Sistemas de detección de intrusiones (IDS)

Tema 6: Seguridad en Redes Corporativas

• El tema cubre la seguridad informática y la seguridad en redes corporativas.
• Se exploran las amenazas y ataques, sistemas de detección de intrusos (IDS), riesgos potenciales en servicios de red, redes privadas virtuales (VPN), protocolos de cifrado como TLS/TTL, comunicaciones seguras, redes inalámbricas y firma digital.
• Los objetivos incluyen valorar peligros derivados de la conexión a redes, entender el funcionamiento de VPNs, adoptar medidas de seguridad en redes corporativas cableadas e inalámbricas, comprender la importancia de puertos de comunicaciones y amenazas en protocolos no seguros, y usar protocolos y aplicaciones seguras de comunicación.

6.1 Amenazas y Ataques

• Los ataques e intrusiones a través de redes públicas y privadas son cada vez más frecuentes, causando costosas interrupciones, pérdidas de trabajo, información y dinero.
• Muchos ataques pasan inadvertidos por largos periodos, publicitándose solo por su impacto en usuarios o clientes.
• Tipos de amenazas en comunicaciones:
  • Interrupción: deja inutilizado un servicio/objeto de comunicaciones.
  • Interceptación: un elemento no autorizado accede a un servicio/objeto.
  • Modificación: se cambia o destruye un servicio/objeto.
  • Fabricación: se persigue un objeto/servicio similar al que se ataca.
• Se pueden controlar los tipos de ataque desde el navegador.
• Se recomienda eliminar una infección con programas que realicen análisis en tiempo real.
• Se aconseja navegar por páginas con certificados de seguridad y no introducir datos en páginas que puedan ser robados.
• Se aconseja bloquear el acceso a páginas con contenido potencialmente peligroso.
• Ataques de Denegación de Servicio (DoS) interrumpen, provocando inaccesibilidad a recursos y pérdida de conectividad por consumo de ancho de banda o sobrecarga.
• Bootnets o redes zombi controlan computadoras para saturar servidores.
• Sniffing es una técnica de intercepción donde se rastrea y se intercepta el tráfico de red para obtener información confidencial.
• Un ataque de "Man in the middle" interfiere en la comunicación falsificando la identidad y recibiendo tráfico en ambos sentidos.
• Pharming consiste en modificar tablas DNS, redirigiendo un nombre de dominio a una máquina IP fraudulenta.
• Las amenazas pueden ser externas (atacando servidores y routers de acceso) o internas (acceso sin permiso, comprometiendo la seguridad).
• Para protegerse de amenazas internas se recomienda:
  • Un buen diseño de la red corporativa.
  • Políticas de administración de direccionamiento estático.
  • Monitorización del tráfico de la red.
  • Modificación de configuraciones de seguridad.
  • Máximo nivel de seguridad en redes inalámbricas.

6.2 Sistemas de Detección de Intrusos (IDS)

• Un IDS (Intrusion Detection System) es una herramienta de seguridad que monitoriza los eventos que ocurren en un sistema informático.
• Los IDS disponen de una base de datos de firmas de ataques conocidos.
• Analizan el tráfico de red buscando patrones sospechosos y actividad sospechosa.
• Examinan paquetes de datos sospechosos pero no detienen el ataque.
• Se encargan de buscar patrones sospechosos en tiempo real.
• Analizan el tráfico entrante y saliente para garantizar vigilancia.
• Trabajan con firewalls.
• Snort y Symantec Intruder Alert son ejemplos de implementaciones.
• Tipos de IDS:
  • Host IDS: Protegen un único PC o host, monitorizando eventos con gran precisión.
  • Net IDS: Protegen un sistema capturando y analizando paquetes de datos en la red.
• La arquitectura de un IDS incluye:
  • Fuente de recogida de datos como un "log"
  • Reglas y filtros sobre datos para detectar anomalías de seguridad.
  • Generación de informes y alarmas.
• Se recomienda poner un IDS delante del cortafuegos perimetral y otro detrás.

