad de manejar modelos que permitieran controlar
los aspectos de seguridad sobre esos protocolos previamente realizados.
Desde el punto de vista de la seguridad cada uno de estos protocolos del modelo TCP/IP
juega un papel primordial ya que muchos de ellos permiten habilitar servicios que, si bien es
cierto ofrecen facilidades muy convenientes a los usuarios, no es menos cierto que los
mismos incorporan niveles de vulnerabilidad que deben ser controlados. Por ello, aún
cuando desde el punto de vista de la Arquitectura Tecnológica de Seguridad se deben
contemplar algunas tecnologías que faciliten el control sobre estos protocolos, es aún más
importante la incorporación de políticas de seguridad que controlen su correcto uso.

Noviembre-2005
Los elementos de control de la seguridad contemplados en el Modelo OSI de Seguridad

7498-2 por su parte, no tienen una relación uno a uno con las diferentes capas del Modelo
OSI de Redes o de los protocolos TCP/IP sino que, por el contrario, deben ser considerados
uno o varios de ellos, en mayor o menor grado, en cada uno de los diversos niveles y
componentes del sistema.
1.2.3. Otros Estándares Internacionales
Existen otros estándares internacionales que deben tomarse en consideración al momento
de definir una Arquitectura de Seguridad, cómo se va a controlar la seguridad y los
esquemas de prestación de servicios. Los más reconocidos son ISO, COBIT e ITIL, los
cuales se resumen a continuación:
ISO 17799 y 27001: es una norma internacional que ofrece recomendaciones para realizar
la gestión de la seguridad de la información dirigidas a los responsables de iniciar, implantar
o mantener la seguridad de una organización. ISO 17799 define la información como un
activo que posee valor para la organización y requiere por tanto de una protección
adecuada.
La función de la seguridad de la información es proteger adecuadamente este activo para

asegurar la continuidad del negocio, minimizar los daños a la organización y maximizar el
retorno de las inversiones y las oportunidades de negocio, entendiendo como seguridad de
la información la preservación de la confidencialidad, integridad y disponibilidad de la
información. El objetivo fundamental de la norma es proporcionar una base común para
desarrollar las normas de seguridad dentro de las organizaciones y convertirse en una
práctica eficaz para la gestión de la seguridad.
Esta no es una norma tecnológica; ha sido redactada de forma flexible e independiente de

cualquier solución de seguridad específica y proporciona buenas prácticas neutrales con
respecto a la tecnología y a las soluciones disponibles en el mercado. Estas características
posibilitan su implantación en todo tipo de organizaciones, sin importar su tamaño o sector
de negocio. Las ventajas que ofrece la implementación de la norma ISO son:
• Aumento de la seguridad efectiva de los sistemas de información.
• Correcta planificación y gestión de la seguridad.
• Garantías de continuidad del negocio.
• Mejora continua a través del proceso de auditoria interna.
• Incremento de los niveles de confianza de clientes y socios.
• Aumento del valor comercial y mejora de la imagen de la organización.
De acuerdo a la revisión del ISO 17799 en junio de 2005, la norma se estructura en once
dominios de control que cubren por completo todos los aspectos relativos a la seguridad de
la información, ellos son:
• Política de Seguridad.
• Organización de la Seguridad.
• Administración de Activos.

Noviembre-2005
• Seguridad de los Recursos Humanos.

• Seguridad Física y Ambiental.
• Gestión de Comunicaciones y Operaciones.
• Sistema de Control de Accesos.
• Adquisición, Desarrollo y Mantenimiento de Sistemas de Información.
• Administración de Incidentes de Seguridad de la Información.
• Plan de Continuidad del Negocio.
• Cumplimiento.
Una nueva norma es la 27001 liberada por ISO en Octubre de 2005; ésta sienta las bases
para poder realizar las certificaciones de cumplimiento de ISO 17799.
ITIL (Information Technology Infrastructure Library): fue desarrollado por el Gobierno

Británico en el año 1989 y es del dominio público. ITIL contiene las mejores prácticas
asociadas a la planificación, provisión y gerencia de servicios de TI (Tecnologías de
Información) de calidad, incluyendo las siguientes áreas:
• Organización y Procesos.
• Infraestructura de TI (hardware, software, redes, aplicaciones y personal).
• Gerencia de servicios de TI de calidad.
• Mejora de la eficiencia.
• Incremento de la efectividad.
• Reducción de los riesgos.
ITIL cubre todo lo relacionado al marco de los procesos de la organización, para operar y
gerenciar las infraestructuras de TI, así como para proporcionar un óptimo servicio a los
asociados y justificar los costos. Dividiendo su ámbito de acción en los siguientes servicios:
• Entrega de Servicios.
• Acuerdo de Nivel de Servicio.
• Gestión de las Capacidades.
• Gestión de la Disponibilidad.
• Planificación de Contingencias.
• Gestión de Costos.
• Administración de la Configuración.
• Escritorio de Ayuda (Helpdesk).
Conceptos tales como el Manejo de Incidentes, Gerencia del Cambio y Manejo de

Configuraciones, los cuales tienen incidencia directa en las políticas de seguridad de la
información, son temas contemplados como parte del soporte de los servicios de TI. La
Gerencia de la Seguridad es cubierta por ITIL desde el punto de vista del proveedor de
servicios, a la vez que identifica aspectos importantes de la gerencia de la seguridad.

Noviembre-2005
COBIT (Control Objectives for Information and related Technologies): fue creado por la
Information Audit and Control Association (ISACA), que es una organización global líder de
profesionales de mas de 100 países que comprende todos los niveles de la tecnología de la
información. Esta asociación se encarga de armonizar los estándares de las prácticas de
control de TI a nivel mundial.
COBIT está basado en el concepto de “Gestión de TI” que no es más que una estructura de
relaciones y procesos para dirigir y controlar la empresa y añadir valor mientras se
balancean los riesgos versus el retorno sobre TI y sus procesos. Este concepto representa el
sistema de control o administración que establece la alta gerencia para asegurar el logro de
una Organización.
Los Objetivos de Control para la Información y las Tecnologías Relacionadas (COBIT),

ayuda a satisfacer las múltiples necesidades de la Administración estableciendo un puente
entre los riesgos del negocio, los controles necesarios y los aspectos técnicos. Suministra
un conjunto de buenas prácticas a través de un dominio y el marco referencial de los
procesos, además de presentar actividades en una estructura manejable y lógica.
COBIT no solo está diseñado para ser usado por usuarios y auditores, sino también para ser
utilizado por los propietarios de negocio como una guía clara y entendible. La premisa del
Marco de Referencia de COBIT es: “Con el fin de proporcionar la información que la
empresa necesita par alcanzar sus objetivos, los recursos de TI deben ser administrados por
un conjunto de procesos agrupados en forma natural”.
Dicho Marco de Referencia está basado en 34 Objetivos de Control de alto nivel, asociados
a cada uno de los procesos de TI, están agrupados en cuatro dominios:
• Planeación y Organización.
• Adquisición e Implementación.
• Entrega de Servicios y Soporte.
• Monitoreo.
Adicionalmente a los Objetivos de Control de alto nivel, existe una Guía o directriz de
Auditoria o de aseguramiento la cual permite la revisión de los procesos de TI contra los 318
objetivos detallados de control, recomendados por COBIT para proporcionar a la gerencia la
certeza de su cumplimiento y/o sugerencias para su mejoramiento.
En conclusión, COBIT está diseñado para ser la herramienta de “Gestión de TI” que
proporcione herramientas para el entendimiento y la administración de los riesgos así como
de los beneficios asociados a la información y sus tecnologías asociadas.

Noviembre-2005
1.3. Descripción de las Soluciones, Tecnológicas o Administrativas,

de Seguridad
Dada la importancia de entender los servicios y tecnologías que deben integrar la
Arquitectura de Seguridad de Suscerte, pasaremos a explicar cada uno de estos
elementos, organizados en tres grupos, correspondientes a los anillos de protección
requeridos, los cuales a su vez establecen los niveles de prioridad de protección más
comúnmente utilizados para la implantación de la Arquitectura. A continuación se incluye
una descripción de las soluciones en cada unos de los anillos de protección (Perímetro y
Transporte de Datos, Infraestructura Crítica y Protección Local y Monitoreo):
1.3.1. Perímetro y Transporte de Datos
Las soluciones descritas a continuación permiten proteger las zonas de acceso al exterior
de la red interna de la organización e igualmente los puntos de interconexión interna,
intentando así reducir las posibles violaciones a la seguridad.
Acceso Remoto: el diseño de una solución de acceso remoto para una empresa, a través
de Internet, requiere una comprensión completa de su actividad y tener en cuenta algunos
factores; deben considerarse las necesidades de cada uno de los departamentos que
vayan a utilizar este servicio y contemplar aspectos tales como el uso al que está
destinado, el número de usuarios esperados, el tiempo medio de la conexión, las
aplicaciones, limitaciones, ubicación de la información, seguridad, control del acceso, etc.
TACACS+ (Terminal Access Controller Access Control System-RFC1492) y RADIUS
(Remote Authentication Dial In User Service- RFC2138) son ejemplos de centros de
distribución de claves o también conocidos como servidores de control de acceso.
TACACS+ y RADIUS son protocolos para descentralizar el control del acceso, de forma
que cualquier servicio en red que requiera validar, autorizar o auditar a un usuario, lo
puede hacer como cliente de los servidores TACACS+ y/o RADIUS.
LDAP (Lighweight Directory Access Protocol) en sí es un servicio de directorio ordenado y
distribuido para buscar diversa información en un entorno de red. LDAP puede
considerarse una base de datos (aunque su sistema de almacenamiento puede ser otro
diferente) al que pueden realizarse consultas. Habitualmente, almacena la información de
login (usuario y password) y es utilizado para autenticarse aunque es posible almacenar
otra información (datos de contacto del usuario, ubicación de diversos recursos de la red,
permisos, certificados, etc).
Cableado Norma 568: es la norma ANSI/TIA/EIA-568-A, "Norma para construcción
comercial de cableado de telecomunicaciones". Esta norma fue desarrollada y aprobada
por comités del Instituto Nacional Americano de Normas (ANSI), la Asociación de la
Industria de Telecomunicaciones (TIA), y la Asociación de la Industria Electrónica, (EIA) La
norma establece criterios técnicos y de rendimiento para diversos componentes y
configuraciones de sistemas, permitiendo de esta forma garantizar la disponibilidad en las
transmisiones de datos.

Noviembre-2005
QoS (Quality of Service) son las siglas que denotan el concepto de Calidad de Servicio
que identifican las prestaciones de una red en cuanto a velocidad de transmisión,
rendimiento, etc.
Switch: es un dispositivo de Red que filtra y envía las tramas basado en la dirección
destino de cada trama. Opera en la capa 2 del modelo OSI.
Desactivación de Puertos Físicos no utilizados en Switch o Hub y monitoreo de
activación: esta función de los dispositivos de red administrables debe realizarse para
evitar que los puertos no utilizados sean utilizados en actividades perjudiciales para el
correcto desempeño de la red.
Diseño Multisegmento: se basa en segmentar (dividir) en porciones una red, con la
finalidad de disminuir las colisiones y mejorar el tráfico de datos; de igual manera, este
modelo permite organizar la interconexión por zonas críticas o menos críticas haciendo un
poco mas difícil el acceso a ciertas áreas de la red por parte de usuarios no autorizados.
DMZ: el mantenimiento de servidores, cuyo acceso puede ser permitido a entes externos a
la empresa, siempre ha sido un dilema, ya que si son colocados en la red de la empresa
pueden permitir el acceso de cualquier persona a toda la red, pero si se colocan
externamente, aunque se asegure la red empresarial, no se protegerían los servidores. De
aquí nace la necesidad de utilizar una zona intermedia que se encuentra fuera de la red
de datos empresarial, pero a la cual se restringe su acceso sólo a entes confiables lo cual
permite reducir los riesgos de manipulación de esos equipos y servicios por entes no
autorizados.
Filtro de Contenidos: controla y restringe la navegación en una computadora
específica; se pueden definir filtros y aplicarlos para cada miembro de la red. Bloquea
páginas web con temas específicos configurados.
Control de Tráfico: el uso de software, hardware y recursos humanos para manejar y
controlar el tráfico en una red de datos.
Integridad de la red: el observar el comportamiento en el flujo de paquetes puede permitir
la detección de posibles virus que no sean detectados por los sistemas antivirus, así como
igualmente permitir la prestación de un servicio de calidad.
Firewall: también llamado cortafuego. Consiste en un dispositivo formado por uno o varios
equipos que se sitúan entre la red de la empresa y la red exterior (normalmente la
Internet), para analizar todos los paquetes que transitan entre ambas redes, filtrando los
que no deben ser reenviados. De acuerdo con un criterio establecido de antemano, de
forma simple, crea un perímetro de seguridad y defensa de la organización que está
protegiendo.
Su diseño debe ser acorde con los servicios que se necesitan, tanto privados como
públicos (WWW, FTP, Telnet, etc.), así como de las conexiones remotas requeridas.
Tipos de filtrado:
• A nivel de red: sobre las direcciones IP y la interfaz por la que llega el paquete,
generalmente logra el filtrado a través de listas de acceso en los routers

Noviembre-2005
• A nivel de transporte: sobre los puertos y tipo de conexión, a través de listas de acceso
• A nivel de aplicación: sobre los datos, a través de pasarelas para las aplicaciones
permitidas analizando el contenido de los paquetes y los protocolos de aplicación
Los tipos de firewall disponibles hoy día caen dentro de tres categorías, incluyendo:
filtrado, stateful inspection y firewalls de aplicación.
• Firewalls de Filtrado de Paquetes: este tipo de firewall es uno de los más simples y
antiguos, pertenecientes a la primera generación de firewalls. Ellos examinan los
encabezados de cada paquete entrante y saliente de la red corporativa. Los
encabezados de los paquetes contienen la dirección IP del emisor y del receptor, los
puertos origen y destino, el tipo de protocolo y habilita cada paquete filtrado.
Una de las ventajas de este tipo de firewall es su simplicidad y rendimiento. El análisis
del tráfico de red es rudimentario comparado con otro tipo de firewalls. Los firewalls de
filtrado de paquetes usualmente son fáciles de implementar y administrar.
La simplicidad de los firewalls de filtrado de paquetes crea desventajas de varias
maneras. La simplicidad de análisis permite tráficos potencialmente peligrosos que
podrían ser bloqueos por firewalls más sofisticados. Algunas de las técnicas de evasión
más comúnmente usadas contra los firewalls de filtrado de paquetes son:
o IP Spoofing: el atacante falsifica la dirección IP por una perteneciente a la de un host
de la red interna o de un host de confianza de la red, por lo que los paquetes pasan a
través de las reglas del firewall. Esto permite la penetración del perímetro de red.
o Source routing specification: esto es posible para definir el punto intermedio (hops-
anfitrión) que un paquete IP debe alcanzar cuando está atravesando desde la Internet
hasta el host destino. El atacante puede establecer una ruta de red y de esta manera
el tráfico proveniente del atacante evita el firewall. Solamente los que saben la
configuración de la dirección IP, la subred, la máscara de red y la puerta de enlace
predeterminada y el firewall de filtrado de paquetes pueden hacerlo. Para defenderse
de este tipo de ataques, se debe examinar cada paquete, observando que la
dirección de origen especificada se encuentre habilitada. Si esto es así, el paquete
podría ser evitado. Sin embargo, si la topología de la red permite una ruta que salte la
puerta de enlace predeterminada donde el firewall es colocado, esta contramedida
podría no ser efectiva.
o Packet fragmentation attack (ataque de fragmentación de paquetes): usando un
software especial, un atacante puede fragmentar paquetes IP en paquetes más
pequeños y empujarlos por el firewall con la esperanza de que solo la primera de las
secuencias de fragmentos de paquetes sea examinada, mientras que los otros
puedan pasar sin ser inspeccionados. Esto es verdad si la configuración por defecto
es pasar paquetes residuales. Para contrarrestar este tipo de ataques, el firewall debe
ser configurado para inspeccionar los paquetes gota a gota, desafortunadamente,
esto puede no ser práctico, debido a que asombrosamente un gran porcentaje de los
paquetes provenientes de Internet son fragmentados por lo que un gran porcentaje
del tráfico legitimado de Internet podría ser descartado.

Noviembre-2005
• Stateful Inspection (IPS): conocido como filtrado dinámico de paquetes. Es una

arquitectura de cortafuegos que trabaja en la capa de red. Filtra paquetes estáticos,
examina paquetes basados en la información de cabecera del paquete, examina las
conexiones atravesando todas las interfaces del firewall y se asegura que sean válidas.
Los firewalls basados en stateful inspection pueden ser relativamente más complejos
desde el punto de vista administrativo comparados con el firewall defiltrado de paquetes.
Los firewalls de stateful inspection son más sofisticados que los de filtrado de paquetes,
pero menos que los de aplicación.
• Firewalls de Aplicación: proveen el mayor grado de control de todos los tipos de
firewall. Existen dos tipos de firewalls de aplicación:
o Firewall de Nivel de Aplicación: trabaja en la capa de aplicación. Está enterado de
los tipos apropiados de aplicaciones que corren sobre los hosts, en la red interna de
una organización, por lo que si detecta una entrada incorrecta a una aplicación, el
firewall limita la conexión.
o Firewall de Nivel de Circuito: opera sobre la capa de aplicación, pero forma una
conexión, cueste lo que cueste, de servicios particulares como HTTP, FTP, etc, o del
host destino.
Sistemas de Detección /Prevención de Intrusos (IDS/IPS): una vez que el firewall
permite la entrada de tráfico a la red puede ser que éste sea benigno o malicioso; más
aún, puede ser que en el tráfico interno de la red circule código malicioso. Este tipo de
tráfico debe ser analizado con sistemas especiales como los sistemas de detección de
Intrusos (IDS), el cual permite, sobre la base de reglas predefinidas, detectar y notificar el
flujo de dicho código para poder tomar acción en cuanto esto suceda.
Adicionalmente, en muchas ocasiones, el atacante enmascara el ataque en tráfico
permitido por el firewall con el objetivo de explotar las vulnerabilidades de los diferentes
sistemas dentro de una red y utilizarlas como caminos para realizar los ataques por lo que
se requiere de un IDS para detectarlo.
Un IDS se encuentra en constante actividad revisando todo el tráfico que fluye por la red
corporativa así como el que sale o llega de Internet a fin de alertar sobre la existencia de
paquetes que pudieran comprometer las operaciones de la empresa o inclusive llegar a
bloquear transacciones maliciosas.
Más allá de los IDS están los sistemas de prevención de intrusos (IPS) los cuales, además
de detectar y notificar, toman acción contra ese tráfico sumándose la ventaja de realizar su
análisis, no sólo a través de reglas predefinidas, sino aprovechando las capacidades de un
analizador de protocolos. La combinación de ambos productos, IDS e IPS; permite la
visualización de la actividad dentro de la red para poder prevenir violaciones de seguridad.
En la gráfica siguiente se ilustra el funcionamiento de los IDS e IPS:

Noviembre-2005
Rol del Firewall IDS IPS
Detección de
Mas Ataques
Calquiera no
Tráfico Explicitamente
Negado Permitido
Buen Normal
Reglas Tráfico Reporte de Firmas
Tráfico Permisivas
Falsa Alarma Análisis de Firmas y Protocolo
Permitido HTTP,SMTP,
FTP, DNS, etc. Análisis del Protocolo
Alarma Real Firmas en el Tráfico

Tráfico
Operacion Activa
Malicioso
No Detectado Mejor Administración
Reducción
De Falsas
Alarmas
Tipos de IDS:
NIDS (Network Intrusion Detection System): detecta los paquetes armados
maliciosamente y diseñados para no ser detectados por los cortafuegos. Consta de un
sensor situado en un segmento de la red y una consola. Ventaja: no se requiere
instalar software adicional en ningún servidor. Inconveniente: es local al segmento, si la
información está cifrada no puede procesarla.
HIDS (Host Intrusion Detection System): analiza el tráfico sobre un servidor. Ventajas:
registra comandos utilizados. Es más fiable y tiene una mayor probabilidad de acierto
que el NIDS.
Tipos de IDS según naturaleza:
Pasivos: registran violación y generan una alerta
Reactivos: responden ante la situación, anulando sesión, rechazando conexión por el
firewall, etc. (IPS)
Características:
Detección de mal uso: verifica sobre tipos ilegales de tráfico, detectando secuencias
que previamente se sabe son utilizadas para realizar ataques (conocidas como
exploits))
Detección de uso anómalo: verifica diferencias estadísticas del comportamiento normal
de una red, según franjas horarias, de acuerdo a la utilización de puertos (evitaría el
rastreo de puertos)
La prevención de intrusos se asemeja más a una vacuna que a un antibiótico como lo
pudiera ser un antivirus. Las vacunas hacen al cuerpo resistente a ataques virales
extendiendo así el sistema inmune; similar a esto, la prevención de intrusos hace a la red
corporativa más resistente a ataques certeros.

Noviembre-2005
TCP/IP Transport Control Protocol/ Internet Protocol: son los dos protocolos de Internet
más conocidos que erróneamente suelen confundirse con uno solo. TCP, corresponde a la
capa 4 (capa de transporte) del modelo OSI y ofrece transmisión confiable de datos, IP
corresponde a la capa 3 (capa de red) del modelo OSI y ofrece servicios de datagramas
sin conexión. Comúnmente TCP/IP se utiliza para hacer referencia a la suite de protocolos
de Internet.
RTCP, Real-Time Control Protocol: el protocolo de control para RTP, RTCP es usado para
controlar y diagnosticar sesiones sobre RTP. Como RTP, RTCP típicamente corre sobre
UDP y es definido por el IETF RFC1889.
RTP (Real-Time Protocol): es un protocolo de transporte designado para proveer servicios
de entrega fin a fin para data sin características sin tiempo real. RTP típicamente corre
sobre el protocolo UDP. Definido en el IETF RFC1889.
ICMP: son las siglas en inglés de Protocolo de Mensajes de Control y Error de Internet,
(Internet Control Messages Protocol), es de características similares a UDP, pero con un
formato mucho más simple, y su utilidad no está en el transporte de datos de usuario, sino
en controlar si un paquete no puede alcanzar su destino, si su vida ha expirado, si el
encabezamiento lleva un valor no permitido, si es un paquete de eco o respuesta, etc. Es
decir, se usa para manejar mensajes de error y de control necesarios para los sistemas de
la red, informando con ellos a la fuente original para que evite o corrija el problema
detectado. ICMP proporciona así una comunicación entre el software IP de una máquina y
el mismo software en otra. El protocolo ICMP solamente informa de incidencias en la
entrega de paquetes o de errores en la red en general, pero no toma decisión alguna al
respecto. Esto es tarea de las capas superiores.
IGRP: Internal Gateway Routing Protocol. Protocolo de enrutamiento desarrollado por
Cisco Sytems para ofrecer a sus clientes una alternativa de mayor escalabilidad que RIP.
Direcciona los beneficios asociados con el enrutamiento en redes extensas y
heterogéneas.
WAP: Wireless Application Protocol. Protocolo gratuito y abierto, sin licencia, para
comunicaciones inalámbricas que hace posible crear servicios avanzados de
telecomunicación y acceder a páginas de Internet desde dispositivos WAP. Ha tenido gran
aceptación por parte de la industria.
Cifrado de Datos: el cifrado se puede entender como el hecho de guardar algo valioso
dentro de una caja fuerte cerrada con llave. Los datos confidenciales se codifican con un
algoritmo de cifrado y una clave que los hace ilegibles si no se conoce dicha clave. Las
claves de cifrado de datos se determinan en el momento de realizar la conexión entre los
equipos. El uso del cifrado de datos puede iniciarse en su equipo o en el servidor al que se
conecta.
Criptografía: la criptografía es la disciplina que engloba principios, medios y métodos para
la transformación de datos con el objeto de ocultar el contenido de la información,
establecer su autenticidad, evitar su modificación no detectada, evitar su repudio y/o evitar
su uso no autorizado. Se llama cifrado (o transformación criptográfica) a una
transformación del texto original (llamado también texto inicial o texto claro) que lo

Noviembre-2005
convierte en el llamado texto cifrado o criptograma. Análogamente, se llama descifrado a la

transformación que permite recuperar el texto original a partir del texto cifrado. Cada una
de estas transformaciones está determinada por un parámetro llamado clave.
Los sistemas criptográficos están teniendo un gran auge últimamente ante el miedo a que
una transmisión en Internet pueda ser interceptada y algún intruso pueda enterarse de
información confidencial.
Enviar un correo electrónico cifrado aporta indudables ventajas, tanto al emisor como al
receptor del mensaje. La confidencialidad está prácticamente asegurada, nadie que no
conozca las claves con las que se ha enviado el correo electrónico podrá enterarse de qué
es lo que hay en el correo. Así, se puede enviar todo tipo de información con la
tranquilidad de que estará a salvo de potenciales intercepciones de la comunicación.
DES, Data Encryption Standard (Estándar de Cifrado de Datos): es el nombre del Estándar
Federal de Procesamiento de la Información (FIPS, por sus siglas en inglés), que se refiere
al algoritmo de cifrado de datos (Data Encryption Algorithm DEA, por sus siglas en inglés).
DES y DEA son intercambiables. DEA tiene un bloque de entrada de 64 bit y utiliza una
clave de 56 bits durante la ejecución (8 bits son de paridad y son eliminados de la clave de
64 bits). DEA es un sistema criptográfico simétrico. Cuando se usa para comunicaciones,
tanto el emisor como el receptor deben conocer la misma clave secreta, que puede usarse
para encriptar o desencriptar el mensaje o para generar y verificar un código de
autenticación de mensaje (MAC, por sus siglas en inglés). DEA también puede usarse
para encriptación por un solo usuario, como por ejemplo, para almacenar archivos en un
disco duro en forma encriptada. En un ambiente multiusuarios la distribución de claves
seguras puede ser difícil; la criptografía de claves públicas es una solución ideal para este
problema.
DES Triple (3 DES): es el mismo algoritmo DES, con la diferencia de que la información
de entrada se encripta tres veces utilizando tres claves diferentes. En ocasiones a este
modo de encriptación se le conoce como DES-EDE. El estándar ANSI X9.52 define tres
funciones para DES-EDE: (i) Las tres claves k1, k2, y k3 son independientes, (ii) k1 y k2
son independientes pero k1=k3, o (iii) k1=k2=k3.
PKI (Public Key Infrastructure): se define como la infraestructura de red formada por
servidores y servicios que, sobre la base de claves públicas, gestionan de forma segura
todas las transacciones realizadas. Se fundamenta en dos operaciones básicas:
• Certificación (medio por el cual las claves se publican).
• Validación, a través de revocación y autenticación.
El modo de realizar estas operaciones define las características de cada PKI. Las claves
públicas pueden ubicarse en servicios de directorios, en autoridades de certificación, redes
de confianza, etc. Su objetivo es dotar a los miembros de una corporación de los
mecanismos para autenticación de usuarios, no repudio, integridad de la información,
auditoria y negociación de claves secretas.
Elementos que la componen:

Noviembre-2005
• Certificados digitales (X509) para personas, máquinas, procesos.

