Unidad N°4

Comprensión del Hardware de red

(capítulo 11 – Pag. 143)
 Seguridad en las Redes
La seguridad de la red es una de las tareas más importantes con la que
tiene que lidiar un administrador. Una buena seguridad en la red ayuda a
evitar lo siguiente:
● Que secretos empresariales, como diseños y procesos propietarios, caigan
en malas manos (tanto internas como externas).
● Que la información personal acerca de sus empleados llegue a extraños.
● Que se pierda información importante y software.
● Que se inutilice la red en sí o cualquier parte de ella.
● Que se corrompa o modifique de forma inadecuada información importante.
 Dispositivos Importantes de
Seguridad de Redes

● Firewall: sistema que promueve la política de seguridad entre dos

redes, como una LAN e Internet.
● Servidor Proxy: Es un intermediario para los usuarios de la red.
● Filtro de Paquetes: Generalmente construido en un ruteador o un
firewall, un filtro de paquetes le permite fijarse un criterio para aceptar
o no paquetes, direcciones IP de origen y destino, y puertos IP.
 Comprender la Seguridad Interna
La seguridad interna es el proceso de asegurar su red contra amenazas
internas, las cuales son, en general, mucho más comunes que las
externas.

● Acceden de forma inadecuada a información que no deberían tener

acceso.

● Entrar a archivos de otros usuarios a los que no debieran tener acceso

Usuarios
● Se hace pasar por otros usuarios y provocan daños
Internos
● Se introducen a sistemas a fin de llevar a cabo actividades indevidas

● Comprometen la seguridad de la red al introducir virus accidental o

deliberadamente a la red

● “Husmean” paquetes en la red a fin de descubrir cuentas de usuarios y

contraseñas
 Seguridad de las cuentas
La seguridad de las cuentas se refiere al proceso de administrar las
cuentas de usuario habilitadas en la red.
sugerencias para establecer las políticas de las contraseñas:
● Solicitar a los usuarios el cambio de contraseña a la red cada 90 o 180
días.
● Política de reutilización a fin de que las contraseñas no puedan
reutilizarse al menos en un año.
● Establecer contraseñas que tengan al menos 8 caracteres.
● Poner en marcha políticas de supervisión (detectores de intrusos), que
después de varios intentos se bloquee el usuario.
 Permiso de archivo y directorio
El segundo tipo de seguridad interna que usted necesita para conservar la
información de su red implica el acceso del usuario a archivos y
directorios.
Para controlar los accesos se pueden establecer roles, por ej:

● Crear solamente: Este tipo de rol permite a los usuarios agregar un

archivo nuevo a un directorio, sin embargo, los restringe de ver, editar
o eliminar los archivos existentes, incluyendo cualquiera que ellos
hayan creado.
 Permiso de archivo y directorio
● Solo Lectura: Este rol permite que los usuarios vean los archivos de
un directorio y los jalen a fin de que los puedan ver en su
computadora. Sin embargo, los usuarios no pueden editar o cambiar
los archivos almacenados de ninguna forma.
● Modificar: Este rol permite a los usuarios hacer lo que deseen con los
archivos de un directorio, excepto que no pueden proporcionar a otros
usuarios el acceso a éste.
● Control Total: Este rol, generalmente reservado para el “propietario”
de un directorio, permite que el (los) propietario(s) haga lo que quiera
con los archivos de un directorio y, además, le permite otorgar a otros
usuario el acceso a él.
 Comprender las amenazas
Externas
La seguridad externa es el proceso de asegurar la red contra amenazas
externas. Antes de Internet, este proceso no era difícil.
Existen tres tipos básicos de amenazas contra la seguridad externa:
1) Amenaza por la puerta del frente
2) Amenaza por la puerta de atrás
3) Negación de Servicio
 1) Amenaza por la puerta del
frente
Las amenazas por la puerta de enfrente, en las que alguna persona fuera
de la compañía puede acceder a una cuenta de usuario.

Pueden tomar muchas formas:

● El empleado descontento o que fue despedido de la empresa y que
alguna vez tuvo acceso a la red.
● Alguien que trata de investigar o adivinar la contraseña de una cuenta
válida en la red, o que, de alguna forma, obtiene una contraseña
válida del propietario de ésta.

