Dsei_acd_alzr
- 1. Universidad Abierta y a Distancia de México Ingeniería en Desarrollo de Software Seguridad de la Informática Profesora: MC. Ricardo Rodríguez Nieves Alfonso Rodrigo Zepeda Reyes AL12509711 Actividad del Facilitador Fecha de entrega: 12 de Diciembre de 2017
- 2. Unidad 1. Principios de Seguridad Informática
- 3. Al aumentar la demanda de los sistemas de TI mantener la seguridad de la informática es vital en los sistemas de información. Los sistemas de información van desde el correo, mensajería, comercio, transacciones, firmas y certificados digitales. A lo largo de la materia se verán diferentes metodologías para procurar la seguridad informática. La seguridad en los sistemas de información.
- 4. Recursos de Hardware: Servidores, estaciones de trabajo, computadoras, impresoras, escáneres, periféricos. Recursos de Software: Sistemas operativos, herramientas ofimáticas, software de gestión, herramientas de programación, aplicaciones desarrolladas a la medida. Elementos de Comunicaciones: Dispositivos de conectividad, armarios con paneles de conexión, cableado, puntos de acceso a la red, líneas de comunicación con el exterior. Información: La información que se almacena, procesa y distribuye a través del sistema. Espacios físicos: Locales y oficinas donde se ubican los recursos físicos. Usuarios: Personas que se benefician directa o indirectamente con el funcionamiento del sistema. Imagen y prestigio de la organización: La manera en la que los clientes perciben la organización derivada de los objetivos de ésta. Recursos de un Sistema de Información
- 5. Confidencialidad: Garantía del acceso sólo a las personas que disponen de autorización. Integridad: Garantía de la exactitud de la información y de su protección frente a alteraciones o pérdidas. Disponibilidad: Garantía de que la información va a estar disponible en el momento en que se necesita. Triada de la Seguridad
- 6. Análisis y diseño de sistemas Complejidad del sistema, a mayor complejidad más difícil encontrar y solucionar los problemas. Insuficiente participación de los usuarios, las personas no confían en la automatización de tareas ya que piensan que perderían su trabajo al convertir sus actividades en rutinas del sistema. Alteración del sistema con fines delictivos, se busca alterar el sistema para generar datos fantasma o desviar fondos y recursos a otras áreas. Revelación de información confidencial, tener filtraciones de datos a terceras personas provocando que los usuarios del sistema tengan sus datos comprometidos. Deficiencia en la elaboración del lenguaje de control para el procesamiento de la información, esto se debe a una mala planeación de procedimientos y pasos dentro del funcionamiento del sistema. Implicaciones de la Seguridad Informática
- 7. Programación. Factible alteración de programas, el creador del programa puede alterar el programa para filtrar información o volverlo código malicioso. Creación artificiosa de programas, programas que debido al poco tiempo de desarrollo no cumplen los requisitos para los que fue creado. Selección de personal no idóneo, al tener personal barato y poco ético pueden las empresas tener personal que filtre información o que vulnere el sistema. Complejidad en la creación de programas aunque cumplan el objetivo deseado, esto se debe a los programas que responden bien a los objetivos originales pero fallan en el la facilidad de uso haciendo complicado el manejo del sistema.
- 8. Funcionamiento de sistemas, muchas veces aunque el sistema este bien elaborado puede llegar a tener vulnerabilidades. Codificación de datos, en esta actividad se presentan situaciones como código ilegible la cual detecta al momento de efectuar a captura de datos. Captura de datos, al pasar los datos a las bases de datos puede llegar a tener una serie de errores el capturista. Operación de sistemas, al manejar el sistema pueden existir errores de operación por parte del usuario. Control de documentos fuente, filtraciones de estos documentos pueden llegar a generar problemas ya que daría armas a intrusos para vulnerar el sistema. Control de inventarios de suministros informáticos, al no tener un inventario de los bienes físicos pueden tener robos y extravíos de estos provocando daños en el manejo del sistema. Control de resultados, se debe verificar que los sistemas funcionen correctamente al evaluar los resultados obtenidos de ellos. Mantenimiento de equipo, a falta de mantenimiento los bienes físicos pueden fallar y provocar pérdidas de funciones del sistema.
