SEGURIDAD
LÓGICA
CONTROL
DE USUARIO
Identificación
y Autenticación: en la
universidad O&M se deben clasificar los usuarios en:
Inexperto:
serían los estudiantes normales, y /o todos aquellos que no tengan conocimiento
mínimo sobre tecnología, a estos usuarios se le va a asignar una contraseña de solo lectura (donde no puedan modificar
ningún archivo o programa del sistema).
Habilitados:
estos se clasificaran en dos grupos
Ø Tipo A:
directores de carrera, tendrán una contraseña de lectura, consulta,
escritura (estarán regidos por una
política de seguridad que les permitirá
modificar solo en caso de emergencia.)
Ø Tipo B:
registro, se le otorgara una contraseña de lectura, escritura (a la misma se le
aplicara una política de seguridad donde en solo caso de emergencias se podrá
modificar en el sistema.)
Ø Tipo C:
profesores, este contara con una contraseña de control de estudiantes para
permitirles si es necesario modificar un archivo.
Ø Tipo D:
ing. Sistema, este se le otorgara una contraseña lectura y escritura.
Expertos:
Estos cuentan con total acceso al sistema que le permitirá modificar y
consultar cuando estos lo requieran.
CONTROLES
DE ACCESO
Se
implementaran protocolos o políticas de acceso para tener una mayor seguridad y evitar
modificaciones no autorizadas del sistema.
POLÍTICA
DE CONTRASEÑAS
Las clases de caracteres utilizada para las contraseñas son mayúsculas, minúsculas, números y símbolos. La complejidad que deben tener las
contraseñas, en función de las clases de caracteres, dependerá del largo de las
mismas. Intuitivamente, a mayor cantidad de caracteres, se relaja la necesidad
de tener clases adicionales.
Tomar
en cuenta:
Para los Expertos:
2- Evita utilizar sustituciones de letras por
símbolos o números similares.
3- No utilice el nombre de inicio de sesión.
4- No utilices palabras del diccionario de ningún
idioma.
5-
Deberá cambiar la contraseña mensualmente.
6-
Tendrá mínimo de 6 caracteres y un máximo de 10
7-
No deben contener partes significativas del nombre de cuenta
del usuario o nombre completo
Para los habilitados:
2- No incluya secuencias ni caracteres repetidos.
3- Evita utilizar sustituciones de letras por
símbolos o números similares.
4- No utilice el nombre de inicio de sesión.
5- No utilices palabras del diccionario de ningún
idioma.
6-
Deberá cambiar su contraseña mensualmente.
7-
Tendrá mínimo de 6 caracteres y un máximo de 10.
8-
No deben contener partes significativas del nombre de cuenta
del usuario o nombre completo
Tipo C:
1- Tendrán una contraseña que darán acceso a los
estudiantes a programas y aplicaciones restringidos, siempre que:
a.
El profesor a cargo tendrá que llenar un formulario haciendo
constar que está presente al momento de permitir acceso a los estudiantes para
los programas restringidos.
b.
Solo tendrá valides en el horario de la asignatura y con el
profesor presente.
c.
Deberá solicitarlo 2 días antes de su ejecución.
2- Solo podrán hacer cambios cuando estén
estrictamente autorizados por un supervisor.
3- No incluya secuencias ni caracteres repetidos.
4- Evita utilizar sustituciones de letras por
símbolos o números similares.
5- No utilice el nombre de inicio de sesión.
6- No utilices palabras del diccionario de ningún
idioma.
8- No deben contener partes significativas del
nombre de cuenta del usuario o nombre completo.
9- La contraseña deberá tener mínimo 6 dígitos y 8
máximo.
Tipo D:
2-
Tener 6
caracteres de longitud, como mínimo.
3-
Estar
compuesta por caracteres de tres de las siguientes categorías:
· Letras mayúsculas, de la A a la Z
· Letras minúsculas, de la a a la z
· Dígitos en base 10, de 0 a 9
4- Deberán cambiar su contraseña cada inicio de
cuatrimestre.
Inexperto:
1- Tendrán un mínimo de 4 caracteres y un máximo
de 6.
2- No tendrán límites para cambiar su contraseña.
3- Solo podrán tener acceso a un ordenador usando
su matrícula o número de cedula y contraseña.
ESTÁNDARES DE SEGURIDAD.
l Roles
l Transacciones
l Limitaciones a los
Servicios
l Ubicación y Horario
Roles
El
acceso a la información también puede controlarse a través de la función o rol
del usuario que requiere dicho acceso.
En
este caso los derechos de acceso pueden agruparse de acuerdo con el rol de los
usuarios.
