|
SEGURIDAD DE LA INFORMACION
- Principios fundamentales de la seguridad.
- Definición de seguridad de la información.
- Definición de Seguridad Informática.
- Virus Informático.
- Plan de seguridad informática.
Información = Valor de la empresa
Cualquier incidente que atente contra la información puedes ser un riesgo para una empresa.
A cualquier empresa se puede ingresar con instrucciones físicas y/o informáticas para:
- Robar, Copiar o Adulterar información
- Destruir información.
¿Qué es la seguridad?
Seguridad es mantener un nivel aceptable de riesgo percibido. “La seguridad es un proceso y no un estado final” (Mitch Kabay).
Riesgo
Posibilidad de sufrir daños o perdidas. El riesgo es una medida de peligro que corre un bien, siendo este último cualquier cosa de valor refiriéndose a seguridad puede referirse a información, hardware, propiedad intelectual, prestigio, reputación.
Amenaza
Alguien que tiene la capacidad de intenciòn de aprovechar una vulnerabilidad de un cierto bien. Estas pueden ser estructuradas o no estructuradas
Seguridad de la información.
Definición
La seguridad de la información, es un conjunto de reglas, planes y acciones que permiten asegurar la información manteniendo las propiedades de confidencialidad, integridad y disponibilidad.
Propósito
- La seguridad de la información tiene como propósito proteger la información de una Organización, independientemente del lugar en que se localice: impresos en papel, en los discos duros de las computadoras o incluso en la memoria de las personas que la conocen.
- Su protección tiene como objetivo garantizar la continuidad del negocio y disminuir riesgos
Principios fundamentales de seguridad
Seguridad de la información (según ISO 27001): preservación de su confidencialidad, integridad y disponibilidad, así como la de los sistemas implicados en su tratamiento.
Aspectos de la seguridad
Ataque (Seguridad): cualquier acción que comprometa la seguridad de la información perteneciente a una organización.
Mecanismo de Seguridad: mecanismo diseñado para prevenir, detectar o recuperarse de un ataque.
Servicio de Seguridad: servicio que mejora la seguridad en un sistema de procesamiento de datos y la trasferencia de estos datos. Hace uso de uno o más mecanismos de seguridad
Confidencialidad
La prevención de revelación de información no autorizada. Este puede ser el resultado de medidas de seguridad escasas o fugas de información por el personal. Un ejemplo de medidas de seguridad escasas sería el permitir acceso anónimo a información sensible.
Integridad
La prevención de modificación errónea de información. Los usuarios autorizados son probablemente la causa más grande de errores, omisiones y alteración de información. El almacenamiento de información incorrecta dentro del sistema puede ser tan malo como perder información. Atacantes maliciosos también pueden modificar, eliminar o corromper información que es vital para la operación correcta de las funciones de negocios.
Disponibilidad
La prevención de retención no autorizada de información o recursos. Esto no sólo aplica al personal que retiene información.
La información debería estar tan libremente disponible como sea posible para los usuarios autorizados.
Seguridad de la información según ISO
La Información es un activo que, como cualquier otro activo importante, es esencial para los negocios de una organización y en consecuencia necesita estar protegida adecuadamente. Esto es especialmente importante en el ambiente de los negocios, cada vez más interconectados.” ISO/IEC
27002:2007
¿Qué es la seguridad en la red?
- Confidencialidad: únicamente el emisor y el receptor deseado deben “entender” el contenido del mensaje.
- Emisor encripta el mensaje.
- Receptor desencripta el mensaje.
- Autenticación: emisor y receptor quiere confirmar la identidad de cada uno.
- Integridad del mensaje: emisor y receptor quieren estar seguros de que el contenido de sus comunicaciones no es alterado (durante la transmisión o después) sin detección.
- Disponibilidad y acceso: los servicios deben ser accesibles y deben estar disponibles para los usuarios.
Amigos y enemigos: Alicia, Roberto y Gertrudis
- Bien conocidos en el mundo de seguridad de la red.
- Roberto, Alicia (¡amantes!) quieren comunicarse de forma “segura”.
- Gertrudis (intrusa) puede interceptar, eliminar, añadir mensajes.
