REPUBLICA BOLIVARIANA
DE VENEZUELA
MINISTERIO DE
EDUCACION SUPERIOR
UNIVERSIDAD “YACAMBU”
VICERRECTORADO DE
ESTUDIOS VIRTUALES
Seguridad
de los Sistemas de Información
(Controles
y Riesgos, la Web)
Participante: Facilitador:
Lixbeth
Rodriguez Yaros Pérez
Caracas, 27 de Julio de 2006
1. SEGURIDAD DE LA INFORMACIÓN
1.1 Declaración de
Principios:
1.3 ¿Cuáles son los conceptos
claves en la gestión de SI?
1.8 Autenticación y no
repudio
3.2 Protección de documentos
en el Servidor Web
3.6 Medidas Generales de
Seguridad
3.7 Esquemas de encriptación
y autentificación para el Web
La
Internet rápidamente ha ganado aceptación como medio de mercadeo y distribución
para una amplia variedad de negocios, ya que provee una plataforma barata para
la negociación y el intercambio de servicios, información y bienes a
consumidores. Existe un incremento de organizaciones que han tomado la Internet
como medio de reducir costos y extenderse.
Sin
embargo, la seguridad representa una barrera para el comercio electrónico en la
Internet. La habilidad de enviar y recibir datos seguros es un requerimiento
fundamental. En un medio tan inseguro es necesario un mecanismo que prevenga
los accesos no autorizados a los datos intercambiados por los usuarios, tales
como información de tarjetas de crédito y cuentas. Aunado a esto, en este
ambiente anónimo, los negocios y las organizaciones necesitan un medio para
establecer su identidad y credibilidad para protegerse así mismas y a sus clientes
de impostores.
“La información es un activo
que, como otros activos importantes del negocio, tiene valor para la
organización y requiere en consecuencia una protección adecuada.” UNE-ISO/IEC 17799.
Información: Activo de
información tangible o intangible que tiene valor para los procesos de
negocio de la organización.
Seguridad: Protección de la
confidencialidad, integridad y disponibilidad de la información según el
nivel requerido para los objetivos de negocio de la empresa.
La información se ha convertido en un activo importante para cualquier organización que subsista en el mundo tecnificado de hoy; es por eso que muchas de ellas se han visto en la necesidad de establecer medidas organizativas, técnicas y legales para su protección. Esta tarea no es sencilla, ya que la información se encuentra en diversas formas y es vulnerable ante múltiples amenazas y riesgos, ya sea por ataques externos, fraudes internos o simplemente errores humanos.
Estas amenazas muchas veces suponen un gran obstáculo para la continuidad del negocio o en caso extremo puede llegar a destruir la organización en cuestión de horas, simplemente por no contar con medidas que permitan la detección de ataque de persona no autorizada a acceder a la información, la recuperación o reparación de la información afectada, es decir, no se dispone una eficaz gestión de SI.
Para lograr un alto nivel de protección de la
información en la empresa, no basta con instalar un Firewall o la contratación
de empresas especializadas en seguridad de la información, es necesaria la
integración de los distintos factores: las tecnologías de la información, la
seguridad de las instalaciones, la formación e información del personal, el
“know how” y los procesos de negocio.
La privacidad, confidencialidad, integridad,
disponibilidad, autenticación y no repudiación de la información son conceptos
claves que se deben considerar dentro del marco integral para la gestión de SI.
A continuación se presenta una explicación general de cada uno de estos
conceptos:
Privacidad en un término tomado del idioma inglés
que, en el ámbito de la SI, se define como el derecho a mantener el secreto
sobre la información en su transferencia o almacenamiento. A pesar de estar
definidos claramente un emisor y un receptor (o receptores) de la información,
en el proceso de comunicación y custodia son múltiples los actores que actúan
en pro o en contra de la privacidad, e infinidad los posibles ataques contra la
privacidad de la información, ya sea por intrusión directa en los equipos donde
la información está físicamente almacenada, la intercepción y copia de
información transmitida, o su utilización inapropiada.
