Mitigar los riesgos de seguridad en la periferia de la red

Informe / Seguridad

Mitigar los riesgos de seguridad en la periferia de la red

Prácticas recomendadas para las empresas distribuidas

CONTENIDO:

+ Amenazas en la empresa distribuida y estrategias para obtener redes más seguras.

+ Tareas obligatorias en la configuración de la red.

+ Información sobre la seguridad basada en la nube, cumplimiento de las normas PCI y redes paralelas.

+ Dos métodos para aumentar la seguridad.

CUANDO SE PRODUCE UNA INFRACCIÓN DE LA SEGURIDAD, EL 90% DEL

TIEMPO PROMEDIO DE LA RESOLUCIÓN SE EMPLEA

EN IDENTIFICAR EL PROBLEMA.1

EN LOS MÁS DE

1300 INCIDENTES DE VIOLACIONES DE DATOS

EN 2013:

EL 91% DE LOS INCIDENTES SE

ORIGINARON EN EL EXTERIOR.

EL 88% TARDÓ MINUTOS EN AFECTAR Y AFLORAR.

EL 85% TARDÓ SEMANAS EN DETECTARSE.

EL 45% INCORPORÓ MALWARE.2

TODOS ESTOS PORCENTAJES

HAN AUMENTADO SIGNIFICATIVAMENTE

DESDE EL AÑO ANTERIOR.

Informe / Seguridad

©2015 Cradlepoint. Todos los derechos reservados. | +1.855.813.3385 | cradlepoint.com 2

Cada año, los especialistas en relaciones públicas de al menos una de las grandes corporaciones trabajan a contrarreloj en un intento de explicar a un público enfadado y asustado, con razón, qué ha sucedido para que su empresa pusiese en riesgo los datos del cliente. Lo primero que se ve afectado de forma inmediata es la reputación de la empresa que tiene como resultado una pérdida de la fidelidad de la marca ya que los clientes se llevan sus negocios a otro sitio. Y, por supuesto, las infracciones de seguridad tienen también muchas otras consecuencias. Impactos potenciales de una infracción de datos:

+ Costes legales

+ Pérdida de ingresos o de productividad debido a la falta de disponibilidad de los recursos de producción

+ Multas por violación de las normas de cumplimiento de privacidad

+ Multas por infracción del Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago

+ Pérdida de información patentada, competitiva o intelectual

+ Pérdida de beneficios futuros como consecuencia de la incapacidad de demostrar un proceso de seguridad sólido para clientes, proveedores y socios

Como puerta de enlace a Internet, las empresas distribuidas en la periferia de la red son muy vulnerables ante las amenazas de seguridad.

Oficina central


Informe / Seguridad

RIESGOS EN LA PERIFERIA

Las empresas con cientos o miles de ubicaciones se enfrentan a grandes desafíos constantes para mantener la seguridad de la red y se encuentran en una situación particular de alto riesgo de sufrir infracciones de datos. La periferia de la red, que es la zona más vulnerable, debe protegerse muy bien frente a las vulnerabilidades, amenazas y ataques de programas maliciosos. Los ciberdelincuentes ven en la periferia de la red un blanco fácil puesto que las ubicaciones distribuidas suelen procesar datos altamente sensibles (como las tarjetas de crédito), pero cuentan con prácticas de seguridad no muy sólidas.

Los factores que contribuyen a la debilidad de la seguridad en la periferia de las redes de empresas distribuidas son:

+ Falta de soporte de TI in situ. Las medidas de seguridad como actualizaciones del firmware y aplicación de políticas (reglas de firewall, listas de control de acceso, configuraciones inalámbricas y VLAN) deben llevarse a cabo de forma regular, pero, sin personal de TI in situ, se suelen pasar por alto con facilidad. Incluso las sucursales con soporte de TI in situ rara vez disponen de los conocimientos propios necesarios para implementar y mantener una configuración compleja de la seguridad.

+ Ausencia de concienciación de la seguridad por parte del empleado. En la era del BYOD o “Trae tu propio dispositivo”, los dispositivos de los empleados que acceden a la red corporativa presentan vulnerabilidades a través de puntos de acceso no autorizados, ataques de suplantación de la identidad o fraude electrónico y otros ataques de ingeniería social. Si no cuentan con la formación adecuada, los empleados pueden poner en riesgo a la empresa al abrir correos electrónicos o pulsar en enlaces que permiten la entrada de programas maliciosos en su dispositivo y en la red.

