Keyloggers: registro silencioso de la informacin

La captura de informacin a travs de distintos sistemas parecera ser, como en las pelculas, un asunto ligado y limitado nicamente a los servicios secretos que buscan obtener informacin a travs de diferentes mtodos. Sin embargo, en la vida real existen aplicaciones y dispositivos fsicos que, al ser instalados en un sistema, poseen la capacidad de monitorear y guardar archivos de registro con la informacin que ingresa por los dispositivos de entrada, tpicamente teclado y/o mouse, para luego enviar los datos obtenidos a un atacante. Este tipo de aplicaciones y/o dispositivos fsicos recibe el nombre de keylogger, acrnimo constituido por la conjuncin de key y logger, que en castellano quieren decir tecla y registrador respectivamente. Los keyloggers son aplicaciones cuya principal funcin es registrar todo lo que se escribe a travs del teclado y en la actualidad son ampliamente utilizados junto a metodologas de engao (Ingeniera Social ) y otras tcnicas ataques como el phishing para el robo de informacin e identidad que suelen derivar en fraudes y estafas. Entre los focos ms perjudicados por estos ataques se encuentran las entidades bancarias y financieras de todo el mundo, ya que los atacantes buscan obtener informacin sobre los datos de acceso al Home-Banking de sus clientes, siempre con fines econmicos. Con el objetivo de brindar un mayor grado de seguridad, las entidades bancarias implementaron teclados virtuales en sus sitios web para hacer frente a los graves problemas ocasionados por las aplicaciones keylogger.

Estos teclados virtuales permiten que el usuario ingrese la informacin de autenticacin para acceder a la zona de Home-Banking a travs de un pequeo teclado que aparece en pantalla. De esta manera, se evita la utilizacin del teclado fsico y la potencial captura de la informacin que se escribe a travs del mismo. En un principio, esta implementacin represent una solucin eficaz ante el robo de informacin, pero poco tiempo despus, los creadores de malware comenzaron a incorporar en los keyloggers, la capacidad de, no slo capturar la informacin que ingresa a travs del teclado sino tambin la de capturar imgenes de pantalla y la posicin del puntero del mouse al hacer clic. En este caso, las entidades bancarias debieron modificar nuevamente la estrategia de seguridad cambiando la disposicin de cada una de las teclas que conforman el teclado virtual a una posicin aleatoria. Esta nueva estrategia, no dio frutos positivos debido a que, una vez ms, los desarrolladores de programas maliciosos encontraron una manera de escapar a su seguridad a travs de una tcnica que, si bien es muy poco utilizada, posee el mismo nivel de peligrosidad y consecuencia: la captura de videos. Por lo que, sin lugar a dudas, el nico nivel de proteccin con el que se puede contar ante este tipo de amenazas, es la implementacin de un programa de seguridad antivirus y firewall cuyos mecanismos de proteccin brinden el suficiente grado de seguridad para mantener las amenazas lejos de los sistemas, como es el caso de ESET NOD32 Antivirus . Bajo esta perspectiva, existe una llamativa controversia en torno a las actividades realizadas a travs de este tipo de componentes donde muchos de sus fabricantes aseguran que son herramientas tiles que sirven para prevenir algn dao mayor y que, incluso, pueden ser

utilizados para realizar auditorias y monitoreos generales por algunas personas u organizaciones. Actividades como el control de menores por parte de sus padres y el monitoreo hacia cualquier persona, no slo a nivel personal sino tambin a nivel corporativo, son algunas de las justificaciones empleadas. Pero sin escatimar en detalles controversiales, lo cierto es que ms all del uso que se le pueda dar a estas aplicaciones, siempre podran ser utilizadas con fines maliciosos. Por este motivo, muchos programas antivirus como ESET NOD32, detectan esta amenaza bajo el concepto de Grayware , aplicaciones potencialmente indeseadas, ofreciendo la posibilidad de no detectarlas como amenaza en caso que los usuarios lo consideren necesario. Proteccin ante este tipo de amenazas Si bien la incorporacin de un componente keylogger en el proceso de propagacin de cdigos maliciosos, en general, est pensado principalmente con fines de robo de informacin, el mismo debe ser tratado con el mismo rigor que a cualquier otro malware e igualmente implementadas las buenas prcticas tendientes a su prevencin. Algunos de los hbitos a tener en cuenta son: Instalacin de un programa antivirus con capacidades de deteccin proactiva. Actualizacin permanente del programa antivirus, sistema operativo y otras aplicaciones instaladas en el equipo. Si bien existen programas keylogger cuyas funcionalidades les permiten capturar imgenes, siempre es conveniente utilizar el teclado virtual al momento de escribir contraseas e informacin similar. En este aspecto, los sistemas operativos Microsoft Windows poseen un teclado virtual que puede ser accedido a travs del comando osk desde Inicio/ Ejecutar.

Lamentablemente, los programas keylogger combinados con otras tcnicas maliciosas, constituyen uno de los mayores problemas para la seguridad de la informacin de los usuarios y de las organizaciones de cualquier ndole, por lo que se deben extremar las medidas defensivas a fin de mantener el sistema protegido.

SEGURIDAD FISICA " Un experto es aquel que sabe cada vez ms sobre menos cosas, hasta que sabe absolutamente todo sobre nada.. es la persona que evita los errores pequeos mientras sigue su avance inexorable hacia la gran falacia" Definicin de Webwer - Corolario de Weinberger (Leyes de Murphy)

Es muy importante ser consciente que por ms que nuestra empresa sea la ms segura desde el punto de vista de ataques externos, Hackers, virus, etc. (conceptos luego tratados); la seguridad de la misma ser nula si no se ha previsto como combatir un incendio. La seguridad fsica es uno de los aspectos ms olvidados a la hora del diseo de un sistema informtico. Si bien algunos de los aspectos tratados a continuacin se prevn, otros, como la deteccin de un atacante interno a la empresa que intenta a acceder fsicamente a una sala de operaciones de la misma, no. Esto puede derivar en que para un atacante sea ms fcil lograr tomar y copiar una cinta de la sala, que intentar acceder va lgica a la misma.

As, la Seguridad Fsica consiste en la "aplicacin de barreras fsicas y procedimientos de control, como medidas de prevencin y contramedidas ante amenazas a los recursos e informacin confidencial"(1). Se refiere a los controles y mecanismos de seguridad dentro y alrededor del Centro de Cmputo as como los medios de acceso remoto al y desde el mismo; implementados para proteger el hardware y medios de almacenamiento de datos.

Tipos de Desastres
No ser la primera vez que se mencione en este trabajo, que cada sistema es nico y por lo tanto la poltica de seguridad a implementar no ser nica. Este concepto vale, tambin, para el edificio en el que nos encontramos. Es por ello que siempre se recomendarn pautas de aplicacin general y no procedimientos especficos. Para ejemplificar esto: valdr de poco tener en cuenta aqu, en Entre Ros, tcnicas de seguridad ante terremotos; pero s ser de mxima utilidad en Los Angeles, EE.UU. Este tipo de seguridad est enfocado a cubrir las amenazas ocasionadas tanto por el hombre como por la naturaleza del medio fsico en que se encuentra ubicado el centro.

Las principales amenazas que se prevn en la seguridad fsica son: 1. Desastres naturales, incendios accidentales tormentas e inundaciones. 2. Amenazas ocasionadas por el hombre. 3. Disturbios, sabotajes internos y externos deliberados. No hace falta recurrir a pelculas de espionaje para sacar ideas de cmo obtener la mxima seguridad en un sistema informtico, adems de que la solucin sera extremadamente cara.

A veces basta recurrir al sentido comn para darse cuenta que cerrar una puerta con llave o cortar la electricidad en ciertas reas siguen siendo tcnicas vlidas en cualquier entorno. A continuacin se analizan los peligros ms importantes que se corren en un centro de procesamiento; con el objetivo de mantener una serie de acciones a seguir en forma eficaz y oportuna para la prevencin, reduccin, recuperacin y correccin de los diferentes tipos de riesgos. 1. Incendios (leer ms) 2. Inundaciones Se las define como la invasin de agua por exceso de escurrimientos superficiales o por acumulacin en terrenos planos, ocasionada por falta de drenaje ya sea natural o artificial. Esta es una de las causas de mayores desastres en centros de cmputos. Adems de las causas naturales de inundaciones, puede existir la posibilidad de una inundacin provocada por la necesidad de apagar un incendio en un piso superior. Para evitar este inconveniente se pueden tomar las siguientes medidas: construir un techo impermeable para evitar el paso de agua desde un nivel superior y acondicionar las puertas para contener el agua que bajase por las escaleras. 3. Condiciones Climatolgicas (leer ms) 4. Seales de Radar La influencia de las seales o rayos de radar sobre el funcionamiento de una computadora ha sido exhaustivamente estudiada desde hace varios aos. Los resultados de las investigaciones ms recientes son que las seales muy fuertes de radar pueden inferir en el procesamiento electrnico de la informacin, pero nicamente si la seal que alcanza el equipo es de 5 Volts/Metro, o mayor. Ello podra ocurrir slo si la antena respectiva fuera visible desde una ventana del centro de procesamiento respectivo y, en algn momento, estuviera apuntando directamente hacia dicha ventana. 5. Instalaciones Elctricas (leer ms) 6. Ergometra (leer ms)

Acciones Hostiles
1. Robo Las computadoras son posesiones valiosas de las empresas y estn expuestas, de la misma forma que lo estn las piezas de stock e incluso el dinero. Es frecuente que los operadores utilicen la computadora de la empresa para realizar trabajos privados o para otras organizaciones y, de esta manera, robar tiempo de mquina. La informacin importante o confidencial puede ser fcilmente copiada. Muchas empresas invierten millones de dlares en programas y archivos de informacin, a los que dan menor proteccin que la que otorgan a una mquina de escribir o una calculadora. El software, es una propiedad muy fcilmente sustrable y las cintas y discos son fcilmente copiados sin dejar ningn rastro 2. Fraude Cada ao, millones de dlares son sustrados de empresas y, en muchas ocasiones, las computadoras han sido utilizadas como instrumento para dichos fines. Sin embargo, debido a que ninguna de las partes implicadas (compaa, empleados, fabricantes, auditores, etc.), tienen algo que ganar, sino que ms bien pierden en imgen, no se da ninguna publicidad a este tipo de situaciones. 3. Sabotaje El peligro ms temido en los centros de procesamiento de datos, es el sabotaje. Empresas que han intentado implementar programas de seguridad de alto nivel, han encontrado que la proteccin contra el saboteador es uno de los retos ms duros. Este puede ser un

empleado o un sujeto ajeno a la propia empresa. Fsicamente, los imanes son las herramientas a las que se recurre, ya que con una ligera pasada la informacin desaparece, aunque las cintas estn almacenadas en el interior de su funda de proteccin. Una habitacin llena de cintas puede ser destruida en pocos minutos y los centros de procesamiento de datos pueden ser destruidos sin entrar en ellos. Adems, suciedad, partculas de metal o gasolina pueden ser introducidos por los conductos de aire acondicionado. Las lneas de comunicaciones y elctricas pueden ser cortadas, etc.

Control de Accesos
El control de acceso no slo requiere la capacidad de identificacin, sino tambin asociarla a la apertura o cerramiento de puertas, permitir o negar acceso basado en restricciones de tiempo, rea o sector dentro de una empresa o institucin. 1. Utilizacin de Guardias (leer ms) 2. Utilizacin de Detectores de Metales El detector de metales es un elemento sumamente prctico para la revisin de personas, ofreciendo grandes ventajas sobre el sistema de palpacin manual. La sensibilidad del detector es regulable, permitiendo de esta manera establecer un volumen metlico mnimo, a partir del cual se activar la alarma. La utilizacin de este tipo de detectores debe hacerse conocer a todo el personal. De este modo, actuar como elemento disuasivo. 3. Utilizacin de Sistemas Biomtricos (leer ms) 4. Verificacin Automtica de Firmas (VAF) En este caso lo que se considera es lo que el usuario es capaz de hacer, aunque tambin podra encuadrarse dentro de las verificaciones biomtricas. Mientras es posible para un falsificador producir una buena copia visual o facsmil, es extremadamente difcil reproducir las dinmicas de una persona: por ejemplo la firma genuina con exactitud. La VAF, usando emisiones acsticas toma datos del proceso dinmico de firmar o de escribir. La secuencia sonora de emisin acstica generada por el proceso de escribir constituye un patrn que es nico en cada individuo. El patrn contiene informacin extensa sobre la manera en que la escritura es ejecutada. El equipamiento de coleccin de firmas es inherentemente de bajo costo y robusto. Esencialmente, consta de un bloque de metal (o algn otro material con propiedades acsticas similares) y una computadora barata. 5. Seguridad con Animales Sirven para grandes extensiones de terreno, y adems tienen rganos sensitivos mucho ms sensibles que los de cualquier dispositivo y, generalmente, el costo de cuidado y mantenimiento se disminuye considerablemente utilizando este tipo de sistema. As mismo, este sistema posee la desventaja de que los animales pueden ser engaados para lograr el acceso deseado. 6. Proteccin Electrnica (leer ms)

Conclusiones
Evaluar y controlar permanentemente la seguridad fsica del edificio es la base para o comenzar a integrar la seguridad como una funcin primordial dentro de cualquier organismo. Tener controlado el ambiente y acceso fsico permite: disminuir siniestros trabajar mejor manteniendo la sensacin de seguridad

descartar falsas hiptesis si se produjeran incidentes tener los medios para luchar contra accidentes

Las distintas alternativas estudiadas son suficientes para conocer en todo momento el estado del medio en el que nos desempeamos; y as tomar decisiones sobre la base de la informacin brindada por los medios de control adecuados. Estas decisiones pueden variar desde el conocimiento de la reas que recorren ciertas personas hasta la extremo de evacuar el edificio en caso de accidentes.

(1) HUERTA, Antonio Villaln. "Seguridad en Unix y Redes". Versin 1.2 Digital - Open Publication License v.10 o Later. 2 de Octubre de 2000. http://www.kriptopolis.org

SEGURIDAD LOGICA Luego de ver como nuestro sistema puede verse afectado por la falta de Seguridad Fsica, es importante recalcar que la mayora de los daos que puede sufrir un centro de cmputos no ser sobre los medios fsicos sino contra informacin por l almacenada y procesada. As, la Seguridad Fsica, slo es una parte del amplio espectro que se debe cubrir para no vivir con una sensacin ficticia de seguridad. Como ya se ha mencionado, el activo ms importante que se posee es la informacin, y por lo tanto deben existir tcnicas, ms all de la seguridad fsica, que la aseguren. Estas tcnicas las brinda la Seguridad Lgica. Es decir que la Seguridad Lgica consiste en la "aplicacin de barreras y procedimientos que resguarden el acceso a los datos y slo se permita acceder a ellos a las personas autorizadas para hacerlo." Existe un viejo dicho en la seguridad informtica que dicta que "todo lo que no est permitido debe estar prohibido" y esto es lo que debe asegurar la Seguridad Lgica. Los objetivos que se plantean sern: 1. Restringir el acceso a los programas y archivos. 2. Asegurar que los operadores puedan trabajar sin una supervisin minuciosa y no puedan modificar los programas ni los archivos que no correspondan. 3. Asegurar que se estn utilizados los datos, archivos y programas correctos en y por el procedimiento correcto. 4. Que la informacin transmitida sea recibida slo por el destinatario al cual ha sido enviada y no a otro. 5. Que la informacin recibida sea la misma que ha sido transmitida. 6. Que existan sistemas alternativos secundarios de transmisin entre diferentes puntos. 7. Que se disponga de pasos alternativos de emergencia para la transmisin de informacin.

Controles de Acceso
Estos controles pueden implementarse en el Sistema Operativo, sobre los sistemas de aplicacin, en bases de datos, en un paquete especfico de seguridad o en cualquier otro utilitario. Constituyen una importante ayuda para proteger al sistema operativo de la red, al sistema de aplicacin y dems software de la utilizacin o modificaciones no autorizadas; para mantener la integridad de la informacin (restringiendo la cantidad de usuarios y procesos con acceso permitido) y para resguardar la informacin confidencial de accesos no autorizados. Asimismo, es conveniente tener en cuenta otras consideraciones referidas a la seguridad lgica, como por ejemplo las relacionadas al procedimiento que se lleva a cabo para determinar si corresponde un permiso de acceso (solicitado por un usuario) a un determinado recurso. Al respecto, el National Institute for Standars and Technology (NIST)(1) ha resumido los siguientes estndares de seguridad que se refieren a los requisitos mnimos de seguridad en cualquier sistema: Identificacin y Autentificacin (leer ms) Roles El acceso a la informacin tambin puede controlarse a travs de la funcin o rol del usuario que requiere dicho acceso. Algunos ejemplos de roles seran los siguientes: programador, lder de proyecto, gerente de un rea usuaria, administrador del sistema, etc. En este caso los derechos de acceso pueden agruparse de acuerdo con el rol de los usuarios. Transacciones Tambin pueden implementarse controles a travs de las transacciones, por ejemplo solicitando una clave al requerir el procesamiento de una transaccin determinada. Limitaciones a los Servicios Estos controles se refieren a las restricciones que dependen de parmetros propios de la utilizacin de la aplicacin o preestablecidos por el administrador del sistema. Un ejemplo podra ser que en la organizacin se disponga de licencias para la utilizacin simultnea de un determinado producto de software para cinco personas, en donde exista un control a nivel sistema que no permita la utilizacin del producto a un sexto usuario. Modalidad de Acceso (leer ms) Ubicacin y Horario El acceso a determinados recursos del sistema puede estar basado en la ubicacin fsica o lgica de los datos o personas. En cuanto a los horarios, este tipo de controles permite limitar el acceso de los usuarios a determinadas horas de da o a determinados das de la semana. De esta forma se mantiene un control ms restringido de los usuarios y zonas de ingreso. Se debe mencionar que estos dos tipos de controles siempre deben ir acompaados de alguno de los controles anteriormente mencionados. Control de Acceso Interno (leer ms) Control de Acceso Externo (leer ms) Administracin (leer ms)

Niveles de Seguridad Informtica

El estndar de niveles de seguridad mas utilizado internacionalmente es el TCSEC Orange Book(2), desarrollado en 1983 de acuerdo a las normas de seguridad en computadoras del Departamento de Defensa de los Estados Unidos. Los niveles describen diferentes tipos de seguridad del Sistema Operativo y se enumeran desde el mnimo grado de seguridad al mximo.

Estos niveles han sido la base de desarrollo de estndares europeos (ITSEC/ITSEM) y luego internacionales (ISO/IEC). Cabe aclarar que cada nivel requiere todos los niveles definidos anteriormente: as el subnivel B2 abarca los subniveles B1, C2, C1 y el D. Nivel D Este nivel contiene slo una divisin y est reservada para sistemas que han sido evaluados y no cumplen con ninguna especificacin de seguridad. Sin sistemas no confiables, no hay proteccin para el hardware, el sistema operativo es inestable y no hay autentificacin con respecto a los usuarios y sus derechos en el acceso a la informacin. Los sistemas operativos que responden a este nivel son MS-DOS y System 7.0 de Macintosh. Nivel C1: Proteccin Discrecional Se requiere identificacin de usuarios que permite el acceso a distinta informacin. Cada usuario puede manejar su informacin privada y se hace la distincin entre los usuarios y el administrador del sistema, quien tiene control total de acceso. Muchas de las tareas cotidianas de administracin del sistema slo pueden ser realizadas por este "super usuario" quien tiene gran responsabilidad en la seguridad del mismo. Con la actual descentralizacin de los sistemas de cmputos, no es raro que en una organizacin encontremos dos o tres personas cumpliendo este rol. Esto es un problema, pues no hay forma de distinguir entre los cambios que hizo cada usuario. A continuacin se enumeran los requerimientos mnimos que debe cumplir la clase C1: o Acceso de control discrecional: distincin entre usuarios y recursos. Se podrn definir grupos de usuarios (con los mismos privilegios) y grupos de objetos (archivos, directorios, disco) sobre los cuales podrn actuar usuarios o grupos de ellos. o Identificacin y Autentificacin: se requiere que un usuario se identifique antes de comenzar a ejecutar acciones sobre el sistema. El dato de un usuario no podr ser accedido por un usuario sin autorizacin o identificacin. Nivel C2: Proteccin de Acceso Controlado Este subnivel fue diseado para solucionar las debilidades del C1. Cuenta con caractersticas adicionales que crean un ambiente de acceso controlado. Se debe llevar una auditoria de accesos e intentos fallidos de acceso a objetos. Tiene la capacidad de restringir an ms el que los usuarios ejecuten ciertos comandos o tengan acceso a ciertos archivos, permitir o denegar datos a usuarios en concreto, con base no slo en los permisos, sino tambin en los niveles de autorizacin. Requiere que se audite el sistema. Esta auditora es utilizada para llevar registros de todas las acciones relacionadas con la seguridad, como las actividades efectuadas por el administrador del sistema y sus usuarios. La auditora requiere de autenticacin adicional para estar seguros de que la persona que ejecuta el comando es quien dice ser. Su mayor desventaja reside en los recursos adicionales requeridos por el procesador y el subsistema de discos. Los usuarios de un sistema C2 tienen la autorizacin para realizar algunas tareas de administracin del sistema sin necesidad de ser administradores. Permite llevar mejor cuenta de las tareas relacionadas con la administracin del sistema, ya que es cada usuario quien ejecuta el trabajo y no el administrador del sistema. Nivel B1: Seguridad Etiquetada Este subnivel, es el primero de los tres con que cuenta el nivel B. Soporta seguridad multinivel, como la secreta y ultrasecreta. Se establece que el dueo del archivo no puede modificar los permisos de un objeto que est bajo control de acceso obligatorio. A cada objeto del sistema (usuario, dato, etc.) se le asigna una etiqueta, con un nivel de seguridad jerrquico (alto secreto, secreto, reservado, etc.) y con unas categoras (contabilidad, nminas, ventas, etc.). Cada usuario que accede a un objeto debe poseer un permiso expreso para hacerlo y viceversa. Es decir que cada usuario tiene sus objetos asociados.

Tambin se establecen controles para limitar la propagacin de derecho de accesos a los distintos objetos. Nivel B2: Proteccin Estructurada Requiere que se etiquete cada objeto de nivel superior por ser padre de un objeto inferior. La Proteccin Estructurada es la primera que empieza a referirse al problema de un objeto a un nivel mas elevado de seguridad en comunicacin con otro objeto a un nivel inferior. As, un disco rgido ser etiquetado por almacenar archivos que son accedidos por distintos usuarios. El sistema es capaz de alertar a los usuarios si sus condiciones de accesibilidad y seguridad son modificadas; y el administrador es el encargado de fijar los canales de almacenamiento y ancho de banda a utilizar por los dems usuarios. Nivel B3: Dominios de Seguridad Refuerza a los dominios con la instalacin de hardware: por ejemplo el hardware de administracin de memoria se usa para proteger el dominio de seguridad de acceso no autorizado a la modificacin de objetos de diferentes dominios de seguridad. Existe un monitor de referencia que recibe las peticiones de acceso de cada usuario y las permite o las deniega segn las polticas de acceso que se hayan definido. Todas las estructuras de seguridad deben ser lo suficientemente pequeas como para permitir anlisis y testeos ante posibles violaciones. Este nivel requiere que la terminal del usuario se conecte al sistema por medio de una conexin segura. Adems, cada usuario tiene asignado los lugares y objetos a los que puede acceder. Nivel A: Proteccin Verificada Es el nivel ms elevado, incluye un proceso de diseo, control y verificacin, mediante mtodos formales (matemticos) para asegurar todos los procesos que realiza un usuario sobre el sistema. Para llegar a este nivel de seguridad, todos los componentes de los niveles inferiores deben incluirse. El diseo requiere ser verificado de forma matemtica y tambin se deben realizar anlisis de canales encubiertos y de distribucin confiable. El software y el hardware son protegidos para evitar infiltraciones ante traslados o movimientos del equipamiento.

(1) http://www.nist.gov Descargar DoD Orange Book - Department Of Defense Trusted Computer System Evaluation Criteria (2) Orange Book. Department Of Defense. Library N S225, 711. EEUU. 1985. http://www.doe.gov

Amenazas Lgicas - Tipos de Ataques

Amenazas Lgicas
Los protocolos de comunicacin utilizados carecen (en su mayora) de seguridad o esta ha sido implementada en forma de "parche" tiempo despus de su creacin. Existen agujeros de seguridad en los sistemas operativos. Existen agujeros de seguridad en las aplicaciones. Existen errores en las configuraciones de los sistemas. Los usuarios carecen de informacin respecto al tema.

Esta lista podra seguir extendindose a medida que se evalen mayor cantidad de elementos de un Sistema Informtico. Las empresas u organizaciones no se pueden permitir el lujo de denunciar ataques a sus sistemas, pues el nivel de confianza de los clientes (ciudadanos) bajara enormemente. Los Administradores tienen cada vez mayor conciencia respecto de la seguridad de sus sistemas y arreglan por s mismos las deficiencias detectadas. A esto hay que aadir las nuevas herramientas de seguridad disponibles en el mercado. Los "advisories" (documentos explicativos) sobre los nuevos agujeros de seguridad detectados y la forma de solucionarlos, lanzados por el CERT, han dado sus frutos.

Acceso - Uso - Autorizacin

La identificacin de estas palabras es muy importante ya que el uso de algunas implica un uso desapropiado de las otras. Especficamente "Acceso" y "Hacer Uso" no son el mismo concepto cuando se estudian desde el punto de vista de un usuario y de un intruso. Por ejemplo: Cuando un usuario tiene acceso autorizado, implica que tiene autorizado el uso de un recurso. Cuando un atacante tiene acceso desautorizado est haciendo uso desautorizado del sistema. Pero, cuando un atacante hace uso desautorizado de un sistema, esto implica que el acceso fue autorizado(simulacin de usuario).

Luego un Ataque ser un intento de acceso, o uso desautorizado de un recurso, sea satisfactorio o no. Un Incidenteenvuelve un conjunto de ataques que pueden ser distinguidos de otro grupo por las caractersticas del mismo (grado, similitud, tcnicas utilizadas, tiempos, etc.). John D. Howard(1) en su tesis estudia la cantidad de ataques que puede tener un incidente. Al concluir dicho estudio y basado en su experiencia en los laboratorios del CERT afirma que esta cantidad vara entre 10 y 1.000 y estima que un nmero razonable para estudios es de 100 ataques por incidentes.

Deteccin de Intrusos
A finales de 1996, Dan Farmer (creador de una de las herramientas ms tiles en la deteccin de intrusos: SATAN) realiz un estudio sobre seguridad analizando 2.203 sistemas de sitios en Internet. Los sistemas objeto del estudio fueron Web Sites orientados al comercio y con contenidos especficos, adems de un conjunto de sistemas informticos aleatorios con los que realizar comparaciones. El estudio se realiz empleando tcnicas sencillas y no intrusivas. Se dividieron los problemas potenciales de seguridad en dos grupos: rojos (red) y amarillos (yellow). Los problemas del grupo rojo son los ms serios y suponen que el sistema est abierto a un atacante potencial, es decir, posee problemas de seguridad conocidos en disposicin de ser explotados. As por ejemplo, un problema de seguridad del grupo rojo es un equipo que tiene el servicio de FTP annimo mal configurado. Los problemas de seguridad del grupo amarillo son menos serios pero tambin reseables. Implican que el problema detectado no compromete inmediatamente al sistema pero puede causarle serios daos o bien, que es necesario realizar tests ms intrusivos para determinar si existe o no un problema del grupo rojo. La tabla 7.1 resume los sistemas evaluados, el nmero de equipos en cada categora y los porcentajes de vulnerabilidad para cada uno. Aunque los resultados son lmites superiores, no dejan de ser... escandalosos.

