Descargar la presentación
La descarga está en progreso. Por favor, espere
Publicada porAndrés Magdaleno Modificado hace 10 años
1
Microsoft IT Security Gestión de la Seguridad dentro de la red corporativa de Microsoft
2
Necesidades de Seguridad en la Infraestructura de la Empresa
Chema Alonso
3
Servicios en la Empresa
Active Directory Servidores de Aplicaciones CRM, ERP, B2C, B2B … Servidores Web Servidores de Bases Datos Servidores de Comunicaciones Correo electrónico, charlas Servidores documentales Repositorios documentales Exchange Aplicaciones de WorkFlow
4
Retos de Infraestructura
Mantenimiento y actualización de sistemas. Soporte del máximo posible de clientes. Soporte de clientes móviles. Accesos Remotos. Flexibilidad del sistema. Alta disponibilidad de servicios. Máxima funcionalidad. Seguridad.
5
Objetivos de Seguridad
Confidencialidad. Interceptación. Accesos no autorizados. Suplantación. Integridad. Protección de sistema y elementos. Disponibilidad. Denegaciones de Servicio Defacement.
6
Arquitectura de Seguridad
Mail Front-end, Web, Aplicativos Cliente Maiboxes, AD, BBDD Servidores Back-End Servidores Front-End DMZ NIDS HIDS Clientes Externos Vpn Ras Servicios Públicos Wap ….. Wireless b 802.1x Lan Privada
7
Retos de Infraestructura en Seguridad
Protección de servidores. Seguridad en los clientes remotos. Acceso Wireless en red privada. Protección de transmisión de la información en cualquier medio. Control de la información fuera de los repositorios documentales. Técnicas hacker. Amenazas Viricas, Troyanos, Spam,…
8
Ejemplo de Arquitectura
¿Cuál es la solución que aplica Microsoft?
9
Agenda Microsoft y su entorno Informática de Confianza
Modelo de Respuesta a Incidentes Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en Exchange y Outlook
10
Misión de OTG Poner a disposición de de nuestros usuarios internos, clientes y partners de forma proactiva la infraestructura de IT y aplicaciones, que les permitan trabajar en cualquier momento y en cualquier lugar excediendo sus expectativas Rick Devenuti. CIO & VP
11
El Entorno de Microsoft
72,000 mailboxes 150,000+ PCs >9,000 servers 110 Microsoft Exchange Messaging Servers Stockholm Benelux Dublin Munich Chicago TVP Redmond Les Ulis Milan Madrid Chofu & Otemachi Silicon Valley Charlotte Los Colinas 400+ supported Microsoft sites worldwide Dubai >400 apps 26M voice calls per month 55K employees 5K contractors 17K vendors Singapore Sao Paulo Johannesburg Sydney 4.5M+ messages per day internally 8m Internet
12
La Situación actual de MS
Microsoft es uno de los objetivos preferidos 100k+ intentos de ataques por mes 125k+ mensajes en cuarentena por mes 225k dispositivos conectados a la red 300k conexiones vía RAS conexiones por semana Retos La Cultura interna de MS Comprobaciones internas de aplicaciones Liderazgo Tecnológico
13
Agenda Microsoft y su entorno Informática de Confianza
Modelo de Respuesta a Incidentes Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en Exchange y Outlook
14
El Entorno y sus Peligros
Intellectual Property Theft Unauthorized Access Intrusions Internet Home LANs gateways Criminal /CI Use of Online Services PPTP/RAS Servers Remote Users Proxies Direct Taps Extranet Labs CDCs, RDCs Tail Sites Internet Data Centers CorpNet 3rd Party Connections PSS EVN Virus Denial of Service Phreaking Malicious Code
15
Objetivo del Grupo “Information Security”
Un entorno de TI compuesto por servicios, aplicaciones e infraestructura que a la vez da privacidad y seguridad sin dejar de tener una alta disponibilidad Requisitos: No se puede comprometer mi identidad Los recursos son seguros y están disponibles Mis datos y comunicaciones son privadas Roles y Responsabilidades claramente definidos Responder a tiempo a las amenazas y/o riesgos
