Sim Utpl
Descargar como PPT, PDF1 recomendación388 vistas
El documento describe la implementación de la herramienta de gestión de información de seguridad (SIM) OSSIM en la red de la Universidad Técnica Particular de Loja para mejorar la visibilidad y detección de amenazas. OSSIM centraliza los eventos de seguridad de múltiples herramientas, correlaciona la información para reducir falsas alarmas, y permite un análisis forense mejorado de incidentes. La situación actual carecía de visibilidad total sobre la red y no podía determinar con precisión el origen de los incidentes
![Referencias [ 1] Corletti Estrada, Alejandro, “Auditoria, Evaluación, Test de Seguridad -> metodología abierta ¿OSSTMM…? [2] OSSIM. OSSIM – Descripción. [En línea a 20 de junio de 2007]. [3] Asensio, Gonzalo, “Gestión de la Seguridad con OSSIM”. [5] Cisco. “Introducing Cisco Intrusion Detection System, Configuration and Operations Guide Version 2.2.2”. [6] Demuth, Thomas and Leitner, Achim, “Arp Spoofing and poisoning TRAFFIC TRICKS”.](https://image.slidesharecdn.com/sim-utpl-1212440501647821-8/85/Sim-Utpl-21-320.jpg)
![Gracias por su atención María Paula Espinosa: [email_address] Julia Pineda: [email_address] Marco Sinche: mxsinche@utpl.edu.ec](https://image.slidesharecdn.com/sim-utpl-1212440501647821-8/85/Sim-Utpl-22-320.jpg)
Sim Utpl
- 1. “ Implementación de una Herramienta SIM en la Red de la Universidad Técnica Particular de Loja”
- 2. Agenda Problemática SIM SIM Software OSSIM Valoración de Riesgos Correlación Situación Actual Implementación
- 3. Problemática Gestión de Seguridad: Personas, procesos y tecnologías Mecanismos y herramientas usadas por los administradores Numerosas herramientas de seguridad: monitores de tráficos, escáner de vulnerabilidades, detectores de anomalías, IDS/IPS, Firewall, antivirus, etc. Diversos entornos, plataformas y formatos Saturación de eventos y falsas alarmas emitidas Dificultan tener una imagen clara de la seguridad de una Red
- 4. Security Information Management (SIM) (1/4) Recoger, ordenar y correlacionar la información sobre el estado de la red, comportamiento sistemas, información de equipos , etc. Automatiza la colección de eventos de sistemas y dispositivos de seguridad Centralización, correlación y priorización de eventos Estandariza eventos dando una visión clara de lo que ocurre en la red Reducción de tiempo en la detección de ataques y vulnerabilidades de la red Minimiza cantidad de información a procesar
- 5. SIM (2/4) Funcionalidad Administración de la infraestructura de red y de los activos de la organización Configuración centralizada y monitoreo de los componentes de la infraestructura de seguridad Análisis de la información reportada por los componentes de seguridad Predicción y pronóstico de amenazas Colección y correlación de eventos
- 6. SIM (3/4) Funcionalidad Detecta, identifica y reporta eventos de seguridad Permite el análisis forense de los eventos Permite administrar y establecer políticas de seguridad Monitoreo de ataques y respuestas en tiempo real Planificación de seguridad
- 8. SIM Software Comercial ArcSight ESM Cisco Works SIM Cisco MARS Open Source OSSIM
- 9. Open Source Security Information Management (OSSIM) (1/3) Ofrece un marco para centralizar, organizar y mejorar la capacidad de detección y visibilidad en el monitoreo de eventos de seguridad de la organización (www.ossim.net)
- 12. Valoración de Riesgos CALM (Monitor del Nivel de Compromiso y Ataque) es Algoritmo de Valoración por Acumulación de Eventos. Nivel de Compromiso: posibilidad de que una máquina se encuentre generando algún ataque o anomalía Nivel de Ataque: posible riesgo debido a los ataques recibidos Risk = Metric/Threshold (Nivel A o C) Nivel de Riesgo:
- 13. Correlación Algoritmo que mediante una operación de eventos de entrada (herramientas de seguridad) generan información de mayor valor, disminuyendo el número de falsos positivos y alertas, facilitando el análisis. Suplen la sensibilidad, fiabilidad y visibilidad limitada de los detectores, monitores y escaners La correlación puede ser: Lógica: correlación de eventos Cruzada: correlación de eventos y vulnerabilidades Inventario: correlación de eventos, sistemas operativos y servicios
- 14. Análisis Situación Actual (1/3) Políticas de seguridad Esquema de Seguridad
- 15. Priorización de los Servicios Tipos de datos Magnitud Impacto financiero Impacto a usuarios Análisis Situación Actual (2/3) Análisis de tráfico
- 16. Las herramientas de seguridad con las que cuenta no son suficientes para tener un control total debido a la amplitud de la red y diversidad de servicios Cuando se produce un incidente de seguridad, no se cuenta con información suficiente para determinar cómo, cuándo, de dónde y quién provocó dicho incidente. No se posee información clasificada de los eventos detectados por los IDS´s. No existe un método formal utilizado para detectar las vulnerabilidades que tienen los equipos. Análisis Situación Actual (3/3)
- 17. Implementación (1/2) Arquitectura de Monitoreo
- 18. Implementación (2/2) Inventario de Activos Inventario de Redes
- 19. Resultados (1/2)
- 20. Resultados (2/2) Después de la implementación de OSSIM OSSIM cuenta con varias herramientas de seguridad, que permite tener una mejor gestión de seguridad. Con los eventos almacenados por las distintas herramientas, se puede realizar un análisis forense de algún incidente de seguridad ocurrido. Teniendo evidencia de quién lo hizo, cómo, cuándo y de dónde se lo realizó. OSSIM centraliza, clasifica y prioriza los distintos eventos emitidos por las herramientas. Ayudando a realizar de forma ágil la administración de los eventos para la toma de decisiones. OSSIM cuenta con una herramienta llamada Nessus, que se encarga de escanear las vulnerabilidades, y así determinar un reporte del estado de riesgo del equipo.
- 21. Referencias [ 1] Corletti Estrada, Alejandro, “Auditoria, Evaluación, Test de Seguridad -> metodología abierta ¿OSSTMM…? [2] OSSIM. OSSIM – Descripción. [En línea a 20 de junio de 2007]. [3] Asensio, Gonzalo, “Gestión de la Seguridad con OSSIM”. [5] Cisco. “Introducing Cisco Intrusion Detection System, Configuration and Operations Guide Version 2.2.2”. [6] Demuth, Thomas and Leitner, Achim, “Arp Spoofing and poisoning TRAFFIC TRICKS”.
- 22. Gracias por su atención María Paula Espinosa: [email_address] Julia Pineda: [email_address] Marco Sinche: mxsinche@utpl.edu.ec
Notas del editor
- #2: Salvador/Bahia, Brasil