Monitoreo de la Seguridad Leonardo Uzcátegui uzcategui@gmail.com WALC 2012 – Ciudad de Panamá 12/11/2018

Sumario Problemática Monitoreo, definición Clases de Monitoreo Monitoreo de Desempeño Indicadores de Desempeño Orientados al Servicio Orientados a la Eficiencia Medida y Análisis del Desempeño Caracterización de Tráfico Tipo de Tráfico Características del Tráfico Convergencia del Tráfico Monitoreo de Seguridad Correlación Sincronización Medida y Análisis Conclusiones WALC 2012 – Ciudad de Panama 12/11/2018

Problemática Conocimiento tardío del fallo de un nodo o un servicio en producción. Tiempos de respuesta elevados en atención de contingencias. Falta de información del estado y uso de la red. Poca atención en el rendimiento de los equipos. Falta de procedimientos para la aplicación de cambios. Poca atención en el monitoreo. WALC 2012 – Ciudad de Panama 12/11/2018

Monitoreo “EL monitoreo de red consiste en tres áreas principalmente: Acceso a la información de monitoreo Diseño de mecanismos de monitoreo Aplicación de la información de monitoreo” (Network monitoring explained : design and application. Chiu & Sudama -1992) WALC 2012 – Ciudad de Panama 12/11/2018

Clases de Monitoreo Monitoreo de Desempeño Monitoreo de Seguridad WALC 2012 – Ciudad de Panama 12/11/2018

Monitoreo de Desempeño Indicadores de Desempeño Son un prerrequisito absoluto para la gestión de una red de comunicaciones Un problema normal que se presenta es no saber que indicadores de gestión emplear. Existen muchos No se entiende claramente su alcance Algunos indicadores son soportados parcialmente por las aplicaciones WALC 2012 – Ciudad de Panama 12/11/2018

Indicadores de Desempeño Orientados al Servicio Disponibilidad Tiempo de Respuesta Precisión Orientados a la Eficiencia Throughput Utilización WALC 2012 – Ciudad de Panama 12/11/2018

Orientados al Servicio Disponibilidad Se soporta en la confiabilidad de los componentes Mayor disponibilidad implica mayores costos Redundancia MTBF Disponibilidad = ------------------- MTBF + MTTR MTBF= Mean time between failures (Tiempo medio entre fallos) MTTR= Mean time to repair (Tiempo medio para reparación) WALC 2012 – Ciudad de Panama 12/11/2018

Orientados al Servicio Tiempo de Respuesta Casi invariablemente un mejor tiempo de respuesta significa un aumento de los costos Capacidad de procesamiento de los host Competencia entre procesos ejecutados Al analizar las transacciones se encuentran dos elementos Tiempo de respuesta del usuario Tiempo de respuesta del sistema WALC 2012 – Ciudad de Panama 12/11/2018

Orientados al Servicio Precisión Debido a su naturaleza, la precisión o integridad de la información normalmente es trabajada por los protocolos, sin embargo, el tener estadísticas de ocurrencias de fallas, conlleva a un análisis proactivo WALC 2012 – Ciudad de Panama 12/11/2018

Orientados a la Eficiencia Throughput La tasa efectiva de transferencia de información en una red Número de transacciones de un determinado tipo en un periodo de tiempo determinado Número de sesiones de usuario para una determinada aplicación WALC 2012 – Ciudad de Panama 12/11/2018

Orientados a la Eficiencia Utilización Lo más importante es detectar cuellos de botella potenciales y áreas de congestión En sentido técnico entre más se haga uso de un recurso, el tiempo de respuesta baja WALC 2012 – Ciudad de Panama 12/11/2018

Medida y Análisis de Desempeño Existen herramientas de software (libre y privativo) que poseen los indicadores de desempeño mas relevantes Utilizan combinaciones de protocolos de red para monitorear los indicadores. ICMP SNMP entre otros. WALC 2012 – Ciudad de Panama 12/11/2018

Medida y Análisis de Desempeño Uno de los protocolo más utilizado para realizar labores de monitoreo de red y que es capaz de entregar información requerida por los indicadores de desempeño es el SNMP (RFC 1157 - Simple Network Management Protocol ) WALC 2012 – Ciudad de Panama 12/11/2018

Medida y Análisis de Desempeño WALC 2012 – Ciudad de Panama 12/11/2018

Medida y Análisis de Desempeño Algunas herramientas Software Libre de Análisis de Desempeño Disponibilidad, Tiempos de Respuesta, Carga de CPU, disponibilidad de Memoria y Discos Duros, etc. ZENOSS NAGIOS OpenNMS JFFNMS Observium WALC 2012 – Ciudad de Panama 12/11/2018

Caracterización de Tráfico Tipo de Tráfico de Red Características del Tráfico de Red Convergencia del Tráfico de Red WALC 2012 – Ciudad de Panama 12/11/2018

