Reflexión

APÉNDICE A: ATAQUES A LA RED

NOTA: este estudio de caso está basado en el informe “Network Attacks: Analysis of
Department of Justice Prosecutions 1999-2006” realizado por Trusted Strategies, Inc.
encargado por Phoenix Technologies, Ltd.

A1.1. LA MAYORÍA DE LOS ATAQUES NOCIVOS A REDES SON PREVENIBLES

FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

La diferencia de este estudio con respecto a los estudios tradicionales de ataques a la

seguridad de sistemas de información es que en estos últimos la información proviene
de encuestas a empresas, que habitualmente son reacias a compartir sus datos sobre
costes y pérdidas. Sin embargo, este estudio se basa en información revelada y
verificada por las instituciones legales de los Estados Unidos.

Este estudio examina todos los casos de crímenes cibernéticos relacionados con la
intrusión en redes y robo de datos perseguidos y desvelados públicamente por la
Sección de Crímenes Informáticos y Propiedad Intelectual del Departamento de Justicia
©

de EE.UU. ocurridos entre marzo de 1999 y febrero de 2006. La información recogida y

analizada proporciona una clara perspectiva de los ataques y daños reales de los
crímenes informáticos.

Los casos analizados por el estudio incluyen toda la gama de ataques desde la
diseminación de código malicioso, como virus, troyanos, spyware y gusanos, hasta el
robo de propiedad intelectual, números de tarjeta de crédito u otro tipo de información
financiera privada.

Antes de examinar los datos recolectados, cada ataque fue estudiado y clasificado en
alguna de estas categorías:

• Tipo de ataque

• Métodos empleados en su ejecución

• Relación del atacante con la víctima (si la hubiera)

GESTIÓN Y SEGURIDAD DE REDES 1

 • Localización del atacante en el momento del ataque

• Tipo, localización y naturaleza del equipamiento utilizado en el ataque

A1.2. LA MAYORÍA DE PÉRDIDAS SON DEBIDAS A ROBO DE IDENTIFICACIÓN DE

USUARIOS

El acceso no autorizado desde cuentas con privilegios es, con gran diferencia, la causa
de mayores pérdidas financieras para organizaciones individuales. No se trata de
ataques sofisticados, se trata habitualmente de ataques sencillos cometidos por
atacantes que han sido capaces de obtener un identificador de usuario válido con su
respectiva contraseña y utilizan esa información para acceder a recursos protegidos.

Los daños asociados como consecuencia de estos ataques son significativos, oscilando
entre miles y decenas de millones de dólares. Los costes medios que suponen estas
vulneraciones de las cuentas de usuario para las organizaciones individuales son de más
de 1,5 millones de dólares.

FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

En uno de los casos analizados, el atacante fue declarado culpable de utilizar
identificadores de usuario y contraseñas robados para acceder a las cuentas
administrativas de la víctima y borrar todo el sofisticado software de producción de la
compañía. Estos actos causaron daños de 10 millones de dólares únicamente en esa
compañía.

Los daños a organizaciones individuales debidos a acceso no autorizado superan con

creces a aquellos causados por virus u otro tipo de malware, lo cual contrasta con la

©
creencia popular. Aunque los virus y gusanos son los causantes de la mayor cantidad de
daños de forma agregada, este perjuicio se distribuye entre muchas víctimas. El coste
medio para una única organización individual debida a un único ataque de virus sólo
asciende, sorprendentemente, a 2.400 dólares.

2 GESTIÓN Y SEGURIDAD DE REDES

 Figura A1.1: Distribución de ataques por industrias afectadas.
FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

Los cibercriminales que acceden a cuentas con privilegios especiales obtienen los
identificadores y contraseñas a través de variadas técnicas, desde el uso de programas
de crackeo.

En la mayoría de los casos de contraseñas hasta la conspiración con empleados.

También es común el caso de empleados que comparten su identificación con otros
usuarios que posteriormente abandonan la organización y utilizan ese conocimiento para
obtener acceso a la red.
©

En la mayoría de los casos, el atacante iniciaba sesión con más de una cuenta de
usuario privilegiado, lo cual denota familiaridad con la red atacada.

GESTIÓN Y SEGURIDAD DE REDES 3

 FUNDACIÓN UNIVERSITARIA IBEROAMERICANA
Figura A1.2: Porcentajes de inicio de sesión con usuarios privilegiados.

