Introducción a la seguridad en redes

Introducción

• La seguridad en las redes afecta a personas, organizaciones y gobiernos debido a la alta dependencia de la sociedad en los servicios de red.
• Es fundamental que la información privada se mantenga confidencial.
• Es necesario que las organizaciones permitan el acceso a sus productos o servicios solo a quienes decidan o paguen.
• Es importante que las infraestructuras críticas y la información de los gobiernos no puedan ser vulneradas.
• Es necesario garantizar que los dispositivos o servicios de red estén siempre disponibles.
• La seguridad absoluta es imposible, por lo que las medidas implementadas deben ser proporcionales a los riesgos.
• Es importante un equilibrio entre el nivel de seguridad, los recursos disponibles, y la funcionalidad.
• La ciberseguridad defiende computadoras, servidores, dispositivos móviles, sistemas electrónicos, redes y datos de ataques maliciosos.
• La ciberseguridad como seguridad de tecnología de la información o seguridad de la información electrónica se aplica desde los negocios hasta la informática móvil.
• La ciberseguridad es una práctica para proteger importantes sistemas e información confidencial contra ataques digitales.
• Las medidas de ciberseguridad combaten amenazas a sistemas en red y aplicaciones originadas tanto dentro como fuera de una organización.
• AWS define la ciberseguridad como la protección de equipos, redes, software, sistemas críticos y datos de amenazas digitales.
• Las organizaciones tienen la responsabilidad de proteger los datos para mantener la confianza del cliente y cumplir las normativas.
• Implementar la ciberseguridad mediante la optimización de la defensa digital entre personas, procesos y tecnologías.
• Cisco define la ciberseguridad como la protección de sistemas, redes y programas de ataques digitales, que buscan dañar o extorsionar.
• La ciberseguridad es el esfuerzo continuo para proteger a personas, organizaciones y gobiernos de ataques digitales por la protección de sistemas y datos en red.
• Microsoft: La ciberseguridad protege la información digital, dispositivos y activos, incluyendo información personal, cuentas, archivos, fotos e incluso el dinero.
• Proteger datos personales, propiedad intelectual, transacciones, sistemas, procesos, productividad y reputación.

Aspectos Clave en Ciberseguridad

• La seguridad operativa incluye procesos y permisos para proteger los recursos de datos.
• La recuperación ante desastres y la continuidad definen cómo una organización responde a incidentes de ciberseguridad.
• Las políticas de recuperación ante desastres dictan cómo restaurar las operaciones e información.
• La capacitación del usuario final aborda el factor más impredecible de la ciberseguridad: las personas.
• Es fundamental enseñar buenas prácticas de seguridad a los usuarios, como evitar archivos adjuntos y conectar USB no identificadas.

Fundamentos de la Seguridad en la Red

• El acrónimo "CIA" (Confidentiality, Integrity, Availability) representa los tres pilares de la ciberseguridad.
• Confidencialidad: Solo los usuarios autorizados pueden acceder a archivos y cuentas.
• Integridad: La información es la correcta y no ha sido modificada sin permiso.
• Acceso: Se garantiza el acceso a la información y sistemas cuando sea necesario, protegiéndolos contra interrupciones o anomalías.
• Autenticación: Los sistemas determinan la identidad de quien interactúa con ellos para proteger información sensible.
• No repudio: Se asegura que el emisor no pueda negar el envío de información, y que ésta no pueda ser modificada sin ser detectada, usando firmas digitales.
• La seguridad debe abarcar todas las capas de la comunicación y es complejo garantizar que todas las medidas estén aplicadas y funcionen correctamente.
• La seguridad es un ciclo continuo en evolución debido a la multitud de factores que están en constante cambio.
• Las nuevas tecnologías y servicios, vulnerabilidades, ataques, estándares y atacantes en evolución impulsan la necesidad de adaptación constante.

Principios Clásicos de Seguridad Informática (1975)

• Economía del mecanismo: Sistemas simples son preferibles porque tienen menos fallas y minimizan la superficie de ataque.
• Denegar acceso por defecto: Es mejor definir a quién se permite acceder que definir a quién se prohíbe el acceso.
• Arbitraje completo: Se debe verificar la autoridad para acceder a cada recurso
• Mínima autoridad: Los sistemas deben tener solo los privilegios mínimos necesarios.

