seguridad_informatica

Origen de los problemas deOrigen de los problemas de
Seguridad InformáticaSeguridad Informática
Helios Mier CastilloHelios Mier Castillo
hmier@ieee.orghmier@ieee.org
Departamento de Seguridad InformáticaDepartamento de Seguridad Informática
desei@uag.mxdesei@uag.mx
Instituto de Investigación y Desarrollo deInstituto de Investigación y Desarrollo de
Ingeniería de SoftwareIngeniería de Software
Universidad Autónoma de GuadalajaraUniversidad Autónoma de Guadalajara

““Si te conoces a ti mismo ySi te conoces a ti mismo y
conoces a tu enemigo,conoces a tu enemigo,
entonces no deberás temerentonces no deberás temer
el resultado de mil batallas”el resultado de mil batallas”
Sun-Tzu, El Arte de la GuerraSun-Tzu, El Arte de la Guerra

 ““LA SEGURIDAD INFORMATICA ESLA SEGURIDAD INFORMATICA ES
UNUN CAMINOCAMINO, NO UN DESTINO”, NO UN DESTINO”
• Objetivo: mantener los sistemasObjetivo: mantener los sistemas
generando resultados.generando resultados.
• Si los sistemas no se encuentranSi los sistemas no se encuentran
funcionando entonces su costo sefuncionando entonces su costo se
convierte en perdidas financieras (en elconvierte en perdidas financieras (en el
menos grave de los casos).menos grave de los casos).
• El resultado generado por un sistema esEl resultado generado por un sistema es
lala INFORMACION que ALMACENA OINFORMACION que ALMACENA O
PRODUCE.PRODUCE.


La seguridad informáticaLa seguridad informática NONO eses
un problema exclusivamente de lasun problema exclusivamente de las
computadoras.computadoras.
 Las computadoras y las redes son elLas computadoras y las redes son el
principal campo de batalla.principal campo de batalla.
 Se debe de proteger aquello queSe debe de proteger aquello que
tenga un valor para alguien.tenga un valor para alguien.

Definiciones de seguridadDefiniciones de seguridad
 Políticas, procedimientos y técnicasPolíticas, procedimientos y técnicas
para asegurar lapara asegurar la integridad,integridad,
disponibilidad y confiabilidaddisponibilidad y confiabilidad dede
datos y sistemas.datos y sistemas.
 Prevenir y detectarPrevenir y detectar amenazas.amenazas.
ResponderResponder de una forma adecuada yde una forma adecuada y
con prontitud ante un incidente.con prontitud ante un incidente.
 ProtegerProteger y Mantener los sistemasy Mantener los sistemas
funcionando.funcionando.

¿por qué?¿por qué?
 Por $$$,Por $$$, el dueño de los sistemasel dueño de los sistemas
tiene dinero INVERTIDOtiene dinero INVERTIDO en algo queen algo que
le trae un beneficio o ventaja.le trae un beneficio o ventaja.
 El Cracking a otros sistemas desdeEl Cracking a otros sistemas desde
cualquier punto de vista es ilegal.cualquier punto de vista es ilegal.
Estamos defendiéndonos ante elEstamos defendiéndonos ante el
crimencrimen. (aunque no haya leyes). (aunque no haya leyes)
 Por CALIDAD,Por CALIDAD, hay quehay que
acostumbrarnos a hacer las cosasacostumbrarnos a hacer las cosas
bien,bien, aunque cueste más esfuerzo.aunque cueste más esfuerzo.

¿De donde surge la seguridad?¿De donde surge la seguridad?
 ““Tecnológicamente, la seguridad esTecnológicamente, la seguridad es
GRATIS”GRATIS”
• YA HAS PAGADO POR ELLA: LosYA HAS PAGADO POR ELLA: Los
sistemas operativos modernos contienensistemas operativos modernos contienen
muchas características de seguridad.muchas características de seguridad.
¿Las conoces?¿Las usas?¿Las conoces?¿Las usas?
• LAS MEJORES HERRAMIENTAS DELAS MEJORES HERRAMIENTAS DE
SEGURIDAD SON OPEN SOURCE.SEGURIDAD SON OPEN SOURCE.
(excepto los antivirus)(excepto los antivirus)

 La Seguridad Informática es Fácil:La Seguridad Informática es Fácil:
“Con el 20% de esfuerzo se puede“Con el 20% de esfuerzo se puede
lograr el 80% de resultados”lograr el 80% de resultados”
• Actividades sencillas pero constantesActividades sencillas pero constantes
son las que evitan la mayoría de losson las que evitan la mayoría de los
problemas.problemas.
• Se debe de trabajar en crearSe debe de trabajar en crear
MECANISMOS de seguridad que usan lasMECANISMOS de seguridad que usan las
TECNICAS de seguridad adecuadasTECNICAS de seguridad adecuadas
según lo que se quiera proteger.según lo que se quiera proteger.

