ADMNSTRACON DE RECURSOS

Tema: Seguridad y Privacidad en Redes

Conceptos generales

Cada vez mas personas, con Iormacion heterogenea, tienen acceso a Internet.
La ampliacion en las posibilidades de acceso y administracion de sistemas remotos, Iacilitan la
obtencion del control total de un sistema conectado a Internet.
Hay rutinas disponibles para criptoanalisis (quebradores de seas). Literaturas y conIerencias
electronicas ensean a quebrar la seguridad de sistemas.
Ataques provenientes de curiosos, tecnicos descontentos, mal intencionados hacen que Internet no
sea segura.


Algunas definiciones

Privacidad

Se deIine como el derecho que tienen los individuos y organizaciones para determinar, ellos
mismos, a quien, cuando y que inIormacion reIerente a ellos sera diIundida o transmitida a otros.

Seguridad

Se reIiere a las medidas tomadas con la Iinalidad de preservar los datos o inIormacion que en
Iorma no autorizada, sea accidental o intencionalmente, puedan ser modiIicados, destruidos o
simplemente divulgados.

En el caso de los datos de una organizacion, la privacidad y la seguridad guardan estrecha
relacion, aunque la diIerencia entre ambas radica en que la primera se reIiere a la distribucion
autorizada de inIormacion, mientras que la segunda, al acceso no autorizado de los datos.

El acceso a los datos queda restringido mediante el uso de palabras claves, de Iorma que los
usuarios no autorizados no puedan ver o actualizar la inIormacion de una base de datos o a
subconjuntos de ellos.

Integridad

Se reIiere a que los valores de los datos se mantengan tal como Iueron puestos
intencionalmente en un sistema. Las tecnicas de integridad sirven para prevenir que existan valores
errados en los datos provocados por el soItware de la base de datos, por Iallas de programas, del
sistema, hardware o errores humanos.

El concepto de integridad abarca la precision y la Iiabilidad de los datos, asi como la discrecion
que se debe tener con ellos.

Ataque

Termino general usado para cualquier accion o evento que intente interIerir con el
Iuncionamiento adecuado de un sistema inIormatico, o intento de obtener de modo no autorizado la
inIormacion conIiada a una computadora.

Ataque activo

Accion iniciada por una persona que amenaza con interIerir el Iuncionamiento adecuado de
una computadora, o hace que se diIunda de modo no autorizado inIormacion conIiada a una
computadora personal. Ejemplo: El borrado intencional de archivos, la copia no autorizada de datos
o la introduccion de un virus diseado para interIerir el Iuncionamiento de la computadora.

Ataque pasivo

Intento de obtener inIormacion o recursos de una computadora personal sin interIerir con su
Iuncionamiento, como espionaje electronico, teleIonico o la intercepcion de una red. Todo esto
puede dar inIormacion importante sobre el sistema, asi como permitir la aproximacion de los datos
que contiene.

Amenaza

Cualquier cosa que pueda interIerir con el Iuncionamiento adecuado de una computadora
personal, o causar la diIusion no autorizada de inIormacion conIiada a una computadora. Ejemplo:
Iallas de suministro electrico, virus, saboteadores o usuarios descuidados.

Cuando se produce un ataque o se materializa una amenaza, tenemos un incidente, como por
ejemplo las Iallas de suministro electrico o un intento de borrado de un archivo protegido.

