Seguridad de Información

Los cortafuegos y la seguridad de la red son componentes críticos en la obtención de las operaciones del día a día de casi todas las organizaciones en los negocios de hoy.

Antes de aprender a planificar, diseñar e implementar firewalls y una buena seguridad de red, es importante entender el tema más amplio de la seguridad información y la forma en que estos dos componentes forman parte el uno del otro

Introducción

La seguridad de la información (INFOSEC) se define por unas normas publicadas por el CNSS como la protección de la información y sus elementos críticos, incluyendo los sistemas y hardware que utilizan, almacenan y transmiten esa información

Para proteger la información y los sistemas relacionados, las organizaciones deben implementar políticas, la sensibilización y la educación, y tecnología

¿Que es la seguridad de información?

El triángulo consta de Confidencialidad, Integridad y Disponibilidad

La lista de características se ha ampliado con el tiempo, pero permanecen estas tres centrales

Una organización exitosa mantiene múltiples capas de seguridad: - Seguridad de la red - La seguridad física - La seguridad personal - Seguridad de Operaciones - Seguridad de las comunicaciones

¿Que es la seguridad de información?

Disponibilidad permite a los usuarios autorizados el acceso a información sin interferencia u obstrucción y recibirlo en formato requerido

Precisión: la información está libre de error y tiene el valor que el usuario final espera.

Autenticidad: es la calidad o estado de ser real u original, en lugar de reproducirse o fabricado; la información es auténtica cuando es lo que era creado originalmente, colocado, almacenado o transferido

Características principales de la información

La confidencialidad es cuando la información está protegidade la exposición a entidades no autorizadas.

La integridad es cuando la información se mantiene en conjunto, completa e incorrupta

Utilidad de la información es la calidad o estado de tener valor para un propósito final, la información debe estar en un formato significativo al usuario final.

La posesión es la propiedad o el control de algunos objeto o tema, la información se encuentra en una de laposesión si se obtiene que, independiente de formato u otras características.

Características principales de la información

Cuando la computadora es objeto de un ataque, es utilizado como herramienta activa para llevar a cabo el ataque.

Cuando la computadora es objeto de un ataque, es la entidad ser atacado.

Ataque directo es cuando hacker usa una computadora para entrar en un sistema.

El ataque indirecto es cuando un sistema está comprometido y utilizado para atacar a otros sistemas, tal como una red de bots u otro de negación distribuida

Asegurando Componentes

La seguridad de la información no puede ser un absoluto, sino que es un proceso, no una meta.

La seguridad de la información debe equilibrar la protección y disponibilidad

Para lograr el equilibrio entre la información para operar sistema la satisfacción de los usuarios y la seguridad profesionales de nivel de seguridad debe permitir acceso razonable, sin embargo, a proteger contra las amenazas

Balanceando Seguridad de Información con el acceso

La seguridad de la información realiza cuatro importantes funciones de la organización:

Protege la capacidad de la organización para funcionar

Permite el funcionamiento seguro de las aplicaciones implementadas en los sistemas de TI de la organización

Protege los datos de la organización recaba y utiliza Activos de tecnología ¨ Salvaguardias en uso en la organización

La necesidad del negocio primero

Jefe de Información - Oficial de tecnología senior - Responsable de asesorar a los altos ejecutivos para la planificación estratégica

Chief Information Security Officer - Individual principal responsable de la evaluación, gestión y ejecución de asegurar información en la organización - También puede ser referido como Gerente de Seguridad, Administrador de Seguridad, o un título similar

Profesionales de seguridad y la organización

Un equipo de proyecto de seguridad de la información debe consistir en personas con experiencia en uno o más facetas de

amplia gama de áreas técnicas y no técnicas: Campeón ¨ El líder del equipo Los desarrolladores de políticas de seguridad Especialistas en evaluación de riesgo ¨ Profesionales ¨ Seguridad Administradores del sistema, red y almacenamiento

usuarios finales

Profesionales de seguridad y la organización

Propietario de los datos: el responsable de la seguridad y uso de un conjunto particular de información.

Datos ¨ custodio: responsable del almacenamiento, mantenimiento, y la protección de la información.

Usuarios de datos: los usuarios de los sistemas finales que trabajan con la información para realizar su trabajo diario el apoyo a la misión de la organización

Propietario de los datos

Sun Tzu Wu: ◦ Si conoces al enemigo y se conoce, usted

no tiene por qué temer el resultado de cien batallas.

