PROYECTO DE GRADO (ING.

DE SISTEMAS)

UNIDAD 1: PASO 4 - TRABAJO COLABORATIVO 1

STHEVAN KAMILO NARANJO LOPEZ

CÓDIGO: 1085265857

TUTOR

GABRIEL RAMÍREZ

GRUPO

201014_26

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA

ESCUELA DE CIENCIAS BÁSICAS TECNOLOGÍA E INGENIERÍA

SAN JUAN DE PASTO

MARZO DE 2018
1. Cuadro con síntomas, causas, pronóstico y control al pronóstico.

Línea de investigación: INFRAESTRUCTURA TECNOLOGICA Y SEGURIDAD

EN REDES

Descripción de la Problemática: Seguridad en la Web

La seguridad de la Web, tomando como referencia los navegadores, manejan

protocolos de seguridad, según la complejidad de la transacción que se realice, el
comúnmente usado es el protocolo Http, que en su versión de seguridad se
convierte en HTTPS (Protocolo seguro de transferencia de hipertexto), esto con el
fin de lograr un blindaje sobre los posibles ataques cibernéticos que se puedan dar
en la red, los cuales son muy usados por compañías bancarias o que contengan
transferencias de un alto nivel de complejidad, por lo tanto el protocolo se encarga
de un cifrado basado en SSL/TLS, cuyo nivel de cifrado depende del servidor
remoto y del navegador utilizado por el cliente, de este modo se consigue que la
información sensible como es los datos de usuario y claves no pueda ser usada
por un atacante que haya conseguido interceptar la transferencia de datos de la
conexión, ya que lo único que obtendrá será un flujo de datos cifrados que le
resultará imposible de descifrar.

Sin embargo, el protocolo no ha conseguido ser del todo seguro, ya que han
ocurrido incidentes que de seguridad que se han reportado, como el DigiNotar, la
cual se encargaba de expedir certificados de seguridad SSL a compañías como
Google o Yahoo, para que los navegadores entiendan que son sitios seguros, este
fue atacado y posteriormente entrego certificaciones falsas, que el protocolo
HTTPS, no pudo detectar y así permitió que la información de cientos de usuarios
de estas compañías tuvieran inconvenientes en sus datos personales y
transacciones.

Todo esto ha evidenciado importantes vulnerabilidades de HTTPS y ha mostrado

la importancia de trabajar en estrategias de mitigación y mejora de este tipo de
fallas, que permitan la disminución al máximo de los ataques y mejore la seguridad
en la web.

Para lo cual se muestra la siguiente tabla con información de sus vulnerabilidades.

Síntomas Causas Pronostico Control Al

Pronostico

Perdida de datos Introducción de Transacciones Control de las

personales. datos y cuentas no realizadas, certificaciones de
personales a sitios que pueden seguridad de cada
llevar a perdidas una de las
 no con problemas monetarias para compañías que
de autentificación. el usuario. manejen
Transacciones transacciones de
no permitidas. Hackeo de páginas Suplantación de nivel monetario.
de confianza en su identidad y
nivel de posibles delitos Actualización del
autenticación de como extorción o protocolo de
Pérdida de usuario. terrorismo seguridad para
control de identificar
cuentas Duplicidad de Perdida de duplicidad de
(bancarias, páginas web, información por certificados.
correo, otras) elaboradas por un causas de
atacante eliminación o Control riguroso de
secuestro de la certificaciones SSL,
misma. que se lleven de la
Perdida de mano con la base
información de datos del
protocolo de
seguridad

2. Relación de la problemática con las líneas o sub-líneas de investigación.

Línea de investigación: INFRAESTRUCTURA TECNOLOGICA Y SEGURIDAD

EN REDES

Descripción de la Problemática: Seguridad en la Web

La línea de investigación de infraestructura tecnológica y seguridad en la Web,

tiene mucho peso en la navegación y trabajo en internet, ya que con la
globalización y con el uso prácticamente total de internet, se dispone de muchas
aplicaciones capaces de realizar diferentes transacciones de gran utilidad para los
usuarios como es el almacenamiento de información, pagos electrónicos,
mensajería, redes sociales y muchos servicios mas que facilitan el manejo de
información, que paso de ser usado de forma local a ser una posibilidad de
portabilidad por los alojamientos en la nube.

Todo esta cantidad de ventajas que se ofrece en cuanto a la infraestructura

tecnológica, conlleva a la necesidad de implementar métodos de seguridad, que
garanticen la integridad de los datos e información que se maneja en la web, para
lo cual la línea de investigación escogida, tiene relación en garantizar estos
aspectos en base a la consecución de métodos de encriptación y certificación para
validar únicamente el acceso a la información al personal deseado, con todo esto,
compañías de mensajería como Hotmail o Gmail, manejan la seguridad Web por
medio de certificación de autenticidad o de registro de usuario, lo cual permite
corroborar que el usuario que está haciendo uso de la información sea el correcto,
también se han sumado a la seguridad Web, los navegadores que implementan la
seguridad SSL, para la verificación de los sitios web, los cuales presentan
credenciales para demostrar que son sitios seguros, además de que las
compañías más grande utilizan infraestructura física para la validación de este tipo
de información, por tal motivo se ve la relación de la línea de investigación con la
problemática planteada.

3. Descripción de trabajos similares que hayan ejecutado grupos de

investigación de la ECBTI.

Piedrahita Villarraga, Elkin Mauricio, 2016, Análisis comparativo de un Firewall de

aplicaciones web comerciales y un Open Source frente al top 10 de
Owasp.recuperado: http://hdl.handle.net/10596/9161

Análisis comparativo de un Firewall de aplicaciones web comerciales y un Open

Source frente al top 10 de Owasp.

