Ingeniería de la seguridad

Es una disciplina
El objetivo es contar con sistemas “inmunes” a actos
maliciosos, errores o mala suerte
Son las herramientas, procesos y métodos para diseñar,
implementar y probar los sistemas de manera completa y
con un grado de adaptabilidad adecuado, incluso a su
contexto

Implica conocimientos en varias disciplinas (“experiencia

transversal”)
Seguridad informática
Aspectos legales, de auditoría
Criptografía
etc.
1
Ingeniería de la seguridad

Los fallos de los sistemas pueden tener consecuencias

variadas
Riesgo de vida (centrales nucleares)
Daños económicos (bancos)
Divulgación de información privada (salud)

Los diferentes sistemas tienen diferentes requerimientos

de seguridad
Los mismos sistemas, en diferentes ámbitos, tienen
diferentes requerimientos de seguridad

Requerimientos: integridad, accountability, autenticación,

confidencialidad, etc.

2
Ingeniería de la seguridad

Resulta fundamental identificar los activos a proteger y

luego, cómo protegerlos

Posibles fallas de los sistemas: se protegen las cosas

equivocadas o las cosas correctas pero de la manera
equivocada

Ross Anderson plantea en su libro, algunos ejemplos de

aplicación de éstos conceptos (¡leerlos!)

Bancos
Hospitales
Hogares
etc.
3
Algunos conceptos relacionados

Sistema

Un producto o un componente (el hardware de una

computadora)
Una colección de lo anterior, más un sistema operativo y
demás cosas que conforman una infraestructura
Lo anterior más una o más aplicaciones
Lo anterior más el personal de IT
Lo anterior más personal de gestión
Lo anterior más clientes y otros usuarios externos
Lo anterior más prensa, competidores, reguladores,...

4
Algunos conceptos relacionados

Seguridad
Ross Anderson dice que es una “palabra terriblemente
sobrecargada”, incluso a veces con siginificados
incompatibles

Ejemplo
empresa y empleados
Navegar y enviar correos
Para la empresa, la seguridad es poder monitorizar la
actividad web y de e-mail de los empleados
Para los empleados, la seguridad es poder realizar actividad
web y correo sin ser monitorizados

5
Algunos conceptos relacionados

Seguridad
Refiere a la protección de los activos
Implica entonces, identificarlos y saber cómo protegerlos
Medidas de protección (“el ciclo de vida del trabajo en
seguridad”)
Prevención
Evitar que los activos sean dañados (que un ataque tenga éxito)
Detección
Detectar que un activo ha sido dañado, cómo fue dañado o por
quién
No es posible prevenir todo y a veces “no se quiere”
Reacción o Recuperación
Recuperar el activo o remediar el daño que se le causó

6
Algunos conceptos relacionados

Seguridad Informática

Trata de la gestión del acceso a los datos y los recursos

Servicios
Confidencialidad
Prevención de difusión no autorizada de la información
Integridad
Prevención de la modificación no autorizada de la información
Disponibilidad
Prevención de apropiación no autorizada de la información o de
los recursos

Podemos agregar autenticación, accountability, no repudio,

control de acceso

7
Algunos conceptos relacionados

Confidencialidad

Prevenir el leer o enterarse de cierta información sensible

por parte por parte usuarios no autorizados.

Reúne los aspectos de privacidad y secreto de la seguridad

informática

Privacidad
Relacionada con la protección de los datos de los usuarios

Secreto
Relacionada con la protección de los datos de las
organizaciones

8
Algunos conceptos relacionados

Integridad
Difícil de definir y con varias definiciones posibles
Prevención de escrituras no autorizadas
Aún autorizado, prevenir que los activos de una organización
se pierdan o corrompan
En la comunicaciones, refiere a la detección y posible
correción de modificaciones, inserciones, borrados y replays
de datos transmitidos
Consistencia
Que el comportamiento de un sistema sea idéntico en las
mismas circunstancias.

9
Algunos conceptos relacionados

Disponibilidad

Que el activo esté accesible y utilizable ante la demanda de

una entidad autorizada
Se la puede relacionar a los mecanismos de “tolerancia a
fallas” de los sistemas
Un enemigo posible es el Denial of Service (DoS)
No permitir el acceso autorizado a los recursos o retardar las
operaciones críticas en el tiempo
Ejemplo
Ataque denominado smurf
Ping dirigido al broadcast de una red engañando la IP
origen de los paquetes, configurando así la víctima del
ataque (ataque spoofing)
A veces las soluciones son muy costosas y/o difíciles de
implementar
10
Algunos conceptos relacionados

Autenticación

Asegurar que determinada entidad de comunicación es

quien dice ser

“Decir quién es”, es el concepto asociado a Identificación

Si una entidad pretende establecer una comunicación con

otra, se debería identificar para poder ser autenticada y lo
mismo podría ocurrir en el otro sentido (concepto de
autenticación mutua)

11
Algunos conceptos relacionados

Accountability

Hasta ahora vimos las propiedades tradicionales de

Seguridad Informática, las enfocadas a la prevención
Es la información de auditoría que debe ser selectivamente
mantenida y protegida de manera de poder seguir el rastro
de las acciones que afectaron la seguridad de un sistema, e
identificar a los responsables.
Se deben poder almacenar de manera adecuada los
eventos de seguridad relevantes
Debe ser posible para ello, poder identificar y autenticar a
los usuarios.
Registro (“logs”)
Idealmente, que toda acción en un sistema sea registrada.
Realidad:Capacidad de almacenamiento, performance, que el
gran volumen “no importante” no oculte lo “sí importante” 12
Algunos conceptos relacionados