• Organización jerárquica: basadas en CA y RA o en redes de confianza como PGP.
• Directorios de certificados (X.500, LDAP) o repositorios de llaves.
• Sistema software de administración de certificados: generación, revocación de
certificados y comprobación a través de lista de certificados revocados.
Certificados X509: es el protocolo que se utiliza para certificar las claves públicas, con lo
que los usuarios pueden intercambiar datos de manera segura. Definido por ISO pero
aceptado por el IETF en RFC 3280 X.509 está basado en criptografía asimétrica y firma
digital. Se emplea para autenticar la información en redes externas, redes internas y en el
correo electrónico; la autenticación se realiza mediante el uso de certificados.
El certificado digital es un vínculo entre una clave pública y una identidad de usuario, que
se consigue mediante una firma digital emitida por un tercero, o autoridad de certificación,
quien hace pública su clave privada en la que TODOS confían. Por tanto, el certificado se
considera como un objeto firmado con la clave privada de la autoridad de certificación, e
incluye: identidad del usuario, clave, período de validez, identidad del emisor.
Firma Digital: es una técnica que se basa en la criptografía de clave pública para
asegurar que un mensaje no sea manipulado.
PGP (Pretty Good Privacy): también se conoce como sistema de firma digital para correo
electrónico, es un paquete completo de seguridad de correo electrónico que proporciona
confidencialidad, validación de identificación y firmas digitales, usando algoritmos
criptográficos y compresión. El paquete completo, incluido el código fuente, se distribuía
anteriormente por Internet de forma gratuita, por lo que es el de más amplio uso hoy día.
Se puede utilizar localmente para proteger archivos (como adjunto de correo), sin
necesidad de enviar el correo; para certificar usuarios; como repositorio de llaves (key
ring); y también como soporte para e-commerce. Existe una versión completamente
gratuita “GNU PG” (GNU Privacy Guard RFC 2440) equivalente a PGP.
RTCP (Real-Time Control Protocol): el protocolo de control para RTP, RTCP es usado
para controlar y diagnosticar sesiones sobre RTP. Como RTP, RTCP típicamente corre
sobre UDP y es definido por el IETF RFC1889.
RTP (Real-Time Protocol): es un protocolo de transporte designado para proveer
servicios de entrega fin a fin para data sin características sin tiempo real. RTP típicamente
corre sobre el protocolo UDP. Definido en el IETF RFC1889.
SSH (Secure Shell): es el nombre de un protocolo y del programa que lo implementa.
Este protocolo sirve para acceder a máquinas a través de una red, de forma similar a como
se hacía con telnet. La diferencia principal es que SSH usa técnicas de cifrado para que
ningún atacante pueda descubrir el usuario y contraseña de la conexión ni lo que se
escribe durante toda la sesión; aunque es posible atacar este tipo de sistemas por medio
de ataques de REPLAY y manipular así la información entre destinos. También es una
línea de comandos segura de la capa de aplicación. Inicialmente pensado para evitar el
paso de passwords en las conexiones de telnet. Adicionalmente, se puede emplear en

Noviembre-2005
modo túnel para cualquier protocolo TCP; es el sustituto de los protocolos “r”: rsh, rcp,
rlogin.
Comprende los protocolos:
• Transport Layer Protocol (SSH-TRANS): autenticación del servidor y cliente,
confidencialidad, integridad, compresión.
• User Authentication Protocol (SSH-USERAUTH).
• Connection Protocol (SSH-CONN).
SSL (Secure Socket Layer): es un protocolo de datagrama, como IP o UDP, entrega

datos en paquetes el mismo tamaño que los que fueron enviadas.
TLS, Transport Layer Security en castellano Capa de Transporte Segura: es una
versión estandarizada por el IETF del protocolo SSL que pretende abarcar toda la capa de
transporte de la pila OSI.
IPSec: es una ampliación de IP, diseñada para funcionar de modo transparente en redes
existentes. Usa criptografía para ocultar datos y es independiente de los algoritmos de
cifrado.
Aplicable en IPv4 y obligatorio en IPv6, está formado por:
Una Arquitectura
Un conjunto de protocolos
Una serie de mecanismos de autenticación y encriptado (DES, 3DES y por hardware)
Modos de funcionamiento de IPSec:
• Modo transporte: comunicación segura de extremo a extremo. Requiere
implementación de IPSec en ambos hosts. No se cifra la cabecera IP.
• Modo túnel: comunicación segura entre routers únicamente, que ejecutan pasarelas de
seguridad. Permite incorporar IPSec sin tener que modificar los hosts. A los paquetes
se añade otra cabecera. Se integra cómodamente con VPNs.
VPN (Virtual Private Network): es la interconexión de un conjunto de computadores
haciendo uso de una infraestructura pública, normalmente compartida, para simular una
infraestructura dedicada o privada. Las VPNs tienen la característica de utilizar
direccionamiento no integrado en la red del ISP. Consiste en aprovechar una
infraestructura pública tipo Internet para simular una red privada; para ello, utilizan el
encapsulamiento IP-IP. El direccionamiento es independiente del de la red pública y a
menudo conlleva un requerimiento de seguridad (encriptación con IPSec).
WTLS, Wireless Transport Layer Security protocol (WTLS): es un protocolo que se
encarga de toda la criptografía orientada a WAP. Maneja encriptación/desencriptación
usando autenticación e integridad de datos. Esta basado en el Protocolo de Seguridad de
la Capa de Transporte (TLS), anteriormente conocido como Secure Sockets Layer (SSL).
WTP, Wireless Transaction Protocol (WTP) es el protocolo de transacciones de WAP,
que trabaja entre las sesiones del protocolo WSP y el protocolo de seguridad WTLS. WTP

Noviembre-2005
divide la data en paquetes de datagramas en las capas menores y los concatena al

recibirlos para que la data sea utilizada. WTP mantiene las trazas de paquetes enviados y
recibidos y hace retransmisión y acuse de recibo cuando es necesario.
Honey Pot: por lo general las empresas que tienen el alojamiento de sus servicios web
internamente deben buscar la forma de distraer a un atacante para evitar que cause daños
significativos, así mismo, en ocasiones es interesante aprender de los propios atacantes;
bajo esta premisa fueron creados los honey pots.
Estos no son más que servidores puestos adrede para que los intrusos los saboteen y
puedan ser monitoreados por sistemas que actúan como puentes a los servidores,
registrando, de forma transparente, los paquetes que acceden a dichos servidores y las
huellas de la intrusión, para efectos legales. Al detectar un ataque (por modificación de la
estructura de archivos), se recompone la traza del atacante (secuencia de paquetes
registrados en el monitor puente) y se pasa a un análisis forense. Este análisis forense
permite, en caso de detectar un nuevo ataque, la generación de una nueva regla de
detección.
Adicionalmente, un honey pot permite que un hacker se “engolosine” con las
vulnerabilidades que tiene activas y lo distrae de un posible objetivo real.
1.3.2. Aseguramiento de la Infraestructura Crítica

Una vez protegido el perímetro, se debe cuidar y garantizar la perfecta operación de los
componentes y sistemas que soportan los procesos críticos de la organización; en estos
casos la garantía de operación vendrá dada por las soluciones técnicas que se muestran a
continuación
Identificación: este tipo de servicio corresponde a la determinación de la identidad real
del individuo que opera el sistema; es decir, se intenta definir si realmente la persona es
quien dice ser. Existen diversas tecnologías para reforzar los esquemas de identificación:
o Identificación Basada en Tokens: identificación de usuario utilizado para proteger
la información o la identidad. A diferencia de las soluciones de seguridad basadas
en software, este tipo de identificación como las tarjetas inteligentes se consideran
como un “token tipo hardware”.
o Smart Card: son tarjetas que contienen la información del individuo y
generalmente su password; el riesgo de utilizar este tipo de sistemas es el robo de
la tarjeta, lo que permitiría una fácil suplantación del individuo.
o Tokens: los tokens de Seguridad son dispositivos físicos que pueden portar los
usuarios para utilizarlos como método de autenticación en los distintos servicios
que ofrece la red corporativa; en pocas palabras, el usuario transcribe la clave
mostrada por el token, esto es llamado autenticación de doble factor ya que
combina dos cosas, como lo son: el identificador de usuario y un valor que muestra
el dispositivo y que es conocido como PIN (Personal Information Number).

Noviembre-2005
Autenticación: La validación de autenticidad de muchos documentos legales, financieros

y de otros tipos se determina por la presencia o ausencia de una firma manuscrita
autorizada o de una firma digital. La firma digital permite que una de las partes pueda
enviar un mensaje “firmado” a la otra parte, con las propiedades de autenticación (íntegro,
auténtico y no repudio).
Similar a la identificación, la autenticación tiene como objetivo determinar si es un usuario
o sistema válido al cual se le puedan prestar todos o parte de los servicios de la red
corporativa.
o Biometría: es una tecnología que cobra cada vez más adeptos por la reducción de
los costos asociados y por ser la que posee menor nivel de suplantación. Se basa
en las características biológicas individuales que identifican al individuo; entre las
características de comparación se encuentran: el Iris, la huella digital, la voz, la
geometría de la mano y actualmente se están realizando estudios en las
características de las pisadas y altura del individuo para reforzar cualquiera de las
otras comparaciones.
o Certificación Electrónica: es el proceso a través del cual una entidad de
confianza confirma la autenticidad de la identidad de un usuario utilizando un medio
electrónico o digital.
La Autoridad de Certificación (Certification Authority-CA) es una entidad de
confianza, reconocida y aceptada por todos, muy difícil de suplantar. Por regla
general de seguridad, no se trabaja directamente con la autoridad de certificación
sino con un intermediario o autoridad de registro, es decir, un ente u organismo
que, de acuerdo con unas políticas y algoritmos, certifica claves públicas de
usuarios o servidores.
En la práctica, el usuario A enviará al usuario B su certificado (la clave pública
firmada por CA) y éste comprobará con esa autoridad su autenticidad. Lo mismo en
sentido contrario.
o Kerberos: servicio de autenticación desarrollado en el Massachusetts Institute of
Technology (MIT) para autenticar la identidad de los usuarios de una red digital
insegura, así como para distribuir las claves secretas de sesión transitorias que
permitan a los usuarios de la red establecer comunicaciones seguras. En
ocasiones estas claves de sesión transitorias pueden ser de un solo uso (OTP, One
Time Password). Kerberos actúa como un árbitro en quien los usuarios confían,
utilizando con cada usuario una clave secreta diferente, intercambiada con
Kerberos a través de un canal seguro. El conocimiento de dicha clave se utiliza
como prueba de identidad del usuario, la autenticación se produce entre cliente-
servidor y servidor-cliente. En estas condiciones, como Kerberos conoce las claves
secretas de todos los usuarios, puede demostrar a cualquiera de ellos la
autenticidad de la identidad de otro; es centralizado y no distribuido en una red, por
lo que si falla o si se ve comprometido, se pone en peligro toda la red. Además, las
claves almacenadas son privadas y no públicas y requiere la kerberización
(modificación) de todas las aplicaciones, así como de la sincronización de todas las

Noviembre-2005
máquinas. En ningún momento los passwords viajan por la red ni son guardados en
memoria, sólo las credenciales.
Autorización/Control de Acceso: mecanismo que en función de la identificación ya

autentificada que permite acceder a datos o recursos. Una vez identificado un usuario
debe validarse qué puede hacer en la red y a que áreas está autorizado llegar. Algunas
técnicas asociadas a la autorización y control de acceso son la definición de roles,
conocida como RBAC (Role Based Access Control) y el filtrado de paquetes.
Administración Basada en Roles (Control de Acceso Basado en Roles): es un sistema
para controlar cuáles usuarios tienen acceso a recursos basados en el rol del usuario. Los
derechos de acceso se agrupan por nombres de roles, y el acceso a los recursos se
restringe a los usuarios que han sido autorizados para asumir el rol asociado. A cada
usuario se le asigna uno o más roles y cada rol tiene asignado un privilegio de acceso
acorde con el tipo de usuarios que englobe.
Dominios Seguros: en muchas ocasiones no se dispone ni de Autoridades de
Certificación ni de Registro. Una solución tomada estriba en la confianza entre los propios
usuarios para lo que se establecen características de interconexión segura entre
servidores y grupos de usuarios.
Proxy: (en inglés «apoderado» o «delegado»): hace referencia a un programa o
dispositivo que realiza una acción en representación de otro. La finalidad más habitual de
esa representación es la de permitir el acceso a Internet a todos los equipos de una
organización cuando sólo se puede disponer de un único equipo conectado, esto es, una
única dirección IP.
Antivirus: es una práctica ya antigua el uso de antivirus ya que ésta fue, prácticamente, la
primera forma de violentar la seguridad de un PC. Hoy en día el uso de Internet ha
permitido que los virus se propaguen más rápido y eficientemente, por lo que el uso de
antivirus para estaciones de trabajo no es suficiente. Se requiere el uso de sistemas
antivirus, que trabajen en conjunto con el firewall, para evitar el paso de código malicioso a
la red de la empresa. De esta forma se puede reforzar la seguridad para detección y
eliminación de virus en el punto de acceso a la red, independientemente de cualquier otra
protección a nivel de las estaciones de trabajo.
Software Antiespía: software especialmente diseñado para evitar la instalación no
autorizada de código malicioso; este tipo de programas espías persigue identificar las
preferencias de uso de Internet y de las aplicaciones por parte de los usuarios.
Patch Management: sistema que permite a los administradores de las TI implantar las
últimas actualizaciones de software (aplicaciones y sistemas operativos) de forma
automática y centralizada a los equipos de una red.
Plataformas de Pruebas: son entornos de trabajo configurados de forma similar a los
entornos de producción u operación, cuya finalidad es hacer ensayos de nuevas
aplicaciones o versiones y garantizar que funcionen correctamente al ser implantadas.

Noviembre-2005
Planes de contingencia: son planes procedimientos establecidos, documentados y se

implementan con la finalidad de proveer soluciones rápidas a eventos que afecten las
operaciones y continuidad del negocio.
Respuesta Planes de Respaldo y Recuperación: son procedimientos que permiten
almacenar copias de seguridad de data crítica, para que pueda ser restablecida con el
menor impacto posible en las operaciones y minimizar al máximo el tiempo para
restablecer los servicios en un entorno de operación. Algunos servicios de
almacenamiento de datos bajo demanda ofrecen la capacidad de acceder, proteger y
recuperar la información corporativa en cualquier plataforma tecnológica de procesamiento
a través de todo el ciclo de vida de sus datos corporativos.
Cámaras de Video: dispositivos utilizados para monitorear espacios abiertos o cerrados
con el fin de mantener una bitácora de eventos y proveer seguridad.
Control de Incendio e Inundación: medida de control para proteger los equipos de un
desastre natural o provocado.
1.3.3. Protección Local y Monitoreo.

Partiendo del principio que la seguridad de los sistemas será tan robusta como el
componente más vulnerable, los componentes adicionales que permiten acceder a la
información de los procesos de la organización, así como los equipos de uso cotidiano por
los usuarios, deben ser igualmente protegidos. Para ello, además del uso de algunas
tecnologías, deben implantarse esquemas administrativos y de gestión de la seguridad, los
cuales se revisarán en detalle en el capítulo 3 de esta Guía. Algunas de las técnicas de
protección mayormente utilizadas se observan a continuación:
Administración de Control de Acceso: uno de los principios fundamentales de la
seguridad de información se refiere a asignar por defecto el mínimo nivel de privilegios
posible a los usuarios o sistemas (regla del menor privilegio) e irlos incrementando en la
medida que se necesite. En pocas palabras, una autoridad certificadota garantizará
privilegios suficientes para que el usuario realice su trabajo limitando así la exposición a
ataques y a los daños que estos puedan causar.
Auditoria: hoy por hoy constituye el servicio de mayor importancia ya que cubre todas las
áreas de detección y prevención de intentos de acceso inválido, sea a través de la
detección de código malicioso, cambios en los sistemas, etc. Al incorporar este conjunto
de herramientas de monitoreo, en tiempo real, se logra que la seguridad comience a
administrarse de forma más proactiva que reactiva.
Logs de Acceso: son los registros que se almacenan en una bitácora con relación a los
accesos realizados a recursos o sistemas, por usuarios autorizados o no autorizados.
Certificación, acreditación y revisiones de seguridad: se deben realizar periódicamente
revisiones por parte de entes externos, que certifiquen el cumplimiento de los controles
básicos y protección de la información.

Noviembre-2005
Escáner de Vulnerabilidad, Herramientas de Auditoria o Assessment: son productos

de software que permiten buscar vulnerabilidades reportadas en sistemas y dispositivos a
fin de informar al grupo de seguridad sobre posibles brechas que puedan ser
aprovechadas para ingresar ilegalmente en un sistema, facilitando la toma de acciones
correctivas a tiempo.
Herramientas Forenses: son herramientas y métodos utilizados para recuperar
información de dispositivos que, o bien han dejado de funcionar, o están protegidos con
algún tipo de seguridad, pero que por motivos variados es imprescindible acceder a dicha
información.
Monitoreo/Filtrado: herramientas que permiten consolidar toda la información de
seguridad que generan los dispositivos a fin de integrar en, un solo lugar, una visión de las
actividades y el cumplimiento de las políticas de la empresa. Hoy en día la incorporación
de técnicas de correlación de eventos permite detectar posibles patrones de ataque que,
de otra manera, no podrían detectarse y de esta forma se pueden mostrar realmente los
eventos importantes.
Refuerzo de la Seguridad en las Estaciones de Trabajo: aún cuando las redes
corporativas incorporen en su acceso a Internet un firewall como medida para filtrar
conexiones maliciosas, y que se disponga de una solución antivirus al nivel corporativo, de
acuerdo a las más recientes investigaciones sobre seguridad, se ha determinado la
existencia de una grave vulnerabilidad que afecta todas las versiones de Windows (NT 4.0,
2000. XP, y 2003) por lo que se recomienda ampliamente el uso de firewall personales, en
las estaciones de trabajo. Adicionalmente, el uso de un antivirus local, de un fabricante
diferente al del antivirus corporativo, reduce en gran medida la posibilidad de penetración a
esos equipos
Entrenamiento en el Área de Seguridad: Uno de los factores claves para la protección
de los activos de información es el referente a las personas; un personal consciente de
esto responderá más eficientemente ante cualquier incidente provocado por terceros; de
igual manera, un individuo bien entrenado incurrirá en menos fallas.
1.4. Consideraciones para el Diseño de una Arquitectura

Para definir una Arquitectura tecnológica de seguridad primero deben tomarse en cuenta un
conjunto de factores que conforman la base de su diseño e implantación
Uno de los principios básicos se refiere a que la seguridad es un proceso, no únicamente un
grupo de tecnologías y esta requiere que se tome en cuenta la perspectiva y necesidades de
la organización.
Un ciclo de vida de seguridad permite mantener y actualizar en el tiempo la arquitectura de
seguridad, bien sea desde el punto de vista netamente técnico o administrativo basándose
en que las políticas, estándares procedimientos y métricas son el corazón de la arquitectura
y las tecnologías los medios para que éstas se cumplan.

Noviembre-2005
No basta con definir políticas, normas y procedimientos, la definición de una planificación

que defina la estrategia de seguridad de la empresa sentará las bases para la permanencia
en el tiempo de la arquitectura tecnológica de seguridad y en ésta deben involucrarse,
aparte de la tecnología y los procesos, a las personas que intervendrán y utilizarán las
tecnologías.
Las actividades claves que deben ser consideradas al momento de implementar un marco
de seguridad son las siguientes:
• Categorización de los sistemas y activos de Información
• Selección de un grupo de controles mínimos de seguridad
• Refinar los controles de seguridad basados en el análisis de los riesgos inherentes y qué
tan aceptables son esos riesgos, es decir, gestionar los riesgos.
• Documentar los controles y el plan de seguridad
• Monitorear la operación y cumplimiento de los controles
• Crear un plan de seguridad de la información, balanceando las áreas administrativas y
operacionales en conjunto a los controles técnicos de seguridad
• Reforzar los componentes y colocar la mayor cantidad de barreras posibles
• No depender de tecnologías de fabricantes
• Ejecutar el plan de Seguridad en porciones pequeñas y planificadas

Noviembre-2005
2. Modelo y Aplicación de la Arquitectura de

Seguridad
2.1. Introducción:
Antes de pasar a describir el modelo de Arquitectura Tecnológica de Seguridad,
repasaremos brevemente algunos conceptos básicos.
El objetivo de la Arquitectura de Seguridad definida para Suscerte es la de proteger y
asegurar los recursos de información del Estado, de forma tal de proveer un ambiente en el
cual el negocio electrónico del Gobierno pueda ejecutarse de forma segura y con
arquitecturas de seguridad homologadas entre los diversos Organismos.
El término “seguridad de información” significa proteger la información y los sistemas de
información del acceso, uso, divulgación, interrupción, modificación o destrucción no
autorizada. Dicha protección debe ser, en lo posible, del tipo preventivo, es decir, que
tenga como objetivo evitar que un evento de seguridad suceda. Sin embargo, una
Arquitectura de Seguridad bien estructurada siempre debe incluir controles perceptivos,
los cuales permiten recoger información de mucha utilidad en caso que suceda un evento,
permitiendo detectarlo a tiempo y responder oportunamente; y de control correctivo, que
va a permitir tomar las acciones necesarias para que no vuelvan a ocurrir eventos similares.
Por otra parte, la seguridad de sistemas persigue tres objetivos básicos, como lo son:
garantizar la Confidencialidad e Integridad de la Información, es decir que la información
privada o confidencial no se divulgue a personas no autorizadas y que la información no sea
modificada sin autorización; y permitir solo el Acceso a las personas autorizadas. Estos
objetivos se logran a través de diversos elementos de control de la seguridad o servicios.
La aplicación del Modelo de Arquitectura Tecnológica diseñada, y en particular de los
elementos de control de la seguridad o servicios, se logra a través de la implantación de
diversas tecnologías de seguridad, las cuales van a darle un menor o mayor grado de
robustez a la Arquitectura y podrán implantarse o no dependiendo de los requerimientos de
seguridad del Organismo; estas tecnologías, a su vez, deben definirse de acuerdo a la
criticidad de los procesos y al nivel de sensibilidad de la información que dicho Organismo
maneje.
2.2. Modelo de Arquitectura
2.2.1. Arquitectura Tecnológica de Seguridad por Capas

Sobre la base de lo expuesto en la sección anterior, procederemos a identificar
primeramente los Dominios de Uso de un sistema de información:

Noviembre-2005
2.2.1.1. Dominio de Infraestructura Física: contempla todo lo relacionado a los

medios mecánicos y eléctricos para la comunicación tales como placas, cables y
conectores, lo cual está directamente relacionado con el nivel Físico del Modelo OSI de
Redes.
En esta primera capa de la Arquitectura Tecnológica de Seguridad los esquemas de
seguridad deben estar orientados a proteger la infraestructura de cableado y
telecomunicaciones. Una primera protección se logra a través de esquemas de
redundancia. Así mismo, deben protegerse los equipos de red y en la granja de
servidores, a través de sistemas de control de acceso y cerraduras, esquemas de
detección de intrusos, cámaras, alarmas y control ambiental, lo cual está relacionado
con la disciplina de seguridad física en lugar de con la de seguridad lógica o de la
información.
2.2.1.2. Dominio de Red o Conectividad: contempla los elementos necesarios para
establecer la conectividad; este Dominio corresponde a los niveles de enlace de datos,
redes y transporte del Modelo OSI de Redes. Se encarga de transformar la línea de
transmisión común en una línea sin errores detectando y corrigiendo los errores,
detecta el flujo de tráfico no autorizado, controla la operación de la subred
encaminando los paquetes desde la fuente al destino final a través de routers, evitando
así la congestión de la red.
Los protocolos IP, para el envío de datos a través de Internet, y TCP, para el correcto
enrutamiento de los paquetes a través de Internet, así como el protocolo HDLC (High
Data Link Control) para la detección de errores en la transmisión, son algunos de los
múltiples protocolos que intervienen en este Dominio.
La Arquitectura Tecnológica de Seguridad en este Dominio debe proteger los sistemas
a través de una variedad de tecnologías. Los VPNs protegen la información
encriptándola y transmitiéndola a través de túneles encriptados de la red de Internet.
Los sistemas de detección de intrusos en la red (NIDS) y en los equipos o Host (HIDS)
vigilan el flujo de tráfico en las redes y en los equipos respectivamente, buscando
patrones que puedan indicar ataques o intentos maliciosos. Los escaners de virus en
este Dominio buscan patrones que indiquen la existencia de códigos maliciosos a
través de la identificación de firmas para virus reconocidos; así mismo, verifican si los
anexos en los mensajes tipo emails contienen virus o códigos maliciosos. Los firewalls
por su parte realizan la inspección de paquetes entrantes y salientes de la red. Los
routers, usando las listas de control de acceso o ACLs filtran los paquetes IP
previniendo que el tráfico vaya a sistemas que no los requieren; utilizando los
esquemas de dirección IP los ingenieros de redes pueden planificar e implantar tablas
de ruteo que protejan la red con listas de control de acceso en el router facilitando la
definición y distribución de reglas del firewall y evitando ataques tales como el spoofing
de direcciones.
2.2.1.3. Dominio de Sistema Operativo: contempla los elementos de software básico
y se relaciona a su vez a los niveles de transporte, sesión y presentación del Modelo
OSI de Redes. La seguridad en este Dominio se logra principalmente a través de
diversas técnicas y herramientas. Algunas de las técnicas tienen que ver

Noviembre-2005
fundamentalmente con políticas de seguridad para la administración de los sistemas,

tales como el hardening de los sistemas operativos, aplicación de patches,
actualización de los sistemas operativos, activación de aquellos servicios requeridos
para el negocio desactivando el resto, utilización de privilegios limitados para la
ejecución de los procesos, etc. La realización de pruebas de penetración permiten así
mismo la detección de vulnerabilidades.
Desde el punto de vista técnico existen diversas soluciones que contribuyen a la
seguridad en este Dominio, siendo los sistemas de control de acceso a las redes uno
de los principales elementos de seguridad. El acceso de los usuarios puede
controlarse centralmente utilizando motores de control de acceso sobre reglas basadas
en los roles de los usuarios (role/rule based access control RBAC) los cuales utilizan
directorios tales como LDAP o Active Directory.
Otro ejemplo de las soluciones de seguridad para este Dominio es el software de
verificación del nivel de cumplimiento de las políticas (security helth checking software)
incluyendo la verificación del largo y composición de los passwords, validación de que
los procesos que se ejecuten son los autorizados, detección de puertos que puedan
abrirse sin estar autorizados, etc. El software para la distribución de patches es otra
solución que contribuye a la seguridad en este Dominio. Los escaners de
vulnerabilidad permiten, a su vez, verificar problemas de configuración y la existencia
de vulnerabilidades en los Sistemas Operativos. Los sistemas de detección de
intrusos en equipos (HIDS) permiten identificar cambios en el comportamiento de los
sistemas los cuales podrían indicar que un atacante está tratando de ganar control
sobre el sistema.
2.2.1.4. Dominio de Base de Datos: incluye lo relacionado a los repositorios de datos.
Este Dominio guarda alguna relación con los niveles de sesión y presentación del
Modelo OSI de Redes. La seguridad en este Dominio reside fundamentalmente en los
administradores de Bases de Datos encargados de administrar los controles de
acceso. Los escaners de virus permiten el barrido de los discos para detectar la
existencia de códigos maliciosos en la data.
2.2.1.5. Dominio de Aplicaciones: incluye los aplicativos. Guarda relación con los
niveles de presentación y aplicación del Modelo OSI de Redes. Los sistemas de
seguridad que resguardan este Dominio tienen mucho que ver con los sistemas de
control de acceso a las aplicaciones. La utilización de certificados digitales y
plataformas de llaves públicas PKI (Public Key Infrastructure) pueden ser usados en
este Dominio para proveer firmas digitales, encriptación y esquemas de no
repudiación.
2.2.2. Propósito de la Arquitectura de Seguridad-Elementos de Control de la

Seguridad
El objetivo de la Arquitectura de Seguridad definida para Suscerte, debe ser proteger y
asegurar los recursos de información del Estado de forma tal de proveer un ambiente
en el cual el negocio electrónico del Gobierno pueda ejecutarse de forma segura. La

Noviembre-2005
protección de la información y de los sistemas sobre los cuales el Estado depende,

adquiere mayor importancia a medida que los organismos gubernamentales incorporen
nuevas tecnologías y dependan en mayor grado de su uso. El término “seguridad de
información” significa proteger la información y los sistemas de información del acceso,
uso, divulgación, interrupción, modificación o destrucción no autorizada. En pocas
palabras, la seguridad de sistemas persigue tres objetivos básicos, como son:
garantizar la Confidencialidad e Integridad de la Información, es decir que la
información privada o confidencial no se divulgue a personas no autorizadas y que la
información no sea modificada sin autorización; y permitir solo el Acceso a las
personas autorizadas. Estos objetivos se logran a través de diversos elementos de
control de la seguridad o servicios los cuales, a su vez, se sustentan en diferentes
tecnologías. El siguiente gráfico muestra esta interrelación.
Objetivos
Confidencialidad
Integridad
Disponibilidad
Elementos de Control / Servicios

Autorización/ No
Identificación Autenticación Administración Auditoria
Control de Acceso Repudiación
Tecnologí
Tecnologías
Certificados PKI Dominios Herramientas
RACF ACF2 - NOS / OS
Smart Cards X509 Seguros de Auditoria
Cirptografía PGP Administracion del Monitoreo

Card Readers Control de Acceso / Filtrado
Tokens DCE / Kerberos Autoridad

Integridad de Red
Certificadora
Acceso Remoto Detección
Id deUsuario Sign-on de Intrusos
Biometría Firewalls
SSH Antivirus
Los elementos de control de la seguridad juegan un papel primordial en la definición de

la Arquitectura Tecnológica de Seguridad, ya que dependiendo del Dominio de Uso del
que se trate (Redes, Sistemas Operativos, Aplicaciones, etc.) y del nivel de criticidad o
sensibilidad de la información que se maneje en cada caso, los elementos de control
requeridos se lograrán mediante la utilización de tecnologías de menor o mayor grado
de sofisticación.
A continuación se describen cada uno de los elementos de control de la seguridad a
considerar:

Noviembre-2005
2.2.2.1 Disponibilidad: consiste en asegurar el acceso oportuno y confiable a la

información. Ello se logra a través de 3 sub-elementos:
o Identificación: corresponde a la determinación de la identidad real del individuo
que opera el sistema; es decir, se intenta definir si realmente la persona es quien
dice ser. Las técnicas de identificación deben proveer una forma de tener acceso a
los recursos del Estado tales como estaciones de trabajo, redes, aplicaciones y
bases de datos.
o Autenticación: es el proceso de verificar la identidad del usuario. La autenticidad
de muchos documentos impresos sean éstos legales, financieros o de otra índole,
se determina por la presencia o ausencia de una firma manuscrita autorizada, o
cuando el documento es electrónico, de una firma digital. La firma digital permite
que una de las partes pueda enviar un mensaje “firmado” a la otra parte; de esta
forma es posible determinar si se trata de un usuario o sistema válido al cual se le
puedan prestar todos o parte de los servicios de la red corporativa. Las
transacciones electrónicas de información sensible del Gobierno deben requerir la
identificación y autenticación estricta del que envía y el que recibe la información
electrónica.
o Autorización y Control de Acceso: consiste en establecer y reforzar los derechos
y privilegios asignados a los usuarios. La autorización debe responder a la
pregunta ¿está el usuario autorizado a hacer lo que está requiriendo o tratando de
hacer? La autorización otorga el permiso a usar los recursos tecnológicos, mientras
que el acceso es la habilidad de hacer algo con los recursos tecnológicos, y el
control de acceso son las definiciones técnicas para otorgar el permiso. Este
elemento de control permite controlar qué información puede acceder un usuario y
cuáles aplicaciones puede ejecutar, así como las modificaciones que puede
realizar.
2.2.2.2. No Repudiación: consiste en asegurar la “firma” de los mensajes de igual
forma que se firma en papel una factura de compra/venta entre empresas. A través de
dicha firma se establece un esquema de validación del documento electrónico y de no
repudiación de forma tal que no exista duda sobre quién originó el documento.
2.2.2.3. Control, Monitoreo y Auditoria: estos son elementos importantísimos de
control de la seguridad. Debe permitir la posibilidad de identificar la traza sobre las
acciones de una entidad. La auditoria es el proceso de revisar las actividades del
sistema que permitan la reconstrucción y examen de los eventos para determinar si se
han seguido los procedimientos apropiados. La Arquitectura de Seguridad debe
proveer la capacidad de hacerle seguimiento y monitorear interacciones, tanto exitosas
como fallidas, con la infraestructura de información. La infraestructura debe facilitar la
auditoria de todos los eventos de seguridad significativos incluyendo autenticación,
acceso a sistemas y administración de seguridad.
2.2.2.4. Administración: este elemento incluye las funciones administrativas
necesarias para establecer, gerenciar y mantener la seguridad. Políticas,

Noviembre-2005
procedimientos, prácticas y programas que establecen métodos preventivos de

resguardo sobre los diversos aspectos de seguridad y que soportan los servicios
públicos críticos, deben ser direccionados como parte de la administración.
2.2.3. Definición del Modelo de Arquitectura Tecnológica de Seguridad

Propuesto
Sobre la base de los Dominios de Uso y Elementos de Control de la Seguridad
definidos anteriormente, procederemos a definir el Modelo de la Arquitectura
Tecnológica de Seguridad propuesta a Suscerte el cual permitirá la implantación de
soluciones de seguridad robustas, acordes a los requerimientos y realidades de cada
Organismo e Institución de la Administración Pública, y manteniendo una Arquitectura
estándar al nivel del Estado Venezolano.
Para ello, primero definiremos los Principios Básicos sobre los cuales debe diseñarse
la Arquitectura de Seguridad de Suscerte y desarrollarse las Arquitecturas de
Seguridad en los Organismos del sector de la administración pública.
2.2.3.1. Principios Básicos de la Arquitectura de Seguridad

Estos Principios deben guiar la planificación, diseño y selección de los productos de
seguridad, así como de los servicios requeridos de forma tal que las transacciones
gubernamentales, al nivel de la administración pública, se lleven a cabo de forma
segura y eficiente. A continuación se definen los Principios básicos que deben
mantenerse en el diseño y desarrollo de la Arquitectura de Seguridad de Suscerte:
Principio 1. debe facilitar que el Gobierno, y sus diversos Institutos y Organismos,
puedan llevar a cabo sus procesos de negocio electrónicamente y prestar servicios
electrónicos al público de forma segura
Principio 2. los niveles de seguridad aplicados a los sistemas y recursos deben estar
justificados en su valor de inversión sobre la base del valor de la información y
recursos protegidos y ser suficientes para mitigar el riesgo a un nivel aceptable
Principio 3. debe ser un componente fundamental en la infraestructura de cada
Organismo Gubernamental y para la interoperabilidad de los sistemas al nivel del
Estado Venezolano
Principio 4. la arquitectura debe estar basada en tecnología abierta, ser flexible e
integrable
Principio 5. debe ser escalable y adaptable a medida que varíen los requerimientos de
seguridad
Principio 6. debe permitir la detección temprana de eventos, una respuesta y reacción
oportuna ante incidentes, y el registro y análisis de eventos
Principio 7. debe ser monitoreable y controlable desde un ente centralizado

Noviembre-2005
Principio 8. debe ser auditable
2.2.3.2. Modelo de la Arquitectura Tecnológica Propuesta a Suscerte

El Modelo de Arquitectura Tecnológica de Seguridad propuesta a Suscerte, ha sido
diseñado de acuerdo a una arquitectura de capas, correspondientes a los distintos
Dominios de Uso, definidos en la sección anterior de este documento, y a los
Elementos de Control de la Seguridad, también identificados anteriormente.
Tal como se presenta en el diagrama siguiente, la arquitectura diseñada contempla un
conjunto de capas correspondientes a los Dominios de Uso, los cuales se integran y
complementan conformando como un todo la plataforma Informática de cualquier
Organización. Adicionalmente, dependiendo de los servicios o Elementos de Control
de Seguridad requeridos en cada Dominio de Uso, cada una de estas capas está
sustentada sobre una o más tecnologías de seguridad, las cuales pueden incorporarse
en el tiempo, conformando la Arquitectura Tecnológica de Seguridad, de acuerdo a los
requerimientos de la Institución y con total independencia de marcas o proveedores
específicos. Una de las ventajas del modelo definido, es que facilita su actualización en
el tiempo ya que, ante la aparición de nuevas tecnologías, solo se requerirá la
incorporación de la misma en la capa de servicio correspondiente.
A continuación se muestra el Diagrama del Modelo de Arquitectura Tecnológica de
Seguridad propuesto. El detalle de las diversas soluciones de seguridad, tecnológicas
o administrativas, que deben sustentar los distintos Dominios se verá bajo el punto 2.4
de esta Guía, bajo el título Matriz Genérica de Soluciones para la Implantación de la
Arquitectura.
Tal como se muestra en el Diagrama que sigue, son cinco las capas sobre las cuales
estaremos trabajando la Arquitectura Tecnológica de Seguridad: Infraestructura Física,
Conectividad o Redes, Sistemas Operativos, Bases de Datos y Aplicaciones.
Para cada una de estas capas, deben aplicarse en mayor o menor grado los distintos
elementos de control de la seguridad anteriormente definidos. Así por ejemplo, el
elemento de control de la seguridad denominado disponibilidad, que a su vez
contempla elementos de identificación, autenticación, autorización y control de acceso,
debe estar presente en todas y cada una de las capas como se observa en el
Diagrama anterior. De esta forma, tendremos servicios de identificación, autenticación,
autorización y control de acceso para acceder a las redes, o capa de Conectividad,
sobre los Sistemas Operativos, a las Bases de Datos y a las Aplicaciones.

Noviembre-2005
Control, Monitoreo, Auditoria

SEGURIDAD
Autorización / Control Acceso
Identificación, Autenticación,
No Repudiación
Aplicaciones
Disponibilidad
Base de Datos
Sistemas Operativos
LÓGICA
Conectividad
FÍSICA
Infraestructura Física
Administración
DIAGRAMA: MODELO DE LA ARQUITECTURA TECNOLÓGICA DE SEGURIDAD
En el caso específico del servicio de disponibilidad sobre la capa de Infraestructura

Física, las tecnologías que deberán aplicarse para controlar la seguridad están más
relacionadas con la disciplina de seguridad física pero, aún así, conceptualmente se
aplica el mismo servicio de disponibilidad para la identificación, autenticación,
autorización y control de acceso a los Centros de Computación, Granjas de Servidores
y otras localidades de acceso restringido, por lo que en el Modelo se le da el mismo
tratamiento que a la disponibilidad para el resto de las capas. Esto es algo en lo que se
ahondará en el Modelo de Gestión de la Arquitectura.
Por otra parte, el servicio de no repudiación es un elemento que debe estar presente
tanto en la capa de Aplicaciones como en la de los Sistemas Operativos, ya que es allí
donde puede controlarse, a través de tecnologías para la generación de firmas
electrónicas y certificaciones digitales, el origen de la información.
Los últimos dos elementos de control de la seguridad contemplados, el de Control,
Monitoreo y Auditoria y el de Administración, tienen incidencia no solo sobre las
distintas capas que integran el Modelo de Arquitectura sino también sobre los distintos
elementos de control considerados. De esta forma, las tecnologías de seguridad que
se contemplarán en el Modelo de Arquitectura deberán considerar la posibilidad de
llevar a cabo el monitoreo integral, auditoria, administración y registro de todos los
eventos relacionadas a ataques exitosos o fallidos, correlaciones de eventos y
acciones tomadas para la respuesta a los incidentes, información ésta proveniente de

Noviembre-2005
los diversos Dominios; a la vez que deberán permitir ejecutar los mencionados
servicios sobre los elementos de control ejecutados, tales como registrar si se llevó a
cabo la autenticación e identificación exitosa del usuario, si existió un control de no
repudiación, etc.
2.3. Ciclo de Seguridad:

Llevar a cabo a una realidad tangible el Modelo de Arquitectura Tecnológica de
Seguridad planteado, conlleva a la definición de un Ciclo de Seguridad que contemple
un conjunto de procesos.
Cada Institución tiene una serie de realidades que la hacen única al momento de
diseñar la solución de seguridad requerida. Sin embargo, todas ellas a su vez
requieren de elementos comunes los cuales pueden variar en su nivel de robustez pero
que en esencia son el mismo tipo de solución, llámese ésta de control de acceso,
identificación, autenticación, etc. De esta forma, podremos encontrar una Institución
cuyo valor de los activos de información que maneja sean tales que se requiera
incorporar elementos de seguridad para un máximo nivel de protección, mientras que
otro Organismo solo requiere de una solución con nivel de protección básico.
Con el objeto de facilitar la definición de las soluciones de seguridad requeridas en
cada Organismo y de asegurar que todas ellas respondan al Modelo de Arquitectura
Tecnológico definido para Suscerte, a continuación revisaremos, primeramente, el
Ciclo de Seguridad que debiera definirse y ejecutarse para la implantación de su propia
Arquitectura de Seguridad. Sin embargo, como el Proyecto que nos ocupa está
circunscrito a la Arquitectura Tecnológica de Seguridad, ahondaremos solo en aquellos
conceptos y procesos relacionados a la Arquitectura Tecnológica.
El Ciclo de la Seguridad debe contemplar los siguientes procesos, cada uno de los
cuales pasaremos a describir a continuación:
• Análisis de Vulnerabilidad
• Análisis de Riesgo
• Aplicación del “Modelo de Arquitectura Tecnológica de Seguridad” a la Institución
• Aplicación de la “Guía sobre Políticas de Seguridad”
• Definición del Plan de Seguridad
• Implementación del Plan de Seguridad
• Evaluación de la Gestión de Seguridad

Noviembre-2005
ANÁLISIS DE
VULNERABILIDAD
ANÁLISIS DE
RIESGO
APLICACIÓN DEL
EVALUACIÓN DE LA MODELO DE
GESTIÓN ARQUITECTURA
Especificación de la
seguridad requerida
APLICACIÓN DE
CICLO DE SEGURIDAD
LAS POLÍTICAS
IMPLEMENTACIÓN
DEL PLAN DE
SEGURIDAD
DEFINICIÓN DEL
PLAN DE
SEGURIDAD
GRÁFICO: Ciclo de Seguridad
2.3.1. En primer término, debe realizarse un Análisis de Vulnerabilidad donde se

revise la infraestructura de tecnología de información de la Institución, desde el punto
de vista cuantitativo a través de escaneos de vulnerabilidad y/o pruebas de
penetración, según se requiera, y cualitativo, a través de un análisis que permita
determinar la existencia de vulnerabilidades en configuraciones y procedimientos; todo
ello, con el objeto de definir las condiciones y nivel de vulnerabilidad existente en la
instalación.
Al momento de analizar la infraestructura del Organismo o Institución, es importante
que se cubran los diversos Dominios de Uso:
• Infraestructura Física: relacionada al entorno en el cual se encuentra operando la
infraestructura de tecnología de información, sus esquemas de control de acceso y
control ambiental (aire acondicionado, fuente de suministro eléctrico, sistemas de
extinción de incendios, etc.)
• Comunicación y Redes: incluyendo los elementos perimetrales y de transporte de los
datos.
• Sistemas Operativos, Bases de Datos y Aplicaciones: los cuales sustentan a los
procesos críticos de la Institución.

Noviembre-2005
Adicionalmente, deben revisarse los esquemas administrativos existentes para la

protección de la información, monitoreo y auditoria de la seguridad.
Como resultado de este análisis, debe definirse un plan de remediación, el cual
contemple las acciones correctivas necesarias para eliminar las vulnerabilidades
detectadas. Algunas de las acciones definidas en este plan servirán de insumo al
momento de aplicar el Modelo de Arquitectura Tecnológica de Seguridad a la
Institución; sin embargo, usualmente muchas de las vulnerabilidades existentes se
relacionan a la falta de políticas y procedimientos adecuados, y a la existencia de
software no actualizado o al que no se le han aplicado los patches de seguridad
recomendados por los proveedores, por lo que muchas de las acciones correctivas
requeridas usualmente pueden tomarse sin demora.
2.3.2. Un Análisis de Riesgo permite definir el nivel de riesgo de la Organización.

Para ello se requiere identificar los procesos críticos manejados, así como analizar
dichos procesos desde el punto de vista de la información que procesan y sus
requerimientos de control de seguridad, tales como confidencialidad, autenticación, no
repudiación, etc. Adicionalmente, en el análisis de riesgo debe definirse el posible
impacto en la continuidad operacional de la Institución, o en la generación de pérdidas
financieras u otra índole, ante la posible ocurrencia de eventos de seguridad que
llegaren a afectar dichos procesos.
La probabilidad de ocurrencia de un evento es una variable importante a considerar en
el análisis, ya que aún cuando un evento pudiera causar un daño muy grande, si su
probabilidad de ocurrencia es despreciable, debe dársele mayor prioridad a la
protección contra posibles eventos de menor impacto pero con una alta probabilidad de
ocurrencia; sin embargo, tomando como premisa que, dada la situación de cambio en
la que está inmerso el país, si un sistema puede ser vulnerado seguramente lo será en
cualquier momento, independientemente de que no haya ocurrido ningún evento
anteriormente, es recomendable actuar bajo un esquema primordialmente preventivo y
darle a la instalación la protección necesaria para que los eventos no ocurran.
El análisis de riesgo debe ser un insumo importante al momento de definir el Plan de
Seguridad ya que debe facilitar tanto la identificación de los elementos requeridos para
el control y administración de la seguridad, como la priorización de las acciones
requeridas. Así mismo, la estimación cuantitativa del riesgo, mediante estimación del
impacto posible al Organismo en caso de pérdidas y/o discontinuidad operacional,
facilita a su vez la justificación de las inversiones requeridas en el área de la seguridad.
Como resultado del análisis de riesgo debe poderse obtener una categorización de
los procesos de acuerdo a su criticidad como sigue:
• Procesos de Alta Criticidad: aquellos que requieren elementos de no repudio,
autenticación, autorización y control de acceso, confidencialidad, disponibilidad,
integridad de los datos y confiabilidad en las transmisiones. En este nivel de criticidad
es imprescindible la auditoria y monitoreo de las trazas de las operaciones a fin de

Noviembre-2005
minimizar las probabilidades de ocurrencia de eventos maliciosos y ofrecer respuesta

oportuna y eficiente ante cualquier incidente.
• Procesos de Media Criticidad: son aquellos que requieren elementos control para
la identificación, autenticación y autorización así como de determinados controles
que persigan garantizar la confidencialidad e integridad de los datos en los sistemas
y servicios prestados. En este nivel es igualmente importante el monitoreo de las
actividades y medidas de administración que refuercen las operaciones y garanticen
un mínimo de no repudio.
• Procesos de Baja Criticidad: son los procesos que requieren una garantía de
servicio reducida en cuanto a disponibilidad, integridad y confidencialidad,
requiriendo servicios limitados de autenticación y control de acceso
2.3.3. Una vez entendida, sobre la base de los análisis realizados, tanto la situación de
vulnerabilidad existente, como los elementos de control y administración de seguridad
requeridos para los diversos procesos, puede procederse a la Aplicación del Modelo
de Arquitectura Tecnológica en la Institución, lo cual contempla la identificación de
las tecnologías requeridas aplicar, sobre cada Dominio de Uso, con el objeto de
conseguir los controles de seguridad necesarios. Un factor a considerar en la
aplicación del Modelo de Arquitectura es la secuencia que debería seguirse para la
implantación, la cual debe responder a algunos principios básicos, tales como los que
se incluyen a continuación y, primordialmente, a los requerimientos específicos de
cada Institución.
En términos generales, la secuencia utilizada para la implantación de una Arquitectura
de Seguridad partiría, en primer término, de los elementos de control necesarios para
proteger la periferia y transporte de datos; en segundo lugar, deberían cubrirse los
elementos requeridos para proteger la infraestructura que soporta los procesos del
Organismo y en particular a sus procesos críticos; y en paralelo con esto último, lo
relacionado a los controles requeridos para la administración y gestión efectiva de la
seguridad, ya que de nada sirve disponer de tecnologías de seguridad si no somos
capaces de procesar a tiempo la información que ellas generan, y de responder
oportunamente a cualquier posible evento. Sin embargo, esta secuencia solo debe
tomarse como una guía general ya que cada ente del Estado deberá definir su propia
prioridad de implantación de los elementos de su Arquitectura, la cual deberá
responder a las realidades y requerimientos de seguridad de dicha Institución.
2.3.3.1. Protección del perímetro y transporte de los datos: para ello deben
tomarse en cuenta controles de tipo preventivo y correctivo, basándose en
tecnologías tales como:
• Firewall
• Antivirus de Gateway.
• Software Antispam y Antispyware.
• Túneles VPN.
• Sistemas de Autenticación.

