1 Seguridad en Redes UNIVERSIDAD AUTÓNOMA DEL ESTADO DE MÉXICOFACULTAD DE INGENIERÍA Seguridad en Redes MTI. Juan Carlos Baca Belmontes Semestre 2016-A Febrero de 2016

2 Presentación Juan Carlos Baca BelmontesMaestro en Tecnologías de Información, UNID-ANAHUAC Ingeniero en Computación, FI-UAEM Diplomado “Continuidad del Negocio” UIA (2013) Diplomado en Seguridad de la Información. UNAM (2010) Auditor Líder de la Norma ISO 27001:2005 (2009) Diplomado en Administración de SITE’s. UIA (2007) Trabajo actualmente en el IEEM Subdirector de Infraestructura del IEEM Proyectos: Red de Telecom 170 sitios, PREP, SICJE, otros……. Correo electrónico: Tel. Oficina ext. 8400 Seguridad en Redes 2015-B

3 Presentación de los Alumnos ¿En qué semestre vanPresentación de los Alumnos ¿En qué semestre van? Línea de acentuación ¿Qué esperan del curso? Seguridad en Redes 2015-B

4 ASPECTOS GENERALES DEL CURSOHoras a la semana: 5.0 Horas teóricas: 4.0 Horas prácticas: 1.0 Horario: Lunes :00 a 8:30 Miércoles :00 a 8:30, y Viernes 7:00 a 9:00 Tolerancia de entrada a clase: 15 minutos Seguridad en Redes 2015-B

5 DERECHO A EXÁMENES (Asistencias)Ordinario y exentar, si asistencia >= 80% Extraordinario, si asistencia >= 60% y <80% Título, si asistencia >= 40% y < 60% Seguridad en Redes 2015-B

6 COMPOSICIÓN DE LA CALIFICACIÓNRUBRO DESCRIPCION PORCENTAJE EXAMENES PARCIALES Primer Examen Parcial 1.25 Segundo Examen parcial TAREAS Y PRACTICAS Prácticas, investigaciones y ex. sorpresa 2.5 PROYECTO Trabajo de fin de semestre que será presentado en equipo. 3.0 EXAMEN ORDINARIO (Departmental) Examen ordinario, presentan únicamente aquellos que cumplan con porcentajes de asistencia. 2.0 TOTAL 10.0 Seguridad en Redes 2015-B

7 EVALUACIONES En examen ordinario siempre se asentará una calificación.Requisitos: Promedio de exámenes parciales >= 6.0 Cumplir con el requisito de asistencias >= al 80% Entrega de al menos el 60% de prácticas Entregar y presentar el Proyecto >=6.0 Calificación Final = (Ex. Parciales + Tareas + Prácticas + Proyecto + Ordinario) Extraordinario y Título de Suficiencia. Examen escrito 100%. Seguridad en Redes 2015-B

8 TAREAS Y PROYECTOS Tareas, trabajos de investigación y prácticas (2.5)Se toman en consideración para examen Investigaciones (2.5) Investigaciones.- Trabajos profesionales de Temas de Seguridad en Redes. Proyecto Final (3.0) Tema por definir Documento profesional Será en equipo Se seleccionarán al azar Seguridad en Redes 2015-B

9 Prácticas Serán los Viernes (preferentemente) Políticas de seguridadFUNCIÓN HASH, MD5, TRUE CRYPT Cifrado DES Certificados X.509 Herramientas de seguridad Otras Seguridad en Redes 2015-B

10 Investigaciones Trabajo formal (2 al semestre, derecho a examen parcial) Contenido: Índice Introducción (comentario personal) Desarrollo del Tema de Investigación COBIT 5 INCIDENTES DE SEGURIDAD CONTROL DE ACCESO CRIPTOGRAFÍA (CURVAS ELÍPTICAS) Bibliografía Seguridad en Redes 2015-B

