I
Seguridad y Aita
Disponibilidad
JESUS COSTAS SANTOS
SEGURIDAD Y ALTA DISPONIBILIDAD
0 Jesús Costas Santos
© De la edición: Ra-Ma 2011
MARCAS COMERCIALES. Las designaciones utilizadas por las em presas para dist inguir sus productos
(hardware, software, sistem as operativos, etc.) suelen ser m arcas registradas. RA-MA ha intentado a lo
largo de este libro distinguir las m arcas comerciales de los térm inos descriptivos, siguiendo el estilo que
utiliza el fabricante, sin intención de infringir la marca y solo en beneficio del propietario de la misma.
Los datos de los ejemplos y pantallas son ficticios a no ser que se especifique lo contrario.
RA-MA es m arca comercial registrada.
Se ha puesto el máximo empeño en ofrecer al lector una información completa y precisa. Sin embargo,
RA-MA Editorial no asum e ninguna responsabilidad derivada de su uso ni tampoco de cualquier
violación de patentes ni otros derechos de terceras partes que pudieran ocurrir. E sta publicación tiene
por objeto proporcionar unos conocimientos precisos y acreditados sobre el tema tratado. Su venta
no supone para el editor ninguna forma de asistencia legal, adm inistrativa o de ningún otro tipo. En
caso de precisarse asesoría legal u otra forma de ayuda experta, deben buscarse los servicios de un
profesional competente.
Reservados todos los derechos de publicación en cualquier idioma.
Según lo dispuesto en el Código Penal vigente ninguna parte de este Libro puede ser reproducida,
grabada en sistem a de almacenamiento o transm itida en forma alguna ni por cualquier procedimiento,
ya sea electrónico, mecánico, reprográfieo, magnético o cualquier otro sin autorización previa y por
escrito de RA-MA; su contenido está protegido por la Ley vigente que establece penas de prisión y/o
m ultas a quienes, intencionadamente, reprodujeren o plagiaren, en todo o en parte, una obra literaria,
artística o científica.
Editado por:
RA-MA Editorial
Calle Jaram a, 3A, Polígono Industrial Igarsa
28860 PARACUELLOS DE JARAMA, Madrid
Teléfono: 91658 42 SO
Fax: 91 662 81 39
Correo electrónico; editorial@ra-ma.com
Internet: w w w .ra-m a.es y w w w.ra-m a.com
ISBN: 978-84-9964-089-1
Depósito Legal: M-24.265-2011
Maquetación: Antonio García Tomé
Diseño de Portada: Antonio G arcía Tomé
Filmación e Impresión: C losas-Or coy en, S.L.
Impreso en España
índice
IN T R O D U C C IÓ N ............................................................................................................................................................................ 7
C A P ÍT U L O 1. P R I N C IP IO S D E S E G U R ID A D Y ALTA D IS P O N IB IL ID A D .........................................................9
1.1 IN TRO D U CCIÓ N A LA SEGURIDAD IN FO R M Á TICA ...............................................................................................10
1.2 FIABILIDAD, CONFIDENCIALIDAD, INTEGRIDAD Y D IS P O N IB IL ID A D ...................................................... 11
1.2.1 A lta d isp o n ib ilid ad ........................................................................................................................................................ 21
1.3 ELEM EN TO S VULN ERA BLES EN EL SISTEM A INFORMÁTICO:
HARDWARE, SOFTWARE Y DATOS................................................................................................................................. 22
1.4 AM ENAZAS................................................................................................................................................................................ 24
1.4.1 A m enazas provocadas por p e rs o n a s ......................................................................................................................... 24
1.4.2 A m enazas físicas y lógicas............................................................................................................................................24
1.4.3 Técnicas de a ta q u e ......................................................................................................................................................... 25
1.5 P R O T E C C IÓ N ...........................................................................................................................................................................26
1.5.1 A u ditoría de seguridad de sistem as de info rm ación ............................................................................................ 27
1.5.2 M edidas de seg u rid a d ....................................................................................................................................................28
1.6 REFERENCLAS W E B .............................................................................................................................................................. 29
R ESU M EN D EL C A PÍTU LO ........................................................................................................................................................ 29
EJE R C IC IO S P R O P U E S T O S ....................................................................................................................................................... 30
T E S T DE C O N O C IM IE N T O S......................................................................................................................................................32
C A P ÍT U L O 2. S E G U R ID A D P A S IV A ....................................................................................................................................33
2.1 P R IN C IPIO S DE LA SEGURIDAD PASIVA.................................................................................................................... 34
2.2 COPIAS DE S E G U R ID A D .....................................................................................................................................................35
2.2.1 Modelos de alm acén de dato s .................................................................................................................................... 36
2.2.2 Recom endación sobre el tipo de copia a efe c tu a r................................................................................................... 37
2.2.3 R ecuperación de d a to s ...................................................................................................................................................44
2.3 SEGURIDAD FÍSICA Y A M B IEN TA L...............................................................................................................................47
2.3.1 C entros de Procesado de D atos (C P D )..................................................................................................................... 47
2.3.2 Ubicación y acondicionam iento físico .......................................................................................................................48
2.3.3 Control de acceso físico ................................................................................................................................................ 49
2.3.4 S istem as b io m é tric o s ................................................................................................................................................... 50
2.3.5 Circuito C errado de Televisión CCCTV)................................................................................................................... 51
2.4 SISTEM AS DE ALIM ENTACIÓN IN INTERRUM PIDA (SAI)................................................................................... 52
2.4.1 Tipos de S A I.....................................................................................................................................................................53
2.4.2 P otencia n e c e s a ria ......................................................................................................................................................... 53
2.5 R EFE R EN C IA S W E B ..............................................................................................................................................................60
R E S U M E N D E L CA PÍTU LO ........................................................................................................................................................ 61
E JE R C IC IO S P R O PU E ST O S .......................................................................................................................................................62
TEST DE C O N O C IM IE N T O S ......................................................................................................................................................64
3
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
C A P ÍT U L O 3. S E G U R ID A D L Ó G IC A ................................................................................................................................. 65
3.1 P R IN C IP IO S DE LA SEGURIDAD LÓ G IC A ................................................................................................................... 66
3.2 CONTROL DE ACCESO L Ó G IC O ....................................................................................................................................... 67
3.2.1 Política de c o n tra s e ñ a s ................................................................................................................................................. 67
3.2.2 C ontrol de acceso en la BIOS y gestor de a rra n q u e ...............................................................................................73
3.2.3 C ontrol de acceso en el sistem a o p erativ o ................................................................................................................77
3.3 PO LÍTICA DE USUARIOS Y G R U PO S..............................................................................................................................82
3.4 R EFE R E N C IA S W E B .............................................................................................................................................................. 84
R E SU M E N D E L C A PÍTU LO ........................................................................................................................................................ 85
E JE R C IC IO S P R O P U E S T O S ....................................................................................................................................................... 86
T E S T DE C O N O C IM IE N T O S ...................................................................................................................................................... 87
C A P ÍT U L O 4. S O F T W A R E A N T IM A L W A R E .....................................................................................................................89
4.1 SOFTW ARE M A LIC IO SO ......................................................................................................................................................90
4.2 CLA SIFICACIÓN D EL MALWARE.....................................................................................................................................91
4.2.1 M étodos de infección......................................................................................................................................................92
4.3 PR O T EC C IÓ N Y D E S IN F E C C IÓ N .....................................................................................................................................94
4.3.1 C lasificación del softw are a n tim a lw a re ................................................................................................................... 94
4.3.2 L a m ejor h e rra m ie n ta a n tim a lw a r e .......................................................................................................................100
4.4 R E FE R EN C IA S W E B ............................................................................................................................................................102
R E S U M E N DEL C A PÍTU LO ......................................................................................................................................................102
E JE R C IC IO S P R O P U E S T O S .....................................................................................................................................................103
T E S T DE C O N O C IM IE N T O S ....................................................................................................................................................104
C A P ÍT U L O 5. C R IP T O G R A F ÍA ............................................................................................................................................107
5.1 P R IN C IP IO S DE C R IPT O G R A FÍA .................................................................................................................................. 108
5.2 TIPO S DE ALGORITM OS D E C IF R A D O ...................................................................................................................... 109
5.2.1 C riptografía s im é tric a ................................................................................................................................................ 111
5.2.2 C rip to g rafía de clave a s im é tric a ............................................................................................................................. 115
5.2.3 C riptografía h íb r i d a ................................................................................................................................................... 117
5.2.4 F irm a d ig ita l................................................................................................................................................................. 120
5.3 CER TIFIC A D O S D IG IT A L E S ........................................................................................................................................... 122
5.3.1 T erceras p a ite s de confianza.....................................................................................................................................125
5.3.2 D ocum ento N acional de Iden tid ad electrónico (D N Ie )..................................................................................... 125
5 .4 R E FE R EN C IA S W E B ........................................................................................................................................................... 126
R E S U M E N D EL C A PÍTU LO ......................................................................................................................................................127
E JE R C IC IO S P R O P U E S T O S .................................................................................................................................................... 128
T E S T DE C O N O C IM IE N T O S ................................................................................................................................................... 129
C A P ÍT U L O 6. S E G U R ID A D E N R E D E S C O R P O R A T IV A S .................................................................................... 131
6.1 AMENAZAS Y A T A Q U E S ................................................................................................................................................... 132
6.1.1 A m enazas e x te rn a s e in te r n a s .................................................................................................................................136
6.2 SISTEM AS DE D ETEC C IÓ N DE INTRUSOS (ID S)...................................................................................................137
6.3 R IESG O S PO T EN C IA LE S E N LOS SERV ICIO S DE R E D ...................................................................................... 139
6 .4 COM UNICA CIONES SEG U R A S...................................................................................................................................... 140
6.4.1 V P N ................................................................................................................................................................................. 145
4
© RA-MA
INDICE
6.5 R E D E S IN A LÁ M B R IC A S....................................................................................................................................................148
6.5.1 S istem as de seguridad en W LA N .............................................................................................................................149
6.5.2 Recom endaciones de seg u rid ad en W L A N ........................................................................................................... 155
6.6 R E FE R E N C IA S W E B ............................................................................................................................................................158
R E SU M E N D EL C A PÍT U L O ...................................................................................................................................................... 158
E JE R C IC IO S P R O P U E S T O S .....................................................................................................................................................159
T E S T DE C O N O C IM IE N T O S ....................................................................................................................................................160
C A P ÍT U L O 7. S E G U R ID A D P E R IM E T R A L ....................................................................................................................161
7.1 C O R TA FU EG O S..................................................................................................................................................................... 162
7.1.1 Tipos de c o rta fu e g o s....................................................................................................................................................168
7.1.2 DM Z..................................................................................................................................................................................173
7.2 PRO XY........................................................................................................................................................................................174
7.2.1 Tipos, ca racterísticas y funciones p rin c ip a le s ......................................................................................................174
7.3 R EFE R EN C IA S W E B ............................................................................................................................................................181
R E SU M E N D EL C A PÍTU LO ...................................................................................................................................................... 182
E JE R C IC IO S P R O P U E S T O S .....................................................................................................................................................182
T E S T DE C O N O C IM IE N T O S ....................................................................................................................................................183
C A P ÍT U L O 8. C O N F IG U R A C IO N E S D E ALTA D IS P O N IB IL ID A D ................................................................... 185
8.1 SO LU CIO N ES DE ALTA D ISPO N IBILID A D ................................................................................................................ 186
8.2 R A ID ...........................................................................................................................................................................................187
8.3 BALANCEO DE CA RG A ......................................................................................................................................................194
8.4 VIRTUALIZACIÓN................................................................................................................................................................ 199
8.4.1 V irtualización de servidores......................................................................................................................................205
8.5 REFEREN CIA S W E B ............................................................................................................................................................210
R ESU M EN D EL CA PÍTU LO ......................................................................................................................................................211
E JE R C IC IO S P R O PU E ST O S .....................................................................................................................................................212
T E S T DE C O N O C IM IE N T O S ....................................................................................................................................................213
C A P ÍT U L O 9. N O RM A TIV A L E G A L E N M A TER IA D E S E G U R ID A D IN F O R M Á T IC A ............................. 215
9.1 LEY ORGÁNICA DE PR O TEC C IÓ N DE DATOS (LO PD ).........................................................................................216
9.1.1 Á m bito de aplicación de la L O P D .............................................................................................................................216
9.1.2 Agencia E spañola de Protección de D atos ........................................................................................................... 217
9.1.3 T ra ta m ie n to de los d a to s ........................................................................................................................................... 218
9.1.4 N iveles de se g u rid a d ................................................................................................................................................... 219
9.2 LEY DE SERV ICIOS DE LA SOCIEDAD DE LA INFORM ACIÓN Y DE COM ERCIO ELEC TR Ó N IC O
(L S S IC E )................................................................................................................................................................................... 221
9.2.1 E n to rn o s W eb................................................................................................................................................................ 222
9.2.2 C om unicaciones com erciales.................................................................................................................................... 222
9.3 R E FE R E N C IA S W E B ........................................................................................................................................................... 224
R E SU M E N D E L C A PÍTU LO ......................................................................................................................................................224
E JE R C IC IO S P R O P U E S T O S .....................................................................................................................................................225
T E S T DE C O N O C IM IE N T O S ................................................................................................................................................... 226
M A T E R IA L A D IC IO N A L ......................................................................................................................................................... 227
ÍN D IC E A L F A B É T IC O .............................................................................................................................................................229
5
Introducción
E ste libro surge con el propósito de acercar al lector a los aspectos m ás im portantes que encierra la seguridad
inform ática y los relativos a g aran tizar alta disponibilidad en los sistem as críticos, ante las crecientes am enazas
sobre los sistem as informáticos, donde cada vez contenemos m ás valiosa información. Con la reform a curricular
de formación profesional, enm arcada en la Ley Orgánica do Educación (LOE), los ciclos formativos de la familia
profesional de Inform ática y Comunicaciones poseen como contenido transversal la m ateria de seguridad inform ática,
debido a la creciente dem anda de personal cualificado para su adm inistración. Con tal propósito, puede servir de apoyo
tam bién para estudiantes del las Ingenierías Técnicas.
Hoy en día, existen muchos usuarios y profesionales de la Inform ática que discuten las ventajas e inconvenientes
de la utilización de un determ inado sistem a operativo, antivirus o cortafuegos como solución única a los problem as de
la seguridad informática, no entendiendo que en esta m ateria ha de trab ajarse en todos los frentes posibles. Aquí no
hay preferencia por ningún sistem a en particular, ni se in ten ta com pararlos para descubrir cuál es el mejor de todos,
sino enriquecer los contenidos al exponer sus principales características, manejo y métodos para conseguir la máxima
fiabilidad de los sistem as.
A lo largo del libro se analiza la seguridad inform ática y la alta disponibilidad desde d istintas perspectivas, con un
total de 51 p rácticas, p ara com pletar una visión global de la m ateria y no dejar ningún aspecto vulnerable:
P r in c ip io s b á sic o s y problem ática de la Seguridad y Alta disponibilidad. Capítulo 1.
S eg u rid a d p asiva, analizando soluciones de copia de seguridad y seguridad física y am bienta) en ios sistem as
informáticos. Capítulo 2.
S egu rid ad lógica. Gestión de usuarios, privilegios, contraseñas y actualizaciones de sistem as y software.
Capítulo 3.
S o ftw a re d e seg u rid a d antim alware. Capítulo 4.
C rip tografía en comunicaciones y protección de la información. C apítulo 5.
S eg u rid a d en re d e s corp orativas, atendiendo a las am enazas in tern as y estudiando los fundam entos de
comunicaciones seguras, con especial atención a inalám bricas. Capítulo 6.
S eg u rid a d p erim etra l m ediante configuración de cortafuegos y proxy. Capítulo 7.
C o n fig u racion es a v an zad as de alta d isp o n ib ilid a d , como redundancia en el alm acenam iento m ediante
RAID, balanceo de carga, vírtualización de servidores. C apítulo 8.
N o rm a tiv a leg al en m ateria de seguridad inform ática. LOPD y LSSICE. C apítulo 9.
Uno de los objetivos de este Libro es dam os a conocer las innovaciones en ataques y vulnerabilidades m ás actuales
en m ateria inform ática, haciéndonos m ás prevenidos y aprendiendo a realizar acciones totalm ente seguras. Para
ello se presentan en cada capítulo n o tic ia s d e a ctu a lid a d relacionadas con la tem ática del mismo, que perm itan la
reflexión y el conocimiento de nuevos avances.
7
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
P ara todo aquel que use este libro en el entorno de la enseñanza (Ciclos Formativos o Universidad), se ofrecen
varias posibilidades: utilizar los conocimientos aquí expuestos p ara inculcar aspectos genéricos de la seguridad
inform ática y alta disponibilidad o sim plem ente centrarse en preparar a fondo alguno de ellos.
Ra-Ma pone a disposición de los profesores una guía didáctica para el desarrollo del tem a que incluye las soluciones
a los ejercicios expuestos en el texto. Puede solicitarla a editorial@ra-ina.com, acreditándose como docente y siem pre
que el libro sea utilizado como texto base para im partir las clases.
8
•
•
•
/
Analizar la problemática general
de la seguridad informática.
/
Conocer los principios sobre los
que se sustenta.
/
Conocer el significado de alta
disponibilidad.
/
Identificar las principales
vulnerabilidades, ataques y
medidas de seguridad a adoptar
sobre los sistemas.
/
Diferenciar la seguridad física y
lógica, y la pasiva de la activa.
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
Con la proliferación de la inform ática en todos los ám bitos de la vida, el núm ero de usuarios y profesionales de
inform ática ha crecido exponencialm ente en los últim os años, del mismo modo que las necesidades de comunicación
y com partición de recursos en red.
L as dos nuevas problem áticas que subyacen de esta nueva realidad son, por un lado asegurar los sistem as y la
información que disponemos, y por otro poder tener acceso a los servicios el mayor tiempo posible, sin interrupciones
y con un cierto nivel de calidad, siendo la base para el estudio de la seguridad inform ática y la alta disponibilidad
respectivam ente.
INTRODUCCIÓN A LA SEGURIDAD INFORMÁTICA
Las tecnologías de la información y la comunicación (TIC), y concretam ente la inform ática, se ha instalado en todos
los ám bitos de la sociedad: sanidad, educación, finanzas, prensa, etc., siendo cada vez m ás útil e im prescindible para
el desarrollo de su s actividades cotidianas. Del mismo modo que se extiende el uso de la informática, la seguridad
inform ática debe ten er una im portancia cada vez mayor, teniendo en cuenta que el funcionamiento correcto de sus
sistem as depende en gran medida, de protegerlos como el mayor de sus tesoros.
La seguridad informática consiste en asegurar que los recursos del sistema de información de una
organización sean utilizados de la manera que se decidió y que el acceso a la información allí contenida,
así como su modificación, solo sea posible a las personas que se encuentren acreditadas y dentro de los
límites de su autorización.
Los p rin c ip a les ob jetivos de la seguridad inform ática por tanto son:
Detectar los posibles problemas y am enazas a la seguridad, m inim izando y gestionando los riesgos.
G aran tizar la adecuada utilización de los recursos y de las aplicaciones de los sistem as.
L im itar las pérdidas y conseguir la adecuada recuperación del sistem a en caso de un incidente de seguridad.
C um plir con el marco legal y con los requisitos im puestos a nivel organizativo.
D u ran te el desarrollo del libro, veremos que el conjunto de vulnerabilidades, am enazas, ataques y m edidas de
seg u rid ad han ido aum entando y modificándose con el tiempo, sien d o n ece sa rio esta r al d ía en esta m ateria.
P a ra ello harem os uso de diversas noticias de actualidad y reflexiones sobre las mismas.
La comunidad de usuarios y profesionales en m ateria de seguridad inform ática m antienen al día al resto de
u su ario s m ediante noticias y post en blogs y webs especializadas. Sírvase como ejemplo el blogv repositorio de blogs de
seg u rid ad inform ática disponible en la web del Instituto Nacional de Tecnologías de la comunicación S.A. (en adelante
INTECO), sociedad anónim a estatal adscrita a la S ecretaría de Estado de Telecomunicaciones y para la Sociedad de
la Inform ación:
http ; / / www. inteco.es/ blog / Seg u rid a d ! Observatorio / BlogSeguridad
10
© RA-MA
1 ■PRINCIPIOS DE SEGURIDAD Y ALTA DISPONIBILIDAD
i
La seguridad informática lleva asociada un conjunto de palabras, en muchos casos nuevos términos en
inglés. A lo largo del libro y en los artículos de actualidad se irán repitiendo, por lo que es recomendable
ir construyendo nuestro glosario de términos con palabras como pharm ing, tabnabbing, malware,
sniffíng, spoofing, phishing, scam, spam, botnet, spyware, keylogger, etc.
Te proponemos que leas un artículo de actualidad, que podrás encontrar descargando el material
adicional y en la web www.securitybydefault.com /2010/01/origen-y-evolucion-del-efraude.htm l, en et
cual deberás identificar palabras relacionadas con conceptos de seguridad informática que no conozcas
y realizar un glosario de términos con sus definiciones. Comenta en grupo las siguientes cuestiones:
•
¿Has recibido alguna vez un intento de phishing mediante correo electrónico de tipo
spam ? ¿Podrías indicar algún ejemplo?
•
Realizar un debate en el que se analicen las más conocidas am enazas existentes en la
actualidad y qué tipo de medidas de prevención prelim inares se podrían tomar.
FIABILIDAD, CONFIDENCIALIDAD, INTEGRIDAD Y
DISPONIBILIDAD
Seguridad es un concepto asociado a la certeza, falta de riesgo o contingencia. Conviene aclarar que no siendo
posible la certeza absoluta, el elemento de riesgo está siempre presente, independientem ente de las m edidas que
tomemos, por lo que debemos hab lar de niveles de seguridad. La seg u rid a d ab so lu ta n o e s p o sib le y rn adelante
entenderem os que la seguridad inform ática es un conjunto de té c n ic a s encam inadas a obtener a lto s n iv e le s d e
seg u rid a d en los sistem as informáticos.
Podemos entender como seguridad una característica de cualquier sistem a que nos indica que ese sistem a está
Libre de todo peligro, daño o riesgo, y que es, en cierta m anera, infalible. Como esta característica, particularizando
p ara el caso de sistem as informáticos, sistem as operativos o redes de computadores, es muy difícil de conseguir (según
la m ayoría de expertos, imposible), se suaviza la definición de seguridad y se pasa a hablar de fiab ilid ad , probabilidad
de que un sistem a se comporte tal y como se espera de él. Por tanto, se habla de tener sistem as fiables en lugar de
sistem as seguros.
El experto Eugene H. Spafford cita en su frase célebre: "el único sistema que es totalmente seguro
es aquel que se encuentra apagado y desconectado, guardado en una caja fuerte de titanio que está
enterrada en cemento, rodeada de gas nervioso y de un grupo de guardias fuertemente armados. Aún
así, no apostaría mi vida en ello".
11
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
A grandes rasgos so entiende que m antener un sistem a seguro (o fiable) consiste básicam ente en garantizar tres
aspectos: confidencialidad, integridad y disponibilidad.
C on fid en cialid ad : cualidad de un mensaje, comunicación o datos, p ara que solo se entiendan de m anera
comprensible o sean leídos, por la persona o sistem a que esté autorizado. Comprende por tanto la privacidad o
protección de dicho m ensaje y datos que contiene.
I n te g r id a d : cualidad de mensaje, comunicación o datos, que perm ite comprobar que no se ha producido
m anipulación alguna en el oingtnal, es decir, que no h a sido alterado.
D isp o n ib ilid ad : capacidad de un servicio, de unos datos o de un sistem a, a ser accesible y utilizable por Los
usuarios (o procesos) autorizados cuando estos lo requieran. Supone que la información pueda ser recuperada
en el momento que se necesite, evitando su pérdida o bloqueo.
H ay que tener en cuenta que, tanto las am enazas como los m ecanismos para contrarrestarlas, suelen afectar a
ta ta s tres características de form a conjunta. Así por ejemplo, fallos del sistem a que hacen que la información no sea
accesible pueden llevar consigo una pérdida de integridad. G eneralm ente tien en q u e e x istir los tr es a sp ecto s
d e s c r ito s para q u e h aya segu rid ad .
Dependiendo del entorno en que un sistem a trabaje, a sus responsables les in teresará dar prioridad a u n cierto
aspecto de la seguridad. Por ejemplo, en un sistem a m ilitar se antepondrá la confidencialidad de los datos alm acenados
o tran sm itid o s sobre su disponibilidad. En cambio, en un servidor de archivos en red, se priorizará la disponibilidad
fre n te a la confidencialidad. En un entorno ba ncario, la faceta que más ha de preocupar a los responsables del sistem a
es la integridad de los datos, frente a su disponibilidad o su confidencialidad: es menos grave que un usuario consiga
leer el saldo de otro que el hecho de que ese usuario pueda modificarlo.
Ju n to a estos tres conceptos fu ndam entales se suelen e stu d ia r conjuntam ente la a u te n tic a c ió n y el n o
re p u d io .
A u ten tica ció n : verificar que un documento ha sido elaborado (o pertenece) a quien el docum ento dice.
Apficado a la verificación de la identidad de un usuario en inform ática, cuando el usuario puede ap o rtar
algún modo que perm ita verificar que es quien dicc ser, se suele realizar m ediante un usuario o Login y una
contraseña o password.
N o rep u d io o irren u n cia b ilid a d : estrecham ente relacionado con la autenticación y perm ite probar la
participación de las partes en una comunicación. Existen dos posibilidades:
No rep u d io en origen: el em isor no puede negar el envió. La prueba la crea e) propio em isor y la recibe
el destinatario.
No rep u d io en destino: el receptor no puede negar que recibió el m eusaje porque el em isor tiene pruebas
de la recepción. En este caso la prueba irrefutable la crea el receptor y la recibe el emisor.
Si la autenticidad prueba quién es el autor o el propietario de un documento y cuál es su destinatario, el no
repudio prueba que el autor envió la comunicación (no repudio en origen) y que el destinatario la recibió (no repudio
en destino).
Al grupo de estas características y objetivos de la seguridad se les conoce como CEDAN, nombre sacado de la inicial
de cad a característica. La relación de los mismos se presenta en la figura siguiente.
12
© RA-MA
1 ■PRINCIPIOS DE SEGURIDAD Y ALTA DISPONIBILIDAD
En la imagen superior se ilustra cómo se relacionan los diferentes servicios de seguridad, unos dependen de otros
jerárquicam ente, así si no existe el de nivel interior, no puede aplicarse el exterior. De esta m anera, la d isp o n ib ilid a d
se convierte en el p rim er re q u isito d e segu rid ad , cuando existe ésta, se puede disponer de co n fid en cia lid a d , que
es im prescindible para conseguir in tegrid ad , imprescindible para poder obtener a u te n tic a c ió n y, por último, el no
rep u d io, que solo se obtiene si se produce previam ente la autenticación.
A continuación verem os tre s casos prácticos a modo de ejem plo sobre confidencialidad, in teg rid ad y
disponibilidad.
PRÁCTICA 1.1
CONFIDENCIALIDAD
En esta práctica guiada estudiaremos cómo se puede asegurar la confidencialidad de los datos en sistema
Windows, mediante la encriptación de archivos y carpetas.
La confidencialidad o privacidad de datos es uno de los aspectos críticos de la seguridad, por esto Microsoft
incluyó a partir de su sistema Windows 2000, y posteriores, el método de archivos encriptados conocido como
EFS (Encrypted File System) que cumple este propósito.
Encrypting File System (EFS) es un sistema de archivos que, trabajando sobre NTFS, permite cifrado de archivos a
nivel de sistema. Permite a los archivos administrados por el sistema operativo ser cifrados en las particiones
NTFS en donde esté habilitado, para proteger datos confidenciales. EFS es Incompatible con la compresión de
carpetas.
El usuario que realice la encriptación de archivos será el único que dispondrá de acceso a su contenido, y al único
que se le permitirá modificar, copiar o borrar el archivo, controlado todo ello por el sistema operativo.
Amenaza o vulnerabilidad
Como veremos en capítulos posteriores, en un sistema personal es posible obtener el acceso al sistema de
ficheros si podemos arrancar desde una distribución USB o CD/DVD Uve, o incluso acceder al sistema local como
administrador, realizando una escalada de privilegios, teniendo de este modo permisos para acceder al sistema
de ficheros por completo y por tanto incluso a carpetas restringidas por el sistema operativo. Para evitar la
© RA-MA
SEGURIDAD Y ALTA DISPONIBILIDAD
apertura, lectura o modificación de información privada bajo sistemas Windows podemos utilizar las opciones de
encriptación EFS.
Proceso de encriptación
Para probarlo podemos crear un archivo de texto plano (no cifrado) con una información confidencial en su
Interior. En primer lugar seleccionaremos el archivo (o carpeta) a encriptar y con el botón derecho accederemos
a la ventana de Propiedades. En su pestaña General pulsaremos sobre Opciones Avanzadas y en Atributos
de compresión y cifrado marcaremos la opción de Cifrar contenido para proteger datos.
Mota: En caso de no tener habilitada dicha opción deberá ejecutar gpedlt.msc (editor de directivas de grupo)
y habilitar la directiva local, Directiva de equipo !ocal\Conñguración de Windows\Configuración de seguñdad\
Directivas de clave púb¡ica\Sistema de cifrado de archivos. Gpedit no se encuentra preinstalado en las versiones
Home de los sistemas operativos Windows.
tiitU M é» n V * t
W V t»
: *rrtt*iteot*r$w¿r*m tn i n n a i
--j Nrwffr «r>«3>4i Mfci t e w n je a t« f *rfngp«raicA i«H bw di
latita» * <>nti»«r r -fra*»
1Ceeener cartende o e • ^ qn • eeeeoo en * 6»
!
- 'CJim
CWolKM»Qc^o
| HayiM
|
Cf jái ___ I
topoanM—xtúrn ]
| Carcdm j
Verificaciones
1. Si accedemos con otro usuario al sistema que tenga permisos para acceder a todo el sistema de archivos,
por ejemplo desde una cuenta de tipo administrador (distinta a la que ha cifrado el archivo), podemos ver
que ei nombre del archivo nos aparecerá en color verde y, al intentar acceder a él, nos indicará acceso
denegado. Igualmente si intentamos modificar el archivo para que deje de estar cifrado y aplicamos los
cambios nos indicará error al aplicar los atributos. Aunque no es posible leer ni modificar su contenido, sí
es posible borrarlo.
2. El archivo cifrado no es portable o copiable a una unidad externa ya que el sistema operativo pierde el
control sobre su cifrado. En caso de intentar enviarlo a unidad USB nos indicará lo siguiente.
© RA-MA
1 ■PRINCIPIOS DE SEGURIDAD Y ALTA DISPONIBILIDAD
A rc h ir o c if r a d o
•*
Swthn-oYiomwx)nf<wiilwx>«rno«pued»ropw6wnwm
OJC pan)« d
Carado
*V*0» owtr «te«ñor y c o r i n m , oc«nc«Ur
i
Onéf
1 ( Cwbr lofl* j | Cw i Ib
)
Una recomendación más, no comprimir los archivos cifrados ya que dejan de estarlo.
3. En caso de tener acceso al sistema de archivos con un arranque desde una distribución modo Uve (en
nuestro ejemplo Ubuntu), montando la partición correspondiente (en este caso el punto de montaje/mnt/
win) podremos borrar el archivo, pero no se nos permitirá ni copiarlo ni leer la información contenida. Si
hemos comprimido el archivo en zip desde Windows, sí podremos acceder a su contenido confidencial.
g
root-aufauntu >mntm)n/Oocuni«nu and SM tlnflt/adm lrvU rritorto
4rrr.*>
£n( v
yrr
’ermr.,;
.
n
« I
Ayuda
rootSubontu:/«nt/Kin/Docuacnti and
c a t : Ipforaaclon con fid en cial,t«t:
rootiíulXjniu:/»rl/»in/00Cu»eMs and
cp: no s r puede abrir -informador
roo(«iu»>umii:/iint/win/Oocu»en{i and
Selting i/ad ^ ln/Eicritorioa cat infor»acion\ confidenctai.1«!
- ■
Peralto denegado
Seu irg i/nd iiiri/Escritorlo a cp infoiw cion \ confidencial t it /haneMnfo.c«t I
con fid en cia l.txt- para lectura. Peralto denegado
SetUngs/adiiirVEicritoM oa l l
J
L
f
r
.
...
rooteuburtu:/ant/xln/Oocuacnti and S em n 9 s/ed « ln /ticrlto rio * ra inforaacionx c o n fid e n c ia l.u t
rooteubuntu: /nnt/vln/Oocu»eflts and Sem ngs/ad«ln/Escritorioa Is
root&jbuniu./nr.t.’Mln/Oocimenu and Seu in g i/a d a ln /ticrH o rlo » [¡
■
\ l BK11ÁT
£rrn.vo
6
Nuevo
fcdiUr
yer
Atirv
gu-vor
_
GuartUr
herramienta*
H
impomir
Documento*
R
A^ula
inform acíoficonfídem inl./lp
&rcr»vador f a u r
o
Nuevo
información conftdenctal.txt O
„
Abrir
yw
%yda
*
Extraer
®
<1
4
AftaUtr arcWvos Atoar.
lugar
|¿¿ /
|pa*S Toledo 067?
Nombre
ir* orrnaoon conftdcocüi W
v- femaAo
16 bytn
Tipo
docur
| PRÁCTICA 1.2
INTEGRIDAD
Amenaza o vulnerabilidad
En caso de que algún tipo de malware reemplace o falsifique archivos del sistema operativo, ocultándose para
realizar tareas no autorizadas, la búsqueda y detección del mismo se complica ya que los análisis antimalware y de
los procesos sospechosos por parte de administradores de sistemas, no dudarán de la veracidad de dichos archivos
y procesos. A este tipo de malware se le denomina rootkit, programa que sustituye los ejecutables binarios del
sistema para ocultarse mejor, pudiendo servir de puertas trasera o backdoor para la ejecución malware remota.
System File Checker (SFC) es una utilidad de los sistemas Windows que comprueba la integridad de los archivos
de sistema. Rootkit hunter es una herramienta más completa bajo GNU/Linux que entre otras tareas, como
examinar los permisos de los ejecutables del sistema, buscar rootkits conocidos rastreando ficheros ocultos,
realiza la comprobación de integridad de los archivos de sistema, es decir, verifica que no han sido modificados.
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
Verificación Windows
SFC examina la integridad de todos los archivos de sistema protegidos de Windows y reemplaza los que están
corruptos o dañados por versiones correctas, si es posible.
En este proceso, si el sistema detecta que tiene algún problema, puede ser que nos solicite el disco de instalación
de Windows en el caso de que necesite reparar algún fichero dañado. Si el proceso determina que no hay errores,
a) final nos mostrará un texto como el de la ventana de arriba, "Protección de recursos de Windows no encontró
alguna infracción de integridad".
Si recibes un mensaje diciendo que no puede reparar algunos archivos, podemos averiguar qué archivos son y qué
pasa con ellos. Cuando se ejecuta sfc, crea un archivo LOG que podemos consultar en la carpeta C: \ WINDOWS
\LOGS\CBS\CBS.log.
Sintaxis de sfc
sfc[/scannow] [/scanonce] [/scanboot] [/revert] [/purgecache] [/cachesize=x]
Los parámetros más usados son:
/scannow. explora de inmediato todos los archivos del sistema protegidos.
/ scanboot: explora todos los archivos del sistema protegidos cada vez que se reinicia el equipo.
/?: muestra la Ayuda en el símbolo del sistema.
Si sfc descubre que un archivo protegido se ha sobrescrito, recupera la versión correcta del archivo de la carpeta
raízDelSistema\system32\dllcache y luego reemplaza el archivo incorrecto.
Si la carpeta ra¡zDelSistema\system32\dllcache está dañada o es inservible, se puede utilizar sfc /scannow o sfc
/scanboot para reparar el contenido del directorio Dllcache.
Verificación GNU/Linux
1. Rootkit Hunter se puede instalar mediante el comando:
sudo aptitude install rkhunter
Se recomienda antes de ejecutarlo, como todo software de seguridad actualizará a la versión más actual:
sudo rkhunter - -update
2. Para la ejecución sobre el sistema, verificando todas sus opciones:
sudo rkhunter - -checkall
1 ■PRINCIPIOS DE SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
¿retuvo
Edit*
Ver
]knmnal
Ayuda
root$ubuntu:/hoac/alunno* rkhunter
[ R o o t k u Hunter version 1.3.2 )
-checkall
Checking systen coanands ..
Perforoing 'strings' coatand checks
Checking 'strings' contend
I OK ]
Perforwng
Checking
Checking
Checking
[ >*g n t found
[ Mot found
[ Hot found
'shared libraries' checks
for preloading variables
tor preload file
ID LIBRARY PATH variable
Performing file properties checks
Checking for prerequisites
/bin/bash
/bin/cat
/bin/chaod
/bln/chown
/btn/cp
/bin/date
/bm/df
/bin/daesg
/bln/echo
[
I
1
I
I
1
1
1
OK
OK
OH
OK
OK
OK
OK
OK
I OK
1 OK
]
1
|
)
]
)
|
I
I
]
Comprueba, entre otros aspectos, las cadenas y atributos de los comandos o ejecutables del sistema, la existencia
de archivos rootkits, etc.
Una vez finalizado nos dará un informe completo con las advertencias y posibles archivos sospechosos
encontrados.
PRÁCTICA 1.3
DISPONIBILIDAD
Identificar y analizar la disponibilidad de servicios o servidores, puertos abiertos y versiones de sistemas
operativos que los soportan, supone la información base para el estudio de las innumerables vulnerabilidades
de los sistemas en red. De este modo se podrán tomar medidas frente a estos puntos débiles de nuestros
sistemas.
Nmap ("mapeador de redes") es una herramienta de código abierto para exploración de red y auditoría de seguridad.
Utiliza paquetes IP para determinar qué equipos se encuentran disponibles en una red, qué servicios ofrecen
y medíante qué aplicaciones (nombre y versión de la aplicación), qué sistemas operativos (y sus versiones)
ejecutan, qué tipo de filtros de paquetes o cortafuegos se están utilizando, así como otras características.
Aunque generalmente se utiliza Nmap en auditorías de seguridad, muchos administradores de redes y sistemas
lo encuentran útil para realizar tareas rutinarias, como puede ser el inventariado de la red, la planificación de
actualización de servicios y la monítorízación del tiempo que los equipos o servicios se mantiene activos.
Amenaza o vulnerabilidad
Para las versiones de software de servidores y de los sistemas operativos es posible buscar posibles
vulnerabilidades existentes:
wvjw.securityfocus.com. Informes sobre vulnerabilidades en aplicaciones y sistemas operativos, se puede
buscar información sobre las versiones de los productos de distintos fabricantes e incluso descargar
exploits de verificación.
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
ovt
(P*goi ofttl l / »«Stt J■■»(>li tm*r*
Ven tor:
M m ocot
litlr
S ÍM T ih .
V k m ío c :
S*o d V o»w y
||
-
S t a r t h Uv CVE
CYE;
1StilCW
I1
M uftlplv V u n d o r T IS P ro lo c o l H u iito n R o n * g o lia t Ion HwcuiHy V u ln a ra b iltty
h ttp /* w « r *m¿r*y1t>zut ct«T\Axl/~)bV2)
M ic ro so ft W ln d o m U vor A c c e i v C on trol (l)A C ) n y p o t t l o c a l P rtviin g o f t c a l a t k i i i Vuln«ro*»il!ty
M tcroiu ft O u tlook F Un A U a c Jim ertf DefU al Of K w rv Jt» VuinurdbMKy
M tcro to n Officw Art O raw ln q R a c o n l R a m o ta C od o l n o ctli ion V o ln o ra tilllly
rcc //w»wtaeuitvfocufc&nAnt+Mtt
Ejemplo de búsqueda de vulnerabilidades por fabricante, en este caso Microsoft.
www.nessus.org. Aplicación que detecta vulnerabilidades, tanto para sistemas y aplicaciones de Windows
como GNU/Linux. En su última versión Nessus4 funciona como servidor web.
Microsoft Baseline Securíty Analyzer (MBSA) es una herramienta diseñada para analizar el estado de
seguridad según las recomendaciones de seguridad de Microsoft y ofrece orientación de soluciones
específicas. Sirve para detectar los errores más comunes de configuración de seguridad y
actualizaciones de seguridad que falten. En la siguiente imagen, a modo de ejemplo, vemos el resultado
de un análisis en el cual se analizan aspectos como:
Sistema de ficheros. Recomendado NTFS por su mayor nivel de seguridad.
Cuentas de usuario. Analiza si poseen contraseñas y son seguras.
Actualizaciones. Analiza si el sistema posee las últimas actualizaciones que previenen de vulnerabilidades
actuales.
Cortafuegos activo y configurado.
Número de cuentas de administrador.
18
© RA-MA
1 ■PRINCIPIOS DE SEGURIDAD Y ALTA DISPONIBILIDAD
i " M icrosoft lio t tlin c S c c u n ty A n a ly/er 7.1
Microsoft
^ Baseline Security Analyzer
Scoro
Issue
Result
1
F U & r to m
(J%sWe to d e te rra n e the He ly stem o n fu©d dnvesO 4)
w as te a m e d
How to corract tN*
**
Local Acícüx*
Password Tc*t
Soma user accounts (7 of 7) h a v t biar*. or unp la passw ord%t or coufcj not ba arw#y?ed
was se am e d
to co riv .t
r
¿V/omeüc
I t- ls f «
Update* « e not a u to m a tic a l do»*rtoadedor r o ta te d c n t t a s c o r n e r
"•Wxat m t s e a m e d
No*» to corract rtw
O
In co rro tte
U pdatw
No rc o irc W e softw are update w t i K W t f Mere found
a n * w a »canned
O
Windows
F f íw il
Window* F a e w a l* n o t r o ta te d or corfi>**td property, or o not avalafelc on tfw version of W Wow*.
o
/i u * « Account
The 'i u r « a c c o u n t« not d e a b b d on th e c e n p i n .
VHhtf ««at te a m e d
*
A d m tr M o r t
No more tKan 2 AAnnrUrator* « « f <xr»d on tlw computer
* * * mat s e v n e d
P w J td e ia f o
Windows
Van»cr
Corrcuter s not r v m n g Windows OS
w*»at w as te a m e d
kxd oq co
TTot (hack w as stapped be ca m e tfte computer a n e t » r e d (o a da m an
W h a w as te a m e d
ReUncT
Anonymous
TTn ctedc can b e perfortred cr*t on Windows NT, W rdow s 2000 and Windows *P.
w as te a m e d
Password
L «pr«bon
Thn f hcei w as tfc£ped because th e computer n not p r w d Co a dom an
Mtiat w as se am e d
**
**
Del análisis y estudio de estas vulnerabilidades se aprovechan los desabolladores de exploits (del inglés to
exploit, explotar o aprovechar), software, un fragmento de datos o una secuencia de comandos que pretende
aprovecharse de un error, fallo o vulnerabilidad de una aplicación o sistema operativo. El fin del exploit puede ser
violar las medidas de seguridad para poder acceder al mismo de forma no autorizada y emplearlo en beneficio
propio o como origen de otros ataques a terceros. Como ejemplo de posible consecuencia de la ejecución de un
exploit, la toma de control de un sistema, mediante su consola de comandos.
Para explorar las vulnerabilidades más comunes existen aplicaciones como metasploits, herramienta con interfaz
modo comando y web, que posee un conjunto de exploits para aprovechar las vulnerabilidades más conocidas de
puertos, sistemas y aplicaciones.
M ic r o s o ft M o s s n q n Q u ir u n in q H n r v k a M S 0 5 - D 1 ’/ (w in37_O M B C )
HMAMC
R e q u ir e d
DATA
T h« r.« (bien na'n© o» th * t a n ja t
R H 08I
R o q u irm l
ADDR
T h « t M<jß\ a d d re s s
T h e ta rg e « p o r t
RPORT
R a q u lr o d
PORT
CMO
H u q u lred
DATA
Th« command stnng «o «■•cut«
I XI IT UVC
R o q u im d
DATA
E û t techruqua “process*. 'thread*. ’ se#»*
P r n ln r r B d f n c o d o r :
UofouM E n c o d e t
to p C enorntor:__
Qe1<uitf G e n e r a to r
1 Expío»» I
Metasploits en su formato web, a través del puerto 55555. Tras buscar y seleccionar la vulnerabilidad a explorar
(dispone de filtros de búsqueda por fabricante, puerto o aplicación), indicaremos la máquina (IP destino) en la
cual queremos rastrear la vulnerabilidad y, a continuación, ejecutaremos el escaneo.
19
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
Recomendación
Por todo esto es de vital importancia actualizar los sistemas, tanto el sistema operativo como el resto de
aplicaciones, tan pronto como sea posible.
Para facilitar esta tarea, la mayoría de aplicaciones tienen la opción de que las actualizaciones se realicen
automáticamente, lo que permite tener los programas actualizados sin la necesidad de comprobar manual y
periódicamente sí la versión utilizada es la última disponible, y por tanto la más segura.
Recomendamos activar la notificación de actualizaciones automáticas, sobre todo de las aplicaciones más
utilizadas y más expuestas a un posible ataque, sistema operativo, navegadores web, programas de ofímática,
reproductores multimedia, etc., y controlar la veracidad de las actualizaciones antes de instalarlas.
Actualmente existe software malicioso (malware) que sobrescribe las actualizaciones de aplicaciones
conocidas, como es el caso de algunos de los productos de Adobe y Java. A modo de ejemplo, existe una
variante del malware que imita Adobe Reader 9 y sobrescribe Adobellpdater.exe encargado de comprobar
si está disponible una nueva versión del software. De esta forma si hemos sido infectados y se ha sobrescrito
dicha aplicación, al notificarnos que una nueva versión está disponible, si la instalamos, en realidad estaremos
instalando aplicaciones malware.
Verificación
Nmap es una aplicación que puede utilizarse en modo comando o mediante una interfaz gráfica denominada
znmap o zenmap. Se puede obtener la versión más reciente de Nmap en http://www.insecure.org/nmap/.
A continuación se puede ver un resumen de un análisis típico en modo comando con Nmap. Los únicos parámetros
de Nmap que se utilizan en este ejemplo son la opción -A, que habilita la detección de sistema operativo y versión,
y la opción -T4 que acelera el proceso, y después el nombre de los dos objetivos.
# nmap -A -T4 scanme.nmap.org saladejuegos
Starting nmap { http://www.insecure.org/nmap/ )
Interesting ports on scanme.nmap.org (205.217.153.62):
(The 1663 ports scanned but not shown below are in state: filtered)
PORT
STATE SERVICE VERSION
ssh
OpenSSH 3 . 9pl (protocol 1.99)
22/tcp open
domain
53/tcp open
7 0 / tcp closed gopher
Apache httpd 2.0.52 ((Fedora))
8 0 / tcp open
http
113/tcp closed auth
Running : Linux 2 .4 .X |2
OS details: Linux 2.4.7 - 2.6.11, Linux 2.6.0 - 2 .6.11
Interesting ports on saladejuegos.nmap.org (192.168.0.40):
(The 1659 ports scanned but not shown below are in state: closed)
PORT
STATE SERVICE
VERSION
135/tcp open msrpc
Microsoft Windows RPC
139/tcp open netbios-ssn
5900/tcp open vnc
VNC (protocol 3.8)
MAC Address: 00 :AO :C C :63 :85 :4B (Lite-on Communications)
Running: Microsoft Windows NT/2K/XP
OS details: Microsoft Windows XP Pro RC1+ through final release
20
© RA-MA
1 ■ PRINCIPIOS DE SEGURIDAD Y ALTA DISPONIBILIDAD
Podemos ver después de este escaneo modo comando las versiones de los sistemas operativos de dichas
máquinas, direcciones MAC e IP, puertos abiertos (22 SSH, 80 HTTP, 53 DNS, 135 MSRPC, etc.) o cerrados y
versiones de las aplicaciones (OpenSSH 3.91( Apache httpd 2.0.52, etc.).
En el caso de distribuciones GNU/Linux es posible descargarse de la web del desarrollador el paquete de
instalación, descomprimirlo y compilarlo, mediante los siguientes comandos (versión del ejemplo nmap 5.35):
bzip2 -cd nmap-5.35DCl.tar.bz2
cd nmap-5.35DCl
. / c o n f ig u r e
make
su root
make install
| tar xvf -
La versión gráfica ZNMAP o ZENMAP para Linux puede obtenerse medíante el comando: sudo apt-get install
zenmap.
A continuación se muestra un escaneo rápido {Quick sean) sobre la red 192.168.0.0/23 equivalente al comando
nmap -T4 -F 192.168.0.0/23. Por cada máquina encontrada en la red informa sobre IP, nombre dentro del
dominio, puertos abiertos, etc.
mi
197.168.0.0/23
>1
ProfVr
G uie* K A n
nmop T4 F 19? 168.0 0/73
P o n y , ►icvli
ttopc<ogr'
fK
amt u ■*iwi«8ttaai
pe62-1 4 1 0 0 9 1 /3 41 anda
pC&ft i 4iOPW J 41
petC: \ 410091 •;: inda
pc6l ) 4 1 00 9173 41 anda
pcf>6-l 4100 9173 41 anda
PC67-1 4 1 00 9173 41 anda
pc64 1 41 0 0 9 1 7 3 41 anda
pc6Vl 4100 9173 41 anda
pc66-1.4 1009173.4 Landa
pC69-1 4100 9173 41 anda
pe 138-0 4100 9173 41 and
p c !3 9 - 0 .4 l0 0 9 1 73.41 ana
PC134-0 4 1 00 9173 41
pe 131-0 4 100 9173
41
p e l3 6 -0 4 1 00 9173 41
«nú
and
and
PC137-0 4 1 00 9173 4 land
p c l3 0 - 0 .4 1 0 0 9 l7 3 41
pe 131-O 4 100 9173
pel37 0 4 100 9173
pe 133-0 4100 9173
41
41
41
and
and
and
and
Starting Hw? l . N ( http://n«ap.Offl ) at 2616*11-26 14:1« CET
Interesting port*, on 192.168.6.6:
Hot ih w n ; 99 filtered port*
PORT STATE SERVICE
66/tcp op*« http
Interesting port» on f8 .41669173.41 .andared.cec.Junta Andalucía.es
H92.166.6.1)
Wot show: 93 filtered porti
P€*7
STATE SERVI«
21/tcp op*n
ftp
S3/tcp
open
doaala
86/tcp open
http
389/tcp opeo
Idap
443/tcp opeo
http»
873/tcp closed rsyne
SOOO.tcp open
http-proxy
Interesting ports on c6 .41669173.41.andared.cec. Junta andalueia.es
<192.168.6.2
Hot shown; 91 filtered portn
POUT
STATE SERVICE
21/tcp open ftp
S3/tcp
opan deoaln
66/tcp
op«n http
lllV tcp open rpcblad
W / i r r mm libn
Una vez finalizado podremos buscar para los puertos o servicios más vulnerables e inseguros, como por ejemplo
telnet (puerto 23), qué equipos se encuentran con dicho puerto abierto. En el capítulo 6, sobre seguridad en redes
corporativas volveremos a hacer uso de esta aplicación.
ALTA DISPONIBILIDAD
La alta disponibilidad (High AvailahilUy ) .se refiere a Ja cap acid ad d e q ue a p lic a cio n e s y d atos se en cu en tr en
o p era tiv o s para los u su a r io s au to riza d o s en tod o m om en to y sin in terru p cio n es, d eb id o p rin cip a lm en te
a su ca rá cter crítico. Eí objetivo de la m isma es m antener nuestros sistem as funcionando las 24 horas del día, 7
días a la sem ana, 365 días al año, m anteniéndolos a salvo de interrupciones, teniendo en cuenta que se diferencian
dos tip o s de in terru p cion es;
21
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
Las in te r r u p c io n e s p rev ista s, que se realizan cuando paralizam os el sistem a para realizar cambios o
m ejoras en nuestro hardw are o software.
Las in terr u p cio n es im p revistas, que suceden por acontecimientos im previstos (como un apagón, un error del
hardw are o del software, problem as de seguridad, un desastre natu ral, virus, accidentes, caídas involuntarias
del sistema).
Las m é trica s com únm ente utilizadas p ara medir la disponibilidad y fiabilidad de un sistem a son el tiempo medio
en tre fallos o MTTF (Mean Time To Failure) que mide el tiempo medio transcurrido hasta que un dispositivo falla, y
el tiempo medio de recuperación o MTTR (Mean Tíme To Recouer) m ide el tiempo medio tomado en restablecerse la
situación norm al una vez que se ha producido el fallo. El tiempo en el que un sistem a está fuera de servicio se mide
a m enudo como el cociente MTTR/MTTF. Lógicamente, nuestro principal objetivo es aum entar el MTTF y reducir el
M TTR de forma que minimicemos el tiempo de no disponibilidad del servicio.
Existen distintos n iv e le s d e d is p o n ib ilid a d del sistem a, según el tiempo aproximado de tiempo en inactividad
por año se determ ina el porcentaje de disponibilidad. El m ayor nivel de exigencia de alta disponibilidad acepta 5
m inutos de inactividad al año, con lo que se obtiene una disponibilidad de 5 nueves: 99,999%.
Como ejem p lo s d e siste m a s y se r v ic io s d e a lta d isp o n ib ilid a d podemos m encionar sistem as sanitarios,
control aéreo, de comercio electrónico, bancarios, transporte m arítim o, m ilitares, etc., donde la pérdida o interrupción
de conectividad pueden suponer graves consecuencias personales y económicas. En el Capítulo 8 profundizarem os en
a lg u n as de las técnicas que perm iten m ejorar la disponibilidad de los sistem as y servicios ofrecidos por estos.
ELEMENTOS VULNERABLES EN EL SISTEMA INFORMÁTICO:
HARDWARE, SOFTWARE Y DATOS
L a seg uridad es u n p ro b lem a in tegral: los problem as de seguridad inform ática no pueden ser tratad o s
aislad am en te ya que la seguridad de todo el sistem a es igual a la de su punto más débil. Ai asegurar nuestra casa no
sirv e de nada ponerle una p u erta blindada con sofisticada cerradura si dejamos las ventanas sin protección.
La educación de los usuarios es fundam ental p ara que la tecnología de seguridad pueda funcionar. Es evidente
q ue por mucha tecnología de seguridad que se im plante en una o rg a n iza ció n , si no existe una clara disposición por
p arto de los directivos de la em presa y una cultura a nivel de usuarios, no se conseguirán los objetivos perseguidos con
la im plantación de un sistem a de .seguridad. Por tanto, la seguridad inform ática precisa de un n iv el organ izativo,
q u e posibilite unas norm as y pautas comunes por parte de los usuarios de sistem as dentro de una em presa, por lo
q ue diremos que:
S istem a d e S egu rid ad = TECNOLOGÍA + ORGANIZACIÓN
Los tres elem entos principales a proteger en cualquier sistem a informático son el software, el hardware y los datos.
E n las auditorias de seguridad se habla de un cuarto elem ento a proteger, de m enor im portancia desde el punto de
v is ta de la seguridad inform ática, los fungibles (elementos que se gastan o desgastan con el uso continuo, como papel
d e im presora, tóner,...).
H ab itu al m ente lo s d a to s c o n s titu y e n el p r in c ip a l e le m e n to de los tres a p ro teg er, ya que es el más
am enazado y seguram ente e l m ás d ifíc il d e recuperar: con toda seguridad un servidor estará ubicado en un lugar
22
© RA-MA
1 * PRINCIPIOS DE SEGURIDAD Y ALTA DISPONIBILIDAD
de acceso físico restringido, o al menos controlado, y adem ás en caso de pérdida de una aplicación (o un program a
de sistem a, o el propio núcleo del sistem a operativo) este software se puede re sta u rar sin problemas desde su medio
original (por ejemplo, el CD o DVD con el sistem a operativo que se utilizó p ara su instalación). Sin embargo, en caso de
p érdida de una base de datos o de un proyecto de un usuario, no tenemos un medio ‘‘originar’ desde el que restaurar,
hemos de pasar obligatoriam ente por un sistem a de copias de seguridad, y a menos que la p o lític a de co p ia s sea
m uy estricta, es difícil devolver los datos al estado en que se encontraban antes de la pérdida.
También debemos ser conscientes de que las m edidas de seguridad que deberán establecerse se deben contem plar
a diferentes niveles, desde aspectos m ás lo ca les, p erso n a les o in d iv id u a le s h a sta los g lo b a les que afectan a
una o rg a n iza ción , o incluso la ciudadanía y em presas en su conjunto, como son las leyes. Por tan to la seguridad
inform ática comprenden el hardw are y el sistem a operativo, las comunicaciones (por ejemplo, protocolos y medios de
transm isión seguros), m edidas de seguridad físicas (ubicación de los equipos, sum inistro eléctrico, etc.), los controles
organizativos (políticas de seguridad de usuarios, niveles de acceso, contraseñas, norm as, procedimientos, etc.) y
legales (por ejemplo, la Ley Orgánica de Protección de Datos, LOPD).
LEGALES
ORGANIZATIVAS
FÍSICAS
Ù
Distintos mueles de profundidad relativos a la seguridad informática
E ste esquem a sirve de base para el desarrollo del libro analizando la seguridad inform ática desde distin tas
perspectivas, completando una visión global de la m ateria:
S egu rid ad pasiva: Seguridad física y am biental y copias de seguridad en los sistem as informáticos. Capítulo 2.
S eg u rid ad lógica: control de acceso a Los sistem as, gestión de sistem as operativos: usuarios, privilegios,
contraseñas en el C apítulo 3, software de seguridad antim alw are en el Capítulo 4 y cifrado en la información
y comunicaciones m ediante el estudio de la criptografía en el Capítulo 5.
S eg u rid ad en re d e s corporativas: estudiando protocolos y aplicaciones seguras como SSH, TLS/SSL y VPN,
configuraciones seguras en inalám bricas en el Capítulo 6 y protegiendo especialm ente ¡a seguridad peri m etra 1
m ediante cortafuegos y proxy en el Capítulo 7.
C o n fig u ra cio n es d e alta d isp on ib ilid ad : m ediante redundancia en el alm acenam iento RAID, balanceo de
carga, virtualización de servidores. Capítulo 8.
N orm ativa legal en m ateria d e segu rid ad inform ática: LOPD y LSSICE. Capítulo 9.
23
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
AMENAZAS
Las am enazas a un sistem a informático pueden provenir desde un kacker remoto que en tra en nuestro sistem a
con un troyano, pasando por un program a descargado gratuito que nos ayuda a gestionar nuestras fotos, pero que
supone una p u e rta tra se ra a nuestro sistem a perm itiendo la en tra d a a espías, h asta la en trad a no deseada al
sistem a m ediante una contraseña de bajo nivel de seguridad. Las am enazas pueden ser p rovocad as por: personas,
condiciones físicas-am bientales y software, o lógicas.
AMENAZAS PROVOCADAS POR PERSONAS
L a mayoría de ataques a nuestro sistem a provienen de personas que, intencionadam ente o no, pueden causam os
enorm es pérdidas. G eneralm ente se tra ta ra de p irata s inform áticos, ciberdelincuentes, hackers o crackers, que
in ten tan conseguir el máximo nivel de privilegio posible aprovechando algunas vulnerabilidades del software. Se
dividen en dos grandes grupos: los atacantes pasivos que fisgonean el sistem a pero no lo modifican o destruyen, y los
activos que d añan el objetivo atacado o lo modifican en su favor.
D en tro d e u n a organ ización : El propio personal puede producir un ataque intencionado, nadie mejor conoce
los sistem as y sus debilidades, o un accidente causados por un error o por desconocimiento de las norm as básicas de
seguridad. Por otro lado ex empleados o personas descontentas con la organización pueden aprovechar debilidades
que conocen o incluso realizar chantajes.
H acker: Experto o gurú en aspectos técnicos relacionados con la inform ática. Personas que les apasionan el
conocimiento, descubrir o aprender nuevas cosas y entender el funcionam iento de éstas. Suele distinguirse entre
aquellos cuyas acciones son de carácter constructivo, inform ativo o solo intrusivo, o que adem ás lo son de tipo
destructivo, catalogados respectivam ente de hackers y crackers, o w b ite h at y black hat. Recientem ente ha aparecido
el térm ino, más neutro, grey hat (sombrero gris), que ocasionalm ente traspasan los lím ites entre am bas categorías.
O tros térm inos y categorías son:
N ew bie: Hacker novato.
W annaber: Les interesa el tem a de hacking pero que por estar empezando no son reconocidos por la élite.
L am m er o Script-K iddies: P retenden hacer hacking sin tener conocimientos de inform ática. Solo se dedican
a buscar y descargar program as de hacking p ara luego ejecutarlos.
L user {looser + user): Es un térm ino utilizado por hackers para referirse a los usuarios comunes, de m anera
despectiva y como burla.
P ir a ta in fo rm á tico , c ib e r d e lin c u e n te o d e lin c u e n te in form ático: Personas dedicadas a realizar actos
delictivos y perseguidos legalm ente: como la copia y distribución de software, m úsica o películas de forma ilegal,
frau d es bancarios o estafas económicas.
AMENAZAS FÍSICAS Y LÓGICAS
L as am en a za s física s y a m b ien ta les afectan a las instalaciones y/o el hardw are contenido en ellas y suponen el
p rim e r nivel de seguridad a proteger para garan tizar la disponibilidad de los sistem as. En el capítulo 2 veremos con
m ás profundidad los aspectos asociados a:
24
© RA-MA
1 ■PRINCIPIOS DE SEGURIDAD Y ALTA DISPONIBILIDAD
Robos, sabotajes, destrucción de sistem as.
Cortes, subidas y bajadas bruscas de sum inistro eléctrico.
Condiciones atm osféricas adversas. H um edad relativa excesiva o tem p eratu ras extrem as.
Catástrofes (naturales o artificiales) terrem otos, inundaciones, incendios, hum o o atentados de baja m agnitud,
etc.
Interferencias electrom agnéticas que afecten al normal com portamiento de circuitos y comunicaciones.
U na am en aza ló g ica es software o código que de una forma u otra pueden afectar o d añ a r a nuestro sistem a,
creados de forma intencionada para ello (el software malicioso, tam bién conocido como malware, se analizará a fondo
en eí Capítulo 4) o sim plem ente por error (bugs o agujeros). E ntre otros encontramos:
H erra m ien tas de seguridad: Existen herram ientas para detectar y solucionar fallos en los sistem as, pero se
pueden utilizar para detectar esos mismos fallos y aprovecharlos para atacarlos.
Rogueware o fa lso s p rogram as d e segu rid ad: También denominados Bogue, FakeAVs, Badware, Scareware,
son falsos an ti virus o an ti espías.
P u erta s tra sera s o backdoors: Los program adores insertan “atajos” de acceso o adm inistración, en ocasiones
con poco nivel de seguridad.
Virus: Secuencia de código que se inserta en un fichero ejecutable (denominado huésped), de forma que cuando
el archivo se ejecuta, el virus tam bién lo hace. D etrás de la palabra virus existe todo un conjunto de térm inos
que analizarem os con m ás detalle en el Capítulo 4, dentro de lo que se conoce como malware.
G usan o o Worm: Program a capaz de ejecutarse y propagarse por sí mismo a través de redes, norm alm ente
m ediante correo electrónico basura o spcim.
T ro y a n os o C ab allos d e Troya: Aplicaciones con instrucciones escondidas de forma que éste parezca
realizar las tareas que un usuario espera de él, pero que realm ente ejecute funciones ocultas (generalm ente en
detrim ento de la seguridad) sin el conocimiento del usuario.
P rogram as con ejo o bacterias; Program as que no hacen nada útil, sim plem ente se dedican a reproducirse
h a sta que el núm ero de copias acaba con los recursos del sistem a (memoria, procesador, disco...), produciendo
una negación de servicio.
C a n a les cubiertos: C anales de comunicación que perm iten a un proceso tran sferir información de forma que
viole la política de seguridad del sistem a; un proceso transm ite información a otros que no están autorizados
a leer dicha información.
TECNICAS DE ATAQUE
Del mismo modo que hemos analizados las am enazas de los sistem as informáticos desde un punto de vista de
quién o qué la genera, los tipos de am enazas pueden clasificarse en función de la té c n ic a q u e se em p lea n para
rea liz a r el ataq u e. Las técnicas m ás usuales son las que se indican en la Tabla 1.1.
25
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
Tabla 1.1
Malware
Programas malintencionados (virus, espías, gusanos, troyanos, etc.) que afectan a
los sistemas con pretensiones como: controlarlo o realizar acciones remotas, dejarlo
inutilizable, reenvío de spam, etc.
Ingeniería
social
Obtener información confidencial como credenciales (usuario-contraseña), a través de
la manipulación y la confianza de usuarios legítimos. El uso de dichas credenciales o
información confidencial servirá para la obtención de beneficios económicos mediante
robo de cuentas bancarias, reventa de información o chantaje,
Scam
Estafa electrónica por medio del engaño como donaciones, transferencias, compra de
productos fraudulentos, etc. Las cadenas de mail engañosas pueden ser scam si hay
pérdida monetaria y hoax (bulo) cuando solo hay engaño.
Spam
Correo o mensaje basura, no solicitados, no deseados o de remitente no conocido,
habitualmente de tipo publicitario, enviados en grandes cantidades que perjudican de
alguna o varias maneras al receptor. Suele ser una de las técnicas de ingeniería social
basada en la confianza depositada en el remitente, empleadas para la difusión de scam,
phishing, hoax, malware, etc.
Sniffing
Rastrear monítorizando el tráfico de una red para hacerse con información confidencial.
Spoofing
Suplantación de Identidad o falsificación, por ejemplo encontramos IP, MAC, tabla ARP,
web o mail Spoofing.
Pharming
Redirigir un nombre de dominio (domain ñame) a otra máquina distinta falsificada y
fraudulenta.
Phishing
Estafa basada en la suplantación de identidad y la ingeniería social para adquirir acceso
a cuentas bancarias o comercio electrónico ilícito.
Password
cracking
Descifrar contraseñas de sistemas y comunicaciones. Los métodos más comunes son
mediante sniffing, observando directamente la introducción de credenciales (shoulder
surfing), ataques de fuerza bruta, probando todas las combinaciones posibles, y de
diccionario, con un conjunto de palabras comúnmente empleadas en contraseñas.
Botnet
Conjunto de robots informáticos o bots, que se ejecutan de manera autónoma y
automática, en multitud de host, normalmente infectados, permite controlar todos
los ordenadores/servidores Infectados de forma remota. Sus fines normalmente son
rastrear información confidencial o incluso cometer actos delictivos.
Denegación
de servicio
o Denial of
Service (DoS)
Causar que un servicio o recurso sea inaccesible a los usuarios legítimos. Una
ampliación del ataque Dos es el llamado ataque distribuido de denegación de servicio,
también llamado ataque DDoS, a través de una botnet, siendo esta técnica el
ciberataque más usual y eficaz.
PROTECCIÓN
H a sta ahora hemos hablado de los aspectos que engloba la seguridad inform ática, de los elem entos a proteger, de
los tipos de am enazas que contra ellos se presentan y del origen de tales am enazas; parece claro que, para com pletar
n u e s tra visión de la seguridad, hemos de hablar de las form as d e p ro tecció n d e n u e stro s sistem as.
26
© RA-MA
1 ■PRINCIPIOS DE SEGURIDAD Y ALTA DISPONIBILIDAD
P ara proteger nuestro sistem a hem os de realizar un a n á lisis de la s am en azas p o te n c ia le s que puede sufrir, las
p érd id a s que podrían generar y la p rob ab ilid ad d e su ocu rren cia. E ste análisis convencionalmente se realizará
m ediante auditorías de seguridad.
AUDITORÍA DE SEGURIDAD DE SISTEMAS DE INFORMACIÓN
U na auditoría de seguridad inform ática o auditoría de seguridad de sistem as de información (SI) es el estudio
que comprende el a n á lisis y g e stió n d e sistem a s para id e n tific a r y p o sterio rm en te co rreg ir las d iv ersa s
v u ln e r a b ilid a d e s que pudieran p resentarse en una revisión exhaustiva de las estaciones de trabajo, redes de
comunicaciones o servidores.
U na vez obtenidos los resu ltad os, se d etallan , arch ivan y rep o rta n a los resp o n sa b le s q u ie n e s d eb erán
e s ta b le c e r m e d id a s p r e v e n tiv a s d e refu erzo , siguiendo siem pre un proceso secuencial que perm ita a los
adm inistradores m ejorar la seguridad de sus sistem as aprendiendo de los errores cometidos con anterioridad.
Las auditorías de seguridad de SI perm iten conocer en el momento de su realización cuál es la situación exacta de
sus activos de información en cuanto a protección, control y m edidas de seguridad. Los o b jetiv o s de u n a auditoría de
seguridad de los sistem as de información son:
Revisar la seguridad de los entornos y sistem as.
Verificar el cum plimiento de la norm ativa y legislación vigentes
E laborar un informe independiente.
U na auditoría se realiza con base a un patrón o conjunto de directrices o b u en as p rá ctica s su g erid a s. Existen
e stá n d a re s o rien ta d o s a servir com o b a se p ara a u d ito ría s d e inform ática. Uno de ellos es COBIT (Objetivos
de Control de las Tecnologías de la Información), y adicional a éste podemos encontrar el están d ar ISO 27002, el cual
se conforma como un cód igo in tern a cio n a l de b u e n a s p rá ctica s d e seg u rid a d de la inform ación , éste puede
constituirse como una directriz de auditoría apoyándose de otros estándares de seguridad de la información que
definen los r e q u isito s d e a u d ito r ía y sistem a s de g estió n d e segu rid ad , como lo es el estándar ISO 27001.
Los servicios de auditoría constan de las siguientes fases:
Enum eración de sistem as operativos, servicios, aplicaciones, topologías y protocolos de red.
Detección, comprobación y evaluación de vulnerabilidades.
Medidas específicas de corrección.
Recomendaciones sobre im plantación de m edidas preventivas.
1.5.1.1 T ip o s d e a u d ito r ía
Los servicios de auditoría pueden ser de distinta índole:
A u d ito ría d e seg u rid a d intern a: se contrasta el nivel de seguridad de las redes locales y corporativas de
carácter interno.
A u d itoría de segu rid ad perim etral: se estudia el perím etro de la red local o corporativa, conectado a redes
públicas.
T est d e in tru sión : se in ten ta acceder a los sistem as, para comprobar el nivel de resistencia a la intrusión no
deseada.
27
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
A n á lisis forense: análisis posterior de incidentes, m ediante el cual se tra ta de reconstruir cómo se ha penetrado
en el sistem a, a la par que se valoran los daños ocasionados. Si los daños han provocado la inoperabilidad del
sistem a, se denom ina análisis post mórtem.
A u d ito ría d e cód igo d e a p licacion es: análisis del código independientem ente del lenguaje empleado, un
ejemplo concreto y frecuente se realiza con los sitios web, m ediante el análisis externo de la web, comprobando
vulnerabilidades como la inyección de código SQL, Cross Site Scri.pting (XSS), etc.
R ealizar auditorías con c ie r ta fr e c u e n c ia asegura la integridad de los controles de seguridad aplicados a
los sistem as de información. Acciones como el constante cambio en las configuraciones, la instalación de parches,
actualización del software y la adquisición de nuevo hardw are hacen necesario que los sistem as estén continuam ente
verificados m ediante auditoria.
A lgunas de las auditorías que trabajarem os a lo largo del libro son em pleadas en ocasiones para acceder a
sistem as y conexiones rem otas no autorizadas, aunque en nuestro caso deben servir para ver el nivel de seguridad
que disponemos en nuestros sistem as. E n tre las m ás comunes son las auditorías de contraseñas de acceso a sistem as
y de conexiones inalám bricas o wireless.
MEDIDAS DE SEGURIDAD
A p a rtir de los análisis realizados m ediante auditorías, hem os de d ise ñ a r una p o lític a d e seg u rid a d que
defina responsabilidades y reg la s a seg u ir para evitar tales am enazas o m inim izar sus efectos en caso de que se
produzcan. A los mecanismos utilizados para im plem entar esta política de seguridad se les denomina m ecan ism os
d e seg u rid a d , son la parte m ás visible de nuestro sistem a de seguridad y se convierten en la herram ienta básica
p a ra g aran tizar la protección de los sistem as o de la propia red. Se distinguirán y estudiarán en los próximos capítulos
las m edidas de seguridad:
S egú n el recu rso a proteger:
S eg u rid a d física: tra ta de proteger el hardw are, teniendo en cuenta entre otros aspectos Ja ubicación y
las am enazas de tipo físico: robos, catástrofes n atu ra les o artificiales, etc. Algunas m edidas son el estudio
de la ubicación correcta, medidas preventivas contra incidentes como incendios o inundaciones o el control
de acceso físico.
S egu rid ad lógica: protege el software tanto a nivel de sistem a operativo como de aplicación, sin perder
nunca de vista el elemento fundam ental a proteger, la información o datos de usuario. Dentro de sus m edidas
se encuentran; copias de seguridad, contraseñas, perm isos de usuario, cifrado de datos y comunicaciones,
software específico antim alw are, actualizaciones o filtrado de conexiones en aplicaciones de red.
S eg ú n el m om en to en el q ue se p on en en m archa las m ed id as d e segu rid ad:
S eg u rid a d activa: son p r e v e n tiv a s y evitan grandes daños en los sistem as informáticos, por tanto se
consideran acciones p rev ia s a u n ataque. Son de este tipo todas las m edidas de seguridad lógica.
S egu rid ad pasiva: son correctivas, m inim izan el impacto y los efectos causados por accidentes, es decir
se consideran m edidas o acciones p o ster io r es a un ataque o incidente. Son de este tipo todas las m edidas
de seguridad física y las copias de seguridad que perm iten m inim izar el efecto de un incidente producido.
28
© RA-MA
1 ■PRINCIPIOS DE SEGURIDAD Y ALTA DISPONIBILIDAD
REFERENCIAS WEB
INTECO - Instituto NacionaJ de Tecnologías de la Comunicación:
www.inteco.es
Hispasec Sistem as: Seguridad y Tecnologías de información. Noticias diarias y resúm enes anuales de noticias
de actualidad sobre seguridad informática:
www.hispasec. com
Guía completa de seguridad informática:
h ttp :! / www.rediris.es / cert tdoc / unixsec / unixsec. html
Web de seguridad inform ática de la em presa de tecnologías de información (IT) IDG:
www.idg.es
Blog de seguridad inform ática de la em presa Trend Micro con noticias actuales:
h ttp: / / blog.trendmicro.es
Portal de ISO 27001 en español:
www. iso27000. es
Blog sobre auditoría y seguridad inform ática ISO 27001:
h ttp :/1 sg si■iso27001.blogspot.com
RESUMEN DEL CAPÍTULO
H ablar hoy en día de un sistem a informático totalm ente seguro es imposible, ía conectividad global
perm ite extender el campo de posibles am enazas. Aunque éstas provienen de dist intos ámbitos: p erso n a s
(personal de u n a organización, hackers y crackers en red), am en a za s ló g ica s (malware y exploits sobre
vulnerabilidades de las aplicaciones), así como todo tipo de am en azas física s como robos o catástrofes
(n atu rales o artificiales como incendios).
En este capítulo se han analizado los fundam entos y conceptos para conseguir sistem as y configuraciones
fiables, partiendo del principio de g aran tizar d isp on ib ilid ad .
Hoy en día se realizan un im p o rtan te y gran núm ero de operaciones a trav és de las redes de
comunicaciones y la disponibilidad de sus servicios ofrecidos se convierten en ocasiones en algo crítico,
pasam os a hablar de a lta d isp o n ib ilid a d cuando son necesarias m edidas específicas que garanticen la
operatibilidad 24 horas al día, 7 días a la sem ana, los 365 días al año.
Sobre la disponibilidad de los sistem as se sustentan otros aspectos que se deben perseguir para m ejorar
la seguridad inform ática como la c o n fid en cia lid a d , in tegrid ad , a u ten tica c ió n y el no repudio.
29
© RA-MA
SEGURIDAD Y ALTA DISPONIBILIDAD
Debemos ser conscientes de que las m ed id a s de seg u rid a d comprenden un conjunto de elem entos
que no pueden ser tratados dejando de lado o desprotegido ninguno de ellos: hardw are, sistem a operativo,
comunicaciones, m edidas de seguridad físicas (ubicación de los equipos, sum inistro eléctrico, etc.), los
controles organizativos (políticas de seguridad, norm as, procedim ientos, etc.) y legales (como la Ley
O rgánica de Protección de Datos, LOPD). Dichas m edidas se diferencian en función de qué elem ento
protegen seg u rid a d físic a y seg u rid a d ló g ica , y según sean preventivas (activas) o correctivas después
de un incidente (pasivas).
En los siguientes capítulos analizarem os periódicam ente el nivel de seguridad proporcionado por
nuestros sistem as m ediante a u d ito r ía s y estudiarem os las m edidas oportunas para hacer de la seguridad
la seña de identidad de nuestros sistem as.
EJERCICIOS PROPUESTOS
A lo largo de los siguientes ejercicios propuestos se pre­
se n ta n una serie de recomendaciones y h erram ientas
genéricas para todo tipo de usuarios sean adm inistra­
dores o no.
a través de las redes sociales. ¿Crees que conocer
este tipo de noticias te ayudarán a tom ar ciertas
precauciones? ¿Para qué tipo de usuarios puede
ser útil?
