DTPI12 MartinezHolzen Merida

20 11 Seguridad en Redes: Reduccin de Riesgos y Amenazas
Proyecto Integrador Documentacin Tcnica
Documento realizado por el alumno Holzen Atocha Martnez Garca, Licenciado en Ciencias Computacionales, estudiante de Maestra en Tecnologas de la Informacin en Unid Sede Mrida Vista Alegre.
00109692@red.unid.mx
Maestra en Tecnologas de la Informacin Universidad Interamericana para el Desarrollo 24/11/2011
Seguridad en Redes: Reduccin de Riesgos y Amenazas Tabla de contenido
2011
Ttulo ............................................................................................................................................ 5 Objetivo ....................................................................................................................................... 6 Destinatarios................................................................................................................................ 7 Forma de entrega ........................................................................................................................ 8 Justificacin ................................................................................................................................. 9 Introduccin .............................................................................................................................. 10 Captulo 1. Marco Terico ................................................................................................... 11 1.1 1.2 1.3 1.4 1.5 Qu es la Seguridad?............................................................................................................ 11 Confidencialidad .................................................................................................................... 11 Integridad ............................................................................................................................... 11 Disponibilidad........................................................................................................................ 11 Autenticidad ........................................................................................................................... 11 Categora 1: algo que el usuario sabe.......................................................................... 12 Categora 2: algo que el usuario lleva consigo........................................................... 12 Categora 3: propiedad fsica o acto involuntario. .................................................... 12 Hardware ........................................................................................................................ 12 Software .......................................................................................................................... 12 Datos............................................................................................................................... 13 Elementos fungibles ..................................................................................................... 13 Interrupcin. Ataque contra la Disponibilidad. ........................................................ 13 Interceptacin. Ataque contra la Confidencialidad .................................................. 14 Fabricacin. Ataque contra la Autenticidad. ............................................................. 14 Modificacin. Ataque contra la Integridad ................................................................ 15 Factores humanos ......................................................................................................... 16 Factores no humanos ................................................................................................... 18
1.5.1 1.5.2 1.5.3 1.6 1.6.1 1.6.2 1.6.3 1.6.4 1.7 1.7.1 1.7.2 1.7.3 1.7.4 1.8 1.8.1 1.8.2 2.1 2.2
Qu queremos proteger? .................................................................................................... 12
Importancia de los elementos .............................................................................................. 13
De qu nos protegemos? .................................................................................................... 16
Captulo 2. Riesgos y Amenazas .......................................................................................... 20 Qu es una amenaza y un riesgo? ...................................................................................... 20 Riesgos en las redes informticas ........................................................................................ 20 Virus informticos ........................................................................................................ 20 Ingeniera Social ............................................................................................................ 20 Ataques Informticos ................................................................................................... 21
2.2.1 2.2.2 2.2.3
Universidad Interamericana para el Desarrollo
Pgina 2
Seguridad en Redes: Reduccin de Riesgos y Amenazas

2.3 3.1 3.2 Otros riesgos .......................................................................................................................... 22 Captulo 3. Una red segura ................................................................................................... 23 Comenzando a asegurar ....................................................................................................... 23 Divide y vencers .................................................................................................................. 23 Sistemas de deteccin de intrusos. ............................................................................. 23 Sistemas orientados a conexin de red. ..................................................................... 23 Sistemas de anlisis de vulnerabilidades..................................................................... 24 Sistemas de proteccin a la integridad de informacin ........................................... 24 Sistemas de proteccin a la privacidad de la informacin....................................... 24 Penetration Test Externo............................................................................................. 25 Penetration Test Interno .............................................................................................. 25
2011
3.2.1 3.2.2 3.2.3 3.2.4 3.2.5 3.3 3.3.1 3.3.2 3.4 3.5 3.6 3.7
Prueba de vulnerabilidades .................................................................................................. 24
Honeypots - honeynets ........................................................................................................ 25 Firewalls .................................................................................................................................. 26 Routers y Bridges .................................................................................................................. 26 Tipos de Firewall ................................................................................................................... 27 Filtrado de paquetes...................................................................................................... 27 Proxy-Gateways de aplicaciones ................................................................................. 28 Dual Homed Host ........................................................................................................ 28 Screened Host................................................................................................................ 29 Screened Subnet ............................................................................................................ 29 Inspeccin de paquetes ................................................................................................ 30 Firewalls personales ...................................................................................................... 30
3.7.1 3.7.2 3.7.3 3.7.4 3.7.5 3.7.6 3.7.7 3.8 3.9 3.10 3.11 3.12 3.13 3.14
Polticas de diseo de firewalls ............................................................................................ 31 Restricciones en el firewall ................................................................................................... 32 Beneficios de un firewall ...................................................................................................... 32 Limitaciones de un firewall .................................................................................................. 32 Listas de Control de Accesos .............................................................................................. 33 Wrappers................................................................................................................................. 33 Deteccin de intrusos en tiempo real ................................................................................. 34 Sistemas de deteccin de intrusos .............................................................................. 34 Caractersticas de IDS .................................................................................................. 35 Fortalezas de IDS.......................................................................................................... 36 Debilidades de IDS ....................................................................................................... 37 Inconvenientes de IDS................................................................................................. 37
3.14.1 3.14.2 3.14.3 3.14.4 3.14.5
Pgina 3

3.15 3.16 Kerberos ................................................................................................................................. 37 Resumen de Kerberos .......................................................................................................... 38 Conclusiones ............................................................................................................................. 40 Tabla de Ilustraciones .............................................................................................................. 41 Referencias................................................................................................................................. 42
2011
Pgina 4
2011
Ttulo
Seguridad en Redes: Reduccin de riesgos y amenazas.
Pgina 5
2011
Objetivo
Conocer la seguridad existente en las redes computacionales, las amenazas existentes y los riesgos a los que se ven expuestas, para tomar medidas adecuadas y reducirlas en un porcentaje considerable y obtener una red ms segura y robusta.
Pgina 6
2011
Destinatarios
Dirigido a administradores y personal de centros de cmputo, as como a estudiantes de redes y sistemas, y en general, a cualquier persona con conocimientos bsicos de redes que quiera conocer e implementar una mayor seguridad en su red.
Pgina 7
2011
Forma de entrega
ste documento se distribuir electrnicamente.
Pgina 8
2011
Justificacin
Debido a la importancia vital de las redes computacionales en la vida diaria, es recomendable tener conciencia de los riesgos que implica tener una seguridad deficiente, los ataques y amenazas a los que se enfrenta y las buenas prcticas que ayudan a disminuir el riesgo latente.
Pgina 9
2011
Introduccin
Las redes son, en la actualidad, una parte muy importante de nuestra vida personal y laboral. Tanto en nuestros hogares como en el trabajo, estamos inmersos en alguna red, aunque no seamos conscientes de ello. Con solo conectarnos a internet, estamos accediendo a una red, y lo mismo sucede si existe una impresora compartida entre varios equipos o si nos conectamos a otra PC para transferir archivos. El tamao de las redes es variable, pero en todos los casos sus fundamentos son los mismos. Todas ellas se crean para aprovechar las grandes ventajas que nos brindan, y todas deben ser sometidas a cuidados especiales para que no represente un problema debido a la falta de seguridad. Por eso, en este documento, nos ocuparemos de hacer un recorrido por los aspectos fundamentales de la seguridad informtica en las redes de computadoras. Partiremos desde los principios bsicos, conceptos y pilares necesarios para poder entender lo que es la seguridad, pasando por los tipos de ataques ms comunes que sufren las redes informticas, para llegar finalmente a consejos de implementacin para aplicar polticas correctas en nuestras redes. Deseamos que este documento sea de su agrado, entendible y sobre todo, pueda servirle para aumentar sus conocimientos y habilidades en el manejo de la seguridad enfocado a redes informticas. Comencemos, entonces, la lectura que nos brindar un mejor enfoque del que ya tenemos.
Holzen Atocha Martnez Garca. Licenciado en Ciencias Computacionales.
Pgina 10
2011
Captulo 1.
Marco Terico
1.1 Qu es la Seguridad?
La seguridad est finamente ligada a la certeza. Para entender esta definicin, hay que aclarar que no existe seguridad absoluta, ms bien, lo que se intenta es minimizar el impacto y/o riesgo. Por tal motivo, cuando hablamos de seguridad, debemos hacerlo en carcter de niveles, y lo que se intenta y se debe hacer es llevar a cabo una organizacin efectiva a fin de lograr llegar a los niveles ms altos. Las tcnicas para llegar a una correcta organizacin estn basadas en cuatro pilares fundamentales que hacen que la INFORMACIN se encuentre protegida. Estos pilares se ocupan principalmente de proteger cuatro aspectos de la informacin: Confidencialidad Integridad Disponibilidad Autenticidad
1.2 Confidencialidad
La informacin puede ser accedida nicamente por las personas que tienen autorizacin para hacerlo. Por ejemplo, cuando decimos que Internet es una Red de redes, estamos diciendo que hay medios que se entrelazan entre s para lograr una vinculacin. Es por ello que la confidencialidad se puede ver amenazada si alguien intercepta los paquetes que viajan de un lado al otro.
1.3 Integridad
Cuando nos referimos a integridad, queremos decir que estamos totalmente seguros de que la informacin no ha sido borrada, copiada o alterada, no slo en su trayecto, sino tambin desde su origen. Por ejemplo, si un atacante modifica informacin confidencial para provecho propio, o si dicha informacin est codificada y el mismo atacante, al no poder leerla claramente, la borra.
1.4 Disponibilidad
Este trmino hace referencia al mtodo de precaucin contra posibles daos tanto en la informacin como en el acceso a la misma: ataques, accidentes o, simplemente, descuidos pueden ser los factores que obligan a disear mtodos para posibles bloqueos.
1.5 Autenticidad
Algunos profesionales de la seguridad no incluyen este tem cuando hablan de los pilares, sino que nombran los tres anteriores. Particularmente, creemos que no se puede omitir este concepto, debido al hecho de que integridad nos informa que el archivo,
Pgina 11

