1 Redes y seguridad

Proyecto Final


Proyecto Final

Recomendaciones para presentar la Actividad:
Enva el desarrollo de esta actividad a tu tutor@ en un documento de Word, que llamars
Proyecto Final.
Procura marcar siempre tus trabajos con un encabezado como el siguiente:

Nombre Hctor Triana Lpez
Fecha 19/VIII/2014
Actividad Evidencia semana 4
Tema Proyecto final

Luego de haber estudiado los tipos de vulnerabilidades ms comunes, las herramientas usadas
para proteger los datos, y haber generado sus procedimientos, est listo para generar la carta
magna de la seguridad de la red: El manual de procedimientos.

Proyecto Final

1. Desarrolle el manual de procedimientos de la empresa. Este manual debe tener el
estudio previo que se hizo para establecer la base del sistema de seguridad, el programa
de seguridad, el plan de accin, las tablas de grupos de acceso, la valoracin de los
elementos de la red, los formatos de informes presentados a la gerencia para establecer
el sistema de seguridad, los procedimientos escogidos para la red, as como las
herramientas, y el desarrollo de cada procedimiento en forma algortmica (agregue todo
lo que considere necesario). Recuerde que el manual de procedimientos es un proceso
dinmico, por lo que debe modular todos los contenidos en unidades distintas, para
poder modificarlas en caso de que sea necesario.

Nota: Este trabajo final, ms que una nota para aprobar el curso, muestra la capacidad que
tiene, como persona, de gestionar la seguridad de una red. Guarde este documento, pues es su
carta de presentacin para cualquier empleo en el que se le exija experiencia.




2 Redes y seguridad
Proyecto Final


INTRODUCCIN

El uso de las redes informticas es algo multidisciplinar, pues abarca desde lo
cientfico hasta lo empresarial, por lo que ha progresado notoriamente en estos
aos y ha abierto la posibilidad a un mundo sin fronteras gracias a los recursos
digitales. Esto ha conllevado a contemplar cosas buenas como malas, y
respecto a estas, se debe trabajar en aras de la seguridad organizacional, esta
debe validarse constante y peridicamente; por eso debe haber nuevos
mtodos de proteccin de los datos con el uso de tecnologas, programas y
algoritmos que sean un escudo ante amenazas internas y externas para que
puedan ser accesibles solo para quienes deben verlos y manejarlos.
La asignacin de responsabilidades es algo que debe hacerse en cada
jerarqua de la empresa para poder aplicar un buen Plan de Seguridad
Informtica, cada quien debe tener privilegios y accesos establecidos que sean
entendibles y respetados por todos mediante directrices establecidas en un
manual de procedimientos bien detallado y contemplado por todos como un
estndar de proteccin corporativo. Todo esto con el fin de garantizar la
fiabilidad y la preservacin de la estabilidad de cada miembro.
El hardware y el software de capa equipo es importante y debe darse de tal
modo que un equipo afectado no disminuya tanto el rendimiento total del
conglomerado de computadores, por eso, la aplicacin de un buen PSI debe
permitir que hayan CPU disponibles para trabajar y cumplir con las
responsabilidades ante los usuarios.
Cabe agregar que es importante velar por la proteccin de la informacin en
todo aspecto actuando de manera consensuada por la seguridad de la red
previniendo ataques y vulnerabilidades desde el eslabn ms pequeo hasta la
alta gerencia, as como tener respuestas eficaces y eficientes en caso de
cualquier calamidad. Por eso, los trabajadores tienen que ser informados sobre
los riesgos constantes y sus prevenciones con el fin de evitar situaciones que
pongan en peligro la integridad empresarial.



