SlideShare uma empresa Scribd logo
1 de 10
Baixar para ler offline
Seguridad informática
INTRODUCCIÓN
•

La Información es un activo que como cualquier otro activo importante del negocio,
tiene valor para la organización, consecuentemente necesita “Protección
Adecuada”.

•

La implementación de esquemas de Administración de la Seguridad Informática en
la institución debe seguir estándares y mejores prácticas del mercado.

•

Es una necesidad del negocio ante las circunstancias actuales
OBSTÁCULOS
•

Falta de conciencia de usuarios finales.

•

Presupuesto.

•

Falta de apoyo de la alta gerencia.

•

Falta de Entrenamiento.

•

Pobre definición de responsabilidades.

•

Falta de herramientas.

•

Aspectos legales.
DISEÑO DE UN SISTEMA DE SEGURIDAD
El proceso de diseñar un sistema de seguridad podría decirse que es
el encaminado a cerrar las posibles vías de ataque, lo cual hace
imprescindible un profundo conocimiento acerca de las debilidades
que los atacantes aprovechan, y del modo en que lo hacen.
1 administrador, infinitos atacantes expertos con diferentes
técnicas y herramientas
Además, existe una gran variedad de ataques posibles a vulnerabilidades pero en
la practica se utiliza una combinación de éstas. Los intrusos, antes de poder
atacar una red, deben obtener la mayor información posible acerca de esta;
intentan obtener la topología, el rango de IPs de la red, los S.O, los usuarios, etc.

El administrador debe saber, que existen organismos que informan de
forma actualizada, las técnicas de ataque utilizadas y novedades,

4
TENER EN CUENTA…
¿A QUÉ NIVEL SE GESTIONA LA SEGURIDAD?
1.

Sistema operativo: contraseñas, permisos de
archivos, criptografía

2.

Protocolos y aplicaciones de red: permisos de
acceso, filtrado de datos, criptografía

3.

Identificación de personal: dispositivos de
identificación personal, criptografía

Todo ello se deber reflejar en el
BOLETIN DE
POLITICA DE SEGURIDAD
5
PELIGROS Y MODOS DE ATAQUE (1/5)

Explotar bugs del software: aprovechan errores del software, ya que a la
mayor parte del software se le ha añadido la seguridad demasiado
tarde, cuando ya no era posible rediseñarlo todo y con ello puede
adquirir privilegios en la ejecución, por ejemplo buffers overflow (BOF
o desbordamiento de pila[1]) Además, muchos programas corren con
demasiados privilegios. La cadena o secuencia de órdenes para explotar
esta vulnerabilidad del software se conoce como exploit. Ataque: los
hackers se hacen con una copia del software a explotar y lo someten a una
batería de pruebas para detectar alguna debilidad que puedan aprovechar.
Protección: correcta programación o incluir parches actualizando los
servicios instalados.
Caballo de Troya : un programa que se enmascara como algo que no es,
normalmente con el propósito de conseguir acceso a una cuenta o ejecutar
comandos con los privilegios de otro usuario

6
PELIGROS Y MODOS DE ATAQUE (2/5)

Caballo de Troya : un programa que se enmascara como algo que no es,
normalmente con el propósito de conseguir acceso a una cuenta o
ejecutar comandos con los privilegios de otro usuario. Ataque: el
atacante por ejemplo sabotea algún paquete de instalación o saboteando
una máquina, modifica las aplicaciones, p.ej “ls”, “ps”, .. Protección:
revisión periódica de compendios, firma digital, comprobación del sistema
de ficheros (ejemplo aplicación “tripware”), etc
Ataques dirigidos por datos : son ataques que tienen lugar en modo diferido,
sin la participación activa por parte del atacante en el momento en el
que se producen. El atacante se limita a hacer llegar a la víctima una serie
de datos que al ser interpretados (en ocasiones sirve la visualización
previa típica de MS. Windows) ejecutarán el ataque propiamente dicho,
como por ejemplo un virus a través del correo electrónico o código
JavaScript maligno. Protección: firma digital e información al usario
(lecturas off-line, o en otro servidor o instalar antivirus en el servidor
de correo)