por ejemplo, no ha sido retocado ni editado, y autenticidad nos informa que el archivo en cuestin es el real. No podemos dejar de nombrar, en un captulo dedicado a esclarecer conceptos, el rol que cumple la autenticacin. La autenticacin de una computadora difiere con los trminos de los humanos: para una PC, autenticar no es lo mismo que identificar. Por ejemplo, en un sistema de seguridad donde se verifica la voz, el sistema se encarga de buscar un patrn en su voz para distinguir quin es. Este reconocimiento es de identificacin, pero todava falta la parte en que el usuario dice una frase o palabra clave, y es aqu donde la autenticacin tiene efecto. Los mtodos de autenticacin para verificacin de identidad pueden clasificarse en tres categoras, a saber: 1.5.1 Categora 1: algo que el usuario sabe. Un dato esencial, puede tratarse de algo de su persona o bien de un simple o complejo password (contrasea).
2011
Figura 1-1 Imagen que nos muestra un sistema de verificacin por medio de usuario y password en el sistema operativo Linux.
1.5.2
Categora 2: algo que el usuario lleva consigo. Puede ser un documento de identidad, una tarjeta o cualquier otro elemento que lleve consigo. Categora 3: propiedad fsica o acto involuntario. La pupila, la voz y la huella dactilar son ejemplos de propiedades fsicas de un individuo y firmar es un acto involuntario, ya que uno no est pensando en hacer cada trazo, sino que los realiza en conjunto.
1.5.3
1.6 Qu queremos proteger?

Cuando hablamos de seguridad informtica muchas veces se confunde diciendo seguridad en Internet, y estos trminos no son sinnimos. Informtica comprende otro contexto, como ser el de la seguridad fsica, mientras que el otro slo se limita a hablar del entorno que a Internet se refiere. Por tales motivos, la seguridad informtica intenta proteger cuatro elementos: 1.6.1 Hardware El hardware se encuentra compuesto por el conjunto de sistemas fsicos del sistema informtico, en otros trminos, de nuestra computadora: gabinete, motherboard, microprocesador, disco duro, unidades de almacenamiento extrable, monitor, mouse, teclado, cables, etc. Software El software consiste en el conjunto de sistemas lgicos que hacen funcional al hardware: sistemas operativos, aplicaciones, programas, etc.
1.6.2
Pgina 12

1.6.3 Datos Conjunto de sistemas lgicos que tienen como funcin manejar el software y el hardware (registros, entradas en base de datos, paquetes que viajan por los cables de red; hasta un bit es un dato). Vale aclarar que no es lo mismo dato que informacin. Un dato no tiene coherencia por s solo, sino que la tiene por medio de un entorno o contexto. Si bien el dato es esencial, el juicio sobre lo que se debe hacer con el mismo se realiza por medio de un programa o persona. A diferencia de los datos, la informacin s tiene significado. Es ms, los datos se convierten en informacin cuando su creador les aade significado. Elementos fungibles Son elementos que se gastan o se desgastan con el uso continuo (papel, controladora fiscal, impresora/tner, disquetes, insumos en general y todo lo que de alguna manera est conectado a una mquina). Algunos administradores de seguridad no consideran estos elementos para protegerlos, y estn equivocados. Una buena administracin se basa en controlar los recursos de la empresa, ya que los mismos no son infinitos ni el dinero con el que se cuenta es ilimitado, y menos para usarlo como gasto y no como inversin. Para lograr eficiencia y calidad se tiene que tomar conciencia y crear una poltica para el correcto uso de las herramientas con las que cuenta la empresa.
2011
1.6.4
1.7 Importancia de los elementos

De los cuatro elementos, los datos son los principales a la hora de proteger. El hardware, el software y los elementos fungibles son recuperables desde su origen (comprndolos o instalndolos nuevamente), pero los datos no tienen origen, sino que son cambiados en el transcurso del tiempo y son el resultado del trabajo realizado. sta es la razn que convierte en muy importante el armado de una poltica de seguridad, y es el motivo por el cual el prximo captulo est dedicado exclusivamente a confeccionar una poltica de seguridad. Una poltica consistira en programar horarios y momentos para realizar copias de seguridad (backups), archivarlos, tener disponibilidad de espacio/privacidad y, adems, poder hallar lo se necesite en tiempo y forma. Los mltiples ataques que se pueden realizar sobre los datos principalmente se pueden categorizar en cuatro grupos. 1.7.1 Interrupcin. Ataque contra la Disponibilidad. Cuando los datos o la informacin de un sistema se ven corruptos, ya sea porque los mismos se han perdido, se han bloqueado o simplemente porque no estn disponibles para su uso. Este tipo de ataque en la mayora de las ocasiones no tiene mucha lgica por parte del atacante, salvo que se vea encerrado o perseguido.
Pgina 13
2011
Figura 1-2 Ejemplo de paralizacin de flujo en comunicaciones.
1.7.2
Interceptacin. Ataque contra la Confidencialidad Con este tipo de ataque lo que se logra es que un usuario no autorizado pueda acceder a un recurso y, por ende, la confidencialidad se vea divulgada. Hay muchos tipos de interceptacin, por ejemplo, cuando se intercepta las cabecera de los paquetes y logramos identificar usuarios tanto del lado del remitente como del receptor; eso es llamado interceptacin de identidad, en cambio, el sniffear (ver ilegtimamente la informacin que pasa por un medio) se llama sencillamente interceptacin de datos.
Figura 1-3 Desvo de los datos
1.7.3
Fabricacin. Ataque contra la Autenticidad. El ataque contra la autenticidad tiene lugar cuando un usuario malicioso consigue colocar un objeto en el sistema atacado. Este tipo de ataque puede llevarse a cabo con el objeto de hacer creer que ese archivo/paquete es el correcto o bien con la finalidad de agregar datos y obtener, de esta manera, un provecho propio.
Pgina 14
2011
Figura 1-4 El momento del cambio de datos
1.7.4
Modificacin. Ataque contra la Integridad Un atacante, que puede contar o no con autorizacin para ingresar al sistema, manipula los datos de tal manera que la integridad se ve afectada por su accionar. Cambiar datos de archivos, modificar paquetes, alterar un programa o aplicacin son slo algunos ejemplos de este tipo de ataque que, sin ninguna duda, es el que reviste mayor grado de peligrosidad.
Figura 1-5 Esquema de flujos de datos inventado
Hasta aqu, hemos nombrado los grupos ms conocidos y ms divulgados dentro del campo de la seguridad informtica. Pero no son exactos, ya que algunos ataques no se
Pgina 15

encasillan en estos grupos, o bien entran en varios. Por ejemplo, cuando hablamos de destruccin, estamos hablando de un ataque contra la disponibilidad, por ende, se debera situar en el grupo interrupcin, pero varios autores lo sitan en modificacin, haciendo referencia a que la destruccin inutiliza el objeto afectado.
2011
1.8 De qu nos protegemos?