+ Acceso a la red de clientes y de terceros. Muchas empresas interactúan con terceros que requieren acceso a Internet. Por ejemplo, un proveedor HVAC puede solicitar el uso de la red de la empresa para supervisar y ajustar los valores de calefacción y aire. Los kioscos dentro de los establecimientos necesitan acceso a la red para transmitir datos, y los clientes necesitan WiFi para sus dispositivos móviles mientras realizan las compras.

Con tantos agentes que necesitan acceso a Internet e innumerables riesgos derivados de las violaciones de la seguridad, las empresas deben mantenerse alerta en el desarrollo, actualización y aplicación de políticas de seguridad en la periferia de la red.

LAS EMPRESAS CON SUCURSALES O UBICACIONES

DISTRIBUIDAS DE PEQUEÑO TAMAÑO

SON LAS QUE ESTÁN EN SITUACIÓN DE MAYOR

RIESGO DE SUFRIR INFRACCIONES DE DATOS.

EL 80% DE LAS INFRACCIONES DE

DATOS DEL SECTOR MINORISTA TUVO LUGAR EN ESTABLECIMIENTOS

CON MENOS DE 100 TRABAJADORES.

EL 24% DE LOS ATAQUES AFECTÓ AL SECTOR DE LA

INFORMACIÓN Y SERVICIOS PROFESIONALES.

EL 34% DE LAS INFRACCIONES DE DATOS TUVIERON REPERCUSIÓN EN LAS ORGANIZACIONES

FINANCIERAS.

EL 20% DE LOS ATAQUES IBA DIRIGIDO AL SECTOR DE FABRICACIÓN Y SECTORES

RELACIONADOS.

EL 30% DE LAS INFRACCIONES DE DATOS

SE REALIZAN A TRAVÉS DE LOS DISPOSITIVOS DE LOS

USUARIOS.3

Informe / Seguridad


ARQUITECTURAS DE RED DE LA EMPRESA DISTRIBUIDA

MODELO HUB-AND-SPOKE: ACCESO CONTROLADO A UN CENTRO DE DATOS CENTRALIZADO

“Hub-and-Spoke” es una arquitectura que aprovecha redes privadas virtuales (VPN) o puertas de enlace privadas en la nube. Algunas redes privadas virtuales no utilizan codificación para proteger la privacidad de los datos. Aunque algunas VPN suelen ofrecer seguridad, una red de solapamiento sin codificación no encaja muy bien en la categorización de seguro o fiable. Las redes VPN se deben configurar para actuar como puerta de enlace a uno o más segmentos del entorno, aplicando requisitos sólidos de autenticación, funciones de inspección de puntos finales e integración con los escritorios virtuales, dispositivos de propietario o tecnologías de puntos de venta.

LA ARQUITECTURA HUB-AND-SPOKE

UTILIZA VPN PARA GARANTIZAR

EL ACCESO CONTROLADO A UN CENTRO DE DATOS

CENTRALIZADO.

Conexiones a Internet no seguras

Red VPN segura

Oficina central

Establecimiento

VENTAJAS

Seguridad. Para diversas ubicaciones remotas, una red VPN puede evitar el coste que supondría una conexión a Internet dedicada. El mantenimiento del establecimiento de una conexión LAN a través de una VPN de Internet es muy bajo en comparación con las soluciones tradicionales de línea dedicada. Con una codificación y una autenticación adecuadas, la arquitectura VPN constituye una solución altamente escalable y rentable para la transmisión segura de los datos. Detección de amenazas. Los datos se pueden analizar durante su transmisión por la red y utilizar para identificar amenazas o infracciones potenciales. La implantación de la misma infraestructura de prevención de intrusos en el núcleo de la red de las sucursales minimiza las posibilidades de errores de configuración en la periferia de la red.

Control. Las empresas encargadas de transmitir o almacenar datos altamente sensibles pueden sentirse más seguras al controlar la implementación y el mantenimiento de la arquitectura de seguridad.

RIESGOS

Errores de planificación y configuración. El uso de una VPN exige un alto nivel de planificación y configuración además de una actualización regular del firmware del router y de la aplicación de políticas de seguridad. Las redes se deben configurar adecuadamente y mantener de forma periódica. La existencia de segmentos configurados de forma inadecuada puede crear brechas en la seguridad en la red central, que los hackers pueden aprovechar para acceder a los datos sensibles. La seguridad física también es importante para impedir el robo del router/puerta de enlace de la periferia, que se puede utilizar para acceder a las redes corporativas y a los datos sensibles.

