Proyecto Final

Recomendaciones para presentar la Actividad: Enva el desarrollo de esta actividad a tu tutor@ en un documento de Word, que llamars Proyecto Final. Procura marcar siempre tus trabajos con un encabezado como el siguiente:
Nombre Fecha Actividad Tema

ALEJANDRO SARABIA ARANGO SEPTIEMBRE 06 DE 2012 PROYECTO FINAL MANUAL DE PROCEDIMIENTOS

Luego de haber estudiado los tipos de vulnerabilidades ms comunes, las herramientas usadas para proteger los datos, y haber generado sus procedimientos, est listo para generar la carta magna de la seguridad de la red: El manual de procedimientos.

Proyecto Final

1. Desarrolle el manual de procedimientos de la empresa. Este manual debe tener el estudio previo que se hizo para establecer la base del sistema de seguridad, el programa de seguridad, el plan de accin, las tablas de grupos de acceso, la valoracin de los elementos de la red, los formatos de informes presentados a la gerencia para establecer el sistema de seguridad, los procedimientos escogidos para la red, as como las herramientas, y el desarrollo de cada procedimiento en forma algortmica (agregue todo lo que considere necesario). Recuerde que el manual de procedimientos es un proceso dinmico, por lo que debe modular todos los contenidos en unidades distintas, para poder modificarlas en caso de que sea necesario.

Nota: Este trabajo final, ms que una nota para aprobar el curso, muestra la capacidad que tiene, como persona, de gestionar la seguridad de una red. Guarde este documento, pues es su carta de presentacin para cualquier empleo en el que se le exija experiencia.

Redes y seguridad Proyecto Final

INTRODUCCIN
En la actualidad, las organizaciones son cada vez ms dependientes de sus redes informticas y un problema que las afecte, por mnimo que sea, puede llegar a comprometer la continuidad de las operaciones. La falta de medidas de seguridad en las redes es un problema que est en crecimiento. Cada vez es mayor el nmero de atacantes y cada vez estn ms organizados, por lo que van adquiriendo da a da habilidades ms especializadas que les permiten obtener mayores beneficios. Tampoco deben subestimarse las fallas de seguridad provenientes del interior mismo de la organizacin. El proponer o identificar una poltica de seguridad requiere un alto compromiso con la organizacin, agudeza tcnica para establecer fallas y debilidades, y constancia para renovar y actualizar dicha poltica en funcin del dinmico ambiente que rodea las organizaciones modernas. este manual de procedimientos encontraran de forma clara y precisa en la cual ser administrada los sistemas de informacin de esta empresa para brindar una mayor seguridad de su informacin y la manera de cmo controlar sus activos tecnolgicos tanto a nivel de hardware como de software.

Redes y seguridad Proyecto Final

CONCEPTO DE SEGURIDAD En la actualidad, la seguridad informtica ha adquirido gran auge, dadas las Cambiantes condiciones y las nuevas plataformas de computacin

disponibles. La Posibilidad de interconectarse a travs de redes, ha abierto nuevos horizontes que Permiten explorar ms all de las fronteras de la organizacin. Esta situacin ha llevado a la aparicin de nuevas amenazas en los sistemas computarizados. Consecuentemente, muchas organizaciones gubernamentales y no

Gubernamentales internacionales [1,2] han desarrollado documentos y directrices que Orientan en el uso adecuado de estas destrezas tecnolgicas y recomendaciones con el Objeto de obtener el mayor provecho de estas ventajas, y evitar el uso indebido de la Mismas. Esto puede ocasionar serios problemas en los bienes y servicios de las Empresas en el mundo. En este sentido, las polticas de seguridad informtica (PSI) surgen como una Herramienta organizacional para concientizar a cada uno de los miembros de una Organizacin sobre la importancia y la sensibilidad de la informacin y servicios crticos Que favorecen el desarrollo de la organizacin y su buen funcionamiento.

1. Propsito Establecer los pasos que se deben seguir para garantizar la seguridad en la red.

2. Alcance Este procedimiento aplica al Jefe de Seguridad en Redes, bajo de la supervisin del Director de teleinformtica.
3 Redes y seguridad Proyecto Final

3. Referencia

Para la elaboracin de este procedimiento, se tom como referencia el manual de procedimientos.

