Seguridad y computación confiable desde Microsoft German Marrugo IT Regional Manager Microsoft Corporation

Misión de IT y Prioridades “Proveer proactivamente infraestructura de IT y aplicaciones que excedan las expectativas de nuestros clientes internos, externos y socios – haciendo fácil el trabajar en cualquier lugar y en cualquier momento.” Prioridades Ser el Primero y el Mejor Cliente Proveer Liderazgo Fijar una estrategia de IT coordinada Operar una infraestructura de Clase Mundial

Microsoft Environment ~ 400 Sites Supported ~70K “Users of IT” Global Helpdesk Global SAP Regional Clarify Regional Siebel ~190,000+ PCs ~10,000+ servers ~200+ Domain Controllers ~1800 Cisco Routers ~3K Wireless AP’s ~24K Wireless devices MOM 2000 SP1 SMS 2003 Windows Server 2003 SP1 Exchange Server 2003 Stockholm Benelux Dublin Canyon Park Redmond Munich Chicago TVP Les Ulis Milan Madrid Chofu & Otemachi Silicon Valley Charlotte ~6 million emails per day ~95m SPAM filtered since Oct 19K concurrent IM sessions Regional Exchange 2003 SAN’s 1m UM calls processed in Aug 200MB Personal Mailbox ~300K Remote Connections made each week Los Colinas Dubai Singapore 3 Enterprise DC’s 19 Regional DC’s Standard Office Internet Connected Office (ICO1 / ICO2) Sao Paulo Johannesburg Sydney MS Office System 2003 Windows XP SP1 ETrust AV (CA)

Ambiente de Seguridad en Microsoft 100k+ intentos/pruebas/exploración maliciosos por mes 225k dispositivos de red (routers, hubs, etc.) Retos Cultura Requerimientos únicos de desarrollo Pruebas internas de aplicaciones Liderazgo tecnológico

Visión de Seguridad de Información Contar con un ambiente de IT consistente de servicios, aplicaciones e infraestructura que implícitamente provee de disponibilidad, privacidad y seguridad a cualquier cliente. Fundamentos Identidad no es comprometida Recursos necesitados están seguros y disponibles Información y comunicaciones son privadas Clara definición de actividades y responsabilidades Respuesta en tiempo a riesgos y amenazas

Aspectos críticos de la seguridad Tecnología Windows 2000 Active Directory Service Packs Hot Fixes IPSEC Kerberos PKI Distributed File System Encrypting SSL/TLS Clustering Archive Access Policy Install Repair Management Event Performance Configuration Procesos Backup Restore Intrusion Detection Arquitectura Segura de IT Gente Enterprise Administrator Domain Admin. User System Manager Service/ Support Developer USER

Metodología de seguridad en IT RH Dedicados Entrenamiento Seguridad—Actitud y prioridad Educación de empleados Personas Planeación de seguridad Prevención Detección Reacción Procesos Tecnología de punta Estándar, encripción, protección Funcionalidades de producto Herramientas de Seguridad y productos Tecnología

Misión del grupo de seguridad Monitoreo y Operación “Preveer el uso no autorizado o malicioso que pueda causar daño o perdidas de propiedad intelectual de Microsoft o productividad por medio de evaluación, comunicación y reducción de riesgo a las propiedades digitales.” Implementacion y Cumplimiento de Auditoría Analizar Amenazas y Riesgos Definir Política

Grupo de seguridad en Microsoft Grupo de Seguridad de Información Análisis de amenazas y riesgos. Definición de políticas Monitoreo, Detección de intrusos, Respuesta a incidentes Cumplimiento de evaluación Operación de Servicios Compartidos Monitoreo y detección de intrusos Análisis de amenazas y riesgos Administración de seguridad Acceso remoto y Físico Desarrollo de políticas Servicios de cumplimiento Rápida resolución y respuesta Administración de Certificados Evaluación de productos Cumplimiento y corrección Forense Herramientas de Seguridad Revisión de diseños IT Investigaciones Administración de Iniciativas Estándares de infraestructura

Estrategias de seguridad Identificar Amenazas y Propiedades Mitigar el riesgo de la infraestructura vía la implementación de 4 estrategias. Asegurar el Perímetro de la red Asegurar el Interior de la Red Asegurar las propiedades principales Expandir el Monitoreo y la Auditoria Asegurar Wireless Uso de Smart Cards Asegurar usuario remoto Firewall Mensajería Asegurar Extranet y conexión a socios Eliminar Passwords débiles Segregación de cuentas Administración Parches Segmentación de red Uso de Smart Cards para Administradores Exploración Automática de Vulnerabilidad Administración Código Fuente Detección Intrusos en la Red Análisis de Eventos de Seguridad Automática Asegurar Remediación