A1.3. LA AUTENTICACIÓN DE DISPOSITIVOS EVITARÍA LA MAYORÍA DE ATAQUES

Los sistemas atacados suelen tener implementado un mecanismo de control de acceso

por identificador de usuario y contraseña, pero no se han encontrado apenas esfuerzos
para validar que el ordenador desde el que se realizan las conexiones es un dispositivo
autorizado. De hecho, aunque la mayoría de los ataques utilizaban información sobre

©
cuentas privilegiadas, hay que tener en cuenta que los accesos con esas cuentas sólo
debían provenir de unos de un pequeño número de equipos determinados.

Se observa que el 84% de los ataques se realiza desde ordenadores no autorizados. De

éstos, el 78% utilizan sus equipos personales para perpetrar el ataque desde su casa, el
5% se lanzan desde las propias instalaciones de la organización y el 17% restante
corresponde a casos en los que la localización del atacante no es especificada.

4 GESTIÓN Y SEGURIDAD DE REDES

FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

Figura A1.3: Localización del equipo atancante.

Estos crímenes podrían haber sido evitados si los sistemas atacados hubieran
comprobado la identificación del equipo origen además de la identificación de usuario.
©

En el 16% de los casos, la identificación de dispositivos no evitaría el ataque ya que los

atacantes son usuarios autorizados en las computadoras autorizadas que están
abusando de su poder, o, alternativamente, los ataques son el resultado de denegación
de servicio, virus, gusanos o cualquier otro tipo de método que no requiere un inicio de
sesión.

GESTIÓN Y SEGURIDAD DE REDES 5

Figura A1.4: Proporción de ataques evitables por control del origen de la conexión.

De acuerdo con el análisis de la firma IDC, el gasto combinado en antivirus, protección

FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

firewall y otro software de seguridad, incluyendo software de gestión de riesgos, de
gestión de la seguridad, de evaluación de vulnerabilidades y de detección de intrusión,
se aproximó a 6,6 billones de dólares en 2007. Sin embargo, el gasto en control de
acceso es menor que la mitad de esa cantidad, aproximadamente 3,2 billones de
dólares. Ya que la identificación de dispositivos y las tecnologías de autenticación, que
son parte del software de control acceso y administración de identidades, pueden
prevenir el 84% de los ataques analizados en este estudio, resulta sorprendente que el
gasto en este tipo de software sea la mitad que el restante software de seguridad.

A1.4. LA MAYORÍA DE LOS ATAQUES PROVIENEN DEL EXTERIOR ©

Como se observa en la figura A1.5, mientras el 79% de los crímenes son realizados
desde el exterior, los crímenes internos muestran patrones similares. La mayoría de
crímenes por inicio de sesión autorizada que pueden considerarse un ataque interno se
perpetran por ex empleados o por contratistas que utilizan identificadores y contraseñas
de antiguos colaboradores para obtener el acceso.

6 GESTIÓN Y SEGURIDAD DE REDES

 Figura A1.5: Relación del atacante con la víctima.

Los ex empleados constituyen el 21% de los ataques por inicio de sesión. En el 93% de
FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

los mismos, utilizan información de cuentas de usuario robada sin conocimiento de su

propietario. En el 7% de los casos que involucran ex empleados restante, los mismos
proporcionan la información de forma intencionada a cómplices externos, habitualmente
desde su propio puesto de trabajo.

Por ejemplo, Laurent Chavet, de Kirkland, Washington, fue condenado por utilizar la
información de usuario de un antiguo compañero de trabajo para obtener acceso a los
sistemas de su antigua compañía desde su casa en San Mateo, Califormia. Los actos de
Chavet destruyeron los sistemas de la compañía y causaron una grave pérdida de datos
©

críticos.

En otro escenario, un empleado de una institución financiera proporcionó información

sensible de los clientes a un amigo ajeno a la compañía. Los datos incluían nombres de
usuario y contraseñas que posteriormente fueron utilizadas por otra persona para
acceder al sistema y robar datos sobre tarjetas de crédito.

De forma consistente con los descubrimientos sobre crímenes cometidos por personas
externas a la organización objeto del ataque, los crímenes con origen interno se puede
prevenir con la identificación del dispositivo que origina la conexión además de la
tradicional identificación del usuario. Esta afirmación es un hecho incluso en el caso de
utilizar los procedimientos de seguridad más robustos, como las claves de un solo uso.