Virus informticos
Puede deIinirse un virus inIormatico como un codigo diseado para introducirse en un
programa y modiIicar o destruir datos. Se copia automaticamente a otros programas para seguir su
ciclo de vida. Es comun que se expanda a traves de plantillas, las macros de aplicaciones y archivos
ejecutables.
Su Iuncionamiento es conceptualmente simple: ejecutando un programa inIectado
(normalmente por desconocimiento del usuario) el codigo del virus queda almacenado (residente)
en la memoria RAM del ordenador, aun cuando el programa que lo contenia haya terminado de
ejecutarse. El virus toma entonces el control de los servicios basicos del sistema operativo,
inIectando los posteriores archivos ejecutables que sean abiertos o ejecutados, aadiendo su propio
codigo al del programa inIectado y grabandolo en disco, con lo cual el proceso de replicado se
completa.
Los virus tienen basicamente la Iuncion de propagarse, replicandose, pero algunos contienen
ademas una carga daina (payload) con distintos objetivos, desde una simple broma hasta realizar
daos importantes en los sistemas, o bloquear las redes inIormaticas generando traIico inutil.
Tipos de virus
- 1royanos
Se denomina troyano (o caballo de Trova) a un programa malicioso capaz de alojarse en
computadoras y permitir el acceso a usuarios externos, a traves de una red local o de Internet, con el
Iin de recabar inIormacion y/o controlar remotamente a la maquina anIitriona, pero sin aIectar al
Iuncionamiento de esta.
Un troyano no es de por si, un virus, aun cuando teoricamente pueda ser distribuido y Iuncionar
como tal. La diIerencia Iundamental entre un troyano y un virus consiste en su Iinalidad. Para que
un programa sea un "troyano" solo tiene que acceder y/o controlar la maquina anIitriona sin ser
advertido, normalmente bajo una apariencia inocua. Al contrario que un virus, que es un huesped
destructivo, el troyano evita provocar daos porque no es su objetivo.
Suele ser un programa pequeo alojado dentro de una aplicacion, una imagen, un archivo de
musica u otro elemento de apariencia inocente, que se instala en el sistema al ejecutar el archivo que
lo contiene. Una vez instalado parece realizar una Iuncion util (aunque cierto tipo de troyanos
permanecen ocultos y por tal motivo los antivirus o anti troyanos no los eliminan) pero
internamente realiza otras tareas de las que el usuario no es consciente.
Habitualmente se utiliza para espiar, usando la tecnica para instalar un soItware de acceso
remoto que permite monitorizar lo que el usuario legitimo de la computadora hace y, por ejemplo,
capturar las pulsaciones del teclado con el Iin de obtener contraseas u otra inIormacion sensible.
La mejor deIensa contra los troyanos es no ejecutar nada de lo cual se desconozca el origen y
mantener soItware antivirus actualizado y dotado de buena heuristica. Es recomendable tambien
instalar algun soItware anti troyano, de los cuales existen versiones gratis aunque muchas de ellas
constituyen a su vez un troyano. Otra solucion bastante eIicaz contra los troyanos es tener instalado
un Iirewall.
Otra manera de detectarlos es inspeccionando Irecuentemente la lista de procesos activos en
memoria en busca de elementos extraos, vigilar accesos a disco innecesarios, etc.
- Cusanos
Un gusano (worm) es un programa autoreplicante que no altera los archivos sino que reside en
la memoria y se duplica a si mismo.
Los gusanos utilizan las partes automaticas de un sistema operativo que generalmente son
invisibles al usuario.
Es algo usual detectar la presencia de gusanos en un sistema cuando, debido a su incontrolada
replicacion, los recursos del sistema se consumen hasta el punto de que las tareas ordinarias del
mismo son excesivamente lentas o simplemente no pueden ejecutarse.
Un analisis del gusano Sapphire/Slammer SQL muestra que requirio de apenas 10 minutos para
expandirse por todo el mundo. Al principio la cantidad de computadoras comprometidas se
duplicaba cada 8.5 segundos. En su pico, alcanzado aproximadamente tres minutos luego de
liberarse, Sapphire escaneo la red a mas de 55 millones de direcciones IP por segundo. InIecto al
menos 75,000 victimas y probablemente mas.
(Febrero 2003, http://www.caida.org/analysis/security/sapphire/)
- Hoax
Un hoax (del ingles: engao) es un mensaje de correo electronico con contenido Ialso o
engaoso y normalmente distribuido en cadena.
Algunos inIorman sobre virus desastrosos, otros apelan a la solidaridad con un nio enIermo o
cualquier otra noble causa, otros contienen Iormulas para hacerse millonario o crean cadenas de la
suerte como las que existen por correo postal.
Los objetivos que persigue quien inicia un hoax son variadas: alimentar su ego, captar
direcciones de correo y saturar la red o los servidores de correo. Tal como su predecesor el spam, el
hoax hace perder tiempo, crea conIusion, ademas de incrementar el traIico en la red o saturar los
servidores.
Tambien es comun que estos correos sean reenviados por muchas personas, que al no tener
cuidado dejan las direcciones de correo de sus conocidos en el mensaje, haciendolo mas grande
cada vez que es enviado, y oIreciendo una jugosa cantidad de correos electronicos a los spammers.
- Bomba Lgica
Una bomba logica es un programa inIormatico que se instala en un ordenador y permanece
oculto hasta cumplirse una o mas condiciones preprogramadas para entonces ejecutar una accion. A
diIerencia de un virus, una bomba logica jamas se reproduce por si sola.
Ejemplos de condiciones predeterminadas son:
Dia de la semana concreto.
Hora concreta.
Pulsacion de una tecla o una secuencia de teclas concreta.
Levantamiento de un interIaz de red concreto.
Ejemplos de acciones:
Borrar la inIormacion del disco duro.
Mostrar un mensaje.
Reproducir una cancion.
Enviar un correo electronico.

