Seguridad y Alta Disponibilidad (GRADO SUPERIOR)

Introducción

Este libro surge con el propósito de acercar al lector a los aspectos más importantes que encierra la seguridad informática y los relativos a garantizar alta disponibilidad en los sistemas críticos, ante las crecientes amenazas sobre los sistemas informáticos, donde cada vez contenemos más valiosa información. Con la reforma curricular de formación profesional, enmarcada en la Ley Orgánica de Educación (LOE), los ciclos formativos de la familia profesional de Informática y Comunicaciones poseen como contenido transversal la materia de seguridad informática, debido a la creciente demanda de personal cualificado para su administración. Con tal propósito, puede servir de apoyo también para estudiantes del las Ingenierías Técnicas.

Hoy en día, existen muchos usuarios y profesionales de la Informática que discuten las ventajas e inconvenientes de la utilización de un determinado sistema operativo, antivirus o cortafuegos como solución única a los problemas de la seguridad informática, no entendiendo que en esta materia ha de trabajarse en todos los frentes posibles. Aquí no hay preferencia por ningún sistema en particular, ni se intenta compararlos para descubrir cuál es el mejor de todos, sino enriquecer los contenidos al exponer sus principales características, manejo y métodos para conseguir la máxima fiabilidad de los sistemas.

A lo largo del libro se analiza la seguridad informática y la alta disponibilidad desde distintas perspectivas, con un total de 51 prácticas, para completar una visión global de la materia y no dejar ningún aspecto vulnerable:

Principios básicos y problemática de la Seguridad y Alta disponibilidad. Capítulo 1.

Seguridad pasiva, analizando soluciones de copia de seguridad y seguridad física y ambiental en los sistemas informáticos. Capítulo 2.

Seguridad lógica. Gestión de usuarios, privilegios, contraseñas y actualizaciones de sistemas y software. Capítulo 3.

Software de seguridadantimalware. Capítulo 4.

Criptografía en comunicaciones y protección de la información. Capítulo 5.

Seguridad en redes corporativas, atendiendo a las amenazas internas y estudiando los fundamentos de comunicaciones seguras, con especial atención a inalámbricas. Capítulo 6.

Seguridad perimetral mediante configuración de cortafuegos y proxy. Capítulo 7.

Configuraciones avanzadas de alta disponibilidad, como redundancia en el almacenamiento mediante RAID, balanceo de carga, virtualización de servidores. Capítulo 8.

Normativa legal en materia de seguridad informática. LOPD y LSSICE. Capítulo 9.

Uno de los objetivos de este libro es darnos a conocer las innovaciones en ataques y vulnerabilidades más actuales en materia informática, haciéndonos más prevenidos y aprendiendo a realizar acciones totalmente seguras. Para ello se presentan en cada capítulo noticias de actualidad relacionadas con la temática del mismo, que permitan la reflexión y el conocimiento de nuevos avances.

Para todo aquel que use este libro en el entorno de la enseñanza (Ciclos Formativos o Universidad), se ofrecen varias posibilidades: utilizar los conocimientos aquí expuestos para inculcar aspectos genéricos de la seguridad informática y alta disponibilidad o simplemente centrarse en preparar a fondo alguno de ellos.

Ra-Ma pone a disposición de los profesores una guía didáctica para el desarrollo del tema que incluye las soluciones a los ejercicios expuestos en el texto. Puede solicitarla a [email protected], acreditándose como docente y siempre que el libro sea utilizado como texto base para impartir las clases.

1 Principios de seguridad y alta disponibilidad

OBJETIVOS DEL CAPÍTULO

Analizar la problemática general de la seguridad informática.

Conocer los principios sobre los que se sustenta.

Conocer el significado de alta disponibilidad.

Identificar las principales vulnerabilidades, ataques y medidas de seguridad a adoptar sobre los sistemas.

Diferenciar la seguridad física y lógica, y la pasiva de la activa.

