Seguridad y Privacidad en Redes

Auditora de Sistemas y Legislacin

Issaly, Emiliano Pye, Ornella Sequeira, Federico Tulli, Roberto

Introduccin
El desarrollo de las tecnologas de Internet ha originado un aumento de nuevas aplicaciones. Estas tecnologas han permitido a las compaas ser mas competitivas a nivel global y han cambiado la forma en que las personas realizan negocios. Mantener la seguridad y privacidad requiere una planificacin empresarial, entrenamiento, implementar los controles de manera apropiada, monitorear la efectividad de controles y tomar las acciones correctivas necesarias.

Qu es una Red Segura?

Qu es una Red Segura?

Cada organizacin define el nivel de acceso que es permitido o denegado. Por ejemplo, algunas organizaciones almacenan datos de valor. Dichas organizaciones definen como red segura al sistema que previene a los extraos de acceder a las computadoras de la organizacin.

Qu es una Red Segura?

Otras organizaciones necesitan que la informacin sea accesible desde el exterior, pero sin que sea posible modificarla. Dicha organizacin puede definir como red segura a la cual se permite un acceso arbitrario a los datos, pero incluye mecanismos que previenen de cambios no autorizados. Alternativamente, otros grupos se enfocan en mantener la comunicacin privada. stos definen a la red segura como una en la cual slo se permite a un destinatario especfico interceptar y leer un mensaje. Finalmente algunas organizaciones de gran tamao necesitan una definicin compleja de seguridad que permita el acceso a determinados datos o servicios que la organizacin elija hacer pblicos, previniendo el acceso o modificacin de datos y servicios sensibles.

Qu es una Red Segura?

Como no existe una definicin absoluta de red segura, el primer paso que la organizacin debe tomar para lograr un sistema seguro, debe definir sus polticas de seguridad.
Definir una poltica de seguridad es complejo ya que cada organizacin debe decidir qu aspectos de proteccin son los ms importantes, y usualmente debe comprometer la seguridad o la facilidad de uso. Por ejemplo, una organizacin puede considerar:
Integridad de datos: Refiere a la proteccin de las modificaciones. Disponibilidad de datos: Refiere a la proteccin contra la interrupcin del servicio. Confidencialidad y Privacidad: Refiere a la proteccin contra accesos no autorizados.

Seguridad y Privacidad en SI

Seguridad y Privacidad de SI
Pobres controles de acceso, en el ambiente actual, pueden exponer a los SI a ataques desde ubicaciones remotas en todo el mundo por parte de individuos con un mnimo conocimiento e incluso escasos recursos de computadoras/telecomunicaciones.
En 1997 el GAO (U.S General Accounting Office), un organismo gubernamental de control de gastos, en base a su auditora report a la Administracin Financiera de Cuidado de la Salud que al menos 60 contratistas no estaban protegiendo adecuadamente la informacin confidencial de los pacientes. En 1998 un estudio publicado por el Instituto de Seguridad Informtica y el FBI descubri que el 64% de 520 pblicas y privadas encuestadas reportaron una brecha de seguridad dentro de los ltimos 12 meses, lo cual significaba un aumento en el 16% sobre el estudio anterior realizado.

Seguridad y Privacidad de SI
En 1998 una encuesta global de Seguridad en Sistemas de Informacin arroj las siguientes estadsticas:
59% de los sitios web de ventas de productos y servicios reportaron al menos 1 brecha de seguridad en el ltimo ao. 22% reportaron prdida de informacin. 12% reportaron robo de datos o informacin secreta. 84% experimentaron prdidas entre u$s 1000 y u$s 100.000 16% report prdidas mayores a esto.

A medida que los gobiernos y los sitios comerciales globales incrementan el uso de sistemas en red y datos electrnicos, el riesgo de fraude, divulgacin inapropiada de datos sensibles, e interrupcin de servicios y operaciones crticas aumentan.
Los mismos factores que benefician a las operaciones de las compaas tambin hacen posible a terceros interferirlas con propsitos maliciosos como fraudes o sabotajes.

Sistemas en Red y Comercio Electrnico

INTRANETS
Luego que las corporaciones empezaron a utilizar Internet para globalizar el comercio, se dieron cuenta del gran potencial que significara utilizar una red interna (Intranet) en la compaa. La tecnologa de Intranet permite a los empleados cumplir las tareas de una manera mas efectiva, dada la posibilidad de compartir la informacin de forma fcil y directa.

bsqueda online distribucin de documentos y polticas e-mail entre otras facilidades

Sistemas en Red y Comercio Electrnico - Intranet

Inicialmente, los administradores de redes pensaban que debido a que las Intranets no eran accesibles desde el exterior, no deberan preocuparse por la seguridad. Sin embargo, encuestas actuales han mostrado que 9 de cada 10 violaciones a la seguridad provienen desde el interior de la organizacin. En esencia, las Intranets son objetivos primarios de empleados descontentos, hackers y competidores.

