© 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 1 © 2011 Cisco and/or its affiliates. All rights reserved. 1 Bogota, Colombia.

Presentación del tema: "© 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 1 © 2011 Cisco and/or its affiliates. All rights reserved. 1 Bogota, Colombia."— Transcripción de la presentación:

1 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 1 © 2011 Cisco and/or its affiliates. All rights reserved. 1 Bogota, Colombia - Agosto 18 de 2011 QUE SE ENTIENDE POR INFRAESTRUCTURA CRITICA? TENDENCIAS Y ESTRATEGIAS EN LA SEGURIDAD DE LA RED. Luis Pico Consulting SE Network Security – Caribbean, Andean Region & Central America CEH, ITILF, BS7799-LA, CCIE Security

2 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 2 Introduccion Infraestructura Critica Tendencias Generales Estrategias Generales Control de Admisión de Usuarios Redes de Infraestructura Critica Preguntas Cierre

3 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 3 Introduccion Infraestructura Critica Tendencias Generales Estrategias Generales Control de Admisión de Usuarios Redes de Infraestructura Critica Preguntas Cierre

4 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 4 Fuente: CNPIC Centro Nacional para la protección de las infraestructuras criticas “Aquellas instalaciones, redes, servicios y equipos físicos y de tecnología de la información cuya interrupción o destrucción tendría un impacto mayor en la salud, la seguridad o el bienestar económico de los ciudadanos o en el eficaz funcionamiento de las instituciones del Estado y de las Administraciones Públicas”. Fuente: Directiva Europea Una Infraestructura Crítica (IC) como "… el elemento, sistema o parte de éste que es esencial para el mantenimiento de funciones sociales vitales, la salud, la integridad física, la seguridad y el bienestar social y económico de la población…"

5 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 5

6 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 6 Ciencias de seguridad directamente aplicables a la gestión de controles de protección de los Sistemas de Información y Comunicaciones de Infraestructuras Criticas Seguridad de Red Seguridad Informática Seguridad de Contenido Seguridad de la información Seguridad de los datos

7 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 7 Seguridad Electrónica Seguridad de Instalaciones Seguridad Física Seguridad Publica Seguridad Ciudadana Seguridad Internacional Seguridad Nacional Seguridad Especializada (aeroportuaria, petrolera, financiera, etc…) Seguridad de Personas Ciencias de seguridad complementarias a la gestión de controles de protección de los Sistemas de Información y Comunicaciones de Infraestructuras Criticas.

8 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 8 Introduccion Infraestructura Critica Tendencias Generales Estrategias Generales Control de Admisión de Usuarios Redes de Infraestructura Critica Preguntas Cierre

9 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 9 1.Convergencia Tecnológica. 3.Incremento en la automatización de procesos de infraestructuras criticas. 2.Aumento en el numero de ataques Cibernéticos. 4.Servicios en la Nube. 5.Virtualización. 6.APTs – Advanced Persistent Threats (Amenaza Avanzada Persistente) 7.Ciberguerra

10 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 10 Fuente: Cisco 2011 Global Threat Report

11 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 11 Fuente: Cisco 2011 Global Threat Report

12 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 12 Fuente: Cisco 2011 Global Threat Report

13 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 13 Fuente: Cisco 2010 Global Threat Report

14 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 14 Fuente: Cisco 2011 Global Threat Report

15 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 15 Introduccion Infraestructura Critica Tendencias Generales Estrategias Generales Control de Admisión de Usuarios Redes de Infraestructura Critica Preguntas Cierre

16 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 16

17 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 17 Visibilidad Contexto Red Análisis del Riesgo Evaluación del Riesgo Tratamiento Medios Técnicos Aceptación del Riesgo

18 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 18 Politica de Seguridad Zonas Finales Redes no Seguras Centro de Datos Inteligencia de Amenazas CERT

19 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 19 Introduccion Infraestructura Critica Tendencias Generales Estrategias Generales Control de Admisión de Usuarios Redes de Infraestructura Critica Preguntas Cierre

20 Control de Admisión de Usuarios Redes de Infraestructura Critica

21 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 21

22 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 22

23 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 23

24 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 24 I’d Like to Withdraw €200.00 Euros Please. Do You Have Identification? Yes, I Do. Here It Is. Thank You. Here’s Your Euros. Un sistema de autenticación es tan fuerte como el método de verificación usado. La autenticación es el proceso de establecer y confirmar la identidad de un usuario o ente que solicita servicios. Autenticación sólo es útil si se utiliza para establecer la autorización correspondiente (por ejemplo, acceso a una cuenta bancaria)

25 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 25 Identificación y AutorizaciónServicios de confidencialidadVerificación Nivel de ExposiciónEvaluación PeriódicaCulminación de la sesión de red TRAZABILIDAD