Con la proliferación de la informática en todos los ámbitos de la vida, el número de usuarios y profesionales de informática ha crecido exponencialmente en los últimos años, del mismo modo que las necesidades de comunicación y compartición de recursos en red.

Las dos nuevas problemáticas que subyacen de esta nueva realidad son, por un lado asegurar los sistemas y la información que disponemos, y por otro poder tener acceso a los servicios el mayor tiempo posible, sin interrupciones y con un cierto nivel de calidad, siendo la base para el estudio de la seguridad informática y la alta disponibilidad respectivamente.

1.1 INTRODUCCIÓN A LA SEGURIDAD INFORMÁTICA

Las tecnologías de la información y la comunicación (TIC), y concretamente la informática, se ha instalado en todos los ámbitos de la sociedad: sanidad, educación, finanzas, prensa, etc., siendo cada vez más útil e imprescindible para el desarrollo de sus actividades cotidianas. Del mismo modo que se extiende el uso de la informática, la seguridad informática debe tener una importancia cada vez mayor, teniendo en cuenta que el funcionamiento correcto de sus sistemas depende en gran medida, de protegerlos como el mayor de sus tesoros.

La seguridad informática consiste en asegurar que los recursos del sistema de información de una organización sean utilizados de la manera que se decidió y que el acceso a la información allí contenida, así como su modificación, solo sea posible a las personas que se encuentren acreditadas y dentro de los límites de su autorización.

Los principales objetivos de la seguridad informática por tanto son:

Detectar los posibles problemas y amenazas a la seguridad, minimizando y gestionando los riesgos.

Garantizar la adecuada utilización de los recursos y de las aplicaciones de los sistemas.

Limitar las pérdidas y conseguir la adecuada recuperación del sistema en caso de un incidente de seguridad.

Cumplir con el marco legal y con los requisitos impuestos a nivel organizativo.

Durante el desarrollo del libro, veremos que el conjunto de vulnerabilidades, amenazas, ataques y medidas de seguridad han ido aumentando y modificándose con el tiempo, siendo necesario estar al día en esta materia. Para ello haremos uso de diversas noticias de actualidad y reflexiones sobre las mismas.

La comunidad de usuarios y profesionales en materia de seguridad informática mantienen al día al resto de usuarios mediante noticias y post en blogs y webs especializadas. Sírvase como ejemplo el blog y repositorio de blogs de seguridad informática disponible en la web del Instituto Nacional de Tecnologías de la comunicación S.A. (en adelante INTECO), sociedad anónima estatal adscrita a la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información:

http://www.inteco.es/blog/Seguridad/Observatorio/BlogSeguridad

NOTICIA DE ACTUALIDAD

La seguridad informática lleva asociada un conjunto de palabras, en muchos casos nuevos términos en inglés. A lo largo del libro y en los artículos de actualidad se irán repitiendo, por lo que es recomendable ir construyendo nuestro glosario de términos con palabras como pharming, tabnabbing, malware, sniffing, spoofing, phishing, scam, spam, botnet, spyware, keylogger, etc.

Te proponemos que leas un artículo de actualidad, que podrás encontrar descargando el material adicional y en la web www.securitybydefault.com/2010/01/origen-y-evolucion-del-efraude.html, en el cual deberás identificar palabras relacionadas con conceptos de seguridad informática que no conozcas y realizar un glosario de términos con sus definiciones. Comenta en grupo las siguientes cuestiones:

¿Has recibido alguna vez un intento de phishing mediante correo electrónico de tipo spam? ¿Podrías indicar algún ejemplo?

Realizar un debate en el que se analicen las más conocidas amenazas existentes en la actualidad y qué tipo de medidas de prevención preliminares se podrían tomar.

