Tesis Borghello

Seguridad
Informtica
Cristian F. Borghello
2001
Tesis
Su Implicancia e
Implementacin
www.segu-info.com.ar - 2007
www.segu-info.com.ar 2007 - 2
Porqu Seguridad Informtica ?
O Visin de su necesidad.
O Conviccin de su inexistencia prctica.
O Visin de su importancia.
O Atraccin tecnolgica y humana.
Objetivos
O Presentar los conceptos y alcances
tcnicos, administrativos y legales.
O Conocer los protagonistas y
sus responsabilidades.
O Conocer las vulnerabilidades y
fortalezas de los sistemas.
O Establecer polticas de seguridad.
Componentes Estudiados
OComponente fsico
OComponente lgico
Ataques
Defensas
OComunicaciones
OPolticas seguridad
Legislacin
Personas
OComponente humano
OEvaluacin de costos
Objetivo de la Seguridad Informtica
El objetivo de la seguridad informtica es
mantener la Integridad, Disponibilidad,
Privacidad, Control y Autenticidad de la
informacin manejada por computadora.
Elementos de la Seguridad Informtica
O Disponibilidad
Los usuarios deben tener disponibles todos los
componentes del sistema cuando as lo deseen.
O Integridad
Los componentes del sistema permanecen
inalterados a menos que sean modificados por los
usuarios autorizados.
1
Los componentes del sistema son accesibles slo
por los usuarios autorizados.
O Privacidad
O No Repudio
Evita que cualquier entidad que envi o recibi
informacin alegue, que no lo hizo.
O Auditoria
Determinar qu, cundo, cmo y quin realiza
acciones sobre el sistema.
O Autenticidad
Definir que la informacin requerida es vlida y
utilizable en tiempo, forma y distribucin.
Elementos de la Seguridad Informtica
2
Solo los usuarios autorizados deciden cuando y
como permitir el acceso a la informacin.
O Control
Operatividad vs Seguridad
OPERATIVIDAD
SEGURIDAD
1
=
La funcin se vuelve
exponencial
acercandose al
100% de seguridad
Seguridad Fsica
Aplicacin de barreras fsicas y
procedimientos de control, como medidas
de prevencin y contramedidas ante
amenazas a los recursos e informacin.
1
O Terremotos
O Inundaciones
Suministro ininterrumpido de corriente
Esttica
O Instalaciones elctricas
Cableados defectuosos
O Trabajos no ergomtricos
Amenazas
2
Seguridad Fsica
O Seguridad del equipamiento
O Incendios
O Control de personas
O Control de hardware
Controles
O Control de vehculos
O Barreras infrarrojas-ultrasnicas
O Sistemas de alarma
Seguridad Fsica
3
Huellas digitales
Control de voz
Patrones oculares
Verificacin de firmas
O Controles biomtricos
Aplicacin de barreras y procedimientos
que resguarden el acceso a los datos y slo
se permita acceder a ellos a las personas
autorizadas para hacerlo.
Seguridad Lgica
1
Identificacin: El usuario se da a conocer al
sistema.
Autentificacin: Verificacin del sistema ante
la Identificacin.
". Algo que la persona conoce - Password
D. Algo que la persona es - Huella digital
. Algo que la persona hace - Firmar
C. Algo que la persona posee - Token Card
Formas de Autentificacin-Verificacin
Seguridad Lgica
2
Delito Informtico
Cualquier comportamiento antijurdico, no
tico o no autorizado, relacionado con el
procesado automtico de datos y/o
transmisiones de datos.
Se realizan por medios informticos y tienen
como objeto a la informacin en s misma.
1
O Fraudes cometidos mediante manipulacin
de computadoras
O Manipulacin de datos de E/S
O Daos a programas o datos almacenados
O Distribucin de virus
O Espionaje