¿Cuáles son los equivalentes de Alicia y Roberto?
- … ¡pues Robertos y Alicias de la vida real!
- Navegador/servidor de Internet para transacciones electrónicas (por ejemplo: compras por Internet).
- Cliente/servidor de banco online.
- Servidores DNS.
- Routers que intercambian actualizaciones de tablas de encaminamiento.
- ¿Otros ejemplos?
¡Hay muchos chicos y malos (y chicas) por ahí!
P: ¿Qué puede hacer un “chico malo”?
R: ¡Muchas cosas!
- Escuchar a escondidas: interceptar mensajes.
- Insertar activamente mensajes en la conexión.
- Suplantación: puede falsear la dirección fuente en el paquete (o cualquier campo en el paquete).
- Secuestro: “apoderarse” de la conexión entrante eliminando al receptor o al emisor e insertándose él en su lugar.
- Denegación del servicio: impedir que el servicio sea utilizado por otros (por ejemplo: sobrecargando los recursos).
Preguntas
¿Por que afirmamos que la información es el activo más importante de una organización?
¿Cómo se debe integrar los conceptos de disponibilidad, privacidad, integridad y legalidad para garantizar la seguridad de la información.
¿ Cuáles pudieran ser los controles para una organización desde el punto de vista legislativo aplicable?
Seguridad informática
- Podemos decir que Seguridad Informática es el conjunto de procedimientos, que apoyados en herramientas tecnológicas, proveen mecanismos de "Seguridad" para la información que reside, se almacena o se transmite por medios "telemáticos".
http://itsecuring.blogspot.com/2009/11/seguridad-informatica-vs-seguridad-de.html
- Seguridad informática no significa seguridad en internet. La primera comprende la seguridad física y lógica.
- Por tanto con SI se protege el hardware, el software, datos y elementos consumibles
Seguridad Lógica
Protección de la información en su propio medio, mediante el enmascaramiento de la misma usando técnicas de protección como: passwords, permisos, privilegios, etc
Seguridad Física
- Consiste en la aplicación de barreras físicas y procedimientos de control como medidas de prevención y contramedidas contra las amenazas a los recursos y la información confidencial
https://www.rediris.es/cert/doc/unixsec/node7.html
- La seguridad física consiste en la aplicación de barreras físicas, y procedimientos de control como medidas de prevención y contra medidas ante amenazas a los recursos y la información confidencial, se refiere a los controles y mecanismos de seguridad dentro y alrededor de la obligación física de los sistemas informáticos así como los medios de acceso remoto al y desde el mismo, implementados para proteger el hardware y medios de almacenamiento de datos.
http://seguridadinformaticasmr.wikispaces.com/TEMA+2+-+SEGURIDAD+F%C3%8DSICA
Diferencias entre seguridad computacional y la seguridad de la información
Propósitos de la Seguridad Informática
En el caso de la Protección de Datos, el objetivo de la protección no son los datos en si mismo, sino el contenido de la información sobre personas, para evitar el abuso de esta.
de que manera nos podría perjudicar un supuesto mal manejo de nuestros datos personales, por parte del banco, con la consecuencia de que terminen en manos ajenas? Pues, no hay una respuesta clara en este momento sin conocer cuál es la amenaza, es decir quién tuviera un interés en esta información y con que propósito?
Gestión de riesgo
La Gestión de Riesgo es un método para determinar, analizar, valorar y clasificar el riesgo, para posteriormente implementar mecanismos que permitan controlarlo. Para ello se establecen 4 fases
Evaluación de Riesgos
La evaluación de riesgos son las amenazas y vulnerabilidades relativas a la información y a las instalaciones de procesamiento de la misma, la probabilidad de que ocurran y su potencial impacto en la operatoria del Organismo.
Gestión de Riesgos
Actividades coordinadas para dirigir y controlar una organización en lo que concierne al riesgo.
NOTA. La gestión de riesgos usualmente incluye la evaluación de riesgos, el tratamiento de riesgos, la aceptación de riesgos y la comunicación de riesgos.