CLAVE PARA EL ÉXITO Proteja la arquitectura hub-and-spoke mediante aislamiento y segmentación. En el pasado muchas organizaciones utilizaban una arquitectura de firewall único o dual que dividía las redes en segmentos en las capas 3 y 4, limitando los rangos de direcciones IP y los puertos del Protocolo de control de transmisión (TCP) y del Protocolo de datagrama de usuario (UDP) que podían pasar a un segmento o a otro. Aunque esta arquitectura de seguridad de la red sigue siendo todavía la más común, cada vez más organizaciones están empezando a controlar el tráfico en las capas superiores y a utilizar tecnologías emergentes que facilitan la captura, el análisis y el control del tráfico.Si desea obtener más información, consulte la página 11, “Dos métodos para aumentar la seguridad”.

LA NUBE Y LOS SERVICIOS DE SEGURIDAD Muchas organizaciones quieren disfrutar del ahorro de costes y de los procesos eficaces de la nube, pero no quieren sacrificar los niveles tradicionales de control y seguridad. Las soluciones tradicionales de seguridad de redes exigen el uso de hardware caro y con demasiadas características, interfaces arcaicas de líneas de comandos, cursos de formación intensiva de varios días, programas de certificación y manuales de 400 páginas. Si la seguridad es demasiado compleja, aumentan las posibilidades de errores de configuración y consecuencias no esperadas. Para aquellas empresas distribuidas con poco soporte de TI in situ o con ninguno, la seguridad basada en la nube ofrece visibilidad, configuración y control de miles de dispositivos en cualquier punto del planeta. Lo ideal sería que las empresas distribuidas utilizaran soluciones de seguridad que combinasen la inmediatez de la gestión local con la simplicidad y el control centralizado de la nube.


Informe / Seguridad

Informe / Seguridad


VENTAJAS

Escalabilidad y concentración. Aumentar el nivel de la arquitectura de seguridad basada en la nube se puede realizar de forma más sencilla y más rentable, con menos planificación que la que exigen las arquitecturas tradicionales basadas en hardware. Los procesos relacionados con la seguridad, las respuestas a las amenazas, las actualizaciones y los parches de seguridad se pueden aplicar con mayor rapidez a través de la arquitectura de aplicaciones de seguridad basada en la nube. Gestión de amenazas. El tráfico web se puede autenticar, codificar y filtrar rápida y dinámicamente con una latencia de casi cero. Los ataques externos de Internet se pueden rechazar al tiempo que se detectan e impiden los programas maliciosos locales.

Respuesta a las amenazas. A diferencia de muchas soluciones in situ, los registros de sucesos y alertas se pueden filtrar de forma dinámica a través de algoritmos basados en la nube para obtener una supervisión más detallada y analítica aplicable.

Enrutamiento del tráfico más flexible. Los protocolos simplificados de seguridad y túneles basados en la nube para proteger los datos en transición se pueden configurar e implementar entre los sitios remotos y las oficinas centrales corporativas con mucha mayor rapidez y sin el coste de las cabeceras de hardware tradicionales.

Aislamiento de datos. Las empresas pueden aislar los datos sensibles, como la información del titular de la tarjeta, de las aplicaciones de blanco frecuente como el correo electrónico.

RIESGOS

Pérdida de control. En un modelo basado en la nube, los datos y la información se almacenan en un proveedor de terceros. Por ello, no es fácil inspeccionar las prácticas del manejo de datos del proveedor. Y, aunque sucede pocas veces, siempre existe la posibilidad de que un empleado deshonesto del proveedor de la nube comprometa los datos.

Tiempo de resolución. Para empresas con organizaciones dotadas con el personal de TI necesario, los problemas relacionados con las soluciones in situ se pueden abordar iniciando sesión directamente en el dispositivo con el fin de ofrecer soporte al proveedor con mayor rapidez. Respecto a las soluciones basadas en la nube, el personal de TI debe abrir una incidencia y trabajar externamente para solucionar los problemas, lo cual puede aumentar el tiempo de resolución.

Personalización. Con el nivel adecuado de presupuesto, recursos y tiempo, las soluciones in situ se pueden personalizar para cumplir las necesidades de seguridad específicas de una organización y ofrecer, al mismo tiempo, un conjunto sólido de soluciones. En las ofertas de seguridad basadas en la nube, el personal de TI puede abordar las vulnerabilidades de la red pero, a cambio, pierde un nivel de personalización en favor de la velocidad y la escalabilidad.