Noviembre-2005
• Sistemas de Garantía de Calidad de Servicio (QoS)
2.3.3.2. Aseguramiento de la infraestructura crítica: para ello debe tomarse como

insumo los resultados del análisis de riesgo y los procesos identificados como de
mayor riesgo; para cada uno de ellos, debe identificarse la plataforma que los
soporta, y ésta debe ser el objetivo primordial de protección. En este nivel deben
utilizarse medidas de seguridad o controles de tipo preventivo, perceptivo y correctivo
basados en host (servidores y/o estaciones de trabajo) como los que se enumeran a
continuación.
• Sistemas de Gestión de Patches (Patch Management).
• Antivirus de Host con administración centralizada.
• Sistemas de Identificación de Vulnerabilidades.
• Firewalls y Software Antispyware personal.
• Sistemas de Administración Centralizada de Identidad (Identity Management)
Una vez protegidos los procesos más críticos, de ser necesario, pueden establecerse
algunos elementos de control global sobre el resto de los procesos.
2.3.3.3. Esquemas Administrativos: a medida que se van implantando los controles
de seguridad anteriormente mencionados, es importante complementarlos con el
establecimiento de los esquemas administrativos necesarios. La administración de la
seguridad se basa mayormente en el establecimiento de procesos administrativos
que involucran la definición de políticas y procedimientos específicos, adaptados a
las tecnologías que soportan los procesos críticos de la Institución. Igualmente, es
necesaria la clasificación de la información y activos (Asset Management), con la
finalidad de adaptar los controles eficientemente. Adicionalmente, deben
contemplarse también esquemas que permitan el monitoreo y auditoria de la
seguridad.
Las tecnologías asociadas a esta etapa, definida como de controles perceptivos,
pasan por la activación de las auditorias o bitácoras mejor conocidas como logs de
sistema, la incorporación de sistemas de cifrado de datos y filtrado de contenidos, en
conjunto con sistemas de autenticación.
De igual forma es imprescindible identificar la existencia de tráfico pernicioso en las
redes, utilizando sistemas de detección y prevención de intrusos. Una vez activado
los controles necesarios es de suma importancia la capacidad de detectar en tiempo
real cualquier anomalía sobre el conjunto de controles, para lo cual debe ser tomado
en cuenta el uso de sistemas centralizados de monitoreo que se encuentren en la
categoría SIM/SEM/SIEM (Security Information Management/ Security Event
Management/Security Information Event Management)
La identificación de las tecnologías posibles utilizar en cada Dominio de Uso, como
respuesta a los elementos de control y administración requeridos, son definidos en
detalle en la Matriz Genérica de Soluciones para la Implantación de la Arquitectura, la
cual se incluye bajo el punto 2.4 siguiente.

Noviembre-2005
2.3.4. Aplicación de las Políticas de Seguridad: las Políticas de Seguridad son uno
de los cuatro elementos fundamentales de una Arquitectura de Seguridad, por ello, aún
cuando no es tema específico de esta asesoría, no podemos dejar de mencionar que,
antes de pasar a definir el Plan de Seguridad Informática, es importante la definición de
las políticas de seguridad requeridas en la Institución las cuales complementen a la
Arquitectura Tecnológica definida.
Suscerte dispone de una guía sobre Lineamientos y Políticas de Seguridad para el
sector de la administración pública, la cual comprende un conjunto de políticas,
normalizadas para los Organismos del Estado Venezolano, las mismas han sido
diseñadas a modo de estándar, por lo que requieren una revisión y ajuste con el fin de
cubrir los requerimientos específicos de la Institución.
2.3.5. Un Plan de Seguridad Informática bien concebido debe contemplar la

definición de las acciones necesarias en cada uno de los cuatro elementos que
integran la Arquitectura de Seguridad: Políticas, Arquitectura Tecnológica,
Organización y Esquemas de Gestión. El Plan de Seguridad debe contemplar tanto las
acciones necesarias ejecutar, como los recursos requeridos y tiempo estimado de
implantación.
2.3.6. Una vez definido el Plan de Seguridad requerido, el siguiente paso es llevar a
cabo la Implantación del Plan de Seguridad.
2.3.7. Por último, para cerrar el Ciclo de Seguridad, debe evaluarse la Gestión de
Seguridad a través de su monitoreo y auditoria. Solo a través de la evaluación
continua, se podrá saber qué tan efectiva es la Arquitectura de Seguridad implantada,
cuáles son los ajustes y actualizaciones requeridas para su optimización y mantener su
vigencia en el tiempo.
2.3. Matriz de Soluciones para la Implantación de la Arquitectura

Con la idea de proveer una herramienta que sirva de ayuda a las Instituciones y
Organismos del Estado, para que, tomando como base el Modelo de Arquitectura definido,
puedan identificar de una manera sencilla las soluciones de seguridad, más o menos
robustas, que respondan a sus requerimientos de seguridad y a la criticidad de sus
procesos, se desarrolló una Matriz Genérica, la cual se presenta a continuación, con todas
las posibles soluciones, tecnológicas y administrativas, las cuales pueden ser
consideradas al momento que se proceda a la implantación del Modelo de Arquitectura
Tecnológica de Seguridad.
Dicha Matriz está organizada tomando en cuenta los Dominios de Uso y partiendo de
éstos, los objetivos y elementos de control y la solución, tecnológica o administrativa,
clasificada de acuerdo al tipo de control (preventivo, perceptivo o correctivo).

Noviembre-2005
MATRIZ GENÉRICA DE SOLUCIONES PARA LA IMPLANTACIÓN DE LA
ARQUITECTURA
Elemento de Tipo de Solución

Dominio Objetivo
Control Control Tecnológica Administrativa
Control de Acceso Políticas
Preventivo Físico
Biometría
Identificación Biometría
Perceptivo Monitoreo y Correlación
de Eventos
Correctivo
Preventivo Biometría Políticas
Autenticación Perceptivo Biometría
Infraestructura Correctivo
Disponibilidad Control de Acceso Políticas
Física
Físico Desactivación
de Puertos Físicos no
Preventivo
Autorización / Control utilizados en Switch o
de Acceso Hub
Biometría
Perceptivo Biometría
Correctivo Políticas
Preventivo Biometría
No repudiación Perceptivo Biometría
Correctivo
Este documento fue desarrollado por Securenet Corp C.A. (SecureNet) para SUSCERTE con el objeto que pueda utilizarse como referencia y guía general en el diseño e implantación de Arquitecturas de Tecnología de Seguridad Informática en los
Institutos y Organismos del Estado. Para que sea efectiva la aplicación de esta Guía, el usuario debe hacer el trabajo previo necesario para incluir los requerimientos y realidades de su Organización. Este Manual no debe ser copiado ni divulgado a
personas distintas de las responsables de implantar y administrar la Arquitectura de Seguridad Informática en los Organismos autorizados por SUSCERTE.

Noviembre-2005

Dominio Objetivo
Cableado Norma 568 Plan de
Desactivación de Continuidad
Puertos Físicos no
Preventivo utilizados en Switch o
Administración Hub
Control de Incendio e
Inundación
Perceptivo
Disponibilidad Plan de
Correctivo
(cont.) Continuidad
Desactivación de Plan de
Puertos Físicos no Continuidad
Infraestructura Preventivo utilizados en Switch o
Física (cont.) Hub y monitoreo de
Auditoria activación
Monitoreo y Correlación
Perceptivo
de Eventos
Plan de
Correctivo
Continuidad
Control de Acceso
Preventivo
Físico
Identificación Monitoreo y Correlación
Perceptivo
de Eventos
Integridad
Correctivo
Preventivo
Autenticación Perceptivo
Correctivo

Noviembre-2005

Dominio Objetivo
Control de Acceso
Preventivo
Autorización / Control Físico
de Acceso Perceptivo
Correctivo
Preventivo Políticas
No repudiación Perceptivo
Correctivo
Integridad (cont.)
Preventivo
Administración Perceptivo
Correctivo
Preventivo
Infraestructura Monitoreo y Correlación
Auditoria Perceptivo
Física (cont.) de Eventos
Correctivo
Físico
Preventivo
Biometría
Identificación Smart Card
Cámaras de Video
Perceptivo
Confidencialidad Biometría
Correctivo
Biometría Políticas
Preventivo
Smart Card
Autenticación
Correctivo

Noviembre-2005

Dominio Objetivo
Físico
Autorización / Control Preventivo
Biometría
de Acceso Smart Card
Correctivo
No repudiación Perceptivo Biometría
Correctivo
Desactivación de
Infraestructura Puertos Físicos no
Confidencialidad Preventivo
Física (cont.) utilizados en Switch o
(cont.) Administración
Hub
Perceptivo
Correctivo
Desactivación de Políticas
Puertos Físicos no
Hub y monitoreo de
Cámaras de Video
Perceptivo Monitoreo y Correlación
de Eventos
Correctivo
Preventivo WAP
Conectividad Disponibilidad Identificación Perceptivo IDS
Correctivo

Noviembre-2005

Dominio Objetivo
WAP
Preventivo
Firewall
Autenticación Statefull Inspection
Perceptivo
(IPS)
Statefull Inspection
Correctivo
(IPS)
Preventivo Firewall
Autorización / Control Perceptivo
(IPS)
de Acceso
Correctivo
(IPS)
Conectividad Disponibilidad Preventivo
(cont.) (cont.) No repudiación Perceptivo
Correctivo
DMZ Plan de
Firewall Integrado Continuidad
Administración Basada Políticas
Preventivo en Roles
Conmutación Multicapa
Administración
Diseño Multisegmento
Control de Tráfico
Perceptivo ICMP
Filtro de Contenidos Plan de
Correctivo
QoS Continuidad

Noviembre-2005

Dominio Objetivo
Plan de
Preventivo Continuidad
Políticas
Disponibilidad Monitoreo y Correlación
Auditoria
(cont.) Perceptivo de Eventos
IDS
Herramientas Forenses Plan de
Correctivo
Continuidad
VPN
PKI
SSL
Preventivo
IPSec
Conectividad WTP
(cont.) Identificación
WAP
VPN
Perceptivo PKI
IDS
Integridad
Correctivo
VPN
PKI
TLS / WTLS
SSL
Autenticación Preventivo
WTP
IPSec
WAP
Firewall

Noviembre-2005

Dominio Objetivo
VPN
PKI
Perceptivo Statefull Inspection
Autenticación (cont.) (IPS)
IPSec
Correctivo
(IPS)
VPN
PKI
SSL
Preventivo
Conectividad WTP
Integridad (cont.)
(cont.) Autorización / Control IPSec
de Acceso Firewall
Perceptivo
(IPS)
Correctivo
(IPS)
VPN
Preventivo
PKI
No repudiación VPN
Perceptivo
PKI
Correctivo

Noviembre-2005

Dominio Objetivo
DMZ
Firewall Integrado
Administración Basada
Preventivo en Roles
Administración Control de Tráfico
AVDL (Application
Perceptivo Vulnerability
Description)
Integridad (cont.) Filtro de Contenidos
Correctivo Statefull Inspection
(IPS)
Conectividad Preventivo
(cont.) Escáner de Modelo de
Vulnerabilidad Clasificación de
Monitoreo y Correlación Vulnerabilidades
Auditoria Perceptivo de Eventos AVDL (Application
IDS Vulnerability
Description)
Correctivo
VPN
PKI
SSL
Confidencialidad Identificación Preventivo
WTP
IPSec
WAP

Noviembre-2005
Dominio Objetivo
VPN
Identificación (cont.) Perceptivo PKI
IDS
Correctivo
VPN
PKI
SSL
Preventivo WTP
IPSec
WAP
Autenticación Firewall
VPN
Conectividad Confidencialidad PKI
Perceptivo
(cont.) (cont.) Statefull Inspection
(IPS)
Correctivo
(IPS)
VPN
PKI
SSL
Preventivo
WTP
Autorización / Control IPSec
de Acceso Firewall
VPN
PKI
Perceptivo
(IPS)

Noviembre-2005

Dominio Objetivo
Autorización / Control Statefull Inspection
Correctivo
de Acceso (cont.) (IPS)
VPN
PKI
Preventivo Firma Digital /
Certificación
No repudiación
Electrónica
VPN
Perceptivo
PKI
Correctivo
Conectividad Confidencialidad DMZ
(cont.) (cont.) Firewall Integrado
en Roles
Preventivo
Administración
Control de Tráfico
Cifrado de Datos
PGP
NAT Dinámico
Perceptivo
Correctivo Filtro de Contenidos
Auditoria Preventivo

Noviembre-2005

Dominio Objetivo
Escáner de
Vulnerabilidad
Conectividad Confidencialidad Perceptivo Monitoreo y Correlación
Auditoria (cont.)
(cont.) (cont.) de Eventos
IDS
Correctivo
VPN
Preventivo
PKI
VPN
Identificación
Perceptivo PKI
IDS
Correctivo
VPN
Preventivo PKI
Firewall Personal
Sistemas Autenticación
VPN
Operativos Disponibilidad Perceptivo
PKI
Correctivo
VPN
Preventivo PKI
Autorización / Control Firewall Personal
de Acceso VPN
Perceptivo
PKI
Correctivo
VPN
No repudiación Preventivo
PKI

Noviembre-2005

Dominio Objetivo
No repudiación VPN
Perceptivo
(cont.) PKI
Correctivo
Plataformas de Procedimientos
Pruebas Plan de
Respaldo y Continuidad
Recuperación
Preventivo Firewall Personal
en Roles
Control de Tráfico
Sistemas Administración Proxy
Operativos (cont.) Disponibilidad Logs de Acceso
Perceptivo
(cont.) ICMP
Respaldo y Procedimientos
Recuperación Plan de
Antivirus Continuidad
Correctivo
Filtro de Contenidos
QoS
Patch Management
Preventivo Plan Continuidad
Logs de Acceso
Escáner de
Auditoria Vulnerabilidad
Perceptivo
de Eventos
IDS

Noviembre-2005

Dominio Objetivo
Auditoria (cont.) Correctivo
(cont.) Continuidad
PKI
Identificación Basada
Preventivo en Tokens
SSH
Identificación
IPSec
PKI
Perceptivo
IDS
Correctivo
PKI
Sistemas
SSH
Operativos (cont.) Preventivo
IPSec
Integridad Autenticación
Firewall Personal
Perceptivo PKI
Correctivo
SSH Políticas de
Preventivo IPSec Contraseñas
Autorización / Control
Firewall Personal
de Acceso
Perceptivo
Correctivo
Preventivo PKI
No repudiación Perceptivo PKI
Correctivo

Noviembre-2005

Dominio Objetivo
Plataforma de Pruebas Políticas y
Respaldo y Procedimientos de
Recuperación Respaldo y
Preventivo Firewall Personal Recuperación
Administración
Basada en Roles
Control de Tráfico
Modelo de
Administración Clasificación de
Vulnerabilidades
Perceptivo
AVDL (Application
Sistemas Vulnerability
Operativos (cont.) Description)
Integridad (cont.)
Respaldo y Políticas y
Recuperación Procedimientos de
Correctivo Antivirus Respaldo y
Filtro de Contenidos Recuperación
Patch Management
Preventivo
Escáner de Modelo de
Monitoreo y Correlación Vulnerabilidades
de Eventos AVDL (Application
IDS Vulnerability
Description)
Correctivo

Noviembre-2005

Dominio Objetivo
lógico a sistemas
PKI
VPN
Biometría
Preventivo Identificación Basada
en Tokens
Kerberos
Autenticación SSH
IPSec
Sistemas Control de Acceso
Operativos (cont.) lógico a sistemas
Confidencialidad PKI
Perceptivo VPN
Biometría
Software AntiEspía
IDS
Correctivo
VPN Políticas
PKI
Biometría
Preventivo Kerberos
Smart Card
SSH
IPSec
PKI
Perceptivo
Biometría

Noviembre-2005

Dominio Objetivo
Autenticación (cont.) Correctivo
Control de Acceso Políticas de
lógico a sistemas contraseñas
Biometría
Preventivo Kerberos
Smart Card
SSH
de Acceso
IPSec
Control de Acceso
Perceptivo lógico a sistemas
Sistemas
Biometría
Operativos (cont.)
Confidencialidad Correctivo
(cont.) PKI
Preventivo
PGP
No repudiación
Perceptivo PKI
Correctivo
Plataforma de Pruebas
Firewall Personal
Preventivo
en Roles
Cifrado de Datos
Logs de Acceso
Perceptivo Software AntiEspía

Noviembre-2005

Dominio Objetivo
Software AntiEspía
Administración Filtro de Contenidos
Correctivo
(cont.) Patch Management
AntiVirus
Logs de Acceso
de Eventos
Sistemas IDS
Operativos (cont.)
Correctivo
Confidencialidad Preventivo PKI
(cont.) Identificación Perceptivo PKI
Correctivo
Preventivo PKI
Autenticación Perceptivo PKI
Correctivo
Preventivo
Perceptivo
de Acceso
Correctivo
Preventivo PKI
Correctivo

Noviembre-2005

Dominio Objetivo
Plataforma de Pruebas Plan Continuidad
Respaldo Recuperación Políticas
Administración Basada Políticas y
Preventivo
en Roles Procedimientos de
Control de Tráfico Respaldo y
Administración Proxy Recuperación
Perceptivo Logs de Acceso
Respaldo y Plan Continuidad
Confidencialidad Recuperación Políticas y Proced.
(cont.) Correctivo
Patch Management de Respaldo y
Recuperación
Preventivo
Sistemas Logs de Acceso
Operativos (cont.) Escáner de
Auditoria Perceptivo Vulnerabilidad
de Eventos
Correctivo Procedimientos
Control de Acceso
lógico a sistemas
Preventivo PKI
Integridad Identificación
en Tokens
Control de Acceso
PKI

Noviembre-2005

Dominio Objetivo
Identificación (cont.) Correctivo
Preventivo PKI
Autenticación Perceptivo PKI
Correctivo
Preventivo
lógico a sistemas Contraseñas
Control de Acceso
Autorización / Control lógico a sistemas
de Acceso Perceptivo AVDL (Application
Vulnerability
Description)
Sistemas Correctivo
Integridad (cont.) Preventivo PKI
Operativos (cont.)
Correctivo
Plataforma de Pruebas Políticas
Preventivo en Roles Procedimientos de
Recuperación
Administración
Perceptivo
Patch Management Políticas y
Procedimientos de
Correctivo
Respaldo y
Recuperación

Noviembre-2005

Dominio Objetivo
Integridad (cont.) Auditoria Monitoreo y Correlación Vulnerabilidades
Perceptivo
de Eventos AVDL (Application
Vulnerability
Description)
Correctivo
Control de Acceso
lógico a sistemas
Sistemas
Identificación en Tokens
Operativos (cont.)
Control de Acceso
Biometría
Confidencialidad Correctivo
PKI
Preventivo
Biometría
Autenticación PKI
Perceptivo
Biometría
Correctivo
Preventivo lógico a sistemas Contraseñas
de Acceso
Biometría

Noviembre-2005

Dominio Objetivo
Control de Acceso
Autorización / Control Perceptivo lógico a sistemas
de Acceso (cont.) Biometría
Correctivo
PKI
Preventivo
Biometría
No repudiación PKI
Perceptivo
Biometría
Correctivo
Sistemas Administración Basada
Confidencialidad
Operativos (cont.) Preventivo en Roles
(cont.)
Cifrado de Datos
Correctivo Patch Management
Preventivo
Logs de Acceso
Escáner de
de Eventos
Correctivo
Preventivo Nombre de Usuario
Identificación Perceptivo
Aplicaciones Disponibilidad
Correctivo
Autenticación Preventivo RADIUS

Noviembre-2005

Dominio Objetivo
Autenticación (cont.) Perceptivo
Correctivo
RADIUS
Preventivo
Autorización / Control LDAP
de Acceso Perceptivo
Correctivo
RADIUS
Preventivo
LDAP
No repudiación
Perceptivo
Correctivo
Plataforma de Pruebas Procedimientos
Respaldo y Políticas
Recuperación Políticas y
Aplicaciones Preventivo
Disponibilidad Administración Basada Procedimientos de
(cont.) en Roles Respaldo y
(cont.)
Proxy Recuperación
Administración
Correctivo Antivirus Procedimientos de
Filtro de Contenidos Respaldo y
Patch Management Recuperación
Logs de Acceso
Escáner de
de Eventos
Correctivo

Noviembre-2005

Dominio Objetivo
Control de Acceso
lógico a sistemas
PKI
Preventivo
SSH
Control de Acceso
PKI
Correctivo
Aplicaciones
PKI
(cont.) Preventivo
Integridad SSH
Autenticación
Perceptivo PKI
Correctivo
Autorización / Control SSH
de Acceso Control de Acceso
Perceptivo
lógico a sistemas
Correctivo
Preventivo PKI
Correctivo

Noviembre-2005

Dominio Objetivo
Preventivo
Administración Basada Procedimientos de
en Roles Respaldo y
SFTP Recuperación
Administración Perceptivo
Integridad (cont.) Recuperación Políticas y
Correctivo
Software AntiEspía Procedimientos de
Aplicaciones Filtro de Contenidos Respaldo y
(cont.) Patch Management Recuperación
Escáner de
Vulnerabilidad
de Eventos
Correctivo
Control de Acceso
lógico a sistemas
PKI
VPN
Confidencialidad Identificación Preventivo Biometría
en Tokens
Smart Card
SSH

Noviembre-2005

Dominio Objetivo
Control de Acceso
lógico a sistemas
VPN
Biometría
Correctivo
VPN
PKI
Biometría
Preventivo
en Roles
Autenticación
SSH
Aplicaciones
(cont.) VPN
(cont.) Perceptivo
Biometría
Smart Card
Correctivo
VPN
Preventivo
Biometría
Smart Card
SSH
de Acceso
Control de Acceso
lógico a sistemas
Perceptivo
VPN
Biometría
Correctivo

Noviembre-2005

Dominio Objetivo
VPN
PKI
Preventivo
No repudiación Biometría
PGP
Perceptivo
Correctivo
Aplicaciones Preventivo Cifrado de Datos
Confidencialidad SFTP
(cont.) Administración
(cont.) Perceptivo
Software AntiEspía
Correctivo
Preventivo
Escáner de
Vulnerabilidad
de Eventos
Correctivo

Noviembre-2005
2.4 Matriz de Soluciones para los Procesos Tipo Identificados

Sobre la base de un levantamiento de información, realizado por Suscerte, en el que las
diversas Instituciones y Organismos identificaron sus procesos críticos y definieron los
elementos de control requeridos en ellos, fue posible identificar nueve procesos críticos, los
cuales aparecen presentes en la mayoría de las Instituciones consideradas. Para cada uno
de estos nueve procesos se definieron las Matrices individuales de soluciones, tecnológicas
y administrativas, las cuales deben servir como guía general, con relación a las soluciones
de seguridad que deberían implantarse para proteger procesos equivalentes.
El alcance de cada uno de estos procesos, y las tecnologías y soluciones mínimas de
seguridad que deben considerarse al momento de diseñar la Arquitectura de Seguridad, a
objeto de proteger los activos de información en ellos involucrados, se describen a
continuación:
1. Interconexión con sedes y otros entes del Estado: este proceso contempla la
necesidad de comunicar las diferentes sedes de cualquier institución pública y a su vez
establecer enlaces seguros con otras Organizaciones del Estado que requieran una
comunicación constante. Las protecciones mínimas a implementar son las que se listan
a continuación
a. Red Privada Virtual (VPN)
b. Infraestructura de Clave Pública (PKI)
c. Pretty Good Privacy (PGP)
d. Autenticación Integrada para realizar el acceso
e. Segmentación de Redes
f. Restricciones de Acceso a Servidores no permitidos
g. Control de Acceso Basado en Roles (RBAC)
h. Sistemas de Detección de Intrusiones (IDS)
i. Sistemas de Prevención de Intrusiones (IPS)
j. Registro de Transacciones(Logs)
2. Web Hosting (Página Web, Intranet, Extranet): la prestación de servicios web, es el

punto clave a proteger por excelencia, ya que éste representa el punto de interconexión
con el resto del planeta. Es importante que se implementen al menos las siguientes
tecnologías y procedimientos
a. Firewall
b. Sistemas de Detección de Intrusiones (IDS)
c. Sistemas de Prevención de Intrusiones (IPS)
d. Procedimientos de Respaldo y recuperación
e. Procedimiento de Respuesta ante incidentes
f. Registro de Transacciones (logs)
g. Autenticación para acceso a zonas restringidas utilizando Tokens o Biometría
h. Antivirus de Host y de Gateway
i. Software Antiespia
j. Segmentación de la Red, uso de DMZ
k. Procesos de Gestión de Patches
l. Revisiones Periódicas de Vulnerabilidades
necesario para incluir los requerimientos y realidades de su Organización. Este Manual no debe ser copiado ni divulgado a personas distintas de las responsables de implantar y administrar
la Arquitectura de Seguridad Informática en los Organismos autorizados por SUSCERTE.