1. M antenerse siem pre inform ado y al día es la pri­
m era y mejor recomendación. Uno de los peligros
m ás comunes p ara los usuarios de Internet ya que
son actualm ente unas de las web más usadas son
las denom inadas redes sociales. P ara ello se pro­
pone a n a liz a r la siguiente noticia: "Cinco nuevas
estafas en Facebook y T w itter”, cuya fuente se en­
c u e n tra descargándose el m a te ria l adicional del
libro y en: htt.p:/ / www.csospain.es/Cinco-nueuasestafas-en-Facebook-y-Tloitter / sección-alertas ¡ articulo-196360, y contestar a las siguientes cuestiones:
2. E n la web de H ispasec existen varios recursos
m uy interesantes, como m ultitud de noticias y estu ­
dios de actualidad, servicio de envío de noticias “Una
al día” al que puedes suscribirte tan solo escribiendo
tu correo electrónico, o VirusTotal analizador de ar­
chivos o URL potencialm ente maliciosas. Analiza las
noticias de la últim a sem ana. ¿Qué vulnerabilidades
y am enazas se describen? ¿Qué tipo de precauciones
se recom iendan? Realiza un resum en de las mismas
y súbelo a tu blog.
¿Qué tipo de ataques son los más comunes que
se producen en las redes sociales? ¿Crees qué los
ciberdelitos y ciberfraudes proliferarán con el
uso de las redes sociales? ¿Qué es una blcicklist?
Indica alguna web con comprobación de direccio­
nes web o URL, IP, direcciones de m ail, etc., que
sean potencialm ente maliciosas.
Indica qué precauciones tom arías y cómo iden­
tificarías un fraude a través de una red social.
Busca algún nuevo tipo de estafa que se produzca
30
3. Em plea contraseñas fuertes y renuévalas periódi­
camente. Verifica y anota el nivel de fortaleza en tus
contraseñas de acceso al sistem a operativo, correo
electrónico y otras aplicaciones web como redes so­
ciales, banca online, etc.:
http: / / www.m icrosoft.com /latam /protect /yourself! passw ord / checker.mspx
Según las recom endaciones de Microsoft, una
contraseña segura debe parecer le a un atacante
una cadena aleatoria de caracteres. Debe tener 14
© RA-MA
1 ■PRINCIPIOS DE SEGURIDAD Y ALTA DISPONIBILIDAD
caracteres o más (como mínimo, ocho caracteres).
Debe incluir una combinación de letras m ayúscu­
las y m inúsculas, núm eros y símbolos especiales.
¿Tus contraseñas de acceso a sistem as operativos,
aplicaciones web como m ail o redes sociales, son
seguras? ¿Cada cuanto tiempo cam bias las con­
traseñas?
4. M antón actualizado tu sistem a operativo y apli­
caciones, sobre todo los navegadores web, ya que las
vuln erab ilid ades y am enazas cam bian co nstante­
m ente a través de la red. Comprueba el estado de
actualización de tus aplicaciones, especialm ente el
de navegadores web. Realiza un análisis desde la
web de S ecu n ia con su inspector online:
http'.l /secunia.com / vniñera bility_scann in g /
online / ?lang=es
¿Qué aplicaciones disponían posibles vulnerabili­
dades al no encontrarse totalm ente actualizadas?
¿Cuál es la solución propuesta?
5. Con respecto a tu navegador web, es recomendable
tenerlo con una correcta configuración, controlar la
aceptación de cookies y el bloqueo de ventanas em er­
gentes, así como no recordar contraseñas en caso de
com partir el equipo con otros usuarios.
C o n testa a las sig u ien tes p reg u n tas, explora
e identifica: ¿Qué opciones de seguridad o p ri­
vacidad perm iten configurar tus navegadores
web? ¿Se aceptan cookies? ¿Recuerdan contrase­
ñas? ¿Cuáles? ¿Bloquean ventanas em ergentes?
¿Dispones de restricciones de acceso a determ ina­
dos sitios web?
dos, ocupación en disco de los archivos analizados,
% de ocupación de CPU en ejecución, opciones
avanzadas de escaneo, tiempo de escaneo, vulne­
rabilidades y malware encontrado, malware des­
infectado, soluciones propuestas de desinfección.
7. Realiza copias de seguridad periódicam ente de
la información fundam ental para ti, recuerda que
es el elem ento fundam ental a proteger. P ara reali­
zar copias de seguridad hoy en día existen diversas
opciones en In te rn e t podemos em plear un sitio FTP
gratuito, o servicios más especializados y seguros
como D ropbox, Id riv e o Mozy, que ofrecen alm ace­
nam iento virtual de datos para copias de seguridad
remotas. Crea una cuenta y realiza una configura­
ción y prueba de copia de seguridad online de archi­
vos de tu equipo.
8. Em plea y conoce a fondo la configuración de todas
las herram ientas de configuración que te perm iten
tu sistem a operativo y aplicaciones de red. Los siste­
m as Windows incorporan un c e n tro d e seg u rid a d
donde encontrarem os inform ación sobre: firew all,
actualizaciones autom áticas y protección antivirus
(solo detecta si tenemos instalado alguno).
Se reco m ien d a tener activado el firew all o cor­
tafuegos para ev itar posibles accesos externos,
notificar periódicam ente y descargar e in s ta la r
m anualm ente actualizaciones, así como disponer
de protección antivirus. Si deseam os acceder a
Microsoft U pdate para ver las últim as actualiza­
ciones de n u estro sistem a operativo Windows,
podremos hacerlo entrando con In tern et Explorer
5 o superior a: http:11www.apdate.microsoft.com.
C ontesta a las siguientes cuestiones:
6. Verifica periódicam ente si estás infectado por
malware. Actualm ente la m ayoría de las em presas
de seguridad inform ática y creadores de antivirus
g ra tu ito s y de pago, ofrecen servicios de escaneo
online p ara poder probar sus soluciones. Aunque nor­
m alm ente no disponen de funcionalidades completas
como la desinfección, si sirven p a ra ten er conoci­
m iento de que vulnerabilidades y malware tenemos
en nuestro sistem a. Busca al menos dos an tiv iiu s en
línea y realiza análisis de tu sistem a para tener un
co n traste en la información obtenida. E n tre otras
em presas que lo facilitan so encuentran: P anda,
Bitdefender, Eset, Kaspersky, Mcafee, TrendMícro,
Symantec, etc.
Configura el firewall de Windows para evitar con­
testar a peticiones de red de eco en tran te. ¿Es
posible realizar la configuración de cada puerto
de red?
Realiza una com parativa en tre las soluciones em ­
pleadas anotando: núm ero de archivos an aliza­
Configura el firew all para evitar que tu navega­
dor web tenga acceso a Internet.
¿Crees que los sistem as GNU/Linux al no dispo­
ner de tan tas opciones de herram ientas an tivirus
son m ás seguros que los sistem as Windows? ¿Por
qué? ¿Y en caso de tener un servidor FTP bajo
Linux, alojando archivos potencialm ente malicio­
sos, sería recomendable tener alguna herram ien ­
ta que rastree posibles archivos infectados?
31
© RA-MA
SEGURIDAD Y ALTA DISPONIBILIDAD
TEST DE CONOCIMIENTOS
La p rim era c a ra c te rístic a a g a ra n tiz a r en un
sistem a seguro es:
Confidencialidad.
Integridad.
Disponibilidad.
No repudio.
Indica qué sentencia es falsa:
La integridad perm ite asegurar que los datos no
se h an falseado.
Confidencialidad es desvelar datos a usuarios no
autorizados; que comprende tam bién la privaci­
dad (la protección de datos personales).
Disponibilidad es que la información se encuen­
tre accesible en todo m omento a los distintos
usuarios autorizados.
U na de las siguientes m edidas no pertenece a la
seguridad lógica:
C ontraseñas.
SAI.
Copia de seguridad.
SW antim alware.
¿Qué elem ento de un siste m a inform ático se
considera m ás critico a la hora de protegerlo?
Comunicaciones.
Software.
Hardware.
Datos.
U n hacker:
Siem pre tiene una finalidad maliciosa.
La m ayoría de las veces tiene u na finalidad
maliciosa.
A veces posee una finalidad maliciosa, entonces
se denom ina cracker.
Es un curioso con una finalidad conocida.
32
El phishing'.
Es un tipo de fraude bancario.
Es u n tipo de maluoare o virus.
Se contrarresta con un spywctre.
Se propaga m ediante correo electrónico siempre.
¿Cuál es el estándar ISO en m ateria de auditoría de
sistem as de información?
IS O 9001.
ISO 27000.
ISO 27002.
ISO 27001.
COBIT.
¿Y el están d ar de buenas prácticas en m ateria de
seguridad informática?
ISO 9001.
ISO 27000.
ISO 27002.
ISO 27001.
COBIT.
Con respecto a un análisis forense:
Se realiza siem pre a posteriori de detectar
vulnerabilidades.
Se debe realizar sem analm ente.
Se realiza ta n solo cuando el sistem a de inform a­
ción ‘‘ha muerto".
Se realiza siem pre a priori de detectar vu ln era­
bilidades.
Una vez se realiza una auditoría:
Si todo se encuentra correcto no es necesario
volver a realizar auditorías.
Es recomendable volver a realizarlas periódica­
mente.
Es poco probable que todo esté perfecto.
Es recom endable volver a realizarías periódica­
mente, pero ya no tan exhaustivas.
•
•
•
/
Profundizar en aspectos de seguridad
pasiva, como son las copias de
seguridad y medidas específicas de
seguridad física y ambiental.
/
Valorar la importancia de realizar
periódicamente copias de seguridad
de la información sensible de nuestros
sistemas.
/
Analizar los distintos aspectos que
influyen en la ubicación física de los
sistemas.
✓ Valorar la importancia para
la empresa de un centro de
procesamiento de datos (CPD) y
analizar qué medidas específicas
requiere.
✓ Analizar los distintos dispositivos
hardware que permiten mejorar la
seguridad física, como sistemas de
alimentación ininterrumpida (SAI),
sistemas de refrigeración, armarios
de seguridad, circuitos cerrados de
televisión, etc.
Investigar sobre nuevos métodos de
seguridad física y de control de acceso
a los sistemas medíante biometría.
© RA MA
SEGURIDAD Y ALTA DISPONIBILIDAD
PRINCIPIOS DE LA SEGURIDAD PASIVA
La seg u rid a d p asiva in ten ta m inim izar el impacto y los efectos causados por accidentes, es decir, se consideran
m e d id a s o a cc io n es p o sterio res a un ataque o incidente. A continuación se presenta una tabla que relaciona los
posibles problemas con soluciones propuestas:
Tabla 2.1
Medidas paliativas
Amenazas
Suministro eléctrico: cortes, variaciones
del nivel medio de tensión (subidas y
bajadas), distorsión y ruido añadido.
Robos o sabotajes: acceso físico no
autorizado al hardware, software y copias
de seguridad
Condiciones atmosféricas y
naturales adversas: temperaturas
extremas, humedad excesiva, incendios,
inundaciones, terremotos.
Sistema de alimentación ininterrumpida (SAI o UPS).
Generadores eléctricos autónomos.
Fuentes de alimentación redundantes.
- Control de acceso físico: armarios, llaves, blindaje, biometria.
- Vigilancia mediante personal y circuitos cerrados de
televisión (CCTV).
Elegir la correcta ubicación de sistemas, teniendo en cuenta
en la construcción la probabilidad de catástrofes naturales y
ambientales.
Centro de respaldo en ubicación diferente al centro de
producción.
Proporcionar mecanismos de control y regulación de
temperatura, humedad, etc.
Las consecuencias o efectos producidos por las distintas am enazas previstas son:
Pérdida y/o mal funcionam iento del hardware.
F alta de disponibilidad de servicios.
Pérdida de información.
Como hem os visto en el capítulo anterior la pérdida de información es el aspecto fundam ental en torno a la que
g ira gran p arte de la seguridad inform ática, por lo que, como medida transversal y siem pre recom endada en prim er
lug'ar abordarem os la planificación y realización de c o p ia s d e segu rid ad , que perm itan recuperar los datos.
34
© RA-MA
2 ■SEGURIDAD PASIVA
A
A continuación se propone leer una noticia de actualidad relacionada con la seguridad pasiva y
com entar en clase determinadas preguntas de análisis de la misma, en concreto la podemos encontrar
en ia URL http://www.weblogssl.corn/2008/09/23-caida-general-de~x-horas-durante-la-m adrugadadeh23~de-septiembre-de-2008, también descargándote el material adicional del libro.
•
¿A qué se dedica la empresa? ¿Qué ha ocurrido y qué consecuencias ha tenido? ¿Por qué ha
existido corte en el servicio de la empresa? ¿Crees que se encontraban bien dimensionados los
generadores de gasoil para la carga que tenían que soportar?
•
¿Qué equipos se apagaron primero al intentar reiniciar con el segundo grupo de em ergencia? ¿A
qué temperatura deben de perm anecer las salas de estos equipos? ¿Qué peligros se corrían?
•
¿Qué tipos de medidas ha tom ado la empresa a p osteñorí? ¿Las ves acertadas?
•
¿Qué tipo de m edidas y recomendaciones crees que podrías aportar personalmente para evitar
este tipo de incidentes en el futuro?
COPIAS DE SEGURIDAD
Por acción de algún tipo de mahuare, acceso no autorizado a nuestro sistem a, por fallos en el hardw are o,
sim plem ente, por accidente o descuido, la in form ación co n ten id a en n u e stro eq u ip o p u ed e r e su lta r d añad a o
in clu so d esa p arecer. Las c o p ia s d e seg u rid a d o backup, son r é p lic a s d e d atos q u e n os p erm iten recu p era r
la in fo rm a ció n orig in a l en ca so d e ser n ece sa rio , es un ai-chivo digital, on conjunto de archivos o la totalidad de
los datos co n sid era d o s lo su fic ie n te m e n te im p o rta n tes para ser con servad os.
Uno de los principios de seguridad: "Ordenar de mayor a menor prioridad qué archivos, datos y
configuraciones son difíciles de volver a realizar o recuperar, y mantener de forma segura copias de
seguridad de los mismos, distribuidas en espacio y tiempo".
Corresponde a cada usuario determ inar los datos, que por su im portancia, serán alm acenados en la copia de
seguridad. E stas copias, se pueden alm acenar en soportes extraíbles (CD/DVD, pendrive, cintas de backup, etc.), en
otros directorios o particiones de datos de n u estra propia m áquina, en unidades com partidas de otros equipos o en
discos de red, en servidores remotos, etc. Es aconsejable que dichas copias de seguridad se encuentren cifradas y
com prim idas en un solo archivo facilitando su confidencialidad, m antenim iento y distribución.
Teniendo en cuenta los m od elos de a lm acen am ien to masivo de los sistem as hoy en día encontramos:
35
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
D irect A ttach ed S to ra g e (DAS): es el método tradicional de alm acenam iento y el más sencillo. El dispositivo
de alm acenam iento se encuentra directam ente conectado físicam ente al sistem a que hace uso de él. Es el caso
convencional disponer un disco duro conectado directam ente al sistem a informático. Los discos duros extraíbles,
y las particiones de datos, son una solución sencilla y económica para realizar copias de seguridad locales.
N etw ork -A ttach ed S torage (ÑAS): alm acenam iento conectado en red. Las aplicaciones hacen las peticiones
de datos a los sistem as de ficheros de m anera rem ota m ediante protocolos de red, como NFS, FTP, CIFS o
SMB. Las carpetas com partidas en red y servidores específicos ÑAS son una buena solución para una LAN de
tam año pequeño o medio.
S to ra g e A rea N etw ork (SAN): red de área de alm acenam iento. Los dispositivos de alm acenam iento se
encuentran conectados a una red de alta velocidad directam ente y resuelven las peticiones que se le realizan.
La in fraestru ctura necesaria hace que solo sea posible en grandes organizaciones.
A modo de ejemplo veremos cómo im plem entar un servidor ÑAS como servidor de arcbh'os para distintos usuarios
en una red corporativa en el capítulo 8.
MODELOS DE ALMACÉN DE DATOS
Los datos de la copia deben ser alm acenados de alguna m anera y probablem ente deban ser organizados con algún
criterio. Para ello se puede usar desde una hoja de papel con una lista de las cintas de la copia de seguridad y las
fechas en que fueron hechas, h asta un sofisticado program a con una base de datos.
U n almacén d esestr u c tu ra d o o conjunto de disquetes, CD/DVD, m em orias USB, discos duros externos o cintas de
b a cku p , con una m ínim a información sobre qué h a sido copiado y cuándo. É sta es la form a m ás fácil de im plem entar
pero ofrece pocas g arantías de recuperación de datos. Lo habitual es trab ajar con alm acenes estructurados, en función
de la cantidad de archivos que se salvaguardan a la hora de realizar la copia de seguridad, podemos distinguir tres
tipos de copia:
C om pleta, total o íntegra: es una copia de seguridad total de todos los archivos y directorios seleccionados.
Increm enta!: se hace una copia de seguridad solo de los archivos que han cambiado desde la últim a copia de
seguridad realizada, sea del tipo que sea. Tiene en cuenta los bits de archivo modificado.
D iferen cial: es sim ilar a la íncrem ental pero realiza una copia de todos los archivos que han cambiado desde
la últim a copia de seguridad total que hayamos hecho.
Si hacemos una copia de seguridad total el día 1 de cada mes y copia de seguridad increm ental el resto de los
días, cada copia increm ental solo g u ard ará los archivos que se hayan modificado ese día, por tanto el volumen de
inform ación de cada backup increm ental será m enor que el de la total. Si tenemos que realizar la restauración de
archivos a n te u n d esastre, d eb em os d isp o n er de la co p ia to ta l y de to d a s la s co p ia s in c rem en ta les q u e
h a y a m o s re a liza d o d esd e la cop ia total.
Si hacemos copia de seguridad total el día 1 de cada mes y copia de seguridad diferencial el resto de los días, cada
copia diferencial g u ard ará los archivos que se hayan modificado desde el día 1. La ventaja es que se requiere menos
espacio que la copia total y que en el p ro ceso de resta u ra ció n ú n ica m en te n ecesita rem o s la ú ltim a cop ia
to t a l y la ú ltim a co p ia d iferen cial. U na copia diferencial anula a la copia diferencial anterior. Por el contrario, se
consum e más tiempo en realizar la copia y tam bién m ás espacio que en el caso de copia increm ental.
36
© RA-MA
2 ■SEGURIDAD PASIVA
RECOMENDACIÓN SOBRE EL TIPO DE COPIA A EFECTUAR
Si el volumen de datos de n u e stra copia de seguridad no es muy elevado (menos de 4 GB), lo m ás práctico es
realizar siem p re c o p ia s to ta les ya que en caso de desastre, tan solo debemos re c u p e ra rla últim a copia.
Si el volumen de datos de nuestra copia de seguridad es muy elevado (mayor de 50 GB) pero el volumen de datos
que se modifican no es elevado (sobre 4 GB), lo más práctico es realizar una prim era copia total y, posteriorm ente,
realizar siem p re co p ia s d iferen cia les. Así, en caso de desastre, tan solo debemos recuperar la copia total y la últim a
diferencial. Periódicam ente debemos realizar una copia total y así em pezar de nuevo.
Si el volumen de datos de nuestra copia de seguridad es muy elevado (mayor de 50 GB) y el volumen de datos que
se modifican tam bién lo es, las copias diferenciales ocuparán mucho espacio, por lo tanto en este caso lo m ás práctico
será realizar una prim era copia total y posteriorm ente realizar siem p re cop ias in crém en ta les, ya que son las que
m enos espacio ocupan. El problema es que en caso de desastre debemos recuperar la últim a copia total y todas las
incrém entales realizadas desde que se hizo la últim a copia total. E n estos casos, conviene hacer copias totales más a
m enudo p ara no tener que m antener un núm ero m uy elevado de copias incrém entales.
Tabla 2.2
Método de copia
Espacio de
almacenamiento
Velocidad de
copia
Restauración
Copia
recomendada
Completo
Máximo
Muy lento
Muy simple
Pocos datos a copiar
Completo +
Incremental
Mínimo
Rápido
Compleja
Muchos datos
que cambian
frecuentemente
Intermedio
Lento
Sencilla
Datos cuya velocidad
de cambio es
moderada
Completo +
Diferencial
En grandes com pañías donde la realización de copias de seguridad está perfectam ente p lan ificad a , se suelen
u tilizar sistem a s m ixtos. Por ejemplo en un caso típico se realizarían las siguientes tareas:
Todos los días 1 de cada mes, a las 23:00 horas: copia de seguridad total.
Todos los viernes a las 23:00 horas: copia de seguridad diferencial desde la copia de día 1.
Todos los días (excepto los viernes y el día 1) a las 23:00 horas: copia de seguridad increm ental desde la copia
del día anterior.
Con esta planificación nos aseguram os disponer de copia de seguridad diaria. En caso de desastre deberíamos
recuperar la copia total, la últim a diferencial y todas las increm entales desde la últim a diferencial.
P ara g aran tizar la disponibilidad de los datos, en caso de desastre en la ubicación principal, es recomendable
d istribuir en distintas ubicaciones las copias de seguridad. P ara ello se puede utilizar una em presa especializada que
tra n sp o rte y cu sto d ie duplicados de las copias, así como em plear alojam ien to rem oto, o bachup online o en la
nube.
37
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
PRÁCTICA 2.1
COPIAS DE SEGURIDAD CON HERRAMIENTAS DEL SISTEMA
Como hemos analizado, las copias de seguridad son parte fundamental de los sistemas, existen multitud de
herramientas, algunas preinstaladas en los propios sistemas operativos, otras como aplicaciones específicas.
Algunas de las opciones que se deben de analizar son:
Compresión: es el mejor método para disminuir el espacio de almacenaje necesario y de ese modo reducir
el coste.
Duplicación: copias de seguridad duplicadas en un segundo soporte de almacenamiento. Esto puede
hacerse para cambiar de lugar las copias, para optimizar velocidades de restauración, o incluso para
disponer de una segunda copia a salvo en lugar o soportes diferentes. Se suele realizar en un soporte
portable, económico y de alta capacidad como: CD/DVD, discos duros o unidades de cinta externas/
extraíbles, o en memorias de estado sólido.
Cifrado: la alta capacidad de los soportes de almacenamiento desmontables implica un riesgo de perderse
o ser robados. Si se cifra la información de estos soportes se puede reducir el problema, aunque esto
presenta nuevos inconvenientes. Primero, cifrar es un proceso que consume mucho tiempo de CPU y puede
bajar la velocidad de copiado. En segundo lugar, una vez cifrados los datos, la compresión es menos eficaz.
Aunque para información confidencial es recomendable emplear esta opción.
Nombre del archivo: suele incluir el tipo de copia y la fecha (en ef caso de copias totales) o fechas (en el caso
de copias diferenciales e incrementales) de los datos. En ocasiones se indican las carpetas que contiene.
Ejemplos: copia de seguridad total el 1 de enero de 2011: copiatotal_01enell.tar.bz2
Copia diferencial el 8 de enero de 2011: copiadiferencial_01enell-08enell.tar.bz2
GNU/Linux
Bajo los sistemas GNU/Linux las operaciones de administración son habituales realizarlas mediante comandos del
sistema, en este caso se propone un modelo de gestión de copias de seguridad con 2 herramientas en modo comando,
tar para el empaquetado de archivos y cron para la automatización de tareas. Alternativamente se podría emplear
para la compresión y cifrado de las copias de seguridad otras herramientas como gzip, zip, bzip2, rar, etc., y cfs o
herramientas más sofisticadas de cifrado de particiones como Truecrypt, la cual veremos en el Capítulo 5.
Centrándonos en las 2 primeras propuestas tar y cron, veamos en primer lugar sus opciones:
TAR
Empaquetando con tar, opciones más comunes:
tar -vcf nombre_archivo.tar nombre_carpetas_a_empaquetar.
v: (verbose) permite obtener una descripción de los archivos empaquetados/desempaquetados,
c: {create/crear) crea un archivo tar.
f: {file/archivo) índica que se dará un nombre al archivo tar.
--newer-fecha: realiza un empaquetado incremental teniendo en cuenta que archivos han sido
modificados desde la fecha que se le indique.
Desempaquetando con tar, opciones más comunes:
tar -tvxf mi_archivo.tar.
t: ver el contenido (sin extraer).
x: (extract/extraer) extrae los archivos en la carpeta que contiene el tar.
38
© RA-MA
2 ■ SEGURIDAD PASIVA
CRONTAB
La sintaxis crontab es la siguiente: crontab [-e | -I | -r ] [usuario].
El parámetro -e indica la edición del cron, -I ver las tareas programadas en el archivo cron y -r borrar un archivo
cron. Si no se especifica el usuario, el comando se ejecutará para el usuario en sesión. Editaremos el archivo
crontab con la instrucción:
crontab-e
Con este comando nos mostrará un listado de editores de texto para editar la tabla cron de tareas programadas.
Una vez seleccionado el editor deseado, por ejemplo nano, seleccionado por su facilidad de uso, podremos definir
líneas de configuración con la frecuencia con que queremos que se ejecute un determinado proceso, script o
programa.
¿rchivo Edita» y» fcfrnindl Ayuda
Gfcu ra n a ?
F ic h e r o ; / t ffp / c rc r ta t;
fl.fr
/croM -ib
N o tific a d o
dora non do w
com and
0 3 • • • /usr/bin/backup
a a h
Í
Vcr ayuda jjTjj Guardar
D Leer Fich B
Salir
§Q Justiflcargj Oónde E m -jJ
Pag Ant
Pag S i g
BJ Cortar
pegarTxt
2
2
Ros actual
Ortografía
Cada línea de crontab tiene el siguiente Formato:
* * * * * comando_o_programa_a_ejecutar
I I I I I
l i l i
|----- Q£a ¿le ia semana (0 - 6)
|
|
|
| ------------Mes (1 _ i2 )
I |
---------- D£a ¿el mes (1 - 31)
I |------------ Hora (0 - 23)
I---------------Minuto (0 - 59)
(0 Domingo)
La tarea se ejecutará de acuerdo a estos parámetros, por ejemplo, si quisieras ejecutar el programa /usr/bin/
backup, todos los días viernes a las 3 de la mañana la sintaxis sería la siguiente:
0
3 * * 5
/usr/bin/backup
Para especificar más de un valor en un registro se puede utilizar la coma (,) para separar los valores; en el
ejemplo anterior puedes definir que la tarea se repita los lunes y los viernes a las 3 de la mañana de la siguiente
manera:
0
3
*
*
1,5 /usr/bin/backup
A modo de ejemplo se mostrará un script para realizar un backup completo o total del sistema cada 1 de
mes (nomenclatura CTM_fecha), otro backup completo semanal cada Domingo (CTS_fecha) y backups diarios
incrementales (ID_fecha) (solo de los cambios realizados desde el último backup completo).
Lo primero que tenemos que hacer es tener claro dónde guardaremos nuestras copias de seguridad y qué
directorios queremos resguardar, ya que deberemos modificar un par de líneas del script, también debemos
indicarle dónde se almacenará la fecha del último backup completo, para que se tenga en cuenta en la copia
incremental.
39
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
Las copias de seguridad se realizarán sobre la carpeta que indiquemos en BACKUPDIR en nuestro caso /home/
Backups. Lo recomendable es realizar la copia de seguridad sobre un dispositivo extraíbie, por ejemplo, un disco
duro externo USB, indicando una carpeta donde esté montado el dispositivo.
Una mejora añadida sería la creación de la copia en una carpeta remota. Al igual que se automatiza la creación
de la copia, se podría ejecutar automáticamente un comando que, vía NFS, SMB, FTP o SSH, vuelque los archivos
en un servidor remoto para mayor seguridad. También existen herramientas para realizar directamente copias de
seguridad remotas como rsync.
# ! /bin/bash
# script de copia completa e incremental
# modificar directorios a respaldar y destino del Backup
DIRECTORIOS="/bin /boot /etc /initrd /home /lib /opt /root /sbin /srv /usr /var"
# Directorio donde se guarda el backup
BACKUPDIR=/home/Backups
# Directorio que guarda la fecha del último backup completo
FECHADIR=/home/Backups
DSEM='date +%a'
# Día de la semana (por e j . mié)
DMES='date +%d'
# Día del mes (por e j . 06)
DYM='date + % d % b ‘ # Día y mes (por e j . 06jun)
# "NUEVO" coge la fecha del backup completo de cada domingo # Backup mensual
completo - sobrescribe el del mes anterior
if [ $DMES = "01" ); then
tar -cf $BACKUPDIR/CTM_$DYM.tar $DIRECTORIOS
fi
# Backup semanal completo
# Actualiza fecha del backup completo
if ( $DSEM = "dom" ]; then
A H O R A = 'date +%d-%b'
echo 5AHORA > $FECHADIR/fecha-backup-completo
tar -cf $BACKUPDIR/CTS_$DSEM.tar $DIRECTORIOS
H Backup incremental diario - sobrescribe semana anterior
# Obtiene fecha del último backup completo, opcion newer.
else
N U E V O = " - - n e w e r = 'cat $ F E C H ADIR/fecha-backup-completo‘
"
tar SNUEVO -cf $ B A C K U P D IR/ID_$DSEM.tar $DIRECTORIOS
fi
Cuando tengamos el script retocado a nuestro gusto le damos permisos de ejecución y lo copiamos a la carpeta
/usr/bin, por ejemplo:
chmod u+x backup-script
cp backup-script /usr/bin/
Después bastará con hacer que el script se ejecute cada día mediante cron, por ejemplo a las 3 de la mañana,
para que no nos moleste mientras trabajamos con el PC.
crontab -e
escribiremos en la tabla:
0 3 * * * /usr/bin/backup-script
40
© RA-MA
2 ■SEGURIDAD PASIVA
Para determinar la fecha del último backup completo y poder hacer así el backup ¡ncremental, se utiliza un fichero
de texto con la fecha en cuestión, denominado Fecha-backup-completo, que se actualiza cada domingo. La primera
vez que se ejecute el scrípt se creará un backup completo en vez de incremental diario, sea el día que sea, ya que
ese archivo todavía no existe. Lo que debemos hacer es ejecutar el script, invocando el script (sin esperar a la
ejecución automática con cron) la primera vez para realizar el backup completo y después crear este fichero con
la fecha actual. Podemos crear dicho fichero Fácilmente así:
echo "date +%d-%b' > /home/Backups/fecha-backup-completo
Sustituyendo /home/Backups/ por la ruta pertinente.
Si queremos restaurar el sistema lo único que debemos hacer es entrar a un terminal, loguearnos como root
y, situados en el directorio raíz o punto donde queramos, restaurar el backup e introducir estos comando:
cd /
tar -xf ruta_del backup_que_que r e m o s _ r e s u t a u r a r .tar
WINDOWS
En Windows existen varias utilidades del sistema para realizar copias de seguridad. Los archivos del sistema se
almacenan en la carpeta Windows por defecto en la instalación. De las recomendaciones más habituales a la hora
de poder realizar copias de seguridad para restaurar el sistema operativo son:
Realizar una instalación del sistema operativo diferenciando 2 particiones una con suficiente tamaño para
el sistema operativo y aplicaciones a instalar, y otra dedicada a datos de usuarios. Una posible restauración
o sobreinstalación del sistema operativo no afectará a la partición independiente de datos de usuario.
No guardes información relevante en las carpetas facilitadas por el propio sistema operativo como Mis
Documentos, Escritorio, etc., ya que son carpetas que, en caso de tomar la decisión de sobre instalar el
sistema operativo, no te asegura su continuidad tal y como estaban, ya que vuelve a configurarlas.
Realizar una vez instalado y conFigurado el sistema, controladores, sus aplicaciones fundamentales estables,
y configurado, puntos de restauración, que permitan en un momento determinado de inestabilidad volver
a dicha configuración anterior conocida y estable.
Windows posee 2 herramientas interesantes para realizar copias de seguridad y puntos de restauración, en
Inicio/Todos los programas/Accesorios/Herramientas del sistema.
Por un lado, Copia de seguridad para generar backups de los archivos origen deseados, con un formato específico
.bkf, en un soporte como dispositivos de aimacenamiento externos. Estos archivos de backup se pueden restaurar
a partir de la propia herramienta. El asistente proporcionado facilita la tarea para crear tus copias de seguridad.
Por otro, Restaurar Sistema permite crear puntos de restauración así como restaurar anteriores, con la finalidad
de guardar o restablecer la configuración de nuestro equipo en un momento determinado. En caso de
tener un problema de configuración por causa de un programa o cambios inesperados o indeseados producidos
por malware, podremos volver a una la configuración en la que nuestro equipo funcionaba correctamente, y por
precaución creamos un punto de restauración, configuración en la que nuestro equipo funcionaba correctamente.
El propio sistema crea sus propios puntos de restauración, pero es recomendable crear unos cuando vamos a
realizar un cambio importante de software o hardware en nuestro equipo.
41
© RA-MA
SEGURIDAD Y ALTA DISPONIBILIDAD
I PRÁCTICA 2.2
COPIAS DE SEGURIDAD CON APLICACIONES ESPECÍFICAS
Las herramientas propias del sistema poseen funcionalidades óptimas y suficientes en la mayoría de los casos,
pero vamos a analizar varias herramientas que pueden resultar de interés para usos específicos como disponer
de opciones como distintos algoritmos de cifrado, contraseñas, compresión, gestionar copias remotas,
etc.
Windows
En el caso de Windows existen muchas aplicaciones de gestión de copias de seguridad pero las opciones que
permite tas analizaremos con la herramienta Cobian Backup.
Cobian Backup es un programa gratuito, multitarea, capaz de crear copias de seguridad en un equipo, unidad
extraíble, red local (carpetas compartidas o ubicación de servidor) o incluso en/desde un servidor FTP. Soporta
conexiones seguras mediante SSL. Se ejecuta sobre Windows y uno de sus grandes fuertes es que consume muy
pocos recursos y puede estar funcionando en segundo plano.
Cada tarea de respaldo que le asignemos puede ejecutarse en el momento, diaria, semanal, mensual o anualmente,
o en un tiempo especificado. Hace copias completas, incrementales y diferenciales.
Soporta compresión ZIP, Zip64 o SQX. Además ofrece la opción de proteger todas las funciones del programa por
contraseña.
Existe la opción de cifrar sus ficheros usando 4 métodos diferentes de cifrado fuerte: RSA-Rijndael (1024-256bits), Blowfish (128-bits), Rijndael (128-bits) o DES (64-bits). Estos y otros algoritmos se clasificarán en el
capítulo 5 de criptografía.
También pueden definir eventos disparados antes o después de la copia, como por ejemplo provocar el cierre de
un determinado programa que utilice un fichero que se va a copiar y hacer que, una vez finalizada la copia, se
vuelva a iniciar.
La aplicación permite generar distintas tareas de ejecución programadas en tiempo, en cada una de las cuales
podremos indicar principalmente una serie de características, tras pulsar el botón de Tarea nueva (reloj),
podremos configurarle paso por paso:
General: Nombre nombre y tipo de copia completa, incremental o diferencial.
X
■knet^
Ow«
•
0 H o u re
tonbr«
^Ddjacm
j^Avinuds
i« « «
______
T jr M n j * *
Qncm
[^iln d u f «ubárcctcnc*
rnpéju
uwndo led*»
QUMrbvc«<k«IrtKjKOi
j*jUMr
CoPV
rcx><*'M04da
(ri Constato
inatm mtd
W ®mciM
' j T« m
CaCMt corrc«r«t « 9*ar4ar
I»
42
'
I
© RA-MA
2 ■SEGURIDAD PASIVA
Ficheros: Ubicación ubicación de ficheros/carpetas a copiar y ubicación destino que puede ser un sitio
FTP, para realizar copias remotas.
Horario: Indicando indicando que periodicidad y en qué momento fecha y hora queremos que se
ejecute.
Archivo: Opciones opciones de compresión y protección mediante algoritmo de cifrado con contraseña,
del backup.
ijc
Opaonr* de (M udn
Too d» c o a p a a to
ConpreaónZ©
+ ¡
¡B
_] Cc<%rrw ndvtXMftnaríe
conc«rt>M«Aa
<Lattt*uP+
C c rtitw A t (can/m ur)
Cetnorttn) d* 0 <trvo
__________________________________
AftfirvooMtJopor CotMT lUctlO 10
fra fo hjotm
Too d c c Ir »¿o
C a ^ d tlih M d M
U n n la h (l2Stes>
y.
f r a » d*v»
&
GNU/Linu x
En el caso de GNU/Linux nos encontramos en la misma situación, existen gran cantidad de herramientas de
automatización de backups en los repositorios disponibles. En concreto comentamos la herramienta fwbackups
por su intuitiva interfaz gráfica.
Es multiplataforma y puede hacer backups individuales o recurrir a backups programados, en local o remoto, así
como completos, incrementales, o diferenciales. También te permite hacer backups en formato tar, tar.gz, tar.bz2
o rsync. Desde la web www.difTingo.com podemos descargar la última versión e instalarlo con el instalador de
paquetes GDebi, por ejemplo bajo Ubuntu.
0
fw bacfcupt
gd»!*' ypr H'jtorvll H
ot
/KW«
Download
DifRngo S o lu u o m Inc. • M o /n li Flrvfex
HenWKWlM
-
¡13 KtpJMww.<Siftngo<cwTX/oisVfwt»ckup$A3ownk>dd
||M A svM ad nv
IjQv- f*b<Kku|
fKJecnngStarted Q U t r t t H ead H n n v
(. >fwt»cfcup* - Download! D*fT
-faiM C *upi lnü.in.*:><i* | O»
Ha evcoguo abru
fwbacltupi_I.43.Srx4-OuburTtul-ppaS_l3M.dob
rtauieau n toouece de software
de hop/yiaunchpadlibranan ne<
¿Q u é d a b a ria hacer F ircfo x con a sta a rc h iv o ?
• AM 'cyn
invtoUdor depjKji^teiGOebi (pret?e<rrTT ;ruwia)
Guardar arrfwo
H#cer rita automacamente para lo» «relavo* como éve de ahora en adelante
©Cancel»?
N
Fldtn W M (MtlUf* hrf>
43
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
r i y t > » rm r n f á
V («.. CoAjMJtton
MMim
D«T* • ( llM M « k
• ter« tf 11« m
InWf
finn
I Unuerv
{> K * . r C«rtf » • « I»
Otr»-*
La configuración de arch ¡vos/carpetas origen (pestaña path), destino (destination), tipo de copia, compresión y
temporización es sencilla e intuitiva, pudiendo realizar backups programados o en el momento.
RECUPERACION DE DATOS
¿Podemos recuperar archivos borrados definitivam ente de nuestro sistem a? E n el caso de haber sido víctima de un
a taq u e o haber sufrido un accidente como corte de sum inistro eléctrico o fallo de hardw are, la recuperación de archivos
en disco lo intenta. C uanto menor tiempo y modificaciones de disco tran sc u rra n entre el borrado o accidente y nuestro
in ten to de recuperación, mejor será nuestro resaltado. Por ejemplo, cuando en un sistem a de ficheros de u.n sistem a
operativo se borra un fichero de un medio de alm acenam iento (disco duro,pendriue USB, cinta, etc.), marca aquellas
posiciones que ocupaba dicho fichero en el dispositivo como libres, para poder alm acenar nueva información, pero no
las borra. Los datos perm anecerán en esas posiciones hasta que se sobrescriban con nueva información. Por lo que es
posible recuperarlo m ediante alguna h erram ien ta software.
I
PRACTICA 2.3
RECUPERACION DE DATOS
Existen diferentes soluciones que realizan el rastreo de información marcada como borrada en un medio de
almacenamiento y que puede ser recuperable.
Windows
Recuva es una aplicación de archivos borrados para sistemas Windows, permite seleccionar el tipo de archivo y
en qué unidades buscar archivos que están borrados o no visibles directamente en la unidad.
44
2 ■SEGURIDAD PASIVA
© RA-MA
InUemrm
Hw rt* «Oblo» vttvw u4»fm urta<onootoadim qot. cssela*rotada
.•Mr»
Mmbar Wto te» artfyrt» da Pi— tfin wnoadw
«uJo, cowo fa> gtf—ca
"D g ru R M iM
Mc*b • eflli? be »xíw ei de fom«fc» careodoi» d o ru iw tw de Cfft». o a w b i
rtf*»w <3*
*t u M
VMm
Hoat/jr «di» b» » Ü rrw o* «¿ao. csm g r^ « c n ri da m
m
mó
&
a
tet
M M )« i f l t t r d w a f p w to
C o n n efectróMcs
Meato» vj*D kx iwflMim di cwrw» d»g»dr* j 0«
MMMNrf
W W L>tr«i r
«ido* kM M
á*<
r.
í <»*
»I I
I
n cu a te * ia»J*} «►.»»afci» fe-rapto CD*
***- I
Es importante saber que no siempre es posible recuperar el 100% de los datos, en ocasiones se puede recuperar
parcialmente parte de texto, imágenes, etc.
En muchas ocasiones los nombres de los archivos recuperados no coinciden con el original, en nuestro caso el
archivo nuevo.doc que creamos y borramos definitivamente en una memoria USB (sin pasar por la papelera de
reciclaje), nos lo recuperó con el nombre_uevo.doc.
| C-m
ttrndvtjóatrftn
m
d
o|
■U
*1
0(11/2010itVS
»11/2010 16«
zvivaioitsa
SSZSaSnSZSHu «010
'»><>
'»»
WS5
I «rTfvaa ■ane«’ a to an 0 03 mq*
pciowtí
ÍTOIOOTS5
0910 TO*
«íi icoia
□
n
iva&mmi*
«\A
0*11(301013'»
O • •CHWOM* K\A UW
0*?©10£«9
r«rs. J.rx*
Tañarte £«*30
IICB Cscafcnte
lita
IZ O n iS
5» !
I 77n
kriojfmibtm
V rau cw tf*
irr«cupa>«te
> r« \* « Jta a
¡ a i HopoCra
JJTtt
99 fr?*ae*4iá«
tit rite i trn w rti
1l> l krac^ar Ato
17 117ir a IraciCavaW»
jn a tjc w ti
I «QiiB tira*\**ntaa
H
ote U dat*ct*do »»gui.
No M ha ¿Hartado ranpxt.
(.*•m
*t~
)f t i i aobmot
W *« tfM n U to tr« o t
(« • tfw o n U M tm a i
UU W&TXJ 9*4
( « • « it M I f U t o t r K r t
C«a « t* * e « U *o6re«crl
tal* m
ttrxjn t j tofcr«ot
MomM drtactado n»9 ^ •
Cv» arcf**o arta tdtrm
at
U t « t f M n ía MÍ>no<
No «a ha datarta-to r a ^ r
Lrtf m
ú
*-nM U KCraatrf
»ate»'/,rr»«t«r.c ic-mq
45
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
El método que poseen estos programas para la búsqueda de datos en clúster de un dispositivo esta basado en
comparar los datos contenidos en ellos con las estructuras de datos de los formatos de archivos más comunes:
texto (odt, doc, txt), gráficos (bmp, jpg, gif, png, tiff), vídeos (av¡, mpg, mov), sonido (mp3, wav, wma), otros
como html, pdf, rar, etc.
GNU/Linux
Existen diversas herramientas de recuperación de datos incluso algunas de ellas se encuentran disponibles en USB
o CD/DVD Live para poder recuperar archivos incluso en caso de no poder arrancar el sistema operativo. Algunas
de tas más conocidas y disponibles en los repositorios de descargas son:
TestDisk: incluye TestDisk que puede recuperar particiones perdidas y sectores de arranque, y PhotoRec,
que es una herramienta sencilla de usar para la recuperación de archivos.
Foremost: recupera archivos basándose en una serie de estructuras internas además de otros datos. Fue
desarrollado por la fuerza aérea de los Estados Unidos y trabaja sobre todo con discos duros.
Scalpel: realiza las mismas funciones que Foremost, pero se centra en un mejor rendimiento y un menor
consumo del sistema, de tal manera que trabaja mejor con equipos viejos o con poca RAM.
En el caso de Foremost, es un programa de línea de comandos pero sin interfaz interactiva, como PhotoRec. Para
instalarlo podemos ejecutar: sudo aptitude install foremost.
Para ver la ayuda podemos ejecutar: foremost - h.
En nuestro caso usaremos las siguientes opciones:
-t: con una lista de extensiones de archivo, separadas por comas.
-v: que es el modo detallado, para saber qué está haciendo foremost de una manera más completa,
-o: indicará la carpeta dónde van a ir los archivos recuperados.
-i: donde indicaremos el sitio en el que están los archivos a recuperar.
Ejemplo: sudo foremost - t jpeg,png,g¡f -o foremost -v -i/d e v /sd a l
/ dev/sdal es la partición donde queremos buscar los archivos borrados o perdidos. En ocasiones es necesario
realizar una copia exacta del dispositivo o partición mediante el comando dd (duplícate disk)\ dd if=/dev/sdal
of=/home/usuario/imagen.dd, pudiendo posteriormente emplear como ubicación de entrada (-i) a foremost dicho
archivo con extensión .dd.
Foremost encuentra y guarda en carpetas por cada formato, tanto los disponibles como legibles en el disco duro,
como los recuperados. Los nombres de los archivos pueden no corresponder con los originales por lo que habrá
que realizar un análisis posterior de los mismos hasta encontrar los recuperados. En caso de querer conocer las
particiones disponibles podemos ejecutar previamente sudo fdisk -I.
Arcftvo
£fviar
yw
uro»
roreaoit started at M O « 6 11:27:39 761»
Invocation: foreaoit v -t png 1 /dcv/*do5 o rccyper»do/
Output directory: /taae/aluano/recupcrado
Configuration file : /etc/forraott cor.f
Proceulng: /dev/ida5
I...........................................................
File : /dev/lda5
Start: Med Dec S 11:27.» ?010
length: 31 GB 146172235264 byte«)
Mia
••t:
1:
2:
3:
4:
S:
«:
?r
•:
ft:
•It:
46
nm e
Ib*-512)
»6533298.png
»6373389. png
66325474. png
66575557. png
»6523626.png
»6325706.png
86323663.png
»6326154.png
6632623).png
»6326476. png
»6637389.png
SUe
File orfiet
Co—en!
1 KB
2 KB
2 KB
1 KB
2 KB
1 KB
I KB
2 KB
2 KB
1 KB
1 KB
268652614
26*999566
2696426»
769662711
769126329
269162862
269252699
769391169
269431537
269553616
3365B3463
132 a
14» x
(32 .
132 *
(48 *
<32 a
(32 a
(4B x
(48 a
321
48)
32)
32)
48)
32)
32)
48)
46)
)
(32 x 32)
© RA MA
2 ■ SEGURIDAD PASIVA
SEGURIDAD FÍSICA Y
AMBIENTAL
Es muy im portante ser consciente que por m ás que nuestra em presa sea la m ás segura desde el punto de vista de
ataq u es externos, hackers, virus, etc., la seguridad de la misma será nula si no se ha previsto cómo com batir un robo
o un incendio.
La seguridad física es uno de los aspectos m ás olvidados a la hora del diseño de un. sistem a informático. Si bien
algunos de los aspectos tratados a continuación se prevén, otros, como la detección de un atacan te interno a la
em presa, que intenta a acceder físicamente a una sala de operaciones de la m ism a, no. Esto puede derivar en que para
u n atacan te sea m ás fácil lograr acceder y robar una cinta o DVD de backup, que in ten tar acceder de forma rem ota o
lógica a los datos que contienen los sistem as.
Así, la seguridad física consiste en la a p lic a ció n de b a rrera s físic a s y p ro ce d im ie n to s d e con trol, com o
m ed id a s de p rev en ció n y co n tra m ed id a s a n te am enazas a los recu rso s e in form ación co n fid en cia l.
Se refiere a los co n tr o le s y m eca n ism o s de segu rid ad , dentro y alrededor de la ubicación física de los sistem as
inform áticos, así como los medios de acceso al mismo, im plem entados p ara proteger el h ard w are y medios de
alm acenam iento de datos.
En este tem a se abarcarán medidas aplicables tanto a equipos de hogar y pequeñas oficinas como a servidores y
centros de procesam iento de datos (CPD), que por su gran valor en la em presa requieren de m edidas de seguridad
específicas.
CENTROS DE PROCESADO DE DATOS (CPD)
Se denom ina procesamiento de datos o CPD a aquella ubicación donde se concentran todos los recursos necesarios para
el procesam iento de la información de una organización.Tam bién se conoce como c e n tro d e cóm p u to (Iberoamérica)
o ce n tro d e cá lcu lo (España), o centro de datos por su equivalente en inglés d ata cen ter. Dichos recursos consisten
esencialm ente en unas dependencias debidam ente acondicionadas, servidores y redes de comunicaciones.
Un CPD, por tanto, es un edificio o sala de gran tam año usada para m an ten er en él una gran cantidad de
equipam iento informático y en general electrónico. Suelen ser creados y m antenidos por grandes organizaciones con
objeto de tener acceso a la información necesaria para sus operaciones.
Por ejemplo, un banco puede tener un data center con el propósito de alm acenar todos los datos de sus clientes
y las operaciones que estos realizan sobre sus cuentas. P rácticam ente todas las com pañías que son m edianas o
grandes tienen algún tipo de CPD, m ientras que las m ás grandes llegan a tener varios in terco nectad os, en d istin tas
ubicaciones geográficas, con distintos cen tro s d e respaldo.
Un centro de respaldo es un centro de procesamiento de datos (CPD) específicam ente diseñado para tom ar el
control de otro CPD principal en caso de contingencia o fallo. Debe elegirse una localización totalm ente distinta a la
del CPD principal con el objeto de que no se vean ambos afectados sim ultáneam ente por la m isma contingencia, Es
h ab itu al situarlos en tre 20 y 40 kilómetros del CPD principal.
El equipam iento hardw are no tiene por qué ser igual al del CPD, aunque el software y los datos sí, por lo que es
necesario contar con una rép lica d e los m ism os d a to s con los que se trabaja en el CPD original. Este es el problema
principal de los centros de respaldo, por lo que existen políticas de gestión de copias síncronas o asincronas de datos.
47
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
E n tre los factores m ás im portantes que m otivan la creación de un CPD se puede destacar el ga ra n tiza r la
c o n tin u id a d y a lta d isp o n ib ilid a d del servicio a clientes, em pleados, ciudadanos, proveedores y em presas
colaboradoras, pues en estos ám bitos es muy im p o rtan te la protección física de los equipos inform áticos o de
comunicaciones implicados, así como servidores de bases de datos que puedan contener información crítica. Requisitos
generales:
D isp o n ib ilid a d y m o n ito riza ció n “24x 7x 365”: proporcionará disponibilidad, accesibilidad y confianza 24
horas al día, 7 días a la sem ana, 365 días aJ año.
F iab ilid ad in falib le (5 nueves): un 99,999% de disponibilidad, lo que se traduce en una única hora de no
disponibilidad al año.
S egu rid ad , red u n d a n cia y d iv ersifica ció n : alm acenaje exterior de datos, tom as de alim entación eléctrica
to talm en te independientes y servicios de telecom unicaciones con balanceo de carga, SAI o sistem as de
alim entación ininterrum pida, control de acceso físico, etc.
C o n tro l a m b ie n ta l/p r e v e n c ió n d e in c en d io s: el control del am biente tra ta de la calidad del aire,
tem peratura, hum edad, inundación, electricidad, control de fuego, etc.
G eneralm ente, en un CPD todos los grandes servidores se suelen concentrar en una sala denom inada sala fría,
nevera o pecera. E sta sala requiere un sistem a específico de refrigeración para m an ten er una tem p eratu ra baja
(en tre 21 y 23 grados centígrados), necesaria p ara evitar averías a causa del sobrecalentam iento. Según las norm as
internacionales, la tem peratura exacta debe ser 22,3 g ra d o s cen tíg ra d o s, recom endada entre 15° y 23“, y hum edad
relativ a en tre 40% y 60%.
La pecera suele contar con m edidas estrictas de seguridad en el acceso físico, así como m edidas de extinción de
incendios adecuadas al m aterial eléctrico, tales como extinción por agua nebulizada o bien por gas INERGEN, dióxido
de carbono o nitrógeno.
U n CPD y sus centros de respaldo por sí solo no bastan p ara hacer frente a una contingencia grave. Es necesario
disponer de un P la n de C o n tin g en cia s corporativo, con las a c tu a c io n e s en ca so de in cid en te.
Veremos algunas de las configuraciones avanzadas em pleadas en alta disponibilidad en CPD y centros de respaldo
en el Capítulo 8.
UBICACIÓN Y ACONDICIONAMIENTO FÍSICO
Aunque son difíciles de predecir con exactitud, las condiciones atm osféricas adversas severas se localizan espacial
y tem poralm ente en ciertas partes del mundo y la p rob ab ilid ad de q u e ocu rran está d ocu m en tad a.
L a frecuencia y severidad de su ocurrencia deben ser tenidas en cu en ta al decidir la ubicación y posterior
construcción de un edificio. La comprobación de los iníórm es climatológicos o la existencia de un servicio que notifique
la proxim idad de condiciones atm osféricas adversas, perm ite que se tomen precauciones adicionales, tales como la
re tira d a de objetos móviles, construcciones antisísm icas, la provisión de calor, iluminación o combustible para la
em ergencia. Algunos de los aspectos a tener en cuenta son:
Incendios: son causados por el uso inadecuado de combustibles, fallo de instalaciones eléctricas defectuosas
y el inadecuado alm acenam iento y traslado de sustancias peligrosas. Algunas precauciones: ubicación en área
no combustible o inflamable, tener extintores m anuales (portátiles) y/o autom áticos (rociadores).
S istem a d e aire acon d icionad o: control de tem peratura y hum edad relativa según recomendaciones, entre
15° - 23° C, y 40 - 60 %, respectivam ente.
48
© RA-MA
2 ■SEGURIDAD PASIVA
In un d aciones: ubicación estanca de agua, con especial precaución en puertas y ventanas.
T errem otos: los fenómenos sísmicos pueden ser tan intensos que causen la destrucción de edificios. Es
recom endable conocer la actividad sísmica de la localización de nuestro centro de datos para disponer de las
técnicas de seguridad constructivas requeridas.
R ayos e in terfere n c ia s elec tro m a g n ética s: para evitar posibles desastres provocados por derivaciones de
carga por rayos, y m inim izar el efecto no deseado do interferencias en las comunicaciones, las salas de sistem as
se protegen m ediante jau la de Faraday, convirtiéndose en un búnker con respecto a radiaciones externas.
CONTROL DE ACCESO FÍSICO
Los ordenadores, servidores, así como las copias de seguridad con datos im portantes y el software, son elementos
valiosos p ara las em presas y están expuestas a posibles robos y actos delictivos como sabotajes o destrozos, por parte
de personal ajeno o propio de la em presa. El software es una propiedad muy fácilm ente sustraíble y las unidades de
alm acenam iento como m em orias USB, cintas y discos son fácilm ente copiados sin dejar ningún rastro.
El uso de cr e d en cia les d e id e n tific a c io n e s uno de los puntos más im portantes del sistem a de seguridad físico,
a fin de poder efectuar un control eficaz del ingreso y salida del personal a los distintos sectores de la em presa. El
control de acceso físico no solo requiere la capacidad de identificación, sino tam bién aso cia rla a la ap ertura o
ce rra m ie n to d e p u ertas, perm itir o negar acceso basado en restricciones de tiempo, área o sector dentro de una
em presa o institución. A las personas se Ies puede identificar por:
A lgo q u e se p o see, por ejemplo u na Llave, una tarjeta de identificación o tarje ta inteligente {,Sm artC ard).
Algo q ue se sab e, por ejemplo un núm ero de identificación único (PIN - Personal Identification Number) o una
passw ord, que se solicitará a su ingreso.
A lgo q u e se es (señas de identidad: manos, ojos, huellas digitales y voz) o sab e h a cer (firma escrita) es un
principio que em plea la b iom etría. Es el método más seguro, ya que es muy difícil de falsificar.
C ada una de estos identificadores asociados a cada persona o usuario se alm acenan en una base de datos que debe
controlar un ser v ic io d e v ig ila n c ia para su posterior seguimiento, si fuera necesario. La principal precaución con el
personal de vigilancia es que éste puede llegar a ser sobornado. Las tarjetas pueden ser copiadas, robadas, etc., y los
núm eros secretos pueden llegar a usuarios no autorizados, perm itiendo e n tra r a cualquier persona que la posea. La
biom etría ayuda a m ejorar el nivel de seguridad.
O tra solución m uy em pleada para la .seguridad de los sistem as inform áticos en las salas de equipam iento
informático, es disponer los mismos en un arm ario o rack bajo llave.
Un rack es un bastidor destinado a alojar equipam iento electrónico, inform ático y de comunicaciones. Sus medidas
están n o rm alizad as para que sea compatible con equipam iento de cualquier fabricante. Constan de un armazón
metálico con un ancho norm alizado de 19 p ulgad as, con 2 guías verticales que poseen agujeros a intervalos regulares
llam ados unidades de Rack (U) agrupados de tres en tres. Verticalm ente, los racks se dividen en regiones de 1,75
p u lg a d a s d e a ltu ra = 1 U, con tres agujeros en cada guía.
El alto (4 - 46U) y la profundidad del bastidor (600, 800,1000 mm) no está norm alizada, ya que así se otorga cierta
flexibilidad id equipamiento.
El arm azón suele contar con bandejas horizontales donde puede apoyarse el equipam iento no norm alizado como
un monitor, PC de sobrem esa y un teclado o un ratón.
49
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
File / Print server
File / Print server
File / Print server
Domain controller
Messaging server
Storage server
Firewall/VPN/Coche
UPS
UPS
Keyboard and display
Rack
Management software
Los dispositivos que se suelen alojar son: servidores, paneles de parcheo (que centralizan todo el cableado
del arm ario) sistem as de audio y vídeo, sistem as de alim entación ininterrum pida (UPS o SAI), sw itches, routers,
cortafuegos, periféricos que perm itan configuración como monitores, ratón, teclado, etc.
SISTEMAS BIOMÉTRICOS
Definimos la b io m etría como la p a rte d e la b io lo g ía q u e estu d ia en form a cu a n tita tiv a la varia b ilid a d
in d iv id u a l de los se r e s v iv o s u tiliz a n d o m étod os e sta d ístic o s. Es una tecnología que realiza mediciones en
form a electrónica, guarda y com para características únicas para la identificación de personas.
La forma de identificación consiste en la comparación de características físicas de cada persona con un patrón
conocido y almacenado en una base de datos, de esta forma perm itirá e! control de acceso físico, incluso es aplicable
como método de identificación y acceso a sistem as operativos y aplicaciones. Las características biom étricas de una
p erso n a son in tra n sfer ib les a otra, por lo que hace a estos sistem as m uy segu ros.
Veamos a continuación algunas de las formas de identificación biométricas m ás comunes:
H uella digital: se basa en el principio de que no existen dos huellas dactilares iguales, este sistem a viene
siendo utilizado desde el siglo pasado con excelentes resultados. Cada huella digital posee pequeños arcos,
ángulos, bucles, remolinos, etc. (llamados m in u cias) características y la posición relativa de cada una de ellas
es lo analizado para establecer la identificación de una persona. E stá aceptado que cada persona posee m ás
de 30 m inucias, y que dos personas no tienen más de ocho m inucias iguales, lo que hace al método sum am ente
confiable, y uno de los más empleados por su baja relación calidad/precio.
V erificación de voz: la dicción de una lo más) frase es grabada y en el acceso se compara la voz (entonación,
diptongos, agudeza, etc.), este sistem a es muy sensible a factores externos como el ruido, el estado de ánimo y
enferm edades de la persona, el envejecimiento, etc., por lo que no es un mecanismo muy adoptado.
V erificación de p a tro n es ocu lares: basado en los patrones del iris o de la retin a y h asta el momento son los
considerados m ás efectivos (en 200 millones de personas la probabilidad de coincidencia es casi 0). La principal
desventaja es que es un método intrusivo. Las personas son reacias a que les analicen los ojos, por revelarse en
los mismos enferm edades que en ocasiones se prefiere m antener en secreto.
50
2 ■SEGURIDAD PASIVA
© RA-MA
V erifica ción A u tom ática d e F irm as (VAF): es extrem adam ente difícil reproducir las dinám icas del trazo de
realización de las firmas, aunque el efecto visual final parezca similar. La VAF, usa emisiones acústicas, tom a
datos del proceso dinámico de firm ar o de escribir. La secuencia sonora de emisión acústica generada por el
proceso de escribir constituye un patrón que es ú nico en cad a in d ivid u o.
E xisten algunas otras soluciones a la biom etría más complejas y menos usadas en acceso a organizaciones o a un
sistem a informático concreto, como son la geom etría de la mano, el reconocimiento facial o patrones térmicos.
Lo que sigue a continuación es una tabla en la que se recogen las diferentes características de los sistem as
biométricos:
Tabla 2.3
Ojo (Iris)
Huellas dactilares
Escritura y firma
Fiabilidad
Muy alta
Muy alta
Media
Afta
Facilidad de uso
Media
Alta
Alta
Alta
Prevención de
ataques
Muy alta
Alta
Media
Media
Aceptación
Media
Alta
Muy alta
Alta
Estabilidad
Alta
Alta
Baja
Media
CIRCUITO CERRADO DE TELEVISIÓN (CCTV)
Se llam a p ro tecció n e le c tr ó n ic a a la detección de robo, intrusión, asaito e incendios m ediante la utilización de
se n so r e s co n ecta d o s a ce n tra les d e alarm as. E stas centrales tienen conectados los elem entos de señalización, que
son los encargados de hacer saber al personal de una situación de emergencia. Uno de los métodos más empleados en
las em presas son los circuitos con cám aras de grabación de vídeo o cir c u ito s cerrad os d e te le v isió n (CCTV).
Perm iten el control de todo lo que sucede en la planta según lo captado por las cám aras estratégicam ente colocadas.
Los monitores de estos circuitos deben estar ubicados en un sector de alta seguridad. Las cám aras pueden e sta r a la
v ista (para ser utilizadas como m edida disuasiva, incluso en ocasiones se instalan falsificaciones o cám aras que no
graban) u ocultas (para evitar que el intruso sepa que está siendo captado por el personal de seguridad).
En la actualidad unas de las cám aras más em pleadas, por bajo coste y buenas prestaciones son las cám aras LP.
Son dispositivos autónomos que cuentan con un servidor web de vídeo incorporado, lo que les perm ite tran sm itir su
im agen a través de redes IP como redes LAN, WAN, o incluso WLAN o inalám brica. Las cám aras IP perm iten al
usuario tener la cám ara en una localización y ver el vídeo en tiempo real desde otro lugar a través de In tern et o una
red local.
51
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
SISTEMAS DE ALIMENTACIÓN ININTERRUMPIDA (SAI)
U n SAI (Sistem a de Alimentación Ininterrum pida), tam bién conocido por sus siglas en inglés U P S (Uninterrup tibie
Power Su p p ly, sum inistro de? energía ininterrum pible), es un dispositivo que gracias a sus b a tería s puede proporcionar
energía eléctrica tras un corte de sum inistro eléctrico a todos los dispositivos que tenga conectados, d u ran te un tiempo
lim itado, perm itiendo de este modo poder apagar los equipos sin que sufran cortes sus fuentes de alim entación.
Los distintos dispositivos hardw are no irán enchufados a las tom as de corriente directam ente, se enchufarán a la
SAI que será la que estará conectada a las tom as de corriente, haciendo de este modo de interm ediario entre la red
eléctrica y los dispositivos hardw are.
Existen distintos modelos de SAI ajustándose a las necesidades energéticas de los equipos conectados a las
m ism as.
O tra de las funciones de los SAI es la de m ejorar la calid ad de la en er g ía e lé c tr ic a que llega a los aparatos,
filtr a n d o su b id a s y boyadas de ten sió n y elim in a n d o a rm ó n ico s d e la red eléctrica. Los SAI dan energía
eléctrica a equipos llamados cargas o eq u ip o s críticos, como pueden ser aparatos médicos, industriales o informáticos
que, como se ha dicho antes, requieren tener siem pre alim entación y que ésta sea de calidad, debido a la necesidad de
e s ta r en todo momento operativos y sin fallos (picos o caídas de tensión).
52
© RA-MA
2 ■SEGURIDAD PASIVA
Tabla 2.4
Descripción
Característica
Tipo y número de
conectores
Los conectores de alimentación de la carga se diferencian entre tipo IEC y
Schucko.
Existen tomas que solo filtran variaciones de la señal eléctrica de entrada
(impresora, fax, escáner), de aquellas que filtran y tienen alimentación de la
batería en caso de corte de suministro (equipos, monitores, dispositivos de
comunicaciones) denominadas de backup.
Otras conexiones
Conectores para la protección de Líneas de Datos RJ11-RJ45 para dispositivos de
Teléfono/Fax/DSL/Internet/MODEM.
Conexiones seriales COM o USB para monitorización y consulta de estado
remoto, mediante software específico.
Tiempo de
funcionamiento solo
con batería
Según el modelo y la carga conectada, la batería suele estar diseñada para
suministrar alimentación desde varios minutos hasta varias de horas y, de esa
forma, apagar los sistemas conectados correctamente.
Regulador de voltaje
Integrado para evitar picos (subidas y bajadas) de tensión que se producen en la
línea de suministro de entrada y que si no se filtran pueden afectar a las fuentes
de alimentación de los equipos.
T IP O S DE SAI
H abitualm ente, Los fabricantes de SAJ clasifican los equipos en función de la tecnología y calidad de la señal
eléctrica generada a su salida:
SAI OFFLINE: los m ás económicos, recomendados para equipos en el hogar. No estabilizan la com en te y solo
generan la tensión de salida cuando se produce un corte de sum inistro eléctrico.
SAI INL7NE o L IN E INTERACTIVE-, equipos de gam a m edia-alta que estabilizan la corriente incorporando
un estabilizador de salida (AVR). Solo general la tensión de salida cuando se produce un corte de sum inistro
eléctrico. Son adecuados para ordenadores, centralitas telefónicas y equipos servidores de pequeñas y m edianas
em presas (Pymes).
SAI ON LIN E o de D O B LE CONVERSION: equipos de gam a alta, pensados para proteger sistem as críticos.
Estos equipos generan siem pre la tensión de salida nueva, independientem ente de la entrada.
PO TE N C IA N EC ESA R IA
P ara a ju sta r las dim ensiones y capacidad eléctrica de la batería de la SAI a la que enchufar nuestros equipos,
tam bién denominados carga, es necesario realizar un cálculo de La potencia que consumimos y por tanto que necesitamos
su m in istra r por las conexiones de batería de la SAI.
La p o ten cia eléc tric a se define como la cantidad de energía eléctrica o trabajo que se tran sp o rta o que se
consum e en una determ inada unidad de tiempo.
Cuando se tra ta de corriente continua (CC) la potencia eléctrica (P) desarrollada en un cierto instante por un
dispositivo de dos term inales, es el producto de la diferencia de potencial entre dichos term inales (V) y la intensidad
53
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
de corriente (I) que pasa a través de) dispositivo. Esto es, P = V x I. Si I se expresa en am perios y V en voltios, P
e s ta rá expresada en vatios.
En circuitos eléctricos de corriente alterna (CA), como son las tom as de corriente (enchufes), se em plean medidas
de potencia eficaz o aparente y potencia real. La unidad de potencia que sum inistran com ercialm ente los SAI es el
v o ltia m p erio (VA), que es p o ten cia ap aren te, tam bién denom inada potencia efectiva o eficaz, consum ida por el
sistem a.
Si tenemos la potencia en vatios (W) p o ten cia real, de forma aproxim ada se m ultiplica por 1,4 para tener en
cu e n ta el pico máximo de potencia que puede alcanzar su equipo y de esta forma obtener la potencia aparen te en
VA.
Por ejem plo: 200 W x 1,4 = 280 VA. En ocasiones el factor 1,4, puede ser 1,33 ó 1,6 o factor divisor 0,7 ó 0,75,
depende de la eficiencia energética del dispositivo electrónico.
Algunos métodos para calcular el consumo en W de nuestros equipos y de esta forma estim ar.
M ediante un medidor de potencia o m ediante una pinza am perim étrica (ver la siguiente figura) que m ida la
corriente su m inistrada para los equipos conectados, de esta forma m ultiplicando por la tensión nominal (en
E spaña 230 V), podremos obtener e! consumo medio aproximado.
Conociendo el consumo medio (W.) sum inistrado en las características del fabricante.
M ediante un modelo aproximado de estim ación de consumos, tomando como referencia estim aciones previas.
Por ejemplo podemos ver estimaciones de consumos en la web de etiquetado de eficiencia energética Energy
Star. Veremos un ejemplo a continuación.
L a carga total enchufada a la batería de la SAI, se recomienda que n o so b rep a se el 70% del total de la potencia
su m in istra d a por la misma.
P o r ejem plo: en caso de querer enchufar a 4 tomas de una SAI, 2 PC y 2 m onitores que consumen en total 200 W,
n u e s tra SAI deberá de su m in istrar 200 x 1,4 = 280 VA. Por tanto, nu estra SAI deberá de tener ai menos u n a potencia
m áx im a su m in istrada de 280 x 100/70 = 400 VA.
54
© RA-MA
2 ■SEGURIDAD PASIVA
Tabla 2.5
Consumo (W)
Dispositivo
Dispositivo
Consumo (W) I
PC Económico
Core2 Dúo (2,8 GHz) o Athlon II X2 / 2
GB RAM / 500 GB
41
Monitor 15" CRT
45
Escritorio multimedia,
Phenom II o Core ¡7 / 2,7 GHz / 4 GB
RAM / 500 GB y gráficos más potentes
67
Monitor 17" CRT
55
PC de escritorio a medida para CAD,
gráficos o investigación científica: Xeon /
2,7 GHz / 8 GB RAM / 500 GB / 64 bit OS
190
Monitor 17" LCD
19
Netbook: Atom o Via Nano, 10" LCD-TFT.
5,9
Monitor 19" LCD
21
Portátil económico: Core2 Dúo or Turion
64 X2, 15-17" LCD-TFT.
12
Monitor 30" LCD
110
Impresora láser
600
Módem externo
9
Multifunción láser
250
Impresora inyección de
tinta
40
Escáner
10
50
Multifunción inyección
PRÁCTICA 2.4
MONITORIZACIÓN DE SAI
A modo de ejemplo se presenta a continuación la parte posterior de una SAI de la compañía Emerson, Liebert
PowerSurew PSP 650VA:
v i v j p o it tn o r Oé u UPS
55
© RA-MA
SEGURIDAD Y ALTA DISPONIBILIDAD
Recomendación de conexión del Fabricante, en tomas de backup y filtrado: monitores, equipos de sobremesa y
de comunicaciones (switch, router, etc.), en tomas de protección contra picos de corriente: impresoras, escáner,
Con*et* Im computadoras, pantallas y ejes de
redes a los receptáculos color naranja
Conecte los siguientes tipos de equipos
SOLAMENTE a los receptáculos negros
Las SAI disponen entre otras funciones de conexión para monitorización y consulta de estado remoto, medíante
puerto serial COM o USB normalmente, a través de un software específico suministrado por la compañía fabricante.
A continuación se muestran fas características y funcionamiento del software multiplataforma (Windows, GNU/
Linux, etc.) Multilink que facilita el fabricante Emerson con sus SAI:
Posee un sistema de alertas que indican el estado y posibles incidencias y medidas a tomar sobre los sistemas
conectados a la SAI:
Notificación d e Multil.ink
Sevtndad hoc» de recfco
©
M m i a K oe aten«
Se ha iniciado el software de ccrcroi de la U P S Ocurrió ot
nov-2010 2 2 5 8 1 8 f»-nov.20 t0 2 2 S f r l 3 « i e i a sp ostivo 1192 168 0 213]PCprofesorf
B aervteip de MuMjntc enei toodordaemon" ha comenzado_________
| Aceptar
| [ Recowandaoán
La pantalla de monitorización de estado permite visualizar en una primera pestaña una sinopsis de los principales
parámetros:
Capacidad de la batería, tiempo restante en caso de fafta de suministro de entrada, porcentaje de carga conectado
a la salida de la SAI, es recomendable que se encuentre siempre por debajo del 60 - 80%, voltajes de salida y
entrada y sensor de temperatura.
56
© RA-MA
2 ■SEGURIDAD PASIVA
f u l V l » u j ! i ; ^ o r MiiMit in l
H itr t
Corftpstr t^xU
5*r«p»'
<.crUM»aúr\ <rn m r i c
«rgttifl Ot evarlo
IB PSA650MT-230
C jrg j protegida - Estado normal
i LeuilCap
Oa«c»»c«án ir s
OrtOcot
Valor
O teco
i
«
1
I
j
Portarla* 00 carga
«M i
a
10
«0
n
so
x>
Z¡ H<
b
Jfl
9Q
7B
*oo'
YoU»>«0MM í
o
■0
1«
2«
tx
volata «te er*M »
a
—
3
•0
1*0
----- r30
2«
130
X>
«
«0
IT *
rj %
100*
%
2» V
V
22
«,- C
«O V A
50 Wi
730 v
rSAÍMMT-130
JIJAMOS
rs -
A<*«rienoa •*
« te u
Carpi riy rn /
f iK io r ra nwñÉ de u lM
V ola* no -M A MÉda
Noníra <Mmodro d«i i»aBO*»H>
faor» a» tatacaaún <*■ ilibata u
Valar « M «
Existen otras 2 pestañas de configuración y registro de eventos:
Es posible efectuar eventos sobre la SAI y ver qué tipo de recomendaciones y efectos produciría sobre nuestro
sistema. En el ejemplo se ha producido artificialmente una sobrecarga de salida, más consumo energético del que
puede suministrar la batería de la SAI, y como medida de seguridad en un tiempo límite de 1 minuto et software
apagará e! sistema operativo como medida de seguridad.
.i ViaM«(ir«do» *atw«tM*nk
KAtJr*
'o r h j j *
Ayudi
• A l aM a
Stibncartfa a* MfcM
O
1
2301
<ừ*-2 0 1 0 2JD1 5J a r *
1* 0 213FC croiw r/S*dlrtor U 6« r e e * e
W—l—l i11C
l» H p w < X g aiP
*
tu rn ia rr<jrr«lv* a A|i«<)atln
í M c m a i « * rv « ta i« g * tfn
i
.
T X
Vofcr acaro»
OcutkS al
23*1:3) ao a l «apaaWaa
1 1t2.1M U 1 JrCprofaaaa/SanKteúo*- la f «o * «*■ aafeda tmn e a M a la ta p a iiM da te
urs
MuMLrti alagar A ai aMania oparrfMo al «anear ai t»mpa>u*¿of da la cuanta
ratraaÉaa.
| CancMr A0a9aa> || to a « Ajw^ada
|
A su vez, ia pestaña de registro de eventos, facilita un histórico de eventos en la SAI.
Es posible ver con más profundidad aspectos del grupo de salida, entrada, etc., para analizar por ejemplo el
consumo en W y VA de los equipos conectados, por ejemplo en el caso de tener conectados un PC Pentium 4 a
2 Ghz con 2 GB de memoria RAM y un monitor LCD de 17"" el consumo conjunto es de 92 W y 106 VA. Como
podemos ver et factor multiplicativo entre la potencia real (W) y la aparente (VA) es de 106/92=1,15. Podemos
concluir, de este modo, que el factor multiplicativo 1,4 es aproximado y nos servirá para realizar cálculos
teóricos.
SEGURIDAD Y ALTA DISPONIBILIDAD
© RA-MA
E J V »% u.»li/«acliir M u llil inV
M J lI x *
C o n fq u r«
'¿ n o e s r
C onT ^jr «c*5n or* « v c rto
*
Ffed M A ü n k
J
d
*
-
a
x
Ayuda
R egistro tie
I I **•*> Éi ÉDpmMMI
□ P S A S ttM T 230 e n CO M I
G
r u p o
d e
s a l i d a
1 P i p o d e batería
& é«co«
Montare
__ | G rupo d e « r tr a d a
C o m erte de f è d a
G ráfico
.
0
__ I O u p c d e nfcrm *c*¿n OH c q u p g
P o rtá rte le de c arg a d e s a ld a
0
«
SO
ra
V o la r d a &*ida
0
00
100
24Q
1 O \ o o d a Q uarte
1 Otro
10 upo d e atar m ee
Valor
i
3
too
1201___________
un
. _ 4 - —
ia %
1
222, V
1
_ J L ai • d e O s p c t f M » de to red
Par *rwcfto«
Valor
Nombra
C a rpe reaJ d e vaftda
F racuencia d e aafeda
1
V o ie p m è n n o de tafea»
I
________
W tAm mirwno Oto tálete
U id e d e i
« |W
106 VA
C a rpa d e s a ld a a paro-fe
sb ttt
9 Í0 V
;ie v
PRÁCTICA 2.5
CÁLCULO ENÉRGETICO DE SAI
ENERGY STAR es un programa voluntario de etiquetado para ta eficiencia energética iniciado por la
Agencia de protección del medio ambiente estadounidense (EPA) en 1992. La Comunidad Europea, a
E Z2E 2 ; través de un acuerdo celebrado con e! gobierno de ios Estados Unidos, participa en el programa ENERGY
STAR para los equipos ofimáticos (European Councíl Decisión).
El etiquetado ENERGY STAR representa los requisitos de eficacia energética que cualquier fabricante respetuoso
con el medio ambiente debe cumplir. Con esta etiqueta podremos elegir los modelos de los equipos ofimáticos con
mayor eficiencia energética y que mejor se adapten a nuestros criterios de rendimiento.
En la web www.eu-energystar.org podemos encontrar información y consejos sobre las ventajas que supone la
compra del equipo ofimático más eficiente desde el punto de vista energético, qué configuración de ahorro de
energía resulta más ventajosa y cómo sacarle el máximo rendimiento.
Posee también una interesante aplicación de cálculo estimado de consumo energético para usuarios
particulares y empresas. A continuación se muestra una tabla resumen de consumos medios aproximados de
dispositivos ofimáticos en modo encendido o activo:
Podemos concluir que los sistemas con pantalla integrada y multifunción consumen aproximadamente menos del
50% que sus equivalentes con pantalla separada o componentes (escáner, impresora, etc.) separados.
