PASO 6 AVANCE DE LA PROPUESTA

PROYECTO DE GRADO

ADRIANA MARIA VARGAS - Código: 52840872

GRUPO: 201014_1

GABRIEL RAMIREZ
DIRECTOR- TUTOR

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA UNAD

INGENIERÍA DE SISTEMAS
OCTUBRE 2019
FUNZA
 DESARROLLO ACTIVIDAD

1. PLANTEAMIENTO DEL PROBLEMA:

La tecnología evoluciona y se desarrolla a pasos agigantados, pero, así como evoluciona

rápidamente aumenta el número de ataques cibernéticos, o también llamados
ciberataques que afectan y comprometen los sistemas informáticos e información
sensible para muchas personas y organizaciones. El servicio de inteligencia de
amenazas de la compañía Fortinet publicó un estudio en el último congreso
Andicom que se llevó a cabo en Cartagena, que reveló que entre abril y julio del
2019 el país fue blanco de más de 40 billones de intentos de ciberataques (Dinero,
2019), en la mayoría de los casos se debe a que no se toman las medidas
necesarias, ni se destinan los recursos suficientes para prevenir este tipo de
ataques, según un estudio realizado y presentado por la firma internacional
Deloitte “Solo 10% de las empresas en Colombia tienen un área de prevención de
ciberriesgos y seguridad funcionando y se detectó que en 40% de las
organizaciones no existen roles específicos para gestionar la ciberseguridad” y
que solo “la mitad de las organizaciones colombianas destinan solo entre 1% y
5% del presupuesto de Tecnología e Información (TI) para fortalecer el sistema de
ciberseguridad” (Dinero, 2019).

La empresa Mundo Farma Ltda ubicada en la ciudad de Bogotá tiene un portal de

comercio electrónico, el cual ofrece diferentes servicios como venta y domicilio de
medicamentos, servicios especializados en salud a domicilio. En los últimos meses se
han evidenciado varios ataques a la página web afectando la operación de la empresa,
evidenciándose en la lentitud en la navegación de aplicación web, errores de conexión
en la base de datos y en algunos casos el no cargue de la página web, trayendo como
consecuencias, operaciones de comercio mal hechas o sin terminar, suspensión total de
la operación, abandono del cliente y pérdida de credibilidad, ¿Qué tecnologías modernas
y como se deben implementar en la empresa Mundo Farma Ltda para prevenir y
minimizar ataques en su portal web?
2. JUSTIFICACIÓN

Es claro que los ciberataques o ataques cibernéticos van en incremento y que para las
empresas y organizaciones es una necesidad tomar las medidas necesarias, utilizando
tecnología de punta para evitar o en su defecto minimizar los riesgos y amenazas, esto
significa incluir en el presupuesto la ciberseguridad, según el estudio realizado por
Deloitte: “la mitad de las organizaciones colombianas destinan solo entre 1% y 5% del
presupuesto de Tecnología e Información (TI) para fortalecer el sistema de
ciberseguridad” (Dinero, 2019), es hora de aprovechar las herramientas que existen en
el mercado para prevenir ataques y minimizar las pérdidas económicas que enfrentan
las empresas y organizaciones. Según estudio realizado por Mintic, OEA y el BID
demuestra que:

En Colombia más del 60% de las organizaciones encuestadas incurrieron en

costos cercanos al millón de pesos por daños relacionados con ciberataques,
mientras que el 20% gastaron entre 1 y 15 millones de pesos, el 15% entre 15 y
235 millones y el 5% presentó valores desaforados de hasta 4.000 millones de
pesos, como consecuencia de incidentes de vulneración tecnológica. (Portafolio,
2019)

Es claro que Mundo Farma Ltda se encuentra dentro de las empresas que destinan muy
poco presupuesto para ciberseguridad y no ha implementado tecnología que le permita
prevenir y/o minimizar los ataques a su portal web, la solución a este problema le traerá
varios beneficios a nivel de su operación, también a nivel económico, ya que al mejorar
su operación habrá más clientes satisfechos, a su vez atraerá más clientes.

3. OBJETIVOS
 Objetivo general:

Implementar tecnologías modernas que permitan a Mundo Farma Ltda prevenir y

minimizar ataques a su portal web para mejorar su operación y evitar la pérdida de
clientes.
  Objetivos específicos:
 Determinar las tecnologías modernas que más se ajustan a las
necesidades de la empresa Mundo Farma Ltda
 Planificar los costos y tiempos para llevar a cabo la implementación
 Llevar a cabo la implementación de la o las tecnologías modernas
seleccionadas
 Evaluar los niveles de desempeño y rendimiento de la operación, luego de
la implementación.

4. TÍTULO

Implementación de tecnologías modernas para prevenir y minimizar ataques al portal

web mejorando su operación

5. PREGUNTAS DE INVESTIGACIÓN

¿Se logrará minimizar los ataques e intrusiones al portal web?