Noviembre-2005
3. Acceso a Internet: el acceso a Internet en conjunto con el punto anterior, son las áreas
de protección más comunes hoy en día debido a la cantidad de riesgos que implica su
uso, esto gracias a la interconexión mundial de redes y la necesidad de mantenerse
interconectado. Las soluciones administrativas y técnicas mínimas para este proceso
son:
a. Firewall
b. Sistemas de Detección de Intrusiones (IDS)
c. Sistemas de Prevención de Intrusiones (IPS)
d. Procedimientos de Respaldo y recuperación
e. Procedimiento de Respuesta ante incidentes
f. Registro de Transacciones (logs)
g. Filtrado de Contenidos
h. Filtrados de Accesos
i. Autenticación Integrada (LDAP o RADIUS)
j. Antivirus de Host y de Gateway
k. Software Antiespia
4. Acceso de Usuarios Remotos: la necesidad de ofrecer al personal de la organización
un acceso seguro desde cualquier lugar del mundo a las redes internas se ha
convertido en un punto de utilidad importante que permite maximizar la prestación de
cualquier servicio, esto permite una proyección de la imagen y la eficiencia del ente
público que realiza este tipo de actividad, sin embargo, deben considerarse un mínimo
de protecciones que deberán ser aplicadas
a. Control de Acceso Basado en Roles (RBAC)
b. Red Privada Virtual (VPN)
c. Autenticación doble factor
d. Sistemas de Detección de Intrusiones (IDS)
e. Sistemas de Prevención de Intrusiones (IPS)
f. Antivirus personal y de Gateway
g. Software Antiespía
h. Segmentación y restricciones de acceso a servidores no permitidos (VLAN)
5. Interconexión Bancaria: todos los Organismos tienen necesidad de establecer una
comunicación directa con los bancos, bien sea para el manejo de su Tesorería o, como
mínimo, para procesar sus nóminas.
a. Cifrado en la comunicación (VPN)
c. Autenticación de la transacción
e. Sistemas de Prevención de Intrusiones (IPS)
f. Políticas de Bloqueo de Usuarios
6. Correo Electrónico: cada día más el correo electrónico es el medio de comunicación
más utilizado. Dada la imposibilidad de restringir su uso, porque esto tendría un efecto
de aislamiento y atraso tecnológico de la Institución, lo recomendable es tomar la
previsión de proteger el sistema.
a. AntiSpam

Noviembre-2005
c. Pretty Good Privacy (PGP)

d. Filtrado de Contenidos
e. Segmentación de la red, uso de Zonas Desmilitarizadas (DMZ)
f. Autenticación Integrada (LDAP o RADIUS)
g. Autenticación para ingreso a los aplicativos
7. Sistemas de Administración del Personal (Nómina, Clasificación): la información
manejada por los sistemas de Personal usualmente reviste un nivel importante de
sensibilidad y criticidad para las Organizaciones
a. Cifrado en las comunicaciones
b. Control de acceso a los aplicativos
c. Sistemas de Detección de Intrusiones (IDS)
d. Registro de Transacciones (logs)
e. Antivirus centralizado
f. Control de Acceso Basado en Roles (RBAC)
8. Sistemas Administrativos y Contables: al igual que los sistemas de administración
del personal, el manejo Financiero y Contable de las Instituciones reviste un nivel
importante de sensibilidad y criticidad para las Organizaciones e incluso podrían afectar
la continuidad operacional
a. Autenticación de transacciones usando tokens o Biometría
b. Control de acceso
c. Cifrado en la transacción
e. Registro de Actividades
f. Antivirus Centralizado
g. Control de Acceso Basado en Roles (RBAC)
9. Controles de Acceso Físico: de nada vale tomar todas las previsiones sobre el
manejo de la información si no lo complementamos con un buen control de acceso a las
áreas de trabajo
a. Registro de transacciones (logs)
b. Biometría para acceso a zonas críticas
c. Cámaras de Video con visión a los puntos de acceso
A continuación se presenta una Matriz particular para cada uno de los procesos
anteriormente descritos, con todas las posibles soluciones, tanto tecnológicas como
administrativas, que pueden considerarse para su protección:

Noviembre-2005
2.4.1. MATRIZ DE SOLUCIONES PARA LA INTERCONEXIÓN CON SEDES Y OTROS ENTES DEL ESTADO

Dominio Objetivo
IDS
Identificación Perceptivo
Preventivo Firewall
Perceptivo
Autenticación (IPS)
Correctivo
(IPS)
Preventivo Firewall
Autorización / Perceptivo
(IPS)
Control de Acceso
Conectividad Disponibilidad Correctivo
(IPS)
DMZ Plan de
Preventivo en Roles
Administración Conmutación Multicapa
Control de Tráfico
Correctivo
QoS Continuidad
Plan Continuidad
Políticas
Este documento fue desarrollado por Securenet Corp C.A. (SecureNet) para SUSCERTE con el objeto que pueda utilizarse como referencia y guía general en el diseño e implantación de Arquitecturas de Tecnología de Seguridad Informática en los Institutos
y Organismos del Estado. Para que sea efectiva la aplicación de esta Guía, el usuario debe hacer el trabajo previo necesario para incluir los requerimientos y realidades de su Organización. Este Manual no debe ser copiado ni divulgado a personas distintas
de las responsables de implantar y administrar la Arquitectura de Seguridad Informática en los Organismos autorizados por SUSCERTE.

Noviembre-2005

Dominio Objetivo
Monitoreo y
Disponibilidad Perceptivo Correlación de Eventos
Auditoria (cont.) IDS
(cont.)
Correctivo
Continuidad
VPN
PKI
Preventivo
SSL
Identificación IPSec
VPN
Perceptivo PKI
Conectividad IDS
(cont.) VPN
PKI
Integridad Preventivo SSL
IPSec
Firewall
VPN
Autenticación
PKI
(IPS)
IPSec
Correctivo
(IPS)

Noviembre-2005

Dominio Objetivo
VPN
PKI
Preventivo SSL
Autorización / IPSec
Control de Acceso Firewall
Perceptivo
(IPS)
Correctivo
(IPS)
VPN
Preventivo
Conectividad PKI
Integridad (cont.) No repudiación
(cont.) VPN
Perceptivo
PKI
DMZ
Firewall Integrado
Preventivo en Roles
Administración
Control de Tráfico
(IPS)

Noviembre-2005

Dominio Objetivo
Escáner de
Vulnerabilidad
Administración
Integridad (cont.) Perceptivo Monitoreo y
(cont.)
Correlación de Eventos
IDS
VPN
PKI
Preventivo
SSL
VPN
Perceptivo PKI
Conectividad IDS
(cont.) VPN
PKI
Confidencialidad SSL
Preventivo
IPSec
WAP
Firewall
Autenticación
VPN
PKI
Perceptivo
(IPS)
Correctivo
(IPS)

Noviembre-2005

Dominio Objetivo
VPN
PKI
Preventivo SSL
IPSec
Autorización / Firewall
Control de Acceso VPN
PKI
Perceptivo
Conectividad Confidencialidad (IPS)
Correctivo
(IPS)
VPN
PKI
No repudiación Certificación
Electrónica
VPN
Perceptivo
PKI

Noviembre-2005

Dominio Objetivo
DMZ
Firewall Integrado
en Roles
Preventivo
Conectividad Confidencialidad Control de Tráfico
Administración Cifrado de Datos
(cont.) (cont.)
PGP
NAT Dinámico
Escáner Vulnerabilidad
Monitoreo y
Perceptivo
IDS
VPN
Preventivo
PKI
Identificación VPN
Perceptivo PKI
Sistemas IDS
Disponibilidad
Operativos VPN
Preventivo PKI
Autenticación Firewall Personal
VPN
Perceptivo
PKI

Noviembre-2005

Dominio Objetivo
VPN
Autorización / Preventivo PKI
Control de Acceso Firewall Personal
VPN
Perceptivo
PKI
VPN
Preventivo
PKI
No repudiación
VPN
Perceptivo
PKI
Plataformas de Pruebas Procedimientos
Respaldo y Plan de
Sistemas Disponibilidad Recuperación Continuidad
Operativos (cont.) (cont.) Firewall Personal
Preventivo
en Roles
Control de Tráfico
Proxy
Administración
Logs de Acceso
Perceptivo
ICMP
Correctivo
QoS
Patch Management

Noviembre-2005

Dominio Objetivo
Plan de
Preventivo
Continuidad
Logs de Acceso
Disponibilidad Escáner de
(cont.) Perceptivo
Monitoreo y
IDS
Correctivo Plan Continuidad
PKI
Sistemas Preventivo en Tokens
Operativos (cont.) Identificación SSH
IPSec
PKI
Perceptivo
IDS
Integridad PKI
SSH
Preventivo
Autenticación IPSec
Firewall Personal
Perceptivo PKI
SSH Políticas de
Autorización /
Control de Acceso
Firewall Personal

Noviembre-2005

Dominio Objetivo
No repudiación Preventivo PKI
Perceptivo PKI
en Roles
Control de Tráfico
Sistemas Respaldo y Políticas y
Integridad (cont.)
Operativos (cont.) Recuperación Procedimientos de
Administración
Patch Management
Monitoreo y Vulnerabilidades
Perceptivo
Correlación de Eventos AVDL (Application
IDS Vulnerability
Description)

Noviembre-2005

Dominio Objetivo
lógico a sistemas
PKI
VPN
Biometría
en Tokens
Kerberos
SSH
IPSec
Control de Acceso
Sistemas lógico a sistemas
Confidencialidad
Operativos (cont.) PKI
Perceptivo
VPN
Biometría
IDS
VPN Políticas
PKI
Biometría
Preventivo Kerberos
Autenticación Smart Card
SSH
IPSec
PKI
Perceptivo
Biometría

Noviembre-2005

Dominio Objetivo
Biometría
Preventivo Kerberos
Autorización / Smart Card
Control de Acceso SSH
IPSec
Control de Acceso
Biometría
Correctivo
Sistemas Confidencialidad PKI
Operativos (cont.) (cont.) Preventivo
PGP
No repudiación
Perceptivo PKI
Correctivo
Firewall Personal
Preventivo
en Roles
Administración
Control de Tráfico
Cifrado de Datos
Logs de Acceso

Noviembre-2005

Dominio Objetivo
Software AntiEspía
Correctivo
AntiVirus
Sistemas Confidencialidad Preventivo Políticas
Operativos (cont.) (cont.) Logs de Acceso
Monitoreo y
IDS
Correctivo
Preventivo
en Roles Respaldo y
Proxy Recuperación
Administración
Aplicaciones Disponibilidad Perceptivo Logs de Acceso
Auditoria Preventivo Políticas

Noviembre-2005

Dominio Objetivo
Logs de Acceso
Escáner de
Disponibilidad
Auditoria (cont.) Perceptivo Vulnerabilidad
(cont.)
Monitoreo y
Control de Acceso
lógico a sistemas
PKI
Preventivo
SSH
Aplicaciones Control de Acceso
(cont.) Perceptivo lógico a sistemas
PKI
Integridad PKI
Preventivo
Autenticación SSH
Perceptivo PKI
Autorización /
SSH
Control de Acceso
Control de Acceso
Perceptivo
lógico a sistemas
Preventivo PKI
No repudiación
Perceptivo PKI

Noviembre-2005

Dominio Objetivo
Preventivo
en Roles Respaldo y
Administración SFTP Recuperación
Correctivo
Aplicaciones Preventivo Políticas
(cont.) Escáner de
Perceptivo
Monitoreo y
Control de Acceso
lógico a sistemas
PKI
VPN
en Tokens
Smart Card
SSH

Noviembre-2005

Dominio Objetivo
Control de Acceso
lógico a sistemas
VPN
Biometría
VPN
PKI
Biometría
Preventivo
en Roles
Autenticación
SSH
Aplicaciones Confidencialidad VPN
(cont.) (cont.) PKI
Perceptivo
Biometría
Smart Card
VPN
Preventivo
Biometría
Control de Acceso
lógico a sistemas
Perceptivo
VPN
Biometría

Noviembre-2005

Dominio Objetivo
VPN
PKI
Biometría
PGP
Preventivo Cifrado de Datos
Aplicaciones Confidencialidad SFTP
(cont.) (cont.) Perceptivo
Software AntiEspía
Administración Correctivo
Escáner de
Vulnerabilidad
Perceptivo
Monitoreo y

Noviembre-2005
2.4.2. MATRIZ DE SOLUCIONES PARA WEB HOSTING

Dominio Objetivo
Perceptivo
Correctivo
(IPS)
Preventivo Firewall
(IPS)
Control de Acceso
Correctivo
(IPS)
DMZ Plan de
Conectividad Disponibilidad Administración Basada Políticas
Preventivo en Roles
Administración
Control de Tráfico
Perceptivo ICMP
Correctivo
QoS Continuidad
Plan Continuidad
Preventivo
Políticas
Auditoria Monitoreo y
Perceptivo Correlación de Eventos
IDS

Noviembre-2005

Dominio Objetivo
Disponibilidad Herramientas Forenses Plan Continuidad
(cont.)
PKI
Preventivo SSL
PKI
Perceptivo
IDS
PKI
TLS / WTLS
Preventivo WTP
IPSec
Firewall
Conectividad Autenticación PKI
(cont.) Statefull Inspection
Integridad Perceptivo
(IPS)
IPSec
Correctivo
(IPS)
PKI
SSL
Preventivo
IPSec
Control de Acceso Statefull Inspection
Perceptivo
(IPS)
Correctivo
(IPS)

Noviembre-2005

Dominio Objetivo
No repudiación Preventivo PKI
Perceptivo PKI
DMZ
Firewall Integrado
Preventivo en Roles
AVDL (Application
Integridad (cont.) Perceptivo Vulnerability
Conectividad Description)
(cont.) Filtro de Contenidos
(IPS)
IDS Vulnerability
Description)
VPN
PKI
SSL
IPSec

Noviembre-2005

Dominio Objetivo
VPN
IDS
VPN
PKI
SSL
Preventivo WTP
IPSec
WAP
VPN
PKI
Conectividad Confidencialidad Perceptivo
(cont.) (cont.) (IPS)
Correctivo
(IPS)
VPN
PKI
SSL
Preventivo
WTP
VPN
PKI
Perceptivo
(IPS)

Noviembre-2005

Dominio Objetivo
Autorización / Statefull Inspection
Correctivo
Control de Acceso (IPS)
VPN
PKI
Electrónica
VPN
Perceptivo
PKI
DMZ
Firewall Integrado
Conectividad Confidencialidad Administración Basada
(cont.) (cont.) en Roles
Preventivo
Administración Diseño Multisegmento
Control de Tráfico
Cifrado de Datos
PGP
NAT Dinámico
Escáner de
Vulnerabilidad
Auditoria Perceptivo Monitoreo y
IDS

Noviembre-2005

Dominio Objetivo
VPN
Preventivo
PKI
Identificación VPN
Perceptivo PKI
IDS
VPN
Preventivo PKI
VPN
Perceptivo
PKI
VPN
Preventivo PKI
Autorización /
Sistemas Firewall Personal
Disponibilidad Control de Acceso
Operativos VPN
Perceptivo
PKI
VPN
Preventivo
PKI
No repudiación
VPN
Perceptivo
PKI
Respaldo y Plan de
Recuperación Continuidad
Firewall Personal
Administración Preventivo
en Roles
Control de Tráfico
Proxy

Noviembre-2005

Dominio Objetivo
Logs de Acceso
Perceptivo
ICMP
Administración Recuperación Plan de
(cont.) Antivirus Continuidad
Correctivo
QoS
Disponibilidad Patch Management
(cont.) Preventivo Plan Continuidad
Logs de Acceso
Sistemas Escáner de
Operativos (cont.) Vulnerabilidad
Monitoreo y
IDS
PKI
Integridad Identificación SSH
IPSec
PKI
Perceptivo
IDS

Noviembre-2005

Dominio Objetivo
PKI
SSH
IPSec
Firewall Personal
Perceptivo PKI
SSH Políticas de
Autorización /
Control de Acceso
Firewall Personal
Preventivo PKI
No repudiación
Perceptivo PKI
Sistemas Plataforma de Pruebas Políticas y
Integridad (cont.) Respaldo y Procedimientos de
Operativos (cont.)
en Roles
Modelo de
Clasificación de
Vulnerabilidades
Perceptivo
AVDL (Application
Vulnerability
Description)

Noviembre-2005

Dominio Objetivo
Administración
(cont.)
Integridad (cont.) Patch Management
Escáner de
Vulnerabilidad
IDS
lógico a sistemas
Sistemas PKI
Operativos (cont.) Biometría
Preventivo
en Tokens
Kerberos
Smart Card
Confidencialidad Identificación
SSH
IPSec
Control de Acceso
lógico a sistemas
PKI
Perceptivo
VPN
Biometría
IDS

Noviembre-2005

Dominio Objetivo
VPN Políticas
PKI
Biometría
Autenticación Preventivo Kerberos
Smart Card
SSH
IPSec
Biometría
Preventivo Kerberos
Sistemas Confidencialidad Control de Acceso SSH
Operativos (cont.) (cont.) IPSec
Control de Acceso
Biometría
PKI
Preventivo
No repudiación PGP
Perceptivo PKI
Firewall Personal
en Roles
Control de Tráfico
Cifrado de Datos

Noviembre-2005

Dominio Objetivo
Logs de Acceso
Administración
(cont.) Software AntiEspía
Sistemas Confidencialidad Correctivo
Patch Management
Operativos (cont.) (cont.) AntiVirus
Logs de Acceso
Perceptivo
IDS
Plataforma de Pruebas Plan de
Recuperación Políticas
Preventivo Administración Basada Políticas y
Proxy Recuperación
Base de Datos Disponibilidad Administración
Respaldo y Plan de
Correctivo
Procedimientos de
Respaldo y
Recuperación

Noviembre-2005

Dominio Objetivo
Logs de Acceso
Escáner de
Disponibilidad Perceptivo Vulnerabilidad
Auditoria
(cont.) Monitoreo y
Control de Acceso
lógico a sistemas
Preventivo PKI
Identificación
en Tokens
Control de Acceso
Base de Datos
(cont.)
PKI
Autorización / Control de Acceso Políticas de
Preventivo
Integridad Control de Acceso lógico a sistemas Contraseñas
Preventivo PKI
Correctivo
Administración
Recuperación
Perceptivo

Noviembre-2005

Dominio Objetivo
Administración Procedimientos de
Correctivo
(cont.) Respaldo y
Recuperación
Integridad (cont.) Escáner de Modelo de
Auditoria Monitoreo y Vulnerabilidades
Perceptivo
Vulnerability
Description)
Base de Datos Control de Acceso
(cont.) lógico a sistemas
Identificación
en Tokens
Control de Acceso
Confidencialidad Perceptivo lógico a sistemas
Biometría
PKI
Preventivo
Biometría
Autenticación PKI
Perceptivo
Biometría
Correctivo

Noviembre-2005

Dominio Objetivo
Autorización / Biometría
Control de Acceso Control de Acceso
Biometría
Correctivo
PKI
Preventivo
Biometría
No repudiación PKI
Perceptivo
Biometría
Base de Datos Confidencialidad Correctivo
(cont.) (cont.) Plataforma de Pruebas Políticas
Preventivo en Roles
Control de Tráfico
Cifrado de Datos
Administración
Logs de Acceso
Escáner de
Perceptivo Vulnerabilidad
Monitoreo y

Noviembre-2005

Dominio Objetivo
Preventivo
en Roles Respaldo y
Disponibilidad Recuperación Políticas y
Logs de Acceso
Escáner de
Auditoria
Monitoreo y
Control de Acceso
lógico a sistemas
Integridad
SSH
Control de Acceso
Perceptivo
lógico a sistemas
Autenticación Preventivo SSH

Noviembre-2005

Dominio Objetivo
Autorización / Preventivo lógico a sistemas Contraseñas
Control de Acceso
Perceptivo
lógico a sistemas
Preventivo
en Roles Respaldo y
Aplicaciones SFTP Recuperación
Integridad (cont.) Administración
(cont.) Plataforma de Pruebas Procedimientos
Correctivo
Escáner de
Perceptivo
Monitoreo y

Noviembre-2005

Dominio Objetivo
Control de Acceso
lógico a sistemas
PKI
VPN
Smart Card
SSH
Control de Acceso
lógico a sistemas
Aplicaciones Perceptivo PKI
Confidencialidad VPN
(cont.)
Biometría
VPN
PKI
Biometría
Preventivo
en Roles
Autenticación SSH
VPN
PKI
Perceptivo
Biometría
Smart Card
Correctivo

Noviembre-2005

Dominio Objetivo
VPN
Preventivo
Biometría
Control de Acceso
lógico a sistemas
Perceptivo
VPN
Biometría
(cont.) (cont.) PKI
Biometría
PGP
SFTP
Software AntiEspía
Correctivo
Escáner de
Vulnerabilidad
Perceptivo
Monitoreo y

Noviembre-2005
2.4.3. MATRIZ DE SOLUCIONES PARA ACCESO A INTERNET

Dominio Objetivo
Autenticación Preventivo Firewall Personal
Respaldo y Plan de
Firewall Personal
Preventivo
en Roles
Control de Tráfico
Administración Proxy
Logs de Acceso
Perceptivo
ICMP
Sistemas Respaldo y Procedimientos
Disponibilidad
Operativos Recuperación Plan de
Correctivo Antivirus Continuidad
Patch Management
Logs de Acceso
Escáner de
Vulnerabilidad
Monitoreo y
IDS

Noviembre-2005

Dominio Objetivo
en Roles
Administración
Control de Tráfico
Integridad Respaldo y Políticas y
Sistemas Filtro de Contenidos Recuperación
Operativos (cont.) Patch Management
Escáner de
Vulnerabilidad
IDS
Preventivo
lógico a sistemas
Control de Acceso
lógico a sistemas
Perceptivo
Software AntiEspía
IDS

Noviembre-2005
Solución
Dominio Objetivo Elemento de Control Tipo de Control
Tecnológica Administrativa
PKI Políticas
Biometría
Kerberos
Smart Card
SSH
IPSec
Biometría
Preventivo Kerberos
Control de Acceso
Biometría
PKI
Preventivo
No repudiación PGP
Perceptivo PKI
Firewall Personal
en Roles
Control de Tráfico
Cifrado de Datos

Noviembre-2005

Dominio Objetivo
Logs de Acceso
Perceptivo
Software AntiEspía
Administración Software AntiEspía
Correctivo
Sistemas Confidencialidad Patch Management
Logs de Acceso
Perceptivo
IDS

Noviembre-2005
2.4.4. MATRIZ DE SOLUCIONES PARA ACCESO A USUARIOS REMOTOS

Dominio Objetivo
Respaldo y Plan de
Firewall Personal
Preventivo
en Roles
Control de Tráfico
Administración Proxy
Logs de Acceso
Perceptivo
Sistemas ICMP
Disponibilidad Respaldo y Procedimientos
Operativos
Correctivo Antivirus Continuidad
Patch Management
Logs de Acceso
Escáner de
Perceptivo
Monitoreo y
IDS

Noviembre-2005

Dominio Objetivo
(cont.) Continuidad
en Roles
Administración
Control de Tráfico
Integridad
Sistemas Correctivo Antivirus Respaldo y
Operativos (cont.) Filtro de Contenidos Recuperación
Patch Management
Escáner de
Vulnerabilidad
IDS
Preventivo
lógico a sistemas
Control de Acceso
lógico a sistemas
Perceptivo
Software AntiEspía
IDS

Noviembre-2005

Dominio Objetivo
PKI Políticas
Biometría
Kerberos
Smart Card
SSH
IPSec
Biometría
Preventivo Kerberos
Control de Acceso
Biometría
PKI
Preventivo
No repudiación PGP
Perceptivo PKI
Firewall Personal
en Roles
Control de Tráfico
Cifrado de Datos

Noviembre-2005

Dominio Objetivo
Logs de Acceso
Perceptivo
Software AntiEspía
Administración Software AntiEspía
Correctivo
Sistemas Confidencialidad Patch Management
Logs de Acceso
Perceptivo
IDS

Noviembre-2005
2.4.5. MATRIZ DE SOLUCIONES PARA INTERCONEXIÓN BANCARIA

Dominio Objetivo
Identificación Perceptivo IDS
Preventivo Firewall
Perceptivo
Correctivo
(IPS)
Preventivo Firewall
(IPS)
Control de Acceso
Correctivo
Conectividad Disponibilidad (IPS)
DMZ Plan de
Preventivo en Roles
Administración Conmutación Multicapa
Control de Tráfico
Correctivo
QoS Continuidad
Plan Continuidad
Políticas