7
PELIGROS Y MODOS DE ATAQUE (3/5)

Ingeniería social: son ataques que aprovechan la buena voluntad de los
usuarios de los sistemas atacados. Un ejemplo de ataque de este tipo es
el siguiente: se envía un correo con el remite "root" a un usuario con el
mensaje "por favor, cambie su password a “informatica". El atacante
entonces entra con ese password. A partir de ahí puede emplear otras
técnicas de ataque. O incitando a ver determinadas páginas web,
descargar fotos, ...Protección: educar a los usuarios acerca de qué tareas
no deben realizar jamás, y qué información no deben suministrar a nadie,
salvo al administrador en persona.
Acceso físico: a los recursos del sistema y pudiendo entrar en consola,
adquirir información escrita, etc Protección: políticas de seguridad, dejar
servidores bajo llave y guardia de seguridad, tal como se vigila alguna
cosa de valor.
Adivinación de passwords: la mala elección de passwords por parte de los
usuarios permiten que sean fáciles de adivinar (o por fuerza bruta) o bien
que el propio sistema operativo tenga passwords por defecto. Ejemplo:
muchos administradores utilizan de password “administrador” ;-)
Protección: políticas de seguridad
8
PELIGROS Y MODOS DE ATAQUE (4/5)

Spoofing : intento del atacante por ganar el acceso a un sistema haciéndose pasar por otro,
ejecutado en varios niveles, tanto a nivel MAC como a nivel IP:
ARP Spoofing (que una IP suplantada tenga asociada la MAC del atacante). Ataque: el
atacante falsifica paquetes ARP indicando gratuitamente su MAC con la IP de la máquina
suplantada. Los hosts y los switches que escuchan estos mensajes cambiarán su tabla
ARP apuntando al atacante
IP Spoofing (suplanta la IP del atacante). Ataque: el atacante debe de estar en la misma LAN
que el suplantado, y modifica su IP en combinación con ARP spoofing, o simplemente
“sniffea” todo el tráfico en modo promiscuo.
DNS Spoofing (el nombre del suplantado tenga la IP del atacante ), donde el intruso se hace
pasar por un DNS. Ataque: el atacante puede entregar o bien información modificada al
host, o bien engañar al DNS local para que registre información en su cache. P.ej, puede
hacer resolver www.banesto.com a una IP que será la del atacante, de forma que cuando
un usurio de Banesto se conecta, lo hará con el atacante.
Protección ante Spoofing: introducir autenticación y cifrado de las conexiones para ARP e IP
Spoofing. Aunque la intrusión se realice en capa 2 ó 3 se puede detectar en capa 7. En el
caso de ARP, configurar que el host o switch aprenda MAC’s sólo de paquetes ARP
unicast. Para DNS Spoofing, utilizar certificados para comprobar fidedignamente la
identidad del servidor.
9
PELIGROS Y MODOS DE ATAQUE (5/5)
Confianza transitiva : en sistemas Unix existen los conceptos de confianza entre hosts y
entre usuarios (red de confianza), y por tanto pueden conectarse entre sí diferentes
sistemas o usuarios sin necesidad de autentificación de forma “oficial”, utilizando
sólo como identificativo la IP (IP registrada de la cual se fía). Son autorizaciones y
permisos locales bien definidos entre usuarios y máquinas. Ejemplo en Linux las
aplicaciones r* (rsh, rlogin, rcp,...), Xwindow, RPC, ... utilizan el fichero /etc/hosts.equiv
o el fichero en $HOME/.rhost. Ataque: cualquier atacante que tome el control de una
máquina o bien suplante la IP (spoofing), podrá conectarse a otra máquina gracias a la
confianza entre hosts y/o entre usuarios sin necesidad de autenticación. Protección:
encriptación del protocolo y exigir siempre autenticación, evitar redes de confianza.
Hijacking : consiste en robar una conexión después de que el usuario (a suplantar) ha
superado con éxito el proceso de identificación ante el sistema remoto. Para ello el
intruso debe sniffear algún paquete de la conexión y averiguar las direcciones IP, los ISN
y los puertos utilizados. Además para realizar dicho ataque, el atacante deberá utilizar la
IP de la máquina suplantada.Ataque: en un momento determinado, el intruso se adelanta
una respuesta en la conexión TCP (con los ISN correctos, lo cual lo obtiene por sniffing)
y por tanto el que estaba conectado no cumple con los ISN debido a que el intruso
mandó información válida y queda excluido de la conexión (su conexión TCP aparente se
ha colgado), tomando el control el intruso. Otra acción adicional, sería inutilizar al
suplantado con una ataque DoS. Protección: uso de encriptación o uso de una red
conmutada.
10

Mais conteúdo relacionado

Mais procurados

Ataques de autentificación
Ataques de autentificaciónAtaques de autentificación
Ataques de autentificaciónNombre Apellidos
 
Ataques de suplantación de identidad
Ataques de suplantación de identidadAtaques de suplantación de identidad
Ataques de suplantación de identidadRenataDG05
 
Reporte de seguridad
Reporte de seguridadReporte de seguridad
Reporte de seguridadJorge García
 