- 9. Primer nivel: Entorno nacional o local. Segundo nivel: Entorno organizacional. Tercer nivel: Seguridad física. Cuarto nivel: Seguridad en hardware. Quinto nivel: Seguridad en software. Sexto nivel: Seguridad en datos. Niveles de seguridad
- 10. Nivel D1, es el nivel más bajo de seguridad no ofrece protección de hardware ni e software. Nivel C1, existe cierto nivel de protección de hardware, el usuario debe identificarse con contraseña. Nivel C2, maneja un sistema controlado restringiendo a los usuarios con permisos según su nivel. Nivel B1, maneja seguridad multinivel con restricciones de accesos. Nivel B2, tiene protección estructurada, pueden estar asignados a varios niveles de seguridad. Nivel B3, refuerza los dominios de seguridad con la instalación de hardware que requiere a los equipos conectado en redes confiables. Nivel A, diseño verificado, es el nivel más alto, protege al equipo y al sistema durante traslados y manejos dentro de las instalaciones.
- 11. Instaurado por el IFAI Busca proteger a los usuarios que alimentan bases de datos para evitar que esta información sea utilizada por terceras personas así como busca mantener la información segura para que no sea utilizada con otros fines diferentes a los explícitamente mencionados por la institución que esta recopilando dichos datos. LFPDPPP
- 12. El propósito fundamental es identificar los activos involucrados en una organización, sus metodologías y procesos para estimar e riesgo asociado, desde el punto de vista de la administración de la misma. Al analizar los riesgos se puede obtener: Permitir una mejor gestión del riesgo organizacional Mejorar la administración de la organización mediante la toma de decisiones e inversión en seguridad de la información. Mejorar significativamente la aplicación y los procesos de gestión. Mayor control sobre los activos. Mejorar la seguridad de sistemas de información para almacenar, procesar y transmitir la información de la organización. Análisis de Riesgos y Amenazas
- 13. Seguridad física: implica la aplicación de barreras físicas y procedimientos de control como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial. Las amenazas pueden ser: Incendios Inundaciones Condiciones climatológicas Señales de radas Instalaciones eléctricas Clasificación de la Seguridad Informática
- 14. Seguridad lógica: busca aplicar procedimientos para que solo el persona autorizado pueda acceder a determinadas áreas de la empresa, se puede hacer uso de antivirus, antispam y antispyware.
- 15. Es un software malintencionado que realiza acciones fuera del consentimiento del usuario, estos programas van desde el robot de información, dañar a la máquina, ejecución de actos ilícitos. Malware
- 16. Virus informáticos, son el malware mas común, son programas que se reproducen al infectar otros archivos intentando que estos archivos sean ejecutados en otros entornos para seguir diseminándose. Gusanos, tiene la propiedad de replicarse así mismo utilizando rutinas automáticas del sistema operativo, tiende a propagarse por redes infectando a todos los dispositivos en dicha red. Troyanos, es un software que se enmascara con una fase identidad, como puede ser un programa o archivo útil, pero al ser ejecutado realiza acciones maliciosas dentro del sistema contaminado. Spyware, son programas espías que se dedican a recopilar información en los sistemas donde se instalan. Phishing, es un software que busca suplantar una organización para que el usuario al pensar que esta tratando con dicha información de sus datos y por lo tanto robe la información recibida. Tipos de Malware
- 17. Rogue Software, es un software antivirus falso que levanta falsos positivos para que el usuario utilice la herramienta y en ese momento infectar al sistema. Spam, son correos electrónicos masivos que saturan las bandejas de entrada con fines publicitarios, propagar virus, etc. Rootkits y backdoors, son aplicaciones ocultas en el sistema que reemplazan aplicaciones reales del mismo. Adware, es un malware que genera publicidad en el equipo infectado sin que el usuario tenga control en ellas. Hoax, son correos de contenido falso aunque provengan de fuentes legítimas, buscando confundir al usuario y haciéndolo entrar en links inseguros. Keyloggers, son programas espías que capturan los movimientos hechos por el teclado o el mouse pudiendo adquirir usuarios y contraseñas así como información importante del usuario.
