Seguridad Base Datos

Módulo 9.
Seguridad en Bases de Datos
Módulo 9. Seguridad en Bases de Datos

Diplomado en Administración de Bases de Datos
Francisco Medina López
Dirección General de Cómputo y de Tecnologı́as de Información y Comunicación.

Universidad Nacional Autónoma de México
12 de noviembre de 2010
Agenda
1 Introducción a la Seguridad de la Información
2 Criptografı́a
3 Herramientas de Apoyo a la Seguridad
4 Seguridad en Bases de Datos

Introducción a la Seguridad de la Información

Definición
Problemática
Historia
Conceptos básicos
Activos y Tipos de amenaza
Ataques comunes
Estándares de seguridad
2 Criptografı́a

Definición

Definición
Problemática
Historia
Conceptos básicos
Ataques comunes
2 Criptografı́a

Definición
¿Qué es seguridad?
Según la Real Academia de la Lengua Española:

f. Calidad de lo que es o está seguro: la seguridad de una
cuerda, de un apoyo.
Certeza, garantı́a de que algo va a cumplirse: tener la
seguridad de que se va a sanar.
loc. adj. Se apl. a ciertos mecanismos que previenen algún
riesgo o aseguran el buen funcionamiento de alguna
cosa, precaviendo que falle: puerta, cinturón de seguridad.
http://buscon.rae.es/draeI/SrvltConsulta?TIPO_BUS=3&LEMA=seguridad
Definición
¿Qué es seguro?

adj. Libre y exento de todo peligro, daño o riesgo.
adj. Cierto, indubitable y en cierta manera infalible.
adj. Firme, constante y que no está en peligro de faltar o
caerse.
adj. No sospechoso.
m. Seguridad, certeza, confianza.
m. Lugar o sitio libre de todo peligro.
m. Mecanismo que impide el funcionamiento indeseado
de un aparato, utensilio, máquina o arma, o que aumenta la
firmeza de un cierre.
http://buscon.rae.es/draeI/SrvltConsulta?TIPO_BUS=3&LEMA=seguro
Definición
¿Qué es riesgo?

m. Contingencia o proximidad de un daño.
m. Cada una de las contingencias que pueden ser objeto de un
contrato de seguro. .
http://buscon.rae.es/draeI/SrvltConsulta?TIPO_BUS=3&LEMA=riesgo
Definición
¿Qué es seguridad de la información?
Definición
Seguridad de la Información tiene como fin la protección de la
información y de los sistemas de información del acceso, uso,
divulgación, interrupción o destrucción no autorizada.1
La seguridad de la información protege a la información de una

amplia gama de amenazas, a fin de garantizar la continuidad del
negocio.
No importando la forma que se adquiere la información, o los

medios por los cuales se distribuye o almacena, siempre debe ser
protegida en forma adecuada.
1
http://www.law.cornell.edu/uscode/html/uscode44/usc_sec_44_00003542----000-.html
Definición
¿Por qué es importante la seguridad de la información?
La información es un recurso que, como el resto de los importantes

activos comerciales, tiene valor para una organización y por
consiguiente debe ser debidamente protegida.
Dicha información puede existir en muchas formas:
Puede estar impresa o escrita en papel,
almacenada electrónicamente,
transmitida por correo o utilizando medios electrónicos,
presentada en imágenes, o
expuesta en una conversación.
El 94 % de las empresas que pierden sus datos desaparece.2
2
http://www.mundoenlinea.cl/noticia.php?noticia_id=638&categoria_id=35
Definición
Seguridad en Cómputo
Definición
La seguridad en cómputo son los mecanismos tecnológicos que
protegen los sistemas de cómputo y todo lo asociado con ellos
(edificios, impresoras, cableado, diskettes, etc.).
Entonces:
La seguridad en cómputo: Esta enfocado a sistemas de
cómputo y redes de datos.
La seguridad de la información: Esta enfocado al
tratamiento y uso de la información, involucrando sistemas de
cómputo, redes de datos, gente y procesos.
Definición
Objetivos
Lograr adquirir, almacenar, procesar
y transmitir información, preservando
los servicios de:
Confidencialidad (que la
información sólo la conozcan
quienes tienen derecho a ello)
Integridad (que la información
no sea alterada sin autorización)
Disponibilidad (que los
usuarios legı́timos puedan usar
la información cuando lo
requieran)
http:
//en.wikipedia.org/wiki/Information_security
Definición
Metodologı́a
1 Evaluación: Análisis del ambiente y de los requerimientos de

seguridad del sistema. Durante esta fase, se crea y
documentan las polı́ticas de seguridad y los planes para
implantar dichas polı́ticas.
2 Protección: Implantación del plan de seguridad (e.j.,
configuraciones de seguridad, protección de recursos,
mantenimiento).
3 Detección: Identificación de los ataques y violaciones a las
polı́ticas de seguridad con el uso de técnicas como el
monitoreo, análisis de bitácoras y detección de intrusos.
4 Respuesta: Manejo de incidentes de acuerdo al plan de
seguridad
Definición
Seguridad en Profundidad
Definición
¿Qué no es la seguridad de la información?
La seguridad no es la meta de la organización.

La seguridad no es un aspecto técnico más a considerar.
La seguridad no se resuelve con un producto.
No hay sistemas 100 % seguros.
“El único sistema totalmente seguro es aquel que está apagado,

desconectado de la red, guardado en una caja fuerte de titanio,
encerrado en un bunker de concreto, rodeado por gas venenoso y
cuidado por guardias muy bien armados y muy bien pagados. Aún
ası́, no apostarı́a mi vida por él.” –Eugene Spafford.
Definición
¿Cuándo podemos decir que un sistema es seguro?
“Un sistema de cómputo es seguro si se puede confiar en que él y

su software se comportarán como se espera que lo hagan, y que la
información almacenada en él se mantendrá inalterada y accesible
durante tanto tiempo como su dueño lo desee.”
Definición
Errores comunes I
1 Asumir que los datos están en el Centro de cómputo. La

información se deposita en una N cantidad de dispositivos
móviles, laptops, celulares, USB.
Ya los datos no están en el centro de cómputo.
2 Tratar a los dispositivos móviles basados en el valor del
dispositivo, ignorando los datos contenidos en el mismo.
La propiedad intelectual en la computadora portátil vale más
que el valor fı́sico.
3 Tratar a los dispositivos móviles como de escritorio. De
nada sirve hoy tener los mejores sistemas de protección
perimetral si llega alguien con un USB o un CD se mete en la
red y descarga (por autorización o por atribución propia) un
archivo.
toda la red se va a infectar si no está protegida.
Definición
Errores comunes II
De nada sirve tener la filosofı́a de los M&M “duro por fuera y
blando por dentro”.
“Nuestras redes ası́ están, como los M&M”.
4 Adopción de medios sociales sin protección adecuada.
Web 2.0 ha traı́do una nueva interacción de los usuarios a un
nivel totalmente diferente. Facebook, Twitter y otras
plataformas sociales permiten colaboración, interacción e
intercambios de ideas de una manera múltiple-a-múltiple.
Todos los usuarios piensan que los demás están compartiendo
información sana y limpia.
5 Permitir que Apple & Google sean su departamento de
calidad. Depositamos la confianza en aplicativos que son
impactados en el corazón del negocio.
Los PDFs son de los documentos más riesgosos y se usan dı́a a
dı́a.
Definición
Errores comunes III
6 Enfocarse en prevención en vez de detección. No se puede

luchar contra lo que no se puede ver. ¿Qué es más
importante?
Hay que combinar prevención, detección y respuesta.
7 Asumir que todo está bien, que no pasa nada. Hay que
medir el riesgo y la probabilidad de un ataque. Probabilidad
de ocurrencia e impacto de riesgo son los dos vectores que se
deben medir. Lo que el departamento de IT está perdiendo es
credibilidad. El faro que ilumina hay que seguirlo pagando.
http://www.bsecure.com.mx/en-linea/las-siete-cosas-que-hace-it-para-el-cibercrimen/
Definición
Modelo de Madurez de la Seguridad de la Información

Problemática

Definición
Problemática
Historia
Conceptos básicos
Ataques comunes
2 Criptografı́a

Problemática
Primera Revolución: La Computadora Personal

Problemática
Primera Revolución: La Computadora Personal
En 1981 IBM introduce la primera computadora personal

(PC) alrededor de la familia de procesadores 8086.
La computadora llega al hogar, las escuelas y oficinas en una
variedad de aplicaciones.
El control de procesamiento que se encontraba presente en el
centro de cómputo se pone en manos de los usuarios.
Los sistemas de escritorio no fueron diseñados con la
seguridad en mente.
No todos los usuarios de PC son expertos y el mal uso de los
equipos puede comprometer la seguridad.
Existen más recursos que perder y más formas de hacerlo.

Problemática
Problemas de Seguridad en las Computadoras Personales
Accesibilidad fı́sica al hardware Facilidad de robo.

