Universidad Autonoma de Baja California

Universidad Autónoma de Baja California

Facultad de Ciencias

Desarrollo de un Prototipo de un Sistema Manejo de Información de Seguridad Computacional y Análisis de una Red de Cómputo

Proyecto de Tesis de

Salvador Mora Ruiz

Como requisito parcial para obtener el título Profesional de Lic. En Ciencias Computacionales.

Maestro Asesor: Judith Luna Serrano

Introducción:

En la sociedad actual se hace inherente la transferencia de información por medio de las redes de computadoras, sin embargo mucha de esa información es de carácter privado o incluso secreto. Inclusive la información almacenada en los servidores puede estar en esta clasificación (Villalón, 2000). Es por eso que se debe garantizar que esta información no esté al alcance de cualquier persona, o que no caiga en manos inadecuadas (Atkins et al., 1997).

La forma de garantizar que la información esté a salvo es mediante la seguridad informática. Ésta, está definida por 3 aspectos: confidencialidad, integridad y disponibilidad. La confidencialidad nos dice que los objetos de un sistema han de ser accedidos únicamente por elementos autorizados a ello, y que esos elementos autorizados no van a convertir esa información en disponible para otras entidades; la integridad significa que los objetos sólo pueden ser modificados por elementos autorizados, y de una manera controlada, y la disponibilidad indica que los objetos del sistema tienen que permanecer accesibles a elementos autorizados (Villalón, op cit.).

Un adecuado análisis de la red y la implementación de políticas o cambios en la topología de la red pueden ayudar a la detección y contención de intrusos en los servidores. (Atkins et al., op cit.)

Es importante que exista un espacio donde se pueda encontrar información acerca de cómo resolver problemas que se hayan presentado anteriormente. Por lo general esta información solo está en una persona; la que lo resolvió, eso tiene la desventaja de que en caso de que esa persona se fuera y llegara uno nuevo tendría que aprender de nuevo como resolver los problemas, lo cual es una pérdida de tiempo. El uso de un sistema de manejo de información de seguridad podría ayudar a evitar estos problemas, además ahorrar tiempo y en un determinado caso entrenar a alguien. (Favela, 1997).

Antecedentes:

Desde finales de la década de los 80’s se le empezó a dar importancia a la seguridad de las redes de cómputo, en gran parte debido a que se empezaron a presentar casos que alarmaron a los administradores de redes y además a la expansión que se estaba dando en ese momento de Internet (Villalón, op cit.).

El caso más conocido fue el de Morris (1998), considerado como el primer incidente de la seguridad informática: uno de sus programas se convirtió en el famoso worm o gusano de Internet. Miles de computadoras conectadas a la red se vieron inutilizadas durante días, y las pérdidas se estiman en millones de dólares. Desde ese momento el tema de la seguridad en sistemas operativos y redes ha sido un factor a tener muy en cuenta por cualquier responsable o administrador de sistemas informáticos (Longstaff et al, 1997).

Desde ese entonces a la fecha los sistemas de cómputo y las redes han cambiado drásticamente tanto en su capacidad como en la facilidad para adquirirlos. También el costo relativamente bajo de una conexión casera a Internet ha permitido que casi cualquier persona pueda ponerse en línea (Villalón, op cit.).

Esto permite que sea relativamente sencillo para alguien con experiencia el entrar ilegalmente a un sistema o interceptar información que pueda tener carácter privado o secreto. Hay que tener en cuenta que la seguridad no solo se refiere a un posible ataque externo sino también a uno interno (Tanenbaum, 1996). Un adecuado monitoreo o cuidado de los servidores puede ayudar a prevenir un desastre del servidor (Klander, 1997).

En el área de administración de sistemas, se cuenta con bitácoras de trabajo. En ellas se registra cualquier cambio o ataque que ocurra a un servidor. Sin embargo por lo general estas entradas a la bitácora no son explícitas y además cuando la bitácora es muy grande es difícil recuperar una información en específico (Stewart et al., 2000).

Propuesta:

Desarrollar un prototipo del Sistema de Manejo de Información de Seguridad. Además Realizar el análisis y diagnóstico de la red de cómputo del Instituto de Investigaciones Oceanológicas. Además desarrollar un manual de procedimientos para ayudar a los usuarios y administradores en cuanto a la seguridad de los servidores que utilizan.

·Analizar la seguridad con que cuenta la red del Instituto de Investigaciones Oceanológicas y los principales servidores conectados a ella.

·Desarrollo de documentación para educación, en cuanto a seguridad, de usuarios y administradores.

·Obtención de documentos que permitan generar una política de seguridad “interna” y/o reglamento interno apegado al reglamento general que proporcione la Dirección General de Informática.

·Creación de un “Sistema de Manejo de Información de Seguridad” con el fin de que los administradores documenten detalladamente los ataques.

Metodología:

Para el Análisis y diagnóstico de la red del Instituto de Investigaciones Oceanológicas:

La metodología que se utilizará se basará en la descrita por Operationally Critical Threat, Asset, and Vulnerability Evaluation (OCTAVE) desarrollada por el grupo Survivable Enterprise Management (SEM) perteneciente al Computer Emergency Response Team (CERT) http://www.cert.org/octave.

El método OCTAVE se desarrolla en tres fases, que se conforman por varios pasos, para analizar los aspectos organizacionales y tecnológicos; y obtener una visión de las necesidades requeridas en cuanto a seguridad. Cada Fase se desarrolla de la siguiente forma

Fase 1: Desarrollar una lista de elementos a proteger y ataques que los afectan.

