Actividad 4 Seguridad Y Redes 593a24

Nombre

Wilson Gamarra Velásquez

Fecha Activida d Tema

30 de Marzo de 2017 4

Proyecto Final

Desarrollo del trabajo final

Luego de haber estudiado los tipos de vulnerabilidades más comunes, las herramientas usadas para proteger los datos, y haber generado sus procedimientos, está listo para generar la “carta magna” de la seguridad de la red: El manual de procedimientos.

Proyecto Final

1. Desarrolle el manual de procedimientos de la empresa. Este manual debe tener el estudio previo que se hizo para establecer la base del sistema de seguridad, el programa de seguridad, el plan de acción, las tablas de grupos de , la valoración de los elementos de la red, los formatos de informes presentados a la gerencia para establecer el sistema de seguridad, los procedimientos escogidos para la red, así como las herramientas, y el desarrollo de cada procedimiento en forma algorítmica (agregue todo lo que considere necesario). Recuerde que el manual de procedimientos es un proceso dinámico, por lo que debe modular todos los contenidos en unidades distintas, para poder modificarlas en caso de que sea necesario.

Nota: Este trabajo final, más que una nota para aprobar el curso, muestra la capacidad que tiene, como persona, de gestionar la seguridad de una red. Guarde este documento, pues es su carta de presentación para cualquier empleo en el que se le exija experiencia.

1 Redes y seguridad

Actividad 4 Proyecto Final

INTRODUCCION

En la actualidad, las organizaciones son cada vez más dependientes de sus redes informáticas y un problema que las afecte, por mínimo que sea, puede llegar a comprometer la continuidad de las operaciones. La falta de medidas de seguridad en las redes es un problema que está en crecimiento. Cada vez es mayor el número de atacantes y cada vez están más organizados, por lo que van adquiriendo día a día habilidades más especializadas que les permiten obtener mayores beneficios. Tampoco deben subestimarse las fallas de seguridad provenientes del interior mismo de la organización. La propia complejidad de la red es una dificultad para la detección y corrección de los múltiples y variados problemas de seguridad que van apareciendo. En medio de esta variedad, han ido aumentando las acciones poco respetuosas de la privacidad y de la propiedad de recursos y sistemas. “Hackers”, “crakers”, entre otros, han hecho aparición en el vocabulario ordinario de los s y de los es de las redes. Además de las técnicas y herramientas criptográficas, es importante recalcar que un componente muy importante para la protección de los sistemas consiste en la atención y vigilancia continua y sistemática por parte de los responsables de la red. El presente documento tiene como finalidad la implementación de políticas de Seguridad Informática (PSI) para la empresa “En-core” de la ciudad de Medellín en Colombia. Para la ejecución del proyecto, se ha tomado como base un estudio y análisis de los componentes informáticos, lógicos y físicos, que actualmente mantiene la empresa para su gestión y istración, así mismo se ha procedido a realizar el análisis de las condiciones del uso de dichos recursos por parte de los empleados, y determinar las posibles vulnerabilidades a que puede estar expuesta la información de la empresa. En base al estudio y análisis requerido que determinan los posibles riesgos inherentes a los recursos informáticos, se ha procedido a distinguir las políticas de seguridad informática actual y/o establecer nuevos procedimientos y estrategias, tanto Gerenciales como istrativas, que permitan el resguardo de la información de los recursos informáticos de la empresa. 2 Redes y seguridad

Actividad 4 Proyecto Final

OBJETIVOS

GENERALES

 Desarrollar un sistema que permita proteger la información confidencial de una compañía, utilizando PSI adecuadas.  Orientar a los empleados, sobre el uso adecuado de los recursos del sistema y así evitar posibles fallas que comprometan la seguridad de los datos.  Interactuar con las políticas de seguridad, para que estas mismas tengan un buen manejo dentro de la organización.  Proponer estrategias que ayuden a proteger el sistema contra posibles ataques. ESPECIFICOS

 Realizar el estudio y análisis de los recursos informáticos de la empresa.  Evaluar y determinar los posibles riesgos ante los sistemas informáticos.  Establecer y documentar el programa de seguridad, a través de un plan de acción, procedimientos y normativas necesarios para implementar un Sistema de Seguridad Informática.  Ejecutar las políticas de Seguridad de la información en la Empresa, mediante las respectivas estrategias tanto a nivel Gerencial como istrativo.