Esta pregunta es tan amplia como su respuesta. Hay muchas clasificaciones que van variando segn cada autor y cada investigador del tema, pero la mayora tienen un punto de vista en comn: nos protegemos de las personas. A esta altura de los tiempos y con las sociedades que evolucionan, suena raro decir que estamos cuidndonos de nosotros mismos y, ms an sabiendo que esos elementos que protegemos son, en su mayora, cosas creadas por nosotros mismos. El factor ms importante que incita a las personas a cometer actos en contra de los cuatro pilares (integridad, disponibilidad, confidencialidad y autenticidad) es, sin ninguna duda, el poder. Este poder reside en los datos y en la informacin, y son compartidos por el mundo. Como hemos dicho anteriormente, muchos escritores difieren al referirse sobre de quin o de qu hay que protegerse, ya que para algunos, las catstrofes lo toman sin la debida atencin y no como un motivo para hacer resguardos de informacin o hacer uso de mecanismos a fin de prevenirlos. Si bien vamos a hablar ms en detalle sobre quines y cmo son nuestros atacantes, clasificados dentro de la categora factores humanos, no podramos dejar de resumir y de explicar los factores no humanos. 1.8.1 Factores humanos Al hablar de factores humanos, incluimos al software y/o malware, ya que los mismos fueron ideados y creados por personas. La responsabilidad no puede atribuirse a un programa por ms que ste pueda reproducirse, actuar de forma independiente o tomar decisiones (de acuerdo con patrones) pues su gnesis es humana. El personal o los ex-empleados Son los grupos ms poderosos y los que ms pueden sacar provecho de los datos. A propsito decimos pueden, ya que una amenaza no se da cuando el ataque cobra vctimas, sino cuando est en camino a concretarse. Hackers, crackers y lammers Se trata de muchos de los que intentan entrar en los sistemas de manera externa e interna. Si bien aqu han sido puestos en un mismo conjunto para poder manifestar los ataques ms comunes externos e internos, estos grupos son muy diferentes entre s y hasta se discriminan rotundamente. Los hackers: de por s la palabra es un neologismo utilizado para referirse a un experto en las telecomunicaciones. El entendimiento que poseen estos atacantes es ms profundo que el resto de las personas/tcnicos, ya que tienen la habilidad de razonar igual o mejor que muchos de los programas o aplicaciones, y esto en realidad no es tan ilgico, ya que las computadoras y las utilidades que se encuentran instaladas en ellas fueron creadas por personas.
Pgina 16
2011
Los crackers: cracker viene del ingls crack(romper) y justamente es lo que
ellos hacen. Saben ms o menos lo mismo que los hackers pero no comparten la tica. Por consiguiente, no les importa romper una arquitectura o sistema una vez dentro, ni tampoco borrar, modificar o falsificar algo; es por eso que la teora habla de que: los hackers son buenos y los crackers son malos. Los lammers: se usa la palabra lamer o lammer para hablar en forma despectiva de de una persona que no posee los mismos conocimientos que tienen los expertos, pero que conserva la misma intencin. Ms puntualmente, se denomina de esta manera a la persona que quiere aprender a ser un experto sin siquiera poner esfuerzo en aprender. Ms que nada, es una palabra que usan los hackers o crackers para discriminarse del resto y de los novatos que se quieren iniciar y no saben cmo, ni tampoco poseen la pasin que los expertos tenan cuando empezaron. Cliqueadores y gececes En esta etapa englobamos a dos tipos similares: Los cliqueadores: son personas que nicamente pueden lograr su cometido si son ayudadas por un programa. Este programa suele ser creado por hackers. Los denominamos as, diferenciando entre la gama Unix y la gama Windows. Los cliqueadores, en su gran mayora, nunca usaron un entorno de consola, y si lo hicieron, fue en Microsoft DOS para poder usar el ping. En otras palabras, los clickeadores slo saben que haciendo clic (y muchas veces con un entorno grfico demaggico) pueden explotar algunas vulnerabilidades, y as creerse y manifestarse como hacker. Los gecece los denominamos as porque utilizan entorno de consola, aunque seguramente slo por el hecho de que los programas para explotar vulnerabilidades estn hechos en un lenguaje de programacin que usa libreras no compatibles con el sistema operativo Windows. Los programas para explotar (exploits), ya sean que estn escritos en Perl, C, Python o cualquier otro lenguaje, ponen a disposicin de quien quiera su cdigo fuente, es decir, que cualquiera que desee aprender una vulnerabilidad y saber cmo funciona sta, slo debera leer este cdigo. A esos jvenes, que solamente saben ejecutar este cdigo sin entenderlo, los llamamos aqu gecece, ya que GCC (Gnu Compiler Collection) es el compilador de lenguajes ms difundido y conocido. Adems, irnicamente, hemos puesto gecece, ya que la fontica sirve para los desentendidos de un idioma, y el GCC les convierte la ignorancia en un comando. Ejemplo: gcc exploit.c (siendo C el lenguaje) y, luego, con tan slo ejecutarlo tienen la misma funcin que sus compaeros, los cliqueadores. Existe una palabra en la jerga que es utilizada para denominar a estos grupos: script kiddie.
Pgina 17

Intrusos por paga Este tipo de atacante tiene una particularidad muy especial: sabe como atacar. A diferencia de la mayora de las otras categoras, este individuo posee una sabidura privilegiada y tambin es, por tal motivo, apto para recibir dinero por usar su experiencia en la seguridad en formas ilcitas. Generalmente, no estamos hablando de una paga menor, sino que la mayora de las veces la base de la retribucin por el servicio comienza con cinco cifras. Y el trabajo que debe realizar o lo importante que es la empresa a la cual debe infiltrarse, es directamente proporcional a la paga. Habitualmente, las empresas que reciben este tipo de ataques son las ms importantes que uno puede conocer. Los cyberterroristas Son personas que atacan con un fin especfico: ya sea por ideologas o por puntos de vista. Por ejemplo, los cyberterroristas pueden atacar pginas que se manifiesten en contra de su religin o directamente pueden dejar inactivo servidores con ataques DoS. Estas personas usan su conocimiento (bien puede tratarse de un lamer, un cliqueador o un gecece) para punto de vista personal en la concepcin del entorno. En otras palabras, si l cree que en las elecciones tiene que ganar alguien, va a intentar manifestarlo anrquicamente. El software con errores Los programadores no son perfectos y, por ende, muchas veces el cdigo con el que realizan sus trabajos contiene errores. Esos errores no son voluntarios y se encuentran en la mayora de los cdigos de cualquier programa, ya que la vulnerabilidad se debe a globalizar la manera en que programan para no acotar y que no funcionen ciertas cosas. Esas aberturas no estn tan visibles y entendibles a cdigo cerrado; por eso se encuentran ms vulnerabilidades en los entornos Unix, que es de cdigo abierto (cdigo fuente disponible), razn por la cual un Unix actualizado es el sistema operativo ms seguro. Puertas traseras Muchas veces los programadores dejan atajos, pero no de los que conocemos como por ejemplo, ALT+F4 para cerrar una ventana, o CONTROL+ESC para abrir el men Inicio de Windows, sino mtodos no convencionales para traspasar autenticaciones, restricciones o simplemente mtodos ms largos para llegar al mismo lugar. Otros mtodos Los otros mtodos pueden ser: virus, canales ocultos, gusanos, troyanos (caballos de Troya), conejos, bombas, etc.
2011
1.8.2
Factores no humanos Las amenazas ambientales, si bien dependiendo de la ubicacin geogrfica pueden tener ms o menos periodicidad catastrfica, no son hechos que ocurran frecuentemente. Pero esto no es motivo suficiente para no considerar la circunstancia de que, si sucede, el dao ser severo.
Pgina 18

Las catstrofes ms comunes son los terremotos, incendios, atentados, tormentas, etc. Existe un grupo poco conocido ms que nada por su arbitrariedad denominado riesgos de baja probabilidad, que habla sobre los riesgos no comunes, que pueden ser desde que un avin se caiga sobre el edificio en donde estn los servidores y la documentacin, hasta que al encargado de la seguridad lo rapten personas de otro planeta. Obviamente, para este tipo de situaciones no hay contramedida.
2011
Pgina 19
2011
Captulo 2.
Riesgos y Amenazas
2.1 Qu es una amenaza y un riesgo?

Una amenaza se puede catalogar como la probabilidad de que un evento se presente en cierta magnitud. Por ejemplo, la amenaza cuantificada de que azote algn huracn en la pennsula de Yucatn es de un 25% de probabilidad durante el ao. La vulnerabilidad es otro trmino finamente relacionado, y se define como la fortaleza o debilidad frente a la amenaza. Por ejemplo, la gente de algn puerto donde entre el huracn tendr mayor porcentaje de vulnerabilidad por el mar que puede desbordarse. O por decir otro ejemplo, la gente en tierra es menos vulnerable a la gente que va de pesca en esos momentos. El riesgo es el dao que podra ejercerse directamente sobre ese problema. De hecho, el riesgo es calculable mediante la amenaza y la vulnerabilidad. En el ejemplo anterior podemos imaginar que la gente que se fue de pesca en el momento de huracn, es ms vulnerable que la que no se fue, por lo tanto el riesgo de una catstrofe es mayor a los dems. Para que el riesgo exista, debe haber amenaza y vulnerabilidad conjugadas.
2.2 Riesgos en las redes informticas