4. Responsabilidades

Secretario Administrativo: Responsable de autorizar este procedimiento. Director de Teleinformtica: Responsable de revisar y supervisar la aplicacin de este Procedimiento Jefe Seguridad en Redes: Responsable de elaborar y aplicar este procedimiento.

5. CLIENTES Y PROVEEDORES
PROVEEDORES Externos Jefe de telefona y Videoconferencia ENTREGABLES Equipo, Software y Licenciamiento. Formato de Solicitudes

Clientes Unidad Administrativa

ENTREGABLES Especificaciones tcnicas Hardware y Software. Equipos con Polticas de Seguridad Implementados o Servicios de redes Configurados.

Redes y seguridad Proyecto Final

6. DIRECTORIO ACTIVO El directorio activo permite al administrador de red establecer polticas de seguridad, esta almacena informacin de una organizacin en una base de datos central, organizada y accesible. Nos permite una serie de objetivos relacionados como agregar usuarios, grupos de usuarios, permisos y asignacin de recursos y polticas de acceso.
NOMBRE RIESGO (R) IMPORTANCIA (W) RIESGO EVALUADO (RXW)
Base de Datos 10 10 100 Esta razn porque estn almacenados los detalles de los clientes y los productos de la empresa. Servidor Web 8 10 80 Es un Equipo de los que es de la ser all

DETALLE

de la empresa

costoso por el tema estn montados. Swith 3 5 15 El swith es un equipo cambiar, resetear volver configurar. PC 7 3 21 Son los equipos lo cual los y a activo que se puede servicios

Redes y seguridad Proyecto Final

empleados procesan informacin se puede modificar fcilmente. Impresora 2 1 2 Recurso la para y cambiar piezas

elaboracin

de trabajos lo cual si se daa se cambia con facilidad.

NOMBRE
Base de Datos Base de Datos Acceso a Internet Servidor Pagina Web Acceso a Servidor, Router y Swith Acceso a Equipos

GRUPO USUARIOS

DE

TIPO ACCESO
Local Local Local Local Local y Remoto Local

DE

PRIVILEGIOS
Solo Lectura Solo Lectura Solo Lectura Lectura y Escritura. Lectura y Escritura Todos

Empleados y Administracin Clientes, Producto y Presupuesto Usuario Tcnicos de Mantenimiento Administradores de red Tcnicos de Sistemas

7. CREACIN DE LOS USUARIOS Cada usuario de la compaa se le agrega un usuario corporativo con su respectivo modo de acceso y sus limitaciones. Procedimiento de alta cuenta de usuarios: se lleva a cabo cuando se crea una cuenta de usuario teniendo en cuenta datos personales, cargo y funciones a realizar. El administrador del directorio activo deber solicitar los siguientes datos:

Redes y seguridad Proyecto Final

 Nombres y Apellidos rea de desempeo Cargo Extensin del rea de trabajo Tipo de contrato Correo electrnico

Con estos datos el LOGIN del usuario seria Letra inicial del nombre Apellido completa Letra inicial del apellido NOMBRE 1 APELLIDO Juan Zapata Carlos Alejandro Sarabia 2 APELLIDO Ruiz Arango LOGIN JZAPATAR ASARABIAA

Procedimiento de buenas contraseas: Determinar buenas contraseas de usuario que deben contener letras, nmeros y caracteres para que sea ms difcil de descifrar para que sea ms tedioso para el software que descifran las claves. 8. CREACIN DE LA CUENTA CORPORATIVA La cuenta corporativa es importante por los datos confidenciales de la empresa el administrador solicita los siguientes datos: Nombres y Apellidos rea de desempeo Cargo
7 Redes y seguridad Proyecto Final

 Extensin del rea de trabajo Tipo de contrato Correo electrnico Con estos datos el administrador crea el ID de la siguiente forma: Letra inicial del nombre Apellido completa Letra inicial del apellido