Amenazas en las Redes

Distintas amenazas pueden comprometer la confidencialidad, integridad y disponibilidad de datos, SW y HW. Estas pueden darse por hechos naturales, accidentes, personas no malintencionadas y atacantes malintencionados. Qu hace vulnerable a una red? Un usuario aislado no es usualmente objetivo de ataques. Pero al conectarlo a una red los riesgos aumentan considerablemente.

Los aspectos que diferencian a una computadora aislada de un ambiente de red y lo hacen vulnerable a ataques son:
Anonimato. Varios puntos de ataque tanto objetivos como orgenes. Compartir. Complejidad de los sistemas. Permetro desconocido. Path desconocido.

Quines atacan las redes?

Existen tres componentes necesarios de un ataque: Motivo: Una razn de querer realizar el ataque en contra del sistema. Oportunidad: El tiempo y acceso para realizar el ataque. Mtodo: Herramientas con las cuales un atacante tiene la capacidad de perpetrar el ataque. Consideramos primero los motivos de ataques. A partir de ellos obtendremos alguna idea de quin puede atacar un nodo en red o un usuario. Es difcil determinar el motivo del ataque. Algunos sitios son objetivos atractivos para los atacantes. Objetivos populares incluyen aquellos sistemas para los cuales se presume que existe una buena proteccin ( para as mostrar la habilidad del atacante), como por ejemplo computadoras del Departamento de Defensa. Otros sistemas son atacados simplemente por ser fciles o por estar ah (aleatoriamente).

Cuatro motivos importantes son:

Desafo, Fama, Dinero, Ideologa, entre

Motivos de ataques a Redes - Desafo

Las personas realizan acciones peligrosas slo porque presentan un desafo. Esta situacin no es diferente para la persona que presenta una habilidad para escribir o usar programas. La principal motivacin para un atacante de una red es el desafo intelectual. Algunos atacantes disfrutan la estimulacin intelectual de derrotar lo supuestamente imposible de derrotar.

Algunos otros buscan demostrar la debilidad de la seguridad de los sistemas con el propsito de que otros se esfuercen en reforzarla.
Algunos individuos trabajan persistentemente slo para ver qu tan lejos pueden llegar en realizar actividades molestas. Sin embargo, slo algunos atacantes encuentran previamente los agujeros en la seguridad. La vasta mayora de los atacantes repiten ataques que son conocidos, solo para verificar si realmente funcionan.

Motivos de ataques a Redes - Fama

El desafo de llevar a cabo satisfactoriamente el ataque es suficiente para algunos. Otros atacantes buscan reconocimiento por sus actividades. Esto es, realizar la hazaa se convierte en parte del desafo, otra parte de ste es lograr tener crdito por l. En muchos casos no se conoce la identidad real de los atacantes, pero stos dejan algn tipo de tarjeta de presentacin como algn sobrenombre. As, con el uso de pseudnimos, mantienen algn anonimato, mientras que logran fama, disfrutando de ver sus logros publicados en los medios.

Motivos de ataques a Redes Dinero y Espionaje

Remuneraciones monetarias motivan a los atacantes tambin. Algunos atacantes realizan espionaje industrial, buscando informacin de los productos de una compaa, clientes, o planes. El espionaje industrial es ilegal, pero ocurre, en parte por la potencial alta ganancia que representa.

Existen muchos incidentes que no son reportados y no hay muchas estadsticas acerca de hechos de espionaje industrial, pues sus consecuencias son vergonzosas para las compaas vctimas. El espionaje industrial, conduce a la prdida de propiedad intelectual y es claramente un problema.

Motivos de ataques a Redes Ideologa

En los ltimos aos, se han encontrado ataques que fueron perpetrados con fines ideolgicos. Existen dos tipos de comportamientos relacionados: hacktivismo y terrorismo ciberntico. Hacktivismo involucra operaciones que usan tcnicas de hackeo contra un objetivo con la intencin de interrumpir las operaciones normales pero no causan daos serios. Por ejemplo modificar la pgina principal del sitio Web de una organizacin para demostrar el apoyo a una posicin ideolgica particular. El Terrorismo Ciberntico es ms peligroso que el anterior. Se define como: operaciones de hackeo motivados polticamente que intentan causar un grave dao como prdidas de vida o daos econmicos severos. Los expertos en seguridad y terrorismo estn notando un incremento en el uso de Internet como un medio de ataque.