Las amenazas que se producen contra la seguridad estn en constante evolucin, procedentes tanto del interior como del exterior de la red, ya sea personal o empresarial, y pueden causar importantes prdidas en operaciones comerciales o datos personales. A continuacin se describirn brevemente algunas amenazas latentes. 2.2.1 Virus informticos Un virus informtico es un malware (cdigo malicioso) que tiene por objeto alterar el normal funcionamiento de la computadora, sin el permiso o el conocimiento del usuario. Los virus, habitualmente, reemplazan archivos ejecutables por otros infectados con el cdigo de este. Los virus pueden destruir, de manera intencionada, los datos almacenados en un ordenador, aunque tambin existen otros ms inofensivos, que solo se caracterizan por ser molestos. Los virus informticos tienen, bsicamente, la funcin de propagarse a travs de un software, no se replican a s mismos porque no tienen esa facultad como el gusano informtico, son muy nocivos y algunos contienen adems una carga daina (payload) con distintos objetivos, desde una simple broma hasta realizar daos importantes en los sistemas, o bloquear las redes informticas generando trfico intil. Ingeniera Social Es la manipulacin de las personas para convencerlas de que ejecuten acciones o actos que normalmente no realizan para que revele todo lo necesario para superar las barreras de seguridad. Si el atacante tiene la experiencia suficiente (generalmente es as), puede engaar fcilmente a un usuario (que desconoce las mnimas medidas de seguridad) en beneficio propio. Esta tcnica es una de las ms usadas y efectivas a la hora de averiguar nombres de usuarios y passwords. Por ejemplo, suele llamarse a un usuario hacindose pasar por
2.2.2
Pgina 20

administrador del sistema y requerirle la password con alguna excusa convincente. O bien, podra enviarse un mail (falsificando la direccin origen a nombre del administrador) pidiendo al usuario que modifique su password a una palabra que el atacante suministra. . Estos passwords deberan ser confidenciales en la red. 2.2.3 Ataques Informticos Aqu tenemos varias tcnicas de las cuales protegernos, sin embargo, elegimos algunas para describir. Ataque de denegacin de servicio: tambin llamado ataque DoS (de las siglas en ingls Denial of Service), es un ataque a un sistema de computadoras o red que causa que un servicio o recurso sea inaccesible a los usuarios legtimos. Normalmente provoca la prdida de la conectividad de la red por el consumo del ancho de banda de la red de la vctima o sobrecarga de los recursos computacionales del sistema de la vctima. Se genera mediante la saturacin de los puertos con flujo de informacin, haciendo que el servidor se sobrecargue y no pueda seguir prestando servicios, por eso se le denomina "denegacin", pues hace que el servidor no d abasto a la cantidad de solicitudes. Esta tcnica es usada por los llamados Crackers para dejar fuera de servicio a servidores objetivo. Una variante de esta tcnica es el DDoS (Denegacin de Servicio Distribuida) en la cual varios hosts participan en el ataque, puede ser un ataque entre un grupo bien organizado, o tambin una sola persona que tenga bajo su control computadoras esclavas que haya infectado, indicndoles que ataquen al mismo tiempo. Sniffing: este ataque consiste en escuchar los datos que atraviesan la red, sin interferir con la conexin a la que corresponden. Se utiliza principalmente para obtener passwords, y en algunos casos para obtener informacin confidencial. Para proteger los passwords contra el sniffing basta con emplear mecanismos de autenticacin y encriptacin. Las redes inalmbricas son ms vulnerables a este ataque, pues los datos viajan en el aire y pueden ser capturados. Spoofing: es el nombre que se le da a los intentos del atacante por ganar el acceso a un sistema hacindose pasar por otro que dispone de los privilegios suficientes para realizar la conexin. El ataque que ms se suele utilizar sobre conexiones TCP es el conocido como adivinacin del nmero de secuencia. Se basa en la idea de que si un atacante puede predecir el nmero inicial de secuencia de la conexin TCP generado por la mquina destino, entonces el atacante puede adoptar la identidad de mquina "confiada". Hijacking: consiste en robar una conexin despus de que el usuario ha superado con xito el proceso de identificacin ante el sistema. El ordenador desde el que se lanza el ataque ha de estar en alguna de las dos redes extremo de la conexin, o al menos en la ruta entre ambas. El nico mtodo seguro para protegerse contra este tipo de ataques es el uso de encriptacin.
2011
Pgina 21

Enrutamiento fuente: los paquetes IP admiten opcionalmente el enrutamiento fuente, con el que la persona que inicia la conexin TCP puede especificar una ruta explcita hacia l. La mquina destino debe usar la inversa de esa ruta como ruta de retorno, tenga o no sentido, lo que significa que un atacante puede hacerse pasar por cualquier mquina en la que el destino confe (obligando a que la ruta hacia la mquina real pase por la del atacante). Dado que el enrutamiento fuente es raramente usado, la forma ms fcil de defenderse contra esto es deshabilitarlo en el router.
2011
2.3 Otros riesgos

En la siguiente tabla podemos ver una lista de riesgos que existen en las redes informticas. Dado que la lista es enorme y cada da surgen nuevos mtodos, es posible que muchos de estos mtodos ya queden obsoletos en poco tiempo.
Tabla 1 Mayores Riesgos en Redes
Trojan horses Time bombs
Fraud networks Get a job
Fictitious people Protection limit poke Password guessing Invalid values on calls Van Eck bugging Packet watching Wiretapping
Infrastructure observation Infrastructure interference Packet insertion Van Eck bugging
Bribes
Sympathetic vibration Data diddling Computer viruses
e-mail overflow Human engineering Dumpster diving Packet watching
Login spoofing Scanning Masquerading Trap doors Tunneling Password sniffing
Data diddling Dumpster Eavesdropping diving Software Data copying piracy Covert Viruses and channels worms Trojan hor- IP spoofing ses Excess privileges
Combined attacks Denial-ofservice Degradation of service Session hijacking Logic bombs
e-mail spoofing Harassment Traffic analysis Timing attacks Salamis
Bien, ya hemos visto algunas de las tcnicas utilizadas con su pequea descripcin, ahora procederemos a ver cmo nos podemos defender ante estos amenazas para disminuir el riesgo.
Pgina 22
2011
Captulo 3.
Una red segura
3.1 Comenzando a asegurar

Una vez conocidas las vulnerabilidades y ataques a las que est expuesto un sistema es necesario conocer los recursos disponibles para protegerlo. Mientras algunas tcnicas son evidentes (seguridad fsica por ejemplo) otras pautas no lo son tanto e incluso algunas pueden ocasionar una sensacin de falsa seguridad. Muchas de las vulnerabilidades estudiadas son el resultado de implementacin incorrecta de tecnologas, otras son consecuencias de la falta de planeamiento de las mismas pero, como ya se ha mencionado, la mayora de los agujeros de seguridad son ocasionados por los usuarios de dichos sistemas y es responsabilidad del administrador detectarlos y encontrar la mejor manera de cerrarlos. En el presente captulo, despus de lo expuesto y vistas la gran cantidad de herramientas con las que cuenta el intruso, es el turno de estudiar implementaciones en la bsqueda de mantener el sistema seguro. Siendo reiterativo, ninguna de las tcnicas expuestas a continuacin representar el 100% de la seguridad deseada, aunque muchas parezcan la solucin total, ser la suma de algunas de ellas las que convertirn un sistema interconectado en confiable.
3.2 Divide y vencers

Es posible dividir las tareas de administracin de seguridad en tres grandes grupos: Autenticacin: se refiere a establecer las entidades que pueden tener acceso al universo de recursos de cmputo que cierto medio ambiente puede ofrecer. Autorizacin: es el hecho de que las entidades autorizadas a tener acceso a los recursos de cmputo, tengan acceso nicamente a las reas de trabajo sobre las cuales ellas deben tener dominio. Auditora: se refiere a la continua vigilancia de los servicios en produccin. Entra dentro de este grupo el mantener estadsticas de acceso, estadsticas de uso y polticas de acceso fsico a los recursos. Por regla general, las polticas son el primer paso que dispone a una organizacin para entrar en un ambiente de seguridad, puesto que reflejan su voluntad de hacer algo que permita detener un posible ataque antes de que ste suceda (proactividad). A continuacin se citan algunos de los mtodos de proteccin ms comnmente empleados.
3.2.1
Sistemas de deteccin de intrusos. Son sistemas que permiten analizar las bitcoras de los sistemas en busca de patrones de comportamiento o eventos que puedan considerarse sospechosos, sobre la base de la informacin con la que han sido previamente alimentados. Pueden considerarse como monitores. Sistemas orientados a conexin de red. Monitorizan las conexiones que se intentan establecer en una red o equipo en particular, siendo capaces de efectuar una accin sobre la base de mtricas como: origen y des-
3.2.2
Pgina 23

tino de la conexin, servicio solicitado, permisos, etc. Las acciones que pueden emprender suelen ir desde el rechazo de la conexin hasta alerta al administrador. En esta categora estn los cortafuegos (Firewalls) y los Wrappers. 3.2.3 Sistemas de anlisis de vulnerabilidades Analizan sistemas en busca de vulnerabilidades conocidas anticipadamente. La desventaja de estos sistemas es que pueden ser utilizados tanto por personas autorizadas como por personas que buscan acceso no autorizado al sistema. Sistemas de proteccin a la integridad de informacin Sistemas que mediante criptografa o sumas de verificacin tratan de asegurar que no ha habido alteraciones indeseadas en la informacin que se intenta proteger. Algunos ejemplos son los programas que implementan algoritmos como Message Digest (MD5) o Secure Hash Algorithm (SHA), o bien sistemas que utilizan varios de ellos como PGP, Tripwire y DozeCrypt. Sistemas de proteccin a la privacidad de la informacin Herramientas que utilizan criptografa para asegurar que la informacin slo sea visible para quien tiene autorizacin. Su aplicacin se realiza principalmente en las comunicaciones entre dos entidades. Dentro de este tipo de herramientas se pueden citar a Pretty Good Privacy (PGP), Secure Sockets Layer (SSL) y los Certificados Digitales. Resumiendo, un modelo de seguridad debe estar formado por mltiples componentes o capas que pueden ser incorporadas de manera progresiva al modelo global de seguridad en la organizacin, logrando as el mtodo ms efectivo para disuadir el uso no autorizado de sistemas y servicios de red. Podemos considerar que estas capas son: Poltica de seguridad de la organizacin. Auditora. Sistemas de seguridad a nivel de RouterFirewall. Sistemas de deteccin de intrusos. Plan de respuesta a incidentes. Penetration Test.
2011
3.2.4
3.2.5
3.3 Prueba de vulnerabilidades