A modo de ejemplo plantearemos el siguiente supuesto práctico:
La empresa Scripting S.L. nos contrata para dímensionar tanto sus armarios de servidores y comunicaciones,
como sus SAIs en un entorno de oficina:
En la entrevista con el responsable de IT nos indica: "Disponemos de 2 PCs de escritorio con sus monitores, 2
portátiles, 1 impresora láser, 1 escáner, 1 servidor para backup con un monitor para su configuración, 1 panel de
parcheoy 1 dispositivo multifunción router inalámbrico. Estamos interesados en poder poner los equipos principales
de nuestra empresa en un armario de 19"" que tenemos de unos 100 cm de alto. Nuestras instalaciones no sufren
demasiadas subidas, bajadas ni cortes de electricidad, pero queremos prevenir posibles eventualidades".
2 ■S E G U R ID A D P A S IV A
© RA-M Ä
Tabla 2.6
20
40
PC escritorio
75 W
30x 35
Portátil
32 W
40
X
30
Im p reso ra lá se r
180 W
20
X
10
Router inalám brico
0,1 A lectura de pinza am p erim étrica
Monitor
30 W
Fu en tes de alim entación 600 W, consum o m edio 3 0 %
X
3 2x 35
4 8 .2 6
X
8 ,88
S erv id o r
4 8 .2 6
X
4 ,4 4
Panel de parcheo
32
X
10
D atos 1 U = 1 ,7 5
E scá n e r
2,3 A lectura de pinza am p erim étrica
1" = 2,54 cm . S A I ofertada por el proveedor APC 8 0 0 VA con 6 to m a s de backup y filtrado y 2
to m as con filtros de b aja d as y picos de tensión, disponibles en m odelos offüne, ¡nline u oniine, tanto versión rack,
de ocupación 1 U, com o para so b rem esa,
C o n testarem o s a las sig u ientes cu e stio n e s:
Tipo de SA I seleccio nada ( on-line, in-line u off-line). Ju stifica la resp u esta.
La m ejor opción en relación calidad precio su ele se r la S A I ¡nline, en caso de ten e r m u ch as alteracion es en el
su m inistro eléctrico, y n e cesita r una disponibilidad m ayor de los siste m a s por las ca ra cte rística s de la em p resa,
o ptaríam os por la opción oniine. Tan solo para usuarios dom ésticos se recom iend a la opción offline.
D iferenciar dispositivos según ubicación:
O ficina: 2 PCs y 2 m onitores, 2 portátiles, 1 im presora, 1 escáner.
Consum o de equipos conectados a S A I (W ): O ptarem os por una S A I de so b rem esa ¡nline. A la S A I
conectados a batería para backup solo serán necesario s los 2 PCs y 2 m onitores. Por tanto el consum o
será de ( 75 + 30 ) x 2 = 210 W -> 210 x 1,4 = 294 VA ap ro xim ad am ente. Si se recom ienda que la S A I
debe e sta r al 6 0 % de carga 294 x 100/60 = 490 VA, por lo que las S A I ofertada por APC (8 0 0 VA) será
su ficien te.
Los 2 portátiles llevan su propia batería no es necesario tenerlos conectados a la S A I. La im presora y el
e scá n e r se conectarán a las 2 conexiones de filtrado disponibles.
A rm ario o rack : 1 servidor, 1 monitor, 1 router, 1 panel de parcheo.
Para el arm ario disponible: ¿ E s posible ubicar los equipos m ás críticos en el arm ario disponible por la
em p resa?
1 U = 1,75 x 2 ,54 = 4 ,4 4 cm de altu ra. Recordam os el ancho norm alizado son 19" = 19 x 2 ,54 = 4 8 ,2 6 cm .
El arm ario en total dispone de 100 cm / 4 ,4 4 cm/U = 2 2 ,5 2 U por tanto tan solo dará cabida a 22 U.
A rm ario o rack\ De ancho norm alizado y por tanto atornillables d ire cta m e n te: 1 se rvid o r (8 ,8 / 4 ,4 = 2 U),
1 panel de parcheo ( 4 ,4 / 4 ,4 = 1 U ), en b an d ejas independientes se p a ra d a s: 1 m onitor (3 5 /4 ,4 = 7 ,9 5 por
tanto 8 U) y 1 router (1 0 /4 ,4 = 2 ,2 7 por tanto 3 U ).
59
© RA-MA
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
En total serán n ecesario s 2 b an d ejas de ocupación 1 U cada una, m ás 1U para la SA I, m ás 14 U para el
resto de equipos = 17 U.
Consum o de equipos conectados a S A I (W ) : O ptarem os por una S A I de rack in-line. A la S A I conectados
a b a te ría p ara backup solo se rá n n e c e s a rio s el se rvid o r, router y 1 m onitor. Por tan to , el co n su m o
re sp e c tiv a m e n te s e rá de (0 ,3
x
6 0 0 W + 0 ,1 A
x
23 0 V + 30 W) = 233 W ^ 233
ap ro xim ad am en te. Si se recom ienda que la S A I debe e s ta r al 6 0 % de carga 3 2 6 ,2
por lo que las SAI ofertada por APC (8 0 0 VA) será suficiente.
El panel de parcheo e s un elem ento pasivo no conectado a red eléctrica.
REFERENCIAS WEB
Soluciones de almacenamiento para empresas HP:
http:/ / welcome.hp.com/ country / es/es 1smb/'storage, html
Soluciones de almacenamiento y copia de seguridad Dell:
http:// www.dell.es /
Empresa dedicada a copias de seguridad remotas:
http: / / www.copiadeseguridad.com/
Blog de seguridad informática. Copias de seguridad:
http: / / www.bLoginformatico.com/etiqaeta / copias-de-seguridad
Almacenar» iento de datos en Internet Idrive:
http: / / Luww.idrive.com
Seguridad física. Red - Iris:
http: / / www.rediris.es/cert/doc/unixsec/node7.html
Sitio web sobre SAI:
http: / / www.newsai.es /
Catálogo, manuales y documentación de SAJ:
http:/ / www.apc.com/es/
Noticias y medidas de seguridad para CPD:
http: / / www.seguridadcpd.com/
Soluciones técnicas para el control de acceso físico:
http:/ / www.accesor.com/
Soluciones técnicas de biometría:
http: / / www.bionietriaaplicada.com/
60
x
x
1 ,4 = 3 2 6 ,2 VA
100/60 = 5 4 3 ,6 6 VA,
RA-MA
2 ■S E G U R ID A D P A S IV A
RESUMEN DEL CAPÍTULO
En este capítulo hemos analizado los principios de la seguridad pasiva para intentar minimizar el
impacto y los efectos causados por accidentes.
Por un lado, después de ver en el Capítulo 1 que el elemento fundamental a proteger en un sistema son
los datos, hemos analizado:
Modelos de almacenamiento según el volumen de información y tamaño de la organización: DAS,
ÑAS y SAN.
La importancia, como recomendación transversal en seguridad informática, de una adecuada
política de gestión de copias de seguridad de !os datos críticos de una organización, analizando tipos
(completa, incrementa! y diferencial), temporización, cifrado y comprensión, así como redundancia
y distribución geográfica de las mismas.
Las posibilidades de recuperar datos perdidos o borrados, mediante software específico.
En cuanto a las medidas relativas a la seguridad física se han estudiado:
Ubicación y acondicionamiento de centros de procesamiento de datos (CPD) y de respaldo, atendiendo
a aspectos como:
Refrigeración y protección frente a incendios e inundaciones.
Control de acceso físico, con medidas como la biometría, armarios de seguridad y circuitos
cerrados de televisión (CCTV) para controlar robos y sabotajes.
SAI - UPS o generadores autónomos, dimensionados para proporcionar energía eléctrica estable
en caso de fallos o alteraciones de suministro.
© RA-M A
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
EJERCICIOS PROPUESTOS
1 . Realiza una tabla comparativa en la que compares
el tamaño en Gigabytes (GB), precio del dispositivo,
y divide el precio/capacidad o tamaño en GB para
obtener el precio por cada GB de distintas memorias
comerciales: memoria RAM, disco duro a 5400 y 7200
rpm, CD, DVD, cinta de backup , memorias y discos
duros USB.
¿Cuál es la memoria más barata? ¿Cuál es la más
rápida? ¿Crees que las memorias de estado sólido
o flash sustituirán a los discos magnéticos como
el disco duro? Busca y comenta algunos sistemas
informáticos que hayan sustituido el disco duro por
memorias de estado sólido.
2. Busca información comercial en HP o Dell sobre
sistemas de almacenamiento en cinta.
¿Crees que hoy en día se siguen utilizando? ¿Cuáles
suelen ser sus aplicaciones? ¿Por qué crees que se
siguen empleando? ¿Cuál es el coste por MB? Busca
una unidad lectora/grabadora de cinta y una cinta
e indica su coste.
3. Busca una empresa que se dedique a recuperar los
datos de fallos físicos de discos e indica sus precios y
servicios ofertados. ¿Te parecen caros los servicios de
recuperación de datos? ¿Cuáles son los principales
fallos, recomendaciones y precauciones que se deben
tener con los discos duros?
4. Para realizar copias de seguridad en Internet
hemos visto que existen sitios FTP gratuitos como
Dropbox, Idrive o Mozy, existen otras empresas
especializadas en backup remoto de pago. Analiza qué
servicios ofrecen y a qué precios, las empresas www.
copiadciiegiiridad.com y www.perfectbackup.es.
5. Para garantizar un espacio seguro de nuestras
copias de seguridad podemos optar por contratar
los servicios de empresas que realicen la recogida
y custodia de copias de seguridad ¿Qué servicios y
precios ofrecen empresas como www.csabe.corn y www.
copiasegura.com?¿Qué normativa deben cumplir con
respecto a seguridad informática?
6 . Realiza una comparativa de distintas aplicaciones
de software de copia de seguridad analizando las
62
opciones que permiten respecto a: tipo (completa/
i n ere mental/diferencial) y temporización de copias,
origen y destino de copias (opciones de alojamiento
remoto), compresión, algoritm os de cifrado y
contraseñas. Ejemplos para Windows: Cobian,
U ranium Backup, Backup4all, Fiabee, FBackup,
etc., y para GNU/Linux: Fwbackups, Rsync, Bacula,
Amanda, Simple Backup, DupLicity, Backup PC, Suite
Simple Backup, Back in time, etc.
7. Dentro de las herramientas de copia de seguridad
encontramos herramientas específicas de realización
de copia exacta, clonado o imágenes de disco, que
permiten la restauración exacta de una determinada
partición de disco. Indica algunos ejemplos de software
de clonado de discos ¿Cómo se guardará la copia de
seguridad por ejemplo para una partición que ocupe
40 GB? ¿Se realiza en un único soporte?
8 . En ocasiones para poder restaurar la configuración
de un equipo es interesante tener una copia de
seguridad de nuestros controladores. Realiza una
copia de seguridad de los controladores o drivers de
tu equipo mediante alguna aplicación específica
como DriverM ax o similar. Valora ventajas e
inconvenientes de este tipo de software en función
de las opciones que permite realizar. ¿Qué utilidad
puede tener una copia de seguridad de tus drivers?
¿Es posible siempre recuperarlos, incluso teniendo el
lisLado de dispositivos? ¿Y en caso de no tener dicho
listado?
9. Análisis de mejoras de un CPD en una solución real.
Lee y analiza el siguiente caso real “Solución integral
de CPD altam ente seguro para Supermercados
Condis”, en la fuente web: http:/ / www.abast.es/ cs_
condis_cpd.shtml.
¿Qué se considera un “traslado en caliente”?
¿Cuáles eran los riesgos que corrían y que podrían
poner en peligro su anterior CPD? ¿Qué es una
auditoría? ¿Quién lomó la decisión de cambio?
¿Cómo se podrían resumirlas soluciones adoptadas
por la empresa en los distintos ámbitos? ¿Las SAIs
y el resto de sistemas se encuentran en la misma
sala? ¿Por qué?
© R A MA
10 . Busca información referente al lector de huella
dactilar y el software asociado Fm gerprint Logon
Manager, que HP integra en sus portátiles y contesta
las siguientes preguntas como entrada en tu blog:
¿Cuáles son las ventajas de usar el lector de huellas
digitales para iniciar sesión en un equipo? ¿Cómo
es el proceso de configuración software del lector de
huellas digitales?
¿Qué precauciones o recomendaciones de uso
se recomiendan a la hora de emplear el lector de
huella? ¿Se puede iniciar la sesión en Windows con
el lector de huellas digitales? ¿Es compatible con
otro tipo de sistemas operativos?
¿Se puede usar un dedo diferente para iniciar
sesión en el PC? ¿Es posible que varios usuarios
inicien sesión con el lector de huellas digitales en
el mismo PC?
11 . Para evitar robos en espacios públicos, o aulas,
existen una serie de soluciones de seguridad física
como: arm arios de seguridad con llave, carritos
móviles para equipos informáticos, cables de seguridad
para portátiles y llaves y candados para equipos y
periféricos.
Encuentra un armario y sus características en
dimensiones para que dé cabida a un siuitch,
panel de parcheo, PC (sobremesa con funciones
de servidor) con monitor, teclado, ratón y SAL
En primer lugar, deberás elaborar una lista con
las dimensiones de cada componente para poder
hacer una estimación del espacio necesario en el
armario.
¿Qué precio y en qué distribuidor has encontrado
dicho armario? ¿Qué características tiene la
puerta y la llave de dicho armario, crees que seria
totalmente seguro? Explica tus razones.
12. A través del distribuidor www.senfor.com podrás
encontrar un conjunto de soluciones de seguridad
para aulas de ordenadores. Diseña una solución
con presupuesto, que permita dar seguridad a un
aula como la que dispones, en la que se quiera tener
también 15 ordenadores portátiles.
13. Busca en la web de alguna empresa que facilite
soluciones de control de accesos a CPD, como por
ejemplo www.zksoftwnre.es , encuentra y explica
las diferencias existentes, entre los terminales de
presencia (con tarjeta identificad ora), terminales de
huella dactilar, y terminales con código y password.
Analiza y explica cómo funciona el software de
control de accesos, para una empresa con cientos de
empleados.
2 ■S E G U R ID A D P A S IV A
14. Si tu equipo no dispone de lector de huella, existen
diversos periféricos que permiten el control del PC
únicamente mediante la utilización de la huella
registrada de usuario. Investiga acerca de los precios
y características de periféricos como teclado, ratón,
disco duro o memoria USB o incluso lector de huella
USB independiente, así como las opciones de software
que existen, como eNDeSS. ¿Qué niveles de acceso
controla dicho software? Realiza una tabla resumen
con precios y características.
15. Analiza las características y el funcionamiento del
sistema BioCloser de reconocimiento de voz. Explica
su principio de funcionamiento y para qué se puede
emplear.
16. Busca información acerca del control de
acceso Biopassword y descubre su principio de
funcionamiento probándolo a través de su demo. ¿Cuál
es el principio de funcionamiento? ¿Qué parámetros
mide? ¿Crees que podría ser útil este sistema como
control de acceso biométrico?
17. Diseña una infraestructura de cám aras de
vigilancia 1P inalám bricas, con 4 cám aras que
permita controlar la planta de un edificio. Indica los
equipos necesarios aparte de las cámaras, espacio de
almacenamiento necesario y períodos de realización
de copias de seguridad.
Crea una tabla con el coste de la instalación
desglosado con cada uno de sus coro ponentes así como
la mano de obra de instalación y configuración.
¿Qué leyes se apLican sobre la filmación de vídeo
en espacios públicos y en privados? A modo de
resumen, ¿qué precauciones y recomendaciones
se deben tomar a la hora de realizar grabaciones
de seguridad? Busca alguna noticia sobre la
implantación de cámaras de seguridad en las vías
públicas de las ciudades y qué tipo de controversias
ba originado.
18. Encuentra una SAI para todos los sistemas de
tu aula, sirviéndote y ajustando los consumos de
los equipos en base a las estimaciones de Energy
Star, y teniendo como máximo una carga del 70%
de la potencia máxima suministrada por la batería.
Justifica tu respuesta e indica tipo, número y tipos de
tomas, potencia suministrada en VA, etc. En caso de
no encontrar una SAI con suficiente capacidad, realiza
una división de la carga entre distint as SAI.
Es necesario disponer una SAI para un portátil
o un notebook? ¿Por qué? ¿Qué función realiza el
transformador de corriente del portátil? ¿Y las
celdas de baterías?
63
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
TEST DE CONOCIMIENTOS
Las medidas de seguridad biométricas:
Permiten el acceso a un sistema mediante contraseña asimétrica.
Emplean la biología paira medir parámetros de
seguridad.
Emplean características biológicas para identifi­
car usuarios.
Son el fundamento de la identificación mediante
certificado digital.
Las SAIs:
Permiten conectarse ininterrumpidamente a la
red eléctrica.
Suministran corriente eléctrica frente a cortes
de luz.
Son dispositivos de almacenamiento de alta dis­
ponibilidad.
Son pro .gramas que permiten mantener confi­
dencialidad.
Los armarios o bastidores para albergar sistemas
no poseen:
Profundidad variable.
Ancho fijo.
Ai tura múltiplo de 1 U.
Profundidad fija.
El sistema biométrico más fiable y seguro es:
Reconocimiento de voz.
Huella dactilar.
Iris.
Escritura y firma.
64
de:
La pinza amperimétrica sirve para realizar medidas
Voltaje (V).
Potencia aparente (VA).
Corriente eléctrica (A).
Potencia real (VV).
En caso de tener una instalación CPD crítico con un
suministro eléctrico muy fluctuante, el tipo de SAI
a utilizar es:
Online o doble conversión.
Offline.
Inline.
Línea interactiva.
Si el espacio que disponemos para realizar copias de
seguridad es limitado éstas deben ser:
Completas.
Incrémentales,
Diferenciales.
Completas + Diferenciales.
El sistema biométrico mas empleado por su relación
fiabilidad/coste es:
Reconocimiento de voz.
Huella dactilar.
Iris.
Escritura y firma.
En los sistemas GNU/Linux para realizar copias
de seguridad autom atizadas no se emplea el
comando:
Bkp.
Crontab.
Tar.
Gzip.
/
/
/
/
Profundizar en aspectos de
seguridad lógica.
Valorar la importancia del uso de
contraseñas seguras.
Restringir el acceso autorizado en
el arranque, sistemas operativos,
ficheros, carpetas y aplicaciones.
Analizar las ventajas de disponer
el sistema y aplicaciones
actualizadas.
Garantizar el acceso restingido
de los usuarios a datos y
aplicaciones, mediante políticas
de seguridad.
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
© RA-M A
PRINCIPIOS DE LA SEGURIDAD LÓGICA
El activo más importante que se poseen las organizaciones es la inform ación, y por lo tanto deben existir técnicas
más allá de la seguridad física que la aseguren, estas técnicas las brinda la seguridad lógica.
La seguridad lógica consiste en la aplicación de barreras y procedimientos que resguarden el acceso a Los
datos y solo se permita acceder a ellos a las personas autorizadas para hacerlo. A los largo de los capítulos 3
(seguridad en el acceso lógico a sistemas), 4 (software antimalware), y 5 (criptografía), veremos algunos de los métodos
fundamentales.
Algunas de las principales amenazas que tendrán que combatir los administradores de sistemas son el acceso y
m odificaciones no autorizadas a datos y aplicaciones.
La seguridad lógica se basa, en gran medida, en la efectiva administración de los permisos y el control de acceso a
los recursos informáticos, basados en )identificación, autenticación y autorización de accesos.
Como principio básico de seguridad lógica en la configuración de sis te m a s: todo lo que no está perm itido
debe e sta r prohibido.
i
A lo la rg o d e e s te c a p ítu lo v a m o s a c o m p ro b a r la im p o rta n c ia d e e m p le a r c o n t ra s e ñ a s fu e rte s y
la r e s p o n s a b ilid a d q u e t ie n e n so b re el co n tro l d e la s m is m a s los d e s a r r o lla d o r e s d e s o ftw a re y
a d m in is tra d o re s d e s is te m a s .
Para ello s e p ro p o n e la le c tu ra d el a rtíc u lo “ U tiliza n d o m a p a s co m o c o n t ra s e ñ a s d e a c c e s o , un a
n u e v a id ea de se g u rid a d in fo rm á tica ", fu e n te : http://noticias.lainform acion.com /ciencia-y-tecnologia/
tecnología-general/u tilizando-m a pas-com o-contrasenas-de-acceso-una-nueva-idea-de-seguridad inform atica_Kt8uDQyuXZu27JJbyXmVr4 /.
S e p ro p o n e c o m e n t a r en g ru p o la s s ig u ie n te s c u e s t io n e s :
•
¿ Q u é longitud d e c o n tra s e ñ a p re s e n ta e s te n u evo m éto d o ? ¿ Q u é código de c a r a c t e r e s u tiliz a ?
•
¿ Q u é m e c a n is m o s y h e rra m ie n t a s m alware elude ? ¿ Q u é m e to d o lo g ía s e p o d ría e m p le a r p ara
o b te n e r la c o n t ra s e ñ a ?
•
¿ Q u é p re c a u c io n e s d e b e ría m o s d e to m a r a la ho ra d e r e g is t r a r n u e s t r a s c o n t r a s e ñ a s ? ¿ Y
e s p e c ia lm e n t e en re d e s s o c ia le s ?
66
© RA-MA
3 ■S E G U R ID A D L Ó G IC A
CONTROL DE ACCESO LÓGICO
El control de acceso lógico es la principal línea de defensa para la mayoría de los sistemas, permitiendo prevenir
el ingreso de personas no autorizadas a ta información de los mismos.
Para realizar la tarea de controlar el acceso se emplean 2 procesos normalmente: identificación y autenticación.
Se denomina identificación al momento en que el usuario se da a conocer en el sistema; y autenticación a la
verificación que realiza el sistema sobre esta identificación.
Desde el punto de vista de la eficiencia, es conveniente que los usuarios sean identificados y autenticados
solamente una vez, pudiendo acceder a partir de ahí a todas las aplicaciones y datos a los que su perfil les permita,
tanto en sistemas locales como en sistemas a los que deba acceder en forma remota. Esto se denomina single login o
sincronización de passwords.
Una de las posibles técnicas para implementar esta única identificación de usuarios sería la utilización de un
servidor de autenticaciones sobre el cual los usuarios se identifican y que se encarga luego de autenticar al usuario
sobre los restantes equipos a los que éste pueda acceder. Este servidor de autenticaciones no debe ser necesariamente
un equipo independiente y puede tener sus funciones distribuidas tanto geográfica como lógicamente, de acuerdo con
los requerimientos de carga de tareas. Es el caso de servidores LDAP en GNU/Linux y Active Directory sobre Windows
Server.
Los sistemas de control de acceso protegidos con contraseña, suelen ser un punto crítico de la seguridad y por ello
suelen recibir distintos tipos de ataques, los más comunes son:
Ataque de fuerza bruta: se intenta recuperar una clave probando todas las combinaciones posibles hasta
encontrar aquella que permite el acceso. Cuanto más corta, más sencilla de obtener probando combinaciones.
Ataque de diccionario: intentar averiguar una clave probando todas las palabras de un diccionario o
conjunto de palabras comunes. Este tipo de ataque suele ser más eficiente que un ataque de fuerza bruta, ya
que muchos usuarios suelen utilizar una palabra existente en su lengua como contraseña para que la clave sea
fácil de recordar, lo cual no es una práctica recomendable.
Una forma sencilla de proteger un sistema contra los ataques de fuerza bruta o los ataques de diccionario es
establecer un número máximo de tentativas, de esta forma so bloquea el sistema automáticamente después de un
número de intentos infructuosos predeterminado. Un ejemplo de este tipo de sistema de protección es el mecanismo
empleado en las tarjetas SIM que se bloquean automáticamente tras tres intentos fallidos al introducir el código
PIN.
A continuación veremos criterios para establecer políticas seguras de contraseñas.
POLÍTICA DE CONTRASEÑAS
Las contraseñas son las claves que se utilizan para obtener acceso a información personal que se ha almacenado en
el equipo y aplicaciones, como en los entornos web (mail, banca online, redes sociales, etc.). Para que una contraseña
sea segura se recomienda:
Longitud mínima: cada carácter en una contraseña aumenta exponencialmente el grado de protección que
ésta ofrece. Las contraseñas a ser posible deben contener un mínimo de 8 caracteres, lo ideal es que tenga 14
caracteres o más.
67
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
Combinación de caracteres (letras minúsculas y mayúsculas, números y símbolos especiales): cuanto más
diversos sean los tipos de caracteres de la contraseña más difícil será adivinarla.
Para un ataque de fuerza bruta que intenta encontrar contraseñas generando todas las combinaciones posibles,
si empleamos una contraseña de 5 caracteres en minúscula para el idioma español que posee 27 caracteres diferentes,
tendría que probar 275 = 14 348 907 combinaciones a probar.
En caso de emplear mayúsculas y minúsculas el número de combinaciones se multiplicaría siendo (27 x 2) 5 - 525
= 380 204 032 combinaciones a probar.
Algunos métodos que suelen emplearse para crear contraseñas resultan fáciles de adivinar, a fin de evitar
contraseñas poco seguras, se recomienda:
No incluir secuencias ni caracteres repetidos. Como “12345678”, “222222 ”, “abcdefg”.
No utilizar el nombre de inicio de sesión.
No utilizar palabras de diccionario de ningún idioma.
Utilizar varias contraseñas para distintos entornos.
Evitar la opción de contraseña en blanco.
No revelar la contraseña a nadie y no escribirla en equipos que no controlas.
Cambiar las contraseñas con regularidad.
I PRÁCTICA 3.1
CONFIGURACIÓN DE CONTRASEÑAS SEGURAS
Todas las recom endacion es an teriorm ente citad as están m uy bien cuando se conocen y se llevan a cabo, pero, ¿no
se ría m ejor opción e v ita r que los usuarios tengan co n traseñ as inseg uras o débiles y que no se cam b ien nunca?
V eam os que opciones de configuración sobre el control de co ntraseñas poseen los siste m a s operativos.
Windows
Las d ire ctiva s de cuentas nos perm iten configurar el com portam iento que van a ten e r é sta s ante una serie de
su ce so s. La im portancia de una correcta configuración de e sta s d irectivas radica en que desde ellas vam o s a poder
controlar de una forma m ás eficiente la form a de acced er a nuestro ordenador.
En p rim er lugar, acced em o s a !a ventan a de D irectivas de seguridad de cuentas, m ed iante la ejecución del
com ando gpedit.msc o desde el Panel de control / Herramientas administrativas / Directivas de seguridad local.
Una vez en la ventana de las D irectivas de seguridad local nos encontram os a la izquierda con va ria s d irectivas.
T ratarem o s la D ire ctivas de cuentas. Como podem os ver, en este grupo de d irectivas tenem os dos subgrupos,
D ire ctiva de co n traseñ as y D irectiva de bloqueo de cu en tas. Vam os a v e r qué podem os h acer en cada uno
de ellos:
68
3 * S E G U R ID A D L Ó G IC A
© RA-M A
D irectiva de co n traseñ as:
• tti
tf
*o ó n
ilM
9
C *T P rf
omtM
T H H
M tA c u v k U a
• J 0»HtN« b u fa
l ^ i q W ■*«*• * i li Ktrtxmrnfm
• _ | C««3*M ¿t rtft» p jt* .
Q £ v^r> «
« i te car* « A
4
• _ J tf* iO ,K * - « l> K » l
mémm
^A^.a<«aM áillCcr» >V4
Dentro de las directivas de contraseña nos en contram os con una serie de d irectivas com o:
A lm acenar co n traseñ a usando cifrado reversib le para todos ios usuarios del dominio.
Forzar el historial de co n traseñ as: Estab lece estab lece el núm ero de co n traseñ as a recordar, los usuarios
no pueden utilizar la m ism a co n traseñ a cuando ésta c a d u c a .. S e recom iend a un valo r mínim o de 1.
Las co n traseñ as deben cum p lir los requerim ientos de com plejidad: S e se recom ienda habilitar esta
opción, la cual obliga para n u eva s co n traseñ a s:
6 ca ra cte re s com o m ínim o.
C o ntener ca ractere s de al m enos tres de las cinco c la se s sig u ien te s: M ayúsculas, m inúsculas, dígitos en
base 10, ca ra cte re s no alfanum éricos (por ejem p lo : !, $, # o % ), otros ca racte re s Unicode.
No co nten er tres o m ás ca ra cte re s del nom bre de cuenta del usuario.
Longitud m ínim a de la con traseñ a.
Vigencia m áxim a de la co n traseñ a: E stab le ce estab lece el núm ero de días m áxim o que una contraseña
va a esta r activa.
Vigencia m ínim a de la co n traseñ a: Estab lece estab lece el núm ero de días m ínim os que una contraseña
va a esta r activa. Si es m ayor que 0, los usuarios no pueden cam b iar repetid am ente las co n traseñ a s para
eludir la configuración de directiva Forzar el historial de co n traseñ a s con el fin de utilizar su contraseña
original.
D irectiva de bloqueo de cu e n tas:
Duración del bloqueo de c u e n ta s: Estab ie cee stab le ce, en m inutos, el tiem po que una cuenta debe
p erm an ecer bloqueada.
R estab lecer la cuenta de bloqueos desp ués de: E sta b le ce e sta b le ce , en m inutos, el tiem po que ha de
p asar para re sta b lecer la cuenta de bloqueos.
Umbral de bloqueos de la cuenta: E stab lece estab lece el núm ero de intentos fallidos para bloquear el
acceso a una cuenta.
Recom endaciones:
fr Configuración de seguridad local
Archivo
O
Acata
B
Ver
Ayuda
c? S C§
^ C a rfijiod ón de «egu<dad
- _ 2 Oeectrvas de cuente
Cwect/va de contresef
♦
Directiva de bloqueo d
& _ 8 Cwectrveí lócele)
t . _| Orectrvas de daves púbéc
* _| Orectrvas de restricción d*
t ^ Orectwa* de segundad IP
Drectr/e
Corfigur ación de s...
SQAhvsceo* cor*reserta usando ctfrado reversóle pera to ... Oejhabfcade
gjjForrar el hetonaide contraseñas
0 contraseñas tecor..
ÜLongtud n w M de la corta aserta
•yfl Vigencia rnax<na de lo contraseña
7 $ \ Vgtnoa mrama de la contraseña
M caracteres
31 das
Odas
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
S e recom ienda configurar la política de co n traseñ a s para que la longitud m ínim a sea de 14 ca racte re s,
tenga las ca ra cte rística s de com plejidad requ erid as y haya que m odificarlas cada m es. En caso de m ás de
3 intentos fallidos b loquear la cuenta 15 m inutos, para e v ita r ataqu es de fuerza bruta.
ti Q j » c o r \ de segixided
D re c tM
OeectjYM de cuento
Orectrva de contraseñas
_J OrectN* de bloqueo de cuentas
OeectKai loca*w
C o n ñ g u x jó n d e t...
S flíX ra o ó n dei bfcoueo de c u e ru
15
¿^A ettobieccr la cuenta de btoojeo* desoués de
IS m n u o s
¡Q^Urrórd do Moqueos óe le cuenta
3 rite n to *óe n
ao
...
Cwectjv« de deves pùbica*
Orecttvet de restncoán óe taftwMre
CeecOves de seguided V* en Ccnpo k x d
S e debe com p robar la nueva política de co n tra se ñ a s cre a d a y re n o va r las co n tra se ñ a s cre a d a s con
an teriorid ad . En caso de no cum plir con los requisitos im p uesto s, a los u suarios se les m ostrará el siguiente
m e n sa je .
Cuentas de umano
Para controtar por parte del adm inistrad o r los a cceso s al siste m a podem os hab ilitar en Directivas locales
/ Directiva de auditoría / A uditar sucesos de inicio de sesión, tanto correctos com o errón eos. El viso r de
su ceso s en panel Panel de c o n tro l/ herram ientas adm inistrativas nos perm itirá analizarlos.
Configuración de seguridad local
AjcTívc
Atoón V«
Ayuóe
da rff d
Conflpjreoónde segindad
• _ 3 D re d r*«
cuore«
S _2 OrecttvM bcaiif
J Dwtrv* de eudtone
i JJ Aagruaónóetoectios de usuano
íi _ i Ocoonet de ^ rx is d
• _J Cwectivos de deves púbfca*
•
_ J O rectr/ai de rettncdón de
• % Drect*« de tegmded IP enLaico beai
Ccrftp^eoún de seginded
Drecbve
§ 5 AoJtar «J acceso a objeto«
S Q A oítflr H acceso dei M rv tto de dre do r©
iSjÜAuAar el carrài) de d ie d r a *
ei s egi«ner*o de proceso»
¡SdAcdtar d uso de p rry*o jo i
SQAudtar la adrrw tracien de c u « * »
£j(¡Audtar suceso* de n e o de sesrin
jgQAuJtar » jomo » de n « o de í w ú n de cuente
Corréelo, Enóroo
Correcto. Erróneo
Con©do, Erróneo
Conecto, Erróneo
Conecto, Erróneo
Correcto, Erróneo
Conecto, Erróneo
Correcto, Erróneo
G N U /Linux
El control so b re com p lejid ad y cifrado en co n tra s e ñ a s se re aliza en G N U /Lin ux m ed ian te el se rv ic io PAM
(Pluggable Authentication Module). M ediante PAM podem os co m u n icar a nu estras ap licacion es con los m étodos de
autenticación que d eseem o s de una form a tran sp are n te , lo que perm ite integrar las utilidades de un sistem a Unix
clásico ( login, ftpFTP, te ln e t,..) con esq u em as d iferentes del habitual password: cla ve s de un solo uso, biom étricos,
ta rje ta s in te lig en te s...
El módulo p a m _cracklib está hecho esp ecíficam ente para d eterm in ar si es su ficien tem ente fuerte una contraseña
que se va a crear o m odificar con el com ando passwd.
Para instalarlo eje cu tare m o s: sudo apt-get install libpam -cracklib.
Uno de los com andos de asignación de co n traseñ as a usuarios en el acceso a siste m a s GN U /Linux su ele ser
passwd, y su archivo de configuración asociado e s /etc/pam .d/passw d. A su vez éste suele re fe ren ciar a /e tc /
pam. d/com m on -password.
En dicho archivo podrem os indicarle las ca racterísticas de los m ódulos a em plear, en el ejem plo p am _crack lib .
so (instalad o para el control de la com plejidad en co n traseñ a s de usuario) y p a m _u n ix .so (p rein stalado y el m ás
em pleado por defecto). M ostram os a modo de ejem plo 2 líneas de configuración co n ven cio n ales:
© RA-M A
3 ■S E G U R ID A D LÓ G IC A
password
p assword
required p a m _ c r a c k l i b .so dcredit=-l ucredit=-l lcredit=-l
required p a m _ u n i x .so use_authtok nullok md5
m inlen= 8
La prim era linea incluye el m ódulo de verificación cracklib, e indica que la longitud m ínim a sea 8 (m in ien ),
y que debe co n ten er dígitos (d cred it), m ayú sculas (u cre d it) y m inúsculas (Icred it).
En la segunda indicam os que los arch ivo s que contienen las co n traseñ as posean encriptación MD5. En
ve rsio n e s actu a le s de d istribuciones GN U /Linux se incluyen algoritm os de cifrado m ás seg uros com o
SHA.
Cuando em p leem os de nuevo el com ando passwd para renovación de co ntraseñas de un usuario, dicho com ando
verificará que se cum plen las reglas d escritas en el archivo de configuración common-password.
Para v isu a liza r los acceso s al sistem a y otros su ceso s del sistem a o logs, estos se guardan en arch ivo s ubicados en
el d ire cto rio /va r/lo g, au nque m uchos p rogram as m anejan su s propios logs y los guardan en /v a r/lo g j< p ro g ra m a > .
Con respecto al acceso e identificación de usuarios en contram os;
/v a r/ lo g / a u th .lo g : se registran los login en el siste m a . Los intentos fallidos se registran en líneas con
inform ación del tipo invaíid password o authentication failure.
A continuación realizaremos un análisis en profundidad a distintos niveles, de los mecanismos de control de acceso
a los sistemas mediante contraseña;
I o nivel; control con contraseña del arranque y de su propia configuración proporcionado por la BIOS.
2° nivel: control mediante contraseña del arranque y de la edición de las opciones proporcionadas por los
gestores de arranque.
3o nivel: control mediante usuario y contraseña por parte de los sistemas operativos. El sistema operativo
permite el control de acceso a datos y aplicaciones mediante la configuración de privilegios a los distintos
perfiles de usuario o individualmente a estos.
4o nivel: contraseña y cifrado de acceso a datos y aplicaciones, entre otros los archivos ofimáticos, comprimidos,
sitios web (mail, banca online), etc.
PRÁCTICA 3.2
PELIGROS DE DISTRIBUCIONES LIVE!
Son inn um erables los siste m a s operativos arran ca b les desde unidades extraib les U S B , CD o DVD en modo U ve
sin necesid ad de form atear e instalarlos en disco duro. Incluyen gran cantidad de aplicacion es de recuperación
de datos y co n traseñ as de usuario.
D esde las opciones de S E T U P o configuración de ia B IO S, podem os h ace r que arran q u e en p rim er lugar desde
cu alq u iera de las m encion ad as unidades.
V uln erab ilid ad es
A modo de ejem plo m encio n arem o s algunas distribuciones arran ca b les en modo Live:
71
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
U ltím ate Boot CD (U BC D ): posee en un en to rn o sim u la d o W indow s a p lica cio n e s com o a n tiv iru s,
recuperación de datos, ap licacion es de recuperación y borrado de co n traseñ as de la B IO S (cm o s _p w d ),
borrado y restitución de nu evas co n traseñ a s de usuarios de siste m a s W indows instalad os en disco, incluso
creación de n u eva s cu e n tas de usuario adm inistrador.
B acktrack: distribución específica con un conjunto de herram ientas de auditorías de seguridad, entre otras
alg unas que perm iten escalad a de privilegios en sistem as W indows (ophcrack) y GN U/Unux (John the ripper).
O phcrack; distribución esp ecífica que contiene la aplicación de m ism o nom bre con capacidad de e x trae r
co n traseñ a s de usuarios en siste m a s W indows. Verem os m ás ad elan te un ejem plo de aplicación.
S la x : distribución basada en Stackware, m uy ligera y arran cab le desd e U SB. Perm ite el m on taje y acceso
a los siste m a s de ficheros instalad os en disco.
W ifiw ay y W ifisla x : d istrib u cio n es o rie n ta d a s a re a liz a r au d ito rías wireless, com o re cu p eració n de
contraseñas.
En la m ayoría de las ocasiones desde e sta s distribuciones es posible acced er a las particiones y siste m a s de
ficheros de form a tran sp are n te , es decir, sin restricciones del siste m a operativo, por lo que puede com prom eter
la seguridad de los datos y ficheros.
Com probación
A modo de ejem plo podem os com probar d esp ués de a rra n ca r con un DVD U ve de Back track el listado de
p articiones disponibles en el disco duro m ed ian te el com ando ejecutado com o root: fdisk -I.
Tras a n a liza r las particiones d isponibles, m ontarem os por ejem plo en una carpeta cread a por ejem plo /mnt/win,
ia partición de form ato NTFS de W indows /dev/sda2, con el com and o: m ount -t ntfs /dev/sda2 /mnt/win.
La opción - t nos perm ite indicar el form ato de la partición. De esta form a podem os acced er a través de la carpeta
/mnt/win a todos los ficheros de dicha partición.
root$bt: /mnt • Shell - K o risole*
Session
Edit
View
Bookmarks
Settings Help
llnaole to open / I
root net: » fd lsk -I
Disk /dev/sda: 58 5 OB, ‘>8506416640 bytes
255 heads. 63 secto rs/track. 7113 cylinders
Units = cylinders of 16665 • 512 * 8225290 bytes
Bisk Id e n t ifie r : 0«cfce28df
Oevlce Boot
/dev/sda1
/dev/sda2
•
/4ev/sda3
/dcv/KU5
foot -.if : * 1»
Start
1
U
5004
SOW
End
10
5002
7112
7112
Blochs
BQ293*
40580198
16458592*
16458561
Id
ÓC
Í
7
System
D ell U t ilit y
HPFS/NTFS
#95 E xt'd UBA»
HPFS/NTFS
roobjfet: » cd . .
r o o t T t ; * p«rt
rooti'ot: * cd m l/
ro o tle t:
» Is
'i c b ’Ot:
root d :
• okdir win
» count -t n tfs /dev/sdc>2 /■nt/win
«1
Recom endación
C onfig urar el arran q u e para que siem p re se realice en prim er lugar desd e el disco duro donde estén instalados
los siste m a s op erativos y configurar con contraseña el setup de la B IO S para e v ita r m odificaciones no auto rizad as
en la secuencia de arran q u e.
72
© RA-M A
3 ■S E G U R ID A D L Ó G IC A
CONTROL DE ACCESO EN LA BIOS Y GESTOR DE ARRANQUE
BIOS (Basic Input/Output System): es el nivel más bajo de software que configura o manipula el hardware de un
ordenador de manera que cada vez que iniciamos el ordenador este se encarga de reconocer todo el hardware que
contiene el ordenador y controlar el estado de los mismos.
En la BIOS podemos configurar cualquier parámetro referente al hardware, de qué dispositivo arrancará en
primer lugar o parámetros más comprometidos como el voltaje que se le suministra al núcleo del microprocesador.
Por este motivo tendremos que proteger nuestra BIOS de manera que solo un Administrador o un usuario
responsable puedan cambiar los valores de la configuración.
Según la versión y la marca de la BIOS podemos configurar la seguridad del mismo de distintas formas.
Estableceremos una clasificación sobre los niveles de seguridad que suele tener:
Seguridad del sistem a (system): en cada arranque de la máquina nos pedirá que introduzcamos una contraseña
que previamente se ha configurado en el BIOS. En caso de no introducirla o introducirla incorrectamente, el
sistema no arrancará.
Seguridad de configuración de la BIOS (setup): en este apartado se suelen distinguir dos roles apLicables:
Usuario (solo lectura) y Administrador (lectura/modificaciones).
PRÁCTICA 3.3
CONFIGURANDO CONTRASEÑA EN LA BIOS
En toda la explicación de esta actividad nos b asarem o s en una B IO S concreta del fab ricante AM I( por lo que es
recom endable reconocer qué tipo de BIO S estam os m anejando (Aw ard, Phoenix, etc.) y co n su ltarla web del fabricante
de la placa base para obtener el m anual que contiene los pasos detallados para la configuración de la seguridad.
Proceso de asignación de co n traseñ as
E n trare m o s en el setup de nuestra B IO S (norm alm ente pulsando en el principio del a rran q u e , tras p ulsar el botón
de encendido la tecla Su p r o F 1 2 ) y nos dirigirem os a la sección "secu rity" para poder configurar las co n traseñ a s.
En esta sección nos en co n trarem o s con una serie de opciones para ca m b ia r o borrar las co n traseñ as. E sta s son:
Change supervisor password: crear, cam bia o elim ina la contraseña del Adm inistrador.
Change user password: cre a r o cam b iar la contraseña del usuario.
Clear user password: elim ina la contraseña del usuario.
© RA-M A
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
S e le ccio n a re m o s "chang e su pervisor passw ord" para cre ar la nueva co ntraseña del A dm inistrador, introducirem os
la co n traseñ a dos v e ce s y p ulsarem os en "OK". Tras definir la co ntraseña del adm inistrador, la vista de la sección
"secu rity " cam b ia. Ahora nos en co ntrarem o s con m ás opciones que las que se m ostraban por defecto en esta
sección, com o:
User access level' define el nivel de acceso que tendrá el usuario. Estos niveles pueden v a ria r en tre:
No access (sin a cce so ), View only (solo le ctu ra ), Limited (m od ificar con lim itacio n es) y Full Access
(todos los p erm isos).
Password Check'. e ste parám etro perm ite configurar cuando querem os que la B IO S pida la contraseña
tanto al A dm inistrador como al usuario norm al. La opciones son:
Setup\ la co ntraseña se pedirá en el inicio del asisten te de configuración de la B IO S .
Always: la petición de la co n traseñ a se realizará en cada arranq ue de la m áquina.
Ahora ca m b iarem o s las opciones del usuario norm al ya que por defecto tiene pleno acceso a la B IO S . En nuestro
caso los config u rarem os para que solo pueda visu a liza r la B IO S . Para ello, se leccio n arem o s "U se r A ccess Level"
y m a rca re m o s la opción "View Only". Por últim o, configurarem os para que siem p re que se inicie la m áquina nos
pida la co n traseñ a , m ediante la opción "Passw ord C h eck " lo podrem os configurar seleccionan do el parám etro
"a lw a ys":
Pit I n
iM u . im r il
S u p e r v is o r P assw ord
U ser P a ra m rd
P llu rT
'
Change S u p e r v is o r P a s s u o rd
U ser A ccess L e v e l
C hange U s e r P a ssw o rd
C le a r U s e r P assw ord
UIÜS SETUP U T IL IT Y
IttMit.
S S it O T J f
1
Kk L
1
n s ta I n i
Im U lIr d
t U l r u O n ly ]
S e t u p ’ C h eck p a s s w o rd
w h ile in v o k in g s e t u p .
A lw a y s : C h eck p a s s w o rd
u h i l e in v o k in g s e tu p .<
w e ll u s o n e a ch b o o t .
Con esto ya tenem os configurada la seguridad de nuestra B IO S para e v itar a cceso s no d eseados a la B IO S y al
arran q u e del siste m a . Una ve z configurada la seguridad de los usuario s, podem os reiniciar nu estra m áquina para
ve rifica r que nos pedirá la contraseña en el arranq ue de la B IO S :
Enter CIIHREMT Passuord :
In tro d u cirem o s la co ntraseña y podrem os inicializar nu estra m áquina sin problem as.
R ecom endaciones
C ab e d esta car que la seguridad de la B IO S es m uy vu lnerab le ya que existen va ría s form as para re se te a r ta B IO S,
y vo lve r a sus valo re s de fábrica y por tanto que las co n traseñ as d esap a rezcan . Una de ellas es quitando la pila
de la placa base, o a través de la conexión del jumper C LR _C M O S que suelen trae r junto a la pila. A ve ce s con un
sim p le candado que aseg u re la apertura de la torre y no perm ita el acceso a la placa b ase es su ficien te.
O tra form a para re setea rla es con una distribución Live como U ltím ate Boot CD for W indows, o con el PC arrancado
b ajo W indows, e je cu ta r una aplicación como cm o s_p w d , que encuentran y borran las co n traseñ a s.
74
© RA-M A
3 ■S E G U R ID A D L Ó G IC A
Im ag e n del m enú de UBCD con las h e rram ien ta s de password para re cu p era r y borrar el password de la B IO S .
E s im portante cuidar la fortaleza de la contraseña de la B IO S a se r posible que sea de )a m ayor longitud posible
(su e le s e r dependiendo del m odelo entre 6 y 10 ca ra c te re s), y que contenga m ayú scu la s, m inúsculas y núm eros
para h a c e r m ás difícil la obtención de la contraseña por p ersonas no d ese a d a s.
Del m ism o modo es recom endable que el adm inistrad or no publique, ni escriba de form a visib le su contraseña y
la ren u eve periódicam ente.
| PRÁCTICA 3.4
CONTRASEÑA EN EL GESTOR DE ARRANQUE
Cuando tenem os instalado varios siste m a s operativos en disco duro, para se leccio n ar con qué sistem a arrancarem os
se em plea un gestor de arranque. Unos de los m ás populares y em p lead o s con siste m a s operativos GN U /Linux
es GRUB.
A m enaza o vulnerabilidad
D espués de realizar la B IO S las com probaciones de hardw are y dar paso al arranque de los dispositivos configurados
(Boot S e q u e n ce ), es posible visu a liza r el m enú de arranq ue de GRU B pulsando la tecla E S C , siem pre que lo
tengam os instalado (por defecto en distribuciones com o Ubuntu) y no se m uestre.
I■
»[i Lwm'UMvnmmmMm
IJbMntM, kt’
rm'l
» - O l í Uifi
I HHfKtrv
I OI Hitr o y w í « l In g v y a tim v
U im lU M i H W HW M X f
1______________________
___________________
x h iih
u a lr y
d OS.
lo r
•
O
Is
to od|< tlw»
c o t» « i» 4
141.»
La opción de recovery m ode bajo siste m a s GN U/Linux tiene un propósito de recuperación en caso de fallo del
siste m a , pero puede se r utilizada en tre otras accio nes para recu p era r y m odificar co n traseñ a s de ad m inistrad or
( root) o incluso acced er a inform ación del disco duro.
75
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
Vem os dentro del m enú de recuperación como es posible a cced er a una consola con privilegios de root. Perm itiría
e je c u ta r com andos de cam bios de co ntraseña sin conocer la an terio r com o: passwd root.
Otra opción si tuviéram os restringida la opción de recup eración, se ría editando alguna de las en tra d as del m enú,
pulsando la tecla e, y en la línea kernel m odificar el final de la m ism a su stitu ir el texto desde "ro" incluido, por
¡n¡t=/b¡n/bash. Si arran ca m o s d esp ués de la edición, desde esta opción este cam bio e je cu ta rá en el arran q u e una
shell con perm isos de root, teniendo control total sobre el siste m a .
P roceso de asignación de contraseña a GRUB
Com o recom endación se propone:
A ñad ir contraseña en crip tad a al m enú de edición es d ecir im posibilitar la edición por cu a lq u ie r usuario no
autorizado.
■Mfufeantti.-t i n «
3 ir* j d rv tc r» te g u e it BIOS d r iv e s T h u
w a tu b u n tv - i f r d l t /hoot/Qrufe/aewu. U t
ftrtfrrt»
**
Vann*
may
te te • li
AyytlJ
I m m u l BAS* l i k e li n e e d it in g i t w p p o r tH
th e
tin t
w on j. TAB I» » !» p e t t ib le
'» ( n o re a lly th e U r * t « n tiy (te fin e d i
c c a p le c ie n t
Anywhere « I m TAB l i m
the pi
c o a p le tio m o f ■ d e v ic e /f ile r a a e . 1
•e hiddenaenu
Petted- •••••
gruh> «JVc r/p t.
i f Hide» th e aew i by d c le u lt | ( m t fSC te tee th e eenui |
F**rypted: *ll7f&5t/M»Y«rtO/ijP .’ grrhO» i^rís»
• P r e tty t o ìo u r t
'• c o lo r cyer/H lw e « A lte /b lu <
q iu t> Q
»* p e ttw o rd I '
«d V | »M w d
• I f u*«d in thè f i r t t ir t t lo r of a amu T ile
.e d itin g
'»
control leetuj witry c^ltqr
*nG <.o»-d;:>l
lir e )
«l
JOd entri
• cowwnd * lo c k ‘
e . f . p e tiu o rd to p te c re t
11 #
I>etword «JS
i 0
p attuir«
ilig iM * /w w /ik í*iQ r» i« M ritu o e /
A ñad ir encriptada co ntrasena en modo de recuperación.
n¡
d e v lc e t to g tie tt 1 1 « « r iir e t. T h ll aey te ke i
« M jfc u n tu :*l g e d it J b o o t/g n jb /a e m i.ls t
0
érrhrt«
tuca«
fi*
alunmacufeunlv Jwrnwai
V jM
Id le
6
Muevo
/r *
J . .
Aftnr
&<a
D C C iW tP »
y.
tm gntm
A yjtU
«i
m a m ft* O
I m r i a e l 1ASH llfc e lin e e d itin g l i tw ppcrted
tK *
fjr tt
« fd .
TAfl l l i u
p o t t i b le
c o a p lc tio n t. A n y ***re c i t e TAI U t M Ih e o 00 00 End Oefeult Options »•»
c o a p lr tio n t
• d e v jc c /f Jtenaae. |
st
i
g ru ft* ad* < ypt
t it le
root
Ubunte « *4. kernel M . f l l l generic
()/wbuntu/dliki
f c w iw t
/b o e t/v a lin u * -} 6 .¿ t il - g e n e r ic r w ta a u n H M M P t ttt tf O H n
r o Q u ie t v p le th
/ b o o t / l n i t r d la g 2 . i . 2t i l g e n e r i c
r« tt* s rd • • • • •
tn c ry p te d 1 )S?*&3t/D (W W M yfeiJ«uh0atunr#g
lo o p « /s fe a n iu /d it k i/ r e 9 l.d ltk
gr llt»
I t il i«
Q
lU ltrd
CMKtW 'd
root
mài
Ufeuntu 9 14. te»nel
tllW rft/tf« V W V ry £ n 7 g n .*N J tt
I l/ubw'tu/ditkt
\snM¡
l i jn w r it (recovery eodtj
.
^
k e rn e l
/ b o o t/v » lim tf 2 .0 r t I ! g e n e ric root->XJlI>-<K8«m <W W O W
l M p » / u fe w tu / d !t k i/ r Q o t.d u k ro tin g le
t n it 'd
/ b o o t / i n i t r d Lag ? . t ?» 11 g e ne ric
title
ro o t
ke rn e l
Ubuntu f . M . a r a te t i» * *
( l/tA c n tu /d m t
/ b o e t / a e a t e i t * * .61*
1
©
RA-M A
3 ■S E G U R ID A D L Ó G IC A
I o M ediante el com ando grub, nos ab rirá una consola que nos perm itirá e n crip ta r en codiñcación MD5
cualq uier texto que d eseem o s com o co n traseñ a, m ed ian te el com ando mdScrypt. C opiam os el texto de
salida en MD5, com enzará por $1$.
2 o Editam os el archivo menu.lst de grub, hab itualm ente localizado en /boot/grub/. Tras la línea com entada
password - -m d5 $ 1 $ , escrib irem o s una línea con nuestra contraseña en criptada. Esto no perm itirá ia
edición de ninguna de las en trad as del m enú, si no conocem os la co n traseñ a.
3 o En el archivo menu.lst b uscarem o s las líneas que hagan m ención a (re co v e ry m ode) y d esp ués de la línea
title añ ad irem o s una línea de password. Esto no perm itiré a rran ca r en modo recuperación a m enos que
conozcam os la co n traseñ a . Podríam os añ adirle contraseña a las opciones que queram os de este modo.
E s tam bién posible re alizar dichas m odificaciones m ediante la aplicación gráfica S t a r t Up M a n a g e r. Su instalación:
sudo aptitude ¡nstall startupmanager.
Una vez instalado, podem os acce d e r a la aplicación en S istem a -> A dm inistración -> A dm inistrador de A rranque
o con el com ando startupmanager con p erm isos de root.
A d m in i s t r a d o r d i* JVirftfVE|üe
biEl.x.j
Opciones Je arranque Aspecto Seguridad Av»r«»dc
Opciones d a prolección
Proteger con contraseña el Cargador de arranque
Proteger con contraseña el modo de rescate
Proteger con contraseña las opciones antiguaj de arranque
C a m b ia r C o n tra s e fta
Contraseña:
Confirmar contraseña
Actualizar contraseña
CONTROL DE ACCESO EN EL SISTEMA OPERATIVO
Existen métodos de acceso al sistema operativo muy seguros como por ejemplo mediante huella dactilar, pero el
más utilizado signe siendo a través de una contraseña asociada a una cuenta de usuario.
Como hemos visto anteriormente existen métodos para poder acceder a los sistemas operativos sin control de
contraseña, en el caso de GNU/Linux mediante el modo de recuperación. En el caso de Windows para versiones como
XP mediante el modo prueba de fallos o pulsando 2 veces en la ventana de inicio de usuarios Ctrl + Alt + Supr e
intentando acceder a la cuenta del usuario Administrador sin contraseña, ya que en la instalación no se le asigna
ninguna, por tanto por defecto suele estar vacía.
Pero existen otros métodos, normalmente asociados a poder arrancar con una distribución Live para poder
recuperar o conocer las contraseñas de cualquier usuario, así como borrarlas o modificarlas.
Como recom endación, estas herram ientas empleadas nos servirán para auditar nuestros sistem as de
credenciales de acceso a sistemas operativos y ver el nivel de fortaleza de las mismas, ya que dependiendo del nivel
de nuestras contraseñas no siempre será posible recuperarlas.
77
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
PRÁCTICA 3.5
RECUPERACIÓN DE CONTRASEÑAS
W indow s
O phcrack es una aplicación que perm ite re cu p era r co n traseñ as de W indows. Tam bién se encuentra disponible
en distribuciones como B acktra ck, o incluso posee su propia distribución U ve . S e basa en el conocim iento de
cómo alm a cen a W indows su s co n traseñ a s de usuario (no rm alm ente en windows/system32/ config/SAM sólo solo
a ccesib le sin a rra n ca r el siste m a operativo, por ejem p lo desde una distribución U v e ), y em plea una com probación
m edian te fuerza bruta y diccionarios que habré que ca rg a r dependiendo de la versión y el idiom a d eseado.
L/
Load
Select the directory which contains the table«.
LOOK in
5
&
Q
Computer
roo!
M
S
3com. dm
1025
£ 3 1028
@ 1031
© 1033
S 1037
S 1041
aa
>0 «
IOSA
g
2052
a
a
a
B
B
Directory:
- o
m edia,ditk.WINDOWS'Sy»lem32
3076
3082
CalRool
Ca1Root2
Com
aa cmcp aa 0064
a
aa ra»Resiore
a
a
a
aa export aa
a spooi
aa
a
a me a usnii
a muí
aa
a
a
a
a mu
DirectX
dlicacho
drivers
DRVSTORE
GroupPolIcy
o a © a
PreInstan
SekP
ShellEx!
SoTfiyareDistnoutlon
lesimi
wbem
meter»
MacromeO
Microsoft
MsOIC
weom
npp
Choose
I consg
Files ol type
Preload
waiting
Bíui» torce
wamng
Pwd immd: I
M)
Time elapsed
On O m Os
Como vem os en la figura debem os indicarle en prim er lugar la ruta del directorio donde se alm acenan las co n traseñ as,
norm alm en te Windows/system32/confíg. P reviam ente hab rem os m ontado la partición correspondiente.
Por otro lado, m ediante el botón Tables, ind icarem os la ruta donde podrá en co ntrar la tabla de diccionario con
el qué querem os probar, en e s te caso , hem os cargado X P _ fre e _ fa s t. Una ve z ca rg a d as las tablas de diccionario,
eje cu ta re m o s el com ienzo de pruebas, y como ve m o s para los usuarios de la partición de W indows seleccionad a
ha encontrado para los u su ario s: A dm inistrador - 1 3 5 7924680A lo , alum no - C a ra c a s , y para adm in. - K oala9021.
V em os que incluso para co n traseñ a s de cierta longitud y con ca ra cte re s num éricos, m ayú scu la s y m inúsculas ha
sido cap az de recup erar las co n tra se ñ a s (colum na NT Pw d).
© RA-M A
3 ■S E G U R ID A D L Ó G IC A
O
o
c
*
415O30Q3M0 «IDOCDCtal 1«W<
LAIMMfi
M éúo
*e *» riB d e e y u o «
ÍUPPC0H W U !* D
l&jmry)
0ffC.7»?M»4f.
ís u n 't o e ft x
*m n
|
Tafai»
•
OOM
CARACAS
k o a la m
SMkn
O rntory
m eáwC rurei
• MMO
• tabtol
• HW2
AtMd-f
JldS cbO dtla
cbM teOHbar
S *í5 J3 'r8M4
B6ft»63!907c
?» M t2 M r3
b6&cXkS2*
14% ln RAM
lO O X nK A U
lO O X nR AU
fto g r tn
■■■■■■■
lOOXmAAM
ln RAM
XX
ItAtai
99%
Ihwdftaunú'!
44
jTM*Apag#:I 0h0m 5?a |
Recom endación: O p hcrack en cuentra grandes dificultades con co n traseñ as cre a d a s con palab ras se p ara d as por
esp acios y ca ractere s e sp e cia le s, por lo que se recom ienda su uso.
G N U /Linux
En los siste m a s GN U /Linux el archivo que controla usuarios y su s co n traseñ a s en crip tad as es /etc/shadow visible
tan solo por el usuario root, aunque en caso de poder acce d e r a una partición GN U/Linux y a su siste m a de
ficheros, tenem os el fichero visible.
La e stru ctu ra del m ism o es un listado con una línea por cada usuario en la que la segunda colum na sep arad a por
: es la contraseña encrlptada según algún algoritm o de cifrado, habitualm ente MD5 si com ienza por $ 1 $ , o SHA si
com ienza por $6$, opción m ás segura e incluida por defecto en las version es de d istribuciones a c tu a le s.
chipcard:I:14657:0:99999:7::
sanc>rt:•: 14657:0:99999: 7:::
pulse:*:14657:0:99999:7:::
messaqebus:*:14657:8:99999:7:::
potkltuscr:•:14657:8;99999:7:::
«valu:•:14657:0:99999:7:::
haldaenon:■:14657:0:99999:7::
usuario :S6SZBxm>u*DÍ»5Q/8J5l5zDTK<RSX¡rHpkA9KvHeX4FrZV9othIyCEpíLH7FLAtíYgnsJAdY2by8SliGHcd2o<
XJacukdzN317P2VCArvl:14938:0:99999:7:::
ejabberd:*:1488?:0:99999:7:::
1
________________ * I__________________________________________
A rrancando desde una distribución B acktrack acced em os al contenido del archivo /etc/shadow de una partición
GN U /Linux instalada en disco duro y p reviam ente m ontada. Vem os que el usuario de login posee su contraseña
encrip tad a con SHA.
Mediante la aplicación John the Ripper, podem os efe ctu ar distintos tipos de ataques contra este archivo (deberem os
indicarle la ruta del archivo_shadow) para d escub rir co n traseñ as encrip tad as, por ejem plo:
jolin - -single arch ivo _sh ad o w
Perm ite re alizar una búsqueda con com binaciones sim ples, m ediante palabras h ab itu ales, incluido el nom bre de
usuario.
john - - w o rd list= p assw o rd .lst arch ivo _sh a d o w
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
Realiza una búsqueda em pleando com o diccionario el archivo:
john - - in crem en tal= all arch ivo _sh a d o w
R e aliza un a ta q u e de fuerza bruta probando con co m b in acio n es de n ú m e ro s, c a ra c te re s en
m a y ú sc u la s,
m in ú scu las, etc.
r o o t > b l:
1 ü cssio n
Ed<(
V i« m
BookmMñt*
p a w w o r c K j f r - S h « ll • K o n t o t o
S cttings
Help
root»: t .
g l« / m t /G uadal m é K 2 / * tc / » h a d o *
Lo4d«d l iw ivw o rcJ
i u v u # rlo
q u e is tfc : 1
try tn g
u s u a r io
tim :
ig o r e r jc c r y p t ( J ) 1
it u a r i o)
lo o .0C \ (E IA
u 9 9 »9 9 f
no 00:03
rj 3 ? n
hu Nov
2
1 3 :1 4 46 20101
c /f:
Zt
15
En la figura se m uestra la obtención de la contraseña del usuario "usuario" y contraseña "usuario".
PRACTICA 3.6
MODIFICACIÓN DE CONTRASEÑAS
En caso de olvidar la co ntraseña o q uerer m odificarla sin conocerla, podem os recurrir a h erram ien ta s en modo
Live que perm iten re se te a rla s o ca m b ia rlas sin autorización de adm inistrador.
W indow s
Ex isten diferentes opciones sólo solo nos ce n trarem o s en alg u n as de las m ás se n cillas, todas ellas requieren de
la posibilidad de arranq ue d esd e una distribución Live :
1.
M ediante la distribución UBCD podem os e je cu ta r la aplicación Password Renew. Le indicarem os en qué
directorio se en cuentra la carp eta de siste m a :
¿‘U t M f f ' u m r r m • i r * » i c a a p m t i d u m
M P H L
y if
i
A l to r •» | M
r i
«
i
A continuación nos m ostrará el listado de usuario s disponibles, pudiendo re alizar acciones com o renovar
una co n traseñ a (sin co n o cer la an te rio r), c re a r un usuario adm inistrador, o m odificar el tipo de cuenta de
un usuario, por ejem p lo, lim itado a adm inistrador.
© RA-M A
3 ■ S E G U R ID A D LÓ G IC A
2. Otra vu lnerabilidad que presentan los siste m a s W indows es a través de h e rram ien tas que pueden ve rse
m odificadas o sustitu id as por una consola de com andos ( cmd.exe con privilegios de ad m inistrad o r). Por
ejem p lo la utilidad S tickyK e ys softw are de ayuda y accesib ilid ad , que se activa pulsando la tecla S H IF T 5
v e ce s seg uid as.
El fichero que eje cu ta es sethc.exe ubicado en C:\WJNDOWS\5YSTEM32. La vulnerabilidad co nsiste en su stitu ir
sethc.exe por cmd.exe (consola de com andos) y así cuando p ulsem os la tecla S H IF T 5 v e c e s seg u id as se nos
ab rirá la shel! de com andos, desde la cual podem os hacer e je c u ta r los com andos que q ueram os sobre el equipo.
Vem os los com andos para su stitu ir el eje cu tab le se th c .e x e por cm d .e x e , desde una distribución Live con la
partición de W indows m ontada.
aluano4ubufltu:/ant/win/WlM D0WS/sy&le*37S I s *1 cad .exe
rvxrw nrvx 1 root root 4*2944 Í9 W - M - I9 15:42
*ltflno tufontu :/fln t/w in/w JM X M S /systea32 S I s l s e th c .e xe
rv x rw xrv x 1 ro o l root J?256 2*04-M 19 15:43
aliano4ubuntu:/ant/win/MlM D0W 5/sy9te*32S cp velb c-exe sethc o íd .e n e
•luanofubuntu /■ rt/w ln/w iN D O ifS/iysteU ?! cp c a d .r te vethc e*e
o luano fubuntu:/ant/w in/ifIN D O tfS/syite*32i |
En la página de inicio de sesión pulsam os 5 v e ce s la tecla shift y nos e je cu tará la consola de com ando. Podremos
e je c u ta r todo tipo de com andos, como por ejem plo control u serp assw o rd s2 que nos abrirá la utilidad de
configuración de co ntraseñas de usuarios, pudiendo ren o varlas sin conocerlas p reviam ente.
G N U /Linux
En el ca so de GN U /Linux, si podem os acced er al siste m a de ficheros y m odificam os en /etc/shadow para cualq uier
usuario, su contraseña actual por una contraseña encriptada que conozcam os, podrem os acced er con la nueva
co n traseñ a . D ebem os de tener en cuenta 2 consideraciones:
A n alizar qué sistem a de encriptación em plea el sistem a de verificación de G N U /Lin ux, podem os a n a liz a r el
archivo /etc/p a m .d /co m m o n -p assw o rd , y la línea correspond iente al m ódulo p am _u n ¡x .so , al final de
la m ism a su ele ind icar el algoritm o de cifrado em pleado en /etc/shadow. Por ejem p lo : passw ord required
p a m _u n ix .so u se _a u th to k nullok sh a-512
Tener un conjunto de co n traseñ a s cifradas conocidas, o em p le ar una herram ienta de cifrado MD5 o SHA de
texto plano para obtener el texto cifrado correspondiente. Por ejem plo en la web http://www. hashgenerator.
de/ podrem os cifrar texto plano m ediante d iferentes algoritm os.
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
© RA-MA
POLÍTICA DE USUARIOS Y
GRUPOS
La definición de cuentas de usuario y su asignación a perfiles determinados, grupos o roles, así como la asignación
de privilegios sobre los objetos del sistema es uno de ios aspectos fundamentales de la seguridad, y una de las tareas
fundamentales del administrador de sistemas. Este proceso lleva generalmente cuatro pasos:
Definición depuestos: separación de funciones posibles y el otorgamiento de los mínimos permisos de acceso
requeridos por cada puesto para la ejecución de las tareas asignadas.
Determ inación de la sensibilidad del puesto: determinar si una función requiere permisos críticos que le
permitan alterar procesos, visualizar información confidencial, etc.
E lección de la persona para cada puesto: requiere considerar los requerimientos de experiencia y
conocimientos técnicos necesarios para cada puesto.
Formación inicial y continua de los usuarios: deben conocer las pautas organizacionales,su responsabilidad
en cuanto a la seguridad informática y lo que se espera de él. Debe estar orientada a incrementar la conciencia
de la necesidad de proteger los recursos informáticos.
La definición de los perm isos de acceso requiere determinar cuál será el nivel de seguridad necesario sobre los
datos, por lo que es imprescindible clasificar la inform ación, determinando el riesgo que produciría una eventual
exposición de la misma a usuarios no autorizados. Así los diversos niveles de la información requerirán diferentes
medidas y niveles de seguridad.
Pora empezar la implementación es conveniente comenzar definiendo las medidas de seguridad sobre la
inform ación más sensible o las aplicaciones más críticas, y avanzar de acuerdo a un orden de prioridad
descendiente, establecido alrededor de las aplicaciones. Una vez clasificados los datos, deberán establecerse las
medidas de seguridad para cada uno de los niveles.
PRÁCTICA 3.7
CONTROL DE ACCESO A DATOS Y APLICACIONES
Tanto en sistem a p erso n ales como en siste m a s en red controlados por servicio s de directorio com o LDAP o A ctive
D irectory bajo W indows Server, el control sob re la seguridad de los objetos del sistem a (a rch iv o s, ca rp etas,
p ro ce so s, re cu rso s de red, recu rso s hardw are, e tc.) se realiza m ed iante el control y asignación de p erm isos.
S o b re el sistem a de archivos es posible e sta b lecer listas de control de acceso (ACL) que de form a individual
p erm ita a sig n a r perm isos a un usuario, sin tener en cuenta el grupo al que p erten ece.
W indow s
E n la sig u iente actividad vam os a configurar algunos asp ectos de seguridad y asignación de p erm iso s a usuarios
lo ca le s, en siste m a s W indows. Para m odificar la configuración de seg uridad local irem os a Panel de control
/ Herramientas administrativas / Directiva de seguridad local. Podrem os m odificar D irectiva de auditoría,
A sign ació n de derechos de usuario u Opciones de seguridad, en el árbol de la consola haz clic en D irectivas
lo c a le s, esta s d irectivas se aplican a un equipo y contienen tres sub co njunto s:
82
©
RA-M A
3 * S E G U R ID A D L Ó G IC A
D irectiva de au d ito ría: D eterm ina determ ina si los su ceso s de seguridad se registran en el registro de
seguridad del equipo. El registro de seguridad forma parte del V isor de su cesos.
A signación de derechos de usuario : D eterm ina d eterm ina qué usuario s o grupos tienen derechos de
inicio de sesión o privilegios en el equipo, en tre otros:
A ju sta r cuotas de m em oria para un proceso, perm itir el inicio de sesión local, h acer cop ias de seguridad
y re sta u ra r arch ivo s y directorios, g en erar au ditorías de seg uridad , o tom ar posesión de archivo s y
otros objetos.
O pciones de seg u rid ad : Habilita habilita o d eshabilita la configuración de seguridad del equipo, como la
firm a digital de datos, nom bres de las cu en tas A dm inistrador e Invitado, acceso a CD-ROM y unidades de
disco, instalación de controladores y solicitu d es de inicio de sesión.
Pero para ten e r un m ayor control sobre la configuración del nivel de acceso por parte de cada usuario a cada
recurso del siste m a , com o por ejem p lo una ca rp eta, es n ecesario re alizar la configuración de A CL. En W indows es
posible realizarla m ed iante el com ando cacls.
Com o sab em os en un sistem a local las carp etas de usuario no son accesib les por otros usuarios del siste m a .
En caso de q uerer un u s u a rio l d ar acceso de lectu ra, solo a un usuario2 a su carpeta MisDocumentos/Musica,
podem os e je cu ta r con el u s u a rio l en la consola de co m and o s:
cacls "Mis Documentos\Musica /t le /g U su a rio 2 :R
Las opciones princip ales son:
/t: m odifica las A C L de los arch ivo s especificados en el directorio actual y subdirectorios.
/e : m odifica en vez de re e m p la za r la A CL.
/ g usuario: p erm isos R (le ctu ra ), E (e sc ritu ra ), C (c a m b ia r), F(control total. Perm ite asig n arlo s (g rant).
/p :
perm ite re e m p la za r los ex iste n tes o q uitárselo todos con :N.
G N U /Linux
Para brindar privacidad y protección, cada archivo o directorio tiene aso ciad o s perm isos d iferentes para el dueño,
para el grupo y para los dem ás u su ario s. En el caso de arch ivo s, los perm isos que pueden d arse o q uitarse so n:
(r) lectu ra, (w ) escritu ra y (x) ejecució n . En el caso de directorios, los perm isos so n: (r) para listar los archivo s,
(w ) para escribir, cre a r o borrar archivo s y (x ) para acced er a archivos del directorio.
Los perm isos de un archivo pueden s e r m odificados por el dueño, propietario o por el ad m inistrad o r del sistem a
con el com ando chmod que esp era dos p ará m e tro s: cam bio por re alizar al perm iso y nom bre del archivo por
cam biar. Los perm isos se pueden e s p e c ific a re n octal o con una o m ás letras para identificar al usuario (u para el
u suario, g para el grupo, o el resto de usuarios y a para todos), un +, un - o un = y d esp u és letras para identificar
los perm isos (r, w o x ). Por ejem p lo :
chm od og+x su b e.sh
Añade ( + ) al resto de usuarios (o) y al grupo al que p ertenece el archivo (g ), perm iso de ejecución del archivo
(x ) su b e .sh , que debe e s ta r en el directorio desde el cual se da el com ando.
El dueño de un archivo puede s e r m odificado solo por el ad m inistrad o r del sistem a con el program a chow n. Un
usuario que p ertenezca a varios grupos puede cam b iar el grupo de uno de su s arch ivo s a alguno de los grupos a
los que pertenezca con el program a o com ando chgrp, por ejem p lo :
chgrp estu d ian tes t a r e a l.t x t
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
C a m b ia rá el grupo del arch ivo t a r e a l.t x t a e stu d ia n te s. Los grupos a los c u a le s un usuario p e rte n e ce son
m ostrados por el com ando groups.
En caso de q u erer em p lear listas de control de acceso y poder p erm itir o d en eg ar perm isos a usuarios concretos,
em p le are m o s los com andos:
getfacl: perm ite ve r la inform ación de perm isos sobre un archivo.
setfacl: perm ite a sig n a r perm isos sobre un archivo.
En prim er tugar o b se rva rem o s si la partición del sistem a de archivo s posee en tre su s opciones la de control
m ed ian te A CL, leyendo el archivo /etc/fstab, y viendo la línea correspond iente, si posee entre las ca ra cte rística s
u opciones de m ontaje la opción acl. Por ejem p lo :
/dev/sd a2
/m n t/Linu x
auto
rw ,u se r,a u to ,e x e c,a d
0 0
En caso de no disponer de dicha opción podem os m ontarla de nuevo con la opción:
m ount -o rem ount,acl /d e v /sd a 2 .
Por ejem plo para añ ad ir el perm iso de que un usuario2 pueda leer y e scrib ir(rw ) sobre un archivo, y ve rificar que
se han asignado los perm isos, podrem os e je c u t a r la se n ten cia:
setfacl -m
u se r:u su a rto 2 :rw - archivo
getfacl archivo
REFERENCIAS WEB
Sitio web sobre seguridad informática de Microsoft:
http:I ! www.microHoft.com/ Spain/protect /
Manual de administración segura de GNU/Linux:
http: / / es. tldp.org / Manuales-LuCAS / GSAL/gsal-19991128.pdf
Seguridad en GNU/Linux:
http: / / exa.unne.edu.ar / depar/areas / informática / SistemasOperatiuos / MonogSO / SEGLIN00.html
Administración de aspectos de seguridad en GNU/Linux y Windows:
http: / / www.adminso.es / wiki / index.php /
Cómo de fuerte es tu contraseña:
http: / / kowsecurcism.ypaiifiword.net /
Comprobador de contraseñas de Microsoft:
http: / / www.microsoft.com/latam /protect /yourself!password / checker.mspx
Administración de usuarios en GNU/Linux:
http .7 / www.liniLxtotal.eom.mxi index.php?cont~info_aclmon 008
84
© RA-M A
3 ■S E G U R ID A D L Ó G IC A
RESUMEN DEL CAPÍTULO
La seguridad lógica consiste en la aplicación de barreras y procedimientos que resguarden el acceso
a los datos y solo se permita acceder a ellos a las personas autorizadas para hacerlo.
Para ello se emplean técnicas como el control de acceso lógico mediante contraseña a distintos
niveles:
En el arranque y configuración de la BIOS, y gestores de arranque.
En el sistema operativo, datos y aplicaciones.
Una contraseña segura debe parecerle a un atacante una cadena aleatoria de caracteres, para ello se
recomienda que sea lo más larga y compleja (combinación de letras mayúsculas y minúsculas, números
y símbolos).
Los adm inistradores de sistem as deben auditarlas comprobando la fortaleza de las mismas, y
configurar las opciones para asegurar que los usuarios tengan contraseñas fuertes y se cam bien
regularm ente.
Los sistem as operativos son capaces de gestionar usuarios y sus privilegios o procedimientos
autorizados, sobre las aplicaciones y archivos. El principio de la política de privilegios debe ser todo lo que
no está permitido debe estar prohibido.
Para asegurar este principio se recomienda que el uso habitual de sistema se realice con cuentas de
usuario con privilegios limitados y tan solo en los momentos en los que sea necesario, como por ejemplo en
una instalación de una aplicación o driver, se adoptarán privilegios de administrador.
© RA-MA
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
EJERCICIOS PROPUESTOS
1. Lee el artículo sobre “Recomendaciones para la
creación y uso de contraseñas seguras” de Inteco,
disponible en la siguiente página web http:1 / www.
inteco.es/Seguridad / Observatorio / Estudios _e_
Informes / Notas_v_Arti.cu.los / recomendaciones_
creacion_uso_contrasenas y contesta a las siguientes
cuestiones:
¿Qué porcentaje de usuarios emplea contraseñas
para el acceso a sus sistemas de archivos? ¿Qué
porcentaje de usuarios en EEUU apunta su con­
traseña en papel o archivo electrónico en el PC?