¿Dónde entra el Software Libre?¿Dónde entra el Software Libre?
 Esta adquiriendo muchos simpatizantes yEsta adquiriendo muchos simpatizantes y
usuarios. Se esta volviendo popular.usuarios. Se esta volviendo popular.
 Generalmente se encuentran en partesGeneralmente se encuentran en partes
importantes de los sistemas de unaimportantes de los sistemas de una
empresa, aunque el resto de los usuariosempresa, aunque el resto de los usuarios
sigan mirando por las ventanas.sigan mirando por las ventanas.
 Se descubren constantemente nuevasSe descubren constantemente nuevas
vulnerabilidades y algunas de ellas son muyvulnerabilidades y algunas de ellas son muy
fáciles de aprovechar.fáciles de aprovechar.
 Por falta de conocimientos, podemosPor falta de conocimientos, podemos
introducir vulnerabilidades donde antes nointroducir vulnerabilidades donde antes no
había.había.

ROLESROLES
INVOLUCRADOSINVOLUCRADOS
EN SEGURIDADEN SEGURIDAD

USUARIOSUSUARIOS
SEGURIDADSEGURIDAD

Usuarios comunesUsuarios comunes
 Los usuarios se acostumbran a usarLos usuarios se acostumbran a usar
la tecnología sin saber como funcionala tecnología sin saber como funciona
o de los riesgos que pueden correr.o de los riesgos que pueden correr.
 Son las principales víctimas.Son las principales víctimas.
 También son el punto de entrada deTambién son el punto de entrada de
muchos de los problemas crónicos.muchos de los problemas crónicos.
 ““El eslabón más débil” en la cadenaEl eslabón más débil” en la cadena
de seguridad.de seguridad.
 Social Engineering SpecialistSocial Engineering Specialist::
Because There is no SecurityBecause There is no Security
Patch for HumansPatch for Humans

2 enfoques para controlarlos2 enfoques para controlarlos
 Principio del MENOR PRIVILEGIOPrincipio del MENOR PRIVILEGIO
POSIBLE:POSIBLE:
• Reducir la capacidad de acción del usuarioReducir la capacidad de acción del usuario
sobre los sistemas.sobre los sistemas.
• Objetivo: Lograr el menor daño posible enObjetivo: Lograr el menor daño posible en
caso de incidentes.caso de incidentes.
 EDUCAR AL USUARIO:EDUCAR AL USUARIO:
• Generar una cultura de seguridad. ElGenerar una cultura de seguridad. El
usuario ayuda a reforzar y aplicar losusuario ayuda a reforzar y aplicar los
mecanismos de seguridad.mecanismos de seguridad.
• Objetivo: Reducir el número de incidentesObjetivo: Reducir el número de incidentes

USUARIOS
CREADORESCREADORES
DE SISTEMASDE SISTEMAS
SEGURIDADSEGURIDAD

Creando SoftwareCreando Software
 El software moderno es muy complejoEl software moderno es muy complejo
y tiene una alta probabilidad dey tiene una alta probabilidad de
contener vulnerabilidades decontener vulnerabilidades de
seguridad.seguridad.
 Un mal proceso de desarrollo generaUn mal proceso de desarrollo genera
software de mala calidad.software de mala calidad. “Prefieren“Prefieren
que salga mal a que salga tarde”.que salga mal a que salga tarde”.
 Usualmente no se enseña a incorporarUsualmente no se enseña a incorporar
requisitos ni protocolos de seguridadrequisitos ni protocolos de seguridad
en los productos de SW.en los productos de SW.