● El personal dentro de la compañía, ya sea actual o exempleado, es potencialmente el

más peligrosos de todos por que tiene ventajas que el intruso externo no tiene.
 2) Amenaza por la puerta de
atrás
Las amenazas por la puerta de atrás a menudo se refieren a problemas
con el NOS en sí o a algún otro punto de la infraestructura de la red,
como los ruteadores.
 3) Amenaza de negación de
servicio
Los ataques de negación del servicio (DoS) son aquellos que niegan el
servicio de un recurso de la red a usuarios legítimos. A menudo, están
enfocados a los servidores de correo electrónico y servidores de web, sin
embargo, pueden afectar a la red entera.
 Virus y Otro software malicioso
Existen muchos tipos de software diferentes, incluyendo los siguientes:

● Virus
● Gusanos
● Caballos de Troya
● Bombas Lógicas
 Virus y Otro software malicioso
Virus:
Es un programa que se disemina infectando a otros archivos con una
copia de ellos mismos. Entre los archivos que pueden infectarse por virus
están los de programa (COM, EXE y DLL) y de documentos de
aplicaciones que soportan macrolenguajes tan complicados para permitir
el comportamiento del virus.
(Word y Excel de Microsoft son objetivos muy comunes de los virus
basados en macros). A veces aun los archivos de datos como los de
imagen JPG pueden ser infectados por sofisticados virus.
 Virus y Otro software malicioso
Gusanos:
Es un programa que se propaga enviando copias de sí mismo a otras
computadoras, que corren el gusano, que a su vez envían copias a otras
computadoras.

se han difundido a través de sistemas de correo electrónico junto con un

mensaje que invita al receptor a abrir los archivos adjuntos que contienen
el gusano, el cual envía copias de sí mismo a otra gente definida en el
libro de direcciones del correo electrónico del usuario, sin que éste sepa
que esto está sucediendo.
Lo mismo ocurre con la gente que recibe los correos.
 Virus y Otro software malicioso
Caballos de Troya:
Es un programa que tiene como objetivo hacer algo interesante o útil y
que después lleva a cabo acciones maliciosas tras bambalinas mientras
que el usuario está interactuando con el programa principal.

Bombas Lógicas:
son porciones maliciosas de código de programación insertadas en un
programa normal. Pueden programarse para ejecutarse en cierto tiempo,
borrando los archivos clave o llevando a cabo otras acciones.
 Virus y Otro software malicioso
En la actualidad existen más de 70 000 virus conocidos y diariamente se
descubren más.

Para proteger una red de los ataques de virus, usted necesita implantar
algún tipo de software antivirus, que corre en computadoras de la red y
“busca” virus conocidos o alguna actividad parecida a la de éstos.
Fundamentos de la
seguridad de la información
 Conceptos Fundamentales
● Principios de la seguridad
− Confidencialidad
− Integridad
− Disponibilidad
● Estrategias de ataque
− Ingeniería Social
− Ingeniería de Datos
− Ataques a contraseñas
● Políticas de Seguridad de la Información
● Buenas Prácticas
− Escritorios y pantallas Limpios
 Principios de la Seguridad
La información es un activo importante con el que cuentan las
organizaciones para satisfacer sus objetivos y es crítica para su
desempeño y subsistencia.
 Principios de la Seguridad
● Amenaza: implica una violación potencial a la seguridad. Luego la
amenaza puede o no materializarse, explotando una vulnerabilidad.
● Vulnerabilidad: es una debilidad en un control, o la inexistencia de
este.
● Riesgo: resulta de la combinación de la probabilidad de que una
amenaza explote una vulnerabilidad y del impacto resultante en la
organización.
● Incidente: Ocurre en el preciso momento en que una amenaza
explota una vulnerabilidad existente.
Un incidente puede afectar a recursos físicos, recursos lógicos y
servicios.
 Principios de la Seguridad
● Confidencialidad: La propiedad por la cual se garantiza el acceso a
la información sólo a aquellas personas autorizadas para evitar su
divulgación inapropiada.
● Integridad: La propiedad por la cual se garantiza la protección contra
modificaciones no autorizadas para evitar su alteración de la
información.
● Disponibilidad: Proteger la información también significa garantizar
que se encuentre disponible en tiempo y forma para aquellas
personas autorizadas, de manera que puedan acceder al sistema,
actualizar o modificar trabajos existentes, etc..
Principios de la Seguridad
 Principios de la Seguridad