Ejemplo: Asegurando el perímetro con estrategia de acceso remoto RAS Usuario Malicioso Software Malicioso Amenaza 2 Factores de Autenticación Forzar Configuración de Sistema de Seguridad Remoto Requerimiento “Smart Cards” para Acceso Remoto Connection Manager y Limitación de RAS Solución

Cont. Ejemplo: Asegurando el perímetro con estrategia de acceso remoto RAS implementación Smartcard chip adicionado a las tarjetas existentes Política de Acceso Remoto (RAP) implementadas en infraestructura VPN Aprovechando PKI infraestructura Administración Centralizada de las tarjetas

Cont. Ejemplo: Asegurando el perímetro “Connection Manager” Requerimiento para usuarios con conexión remota Permite validar sistemas de configuración: Anti-Virus software y actualizaciones Internet Connection Firewall (encendido) Internet Connection Sharing (apagado) Validación personalizada con base a amenazas relevantes Auto-actualización obliga versiones de actualización y nuevos “Scripts” en los usuarios

Ejemplo 2: Asegurando el perímetro interior de la red con estrategia de “Administración de parches” Descubrir inventario de activos existentes Evaluación de vulnerabilidades Determinar la mejor fuente de información Evaluar infraestructura para distribución de Software Evaluar efectividad operacional Descubrir una nueva actualización de software Determinar la relevancia Obtener y verificar las fuentes de los archivos Enviar RFC 1. Evaluacion 2. Identidad 4. Implementación 3. Evaluar & Planear Preparación de la implementación Implementación en los computadores elegidos Revisión post implementación Determinar la respuesta apropiada Plan de la nueva versión Construir la nueva versión Realizar pruebas

Cont. Ejemplo 2: Proceso de administración de parches Procesos Herramientas #4 Implementación SMS E-Mail Notificaciones Windows update Logon Scripts Construcciones #1 Cambio de Estándares Nuevos Parches Configuración de aplicación Software Requerido #2 Determinar severidad Para cada Ambiente y Fijar Fechas Límites Usuario #5 Evaluar Cumplimiento Por Exploración “Scanning” #3 Probar Nuevo Estándar Software de Cliente Unidad de Negocio IT Centro de Datos #6 Obligar E-Mail Escalación Forzar el Parche Cierre de Puertos

Modelo empresarial de riesgo R – Suma/Total Riesgo Alto Entregables de iniciativas, estrategias, servicios o procesos arriba del nivel de tolerancia Riesgo Las Compañías asumen algún riesgo Bajo Bajo Valor Alto Propiedad Información Personas (Clientes, Servidores de datos, Servidores de Infraestructura, Red Corp) (Terceros, Empleados, Ejecutivos) (Tangible/ Reemplazable)

Desarrollo, prioridad e implementación de mitigación de estos riesgos Marco de riesgo Método de Cálculo Resultado Clasificación de exposición Habilidad de comprometer sistemas en la red Valor de exposición (Er) Referencia de Impacto en Propiedades Clasificación de Datos Valor de propiedad (AR) Determinar posibilidad de explotar Factores de Ambiente Vulnerabilidad (VL) Calcular impacto en control actual Controles existentes y cumplimiento Eficiencia del Control (Ce) Determinar Riesgo Total (Er x AR x VL) – Ce Riesgo (R) Desarrollo, prioridad e implementación de mitigación de estos riesgos

Plan de respuesta a incidentes Seguridad Scan/Auditoria Web Site Interno Información del incidente Operaciones Usuarios Web Site Externo Soporte Decisión de iniciar el plan de respuesta Guía rápida de determinación de significado de incidentes Severidad del evento Impacto en el negocio Severidad de vulnerabilidades en propiedades atacadas Disponibilidad pública de información Alcance de exposición Impacto en relaciones públicas Uso extenso en grupos fuera del grupo de seguridad Fase de Respuesta Evaluación de Situación Aislamiento y Contener Grupo de Respuesta Creado Establecer Curso de Acción Analizar y Responder y revisión de respuesta Evaluación continua Fase de Inicio Alertar a otros como se requiera Revisar/Mejorar Proceso de Respuesta Remover escalación: Regreso a Operaciones Normales Revisión Post-Incidente Iniciar Solución

Conclusiones Cual es el riesgo aceptable y cual no Seguridad = Personas + Procesos + Tecnología Analizar -> Definir -> Evaluar -> Monitorear Estandarización Inversión en seguridad bajo impacto en presupuesto Global de IT Eficiencias Centralización

© 2001 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary. © 2003 Microsoft Corporation. Todos los derechos reservados. Este documento es sólo para fines informativos. MICROSOFT NO OFRECE GARANTÍA ALGUNA, EXPRESA O IMPLÍCITA, EN ESTE RESUMEN.