ENTENDIENDO EL DESAFIO DE LA SEGURIDAD

1.1- ¿ Qué significa la palabra “Seguro”?

Posiblemente la mejor opción para proteger nuestros activos y bienes más preciados es la de guardarlos en un lugar seguro, como por ejemplo un banco.
Hoy en día ya no es tan común el asalto a los bancos, en los tiempos del viejo Oeste los bancos acumulaban grandes cantidades de dinero, así como oro y plata, el efectivo era usado más comúnmente que los cheques, las comunicaciones y los medios de transporte eran lo suficientemente primitivos como para que transcurrieran muchas horas antes de que las autoridades se enteraran del atraco, y muchos días para llegar al lugar de los hechos.
Actualmente, la protección es mucho más sencilla, con muchos factores que dificultan las labores de los criminales en potencia. Se han implementado sofisticados sistemas silenciosos de alarmas los cuales protegen a entidades bancarias con o sin personas dentro.
Las técnicas de investigación criminal ahora son más efectivas: una persona puede ser identificada por su material genético (DNA), huellas digitales, retina, por la voz, por evidencias balísticas.
Los bancos de la actualidad manejan cheques, transferencias electrónicas, tarjetas de crédito o debito, o sea que no es solamente efectivo.
Estos sitios que almacenan grandes cantidades de dinero están protegidos por muchos niveles de seguridad y múltiples sistemas que requieren de la autorización de muchas personas para permitir el acceso, aparte de otros esquemas.
Se han realizado mejorías significativas en los medios de transporte y comunicación lo cual ha permitido que la Policía llegue a la escena del crimen en cuestión de minutos.
Para el potencial criminal, el riesgo y el grado de sofistificacion que requiere robar un banco son tan elevados que mejor prefieren buscar otras maneras de hacerse de dinero rápidamente.


Comentarios sobre la seguridad de cara a las empresas:

Muchas empresas reconocen la importancia de sus equipos de cómputos y data y están conscientes de la vulnerabilidad, por eso han aplicado medidas y recursos apropiados para su protección, otras tienen medidas muy deficientes, hay situaciones todavía mas graves en empresas que ni siquiera están conscientes de que sus recursos informáticos deben estar controlados y protegidos, esta situación se aplica por igual para los consumidores de software, quienes plausibles de sufrir ataques de piratería cuando no han implementado medidas de protección y seguridad adecuadas.
La posibilidad de crimen es muy alta, y peor aun, cuando en algunas organizaciones ocurren actos de este tipo, en ocasiones suelen no realizar investigaciones o no proceden judicialmente por temor a que dichas revelaciones afecten su imagen publica (esto sucede muy seguido en el mundo bancario), en estas situaciones, las entidades afectadas suelen mejorar sus políticas de seguridad sustancialmente inclusive por encima de otras que aun no han recibido ataques, pero lo hacen de forma discreta e interna.
Aun cuando la organización desea tomar medidas legales contra la acción criminal, muchas veces éstas se ven truncadas por algunas leyes o estatus que no reconocen a las señales electromagnéticas como propiedades. Han habido pocos precedentes a favor de las compañías afectadas.
Los medios de comunicación presentan a las incursiones a las computadoras realizadas por adolescentes como travesuras sin muchas consecuencias, en realidad, estos ataques pueden afectar los negocios y hasta vidas humanas.


CARACTERÍSTICAS DE UNA INTRUSIÓN POR COMPUTADORA:

Cualquier parte de un sistema de computación puede ser el objetivo de un crimen, cuando nos referimos a un sistema de computación hablamos de una colección de hardware, software, medios de almacenamiento, data y gente contratada para realizar tareas relacionadas a estos sistemas. A veces se asume que estos recursos no pueden estar al alcance de alguien externo a la organización, pero casi siempre esto constituye una premisa bien errada.
Cualquier sistema es más vulnerable en su punto más débil, por ej. Un sofisticado sistema de seguridad física puede no contemplar un acceso no autorizado a través de una línea telefónica y un MODEM.
Este principio implica que los especialistas en seguridad computacional deben considerar TODOS los medios posibles de penetración. Los análisis deben ser realizados repetidamente y en especial cada vez que se realicen cambios en la seguridad del sistema.
El fortalecimiento de un aspecto del sistema puede hacer que los intrusos se interesen por otros métodos de penetración.

