|
|
Índice 1. Introducción 2. Metodologia
dedesarrollo 3. Ejemplos de aplicaciónde
Políticas 4. Otros métodos
deAutenticación. 5. Seguridad de los módemsde
acceso telefónico. 6. Conclusiones 7.
Bibliografía 1. Introducción Definición de una INTRANET: Es
una infraestructura basada en los estándaresy tecnologías de Internet que
soporta el compartir información dentro de ungrupo bien definido y
limitado. Problema: Aunque una INTRANET
sea una red privada en la que se tengan gruposbien definidos y limitados
ésta no se encuentra exenta de ataques que pudiesenponer en riesgo la
información que maneja, ya que la mayoría de éstos sonprovocados por sus
mismos usuarios. Antecedentes: La mayoría de
las estadísticas de seguridaden cómputo indican que cerca del 80% de los
fraudes relacionados con lascomputadoras provienen de los usuarios
internos, por esto las intranets son lasmás vulnerables a ataques de ésta
índole. Según el CSI (Computer
security institute) de San Franciscoel 90 % de las empresas entrevistadas
detectaron ataques a sus computadoras, el70 % reporto que los más comunes
fueron virus, robo de laptops y ataques deabuso de la red de sus
empleados. Ref [9] , [10] , [11] Modelo de la
Solución: ¿Qué son las políticas de
seguridad? Políticas de seguridad son los
documentos que describen,principalmente, la forma adecuada de uso de los
recursos de un sistema de cómputo,las responsabilidades y derechos tanto
de usuarios como administradores,describe lo que se va a proteger y de lo
que se esta tratando de proteger, éstosdocumentos son el primer paso en la
construcción de Firewalls efectivos. Laspolíticas son parte fundamental de
cualquier esquema de seguridad eficiente.Ref [7] ¿Cómo establecer políticas de
seguridad para una INTRANET. 2. Metodologia de
desarrollo Un esquema de políticas de
seguridad debe llevar ciertospasos, para garantizar su funcionalidad y
permanencia en la institución que.Nuestra propuesta es seguir los pasos
detallamos a continuación: Preparación – Es la
recopilación de todo tipo dematerial relacionado con cuestiones de
seguridad en la organización: ¿Qué quiero proteger? Mis
recursos: Personal, información,hardware, software, documentación,
consumibles, etc. Hacer preguntas relacionadas
con el uso externo: por ejemplo: ¿Necesitará la intranet
protección de acceso externo? ¿Se concederá a usuarios
autorizados el acceso remoto? ¿Cómo se determinará el acceso
no autorizado cuantoocurra? ¿Existen restricciones de
acceso a la informaciónimportante? Etc. Hacer preguntas relacionadas
con el uso interno: por ejemplo ¿A qué grupos, departamentos o
usuarios se les restringiráel acceso a información interna? ¿Qué constituye una brecha de
seguridad interna? ¿El sistema de seguridad
impide la productividad? ¿Cómo determina cuando el
acceso inautorizado ha ocurrido?Etc. Hacer preguntas concernientes
a la administración ¿Se planea implementar
diferentes niveles de acceso? ¿Quién está autorizado para
tomar decisiones acerca de laseguridad? ¿Se tiene un sistema de
rastreo confiable instalado? ¿Se usará el cifrado?, ¿ Será
el adecuado? Etc. ¿De quién necesito protegerlo?