Spyware (programas espa)
Los programas espa (tambien conocidos como spyware o adware) son aplicaciones que
recopilan inIormacion sobre una persona u organizacion sin su conocimiento. La Iuncion mas
comun que tienen estos programas es la de recopilar inIormacion sobre el usuario y distribuirlo a
empresas publicitarias u otras organizaciones interesadas, pero tambien se han empleado en circulos
legales para recopilar inIormacion contra sospechosos de delitos, como en el caso de la pirateria de
soItware. Ademas pueden servir para enviar a los usuarios a sitios de Internet que tienen la imagen
corporativa de otros, con el objetivo de obtener inIormacion importante.
Pueden tener acceso por ejemplo a: el correo electronico y el password; direccion IP y DNS;
teleIono, pais; paginas que se visitan, que tiempos se esta en ellas y con que Irecuencia se regresa;
que soItware esta instalado en el equipo y cual se descarga; que compras se hacen por Internet;
tarjeta de credito y cuentas de banco.
Los programas espia pueden ser instalados en un ordenador mediante un virus, un troyano que
se distribuye por correo electronico, o bien puede estar oculto en la instalacion de un programa
aparentemente inocuo.
Los programas de recoleccion de datos instalados con el conocimiento del usuario no son
realmente programas espias si el usuario comprende plenamente que datos estan siendo recopilados
y a quien se distribuyen.
Los cookies son un conocido mecanismo que almacena inIormacion sobre un usuario de
Internet en su propio ordenador, y se suelen emplear para asignar a los visitantes de un sitio de
Internet un numero de identiIicacion individual para su reconocimiento subsiguiente. Sin embargo,
la existencia de los cookies y su uso generalmente no estan ocultos al usuario, quien puede
desactivar el acceso a la inIormacion de los cookies. Sin embargo, dado que un sitio web puede
emplear un identiIicador cookie para construir un perIil del usuario y este no conoce la inIormacion
que se aade a este perIil, se puede considerar a los cookies una Iorma de spyware.

Robos de datos personales en Internet
Se los utiliza para cometer Iraudes Iinancieros. Para obtenerlos, los hackers invaden
computadoras y montan sitios Ialsos en la Web. El 80 de los virus buscan amenazar la
inIormacion conIidencial.

Un inIorme sobre las amenazas a la seguridad en Internet da cuenta de un cambio de conducta
en los hackers (crackers, mas precisamente). Los atacantes parecen descartar las amenazas que
destruyen o comprometen la seguridad de la inIormacion para dedicarse al robo de la informacin
confidencial, financiera y personal y obtener ganancias.

Uno de los principales blancos de ataque son las aplicaciones Web. Por donde se vende en
Internet? Por una pagina Web de comercio, o un banco, que se publica en un servidor Web. Se
atacan los programas, las aplicaciones, que ponen en Internet la venta digital o el servicio de banca
electronica. Y apuntan a la mediana o pequea empresa, porque las grandes empresas tienen niveles
de seguridad mas altos.

Estas aplicaciones presentaron el mayor numero de vulnerabilidad de su historia. Al decir
vulnerabilidad se habla de errores, agujeros de diseo, que se corrigen con parches. El problema
es que desde que alguien la descubre y la hace publica, el parche del Iabricante tarda en promedio
49 dias en salir. Es decir, que hay un largo tiempo en descubierto. Por que hay tantos errores?
Porque salen 'verdes' al mercado, por necesidad de marketing o por la competencia.

Otra tecnica usada es el llamada phishing, que consiste en conducir al usuario a entrar en un
sitio Web falso, que simula, por ejemplo, ser la pagina de inicio de un banco. Al ingresar la clave y
otros datos personales, los delincuentes se alzan con esos datos valiosos. Un estaIador inIormatico
enviaba mails a clientes con la indicacion de ingresar al sitio Web del banco. Pero este era Ialso. No
hubo deIraudados porque el banco reacciono a tiempo y bien. Pero estuvo el intento. Por eso se
recomienda no entrar a ninguna pgina por medio de un link en un mail.

Las inIecciones bot son virus, redes zombies, que alguien te deja en tu maquina, un programa
que esta latente hasta que alguien le ordena: 'hace algo, vamos a atacar el sitio tal'. Entonces tu
maquina Iorma parte de una Iuerza de ataque. AIecta la perIormance de la maquina y, cuando
sucede el ataque, corre algunos peligros.

Otro tipo de ataque lo suIrio una empresa que se iba a presentar en una licitacion. Entraron a su
sistema, se apropiaron de datos clave, como el precio que iban a presentar en la licitacin. La
perdieron.

Y otro caso es el "secuestro" de datos importantes. Aprovechando los agujeros que deja la
comunicacion sin cables, a un empresario que no dejaba de lado su laptop le ingresaron en la
maquina, le encriptaron inIormacion importante y luego lo llamaron para pedirle que hiciera un
deposito en una cuenta bancaria a cambio de liberarle los datos (Iuente: Symantec).