6.3 Riesgos Potenciales en los Servicios de Red

• El protocolo TCP/IP es esencial para la comunicación entre ordenadores en Internet.
• TCP/IP asigna puertos de comunicación para identificar conexiones en red.
• Los servicios de red tienen puertos conocidos asignados.
• Ejemplos de puertos y servicios:
  • FTP: 21
  • SSH: 22
  • SMTP: 25
  • DNS: 53
  • HTTP: 80
  • POP3: 110
  • IMAP: 143
  • HTTPS: 443
  • IMAP SSL: 993
  • POP SSL: 995
• El análisis de los puertos se puede realizar localmente, observando conexiones a puertos y aplicaciones, usando el comando netstat, y cortafuegos.
• En la administración de red se ve qué puertos y en qué estado se encuentran, con nmap, firewalls y proxys que ofrecen seguridad.

6.4 Redes Privadas Virtuales (VPN)

• Una VPN (Red Privada Virtual) extiende una red local de forma segura sobre una red pública como Internet, para conectar sedes de una empresa o permitir conexiones remotas para mantenimiento.
• Los datos viajan cifrados y sólo pueden descifrarse por emisor y destinatario.
• Principios que garantizan el tráfico seguro en la red:
  • Autenticación y autorización.
  • No repudio.
  • Integridad.
  • Confidencialidad.
• Tipos de VPN:
  • Túneles seguros (Tunneling).
  • VPN de Acceso remoto (Acceso a los recursos disponibles desde ubicaciones remotas).
  • VPN Punto a Punto (Conexión con servidor VPN a Internet para aceptar conexiones de diversos sitios, creando un túnel).
• Formatos de implementación:
  • Hardware (más fácil de configurar y mejor rendimiento).
  • Software ( más compleja configuración, más posibilidades, sacrifica rendimiento).
• ¿Cómo se garantiza con una VPN la comunicación?
  • Mediante la autenticación de equipos y usuarios.
  • Mediante funciones hash como MD5 у SHA.
  • Algoritmos de cifrado DES, 3DES y AES.
  • Los mensajes deben ir firmados (no repudio).
• Arquitecturas de conexión VPN:
  • VPN de acceso remoto desde sitios remotos.
  • VPN punto a punto que conecta oficinas con sede central.
  • VPN over LAN que aísla zonas de la LAN de una empresa.

6.5 Protocolos de Cifrado. TLS/TTL

• El cifrado en Internet es garantía de seguridad.
• La navegación en internet puede ser interceptada y/u obtener malware.
• TLS (Transport Layer Security) o Seguridad de la capa de transporte (nivel 4 modelo OSI) es sucesor de SSL (Secure Socket Layer), para el cifrado en Internet.
• HTTPS tiene cifrado basado en TLS/TTL.
• Es importante diferenciar http:// de https://
• Tipos de políticas de implementación del firewall:
  • Políticas restrictivas (impide todo tráfico no autorizado en la configuración).
  • Políticas permisivas (permite todo salvo lo expresamente prohibido).
• La configuración del firewall depende del programa. Windows Vista y Windows 10 tienen firewall con seguridad avanzada.
• En la configuración el firewall se permite o no el tráfico de determinadas aplicaciones.
• La instalación de un firewall por hardware es más compleja.
• Se accede al router vía navegador a una dirección IP.
• Las direcciones IP están formadas por cuatro campos (ej:255.43.67.129).
• Para acceder al router se usa una IP interna (ej: 192.168.x.x).
• Se puede configurar el firewall para que funcione en horarios determinados.
• Se deben revisar los archivos log para detectar ataques frecuentes.