Transacciones
También
pueden implementarse controles a través de las transacciones, por ejemplo
solicitando una clave al requerir el procesamiento de una transacción
determinada.
Limitaciones a los Servicios
Estos
controles se refieren a las restricciones que dependen de parámetros propios de
la utilización de la aplicación o preestablecidos por el administrador del
sistema.
Ubicación y Horario
El
acceso a determinados recursos del sistema puede estar basado en la ubicación
física o lógica de los datos o personas.
En
cuanto a los horarios, este tipo de controles permite limitar el acceso de los
usuarios a determinadas horas de día o a determinados días de la semana.
De
esta forma se mantiene un control más restringido de los usuarios y zonas de
ingreso.
Se
debe mencionar que estos dos tipos de controles siempre deben ir acompañados de
alguno de los controles anteriormente mencionados.
Vulnerabilidades.
Una vulnerabilidad es una debilidad del sistema
informático que puede ser utilizada para causar un daño. Las debilidades pueden
aparecer en cualquiera de los elementos de una computadora, tanto en el
hardware, el sistema operativo, cómo en el software.
Tipos De Vulnerabilidades
Ingeniería Social
En vista de la gran cantidad de personas que acceden a
dichos centros, estos pueden influenciar a los que laboran allí usen un
pretexto para sacar información confidencial o de suma importancia.
Solución: en la O & M, las
personas a cargo, de: los centros, registro, la despacho del director (a), y
todo lugar en el que se pueda tener acceso al sistema o a información
privilegiada, tienen que desconfiar de
cualquier usuario o posible atacante.
Trashing (Cartoneo)
l Generalmente, un usuario anota su login y password en
un papelito y luego, cuando lo recuerda, lo arroja a la basura. Este
procedimiento por más inocente que parezca es el que puede aprovechar un
atacante para hacerse de una llave para entrar el sistema..."nada se
destruye, todo se transforma".
l El Trashing físico suele ser común en organizaciones
que no disponen de alta confidencialidad, como colegios y universidades.
Solución:
en caso de que se deban eliminar, disco duro, archivos físicos y digitales,
contraseñas, y cualquier otra información relevante o no, que pueda poner en
riesgo la seguridad lógica de la universidad, debe ser totalmente destruida con
el fin de que no sea de utilidad para el intruso o persona malintencionada.
Denial of Service (DoS)
l El atacante teniendo acceso a la red de la universidad
este puede ejecutar un mapeo de la red o ya sea de forma externa, dándole la
facilidad de identificar vulnerabilidades en la red, así obteniendo las IPs de
las máquinas y la del servidor principal.
Este ataque comúnmente lo que hace es sobre cargar la
red para que el servidor o maquina no sean accesible.
Man in The Middle
(El hombre en el medio)
l El atacante en este caso, tiene la habilidad de
desviar o controlar las comunicaciones entre dos partes.
Solución: Cifrar la red y los datos importantes, para
evitar que el atacante no pueda leer o modificar ningún dato de relevancia.
Backdoors
l Los Backdoor son programas diseñados para abrir una
"puerta trasera" en el sistema de modo tal de permitir al creador del
backdoor tener acceso al sistema generalmente con fines maliciosos y espionaje.
Tipos de Amenazas
l Amenazas por el origen:
- Amenazas internas.
- Amenazas externas.
l Amenazas por el efecto.
l Amenazas por el medio utilizado.
Amenazas
¿Quiénes la causan?
l Usuarios:
- En algunos casos sus acciones ponen en peligro la
integridad del sistema ya sea de forma directa o indirecta.
l Programas maliciosos:
- Son aquellos programas creados con la intención de
hacer daño o robo de información.
l Intrusos:
- Persona o grupo de persona con el único objetivo de
acceder y obtener información privilegiada del sistema.
l Personal técnico interno:
-
Motivos:
Disputas internas, problemas laborales, despidos, fines lucrativos, espionaje,
etc.
SEGURIDAD
EN VOZ IP
Principales
amenazas a la que está expuesta la universidad O&M
1
– Denegación de Servicio (DoS)
Al igual que sucede en las redes de datos, existen ataques de denegación
de servicio en las redes VoIP. Esto ocurre cuando un atacante envía múltiples
paquetes, tales como solicitudes y registros, al punto donde los servicios VoIP
fallan. Estos tipos de ataque a menudo tienen como objetivo el protocolo SIP
(Protocolo de Inicio de Sesiones, por sus siglas en inglés) que, en última
instancia, provoca un gran consumo de recursos en el servidor de VoIP, derivando
en la señal de ocupado o desconectado.