En aproximadamente el 5% de los casos, los atacantes realizando intrusiones en

cuentas con privilegios especiales utilizan computadoras propiedad de la organización
víctima del ataque. Estos atacantes son individuos autorizados, habitualmente

GESTIÓN Y SEGURIDAD DE REDES 7

empleados y a veces contratistas, que exceden el uso autorizado de sus cuentas, o
utilizan identificadores y contraseñas robados a otros compañeros.

Tras analizar la totalidad de los casos proporcionados por el Departamento de Justicia,

de observa que el 57% de los atacantes no tienen ninguna relación con la organización
objeto del ataque, el 22% se trata de ex empleados, el 14% son empleados actuales y
el 7%b no son empleados pero tienen algún tipo de conexión con la organización
víctima del ataque, como clientes o proveedores.

A1.5. CONCLUSIONES

El estudio identifica una serie de puntos de importancia fundamental para todo tipo de
organizaciones. En primer lugar, las organizaciones afrontan unos riesgos por ataque
mucho mayores debidos a acceso no autorizado a redes y recursos internos, alrededor
de 1.5 millones de dólares de media, que los debidos a gusanos y virus, alrededor de
2,400 dólares de media.

FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

En segundo lugar, el atacante no siempre resulta ser un sofisticado hacker llevando a
cabo un ataque a la red devastador. La mayoría de este tipo de crímenes (el 88%), se
realiza desde un PC doméstico utilizando información de cuentas de usuario robada y
siguiendo los procedimientos de inicio de sesión habituales.

En otras palabras, con el mero requerimiento de identificador de usuario y contraseña

para el acceso por red a información valiosa no debe considerarse un mecanismo de
seguridad adecuado.

©
Las principales conclusiones obtenidas de este estudio se enumeran a continuación:

• La pérdida financiera media es de más de 3 millones de dólares por caso.

• Los ataques individuales causan daños de 10 millones de dólares a las

organizaciones individuales.

• Las organizaciones sufren unos daños y pérdidas financieras mayores (más de un

millón y medio de dólares por caso) cuando los atacantes usan identificadores de
usuario y contraseñas robados.

• Los daños más importantes son los causados por atacantes que se loguean con
cuentas de administrador o de usuarios con privilegios elevados.

• El 84% de los ataques podría haberse evitado si además de comprobar el nombre

de usuario y la contraseña también se hubiera comprobado la dirección de origen de
las conexiones.

8 GESTIÓN Y SEGURIDAD DE REDES

 • Las pérdidas por robo de identificación de usuarios excede ampliamente a la de los
daños por virus, gusanos, u otro tipo de métodos de ataque que no utilizan cuentas
de usuario.

• La gran mayoría de atacantes, el 78%, efectúan los ataques desde los ordenadores
de su casa, a menudo desde equipos no autorizados y sin relación alguna con la
organización víctima del ataque.

APÉNDICE B: GESTIÓN DE LOS RIESGOS DE

SEGURIDAD

NOTA: Estudio basado en el artículo “Proactively Managing Security Risk” por Naresh
Verma, Yih Huang y Arun Sood

La revolución de la tecnología de la información ha cambiado la forma en que los

FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

negocios se llevan a cabo, operan los gobiernos y se dirige la defensa nacional. La

protección de esos sistemas es esencial y los continuos esfuerzos para salvaguardarlos
han dado como resultado un crecimiento exponencial de los incidentes de seguridad
reportados. Existen amenazas de hackers, espías, terroristas, criminales profesionales y
vándalos, y todos ellos tiene intereses personales y objetivos bien definidos para
desafiar la tecnología para obtener un beneficio financiero o político, lo que conlleva a
grandes pérdidas en la infraestructura de la empresa.

La aproximación a la seguridad actual está basada en la defensa perimetral que reposa

©

fundamentalmente en cortafuegos, sistemas de detección de intrusión y sistemas de

prevención de intrusión. Estas aproximaciones dependen de información “a priori”. Sin
embargo, la velocidad creciente a la que se descubren nuevos ataque obliga a la
implementación de una nueva capa de seguridad para las infraestructuras de
tecnologías de la información de las empresas. Esa capa va a proporcionar protección
consistente en lugar de estar continuamente comprobando y registrando los trucos de
los hackers. Este estudio propone unos nuevos modelo y capa de defensa que
gestionen de forma proactiva los riesgos de seguridad de los servidores y que coexistan
con y complementen a las soluciones de seguridad tradicionales.