De cualquiera que constituyauna amenaza, ya sea interna o externa en
cualquiera de estos rubros: ¿Qué tantos recursos estoy
dispuesto a invertir? ¿Cómo puedo / debo
protegerlo? En general, se tiene que
lograr que las políticas deseguridad cumplan con todos los servicios de
seguridad: Autenticación Confidencialidad Integridad No repudio Disponibilidad de los recursos
a personas autorizadas Control de Acceso Mientras las políticas indican
el "qué", losprocedimientos indican el "cómo". Los procedimientos son los
que nospermiten llevar a cabo las políticas. Ejemplos que requieren la
creación de unprocedimiento son: Un punto muy importante dentro
de las políticas es el quetienen que ir acompañadas de Sanciones, las
cuales deberán también serredactadas, revisadas, autorizadas, aplicadas y
actualizadas. 3. Ejemplos deaplicación de
Políticas Todos los usuarios deberán
acceder al sistema utilizando algúnprograma que permita una comunicación
segura y cifrada. Está terminantemente prohibido
ejecutar programas queintenten adivinar las contraseñas alojadas en las
tablas de usuarios de máquinaslocales o remotas El administrador del sistema
es el responsable de realizarrespaldos de la información periódicamente
Cada treinta días deberáefectuarse un respaldo completo del sistema y cada
día deberán ser respaldadostodos los archivos que fueron modificados o
creados La información respaldada
deberá ser almacenada en un lugarseguro y distante del sitio de
trabajo Control de Acceso
Físico Es uno de los controles
principales para restringir el accesofísico a los dispositivos (servidores
y estaciones de trabajo) Los componentesa menudo encontrados
son: Control de Acceso
Interno: Autenticación Básica, basada
en Usernames y Passwords Control de Acceso
Global. ¿Qué es? : El GACF se puede
usar para establecer políticasde acceso de manera global para sus
servidores web mediante el archivo deconfiguración que en los servidores
NCSA httpd y los derivados de él como losservidores apache, éste archivo
es llamado access.conf localizado en elsubdirectorio conf del
servidor. También se puede usar el GACF
para segregar áreas públicas y privadas enel servidor web acordes con
algún criterio, y solicitar un nombre de usuario yuna contraseña para el
acceso a áreas privadas. ¿Cómo se hace? Un ejemplo: #Cualquiera en el grupo
personal puede llegar al nivel másalto del árbol personal. <Directory
/usr/local/web-docs/personal> AuthType
Basic AuthName
Sólo personal AuthUserFile
/usr/local/etc/httpd/userpw (ruta completa delarchivo
password) AuthGroupFile
/usr/local/etc/httpd/ourgroup <Limit
Get> Requiere
group personal </Limit> </Directory> ref
[1] pp. 181-209 , [6] Control de Acceso
Local. ¿Qué es? El LACF permite
aplicar diferentes controles de acceso pordirectorio o subdirectorio del
árbol, normalmente el archivo es llamado.htaccess. Se puede negar el uso de los
potencialmente peligrosos SSIlos cuales causan que el servidor pueda
ejecutar comandos desde fuera cada vezque una página que los contiene es
accesada, en las paginas del usuario. Se pueden prevenir problemas
de seguridad potencialescausados por ligas simbólicas. ¿Cómo se hace? Un ejemplo: Un ejemplo: Un archivo
nombrado .htaccess en el subdirectoriopersonal / ejecutivo. AuthType
Basic AuthName
Sólo Ana AuthUserFile
/usr/local/etc/httpd/userpw (ruta completa delarchivo
password) AuthGroupFile
/usr/local/etc/httpd/ourgroup <Limit
Get> Requiere
user ana </Limit> Esto limita el acceso al
Subdirectorio Ejecutivo a un solousuario. El problema en la
Autenticación Básica es que la informaciónintercambiada entre el browser y
el servidor no esta cifrada en ninguna forma.Este método solamente
codifica no cifra la sesión de autenticación.Cualquiera que pueda