1 categorias-ataques
1 categorias-ataques1 categorias-ataques
1 categorias-ataquesmvrodriguez
 
Seguridad en la_red
Seguridad en la_redSeguridad en la_red
Seguridad en la_redelenacediel
 
Ataques y vulnerabilidades
Ataques y vulnerabilidadesAtaques y vulnerabilidades
Ataques y vulnerabilidadesJesus Vilchez
 
Introduccion ethical hacking - chakan
Introduccion ethical hacking - chakanIntroduccion ethical hacking - chakan
Introduccion ethical hacking - chakanch4k4n
 
Unidad5 investigación seguridad
Unidad5 investigación seguridadUnidad5 investigación seguridad
Unidad5 investigación seguridadEduardo S. Garzón
 
Tipos de Pentest
Tipos de PentestTipos de Pentest
Tipos de PentestRafael Seg
 
Riesgo Informático
Riesgo InformáticoRiesgo Informático
Riesgo Informáticomoisesruiz26
 
Seguridad en redes Unidad V
Seguridad en redes Unidad VSeguridad en redes Unidad V
Seguridad en redes Unidad VJose A. Garcia
 
Seguridad de redes (congreso)
Seguridad de redes (congreso)Seguridad de redes (congreso)
Seguridad de redes (congreso)Nbsecurity
 
Introduccion al Ethical Hacking
Introduccion al Ethical HackingIntroduccion al Ethical Hacking
Introduccion al Ethical HackingJose Manuel Acosta
 

Mais procurados (20)

Tecnicas hacker
Tecnicas hackerTecnicas hacker
Tecnicas hacker
 
Ataques de autentificación
Ataques de autentificaciónAtaques de autentificación
Ataques de autentificación
 
Ataques de suplantación de identidad
Ataques de suplantación de identidadAtaques de suplantación de identidad
Ataques de suplantación de identidad
 
Reporte de seguridad
Reporte de seguridadReporte de seguridad
Reporte de seguridad
 
Ataques Informáticos
Ataques InformáticosAtaques Informáticos
Ataques Informáticos
 
Seguridad informatica 1
Seguridad  informatica 1Seguridad  informatica 1
Seguridad informatica 1
 
Seguridad informatica
Seguridad informaticaSeguridad informatica
Seguridad informatica
 
Seguridad Informática-Ataques a la web.
Seguridad Informática-Ataques a la  web.Seguridad Informática-Ataques a la  web.
Seguridad Informática-Ataques a la web.
 
Test de intrusion
Test de intrusionTest de intrusion
Test de intrusion
 
1 categorias-ataques
1 categorias-ataques1 categorias-ataques
1 categorias-ataques
 
Seguridad en la_red
Seguridad en la_redSeguridad en la_red
Seguridad en la_red
 
Ataques y vulnerabilidades
Ataques y vulnerabilidadesAtaques y vulnerabilidades
Ataques y vulnerabilidades
 
Introduccion ethical hacking - chakan
Introduccion ethical hacking - chakanIntroduccion ethical hacking - chakan
Introduccion ethical hacking - chakan
 
Seguridad Informática
Seguridad InformáticaSeguridad Informática
Seguridad Informática
 
Unidad5 investigación seguridad
Unidad5 investigación seguridadUnidad5 investigación seguridad
Unidad5 investigación seguridad
 
Tipos de Pentest
Tipos de PentestTipos de Pentest
Tipos de Pentest
 
Riesgo Informático
Riesgo InformáticoRiesgo Informático
Riesgo Informático
 
Seguridad en redes Unidad V
Seguridad en redes Unidad VSeguridad en redes Unidad V
Seguridad en redes Unidad V
 
Seguridad de redes (congreso)
Seguridad de redes (congreso)Seguridad de redes (congreso)
Seguridad de redes (congreso)
 
Introduccion al Ethical Hacking
Introduccion al Ethical HackingIntroduccion al Ethical Hacking
Introduccion al Ethical Hacking
 

Semelhante a Seguridad informática

SEGURIDAD INFORMATICA
SEGURIDAD INFORMATICASEGURIDAD INFORMATICA
SEGURIDAD INFORMATICANeto-bujia
 
Seguridad Informatica 2.0
Seguridad Informatica 2.0Seguridad Informatica 2.0
Seguridad Informatica 2.0david_06
 
Tipos de ataques informaticos
Tipos de ataques informaticosTipos de ataques informaticos
Tipos de ataques informaticosOscar Eduardo
 
Seguridad informática maria
Seguridad informática mariaSeguridad informática maria
Seguridad informática mariaMaria Sanchez
 
Ataques client side exploitation
Ataques client side exploitationAtaques client side exploitation
Ataques client side exploitationjack_corvil
 
