Introducción a la Seguridad Informática (Infosec, Año 2002)

Conceptos Básicos de Infosec

Infosec es la reunión de conceptos básicos de la seguridad de la información.

• Confidencialidad: Garantizar que cualquier información almacenada en cualquier dispositivo informático no se transmita por la red sin autorización.
• Disponibilidad: La capacidad de garantizar que todo el sistema de información en distintos sistemas estará disponible para un usuario en un momento concreto.
• Integridad: La capacidad de garantizar que todos los datos no han sido modificados desde su creación y sin autorización.
• No Repudio: Objetivo de garantizar que la participación de las partes de la comunicación sea correcta, sincera y sin errores.

Mecanismos para Conseguir el Objetivo

Autenticación

Permite la comprobación de que el usuario, mediante nombre y contraseña, es verdaderamente un usuario autorizado.

Autorización

Es el programa o persona que va a controlar el acceso de los usuarios a las zonas restringidas.

Auditoría

Controlar o guiar lo que se está haciendo con un máximo de rendimiento.

ISO 27002

Primera norma que establece pautas que hay que seguir y preceder.

Conceptos Básicos

• Integridad
• Disponibilidad
• Confidencialidad

Una vez se ha cumplido el pilar de la ISO 27002, cuando damos de alta a un usuario, le damos una clave de usuario, y mientras introduce la clave se detecta si es correcta, esto sería la autenticación.

Auditoria

El uso que da el usuario, si el proceso es incorrecto, mirar el rendimiento del usuario. Consiste en mirar el procedimiento en el trabajo a realizar, para hacer que en el mínimo tiempo se realice el máximo de trabajo.

Seguridad

Todo el proceso que tenga «seguridad» de hardware y software.

Encriptar

Ayuda a ocultar la información transmitida por la red o almacenada en los equipos.

Antivirus

Proteger de cualquier información oculta que pueda perjudicar el sistema, o agentes externos que nos pueden perjudicar en nuestro equipo.

Cortafuegos

Programa que audita y evita los intentos de conexión no deseados en ambos sentidos, desde los equipos hacia la red y viceversa.

Servidores Proxy

Consiste en ordenadores con software especial, que hacen de intermedio entre la red interna de una empresa y una red externa, como puede ser Internet. Controlan todo el software.

Utilización Firma Electrónica o Certificado Digital

Son mecanismos que garantizan la identidad de una persona o entidad evitando el no repudio en las comunicaciones o en la firma de documentos.

Conjunto de Leyes

Es la confidencialidad de la misma información.

Ejemplos: Compra-venta online…

Seguridad Física

Es aquella que trata de proteger el hardware de las siguientes amenazas. Proteger el hardware, que esté bien, que no haya ningún problema para que funcione bien el software.

Incendio (Mecanismos de Defensa)

• El mobiliario de los centros de cálculo debe ser ignífugo.
• Evitar la localización del centro de procesamiento en zonas donde se manejen o almacenen productos inflamables o explosivos.
• Deben existir sistemas detectores de humo, de gas, extintores… para frenar el incendio en el menor tiempo posible, y evitar que se propague ocasionando pérdidas materiales.

Inundaciones (Mecanismos de Defensa)

• Evitar la ubicación de los centros de cálculo en plantas bajas de los edificios para proteger de la entrada de aguas superficiales.
• Impermeabilizar las paredes y techos del CPD. Sellar las puertas para evitar la entrada de agua proveniente de las plantas superiores.

Robos (Mecanismos de Defensa)

• Proteger los centros de cálculo mediante biometría, controles de seguridad, vigilantes… con todos esos medios pretendemos evitar la entrada de personal no autorizado.
• Si vamos a visualizar un archivo, protegerlo con clave, para evitar que se pueda acceder a él por efectos externos.

Señales Electromagnéticas (Mecanismos de Defensa)

• En caso de no poder evitar la ubicación en zonas con grandes emisores de este tipo de señal, debemos proteger el frente de dichas emisiones mediante el uso de filtros o de cableado especial, o si es posible utilizar fibra óptica, que no es sensible a este tipo de interferencias.

Apagones (Mecanismos de Defensa)

• Para evitar los apagones, colocaremos «Sistemas de Alimentación Ininterrumpida, SAI», que proporcionan corriente eléctrica durante un periodo de tiempo determinado.

Sobrecargas Eléctricas (Mecanismos de Defensa)

• Además de proporcionar alimentación, los SAI profesionales incorporan filtros para evitar picos de tensión, es decir, estabilizan la señal eléctrica.

Sistemas Biométricos

Huella dactilar, ojos…

Seguridad Lógica (Software)

Robos

• Cifrar la información almacenada en los soportes para que en caso de robo no sea legible.
• Utilizar contraseñas para evitar el acceso a la información.
• Sistemas biométricos (uso de huella dactilar, tarjetas identificadoras, caligrafía….)

Pérdida de Información

• Realizar copias de seguridad para poder restaurar la información.
• Uso de sistemas tolerantes a fallos, elección del sistema de ficheros del sistema operativo adecuado.
• Uso de conjunto de discos redundantes (RAID), que protegen contra la pérdida de datos y proporcionan la recuperación de los datos en tiempo real.

Pérdida de Integridad en la Información

• Uso de programas de chequeo del equipo, como Sisoft Sandra, TuneUp Utilities…
• Mediante la firma digital en el envío de la información a través de mensajes enviados por la red.
• Uso de la instrucción del sistema operativo Windows, sfc (System File Checker).

Entrada de Virus

• Uso de antivirus, que evita que se infecten los equipos con programas malintencionados.

Ataque desde la Red

• Firewall, autorizando y auditando las conexiones permitidas.
• Programas de monitorización.
• Servidores Proxy, autorizando y auditando las conexiones permitidas.

Modificaciones No Autorizadas

• Uso de contraseñas que no permitan el acceso a la información.
• Uso de listas de control de acceso.

Mecanismos de Seguridad de Acceso al Sistema

Principio de Privilegios Mínimos

Para acceder al sistema hay 2 tipos de sistemas de accesos:

• Por lo que conocemos (contraseñas)
• Por lo que poseemos (sistemas biométricos)

Sistemas Biométricos

• Verificación de huellas dactilares
• Geometría de la mano
• Verificación de la voz
• Análisis de la retina
• Iris
• Reconocimiento de rostros (cara)

Políticas de Contraseñas

El organismo que se encarga de este organismo de política de contraseñas es el «INTECO». La clave tiene que ser como mínimo de 8 caracteres, y de estos se aconsejan:

• Que sean intercambiadas letras y números entre ellos.
• No dejar ningún espacio en blanco.
• Que sea una clave fácil de recordar.
• Se aconseja cambiar la contraseña cada 72 días.
• Acostumbrarse a no usar la misma contraseña para todo.
• No poner como contraseña nombres de familiares, mujeres, conocidos…
• No poner caracteres que estén consecutivos como: 1234…