Noviembre-2005

Dominio Objetivo
Monitoreo y
Disponibilidad Perceptivo Correlación de Eventos
Auditoria (cont.) IDS
(cont.)
Correctivo
Continuidad
VPN
PKI
Preventivo
SSL
VPN
Perceptivo PKI
Conectividad IDS
(cont.) VPN
PKI
Integridad Preventivo SSL
IPSec
Firewall
VPN
Autenticación
PKI
(IPS)
IPSec
Correctivo
(IPS)

Noviembre-2005

Dominio Objetivo
VPN
PKI
Preventivo SSL
Perceptivo
(IPS)
Correctivo
(IPS)
VPN
Preventivo
Conectividad PKI
Integridad (cont.) No repudiación
(cont.) VPN
Perceptivo
PKI
DMZ
Firewall Integrado
Preventivo en Roles
Administración
Control de Tráfico
(IPS)

Noviembre-2005

Dominio Objetivo
Escáner de
Vulnerabilidad
Administración
Integridad (cont.) Perceptivo Monitoreo y
(cont.)
IDS
VPN
PKI
Preventivo
SSL
VPN
Perceptivo PKI
Conectividad IDS
(cont.) VPN
PKI
Preventivo
IPSec
WAP
Firewall
Autenticación
VPN
PKI
Perceptivo
(IPS)
Correctivo
(IPS)

Noviembre-2005

Dominio Objetivo
VPN
PKI
Preventivo SSL
IPSec
PKI
Perceptivo
Conectividad Confidencialidad (IPS)
Correctivo
(IPS)
VPN
PKI
Electrónica
VPN
Perceptivo
PKI

Noviembre-2005

Dominio Objetivo
DMZ
Firewall Integrado
en Roles
Preventivo
Control de Tráfico
Conectividad Confidencialidad Cifrado de Datos
Administración
(cont.) (cont.) PGP
NAT Dinámico
Escáner de
Vulnerabilidad
Perceptivo Monitoreo y
IDS
VPN
Preventivo
PKI
Identificación VPN
Perceptivo PKI
Sistemas IDS
Disponibilidad
Operativos VPN
Preventivo PKI
VPN
Perceptivo
PKI

Noviembre-2005

Dominio Objetivo
VPN
VPN
Perceptivo
PKI
VPN
Preventivo
PKI
No repudiación
VPN
Perceptivo
PKI
Respaldo y Plan de
Preventivo
en Roles
Control de Tráfico
Proxy
Administración
Logs de Acceso
Perceptivo
ICMP
Correctivo
QoS
Patch Management

Noviembre-2005

Dominio Objetivo
Plan de
Preventivo
Continuidad
Logs de Acceso
Escáner de
Disponibilidad Vulnerabilidad
(cont.) Monitoreo y
IDS
Plan de
Correctivo
Continuidad
PKI
Sistemas
Identificación SSH
Operativos (cont.)
IPSec
PKI
Perceptivo
IDS
PKI
Integridad SSH
Preventivo
Firewall Personal
Perceptivo PKI
SSH Políticas de
Autorización /
Control de Acceso
Firewall Personal
Preventivo PKI
No repudiación
Perceptivo PKI

Noviembre-2005

Dominio Objetivo
en Roles
Control de Tráfico
Sistemas Recuperación Procedimientos de
Integridad (cont.) Administración
Operativos (cont.) Correctivo Antivirus Respaldo y
Patch Management
Perceptivo
IDS Vulnerability
Description)

Noviembre-2005

Dominio Objetivo
lógico a sistemas
PKI
VPN
Biometría
en Tokens
Kerberos
SSH
IPSec
Control de Acceso
Confidencialidad
Operativos (cont.) PKI
Perceptivo
VPN
Biometría
IDS
VPN Políticas
PKI
Biometría
Preventivo Kerberos
SSH
IPSec
PKI
Perceptivo
Biometría

Noviembre-2005

Dominio Objetivo
Biometría
Preventivo Kerberos
IPSec
Control de Acceso
Biometría
Correctivo
Sistemas Sistemas PKI
Operativos (cont.) Operativos (cont.) Preventivo
PGP
No repudiación
Perceptivo PKI
Correctivo
Firewall Personal
Preventivo
en Roles
Cifrado de Datos
Logs de Acceso

Noviembre-2005

Dominio Objetivo
Software AntiEspía
Correctivo
AntiVirus
Sistemas Sistemas Preventivo Políticas
Operativos (cont.) Operativos (cont.) Logs de Acceso
Monitoreo y
IDS
Correctivo
Preventivo
en Roles Respaldo y
Proxy Recuperación
Administración
Aplicaciones Disponibilidad Perceptivo Logs de Acceso
Auditoria Preventivo Políticas

Noviembre-2005

Dominio Objetivo
Logs de Acceso
Escáner de
Disponibilidad
Auditoria (cont.) Perceptivo Vulnerabilidad
(cont.)
Monitoreo y
Control de Acceso
lógico a sistemas
PKI
Preventivo
SSH
(co0nt.) Perceptivo lógico a sistemas
PKI
Integridad PKI
Preventivo
Autenticación SSH
Perceptivo PKI
Autorización /
SSH
Control de Acceso
Control de Acceso
Perceptivo
lógico a sistemas
Preventivo PKI
No repudiación
Perceptivo PKI

Noviembre-2005

Dominio Objetivo
Preventivo
en Roles Respaldo y
Administración SFTP Recuperación
Correctivo
(cont.) Escáner de
Perceptivo
Monitoreo y
Control de Acceso
lógico a sistemas
PKI
VPN
en Tokens
Smart Card
SSH

Noviembre-2005

Dominio Objetivo
Control de Acceso
lógico a sistemas
VPN
Biometría
VPN
PKI
Biometría
Preventivo
en Roles
Autenticación
SSH
(cont.) (cont.) PKI
Perceptivo
Biometría
Smart Card
VPN
Preventivo
Biometría
Control de Acceso
lógico a sistemas
Perceptivo
VPN
Biometría

Noviembre-2005

Dominio Objetivo
VPN
PKI
Biometría
PGP
Aplicaciones Confidencialidad SFTP
(cont.) (cont.) Perceptivo
Software AntiEspía
Escáner de
Vulnerabilidad
Perceptivo
Monitoreo y

Noviembre-2005
2.4.6. MATRIZ DE SOLUCIONES PARA CORREO ELECTRÓNICO

Dominio Objetivo
Preventivo Firewall
Perceptivo
Correctivo
(IPS)
Preventivo Firewall
(IPS)
Control de Acceso
Correctivo
(IPS)
Conectividad Disponibilidad Preventivo PGP
No repudiación
Perceptivo PGP
DMZ Plan de
Preventivo en Roles
Administración
Control de Tráfico
Perceptivo ICMP
Correctivo
QoS Continuidad

Noviembre-2005

Dominio Objetivo
Plan de
Políticas
Disponibilidad Monitoreo y
Auditoria
(cont.) Perceptivo Correlación de Eventos
IDS
Correctivo
Continuidad
VPN
PKI
Preventivo
Conectividad SSL
(cont.) Identificación IPSec
VPN
Perceptivo PKI
IDS
Integridad VPN
PKI
TLS / WTLS
SSL
WTP
IPSec
WAP
Firewall

Noviembre-2005

Dominio Objetivo
VPN
PKI
Autenticación (cont.) (IPS)
IPSec
Correctivo
(IPS)
VPN
PKI
Conectividad SSL
(cont.) Integridad (cont.) Preventivo
WTP
Perceptivo
(IPS)
Correctivo
(IPS)
VPN
Preventivo
PKI
No repudiación
VPN
Perceptivo
PKI

Noviembre-2005

Dominio Objetivo
DMZ
Firewall Integrado
Preventivo en Roles
AVDL (Application
Integridad (cont.) Perceptivo Vulnerability
Description)
Conectividad Filtro de Contenidos
(cont.) Correctivo Statefull Inspection
(IPS)
Escáner de
Vulnerabilidad
IDS
VPN
PKI
SSL
WTP
IPSec
WAP

Noviembre-2005

Dominio Objetivo
VPN
IDS
VPN
PKI
SSL
Preventivo WTP
IPSec
WAP
Conectividad Autenticación Firewall
Confidencialidad VPN
(cont.)
(cont.) PKI
Perceptivo
(IPS)
Correctivo
(IPS)
VPN
PKI
Autorización / SSL
Preventivo
Control de Acceso WTP
IPSec
Firewall

Noviembre-2005

Dominio Objetivo
VPN
Autorización / PKI
Perceptivo
Control de Acceso Statefull Inspection
(cont.) (IPS)
Correctivo
(IPS)
VPN
PKI
Conectividad Electrónica
Confidencialidad
(cont). VPN
(cont.) Perceptivo
PKI
DMZ
Firewall Integrado
en Roles
Control de Tráfico
Cifrado de Datos
PGP
NAT Dinámico

Noviembre-2005

Dominio Objetivo
Correctivo
(cont.)
Conectividad Escáner de
Confidencialidad
(cont). Vulnerabilidad
(cont.)
IDS
VPN
Preventivo
PKI
Identificación VPN
Perceptivo PKI
IDS
Sistemas VPN
Operativos Disponibilidad Preventivo PKI
VPN
Perceptivo
PKI
VPN
Autorización /
Preventivo PKI
Control de Acceso
Firewall Personal

Noviembre-2005

Dominio Objetivo
Autorización / VPN
Control de Acceso Perceptivo PKI
(cont.)
VPN
Preventivo
PKI
No repudiación
VPN
Perceptivo
PKI
Respaldo y Plan de
Sistemas Firewall Personal
Disponibilidad Preventivo
Operativos (cont.) Administración Basada
(cont.)
en Roles
Control de Tráfico
Proxy
Administración
Logs de Acceso
Perceptivo
ICMP
Correctivo
QoS
Patch Management

Noviembre-2005

Dominio Objetivo
Control Control Tecnológica
Plan de
Preventivo
Continuidad
Logs de Acceso
Disponibilidad Escáner de
(cont.) Perceptivo
Monitoreo y
IDS
PKI
Sistemas
Identificación SSH
Operativos (cont.)
IPSec
PKI
Perceptivo
IDS
PKI
Integridad SSH
Preventivo
Firewall Personal
Perceptivo PKI
SSH Políticas de
Autorización /
Control de Acceso
Firewall Personal
Preventivo PKI
No repudiación
Perceptivo PKI

Noviembre-2005

Dominio Objetivo
en Roles
Control de Tráfico
Modelo de
Vulnerabilidades
Perceptivo
Sistemas AVDL (Application
Operativos (cont.) Integridad (cont.) Vulnerability
Description)
Patch Management
IDS Vulnerability
Description)

Noviembre-2005

Dominio Objetivo
lógico a sistemas
PKI
VPN
Biometría
en Tokens
Kerberos
SSH
IPSec
Sistemas Control de Acceso
Operativos (cont.) Confidencialidad lógico a sistemas
PKI
Perceptivo VPN
Biometría
Software AntiEspía
IDS
VPN Políticas
PKI
Biometría
Autenticación Preventivo Kerberos
Smart Card
SSH
IPSec

Noviembre-2005

Dominio Objetivo
PKI
Biometría
Biometría
Preventivo Kerberos
IPSec
Control de Acceso
Sistemas Perceptivo lógico a sistemas
Confidencialidad Biometría
Operativos (cont.)
(cont.) PKI
Preventivo
No repudiación PGP
Perceptivo PKI
Firewall Personal
Preventivo
en Roles
Cifrado de Datos
Logs de Acceso

Noviembre-2005
Dominio Objetivo
Software AntiEspía
Correctivo
Sistemas AntiVirus
Confidencialidad
Operativos (cont.) Preventivo Políticas
(cont.)
Logs de Acceso
Perceptivo
IDS
Preventivo
en Roles Respaldo y
Proxy Recuperación
Administración
Aplicaciones Disponibilidad
Logs de Acceso
Escáner de
Auditoria
Monitoreo y

Noviembre-2005

Dominio Objetivo
Control de Acceso
lógico a sistemas
PKI
Preventivo
SSH
Control de Acceso
PKI
PKI
Preventivo
Autenticación SSH
Integridad Control de Acceso Políticas de
(cont.)
Autorización /
SSH
Control de Acceso
Control de Acceso
Perceptivo
lógico a sistemas
Preventivo PKI
No repudiación
Perceptivo PKI
en Roles Respaldo y
SFTP Recuperación

Noviembre-2005

Dominio Objetivo
Administración Recuperación Políticas y
Correctivo
(cont.) Software AntiEspía Procedimientos de
Integridad (cont.) Patch Management Recuperación
Escáner de
Perceptivo
Monitoreo y
(cont.) lógico a sistemas
PKI
VPN
en Tokens
Smart Card
SSH
Control de Acceso
lógico a sistemas
Perceptivo PKI
VPN
Biometría

Noviembre-2005

Dominio Objetivo
VPN
PKI
Biometría
Preventivo
Autenticación en Roles
SSH
VPN
PKI
Perceptivo
Biometría
Smart Card
Aplicaciones Confidencialidad lógico a sistemas Contraseñas
(cont.) (cont.) VPN
Preventivo
Biometría
Control de Acceso
lógico a sistemas
Perceptivo
VPN
Biometría
VPN
PKI
Biometría
PGP

Noviembre-2005

Dominio Objetivo
SFTP
Aplicaciones Confidencialidad Software AntiEspía
(cont.) (cont.) Filtro de Contenidos
Escáner de
Vulnerabilidad
Perceptivo
Monitoreo y

Noviembre-2005
2.4.7. MATRIZ DE SOLUCIONES PARA SISTEMAS DE ADMINISTRACIÓN DEL PERSONAL

Dominio Objetivo
Perceptivo
(IPS)
Autenticación
Correctivo
(IPS)
Preventivo Firewall
(IPS)
Control de Acceso
Correctivo
(IPS)
Firewall Integrado Plan de
Conectividad Disponibilidad Administración Basada Continuidad
en Roles Políticas
Control de Tráfico
Plan de
Políticas
IDS
Correctivo Herramientas Forenses Plan Continuidad

Noviembre-2005

Dominio Objetivo
VPN
PKI
SSL
Preventivo
IPSec
Identificación WTP
WAP
VPN
Perceptivo PKI
IDS
VPN
PKI
Conectividad TLS / WTLS
Integridad
(cont.) SSL
Preventivo
WTP
IPSec
WAP
VPN
PKI
(IPS)
IPSec
Correctivo
(IPS)

Noviembre-2005

Dominio Objetivo
VPN
PKI
SSL
Preventivo
WTP
Perceptivo
(IPS)
Correctivo
(IPS)
VPN
Preventivo
PKI
No repudiación
Conectividad VPN
Integridad (cont.) Perceptivo
(cont.) PKI
DMZ
Firewall Integrado
Preventivo en Roles
AVDL (Application
Description)
(IPS)

Noviembre-2005
Dominio Objetivo
Integridad (cont.) Auditoria Perceptivo Monitoreo y Vulnerabilidades
IDS Vulnerab.Descript)
PKI
SSL
Preventivo WTP
IPSec
Identificación
WAP
VPN
Perceptivo PKI
Conectividad IDS
(cont.) VPN
PKI
Preventivo WTP
IPSec
WAP
VPN
PKI
Perceptivo
(IPS)
Correctivo
(IPS)

Noviembre-2005

Dominio Objetivo
VPN
PKI
SSL
Preventivo
WTP
IPSec
PKI
Perceptivo
Conectividad Confidencialidad Statefull Inspection
Correctivo
(IPS)
VPN
PKI
Electrónica
VPN
Perceptivo
PKI

Noviembre-2005
Dominio Objetivo
DMZ
Firewall Integrado
en Roles
Control de Tráfico
(cont.) (cont.) PGP
NAT Dinámico
Escáner de
Vulnerabilidad
IDS
VPN
Preventivo
PKI
Identificación VPN
Perceptivo PKI
Sistemas IDS
Disponibilidad
Operativos VPN
Preventivo PKI
VPN
Perceptivo
PKI

Noviembre-2005
Dominio Objetivo
VPN
VPN
Perceptivo
PKI
VPN
Preventivo
PKI
No repudiación
VPN
Perceptivo
PKI
Respaldo y Plan de
Preventivo
en Roles
Control de Tráfico
Proxy
Administración
Logs de Acceso
Perceptivo
ICMP
Correctivo
QoS
Patch Management

Noviembre-2005
Dominio Objetivo
Plan de
Preventivo
Continuidad
Logs de Acceso
Escáner de
(cont.) Monitoreo y
IDS
Plan de
Correctivo
Continuidad
PKI
Sistemas
Identificación SSH
Operativos (cont.)
IPSec
PKI
Perceptivo
IDS
PKI
Integridad SSH
Preventivo
Firewall Personal
Perceptivo PKI
SSH Políticas de
Autorización /
Control de Acceso
Firewall Personal
Preventivo PKI
No repudiación
Perceptivo PKI

Noviembre-2005

Dominio Objetivo
en Roles
Control de Tráfico
Modelo de
Vulnerabilidades
Perceptivo
AVDL (Application
Integridad (cont.)
Patch Management
IDS Vulnerability
Description)

Noviembre-2005
Dominio Objetivo
lógico a sistemas
PKI
VPN
Biometría
en Tokens
Kerberos
SSH
IPSec
Control de Acceso
Operativos (cont.)
Perceptivo VPN
Biometría
Software AntiEspía
IDS
VPN Políticas
PKI
Biometría
Preventivo Kerberos
SSH
IPSec
PKI
Perceptivo
Biometría

Noviembre-2005

Dominio Objetivo
Biometría
Preventivo Kerberos
IPSec
Control de Acceso
Biometría
PKI
Preventivo
No repudiación PGP
Sistemas Confidencialidad Perceptivo PKI
Operativos (cont.) (cont.) Plataforma de Pruebas
Firewall Personal
Preventivo
en Roles
Control de Tráfico
Cifrado de Datos
Administración Logs de Acceso
Software AntiEspía
Correctivo
Patch Management
AntiVirus

Noviembre-2005

Dominio Objetivo
Logs de Acceso Políticas
Sistemas Confidencialidad Monitoreo y
Operativos (cont.) (cont.) Correlación de Eventos
IDS
Preventivo PKI
Identificación
Perceptivo PKI
Preventivo PKI
Autenticación
Perceptivo PKI
Preventivo PKI
No repudiación
Perceptivo PKI
Base de Datos Disponibilidad Preventivo Administración Basada Políticas y
Proxy Recuperación
Administración
Respaldo y Plan de
Correctivo
Procedimientos de
Respaldo y
Recuperación

Noviembre-2005

Dominio Objetivo
Logs de Acceso
Escáner de
Auditoria
(cont.) Monitoreo y
Control de Acceso
lógico a sistemas
Preventivo PKI
Identificación
en Tokens
Control de Acceso
Base de Datos
(cont.)
PKI
Preventivo PKI
Autenticación
Integridad Perceptivo PKI
Preventivo
Control de Acceso
Autorización /
lógico a sistemas
Control de Acceso
Perceptivo AVDL (Application
Vulnerability
Description)
Preventivo PKI
No repudiación
Perceptivo PKI

Noviembre-2005

Dominio Objetivo
Administración Recuperación
Procedimientos de
Correctivo
Integridad (cont.) Respaldo y
Recuperación
Base de Datos Auditoria Monitoreo y Vulnerabilidades
(cont.) Perceptivo
Vulnerability
Description)
Control de Acceso
lógico a sistemas
Identificación
en Tokens
Confidencialidad
Control de Acceso
Biometría
PKI
Biometría

Noviembre-2005

Dominio Objetivo
PKI
Perceptivo
Biometría
Biometría
PKI
Preventivo
Biometría
No repudiación
PKI
Base de Datos Confidencialidad Perceptivo
Biometría
Preventivo en Roles
Cifrado de Datos
Logs de Acceso
Escáner de
Monitoreo y

Noviembre-2005

Dominio Objetivo
Preventivo
en Roles Respaldo y
Aplicaciones Logs de Acceso
Escáner de
Auditoria
Monitoreo y
Control de Acceso
lógico a sistemas
PKI
Preventivo
Integridad Identificación en Tokens
SSH
Control de Acceso
PKI

Noviembre-2005

Dominio Objetivo
PKI
SSH
Perceptivo PKI
Autorización /
SSH
Control de Acceso
Control de Acceso
Perceptivo
lógico a sistemas
Preventivo PKI
No repudiación
Perceptivo PKI
Aplicaciones Recuperación Políticas y
Integridad (cont.) Preventivo
(cont.) Administración Basada Procedimientos de
en Roles Respaldo y
SFTP Recuperación
Administración
Correctivo
Escáner Vulnerabilidad
Auditoria

Noviembre-2005

Dominio Objetivo
Control de Acceso
lógico a sistemas
PKI
VPN
Smart Card
SSH
Control de Acceso
lógico a sistemas
Confidencialidad
(cont.) VPN
Biometría
VPN
PKI
Biometría
Preventivo
en Roles
Autenticación
SSH
VPN
PKI
Perceptivo
Biometría
Smart Card

Noviembre-2005

Dominio Objetivo
VPN
Preventivo
Biometría
Control de Acceso
lógico a sistemas
Perceptivo
VPN
Biometría
(cont.) (cont.) PKI
Biometría
PGP
SFTP
Software AntiEspía
Correctivo
Escáner de
Vulnerabilidad
Perceptivo
Monitoreo y

Noviembre-2005
2.4.8. MATRIZ DE SOLUCIONES PARA SISTEMAS ADMINISTRATIVOS Y CONTABLES

Dominio Objetivo
Perceptivo
(IPS)
Autenticación
Correctivo
(IPS)
Preventivo Firewall
(IPS)
Control de Acceso
Correctivo
(IPS)
Conectividad Disponibilidad Firewall Integrado Plan de
Administración Basada Continuidad
en Roles Políticas
Control de Tráfico
Plan Continuidad
Preventivo
Políticas
Monitoreo y
Auditoria
IDS
Correctivo Herramientas Forenses Plan Continuidad

Noviembre-2005

Dominio Objetivo
VPN
PKI
SSL
Preventivo
IPSec
Identificación WTP
WAP
VPN
Perceptivo PKI
IDS
VPN
PKI
Conectividad TLS / WTLS
Integridad
(cont.) SSL
Preventivo
WTP
IPSec
WAP
VPN
PKI
(IPS)
IPSec
Correctivo
(IPS)

Noviembre-2005
Dominio Objetivo
VPN
PKI
SSL
Preventivo
WTP
Perceptivo
(IPS)
Correctivo
(IPS)
VPN
Preventivo
PKI
No repudiación
Conectividad VPN
Integridad (cont.) Perceptivo
(cont.) PKI
DMZ
Firewall Integrado
Preventivo en Roles
AVDL (Application
Description)
(IPS)

Noviembre-2005
Dominio Objetivo
Integridad (cont.) Auditoria Perceptivo Monitoreo y Vulnerabilidades
IDS Vulnerab.Descript)
PKI
SSL
Preventivo WTP
IPSec
Identificación
WAP
VPN
Perceptivo PKI
Conectividad IDS
(cont.) VPN
PKI
Preventivo WTP
IPSec
WAP
VPN
PKI
Perceptivo
(IPS)
Correctivo
(IPS)

Noviembre-2005

Dominio Objetivo
VPN
PKI
SSL
Preventivo
WTP
IPSec
PKI
Perceptivo
Conectividad Confidencialidad Statefull Inspection
Correctivo
(IPS)
VPN
PKI
Electrónica
VPN
Perceptivo
PKI

Noviembre-2005

Dominio Objetivo
DMZ
Firewall Integrado
en Roles
Control de Tráfico
(cont.) (cont.) PGP
NAT Dinámico
Escáner de
Vulnerabilidad
IDS
VPN
Preventivo
PKI
Identificación VPN
Perceptivo PKI
Sistemas IDS
Disponibilidad
Operativos VPN
Preventivo PKI
VPN
Perceptivo
PKI

Noviembre-2005

Dominio Objetivo
VPN
VPN
Perceptivo
PKI
VPN
Preventivo
PKI
No repudiación
VPN
Perceptivo
Sistemas Disponibilidad PKI
Operativos (cont.) (cont.) Plataformas de Pruebas Procedimientos
Respaldo y Plan de
Firewall Personal
Preventivo
Administración
en Roles
Control de Tráfico
Proxy
Logs de Acceso
Perceptivo
ICMP
Correctivo
QoS
Patch Management

Noviembre-2005
Dominio Objetivo
Logs de Acceso
Escáner de
(cont.) Monitoreo y
IDS
PKI
Identificación SSH
Sistemas
IPSec
Operativos (cont.)
PKI
Perceptivo
IDS
PKI
Integridad SSH
Preventivo
Firewall Personal
Perceptivo PKI
SSH Políticas de
Autorización /
Control de Acceso
Firewall Personal
Preventivo PKI
No repudiación
Perceptivo PKI

Noviembre-2005

Dominio Objetivo
en Roles
Control de Tráfico
Modelo de
Vulnerabilidades
Perceptivo
AVDL (Application
Integridad (cont.)
Patch Management
IDS Vulnerability
Description)

