Defense in Depth (DiD)

Seguridad en profundidad en los Sistemas de Informacin

Javier de Pedro Carracedo

Universidad de Alcal

Aplicaciones Telemticas
Curso 2010/11

UAH

Contenidos
Introduccin Objetivos Principios bsicos Seguridad en los Sistemas de Informacin Deniciones Mtodo de defensa en profundidad Infraestructura de seguridad en capas Hacking tico. Test de penetracin (PENTEST) Introduccin Tests de penetracin o intrusin Metodologas de tests de intrusin

UAH

Esbozo
Introduccin Objetivos Principios bsicos Seguridad en los Sistemas de Informacin Deniciones Mtodo de defensa en profundidad Infraestructura de seguridad en capas Hacking tico. Test de penetracin (PENTEST) Introduccin Tests de penetracin o intrusin Metodologas de tests de intrusin

UAH

Objetivos

Muy peligroso. Dormirse en una falsa certeza.

Gestionar la incertidumbre, mantenindose una inquietud razonable y una verdadera vigilancia. Denir un marco operativo en materia de arquitectura de un Sistema de Informacin y gestin de los riesgos.

Objetivos
El atacante debe perder el empuje inicial, dado que debe superar varias barreras independientes.

UAH

Esbozo
Introduccin Objetivos Principios bsicos Seguridad en los Sistemas de Informacin Deniciones Mtodo de defensa en profundidad Infraestructura de seguridad en capas Hacking tico. Test de penetracin (PENTEST) Introduccin Tests de penetracin o intrusin Metodologas de tests de intrusin

UAH

Principios bsicos
Sbastien Le Prestre, Marqus de Vauban. Ingeniero militar con Luis XIV.

Principios bsicos La informacin como primera lnea de defensa.

Amenazas efectivas, deteccin de ataques conocidos, comportamientos sospechosos.

Varias lneas de defensa autnomas, coordinadas y ordenadas por capacidad de defensa. La prdida de una lnea de defensa debe debilitar el ataque, reforzando el resto de lneas de defensa. Una lnea de defensa debe atender todas las amenazas. La defensa no excluye acciones ofensivas.

UAH

Esbozo
Introduccin Objetivos Principios bsicos Seguridad en los Sistemas de Informacin Deniciones Mtodo de defensa en profundidad Infraestructura de seguridad en capas Hacking tico. Test de penetracin (PENTEST) Introduccin Tests de penetracin o intrusin Metodologas de tests de intrusin

UAH

Deniciones

Gravedad. Impacto real en funcin de la criticidad del bien (consecuencia directa) e impacto potencial en funcin de la cantidad de lneas de defensa restantes.
Denir una escala que determine los niveles de gravedad (comparar los distintos incidentes de seguridad).

Barrera. Medida de seguridad capaz de proteger una parte del sistema contra al menos una amenaza. Lnea de defensa. Conjunto de barreras cuya superacin provoca un incidente de seguridad. Su gravedad se supedita a la cantidad de barreras que una amenaza debe atravesar an para alcanzar el bien protegido.
Una lnea de defensa comprende una transicin entre dos niveles de gravedad e implica una reaccin planicada.

UAH

Deniciones

Defensa en profundidad. Defensa global y dinmica que coordina varias lneas de defensa que cubren toda la profundidad del sistema.
Profundidad en la organizacin.
Cadena de responsabilidades. Difusin de la informacin de seguridad.

Profundidad en la implementacin.
Polticas de seguridad contrastadas y actualizadas (dinamismo). Polticas de mantenimiento.

Profundidad en las tecnologas.

Diversicacin de los elementos de seguridad. Seguridad controlada (aislamiento zonal).

UAH

Esbozo
Introduccin Objetivos Principios bsicos Seguridad en los Sistemas de Informacin Deniciones Mtodo de defensa en profundidad Infraestructura de seguridad en capas Hacking tico. Test de penetracin (PENTEST) Introduccin Tests de penetracin o intrusin Metodologas de tests de intrusin

UAH

Mtodo de defensa en profundidad

UAH

Etapa 1. Objetivos de seguridad

Determinar los bienes que deben defenderse y su criticidad (anlisis de riesgos).
Enfoques inductivo (amenazas) y deductivo (recursos). Denicin de las necesidades de seguridad.

Escala de gravedad

UAH

Etapa 2. Arquitectura general del sistema

Determinar profundidad de dispositivo y elecciones en materia de organizacin, tecnologas y procedimientos de seguridad.

Divisin en zonas segn los riesgos (puntos crticos). Determinacin de las barreras (independencia de las entidades). Divisin organizativa (profundidad en la organizacin).

UAH

Etapa 3. Poltica de defensa

Integracin de las lneas de defensa (organizacin, implementacin y tecnologas).