Problemática

Software Código malicioso (virus): compromete la integridad
de información, disponibilidad del servicio,
confidencialidad, etc.
Problemática

Respaldos No se ejecutan por falta de interés de los usuarios.
Problemática

Respaldos No se ejecutan por falta de interés de los usuarios.
Concientización de seguridad a los usuarios El mejor software del
mundo para proteger los activos de información no
sirve si los usuarios no ponen en práctica buenos
hábitos de seguridad.
Problemática
Segunda Revolución: Internet
Internet proporciona la infraestructura para la comunicación e

intercambio de información.
Utiliza el protocolo TCP/IP para las comunicaciones.
Hace posible servicios como: correo electrónico, transferencia
de archivos, acceso a sistemas remotos, conferencias
interactivas, grupos de noticias y acceso a WWW.
Internet y TCP/IP no fueron diseñados pensando en seguridad, su

filosofı́a es el procesamiento distribuido y las comunicaciones
abiertas. De este hecho se derivan sus principales vulnerabilidades.
Problemática
Internet hace algunos años
http://personalpages.manchester.ac.uk/staff/m.dodge/cybergeography/atlas/more_isp_maps.html
Problemática
Internet en nuestros dı́as
http://www.cheswick.com/ches/map/gallery/index.html
Historia

Definición
Problemática
Historia
Conceptos básicos
Ataques comunes
2 Criptografı́a

Historia
Número de vulnerabilidades reportadas

Historia
Ataques famosos
1986 Clifford Stoll Rastreo de intrusos que trataban de vi-

olar sistemas de computo de los Labo-
ratorios Lawrence Berkeley.
1986 Captian Mid- Mensaje satelital enviado a 8 millones
night de usuarios de la HBO protestando por
las tarifas que debı́an pagar los dueños
de antenas parabólicas.
1988 Robert Morris Gusano que se introdujo en 6,000
equipos de universidades y gobierno.
1988 Virus Viernes 13 infecto cientos de com-
putadoras borrando información.
Historia
Ataques famosos
1994 Kevin Mitnick Robo de software y tarjetas de crédito

a través de ingenierı́a social y ataques
IP-Spoofing.
1996 Alteración de la pagina web de la fuerza
aérea de EUA.
1998 Alteración de la pagina web de la fuerza
aérea del Departamento de Justicia.
1998 X-Ploit En México: Secretarı́a de Hacienda y
Crédito Público, INEGI, Secretarı́a de
Salud, Senado de la República
Historia
Caso Clifford Stoll

Astrónomo de Berkeley, Stoll tuvo las ideas y la paciencia
necesarias para cazar al cracker del KGB Markus Hess a través de
la red de Hanover en Alemania. Stoll hizo un libro sobre ello; y
para muchos, su ”The Cuckoo’s Egg”fue la primera introducción
seria al mundo del hacking.
Intrusión: Agosto 1986 (LBL).

Detección:
Error de 75c en contabilidad
Creación de una nueva cuenta
“hunter”
Actividad en una cuenta
dormida “sventek”
http://en.wikipedia.org/wiki/Clifford_Stoll
Historia
El gusano de Internet
Aparición: 02/11/88 (Se reproduce de

máquina en máquina).
Daños: Carga las máquinas, se caen, y niega
el acceso
Vı́ctimas: Sun3 y VAX, 6,000 en total.
Vulnerabilidad explotada: rsh, finger y
sendmail.
Responsable: Robert Tappan Morris http://es.wikipedia.org/wiki/
Sentencia: Gusano_Morris
04/05/90
$10,000 multa
3 años de libertad provisional
400 horas servicio comunitario.
Historia
Kevin Mitnick -“Condor”-
Se le considera el padre de los hackers y

fue el primero en aparecer inmortalizado
como hombre más buscado por el FBI. Su
historial arranca en los ochenta cuando
robaba manuales de hardware y culmina en
1995 cuando es detenido por el FBI gracias
al contra-hacker Tsutomu Shimomura.
Ataques:
20.000 números de tarjetas de
crédito,
mando central aéreo,
Centrales telefónicas en California y
http://www.kevinmitnick.com/
Móviles de Motorola y Qualcomm.
Historia
Casos en México
1996 Cinvestav, IPN

1998 Secretarı́a de Hacienda y Crédito Público
1998 Comisión nacional del Agua
1998 INEGI
1998 Senado de la República
1998 Secretarı́a de Salud
http://www.noticias.com/articulo/18-09-1998/redaccion/x-plot-grupo-hackers-mexicanos-16fa.html
Historia
”X-Ploit Team”: Sólo queremos que nos escuchen, no

causar daños
La primera irrupción de los “X-Ploit” –una traducción podrı́a ser

“los incendiario”– se produjo el 4 de febrero de 1998, cuando
dieron la bienvenida al recién designado secretario de Hacienda y
Crédito Público, José Ángel Gurrı́a, quien en su anterior cargo
como canciller habı́a afirmado que la de Chiapas era “una guerra
de tinta e Internet”.
La página presentaba varias fotografı́as de Emiliano Zapata y la
siguiente leyenda:
“Nuestra afiliación no es ninguna, no pertenecemos al EZLN, pero

éste es nuestro derecho de libre expresión como mexicanos.”
http://www.accessmylibrary.com/coms2/summary_0286-31913234_ITM
Historia
Problemática Actual
Conceptos básicos

Definición
Problemática
Historia
Conceptos básicos
Ataques comunes
2 Criptografı́a

Conceptos básicos
Sistema de Cómputo
Sistema de Cómputo
Conjunto formado por la colección de hardware, software, medios
de almacenamiento, datos o información y personas involucradas
en el conjunto.
Conceptos básicos
Controles de Seguridad
Controles Administrativos
Administración de responsabilidades necesarias para proteger
los activos.
Controles Suaves. (Polı́ticas, procedimientos, guı́as, estándares)
Controles Técnicos.
Mecanismos lógicos de protección.
Software o Hardware
Controles Fı́sicos
Destinados a proteger las instalaciones y recursos internos.
Conceptos básicos
Controles de Seguridad II
Conceptos básicos
Vulnerabilidad y Amenaza
Vulnerabilidad
Cualquier debilidad que puede explotarse para causar pérdida

o daño al sistema.
El punto más débil de seguridad de un sistema consiste en el
punto de mayor vulnerabilidad de ese sistema.
Amenaza
Cualquier circunstancia con el potencial suficiente para causar

pérdida o daño al sistema
Ejemplos: ataques humanos, desastres naturales, errores
humanos inadvertidos, fallas internas del hardware o del
software, etc
Conceptos básicos
Riesgo y Compromiso de Seguridad

Riesgo
Cualquier debilidad que puede explotarse para causar pérdida

o daño al sistema.
El punto más débil de seguridad de un sistema consiste en el
punto de mayor vulnerabilidad de ese sistema.
Compromiso de Seguridad
Cualquier forma posible de pérdida o daño en un sistema de
cómputo.
comprometer la seguridad de un sistema equivale a la posibilidad

de provocar pérdida o daño al sistema.
Conceptos básicos
Preocupaciones o Contramedidas
Contramedida
Cualquier mecanismo que mitiga un riesgo potencial. Ya sea a

través de una correcta configuración de software, algún
dispositivo fı́sico o cualquier procedimiento destinado a reducir
la vulnerabilidad o que reduzca la probabilidad que un
atacante sea capaz de explotar una vulnerabilidad.
Ejemplos:
Contraseñas robustas.
Mecanismos de control de acceso.
Antivirus
Conceptos básicos
Atacante
Atacante
Cualquier cualquier entidad que realiza un ataque. Puede ser:
Persona.
Proceso.
Dispositivo.
Conceptos básicos
¿Quiénes son los intrusos maliciosos?
Intruso (hacker)
sustantivo.
1 Se dice de quien goza averiguando los detalles de sistemas de
cómputo y cómo llevarlos a su lı́mite, en contraposición a la
mayorı́a de los usuarios que prefieren sólo aprender lo
necesario.
2 Se dice de quien escribe programas en forma entusiasta o
goza programando en lugar de pensar en cómo programar.
“If you’re a good hacker, everyone knows your name. If you’re a

great hacker, no one knows who you are”
Conceptos básicos
Nombres comunes para Atacantes

Hacker
WhiteHat (Lucro/Fama/Investigación)
GreyHat (Lucro/Investigación)
BlackHat (Lucro/Diversión)
Cracker
Software Cracker (Diversión/Respeto/Investigación)
Cracker (Diversión/Fama/Respeto)
Script Kiddie (Diversión/Fama/Respeto)
Lamer (Lame) (Diversión/Fama/Respeto)
Phreaker (Lucro/Fama/Diversión)
VXer (Autor o creador de virus informáticos.)
Research Virus Developer (Lucro/Investigación/Fama)
(PoC Creator) AVX (Lucro/Diversión/Fama)
Random Destruction Vxer (Diversión/Fama)
Collector
Conceptos básicos
¿Quiénes impactan al negocio?
Blackhats (Ahı́ están y no los vemos).