- 18. Actualización del software, al actualizar el sistema se obtienen las últimas mejoras en el mismo haciéndolo más seguro y estable. Cortafuegos, impide que el equipo sea accesible desde internet así como evita que algún malware abra los puertos del equipo para ser atacado exteriormente. Anti buffer overflow, los nuevos sistema operativos cuentan con esta herramienta que evita que los procesos excedan sus capacidades haciendo que el sistema pueda fallar. Herramientas Anti Malware, son programas destinados a destruir o prevenir el ingreso de un malware en los equipos que utilizamos. Prevención y Desinfección del Malware
- 19. Herramientas Anti Spyware, son herramientas que escanean el sistema en busca de spyware evitando que éste pueda actuar al ser detectado y eliminado por estas herramientas. Antivirus de escritorio, son programas que contienen defensas contra vulnerabilidades, como es el escaneo de los sitios web, archivos, memorias extraibles, etc. Este es una de las herramientas mas completas para combartir el malware y es el mas recomendado. Antivirus Online y sandbox, este antivirus online puede escanear archivos que se le envíen devolviendo datos sobre dichos archivos, el sandbox es un entorno controlado donde se ejecuta un archivo para ver que reacción tendrá sin riesgo a que su acción llegue al sistema completo.
- 20. Dentro de la seguridad informática existe una regulación en el marco legal lo cual indica las obligaciones que se deben cumplir para proteger los sistemas informáticos. En México se tienen 10 años con el concepto de delitos informáticos, aunque a nivel mundial desde 1977 se mencionó el término debido a que surgían los sistemas informáticos cada vez mas complejos. Marco Legal de Seguridad de la Informática Nacional e Internacional
- 21. Fraudes cometidos mediante manipulación de computadoras Manipulación de datos de entrada Manipulación de programas Manipulación de datos de salida Fraude efectuado por manipulación informática Falsificaciones informáticas Utilizando sistemas informáticos como objetos Utilizando sistemas informáticos como instrumentos Daños o modificaciones de programas o datos computarizados Sabotaje informático Virus Gusanos Bomba lógica o cronológica Acceso no autorizado a sistemas o servicios Piratas informáticos o hackers Reproducción no autorizada de programas informáticos con protección legal. Tipos de Delitos Delictivos
- 22. Unidad 2. Mecanismos Criptográficos en los sistemas informáticos
- 23. Es una disciplina que conjuga conocimientos de lenguaje, matemáticas e informática que tiene como objetivo el codificar y decodificar mensajes haciendo uso de algoritmos difíciles de manejar e interpretar para proteger la información de terceras personas. Desde los orígenes de la escritura se ha mejorado el sistema criptográfico de tal forma que con la llegada de la informática también se adaptó dicha disciplina para cifrar mensajes. Criptografía
- 24. Algoritmos Criptográficos de Clave Privada, se basan en algoritmos, métodos y cifrados que usan una única clave para cifrar y descifrar los mensajes y criptogramas. El objetivo de este tipo de algoritmos es proteger la clave ya que una vez que la clave es conocida se puede descifrar cualquier mensaje encriptado con dicho algoritmo. Algoritmos Criptográficos de Clave Pública, este tipo de algoritmo requiere 2 tipos de claves, una pública y una privada que deben estar matemáticamente relacionadas, este tipo de encriptación es utilizado en comunicaciones, firmas digitales y en el intercambio de claves. Clasificación de los Algoritmos Criptográficos
- 25. Seguridad de las comunicaciones, es la principal aplicación de la criptografía a las redes computacionales. Ya que esto permite crear canales seguros para intercambiar información. Identificación y autentificación, gracias al uso de firmas digitales y otras técnicas criptográficas se permite validar el acceso a un recurso en un entorno de red con más garantías que con usuario y contraseñas tradicionales. Certificación, es un esquema mediante agentes fiables para validar la identidad de los agentes desconocidos, esto nos ayuda a identificar y autenticar cuando se emplea a gran escala. Comercio electrónico, con el empleo de canales seguros y a los mecanismos de identificación se posibilita el comercio electrónico para que las empresas como los usuarios tengan garantías de que las operaciones no pueden ser espiadas. Aplicaciones de la Criptografía