interceptar su sesión pude decodificarla y usar lainformación para accesar
a su material. Para resolver este problema el métodode Autentication
Digest. ha sido introducido. Ref [1] pp. 181-209, [6] Autenticación
Avanzada: Direcciones IP ¿Qué es?: En el contexto de la
programación en cgi-bin,cada solicitud de un documento por un browser u
otro recurso de la intranetcontiene la dirección IP de la computadora que
hizo la requisición, lo cual éstapodría ser utilizada por alguna otra
persona con fines nocivos para lainstitución. ¿Cómo se hace? <Limit
GET> order
deny, allow deny
from all allow
from personal.mycompany.com allow
from 132.1.250 </Limit> El problema aquí es que
algunos malhechores en la red pueden configurar suscomputadoras para
pretender ser alguien conocido. Para mayor seguridad se es
necesario habilitar -DMAXIMUM_DNSmientras compila el software del
servidor. ( en Apache 1.1 Hostnamelookups hacelo mismo). el servidor hará
una búsqueda inversa en la dirección IP delcliente para obtener su nombre,
después de que el nombre es recibido, elservidor le preguntará el DNS para
su IP address, si no coinciden el acceso esdenegado. Autenticación
Combinada ¿Cómo se hace? AuthType
Basic AuthName
Sólo personal AuthUserFile
/usr/local/etc/httpd/userpw (ruta completa delarchivo
password) AuthGroupFile
/usr/local/etc/httpd/ourgroup <Limit
Get> order
deny, allow deny
from all allow
from personal.mycompany.com allow
from 132.1.250 Requiere
group personal </Limit> Aquí, las reglas de control de
acceso de la IP address y delhostname son aplicadas primero. Una vez que
éstas reglas son satisfechas, seaplica la autenticación basada en
usernames/passwords al usuario. Ref [1] pp.181-209, [6] 4. Otros métodos de
Autenticación. Funciones Hash ¿Qué es? Usando el password que el
usuario teclea, el browser crea unacadena usando el password y otra
información incluyendo la AuthRealm(autenticación de dominio) y la pasa a
través de la función MD5. Esta cadenaes entonces pasada a través de la red
hacia el servidor, el cual toma lainformación almacenada en el archivo
.htpasswd para crear la misma cadena ypasarla a través de la función MD5 y
luego compara los resultados; de éstamanera no es posible obtener el
password, porque el password no esta siendoenviado. Bajo MD5 se necesita
información almacenada en el archivo.htpasswd y no se puede usar la
función crypt() sobre él. Aunque se use lafunción MD5 sobre el password
antes de almacenarlo, si se tiene el códigoalmacenado, y un pequeño
conocimiento, se puede crear un programa para usarloen lugar del password
y funcionará. La solución es reforzar los
permisos de archivos ¿Cómo se hace? Sintaxis. AuthDigestFile
/u/web/.htdigest stantdar AuthTypeDigest El AuthDigestFile es una nueva
directriz que toma dosargumentos, la ruta completa del archivo en el cual
los datos de la funcióndigest de autenticación son almacenados y el
formato del archivo usualmente estándar. Para indicar que un directorio
está protegido con MD5, seespecifica una Autenticación del tipo Digest.
Ref [1] pp. 181-209, [6] Control de Acceso
Externo. Firewalls ¿Para qué sirven? Son un tipo de seguridad muy
efectiva en redes. Intentanprevenir los ataques de usuarios externos a la
red interna. Tienen múltiplespropósitos: Un Firewall es un sistema o
grupo de sistemas que impone unapolítica de seguridad entre la
organización de red privada y el Internet. Elfirewall determina cual de
los servicios de red pueden ser accesados dentro deésta por los que están
fuera, es decir, quien puede entrar para utilizar losrecursos de red
pertenecientes a la organización. Para que un firewall seaefectivo, todo
tráfico de información a través del Internet deberá pasar através de él
mismo donde podrá ser inspeccionada la información. EL firewallpodrá