Uso compartido de recursos y errores de aislamiento. En un modelo de seguridad basado en la nube, los clientes comparten los recursos del proveedor con otros clientes. Los proveedores de la nube suelen implementar medidas de aislamiento para impedir un ataque de “abordaje al sistema anfitrión” o un ataque pívot (en el que un hacker aprovecha las vulnerabilidades de un sistema operativo para obtener acceso a otro alojado en el mismo hardware físico), pero siempre existe el riesgo de que fallen estas medidas. Como los servicios en la nube se ofrecen a diversos clientes con distintos niveles de riesgo, es fundamental la segmentación multitenencia (separación de los recursos del usuario por proveedor de nube).

Además, es posible que el proveedor no pueda borrar completamente los datos del hardware, ya que los clientes suelen compartir o reutilizar el hardware que otros clientes utilizan.

Seguridad comprometida desde dentro. Si no se configuran con cuidado los permisos y roles de usuario, un usuario podría suprimir o modificar sus datos dentro de la solución en la nube. Por ejemplo, un empleado nuevo en la solución con acceso administrativo a la solución en la nube podría suprimir datos importantes mientras intenta conocer la nueva solución o un empleado malintencionado podría comprometer los datos deliberadamente.

Informe / Seguridad


Portabilidad de los datos. Puede resultar difícil, si no imposible, trasladar datos si necesita cambiar de proveedor en la nube, a menos que haya un acuerdo previo entre el proveedor y la empresa que especifique que la información es propiedad de la empresa.

CLAVES PARA EL ÉXITO

Maximice y automatice los servicios en la nube con servicios de gestión de amenazas. Además de implementar controles y técnicas de aislamiento, las empresas distribuidas pueden disminuir los costes y la complejidad de la red mediante la reducción de su infraestructura hasta cierto punto y seguir utilizando seguridad multicapa en todos los sitios. Los servicios de gestión de amenazas ofrecen una combinación de servicios como protección contra malware, protección de correo electrónico y antispam, filtrado de contenido, reglas de firewall de capa 3 y 4 tradicional, VPN y funciones de proxy web. Muchos de estos sistemas incluyen además seguridad basada en la nube, escalable y centralizada como oferta de servicio para aumentar y automatizar la inspección del tráfico y proporcionan controles más estrictos de los sitios con herramientas de supervisión y personal limitado.

Para muchas empresas, el cumplimiento de la normativa es el motor principal de los cambios tanto en seguridad como en operaciones de TI en general. Cualquier tecnología o cambio del diseño interno que pueda limitar o reducir el alcance del entorno sujeto al cumplimiento puede ahorrar dinero y tiempo. El aislamiento de sistemas, aplicaciones y segmentos de redes que gestionan los datos de las tarjetas de pago, por ejemplo, puede llegar muy lejos en el límite del alcance de las auditorías de las normas PCI DSS versión 3.0.

INCLUSO EMPRESAS QUE NO PROCESEN

PAGOS DE TARJETAS DE CRÉDITO DEBERÍAN

CONSIDERAR LA IMPLEMENTACIÓN

DE PCI DSS 3.0 COMO BASE DE LA

SEGURIDAD GENERAL. MUCHOS ESTÁNDARES DE SEGURIDAD PCI SE OCUPAN DE RIESGOS

GENERALES DE LA RED FUERA DEL ÁMBITO

DE LA SEGURIDAD DE DATOS DEL TITULAR

DE UNA TARJETA.

Conexiones a Internet seguras

Conexión de red privada virtual

Establecimiento

Oficina central

Informe / Seguridad


ESTRATEGIAS PARA UNA RED MÁS SEGURA APLICAR VISIBILIDAD DE DISPOSITIVOS, LA CLAVE DE TODA ESTRATEGIA DE SEGURIDAD

Con muchos dispositivos móviles nuevos uniéndose a la red WLAN de la empresa, la visibilidad de las aplicaciones móviles se está convirtiendo en un aspecto central. Los administradores de la red necesitan poder identificar, seguir y clasificar todos los dispositivos que acceden a la red. La visibilidad de dispositivos proporciona al personal de TI inventario e inteligencia de seguridad en tiempo real para la remediación activa al tiempo que permite a los usuarios conectarse a la perfección a la red sin interrupciones ni cambios en la experiencia del usuario final.