ATAQUES:

Cuando un usuario prueba un sistema de computación, uno de sus trabajos es el de imaginarse como éste puede funcionar erróneamente. Luego, el sistema debe ser mejorado partiendo de estas observaciones esto para mejorar su seguridad.

AMENAZANAS (THREADS), VULNERABILIDADES Y CONTROLES:

Anteriormente comentamos que un sistema basado en computadoras estaba constituido por tres componentes (hardware, software y datos), cada uno de estos tienen diferentes niveles de importancia para los usuarios del sistema. Para analizar la seguridad, se recomienda pensar en múltiples formas en la que el sistema pueda experimentar perdidas o sufrir daños. Por ejemplo, podemos identificar datos cuyo contenido puede ser formateado o ajustado para protegerse de alguna forma. Se debe procurar que la seguridad del sistema no esté disponible para usuarios no autorizados.
Se adecuará el sistema para que éste no sea modificado de manera ilegitima; al mismo tiempo, se requiere asegurarse que solamente usuarios legítimos accedan a los datos.
De esta forma se pueden identificar debilidades en el sistema.
Se entiende por vulnerabilidad a una debilidad en la seguridad del sistema, por ejemplo, en los procedimientos, en el diseño o en la implementación, que pueda ser explotado para causar perdidas o daños.
Por ejemplo, un sistema en particular podría ser vulnerable a la manipulación sin autorización de los datos si el sistema no verifica la identidad del usuario antes de permitir el acceso a los datos.
Las amenazas (threats) son un conjunto de circunstancias que tienen el potencial de causar perdidas o daños a un sistema de computación.
Existen muchos tipos de amenazas, incluyendo las causadas por humanos, todos hemos sufrido alguna vez los resultados de fallos ocurridos por errores humanos, desperfectos en diseños de equipos y fallos de software.
Pero también se deben considerar los desastres naturales como amenazas, un centro de cómputos puede colapsar debido a un terremoto, a inundaciones o fuegos.
Un ataque puede ser perpetrado mediante la ejecución de otro sistema, por ejemplo mediante el envío masivos de mensajes hasta que hacer colapsar el primer sistema (denial of service).
Para enfrentar estos problemas deben aplicarse medidas de control (acciones, uso de dispositivos adicionales, implementación de procedimientos o técnicas) todas estas posibilidades se combinan para eliminar o por lo menos reducir la vulnerabilidad.

Las amenazas pueden clasificarse en estos tipos:
1- INTERCEPCIÓN: un elemento sin autorización accede al recurso, éste puede ser una persona, una aplicación o un sistema de cómputos.
Ej: la copia ilícita de un programa o archivos de datos, la obtención de datos desde una red.
A pesar de que la perdida de datos se descubre rápidamente, un interceptor silencioso puede no dejar rastros con lo cual la detección del mismo se retarde.

2- INTERRUPCION: Ocurre cuando un recurso del sistema desaparece o se convierte en inutilizable.
Ej. La destrucción de un dispositivo de hardware, el borrado de un programa o archivo de datos o el mal funcionamiento de un administrador de sistema operativo cuando éste no encuentra un disk file en particular.
3.- MODIFICACIÓN: Ocurre cuando un elemento no autorizado, aparte de acceder al sistema intenta forzar o modificar al sistema de cómputos.
Ej: Alguien intenta alterar un programa de tal forma que realice unas tareas adicionales de computación, o modificar los datos que se transmiten electrónicamente, inclusive es posible modificar el hardware.
Algunos casos de modificación pueden ser detectados con medidas sencillas, pero otros son más complicados y casi imposibles de detectar.

4.- FABRICACIÓN: Ocurre cuando un elemento no autorizado crea objetos u elementos falsos y los inserta en un sistema de computación. El intruso inserta transacciones falsas dentro del sistema de redes de comunicación y adiciona registros a una base de datos existente, en ocasiones éstos pueden ser detectados pero también hay otros que son virtualmente irreconocibles.

• EL MOM (Método – Oportunidad – Motivación)


Un atacante tiene tres motivaciones:

• Método: Conocimientos, herramientas y otros aspectos con los cuales puede llevar a cabo el ataque.
• Oportunidad: El tiempo y el acceso para completar el ataque.
• Motivación: La razón para ejecutar el ataque.