La prueba de vulnerabilidades, llamada tambin Penetration Test, es un conjunto de metodologas y tcnicas, para realizar una evaluacin integral de las debilidades de los sistemas informticos. Consiste en un modelo que reproduce intentos de acceso, a cualquier entorno informtico, de un intruso potencial desde los diferentes puntos de entrada que existan, tanto internos como remotos. El objetivo general del Penetration Test es acceder a los equipos informticos de la organizacin tratada e intentar obtener los privilegios del administrador del sistema, logrando as realizar cualquier tarea sobre dichos equipos. Tambin se podr definir otros objetivos secundarios que permitan realizar pruebas puntuales sobre algunos mbitos particulares de la empresa u organizacin.
Pgina 24

El Penetration Test se compone de dos grandes fases de testeo: 3.3.1 Penetration Test Externo El objetivo es acceder en forma remota a los equipos de la organizacin y posicionarse como administrador del sistema. Se realizan desde fuera del Firewall y consisten en penetrar la Zona Desmilitarizada para luego acceder a la red interna. Se compone de un elevado nmero de pruebas, entre las que se puede nombrar: Pruebas de usuarios y la fuerza de sus passwords. Captura de trfico. Deteccin de conexiones externas y sus rangos de direcciones. Deteccin de protocolos utilizados. Scanning de puertos TCP, UDP e ICMP. Intentos de acceso va accesos remotos, mdems, Internet, etc. Anlisis de la seguridad de las conexiones con proveedores, trabajadores remotos o entidades externas a la organizacin . Pruebas de vulnerabilidades existentes y conocidas en el momento de realizacin del Test. Prueba de ataques de Denegacin de Servicio. 3.3.2 Penetration Test Interno Este tipo de testeo trata de demostrar cul es el nivel de seguridad interno. Se deber establecer que puede hacer un Insider y hasta donde ser capaz de penetrar en el sistema siendo un usuario con privilegios bajos. Este Test tambin se compone de numerosas pruebas: Anlisis de protocolos internos y sus vulnerabilidades. Autenticacin de usuarios. Verificacin de permisos y recursos compartidos. Test de los servidores principales (WWW, DNS, FTP, SMTP, etc.). Test de vulnerabilidad sobre las aplicaciones propietarias. Nivel de deteccin de la intrusin de los sistemas. Anlisis de la seguridad de las estaciones de trabajo. Seguridad de la red. Verificacin de reglas de acceso. Ataques de Denegacin de Servicio.
2011
3.4 Honeypots - honeynets

Cuando hablamos de honeypots o honeynets, nos estamos refiriendo a trampas implementadas, ya sea por hardware o por software, que simulan ser sistemas vitales de la red y con planes de atraer al atacante. Estas Trampas de Red son sistemas que se ac-
Pgina 25

tivan con la finalidad especfica de que los expertos en seguridad puedan observar en secreto la actividad de los Hackers/Crackers en su hbitat natural. Consiste en activar un servidor y llenarlo de archivos tentadores, hacer que sea difcil, pero no imposible penetrarlo y sentarse a esperar que aparezcan los intrusos. Los Honeynets dan a los crackers un gran espacio para recorrer. Presentan obstculos que poseen el nivel de complejidad suficiente para atraerlos, pero sin irse al extremo para no desalentarlos. Se recomienda implementar alguno en la empresa u organizacin a asegurar.
2011
3.5 Firewalls
Quizs uno de los elementos ms publicitados a la hora de establecer seguridad, sean estos elementos. Aunque deben ser uno de los sistemas a los que ms se debe prestar atencin, distan mucho de ser la solucin final a los problemas de seguridad. De hecho, los Firewalls no tienen nada que hacer contra tcnicas como la Ingeniera Social y el ataque de Insiders. Un Firewall es un sistema (o conjunto de ellos) ubicado entre dos redes y que ejerce la una poltica de seguridad establecida. Es el mecanismo encargado de proteger una red confiable de una que no lo es (por ejemplo Internet).
Figura 3-1 Ejemplificacin de Firewall
Como puede observarse, el Muro Cortafuegos, slo sirven de defensa perimetral de las redes, no defienden de ataques o errores provenientes del interior, como tampoco puede ofrecer proteccin una vez que el intruso lo traspasa. Algunos Firewalls aprovechan esta capacidad de que toda la informacin entrante y saliente debe pasar a travs de ellos para proveer servicios de seguridad adicionales como la encriptacin del trfico de la red. Se entiende que si dos Firewalls estn conectados, ambos deben hablar el mismo mtodo de encriptacindesencriptacin para entablar la comunicacin.
3.6 Routers y Bridges

Cuando los paquetes de informacin viajan entre su destino y origen, va TCP/IP, estos pasan por diferentes Routers (enrutadores a nivel de Red). Los Routers son dispositivos electrnicos encargados de establecer comunicaciones externas y de convertir los
Pgina 26

protocolos utilizados en las LAN en protocolos de WAN y viceversa. En cambio, si se conectan dos redes del tipo LAN se utilizan Bridges, los cuales son puentes que operan a nivel de Enlace. La evolucin tecnolgica les ha permitido transformarse en computadoras muy especializadas capaz de determinar, si el paquete tiene un destino externo y el camino ms corto y ms descongestionado hacia el Router de la red destino. En caso de que el paquete provenga de afuera, determina el destino en la red interna y lo deriva a la mquina correspondiente o devuelve el paquete a su origen en caso de que l no sea el destinatario del mismo. Los Routers toman decisiones en base a un conjunto de datos, regla, filtros y excepciones que le indican que rutas son las ms apropiadas para enviar los paquetes.
2011
3.7 Tipos de Firewall

Los firewalls tienen algunos tipos que vale la pena mencionar. 3.7.1 Filtrado de paquetes Se utilizan Routers con filtros y reglas basadas en polticas de control de acceso. El Router es el encargado de filtrar los paquetes (un Choke) basados en cualquiera de los siguientes criterios: 1. Protocolos utilizados. 2. Direccin IP de origen y de destino. 3. Puerto TCPUDP de origen y de destino. Estos criterios permiten gran flexibilidad en el tratamiento del trfico. Restringiendo las comunicaciones entre dos computadoras (mediante las direcciones IP) se permite determinar entre cuales mquinas la comunicacin est permitida. El filtrado de paquetes mediante puertos y protocolos permite establecer que servicios estarn disponibles al usuario y por cuales puertos. Se puede permitir navegar en la WWW (puerto 80 abierto) pero no acceder a la transferencia de archivos va FTP (puerto 21 cerrado). Debido a su funcionamiento y estructura basada en el filtrado de direcciones y puertos este tipo de Firewalls trabajan en los niveles de Transporte y de Red del Modelo OSI y estn conectados a ambos permetros (interior y exterior) de la red. Tienen la ventaja de ser econmicos, tienen un alto nivel de desempeo y son transparentes para los usuarios conectados a la red. Sin embargo presenta debilidades como: No protege las capas superiores a nivel OSI. Las necesidades aplicativas son difciles de traducir como filtros de protocolos y puertos. No son capaces de esconder la topologa de redes privadas, por lo que exponen la red al mundo exterior. Sus capacidades de auditora suelen ser limitadas, al igual que su capacidad de registro de actividades. No soportan polticas de seguridad complejas como autentificacin de usuarios y control de accesos con horarios prefijados.
Pgina 27

