PROTECCIÓN DE LOS

ACTIVOS DE INFORMACIÓN

Auditoría de Seguridad de Infraestructura

de Red
 AUDITORÍA DE LA SEGURIDAD DE
INFRAESTRUCTURA DE LA RED

 Revisar los diagramas de red. (LAN/WAN inc.devices)

 Identificar el diseño de red implementado. (Estrategia de IP’s
/ segmentación y detalles de distribución / configuración de
la red así como los dispositivos usados - devices)
 AUDITORÍA DE LA SEGURIDAD DE
INFRAESTRUCTURA DE LA RED

Determinar la existencia de políticas, normas, procedimientos

y orientación de los ambientes / locales.

Identificar los responsables de la seguridad y operaciones de

las conexiones externas (internet,VPN’s,etc.). (Administrador
de la Red)

Determinar la existencia de consideraciones legales por el

uso de Internet. (Consideraciones en el contrato)

Existencia de servicios de outsourcing. (contratos => servicio

técnico así como de empresas proveedoras)
AUDITORÍA DE ACCESO REMOTO

 El Uso remoto de los recursos de información mejora

espectacularmente la productividad del negocio, pero genera
problemas de control y áreas de atención para la seguridad
AUDITORÍA DE ACCESO REMOTO

 Verificación de las autenticaciones de usuario.

 Línea de comunicaciones.
 Normatividad relacionada con el acceso remoto.
 AUDITORÍA DE LOS “PUNTOS DE
PRESENCIA” DE INTERNET

 Revisión del uso de Internet tales:

a. Correo Electrónico. (corporativo – público)
b. Mercadeo (Correos publicitarios – catálogo)
 AUDITORÍA DE LOS “PUNTOS DE
PRESENCIA” DE INTERNET

 Revisión del uso de Internet tales:

c. Canal de Ventas / Comercio Electrónico. (pedidos
online y pagos online).
d. Canal de Entrega de bienes /servicios. (Por
ejemplo : Librerías, banca en línea x internet).
 PRUEBAS DE PENETRACIÓN DE
LA RED

Las combinaciones de procedimientos, por los cuales un Auditor de

SI usa las mismas técnicas que un Hacker, se denomina prueba
de penetración, pruebas de intrusión o hacker ético
 PRUEBAS DE PENETRACIÓN DE
LA RED

Componentes típicos de una prueba de penetración incluyen:

 Recolectar información (vía SW)

 Tratar de adivinar contraseñas usando herramientas del

mercado.(vía SW, frases comunes)

 Explotar las vulnerabilidades conocidas del sistema

operativo en los componentes de red y diversos tipos de
servidores que son la web, la aplicación y los sistemas de
BD.
REVISIONES TOTALES DE EVALUACIÓN
DE LA RED (DESPUÉS DE LA PRUEBA)

Las siguientes revisiones deben de realizarse:

 Revisar las políticas y los procedimientos de seguridad para
determinar que las mejores prácticas estén establecidas.
 Evaluar configuración de la red (inc.Cableado, Switch, Router,
Hub, Antenas,etc.)
 Asegurar que los controles de acceso lógico soporten la
separación de funciones: Determinar :
– Que esté instalado el software de detección de intrusiones (spyware)
– Que se realice el filtrado. (filtrado de paquetes)
– Uso de encripción.(proceso llamado también encriptación)
– Uso de tecnología para autenticación (biometría,etc.)
– Existencia de Firewall y configuración del mismo correcto.
– Llevar seguimiento de Bitácoras / registros / logs de auditoría; así como el
seguimiento de los reportes, en busca de violaciones de seguridad de Internet.
 EVALUACIONES DE REDES LAN

Los Controles de acceso pueden ser definidos:

 En el Sistema Operativo de la red LAN para tener acceso

a los servidores.

 A nivel del Sistema Operativo Servidor o dentro del

software del sistema de control de acceso para tener
acceso a aplicaciones o archivos específicos.

 Dentro del sistema de aplicación para tener acceso a los

campos del menú o elementos de datos específicos.
DESARROLLO Y AUTORIZACIÓN
DE CAMBIOS DE RED

 Los cambios de configuración de red para actualizar

dispositivos de red deben ser autorizados por
gerencia o administración

 Para comprobar el cambio el Auditor debe:

Revisar con una muestra las solicitudes de cambios.
 LOS PROCEDIMIENTOS DE DESARROLLO Y
CONTROL DE CAMBIOS TANTO HW/SW PARA
INTERNET ABARCAN

 Firewalls.
 Routers.
 Bridges.
 Gateways de aplicación.
 Topología de red DNS.
 Software de cliente.
 Software de administración de la red.
 Hardware y configuración de servidor Web.
 Software de aplicación.
 Páginas web
 CAMBIOS NO AUTORIZADOS

 Detectar cambios en los parámetros / datos de

configuración del SW en general.
– Cambios en el código del SW sin autorización.
– Controles para prevenirlos cambios no autorizados en SW:

 Restringir el acceso del equipo de desarrollo de

SW.(RESTRINGIR ACCESO AL ÁREA).

 Restringir el acceso al código fuente de

software.(AUTENTICACIÓN DE USUARIOS X
EQUIPO).
 EXPOSICIONES Y CONTROLES
AMBIENTALES

Problemas y Exposiciones Ambientales

 Problemas climatológicos y meteorológicos.

 Problemas de energía –servicios.
 Falla Total (energía eléctrica).
 Voltaje reducido (caída de voltaje).
 Depresiones, picos y sobrevoltajes.
 Interferencia electromagnética
 CONTROLES PARA LAS
EXPOSICIONES AMBIENTALES

Panel de Control de Alarmas, debe estar:

– Separado de sistemas contra robo o de seguridad.
– Accesible al personal del departamento de
bomberos.
– Ubicado en una caja a prueba de agua.
– Conformidad con la temperatura fijados por el
fabricante.
– Situado en una habitación controlada, para impedir
el acceso por personal no autorizado.
 CONTROLES PARA LAS
EXPOSICIONES AMBIENTALES
 UBICACIÓN ESTRATÉGICA DE LA
SALA DE COMPUTADORAS

 Para reducir el riesgo de inundación la sala de

computadoras no debe estar ubicado en el subsuelo.
 Sala de computadores ubicado en el 3er piso o superior.
 Sala de computadores alejados de lugares adyacentes
como aeropuertos y zonas industriales – emisión de
calor.
 Sala de computadores no contiguas / adyacentes a los
lugares húmedos.
UBICACIÓN ESTRATÉGICA DE LA
SALA DE COMPUTADORES

 Inspección de la infraestructura alrededor de la sala

de computadores. (ventilación y vías de entrada y
salida).

 Protectores de voltaje. (UPS)

 Interruptores de energía de emergencia. (para el

corte de energía –dentro y fuera de la sala de
cómputo)
UBICACIÓN ESTRATÉGICA DE LA
SALA DE COMPUTADORES

 Alambrado colocado en los paneles eléctricos y

conductos (conexión de paneles de control).

 Prohibir comer, beber y fumar dentro del Centro de

Cómputo de Procesamiento de Información.

 Materiales de Oficina Resistente al Fuego.

 Planes Documentados y Probados de Evacuación de

Emergencia