Determinacin de la defensa global y coordinada. Planicacin. Conguracin y plan de choque Tres funciones de seguridad: proteccin, deteccin y reaccin.

UAH

Etapa 4. Calicacin
Validacin de la organizacin y la arquitectura. Enfoque cualitativo Validar el cumplimiento de los principios de defensa en profundidad. Procedimiento de calidad.
Demostrar el carcter exhaustivo de los objetivos de seguridad repecto a las amenazas consideradas.

Enfoque cuantitativo o demostrativo Analizar la coherencia prctica de la aplicacin del mtodo de defensa en profundidad (contrastar modelo de defensa con anlisis de riesgos).
Anlisis por situacin envolvente. Evaluar riesgo mximo, valorando la pertinencia de la cantidad de barreras propuesta. Anlisis por componente defectuoso. Valorar la proteccin restante ante un fallo aleatorio en alguno de los componentes.

UAH

Etapa 5. Evaluacin permanente y peridica

Evaluacin sistemtica de la defensa en profundidad.
Revisin peridica. Puesta en marcha inicial y supervisin peridica. Revisin permanente. Explotacin de la experiencia adquirida y monitorizacin.

Aspectos fundamentales.
Estudio esttico de los componentes. Estudio dinmico de las incidencias (experiencia). Esquema orientativo. Auditoras peridicas. Retroaccin. Evolucin del ciclo de vida del sistema (actualizacin si el coste lo merece). Homologacin de seguridad (decisin no permanente) El Sistema de Informacin se considera apto para procesar informacin, de acuerdo a un nivel de sensibilidad determinado.

UAH

Esbozo
Introduccin Objetivos Principios bsicos Seguridad en los Sistemas de Informacin Deniciones Mtodo de defensa en profundidad Infraestructura de seguridad en capas Hacking tico. Test de penetracin (PENTEST) Introduccin Tests de penetracin o intrusin Metodologas de tests de intrusin

UAH

Infraestructura de seguridad en capas

UAH

Esbozo
Introduccin Objetivos Principios bsicos Seguridad en los Sistemas de Informacin Deniciones Mtodo de defensa en profundidad Infraestructura de seguridad en capas Hacking tico. Test de penetracin (PENTEST) Introduccin Tests de penetracin o intrusin Metodologas de tests de intrusin

UAH

Introduccin
Conocer si los sistemas informticos y redes estn protegidos frente a intrusos. Medidas preventivas. Evaluar la seguridad de los sistemas. Hacking tico Simulacin controlada de las actividades delictivas. Filosofa. Para atrapar a un ladrn se debe pensar como un ladrn. Motivacin. La seguridad no suele incorporarse en el proceso de desarrollo del software.

Tests de penetracin
UAH

Esbozo
Introduccin Objetivos Principios bsicos Seguridad en los Sistemas de Informacin Deniciones Mtodo de defensa en profundidad Infraestructura de seguridad en capas Hacking tico. Test de penetracin (PENTEST) Introduccin Tests de penetracin o intrusin Metodologas de tests de intrusin

UAH

Tipos de tests
Objetivos. Comprobar y clasicar las vulnerabilidades.
El impacto se supedita a las necesidades de la organizacin.

Tipos de tests de intrusin Tests de intrusin con objetivo. Componentes especcos relevantes para la organizacin. Tests de intrusin sin objetivo. Totalidad de los componentes de la organizacin. Tests de intrusin ciega. Informacin pblica disponible sobre la organizacin.
Tests de intrusin informada. Ataques perpetrados por entes internos. Tests de intrusin externa. Seguridad perimetral. Evaluacin externa de las instalaciones. Tests de intrusin interna. Polticas y mecanismos internos de seguridad. Evaluacin interna de las instalaciones.

UAH

Otras modalidades de Hacking tico

Hacking tico de caja negra.

Desconocimiento total del cliente (ni direcciones IP, ni infraestructura de red, etc.). Informacin obtenida por otros medios (RIPE, ARIN, etc.).

Hacking tico de caja blanca.

Se dispone de toda la informacin de la organizacin. Anlisis en profundidad de vulnerabilidades (scripts). Informe detallado de vulnerabilidades y recomendaciones.

Hacking tico de caja gris.

Se dispone de cierta informacin, como direcciones IP, pero no la infraestructura (rewalls, IDS, etc.).

Hacking tico de aplicaciones web, de VoIP, de sistemas de comunicaciones, de DoS, etc.

UAH

Principios

Infraestructuras de red accesibles desde el exterior. Seguridad cambiante. Tests de penetracin peridicos. Preparativos de los tests de penetracin.
Reconocimiento de la visibilidad de la organizacin (tcnicas no intrusivas). Sistemas sometidos a los tests de penetracin Ataques.
Tests desde mquina remota, con direccin IP pblica conocida por el cliente. Metodologas OSSTMM, ISSAF, OWASP, etc. No se efectuarn pruebas de DoS e ingeniera social, salvo exigencia expresa del cliente.