◦ Si conoces a ti mismo pero no al enemigo, por cada victoria también puede sufrir un derrota.

◦ Si no saben ni el enemigo ni a ti mismo, que sucumbirá en cada batalla ".

Amenazas

Para tomar decisiones acertadas acerca de la información la seguridad, la gestión debe ser informado acerca de las diversas amenazas que enfrenta la organización, su la gente, las aplicaciones, los datos y la información sistemas, es decir, el enemigo.

En el contexto de seguridad de la información, una amenaza es un objeto, persona, u otra entidad que representa un peligro constante para un activo

Amenazas cont.

Incluye actos realizados sin intención maliciosa :

Causada por: la falta de experiencia, la capacitación inadecuada, suposiciones incorrectas, y otras circunstancias.

Los empleados son más grandes amenazas a la información de seguridad-más cercano a los datos de organización.

Errores de los empleados pueden fácilmente conducir a: - Revelación de información clasificada - La entrada de datos erróneos - La eliminación accidental o modificación de datos - Almacenamiento de datos en zonas no protegidas - Falta de protección de la información

Error humano

La propiedad intelectual es "la propiedad de las ideas y control sobre lo tangible o la virtual representación de las ideas

Muchas organizaciones crean en propiedad intelectual,secretos comerciales, derechos de autor, marcas, patentes

El incumplimiento más común es la piratería de software

El monitoreo que investigan estos eventos son: - Asociación de Software & Information Industry (SIIA) - Business Software Alliance (BSA)

La propiedad intelectual

Categoría de actividades que dan incumplimiento a la confidencialidad ◦ acceso no autorizado a la información ◦ La inteligencia competitiva frente a espionaje

Controles se implementan para marcar el límite del territorio virtual de la organización, para emplazar a los intrusos que son invadir el espacio cibernético de la organización

Traspaso o Espionage

Generalmente dos niveles de habilidad entre los hackers: - hacker informático experto ◦ Desarrolla los scripts y códigos de software explota ◦ Por lo general, un maestro de muchas habilidades ◦ A menudo crea software ataque a compartir con otros

- Hackers inexpertos (script kiddies) ◦ Hackers de habilidad limitada ◦ Utilice el software-pericial escrito para explotar un sistema ◦ No suelen entender completamente los sistemas que piratean

Espionage o Traspaso cont.

Es cuando un atacante roba la información privilegiada de confianza de una sistema informático y exige compensación ex para su devolución o uso

Ej. La extorsión que se encuentra en la tarjeta de crédito el robo de número

Extorsión de la Información

Persona individual o grupo que quiera deliberadamente hacer sabotaje a un sistema informático o negocio o llevar a cabo actos de vandalismo, destruir una imagen de activos o daño de la organización

Las amenazas pueden ir desde pequeña hasta sabotaje organizado

Ha habido un aumento de la amenaza hacktivista o ciberactivista en las operaciones de los negocios; versión más extrema es el ciberterrorismo

Sabotaje o Vandalismo

Es la toma ilegal de la propiedad física, electrónica, o intelectual

El valor de la información se resiente cuando se copia y se lo llevaron sin el conocimiento del propietario

El robo física puede ser controlado-amplia variedad de medidas utilizadas por las puertas cerradas a los guardias o sistemas de alarma

El robo electrónico es un problema más complejo de gestionar y controlar, las organizaciones no pueden siquiera sabe que se ha producido

Robo

Cuando un individuo o grupo de diseños de software crean un sistema de ataque, o crean código malicioso es llamado el malware

◦ Diseñado para dañar, destruir o negar el servicio a sistemas de destino

◦ Incluye: - Virus (virus de macro o virus de arranque) - Worms - Caballos de Troya - Volver puerta o trampilla - polimórfica - Virus y gusanos "hoaxes"

Ataques de software

Causas de fuerza mayor o casos fortuitos que son peligrosos porque son inesperados y pueden ocurrir con muy poca advertencia.

◦ Se puede alterar no sólo la vida de los individuos, sino también el almacenamiento, la transmisión, y el uso de información.

◦ Incluyen incendios, inundaciones, terremotos y relámpagos como así como la descarga electrostática.

◦ Dado que no es posible evitar muchos de estas amenazas, la gerencia debe implementar controles para limitar el daño y también preparar a la contingencia planes para la continuidad de las operaciones.