2
– Spam sobre Telefonía en Internet (SPIT)
El spam ha dejado de ser exclusivo de los buzones de correo electrónico y
comienza a propagarse de forma similar hacia los usuarios de VoIP mediante
botnets. Al igual que el correo basura, los mensajes SPIT pueden ralentizar el
rendimiento del sistema, obstruir los buzones de voz e inhibir la productividad
del usuario.
3
– Robo del Servicio de Voz
El robo del servicio de VoIP puede ocurrir cuando un usuario no
autorizado accede a una red de VoIP, por lo general, mediante un nombre de
usuario y contraseña válidas, o bien obteniendo un acceso físico a un
dispositivo VoIP y realizando llamadas salientes. A menudo, se trata de
llamadas internacionales para aprovecharse de los beneficios que aporta la
VoIP.
4
– Secuestro de Registro
Un secuestro de registro SIP sucede cuando un hacker desactiva un
registro SIP válido de un usuario y lo sustituye por una dirección IP pirata.
Esto permite al hacker interceptar y redirigir las llamadas entrantes,
reproducirlas o finalizarlas en función de sus intereses.
5
– Escuchas no autorizadas
Al igual que los paquetes de datos, los paquetes de voz son objeto de
ataques a través de un intermediario cuando un hacker falsifica la dirección MAC
de dos partes, obligando a los paquetes de VoIP a circular a través del sistema
del hacker. Al hacerlo, el atacante puede regresar a los paquetes de voz y
escuchar las conversaciones en tiempo real. Con este ataque, los hackers
también pueden robar todo tipo de datos sensibles y de información, tales como
nombres de usuario, contraseñas e información del sistema de VoIP.
6
– Directory Harvesting o Recogida de Direcciones (DHA)
Esta amenaza se produce cuando los atacantes tratan de encontrar
direcciones válidas de VoIP mediante el uso de la fuerza en una red. Cuando un
hacker envía miles de direcciones VoIP a un dominio VoIP particular, la mayoría
de éstas "rebotan" como si fueran no válidas, si bien hay algunas que
no se devuelven y el pirata informático puede identificar las direcciones
válidas de VoIP. Mediante esta “recogida de direcciones” de direcciones de
usuarios de VoIP, el hacker puede obtener una nueva lista de suscriptores de
VoIP que en un futuro pueden ser objetivo de amenazas, tales como ataques
Vishing o SPIT.
7
– Vishing (Phishing sobre VoIP)
El Vishing imita las formas tradicionales de phishing (modalidad de
estafa cuyo objetivo es intentar obtener de un usuario información personal y
sensible como nombres de usuario, cuentas bancarias o números de tarjeta de
crédito, entre otros). Esta táctica se realiza a través de correo basura o
suplantando la imagen de una empresa o entidad pública con el objetivo de que
el usuario verifique alguna información confidencial. Cuando el usuario cae en
la trampa y aporta los datos correctos que le piden, los delincuentes tienen
libertad para vender esta información a otras personas o, en muchos casos,
utilizan directamente las tarjetas de crédito o cuentas bancarias.
Políticas de seguridad
·
Se recomienda separar
la voz y lo datos en dos redes diferentes lógicas formando VLAN, segmentando la
red. Con esto se logran reglas propias para voz y otras para datos, y se separa
el tráfico de ambos.De esta manera, no es posible espiar lo que pasa en la red
de voz, y se pueden configurar reglas que impidan que alguien ajeno a la red de
voz pueda colocar una herramienta para escuchar información, por lo que si no
se cuenta con un usuario y clave no se puede acceder a la red.
·
También es necesario
habilitar protocolos de cifrado para una protección más adecuada, que no sea
deducible por el intruso o atacante a pesar de que cuente con las herramientas
necesarias para su captura y sólo sea comprensible por los interlocutores. Esta
operación se lleva a cabo con AES (Advanced Encryption Standard), mediante
algoritmos matemáticos con diferentes operaciones de sustitución,
desplazamiento, mezcla de estado, etcétera; con la finalidad de garantizar un
cifrado fuerte.
·
Otro punto para
incrementar seguridad se refiere a la señalización, en la que se puede cifrar a
través de TLS (Transport Layer Security), herramienta que garantiza el servidor
donde se registran los dispositivos telefónicos IP, ya que autentica y avala su
identidad; en otras palabras: no nos pueden cambiar unos por otros, pues se
usan entidades certificadoras como VeriSign que verifican las identidades,
garantizando al usuario plena confianza en el servidor o servicio en cuestión,
por medio de la generación de llaves privadas y públicas.