¿Además de la implementación de tecnologías modernas que más se debe implementar

para alcanzar los objetivos propuestos?

¿La empresa qué otros beneficios se obtienen al implementar la tecnología moderna

seleccionada?

¿La implementación de tecnologías modernas hará más competitiva la empresa?

6. GLOSARIO

Ataque cibernético: Ataque iniciado desde una computadora contra un sitio web,
sistema de computación o computadora individual que compromete la confidencialidad,
integridad o disponibilidad de la computadora o información almacenada en ella.
Ciberseguridad: práctica de defender las computadoras y los servidores, los
dispositivos móviles, los sistemas electrónicos, las redes y los datos de ataques
maliciosos.

Fortinet: empresa multinacional de Estados Unidos que se dedica al desarrollo y la

comercialización de software, dispositivos y servicios de ciberseguridad, como firewalls,
antivirus, prevención de intrusiones y seguridad en dispositivos de usuario, entre otros.

Hardware: partes físicas, tangibles, de un sistema informático; sus componentes

eléctricos, electrónicos, electromecánicos y mecánicos.

Implementar: es la ejecución u/o puesta en marcha de una idea programada, ya sea, de

una aplicación informática, un plan, modelo científico, diseño especifico, estándar,
algoritmo o política.

Portal web: sitio web que ofrece al usuario, de forma fácil e integrada, el acceso a una
serie de recursos y de servicios relacionados con un mismo tema.

Software: Es el conjunto de los programas de cómputo, procedimientos, reglas,

documentación y datos asociados, que forman parte de las operaciones de un sistema
de computación.

Tecnología moderna: tecnología que se encuentra vigente en el momento,

desarrollada, aceptada y utilizada por la sociedad de forma masiva.

7. TECNOLOGÍA MODERNA O DE ALTO IMPACTO

¿Qué es?

Es la tecnología que se encuentra vigente en el momento, en el presente, desarrollada,

aceptada y utilizada por la sociedad de forma masiva, permitiendo mejorar la calidad de
vida y lograr los objetivos de las actividades diarias. Desde esta perspectiva, La
seguridad de aplicaciones web, es una rama de la Seguridad Informática que se encarga
específicamente de la seguridad de sitios web, aplicaciones web y servicios web y la
telemática se refiere a la combinación de la informática y de la tecnología de la
comunicación para el envío y la recepción de datos.

¿para qué sirve?

Las tecnologías modernas seguridad de aplicaciones web y telemática sirve para

optimizar, agilizar y mejorar los procesos, para mejorar la productividad y eficacia de las
tareas a realizar y resolver problemas de seguridad que se presentan día a día.

¿Cuáles son las características principales?

Rastreo del paso de los datos: Es importante mantener conocimiento de los pasos que
ha recorrido la información en todo momento. Conocer de dónde vienen los datos y hacia
dónde van.

Filtrar entradas: El filtrado es una de las piedras angulares de la seguridad en

aplicaciones web. Es el proceso por el cual se prueba la validez de los datos. Si nos
aseguramos que los datos son filtrados apropiadamente al entrar, podemos eliminar el
riesgo de que datos contaminados sean usados para provocar funcionamientos no
deseados en la aplicación.

Balanceo de riesgo y usabilidad: la usabilidad y la seguridad en una aplicación web no

son excluyentes una de la otra, alguna medida tomada para incrementar la seguridad
con frecuencia afecta la usabilidad.

Concurrencia: Esta característica de los sistemas distribuidos permite que los recursos
disponibles en la red puedan ser utilizados simultáneamente por los usuarios y/o agentes
que interactúan en la red.

Carencia de reloj global: Las coordinaciones para la transferencia de mensajes entre los
diferentes componentes para la realización de una tarea, no tienen una temporización
general, está más bien distribuida a los componentes.
Fallos independientes de los componentes: Cada componente del sistema puede fallar
independientemente, con lo cual los demás pueden continuar ejecutando sus acciones.

¿Cuáles son las ventajas y desventajas?

Ventajas:

Ayudan a que las aplicaciones sean más seguras

Optimizan y mejoran la productividad

Se pueden obtener notificaciones y alertas en tiempo real

Permite mejoras y actualizaciones

Desventajas:

Todos los días surgen nuevas amenazas conocidas como ataques de día cero y los
fabricantes de dispositivos de seguridad pueden tardar en corregir la falla y mejorar las
tecnologías.

Ninguna tecnología es perfecta o impenetrable, siempre existirá un riesgo.

¿Cuáles son las aplicaciones o usos?

Proteger aplicaciones web y bases de datos

Monitorear conexiones desde y hacia las aplicaciones web

Detectar intrusiones

¿Por qué se puede aplicar en determinado problema o en ciertos sistemas?