16
Informática de Confianza. Trustworthy Computing
Mitigate risk to the infrastructure through implementation of four key strategies 1. Secure the Network Perimeter Secure Wireless Smart Cards for RAS Secure Remote User Next Generation AV Messaging Firewall Direct Connections IDC Network Cleanup 2. Secure the Network Interior Eliminate Weak Passwords Acct Segregation Patch Management NT4 Domain Migration Network Segmentation Smart Cards for Admin Access Regional Security Assessment 3. Secure Key Assets Automate Vulnerability Scans Secure Source Code Assets Lab Security Audit 4. Enhance Monitoring and Auditing Network Intrusion Detection Automate Security Event Analysis Use MOM for Server Integrity Checking
17
Primer nivel de seguridad: Asegurar el perímetro de la red
Utilizar redes Wireless seguras Utilizar un sistema de detección de intrusiones/ataques en la red efectivo Asegurar las conexiones remotas de los usuarios Obstaculizar la entrada de Virus en el perímetro externo de la red
18
Segundo nivel de seguridad: Asegurando el interior de la red
Controlar las aplicaciones y programas disponibles para los usuarios Eliminar contraseñas débiles Eliminar las cuentas de administración compartidas Utilizar controladores de dominio seguros Hacer obligatorio el uso de software de Antivirus y actualizaciones de seguridad.
19
Asegurando el Interior de la red. Segmentación de la red
Eliminar o reducir el riesgo: Parque de ordenadores gestionado por OTG Segmentar los entornos controlados e incontrolados Restringir los niveles de acceso a la red Enfoque de la segmentación de la red: Evitar que los sistemas incontrolados se conecten a los sistemas controlados Utilizar IPsec para soportar los requisitos de seguridad
20
Tercer Nivel de Seguridad: Asegurar los activos críticos
Aplicaciones Corporativas: Gran número de aplicaciones desarrolladas internamente. +400 Asegurar estas aplicaciones y su información es complejo Las aplicaciones corporativas se ejecutan en un entorno complejo (operativo y legal) Código de Producto e información Confidencial
21
Cuarto Nivel de Seguridad: Monitorización y Auditorias
Responsabilidades del grupo de Monitorización Uso de herramientas de monitorización para aumentar la seguridad. Uso de herramientas públicas: Microsoft Baseline Security Analyzer (MBSA) and HFNetChk Monitorización distribuida Desarrollo de utilidades propias para identificar y corregir problemas
22
Agenda Microsoft y su entorno Informática de Confianza
Modelo de Respuesta a Incidentes Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en Exchange y Outlook
23
Gestión de incidentes Graves
Problemas típicos: Todos los grupos que participan en la resolución del incidente operan de manera independiente. La respuesta es básicamente táctica y no hay una estrategia coordinada Las respuestas no son consistentes. Estas pueden ser distintas en función de los grupos que participan. Se obvian interdependencias entre grupos clave (PR, comunicaciones internas, etc)
24
Metodología de Seguridad de OTG
Dedicated staff Training Security—a mindset and a priority Employee education People Planning for security Prevention Detection Reaction Process Baseline technology Standards, encryption, protection Product security features Security tools and products Technology
25
Prevención de incidentes
Monitorizar Auditorias de los sistemas Detección de intrusiones Establecer una defensa sólida Asegurando a los clientes de acceso remoto
26
Mantenimiento de Seguridad en Servidores
Chema Alonso
27
Expedientes de Seguridad
Expedientes de seguridad de sw comercial. Bug, Exploit, patch, fix Expedientes de seguridad de sw própio Necesidad de aplicación de procedimientos internos. Desbordamientos de Buffer. Cross-Site Scripting Inyecciones de código.