3 Redes y seguridad
Proyecto Final

PROGRAMA DE SEGURIDAD

La seguridad es un aspecto muy importante para toda entidad en lo que a
datos se refiere, es un concepto que involucra la parte fsica (el hardware), los
programas que representan la parte lgica (software), la administracin que se
le d a los datos por medio del hardware y software, y la capacitacin del
personal. Por esta razn es un paso primordial el establecer normativas y
estndares que permitan obtener una base de manejo seguro de la informacin
y de los recursos involucrados que son de un valor considerable en el
panorama presupuestal, de tal forma que, la empresa no puede ser indiferente
y por lo tanto, se hace necesario proteger, asegurar y administrar la
informacin necesaria para garantizar su existencia gracias a un Plan de
Seguridad Informtica aplicado en la empresa.



4 Redes y seguridad
Proyecto Final

ESTUDIO PREVIO DEL SISTEMA DE SEGURIDAD
La seguridad de una empresa es un aspecto tras bastidores que debe estar
pendiente a riesgos, amenazas, peligros y los peores escenarios posibles para
que todo el panorama prospere con una estabilidad constante para todos los
involucrados evitando toda peculiaridad negativa; es por eso que un Plan de
Seguridad Informtica debe tener polticas slidas y aplicadas a cabalidad con
estrategias adecuadas.
A continuacin, describamos los riesgos a los que una empresa puede
exponerse:
-Informacin confidencial que puede manipularse por usuarios no autorizados.
-Suplantacin de identidad de baja hasta alta jerarqua.
-Falla en permitir el paso de no empleados dentro de la empresa.
-Computadores usados por personal variado.
-Falta de acatamiento de responsabilidades asignadas de acuerdo al cargo
desempeado.
-Posibles fallos en la red elctrica pueden ocasionar dao a los equipos de
cmputo y afectar notablemente el rendimiento empresarial.
-Ataque de hacker a la base de datos mediante el uso de malware.
-La informacin de la red puede ser modificada.
-La red puede ser atacada mediante sniffing falsificando posibles emisores y
receptores de informacin.
-Las estaciones de acopio de informacin son de libre acceso y pueden ser
vulnerables ante ataques informticos internos y/o externos.






5 Redes y seguridad
Proyecto Final

PLAN DE ACCIN

Las polticas adoptadas tienen que ser implementarse, administrarse y
mantenerse para que los datos estn en buen estado. El propsito de esto es
asegurar que los funcionarios usen los recursos tecnolgicos de forma correcta
y obligatoria, para que en caso de fallos, se apliquen sanciones apropiadas a
quienes lo merezcan.
A continuacin presentamos el siguiente plan de accin a seguir:
De las cuentas de usuario:
-Crear cuentas seguras para cada usuario que trabaje en la empresa de modo
que no afecte a s mismo ni a los dems.
- Cada persona que acceda al sistema debe tener una sola cuenta de usuario.
Esto permite realizar seguimiento y control,
-Cada cuenta de usuario debe poseer permisos y privilegios correspondientes a
su jerarqua en la empresa.
- La solicitud de una nueva cuenta o el cambio de privilegios, deber hacerse
en una carta por escrito y ser debidamente autorizada por la Oficina de
Sistemas y el departamento de seguridad.
- Por ningn motivo se conceder una cuenta a personas que no sean
empleados de la empresa.
-El departamento de Recursos Humanos debe informar cuando una persona no
labora en la empresa para desactivar cuenta.

Del internet:
-El acceso a internet debe ser de uso exclusivamente laboral, el ancho de
banda es prioritario para actividades operativas.
-No recibir ni compartir informacin proveniente de origen dudoso como
archivos adjuntos que puedan ser virus
-No acceder a pginas web que atenten contra la dignidad humana.

6 Redes y seguridad
Proyecto Final

-No hay autorizacin para descargar versiones demo de programas maliciosos
o no; en caso de algn aplicativo necesario para la actividad laboral, debe
comunicarlo a la oficina de sistemas.
-Todo empleado debe acceder a informacin til para el mbito laboral.