Consideraciones bsicas sobre seguridad

Antes de implementar un sistema de seguridad conviene plantearse algunas cuestiones:

- Que va a ser protegido?

Datos (privacidad, integridad, disponibilidad)
Recursos computacionales.
Reputacion (por ej., si se trata de la seguridad de un sistema de paso)

- Contra que tipo de ataque?
- Cual de los ataques es probable?

Una consideracion basica a tener en cuenta es que 'el costo de proteccion contra un ataque
debe ser menor que el valor a perder si un ataque es realizado.

Se deben implementar mecanismos de proteccion de modo eIiciente y con un costo aceptable
(hardware, soItware, mantenimiento y actualizacion).

Es indispensable revisar los procesos en Iorma continua y perIeccionar los mecanismos de
proteccion cada vez que un ataque es percibido (controles solapados).


Calidad en un Sistema de Informacin

La calidad de un sistema de inIormacion no solo se logra con un buen diseo del sistema o con
un bajo nivel de riesgo. Para asegurar la calidad es necesario ademas, revisar la documentacion
asociada al soItware con el objetivo de veriIicar su cobertura, correccion, conIiabilidad y Iacilidad
de mantenimiento.

Debe agregarse tambien, que el sistema debe cumplir las especiIicaciones y requerimientos
para su uso y desempeo deseados.


Niveles de seguridad

Para obtener la calidad mencionada anteriormente, en el analisis y diseo de los sistemas debe
contemplarse los siguientes niveles:

a) Prueba

Debido a que en el desarrollo de un sistema no puede demostrarse que este exento de errores, el
concepto de prueba puede deIinirse como el proceso de ejecutar un programa con la Iinalidad de
encontrar errores o Iallas, los mismos que deben corregirse para dar mayor conIiabilidad a un
sistema.

b) Verificacin y Validacin

De manera similar al anterior, la veriIicacion permite hallar errores y se realiza al ejecutar un
programa en un ambiente simulado.

La validacion consiste en un proceso por el cual se usa un soItware en un ambiente no
simulado, con el Iin de encontrar errores que de existir, origina cambios en el sistema.

Para ello se hace trabajar al sistema en un ambiente real, en el cual se procesan las
transacciones en directo, emitiendo las salidas normales.

No puede establecerse un periodo de validacion que puede ser corto o prolongado. Mientras
dure, el sistema puede Iallar y se tiene que proceder a su modiIicacion.

c) Certificacin

La certiIicacion consiste en garantizar que un sistema de inIormacion o soItware determinado
este correcto.


Orange Book (Libro Naranja)

Hay que tomar en cuenta que existen diIerentes organizaciones, con diIerentes tipos de
inIormacion y por lo tanto con distintos requerimientos de seguridad. La necesidad de evaluar la
seguridad, o de tener una medicion conIiable, es el motivo principal al desarrollar este documento
por el gobierno de los E.E.U.U.

El Libro Naranja es consecuencia de la creciente conciencia de la seguridad por parte el
gobierno de los Estados Unidos y de la industria, ambos con la creciente necesidad de estandarizar
el proposito y el uso de las computadoras por el gobierno Iederal.

El Libro Naranja define cuatro extensas divisiones jerrquicas de seguridad para la
proteccion de la inIormacion. En orden creciente de conIiabilidad se tienen:

D: Proteccion minima
C: Proteccion discrecional
B: Proteccion obligatoria
A: Proteccion controlada.

Cada division consiste en una o mas clases numeradas, entre mas grande sea el numero se
indica un mayor grado de seguridad.

La division C contiene dos distintas clases C1 y C2 (de acuerdo a la nomenclatura adoptada:
C2 oIrece una mayor seguridad que C1).

La division B contiene 3 clases B1, B2 y B3 (B3 oIrece mayor seguridad que B2, y B2 oIrece
mas seguridad que B1).

La division A cuenta con solo una clase A1.


D: no hay proteccion disponible para el hardware; ni identiIicacion de usuario. Ejemplo:
DOS.

C1: nivel de proteccion de seguridad discrecional, se identiIica el usr con password que
determina nivel de acceso a programas, archivos y directorios. El privilegio de root es
necesario.

C2: medio de acceso controlado con auditoria (control vs. mayores recursos). Tienen
permisos mas niveles de autorizacion. Es posible tener privilegios sin ser root.

B1: nivel de proteccion etiquetada (seguridad multinivel). Objetos bajo control de acceso
obligatorio. P.ej.: el dueo no puede modiIicar los permisos.

B2: proteccion estructurada, se etiqueta cada objeto, los dispositivos pueden tener un nivel
multiple de seguridad. Es el primer nivel que se reIiere al problema de seguridad de un
objeto en comunicacion con otro objeto de un nivel inIerior.

