Seguridad en el SID. INTERNET E INTRANET Sistemas Informáticos Distribuidos Tema VII Seguridad en el SID. INTERNET E INTRANET

OBJETIVOS Identificar problemas de seguridad en los SID. Estudiar las características de los cortafuegos y aprender a seleccionarlos. Funciones de los cortafuegos en Internet e Intranet.

ÍNDICE 1. Riesgos y amenazas. 2. El cortafuegos. 3. Administración de cortafuegos. 4. Políticas de seguridad.

MODELO DE RED CORPORATIVA 1. Riesgos y amenazas

FACTORES DE RIESGO Tipos de activos a proteger (datos confidenciales, programas susceptibles de sufrir sabotajes). Probabilidad de sufrir un ataque: conocimiento de la posibilidad de existencia de entidades ajenas intrusas. 1. Riesgos y amenazas

MECANISMOS PARA LA VALORACIÓN DE RIESGOS Equipos de “tigres”: ataques simulados. Sesiones creativas de especialistas. Procesos de ingeniería de seguridad de sistemas: análisis de la arquitectura, identificación de amenazas, integración de la protección. 1. Riesgos y amenazas

RIESGOS EN LA INTRANET 1. Riesgos y amenazas

RIESGOS EN INTERNET 1. Riesgos y amenazas

VALORACIÓN DE RIESGOS Confidencialidad de mis datos. Atractivo de activos. Características de mi conexión Internet. Características de mis routers. Presupuesto de seguridad. Uso de la criptografía. Valorar el nivel de nuestro personal informático. 1. Riesgos y amenazas

EL CORTAFUEGOS Definición: medio de regulación del acceso a la red de ordenadores de una organización mediante el control de accesos y el registro de actividades. Función principal: limitar acceso a la Intranet filtrando los paquetes entrantes (por medio de la información que contienen). 2. El Cortafuegos

CARACTERÍSTICAS DEL CORTAFUEGOS Registro de actividades: información de sesiones (paquetes, fecha). Sistema de aviso de intrusiones. Ubicado de tal forma que las comunicaciones pasen a través suyo. 2. El Cortafuegos.

UBICACIÓN DE CORTAFUEGOS 2. El Cortafuegos.

TIPOS DE CORTAFUEGOS Filtrado de paquetes: generalmente, routers. Se hace a nivel de red (poco seguros). Gateways a nivel de aplicación: programas. Las conexiones se canalizan a través de aplicaciones proxy. Híbridos: combina los dos anteriores. Host bastión: arquitectura más que tipo de cortafuegos. Aisla la LAN. 2. El Cortafuegos.

¿CÓMO SE FILTRAN LOS PAQUETES? Se especifican reglas de filtrado, y acciones asociadas a ellas. En ellas consta: número de regla, dirección origen, destino, protocolo, puerto origen y destino y acción. Importante: el orden de las reglas. 2. El Cortafuegos.

FILTROS SOFTWARE Aplicaciones Proxy: Filtrado de sesiones: programas que se sitúan en el cortafuegos y actúan en representación del usuario. Conexiones: directa, cliente modificado y proxy invisible. Desventaja: una aplicación por servicio Filtrado de sesiones: se realiza generalmente en el kernel del S.O. Una sola regla para cada sesión. 2. El Cortafuegos.

AUTENTIFICACIÓN DE USUARIOS Contraseñas: un solo uso (cambia cada sesión por algoritmos criptográficos) y uso múltiple (pueden ser “pinchadas”). Tarjetas inteligentes o llaves (autentificadores manuales): se solicita palabra de paso y clave, y se devuelve contraseña. Huellas dactilares y modelos de retina. Problema de todos ellos: secuestros de sesión. Solución: autentificación de paquetes. 2. El Cortafuegos

ADMINISTRACIÓN DEL CORTAFUEGOS Mantener las cuentas de usuarios. Actualizar permisos de acceso a hosts. Reaccionar ante alarmas. Revisar registros de actividad. Hacer copias de seguridad de los datos del cortafuegos. Mantenimiento del sistema del cortafuegos. Información sobre tecnología de ataques. 3. Administración del Cortafuegos.

3. Administración del Cortafuegos. TRAMPAS Y CEBOS Sirven para atraer atacantes sospechosos. Determinar tipos de acceso intrusos. Crear entorno ficticio y legal (avisar al usuario que está accediendo a la red). Obtener información para demandar al atacante (tener cuidado con no transgredir la ley nosotros). 3. Administración del Cortafuegos.