Fuerzas de la naturaleza

La pérdida de servicios de Internet puede llevar a una pérdida considerable en la disponibilidad de la información ya que las organizaciones cuentan con personal de ventas de los clientes y teletrabajadores que trabajan en lugares remotos

Cuando una organización externaliza su Web servidores, el outsourcer asume la responsabilidad de todos los servicios de Internet, así como para el hardware y software del sistema operativo utilizado para operar el sitio web.

Problemas de Internet

Otros servicios de utilidad tienen un potencial impacto

Entre estos son: - Teléfono - Agua y aguas residuales - Recolección de basura - Televisión por cable - Gas natural o propano - Los servicios de limpieza - La amenaza de la pérdida de servicios puede llevar a incapacidad para funcionar correctamente

Problemas de comunicación u otros

Las i rregularidades de energía son comunes y conducen a fluctuaciones, tales como: - Espiga: aumento momentáneo - Surge: prolongado aumento - Hundimiento: baja tensión momentánea - Brownout: prolongada caída - Fallo: momentánea pérdida de poder - Blackout: pérdida prolongada

Los equipos electrónicos son susceptibles a fluctuaciones; controles se pueden aplicar para gestionar calidad de la energía

Problemas de energía

Fallos de hardware o errores técnicos ocurren cuando el fabricante distribuye a los usuarios equipos que contienen defectos

Estos defectos pueden provocar que el sistema para llevar a cabo fuera de los parámetros esperados, lo que resulta en servicio poco fiable o falta de disponibilidad

Algunos errores son terminales, en que dan como resultado pérdida irrecuperable de los equipos; algunos errores son intermitentes, en que sólo periódicamente manifiesto, resultando en fallos que no son fácilmente repetido

Errores de hardware

Esta categoría de amenazas proviene de la compra software con fallas no reveladas

Las grandes cantidades de código informático se escriben, depurado, publicado, y se vende sólo para determinan que no todos los errores se resolvieron.

A veces, combinaciones únicas de cierta software y hardware revelan nuevos errores.

A veces, estos elementos no son errores, pero son atajos con propósito dejados por los programadores para razones honestas o deshonestas.

Errores de Software

Cuando la infraestructura se vuelve anticuada o anticuado, conduce a poco fiable y sistemas no confiables

Se debe reconocer que cuando la tecnología se vuelve obsoleta, hay un riesgo de pérdida de la integridad de los datos de amenazas y ataques.

Lo ideal sería que una planificación adecuada debe prevenir los riesgos de la tecnología de obsolescencia, pero cuando se identifica la obsolescencia, sedeben tomar medidas

Obsolescencia

Un ataque es un acto deliberado que explota una vulnerabilidad

Los propósitos son- Explotar- es una técnica para comprometer un sistema - La vulnerabilidad- es una debilidad identificada de un sistema controlado cuyos controles no están presentes o que ya no son eficaces - Ataque es el uso de un explotar para lograr el compromiso de un sistema controlado

Ataques

Este tipo de ataque incluye la ejecución de virus, gusanos, caballos de Troya y Web activo scripts con la intención de destruir o robar información.

El estado de la técnica en los sistemas de ataque es el gusano multi-vector con un máximo de seis tipos de ataque para explotar una variedad de vulnerabilidades en común dispositivos del sistema de información que se encuentra

Código malicioso

"hoaxes": un enfoque más tortuoso para atacar sistemas informáticos es la transmisión de un virus engaño, con un virus inmuebles embargados.

Backdoors: el uso de un conocido o previamente acceso desconocido y recién descubierto mecanismo, un atacante puede obtener acceso a una sistema o red de recursos.

Contraseña grieta: intentar revertir calcular una contraseña.

Descripciones de ataques

Fuerza bruta: la aplicación de la informática y recursos de la red para probar cada posible combinación de opciones de una contraseña.

Diccionario : la contraseña de ataque de diccionario estrecha el campo seleccionando las cuentas específicas para atacar y utiliza una lista de comúnmente utilizado contraseñas (el diccionario) para guiar conjeturas

Descripciones de ataques cont.

De denegación de servicio (DoS): atacante envía una gran número de peticiones de conexión o de información para un objetivo; se hacen tantas peticiones que la sistema de destino no puede manejar con éxito junto con otras solicitudes, legítimas para el servicio .

◦ Puede resultar en un fallo del sistema o simplemente un incapacidad para realizar las funciones ordinarias .

Distribuidos de denegación de servicio (DDoS): ataque en que un flujo coordinado de peticiones es lanzado contra un objetivo de muchos lugares al mismo tiempo.