Los Mtodos
En los primeros tiempos en Internet, las computadoras personales eran poco usuales. El acceso a Internet se limitaba principalmente a estudiantes universitarios con cuentas Unix-to-Unix (UUCP). El crecimiento de Internet, lo hizo vulnerable a ataques. Algunas de las herramientas son las siguientes:

Scanners. Caballo de Troya. Sniffers. Dispositivos destructivos

Los Mtodos - Scanners

Scanners: son la categora principal de herramientas de ataque utilizadas por los crackers. Estos son mayormente scanners TCP, que buscan debilidades lanzando ataques contra los puertos TCP/IP de un determinado host. La respuesta de dicho host se almacena. Informacin vulnerable, como los resultados del testeo por un login de usuario annimo, tambin son almacenados.

Algunos scanners son utilidades del SO. Son importantes para la seguridad de Internet ya que revelan las debilidades en la red, permitiendo a los administradores del sistema de usarlos para ayudar a fortalecer la seguridad. Dichas herramientas se encuentran en el dominio pblico. Los scanners proveen los siguientes servicios:

La capacidad de encontrar una mquina o red. La capacidad de encontrar el tipo de servicio que se est corriendo en un host. La capacidad de testear si los servicios contienen agujeros.

Los Mtodos - Scanners

Ejemplo: SATAN (Security Administrators Tool for Analyzing Networks). Primeramente corra sobre UNIX y era portable a Linux. SATAN escanea hosts remotos buscando los agujeros ms comunes, incluyendo vulnerabilidades en: El demonio de FTP y directorios FTP escribibles. Network File System (NFS). Network Information Services (NIS). Shells Remotos (RSH). Sendmail (agente de transporte de correo en internet del sistema UNIX). X-server. Password crackers.
Password crackers son herramientas que usan la fuerza bruta para averiguar los passwords de los usuarios. Muchos sistemas utilizan un mecanismo de password para controlar el acceso a recursos protegidos.

Los Mtodos Scanners: Passwords

Crackers
Los administradores de seguridad utilizan los password crackers para buscar contraseas dbiles que son fciles de crackear. Son muy simples, generan cadenas de caracteres para las cuales se comprueba si coinciden con el password. Muchos de estos programas pueden encontrarse en la actualidad, uno en particular para varios SOs es John the Ripper: http//openwall.com/john/ John the Ripper usa un ataque por diccionario: tiene un diccionario con palabras, que pueden ser contraseas tpicas, y las va probando todas. Para cada palabra, la cifra y la compara con el hash a descifrar. Si coinciden, es que la palabra era la correcta.

Ejemplo John the Ripper

Los Mtodos Caballo de Troya

Caballo de Troya: es un programa malicioso que bajo una apariencia inofensiva se ejecuta de manera oculta en el sistema y permite el acceso remoto de un usuario no autorizado al sistema. Puede tratarse de un programa que realiza una funcin til, o simplemente algo interesante. La realidad es que siempre realiza algo inesperado, como robar el password ingresado o hacer copias de archivos sin el conocimiento del usuario. Un troyano no es un virus informtico, las principales diferencias son que los troyanos no propagan la infeccin a otros sistemas por si mismos y necesitan recibir instrucciones de un individuo para realizar su propsito.

Los Mtodos Caballo de Troya

Los troyanos estn diseados para permitir a un hacker el acceso remoto a un sistema. Una vez que el troyano ha sido instalado en el sistema remoto el hacker puede acceder al sistema de forma remota y realizar diferentes acciones sin necesitar permiso. Las acciones que el individuo puede realizar en el equipo remoto dependen de los privilegios que tenga el usuario en el ordenador remoto y de el diseo de el troyano. Algunas de las operaciones que se pueden llevar a cabo en el ordenador remoto son:
Instalacin de otros programas (incluyendo otros programas maliciosos). Robo de informacin personal: informacin bancaria, contraseas, cdigos de seguridad... Borrado, modificacin o transferencia de archivos (descarga o subida). Ejecutar o terminar procesos. Gastar el espacio libre del disco duro.

Los Mtodos Caballo de Troya

Una tcnica que funciona contra la modificacin de archivos (que puede producirse por un troyano) es utilizar un checksum digital. Pueden utilizarse algoritmos como MD5 (de la familia message digest algorithms), el cual aplica una funcin hash que produce un checksum de 128 bits del archivo. Esta tcnica se basa en que producir el mismo cdigo usando distintos archivos es improbable.