Script Kiddies (Daños a la imagen corporativa ante
accionistas y consumidores).
Crackers (Perdida de información).
Random Destruction Vxers (Daños a las vı́as de
comunicación, perdida de información, robo de información).
Amenazas no vivas (Spyware, Adware, SPAM, Phishing,
Pharming y otros tipos de poisoning).
Y lógicamente los verdaderos delincuentes:
Personal Interno (con permisos) que roba o altera información.
Personal Externo con fines de espionaje industrial (targeting)
Ladrones.
Conceptos básicos
Relación entre los diferentes conceptos de seguridad


Definición
Problemática
Historia
Conceptos básicos
Ataques comunes
2 Criptografı́a

Activos o recursos a proteger
Principales activos o recursos a proteger:

Hardware
Software
Datos
4 tipos de amenazas principales a los sistemas que explotan las
vulnerabilidades de los activos en el sistema
Interrupción
Intercepción
Modificación
Fabricación
Interrupción
Definición
Un activo del sistema se pierde, se hace no disponible o inutilizable.
Ejemplos:
Destrucción maliciosa de un dispositivo.
Borrado de un programa o de un archivo de datos.
Malfuncionamiento del manejador de archivos del sistema
operativo que trajera como consecuencia que no se pueda
hallar un archivo particular en el disco duro.
Ejemplo Interrupción:
Example
while :
do
sudo nemesis arp -D 192.168.1.65
-S 192.168.1.254
-H 00:01:02:03:04:05
done
Intercepción
Definición
Alguna parte no autorizada logra acceso a un activo del sistema.
Ejemplos:
Copiado ilı́cito de programas o archivos de datos.
La intervención del canal para obtener datos sobre la red.
Modificación
Definición
Cuando una parte no autorizada logra acceso al activo del sistema
y puede manipular ese activo.
Ejemplos:
Cambiar datos en una base de datos.
Alterar un programa para que realice alguna computación
adicional o distinta a la que realiza
Modificar datos en una comunicación, entre otras acciones.
Ejemplo: Fabricación
Definición
Una parte no autorizada puede fabricar objetos falsos en un
sistema.
Ejemplos:
Inserción de transacciones espurias en un sistema de
comunicación en red.
Agregar registros a una base datos ya existente.
$ telnet gsmtp183.google.com 25
HELO gmail.com
MAIL FROM:<>
RCPT TO:<paco.medina@gmail.com>
DATA
Date: 16 Jun 08 13:31:33
From: Informes Centro Coapa
<info@servidor.coapa.unam.mx>
To: paco.medina@gmail.com
Subject: Aviso IMPORTANTE
Favor de comunicarse al teléfono 55-55-5-5-55

.
quit
Amenazas
Amenazas a Hardware, Software y Datos

Modelo de Seguridad Organizacional

Ataques comunes

Definición
Problemática
Historia
Conceptos básicos
Ataques comunes
2 Criptografı́a

Ataques comunes
Ataques reportados en el 2004
http://www.gocsi.com/
Ataques comunes
Ataques comunes
Ataques comunes
Ataques comunes
Tendencia al 2009
Ataques comunes
Evolución de los ataques

Ataques comunes
Jinetes del Apocalipsis Electrónico
1 Spam
2 Bugs
3 Negación de servicio
4 Código malicioso
Ataques comunes
Spam
Definición
Mensajes no solicitados, habitualmente de tipo publicitario,
enviados en grandes cantidades (incluso masivas) que perjudican
de alguna o varias maneras al receptor.
También se llama spam a los virus sueltos en la red y páginas

filtradas (casino, sorteos, premios, viajes y pornografı́a), se activa
mediante el ingreso a páginas de comunidades o grupos o acceder
a links en diversas páginas.
http://es.wikipedia.org/wiki/Spam
Ataques comunes
Spam (II)
http://www.google.com/postini/threat_network.html
Ataques comunes
Bugs
Definición
Es el resultado de un fallo o deficiencia durante el proceso de
creación de programas (software).
En 1947, los creadores de

Mark II informaron del primer
caso de error en un ordenador
causado por un bicho.
http://es.wikipedia.org/wiki/Error_de_software
Ataques comunes
Negación de Servicio
Definición
Ataque a un sistema de computadoras o red que causa que un
servicio o recurso sea inaccesible a los usuarios legı́timos.
Normalmente provoca la pérdida de la conectividad de la red por el
consumo del ancho de banda de la red de la vı́ctima o sobrecarga
de los recursos computacionales del sistema de la vı́ctima.
Se genera mediante la saturación de los puertos con flujo de

información, haciendo que el servidor se sobrecargue y no pueda
seguir prestando servicios, por eso se le dice ”denegación”, pues
hace que el servidor no dé abasto a la cantidad de usuarios. Esta
técnica es usada por los llamados crackers para dejar fuera de
servicio a servidores objetivo.
Ataques comunes
Negación de Servicio (DoS)
Tipos:
TCP
SYN
ACK
NULL
ICMP
UDP
Randomized SRC IP:
Full 32 bits
Subnet /24
Examples: trinoo, tfn2k, stacheldraht, mstream, etc.
Ataques comunes
Código Malicioso
Definición
Es un software que tiene como objetivo infiltrarse en el sistema y
dañar la computadora sin el conocimiento de su dueño, con
finalidades muy diversas, ya que en esta categorı́a encontramos
desde un troyano a un spyware.
Ataques comunes
Tipos de Malware
VIRUS
MACROVIRUS
BOMBAS LÓGICAS
TROYANOS
BACKDOORS
POLIMORFISMO/METAMORFISMO
VIRUS DE BOOTSECTOR
WORMS (I-worms, p2p, @mm)
OCTOPUS / RABBITS
COMPANION HYDRAS
TSR
SCRIPT
PLATAFORMAS EXTRAÑAS
Programas peligrosos
ROOTKITS
Ataques comunes
Worm
Definición
Agente infeccioso capaz de autoduplicarse de manera autónoma,
capaz de buscar nuevos sistemas e infectarlos a través de la red.
Ataques comunes
Ejemplo de gusano: Sapphire/Slammer Worm
http://www.caida.org/publications/papers/2003/sapphire/sapphire.html
Ataques comunes
Ejemplo de gusano: Sapphire/Slammer Worm
http://www.caida.org/publications/papers/2003/sapphire/sapphire.html
Ataques comunes
Vulnerability-Exploit Cycle
1 Vulnerability birth
2 Vulnerability discovery
3 Vulnerability disclosure
4 Vulnerability Correction / Release of a fix
5 Exploit Creation and Publication
6 Manual Exploit Use in the Wild
7 Exploit Scripting and Automation
8 Exploit Death
9 Automated Propagation Mitigation
Ataques comunes
Top 10 Malware
http://www.sophos.com/security/top-10/
Ataques comunes
¿De donde viene el Malware?
http://stopbadware.org/home/badwebs
Ataques comunes
Antivirus Magic Quadrant Balancer
http://mediaproducts.gartner.com/reprints/microsoft/vol8/article3and4/article3and4.html

Definición
Problemática
Historia
Conceptos básicos
Ataques comunes
2 Criptografı́a

¿Qué es ISO 17799?
Definición
El objetivo de la norma ISO 17799 es proporcionar una base
común para desarrollar normas de seguridad dentro de las
organizaciones y ser una práctica eficaz de la administración de la
seguridad.
Antecedentes
En 1995 el British Standard Institute publica la norma
BS7799, un código de buenas prácticas para la administración
de la seguridad de la información.
En 1998, también el BSI publica la norma BS7799-2,
especificaciones para los sistemas de administración de la
seguridad de la información; se revisa en 2002.
Tras una revisión de ambas partes de BS7799(1999), la
primera es adoptada como norma ISO en 2000 y denominada
ISO/IEC 17799:
Conjunto completo de controles que conforman las buenas
prácticas de seguridad de la información.
Aplicable por toda organización, con independencia de su
tamaño.
Flexible e independiente de cualquier solución de seguridad
concreta: recomendaciones neutrales con respecto a la
tecnologı́a.
Tipos de seguridad
La norma UNE-ISO/IEC 17799 establece diez dominios de
control que cubren por completo la Administración de la
Seguridad de la Información:
Payment Card Industry Data Security Standard I

El marco PCI DSS está dividido en 12 requerimientos de seguridad
(VISA se refiere a ellos como la ’Docena Digital’ o digital dozen)
que están organizados en las siguientes seis categorı́as:
1 Crear y mantener una red segura
Requerimiento 1: Instalar y mantener un firewall para
proteger la información de titulares de tarjetas
Requerimiento 2: No utilizar las contraseñas ni otros
parámetros de seguridad predefinidos por el fabricante del
sistema
2 Proteger la información de los titulares de tarjetas
Requerimiento 3: Proteger la información almacenada de
titulares de tarjetas
Requerimiento 4: Cifrar la transmisión de información de
titulares de tarjetas a través de redes abiertas, públicas
3 Mantener un programa de administración de vulnerabilidad
Payment Card Industry Data Security Standard II