Resulta difícil determinar el motivo de un ataque, los objetivos más atractivos incluyen los departamentos informáticos de entidades de defensa o universitarias, quizás porque éstas son consideradas las que están mejor protegidas y preparadas para posibles ataques, esta situación puede constituir un reto para el posible atacante.
Otros objetivos son atacados precisamente por su facilidad de acceso , otras son atacadas al azar.



• EL SIGNIFICADO DE LA SEGURIDAD DE LAS COMPUTADORAS:

METAS DE LA SEGURIDAD (SECURITY GOALS):
Los 3 aspectos claves son:
1- CONFIDENCIALIDAD: Se aplica para asegurar a los sistemas solamente accedan por usuarios autorizados previamente. Entendemos por acceso a las operaciones que se pueden realizar con los datos (verlos, leerlos, imprimirlos, etc.)
Tambien se le llama PRIVACIDAD.
2- INTEGRIDAD: Los recursos solamente puede ser modificados por usuarios autorizados, estas operaciones incluyen escritura, cambios de estatus, borrar y crear archivos,etc.
Este concepto puede tener diferentes significados, cuando se habla del caso especifico de la “integridad de un objeto” podriamos estar hablando que ese objeto es:
• Preciso.
• Exacto.
• Que no puede modificarse.
• Que sólo puede ser modificado mediante medios aceptados.
• Que sólo puede ser modificado por personal autorizado.
• Que sólo puede ser modificado mediante procesos autorizados.
• Es consistente.
• Es internamente consistente.
• Que tiene significado y uso.

Otros autores consideran que la integridad asegura que los datos procesados son los mismos que los del documento fuente, que no han sido expuestos a accidentes, destrucción o alteraciones malignas.

3- DISPONIBILIDAD: Los recursos solamente estarán disponibles para usuarios autorizados en los momentos apropiados. En otras palabras, si una persona o sistema posee acceso legitimo a una determinada área de un sistema, este acceso no tiene porque ser prevenido. Por esta razón, la disponibilidad a veces se conoce por su opuesto: NEGACIÓN DEL SERVICIO (Denial of Service)
Este concepto se aplica tanto a la data como a los servicios, al igual que el concepto de integridad puede ser interpretado de diferentes formas:

• El sistema o recurso debe estar presente de una forma adecuada.
• Debe tener capacidad suficiente para satisfacer las necesidades de los usuarios.
• El servicio solicitado debe completarse en un periodo razonable de tiempo.
• Los recursos deben estar alojados de forma que no se favorezcan a determinados usuarios.
• El sistema envuelto debe estar concebido bajo la filosofía de ser tolerable a fallos, donde se favorezca al detenimiento del servicio en caso de problemas en lugar de la perdida total de la información.
• Que exista control de concurrencia, es decir que soporte accesos simultáneos y exclusivos si el caso lo requiere.
Se debe procurar un adecuado balance entre la confidencialidad y la disponibilidad, el objetivo primordial en la implementación de la seguridad de un sistema de cómputos es el de encontrar el justo equilibrio entre estos puntos.

















APUNTES SOBRE LAS VULNERABILIDADES:


Generalmente al momento de diseñar, programar o probar un sistema de seguridad los responsables tratan de imaginarse todas las vulnerabilidades que puedan ayudar a prevenir posibles ataques con la intención de alcanzar el cumplimiento de la confiabilidad, integridad y accesabilidad.
A veces es más facil asi en lugar inmediatamente aplicando los objetivos de seguridad.




Aparte de los ataques explicados con anterioridad y que conllevan conocimientos informáticos de diferentes niveles también hay otras formas de atacar al hardware de las computadoras de forma más directa y accidental: el agua, el fuego, descargas eléctricas han dejado equipos informáticos inutilizables, también el polvo y cenizas de cigarrillo.
Computadoras han sido pateadas, golpeadas, estrelladas, etc. Aunque estos ataques pueden ser intencionales, la mayoría no lo son, estos ataques pueden ser considerados como “asesinatos involuntarios de maquinas”.
Hay otros ataques más serios que pueden considerarse como voluntarios (MAQUINICIDIOS) estos incluyen a alguien que desea intencionalmente averiar el hardware o software, estos ataques pueden realizar con un simple llavero, con bolígrafos o destornilladores usados para ocasionar cortocircuitos.
También los equipos pueden ser robados directamente extraídos de su área de trabajo por ladrones.

