Microsoft IT Security Gestión de la Seguridad dentro de la red corporativa de Microsoft

Agenda Microsoft y su entorno Microsoft y su entorno El Proyecto de Seguridad en MS El Proyecto de Seguridad en MS Acceso Remoto (RAS) & Smart Card Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en la red Wireless de MS Seguridad en Sistemas Internos Seguridad en Sistemas Internos Seguridad en Exchange y Outlook Seguridad en Exchange y Outlook Modelo de Respuesta a Incidentes de OTG Modelo de Respuesta a Incidentes de OTG

ITG Mission Poner a disposición de de nuestros usuarios internos, clientes y partners de forma proactiva la infraestructura de IT y aplicaciones, que les permitan trabajar en cualquier momento y en cualquier lugar excediendo sus expectativas Rick Devenuti. CIO & VP

Sydney Chofu & Otemachi Les Ulis TVP Dublin Benelux Madrid Dubai Singapore Johannesburg Sao Paulo 72,000 mailboxes 72,000 mailboxes El Entorno de Microsoft Redmond Los Colinas Charlotte Chicago Milan Stockholm Munich 400+ supported Microsoft sites worldwide 400+ supported Microsoft sites worldwide 4.5M+ messages per day internally 8m Internet 4.5M+ messages per day internally 8m Internet >400 apps >400 apps 26M voice calls per month 26M voice calls per month 55K employees 55K employees 5K contractors 5K contractors 17K vendors 17K vendors 150,000+ PCs 150,000+ PCs >9,000 servers >9,000 servers 110 Microsoft Exchange Messaging Servers 110 Microsoft Exchange Messaging Servers Silicon Valley

La Situación actual de MS Situación Situación Microsoft es uno de los objetivos preferidos Microsoft es uno de los objetivos preferidos 100k+ intentos de ataques por mes 100k+ intentos de ataques por mes 125k+ mensajes en cuarentena por mes 125k+ mensajes en cuarentena por mes 225k dispositivos conectados a la red 225k dispositivos conectados a la red 300k conexiones vía RAS conexiones por semana 300k conexiones vía RAS conexiones por semana Retos Retos La Cultura interna de MS La Cultura interna de MS Comprobaciones internas de aplicaciones Comprobaciones internas de aplicaciones Liderazgo Tecnológico Liderazgo Tecnológico

Objetivo del Grupo Information Security Objetivo del Grupo Information Security Un entorno de TI compuesto por servicios, aplicaciones e infraestructura que a la vez da privacidad y seguridad sin dejar de tener una alta disponibilidad Requisitos: No se puede comprometer mi identidad No se puede comprometer mi identidad Los recursos son seguros y est á n disponibles Los recursos son seguros y est á n disponibles Mis datos y comunicaciones son privadas Mis datos y comunicaciones son privadas Roles y Responsabilidades claramente definidos Roles y Responsabilidades claramente definidos Responder a tiempo a las amenazas y/o riesgos Responder a tiempo a las amenazas y/o riesgos

Agenda Microsoft y su entorno Microsoft y su entorno El Proyecto de Seguridad en MS El Proyecto de Seguridad en MS Acceso Remoto (RAS) & Smart Card Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en la red Wireless de MS Seguridad en Sistemas Internos Seguridad en Sistemas Internos Seguridad en Exchange y Outlook Seguridad en Exchange y Outlook Modelo de Respuesta a Incidentes de OTG Modelo de Respuesta a Incidentes de OTG

Unauthorized Access El Entorno y sus Peligros Internet CDCs, RDCs Tail Sites Internet Data Centers CorpNet PSSEVN 3rd Party Connections Extrane t gateways Proxies Home LANs PPTP/RAS Servers Direct Taps Remote Users Intrusions Denial of Service Intellectual Property Theft Virus Phreaking Malicious Code Criminal /CI Use of Online Services Labs