Requerimiento 5: Utilizar y actualizar regularmente el
software o las aplicaciones anti-virus
Requerimiento 6: Desarrollar y mantener sistemas y
aplicaciones seguros
4 Implementar fuertes medidas de control de acceso
Requerimiento 7: Restringir el acceso a la información de
titulares de tarjetas según la necesidad- de-saber
Requerimiento 8: Asignar un ID único a cada persona con
acceso a ordenadores
Requerimiento 9: Restringir el acceso fı́sico a la información
de titulares de tarjetas
5 Monitorizar y testear regularmente las redes
Requerimiento 10: Rastrear y monitorizar todo acceso a los
recursos de red y a la información de titulares de tarjetas
Requerimiento 11: Testear regularmente la seguridad de los
sistemas y procesos
Payment Card Industry Data Security Standard III
6 Mantener una directiva de seguridad de la información

Requerimiento 12: Mantener una directiva que dirija la
seguridad de la información para empleados y contratistas
Otros estándares internacionales
RFC2196
Cobit, de la ISACA
GAO/AIMD-12.19.6
GASSP
SP 800-14
ISO 15408
OSSTMM
Criptografı́a
2 Criptografı́a
Introducción
Criptografı́a Simétrica
Criptografı́a Asimétrica
Funciones Hash
Aplicaciones Criptográficas
Seguridad en Internet
Programas criptográficos

Criptografı́a
Introducción
2 Criptografı́a
Introducción
Funciones Hash

Criptografı́a
Introducción
Criptologı́a
Definición
Ciencia encargada de ocultar información
1 Criptografı́a
Transforma la información legible en información ilegible, vı́a
un elemento único conocido como llave de tal modo que nadie,
excepto el poseedor de la llave, puede leerla.
2 Criptoanálisis
Trata de conocer la información original sin conocer la llave.
La palabra criptografı́a deriva del griego kryptos (ocultar) y grafos

(escribir).
Criptografı́a
Introducción
Esteganografı́a
Definición
Oculta información secreta en el mismo texto en claro
Ejemplo: la letra inicial de cada cuarta palabra de un texto

legible es parte del mensaje oculto
Eteganografı́a es “security by obscurity” y no es segura
Oculta mensajes en otros mensajes
Ejemplos: tinta invisible, microfotografı́a, etc.
Ocultar un mensaje en una imagen jpeg
(http://www.outguess.org/)
No confundir con estenografı́a.

Criptografı́a
Introducción
Steghide (I)
Definición
Programa de esteganografı́a que permite ocultar datos en varios
tipos de imagen y archivos de audio.
Los respectivos muestreos de frecuencia de color no varı́an lo que

hace que el adjunto soporte pruebas estadı́sticas del primer orden.
Caracteristicas
compactado y cifrado de los datos adjuntos.
revisión automática de integridad.
formato soportados JPEG, BMP, WAV y AU
No existen restricciones en el formato de los datos ocultos.
Criptografı́a
Introducción
Steghide (II)
Para ocultar un archivo en una imagen:
$ steghide embed -cf picture.jpg -ef secret.txt

Enter passphrase:
Re-Enter passphrase:
embedding "secret.txt" in "picture.jpg"... done
Para recuperar el archivo oculto:
$ steghide extract -sf picture.jpg

Enter passphrase:
wrote extracted data to "secret.txt".
Criptografı́a
Introducción
STools4
Criptografı́a
Introducción
Criptografı́a
Definición
Método que convierte un texto en claro (normal), M , en un texto
secreto (cifrado), C.
El proceso de convertir el uno en el otro se llama cifrado

El proceso inverso se llama descifrado
El elemento esencial de ambos procesos es lo que se conoce
como llave,K
Criptografı́a
Introducción
Criptografı́a
El cifrado de información consiste en realizar una

transformación de manera que un lector casual o mal
intencionado no pueda entenderla.
Las computadoras facilitan la implementación de algoritmos
de cifrado y descifrado.
La complejidad de los algoritmos usados para cifrar, depende
de la importancia de la información.
Criptografı́a
Introducción
Historia
La historia de la criptografı́a se puede dividir en tres grandes fases:

1 Desde las civilizaciones antiguas (2000 a.C) hasta la primera
mitad del siglo XX donde se usaban algoritmos simples y
manuales.
2 Durante la segunda guerra mundial donde se extendió el uso
de la criptografı́a basada en máquinas electrónica-mecánicas.
3 Actualmente con el uso masivo de las computadoras en los
últimos 50 años, donde la criptografı́a es soportada por bases
matemáticas sólidas.
Criptografı́a
Introducción
Historia (II)
En el pasado:
Primordialmente usada para garantizar confidencialidad
Protegı́a información sensible, principalmente durante la
transmición
En el presente:
Sigue siendo usada para garantizar confidencialidad
Pero tambien para garantizar
Integridad de datos
Autenticación de origen
No repudio
Confiencialidad, integridad, autenticación y no repudio son

conciederados servicios de seguridad
Criptografı́a
Introducción
Criptosistema
Definición
Sistema o implementación de un algoritmo de cifrado.
Incluye los siguites elementos:

Mensaje en claro, M
Llave de cifrado Kc
Proceso de cifrado
Texto cifrado, C
Proceso de descifrado
Llave de descifrado Kd
Criptografı́a
Introducción
Proceso de cifrado
Criptografı́a
Introducción
Proceso de descifrado
Criptografı́a
Introducción
Relación llave y algoritmo de cifrado
Llave
Cadena larga formada por caracteres aleatorios
Algoritmo
Ecuación matemáticas que pueden ser usadas en el proceso cifado,
descifrado
En combinación
La llave es usada por el algoritmo para indicar que ecuación
usar, en que orden y con que valores.
Criptografı́a
Introducción
Espacio de llaves
Definición
Todas los posibles valores que pueden ser usados para generar la
llave.
¿Por qué una llave de 128-bits es más segura que una de 64-bits?
Mientras más grande sea la llave, más grande el espacio de

llaves
264 < 2128
Mientras más grande el espacio de llaves, más valores tiene
que probar el atacante (fuerza bruta) .
Criptografı́a
Introducción
Fortaleza de un criptosistema
La fortaleza de un criptosistema depende de:
Un desarrollo adecuado
Secrecia y protección de la llave
Longitud de la llave
Inicialización de vectores
La forma en que todas estas piezas son implementadas y
funcionan juntas
Puede basarse en el secreto de su algoritmo (batante común
pero inseguro)
Actualmente el ataque más exitoso sobre la criptografı́a es en
contra del factor humano en la criptografı́a
Una mala implementación y/o mal manejo llaves
La fortaleza de un criptosistema debe basarse en la seguridad del

algoritmo y de la llave
Criptografı́a
Introducción
Criptografı́a Clásica
Atbash: Hebreos
ABCDEFGHIJKLMNOPQRSTUVWXYZ
ZYXWVUTSRQPONMLKJIHFGEDCBA
Escı́tala: Espartános
Cifrado Cesar: Romanos
Cifrado Vigenère:
Franceses
Criptografı́a
Introducción
Tabla Vigenère
Criptografı́a
Introducción
Clasificación de algoritmos criptográficos modernos
1 Por el número de llaves

2 Por el modo de proceso
3 Por el tipo de operaciones
Criptografı́a
Introducción

Simétrica, Convencional, o llave Secreta
Única llave secreta: la que se usa para cifrar, se usa para
descifrar
Asimétrica o de Llave Pública:
Dos llaves: pública y privada. Lo que se cifra con una llave, se
descifra con la otra y viceversa
Funciones Hash (dispersión, compendio)
Ninguna llave: entrada variable, salida fija
Criptografı́a
Introducción

Por bloque
Cifra la información en bloques de longitud fija
Por flujo
Cifra la información como un flujo de bytes
Criptografı́a
Introducción

Sustitución: mapeo de caracteres
Simple o Monoalfabética
Homofónica
Polialfabética
Polı́grama
Transposición o Permutación: rearreglo de caracteres
Producto: combinación de los 2 anteriores,
Criptografı́a
Introducción
Notación Criptográfica
Para algún mensaje en claro M , el cifrado de M , con la llave K ,

para producir el texto cifrado C se denota,
Ek (M ) = C
Similarmente, el descifrado de C , con llave K , para recuperar M
Dk (C) = M
Nótese que,
Dk (Ek (M )) = M algoritmos de llave simétrica
Dk1 (Ek2 (M )) = M algoritmos de llave asimétrica
Criptografı́a
2 Criptografı́a
Introducción
Funciones Hash

Criptografı́a
Caracterı́sticas
El emisor y receptor usan la misma llave para cifrar y decifrar

un mensaje.
La fortaleza depende de mantener la llave en secreto
Requiere un acuerdo previo de la llave
Provee confidencialidad, pero no autenticación o no repudio
No es escalable
Es dificil de romper con una llave con una buena longitud
Dificil uso en autenticación de redes alámbricas o inalámbricas
Criptografı́a
Ejemplos de algoritmos de cifrado simétrico
Data encryption standard

(DES)
3DES
Blowfish
Twofish
IDEA
International data
encryption algorithm
RC4, RC5, RC6
AES
Algoritmos aprovados por la NIST: AES, Triple DES, y