NIST Cybersecurity Framework

• El NIST (National Institute of Standards and Technology) lanzó un marco con cinco funciones básicas para la ciberseguridad.
• El framework tiene como objetivo: identificar, proteger, detectar, responder y recuperar ante incidentes de ciberseguridad.
• Los sistemas e información que se protegen tienen vulnerabilidades que los hacen susceptibles los ataques.
• Es importante definir los tres pilares para mantener la seguridad como son: Riesgo, Amenaza y Vulnerabilidad

Riesgo, Amenaza y Vulnerabilidad

• El riesgo es la probabilidad de que ocurra un incidente de seguridad, causando pérdidas o daños, asumiendo vulnerabilidades ante amenazas.
• Una amenaza es una acción que puede tener un efecto negativo sobre un activo, afectando su disponibilidad, confidencialidad o integridad.
• Para una amenaza materializarse, debe existir una debilidad o fallo en el sistema.

Fuentes Comunes de Amenazas

• Malware o código malicioso: Troyanos, ataques dirigidos, virus, gusanos, rootkits, ransomware, spyware, adware o keyloggers.
• Ingeniería social: Persuasión y engaño para obtener información confidencial (phishing).
• APT (Amenazas Persistentes Avanzadas): Ataques dirigidos coordinados para robar o filtrar información, ayudándose de ingeniería social.
• Botnets: Equipos infectados utilizados para ataques distribuidos de denegación de servicio (DDoS).
• Redes sociales: Su uso no controlado puede dañar la reputación de la empresa.
• Servicios en la nube: Se tiene que garantizar que se cumplan con los criterios de seguridad como si estuviesen instalados localmente.

Vulnerabilidad

• Las debilidades o fallos en los sistemas son las vulnerabilidades, que pueden ser de diseño, arquitectura o configuración y estándares de uso.
• No se confía en la seguridad por oscuridad, sino que en la difusion de la vulnerabilidad
• Tiempo de reacción: El tiempo que transcurre hasta que se lanza un parche o actualización.
• Día cero: Cuando una vulnerabilidad es conocida por el público masivo.

Bases de Datos de Vulnerabilidades

• Existen bases de datos donde registrar diferentes tipos de vulnerabilidades

Ejemplos de Bases de Datos de Vulnerabilidades

• CVE (www.cve.org).
• CWE (https://cwe.mitre.org/).
• NIST (nvd.nist.gov/vuln).
• CAPEC (capec.mitre.org/).
• Su misión es identificar, definir, catalogar y divulgar públicamente vulnerabilidades de ciberseguridad.
• Una vulnerabilidad permite a un atacante ejecutar comandos como otro usuario, acceder a datos restringidos, suplantar o denegar servicio.
• El Common Weakness Enumeration (CWE) es una lista de tipos de debilidades en software y hardware.
• EL CVSS es un sistema que introduce mecanismos para calcular la puntuación de cuán peligrosa es una vulnerabilidad.

Atenaza vs Ataque

• Los ataques son un mecanismo deliberado para explotar vulnerabilidades y afectar la confidencialidad, integridad o disponibilidad de un sistema.
• Diferencias entre Amenazas y Ataques: Una amenaza puede ser intencional o no, y no siempre es maliciosa, mientras que un ataque es siempre intencional y causa daño.

Incidentes de Seguridad

• Los incidentes de seguridad incluye Atacante, Ataque, que incluye Herramientas, Explota vulnerabilidades, Evento:, Resultado y un objetivo.
• EQUIPOS CERT (Computer Emergency Response Team) o CSIRT (Computer Security Incident Response Team) encargados del análisis y gestión de vulnerabilidades.
• El Procedimiento ante un incidente es: Evaluación inicial, Contener los daños, Reunir pruebas forenses, Implementar una solución temporal y Comunicación.

Organismos en España

• El CCN-CERT es la Capacidad de Respuesta a Incidentes de Seguridad de la Información del Centro Criptológico Nacional.
• INCIBE es el quipo que responde a ciberincidentes en España.

Actores de Amenazas

• Los actores de amenazas buscan aprovechar vulnerabilidades para obtener beneficios económicos, filtran la información, reputacional.
• Las categorías de actores de amenaza son: Estados/naciones, Ciberterroristas, Crimen organizado, Hacktivistas, Lobos solitarios, e Insiders.