Fases de la gestión de riesgo
- Análisis: Determina los componentes de un sistema que requiere protección, sus vulnerabilidades que lo debilitan y las amenazas que lo ponen en peligro, con el resultado de revelar su grado de riesgo.
- Clasificación: Determina si los riesgos encontrados y los riesgos restantes son aceptables.
- Reducción: Define e implementa las medidas de protección. Además sensibiliza y capacita los usuarios conforme a las medidas.
- Control: Analiza el funcionamiento, la efectividad y el cumplimiento de las medidas, para determinar y ajustar las medidas deficientes y sanciona el incumplimiento.
Amenazas y vulnerabilidad
Una Amenaza es la posibilidad de ocurrencia de cualquier tipo de evento o acción que puede producir un daño (material o inmaterial) sobre los elementos de un sistema, en el caso de la Seguridad Informática, los Elementos de Información.
Quienes pueden robar la información
Muchos de los incidentes de seguridad ocurren desde dentro de las organizaciones
- Empleados deshonestos pagados por competidores.
- Empleados despechados.
- Empleados despedidos.
- Accidentes naturales e institucionales.
Mecanismos de Seguridad Informática
Un mecanismo de seguridad informática es una técnica o herramienta que se utiliza para fortalecer la confidencialidad, la integridad y/o la disponibilidad de un sistema informático.
Existen muchos y variados mecanismos de seguridad informática. Su selección depende del tipo de sistema, de su función y de los factores de riesgo que lo amenazan.
Clasificación según su función
- Preventivos: Actúan antes de que un hecho ocurra y su función es detener agentes no deseados.
- Detectivos: Actúan antes de que un hecho ocurra y su función es revelar la presencia de agentes no deseados en algún componente del sistema. Se caracterizan por enviar un aviso y registrar la incidencia.
- Correctivos: Actúan luego de ocurrido el hecho y su función es corregir las consecuencias.
Ejemplos orientados a fortalecer la confidencialidad
- Encriptación o cifrado de datos: Es el proceso que se sigue para enmascarar los datos, con el objetivo de que sean incomprensibles para cualquier agente no autorizado.
Los datos se enmascaran usando una clave especial y siguiendo una secuencia de pasos pre-establecidos, conocida como “algoritmo de cifrado”. El proceso inverso se conoce como descifrado, usa la misma clave y devuelve los datos a su estado original.
Ejemplos orientados a fortalecer la integridad
- Software anti-virus: Ejercen control preventivo, detectivo y correctivo sobre ataques de virus al sistema.
- Software “firewall”: Ejercen control preventivo y detectivo sobre intrusiones no deseadas a los sistemas.
- Software para sincronizar transacciones: Ejercen control sobre las transacciones que se aplican a los datos.
Ejemplos orientados a fortalecer la disponibilidad
- Planes de recuperación o planes de contingencia: Es un esquema que especifica los pasos a seguir en caso de que se interrumpa la actividad del sistema, con el objetivo de recuperar la funcionalidad.Dependiendo del tipo de contingencia, esos pasos pueden ejecutarlos personas entrenadas, sistemas informáticos especialmente programados o una combinación de ambos elementos.
Principales amenazas en internet
- Los ANEXOS a mensajes enviados por email infectados por virus.
- El intercambio de códigos de virus.
- Los FIREWALLS o Cortafuegos mal configurados.
- Los ataques a la disponibilidad de Recursos.
- Alteración de páginas Web.
- El “Repudio” y las estafas asociado al Comercio Electrónico.
- Las vulnerabilidades de los Sistemas Operativos y la no actualización de los PARCHES
- concernientes a la Seguridad de los mismos.
- La rotura de contraseñas.
- La suplantación de identidad
VIRUS INFORMÁTICO
Un virus informático es un programa que se copia automáticamente y que tiene por objeto alterar el normal funcionamiento de la computadora, sin el permiso o el conocimiento del usuario.
Los virus informáticos tienen, básicamente, la función de propagarse con el objetivo de destruir los datos de un ordenador.
Factores de riesgos
- Tecnológicos
- Humanos
- Ambientales
Factores tecnológicos de riesgo
Un virus informático es un programa (código) que se replica, añadiendo una copia de sí mismo a otro(s) programa(s).
