Capítulo 8. La seguridad en la red Instalación y Mantenimiento de Servicios de Redes Locales I.E.S. Murgi Curso 2006-2007 Jose L. Berenguel Gómez Mª Jose.

Presentación del tema: "Capítulo 8. La seguridad en la red Instalación y Mantenimiento de Servicios de Redes Locales I.E.S. Murgi Curso 2006-2007 Jose L. Berenguel Gómez Mª Jose."— Transcripción de la presentación:

1 Capítulo 8. La seguridad en la red Instalación y Mantenimiento de Servicios de Redes Locales I.E.S. Murgi Curso 2006-2007 Jose L. Berenguel Gómez Mª Jose Peinado Villamor

2 Índice 1. Necesidad de la seguridad 2. Certificación y firma electrónica 3. Políticas de seguridad 4. Operaciones de filtrado 5. Protección del sistema 6. Protección de los datos 7. Situaciones de desastre

3 1. Necesidad de la seguridad ● Los datos deben ser accesibles sólo por quienes deben tratarlos: confidencialidad ● El desarrollo de Internet y el aumento del comercio electrónico o de las transacciones financieras hacen que la principal preocupación sea la seguridad.

4 1. Necesidad de la seguridad A) Encriptación o cifrado ● Consiste en codificar un mensaje de acuerdo a un nuevo código que sólo el destinatario conoce. ● Funciones que proporciona el cifrado: – Confidencialidad: Sólo el destinatario puede leer el mensaje. – Integridad: El mensaje no puede ser modificado. – Autenticación: La persona que ha creado el mensaje es quien dice ser.

5 1. Necesidad de la seguridad B) Algoritmos de cifrado ● Utilizan claves para cifrar y/o descifrar mensajes ● Algoritmos simétricos: una única clave que sirve para cifrar y descifrar. ● Algoritmos asimétricos: se utilizan dos claves, una para cifrar y otra para descifrar el mensaje. ● Algoritmos de encriptación: – DES (Data Encryption Standard). Sistema oficial en USA. Utiliza una clave de 56 bits. Es habitual utilizar claves de más de 1024 bits.

6 1. Necesidad de la seguridad B) Algoritmos de cifrado – RSA (Rivest, Shamir y Adleman). Son las iniciales de los apellidos de sus creadores. Creado en 1997. Es un algoritmo de clave asimétrica. Es pionero en la arquitectura PKI (Public Key Infraestructure). ● Disponemos de un par de claves una pública y otra privada ● Un mensaje cifrado con la clave pública sólo puede ser descifrado con la privada y viceversa ● El emisor cifra el mensaje con la clave pública del destinatario. Sólo el receptor puede descifrar el mensaje ya que es el único que posee la clave privada.

7 2. Certificación y firma electrónica ● Certificado digital: Credencial proporcionada por una Autoridad Certificadora que se encarga de confirmar la identidad de su dueño. ● Conceptos: certificado digital y firma digital ● Firma digital o electrónica: – Garantiza la integridad del mensaje firmado – Consiste en calcular un resumen del mensaje con un algoritmo hash: MD5 o SHA1. – El resumen se cifra con la clave privada del emisor

8 2. Certificación y firma electrónica ● Certificado electrónico: – Documento digital emitido por una CA para una persona (física o jurídica). – Almacena las claves pública y privada e información personal. – La CA actua de notario digital, garantizando que la persona que pide el certificado es quien dice ser. – El formato de archivo en el que se almacenan los certificados es conocido como X.509 ● Muchos SO utilizan certificados digitales para la autenticación de usuarios. Tecnología Kerberos

9 3. Políticas de seguridad ● Las políticas de seguridad en una empresa suelen estar definidas en el Plan de Seguridad. ● Si la empresa es grande, puede haber un departamento especializado en la seguridad. ● Directiva de seguridad o policy: esquematiza un conjunto de datos con el que el administrador define el funcionamiento del sistema. – Directivas para controlar las cuentas de usuario – Directivas de acceso de usuarios – Directivas para aplicaciones y comunicaciones

10 4. Operaciones de filtrado ● Sólo debe circular por la red la información necesaria para no penalizar el ancho de banda. ● Los usuarios no pierden el tiempo entreteniéndose en actividades no autorizadas. ● También es aconsejado para luchar contra las intrusiones y los virus.

11 4. Operaciones de filtrado A) Filtrado de contenidos web ● Limita la información de la web a la que se accede desde la empresa para evitar contenidos indeseados. ● Técnicas de filtrado de contenidos web: – Lista de términos prohibidos – Lista de sitios prohibidos – Webs etiquetadas, el navegador rechaza las páginas con ciertas etiquetas. ● Registran la actividad o el tráfico web.