Seguridad de-la-informacion 2
Seguridad de-la-informacion 2Seguridad de-la-informacion 2
Seguridad de-la-informacion 2colohh
 
Seguridad de la Información
Seguridad de la InformaciónSeguridad de la Información
Seguridad de la Informacióngerardoafp
 
Seguridad de la Información
Seguridad de la InformaciónSeguridad de la Información
Seguridad de la Informacióngerardoafp
 
Seguridad de la información n
Seguridad de la información nSeguridad de la información n
Seguridad de la información ngerardoafp
 
Seguridad informatica
Seguridad informaticaSeguridad informatica
Seguridad informaticamesiefrank
 

Semelhante a Seguridad informática (20)

Seguridad informática
Seguridad informáticaSeguridad informática
Seguridad informática
 
SEGURIDAD INFORMATICA
SEGURIDAD INFORMATICASEGURIDAD INFORMATICA
SEGURIDAD INFORMATICA
 
Seguridad Informatica 2.0
Seguridad Informatica 2.0Seguridad Informatica 2.0
Seguridad Informatica 2.0
 
Trabajo de kiroz
Trabajo de kirozTrabajo de kiroz
Trabajo de kiroz
 
Investigacion seguridad 2
Investigacion seguridad 2Investigacion seguridad 2
Investigacion seguridad 2
 
Tipos de ataques informaticos
Tipos de ataques informaticosTipos de ataques informaticos
Tipos de ataques informaticos
 
Seguridad informática maria
Seguridad informática mariaSeguridad informática maria
Seguridad informática maria
 
Seguridad Informática 2.0
Seguridad Informática 2.0Seguridad Informática 2.0
Seguridad Informática 2.0
 
seguridad informatica... :)
seguridad informatica... :)seguridad informatica... :)
seguridad informatica... :)
 
Seg.info.2
Seg.info.2Seg.info.2
Seg.info.2
 
S eguridad
S eguridadS eguridad
S eguridad
 
Ataques client side exploitation
Ataques client side exploitationAtaques client side exploitation
Ataques client side exploitation
 
Resumen
ResumenResumen
Resumen
 
Seguridad aline y yara.
Seguridad aline y yara.Seguridad aline y yara.
Seguridad aline y yara.
 
Seguridad de-la-informacion 2
Seguridad de-la-informacion 2Seguridad de-la-informacion 2
Seguridad de-la-informacion 2
 
Tipos de ataques informáticos
Tipos de ataques informáticosTipos de ataques informáticos
Tipos de ataques informáticos
 
Seguridad de la Información
Seguridad de la InformaciónSeguridad de la Información
Seguridad de la Información
 
Seguridad de la Información
Seguridad de la InformaciónSeguridad de la Información
Seguridad de la Información
 
Seguridad de la información n
Seguridad de la información nSeguridad de la información n
Seguridad de la información n
 
Seguridad informatica
Seguridad informaticaSeguridad informatica
Seguridad informatica
 

Último

CIENCIAS SOCIALES SEGUNDO TRIMESTRE CUARTO
CIENCIAS SOCIALES SEGUNDO TRIMESTRE CUARTOCIENCIAS SOCIALES SEGUNDO TRIMESTRE CUARTO
CIENCIAS SOCIALES SEGUNDO TRIMESTRE CUARTOCEIP TIERRA DE PINARES
 
PSICOLOGÍA. UNA INTRODUCCIÓN. ALCIRA ORSINI Y LETICIA BOSSELLINI 3.pdf
PSICOLOGÍA. UNA INTRODUCCIÓN. ALCIRA ORSINI Y LETICIA BOSSELLINI 3.pdfPSICOLOGÍA. UNA INTRODUCCIÓN. ALCIRA ORSINI Y LETICIA BOSSELLINI 3.pdf
PSICOLOGÍA. UNA INTRODUCCIÓN. ALCIRA ORSINI Y LETICIA BOSSELLINI 3.pdfCarlosAntonio456574
 
CARPETA PEDAGÓGICA 2024.docx para educacion
CARPETA PEDAGÓGICA 2024.docx para educacionCARPETA PEDAGÓGICA 2024.docx para educacion
CARPETA PEDAGÓGICA 2024.docx para educacionCarolVigo1
 
Evaluacion Diagnostica Matematica 2do C2 Secundaria Ccesa007.pdf
Evaluacion Diagnostica Matematica 2do C2 Secundaria Ccesa007.pdfEvaluacion Diagnostica Matematica 2do C2 Secundaria Ccesa007.pdf
Evaluacion Diagnostica Matematica 2do C2 Secundaria Ccesa007.pdfDemetrio Ccesa Rayme
 