Skipjack.3
Criptografı́a
DES
Data Encryption Standard

Propuesto por la autoridad de estándares
estadounidense NBS (National Bureau of
Standards),ahora NIST, en 1973 ante la necesidad
de un estándar a nivel gubernamental para cifrar
información confidencial.
IBM desarrolla DEA (Data Encryption
Algorithm).
Basado en el algoritmo Lucifer.
Algoritmo de cifrado simétrico por bloques.
Usa una llave de 64 bits, pero real de 56 bits ya
que 8 bits los usa como bits de paridad.
Criptografı́a
3DES
En 1990, la Electronic Frontier Foundation (EFF) anunció que

habı́a roto un cifrado DES utilizando una máquina
especializada DES cracker.
La EFF publicó la descripción detallada de la máquina,
haciendo posible que cualquiera construya su propio cracker.
Al romperse DES se necesitaba de una solución antes de AES
fuera creado e implementado.
Mejora la protección al proveer tres rondas de cifrado
Degradación en rendimiento debido al procesamiento extra
debido a que se tiene 3 etapas más de DES.
Criptografı́a
3DES (II)
Están rondas pueden ser con dos o tres diferentes llaves

dependiendo del modo de operación.
DES-EEE3 usa tres llaves para el cifrado.
C = EK3 [EK2 [EK1 [P ]]]
DES-EDE3 usa 3 diferentes llaves, cifra, descifra y cifra datos.
C = EK3 [DK2 [EK1 [P ]]]
DES-EEE2 y DES-EDE2 son iguales al modo anterior solo que
la primera y la tercera operación usan la misma llave.
C = EK1 [DK2 [EK1 [P ]]]
Con tres claves diferentes, el 3DES tiene una longitud efectiva de

llave de 168 bits.
Criptografı́a
AES
Advanced Encryption Standard

Reemplazo de DES
Algoritmo de cifrado por bloque
Estándar oficial de EEUU para la información sensible.
Basado en el algoritmo Rijndael.
Tamaño de llaves 128, 192 y 256
Criptografı́a
2 Criptografı́a
Introducción
Funciones Hash

Criptografı́a
Caracterı́sticas
También conocida como criptografı́a de llave pública

Usa dos diferentes llaves una pública y una privada
La llave pública se distriye a cualquier persona
La llave privada se resguarda por el propietario
La llave pública y privada estan matemáticamente
relacionadas, y no debe ser posible derivar una a partir de la
otra.
Cada pareja de llaves tiene las siguientes dualidades naturales
Pueden cifrar y descifrar
Los datos cifrados con la llave pública solo pueden ser
decifrados por la correspondiente a la llave privada
Los datos cifrados con la llave privada solo pueden ser
decifrados por la correspondiente a la llave pública
Criptografı́a
Caracterı́sticas (II)
No requiere acuerdo previo de llave

Ayuda a acordar una llave para algún algoritmo de ciptografı́a
simétrica
Computacionalmente costosa
La base de su seguridad son matemáticas
Base de la Firma Digital y Certificados digitales
Criptografı́a
Ejemplos de algoritomos de cifrado asimétrico
RSA
Elliptic Curve Cryptosystem (ECC)
Diffie-Hellman
El Gamal
Knapsack
DSA
Algoritmos aprovavodos por la NIST: DSA, RSA, y ECDSA4
4
http://csrc.nist.gov/groups/ST/toolkit/digital_signatures.html
Criptografı́a
Diffie-Hellman
Definición
Protocolo para el intercambio de llaves entre partes que no han
tenido contacto previo utilizando un canal inseguro, y de manera
anónima (no autenticada).
Nombrado ası́ por sus creadores Whitfield Diffie y Martin

Hellman.
Criptografı́a
Diffie-Hellman (II)
Se emplea generalmente como medio para acordar llaves

simétricas que serán empleadas para el cifrado de una sesión.
No se requiere un acuerdo previo entre las partes para la
comunicación.
Permite que el seguro intercambio de llaves .
Vulnerable a ataques de hombre enmedio por falta de
autenticación.
No provee cifrado de datos o capacidad de firma digital.
Criptografı́a
DSA
Digital Signature Algorithm, en español Algoritmo de Firma

digital
Propuesto por el Instituto Nacional Americano de Estandares
y Tecnologı́a (NIST) para firmas digitales.
Se hizo público el 30 de agosto de 1991.
Sólo sirve para firmar y no para cifrar información.
Desventaja: requiere mucho más tiempo de computo que RSA.
Criptografı́a
ElGamal
Taher ElGamal propone en 1985 un algoritmo de cifrado que

hace uso del problema del logaritmo discreto PLD.
Usa el protocolo Diffie-Hellman para el intercambio de llaves.
Criptografı́a
RSA
Desarrolado por Ron Rivest, Adi Shamir y Leonard Adleman

en 1977; publicado en 1978. Desde entonces: estándar de llave
pública.
Provee firmas digitales, distribución de llaves y tods los
servicios de seguridad.
Basado en el documento “New Directions in Cryptography”,
EEE Transactions on Information Theory”, November, 1976 .
Postulan el sistema, sin demostrar que existe. Establecen
requerimientos a cumplir.
Criptografı́a
RSA (II)
Requerimientos propuestos:
pub priv
1 Fácil para B generar (KB , KB )
pub
2 Fácil para A, conociendo KB , y M, generar C
pub
3 Fácil para B descifrar C, usando KB , recuperar M
priv pub
4 Inviable determinar KB a partir de conocer KB
pub
5 Inviable recuperar M a partir de conocer KB yC
6 Cifrado y descifrado pueden aplicarse en cualquier orden
Criptografı́a
RSA (III)
Caracterı́sticas RSA:
Algoritmo de llave pública: significa que existen dos llaves,
una pública y una privada.
Lo que se cifra con la llave pública sólo puede ser descifrado
por la llave privada, y viceversa
Algoritmo considerablemente más seguro que DES; pero es
considerablemente más lento que éste
Se utiliza principalmente para la autentificación de
mensajes y el intercambio de llaves secretas.
Criptografı́a
Funciones Hash
2 Criptografı́a
Introducción
Funciones Hash

Criptografı́a
Funciones Hash
Caracterı́sticas
Se usa para verificación de integridad:

Cada valor hash es una “huella digital”
Función unidireccional:
Fácil de calcular en una dirección, pero infactible en la otra.
Acepta entradas arbitrariamente grandes y entrega salida de
longitud fija y pequeña
Infactible que dos entradas mapeen al mismo valor hash
Infactible que dado un valor hash se pueda hallar más de una
entrada
Si se cambia un bit de la entrada, cambia la salida
Criptografı́a
Funciones Hash
Funciones Hash (II)

Criptografı́a
Funciones Hash
Ejemplos de algoritomos de dispersión
MD2 (128 bits)

MD4 (128 bits)
MD5 (128 bits)
SHA-1 (160 bits) (NIST)
HAVAL (Tamaño variable)
Estándares aprovados por la NIST: SHA-1, SHA-224, SHA-256,

SHA-384, y SHA-512.5
5
http://csrc.nist.gov/groups/ST/toolkit/secure_hashing.html
Criptografı́a
2 Criptografı́a
Introducción
Funciones Hash

Criptografı́a
Firmas Digital
Definición
Transformación por medio de una función de firma que relaciona
de forma única:
El documento
La función de firma
Y una llave de firma (elemeno propio de la identidad del
firmante; esta llave debe ser privada)
Su finalidad no es que el mensaje se mantenga en secreto

(confidencialidad), sino que el receptor se asegure que el
(autenticación).
Criptografı́a
Firma Digitial (II)
El emisor usa su clave privada para cifrar el mensaje, cuando

el receptor recibe el texto cifrado, se encuentra con que puede
descifrarlo con la clave pública del emisor, demostrando
ası́ mensaje ha debido ser cifrado por él.
Además, es imposible alterar el mensaje sin acceso a la clave
privada del emisor, teniendo aquı́ integridad en los datos.
Alto costo computacional al cifrar todo el mensaje si en
realidad cualquiera lo puede leer (clave pública).
Una forma más efectiva es obtener una función hash del
documento, (obtener una huella del documento) y después la
salida de dicha función cifrarla con la clave privada del emisor.
Criptografı́a
Firma Digital (III)
La firma digital consiste de dos procesos

El proceso de firma
El proceso de verificación de firma
Una vez aplicada la transformación de firma al documento se
obtiene como resultado la firma digital
La firma se envı́a, junto con el documento, a la parte
interesada
El receptor debe verificar la validez de la firma
Usando otra llave (esta es la llave pública o de verificación de
firma)
Si la verificación es válida, la firma se acepta como buena; de
lo contrario, se rechaza
Criptografı́a
Firma Digital (III)
El proceso de verificación se realiza aplciando una función de

verificacióna la firma por medio de una llave de verificación (la
llave pública)
Como resultado de esta verificación debe obtenerse sólo uno
de dos valores posibles:
Verdadero
Falso
Criptografı́a
Comparación Firma Digital y MAC
Definición
Acrónimo de Message authentication code en español Código de
Autenticación de Mensajes. Se usa usa para garantizar
autenticidad. El contenido de los mensajes no se mantiene
confidencial, pero sı́ se asegura su integridad.
Criptografı́a simétrica
MAC = hash + llave simétrica
Criptografı́a asimétrica
Firma digital = hash + llave asimétrica
Criptografı́a
Infraestructura de Llave Pública

