Análisis de riesgos y Vulnerabilidades GESTIÓN DE REDES DE DATOS

SERVICIO NACIONAL DE APRENDIZAJE DIEGO LEON GIL BARRIENTOS YIMY FERNANDO PEREZ MEDINA GELIER ESTEBAN MORENO GOMEZ

Ficha: 464327

1

Análisis de riesgos de seguridad: Ambiente 5-7

Inventario de Activos por Clasificación

Activos de Información

Bases de Datos

Sistemas Operativos

Configuraciones de servicios

Backups

Activos Físicos

Infraestructura

Edificio Torre Norte – CESGE

5° piso Torre norte

Ambiente 5-7

Cuarto de Telecomunicaciones

Sillas

Mesas

Racks

Hardware de TI

Computadores de Escritorio

Computadores Portátiles

Servidores

Switches

Routers

Equipos de acceso inalámbrico

Firewall

Celulares

UPS

Cableado Estructurado

2

Controles del Entorno TI

Alarma contra incendio

Medidor de temperatura de Cuarto de telecomunicaciones

Aire acondicionado

Lámparas

Activos de Servicios de TI

Servicios de Electricidad

Servicios de Red (ISP)

Activos Humanos

Instructores

Aprendices

Externos

Los activos de Información están por obvia razón directamente asociados a unos activos físicos, en este caso a 3 activos: Servidores, Routers y Switches que poseen y almacenan información, activos no tangibles, por lo tanto en una escala jerárquica es obvio mantener la integridad de los activos de una escala superior.

3

A la hora de analizar los riesgos de Activos físicos se debe empezar por investigar

los riesgos generalizados de la parte superior del mapa jerárquico, si se prevee en

este caso que el principal es el edificio, reduciríamos considerablemente riesgos

en los demás activos sub-inferiores.

4

Los activos de servicios, son las empresas externas contratadas para prestar un

servicio para el funcionamiento de nuestra empresa.

Debes tener claro que lo principal moralmente es cuidar los activos humanos pero

para prevenir los riesgos a estos activos humanos, según una tabla jerárquica se

deben prevenir riesgos en los activos físicos y reduciría el riesgo en estos.

5

Función de los activos

Activos de Información

1) Bases de Datos

Esta recopila información de todo tipo, información local del SENA, logs de los

servicios prestados por el servidor, información de los aprendices, almacenar todo

tipo de información que quiera guardar los que tienen acceso a estas.

2) Sistemas Operativos

Son de vital importancia para nuestra entidad porque son la principal interfaz y

administración de los computadores físicos como tales, los usamos para nuestros

activos físicos como: Computadores, Celulares, Servidores, Routers, etc.

3) Configuraciones de Servicios

Estos son súper importantes porque son los que permiten que nuestro servidor

tenga una configuración adecuada para prestar los servicios, sin embargo estos

deben contar con backup, el cual será otro activo de información.

4) Backups

Son súper importantes porque se almacenan con el objetivo de subsanar un

problema que tenga la entidad, en estos encontramos respaldos de bases de

datos, configuraciones de servidores y configuraciones de dispositivos activos.

Activos Físicos

Infraestructura

1) Edificio Torre Norte CESGE

Es la parte superior de nuestro diagrama jerarquico, porque dentro de este activo

se encuentran todos los demás activos por lo tanto los riesgos que presente esta

edificación, serán directamente proporcionales a los demás activos.

2) Ambiente 5-7 CESGE

Esta es un activo intermedio en la escala del mapa jerárquico, en el cual se realiza

la formación de los aprendices, por lo tanto este activo es importante para el

desarrollo de los ―clientes‖ (Aprendices).

6

3) Cuarto de Telecomunicaciones

En este cuarto se encuentran los principales activos de hardware de TI, los cuales

son los que ayudan a prestar un servicio eficaz en los ambientes de aprendizaje:

Gabinetes, Routers, Switches, Cableado, etc.

4) Racks

Este contiene los dispositivos intermedios de la red, que ofrecen diversos

servicios.