B3: nivel de dominios de seguridad (reIuerza los dominios con instalacion de hardware, p.
ej.: hardware de administracion de memoria). Requiere una ruta de acceso segura para el
usuario.

A: nivel de diseo veriIicado. Exhaustivo nivel de diseo, veriIicacion y control, supone una
distribucion conIiable de hardware y soItware

Cada clase se deIine con un grupo especiIico de criterios que un sistema debe cubrir, para ser
certiIicado con la evaluacion en alguna clase. Este criterio cae en 4 categorias generales: polticas
de seguridad, responsabilidad, confianza y documentacin.


Cul es el Propsito del Libro Naranja?

De acuerdo con el texto mismo, el criterio de evaluacion se desarrolla con 3 objetivos basicos:

1) Medicin

Para proporcionar de elementos cuantiIicables al Departamento de DeIensa (DoD) con los
cuales poder evaluar el grado de conIianza que se puede tener en los sistemas inIormaticos seguros,
para el proceso de clasiIicacion de inIormacion sensitiva.

El proveer a los usuarios con un criterio con el cual se evalue la conIianza que se puede tener
en un sistema de computo para el procesamiento de la seguridad o clasiIicacion de inIormacion
sensitiva. Por ejemplo, un usuario puede conIiar que un sistema B2 es mas seguro que un sistema
C2.

2) Direccin

Para proporcionar un estandar a los Iabricantes en cuanto a las caracteristicas de seguridad que
deben de implementar en sus productos nuevos y planearla con anticipacion, para aplicarla en sus
productos comerciales y asi oIrecer sistemas que satisIacen requisitos de seguridad (con enIasis
determinado en la prevencion del acceso de datos) para las aplicaciones sensitivas.

3) Adquisicin

El proporcionar las bases para especiIicar los requerimientos de seguridad en adquisiciones
determinadas.

Mas que una especiIicacion de requerimientos de seguridad, y tener vendedores que respondan
con una gama de piezas. El libro naranja proporciona una via clara de especiIicaciones en un juego
coordinado de Iunciones de seguridad. Un cliente puede estar seguro que el sistema que va a
adquirir Iue realmente veriIicado para los distintos grados de seguridad.


Common Criteria (C.C.)

Es un standard internacional para seguridad inIormatica.
Establece las bases para evaluar propiedades de seguridad de productos y sistemas de
tecnologias de la inIormacion.
Permite que se puedan comparar evaluaciones independientes.
Encara la proteccion de inIormacion desde:
ConIidencialidad (accesos no autorizados)
Integridad (intentos de modiIicacion)
Disponibilidad (perdida de uso)
Aplicable a medidas de seguridad de tecnologias inIormaticas implementadas en hardware,
soItware y Iirmware

A diIerencia de otros standards, no provee una lista de requerimientos de seguridad o
caracteristicas que los productos deben cumplir sino que describe una estructura bajo la cual los
usuarios de sistemas inIormaticos pueden especiIicar sus requerimientos de seguridad, los
desarrolladores pueden proclamar los atributos de seguridad de sus productos y los evaluadores
pueden determinar si los productos se ajustan a ellos. En otros terminos, C.C. provee la seguridad
de que los procesos de especiIicar, desarrollar y evaluar un producto de seguridad inIormatico Iue
hecho en Iorma rigurosa (Iuente: www.commoncriteriaportal.org).

La version 2.0 del C.C., que ha sido adoptada por la I.S.O. (ISO 15408) tiene 3 partes:

Parte 1: Introduccin y Modelo General

- Terminologia, derivacion de requerimientos y especiIicaciones.

Parte 2: Requerimientos de Seguridad Funcional

- Comportamiento deseado de la tecnologia de seguridad de la inIormacion

Parte 3: Requerimientos para el Aseguramiento de la Seguridad

- Medidas proveyendo conIianza que la seguridad Iunciona, esta eIectiva y correctamente
implementada.


Provee 8 niveles de seguridad EAL ('Evaluation Assurance Levels):

EAL0: Seguridad inadecuada
EAL1: Funcionalmente testeado
EAL2: Estructuralmente testeado
EAL3: Metodologicamente testeado y chequeado
EAL4: Metodologicamente diseado, testeado y revisado
EAL5: Semi-Iormalmente diseado y testado
EAL6: Semi-Iormalmente veriIicado, diseado y testeado
EAL7: Formalmente veriIicado, diseado y testeado


A grandes rasgos:

EAL0 y EAL1 equivalen a D (Orange Book)
EAL2 --- C1
EAL3 --- C2
EAL4 --- B1
EAL5 --- B2
EAL6 --- B3
EAL7 --- A1

Ejemplos de certiIicaciones:

SUSE Linux Enterprise Server Version 9: EAL3 (13 de octubre de 2005).