3.7.2 Proxy-Gateways de aplicaciones Para evitar las debilidades asociadas al filtrado de paquetes, los desarrolladores crearon software de aplicacin encargados de filtrar las conexiones. Estas aplicaciones son conocidas como Servidores Proxy y la mquina donde se ejecuta recibe el nombre de Gateway de Aplicacin o Bastion Host. El Proxy, instalado sobre el Nodo Bastin, acta de intermediario entre el cliente y el servidor real de la aplicacin, siendo transparente a ambas partes. Cuando un usuario desea un servicio, lo hace a travs del Proxy. Este, realiza el pedido al servidor real devuelve los resultados al cliente. Su funcin fue la de analizar el trfico de red en busca de contenido que viole la seguridad de la misma. Grficamente:
2011
Figura 3-2 Bastin Host
3.7.3
Dual Homed Host Son dispositivos que estn conectados a ambos permetros (interior y exterior) y no dejan pasar paquetes IP (como sucede en el caso del Filtrado de Paquetes), por lo que se dice que actan con el IPForwarding desactivado. Un usuario interior que desee hacer uso de un servicio exterior, deber conectarse primero al Firewall, donde el Proxy atender su peticin, y en funcin de la configuracin impuesta en dicho Firewall, se conectar al servicio exterior solicitado y har de puente entre este y el usuario interior. Es decir que se utilizan dos conexiones. Uno desde la mquina interior hasta el Firewall y el otro desde este hasta la mquina que albergue el servicio exterior.
Pgina 28
2011
Figura 3-3 Dual Homed Host
3.7.4
Screened Host En este caso se combina un Router con un host bastin y el principal nivel de seguridad proviene del filtrado de paquetes. En el bastin, el nico sistema accesible desde el exterior, se ejecuta el Proxy de aplicaciones y en el Choke se filtran los paquetes considerados peligrosos y slo se permiten un nmero reducido de servicios.
Figura 3-4 Screened Host
3.7.5
Screened Subnet En este diseo se intenta aislar la mquina ms atacada y vulnerable del Firewall, el Nodo Bastin. Para ello se establece una Zona Desmilitarizada (DMZ) de forma tal que sin un intruso accede a esta mquina no consiga el acceso total a la subred protegida. En este esquema se utilizan dos Routers: uno exterior y otro interior. El Router exterior tiene la misin de bloquear el trfico no deseado en ambos sentidos: hacia la red interna y hacia la red externa. El Router interior hace lo mismo con la red interna y la DMZ (zona entre el Router externo y el interno). Es posible definir varios niveles de DMZ agregando ms Routers, pero destacando que las reglas aplicadas a cada uno deben ser distintas ya que en caso contrario los niveles se simplificaran a uno solo.
Pgina 29
2011
Figura 3-5 Screened Subnet
Los sistemas DualHomed Host y Screnned pueden ser complicados de configurar y comprobar, lo que puede dar lugar, paradjicamente, a importantes agujeros de seguridad en toda la red. En cambio, si se encuentran bien configurados y administrados pueden brindar un alto grado de proteccin y ciertas ventajas: Ocultamiento de la informacin: los sistemas externos no deben conocer el nombre internos. El Gateway de aplicaciones es el nico autorizado a conectarse con el exterior y el encargado de bloquear la informacin no solicitada o sospechosa. Registro de actividades y autenticacin robusta: El Gateway requiere de autenticacin cuando se realiza un pedido de datos externos. El registro de actividades se realiza en base a estas solicitudes. Reglas de filtrado menos complejas: Las reglas del filtrado de los paquetes por parte del Router sern menos compleja dado a que l slo debe atender las solicitudes del Gateway.
As mismo tiene la desventaja de ser intrusivos y no transparentes para el usuario ya que generalmente este debe instalar algn tipo de aplicacin especializada para lograr la comunicacin. Se suma a esto que generalmente son ms lentos porque deben revisar todo el trfico de la red. 3.7.6 Inspeccin de paquetes Este tipo de Firewalls se basa en el principio de que cada paquete que circula por la red es inspeccionado, as como tambin su procedencia y destino. Se aplican desde la capa de Red hasta la de Aplicaciones. Generalmente son instalados cuando se requiere seguridad sensible al contexto y en aplicaciones muy complejas. Firewalls personales Estos Firewalls son aplicaciones disponibles para usuarios finales que desean conectarse a una red externa insegura y mantener su computadora a salvo de ataques que puedan ocasionarle desde un simple cuelgue o infeccin de virus hasta la prdida de toda su informacin almacenada.
3.7.7
Pgina 30
2011
3.8Polticas de diseo de firewalls

Las polticas de accesos en un Firewalls se deben disear poniendo principal atencin en sus limitaciones y capacidades pero tambin pensando en las amenazas y vulnerabilidades presentes en una red externa insegura. Conocer los puntos a proteger es el primer paso a la hora de establecer normas de seguridad. Tambin es importante definir los usuarios contra los que se debe proteger cada recurso, ya que las medidas diferirn notablemente en funcin de esos usuarios. Generalmente se plantean algunas preguntas fundamentales que debe responder cualquier poltica de seguridad: Qu se debe proteger? Se deberan proteger todos los elementos de la red interna (hardware, software, datos, etc.). De quin protegerse? De cualquier intento de acceso no autorizado desde el ext erior y contra ciertos ataques desde el interior que puedan pr everse y prevenir. Sin embargo, podemos definir niveles de confianza, permitiendo selectivamente el acceso de determinados usuarios externos a determinados servicios o denegando cualquier tipo de acceso a otros. Cmo protegerse? Esta es la pregunta ms difcil y est orientada a establecer el nivel de monitorizacin, control y respuesta deseado en la organizacin. Puede optarse por alguno de los siguientes paradigmas o estrategias: Paradigmas de seguridad Se permite cualquier servicio excepto aquellos expresamente prohibidos. Se prohbe cualquier servicio excepto aquellos expresamente permitidos. La ms recomendada y utilizada aunque algunas veces suele acarrear problemas por usuarios descontentos que no pueden acceder a tal cual servicio. Estrategias de seguridad Paranoica: se controla todo, no se permite nada. Prudente: se controla y se conoce todo lo que sucede. Permisiva: se controla pero se permite demasiado. Promiscua: no se controla (o se hace poco) y se permite todo. Cunto costar? Estimando en funcin de lo que se desea proteger se debe decidir cunto es conveniente invertir.
Pgina 31
2011
3.9
Restricciones en el firewall
La parte ms importante de las tareas que realizan los Firewalls, la de permitir o denegar determinados servicios, se hacen en funcin de los distintos usuarios y su ubicacin: Usuarios internos con permiso de salida para servicios restringidos: permite especificar una serie de redes y direcciones a los que denomina Trusted (validados). Estos usuarios, cuando provengan del interior, van a poder acceder a determinados servicios externos que se han definido. Usuarios externos con permiso de entrada desde el exterior: este es el caso ms sensible a la hora de vigilarse. Suele tratarse de usuarios externos que por algn motivo deben acceder para consultar servicios de la red interna.
Tambin es habitual utilizar estos accesos por parte de terceros para prestar servicios al permetro interior de la red. Sera conveniente que estas cuentas sean activadas y desactivadas bajo demanda y nicamente el tiempo que sean necesarias.
3.10
Beneficios de un firewall
Los Firewalls manejan el acceso entre dos redes, y si no existiera, todas las computadoras de la red estaran expuestas a ataques desde el exterior. Esto significa que la seguridad de toda la red, estara dependiendo de qu tan fcil fuera violar la seguridad local de cada mquina interna. El Firewall es el punto ideal para monitorear la seguridad de la red y generar alarmas de intentos de ataque, el administrador ser el responsable de la revisin de estos monitoreos. Otra causa que ha hecho que el uso de Firewalls se haya convertido en uso casi imperativo es el hecho que en los ltimos aos en Internet han entrado en crisis el nmero disponible de direcciones IP, esto ha hecho que las intranets adopten direcciones sin clase, las cuales salen a Internet por medio de un traductor de direcciones, el cual puede alojarse en el Firewall. Los Firewalls tambin son importantes desde el punto de vista de llevar las estadsticas del ancho de banda consumido por el trafico de la red, y que procesos han influido ms en ese trfico, de esta manera el administrador de la red puede restringir el uso de estos procesos y economizar o aprovechar mejor el ancho de banda disponible. Los Firewalls tambin tienen otros usos. Por ejemplo, se pueden usar para dividir partes de un sitio que tienen distintas necesidades de seguridad o para albergar los servicios WWW y FTP brindados.
3.11
Limitaciones de un firewall
La limitacin ms grande que tiene un Firewall sencillamente es el hueco que no se tapa y que coincidentemente o no, es descubierto por un intruso. Los Firewalls no son sistemas inteligentes, ellos actan de acuerdo a parmetros introducidos por su diseador, por ende si un paquete de informacin no se encuentra dentro de estos parmetros como una amenaza de peligro simplemente lo deja pasar. Ms peligroso an es que ese
Pgina 32