26 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 26 Norma establecida por el Grupo de Trabajo IEEE 802.1 Es un marco diseñado para abordar y ofrecer control de acceso basado en el puerto, mediante el uso de la autenticación. 802.1X es principalmente una definición de la encapsulación EAP a través de los medios de comunicación IEEE 802-EAPOL (EAP sobre LAN) que es el protocolo clave Protocolo de capa 2 para el transporte de mensajes de autenticación (EAP) entre el solicitante (usuario / PC) y el autenticado (switch o punto de acceo) Norma establecida por el Grupo de Trabajo IEEE 802.1. Es un marco diseñado para abordar y ofrecer control de acceso basado en el puerto, mediante el uso de la autenticación. 802.1X es principalmente una definición de la encapsulación EAP a través de los medios de comunicación IEEE 802-EAPOL (EAP sobre LAN) que es el protocolo clave. Protocolo de capa 2 para el transporte de mensajes de autenticación (EAP) entre el solicitante (usuario / PC) y el autenticador (switch o punto de acceo)

27 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 27 Suplicante (802.1X Cliente) Servidor Autenticacion RADIUSRADIUS Autenticador (e.g. Switch, Punto Acceso) EAP sobre LAN (EAPoL) RADIUS

28 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 28 MD5: uses MD5 based challenge-response for authentication LEAP: username/password authentication EAP-MSCHAPv2: username/password MSCHAPv2 challenge-response authentication Basado en Desafio- Respuesta EAP-TLS: x.509 v3 PKI certificates and the TLS mechanism for authentication Basado en Criptografia PEAP: encapsulates other EAP types in an encrypted tunnel EAP-TTLS: encapsulates other EAP types in an encrypted tunnel EAP-FAST: designed to not require client certificates Metodos de entunelamiento

29 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 29 Repositorio de Identidad Authenticador Switch Router WLAN AP Suplicante Desktop/laptop IP phone WLAN AP Switch LAN WAN 1 Usuario intenta acceder a la Red 2 Autenticador obtiene identidad y reenvia al servidor de politicas 3 Autenticacion exitosa e instrucciones impartidas Servidor Politicas

30 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 30 IEEE802.1X Autenticación Usuario/Host MAC uthenticatión Bypass. Autenticación WEB Norma de autenticación basada en puertos proporciona una potente capa 2 métodos de autenticación para el usuario y el dispositivo.. Usuario/Host No 802.1X pueden ser autenticados usando MAB (MAC address-based authentication ). Terceros/Invitados pueden usar autenticacion basada en WEB para acceso temporal a la red.

31 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 31 Asegura la integridad y la privacidad de los datos entre los vecinos a nivel de la capa dos, permite garantizar queno hay alteracion de los datos entre dispositivos de capa dos. MACsec permite indentificar conexiones LAN no autorizadas y excluirlas de poderser comunicar dentro de la red de infraestructura critica. En conjunto con IPSEC y SSL, MACsec define una infraestructura de seguridad para proveer confidencialidad de los datos, integridad de los datos y autenticacion del origen de los datos.

32 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 32 802.1AE Protege contra ataques de hombre en el medio (snooping, tampering, replay) Servicio de Red orientado a “hop-by- hop” comparándolo con el esquema “end-to-end” (e.g., IPsec) Cifrado/Descifrado a velocidad de línea Provides strong 128-bit AES-GCM Norma basado en administración de llaves : IEEE802.1X- REV BENEFICIOS

33 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 33 Switch de Acceso Servidor de Politicas 1 UsuariosPedro se conecta. 2La politica de Pedro indica que se debe cifrar con el host final. 3 Intercambio de Llaves usando MKA, 802.1AE cifrado completo. Usuario es colocado en la VLAN corporativa. Sesion es segura. 4 Usuario Carlos se conecta. User: Pedro Policy: encryption User: Pedro Policy: encryption MACSec Key Exchange Sesion Segura User: Carlos Policy: encryption User: Carlos Policy: encryption 5 La politica de Carlos indica que se debe cifrar con el host final. 6 El usuario no soporta MACSec. Asignado a una red controlada. Componentes 802.1X-Rev Switches habilitados con MACSec Servidor AAA 802.1X-Rev Supplicantes que soportan MKA y cifrado 802.1AE Componentes 802.1X-Rev Switches habilitados con MACSec Servidor AAA 802.1X-Rev Supplicantes que soportan MKA y cifrado 802.1AE Sesion no Segura Non- MACSec enabled Campus Red Campus Red

34 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 34 Datos Cifrados En Texto Claro Datos Cifrados En Texto Claro Datos Cifrados 802.1AE Cifrado Decrypt On Ingress Interface DecryptEncrypt Encrypt On Egress Interface Paquetes en Texto Claro dentro del Sistema Confidencialidad e Integridad con IEEE 802.1AE Control de varias amenazas (Hombre en el medio, Envenamiento ARP, Envenamiento DHCP, etc…) Modelo EE2E

35 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 35 S1 D1 D2 D3 D4 D5 D6 S2 S3 S4 Usuario Group Funcional (Origen) Tercero A (ID 10) HR Rep (ID 30) Admin TI (ID 40) Servidores Grupo Funcional (Destino) Ventas SRV (ID 500) HR SRV (ID 600) Finanzas SRV (ID700) Tercero B (ID 20) Control

36 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 36 Introduccion Infraestructura Critica Tendencias Generales Estrategias Generales Control de Admisión de Usuarios Redes de Infraestructura Critica Preguntas Cierre

37 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 37

38

39 © 2011 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 39 Seguridad Redes no Seguras FRONTERA DE RED Secure Router VPN DDoS Correo CAR WEB DLP WAF Global IPS BWM Firewall Inteligencia de Amenazas