·
Este sistema de seguridad
es conocido como RSA (Rivest, Shamir y Adleman, creadores del sistema). Tomemos
en cuenta el siguiente ejemplo para ver cómo funciona: Miguel envía a Beto una
caja abierta sin llave, de la que sólo el primero tiene la llave. Beto la
recibe, escribe un mensaje, lo pone en la caja y la cierra (ahora Beto no puede
abrir la caja). Beto envía la caja a Miguel, quien la abre con su llave. En
este ejemplo, la caja es la llave pública de Miguel, y la llave de la caja es
su llave privada.
·
Otro detalle importante
por observar en la planeación del sistema de seguridad del sistema de VoIP es
identificar porqué se utiliza un método de cifrado en vez de otro, ya sea RSA,
AES, o alguno otro. Por ejemplo, se elige AES para cifrar la voz y las redes
Wi-Fi, porque requieren menor poder de cómputo para su ejecución, al contrario
de RSA que maneja llaves más fuertes de 1024 o 2048 bits, lo que exige más
tiempo de cómputo y provoca retardos, por lo tanto se sugiere elegir el método
más conveniente dada la situación que se afronte, además de tener los cuidados
pertinentes ¿Usted dejaría las llaves de su carro pegadas? Creo que no. De esta
manera, protegemos nuestro derecho de privacidad.
·
la implementación de
firewalls y filtros entre los segmentos de voz y datos. Los firewalls
proporcionan un solo punto de concentración para la aplicación de políticas de
seguridad. Estas políticas definirán que recursos tienen acceso a que otros
recursos y además proporcionan un registro de las actividades realizadas. Los
firewalls pueden ser dispositivos ‘stand-alone’ o pueden estar incorporados
dentro de routers, dispositivos de VPN o IDS.
·
La administración
remota de los dispositivos de red deberá ser realizada sobre conexiones
encriptadas. Es indispensable manejar una política de claves adecuada, que
incluya el no utilizar claves por default y tener una rotación de claves cada
cierto periodo de tiempo. Las acciones tomadas en los sistemas se deben loguear
de tal manera que sea posible realizar auditorías posteriores. Únicamente se
deben permitir conexiones seguras para el acceso vía web (SSL, HTTPS).
·
En cuantos a los
servidores utilizados en la infraestructura para proveer servicios de voz sobre
IP; éstos deberán ser incorporados a sistemas de ‘patch management’ y manejo de
antivirus. Todo el equipo de telefonía debe estar localizado en un ambiente con
la seguridad física adecuada. Se debe considerar el tener suficiente energía de
respaldo para mantener la operación de los dispositivos de telefonía y de red
en caso de una falla de energía eléctrica. Todos los dispositivos wireless
deberían ser implementados utilizando WPA y/o WPA2 en lugar de WEP.
·
Para contrarrestar las
amenazas que provienen de la red pública, se deben tomar medidas como el COS
(Class of Restriction) que ayuda a prevenir fraudes económicos. En los puntos
de mayor criticidad, es necesario habilitar códigos de cuentas para permitir un
mejor rastreo de las llamadas. Se deben habilitar los logs de SMDR (Station
Message Detail Recording) para monitorear el uso de las llamadas en la red.
Formulario De Autorización Para El Acceso De Uso De
Software Restringidos|
FECHA
|
No. Formulario
0001
|
||
|
DIA
|
MES
|
AÑO
|
|
|
|
|
|
|
|
NOMBRE
DEL SOLICITANTE:
|
|
||
|
ASIGNATURA:
|
|
||
|
TIPO
DE SOFTWARE:
|
  OS APLI. |
||
|
ESPECIFICASION
DE USO:
|
|
||
|
CENTRO
INFORMATICO:
|
|
||
_________________ _________________
Director de Carrera
Administrador
Nota: El solicitante se
compromete a cumplir las políticas de seguridad establecidas.
|
|
|
|
Fecha de
Solicitud
|
||
|
|
|
|
Día
|
Mes
|
Año
|
|
|
|
|
|
|
|
|
Nombre
del Solicitante:
|
|
||||
|
Apellido
del solicitante
|
|
||||
|
No.
Cedula o Matricula
|
|
||||
|
No.
Teléfono
|
|
||||
Formulario Solicitud De Contraseña
Identificación del Solicitante
Administrador (A). Director (A). Registro. Profesor
(A). Estudiantes
Ing. En Sistema. Otros
Estudiantes.
Motivo de Solicitud
Crear
una cuenta Renovar
cuenta
Fecha De Última Renovación
|
Día
|
Mes
|
Año
|
|
|
|
|
___________________________
Autorizado por:
No hay comentarios:
Publicar un comentario