Capítulo 8. La seguridad en la red Instalación y Mantenimiento de Servicios de Redes Locales I.E.S. Murgi Curso Jose L. Berenguel Gómez Mª Jose Peinado Villamor

Índice 1. Necesidad de la seguridad 2. Certificación y firma electrónica 3. Políticas de seguridad 4. Operaciones de filtrado 5. Protección del sistema 6. Protección de los datos 7. Situaciones de desastre

1. Necesidad de la seguridad ● Los datos deben ser accesibles sólo por quienes deben tratarlos: confidencialidad ● El desarrollo de Internet y el aumento del comercio electrónico o de las transacciones financieras hacen que la principal preocupación sea la seguridad.

1. Necesidad de la seguridad A) Encriptación o cifrado ● Consiste en codificar un mensaje de acuerdo a un nuevo código que sólo el destinatario conoce. ● Funciones que proporciona el cifrado: – Confidencialidad: Sólo el destinatario puede leer el mensaje. – Integridad: El mensaje no puede ser modificado. – Autenticación: La persona que ha creado el mensaje es quien dice ser.

1. Necesidad de la seguridad B) Algoritmos de cifrado ● Utilizan claves para cifrar y/o descifrar mensajes ● Algoritmos simétricos: una única clave que sirve para cifrar y descifrar. ● Algoritmos asimétricos: se utilizan dos claves, una para cifrar y otra para descifrar el mensaje. ● Algoritmos de encriptación: – DES (Data Encryption Standard). Sistema oficial en USA. Utiliza una clave de 56 bits. Es habitual utilizar claves de más de 1024 bits.

1. Necesidad de la seguridad B) Algoritmos de cifrado – RSA (Rivest, Shamir y Adleman). Son las iniciales de los apellidos de sus creadores. Creado en Es un algoritmo de clave asimétrica. Es pionero en la arquitectura PKI (Public Key Infraestructure). ● Disponemos de un par de claves una pública y otra privada ● Un mensaje cifrado con la clave pública sólo puede ser descifrado con la privada y viceversa ● El emisor cifra el mensaje con la clave pública del destinatario. Sólo el receptor puede descifrar el mensaje ya que es el único que posee la clave privada.

2. Certificación y firma electrónica ● Certificado digital: Credencial proporcionada por una Autoridad Certificadora que se encarga de confirmar la identidad de su dueño. ● Conceptos: certificado digital y firma digital ● Firma digital o electrónica: – Garantiza la integridad del mensaje firmado – Consiste en calcular un resumen del mensaje con un algoritmo hash: MD5 o SHA1. – El resumen se cifra con la clave privada del emisor

2. Certificación y firma electrónica ● Certificado electrónico: – Documento digital emitido por una CA para una persona (física o jurídica). – Almacena las claves pública y privada e información personal. – La CA actua de notario digital, garantizando que la persona que pide el certificado es quien dice ser. – El formato de archivo en el que se almacenan los certificados es conocido como X.509 ● Muchos SO utilizan certificados digitales para la autenticación de usuarios. Tecnología Kerberos

3. Políticas de seguridad ● Las políticas de seguridad en una empresa suelen estar definidas en el Plan de Seguridad. ● Si la empresa es grande, puede haber un departamento especializado en la seguridad. ● Directiva de seguridad o policy: esquematiza un conjunto de datos con el que el administrador define el funcionamiento del sistema. – Directivas para controlar las cuentas de usuario – Directivas de acceso de usuarios – Directivas para aplicaciones y comunicaciones

4. Operaciones de filtrado ● Sólo debe circular por la red la información necesaria para no penalizar el ancho de banda. ● Los usuarios no pierden el tiempo entreteniéndose en actividades no autorizadas. ● También es aconsejado para luchar contra las intrusiones y los virus.

4. Operaciones de filtrado A) Filtrado de contenidos web ● Limita la información de la web a la que se accede desde la empresa para evitar contenidos indeseados. ● Técnicas de filtrado de contenidos web: – Lista de términos prohibidos – Lista de sitios prohibidos – Webs etiquetadas, el navegador rechaza las páginas con ciertas etiquetas. ● Registran la actividad o el tráfico web.