Prácticas recomendadas para la aplicación de la visibilidad de dispositivos:

+ Utilice diversos criterios para identificar dispositivos además de las direcciones MAC e IP (que pueden falsificarse) como Id. de dispositivos e identificadores del sistema que usen convenciones de denominación específicas

+ Aproveche al máximo las herramientas de auditoría y cumplimiento para ofrecer información adicional sobre riesgos y vulnerabilidades

+ Habilite alertas y acciones de cumplimiento para dispositivos que intenten acceder a la red

+ Realice auditorías de forma periódica y mantenga las topologías de redes (lógicas y físicas) actualizadas y precisas

+ Utilice un conjunto común de controles de seguridad para la gestión de las políticas

+ Establezca prácticas recomendadas de seguridad en relación con el control, riesgo y cumplimiento

+ Colabore y comuníquese con los equipos de dentro de la organización de TI

REDES Y DISPOSITIVOS SEGUROS FÍSICAMENTE

El estándar de seguridad PCI exige que los servidores, el equipo de redes y otros componentes del sistema de tarjetas de pago se mantengan en una sala cerrada con llave y con control de acceso, preferiblemente con un sistema de vídeovigilancia.4 Esto disminuye el riesgo de robo de un dispositivo con acceso a la red por parte de un individuo no autorizado. La seguridad física de los dispositivos también impide que los ciberdelincuentes ataquen dispositivos ajenos al router que podrían supervisar para robar datos de la red.

EVALUACIONES PERIÓDICAS DE SEGURIDAD

Durante una evaluación de la seguridad, un asesor profesional “ataca” la red para identificar y recomendar controles en torno a las debilidades que encuentre en las arquitecturas de seguridad, incluidas la seguridad física, la fortaleza de las claves del dispositivo, la configuración de la red y las vulnerabilidades del dispositivo del cliente. Las pruebas periódicas de penetración de la red o las evaluaciones de la seguridad son obligatorias para el cumplimiento de las normas PCI. El objetivo es probar el acceso desde entornos de baja seguridad a entornos de alta seguridad. Esta práctica evalúa si los datos del titular de la tarjeta se han aislado de los otros segmentos de la red y comprueba que no exista conectividad entre las redes dentro del ámbito y fuera del ámbito (redes que contienen los datos de los titulares de las tarjetas y las que no contienen estos datos). Las empresas con un alto número de prestaciones o componentes del sistema solo pueden evaluar una muestra del número total de componentes, aunque la muestra debe ser lo suficientemente grande para ofrecer una garantía razonable de que todas las prestaciones o componentes de la empresa se han configurado siguiendo el proceso estándar. El asesor de seguridad debe comprobar que los controles estandarizados y centralizados se han implementado y que funcionan de forma eficaz.5 El estándar de seguridad PCI recomienda realizar las pruebas de penetración como mínimo una vez al año.


Informe / Seguridad

ENSEÑAR A LOS EMPLEADOS A RECONOCER ATAQUES A LA RED

Desgraciadamente, no hay ningún firewall o programa antivirus capaz de proteger la red a la perfección contra todos los tipos de programas maliciosos. Por lo tanto, la empresa debe enseñar y aplicar protocolos de seguridad de empleados. En particular, se debe formar a los empleados para que sean capaces de reconocer correos electrónicos de suplantación de la identidad e informar de ellos.

Los empleados deben conocer las señales comunes de un correo electrónico de suplantación de la identidad:

+ Se insta al empleado a hacer clic en enlaces, especialmente en unos que no resultan familiares o que no encajan con la dirección web supuesta del origen

+ Se solicita de manera urgente que se proporcione información, que se llame a un número de teléfono o que se descarguen los archivos adjuntos

+ Mala ortografía o gramática atípica

TAREAS OBLIGATORIAS EN LA CONFIGURACIÓN DE LA RED

1. BLOQUEE LOS PUNTOS DE ENTRADA DEL ROUTER

+ Deshabilite Universal Plug & Play. No permita que usuarios sin privilegios manipulen la configuración de la red.

+ Deshabilite los pings WAN. No permita que los hackers sondeen las vulnerabilidades de seguridad.

+ Deshabilite la administración remota. No permita que los intrusos puedan acceder a la interfaz de usuario del router.

+ Utilice filtrado MAC. Cree una lista de dispositivos que tengan acceso exclusivo o ninguno a la red inalámbrica. Aunque las direcciones MAC se pueden falsificar, crean una barrera adicional para el ciberdelincuente.

+ Utilice las reglas de filtrado de IP. Restrinja el acceso remoto a los sistemas de la red local.