3 Redes y seguridad

Actividad 4 Proyecto Final

JUSTIFICACIÓN

La seguridad, en lo que se refiere a una infraestructura de información, es un concepto relacionado con los componentes del sistema (el hardware), las aplicaciones utilizadas en la institución (software) y el manejo que se dé del conjunto (el conocimiento del ); por esta razón, es un paso primordial el establecer normativas y estándares que permitan obtener una base de manejo seguro de todo lo relacionado con la infraestructura de comunicación de la empresa. En consecuencia, la información, y por consiguiente los recursos mencionados anteriormente, se han convertido en un activo de altísimo valor, de tal forma que, la empresa no puede ser indiferente y por lo tanto, se hace necesario proteger, asegurar y istrar la información para garantizar su integridad, confidencialidad y disponibilidad, de conformidad con lo establecido por la ley. El sentar bases y normas de uso y seguridad informáticas dentro de la empresa, respecto a la manipulación y uso de aplicaciones y equipos computacionales, permitirá optimizar los procesos informáticos y elevará el nivel de seguridad de los mismos.

4 Redes y seguridad

Actividad 4 Proyecto Final

ANTECEDENTES (ESTUDIO PREVIO) Nuestra empresa “EN CORE”, es una empresa colombiana que presta servicios para la investigación tecnológica para las empresas del país, su sede principal se encuentra en la ciudad de Medellín, la empresa está en proceso de expansión, se están construyendo dos sucursales más en la ciudad y otra más en la capital del país, en las que utilizamos la topología de red en estrella, por el control que permite sobre la red, y la posibilidad de agregar o quitar equipos a la red sin afectar los demás equipos; por alcance utilizamos la red MAN, por lo de las sucursales que se van a manejar, por relación funcional utilizaremos la relación cliente- servidor, para poder hacer un seguimiento a la seguridad de la red a través de un servidor. Para evaluar las posibles amenazas, causas y determinar las mejores políticas de seguridad de la información, es necesario realizar un estudio previo de todos y cada uno de los recursos tecnológicos y recursos humanos con que cuenta la empresa, de ésta manera ejecutar el plan y los procedimientos para aplicar efectivamente las políticas de seguridad informática en la empresa.

Amenazas posibles Físico   

Robo de equipos informáticos. Incendio en las instalaciones. Fallas eléctricas en los equipos.

Lógico   

Robo de información. Virus Informáticos. s no autorizados a los computadores y servidores.

Estas amenazas han hecho que la organización cree documentos y normativas para regular el nivel de seguridad de su estructura interna, protegiéndolas así de ataques externos o de negligencia por parte de los propios empleados.

5 Redes y seguridad

Actividad 4 Proyecto Final

Hemos revisado las características generales de las PSI y los elementos implícitos en cada observación, pero ¿tenemos un esquema de cómo formularlas o establecerlas? Antes que nada, se debe hacer una evaluación de riesgos informáticos, para valorar los elementos sobre los cuales serán aplicadas las PSI. Elementos de análisis para la seguridad informática

6 Redes y seguridad

Actividad 4 Proyecto Final

Númer o

Amenaza

Consecuencias

Ambiente

Mecanismos

Robo de equipos informáticos y de información

Institución privada, dedicada a la ejecución de proyectos

Vigilantes en la institución

Descuido

1

Ingreso de personas no autorizadas a las instalaciones

Personas que no corresponden al uso de determinado terminal

Extracción de información ajena, ingreso de información falsa

Institución privada, dedicada a la ejecución de proyectos

Claves seguridad terminal

Descuido

Virus informáticos

Eliminación información

de

Institución privada, dedicada a la ejecución de proyectos

Antivirus

No utilización y actualización de antivirus

Compartición de recursos y carpetas en la red

Eliminación, robo de información

Institución privada, dedicada a la ejecución de proyectos

Compartición de recursos con restricciones

Desconocimiento, personal confiado

Compartir claves personal

las de

Ingreso de personas ajenas al equipo, manipulación de datos

Institución privada, dedicada a la ejecución de proyectos

Asignar claves de único para cada

Personal confiado, desconocen consecuencias

No existe responsable del área de seguridad informática

No se evalúa, estudia y determina procedimientos y gestión de la seguridad de la información

