CURSO BÁSICO DE CIBERDEFENSA Material de Autopreparación

Prof. Lic. Marisa Andrea Malvaso 1

CURSO BÁSICO DE CIBERDEFENSA

Material de Autopreparación

▪ Conceptos básicos de Seguridad de la Información (SI)

▪ Historia y Actualidad

▪ Vulnerabilidades

Contenido

Prof. Lic. Marisa Andrea Malvaso

Conceptos básicos de Seguridad de la Información

Definiciones y GeneralidadesControl de Accesos


C I A

¿Cómo garantizar la seguridad de un sistema?– DESCONECTÁNDOLO DE LA RED

Objetivos de seguridad en un entorno de información:– CIA

▪ Confidencialidad

▪ Integridad

▪ Disponibilidad

– Resiliencia

Seguridad de la Información:– Se logra implementando los controles adecuados

– Considerar los requerimientos de seguridad

– Factor tiempo


Seguridad Informática


Identificación y Autenticación

Identificación: ¿quién soy?– Características de las identidades digitales

– Concepto de identidades federadas

Autenticación: soy quien digo ser– Factores:

▪ Algo que sé

▪ Algo que tengo

▪ Algo que soy

▪ Por contraseñas

▪ Por contraseñas de única vez (OTP)

▪ Claves criptográficas

▪ Biometría


Autenticación

▪ Seguridad limitada: usuario, administrador, sistema

▪ Parámetros de seguridad a considerar

▪ Almacenamiento seguro

▪ Ataques a las contraseñas:– Monitoreo electrónico

– Acceso a los archivos de contraseñas

– Ataques de fuerza bruta

– Ataques de diccionario

– Ingeniería social

– Tablas rainbow


Autenticación: contraseñas

▪ One-time passwords (OTP)

▪ Utilización de Tokens:– Dispositivos sincrónicos vs. asincrónicos


Autenticación: contraseñas de única vez

Token sincrónico

Token asincrónico

▪ Concepto de clave pública y clave privada

▪ Firma digital adjunta a un mensaje– Cifrar el hash de un mensaje con una clave privada


Autenticación: claves criptográficas

TEXTO PLANOTEXTO CIFRADO

TEXTO PLANO

CRIPTOSISTEMA CRIPTOSISTEMA

CLAVE PÚBLICACLAVE PRIVADA

CIFRADO

TEXTO PLANOTEXTO PLANO +FIRMA DIGITAL

TEXTO PLANOCRIPTOSISTEMA CRIPTOSISTEMA

CLAVE PRIVADA CLAVE PÚBLICA

HASH DEL TEXTO PLANO



FIRMA DIGITAL

Autenticación: biometría

▪ Tipos– Huellas dactilares

– Exploración de palma

– Geometría de mano

– Exploración de retina

– Exploración de iris

– Dinámica de la firma (velocidad y escritura)

– Dinámica de tipeo en el teclado

– Impresión de voz

– Exploración facial

– Topología de mano

▪ CER (Crossover Error Rate)– Errores de TIPO I

– Errores de TIPO II


▪ Utilización de dos o más factores– Desventajas de cada factor


Autenticación fuerte

ALGO QUE SE

ALGO QUE TENGO

CREDENCIAL

ALGO QUE SE

ALGO QUE SOY

CREDENCIAL

▪ Autorización: ¿qué puedo hacer?– Por defecto: nada

– Matriz de Control de Accesos

– Criterios de accesos reforzados a través de:

▪ Roles

▪ Grupos

▪ Ubicación

▪ Tiempo

▪ Tipo de transacción

– Principios importantes:

▪ Segregación de Funciones

▪ Necesidad de Conocer (menor privilegio)


Autorización

▪ Registro de eventos: ¿qué hice mientras estuve dentro del sistema?– Trazabilidad de transacciones

– Registros de Auditoría

– Herramientas a utilizar en diferentes sistemas:

▪ Sistemas operativos

▪ Equipos de conectividad de red

▪ Bases de Datos

▪ Dispositivos de seguridad

▪ Aplicaciones

– Sincronización de eventos

– Correlación de eventos


Registro de Eventos

▪ Desafíos a considerar: – Identificar unívocamente a cada persona

– Otorgar, modificar y revocar accesos

– Múltiples identificadores vs. SSO

– Ciclo de vida de las identidades digitales

– Auditoría y monitoreo de identidades digitales


Gestión de Identidades

▪ Primer línea de defensa

▪ Modelos de control de acceso:– Discrecional (DAC)

– Mandatorio (MAC)

– Basado en Roles (RBAC)


Proceso de Control de Acceso

Identificación•Nombre de

usuario

•DNI

Autenticación

•Contraseña

•OTP

•Clave criptográfica

•Biometría

Autorización

•Matriz de roles

•Grupos

•Permisos individuales

Registro de Eventos

Historia y Actualidad

HackersIngeniería Social


▪ Originalmente:– Experto técnico apasionado que ignora las reglas

▪ Evolución de la terminología:– Experto técnico apasionado que descubre y explota vulnerabilidades en un

sistema de cómputo o red


Hackers

WHITE HAT

BLACK HAT

Ethical hacking…

▪ Nos tomamos unos 10 minutos para ver lo que se viene en acción…– Mr Robot – Cap 5 - minuto: 4:45


Actualidad

Se define Ingeniería Social de varias formas.

