Existen muchas empresas e instituciones que tiran cables y conectan servidores sin ningún tipo de análisis y, posteriormente, conforme sus servicios y sistemas de red evolucionan y empiezan los problemas de seguridad y rendimiento, exigen a sus técnicos mejorar la seguridad de sus indefendibles sistemas.
¿Qué características deben poseer las redes para calificarlos como defendibles?
La respuesta a esta pregunta, espero, la vayáis contestando conforme vayamos avanzando temas durante el curso (y no hay que esperar a que demos los temas de seguridad)
5 replies on “Redes defendibles”
Mi experiencia hasta el momento no a sito tanto para defender , sino para el filtrado de trafico, pero en parte hace también esas funciones, en mi caso la principal causa de las modificaciones de la red que gestión a sido para limitar el trafico de p2p y trafico de tipo tcp/udp indiscriminado.
Básicamente lo que tengo es un filtro/firewall en mi red, que solo permite pasar a los protocolos que normalmente se usan http, ftp, dns y unos cuantos mas.
También es interesante creo que nuestra red no responda a pings externos, ya que de esta forma podríamos ahorrarnos algunos problemas de ataques basados en icmp.
Como bien comenta el compañero, para que una red esté defendida de ataques malintencionados, hay que hacer un filtrado del tráfico que llega a la red, pues de este modo evitaremos tener que lidiar con paquetes de direcciones que no conozcamos.
Por otro lado, para considerar que una red es defendible debe tener:
-Alta disponibilidad: con lo que si un servidor cae, debe haber otros que realicen la misma función que él de forma transparente a los usuarios)
-Los datos que circulen por la red deben estar encriptados para evitar que usuarios externos extraigan los datos de la red
-Tener detección de accesos no autorizados
-Tener mecanismos de recuperación ante posibles caídas del sistema
En toda red informática con el fin de prevención y protección deberíamos instalar sistemas de cortafuegos y mecanismos criptográficos para garantizar la integridad de las comunicaciones y la privacidad. Este es un primer nivel de protección y haría falta añadir sistemas de autentificación para garantizar la identidad del usuario. De nada sirve proteger la privacidad si no se asegura la identidad del usuario. Por último sería necesario instalar mecanismos de detección y respuesta para poder detectar los ataques que no hemos podido evitar y tomar las acciones necesarias para neutralizarlos.
Todas las capas de la red del modelo de red tienen sus posibles ataques y de todos ellos hay que defendernos:
Capa de red: Desvío de cables, intrusión en la linea y escuhas no intrusivas.
Capa de internet: Sniffin, suplantación de mensajes, modificación de los datos, retrasos en los mensajes,etc.
Capa de transporte: Uno de los ataques mas conocidos de esta capa es la denegación de servicio. Hay que denegar el encaminamiento de origen.
Capa de aplicación: En esta capa se encuentran todas las deficiencias de las capas anteriores y además todas las deficiencias de los programas desarrollados.
Para que podamos considerar una red, como bien defendida, opino que algo necesario en extremo es la instalacion de un cortafuegos como bien ha dicho aer14, aunque tambien es recomendable un filtrado de todo el tráfico que nos llega, tanto exterior como interno.
Sin embargo con el filtrado y el cortafuegos hay que tener cuidado porque si no se optimiza puede, a la larga, dar mas problemas de los que nos solucione.
La solucion más rápida y menos efectiva, pero que puede ayudarnos a corto plazo mientras realizamos el resto de modificaciones es la inclusion de un sistema de autentificación, de forma que solo miembros de la red puedan entrar, sin embargo es solo un parche temporal.
Como bien han comentado los compañeros para que una red pueda ser defendible, hay ciertas medidas que son necesarias como las listas de control de acceso, sistemas como los IDS, firewalls o la encriptación de los datos que se transmiten. Pero la questión es que dependiendo de la empresa ciertas medidas son mas o menos relevantes. Por ejemplo la importancia que vaya a tener su presencia en la red o lo susceptible que pueda parecer a potenciales atacantes. En mi humilde opinión en determinadas situaciones con un con unas pautas básicas serían suficientes . No es lo mismo una pagina web de un taller de piezas de motor o tunning o lo que queráis que por ejemplo una pagina del gobierno o una gran empresa que trabaje con acciones via online o un banco. Me explico para el primer ejemplo en principio no es que sea un objetivo muy llamativo a bote pronto pero por diversos motivos la seguridad es importante para dicha empresa , poniendonos en lo peor imaginemos que una empresa rival(taller de Paquito) factura menos y Paquito que esta mosqueado llama a un “superpirata” que es amigo de su primo y el pirata X se dedica a inyectar código sql en su pagina de forma que accede a su BD con lo que obtiene es stock del taller/precios/pedidos , cosa que le puede ser muy perjudicial teniendo en cuenta a la competencia . O que como el señor pirata X es un poco puñetero le hecha la pagina abajo, no hay pagina no hay ventas. O sin señor pirata, se ofrece una oferta muy buena y se colapsa la pagina volvemos al mismo caso no hay pagina, no hay ventas. Pero cuando se habla de entidades de calado internacional o entidades gubernamentales se juega en otra liga y por muy buenos que sea alguien en su campo somos humanos se nos escapan cosas. Y aquí es donde quería llegar para estos casos también tenemos mecanismos en los que apoyarnos , los standares que para eso están para utilizarlos. Me refiero al ISO/IEC 17799 que proporciona recomendaciones de las mejores prácticas en la gestión de la seguridad de la información.
