2.3
Seguridad
La seguridad de las conexiones en red merecen en la
actualidad una atención especial, incluso por medios de comunicación no
especializados, por el impacto que representan los fallos ante la opinión
pública.
El propio desarrollo tanto de Linux, como de la mayoría del
software que lo acompaña, es de fuentes abiertas. Podemos ver y estudiar el
código. Esto tiene la ventaja de que la seguridad en Linux no sea una mera
apariencia, sino que el código está siendo escrutado por muchas personas
distintas que rápidamente detectan los fallos y los corrigen con una velocidad
asombrosa.
Si además comprendemos los mecanismos que se siguen en las
conexiones en red, y mantenemos actualizados nuestros programas, podemos tener
un nivel de seguridad y una funcionalidad aceptables.
Tampoco tienen las
mismas necesidades de seguridad un equipo doméstico, con conexiones esporádicas
a Internet, que un servidor conectado permanentemente y que actúe como pasarela
entre una intranet e Internet.
2.3.1 Las diez leyes
inmutables de la seguridad.
Ley 1: Si un intruso lo puede
persuadir para que usted ejecute el programa de él en su computadora, ésta ya
deja de ser su computadora.
Es otra ley
inmutable de la informática: cuando un programa se ejecuta en el ordenador hace
lo que el programador le ha dicho que haga, no lo que creemos que tiene que
hacer. Por lo tanto, si permitimos que un programa se ejecute en nuestro
ordenador tendrá las mismas capacidades de realizar cambios, incluidos los
dañinos, que nosotros tenemos como usuarios y los hará según las instrucciones
de su programador.
La analogía del
sandwitch nos puede ayudar a entender la situación: si nos encontráramos a
alguien desconocido por la calle y nos ofreciera un sandwitch ¿nos lo comeríamos
sin más? Pues del mismo modo descargar y ejecutar sin más un programa no es lo
mejor para la salud de nuestro ordenador.
Ley 2: Si un
intruso puede alterar el sistema operativo de su computadora, ésta ya deja de
ser su computadora.
El sistema
operativo no deja de ser un programa más acompañado por un conjunto de ficheros
de configuración, que están protegidos pero que a la larga puede ser
modificados. Si permitimos cambios en el sistema nuestro ordenador ya no estará
bajo nuestro control.
Las nuevas
versiones de Windows advierten en numerosas ocasiones cuando un programa intenta
hacer cambios en el sistema o si nos disponemos a dar autorización a un programa
para realizar cambios, pero una vez que un programa tiene vía libre no hay nada
que hacer. Por eso es importante que nunca ejecutemos programas y les otorguemos
permisos si no conocemos su procedencia. Si alguien toma el control del sistema
operativo puede hacer cualquier cosa.
Es como si
alguien consiguiera las llaves de nuestra casa. Una vez con ellas podría hacer
cualquier cosa incluso sin que necesariamente nos diéramos cuenta. Por eso es
tan importante proteger el sistema operativo y por eso los programas de
seguridad controlan constantemente que no se hayan producido cambios en los
ficheros del sistema.
Ley 3: Si un intruso tiene acceso
físico sin restricción a su computadora, ésta ya no es su
computadora.
Tomar las
mejores precauciones para protegernos de los intrusos que pueden acceder a
nuestro ordenador a través de Internet no vale nada si el intruso puede acceder
tranquilamente a nuestro ordenador y sentarse a teclear. Es algo que en
ocasiones descuidamos, pero un elemento básico de la seguridad. En el artículo
de TechNet dan una lista de lo que un “tipo malvado” puede hacer si tiene acceso
al ordenador, desde la edad de la piedra a la edad espacial.
Algunos de los peligros son que puede destruir
nuestro ordenador con un martillo pilón, robar el ordenador y pedir un rescate,
reformatear el disco, robar el disco duro, duplicarlo, grabar las pulsaciones de
nuestro teclado… Las precauciones que hay que tomar aumentan con la portabilidad
del PC que utilicemos. No hay que desdeñar los candados o los sistemas de acceso
biométricos. No hay que olvidar que un ordenador es un dispositivo valioso, pero
lo más valioso son siempre nuestros datos.
Ley 4: Si usted
le permite a un intruso subir programas a su sitio Web, éste deja de ser
suyo.