B1.1. SEGURIDAD PROACTIVA Y TIEMPO DE EXPOSICIÓN COMO MÉTRICA

El objetivo general consiste en mejorar la seguridad de las infraestructuras de

información. Para proporcionar altos niveles de protección, la aproximación típica es

GESTIÓN Y SEGURIDAD DE REDES 9

utilizar un modelo en capas, a menudo denominado “defensa en profundidad”. Este
estudio propone la adición de una capa de seguridad proactiva a las aproximaciones de
seguridad existentes.

Para comprender la necesidad de esta nueva capa, hay que considerar una de las
herramientas de seguridad más populares: la detección y prevención de intrusiones por
detección de patrones de ataque. Mientras que la defensa es efectiva una vez que el
ataque ha sido descubierto y analizado, no puede anticiparse a nuevos ataques y por
tanto, el sistema vulnerable durante un período de tiempo. En contraste, un sistema de
gestión de riesgos de seguridad proactivo se centra en el análisis de los recursos
corporativos y el riesgo asociado a ellos, para desarrollar un plan de protección. La
cobertura de seguridad resultante no deja el sistema vulnerable durante ningún lapso de
tiempo, ya que no se basa en el conocimiento previo de los ataques. En definitiva, no
existe la protección infalible y no se puede garantizar incluso aunque se tenga los
mejores cortafuegos o sistemas de prevención y detección de intrusión. Sin embargo,
aun queda una cuestión: ¿qué volumen de pérdidas está dispuesto a tolerar la
compañía? En un contexto militar supondría medir el grado de supervivencia, y los

FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

fabricantes de sistemas de información lo consideran un aspecto de autosalvaguarda y
de continuidad de negocio.

Con la gestión de riesgos de seguridad proactiva, el tiempo de exposición es la métrica

principal del riesgo. Se define el tiempo de exposición como el intervalo de tiempo
durante el cual un servidor está expuesto en Internet. Esta métrica tiene la ventaja de
ser fácilmente medible, repetible, entendible y asociable al perjuicio potencial resultante
de una intrusión, pero está exclusivamente basada en tiempo transcurrido.
Evidentemente, los servidores con tiempos de exposición bajos ofrecen menos

©
oportunidades a los intrusos para causar daños. La metodología de gestión de riesgos
de seguridad proactiva está impulsada por la necesidad de asignar un requerimiento de
tiempo de exposición a cada riesgo asociado con los servidores en el sistema.

B1.2. APROXIMACIÓN ACTUAL A LA SEGURIDAD EMPRESARIAL

Los activos de cualquier compañía dependen de los servidores: servidores que

proporcionan acceso a la red (routers, cortafuegos y sistemas de prevención de
intrusión), servidores que detectan intrusiones (sistemas de detección de intrusión),
servidores que proporcionan acceso a la información de la compañía (control de acceso
basado en roles, servidores de ficheros, servidores de correo, etc.), servidores que
almacenan datos cruciales (servidores de bases de datos), etcétera. Aún existen retos
para gestionar la seguridad, debido a la significativa incertidumbre en el conocimiento
de los ataques, la capacidad para predecir pérdidas y la dependencia de aproximaciones

10 GESTIÓN Y SEGURIDAD DE REDES

 reactivas tradicionales. La tabla B1.1 muestra algunos de los retos de seguridad a los
que las compañías se enfrentan y las soluciones propuestas por los fabricantes para
solventarlos.

CURRENT SECURITY SOLUTIONS FOR THE ENTERPRISE NETWORK

SECURITY CHALLENGE SECURITY APPROACH KEY VENDORS

Data Protection, unauthorized
information access
Authorization/authentification and
malware propagation
Unauthorized user access fron lost or
FUNDACIÓN UNIVERSITARIA IBEROAMERICANA
Content and Behavior Vericept, Vontu, Port Authority,
Modeling (CBM) Oakley, Workshare, McAfee
Network Acces Control Cisco, Juniper, Nortel, HP,
(NAM) StillSecure, Lockdown,
ForeScout, McAfee,
Symantec, Netegrity
Identy Role Based ConSentry, Nevis Networks,
Access Control (I/RBAC) Applied Identity, Vernier,
Caymtus, PacketMotion
Physical device security FullArmor, NetlO, Quest

stolen devices and data protection Software, Safeend,

SecureWave, Senforce

Tabla B1.1. Retos de seguridad en las empresas.