Confidencial se define en el diccionario de la Real
Academia Española como: “lo que se hace o se dice en confianza o con seguridad
recíproca entre dos o más personas”. Y confianza tiene como primera acepción
“esperanza firme que se tiene de una persona o cosa” y como segunda “con
reserva e intimidad”.
La confidencialidad tiene relación con la protección
de información frente a posibles accesos no autorizados, con independencia del
lugar en que reside la información o la manera en que se almacena.
Es por eso, que la información corporativa y toda
aquella información sensible o valiosa que una organización custodia o maneja,
necesita ser protegida mediante estrictas medidas de control. En este caso, la
verificación y la autorización son dos mecanismos que se emplean para asegurar
la confidencialidad de la información.
La información solo puede ser conocida y debe estar
accesible al personal autorizado, de acuerdo a su cargo y funciones que
desempeñan en la organización. Además, las mejores prácticas de la gestión de
la SI plantea la necesidad de que el personal autorizado firme un acuerdo de
confidencialidad con la empresa. Igualmente, para salvaguardar la
confidencialidad, es necesario tener implantadas medidas de seguridad que
eviten el acceso y utilización de la información por personas no autorizadas.
Existe la tendencia a considerar la Confidencialidad
y la Privacidad como sinónimos, ya que ambos abordan temas como el acceso no
autorizado y la custodia de la información. En términos de acciones y medidas
de control Confidencialidad y Privacidad tienen un terreno común, su mayor
diferencia está relacionada con la naturaleza personal de la privacidad:
Generalmente cuando se habla de privacidad, se asocia a la custodia de la
información individual o de las actividades y hábitos de la persona, en tanto
que confidencialidad refiere a la custodia de información que por su naturaleza
requiere ser restringida y no necesariamente está relacionada con un individuo,
es decir es un atributo de la información.
La integridad se refiere a la garantía de que una
información sea y permanezca confiable, completa y exacta, dado que la misma no
ha sido alterada, borrada, o reorganizada. La relevancia de este término en SI,
radica en la necesidad de asegurar que la información refleja la realidad que
la genera, ya que la tendencia hacia la automatización de los procesos conlleva
a que en muchos procesos de negocio, la única evidencia de una transacción será
la información que se haya generado de ésta.
La información es uno de los principales activo de
negocio de cualquier compañía, y como tal, ha de estar accesible a los usuarios
autorizados de acuerdo al cargo y funciones que desempeñan en la organización.
Disponibilidad es un concepto amplio que abarca no solo a la información, sino
a los procesos que sustenta su generación y uso. Estamos hablando de los
procesos de negocios basados en TI que, en la medida en que integran entre sí,
demandan y generan información, que debe cumplir con las características de
oportunidad y accesibilidad descritas anteriormente.
Disponibilidad de la información también refiere a
la seguridad que la información pueda ser recuperada en el momento que se
necesite, esto es, evitar su pérdida o bloqueo, bien sea por ataque doloso,
mala operación accidental o causas fortuitas o de fuerza mayor.
La autenticación tiene que ver con la prevención de
suplantaciones de usuarios o confirmación de la identidad declarada de
usuarios, es decir, es asegurar que quien envía un mensaje o realiza una
transacción, es realmente quien dice ser. Son necesarios métodos de
autenticación adecuados para muchos servicios y aplicaciones, y dependerán del
nivel de riesgo que las partes adquieran en un proceso de negocio apoyado en TI
y el sustento legal a la ejecución de estas operaciones.
Estos esquemas de autenticación variarán desde
procedimientos básicos de identificación (usuario, contraseña), hasta la
utilización de elementos físicos únicos o la utilización de técnicas de
biometría. El no repudio es una consecuencia de un proceso confiable de
autenticación, y se refiere a la responsabilidad de las partes a cumplir con
los compromisos adquiridos como consecuencia de haber enviado una determinada.
Nuevamente, las claves para asegurar la no repudiación de transacciones,
dependerá de la confianza que las partes depositen sobre el proceso de
autenticación y la existencia de basamentos legales o contractuales previos a
la ejecución de la transacción.