Por Impericias: Eventos accidentales pueden deberse a explosiones, incendios, cortes de

energía u otros suministros, rotura de tuberías, desastres nucleares, choques de
vehículos.
 Estrategias de Ataque
● Ingeniería Social: Se trata de un conjunto de técnicas de engaño que
se aplican sobre las personas para obtener de ellas información de
interés para el atacante, o para lograr que efectúen alguna acción
deseada por este.
● Ingeniería de Datos: Recolectan datos publicados por los usuarios en
Internet. En especial, quienes realizan estas acciones indagan varias
fuentes: perfiles en redes sociales, fotologs, blogs, participación en
foros o grupos. De esta forma se obtiene información personal que
luego puede ser utilizada para configurar pruebas metódicas y obtener
el acceso a sistemas de información.
 Estrategias de Ataque
● Ataques a Contraseñas: Para lograr el acceso a un sistema se
pueden utilizar además diversas herramientas que realizan intentos
para descubrir cómo acceder a un sistema de manera automática.
− Ataques por Diccionario: Prueba metódica de contraseñas para
lograr el acceso a un sistema en el que se prueban una a una
todas las palabras de un diccionario.
El diccionario puede inclusive estar confeccionado especialmente
de acuerdo al tipo de usuarios (profesionales, informáticos, etnias,
zonas geográficas, etc.)
− Ataques por Fuerza Bruta: programas que generan todas las
combinaciones posibles de letras, números y símbolos y forman
así contraseñas.
 Políticas de Seguridad
● Las Políticas de Seguridad de la Información determinan qué
conductas en relación con los sistemas de información son permitidas
y cuáles no.
● La PSI es un documento que puede estar inserto en un manual de
seguridad. En el que el máximo nivel de la organización expone su
intención de proteger la información del organismo que administra y
de brindar las garantías de seguridad. Se trata de un conjunto de
directrices generales sobre las cuales deben asentarse todas las
definiciones y acciones de seguridad.
 Escritorios y Pantallas Limpias
● puede considerarse información crítica o sensible alguno de los
siguientes ejemplos:
− datos de empleados
− contratos
− números de cuenta
− informes confidenciales
− información con propiedad intelectual
− nombres de usuarios y contraseñas

El concepto de “pantallas limpias” apunta a no exponer en el

monitor información que pueda ser utilizada por personas no
autorizadas.
 Uso de Contraseñas
● Control de acceso lógico a los sistemas de información
− Clave de Acceso
● Características de una contraseña Segura
− Fortaleza de la clave de acceso
● Recomendaciones para la selección de contraseñas
● Recomendaciones para el uso de las contraseñas
 Control de Acceso Lógico a los
Sistemas de Información

Para asegurar el acceso a la información, se deben realizar tres pasos

fundamentales:
 Control de Acceso Lógico a los
Sistemas de Información
● Clave de Acceso: Una clave de acceso o contraseña es un conjunto
de caracteres utilizado por un sistema para completar el proceso de
identificación y autenticación de un usuario que solicita acceder a un
recurso, es decir, para asegurarse de que el usuario es quien dice ser.