Propiedades de la Información enPropiedades de la Información en
un “Trusted System”un “Trusted System”
 ConfidencialidadConfidencialidad: Asegurarse que: Asegurarse que
la información en un sistema dela información en un sistema de
cómputo y la transmitida por uncómputo y la transmitida por un
medio de comunicación, pueda sermedio de comunicación, pueda ser
leídaleída SOLOSOLO por las personaspor las personas
autorizadas.autorizadas.
 AutenticaciónAutenticación: Asegurarse que el: Asegurarse que el
origen de un mensaje o documentoorigen de un mensaje o documento
electrónico esta correctamenteelectrónico esta correctamente
identificado, con la seguridad que laidentificado, con la seguridad que la
entidad emisora o receptora no estaentidad emisora o receptora no esta
suplantada.suplantada.

 IntegridadIntegridad: Asegurarse que solo el: Asegurarse que solo el
personal autorizado sea capaz depersonal autorizado sea capaz de
modificar la información o recursosmodificar la información o recursos
de cómputo.de cómputo.
 No repudiaciónNo repudiación: Asegurarse que ni: Asegurarse que ni
el emisor o receptor de un mensaje oel emisor o receptor de un mensaje o
acción sea capaz de negar lo hecho.acción sea capaz de negar lo hecho.
 DisponibilidadDisponibilidad: Requiere que los: Requiere que los
recursos de un sistema de cómputorecursos de un sistema de cómputo
estén disponibles en el momento queestén disponibles en el momento que
se necesiten.se necesiten.

Ataques contra el flujo de laAtaques contra el flujo de la
informacióninformación
 FLUJO NORMALFLUJO NORMAL
• Los mensajes en una red se envían aLos mensajes en una red se envían a
partir de un emisor a uno o variospartir de un emisor a uno o varios
receptoresreceptores
• El atacante es un tercer elemento; en laEl atacante es un tercer elemento; en la
realidad existen millones de elementosrealidad existen millones de elementos
atacantes, intencionales o accidentales.atacantes, intencionales o accidentales.
Emisor Receptor
Atacante

 INTERRUPCIONINTERRUPCION
El mensaje no puede llegar a su destino, unEl mensaje no puede llegar a su destino, un
recurso del sistema es destruido orecurso del sistema es destruido o
temporalmente inutilizado.temporalmente inutilizado.
Este es un ataque contra laEste es un ataque contra la DisponibilidadDisponibilidad
Ejemplos: Destrucción de una pieza deEjemplos: Destrucción de una pieza de
hardware, cortar los medios de comunicaciónhardware, cortar los medios de comunicación
o deshabilitar los sistemas de administracióno deshabilitar los sistemas de administración
de archivos.de archivos.
Emisor Receptor
Atacante

 INTERCEPCIONINTERCEPCION
Una persona, computadora o programa sinUna persona, computadora o programa sin
autorización logra el acceso a un recursoautorización logra el acceso a un recurso
controlado.controlado.
Es un ataque contra laEs un ataque contra la ConfidencialidadConfidencialidad..
Ejemplos: Escuchas electrónicos, copiasEjemplos: Escuchas electrónicos, copias
ilícitas de programas o datos, escalamientoilícitas de programas o datos, escalamiento
de privilegios.de privilegios.
Emisor Receptor
Atacante

 MODIFICACIONMODIFICACION
La persona sin autorización, además deLa persona sin autorización, además de
lograr el acceso, modifica el mensaje.lograr el acceso, modifica el mensaje.
Este es un ataque contra laEste es un ataque contra la IntegridadIntegridad..
Ejemplos: Alterar la información que seEjemplos: Alterar la información que se
transmite desde una base de datos, modificartransmite desde una base de datos, modificar
los mensajes entre programas para que selos mensajes entre programas para que se
comporten diferente.comporten diferente.
Emisor Receptor
Atacante

 FABRICACIONFABRICACION
Una persona sin autorización inserta objetosUna persona sin autorización inserta objetos
falsos en el sistema.falsos en el sistema.
Es un ataque contra laEs un ataque contra la AutenticidadAutenticidad..
Ejemplos: Suplantación de identidades, roboEjemplos: Suplantación de identidades, robo
de sesiones, robo de contraseñas, robo dede sesiones, robo de contraseñas, robo de
direcciones IP, etc...direcciones IP, etc...
 Es muy difícil estar seguro de quién estaEs muy difícil estar seguro de quién esta
al otro lado de la línea.al otro lado de la línea.
Emisor Receptor
Atacante