Institución privada, dedicada a la ejecución de proyectos

Asignar las funciones de la Seguridad de la Información a una o varias personas

Descuido o falta de información de los directivos y es de la empresa

2

3

4

5

6

de de al

VALORACION DE ELEMENTOS DE LA RED 7 Redes y seguridad

Actividad 4 Proyecto Final

Factor Humano

Recursos de la empresa Númer Nombre o Servidores 1 DNS 2 Routeres 3 Firewall 4 Servidor VPN Sistema 5 ERP Sistema de 6 backups Base de 7 datos 8 Switches Server 9 Active Direct Server 10 Sharepoint Sistema 11 IDS

Importanc ia Riesgo (Ri)

Severidad de la pérdida(Wi )

Riesgo evaluado

5

6

30

8 8

9 8

72 64

8

8

64

10

10

100

10

10

100

10

10

100

8

9

72

8

9

72

10

10

100

5

5

25

TABLA DE GRUPO DE A LA RED

Nomenclaturas R= Permiso de lectura o consulta. W= Permiso de escritura. X= Permiso de ejecución o uso. A= Permiso de al istrativo de dispositivos, es igual a tener todos los permisos sobre el recurso. N= No tiene permisos. 8 Redes y seguridad

Actividad 4 Proyecto Final

Recursos Nombre del grupo

Impresora s

Red

ERP

Router

firewall

Gerencia Ventas

X X

X X

R, W R, W

N N

N N

Herramientas Control de R N

Secretarias

X

X

R

N

N

Investigadores

X

X

N

N

Documentación

X

X

N

Sistemas

A

A

Consultores externos

N

X

9 Redes y seguridad

Actividad 4 Proyecto Final

Active Directory

Sharepoint

X X

R, W R, W

N

X

R, W

N

N

X

R, W

N

N

N

X

R, W

A

A

A

A

A

A

N

N

N

N

N

R

PROGRAMA DE SEGURIDAD Y PLAN DE ACCIÓN Se sustentan principalmente en lo siguiente:  Las PSI tendrán una revisión periódica, se recomienda que sea semestral para realizar actualizaciones, modificaciones y ajustes basados en las recomendaciones y sugerencias de todo el personal.  Todo nuevo debe aceptar las condiciones de confidencialidad, de uso adecuado de los bienes informáticos y de la información.  Realizar seguimiento de los s nuevos y los que se dan de baja en la compañía.  Prevenir el no autorizado a los equipos de cómputo.  Detectar actividades no autorizadas.  Los es del centro de operaciones de cómputo, llenarán los formularios específicos para crear las listas de empleados de la empresa con el fin de asignarle los derechos correspondientes, equipo de cómputo, creación de para la red (perfil de en el Directorio Activo).  Capacitación de seguridad informática, donde se den a conocer las obligaciones para los s y las sanciones en que pueden incurrir en caso de incumplimiento.  Protección de la información y de los bienes informáticos.  Mantenimiento de equipos, encargado solo a un personal específico; los s deberán asegurarse de respaldar en copias de respaldo o backups, la información que consideren relevante cuando el equipo sea enviado a reparación, y borrar aquella información sensible que se encuentre en el equipo, previendo así la pérdida involuntaria de información, derivada del proceso de reparación.  Controles contra virus o software malicioso.  Planes de Contingencia ante Desastre.