- 26. Los certificados vinculan los datos de verificación de firma a un signatario y confirma su identidad. Las firmas digitales son un conjunto de datos adjuntos o lógicamente asociado a un mensaje, la finalidad de esto es comprobar su integridad y permitir la identificación unívoca del autor. Con la firma digital se pueden garantizar los siguientes aspectos: Autenticidad, es la posibilidad técnica de establecer un nexo unívoco entre un documento, mensaje, archivo o firma electrónica y su autor. No Repudio, ofrece protección a un usuario frente a que otro usuario niegue posteriormente que en realidad se realizó la comunicación. Confidencialidad, se trata de la seguridad de que los datos que contiene el documento permanecen ocultos a los ojos de terceras personas durante su viaje por el medio desde A a B. Certificados y Firmas Digitales
- 27. La clave pública PKI es una combinación de programas, tecnologías de encriptación, procesos y servicios, que permite a las organizaciones asegurar las comunicaciones y las transacciones del negocio. Infraestructuras de Clave Pública PKI
- 28. Los certificados digitales son útiles cuando existe una autoridad certificadora que los valide, esta autoridad dará validez y autentificará la identidad de una empresa por medio de una firma digital, los certificados digitales proporcionan un mecanismo criptográfico para implementar la autentificación. Estándares y Protocolos de Certificación Digital
- 29. Unidad 3. Gestión y Aplicación de Protocolos de Seguridad Informática
- 30. Como se ha visto un sistema informático se conforma por hardware, software y datos. Todo lo anterior mencionado puede ser atacado con interrupciones, intercepciones, modificaciones y fabricaciones. Mecanismos de Seguridad en los Sistemas Informáticos: Redes, Sistemas Operativos y Bases de Datos
- 31. Seguridad por Oscuridad, es un método que se utiliza el secreto de diseño o implementación para que por desconocimiento no e encontraran los puntos débiles de dicho sistema. Seguridad del Perímetro, se basa en reforzar los puntos de acceso o conexión de nuestra red privada con la red externa. Para esto se bloquean los accesos físicamente y con firewalls. Seguridad en Profundidad, se asume que cada una de las medidas tomadas pueden ser rotas por atacantes, esto hace que se hagan capas de seguridad haciendo que las probabilidades de que los atacantes lleguen a su objetivo sean menores entre mas capas tenga el sistema. Las capas son: Área de Influencia: Es la zona más externa del sistema, donde se pueden hacer acciones en contra de esta zona. Área de Exclusión: Es el espacio concéntrico exterior al área protegida, de utilización restringida. Área Protegida: Es el espacio delimitado por barreras físicas que ejerce un cierto control de movimiento y permanencia. Área Crítica: Espacio delimitado por barreras físicas, dentro del área protegido cuyo acceso y permanencia son objeto de medidas especiales de control. Modelos de Seguridad
- 32. Prevención, Utilizando métodos de autenticación, identificación, control de acceso, plataformas heterogéneas, sistemas honeypot, etc. Detección, A través de programas de auditoria Tripwire o Nagios que se encargan de chequear el sistema. Respuesta, Implementando métodos de backups y software de análisis forense. Mecanismos de Seguridad
- 33. Existen diferentes metodologías para los proyectos de seguridad informática, la más usada es la creada por el Instituto Internacional de Recuperación de Desastres DRII. Esta seguridad cuenta con las siguientes etapas: Inicio y administración del proyecto Evaluación y administración del proyecto Análisis de impacto al negocio (BIA) Desarrollo de estrategias de continuidad de negocio Respuesta a la emergencia y estabilización Desarrollo e implementación de planes de continuidad del negocio Programas de concientización y entrenamiento Prueba y mantenimiento de los planes de continuidad de negocio Relaciones públicas y coordinación de la crisis Coordinación con las autoridades públicas Metodología para el Desarrollo de Proyectos de Seguridad Informática