Un entorno operativo seguro exige la garantía de que
sólo puedan acceder a una determinada información aquéllos que están
autorizados para ello, que la información se procese correctamente y que está
disponible cuando se necesita.
Para aplicar controles adecuados, es preciso
comprender primero quién o qué es lo que amenaza dicho entorno, así como
conocer los riesgos asociados a dichas amenazas si llegan a materializarse.
La información se ve sometida a distintas amenazas
que pueden clasificarse en intencionadas, no intencionadas y naturales.
Las amenazas intencionadas las ejercen usuarios no
autorizados que acceden de forma indebida a los datos o información sensible.
Los usuarios no autorizados pueden ser externos o pertenecientes a la propia
organización y se pueden clasificar como curiosos o maliciosos. Los curiosos
normalmente ojean un poco y no siempre entran con unas pretensiones concretas,
ni saben lo que van a encontrar. Los maliciosos entran a los sistemas para
apropiarse de datos o información por intereses económicos, o bien con ánimo de
dañar o destruir recursos. El acceso no autorizado de usuarios ya sean curiosos
o maliciosos significa siempre una violación de la confidencialidad y con
frecuencia acarrea violaciones de la integridad y de la disponibilidad.
Las amenazas no intencionadas provienen típicamente
de empleados con poca formación o negligentes que no han seguido los pasos para
proteger sus contraseñas, asegurar adecuadamente sus ordenadores o actualizar
con la fercuencia debida el programa antivirus. Las amenazas no intencionadas
también implican a veces a los programadores o personal de proceso de datos
cuando no se siguen las normas y procedimientos de seguridad establecidos,
cuando existen. Este entorno operativo es especialmente sensible ya que
sencillos errores en un programa pueden afectar a la integridad de la
aplicación global y de cualquier otra aplicación con la que comparta
información en común.
Las
amenazas naturales incluyen fallos de equipos y calamidades tales como
incendios, inundaciones y terremotos que pueden causar la pérdida de equipos y
datos. Las amenazas naturales suelen afectar a la disponibilidad de los
recursos y de la información.
Los
riesgos asociados a la pérdida de la confidencialidad, integridad o
disponibilidad son de diverso tipo y casi siempre implican daños económicos
incluyendo responsabilidad contractual, falsos datos financieros, mayores
costes, pérdidas de activos, pérdida de negocios, descrédito y pérdida de
imagen pública.
|
Matriz de Amenazas/Cualidad/Riesgo |
|
Amenaza Problema Riesgo Usuario
no autorizado Confidencialidad Acceso no autorizado (curioso)
Integridad Divulgación no autorizada Observación
no autorizada Monitorización
no autorizada Copias
no autorizadas Sustracción
de información Usuario
no autorizado Confidencialidad Acceso indebido, copia o sustracción de datos (malicioso)
Integridad Alteración de datos, falsificación, fraude Disponibilidad
Destrucción, pérdida, repudio del servicio Usuario
autorizado Integridad Pérdida o alteración de información Disponibilidad
Daños, denegación o alteración de servicio Catástrofe
natural Disponibilidad Destrucción, daños, averías, pérdida de servicio |
Estudios
realizados en los últimos años demuestran que un alto porcentaje de
organizaciones han experimentado algún tipo de pérdida de información o soporte
físico, siendo las causas más frecuentes los errores no intencionados y los
virus. Hoy en día, debiera ser impensable tener PCs o servidores sin programas
de protección contra virus. El aumento en el número de delitos informáticos
está haciendo replantearse a los profesionales de las tecnologías de la
información las medidas de seguridad y mecanismos de control. Los delitos informáticos
se han convertido en un mayor riesgo debido por una parte a que hay un mayor
número de personas que conocen la informática y tienen acceso a recursos
informáticos, y por otra al alto nivel de interconexiones entre redes tanto
internas como externas. Pero sigue ocurriendo que la mayoría de los incidentes
se originan interiormente a la organización, tanto los no intencionados como
los maliciosos.