11 Temario del curso Fundamentos de la seguridad en redes. (10 hrs.)Arquitectura de seguridad del modelo de Interconexión de Sistemas Abiertos (OSI, Open System Interconnection). (15 hrs.) Criptografía y autenticación. (15 hrs.) Arquitecturas de componentes de seguridad (Firewalls, IDS, Analizadores de contenido). (15 hrs.) Hardening a servidores y dispositivos de red. (15 hrs.) Seguridad en Redes 2015-B

12 Bibliografía Daltabuit, Hernández, Mallen, Vázquez. La seguridad de la información (1ra. Ed.). LIMUSA, 2007. Stallings, W. “Fundamentos de seguridad en redes: aplicaciones y estándares” (2ª Ed). Pearson-Prentice Hall, 2004. Stallings, W. “Network Security Essentials – Applications and Standars” 3a edición Carracedo, “J. Seguridad en Redes Telemáticas”. Mc Graw Hill, 2004. Elizabeth D. Zwicky, Simon Cooper “Building Internet Firewalls” (2ª Ed). O’Reilly & Associates,2000 Seguridad en Redes 2015-B

13 Examen diagnóstico Próximo viernes Seguridad en Redes 2015-B

14 Seguridad en Redes I. Fundamentos de la Seguridad en Redes14

15 Video de Seguridad Seguridad en Redes 2015-B

16 1.1. Definición de SeguridadEs el conjunto de medidas preventivas y reactivas de las organizaciones y de los sistemas tecnológicos que permiten resguardar y proteger la información buscando mantener la Confidencialidad, Integridad, Autenticidad y Disponibilidad. Cómo lograr adquirir, almacenar, procesar y transmitir información, preservando los servicios de Confidencialidad, Integridad, Autenticidad y Disponibilidad. Seguridad en Redes 2015-B

17 1.1. Definición de SeguridadConfidencialidad. Prevenir la divulgación de información a personas o sistemas no autorizados Integridad. Busca mantener los datos libres de modificaciones no autorizadas Autenticidad. Propiedad que permite identificar el generador de la información Disponibilidad. Característica, cualidad o condición de la información de encontrarse a disposición de quienes deben acceder a ella, ya sean personas, procesos o aplicaciones. Seguridad en Redes 2015-B

18 Seguridad y sus ObjetivosLa seguridad tiene como objetivos principales lograr la confidencialidad, integridad, autenticidad de la información y garantizar la disponibilidad de la misma y de los recursos de cómputo Estos objetivos pueden translaparse o pueden ser mutuamente exclusivos. Por ejemplo, requerimientos fuertes de confidencialidad pueden restringir severamente la disponibilidad Seguridad en Redes 2015-B

19 Seguridad en las redes La definición y el objetivo de la seguridad en redes es mantener la seguridad, disponibilidad, privacidad (sus aspectos fundamentales) control y autenticidad de la información manejada por computadora, a través de procedimientos basados en una política de seguridad tales que permitan el control de lo adecuado. Seguridad en Redes 2015-B

20 Seguridad de la informaciónLa sustentan 5 pilares; y Proceso Criptología Control de acceso Buenas prácticas Mecanismos Principio General Proporcionalidad Seguridad en Redes 2015-B

21 Seguridad de la informaciónPROCESO La información se podrá asegurar en la medida que se entienda cómo se procesa en cada circunstancia. Ejemplo: Pérdida definitiva de información que había depositado una persona en algún medio material que ha desaparecido. Seguridad en Redes 2015-B

22 Seguridad de la informaciónCRIPTOLOGÍA Esta disciplina se basa en técnicas matemáticas que explotan las particularidades de los mecanismos internos y externos que usamos para generar y transmitir la información. Ejemplo: Ocultar Transformación Preserva o mejora la: Confidencialidad Autenticidad e integridad Seguridad en Redes 2015-B

23 Seguridad de la informaciónControl de Acceso Si la información se ha depositado en algún medio, se requiere de una Metodología para evitar que quienes no deban conocerla lo hagan, permitiendo además que quienes deban conocerla lo puedan hacer. Control de Acceso a Sistemas (equipos) Control de Acceso a Aplicaciones Control de Acceso a Instalaciones físicas Control de Acceso a sistemas que no tienen relación directa con la información Seguridad en Redes 2015-B