O Acceso no autorizado
Delitos Informticos 2
O Reproduccin y distribucin de programas
protegido por la ley
Amenazas Humanas
OHacker: persona curiosa, inconformista y paciente
que busca su superacion continua aprovechando las
posibilidades que le brindan los sistemas.
OCracker: hacker daino.
OPhreaker: persona que engaa a las compaias
telefnicas para su beneficio propio.
OPirata Informtico: persona que vende software
protegido por las leyes de Copyright.
OCreador de virus Diseminadores de virus
OInsider: personal interno de una organizacin que
amenaza de cualquier forma al sistema de la misma.
1
Intrusin Amenazas 2
Comunicaciones
Protocolo: conjunto de normas que rige el
intercambio de informacin entre dos
computadoras.
Modelo OSI TCP/IP
Transporte
Enlace datos
Fsico
Red
Aplicacin
IP IPX/SPX Appletalk
SMTP POP MIME HTTP
ICMP FTP TELNET
TCP UDP
Presentacin
Sesin
Fsico
Internet
Transporte
Aplicacin
PPP SLIP Ethernet
Token Ring ARP RARR
Crackers
Hackers
Insiders
Errores
Virus
Marco Legal acorde con los avances tecnlogicos
Amenaza
Marco Tecnolgico Comunicaciones Internet
Bien
Protegido
Amenaza: elemento que compromete al sistema
Ingeniera Social
Amenazas
Tipos de Ataques
O Ingeniera Social Social Inversa
O Trashing
Monitorizacin
O Shoulder Surfing
O Decoy
O Scanning
Autentificacin
O Spoofing
O Looping
O Hijacking
O Backdoors
O Exploits
O Obtencin de claves
O Vulnerabilidades propias de los sistemas
Observacin Verificacin Falsa
1
Tipos de Ataques
Denial of Service
O Jamming Flooding
O SynFlood
O Connection Flood
Modificacin
O Tampering
O Borrado de huellas
O Ataques con ActiveX
O Ataque con JAVA
O Land Attack
O Smurf Attack
O Nuke
O Tear Drop
O Bombing
Saturacin de Servicios
Daos
O Ataques con Scripts
O Virus
2
". Recopilacin de informacin
D. Exploracin del sistema
. Enumeracin e identificacin
C. Intrusin
Ataques
Implementacin
Defensa
O Mantener hardware actualizado
O No permitir trfico broadcast
O Filtrar trfico de red
O Auditoras
O Actualizacin de los sistemas
O Capacitacin permanente
Virus
Programa de actuar subrepticio para el usuario; cuyo
cdigo incluye informacin suficiente y necesaria para
que, utilizando los mecanismos de ejecucin que le
ofrecen otros programas, puedan reproducirse y ser
susceptibles de mutar; resultando de dicho proceso la
modificacin, alteracin y/o dao de los programas,
informacin y/o hardware afectados.
Modelo:
Daino
Autoreproductor
Subrepticio
Dao Implcito
Dao Explcito
Tipos de Virus
O Archivos ejecutables
O Sector de arranque
O Residentes
O Macrovirus
O De email
O De sabotaje
O Hoax
O Gusanos
O Caballos de troya
O Bombas lgicas
Carcter Dirigido
+
Profesional y de espionaje
Carcter Vandlico
+
Amateur
O Armas digitales
Programas que no
cumplen con la
definicin de virus
Antivirus
O Scanning
O Bsqueda heurstica
Gran base de datos con la huella digital de
todos los virus conocidos para identificarlos y
tambin con las pautas ms comunes de los
virus.
O Monitor de actividad
Deteccin Identificacin
O Chequeador de integridad
Deteccin
Confirmar la
presencia de un virus
+
Identificacin
Determinar que virus
fue detectado
Modelo de Proteccin
O Auditoras permanentes
O Poltica de seguridad de la organizacin
O Sistema de seguridad a nivel fsico
O Plan de respuestas a incidentes
O Sistemas de deteccin de intrusos (IDS)
O Penetration Testing
O Seguridad a nivel RouterFirewall
M
o
d
e
l
o