 Realizar registro y seguimiento de los eventos en el sistema. 10 Redes y seguridad

Actividad 4 Proyecto Final

MANUAL DE PROCEDIMIENTOS Y NORMATIVAS Un procedimiento se define como una sucesión cronológica de operaciones concatenadas entre sí, con el objetivo de obtener un fin o meta. Como nuestra meta es mantener la seguridad de la organización, y mantener estable el algoritmo P-C, debemos contar con una serie de procedimientos que nos permitan responder de manera apropiada a las situaciones más comunes. Todos estos procedimientos se deben almacenar en un “manual de procedimientos” que debe ser seguido al pie de la letra. Procedimiento para proveer programas de capacitación: Continua y efectiva para crear cultura para trabajadores en la compañía y protección de la información. La compañía debe contar con un programa para creación de la cultura en seguridad de la información, a todos los trabajadores, para asegurar que sean continuamente informados acerca de sus responsabilidades y de las posibles amenazas a la seguridad de la información. Procedimiento de Cuentas: Se establece principalmente qué es una cuenta de de cómputo, de qué se compone, a qué tipo de le es otorgada, la persona encargada de asignar los roles, la creación de la misma y la comunicación. Nota: Las cuentas son otorgadas a s legítimos y deben estar conformadas por un nombre de y el respectivo . Procedimiento de alta de cuenta de : Este procedimiento se lleva a cabo para cuando se requiere una cuenta de operación para cualquier . Se debe llenar entonces un formulario en el que existan datos como: a. Nombre y apellido b. Puesto de trabajo c. Jefe que avala el pedido d. Trabajos a realizar en el sistema e. Tipo de cuenta f. Fecha de caducidad g. Permisos de trabajo. Procedimiento de baja de cuenta de : Si un empleado de la organización se debe retirar, sea parcial o totalmente de la organización, debe realizarse un formulario en el que se indiquen, aparte de los datos del mismo, el tipo de alejamiento del (parcial o total) para saber si se inhabilita su cuenta totalmente, o de manera temporal.

11 Redes y seguridad

Actividad 4 Proyecto Final

Procedimiento para la determinación de identificación del y su grupo de pertenencia por defecto: Cuando se crea un en el sistema, se le debe dar una identificación personal y al mismo tiempo, hacerlo parte de un grupo para que tenga ciertos beneficios. Cuando el va a cambiar de perfil o de grupo, se necesita entonces un procedimiento que le indique a este los pasos para cambiar los derechos que posee. Procedimiento para determinar los buenos s: Se debe tener un procedimiento para indicarles a los s cuales son las características de los s que deben asignar a sus cuentas, como el número de caracteres, las características de los caracteres usados, etc. Es conveniente usar un programa crackeador (Crack) sobre el del para evaluar su seguridad. Procedimiento de verificación de s: Como generamos logísticos de diferentes datos de los s, estos logísticos deben ser auditados, para detectar anomalías en cuanto al comportamiento de los mismos y generar reportes de dichas auditorías, todo esto con el fin de verificar los s realizados por los s de la organización a la red. Procedimiento Uso Adecuado: Se especifica lo relativo a un uso adecuado o inadecuado del sistema por parte de los s, asimismo lo que está permitido y prohibido dentro del mismo. Procedimiento para el monitoreo de conexiones activas: Con este procedimiento se evita que el deje su terminal abierta y que otro pueda usarla de manera mal intencionada. Lo que se hace es detectar el tiempo de inactividad de las conexiones, y después de un determinado tiempo, se desactiva la conexión, y se genera un logístico con el acontecimiento. Procedimiento para el monitoreo de los puertos en la red: Permite saber los puertos habilitados en la red y si funcionan de acuerdo a lo esperado. Procedimiento para la verificación de las máquinas de los s: Este procedimiento permite el escaneo de las máquinas de los s para la detección de programas no autorizados, sin licencia o como fuente potencial de virus. Procedimiento para el chequeo de gráficos de la red: Generar gráficos del tráfico de la red, para observar anomalías en la transferencia de información, el uso indebido de programas, etc. Procedimiento para verificar el contenido descargado de internet: La finalidad de este procedimiento, es verificar si el contenido que es descargado 12 Redes y seguridad