Estas practicas serian en su version del 2005
1. Política de Seguridad de la Información.
2. Organización de la Seguridad de la Información.
3. Gestión de Activos de Información.
4. Seguridad de los Recursos Humanos.
5. Seguridad Física y Ambiental.
6. Gestión de las Comunicaciones y Operaciones.
7. Control de Accesos.
8. Adquisición, Desarrollo y Mantenimiento de Sistemas de Información.
9. Gestión de Incidentes en la Seguridad de la Información.
10. Gestión de Continuidad del Negocio.
11. Cumplimiento.
Dentro de estos puntos se encuentran muchas de las propuestas de los compañeros
Voy a poner algun ejemplo de cada punto
Política de Seguridad de la Información->Aquí entraría parte de los firewalls o los ACLs ya que se puede optar por politicas restrictivas o permisivas, y dentro de esto que queremos proteger como y de quien.
Organización de la Seguridad de la Información ->Realizar la lista de necesidades basadas en los tres objetivos de seguridad esenciales como son: confidencialidad, integridad y disponibilidad.
Gestión de Activos de Información a gestión de Activos Digitales (DAM) se refiere a la tecnología que nos ayuda a gestionar la masa de datos con los que trabajamos en nuestra vida personal y profesional. DSpace está diseñado para capturar, almacenar, indexar, preservar y redistribuir enormes cantidades de datos digitales.
Seguridad de Recursos Humanos
El objetivo de la Seguridad de Recursos Humanos busca que los Empleados, Contratistas y Terceros entiendan sus responsabilidades y que si son convenientes para los papeles que ellos desempeñan, para recudir así el riego de Robo, Fraude o el mal uso de las Instalaciones, explicando antes de realizar el trabajo las responsabilidades frente a este y firmando una constancia de sus responsabilidades.
Seguridad Física y Ambiental
Evitar accesos no autorizados, violación, daños o perturbaciones a las instalaciones y a los datos.
• Áreas de seguridad: Seguridad física y perimetral, control físico de entradas, seguridad de locales edificios y recursos, protección contra amenazas externas y del entorno, el trabajo en áreas e seguridad, accesos públicos, áreas de entrega y carga.
• Seguridad de elementos: Ubicación y protección de equipos, elementos de soporte a los equipos, seguridad en el cableado, mantenimiento de equipos, seguridad en el equipamiento fuera de la organización, seguridad en la redistribución o reutilización de equipamiento, borrado de información y/o software.
Gestión de las Comunicaciones y Operaciones Asegurar y garantizar el funcionamiento de la operación correcta y segura de los medios de procesamiento de la instalación donde se procesa la información. Incluyendo el desarrollo de los procedimientos de operación apropiados y de implementación adecuada para reducir el riesgo de negligencia o mal uso deliberado del sistema.
Control de Accesos: Un ejemplo Kerberos y un servidor RADIUS,
Adquisición, Desarrollo y Mantenimiento de Sistemas de Información: Aquí entraría la parte de la validación de formularios, validación de la corrupción de la información md5,certificados de seguridad etc.
Gestión de Incidentes en la Seguridad de la Información :IDS , Autopsy Forensic Browser etc
Gestión de Continuidad del Negocio: Sistemas de alta disponibilidad: Virtual Router Redundancy Protocol, VRRP queproporciona un router virtual como backup en un segmento LAN etc..
Cumplimiento: Lo mas importante que una vez que has tomado medidas contra algo acatarlas
Después de cumplir todo esto pienso que la sensación de seguridad en una red crecería de forma notable, lo que no quita que sea complicado su cumplimiento en la totalidad, ahí esta el matiz, que nivel de seguridad queremos tener ? depende de para quien o a que escala sea rentable