Este trabajo se desarrolla para mostrar el gran número de riesgos y

vulnerabilidades que se generan a la hora de trabajar con aplicaciones web, las
cuales pueden estar afectadas por ataques cibernéticos, de los que se puede
extraer las técnicas mas usuadas donde se pueden encontrar en el top OWASP
10, sin embargo día a día nuevas vulnerabilidades son encontradas y la
posibilidad que un riesgo se materialicé es cada vez mayor. Por esta razón, las
empresas que hacen uso de este tipo de aplicaciones deben tomar conciencia de
las vulnerabilidades a las que pueden estar expuestos y establecer algún tipo de
control que permita disminuir los riesgos.

Los controles que se pueden llevar a cabo en una aplicación web son dos, el
primero es realizar una auditoria periódica donde se hace una revisión del código y
se ejecutan pruebas de sombrero blanco con el fin de encontrar algún tipo de
vulnerabilidad, la segunda es implementar un firewall de aplicación web. Cada
control ofrece sus ventajas y desventajas, y en el mejor de los casos lo ideal sería
disponer de ambos, si bien la auditoria permitiría generar código más robusto
habría una brecha de seguridad en el lapso que una nueva vulnerabilidad sea
encontrada hasta el momento en que la auditoria sea realizada. Así que disponer
de un WAF que esté en todo momento revisando las peticiones de los usuarios
podría incrementar el nivel de seguridad. Ahora la pregunta sería, ¿Qué nivel de
seguridad y confiabilidad ofrece un WAF?, históricamente los WAF empezaron a
ganar popularidad luego que en el Consejo de Estándares de Seguridad (PCI-
DSS) exigieran a las entidades emisoras de tarjetas de crédito realizar controles
sobre las aplicaciones web bien sea por revisión del código o mediante un WAF.
Hoy en día existen diferentes fabricantes dedicados al desarrollo de WAF y
analizando lenguajes de programación tales como HTML, HTTPS, SOAP and
XML-RPC, además permiten prevenir ataques como XSS, inyecciones de SQL,
secuestro de sesión, desbordamiento de buffer, ataques de día cero entre otros.
Así que con base en la anterior los WAF hoy en día tienen una gran reputación y
ofrecen un alto nivel de seguridad.

Con todo esto se puede mostrar la gran necesidad de la seguridad web y su

infraestructura, la cual permitirá garantizar la integridad de los datos que se
manejen por este medio.

4. Descripción de posibles tecnologías modernas o de punta que puedan

apuntar a la solución del problema encontrado.

Las tecnologías mas comunes para tratar la seguridad de la web, se puede

distribuir en tres grandes tecnologías.

Seguridad de Hardware

La seguridad de hardware se puede relacionar con un dispositivo que se utiliza

para escanear un sistema o controlar el tráfico de red donde se implementa
cortafuegos o firewalls de hardware y servidores proxy, también se representan
otros menos comunes incluyen módulos de seguridad de hardware (HSM), los
cuales suministran claves criptográficas para funciones críticas tales como el
cifrado, descifrado y autenticación para varios sistemas, proporcionando una
seguridad mas robusta y generando una percepción de una capa adicional de
seguridad.

Seguridad de Software

La seguridad de software se utiliza para proteger el software contra ataques

maliciosos de hackers y otros riesgos, de forma que nuestro software siga
funcionando correctamente con este tipo de riesgos potenciales. Esta seguridad
de software es necesaria para proporcionar integridad, autenticación y
disponibilidad, entre los tipos de seguridad para la web es relativamente nueva,
pero con mucha difusión por la gran actividad de ataques que ocurren dia a dia,
entre los que se tienen las credenciales de servicio, los certificados ssl, la
implementación de WAF, que ayudan a la prevención de ataques.
 5. La descripción de la forma como se ha de resolver el problema
utilizando la tecnología de punta escogida.

La seguridad Web, está basando su esta problemática en control de tráfico y

certificaciones de usuario o páginas web, las cuales se desarrollan con certificados
SSL, que garanticen una conexión HTTPS, donde el navegador o la aplicación
web que trabaje este tipo de transacciones mire y verifique la autenticidad de este
tipo de credenciales, además de la implementación de encriptación para la
transferencia de archivos o datos.

6. Describir cómo se evidenciaría la innovación tecnológica o apropiación

de conocimiento luego de dar solución a la problemática aplicando la
tecnología moderna escogida

Como primera medida, es el buen uso de los equipos internos de las redes de datos,
con el manejo adecuado de los recursos y su buena implementación de las ventajas
de red, en tanto a la seguridad interna de la red seria la implementación de equipo
de hardware como firewall físicos sobre la red de trabajo y auditorias que permitan
la verificación de tráfico y códigos de la aplicaciones web, a nivel global el buen
manejo y desarrollo de las certificaciones de autenticación SSL y la
complementación con los navegadores WEB.
 Referencias bibliográficas

Contreras Flórez, Johan Lorenzo, 2017, Propuesta de auditoria a las aplicaciones

web de la empresa C&M Consultores aplicando herramientas de software libre,
recuperado de: http://repository.unad.edu.co/handle/10596/14336

González Pombo, Alexandra Milena, Gómez Barboza, Orlando, 2015, Identificar

vulnerabilidades y diseñar políticas de seguridad para la aplicación web sistema
integral de registro educación permanente (sirep) de la Unad ccav Cartagena,
recuperado de: http://repository.unad.edu.co/handle/10596/5345

Piedrahita Villarraga, Elkin Mauricio, 2016, Análisis comparativo de un Firewall de

aplicaciones web comerciales y un Open Source frente al top 10 de Owasp.,
recuperado de: http://repository.unad.edu.co/handle/10596/9161