Interesa en este caso en el contexto de reducir la explotación de las brechas de seguridad.

La seguridad de la información es sólo tan fuertecomo el lugar más débil donde la misma se guarda o se utiliza.

Si alguien gasta todos sus esfuerzos por ingresar a los sistemas, o vulnerar un perímetro de seguridad, y no puede porque utilizan fuertes medidas de seguridad tecnológica, atacará a los individuos que usan los sistemas para escalar privilegios y llegar a los sistemas objetivo.


Ingeniería Social

▪ Explota vulnerabilidades de naturaleza humana: técnicas de manipulación.

▪ Se obtiene la mayor cantidad de información posible de diferentes medios.

▪ Explota las siguientes características:– Ausencia de conocimiento de clasificación de información

– No aplicación de “necesidad de conocer”

– Privilegios excesivos (control de accesos)

– Mala gestión de identidades digitales

– Ausencia de entrenamiento y conciencia de seguridad


Características

Haciendo foco en aquellas que extienden los métodos tecnológicos:

▪ Intervención en procedimientos de reseteo contraseñas

▪ Encuestas sobre normas técnicas y productos utilizados

▪ Perfiles falsos de redes sociales

▪ Ataques de phishing extendidos (spear phishing)

▪ Enfocarse en organizaciones externas al foco de ataque (caso RSA)


Estrategias de ataque de SI

▪ Políticas de Seguridad– La importancia de las políticas de seguridad

– La importancia de la comunicación de las mismas

– Políticas de seguridad fuertes

▪ Desde el punto de vista de especificaciones técnicas

▪ Seguir estándares:– ISO/IEC 27002:2013

▪ Cláusula 7: Seguridad de los Recursos Humanos (programas de concientización)

▪ Cláusula 11: Seguridad física y ambiental

▪ Cláusula 12: Seguridad de las operaciones (backup, antimalwares,…)

▪ Cláusula 15: Relación con los proveedores


Algunas Estrategias de Protección para SI

Tres objetivos:

1. Medir la postura de seguridad de la organización y cuán simple es ganar acceso no autorizado a los recursos.

2. Medir la efectividad de la ejecución de un plan de concientización de usuarios u otras intervenciones que se hayan realizado para mejorar la seguridad.

3. Mejorar el conocimiento técnico del personal de TI de la organización que haya sido designado para realizar la evaluación.


Evaluación Interna de SI

Vulnerabilidades

Definiciones y Gestión de RiesgosMalwaresAPTs


RIESGO

Términos clave:

– Vulnerabilidades

– Amenazas

– Factor de amenaza

– Factor de Exposición

– Impacto


Definiciones

Amenazas y Vulnerabilidades

AMENAZAS

▪ Naturales:– inundaciones, incendios del entorno, ciclones,

lluvia/granizo, plagas, terremotos.

▪ Accidentales: – incendios provocados por el hombre, agua,

daño/derrumbe de edificio, pérdida de servicios públicos, fallo en los equipos.

▪ Físicas Premeditadas: – bombas, incendios premeditados, agua, robo.

▪ Intangibles premeditadas: – fraude, espionaje, intrusos (hackers), robo de

identidad, código malicioso, ingeniería social, ataques por phishing, ataques de negación de servicios.

VULNERABILIDADES


▪ Software defectuoso

▪ Equipo configurado de forma defectuosa

▪ Equipo configurado de forma inapropiada

▪ Supervisión de cumplimiento inadecuada

▪ Diseño deficiente de redes

▪ Procesos defectuosos o incontrolados

▪ Gestión inadecuada

▪ Personal insuficiente

▪ Falta de conocimiento para brindar soporte a usuarios o ejecutar procesos

▪ Falta de funcionalidad en la seguridad

▪ Falta de mantenimiento apropiado

▪ Elección ineficiente de contraseñas

▪ Tecnología no probada

▪ Transmisión de comunicaciones no protegidas

▪ Falta de redundancia

▪ Comunicaciones gerenciales deficientes

DEFINICIÓN

▪ Software malicioso (incluyendo virus, troyanos y gusanos) que han sido desarrollados para atacar, quebrantar y/o comprometer otras computadoras o redes.

▪ Generalmente tienen un payload de instrucciones que le dicen al sistema qué hacer luego de haber sido comprometido

▪ Los exploits son componentes de los malwares, ya que son piezas de software que permiten abusar de vulnerabilidades específicas con una finalidad posterior.


MALWARES

APT: grupo de actores hostiles que realizan campañas coordinadas y extendidas en el tiempo para alcanzar un objetivo que satisface un propósito ofensivo– No es un malware– No es un conjunto de malwares– No es una actividad única...

▪ Múltiples fases:– Objetivo / orientación– Acceso / compromiso– Reconocimiento (descubrimiento)– Movimiento lateral– Recolección de datos y exflitración– Administración y mantenimiento


APTs

Sin prevención no hay seguridad…


Consultas:

[email protected]

Información adicional:

Material para estudio -guia (1.1.4 y 1.1.5)


mailto:[email protected]

CURSO BÁSICO DE CIBERDEFENSA Material de Autopreparación

Documents

Transcript of CURSO BÁSICO DE CIBERDEFENSA Material de Autopreparación