1.2 FIABILIDAD, CONFIDENCIALIDAD, INTEGRIDAD Y DISPONIBILIDAD

Seguridad es un concepto asociado a la certeza, falta de riesgo o contingencia. Conviene aclarar que no siendo posible la certeza absoluta, el elemento de riesgo está siempre presente, independientemente de las medidas que tomemos, por lo que debemos hablar de niveles de seguridad. La seguridad absoluta no es posible y en adelante entenderemos que la seguridad informática es un conjunto de técnicas encaminadas a obtener altos niveles de seguridad en los sistemas informáticos.

Podemos entender como seguridad una característica de cualquier sistema que nos indica que ese sistema está libre de todo peligro, daño o riesgo, y que es, en cierta manera, infalible. Como esta característica, particularizando para el caso de sistemas informáticos, sistemas operativos o redes de computadores, es muy difícil de conseguir (según la mayoría de expertos, imposible), se suaviza la definición de seguridad y se pasa a hablar de fiabilidad, probabilidad de que un sistema se comporte tal y como se espera de él. Por tanto, se habla de tener sistemas fiables en lugar de sistemas seguros.

El experto Eugene H. Spafford cita en su frase célebre: el único sistema que es totalmente seguro es aquel que se encuentra apagado y desconectado, guardado en una caja fuerte de titanio que está enterrada en cemento, rodeada de gas nervioso y de un grupo de guardias fuertemente armados. Aún así, no apostaría mi vida en ello.

A grandes rasgos se entiende que mantener un sistema seguro (o fiable) consiste básicamente en garantizar tres aspectos: confidencialidad, integridad y disponibilidad.

Confidencialidad: cualidad de un mensaje, comunicación o datos, para que solo se entiendan de manera comprensible o sean leídos, por la persona o sistema que esté autorizado. Comprende por tanto la privacidad o protección de dicho mensaje y datos que contiene.

Integridad: cualidad de mensaje, comunicación o datos, que permite comprobar que no se ha producido manipulación alguna en el original, es decir, que no ha sido alterado.

Disponibilidad: capacidad de un servicio, de unos datos o de un sistema, a ser accesible y utilizable por los usuarios (o procesos) autorizados cuando estos lo requieran. Supone que la información pueda ser recuperada en el momento que se necesite, evitando su pérdida o bloqueo.

Hay que tener en cuenta que, tanto las amenazas como los mecanismos para contrarrestarlas, suelen afectar a estas tres características de forma conjunta. Así por ejemplo, fallos del sistema que hacen que la información no sea accesible pueden llevar consigo una pérdida de integridad. Generalmente tienen que existir los tres aspectos descritos para que haya seguridad.

Dependiendo del entorno en que un sistema trabaje, a sus responsables les interesará dar prioridad a un cierto aspecto de la seguridad. Por ejemplo, en un sistema militar se antepondrá la confidencialidad de los datos almacenados o transmitidos sobre su disponibilidad. En cambio, en un servidor de archivos en red, se priorizará la disponibilidad frente a la confidencialidad. En un entorno bancario, la faceta que más ha de preocupar a los responsables del sistema es la integridad de los datos, frente a su disponibilidad o su confidencialidad: es menos grave que un usuario consiga leer el saldo de otro que el hecho de que ese usuario pueda modificarlo.

Junto a estos tres conceptos fundamentales se suelen estudiar conjuntamente la autenticación y el no repudio.

Autenticación: verificar que un documento ha sido elaborado (o pertenece) a quien el documento dice. Aplicado a la verificación de la identidad de un usuario en informática, cuando el usuario puede aportar algún modo que permita verificar que es quien dice ser, se suele realizar mediante un usuario o login y una contraseña o password.

No repudio o irrenunciabilidad: estrechamente relacionado con la autenticación y permite probar la participación de las partes en una comunicación. Existen dos posibilidades:

No repudio en origen: el emisor no puede negar el envío. La prueba la crea el propio emisor y la recibe el destinatario.

No repudio en destino: el receptor no puede negar que recibió el mensaje porque el emisor tiene pruebas de la recepción. En este caso la prueba irrefutable la crea el receptor y la recibe el emisor.