¿Qué porcentaje de usuarios emplea la misma
contraseña en distintos servicios?
2. En caso de tener acceso al archivo /etc/shadow
de un equipo local, y conteniendo éste las siguientes
líneas:
a.lumnol:$l$zmDCo$pP/
Rrln2jTy30eTvjL8MgO: 14544:0:99999:7:::
root;$l$bM36INXG$n.lckzvSVJy.z42Atfóp 6 n.: 11585:0:99999:7:::
¿Qué contraseña poseen los usuarios: root y alumnol? ¿En qué tiempo has sido capaz de descifrar
las contraseñas? ¿Qué algoritmo de cifrado po­
seen sus contraseñas? ¿Qué significado poseen
cada uno de los campos que componen cada línea
del archivo?
3. Lee el siguiente artículo sobre el uso de cuentas
lim itadas y administrador en sistemas Windows:
http://www.inteco.es/Seguridad/Observatorio/
Estudios_e_Informes/Notas_y_Articulos/cuenta_admi.n istrado r_v s_limi tada
¿Qué perfiles tipo y Limitaciones de uso existen
en las cuentas de usuario en sistemas Windows?
¿Con qué tipo de cuenta utilizarías normalmente
el sistema? ¿Qué tipo de limitaciones tendrías?
¿Para qué sirve el comando runas?
4. Desde un usuario con rol administrador, agregar
la posibilidad a la cuenta limitada creada anterior­
86
mente de cambiar la fecha/hora e instalar contro­
ladores de dispositivo y revocarle el privilegio de
acceso al CD-ROM,. Activar el archivo de sucesos o
log de sucesos asociados a esos privilegios.
Acceder como usuario rol-limitad o y verificar privi­
legios y limitaciones. Acceder como usuario rol-ad­
ministrador y veri ficar el archivo de suceso o log.
¿Los usuarios con cuenta limitada pueden acce­
der a la configuración de directivas locales? ¿Es
lógico?
5. Investiga sobre la finalidad y opciones uso de la
aplicación W indows SteadyState. ¿Qué opciones
de configuración segura facilita?
6 . Investiga sobre las opciones de configuración de
contraseña y cifrado de acceso a archivos ofirnáti­
cos (doc, xls, odt, pdf, ppt, odp...), comprimidos (zip,
rar,...), etc, ¿Es posible en caso de olvidar la contra­
seña recuperarlas? ¿En qué casos de los anterior­
mente descritos?
7. Investiga sobre la finalidad y opciones de uso de la
aplicación Keepass Password Safe. ¿Qué opciones de
configuración segura facilita? ¿Es posible recordar las
contraseñas de sitios web y acceder sin teclearlas?
8 . Explica las diferencias existentes en sistemas GNU/
Linux entre el uso del comando chmod y setacl.
9. A partir de qué versión del sistema operativo
Windows se solicita para realizar tareas de admi­
nistración como cambios en la configuración de red,
instalación de driuers o aplicaciones, la contraseña
de un usuario administrador ¿Por qué crees que es
interesante dicha opción? ¿Se realiza dicha petición
en sistemas GNU/Linux?
10. ¿Qué utilidad tienen las aplicaciones “congelador”
del sistema operativo como DeepFreeze? Busca al­
guna otra aplicación disponible para Windows y otra
para GNU/Linux: ¿Es posible instalar aplicaciones
y guardar datos teniendo activa este tipo de aplica­
ción? ¿Qué protección ofrecen?
3 ■S E G U R ID A D L Ó G IC A
© RA MA
TEST DE CONOCIMIENTOS
¿Qué tipo de cuenta se recomienda para un uso
cotidiano en sistemas Windows?
Administrador.
Invitado.
Limitada.
Mínimos privilegios.
Una contraseña segura no debe tener:
Más de 10 caracteres.
El propio nombre de usuario contenido,
Caracteres mayúsculas, minúsculas y símbolos.
Frases fáciles de recordar por ti.
¿Qué es la identificación?
Momento en que el usuario se da a conocer en el
sistema.
Verificación que realiza el sistema sobre el inten­
to de login.
Un número de intentos de Login.
Un proceso de creación de contraseñas.
Para un usuario experim entado como tú, las
actualizaciones deben ser:
Automáticas, descargar e instalar actualizacio­
nes automáticamente.
Descargar actualizaciones y notificar si deseas
instalarlas.
Notificar, pero no descargar ni instalar.
Desactivar actualizaciones automáticas.
Las contraseñas de sistem as GNU/Linux se
encuentran encriptadas en el archivo:
/ etc /groups.
/ etc. / passwd.
/ etc! shadow.
/etc/sha-pass.
En caso de tener configurada con contraseña el
SETUP de la BIOS, y querer prohibir el arranque
en modo Live. el primer dispositivo de arranque debe
ser:
LAN.
HD.
USB.
CD.
El comando john ” Wordüst=password.lst passwords,
realiza un ataque:
Diccionario.
Fuerza bruta.
Simple.
PWstealer.
Activando la directiva local de seguridad en
sistemas Windows “las contraseñas deben cumplir
los requisitos de complejidad”, las contraseñas nuevas
o renovadas no pueden tener:
5 caracteres.
Números.
Mayúsculas.
Minúsculas.
Caracteres especiales.
Una de las vulnerabilidades en la instalación de
Windows XP es:
Crea un conjunto de usuarios administrador.
Crea un usuario Administrador con una contra­
seña débil.
Crea un usuario Administrador sin contraseña.
Crear 2 usuarios al menos sin contraseña.
Desde la utilidad de usuarios y password
de Windows de Ultím ate Boot Recovery no
podemos:
Resctear contraseñas.
Recuperar contraseñas.
Modificar contraseñas seguras.
Dejar contraseñas en blanco.
87
c
<3
C
c
c
A
r
/ Comprender qué es el software
malicioso (,m alware) y sus
posibles fuentes.
✓ Crear conciencia de análisis de
nesgo y toma de precauciones en
las operaciones informáticas.
✓ Identificar las nuevas
posibilidades y riesgos que
poseen Internet y las redes
sociales.
✓ Analizar las distintas
herramientas de seguridad
software antimalware existentes.
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
SOFTWARE MALICIOSO
Gracias al desarrollo de las comunicaciones y al creciente uso de la informática en la mayoría de los ámbitos de la
sociedad, los sistemas de información se han convertido en objetivo de todo tipo de ataques y son sin duda el principal
foco de amenazas. Por esta razón es fundamental identificar qué recursos y elementos necesitan protección así como
conocer los mecanismos o herramientas que podemos emplear para procurar su protección.
Con el nombre de software m alicioso o maJware agrupamos clásicamente a los virus, gusanos. troyanos y en
general todos los tipos de programas que han sido desarrollados para acceder a ordenadores sin autorización, y
producir efectos no deseados. Estos efectos se producen algunas veces sin que nos demos cuenta en el acto.
En sus com ienzos, la motivación principal para los creadores de virus era la del reconocim iento público.
C uanta más relevancia tuviera e) virus, más reconocimiento obtenía su creador Por este motivo, las acciones a realizar
por el virus debían ser visibles por el usuario y suficientemente dañinas como para tener relevancia, por ejemplo,
elim inar ficheros importantes, modificar los caracteres de escritura, formatear el disco duro, etc.
Sin embargo, la evolución de las tecnologías de la comunicación y su penetración en casi todos los aspectos de
la vida diaria ha sido vista por los ciberdelincuentes como un negocio muy lucrativo. Los creadores de virus
han pasado a tener una m otivación económ ica, por lo que actualmente son grupos mucho más organizados que
desarrollan los códigos maliciosos con la intención de que pasen lo más desapercibidos posible, y dispongan de más
tiempo para desaíro llar sus actividades maliciosas.
Hay varias formas en las que el creador del programa malicioso puede obtener un beneficio económ ico, las
m ás comunes son:
Robar inform ación sensible del ordenador infectado, como datos personales, contraseñas, credenciales de
acceso a diferentes entidades, mail, banca online, etc.
Crear una red de ordenadores infectados, generalmente llamada red zombi o botnet, para que el atacante
pueda manipularlos todos simultáneamente y vender estos servicios a entidades que puedan realizar acciones
poco legítimas como el envío de spam} de mensajes de phishing, acceder a cuentas bancarias, realizar ataques
de denegación de servicio, etc.
Vender falsas soluciones de seguridad Irogueivare) que no realizan las acciones que afirman hacer, por
ejemplo, falsos antivirus que muestran mensajes con publicidad informando de que el ordenador está infectado
cuando en realidad no es así, la infección que tiene el usuario es el falso antivirus.
Cifrar el contenido de los ficheros del ordenador y solicitar un rescate económico al usuario del equipo para
recuperar la información, como hacen los criptovirus.
90
© RA-M A
4 ■S O F T W A R E A N T IM A LW A R E
i
D e s c u b re alg u n o de lo s n u e v o s p e lig ro s d e la re d , com o son las re d e s botnet le yen d o y a n a liz a n d o la
sig u ie n te n o tic ia :
http: //prensa, pandasecurity. com /2010/07/panda-security-y ~defence-¡ntelligence-ayudan-al-fbi-aarrestar-a-cibercñm inales-% E2% 80% 93-hacker-arrestado-en-es¡ovenia/
C o m e n t a r en el grupo d e c la s e :
■ ¿ C u á l e ra la fin a lid a d del a ta q u e d e s c rito ?
•
¿ C u á le s son los n u e v o s p elig ro s d e riv a d o s del uso d e In te r n e t, co m o la s d e n o m in a d a s re d e s
z o m b i? ¿ Q u é tipo d e p re c a u c io n e s y re v is io n e s re a liz a ría s en tu equ ipo p ara e v ita r fo rm a r p a rte
de e s ta s re d e s ?
•
¿ C r e e s q u é in t e r n e t e s u n a red s e g u ra ? ¿ P o r q u é ?
CLASIFICACIÓN DEL MALWARE
Los distintos códigos maliciosos que existen pueden clasificarse en función de diferentes criterios, los más comunes
Virus: de su analogía con los virus reales ya que infectan otros archivos, es decir, solo pueden existir en un
equipo dentro de otro fichero, generalmente son ejecutables: .exe, .src, o en versiones antiguas .com, .bat.
También pueden infectar otros archivos, por ejemplo un virus de macro infectará programas que utilicen
macros, como los productos Office. Los virus infectan a un sistema cuando se ejecuta el fichero infectado.
Gusano: característica principal es realizar el máximo número de copias posible de sí mismos para facilitar su
propagación. Se suelen propagar por los siguientes métodos: correo electrónico, archivos falsos descargados de
redes de compartición de ficheros (P2P), mensajería instantánea, etc.
Troyano: código malicioso con capacidad de crear una puerta trasera o backdoor, que permita la administración
remota a un usuario no autorizado. Pueden llegar al sistema de diferentes formas, las más comunes son:
descargado por otro programa malicioso, al visitar una página web maliciosa, dentro de otro programa que
simula ser inofensivo, etc.
91
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
© RA-MA
Debido a la gran cantidad y diversidad de códigos maliciosos que existen, que muchos de ellos realizan varias
acciones y se pueden agrupar en varios apartados a la vez, existen varias clasificaciones genéricas que engloban
varios tipos de códigos maliciosos son las siguientes:
Ladrones de inform ación (infostealers): Agrupa todos los tipos de códigos maliciosos que roban información
del equipo infectado, son los capturadores de pulsaciones de teclado (keyloggers), espías de hábitos de uso e
información de usuario Cspyware), y más específicos, los ladrones de contraseñas (PWstealcr).
Código delictivo (crimeware ): Hace referencia a todos los programas que realizan una acción delictiva en
el equipo, básicamente con fines lucrativos. Engloba a los ladrones de información de contraseñas bancarias
(phishing) que mediante mensajes de correo electrónico no deseado o spam con clickers redireccionan al usuario
a falsas páginas bancarias. Dentro de este ámbito encontramos otro tipo de estafas electrónicas (scam) como la
venta de falsas herram ientas de seguridad (.rogueware).
Greyware (o grayware): Engloba todas las aplicaciones que realizan alguna acción que no es, al menos de
forma directa, dañina, tan solo molesta o no deseable. Agrupa software de visualización de publicidad no
deseada (adware ), espías ( ) que solo roban información de costumbres del usuario para realizar campañas
publicitarias (páginas por las que navegan, tiempo que navegan por Internet...), bromas (joke ) y bulos Uwax).
MÉTODOS DE INFECCIÓN
Pero, ¿cómo llega al ordenador el malware y cómo prevenirlos? Existen gran variedad de formas por las que todo
tipo de malware puede llegar a un ordenador; en la mayoría de los casos prevenir la infección resulta relativamente
fácil conociéndolas:
Explotando una vulnerabilidad: cualquier sistema operativo o programa de un sistema puede tener una
vulnerabilidad que puede ser aprovechada para tomar el control, ejecutar comandos no deseados o introducir
programas maliciosos en el ordenador.
Ingeniería social: apoyado en técnicas de abuso de confianza para aprem iar al usuario a que realice
determinada acción, que en realidad es fraudulenta o busca un beneficio económico.
Por un archivo malicioso: esta es la forma que tienen gran cantidad de malware de llegar al equipo: archivos
adjuntos a través de correo no deseado o spam , ejecución de aplicaciones web, archivos de descargas P2P,
generadores de claves y cracks de software pirata, etc.
D ispositivos extraíbles: muchos gusanos suelen dejar copias de sí mismos en dispositivos extraíbles para
que, mediante la ejecución automática que se realiza en la mayoría de los sistemas cuando el dispositivo se
conecta a un ordenador, pueda ejecutarse e infectar el nuevo equipo, y a su vez, nuevos dipositivos que se
conecten.
Cookies m aliciosas: las cookies son pequeños ficheros de texto que se crean en carpetas temporales del
navegador al visitar páginas web; almacenan diversa información que, por lo general, facilitan la navegación
del usuario. Las denominadas cookies maliciosas monitorizan y registran las actividades del usuario en
Internet con fines maliciosos, por ejemplo capturar los datos de usuario y contraseña de acceso a determinadas
páginas web o vender los hábitos de navegación a empresas de publicidad.
92
© RA-M A
4 ■S O F T W A R E A N T IM A LW A R E
PRÁCTICA 4.1
KEYLOGGER
En la práctica que realizarem o s a continuación instalarem os un softw are de recuperación de p ulsaciones de teclado
denom inado R e vea le r Keylogger que se e je cu ta al inicio y se en cuentra oculto, pudiendo e n v ia r rem otam ente
por FTP o matl, el archivo que registra, en el que se encontrarán tras un período de tiem po cre d e n cia le s de usuario
por ejem plo de sitios web com o correo, banca electrónica, o redes so ciale s.
A d v e rte n c ia
25
Revealer Keylogger va a convertrse en invisible, c « seguros querer segur?
Atajo de tedddo para hacer reaparecer la rterfaí del programa:
CTRL + AlT + W
•*"No ralear le próxima ve?
|
Si
~|
No
En el equipo local que lo tenem os instalado si pulsam os C TR L + Alt + F9 podem os v e r el estad o de registro,
observando en qué m om entos ha entrado en d eterm inad as páginas web y qué ha tecleado.
En la secuencia vem o s como d esp ués de te cle a r la URL www.yahoo.es ha escrito el texto: inform ática (+ In tro ) y
a continuación koala (+ In tro ), posibles nom bre de usuario y contraseña re sp ectivam en te, de uno de los servicios
de yahoo, como el correo electrónico.
Recom endación
La m anera de p revenir estos ataqu es es realizar escan eo s periódicos antimalware con una o v a ria s herram ientas
fiab les y actu a lizad a s, controlar los a cceso s físicos y lim itar los privilegios de las cu en tas de usuario para evitar
in sta lacio n es no d esea d a s.
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
PROTECCIÓN Y DESINFECCIÓN
Aunque, como se ha visto, existen gran cantidad de códigos maliciosos, es muy fáci] prevenir el quedarse infectado
por la mayoría de ellos y así poder utilizar el ordenador de forma segura, basta con seguir las recom endaciones de
seguridad:
M antente informado sobre las novedades y alertas de seguridad.
Mantén actualizado tu equipo, tanto el sistema operativo como cualquier aplicación que tengas instalada, sobre
todo las herramientas anümalware ya que su base de datos de malware se actualiza en función del nuevo
malware que se conoce diariamente.
Haz copias de seguridad con cierta frecuencia, guárdalas en lugar y soporte seguro para evitar la pérdida de
datos importantes.
Utiliza software legal que suele ofrecer mayor garantía y soporte,
Utiliza contraseñas fuertes en todos los servicios, para dificultar la suplantación de tu usuario (evita nombres,
fechas, datos conocidos o deducibles, etc.).
Crea diferentes usuarios en tu sistema, cada uno de ellos con los permisos mínimos necesarios para poder
realizar las acciones permitidas. Utilizar la mayor parte del tiempo usuarios limitados que no puedan modificar
la configuración del sistema operativo ni instalar aplicaciones.
Utiliza herram ientas de seguridad que te ayudan a proteger y reparar tu equipo frente a las amenazas de la
red. Actualizar la base de datos de malware de nuestra herram ienta antes de realizar cualquier análisis, ya
que el malware muta y se transforma constantemente.
Analizar nuestro sistema de ficheros con varias herramientas, ya que el hecho de que una herramienta no
encuentre malware no significa que no nos encontremos infectados. Es bueno el contraste entre herram ientas
antimal ware.
Realizar periódicamente escaneo de puertos, test de velocidad y de las conexiones de red para analizar si las
aplicaciones que las emplean son autorizadas. Veremos estos aspectos con más profundidad en el capítulo 6,
relativo a redes.
No debes fiarte de todas las herramientas antimalware que puedes descargarte a través de Internet de forma
gratuita o las que te alertan que tu sistema está infectado, ya que algunas de ellas pueden contener código
malicioso, publicidad engañosa, no ofrecer la protección prometida e incluso dar como resultado falsos positivos
(FakeAV)- Es el denominado rogueware.
CLASIFICACIÓN DEL SOFTWARE ANTIMALWARE
En cuanto a las herram ientas disponibles para realizar una correcta prevención y corrección son muy diversas
según el frente que se desee atajar. Es importante resaltar que las herram ientas antimalware se encuentran más
desarrolladas para entornos más utilizados por usuarios no experimentados y por tanto más vulnerables, usualmente
entornos Windows, aunque la realidad es cambiante y cada vez son mayor el número de infecciones en archivos
alojados en servidores de archivos y de correo electrónico bajo GNU/Linux, y aplicaciones cada vez más usadas como
Mozilla Fi refox.
94
© RA-M A
4 ■S O F T W A R E A N TZM A LW A R E
A ntivirus: programa informático específicamente diseñado para detectar, bloquear y eliminar códigos maliciosos.
Es una herramienta clásica que pretende ser un escudo de defensa en tiempo real para evitar ejecuciones de archivos
o accesos a web maliciosa«. Existen versiones de pago y gratuitas, los fabricantes suelen tener distintas versiones para
que se puedan probar sus productos de forma gratuita, y en ocasiones para poder desinfectar el malware encontrado
será necesario comprar sus licencias.
Algunas de las variantes actuales que podemos encontrar son:
Antivirus de escritorio: instalado como una aplicación, permite el control an ti virus en tiempo real o del
sistema de archivos.
A ntivirus en línea: cada vez se están desarrollando más aplicaciones web que permiten, mediante la
instalación de plugins en el navegador, analizar nuestro sistema de archivos completo.
Análisis de ficheros en línea: servicio gratuito para análisis de ficheros sospechosos mediante el uso de
múltiples motores antivirus, como complemento a tu herram ienta antivirus. De esta manera podrás comprobar
si algún fichero sospechoso contiene o no algún tipo de código malicioso.
A ntivirus portable: no requieren instalación en nuestro sistema y consumen una pequeña cantidad de
recursos.
A ntivirus Live: arrancable y ejecutable desde una unidad extraíble USB, CD o DVD. Permite analizar nuestro
disco duro en caso de no poder arrancar nuestro sistema operativo tras haber quedado inutilizable por algún
efecto de malware o no querer que arranque el sistema operativo por estar ya infectado y no poder desinfectarlo
desde el mismo.
Entre otras herram ientas específicas destacamos:
Antispyware: el spyware , o programas espía, son aplicaciones que se dedican a recopilar información del
sistema en el que se encuentran instaladas para luego enviarla a través de Internet, generalmente a alguna
empresa de publicidad. Existen herramientas de escritorio y en línea, que analizan nuestras conexiones de red
y aplicaciones que las emplean, en busca de conexiones no autorizadas.
Herram ientas de bloqueo web: nos informan de la peligrosidad ele los sitios web que visitamos, en algunos
casos, nos informan de forma detallada, qué enlaces de esas páginas se consideran peligrosos y cuál es el motivo.
Existen varios tipos de analizadores en función de cómo se accede al servido: los que realizan un análisis en
línea, los que se descargan como una extensi érJplugin de la barra del navegador y los que se instalan como
una herramienta de escritorio.
A continuación vamos a realizar varias prácticas que permitan ver el espectro de herram ientas fundamentales de
escaneo antlmalware.
95
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
| PRÁCTICA 4.2
ANTIM ALW ARE
Una de las h e rram ien tas m ás utilizad as por su grado de actualización de base de datos de maíware y su eficacia
e s el softw are M alw arebytes para W indows. Su d escarg a e instalación es sen cilla. Podrem os ob tener una versión
gratuita en http://www.malwarebytes.org/.
1. En p rim er lugar re a liza re m o s una actu alizació n de la ap licación , m ed iante su p esta ñ a A ctu a lizar. A
continuación podem os re a liza r un an álisis com pleto del siste m a d esd e su p estaña Escán er.
Tras re alizar el e scá n e r podrem os an a liza r cada una de las en tradas y elim in ar las que d eseem o s.
E sta herram ienta es m uy útil frente a rootkits que hayan m odificado el registro de W indow s y no perm ita su
edición o la ejecución de com andos m ediante la consola.
7Ì
A rtll MjKvare
M aliu areb ytes’
£»c*rm
P erno ta
Cu—r » ™
R«ptm
UU ¿ to n fa i
KMY.aAS$CS.ROOmSO>MAOC«M
R«9f»rV*J> KttY_CU fi*tK !
V* « 1
fopatyV*» MTrv.LCH^_MAO«NC\SOrrw«AC'Moo^Wrd}«MSGjfwVVwMn\Acr>'4)mk*««:t>ooicarAg
MtXY.CIJRf**«! _USf R'¿OTTWARE
Vn oc-fi\r.yJmmS^jUtOtD
H^_CURR(M1.immSOaWAW\MaOKA\Wn4m«\CiMrA>«wn>
J >oleM\Sfi<w>£^MMA«9 dirToah
A«9«fev
|
96
MtfY.lOOL.MACH1ME VvOFTWAR*; 'JNác-iNHr» , <*■>W ntoM NT
II Cwr ]
im
V«i
p)6ood ¡O)
Batf piOcod a
(1) 0«*3 [0|
I ’■+ I
4 ■S O F T W A R E A N T IM A LW A R E
© RA-M A
Las 3 ultim as en trad as restituyen valo re s correctos del registro.
JÜ M jh *.u rliy1 rt'Ant* M.ilar.wr
M a liu a re b y te s’
AobmAem
c u iw im
Rapata
Lata óe-r** **»
m an ai pia ato
^ U itu n t* I r a n
0 te M w v lo i
^ l i m i t « Traca
4
0
<0
^
:
U jrw M * Tran
Uarwara Trac*
Tro<vUtar*»r
fcacMSoordol
ftacMtuorActf
Trotan Aganf
TreimJbo*
^ tijrwar* trac«
||
Trac#
u«r*«r» Trac«
¿ Ujrwart Trata
Owaiiada
1V I 1 /3 *0
iv i van o
iv n /a n o
i v iv a n o
iv n /an o
I V I 1/3010
i v i vano
i v n /a n o
IV I 1/2010
tc /n /a n o
i v iv a n o
iv n /a n o
i v iv a n o
i v i i /a n o
iv i vano
C*ap>ta
na
rta
na
rta
ria
Na
ffe
'la
a
na
fia
na
fia
r«a
na
n
Cordiaca*
Müh
Usa tea » ja rta i opoaraa pata ai
í f e i t na
C WiflHOOWX \KfaMO. J
C V*flN00WSE\**amBV»»*\_3?**e di
C>£oo*an*a ar<j S«*npVU Uaan
CVOocwrrfi and SaWnjMaaui.’V«*fcabowC>ata>inW
C \WIMDQWSE\at waaaPVoont^.ij a a m cJfeVtaácafc?
CWNOOa/KVaaqarvy 4
C \VrtNOGWS£\an«aa*y <fl
C W N D O W tt V i y a a i ü T W . l ^ fe cía
C Va1HDOWS£\i» «awBMi ■ r .g fe c a l fe
C
FfcaUOowrá>«drtd>-riaafcVVsUtfe
C >ÚooiMnH and SanngiVLoc^amca NT MJlHQATY
C\W lMW Nirtt\*cfc-^a di
C VWlHOOWS£\i| «a«3A— »
C VDocuaanh and SaQngiUaiueíWiÉc-abon ^ K a W >
C VD ocwnli ar*3 ü ^ i g¡V<alife5a»ca NT AUTHOR!
Mot*
6m
J L
»ota 4a
De un an á lisis concreto podem os v e r com o ha sido cap az de d etecta r: código malware (m a lw a re ,tra c e ), p uertas
trase ra (backdoor), troya nos (trojan), etc.
I
PRACTICA 4.3
Los tiem pos en los que los an tiviru s para GN U /Linux eran poco efectivos, casi ni existían o estab an en un segundo
plano, poco a poco se van quedando atrá s. Debido a que como hem os com entado anterio rm ente, el m ayor núm ero
de archivo s alojados en se rvid o re s de red se encuentra en siste m a s GN U /Linux, debem os de conocer herram ientas
que perm itan re alizar un an álisis exhaustivo y de calidad bajo esta plataform a.
La herram ienta que p resen ta rem o s es el an tiviru s Clam Av, y su versión gráfica Clam tk. Es posible instalarlas
m edíante los com andos:
sudo aptitude install cla m a v
sudo aptitude install clam tk
Com o sie m p re el prim er paso será a c tu a liz a r la herram ienta de form a online, m ed iante el co m an d o : sudo
freshdam.
Una vez realizad a la actualización de la base de datos de viru s, podem os e sca n e a r el directorio d eseado (/hom e
en este caso ) de forma recursiva (opción - r ) y que tan sólo solo nos m uestre los archivo s infectados (-i), por
ejem p lo :
sudo clam scan - r
-i /ho m e
En el caso de eje cu tar la versión gráfica m ed ian te: sudo clam tk
97
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
Scan
yer
© RA-MA
Cuarentena
& yuda
Actions
Home
V Scan hidden
Thorough
4» Exit
__ , Directory
A r c h iv o
•í
■i
ignore size
Save a log
Estado
e
o
u
Antivirus engine
095 3
408
GUI version
Virus definitions
None found
Last virus scan
Last infected Me
27 nov 2010
Never
Sean
Escaneando /mntAvlrVWlNDOWS/lnstaller
Porcentaje completado 2
O
Archivos Escaneados: 236Vlrus Encontrados: lTiempo transcumdo 00 43
En este caso se ha em pleado la herram ienta para un caso an terio rm ente co m entad o : e s ca n e a r un siste m a de
archivo s W indows sin a rra n ca r el sistem a operativo propio. Se ha arrancado en modo Live el sistem a desde
el CD de instalación de Ubuntu, configurado los p arám etros de red para te n e r conexión con el repositorio de
ap licacion es, instalado clam A v y cla m T K , y m ontando la partición d esead a (en este caso en /mnt/win).
PossiDle inlectioos tuve been found
Archivo
Estado
Annt/win/WlNDOWVWeb/txmtcrs/pagel.asp
PUAHTMLtnfected VVebPage-2 None
;mnl/v*in'WINDOWS»yste»n32/symbooicfg.exe TToian.Buzijs-3511
Actíon Taken
None
Vem os como ha sido ca p az de d etectar 2 archivo s malware, que desde el propio siste m a operativo W indows y con
la aplicación Malware bytes no había sido cap az de detectar.
PRÁCTICA 4.4
ANÁLISIS ANTIMALWARE LIVE!
A modo de ejem p lo de herram ienta esp ecífica que podem os em p le ar para re sca ta r arch ivo s y an alizar el malware
de un sistem a, p resen tarem o s AVG R escue CD. Es un conjunto independiente de h e rram ien tas que se puede
iniciar desde un CD o un disco flash U SB. Puede u tilizarse para recup erar equipos que no perm itan el reinicio o
que estén infectados y no puedan funcionar con norm alidad. Tanto el CD com o la unidad flash U S B constituyen
un sistem a autónom o con el sistem a operativo G N U /Linu x y AVG p reinstalad os.
R e alizare m o s el ejem p lo con una m em oria U SB. En prim er lugar d escarg a rem o s el archivo RAR desde la web
del fab ricante y se ex trae rá en la raíz de un dispositivo U SB (unidad flash). Para hacer que nuestro U SB sea
a rra n ca b le , seleccionándolo desde la B IO S , eje cu tare m o s d esd e W indows el archivo m akeboot.bat extraído,
ai e je cu ta rs e , el archivo sob rescrib irá el registro de arran q u e. En la ventan a de línea de com andos de W indows
ab ierta, presiona cualq uier tecla para p rep arar la unidad fíash U SB.
Una vez d ispuestos los archivos en la m em oria podrem os a rra n ca r nuestro equipo seleccionando com o prim er
dispositivo de arranque la unidad U SB. Una vez arran cad o AVG Rescue m ostrará en prim er lugar una pantalla de
b ienvenid a, se leccio n are m o s por defecto la prim era opción AVG Rescue CD.
98
4 ■S O F T W A R E A N T IM A L W A R E
© RA-M A
D urante el arran q u e real, AVG R e scu e CD m ontará au to m áticam ente todos los discos duros del equipo. De este
modo, los discos duros podrán an alizarse y editarse. Así ¡mismo, la conexión de red se configurará auto m áticam ente,
si es necesario se indicarán los p ará m e tros de red.
En el siguiente paso, se pregunta si d eseam o s e je c u ta r una actualización de AVG, será recom endab le re a liza rla ,
teniendo en cuenta que d ebem os disponer de una conexión a In te rn e t activa.
Una vez finalizado el procedim iento de arranq ue, se abrirá una sencilla interfaz de usuario, com o la que se m uestra
a continuación.
EQZ
S í'i .1
UUftiill
,
n
iiHii r .1 ■
F. l>t HSli
rt' imt *tuwo
¿■ait'¡isaa
imiM.TBMKaa
Ulew
and process
scan result.
Configure
<i
n
d
run last
update.
1aspect U1ndaws virus uau11.
Be—
Wnetwork
indows uoluars
Confnonnt
.1,1'rebootable
Create
ItSB Flash Drlue.
HEject
1see 11-netmi; utilities.
rescue
cd.
Reboot
sysle*i.
Shutdown
sijsten.
Rescui- Cl1and l;VS version Info.
<S
■>
m xhw ;
D esde este m enú, se puede o b ten er acceso a todas las funciones ese n c ia le s de AVG R escue CD que son en tre
o tras:
A n alizar: para iniciar un an álisis malware.
R esultados del a n á lisis: v isu a liza r inform es de an álisis finalizados.
A ctu a lizar: iniciar una actualización de AVG.
M o n ta r: iniciar el m on taje de los dispositivos de alm acenam iento.
Red: para configurar la conexión de red.
U tilidades: conjunto de h erram ien tas útiles como se presenta en el siguiente m enú. Por ejem plo para
ed itar el registro de W indows en caso de que haya sido acap arad o y no m odificable por algún rootkit. O tras
opciones: recup erar archivos borrados con Testdisk y Photorec, un explorador de arch ivo s, etc.
1
f ill: n.lll.l(|(T¡
II
P¡»«|
T- tOl:K
rtmtliH«
Link«
1-1irlii H|lit 1nnn.iiiili r
Ulndows re g istry e d ito r.
Pl«g u tl 1I ty .
Disk data recouenj u tility .
Recover deleted f lic s .
Text UUU browser.
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
LA MEJOR HERRAMIENTA ANTIMALWARE
Conocer qué herramienta se ajusta mejor a mis necesidades en cuanto a consumo de recursos, opciones de escaneo,
y cantidad de malware encontrado en test de prueba, no es Fácil.
Muchas de las empresas desarrolladoras de software antimalwares m uestran estudios en sus propias web
demostrando que son mejor que la competencia, pero estos estudios pierden validez al ser conducidos por la propia
empresa. También pierden validez los estudios conducidos por los propios usuarios (a pesar de que estos tengan
buenos conocimientos de seguridad informática) debido a que generalmente la muestra de virus es muy pequeña o se
pueden m alinterpretar los resultados, por ejemplo contando la detección de un falso positivo como verdadera cuando
no lo es y debería contarse como falsa.
También tenemos que tener en cuenta que la tasa de detección puede variar de mes a mes, debido al gran número
de malware que se crea, y aunque la tasa de variaciones suele ser pequeña lo mejor es comparar un estudio con otro un
poco más antiguo (meses, no años). Hay que recordar que ningún antivirus es perfecto (no existe el 100% de detección),
y además, puede que un antivirus detecte un virus que otro antivirus no detectaría y viceversa.
Los estudios con más validez son los que son hechos por empresas o laboratorios independientes, entre las
empresas más importantes y más precisas que realizan los estudios tenemos:
AV Comparativos (http: / 1www.av-comparatives.org).
AV-Test.org (http:/ / www.av-test.org).
ICSA Labs [http:/ / www.icsalabs.com) .
Virus Bulletin (http:/ / www.virusbtn.com).
West Coast Labs (http: / / westcoastlabs.org).
En ocasiones las herramientas antimalware no suponen una solución a una infección, ya que detectan posibles
am enazas pero no corrigen el problema. En estos casos es más efectivo un control a fondo de los procesos de
arranque, los que se encuentran en ejecución y otros archivos del sistema que hagan uso por ejemplo de las conexiones
de red establecidas.
I PRÁCTICA 4.5
ANÁLISIS ANTIMALWARE A FONDO
En tos siste m a s operativos es necesario re alizar ta re a s de m onitorización y control e x h a u stiv as para d etectar
an o m alías y m odificaciones no d esea d a s. A continuación verem o s que para siste m a s W indows existen diversas
h e rra m ie n ta s que nos perm iten controlar y d e te c ta r m odificaciones si las insp eccion am os p eriódicam ente y
an alizam o s las va riacio n e s que se produzcan:
Los procesos de arran q u e en el siste m a , m ediante la ejecución de la herram ienta msconfig.
100
© RA-M A
4 ■S O F T W A R E A N T IM A L W A R E
U tilid a d d e c o n fig u r ación d r l t u t e n ™
General
5YSTEMJM
WIN INI 800TJM2
□emento de rricio
<u> l
j»
PíW Serv
lr**>
Herreraertes
Ubc^oÓn
CoMndo
y¡
*C'\Ardwoí de programaKyfcerLr*.\Pot*e»DVD\...
"C:Wct*vo4 de progreme\Cy<)erU*V*o»wefCiVO\.
'C-VArchrvos de progreme\Archvo» conune*Uev...
? Language
□
C
Lj
(9
B
60
X
Servrio»
RTH XK
^ e P tu
nfcam
ctímon
OpenOifke.org 3.0
RTfrCCR.D C
“C W cbrvoi de programa\K©eP«í P«y^ord
Stí.
*C’VArchrvos de programaV'^a^arpbyt«' ArO-M...
C:\WIHDOWS\syJlem32Vctfmon.exe
C :\ARCHIV~1\OPENCT-1.C«G\progrem\QUlCX...
o □□□□□□□□...
□ □□□□□□□□•
K*XM\SOFTWAR£V^OOSOÍU
HCLM\SOfTWAR£VtaO«jft\
TWAPfVVrMOÍU
HOM\50rrWAft£\MoWt\
HCLM\SOFTWAR£\Mcroíaft\
rtaM\SC#TWAR£\Nkroíoft\
^aASOFTWAPEV^üOMftV
Startup
rttCU\SOFTWAR£\Mao«ftV
**OJ\SOFTWARE\Mcn>ícft\
m
'
~ M ‘t
» 1
OefheMler lodo
HetiKerCodo
1 Acepter
j
tokj*
Cenceier
Ayude
D eshab ilitarem os tas 2 en trad as últim as, potencialm ente m aliciosas ya que poseen nom bres no ¡dentificables.
Los procesos en ejecución podem os an alizarlos m edian te la herram ienta A utoruns y Pro cess Exp lo rer,
que se incluyen en la suite de h e rram ien ta s Sy sin te rn a ls. Con A utoruns podrem os id entificar el fabricante
y la ruta de ejecu ció n del proceso. Existen otras p esta ñ a s com o: listado de D LL conocidas, se rvicio s,
procesos de inicio de sesió n, localización de drívers registrad o s, etc. Process Exp lorer m u estra los vínculos
entre cada proceso y los archivos y DLLs que em plea, socket que ab re , usuario que lanza el proceso, hiios
de ejecu ció n , etc.
H erram ientas a v a n za d a s de an álisis del sistem a com o la proporcionada por Trend Micro H iJackThis:
perm ite la búsqueda ex h a u stiv a de elem entos no d esea d o s en ei arran q u e , el registro de W indows o
los directorios de siste m a . Para cada una de las e n tra d a s, podem os b uscar inform ación a cerca de si es
potencialm ente m alicioso o no. A partir de la inform ación su m inistrad a en web de seg urid ad podrem os
h acer una desinfección del siste m a en caso de infección.
04 •
.ytixv lS7Mtf6r%Ti«yAco] CvyfKr* *
fotaátdtforTM tian or> to n 04
T>it parto# r tv ic jn r tiK fc ito r w v 'r tf «a po eu i « r tn n tM t «iok>ad*rf»<r u*ndo»*iU rts A o ttÉ i»dr*j«rír»»t4rito«d#nigBtrrtírc>r.
vtiK > pl ar
p e -is t*rctu sfig th tE SUrl
SMrt*>P«9r. 5««ah6«r and *>♦»<> kvutíMl loN M rt
ro • ta « t«* t
page tftm • ry rtw * r«toot M o . • tX i M»
b»
th«£ car
rtx¡ vcv*rai p * t i d yo* ffUtm.
Inf«cttdhwoéi
••geatc
r t W C i r v«S
(
nrd n: C-Wogre»
h
n
tá* 8 ( M id
(Anón l«*ao »tQrtry »
}
02-mo *^SartD*erto^-<I7ttf<OI-l7CE-4C07-eC66*A«9*4WC)
O*-HVHVbn[•ftttrt)CV*WC">WvrVe»SVtf»*ityr»*
O«-«l*\..\Rist C\W9DO+T&fr*»m33W*9**«**
O*•>*IM\,\JUriISinTPCr^lCproprn*F»rt\Syr*0tKj\5^TP\SynTTOiK
0*M#l V»inlaMJ^v»)*C
\.-i I»"
09
«.»„
II
■J
Toob» SddCornwter ÍZ f • (2V#616C-A30CM4f5-eCHA-rDOO}A26C85C) • C:'^fogr « r F«cs\50fc£>0CU
04 • rttMV \fU n (V iM a n d lC \W*©0W5CVsy**rfO2V*t»A®«»
0 4 . n i K i iBl t [U04«UP?ü39wTCue] 'C:\propm F * ^ y b e n w * ) * ^ 2 G ó W n t » n * m * t n s t * t P + n j.i
04 • * O H
IU 04aK«TSh»tC U ) 'OWrOQren H«\C»t»rl**4D*0 Srf*V M T f«W irV < JI5 U ft«*ru r».
04 ■
VUrx [5utf**M JpM e5(t*d) *C ^Prograw N rt ’iCownon HevU«y*'J*v*
e>e*
04
04
04
0«
04
- H l**.
[Aá&iK+*itr-Sc+KlL*ntm )'C'rrajrw nFén‘lM * * \P » * * '9 tyl»*á"Vt»+3* j L
fr t
- H1M\ Vtvn ¡Adob«A#í«3*C \Praor*»««\Cai»wFteVW oe»V*P»^l 0\Adab*A£V r>«*
•M U4
[Butfcb] C jo t r a r *
5te*A5UCe®jfcü» • t*
M lK
flogo#f]C:y^ogr««nn\wtritoMiSCMA5UU\SCnjriot#Y.*»*
• * m . IP v r [KeeAftec : <V*oad] * t
P « v « d S rfi
-pr«fc»5
OtheriftSr
SMbg iMchecfcm!
W o o n M h c fd t o * .
|
Wn
H e n f^ n j
,
CoVQ
A d d tfw ^ ad fo c ro e h l
101
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
REFERENCIAS WEB
Historia del malware.'.
http: / / www.pand.asecurity.com / spain / homeusers / security-info / classic-malware /
Útiles gratuitos de seguridad informática del CERT - INTECO —Centro de Respuesta a Incidentes de Seguridad.
Instituto Nacional de Tecnologías de la Comunicación:
http: / / cert.inteco.es / software / Protection/útiles ^gratuitos!
Foro de análisis malware-, http: / / www.forospyware.es/
Web sobre software antimalware\ http:/ / www.antiuirusgratis.com.ar/
Sección de software gratuito antimalware en Softonic: http :/ / www.softonic.com!s / malware
RESUMEN DEL CAPÍTULO
Atrás quedaron los años en los que se entendía como virus un código que se ejecutaba en un ordenador
con la finalidad de dejarlo inoperativo, concepto muy genérico que se ha visto desarrollado en el término
malware o software malicioso, orientado actualmente a la obtención de beneficios económicos.
Entre los nuevos tipos de malware encontramos a parte de los clásicos virus, gusanos y troyanos, el
greyware inofensivo generalmente como Adware, Broma (Joke), Bulo (Hoax), los ladrones de información
o infostealers como spyware, keyloggers y PWstealer o ladrones de contraseñas, así como software dedicado
a fines delictivos o crimeware que mediante falsificaciones web, rogueware, mensajes de spam que
redireccionan a web falsas para intentar hacer phishing, ingeniería social y aprovechando puertas traseras
(backdoor) y exploits para manejar redes zombi o botnets, son capaces de lucrarse económicamente.
Como vemos el malware se encuentra cada vez más especializado y diversificado, por lo que las
empresas desarrolladoras de herram ientas de prevención, detección y desinfección se encuentran siempre
corriendo a tapar las nuevas vulnerabilidades y amenazas.
A la hora de seleccionar la mejor herram ienta debemos buscar cuáles se ajustan mejor a nuestras
necesidades, utilizando siempre el contraste de varias y analizando los informes independientes que
realizan los laboratorios de test de herram ientas antimalware conocidas.
Para mantenerse sin “infecciones”, las recom endaciones son: tomar precauciones de uso compartido
de dispositivos, así como en la navegación y descarga en Internet. Mantener siempre actualizadas nuestras
aplicaciones y sistemas operativos, así como nuestras herram ientas antimalware, controlar los procesos
en ejecución y realizar chequeos periódicos, y mantenerse muy informado de las últimas tendencias en
software malware , para evitar situaciones comprometidas.
102
© RA-M A
4 ■S O F T W A R E A N T IM A L W A R E
EJERCICIOS PROPUESTOS
1.
Lee el siguiente artículo sobre la historia de los
virus: http: / / www.nnd32-la.com/ tutorials/cronologia_dejos_uirus_informaticos.pdf y contesta a las
siguientes cuestiones:
¿Cómo ha cambiado la finalidad del software ma~
Iware desde sus orígenes hasta hoy? ¿Existen vi­
rus para MacOS? ¿A medida que pasan los años
la aparición del malware es más rápido o lento?
¿Qué dispositivos son el objetivo de los nuevos
creadores de malware? ¿Por qué?
2. Lee el siguiente artículo de comparativa de dis­
tintos antivirus, disponible en: http:/ / www.diarioti.
com/gate / n.phpHd=25518 y contesta a las siguien­
tes cuestiones:
¿Qué antivirus funcionó mejor ante el test pro­
puesto en 2009? ¿Y en segundo y tercer lugar?
¿Y en el 2008? ¿Qué porcentaje de CPU consume
en la máxima carga de trabajo el antivirus más
eficiente? ¿Cuál es el único gratuito que superó
todas las pruebas?
3. Analiza la siguiente noticia “Madrid, capital del
spam" http:/ / www.csospain.es / Madrid,-capital-delspam -/ sección-alertas! noticia-91980 y contesta:
¿Cómo se denomina al correo basura y por qué?
¿Cuál es el país con mayor emisión de correo
basura? ¿En qué posición se encuentra España?
Comenta algún caso en el que hayas recibido co­
rreo basura con intento de phishing y cómo lo
detectaste.
4. Investiga acerca de secuestradores del navegador
web (browser hijacker) y de la consola de comandos
(shell hijacker). ¿Qué efectos no deseados tiene sobre
el sistema?
5. Busca información sobre el archivo autorun.inf
que poseen los dispositivos de almacenamiento y
cómo se camufla y opera malware a través de este
archivo. Dentro de la clasificación de malware que
hemos visto, ¿qué tipo de malware suele ser autorun.
i.nf? ¿Cómo se propaga? ¿Qué efecto tiene? ¿Parece
inofensivo? ¿A qué tipo de sistemas operativos afecta?
¿Qué medidas de seguridad puedes tomar? ¿Qué es
la desactivación de la ejecución automática? ¿Cómo
se puede realizar? ¿Para que sirve USB Vaccine?
Visualiza este videotutorial y descubre otra forma
de eliminar el malware. ¿Con qué programa se
realiza la desinfección?
www.cristalab.com / tips / como-eliminar-virus-auto­
ra n. inf-de-un-di spositi vo-usb-c 764361 /
6 . Busca información sobre dos ejemplos actuales y
reales muy peligrosos de códigos maliciosos o ma­
lware (troyano, virus, gusano, PWstealer, etc.), rea­
liza primero una breve definición y posteriormente
analiza y explica: nombre del malware, archivo o
método de propagación e infección, mecanismo de
reparación manual. Comparte los ejemplos reales
con tus compañeros, analiza los ataques y medios de
infección y solución empleados.
7. Repartir entre los alumnos de la clase las dife­
rentes herram ientas antimalware en su versión
gratuita, trial o de evaluación, de escritorio y en lí­
nea de Ad-aware, Avast, AVG, Avíra, Bitdefender,
ClamAv, eScan, ESET, F-Secure, G DATA, Kasperskv,
Rings oft, Malwarebyte's, McAfee, Microsoft Security
Essentials, Norman, Panda, Sophos, Symantec
Norton, TrendMicro o TrustPort. Realiza un escaneo
de tu equipo con al menos 2 de ellas y compara el
resultado analizando distintas características como:
Tiempo y tamaño de la actualización de la aplica­
ción, número de archivos analizados, ocupación en
disco de los archivos analizados, % de CPU ocupa­
da en escaneo y en espera, opciones de escaneo,
tiempo total de escaneo, malware encontrado y
desinfectado, recomendaciones de seguridad pro­
puestas.
8 . Si deseas utilizar alguna herram ienta antímalware
de la que desconoces la reputación del fabricante, te
103
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
recomendamos, antes de instalarla, comprobar la
con fiabilidad de la aphcación en la lista actualizada
de http://www.forospyware.com/t5.html. Indica al
menos cinco programas Rogueware o FakeAVs.
í). Realiza una lisia de los programas instalados y los
procesos en ejecución en tu sistema. Busca en esta
lista realizada si se encuentra algún FakeAVs dentro
de la lista de Forospyware. Puedes ayudarte del ar­
tículo sobre procesos legítimos del sistema operativo
en sistemas Windows de ESET:
http: / / blogs.eset-la.com / laboratorio / 2009105/07/
procesos-legitimos-/iativos-sistema-operatiuo-i/
© RA MA
10. Entra en la web www.siteaduisor.com (McAfee) y
verifica distintas URL de las que tengas dudas sobre
su nivel de seguridad. Haz un listado con el informe
de al menos tres URL.
11. Investiga sobre la inyección de código SQL (SQL
Inyection) con la finalidad de obtener las tablas de
usuarios y contraseñas de base de datos de sitios
web. ¿Cómo es posible realizarlo? Prueba mediante
la distribución Backtrack un intento de inyección
SQL en un sitio web en el que sea necesario regis­
trarse. ¿Qué tipo de precauciones tendrías como ad­
ministrador web para evitar inyección SQL?
TEST DE CONOCIMIENTOS
Málware que toma el control remoto del usuario
administrador:
Hoax.
Joke.
Rootkit.
Gusano.
Malware que envía mensajes electrónicos con
noticias falsas o bulos:
Hoax.
Joke.
Rootkit.
Gusano.
Malware que permite capturar lo que se pulsa
por teclado para capturar posibles usuarios y
contraseñas:
Clicker.
Spyware.
Exploit.
Keylogger.
104
Diferencia entre el scam y el spam\
Fraude bancario y correo basura.
Fraude electrónico y correo basura.
Correo basura y fraude malware.
Troy ano y gusano.
La finalidad actual de crear malware es:
Lucrarse.
Hacer el mal.
Divertirse.
Buscar errores en las aplicaciones.
Crear parches de seguridad posteriores.
4 ■S O F T W A R E A N T IM A L W A R E
© RA-M A
Dituiwidoi
Calegoita
Fie
Elementos
cAdocunerts and tettmgsVietwoikseíviceVcofifiguiaoón loca/\aichiYot tempotalet
Extensión.Mismatch
Fie
cAdocunenls and tettngj\netwo<kseivce\contiouiación iocafaichivos lempotales
Extensión.Mismatch
Fie
c \docum?nts and tettngsVietwofkíeiviceVonfgu ación locafvatchivot terrcotateó
Worm.Conficker
Fie
c:\WIND0WS\system32'.tgqygon. d¡
Worm.Conflcker
Dont.Steal.Our.Software JÁ
Fie
Fie
e:\RECYCLER\j-5-3-42-281 9952290-8240758968-879315005-36&5\<wgkvsq vnw
Worm.Palevo
Registiy Valué
@
Extensión.Mismatch
0
0
0
0
0
♦
0
0
^
0
0
Regtíüy Valué
HKEY_LOCA1__MACHINE\SOFTWARESMicio$oí(\Wi x Jows NTVCurertVeraonVWi
Ht|ack. Shell
RegretiyData
PUM.Hijack.StartMenu
Regisfty Data
HK.EV_CURRENT_USER\SOFTWARE\Miciosolt\Wrdowt NTV£unen(Vemon\Wi
HK£Y_CURRENT_USER\SOnWARE\M¡ctosolt\W»idom\Cu!er>lVetsion\Exploii
Worm.Palevo
^
^
e Vaño 2010-201 USIVnalwatebjrteí 1 46\palnck exe
HK£Y_CtlRRENT_USER\SOFTWARE\Wic»osjDll\Windowj NT\CutenlVeftion\Wi
Para la figura mostrada, contesta a las preguntas 6 , 7 y 8 .
Después de realizar un análisis antimalware, ¿qué
tipo de malware es la 4f( entrada?
Gusano.
Troyano,
Virus.
PWstealer.
¿Qué inhabilita la 9a entrada?
Consola de comandos.
Administrador de tareas.
Registro.
Archivo ejecutable.
¿Qué ha modificado la 7a entrada?
Consola de comandos.
Administrador de tareas.
Registro.
Archivo ejecutable.
¿Bajo qué término se engloban acciones malicias
no demasiado perjudiciales?
Hocix.
Greyware.
Joke.
Infostealer.
/ Profundizar en aspectos de
criptografía asociada a la
confidencialidad de la información
y de las comunicaciones.
/ Garantizar la confidencialidad de
la información.
/ Garantizar la privacidad de las
comunicaciones.
</ Diferenciar ventajas e
inconvenientes de la criptografía
simétrica y asimétrica.
/ Analizar nuevos procesos de
identificación digital seguros
mediante firma digital,
certificado digital y dni
electrónico.
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
PRINCIPIOS DE CRIPTOGRAFÍA
La criptografía (del griego “oculto” y “escribir”, literalmente “escritura oculta”) es el arte o ciencia de cifrar y
descifrar información mediante técnicas especiales y se emplea frecuentemente para permitir un intercambio de
mensajes que solo puedan ser leídos por personas a las que van dirigidos y que poseen los medios para descifrarlos.
O tra aplicación frecuente es la de cifrar información contenida en soportes de almacenamiento para garantizar la
privacidad y confidencialidad de la misma.
Con más precisión, cuando se habla de esta área de conocimiento como ciencia, se debería hablar de criptología,
que a su vez engloba tanto las técnicas de cifrado, es decir, la criptografía propiamente dicha, como sus técnicas
complementarias, entre las cuales se incluye el criptoanalisis, que estudia métodos empleados para romper textos
cifrados con objeto de recuperar la información original en ausencia de las claves.
La criptografía se consid era una ram a de tas M atem áticas y en la actualidad de la Inform ática y la
T elem ática, que hace uso de m étodos y técn icas m atem áticas con el objeto principal de cifrar un
mensaje o archivo por medio de un algoritmo, usando una o más claves.
En la terminología de criptografía, encontramos los siguientes aspectos:
La inform ación original que debe protegerse se denomina texto en claro o texto plano.
El cifrado es el proceso de convertir el texto plano en un texto ilegible, denominado texto cifrado o criptograma.
Por lo general, la aplicación concreta del algoritmo de cifrado se basa en la existencia de una clave o información
secreta que adapta el algoritmo de cifrado para cada uso distinto.
Los algoritmos de cifrado se clasifican en dos grandes tipos:
De cifrado en bloque: dividen el texto origen en bloques de bits de un tamaño fijo y los cifran de manera
independiente.
De cifrado de flujo: el cifrado se realiza bit a bit, byte a byte o carácter a carácter.
Las dos técnicas más sencillas de cifrado , en la criptografía clásica, son:
La sustitución: supone el cambio de significado de los elementos básicos del mensaje, las letras, los dígitos
o los símbolos.
La transposición: supone una reordenación de los mismos, pero los elementos básicos no se modifican en
sí mismos.
El descifrado es el proceso inverso que recupera el texto plano a partir del criptograma y la clave.
108
5 ■C R IP T O G R A F ÍA
© RA-M A
Le e el sig u ie n te a rtíc u lo so b re la co m p e tició n e x is te n te p ara c o n d e c o ra r al a lg o ritm o de cifrad o m á s
s e g u ro , tra s d e te c ta r d e b ilid a d e s en el a lg o ritm o " e s t á n d a r d e oro " S H A .
A rtícu lo " S e b u s c a el a lg o ritm o m á s se g u ro del m undo", fu e n te http://w w w .laflecha.net/canales/
blackhats/noticias/se-busca-ehalgoritmo-mas-seguro-del-mundo.
C o m e n ta con el re sto d e c o m p a ñ e ro s en c la s e :
•
•
¿Q u é e s el N IS T y p ara q u é s ir v e ? ¿ C u á n t a s v e rs io n e s de S H A e x is te n ?
¿ E n q u é añ o se p re v é la fin a liz a ció n del c o n c u rs o ? ¿C o n q u é a lg o ritm o s e re a liz ó p re v ia m e n te
e s te p ro ce so ?
TIPOS DE ALGORITMOS DE CIFRADO
La historia de la criptografía es larga y abunda en anécdotas. Ya las primeras civilizaciones desarrollaron técnicas
para enviar mensajes durante las campañas militares, de forma que si el mensajero era interceptado la información
que portaba no corriera el peligro de caer en manos del enemigo. Posiblemente, el primer criptosistema que se conoce
fuera documentado por el historiador griego Polibio: un sistema de sustitución basado en la posición de las letras
en una tabla. También los romanos utilizaron sistemas de sustitución, siendo el método actualmente conocido como
César, porque supuestamente Julio César lo empleó en sus campañas, uno de los más conocidos en la literatura.
César utilizó un esquema criptográfico simple pero efectivo para comunicarse con sus generales. El método de
cifrado introducido por Julio César introduce el concepto de clave criptográfica. El desplazamiento de 3 letras es
la clave que se utiliza por César para cifrar el mensaje, necesitándose la misma clave para descifrarlo. El ejemplo
de César muestra un criptosistema de clave simétrica en el que se utiliza la misma clave para cifrar y descifrar el
mensaje.
Existen dos grandes grupos de algoritmos de cifrado'.
Sim étricos o de clave sim étrica o privada: los algoritmos que usan una única clave tanto en el proceso de
cifrado como en el de descift-ado.
Asim étricos o de clave asim étrica o pública: los que emplean una clave para cifrar mensajes y una clave
distinta para descifrarlos. Estos forman el núcleo de las técnicas de cifrado modernas.
10«
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
Según el principio de Kerchohoff la fortaleza de un. sistema o algoritmo de cifrado debe recaer en la clave y no en til
algoritmo, cuyos principios de funcionamiento son conocidos normalmente, en caso de no conocer la clave no podremos
descifrar el mensaje.
I PRÁCTICA 5.1
SCRIPTS DE CIFRADO
1.
A modo de ejem p lo de algoritm o de su stitu ción, podem os e je cu ta r el sig u iente com ando para cifrar
m ed ian te codificación C é sa r un archivo de texto plano (en el ejem plo denom inado d o cu m en to ):
fiichivo Editar yer Terminal Ayuda
root@aluano-laptop:/home/aluiino/DocuBentos/Confidencial# cat docuaento
Este archivo contiene información relevante y datos de ingresos periódicos
Passl: jokoala
Pass2:
Ingresos
etc
root@aluano-laptop:/hoBe/aluniiio/Oocunentos/Confidencial» cat documento | tr [a-z] [d-zabe] | tr [A-Z] [0-ZA8C) >
docuaentocesar
rootaaluwio■
I aptop :/hone/alumno/Documentos/Confidencial# cat docuaento cesar
Hvwh dufklyr frqwlhqh Iqirupdflrq uhohydqwh b gdwrv gh Iqjuhvrv shulrglfrv
Sdvvl: a m r d o d
Sdvv2:
Lqjuhvrv
hwf
root@alumno-laptop:/hoae/aluano/Docunentos/Confidencial» |
Com o vem os el com ando tr perm ite re alizar una sustitución ca rá cte r a carácter. M ediante tu b e ría s o pipes
se han incorporado m ayú scu la s y caso s lím ite como son los ca ra cte re s 'x', 'y' y vz'.
2.
Otro ejem plo donde se su stitu yen las vo cales por ca ra cte re s esp ecia le s de puntuación, a-*b->etc.
Archivo
Editar
yer
Terminal
Ayuda
root@ubuntu:/ho«e/alumno/Docuaentos/Confidencial» cat documento | tr [aeiou]
r [AEIOU]
I > docuaento sustitución
root@ubuntu:/hoae/alumno/Oocuaentos/Confidencial« cat documento sustitución
st :rch,v. c.nt. n l: .nf.n»:c,.n r l v:nt
P:ssl: J.k.:l:
| ti'
P :S S 2 :
,n g r s . s
_tc
root@uburtu:/ho«e/aluiwio/Docuaentos/Confldencial» cat documento
Este archivo contiene la información relevante
Passi: jokoala
Pass2:
In g re so s
etc
root@ubunt u :/hoae/aluono/Documentos/Confidencial* |
3.
Por otro lado, com o ejem plo de algoritm o de transposición, p asarem os a un scrípt denom inado transposición,
sh un docum ento en texto plano, y palabra a palabra y c a rá cte r a carácter, irá dándole la vu elta, colocando
de esta form a cada ca rá cte r en una posición diferente pero sin m odificarlo.
110
©
RA-M A
5 ■C R IP T O G R A F ÍA
i------- . » vUhM.
í / m »o
( A ta r
y rr
Jtvrmnal
------- - ■
* r /«
rootfutuniu /ho*/alurv)/C)QcueertosZContJdmciaL*
transpon clon. *h docuarolo
root*ubw«tu /ho«*/alu«no/Do<uae*toi/Canllí»CTCtala c a t docunento tr*o*pom ton
ettC avibera m ttin o c a l n e ic a ro fn f atnav*ler
h v iP alacho)
7 \\* r
'. c ir r g n l
c t*
ytr*» o
O
t>fJi
Huevo Afcrtt
yr»
rtt fM'Votrr aiiwriVí^oci^t^«To^.iJ*TidaiM•cH¿t
n ^
|u k jt
G u a n í*
fcfcmm*wr»
Doc^ntrtos
Agute
D r.*« u » neftteer
im prim ir
•trwwoovoonih o
fi/tlia / te s h
If | • - » M I
titta
acbo *Ma t i n l i a rc h iv o o r tg r «
tlM
tH t
T I I i r a . U’ M c iO n
• h t l r r«ad lin e a
U
II*
TowtH l» t r
1or »a a b ia ia i i i w a
»'1 1I
ln a ^ itu i]« eche io j .» >»• I «*■
U m f lt u 4 * l U I l * " * i t« I I )
f o r ; in \ r l l i n n ;
la t ra
| cu» - e ll
dOM
tc h o ■
CRIPTOGRAFÍA SIMÉTRICA
La criptografía sim étrica es un método criptográfico en el cual se usa una misma clave para cifrar y
descifrar mensajes. Las dos partes que se comunican han de ponerse de acuerdo de antemano sobre la clave a usar.
Una vez ambas tienen acceso a esta clave, el remitente cifra un mensaje usándola, lo envía al destinatario y éste lo
descifra con la misma.
Un buen sistema de cifrado pone toda la seguridad en la clave y ninguna en el algoritmo. Dado que toda la
seguridad está en la clave, es importante que sea muy difícil adivinar el tipo de clave. Esto quiere decir que el abanico
de claves posibles, o sea., el espacio de posibilidades de claves, debe .ser amplio. Esto lo posibilita la longitud y el
conjunto de caracteres que emplee. Actualmente, los ordenadores pueden descifrar claves con extrema rapidez, y
ésta es la razón por la cual el tamaño de la clave es importante en los criptosistemas modernos. Algunos ejemplos de
algoritmos de cifrado simétrico son:
El algoritm o de cifrado DES usa una clave de 56 bits, lo que significa que hay 256 = 72.057.594.037.927.936
claves posibles. Esto representa un número muy alto de claves, pero un ordenador genérico puede comprobar
el conjunto posible de claves en cuestión de días.
Algoritmos de cifrado como 3DES, Blowfísh e IDEA usan claves de 128 bits, lo que significa que existen 2 128
claves posibles. La mayoría de las tarjetas de crédito y otros medios de pago electrónicos tienen como estándar
el algoritmo 3DES.
Otros algoritmos de cifrado muy usados son RC5 y AES, Advanced Encryption Standard, también conocido
como R^ndael, estándar de cifrado por el gobierno de los Estados Unidos.
Los principales problem as de los sistemas de cifrado simétrico no son su seguridad sino:
El intercam bio de claves: una vez que el rem itente y el destinatario hayan intercambiado las claves
pueden usarlas para comunicarse con seguridad, pero, ¿qué canal de com unicación seguro han usado para
transm itirse las claves? Sería mucho más fácil para un atacante intentar interceptar una clave que probar las
posibles combinaciones del espacio de claves.
111
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
n úm ero de claves que se necesitan: si tenemos un número n de personas que necesitan comunicarse
entre sí, se necesitan n /2 claves diferentes para cada pareja de personas que tengan que comunicarse de modo
privado. Esto puede funcionar con un grupo reducido de personas, pero sería imposible Llevarlo a cabo con
grupos más grandes.
El
Para solucionar estos problemas se mejora la seguridad de los sistemas, mediante la criptografía asimétrica 3' la
criptografía híbrida.
PRÁCTICA 5.2
CIFRADO SIMÉTRICO
PGP (Pretty Good Privacy) es el program a m ás popular de encriptación y de creación de llaves públicas y privadas
para seguridad en ap licacion es inform áticas, por lo que se considera híbrido. PGP se ha convertido en e! e stá n d ar
de seguridad para las plataform as en que se ha lanzado y perm ite añ ad ir seguridad a docum entos, ap licaciones,
etc.
GPG o GNU Privacy G uard e s una herram ienta para cifrado y firm as digitales, que vien e a se r un reem plazo del
PGP (Pretty Good Privacy) pero con la principal diferencia que es softw are libre licenciado bajo la GPL. No usa
algoritm os de softw are que están restringidos por p aten tes, entre estos se en cuentra el algoritm o de cifrado ID EA
que está p resen te en PGP casi desde su s inicios. En su lugar usa una se rie de algoritm os no patentados como
EIG am al, C A S T 5 , Triple D ES (3 D E S ), A E S y Blowfish. Es una aplicación que viene p reinstalada en las distribuciones
GN U /Linux, aunque existen ve rsio n es g ratuitas para W indows.
El com ando gpg con la opción - c puede se r em pleado para re alizar cifrado sim étrico, pidiéndonos una frase
co n traseñ a o clave privada que será em p leada tanto para el cifrado com o el descifrado.
gpg - c archivoorigen
La aplicación gpg genera un archivo en el m ism o directorio donde se ubique el archivo de origen a cifrar, añadiendo
por defecto la exten sió n gpg. Ef arch ivo de salid a es binario, para que se com ponga de c a ra cte re s A S C II,
añ ad irem o s la opción - a , siendo el form ato de salida ase.
En caso de q uerer d escifrar el archivo de salida e je cu ta m o s: gpg -d a rch ivo .a se , en caso de que el archivo haya
sido cifrado con ca ra cte re s de salida A S C II.
Archivo
Editar
Vtf
Jerminal
Ayuda
root@ubuntu:/hoae/alumno/Docuaentos/Confidencial» gpg c a docuaento
gpg: el agente gpg no esta disponible en esta sesión
root@ubuntu:/hoae/aluono/Docuaentos/Confidencial» Is
documento docuaento- documento.ase docuaento cesar documento.gpg
root@ubuntu:/hone/alunno/Documentos/Confidencial« cat docuaento.ase
---- BEGIN PGP HESSAGE.....
Versión: GnuPG vi.4.9 (GNU/Linux)
jAeEAMMC9xq94xBsIIlgytttrPoC6S93wll») rlXpd3/K3fdOlCxh)UVC50»SHbf JT
X85b9/6ov0Y3cWnlpvYi30z+7GdObcb+I4oC181rfpalv<-e4NslGGt)UxhcvqQAI1
wsmRBqONclGAi3HoHuyLvaalcvaoyV7xSY5df(h=s
=rrj2
.... END PGP MESSAGE.....
V em os que un fichero creado en texto plano se ha convertido en un archivo no interpretable (d o cu m en to .ase).
112
© RA MA
5 ■C R IP T O G R A F ÍA
I PRÁCTICA 5.3
CIFRADO DE DATOS Y PARTICIONES
La confidencialidad de los datos alm acen ad o s en una unidad es fund am ental, para ello vim os en el p rim er capítulo
a modo de ejem plo como W indows integraba un siste m a de encriptación denom inado E F S , que ap ortab a seguridad
en el acceso sólo solo perm itiéndoselo al usuario que realizaba la operación.
En e ste caso irem os un paso m ás ad elan te y verem os una aplicación para cifra r y ocultar en el ordenador datos
que el usuario considere re serv ad o s o confidenciales.
T rueC ryp t ofrece la posibilidad de c re a r discos virtu ales o ap ro v ech a r una partición ya e xiste n te para g uardar
ficheros cifrados, pudiendo esco g er en tre varios algoritm os de cifrado, com o A E S , S e rp e n t o Tw ofish, y d eterm inar
de qué capacidad será la unidad virtu al. Allí podrem os g uard ar cu alq u ier docum ento de form a seg u ra y cóm oda.
S e integra con el explorador de arch ivo s que usem os, es fácil de usar, perm itiendo cre a r hasta 32 unidades
d iferentes. Existen ve rsio n es para siste m a s operativos W indows, Mac OS X, y GN U /Linux.
1 . D e scarg a re m o s la aplicación y la in stalarem o s. En p rim er lugar podem os disponer de la herram ienta
traducida al español pulsando Settings / Language / Download Language Pack, d escarg a m o s un archivo
zip y lo d escom prim im os en la m ism a carpeta donde instalam os. Tras reiniciar la ap licación podrem os
se leccio n ar Settings / Language / Español.
yfcgha
► TiuoCiypl
Archvo
VoOmenr-i
Archrvo*-lavo
Merrormntas
—O
v^M
vP
^Q*
Ajustes
Ayuda
Tamafio
Un.
Encryptton algorthr'
Tpo
—U
T
Crear Vcáuwn
Votunen
□
3
H srr«n e n t« de vokjneo'
Auto-MonUr Undadei
Sebee. A/chr^oSetecc. Dopoubvo
I
Oesmcrtar Todo
2 . A continuación podrem os c re a r un volum en norm al (botón "C re a r V o lum en"), se leccionam os la opción
en un archivo, que se creará en la ubicación que seleccionem os (ind icarem o s un nom bre por ejem plo
v o lu m e n _cifra d o ). Entre las opciones de encriptación podrem os se leccio n ar en tre d iferentes algoritm os
pudiendo v e r una tabla com parativa con rendim ientos en procesos de encriptación y d esencrip tación.
113
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
& A i i i i r n i r |m r.i In C
© RA-M A
irnt Km i k
un V
Opciones de oicnp(ion
AigorCm m travacn
avhm(ftwóMt. p£fcrwd r\ l * W tr«c n»*f b»
litad Cv U -5 ÿ > * rr » rr t
«r<d açanon to {*of«I
dw«foá*Vormaeani 4 todia Top S t a * »»*^1 ."îC rti My.
bteO. M rtx/iái(A£S-¿56). Hade t f oc** «bon « ií>w
| <Att«n | jgart»>~1
Una vez seleccio nad o , elegim os el tam año de tu volum en cifrado y añ ad irem o s una co ntraseña lo m ás
segura posible.
fc Amtrnfi’ |Mf* Int ir
t
(«filfa'Uh Vdliimrn fluH lypl
j
*5<|j
C o n tr a ía la del V o lu m e n
C ortj«*A j
trmm
Car
[
Hvxrm arttm&é
r iM
ixhMit««
»
tí mjf n p o larva qjb tàu i n t u n t c c r f t M ^ i M m
«togr
cjj» contato* vdanwrt* in a palat»« Que m pueda *nccr t i » an
c r Axn>aro¿o\r^cu>«<jrw«Cr.dt:. J©« pdtt***) *to¿atm
o r ttrw t r r g / i no*i>* o fechat 4» n o M r to . «to fe b* tar f * 4 dr
t^ irw LUbjirj^orÍjBfl'M
i/rt a r r i r * m * *:«r i* Wr»<
M lW O Ji i, mruacUaa, fM w roi r r<r«lw «* m « M Íw . eor
0*000+1 - f * * r t c
S* reaswrvSe t
m» contraseña gu» lonast» en n i 4* 30
caacîeretkvwrtomi« la«®*. eiweer) U tagtud
» « « ■ A ir tH u ilC tim
Ayuda
<W *n
|
<feU
Carca!«
S eleccio n am o s el siste m a de ficheros (por ejem p lo : N TFS por defecto) y nos indicará a continuación que
el volum en ha sido creado.
3.
Para utilizarlo deb em o s m ontar una unidad con el archivo creado. Seleccio n am o s una unidad disponible,
por ejem plo K, y p ulsarem os el botón Seleccionar archivo, donde n aveg arem os hasta la ruta del archivo
creado para el volum en encriptado. Pulsarem os Montar y se nos pedirá nuestra co n traseñ a :
aj
i
h^l:
KI^Oi
*tfc
k*Q.
U»5:
*^U
I^V:
I^W.
a
tr ia fc
rp o
In lrm liirra C tn lr M ^ s pnr.i ( tflnrm neuti «md Scttlni^VAdmlrm
Cúnneterte |
Ace«*»
Cacfa ccnir a t*A i y mtti 4a-a an a
ría
Catxaáar
H>tfrare erti nefa
(
ijse » t c í m I m
| C V octaianb a d í* (» ig ilM « n t > a « 'v ^ r C«v<ar(t\H
Ccoonrs M orta»
«J
■»' ** í x i 9«ardar frrt erva
»torramartai d i roiutwn.
Auto-Morí* I N b d H
114
Iraypoor atgofttm
5aí*cc Ctapcnovo
*
5 ■C R IP T O G R A F ÍA
© RA-M A
Haciendo doble clic sobre la unidad a cced erem o s a nuestro volum en cifrado.
Archivo
Vcfcjmene*
UruJad
Ard«vos-lave
Herrarrwnt«
A)ustes
Ayuda
Tarrwo
Vakjmen
PégnaWeb
Cmypüon aijofthín
Tipo
^ 3
< # L:
'-'N;
*
I
lo c ilO I s k IK :)
Pie
[Jt
Vtew
f 3
Favor*»»
Toob
O
H *
B
fr
M * .
I
:B |v
Ule «ndtoJdcrr
0
¿ jG o
&
Wat
C ualq uier fichero que arrastrem o s hacia la unidad se guardará cifrado de form a tran sp are n te , y sin necesidad
de que teclees de nuevo la co n traseñ a (solo se te pide cuando m on tas la unidad ). Puedes utilizar tu volum en
cifrado Tru eC ryp t como otra unidad m ás de disco. Por últim o no olvidem os d esm o n tar el volum en, p ulsarem os
el botón Desmontar.
Es recom endable re a liza r copia de seguridad del archivo ya que en caso de borrarlo p erd erem os la inform ación
contenida en él.
CRIPTOGRAFÍA DE CLAVE ASIMÉTRICA
En este caso, cada usuario del sistema criptográfico ha de poseer una pareja de claves:
Clave privada: será custodiada por su propietario y no se dará a conocer a ningún otro.
Clave pública: será conocida por todos los usuarios.
Esta pareja de claves es complementaria: lo que cifra una solo lo puede descifrar la otra y viceversa. Estas
claves se obtienen mediante algoritmos y funciones matemáticas complejas de forma que por razones de tiempo de
cómputo, es imposible conocer una clave a partir de la otra.
Los sistemas de cifrado de clave pública se basan en funciones resum en o funciones hash de un solo sentido
que aprovechan propiedades particulares, por ejemplo de los números primos. Una función de un solo sentido es
aquella cuya computación es fácil, mientras que su inversión resulta extremadamente difícil.
Por ejemplo, es fácil multiplicar dos números primos juntos para obtener uno compuesto, pero es difícil factorizar
uno compuesto en sus componentes primos. Una función resumen o hash de un sentido es algo parecido, pero tiene
una simplificación o atajo, si se conoce alguna parte de la información, sería fácil computar el inverso. Por ejemplo,
si tenemos un número compuesto por dos factores primos y conocemos uno de los factores, es fácil computar el
segundo.
Algunos de los algoritmos empleados como funciones resumen o hash son MD5 y SHA.
115
© RA-M A
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
PRÁCTICA 5.4
FUNCIONES RESUMEN (HASH)
En la siguiente práctica vam os a an alizar la integridad de un archivo descargado m ediante la com probación de
su valor resum en calculado. En m uchas ocasiones las web de los fabricantes originales m uestran junto a su archivo
de instalación el valor resum en calculado, con el que podremos verificar tras d escarg ar el archivo de instalación su
integridad o que no ha sido modificado o es una falsificación.
En el ca so de GIMU/Linux podem os em p le ar el com ando m d5sum nom b red earchivo y nos ca lcu la rá el valor
re su m en MD5, pudiendo contrastarlo con el valor del fab ricante. Para W indows existe la posibilidad de d escarg ar
una pequeña aplicación m d 5 su m .ex e.
Si e je cu ta m o s: m d5sum D ocum ento.txt.
A la salida nos m ostrará: 8 6 3 7 2 1 4 9 c 8 6 7 6 7 b 4 e f3 2 0 9 6 1 2 e la 2 7 2 e *D o cu m e n to .tx t
En caso de querer ve rifica r el resultado au to m áticam en te cre are m o s un archivo .m d 5: m d5sum D ocum ento.txt
> N om bredelH ASH .m d5
Para ve rifica r la integridad del arch ivo : m d5sum -c N om brede!H ASH .m d5
Si el archivo no ha sido m odificado m o stra rá: D o cum ento.txt: OK
Si el archivo ha sido m odificado: D ocu m en to .txt: FA ILED
m d 5 su m : W ARN ÍN G: 1 of 1 com puted checksum
did NOT m atch
El tamaño de la clave es una medida de la seguridad del sistema, pero no se puede comparar el tamaño de la clave
del cifrado simétrico con el del cifrado de clave pública para medir la seguridad.
En un ataque de fuerza bruta sobre un cifrado sim étrico con una clave del tamaño de 80 bits, el atacante debe
probar hasta 2SÜ- 1 claves para encontrar la clave correcta.
En un ataque de fuerza bruta sobre un cifrado de clave pública con una clave del tamaño de 512 bits, el
atacante debe factorizar un número compuesto codificado en 512 bits. La cantidad de trabajo para el atacante será
diferente dependiendo del cifrado que esté atacando. Mientras 128 bits son suficientes para cifrados simétricos, dada
la tecnología de factorización de hoy en día, se recomienda el uso de claves públicas de 1024 bits para la mayoría
de los casos.
La mayor ventaja de la criptografía asimétrica es que se puede cifrar con una clave y descifrar con la otra, pero
este sistema tiene bastantes desventajas:
Para una misma longitud de clave y mensaje se necesita mayor tiempo de proceso.
Las claves deben ser de mayor tam año que las simétricas.
El m ensaje cifrado ocupa más espacio que el original.
116
© RA-M A
5 ■C R IP T O G R A F ÍA
Herramientas software como PGP o en comunicaciones TCP/TP, protocolos como SSH o la capa de seguridad
TLS/SSL, utilizan un cifrado híbrido formado por la criptografía asim étrica para intercam biar claves de
criptografía sim étrica y la criptografía sim étrica para la transm isión de la información.
Algunos algoritm os de técnicas de clave asimétrica son:
Diffie-Hellman, RSA, DSA, ElGama.1. criptografía de curva elíptica.