4. Operaciones de filtrado B) Filtrado de correo ● Podemos filtrar los correos procedentes de ciertos remitentes que consideremos sospechosos. ● Filtrar los correos con un buen sistema antivirus. ● Configurar las alertas para avisarnos de que se ha detectado un virus.

4. Operaciones de filtrado C) Filtrado de conexiones ● Impedir la conexión de ciertas máquinas a servidores concretos ● Sólo dispositivos autorizados pueden utilizar los servicios que provee el servidor ● Muchos enrutadores y todos los cortafuegos disponen de esta función. ● Denegar todo por defecto. El administrador configurará sólo aquellos servicios que se permitirán.

4. Operaciones de filtrado C) Filtrado de conexiones ● Filtrado de información: – Se establece en el perímetro de la red – Podemos restringir distintos tipos de ficheros, por ejemplo a través del correo electrónico o servidor proxy. – Podemos restringir también disntintos protocolos.

5. Protección del sistema ● Sistemas antivirus: – La protección contra virus en los servidores de la red es un tema importantísimo de la seguridad. – Los antivirus más modernos centralizan todas sus tareas y vigilan toda la red. – Configurar permisos adecuados para evitar infecciones masivas. ● Protección contra accesos indebidos: – Además de las herramientas para impedir accesos indebidos, disponemos de herramientas de auditoria, para supervisar y detectar estas acciones. – Auditoría de conexiones, accesos, impresoras, etc.

6. Protección de los datos A) Copias de seguridad ● Duplicidad de datos para aumentar la seguridad. ● Problemas de un sistema doble de almacenamiento: – Es difícil decidir cuál es la correcta o más actualizada – Inversión de más recursos económicos. ● Backup: duplicación controlada de los datos o aplicaciones de usuarios. – Cinta magnética, CD o DVD – La recuperación requiere de un volcado inverso

6. Protección de los datos A) Copias de seguridad ● Backup: – El dispositivo de backup tiene que tener espacio suficiente para almacenar los datos que haya que salvar. – Etiquetar y documentar las copias realizadas para garantizar la recuperación de la copia correcta en caso de problemas. ● Planificación de backups: – Qué discos, cuándo y con qué periodicidad – Se debe cumplir escrupulosamente

6. Protección de los datos B) Sistemas tolerantes a errores ● Es aquél que está capacitado para seguir trabajando aunque alguno de sus componentes falle. ● Lo más común es duplicar los elementos del sistema. ● Discos espejo o mirror. ● Los sistemas operativos de red avanzados poseen software para la automatización de los procesos de tolerancia a errores.

6. Protección de los datos B) Sistemas tolerantes a errores ● Tecnología RAID (Redundant Array of Inexpensive Disks). – RAID 0: Los datos se reparten entre varios discos. – RAID 1: Copias exactas cada dos discos. – RAID 5: Los datos se dividen en bloques, repartiendose la información de paridad de modo rotativo entre todos los discos.

6. Protección de los datos B) Sistemas tolerantes a errores ● Dispositivos extraibles en caliente: – Componentes que pueden ser cambiados sin apagar el ordenador. – Los discos en configuración RAID suelen ser de este tipo. ● Configuraciones en cluster: – Asociación de ordenadores que comparten periféricos de almacenamiento y cooperan entre sí. – Si un ordenador del cluster deja de funcionar, otro absorberá su trabajo.

7. Situaciones de desastre ● Prever situaciones de desastre para minimizar los tiempos de parada del sistema. ● Plan de contingencia: Documento que recoge qué hacer ante diferentes situaciones de desastre. – Prepara para actuar ante situaciones de desastre: pérdida de datos, virus, intrusos, incendios, inundaciones, incluso terrorismo. – Si no disponemos de un plan de contingencia la vida de la empresa puede estar en peligro si uno de estos desastres se produjera.

7. Situaciones de desastre ● Ventajas del Plan de Contingencia: – Reduce costes producidos por siniestros (tiempo, dinero, equipos...) – Conciencia a todo el personal de la necesidad de seguridad ● Creación del Plan de Contingencia: – Primero: Definición de los objetivos. – Segundo: Inventario completo de las instalaciones. – Tercero: Análisis de riesgos. – Cuarto: Diseñar el plan de acción.

7. Situaciones de desastre ● Creación del Plan de Contingencia: – Quinto: Comunicación del plan a los empleados. – Sexta: Pruebas de que el plan funciona correctamente.