Los Mtodos - Sniffers

Sniffer: es un programa de captura de las tramas de red. Es algo comn que, por topologa de red y necesidad material, el medio de transmisin (cable coaxial, UTP, fibra ptica, etc.) sea compartido por varias computadoras y dispositivos de red, lo que hace posible que una computadora capture las tramas de informacin no destinadas a l. Para conseguir esto el sniffer pone la tarjeta de red en un estado conocido como modo promiscuo" en el cual en la capa de enlace de datos (modelo OSI) no son descartadas las tramas no destinadas a la MAC address de la tarjeta; de esta manera se puede capturar todo el trfico que viaja por la red. Los sniffers tienen diversos usos como monitorizar las redes para detectar y analizar fallos o ingeniera inversa de protocolos de red. Tambin es habitual su uso para fines maliciosos, como robar contraseas, interceptar mensajes de correo electrnico, espiar conversaciones de chat, etc.

Los Mtodos - Sniffers

Los principales usos que se le pueden dar son: Captura automtica de contraseas y nombres de usuario enviadas por la red. Esta capacidad es utilizada en muchas ocasiones por crackers para atacar sistemas. Conversin del trfico de red en un formato inteligible por los humanos. Deteccin de intrusos, con el fin de descubrir hackers. Aunque para ello existen programas especficos llamados IDS (Intrusion Detection System, Sistema de Deteccin de intrusos), estos son prcticamente sniffers con funcionalidades especficas. Medicin del trfico, mediante el cual es posible descubrir cuellos de botella en algn lugar de la red.

La encriptacin de mensajes es una de las mejores herramientas contra un ataque de un sniffer.

Las herramientas - Sniffers

Algunos programas sniffers: Wireshark, Ethercap, TCPDump, Ksniffer

Los Mtodos Dispositivos Destructivos

Dispositivos destructivos: Existen dos categoras principales de dispositivos destructivos: hostigamiento y destruccin de datos. Estas herramientas estn fcilmente disponibles fuera de Internet. Esta disponibilidad implica que cualquiera puede lanzar un ataque sin demasiados conocimientos tcnicos. Estos dispositivos se pueden agrupar en cuatro categoras principales:

E-mail Bombs Flash Bombs y War Scripts Virus Denial-of-Service

Dispositivos Destructivos Email Bombs

E-mail Bombs: consiste en enviar muchas veces un mensaje idntico a una misma direccin, saturando el mailbox del destinatario. La intencin primaria aqu es llenar el espacio de disco y sobrecargar el servidor Web. Una bomba de e-mail es el mtodo ms comn usado contra servidores de Internet.

Los efectos de bombas de e-mail sobrecargan uniones de red y utilizan todos los recursos del sistema y espacio de disco.

Dispositivos Destructivos Flash Bombs y War Scripts

Flash Bombs y War Scripts: Los objetivos de las flash bombs es el IRC (Internet Relay Chat). IRC es un protocolo de comunicacin en tiempo real basado en texto. Se diferencia de la mensajera instantnea en que los usuarios no deben acceder a establecer la comunicacin de antemano. Debido a que ste no es controlado, puede ser utilizado por las personas para bromas, como expulsar a un usuario de la lnea de comunicacin.

Los Mtodos Dispositivos Destructivos

Virus: Un virus es un software que se propaga por la red y que cuando infecta a un equipo puede producirle daos catastrficos (borrando la informacin del disco duro infectado). El objetivo de un virus suele ser la simple destruccin del equipo infectado. Con la difusin de Internet en los ltimos aos los virus se han convertido en una plaga. Los virus pueden entrar por medio del navegador, del correo electrnico, en fichero bajados de red, etc.

Dispositivos Destructivos Denial of Service (DoS)

Denial of service attacks: el CERT los define como la accin que priva cualquier parte de un AIS (Automated Information Service) de funcionar de acuerdo con su propsito.
Esta tcnica no involucra un intruso dentro de la red. Los ataques de denegacin de servicio atacan a travs de agujeros de los protocolos o del sistema operativo. El atacante simplemente invocan procedimientos remotos que dejan a una porcin del objetivo inoperable.

Explotando los agujeros de TCP/IP

Como ejemplo de denegacin de servicios, el ataque syn_flood es una tcnica de negacin de servicio que explota el protocolo de 3 fases de TCP/IP usado para establecer una comunicacin:

REQ

ACK

ACK

Explotando los agujeros de TCP/IP

En syn_flood el atacante enva una serie de request pero omite los acknowledges:

REQ ACK ACK

El destinatario nunca los recibe y eventualmente se vuelve intil esperando por las respuestas. No distingue sistemas operativos, cualquier sistema conectado a una red basada en TCP/IP es vulnerable. El CERT recomienda el uso de filtros para proteger la red de stos ataques.