+ No utilice direcciones IP WAN públicas a las que se puede acceder en la periferia. De ser así, se deja la periferia de la red abierta a los ataques.

LOS FRENTES DE AMENAZAS WEB Y DE CORREO ELECTRÓNICO

CONSTITUYEN LA FUENTE DE ATAQUES

DE LA RED MÁS SIGNIFICATIVA. EN

GENERAL, LOS ATAQUES PROCEDENTES DE

ACTIVIDADES EN LA WEB SON CINCO VECES

MÁS PROBABLES QUE LOS ATAQUES DE

CORREO ELECTRÓNICO.6

Informe / Seguridad


2. CONFIGURE EL FIREWALL DE LA RED PARA CUMPLIMIENTO DE LAS NORMAS PCI

Cinco controles para el cumplimiento PCI:

+ Stateful Packet Inspection (Inspección superficial de paquetes - SPI). Supervisa el tráfico saliente y entrante para garantizar que solo las respuestas válidas a las solicitudes salientes puedan atravesar el firewall.

+ Reglas de reenvío de puerto. Abre los puertos en el firewall de una manera controlada para aplicaciones específicas.

+ Antisuplantación. Comprueba los paquetes para protegerlos contra usuarios malintencionados que falsifican la dirección de origen en los paquetes para ocultarse o bien suplantar a otra persona.

+ Zona desmilitarizada. Mantiene la mayoría de los ordenadores detrás de un firewall, y uno o varios se ejecutan fuera del firewall, o en la zona desmilitarizada (DMZ) con el fin de añadir una capa de seguridad adicional a la red de la empresa y que los ciberdelincuentes solo puedan acceder a los ordenadores de la red dentro de la zona desmilitarizada.

+ Firmware actualizado. Además de ser una práctica de seguridad importante, es necesario que el router y el firmware del módem estén actualizados para poder cumplir las normas PCI.

Aunque las prácticas mejoradas de implementación, mantenimiento y aplicación de la seguridad en la red son estrategias importantes para reducir el riesgo de violación de datos, recomendamos la segmentación de la red o, incluso mejor, el uso de redes paralelas específicas de una aplicación que garantice que las vulnerabilidades de seguridad de una aplicación no se puedan comprometer y dar paso a los datos de otras aplicaciones, como los sistemas de puntos de venta.

DOS MÉTODOS PARA AUMENTAR LA SEGURIDAD

1. CREAR ZONAS DE SEGURIDAD MEDIANTE LA SEGMENTACIÓN DE RED

La segmentación de red permite dividir la red en “zonas de seguridad” o segmentos separados por un firewall. Los segmentos configurados de forma adecuada separan las aplicaciones e impiden el acceso a los datos sensibles. Un sistema de punto de venta, por ejemplo, debe operar en un segmento de la red separado de las aplicaciones de terceros, correo electrónico de los empleados y WiFi público.

Esto limita la posibilidad de que los ciberdelincuentes pasen de una aplicación a otra, y permite que los administradores de red gestionen la calidad del servicio (QoS) en segmentos específicos, priorizando el uso del ancho de banda para aplicaciones fundamentales.

Primeros pasos en la segmentación de red

La segmentación de red es un proceso complejo y requiere una supervisión meticulosa y constante. Esta arquitectura, aunque es altamente segura si se configura adecuadamente, puede dar lugar a muchos errores en la configuración. Siga estos tres pasos para empezar:

+ Cree grupos de puertos Ethernet. La agrupación lógica de puertos Ethernet permite la comunicación libre entre los ordenadores conectados físicamente a los puertos Ethernet dentro de un grupo. Puede deshabilitar uno o todos los SSID del router o incluso toda la radio WiFi.

+ Utilice la infraestructura WPA2/Enterprise, RADIUS/TACACS+ y PKI. Esto proporciona un repositorio central para usuarios o dispositivos con permiso para acceder a la red y utiliza certificados para autenticar el servidor y el dispositivo.

+ Utilice una infraestructura PKI para conseguir mayor seguridad.

+ Utilice autenticación de dos factores para minimizar el robo de cuentas de usuario que utilizan empresas terceras.

+ Cree y configure segmentos VLAN. Una red VLAN permite la agrupación de dispositivos. Después de crear una red VLAN, seleccione los puertos LAN o los grupos Ethernet a los que el Id. de VLAN debe corresponder.

