Mòdul 11 Seguretat i Alta Disponibilitat PDF

Summary

Aquest document presenta una introducció als conceptes de seguretat informàtica, elements vulnerables i mesures de seguretat. Inclou aspectes com la seguretat física i lògica, i diversos mecanismes relacionats.

Full Transcript

Mòdul 11 Seguretat i alta disponibilitat UF 1 – Principis de seguretat i alta disponibilitat 1. Introducció 2. Elements vulnerables 3. Mesures de seguretat 1. Introducció La seguretat informàtica pretén assegurar els recursos del sistema d’informació d’una org...

Mòdul 11 Seguretat i alta disponibilitat UF 1 – Principis de seguretat i alta disponibilitat 1. Introducció 2. Elements vulnerables 3. Mesures de seguretat 1. Introducció La seguretat informàtica pretén assegurar els recursos del sistema d’informació d’una organització de manera que l’accés i modificació de la informació es realitzi a través dels protocols establerts. 1. Introducció Els seus objectius són:  Detectar els possibles problemes i amenaces de seguretat minimitzant els riscos.  Garantir l’ús correcte dels recursos.  Limitar les pèrdues. Recuperació del sistema.  Complir amb el marc legal. 1. Introducció Per tant, la seguretat informàtica, és el conjunt de regles i normes que permeten assegurar el sistema de informació d’accessos no autoritzats garantint així, la informació. 1. Introducció Seguretat física. En aquest cas protegirem hardware tenint en compte la ubicació física. Ens defensarem de fenòmens meteorològics, amenaces, fallades a la xarxa elèctrica... 1. Introducció Seguretat lògica. En aquest cas protegirem les dades i el SO. Ens defensarem de malware, pèrdua de dades i atacs informàtics. 1. Introducció Seguretat activa. Mesures preventives. Són les accions prèvies a un atac. Gràcies a elles intentarem evitar-lo. 1. Introducció Seguretat passiva. Mesures correctives. Minimitzen els danys causats. Són les que s’activen un cop l’atac ja ha ocorregut. Ens permetrà recuperar-nos el més aviat possible. 1. Introducció Conceptes:  Fiabilitat  Integritat  Disponibilitat  Confidencialitat  No rebuig 1. Introducció La fiabilitat és la probabilitat que té un sistema de comportar-se tal i com s’espera d’ell. Per tant, parlarem de sistemes fiables i no de sistemes segurs. La integritat permet comprovar que no s’ha produït cap manipulació sobre la informació original. 1. Introducció La disponibilitat assegura que el sistema estigui sempre disponible de manera que, quan els usuaris ho necessitin, puguin accedir a ell. La confidencialitat assegura que les dades només puguin ser consultades per usuaris autoritzats del sistema. 1. Introducció La no rebuig permet provar la participació de les parts d’una comunicació. Intenta evitar que cap de les dues parts negui la participació en la comunicació. Capacitat de demostrar que l’emissor és qui diu ser. 1. Introducció La confidencialitat disposa de tres mecanismes:  Autenticació: assegura que l’usuari que intenta accedir al sistema és qui diu ser.  Autorització: un cop algú s’ha autenticat es defineixen els privilegis sobre la informació.  Xifrat de la informació. 1. Introducció L’autenticació permet demostrar que l’usuari és qui diu ser. Es basa en tres criteris:  Una cosa que sabem. (Clau de pas)  Una cosa que tenim. (Targeta)  Una cosa que som. (Empremta) 1. Introducció L’autenticació serà més fiable si compleixen diferents criteris AAA.  Authentication, Authorization and Accounting.  e2e.  Alta disponibilitat. 1. Introducció Accounting: És la informació que genera un sistema sobre si mateix. Registres amb l’ús de registres, serveis, etc. Aquesta informació s’hauria d’emmagatzemar a una màquina diferent. (Possibles atacs). E2e: Extrem a extrem. La seguretat s’ha de controlar durant tota la comunicació, per tant, establirem protocols des de l'emissor fins al receptor. 1. Introducció Alta disponibilitat. Assegura que els serveis estiguin sempre operatius amb l’objectiu de mantenir el sistema en constant funcionament.  Interrupcions previstes.  Interrupcions imprevistes. 1. Introducció Disponibilitat Confidencialitat Integritat Autenticació No rebuig 1. Introducció Els mecanismes per aconseguir una bona disponibilitat, confidencialitat, autenticació, integritat i no rebuig són:  Auditoria. Comprova que el sistema funcioni correctament.  Encriptació. Oculta la informació transmesa per la xarxa.  Còpies de seguretat. 1. Introducció Els mecanismes per aconseguir una bona disponibilitat, confidencialitat, autenticació, integritat i no rebuig són:  Antivirus.  Tallafocs.  RGPD, LSSI-CE.  Servidor Proxy.  Signatura electrònica o certificat digital. 2. Elements vulnerables Els elements vulnerables o també anomenats actius són tots aquells components que hem de protegir. L’actiu més important és la informació. Ens interessarà protegir:  Hardware  Dades  Software  Comunicacions 2. Elements vulnerables Es necessita, doncs, un sistema que sigui capaç de protegir tots els actius informàtics d’una empresa. Això es farà mitjançant normes i mesures de seguretat. 2. Elements vulnerables Respecte el hardware intentarem:  Que no es pugui extreure cap component dels equips.  Els portàtils hauran d’aplicar un xifrat de disc dur i emprar claus de pas actualitzades.  Evitar introduir equips no autoritzats al sistema.  Aplicar un manteniment preventiu. 2. Elements vulnerables Els equips hauran de tenir el software estrictament necessàries i actualitzades.  Evitarem software innecessari.  Dotarem els equips amb un antivirus.  Reduirem els privilegis d’instal·lació dels usuaris.  Desactivarem l’autoarrancada a través d’USB o CD. 2. Elements vulnerables Moltes empreses maqueten els seus equips abans de ser entregats als usuaris. Això consisteix en fer una instal·lació prèvia del software necessari. Permet:  Estalvi de temps a l’usuari.  Assegurar un software actualitzat i confiable.  Equip de l’empresa homogeni. 2. Elements vulnerables Les dades han d’estar protegides.  Si les perdem... no podrem treballar.  Si els aconsegueix la competència... Un concepte que s’ha obert camí dins del món empresarial és “l’oficina sense papers”. 2. Elements vulnerables La transmissió de dades es farà per canals xifrats. El fitxer també ha d’estar xifrat. Haurem de controlar la connexió a la xarxa d’empresa en el cas de teletreball. Haurem de protegir i configurar el correu corporatiu de manera que reduirem l’arribada de correu spam o publicitat. 3. Mesures de seguretat Les mesures de seguretat han de poder arribar a tots els elements del sistema i sempre a través d’un conjunt de protocols i normes que compleixin la normativa legal. 3. Mesures de seguretat Hardware Sistema Operatiu Comunicacions Físiques Organitzatives Legals 3. Mesures de seguretat Com ho aconseguirem?  Seguretat passiva: física, ambiental i còpies de seguretat.  Seguretat lògica: control d’accés, gestió de sistemes operatius, antivirus i xifratge. 3. Mesures de seguretat Com ho aconseguirem?  Seguretat de xarxes corporatives: protocols, tallafocs, proxys, etc.  Configuració d’alta disponibilitat: redundància, RAIDs, balanceig de càrrega, etc.  Normativa legal. 3. Mesures de seguretat Haurem de detectar:  Vulnerabilitats  Reconegudes  No reconegudes  Amenaces 3. Mesures de seguretat La vulnerabilitat és un defecte d’aplicació que pot ser aprofitat per algun atacant amb l’objectiu de realitzar accions malicioses sobre un sistema. L’aplicació que aprofita aquesta vulnerabilitat s’anomena malware i pren el control del sistema (exploit). 3. Mesures de seguretat Ens podem trobar amb diferents tipus de vulnerabilitats:  Reconegudes pel subministrador del software. En aquest cas es disposa d’un pedaç que el soluciona.  