Propuesta de Políticas Propuesta de Políticas de Seguridad para la de Seguridad para la Red Administrativa del Red Administrativa del Ejército yEjército yFuerza Aérea.Fuerza Aérea.

ASESOR: DOCTOR ROBERTO GOMEZ CARDENAS

TESISTA: ARTURO NAJERA MORALES

MisionesMisionesMisionesMisiones

Fabricación de Armamento, municiones, equipo mobiliario, pintura plásticos herramientas, vestuario y equipo.

Registro Federal de Armas de Fuego y Control de Explosivos

Apoyo a la población en caso de desastres, mantenimiento de la paz social y garantía de soberanía

Combate al Narcotráfico, etc

Procedimientos Actuales.Procedimientos Actuales.

- Coordinación interinstitucional de organismos nacionales, involucrados.

• Cooperación con organismos multinacionales y países interesados en mostrar un frente común a fenómenos como el narcotráfico, con particular atención a nuestros vecinos geográficos.

Protección de la Protección de la InformaciónInformación

• A través de sistemas centralizados de acceso restringido y cerrados..

• Coordinación con otras instituciones, la información puede verse comprometida, al pasar de un ambiente restringido a otro con un menor grado de seguridad

Causas del ProblemaCausas del Problema

• La falta de una política de seguridad homogénea durante las etapas de coordinación con otras Dependencias gubernamentales, así como con Unidades pertenecientes al Ejército.

• Mayor peso a la Confidencialidad y Operatividad que a la Integridad y Disponibilidad.

NecesidadNecesidad

• Requiere de una unificación de conceptos de seguridad que faciliten la coordinación y el intercambio de información sin necesidad de comprometer la seguridad.

• EEvaluar la seguridad, de manera objetiva y confiable.

Objetivo de AplicaciónObjetivo de Aplicación

• Red Administrativa.Red Administrativa.

• Servicios de voz, datos y eventualmente video.

• Enlaces emplean medios de comunicación: Satélite (con técnicas de acceso DAMA, PAMA, MCPC, Frame Relay, Sky Frame), líneas digitales, radio enlaces (HF, VHF, UHF), enlaces de microondas, etc.

FRAME RELAY

DAMA

SKY FRAME

RADIO ENLACES

MCPC

ENLACE SATELITAL

CENTRO DE CONTROL

LINEA PRIVADA

Clasificación ActualClasificación Actual

• Seguridad de Transmisiones. Es el conjunto de medidas y actividades llevadas a cabo con el fin de prevenir o evitar que personas no autorizadas obtengan información a través de nuestros medios de comunicaciones

Componentes de Componentes de SeguridadSeguridad

- Seguridad Física.

- Seguridad de Operación.

• Seguridad Criptográfica.

Seguridad FísicaSeguridad Física

• Medidas para proteger los medios de transmisiones y material clasificado contra toda acción tendiente a impedir su uso o de obtener su información,

• Recintos de acceso prohibido y medidas de protección contra desastres, patrullas, rondines, centinelas y vigilantes, destrucción rutinaria y de emergencia

Seguridad de Operación

• Conjunto de medidas destinadas a proteger el sistema de transmisiones contra la interferencia., intercepción, engaño por imitación, análisis de tráfico entre otros.

Seguridad Criptográfica

• Conjunto de métodos llevados a cabo para desarrollar sistemas criptográficos técnicamente seguros con el fin de proteger el contenido de los mensajes contra personas no autorizadas

Clasificación ActualClasificación Actual

• De acuerdo al tipo de información y la importancia que revisten se consideran tres grados:

• Muy Secreto,

• Secreto y

• Confidencial.

Seguridad InformáticaSeguridad Informática

• Un sistema Informático se denomina “seguro” si se controla el acceso a la información a través del uso de características específicas de seguridad, que acrediten los accesos para leer, escribir, crear, modificar o eliminar la información.

Seguridad Computacional

• Incluye disponibilidad, integridad, control y auditoría de los sistemas que proporcionan acceso a los archivos almacenados en computadoras, contempla la infraestructura y manejo de la información(Dispositivos electrónicos, equipo de soporte, sistemas de comunicación, software, procedimientos)

Riesgos.Riesgos.