24 Seguridad de la informaciónBuenas prácticas Como cualquier otra actividad colectiva humana se requieren políticas, normas y vigilancia de las mismas para su desempeño. Cualquier actividad que se trata de llevar a cabo en forma caotica, sin reglas aceptadas por todos los participantes, tiende a fallar o a funcionar en forma torpe y hasta dañina. Seguridad en Redes 2015-B

25 Seguridad de la informaciónMecanismos Estos cuatro amplios conceptos solamente se pueden implantar en la realidad para mejorar la seguridad informática a través de mecanismos específicos. Diversidad de Mecanismos: Combate de infecciones de virus computacionales Modelos de Control de acceso Firewalls, IDS, IPS, etc. Seguridad en Redes 2015-B

26 Seguridad de la informaciónPrincipio de Proporcionalidad La aplicación de mecanismos debe estar regida por un concepto muy general, llamado proporcionalidad. Nos indica que no vale la pena usar recursos cuyo costo sea mayor al valor de la información que se está protegiendo. Este principio no es privativo de la seguridad. También es aplicable en casi todas las actividades humanas. Seguridad en Redes 2015-B

27 1.2 Definiciones Seguridad en Redes 2015-B

28 Activos de InformaciónLa información es un activo que como otros activos importantes tiene valor y requiere en consecuencia una protección adecuada. Los activos se puede clasificar en: Activos de información (datos, manuales, etc.) Software (aplicaciones hechas en casa, software comercial, etc.) Activos físicos (Computadoras, redes, etc.) Personal (Clientes, personal) Servicios (Comunicaciones, outsoursing, etc.) Seguridad en Redes 2015-B

29 Información a proteger¿Cuál es la información más valiosa que manejamos? La información asociada a nuestros clientes La información asociada a nuestras ventas La información asociada a nuestro personal La información asociada a nuestros productos La información asociada a nuestras operaciones Seguridad en Redes 2015-B

30 Seguridad en Redes 2015-B

31 Seguridad en Redes 2015-B

32 Seguridad en Redes 2015-B

33 Seguridad en Redes 2015-B

34 Amenazas «Es una indicación de un evento desagradable con el potencial de causar daño» Naturales: (Inundaciones, tornados, terremotos, etc.) A Instalaciones: (Fuego, caída de energía, daño de agua.. Humanas: (huelgas, epidemias, perdida de personal clave.. Tecnológicas: (Virus, hacking, pérdida de datos, fallas de hw y sw, red… Operacionales: (Falla en equipos, aspectos reguladores, mala publicidad… Sociales: (Vandalismo, sabotaje, bombas, violencia laboral, terrorismo…… Seguridad en Redes 2015-B

35 Amenazas a Hardware, Software y Datosp Amenazas a Hardware, Software y Datos Seguridad en Redes 2015-B

36 Amenazas a los Datos Seguridad en Redes 2015-B

37 Amenazas Backups inexistentes Password cracking Exploits KeyloggingEscalamiento de privilegios Fraudes informáticos Exploits Puertos vulnerables abiertos Man in the middle Violación de la privacidad de los empleados Servicios de log inexistentes o que no son chequeados Backups inexistentes Denegación de servicio Destrucción de equipamiento Últimos parches no instalados Instalaciones default Desactualización Keylogging Port scanning Hacking de Centrales Telefónicas

38 Más Amenazas!! Virus Ingeniería social Acceso clandestino a redesSpamming Intercepción y modificación y violación de s Violación de contraseñas Captura de PC desde el exterior Virus Incumplimiento de leyes y regulaciones empleados deshonestos Ingeniería social Mails anónimos con agresiones Programas “bomba, troyanos” Interrupción de los servicios Destrucción de soportes documentales Acceso clandestino a redes Robo o extravío de notebooks, palms Propiedad de la información Acceso indebido a documentos impresos Robo de información Indisponibilidad de información clave Intercepción de comunicaciones voz y wireless Falsificación de información para terceros Agujeros de seguridad de redes conectadas