El intruso es
el que entra en el servidor e intenta cambiar nuestra página web. Conseguirá así
extender el contagio de un virus o malware. La responsabilidad de un usuario que
mantenga un sitio web incluye controlar que los usuarios de la web no puedan
agregar programas y mantener actualizado el software con los parches de
seguridad adecuados.
En este caso no
sólo nos hacemos daño a nosotros, sino que contribuimos al contagio de muchas
personas a través de nuestra web.
Ley 5: Las contraseñas
débiles atentan contra la seguridad fuerte.
Es uno de los
eslabones más débiles de la cadena de seguridad. Si para identificarnos
utilizamos contraseñas fáciles de averiguar, los sistemas de seguridad que
hayamos instalado no servirán de nada. Hay que tener la precaución de que
siempre en nuestro sistema el administrador requiera contraseña. Podemos ver
cómo crear contraseñas perfectas en nuestro artículo práctico al
respecto.
Ley 6: Una máquina es tan segura como confiable
sea el administrador
Todo ordenador
tiene su administrador, aunque en muchos casos el administrador seamos nosotros.
El edministrador es el que instala el software, modifica el sistema operativo y
establece las políticas de seguridad. En el decálogo de Technet se advierte que
un administrador chapucero puede frustrar cualquier medida de seguridad que
tomemos nosotros.
Si necesitamos un
administrador para nuestra empresa tomemos eso en cuenta. Ahorrar y contratar un
mal administrador, uno descuidado o no fiable puede salirnos muy caro a la
larga.
Ley 7: Los datos encriptados son tan seguros como la
clave de desencriptación.
Una versión
distinta del problema de las passwords. La encriptación es una excelente
herramienta para proteger nuestros datos y se utiliza en las transacciones que
se realizan en Internet, pero en el caso de los programas de encriptación, hay
que tener cuidado dónde se almacenan. Lo mejor es utilizar claves que
memorizaremos o almacenarlas en un dispositivo externo a nuestro ordenador para
que sean difíciles de localizar.
Ley 8: Un escáner de virus
desactualizado sólo es ligeramente mejor que ningún escáner de virus en
absoluto.
En Internet
van apareciendo y mutando nuevos virus y malware a un ritmo muy alto. Por eso
hoy más que nunca, cuando pasamos más tiempo conectados a Internet, es muy
importante disponer de un antivirus actualizado. Uno que no esté puesto al día
nos protegerá solamente de amenazas obsoletas pero no será una herramienta de
protección fiable.
Además,
actualizar los antivirus y programas de seguridar periódicamente contribuye a
que la expansión de los virus sea menos rápida y que por lo tanto el daño que
puedan hacer sea limitado.
Ley 9: El anonimato absoluto no
es práctico, ni en la vida real ni en la Web
Las
herremientas que permiten conseguir un grado de anonimato importante en Internet
son muchas, como los proxies o conversores de direcciones IP que hacen que no
podamos ser localizados o los navegadores web que no dejan rastros de nuestra
actividad. Hay que tener cuidado con qué servicios utilizamos para conseguir el
anonimato, porque puede que estemos consiguiendo precisamente lo
contrario.
En algunos casos estos
servicios ofrecen anonimato frente a otras páginas web, pero no somos anónimos
frente a ellos. Es más, en algunos casos tendremos que rellenar un formulario.
Pero en muchos casos en Internet será útil dejar nuestros datos, para que nos
informen de ciertas promociones, para recibir noticias, para contactar con
antiguos compañeros, para participar en redes sociales…
En estos casos el sentido común es lo más importante.
Nunca compartir datos personales sensibles de forma pública o con personas que
no conocemos y proteger en lo posible nuestra navegación. Los modernos
navegadores permiten ejecutar un modo privado que podemos activar solamente
cuando lo necesitemos. Ser selectivos es importante
también.
Ley 10: La tecnología no es una panacea.
Una lección
que es necesario aprender a pesar de los grandes adelantos tecnológicos que
estamos viviendo y en el campo de la seguridad en particular. Como adelantábamos
al principio, a pesar de toda esta tecnología tan sofisticada y los avances en
el software de seguridad, no podemos encomendar nuestra seguridad totalmente a
la tecnología.