• Tipos de Riesgo por Categorías. Tipos de Riesgo por Categorías. Fallas de la administración, Daños físicos,Fallas de Hardware o Software, Errores Humanos, Mal empleo de la Infomación.

• Magnitud de Riesgos.Magnitud de Riesgos.

• Análisis de riesgos.Análisis de riesgos.

TRUSTED COMPUTER SYSTEM EVALUATION CRITERIA (ORANGE BOOK).

• Surge como la necesidad de evaluar la seguridad, o de tener una medición de los niveles de seguridad por parte del gobierno de los E.E. U.U. y de la industria, por la necesidad de estandarizar el propósito y el uso de las computadoras por el gobierno federal.

TCSEC. DivisionesTCSEC. Divisiones

• D Protección Mínima

• C Protección Discrecional

• B Protección Obligatoria.

• A Protección Controlada

Criterios de Certificación.

• Cada clase se define con un grupo de con la evaluación en alguna clase. Este criterio cae en 4 categorías generales:

• Políticas de seguridad

• Responsabilidad

• Confianza y

• Documentación.

Criterios de Certificación.• Políticas de seguridad (Politicas,

Etiquetas en Objetos)

• Responsabilidad (Identificación, Auditorías).

• Confianza (Aseguramiento, Protección Continua) y

• Documentación.

Propósito del libro naranja

• Medición. evaluar el grado de confianza de los sistemas informáticos seguros, para el proceso de clasificación de información sensitiva.

• Dirección. Estándar a fabricantes

• Adquisición. Bases para especificar los requerimientos.

Categorías de SeguridadCategorías de Seguridad

• D- Protección Mínima.D- Protección Mínima.

• C- Protección discrecional.C- Protección discrecional.

• B- Protección ObligatorB- Protección Obligatoria.ia.

• A- Protección VerificadaA- Protección Verificada

PropuestasPropuestas

• Evaluación de la red Administrativa.

• Establecimiento general de Políticas de seguridad para la red administrativa.

• Especificación de los mecanismos disponibles que permitan alcanzar los niveles correspondientes de seguridad

ConsideracionesConsideraciones

• Exportación de información etiquetada.

• Exportación en dispositivos multinivel

• Exportación en dispositivos de nivel único.Exportación en dispositivos de nivel único.

Fases de DesarrolloFases de Desarrollo

• Análisis de la red de comunicaciones.

• Especificación de herramientas de monitoreo de red.

• Análisis de los sistemas operativos.

• Análisis de los mecanismos de acceso remoto.

Fases de Desarrollo.Fases de Desarrollo.

• Identificación de puntos débiles.

• Recomendaciones para el cierre de las brechas de seguridad.

• Creación de un manual con las políticas de seguridad.

• Detección y recuperación de incidentes.

• Seguridad en S.O. brechas y corrección.

• Prevención de Incidentes.

• Mejoras de Seguridad. Implantación de estándares basados en el cálculo con curvas elípticas para intercambio de llaves, así como de algoritmos de llave simétrica para encripción de mensajes.

• Actualización de los procedimientos de seguridad

BeneficiosBeneficios

• Establecimiento general de Políticas de seguridad para la red administrativa..

• Posibilidad de Integración de los sistemas de informáticos sin necesidad de disminuir el nivel de seguridad.

• Promover el desarrollo de esta Area.

Bibliografía• Arthur E. Hut, Seymour Bosworth,

Douglas B. Hoyt, 1995. Computer Security Handbook, Third edition, John Wiley and Sons Inc.

• Rita C. Summers, 1997. Secure Computing Threats and Safeguards, McGraw Hill.

BibliografíaBibliografía• Michael Rosing 1999. Elliptic Curve

Criptography, Manning Publications.

• E.M.D.N. S-2 (INTL) S.D.N., 1995, Manual de Táctica de Transmisiones.

• E.M.D.N. Ley Orgánica del E. y F.A.M.

• Orange Book en línea. http://www.radium.ncsc.mil/tpep/library/rainbow/5200.28-STD.html/5200.28-STD.html

BibliografíaBibliografía

• Pagina de la Secretaría de la Defensa Nacional. http://www.sedena.gob.mxhttp://www.sedena.gob.mx

• Dirección General de Servicios de Cómputo Académico Subdirección de Sistemas, Departamento de Control de Calidad y Auditoría UNAM. Informática, Vista General del Libro Naranja.