RESPUESTA A UN ATAQUE (1) Mantener la calma (normalmente es inofensivo). ¿Interrumpimos el ataque?. Sí: destruir la conexión y desconectar el cortafuegos. No: detectar al intruso (leer registro de auditoría, obtener lista de routers hasta el intruso, identificar usuarios actuales). 3. Administración del Cortafuegos.

RESPUESTA A UN ATAQUE (Y 2) Una vez finalizado el ataque: Determinar los cambios a efectuar en la política de seguridad. Documentar detalles del ataque. Informar al proveedor del cortafuegos, y a las autoridades (si procede). 3. Administración del Cortafuegos.

POLÍTICA DE SEGURIDAD Definición: especificación de los requisitos de control de acceso a la información y otros activos de una organización, determinando el tipo de acceso (consulta, modificación, borrado, descarga etc.) y quiénes lo realizan. 4. Política de seguridad.

TIPOS DE POLÍTICAS DE SEGURIDAD Política de acceso en el ámbito de los servicios: define los requisitos de control de acceso a usuarios. (Alto nivel). Política de acceso en el ámbito de implementación de la red: definición de las reglas de filtrado del cortafuegos. (Bajo nivel). 4. Políticas de seguridad.

4. Políticas de seguridad. POSIBLES PROBLEMAS Suponen un retraso en la implantación de las protecciones en la red. Burocracia: entran en los trabajos cotidianos de operación del sistema. Hay que velar por el cumplimiento de la política para que sea efectiva. 4. Políticas de seguridad.

REQUISITOS PARA UNA CORRECTA POLÍTICA Determinar permisos para servicios de entrada (TELNET, correo etc.) Determinar permisos para servicios de salida (WWW, FTP etc.) Determinar requisitos de auditoría: disminuyen rendimiento de la red. Elegir herramienta de administración. Requisitos para cebos y trampas: no salirse de la ley. 4. Políticas de seguridad.

4. Políticas de seguridad. EJEMPLO (1) Propuesto por Ed Amoroso y Ron Sharp. a) Puntos principales de contacto (personas). b) Registro de modificaciones (versiones de la política). c) Ámbito de los requisitos: definición de la red. 4. Políticas de seguridad.

4. Políticas de seguridad. EJEMPLO (Y 2) d) Clasificación de la información de la empresa (abierta, propietaria y propietaria restringida). e) Clasificación de las redes de la empresa: abierta, propietaria y propietaria - restringida. f) Servicios del cortafuegos: acceso o no a Telnet, FTP, EMAIL, WWW. 4. Políticas de seguridad.

REAL DECRETO 994/1999, de 11 de junio (B.O.E. 25.06.1999) http://www.igsap.map.es:80/cia/dispo/rd994-99.htm Establece 3 niveles de seguridad: a) BÁSICO: datos de carácter personal b) INTERMEDIO: datos de infracciones administrativas, penales, servicios financieros, o personales que permitan evaluación de personalidad del individuo. c) ALTO: datos de ideología, religión, creencias, raza, salud, vida sexual y política. 4. Políticas de seguridad.

REAL DECRETO 994/1999. Requisitos Nivel BÁSICO: Documento de seguridad con la normativa básica. Mecanismos de actualización y revisión de la normativa. Documento de funciones y obligaciones del personal. Medidas para informar al personal sobre la normativa. Registro de incidencias. Relación de usuarios y procedimientos de identificación y autentificación. Renovación periódica de contraseñas y almacenamiento ininteligible. Mecanismos para evitar intrusiones no autorizadas. Control de soportes (inventario). Control de salidas de soportes. Copias de respaldo, al menos semanalmente. 4. Políticas de seguridad.

REAL DECRETO 994/1999. Requisitos (2) Nivel INTERMEDIO: Todo el básico. Documento de seguridad ampliado. Designación de responsables de seguridad. Consignación de recuperaciones en incidencias. Autorización escrita del responsable para recuperar ficheros. Identificación unívoca de usuarios. Limitación de accesos no autorizados reincidentes. Control de acceso físico. Registro de entrada y salida de soportes. Mecanismo para impedir recuperaciones de información almacenada en soportes. Auditorías informáticas cada 2 años. Pruebas con datos ficticios. 4. Políticas de seguridad.

REAL DECRETO 994/1999. Requisitos (y 3) Nivel ALTO: Todo el intermedio. Copias de respaldo y recuperación fuera de las instalaciones de equipos informáticos. Cifrado de la información de los soportes. Registro de accesos. Informe mensual de revisiones y problemas detectados. Transmisión cifrada de datos. 4. Políticas de seguridad.