Nuestro sentido común,
la prudencia y la inteligencia tienen que ser los ingredientes más importantes.
Sin ellos la tecnología más avanzada no servirá de nada. Es tentador dar la
culpa a los fabricantes de software o a los proveedores de acceso de nuestros
problemas de seguridad, pero no perdamos de vista que los responsabes somos
nosotros.
2.3.2
Conceptos bàsicos sobre seguridad.
-
Seguridad:
Sector de la informática cuya función es establecer medidas de protección y/o
seguridad para garantizar el correcto funcionamiento de un sistema
informático.Objetivo de la seguridad informática: Proteger los
activos informáticos.
-
Whackers: expertos especializados. Se
mueven por dinero y fama. Provocan daños al sistema.
-
Crackers: expertos especializados. Se
mueven por fama y satisfacción personal. Causan daño.
-
Crashers: Inhabilitan el sistema, tienen
conocimientos informáticos, les mueve el dinero o el aprendizaje. Causan
daño.
-
Lamer: Conocimientos informáticos nulos.
Sus intereses son la fama, la experiencia y la satisfación personal. Causan
daños.
-
Phreakers: tienen amplios conocimientos
informáticos y se mueven por dinero.
-
Script kiddies: Muy similares a los
lamer.
-
Newbies: Tienen conocimientos
informáticos básicos. Su motivación es aprender. No causan daño.
-
Seguridad activa: Conjunto de medidas
cuyo objetivo es evitar o reducir los riegos que amenazan al sistema.
-
Seguridad Pasiva: Conjunto de medidas que
se implementan una vez producido el accidente y que minimizan el daño,
facilitando la recuperación del sistema.
Mecanismos para que un sistema sea
seguro:
-
Autenticación. Mecanismo que permite
verificar la identidad del usuario que quiere acceder al sistema.
-
Autorización. Mecanismo que permite
comprobar con qué permisos cuenta el usuario que quiere acceder al
sistema.
-
Verificador de integridad de la
información.
-
Cifrado. Evita que la información viaje
sin protección (en texto plano) a través de la red.
-
Copias de seguridad. Se utilizan con el
fin de restaurar el sistema cuando se produzca una pérdida de información, sobre
todo de información sensible.
-
El software anti-malware. Programa que
detecta, bloquea y elimina programas maliciosos para la seguridad del sistema.
-
El cortafuegos. Sirve para bloquear el
trafico entrante en la red que pueda ser peligroso.
-
IDS (Sistema de Detección de Intrusos).
Trata de detectar cuándo alguien no autorizado trata de entrar en un
sistema.
-
Certificados. Es un documento digital
mediante el cual un tercero confiable garantiza la vinculación entre la
identidad de un sujeto o entidad y una clave pública.
-
Auditorías. Recaudan información para
comprobar si el nodo es o no seguro.
- Propiedades de un sistema informático
seguro.
-
La
confidencialidad garantiza que el acceso a la información no se produce de
forma no autorizada
-
La
disponibilidad garantiza que el sistema y los datos estarán disponibles para
los usuarios.
-
La
integridad. Garantiza que la información no ha sido modificada sin
autorización.
-
No
repudio. Impide que el emisor niegue haber estado involucrado en una
comunicación.
-
Suplantación de identidad: hacer pasar por el
usuario de la red para poder entrar en el sistema con los privilegios con la
identidad suplantada.
-
Reactuación: La repetición de uno varios mensajes son
capturados y repetidos para producir un efecto no deseado.
-
Modificación de mensajes: cambiar todo o parte del mensaje con
la finalidad de conseguir unos efectos distintos al original.
-
Degradación de servicios: impide o deteriora el uso normal del
servicio.
2.3.3 Obtenciòn de
informaciòn de un atacante.
Es importante conocer la metodología que
sigue un atacante para poder defendernos mejor de él. La expresión “conoce a tu
enemigo” es válida también en el mundo de la informática.
El primer paso que realiza un atacante es la
exploración. En la exploración, el atacante obtiene una lista de direcciones IP
y de red utilizando descargas de transferencias de zona y consultas whois, Estas
técnicas proporcionan información valiosa a los atacantes, incluyendo nombres de
empleados, números de teléfono, rangos de direcciones IP, servidores DNS, etc.