Tipo de Tráfico de Red Datos de Transacción Datos en lote Administración de Red Videoconferencia Transferencia de Archivos Mensajería Datos de Cliente / Servidor Voz / Fax WALC 2012 – Ciudad de Panama 12/11/2018

Características del Tráfico de Red Volumen pico y promedio Conectividad y flujos de volumen Orientación de las conexiones Tolerancia A la latencia, incluyendo la longitud y la variabilidad A la disponibilidad de red Al porcentaje de errores Prioridad Tipo de protocolo Longitud promedio de los paquetes WALC 2012 – Ciudad de Panama 12/11/2018

Convergencia del Tráfico de Red Convergencia a nivel de transmisión Convergencia a nivel de red Convergencia a nivel de aplicación WALC 2012 – Ciudad de Panama 12/11/2018

Monitoreo de la Seguridad WALC 2012 – Ciudad de Panama 12/11/2018

Monitoreo de la Seguridad Su objetivo es ofrecer un marco para centralizar, organizar y mejorar las capacidades de detección y visibilidad en la monitorización de eventos de seguridad de la organización WALC 2012 – Ciudad de Panama 12/11/2018

Monitoreo de la Seguridad Recolección de Indicadores y Alertas Análisis y correlación de eventos Alarmas al equipo de toma de decisiones Los indicadores y alertas provienen de las herramientas e incluyen: Datos de sesión Datos estadísticos Datos de contenido completo Datos de alertas WALC 2012 – Ciudad de Panama 12/11/2018

Correlación Es la posibilidad de obtener una visibilidad de todos los eventos de los sistemas en un punto y con un mismo formato, y a través de esta situación privilegiada relacionar y procesar la información. Permitien aumentar la capacidad de detección, priorizar los eventos según el contexto en que se producen, y monitorizar el estado de seguridad de nuestra red. WALC 2012 – Ciudad de Panama 12/11/2018

Sincronización Es indispensable un mecanismo de sincronización de relojes. Utilización del protocolo NTP (Network time protocol). Utilizado por todas las herramientas de monitoreo y servidores. WALC 2012 – Ciudad de Panama 12/11/2018

Monitoreo de Seguridad Diferentes tipos de herramientas Análisis de vulnerabilidades Detección de intrusiones Integración logs Honeypots WALC 2012 – Ciudad de Panama 12/11/2018

Medida y Análisis Análisis de Vulnerabilidades Permiten conocer las vulnerabilidades de la red Generan reportes de vulnerabilidades Ej. OpenVAS (Nessus) WALC 2012 – Ciudad de Panama 12/11/2018

Medida y Análisis Sistema de Detección de Intrusos Genera alarmas en base a patrones de tráfico y a anomalías de protocolos Requiere tiempo para entonar dependiendo de donde se coloque Perímetro DMZ Red Interna Necesidad de Replicas de Tráfico Ej. SNORT WALC 2012 – Ciudad de Panama 12/11/2018

Medida y Análisis Replicas de Tráfico Hubs SPAN Ports (Mirror Ports) Dispositivos Inline WALC 2012 – Ciudad de Panama 12/11/2018

SIEM Información de seguridad y administración de eventos (SIEM) Reúne los datos de los eventos, de las amenazas y de los riesgos para proporcionar la mayor información de seguridad, lograr respuestas rápidas a los incidentes, gestionar los registros de forma sencilla y generar informes de cumplimiento ampliables. WALC 2012 – Ciudad de Panama 12/11/2018

Medida y Análisis Herramientas de Integración Ofrecen un ambiente único para centralizar y organizar las capacidades de detección y de eventos de seguridad. Ej. OSSIM WALC 2012 – Ciudad de Panama 12/11/2018

Conclusiones Los sistemas de Monitoreo de Red son necesarios en toda organización. Poseer un equipo de respuesta inmediata para atacar los problemas y fallas que se detectan con el sistema de monitoreo Conocer la infraestructura de la red a monitorear Caracterizar el tráfico continuamente Conocer los umbrales de utilización de: ancho de banda, servicios, etc. WALC 2012 – Ciudad de Panama 12/11/2018

PREGUNTAS WALC 2012 – Ciudad de Panama 12/11/2018

WALC 2012 – Ciudad de Panama 12/11/2018

ZenOSS WALC 2012 – Ciudad de Panama 12/11/2018

Nagios WALC 2012 – Ciudad de Panama 12/11/2018

OpenNMS WALC 2012 – Ciudad de Panama 12/11/2018

JFFNMS WALC 2012 – Ciudad de Panama 12/11/2018

Nessus WALC 2012 – Ciudad de Panama 12/11/2018

Snort WALC 2012 – Ciudad de Panama 12/11/2018

OSSIM WALC 2012 – Ciudad de Panama 12/11/2018

Observium WALC 2012 – Ciudad de Panama 12/11/2018