6.6 Comunicaciones Seguras

• Se buscan alternativas para establecer comunicaciones seguras en los sistemas con cifrado:
• La mayoría de comunicaciones en la red como HTTP, FTP o SMTP/POP no emplean cifrado.
• Hay protocolos que emplean comunicaciones cifradas como SSH.
• SSH (Secure Shell. Intérprete de órdenes seguras).
• SSL y TLS: Secure Sockets Layer y Transport Layer Security.
• IPSEC (Internet Protocol Security).
• Las listas de control de acceso son un elemento más en la seguridad de las redes y se utilizan para permitir el acceso de los usuarios a determinadas aplicaciones.
• Controlan el tráfico en routers y switches.
• La mayoría de routers estándar incluyen software para manejar listas de acceso.
• Las listas de control de acceso están en la configuración de proxys de red.
• Prácticas seguras en la red:
  • Contraseñas seguras.
  • El administrador nunca debe saber las contraseñas de los usuarios.
  • Utilizar la máxima longitud de caracteres permitida en cada situación.
  • Evitar palabras del diccionario.
  • Una contraseña segura a partir de ocho caracteres.
  • Usar los programas gratuitos para generar contraseñas.
• El protocolo estándar que utiliza VPN es IPSEC.
• Dos tecnologías para crear VPN's:
  • PPTP Point to Pont Tunneling Protocol. Para Microsoft.
  • L2TP Layer Two Tunneling Protocol. Para Windows, Mac, Linux, etc.

6.7 Redes Inalámbricas

• Las redes Wi-Fi se basan en los estándares IEEE 802.11.
• Envían información con señales de radiofrecuencia por el aire.
  • Alcance teórico: 100 metros.
  • Alcance real: varios kilómetros, dependiendo de obstáculos, potencia de transmisión, sensibilidad de recepción y uso de antenas.
• Las comunicaciones inalámbricas dan conectividad 24h, en cualquier lugar, son de instalación económica y escalables.
• Los rangos del espectro de radiofrecuencia son de uso público y pueden interferir.
• La seguridad permite que cualquier dispositivo intercepte comunicaciones.
• Las técnicas de encriptación y autenticación ayudan a proteger a las comunicaciones inalámbricas.
• Clasificación de los ataques en redes Wi-Fi:
  • Ataques de denegación de servicio (DoS).
  • Intercepción de las comunicaciones.
  • Inyección de tráfico en la red Wi-Fi.
  • Acceso a la red Wi-Fi.
• Sistemas de seguridad en WLAN:
  • Sistema abierto.
  • WEP. Wired Equivalent Privacy (claves de 13 o 5 caracteres).
• WPA o acceso protegido Wi-Fi, para corregir deficiencias de WEP.
  • WPA empresarial (con servidores RADIUS).
  • WPA Personal (con clave precompartida).
• Wi-Fi:
  • Reducir el alcance de la señal.
  • No configurar la red Wi-Fi como oculta.
  • Utilizar WPA2-AES Personal (PSK) o Enterprise (802.1x-EAP).
• La administración de los puntos de acceso, cambiado la contraseña por defecto y actualizando el firmware, asegurará la WLAN.

Recomendaciones de seguridad en WLAN

• Mejorar la seguridad de los datos transmitidos usando encriptación WEP o WPA/WPA2 o servidores RADIUS, cambiando las claves con frecuencia.
• Cambiar el SSID por defecto y desactivar el broadcasting SSID.
• Realizar una monitorización y administración minuciosa.
• Desactivar el servidor DHCP.
• Activar el filtrado de conexiones permitidas mediante direcciones MAC.
• Establecer un número máximo de dispositivos que pueden conectarse.
• Analizar periódicamente si los usuarios conectados verificando sus autorizaciones.
• Desconectar el punto de acceso cuando no se use.
• Actualizar el firmware del dispositivo para evitar vulnerabilidades.
• Clientes Wi-Fi:
  • Actualización del sistema operativo y controlador Wi-Fi.
  • Deshabilitar el interfaz Wi-Fi cuando no se está utilizando.
  • Evitar redes Wi-Fi inseguras.
  • Mantener actualizada la lista de redes preferidas.

Este cuestionario evalúa la comprensión de los sistemas de detección de intrusiones (IDS). Abarca los tipos de IDS, su función en la seguridad de la red y su arquitectura. Evalúa la diferencia entre un firewall y un IDS.