Nombre 1 apellido Juan Carlos Zapata Alejandro Sarabia

2 apellido Ruiz Arango

ID CORREO JZAPATAR@hp.com.co ASARABIAA@hp.com.co

9. PROCEDIMIENTO INVENTARIOS BIENES ACTIVOS Cuando ingresa nuevo personal a la empresa el jefe de dicha rea o departamento ser el encargado de enviar una solicitud por correo electrnico al rea de informtica, este correo debe llegar tanto al encargado de los bienes tecnolgicos como al jefe de dicha rea (Informtica). Inmediatamente el agente de soporte tcnico empezar a preparar la mquina con los programas solicitados, incluyendo el correo, corporativo, impresora y el S.O con todas sus actualizaciones (parches de seguridad). Adems antes de entregar el equipo de cmputo el usuario deber firmar un acta en la cual se describe las partes esenciales con sus respectivos seriales. El formato utilizado aplica tambin para cuando una persona realiza un reintegro al rea de sistemas.

Redes y seguridad Proyecto Final

10. PROCEDIMIENTO PARA SOPORTE TCNICO Se implementar una mesa de ayuda de 3 niveles de los cuales se dividen as: Primer nivel Por medio de la lnea telefnica que se habilitar los usuarios que llamen recibirn asistencia remota hasta donde lo permita la situacin, en este caso el incidente que se presenta, si no se resuelve de forma oportuna el servicio que el usuario necesita se deber tomar los datos del usuario y registrarlo en el software de incidentes para que el segundo nivel se haga cargo. Segundo nivel Interviene el Agente de soporte en sitio, el cul brindar atencin de una forma amable y educada y resolver el incidente que se presente. El agente de soporte en sitio se encargar fuera de resolver el incidente, el de verificar que el sistema local est sin problemas, es decir, mirar que el equipo no presente dems fallas para as evitar el llamado concurrente del usuario. Si el segundo nivel no puede dar solucin al incidente se escalar el servicio al tercer nivel. Tercer nivel En este nivel encontramos a los administradores de servidores.

11. HERRAMIENTAS PARA CONTROL Las herramientas para uso de administracin de redes, ser nica y exclusivamente para el personal administrativo del rea de redes y sobre ellos caer toda responsabilidad por el uso de la misma.

Redes y seguridad Proyecto Final

ARANDA SOFTWARE Se utilizarn los mdulos de Aranda para llevar un control preciso tanto en software como en hardware, hay que tener en cuenta que se deber instalar en cada mquina (computador) un agente el cual recoger toda la informacin a nivel de software y hardware. Mdulo Metrix Recoge informacin del software que tenga instalado cada equipo, esto nos ayudar a tener control sobre los programas que se instalen ya que la idea aqu es evitar que la empresa se vea sancionada por no tener un ptimo control sobre este tema. Mdulo Network Permite conocer los dispositivos de red en un diagrama topolgico que permite las vistas de routers, switches, servidores, estaciones de trabajo y servicios. Este software permite encontrar fallas en la red rpidamente, adems son ste se puede administrar dispositivos conectados a la red de una entidad, como routers, switchs, estaciones de trabajo, impresoras, entre otros. Permite obtener reportes con los siguientes datos: Identificador Nombre del dispositivo Ubicacin Descripcin Fabricante Tipo de dispositivo IP MAC, entre otros. NETLOG

10

Redes y seguridad Proyecto Final

Como hay ataques a la red a gran velocidad haciendo en ocasiones imposible de detectar, esta herramienta es indispensable pues nos permite ver paquetes que circulan por la red y determinar si son sospechosos, peligrosos o si es un ataque que se produjo.

GABRIEL Tomara este demonio, para contrarrestar ataques SATAN, pues el Daemon Security Application Technical Authorization Network es una excelente herramienta, que puede ocasionar grandes daos. GABRIEL es muy til pues una mquina afectada enva inmediatamente un reporte al servidor, haciendo ms fcil solucionar e identificar la mquina. Comprende Cliente-Servidor Identifica el ataque SATAN Conexin de inmediata de fallos de cliente

CRACK Esta herramienta es muy til para implementar la cultura en los usuarios de generar contraseas ptimas, pues recordemos y tengamos presentes que los datos son un valor muy importante de una empresa. Esta herramienta es muy til para implementar la cultura en los usuarios de generar contraseas ptimas, pues recordemos y tengamos presentes que los datos son un valor muy importante de una empresa. Realiza una inspeccin para detectar passwords dbiles y vulnerables Comprueba la complejidad de las contraseas.