Los escritos administrativos, técnicos y comerciales
Los escritos administrativos, técnicos y comercialesLos escritos administrativos, técnicos y comerciales
Los escritos administrativos, técnicos y comercialeshanda210618
 
Evaluacion Diagnostica Matematica 2do C1 Secundaria Ccesa007.pdf
Evaluacion Diagnostica Matematica 2do C1 Secundaria Ccesa007.pdfEvaluacion Diagnostica Matematica 2do C1 Secundaria Ccesa007.pdf
Evaluacion Diagnostica Matematica 2do C1 Secundaria Ccesa007.pdfDemetrio Ccesa Rayme
 
ficha de aplicacion para estudiantes El agua para niños de primaria
ficha de aplicacion para estudiantes El agua para niños de primariaficha de aplicacion para estudiantes El agua para niños de primaria
ficha de aplicacion para estudiantes El agua para niños de primariamichel carlos Capillo Dominguez
 
EL BRILLO DEL ECLIPSE (CUENTO LITERARIO). Autor y diseñador JAVIER SOLIS NOYOLA
EL BRILLO DEL ECLIPSE (CUENTO LITERARIO). Autor y diseñador JAVIER SOLIS NOYOLAEL BRILLO DEL ECLIPSE (CUENTO LITERARIO). Autor y diseñador JAVIER SOLIS NOYOLA
EL BRILLO DEL ECLIPSE (CUENTO LITERARIO). Autor y diseñador JAVIER SOLIS NOYOLAJAVIER SOLIS NOYOLA
 
Herbert James Drape. Erotismo y sensualidad.pptx
Herbert James Drape. Erotismo y sensualidad.pptxHerbert James Drape. Erotismo y sensualidad.pptx
Herbert James Drape. Erotismo y sensualidad.pptxArs Erótica
 
PROGRAMACIÓN CURRICULAR ANUAL DE CIENCIA Y TECNOLOGÍA
PROGRAMACIÓN CURRICULAR ANUAL DE CIENCIA Y TECNOLOGÍAPROGRAMACIÓN CURRICULAR ANUAL DE CIENCIA Y TECNOLOGÍA
PROGRAMACIÓN CURRICULAR ANUAL DE CIENCIA Y TECNOLOGÍAJoaqunSolrzano
 
La Congregación de Jesús y María, conocida también como los Eudistas, fue fun...
La Congregación de Jesús y María, conocida también como los Eudistas, fue fun...La Congregación de Jesús y María, conocida también como los Eudistas, fue fun...
La Congregación de Jesús y María, conocida también como los Eudistas, fue fun...Unidad de Espiritualidad Eudista
 
UNIDAD DE APRENDIZAJE MARZO 2024.docx para educacion
UNIDAD DE APRENDIZAJE MARZO 2024.docx para educacionUNIDAD DE APRENDIZAJE MARZO 2024.docx para educacion
UNIDAD DE APRENDIZAJE MARZO 2024.docx para educacionCarolVigo1
 
Presentación del tema: tecnología educativa
Presentación del tema: tecnología educativaPresentación del tema: tecnología educativa
Presentación del tema: tecnología educativaricardoruizaleman
 
sociales ciencias segundo trimestre tercero
sociales ciencias segundo trimestre tercerosociales ciencias segundo trimestre tercero
sociales ciencias segundo trimestre terceroCEIP TIERRA DE PINARES
 
1ro Programación Anual D.P.C.C ACTUALIZADO
1ro Programación Anual D.P.C.C ACTUALIZADO1ro Programación Anual D.P.C.C ACTUALIZADO
1ro Programación Anual D.P.C.C ACTUALIZADODJElvitt
 

Último (20)

CIENCIAS SOCIALES SEGUNDO TRIMESTRE CUARTO
CIENCIAS SOCIALES SEGUNDO TRIMESTRE CUARTOCIENCIAS SOCIALES SEGUNDO TRIMESTRE CUARTO
CIENCIAS SOCIALES SEGUNDO TRIMESTRE CUARTO
 
PSICOLOGÍA. UNA INTRODUCCIÓN. ALCIRA ORSINI Y LETICIA BOSSELLINI 3.pdf
PSICOLOGÍA. UNA INTRODUCCIÓN. ALCIRA ORSINI Y LETICIA BOSSELLINI 3.pdfPSICOLOGÍA. UNA INTRODUCCIÓN. ALCIRA ORSINI Y LETICIA BOSSELLINI 3.pdf
PSICOLOGÍA. UNA INTRODUCCIÓN. ALCIRA ORSINI Y LETICIA BOSSELLINI 3.pdf
 