En esta fase se determinan qué recursos o elementos son los más importantes, qué es lo que se hace actualmente para protegerlos y cómo pueden ser amenazados estos elementos.

Fase 2: Identificar los puntos vulnerables en la infraestructura.

A través de esta fase se conocerán cuales son los puntos vulnerables en cuanto a la infraestructura actual que puedan permitir acciones no autorizadas a los elementos que se desean proteger.

Fase 3: Desarrollo de planes y estrategias de seguridad.

En esta fase se analizarán los riesgos que pueden afectar a los elementos críticos y se decidirá cómo protegerlos de dichos riesgos.

El método OCTAVE se puede utilizar para evaluar toda la infraestructura de tecnologías de información de cualquier institución, como pueden ser información, sistemas, software y hardware. Para este proyecto solo nos limitaremos a evaluar los sistemas (servidores) que mantienen información crítica para el Instituto de Investigaciones Oceanológicas.

La meta 1 se obtendrá al finalizar la aplicación de las Fases 1 y 2.

La metas 2 se obtendrá al terminar de aplicar la Fase 3.

Como complemento al resultado de la Fase 3 se desarrollarán las herramientas propuestas en las metas 3 y 4.

En determinados momentos, durante el desarrollo del proyecto, se utilizarán las técnicas descritas en el documento “DRAFT Guideline on Network Security Testing” desarrollado por Computer Security Division del National Institute of Standards and Technology, para apoyar la aplicación del método Octave, principalmente en la Fase 1. Este documento hace referencia las siguientes técnicas:

Mapeo de las Red mediante Herramientas. En esta etapa se analizarán las subredes y tratando de detectar los sistemas conectados a ellas, además de los servicios que prestan, al igual que las vulnerabilidades detectadas en dichos servicios.

Escanéo de Vulnerabilidades conocidas. Utilización de Herramientas para la detección de vulnerabilidades en los sistemas.

Verificación y pruebas de Penetraciones en los Sistemas. Verificación de intentos fallidos de penetración en los sistemas, además de pruebas de penetración propios en los sistemas.

Evolución y Verificación de Seguridad. Verificación de la evolución del sistema y sus mecanismos de seguridad hasta el momento; incluyendo actualizaciones, y parches en los sistemas

Cracking de passwords. Verificación de la clase de contraseñas que implementan los usuarios, y la fuerza que tienen; al tratar de correr aplicaciones como Crack, las cuales intenten descifrar las claves de los usuarios.

Revisión de registros del sistema. Verificación de los registros de bitácoras en los sistemas y firewalls, IDS’s, y Proxis implementados en este proyecto.

Además de los siguientes puntos:

·Recopilación de todo tipo de material relacionado con cuestiones de seguridad en cómputo: manuales de procedimientos, planes de contingencia, creación de políticas se seguridad, libros relacionados, etc.

·Estudiar los tipos de ataques a servicios externos e internos.

Para el desarrollo del Sistema de Manejo de Información de Seguridad:

En este trabajo se utilizará la Metodología OMT, el modelo de diagramación UML (Unified Modeling Languaje) y el modelo de desarrollo de espiral.

Análisis de requerimientos. Se definen los requerimientos y las especificaciones del programa. También se define la finalidad del proyecto y cuales serán sus partes.

Plan de proyecto. En esta etapa se realizan los planes para la creación del proyecto. Dentro de estos se encuentra el calendario, con las actividades específicas y sus fechas.

Diagramas de casos de uso. Se describe de manera gráfica la manera en que el usuario va a interactuar con el programa.

Diagramas de secuencia. Indican la secuencia en que el usuario puede realizar actividades dentro del programa según las opciones que elija dentro del programa.

Diagramas de clases. El diagrama de clases sirve para crear y mostrar de manera sencilla los atributos necesarios para cada clase del programa, así como también sirve para ver las relaciones que hay entre las clases. De esta manera se puede evitar la redundancia de clases.

Diagrama de pantallas. Se representa cómo estarán distribuidas las pantallas, es decir, qué pantalla se deriva de cuál y cuáles son las posibles siguientes pantallas, dependiendo de la elección del usuario.

Diseño de pantallas. En el diseño de pantallas se muestran las pantallas que se desean implementar. En esta fase, se consideran las entradas y salidas necesarias, además de presentación amigable para el usuario.

Planes de pruebas. Se describe el tipo y tiempo de las pruebas a realizar al sistema.

Para realizar las diferentes etapas del proyecto se usará el modelo de desarrollo conocido como Espiral. El modelo de Espiral se basa en partir un proyecto grande en sub-proyectos más sencillos. Un conjunto de sub-proyectos pueden formar una etapa (o fase) del proyecto. Una vez que se ha concluido una etapa es posible avanzar a la siguiente, las cuales cada vez son etapas más complejas. Una etapa puede decirse concluida sólo cuando todas las metas y objetivos de dicha etapa se han alcanzado satisfactoriamente. Como las primeras etapas de este modelo contienen sub-proyectos poco complejos, en cada etapa se puede hacer, por ejemplo, análisis de los sub-proyectos a realizar en esa etapa específica.

En la fase de planeación lo que se hace es organizar toda la información que se tiene para definir de una manera general que es lo que se quiere hacer. Es decir qué clase de programa, para qué va a servir, etc.