Los virus informáticos son particularmente dañinos porque pasan desapercibidos hasta que los usuarios sufren las consecuencias, que pueden ir desde anuncios inocuos hasta la pérdida total del sistema.
Características de los virus informáticos:
- Auto-reproducción: Es la capacidad que tiene el programa de replicarse (hacer copias de sí mismo), sin intervención o consentimiento del usuario.
- Infección: Es la capacidad que tiene el código de alojarse en otros programas, diferentes al portador original.
Propósitos de los virus informáticos:
- Afectar el software: Sus instrucciones agregan nuevos archivos al sistema o manipulan el contenido de los archivos existentes, eliminándolo parcial o totalmente.
- Afectar el hardware: Sus instrucciones manipulan los componentes físicos. Su principal objetivo son los dispositivos de almacenamiento secundario y pueden sobrecalentar las unidades, disminuir la vida útil del medio, destruir la estructura lógica para recuperación de archivos (FAT) y otras consecuencias.
Clasificación de los virus informáticos:
La inmensa cantidad de virus existentes, sus diferentes propósitos, sus variados comportamientos y sus diversas consecuencias, convierten su clasificación en un proceso complejo y polémico.
- Virus genérico o de archivo: Se aloja como un parásito dentro de un archivo ejecutable y se replica en otros programas durante la ejecución. Los genéricos acechan al sistema esperando que se satisfaga alguna condición (fecha del sistema o número de archivos en un disco). Cuando esta condición “catalizadora” se presenta, el virus inicia su rutina de destrucción.
- Virus mutante: En general se comporta igual que el virus genérico, pero en lugar de replicarse exactamente, genera copias modificadas de sí mismo.
- Virus recombinables: Se unen, intercambian sus códigos y crean nuevos virus.
- Virus “Bounty Hunter” (caza-recompensas): Están diseñados para atacar un producto antivirus particular.
- Virus específicos para redes: Coleccionan contraseñas de acceso a la red, para luego reproducirse y dispersar sus rutinas destructivas en todos los ordenadores conectados.
- Virus de sector de arranque: Se alojan en la sección del disco cuyas instrucciones se cargan en memoria al inicializar el sistema. El virus alcanza la memoria antes que otros programas sean cargados e infecta cada nuevo disquete que se coloque en la unidad.
- Virus de macro: Se diseñan para infectar las macros que acompañan a una aplicación específica. Una macro es un conjunto de instrucciones que ejecutan una tarea particular, activada por alguna aplicación específica como MS – Word o MS – Excel. Son virus muy fáciles de programar y se dispersan rápidamente a través de anexos a e-mail, copia de archivos usando disquetes, etc.
- Virus de Internet: Se alojan en el código subyacente de las páginas web. Cuando el usuario accede a esos sitios en Internet, el virus se descarga y ejecuta en su sistema, pudiendo modificar o destruir la información almacenada. Son de rápida y fácil dispersión, puesto que se alojan y viajan en un medio de acceso multitudinario: Internet.
Funcionamiento
Se ejecuta un programa que está infectado, en la mayoría de las ocasiones, por desconocimiento del usuario. El código del virus queda alojado en la memoria RAM de la computadora, aun cuando el programa que lo contenía haya terminado de ejecutarse. El virus toma el control de los servicios básicos del sistema operativo, infectando, de manera posterior, archivos ejecutables que sean llamados para su ejecución. Finalmente se añade el código del virus al del programa infectado y se graba en disco, con lo cual el proceso de replicado se completa.
Fases de un ataque informático
Fase 1: Reconocimiento (Footprinting).
Pretende recolectar toda la información posible que sea pública de la víctima o de fácil acceso para ello el atacante utiliza varias herramientasbuscadores (google, bing, shodanhq) , para encontrar registros telefónicos con nombres a quien pertenecen, documentos públicos y otros no tanto, nombres de usuario y contraseña, empresas aliadas, direcciones etc
http://web.usbmed.edu.co/usbmed/fing/v4n2/v4n2a2.pdf
Fase 2: Exploración (Fingerprinting).