CARPETA PEDAGÓGICA 2024.docx para educacion
CARPETA PEDAGÓGICA 2024.docx para educacionCARPETA PEDAGÓGICA 2024.docx para educacion
CARPETA PEDAGÓGICA 2024.docx para educacion
 
Evaluacion Diagnostica Matematica 2do C2 Secundaria Ccesa007.pdf
Evaluacion Diagnostica Matematica 2do C2 Secundaria Ccesa007.pdfEvaluacion Diagnostica Matematica 2do C2 Secundaria Ccesa007.pdf
Evaluacion Diagnostica Matematica 2do C2 Secundaria Ccesa007.pdf
 
Los escritos administrativos, técnicos y comerciales
Los escritos administrativos, técnicos y comercialesLos escritos administrativos, técnicos y comerciales
Los escritos administrativos, técnicos y comerciales
 
EL PROCESO DE INVESTIGACIÓN CUALITATIVA. ENFERMERÍA
EL PROCESO DE INVESTIGACIÓN CUALITATIVA. ENFERMERÍAEL PROCESO DE INVESTIGACIÓN CUALITATIVA. ENFERMERÍA
EL PROCESO DE INVESTIGACIÓN CUALITATIVA. ENFERMERÍA
 
SITUACIÓN ACTUAL DE LA INVESTIGACIÓN. ENFERMERÍA
SITUACIÓN ACTUAL DE LA INVESTIGACIÓN. ENFERMERÍASITUACIÓN ACTUAL DE LA INVESTIGACIÓN. ENFERMERÍA
SITUACIÓN ACTUAL DE LA INVESTIGACIÓN. ENFERMERÍA
 
Evaluacion Diagnostica Matematica 2do C1 Secundaria Ccesa007.pdf
Evaluacion Diagnostica Matematica 2do C1 Secundaria Ccesa007.pdfEvaluacion Diagnostica Matematica 2do C1 Secundaria Ccesa007.pdf
Evaluacion Diagnostica Matematica 2do C1 Secundaria Ccesa007.pdf
 
ficha de aplicacion para estudiantes El agua para niños de primaria
ficha de aplicacion para estudiantes El agua para niños de primariaficha de aplicacion para estudiantes El agua para niños de primaria
ficha de aplicacion para estudiantes El agua para niños de primaria
 
EL BRILLO DEL ECLIPSE (CUENTO LITERARIO). Autor y diseñador JAVIER SOLIS NOYOLA
EL BRILLO DEL ECLIPSE (CUENTO LITERARIO). Autor y diseñador JAVIER SOLIS NOYOLAEL BRILLO DEL ECLIPSE (CUENTO LITERARIO). Autor y diseñador JAVIER SOLIS NOYOLA
EL BRILLO DEL ECLIPSE (CUENTO LITERARIO). Autor y diseñador JAVIER SOLIS NOYOLA
 
Sesión de clase ES: Adoración sin fin...
Sesión de clase ES: Adoración sin fin...Sesión de clase ES: Adoración sin fin...
Sesión de clase ES: Adoración sin fin...
 
Herbert James Drape. Erotismo y sensualidad.pptx
Herbert James Drape. Erotismo y sensualidad.pptxHerbert James Drape. Erotismo y sensualidad.pptx
Herbert James Drape. Erotismo y sensualidad.pptx
 
Power Point E. Sab: Adoración sin fin...
Power Point E. Sab: Adoración sin fin...Power Point E. Sab: Adoración sin fin...
Power Point E. Sab: Adoración sin fin...
 
PROGRAMACIÓN CURRICULAR ANUAL DE CIENCIA Y TECNOLOGÍA
PROGRAMACIÓN CURRICULAR ANUAL DE CIENCIA Y TECNOLOGÍAPROGRAMACIÓN CURRICULAR ANUAL DE CIENCIA Y TECNOLOGÍA
PROGRAMACIÓN CURRICULAR ANUAL DE CIENCIA Y TECNOLOGÍA
 
La Congregación de Jesús y María, conocida también como los Eudistas, fue fun...
La Congregación de Jesús y María, conocida también como los Eudistas, fue fun...La Congregación de Jesús y María, conocida también como los Eudistas, fue fun...
La Congregación de Jesús y María, conocida también como los Eudistas, fue fun...
 