- 34. Inicio y Administración del Proyecto Establecer la necesidad de desarrollar e implementar un plan de continuidad del negocio Obtener el soporte directivo Organizar y administrar el proyecto hasta su completa realización y acorde con los límites de tiempo y presupuesto Justificaciones para implementar un DRP-BCP Sobrevivir a un desastre Cumplir con los Service Level Agreements o acuerdos de nivel de servicios Cumplir con los requerimientos o recomendaciones de auditoria Cumplir con los Requerimientos Legales Reducir los costos seguros Usar las instalaciones y equipo de respaldo para otros propósitos Promover los objetivos de la cultura corporativo Etapas de la Metodología DRII
- 35. Apoyo directivo Llevar a cabo un análisis informal de riesgos de desastre Recolectar estadísticas de la industria Investigar historias de casos de desastre Identificar los mandatos legales y regulatorios relevantes Desarrollar la justificación para el proyecto de DRP-BCP Llevar a cabo una sesión ejecutiva de sensibilización de la dirección y de la gerencia. Comité de dirección, cuenta con: Director general Director de finanzas Director de comercialización Gerente e relaciones públicas Gerentes de las unidades de negocios Gerente de operaciones Gerentes de soporte Gerente de administración del edificio Gerente de IT y comunicaciones Lider del proyecto de continuidad del negocio
- 36. Consultores, especializados en DRP que pueden ser útiles en el desarrollo del proyecto por su experiencia en otros proyectos de DRP en otras empresas. Grupos de recuperación- continuidad, tienen a su cargo identificar a los participantes que intervienen en el proceso de recuperación y continuidad que harán frente a un evento de desastre en forma organizada y controlada.
- 37. Evaluación y control de riesgos Objetivos, determinar los eventos y circunstancias del ambiente, determinar el daño de los eventos, determinar los controles necesarios para prevenir o minimizar los efectos de pérdidas potenciales Análisis de impacto a negocio Definir objetivos, alcance y suposiciones del BIA Identificar las funciones del negocio y sus procesos Evaluar los impactos financieros y operacionales Identificar los procesos críticos Evaluar los MTD y priorizar los procesos críticos Identificar los sistemas y aplicaciones informáticas críticas Identificar los recursos no-informáticos que son críticos Determinar el RTO Determinar el PRO Identificar los procedimientos alternativos Generar reporte BIA
- 38. Desarrollo de estrategias de continuidad del negocio, determina y guiar a selección de estrategias funcionales alternativas para recuperar el negocio y servicio informático dentro del tiempo objetivo. Respuesta de emergencia y estabilización. Desarrollar e implementar procedimientos para responder y estabilizar la situación inmediata siguiente a un incidente o evento Establecer y administrar un centro de operaciones de emergencia para ser usado como un centro de mando durante la emergencia Desarrollo e implementación de planes de continuidad del negocio Diseñar, desarrollar e implementar el BCP que provea la recuperación dentro del tiempo Objetivo de Recuperación RTO Programas de concientización y entrenamiento Preparar un programa para crear conciencia corporativa Preparar un programa para mejorar las habilidades requeridas para desarrollar, implementar, mantener y llevar a cabo el BCP
- 39. Prueba y mantenimiento de los planes de continuidad del negocio Pre-planear y coordinar las pruebas del BCP Evaluar y documentar los resultados de las pruebas Desarrollar procesos para mantener a vigencia de capacidades para mantener la continuidad y la vigencia del documento del plan de acuerdo con la dirección estratégica Verificar la efectividad del plan comparándolo con un estándar adecuado Reportar los resultados de manera clara y concisa Relaciones públicas y coordinación de la crisis Desarrollar, coordinar, evaluar y ejercitar planes para manejar a los medios de comunicación durante la situaciones de crisis Proveer asesoramiento sobre el manejo de traumas a los empleados, sus familiares, clientes, claves, proveedores, etc. Asegurar que todos los stakeholders se les mantenga informados.
- 40. Coordinación con las autoridades públicas Establecer la políticas y procedimientos aplicables para coordinar las actividades de respuesta, continuidad y restauración, con la autoridades respectivas de manera que se cumpla con los estatutos y reglamentos aplicables.