Algunos protocolos y software que usan los algoritmos antes citados son:
DSS (Digital Signature Standard) con el algoritmo DSA (Digital Signature Algorithm).
PGP y GPG, una imple mentación de OpenPGP.
SSH, SSL y TLS.
CRIPTOGRAFÍA HÍBRIDA
El uso de claves asimétricas ralentiza el proceso de cifrado. Para solventar dicho inconveniente, el procedimiento
que suele seguirse para realizar el cifrado de un mensaje es utilizar un algoritm o de clave pública, más seguro,
tan solo empleado para el cifrado en el envío de una pequeña cantidad de información: por ejemplo una clave simétrica,
junto a uno de clave sim étrica, para el cifrado del mensaje, reduciendo de esta forma el coste computacional.
A modo de ejemplo describiremos un proceso de comunicación seguro:
Ana y Bernardo tienen sus pares de claves respectivas.
Ana escribe un m ensaje a Bernardo. Lo cifra con el sistema de criptografía de clave sim étrica.
La clave que utiliza se llama clave de sesión y se genera aleatoriamente. Para enviar la clave de sesión
de forma segura, ésLa se cifra con la clave pública de Bernardo, utilizando por lo tanto criptografía de clave
asim étrica.
Bernardo recibe el mensaje cifrado con la clave de sesión y ésta misma cifrada con su clave pública. Para
realizar el proceso inverso, en primer lugar utiliza su clave privada para descifrar la clave de sesión.
Una vez ha obtenida la clave de sesión, ya puede descifrar el mensaje.
Con este sistema conseguimos:
C onfidencialidad: solo podrá leer el mensaje el destinatario del mismo.
Integridad: el mensaje no podrá ser modificado.
Pero todavía quedan sin resolver los problemas de autenticación y de no repudio.
117
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
© RA-M A
PRÁCTICA 5.5
C IF R A D O A S IM É T R IC O
1. Em p le are m o s gpg para la generación de un par de claves para cifrado asim étrico m ed ian te: gpg --g en -key
D urante el proceso de generación se nos irán haciendo d iv ersa s preg u ntas, com o el tipo de cifrado que querem os
utilizar, la intensidad de cifrado, la fecha de expiración de la clave en cuestión y nuestro nom bre y apellidos así
com o una dirección de correo, que es lo que va a constituir el U S E R ID .
Nos va a b asta r con acep tar las opciones que ya vienen por defecto, ya que en la m ayoría de los caso s é sta s son
ap rop iad as:
Tipo de cla ve s, la prim era opción (D SA and E IG am al) que nos perm ite en crip tar y firmar.
Tam año de las claves que se puede elegir en tre 1024 y 4 0 9 6 bits. Por defecto se recom ienda 2 0 4 8 , a m ayor
tam año m ás segura es la clave y m ayor el tiem po de cóm puto al e n crip tar y desencriptar.
Tiem po de validez querem os que tenga la cla ve . Por defecto vien e la opción 0 que es que no caduque nunca.
En el caso de poner que cadu q ue al cabo de cierto tiem po habrá que volver a g en erar las clave s y volver a
m an d a r la nueva clave pública a aq uellos que usaban la que ha caducado.
Último p aso, g en era r la clave , se nos va a p reguntar por una fra se de paso o p assp h rase, es decir, una
co n traseñ a. Esta co n traseñ a nos va a aseg u ra r que nadie m ás que nosotros m ism os va a poder u sar esta clave
GPG, por lo que es im portante eleg ir una co n traseñ a fuerte y difícil de adivinar, pero que sea lo su ficien tem ente
clara para nosotros como para no olvidarla, puesto que si esto su ced e no podrem os volver a utilizar m ás la
clave gpg relacionada.
Cuando se produce el proceso de g eneración de las claves es buena ¡dea reproducir m p3, m over el rató n ... , para
que se generen núm eros aleatorios y se creen an te s las claves.
Si es la prim era vez que se eje cu ta nos crea un directorio en el que g uardará el fichero de configuración así como
los archivos secring.gpg y pubring.gpg. En el prim ero se alm a cen a ran las cla ve s privadas y en el segundo las
cla ve s públicas.
Para ver las cla ve s públicas que tenem os disponibles hay que hacerlo con el com ando gpg --list-k eys o gpg -k.
Esto lo que haces listar las cla ve s que hay disponibles dentro del ñchero pubring.gpg. En el ejem p lo podem os
ver 1 clave pública disponible, el identificador de cada clave (C la v e ID ) es el núm ero que ap a rece d esp ués de
1024D al hacer gpg --list-k e ys, en nuestro caso 5 D 1 0 B E F 4 .
Ls necesario qcnertr mjctxn byte» aleato ri» » , Es un« tu rn a ì-iea r e t i u a r
alguna o tra tarea (tra b a ja r r r o tra ventana/consola. aover el ratón, m ar
la red y los discos) durante la 9eneracl6n de Rutero» prUo». C iro da al
generador de nuatros a leatorios aayor oportunidad de recoger s u flc ie fttr
entropía
gp9 /root/.gnupg/trustdb .gpg: se ha creado bave a* «utos de confjan/a
gpg clave VIOBfF« Barcada cama de confianza absoluta
claves publica y »ecreta creada» j firmada»
gpg. coaprobando base de dato» de confianza
gpg 1 dudo»a(s) necesarias. 1 caapletal») necesarir».
aodelo de confianza PC#
gpg: n iv e l; i validez:
1 firmada:
• confianza:
aq. dn, da, t í . lu
pub
i«7«D/J01tttra » 1 1 12 13
Huella de clave - te*« bj*¿ AA*e « m : ci»7 ttdC 2At? c a n t t i « m m
uld
Jesús costas Santo» Ibeneracion de claves para cifra d o asía
t in c o ) «jeuiM P"all.co*»
suft
M7 M U 12 13
roo(fi.t>unru:/TMryaluBno/t>ocuamtc^i/Cnofiden<iala gpg
«
/roo!/ gnupg/putring.gpg
pub
1»240/U>1M(M 201« U-15
uld
Jesús Costas Santos (Generación de claves para cifra d o asiae
t r lc o l <Jeaus#Biil cok*
»ub
mag/620Ar?37
ia 12-is
118
© RA-M A
5 ■C R IP T O G R A F ÍA
Para ve r las claves privad as que tenem os disponibles hay que hacerlo con el com ando gpg —list-secre t-k eys. Esto
lo que h aces listar las cla ve s que hay disponibles dentro del fichero secring .g pg .
S e llam a anillos a los archivo s en los que se g uardan las cla ve s públicas y las p rivad as. Si se quiere borrar alguna
clave prim ero hay que borrar la clave privada y después la pública. Para borrar cla ve s privad as se hace con el
com ando gpg --d elete-secre t-k ey C la v e lD . Para las claves públicas se h ace con el com ando gpg --d elete-key
C la v e ID
Copia y distribución de cla ves
Una ve z g en erad as las c la v e s, para que el resto de personas y en tidades puedan com probar nu estros m e n sa je s
firm ados, tenem os que darles nuestra clave pública. Esto se puede hacer de va ria s m an e ras:
1. Subiéndola a un servid o r de cla ve s públicas. Los se rvid o re s de cla ve s suelen están interconectados,
es decir, que subiendo la clave a un servidor, el resto ya tiene conocim iento de la existen cia de nuestra
nueva cla ve . El se rvid o r pgp de rediris puede se r usado para este propósito. La orden a te cle a r para rem itir
nu estra clave e s:
gpg --se n d -ke ys --k e y se rv e r p g p .re d iris.e s C lav e lD .
Para hacer una búsqueda de cla ve s públicas, de en tidad es o usuarios con los que queram os com unicarnos
o verificar un m e n sa je recibido de eé sto s: gpg --k e y se rv e r N om b reD elServid or —se a rch -k e y s C lav e lD .
Para bajarnos dicha clave pública: gpg --k e yse rve r N om b reD elServid or —re cv-k e ys C la v e lD
2.
Enviándola por correo o dándola en un soporte portable (U S B , C D /D V D , e tc .), m edíante un fichero. Si tan
sólo solo q u erem o s que no sea de dom inio tan público sino que sólo solo unos pocos tengan conocim iento
de nuestra cla ve público, para ello d eberem os volcar esta clave a un fichero de texto. El com ando para ello
podría re alizarse de 2 form as:
gpg
- -arm o r - - output ficherodeclave - - export C la v e lD
E s im portante ten er una copia aparte de nuestra clave privada, para que en caso de d e sa stre inform ático o
pérdida de datos podam os recu p erarla. Para exp o rtar la clave privada a un fichero y poder tener una copia de
se g u rid ad : gpg --arm o r --output fichoedeclave --e xp o rt-se cret-ke y C lav elD
D esp ués de em p le ar el m étodo de distribución deseado, el com ando a e je cu ta r en la m áquina d estin ataria para
im portar una clave volcada en un fichero, e s: gpg - - import ficherodeclaves
E lim in ar claves distrib uid as en servid o res
Si se ha olvidado la co n traseñ a o hem os perdido la clave p rivad a, o consideram os que se encuentra en estado
com prom etid a, podem os g e n e ra r un certificad o de revocación y subirlo a un se rvid o r de claves. S e recom ienda
cre a r este certificado al cre a r las cla ve s ya que al final del proceso de generación se pide la co n traseñ a. Esta
clave ha de g u ard arse en un lugar seguro ya que si alguien la obtuviese podría revo car nu estras cla ve s y d e ja rlas
inutilizadas. La orden para gen erar este certificado e s: gpg -o re vo cacio n .a sc --g en -revo ke C la v e lD
Si q uerem os revo car una clave hay que im p ortar el fichero que tiene el certificado de revocación, una ve z revocada
la clave ya no podem os cifrar m e n saje s au nq ue si se pueden desencriptar.
Para im portar a nuestra relación de cla v e s: gpg --im port re vo cacio n .a sc
119
© RA-M A
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
Archivo EdrtJM
JrtTrUnai Ayycto
Necesita un« frase contraseña para desbloquear la clave secreta
del usuario: •Jesús Costas Santos (Generación de claves para cifrado o siaetrico ) «Jesús#
miX.com>'
clave DSA de 1924 b it s , ID S0196EF4. creada e l 7016 12-13
se fuerza salid a con armadura A SCII.
C ertificado de revocación creado.
Por favor consérvelo en un sedlo que pueda esconder; s i alguien consigue
acceso a este ce rtificad o puede usarlo para in u t iliz a r su clave.
Es inteligente ía p rla ir este c e rtific a d o y guardarlo en otro lugar, por
s i acaso su ardió resulta iaposlble de le e r. Pero precaución: ie l slsteaa
de íapresión de su Boquina podría alw cenar los datos y hacerlos accesibles
a o tras personasl
root(iubuntu:/hoae/a\uano/Oocuaentos/Confidenciale gpg
taport revocación.ase
gpg: clave Í019B6F4: "Jesús Costas Santos (Generación de claves para cifrado asimétrico)
<]esus# uil.co s> * ce rtificad o de revocación 1aportado
gpg Cantidad to tal procesada: 1
gpg:
nuevas revocaciones de claves: 1
gpg; 3 dudosa(s) necesarias, i coapleta(s) necesarias,
aodelo de confianza pop
gpg: n iv e l: 9 valid e z:
1 tim ada:
9 confianza: 9 -, 8q. 9n. 9a. 9 f. lu
root£ubuntu:/hoae/ali*vio/l>ocuaentos/Confidenclol# cat revocación.ase
BÉGIH POP PUBLIC KEY BIOCK...........
Versión: GnuPG v i . 4.9 (fM IA Jm ix)
Co—rn t ; A revocation c e rt ifíc a te should fo lio *
lEk£IB£CAAlcFAk9]KosCHOHACgkQKvUSV9CvvTB>ACgioKCx3SnXltOSkuwnwÍl
Et7WCycAnJf4*0ulQ3F0pu2íPftpdpaJCbkU
-44 ?n
----- LHD POP PUBLIC KTY BlOOC...........
roottubuntu:/hoae/aluano/Docuaentos/Confideftciala gpg -k
t root/ . gnupg/pubring. gpg
pub
Í9240/»198£F4 2919-12-15 (revocada: 2919 12-13)
uid
Jesús Costas Santos (Generación de claves para cifrado asiaetrico )
<JelllSfMlil.COM>
Com o vem o s en la Figura an te rio r al listar el listado de cla ve s, m uestra la fecha de revocación.
El últim o paso es com unicar a los servid o res de cla ve s que nuestra cla ve ya no es válid a, con la o rden : gpg
—k e y se rv e r N om breD elServidor --se n d -k e ys C la v e lD . Tras re alizar dicha operación podem os b uscar y v e r el
estad o del certificado en el se rvid o r público de certificados.
S e a r c h r e s u lt s fo r 'je su s
co sta s’
loot von Tied)
Se rvrr - Get
Arrfuvo Efftt*
£
Hijfon*
Uarcadom Mtrramtercat
0*?a*7c4*35dl0tJirta ••. iñojfíl* r\i**ò*
a
« hnp.'/pgprertnves in7l4*sAoo»tup»of>*get&sejrth».to2Af2C4t5i0109
v
,|Q *
' MAsviSitadov'- ^Oetl/ngStarteo ..'Lates* Mea^i-nes*
P u b lic K ey S e r v e r -- G et " 0 x 2 a e 2 c 4 e 5 5 d l0 b e f 4 "
rtX
l««)
j»yx*A
O
Vl»
tfO
ftT
*T
p.tb
r<9*oTuirT
«fO
r*M
i*«jtlh
*«
?IlMtN
<
x47c)ti7M
CU
^«£«*PX
i!O
/..n
fc*afa
jo*:9r»
r.*
toi«
*%
«rf*
oruja?pw
icK
)r»
#uC
N
z^O
fuCrtu
ZTnftCpMU«VK«VtlpSI {I SOAkrbCVfy'Atu.MadwC^BJufl/Mxa^O/caZmOU f •sa»0
I *OMOClMoV)VljMu»nOrtMf4jKV73r«taPr<aMS]ZC/llMM7»tM»iW»Vim.«»o?rVe
I <ASrpOJ*VVtp)0*|*flSJ]»dlptS#,,*u«rtF#AylU^M0-B9Gl*£«r./t!a2.rtft3*5ri£l
e
i
at k rvot r »w»c • i d tyttac. «/1va \» •j t jm i ztiatíw n i ra u ; i ovTfcn J«*yr
I Af4r^«!«rt7^CWa7«J07lrrrr4/vxlvaMa/(«VWW%nAVVaa»i^irftf«vXAvivV^«7i\#
FIRMA DIGITAL
U na de las principales ventajas de la criptografía de clave pública es que ofrece un método p ara el desarrollo de
fir m a s d ig ita les. La firma digital perm ite al receptor de un m ensaje ver ifica r la a u ten ticid a d d el o rig en d e la
in fo r m a c ió n así como verificar que dicha información n o ha sid o m od ificad a desde su generación. De este modo,
la firm a digital ofrece el soporte para la au ten tica c ió n e in tegrid ad de los datos así como para el no rep u d io en
o r ig e n , ya que la persona que origina un m ensaje firm ado digitalm ente no puede arg u m en tar que no lo hizo.
U na firm a digital está destinada al mismo propósito que lina m anuscrita. Sin embargo, una firm a m anuscrita es
sen cilla de falsificar m ientras que la digital es imposible m ientras no se descubra la clave privada del firm ante.
120
© RA-M A
5 ■C R IP T O G R A F ÍA
La firm a digital es un cifrad o d el m en saje que se está firm ando pero utilizando la cla v e p riv a d a en lugar de
la pública.
Sin embargo, ya se ha comentado el principal inconveniente de los algoritmos de clave pública: su lentitud que,
adem ás, crace con el tam año del m ensaje a cifrar. Para evitar este problema, la firm a d ig ita l es el resultado de cifrar
co n cla v e p rivad a el resu m en d e los d a to s a firm ar, haciendo uso de fu n cio n e s resu m en o h ash.
A modo de ejemplo: Ana y B ernardo tienen sus pares de claves respectivas.
Ana escribe un mensaje a Bernardo. Es necesario que B ernardo pueda verificar que realm ente es Ana quien ha
enviado el mensaje, por lo tanto, Ana debe enviarlo firmado:
1. Ana resum e el m ensaje o datos m ediante una función ha,sh.
2. Cifra el resultado de la función hash con su clave privada. De esta forma obtiene su firm a d igital.
3. E nvía a B ernardo el m ensaje original junto con la firma.
B ernardo recibe el m ensaje junto a la firma digital. Deberá comprobar la validez de ésta para d ar por bueno el
m ensaje y reconocer al autor del mismo (integridad y autenticación).
4. Descifra el resum en del m ensaje m ediante la clave pública de Ana.
5. Aplica al m ensaje la función hash para obtener el resumen.
6.
Com para el resum en recibido descifrado, con el obtenido a p artir de la función hash. Si son iguales, B ernardo
puede e sta r seguro de que quien ha enviado el mensaje es Ana y que éste no ha sido modificado.
Firma Digital
Comprobación de una Firma
I iq r jo n ,ic7]
/
jionoonoiot]
’•U11001wJtOT
CüówDltW.
Si lo« c ó d g o t h art conddan la Rrma o » vài*da
Mecánica de la generación y comprobación de una firm a digital.
Con este sistem a conseguimos:
A u ten ticación : la firm a digital es equivalente a la firma física de un documento.
Integridad: el m ensaje no podrá ser modificado.
N o rep u d io en origen: el em isor no puede negar haber enviado el mensaje.
121
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
PRÁCTICA 5.6
F IR M A D IG IT A L DE UN DOCUM EN TO
La firm a digital de un docum ento se com pone del cifrado con nuestra clave privada del valor resu m en calculado
con una función hash de un m en saje o archivo. Existen d iversos m odos de envío de d ocum entos firm ados,
docum ento + firm a en un solo archivo cifrado, o docum ento y firm a en arch ivo s sep arad os. Los p arám etros de
gpg para obtener la ñrm a digital de docum entos son los sig u ien te s:
clearsigrr. se une la firm a digital al contenido del archivo, el cual no se cifra.
s : se une la firma digital al contenido del archivo, el cual se cifra con la clave privada, como resultado tenem os
un archivo binario. S e em plea para firm ar archivo s binarios, com prim idos, e je cu tab le s, etc.
b\ firm a y m e n sa je están contenidos en archivos sep arad os.
A m odo de ejem plo podem os re a liza r: gpg -- clearsig n docum ento, tendrem os a la salida un archivo docum ento,
ase, donde el contenido no está cifrado y se en cuentra firm ado digitalm ente al final, entre begin y end pgp
sígnature.
Para ve rifica r la valid ez de las firm as digitales em p learem o s la opción - -verify, teniendo en cuenta que la entidad
o usuario que quiera re alizar la com probación de nuestra firm a deberá ten er nu estra clave pública disponible, es
d ecir im portada p reviam ente.
En la figura vem os d esp ués de e je cu ta r: gpg -b - a docum ento, generando de este modo una firm a sep arad a del
d ocum ento, denom inada d o cum ento.ase, una verificación de dicha ñrm a.
root@ubuntu:/Hoae/aluano/Docuaentos/Confidenclal* cat documento.ase
..........BEGIN PGP SIGNATURE Versión; GnuPG v i . 4.9 IGNU/Limix)
lEYEABECAAYFAI(0JM/HftCgkQtyTKi(R}582vHQACl36*+NAx7YNMIlvAgirtjakop«7E
KDUAn31zmfO(lqMqCBrlhHOesbvw4kv
=9U«r
•
ENO PGP SIGNATURt
root<M><intu:/hoaw/aluwio/Docui»entos/Conf ¡dencial» gpg -ve rify documento.ase
gpg: Firmado e l « l í 15 dlc 2818 22:32:35 CET usando clave OSA ID 18F9FJ6B
gpg: F in « correcta de 'Jesús Costas 2 (Generación de claves 21 «Jcostas$nall .c a o *
CERTIFICADOS DIGITALES
Según puede in terp retarse de los apartados anteriores, la eficacia de las operaciones de cifrado y firma digital
b asa d as en criptografía de clave pública solo está garantizada si se tiene la certeza de que la clave privada de los
u su ario s solo es conocida por dichos usuarios y que la pública puede ser dada a conocer a todos los dem ás usuarios
con la seguridad de que no exista confusión entre las claves públicas de los distintos usuarios.
P a ra g aran tizar la u n icid a d d e las cla v es p rivad as se suele recurrir a so p o rtes físico s tales como tarjetas
in telig en tes (SrnartCcirds) que g aran tizan la imposibilidad de la duplicación de las claves. Además, las tarjetas
criptográficas suelen estar protegidas por un núm ero personal o PIN solo conocido por su propietario que garantiza
que, aunque se extravíe la tarjeta, nadie que no conozca dicho núm ero podrá hacer uso de ella. Como caso particular
encontram os el DNI electrónico o DNIe.
122
© RA-M A
5 ■C R IP T O G R A F ÍA
Por otra parte, para asegurar que u n a determ inada clave pública pertenece a un usuario en concreto se utilizan
los c e rtifica d o s d ig ita le s o d o cu m en to e le c tr ó n ic o q ue a so cia u n a cla v e p ú b lica con la id e n tid a d de su
p ro p ieta rio .
En general un ce rtifica d o d igital es un a rc h iv o que puede em plear un software para firm ar d ig ita lm en te
a r c h iv o s y m e n sa je s por ejemplo de correo electrónico, en los cuales puede v e r ific a r s e la id e n tid a d d el
firm an te.
Como ejemplo encontram os los certificados digitales que identifican a personas u organizaciones, y que contienen
información sobre u na persona o entidad, nombre, dirección, m a il, el ám bito de utilización de la clave pública, las
fechas de inicio y fin de la validez del certificado, etc., así como una clave pública y una firm a digital de una autoridad
certificadora u organismo de confianza, en E spaña La Casa de la Moneda y Timbre. E n el apartado siguiente veremos
la im portancia de las autoridades certificadoras.
El formato están d ar de certificados digitales es X.509 y su distribución es posible realizarla:
Con clave privada (suele tener extensión *.pfx o * .p l 2 ) más seguro y destinado a un uso privado de exportación
e im portación posterior como método de copia de seguridad.
Solo con clave pública (suele ser de extensión *.cer o *.crt), destinado a la distribución no segura, para que otras
entidades o ususarios tan solo puedan verificar la identidad, en los archivos o m ensajes firmados.
irfti r'ji
:
E n tre las a p lic a c io n e s de los certificados digitales y el DNIe encontram os, realizar com pras y comunicaciones
seguras, como trám ites con la banca online, con la adm inistración pública (hacienda, seguridad social, etc.) a través
de Intern et, etc.
I PRÁCTICA 5.7
U T IL ID A D E S DE C E R T IF IC A D O S
Los certificados digitales son de gran utilidad hoy en día y nos sirven principalm ente para g aran tizar la autenticidad
y g en erar confianza de m e n sa je s, inform ación y sitios web, en tre otras ap licacion es.
1 ) En prim er lugar an alizare m o s com o una visu a liza d ó n del certificado digital nos puede se rv ir para ate stig u ar
la veracid ad de un sitio w eb:
En los n aveg adores web, cuando visitam os sitios web seguros (h ttp s) que poseen form ulario de envío de
cred en ciales o de datos privados que deben s e r enviados de form a seg ura, se m uestra un candado en la
parte inferior derecha del navegador. Pulsando sobre él podrem os ve r su certificado digital, así com o la
entidad certificadora.
123
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
C
hW
Wtp* f/kon.rehee t<wV<orAQ/bflr_»«#yZ7.rwl-««6LWC-iwi
O<o
«UMttttf
M ir a d o « t f C u rtan » Iré* t * firm
/ * »«V«A—í *<
■ V x n o p f.
H .l 'Ti L1t / |XÍI^.É~
Introduce tu*
datos.
Ganard MMftn
i
¿ ÍA n piaMfMo/ l i
rvcprtaro
i ClMWMlO
(«ir Mila wrb n
1 p*>iCAwa4o
Iqufw
inai rie t r f l lindo* 'le fio yihoo
i frr cartftado |
I i l r <r r tfk aóo Sa itdo vfrtk td o para Im iiq u m ln u
CartfeatodtfMiYidor 3*.
•*«&• cuta (CH)
0rgancacbn(0 )
rfl^oona»
r^oo' Ine
undad
a*iú*c
A«9j«rdadMj
(00) »af»»
(mudo par
NanfcracomnfOO
Orgarcaaóft(O)
tgjfa»
it*ladc»>3rt?Jí)o(Cv»
Vaftdo/
iacura Carlini* *otfcr*>
L iA to «
OI/OlfHX*
tjvrarf
04/01/2011
*jrfad0Ld5Mál
tl.01.SC4F'9fr9'A& Ce.jDA.tt:¿» ¿0CO.IV 9» WffcW.lM*
Bi<*4r£MfciC9fc2Ci3h(ci?
rajrfadgtrfMD*
¿.No oenei O de Vaheo»?
2 ) Los certificados personales o de entidad pueden se r instalados en el siste m a operativo, en ap licaciones
como naveg ad ores web o clientes de correo electrónico, para posibilitar acceso s a páginas web seg u ras y
cifrar m e n sa je s, elim inando el uso de cre d e n ciale s escritas por teclado. A continuación ve m o s las opciones
de Mozilla Firefox; en su pestaña A vanzado podem os v is u a liz a r los ce rtificad o s in sta lad o s y re a liza r
accio nes de exp ortacion es o v e r sus atributos.
lita r M u t u ile « ! «
IM /IN A i ÍID 6 4 ? f/ I t W «V IA IO K I f lf U f
NCH»t COSTA? 5AKT05 X5U5 -*Gf Í7XT40V»
Car«lóate
GjanJo in Mr*úor rmx—é nacart#«ate parvrat
'jttM cnam ajta^luwl«
•>
[urt»4»trrocaoiJn I | g^diodo ] Itepo«»««da«a?sttad
A
A nno
r [rVcr^anon Oí ta dma piMta ód * 4*0
álQcrtmo 0* U dava pübkca M «usto
Om p i H u M m *
- U m cm
tm mtn
dtf aui lo M carffKato
ftatenreor«* ^fcncai da cartfkads
ldertf acador di obm C? S3 lt)
U lu o o n da ki d a * da cwrttcado
___
P**Ua <1024
a4 M ">1 *1 N I I TI kl n b< H « k ) >i
?» V» 1| s í fe-a «I ft I» 1« r «7 >a >« 01 I
¿« 1« «.« ©I a» «•' t* C1 ■
»* S> •> Tl al ti I
t i 11 <! 4< la K (« n 14 ) ) 4t O i ;
f* «* n c* M CO l ' *: fa A •> 44 I I 43
t : » k I I t« ce 71 » 14 I I cO ic kf Oa i
4a U <1 l i C la 04 >1 ta kl ta 10 k+ «*
1( «4 IV * tO <1 «a » M >4 i l I I X 1« i
I
124
jg
© RA-M A
S ■C R IP T O G R A F ÍA
TERCERAS PARTES DE CONFIANZA
U na vez definido el concepto de certificado digital se plantea una duda: ¿cómo confiar si un determ inado certificado
es válido o si está falsificado? La validez de un certificado es la confianza en que la clave pública contenida en el
certificado pertenece al usuario indicado en el certificado.
La m anera en que se puede confiar en el certificado de un usuario con el que nunca hemos tenido ninguna relación
previa es m ediante la c o n fia n za en te rce ra s partes.
La idea consiste en que d os u su a r io s p u ed a n con fiar d ir ecta m en te e n tr e sí, si am bos tien en re la c ió n con
u n a tercera p arte y q u e é sta p u ed e dar fe de la fia b ilid a d d e los dos.
La necesidad de una Tercera P arte Confiable (TPC o TTP, Trusted Third Party) es fundam ental en cualquier
entorno de clave pública de tam año considerable debido a que es im pensable que los usuarios hayan tenido relaciones
previas antes de intercam biar información cifrada o firmada. Además, la mejor forma de perm itir la d istrib u ció n
d e la s cla v e s p ú b lica s (o c e rtifica d o s d ig ita le s) de los distintos usuarios es que algún agen te, en quien todos los
usuarios confien, se encargue de su publicación en algún repositorio al que todos los usuarios tengan acceso.
En conclusión, se podrá tener confianza en el certificado digital de un usuario al que previam ente no conocemos
si dicho certificado está avalado por una tercera parte en la que sí confiamos. La form a en q u e esa tercera p a rte
av a la ra q u e el certifica d o e s de fia r es m ed ía n te su firm a d ig ita l sob re e l certificad o.
Por tanto, podremos confiar en cualquier certificado digital firmado por una tercera parte en la que confiamos. La
TPC que se encarga de la firma digital de los certificados de los usuarios de un entorno de clave pública se conoce con
el nombre de A u torid ad d e C ertifica ció n (AC).
El modelo de confianza basado en Terceras P artes Confiables es la base de la definición de las In fra estru ctu ra s
de C lave P ú b lica (ÍCP o PKI, Public Key Infrastructures), formado por:
Autoridad de certificación (CA): em ite y elimina los certificados digitales.
Autoridad de registro (RA): controla la generación de los certificados, procesa las peticiones y com prueba la
identidad de los usuarios, m ediante el requerim iento de documentación de identificación personal oportuna.
Autoridades de repositorio: alm acenan los certificados em itidos y eliminados.
Software para el empleo de certificados.
Política de seguridad en las comunicaciones relacionadas con gestiones de certificados.
DOCUMENTO NACIONAL DE IDENTIDAD ELECTRÓNICO (DNIE)
El Documento Nacional de Identidad (DNI), emitido por la D irecció n G en eral d e la P olicía (Ministerio del
Interior), es el documento que acredita, desde hace más de 50 años, la identidad, los datos personales que en él
aparecen y la nacionalidad española de su titular.
Con la llegada de la Sociedad de la Inform ación y la generalización del uso de In tern et se hace necesario adecuar
los mecanismos de acreditación de la personalidad a la nueva realidad y disponer de un instrum ento eficaz que
traslad e al mundo digital las m ism as certezas con las que operamos cada día en el mundo físico y que, esencialm ente,
son:
A creditar electrónicam ente y sin posibilidad de duda, la identidad de la persona.
F irm ar digitalm ente docum entos electrónicos, otorgándoles una validez ju ríd ica equivalente a la que les
proporciona la firma m anuscrita.
125
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
Para responder a estas nuevas necesidades nace el D ocu m en to N a cio n a l d e Id en tid a d e le c tr ó n ic o (DNTe),
sim ilar al tradicional y cuya principal novedad es que in corp ora un p eq u e ñ o circ u ito in teg ra d o (chip), capaz
de guard ar de forma segura, m ediante medidas específicas de seguridad para im pedir su falsificación, información
en formato digital como:
Un certificado electrónico para autenticar la personalidad del ciudadano.
Un certificado electrónico p a ra firm ar electrónicam ente, con la m ism a validez ju ríd ica que la firm a
m anuscrita.
Certificado de la Autoridad de Certificación emisora.
Claves para su utilización.
La plantilla biom ètrica de la impresión dactilar.
P ara la utilización del DNI electrónico es necesario contar con determ inados elementos:
H ardw are específico: lector de tarje ta s inteligentes que cum pla el están d a r ISO-7816. E xisten d istin tas
implementaciones, bien integrados en el teclado, bien externos (conectados por ejemplo vía USB).
Software específico: m ediante controladores o módulos criptográficos que perm itan el acceso al chip de la
tarjeta y, por tanto la utilización de los certificados contenidos en él. En Windows es el servicio Cryptographic
Service Provider (CSP). y en los entornos GNU/Linux o MAC el módulo criptográfico se denom ina PKCS#11.
REFERENCIAS WEB
Web especializada en aplicaciones de seguridad y criptografía:
http:I I www.kriptopolis.org/
Taller de criptografía:
http:! / www.cripto.es/
Libro electrónico sobre criptografía avanzada:
http: / / www. criptored. upm .es/guiatcoria /gt_m001a. htm
Web de la Fábrica Nacional de M oneda y Tim bre, A utoridad de Certificación y expedición de certificados
digitales:
http: / / www.eert.fmnt.es /
Cam erfirm a. Web de las cám aras de comercio con información sobre certificados digitales:
http:! / www.cam erfirm a.com !
Web del DNI electrónico. M inisterio del interior:
http :/ / www.dnielcctromco.es !
Información práctica sobre el DNI electrónico:
http :! ! www.dnielectronico.eu!
126
© RA-M A
S ■C R IP T O G R A F ÍA
RESUMEN DEL CAPITULO
Desde los orígenes de la hum anidad los mensajes que se transm itían se han intentado realizar de
tal modo que no se pudieran entender por cualquier persona que lo interceptara. La crip tografía , arte
o ciencia de cifrar y descifrar información m ediante técnicas especiales, se em plea frecuentem ente para
perm itir un intercambio de m ensajes que solo puedan ser leídos por personas a las que van dirigidos y que
poseen los medios para descifrarlos.
El cifrado es el proceso de convertir un texto plano en uno ilegible, denominado texto cifrado. Existen
dos métodos criptográficos, principalm ente:
C rip tografía sim étrica: con una m ism a clave para cifrar y descifrar mensajes. Im plem entada en
algoritm os como DES, 3DES, Blowfísh e IDEA, RC5 y AES.
C rip tografía asim étrica: cada usuario posee u na pareja de claves, una clave privada que no se
d ará a conocer, y u n a clave pública que será conocida por el resto de los usuarios con los que quiera
comunicarse. Im plem entada en algoritm os como Difííe-Hellman, RSA, DSA, ElGamal.
Alguna de las a p lic a c io n e s a c tu a le s de la criptografía sim étrica, por su m enor coste computacional,
es el envío y recepción de m ensajes largos o el cifrado de sistem as de ficheros.
H erram ientas software como PGP o en comunicaciones TCP/IP, protocolos como SSH o la capa de
seguridad TLS/SSL, utilizan un cifrad o h íb rid o formado por la criptografía asim étrica para intercam biar
claves de criptografía sim étrica y la criptografía sim étrica para la transm isión de la información.
U na de las principales ventajas de la criptografía de clave pública o asim étrica es que ofrece un método
p ara el desarrollo de la firm a d ig ita l o resultado de cifrar con clave privada el resum en de los datos a
firmar, haciendo uso de funciones resum en o hash, y garantizando la autenticación y el no repudio en el
origen de los datos.
O tra de las aplicaciones del cifrado asim étrico es la creación y uso de c e r tific a d o s d ig ita le s o
documentos electrónicos (archivos) que asocian una clave pública con la identidad de su propietario.
Una de sus aplicaciones m ás destacadas a nivel mundial es el DNI e le c tr ó n ic o (DNIe) sim ilar al
tradicional y cuya principal novedad es que incorp ora un pequeño circuito integrado (chip), capaz de
g u ard ar de forma segura información como el certificado digital del propietario.
P ara el uso de certificados digitales confiables es necesario crear un modelo de confianza basado en
Terceras Partes Confiables e im plantar In fraestru ctu ras de Clave P ú b lica (ICP o PKJ, Public Key
Infrastructures), que incorporen autoridades de certificación y registro como interm ediarios en el uso de
certificados digitales.
127
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
© RA-M A
EJERCICIOS PROPUESTOS
1 . In v estig a acerca de los d istin to s m étodos de
cifrado que se em plearon en la 2a G uerra M undial y
concretam ente sobre Enigm a. ¿Cuál era su palabra
clave?
6 . R ealiza los trá m ite s p ara la obtención de tu
certificado digital.
¿Dónde lo tienes que descargar? ¿Dónde tienes que
ir a recogerlo? ¿Qué caducidad posee? Instálalo
en In tern et Explorer y Mozilla Firefox. Realiza
una copia de seguridad con contraseña privada, y
elimínalo de un PC inseguro al que puedan acceder
otros usuarios. Una persona que acceda a nuestro
equipo en el que tenemos instalado un certificado
digital, ¿puede acceder a distintos sitios web de
información personal de tipo legal?
2. Realiza un scri.pt para GNU/Linux que perm ita
m ediante un m enú de opciones seleccionar entre los
diferentes comandos (gpg simétrico, asimétrico, firma
digital, revocación, publicación de claves públicas,
etc.) y scripts (sustitución y transposición) que hemos
visto a lo largo de las prácticas del capítulo.
3. Busca información acerca de qué es y para qué
sirve la esteg a n o g ra fía . Introduce un mensaje de
texto o una fotografía dentro de un archivo de música,
im agen o vídeo, m ediante algún software específico
bajo Windows como PicCrypt, Xiao Steganography
o S teg an G o bajo G N U /Linux como OpenStego.
Com prueba que es posible recuperar el m ensaje o
archivo oculto.
7. Realiza una búsqueda de los servicios de em presas
como bancos, y de la a d m in istració n pública
(seguridad social, hacienda, etc.) a los que se puede
acceder de forma segura, m ediante certificado digital
y m ediante DNIe.
En caso de disponer de certificado dig ital y/o
DNI electrónico intenta acceder de forma segura
a alguno de los servicios comentados e indica el
proceso de acceso y las posibilidades que te ofrece
el servicio. ¿Consideras estos servicios útiles para
el ciudadano? ¿Para qué colectivos especialm ente
pueden ser útiles estas aplicaciones?
4. Revisa en la web www.cam erfirm a.com , uno de
los usos que tiene el certificado digital para la firma
y el envío de correos electrónicos con certificado
digital, describe el proceso. ¿Qué garantiza? ¿Qué es
S-MIME? Explica una posible utilidad que tendría el
uso de certificado digital para m inim izar el spam.
8.
5. Busca qué Autoridades Certificadoras Adm itidas
de certificados digitales existen en España. Describe
el proceso p ara la obtención del certificado digital,
p ara ello visita la web w w w .fnm t.es. ¿Es válido para
todos los navegadores web? ¿Puede em plearse para
firm ar otro tipo de archivos? ¿Es posible exportarlo o
solam ente se puede em plear en un solo equipo? ¿Qué
precauciones podemos ten er con el certificado digital
en cuanto a protección m ediante contraseñas en la
exportación?
128
Qué diferencias existen en tre la instalación de
un certificado en un servidor web y un servidor de
certificados. Busca cómo se instala y qué opciones
ofrece el servidor de certificados integrado en el
servidor US de Microsoft. Realiza una petición por
parte de un cliente de un certificado digital.
9. Investiga acerca de la aplicación OpenSSL. ¿Qué
tipo de algoritm os em plea? ¿P ara qué sistem as
operativos se encuentra disponible? ¿Qué utilidades
posibilita?
© RA-M A
5 ■C R IP T O G R A F ÍA
TEST DE CONOCIMIENTOS
Indica qué sentencia es falsa con respecto al DNIe:
Posee la m isma utilidad en In tern et que el DNI
anterior.
Posee mucho m ás nivel de seguridad que el
anterior.
Lo poseen actualm ente m uchas menos personas
que el anterior.
Exige un hardw are b astan te económico para
emplearlo.
Con el certificado digital y eí DNIe todavía no puedo
realizar trám ites como:
Acceder a la declaración de la renta.
R ealizar devoluciones oniine de un producto.
Averiguar mis datos de la Seguridad Social.
Pedir una cita para el médico.
E n un siste m a criptográfico el aspecto m ás
im portante es:
Longitud de la clave.
La asim etría.
La clave.
Tiempo de cifrado.
¿Cuál de estos tipos de mecanismos de identificación
no poseen validez alguna todavía?
DNIe.
Firm a digitalizada.
Firm a digital.
Certificado digital.
La codificación RSA-3, es un método:
Asimétrico.
Simétrico.
Hash.
Híbrido.
¿Qué tipo de cifrado se em plea en este comando
gpg'-c?
Asimétrico.
Simétrico.
Hash.
Firm a digital.
Híbrido.
¿Para qué se emplea este comando gpg -b ?
Cifrado Asimétrico.
Cifrado Simétrico.
Publicación de clave pública.
Firm a digital.
Cifrado Híbrido.
¿P ara qué se em plea este com ando gpg --sendkeys?
Cifrado Asimétrico.
Cifrado Simétrico.
Publicación de clave pública.
Firm a digital.
Híbrido.
129
Ö
U
U
ü
rJ
tj> U
U
U
ü
/ Valorar los nuevos peligros
derivados de la conexión a redes.
/
Adoptar medidas de seguridad
en redes corporativas o
privadas tanto cableadas como
inalámbricas.
/
Analizar las principales
vulnerabilidades de las redes
inalámbricas.
/
Comprender la importancia de
los puertos de comunicaciones
y las amenazas existentes en
protocolos poco seguros.
/
Conocer y emplear protocolos
y aplicaciones seguras en
comunicaciones.
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
© RA-M A
AMENAZAS Y ATAQUES
Sin im portar si están conectadas por cable o de m anera inalám brica, las redes de ordenadores cada vez son m ás
esenciales para las actividades diarias. Los ataques e intrusiones de personas no autorizadas a través de las redes
públicas y privadas cada vez son m ás frecuentes, y pueden causar interrupciones costosas de servicios críticos y
pérdidas de trabajo, información y dinero.
De forma genérica las am en azas en comunicaciones podemos dividirlas en cuatro grandes grupos:
In terru pción : un objeto, servicio del sistem a o datos en u n a comunicación se pierden, quedan inutilizables o
no disponibles.
In tercep tación : un elem ento no autorizado consigue un acceso a un determ inado objeto.
M odificación: adem as de conseguir e) acceso consigue modificar el objeto, es posible incluso la d estr u c ció n
una modificación que inutiliza al objeto afectado.
Fabricación: modificación destinada a conseguir un objeto sim ilar al atacado de forma que sea difícil distinguir
entre el objeto original y el “fabricado”.
En la figura se m uestran estes tipos de ataque de una forma gráfica:
F lu jo normal de información entre emisor y receptor y posibles amenazas: fa) interrupción, (b) interceptación, ( o modificación y (ti) fabricación
Como ejemplos prácticas de dichas am enazas, encontram os diversas té c n ic a s d e ataq u es in fo rm á tico s en
r e d e s. Algunos son:
A taque d e d en eg a ció n d e servicio: tam bién llamado ataque DoS (Deny o f Service), es un caso específico de
in terru p ció n de sen-icio. Causa que un servicio o recurso sea inaccesible a los usuarios legítimos, norm alm ente
provocando la pérdida de la conectividad de la red por ei consumo del ancho de banda de la red de la víctima o
sobrecarga de los recursos computacionales del sistem a de la víctima. M ediante botriet o redes zombi se pueden
llegar a controlar cientos o miles de m áquinas para realizar ataques distribuidos de saturación de servidores
o DDoS.
S niffin g, es una técnica de in tercep tación : consiste en ra stre a r monitorizando el tráfico de una red.
132
© RA-M A
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
M an in th e m iddle: a veces abreviado MitM, es un caso específico de in terc ep ta ció n y m o d ifica ció n de
id e n tid a d . Un atacante supervisa una comunicación en tre dos partes, falsificando las identidades de los
extrem os, y por tanto recibiendo el tráfico en los dos sentidos.
Spoofm g: es una técnica de fab ricación , suplantando la identidad o realizando una copia o falsificación, por
ejemplo encontram os falsificaciones de IP, MAC, web o m ail.
P h a rm in g : es una técnica de m o d ific a c ió n . M ediante la explotación de u n a vulnerabilidad en el software de
los servidores ÜNS o en el de tos equipos de los propios usuarios, perm ite modificar las tablas DNS red ¡rigiendo
un nombre de dominio (domain ñame) conocido, a otra m áquina ( IP ) distinta, falsificada y probablem ente
fraudulenta.
i
A n a liz a la n o ticia " Tabnabbing; phishing a tra v é s d e la s p e s ta ñ a s del n a ve g ad o r'', e n c o n tra d a en
http://w w w .hispasec.com /unaafdia/423l , e in d ica :
•
¿ Q u é tipo de a m e n a z a d e la s a n te rio rm e n te v is t a s su p o n e el Tabnabbing ? ¿ C ó m o fu n c io n a ?
•
¿ Q u é tipo d e m e d id a s d e p re c a u ció n p o d e m o s to m a r a n te e s te tipo de a m e n a z a ?
A continuación veremos una serie de prácticas en las que se em plean dichas técnicas.
PRÁCTICA 6.1
S n iffin g - MitM - A R P Sp oo fin g - P h arm in g
La m onitorización del tráfico de red es un aspecto fundam ental para a n a liza r qué está sucediendo en la m ism a, y
poder tom ar precaucion es y m ed idas de seguridad en la m ism a.
H erram ientas como W ire sh a rk, NMAP o Caín & Abel perm iten re alizar una m onitorización de qué equipos se
en cuentran conectados en una red y qué puertos y ap licaciones utilizan.
En nuestro caso vam o s a re alizar una se rie de p rácticas que perm iten ve r las vulnerab ilidades de protocolos com o
ARP y DN S, y de este modo tom ar cie rta s precauciones.
E m p le a re m o s una h e rram ien ta para siste m a s W indows denom inada Cain & Abel, aunq ue para G N U /Linux
podem os em p le ar Ettercap que posee sim ilares p restaciones.
En prim er lugar seleccio n arem o s la pestaña superior Sniffer y la inferior Hosts. Pulsarem os sobre el botón su p erior
de sniffing, e sca n e a rá nuestra red local y nos dará inform ación (IP y MAC) de qué equipos se en cuentran en red
con nuestro equipo.
133
© RA-M A
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
*) © & «inm +
*
j
o ? ft
y ■■s u a » '
\j
i< >
Iti
T ñ c ^ r r y
I # 1m Iw Ito f
IU 1 M .0 I
)*M «64).JS
197 1 « 0 . IJ
OOKOlíSOGM
OOI6CF7TOSD
00]fc+UÓ«?2S
TV—icntre
AStlV CC*WTW CO«#.
UIT-CN Ttcfocfegr Gerp
AHP I n i (llroadcMt 8 bit)
Ia>«*•*i©**« i+ ■<>*«i»~wnii
| VffVJ
|
ARP PO ISO N IN G
El ARP Spoofing, tam bién conocido como ARP Poisoning o ARP Poison Routing, es una técnica usada para infiltrarse
en una red E th e rn e t conm utada (b asad a en switch y no en hubs), que puede p erm itir al atacan te m onitorizar
p aqu etes de datos en la LAN (red de área local), incluso m odificar el tráfico.
El principio del ARP Spoofing es e n via r m e n sa je s ARP falsos (falsificad os, o spoofed) a los equipos de la LAN.
N orm alm ente la finalidad es a so cia r la dirección MAC del atacan te con la dirección IP de otro equipo, como
por ejem plo la puerta de en lace p redeterm inad a (g a te w a y ). De esta form a cualq uier tráfico dirigido a la dirección
IP de ese equipo suplantado (p o r ejem plo el g a te w a y ), se rá enviado al a ta ca n te , en lugar de a su destino real. El
a ta ca n te , puede entonces elegir, entre re e n v iar el tráfico a el equipo real (ataq u e pasivo o escu ch a , em pleado en
MitM) o m odificar los datos a n te s de reenviarlos (a ta q u e activo).
-. * »
¿
O taxK n
»
H
-r.
W w l
+
j
w t»
|y
o
q. y e j ■ §o a a ^8
Otam 1 « i. « — a | n « n u l Y
r rtlw i
i
r ft
Lì) o—
1
•:
N o kUP Poten Haul ni«
VMIMNGW
onft* >gNtonta*
fYM'Nrf MC* Ku
W fi w u b n you lo h)K> # W k t * n —r 9-m i—r«>J hr»*/ <*■.9 * )r* te* w*j
« O n hüiKitt« MH p^awrc» ti *
éc0mhL *1 vi )u i LAN
y
mtiijii
iviMüii
v s z tc a o ii
youtoAl cjum DOS4 youmi AFfl
w>c
oi^ctisoco
oia72xnD
anuu&m
|
/ t&iiw»fMXH
.
134
liS«» H- »wn l!\
i»*
|
O»
|
C ro l
© RA-M A
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
Para re a liza r un ataqu e ARP Poisoning o de en ve n en am ien to ARP, se le ccio n am o s la p estaña inferior APR, y
p ulsarem os el botón su p erio r + . Seleccio n arem o s de los equipos de nu estra LAN, por qué equipo querem os
hacernos p asar (colum na izq uierda) y en qué equipos q uerem os infectar su tabla ARP (colum na d e re ch a) con una
entrada de nuestra MAC asociad a a la IP del equipo a suplantar. En este caso el equipo por el que nos harem os
p asar se rá la puerta de en lace (1 9 2 .1 6 8 .0 .1 ) , ya que la m ayoría del tráfico irá dirigido a este equipo.
C : \ D o n m r iit o
m u! S o t t in 'ja \< ftd n tfiX ir p
I n t r r Í A . ' . 192 .1 611 .» .1 1
D i r e c c ió n IP
1 9 2 .1 6 8 .f t. 1
C :\D o c iu ia n t v « m i S e t t in(jt> V A d « ifi> a rp
I n t e r i n e : 1 9 2 .16U .(J. 11
D ir e c c ió n IT
1 9 2 .IC H .11.1
1 9 2 .1 6 8 . I t . Iff
¥
«
H *2
D ir e c c ió n f i e l e «
M T 2 4 -4 1 2% -MU-2H
Tipt»
d in A n lc o
*
Mw2
D ir e c c ió n ( i - l e «
M
HU 1 B - d « -2 2 - V « -* 5
I ip o
d Í¿ M Ío i
d in iír i ic o
1
Podemos ve r el an tes y desp ués de dicho envenenam iento en uno de los equipos infectados: 1 9 2 .1 6 8 .0 .1 1 . En
prim er lugar la MAC de la puerta de en lace o router era 0 0 - 2 4 - d l- 2 5 - 0 0 - 2 0 , a continuación d esp u és de re alizar
el en venen am ien to disponem os de 2 en trad as con la m ism a MAC, del equipo que va a recib ir todo el tráfico que
vaya dirigido a la puerta de enlace.
Medíante esta técnica es posible m onitorízar el tráfico que va dirigido al router y rastre ar protocolos no seguros
como FTP, HTTP, POP, SMTP, Telnet o FTP, y de esta forma obtener cre d e n cia le s.
PHARMING
Es posible re alizar una inserción en las tab las locales de nom bres de dom inio, posibilitando un redireccionam iento
a una IP con una web falsa. Seleccion and o la pestaña inferior APR, y la opción APR-D N S podem os c re a r en trad as
de nom bres de dominio con IP falsas.
a a
-j * © s* » £* + j
¿
Dtodert
HKwwri
W I« I , /
O e&m | 0
fiK a o J e
|E
• o t ii
CCCU |*H'
5Ç75T
E3 AP*<frt (4)
£ , APR-CW5
■ WH.-55M-1 <0)
5 A?*-HTTP5(0)
A*<-0£*>(0)
â «*-FTP5(0)
5 AW-P0f>3S(0)
5
APP-IHAP3 (05
5 *P«-iWSP5(0)
5
AP©-SP5(0)
Vem os com o desp ués de re alizar DNS spoofing, en unos de los equipos afectad o s, al hacer ping a google nos
envía a una dirección IP falsa.
L ':s lK ic iin n n t>
iu c i c n i l o
<ind líe t t in g ? ''« d m n > p in n w u u .g o n g le
p l» v *
l. t f n a if le .c iiM
( 1 9 2 .1t»8. H.1 I co n 32 b y t * :
<tn d a t o s :
« r s p i a o t j i d e sd e 1 9 2 .1 6 8 .H .1 : b y t r t -32 1 le n p n -23n= FTL 64
R r a p io ^ U ilc a d e I 92 .1 M I . » . I : b y t r t '3 2 I ie n p u *13«*. I VL - •»"f
l ’** •• jm r - l j d e n le 1 9 2 .1 6 8 .11.1 : liy le a 32 l l n i p u - t n t I I I . 6-1
Las falsificaciones de sitios web donde se hacen uso de cred enciales m ediante form ularios, ponen en peligro
nu estras co n traseñ a s y por tanto la privacidad e integridad de nu estros datos. En el ejem plo se han realizado
falsificado w ebs de acceso a correo electrónico de yahoo.
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
© RA-M A
Recom endaciones
Para e v ita r este tipo de ata q u es se recom ienda en tre otras acciones, el uso de tab las ARP e stá tica s, o al m enos,
en tra d as e stá tica s como la que da acceso a la puerta de en lace, ya que la m ayoría del tráfico pasa a trav és de
esta IP. S e puede re a liza r m ediante el com and o: arp - s
IP MAC.
C:\WfNDOWSt\iyslcm32Vcmd.cw
H ic r o s n fi
( U o r s in n S . 1 . 26 BB )
198S-2WW1 M ic r o s o ft C orp .
W in d o w s XP
<C) C o p y rig h t
C :\D o c u n c n ta
« m i S e tt in f j3 V J o - u i2 > A r p
I n t e r i n e » : 1 9 2 .U O . l i l i
liilr t* n o t
A d d ro c u
1 9 2 .1 6 0 .H. i
.1
0X2
P Ií u s í c a I f t d i l r r u r
I ypp
lili 24 .11 25* IIH 211
.tyn.inic
|c: vOocunrnt . .tml S o it ln«| •'.«1o^i»a2>«%P|i
1V2.16H.H.1
OI1-2*l-rit -2S HÍÍ-2H
0 11 1
|C : \D c rmr L t «uní S e t t i n y 3 V ^ l e a i i s 2 ) a r ¡ i
I u t o r f .ico : 192.160.11.1 1
Hm2
I n lo r t ir t A d d ro Q S
P h y c ic a l flildrous
1 92.160.H .1
BW 24 »11 2S-00 2Ü
Tyi>n
a t a tic
En redes gran d es con gran cantidad de adm inistración no es una buena solución, re alizar esta configuración a
m ano. Para esos caso s lo m ejor es m onitorizar los intentos de m odificación de tablas ARP, por ejem plo m ediante
softw are esp ecífico de detección de intrusos ( ID S ) com o SNORT, o específicos de intentos de duplicados ARP:
bajo G N U /Linux A rpw atch o en W indows D ecaffein atID o re a liza r una m onitorización esp ecífica m ediante
W ire sh a rk que es cap az de d etectar intentos de duplicados ARP.
En el caso de DNS spoofing, debem os tener especial precaución con las falsificaciones de sitios w eb, com probando
en los sitios web que en viam o s cre d e n ciale s ( mail, redes so cia le s, b anca, com ercio oniine, e tc .) que em plean
protocolos se g u ro s, como HTTPS, certificado digital que perm ita ve r su au tenticid ad, y otros asp ecto s com o la
veracid ad de su URL, o que nunca nos pedirán por otras vías de com unicación (teléfono o mail) el envío de dichas
cre d e n cia le s.
AMENAZAS EXTERNAS E INTERNAS
L as am enazas de seguridad causadas por intrusos en redes corporativas o privadas de u n a organización, pueden
o rig in arse tanto de forma interna como externa.
A m enaza ex te r n a o d e a cc eso rem oto: los atacantes son externos a la red privada o interna de una
organización» y logran introducirse desde redes públicas. Los objetivos de ataques son servidores y routers
accesibles desde el exterior, y que sirven de pasarela de acceso a la redes corporativa.
A m enaza in tern a o corporativa: los atacantes acceden sin autorización o pertenecen a la red privada de
la organización. De esta forma pueden com prom eter la seguridad y sobre todo la información y servicios de la
organización.
Con estos 2 frentes abiertos, veremos por un lado como defender la segu rid ad en la red corp o ra tiv a de forma
in te rn a (capítulo 6 ), y por otro como disponer de m edidas de p ro tecció n p erim etral (capítulo 7), en los equipos y
servicios que están expuestos a redes públicas.
136
© RA-M A
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
P ara protegernos de las posibles a m e n a z a s i n t e r n a s algunas propuestas son:
R ealizar un buen diseño de dirección am iento, parcelación y servicios de subredes dentro de n u estra red
corporativa. P ara elío se em plean técnicas como, subnettíng, redes locales virtuales o VLAN y creación de zonas
desmi lita rizadas o DMZ, aislando y evitando que los usuarios puedan acceder directam ente en red local con
los sistem as críticos.
Políticas de adm inistración de direccionamiento estático para servidores y routers.
M onitorización del tráfico de red y de las asignaciones de direccionamiento dinámico y de sus tablas ARP.
Modificación de configuraciones de seguridad y, en especial contraseñas por defecto de la adm inistración de
servicios.
En redes inalám bricas em plear máximo nivel de seguridad.
SISTEMAS DE DETECCIÓN
DE INTRUSOS (IDS)
Un sistem a de detección de intrusos o IDS es una herram ienta de seguridad que in ten ta detectar o m onitorízar
ios eventos ocurridos en un determ inado sistem a informático en busca de intentos de com prom eter la seguridad de
dicho sistem a.
Los IDS buscan patrones previam ente definidos que im pliquen cualquier tipo de actividad sospechosa o maliciosa
sobre n u estra red o host, aportan a n uestra seguridad una capacidad de prevención y de alerta anticipada ante
cualquier actividad sospechosa. No están diseñados para detener un ataque, pero aum entan la seguridad de nuestro
sistem a, vigilan el tráfico de nuestra red, exam inan los paquetes analizándolos en busca de datos sospechosos y
detectan las prim eras fases de cualquier ataque como pueden ser el análisis de nuestra red, barrido de puertos, etc.
Los tip o s de IDS que encontram os son:
H ID S (Host IDS): protegen un único servidor, PC o host. M onitorizan gran cantidad de eventos, analizando
actividades con una gran precisión, determ inando de esta m anera qué procesos y usuarios se involucran en
una determ inada acción. Recaban información del sistem a como ficheros, logs, recursos, etc., para su posterior
análisis en busca de posibles incidencias.
NTDS (Net IDS): protege un sistem a basado en red. Actúan sobre una red capturando y analizando paquetes
de red, es decir, son sniffers del tráfico de red. Luego analizan los paquetes capturados, buscando patrones que
supongan algún tipo de ataque. Actúan m ediante la utilización de un dispositivo de red configurado en modo
promiscuo (analizan en tiempo real todos los paquetes que circulan por un segm ento de red aunque estos nos
vayan dirigidos a ese determ inado dispositivo).
La arq u itectu ra de un IDS, a grandes rasgos, está formada por:
La fuente de recogida de datos. E stas fuentes pueden ser un log, dispositivo de red, o como en el caso de los IDS
basados en host, el propio sistem a.
Reglas y filtros sobre los datos y patrones para detectar anom alías de seguridad en el sistem a.
Dispositivo generador de informes y alarm as. En algunos casos con la sofisticación suficiente como para enviar
alertas vía m a il, o SMS.
Con respecto a la ubicación del IDS se recomienda disponer uno delante y otro detrás del cortafuegos perim etral
de n u estra red, para obtener información exacta de los tipos de ataques que recibe nu estra red ya que si el cortafuegos
está bien configurado puede p arar o filtrar muchos ataques.
137
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
PRÁCTICA 6.2
ID S - S N O R T
Sn o rt es un ID S o S iste m a de detección de intrusiones basado en red (N ID S ). Im p lem en ta un m otor de detección
de ataqu es y barrido de puertos que perm ite registrar, a le rta r y responder an te cualquier an om alía p reviam ente
definida com o patrones que corresponden a ata q u es, b arridos, intentos ap ro v ech a r alguna vulnerabilidad , an álisis
de protocolos, etc., conocidos. Todo esto en tiem po real.
Snort ( http://www.snort.org/) está disponible bajo licencia G PL, gratuito y funciona bajo plataform as W indows
y G N U /Linux. Es uno de los m ás usados y dispone de una gran cantidad de filtros o patrones ya predefinidos, así
com o actu alizacio n es co nstantes an te ca so s de ataqu es, barridos o vu lnerab ilidades que vayan siendo d etectad as
a través de los distintos boletines de seg uridad .
Puede funcionar como sniffer (podem os ve r en consola y en tiem po real qué ocurre en nuestra red, todo nuestro
tráfico ), registro de paquetes (p erm ite g uard ar en un archivo los logs para su posterior an álisis, un an álisis offüne)
o com o un ID S normal (en e ste caso N ID S).
1.
En p rim er lugar instalarem os la aplicación bajo GN U /Linux m ed ian te: aptitude install snort,
2 . Snort en modo Sniffer y registro de paq u etes: snort -d e v -I ,/log -h 1 9 2 .1 6 8 .1 .0 / 2 4 .
En e ste modo (d e v ) visu a liza rem o s las ca b ece ras de los paquetes TCP/IP, es decir, en m odo sniíferSnifíer.
modo verbouse (v) m ostrará las ca b ece ras IP, TCP, UDP y ICMP, visu a liza rá los cam pos de datos que pasan
por la interface de red (d ), y las ca b e ce ras a nivel de en lace (e).
Las opciones sig u ientes -I sirve para indicar el directorio de logs y -h para a lm a ce n a r registros de tráfico
de la red o host que se le indique.
3. Filtros: Para para m onitorizar tan sólo solo el tráfico deseado de un determ inado puerto, s e puede
indicar por ejem p lo: snort -vd host 1 9 2 .1 6 8 .1 .5 and dst port 8 080. En el cual solo se m ostrará el tráfico
del host 1 9 2 .1 6 8 .1 .5 con puerto de destino 8 080.
4. ID S : El el modo detección de intrusos de red se activa añadiendo a la línea de com andos de snort la opción
-c snort.conf. En este archivo , snort.conf, se guarda toda la configuración de las re g las, p rep rocesad ores y
otras configuraciones n e cesaria s para el funcionam iento en modo N ID S. Por tanto podem os e je cu ta r: snort
-dev -I ,/log -h 1 9 2 .1 6 8 .1 .0 / 2 4 -c . ,/etc/snort.conf.
5. Modos de alerta: Hay hay v a ria s m aneras de configurar la salid a de las a le rta s, el modo en que se
alm a cen a rán ésta s en el archivo a le rt.id s. S n o rt dispone de siete m odos de alertas en la línea de ó rden es:
completo, rápido, socket, syslog, smb (W inPopup), consola y ninguno.
C om o ejem plo, en modo de alerta com pleta (-A Full) nos d evolverá inform ación sobre: tiem po, m en saje de la
a le rta , clasificación, prioridad de la alerta, IP y puerto de origen/destino e inform ación com pleta de las cab eceras
d e los p aquetes registrad os.
snort -A full -dev -I ,/log -h 1 9 2 .1 6 8 .1 .0 / 2 4 -c . ./etc/sn o rt.co n f
138
© RA-M A
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
RIESGOS POTENCIALES EN LOS SERVICIOS DE RED
TCP/TP es la arquitectura de protocolos que usan los ordenadores para comunicarse en In tern et y, actualm ente,
casi en cualquier otra red. E m plean p u ertos d e co m u n ica cio n es o n u m eración ló g ica que se a sig n a p ara
id e n tifica r cad a una d e las c o n e x io n e s de red, tan to en el origen com o en el d estin o. No tiene ninguna
significación física.
Los servicios de red más habituales tienen asignados los llam ados puertos bien conocidos, por ejemplo el 80 para
H TTP o web, el 21 para transferencia de ficheros FTP, el 23 para TELNET, etc.
T a b la 6 .1
Rango
Puertos
0 -10 23
S e rv icio s bien conocidos
1 0 2 4 -4 9 1 5 1
R egistrados
4 9 1 5 2 -6 5 5 3 5
D inám icos y/o privados
Servicios sobre puertos bien conocidos
20 y 2 1 : FTP
2 2 : SSH com unicación cifrada
23: Telnet no cifrado
24: SM TP y 110: POP3
53: DNS
8 0 : HTTP y 443 HTTPS cifrado
1 3 7 ,1 3 8 ,1 3 9 : N etBIO S com partir archivos e
im presora y 4 4 5 : SMB
Los d istintos sistem as y sus aplicaciones de red, ofrecen y reciben servicios a través de dichos puertos de
comunicaciones. Solo a través de un conocimiento y análisis exhaustivo de los puertos y las aplicaciones y equipos que
los soportan podemos asegurar n u estras redes. El análisis y control do los puertos se pueden realizar desde distintos
frentes:
E n u n a m á q u in a lo cal observando qué conexiones y puertos se encuentran abiertos y qué aplicaciones los
controlan.
El comando n e tsta t perm ite ver el estado en tiempo real de n u estra s conexiones.
Los co rta fu eg o s o firewall p erso n a les son una medida de protección frente a ataques externos.
E n la a d m in istra ció n d e red p ara ver qué puertos y en qué estado se encuentran los de un conjunto de
equipos.
La aplicación rnnap perm ite u.n escaneo de puertos, aplicaciones y sistem as operativos, en un rango de
direcciones.
Los co r ta fu eg o s y p roxys p erim etra les ofrecen protección m ediante un filtrado de puertos y conexiones
hacia y desde el exterior de u na red privada.
T ras realizar un análisis exhaustivo a nivel de puertos, debemos proteger n u estras conexiones, haciéndolas
seguras, por ejemplo cuando enviemos información confidencial.
139
© RA-MA
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
I PRÁCTICA 6.3
A N Á L IS IS DE P U E R T O S
M ediante el com ando ne tstat tanto en siste m a s GN U /Linux com o W indows podrem os a n a liz a r el estado de
n u e stra s conexiones y puertos. A modo de ejem p lo bajo W indows netsat -an o b , nos m ostrará un listado com pleto
m ostrando núm ero de puerto, estado (a la escu ch a , esta b lecid as, o cerrados a la e sp era ) y proceso responsable
de dicho estado. En GN U /Linux las opciones m ás co m unes del com ando son netsat -atu p .
Como vim os en el capítulo 1 n m a p es una aplicación de gran utilidad en el an álisis de puertos. Entre otras
ap licacion es se rv irá para la adm inistración de protocolos seguros en redes locales.
Scflp
l.oob
Target
fircM«
t)e*p
1 « . 166,1.0/24
rvnac>-*V T4-O-F —v w s o v ltf* I V . 168 1.0/2-1
htorti
j,
S«rucos
|
WMpOtfpüt Porti / Hotf* Toootogr H o* Otfefe j Scem
Port « Proteo* « s « « * Service « verton
192 168.1.37
192.166 1.36
Efflóe&fcd Alegro Porrf agw M tn « v« r 4.07 UPr*>/l .0 (ZVXI.L ZyWAU. 2)
192 168 1.1
fclrw) 19? 168.1.1
m
- n |x
]
□
Herrn 23
S y :t c h S e c u r it y
t . OMnnc Pftatuort)
2 . HADltÍE S r r v r r
11-M-.ÜH2 .1 a
Tras re alizar un an álisis de nuestra red ve m o s com o nm ap nos m uestra para la puerta de enlace 1 9 2 .1 6 8 .1 .1 , el
m odelo de fab ricante de nuestro router, y los puertos y servicios que ofrece, ftp FTP (2 1 ), telnetTelnet (2 3 ) y http
(8 0 ). En n u m erosas páginas web y en las propias del fab ricante a través de su m anual de configuración, podem os
en co ntrar listados con las co n traseñ a s por defecto de usuarios de adm inistración telnet y web.
Recom endación
C o ntro lar el estado de co n exio n es, ev itar protocolos inseg uros como Telnet, y configuraciones y co n traseñ a s por
defecto, ya que en caso de que un ata can te interno o extern o pueda a cce d e r a nuestra red o al control de un
sistem a im portante, podrá efe ctu ar una configuración no au torizad a, o incluso una denegación de servicio.
COMUNICACIONES SEGURAS
La m ayoría de las comunicaciones que empleamos en la red como HTTP, FTP o SMTP/POP, no em plean cifrado en
las comunicaciones. Aunque existen protocolos que em plean comunicaciones cifradas como SSH a través del puerto
2 2 , SSH, soportando incluso el envío seguro de archivos m ediante SFTP.
O tras a lte rn a tiv a s para establecer com unicaciones seguras entre
d istin to s niveles son:
140
2
sistem as cifrando las comunicaciones a
© RA-M A
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
SSL y TLS: Secure Sockets Layer -Protocolo de Capa de Conexión Segura- (SSL) y Transport Layer Security
-Seguridad de la Capa de T ransporte- (TLS), su sucesor. Se ejecutan en una capa en tre los protocolos de aplicación y
sobre el protocolo de transporte TC P E n tre otros se em plea a través de puertos específicos con: HTTPS , FTPS, SMTP,
POP3, etc.
IPSEC o Internet Protocol security, es un conjunto de protocolos cuya función es asegurar las comunicaciones
sobre el Protocolo de In te rn e t (IP) autenticando y/o cifrando cada paquete IP en un flujo de datos. Actúan en la capa
3 lo que hace que sea m ás flexible, ya que puede ser utilizado para proteger protocolos de la capa 4, incluyendo TCP y
U D P U na ventaja im portante frente a otros métodos que operan en capas superiores, es que para que una aplicación
pueda u sar IPsec no hay que hacer ningún cambio.
PRÁCTICA 6.4
S SH
S SH es un protocolo que perm ite acced er a m áq uin as rem otas y e je c u ta r com and os a través de una red, m ediante
una com unicación se g u ra cifrada a tra v é s del puerto 22. Perm ite copiar datos de form a segura (tanto ficheros
su eltos com o sim ular se sio n e s FTP cifra d a s), g estio n ar claves m ediante certificad o s para no escrib ir co ntraseñas
al co n e ctar a los d ispositivos y tran sfere n cia de datos de aplicacion es por un canal seguro tunelizad o de forma
sencilla.
En este caso práctico in sta lare m o s un se rvid o r de SSH al cual acced erem o s desde un intérprete de com andos
d esd e GN U/Linux y d esd e W indows.
1. Para ía instalació n del se rvid o r S SH en GN U /Linux ab rirem o s la consola y escrib ire m o s lo sig u ien te:
áptitude search ssh
Con este com ando estam os buscando algún paquete que coincida con nuestra búsqueda. Tras eje cu tar
dicha orden nos sald rán todos los posibles paquetes que tengan relación con el nom bre del paquete que
hem os introducido an terio rm en te. En la lista de paquetes encontrados, b uscarem os el paquete "opensshse rve r" que se rá et que tengam os que in sta lar en la m áquina que hará de servidor, una vez localizado
el nom bre exacto del paquete, escrib irem os en la consola la siguiente orden: aptitude install opensshserver.
Una vez instalado el servidor, ya podem os a c ce d e r desde cualq uier m áquina de la LAN o de fuera de ella.
2.
Para conectarnos al se rvid o r de ssh que hem os instalado an terio rm en te, cog erem os una m áquina cliente
G N U /Linux d istinta a la m áquina en la que está corriendo el se rv id o r de ss h , pero en red con ella.
R ealizarem os dicha operación m ediante el siguiente com and o: ssh direccio n_ip (si está dentro de la m ism a
red del se rvid o r) o ssh n o m b re_d e_d o m in io (si está en una red diferente a la del servid o r).
Al iniciar la conexión nos pedirá la contraseña de un usuario válido en el se rvid o r rem oto.
Si la au tenticación de la contraseña es co rrecta, ya podem os realizar cualquier acción en la m áquina rem ota
a trav és de la consola. Podemos a p re cia r que el nom bre de la m áquina cliente que ap a re ce en el prom pt
ha cam biado por el nom bre de ta m áquina servidora rem ota:
Una vez conectad o s, podrem os e je cu ta r com andos como por ejem p lo : lista r los archivos que hay dentro
del directorio "hom e" de la m áquina rem o ta:
141
<g> RA-M A
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
fre e rid e r jifre e rid e r-d e s k t
Archivo
Editar
yer
Terminal
Ayuda
freerid er@ Se rvid o r-s$h :-$ I s /home
frwrrider usuario
____
f reerider@ Servido r-ssh: ~S S Z B
logout
Connection to 192.168.1.19 c lo se d .
fre eríd er@ freerid er-d e skto p :~ S |
Una vez finalizad as las accio nes tendrem os que d esco n ectarn o s del se rvid o r ssh m ediante la siguiente
ord en : exit. Al e je cu ta r dicha orden verem o s com o nos da una confirm ación en la que nos dice que la
conexión con la ip rem ota ha sido cerrad a:
3 . S i querem os realizar la conexión m ed iante un cliente bajo sistem a operativo W indows, em p learem o s el
so ftw are específico P u t t y . Es un cliente SSH y telnet, de código abierto, podrem os in teractu ar con la
consola de Linux sin necesidad de e s ta r en una m áquina cliente con Linux.
Una vez instalado la configuración de la aplicación es sencilla. En la parte su p erior de la m ism a tenem os
el cam po "host ñam e (or ip ad d re ss)" en el que tenem os que introducir el nom bre de la m áquina remota
o bien su dirección IP. Tras introducirlo p ulsarem os en ""O pen":
’
|0 * w
M
1 S e ao n
Loggng
H
T em raí
Kettowd
1
X
r
F e a ii*»
fc W nto N
Acoearanca
Bahamas
Tonáaüon
B m c o d o ra for >cur PuTTY m —
Sp*cfy V * á m r t ^ c n you w m t to coonort (o
22
Hoat fian« jor IP «j6oaa)>
Poi
CorwecDon rypa
B »
la * «
nog*
«ssh
m
Load a « or ó e k t* a *ored !■— o r
Sovgd Sesmera
¡ Sffcctcn
C ocui
C o m ed ion
M s J í Scenga
fe o
i
D *»
Proxy
1
T «ir«
Lsad
S IJ I
fr te
fib g n
■b SSH
Sanai
1
,_____________ ,
jj
Oosa te n te * en s u
A+HSfi
N n«r
1
u O rt/ on oeart oad
__________________________
Op«n
J|
1
Acto seguido, nos ap a rece rá una nueva ven tan a sim ulando una ventana de una consola de com andos.
In tro d u cirem o s el usuario de la m áquina rem ota y su co n traseñ a respectiva. Tras introducir los datos de
usuario nos ap a rece rá una confirm ación de la conexión al servid o r ssh, pudiendo de este modo eje cu tar
com andos rem otam ente.
ífW(ír4S«fvicíof ^ -
© RA-M A
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
I PRACTICA 6.5
T L S / S S L . P R O T O C O LO S S E G U R O S
A m enaza o vu ln erab ilid ad es
El softw are Caín & Abel para siste m a s W indows perm ite en caso de realizar un ata q u e MitM, poder an a liza r el
tráfico de una red local, id entíñcar los m e n s a je s y extrae r cre d e n cia le s de los protocolos que envían su s m en sajes
en texto plano, por ejem p lo en tre los m ás conocidos y em p lead os: FTP, PO P3, SMTP, Telnet y HTTP.
flewr Cgrfujif« Toofc tjd
-J
£
M
©
Orcode-í | £
U S
5 S
Nrtwork
Passvnrds
«¡*FTP(2)
3 HTTP (ZS82J
J
Srrffer
rnutarp
18/12/2010- 1
18/12/2010- 1
18/12/2010- 1
aa ldap (o)
■Jl POP3 (3)
• * 5MB (0)
■ Tgtot (0)
g WC (0)
3)TDS<0)
^ Í tNS(O)
Recom endaciones
En esta práctica verem o s distintos ejem p los de aplicación de protocolos seg uros:
H TTPS: siem pre que visitem o s una web en la que enviem os cre d e n cia le s, ve rifica r que se em plea et protocolo
https. Para verificar la autenticidad y confiar en la web, los naveg ad o res web
obtienen un certificado S S L
del sitio web. En caso de querer ad m in istrar una web segura d eberem os o btener un certificado S S L para
nuestra w eb, sum inistrad o por una autoridad certificadora extern a de confianza como lo son V erisign, Thaw te,
beTRUSTed o ValiCert.
En o casio n e s los n avegad ores web dudan de la veracidad de los certificados S S L , en ese caso debem os añadir una
excepción de seguridad en caso de confiar en el sitio web. De e se modo el naveg ad or web añadirá dicha excepción
y confiará en el sitio para próxim as visitas.
Añadir r a r p f M n d e tr g u n i
=
Esta conexión no
(« U lp tfM tilto vo eao drrtu M nn ItA u
l * i Imikm . UttwU» j «Itm uüm pijfafcrM
{•'JUtrtr cwtfC«dO [
LUM ád artcnto
M » w * rtw U
a mimmo con r4 p ím w rv. H ld i
¿Qi>¿ debería hacer?
|4mti4*d dntofWMU
I m M a r t i ««di »MCcaO
He m rirA« or ■iw*fi •>->.rnrgu» rwrw » i •«#*«<*) pr»
« U rfarcjnto n c ü rír á tro,
I *• . ¡
»Ard*J racnrml».
Detdte* técnica»
Entiendo los rín g o t
* l4 t * lo <m >MU toando. ¡w
>Vrt/ií»Vn
|
tM ^O »
~]
— «»cxjOQn fe w
ipaiiinifi»
| ■> / »— rn « io n i» wy/Q«d j | CmxMu
)
S E G U R ID A D Y A LT A D IS P O N IB IL ID A D
© RA-M A
FTP segu ro: la m ayoría de los servid o res y clientes FTP, soportan conexiones seg u ras, cifrad as sobre SSH y
T L S / S S L . V eam os como podem os configurar en un servid o r FTP adm inistrad o las opciones de seguridad S S L .
La configuración se realizará sobre el servid or FTP gratuito F ile zilla Server.
1 . En p rim er lugar co n fig u rarem o s S S L en O ptions - S S L / T L S se ttin g s. M arcarem os todas las opciones
y g e n e ra r certificado con G e n e rate new ce rtifícate. S e le ccio n a m o s la opción de longitud de c la v e , y
rellen am os los cam p os para la creación del certificado y se especificará la ruta al certificado. Una vez
generado asig n arem os puerto de escu ch a alternativo para las conexiones se g u ras en Listen for S S L /T L S only co n n ectio n s... (p e. el 9 9 0 ).
- Gerwal veMr#:
Wefcome n*mge
iPb
|
Paiuve rr o d e r e ^
Socurtyteflrtgi
Mitce*>r*©ui
Adrrr*'r¿«f«c®.rttng
GSSSert***
S p w j L t n íi
rii r lili....¡i.
C SSl/TLSu4trgT™^
J _»J
■I
f t lt x M a U n
(
l » pa«*»ord:
I
P
P
frow»e .
|
Storrd n
- •. TL¿onrcrn>drcrrxxtoo?
P £Orr»erpécfSSL/US
Ptowenrp»óatectarrMir551^15mode
0*en for 5SlfTLS-orfc ccrrccbons on the fofo«ng pom
Or.
f^90
A continuación para los usuario s que se deseen conectar m ediante soporte S S L /T L S , debem os de m arca r
la casilla Forcé S S L for u ser login en sus opciones de co n traseñ a .
2. En la m ayo ría de c lie n te s FTP, las opciones de configuración de cu e n ta s de usuario FTP, perm iten
conexiones seg u ras m edian te SSH y S S L /T L S .
<1
Ü ts f o r d e l i t i o *
Setecoone el stoo:
General
Avaru«do
Opaone? de tram /era n o*
Juego de caracteres
¡ i t+ í siten
Ji
Servidor:
im ito rs
I c o de servidor:
FTPS - FTP sofcre TIS/SSl irnpftdto
Puerto.
¡FTP • F ie lrarefer Protocol
|y T P -S 5 M Fie Transfer Protocol
Usuario.
[f W s -FTP wbr™ TL555l e itf d t o
uwano_l
Al in te n ta r conectarnos m ed ian te T L S / S S L nos m ostrará una pantalla para a c e p ta r el certificad o del
servidor, si confiam os lo acep tare m o s, haciendo que dicha conexión vía FTP sea cifrad as y no viajará n
d atos en texto plano.
3 . En caso de no poder configurar las opciones en el servid o r T L S / S S L por disponer de un alojam iento con
opciones reducid as, es posible al m enos e m p le ar en la m ayoría de los ca so s, como opción seg ura SFT P a
trav és de S S H . En la m ayoría de los ca so s usuario y contraseña se corresponden con los de FTP.
© RA-M A
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
l&l
PANEL OE CONTROL
|
TAt T1EN0A ClfflflTH
» JUut«narr«o Wm*
Oamian
( mal
SM HW MyMuttantt
Esfvaca* Wat» y Accat«
A ccaao S SH (S atu ra Shall)
UT-. • uw fjiía i SSHoua M m u n M ii n »tía p * * n a p a ra m ia rU
S S H ftvtd a m « «* 0n ai tar«Oorw*ft
En :» w o* uu* * rt» O M *ó o «u tontaaaria mtroauxa wna m/anra fcn uno* mmutot a»Ur» datpon©**
A K M tU H ltW lf
n ia l
CtpaoawM»
*at
UlMafcMkmO»*»
ManwM iPaO
Impaitanr»;
Las (ontraaeAa (¡ma mi uauartO S8H »pa«a n uium ^mnncmM fTP M la resma
Si rnodAca la contaaaAa *n acta p fc jin u n & itn 1a mosMkaiÉ >aconraaaAa para al lituano wvooal m *
Daaca «m v Saílwat a
Satv4ctaa lá rta n in
Correo electrónico: en las cu en tas de correo es recom endab le re visa r la configuración y su s opciones
para que siem p re em p leen https.
Para la configuración de cu e n tas de mail a través de clientes de escritorio alg unos se rvid o re s com o gmail
com ienzan a requerir el uso de puertos y protocolos de tran sferen cia seg uros m ediante S S L :
Cuenta de C orreo: usuario@gmail.com.
Datos POP: Servid o r: p op .gm ail.com . U sar S S L : S Í. Puerto: 995.
Datos SM TP: S e rv id o r: sm tp .g m a il.co m . U sar T L S / S S L : S Í. Puerto: 4 6 5 ó 58 7 .
Recom endación
S ie m p re que tengam os que co nfig u rar servicios tanto clientes como se rvid o re s, que requ ieran el uso y envío de
co n traseñ a s, es recom end ab le el uso de configuraciones y puertos que transm itan su s m e n saje s cifrados.
V PN
Una red privada virtual o VPN (Virtual Prívate N etw ork), es una tecnología de red que perm ite una e x te n s ió n de
u n a red lo c a l de forma segura sobre una red pública, como Internet.
Algunas aplicaciones de dicha tecnología son la posibilidad de conectar utilizando la infraestructura de Internet,
dos o m ás sucursales de una em presa, perm itir a los miembros del equipo de soporte técnico la conexión desde su casa
al centro de trabajo, etc. P ara haeerlo posible de m an era segu ra es necesario proporcionar los medios para garan tizar
la autenticación, integridad y confidencialidad de toda la comunicación:
A u ten tica ció n y au torización: se controlan los usuarios y/o equipos y qué nivel de acceso debe tener.
In te g r id a d : los datos enviados no han sido alterados, se utilizan funciones resum en o hash, como MD5 y
SHA.
C on fid en cialid ad : que la información que viaja a través de la red pública solo puede ser interpretada por los
destinatarios de la misma. Para ello se hace uso de algoritmos de cifrado como DES, 3DES y AES.
N o re p u d io : los m ensajes tienen que ir firmados.
Básicam ente existen tres arq u itectu ra s d e co n ex ió n VPN:
VPN d e a cceso rem oto: el modelo m ás usado, usuarios o proveedores que se conectan con la em presa desde
sitios remotos (oficinas públicas com partidas, domicilios, hoteles, etc.) utilizando In tern et como vínculo de
acceso.
145
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
VPN p u n to a punto: conecta ubicaciones rem otas como oficinas, con una sede central de la organización. El
servidor VPN, que posee un vínculo perm anente a Internet, acepta las conexiones vía In tern et provenientes de
los sitios y establece el túnel VPN. M ediante la técnica de tu n n e lin g se encapsulará un protocolo de red sobre
otro creando un túnel dentro de una red.
VPN ov er LAN: es el menos difundido pero uno de los m ás poderosos p ara utilizar dentro de la em presa.
Em plea la m ism a red de área local (LAN) de la em presa, aislando zonas y servicios de la red interna, a los que
se les puede añadir cifrado y autenticación adicional m ediante VPN. Perm ite tam bién m ejorar las prestaciones
de seguridad de las redes inalám bricas, haciendo uso de túneles cifrados IPSEC o SSL que agregan credenciales
de seguridad del propio túnel VPN.
El protocolo estándar que utiliza VPN es IPSEC, pero tam bién trabaja con PPTP, L 2 TP, SSL/TLS, SSH, etc. Dos
de las tecnologías m ás utilizadas para crear VPN’s, en realidad son diferentes protocolos o conjuntos de protocolos,
P P T P y L2TP:
P P T P o Point to Point Tunneling Protocol: es un protocolo desarrollado por Microsoft y disponible en todas las
plataform as Windows. Es sencillo y fácil de im plem entar pero ofrece m enor seguridad que L2TP.
L 2T P o Lciyer Two Tunneling Protocol: Se tra ta de un están d ar abierto y disponible en la m ayoría de plataform as
Windows, Linux, Mac, etc. Se imple m enta sobre IPSec y proporciona altos niveles de seguridad. Se pueden u sar
certificados de seguridad de clave pública para cifrar los datos y g aran tizar la identidad de los usuarios de la
VPN.
PRÁCTICA 6.6
C O N EX IÓ N REM O TA CON VPN
En este caso práctico in sta lare m o s un servid o r de VPN en los siste m a s op erativos W indows y GN U /Linux
m ediante el program a Logmein Ham achi que perm ite la com unicación entre 2 m áq uin as rem otas m ediante VPN
de m anera fácil y sencilla.
A cada cliente H am achi se le asigna una dirección de la red 5 .0 .0 .0 Esta dirección es asignada cuando el cliente
se autentifica en el sistem a la prim era ve z, y es en ad elan te asociada con la clave de cifrado pública del cliente.
M ientras el cliente retenga esta clave , puede au ten tificarse en el sistem a y utilizar esa dirección 1P 5 .X .X .X . La
red 5 .0 .0 .0 / 8 es utilizada para e v ita r colisiones con redes IP privadas que podrían e sta r utilizándose en la parte
cliente. El bloque de d irecciones 5 .0 .0 .0 está reservado por la 1ANA y no está actualm ente en uso en el dominio
de en cam inam iento de In te rn e t, pero no está garantizado que esto continúe así en el futuro.
1. Antes de em p e za r la instalación es necesario re g istra rse en la página w eb de Logmein para tener acceso
al instalad or del program a y poder u sar dicha aplicación m ás adelan te.
h ttps://secure. logm ein. com/ES/products/hamachi2/do wnload. aspx
La aplicación se ofrece de dos m odos, con gestión o sin gestión. En nuestro caso elegirem os la opción
"con gestión" para d isfrutar de todas las utilidades de esta aplicación, Acto seguido cre are m o s la cuenta
de usuario pulsando ei botón "C re a r cuenta". C re a re m o s la cuenta de usuario con los datos de form ulario
requeridos, y con la cuenta activ a, volverem os a en tra r en la web, acced erem o s a nuestra cuenta e irem os
a la sección “ p ro d u cís" / "logm ein Hamachi". Una vez dentro de la página de la aplicación, pulsarem os
en "get started" para obtener el instalador. Tras esto p ulsarem o s en ''download now" para obtener el
instalador.
146
© RA-M A
2.
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
Realizarem o s la in s t a la c ió n , y eje cu tare m o s la aplicación para e m p e z a r a cre a r nuestra red VPI\I. Para ello
eje cu tare m o s el program a y pulsarem os en la opción "C re a r una nueva red":
Para c re a r la nueva red tendrem os que in sertar un nom bre para la red y una contraseña para ev itar que
se añ ad an usuario s a je n o s a nosotros. Tras re llen ar los cam p os, pulsarem o s en "crear".
Crear nu rv * r rd é* <fcm tr{f)
K>4at»4
traba*
U JQka par* Jtxm W»*dv trrt* a dk
Cottadl»
IZWMi
5« «¿fea par• »«angr 4 aa»to a la r«d
1
fr—
j
C ft» »
lin iff inWm P « a i r r « >BMmirra rrad Qrriwnrdi f fl
Una vez cre ad a la red ve rem o s como el m enú principal de Ham achi m uestra d irectam en te la red que
acab am o s de cre a r:
! o trM f» T r
fceo
X
Hamarhi'
¿yuta
• E l 5.186.10.91
| ¡ g f l FRKTARVl
V )1
9 Grupo de trábalo anime
Con esto ya d isponem os de un servid or VPN a la e scu ch a de peticiones cliente.
3.
Para conectarnos desde otro ordenador en una ubicación distinta de nuestra LAN, e je cu ta re m o s la m ism a
aplicación que efectuará el papel de cliente en otro ordenador. Seleccio n arem o s la opción de m enú "Red"
y "U nirse a una red existe n te":
En la sig u ie n te ve n tan a ten d re m o s que in sertar el id de red que hem os creado an te rio rm e n te y la
contraseña. Tras esto pulsarem os en "unirse". De esta forma ya estam os agregados a la red virtu al:
1o q f W i t
god
g
j
v+ ñ*
_
X
A fj.ii
6 1 9 7 4 1 .1 6 3
Q Grupo de trabajo onfcne
V
w FRQfrWTH. - 1 U 6 .10.91
Una vez conectados de form a segura entre 2 equipos, podem os co m p artir archivos, e je cu ta r aplicacion es
de form a com p artida, entre otras opciones, de la m ism a form a que lo haríam os en una LAN.
Pulsando con el botón derecho sobre el nom bre del equipo que queram os re alizar la acción, nos m ostrará un
m enú con fas opciones disponibles, por ejem plo Explorar, para b uscar archivos y ca rp etas com p artid as.
147
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
4. C liente GN U/Linux H am achi. Para la instalación d e sca rg a r el paquete que perm itirá in sta lar la aplicación de
la web del fabricante. Tras esto descom p rim ir el fichero en una carpeta e instalarlo, m ediante el com ando
make install, contenido en la carpeta h am ach i-ve rsio n -ln x.
Sin m overnos el m ism o directorio de la carp eta donde hem os descom prim ido todos los ficheros, irem os al
directorio tuncfg, para e je cu ta r el clie n te: ,/tuncfg.
A continuación g en eram os la inform ación de la cu e n ta: ham achi-init.
A rran cam o s el servicio de ham achi con la siguiente orden: ham achi start. Tras esto ponem os el servicio en
línea con la sigu iente ord en: ham achi
logín.
Para añadirnos a la red que hem os creado en w indow s lo harem os de la sig u iente m anera. En p rim er lugar
definim os nuestro nom bre a nuestra m áquina con la orden: ham achi set-n ick Linux.
Posteriorm ente/ en trarem o s a la red cread a en w indow s: ham achi join n o m b re _d e _re d p assw ord , para
nuestro caso nom bre de red: Grupo de trabajo online y co n traseñ a 123456. A continuación nos indicará
Joining Grupo de trabajo online . . ok
Para a p a rece r conectado en la red virtual utilizarem os la siguiente orden: ham achi go-online n o m b re _d e _
red
V erificam os los usuario s de la red y su statu s m edian te: ham achi list.
REDES INALAMBRICAS
E n los últimos; años ha irrum pido con fuerza, en el sector de las redes locales, las co m u n ica cio n es inalám bricas,
tam bién denom inadasivireless. La tecnología inalám brica ofrece muchas ven tajas en comparación con las tradicionales
redes conectadas por cable.
U na de las principales ventajas es la capacidad de brindar c o n e c tiv id a d e n c u a lq u ie r m o m e n to y lu g a r,
es decir mayor disponibilidad y acceso a redes.
La in sta la c ió n de la tecnología Inalám brica es sim p le y econ óm ica. El coste de dispositivos inalám bricos
domésticos y comerciales continúa disminuyendo.
La tecnología inalám brica perm ite que las redes se am plíen fácilmente, sin limitaciones de conexiones de
cableado, por lo que es fácilmente escalab le,
A pesar de la flexibilidad y los beneficios de la tecnología inalám brica, existen algunos riesg o s y lim itacio n es.
U tilizan rangos del espectro de radiofrecuencia (RF) sin c o ste s de licen cia por su transm isión y uso. Estos
rangos al ser de uso público están saturados y las señales de distintos dispositivos suelen interferir en tre sí.
El área problem ática de la tecnología inalám brica es la s e g u r id a d . Perm ite a cualquier equipo con tarjeta de
red inalám brica interceptar cualquier comunicación de su entorno.
P ara tra ta r estas cuestiones de seguridad se h an desarrollado técnicas para ayudar a proteger las transm isiones
inalám bricas, por ejemplo la en crip ta ció n y la a u ten tica c ió n . A pesar de las siguientes técnicas que se presentan
a continuación, y de los problemas propios asociados a las comunicaciones cableadas (fibra, cable de pares, coaxial)
como las interferencias y deterioros o daños físicos del m aterial, éstas siguen siendo los medios de acceso físico más
seguros que existen en la actualidad.
148
© RA-M A
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
SISTE M A S D E SEG U R ID A D E N WLAN
Los sistem as de cifrado empleados para autenticación como encriptación en redes inalám bricas son:
S istem a a b ierto u Open System : es decir sin autenticación en el control de acceso a la red, norm alm ente
realizado por el punto de acceso, ni cifrado en las comunicaciones.
W EP o WLred Equiualent Priuacy o Privacidad Equivalente a Cableado: sistem a estándar diseñado en la norm a
básica de redes inalám bricas 802.11. Em plea para la encriptación de los m ensajes claves de 13 (104 bits) o 5
(40 bits) caracteres, tam bién denom inadas WEP 128 o W EP 64 respectivam ente. Existen tam bién dispositivos
que perm iten configuraciones de 152 y 256 bits. En cuanto a la autenticación existen 2 métodos:
S is te m a a b ie r to u Open system , el cliente no se tiene que identificar en el Punto de Acceso d u rante la
autenticación. Después de la autenticación y Ja asociación a la red, el cliente tendrá que te n e r la clave W EP
correcta.
C laves p recom p artid a, Pre-Shared Keys o PSK. En la autenticación m ediante clave precom partida, se
envía la m ism a clave de cifrado WEP para la autenticación, verificando y controlando el acceso de este modo
el punto de acceso.
Es aconsejable usar la autenticación de sistem a abierto para la autenticación WEP, ya que es posible averiguar la
clave W EP interceptando los paquetes de la fase de autenticación.
WPA o Wi-Fi P rotected A ccess o A cceso P rotegid o Wi-Fi: creado para corregir las deficiencias del sistem a
previo WEP. Se h an realizado 2 publicaciones del están d ar WPA como solución interm edia, y el definitivo WPA2
bajo el están d a r 802.11). Se proponen 2 soluciones según el ámbito de aplicación:
WPA E m p r e s a r ia l o W PA-Enterprise (grandes em presas): la autenticación es m ediante el uso de un
servidor RADILJS, donde se alm acenan las credenciales y contraseñas de los usuarios de la red.
WPA P erson al (pequeñas em presas y bogar): la autenticación se realiza m ediante clave precom partida,
de un modo sim ilar al WEP.
U na de las mejoras de WPA sobre WEP, es la im plementación del protocolo de integridad de clave tem poral (TKIP
- Temporal Key Integrity Protocol), que cam bia cla v es d in ám icam en te a medida que el sistem a es utilizado.
Aportando un mayor nivel de seguridad en el cifrado, es posible em plear el algoritm o de cifrado sim étrico AES,
m ás robusto y complejo que TKIP, aunque su implementación requiere de hardw are más potente por lo que no se
encuentra disponible en todos los dispositivos.
Aunque WPA es indiscutiblem ente el sistem a m ás seguro, uno de los grandes problemas que se plantea es la
com patibilidad y disponibilidad de las distintas versiones y algoritm os de cifrado del mismo.
149
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
PRÁCTICA 6.7
W EP
A ctu alm ente re a liza r a u d it o r ía s w i r e l e s s para m edir el nivel de seguridad de n u estras redes in a lám b rica s es
una práctica esencial com o ad m inistrad o r en las corporaciones. E x isten m ultitud de ap licacion es que perm iten
m onitorizar y re cu p era r co n traseñ a s de redes in alám b ricas ( airodump, aircrack, e tc .), así como d istribuciones
Live (B a ck track , W iñway, W ifislax, e tc .) que las incorporan y disponen de script o aplicacion es que au tom atizan
el proceso de d esencriptado de co n traseñ a s.
1.
En nu estra práctica vam o s a com probar la vu lnerabilidad de las cla v e s WEP utilizando la distribución Live
W iñway 2 .0 que contiene la aplicación M in id w e p - g tk que nos ay u d ará a d esen crip ta r dicha cla ve . Con el
sistem a iniciado nos dirigim os al m enú principal - wifiway - su ite aircrack-ng - m inidw ep-gtk. Al ab rir la
aplicación nos ap arecerá lo sigu iente:
En la colum na de la izquierda tenem os una opción: “w irele ss cards", en la que podem os se leccio n ar la
tarjeta de red que d esee m o s en caso de tener 2 o m ás ta rje ta s in sta lad a s en nuestra m áquina.
En la m ism a colum na ten em o s las opciones del canal "Channel". Podemos eleg ir en que canal q uerem os
h acer el rastreo de redes inalám b ricas.
Encryption perm ite se leccio n ar el tipo de encriptación de las redes que se m ostraran en la lista de redes.
2 . A continuación re alizarem o s el escan eo con e! botón "Sean", en la parte su p erio r tendrem os la lista de redes
inalám b ricas que capta nuestra tarjeta de red inalám brica. En esta lista se especifica la dirección MAC del
punto de acceso , su nom bre, la potencia con que cap tam os la se ñ al, el canal que usa para tran sm itir y el
tipo de encriptación.
m m itfw c p g tk -3 0 % 0 1
f in ia
-
X
i
0 0 U * 7 4 2 * 5 0 8 _ p ttM íT K ___ 77____13___W E * _ C 0 I B 7 7 CS 7 1 3 A
fftanQ Atheros
»tfiSk iphvO]
Mi
»
f.ntfYptiO n
24
9 24 0 2 -> N o «cuori
X
nq J
r»$ 4
M c p J ty n * ?
•
*****
lin ld w ttp - gtk-2C JS 0L
3.
il® '
Una vez e sca n e a d a s las red es, seleccio narem o s la red de la que q uerem o s d escifrar su co n trasen a y
pulsarem os ei botón "Launch".
© RA-MA
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
Dependiendo de la calidad de la señ al, ia distancia al punto de acceso , el tráfico en la red inalám brica por parte
de otros equipos conectad os y las ca racterísticas de nu estra tarjeta de red in alám b rica, tendrem os que
esp e ra r m ás o m enos tiem po h asta que la aplicación recoja suficien tes p aqu etes de inform ación, en los que
se incluyen ve cto res de inicialización o IV s, que les perm itan d escifrar la cla v e de dicha red.
4. La aplicación realizará de form a au tom ática una se rie de acciones para la recogida m asiva de p aq u etes,
en el caso de que todo vaya bien, nos m ostrará una ven tan a que contiene un resum en de las acciones
re alizad as así com o la clave d escifrada en código A S C II:
wlanO Aihcro?
«thSV |p>iyOin
< n ln i4 ~ * p m u i a g i
K D ia lo «
AP MAC 00 13F7 42 F5D8
Esstd « ste rile
He* key 6173757261
ASCII key osura
Key is. »n file AmpvOO 13 F7.42 F5 D8_key
V
9 33 1*
Aceptar
»Stórting mrcroc* ng tú finii k«y
l 9 ) ) 17—¿»Startmg axncratfc ng co ftnd key
9 3317—>fcey of (00 13.F7 42 F5 D81 round «173757261
* 27 14 >Slflrting utrcjactc ng lo nnd key
^ 27 14 >Trytng to rimi k ry no«
'» 24 il-»A»rcpli»y ng -3 *ucc<iifu>.tr»iecting oow
9 24 51 >A«rpl*y ng 2 p 0841 )ucce%iful.tn}«cfing non»
dwrep gtk-20501
m lnldM cp m a iia g a ■KDi
li ss
Recom endación
C onfigurar el nivel de seguridad m ás alto posible, controlar periódicam ente los usuarios au torizados conectad os,
y re n o va r periódicam ente las co n traseñ a s.
| PRÁCTICA 6.8
W PA
Una configuración m ás segura que WEP, la proporciona WPA. Para fam iliarizarno s con la configuración de los
puntos de acceso inalám bricos em p learem o s un sim ulad or de configuración del dispositivo T P -LIN K TL-W A501G .
Para ello acced erem o s a ia web:
http://www.tp-link.com/5imulator/TL-WA501G/userRpm/index.htm, y en su sección G írele s, visu a liza rem o s las
opciones de S ecu rity Setting s:
151
© RA-M A
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
yilh extended Range
1. Vem os en su sección S ecu rity S ettin g s como es posible d eshab ilitar la seg uridad , o elegir en tre WEP, WPA/
WPA2 con servid o r Radius, y WPA/WPA2 - P5K es d ecir con clave precom partida, en las que será posible
indicar una clave de cifrado.
Entre las opciones WEP, podem os se leccio n ar el m étodo de au ten ticació n : Autom ático, sistem a abierto o
sha red key.
En las opciones WPA encontram os tanto para la configuración personal com o enterprise, podem os seleccio n ar
¡a versión WPA o WPA2, y el algoritm o de cifrado T K IP o A E S , asi com o el tiem po de actualización dinám ica
de la clave (group key update period).
Para el caso de WPA con au tenticación m ediante se rvid o r Radius podrem os indicarle la IP de la m áquina y
e! puerto del servicio de autenticación.
2.
En la configuración de la tarjeta de red de los c lie n t e s in a lá m b r ic o s , debem os esp ecificar las opciones
de configuración ad e cu a d as. Vem os a continuación las opciones de configuración WPA de una ta rje ta de
red In te l(R ) PRO /W ireless 3945A B G Net.
Crear p e rfil inalám brico
j Noento dei [ferii PwM nuevo
ü
3
OpaoriM gtrm/eàet
*
O p c io n e s d e s e g u r id a d
Opeen*i du
C o rtrtia fa
(■;
pecera!
0 poen** Oo wgmdid
OS«gu|iiidM nom «M f
W E P W b rt
Nfigino
W E P - M b te
W E P -1 2 9 b««
W P A P e n o m íJ T rjP l
V ^ A - P o . k ^ IA E S -C C M P i
ConeoMta
p®KrW n rjp ^
Ccr#j*»At de tepná» d naiánóoca (ci*** ó» codfccaorini
152
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
© RA-MA
PRÁCTICA 6.9
S E R V ID O R DE A U T E N T IC A C IÓ N R A D IU S
Una opción m ás se g u ra que p erm ita co n tro la r la au tenticació n de u su ario s se puede re a liz a r m ed ian te la
configuración de un servid or Radíus. Radius o Rem óte A uthentication D ial-In U ser S e rv e r, es un protocolo de
autenticación y autorización para ap licacion es de acceso a la red o m ovilidad IP. Utiliza los puertos 1812 y 1813
UDP para esta b le ce r su s conexio nes.
En esta p ráctica re alizare m o s la instalación y configuración de un se rvid o r Radius bajo G N U /Linux llam ado
freerad iu s, para au ten ticar conexiones que provienen de un punto de acceso Linksys W R T54G L.
1.
La instalación del paquete se realiza m ed ian te: aptitude install freeradius. Tras la instalación tendrem os que
configurar los usu ario s que se au tenticarán en radius. Esta au tenticación se realiza a través del fichero
/etc/freeradius/users que contiene, en texto plano, los usuario s que tienen perm itida la autenticación.
Algunos usuarios se en cuentran preconfigurados, podrem os añ ad ir las líneas de usuarios que d esee m o s.
En dicho fichero introducirem os los usuarios que q uerem os au tentificar y sus re sp ectiv as co n traseñ a s tal
y com o m uestra la im ag en :
■
t
s,
•mm M
•
»
•
t u l l í i« • *tt« PP0 *„
r m d mu • IMS,
'n v id Coaprntlo* * Van
(9 * 9
• t t u i» m n i!»* for ■«t«r aith • ipect ir i»»ir m h
4 «*st* th* 4m A\t QuOle* turroundlnq \ht raar
,4
teply
Mm>— *
m un«*
\{U*er *••»}*
Mm j y»*»—»» *•
M»\i MrtMi* • ‘« t i l l , N(IM« M H |*
(Iw ^ n t
«fctiap *
***»•'
íim
En nuestro caso introducim os el usuario Juanm a y M acarena con sus resp ectivas contraseñas en texto plano.
2. Ahora tendrem os que configurar los clien tes, es decir, los puntos de acceso se rán los clientes de nuestro
servid o r radius.
Para introducir la inform ación sobre los clientes (puntos de acceso que solicitarán la verificación de usuarios
inalám bricos finales) en la configuración de Radius m odificarem os el archivo /etc/freeradius/clients.conf
donde introducirem os la inform ación de las IP de los puntos de acceso que quieran em p lear el servid o r
(1 9 2 .1 6 8 .1 .2 en nuestro ca so ), a s í como la contraseña entre punto de acceso y se rvid o r (secret = fútbol),
y el nom bre de la red o S S ID (sh o rtn am e = punxos) tal como m uestra la siguiente im agen:
:U w t
i f í 1U l
i*<r*i
iMirTaaav
l/M
(
r r llr M
r»J 1M o o IB {
0
•
w rti
ihortiwar
• TfttingUJ J
* P'watr ••«twj*» 1
• in tliig U i 3
• prívate iwtwvrw
; irrt if. •« . .
wtxt
• rwttol
1
" F*-M>
Reiniciam os el se rvid o r Radíus m ediante la siguiente orden: service freeradius restart.
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
3 . A continuación config u rarem os el p u n to d e a c c e s o de m anera que la autentificación la realice Radius.
En nuestro caso acced em o s a la sección "w ireless se cu rity" del punto de acceso para configurar una clave
W PA2enterprise y las d istintas opciones para Radius:
F [jV * d T O S e tu r * v
«-
c
Q t+tn*á ?
Q 192.168.1.2 Í V
rr>
Pmujryátm ^wJo»
L in k s y s
WirtlemG flroodbi
Wireless
Setup
MAielraa
Accra«
Redi littori«
Secuflty
Application«
*Geming
-»- —— .
W kcte u Sccurrty
SoCcrCy Mode
W PA2 E n e rp m t
WPA AJ^ortms
TKIP-AES -
*ADUS5a
i»: i«« i
RADUSPort
1812
Stor'd Key
Wt>9!
Kry Rtr+wi* T nccvi
3600
| S»v» Sailings B C«nc«l Ch>n;«<
El se rvid o r Radius com o vem os se encuentra disponible en la IP 1 9 2 .1 6 8 .1 .1 9 , la contrasena fútbol, el
puerto 1812 y los algoritm os de cifrado T K IP + A ES .
4.
Por últim o, solo queda configurar en e l u s u a r io c lie n t e final (ta rjeta de red inalám b rica) la conexión
al punto de acceso de m anera que la autentificación pase a Radius. Para la configuración de un cliente
w indow s xp tend rem os que b uscar la red m ediante el asiste n te de conexión Inalám brica de W indows (en
nuestro caso punxos).
S i intentam os re alizar una conexión con el punto de acceso , nos bloqueará la conexión ya que detectará que
h ay un servid o r de Radius en la red y el perfil de conexión del cliente no está configurado para autenticación en
Radius. Para so lu cio nar e ste problem a en trarem o s en las propiedades del ad ap tad or wireless y nos dirigim os a
la sección "redes inalám b ricas", y configuram os una nueva configuración o perfil para el S S ID concreto (en este
ca so punxos).
En la configuración de la red, en la sección Asociación tenem os que se leccio n ar una autenticación de red "W PA2"
y el cifrado de datos "A ES ":
p u n x o « |ir u p in t a r l* %
Aíooaatín
?
¿utenftcación Conexión
yombe do ted |SSID)
Ella red i*ouetecnac4sve parato v y j t d e
Aytanbcaoón de rod
£iiado de dota:
B D B 9 H IH H H
•
v
En la pestaña A utenticación se leccio n are m o s las opciones que ap arecen en la im agen siguiente.
154
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
© RA-M A
plihxw piopicdailci
Atooaoon
AlJ*ntaeaón
Seiecoonc mta opción pa* proporcaorv» acceso «ienüc*ío a iodei
Ethernet m linbnc«
0 H ^ 4 i el con*!oí de acceso a la red medanie fEEE 902 1>í
leo daEA P: EAP piotepdo (PEAPJ_______________________________
j gropgdodei j
f~| A M í t s k * como equipo cuando la n é c r m * o ó n da eguoo esté djpoobto
Q Auionhcar como velado cuando d utuano o la rícrrr^aón de equpo no
etlén cfcpcnfcie:
Pulsam os el botón de Propiedades y d eseleccionam os la opción que dice “ va lid a r un certificado dei servid o r" En el
caso de q uerer dicha opción tend ríam os que habilitar uno en nuestro se rvid o r en /etc/Freeradiusfcerts.
Pulsam os el botón "Configurar", y no activarem o s la opción, para que el se rvid o r Radius no acep te au tom áticam ente
el usuario y password de inicio de sesión en W indows.
Tras esto, guard am os tos cam bios y nos volvem os a conectar al punto de acceso . Ahora nos pedirá el usuario y
contraseña para poder autenticarlo en el servid o r Radius.
RECOMENDACIONES DE SEGURIDAD EN WLAN
Dado que el acceso a redes inalám bricas plantea un punto muy débil de seguridad en redes corporativas algunas
recomendaciones para m ejorar la seguridad son:
A segurar la adm inistración del punto de acceso (AP), por ser un punto de control de las comunicaciones de
todos los usuarios, y por tanto crítico en la red, cambiando la contraseña por defecto. A ctualizar el firm ware
disponible del dispositivo para m ejorar sus prestaciones, sobre todo de seguridad.
A um entar la seguridad de los datos transm itidos: usando encriptación WEP o WPA/WPA2 o servidor Radius,
y cambiando las claves regularm ente.
Cambia el SSID por defecto y desactiva el broadcasting SSID. Los posibles intrusos tendrán que introducir
m anualm ente el SSID y conocerlo previam ente. Aunque la adm inistración de los clientes se complica ya que
deberán conocer el nombre exacto del SSID.
Realizar una adm inistración y monitorización minuciosa:
D esactivar el servidor DHCP, y asignar m anualm ente en los equipos las direcciones IP. C am biar las
direcciones IP del punto de acceso y el rango de la red por defecto.
Activar el filtrado de conexiones perm itidas m ediante direcciones MAC.
E stablecer un núm ero máximo de dispositivos que pueden conectarse.
Analizar periódicam ente los usuarios conectados verificando si son autorizados o no.
Desconexión del AP cuando no se use.
A ctualizar el firmware dei dispositivo, para evitar vulnerabilidades o a ñ a d ir nuevas funciones de seguridad.
155
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
I PRÁCTICA 6.10
C O N F IG U R A C IÓ N A P S EG U R O
V erem os a modo de ejem plo en el sim u lad o r de TP-Link http://www.tp-link.com/simulator/TL-WAS01G/userRpm/
index.htm, com o re a liza r dichas configuraciones:
D eshab ilitar el envío del nom bre de la red SS1D :
54M
vtirateuAccMéPotf« Wireless Mode Settings
M eo» M* T l VASSOIO
0
Dilatile W lietra «
. Acre«« Poèti
Q
SftJM» $9U» i io i i t a t l
,'~>C»eni
M odificar el nom bre de usuario y su contraseña por defecto de ad m inistrad or:
54M
Wr*»m Acce«« Po.-:
r i ttMPtO
P a ssw o rd
D esh ab ilitar el servid o r DHCP y reasignación de direcciones IP está ticas en una red diferente a la por defecto
(n o rm alm en te 1 9 2 .1 6 8 .0 .0 o 1 9 2 .1 6 8 .1 .0 ), esta m o s suponiendo que el punto de acceso no realiza enrutado
por lo que no es la puerta de en lace de nu estra red. 1P de configuración del AP 1 9 2 .1 6 8 .2 5 .1 5 1 , la puerta de
en lace d eb erá configurarse de forma independiente.
T P L IN K
156
wuh extended Range '
© RA-M A
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
Filtrado de MAC: añ ad irem os las MAC de los dispositivos (p reviam en te insp eccion arem os la MAC en las tarje ta s
de red inalám b ricas) que querem os perm itir (privilege = ailow ) el acceso a la red.
Actualización del firm w are: es posible d escarg a r de la web del fabricante un archivo, o incluso probar algún
softw are alternativo como O pew rt, DDWRT o Tom ato. S e recom ienda siem p re re alizar p reviam en te una
copia de seguridad del firmware actual.
157
REFERENCIAS WEB
Curso abierto con m ateriales y ejercicios sobre Seguridad Avanzada en Redes:
http: / / o c l ü . uoc.edu / informático,-tecnologia-y-multimedia / aspectos-avanzados-de-seguridad-en-redes / Course.
listing
Sitio web sobre seguridad inform ática en m ateria de redes:
http:I / www.virusprot.com/
Noticias sobre seguridad en redes. Asociación de internautas:
http: / / seguri.dad.internautas.org/
Conexiones inalám bricas seguras y auditorías wireless en:
http:/ / w ww.seguridadwirehss.net /
Blog especializado en seguridad y redes:
http: / / se.guridadyredes.nirc.blog.com /
RESUMEN DEL CAPÍTULO
A finales del siglo XXy principios del XXI las redes han significado una verdadera revolución tecnológica,
a la que m illones de usuarios se h an unido. Nuevos peligros han surgido como la falsificación ispoofing) de
identificadores de red y sitios web, ataques de denegación de servicio Dos y DDos y la interceptación del
tráfico de red m ediante sniffing con Man in the Middle.
En este capítulo se han analizado las diferentes técnicas para evitar dichos ataques en redes corporativas,
producidos por atacantes internos. Algunas de ellas son, ap a rte de revisar las configuraciones y contraseñas
por defecto de routers y servidores:
Em plear protocolos seguros cifrados como SSH, los proporcionados por la capa TLS/SSL y VPN para
conexiones entre ubicaciones remotas.
R ealizar periódicam ente un análisis del tráfico de red m ediante sniffer y software de detección de
intrusos (IDS).
E vitar accesos no autorizados a la red corporativa, empleando redes cableadas o en todo caso, dado
ei desarrollo de redes wireless, debido a su facilidad de instalación y bajo coste, em plear mecanismos
de seguridad como direccionamíento estático, filtrado MAC y sistem as WEP, WPA y WFA2. En
grandes organizaciones se recomienda el uso de servidores de autenticación RADIUS.
158
6 ■S E G U R ID A D EN R E D E S C O R P O R A T IV A S
© RA-M A
EJERCICIOS PROPUESTOS
de red. Si quieres capturar gran parte del tráfico
de la red deberás realizar previam ente un ataque
MitM a la pu erta de enlace o conectarte a una
WLAN. Se recom ienda siem pre que utilices un
sniffer configurar las opciones de filtrado p ara
m onitorizar solo el tráfico deseado. Busca los
filtros necesarios p ara ra stre a r solo los protocolos
FTP, HTTP, P 0P 3, etc.
1. Realiza una investigación sobre qué puertos de
comunicaciones son más vulnerables, realizando un
escaneo de puertos y analizando la información que
ofrecen los siguientes enlaces:
h ttp:i / w ww.internautas.org/ w-scanonLine.php
h ttp :/ / wLvw .upseros.com / portscan.php
http.7 / www.kuron.com/utils / portscanner / index.php
¿T ien es c e rra d o s los p u e rto s em p lea d o s
frecuentem ente por el m alware? ¿Qué IP visualiza
el escáner de puertos? ¿Es tu conexión a In tern et
d irec ta, o m ed ian te un ro u ter? C om para la
dirección IP de tu tarjeta de red y la que aparece
en e¡ escaneo de puertos.
¿Es posible, m ediante obtener las co n traseñ as
de protocolos como telnet, HTTP, FTP, SMTP
o P 0 P 3 de correo electrónico? ¿Cómo? ¿Qué
ventajas ofrece https? ¿Te conectarías a una web
de un banco m ediante http? In te n ta acceder a
tu correo electrónico vía web (H otm ail, Yahoo,
Gmail) ¿es posible descubrir m ediante W ireshark
la contraseña? ¿Por qué?
¿Para qué sirven los puertos 23, 13o y 443? ¿Son
seguros?
2. A continuación se lista una serie de enlaces que
perm iten realizar un test de la velocidad de acceso
a Internet, de modo que un resultado muy inferior
al co n tratad o p o d r ía ser un síntom a de te n e r
ocupantes no deseados en nuestra máquina. ¿Son las
v elo cid a d es de su bid a y bajada la s esp eradas?
h ttp: / / www.adsL4ever.com/test /
http: / / www.testdevelocidad.es /
http: / / www. interna-utas, org/ test velocidad /
http: / / www.adslayuda.com / test-de-velocidad/
R ecuerda que el ancho de banda del a u la es
compartido por todos los PC del mismo. Realiza
el test de velocidad de m anera individual (sin que
nadie en el aula lo realice o esté haciendo uso de
Internet).
3. Los packet sniffers se em plean para m o nitor izar
el tráfico de una red LAN o WLAN y algunos de
ellos son W ire sh ark (a n te rio rm e n te conocido
como E thereal), E ttercap, TCPD um p, W inDump,
WinSnif'fer, H unt. D arkstat, traffic-vis, KSniífer) y
p a ra redes inalám bricas como K ism et o N etw ork
Slumbler.
Descarga o instala W ireshark en tu equipo, y haz
que capture el tráfico que em ite y recibe tu tarjeta
4. C onfigura de form a segura un router Linksys
WRT54GL m ediante su web p a ra sim ulación de
configuración online:
http: / / ui. linksys.com/ files / WRT54GL / 4.30.0 / Setup, htm
¿Es posible c o n fig u rar todos los asp ecto s
analizados en el capítulo?
5. Busca información sobre la p in tu ra antiw ifi de
EM-SEC Technologies y descubre su principio de
funcionamiento. ¿Crees que podría ser útil y seguro?
¿Cómo se im plem entaría?
P uede leer sobre dicha p in tu ra en: h t t p : / /
w w w .publico.es/ciencias / 2 7 3 9 4 2 /una -pinturaprotege-a-los-navegantes-de-los-intrusos/ versiónim prim ible.
6.
Busca información acerca de AlienVault y de las
funciones que ofrece. Descárgalo y realiza pruebas e
informes de monitorización del tráfico de red ¿Puede
realizar funciones de IDS? ¿Es software libre?
7. In v estig a y u tiliza el com ando sep sobre una
conexión SSH para el envío seguro de archivos de un
equipo a otro. ¿Es posible abrir y utilizar una sesión
SSH em pleando cifrado asim étrico con claves RSA?
Investiga acerca de cómo hacerlo y realiza la prueba.
159
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
8 . ¿Es
posible realizar MAO spoofing o falsificación de
la dirección MAC de una tarje ta de red? Busca cómo
se realiza para sistem as GNU/Linux y Windows y
pruébalo.
© RA-M A
9. Realiza el siguiente test sobrephishing de V erisig n
disponible en h ttp s://w w iv .p h isk -n o -p h ish .c o m /
es con consejos útiles para reconocer páginas web
falsas y realiza un resum en con recom endaciones
útiles. ¿Crees ahora que solo garantizando que la
web es h ttp s se tra ta de una web confiable?
TEST DE CONOCIMIENTOS
La configuración de clientes de red en WLAN es
m enos compleja si:
No se habilita DHCP server en el AP.
Se habilita el SS1D broadcast.
Se habilita la seguridad WEP,
Se habilita la seguridad WPA.
Con respecto a SSH:
Es un servicio único de GNU/Linux.
En Windows se puede em plear el cliente Putty.
Es un protocolo que em plea el puerto 23.
N inguna de las anteriores.
El puerto que no emplea TLS/SSL es:
Indique qué sentencia es verdadera:
Las redes inalám bricas son más o menos igual de
seguras que las cableadas.
Las redes inalám bricas nunca serán tan seguras
como las cableadas.
Las redes cableadas UTP son m ás seguras que
con STP.
Las redes do fibra óptica son menos seguras que
las inalámbricas.
El mecanismo de seguridad más robusto en redes
inalám bricas es:
Open system.
WPA2.
WPA.
W EP
E n redes inalám bricas no se recomienda:
C am biar el SSID de fábrica.
C am biar el password de adm inistrador por de­
fecto.
H abilitar el DHCP.
Tener claves WEP complejas.
160
22.
990.
995.
443.
Frente a ataques MitM una posible solución es:
Em plear en trad as ARP dinámicas.
E m plear direcciones IP dinámicas.
Em plear direcciones IP estáticas.
Em plear entradas ARP estáticas.
¿Cuál de estos p ro g ram as no funciona como
sniffer?
Cain & Abel.
Snort.
W ireshark.
Logmeln.
El protocolo están d a r para conexiones VI’N suele
ser:
P PT P
IPSEC.
L2TP.
SSL/TLS.
/
Valorar los peligros externos a
las redes corporativas y conocer
las medidas de seguridad
perimetrales para hacerles frente.
/
Comprender la importancia de
los puertos de comunicaciones y
su ñltrado mediante cortafuegos
o firewall.
/
Aprender el significado de las
listas de control de acceso (ACL)
en routers y cortafuegos.
/
Comprender la importancia y
aprender a configurar servidores
y clientes proxy.
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
Cuando una red corporativa se encuentra interconectada a una red pública, los peligros de ataque a sus servidores,
routers y sistem as internos se m ultiplican.
L as m edidas de seguridad pcrim etral suponen la p rim era línea de defensa en tre las redes públicas y redes
corporativas o privadas. E n tre otras estudiarem os el uso de co rta fu eg o s o firewall destinado a bloquear las conexiones
no autorizadas, y de ser v id o re s proxy que hagan de interm ediario entre clientes y servidores finales, perm itiendo el
filtrado y m onitorización de servicios.
i
A n a liz a la n o ticia " C h in o s a p re n d e n a e v it a r el Gran Firewall d e in te rn e t", e n co n tra d a e n :
http ://www. bbc. co. uk/mundo/cienc¡a_ tecnologia/2010/03/100320_ china_ in te rn e tco n tro l_ censura_
firew all_jp.shtm l, e in d ic a :
•
¿ Q u é e s el gran firewall ? ¿ Q u ié n co n tro la d ich o firewall? ¿ P a ra q u é ?
•
¿ Q u é tipo de p a la b ra s y w e b s son c e n s u r a d a s ? ¿ P o r q u é ?
•
¿ Q u é p o rc e n ta je y có m o c o n sig u e n e lu d ir el gran firewall? ¿M e d ia n te qué a p lic a c io n e s ?
CORTAFUEGOS
Un cortafuegos o firewall, es u n a aplicación o dispositivo diseñado para bloquear comunicaciones no autorizadas,
perm itiendo al mismo tiempo las que si lo están. La configuración para perm itir y lim itar el tráfico entre diferentes
red es o ámbitos de una red. se realiza en base a un conjunto de norm as y reglas. M ediante este mecanismo de defensa
podemos m antener la seguridad de alto nivel en una red o en una m áquina.
La utilización de un cortafuegos es necesaria cuando queremos proteger determ inadas zonas de nueva red o
determ inados hosts, de am enazas que provengan del exterior o, incluso, de am enazas que se provoquen dentro de
n u e s tra propia red ya sean por infecciones o ataques.
L as características fundam entales de los cortafuegos son:
Filtrado de paquetes de red en función de la inspección de direcciones de red: MAC. IP o puerto origen y destino,
perm itiendo con este último criterio proporcionar un filtrado según las aplicaciones asociadas a dicho puerto.
Filtrado por aplicación: perm ite especificar las aplicaciones y reglas específicas para cada una de ellas.
Las d istin tas reglas de filtrado se aplican sobre el tráfico de salida o de entrada en una determ inada interfaz
de red.
Registro o logs de filtrado de paquetes.
162
© RA-MA
7 ■S E G U R ID A D P E R IM E T R A L
PRÁCTICA 7.1
C O N F IG U R A C IÓ N DE C O R T A FU EG O S
En siste m a s GN U /Linux, Ip ta b le s es una de las herram ien tas cortafuegos m ás em plead as, que perm ite el filtrado
de paq uetes de red así como re a liza r funciones de NAT (NetWork Aüdress Translation - Traducción de Dirección
de R ed). No es necesario instalarlo pues viene incorporado en el núcleo de GN U/linux,
E s una aplicación que contiene una serie de cad en as de reglas de filtrado en 3 tablas. A tend er al orden de dichas
reglas es muy im portante, ya que lee de m anera secuencial las ca d e n a s de reglas. Es decir, com ienza por la
prim era y verifica que se cum pla la condición, en caso afirm ativo la ejecuta sin ve rifica r las sig u ientes.
Por consiguiente, si la prim era regla en una determ inada tabla es re ch a za r cualquier paq uete, las sig u ientes reglas
no se rán verificad as.
1. La estru ctu ra de una orden de iptables sigue el siguiente patrón:
iptables -t [tabla] - -[tipo _o p eració n ] -- [cad e n a]-- [re g la _c o n _p a rá m e tro s ] - - [acció n ].
V erem os un ejem plo de com ando para en ten d er su estru ctu ra:
iptables -t fílter -A FORW ARD -i ethO -s 1 9 2 .1 6 8 .2 .1 0 0 -p tcp - d p o r t 80 -j A CCEPT.
T a b la 7 .1
1 tabla
-t filter
Tipo de operación
-A
Cadena
FORW ARD
R e g la _co n _p a rá m e tro s
-i ethO -s 1 9 2 .1 6 8 .2 .1 0 0
-p tcp —dport 80
Acción
-j A C C EP T
El tipo de operación es añ ad ir una regla (A ), sobre la tabla filter (tabla por defecto de filtrado), y cadena
FORW ARD (tráfico en rutad o).
La re g ia: aceptar (A C C E P T ) el tráfico TCP cuyo puerto de destino se a el 80 (H TT P ), en el interfaz ethO,
con IP origen 1 9 2 .1 6 8 .2 .1 0 0 .
2.
Las opciones m ás usad as de iptables so n: iptables - L
-L: listar las cad en as de reglas de una determ inada tabla (por defecto filter).
-F: elim ina y reinicia a los valores por defecto todas las cadenas de una d eterm in ad a tabla.
-A: añ ad ir cadena de regla a una d eterm inada tab la.
-P: añ ad ir regla por defecto, en caso de que no cum pla ninguna de las ca d e n a s de regla definidas.
Para siste m a s en los que no se haya definido an teriorm ente reglas para Iptab les el resultado de e je cu ta r
el com ando iptables -L tiene que se r sim ila r a perm itir todo el tráfico.
3.
Existen tres tab las incorporadas, cada una de las cu ales contiene cie rtas ca d e n a s predefinidas:
Filter tab le (Tabla de filtro s): E sta tabla es la responsable del filtrado (e s decir, de b loquear o
perm itir que un paquete continúe su cam in o ). Todos los paquetes pasan a tra v é s de la tabla de filtros.
Contien e las sig u ientes cad e n as predefinidas y cualq uier paquete pasará por una de ellas:
INPUT chain (C a d en a de ENTRADA) — Todos los p aq u etes destinados a este sistem a atraviesan
esta cadena (tam bién denom inada LO C A L_IN P U T o ENTRA D A _LO C A L).
163
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
OUTPUT chain (C a d en a de S A LID A ) — Todos los paquetes cread o s por este siste m a atraviesan
esta cadena (tam bién denom inada LO C A L„O U TPU T o S A U D A _L O C A L ).
FORW ARD chain (C ad en a de R E D IR E C C IÓ N ) — Todos los p aq u etes que pasan por este sistem a
para s e r en cam inados a su destino recorren esta cadena.
Nat table (Tabla de traducción de direccion es de red) — Esta tabla es la responsab le de configurar
las reglas de traducción de d irecciones o de puertos de los paq u etes. C ontiene las sig u ientes cadenas
redefinidas:
PREROUT1NG chain (C ad en a de PR ER U TEO ) — Los paquetes en tran tes pasan a trav és de esta
cadena an te s de que se consulte la tabla de enrutado.
PO STRO U TIN G chain (C a d en a de P O SR U T EO ) — Los paquetes sa lie n te s pasan por esta cadena
d esp ués de hab erse tom ado la decisión de enrutado.
OUTPUT chain (C ad en a de S A L ID A ).
Mangle table (Tabla de destrozo) — Esta tabla es la resp onsab le de a ju sta r las opciones de los
p aq u etes, com o por ejem plo la calidad de servicio. Todos los p aqu etes pasan por esta tab la. Está
diseñada para efectos avan zad o s, y contiene todas las cad e n as predefinidas an terio rm en te.
A la hora de definir una orden de iptables podrem os se leccio n ar ia tabla a la que va d estinada dicha orden
m ediante el p arám etro - t :
iptables - t [nat | fllter | m angle ]
4. Los m odificadores o parám etros m ás usuales en las reglas de iptables son los sig u ientes:
T a b la 7 .2
-i
In te rfaz de entrada ( e t h 0 ,e t h l(e t h 2 ...).
-o
In te rfaz de salid a ( e t h 0 ,e t h l,e t h 2 ...) .
—s p o r t
Puerto de origen (puede indicarse el nom bre o el núm ero de puerto del
protocolo, p .e j: http u 80).
—dport
Puerto destino (puede indicarse el nom bre o el núm ero de puerto del protocolo,
p .e j: http u 8 0 ).
-p
£1 protocolo del paquete a com probar, tcp, udp, icmp ó al!. Por defecto es all.
-j
Especifica el objetivo de la cadena de reglas, o sea una acción.
—lin e - n u m b e r s
C uando listam os las reg las, agrega el núm ero que ocupa cada regla
d entro de ia cadena.
S.
Las a ccio n es que esta rán siem pre al final de cada regla (d esp u és de - j) que d eterm inará que h acer con
los paq uetes afectados por la regla pueden se r:
A CC EPT: Paquete paquete aceptado.
R E JE C T : Paquete paquete rechazad o. S e envía notificación a través del protocolo ICMP.
DROP: Paquete paquete rechazad o. Sin notificación.
M ASQ UERA D E: E n m asca ram ien to en m ascaram iento de la dirección IP origen de form a dinám ica. Esta
acción es solo válida en la tabla NAT en la cadena postrouting.
164
© RA-M A
7 ■S E G U R ID A D P E R IM E T R A L
DNAT: En m asca ram ien to en m a sca ram ien to de la dirección destino, m uy conveniente para re-enrutado
de paquetes.
SNAT: E n m asca ram ien to en m ascaram ien to de la IP origen de form a sim ila r a m asq u erad e, pero con
IP Fija.
Ejem p los prácticos
R e alizare m o s la configuración de un cortafuegos cm ed iante un
script que d efin a:
Enrutam iento con NAT y registro o log de paquetes FORW ARD y PR ER O U T IN G . S e crea un registro en
log/iptables.log
/var/
para ten e r un control de lo que entra y sale de nuestro cortafuegos.
Reglas que perm ita el acceso a los protocolos HTTP, DNS y FTP en In te rn e t, pero solo a dos direcciones Ip
d eterm inad as desde una red local (1 9 2 .1 6 8 .2 .1 0 0 y 1 9 2 .1 6 8 .2 .1 1 4 ), todos los dem ás equipos no tendrán
acceso .
Redirección del tráfico web en ei puerto 80 por el puerto 3128 (P ro xy). V erem os su utilidad en el sig u iente
apartado.
#! /bin/bash
# borrar todas las reglas existentes,
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
# Aceptar el tráfico desde loopback
iptables -A INPUT -i lo -j ACCEPT
# Habilitar logs de todo lo que entra por FORWARD
iptables -A FORWARD -j LOG — log-prefix 'IPTABLESFORWARD : '
#Permitimos acceso a los puertos 8Ci (web) , 20 -21 (ftpFTP), 53 (dn s-tcp y ud]
# a los equipos: 192.168.2. 100 y 192.168. 2.114
iptables -A FORWARD -i ethO -s 192. 168 .2 .100 -P tcp --dport 80 -j ACCEPT
iptables -A FORWARD -i ethO “3 192. 168 .2. 114 -P tcp --dport 80 -3 ACCEPT
iptables -A FORWARD -i ethO -s 192. 168 .2. 100 -P tcp — dport 20 :21 -j ACCEPT
iptables -A FORWARD -i ethO -s 192. 168 .óO .114 -P tcp — dport 20 :21 -j ACCEPT
iptables -A FORWARD -i ethO -s 192 .168 .2 .100 -P udp — dport 53 ~j ACCEPT
iptables -A FORWARD -i ethO - s 192. 168 .2. 100 -P tcp — dport 53 "j ACCEPT
iptables -A FORWARD -i ethO -s 192. 168 .2. 114 -p udp — dport 53 "j ACCEPT
iptables -A FORWARD -i ethO -s 192. 168 .2. 114 -P tcp — dport 53
ACCEPT
#Cerramos los puertos bien conocidos (1-1024).
iptables -A FORWARD -i ethO -p tcp --dport 1:1024 -j DROP
iptables -A FORWARD -i ethO -p udp — dport 1:1024 -j DROP
#Hacemos log de todo lo entra por el PREROUTING
iptables -t nat -A PREROUTING -j LOG — log-prefix 'IPTABL E S P R E R O U T I N G : '
SRedirección de puerto 80, hacia el Proxyproxy, puerto 3128.
iptables -t nat -A PREROUTING -i ethO -p tcp --dport 80 -j REDIRECT — to-port
3128
^Enmascarar mediante NAT, todo el tráfico (la IP origen de los
#paquetes) de la red interna por la IP de la tarjeta de red externa o pública.
iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o ethl -j MASQUERADE
# Habilitamos enrutamiento entre tarjetas de red de nuestro equipo.
echo 1 > /proc/sys/net/ipv4/ip_forward
IFin del script
165
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-MA
Una v e z ejecutad o el script podem os ve r el resultado de la configuración, m ediante el com and o: iptables -n L .
0 9 0
root ^usuario-desktop: home usuario
Aichivo Ertit.il ^ ft Terminal Ayiyla
rootftusuarlo-deskto p^hon e/u suauo« lp ta tile s ni
i t u t INPUT f p o lliy ACCEPT)
targ et
prot opt source
0 00
ACCEPT
a ll
• 0 . 0 .0 .0 / 0
- .a. . /G
Chau FORWARD i p o licy ACCEPT
targ et
prot opl source
a l l - - O .O .O .fi/0
LOG
p r e fix
IPTABLESFORKAflD :
ACCEPT
192.168.2.
1 *°
ACCEPT
tcp - 192.168.2
ACCEPT
tcp - •
192.168.2.
ACCEPT
tcp
192.168.2.
ACCEPT
udp - 192 .168.2.
ACCEPT
tcp
192 .168.2.
ACCEPT
192 .168.2.
udp - ACCEPT
tcp - 192 .168.2.
DROP
tcp - • 0 . 0 . 0 , 0/0
DROP
udp — 0 .0 .0 0 /0
100
114
100
114
lea
100
114
114
Cf-air OUT PUT (p o lic y ACCEPT 1
target
prot opt source
ro o tftusu ario-deskto p:/ho»e/usuaao« |
HI
d e s tin a tio n
e .9 .o .o /e
LOO flag s 0 leve
0 .0 .0 .0 / 0
0 .0 .0 .0 / 0
0 .0 .0 .0 / 0
0 .0 .0 .0 / 0
0 .0 .0 .0 / 0
0 .0 .0 .0 / 0
0 . 0 .0 .0 / 0
0 .0 .0 .0 / 0
e . o . e . e /e
o .o .fl.e /o
tcp
tcp
tcp
tcp
udp
tcp
Udp
tcp
tcp
Udp
d p t:80
d p t:80
dpls:20:21
dpts:20:21
d p t:S3
d p t:53
d p t:S3
d pt:53
d p ts : 1: 1024
d p t S :l:1 0 2 4
d e s t in a tio n
II
Por otro lado para ve r las reglas PRERO U TIN G y PO STRO U TIN G de la tabla NAT: iptables - t nat -n L .
Para ve r com o se hacen efectivas las reglas de iptables, si in ten tam o s acced er a sitios web desde el equipo
configurado con IP 1 9 2 .1 6 8 .2 .1 0 0 , ve rem o s com o resuelve los nom bres de dominio com o tvivw.googye.es y accede
sin problem as. En caso de intentar a cced er a una web desde un equipo de la red pero con IP no perm itida (e j:
1 9 2 .1 6 8 .1 .5 0 .), no tendrá acceso a la navegación ya que se bloquea todo el tráfico hacia In te rn e t de cualq uier
dirección que no sea las acep tad a en las reglas.
PRÁCTICA 7.2
A R C H IV O S LOG
La herram ienta iptables por sí sí sola no realiza registros de cada una de las conexiones que filtra. E s posible
hab ilitar esta función realizand o una se rie de configu raciones en distintos a rch iv o s de m anera que queden
registradas todas las en trad as y salid as de nuestro cortafuegos.
Para ello an teriorm ente hay que definir la creación del registro a través de la acción - j log en las reglas de
iptables, pudiendo añ ad ir un prefijo a cada entrada en el log para poder identificar los paq uetes de form a m ás
sencilla, m ediante - -log-prefix. Por ejem plo en la práctica an te rio r hem os configurado:
iptables -A FORW ARD -j LOG --log-prefix 'IPTA BLESFO R W A R D : '
iptables -t nat -A PRERO U TIN G -j LOG --log-prefix 'IP T A B LE S P R ER O U T IN G : '
Hacem os log de todo lo que filtra FORW ARD y PRERO U TIN G .
1. Para hab ilitar el log en p rim er lugar vam os al archivo de configuración del sistem a de logs del núcleo
que se encuentra en la ruta /etc/rsyslog.d/50-defau¡t.conf y añad im os lo sig u iente:
kern, warning /var/log/iptables.log
© RA-M A
7 ■S E G U R ID A D P E R IM E T R A L
o•
•
g
*50-d«Vao!t c c n f ( e ft T iyfclog.d) • g e rii!
j
*ín
*
^¿Omnla*
W
^üesAace-
^
•V>d é faite onf »
»
0
O c fiu ll ru les for rsysloQ
For aor« Information vtç rsyslo g.co o f(5) and /etc/
rs y s lo g conf
standard log f il e s
• F ir s t
auth.autnpriv •
*. * ; autb, authpMv.none
<cro n .•
daeaon •
kern. •
log by f a c i li t y
/vir/loç/âuth log
■ /vn/loçAyslo g
/ « r / lo ç / c r » n .l 09
/ïüf/loj/diCT'on tog
/var/lo g /kïfn .lo g
/viiV log /tpr log
-/v a r/lo g / u ll.to g
7v*r/log/user log K
---- B.
mtr.»_________
äeni.wKtlUg
jjjjg
/ W / b l / l p U k < a .l
En los sis te m a s GN U /Linux generan m e n sa je s con diferentes niveles de prioridad, de m enor a m enor son: debug,
info, notice, waming, warn, err, error, crit, alert, emerg y panic. Con la línea an teriorm ente m encio n ad a, se añade
a iptables.log cualq uier registro del tipo w arning (nivel 4 ), asociad os norm alm ente a filtrado de p aq u etes de red.
Una vez introducida la configuración an terior reiniciam os el servicio rsyslog, aunque dependiendo de la versión
del kernel es posible que sea necesario re in icia r el sistem a por com pleto:
/etc/init.d/rsyslog stop
/etc/init.d/rsyslog start
Una vez reiniciado el se rvicio podem os o b servar que se ha creado el archivo de log m ed ian te: cat /var/tog/
iptables.log
A m edida que se filtren p aquetes se irán añadiendo registros a e ste archivo.
Los logs de iptables es posible tam bién verlos en /var/log/messages, el porqué de cre a r el archivo "iptables.log" es
debido a que en este archivo solo se alm acenan erro res a p artir de nivel 4 m ientras que en el archivo "m essag e s"
se alm a cen a cu alq u ier error, ind iferentem ente del nivel de error, y por tanto a la hora de buscar un registro de
iptables es m ucho m ás costoso.
2. Hasta aqu í tenem os la configuración del log de iptables pero ahora vam os a e xp licar que contiene un registro
del m ism o. Para ello, introducim os la sentencia anterior "cat /var/log/iptables.log" y vem o s que ap a rece algo
sim ila r a lo sig u iente:
i
9 O
~iptAbte% lo q (Soto l« ic tu fa | ( va i lo g l
* •</ r
Oec 21
l ì Ob usuarlo desktop Kernel (
table e ntries 1024 lorder 9, 4096 byte?)
Dec 21 91:15:05 usuano desktop kernel: (
Link ILMKC) enabled at I KO lfl
Oec 21 91.15:95 usuar lo -desktop kernel: )
Link iLJKfi) enabled at IRQ 11
Dec 21 91:12:95 usuario-desktop kernel: |
' resource for EISA slo t 4
I Dec 21 91:15:95 usuano desktop kernel- |
version 1
I Oec 21 91 15:95 usuario-desktop kernel I
6:779:293
Dec 21 91:15:95 usuar lo -desktop kern el: |
32x/32x na/tor»2 tray
^
9.528230) DQuot cache has«
9.552047) ACPI
PCI Interrupt
9.605369] ACPI : PCI Interrupt
o 7999211 Cannot allo cate
9.7053001 registered M skstats
0 7959*4)
fiagic ouster
1.199211) s r t : s c s iJ- a K drive
1 12*474!
) :5 é .t r -e 0« 00 9K»192.160 1.1
Pt M WÊÊ M V M » SP7*520
Dec 21 01.15:05 usuori o -desktop k e rn e l: I
L in k ILMKA] enabled a t IRO 5
Dec 71 01.15:05 u s u a rio 'd e skto p kernel I
i t »to ptano *
2 4774941 ACPI. PCI Interrupt
9.15W70] p ll* 4 safcus
Antfto de ta U M kio t -
K Col 2)9
INS
167
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
A nálisis de un registro de su ceso s del archivo iptables.log
La inform ación se ordena de izquierda a derecha siguiendo al modelo O S I de abajo hacia arrib a, prim ero lo referido
a en lace de datos (¡face, MAC), luego a red (dirección IP, T O S ) y por ultimo de transp orte (puerto, A CK , e tc .).
S e dará un breve detalle de cada cam po ya que hay inform ación que podría no e sta r p resente dependiendo de la
cadena dentro de la que se realizo el registro de algunos de los protocolos que intervienen en el caso.
D ec 2 1 : es el m es y el día del registro. (21 de d iciem b re).
1 0 :3 1 :4 1 : es la hora en la que se añadió el registro al archivo de log.
U suario-desktop : es el nom bre de la m aquina que realiza el log.
kern el: [ 4 0 8 1 .6 1 7 7 4 6 ]: es el código del log del núcleo.
IPTA B LESFO R W A R D : e s el prefijo que hem os añadido en la sentencia de ¡ptables para d iferenciar los registros
que provienen de iptables de cualq uier otro registro.
IN = ethO O U T= : interfaces de red por la cual entró la tram a y por la cual va a salir.
MAC: inform ación que m aneja la capa MAC (Media A ccess Control, junto a LLC conform an la capa de en lace
de d atos). S e concatenan los 6 bytes de la dirección MAC destino con los 6 de origen y com o se trata de un
d atag ram a IPv4 el código es 0 8 0 0 .
S R C y D ST: IP origen y destino.
LEN : longitud total del d atag ra m a , hace referencia al cam po LT de la cabecera IP (del bit 17 al 32) y no al
cam po IH L (longitud de la ca b e ce ra , del bit 5 al 8).
T O S y PR EC : cam po tipo de servicio de la cabecera IP, por lo general es 00 y con PREC (precedencia)OxOO.
TT L y ID : tim e to live (tiem po de vid a) y el cam po ID utilizado para re a rm a r fragm entos.
PROTO, S P T y DPT: en este caso , protocolo de transporte y puertos de origen y destino. El valor de PROTO se
obtiene del cam po protocolo de la cab ecera IP. El S P T y DPT son algoritm os de control.
T IP O S D E C O R TA FU EG O S
En general, para establecer las diferencias en tre los distintos cortafuegos atendem os a la flexibilidad y la facilidad
de configuración de los mismos, así como la capacidad de manejo de tráfico. U na clasificación posibles es por la
u b ic a c ió n en la que se encuentre el firew all:
F íre w a lls b a sa d o s en servid ores: consta de una aplicación de firew all que se instala y ejecuta en un sistem a
operativo de red (NOS), que norm alm ente ofrece otra serie de servicios como enrutam iento, proxy, DNS, DHCP.
etc.
F íre w a lls dedicados: son equipos que tienen instalado una aplicación específica de cortafuegos y, por tanto,
trabajan de forma autónom a como cortafuegos.
F íre w a lls in te g ra d o s : se integran en un dispositivo hardw are para ofrecer la funcionalidad de firewall. Como
ejemplos encontram os switches o roulers que integran funciones de cortafuegos.
F íre w a lls p erson ales: se instalan en los distintos equipos de la red de forma que los proteja individualm ente
de am enazas externas. Por ejemplo en un equipo doméstico el cortafuegos preinstalado en sistem as Windows.
168
© RA-M A
7 ■ S E G U R ID A D P E R IM E T R A L
Las arq u itecturas de cortafuegos m ás im plem entadas son:
S cr e e n in g router: como frontera entre la red privada y la red pública se encuentra un router que realiza
tareas de filtrado.
D ual H om ed-H ost: como frontera se dispone un equipo servidor que realizará tarcas de filtrado y enrutam iento
m ediante al menos 2 tarjetas de red, esto perm itirá una mayor flexibilidad en la configuración e instalación
de aplicaciones de seguridad.
S creen ed H ost: combina un router como equipo fronterizo exterior y un servidor proxy que filtrará y perm itirá
añadir reglas de filtrado en las aplicaciones más empleadas. Veremos el uso y configuración de servidores proxy
en un apartado posterior.
S creen ed -su bn et: m ediante la creación de una subred interm edia, denom inada DMZ o zona d esm ilita riza d a ,
entre la red externa y la red privada interna, perm itirá tener 2 niveles de seguridad, uno algo m enor en el
cortafuegos m ás externo y uno de mayor nivel de seguridad en el cortafuegos de acceso a la red interna.
I PRÁCTICA 7.3
C O N F IG U R A C IÓ N R O U T E R -F IR É W A L L
La m ayoría de los routers poseen opciones de configuración de cortafuegos o reglas de filtrado, ve rem o s estos
asp ecto s a 2 niveles dentro los productos de la em presa C is c o .
L in k s y s , es la división para el hogar y pequeñas e m p re sas, entre sus productos en contram os el router W R T54G L
con una web para sim ulación de configuración Online:
http://ui. linksys.com/fHes/WRT54GL/4.30. O/Setup.htm
Entre otras opciones disponem os de opciones de configuración básica de cortafuegos (opción Security - Firewall),
así com o una configuración m ás avan zada (opción A ccess Restrictions) donde podem os habilitar 10 políticas de
acceso independientes, por ejem p lo habilitar el tráfico a d eterm inad as horas, para determ inado tipo de tráfico
(p uertos-protocolos de ap licación ), equipos y sitios web.
169
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
Para el caso de los routers C IS C O de gam a media y alta, es posible configurar listas de control de acceso o A CL,
listas de condiciones que se aplican al tráfico que viaja a través de una interfaz del router y se crean según el
protocolo, la dirección o el puerto a filtrar. Existen dos tipos de A CL:
A C L estándar, donde solo tenem os que esp ecificar una dirección de origen.
A CL extendida, en cuya sintaxis aparece el protocolo y una dirección de origen y de destino, ofrecen un m ayor control.
V eam os un ejem plo de ACL están d ar:
Una A C L e stá n d a r solo filtra la dirección origen, donde ésta puede se r una dirección de host, de red o un
rango de d ireccio nes. Con la com paración se p erm ite o deniega el acceso. La configuración se hace en modo de
configuración global, y luego se hace la asignación de la A C L a la interfaz de red que corresp ond a, ya sea a la
entrada o a la salida del tráfico en dicha interfaz.
La sin ta x is com pleta del com ando A CL estándar, para routers C IS C O bajo sistem a operativo propietario C IS C O
IO S , es la sig u iente:
R o u ter(co n fig )# a cce ss-líst n u m e ro _A C L d e n y|p e rm it d ire c c ió n _a _filtra r m a sca ra _w ild ca rd
D onde: n ú m ero _A C L es un núm ero que va del 1 al 99 o del 1 3 0 0 -1 9 9 9 , y la m áscara de w ildcard se obtiene
com plem entando la m ásca ra de su b red , es d ecir si la q uerem os ap licar sobre una red de clase C , la m áscara
w ildcard se rá 0 .0 .0 ,2 5 5 com p lem entaria de 2 5 5 .2 5 5 .2 5 5 .0 .
R c w Ih 1 _
'» 1 6 * M I
¡ 192 16* 15 I
No h » r a n o a ú n
Í1>S « 5 ÍS 5 0
roum 7
w iw k i
' i a z i M t &2
m m m
y u n s ís a o
R o u la O
* 1 « 2 ie a in
Ito tM y ftr a c o C n
'W 18« 11.’
J S S ÍS 5 „ 'M 0
Tom ando en cuenta la topología de la im agen, para cre ar una A CL en Router 1 que solam ente perm ita los paquetes
de la red 1 9 2 .1 6 8 .1 6 .0 :
R o u te rl(c o n fig )# a c ce ss -list 1 perm it 1 9 2 .1 6 8 .1 6 .0 0 .0 .0 .2 5 5
R o u te rl(c o n fig )# interface SerialO
R o u te rl(c o n fig -if)# ip -access-g roup 1 in
La explicación de esta A CL e s que com o es una A C L estándar, se configura lo m ás cerca del destino ( Routerl ), la
dirección a filtrar e s una dirección de red de cla se C, por lo que la m áscara wildcard es 0 .0 .0 .2 5 5 ya que verifica
la red y no verifica la parte de host.
L a s re g las A C L se verifican como en el cortafuegos iptables, hasta que se cum pla una condición, en caso de no ser
a s í, im plícitam ente hay una linea al final de la A CL que deniega todo lo d em ás: R o u te rl(c o n fig )# a c c e ss-list
1 deny any, la cual no nos afecta en este ejem p lo para el funcionam iento que d eseam o s de la A CL.
D esp ués se asig na en la interfaz de red que corresponda, para eso debe seg uir la ruta que seguiría el paquete al
tratar de e n tra r a Routerl. La dirección de red a filtrar proviene de Router2, por lo que la trayecto ria sería salir
de Router2 por su interfaz SO y en trar a Routerl por la interfaz SO, lo cual la hace la interfaz en la que se debe
configurar, ju sta m e n te a la entrada (in ).
170
© RA-M A
7 ■S E G U R ID A D P E R IM E T R A L
I PRÁCTICA 7.4
C O N F IG U R A C IÓ N DE C O R T A F U E G O S CON EN TO RN O G R Á F IC O
La m ayoría de los siste m a s op erativos p erso n ales disponen de cortafuegos p reinstalad os, com o e s el caso de los
siste m a s W indows. S u s funciones han ido aum entando en las últim as ve rsio n es com o W indows Vista y W indows 7,
y en su s version es de servid or como W indows 2003 y 2008 han proliferado los en torn os de gestión de seguridad
en redes como M icrosoft In te rn e t S e cu rity and A cceleration S e rv e r (IS A S e rv e r) y M icrosoft Forefront
T h re at M anagem ent G atew ay (Forefront TMG).
En nuestro caso, utilizarem os la aplicación Kerio W inroute Firew all para g estio n ar la seguridad del tráfico
en tran te y saliente de nuestra red.
1. En prim er lugar, d escarg arem o s el softw are desde la siguiente d ire cció n : www.kerio.com. Tras d escarg a r
el eje cu tab le que instalará el firewall, eje cu tare m o s el instalador. E s recom endable d esactiva r el Firewall
que viene por defecto en W indows para e v itar conflictos.
En un m om ento de la instalación, el program a d etectará si hay algún conflicto con el siste m a . En caso de se r
a sí, tend rem os que d eshabilitar dichas opciones que presentan conflictos con el program a seleccionándolos
en el m ism o cuadro de diálogo.
Tras esto, nos pedirá un nom bre de usuario y una co ntraseña para la adm inistración del firewall com o
ad m inistrad or. Por últim o, pulsarem os en el botón in sta lar para e m p e z a r la instalación del Firewall en
el sistem a operativo. A la hora de in sta lar el softw are Kerio W inroute firewall se aplica una configuración
que bloquea todo el tráfico de In te rn e t por lo que tendrem os que re alizar m ás adelan te una configuración
básica para p erm itir aquellas conexio nes que necesitem os.
2. Term inada la instalación, podem os iniciar el program a de adm inistración "Kerio Adm inistration consolé" que
nos perm itirá re alizar la configuración de nuestro Firewall. Como todo program a de ad m inistración, este
nos pide que nos conectem os a un host (podrem os configurarlo re m o tam en te o en lo c a M o c a lh o st) con el
usuario y la contraseña definida en la instalación para poder ad m in istra r el softw are.
K m
Aorrumtintion Comete
a
B
O
Afctwo Eritar Ver Herrarwn!® Ayuda
O Marcadores no están crotepdoe
Una vez logueados, el Firewall nos ejecuta un asisten te que nos p erm ite re a liza r una configuración básica
del m ism o.
En prim er lug ar tendrem os que indicarle la forma en la que este se conecta a la red seleccionando "Un
único enlace de Internet - p ersistente" ya que es la configuración m ás sencilla.
171
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
Acto seguido, nos pedirá que seleccionem os la ¡nterfaz por la que se conecta a la red. D ependiendo de las
in terfaces que se conectan tendrem os que se leccio n ar una ¡nterfaz para la opción que hem os elegido o
tan tas como haya co nectad as para las opciones de "m últiples en laces a Internet"
El sig u ien te paso es el que bloqueará o perm itirá cierto tráfico a In te rn e t según los protocolos que
necesitem o s ya sea para la visualización web, transferencia de arch ivo s m ediante FTP, etc. Seleccio n arem o s
la segunda opción de la pantalla que dice “ p erm itir el acceso solo a los sig u ien te s se rvicio s" ya que
tendrem os un control exhaustivo de las ap licacion es que perm itim os la conexión.
De la lista que nos ap a rece seleccio narem o s los protocolos cuyo tráfico estará perm itido. R ealizarem o s una
configuración sencilla perm itiendo solo el protocolo http y DNS para la naveg ación por In te rn e t. Todos los
d em ás protocolos quedarán bloqueados.
Polfee» ufarte •p*gr» 4 dt 7
Soecoone ri ravvi * que tJM d rrstrnpr e acceso a tntrntt de tas u u ro t Or U LAN
PcnMBr d acceso a todo« be w vtooi (w> In U d o n « /
♦ Per*4r d acceso a6o a b i »pachtes ter <>ccs
Sentoo ^rotocob
0 HTTP TCP
□ «n»STGP
□ FIJ> TO>
□ SHTV TCP
0 0*6 TO>«*>
□ P0P3 TO’
O
TCP
□ Tdurt TtJ>
Purrtodecr^en
Cuatguera
Cuafcueva
Cuáquera
Cuatoaera
Cua*OL*ra
Cuáquera
CuñtoMwa
Cuakuera
Puerto di desano
«0
443
21
25
53
1»
H3
23
Configurados los sen/icios que querem os perm itir, podem os se leccio n ar o no la opción para que cree una
se rie de reglas en el firewall que perm itan la adm inistración del m ism o de m anera rem ota m edian te VPN.
3.
R ealizarem os una prueba básica para v e r que el firewall funciona correctam ente. Para ello nos conectarem os
m ed ian te FTP a una m áquina rem ota o de nuestra m ism a red, si el Firewall funciona co rre cta m e n te no nos
d eja rá conectarnos al se rvid o r FTP, pero sí nos perm itirá la navegación web.