USUARIOS
CREADORES
DE SISTEMAS GERENTESGERENTES
SEGURIDADSEGURIDAD

Para que esperar…Para que esperar…
 ““Si gastas más dinero en café que enSi gastas más dinero en café que en
Seguridad Informática, entonces vasSeguridad Informática, entonces vas
a ser hackeado, es más, mereces sera ser hackeado, es más, mereces ser
hackeado”hackeado”
• Richard “digital armageddon” Clark, USA DoDRichard “digital armageddon” Clark, USA DoD
 La mayoría de las empresasLa mayoría de las empresas
incorporan medidas de seguridadincorporan medidas de seguridad
hasta que han tenido graveshasta que han tenido graves
problemas. ¿para que esperarse?problemas. ¿para que esperarse?

Siempre tenemos algo de valorSiempre tenemos algo de valor
para alguienpara alguien
 Razones para atacar la red de unaRazones para atacar la red de una
empresa:empresa:
• $$$, ventaja económica, ventaja$$$, ventaja económica, ventaja
competitiva, espionaje político,competitiva, espionaje político,
espionaje industrial, sabotaje,…espionaje industrial, sabotaje,…
• Empleados descontentos, fraudes,Empleados descontentos, fraudes,
extorsiones, (insiders).extorsiones, (insiders).
• Espacio de almacenamiento, ancho deEspacio de almacenamiento, ancho de
banda, servidores de correo (SPAM),banda, servidores de correo (SPAM),
poder de cómputo, etc…poder de cómputo, etc…
• Objetivo de oportunidad.Objetivo de oportunidad.

Siempre hay algo que perderSiempre hay algo que perder
 Pregunta:Pregunta: ¿Cuánto te cuesta tener un¿Cuánto te cuesta tener un
sistema de cómputo detenido porsistema de cómputo detenido por
causa de un incidente de seguridad?causa de un incidente de seguridad?
• Costos económicos (perder oportunidades deCostos económicos (perder oportunidades de
negocio).negocio).
• Costos de recuperación.Costos de recuperación.
• Costos de reparación.Costos de reparación.
• Costos de tiempo.Costos de tiempo.
• Costos legales y judiciales.Costos legales y judiciales.
• Costos de imagen.Costos de imagen.
• Costos de confianza de clientes.Costos de confianza de clientes.
• Perdidas humanasPerdidas humanas (cuando sea el caso).(cuando sea el caso).

¿Qué hacer?¿Qué hacer?
 Los altos niveles de la empresaLos altos niveles de la empresa
tienen que apoyar y patrocinar lastienen que apoyar y patrocinar las
iniciativas de seguridad.iniciativas de seguridad.
 Las políticas y mecanismos deLas políticas y mecanismos de
seguridad deben deseguridad deben de exigirseexigirse parapara
toda la empresa.toda la empresa.
 Con su apoyo se puede pasarCon su apoyo se puede pasar
fácilmente a enfrentar los problemasfácilmente a enfrentar los problemas
de manera proactiva (en lugar dede manera proactiva (en lugar de
reactiva como se hace normalmente)reactiva como se hace normalmente)

USUARIOS
CREADORES
DE SISTEMAS
GERENTES
HACKERHACKER
CRACKERCRACKER
SEGURIDADSEGURIDAD

CrackingCracking
 Cool as usual – Todo está bienCool as usual – Todo está bien
 Los ataques son cada vez mas complejos.Los ataques son cada vez mas complejos.
 Cada vez se requieren menosCada vez se requieren menos
conocimientos para iniciar un ataque.conocimientos para iniciar un ataque.
 México es un paraíso para el cracking.México es un paraíso para el cracking.
 ¿Por qué alguien querría introducirse en mis¿Por qué alguien querría introducirse en mis
sistemas?sistemas?
 ¿Por qué no? Si es tan fácil: descuidos,¿Por qué no? Si es tan fácil: descuidos,
desconocimiento, negligencias, (factoresdesconocimiento, negligencias, (factores
humanos).humanos).