Noviembre-2005
Dominio Objetivo
lógico a sistemas
PKI
VPN
Biometría
en Tokens
Kerberos
SSH
IPSec
Control de Acceso
Operativos (cont.)
Perceptivo VPN
Biometría
Software AntiEspía
IDS
VPN Políticas
PKI
Biometría
Preventivo Kerberos
SSH
IPSec
PKI
Perceptivo
Biometría

Noviembre-2005

Dominio Objetivo
Biometría
Preventivo Kerberos
IPSec
Control de Acceso
Biometría
PKI
Preventivo
Sistemas Confidencialidad No repudiación PGP
Operativos (cont.) (cont.) Perceptivo PKI
Firewall Personal
Preventivo
en Roles
Control de Tráfico
Cifrado de Datos
Administración
Logs de Acceso
Perceptivo
Software AntiEspía
Software AntiEspía
Correctivo
Patch Management
AntiVirus

Noviembre-2005

Dominio Objetivo
Logs de Acceso Políticas
Sistemas Confidencialidad Monitoreo y
Operativos (cont.) (cont.) Correlación de Eventos
IDS
Preventivo PKI
Identificación
Perceptivo PKI
Preventivo PKI
Autenticación
Perceptivo PKI
Preventivo PKI
No repudiación
Perceptivo PKI
Base de Datos Disponibilidad Preventivo Administración Basada Políticas y
Proxy Recuperación
Administración
Respaldo y Plan de
Correctivo
Procedimientos de
Respaldo y
Recuperación

Noviembre-2005
Dominio Objetivo
Logs de Acceso
Escáner de
Auditoria
(cont.) Monitoreo y
Control de Acceso
lógico a sistemas
Preventivo PKI
Identificación
en Tokens
Control de Acceso
Base de Datos
(cont.)
PKI
Preventivo PKI
Autenticación
Integridad Perceptivo PKI
Preventivo
Control de Acceso
Autorización /
lógico a sistemas
Control de Acceso
Perceptivo AVDL (Application
Vulnerability
Description)
Preventivo PKI
No repudiación
Perceptivo PKI

Noviembre-2005

Dominio Objetivo
Administración Recuperación
Procedimientos de
Correctivo
Integridad (cont.) Respaldo y
Recuperación
Base de Datos Auditoria Monitoreo y Vulnerabilidades
(cont.) Perceptivo
Vulnerability
Description)
Control de Acceso
lógico a sistemas
Identificación
en Tokens
Confidencialidad
Control de Acceso
Biometría
PKI
Biometría

Noviembre-2005

Dominio Objetivo
PKI
Biometría
Biometría
PKI
Preventivo
Biometría
No repudiación
PKI
Base de Datos Confidencialidad Perceptivo
Biometría
Preventivo en Roles
Cifrado de Datos
Logs de Acceso
Escáner de
Monitoreo y

Noviembre-2005
Dominio Objetivo
Preventivo
en Roles Respaldo y
Aplicaciones Logs de Acceso
Escáner de
Auditoria
Monitoreo y
Control de Acceso
lógico a sistemas
PKI
Preventivo
Integridad Identificación en Tokens
SSH
Control de Acceso
PKI

Noviembre-2005
Dominio Objetivo
PKI
SSH
Perceptivo PKI
Autorización /
SSH
Control de Acceso
Control de Acceso
Perceptivo
lógico a sistemas
Preventivo PKI
No repudiación
Perceptivo PKI
Respaldo Recuperación Políticas
Aplicaciones Preventivo Administración Basada Políticas y
Integridad (cont.)
(cont.) en Roles Procedimientos de
SFTP RespaldoRecuperac
Administración Plataforma de Pruebas Procedimientos
Correctivo
Escáner de
Perceptivo
Monitoreo y

Noviembre-2005

Dominio Objetivo
Control de Acceso
lógico a sistemas
PKI
VPN
Smart Card
SSH
Control de Acceso
lógico a sistemas
Confidencialidad
(cont.) VPN
Biometría
VPN
PKI
Biometría
Preventivo
en Roles
Autenticación
SSH
VPN
PKI
Perceptivo
Biometría
Smart Card

Noviembre-2005

Dominio Objetivo
VPN
Preventivo
Biometría
Control de Acceso
lógico a sistemas
Perceptivo
VPN
Biometría
(cont.) (cont.) PKI
Biometría
PGP
SFTP
Software AntiEspía
Correctivo
Escáner de
Vulnerabilidad
Perceptivo
Monitoreo y

Noviembre-2005
2.4.9. MATRIZ DE SOLUCIONES PARA CONTROLES DE ACCESO FÍSICO

Dominio Objetivo
Preventivo Físico
Biometría
Identificación
biometría
Preventivo Biometría Políticas
Autenticación
Infraestructura Control de Acceso Políticas
Disponibilidad
Física Físico Desactivación de
Puertos Físicos no
Preventivo
Autorización / utilizados en Switch o
Control de Acceso Hub
Biometría
Correctivo Políticas
No repudiación

Noviembre-2005

Dominio Objetivo
Cableado Norma 568 Plan de
Desactivación de Continuidad
Puertos Físicos no
Administración Hub
Control de Incendio e
Inundación
Plan de
Correctivo
Continuidad
Infraestructura Disponibilidad Puertos Físicos no Continuidad
Física (cont.) (cont.) Preventivo utilizados en Switch o
Hub y monitoreo de
Monitoreo y
Perceptivo
Plan de
Correctivo
Continuidad
Puertos Físicos no Continuidad
Auditoria Preventivo utilizados en Switch o
Hub y monitoreo de
activación

Noviembre-2005
Tipo de Solución
Dominio Objetivo Elemento de Control
Control Tecnológica Administrativa
Perceptivo
Identificación de Eventos
Disponibilidad Correctivo Plan de Continuidad
(cont.) Preventivo Control de Acceso Físico
Autorización / Control Monitoreo y Correlación
Perceptivo
de Acceso de Eventos
Preventivo Control de Acceso Físico
No repudiación Preventivo Políticas
de Eventos
Integridad Control de Acceso Físico Políticas
Infraestructura Identificación Preventivo Biometría
Física (cont.) Smart Card
Cámaras de Video
Perceptivo
Biometría
Biometría Políticas
Preventivo Smart Card
Autenticación
Confidencialidad
Control de Acceso Físico Políticas
Autorización / Control Preventivo Biometría
de Acceso Smart Card

Noviembre-2005

Dominio Objetivo
No repudiación Preventivo Biometría
Desactivación de
Administración Puertos Físicos no
Preventivo
utilizados en Switch o
Infraestructura Física (cont.) Hub
Confidencialidad (cont.) Desactivación de Políticas
Puertos Físicos no
Auditoria Hub y monitoreo de
activación
Cámaras de Video

Noviembre-2005
3. Gestión de la Arquitectura de Seguridad

Se entiende por gestión al conjunto de procesos necesarios para llegar al cumplimiento de
una meta específica, que en este caso es la Implantación efectiva de la Arquitectura de
Seguridad. Por lo tanto, la Gestión de Seguridad consiste en la realización de las tareas
necesarias para garantizar los niveles de seguridad exigibles en una organización, tomando
en cuenta que los problemas de seguridad no son únicamente de índole tecnológica, ya que
involucran el cumplimiento de políticas, normas y procedimientos administrativos, previamente
definidos; y asumiendo a la seguridad como un proceso y no como un producto.
3.4. Procesos de Gestión de la Arquitectura de Seguridad:

Son cinco los procesos fundamentales que deben considerarse con el objeto de cubrir una
gestión efectiva de la Arquitectura de Seguridad, así como para mantenerla actualizada en
el tiempo y ajustada a los requerimientos de la Institución; ellos son: el Mantenimiento de la
infraestructura de seguridad; el Monitoreo y Evaluación; el proceso de Respuesta y
Recuperación; la Actualización de la Arquitectura de Seguridad; y la Divulgación y
Reforzamiento de los aspectos relacionados a la seguridad. A continuación se revisarán
cada uno de estos procesos y se darán las recomendaciones necesarias para asegurar que
la Arquitectura de Seguridad que se implante en los Organismos e Institutos de la
administración pública, además de ser efectivas en la protección de los activos de
información del Estado, puedan mantenerse actualizadas y vigentes en el tiempo.
MONITOREO
Y EVALUACIÓN
MANTENIMIENTO RESPUESTA Y
RECUPERACIÓN
Gestión de la
Seguridad
DIVULGACIÓN,
CAPACITACIÓN Y ACTUALIZACIÓN
REFORZAMIENTO
GRÁFICO: Procesos de Gestión de la Seguridad

Noviembre-2005
3.4.1. Mantenimiento:
En oportunidades se comete el error de diseñar e implantar una Arquitectura de
Seguridad muy robusta dejando de lado el mantenimiento de las plataformas
tecnológicas que integran la Arquitectura. Esto trae como consecuencia la aparición
de fallas en los sistemas de seguridad y más aún, la imposibilidad de continuar
operando los mismos a medida que transcurre el tiempo. Por ello, desde que se
inicia el diseño e implantación de la Arquitectura de Seguridad deben considerarse
los procesos de mantenimiento, tanto preventivos como correctivos, y los
responsables de administrar la seguridad deben asegurar que los mismos se
cumplan rigurosamente. Fallas en los sistemas de mantenimiento se deben, sin
lugar a dudas, a fallas de supervisión y evaluación.
3.4.2. Monitoreo y Evaluación:

Este proceso incluye las actividades operacionales que la Organización de
Seguridad de la Institución debe realizar con el objeto de monitorear el
comportamiento de la seguridad y evaluar el nivel de efectividad de la Arquitectura
de Seguridad implantada. Las auditorias internas sobre el cumplimiento de las
políticas de seguridad, los análisis de vulnerabilidad y riesgo, la ingeniería social,
así como el monitoreo continuo y, preferiblemente, en tiempo real, del
comportamiento de la seguridad, con análisis de tendencias y definición de acciones
correctivas y/o de fortalecimiento de la seguridad, son todas actividades que la
gerencia debe asegurar que se lleven a cabo. A continuación daremos algunas
pautas sobre esquemas administrativos para cada una de estas actividades.
• Monitoreo en Tiempo Real: una de las actividades imprescindibles para
evaluar el comportamiento de la seguridad, y poder responder de forma
proactiva a posibles eventos de seguridad, es a través del monitoreo en tiempo
real de todos los eventos que se detecten. En la medida de lo posible debe
establecerse un Centro de Control de Monitoreo de la Seguridad, en donde se
concentre toda la información sobre los eventos de seguridad de la Institución.
Diversas herramientas existen en el mercado para el monitoreo de la seguridad,
algunas de ellas limitadas a cierto tipo de tecnologías o plataformas, y otras con
la posibilidad de homologar los eventos detectados por cualquier tipo de
tecnología, incluyendo la detección de eventos de seguridad física, industrial y
lógica.
En oportunidades, estas tecnologías brindan facilidades de correlacionar
eventos diversos que al analizarse en conjunto adquieren un mayor nivel de
criticidad, como el caso de secuencias de intentos fallidos sobre diversos activos
empresariales; o de programar reglas de comportamiento que requieren
vigilarse, como sería el caso de detección de accesos y/o modificaciones a
activos críticos; en algunos casos estas herramientas brindan mayores
facilidades de integración o de elaboración de reportes. Sin embargo, lo más
importante es que el monitoreo se lleve a cabo en tiempo real, que permita una
visión holística e integral de toda la seguridad de la Institución, que permita
programar algún tipo de respuesta y llevar a cabo procesos automáticos de
escalamiento, que ofrezca posibilidades de correlacionar eventos y programar

Noviembre-2005
reglas de comportamiento y que facilite el registro de la información histórica

para el análisis de tendencias.
• Evaluación de la Seguridad: la seguridad es totalmente dinámica; aún si fuera
posible que no aparecieran nuevas vulnerabilidades y técnicas de intrusión,
cualquier incorporación de nuevos activos, reconfiguración de sistemas o
migración a nuevas versiones, puede abrir nuevas vulnerabilidades. Por ello, es
recomendable llevar a cabo Auditorias periódicas que pongan a prueba el nivel
de vulnerabilidad y riesgo, al menos una vez al año, y permitan detectar posibles
nuevas vulnerabilidades, las cuales hayan pasado desapercibidas con el
monitoreo, y corregirlas a tiempo.
Otro esquema recomendado es la realización de análisis de vulnerabilidad y
riesgo mediante la aplicación de técnicas de Ingeniería Social. Ésta es una
práctica usada para explotar lo que tradicionalmente se ha considerado como el
eslabón más débil en términos de seguridad, es decir, el comportamiento
humano. Un complemento importante a cualquier proceso de evaluación
consiste en realizar pruebas para intentar conseguir información del personal la
cual pudiera ser de utilidad a potenciales intrusos. Aquí no se trata de implantar
acciones disciplinarias sino más bien de detectar áreas de debilidad que
requieren ser reforzadas mediante políticas de seguridad y otros mecanismos de
control. La Ingeniería Social debe ser una evaluación conocida por el personal
cuando recibe el Curso de Inducción a la Seguridad, pero no anunciada
previamente, la cual permita detectar vulnerabilidades mediante la simple
observación del sitio de trabajo y del comportamiento del personal, además de
la verificación del nivel de alerta del personal con relación a su disposición a
violar los esquemas de seguridad establecidos. Las conclusiones de la
Ingeniería Social deben ser un insumo importante para la revisión y ajuste de las
políticas.
Con relación al desarrollo de nuevos proyectos es importante involucrar al
personal de la Organización de Seguridad desde su etapa de diseño. Sin
embargo, al momento de entrar en operación la nueva instalación o sistema, es
importante llevar a cabo un Análisis de Vulnerabilidad.
Las Auditorias pueden llevarse a cabo internamente o mediante contratación de
empresas externas especializadas. Cualquiera sea la decisión, es importante
tomar en consideración la conveniencia de contar de vez en cuando con una
opinión objetiva. Adicionalmente, al contratar a un especialista externo, puede
recibirse el beneficio de actualización del personal sobre nuevas técnicas y
mecanismos de protección.
3.4.3. Respuesta y Recuperación:

Este proceso, además de lo relacionado a la continuidad del negocio y procesos de
respaldo y recuperación de los activos, incluye las actividades relacionadas al
manejo de la respuesta a los incidentes de seguridad, a través del Grupo de
Respuesta a los Incidentes de Seguridad, y a la escalabilidad de la información con
el objeto de promover una respuesta efectiva y oportuna a cualquier evento. Así

Noviembre-2005
mismo, este proceso gerencial incluye la investigación sobre la ocurrencia de

eventos de seguridad.
La definición de procedimientos completos para el escalamiento, investigación y
resolución de los incidentes es un requisito primordial para un manejo efectivo y
eficiente de respuesta a los incidentes. Dada la complejidad de esta actividad por la
variedad de posibles eventos, es importante que los responsables de dar una
respuesta a los incidentes de seguridad cuenten con las herramientas adecuadas
para la automatización de la mayor cantidad posible de actividades.
Hoy día, algunas herramientas de monitoreo permiten la definición de procesos de
escalamiento para cada tipo de incidente que así lo requiera. De esta forma, puede
definirse la ejecución automática de un procedimiento operacional, la notificación a
los responsables de administrar el sistema involucrado en el incidente detectado, a
través del envío automático de un correo electrónico, de un beeper o de un
mensaje en el celular.
3.4.4. Actualización:
Una vez implantada la Arquitectura de Seguridad, es necesario evaluar su
comportamiento a objeto de hacer los ajustes requeridos en el tiempo. Los
resultados de las auditorias son un insumo importante para la actualización de
elementos tales como las políticas, normas y procedimientos.
3.4.5. Divulgación y Reforzamiento:

Para que el sistema de seguridad tenga la efectividad deseada, es imprescindible
que personal, tanto interno como externo, conozca qué se espera de él. Por lo tanto
la capacitación y profesionalización del personal de seguridad, la divulgación de las
políticas y normativas definidas, y la sensibilización de todo el personal hacia la
importancia de su contribución en el proceso de prevención de la seguridad, son
procesos claves para el éxito de la seguridad.

Noviembre-2005
3.5. Modelo de Gestión de la Seguridad

Una de las tendencias administrativas en el ámbito internacional es hacia la contratación
externa o “outsourcing” de ciertos procesos. De hecho, una de las tendencias actuales es
a contratar las áreas operativas de la seguridad, de forma tal que los profesionales de
seguridad que se mantienen dentro de las organizaciones, puedan ejercer un rol mucho
más especializado y en línea con un rol de consultores.
La pregunta que surge al intentar implantar una estrategia de contratación es ¿Cuáles son
los procesos de seguridad que se deben mantener como propios de la Institución? ¿Cómo
se logra que los procesos externos se mantengan alineados a la dirección estratégica de
la Institución?
La respuesta a estas preguntas no es fácil ni tampoco es igual para todas las
Organizaciones y es que diversos factores, muy propios de cada una, deben tomarse en
consideración en esta decisión. Sin embargo, existen elementos estratégicos
fundamentales que facilitarán tomar una decisión acertada; uno de los objetivos
fundamentales al decidir la contratación de algunos de los procesos operativos es permitir
que la Unidad de Seguridad se pueda concentrar en los procesos que permiten Crear
Valor a la Institución, dejando aquellos que Sustentan la Creación de Valor a terceros. Un
ejemplo claro de procesos que permiten sustentar la creación de valor es el mantenimiento
de la infraestructura. Lo que realmente debe buscar la Unidad de Seguridad es que la
infraestructura de seguridad implantada esté operativa en un 100%, si el mantenimiento lo
lleva a cabo un contratista, u otra unidad organizacional de la organización, ello no debe
hacer ninguna diferencia, siempre y cuando los sistemas funcionen. Para ello, sin
embargo, deben implantarse mecanismos de administración y de control que aseguren
que los mantenimientos, tanto preventivos como correctivos, se lleven a cabo
oportunamente y de acuerdo a las pautas establecidas por la Unidad de Seguridad.
Casos similares podrían ser el de la capacitación del personal, y la implantación y
operación de la infraestructura de seguridad. Sin embargo, procesos tales como la
detección de oportunidades, investigación de eventos, respuesta a los incidentes,
monitoreo de la seguridad, asegurar que los sistemas de seguridad se integren,
cuantificación de los beneficios del sistema implantado y análisis de tendencias, son
algunos de los procesos que crean valor a la empresa y que es importante retener como
procesos propios de la Institución.
A continuación se muestra un Gráfico donde se puede observar que todo lo relacionado a
la infraestructura propiamente dicha está más cercano a la clasificación de procesos que
sustentan la creación de valor y que son éstos precisamente los más susceptibles de
contratarse o delegarse a otras organizaciones, siempre y cuando se establezcan los
estándares de calidad del servicio requerido, los sistemas de control y los esquemas de
evaluación necesarios.

Noviembre-2005
• Identificación de Oportunidades y
GESTION DE LA SEGURIDAD Necesidades del Negocio
• Diseño del Sistema Integral de
Planificación Creación de Valor Seguridad
APLICACION ESTRATÉGICA DE LA • Monitoreo de la Seguridad
SEGURIDAD EN LOS PROCESOS
DEL NEGOCIO • Detección de Eventos y
Respuesta a Incidentes
Prevención • Investigación de Eventos
• Asegurar integración del Sistema
CONTROL Y de Seguridad, su implantación y
mantenimiento
Protección MONITOREO
• Cuantificación de Beneficios
• Asegurar Capacitación y
Actualización
• Atención Integral a Clientes y
Asesoría
•
Sustentación de
SISTEMAS Implantación / Mantenimiento

de Soluciones
DE
•
Valor
Integración / Conectividad de
SEGURIDAD la Plataforma Tecnológica de
Seg.
• Dotación / Mantenimiento
INFRAESTRUCTURA Y • Operación de la Plataforma
TECNOLOGÍAS de Seguridad
GRÁFICO: Modelo de Gestión
En el caso particular de la administración pública, cada Organismo o Institución deberá

analizar la conveniencia o no de contratar cada uno de los distintos procesos de
seguridad; para ello, deberá considerar adicionalmente la oferta existente en el mercado y
la capacidad de los posibles contratistas para proveer el servicio requerido de acuerdo a
los estándares de calidad que se definan. En caso de decidir mantener el proceso
internamente, debe considerarse la factibilidad de capacitar al personal necesario y de
ofrecerle un posible desarrollo profesional que lo mantenga motivado.

Noviembre-2005
4. Factores Claves de Éxito

La implantación de una Arquitectura de Seguridad puede tener un impacto importante para
toda la organización y, como tal, seguramente tendrá que enfrentar múltiples resistencias y
dificultades las cuales podrán solventarse con mayor facilidad en la medida que se tomen
ciertas previsiones; estas últimas, las cuales se enumeran a continuación, serán factores
claves para el éxito en la implantación y la minimización de los riesgos de viabilidad del
proyecto:
Completación del Análisis previo: partir de un análisis de vulnerabilidad y riesgo es la
única forma de que la Arquitectura de Seguridad responda a las realidades y
requerimientos de la Organización.
Liderazgo de la Alta Dirección: el rol y liderazgo de la Alta Dirección de la Institución
es fundamental. Algunos comportamientos que ésta debe observar se mencionan a
continuación:
o Consistencia en la comunicación de los objetivos e importancia de la seguridad
o Demostrar con hechos un altísimo nivel de compromiso con los retos
estratégicos y sus implicaciones
o Demostrar con hechos la consistencia de propósito
o Brindar un apoyo irrestricto a las iniciativas correspondientes
o Llevar a cabo un seguimiento, muy de cerca, a la evolución del proyecto
Compromiso y Modelaje de la Dirección: el personal debe recibir un mensaje muy
claro de los niveles superiores de la Organización, incluyendo al personal supervisorio
básico, sobre su compromiso con los objetivos de la seguridad.
Apego a la Estrategia y su Plan: la ejecución del Proyecto debe incorporar suficiente
flexibilidad en su ejecución sin perder su rigidez con relación a los objetivos y metas.
Participación Amplia: de acuerdo a la etapa del Ciclo de Seguridad que se esté
ejecutando, debe involucrarse a todos aquellos que puedan contribuir y/o que de alguna
forma se pudieran ver afectados por las definiciones en proceso :
o La Dirección
o Personal Técnico
o Usuarios
Evaluación y Actualización periódica de la Arquitectura de Seguridad: la
realización de análisis de vulnerabilidad y auditorias debe ser una práctica permanente
que se lleve a cabo al menos al menos una vez al año. Así mismo, debe evaluarse la
seguridad cada vez que se incorporen nuevos sistemas o se hagan modificaciones en
los existentes.
Establecimiento de las Bases y Lineamientos de Seguridad necesarios para
controlar y evaluar los servicios de seguridad que se contraten a terceros, antes de
evolucionar a un Modelo de Gestión para creación de valor.