Ciberseguridad en la Industria

• Se protege Sistemas de Control Industrial (SCI) y la Internet de las Cosas en entornos industriales (IIoT).
• Actualmente sufren de vulnerabilidades que deben ser estudiadas.
• Las arquitecturas industriales son formadas por dispositivos diseñados específicamente para medios industriales, y sus características más típicas son:Alta fiabilidad, Soportar condiciones extremas, Larga vida útil.
• Los dispositivos industriales más comunes son: PLC, HMI, SCADA, DCS y SIS.
• Debido al preocupante crecimiento de ciberataques, es necesario una buena gestión para conectar estos dispositivos.
• Se está investigando y creando métodos para permitir que estas conexiones sean más seguras.
• El modelo Purdue es la segmentación y gestión de las redes SCI y se siguen referencia el concepto de red industrial PERA (arquitectura de referencia empresarial de Purdue) de la normativa ISA-95.

Modelo Purdue

• Dispositivos de campo: son los Dispositivos en Nivel 0: sensores y actuadores.
• Nivel 1: PLC que permiten controlar los actuadores y sensores.
• Nivel 2:Activos que controlan y monitorizan las actividades.
• Nivel 3:Gestiona el funcionamiento de la planta, con servidores, estaciones de ingeniería y accesos remotos.
• Nivel 3.5 (DMZ): Separa y permite evitar, o por lo menos dificultar, que los ciberataques producidos en la parte IT pasen a la zona OT o viceversa.
• Nivel 4: sistemas IT que soportan los procesos de producción en la planta.
• Nivel 5: donde se encuentra una red corporativa.
• Defensa en Profundidad (DiD):Un solo mecanismo/producto no puede proteger toda una red así que esta defensa se basa en redundantemente colocar recursos defensivos.

Partes en la Defensa en Profundidad a nivel de Red

• Políticas y procedimientos: proporciona dirección al programa de seguridad.
• Física: es aconsejable limitar el acceso físico.
• Seguridad de red: se utilia segmentando la red y uso de firewalls.
• Equipo: Se utiliza protegiendo y gestionando parches, la eliminación de aplicaciones innecesarias o asegurar los puertos.
• Aplicación: Donde los usuarios interactúan a través de API, portales, etc.
• Dispositivo: Usar parcheo, restricciones de acceso tanto lógico como físico o hardening es importante.

Gusano Stuxnet

• Cambió el paradigma del malware en 2010 y buscaba reprogramar los sistemas industriales SCADA para que las PLC no hicieran lo que debían.
• Era el primer gusano en hacer uso de rootkits para sistemas PLC y buscaba máquinas con el software Siemens Step 7.
• El gusado se aprovechó de una vulnerabilidad de Windows que había sido corregida en 2008 y atacó las centrales nucleares de Irán.

Normativa Sobre Seguridad

• Esquema Nacional de Seguridad ENS (Regulado por el Decreto 311/2022) remplaza al Real Decreto 3/2010
• El tiene Objetivos: Crear las condiciones necesarias de seguridad electrónica, la gestión continuada de la seguridad, la prevención y corrección,el tratamiento homogéneo de la seguridad.
• El mandato principal del ENS es el establecido en el artículo 12 que el organismo publico cuenta con un sistema que gestione y proteja la información.
• El ámbito de aplicación del Esquema Nacional de Seguridad comprende a todo el Sector Público, los sistemas que tratan información clasificada y a las privadas.
• Para que la seguridad sea aplicada como norma: Seguridad tiene que ser proceso integral, con la Gestión de la seguridad basada en los riesgos, Prevención, detección, respuesta .

Adecuación ENS

• Preparar y aprobar la política de seguridad con: Objetivos de la organización, marco regulatorio, La definición de roles de seguridad, La estructura del comité y Los riesgos derivados del tratamiento de datos personales.
• Para categorizar sistemas y valorar información hay que seguir un análisis de riesgos.
• El Preparar y aprobar la Declaración de aplicabilidad está en anexos del ENS.
• Instrumentos: Guías CCN STIC, El CCN, Magerit y la Infraestructura interna
• Normas ISO 27000 son un conjunto guías para la implantación de los Sistemas de Gestión de la Seguridad de la Información: Tiene que haber una confidencialidad, integridad y disiponibilidad en sistemas SGSI.
• Es importante destacar que cada organización debe implantar con éxito un SGSI .
• Los principales ORGANOS que influyen la seguridad :
• Instituto Nacional de Ciberseguridad (Incibe).
• Centro Criptológico Nacional.
• Agencia de la Unión Europea para la Ciberseguridad