• VULNERABILIDADES DE SOFTWARE:

Los equipos de cómputos tienen poca utilidad sin los softwares (sistemas operativos, controladores, programas utilitarios y aplicaciones) que los usuarios necesitan.
El software puede ser reemplazado, modificado o destruido maliciosa o accidentalmente, sea de una forma u otra, estos ataques explotan vulnerabilidades del software.
A veces los ataques son obvios, por ej. Cuando el programa se detiene y ya no se ejecuta. Otros ataques realizan modificaciones pero aparentemente siguen funcionando normalmente, el hecho de que se borren líneas de código fuente no necesariamente deja rastros de su desaparición, contrario a si sucediera en equipos que hubieran resultado afectados físicamente, estas situaciones saltan a la vista.
Es posible que se modifique el programa para que realice todo lo que ejecutaba y un intruso puede agregarle líneas de código para que ejecute funciones no deseadas por el usuario. En este caso, seria sumamente difícil detectar estos cambios.

Borrar el software:

El software es sumamente fácil de borrar. Cada uno de nosotros en algún momento de nuestras carreras hemos borrado accidentalmente un archivo o grabado una copia dañada de un programa, o destruir una copia optima sin percatarnos.
Debido a que el software es normalmente el activo de mayor valor comercial de un centro de cómputos el acceso al mismo es controlado cuidadosamente a través de un proceso llamado Configuration Management el cual es aplicado para evitar que el software no se borre, destruya o sustituya de forma accidental.
Este utiliza varias técnicas para asegurar que cada versión del programa mantenga su integridad.
Cuando es utilizado, una versión antigua puede ser reemplazada por una nueva solamente después de haber sido probada y garantizado que las mejoras aplicadas trabajaran correctamente sin degradar el funcionamiento de las demás funciones y servicios.

Modificaciones de software:
El software es muy vulnerable a modificaciones que pueden o causar que falle o que ejecute tareas inesperadas, cambiar un bit o dos puede convertir un programa que trabajaba adecuadamente en otro fallido (dependiendo cual bit fue cambiado), éste podría caerse cuando se inicia o ejecutar sin problemas durante algún tiempo antes de empezar a mostrar los errores.
Con un poco mas de trabajo malicioso, el programa podría funcionar muy bien la mayor parte del tiempo y solamente fallar en circunstancias muy específicas y especiales. Por ejemplo, el programa podría ser modificado para que falle cuando se cumplan ciertas condiciones de fechas o tiempos, debido a este efecto retardado, estos programas son conocidos como bombas lógicas.
Otras categorías incluyen:
• CABALLO TROYANO: es un programa que realiza determinas funciones perniciosas para el sistema mientras aparenta ejecutar otras.
• VIRUS: Es un tipo especifico de caballo troyano que puede transmitir su “infección” de una computadora a otra.
• TRAPDOOR: Es un programa que tiene un punto de entrada secreto. (buscar otra definición)
• Se puede agregar codigo que haga accesible la información a personas no autorizadas o programas.
Software Theft:
Este tipo de ataque consiste en la copia no autorizada de software, los creadores de software deben recibir compensación económica por el uso de sus programas.


VULNERABILIDADES DE LOS DATOS:


Esta es posiblemente la vulnerabilidad mas seria y de mayor preocupación de las organizaciones ya que la data impresa o copiada en medios de almacenamiento puede ser leída e interpretada por el publico en general, esta en malas manos puede hundir la competencia e inclusive su uso inadecuado puede costar vidas humanas, esto aparte del alto costo económico que conlleva la reconstrucción de la misma de parte de la entidad afectada por daños o perdidas.
Típicamente tanto el hardware como el software poseen relativamente larga vida. Sin importar en cuanto estaban valorados durante el momento de su compra, el valor de estos va declinando gradualmente a través del tiempo. En contraste, el valor de la data a través del tiempo es menos predecible o consistente. Inicialmente puede tener mucho valor pero algunos datos pueden ser solamente valiosos durante un corto periodo de tiempo, a partir de ahí comienzan a declinar precipitadamente.