Estas tecnologías se hacen necesarias cuando se ven comprometidos de ataques

informáticos portales de internet, servidores y demás dispositivos, donde la disponibilidad
y continuidad se ven afectadas, convirtiendo estas tecnologías en la solución a dichos
problemas y en una forma de proteger y salvaguardar la información.

¿Por qué se considera una tecnología de punta o moderna?

Se considera así, porque los fabricantes de estos productos y servicios viven en

permanente investigación, mejorando y desarrollando herramientas que corrijan y
prevengan fallas de seguridad del momento.

¿Qué trabajos se han realizado por diversos investigadores alrededor del tema?
(ponencias, artículos científicos u otros).

TEMA Reporte anual de ciberseguridad

AUTOR CISCO
FUENTE https://www.cisco.com/c/dam/global/es_mx/solutions/pdf/reporte-anual-
cisco-2018-espan.pdf
AÑO 2018
DESCRIPCIÓN ¿Qué pasaría si los defensores pudieran ver el futuro? Si supieran
que se aproximaba un ataque, podrían detenerlo, o al menos mitigar
su impacto y ayudar a garantizar que lo que necesitan para proteger
a la mayoría sea seguro. El hecho es
que los defensores pueden ver lo que está en el horizonte.

TEMA Metodología de evaluación de herramientas de análisis automático

de seguridad de aplicaciones web para su adaptación en el ciclo de
vida de desarrollo
AUTOR Bermejo Higuera, Juan Ramón
FUENTE https://dialnet.unirioja.es/servlet/tesis?codigo=44252
AÑO 2014
DESCRIPCIÓN Las técnicas de análisis de seguridad de una aplicación, de caja
blanca y de caja negra, realizadas manualmente (revisión de código,
test de penetración), sufren de falta de cobertura de la superficie de
ataque que tienen las aplicaciones y lo más probable es que con
estas pruebas de penetración manuales se tenga una gran pérdida
de detección de vulnerabilidades de seguridad. La dificultad de
realizar estos test manualmente conduce al desarrollo de técnicas
automáticas de análisis de la seguridad. Este trabajo de tesis trata
de fijar el ¿estado del arte ¿en cuanto a las últimas tendencias de
herramientas de análisis automáticas: análisis estático de caja
blanca (SAST), dinámico de caja negra (DAST) y análisis dinámico
de caja blanca (RAST / IAST) en tiempo real e híbridas combinando
varias de los tipos anteriores. Todos estos tipos de herramientas son
evaluadas de acuerdo a una metodología desde una perspectiva
global para establecer el grado de eficacia de las herramientas en
cuanto detecciones correctas (verdaderos positivos), falsas alarmas
(falsos positivos), grado de cobertura de vulnerabilidades, etc. La
metodología de evaluación de las herramientas consiste en ejecutar
cada herramienta contra aplicaciones benchmark que contienen
vulnerabilidades de seguridad conocidas. Al resultado de las
ejecuciones, se les aplican posteriormente métricas seleccionadas
y ampliamente aceptadas para establecer un ranking en cuanto a la
efectividad de análisis de seguridad de cada herramienta. El objetivo
final del resultado de la evaluación de los diferentes tipos de
herramientas mencionados, es la derivación de un modelo de ciclo
de vida de desarrollo seguro de software (SSDLC), aplicando en
cada fase los tipos de herramientas más adecuados para conseguir
un resultado de conjunto lo más optimizado posible. La diferente
naturaleza de cada tipo de herramienta, e incluso entre distintas
herramientas del mismo tipo, hace necesario estudiar la sinergia
existente entre ellas cuando se combinan para reducir el porcentaje
de falsos positivos y aumentar el porcentaje de verdaderos positivos

TEMA Análisis de la seguridad del sitio web del Ministerio del Trabajo
aplicando pruebas de Pentesting en la sede principal de la ciudad
de Bogotá.
AUTOR Fernández Miranda, Henry Armando
FUENTE Repositorio institucional UNAD/Proyecto aplicado
AÑO 2019
DESCRIPCIÓN Este trabajo tiene como objeto identificar las vulnerabilidades del
sitio Web del Ministerio del Trabajo, usando como referencia la lista
de vulnerabilidades del Proyecto Abierto de Seguridad en
Aplicaciones Web (OWASP por sus siglas en inglés) entregar las
recomendaciones o controles que deben aplicarse para la
corrección o mitigación, se indican algunas herramientas usadas en
el proceso del cual se realiza la documentación de las pruebas del
análisis de seguridad realizado, la información recolectada o
resultado, igualmente resalta la importancia que tienen las auditorias
periódicas de los sistemas, todo esto profundizando en los aspectos
que se consideran importantes para mantener la seguridad de una
plataforma web, como conclusión del proyecto se encuentra una
serie de vulnerabilidades identificadas, controles recomendados y
las conclusiones del proyecto.