Ataque por hombre enmedio
1 I genera su pareja de llaves (pública,privada) y envı́a a B su
llave pública
2 B piensa o cree que la llave pública que recibió es la de A
3 Si ahora B queire enviar un mensaje secreto a A, utilizará la
llave pública que en realidad es la de I, cifrará el mensaje con
esta llave y lo enviará a A
4 I interceptará el mensaje cifrado, lo descifra con su llave
privada y leerá el secreto
La anterior situación ilustra la necesidad de autenticación cuando
se manejan llaves públicas.
Necesidad de esquemas de administración de llaves y Autoridades

Certificadoras.
Criptografı́a
PKI y sus componentes
PKI
Combinación de hardware y software, polı́ticas y procedimientos de
seguridad que permiten la ejecución con garantı́as de operaciones
criptográficas como el cifrado, la firma digital o el no repudio de
transacciones electrónicas.
Componentes
CA (Certificate Authorities)
RA (Registration Authority)
Repositorio de certificados
Sistema de revocación de certificados
Criptografı́a
PKY y sus Caracterı́sticas
Documento público verificable

Contiene información acerca de su propietario
Lo emite una tercera parte confiable (AC)
Los mecanismos usados en su generación garantizan que sólo
la AC pudo emitirlo
Es un identificador para transacciones electrónicas
Permite asegurarse que una llave pública pertenece a la
entidad identificada
Y que dicha entidad posee la correspondiente llave privada
Criptografı́a
Certificados Digitales
Definición
Documento digital mediante el cual un tercero confiable (una
autoridad certificadora) garantiza la relación entre la identidad de
un sujeto o entidad y su clave pública.
Caracterı́sticas
Estándar actual X.509 version 46
Vinclua la llave pública con el propietario
Firmado digitalmente por la CA
6
http://www.ietf.org/rfc/rfc3280.txt
Criptografı́a
Estructura de un certificado
Criptografı́a
2 Criptografı́a
Introducción
Funciones Hash

Criptografı́a
Protocolos seguros
Secure Hypertext Transport Protocol (S-HTTP)

Protege cada mensaje - no el canal de comunicación
Obsoleto
HTTPS
HTTP sobre una capa de SSL
Provee un canal seguro de comunicación
Todos los mensajes y cualquier otro dato son protegidos
Secure Sockets Layer (SSL)
Desarrollado por Netscape
Requiere de una PKI para su uso
El servidor se autentica ante el cliente, opcionalmente el
cliente puede autenticar al servidor
El cliente crea una llave de sesión y la envia al servidor
Funciona en la capa de transporte
Criptografı́a
2 Criptografı́a
Introducción
Funciones Hash

Criptografı́a
Algunos ejemplos:
GnuPG
TrueCrypt
KeePass
Husmail.com
Putty
Criptografı́a
Conclusiones
Conclusiones
La criptografı́a no va a evitar que nos lleguen toneladas de

spam.
No va a evitar que nos roben nuestra computadora.
La criptografı́a provee confidencialidad, integridad y no
repudio.
Herramientas de Apoyo a la Seguridad
2 Criptografı́a

Introducción a las Redes de Computadoras
Modelo OSI
Reconocimiento
Enumeración
Análisis de Vulnerabilidades
¿Qué es Nessus?
Sniffers y Monitores de Red
Detectores de Intrusos

2 Criptografı́a

Modelo OSI
Reconocimiento
Enumeración
¿Qué es Nessus?

El concepto de red
Definición
Conjunto de nodos (computadoras y/o dispositivos) conectados
entre sı́ por medio de cables, señales, ondas o cualquier otro
método de transporte de datos, que comparten:
información (archivos),
recursos (CD-ROM, impresoras, etc.),
servicios (acceso a internet, e-mail, chat, juegos), etc.
Topologı́as de Red
Define como están conectadas

computadoras, impresoras,
dispositivos de red y otros
dispositivos.
Describe la disposición de los
cables y los dispositivos,
ası́ como las rutas utilizadas
para las transmisiones de datos.
Influye enormemente en el
funcionamiento de la red.
Modelo OSI
2 Criptografı́a

Modelo OSI
Reconocimiento
Enumeración
¿Qué es Nessus?

Modelo OSI
Entendiendo el Modelo Abierto de Interconexión (OSI)
Creado por la ISO (Organización

Internacional para la Estandarización)
en 1984.
Es un modelo de referencia que
describe como los protocolos de red y
componentes trabajan juntos.
Compuesto por 7 capas o funciones,
cada una representa un grupo de
especificaciones, funciones y
actividades relacionadas.
ı̈t’s a way to talk about things, not to

implement them”a
a
Linus Torvalds - http://kerneltrap.org/node/5725
Modelo OSI
Nivel Fı́sico
Capa 1
Se encarga de las conexiones fı́sicas de la computadora hacia la
red, tanto en lo que se refiere al medio fı́sico como a la forma en
la que se transmite la información
Medio fı́sico:
Formas en que se transmite
Medios guiados: cable
la información:
coaxial, cable de par
trenzado, fibra óptica codificación de señal,
(conexión cableada) niveles de
tensión/intensidad de
Medios no guiados:
corriente eléctrica,
radio, infrarrojos,
modulación, tasa binaria,
microondas, láser y otras
etc.
redes inalámbricas)
Modelo OSI
Nivel de Enlace de Datos
Capa 2
Responsable de la transferencia confiable de información a
través de un circuito de transmisión de datos. Recibe peticiones del
nivel de red y utiliza los servicios del nivel fı́sico.
Protocolos:
Ethernet o IEEE 802.3,
IEEE 802.11 o Wi-Fi,
IEEE 802.16 o WiMAX.
PPP (Point to point protocol o protocolo punto a punto)
Modelo OSI
Nivel de Red
Capa 3
Proporciona conectividad y selección de ruta entre dos sistemas de
hosts que pueden estar ubicados en redes geográficamente
distintas. Consigue que los datos lleguen desde el origen al destino.
Orientación de conexión:
Datagramas: Cada paquete se encamina
independientemente, sin que el origen y el destino tengan que
pasar por un establecimiento de comunicación previo.
Circuitos virtuales: los dos equipos que quieran comunicarse
tienen que empezar por establecer una conexión.
Protocolos de la capa de red: IP (IPv4, IPv6, IPsec), OSPF,
IS-IS, BGP, ARP, RARP, RIP, ICMP, ICMPv6, IGMP, DHCP
Modelo OSI
Nivel de Transporte
Capa 4
Encargado de la transferencia libre de errores de los datos entre el
emisor y el receptor, aunque no estén directamente conectados,
ası́ como de mantener el flujo de la red.
Protocolos de transporte de internet:

UDP (protocolo de datagramas de usuario): Este protocolo
proporciona una forma para que las aplicaciones envı́en
datagramas IP encapsulados sin tener una conexión.
TCP (protocolo de control de transmisión): Se
diseñó especı́ficamente para proporcionar un flujo de bytes
confiable de extremo a extremo a través de una interred no
confiable
Modelo OSI
Nivel de Sesión
Capa 5
Proporciona los mecanismos para controlar el diálogo entre las
aplicaciones de los sistemas finales.
En muchos casos, los servicios de la capa de sesión son

parcialmente, o incluso, totalmente prescindibles.
Modelo OSI
Nivel de Presentación
Capa 6
Esta capa se encarga de la representación de la información, de
manera que aunque distintos equipos puedan tener diferentes
representaciones internas de caracteres (ASCII, Unicode, EBCDIC),
números (little-endian tipo Intel, big-endian tipo Motorola), sonido
o imágenes, los datos lleguen de manera reconocible.
Modelo OSI
Nivel de Aplicación
Capa 7
Ofrece a las aplicaciones (de usuario o no) la posibilidad de
acceder a los servicios de las demás capas y define los protocolos
que utilizan las aplicaciones para intercambiar datos.
El usuario normalmente no interactúa directamente con el

nivel de aplicación.
Suele interactuar con programas que a su vez interactúan con
el nivel de aplicación pero ocultando la complejidad
subyacente.
Modelo OSI
Protocolos de nivel Aplicación
FTP (File Transfer Protocol - Protocolo de transferencia de

archivos) para transferencia de archivos.
DNS (Domain Name Service - Servicio de nombres de
dominio).
HTTP (HyperText Transfer Protocol) para acceso a páginas
web.
POP (Post Office Protocol) para correo electrónico.
SMTP(Simple Mail Transport Protocol).
SSH (Secure SHell)
TELNET para acceder a equipos remotos.
Reconocimiento
2 Criptografı́a

Modelo OSI
Reconocimiento
Enumeración
¿Qué es Nessus?

Reconocimiento
nmap
Example (Uso de nmap)

nmap -sP -p1521 x.x.x.x/x
nmap -U -p1434 x.x.x.x/x
Reconocimiento
VisualRoute
http://www.visualroute.com/
Enumeración
2 Criptografı́a

Modelo OSI
Reconocimiento
Enumeración
¿Qué es Nessus?