únicamente autorizar el paso del tráfico, y el mismo podrá ser inmunea la
penetración, desafortunadamente, este sistema no pude ofrecer
protecciónalguna una vez que el agresor lo traspasa o permanece entorno a
este. Un firewall es vulnerable, él
no protege de la gente queesta dentro de la red interna, éste trabaja
mejor si se complementa con unadefensa interna. Ref [13] 5. Seguridad de los módems de
acceso telefónico. La primera línea de defensa es
mantener el número de teléfonofuera del alcance de personas no
autorizadas, es decir, no publicarlo, nolistarlo en los sistemas,
etc. También se puede añadir una
contraseña de módem válidaque sea independiente y distinta de la de inicio
de sesión del sistema para quemantenga alejado a todo aquel que no la
conozca, con el comando dpasswd en elarchivo /etc/d_passwd, se puede hacer
esto. Módems con retrollamada: No
establecen inmediatamente unaconexión cuando reciban una llamada,
solicitarán información de inicio desesión. Después, el módem cortará la
conexión, y si la información escorrecta llamará de nuevo al usuario
autorizado a un número almacenad en elsistema. Hay módems que cifran la
información que envían y reciben. Existen módems silenciosos,
los cuales no enviarán la señalcaracterística de "conexión establecida"
hasta que no se hayacompletado el inicio de sesión, esto ayudará a evitar
a los que se dedican abuscar secuencias de números de teléfono de
computadoras. Ref [3] Transacciones
Seguras Cuando se usa el cifrado,
cualquier información enviada porclientes (usernames, passwords,
información confidencial.) a través de unaforma puede ser transmitida
seguramente hacia y desde el servidor web. Existen dos principales formas
de efectuar transaccionesseguras: S-http soporta: Cifrado para asegurar la
privacidad. Autenticación para los
clientes y para los servidores Firmas Digitales para la
verificación y el no repudio. Su pude controlar el acceso y
la privacidad al asignar unamejora apropiada de seguridad para cada
transacción entre el servidor y losclientes. Las posibles mejoras pueden
ser: Firma Cifrado Firma y Cifrado La mejora que se quiera
aplicar depende de la cantidad deseguridad requerida. Se pueden aplicar
mejoras a la seguridad de las siguientesformas: Al especificar atributos
S-http en las Hiperligas Los browsers del cliente
seguros necesitan saber cuandocifrar o firmar un documento, por lo que la
presencia del protocolo shttp://alerta a un cliente para que todos los
requerimientos usando ésta liga debenconformar las mejoras de seguridad
incluidas en la liga. Se usa el siguientemecanismo para especificar
atributos de seguridad en hiperligas. Opciones Criptográficas:
CRIPTOPTS especifican las mejorasde seguridad que un cliente puede o debe
aplicar a un requerimiento, y le diceal cliente que algoritmos de cifrado
el servidor soporta. Nombres Distinguidos: Un DN
identifica una llave pública delservidor. El cliente usa un nombre
distinguido del servidor para seleccionar lallave apropiada para el cifrar
los mensajes que éste le envía al servidor. Al especificar comandos de
región en la configuración delarchivo. Se usan para controlar las
respuestas del servidor a losrequerimientos de los clientes.
Comandos: Require SHTTP: Este comando
puede especificar una o más delas siguientes mejoras: Cifrar, Firmar y
Autenticación. Require Encryption: Se usa
para que todos los requerimientossean cifrados bajo cualquiera S-http, SSL
o PCT. Se usa éste comando cuando sedesea recibir requerimientos bajo
cualquier protocolo. Enhance SHTTP: Con este
comando se pueden implementarcualquiera de las siguientes mejoras: Firmar,
Cifrar, Autenticar. Ref [1] pp.181-209. SSL Para establecer una
comunicación segura utilizando SSL setienen que seguir una serie de pasos.