intruso deje Back Doors, abriendo un hueco diferente y borre las pruebas o indicios del ataque original. Otra limitacin es que el Firewall NO es contra humanos, es decir que si un intruso logra entrar a la organizacin y descubrir passwords o los huecos del Firewall y difunde esta informacin, el Firewall no se dar cuenta. El Firewall tampoco provee de herramientas contra la filtracin de software o archivos infectados con virus, aunque es posible dotar a la mquina, donde se aloja el Firewall, de antivirus apropiados. Finalmente, un Firewall es vulnerable, l NO protege de la gente que est dentro de la red interna. El Firewall trabaja mejor si se complementa con una defensa interna. Como moraleja: cuanto mayor sea el trfico de entrada y salida permitido por el Firewall, menor ser la resistencia contra los paquetes externos. El nico Firewall seguro (100%) es aquel que se mantiene apagado
2011
3.12
Listas de Control de Accesos
Las Listas de Control de Accesos proveen de un nivel de seguridad adicional a los clsicos provistos por los Sistemas Operativos. Estas listas permiten definir permisos a usuarios y grupos concretos. Por ejemplo pueden definirse sobre un Proxy una lista de todos los usuarios (o grupos de ellos) a quien se le permite el acceso a Internet, FTP, etc. Tambin podrn definirse otras caractersticas como limitaciones de anchos de banda y horarios.
3.13
Wrappers
Un Wrapper es un programa que controla el acceso a un segundo programa. El Wrapper literalmente cubre la identidad de este segundo programa, obteniendo con esto un ms alto nivel de seguridad. Los Wrappers son usados dentro de la seguridad en sistemas UNIXs. Estos programas nacieron por la necesidad de modificar el comportamiento del sistema operativo sin tener que modificar su funcionamiento. Los Wrappers son ampliamente utilizados, y han llegado a formar parte de herramientas de seguridad por las siguientes razones: Debido a que la seguridad lgica est concentrada en un solo programa, los Wrappers son fciles y simples de validar. Debido a que el programa protegido se mantiene como una entidad separada, ste puede ser actualizado sin necesidad de cambiar el Wrapper. Debido a que los Wrappers llaman al programa protegido mediante llamadas estndar al sistema, se puede usar un solo Wrapper para controlar el acceso a diversos programas que se necesiten proteger. Permite un control de accesos exhaustivo de los servicios de comunicaciones, adems de buena capacidad de Logs y auditorias de peticiones a dichos servicios, ya sean autorizados o no.
El paquete Wrapper ms ampliamente utilizado es el TCPWrappers, el cual es un conjunto de utilidades de distribucin libre, escrito por Wietse Venema (coautor de SATAN, con Dan Farmer, y considerado el padre de los sistemas Firewalls) en 1990.
Pgina 33

Consiste en un programa que es ejecutado cuando llega una peticin a un puerto especfico. Este, una vez comprobada la direccin de origen de la peticin, la verifica contra las reglas almacenadas, y en funcin de ellas, decide o no dar paso al servicio. Adicionalmente, registra estas actividades del sistema, su peticin y su resolucin. Algunas configuraciones avanzadas de este paquete, permiten tambin ejecutar comandos en el propio sistema operativo, en funcin de la resolucin de la peticin. Por ejemplo, es posible que interese detectar una posible mquina atacante, en el caso de un intento de conexin, para tener ms datos a la hora de una posible investigacin. Este tipo de comportamiento raya en la estrategia paranoica, ya vista cuando se defini la poltica de seguridad del firewall. Con lo mencionado hasta aqu, puede pensarse que los Wrappers son Firewall ya que muchos de los servicios brindados son los mismos o causan los mismos efectos: usando Wrappers, se puede controlar el acceso a cada mquina y los servicios accedidos. As, estos controles son el complemento perfecto de un Firewall y la instalacin de uno no est supeditada a la del otro.
2011
3.14
Deteccin de intrusos en tiempo real
La seguridad se tiene que tratar en conjunto. Este viejo criterio es el que recuerda que los sistemas de proteccin hasta aqu abordados, si bien son eficaces, distan mucho de ser la proteccin ideal. As, debe estar fuera de toda discusin la conveniencia de aadir elementos que controlen lo que ocurre dentro de la red (detrs de los Firewalls). Como se ha visto, la integridad de un sistema se puede corromper de varias formas y la forma de evitar esto es con la instalacin de sistemas de Deteccin de Intrusos en Tiempo Real, quienes: Inspeccionan el trfico de la red buscando posibles ataques. Controlan el registro de los servidores para detectar acciones sospechosas (tanto de intrusos como de usuarios autorizados). Mantienen una base de datos con el estado exacto de cada uno de los archivos (Integrity Check) del sistema para detectar la modificacin de los mismos. Controlan el ingreso de cada nuevo archivo al sistema para detectar Caballos de Troya o semejantes. Controlan el ncleo del Sistema Operativo para detectar posibles infiltraciones en l, con el fin de controlar los recursos y acciones del mismo. Avisan al administrador de cualquiera de las acciones mencionadas.
3.14.1 Sistemas de deteccin de intrusos Un sistema de deteccin de intrusos es un componente ms dentro del modelo de seguridad de una organizacin. Consiste en detectar actividades inapropiadas, incorrectas o anmalas desde el exteriorinterior de un sistema informtico. Los sistemas de deteccin de intrusos pueden clasificarse, segn su funcin y comportamiento en: HostBased IDS: operan en un host para detectar actividad maliciosa en el mismo.
Pgina 34

NetworkBased IDS: operan sobre los flujos de informacin intercambiados en una red. KnowledgeBased IDS: sistemas basados en Conocimiento. BehaviorBased IDS: sistemas basados en Comportamiento. Se asume que una intrusin puede ser detectada observando una desviacin respecto del comportamiento normal o esperado de un usuario en el sistema.
2011
La idea central de este tipo de deteccin es el hecho de que la actividad intrusiva es un conjunto de actividades anmalas. Si alguien consigue entrar de forma ilegal al sistema, no actuar como un usuario comprometido; su comportamiento se alejar del de un usuario normal. Sin embargo en la mayora de las ocasiones una actividad intrusiva resulta del agregado de otras actividades individuales que por s solas no constituyen un comportamiento intrusivo de ningn tipo. As las intrusiones pueden clasificarse en: Intrusivas pero no anmalas: denominados Falsos Negativos (el sistema errneamente indica ausencia de intrusin). En este caso la actividad es intrusiva pero como no es anmala no es detectada. No son deseables, porque dan una falsa sensacin de seguridad del sistema. No intrusivas pero anmalas: denominados Falsos Positivos (el sistema errneamente indica la existencia de intrusin). En este caso la actividad es no intrusiva, pero como es anmala el sistema decide que es intrusiva. Deben intentar minimizarse, ya que en caso contrario se ignorarn los avisos del sistema, incluso cuando sean acertados. No intrusiva ni anmala: son Negativos Verdaderos, la actividad es no intrusiva y se indica como tal. Intrusiva y anmala: se denominan Positivos Verdaderos, la actividad es intrusiva y es detectada.
Los detectores de intrusiones anmalas requieren mucho gasto computacional, ya que se siguen normalmente varias mtricas para determinar cunto se aleja el usuario de lo que se considera comportamiento normal. 3.14.2 Caractersticas de IDS Cualquier sistema de deteccin de intrusos debera, sea cual sea el mecanismo en que est basado, debera contar con las siguientes caractersticas: Debe funcionar continuamente sin supervisin humana. El sistema debe ser lo suficientemente fiable para poder ser ejecutado en background dentro del equipo que est siendo observado. Sin embargo, no debe ser una caja negra (debe ser examinable desde el exterior). Debe ser tolerante a fallos en el sentido de que debe ser capaz de sobrevivir a una cada del sistema. En relacin con el punto anterior, debe ser resistente a perturbaciones. El sistema puede monitorizarse a s mismo para asegurarse de que no ha sido perturbado. Debe imponer mnima sobrecarga sobre el sistema. Un sistema que relentiza la mquina, simplemente no ser utilizado.
Pgina 35

Debe observar desviaciones sobre el comportamiento estndar. Debe ser fcilmente adaptable al sistema ya instalado. Cada sistema tiene un patrn de funcionamiento diferente y el mecanismo de defensa debe adaptarse de manera sencilla a esos patrones. Debe hacer frente a los cambios de comportamiento del sistema segn se aaden nuevas aplicaciones al mismo. Debe ser difcil de engaar.
2011
3.14.3 Fortalezas de IDS

Tabla 2 Fortalezas de IDS
Suministra informacin muy interesante sobre el trfico malicioso de la red. Poder de reaccin para prevenir el dao. Es una herramienta til como arma de seguridad de la red. Ayuda a identificar de dnde provienen los ataques que se sufren.
Protege contra la invasin de la red. Suministra cierta tranquilidad. Es una parte de la infraestructura para la estrategia global de defensa. La posibilidad de detectar intrusiones desconocidas e imprevistas. Pueden incluso contribuir (parcialmente) al descubrimiento automtico de esos nuevos ataques. Son menos dependientes de los mecanismos especficos de cada sistema operativo. Pueden ayudar a detectar ataques del tipo abuso de privilegios que no implica realmente ninguna vulnerabilidad de seguridad. En pocas palabras, se trata de una aproximacin a la paranoia: todo aquello que no se ha visto previamente es peligroso. Menor costo de implementacin y mantenimiento al ubicarse en puntos estratgicos de la red. Dificulta el trabajo del intruso de eliminar sus huellas.
Recoge evidencias que pueden ser usadas para identificar intrusos. Es una cmara de seguridad y una alarma contra ladrones.
Funciona como disuasor de intrusos.
Alerta al personal de seguridad de que alguien est tratando de entrar.
Pgina 36

3.14.4 Debilidades de IDS
Tabla 3 Debilidades de IDS
2011
No existe un parche para la mayora de bugs de seguridad. Se producen falsas alarmas. Se producen fallos en las alarmas. No es sustituto para un buen Firewall, una auditora de seguridad regular y una fuerte y estricta poltica de seguridad.
3.14.5 Inconvenientes de IDS