TRINUX Ser muy til para controlar el trfico de correos electrnicos entrantes y salientes, evitar el robo de contraseas y la intercepcin de correos, esta
11 Redes y seguridad Proyecto Final

herramienta nos evitara un DoS que hara colapsar los sistemas de una empresa. 12. PLAN DE EJECUCIN Elaborando el plan de ejecucin como una lista de chequeo o checklist no enfocamos en una lista de tareas a llevar a cabo para chequear el funcionamiento del sistema. Asegurar el entorno. Qu es necesario proteger? Cules son los riesgos? Determinar prioridades para la seguridad y el uso de los recursos. Crear planes avanzados sobre qu hacer en una emergencia. Trabajar para educar a los usuarios del sistema sobre las necesidades y las ventajas de la buena seguridad Estar atentos a los incidentes inusuales y comportamientos extraos. Asegurarse de que cada persona utilice su propia cuenta. Estn las copias de seguridad bien resguardadas? No almacenar las copias de seguridad en el mismo sitio donde se las realiza Los permisos bsicos son de slo lectura? Si se realizan copias de seguridad de directorios/archivos crticos, usar chequeo de comparacin para detectar modificaciones no autorizadas. Peridicamente rever todo los archivos de booteo de los sistemas y los archivos de configuracin para detectar modificaciones y/o cambios en ellos. Tener sensores de humo y fuego en el cuarto de computadoras. Tener medios de extincin de fuego adecuados en el cuarto de computadoras. Entrenar a los usuarios sobre qu hacer cuando se disparan las alarmas.

12

Redes y seguridad Proyecto Final

 Instalar y limpiar regularmente filtros de aire en el cuarto de computadoras. Instalar UPS, filtros de lnea, protectores gaseosos al menos en el cuarto de computadoras. Tener planes de recuperacin de desastres. Considerar usar fibras pticas como medio de transporte de informacin en la red. Nunca usar teclas de funcin programables en una terminal para almacenar informacin de login o password. Considerar realizar autolog de cuentas de usuario. Concientizar a los usuarios de pulsar la tecla ESCAPE antes de ingresar su login y su password, a fin de prevenir los Caballos de Troya. Considerar la generacin automtica de password. Asegurarse de que cada cuenta tenga un password. No crear cuentas por defecto o guest para alguien que est temporariamente en la organizacin. No permitir que una sola cuenta est compartida por un grupo de gente. Deshabilitar las cuentas de personas que se encuentren fuera de la organizacin por largo tiempo. Deshabilitar las cuentas dormidas por mucho tiempo. Deshabilitar o resguardar fsicamente las bocas de conexin de red no usadas. Limitar el acceso fsico a cables de red, routers, bocas, repetidores y terminadores. Los usuarios deben tener diferentes passwords sobre diferentes segmentos de la red. Monitorear regularmente la actividad sobre los Gateway. de contingencia: Que se debe hacer en caso de una falla o un ataque a los sistemas. Capacitacin constante:
13 Redes y seguridad Proyecto Final

Plan

Esto incluye tanto a los usuarios como a los administradores de los sistemas. Monitoreo: Garantizar un buen funcionamiento de las PSI.

Elementos de una PSI Rango de accin de las polticas. Esto se refiere a las personas sobre las cuales se posa la ley, as como los sistemas a los que afecta. Reconocimiento de la informacin como uno de los principales activos de la empresa. Objetivo principal de la poltica y objetivos secundarios de la misma. Si se hace referencia a un elemento particular, hacer una descripcin de dicho elemento. Responsabilidades generales de los miembros y sistemas de la empresa. Como la poltica cubre ciertos dispositivos y sistemas, estos deben tener un mnimo nivel de seguridad. Se debe definir este umbral mnimo. Explicacin de lo que se considera una violacin y sus repercusiones ante el no cumplimiento de las leyes. Responsabilidad que tienen los usuarios frente a la informacin a la que tienen acceso.

14

Redes y seguridad Proyecto Final