TEMA Despliegue de Sistema Multi-Agente para la detección y mitigación

de ataques de denegación de servicios
AUTOR Cano de Benito, Juan
FUENTE Spain, Europe: E.T.S. de Ingenieros Informáticos (UPM), 2018.
AÑO 2018
DESCRIPCIÓN Los ataques de tipo denegación de servicio (DDOS) es un tipo de
ataque a un sistema de computadoras o red que causa que un
servicio o recurso sea inaccesible para los usuarios. Supone el
tercer tipo de ataque más frecuente en el mundo; y afecta,
principalmente, a empresas de Estados Unidos y Europa,
provocando pérdidas millonarias. De hecho, países como EEUU
dedican gran parte de su inversión en prevenir, mitigar y gestionar
estos tipos de ataques. Para afrontar este problema, los sistemas
inteligentes son considerados como los mejores sistemas en
relación coste/beneficio. Dentro de estos sistemas, surge el
concepto de agente, el cual se define como una entidad inteligente
adaptable, autónoma y proactiva capaz de funcionar en ecosistemas
heterogéneos compuestos por diferentes entornos, dispositivos y
plataformas. Este trabajo plantea una solución basada en un
Sistema Multi-Agente (MAS) capaz de detectar y mitigar ataques de
tipo DDOS en redes de telecomunicaciones. Más concretamente,
 aquellos con mayor frecuencia, como pueden ser los basados sobre
los protocolos ICMP, UDP y TCP. Este sistema desplegado se
comunica con una red neuronal diseñada explícitamente para
predecir el protocolo utilizado en el ataque. Además, el Sistema
Multi-Agente s e diseña en base a la metodología “Plan, Do, Check,
& Atc”, propia de la norma ISO 27001. Este sistema ha sido simulado
en una red virtualizada. En dicha simulación, varios sistemas atacan
periódicamente a una red defensora, mitigando el ataque y
garantizando a su vez el acceso a los usuarios. Los resultados han
sido significativos. Los agentes obtuvieron éxito mitigando varios
tipos de ataque, no siendo así en uno de los casos en el cual la red
no era capaz de frenar el ataque. Con todo esto, se han conseguido
la mayoría de los objetivos. Sin embargo, es necesario estudiar más
profundamente estos tipos de ataque dada su variedad, magnitud e
impacto.

8. PLANEACION DE LA SOLUCIÓN

CONCEPTO DESCRIPCIÓN
Cronología ¿Cuándo? El proyecto tiene una duración de 2 meses
6 días. Inicio el 05 de Octubre de 2019,
con la propuesta inicial y finaliza el 12 de
Diciembre de 2019, con la entrega final del
proyecto.
Axiomas (¿Quién?) Es un problema que es evidente, pero
quienes detectaron de manera específica
las fallas e intrusiones en el portal web es
el personal del área de tecnología de la
empresa.
Método (¿Cómo?) La tecnología avanza a pasos
agigantados, por ello, el problema puede
ser solucionada y/o controlado mediante
el uso de tecnologías modernas.
Ontología (¿Qué?) Implementación de tecnologías modernas
para prevenir y minimizar ataques al portal
web mejorando su operación
Tecnología (¿Con qué?) Se combinarán las tecnologías seguridad
de aplicaciones web y telemática, para dar
solución a la problemática que se está
presentando en Mundo Farma Ltda, la
primera, es una rama de la Seguridad
Informática que se encarga
específicamente de la seguridad de sitios
web, aplicaciones web y servicios web y la
telemática se refiere a la combinación de
la informática y de la tecnología de la
comunicación para el envío y la recepción
de datos.
Teleología (¿Para qué?) Implementar medidas de protección en las
aplicaciones web, mitigando el riesgo de
desestabilización de la plataforma.
Topografía (¿Dónde?) La solución se aplicará en los servidores
donde se encuentra alojado el portal web
y la base de datos.
Ecología (¿Contra qué?) Contra las personas que se dedican a
desestabilizar servicios web,
denominados hackers.
Etiología (¿Por qué?) Porque si no se detienen y/o minimizan los
ataques, seguirá ocurriendo que se
ralenticen o detenga la operación de
comercio electrónico, siga ocurriendo el
abandono de clientes y siga
presentándose pérdidas económicas en la
empresa.
Experiencia (¿Cuánto?) El problema que presenta la empresa en
su portal web, se ha presentado en
muchas otras empresas, por ello, se toma
como base la experiencia de otras
empresas. Se aprovecha las
herramientas que existen en el mercado
para prevenir y minimizar ataques
cibernéticos, destinar más recursos
económicos a la ciberseguridad y la
definición de roles específicos también
para la ciberseguridad .