Segundo principio de seguridad de computadoras:

El principio de la adecuada protección:
Los recursos computacionales deben ser protegidos hasta que estos pierdan su valor.
Tienen que ser protegidos en un grado consistente al de su valor.

Confidencialidad de la Data:
La Data puede ser conseguida de muchas formas: desde simplemente solicitarla hasta buscar en la basura, desde el monitoreo de la radiación electromagnética hasta crear agujeros en dispositivos de salida.

Integridad de la Data:

Para buscar, robar, encontrar datos no se requiere de sofisticados conocimientos informáticos, ahora para modificarlos o crear nuevos a partir de existentes se requiere de profundos conocimientos tecnológicos más que para interceptar los datos existentes. Las fuentes más comunes de este tipo de problemas son los programas maliciosos, las utilidades de sistemas de archivos errantes, etc.

Los datos son especialmente sensibles a las modificaciones, pequeñísimas modificaciones pueden no ser detectadas mediante métodos ordinarios.



REDES:
Cada red es en si un sistema de cómputos, es una colección especializada de hardware, software y datos.
Las redes enfrentan problemas similares de seguridad a los ya expuestos y en adición debe confrontar problemas de seguridad que envuelven la interacción del sistema con recursos externos.
Estos problemas pueden multiplicarse por unos medios inseguros y compartidos, así como la imposibilidad de identificar usuarios remotos.

ACCESO:
El acceso a los equipos de cómputos esta expuesto a tres tipos de vulnerabilidades.
1) Un intruso usaría tiempo del computador para realizar actividades de propósito general la cuales no afectan la integridad del sistema propiamente dicho, seria como robar energía eléctrica o agua. Sin embargo, el valor de los servicios computacionales robados es sustancialmente mas alto que el valor de las servicios públicos mencionados en este punto, la falta de pago de este tiempo de uso afecta los costos de mantenimiento del sistema para los usuarios legítimos.
2) Acceso malicioso al sistema de cómputos mediante el cual se borra software o data.
3) El acceso no autorizado a un sistema podría denegarle el servicio a un usuario registrado.

EL FACTOR HUMANO:

El personal puede ser un punto débil crucial en la seguridad. Si solamente una persona sabe como usar o mantener un programa en particular podrían ocurrir problemas si esa persona se enferma o sufre un accidente o abandona la organización (llevándose consigo sus conocimientos).
Un empleado disgustado podría causar daños serios utilizando sus conocimientos sobre los datos que maneja. Por esta razón, los empleados del área informática tales como programadores y operadores son seleccionados cuidadosamente debido a su potencial capacidad para afectar a todos los demás usuarios.

COMPUTER CRIMINALS:
Muchos de los potenciales criminales tendrán apariencia siniestra pero otros visten de trajes, tienen títulos universitarios y son modelos a seguir en su comunidad. Otros son estudiantes del colegio o universitarios. Algunos son hostiles, comprometidos ciegamente con una causa que consideran justa y atacan las computadoras como si fueran símbolos. Otros son gente ordinaria que busca beneficio económico, venganza, seguridad laboral.
En fin, no existe un patrón general mediante el cual se les pueda etiquetar como tales.
Pero sea cual sea sus características o motivaciones, estos tienen acceso grandes cantidades de hardware, software y datos, pueden desestabilizar los negocios y los gobiernos alrededor del mundo.



AMATEURS: no son criminales de carrera, usualmente son gente común que han encontrado alguna debilidad en un sistema de seguridad el cual aprovechan para obtener beneficios económicos, muchas veces sus motivaciones provienen de disgustos laborales.

CRACKERS: Muchas veces son estudiantes universitarios o colegiales, estos acceden a sistemas computacionales a los cuales no tienen autorización. Es considerado como el menos nocivo de los ataques criminales, estos solamente disfrutan el loggearse a un sistema solamente para comprobar que lo pueden realizar. Muchas veces lo hacen silenciosamente por curiosidad, apuestas personales o autosatisfacción.
Hoy en día se considera al hacker como aquel que puede acceder a sistemas no autorizados tanto con intenciones malignas como benignas.
CRIMINALES DE CARRERA:
Estos muchas veces comienzan como profesionales del área informática que descubren las ventajas económicas de aliarse al crimen organizado para actividades delictivas, y es que el espionaje electrónico y la divulgación de secretos empresariales pueden ser un gran negocio económico para algunos.

