¿Qué es seguridad?

La seguridad absoluta es indemostrable. Se habla de fiabilidad.
 Mantener un sistema seguro consiste en garantizar:
Confidencialidad: Sólo pueden acceder a los recursos de un sistema los agentes autorizados.
Integridad: Los recursos del sistema sólo pueden ser modificado por los agentes autorizados.
Disponibilidad: Los recursos del sistema tienen que estar a disposición de los agentes autorizados (contrario: denegación de servicio).

¿Qué queremos proteger?
 Los recursos del sistema
Hardware
Soffttwarre
Datos.
 Tipos de ataque a los recursos:
Interrupción: recurso queda inutilizable o no disponible
Intercepción: captura de un recurso o acceso al mismo
Modificación o destrucción: Intercepción y manipulación del recurso
Fabricación: generación de recursos similares a los atacados.

¿De qué nos queremos proteger?
De todos aquellos agentes que puedan atacar a nuestros recursos
Personas: empleados, ex-empleados, curiosos, piratas, terroristas, intrusos remunerados
Amenazas lógicas: software defectuoso, herramientas de seguridad, puertas traseras, bombas lógicas, canales ocultos, virus, gusanos, caballos de Troya, etc.
Catástrofes

¿Cómo nos podemos proteger?
Análisis de amenazas
Evaluación de (posibles) pérdidas y su probabilidad
Definición de una política de seguridad
Implementación de la política: mecaniismos de seguridad
De prevención: durante el funcionamiento normal del sistema
De detección: mientras se produce un intento de ataque
De recuperación: tras un ataque, para retornar a un funcionamiento correcto: Análisis forense.

Vulnerabilidad
La vulnerabilidad de una organización depende de:
El grado de publicidad de la organización
El costo de los ataques
La exposición de la organización a los ataques externos
La exposiiciión de lla orrganiizaciión antte attaques internos, o ante la facilitación de servicios (involuntaria o consciente) desde el interior
En definitiva, depende de la:
Motivación: ¿Qué ventaja o provecho se puede sacar por obtener o destruir información?
Confianza: ¿En qué medida se puede contar con los usuarios?

Amenazas
Una amenaza es cualquier circunstancia o evento que potencialmente puede causar un daño a una organización mediante la exposición, modificación o destrucción de información, o mediante la denegación de servicios críticos.
¿Los “malos” van a tratar de actuar sobre mi sistema?
¿Puede ocurrir que elementos no deseados accedan (leyendo o modificando) información importante para mi organización?
¿Puede ocurrir que la reputación de mi organización se vea comprometida?

Tipos de amenazas
Fallo de componentes (hardware o software). Ej. caída del cortafuegos, fallos de un protocolo.
Exposición de la información: correo mal enrutado, salida de una impresora, grupos o listas de acceso
mal configuradas...
Utilización de la información para usos no previstos.
Puede venir del exterior o del interior.
Borrado o modificación de la información. Puede conllevar pérdidas de integridad o confidencialidad.
Penetración: Ataques por personas o sistemas no autorizados: caballos de Troya, virus, puertas
traseras, gusanos, denegación de servicios...
Suplantación: Intentos de confundirse con un usuario legítimo para sustraer servicios, información, o para
iniciar transacciones que comprometan a la organización.
Servicios que pueden comprometer la seguridad
Acceso remoto
Específico (p. ej. e-mail con POP o IMAP). El menos vulnerable
Control remoto (terminales). Usualmente dentro de la misma red
Nodo remoto (estación de trabajo). El más vulnerable El acceso remoto se puede realizar por distintos procedimientos:
Conexión telefónica: Control de los números de acceso, pares username/password, módems dial-back, claves de un solo uso, control de acceso basado en la localización.
Telnet/Xwindow. Bastante inseguro
Mobile computing. Inseguro
Correo electrónico. Problemas:
Direcciones fáciles de suplantar
Contenidos fáciles de modificar
El mensaje pasa por muchos puntos durante el envío
No existe garantía de entrega
Distribución de información
Listas de correo,, grrupos de noticias,, FTP,, WWW, BBS, Gopher.
Política de Seguridad
Objetivo
Definir cómo se va a proteger una organización ante los ataques. Tiene dos
partes:
Política general: define el enfoque general:
Análisis de vulnerabilidad
Identificación de las amenazas
Reglas específicas: definen las características y acciones concretas, para cada servicio o sistema, orientadas a cumplir los objetivos de la política general
Características de una buena política de seguridad (RFC 2196)
Se tiene que poder poner en práctica mediante procedimientos concretos de administración de sistemas,
mediante la publicación de guías sobre el uso aceptable de los recursos informáticos, o mediante otros métodos prácticos apropiados.
No debe ser una entelequia.
Debe ser implementable
Se debe obligar su cumplimiento medianteh erramientas de seguridad, donde sea posible, y mediante sanciones, donde la prevención no sea posible técnicamente.
No debe tener agujeros, y si los tiene hay que poder detectarlos
Debe definir claramente las áreas de responsabilidad de los usuarios, los administradores y la dirección.
Tiene que haber un responsable para toda situación posible
 Componentes de una buena política de seguridad (RFC 2196)
Guía de compra de hardware y software, donde se especifique las funciones relacionadas con la seguridad
requeridas o deseadas.
Una política de privacidad que asegure un nivel mínimo de privacidad en cuanto a acceso a correo electrónico, ficheros de usuario, ficheros de traza, etc.
Una política de acceso que defina los niveles de seguridad, los derechos y privilegios, características de las conexiones a las redes internas y externas, mensajes de aviso y notificación, etc.
Una política de responsabilidad que defina las responsabilidades de los usuarios, y del personal técnico y de gestión. Debe definir los procedimientos de auditoría y de gestión de incidentes (a quién avisar, cuándo y cómo, etc.)
Una política de autenticación que establezca un esquema de claves o palabras de paso (passwords), que especifique modelos para la autenticación remota o el uso de dispositivos de autenticación.
Una declaración de disponibilidad, que aclare las expectativas de los usuarios en cuanto a la disponibilidad de los recursos. Debe definir temas como la redundancia, la recuperación ante intrusiones, información de contacto para comunicar fallos en los sistemas y/o en la red, etc.
Una política de mantenimiento que describa cómo se lleva a cabo el mantenimiento interno y externo, si se permite mantenimiento remoto y/o mantenimiento por contratas externas, etc.
Una política de comunicación de violaciones que defina qué tipos de amenazas, y cómo y a quién se deben comunicar.
Información de apoyo que indique a los usuarios, personal técnico y administración cómo actuar ante cualquier eventualidad, cómo discutir con elementos externos los incidentes de seguridad, qué tipo de información se considera confidencial o interna, referencias a otros procedimientos de seguridad, referencias a legislación de la compañía y externa, etc.