No repudio

Servicio que provee evidencia no fraguada de que una

acción específica ha ocurrido

En seguridad de comunicaciones

No repudio de origen

Evidencia de quién envió un documento

No repudio de entrega

Evidencia que un mensaje fue entregado

13
Identificación y autenticación

La entidad dice quién es

Ejemplo
Log on en un sistema
Username y Password

Recordar que la autenticación es verificar si eso es cierto

Ejemplo
Comparando los datos ingresados con los almacenados en
algún lugar (archivo, base de datos)

Repetición de intentos de autenticación

Una posible medida: fallas repetidas pueden bloquear a

cierto username
14
Algunos conceptos relacionados

Control de acceso

A quien se identifica, si se le autentica, se le determina el

control de acceso

Se determina a qué recursos puede acceder (concepto de

autorización)

15
Algunos conceptos relacionados

Seguridad Informática (Computer Security - Gollmann)

“Qué se hace” (proactivo)

Trata de la prevención y detección de acciones no
autorizadas de los usuarios de un sistema
Cobra relevancia la autorización y el control de acceso
Debe existir una Política de Seguridad

“Porqué se hace” (reactivo)

Medidas que se toman para tratar con acciones intencionales
realizadas por entidades que se comportan de manera
inadecuada

16
Gestión de password

La mayoría de las computadoras utilizan username y

password como identificación y autenticación.

Es una rutina que tenemos incorporada en nuestra vida

diaria la mayoría de nosotros.

Ello hace que la gestión de las passwords cobre especial

importancia. Basta pensar cual sería el impacto que otra
persona conozca nuestra password de algún sistema que
utilizamos frecuentemente.

Password Security: What Users Know and What They Actually

Do (Shannon Riley)
http://psychology.wichita.edu/surl/usabilitynews/81/Passwords.htm
17
Gestión de passwords

La password es un secreto que se comparte entre el

usuario y el sistema de autenticación
Las passwords pueden ser
Débiles
Molestas
Cada vez utilizamos más passwords, pero,
¿cómo hacemos para recordarlas?
¿las modificamos periódicamente?
¿cambiamos sus valores por defecto?
Password “standard”
Por ejemplo, sistema en desarrollo que pasa a producción

18
X.800 de ITU-T

Arquitectura de seguridad para el modelo de referencia

OSI

Se focaliza en los siguientes conceptos

Ataques
Cualquier acción que compromete la seguridad de algún
activo de una organización
Servicios (los vimos en las diapositivas anteriores)
Procesamiento o servicio de comunicación que enriquece la
seguridad de los servicios de procesamiento de datos y de la
transferencia de información de una organización
Mecanismos
Proceso o dispositivo que lo incorpora, diseñado para
prevenir, detectar o recuperarse de un ataque
19
Ataques

Pasivos

Aprender o hacer uso de la información de un sistema pero

sin afectarla

Pueden implicar

Análisis del contenido de los mensajes

Análisis del tráfico

20
Ataques pasivos

21
Ataques pasivos

22
Ataques

Activos

Afectan los recursos o la información

Pueden implicar
Modificar los mensajes
Introducir mensajes
Tipos
Asumir el rol de otro (masquerade)
Retrasmitir mensajes escuhados (replay)
Modificación de mensaje: alterar una parte del mensaje,
retrasarlo, reordenarlo
Denial of Service: evitar que los mensajes lleguen a
determinado destino o interrumpir las comunicaciones en una
red o el acceso a determinado servicio
23
Ataques activos

24
Ataques activos

25
Ataques activos

26
Ataques activos

27
Mecanismos

Cifrado
Firmas digitales
Control de acceso
Integridad de los datos
Intercambio de autenticación
Relleno con bits
Control de enrutamiento
Certificación
Etiquetado de seguridad
Detección de eventos de seguridad relevantes

28
Modelo muy general de seguridad en la red

29
Modelo muy general de seguridad de acceso

30
Los roles en seguridad

Auditor, asesor, consultor

En general, externas a la organización que revisan la
seguridad de la misma (infraestructura, políticas,
procedimientos, etc)
Forense
Analizan “artefactos” que quedaron luego de un incidente
de seguridad, para tratar de identificar qué paso, cómo
pasó, quién es el responsable, y luego pueden ser testigos
si se inician acciones penales.
Captura de evidencia.
Atacante
Quien busca acceder o afectar un activo de una
organización: hackers, crackers, lamers
Usuario
31
Los roles en seguridad

Gerente de seguridad
Persona dentro de la organización encargado de analizar,
diseñar, desarrollar, implementar, probar y mejorar los
mecanismos de seguridad requeridos para proteger los
activos.
Encargado también de la revisión de los mismos

Personal de seguridad
Más cerca de la implementación de lo que genera el
gerente de seguridad

Expertos en seguridad
En el medio de los dos anteriores

32
Algunos conceptos más...

Seguridad física

Relacionada con el acceso físico a los recursos

informáticos

Seguridad lógica

Acceso a los sistemas operativos, aplicaciones, datos.

Acceso a los datos “en la red”

33
No simplificar el problema

No alcanza con “comprar un firewall y un antivirus”

Hay que

Saber configurarlos

Tener procedimientos de revisión

Realizar tareas de actualización

Analizar y correlacionar la información que entregan

...

34
Otras referencias

www.cert.org
www.securityfocus.com
www.cve.mitre.org
www.sans.org

35