Si la autenticidad prueba quién es el autor o el propietario de un documento y cuál es su destinatario, el no repudio prueba que el autor envió la comunicación (no repudio en origen) y que el destinatario la recibió (no repudio en destino).

Al grupo de estas características y objetivos de la seguridad se les conoce como CIDAN, nombre sacado de la inicial de cada característica. La relación de los mismos se presenta en la figura siguiente.

En la imagen superior se ilustra cómo se relacionan los diferentes servicios de seguridad, unos dependen de otros jerárquicamente, así si no existe el de nivel interior, no puede aplicarse el exterior. De esta manera, la disponibilidad se convierte en el primer requisito de seguridad, cuando existe ésta, se puede disponer de confidencialidad, que es imprescindible para conseguir integridad, imprescindible para poder obtener autenticación y, por último, el no repudio, que solo se obtiene si se produce previamente la autenticación.

A continuación veremos tres casos prácticos a modo de ejemplo sobre confidencialidad, integridad y disponibilidad.

PRÁCTICA 1.1

CONFIDENCIALIDAD

En esta práctica guiada estudiaremos cómo se puede asegurar la confidencialidad de los datos en sistema Windows, mediante la encriptación de archivos y carpetas.

La confidencialidad o privacidad de datos es uno de los aspectos críticos de la seguridad, por esto Microsoft incluyó a partir de su sistema Windows 2000, y posteriores, el método de archivos encriptados conocido como EFS (Encrypted File System) que cumple este propósito.

Encrypting File System (EFS) es un sistema de archivos que, trabajando sobre NTFS, permite cifrado de archivos a nivel de sistema. Permite a los archivos administrados por el sistema operativo ser cifrados en las particiones NTFS en donde esté habilitado, para proteger datos confidenciales. EFS es incompatible con la compresión de carpetas.

El usuario que realice la encriptación de archivos será el único que dispondrá de acceso a su contenido, y al único que se le permitirá modificar, copiar o borrar el archivo, controlado todo ello por el sistema operativo.

Amenaza o vulnerabilidad

Como veremos en capítulos posteriores, en un sistema personal es posible obtener el acceso al sistema de ficheros si podemos arrancar desde una distribución USB o CD/DVD Live, o incluso acceder al sistema local como administrador, realizando una escalada de privilegios, teniendo de este modo permisos para acceder al sistema de ficheros por completo y por tanto incluso a carpetas restringidas por el sistema operativo. Para evitar la apertura, lectura o modificación de información privada bajo sistemas Windows podemos utilizar las opciones de encriptación EFS.

Proceso de encriptación

Para probarlo podemos crear un archivo de texto plano (no cifrado) con una información confidencial en su interior. En primer lugar seleccionaremos el archivo (o carpeta) a encriptar y con el botón derecho accederemos a la ventana de Propiedades. En su pestaña General pulsaremos sobre Opciones Avanzadas y en Atributos de compresión y cifrado marcaremos la opción de Cifrar contenido para proteger datos.

Nota: En caso de no tener habilitada dicha opción deberá ejecutar gpedit.msc (editor de directivas de grupo) y habilitar la directiva local, Directiva de equipo local\Configuración de Windows\Configuración de seguridad\ Directivas de clave pública\Sistema de cifrado de archivos. Gpedit no se encuentra preinstalado en las versiones Home de los sistemas operativos Windows.

Verificaciones

Si accedemos con otro usuario al sistema que tenga permisos para acceder a todo el sistema de archivos, por ejemplo desde una cuenta de tipo administrador (distinta a la que ha cifrado el archivo), podemos ver que el nombre del archivo nos aparecerá en color verde y, al intentar acceder a él, nos indicará acceso denegado. Igualmente si intentamos modificar el archivo para que deje de estar cifrado y aplicamos los cambios nos indicará error al aplicar los atributos. Aunque no es posible leer ni modificar su contenido, sí es posible