HOL Gestin de riesgos de seguridad

1
HOL Gestión de riesgos de seguridad
2
Agenda

• Introducción
• El factor humano en la seguridad
• Contraseñas inseguras
• Practicas comunes
• - Amenazas en las comunicaciones
• Sniffing
• Spoofing
• Riesgos en sistemas
• Virus, troyanos, etc.
• Crackeo de contraseñas

3
Agenda

• Análisis de riesgos con MSAT
• Infraestructura
• Aplicaciones
• Operaciones
• Personas
• Diseño de un entorno seguro
• Análisis del entorno
• Best practices
• Implementaciones practicas

4
El factor humano en la seguridad
5
Contraseñas inseguras

• Una contraseña insegura puede ser el inicio de
  una intrusión
• Exigir a nuestros usuarios a que usen contraseñas
  seguras y a que las cambien periódicamente es una
  practica altamente recomendable
• Las contraseñas han de almacenarse hasheadas en
  una sola vía para evitar que cualquiera pueda
  recuperarlas fácilmente
• Mas de 8 caracteres y el uso de 3 o mas juegos de
  caracteres (minúsculas/MAYUSCULAS/num3r0s) hacen
  que una contraseña sea robusta

6
Practicas comunes

• errare humanum est
• A veces adquirimos hábitos que pueden suponer una
  relajación en la seguridad
• Las costumbres o convenciones pueden dar lugar a
  facilidades para un atacante
• Intentar evitar la repetición de acciones
  mecánicas que puedan dar lugar a una
  configuración deficiente

7
Amenazas en las comunicaciones
8
Sniffing

• La técnica de sniffing consiste en la captura del
  trafico de red que este produciendo un equipo
  concreto o toda una red
• Analizando estos paquetes se pueden conseguir
• Contraseñas
• Datos privados
• Información relevante
• El trafico encriptado es, casi siempre, imposible
  de analizar, aunque a veces se pueda conseguir
• El uso de técnicas como IPSec permiten evitar
  cualquier filtración de información

9
Spoofing

• Con el spoofing lo que se consigue es modificar
  los paquetes que viajan por la red
• Existen diferentes técnicas de spoofing
  dependiendo del protocolo en cuestión
• DNS Spoofing
• HTTP Spoofing
• VoIP Spoofing
• Las mismas medidas para evitar el sniffing nos
  servirán frente a las técnicas de spoofing

10
Riesgo en sistemas
11
Virus, troyanos

• Actualmente el malware es uno de los principales
  dolores de cabeza de los administradores de
  sistemas
• Si un atacante consigue acceso a nuestra red lo
  primero que intentara hacer es asegurarse el
  camino de entrada mediante un troyano
• Los virus pueden llegar a robar o corromper
  información vital de una empresa
• Saber detectarlos y luchar contra ellos es el día
  a día de un administrador de redes para proteger
  a sus usuarios

12
Crackeo de contraseñas

• Usualmente las contraseñas se almacenan de una
  manera encriptada para evitar que alguien pueda
  acceder a ellas y leerlas sin mas
• A esta operación se la llama hashear, pues se
  genera un hash de un solo sentido de la
  contraseña.
• Si un atacante accede a estos hashs podrá
  efectuar algún tipo de ataque para recuperar la
  clave
• Fuerza bruta
• Diccionario
• Tablas Rainbow

13
Análisis de riesgo con MSAT
14
MSAT

• MSAT es una herramienta de descarga gratuita
  desde la web de Microsoft
• http//technet.microsoft.com/en-gb/security/cc1857
  12.aspx
• Consta de mas de 200 preguntas
• Están basadas en conceptos de buenas practicas
  aceptadas o estándares de calidad como ISO 17799
  y NIST-800.x
• Esta pensada para empresas de entre 50 y 1500
  empleados

15
MSAT

• Las preguntas abarcan conceptos de
• Infraestructura
• Defensa perimetral
• Autenticación
• Aplicaciones
• Despliegue y uso
• Diseño de las aplicaciones
• Operaciones
• Políticas de seguridad
• Recuperación y respaldo
• Personas
• Procedimientos

16
Diseño de un entorno seguro
17
Análisis del entorno

• Descubrir las necesidades de nuestros usuarios
  antes de empezar a implementar nuestras
  políticas de seguridad y redes de firewall es
  fundamental
• Un buen análisis para la implementación de
  nuestro directorio activo es fundamental
• Debemos de mantener, siempre en la medida de lo
  posible, el equilibrio entre seguridad y
  usabilidad
• Los usuarios siempre querrán los máximos
  privilegios nosotros tendremos que poner
  cortapisas.

18
(No Transcript)
19

• Pedro Laguna
• plaguna_at_informatica64.com