Riesgos:
− Suplantación de Identidad (Cuando se usa la misma clave para
muchos servicios este riesgo crece).
− Robo de Información (si el mecanismo es vulnerado por un
descuido en la manipulación de sus elementos)
− Intrucciones (Es el acceso ilegítimo y está penado en nuestro
Código Penal)
 Características de una contraseña
segura
● Personal:
● Secreta:
● Intransferible
● Modificable solo por el Titular
● Difícil de Averiguar
Fortaleza de la Clave de Acceso
Fortaleza de la Clave de Acceso
 Recomendaciones para la elección
de contraseñas
● No utilice palabras comunes ni nombres de fácil deducción por
terceros (Ej: nombre de mascota).
● No la vincule a una característica personal, (Ej: teléfono, D.N.I.,
patente del automóvil, etc.).
● No utilice terminología técnica conocida (Ej: admin).
● Combine caracteres alfabéticos, letras mayúsculas y minúsculas,
números, caracteres especiales.
● Utilice al menos 8 caracteres.
● Use un acrónimo de algo fácil de recordar (Ej: NorCarTren -Norma,
Carlos, Tren).
● Añada un número al acrónimo para mayor seguridad (Ej:
NorCarTren09 -Norma, Carlos, Tren, Edad del hijo).
 Recomendaciones para la elección
de contraseñas
● Sustituya ciertas letras por ciertos números o símbolos (*, #, @, etc.),
aplíquelo a una frase de su canción favorita o a una frase que
conozca, y use algunas mayúsculas. (Ej: Verano del 42:
VerDel4&d0s). Mejor aún, elija una frase no conocida por otros (Ej.:
3duard0palmit0).
● Elija una palabra sin sentido, aunque pronunciable (Ej: galpo-glio).
● Elija una clave que no pueda olvidar, para evitar escribirla en alguna
parte (Ej: arGentina6-0).
● Utilice las primeras letras de un dicho o frase célebre. Por ejemplo:
“NpmmsamT” (No por mucho madrugar se amanece más temprano).
Preferentemente incluya además signos de puntuación:
“Npmm,samT.”
 Recomendaciones para el Uso de
Contraseñas
● Cuide que no lo vean cuando escribe su clave y no observe a otros
mientras lo hacen.
● No comparta su clave con otros, ni pida la clave de otros.
● No escriba la clave en un papel ni la guarde en un archivo sin cifrar.
● Si por algún motivo tuvo que escribir la clave, no la deje al alcance de
terceros (debajo del teclado, en un cajón del escritorio) y NUNCA
pegada al monitor. No dude en cambiar sus contraseñas si sospecha
que alguien puede conocerlas.
● No utilice ni permita que le asignen una cuenta sin contraseña.
 Recomendaciones para el Uso de
Contraseñas
● No habilite la opción de “recordar claves” en los programas que utilice.
● NUNCA envíe su clave por correo electrónico ni la mencione en una
conversación, ni se la entregue a nadie, aunque sea o diga ser el
administrador del sistema.
● No mantenga una contraseña indefinidamente. Cámbiela
regularmente, aunque las políticas de administración de claves no lo
obliguen.
● Hágale saber al administrador de la red cualquier incidente que tenga
con su cuenta.
● Si se le ha otorgado una contraseña para el primer acceso a un
sistema, proceda a cambiarla en forma inmediata, aún cuando el
mismo sistema no se lo requiera.
 Recomendaciones para el Uso de
Contraseñas
● Evite acceder a su correo o realizar operaciones monetarias desde
sitios públicos como cibercafés.
● Si debe hacerlo indefectiblemente, considere que su clave puede
haber sido espiada o comprometida, por lo que se recomienda que
proceda a cambiarla ni bien le sea posible.
● No utilice la misma contraseña para múltiples servicios.
 Otros Controles
● Los controles de accesos fallidos, por ejemplo, están destinados a
permitir una cantidad fija de intentos en los que se puede errar la
clave, para luego bloquear el acceso.
● Los “captchas” son un mecanismo para evitar las pruebas
automatizadas
 Phishing: Solicitud de dados
confidenciales
● Estrategias de ataque.
− Identificación de técnicas de engaño.
● Recomendaciones para evitar ser víctima de Phishing.
 Phishing: Solicitud de dados
confidenciales
● “Phishing” es una forma de engaño mediante la cual los atacantes
envían un mensaje (anzuelo) a una o varias personas, intentando
convencerlas para que revelen sus datos personales.
 Recomendaciones para no ser
víctima de “phishing”
● Si recibe un correo electrónico que le pide información personal o
financiera, no responda.
● Si el mensaje del correo electrónico lo invita a acceder a un sitio Web
a través de un enlace incluido en su contenido, no lo haga.
● Utilice medios confiables
● No envíe información personal usando mensajes de correo
electrónico.
● No acceda a sitios de entidades financieras o de comercios desde
lugares públicos.
● Verifique los indicadores de seguridad del sitio Web en el cual
ingresará información personal.
 Recomendaciones para no ser
víctima de “phishing”
● Mantenga actualizado todo el software de su PC.
● Revise sus resúmenes bancarios y de tarjeta de crédito tan pronto los
reciba.
● No descargue ni abra archivos de fuentes no confiables.
● Recuerde - No conteste ningún mensaje que resulte sospechoso.
Fin...