D
e
s
c
e
n
d
e
n
t
e
Penetration Testing
O Fuerzas de las passwords
Externo Interno
Conjuntos de tcnicas tendientes a realizar
una evaluacin integral de las debilidades de
los sistema.
O Captura de trfico de red
O Deteccin de protocolos
O Scanning de puertos
O Vulnerabilidades existentes
O Ataques de DoS
O Test de servidores
O Protocolos internos
O Autentificacin de usuarios
O Verificacin de permisos
O Aplicaciones propietarias
O Ataques de DoS
O Seguridad fsica en las
estaciones de trabajo
Firewalls
Sistema ubicado entre dos redes y que ejerce
una poltica de seguridad establecida.
Mecanismo encargado de proteger una red
confiable de otra que no lo es.
O Defensa perimetral.
O Defensa nula en el
interior.
O Proteccin nula contra un
intruso que lo traspasa.
O Sus reglas son definidas
por humanos.
Caractersticas
Tipos de Firewalls
". Filtrado de paquetes
O Filtran Protocolos, IPs y puertos utilizados
D. Gateway de Aplicaciones
O Se analizan cada uno de los paquetes que ingresa
al sistema
. Firewalls personales
O Aplicaciones disponibles para usuarios finales.
Tipos de Firewalls
". Filtrado de paquetes
O Filtra Protocolos, IPs y puertos utilizados
- Economicos y con alto desempeo
No esconden la topologa de la red
D. Gateway de Aplicaciones
O Nodo Bastion intermediario entre Cliente y Servidor
- Transparente al usuario
Bajan rendimiento de la red
. Dual Homed Host
O Conectados al permetro interior y exterior
- Paquetes IPs desactivado
1
Tipos de Firewalls
O Router + Host Bastion.
- El Bastion es el nico accesible desde el exterior.
C. Screened Host
2
C. Screened Subnet
O Se aisla el Nodo Bastion (el ms atacado).
O Se utilizan dos o ms routers para
establecer la seguridad interna y externa.
C. Inspeccin de paquetes
O Cada paquete es inspeccionado.
C. Firewalls personales
O Aplicaciones disponibles para usuarios finales.
IDS
Sistema encargado de detectar intentos de
intrusin en tiempo real.
O Recoger evidencia.
Debilidades Ventajas
O Mantener un registro
completo de actividades.
O Es disuador de curiosos.
O Es Independiente del SO.
O Dificulta la eliminacin de
huellas.
O Descubre intrusiones
automticamente.
O Tiene una alta tasa de falsas
alarmas.
O No contempla la solucin
a nuevos agujeros de
seguridad.
O Puede sufir ataques durante
la fase de aprendizaje y son
considerados normales.
O Necesita reentrenamiento
perodico.
FirewallIDS
Passwords
O 1 Ao 3.340 claves (24,22%)
21.081.705 aos 45.840 aos 1.160 aos 45 aos 10
219.601 aos 890 aos 32,6 aos 21 meses 9
2.280 aos 17 aos 10,5 meses 24 das 8
24 aos 4 meses 9 das 22,3 horas 7
3 meses 2,3 das 6 horas 51 min. 6
96
Todos
52
May. + Min.
36
Min. + Dig.
26
Min.
Cant.
Caracteres
O 1 Semana 3.000 claves (21,74%)
O 1 15 Minutos 368 claves (2,66%)
Ataque a 13.794 cuentas con un
diccionario de 62.727 palabras
Ataque a 2.134 cuentas a
227.000 palabras/segundo
O Dicc. 2.030 36 cuentas en
19 segundos.
O Dicc. 250.00064 cuentas
en 36:18 minutos
1
Passwords
O No utilizar contraseas que sean palabras.
Normas de eleccin de passwords
2
O No usar contraseas con algn significado.
O Mezclar caracteres alfanumricos.
O Longitud mnima de 7 caracteres.
O Contraseas diferentes en sistemas diferentes.
O Ser fciles de recordar Uso de nmotcnicos.
O NO permitir cuentas sin contrasea.
O NO mantener las contraseas por defecto.
O NO compartirlas.
Normas de gestin de passwords
O NO escribir, enviar o decir la contrasea.
O Cambiarlas peridicamente.
Criptografa
Criptografa: del griego (Kripto
Oculto). Arte de escribir con clave secreta o
de un modo enigmtico.
Ciencia que consiste en transformar un
mensaje inteligible en otro que no lo es,
mediante la utilizacin de claves, que solo el
emisor y receptor conocen.
Texto
Plano
Algortimo de
cifrado f(x)
otxeT
onalP
Mtodos Criptogrficos
Simtricos o de Clave Privada: se emplea la
misma clave para cifrar y descifrar. El emisor y
receptor deben conocerlas.
O Mtodo del Cesar
O Transposicin
O Sustitucin general
O La esctala
Modernos Clsicos
O Redes de Feistel
O DES3DES
O IDEA
O Blowfish
O RC5
O CAST
O RijndaelAES
1
Asimtricos o de Clave Pblica: se emplea
una doble clave k
p
(privada) y K
P
(Pblica).
Una de ellas es utilizada para cifrar y la otra
para descifrar. El emisor conoce una y el
receptor la otra. Cada clave no puede
obtenerse a partir de la otra.
2
O RSA: basado en la dificultad de factorizar nmeros primos
muy altos
O
.
O Curvas Elpticas: basado en los Logaritmos Discretos de
DH y las races cuadradas mdulo un nmero compuesto.
Mtodos
O DiffieHellman (DH): basado en el tiempo necesario para
calcular el logaritmo de un nmero muy alto
O
.
O Muy Alto = 200 dgitos +
Mtodos Criptogrficos
Autenticacin
Condiciones
O MD5
O SHA1
O RIPEMD
O NHash
O Snefru
O Tiger
Firma Digital: funcin Hash de resumen y de
longitud constante, que es una muestra nica
del mensaje original.
". Si A firma dos documentos
produce criptogramas distintos.
D. Si A y B firman dos documentos m
producen criptogramas diferentes.
. Cualquiera que posea la clave
pblica de A puede verificar que el
mensaje es autenticamente de A.
Mtodos
O Haval
Utilidad de la Criptografa
O Confidencialidad
O Autentificacin
O No Repudio
O Integridad
Firma Digital Cifrado
Clave
DES
Texto
Plano
A
Clave
Privada
A
DES
Cifrada
O Actualidad del mensaje
O Certificacin
Texto
Cifrado
Clave
Pblica
A
DES
Descifrada
Texto
Plano
B