Cada segmento debe tener su propia configuración de dirección IP, modo de enrutamiento, control de acceso e interfaces (por ejemplo, SSID WiFi, grupos Ethernet y VLAN). En la actualidad no existe ninguna herramienta que supervise y busque automáticamente vulnerabilidades dentro de una red segmentada o entre segmentos. Esta supervisión se debe realizar manualmente. Por esta razón, muchas empresas decidirán que el uso de redes paralelas es una mejor solución, a nivel global, para mantener seguros los datos sensibles.


Informe / Seguridad

Segmento de proveedores

Conexión segura a Internet

Segmentopúblico

Segmento de empleados

Segmento de dispositivos POS

SSID núm. 1“Empleado”

SSID núm. 2“POS”

SSID núm. 3“Proveedor”

SSID núm. 4“Público”

Ilustr. 1. Creación de zonas seguras mediante segmentación de red

Informe / Seguridad

2. APROVECHE LA SENCILLEZ DE LAS REDES PARALELAS

A diferencia de la segmentación de una sola red, la creación de varias redes paralelas es una solución relativamente sencilla. Se asignan diferentes aplicaciones a redes completamente separadas (“air gap”). Esta separación física de los datos impide que los ciberdelincuentes puedan utilizar un dispositivo comprometido para acceder a otros servidores y redes, incluidas las que contienen datos sensibles.

Por ejemplo, la empresa debería considerar alojar la WiFi de clientes, los dispositivos de los empleados y los sistemas de punto de ventas en sus propias y respectivas redes. Las empresas con redes paralelas esperan que empresas terceras como proveedores, socios y kioscos, que necesiten acceso a Internet, traigan su propia red (“Bring Your Own Network”). Como las empresas terceras traen su propia red paralela, la compañía puede conservar el control de sus propias funciones de red, y reducir así el alcance global del trabajo de mantener la seguridad de la red. Las redes paralelas reducen significativamente la cantidad de tiempo y los conocimientos necesarios para segmentar redes por aplicaciones, y limitan el alcance del trabajo de mantenimiento del cumplimiento de las normas PCI en la red que se utiliza para transmitir los datos de los titulares de las tarjetas.


Área de clientes

Salade equipos

Trastienda

Punto de venta

Sistema de seguridad

Red de empleados

WiFi de empleadosSmartphone del cliente

Kioscode terceros

Oficina central

TI

Ilustr. 2. Redes paralelas administradas por una fuente

SOLUCIONES DE CRADLEPOINT

DISEÑADAS PARA LA SEGURIDAD EN LA PERIFERIA DE LA RED

Los dispositivos de router/firewall y el software de gestión basado en la nube de Cradlepoint se han diseñado para mitigar los riesgos de seguridad y mantener el cumplimiento de las normas PCI para empresas distribuidas que utilizan todos los tipos de arquitecturas de red. Un número creciente de empresas se está pasando a las redes paralelas al descubrir que las soluciones 4G de Cradlepoint permiten segmentar la red de forma más sencilla y segura. Además, las redes paralelas suelen reducir los costes indirectos de las empresas, incluida la necesidad de configuraciones complejas de redes sometidas al error humano, a auditorías complejas del cumplimiento de las normas PCI y a los valores de la calidad del servicio (QoS) en general de las aplicaciones específicas de la red.

ENTERPRISE CLOUD MANAGER PARA CONTROL CENTRALIZADO

Escalabilidad masiva: Supervise y gestione miles de dispositivos implementados de forma remota

Con Enterprise Cloud Manager, la plataforma de aplicaciones y gestión de redes de Cradlepoint, los directivos de TI pueden implementar rápidamente y gestionar de forma dinámica redes en establecimientos distribuidos geográficamente y sucursales. Las soluciones de Cradlepoint se han habilitado para la nube con el fin de ofrecer una implementación rápida, una gestión dinámica y una inteligencia mejorada. Enterprise Cloud Manager ofrece un panel de control fuera de banda que separa los datos de gestión de la red de los datos de usuario. Los datos de gestión (como configuración, estadísticas y supervisión) se transmiten desde los dispositivos de Cradlepoint a la nube de Cradlepoint mediante una conexión a Internet segura. Los datos de usuario (navegación web, aplicaciones internas, etc.) no pasan por la nube sino que se transmiten directamente a su destino en la LAN o en la WAN.