Trustworthy Computing Mitigate risk to the infrastructure through implementation of four key strategies 1. Secure the Network Perimeter Secure Wireless Secure Wireless Smart Cards for RAS Smart Cards for RAS Secure Remote User Secure Remote User Next Generation AV Next Generation AV Messaging Firewall Messaging Firewall Direct Connections Direct Connections IDC Network Cleanup IDC Network Cleanup 2. Secure the Network Interior Eliminate Weak Passwords Eliminate Weak Passwords Acct Segregation Acct Segregation Patch Management Patch Management NT4 Domain Migration NT4 Domain Migration Network Segmentation Network Segmentation Smart Cards for Admin Access Smart Cards for Admin Access Regional Security Assessment Regional Security Assessment 3. Secure Key Assets Automate Vulnerability Scans Automate Vulnerability Scans Secure Source Code Assets Secure Source Code Assets Lab Security Audit Lab Security Audit 4. Enhance Monitoring and Auditing Network Intrusion Detection Network Intrusion Detection Automate Security Event Analysis Automate Security Event Analysis Use MOM for Server Integrity Checking Use MOM for Server Integrity Checking

Agenda Microsoft y su entorno Microsoft y su entorno El Proyecto de Seguridad en MS El Proyecto de Seguridad en MS Acceso Remoto (RAS) & Smart Card Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en la red Wireless de MS Seguridad en Sistemas Internos Seguridad en Sistemas Internos Seguridad en Exchange y Outlook Seguridad en Exchange y Outlook Modelo de Respuesta a Incidentes de OTG Modelo de Respuesta a Incidentes de OTG

Servicio de Acceso Remoto (RAS) Las soluciones de MS incluyen: Las soluciones de MS incluyen: Direct Dial RAS Direct Dial RAS PPTP VPN PPTP VPN Más de 175 puntos de acceso remoto en todo el mundo Más de 175 puntos de acceso remoto en todo el mundo Utilizado por más de 70,000 empleados Utilizado por más de 70,000 empleados Más de 300,000 conexiones cada semana Más de 300,000 conexiones cada semana Acceso a los sistemas de correo corporativo, intranet, internet y servidores de datos Acceso a los sistemas de correo corporativo, intranet, internet y servidores de datos

Asegurando el Perímetro de la red. Estrategia para el Acceso Remoto Malicious Users Malicious Software Threat 2 Factor Authentication Enforce Remote System Security Configuration Requirement Smart Cards for RAS Connection Manager and RAS Quarantine Solution

RAS - Requisitos Para conectarse a la red corporativa un usuario tiene que tener: Para conectarse a la red corporativa un usuario tiene que tener: Una tarjeta Smartcard Una tarjeta Smartcard Windows XP Windows XP Personal firewall Activado Personal firewall Activado Última versión de antivirus Última versión de antivirus Últimas actualizaciones de seguridad Últimas actualizaciones de seguridad El software Connection Manager El software Connection Manager

Componentes de la solución SMART CARD Smart Card RFID Badge RFID Badge 32k chip 32k chip Windows for Smart cards Windows for Smart cards Hardware PC PC Smart card reader Smart card reader Client Software Cryptographic Service Provider (CSP) Cryptographic Service Provider (CSP) Windows Windows Resource Manager Resource Manager Reader drivers Reader drivers Connection Manager Connection Manager Server Software Windows Active Directory Windows Active Directory Windows Certificate Server Windows Certificate Server Card management tools Card management tools RAS Quarantine Service RAS Quarantine Service

Secure Remote Access 1 Card inserted 2 User inputs PIN 5 RAS sends certificate in a EAP/TLS request to the IAS Server 7 IAS returns Radius Access Accept 6 IAS verifies certificate then looks up principal in DS ReaderReader SC 3 RAS client accesses smart card and retrieves cert from card RAS Client IAS VPN Server 4 Connect to VPN server and pass config checks

Agenda Microsoft y su entorno Microsoft y su entorno El Proyecto de Seguridad en MS El Proyecto de Seguridad en MS Acceso Remoto (RAS) & Smart Card Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en la red Wireless de MS Seguridad en Sistemas Internos Seguridad en Sistemas Internos Seguridad en Exchange y Outlook Seguridad en Exchange y Outlook Modelo de Respuesta a Incidentes de OTG Modelo de Respuesta a Incidentes de OTG