Del correo electrnico:
-No hacer envo de archivos que tengan mucho peso en Bytes para economizar
ancho de banda en actividades operativas.
-No enviar ni recibir mensajes que impliquen contenidos no laborales, es decir,
no se debe usar el correo electrnico empresarial para manejar mensajes o
archivos personales.
-No propagar mensajes masivos y encadenados
-No ofrecer el correo empresarial a terceros
-No hacer mal uso del correo empresarial para atentar contra la integridad de
algn compaero u otro aspecto no laboral.
-En caso de recibir un mensaje de un correo desconocido, comunicar a oficina
de sistemas para verificar estado de seguridad.
-El acceso a cuentas personales no debe hacerse en horario laboral.
-El usuario debe cerrar la cuenta de correo al dejar su puesto de trabajo.
-Verificar atenta y cuidadosamente a quien enva un correo de mbito laboral
para que terceros no se enteren de actividades corporativas.
-El usuario debe priorizar los mensajes que reciba para evitar saturacin de
ancho de banda.
-Los mensajes tendrn vigencia de un mes desde la fecha de recepcin para
mantener el servidor de correo no saturado.




7 Redes y seguridad
Proyecto Final


De la red interna:
-La informacin almacenada debe ser manejada por personal autorizado para
su respectivo respaldo o back-up diario al finalizar actividades laborales.
-Los respaldos deben estar constituidos por subcarpetas de acuerdo a las
divisiones prioritarias de la empresa: Gerencia, Coordinacin, Desarrollo,
Oficios, Planeacin, Contabilidad, Secretara, Recursos Humanos.
-La informacin que no se use, debe eliminarse en equipo de cmputo o en
memoria USB para evitar infiltraciones y saturacin de espacio.
-Evitar que personal no autorizado manipule o modifique datos prioritarios.

De las polticas de uso de equipos de cmputo, impresoras y perifricos:
-Todo equipo que represente alguno de esta categora infraestructural debe ser
usado solo para el rendimiento empresarial.
-Los usuarios no deben instalar, eliminar o modificar software entregados en su
computador.
-Los equipos de deben destaparse por personal diferente de la oficina de
sistemas o asociados a estos.
-Los usuarios no deben conectar dispositivos distintos a los entregados en los
equipos.
-Las instalaciones deben ser mantenidas peridicamente garantizando su
constante funcionamiento.
-Los equipos no deben ser trasladados de lugar sin autorizacin de la oficina de
sistemas.
-La oficina de sistemas debe informar constantemente sobre lo que sucede con
relacin a la infraestructura tecnolgica ante la gerencia informtica para evitar
problemas inesperados.
-Los equipos deben estar ubicados en sitios secos, libres de humedad y
temperatura adecuada.

8 Redes y seguridad
Proyecto Final

-Nadie debe formatear ningn disco duro.
-Los funcionarios deben usar los equipos solo para el mbito laboral.
-Solo se brinda soporte tcnico a equipos que pertenezcan a la empresa.
-Todo saboteo a equipos de la empresa debe ser reportado para aplicar la
respectiva sancin disciplinaria.

De las polticas varias;
-Los equipos deben permanecer desconectados al inicio de la jornada laboral,
a la hora del almuerzo y al final del da para ahorrar recursos energticos.
-La IP asignada al equipo de cmputo de trabajo debe permanecer conservada
y ser manipulada solo por personal de la Oficina de sistemas y asociados como
los encargados de la seguridad informtica para no ocasionar conflictos en la
red local.
-No ocupar espacio de disco duro en contenido no laboral.
-Los flujos de red deben estar en constante revisin para evitar inconvenientes
de trfico e infiltraciones.
-Es obligacin reportar problemas que alteren el funcionamiento de la empresa,
como con las instalaciones elctricas, fallos tcnicos, etc.
De la capacitacin de personal:
-La capacitacin debe tener un anlisis previo del panorama de seguridad
informtica y que advierta sobre los riesgos del momento a evitar en cada
seccin de trabajo para optimizar procesos de revisin, prevencin y
mejoramiento.
-Capacitar al personal sobre las responsabilidades delegadas respecto al PSI.
-La capacitacin debe ser peridica y constantemente actualizada para que el
personal encargado est atento y advertido sobre cualquier anomala en
seguridad.