Noviembre-2005
ANEXO: GLOSARIO DE TÉRMINOS

Noviembre-2005
GLOSARIO DE TÉRMINOS.
Activo: recurso del sistema de información o relacionado con éste, necesario para que la
organización funcione correctamente y alcance los objetivos propuestos por su dirección.
Amenaza: evento que puede desencadenar un incidente en la organización, produciendo daños o

pérdidas materiales o inmateriales en sus activos.
Antivirus: son programas cuya función es detectar y eliminar virus informáticos y otros programas
maliciosos (a veces denominados malware).
Autenticación: técnica que permite confirmar la identidad de una tarjeta o sistema de

computadora.
BGP o Border Gateway Protocol: es un protocolo mediante el cual se intercambian prefijos los
ISP registrados en Internet. Actualmente la totalidad de los ISP intercambian sus tablas de rutas a
través del protocolo BGP. Este protocolo requiere un router que tenga configurado cada uno de los
vecinos que intercambiarán información de las rutas que cada uno conozca. Se trata del protocolo
más utilizado para redes con intención de configurar un EGP (external gateway protocol).
Biometría: es la técnica que estudia las características físicas de una persona, tales como huellas
dactilares, geometría de la mano, estructura del ojo o patrón de la voz.
CA Certificate Authority (Autoridad de Certificación): entidad que verifica la identidad del

usuario a través de una serie de requisitos y, como resultado, emite un certificado digital. Las
Autoridades de Certificación ofrecen diferentes clases de garantías, de acuerdo con el esfuerzo
que se realiza para verificar la identidad de un individuo.
Certificación: el proceso a través del cual una entidad de confianza confirma la autenticidad de la
identidad de un usuario.
Clave: parámetro utilizado junto con algoritmos criptográficos que determina: (i) La conversión de
información en forma de texto simple (no encriptada), en información en forma de texto cifrado
(encriptada), (ii) la conversión de la información en forma de texto cifrado en información en forma
de texto simple, (iii) una firma electrónica, o (iv) un código de autenticación de mensaje.
Clave Privada: aquella clave de un par de clave pública de la que solamente tiene conocimiento
un usuario individual.
Clave Pública: aquella clave de un par de clave pública que está al alcance el conocimiento de
todos.
COBIT (Control Objectives for Information and related Technology): es un marco de

información relacionada con tecnologías de Información, creado por ISACA (Information Systems
Audit and Control Association) y el ITGI (IT Governance Institute). Provee insumos para Gerentes,
Auditores y usuarios de IT para maximizar los beneficios derivados de un desarrollo adecuado y
apropiado estableciendo medidas y controles. COBIT Posee 34 objetivos de alto nivel que cubren

Noviembre-2005
318 objetivos de control categorizados en 4 dominios: Planeación y Organización, Adquisición e

Implementación, Entrega y Soporte y Monitoreo.
Control: Práctica, procedimiento o mecanismo que reduce el nivel de riesgo.
Criptografía: la ciencia de mantener la información segura.
Criptografía de Clave Pública: consiste en claves relacionadas matemáticamente para encriptar y

desencriptar. Ejemplo: Yo encripto un mensaje con mi clave privada y usted lo desencripta con mi
clave pública, que usted ha buscado en un servicio de directorio (directory service) o que yo le he
dado. Si usted desea enviarme un mensaje, usted lo encripta con mi clave pública y yo lo
desencripto con mi clave privada.
DES, Data Encryption Standard (Estándar de Cifrado de Datos): es el nombre del Estándar
Federal de Procesamiento de la Información (FIPS, por sus siglas en inglés), que se refiere al
algoritmo de cifrado de datos (Data Encryption Algorit DEA, por sus siglas en inglés). DES y DEA
son intercambiables. DEA tiene un bloque de entrada de 64 bit y utiliza una clave de 56 bits
durante la ejecución (8 bits son de paridad y son eliminados de la clave de 64 bits). DEA es un
sistema criptográfico simétrico. Cuando se usa para comunicaciones, tanto el emisor como el
receptor deben conocer la misma clave secreta, que puede usarse para encriptar o desencriptar el
mensaje o para generar y verificar un código de autenticación de mensaje (MAC, por sus siglas en
inglés). DEA también puede usarse para encriptación por un solo usuario, como por ejemplo, para
almacenar archivos en un disco duro en forma encriptada. En un ambiente multiusuarios la
distribución de claves seguras puede ser difícil; la criptografía de claves públicas es una solución
ideal para este problema.
DES Triple (3 DES): es el mismo algoritmo DES, con la diferencia de que la información de
entrada se encripta tres veces utilizando tres claves diferentes. En ocasiones a este modo de
encriptación se le conoce como DES-EDE. El estándar ANSI X9.52 define tres funciones para
DES-EDE: (i) Las tres claves k1, k2, y k3 son independientes, (ii) k1 y k2 son independientes pero
k1=k3, o (iii) k1=k2=k3.
DHCP: son las siglas en inglés de Protocolo de configuración dinámica de servidores (Dynamic
Host Configuration Protocol). Es un protocolo de red en el que un servidor provee los parámetros
de configuración a las computadoras conectadas a la red informática que los requieran (máscara,
puerta de enlace y otros) y también incluye un mecanismo de asignación de direcciones de IP.
DMZ (Zona Desmilitarizada): En establecimiento de una red de la computadora, DMZ es una

configuración del cortafuego para asegurar las redes de área local (LANs). En una configuración
de DMZ, la mayoría de las computadoras en el funcionamiento del LAN detrás de un cortafuego
conectaron con una red pública como el Internet. Unas o más computadoras también funcionan
fuera del cortafuego, en el DMZ. Esas computadoras en el exterior interceptan los pedidos del
tráfico y del corredor el resto del LAN, agregando una capa adicional de protección para las
computadoras detrás del cortafuego. DMZs tradicional permite que las computadoras detrás del
cortafuego inicien las peticiones de salida al DMZ. Computers en el DMZ alternadamente
responde, adelante o las peticiones de la reedición hacia fuera al Internet o a la otra red pública,
como lo hacen los servidores del poder (muchas puestas en práctica de DMZ, en hecho, utilizan

Noviembre-2005
simplemente un proxy server o los servidores como las computadoras dentro del DMZ.) El
cortafuego del LAN, aunque, evita que las computadoras en el DMZ inicien peticiones de entrada.
Encaminamiento o Enrutamiento: En comunicaciones, el encaminamiento (a veces conocido por el
anglicismo ruteo) es el mecanismo por el que en una red los paquetes de información se hacen
llegar desde su origen a su destino final, siguiendo un camino o ruta a través de la red. En una red
grande o en un conjunto de redes interconectadas el camino a seguir hasta llegar al destino final
puede suponer transitar por muchos nodos intermedios.
DSS, Digital Signature Standard (Estandard de Firma Digital): es el estándar criptográfico del
gobierno de los Estados Unidos para la autenticación de documentos electrónicos, promulgado por
el Instituto Nacional de Estándares y Tecnología (NIST) en 1994.
Ethernet: norma o estándar (IEEE 802.3) que determina la forma en que los puestos de la red
envían y reciben datos sobre un medio físico compartido que se comporta como un bus lógico,
independientemente de su configuración física. Originalmente fue diseñada para enviar datos a 10
Mbps, aunque posteriormente ha sido perfeccionada para trabajar a 100 Mbps, 1 Gbps o 10 Gbps
y se habla de versiones futuras de 40 Gbps y 100 Gbps. En sus versiones de hasta 1 Gbps utiliza
el protocolo de acceso al medio CSMA/CD (Carrier Sense Multiple Access / Collision Detect -
Acceso múltiple con detección de portadora y detección de colisiones). Actualmente Ethernet es el
estándar más utilizado en redes locales/LANs.
Firewall (Cortafuegos): La tecnología más habitual es emplear un cortafuegos, o firewall que

permite controlar el acceso de usuarios a ciertas zonas de una red. Generalmente los cortafuegos
se interponen entre el servidor de WWW (que es público y, por tanto, no está protegido) y la red
interna, que debe ser confidencial. Estos cortafuegos actúan como una pared de seguridad de la
intranet y puede hacerse de diversas maneras.
Firma electrónica (digital): es una técnica que se basa en la criptografía de clave pública para
asegurar que un mensaje no sea manipulado.
FTP: Es uno de los diversos protocolos de la red Internet, concretamente significa File Transfer
Protocol (Protocolo de Transferencia de Archivos) y es el ideal para transferir grandes bloques de
datos por la red.
Gateway o Pasarela: es un dispositivo, con frecuencia un ordenador, que realiza la conversión de

protocolos entre diferentes tipos de redes o aplicaciones. Por ejemplo, un gateway de correo
electrónico, o de mensajes, convierte mensajes entre dos diferentes protocolos de mensajes. La
traducción de las unidades de información reduce mucho la velocidad de transmisión a través de
estos equipos. En realidad es una puerta de acceso, teniendo lugar una conversión completa de
protocolos hasta la capa de aplicación del modelo de referencia OSI.
Host: hace referencia a cualquier máquina conectada a una red de ordenadores.
ICMP: son las siglas en inglés de Protocolo de Mensajes de Control y Error de Internet, (Internet
Control Messages Protocol), es de características similares a UDP, pero con un formato mucho
más simple, y su utilidad no está en el transporte de datos de usuario, sino en controlar si un
paquete no puede alcanzar su destino, si su vida ha expirado, si el encabezamiento lleva un valor
no permitido, si es un paquete de eco o respuesta, etc. Es decir, se usa para manejar mensajes de

Noviembre-2005
error y de control necesarios para los sistemas de la red, informando con ellos a la fuente original
para que evite o corrija el problema detectado. ICMP proporciona así una comunicación entre el
software IP de una máquina y el mismo software en otra. El protocolo ICMP solamente informa de
incidencias en la entrega de paquetes o de errores en la red en general, pero no toma decisión
alguna al respecto. Esto es tarea de las capas superiores.
IEEE 802.3: es el nombre de un comité de estandarización del IEEE y por extensión se denominan
así los estándares por producidos por él.
La primera versión fue un intento de estandarizar ethernet aunque hubo un campo de la cabecera
que se definió de forma diferente. Posteriormente ha habido ampliaciones sucesivas al estándar
que cubrieron las ampliaciones de velocidad (Fast Ethernet, Gigabit Ethernet y el de 10 Gigabits),
redes virtuales, hubs, conmutadores y distintos tipos de medios, tanto de fibra óptica como de
cables de cobre (tanto par trenzado como coaxial).
IEEE 802.11: el protocolo IEEE 802.11 o WI-FI es un estándar de protocolo de comunicaciones de

la IEEE que define el uso de los dos niveles más bajos de la arquitectura OSI (capas física y de
enlace de datos), especificando sus normas de funcionamiento en una WLAN.
IGRP: Internal Gateway Routing Protocol. Protocolo de enrutamiento desarrollado por Cisco
Sytems para ofrecer a sus clientes una alternativa de mayor escalabilidad que RIP. Direcciona los
beneficios asociados con el enrutamiento en redes extensas y heterogéneas.
Internet: Término utilizado para hacer referencia a la red de mayores dimensiones del mundo,
conectando miles de redes en todo el mundo. El Internet surgió del ARPANET.
Impacto: consecuencia sobre un activo de la materialización de una amenaza.
Integridad: la habilidad de determinar que la información recibida es la misma que la información

enviada.
Internet: es una red de redes a escala mundial de millones de computadoras interconectadas con
el conjunto de protocolos TCP/IP. También se usa este nombre como sustantivo común y por tanto
en minúsculas para designar a cualquier red de redes que use las mismas tecnologías que la
Internet, independientemente de su extensión o de que sea pública o privada.
IPsec Internet Protocol Security: es una extensión al protocolo IP que añade cifrado fuerte para
permitir servicios de autenticación y cifrado y, de esta manera, asegurar las comunicaciones a
través de dicho protocolo. Inicialmente fue desarrollado para usarse con el nuevo estándar IPv6,
aunque posteriormente se adaptó a IPv4.
IPv4: es la versión 4 del Protocolo IP (Internet Protocol). Esta fue la primera versión del protocolo
que se implemento extensamente, y forma la base de Internet. Usa direcciones de 32 bits,
limitándola a 4.294.967.296 direcciones únicas, muchas de las cuales están dedicadas a redes
locales (LANs). Esta limitación ayudó a estimular el impulso hacia IPv6, que esta actualmente en
las primeras fases de implementación, y se espera que eventualmente remplace a IPv4.

Noviembre-2005
IPv6: es la versión 6 del Protocolo de Internet (Internet Protocol), un estándar del nivel de red
encargado de dirigir y encaminar los paquetes a través de una red.
ISO (International Standards Organization): el estándar ISO 7816 define las características
físicas y eléctricas, así como el protocolo de las tarjetas inteligentes.
ITIL (Information Technology Infrastructure Library): es un marco configurable de mejores

prácticas para promover calidad en servicios de computación específicamente en el sector de TI
(Tecnologías de información).
LAN (Local Area Network): red de datos de alta velocidad y baja tasa de errores cubre un área
geográfica relativamente pequeña. Interconecta estaciones de trabajo, equipo periférico,
terminales y otros dispositivos en un mismo edificio u otra área geográficamente limitada.
Nat Estático: en el que una dirección IP privada se mapea a una dirección IP pública, y donde esa
dirección pública es siempre la misma. Esto le permite a un host interno, como un servidor Web, el
tener una dirección IP no registrada (privada) pero aún así ser visible en Internet. Compárese con
el NAT dinámico.
No repudio: es la condición en la que quien envía el mensaje no puede negar la validez del
resultado del proceso que se utilizó para autenticar la información.
OSI (Open Systems Interconection): es la propuesta que hizo la Organización Internacional para
la Estandarización (ISO) para estandarizar la interconexión de sistemas abiertos. Un sistema
abierto se refiere a que es independiente de una arquitectura específica. Se compone el modelo,
por tanto, de un conjunto de estándares ISO relativos a las comunicaciones de datos.
El modelo en sí mismo no puede ser considerado una arquitectura, ya que no especifica el
protocolo que debe ser usado en cada capa, sino que suele hablarse de modelo de referencia.
Este modelo está dividido en siete capas: física, enlace de datos, red, sesión, transporte,
presentación y aplicación.
OSPF (Open Shortest Path First): es un protocolo de encaminamiento jerárquico de pasarela

interior o IGP (Interior Gateway Protocol), que usa el algoritmo Dijkstra enlace-estado (LSA - Link
State Algorithm) para calcular la ruta más corta posible. Usa cost como su medida de métrica.
Además, construye una base de datos enlace-estado idéntica en todos los enrutadores de la zona.
PK Certificate (Certificado de Clave Pública): un documento firmado electrónicamente por una

Autoridad de Certificación, basándose en una verificación de identidad hecha por una Autoridad de
Registro. El documento contiene la clave pública de su propietario, datos del propietario que
permitan identificarlo, y tiene un período limitado de validez.
PKI Public Key Infrastructure (Infraestructura de Clave Pública): conjunto integrado de

tecnologías que se necesitan para ofrecer servicios de encriptación de claves públicas y de firma
electrónica.
Protocolo de Internet (IP, de sus siglas en inglés Internet Protocol): Es un protocolo no

orientado a conexión usado tanto por el origen como por el destino para la comunicación de datos
a través de una red de paquetes conmutados.

Noviembre-2005
Protocolo de red o protocolo de comunicación: es el conjunto de reglas que controlan la

secuencia de mensajes que ocurren durante una comunicación entre entidades que forman una
red. En este contexto, las entidades de las cuales se habla son programas de computadora o
automatismos de otro tipo, tales y como dispositivos electrónicos capaces de interactuar en una
red.
Prioritización: son las reglas usadas para ordenar los tareas u órdenes en una cola que puede ser
FIFO, LIFO, cociente crítico, valor, cliente, combinación con tareas similares, etc.
Proxy (en inglés «apoderado» o «delegado»): hace referencia a un programa o dispositivo que
realiza una acción en representación de otro. La finalidad más habitual de esa representación es la
de permitir el acceso a Internet a todos los equipos de una organización cuando sólo se puede
disponer de un único equipo conectado, esto es, una única dirección IP.
QoS (Quality of Service): Son las siglas que denotan el concepto de Calidad de Servicio que
identifican las prestaciones de una red en cuanto a velocidad de transmisión, rendimiento, etc.
Riesgo: Posibilidad de que una amenaza se materialice.
RIP: son las siglas de Routing Information Protocol (Protocolo de información de encaminamiento).
Es un protocolo de pasarela interior o IGP (Internet Gateway Protocol) utilizado por los routers
(enrutadores), aunque también pueden actuar en equipos, para intercambiar información acerca de
redes IP. En la actualidad existen tres versiones diferentes de RIP.
RIPv1: No soporta subredes ni CIDR. Tampoco incluye ningún mecanismo de autentificación de

los mensajes. No se usa actualmente. Su especificación está recogida en el RFC 1058.
RIPv2: Soporta subredes, CIDR y VLSM. Soporta autenticación utilizando uno de los siguientes
mecanismos: no autentificación, autentificación mediante contraseña, autentificación mediante
contraseña codificada mediante MD5
Riesgo: es la probabilidad de que una amenaza explote una vulnerabilidad.
Router (enrutador): Dispositivo de red que sirve para la transmisión de datos en Internet. El
emisor y el receptor deben utilizar el mismo protocolo.
RSA: Uno de los algoritmos más antiguos de clave pública desarrollado por Rivest, Shamir y
Adelman. Es un estándar ISO.
Sistema Operativo: Software diseñado para controlar el hardware de un sistema especifico de

procesamiento de datos con el objetivo de que los usuarios y los programas de aplicación puedan
usar con facilidad dicho hardware.
Smart Cards: Similar a una tarjeta de crédito, contiene un microprocesador dentro de la tarjeta
que contiene la información del titular de la tarjeta.
SSH (Secure Shell): es el nombre de un protocolo y del programa que lo implementa. Este
protocolo sirve para acceder a máquinas a través de una red, de forma similar a como se hacía

Noviembre-2005
con telnet. La diferencia principal es que SSH usa técnicas de cifrado para que ningún atacante
pueda descubrir el usuario y contraseña de la conexión ni lo que se escribe durante toda la sesión;
aunque es posible atacar este tipo de sistemas por medio de ataques de REPLAY y manipular así
la información entre destinos.
SSL (Secure Socket Layer): es un protocolo de datagrama, como IP o UDP, entrega datos en
paquetes el mismo tamaño que los que fueron enviadas.
Switch: Dispositivo de Red que filtra y envía las tramas basado en la dirección destino de cada
trama. Opera en la capa 2 del modelo OSI.
TCP/IP Transport Control Protocol/ Internet Protocol: son los dos protocolos de Internet más
conocidos que erróneamente suelen confundirse con uno solo. TCP, corresponde a la capa 4
(capa de transporte) del modelo OSI y ofrece transmisión confiable de datos, IP corresponde a la
capa 3 (capa de red) del modelo OSI y ofrece servicios de datagramas sin conexión. Comúnmente
TCP/IP se utiliza para hacer referencia a la suite de protocolos de Internet.
Token: palabra utilizada en la industria de la seguridad para referirse a un hardware o a objetos

físicos que se utilizan para proteger la información o la identidad. A diferencia de las soluciones de
seguridad basadas en software, las tarjetas inteligentes se consideran como un “token tipo
hardware”.
VLAN: Virtual LAN. Grupo de dispositivos en una o más LANs que son configurados (utilizando
software de administración) de tal manera que se pueden comunicar como si ellos estuvieran
conectados al mismo cable, cuando en realidad están localizados en un segmento diferente de
LAN. Esto es porque VLANs están basadas en las conexiones lógicas en lugar de las físicas y es
por eso que son extremadamente flexibles.
VoIP, Voice Over IP (Voz sobre IP): tecnología que permite la transmisión de la voz a través de
redes IP, Internet normalmente. La Telefonía IP es una aplicación inmediata de esta tecnología.
VPN, Virtual Private Network, que en castellano significa Red Privada Virtual (RPV), es una
tecnología de red que permite una extensión de la red local sobre una red pública o no controlada,
como por ejemplo Internet.
Vulnerabilidad: Susceptibilidad de una unidad de obtener un resultado negativo derivado de un

choque externo.
WAN: Wide Area Network: una red de comunicaciones utilizada para conectar ordenadores y otros
dispositivos a gran escala. Las conexiones pueden ser privadas o públicas.
WAP, Wireless Application Protocol: es un protocolo gratuito y abierto, sin licencia, para
comunicaciones inalámbricas que hace posible crear servicios avanzados de telecomunicación y
acceder a páginas de Internet desde dispositivos WAP. Ha tenido gran aceptación por parte de la
industria.
Wi-Fi, Wireless Fidelity: es un conjunto de estándares para redes inalámbricas basado en las
especificaciones IEEE 802.11. Wi-Fi se creó para ser utilizada en redes locales inalámbricas, pero
es frecuente que en la actualidad también se utilice para acceder a Internet.

Noviembre-2005
Wi-Fi es una marca de la Wi-Fi Alliance (anteriormente la Wireless Ethernet Compatibility Alliance),
la organización comercial que prueba y certifica que los equipos cumplen los estándares IEEE
802.11x.
WLAN, Wireless LAN: versión inalámbrica del LAN. Provee el acceso al LAN incluso cuando el
usuario no está en la oficina.
RTCP, Real-Time Control Protocol: el protocolo de control para RTP, RTCP es usado para
controlar y diagnosticar sesiones sobre RTP. Como RTP, RTCP típicamente corre sobre UDP y es
definido por el IETF RFC1889.
RTP (Real-Time Protocol): es un protocolo de transporte designado para proveer servicios de

entrega fin a fin para data sin características sin tiempo real. RTP típicamente corre sobre el
protocolo UDP. Definido en el IETF RFC1889.
Simple Network Management Protocol (SNMP): O protocolo simple de gestión de redes, es

aquel que permite la gestión remota de dispositivos de red, tales como switches, routers y
servidores.
Stateful Inspection: Conocido como filtrado dinámico de paquetes. Es una arquitectura de

cortafuegos que trabaja en la capa de red. Filtra paquetes estáticos, examina paquetes basados
en la información de cabecera del paquete, examina las conexiones atravesando todas las
interfaces del contrafuegos y se asegura que sean válidas.
SSL, Secure Socket Layer: Es un protocolo designado por Netscape Communications para
habilitar la encriptación y autenticación a través de Internet.
TLS, Transport Layer Security: En castellano Capa de Transporte Segura: es una versión
estandarizada por el IETF del protocolo SSL que pretende abarcar toda la capa de transporte de la
pila OSI.
WTLS, Wireless Transport Layer Security protocol: Es un protocolo que se encarga de toda la
criptografía orientada a WAP. Maneja encriptación/desencriptación usando autenticación e
integridad de datos. Esta basado en el Protocolo de Seguridad de la Capa de Transporte (TLS),
anteriormente conocido como Secure Sockets Layer (SSL).
WTP, Wireless Transaction Protocol (WTP): Es el protocolo de transacciones de WAP, que

trabaja entre las sesiones del protocolo WSP y el protocolo de seguridad WTLS. WTP divide la
data en paquetes de datagramas en las capas menores y los concatena al recibirlos para que la
data sea utilizada. WTP mantiene las trazas de paquetes enviados y recibidos y hace
retransmisión y acuse de recibo cuando es necesario.

Noviembre-2005

Guía Seguridad en Venezuela

Cargado por

Información del documento

Descripción original:

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Guía Seguridad en Venezuela

Cargado por

Copyright:

Formatos disponibles

Guía para el Diseño e Implantación de

Arquitecturas Tecnológicas de Seguridad

Arquitectura Tecnológica de Seguridad

Noviembre 11, 2005

1.2. Estándares relacionados a la Arquitectura Tecnológica de Seguridad 13

1.3. Descripción de las Soluciones de Seguridad 19

2. MODELO Y APLICACIÓN DE LA ARQUITECTURA DE SEGURIDAD 34

2.3. Matriz de Soluciones para la Implantación de la Arquitectura 47

Pág. 1 de 200 Documento Confidencial Elaborado por:

2.4.7. . Matriz de soluciones para sistemas de administración del personal 152

3.5. Modelo de Gestión de la Seguridad 198

4. FACTORES CLAVES DE ÉXITO 200

ANEXO: GLOSARIO DE TERMINOS 2001

Pág. 2 de 200 Documento Confidencial Elaborado por:

Pág. 3 de 200 Documento Confidencial Elaborado por:

Pág. 4 de 200 Documento Confidencial Elaborado por:

Pág. 5 de 200 Documento Confidencial Elaborado por:

DIAGRAMA: ARQUITECTURA DE SEGURIDAD

Pág. 6 de 200 Documento Confidencial Elaborado por:

Suscerte, asumiendo un rol rector en el área de seguridad informática para el sector de la

Pág. 7 de 200 Documento Confidencial Elaborado por:

1.1 Tipos de Ataque y Riesgos de Vulnerabilidad

1.1.1. Peligros y Modos de Ataque:

Pág. 8 de 200 Documento Confidencial Elaborado por:

Pág. 9 de 200 Documento Confidencial Elaborado por:

Pág. 10 de 200 Documento Confidencial Elaborado por:

1.1.2. Vulnerabilidades más comunes que pueden comprometer la seguridad

Pág. 11 de 200 Documento Confidencial Elaborado por:

monitoreada y, en muchas ocasiones, ni siquiera se activan las de auditorias de

1.1.3. Habilidad del Atacante:

Prevención de uso Abusivo

Prevención de intervención y manipulación

Pág. 12 de 200 Documento Confidencial Elaborado por:

1.2. Estándares relacionados a la Arquitectura Tecnológica de

Pág. 13 de 200 Documento Confidencial Elaborado por:

1.2.1. Modelo Open System Interconnect (OSI):

1.2.2. Transmission Control Protocol (TCP/IP):

Pág. 14 de 200 Documento Confidencial Elaborado por:

Pág. 15 de 200 Documento Confidencial Elaborado por:

Los elementos de control de la seguridad contemplados en el Modelo OSI de Seguridad

La función de la seguridad de la información es proteger adecuadamente este activo para

Esta no es una norma tecnológica; ha sido redactada de forma flexible e independiente de

Pág. 16 de 200 Documento Confidencial Elaborado por:

• Seguridad de los Recursos Humanos.

ITIL (Information Technology Infrastructure Library): fue desarrollado por el Gobierno

Conceptos tales como el Manejo de Incidentes, Gerencia del Cambio y Manejo de

Pág. 17 de 200 Documento Confidencial Elaborado por:

Los Objetivos de Control para la Información y las Tecnologías Relacionadas (COBIT),

Pág. 18 de 200 Documento Confidencial Elaborado por:

1.3. Descripción de las Soluciones, Tecnológicas o Administrativas,

Pág. 19 de 200 Documento Confidencial Elaborado por:

Pág. 20 de 200 Documento Confidencial Elaborado por:

Pág. 21 de 200 Documento Confidencial Elaborado por:

• Stateful Inspection (IPS): conocido como filtrado dinámico de paquetes. Es una

Pág. 22 de 200 Documento Confidencial Elaborado por:

Rol del Firewall IDS IPS

Alarma Real Firmas en el Tráfico

Pág. 23 de 200 Documento Confidencial Elaborado por:

Pág. 24 de 200 Documento Confidencial Elaborado por:

convierte en el llamado texto cifrado o criptograma. Análogamente, se llama descifrado a la

Pág. 25 de 200 Documento Confidencial Elaborado por:

• Certificados digitales (X509) para personas, máquinas, procesos.

Pág. 26 de 200 Documento Confidencial Elaborado por: