Seguridad Lógica y Control de Acceso al Entorno Lógico - PDF

Seguridad lógica y control de acceso al entorno lógico SEGURIDAD INFORMÁTICA 05/11/2019  Tema 4. Seguridad lógica y control de acceso al entorno lógico 4.1. Principios de seguridad lógica 4.2. Control de acceso lógico 4.3. Control de acceso y niv...

Seguridad lógica y control de acceso al entorno lógico SEGURIDAD INFORMÁTICA 05/11/2019  Tema 4. Seguridad lógica y control de acceso al entorno lógico 4.1. Principios de seguridad lógica 4.2. Control de acceso lógico 4.3. Control de acceso y niveles de seguridad de los sistemas operativos 4.4. Política de usuarios y grupos 4.5. Medidas de seguridad activa: amenazas y mecanismos de defensa 4.6. Medidas de seguridad pasiva 4.7. Software malicioso 4.8. Clasificación de intrusos informáticos 4.9. Protección y desinfección 4.10. Entornos de riesgo Objetivos  Valorar la importancia del uso de contraseñas seguras como parte de la seguridad lógica.  Restringir el acceso a sistemas operativos, ficheros, carpetas y aplicaciones.  Garantizar el acceso restringido a datos y aplicaciones con políticas de seguridad.  Comprender qué es el software malicioso y sus posibles fuentes.  Identificar las nuevas posibilidades y riesgos de Internet y las redes sociales.  Diferenciar las herramientas de seguridad software antimalware existentes. 4.1. Principios de seguridad lógica El activo más importante que posee una organización son los DATOS. La seguridad lógica ofrece técnicas de protección que complementan la seguridad física. La seguridad lógica consiste en un conjunto de procedimientos que resguardan el acceso a los datos y limita su accesibilidad a las personas con la autorización pertinente.  El acceso no autorizado a los datos es la principal amenaza a la que debe hacer frente un administrador de sistemas.  La correcta administración de los permisos facilita la administración de un sistema:  Identificación.  Autenticación.  Autorización. 4.1. Principios de seguridad lógica Software: conjunto de programas que hacen posible llevar a cabo las tareas encomendadas al ordenador. ¿Qué provoca que un programa sea vulnerable? Errores de instalación o configuración. Documentación deficiente. Falta de formación adecuada Negligencia profesional. Errores de programación (bugs). Una aplicación que funciona correctamente y que guarda accesos, contraseñas o usuarios sin codificar. Retraso en la publicación de parches. Los parches son modificaciones de aquellas partes de un programa que se ha comprobado que contienen fallos. 4.1. Principios de seguridad lógica Efectos de ataques a códigos vulnerables Un ataque producido por una vulnerabilidad en el código de una aplicación puede afectar a más de una de las propiedades de la información segura: integridad, confidencialidad, disponibilidad. Pueden dejarse vías para ataques cuyo objetivo sea: Obtener información sobre el sistema, equipos, datos, sistemas operativos y aplicaciones. Obterner copia e incluso divulgar información restringida. Modificar o borrar datos. Impedir el acceso a datos a los propios usuarios con permisos. 4.1. Principios de seguridad lógica Objetivos de las técnicas de seguridad lógica  Restringir el acceso a los activos software.  Garantizar que los usuarios accede sólo a los datos y aplicaciones que necesitan.  Cuidar la integridad, confidencialidad y el no repudio en la comunicación de mensajes.  Tener la capacidad de restaurar los sistemas de información en poco tiempo después de un incidente a partir de backups, si fuera necesario.  Implementar sistemas redundantes de reparto de carga y alta disponibilidad.  Garantizar la continuidad del negocio. Todo lo que no está permitido debe estar prohibido 4.2. Control de acceso lógico  La identificación y la autenticación...  Son los dos procesos que conforman el control de acceso lógico.  Es conveniente que se realicen una sola vez por eficiencia del sistema.  Permitirán el acceso a sistema locales y remotos.  Un servidor de autenticaciones permite identificar a los usuarios y autenticarlos sobre los equipos a los que puede acceder. Ejemplo: LDAP de GNU/LINUX y Active Directory de Windows Server.  Los sistemas de control de acceso protegido con contraseña son puntos críticos de seguridad, susceptibles de recibir ataques:  Ataque de fuerza bruta.  Ataque de diccionario.  La forma de hacer frente a esos ataques es establecer un número máximo de tentativas de acceso al sistema.  4.2. Control de acceso lógico Los controles de acceso lógico pueden aplicarse sobre los sistemas operativos, las aplicaciones, las BD o cualquier otro software que lo requiera. Requisitos mínimos de seguridad de cualquier sistema.  Identificación y autenticación. Todo usuario debe identificarse de manera única.  Roles. Definir perfil de necesidades y obligaciones del usuario.  Limitaciones de servicio.  Modalidad de acceso. Lectura, escritura, ejecución, etc.  Ubicación y horario.  Control de acceso interno. Contraseñas, métodos de cifrado…  Control de acceso externo. Paso por cortafuegos, pasarelas de comunicación, …  Administración. RRHH, definición de puestos laborales.  4.2. Control de acceso lógico Una buena política de contraseñas debe…  Exigir una longitud mínima.  Combinar distintos tipo de caracteres. Una contraseña de longitud 5, en minúscula, con los 27 caracteres del idioma español supone probar 275 combinaciones Usos recomendables.  No incluir secuencias de caracteres.  No utilizar el nombre de inicio de sesión.  No utilizar palabras del diccionario.  Evitar contraseñas en blanco.  NO revelar la contraseña a nadie.  Cambiar la contraseña con regularidad.  4.2. Control de acceso lógico En qué consiste un ataque informático?  Descubrir los sistemas que componen la red en la que se encuentra el objetivo. Vulnerabilidades  Explorar las vulnerabilidades de los sistemas de la red. ATAQUE Explotación de las vulnerabilidades detectadas.  Corrupción del sistema. Conocimientos técnicos  Ocultar o eliminar rastros que prueben el ataque.  4.2. Control de acceso lógico Tipos comunes de ataque informático Herramientas de ataque informático  Acciones de reconocimiento y  Escáneres de puertos. Permite descubrimiento de dispositivos y detectar servicios instalados en sistemas. un sistema local o remoto.  Robo de información a partir de la intercepción de tráfico.  Sniffers de red. Dispositivos o aplicaciones para capturar  Modificación de contenidos en los paquetes de datos. mensajes intercambiados por la red.  Exploits. Herramientas que  Alteración de los números de secuencia buscan y explotan en los mensajes transmitidos. Análisis de tráfico de red. vulnerabilidades sobre sistemas.  Suplantación de identidad. Alteración de  Puertas traseras. Aplicaciones tablas de enrutamiento. que abren agujeros de seguridad en los sistemas, dejando puertos  Conexión no autorizada a los sistemas abiertos de red para introducir malware.  Propagación de malware.  Generadores de malware.  Alteración o destrucción de información.  4.2. Control de acceso lógico Control de gestión en la BIOS y gestor de arranque.  BIOS (BASIC Input/Output System). Es el nivel más bajo del software que configura o manipula el hardware.  En la BIOS podemos configurar cualquier parámetro referente al hardware. Conviene protegerlo y que sólo un administrador pueda cambiar su configuración. Niveles de seguridad de la BIOS  Seguridad del sistema (system). Al arrancar la máquina se nos solicitará una contraseña. Si no es correcta, el sistema no arrancará.  Seguridad de configuración de la BIOS (setup). Sólo el administrador puede modificarlo, aunque el usuario puede consultarlo. 4.2. Control de acceso lógico La manipulación de la BIOS puede originar problemas como:  Ataques de denegación de servicio.. Por ejemplo, impedir que el equipo no arranque el disco adecuado o deshabilitar parte de hardware.  Ataques de suplantación. Pro ejemplo, arrancar un disco alternativo que simule al original y que contenga un software que comprometa la privacidad de los usuarios.  Pérdidas o fugas de información. Por ejemplo, arrancar con LiveCD y que se copien los datos del sistema objetivo, o que se formateen sus particiones, También podría llegar a suplantar contraseñas de cuentas privilegiadas.  El control más utilizado es la contraseña asociada a una cuenta de usuario aunque también hay controles de acceso por huella dactilar.  Las herramientas de acceso al sistema operativo van a servir para auditar el sistema de credenciales de acceso al sistema y comprobar así su fortaleza. 4.3. Control de acceso y niveles de seguridad de los sistemas operativos Estándar TCSEC No cumple ninguna especificación de seguridad. No cumple ninguna especificación de seguridad. Auditoría de intentos fallidos de accesos sin autorización. Seguridad multinivel repartida entre capas del SO. Gestiona herencia de permisos jerarquizados. Auditoría exhaustiva sobre las estructuras de seguridad. Procesos verificados a partir de métodos matemáticos. 4.3. Control de acceso y niveles de seguridad de los sistemas operativos Common Criteria Evalúa el uso de las funciones de seguridad pero no su correcta implantación. Analiza las funciones de seguridad a partir de un conjunto de funcionalidades Analiza las funciones de seguridad y su diseño de alto nivel. Añade al EAL3 el análisis del diseño de bajo nivel, es decir, su implantación. 4.3. Control de acceso y niveles de seguridad de los sistemas operativos Ejemplo de configuración de contraseñas seguras Algunos aspectos de seguridad y asignación de permisos a usuarios locales en Windows: Panel de control / Herramientas administrativas / Directiva de seguridad local Ahí se podrá modificar la Directiva de seguridad, auditoría de derechos de usuario o las opciones de seguridad. 4.3. Control de acceso y niveles de seguridad de los sistemas operativos Directivas de contraseñas seguras en Windows  Almacenar contraseñas usando cifrado reversible.  Forzar el historial de contraseñas, fijando el número de contraseñas a recordar.  Fijar requerimientos de complejidad de la contraseña: longitud, tipo de caracteres  Longitud mínima de la contraseña.  Vigencia mínima y máxima de la contraseña. Directivas de bloqueo de cuentas  Duración del bloqueo de cuentas.  Restablecer la cuenta de bloqueo después de x minutos.  Umbral de bloqueos de la cuenta.  4.4. Política de usuarios y grupos ¿Cómo el administrador del sistema debe definir cuentas de usuarios y asignar perfiles y privilegios de acceso a objetos del sistema? Definición de puestos. Separar funciones y otorgar el mínimo de permisos posible. Determinación de la sensibilidad del puesto. Fijar la visualización por puesto. Elección de la persona de cada puesto. Considerar la experiencia y conocimientos de los usuarios de cada puesto. Formación de los usuarios. Debe orientarse a la protección de los recursos informáticos. La definición de los permisos de acceso sobre los datos requiere haber clasificado previamente la información que deben facilitar. Los datos sensibles y las aplicaciones críticas deben priorizar la seguridad.  4.4. Política de usuarios y grupos Por ejemplo en Windows la Autenticación de accesos cuenta invitado Un usuario que consume recursos de un sistema seguro ha de disponer de una cuentas de usuario que lo identifique Por ejemplo dentro del propio sistema asignar horarios de conexión a ¿Qué tareas relacionadas con usuarios las cuentas de usuario debe gestionar un administrador de sistemas? Por ejemplo cambiar la contraseñas después de una instalación. 4.5. Medidas de seguridad activa: amenazas y mecanismos de defensa La seguridad activa la conforman el conjunto de medidas preventivas que intentan evitar los daños en los sistemas informáticos. Frente al robo…  Cifrar la información almacenada en los discos para que sea legible en caso de robo.  Utilizar contraseñas para evitar el acceso no autorizado a los datos.  En entornos con información sensible, utilizar sistemas biométricos de control. Frente a la pérdida de información…  Realizar copias de seguridad.  Utilizar sistemas tolerantes a fallos, eligiendo un sistema de ficheros del sistema operativo adecuado.  Uso de un conjunto de discos redundantes que proporciona la recuperación de los datos en tiempo real.  4.5. Medidas de seguridad activa: amenazas y mecanismos de defensa Pérdida de integridad en la Entrada de Virus información  Uso de antivirus, que intercepten  Uso de programas de chequeo del equipo. malware.  Utilizar la firma digital a través de mensajes enviados por la red. Modificaciones no autorizadas Ataques desde la red  Uso de contraseñas que no permitan el acceso a la información salvo que  Configuración de firewall, se disponga de los permisos autorizando y auditando las conexiones permitidas. adecuados.  Manejar listas de control de acceso.  Programas de monitorización.  Cifrar documentos.  Servidores proxy, autorizando y auditando las conexiones permitidas.  4.6. Medidas de seguridad pasiva La seguridad pasiva complementa a la seguridad activa. Las medidas de seguridad pasiva se ponen en funcionamiento cuando se ha producido algún percance o situación catastrófica.  Copias de seguridad. Permite recuperar información en caso de pérdida de datos  SAI Si el fallo es de tipo eléctrico, las baterías del SAI entran en funcionamiento para mantener los equipos encendidos durante un tiempo limitado.  Uso de un conjunto de discos redundantes. (Tema 8) 4.7. Software malicioso El núcleo más protegido de todo sistema de información son sus datos. Su protección se inicia en el nivel más externo de la empresa y termina donde está ubicado cada bit. Entre las amenazas que existen sobre el software destaca el propio personal de la organización porque...  Se confía en su eficacia y no siempre hay garantías de que así sea.  Es el elemento humano que más cerca está de donde residen los datos.  En ocasiones su formación es escasa respecto de los sistemas de información.  A veces cometen descuidos o negligencias.... Y esto puede provocar que se utilice a los propios empleados como intermediarios para atacar al núcleo del sistema de información. 4.7. Software malicioso Con el uso creciente de la informática, los sistemas de información se han convertido en foco de amenaza para el software malicioso.  El software malicioso (malware) tiene como principal objetivo acceder a ordenadores sin autorización.  Motivación inicial: reconocimiento público. Buscaban llamar la atención con independencia del mal que pudieran producir.  El malware supone hoy en día un negocio lucrativo. Se hacen programas malware por motivación económica.  El malware actual intenta pasar desapercibido y no llamar la atención. Virus, troyanos, Software gusanos, etc. malicioso 4.7. Software malicioso Conviene diferencias entre los códigos maliciosos según la forma de propagación. VIRUS. Código malicioso incrustado en el código de un programa anfitrión. Están dentro de archivos.exe,.bat,.src,.com… Hoy su influencia es menor que la de los gusanos o troyanos. GUSANO. A diferencia de un virus, no precisa de la intervención de personas para propagarse, lo hace de forma automática sin necesidad de alojarse en un código anfitrión. Se propaga principalmente por correo electrónico. Ejemplo: Blaster. TROYANO. Programa aparentemente legítimo e inofensivo, pero que, al ejecutarlo, le brinda a un atacante acceso remoto al equipo infectado. Un subtipo de troyano es el Backdoor, un programa cliente/servidor que abre una puerta a través del equipo cliente para entrar en el servidor. 4.7. Software malicioso Clasificación genérica del código malicioso.  Ladrones de información. Agrupa a todos los tipos de código malicioso que roban información de los equipos infectados: capturadores de pulsaciones, espías de hábitos.  Código delictivo. Ladrones de contraseñas bancarias, estafas electrónicas y falsas herramientas de seguridad.  Greyware. Agrupa al software de visualización de publicidad no deseada, espías, etc. 4.7. Software malicioso BOT MALICIOSO. Conocido también como wwwbot o robot web. Se trata de programas, en cualquier lenguaje, que pretende simular el comportamiento humano. Los bots maliciosos son troyanos con funcionalidad backdoor. Se instalan en los equipos vulnerables mediante el sistema de rastreo de Internet. Las tareas que puede realizar un boot son: Enviar spams y virus. Robar información confidencial o privada. Enviar órdenes de denegación de servicio a sitios web. Hacer click automáticamente en anuncios publicitarios que pagan por cada click efectuado. SPYWARE. Código malicioso que se instala en un ordenador con la ayuda de un virus o un troyano. Su cometido es obtener información a cerca de los usuarios de un ordenador con el objetivo de aportar esos datos a determinadas empresas para que estas pueda, por ejemplo, enviar publicidad no deseada. 4.7. Software malicioso VIRUS DE MACRO. Son virus creados dentro de un documento, no en un programa, utilizando la herramienta de macros. Al abrir el documento, la macro (virus) se incrusta en la biblioteca de macros de la aplicación que lo ejecute. Los resultados de ejecutar la macro van ligados a las posibilidades que ofrece el programa. INGENIERÍA SOCIAL. Obtener la información de las personas que la manejan, aprovechando la tendencia humana a confiar. El principal medio que se utiliza para el fraude por Internet es el email Cadenas. Son correos del estilo “reenvía esto a diez amigos o de lo contrario...”  El origen de estas cadenas se encuentra en las personas interesadas en obtener direcciones de correo electrónico para envío de spam. Correos millonarios. Apelan a la ambición humana para obtener dinero fácil. PHISING. Es un método frecuente de pescar contraseñas con la finalidad de suplantar personalidades Puede provenir de correo electrónico desconocido o de sitios web de poca confianza. 4.7. Software malicioso  4.7. Software malicioso Formas comunes de crear software malicioso.  Robar información sensible. Datos personales, contraseñas, credenciales de acceso, correos electrónicios, banca on line...  Crear una red de ordenadores infectados (bootnet). El atacante podrá así manipular y vender esos datos. Envío de spam, phising, etc.  Vender falsas soluciones de seguridad (rogueware). Creación de falsos antivirus que o hacen nada bueno.  Cifrar el contenido de los ficheros infectados,... y solicitar un rescate para que el propietario de los datos los pueda recuperar.  4.7. Software malicioso Métodos de infección  Explotando una vulnerabilidad. Si un programa de aplicación o un sistema operativo tiene una vulnerabilidad, puede explotarse para introducir programas maliciosos.  Ingeniería social. El abuso de confianza o aprovecharse de la ignorancia de otros para llevar a cabo acciones delictivas.  Por un archivo malicioso. A partir de redes P2P, páginas web, correo electrónico o spam.  Dispositivos extraibles. Son una de las vías tradicionales para infectar un sistema.  Cookies maliciosas. Monitorizan y registran las actividades de los usuarios en Internet con fines nocivos. 4.8. Clasificación de intrusos informáticos El intruso informático va más allá de crear software malicioso y ponerlo en circulación por la red, sino que selecciona sistemas informáticos o servidores web para tomar el control de los mismos mediante técnicas de hacking, generalmente en modo remoto. Clasificación de intrusos informáticos:  Hackers. Nombre genérico de los intrusos informáticos; incluso tienen un código ético. Sus motivos para entrar en un sistema son aprender, curiosear, demostrar que existen agujeros de seguridad... EN principio no pretender dañar o revelar información ni equipos.  Cracker. Utilizan las técnicas hacker en beneficio propio.  Phreaker. Son hacker en el ámbito de la telefonía. 4.8. Clasificación de intrusos informáticos Proceso de hacking El aprendizaje de las técnicas de hacking requiere tiempo y conocimientos profundos de las herramientas necesarias. El proceso lógico del hacking informático sería el siguiente:  Decidir cuál va a ser la máquina objetivo de la infiltración.  Obtener información a cerca del sistema objetivo.  Detectar las medidas de seguridad y sus vulnerabilidades., incluida la red y el ISP.  Aprovechar vulnerabilidades.  Hacerse con una cuenta de administrador para, de ese modo, controlar el sistema.  Conseguir mantener el acceso al sistema invadido.  Trabajo prudente metódico y minucioso.  4.8. Clasificación de intrusos informáticos Herramientas de hacking  Comandos del sistema operativo.  Herramientas para escanear redes y sistemas.  Herramientas para manipular redes cableadas o inalámbricas.  Herramientas de auditoría de sistemas para detectar vulnerabilidades.  Herramientas de rastreo de páginas web.  Herramientas de ataque. 4.9. Software antimalware Recomendaciones de seguridad  Mantenerse informado sobre novedades y alertas de seguridad.  Mantener actualizado el sistema operativo y los programas de aplicación.  Hacer copias de seguridad con frecuencia y guardarlas en lugar seguro.  Utilizar software legal. Ofrece más garantías.  Utilizar contraseñas fuertes que dificulten la suplantación.  Crear diferentes usuarios en el sistema, con permisos diferentes y con limitación de tiempos.  Analizar el sistema con varias herramientas  Realizar periódicamente escaneo de puertos, test de velocidad y dfe conexiones a red.  Desconfiar de las herramientas antimalware que puedan descargarse de sitios web desconocidos. 4.9. Software antimalware Las herramientas antimalware proliferan en los entornos de mayor uso (Windows), pero también las hay para entornos Linux. Los programas antivirus están diseñados para detectar, bloquear y eliminar código malicioso. Las variantes actuales que podemos encontrar son:  Antivirus de escritorio. Instalado como una aplicación, permite el control antivirus en tiempo real.  Antivirus en línea. A partir de aplicaciones web que permiten analizar el sistema instalando plugins en el navegador.  Análisis de ficheros en línea. Servicios gratuitos en línea que permiten analizar ficheros sospechosos.  Antivirus portable. No requieren instalación en el sistema y consumen pocos recursos.  Antivirus live. Arrancan y se ejecutan desde una unidad extraible: USB, CD o DVD. 4.9. Software antimalware Otras herramientas específicas  Antispyware. Son aplicaciones que se dedican a recopilar información del sistema en el que se encuentran instaladas para enviarlas por Internet a empresa de publicidad (generalmente)  Herramientas de bloqueo web. Informan de la peligrosidad de los sitios web. ¿Existe LA MEJOR herramientas antimalware?  No es fácil saber qué herramienta se ajusta mejor a las necesidades de cada organización.  Las propias empresas de desarrollo de software antimalware publican estudios comparativos, aunque conviene consultar otros.  La tasa de detección de virus puede variar de un mes a otro debido al gran número de malware que se crea.  No existe el antivirus perfecto. 4.10. Entornos de riesgo Cloud computing es un modelo que hace posible el acceso a red adecuado y bajo demanda a un conjunto de recursos de computación configurables y compartidos (por ejemplo, redes, servidores, almacenamiento, aplicaciones y servicios…). El origen del término está en el gráfico de uso común para representar Internet como si fuera una nube (cloud). Los recursos de computación (hardware y software) de estos modelos están disponibles a través de Internet. Se puede atacar un equipo mediante correo electrónico, mensajería instantánea, canales de chat y por dispositivos extraíbles. Los entornos Web 2.0 suponen un nuevo medio para ejercer la ciberdelincuencia. 4.10. Entornos de riesgo El Cloud Computing se considera el esqueleto de la Web 2.0. Son cada vez más las empresas que almacenan sus datos fuera de sus servidores y que contratan servicios de almacenamiento en grandes centros de proceso de datos. Incluso hay empresas que sólo disponen de terminales conectadas a servidores externos. Existen servidores de juegos, de correo electrónico o de gestión de redes sociales instalados en data centers. Los grandes centros de datos disponen de medidas de seguridad redundantes, tanto física como lógica, lo que supone una garantía para las empresas que contratan ese servicio. Uno de los objetivos de los intrusos informáticos es desafiar la seguridad de estos centros de datos. 4.10. Entornos de riesgo Redes Sociales Las redes sociales han supuesto uno de los principales booms acaecidos en los últimos años: profesionales, de contenidos, de entretenimiento... Las redes sociales son un foco de atracción de millones de usuarios. Se convierten así en un atractivo entorno de distribución de código malicioso. Algunos de los principales peligros que se ciernen sobre las redes sociales son: El robo de identidad. El ataque por medio de virus. El intercambio de software, que puede incluir código malicioso 4.9. Entornos de riesgo Nombres de dominio Los nombres de dominio son otro de los objetivos del hacking. Debido a que cada nombre de dominio lleva aparejada una dirección IP, atacando a los servidores DNS un hacker puede deshacer esa asociación y desviar el tráfico a otro página de apariencia legal. Esto se conoce como pharming. Páginas web Navegar por Internet no está exento de peligro de infección de virus. Cualquier página, incluso legítima, puede ser atacada por hackers que la infecten con código malicioso. El tiempo que se tarda en detectar una infección es tiempo durante el cual se pueden infectar muchos equipos que naveguen por dicha página.