Enumeración
httprecon
Enumeración
httprecon
2 Criptografı́a

Modelo OSI
Reconocimiento
Enumeración
¿Qué es Nessus?

2 Criptografı́a

Modelo OSI
Reconocimiento
Enumeración
¿Qué es Nessus?

¿Qué es una Vulnerabilidad?
Definción
Cualquier error de programación o mala configuración que
puede permitir a un atacante obtener acceso no autorizado.
Ejemplos:
Contraseña débil en un ruteador,
Sistema operativo no actualizado.
Las vulnerabilidades se han convertido en el detonante de la

mayorı́a de gusanos, spyware y virus por correo electrónico.
¿Qué es un Análisis de Vulnerabilidades?
Definición
Proceso que identifica y reporta vulnerabilidades.
Permite detectar y resolver problemas de seguridad antes que

alguien más lo haga.
Validar contramedidas de seguridad.
El reporte generado como resultado del proceso de identificar

vulnerabilidades es una foto del estado actual de seguridad en una
red.
Tipos de Análisis
Host Assessments
Análisis de vulnerabilidades a nivel sistema.Primeras herramientas
de seguridad proactivas.
Caracterı́sticas
Requiere ser instaladas en cada uno de los servidores a evaluar.
Diferente por cada sistema operativo y aplicaciones.
Acceso administrativo.
Útiles para identificar fallas en permisos de archivos, software

desactualizado, polı́ticas sin cumplir, backdoors o Troyanos.
Tipos de Análisis (2)

Network Assessments
Análisis de vulnerabilidades de todos los elementos “vivos” de una
red, determinando que servicios de red están en uso, analizando
dichos servicios es busca de vulnerabilidades.
Security Administrator Tool for Analyzing Networks (SATAN) fue
desarrollado por Dan Farmer y Wietse Venema en 1995.
Caracterı́sticas
No requiere cambios en la configuración en los equipos a
analizar.
Escalable.
Puede ocasionar fallas en los equipos analizados.
Proceso de Análisis
Proceso de Análisis (2)
Detección de sistemas en red - Etapa 1

Determinar cual dirección IP (Internet Protocol) especificada como
objetivo apunta a una equipos en lı́nea.
Por cada dirección especificada por el usuario, una o más

pruebas son enviadas para provocar una respuesta.
Cada respuesta es incluida en una lista de servidores validos.
Tipos de sondeo:
Internet Control Message Protocol (ICMP) “ping” requests,
Conexiones TCP.
Conexiones UDP.
Identificación de Sistemas - Etapa 2

Uso de técnicas de fingerprinting para determinar el tipo de
sistema encontrado (servidor o dispositivo de red) ası́ como el
sistema operativo usado.
Riesgos:
Consumo de ancho de banda.
Generación excesiva de mensajes en las bitácoras.
Enumerar Aplicaciones - Etapa 3

Mediante un escaneo de puertos se determinan los servicios TCP y
UDP que están abiertos en un sistema.
El sistema contesta con un mensaje por cada puerto abierto.

Hay 65,536 puertos TCP disponibles.
Identificación de Aplicaciones - Etapa 4

Consiste en enviar peticiones comunes y comparar la respuesta con
una base de datos de firmas predefinidas.
Nessus Security Scanner detecta mas de 90 aplicaciones.

Identificación de Vulnerabilidades - Etapa 5

Proceso de prueba de vulnerabilidades. Inicia con técnicas de
obtención básica de información, seguida de envió de sondas para
probar configuraciones y al final ataques para probar si una
vulnerabilidad existe en un sistema.
Reporte de Vulnerabilidades - Etapa 6

Documento donde se señalan las vulnerabilidades descubiertas.
Dos Enfoques del Análisis de Vulnerabilidades
Enfoque Administrativo
Análisis de Vulnerabilidades que se lleva a cabo desde la
perspectiva de un usuario con privilegios de administrador.
Enfoque Externo
Análisis de Vulnerabilidades que se lleva a cabo desde el punto de
vista del atacante real.
Vulnerabilidades a Nivel Mundial

¿Qué es Nessus?
Introducción
De acuerdo a la mitologı́a griega:

Nessus, o Neso en español, es un centauro7 . Esta criatura sedujo y
engaño a la esposa de Heracles,Deyanira, para darle a su esposo
una prenda envenenada, lo que provocó a la larga la muerta de
Heracles.
Podemos especular sobre si esta vieja historia inspiró el nombre del

analizador de vulnerabilidades más popular de nuestros dı́as. Sin
embargo, y de acuerdo al creador de Nessus, Renaud Deraison, no
hubo una razón especial para nombrar ası́ al proyecto.
7
http://www.portalciencia.net/mitocentauro.html
¿Qué es Nessus?
Premier UNIX vulnerability assessment tool
Nessus fué el analizador de vulnerabilidades más popular de

software libre hasta que cerraron su código en 2005 y
eliminaron la licencia gratuita en 2008.
Una licencia para el hogar (Home Feed) sigue disponible, la
cual permite el uso solo para usuario caseros. Mucha gente,
para evitar el pago de licencia, viola este esquema de
licenciamiento. Pero para la mayorı́a de los usuarios, el costo
de la licencia es de $1200/anual.
A pesar de estas desventajas, Nessus continua siendo el mejor
analizador de vulnerabilidades disponible para UNIX y
Windows. Nessus es actualizado de manera constante, cuanta
con más de 20,000 plugins.
2 Criptografı́a

Modelo OSI
Reconocimiento
Enumeración
¿Qué es Nessus?

Sniffer
2 Criptografı́a

Modelo OSI
Reconocimiento
Enumeración
¿Qué es Nessus?

2 Criptografı́a

Introducción
Seguridad no relacionada con Bases de Datos
Secreca y confidencialidad
Precisin, integridad y autenticidad de la informacin
Disponibilidad y recuperabilidad
Buenas prcticas
Introducción
2 Criptografı́a

Introducción
Buenas prcticas
Introducción
Definición
Nivel en el cual los datos estan completamente protegidos contra
intentos y/o accesos no autorizados
Comprende sistemas de información y conceptos de seguridad de la

información
Introducción
Sistemas de Información
Decisiones inteligentes
requieren:
información precisa y
en tiempo
integridad en la
información
Sistema de información:
comprende todos los
componentes necesarios
para producir y generar
información precisa.
Clasificación de acuerdo a
su uso.
Introducción
Componentes de los Sistemas de Información
Datos
Procedimientos
Hardware
Software
Red
Personas
Introducción
Arquitectura de Sistemas de Información
Cliente-Servidor
Basado en un modelo de negocio
Puede ser implementado por niveless: un nivel; dos niveles; n
niveles
Formado por tres capas (layer)
Capa: Plataforma fı́sica o lógica
Sistema manejador de bases de datos (DBMS): Conjunto de
programas que administran bases de datos
Introducción
Ejemplos de arquitectura cliente-servidor

Introducción
Administración de Bases de Datos
Esencial para el éxito de un sistema de información

Funcionalidad de un DBMS:
Organiza los datos
Almancena y recupera información de manera eficiente
Manipula datos (update y delete)
Cumple con integridad referencial y consistencia
Cumple e implementa polı́ticas y procedimientos de seguridad
de datos
Respalda, recupera y restaura datos en caso de desastre
Introducción
Componentes de un DBMS
Datos
Procedimientos
Hardware
Software
Red
Procedimientos
Servidores de bases
de datos
Introducción
Seguridad de la información
La información es uno de los activos más valioso de una

organización.
Seguridad de la información: Procedimientos y medidas
tomadas para proteger los componentes de un sistema de
información.
Triángulo C.I.A.: Confidencialidad, Integridad y Disponibilidad
Las polı́ticas de seguridad deben estar balanceadas de acuerdo
al triángulo C.I.A.
Introducción
Triángulo C.I.A.
Introducción
Confidencialidad
Trata dos aspectos de la seguridad:

Prevención de acceso no autorizado.
Revelación de información con base a su clasificación.
Clasificar la información de la empresa en niveles:
Cada nivel tiene sus propias medidas de seguridad
Generalmente basadas en el grado de confidencialidad
necesaria para proteger la información.
Introducción
Clasificación de la información vs Confidencialidad

Introducción
Integridad
Consiste en validar los datos y procesarlos correctamente

logrando certeza en la información.
La información es integra si:
Es precisa.
No ha sido falsificada.
Lectura consistente: cada usuario ve solo sus cambios y
aquellos realizados (committed) por otros usuarios.
Introducción
Degradaciones en la integridad de datos
Datos inválidos
Datos redundantes
Datos inconsistentes
Datos anómalos
Lectura de datos inconsistente
Datos no concurrentes
Introducción
Disponibilidad
El sistema debe estar disponible para los usuarios autorizados

El sistema determina que puede hacer un usuario con la
información
Razones por las cuales un sistema no esta disponible:
Ataques externos o falta de protección del sistema
Falla de un sistema o no contar con un plan de recuperación
de desastres
Polı́ticas de seguridad demasiado estrictas
Mala implementación de procesos de autenticación
Introducción
Arquitectura de seguridad de la información
Protege la información producida por los datos