- 41. Es un plan de emergencia que pretende mantener la funcionalidad de la organización a un nivel mínimo aceptable durante una contingencia. Este plan debe contemplar una serie de medidas preventivas para cuando suceda un contingencia todo con el fin de asegurar una reanudación oportuna y ordenada de los procesos de negocio generando un impacto mínimo ante cualquier incidente. Plan de Continuidad de Negocio (BCP)
- 42. Identificar los diversos eventos que podrían impactar sobre la continuidad de las operaciones y su impacto sobre el negocio Obliga a conocer los tiempos críticos de recuperación para volver a la situación anterior al desastre sin comprometer al negocio Previene o minimiza las pérdidas para el negocio en caso de desastre Clasifica los activos para priorizar su protección en caso de desastre Aporta una ventaja competitiva frente a la competencia Beneficio de BCP
- 43. El plan de recuperación de desastre es un conjunto de estrategias definidas para asegurar la reanudación oportuna y ordenada de los servicios informáticos críticos en caso de contingencia. El método depende de los departamentos de la empresa y cuenta con 4 fases: Analizar Desarrollar Ejecutar Mantener Plan de Recuperación de Desastre (DRP)
- 44. Lo primero que se debe hacer es un análisis de impacto al negocio(BIA), el cual es un informe que nos muestra el coste ocasionado por la interrupción de los procesos de negocio que se incluye en el plan de continuidad del negocio. Dentro del análisis hay 3 aspectos de primordial importancia para el análisis, los cuales son: Criticidad de los recursos de información relacionados con los procesos críticos del negocio Periodo de recuperación crítico antes de incurrir en pérdidas significativas Sistema de clasificación de riesgos
- 45. El DRP no se puede lograr sin personal dedicado, de tiempo completo, con la responsabilidad de mantener los planes, el personal debe estar capacitado para asumir responsabilidades de recuperación y actualización de los planes, para reflejar los cambios en el procesamiento de la información y entornos empresariales.
- 46. Los beneficios de DRP son: La capacidad de proteger lo sistemas críticos para la empresa Reducción de pérdidas tras un incidente Garantizar la fiabilidad de los sistemas de reserva Proporcionar un sentido de seguridad Minimizar el riesgo de retrasos Proporcionar un estándar para probar el plan Minimizar la toma de decisiones en caso de desastre La reducción de las posibles responsabilidades legales Mejora la eficiencia general de la organización y la relación de bienes, recursos humanos y financieros para los servicios críticos.
- 47. El manejar software y herramientas de última generación para mantener la seguridad informática es de vital importancia ya que entre más moderna sea la herramienta mejor responderá a las vulnerabilidades, así como el implementar normas actualizadas mejora la herramienta de seguridad. También se debe actualizar la política de seguridad de la empresa con los requerimientos de la empresa que también esta en constante cambio y con nuevas necesidades. Nuevas Tecnologías de Seguridad de la Informática
- 48. Esto esta definido en el manual de operaciones del personal, en este manual se debe evitar el mal manejo en la operación del equipo que puedan crear riesgo de negligencia o accidente. Para asegurar el software se debe restringir el acceso a programas y archivos, aplicar medidas antivirus, asegurar que los operadores puedan trabajar sin supervisión rigurosa, también el manual debe asegurar que usen los datos, archivos y programas correctos. Existen factores que pueden afectar la seguridad del sistema: Manejo pobre de modems Transmisión de archivos no cifrados Indiferencia con la seguridad Clave de acceso débil y obvia No validar/verificar a los usuarios No inspeccionar el software nuevo No realizar procedimientos con el antivirus Tener empleados descontentos o deshonestos Errores de programación Aplicaciones no autorizadas NO tener controles de auditoria Seguridad Física
- 49. Se debe tener una comunicación entre personal de computación y a los usuarios, debe existir una unidad o encargado de canalizar las solicitudes y modificaciones del programa. El control que se debe llevar debe asegurar que los datos sean procesados e incluidos en los archivos correspondiente. La seguridad de los archivos debe tener el almacenamiento de las copias de respaldo en un lugar diferente con identificación y control de los archivos a través de etiquetas u otros medios. Seguridad de la Aplicación
- 50. En caso de desastre se debe tener un respaldo informático que nos debe permitir la continuidad del negocio, la importancia de esto debe trabajar sin problema para garantizar la seguridad y la continuidad del negocio. Debido a la amplia gama de ataques las empresas deben elegir que vulnerabilidades se deberán trabajar y proteger analizando que es lo de mayor valor para la empresa y enfocarse en protegerlo al máximo. Seguridad en Caso de Contingencias