Quienes atacan los sistemasQuienes atacan los sistemas
 Gobiernos Extranjeros.Gobiernos Extranjeros.
 Espías industriales oEspías industriales o
políticos.políticos.
 Criminales.Criminales.
 EmpleadosEmpleados
descontentos y abusosdescontentos y abusos
internos.internos.
 Adolescentes sin nadaAdolescentes sin nada
que hacerque hacer

Niveles de HackersNiveles de Hackers
 Nivel 3: (ELITE) Expertos en varias áreasNivel 3: (ELITE) Expertos en varias áreas
de la informática, son los que usualmentede la informática, son los que usualmente
descubren los puntos débiles en losdescubren los puntos débiles en los
sistemas y pueden crear herramientassistemas y pueden crear herramientas
para explotarlos.para explotarlos.
 Nivel 2: Tienen un conocimiento avanzadoNivel 2: Tienen un conocimiento avanzado
de la informática y pueden obtener lasde la informática y pueden obtener las
herramientas creadas por los de nivel 3,herramientas creadas por los de nivel 3,
pero pueden darle usos más preciso depero pueden darle usos más preciso de
acuerdo a los intereses propios o de unacuerdo a los intereses propios o de un
grupo.grupo.

Nivel 1 o Script Kiddies: Obtienen lasNivel 1 o Script Kiddies: Obtienen las
herramientas creadas por los deherramientas creadas por los de
nivel 3, pero las ejecutan contranivel 3, pero las ejecutan contra
una víctima muchas veces sin saberuna víctima muchas veces sin saber
lo que están haciendo.lo que están haciendo.
Son los que con más frecuenciaSon los que con más frecuencia
realizan ataques serios.realizan ataques serios.
 Cualquiera conectado a la red es unaCualquiera conectado a la red es una
víctima potencial, sin importar a quevíctima potencial, sin importar a que
se dedique, debido a que muchosse dedique, debido a que muchos
atacantes sólo quieren probar queatacantes sólo quieren probar que
pueden hacer un hack por diversiónpueden hacer un hack por diversión..

USUARIOS
CREADORES
DE SISTEMAS
GERENTES
HACKER/CRACKER
ADMINISTRADORES DE T.I.
SEGURIDADSEGURIDAD

ADMINISTRADORESADMINISTRADORES
 Son los que tienen directamente laSon los que tienen directamente la
responsabilidad de vigilar a los otros roles.responsabilidad de vigilar a los otros roles.
(aparte de sus sistemas)(aparte de sus sistemas)
 Hay actividades de seguridad que deben deHay actividades de seguridad que deben de
realizar de manera rutinaria.realizar de manera rutinaria.
 Obligados a capacitarse, investigar, yObligados a capacitarse, investigar, y
proponer soluciones e implementarlas.proponer soluciones e implementarlas.
 También tiene que ser hackers: Conocer alTambién tiene que ser hackers: Conocer al
enemigo, proponer soluciones inteligentes yenemigo, proponer soluciones inteligentes y
creativas para problemas complejos.creativas para problemas complejos.

Puntos Débiles en los SistemasPuntos Débiles en los Sistemas
Comunicaciones
Almacenamiento de datos
Sistema Operativo
Servicios Públicos
Aplicación
Usuarios
Servicios Internos

Palabras FinalesPalabras Finales
 El Boom del S.L. ofrece laEl Boom del S.L. ofrece la
oportunidad de que las cosas seoportunidad de que las cosas se
hagan bien desde el principio.hagan bien desde el principio.
 La educación de seguridad tiene queLa educación de seguridad tiene que
ir a la par del cambio hacia el S.L.ir a la par del cambio hacia el S.L.
 Si esto no se realiza, en el futuro nosSi esto no se realiza, en el futuro nos
estaremos quejando de S.L. de laestaremos quejando de S.L. de la
misma forma que…misma forma que…

PREGUNTAS Y RESPUESTASPREGUNTAS Y RESPUESTAS
Helios Mier CastilloHelios Mier Castillo
hmier@ieee.orghmier@ieee.org
Departamento de Seguridad InformáticaDepartamento de Seguridad Informática
desei@uag.mxdesei@uag.mx
Instituto de Investigación y Desarrollo de Ingeniería deInstituto de Investigación y Desarrollo de Ingeniería de
SoftwareSoftware
Universidad Autónoma de GuadalajaraUniversidad Autónoma de Guadalajara

seguridad_informatica

Más contenido relacionado

La actualidad más candente (16)

Destacado (20)

Similar a seguridad_informatica (20)

seguridad_informatica