12 4. Operaciones de filtrado B) Filtrado de correo ● Podemos filtrar los correos procedentes de ciertos remitentes que consideremos sospechosos. ● Filtrar los correos con un buen sistema antivirus. ● Configurar las alertas para avisarnos de que se ha detectado un virus.

13 4. Operaciones de filtrado C) Filtrado de conexiones ● Impedir la conexión de ciertas máquinas a servidores concretos ● Sólo dispositivos autorizados pueden utilizar los servicios que provee el servidor ● Muchos enrutadores y todos los cortafuegos disponen de esta función. ● Denegar todo por defecto. El administrador configurará sólo aquellos servicios que se permitirán.

14 4. Operaciones de filtrado C) Filtrado de conexiones ● Filtrado de información: – Se establece en el perímetro de la red – Podemos restringir distintos tipos de ficheros, por ejemplo a través del correo electrónico o servidor proxy. – Podemos restringir también disntintos protocolos.

15 5. Protección del sistema ● Sistemas antivirus: – La protección contra virus en los servidores de la red es un tema importantísimo de la seguridad. – Los antivirus más modernos centralizan todas sus tareas y vigilan toda la red. – Configurar permisos adecuados para evitar infecciones masivas. ● Protección contra accesos indebidos: – Además de las herramientas para impedir accesos indebidos, disponemos de herramientas de auditoria, para supervisar y detectar estas acciones. – Auditoría de conexiones, accesos, impresoras, etc.

16 6. Protección de los datos A) Copias de seguridad ● Duplicidad de datos para aumentar la seguridad. ● Problemas de un sistema doble de almacenamiento: – Es difícil decidir cuál es la correcta o más actualizada – Inversión de más recursos económicos. ● Backup: duplicación controlada de los datos o aplicaciones de usuarios. – Cinta magnética, CD o DVD – La recuperación requiere de un volcado inverso

17 6. Protección de los datos A) Copias de seguridad ● Backup: – El dispositivo de backup tiene que tener espacio suficiente para almacenar los datos que haya que salvar. – Etiquetar y documentar las copias realizadas para garantizar la recuperación de la copia correcta en caso de problemas. ● Planificación de backups: – Qué discos, cuándo y con qué periodicidad – Se debe cumplir escrupulosamente

18 6. Protección de los datos B) Sistemas tolerantes a errores ● Es aquél que está capacitado para seguir trabajando aunque alguno de sus componentes falle. ● Lo más común es duplicar los elementos del sistema. ● Discos espejo o mirror. ● Los sistemas operativos de red avanzados poseen software para la automatización de los procesos de tolerancia a errores.

19 6. Protección de los datos B) Sistemas tolerantes a errores ● Tecnología RAID (Redundant Array of Inexpensive Disks). – RAID 0: Los datos se reparten entre varios discos. – RAID 1: Copias exactas cada dos discos. – RAID 5: Los datos se dividen en bloques, repartiendose la información de paridad de modo rotativo entre todos los discos.

20 6. Protección de los datos B) Sistemas tolerantes a errores ● Dispositivos extraibles en caliente: – Componentes que pueden ser cambiados sin apagar el ordenador. – Los discos en configuración RAID suelen ser de este tipo. ● Configuraciones en cluster: – Asociación de ordenadores que comparten periféricos de almacenamiento y cooperan entre sí. – Si un ordenador del cluster deja de funcionar, otro absorberá su trabajo.

21 7. Situaciones de desastre ● Prever situaciones de desastre para minimizar los tiempos de parada del sistema. ● Plan de contingencia: Documento que recoge qué hacer ante diferentes situaciones de desastre. – Prepara para actuar ante situaciones de desastre: pérdida de datos, virus, intrusos, incendios, inundaciones, incluso terrorismo. – Si no disponemos de un plan de contingencia la vida de la empresa puede estar en peligro si uno de estos desastres se produjera.

22 7. Situaciones de desastre ● Ventajas del Plan de Contingencia: – Reduce costes producidos por siniestros (tiempo, dinero, equipos...) – Conciencia a todo el personal de la necesidad de seguridad ● Creación del Plan de Contingencia: – Primero: Definición de los objetivos. – Segundo: Inventario completo de las instalaciones. – Tercero: Análisis de riesgos. – Cuarto: Diseñar el plan de acción.

23 7. Situaciones de desastre ● Creación del Plan de Contingencia: – Quinto: Comunicación del plan a los empleados. – Sexta: Pruebas de que el plan funciona correctamente.