Modelo
CifradoFirmado
Evaluacin de Costos
CP: Costo de los bienes Protegidos.
CR: Costo de los medios para Romper la seguridad.
CS: Costo de las medidas de Seguridad.
CR > CP > CS
CR > CP: Debe ser ms costoso un ataque que el valor
de los mismos.
CP > CS: Debe ser ms costoso el bien protegido que
las medidas de seguridad dispuestas para el mismo.
Siendo:
Luego:
Minimiza el costo de la proteccin.
Maximiza el costo de los atques.
Polticas de Seguridad
Conclusiones
O Se requiere un diseo seguro.
O Adaptacin de la legislacin vigente.
O Los daos son minimizables.
O Los riesgos son manejables.
O Inversin baja comparada con los daos.
O La seguridad es un viaje permanente.
O Tecnologa como elemento protector.
Muchas Gracias !
Diapositivas
Extras
Funcionamiento de PGP
Clave
Simtrica
Cifrada
Texto
Cifrado
Algoritmo
Asimtrico
Generador
aleatorio
Clave
Pblica B
Clave
Privada A
Texto
Claro
Algoritmo
Simtrico
Clave
Simtrica
Cifrado y Firmado por parte de A
F
i
r
m
a
C
i
f
r
a
d
o
1
Funcionamiento de PGP
Clave
Simtrica
Cifrada
Texto
Cifrado
Algoritmo
Asimtrico
Clave
Pblica A
Clave
Privada B
Texto
Claro
Algoritmo
Simtrico
Clave
Simtrica
Descifrado y Verificacin por parte de B
V
e
r
i
f
i
c
a
c
i
n
D
e
s
c
i
f
r
a
d
o
2
Aparicin de los Bugs de IIS
Estadsticas de Ataques 1

Tesis Borghello

Hochgeladen von

Dokumentinformationen

Originaltitel

Copyright

Verfügbare Formate

Dieses Dokument teilen

Dokument teilen oder einbetten

Freigabeoptionen

Stufen Sie dieses Dokument als nützlich ein?

Sind diese Inhalte unangemessen?

Copyright:

Verfügbare Formate

Tesis Borghello

Hochgeladen von

Copyright:

Verfügbare Formate

Seguridad

Das könnte Ihnen auch gefallen