UAH

Fases de un test de penetracin

1 2 3 4 5 6 7 8 9

Recopilacin de informacin. Enumeracin de la red. Exploracin de los sistemas. Extraccin de informacin. Acceso no autorizado a informacin sensible. Auditora de aplicaciones web. Elaboracin de informes y recomendaciones. Comprobacin del proceso de parcheado de los sistemas. Informe nal.

UAH

Benecios de un test de penetracin

Conocer el grado de vulnerabilidad de los sistemas (medidas correctivas). Descubrir agujeros de seguridad en los cambios de conguracin. Determinar sistemas en peligro, resultado de la desactualizacin. Identicar conguraciones errneas. Minimizar los riesgos con impacto ecnomico.
Imagen corporativa. Oportunidad de negocio. Sanciones legales. Reclamacin de los clientes.

Ahorrar tiempo y dinero antes de que situaciones negativas sucedan.

UAH

Esbozo
Introduccin Objetivos Principios bsicos Seguridad en los Sistemas de Informacin Deniciones Mtodo de defensa en profundidad Infraestructura de seguridad en capas Hacking tico. Test de penetracin (PENTEST) Introduccin Tests de penetracin o intrusin Metodologas de tests de intrusin

UAH

Open Source Security Testing Methodology Manual (OSSTMM)

Estndar de referencia. Tests de seguridad en forma ordenada y con calidad profesional. Secciones. Mdulos de tests especcos.
Seguridad de la informacin. Seguridad de los procesos. Seguridad en las tecnologas de Internet. Seguridad en las comunicaciones. Seguridad inalmbrica. Seguridad fsica.

Aspectos no tcnicos.
Credenciales del profesional del testing. Presentacin de resultados. Normas ticas y legales. Tiempos invertidos en las tareas (frecuencia de los tests). Valores de Evaluacin de Riesgos (RAV). Objetividad y transparencia.

UAH

Information Systems Security Assessment Framework (ISSAF)

Manual de buenas prcticas en las tareas involucradas en un test de intrusin. Organizado por criterios de evaluacin, escritos y revisados por expertos en cada rea de aplicacin.
Descripcin del criterio de evaluacin. Objetivos cubiertos. Requisitos previos para conducir la evaluacin. Proceso de evaluacin. Informe de resultados. Contramedidas y recomendaciones. Referencias y documentacin externa.

Contenidos distribuidos por dominios: generales y especcos (tcnicas concretas). Prestar atencin a las actualizaciones (obsolescencia).

UAH

OWASP Testing Project (OTP)

OWASP. Open Web Application Security Project Evaluacin de seguridad de aplicaciones web. Metodologa dividida en dos partes.
Primera parte.
Principios de testing. Explicacin de las tcnicas de testing. Explicacin general del marco OWASP.

Segunda parte.
Planicacin de tcnicas de testing en cada etapa del ciclo de vida del desarrollo software (SDCL).

UAH

OWASP Testing Project (OTP)

Framework 1 Antes del desarrollo.
Revisin de polticas y estndares. Desarrollo de un criterio de medidas y mtricas (trazabilidad).

2 Durante la denicin y el diseo.

Revisin de requerimientos de seguridad. Diseo de revisin de arquitectura. Creacin y revisin de modelos de amenazas.

3 Durante el desarrollo. Revisin del cdigo. 4 Durante la implementacin. Tests de intrusin de aplicacin, administracin y conguracin. 5 Operacin y mantenimiento. Chequeos peridicos y control de cambios.

UAH

ISO 27002
ISO/IEC 17799:2005. Certicacin de calidad Manual de buenas prcticas y especicacin de requisitos necesarios para establecer, implantar, mantener y mejorar un Sistema de Gestin de la Seguridad de la Informacin (mecanismos y controles).
Poltica de seguridad de la informacin. Organizacin de la seguridad de la iInformacin Gestin de activos de informacin. Seguridad de los recursos humanos. Seguridad fsica y ambiental. Gestin de las comunicaciones y operaciones. Control de accesos. Adquisicin, desarrollo y mantenimiento de sistemas de informacin. Gestin de incidentes en la seguridad de la informacin. Gestin de continuidad del negocio. Cumplimiento.

UAH

Lecturas recomendadas

Cliff Riggs. Network perimeter security: building defense in-depth. Auerbach Publications, 2003. Omar Santos. End-to-end network security: defense-in-depth. Cisco Press, 2008. Houston H. Carr, Charles A. Snyder, Bliss Bailey. Defense in Depth: The Management of Network Security. Tavenner Publishing Company, 2007. Michael T. Simpson, Kent Backman, James Corley. Hands-On Ethical Hacking and Network Defense. Second edition, Cengage Learning, 2010.

UAH