Actividad 4 Proyecto Final

de internet por los s diariamente, corresponde a las labores que verdaderamente tienen que realizar y garantizar que este contenido no se encuentre infectado por virus. Procedimiento para el chequeo de volúmenes de correo: Se usa para conocer los volúmenes de tráfico en los correos electrónicos de los s. Con esto, se permite conocer el uso de los medios de comunicación, el spamming (ataque con correo basura), entre otros datos referentes a la comunicación o transferencia de información confidencial de la empresa. Procedimiento para el bloqueo de páginas web: Este procedimiento permite el bloqueo de páginas web de entretenimiento público como Facebook, Twitter, Youtube, etc. Procedimiento para realizar auditoría en cada dependencia: Procedimiento que nos permitiría saber si algún empleado está realizando fraude, robo o estafa. Procedimiento para recuperar información: Un procedimiento sin duda muy importante, permite reconstruir todo el sistema, o parte de él, a través de los backups tomados periódicamente de la información. Procedimiento de respaldos: Detalla cuál es el tipo de información que debe respaldarse, el lapso de tiempo, los medios para respaldar la información, el lugar donde se deben almacenar los backups. Procedimiento para modificación de archivos: Es usado para detectar la modificación no autorizada de archivos, la integridad de los mismos, y para generar un rastro de las modificaciones realizadas. Procedimiento de autorizaciones para instalación de software licenciado o libre: Cualquier software instalado en los sistemas de cómputo de la compañía, debe tener una licencia válida, deberá ser almacenado en un lugar central (servidor) y no puede ser copiado o duplicado, excepto si los términos o condiciones de uso de la licencia explícitamente lo permiten. El uso de software libre deberá ser analizado dentro de los procesos definidos y aprobados por el comité de Seguridad. Procedimiento de gestión de cambios tecnológicos: Cada adquisición o cambio tecnológico debe asegurar el cumplimiento de la presente Política y sus respectivas normas. Procedimiento para dar a conocer las nuevas normas de seguridad: Es muy importante que todos los s conozcan las nuevas medidas de seguridad adoptadas por la empresa, por lo que se requiere un procedimiento 13 Redes y seguridad

Actividad 4 Proyecto Final

que indique la manera en la que esta será llevada a cabo. Esto evita la excusa de los s de “no conocía las normas”. Procedimiento de escaneo antivirus: La compañía debe contar con un proceso controlado para realizar escaneos de información, semanales o mensuales, para garantizar fiabilidad y destruir posibles troyanos que afecten el sistema.

14 Redes y seguridad

Actividad 4 Proyecto Final

HERRAMIENTAS DE CONTROL DE SATAN (Security Tool for Analyzing Networks) Con esta herramienta se chequean las máquinas que están conectadas a la red, informando sobre el tipo de máquina conectada, los servicios que presta cada una, además de detectar fallos de seguridad. La lectura de sus datos es sencilla, a través de un navegador. Califica los fallos encontrados en la máquina como baja, media o altamente insegura, generando un registro de esos fallos con una breve explicación e información (si se puede) sobre una posible solución. Con la información obtenida de todas las máquinas registradas genera una base de datos. Courtney SATAN es muy buena herramienta para detectar topologías de redes por lo que se necesita otra que detecte a SATAN; con esta la detectamos a partir de información pasada por el programa TDump. Al detectar un continuo chequeo de puertos en un lapso corto de tiempo, el programa genera un aviso. NetLog Hay ataques a una red que pueden pasar desapercibidos por su extremada velocidad; esta vulnerabilidad se puede corregir con este programa que en realidad es una serie de programas que trabajan conjuntamente, generando trazas de los paquetes que se mueven en la red, sobre todo los sospechosos que indican un posible ataque a la red. Al igual que el Argus, el Netlog también permite filtrar contenidos y ver solo los de interés. Nocol (Network Operations Center On-Line) Esta herramienta, está hecha de diversos paquetes para monitorear redes. Recopila, analiza, agrupa y le asigna niveles de gravedad a la información (info, warning, error, crítical), siendo manejada cada gravedad por distintos agentes, para filtrarla y analizar la que nos interesa. ISS (Internet Security Scanner): Con esta herramienta chequeamos el nivel de seguridad de una máquina evaluando servicios y direcciones IP; también se ven los puertos que usan el protocolo T de la máquina analizada. Así mismo transferimos archivos de contraseñas por la red, creando un registro de la máquina que posee tal contraseña con su dirección IP. 15 Redes y seguridad