En esta fase se usa toda la información obtenida en la fase 1, agregando información sobre rangos de direcciones IP, nombre de host, servicios que presta (ftp, web, almacenamiento de archivos, videos, música).
Fase 3: Obteniendo el acceso
Aquí se logra entrar al sistema y para eso esto el atacante se vale de explotar vulnerabilidades encontradas en la fase 2 como también claves débiles o por defecto.
Fase 4: Manteniendo el acceso.
Una vez dentro del sistema el atacante instala programas como sniffers que le permiten capturar contraseñas del sistema, sesiones FTP y telnet o puede instalar troyanos que le ayudaran a entrar posteriormente sin ningún problema.
Fase 5: Borrado de huellas.
En esta fase el atacante hace todo lo posible por destruir toda evidencia de sus actos con el único fin de ocultar sus actividades y tener por más tiempo el control del sistema sin ser descubierto.
Factores humanos de riesgo
Hackers
Los hackers son personas con avanzados conocimientos técnicos en el área informática. En general, los hackers persiguen dos objetivos:
- Probar que tienen las competencias para invadir un sistema protegido.
- Probar que la seguridad de un sistema tiene fallas.
Crackers
Los crackers son personas con avanzados conocimientos técnicos en el área informática y que enfocan sus habilidades hacia la invasión de sistemas a los que no tienen acceso autorizado. En general, los crackers persiguen dos objetivos:
- Destruir parcial o totalmente el sistema.
- Obtener un beneficio personal (tangible o intangible) como consecuencia de sus actividades.
Ingeniería social
Práctica de obtener información confidencial a través de la manipulación de usuarios legítimos. Es una técnica que pueden usar ciertas personas, tales como investigadores privados, criminales, o delincuentes informáticos, para obtener información, acceso o privilegios en sistemas de información que les permitan realizar algún acto que perjudique o exponga la persona u organismo comprometido a riesgo o abusos.
Ejemplos de ingeniería social
Ejemplo 1
Recibes un mensaje por e-mail, donde el remitente es el gerente o alguien en nombre del departamento de soporte de tu banco. En el mensaje dice que el servicio de Internet Banking está presentando algún problema y que tal problema puede ser corregido si ejecutas la aplicacion que está adjunto al mensaje. La ejecución de esta aplicación presenta una pantalla análoga a la que usted utiliza para tener acceso a la cuenta bancaria, esperando que usted teclee su contraseña. En verdad, esta aplicacion está preparada para robar tu contraseña de acceso a la cuenta bancaria y enviarla al atacante.
Ejemplo 2
Recibes un mensaje de e-mail , diciendo que tu computadora está infectada por un virus. El mensaje sugiere que instales una herramienta disponible en un sitio web de Internet para eliminar el virus de tu computadora. La función real de esta herramienta no es eliminar un virus, sino permitir que alguien tenga acceso a tu computadora y a todos los datos almacenados.
Ejemplo 3
Un desconocido llama a tu casa y dice ser del soporte técnico de tu proveedor de internet. En esta comunicación te dice que tu conexión con internet está presentando algún problema y, entonces, te pide tu contraseña para corregirlo. Si le entregas tu contraseña, este supuesto técnico podrá realizar una infinidad de actividades maliciosas, utilizando tu cuenta de acceso internet y, por lo tanto, relacionando tales actividades con tu nombre.
Algunos ejemplos de información robada
- 6.5 millones de contraseñas fueron robadas en 2012 a LinkedIn.
- Un sitio de Internet dio a conocer datos privados de personalidades entre las cuales se encuentra Britney Spears, Beyoncé y Ashton Kutcher.
- El grupo de hacktivistas Anonymus atacó las páginas del gobierno británico en respuesta al arraigo del fundador de Wikileaks, Julian Assange
- En 2011, piratas informáticos violaron la información de 77 millones de usuarios de la consola PSP 3 vulnerando información sensible como números de tarjetas de crédito, direcciones de hogar, nombres reales, http://www.altonivel.com.mx/23355-famosas-companias-que-han-sido-victimas-de-hackers.html
Según McAfee
|
| 