Microsoft IT WLAN Dirección de la compañía. Bill Gates Dirección de la compañía. Bill Gates Desarrollo de software de Microsoft para entornos wireless Desarrollo de software de Microsoft para entornos wireless Peticiones de los usuarios para la implantación de la tecnología WLAN Peticiones de los usuarios para la implantación de la tecnología WLAN Dar mayor mobilidad al usuario Dar mayor mobilidad al usuario Piloto Piloto Puget Sound. Campus de Redmond Puget Sound. Campus de Redmond Extenderlo al resto de las subsidiarias de MS según viabilidad: Extenderlo al resto de las subsidiarias de MS según viabilidad: Costes Costes Requisitos / Regulaciones legales Requisitos / Regulaciones legales

802.11b. Problemática WEP WEP Clave única necesaria para toda la compañía Clave única necesaria para toda la compañía WLAN b es sólo 40-bit WLAN b es sólo 40-bit Las claves WEP no cambian dinámicamente y por lo tanto son vulnerables a los ataques Las claves WEP no cambian dinámicamente y por lo tanto son vulnerables a los ataques Una clave WEP de 128-bit puede ser decodificada en unas 2 horas. Una de 40-bit en 40 minutos Una clave WEP de 128-bit puede ser decodificada en unas 2 horas. Una de 40-bit en 40 minutos Complicado de administrar. Complicado de administrar. Filtrado por direcciones MAC (Media Access Control) Filtrado por direcciones MAC (Media Access Control) No es escalable No es escalable listas de excepción tienen que ser administradas y propagadas por los APs. listas de excepción tienen que ser administradas y propagadas por los APs. La lista puede tener un límite de tamaño La lista puede tener un límite de tamaño La dirección MAC tiene que estar asociada al nombre de usuario La dirección MAC tiene que estar asociada al nombre de usuario El usuario podría no informar en caso de pérdida de la tarjeta El usuario podría no informar en caso de pérdida de la tarjeta El usuario podría cambiar su dirección MAC El usuario podría cambiar su dirección MAC

802.1X La Solución El AP controla el acceso a la red del cliente basándose en la autentificación de la cuenta de dominio del usuario y/o la cuenta de su máquina El AP controla el acceso a la red del cliente basándose en la autentificación de la cuenta de dominio del usuario y/o la cuenta de su máquina Se asegura el proceso de autentificación utilizando la tecnología PKI (Public Key Infrastructure) disponible en Windows XP Se asegura el proceso de autentificación utilizando la tecnología PKI (Public Key Infrastructure) disponible en Windows XP Extensible authentication protocol over LAN (EAPoL) Extensible authentication protocol over LAN (EAPoL) Transport Layer Security (TLS) Transport Layer Security (TLS) El usuario y el ordenador negocian la autentificación con el Internet Authentication Server (IAS). El usuario y el ordenador negocian la autentificación con el Internet Authentication Server (IAS). IAS es la implementación que ha hecho Microsoft del estándar de RADIUS IAS es la implementación que ha hecho Microsoft del estándar de RADIUS Las claves WEP son dinámicas Las claves WEP son dinámicas Cambian en cada nueva sesión, al hacer roaming o a intervalos de tiempo Cambian en cada nueva sesión, al hacer roaming o a intervalos de tiempo

802.1X Access Point Domain User Certificate Laptop Controlled Port Uncontrolled Port RADIUS (IAS) Domain Controller Certificate Authority DHCP Exchange FilePeers Domain Controller used to log onto domain after obtaining an IP address from DHCP EAP/TLS Connection Secure Wireless

Agenda Microsoft y su entorno Microsoft y su entorno El Proyecto de Seguridad en MS El Proyecto de Seguridad en MS Acceso Remoto (RAS) & Smart Card Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en la red Wireless de MS Seguridad en Sistemas Internos Seguridad en Sistemas Internos Seguridad en Exchange y Outlook Seguridad en Exchange y Outlook Modelo de Respuesta a Incidentes de OTG Modelo de Respuesta a Incidentes de OTG