28
Problema de la Industria IT Vulnerabilidades en Sistemas Operativos - 2003
20 40 60 80 100 120 Windows 2003 OpenBSD Windows XP Windows 2000 SuSE SUN Mandrake RedHat Debian Source: Company web sites
29
Source: Company web sites
Trustix 1.5 Debian Windows XP Sun (OS) Mandrake 8.x 20 40 60 80 100 120 RedHat 7.2 Windows 2000 EnGarde SuSE Problema de la Industria IT Vulnerabilidades en Sistemas Operativos
30
Microsoft Security Response Center
Response Team Update Cliente Amenaza Grupo de producto Descubrimiento vulnerabilidad Timpacto Triesgo Microsoft Security Response Center Riesgo Impacto tiempo
31
Número de dias transcurridos entre la publicación del update de seguridad y el impacto del virus
Win32 Linux/Unix Nombre del Virus Slammer BugBear Slapper Ramen Klez Lion Scalper Nimda CodeRed Blaster Riesgo Impacto tiempo
32
Actualizaciones Críticas
Boletines de Seguridad Windows Update SU SMS 2003
33
Plan de respuesta a los incidentes
Security Scan/Audit Internal Web Site Information on incident received Operations User External Web Site Support Decision to begin Incident Response Plan Quick guide to determining the significance of incident Severity of the event Overall business impact Criticality of vulnerable/attacked assets Public availability of information Scope of exposure Public relations impacts Extent of use of groups outside of security Response Phase Evaluate Situation Isolate and Contain Response Team Assembled Establish First Course of Action Analyze and Respond Ongoing evaluation and response revisions Trigger Phase Alert Others as Required Revise/Improve Response Process De-escalation: Return to Normal Operations Post-Incident Review Begin Remediation
34
Agenda Microsoft y su entorno Informática de Confianza
Modelo de Respuesta a Incidentes Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en Exchange y Outlook
35
Servicio de Acceso Remoto (RAS)
Las soluciones de MS incluyen: Direct Dial RAS PPTP VPN Más de 175 puntos de acceso remoto en todo el mundo Utilizado por más de 70,000 empleados Más de 300,000 conexiones cada semana Acceso a los sistemas de correo corporativo, intranet, internet y servidores de datos
36
Asegurando el Perímetro de la red. Estrategia para el Acceso Remoto
Malicious Users Malicious Software Threat 2 Factor Authentication Enforce Remote System Security Configuration Requirement Smart Cards for RAS Connection Manager and RAS Quarantine Solution
37
RAS - Requisitos Para conectarse a la red corporativa un usuario tiene que tener: Una tarjeta Smartcard Windows XP Personal firewall Activado Última versión de antivirus (eTrust) Últimas actualizaciones de seguridad El software “Connection Manager”
38
Componentes de la solución SMART CARD
Hardware RFID Badge 32k chip Windows for Smart cards PC Smart card reader Client Software Server Software Cryptographic Service Provider (CSP) Windows Resource Manager Reader drivers Connection Manager Windows Active Directory Windows Certificate Server Card management tools RAS Quarantine Service
39
Secure Remote Access RAS Client VPN Server IAS SC 1 Card inserted
Reader SC 1 Card inserted 3 RAS client accesses smart card and retrieves cert from card 2 User inputs PIN 6 IAS verifies certificate then looks up principal in DS 5 RAS sends certificate in a EAP/TLS request to the IAS Server RAS Client VPN Server IAS 4 Connect to VPN server and pass config checks 7 IAS returns Radius Access Accept
40
Agenda Microsoft y su entorno Informática de Confianza
Modelo de Respuesta a Incidentes Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en Exchange y Outlook
41
Microsoft IT WLAN Dirección de la compañía. Bill Gates
Desarrollo de software de Microsoft para entornos wireless Peticiones de los usuarios para la implantación de la tecnología WLAN Dar mayor mobilidad al usuario Piloto Puget Sound. Campus de Redmond Extenderlo al resto de las subsidiarias de MS según viabilidad: Costes Requisitos / Regulaciones legales
42
Resultados de la encuesta:
50% ahorraban entre minutos diarios de trabajo gracias a la red wireless 10% usaban adicionalmente dispositivos Windows CE wireless 24% usaban la red wireless más de 6 horas diarias 93% usaban la red wireless “en cualquier sitio” Salas de Reuniones, pasillos, despachos de otros empleados 88% estaban interesados en comprar dispositivos Wireless para sus hogares. 66% pensaban que podían desempeñar su trabajo perfectamente con la red wireless