4 . Si posteriorm ente q uerem os perm itir la conexión m ediante FTP al se rvid o r local, irem os a la sección
"configuración" y pulsam os en el apartado "política de tráfico". En este apartad o se m uestran las reglas
que regulan el firewall, añ adirem os el servicio FTP a las exce p cio n e s pulsando en las filas "Acceso a
In te rn e t (NAT)'' y "Tráfico del Firewall", en la casilla de se rvicio s con el botón derecho se leccio n am o s “editar
servicios".
Ardwo Ayuda
Kfrto WmRoute
i Política de tráfico
CoadiQMraoón
■Pinte* faces
0
- i - - T i T T ^ jp ^
Bin } md » ín te r
Horabrt
Cnger»
Oes»«
(a h tM l
>«| Todos tof denles
• ’ o d M iw to i» í
“*• ^ntíev,\xiri
i • Fresal
Acoón Regr Traducnár
Servoo
♦ jF le a d o de cammoo
pSerrtdorDMCP
-*»6
0
T rtlo b a i
i: ¡ J Defooorct
Taúla de m u í— ente
* Accasane
bd
0 y hr •«
Regatm
lojkj *
^ CuBt
*9 *9 * r*Cfa
B m a «sta reefe
etc* r^ l.
■
Todos &rcfcs
r _ j—
4» C:jatoaeia
O HTTP
** Ih iM n o ty g n ip M
Ostlt*do
LJÍialb
HoojtM oro rééco
<* Custeaera
v Cua*o^era
Cuatquva
X
S eleccio n am o s del desplegable "agreg ar" el servicio que q u erem o s añ ad ir a las excep cio n es, en nuestro
caso FTP, y pulsam os en aceptar.
172
© RA-M A
7 ■S E G U R ID A D P E R IM E T R A L
DMZ
Cuando se realiza el diseño de una red es im portante determ inar qué equipos ofrecerán servicios de carácter
público y por tanto será accesibles desde el exterior de n uestra red corporativa y qué equipos deben ser invisibles
desde el exterior para m an ten er un cierto nivel de seguridad en las comunicaciones internas.
Surge de esta diferenciación el concepto de zon a d esm ilita riza d a o DMZ (dem ilitarized zone) o red perim etral. Se
tra ta de una red local que se ubica en tr e la red in tern a d e u n a o rg a n iza ció n y una red ex tern a , generalm ente
In tern et, donde se ubican los servidores HTTP, DNS, FTP y otros que sean de carácter público.
Internet
H abitualm ente, una configuración DMZ es u sar dos cortafuegos, donde la DMZ se sitúa en medio y se conecta
a ambos cortafuegos, uno conectado a la red in tern a y el otro a la red externa. E sta configuración ayuda a prevenir
configuraciones erróneas accidentales que perm itan el acceso desde la red ex tern a a la in tern a. E ste tipo de
configuración tam bién es llam ado cortafuegos de subred m onitoreada íscre en ed -su b n et firewaLl).
Por lo general, la p o lític a d e s e g u r id a d p ara la DMZ es la siguiente:
El tráfico de la red externa a la DMZ está autorizado y a la red interna está prohibido.
El tráfico de la red in tern a a la DMZ está autorizado y a la red externa está autorizado.
Norm alm ente el DMZ host está separado de In tern et a través de uu router y un cortafuegos, o se encuentran
integrados. Es aconsejable que en el cortafuegos se abran al exterior únicam ente los p u ertos d e los ser v ic io s que
se pretende ofrecer con los servidores disponibles en la DMZ.
173
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© RA-M A
PROXY
Un servidor proxy o representante es una aplicación o sistem a que gestiona las conexiones de red, sirviendo de
interm ediario en tre las peticiones de servicios que requieren los clientes, como http, FTP, irc, telnet. ssh, etc., croando
así una m em oria caché de dichas peticiones y respuestas por parte de los servidores externos. La finalidad de este tipo
de servidores es poder servir más rápidam ente a sus usuarios en conexiones siguientes que hayan sido solicitadas y
respondidas previam ente, sin tener que acceder rem otam ente de nuevo a los servidores externos.
La m ayoría de los servidores proxy tam bién añaden fu n cio n e s de control y autenticación de usuarios, y reglas de
filtrado de los contenidos solicitados, así como funciones de registro de logs.
E n tre las grandes ventajas de un servidor proxy se encuentra la mejora de velocidad de respuesta a peticiones, ya
que si varios clientes van a pedir el mismo recurso, el proxy puede hacer caché, guardar la respuesta de una petición para
d a rla directam ente cuando otro usuario la pida. Así no tiene que volver a contactar con el destino, y acaba más rápido.
P ara evitar contenidos desactualizados, los servidores proxy actuales, se conectan con el servidor remoto para
com probar que la versión que tiene en caché sigue siendo la m ism a que la existente en el servidor remoto.
TIPOS, CARACTERÍSTICAS Y FUNCIONES PRINCIPALES
Dependiendo del tipo de tráfico que circulará por una red necesitarem os un proxy que cum pla con las necesidades
d el tráfico, ya sea para acelerar la descarga de contenidos para no sobrecargar la salida a In tern et o para autenticación
de usuarios. En función de las características de cada tipo de proxy podemos clasificarlos de la siguiente m anera:
P ro x y ca c h é Web: se tra ta de un proxy para una aplicación específica como el acceso a la web. M antienen
copias locales de los archivos m as solicitados y los sirven bajo dem anda, reduciendo la baja velocidad y coste
en la comunicación con Internet. El proxy caché alm acena el contenido en la caché de los protocolos HTTP,
HTTPS, incluso FTP.
P roxy NAT: integración de los servicios de traducción de direcciones de red y proxy.
P roxy tran sp arente: norm alm ente, un proxy Web o NAT no es tran sp aren te a la aplicación cliente: debe ser
configurada para u sar el proxy, m anualm ente. Un proxy tran sp aren te combina un servidor proxy con NAT
(Network Address T ranslation) de m anera que las conexiones al puerto 80 típicam ente, son redi rígidas hacía
el puerto del servicio proxy.
P roxy anónim o: perm iten aum entar la privacidad y el anonim ato de los clientes proxy, m ediante una activa
elim inación de características identificativas (dirección IP del cliente, cabeceras From y Referer. cookies,
identificadores de sesión...).
P roxy inverso: un reverse proxy es un servidor proxy instalado en una red con varios servidores web, sirviendo
de interm ediario a las peticiones externas, suponiendo una capa de seguridad previa, gestión y distribución de
carga de las d istin tas peticiones externas, gestión de SSL o como caché de contenidos estáticos.
P roxy abierto: acepta peticiones desde cualquier ordenador, esté o no conectado a su red. En esta configuración
el proxy ejecutará cualquier petición de cualquier ordenador que pueda conectarse a él, realizándola como si
fuera una petición del proxy. Por lo que perm ite que este tipo de proxy se use como pasarela para el envío
masivo de correos de spam , muchos servidores, como los de IRC o correos electrónicos, deniegan el acceso a
estos proxys a sus servicios, usando norm alm ente listas negras (blacklist).
Tras conocer los distintos tipos de proxy pasarem os a in stalar y configurar uno.
174
© RA-M A
7 ■S E G U R ID A D P E R IM E T R A L
PRÁCTICA 7.5
C O N F IG U R A C IÓ N DE P R O X Y . G E S T IÓ N DE C A C H É, LO G , C L IE N T E S Y F IL T R O S W E B .
En la siguiente práctica, ap re n d e rem os a in sta lar y configurar los p arám etros fund am entales de un servid o r
Proxyproxy, así como los clientes que hagan uso de él.
1. En siste m a s GN U/Linux Squíd es el se rvid o r Proxy proxy por excelen cia, debido a su potencia y estab ilidad.
E m p e za rem o s por in sta la r Squid m ediante el com ando: apt-get install squid3.
En la instalación de Squid nos crea un archivo de configuración del Proxy proxy por defecto en /etc/squid3/
squid.conf. En este fichero podem os config urar cualq uier parám etro del Proxyproxy. No o bstan te, nosotros
cre are m o s un fichero de configuración propio con los parám etros n e cesario s para que el Proxy proxy
funcione com o filtro de contenidos.
Por este m otivo, harem o s una copia del archivo de configuración que se instala por defecto de tal m anera
que tengam os una copla de seguridad del archivo en caso de fallo. E jecu ta rem o s la sig u iente se n te n cia:
cp /etc/sq uid3/sq u id .conf /etc/sq uid3/sq uid.conf.old
2. M odificarem os el fichero eje cu tan do la sentencia " gedit l etc! squid3¡squid.conf". El contenido del archivo
de configuración:
m i Ate f
*
-
^
<4*0
roo» X
jvpurjaetroi generales
«ffcafcre del proxy
v is ib le hostnaae servidor proxy
tpoerto de escucha del proxy
http port 112 8
•Dirección de la caché de squid ir e l taaafo de la ais«a
cache d ir ufs /var/spool/souldJ ?••• 16
cache ae« 12 NI
aaxiaua object v i/e in oe®cry 256 MB
•Dirección de los registros de squid
access log /var/log/tquidl/access.log
cache log /var/log/squldl/cache.log
# L ista s de control de acceso
^
acl acceso src 0
ot
acl nopermitidas i¿rl re?e* ’ /etc/s^uldl/nopermitidas*
acl nowebs dttdoaain V etc/w idl/n o w ebs*
acontrol de
http access
http access
http access
acceso
deny nopera í tid a l
deny rowetH
allow acceso
IfrttD piano » Ancho dc >a tatoiacJOn | •
in 1
P arám etro s g en erales: alm acenam ien to cach é, nombre y puerto
A continuación vam os a e xp licar los parám etros que hem os m odificado en el fichero de configuración Squid.
conf:
# Parámetros generales
ffNombre del proxy
visible_hostname servidor_proxy
E ste será el nom bre del proxy que m ostrará a los clientes proxy cuando Squid detecte una página o una palabra
no p erm itid a:
© R A -M A
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
#puerto de escucha del proxy
http_port 3128
#Direccion de la caché de squid y el tamaño de la misma
cache_dir ufs /var/spool/squid3 2000 16 256
cache_mem 32 MB
m a x i m u m _ o bject_size_in_memory 256 MB
C a ch e _d lr: determina el tipo de sistema de almacenamiento en caché que utilizará Squid (ufs recomendado),
así como la dirección de la caché (/var/pool/squid3), tamaño de la caché (2000 MB), número de directorios
y subdirectorios de la caché (16 y 256).
El parámetro C a ch e _m e m : determina la cantidad de memoria ram que será utilizada como caché. Un
valor entre 8 y 32 megas es lo recomendable, pero dependerá de la cantidad de memoria que tengamos
en el sistema.
M a x im u m _ o b je c t_ s iz e _ in _ m e m o ry . : Se se indica que los ficheros descargados con un tamaño mayor
del indicado (en kilobytes) no se guardaran en el disco duro. Por defecto 4 megas.
A rc h iv o s de log
Continuando con nuestro scrip t nos encontramos con los siguientes parámetros:
^Dirección de los registros de squid
access_log /var/log/sq u i d / a c c e s s .log
cache log /var/log/s q u i d / c a c h e .log
Las rutas anteriores serán las direcciones donde se almacenaran los logs de acceso al proxy y de caché.
Ejemplo de /var/log/squid/access.log:
C0 9
root<¿u?u«fk> d t'fc to |i
A /th r.o W a t \m
Home u *u « lo
TKtnliVAl A rfula
BY4AC wr«6k4ÁC WTXKMAC*rltW A C M f ftf A 4 4 ¿ vr» * t 4AC wí
64Aí » r« t 44AÍ mtW H4A( wrH* C4Af wrM
r>;4ACMrMrft4A(vrnCk4Mvrf«»g4AC«rfYY.U¿yUii0Alfc/Vr<KT0vniNg js u s u *rto DIRECr/74.
U 1 .2 S Ù .M t* * t / j4 * A S c r ip !
]? « 9 6 1 6 4 i.;? 7
W 19? 16« 1.16 TCP* HISS/264 116 GF? M ip / / c t i e n t s l googlc r
• -/g e n e r iti
u xu*ria D IR K T /74. m . J i e /4 t * ( t / M s l
98164.1 4 i5
16/ 192 166 1 16 TCP M lt& /:A 4 44)1 ¿* ! h t l f / / * * gooqlc e s /c s i
’ u s u a rio 0 1 A K T /7 4 .U 5 2W .63
l.11) ? « 1644. 376
1 192 166 1 16 TCP
H1T/J06 7 1 U « T h tlp / / t i g s U lle.CO
e /iftA g e i» u su a rio 6 0 » /
M 4 * /)p c q
129?981644 Ì 76
« 19? 166 1 16 TCP «EN H IT/J66 716) 6€T h ttp //1 3 gstO ttC CO
M/iftéQes? u u * r i o MMF/ .« w jc /jp rs j
El contenido de dicho fichero son todas las webs, ips, fechas, etc., a las que se acceden y cuyas peticiones pasan
a través de squidSquid. En este fichero también aparecen aquellas peticiones que son denegadas debido a han
sido bloqueadas mediante la configuración del Proxyproxy. Con la captura anterior del registro del archivo access.
log, pasaremos a analizar detalladam ente cada uno de los conceptos que componen un registro:
1292981643.277 80 192.168.1.16 TCP_MISS/204 310 GET h ttp ://clien tsl.g oo gle .es/ge ne ra te _ ,204 usuario
DIRECT/74.125.230.74 te xt/h tm !
1292981643.277 indica la fecha del acceso. La fecha está en form ato de epoch (la cantidad de segundos
transcurridos desde 00:00:00 UTC 1-1-1970).
80 corresponde con el tiempo de respuesta. Es posible que el tiempo sea 0 puesto que posiblemente sean
páginas a las que se les ha denegado el acceso y por tanto no hay una respuesta.
192.168. 1.16 corresponde con la dirección ip IP que ha producido esta petición.
” TCP_ M ISS/204" es el protocolo utilizado, en este caso TCP, "M ISS/204" es el significado de que el archivo que
se intenta descargar no está en la caché y por tanto la petición tiene que salir a Internet para ser descargada.
176
7 ■ S E G U R ID A D P E R IM E T R A L
© R A -M A
Otras opciones son TCP_MEM_HIT": el archivo si se encuentra en la caché de squid Squid o "TCP_DENIED" se
ha bloqueado la petición ya que incumple alguna regla del Proxyproxy.
310: el peso del archivo, en bytes.
El método de envío del archivo es el significado de "POST" o “ GET".
El siguiente parámetro es la propia dirección del archivo en cuestión o la web a la que queremos acceder.
DIRECT/74.125.230.74 es la dirección del destino a fa que le hacemos la petición.
Por último, tenemos el tipo de contenido que estamos realizando con la petición, "te xt/h tm l".
Tras analizar el log( podemos continuar con la explicación de los distintos parámetros que permiten configurar
Squid.
A u te n tic a c ió n de u s u a rio s
La autenticación de usuarios es otra opción que ¡mplementa Squid. A través de este servicio, podemos solicitar
un usuario y una contraseña para poder tener acceso al Proxyproxy, y por tanto los servicios como navegación
web.
De esta manera, podemos acotar qué usuarios tendrán acceso al Proxy y quiénes no y, de aquellos que tengan
acceso, podemos tener un control de qué peticiones realiza.
Los siguientes parámetros son los que permiten configurar el sistema de autenticación:
#Autenticación
auth_param basic program /usr/lib/squid3/ncsa_auth /etc/squid3/claves
auth_param basic children 5
auth_param basic realm Squid proxy-caching web Server
auth_param basic credentialsttl 2 hours
acl passwd p r o x y a u t h REQUIRED
Explicaremos cada línea detalladamente:
La primera línea indicamos el módulo que vamos a usar para la autenticación de los usuarios que se encuentra
en " / usr/lib/squid3/ncsa_auth" así como el fichero que contiene las contraseñas de los distintos usuarios que
habrá que generar más adelante con la creación de los distintos usuarios /etc/squid3/claves.
La segunda línea índica el número de procesos (5) de autenticación que se va a llevar a cabo: auth_param
basic children 5
La tercera linea determina el mensaje que aparecerá en la ventana que solicite el usuario y la contraseña:
auth_param basic realm Squid proxy-caching web Server
La cuarta línea el tiempo que tardará el Proxy en volver a solicitar de nuevo la clave a cada usuario:\auth_
param basic credentialsttl 2 hours
Las últimas dos líneas hacen referencia a la creación de una lista de control a través de la cual activamos la
solicitud de autenticación de los usuarios: acl validación proxy_auth REQUIRED
Con estos parámetros hemos term inado de configurar la autenticación en el Proxy pero ahora hay que añadir los
distintos usuarios que tendrán acceso al Proxy. Hay que diferenciar los usuarios del sistema con los usuarios del
Proxy ya que son totalm ente distintos y no tienen ninguna relación. Para añadir los nuevos usuarios lo haremos
a través del comando htpasswd de la siguiente manera:
htpasswd -c /etc/squid3/claves nom bre_usuario_nuevo
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© R A -M A
Siguiendo el comando anterior, podemos realizar el siguiente ejemplo:
htpasswd -c /etc/squid3/claves pepe
Tras ejecutar el comando anterior no pedirá ia contraseña del usuario "pepe" que tendremos que introducir en la
consola:
? f
f
too* s tn u a r io d v ftk to fi
Arctaro fa lla r w
h o m a m u a rto
Im w w d s^vtí»
ro o t9 u iu 4 rio 4 « * k to p ./* o * e /u * u d rio« h t u t iM ú - c /e tc /& q u u tJ /c U v < r* Pece
(M itw ord
H e -tfp e ncm password:
-«ddtng p o i •.•or d fo r u t * r Pepe
( o o tfc s u jr io 6e s tro 0 :/hoae/(A U «rio« |
B|
■
F iltro s w e b m e d ia n te lis ta s de c o n tro l de acceso
Las listas de control de acceso nos permiten definir distintos parámetros para conceder o denegar accesos a
nuestro Proxy.
Estas listas actúan como un filtro ante las distintas peticiones que pasan por Proxy de manera que podemos acotar
que peticiones podrán atravesar nuestro Proxy y cuáles de ellas deberán ser bloqueadas ya que incumplen las
expectativas de funcionamiento que realiza nuestro Proxy.
La estructura de una ACL es la siguiente:
Acl nom bre_de.JaJista tipo_de_filtrado parám etros_deLtipo_de_.fiItrado
A continuación, definimos tres tipos de filtros distintos:
#
Listas de control de acceso
acl acceso src 0 .0 .0 .0 /0 .0 .0 .0
acl nopermitidas url_regex “/etc/squid/noperm itidas"
acl nowebs dstdomain ''/etc/squid/now ebs"
La primera lista de acceso que hemos definido (acceso) permite escuchar todas las peticiones procedentes de
todas las direcciones IP que se comuniquen con el Proxyproxy. Con este parámetro podemos acotar que parte de
una red queremos que pase por el Proxy, si fuera necesario. Un ejemplo distinto al anterior sería el perm itir solo
las peticiones procedentes de la red 172.26.1.0:
acl acceso src 172.26.1.0/255.255.0.0
La segunda lista de acceso es la que define el filtrado de contenido. Esta lista nos permite añadir al archivo '''/etc/
squid3/noperm itidas" todas las palabras que queremos que sean filtradas con el fin de bloquear el acceso a las
webs que contengan este tipo de palabras:
acl nopermitidas url_regex "/etc/squid/noperm itidas"
La tercera lista de acceso contiene las webs a las que el Proxy no perm itirá el acceso. De igual modo que la lista
que filtra el contenido, esta lista también permite añadir al archivo " / etc/squid3/now ebs“ todas las URL de las
webs que queremos bloquear.
acl nowebs dstdomain "/etc/squid/now ebs"
Las acl por si mismas no hacen nada, ya que solo definen que lista realizará que tipo de filtrado. Por ello, es
necesario perm itir o denegar las diferente ACLs.
ífcontrol de acceso
http_access allow all
http_access deny nopermitidas
http_access deny nowebs
178
© RA M A
7 ■ S E G U R ID A D P E R IM E T R A L
Como vemos, en la primera Ifnea estamos permitiendo todas las peticiones que provienen de cualquier punto de
la red a la que se conecta el Proxy.
La segunda línea bloquea la lista llamada "noperm itidas" la cual contenían las palabras no perm itidas en una
búsqueda.
La tercera línea bloquea la lista llamada "nowebs" que contenían las URL de las webs a las que queremos bloquear
el acceso.
Tras esto, hemos term inado de configurar el fichero de configuración de Squid pero aún tenemos que crear un
fichero para introducir las webs que no están permitidas. Para ello, ejecutaremos la siguiente sentencia en la
consola:
gedit /etc/squid3/nowebs
El contenido de este fichero serán las direcciones webs de las páginas que vamos a bloquear. El contenido de la
siguiente imagen es un ejemplo de cómo podría ser:
nowebs l.elcrsquidB ) - g e d it
0 O O
Archivo Editar VW Buscai Herran ' « M i Do-.,-n?n
Abrir
*
Guardar
W
Deshj
nowetos X
t TUENTI
www.Tuenti.co«
www .tuenti.es
h ttp :/ /t u e n ti.c o n
h ttp : / / t u e n t i. e s
# YOUTUBE]
www.youtube.coa
www.youtube.es
h ttp ://y o u tu b e .c o «
h ttp ://y o u tu b e .e s
Texto piano *
Ancho de la Cabul
Del mismo modo, tendremos que crear el fichero que contenga el contenido que también queremos prohibir.
Ejecutamos en la consola la siguiente sentencia: gedit/etc/squ id3 /n op erm itid a. A continuación, mostramos una
imagen de nuestro fichero “ nopermitidas":
9 1 1
¿ a-
n o p e rm itid a s ( o tc /s q u ld j)
A b rir
T
MI GlMMdrti
g e d it
wm
—
—
nopermitidas X
|Tuenti
Youtube
Sexo
Va lo tenemos todo configurado y lo últim o que tenemos que hacer es reiniciar el Proxy para que se efectiva la
nueva configuración. Ejecutamos la siguiente sentencia en la consola: Service squid3 restart.
Para otras versiones de la distribución Ubuntu/ es posible ejecutar la siguiente sentencia: /e tc /in it.d /s q u id 3
restart.
179
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© R A -M A
C o n fig u ra c ió n de c lie n te p ro x y
Por últim o, solo queda configurar los clientes para que las conexiones sean filtradas por el proxy. Para ello en el
navegador web del cliente tendremos que introducir la dirección 1P y puerto de nuestro Proxy para que navegue
a través de él. En caso de tener varios navegadores web disponibles, debemos realizar dicha configuración en
todos ellos.
( o n t iijii r / i c t ó n d e c o n e x ió n
C c n ftg jir prones pora d acceso a Intorno*
O SfrnpfO“*
C 1 Autodetect« conhgireoon d d proxy para esta red
£
Usar la ccr/iguraoón gel proxy del »sterna
0
Conñguaoón njanuaf del proxy:
Progy HTTP.
192.168.1.17
guerto:
3128 I
Ufcar d momo proxy para todo
usar pro
para.
locahost, 127.00. J
E»empio: rnoMs.org. .net.ru:. 192.168.1.0/24
URL para la corhguraodn automittea dd proxy:
I Acedar
|
Canedar
Ayyda
Sin embargo, tenemos otra forma de hacer el p ro x y " tra n s p a r e n te " al usuario. Para esto es necesario que el
servidor Proxy, además de Proxy, tiene que actuar como un router,
A la máquina que aloja el Proxy y hace las funciones de ro u te r le llegan dos conexiones, una de la LAN y otra que
conectará con la puerta de enlace de nuestro servidor.
En la configuración IP del cliente tendremos que poner como puerta de enlace la dirección ip IP del Proxy para
que el cliente tenga acceso a la red a través del Proxy sin tener que configurar nada en el navegador del cliente.
Para ello, añadimos añadiremos en iptables del servidor:
iptables -t nat -A PREROUTING -i ethO -p tep --dport 80 -j REDIRECT —to -p ort 3128
En este caso, ethO es la interfaz conectado a la red local. Todo lo procedente de esta interfaz con puerto de destino
80 nos lo va a redireccionar al puerto 3128, que es donde tendremos el servidor squid escuchando peticiones.
A u te n tic a c ió n de c lie n te s p ro x y
Solo nos queda probar el funcionamiento del Proxy. En cualquiera de los 2 casos anteriores, antes de realizar
cualquier petición el Proxy nos solicitará nuestro usuario y nuestra contraseña para poder acceder al Proxy:
Id e n t if ic a c ió n r e q u e r id o
X
El pro»y 192.168.1.17:3128 esta soéctando un nombre de usuano y una contraseto. B fto o á ce :
“5qud proxy-cachno wab Server*
O
Nomtxe de usuario:
Fece
Contraseña'
....
|
180
Aceptar
,
Cancelar
7 ■ S E G U R ID A D P E R IM E T R A L
© R A -M A
Una vez autenticados en el Proxy, podemos navegar bajo las restricciones del mismo. Probaremos dichas
restricciones intentando entrar en una web no permitida. Para ello intentaremos entrar www.tuenti.com desde el
navegador web de algún cliente:
•
. ftvc/oot
tum* (om
i
,
I t t c * Thtiw juoTrd
»
•
*r a
*
c*.vid»«tb4 rr.r.f-J
-
— -
g*9«u *
W *« **3 *
M' r * " '
LRROR
Tlu 1requerí ed URL could not lie relricvcd
The fbflovTOf m o r wat cacoartcrcd vAdc tr v « * to rrtnrvr áte U R L fc«r
*
tpnaj
n
A « f n Draicd.
Aí c o i coaool coatipsaboo prorats yo« rrqoeai froa b a n | «Ion td Mrtn d a r Pleaie coiuct yow lenice prtntda f yon tcci tha ft ía:cn rct
Yoqr C(Kbf «dm nJrafex
n u rttu it f g
(k& a*rd San. 2S No* 2010 23 5649 GMT by w id o e jaoocv
0 STABL£19)
Como vemos en la imagen, el Proxy detecta que la URL introducida no tiene permitido el acceso y bloquea la
petición del cliente.
Si la petición es bloqueada por el Proxy el cliente verá en su navegador una pantalla de error y el m otivo dei error,
en el caso anterior se trata de un acceso denegado.
REFERENCIAS WEB
Compieta información práctica sobre ipiables:
http: / / w w w .kriptopolis.org I iptables-0
Listado de cortafuegos personales:
http: / / www. infospyware. com / cortafuegos /
Configuraciones prácticas de cortafuegos:
http: / / www. pello, in fo l filez / firew all / iptables.htm l
Confi guraciones de en ru t a miento, proxy y cortafuegos para GNU/Linux:
h ttp : / / w w w.ite.educacion.es / fo rm acion /m ateriales / 85 / cd/R E D E S _ L IN U X / fram es / fram eset_14.htm l
Configuraciones de enrutam iento para Windows:
h ttp: / / www.ite.educacion.es / form acion/ materiales 1851 cd!R E D E S_W 2000/ fram es/ frameset_enridamiento.htm
Configuraciones de funciones de cortafuegos, proxy-caché y servidor VPN para Windows, m ediante ISA
Server:
h ttp : / / w w w .ite.educacion.es/ formacion / m ateriales 1 8 5 /c d / R E D E S_W 2000 / fra m es/ fram eset_isa.htm
181
© R A -M A
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
RESUMEN DEL CAPÍTULO
La conexión a redes públicas por parte de organizaciones potencia las am enazas y ataques a los routers
de acceso, servidores, incluso a ¡os sistem as internos que poseen información confidencial.
Para ev itar este tipo de ataques es necesario disponer de m edidas adicionales de seguridad en el
perím etro de la organización. E n tre otras se h an estudiado en este capítulo.
E nm ascaram iento de direcciones IP in tern as o privadas m ediante NAT.
F iltra d o de puertos, aplicaciones asociadas e in ten to s de acceso a los sistem as m ed ian te
c o r ta fu eg o s o firew a lls tan to en los sistem as perim etrales como en los personales. Dentro de
los cortafuegos perim etrales hemos visto las distin tas opciones que ofrecen desde routers para
pequeñas organizaciones, así como configuraciones de servidores con funciones de enrutado y
cortafuegos integradas.
Filtrado de usuarios permitidos, sitios web y búsquedas no autorizadas, m ediante servidores proxy.
E stos servidores perm iten la m onitorización y el alm acenam iento de accesos a determ inados
servicios como http, perm itiendo m ejorar la seguridad y el rendim iento de los mismos. En la mayoría
de los casos se i n te g r a n con otros servicios como enrutam iento, NAT y cortafuegos.
EJERCICIOS PROPUESTOS
1. U tiliz a los sig u ien tes em uladores de ro u ters
inalám bricos D-Línk, y realiza una com parativa entre
las opciones de configuración de cortafuegos, proxy y
DMZ.
h ttp : / IsiL pport.dlink.com /em ulators Ídw l2 1 0 0 ap
h ttp :l / su pport.d lin k .co m /ern u la to rs / diG04 reve
2. Realiza la m isma configuración de cortafuegos que
e n la práctica 38 (configuración de cortafuegos), para
los routers anteriores, ¿es posible realizar todas las
opciones?
3. Realiza la m isma configuración de filtrado proxy
d e p a la b ra s y sitios web que en la p ráctica 42
182
(configuración de proxy), para los routers anteriores,
¿es posible realizar todas las opciones?
4. Investiga sobre la aplicación Webmin como inteifaz
web para la gestión de servidores bajo GNU/Linux.
D escarga e in stala la aplicación, y el com plem ento
p a ra la configuración de S q u id . R ealiza la m ism a
configuración que en la práctica 42 (configuración de
proxy) m ediante la interfaz web de Webmin.
5. P ara sistem as Windows se encuentra disponible
el servidor proxy W inGate. D escarga e in stala la
aplicación y realiza una configuración sim ilar a la
realizada p ara S qu id ¿Cómo podemos ver los logs
generados? ¿Qué opciones de filtrado web posee?
7 ■ S E G U R ID A D P E R IM E T R A L
© R A -M A
6 . La configuración y m antenim iento de listas negras
(blacklist) de sitios web que querem os restrin g ir en
n u estra organización puede llegar a ser una tarea
tediosa. P ara ello es posible descargar archivos de
sitios web poco recom endables o que pertenecen a
listas negras de sitios web de confianza y añadirlos
a la configuración de nuestro servidor proxy S quid.
Puedes encontrar archivos con listas negras en sitios
web como urlbLacklist.com.
D escarga el archivo de blacklist y anéxalo a la
configuración de S q u id .
7. ím plem enta una DMZ con un servidor FTP en el
aula e intenta acceder a su contenido desde un equipo
ubicado on el exterior del aula. Deberás configurar
2 cortafuegos con diferentes niveles de seguridad y
dejando la red DMZ con el servidor FTP en medio.
TEST DE CONOCIMIENTOS
Iptables:
Es un conjunto de reglas de routers.
Es equivalente a las ACL en Windows.
Em plea características de un firew all de Zone
Alarm.
Se tra ta de un cortafuegos basado en reglas de
filtrado.
Los cortafuegos son elementos:
H ardw are.
Software.
Pueden ser software y hardw are.
N inguna de las anteriores.
S q u id como proxy tra n sp a re n te recibe peticiones
En un servidor con cortafuegos iptables que realiza
funciones de e n ru ta d o ún icam en te, la opción
h ab itu al es:
INPUT.
FORWARD.
OUTPUT.
N inguna de las anteriores.
El archivo donde se alm acenan los log-s de iptables
es:
¡var/loghptables Iog.
Ietchn.it .d/rsyslog.
/var/l ogts quid/a cce ss.Iog.
fvar/log/squid/caclie Iog.
En S q u id url regex es una opción:
De control de acceso a determ inadas web listadas
en un archivo.
De control de acceso a determ inadas palabras
reservadas Listadas en un archivo.
P ara reg istrar sucesos de intento de acceso al
proxy.
De control de acceso a los buscadores webs que
incluyan palabras reservadas.
norm alm ente en el puerto:
80.
53.
8080.
3128.
Un cliente que utiliza S qu id como proxy transparente,
envía peticiones norm alm ente al puerto:
80.
53.
8080.
3128.
La integración de un servidor proxy y cortafuegos
se denomina:
Screening router .
Dual Homed-Host.
Screened Host.
Screen edsu bn et.
18;
ó \
/
Analizar las distintas
configuraciones de alta
disponibilidad.
/
Valorar la importancia de
realizar on buen análisis de
riesgos potenciales en sistemas
críticos y adoptar medidas para
paliar sus posibles consecuencias.
/
Aprender las diferencias,
ventajas e inconvenientes entre
los sistemas de almacenamiento
redundante (RAID) y conocer
sus opciones de configuración y
prueba.
/
Conocer las opciones de
configuración y administración de
balanceo de carga entre distintas
conexiones de red.
/
Realizar configuraciones de alta
disponibilidad de servidores
mediante virtualización de
sistemas operativos.
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
© R A -M A
SOLUCIONES DE ALTA
DISPONIBILIDAD
Como vimos en el capítulo 1, a lta disponibilidad se refiere a la cap acid ad de q ue a p lic a c io n e s y d a to s se
e n c u e n tr e n o p era tiv o s p ara lo s u su a r io s a u to riza d o s en todo m om en to, d eb id o a su ca rá cter crítico.
Las em presas con la m ás alta, disponibilidad deben ser más tolerantes a fallos, disponer de sistem as redundantes
p a ra los componentes críticos de su negocio y tener una mayor inversión en el personal, procesos y servicios para
ase g u rar que el riesgo de inactividad en las em presas sea m ínim o.
En cuanto a las so lu c io n e s adoptadas en sistem as de a lta d isp o n ib ilid a d , la b a se de las m ism as las estudiam os
e n el capítulo 2 m ediante soluciones de seg u rid a d p asiva, aunque para sistem as en los que es necesario un m ayor
n iv e l d e seg u rid a d encontramos:
R ed u n d a n cia en d isp o sitiv o s h ard w are, posibilitando en caso de fallo, la continuidad del servicio. Como
ejemplos encontram os duplicados en equipos servidores, fuentes de alim entación (ver la figura siguiente) o
dispositivos de red redundantes que no perm itan cortes de sum inistro o caídas de conectividad.
R ed u n d an cia, d istrib u ció n y fiab ilid ad en la g e stió n d e la in form ación . Se d eb e p rocu rar q ue la
in form ación p u ed a ser recu p erad a en el m om en to q u e se n e c e site , esto es, evitar su pérdida o bloqueo,
bien sea por ataque, m ala operación accidental o situaciones fortuitas o de fuerza mayor. Las técnicas que se
estu d iarán son:
Sistem as RAID de alm acenam iento.
Centros de procesam iento de datos de respaldo, garantizando copias de seguridad en d istin tas ubicaciones
geográficas.
R ed u n d a n cia en la s com u n ica cio n es. Hoy en día la mayoría de las grandes em presas disponen de una red
de oficinas conectadas en tre si por red, y los servicios requeridos de las m ism as deben estar siem pre operativos.
P ara ello las em presas poseen en ocasiones diferentes conexiones de red independientes, para en caso de fallo
de alguna de las líneas, disponer de alternativas. Como caso práctico estudiarem os el b a la n ceo de carga.
R ed u n d a n cia y d istrib u ció n en el p rocesad o. Los sistem as de clustering o agrupam iento de sistem as
servidores perm iten escalar la capacidad de procesamiento.
In d e p e n d e n c ia en la a d m in istr a c ió n y c o n fig u r a c ió n d e a p lic a c io n e s y s e r v ic io s. M ediante la
v irtu a liza ció n hoy en día podemos ofrecer de forma independiente servidores dedicados soportados bajo una
m ism a m áquina.
A continuación veremos algunas de las propuestas m ás empleadas.
186
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A LTA D IS P O N IB IL ID A D
i
Analiza la noticia “ V irtu a liza ció n , cloud y unificación del CPD, principales tendencias tecnológicas para
2011", disponible descargándote el m aterial adicional del libro y cuya fuente es:
h ttp ://w w w . com put'm g. e s /T e n d e n c ia s /2 0 1 1 0 1 03004 2/IN F R A E S T R U C T U R A S -V irtu alizad on -clo ud -yu n ific a cio n -d e l-C P D -p rin cip a le s-te n d e n c ia s -te c n o lo g ic a s -p a ra -2 0 1 1 .a s p x . C ontesta a las siguientes
preguntas:
•
¿Qué es el cloud c o m p u tin g ? ¿Qué porcentaje y de qué países p rincipalm ente están utilizá nd olo
actualm ente?
•
¿Qué p o rcen ta je de servidores en producción se estim a te n e r virtua liza do s en los p róxim os 3
años, por parte de los responsables de tecnologías de inform a ción (IT) en España? ¿Cuáles son
las principales barreras y preocupaciones en ese sentido?
RAID
RAID (Re.dund.ant A rray o f Independent Disks), o conjunto redundante de discos independientes, originalm ente
e ra conocido como R edu n dan t A rra y o f Inexpensive D isk s , (conjunto redundante de discos baratos) y hace referencia
a un sistem a de alm acenam iento que usa m últiples discos duros entre los que distribuye o replica los datos. La
distribución de datos en varios discos puede ser gestionada por:
H ard w are dedicado: requiere al menos una con trolad ora RAID esp ecífica , ya sea como u n a tarje ta de
expansión independiente o integrada en la placa base, que gestione la adm inistración de los discos y efectúe
los cálculos de paridad (necesarios p ara algunos niveles RAID).
Softw are: el sistem a operativo gestiona los discos del conjunto a través de u n a controladora de disco (IDE/
ATA, Serial ATA (SATA), SCSI, SAS o Fibre Channel).
H íb rid o s: basados en softw are y hardw are específico: m ediante controladoras RAID hardw are b aratas o
controladora de disco sin características RAID, pero el sistem a incorpora una aplicación de bajo nivel que
perm ite a los usuarios construir RAID controlado por la BIOS.
La opción hardw are suele ofrecer un m ejor ren d im ien to y hace que el soporte por p arte del sistem a operativo
sea m ás sencillo. Las im plem entaciones basadas en hardw are suelen soportal' sustitución en caliente Uiot sw a p p in g ),
perm itiendo que los discos que fallen puedan reem plazarse sin necesidad de detener el sistem a.
Las co n fig u ra cio n es o n iv e le s RAID están d ar y com únm ente usados son:
RAID 0 o d ata striping: conjunto dividido, distribuye los datos equitativam ente en tre dos o más discos sin
información de paridad que proporcione redundancia, no es redundante. Se usa norm alm ente para increm entar
el rendim iento, aunque tam bién para crear un pequeño número de grandes discos virtuales a p a rtir de un gran
núm ero de pequeños discos físicos.
187
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
© R A -M A
RAIDO
Al
A3
AS
A7
A2
A4
A6
A8
RAID 1 o d ata m irroring: conjunto en espejo. Crea una copia exacta (o esp ejo) de un conjunto de datos
en dos o m ás discos. Un conjunto RAID 1 solo puede ser tan grande como el más pequeño de sus discos.
Increm enta exponencialm ente la fiabilidad respecto a un solo disco en caso de fallo de uno de los discos. Al
escribir, el conjunto se com porta como un único disco, grabando la misma información en todos sus discos
constituyentes.
RAID 1
Al
A2
A3
A4
A1
A2
A3
A4
R AID 5: co n ju n to d iv id id o con p a rid a d d istribuida: usa división de datos a nivel de bloques distribuyendo
la información de paridad entre todos los discos miembros del conjunto. Al añadir la información de paridad
distribuida entre los distintos discos, en caso de fallo de alguno de ellos, será posible recuperar su información
a p a rtir de la contenida en el resto de discos. RAID 5 ha logrado popularidad gracias a su bajo coste de
redundancia. G eneralm ente, se im plem enta con soporte hardw are para el cálculo de la paridad, aunque es
posible realizarlo m ediante opciones del sistem a operativo.
AMO 5
Otros niveles RAID menos empleados son RAID 2, 3, 4 y 6 .
M uchas controladoras perm iten a n id a r n iv e le s RAID, es decir, que un RAID pueda usarse como elem ento
básico de otro en lugar de discos físicos. Los RAID anidados se indican norm alm ente uniendo en un solo número los
correspondientes a los niveles RAID usados, añadiendo a veces un + entre ellos.
Por ejemplo, el RAID 10 (o RAID 1+0) consiste conceptualm ente en m últiples conjuntos de nivel 1 alm acenados en
discos físicos con un nivei 0 encima, agrupando los anteriores niveles 1 .
Al an id ar niveles RAID, se suele combinar un nivel RAID que proporcione redundancia con un RAID 0 que
a u m e n ta el rendim iento. Con estas configuraciones es preferible ten er el RAID 0 como nivel más alto y los conjuntos
re d u n d an tes debajo, porque así será necesario reconstruir menos discos cuando uno falle. Así, el RAID 10 es preferible
al RAID 0+1.
188
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A LTA D IS P O N IB IL ID A D
RAID O-t-1
1-RADO
1
HAOO
RAID 10
RAJO 0
f
I PRÁCTICA 8.1
CONFIGURACIÓN DE RAID MEDIANTE SOFTWARE
RAID 1 es utilizado para garantizar la integridad de ios datos: en caso de fallo de un disco duro, es posible
continuar las operaciones en el otro disco duro sin ningún problema. Para definir este nivel de RAID tendremos
que tener al menos dos discos duros de la misma capacidad quedando, de los dos, solamente uno accesible por
parte de los usuarios del sistema operativo.
En esta práctica realizaremos un RAID de nivel 1 mediante software en los sistemas operativos Windows XP y
Ubuntu 10.04 LTS. Para realizarla será necesario tener al menos 2 discos duros del mismo tamaño, se puede
realizar la prueba con máquinas virtuales que posean varios discos duros del mismo tamaño.
R AID en W in d o w s XP
Por defecto en Windows XP Professional no viene activado la opción para hacer RAID por lo que tendremos que
activarla siguiendo los siguientes pasos:
Para activar el RAID en Windows XP Profesional tendremos que editar tres archivos del sistema operativo que
están en las siguientes direcciones (suponiendo que Windows lo tenéis en la partición C):
C:\WlNDOWS\SYSTEM32\dmconfig. dll
C: \ WINDOWS \SYSTEM32\dmadminn. exe
C: \ WIN DO WS\SyS TEM32\drivers\dmboot. sys
1. Lo primero que necesitaremos será un editor hexadecimal, por ejemplo podemos utilizar el programa
"xvi32". Una vez lo tengamos instalados, copiaremos los ficheros a C :\ (por ejemplo) para editarlos ahí.
Lo podemos editar en hexadecimal o modificando la cadena que representan los valores hexadecimales. A
continuación mostraremos los cambios que tendremos que hacer:
Editaremos (en form ato cadenas de texto) el archivo dmconfig.dll con xv¡32:
Antes: LAN MANNT.... SE RVERNT... .WINNT...
Después: LANMANNT,... WINNT........SERVERNT
Editaremos el archivo dmadm in.exe con xvi32 y pondremos:
Antes: servernt.... lanm annt....ProductT
Después: w in n t........lanmannt....ProductT
189
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
© RA MA
Editaremos el archivo dmboot.sys con xv¡32:
O en cadena de texto:
Antes: t.T.y.p.e...WINNT...SERVERNT....
Después: t.T.y.p.e...SERVERNTWINNT........
2. Después tendremos que sustituir los archivos originales por los modificados, pero no lo podemos hacer
directam ente en el Windows porque este los volvería a sustituir por los originales. Así que tendrem os que
usar la consola de recuperación arrancando con un cd de instalación de Windows XP o arrancando en modo
prueba de fallos y sustituyendo los archivos modificados. Para ello:
Introducim os un cd de instalación de Windows XP y arrancamos desde el mismo, esperamos que se
inicie el asistente y elegimos la opción "recuperar una Instalación de Windows XP usando la consola de
recuperación", presionando la tecla R.
Tras esto, nos aparecerá una lista de las instalaciones de Windows que ha detectado en los discos duros.
Le damos al número que deseemos modificar.
Luego nos pedirá la contraseña del adm inistrador de ese Windows. Una vez estamos en la consola,
suponiendo que los archivos m odificados los dejamos en la raíz del C :\ tendrem os que escribir las
siguientes ordenes:
»
>>copy C :\dm config.dll C:\WINDOWS\SYSTEM32\
>>copy C :\dm adm in.exe C:\WINDOWS\SYSTEM32\
copy C :\dm boot.sys C:\WINDOWS\SYSTEM32\DRIVERS\
Por últim o escribimos "e x it" y el equipo se reiniciará.
Con esto ya tendremos activadas las opciones para hacer RAID 1 en Windows XP Professional.
3. Ahora vamos a configurar el RAID 1 con los siguientes pasos, una vez reiniciado Windows normalmente:
Presionamos el botón derecho en Mi PC y seleccionamos Administrar, luego vamos a Almacenamiento y
dentro de él a A d m in is tra c ió n de discos. Ahora en la lista de los discos duros, en cada fila a la izquierda
tendremos un recuadro que pondrá el tipo de disco (Básico, Dinámico) y el tamaño entre otras opciones.
Con el botón derecho sobre ese recuadro y pulsamos Convertir en dinámico, en los discos que deseemos
crear nuestra unidad RAID 1.
................................
J || Arch*o ftcoón
■
190
BZ3
«aai_L:
VfeCfCara K rjti*
■I
© R A -M A
8 « C O N F IG U R A C IO N E S DE A L T A D IS P O N IB IL ID A D
A continuación, presionamos el botón derecho en el espacio no particionado y seleccionamos N uevo
vo lu m e n . Se iniciara el asistente y le damos al botón Siguiente.
Ahora nos aparecerá la lista de los tipos de volúmenes que podemos crear (Simple, Distribuido, Seccionado,
Reflejado, Raid-5), a diferencia de antes ya nos aparece el tipo R e fle ja d o (que es el que nos interesa).
Seleccionamos Reflejado equivalente a RADI 1 y le damos al botón Siguiente.
Nos aparecerá una ventana en la que tendremos que a ñ a d ir a la zona d e S e le c c io n a d o lo s dos discos.
Para añadir alguno, tendremos que seleccionarlo en la zona de Disponible y darle al botón Agregar. Una
vez que tengamos los dos añadidos le daremos al botón Siguiente.
,i. r,- A‘~i.i i .Ti
Udta
, i . « i
S rle c c io M i d iicO i
Pueda »ekcoorvir kn dtcos y •Habtoc* «I Umafo de d»co
este vetunen
Sefacoone Im «focos drámcos g j» gu«e láism y h*}* d e eo Agiegar
Qaponbb
¿efecoonada
T arrufo lotd dei vofcjnen en neQéb^tt |MB|
M4mrk>eaveoo <fepon£ie w i M8
2047
Seleccione U cenbdad de ff»p*co en M8
2017
“
En la siguiente ventana elegiremos la letra que queramos para la partición con RAID l y presionaremos el
botón Siguiente.
Tras esto, elegiremos el formato de la partición, la etiqueta de la partición, marcamos dar form ato rápido
y le damos al botón Siguiente. Por últim o nos mostrará un resumen de la configuración y le daremos al
botón Finalizar.
Ahora nos mostrará, en las particiones en RAID, un mensaje que indicará Volviendo a sincronizar con un
porcentaje. Esto significa que se están sincronizando los dos discos duros. Tendremos que esperar a que
acaben y muestre correcto para poder usar nuestra partición en RAID.
Ok
¡IflMIHi l i l i l í «
¡£*3ariMbr«cttn*<«0jp«Ooc4)
fc H m a .e ru .A ln U '»
.A »«*
—
r«eo«a£r
Tpq
1
rartiov.
bémo
WVS
( { ) W V « n*ger\ InAMco NT»)
;
C»racto rSefe*^- 19951
Vetante « *nc
¿.COGI
|
«rt
«,VOB
I.9JC»
X *tr»
T5X
«X
T w * m i * *»rur«n , (.uno
No
<r*
50%
lUMrtMbcányTum
m
mymrt mXt /»$é **
9
4» <**co*
J | ^MCoir<l^4dcrM
Umo
V.99&
[rptrttU
tfftv o 1
Ortimr»
7.® «a
<r^
S.«úlKTF5
■Aio tro
r.QCtth-rrV
t m o n a « ( év,, i
O ÍO ixo/
Dnlmo
Í.OOCM
[f\pcriU*
RAID (L J
J lD B tW O
C*©ÍD)
t> to m a ta
191
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
órehrvo
¿(Sobo
Ver
© R A -M A
Favor*«
(jerrament*5
IV
Búsqueda
Ayytáa
Carpetas
03.
Dfrctdón ^ M PC
Nombre
Espacio Ifcre
Tipo
U nidades de d is to du ro
Ver nformocdn dei sistema
¿3
o quitar program«
0 * CamUar ^r»a corfigivacjón
^ Dccototal(C)
Deco local
5.99 O
4,54 GB
hzm h
D«co local
1.99 GB
1,96 GB
Onpovit « y « ro n akjiocm am écnto extrotbie
^
i-
.¿Uw daddeC D(D:)
Unidad òe CD
Mfcstoosdered
i Ï Mb documento*
i Documentos compartidos
^
Panel de control
RAID ( I : )
Disco local
Setenta de archivos. N7FS
Espaoolbre: 1,98 GB
Tamaño total: 1,99 GB
4. Ya esta todo hecho, tenemos nuestra partición de datos con RAID 1. Si queremos asegurar que funciona,
podemos hacer lo siguiente: apagamos el ordenador y desconectamos uno de los discos duros que tienen
una de las dos particiones en el RAID 1. Encendemos el ordenador. Creamos un fichero en ¡a partición del
RAID 1 y volvemos a apagar el ordenador.
Conectamos de nuevo el disco duro que habíamos desconectado y volvemos a encender el ordenador. Le
damos al botón derecho a Mi PC y seleccionamos Adm inistrar. Luego vamos a Almacenamiento y dentro
de él a Administración de discos. Veremos que en las dos particiones del RAID aparece el mensaje E rro r
de re d u n d a n c ia .
Seleccionamos el disco duro que habíamos desconectado, en el recuadro de la izquierda donde aparecen
datos suyos le damos al botón derecho del ratón y seleccionamos R e a c tiv a r disco.
Ahora aparecerá un mensaje en las dos particiones del RAID 1 que indicará "Regenerando" con un %.
Entonces empezará la reconstrucción de los datos. Esperamos a que a finalice y ponga Correcto.
R A ID en G N U /L in u x
La configuración del RAID en Linux la haremos bajo la distribución Ubuntu. La podremos hacer fácilmente gracias
a la aplicación "utilidad de disco" que integra la nueva versión de Ubuntu para particionar y dar form ato a los
dispositivos de almacenamiento.
1. En prim er lugar iremos a Sistema - Administración - Utilidad de Disco.
Para iniciar la configuración del RAID 1 pincharemos en Archivo - Crear - Conjunto RAID...
Se iniciará un asistente que nos perm itirá seleccionar el tipo de RAID que deseamos configurar así como
las unidades de disco que intervienen en el RAID.
En nuestro caso seleccionaremos como nivel de RAID "Espejo - (RAID 1)", introduciremos un nombre
para el conjunto "Raid Espejo" y justam ente abajo seleccionaremos los dos discos duros que formarán el
RAID:
192
© RA M A
8 ■ C O N F IG U R A C IO N E S DE A L T A D IS P O N IB IL ID A D
Crear un con|unto RAI O
I
I G en eral
NtvH def RAID
COflMrdQ e ta rjo w i p a lia d f t o p t v o m Im tm c m «
M h j> / m O m iÉ i
p v á *pvti/ • lm ( 4 * f u m
HUD I p w M n to p o rt» / g u r M n m o i wxt d h c o i aw n fl«
W mbfr do-: con|i»>to
Raid Espejo
U m a iV ) del cofi|unto
D is c o s
S* c r t a r l u ro ptftxiöM Jr
ohco
dura a« a .i ca
4 ) GB O c tf u tt no
Qocdm« rUMirut mmc
dnponaat
-o
Ota«, duro d . « .i ca
V U W » i » « parUUD» j »
A * " t m u v > u n to íy u n fo <*r ■».3 0 8 f x t f j
u n R A i O i e n í tincas p u H e -C /w fe*
S¡ todo está correcto, pulsaremos en "C rear" y nos pedirá que introduzcamos la clave de Adm inistrador
tanto para crear las particiones en los discos como para crear el RAID por software.
Una vez creado el conjunto RAID nos aparecerá el conjunto de la siguiente manera:
>#
Raid Espejo (Conjunto RAJD-1 da 4,3 GB) f dcv mdO¡. u tilid a d da discos
OttJKMitzvtR ila aimaCjHtatnranfo
I A lm M C M m tv n ta lo c a l
^
A d a p ta d o r d a e q u ip o PATA
tvpejo 4RAID 1.
tx r^ c
DI k o d u ro d e B.6 GB
O tic o d u ro d a 4,3 GB
Ratf tipejo
Sin partK tonar
FircutJmaove
4 3 GB í 42 SJ 5 5 1 1 0 4 t*le-.>
ñ rtitx ronzando £
m
fcwarei conjunto RAID
¿
Formatea* borrar ei con|is*o RAJO
ComprotMr H con|unf o
r
Edrtar componente?
Dive o d u ro d a 4,3 GB
. D4»po«INvo« m u ltld lic o
Prueba de rendimiento
Aíev/mtíO
4.306 (479)551104 bytw)
Formatear volumen
Tras crear el conjunto el sistema resincroniza ambos discos duros para replicar la información.
2. Una vez terminada la resincronización, tendremos que particionar el volumen del Raid Espejo para crear
una partición que sea utilizable por el sistema. Para particionar el volumen pulsamos en "form atear
volumen":
193
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
© R A -M A
Seleccionaremos el tipo de sistema de archivos e introduciremos un nombre para el nuevo volumen.
Pulsaremos en "Form ato":
3. Al pulsar nos pedirá la confirmación. Tras esto solo nos queda m ontar la unidad para que sea visible y poder
usarla con normalidad. Pulsaremos en “ m ontar volumen".
Montada la unidad, nos aparecerá el icono en el escritorio del sistema del nuevo volumen “ Raid 1" que
acabamos de configurar.
La manipulación del volumen “ Raid 1" es igual que si fuera un disco duro simple por lo que podemos cortar,
pegar, mover, renombrar, etc., dentro del mismo.
BALANCEO DE
CARGA
U n balanceador de carga es un dispositivo ya sea hardw are o software que se dispone conectado a un conjunto de
servidores de m anera que a sig n a y rep arte la s p e tic io n e s que provienen de los clientes a los distintos servidores
a los que se conecta dicho dispositivo.
Estos dispositivos aplican una serie de algoritmos, como el conocido Round Robín, para re p a rtir la carga de forma
equilibrada.
La utilidad de estos dispositivos radica en poder re p a rtir la carga y excluir aquellas conexiones de destino que se
en cu en tren caídas en un momento determ inado de m anera que un cliente cuya dirección IP de su servidor DNS se
en cu en tre caída, el balanceador de carga detectará que esa dirección IP se encuentra inactiva (.el servidor no escucha
la s peticiones ya sea por fallo en hardw are o en software del servidor) y las peticiones cuyo destino se dirigen a.I
servidor caído se redireccionarán a otro servidor DNS que haya conectado al dispositivo encargado del balanceo de
la carga.
E ste sistem a tam bién es m uy útil a la hora de u n ifica r d os o m ás c o n e x io n e s con salida hacia In tern et en una
s o la . Al in stalar un balanceador de carga al que se conecten varias líneas de Internet, podemos re p a rtir la carga de
s a lid a a In tern et entre las líneas, pudiendo definir que cantidad de peticiones saldrán por una línea y que cantidad
p o r otra, dependiendo por ejemplo de su velocidad y fiabilidad.
194
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A L T A D IS P O N IB IL ID A D
I PRÁCTICA 8.2
BALANCEO DE CARGA
En la siguiente práctica estudiaremos como configurar mediante software balanceo de carga mediante ta b la s de
e n ru ta m ie n to en sistemas GNU/Lintix y mediante K e rio W in ro u te bajo Windows.
B a lan ceo d e ca rg a m e d ia n te ta b la s d e e n ru ta m ie n to G N U /L in u x
Nuestra práctica la realizaremos en la distribución Ubuntu, realizando balanceo de carga entre dos líneas ADSL
de diferentes velocidades. La carga de las lineas según la configuraremos en proporción 2-1, es decir, por cada 2
peticiones a la linea rápida de ADSL saldrá 1 petición por la línea lenta de ADSL.
Esta proporción se puede variar según nuestra necesidad ya que si disponemos de dos ADSL de la misma velocidad
lo lógico será balancear la cargar al 50%.
En esta práctica necesitaremos una máquina con tres interfaces de red de las cuales: una se conecta a la LAN y
las otras dos a las distintas líneas de ADSL. El esquema puede ser el siguiente:
Empezaremos definiendo las direcciones IP de cada una de ias tarjetas de red que contiene nuestra máquina que
realizará el balanceo de carga:
Ip router ADSL 1 (rápida): 192.168.1.1/24
Ip router ADSL 2 (lento): 192.168.2.1/24
Servidor con balanceo de carga:
e th l (conectado a router ADSL1): 192.168.1.2/24
eth2 (conectado a router ADSL2): 192.168.2.2/24
ethO (será la nueva puerta de enlace de la LAN): 192.168.3.1/24
1. Empezamos a configurar las 3 interfaces del servidor. Para ello nos dirigimos a Sistema - Preferencias Conexiones de red.
2. Mediante un term inal definiremos dos tablas de enrutam iento distintas que emplearemos para cada una
de las líneas de ADSL:
# echo 200 a d s ll >> /e tc/ip ro ute 2 /rt_tab les
# echo 201 adsl2 > > /e tc/ip ro ute 2 /rt_tab les
3. Ahora nos centramos en la tabla de enrutam iento del ADSL1. La siguiente configuración define que la
red 192.168.1.0/24 es la red conectada a la interfaz e th l que tiene una dirección IP 192.168.1.2 y que
los paquetes con la salida a In te rn et serán enrutados por la tabla a d s ll. Podemos comprobar que la
configuración ha sido introducida mediante "ip route show table a d s ll":
ip route add 192.168.1.0/24 dev e th l src 192.168.1.2 table a d sll
íp route add defauit vía 192.168.1.1 table a d s ll
C # #
root ¿ u tu a rlo 'd e tk to p : hom * uiuarJo
rootçusuario desktop /ho«e/uiu»tlo*
. 1 6 8 .1 2 table athU
roolím uauo HfiHoe /bgae/u'.uarioa
d i 11
root*»miarlo deiktoo /N »e/uiuarío«
192.168 1.0/24 de» e th l »coi* Unk
defauli vía 192.168 1.1 dev ethl
roottuiuano desHoo /noite/muario»
ip toute
192.168 1.8/2« dev e th l it c 192
IP roule add eetault irla 192.108 11 table a
ip toute sto~ tib ie adsll
sr< 192 168.1.2
|
195
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
© R A -M A
4. Del mismo modo introducimos las sentencias pertinentes para la configuración de la tabla de la línea
ADSL2:
ip route add 192.168.2.0/24 dev eth2 src 192.168.2.2 table adsl2
ip route add default via 192.168.2.1 table adsl2
5. Tras d efin ir cada una de las tablas de enrutam iento de los ADSL tendrem os que definir la tabla de
enrutam iento principal para que los paquetes sean enrutados correctamente.
La configuración individual de las tablas anteriores es para cuando el tráfico está en una de las dos
subredes de salida y se necesita saber como enrutarlo. Las sentencias para configurar la tabla principal
son las siguientes:
¡p route add 192.168.1.0/24 dev e th l src 192.168.1.2
ip route add 192.168.2.0/24 dev eth2 src 192.168.2.2
Mediante ip route show, veremos el resultado configurado.
6. Tras configurar la tabla principal tendremos que definir las reglas de enrutado. Esto sirve para aplicar las
reglas almacenadas en cada una de las tablas cuando se cumple que vienen de las ips correspondientes:
ip rule add from 192.168.1.2 table adsll
ip rule add from 192.168.2.2 table ads!2
7. La últim a sentencia es la más importante de toda la configuración ya que es la que d e fin e el b a la ce o de
ca rg a.
Con esta sentencia to que indicamos son las rutas por defecto que tiene que seguir los paquetes cuando
su destino no esté dentro de nuestra red con el añadido que en función de la carga saldrá por una puerta
de enlace o por otra:
ip route add default scope global nexthop via 192.168.1.2 dev e th l w eight 2 nexthop via 192.168.2.2 dev
eth2 weight 1
Weight 2 y weight 1 son los pesos asignados a cada interfaz de red, son modiñcables. En el supuesto caso
de tener más líneas ADSL conectadas al balanceador de carga habrá que definir el balanceo de carga para
cada línea de ADSL adicional que conectemos.
8 . Hasta aquí tenemos listo el balanceador de carga pero es im portante no olvidar habilitar el enrutam iento
entre las tarjetas de red para que las peticiones que provienen de la LAN sean transferidas a Internet.
iptables -t nat -A POSTROUTIIMG -s 192.168.1.0/24 -o e th l -j MASQUERADE
iptables -t nat -A POSTROUTIIMG -s 192.168.2.0/24 -o eth2 -j MASQUERADE
echo 1 > /p ro c/sys/n et/ipv4 /ip_forw ard
9. Para visualizar que el balanceador realiza su tarea correctam ente tenemos a nuestra disposición la
herramienta Ip tr a f. Esta herramienta nos perm ite tener un control de aquellas conexiones que están
activas y un contador de paquetes de cada una de las interfaces, entre otras opciones. Para instalarla:
apt-get install iptraf
Una vez instalada la ejecutamos iptraf. Una vez abierta la herramienta nos dirigimos a la sección "General
interface statistics":
196
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A L T A D IS P O N IB IL ID A D
En dicha sección tendremos las estadísticas de paquetes que transitan por cada una de fas interfaces de red de
nuestro balanceador de carga.
Si visualizamos los resultados veremos que del total de los paquetes que provienen de la LAN (ethO) gran parte
han salido a Internet por la interfaz e th l que corresponde con el ADSL rápido mientras que una parte más
pequeña de los paquetes han salido por la interfaz eth2 que corresponde con el ADSL lento;
e o •
ro o t á u s u a rio -d e s k to p : «hom e/usuario
IPTraf
lo
ethO
e th l
e th 2
>46
54126
3S499
12335
54226
36489
12335
Û
9
546
ô
0
6
S
d.Ofl kbtt
923,00 kbit
A.89 kbit
B a lan ceo de carga m e d ia n te K erío W in ro u te (W in d o w s )
A continuación, realizaremos el balanceador de carga por software en el sistema operativo Windows 7 mediante
el programa K e rio W in ro u te . En el capítulo 7 vimos su uso configurando un cortafuegos personal.
Realizaremos la misma configuración de red que para GNU/Linux, en las 3 interfaces de red necesarias.
Podemos iniciar el programa de adm inistración "Kerio A dm inistraron consoie" que nos perm itirá realizar la
configuración de nuestro balanceador de carga. Como todo programa de adm inistración, nos pedirá que nos
conectemos con el usuario y la contraseña definida en ta instalación para poder adm inistrar el software. Una vez
logueados, el programa ejecuta un asistente que nos permite realizar una c o n fig u ra c ió n básica del mismo.
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
© R A -M A
1. En dicha configuración tendremos que seleccionar la opción "M últiples enlaces de In te rn et - Balanceo de
carga de tráfico"
Toe oe coneoón a Irteme? • ptgn* 2 de 7
Setetoone cono é ir rv»al n conectado a Internet:
Tras esto, tendremos que seleccionar que interfaces serán afectadas por el balanceo de carga, Pulsaremos
el botón "agregar". En la ventana que nos aparece tendremos que escoger los adaptadores de red que
tienen conexión con Internet. Así mismo, podremos configurar el ancho de banda de cada enlace.
La siguiente pantalla del asistente permite realizar la configuración de cortafuegos mediante bloqueo o
filtrado de protocolos. A continuación en la configuración de VPN, en la que deseleccionaremos todas la
opciones.
Si tuviéram os algún servidor en la LAN que quisiéramos que fuera visto desde Internet, en la siguiente
pantalla tendríamos que introducir la dirección IP y el servicio que estarían activos en dicho servidor. En
caso contrario, tendríamos que saltar dicha pantalla. Por últim o, terminaremos la instalación pulsando el
botón "Finalizar" del asistente.
2. Tendremos que configurar un aspecto fundamental para activar el balanceo de carga. Nos dirigimos a
la sección "configuración" y entramos en “ políticas de tráfico". En esta pantalla nos mostrará todos los
permisos y restricciones que tienen los servicios.
En la regla de "Acceso a Internet (NAT)" tendremos que m odificar el tipo de traducción que realiza. Para
ello, pulsaremos con el botón derecho sobre el campo "Traducción" de dicha regla y seleccionaremos
"E ditar traducción".
V
Ifrtjfeoil Cco:o4i 4c
VcTr.C
f * l te r o ItfnAaut»
|
( o
í
O»
Kerto WmRoute ítr c v a l
.
Configuración
*
Política de tráfico
VÍ*oibaditMoi
S exo
0 BtnOndtfi'umitr
®Cj^edodecor^r-»úo
^
8
/ j T afra ov «orwtar*enso
■
i * N p. tf
■ j 5 U m n o t y grupo»
- & ÍU ad o
Acocn
Rflp? Traducobn
HA’
H É H r»
'
li
✓
’ o w ot
^ ’ m m c t a r t a »**•
* " oíos i r e «
^
^OpoomMntidis
v a i'» *
*000»
»**•
i* ¡
c« n V j e >
4> "rw «S
«5» C uéojva
f s to arinco
1------------------------ 1
+
C u to * ’ «
Cjéojm
r»
✓
•> Cuatoar»
s
En la ventana de configuración de la traducción tendremos que seleccionar la opción "Realizar balanceo de
carga por conexión (m ejor rendimiento)".
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A L T A D IS P O N IB IL ID A D
3<*TC«3 01
C y tiy » »
•
ÎM > »
por 1M '* *)ar
pe~ «>->c»i -oí- - M r r » ~ y o r - * 3 O
9»
9 9 sm rnor v í t r ■■■■S^T>0)
'.g ro a n « '-■caá» w • n r «
x * » r a « » r » a j 3» r t n » !
uTUMr«
•W M eM Tei aisano
3. Si ahora empezamos a realizar peticiones y nos vamos a las estadísticas de la salida a Internet veremos
como la carga se balancea entre ías dos interfaces.
Para ello nos iremos a la sección "Estado" y pincharemos en "Estadísticas". En dicha pantalla nos iremos a la
pestaña "Estadísticas de la rnterfaz" y veremos como la carga que proviene de 1a LAN se está balanceando
entre las interfaces con salida a Internet.
----id «
1CoaAyufBOúa
Estadísticas
£*•61 j r i d ’ » JC .w a .trfimJi •**»■* :*•«:« (itM fc U »
■ J w n o p w a is r w :
ie w e de lelem et O ra te * deoendeew iW n íliw fc
*tç»3ctn 0 9 0 jm r e c a v i
'» »ttó» prt » y » r <fle
lili
fi’irtivi rt -e-arl-m
«
E T M « K il9 i« r)H u
Uü
*
Qpar*» r . r a a i
• C c r» » c r 0* árw «caí
M "un*iír- M V n tK « 2
)■ o-r. »- « r t io c « <
«a
ltfJU.14
»744
117 7 «
M in a !» « t t 'C n , » « m i
• :v»:-
31* *>S
« .1 3 9 4
«híamo -2«**: 9*3
■lì SM.:«■ mjm:4
*7**9
S&7<9
»?<«
«J3«4
< H )tt t4
Í3 W < 1
Ü 7 I4
H7 7 4
)T«H
HJÎ4
ÍT««J
04«
VIRTUALIZACIÓN
La virtualización perm ite la ejecución sim ultánea de distintos sistem as operativos sobre una aplicación ejecutada
y soportada bajo un equipo y un sistem a operativo determinado. Perm ite realizar una abstracción de los recursos de
un sistem a, creando una capa entre el hardw are de la m áquina física y el sistem a operativo de la m áquina virtual.
E sta capa de software maneja, gestiona y arb itra los cuatro recursos principales de un ordenador (CPU, Memoria,
Red, Almacenamiento) y así podrá rep artir dinám icam ente dichos recursos entre todas las m áquinas virtuales que
se estén ejecutando en un momento determ inado. De modo que nos perm ite tener varios ordenadores virtuales, con
distintos sistem as operativos, ejecutándose sobre el mismo ordenador físico.
El software de gestión de m áquinas virtuales se distribuye por em presas como M icrosoft (V irtual PC), VMWare
(VMWare) u O racle (Virtual Box).
199
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© R A -M A
U na vez in stalada la aplicación de gestión de m áquinas virtuales, el proceso p ara poder ejecutar distintos sistem as
operativos se resum e en:
C rear y configurar los recursos hardw are que darán soporte a la instalación de un determ inado sistem a
operativo.
U na vez creada la m áquina virtual soporte, in stalar m ediante una im agen ISO o un CD/DVD de instalación
el sistem a operativo.
A rrancar y utilizar el sistem a operativo, pudiendo in stalar aplicaciones, guardar datos de forma independiente
al sistem a operativo que soporte el software gestor de m áquinas virtuales.
Sucesivam ente podemos ir modificando configuraciones creadas, creando y ejecutando distintas m áquinas virtuales
independientes dentro del gestor de m áquinas virtuales.
PRÁCTICA 8.3
CREACIÓN DE MÁQUINAS VIRTUALES
En la siguiente práctica estudiaremos como instalar, configurar y usar, bajo Windows 7, la aplicación de gestión
de máquinas virtuales VMWare Server.
Para la instalación de VMware Server tendremos que descargar, en prim er lugar, el paquete instalador de la web
oficial de VMware: http://w w w .VM w are.com /es/ .
Para poder descargar los instaladores de VMware es necesario registrarse en la web. Podemos realizar el registro
antes de elegir el producto en la sección "Cuenta" presente en la página principal de la web o de manera
instantánea cuando elegimos la descarga de un producto, en nuestro caso VMware Server, rellenando el form ulario
de registro. Para los usuarios que tengan cuenta en la web, solo tendremos que introducir los datos necesarios
para autenticarnos.
Una vez logueados en la web, nos aparecerá una ventana en la que tenemos tanto los seriales de cada uno de los
productos de VMware Server como los links de los instaladores.
En nuestro caso copiaremos el serial (Licensing) y descargaremos de forma manual el paquete VMware Server 2
for Windows Operating Systems.
In s ta la c ió n V M w a re S e rv e r 2 .0 .2 en W in d o w s 7
1. Una vez descargado el instalador lo ejecutarem os en el sistema operativo y se iniciará el asistente
de instalación. En la instalación podemos m odificar el directorio donde se almacenarán las máquinas
virtuales así como el nombre de la máquina, Host, y los puertos a través de los cuales accederemos a la
administración web. En un momento de la instalación nos pedirá que introduzcamos el nombre de usuario
(necesario para la adm inistración web), el nombre de la compañía y el número de serie:
2. Una vez reiniciado el equipo podemos encontrar todos los componentes de VMware en el menú de inicio.
Podemos arrancar el programa desde los accesos directos (VMware Server Home Page) o entrar en un
navegador web e introducir las siguientes direcciones para acceder a la adm inistración web:
h ttp :// <D irección_ip> .8222
h ttp s :// <D¡rección__ ¡p > :8333
200
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A L T A D IS P O N IB IL ID A D
ff t o w
M ht« lr*e#rwti#e W Í4C4II •
O
*
trJÉÉ
1/ cntcx
j
'
0 lU o jn I n f u i t r ^ «
« a
m
< ■
-
p
(*
«f >ktti
-
j togrt* >Ufn«
‘ uw»-*c
I
| 9
Q
-
i
| l4o*= r iziry&t Kt» * 3«
Una vez introducido nombre de usuario y contraseña configurados en la instalación, en la parte derecha de
la pantalla tenemos las distintas opciones para crear o añadir máquinas virtuales o Datastores.
En la parte central tenemos un resumen de las características de nuestro H o s ty de las máquinas virtuales
que vayamos creando, cuyo listado aparece en la izquierda, que nos permite tener un control acerca del
uso de la CPU, la cantidad de RAM consumida, espacio en disco y conexiones de red.
La parte inferior hace referencia a un registro de actividades en las máquinas virtuales. Se registran cuando
se inicia una máquina virtual, cuando se detienen, cuando se modifican, etc.
-O ? - » —-(»
*>
J f * c*461
tí •
0
ü
i .«t
*,
1Jiua’ •. 21«*'
• Q
-
«r » 5*9»^»
»» ;
3 in sa n o PC
r^ n
i.
•«* *-•**»
. Tu*
~
-
* * n « >r * '’a 1 O ) Cvá
t.r-n
utu*~«-PC
H«nala(tunir
Kodel
§ Fnxc»«ort
Jr-«HC' Cc-«ÍTM- ? CPU HOS 3 M 3G «i
:
c *\j
B it. 60 MKl
0
Heinory
s:i.$3m s
UMfC
*» » »
Dai A iin n ri
C«0«alf
:».« sa
» H SC*»
U 1* G*
C’N Atu* M*cl
Hcfw orki
P'K* »©o «jo
Ti í *
3r»i«*d
i «c*C rt,
HAT
Sw.1
.mr«Jí
WTMtJ
* >;• t ‘
lU f f t y
b»
201
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
© R A -M A
Creación de una nueva máquina virtual en VMware Server.
3. Para la creación de una máquina virtual nueva nos dirigimos a la opción "Create virtual Machine" en el
cuadro de la derecha de la pantalla.
A continuación, nos aparecerá un a s is te n te que nos perm itiré configurar los aspectos básicos de nuestra máquina
virtual.
En prim er lugar nos pide que configurem os ei nom bre de la máquina v irtu a l y la ubicación donde se
almacenará.
En nuestro caso, vamos a crear una máquina virtual para instalar el sistema operativo Freenas para posteriormente
realizar una serie de pruebas como servidor ÑAS (analizado en el Capítulo 2).
La siguiente pantalla del asistente hace referencia al tip o de s is te m a o p e ra tiv o que vamos a instalar en
la máquina virtual y la versión de dicho sistema operativo. Puesto que Freenas es una versión de FreeBSD,
seleccionaremos "O ther operating systems" y en la versión elegimos "FreeBSD (32-bits)".
A continuación, tendremos que definir la cantidad de m e m o ria RAM y el numero de procesadores (hilos) que
usará nuestra máquina virtual. En nuestro caso, elegimos 256 MB de memoria RAM y una CPU. Debemos tener
en cuenta que los recursos hardware que configuremos serán consumidos de la máquina física en la que se
ejecute. Por lo que el ajuste de la memoria RAM suele ser un parámetro lim itador ya que no es posible ejecutar
simultáneam ente tantas máquinas virtuales como se desee.
■ I V H w « # rr l u i r . is tr u c t u r e W e b A c ie v » ( u \ u * i r i o a i ? / . 0 . 0 . 1 )
A p p k c a t^ o r
In v rn to rv
V ir tu a l M a c h a r *
¿ d m im s T ra tra n
ti
*e »p
______________ *1 --------------- n r __________________________________
í V i*ru a i A p p W v c e
_________ _____________________
X fgggj
Nam e a r d lo c a t o r
G uest O perating S yste m
Ic c 'e a s ic g a v irtu a l m achine s m e m o ry aR ocatior can im p ro v e cs
p e rfo -m a rc e but m a y also im pact oche** -u n n r.g applications.
S ilt :
256 _ MB
R e c o m m e n d e d S l i e (256 MB>
R e c o m m e n d e d M in im u m (32 MB)
The guest c p e 'a tir g syste m m a y r o t s ta 't up belovt th is size
R e c o m m e n d e d M a x im u m (8 1 9 2 M3)
Mem ory sn apping m a y occur above tb*s S're
P ro c e s s o r s
S elect th e rum be«’ c f processors c a re fu lly We do n o t -e co m m e rd
re c o r fig u n rg tK s valu e a fte r trfc a lk rtg th e g u e st o p e 'a b n g system .
D dck
I
N ext
I
O
k
«I
Posteriormente se definirá si la máquina virtual usará un nuevo d is c o d u ro virtual o uno existente por ejemplo
de otra máquina virtual. Ya que nuestra máquina es completamente nueva, elegimos la opción "Create a new
virtual disk". Al elegir la opción de disco virtual nuevo tendremos que definir el tamaño del disco y la ubicación
del mismo. En esta misma sección también podemos modificar ef adaptador de nuestro disco duro y el número
del dispositivo que usará.
Tras definir el disco duro, tendremos que configurar el a d a p ta d o r de red que usará la máquina virtual. Para
definirlo pulsaremos en "add a network adapter". Las opciones que nos aparecen en cuanto al adaptador de red
son bastante sencillas ya que la configuración de los adaptadores de red estará gestionada por la herramienta
"Manage Virtual Networks" que veremos con más profundidad en la siguiente práctica.
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A L T A D IS P O N IB IL ID A D
Podemos elegir tres modos de funcionamiento de nuestro adaptador de red ya sea modo Bridged, modo Host-only
o modo NAT (la configuración la realizaremos más adelante). En nuestro caso, seleccionaremos el modo Bridged,
ya que la máquina virtual se encontrará en red con la máquina física y el resto de equipos de la red de ésta. En este
modo debemos asignarle una configuración 1P dentro de la máquina virtual a su adaptador de red. Activaremos la
opción de "connect at power on", para que esté activa cuando arranquemos nuestra máquina virtual.
La in s ta la c ió n de n u e s tra m á q u in a v ir tu a l es posible realizarla de dos modos, bien sea a través de una imagen
.ISO o a través de la unidad de CD/DVD del Host host físico.
En nuestro caso añadimos una imagen ISO por lo que pulsamos en "Use an ISO Image". Al elegir que queremos
instalar la máquina virtual a través de una imagen ISO nos aparecerá una pantalla en la que tendremos que
seleccionar la ubicación de la imagen ISO dentro del Datastore que tenemos configurado, es decir, la imagen ISO
tiene que estar ubicada en la misma carpeta que contiene las máquina virtuales.