Modelo para proteger los activos fı́sicos y lógicos
Diseño global para la implementación del triángulo C.I.A.
Introducción

Introducción
Protege la información producida por los datos

Modelo para proteger los activos fı́sicos y lógicos
Diseño global para la implementación del triángulo C.I.A.
Introducción
Componentes de la Arquitectura de seguridad de la

información
Polı́ticas y procedimientos
Seguridad del personal y administradores
Equipos de detección de intrusos
Programas de seguridad
Equipo de monitoreo
Aplicaciones de monitoreo
Procedimientos y herramientas de auditoria
Introducción
Aplica la seguridad en todos los niveles de la base de datos

Asegurar los puntos de acceso: lugar donde la seguridad de
bases de datos debe proteger y aplicarse
Si los datos requieren un mayor nivel de protección, los puntos
de acceso a los datos deben ser pocos y controlados
Introducción
Seguridad en Base de Datos

Introducción
Reducir los puntos de acceso reduce los riesgos de seguridad

Brechas de seguridad: puntos en los cuales se pierde la
seguridad
Vulnerabilidades: fallo en un sistema que puede convertirse en
amenaza
Amenaza: Riesgo que puede convertirse en una brecha de
seguridad
Introducción
Seguridad en Base de Datos

Introducción
Compromiso de la integridad de datos

Introducción
Niveles de Seguridad en Bases de Datos
1 Base de datos relacional: Conjunto de archivos de datos

relacionados
2 Archivo de datos: Conjunto de tablas relacionadas
3 Tablas: Conjunto de renglones relacionados (registros)
4 Renglones. Conjunto de columnas relacionadas (campos)
Introducción
Niveles de Seguridad en Bases de Datos

2 Criptografı́a

Introducción
Buenas prcticas
2 Criptografı́a

Introducción
Buenas prcticas
Control de Acceso
Permisos a Nivel de Objetos

Limitacin de Recursos
Auditora
2 Criptografı́a

Introducción
Buenas prcticas
Integridad Referencial
Autenticidad
Algunas tcnicas de cifrado e implementacin de las mismas

a nivel de registro
2 Criptografı́a

Introducción
Buenas prcticas
Respaldo
Tcnicas de respaldo y recuperacin

Espejeo de dispositivos
Espejeo de servidores
Chequeo de consistencia en la Base de Datos

Chequeo de los logs de mensajes de error

Buenas prcticas
Recomendaciones I
Usar un sistema de deteccin de intrusos, especialmente en

servidores de bases de datos en lnea y de alto riesgo.
Cambiar las contraseas de las cuentas creadas por omisin
durante la instalacin y asignar contraseas fuertes a las mismas.
Deshabilitar las cuentas de invitado y las cuentas de
demostracin o ejemplo definidas durante la instalacin. Eliminar
estas cuentas en las bases de datos de produccin.
Mantener actualizado el DBMS con las versiones ms recientes
del software y de los parches de seguridad liberados por el
fabricante del software.
Buenas prcticas
Recomendaciones II
No permitir que las aplicaciones consulten o manipulen
directamente la base de datos mediante instrucciones
SELECT, INSERT, UPDATE o DELETE. Usar procedimientos
almacenados en su lugar.
En las aplicaciones, restringir la ejecucin de instrucciones de
SQL dinmico.
Impedir que las aplicaciones acepten instrucciones de SQL de
los usuarios y las ejecuten sobre la base de datos.
Hacer que los usuarios consulten los datos mediante vistas en
lugar de otorgarles acceso a las tablas base.
Habilitar la auditora de acceso al sistema operativo y al
servidor de base de datos. Revisar el registro de auditora
buscando los eventos fallidos de acceso y buscar tendencias
con la finalidad de detectar posibles intrusos.
Buenas prcticas
Recomendaciones III
Monitorear cuidadosamente los registros (logs) de error y de

eventos y disparar automticamente alertas relacionadas con la
seguridad y con errores. Proteger los archivos de registro (log)
mediante permisos apropiados de sistema operativo.
En ambiente de bases de datos distribuidas, eliminar el acceso
a los servidores que no se utilicen. Utilizar cuentas de acceso
con mnimos privilegios para los servidores relacionados.
Almacenar los archivos utilizados para carga masiva de datos o
por lotes (batch) en un directorio con los permisos apropiados.
Eliminar los archivos una vez que hayan sido utilizados.
Para asegurar la replicación de datos sobre internet o sobre
una red de rea amplia (WAN), implementar una red privada
virtual (VPN).
Buenas prcticas
Recomendaciones IV
Definir y aplicar una polı́tica de respaldo periódico. Almacenar

los medios de respaldo en un lugar seguro. Realizar
regularmente restauraciones de la base de datos a partir de los
respaldos.
Referencias bibliográficas
Referencias bibliográficas I
C. Wilson.
Computer Attack and Cyberterrorism: Vulnerabilities and
Policy Issues for Congress.
CRS Report for Congress, 2005.
E. Spafford.
Seguridad Práctica en Unix e Internet.
W. Preston
Backup & Recovery.
O’Reilly, 2006.
Seguridad Práctica en Unix e Internet.
Referencias bibliográficas
Referencias bibliográficas II
K. O’Shea
Examining the RPC DCOM Vulnerability: Developing a
Vulnerability-Exploit Cycle.
SANS.
S Harris.
CISSP Certification All-in-One Exam Guide, Fourth Edition.
McGraw-Hill Osborne Media; 4 edition (November 9, 2007).

Seguridad Base Datos

Hochgeladen von

Dokumentinformationen

Originaltitel

Copyright

Verfügbare Formate

Dieses Dokument teilen

Dokument teilen oder einbetten

Freigabeoptionen

Stufen Sie dieses Dokument als nützlich ein?

Sind diese Inhalte unangemessen?

Copyright:

Verfügbare Formate

Seguridad Base Datos

Hochgeladen von

Copyright:

Verfügbare Formate

Módulo 9.

Seguridad en Bases de Datos

Módulo 9. Seguridad en Bases de Datos

Francisco Medina López

Dirección General de Cómputo y de Tecnologı́as de Información y Comunicación.

1 Introducción a la Seguridad de la Información

3 Herramientas de Apoyo a la Seguridad

4 Seguridad en Bases de Datos

1 Introducción a la Seguridad de la Información

3 Herramientas de Apoyo a la Seguridad

4 Seguridad en Bases de Datos

1 Introducción a la Seguridad de la Información

3 Herramientas de Apoyo a la Seguridad

4 Seguridad en Bases de Datos

Según la Real Academia de la Lengua Española:

Según la Real Academia de la Lengua Española:

Según la Real Academia de la Lengua Española:

¿Qué es seguridad de la información?

La seguridad de la información protege a la información de una

No importando la forma que se adquiere la información, o los

¿Por qué es importante la seguridad de la información?

La información es un recurso que, como el resto de los importantes

El 94 % de las empresas que pierden sus datos desaparece.2

1 Evaluación: Análisis del ambiente y de los requerimientos de

¿Qué no es la seguridad de la información?

La seguridad no es la meta de la organización.

“El único sistema totalmente seguro es aquel que está apagado,

¿Cuándo podemos decir que un sistema es seguro?

“Un sistema de cómputo es seguro si se puede confiar en que él y

1 Asumir que los datos están en el Centro de cómputo. La

Errores comunes III

6 Enfocarse en prevención en vez de detección. No se puede

Modelo de Madurez de la Seguridad de la Información

1 Introducción a la Seguridad de la Información

3 Herramientas de Apoyo a la Seguridad

4 Seguridad en Bases de Datos

Primera Revolución: La Computadora Personal

Primera Revolución: La Computadora Personal

En 1981 IBM introduce la primera computadora personal

Existen más recursos que perder y más formas de hacerlo.

Problemas de Seguridad en las Computadoras Personales

Accesibilidad fı́sica al hardware Facilidad de robo.

Problemas de Seguridad en las Computadoras Personales

Accesibilidad fı́sica al hardware Facilidad de robo.

Problemas de Seguridad en las Computadoras Personales

Accesibilidad fı́sica al hardware Facilidad de robo.

Problemas de Seguridad en las Computadoras Personales

Accesibilidad fı́sica al hardware Facilidad de robo.

Segunda Revolución: Internet

Internet proporciona la infraestructura para la comunicación e

Internet y TCP/IP no fueron diseñados pensando en seguridad, su

Internet hace algunos años

Internet en nuestros dı́as

1 Introducción a la Seguridad de la Información

3 Herramientas de Apoyo a la Seguridad

4 Seguridad en Bases de Datos

Número de vulnerabilidades reportadas

1986 Clifford Stoll Rastreo de intrusos que trataban de vi-

1994 Kevin Mitnick Robo de software y tarjetas de crédito

Caso Clifford Stoll

Intrusión: Agosto 1986 (LBL).

Aparición: 02/11/88 (Se reproduce de

Kevin Mitnick -“Condor”-