43
802.11b. Problemática WEP Clave única necesaria para toda la compañía WLAN b es sólo 40-bit Las claves WEP no cambian dinámicamente y por lo tanto son vulnerables a los ataques Una clave WEP de 128-bit puede ser decodificada en unas 2 horas. Una de 40-bit en 40 minutos Complicado de administrar. Filtrado por direcciones MAC (Media Access Control) No es escalable listas de excepción tienen que ser administradas y propagadas por los APs. La lista puede tener un límite de tamaño La dirección MAC tiene que estar asociada al nombre de usuario El usuario podría no informar en caso de pérdida de la tarjeta El usuario podría cambiar su dirección MAC
44
802.1X La Solución El AP controla el acceso a la red del cliente basándose en la autentificación de la cuenta de dominio del usuario y/o la cuenta de su máquina Se asegura el proceso de autentificación utilizando la tecnología PKI (Public Key Infrastructure) disponible en Windows XP Extensible authentication protocol over LAN (EAPoL) Transport Layer Security (TLS) El usuario y el ordenador negocian la autentificación con el Internet Authentication Server (IAS). IAS es la implementación que ha hecho Microsoft del estándar de RADIUS Las claves WEP son dinámicas Cambian en cada nueva sesión, al hacer roaming o a intervalos de tiempo
45
Domain User Certificate
Secure Wireless Domain User Certificate EAP/TLS Connection RADIUS (IAS) Certificate Authority Uncontrolled Port Laptop Domain Controller Domain Controller used to log onto domain after obtaining an IP address from DHCP 802.1X Access Point Exchange Controlled Port DHCP Peers File
46
Configuración de una red Wireless Segura
Chema Alonso
47
Configuración de una red Wireless Segura
Adoptar 802.1x Utilizar Internet Authentication Service (IAS) para Remote Authentication Dial-In User Service (RADIUS) para autenticación de cuentas. Elegir un método de autenticación EAP: EAP-Transport Level Security (EAP-TLS) Protected EAP with MS-CHAPv2 (PEAP-MS-CHAPv2) Protected EAP with EAP-TLS (PEAP-EAP-TLS)
48
Configurar una WLAN Segura
Configurar el WAP
49
Configurar una WLAN Segura
Configurar un grupo para Wireless y configurarlo para administrarlo mediante una Política de Acceso Remoto.
50
Configurar una WLAN Segura
Instalar una Root Certificate Authority Instalar Certificados de Servidor en Servidor IAS Instalar certificados de usuarios en clientes cuando utilicemos EAP-TLS
51
Configurar una WLAN Segura
Configurar IAS
52
Configurar una WLAN Segura
Configurar una política de Acceso Remoto
53
Configurar una WLAN Segura
Configuramos un Pérfil para la Política de Acceso remoto
54
Configurar una WLAN Segura
Configurar los clientes
55
Configurar una WLAN Segura
56
Configurar una WLAN Segura
57
Configurar una WLAN Segura
Configurar la poíitica para Clientes Wireless
58
Agenda Microsoft y su entorno Informática de Confianza
Modelo de Respuesta a Incidentes Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en Exchange y Outlook
59
Infraestructura de Exchange
6 inbound/outbound IMCs & Virus Walls 5 regional outbound IMCs & Virus Walls
60
Solución Antivirus para Exchange
Requisitos del diseño: Todos los mensajes entrantes tienen que ser “monitorizados” Todos los mensajes salientes tienen que ser “monitorizados” Los ejecutables son eliminados y se notifica al usuario de esta acción Mensajes a usuarios no existentes son devueltos antes de ser revisados
61
Requisitos de Seguridad para el correo electrónico
OTG soporta la versión actual de Outlook y la versión anterior El usuario es obligado mediante la configuración del servidor de Exchange Ver. Actual: Outlook 11 (2003) Anterior: Outlook 2002 Se obliga a los usuarios mediante políticas de grupo en el directorio activo Reglas en el buzón de entrada de Outlook
62
Posibilidades Adicionales
S/MIME Firmas Digitales Codificación de Mensajes Windows Rights Management Services (RMS) y Information Rights Management (IRM)
63
Gestión del SPAM Desde Septiembre del 2001:
Incremento del 258% Incremento del correo 86% Objetivo de MS: Boquear 100% de los mensajes identificados como SPAM en los internet mail Gateways. s con publicidad a la atención directa del usuario puede no ser identificado como Spam y es por lo tanto enviado al buzón de destino.