Las
salvaguardas no son uniformes para todos los sistemas. El nivel del riesgo
debiera determinar el nivel de control adecuado. Cada riesgo se puede tratar
mediante la aplicación de uno o varias salvaguardas de seguridad. Las
salvaguardas se pueden clasificar en tres principales categorías:
·
administrativas
·
físicas
·
técnicas
Las
salvaguardas administrativas incluyen las políticas y procedimientos de
seguridad. Las políticas establecen lo que los usuarios pueden y no pueden
hacer al utilizar los recursos informáticos de la organización. También
incluyen procedimientos para la renovación de claves de acceso, autorizaciones
para acceder a sus recursos, la revisión y validación periódica de la vigencia
del tipo acceso, la asignación de responsabilidades, conocimientos de la
seguridad y formación técnica, gestión y supervisión de las tecnologías y
soluciones aplicadas, la recuperación tras avarías o fallos y la realización y
aplicación de planes de contingencia. Los controles administrativos también
incluyen la revisión de seguridad e informes de auditoria, que se utilizan para
identificar si los usuarios siguen las políticas y procedimientos. Finalmente,
los controles administrativos incluyen la asignación de propiedad de los datos
y los recursos. Cada persona de la organización debe de tener claras sus
responsabilidades relativas a la seguridad de cada componente asu cuidado, y
estas responsabilidades se deben incluir en los objetivos de cada persona para
asegurar que se les valore por la responsabilidad asignada y se les evalúe
según el cumplimiento de sus obligaciones.
Las
salvaguardas físicas limitan el acceso físico directo a los equipos. Las
salvaguardas físicas consisten en cerraduras, bloqueos para teclados,
vigilantes de seguridad, alarmas y sistemas ambientales para la detección de
agua, fuego y humo. Las salvaguardas físicas también incluyen sistemas de respaldo
y alimentación de reserva, tales como baterías y fuentes de alimentación
ininterrumpida (UPS).
Las
salvaguardas técnicas son controles que se implantan a través de soportes
físicos o lógicos que típicamente son difíciles de vencer y, una vez implantados,
pueden funcionar sin la intervención humana.. El soporte lógico específico
incluye antivirus, firmas digitales, cifrado, programas de control de
biblioteca, herramientas de gestión de red, contraseñas, tarjetas inteligentes,
control de acceso de llamadas, sistemas de rellamada, seguimiento de huellas o
trazas de auditoría y sistemas expertos de detección de intrusiones.
Los
controles de acceso protegen contra la utilización o manipulación no autorizada
de recursos mediante la verificación y la autorización. La verificación asegura
la identidad del usuario o sistema que solicita acceso. Los controles de
autorización aseguran que el acceso a la información y los recursos
informáticos se limiten de acuerdo con las directrices de la dirección. Otro
término relacionado a la seguridad es el no-repudio. El no-repudio previene la
posibilidad de que una de las partes de un intercambio o transacción niegue en
falso después que haya tenido lugar la misma. El control técnico que se emplea
para garantizar el no-repudio es la firma digital. Las operaciones comerciales
celebradas a través de redes internas e Internet se han vuelto corrientes. Allí
donde antes se empleaba una firma manuscrita para verificar que se había hecho
una compra o celebrado un determinado contrato, ahora existe una alternativa
digital para verificar que una persona cumplirá con sus obligaciones. La firma
digital consiste en una clave privada que sólo conoce o puede duplicar el
tenedor de la clave, parecido a su firma y rúbrica manuscrita. Las firmas
digitales verifican la fuente, autenticidad e integridad de mensajes
electrónicos.
Las
salvaguardas administrativas, físicas y técnicas se pueden subdividir en
preventivas y correctivas. Las preventivas intentan evitar la ocurrencia de
acontecimientos indeseados, mientras que las salvaguardas correctivas intentan
identificar los incidentes y reducir sus efectos después de que hayan sucedido.