9 Redes y seguridad
Proyecto Final


De las clusulas de compromiso:
-Cada funcionario encargado debe firmar un contrato que sea evidencia de su
compromiso con la empresa.
-Las clusulas deben tener aspectos judiciales y de confidencialidad.







10 Redes y seguridad
Proyecto Final

TABLAS DE GRUPOS DE ACCESO

NOMBRE GRUPO DE
USUARIOS
TIPO DE ACCESO PRIVILEGIOS
(PERMISOS
OTORGADOS)
Software contable Grupo de auditores
y contadores
Local Lectura
Base de Datos Clientes, Producto
y Presupuesto
Local Lectura
Cableado Grupo de
mantenimiento
Local Lectura y Escritura
Terminal Usuarios indirectos Local Lectura y Escritura.
Router y Switch Administradores de
red
Local y Remoto Lectura y Escritura
Servidor web Grupo de HelpDesk Local y remoto Lectura y Escritura
Equipos de
cmputo
Personal de
empresa
Local Lectura




11 Redes y seguridad
Proyecto Final

VALORACIN DE LOS ELEMENTOS DE RED
NOMBRE RIESGO (R) IMPORTANCIA
(W)
RIESGO
EVALUADO
(RXW)
DETALLE
Software
contable
8 10 80 Los datos
contables de la
empresa como la
nmina ,
transacciones,
ingresos,
egresos, etc.
Base de Datos 10 10 100 Los datos de toda
la empresa se
hallan
almacenados , los
datos de clientes,
operaciones, etc.
Cableado 4 5 20 Las conexiones
entre los equipos
y servidores
deben darse por
un medio de
transmisin
cableado half o
full dplex como
sera un cable
UTP categora 6e
7
Terminal 25 5 25 Equipo
consistente en
instrumentos
finales digitales
que convierten la
informacin del
usuario en
seales de datos
para la
transmisin o
reconvierten las
seales de datos
recibidas en
informacin de
usuario.
Switch y
Router
7 7 49 El switch es un
equipo activo que
permite la
conexin de
varios equipos, a
su vez puede
configurarse. El
router permite es
un dispositivo de
red que puede

12 Redes y seguridad
Proyecto Final

ser tanto
Hardware
como Software.
Nos sirve para la
interconexin de
redes.
Servidor Web 10 10 100 Son equipos por
donde los
empleados
pueden trabajar y
cumplir las
responsabilidades
Equipos de
cmputo
7 6 42 Los
computadores y
perifricos son
herramientas
tecnolgicas de
trabajo para el
funcionamiento
empresarial.





13 Redes y seguridad
Proyecto Final

FORMATO DE INFORME PRESENTADO A GERENCIA
Los reportes de anomalas que sucedan relacionados a aspectos de seguridad
deben ser presentados formalmente por escrito (si es posible, en digital por
medio de un equipo de la empresa para mandarse por correo interno) con todo
detalle para que sea entendible y los encargados pertinentes sepan que hacer
al respecto.
A continuacin, el presente formato estndar:
Nombre de empleado:
Cargo:
Departamento Laboral:
Fecha y hora de la anomala: (da/mes/ao) | (hora formato 12h).
Descripcin del evento:







Equipos y/o programas afectados:
Documento de identidad (C.C.):
Firma:


14 Redes y seguridad
Proyecto Final

PROCEDIMIENTOS DE SEGURIDAD
En la empresa se deben aplicar una serie de procedimientos que nos ayudaran
a tener un control sobre los equipos, usuarios y toda la informacin vital en la
red.
A continuacin presentamos los procedimientos de seguridad pertinentes por
secciones pertenecientes a la empresa:
De los activos fijos:
- Velar por el buen funcionamiento de las herramientas tecnolgicas que se
van a utilizar en las diferentes reas de la empresa.
- Para los efectos de este instrumento se entiende por: Comit Al equipo
integrado por la Gerencia, los Jefes de rea y el personal administrativo
(ocasionalmente) convocado para fines especficos como: Adquisiciones para
la compra de nuevos Hardware y software para la empresa.
- Elaborar y efectuar seguimiento el Plan de accin de la empresa verificando la
normatividad vigente de la misma.