Como puede observarse, cerca de los dos tercios de los sistemas analizados tenan serios problemas de seguridad y Farmer destaca que casi un tercio de ellos podan ser atacados con un mnimo esfuerzo.

Identificacin de las Amenazas

La identificacin de amenazas requiere conocer los tipos de ataques, el tipo de acceso, la forma operacional y los objetivos del atacante. Las consecuencias de los ataques se podran clasificar en: Data Corruption: la informacin que no contena defectos pasa a tenerlos. Denial of Service (DoS): servicios que deberan estar disponibles no lo estn. Leakage: los datos llegan a destinos a los que no deberan llegar.

Desde 1990 hasta nuestros das, el CERT viene desarrollando una serie de estadsticas que demuestran que cada da se registran ms ataques informticos, y estos son cada vez ms sofisticados, automticos y difciles de rastrear.

La Tabla 7.2 detalla el tipo de atacante, las herramientas utilizadas, en que fase se realiza el ataque, los tipos de procesos atacados, los resultados esperados y/u obtenidos y los objetivos perseguidos por los intrusos.

Cualquier adolescente de 15 aos (Script Kiddies), sin tener grandes conocimientos, pero con una potente y estable herramienta de ataque desarrollada por los Gurs, es capaz de dejar fuera de servicio cualquier servidor de informacin de cualquier organismo en Internet, simplemente siguiendo las instrucciones que acompaan la herramienta. Los nmero que siguen no pretenden alarmar a nadie ni sembrar la semilla del futuro Hacker. Evidentemente la informacin puede ser aprovechada para fines menos lcitos que para los cuales fue pensada, pero esto es algo ciertamente difcil de evitar.

Nota I: Estos incidentes slo representan el 30% correspondientes a los Hackers. Nota II: En 1992 el DISA(2) realiz un estudio durante el cual se llevaron a cabo 38.000 ataques a distintas sitios de organizaciones gubernamentales (muchas de ellas militares). El resultado de los ataques desde 1992 a 1995 se resumen en el siguiente cuadro(3):

Puede observarse que solo el 0,70% (267) de los incidentes fueron reportados. Luego, si en el ao 2000 se denunciaron 21.756 casos eso arroja 3.064.225 incidentes en ese ao.

Nota III: Puede observarse que los incidente reportados en 1997 con respecto al ao anterior es menor. Esto puede deberse a diversas causas: Las empresas u organizaciones no se pueden permitir el lujo de denunciar ataques a sus sistemas, pues el nivel de confianza de los clientes (ciudadanos) bajara enormemente. Los administradores tienen cada vez mayor conciencia respecto de la seguridad de sus sistemas y arreglan por s mismos las deficiencias detectadas. A esto hay que aadir las nuevas herramientas de seguridad disponibles en el mercado.

Los "Advisories" (documentos explicativos) sobre los nuevos agujeros de seguridad detectados y la forma de solucionarlos, lanzados por el CERT, han dado sus frutos.

Tipos de Ataques (leer mas)

A continuacin se expondrn diferentes tipos de ataques perpetrados, principalmente, por Hackers. Estos ataques pueden ser realizados sobre cualquier tipo de red, sistema operativo, usando diferentes protocolos, etc. En los primeros tiempos, los ataques involucraban poca sofisticacin tcnica. Los Insiders (operadores, programadores, data entrys) utilizaban sus permisos para alterar archivos o registros. Los Outsiders ingresaban a la red simplemente averiguando una password vlida. A travs de los aos se han desarrollado formas cada vez ms sofisticadas de ataque para explotar "agujeros" en el diseo, configuracin y operacin de los sistemas. Ingeniera Social Ingeniera Social Inversa Trashing (Cartoneo) Ataques de Monitorizacin Ataques de Autenticacin Denial of Service (DoS) Ataques de Modificacin - Dao

Errores de Diseo, Implementacin y Operacin

Muchos sistemas estn expuestos a "agujeros" de seguridad que son explotados para acceder a archivos, obtener privilegios o realizar sabotaje. Estas vulnerabilidades ocurren por variadas razones, y miles de "puertas invisibles" son descubiertas (cada da) en sistemas operativos, aplicaciones de software, protocolos de red, browsers de Internet, correo electrnico y todas clase de servicios informtico disponible. Los Sistemas operativos abiertos (como Unix y Linux) tienen agujeros mas conocidos y controlados que aquellos que existen en sistemas operativos cerrados (como Windows). La importancia (y ventaja) del cdigo abierto radica en miles de usuarios analizan dicho cdigo en busca de posibles bugs y ayudan a obtener soluciones en forma inmediata. Constantemente encontramos en Internet avisos de nuevos descubrimientos de problemas de seguridad (y herramientas de Hacking que los explotan), por lo que hoy tambin se hace indispensable contar con productos que conocen esas debilidades, puedan diagnosticarlas y actualizar el programa afectado con el parche adecuado.