5) Sillas y mesas

Estos activos permiten la comodidad para los clientes y soportan los diferentes

computadores.

Hardware de TI

1) Computadores de escritorio y portátiles

Estos activos son los principales respecto a la satisfacción de calidad del cliente,

porque con estos el cliente va a interactuar con la red y podrá realizar los

diferentes trabajos.

2) Servidores

Estos nos entregan los diferentes servicios a los cuales debemos accesar para

las diferentes tareas que se exigen a diario en la organización.

Ejemplo

Correo, Bases de Datos, Internet, etc.

3) Switches

Estos activos permiten la organización de los diferentes ambientes de formación,

sectorizados por Vlans. Permite también la conectividad múltiple (localmente) de

los equipos de cómputo.

7

4) Routers

Este activo recibe la conexión ISP y a su vez entrega el servicio a los diferentes

Switches capa 3.

5) Equipos de acceso inalámbrico (Access Point)

Estos activos permiten transmitir la señal de forma inalámbrica a los diversos

espacios del piso, edificio o el campus.

6) Firewall

Este dispositivo permite asegurar nuestra red, por medio de protección de puertos,

también bloquear el acceso no autorizado , permitiendo al mismo tiempo

comunicaciones autorizadas.

7) Celulares

Dispositivos de carácter personal que hacen uso de las redes inalámbricas, en la

transmisión de correos, navegación y comunicación.

8) UPS

Este activo de alimentación eléctrica ininterrumpida, conocido como UPS

proporciona energía eléctrica por un tiempo limitado y durante un apagón a todos

los dispositivos que tenga conectados.

9) Cableado

Este activo se refiere a todas las conexiones en general por medio de cableado

estructurado tanto horizontal como vertical.

8

Controles del entorno de TI

1) Alarma contra incendio

Este activo alerta sobre cualquier cambio de temperatura, dentro de los ambientes

del edificio.

2) Medidor de temperatura del cuarto de telecomunicaciones

Este permite regular una temperatura constante dentro del cuarto, con el fin de

mantener la temperatura adecuada para los diferentes dispositivos que allí se

encuentran.

3) Aire acondicionado

Ayuda a mantener una temperatura adecuada en los ambientes para los diferentes

computadores y el personal que allí se encuentre.

4) Lámparas

Nos permiten un nivel de iluminación homogénea de tal forma que los

componentes y/o asistentes no se vean cubiertos parcial o totalmente por

sombras. Permitiéndonos una luminosidad ideal.

Activos de Servicios de TI

1) Servicios de Electricidad

Es el fluido eléctrico que recibimos del exterior por una empresa externa que

proporciona el servicio.

2) Servicios de Red (ISP)

Este activo nos provee el servicio de internet, el cual es prestado por una

empresa externa.

9

Activos Humanos

1) Instructores

Este activo es de carácter humano, es el encargado de instruir a cada uno de los

aprendices en su proceso de formación. También hacen las veces de

administradores de algunos dispositivos y servicios necesarios para la red de los

ambientes.

2) Aprendices

Son los usuarios finales que interactúan directamente con la red.

Estos a su vez pueden llegar a ser una posible amenaza a los demás activos

Análisis de riesgos generalizados de los Activos

Activos de Información

1) Bases de Datos

Riesgo de que sean copiadas y utilizadas comercialmente para beneficio

ajeno, tanto por un posible hacker o el propio encargado de las BD.

También puede haber riesgo de que un virus ataque la BD y se pueda

perder información.

En una posible actualización de software puede ocurrir una eventual

pérdida de información o el mismo daño del software que maneje la BD.

2) Sistemas Operativos

El principal riesgo que corren los sistemas operativos es por ataque de

virus, que tiene por objeto alterar el normal funcionamiento de las

computadoras.

Falla de sistema.

10

3) Configuraciones de Servicios

Los servicios de red pueden implicar muchos riesgos para los sistemas:

Ataques de rechazo de servicio— Inundando un servicio con peticiones se

puede producir un ataque de rechazo de servicio que llevaría al sistema a

un estado suspendido, mientras este intenta responder a cada petición.