METODOS DE DEFENSA:

La posibilidad de que ocurra algún daño es conocida como RIESGO.
A continuación, presentamos los principales métodos de defensa.

• Prevencion bloqueando el ataque o cerrando la vulnerabilidad.
• Reforzamiento, ocasionando que el ataque sea mas fuerte, pero no imposible.
• Desviando el ataque, haciendo que otro objetivo sea mas atractivo, o que el actual pierda interés.
• Deteccion
• Recuperación de los efectos.

CONTROLES:

La seguridad computacional dispone de diferentes medios de control. Algunos son más sencillos que otros para implementarlos. También hay diferencias de costos de adquisición. Se pueden usar varios controles dependiendo de que se este protegiendo, también se evalúan los costos de la protección comparado con el riesgo de la perdida.


ENCRIPCION:

Es el proceso de modificar los datos desde su formato normal (texto) hasta transformarlos en texto ininteligible para el observador externo.
Al utilizarse este método, los profesionales de seguridad pueden virtualmente anular una intercepción que provenga del exterior, lo miemos que intentos de modificación o fabricación.
Puede usarse para asegurar la integridad, generalmente los datos que no pueden leerse tampoco pueden ser modificados hacia un formato legible.

Es la base de los protocolos que permiten facilitar la seguridad en las tareas de la red.

ES EL CENTRO DE LOS METODOS QUE ENGLOBAN TODOS LOS ASPECTOS DE SEGURIDAD COMPUTACIONAL.

Obviamente, esta sola de por si no puede resolver todos los problemas de seguridad ya que se necesita complementar con otras herramientas, una debil encriptación puede dejar un efecto adverso degradando el funcionamiento de todo el sistema.


CONTROLES DE SOFTWARE:

Deben incluir:

• Programas internos de control: refuerzan las restricciones de seguridad, como por ej. Las limitaciones de acceso en una base de datos.
• Sistemas operativos y controles de redes (network system controls): incluyen limitaciones que protegen a cada usuario de los demás.
• Programas de controles independientes: ej. Programas verificadores de passwords, utilidades para detecciones de intrusos, virus scanners, etc.
• Controles de desarrollo (development control): son controles de calidad bajo los cuales se diseñan, codifican, testean y se les da mantenimiento a los programas, esto para prevenir que posibles fallos se conviertan en vulnerabilidades.


CONTROLES DE HARDWARE:

• Tarjetas inteligentes implementadas para encripcion.
• Candados y cables que limiten acceso a determinadas áreas.
• Dispositivos para verificar la identidad de los usuarios.
• Firewalls o cortafuegos.
• Sistemas de detección de intrusos.
• Circuitos para controlar el acceso a medios de almacenamiento.

POLITICAS Y PROCEDIMIENTOS:

Son acuerdos escritos realizados con los usuarios de una organización usados en lugar del reforzamiento de medidas de seguridad ya fuera a través de hardware o software.
A veces algunos controles simples, como por ej. El cambio frecuente de los passwords puede ser una solución a bajo costo que deja tremendos resultados.
Inmediatamente después que se establezcan estas políticas y procedimientos, debe seguir el entrenamiento y administración de las mismas de cara a los usuarios, esto para reforzar su importancia.

CONTROLES FISICOS:

Estos son algunos de los métodos de control mas efectivos y a la vez económicos.
Incluyen el uso de candados y puertas, vigilantes en las entradas, copias de backups de software y datos importantes, la ubicación física estratégica que reduzca los riesgos de desastres naturales, etc.
Estos controles muchas veces son obviados en la búsqueda de métodos mucho mas complejos.


PRINCIPIO DE EFECTIVIDAD:

Los controles deben ser usados y usados apropiadamente para que sean efectivos. Deben ser eficientes, fáciles de usar y apropiados.

Este principio implica que la seguridad computacional debe ser lo suficientemente eficiente en términos de tiempo, espacio en memoria, actividades humanas o el uso de otros recursos que cuando se estén aplicando estos controles no se afecten seriamente las tareas protegidas.
Deben ser selectivos para que de esa forma no excluyan accesos legítimos.