Es siempre preferible evitar un incidente de seguridad en lugar que tener que
hacerle frente a posteriori. Las salvaguardas correctivas se han diseñado para
identificar el problema con suficiente rapidez para reducir los daños al mínimo
y para poder valorar con precisión la magnitud de los daños causados por el
incidente. La Figura siguiente presenta los controles administrativos, físicos
y técnicos específicos, y los clasifica además en mecanismos preventivos o
correctivos.
|
Controles de Seguridad de Información |
|
Preventivos
Correctivos Controles
Físicos Archivos
y documentación de reserva Detectores de movimiento Verjas
Detectores de humo y fuego Guardias
de seguridad Monitorización por televisión de circuito cerrado Sistemas
de tarjetas de identificación Sensores y alarmas Cerraduras
y llaves Candados
cifrados Potencia
de reserva Controles
biométricos de acceso Selección
de emplazamiento Extintores
de incendios Bloqueo
de teclados Controles
Administrativos Conocimientos
de seguridad y formación técnica Revisiones y auditorías de seguridad Separación
de obligaciones Control de calidad Procedimientos
sancionadores Investigaciones de antecedentes Políticas
y procedimientos de seguridad Rotación de responsabilidades Gestión
y supervisión Recuperación
de averías y planes de contingencia Administración
de accesos de usuarios Gestión
de propietarios de datos y recursos Controles
Técnicos Programas
de control de acceso Logs y trazas para auditoría Programas
cortafuegos y antivirus Sistemas expertos de detección de intrusiones Gestión
de contraseñas Tarjetas
inteligentes Cifrado |
Las
tres tipos de salvaguardas deben utilizarse conjuntamente para hacer frente a
los riesgos estimados en cada entorno concreto de trabajo. La dirección debe
decidir cuánto invertir razonablemente en la seguridad, los procedimientos de
gestión y control, y en herramientas tecnologicas para limitar el riesgo de
forma proprcionada y equilibrada. Según las organizaciones se van
reestructurando y reducen su complejidad para competir en una economía global,
es imperativo el empleo de las tecnologías de la información y las
comunicaciones para lograr una ventaja competitiva o una mayoer eficacia..
El
protocolo TCP/IP, utilizado por la Internet, no fue diseñado para asegurar
transacciones seguras, ya que es vulnerable a los fisgones de red. Cuando una
información confidencial es trasmitida entre un servidor web y el usuario o
viceversa, los datos viajan por un medio inseguro con posibilidad de ser
capturados por terceros.
Aunque
los riesgos son más severos desde la perspectiva del servidor web, ya que este
puede representar una debilidad potencial para la seguridad de la red de una
organización; los usuarios están en la posibilidad de correr riesgos al visitar
páginas que atenten a su seguridad.
Errores (bugs) o mal configuración del servidor Web: tanto el software del servidor Web y el sistema
operativo que sirve de plataforma para el mismo puede contener errores que
representen agujeros vulnerables a ataques, tal es el caso del sistema Unix, lo
que facilita a usuarios remotos no autorizados se aprovechen de estos agujeros
para robar documentos confidenciales, ejecutar comandos en la maquina servidor
para ganar acceso al sistema o simplemente lanzar un ataque de negación de
servicio. Sin embargo, se debe considerar el factor de la experiencia de los
administradores de los sistemas y los anfitriones.
Perspectiva del cliente: no
sólo el servidor Web puede presentar riesgos en la seguridad, así también los
usuarios que utilizan los navegadores para visitar los Web Sites son
vulnerables a ataques. Contenidos activos, tales como los applets de java o
códigos de JavaScript, pueden dañar el sistema del usuario, violar la
privacidad del mismo o simplemente molestarlo.
Interceptación de la información enviada desde el usuario al servidor
Web y viceversa a través de la red: El protocolo que utiliza la Internet (TCP/IP) hace que viaje la
información a través de la red en forma leíble, siendo vulnerable a ser
capturada por los llamados espías (eavesdroppers) de la red en cualquier punto
del camino entre el usuario y el servidor, atentando de esta manera a la
confidencialidad de la misma.