64
Protección Servicios Exchange Server 2003
Chema Alonso
65
¿ Puedo controlar el uso de la información ?
Riesgos Virus Spam Intrusismo Exchange Server 2003 ¿ Puedo controlar el uso de la información ? Interceptación Suplantación
66
Trustworthy Computing Iniciative
RPC/HTTPS Firma digital en Outlook Filtro de Remitente Encriptación en Outlook Firma digital en OWA Filtro de Destinatario Encriptación en OWA Bloqueo libreta direcciones Filtro de Conexión VS API 2.5 Bloqueo automático Filtros de Junk ISA Exchange Features Listas Autenticadas Seguridad de Relay Information Rights Management
67
Soluciones Exchange 2003 Filtros de Conexión
Exchange Server 2003 comprueba en tiempo real si un servidor que está enviando correo está almacenado en una base de datos de servidores nocivos.
68
Soluciones Exchange 2003 Implantación de filtros de conexión
Implantamos en un servidor DNS una zona de consulta para almacenar los servidores bloqueados. Ej. [ bloqueados.midominio.com ] Añadimos registros del tipo Configuramos un filtro para que se consulte la zona anterior cada vez que se recibe una conexión de servidor. Host
69
Filtro de Conexión Se envian los mensajes al servidor de BackEnd
Servidor BackEnd Servidor FrontEnd Servidor DNS Se envian los mensajes al servidor de BackEnd Se recibe una conexión desde un servidor de correo Se deniega la conexión El servidor FrontEnd consulta la zona DNS de bloqueo. El servidor DNS contesta si existe o no ese registro.
70
Gestión de Derechos digitales (RMS)
Control de flujo de información ¿Puedo controlar el uso de la información independientemente de su ubicación? ¿Podría controlar los derechos digitales de mis documentos?
71
Gestión de Derechos digitales (RMS)
“El 32% de los peores incidentes de seguridad son causados por empleados; 48% en grandes compañías!” - Information Security Breaches Survey 2002, PWC “El robo de información confidencial provoca los mayores daños financieros de todos los problemas de seguridad.” – CSI/FBI Computer Crime and Security Survey, 2001 Perímetros de Seguridad, ACLs, PKIs, son tecnologías imprescindibles pero no resuelven totalmente este problema
72
Gestión de Derechos digitales (RMS)
Gestiona el flujo de la información. Controla, en sistemas de mensajería, el uso que se realiza de la información. Gestiona la utilización de los documentos. Añade Privaciad al entorno colaborativo.
73
Conclusiones Prevenir es menos costoso que reaccionar ante los incidentes. Es interesante desarrollar en las empresas un sistema de auditorias, monitorización de los sistemas, y procedimientos de actuación a la vez que educamos a los usuarios sobre como hacer que sus sistemas sean seguros. El impacto a la infraestructura se reduce si tenemos un plan de respuesta a incidentes bien construido, detallado y flexible.
74
Más Información Más información sobre las implementaciones internas de OTG en: TechNet: Case Study Resources:
75
Microsoft IT Security
Presentaciones similares
© 2024 SlidePlayer.es Inc.
All rights reserved.