UNIDAD DE APRENDIZAJE MARZO 2024.docx para educacion
UNIDAD DE APRENDIZAJE MARZO 2024.docx para educacionUNIDAD DE APRENDIZAJE MARZO 2024.docx para educacion
UNIDAD DE APRENDIZAJE MARZO 2024.docx para educacion
 
VISITA DE ESTUDO À CRUZ VERMELHA _
VISITA DE ESTUDO À CRUZ VERMELHA                   _VISITA DE ESTUDO À CRUZ VERMELHA                   _
VISITA DE ESTUDO À CRUZ VERMELHA _
 
Presentación del tema: tecnología educativa
Presentación del tema: tecnología educativaPresentación del tema: tecnología educativa
Presentación del tema: tecnología educativa
 
sociales ciencias segundo trimestre tercero
sociales ciencias segundo trimestre tercerosociales ciencias segundo trimestre tercero
sociales ciencias segundo trimestre tercero
 
1ro Programación Anual D.P.C.C ACTUALIZADO
1ro Programación Anual D.P.C.C ACTUALIZADO1ro Programación Anual D.P.C.C ACTUALIZADO
1ro Programación Anual D.P.C.C ACTUALIZADO
 

Seguridad informática

  • 2. INTRODUCCIÓN • La Información es un activo que como cualquier otro activo importante del negocio, tiene valor para la organización, consecuentemente necesita “Protección Adecuada”. • La implementación de esquemas de Administración de la Seguridad Informática en la institución debe seguir estándares y mejores prácticas del mercado. • Es una necesidad del negocio ante las circunstancias actuales
  • 3. OBSTÁCULOS • Falta de conciencia de usuarios finales. • Presupuesto. • Falta de apoyo de la alta gerencia. • Falta de Entrenamiento. • Pobre definición de responsabilidades. • Falta de herramientas. • Aspectos legales.
  • 4. DISEÑO DE UN SISTEMA DE SEGURIDAD El proceso de diseñar un sistema de seguridad podría decirse que es el encaminado a cerrar las posibles vías de ataque, lo cual hace imprescindible un profundo conocimiento acerca de las debilidades que los atacantes aprovechan, y del modo en que lo hacen. 1 administrador, infinitos atacantes expertos con diferentes técnicas y herramientas Además, existe una gran variedad de ataques posibles a vulnerabilidades pero en la practica se utiliza una combinación de éstas. Los intrusos, antes de poder atacar una red, deben obtener la mayor información posible acerca de esta; intentan obtener la topología, el rango de IPs de la red, los S.O, los usuarios, etc. El administrador debe saber, que existen organismos que informan de forma actualizada, las técnicas de ataque utilizadas y novedades, 4
  • 5. TENER EN CUENTA… ¿A QUÉ NIVEL SE GESTIONA LA SEGURIDAD? 1. Sistema operativo: contraseñas, permisos de archivos, criptografía 2. Protocolos y aplicaciones de red: permisos de acceso, filtrado de datos, criptografía 3. Identificación de personal: dispositivos de identificación personal, criptografía Todo ello se deber reflejar en el BOLETIN DE POLITICA DE SEGURIDAD 5
  • 6. PELIGROS Y MODOS DE ATAQUE (1/5) Explotar bugs del software: aprovechan errores del software, ya que a la mayor parte del software se le ha añadido la seguridad demasiado tarde, cuando ya no era posible rediseñarlo todo y con ello puede adquirir privilegios en la ejecución, por ejemplo buffers overflow (BOF o desbordamiento de pila[1]) Además, muchos programas corren con demasiados privilegios. La cadena o secuencia de órdenes para explotar esta vulnerabilidad del software se conoce como exploit. Ataque: los hackers se hacen con una copia del software a explotar y lo someten a una batería de pruebas para detectar alguna debilidad que puedan aprovechar. Protección: correcta programación o incluir parches actualizando los servicios instalados. Caballo de Troya : un programa que se enmascara como algo que no es, normalmente con el propósito de conseguir acceso a una cuenta o ejecutar comandos con los privilegios de otro usuario 6
  • 7. PELIGROS Y MODOS DE ATAQUE (2/5) Caballo de Troya : un programa que se enmascara como algo que no es, normalmente con el propósito de conseguir acceso a una cuenta o ejecutar comandos con los privilegios de otro usuario. Ataque: el atacante por ejemplo sabotea algún paquete de instalación o saboteando una máquina, modifica las aplicaciones, p.ej “ls”, “ps”, .. Protección: revisión periódica de compendios, firma digital, comprobación del sistema de ficheros (ejemplo aplicación “tripware”), etc Ataques dirigidos por datos : son ataques que tienen lugar en modo diferido, sin la participación activa por parte del atacante en el momento en el que se producen. El atacante se limita a hacer llegar a la víctima una serie de datos que al ser interpretados (en ocasiones sirve la visualización previa típica de MS. Windows) ejecutarán el ataque propiamente dicho, como por ejemplo un virus a través del correo electrónico o código JavaScript maligno. Protección: firma digital e información al usario (lecturas off-line, o en otro servidor o instalar antivirus en el servidor de correo) 7