Ataques de vulnerabilidad de scripts — Si un servidor está usando scripts

para ejecutar acciones del lado del servidor, como usualmente hacen los

servidores Web, un pirata puede montar un ataque a los scripts que no

hayan sido escritos de forma apropiada. Estos ataques de vulnerabilidad de

scripts podrían llevar a una condición de desbordamiento de buffer o

permitir al atacante alterar archivos en el sistema.

Ataques de desbordamiento de buffer — Los servicios que se conectan a

puertos del 0 al 1023 deben ser ejecutados como un usuario administrativo.

Si la aplicación tiene un posible desbordamiento de buffer, un atacante

podría ganar acceso al sistema como el usuario ejecutando el demonio.

Debido a que los desbordamientos del buffer existen, los maleantes

informáticos usarán herramientas automatizadas para identificar

vulnerabilidades en los sistemas y una vez que han obtenido acceso,

utilizaran kits automatizados para mantener su acceso al sistema.

4) Backups

Las empresas recopilan grandes bases de datos y archivos de vital

importancia para su funcionamiento y muy pocas veces son conscientes de

los riesgos que supone la mala custodia y protección de sus datos. Uno de

los grandes riesgos es que los backups permanezcan salvaguardados en

un mismo lugar, dando lugar a una posible pérdida total de los datos.

Activos Físicos

Infraestructura

1) Edificio Torre Norte CESGE – Ambiente 5-7

Uno de los grandes riesgos que puede sufrir una edificación son los

movimientos telúricos, ya que estos pueden deteriorar o fragmentar sus

cimientos y llevarlo a un posible derrumbe.

También se pueden presentar diferentes tipos de incendios causados por

agentes externos y personas.

Humedad.

11

2) Cuarto de Telecomunicaciones

Pueden existir riesgos de polvo y electricidad estática, incendios, cortos

circuitos, etc.

3) Sillas y mesas

El gran riesgo que encontramos en estos elementos son ergonómicos, ya

que favorecen las posturas estáticas o provoca posturas forzadas. Cuanto

más estático y sedentario sea un trabajo, tanto más importante es que el

entorno facilite los movimientos y los cambios de postura.

4) Racks

Acceso de personas no autorizadas Humedad Hundimientos en los niveles de carga

Hardware de TI

En los centros de TI el riesgo de incendio es especialmente alto debido a la

alta concentración energética por la cantidad de sistemas eléctricos

instalados.

El riesgo de incendio típico en estas instalaciones son fuegos de

combustión lenta debido a cortocircuitos o defectos técnicos, que

normalmente se detectan una vez se ha producido el daño.

La principal causa de incendios son defectos técnicos de los equipos

eléctricos.

El riesgo de incendio es alto debido a la cantidad de sistemas eléctricos en

funcionamiento y la cantidad de calor disipada por estos.

Existe el riesgo de que gases de combustión y humo tóxico salgan o

alcancen el centro de TI debido a la falta de aislamiento entre los distintos

recintos de las instalaciones.

Los sistemas de protección contra incendios convencionales requieren la

desconexión del suministro eléctrico en caso de incendio.

Daños a la imagen, pérdida de la posición en el mercado.

12

1) Computadores de escritorio y portátiles Suspensión del fluido eléctrico Humedad Falla de disco Duro Bajón de energía Falta de refrigeración Fallas en el software Electromagnetismo Sobre carga eléctrica

2) Servidores Suspensión del fluido eléctrico Acceso de personas no autorizadas Humedad Falla de disco Duro Bajón de energía Falta de refrigeración Incendio Sobrecarga de procesamiento Falla de software Electromagnetismo

3) Routers, Switches y Firewall

Suspensión del fluido eléctrico Acceso de personas no autorizadas Humedad Falta de refrigeración Sobrecarga de procesamiento Electromagnetismo Polvo Daño de memoria

4) Equipos de acceso inalámbrico (Access Point)

Sobrecarga de procesamiento Suspensión del fluido eléctrico Humedad Administración por personas no autorizadas

13

5) Celulares

Estos activos son de carácter y propiedad personal, pero riesgos que puedan

correr estos dispositivos en el Ambiente 5-7:

Administración por personas no autorizadas

Electromagnetismo

6) UPS

Administración por personas no autorizadas

Humedad

Polvo

Electromagnetismo

Fallo de baterías

Falta de ventilación

7) Cableado

Electromagnetismo

Humedad

Intervención de personas no autorizadas

Mal manejo de temperatura

Suspensión del fluido eléctrico

Polvo

Incendio

Controles del entorno de TI

1) Alarma contra incendio

Corte del servicio eléctrico

Falla en el cableado

Activación inapropiada

Falla en los circuitos electrónicos y sensores

2) Medidor de temperatura de cuarto de telecomunicaciones

Batería

Acceso a los sensores

Desviación de información de temperatura

14

3) Aire acondicionado

Corte del servicio eléctrico

Polvo

Incendio

Taponamiento de conducto de ventilación

Apagado de extractores y ventiladores

4) Lámpara

Corte del servicio eléctrico

Falta de protección anti golpes en las bombillas

Caída de voltaje altos

Electromagnetismo

Activos de Servicios de TI

1) Servicios de Electricidad

Acceso a la subestación eléctrica de la infraestructura por personas no

autorizadas.

Inundación

Incendio

Organización y planeación de la red eléctrica

Manejo del polo a tierra

Falla de la planta eléctrica secundaria

Sobrecargas

2) Servicios de red

Daño de la fibra óptica

Sismo

Falta de ventilación

Red cableada expuesta para el acceso no autorizado

Red inalámbrica expuesta al acceso no autorizado

15

Activos Humanos

1) Instructores

Falta de inducción, capacitación y sensibilización sobre riesgos

Utilización de programas no autorizados / software'pirateado'

Infección de sistemas a través de unidades portables sin escaneo

Manejo inadecuado de datos críticos (Ej. no cifrar datos, etc.)

Unidades portables con información delicada sin cifrado

Transmisión no cifrada de datos importantes sin autorización.

Manejo inadecuado de contraseñas (inseguras, no cambiar, compartidas,

BD centralizada)

Compartir contraseñas o permisos a terceros no autorizados

Exposición o extravío de equipo, unidades de almacenamiento, etc.

Falta de definición de perfil, privilegios y restricciones del personal

Falta de actualización de software (proceso y recursos)

2) Aprendices

Falta de inducción, capacitación y sensibilización sobre riesgos

Mal manejo de sistemas y herramientas

Utilización de programas no autorizados / software 'pirateado'

Infección de sistemas a través de unidades portables sin escaneo

Unidades portables con información sin cifrado

Transmisión no cifrada de datos críticos

Manejo inadecuado de contraseñas (inseguras, no cambiar, compartidas,

BD centralizada)

Exposición o extravío de equipo, unidades de almacenamiento, etc

Falta de definición de perfil, privilegios y restricciones del personal

Sobrepasar autoridades

Fallas en permisos de usuarios (acceso a archivos)

Acceso electrónico no autorizado a sistemas externos

Red cableada expuesta para el acceso no autorizado

Red inalámbrica expuesta al acceso no autorizado

Falta de normas y reglas claras (no institucionalizar el estudio de los

riesgos)

Ausencia de documentación

16

3) Externos

Falta de inducción, capacitación y sensibilización sobre riesgos

Infección de sistemas a través de unidades portables sin escaneo

Transmisión no cifrada de datos críticos

Falta de definición de perfil, privilegios y restricciones del personal

Sobrepasar autoridades

Fallas en permisos de usuarios (acceso a archivos)

Acceso electrónico no autorizado a sistemas externos

Red cableada expuesta para el acceso no autorizado

Red inalámbrica expuesta al acceso no autorizado.

En el siguiente diagrama de forma jerárquica se explica y demuestra la relación

directa de los activos en orden, por ejemplo el activo central es el edificio de la

torre norte, porque dentro de este activo se encuentran todos los demás activos.

Pero valorando el índice de importancia los activos más importantes, obviamente

es preservar la vida humana sobre cualquier otro activo físico.