Reconegudes pel subministrador del software però en aquest cas no existeix cap pedaç. Es facilita una solució temporal (workaround).  No reconegudes. 3. Mesures de seguretat Les amenaces són aquells fenòmens o accions que poden afectar el nostre sistema. La majoria d’atacs al nostre sistema seran provocats per atacants que ocasionaran greus pèrdues al nostre sistema. 3. Mesures de seguretat Podem trobar:  Atacants passius. Tafanegen les dades però no les destrueixen.  Atacants actius. Provoquen danys al nostre sistema i el modifiquen. 3. Mesures de seguretat Les amenaces físiques i ambientals són les que acostumen a afectar les instal·lacions i el hardware. Aquest és el primer nivell a protegir. Les amenaces lògiques inclou el malware que poden provocar danys al nostre sistema. 3. Mesures de seguretat Les amenaces lògiques inclou el malware que pot provocar danys al nostre sistema.  Eines de seguretat. Detecten errors al sistema, es poden fer servir per aprofitar-los.  Rogueware. Falsos antivirus.  Backdoors. Portes d’accés ocultes. 3. Mesures de seguretat Inclou també:  Virus. Codi executable que actua sobre el nostre sistema.  Cuc. Programa capacitat per autoreplicar-se i propagar-se per la xarxa.  Troyà. Aplicacions que oculten funcions que l’usuari no espera. 3. Mesures de seguretat Inclou també:  Bactèria. Aplicacions que no fan cap funció útil més que autoreplicar-se.  Canals coberts. Canals de comunicació que permeten a un procés transferir informació de manera no autoritzada. 3. Mesures de seguretat Per evitar segons quines situacions, el responsable en seguretat haurà de:  Localitzar els actius a protegir.  Crear plans d’actuació enfront desastres.  No instal·lar software innecessari.  Mantenir-se al dia d’informes de seguretat. Informar-se. 3. Mesures de seguretat Per evitar segons quines situacions, el responsable en seguretat haurà de:  Gestionar mecanismes d’actualització automàtica.  Formar usuaris.  Revisar els logs del sistema. 3. Mesures de seguretat Per evitar segons quines situacions, el responsable en seguretat haurà de:  Contractar, si és necessari, auditoria externa.  Revisar els equips connectats.  Revisar els usuaris del sistema. Tenim extreballadors? 3. Mesures de seguretat També podem realitzar auditories. Les auditories permeten fer un anàlisi dels sistemes per identificar i corregir les vulnerabilitats d’un sistema. Els resultats obtinguts es redacten, s’arxiven i es donen a conèixer als responsables de la seguretat del sistema. 3. Mesures de seguretat Els objectius de les auditories són:  Revisar la seguretat.  Verificar el compliment de la normativa.  Elaborar un informe independent. 3. Mesures de seguretat Les auditories es fan en base d’un conjunt de normes i estàndards suggerits:  Normativa ISO/IEC 27002:2017. Codi de bones pràctiques sobre la gestió de la seguretat de la informació.  Normes ITIL (Information Technology Infrastructure Library). Orientades a la gestió de serveis de tecnologies de la informació. 3. Mesures de seguretat Per fer una auditoria hem de realitzar una sèrie de passos:  Enumeració dels SO, serveis, aplicacions, etc.  Detecció i avaluació de les vulnerabilitats.  Mesures de correcció.  Recomanacions sobre la implantació de mesures preventives. 3. Mesures de seguretat Podem classificar les auditories segons:  Seguretat interna. S’estudia l’interior de la xarxa.  Seguretat perimetral. S’estudia la connexió de la xarxa interna amb les xarxes públiques. 3. Mesures de seguretat Podem classificar les auditories segons:  Test d’intrusió. S’intenta accedir al sistema.  Anàlisis forense. Anàlisis posterior a un atac.  Auditoria al codi d’aplicacions. Analitza el codi del software. Moltíssimes gràcies per la vostra atenció!

Use Quizgecko on...
Browser
Browser