Tabla 4 Inconvenientes de IDS
La alta tasa de falsas alarmas dado que no es posible cubrir todo el mbito del comportamiento de un sistema de informacin durante la fase de aprendizaje. El comportamiento puede cambiar con el tiempo, haciendo necesario un reentrenamiento peridico del perfil, lo que da lugar a la no disponibilidad del sistema o la generacin de falsas alarmas adicionales. El sistema puede sufrir ataques durante la fase de aprendizaje, con lo que el perfil de comportamiento contendr un comportamiento intrusivo el cual no ser considerado anmalo.
3.15
Kerberos
Instalar Kerberos puede ser una buena opcin para asegurar la red. Kerberos surgi en 1993, ao en que el MIT (Instituto Tecnolgico de Massachusetts) crea el proyecto Athena, y disea Kerberos basndose en la mitologa griega con su perro de tres cabezas y una cola de serpiente vigilando la entrada a Hades (el infierno). Kerberos es un sistema de seguridad que provee autentificacin a travs de redes inseguras. Su objetivo es restringir los accesos slo a usuarios autorizados y poder autentificar los requerimientos a servicios, asumiendo un entorno distribuido abierto, en el cual los usuarios en las estaciones de trabajo acceden a estos servicios a travs de una red. Los modelos de autentificacin hasta ahora vistos son, principalmente, de dos tipos: Recursos: el usuario indica el recurso al que desea acceder mediante un cliente verificado. Usuario: El usuario se ve obligado a verificar su autenticidad cada cierto tiempo.
En estos sistemas se tiene una dificultad esencial: el password viaje en forma permanente por la red estando a merced de cualquier tipo de ataque que se desee realizar. Kerberos fue creado para mitigar este problema de forma tal que el usuario necesita autorizacin para comunicarse con el servidor (y esta es confiable), se elimina la necesidad de demostrar el conocimiento de informacin privada y de que esta viaje a travs de la red.
Pgina 37

Kerberos provee un servidor de autenticacin centralizado, cuya funcin es autentificar a los usuarios frente a servidores y a estos frente a los usuarios. La tecnologa Kerberos est basado en tres objetos de seguridad (tres cabezas, de ah su nombre), los cuales son: Autentificacin Service (AS): Autentifica los usuarios y les proporciona un ticket para realizar la comunicacin con el servidor de Tickets. Tickets Gratign Service (TGS): Proporciona las credenciales necesarias para la comunicacin con el servidor que proporciona los servicios. Autenticador: es un certificado testigo construido por el cliente o el servidor para probar las identidades y la actualidad de la comunicacin; solo puede ser utilizado una vez.
2011
Un Servidor KDC (Kerberos Distribution Center) alojado en el AS mantiene una base de datos de sus clientes (usuarios y servicios) y sus respectivas claves simtricas privadas utilizando DES (aunque actualmente se encuentra en desarrollo versiones de Kerberos empleando RSA): La Clave Secreta del Usuario: esta clave es conocida nicamente por el usuario y por Kerberos y tiene la finalidad de autentificar al usuario frente a Kerberos. El AS comparte una nica clave secreta con cada servidor, las cuales fueron distribudas fsicamente o de otra de forma segura. La Clave de Sesin: clave secreta generada por Kerberos luego de verificar al usuario y expedida al mismo con el objetivo de autentificar el intercambio de un par de usuarios que definen una sesin. Esta clave tiene un tiempo de vida predeterminado y conocida nicamente por aquellos para los cuales fue generada. Ticket: es un certificado testigo expedido a un cliente para solicitar los servicios de un servidor. Este Ticket contiene el ID del usuario y su direccin en la red y es encriptado usando la clave secreta compartida por el AS y el cliente, garantizando que este ha sido autenticado recientemente (el mismo tiene un perodo de validez). Autenticador: Es un testigo construido por el cliente y enviado al AS para probar su identidad. Slo cuando el servidor desencripta el Ticket, y verifica que el ID del usuario es autntico, otorga el servicio requerido.
Existen dos tipos de credenciales utilizadas por el modelo:
3.16

Resumen de Kerberos
En el siguiente grfico puede apreciarse el funcionamiento de las distintas entidades intervinientes en Kerberos y su funcin: Solicitud de un Ticket de acceso. Ticket + Clave de Sesin. Solicitud de un Ticket de acceso al servicio. Ticket + Clave de Sesin. Solicitud de Servicio. Autenticador del Servidor.
Pgina 38
2011
Figura 3-6 Resumen de Kerberos
El proceso de Autentificacin se divide en dos etapas: Autentificacin de Usuario 1. Un usuario desde una Estacin de Trabajo requiere un servicio. 2. AS verifica el correcto acceso del usuario a la Base de Datos, crea un Ticket y una Clave de Sesin. Los resultados son encriptados usando la clave derivada del password del usuario. Autentificacin de Servicio 3. La Estacin solicita el password al usuario y la utiliza para desencriptar el mensaje, luego enva al TGS el Ticket y el Autenticador que contienen el Nombre de Usuario, la Direccin de red y el Tiempo de Vida. 4. El TGS desencripta el Ticket y el Autenticador, verifica la solicitud y crea un Ticket para ser enviado al Servidor. 5. La Estacin de Trabajo enva el Ticket y el Autenticador al Servidor. 6. El Servidor verifica que el Ticket y el Autenticador coincidan, luego permite el Servicio.
Pgina 39
2011
Conclusiones
Existen diversas herramientas y mtodos que podemos combinar para asegurar nuestra red y eliminar o disminuir el riesgo y las amenazas que acechan a las redes. En un mundo tan conectado, es imprescindible que tengamos elementos con que defender nuestra red y datos. Tal vez los dispositivos y las implementaciones parezcan de un gran costo, pero nada es comparable a perder nuestros datos, o que estos se corrompan por ataques que pudimos prever. Siempre debemos tener una respuesta proactiva para este tipo de casos, un buen plan de contingencias y sin duda revisar constantemente las polticas de seguridad establecidas.
Pgina 40
2011
Tabla de Ilustraciones
Figura 1-1 Imagen que nos muestra un sistema de verificacin por medio de usuario y password en el sistema operativo Linux. ............................................................................................ 12 Figura 1-2 Ejemplo de paralizacin de flujo en comunicaciones. .................................................. 14 Figura 1-3 Desvo de los datos............................................................................................................. 14 Figura 1-4 El momento del cambio de datos .................................................................................... 15 Figura 1-5 Esquema de flujos de datos inventado ............................................................................ 15 Figura 3-1 Ejemplificacin de Firewall ............................................................................................... 26 Figura 3-2 Bastin Host ........................................................................................................................ 28 Figura 3-3 Dual Homed Host .............................................................................................................. 29 Figura 3-4 Screened Host ..................................................................................................................... 29 Figura 3-5 Screened Subnet .................................................................................................................. 30 Figura 3-6 Resumen de Kerberos ........................................................................................................ 39
Pgina 41
2011
Referencias
REDES CISCO, 1 EDICIN 2010, BENCHIMAL, DANIEL, EDITORIAL USERS. SEGURIDAD INFORMATICA, 2 ED. 2006, FIRTMAN, SEBASTIAN, EDITORIAL USERS
WWW.SEGU- INFO .COM.AR/PROTECCION /PROTECCION .HTM
Pgina 42

DTPI12 MartinezHolzen Merida

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

DTPI12 MartinezHolzen Merida

Cargado por

Copyright:

Formatos disponibles

20 11 Seguridad en Redes: Reduccin de Riesgos y Amenazas

Proyecto Integrador Documentacin Tcnica

Maestra en Tecnologas de la Informacin Universidad Interamericana para el Desarrollo 24/11/2011

Seguridad en Redes: Reduccin de Riesgos y Amenazas Tabla de contenido

Qu queremos proteger? .................................................................................................... 12

Importancia de los elementos .............................................................................................. 13

De qu nos protegemos? .................................................................................................... 16

2.2.1 2.2.2 2.2.3

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Prueba de vulnerabilidades .................................................................................................. 24

3.14.1 3.14.2 3.14.3 3.14.4 3.14.5

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Holzen Atocha Martnez Garca. Licenciado en Ciencias Computacionales.

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

1.6 Qu queremos proteger?

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

1.7 Importancia de los elementos

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Figura 1-2 Ejemplo de paralizacin de flujo en comunicaciones.

Figura 1-3 Desvo de los datos

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Figura 1-4 El momento del cambio de datos

Figura 1-5 Esquema de flujos de datos inventado

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

1.8 De qu nos protegemos?

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Los crackers: cracker viene del ingls crack(romper) y justamente es lo que

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

2.1 Qu es una amenaza y un riesgo?

2.2 Riesgos en las redes informticas

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

Universidad Interamericana para el Desarrollo

Seguridad en Redes: Reduccin de Riesgos y Amenazas

2.3 Otros riesgos

Trojan horses Time bombs