Red Hat Enterprise Linux 3: EAL2 (Iebrero de 2004).

Windows 2000 ProIessional, Server and Advanced Server: EAL4 (octubre 2002).

MicrosoIt Windows Server 2003 y Windows XP: EAL4 (6 de noviembre de 2005).

Cisco Secure PIX Firewall V5.2(3): EAL4 (enero de 2001).

Gauntlet Firewall Version 6.0 on Sun Solaris, V2.8: EAL4 (abril de 2002).



Cmo proteger una red?

Firewalls, sistemas que intermedian toda comunicacion con Internet.

Computador de entrada a la red interna rigurosamente controlado.

Restriccion de Iuncionalidades:

Tipo de traIico que puede cruzar la barrera.
Bloquear traIico indeseado (de una red poco conIiable)
Permitir traIico deseado de servidores genericos.

Soluciones con criptograIia.

Reglas para deIinicion de contraseas.

Hardware para apoyo de autenticacion.


Niveles a analizar

Nivel de Red (p.ej.: escuchas).

Nivel de gateways o redes intermedias.

Nivel de identiIicacion de MAC address.

Nivel de identiIicacion de IP (absoluto o por DHCP).

Nivel de identiIicacion servicio-port.

Nivel de identiIicacion por nombre de host.

Nivel de identiIicacion de usuario.

Ataques comunes

Ataque de denegacin de servicios (DoS)
En uno de estos ataques, el intruso intenta evitar que usuarios legitimos accedan a inIormacion
o servicios. Para ello, el intruso apunta a un computador o a su conexion de red, o a los
computadores y redes de un sitio, evitando asi que de pueda acceder a su servidor de correo, ver una
pagina web, una cuenta en linea (la de un banco, por ejemplo), u otro servicio que reside en el sitio
aIectado.
El mas comun y obvio ataque de denegacion de servicio ocurre cuando un atacante "inunda"
una red con inIormacion. Por ejemplo, al escribir una URL para ver cierta pagina web, se esta
haciendo una solicitud a traves de Internet para que una computadora envie inIormacion (una
pagina web). Dicha computadora puede procesar un cierto numero de solicitudes a la vez, de
manera que si un atacante puede sobrecargar al servidor con solicitudes, no podra procesar mas
requerimientos. Ese es un ataque de "denegacion de servicios", porque ya no es posible acceder al
sitio.
Ataque distribuido de denegacin de servicios (DDoS)
En un ataque distribuido de denegacion de servicio (DDoS), un atacante puede usar una
computadora ajena a el para atacar a un tercero. Al tomar ventaja de vulnerabilidades de seguridad,
un intruso puede tomar control de una computadora. Puede entonces Iorzarla a enviar enormes
cantidades de datos a traves de Internet, a un sitio web, o a una direccion electronica particular. El
ataque es "distribuido" porque el atacante usa multiples computadores para lanzar el ataque de
denegacion de servicio en Iorma simultanea.
DesaIortunadamente, no hay maneras eIectivas de evitar ser una victima de un ataque DoS o
DDoS, pero hay precauciones a tomar para reducir la probabilidad de que un atacante use una
computadora para atacar a otros (uso de Iirewalls, antivirus actualizados, antispam, etc.).
Source address spoofing (IP spoofing)
Tecnica para obtener acceso no autorizado a un host, a traves del cual el intruso envia mensajes
a otro host como si procediese de una Iuente conIiable. Para lograr esto, el hacker usa diIerentes
tecnicas para descubrir una direccion IP de un host conIiable, modiIicando el paquete de Iorma tal
que parezca proceder de ese host conIiable. Para lograr su proposito, debe enviar paquetes IP con la
direccion origen 'IalsiIicada (spooIed).
Esta tecnica de ataque permite a un intruso vulnerar la seguridad de una red basada en
autenticacion a nivel IP. El atacante gana acceso total al host original, simulando ser un host
operativo o servidor y el host real es inmovilizado ('denial oI service - DoS -).
SYN flooding
Consiste en 'inundar con pedidos de conexion TCP (SYN) con direccion de retorno invalida
al servidor objetivo, llenando su cola de requerimientos de conexion de Iorma tal que las
conexiones validas no puedan establecerse.
Algunos metodos de proteccion involucran Iiltrado de paquetes, no autorizando que aquellos
con direccion de retorno ajena a la red origen sean emitidos o usando monitoreo inteligente de redes
en los Iirewalls.