Uno de los pasos básicos de exploración de una
red para determinar qué sistemas están activos, es llevar a cabo un barrido de
ping automatizado en un rango de direcciones IP y de bloques de red. Ping se
utiliza
tradicionalmente para enviar paquetes ICMP ECHO a un sistema destino,
en un intento de obtener un ICMP ECHO_REPLY que indica que el sistema destino
está activo (vivo). Aunque enviar un ping resulta un método aceptable para
determinar el número de sistemas activos en una red pequeña o de tamaño medio,
no es eficiente en redes corporativas de mayor tamaño. Para llevar a cabo
exploraciones de redes de Clase A es necesario varias horas.
Una vez identificados los sistemas que están
activos mediante el uso de barridos ping, el siguiente paso que realiza un
atacante es la exploración de puertos.
La exploración de puertos es el proceso de
conexión a puertos UDP y TCP del sistema destino que nos permite determinar los
servicios que se están ejecutando. Identificar los puertos que están a la
escucha es
crítico para determinar el tipo de sistema operativo y
aplicaciones que se están utilizando. Los servicios activos que estén a la
escucha pueden permitir que un usuario no autorizado tenga acceso a sistemas que
no
estén bien configurados o que ejecuten una versión de software que tenga
vulnerabilidades de seguridad conocidas.
Los objetivos que se persiguen con
la exploración de puertos son los siguientes:
* Identificar los servicios TCP y UDP
que se están ejecutando en el sistema.
* Identificar el tipo de
sistema operativo instalado en el sistema.
* Identificar las
versiones o aplicaciones específicas de un determinado servicio.
*
Identificar las vulnerabilidades del sistema.
Los sistemas operativos son configurables, y
por lo tanto pueden engañar a un posible atacante con información incorrecta.
Cuestiónese las siguientes preguntas:
* ¿Qué pasaría si
identificasemos servicios de forma incorrecta? Por ejemplo, identificamos un
servidor de correo qmail en una máquina con Exchange.
* ¿Qué pasaría
si identificamos mal el sistema operativo?
* ¿Qué pasaría si los
equipos activos realmente no existen?
Un atacante obtiene las
vulnerabilidades del sistema a partir de la información de los servicios y
servidores. Por lo tanto, si esta información es incorrecta, el atacante, que se
encuentra engañado, jamás va a realizar con éxito su ataque. Es imposible
utilizar los fallos de seguridad en el servidor de correo de Windows (p.e.
Exchange) en el sistema de correo de Linux (p.e. qmail).
2.3.4 Medios de
seguridad de los Sistemas de Informaciòn.
LAS REDES NECESITAN
CENTINELAS CADA VEZ MÁS ATENTOS
Atender de manera eficiente la seguridad de una red se
hace cada vez más difícil. A pesar de que las herramientas se mejoran día a día,
los hackers también aumentan su nivel deconocimientos técnicos y de
sofisticación. En general, las empresas y las organizacionesson cada vez más
conscientes de los riesgos y permanentemente tratan de aumentar losniveles de
protección. Pero la lucha, como dice el tango, "es cruel y es
mucha".
VULNERAR PARA
PROTEGER
Los hackers utilizan diversas técnicas para quebrar los
sistemas de seguridad de una red.Básicamemte buscan los puntos débiles del
sistema para poder colarse en ella. El trabajo delos testers no difiere mucho de
esto. En lo que sí se diferencia, y por completo, es en losobjetivos.Mientras
que los hackers penetran en las redes para dañar o robar información, un testers
lohace para poder mejorar los sistemas de seguridad.Al conjunto de técnicas que
se utilizan para evaluar y probar la seguridad de una red se loconoce como
Penetration Testing, uno de los recursos más poderosos con los que se cuentahoy
para generar barreras cada vez más eficaces.En cuanto a las barreras de
seguridad, un testers explica: "Están totalmente relacionadascon el tipo de
información que se maneja en cada organización. Por consiguiente, según la
información que deba ser protegida, se determinan la estructura y las
herramientas deseguridad. No a la inversa".Pero las herramientas no son sólo
técnicas. El soft y el hard utilizados son una parteimportante, pero no la
única. A ella se agrega lo que se denomina "políticas de seguridadinternas", que
cada empresa u organización debe generar.La explicación del porqué viene de un
dato de la realidad. Según un reciente informe de la publicación estadounidense
InformationWeek, un porcentaje sustancial de intrusiones enlas redes de las
empresas (ya sean chicas, medianas o grandes) proviene de ataquesinternos. Es
decir, los mismos empleados hackean a su propia organización. Y aquí esdonde
cobran especial importancia las políticas de seguridad que se establezcan,
ademásdel aspecto técnico.