Impersonificación
del servidor web o del usuario:
en un medio anónimo como Internet, existe el riesgo de que un tercero pueda
personificar a un determinado usuario o a un servidor web, ya que el protocolo
TCP/IP es vulnerable a ataques spoofing.
Existen tres formas de
restringir el acceso:
1. Restricciones por direcciones IP, subredes o
dominio
Documentos individuales o directorios en total están protegidos de tal forma
que solamente pueden ser accesados por usuarios con determinadas direcciones
IP, subredes o dominios.
Sin
embargo, este esquema es vulnerable. Existen muchas formas de ataques, con el
apropiado equipo y software, un hacker puede enmascarar su IP, hacer que
parezca como si él se estuviese conectando desde una localidad diferente de su
localidad real. Este esquema no sólo es vulnerable a spoofing de direcciones
IP, sino también a spoofing de DNS.
2. Restricciones por nombre de usuario y password
Para poder accesar a documentos o directorios, un usuario remoto debe proveer
un nombre y un password. Este esquema es vulnerable a los ataques de fuerza
bruta. Es mas seguro utilizar este esquema junto con el anterior, que por separado.
Además, el password es vulnerable a ser interceptado cuando es trasmitido entre el usuario remoto y el servidor Web. Este no esta encriptado en ninguna forma significante, así un hacker con el correcto hardware y software puede tomar la clave en el momento que este viajando por la Internet.
3. Encriptación utilizando criptografía de clave pública. Tanto la solicitud por el documento y el documento mismo son encriptados en tal forma que la información no pueda ser leída por nadie mas excepto por el destinatario. La criptografía de clave pública también puede ser utilizada para una verificación confiable del usuario. Los sistemas criptográficos de clave pública, proveen una forma más sofisticada de autentificación que utiliza una firma electrónica infalsificable.
Los
usuarios de navegadores, al igual que los servidores Web, se encuentran
expuestos o son vulnerables a ataques. Contenidos activos, applets Java y
código JavaScript, en las paginas que se visitan pueden desde violar la
privacidad del usuario hasta dañar el sistema.
Java
es un lenguaje de programación diseñado por Sun Microsystem. Los programas Java
son precompilados en una forma compacta y almacenados del lado del servidor.
Los documentos “Html” hacen referencia a las miniaplicaciones conocidas como
applets utilizando para ello el tag <APPLET>. Los navegadores que
soportan dicho tag, bajan las aplicaciones Java compiladas y las ejecutan.
Administrador de Seguridad de Java
El
administrador de seguridad no permite que los applets ejecuten arbitrariamente
comandos del sistema, para abrir las librerías del sistema o para abrir
manejadores de dispositivos del sistema, tales como unidades de disco.
Los
programas generalmente están limitados a leer y escribir archivos en un
directorio designado al usuario.
Los
applets están limitados en las conexiones de red que ellos puedan hacer: a un
applet sólo se le permite hacer conexiones con el servidor desde donde fue
bajado.
El
administrador de seguridad permite a los applets que lean y escriban en la red
o que lean y escriban en discos locales pero no ambos.
JavaScript
es un lenguaje interpretado diseñado para hacer los documentos “Html” mas
dinámicos, ajustar opciones del navegador, tiene la habilidad de abrir y cerrar
ventanas, manipular elementos de formas y otras funciones.
Agujeros
de seguridad presentes en JavaScript
JavaScript
también tiene problemas con agujeros de seguridad. A diferencia de los agujeros
de Java, los cuales potencialmente pueden cambiar los datos en el disco del
usuario, los agujeros de JavaScript generalmente involucran violaciones de la
privacidad del usuario.
Hostigamiento
El 20
de enero de 1998 Patrick Morris-Suzuki reportaron un error en Javascript para
Netscape 4.04, que podría permitir a un operador malicioso de un servidor
cerrar la ventana del navegador, remover la barra de navegación y la de menú
sin la confirmación del usuario.