Actividad 4 Proyecto Final

HERRAMIENTAS PARA LA INTEGRIDAD DEL SISTEMA COPS (Computer Oracle and System) Con este programa chequeamos aspectos de seguridad relacionados al sistema operativo UNIX; por ejemplo permisos a determinados archivos, chequeo de s débiles, permisos de escritura y lectura sobre elementos importantes de la configuración de red, entre otras funcionalidades. Tiger Parecido al COPS. Chequea la seguridad del sistema para detectar problemas y vulnerabilidades, elementos como: · · · · · · ·

Configuración general del sistema Sistema de archivos Caminos de búsqueda generados Alias y cuentas de s Configuraciones de s Chequeo de servicios Comprobación de archivos binarios

La información que se recoge se almacena en un archivo, que luego se analiza con una herramienta que permite explicar los elementos del archivo. También se puede seleccionar el tipo de chequeo del sistema. Crack Nos sirve para “forzar” las contraseñas de los s midiendo el grado de complejidad de estas. Así se genera un diccionario y reglas que ayudan a crear s comunes. Como se está usando para chequear la seguridad del sistema, le proveemos el archivo de s y el programa lo barre detectando las contraseñas débiles y vulnerables, tratando de deducir contraseñas del archivo cifrado de nuestro sistema. Es necesario el barrido periódico del programa “Crack” sobre nuestro sistema, para así notificar a los dueños de las respectivas contraseñas sobre la necesidad de cambiarlas y aumentar la seguridad en caso de ser víctimas de un ataque con un craqueador. Tripwire

16 Redes y seguridad

Actividad 4 Proyecto Final

Su función principal es la de detectar cualquier cambio o modificación en el sistema de archivos, como modificaciones no autorizadas o alteraciones maliciosas de algunos softwares. El programa genera una base de datos en la que genera una “firma” o archivo identificador por cada elemento en el sistema de archivos. La firma guarda información relevante como el nombre del propietario del archivo, última fecha de modificación, última fecha de , etc. Esta base de datos de firmas, se compara a voluntad con una nueva base de datos para detectar las modificaciones en los archivos del sistema. Es útil esta base de datos, para hacer comparaciones periódicas y así detectar cambios, y que esta sea actualizada cada vez que se ingresa un elemento nuevo al sistema de manera autorizada. m (Check Promiscuous Mode) ¿Qué es el modo promiscuo? En una red el modo promiscuo se define como aquel en que una máquina, o conjunto de máquinas, se encuentran “escuchando” todo el tráfico de la red. Aunque es importante tener máquinas en modo promiscuo para correr archivos de protección de la red, así mismo funcionan los olfateadores o “sniffers”, que podemos detectar con el m; por eso es necesario correr el m en nuestro sistema para cazar olfateadores que puedan estar recogiendo información de las contraseñas de la red. Trinux Es un conjunto de herramientas para monitorear redes con el protocolo TIP. Es usada directamente desde el dispositivo de almacenamiento en que se encuentra, corriendo enteramente en la memoria RAM del computador Con este paquete de aplicaciones se controla el tráfico de mails, herramientas básicas de redes, detector de sniffers, y herramientas de seguridad para los servidores de nuestra organización.

17 Redes y seguridad

Actividad 4 Proyecto Final

CONCLUSIÓN

Con el anterior estudio, esperamos que la empresa se concientice de los graves riesgos que corre con los datos y la información que maneja, por eso creamos conciencia con el estudio previo, se mostró el valor de sus elementos, lo que se podía presentar y cómo solucionarlo a tiempo. El manual de procedimientos debe ser aplicado por cada miembro de la institución, donde se verán excelentes resultados, a corto y largo plazo. Esperamos haber logrado nuestro objetivo, principalmente concientizar a cada empleado para que ponga en funcionamiento cada parte del manual de procesos y procedimientos.

18 Redes y seguridad

Actividad 4 Proyecto Final