LOS MALOS TAMBIÉN
SABEN MUCHO
El nivel de importancia que se le da a la cuestión de la
seguridad se generalizó en losúltimos años. Esto significa que las empresas son
cada vez más conscientes del tema y noescatiman esfuerzos para evitar ser
vulneradas.Esta conclusión lleva a pensar que la seguridad creció. Pero esto no
es así, porquesimultáneamente aumentó y se difundieron la tecnología y los
conocimientos para hackear.Por lo tanto, el nivel de inseguridad aumentó."En el
año 1995, con la ejecución de algunas herramientas específicas de ataque y
penetración, se hallaron 150 puntos vulnerables en diversos sistemas de red. En
el últimoaño, las mismas herramientas fueron utilizadas sobre las nuevas
versiones de los sistemasoperativos y el resultado fue peor: se encontraron 450
puntos débiles, pese a los avances yla mejora tecnológica de los softwares".Esto
hace que las compañías de software prestén cada vez más atención al problema.
"ElWindows 2000, por ejemplo, que aún no salió al mercado, ya fue sometido a
pruebas deeste tipo y se le detectaron problemas de
seguridad".
LA INVERSIÓN
Los costos de las diferentes herramientas de protección
se están haciendo accesibles, engeneral, incluso para las organizaciones más
pequeñas. Esto hace que la implementación demecanismos de seguridad se dé
prácticamente en todos los niveles. Empresas grandes,medianas, chicas y las
multinacionales más grandes. Todas pueden acceder a lasherramientas que
necesitan y los costos (la inversión que cada empresa debe realizar) vande
acuerdo con la empresa.
LAS REGULACIONES
Una de las herramientas de seguridad que se utiliza en la
actualidad es la encriptación, peroesta técnica no es perfecta. En los Estados
Unidos una serie de regulaciones le ponen untecho al nivel de encriptación.El
máximo nivel permitido hasta hace algunos meses (64 bits) perdió confiabilidad
desdeque se logró vulnerarlo.En los Estados Unidos se está buscando un algoritmo
de encriptación que permita unos diezaños de tranquilidad. Es decir, que durante
ese tiempo nadie logre tener los mediostecnológicos que le posibiliten
descifrarlo. Además se está tratando de integrar a lasempresas proveedoras de
softwares con las compañías que los utilizan, o sea, unir a clientesy
proveedores para encontrar opciones más
seguras.
LA SEGURIDAD TOTAL ES
MUY CARA
Hoy es imposible hablar de un sistema ciento por ciento
seguro, sencillamente porque elcosto de la seguridad total es muy alto. "Por eso
las empresas, en general, asumen riesgos:deben optar entre perder un negocio o
arriesgarse a ser hackeadas. La cuestión es que, enalgunas organizaciones
puntuales, tener un sistema de seguridad muy acotado les impediríahacer más
negocios", "Si un hacker quiere gastar cien mil dólares en equipos para
descifrar una encriptación, lo puede hacer porque es imposible de controlarlo. Y
en tratar de evitarlose podrían gastar millones de dólares".La solución a
medias, entonces, sería acotar todo el espectro de seguridad, en lo que hace a
plataformas, procedimientos y estrategias. De esta manera se puede controlar
todo unconjunto de vulnerabilidades, aunque no se logre la seguridad total. Y
esto significa ni másni menos que un gran avance con respecto a unos años
atrás.
FIREWALLS
"Los ataques a maquinas conectadas a Internet se
incrementaron en un 260% desde 1994, se calcula una perdida de 1.290 millones de
dolares anuales solo en los EEUU"
En la
era de la informacion, las ideas, datos y archivos en su red son probablemente
lo masvalioso que su empresa posee. Piense acerca de sus listas de clientes y
registros deaccionistas, transacciones comerciales y material de marketing,
estrategias decomercializacion y diseño de
productos.