Robo de
password
El 28
de agosto de 1997 Fernand Portela reportó un error para versiones de Netscape
Communicator para Windows 95/NT anteriores a la 4.03, que permite a los
operadores maliciosos de servidores capturar los passwords POP del usuario si
éste había configurado la opción de recordarlo.
Intercepción
de archivos en la maquina local del usuario (16/10/97)
Microsoft
Internet Explorer 4.0 para Windows 95/NT es vulnerable a páginas que permiten a
operadores remotos del Web site, espiar el contenido de cualquier texto, imagen
o archivo Html localizado en la máquina del usuario. Mientras el usuario visita
el site, un programa JavaScript se ejecuta en un frame invisible (ancho
del frame 1x1 pixel), el cual escanea la maquina local del usuario y puede
enviar un archivo a cualquier sitio de Internet. El error no permite que se
dañen o modifiquen los archivos.
Habilidad
para monitorear la sesión del usuario (29/08/97)
Un
grupo de errores relacionados permiten que paginas JavaScript monitoreen todas
las páginas que el usuario visita durante la sesión, captura los URL de los
documentos visitados y trasmite la información a un host determinado en
cualquier parte de Internet. Algunas variantes del error permite a la pagina
maliciosa capturar contenidos de formas, cookies e información de otros
elementos en la página. Aun la información puede robarse incluso si se utilizan
páginas “seguras” encriptadas con SSL, y los usuarios que trabajan tras un
sistema firewall son vulnerables. El único riesgo es la privacidad del usuario.
La información de la maquina del usuario no puede ser modificada. Ver anexo B.
Agujeros
viejos
JavaScript
puede engañar al usuario para que suba archivos a un máquina arbitraria y de
esta manera subir otros archivos que contengan información del sistema
JavaScript
puede obtener listado de directorios del disco local del usuario y otros
directorios de red instalados.
JavaScript
puede accionar el envío de mensajes de email sin el conocimiento del usuario.
A causa
de los problemas actuales con JavaScript, lo más seguro es deshabilitarlo.
Perspectiva
del servidor Web
Asegurarse
de que las personas con login privilegiados seleccionen buen password.
Remover
shells e interpretadores que no se necesiten en absoluto y que puedan
representar un agujero de seguridad.
Chequear
regularmente tanto los registros del Web y los del sistema, para detectar
actividades sospechosas.
Revisión
continua de la información acerca de los nuevos errores encontrados, ataques y
riesgos en los sistemas del servidor Web.
Perspectiva del Usuario Navegante
Nunca
ejecutar un programa bajado de Internet sin antes verificarlo.
Deshabilitar
el Java y JavaScript.
Evitar
visitar páginas sospechosas.
No
introducir información confidencial en transacciones no seguras.
SSL
SSL
(Secure Socket Layer, Capa de Socket Segura) es un esquema propuesto por la
Corporación Netscape Communications. Este es un esquema de encriptación de bajo
nivel utilizado para encriptar transacciones de protocolos de alto nivel, tales
como: HTTP, NNTP y FTP. El protocolo SSL provee autentificación de servidores
(verifica la identidad del servidor para el cliente), encriptación de datos en
tránsito y autentificación del cliente (verificar la identidad del cliente para
el servidor).
PCT
PCT (Private
Communication Technology, Tecnología de Comunicación Privada) es un esquema
propuesto por la Corporación Microsoft. Este protocolo provee privacidad sobre
Internet, al igual que SSL, esta diseñado para prevenir fisgones en la
comunicación cliente servidor, con autentificación de clientes y servidores.
Sin embargo, este protocolo corrige o mejora las debilidades de SSL.
SET
SET
(Secure Electronic Transaction, Transacción Electrónica Segura) es un estándar
técnico para el comercio seguro en la Internet. SET fue desarrollado por Visa y
MaterCard. SET provee transmisiones confidenciales, autentifica todas las
partes involucradas (cliente, institución financiera, organización) a través
del uso integrado de certificados digitales emitidos por autoridades de
certificación confiables, asegura la integridad de la información de pago (el
número de la tarjeta de crédito del cliente únicamente es vista en forma
desencriptada por la institución financiera autorizante de la transacción).