Smurf

Consiste en realizar un eco ICMP (ping) a una direccion de broadcast 'spooIing (IalsiIicando)
la direccion de origen. El nodo ampliIicador lo convierte en broadcasts de capa 2 y los nodos
destino responden a la direccion de la victima, inundandolo con mensajes de respuesta y generando
un DoS.

Para evitar Iormar parte de este tipo de ataque, en los routers Cisco, por ejemplo, debe
deshabilitarse la opcion de redirigir broadcasts mediante 'no ip directed-broadcast. Otras
soluciones: no permitir el 'spooIing de direcciones IP y Iiltrar paquetes ICMP.


Ataques por ingeniera social
Es la practica de obtener inIormacion conIidencial a traves de la manipulacion de usuarios
legitimos. Un ingeniero social usara comunmente el teleIono o Internet para engaar a la gente y
llevarla a revelar inIormacion sensible, o bien a violar las politicas de seguridad tipicas. Con este
metodo, los ingenieros sociales aprovechan la tendencia natural de la gente a conIiar en su palabra,
antes que aprovechar agujeros de seguridad en los sistemas inIormaticos. Generalmente se esta de
acuerdo en que 'los usuarios son el eslabon debil en seguridad; este es el principio por el que se
rige la ingenieria social.
Un ejemplo contemporaneo de un ataque de ingenieria social es el uso de archivos adjuntos en
e-mails que ejecutan codigo malicioso (por ejemplo, usar la maquina de la victima para enviar
cantidades masivas de spam). Ahora, luego de que los primeros e-mails maliciosos llevaron a los
proveedores de soItware a deshabilitar la ejecucion automatica de archivos adjuntos, los usuarios
deben activar los archivos adjuntos de Iorma explicita para que ocurra una accion maliciosa.
Muchos usuarios, sin embargo, cliquean ciegamente cualquier archivo adjunto recibido,
concretando de esta Iorma el ataque.
Quiza el ataque mas simple que aun es eIectivo sea engaar a un usuario llevandolo a pensar
que uno es un administrador del sistema y solicitando una contrasea para varios propositos. Los
usuarios de sistemas de Internet Irecuentemente reciben mensajes que solicitan contraseas o
inIormacion de tarjeta de credito, con el motivo de "crear una cuenta", "reactivar una
conIiguracion", u otra operacion benigna; a este tipo de ataques se los llama phishing (pesca). Los
usuarios de estos sistemas deberian ser advertidos temprana y Irecuentemente para que no
divulguen contraseas u otra inIormacion sensible a personas que dicen ser administradores. En
realidad, los administradores de sistemas inIormaticos raramente (o nunca) necesitan saber la
contrasea de los usuarios para llevar a cabo sus tareas. Sin embargo incluso este tipo de ataque
podria no ser necesario -en una encuesta realizada por la empresa InIoSecurity, el 90 de los
empleados oIicinistas revelo sus contraseas a cambio de un boligraIo barato-.
Kevin Mitnick es uno de los hackers mas Iamosos de los Estados Unidos (lo cierto es que en
esencia, Mitnik siempre ha sido un Phreaker -persona que interIiere en los sistemas teleIonicos, de
Iorma ilegal, mediante el uso de tecnologia para poder obtener algun tipo de beneIicio como
llamadas gratuitas y mas-). Su ultimo arresto se produjo en 1995, tras ser acusado de entrar en
algunos de los ordenadores mas "seguros" de EE.UU. Ya habia sido procesado judicialmente por
diversos delitos electronicos.
El caso de Kevin Mitnick (su ultimo encarcelamiento) alcanzo una gran popularidad entre los
medios americanos por la lentitud del proceso (hasta la celebracion del juicio pasaron mas de dos
aos), y las estrictas condiciones de encarcelamiento a las que estaba sometido (se le aislo del resto
de los presos y se le prohibio realizar llamadas teleIonicas durante un tiempo por su supuesta
peligrosidad).
Tras su puesta en libertad en 2002, Kevin Mitnick se dedica a la consultoria y el asesoramiento
en materia de seguridad, a traves de su compaia "Mitnick Security"(anteriormente llamada:
DeIensive Thinking).
Kevin Mitnik se dedica a la consultoria desde la optica particular de la ingenieria social,
considera que mas alla de las tecnicas de hardware y soItware que se pueden implementar en las
redes, el Iactor determinante de la seguridad de las mismas es la capacidad de los usuarios de
interpretar correctamente las politicas de seguridad y hacerlas cumplir.

Polticas de seguridad

Es necesario que una organizacion deIina politicas de seguridad, en las cuales se deben tener en
cuenta que:

La Seguridad debe ser considerada desde la Iase de diseo de un Sistema, como parte integral
del mismo.
Debe darse mayor importancia a la toma de medidas de seguridad, teniendo siempre presente
que es indispensable, no solo para el buen Iuncionamiento sino tambien para el mantenimiento
del sistema.
Las politicas de seguridad deben ser deIinidas por los Iuncionarios de alto nivel, los cuales
deben ser motivados de manera que tengan un rol importante.