Descripciones de ataques cont.

Spoofing: técnica utilizada para obtener autorizado el acceso mediante el cual el intruso envía mensajes a un ordenador con una dirección IP que indica que el mensaje proviene de un host de confianza.

Man-in-the-Middle: en este ataque, el atacante olfatea paquetes de la red, los modifica, y los inserta de nuevo en la red; también llamado secuestro de TCP.

Spam: mensajes comerciales no solicitados de correo electrónico, mientras que muchos consideran el spam una molestia en lugar de una ataque, que se está convirtiendo en un vector para algunos ataques

Descripciones de ataques cont.

Mail-bombardeo: otra forma de ataque mediante correo electrónico que es también un DoS, en el que un atacante grandes rutas cantidades de e-mail a la meta.

Sniffer: programa y / o dispositivo que puede controlar datos que viajan a través de una red; se pueden utilizar para tanto de gestión de red legítimo y para el robo de información de una red.

La ingeniería social: en el contexto de seguridad de la información, el proceso de utilizar sociales habilidades para convencer a la gente a revelar el acceso credenciales u otra información valiosa

Descripciones de ataques cont.

"Las personas son el eslabón más débil. Usted puede tener la mejor tecnología, firewalls, detección de intrusiones sistemas, dispositivos biométricos ... y alguien puede llamar a un empleado desprevenido. Eso es todo ella escribió, nena. Tienen de todo ".

"ataque Brick": el firewall mejor configurado en el mundo no puede hacer frente a un ladrillo en buena posición.

Descripciones de ataques cont.

Desbordamiento de búfer: error de aplicación cuando más datos se envían al búfer que puede manejar; cuando desbordamientos de búfer, el atacante puede hacer objetivo sistema de ejecución de las instrucciones o atacante puede tomar ventaja de alguna otra no deseada consecuencia de la falta.

Timing ataque: relativamente nueva, que funciona mediante la exploración contenido de la memoria caché del navegador Web; pueden permitir recopilación de información sobre el acceso a sitios passwordprotected

Otro ataque con el mismo nombre implica intentar interceptar elementos criptográficos a determinar las claves y algoritmos de cifrado

Descripciones de ataques cont.

Los cortafuegos y la seguridad de la red son esenciales componentes para sistemas y para asegurar lo que las empresas usan para ejecutar las operaciones del día a día.

La seguridad de la información es la protección de la información y sus elementos críticos, incluidos los sistemas y hardware que usar, almacenar y transmitir los datos.

El C.I.A. es un triángulo basado en la confidencialidad, la integridad, disponibilidad de información y los sistemas que procesan .

Modelo CNSS Seguridad (McCumber Cube) proporciona la descripción gráfica del enfoque utilizado en la seguridad informática y la información.

Resumen

Los ordenadores pueden ser objeto de ataque o un objeto de ataque.

La seguridad de información no es absoluta: un proceso, no una meta; debe equilibrar el acceso razonable y la disponibilidad de tiempo que protege contra las amenazas.

La seguridad de información realiza cuatro funciones:

- Protege la capacidad de organización para funcionar - Permite la operación segura de las aplicaciones implementado en los sistemas de TI de la organización - Protege los datos de esa organización recopila y usos - Los activos de tecnología de Salvaguardias de la organización

Resumen cont.

Requiere amplia gama de profesionales y la habilidad deestablecerse para apoyar el programa de seguridad de la información.

Un equipo de proyecto de seguridad de la información incluye: equipo, líder, desarrolladores de políticas de seguridad, el riesgo especialistas en evaluación, profesionales de seguridad, sistemas, administradores de red y almacenamiento, y los usuarios finales.

Hay tres tipos de propiedad de los datos: los datos del propietario, custodio de los datos, y los datos del usuario.

Amenaza es objeto, persona, u otra entidad que representa un peligro constante para los activos

Resumen cont.

El ataque es un acto deliberado o acción que se lleva a ventaja de la vulnerabilidad a la transacción sistema controlado.

La vulnerabilidad es la debilidad en controlada identificada sistema.

Los principales tipos de ataques incluyen: el código malicioso, "Engaños" de los códigos maliciosos, puertas traseras, descifrado de contraseñas, DoS, DDoS, spoofing, Manin-the-middle, spam, mail bombing, sniffers, ingeniería social, de desbordamiento de búfer, y el momento ataques.

Resumen cont.