  • 8. PELIGROS Y MODOS DE ATAQUE (3/5) Ingeniería social: son ataques que aprovechan la buena voluntad de los usuarios de los sistemas atacados. Un ejemplo de ataque de este tipo es el siguiente: se envía un correo con el remite "root" a un usuario con el mensaje "por favor, cambie su password a “informatica". El atacante entonces entra con ese password. A partir de ahí puede emplear otras técnicas de ataque. O incitando a ver determinadas páginas web, descargar fotos, ...Protección: educar a los usuarios acerca de qué tareas no deben realizar jamás, y qué información no deben suministrar a nadie, salvo al administrador en persona. Acceso físico: a los recursos del sistema y pudiendo entrar en consola, adquirir información escrita, etc Protección: políticas de seguridad, dejar servidores bajo llave y guardia de seguridad, tal como se vigila alguna cosa de valor. Adivinación de passwords: la mala elección de passwords por parte de los usuarios permiten que sean fáciles de adivinar (o por fuerza bruta) o bien que el propio sistema operativo tenga passwords por defecto. Ejemplo: muchos administradores utilizan de password “administrador” ;-) Protección: políticas de seguridad 8
  • 9. PELIGROS Y MODOS DE ATAQUE (4/5) Spoofing : intento del atacante por ganar el acceso a un sistema haciéndose pasar por otro, ejecutado en varios niveles, tanto a nivel MAC como a nivel IP: ARP Spoofing (que una IP suplantada tenga asociada la MAC del atacante). Ataque: el atacante falsifica paquetes ARP indicando gratuitamente su MAC con la IP de la máquina suplantada. Los hosts y los switches que escuchan estos mensajes cambiarán su tabla ARP apuntando al atacante IP Spoofing (suplanta la IP del atacante). Ataque: el atacante debe de estar en la misma LAN que el suplantado, y modifica su IP en combinación con ARP spoofing, o simplemente “sniffea” todo el tráfico en modo promiscuo. DNS Spoofing (el nombre del suplantado tenga la IP del atacante ), donde el intruso se hace pasar por un DNS. Ataque: el atacante puede entregar o bien información modificada al host, o bien engañar al DNS local para que registre información en su cache. P.ej, puede hacer resolver www.banesto.com a una IP que será la del atacante, de forma que cuando un usurio de Banesto se conecta, lo hará con el atacante. Protección ante Spoofing: introducir autenticación y cifrado de las conexiones para ARP e IP Spoofing. Aunque la intrusión se realice en capa 2 ó 3 se puede detectar en capa 7. En el caso de ARP, configurar que el host o switch aprenda MAC’s sólo de paquetes ARP unicast. Para DNS Spoofing, utilizar certificados para comprobar fidedignamente la identidad del servidor. 9
  • 10. PELIGROS Y MODOS DE ATAQUE (5/5) Confianza transitiva : en sistemas Unix existen los conceptos de confianza entre hosts y entre usuarios (red de confianza), y por tanto pueden conectarse entre sí diferentes sistemas o usuarios sin necesidad de autentificación de forma “oficial”, utilizando sólo como identificativo la IP (IP registrada de la cual se fía). Son autorizaciones y permisos locales bien definidos entre usuarios y máquinas. Ejemplo en Linux las aplicaciones r* (rsh, rlogin, rcp,...), Xwindow, RPC, ... utilizan el fichero /etc/hosts.equiv o el fichero en $HOME/.rhost. Ataque: cualquier atacante que tome el control de una máquina o bien suplante la IP (spoofing), podrá conectarse a otra máquina gracias a la confianza entre hosts y/o entre usuarios sin necesidad de autenticación. Protección: encriptación del protocolo y exigir siempre autenticación, evitar redes de confianza. Hijacking : consiste en robar una conexión después de que el usuario (a suplantar) ha superado con éxito el proceso de identificación ante el sistema remoto. Para ello el intruso debe sniffear algún paquete de la conexión y averiguar las direcciones IP, los ISN y los puertos utilizados. Además para realizar dicho ataque, el atacante deberá utilizar la IP de la máquina suplantada.Ataque: en un momento determinado, el intruso se adelanta una respuesta en la conexión TCP (con los ISN correctos, lo cual lo obtiene por sniffing) y por tanto el que estaba conectado no cumple con los ISN debido a que el intruso mandó información válida y queda excluido de la conexión (su conexión TCP aparente se ha colgado), tomando el control el intruso. Otra acción adicional, sería inutilizar al suplantado con una ataque DoS. Protección: uso de encriptación o uso de una red conmutada. 10