Del mismo modo que la unidad de CD/DVD configurada anteriorm ente, podemos seleccionar el adaptador y el
número de dispositivo que utilizará.
Podemos hacer lo mismo si queremos usar una unidad de Floppy Disk, en nuestro caso, no integraremos esta
unidad en nuestra máquina virtual. Del mismo modo podemos utilizar dispositivos USB conectados en la máquina
Host host para tener acceso desde la máquina virtual. En nuestro caso, tampoco integraremos esta opción.
Por últim o, el asistente nos da un resumen de la configuración que acabamos de realizar. Si estamos de acuerdo
podemos pulsar el botón "finish" para term inar de definir la máquina virtual.
C reate Virtual Machine
P ao*»
Name and Location
Guest Operating System
Memory and Processors
Hard Disk
Properties
Network Adapter
Properties
1 CD DVD Drive
Properties
Floppy Drive
X
Ready lo C om plete
Please verify that
your
new virtual machine is configured correctly.
Name:
Freenas
Location:
[standard]
Guest Operating System:
FreeBSD (32-bit)
Memory:
2S6 MB
1 Processors:
:
Hard Disk:
8 GB
Network Adapter:
Using "Bridged1
CD/DVD Drive:
( USB Controller:
Lsirg [s:ard a ,'d]'FreeNAS-i386-LiveCD-...
No
M ore H a rd w a re
| USB Controller
Hele
Pene' or your n e* . prtua' machire rtev*
Ya tenemos nuestra máquina virtual creada, ahora solo tenemos que arrancarla e instalar el sistema operativo
como si de una máquina normal se tratara. Lo veremos jun to con el funcionamiento en la práctica 47 (servidor
ÑAS virtuafizado).
La creación de máquinas virtuales permite realizar copias de seguridad y restauración de las mismas de forma
muy sencilla. Las distintas máquinas virtuales creadas se encuentran accesibles en la carpeta que hallamos
configurado (norm alm ente C: / Virtual Machines).
203
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© R A -M A
I PRÁCTICA 8.4
CONFIGURACIÓN DE RED DE MÁQUINAS VIRTUALES
Los m od os d e fu n c io n a m ie n to que podremos asociar a cada tarjeta de red virtual, en cada máquina virtual son:
B rid g e o puente permite conectar la máquina virtual a la red que usa el equipo anfitrión. Conecta el adaptador
de red de la máquina virtual, con el adaptador "físico" o real del equipo. Es la opción más empleada.
H o s t-o n ly permite al sistema anfitrión comunicarse con los sistemas invitados de las máquinas virtuales
instaladas en el equipo. Las máquinas virtuales sólosolo pueden comunicarse directamente con el sistema
host físico y las máquinas virtuales que también son miembros de la misma red.
NAT permite realizar NAT entre las máquinas virtuales y la red externa a la que pertenece el host físico. Permite
por tanto la conexión a una red externa en aquellos casos en que únicamente se dispone de una dirección IP, que
usa el anfitrión. Por ejemplo se puede conectar una máquina virtual a Internet a través del adaptador de red del
equipo anfitrión. Se emplea para aislar la comunicación exterior con las máquinas virtuales.
Como hemos comentado anteriorm ente, tenemos una herramienta instalada que nos permite configurar ciertos
aspectos de las distintas formas de funcionamiento de los adaptadores de red en ías máquinas virtuales. Esta
herramienta se llama "Manage Virtual Networks" y la podemos encontrar en Inicio - todos los programas Vmware - Vmware Server - Manage Virtual Networks.
Si abrimos la herramienta nos muestra una pantalla en la que tenemos seis pestañas de configuración:
fS . *u.l
ü
xrr’arj J*U?~JC£b rO yQ |
a
yv '«ong ] -*e
|
¡ \VT |
fv t * •
o4fou- y»**!n*t>© ra. use t * © *«' pac« ©f IT« edtcr to c w g « 1N 1
s*t3ng> o4 *otP n«b>orics. mX **o t c » tó to tm and rx re
.*cua¡tíe&>«r«
yj-.M-etO
.syiet: (Hoíí-oH»)
yS.'-vea(SAT)
S o v jfj
Ujotk:
DKP
~5rOjeC» tr » .a n ix a t» c*3Kr>mt ■
_______________
* prr ele rcfrxxV tf-*red
*o*!
jwdío^*rev*hotítP«»a»
192-168.50 0
&2Í4&.U80 Emcwc
La primera pestaña “ Sum m ary" hace referencia a un resumen de los adaptadores virtuales que están funcionando
con VMware así como de la descripción de cada adaptador, subred en la que está trabajando y si tiene activo o no
el servicio DHCP que integra la misma herramienta para los modos NAT y Host-only.
La siguiente pestaña "Autom atic Bridging" permite controlar y configurar un puente de red entre el adaptador
VMnetO con el adaptador de red físico del host.
La tercera pestaña "Host Virtual NetWork Mapping" permite definir, configurar y desactivar distintos adaptadores
de red virtuales que podemos asociar a una máquina virtual y que se comportarán, para las distintas máquinas
virtuales configuradas en un mismo modo, como un switch virtual interconectando a las distintas máquinas
virtuales. Dependiendo del m o d o de fu n c io n a m ie n to que tenga cada uno de ellos podemos observar como
podemos configurar distintas opciones.
204
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A L T A D IS P O N IB IL ID A D
En el caso de VMnet8, el funcionamiento que tiene por defecto es para realizar NAT, por lo que en dicho adaptador
podemos configurar la subred propia en la que trabaja, un servidor DHCP para que asigne las direcciones IP en las
máquinas virtuales configuradas con este adaptador y otros aspectos de configuración de NAT como las opciones
para la puerta de enlace virtual, así como el port forwarding (en caso de tener acceso a servidores en la máquina
virtual desde el exterior), DNS y Netbios.
En la sección "Host Virtual Adapters" muestra una lista de los adaptadores de red que se han creado en el Host
host físico a través de VMware, por defecto VMNet 1 (Host-only) y VMNet8(NAT). Mediante esta sección podemos
añadir, habilitar, deshabilitar y elim inar adaptadores según las necesidades.
En la sección "DHCP" tenemos lo referente al funcionamiento del servidor DHCP en cada uno de los adaptadores,
de manera que podemos iniciar, pasar y reiniciar el servidor o configurar cualquier parámetro del servidor en cada
uno de los adaptadores.
So—'* 7 1
| Ha* Vrtj» Mtfwa* Ujpprs I Ha«
idacun
O^CP |HVT J
Mi .k r' jív :o V* «
^C r V»6»' ^oto®Wj-íj Vni
“« f o r t i « « * « c o r * a r * > C P s e - <t
Ot¡CP ------trtU *'«!w or«
StfiTf!
192 168. 50 0
192.168.133 0
:ss
2S5 o
255:55.255 0
-‘Mcpecri
»Tretl
.■mea
.íw
1
X P w m lc » -----------------------------------------------------
S«r.xesto»:
Sfii
Se*- ce 'fO JO f
|
5t2P
Por último, en la sección "NAT" podemos seleccionar que adaptador de red realizará las funciones de NAT así como
iniciar, parar y reiniciar el servicio.
Como vemos, VMware tiene una gran cantidad de configuraciones posibles en función de las necesidades que
tengamos.
VIRTUAL!ZACIÓN DE SERVIDORES
U na de las aplicaciones más comunes de la virtualización es poder independizar la adm inistración de servidores
bajo una misma m áquina física. Las ventajas de disponer de servidores virtual izados frente a servidores físicos son
las siguientes;
A horro de costes: podremos adquirir un solo servidor, aunque m ás potente, y no tener que comprar más
servidores sino solam ente ir creándolos en el gestor de m áquinas virtuales. También perm ite ahorro en el coste
de m antenim iento y en el de personal, además de ahorrar espacio.
C re c im ie n to m á s flexible: instalar un nuevo servidor es mucho más sencillo y rápido frente a hacerlo con
un servidor físico.
A d m in istració n sim p lificad a: desde la consola del gestor de m áquinas virtuales podemos au m en tar o
reducir los recursos para una determ inada m áquina, reiniciarla, in stalar parches o sim plemente borrarla en
caso de problemas.
205
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© R A -M A
A p ro v ech a m ien to de a p lic a c io n e s an tiguas: una de las ventajas de la virtualización es la posibilidad de
conservar aplicaciones que funcionan en sistem as antiguos y aun así m odernizar la in fraestructura informática
de la em presa. Esa aplicación puede “sobrevivir” en una m áquina virtual independiente sin que haga falta
conservar el ordenador antiguo.
C en tra liza ció n d e tareas d e m an ten im ien to: podemos realizar copias de seguridad de un solo golpe de
todas las m áquinas, program ar actualizaciones y otras actividades desde el gestor de m áquinas virtuales.
También podemos centralizar otras funciones.
D ism in u y e tiem pos de parada: una ventaja im portante, solucionar problem as o realizar copias de seguridad
son ta re a s que se realizan en mucho menos tiempo. Por ejemplo, se puede clonar una m áquina y seguir dando
servicio m ientras se realiza m antenim iento de la m áquina virtual de producción como actualizaciones.
M ejor g estió n de recursos: se puede au m en tar la memoria o alm acenam iento de la m áquina huésped para
au m en tar los recursos de todas las m áquinas virtuales a la vez, por lo que se aprovecha mucho mejor las
inversiones en hardware.
B a la n ceo d e recursos: es posible asignar un grupo de servidores físicos para que proporcionen recursos a las
m áquinas virtuales y asignar una aplicación que haga un balanceo de los mismos, otorgando m ás memoria,
recursos de la CPU, alm acenam iento o ancho de banda de la red a la m áquina virtual que lo necesite.
I PRÁCTICA 8.5
SERVIDOR ÑAS VIRTUAL
Como vimos en el capítulo 2 existen diversos modelos de almacenamiento DAS, ÑAS y SAN. En esta práctica
veremos la instalación de un servidor ÑAS (F re e n a s) en VMware Server. Usando la configuración anterior de la
máquina virtual, vamos a instalar el sistema operativo Freenas en nuestra máquina virtual, con el propósito de
tener un servidor FTP disponible en una red local.
Para ello seleccionaremos la máquina virtual creada previamente y pulsaremos sobre el botón "play" ubicado en
la parte superior de la pantalla.
^
=
e
B
=
¿ ¿ •te s t** «*.*.*
™
u *
■
1 *
J
iJ T p i
f r tc * ( t
ln r « « t* r v
_______________ 1 V » « » - «
C anM
T»*«i fv « - n
»
s u t« «
N r l m w ace
0
9r«x r i f t o n
Pow er S iilo
O
1 X I «3M1
C
C u c tl OS
0
M em ory
¡ S í M0
VM «are Toola
0 MB
Ho«»»
(MS
V irtu a l M *rtS*ere Vermiai*
V I 'M ñ 7
W i> n*n>e
IT A d d 'c tte «
Mee
Conm adi
n« n3 «« rc
9
3
r%
*
iflì * Memer,
H
| h m 3í u : c$c s ! ; c >
2 M Mfi
i x
u
ti r•
I SOH* Or VI r 'N A M
206
fis o c a u
I.u * -3
i
w
w r jt n
Cc—c * * — *t
: : . y .c • SS 2S>M
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A L T A D IS P O N IB IL ID A D
Una vez iniciada la máquina, nos dirigim os a la pestaña "consolé" para entrar en el modo gráfico de la máquina
virtual. Como vemos, VMware nos advierte que es necesario un p lu g -in p ara p o d e r v is u a liz a r la m á q u in a
v ir tu a l. Pulsaremos en "install Plug-in" para descargar dicho plugin e instalarlo.
Automáticam ente, se descargará el plugin desde el servidor que ejecuta VMware el cual tendremos que instalar.
Tras la instalación del plugin será necesario volver a entrar en el navegador web ya que el asistente de instalación
lo cerró para aplicar los cambios.
Una vez dentro de la administración web y ubicados en la pestaña "consolé" de la máquina virtual podemos pulsar
el ratón en cualquier lugar para que se abra la ventana que nos permitirá visualizar la máquina virtual.
Tnt
*» ^
Acto seguido se abre una ventana nueva en la que podemos visualizar la máquina virtual y esperamos a que
cargue completamente Freenas. En las opciones que nos da Freenas para adm inistrar el sistema operativo
elegimos la opción 9 "Install/U pgrade to hard drive/flash device, etc." para in s ta la r el s is te m a o p e ra tiv o .
••«irts u w ra tu n H /..* i r a v ú l o t i
«< Htn* li HM M Sil CKT ;>81» f u r 1M
tC» /H tt'i »HIH by ( U l u l a r lo c K n V Lo
•
f rn « iia « u ru f i i r
í «cas
it A re s *
t.'ir y tf« fa « |
7» Robu»« «vitan
H ) S ln it 4 o w n
c \ r e t it n
OI tuu 1« 11
ta la r a auntu-r
nJn <ii li«ril 4 r Iw 'íla a H A n v lt*
«ilc
t il
En el asistente elegimos la opción 3 "Install 'fu ll' OS on HDD + DATA + SWAP partition''. Tras esto, seleccionamos
la unidad de CD/DVD donde se realizará la lectura del sistema operativo para su instalación (VMware Virtual
IDE CDROM Drive). Del mismo modo seleccionamos el disco duro en el que queremos realizar la instalación.
Introducim os el tamaño de la partición dei sistema operativo y de la partición SWAP. Tras la configuración
empezará la instalación. Reiniciaremos la máquina una vez terminada la instalación para arrancar el sistema
operativo instalado en la máquina virtual.
207
© R A -M A
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
A d m in is tra c ió n de FreeNAS
Freenas es un sistema operativo que se a d m in is tra vía w e b por lo que podremos realizar su configuración
rem otam ente desde un equipo de la red. En este caso lo haremos desde el propio host físico. Una vez arrancado
el sistema operativo en la máquina virtual, lo prim ero será verificar su configuración de red.
En nuestro caso habíamos configurado la tarjeta de red de la máquina virtual en modo Bbridge, esto permite
configurar manualmente o asignada mediante DHCP una dirección IP en red con la máquina física. Para nuestro
ejemplo hemos configurado en la tarjeta de red dentro del sistema operativo FreeNas con la 192.168.1.250/24,
en red con la máquina física 192.168.1.2/24.
Una vez comprobemos que existe conectividad entre máquina física y virtual (por ejemplo realizaremos ping entre
las 2 máquinas), abriremos un cliente web en la máquina física e introduciremos en el navegador la siguiente
dirección IP, que será la asignada manualmente anteriorm ente:
h ttp ://1 9 2 .168.1.250
O
O 192.168.1.2SO'
Uumm (
Pawwd
logm
Introducim os el usuario "adm ín" con la contraseña "freenas" para acceder al adm inistrador web.
*-
c
___________
192.168.12S0
O
FreeNAS
System»
M p tw n rk
D KIc\
i
C w vkw
A xcpss
s i . i l in .
H o*tn« ro r
frxftM.bcd
V enan
0.7.2 Voband« (rw w on 55* 3)
D iv q n n s tic s
rHtdr on
SU Hoy l « W 5 8 0 7 M IC
O S VenaM
rr—aSD 7 >Rft£ASt-p3 { f i a c r i JWS06)
M ttfo rm
OQ6AJcrby«<R)Cor«OM)2CPüM OO#í I » «
21 ttw xlM *) 3 MCondC«)
CPU l e n p o a t w r
•1.0
fU J I r r tjW K T
n » n c
CPU UMQC
llr tp
0*c 2 * 1 * 0 * 49 UTC 2010
S y ifp m tím e
un— i
A c ív .*ir w J
á
t o i :_______________ _ j o *
ftemocy u n y
m
lo td iv r r tQ r t
a 08. 0 . « . 0.01
Onk i p j t r u u g r
No dak c x H tfj ed
-
l llX g f
Una vez dentro, instalaremos un servicio FTP, y crearemos un cliente llamado Pepe con contraseña Pepe.
208
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A L T A D IS P O N IB IL ID A D
Para iniciar el servicio FTP nos iremos a la sección "Services" y seleccionamos "FTP". H a b ilita m o s el s e rv ic io
activando la casilla "enable" de la parte superior derecha. Del mismo modo habilitamos la opción “ Only allow
authenticated users. Anonymous logins are prohibited."
«-
C Q 192.16& 1.250
.It
li
]
}
i
TCP port
to
)
HiDiiliei oí ilic n h
r u n runbcr of flmdUneous cfcrts.
Mah . f « v i . per 1P
m
JCKJUI
I2
1
Karrsjm runber o# ccm ccro nt par IP t d j m i (0 m u^vntod).
1
h \v * n jn fu rb o at eAo«ed pewvcrd
lim ro tit
tx fc rt dfccomec&on
<00
H u u n «Je a m n secondi.
P m n i root bgn
Spoeto* trfietfwr t • jfowed to b g r «s superuser (roo«) drf«hr.
AroTMno^a uw ri cr+y
Only tk m enonymots usart. Use t f v on o pJbfc FTP *te nCh no remote FTP eccess to reaí eccointi .
I0c4 users or*r
Tras habilitar las funciones pulsaremos en el botón "Save and restart" al final de la página. Ahora crearemos el
usuario Pepe. Para ello nos dirigimos a la sección "Access" y entramos en "users and groups" Pulsaremos en el
símbolo " + " para a ñ a d ir un u s u a rio . Introducirem os los datos necesarios para el usuario como el nombre, la
contraseña, el grupo primario que será FTP y directorio Home.
Y
r fie e M i local ■A£c«i|Us*>
3
3
192.166.1 250.
■• 3 i _ u s * n _ '* X f t p
User p*SS«*»ord
1001
User runanc id.
Shafl
notogr» w
Th» uncr'j bgn jhel
Pm iM iy yrcNJp
fia
Set tfw «ccourt s prnory grocp COtNv 9 v«n 7 0 4 1
« tnn
hr.
deemon
_
<Me*
ftp
guest
■ M
man
network
nobody
Set « ü to r d gro£> meróerih«» for this atxcxr*
Note: OH<*dr(or ta e *f* ró -á ó on the Mee) to »ebet end dosdea y o io i
Noe» 4roctory
U*w portS
Add
•fixttmfpto*
_
—
Cnter the pechiothehomedrectory <rf that user. Leeve thè hdd arrety to use deieJt petti /mrt
—! Grart access to the user portai.
O ra ri
Tras esto pulsamos en Add, Para aplicar los cambios tendremos que pulsar el botón "apply changes" del menú
principal de usuarios y grupos. Ya tenemos todo configurado, ahora solo queda probarlo, accediendo al servidor
FTP con la cuenta de usuario Pepe desde una máquina de la red local, con un diente FTP. En este caso para
probarlo lo haremos mediante un navegador web.
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© R A -M A
Podremos acceder al directorio personal de Pepe para poder almacenar y descargar archivos desde el servidor
rem oto alojado en una máquina virtual.
REFERENCIAS WEB
Descripción de cl us ter de alta disponibilidad:
h ttp ;/ / w w w .lin iip s.co m I ìq -n o d e / 1 19
Información práctica sobre RAID, dispone de un enlace a un em ulador del funcionamiento de sistem as RAID
de Intel:
h ttp :/ / w w w .adm inso.es / w ik i!in d e x .p h p /2 .3 .2 ._Configuracione$_RAJD
Configuración de cluster de alta disponibilidad bajo Windows Server:
http: / / w w w .bujarra.com / ?p=2290
Configuración de cluster de alta disponibilidad bajo GNU/Linux:
http: / / w w w .alcancelibre.org/ sta tie p a g e s/ index.ph p/ como-cluster-heartbeat-centos
Software de virtùalización VMWare:
www. umware. com l e s i
Software de virtù alización V irtual Box de Oracle:
h ttp :/ / w w w .virtualbox.org /
Software de virLualización Virtual PC de Microsoft:
http: / / w w w .m icrosoft.com / w in d o w s/ virtu a l-p c/
210
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A LTA D IS P O N IB IL ID A D
RESUMEN DEL CAPÍTULO
En este capítulo hemos analizado y profundizado en distintas configuraciones de alta disponibilidad.
Las nuevas necesidades de los usuarios y las em presa exigen alta disponibilidad de los servicios más
críticos.
La mejor forma de asegurar la d isp o n ib ilid a d de nuestros equipos y los servicios que ellos sum inistran
de m anera fiable (99,999%) y sin interrupción las 24 horas del día du ran te siete días a la sem ana, es
d u p l icar de todos sus componentes críticos y la disposición del software y hardw are necesarios para que
los elem entos redundantes actúen cooperativamente.
Algunas de las soluciones que hemos analizado en este capítulo son:
R ed u n d a n cia y co n tro l d e er ro re s en el alm acen a m ien to : m ediante sistem as RAID. Los
m ás com únm ente empleados RAID 1 (conjunto en espejo) y RAID 5 (conjunto dividido con paridad
distribuida).
B a lan ceo d e carga: gestionando y controlando las peticiones de comunicación a distintos servidores
redundantes. Como ejemplo de aplicación hemos visto, en el caso de ten er d istin tas conexiones de
red que puedan ser solicitadas como una única.
V irtu alización : perm ite realizar bajo un mismo sistem a físico la adm inistración de distintos
sistem as operativos. Simplifica e independiza la configuración, instalación, realización de copias de
seguridad y restauración de servidores de red.
211
© R A -M A
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
EJERCICIOS PROPUESTOS
1. Busca las distintas soluciones que presenta Dell
de fuente de alim entación redundantes. M ediante el
análisis de un m anual describe su modo de conexión,
configuración y funcionam iento. ¿En qué casos
consideras que puede ser u n a buena opción?
¿C uántas tarje ta s de red debe ten er tu sistem a
físico? ¿Qué configuración de red has empleado
para las tarje ta s de red en la m áquina virtual?
¿Qué dirección IP disponen sus tarje ta s de red?
¿Qué puerta de enlace tendrá?
2. In stala el software de virtualización Virtual Box.
Crea u n a m áquina virtual U buntu que trabaje en
modo NAT. Instala en la m áquina virtual un servidor
web y configura los aspectos de NAT necesarios para
que sea accesible dicho servidor web desde el exterior
de la m áquina física.
6 . M onitoriza el tráfico filtrado por el cortafuegos y
3. P ara facilitar el manejo de las m áquinas virtuales
y su interacción con la m áquina física en VirtualBox
es posible in stalar el complemento GuestAdditions.
In stálalo y com prueba sus opciones. ¿Qué nuevas
fu n c io n e s p e rm ite y m ejora? ¿E x iste alg ú n
equivalente en VTVTWare Server?
7. Realiza una copia de seguridad de la m áquina
virtual creada anteriorm ente y configura otro equipo
para que la ejecute con norm alidad. ¿En qué tiempo
se ha realizado el respaldo de los servicios? ¿Crees
que es un m étodo m ás eficaz que re a liz a r u n a
imagen de disco o partición, con un sistem a operativo
com pletam ente configurado? Realiza la prueba.
4. R ealiza m ediante virtualización con 4 discos duros
bajo G N U /Linux una configuración y prueba de
RAID 5. ¿Cómo es posible recuperar la información
de uno de los discos en caso de pérdida?
5. C onfigura u n servidor m ediante una m áquina
v irtu al de alta disponibilidad que disponga de los
servicios de enrutado, filtrado proxy y cortafuegos
adecuado al tráfico de tu clase, perm itiendo tan solo
el acceso web a los sistem as del aula y perm itiendo
el acceso únicam ente a un servidor web ubicado en
la misma.
e) proxy, y realiza un informe en el que indiques:
Equipos con conexión, períodos y servicios de
acceso.
R anking de los 5 sitios web m ás visitados.
8 . D escubre e im plem enta a lta disponibilidad y
balanceo de carga en un servidor web m ediante
Apache y Tomcat con la ayuda del siguiente artículo:
h ttp : / / w w L u .a d ic to a a ltr a b a jo .c o m /tu to r ia le s /
t utoriales-ph p ?pagin a =apa che_tomcat_ba lanceo.
9. Realiza la instalación y configuración de VMware
S erver sobre u n a distribución GNU /Linux como
Debían.
© R A -M A
8 ■ C O N F IG U R A C IO N E S DE A L T A D IS P O N IB IL ID A D
TEST DE CONOCIMIENTOS
¿Qué sistem a RAID controla paridad?
RAIDO.
RAID 1.
RATD 5.
RAID 10.
La configuración de red (bajo VMWare) que perm ite
c re a r una red de m áquinas v irtu a le s privada,
d istin ta e independiente de la red a la que pertenece la
m áquina fisica es:
H ost-only.
B ridge.
NAT.
Ninguna de las anteriores.
La adm inistración de los servicios de virtualización
(bajo VMWare) se suele realizar m ediante:
Aplicación de escritorio.
Correo electrónico.
FTP.
Servicio web.
A los sistem as de máximo nivel de alta disponibilidad
se les tolera una inactividad anual de:
5 minutos.
10 minutos.
15 minutos.
no se les perm ite ningún minuto.
Bajo sistem as Windows podemos realizar balanceo
de carga con la aplicación:
VirtualBox.
Kerio Winroute.
V irtual PC.
W inGate.
Bajo siste m as G N U /Linux qué aplicación nos
perm ito m onitorizar la actividad de las d istin tas
tarjetas de red:
Iptraf.
Iproute.
Iptables.
Show_ip_route.
El balanceo de carga no perm ite realizar:
De 4 conexiones a In tern et tener 2 conexiones de
igual velocidad.
De 1 conexión a In tern et tener 2 conexiones de
igual velocidad.
De 2 conexiones a In tern et tener 1 sola conexión
de velocidades sum adas.
N inguna de las anteriores.
213
•
•
•
tr a
m
/
Conocer la normativa española
en m ateria de seguridad
informática,
/
Analizar la normativa y
aplicaciones de la LOPD, en
m ateria de seguridad de los datos
de carácter personal.
/
Analizar la normativa y
aplicaciones de la LSSICE, en
m ateria de comercio electrónico
y actividades empresariales vía
Internet.
/
Valorar la importancia de la
normativa como reguladora
de derechos y obligaciones a
ciudadanos y empresas.
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
© R A -M A
El último punto que abaren la seguridad inform ática, cubre el resto de aspectos vistos h asta el momento: seguridad
física y lógica, alm acenam iento de los datos, comunicaciones y criptografía, es la norm ativa legal. En este tem a
verem os la norm ativa desde dos puntos de vista, la Ley Orgánica de Protección de Datos (LOPD), que pretende
proteger el uso de datos de carácter personal por parte de em presas y profesionales, y la Ley de Servicios de la
Sociedad de la Información y de Comercio Electrónico (LSSICE), que regula ciertos aspectos de las web que realicen
actividades económicas, como publicidad, venta online, etc., así como las notificaciones comerciales electrónicas, como
SMS o correos electrónicos publicitarios.
LEY ORGÁNICA DE PROTECCIÓN
DE DATOS (LOPD)
La protección de datos de carácter personal es una m ateria que ha tomado im portancia en los últim os años,
fundam entalm ente a raíz de la aprobación de la Ley O rgánica 15/1999 d e P ro tecc ió n de D atos d e C arácter
P er so n a l (LOPD), convirtiéndose en una obligación a cum plir por las em presas si no quieren e sta r expuestas a
sanciones por la A g en cia E sp añ ola d e P ro tecció n de D a to s (AGPD).
La LOPD ha adquirido una gran im portancia debido a que equipara y convierte el derecho a la protección de los
ciatos personales en un d erech o fu n d a m en ta l de la s p erson as.
El derecho fundam ental al que hacemos referencia tiene una estrecha relación con el derecho a la intim idad y al
honor, encuadrándose todos ellos dentro del art. 18 de la Constitución. Este nuevo derecho fundam ental adopta la
denom inación de libertad inform ativa o autodeterm inación inform ática, protegiendo el “control que a cada una de
las personas le corresponde sobre la información que les concierne personalm ente, sea íntim a o no, para preservar el
lib re desarrollo de la personalidad”.
La LOPD establece una serie de ob lig a c io n es destinadas a la protección de los datos personales contenidos en
fic h e r o s a u to m a tizad os o in form atizad os, com o e n no a u to m a tiza d o s o en p ap el, que poseen em presas v
A dm inistraciones Públicas, y que son tratad as por éstas con diferentes finalidades; gestión de personal, proveedores,
clientes, cam pañas de m arketing, etc.
A
Analiza la noticia "M uchos bancos incum plen la LOPD en m ateria de videovigilancia", encontrada en
h ttp ://b lo g .c y s ia .c o m /2 0 0 9 /0 7 /la -b a n c a -y -la -lo p d /, e indica:
•
¿Qué requisitos deben cu m p lir las grabaciones de seguridad en relación al cu m p lim ien to de la
LOPD?
•
¿Es necesario p ed ir el co nse ntim ien to de las personas film adas?
ÁMBITO DE APLICACIÓN DE LA LOPD
U na de las principales dudas que se encuentran los em presarios y profesionales con respecto a la LOPD es
la determ inación de q u é fich er o s o d a to s d e ca r á c te r p erso n a l tratados, se encuentran am parados por la
norm ativa.
216
© R A -M A
9 ■ N O R M A T IV A LEGAL EN M A T E R IA DE S E G U R ID A D IN F O R M Á T IC A
La LOPD establece su ám bito de aplicación en el artículo 2, al establecer que “la presente Ley Orgánica será do
aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratam iento, y a
toda m odalidad de uso posterior de estos datos por los sectores público y privado”.
Así, para la determ inación de qué concretos ficheros o datos de carácter personal entran dentro del ámbito de
aplicación de la LOPD debemos tener en cuenta tres conceptos:
D ato d e cará cter personal: cualquier información concerniente a personas físicas, identificadas o identificables;
es decir, toda inform ación num érica, gráfica, fotográfica, acústica o de cualquier otro tipo susceptible de
recogida, tratam iento o transm isión concerniente a una persona física identificada o identificable.
F ic h e ro : conjunto organizado de datos de carácter personal, cualquiera que sea la forma o m odalidad de su
creación, alm acenam iento, organización y acceso.
T ratam iento: operaciones y procedimientos técnicos de carácter autom atizado o no, que peí-mi tan la recogida,
grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que
resulten de comunicaciones, consultas, interconexiones y transferencias.
AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS
U na vez h a n sido localizados y determ inados los ficheros de datos de carácter personal se procederá a la notificación
de los mismos a la Agencia Española de Protección de Datos p ara su inscripción. Las com unidades autónom as de
M adrid, C ataluña y País Vasco, poseen regulaciones y agencias propias.
La Agencia Española de Protección de Datos, a través de su página web Lvww.cigpd.es (en el apartado "Canal del
Responsable de ficheros - Inscripción de ficheros”), ofrece los fo r m u la r io s que deben ser utilizados para la notificación
de ficheros, p ara efectuar la notificación en soporte papel, como para efectuarla por In tern et (con certificado digital)
o soporte magnético.
El p ro ced im ien to establecido para la modificación y supresión de ficheros inscritos en la Agencia Española
de Protección de Datos, es el mismo que el indicado para la creación de ficheros. Como principal diferencia entre
dichos procedim ientos, encontram os la necesidad de contar con el có d ig o d e in sc r ip c ió n ya otorgado por la
Agencia Española de Protección de Datos en el momento de la inscripción del fichero, para poder efectuar cualquier
modificación del fichero inscrito, o bien para la supresión del mismo.
217
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
© R A -M A
TRATAM IENTO D E LOS DATOS
La LOPD establece una serie de lim ita c io n e s al tra ta m ien to de los datos; lim itaciones fijadas para g aran tizar
un uso adecuado, lícito, no excesivo y con las debidas m edidas de seguridad que im pidan la alteración, pérdida o
tratam ien to no autorizado de los datos.
E n la m ayoría de los supuestos, la volu n tad se m a n ifiesta a tra v és d el c o n se n tim ie n to y, en los casos en
los que operan excepciones legales al consentim iento, el afectado m anifiesta su voluntad a través de su derecho de
oposición al tratam iento de los datos.
La re co g id a d e los d atos es una operación previa al tratam iento; por ello, la recogida de datos no suele p lan tear
problem as en referencia al consentim iento del afectado puesto que si éste nos proporciona los datos, se entiende que
existe un consentim iento implícito (un acto consciente de voluntad). Pero, lo que sí es im portante en la recogida es
proporcionar al afectado una serie de informaciones o elem entos fijados por la ley en el derecho de información (art.
5 de la Ley), para que el afectado pueda sum inistrar o no sus datos con el p len o c o n o cim ie n to d el a lca n ce d el
tr a ta m ie n to q u e se va a realizar. La información que habrá de proporcionarse es:
El titu la r del fichero.
Las finalidades del tratam iento.
El carácter obligatorio de las respuestas.
Los derechos y la posibilidad de ejercerlos.
La dirección y tas condiciones para ejercitar tales derechos.
El interesado siem pre podrá ejercer los derechos que le concede la Ley (impugnación de valoraciones, acceso,
rectificación, cancelación y oposición) y p od rá re v o ca r el c o n sen tim ien to dado al tratam iento de sus datos o
m an ife sta r su oposición parcial a dicho tratam iento.
Además, la Ley establece una serie de principios específicos para el tr a ta m ie n to d e lo s d a to s por p arte
del responsable del fichero; principios y o b lig a c io n es im p u e sta s para g a ra n tiza r su correcto tratam ien to ,
c o n se r v a c ió n , a cceso y d estru cción .
I PRÁCTICA 9.1
FORMULARIO LOPD
Un e je m p lo de la in fo rm a c ió n a p ro p o rc io n a r al in te re s a d o a través de una cláusula LOPD para un
fo r m u la r io de re co g id a de d a to s podría ser la siguiente:
”De conformidad con la Ley Orgánica 15/1999 de Protección de Datos Personales y a través de la cumpl¡mentación
del presente formulario, Vd. p resta su consentim iento para el tratam iento de sus datos personales facilitados, que
s e rá n incorporados al fichero “XXXXXXX”, titularidad de la EMPRESA XXX. inscrito en el Registro G eneral de la
A gencia Española de Protección de Datos, cuya finalidad es la gestión fiscal, contable y adm inistrativa de la relación
c o n tractu al, así como el envío de información comercial sobre nuestros productos y servicios.
218
9 ■ N O R M A T IV A LEGAL EN M A T E R IA DE S E G U R ID A D IN F O R M Á T IC A
© R A -M A
Igualm ente le inform am os que podrá ejercer los derechos de acceso, rectificación, cancelación y oposición
establecidos en dicha Ley a través de c a rta certificada, adjuntando fotocopia de su DNI/Pasaporte, en la siguiente
dirección; EMPRESA XXX. D epartam ento de Atención al Cliente LOPD. C/XXXXXX n° X. 46000 Localidad.
Los campos señalados con * son obligatorios.
A
m odo
d e e je m p lo
podem os
v e r lo s t é r m i n o s
le g a le s d e l r e g is t r o
' m o m iu r 1 1 C .inal C lie n te
f*
ilv
in te r n e t-
' C25S38I
p a ra
a c c e s o a c lie n t e s
M o /llla l lr c f o *
_
[\A movistar H
<y1
Jmonm.r
e n la z o n a e x c l u s r
ulano y re cib iré * 1« c o n tra ic i
|cU moW iU>
r e c o m e n d a b le
f o r m u la r io s
que
r e lle n e m o s
al
A v is o (« g a l
En cum plim ianto da la Lay Orgánica 13/1999. do 13 do d>ciembra, da
Protacoón da D a to i da Ceiéctar Parsonal. conforma ai art. 3 f«lats»o al
daracho da inform ación an la »acogida do datos. Talefónica Móviles Esparta
S.A.U. (T M l). 1a inform al
La raspuaste al cue*t>onano a t voluntaria. Es obligatorio cum plim entar
todo* los datos solicitados en al cuastionano. a axcepdón dal e-m all que e i
opcional (an al cas o da no d iip o n e r dal nrusmo).
antTiiTo m o v íjt*(
E s s ie m p r e
X¡
cjnatdent» mjvW«- «JJi^cda/tcnlrcfcf/CClJ.CWjutfc
• U r m ó v il
léfntM»
|C~
m o v is t a r .
Lo* datos de carácter parsonal que facilita en acte cuestionario an tu
condición de titu la r del contrato do le (moa Junto a lo * obtenidos durant« ’a
vigencia da la piestaoón dal sarvioo serán m du id o t an ficheros
inform atitados titularidad de T alafónka MOvilas Esperte 8.A.U. .ras pona »ble
dal tratem lanto y dastinatana de los datos a in/orm aaón.con domicilio an
i« v i|t ( f M | fw
calla Ronda de le Comunicaoón s/n. Ed'fioo Sur 3- 28050 Madud. para le
gestibn del sarvicio y con la finalidad de anvierle informaciones publicitarias
u ofartas vía postal. parsonaliradas o no. da productos y sarvloos de
__ telacom uniceoonas. Si u rta d no da ie a ova aste trata m ie n to sa realice con
(leer térmnos legates |» finalidad Indicada diríja atento a la d<recoón da T M l, llam a al teléfono
I Gratuito 4407 o entre an la o ir tn a va b i v*n» rro m tA f.e r. A jim iim o .
Sarvl ¿ingiéndosa por asento a Telafónlca Móvilas CipaKa S A Ref O atoi an la
1 o tada dirección utCad podré ajarota» lo« daracbos da accoro, rectificación.
1 cancalaoòn y o p o iio ó n pravistos an la Lay.
-o r.o soy
«1 titula* <
m enos
r e v is a r
que
e s ta s
c lá u s u la s
se
in c lu y e n
en
lo s
t é r m in o s
de
io s
c o n tra to s
o
y a c e p te m o s .
NIVELES DE SEGURIDAD
La LOPD y el Reglam ento de Medidas de Seguridad (RD 994/1999), establecen la obligación de establecer una
serie de m edidas de carácter técnico y organizativo que garanticen la seguridad de los datos de carácter personal,
m edidas que habrán de adoptarse/im plem entarse por la em presa o profesional que alm acene estos datos. E n tre estas
m edidas se incluye la elaboración de un D ocu m en to d e S egu rid ad en el que se detallarán los d a to s alm acen ad os,
las m ed id a s de segu rid ad ad op tad as, así como las p erso n a s que tie n e n acceso a eso s datos.
La ley identifica tres niveles de m ed id a s d e seg u rid a d , BÁSICO, MEDIO y ALTO, los cuales deberán ser
adoptados en función de los distintos tipos de datos personales (datos de salud, ideo logia, religión, creen cías, infracciones
adm inistrativas, de morosidad, etc.). El reglam ento ha establecido los niveles de seguridad de forma acum ulativa; es
decir, que al nivel de seguridad Medio se aplicarán las medidas de seguridad del nivel Básico.
219
© R A -M A
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
Tabla 8.1
TIPO DE DATOS
MEDIDAS DE SEGURIDAD
OBLIGATORIAS
✓ Nombre
✓ Documento de Seguridad
✓ Apellidos
✓ Régimen de funciones y
obligaciones del personal
✓ Direcciones de contacto (tanto
físicas como electrónicas)
✓ Teléfono (tanto fijo como
móvil)
✓ Otros
J Registro de incidencias
✓ Identificación y autenticación
de usuarios
✓ Control de acceso
✓ Gestión de soportes
✓ Copias de respaldo y
recuperación
✓ Comisión infracciones penales
✓ Comisión infracciones
adm inistrativas
✓ Información de Hacienda
Pública
✓ Inform ación de servicios
financieros
✓ Ideología
✓ Religión
✓ Creencias
✓ Origen racial
✓ Salud
✓ Vida
✓ Medidas de seguridad de nivel
básico
✓ Responsable de Seguridad
✓ Auditoria bianual
✓ Medidas adicionales de
Identificación y autenticación
de usuarios
✓ Control de acceso físico
✓ Medidas de seguridad de nivel
básico y medio
✓ Seguridad en la distribución de
soportes
✓ Registro de accesos
✓ Medidas adicionales de copias de
respaldo
El órgano de control del cumplimiento de la norm ativa de protección de datos dentro del territorio español, con
c a rá c te r general, es la Agencia Española de Protección de Datos (AEPD). Las sanciones tienen una elevada cuantía,
siendo E spaña el país de la Unión Europea que tiene las sanciones m ás altas en m ateria de protección de datos. Dichas
sanciones dependen de la infracción cometida y se dividen en:
Las sa n c io n e s le v e s van desde 601,01 a 60.101,21 €
Las sa n c io n e s graves van desde 60.101,21 a 300.506,05 €
Las sa n cio n e s m uy graves van desde 300.506,05 a 601.012,10 €
Pese al elevado im porte de las sanciones, existen m achas em presas en E spaña que todavía no se han adecuado a
la m ism a, o lo han hecho de forma parcial o no revisan de form a periódica su adecuación; por lo que resulta esencial
el m antenim iento y revisión de la adecuación realizada.
220
© R A -M A
9 ■ N O R M A T IV A LEGAL EN M A T E R IA DE S E G U R ID A D IN F O R M A T IC A
I PRACTICA 9.2
NORMAS DE LA ORGANIZACIÓN
feocr
rt»
Eia
á'
f’ro tu c d td ri ú* Inicio d» « ntdn interat tir t U si» del
« _| > ^9 i« o « n di M/t»«*
- _J C a r/y in tn dt « N m
3
^
I Ctri^pj/aot*\ó»
M»MUdrfr«do
X
M id o
C a rl^i« )» Oí A«C* i abcJ
* Jvro* da co—rdoi I
j^<iWvi«ú4nA»M«f(
• J Orwcnv»
«•
txiMk
4»nl
n M td i
«»MUdrfnA)
I» «(¿dorada
i l ex
DrtfiAC«!«
J o p a c rM d i »
• d»bt « d m d n u g tto i « i « c u
¿2 Cortftpuraatodiuau»«
«■ C jM 9 J M d n d i« /iM ri
_J C iW i^ n r o* wM jw
_J PWtfiM «tiras****«
se*
g0§(n■
On?<dj6*U
tane* 4afrvfc
4 catt
lOnrKxdetM ri
»
H <Sm
ntfco . C**at4Uda
g Q ln o o 4 > m 0 n rt« « iM r w w » jn » l« K » n r t ^ r f «
SJlTBL * I W i r t * « 9 K i*a « M M rM iiw > ita u M O (« «
ggVwo<)»icaúrtrt«MSM: tfcJt? M n w « p« a ta uauarot %» rtm tm
W »
H » x(4 i« 7 n d
'> )rc s rK r
En el caso de Windows veremos como al inicio del sistema podemos incluir un mensaje y será necesaria la
aceptación del mismo para continuar. Ayudará a recordar tas n o rm a s y re c o m e n d a c io n e s de s e g u rid a d de
n u e s tra o rg a n iz a c ió n , haciendo de este modo que sean conocidas por todos los usuarios.
Ejecutamos gpedit.msc para la configuración de directivas de grupo, y en el apartado Configuración de equipo
/ Configuración de Windows / Directivas locales / Opciones de seguridad, pulsaremos sobre las directiva de
in ic io de se sió n in te ra c tiv o : te x to de m e n s a je para los u s u a rio s q u e in te n ta n in ic ia r una sesión así
como in ic io de se sió n in te ra c tiv o : títu lo de m e n s a je p ara los u s u a rio s q ue in te n ta n in ic ia r una se sió n,
y añadiremos el texto y título que deseemos.
LEY DE SERVICIOS DE LA SOCIEDAD DE LA INFORMACIÓN Y
DE COMERCIO ELECTRÓNICO (LSSICE)
La L SSI, le y 34/2002 de 11 de ju lio , d e S erv icio s de la S ocied ad d e la In form ación y d e C om ercio
E lectr ó n ic o (LSSICE) tiene como objeto la regulación del régim en jurídico de los se r v ic io s de la so cied a d d e la
in fo rm a c ió n y de Ja co n tr a ta ció n p or vía electró n ica . E ntiende por “servido de la sociedad de la inform ación”,
toda actividad que cumple con los siguientes requisitos:
Recibe una con Ira prestación económica.
La actividad se realiza a distancia (no presencial).
Por medios electrónicos o telemáticos.
A petición individual del d estinatario del servicio.
Como aplicación práctica de la LSSICE por parte de la A dm inistración, siem pre que se pueda p ercib ir un
in g reso eco n ó m ico (independientem ente de la cuantía) a tra v és de un m edio telem ático, como por ejemplo u.n
sitio web, esta actividad en tra en el ám bito de aplicación de esta Ley.
221
S E G U R ID A D Y A LTA D IS P O N IB IL ID A D
© R A -M A
E N T O R N O S WEB
Según el a r tíc u lo 10.1 de la LSSICE, el prestador de servicios de la sociedad de la información e sta rá obligado a
disponer de los medios que perm itan, tanto a los destinatarios del servicio como a los órganos com petentes, acceder
por medios electrónicos, de forma perm anente, fácil, directa y gratu ita, a la siguiente in fo rm a c ió n :
1. Su n om b re o d en o m in a ció n social; su re sid e n c ia o d o m icilio o, en su defecto, la dirección de uno de sus
establecim ientos perm anentes en E spaña; su dirección de correo electrónico y cualquier otro dato que perm ita
establecer con él una comunicación directa y efectiva.
2. Los d a to s d e su in sc rip ció n e n el R eg istro M ercan til.
3. El n ú m ero d e id e n tific a c ió n fisca l que le corresponda.
4. P re cio s d el servicio.
De acuerdo con el artículo 39 de la LSSICE, por la comisión de infracciones se im pondrán las siguientes
sa n cio n es:
a) Infracciones muy graves, m u lta d e 150.001 h a sta 600.000 eu ros. La reiteración en el plazo de tres años de
dos o m ás infracciones m uy graves, podrá d ar lugar, a la prohibición de operar en España, d u ra n te un plazo
máximo de dos años.
b) Infracciones graves, m u lta d e 30.001 h a sta 150.000 euros.
c) Infracciones leves, m ulta d e h a sta 30.000 eu ros.
I PRÁCTICA 9.3
LSSICE WEB
Veamos un ejemplo de cómo cum plir con el artículo 10.1 de la LSSI:
1. Para el caso de un autónom o: se deberá incluir un link a pie de página, de todas las páginas de la web, con
el título "Inform ación Legal", "Datos LSSI", o similar, los siguientes datos: Nombre y Apellido, Domicilio:
Calle(C.P.) Localidad, DNI/CIF, Emailemail, Teléfono.
Sobre la obligación de incluir el te lé fo n o se entiende este como "cualquierotro dato que perm ita establecer
con él una comunicación directa y efectiva".
2. Para el caso en que se trate de una empresa, se deberá incluir un a v is o le g a l - LSSI o similar, con las
C o n d icio n e s G e n e ra le s de Acceso y u tiliz a c ió n del s itio w eb .
COMUNICACIONES COMERCIALES
E n tre otros aspectos, la LSSICE regula, en sus artículos 19 a 22, el envío de co m u n ica cio n es co m erc ia le s por
v ía e lec tró n ica . Es por ello que en este apartado nos centrarem os en los supuestos de aplicación de la LSSICE más
com unes: el envío de correos electrónicos y SMS-MMS.
222
© RA MA
9 ■ N O R M A T IV A LEGAL EN M A T E R IA DE S E G U R ID A D IN F O R M À T IC A
En todos estos supuestos, la LSSICE pretende im pedir la proliferación del fenómeno conocido como sp a m , para
ello se exigen una serie de r e q u isito s para el en vío d e co m u n ica cio n es co m erc ia le s e le c tr ó n ic a s y que e x ista
u n c o n se n tim ie n to exp reso.
El a rtícu lo 21.1 prohíbe de forma expresa el envío de comunicaciones comerciales electrónicas (por correo electrónico
u otro medio equivalente), que no h u b ieran sid o p reviam en te so lic ita d a s o a u to riza d a s ex p re sa m en te por
su d estin atario (persona física o jurídica). U na vez obtenido el consentim iento previo y expreso p ara el envío de la
comunicación comercial, el m en saje en v ia d o d eb erá cu m p lir co n los sig u ie n te s r e q u isito s inform ativos:
Identificar de forma clara el nombre de la persona física o jurídica en nombre de la que envía el m ensaje
publicitario.
Incluir en el comienzo del mensaje la palabra “P u b licid a d " (en los correos electrónicos ) o “Publi" (especialm ente
en los SMS).
F acilitar al receptor del m ensaje la posibilidad de revocar el consentim iento de una forma sencilla y gratu ita.
La LSSICE prevé en su apartado segundo, que no será n e c e sa r io e l c o n sen tim ien to p rev io d el recep to r del
m ensaje cuando los d a to s h u b iera n sid o o b ten id o s d e form a lic ita en el m arco d e u n a rela ció n co n tra ctu a l
p rev ia , y que las com unicaciones versen sobre productos o servicios sim ilares a los inicialm ente adquiridos o
contratados y que sean de la propia em presa, organización o profesional.
La LSSICE establece en su artículo 38 el apartado de infracciones y establece como una infracción leve el envío
de comunicaciones comerciales sin el cum plim iento de alguno de los requisitos recientem ente analizados (sanción
h asta 30.000 €).
En el caso de que se envíen tr es o m ás co m u n ica cio n es comerciales a un mismo destinatario en el plazo de un
año, sin cum plir con los requisitos establecidos, la infracción p asaría a ser considerada como grave (m ulta de 30.001
a 150.000 €).
PRÁCTICA 9.4
LOPD y LSSICE EN EL CORREO ELECTRÓNICO
En los correos electrónicos que las empresas envían a sus dientes o usuarios debe de incluirse una cláusula o pie
de página con la P o lítica de p riv a c id a d , a modo de ejemplo:
Política de privacidad. En cumplimiento de la LOPD 15/1999 y de la LSSI-CE 34/2002 se INFORMA que los datos
de carácter personal que se facilitan, incluido su correo electrónico, y que resultan necesarios para el envío de la
información solicitada, se incorporarán a un fichero automatizado cuya titularidad y responsabilidad viene ostentada
XXXX. Al rem itir el interesado sus datos de carácter personal y de correo electrónico a XXXX, expresamente se
AUTORIZA la utilización de dichos datos a los efectos de las comunicaciones periódicas, incluyendo expresamente
las que se realicen vía correo electrónico, así como otras ofertas de servicios, inform aciones o productos
relacionados con la actividad institucional que se desarrolla.
El interesado podrá ejercitar respecto a sus datos los derechos de acceso, rectificación, cancelación y oposición
enviando un correo electrónico a la siguiente dirección electrónica XXXX solicitando, en su caso, (1) Que se le
rem itan por la misma vía sus datos personales que obran en los ficheros de XXXX a los efectos de su consulta o
su posible rectificación o bien (2) Que se cancele y/o revoque la autorización para la recepción de comunicaciones,
debiendo notificar a XXXX la efectiva rectificación y/o cancelación de los datos de carácter personal de su
fichero.
223
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
© R A -M A
REFERENCIAS WEB
Sitio web de la agencia española de protección de datos:
w w w .agpd.es
Web con noticias sobre la LOPD y LSSICE:
www. leydeprotecciondedatos. com.
Noticias sobre denuncias de LOPD:
http: I / todonoticiaslopd.com /
Guía práctica de Microsoft p ara adaptación a la LOPD:
ht t p. II www. microsoft. com I bus in ess I sm b /es-es / g u ia s / lopd I home.m spx
INTECO - sobre la LSSICE:
http: / 1cert.inteco.esIFormacion / Legislación/Ley_d£_Servicios_de_la_Sociedad_de_la_Inform ación /
Página web del M inisterio de Industria, Turism o y Consumo sobre la LSSICE:
http: / / www.rnityc.es / d g d s i/ Issi / Paginas / 1ndex.aspx /
RESUMEN DEL CAPÍTULO
En este capítulo hemos analizado la norm ativa que regula derechos y obligaciones con respecto a dos
aspectos fundam entales:
La Ley Orgánica de Protección de Datos (LO PD ) pretende proteger el uso de datos de carácter
personal de los ciudadanos, en la recogida, tratam iento y eliminación de los mismos m ediante
ficheros, que realizan em presas y profesionales. El organismo que verifica, controla y sanciona los
aspectos de dicha ley es la Agencia Española de Protección de Datos, aunque Madrid. C ataluña y
País Vasco poseen sus propias agencias.
La Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSICE), regula
ciertos aspectos de los servicios electrónicos, como sitios web que realicen actividades económicas,
como publicidad, venta online, etc., así como las notificaciones comerciales electrónicas, como SMS
o correos electrónicos publicitarios.
E stas leyes de reciente creación, 1999 LOPD y 2002 LSSICE, suponen un inicio en la regulación
norm ativa de la inform ática y sus aspectos de seguridad, garantizando los derechos de las personas y
ciudadanos, evitando abusos sobre la privacidad de los datos personales, y ofreciendo un nuevo marco que
dé tran sparencia a las operaciones comerciales a través de las redes de telecomunicaciones, y especialm ente
a través de Internet.
224
© R A -M A
9 ■ N O R M A T IV A LEGAL EN M A T E R IA DE S E G U R ID A D IN F O R M Á T IC A
EJERCICIOS PROPUESTOS
1. Explica por qué crees que surge la norm ativa de
protección de datos en España. ¿Crees que Los datos
personales son em picados en ocasiones con un fin
deshonesto? ¿Crees que los medios de comunicación
protegen la intim idad de las personas?
2. Busca cómo se realiza la notificación de ficheros
por In te rn e t o por soporte magnético, y explica el
proceso. ¿Cuál es el medio recomendado por la AGPD
para la notificación de ficheros?
3. Extrae tres noticias de http: / / todonoticiaslopd.
co m í y explica exactam ente qué ha ocurrido, qué
tipo de incum plim iento se h a realizado y la sanción
propuesta (nivel y cuantía). ¿Qué datos y qué nivel
de protección poseen los datos de carácter personal
mal empleados?
4. E n su artículo 19, la LOPD indica con respecto al
control de acceso físico íart.19): exclusivam ente el
personal autorizado en el Documento de Seguridad
podrá te n e r acceso a los locales en donde se
encuentren ubicados los sistem as de información con
datos de carácter personal.
¿Qué tipos de m edidas deberíam os de tom ar
para cum plir con la norm ativa? Realiza algunas
recomendaciones técnicas.
5. Busca al menos 2 web españolas, que no cum plan
con la LSSI, explica por qué lo has deducido, y otras 2
que sí, indicando cómo has encontrado su aviso legal
y qué indica éste con respecto a la LSSI.
6.
B usca a lg u n a n o ticia de in fra cció n por
incum plim iento de la LSSI, por com unicación
comercial, qué sanción se le impuso y cuáles fueron
los motivos.
¿Qué tipo de infracción se cometió?
¿Ante qué organism o se interpuso la dem anda?
¿Crees que la sanción es proporcionada? Explica
tus motivos.
7. Analiza las preguntas frecuentes o FAQS de la web
del M inisterio de Industria, Turism o y Comercio, en
relación a la LSSI:
h ttp : / / w w w .m ityc.es / d g d s i / Issí / faqs
¿Qué acción se puede realizar si nos envían sparrií
¿A qué organism o se puede reclam ar?
R evisa en su web el aviso legal, ¿cumple la
A dm inistración con la LSSI? ¿E stá obligado a
ello?
22!
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
© R A -M A
TEST DE CONOCIMIENTOS
¿En qué año aparece la LOPD?
1990.
1995.
1999.
2004.
Indica cuáJ de los siguientes datos y archivos no
está sujeto a la LOPD:
Archivo con base de datos de m úsica en mi casa.
Ficha de inscripción en papel con datos de un
centro polideportivo.
A puntes en papel sobre un cliente en un restau ­
rante.
F acturas em itidas con datos de clientes de un
taller mecánico.
L a LOPD afecta a ficheros:
Solo en soporte electrónico.
Solo en soporte electrónico pero estructurados.
Tanto en soporte papel como electrónico.
Solo en soporte papel.
E l organismo que regula y supervisa la protección
de datos personales en los ficheros de em presa es:
Asociación E spañola de Profesionales del
Diseño(AEPD).
A gencia E sp añola de Protección Personal
(AEPP).
Agencia de Protección de D atos Españoles
(APDE).
Agencia E spañola de Protección de Datos
(AGPD).
226
En caso de solicitarm e una entidad datos relativos a
salud, las m edidas de seguridad que deberá adoptar
internam ente en sus ficheros serán de nivel:
Bajo.
Medio.
Alto.
No los puede reg istrar si no es un centro san i­
tario.
¿En qué año aparece la LSSICE?
1990.
2002 .
1999.
2004.
La LSSICE no regula aspectos como:
El precio de los SMS.
La información legal sobre los webmaater.
La publicidad a través del correo electrónico
El comercio electrónico.
La LSSICE no regula aspectos como:
El precio de los SMS.
La información legal sobre los webm aster.
La publicidad a través del correo electrónico.
El comercio electrónico.
Material adicional
El m aterial adicional de este libro puede descargarlo en nuestro portal Web: h ttp ://w w iv .ra -m a .e s.
Debe dirigirse a la ficha correspondiente a esta obra, dentro de la ficha encontrará el enlace para poder realizar la
descarga. Dicha descarga consiste en un fichero ZIP con una contraseña de este tipo: XXX-XX-XXXX-XXX-X la cual
se corresponde con el ISBN de este libro.
Podrá localizar el núm ero de ISBN en la página 2 (página de créditos). P ara su correcta descompresión deberá
introducir los dígitos y los guiones.
Cuando descomprima el fichero obtendrá los archivos que com plem entan al libro para que pueda continuar con
su aprendizaje.
INFORMACIÓN ADICIONAL Y GARANTÍA
RA-MA EDITORIAL g arantiza que estos contenidos han sido sometidos a un riguroso control de calidad.
Los archivos están Ubres de virus, para comprobarlo se han utilizado las últim as versiones de los antivirus
líderes en el mercado.
RA-MA EDITORIAL no se hace responsable de cualquier pérdida, daño o costes provocados por el uso incorrecto
del contenido descargable.
Este m aterial es gratuito y se distribuye como contenido com plem entario al libro que h a adquirido, por lo que
queda term inantem ente prohibida su venta o distribución.
22 ',
índice Alfabético
Símbolos
3JDES, 1 1 1 ,1 1 2 ,1 2 7 ,1 3 2 ,1 4 5
8 0 2 .l l i , 149
A
ACL, 82, 8 3 ,8 4 ,1 6 2 ,1 7 0 ,1 7 8 ,1 8 1 ,1 8 3 ,1 8 6 .
A ctualización, 20, 21, 29,31
A dm inistración, 6 6 ,1 2 8 ,1 3 2 ,1 8 7 , 224, 225
A dw are, 9 2 ,1 0 2 ,1 0 8
AEPD, 220
AES, 1 1 1 ,1 1 2 ,1 1 3 ,1 1 5 ,1 2 7 ,1 3 2 ,1 4 5 ,1 4 9 ,1 5 2 ,1 5 4 ,
155
A gencia E sp añ o la de Protección de Datos, 216, 217,
2 1 8 ,2 1 9 ,2 2 0
AGPD, 224,225
A lta disponibilidad, 21
A nálisis forense, 28
A n tim alw are, 9 ,1 0 ,1 5 ,2 3 ,2 8 , 29, 32,66. 9 0 ,9 3 ,9 4 ,9 5 ,
1 0 0 ,1 0 2 ,1 0 3 ,1 0 5 ,1 0 8 ,2 2 4
A ntispyw are, 95
A ntivirus, 29,31, 90, 9 5 ,1 0 0 ,1 0 3 ,1 0 8
A RP Poisoning, 134,136
A taq u e de diccionario, 67
A taq u e de fu erza b ru ta, 67 ,1 1 6
A u d ito ría de seguridad, 27
A utenticación, 12, 6 7 ,1 2 1 ,1 5 4 ,1 5 5 ,1 7 7 ,1 8 0 ,1 8 1
AVR, 53
B otnet, 26, 90, 91,224
B row ser hijacker, 103,108
Bugs, 25
c
CCTV, 34,51. 224
C entro de respaldo, 4 7 ,4 8
C entros de procesam iento de datos, 47,186
C ertificado digital, 60, 6 4 ,1 0 8 ,1 2 3 ,1 2 5 ,1 2 7 ,1 2 8 ,1 2 9 ,
132,136,217
César, 109,110,111
chgrp, 83,84
c h m o d ,8 3 ,84
chown, 83, 84
Cifrado, 3 8 ,4 1 ,6 9 ,1 0 8 ,1 0 9 ,1 1 1 ,1 1 5 ,1 1 6 ,1 1 7 ,1 2 2
C ifrado asim étrico, 1 1 8 ,1 2 0 ,1 2 7 ,1 3 2 ,1 5 9 ,1 6 2
C ifrado híbrido, 117,127,132
Cifrado sim étrico. 1 1 2
Clave, 1 4 ,6 7 ,1 0 8 ,1 0 9 ,1 1 0 ,1 1 1 ,1 1 2 ,1 1 5 ,1 1 6 ,1 1 7 ,
1 1 8 ,1 1 9 ,1 2 0 ,1 2 1 ,1 2 2 ,1 2 3 ,1 2 5 ,1 2 7 ,1 2 8 ,1 2 9 ,1 3 2 ,
1 4 4 ,1 4 5 ,1 4 6 ,1 4 8 ,1 4 9 ,1 5 0 ,1 5 1 ,1 5 2 ,1 5 4 ,1 5 5 ,1 7 7 ,
1 8 1,193,194
Clave asim étrica, 117
Clave pública, 1 1 5 ,1 1 6 ,1 1 7 ,1 2 0 ,1 2 1 ,1 2 2 ,1 2 3 ,1 2 5
Clave privada, 1 1 5 ,1 1 7 ,1 2 0 ,1 2 1 ,1 2 2
Clave sim étrica, 109,117
j C lickers, 92
Cloud com puting, 186,187
C lustering, 186
B
C onfidencialidad, 1 2 ,2 9 ,3 2 ,1 1 7 ,1 4 5
Backdoor, 15,25, 9 1 ,9 7 ,1 0 2 ,1 0 8
C ontraseña, 6 7 ,6 9 ,8 4 , 8 6 ,1 2 8 ,1 3 2 ,1 5 5 ,1 5 9 ,1 6 2
B ackup, 35, 6 0,62
C o n traseñ as seguras, 84,86
B alanceo de carga, 9,10, 2 3 ,4 8 ,1 8 6 ,1 9 5 ,1 9 6 ,1 9 8 ,1 9 9 ,
C ontrol de acceso, 48,49, 60
2 1 2 ,2 1 3 ,2 1 6
Cookies,
92
B astidor, 49
Copia de seguridad, 2 9 ,3 1 ,3 5 ,6 0 ,1 2 8 ,1 3 2
B io m etría, 49, 50 60
CPD, 3 4 ,4 7 ,4 8 ,6 0 , 62,63
BIOS, 7 1,73
Blow fish, 42, 4 4 , 1 1 1 ,. 1 1 2,127,132
C redenciales, 49
229
© R A -M A
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
FTP, 2 9 ,3 1 ,4 2 ,4 3 ,4 4 , 9 3 ,1 3 5 ,1 3 6 ,1 3 9 ,1 4 0 ,1 4 1 ,1 4 2 ,
C rim ew are, 9 2 ,1 0 2 ,1 0 8
C rip to an alisis, 108
1 4 3 ,1 4 4 ,1 4 5 ,1 6 5 ,1 6 6 ,1 7 2 ,1 7 3 ,1 7 4 ,1 8 3 ,1 8 6 ,2 0 6 ,
C rip to g rafía, 108., 109,1 1 .2 ,1 1 6 ,1 1 7 ,1 2 0 ,1 2 2 ,1 2 6 , 216
2 0 8 .2 0 9 .2 1 0 .2 1 3 .2 1 6 .2 2 4 .
C rip to g rafía sim étrica, 111,117
F u erz a b ru ta , 26, 224
C ron, 38,41
G
D
G estor de arran q u e , 75, 77
DAS, 3 6 ,6 0 ,6 1 , 206,210.
getfacl, 84
D a ta center, 47
GPG, 1 1 2,117,118,120.
DDoS, 2 6 ,2 2 4
G rayw are, 92
D E S, 4 2 ,4 4 ,1 1 1 ,1 1 2 ,1 2 7 ,1 3 2 ,1 4 5
G reyw are, 9 2 ,1 0 5 ,1 0 8
D iccionario, 26, 224
G usano, 25, 90, 92
D iferencial. 36
H
D iffie-H eüm an, 11 7,127,132
D irectiv a de bloqueo de cuentas, 68
H acker, 24,47
D irectiv a, 68
H ash, 115,121
D irectiv a de co n traseñ as, 68
H igh Availability, 21
D isponibilidad, 1 2 ,2 9 ,3 2 ,4 8
Hoax, 26, 9 2 ,1 0 2 ,1 0 8 ,2 2 4
D istribución Live, 74, 7 7 ,7 8 ,8 0 ,8 1
HTTP, 139,224.
DM Z, 1 3 7 ,1 69,173, 182,183,186
HTTPS, 1 2 3 ,1 2 5 ,1 3 6 ,1 3 9 ,1 4 1 ,1 4 3 ,1 4 5 ,1 4 6 ,1 4 8 ,
D N Ie, 1 2 2 ,1 2 3 ,1 2 5 ,1 2 6 ,1 2 7 ,1 2 8 ,1 2 9 ,1 3 2
1 5 9 .1 6 0 .1 6 2 .1 7 4 .2 0 0 .2 0 3 .2 2 4 .
D N S, 139,224.
D N S spoofing, 135,136
I
DoS, 2 6 ,1 3 2 ,2 2 4
DSA, 1 1 7 ,1 1 8 ,1 2 0 ,1 2 7 ,1 3 2
IDEA, 111, 112,127,132
D SS, 117
Identificación, 67
D u a l Hom ed-H ost, 169,183,186
IDS, 1 3 6 ,1 3 7 ,1 3 8 ,1 5 8 ,1 5 9 ,1 6 2
Increm ental, 36
E
Infostealers, 9 2 ,1 0 2 ,1 0 8
E F S , 1 3 ,1 4 ,1 5 ,1 1 3 ,1 1 5
Ingeniería social, 2 6 ,9 2 ,2 2 4
E lG am al, 1 1 2 ,1 1 7 ,1 1 8 ,1 2 0 ,1 2 7 ,1 3 2
In teg rid ad , 1 2 ,2 9 ,3 2 ,1 1 7 ,1 2 1 ,1 4 5
E steg an o g rafía, 128,132
Interceptación, 132
E x p lo its, 19,21
Interrupción, 132
IPSEC, 141,1 4 6 ,1 6 0 ,1 6 2
F
F abricación, 132
ISO 27001, 27, 29
ISO 27002, 27
FakeAV, 94
J
F iltra d o de direcciones MAC, 155
F írew a li, 2 9 ,3 1 ,1 3 9 ,1 6 2 ,1 6 8 ,1 7 1 ,1 7 2 ,1 7 3 ,1 8 1 ,1 8 3 ,
Joke, 9 2 ,1 0 2 ,1 0 8
186.
F ir m a digital, 8 3 ,8 4 ,1 2 0 ,1 2 1 ,1 2 2 ,1 2 5
fn m t, 12 6 ,1 2 8 ,1 3 2
230
K
Keyloggers, 9 2 ,1 0 2 ,1 0 8
© R A -M A
ÍN D IC E A L F A B É T IC O
L
L2TP, 14 6 ,1 6 0 ,162
La mm er, 24
LDAP, 67
Log, 7 1 ,1 6 6 ,1 6 8
Login, 67
LOPD, 23, 2 1 6 ,2 1 7 ,2 1 8 ,2 1 9 , 224, 225,226
LSSI, 2 2 1 , 222 , 223, 224, 225
L SSIC E , 2 1 6 ,2 2 1 ,2 2 2 ,2 2 3 ,2 2 4
M
;
I
;
:
;
i
!
I
;
;
i
P in za am perim étrica, 54
P K 3 ,125,127,132
P O P 3 ,1 3 9 ,1 4 1 ,1 4 3 ,1 4 5 ,2 2 4 .
Potencia ap a ren te, 54
Potencia real, 54
PPTP, 1 4 6,160,162
Proxy, 9 ,1 0 ,2 3 ,1 6 2 ,1 6 5 ,1 6 6 ,1 6 8 ,1 6 9 ,1 7 4 ,1 7 5 ,1 7 6 ,
1 7 7 ,1 7 8 ,1 7 9 ,1 8 0 ,1 8 1 ,1 8 2 ,1 8 3 ,1 8 6 ,2 1 2 ,2 1 6
Proxy abierto, 174
Proxy anónim o, 174
Proxy caché Web, 174
P roxy inverso, 174
Proxy NAT, 174
P S K .1 4 9 ,152
pw stealer, 9 2 ,1 0 2 ,1 0 3 ,1 0 5 ,1 0 8
M alw are, 1 0 ,1 1 ,1 5 ,1 7 , 20, 2 1 , 25,26, 29,31, 3 2 ,3 5 ,4 1 ,
¡
6 6 , 9 0 ,9 2 ,9 4 ,9 5 , 9 6 ,9 7 ,9 8 ,9 9 ,1 0 0 ,1 0 2 ,1 0 3 ,1 0 4 ,
!
1 0 5 ,1 0 8 ,1 5 9 ,1 6 2 ,2 2 4
i
M an in th e m iddle, 133
M BSA, 18, 21
R
M D 5 ,71, 7 7 ,7 9 ,8 1 ,1 1 5 ,1 1 6 ,1 4 5
I Rack, 49
M etasploits, 19,21
RADIUS, 1 4 9 ,1 5 3 ,1 5 8 ,1 6 2
M inucia, 50
;
RAID,
186,187,188
M itM , 1 3 3 ,1 3 4 ,1 3 6 ,1 4 3 ,1 4 5 ,1 5 9 ,1 6 0 ,1 6 2
R C 5 ,111,127,132
M odificación, 132
;
Red
zombie, 90,91
MTTF, 22
í R e s ta u ra r S istem a, 41
M TTR, 22
; R ijndael, 4 2 ,4 4 ,1 1 1
: R oguew are, 2 5 ,9 0 ,9 2 ,9 4 ,1 0 2 ,1 0 8
N
i Rol, 84,86
NAS, 3 6 ,6 0 ,6 1 ,2 0 6 ,2 1 0
: R ootkit, 15
NAT, 1 6 3 ,1 6 4 ,1 6 5 ,1 6 6 ,1 7 2 ,1 7 4 ,1 8 2 ,1 8 6 ,1 9 8 ,1 9 9 ,
; R ootkit h u n ter, 15
2 0 3 ,2 0 4 ,2 0 5 ,2 1 2 ,2 1 3 ,2 1 6 .
; R ound Robin, 194
N essus, 18,21
: RSA, 4 2 ,4 4 ,1 1 7 ,1 2 7 ,1 2 9 ,1 3 2 ,1 5 9 ,1 6 2
N etB IO S, 139,224
i
i
N ets ta t, 139
N ew bie, 24
N m ap, 17,21
No repudio, 1 2 ,2 9 ,3 2 ,, 117,1 2 0 ,1 2 1 ,1 4 5
P
PAM, 70
P assw ord, 4 9 ,6 0 ,6 3
P assw o rd cracking, 26, 224
P ecera, 48
PGP, 1 1 2 ,1 1 7 ,1 2 7 ,1 3 2 .
P h arm in g , 2 6 ,1 3 3 ,1 3 6 ,2 2 4
P h ish in g , 1 0 ,1 1 ,2 6 ,2 9 ,3 2 ,9 0 ,9 2 ,1 0 2 ,1 0 3 ,1 0 8 ,1 3 3 ,
160,162, 224
i
!
i
;
i
í
;
;
;
i
:
•
s
SAI, 34, 5 2 ,5 3 ,5 4 ,6 0 ,6 2 , 63,224
SAI O FF-LIN E, 53
SAI O N -LINE o de DOBLE CONVERSION, 53
SAI O N -LIN E o LIN E INTERA CTIV E, 53
SAN, 3 6 ,6 0 ,6 1 ,2 0 6 ,2 1 0
Scam , 10,11, 26, 9 2 ,1 0 4 ,1 0 8 ,2 2 4
S creened H ost, 169,183,186
S creened-subnet. 169,183,186
S creening router, 169
Script-K iddies, 24
S eguridad activa, 28
S eguridad física, 2 8 ,4 7 ,6 6 , 216
231
© R A -M A
S E G U R ID A D Y A L T A D IS P O N IB IL ID A D
S eg u rid ad lógica, 2 8,66
S eg u rid ad pasiva, 28
S erp e n t, 113,115
S erv id o r de autenticaciones, 67
setfacl, 84
SFC , 15
SHA, 71, 7 9 ,8 1 ,1 0 8 ,1 0 9 ,1 1 5 ,1 4 5
S hell hijacker, 103,108
S h o u ld e r surfing, 26,224
S m a rtC a rd , 49 ,1 2 2
SM TP, 1 3 5 ,1 3 6 ,1 3 9 ,1 4 0 ,1 4 1 ,1 4 3 ,1 4 5 ,2 2 4 .
Sniffing, 26,132, 224
S p am , 1 0 ,1 1 ,2 5 ,2 6 , 9 2 ,1 0 2 ,1 0 3 ,1 0 4 ,1 0 8 ,1 2 8 ,1 3 2 ,
1 7 4 .2 23.224, 225.
Spoofing, 2 6 ,1 3 3 ,1 3 4 ,1 3 6 ,2 2 4
S pyw are, 1 0 ,1 1 ,2 9 ,3 2 , 92, 95,102,108.
S Q L Inyection, 104,108
S S H ,2 1 ,2 3 ,1 1 7 ,1 2 7 ,1 3 2 ,1 3 9 ,1 4 0 ,1 4 1 ,1 4 2 .1 4 4 ,1 4 5 ,
1 4 6 .1 5 8 .1 6 0 .1 6 2 .2 2 4 .
S SL , 2 3 ,4 2 ,4 4 ,1 1 7 ,1 2 7 ,1 3 2 ,1 4 1 ,1 4 3 ,1 4 4 ,1 4 5 ,1 4 6 ,
1 5 8 ,1 6 0 ,1 6 2 ,1 7 4.
S u stitu ció n , 1 0 8 ,1 09,110, 1 1 1 , 187
T
T ab nabbing, 133
T ar, 3 8 ,4 1
T eln e t, 1 3 5 ,1 3 6 ,1 3 9 ,1 4 0 ,1 4 3 ,1 4 5 ,2 2 4
T exto plano, 1 4 ,8 1 ,1 0 8 ,1 1 0 , 111, 112,127,132,143,
1 4 4 ,1 4 5 ,1 5 3 ,1 5 5
T R IP , 1 4 9 ,1 5 2 ,1 5 4 ,1 5 5
T L S, 2 3 ,1 1 7 ,1 2 7 ,1 3 2 ,1 4 1 ,1 4 4 ,1 4 5 ,1 4 6 ,1 5 8 ,1 6 0 ,
162.
232
TPC, 125
T ransposición, 1 0 8,110,111
Troyano, 25, 90, 9 1 .9 2 ,1 0 3 ,1 0 8
T ru eciy p t, 38,41
Tw ofísh, 113,115
u
UBCD, 72, 75,80
UPS, 34, 52,224
V
VAF, 51
Vatios, 54
V irtualización, 9,10, 23,1 8 6 ,1 9 9 , 205, 206,2 1 0 ,2 1 2 ,
213,216
V irus, 2 5 ,4 7 ,9 0 , 9 1 ,1 0 0 ,1 0 3 ,1 0 8
VPN, 2 3 ,1 4 5 ,1 4 6 ,1 4 7 ,1 4 8 ,1 5 8 ,1 6 0 ,1 6 2 ,1 7 2 ,1 8 1 .
198,199.
V ulnerabilidad, 2 7 ,2 9 ,3 1 ,9 1 ,9 2
w
W aanaber, 24
WEP, 1 4 9 ,1 5 0 ,1 5 1 ,1 5 2 ,1 5 5 ,1 5 8 ,1 6 0 ,1 6 2 .
W ireless, 148,158
WLAN, 5 1 ,1 4 9 ,1 5 5 ,1 5 9 ,1 6 0 ,1 6 2
WPA, 1 4 9 ,1 5 1 ,1 5 2 ,1 5 5 ,1 5 8 ,1 6 0 ,1 6 2 .
W PA -E nterprise, 149
X
X .5 0 9 ,123
La p re sen te obra e stá dirig id a a los e stu d ia n te s del Ciclo F orm ativo de G rado S u p erio r de Administrât
de Sistemas Informáticos en Red (ASIR), en concreto p a ra el Módulo Profesional Seguridad y ¿
Disponibilidad.
A lo largo del libro se a n aliza la seg u rid ad in fo rm ática y la a lta d isponibilidad desde d istin ta s perspecti
com pletando de este modo u n a visión global de la m a te ria , p a ra no d e ja r n in g ú n aspecto vulnere
principios y terminología, seguridad pasiva, copias de seguridad, seguridad física y lógica, softi
antim alware, criptografía de la información y las comunicaciones¡ seguridad en redes corporal
atendiendo especialm ente a su seg u rid ad p e rim e tra l, configuraciones avanzadas de alta disponibilidt
norm ativa en m ateria de seguridad informática.
El enfoque del libra es em in e n tem e n te práctico, d u ra n te el desarro llo de los capítulos se re a liz a n u n 1
de 51 p rácticas. E n los capítulos se incluyen recom endaciones p a ra d e sa rro lla r u n a com pleta labor c
A d m in istra d o r de sistem as, adem ás de activ id ad es y ejem plos, con la finalidad de fa c ilita r la asim ila
de los conocim ientos tra ta d o s.
Así m ism o, se incorporan te s t de conocim ientos y ejercicios p ro p u esto s con la fin alid ad de com probar
los objetivos de cada capítulo se h a n asim ilado correctam ente.
WWW
E n la pág in a w eb de Ra-M a (www.ra-m a.es) se e n c u e n tra disponibl
m a te ria l de apoyo y com plem entario.
ra-ma e
788499 640 891
Ra-Ma*