Primer nivel de seguridad: Asegurar el perímetro de la red Utilizar redes Wireless seguras Utilizar redes Wireless seguras Utilizar un sistema de detección de intrusiones/ataques en la red efectivo Utilizar un sistema de detección de intrusiones/ataques en la red efectivo Asegurar las conexiones remotas de los usuarios Asegurar las conexiones remotas de los usuarios Obstaculizar la entrada de Virus en el perímetro externo de la red Obstaculizar la entrada de Virus en el perímetro externo de la red

Segundo nivel de seguridad: Asegurando el interior de la red Controlar las aplicaciones y programas disponibles para los usuarios Controlar las aplicaciones y programas disponibles para los usuarios Eliminar contraseñas débiles Eliminar contraseñas débiles Eliminar las cuentas de administración compartidas Eliminar las cuentas de administración compartidas Utilizar controladores de dominio seguros Utilizar controladores de dominio seguros Hacer obligatorio el uso de software de Antivirus y actualizaciones de seguridad. Hacer obligatorio el uso de software de Antivirus y actualizaciones de seguridad.

Asegurando el Interior de la red. Segmentación de la red Eliminar o reducir el riesgo: Eliminar o reducir el riesgo: Parque de ordenadores gestionado por OTG Parque de ordenadores gestionado por OTG Segmentar los entornos controlados e incontrolados Segmentar los entornos controlados e incontrolados Restringir los niveles de acceso a la red Restringir los niveles de acceso a la red Enfoque de la segmentación de la red: Enfoque de la segmentación de la red: Evitar que los sistemas incontrolados se conecten a los sistemas controlados Evitar que los sistemas incontrolados se conecten a los sistemas controlados Utilizar IPsec para soportar los requisitos de seguridad Utilizar IPsec para soportar los requisitos de seguridad

Agenda Microsoft y su entorno Microsoft y su entorno El Proyecto de Seguridad en MS El Proyecto de Seguridad en MS Acceso Remoto (RAS) & Smart Card Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en la red Wireless de MS Seguridad en Sistemas Internos Seguridad en Sistemas Internos Seguridad en Exchange y Outlook Seguridad en Exchange y Outlook Modelo de Respuesta a Incidentes de OTG Modelo de Respuesta a Incidentes de OTG

Infraestructura de Exchange 6 inbound/outbound IMCs & Virus Walls 5 regional outbound IMCs & Virus Walls

Solución Antivirus para Exchange Requisitos del diseño: Todos los mensajes entrantes tienen que ser escaneados Todos los mensajes salientes tienen que ser escaneados Los ejecutables son eliminados y se notifica al usuario de esta acción Mensajes a usuarios no existentes son devueltos antes de ser escaneados

Requisitos de Seguridad para el correo electrónico OTG soporta la versión actual de Outlook y la versión anterior OTG soporta la versión actual de Outlook y la versión anterior El usuario es obligado mediante la configuración del servidor de Exchange El usuario es obligado mediante la configuración del servidor de Exchange Ver. Actual: Outlook 11 (2003) Ver. Actual: Outlook 11 (2003) Anterior: Outlook 2002 Anterior: Outlook 2002 Se obliga a los usuarios mediante políticas de grupo en el directorio activo Se obliga a los usuarios mediante políticas de grupo en el directorio activo Antivirus en el cliente. E-Trust Antivirus en el cliente. E-Trust Reglas en el buzón de entrada de Outlook Reglas en el buzón de entrada de Outlook

Gestión del SPAM Desde Septiembre del 2001: Desde Septiembre del 2001: Incremento del 258% Incremento del 258% Incremento del correo 86% Incremento del correo 86% Objetivo de MS: Boquear 100% de los mensajes identificados como SPAM en los internet mail Gateways. Objetivo de MS: Boquear 100% de los mensajes identificados como SPAM en los internet mail Gateways. s con publicidad a la atención directa del usuario puede no ser identificado como Spam y es por lo tanto enviado al buzón de destino. s con publicidad a la atención directa del usuario puede no ser identificado como Spam y es por lo tanto enviado al buzón de destino.