De la instalacin de infraestructura tecnolgica:
- Los equipos y las redes para uso de la empresa se instalarn en lugares
adecuado con temperatura, humedad adecuada y lejos trfico de personas y
del polvo.
- Las instalaciones elctricas y redes, estarn fijas o resguardadas del paso de
personas o mquinas.

Del manejo de la informacin y datos:
- La informacin almacenada en medios magnticos debe inventariarse,
anexando la descripcin y las especificaciones de la misma, clasificndola
finalmente en categoras.
-Los encargados mximos de los datos delegan responsabilidades a sus
subordinados bajo contratos de confidencialidad y privacidad para la
manipulacin de la informacin bajo medidas de seguridad.

15 Redes y seguridad
Proyecto Final

-La informacin debe manejarse de acuerdo a las prioridades: si es inmediata,
necesaria, consulta, ocasional.

Del funcionamiento de la red:
- El personal ajeno de la empresa al usar la red o un equipo de cmputo, debe
estar su vigilado por un miembro de la empresa.
- Mantener claves de acceso que permitan el uso solamente al personal
autorizado para tal fin.
- En ningn caso se autorizar la utilizacin de dispositivos ajenos a los
procesos informticos de la dependencia.

Del acceso a cuentas:
-Todo usuario que labore en la empresa tiene derecho a una nica cuenta con
contrasea con los privilegios preestablecidos.
-La persona tiene acceso a la red desde el momento que firma el contrato de
trabajo con la empresa.
-La contrasea debe tener una longitud apropiada de caracteres, entre 8 y 10
caracteres, debe ser alfanumrica.

De las Responsabilidades:
-Todo usuario tiene responsabilidades que cumplir respecto a sus labores y sus
accesos autorizados.
-Los usuarios no deben revelar formas de acceso a la red que involucre
correos, contraseas, actividades operativas, etc.
-El usuario debe cambiar la contrasea peridicamente para evitar
infiltraciones.
-El usuario est en la obligacin de reportar cualquier anomala que atente a la
integridad de la empresa desde el campo laboral hasta el informtico, la
seguridad es primero.

16 Redes y seguridad
Proyecto Final

De la prevencin de ataques informticos:
-Se deben Identificar dentro del sistema a los trabajadores, sin importar
dependencia u horario para llevar un correcto control dentro del sistema.
- Ofrecer programas de capacitacin a los empleados de la organizacin para
evitar errores que puedan colapsar el sistema y poner en riesgo los datos.
-Los servicios de red corporativa son exclusivos de la organizacin para
gestiones administrativas, cualquier cambio en la normativa o uso de la misma,
ser expresada para ajustar polticas de seguridad.

De los procedimientos de PSI:
-Se debe Velar por la seguridad de los activos informticos.
-Trabajar por la gestin y procesamiento de informacin.
- Velar por el cumplimiento de Polticas de seguridad
-.Aplicar sanciones disciplinarias ejemplares.
- Estudiar amenazas para elaborar planes de seguridad.
- Capacitar usuarios en temas de seguridad.
- Gestionar y coordinar esfuerzos, por crear un plan de contingencia,
- Reunir a los empleados y explicar sobre cambios o modificaciones a las
polticas de seguridad.

De los procedimientos ante ataques:
- Verificar en el sistema y las conexiones fsicas el problema que est
presentando la red.
- Identificar el problema o tipo de ataque tomar las acciones pertinentes para
corregir la falla.
- Seleccionar las herramientas de diagnstico correspondientes a cada caso.

17 Redes y seguridad
Proyecto Final

- Realizar el informe correspondiente al caso indicando el diagnstico correcto
de la falla presentada, para hacer correcciones apropiadas.