Implementacin de las Tcnicas

A lo largo de mi investigacin he recopilando distinto tipos de programas que son la aplicacin de las distintas tcnicas enumeradas anteriormente. La mayora de las mismos son encontrados fcilmente en Internet en versiones ejecutables, y de otros se encuentra el cdigo fuente, generalmente en lenguaje C, Java y Perl. Cada una de las tcnicas explicadas (y ms) pueden ser utilizadas por un intruso en un ataque. A continuacin se intentarn establecer el orden de utilizacin de las mismas, pero siempre remarcando que un ataque insume mucha paciencia, imaginacin acumulacin de conocimientos y experiencia dada (en la mayora de los casos) por prueba y error. 1. Identificacin del problema (vctima): en esta etapa se recopila toda la informacin posible de la vctima. Cuanta ms informacin se acumule, ms exacto y preciso ser el ataque, ms fcil ser eliminar las evidencias y ms difcil ser su rastreo. 2. Exploracin del sistema vctima elegido: en esta etapa se recopila informacin sobre los sistemas activos de la vctima, cuales son los ms vulnerables y cuales se encuentran disponibles. Es importante remarcar que si la victima parece apropiada en la etapa de Identificacin, no significa que esto resulte as en esta segunda etapa. 3. Enumeracin: en esta etapa se identificaran las cuentas activas y los recursos compartidos mal protegidos. La diferencia con las etapas anteriores es que aqu se establece una conexin activa a los sistemas y la realizacin de consultas dirigidas. Estas intrusiones pueden (y deberan) ser registradas, por el administrador del sistema, o al menos detectadas para luego ser bloqueadas. 4. Intrusin propiamente dicha: en esta etapa el intruso conoce perfectamente el sistema y sus debilidades y comienza a realizar las tareas que lo llevaron a trabajar, en muchas ocasiones, durante meses. Contrariamente a lo que se piensa, los sistemas son difciles de penetrar si estn bien administrados y configurados. Ocasionalmente los defectos propios de la arquitectura de los sistemas proporciona un fcil acceso, pero esto puede ser, en la mayora de los casos, subsanado aplicando las soluciones halladas.

Cmo defenderse de estos Ataques?

La mayora de los ataques mencionados se basan en fallos de diseo inherentes a Internet (y sus protocolos) y a los sistemas operativos utilizados, por lo que no son "solucionables" en un plazo breve de tiempo. La solucin inmediata en cada caso es mantenerse informado sobre todos los tipos de ataques existentes y las actualizaciones que permanentemente lanzan las empresas desarrolladoras de software, principalmente de sistemas operativos. Las siguientes son medidas preventivas. Medidas que toda red y administrador deben conocer y desplegar cuanto antes: 1. Mantener las mquinas actualizadas y seguras fsicamente 2. Mantener personal especializado en cuestiones de seguridad (o subcontratarlo). 3. Aunque una mquina no contenga informacin valiosa, hay que tener en cuenta que puede resultar til para un atacante, a la hora de ser empleada en un DoS coordinado o para ocultar su verdadera direccin. 4. No permitir el trfico "broadcast" desde fuera de nuestra red. De esta forma evitamos ser empleados como "multiplicadores" durante un ataque Smurf. 5. Filtrar el trfico IP Spoof. 6. Auditorias de seguridad y sistemas de deteccin.

7. Mantenerse informado constantemente sobre cada unas de las vulnerabilidades encontradas y parches lanzados. Para esto es recomendable estar suscripto a listas que brinden este servicio de informacin. 8. Por ltimo, pero quizs lo ms importante, la capacitacin continua del usuario.

(1) HOWARD, John D. Thesis: An Analysis of security on the Internet 1989-1995. Carnegie Institute of Technology. Carnegie Mellon University. 1995. EE.UU. http://www.cert.org. Captulo 12Pgina 165 (2) DISA (Defense Information System Agency). http://www.disa.mil (3) HOWARD, John D. Thesis. An Analysis of security on the Internet 1989-1995. Carnegie Institute of Technology. Carnegie Mellon University. 1995. EE.UU. http://www.cert.org. Captulo 12Pgina 168.