Diseñado para la seguridad: Las características de gestión permiten el cumplimiento de la seguridad y el seguimiento de los dispositivos

Las funciones analíticas y la interfaz de usuario de Enterprise Cloud Manager ayudan a automatizar configuraciones de seguridad y listas de comprobación, como el cumplimiento de la versión 3.0 de las normas PCI DSS. Gracias a los servicios de geovallado y de localización, las empresas pueden localizar físicamente y en tiempo real los dispositivos implementados mediante GPS, WiFi e información basada en la ubicación. Las empresas pueden recibir notificación del momento en que los dispositivos abandonan su ubicación habitual, reduciendo así el riesgo de que los hackers puedan utilizar dispositivos robados para acceder a la red.

Enterprise Cloud Manager: Una solución alojada de forma segura

Enterprise Cloud Manager de Cradlepoint se aloja en un recurso de almacenamiento de terceros de alto nivel en un servidor seguro de nivel empresarial que ofrece redundancia de equipo, alimentación ininterrumpida, varios canales de Internet y servicio de respaldo y restauración. Los servidores de Enterprise Cloud Manager presentan seguridad fortalecida, con servicios innecesarios deshabilitados, permisos limitados y registros supervisados. Los servidores están sujetos a control de gestión de parches que mantiene actualizados los parches de seguridad y las versiones del software. Además, los servidores y las aplicaciones pasan evaluaciones de vulnerabilidades y remediación de forma periódica.

Todas las configuraciones de clientes residen en este recurso físico seguro, con acceso limitado solo a usuarios autorizados. Las contraseñas que se almacenan dentro de las configuraciones tienen codificaciones Advanced Encryption Standard (Estándar de codificación avanzada - AES). El recurso se supervisa y se registra de forma continuada y para acceder a él es necesaria una autenticación de varios factores. Los registros de acceso están disponibles y se pueden auditar.


Informe / Seguridad

Informe / Seguridad


Ilustr. 4. Lista de comprobación de cumplimiento PCI de Enterprise Cloud Manager

Ilustr. 3. Enterprise Cloud Manager

Fácil de gestionar: Software de seguridad integrado de más alto nivel

Gracias a una API RESTful, Cradlepoint ha integrado en Enterprise Cloud Manager soluciones de seguridad basadas en la nube para el filtrado web y programas contra malware. Estas soluciones de seguridad permiten al personal de TI y de seguridad inspeccionar el tráfico web con una latencia de casi cero.

Conectividad segura para funcionamiento ininterrumpido

Las soluciones de enrutamiento de CradlePoint se han diseñado para que las empresas distribuidas gestionen de manera inteligente la conectividad inalámbrica y por cable convergente para obtener una “experiencia de conexión” muy fiable en la periferia. La función de red privada de LTE 4G del router aprovecha la conexión de telefonía móvil como extensión de la red privada sin que ello aumente la vulnerabilidad de la red.

Seguridad en la periferia: Características de hardware y software ampliables

Los dispositivos de Cradlepoint se han diseñado para cumplir las normas PCI de protección de activos con un firewall con estado, codificación avanzada, segmentación de redes y soporte VLAN. Los dispositivos de Cradlepoint también admiten soluciones de red privada de solapamiento independientemente del operador y opciones de VPN avanzada.

Simplifique la configuración de seguridad con puertos Ethernet y SSID WiFi que se pueden asignar individualmente a segmentos de red específicos. La funcionalidad de prevención y detección de intrusos examina los paquetes en busca de ataques, programas maliciosos y ataques de denegación de servicio que se pueden bloquear de acuerdo con una política. Las aplicaciones se pueden identificar si su comportamiento indica un ataque informático.


Informe / Seguridad

PARA OBTENER MÁS INFORMACIÓN, VISITE CRADLEPOINT.COM O LLAME AL NÚMERO DE TELÉFONO +1.855.813.3385.

Ilustr. 5: Cradlepoint AER Series: Enrutamiento perimetral avanzado

Ilustr. 7: Cradlepoint ARC Series: Específico de aplicación y conmutación por error

Ilustr. 6: Cradlepoint COR Series: Aplicaciones y transporte de la Internet de los objetos

Fuentes1Fuente: ZK Research Nov 20112Fuente: Verizon 2014 Data Breach Investigations Report3Verizon 2014 Data Breach Investigation Report4PCI Security Standards Data Storage Dos and Don’ts, https://www.pcisecuritystandards.org/pdfs/pci_fs_data_storage.pdf5PCI Security Standards 3.0, p.15.6FireEye Advanced Threat Report 2013

Mitigar los riesgos de seguridad en la periferia de la red

Documents

Transcript of Mitigar los riesgos de seguridad en la periferia de la red