Primero se debe hacer una solicitud deseguridad. Después de haberla hecho,
se deben establecer los parámetros que seutilizarán para SSL. Esta parte
se conoce como SSL Handshake: Durante el hanshake se cumplen
varios propósitos. Se haceautenticación del servidor y opcionalmente del
cliente, se determina quealgoritmos de criptografía serán utilizados y se
genera una llave secreta paraser utilizada durante el intercambio de
mensajes subsiguientes durante lacomunicación SSL. Intercambio de
datos: Ahora que se ha establecido un
canal de transmisión seguroSSL, es posible el intercambio de datos. Cuando
el servidor o el cliente deseaenviar un mensaje al otro, se genera un
digest (utilizando un algoritmo de hashde una vía acordado durante el
handshake), cifran el mensaje y el digest y seenvía, cada mensaje es
verificado utilizando el digest. Terminación de una sesión
SSL: Cuando el cliente deja una
sesión SSL, generalmente laaplicación presenta un mensaje advirtiendo que
la comunicación no es segura yconfirma que el cliente efectivamente desea
abandonar la sesión SSL. Ref [1]181-209. Virus Fuentes de Riesgo de los
virus. Los virus pueden ser
ingresados al sistema por un dispositivo externo(diskettes) o a través de
la red (e-mails) sin intervención directa delatacante. Tienen diferentes finalidades,
sólo infectan, alteran datos, eliminan datos,algunos sólo muestran
mensajes, pero el fin único es el de PROPAGARSE. Se pueden distinguir módulos
principales de un virus informático: Módulo de
reproducción Módulo de Ataque Módulo de Defensa ¿Cómo protegerse de
ellos? Los usuarios deberán conocer
los síntomas que pueden observarse en unacomputadora de la que se sospeche
esté infectada: Operaciones de procesamiento
más lentas Los programas tardan más
tiempo en cargarse Los programas comienzan a
acceder por momentos al drive o al disco duro Disminución del espacio
disponible en el disco duro y de la memoria Ram enforma constante o
repentina. Aparición de programas
residentes en memoria desconocidos. La primera medida de
prevención es contar con un sistema antivirus yutilizarlo correctamente.
La única forma de que se constituya un bloqueo eficazpara un virus es que
se utilice con determinadas normas y procedimientos, lascuales deberían
verificar los siguientes aspectos: o
Un disco
de sistema, protegido contra escritura y libre de virus.
o
Por lo
menos un programa de Antivirus actualizado. o
Una fuente
de información sobre virus específicos. o
Un
programa de respaldo de áreas críticas o
Lista de
lugares donde acudir. o
Un sistema
de protección residente. o
Tener
respaldos. o
Revisar
todos los discos nuevos antes de utilizarlos. o
Revisar
todos los discos que se hayan prestado. o
Revisar
todos los programas que se obtengan vía red. o
Revisar
periódicamente la computadora. o
Procedimiento para revisar o
desinfectar la computadora o
Procedimiento para desinfectar
el sector de arranque o
Procedimiento para restaurar
los respaldos. o
Procedimientos para formatear
discos duros en caso de que estén infectados. o
Reportar a
alguna autoridad la infección. Ref [8] Al combinar éstos métodos como
mejor convenga provee lamejor y más completa seguridad. Cantidad de seguridad a
Implementar. La seguridad por sí misma hace
más difícil el acceso a unsistema al tener que proveer seguros adicionales
que los usuarios deben pasar.Por otro lado si ningún tipo de seguridad es
implementada no hay problemas paralos usuarios, sino que éstos ocurren
cuando la seguridad aumenta. Ref [ 2] pp.
419-438. Pero sin seguridad el problema
de intrusión aumenta considerablemente, lo cual se puede reducir con
algunas medidas de seguridad. Ref [ 2] pp.
419-438. En la figura 17.4 un punto de
equilibrio es encontrado al medir la posibilidad de intrusión contra el
número de los problemas de los usuarios inherentes a las medidas de
seguridad implementadas. El punto de equilibrio muestra el punto en el
cual la compañía trabaja más eficientemente. Ref [ 2] pp.
419-438. 6. Conclusiones Como se puede ver existen
varios y diversos métodos para implementar una INTRANET segura, pero
ninguno por sí sólo puede brindarnos la suficiente seguridad, sino que es
la combinación de todos estos elementos junto con una acertada planeación
de políticas de seguridad, unos requerimientos específicos y las
características propias de la empresa, son los que podrían ayudarnos a
definir una eficiente estrategia de seguridad sin que todo esto interrumpa
o entorpezca las actividades de los usuarios que son para los que
finalmente la INTRANET se construyó. 7. Bibliografía [1]
Casselberrry R, Baker D, Benett G, Calabria J. "Running a Perfect
Intranet". QueMAcmillan Computer Publishing. 1996. Ejemplos de Políticas de
Seguridad. Más Información sobre
Intranet´s http://www.iorg.com/intranetorg/chpt5.html Trabajo realizado y enviado
por: Publicación enviada por Carlos A Morales
Ochoa
| |||||||||||