Agenda Microsoft y su entorno Microsoft y su entorno El Proyecto de Seguridad en MS El Proyecto de Seguridad en MS Acceso Remoto (RAS) & Smart Card Acceso Remoto (RAS) & Smart Card Seguridad en la red Wireless de MS Seguridad en la red Wireless de MS Seguridad en Sistemas Internos Seguridad en Sistemas Internos Seguridad en Exchange y Outlook Seguridad en Exchange y Outlook Modelo de Respuesta a Incidentes de OTG Modelo de Respuesta a Incidentes de OTG

Gestión de incidentes Graves Problemas típicos: Problemas típicos: Todos los grupos que participan en la resolución del incidente operan de manera independiente. Todos los grupos que participan en la resolución del incidente operan de manera independiente. La respuesta es básicamente táctica y no hay una estrategia coordinada La respuesta es básicamente táctica y no hay una estrategia coordinada Las respuestas no son consistentes. Estas pueden ser distintas en función de los grupos que participan. Las respuestas no son consistentes. Estas pueden ser distintas en función de los grupos que participan. Se obvian interdependencias entre grupos clave (PR, comunicaciones internas, etc) Se obvian interdependencias entre grupos clave (PR, comunicaciones internas, etc)

Metodología de Seguridad de OTG People Process Technology Dedicated staff Dedicated staff Training Training Securitya mindset and a priority Securitya mindset and a priority Employee education Employee education Planning for security Planning for security Prevention Prevention Detection Detection Reaction Reaction Baseline technology Baseline technology Standards, encryption, protection Standards, encryption, protection Product security features Product security features Security tools and products Security tools and products

Prevención de incidentes Monitorizar Monitorizar Auditorias de los sistemas Auditorias de los sistemas Detección de intrusiones Detección de intrusiones Establecer una defensa sólida Establecer una defensa sólida Asegurando a los clientes de acceso remoto Asegurando a los clientes de acceso remoto

Plan de respuesta a los incidentes Trigger Phase Security Scan/Audit Response Phase Ongoing evaluation and response revisions Response Team Assembled Operations External Web Site Internal Web Site User Support Information on incident received Decision to begin Incident Response Plan Evaluate Situation Establish First Course of Action Isolate and Contain Analyze and Respond Alert Others as Required Begin Remediation De-escalation: Return to Normal Operations Post-Incident Review Revise/Improve Response Process Quick guide to determining the significance of incident Severity of the event Severity of the event Overall business impact Overall business impact Criticality of vulnerable/attacked assets Criticality of vulnerable/attacked assets Public availability of information Public availability of information Scope of exposure Scope of exposure Public relations impacts Public relations impacts Extent of use of groups outside of security Extent of use of groups outside of security

Conclusiones Prevenir es menos costoso que reaccionar ante los incidentes. Prevenir es menos costoso que reaccionar ante los incidentes. Es interesante desarrollar en las empresas un sistema de auditorias, monitorización de los sistemas, y procedimientos de actuación a la vez que educamos a los usuarios sobre como hacer que sus sistemas sean seguros. Es interesante desarrollar en las empresas un sistema de auditorias, monitorización de los sistemas, y procedimientos de actuación a la vez que educamos a los usuarios sobre como hacer que sus sistemas sean seguros. El impacto a la infraestructura se reduce si tenemos un plan de respuesta a incidentes bien construido, detallado y flexible. El impacto a la infraestructura se reduce si tenemos un plan de respuesta a incidentes bien construido, detallado y flexible.

Más Información Más información sobre las implementaciones internas de OTG en: Más información sobre las implementaciones internas de OTG en: TechNet: TechNet: Case Study Resources: Case Study Resources:

Microsoft IT Security