Fuente: Yankee Group, 2007.

De acuerdo con Symantec, el número de agujeros de seguridad en servidores sigue

creciendo. Existen muchas directrices que marcan y especifican el nivel de seguridad de
una compañía. Algunas de ellas son técnicas, como el deseo de herramientas de
©

seguridad perimetral adicionales para alcanzar una disponibilidad y un funcionamiento

sostenibles y evitando ataques de denegación de servicio, intrusiones, infecciones de
virus y satisfaciendo la política de privacidad corporativa. También hay implicaciones
sobre el gobierno corporativo, como el cumplimiento de regulaciones y la
responsabilidad fiduciaria a un sistema financiero nacional.

Tradicionalmente, las aproximaciones a la gestión de incidencias se seguridad han sido

reactivas. Los profesionales de tecnologías de la información sufren grandes presiones
para completar sus tareas rápidamente y con la menor repercusión sobre los usuarios
posible. A lo largo de los años, ha ido emergiendo una aproximación de evaluación de la
gestión de riesgo de seguridad. El principio tras esta aproximación es la estimación de la
pérdida de valor de un determinado activo esperada cuando se materializa una amenaza
específica. La aproximación tradicional se resume en la figura B1.1, y se utiliza como
punto de partida para el nuevo modelo.

GESTIÓN Y SEGURIDAD DE REDES 11

Figura B1.1: Aproximación de gestión de riesgos de seguridad tradicional

FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

Una vez que el riesgo específico ha sido identificado, la computación de la Pérdida
Anual Esperada incluye los siguientes pasos:

• Valor del activo (VA) = hardware + software + datos

• Factor de exposición (FE) =% de pérdida si la amenaza se materializa con éxito

• Pérdida Individual Esperada (PIE) = VA · FE

• Tasa Anual de Ocurrencia (TAO) = frecuencia anual de una amenaza concreta

©
• Pérdida Anual Esperada (PAE) = VA · FE · TAO

Lo que se subraya en esta aproximación es que el Factor de Exposición juega un papel

principal. La hipótesis es que en caso de intrusión, el activo se devalúa una Pérdida
Individual Esperada. Controlando el tiempo de exposición se puede reducir el Factor de
Exposición efectivo, y por tanto, la pérdida esperada.

En arquitecturas multi-tier modernas existe un potencial riesgo de exponer activos

adicionales. Por ejemplo, para modelar el impacto secundario de una intrusión, se puede
utilizar el Multiplicador de Amenazas en Cascada, que argumenta que una vez que el
atacante se introduce con éxito en el sistema, tiene la capacidad de acceder y dañar
otros recursos que están en la misma red. Ya que la reducción del tiempo de exposición
reduce el tiempo que un intruso dispone para causar daños, la aproximación con
tolerancia a intrusiones aportará ventajas adicionales.

12 GESTIÓN Y SEGURIDAD DE REDES

 B1.3. APROXIMACIÓN DE GESTIÓN DE RIESGOS PROACTIVA

Las empresas son conscientes del hecho de que el riesgo no puede ser completamente
eliminado y debe ser tolerado. El paradigma de tolerancia a intrusiones asume que la
compañía permanece vulnerable hasta cierto punto y que los ataques ocurrirán e incluso
algunos tendrán éxito. El principal objetivo de una aproximación proactiva es limitar el
daño que puede ser causado por el intruso y la aseguración de que el sistema se
mantiene seguro y operacional. Una aproximación proactiva permite a las
organizaciones gestionar la seguridad de sus infraestructuras y los valores de negocio
que esas infraestructuras alojan.

En la tabla B1.2 se resumen las diferencias fundamentales entre la aproximación

proactiva apoyada en el paradigma de tolerancia a intrusiones y la aproximación
reactiva basada en el paradigma de prevención y detección.

TOLERANCIA A
CONCEPTO FIREWALL, IDS, IPS
FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

INTRUSIONES

Gestión de riesgos Reactiva Proactiva

Información requerida a priori Modelos de ataque, Selección de tiempo de

vulnerabilidades del software, exposición, longitud de la
reglas de reacción transacción más larga

Paroximación de protección Prevenir todas las intrusiones; Limitar las pérdidas

imposible de alcanzar

Carga de trabajo para el Alta: gestionar las reglas de Baja: no se generan falsas
administrador del sistema reacción, gestionar falsas alarmas alarmas
©

Métrica de diseño Sin especificar Tiempo de exposición:

determinística

Monitorización de paquetes/datos Necesaria No necesaria

Mayor volumen de tráfico requiere Más computación El volumen de computación no

cambia

Aplicación de parches Se deben aplicar inmediatamente Se pueden planificar

Tabla B1.2. Análisis comparativo de la gestión de riesgos proactiva y reactiva.

El tiempo de exposición (y, por tanto, el riesgo asociado) es diferente para cada servidor
y puede ser modelado por factores como:

• El mayor tiempo de transacción

• Patrones de comportamiento de uso (comportamiento de usuario)

GESTIÓN Y SEGURIDAD DE REDES 13

 • Cantidad de tiempo que le supone al servidor arrancar y restaurar el equipo a un
estado conocido

• Número total de transacciones activas del sistema

• Tráfico esperado en los sistemas

El tiempo de exposición también se puede obtener de los servidores interconectados de

la compañía. El valor puede ser ajustado dinámicamente o se pueden asignar rangos que
varíen dependiendo de las condiciones del servidor, como el rendimiento, el número de
procesos en ejecución, utilización de CPU, consumo de batería, memoria física y
memoria del kernel.

El modelo proactivo incorpora el impacto del tiempo de exposición aumentando la

metodología tradicional presentada en el apartado anterior. Una intrusión típica se
desarrolla en tres fases: reconocimiento de la red, reconocimiento de aplicaciones e
intento de ataque. En consecuencia, limitando el tiempo de exposición del servidor, el
tiempo disponible para la exploración y ataque también se reducirá. El tiempo de

FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

exposición reducido conlleva un factor de exposición reducido, lo cual redunda en una
menor pérdida esperada. La reducción del factor de exposición se modula en función de
una curva-S. Los pasos de este proceso se muestran en la figura B1.2.

Figura B1.2: Modelado del riesgo

14 GESTIÓN Y SEGURIDAD DE REDES

 La figura B1.2 también captura el modelado del riesgo en un formato de matriz o tabla.

B1.4. EJEMPLO MULTI-TIER

Con el objetivo de reforzar la idea del tiempo de exosición, se muestra un ejemplo de

una compañía que aloja y da soporte a sitios web (tanto estáticos como dinámicos) para
sus clientes con centros de datos que están protegidos por una exhaustivas medidas de
seguridad físicas y electrónicas para ayudar a prevenir intrusiones y para mantener la
integridad de los websites.

De acuerdo a las directrices del NIST (Publicación Especial 800-44 del NIST), una
compañía de este tipo debe tener una exposición mínima a vulnerabilidades como parte
de la planificación y gestión de servidores web. Las directrices del NIST para una
aproximación superior para securizar servidores web públicos se muestra en la figura
B1.3.
FUNDACIÓN UNIVERSITARIA IBEROAMERICANA
©

Figura B1.3: Arquitectura empresarial segura

La figura B1.3 ilustra una arquitectura empresarial segura con tres dominios primarios:
no confiable, confiable corporativo y privado. Cada uno de ellos representa una zona de
riesgo alto, medio o bajo, respectivamente. Asimismo, si un activo (por ejemplo, un
servidor web) en un dominio no confiable es atacado y no mitigado en poco tiempo, la
amenaza se propagará en cascada a los otros dominios y resultará en un daño
acumulativo.

GESTIÓN Y SEGURIDAD DE REDES 15

 RISK EXPOSSURE EXPOSSURE SERVER
ASSE TS
APPROUCH TIME FACTOR LOSSE
Description Value (AV) ET EF SLE ARO ALE
Trad Webserver $10.000 ETMáx 0.8 $8.000 5 $40.000
Trad Content $20.000 ETMáx 0.5 $10.000 5 $50.000
Trad Manager
Database $40.000 ETMáx 0.3 $12.000 5 $60.000
TOTAL $70.000 $30.000 $150.000
Risk Shaped
EF
In Tol Webserver $10.000 50 0.4 $4.000 5 $20.000
Content
In Tol Manager $20.000 50 0.25 $5.000 5 $25.000
In Tol Database $40.000 50 0.15 $6.000 5 $30.000
TOTAL $70.000 $15.000 $75.000
Risk Shaping Loss Reduction $15.000 $75.000
% 50.00% 50.00%
Trad: Traditional in Tol: Intrusion Tolerance

FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

Tabla B1.3. Tolerancia a intrusiones por modelado de riesgos frente a la aproximación de gestión de riesgos
tradicional

En la tabla B1.3 y la figura B1.4 se analiza el escenario comentado y se proporciona una

comparativa entre la tolerancia a intrusiones tradicional y proactiva. En la tabla B1.3, se
observa que la aproximación tradicional conlleva a mayores pérdidas comparado con la
aproximación de tolerancia a intrusiones proactiva, debido al ajuste adecuado del tiempo

©
de exposición. También se concluye que el efecto acumulativo de una amenaza que se
propague conlleva efectivamente a mayores pérdidas y de nuevo el tiempo de
exposición juega un papel fundamental en reducir las pérdidas acumulativas.

16 GESTIÓN Y SEGURIDAD DE REDES

 Figura A3.4: Tolerancia a intrusiones por modelado de riesgos frente a la aproximación de gestión de
riesgos tradicional

La figura B1.4 también proporciona una guía para delimitar los objetivos de seguridad
corporativos. Estos objetivos juegan un papel crítico en el modelado de riesgos y
FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

amenazas. El compromiso entre mayor seguridad y mayor disponibilidad se alcanza

seleccionando el tiempo de exposición que cumpla los objetivos de la empresa. Un
tiempo de exposición menor para un activo particular conlleva a una mayor seguridad y
a una gran reducción de las pérdidas debidas a las potenciales amenazas, aunque con el
coste de un menor rendimiento. Por lo tanto, la tolerancia a intrusiones proactiva
proporciona una herramienta de modelado de riesgos a todos los niveles de la
arquitectura de seguridad de la compañía que el altamente adaptable a los objetivos de
la empresa y, en consecuencia, alcanza mayores niveles de seguridad y de reducción de
pérdidas para tanto los efectos individuales como los acumulativos. En la tabla B1.4 se
©

estudia el ahorro potencial logrado utilizando la aproximación de tolerancia a intrusiones

para centros de datos con hasta 50 servidores. Por ejemplo, un centro de datos de 50
servidores puede lograr un ahorro de aproximadamente 1 millón de dólares utilizando
esta aproximación de tolerancia a intrusiones.

ANNUAL LOSS EXPENTANCY

# Traditional Intrusion Annual
of Servers Approach Tolerance Loss Reduction
1 $40,000 $20,000 $20,000
5 $200,000 $100,000 $100,000
10 $400,000 $200,000 $200,000
50 $2,000,000 $1,000,000 $1,000,000

Tabla B1.4. Reducción de pérdidas debida a la tolerancia a intrusiones

GESTIÓN Y SEGURIDAD DE REDES 17

La aproximación proactiva tiene beneficios adicionales. Para ilustrar este proceso se
debe considerar un sistema de gestión de parches de un centro de datos. Las decisiones
de los sistemas reactivos se basan en el análisis del contenido de los paquetes entrantes
y salientes. Esto requiere la actualización de las firmas y la instalación de parches
porque son proporcionados por los fabricantes. La llegada de parches rompe la
planificación del trabajo en el centro de datos. Por otra parte, los sistemas proactivos
son menos susceptibles al contenido de los paquetes y a los parámetros de los sistemas
proactivos, especialmente el tiempo de exposición, ya que se determinan en el
momento de la instalación. Debido a que la aproximación proactiva proporciona al
administrador del centro de datos un mayor control del riesgo, la aproximación proactiva
proporciona al administrador del centro de datos más control sobre la planificación de
los parches.

B1.5. CONCLUSIONES

En este estudio se han discutido las aproximaciones actuales y se propone un nuevo

FUNDACIÓN UNIVERSITARIA IBEROAMERICANA

modelo de gestión del riesgo proactivo basado en la especificación del tiempo de
exposición que añade una nueva capa de seguridad, y, por lo tanto, crea una
aproximación de gestión de riesgos robusta.

No son aproximaciones excluyentes, sino que deberían convivir para alanzar un nivel de
seguridad óptimo. La selección de parámetros basada en una vista holística del sistema
de seguridad puede reducir el coste de capital así como el coste operacional. Se
anticipar que la aproximación proactiva proporciona una límite más alto de las pérdidas
y por tanto, el administrador del centro de datos tiene mayor libertad en la planificación

©
de eventos nos esperados, como la instalación de parches. Esta libertad conlleva a
menores gastos operativos.

18 GESTIÓN Y SEGURIDAD DE REDES