HERRAMIENTAS
A continuacin las herramientas de control que se pueden usar para
administrar la red son las siguientes:
Para posibles fallas:
NETLOG: Permite ver paquetes que circulan en la red, determina flujo de
paquetes sospechosos, peligrosos; determina si un ataque ya se llev a cabo.
Registra conexin cada milisegundo.

GABRIEL: Comprende cliente-servidor, tiene conexin inmediata de fallos de
cliente mediante va e-mail
TRINUX: Sirve como controlador de trfico de correos electrnicos. Evita robo
de contraseas. Evita sniffing.
COURTNEY: revisa la informacin de cabecera de paquetes: Maquina de
origen, mquina de destino, protocolos utilizados y chequea los puertos en un
lapso de tiempo corto.

Para revisin de sistema:
-CRACK: Es una herramienta virtual del sistema y permite forzar las
contraseas de usuario, para medir el grado de complejidad de las
contraseas, las contraseas de nuestro sistema siempre estn encriptados.
-TRIPWIRE: Su funcin principal es la de detectar cualquier cambio o
modificacin en el sistema de archivos, como modificaciones no autorizadas o
alteraciones maliciosas en los software.
-TIGER: Chequea elementos de seguridad del sistema para detectar
problemas y vulnerabilidades ayudando a configurar el sistema en general,
sistemas de archivos, caminos de bsqueda, cuentas de usuarios, y tambin
configuraciones de usuarios.


18 Redes y seguridad
Proyecto Final



TCP-WRAPPER: Monitoria y controla la red. Ejecuta comandos de
ciertas acciones de forma automtica. Restringe las conexiones no
autorizadas. Si una estacin de trabajo conectada a la red ha sido
atrapada tratando de atacar el servidor, se pueden usar los TCP
wrappers para advertir de ataques. Adems es una herramienta
necesaria para negar el acceso a ciertos servicios.

ARGUS: Monitorea sin ser detectado. Realiza Auditoria de Trafico IP.
Ayuda a buscar lo que se est encontrando por medio de los filtros.












19 Redes y seguridad
Proyecto Final

GLOSARIO
-Administrador del sistema: Persona responsable de administrar, controlar,
supervisar y garantizar la operatividad y funcionalidad de los sistemas.
- Contrasea o password: Conjunto de nmeros, letras y caracteres, utilizados
para reservar el acceso a los usuarios que disponen de esta contrasea.
-Cracker: Persona que intenta acceder a un sistema informtico sin
autorizacin, tienen a menudo malas intenciones, en contraste con los
"hackers", y suelen disponer de muchos medios para introducirse en un
sistema.
- Hacker: Persona dedicada a lograr un conocimiento profundo sobre el
funcionamiento interno de un sistema, de una PC o de una red con el objeto de
alterar en forma nociva su funcionamiento.
-Internet: Conjunto de redes conectadas entre s, que utilizan el protocolo
TCP/IP para comunicarse entre s.
-Intranet: Una red privada dentro de una compaa u organizacin que utiliza el
mismo software que se encuentra en Internet, pero que es solo para uso
interno.
-Red: Se tiene una red, cada vez que se conectan dos o ms computadoras de
manera que pueden compartir recursos.
-Seguridad: Mecanismos de control que evitan el uso no autorizado de
recursos. Y la violacin de informacin personal de la empresa
-Servidor: Computadora que comparte recursos con otras computadoras,
conectadas con ella a travs de una red.
-TCP/IP (Transmisin Control Protocol/Internet Protocol): Arquitectura de red
desarrollada por la "Defense Advanced Research Projects Agency" en USA, es
el conjunto de protocolos bsicos de Internet o de una Intranet.
-Usuario: Toda persona, funcionario (empleado, contratista, temporal), que use
los sistemas de informacin de la empresa debidamente identificado y
autorizado a emplear las diferentes aplicaciones habilitadas de acuerdo con
sus permisos.
-Virus: Programa que se duplica a s mismo en un sistema informtico,
incorporndose a otros programas que son utilizados por varios sistemas.