Explotando los agujeros de TCP/IP

Un filtro, como su nombre lo indica, permite el paso de algunos datagramas a travs de un router y niega el paso de otros. Las decisiones de filtrado tpicamente se basan en:
La direccin IP desde la cual (supuestamente) el dato proviene. La direccin IP destino. Puertos TCP y UDP destino/fuente. entre otros..

Explotando los agujeros de TCP/IP

Es posible crear un datagrama IP, colocarle cualquier direccin IP fuente que se desee y enviarlo a travs de la red al primer router. De esta manera se puede falsificar el origen de los datos haciendo que la vctima piense que stos provienen de host de confianza. Esto se llama IP spoofing (Suplantacin de IP). IP spoofing puede evitarse si un router se configura de modo tal que se niegue a enviar datagramas IP que no tienen determinadas direcciones fuente.

Auditora de Sistemas en Red

Comunicacin Segura - Secreto

Slo el emisor y el receptor deberan ser capaces de comprender en contenido del mensaje transmitido. Como pueden existir intrusos que intercepten los mensajes, se requiere aplicar tcnicas de criptografa para encriptarlos de alguna manera slo conocida por los participantes para que no puedan ser desencriptados por un interceptor. Este aspecto es el que ms comnmente se asocia al trmino de comunicacin segura, pero es slo 1 de las 3 propiedades necesarias.

Comunicacin Segura - Autenticacin

Ambos emisor y receptor necesitan confirmar la identidad de la otra parte involucrada en la comunicacin.

Cuando se establece una comunicacin en un medio en el cual no se puede ver al otro, la autenticacin ya no es tan simple.
Es necesario utilizar protocolos de autenticacin. Tpicamente, un protocolo de autenticacin se dar a cabo antes de que dos participantes en la comunicacin comiencen a utilizar algn otro protocolo para transmitir mensajes entre ellos. Utilizando criptografa, el emisor puede aplicar una funcin matemtica que reordene los bits acorde a una clave que es slo conocida por l. Luego el receptor desencriptar el mensaje utilizando otra funcin matemtica, posiblemente de conocimiento pblico.

Comunicacin Segura Integridad del mensaje

An cuando el emisor y el receptor son capaces de autenticar sus identidades, stos necesitan asegurar que el contenido de la comunicacin no sea alterada, ya sea maliciosamente o por accidente. Se utilizan extensiones a las tcnicas de checksumming para identificar mensajes que han sido alterados y asegurar la integridad en las comunicaciones.

Comunicacin Segura - IPsec

IP security (IPsec) es un conjunto de protocolos que proveen comunicacin segura en la capa IP.
Existen dos protocolos principales: Authentication Header (AH) protocol Encapsulation Security Payload (ESP) protocol Cuando un host fuente enva un datagrama de forma segura a un host destino, lo hace bajo el protocolo AH o ESP. Tanto para el protocolo AH como para el ESP, antes de realizar envos de datagramas en forma segura desde el host fuente al destino, debe existir un acuerdo de seguridad (SA) entre ambos hosts, el cual consiste en crear un canal lgico sobre la capa de red tradicional. La conexin lgica definida por un SA es una conexin simple, unidireccional. Si ambos hosts quieren comunicarse de forma segura, es necesario establecer dos SA, uno en cada direccin.

Un SA es identificado de manera univoca mediante tres caractersticas:

Identificador de protocolo de seguridad (AH o ESP). Direccin de IP fuente. Identificador de conexin de 32 bits llamado Security Parameter Index (SPI).

Conclusiones
A medida que las redes estn mas presentes en el mundo, la importancia de la seguridad de stas continuar creciendo. El anlisis de los aspectos de seguridad en redes de computadoras es similar al anlisis de otros aspectos de seguridad. Esto es, debemos responder preguntas acerca de qu estamos protegiendo y por qu. En particular:
Cules son los bienes a proteger? Cules son las amenazas? Quines son los posibles atacantes? Cules son los controles?

Los bienes en la red incluyen infraestructura, programas de aplicacin, y principalmente datos. Las amenazas son acciones o situaciones que causan un potencial dao o prdida de confidencialidad, integridad o disponibilidad, en la forma de intercepcin, modificacin y denegacin de servicios. En una computadora aislada, la mayora de los atacantes tienen un fuerte motivo para realizar sus propsitos. Pero en las redes, vimos que existen nuevas motivaciones, cualquiera puede ser vctima de un ataque al azar.

Los controles mas fuertes sobre las redes son: autenticacin, control de acceso y encriptacin.