Los encargados de soporte, aquellos que son responsables de gestionar la seguridad inIormatica
en la organizacion, han de considerar las siguientes medidas:

Distribuir las reglas de seguridad.
Escribir en una lista las reglas basicas de seguridad que los usuarios han de seguir, para
mantener la seguridad y ponerlas en un lugar publico destacado. Se puede incluir un dibujo en
un poster para dar mayor reIerencia. Se debe considerar la posibilidad de distribuir las reglas
por todas las computadoras personales.
Hacer circular regularmente avisos sobre la seguridad. Utilizar ejemplos de daos y problemas
procedentes de periodicos, revistas, para ilustrar la necesidad de la vigilancia por mantener la
seguridad. Intentar que estos avisos sean interesantes, sin entrar en muchos detalles, ya que en
caso contrario podria inspirar imitaciones.
Establecer incentivos para la seguridad. Las personas que rompen la seguridad poseen un
incentivo para hacerlo. De a las personas de su organizacion un incentivo para mantenerla.
Establezca premios para las ideas que supongan trucos de seguridad y que apoyen las medidas
de seguridad oIiciales. Haga que los responsables oIrezcan recompensas sustanciosas a los
ganadores.
Establezca una linea de comunicacion sobre seguridad. El personal debe conocer donde puede
obtener consejos sobre los temas de seguridad. Tambien deben de poder inIormar sobre
violaciones de la seguridad o actividades sospechosas de Iorma anonima. Por otro lado,
oIrezca recompensas por inIormar de las violaciones de seguridad.

Las normas de seguridad tambien describen el modo de Iuncionamiento de los dispositivos de
seguridad y su administracion. Por ejemplo, supongamos un dispositivo simple de bloqueo de
teclado. En las normas de seguridad se podria indicar:
'Todos los usuarios bloquearan su teclado cada vez que dejen sin atencion su sistema.

Pero esto no es suIiciente. Debe estar reglamentado quien ha de disponer de la llave principal y
quien ha de controlar las copias.


Responsables de la Seguridad

Como las normas de personal o de contratacion, las normas o politica de seguridad
constituyen un documento Iundamental para una empresa que se apoye en computadoras. En
este documento se ha de Iijar la responsabilidad de cada nivel dentro de la organizacion
respecto a las medidas de seguridad.
Las responsabilidades especiIicas para la proteccion de los datos, sistemas, programas,
unidades de equipo, etc. deben ser Iirmemente mantenidos si se desea una seguridad
adecuada.
En general, la persona con el control Iisico en un activo (datos, sistemas y programas), debe
ser el responsable inmediato de su proteccion. En el caso de datos del Centro de
Procesamiento de Datos, esta persona es el JeIe de dicho Centro.
Los Auditores internos y el personal de seguridad deben revisar que se les de una adecuada
proteccion a los datos. Debido a que ellos no tienen control Iisico sobre esto, no pueden tener
la responsabilidad principal de su cuidado, pero si del cumplimiento de las normas y
procedimientos de seguridad.
Hasta el grado permitido por el tamao de sus operaciones, la responsabilidad de escribir,
procesar o autorizar un programa, trabajo o especiIicamente un cambio, debe ser asignado a
diIerentes personas. La separacion eIectiva de Iunciones sensitivas relacionadas, ayudara a
reducir los errores y el riesgo de actos no autorizados cometidos deliberadamente por el
personal de Procesamiento de Datos.
Las normas se han de trasladar en la jerarquia para que las personas clave, implementen las
medidas de seguridad dadas y ejecuten las acciones adicionales necesarias. Por ejemplo:
'Cualquiera que utilice una computadora personal debera grabar su trabajo y desconectar la
computadora, siempre que la deje de usar.
El responsable del servicio de inIormatica realizara comprobaciones puntuales para asegurar
que las copias de seguridad se realizan segun el plan aprobado.
Cuando se elabora la politica de seguridad, tambien se debe tener muy en cuenta: adoctrinar
al personal de procesamiento de datos en la importancia de la seguridad y la
responsabilidad de cada uno en su mantenimiento.
Es necesario que el personal de Procesamiento de Datos este enterado de como aIecta su rol
clave, en cada una de las areas que soporta. Esto puede ayudarlos a entender la magnitud de
los problemas que pueden crear, si no estan continuamente alertas a la necesidad de proteger
los datos encargados a ellos. Cuando la gente de Procesamiento de Datos este consciente de la
importancia de sus actividades, la organizacion entera puede beneIiciarse.