39 Vulnerabilidades Son debilidades de seguridad asociadas con los activos de información de una organización. «Las vulnerabilidades no causan daño, simplemente son condiciones que pueden hacer que una amenaza afecte un activo» Seguridad de los recursos humanos: Falta de entrenamiento Control de acceso: Passwords Seguridad física y ambiental: Ubicación de áreas seguras Gestión de operaciones y comunicación: Admon. de la red Mantenimiento, desarrollo y adquisición de sistemas de información: Documentación de aplicaciones Seguridad en Redes 2015-B

40 Vulnerabilidades ComunesInadecuado compromiso de la dirección. Personal inadecuadamente capacitado y concientizado. Inadecuada asignación de responsabilidades. Ausencia de políticas/ procedimientos. Ausencia de controles (físicos/lógicos) (disuasivos/preventivos/detectivos/correctivos) Ausencia de reportes de incidentes y vulnerabilidades. Inadecuado seguimiento y monitoreo de los controles.

41 Activos de InformaciónRiesgo «Probabilidad de que una amenaza pueda explotar una vulnerabilidad en particular» Amenaza Vulnerabilidad Riesgo Activos de Información Seguridad en Redes 2015-B

42 Controles (contramedidas)Medios de administrar el riesgo, incluye políticas, procedimientos, guías, prácticas o estructuras organizacionales, que pueden ser administrativas, técnicas, gerenciales o legales. Es también utilizado como sinónimo de salvaguarda o contramedida Seguridad en Redes 2015-B

43 Seguridad en Redes 2015-B

44 Seguridad en Redes 2015-B

45 Seguridad en Redes 2015-B

46 Seguridad en Redes 2015-B

47 Control de Acceso Seguridad en Redes 2015-B

48 Seguridad en Redes 2015-B

49 Seguridad en Redes 2015-B

50 Seguridad en Redes 2015-B

51 Seguridad en Redes 2015-B

52 Seguridad en Redes 2015-B

53 Seguridad en Redes 2015-B

54 Seguridad en Redes 2015-B

55 Seguridad en Redes 2015-B

56 Seguridad en Redes 2015-B

57 Ataques y Tipos de AtaqueCualquier acción que explota una vulnerabilidad Tipos de Ataques Pasivos Observa comportamientos o lee información, sin alterar ni el estado del sistema ni la información Sólo afecta la confidencialidad del sistema o de la información Activos Modifica o afecta información o estado de sistema o ambos Afecta no sólo la confidencialidad sino también la integridad y la autenticidad de la información o del sistema Seguridad en Redes 2015-B

58 Atacantes Atacante es cualquier entidad que realiza un ataque. Puede ser: Persona Proceso Dispositivo Nombres comunes para Atacantes Intruso Enemigo “Cracker” “Hacker” Seguridad en Redes 2015-B

59 Suposiciones sobre el AtacanteSiempre está presente en un medio de comunicación público (como la red) Objetivos del Atacante Obtener información en claro, o la llave Acceder a los recursos del sistema Molestar Conoce Detalles del algoritmo Detalles de la implementación

60 Mecanismos de seguridadPara lograr objetivos de la seguridad, se establecen Servicios de Seguridad: (el qué) define los objetivos específicos a ser implementados Mecanismos de Seguridad: (el cómo) consisten en funcionalidades específicas para implementar servicios de seguridad Seguridad en Redes 2015-B

61 Políticas, Estándares, Baselines, Guías y ProcedimientosSeguridad en Redes 2015-B

62 Seguridad en Redes 2015-B

63 Seguridad en Redes 2015-B

64 Seguridad en Redes 2015-B

65 Seguridad en Redes 2015-B

66 Seguridad en Redes 2015-B

67 Seguridad en Redes 2015-B

68 Seguridad en Redes 2015-B

69 Seguridad en Redes 2015-B

70 Seguridad en Redes 2015-B

71 Análisis de Riesgos Riesgo = Amenaza VulnerabilidadSeguridad en Redes 2015-B

72 Análisis de Riesgos VIDEO Diplomado {-5QA g;9eSeguridad en Redes 2015-B

73 1er. Examen Parcial. 18 de marzo de 2016 Seguridad en Redes 2015-B