VeriSign
VeriSign
establece sesiones seguras entre usuarios y el servidor Web, las cuales proveen
privacidad, integridad y autentificación de la comunicación punto a punto,
basadas en el protocolo SSL o PCT. Además, establece la autenticidad del
Website. Este esquema se basa en identificaciones digitales (Digital ID), éstas
son credenciales electrónicas que establecen una identidad para usuario u
organización. Un servidor seguro con indentificación digital asegura a los
usuarios la autenticidad del site y permite la encriptación de la sesión
usuario-site. Los certificados digitales son autentificados, emitidos y
administrados por una Autoridad de Certificación (CA, Certificate Authority).
Un
firewall es un sistema o grupo de sistemas que implementa una política de control
de acceso entre dos o mas redes. Un firewall tiene dos objetivos principales:
bloquear el tráfico y permitir el tráfico. Sin embargo, un firewall puede
enfatizar el bloqueo mientras otro tomará en cuenta el permitir el flujo de
tráfico.
Se
puede utilizar un firewall para mejorar la seguridad del servidor web en varias
formas. La mayoría hace énfasis en utilizar el firewall para crear un site
interno, el cual puede ser accedido únicamente por las maquinas dentro de la
misma área local
Sin
embargo, si se desea hacer al servidor Web disponible al resto del mundo, se
debe colocar en algún lugar fuera del firewall. Desde el punto de vista de la
seguridad de la organización, el lugar mas seguro para colocarlo es fuera de la
red de área local.
A esto
se le denomina configuración de “sacrificio de cordero”. El servidor corre el
riesgo de ser atacado, sin embargo, el resto de la red está relativamente a
salvo.
No se
debe correr el servidor Web en la misma maquina del firewall, ya que cualquier
error del servidor comprometerá la seguridad de toda la organización.
Es
común ver ambos esquemas funcionando en conjunto, un servidor “externo” para
dar acceso a la información publica y uno “interno” para documentos privados.
La
organización debe empezar por reconocer la importancia de la seguridad al nivel
de dirección en que se pueden asignar recursos adecuados para implantar los
procedimientos con eficacia.
Una
Arquitectura de Seguridad de la Información (ISA) global y flexible implantada
en toda la organización es el primer paso que es necesario realizar para
proteger la confidencialidad, integridad y disponibilidad de la información y
los recursos del sistema. La ISA comienza en el nivel estratégico, a través de
la planificación y apoyo de la dirección ejecutiva. El primer paso de ese apoyo
consiste en incluir la seguridad en los objetivos de un Plan Estratégico para
las tecnologías de información. Esto asegurará que los esfuerzos integrados de
las personas responsables de la seguridad en la organización se canalicen hacia
una objetivo común que sea realista, factible y apoyado adecuadamente por toda
la estructura organizativa.
Los
programas de seguridad más eficaces son aquellos que cuentan con una
participación activa desde dentro de la organización. Fuentes externas pueden
proporcionar conocimientos y experiencia específica. No obstante, el programa
de seguridad en sí debe ser dirigido y gestionado internamente.
Alejo
Marjedan
Centro
de Alerta Temprana sobre Virus Informáticos “La seguridad de Información” Marzo 2002
http://alerta-antivirus.red.es/seguridad/ver_pag.html?tema=S&articulo=4&pagina=1
Espiñeira,
Sheldon y Asociados, Firma miembro de PricewaterhouseCoopers
PC-News.com
– Seguridad “Seguridad de Información” 20 de junio 2006
http://www.pc-news.com/detalle.asp?sid=&id=11&Ida=2492
Adams,
Jose
E-magazine La revista Electrónica de la escuela de
Ingeniería de Sistemas “Seguridad en la
Web”
http://www.emagazine.uba.edu.ve/emagazine/articulos%20vol1_archivos/art001.html#Medidas%20Generales%20de%20Seguridad