You are on page 1of 163

INTRODUCCIÓN

Hasta finales de 1988 muy poca gente tomaba en serio el tema de la seguridad en
redes de computadores de propósito general. El 22 de noviembre de 1988 Robert T.
Morris protagonizó el primer gran incidente de la seguridad informática: uno de sus
programas se convirtió en el famoso worm o gusano de Internet. Miles de
computadoras conectados a la red se vieron inutilizados durante días, y las pérdidas
se estiman en millones de dólares. Desde ese momento el tema de la seguridad en
sistemas operativos y redes ha sido un factor a tener muy en cuenta por cualquier
responsable o administrador de sistemas informáticos.

Existe una demanda constante y muy importante de seguridad informática que está
esperando a que alguien las atienda. Aún así esta demanda queda muy por debajo
con relación a la cantidad de ataques y desastres en la seguridad informática que
padecen los sistemas informáticos y las redes de computadoras; mientras que por otra
parte los especialistas o las entidades que dan respuesta ante situaciones que atenten
contra la seguridad informática estando localizados en lugares puntuales dentro del
globo terráqueo.

La falta de medidas de seguridad en las redes es un problema que está en
crecimiento. Cada vez es mayor el número de atacantes y cada vez están más
organizados, por lo que van adquiriendo día a día habilidades más especializadas que
les permiten obtener mayores beneficios. Tampoco deben subestimarse las fallas de
seguridad provenientes del interior mismo de la organización. La seguridad de las
redes de computadoras depende de las vulnerabilidades físicas, de software y de los
ataques que sufren, tanto internos como externos. Las vulnerabilidades son los
caminos para realizar los ataques. Como todas las vulnerabilidades no son conocidas,
así como tampoco son conocidos los posibles ataques, estos últimos años se han
desarrollado productos para detectar tanto las posibles vulnerabilidades de los
sistemas y de los servicios de red, como los posibles ataques que se pueden
perpetrar.

El Autor

Ing. Manuel LOPEZ ROBLES 1

PROGRAMACIÓN GENERAL

Seguridad de Información
Autoaprendizaje: 3 horas
Unidad Académica 01

Seguridad Física
Autoaprendizaje: 3 horas
Unidad Académica 02

Riesgos Relativos a la Seguridad
Autoaprendizaje: 3 horas
Unidad Académica 03

Seguridad con Windows Server
Autoaprendizaje: 3 horas
Unidad Académica 04

Seguridad con Linux
Autoaprendizaje: 3 horas
Unidad Académica 05

Seguridad en Equipos Windows Server
Autoaprendizaje: 3 horas
Unidad Académica 06

Diseño de una Infraestructura de Claves Publicas
Autoaprendizaje: 3 horas
Unidad Académica 07

Firewall
Autoaprendizaje: 3 horas
Unidad Académica 08

Ing. Manuel LOPEZ ROBLES 2

TABLA DE CONTENIDO

Introducción 1
Programación General 2

Unidad Académica 01
Seguridad de Información
¿Que es Seguridad? 5
Activos 17
Amenazas 19
Riesgos 20
Medidas de Seguridad 21

Unidad Académica 02
Seguridad Física
Protección del Hardware 26
Desastres del Entorno 31
Protección de Datos 33

Unidad Académica 03
Riesgos Relativos a la Seguridad
Identificación de los riesgos para los datos 41
Introducción a los estándares de seguridad comunes 48
Diseño de la Seguridad de la Red 50

Unidad Académica 04
Seguridad con Windows Server
Características de seguridad de Active Directory 57
Uso de la Autenticación Kerberos V5 61
Utilización de la Autenticación Basada en Certificados 62
Seguridad para el acceso a recursos 64
Introducción a las tecnologías de cifrado 67

Unidad Académica 05
Seguridad con Linux
Actualizaciones de Seguridad 77
Seguridad de Servidores 82

Unidad Académica 06
Seguridad en Equipos Windows Server

Ing. Manuel LOPEZ ROBLES 3

Manuel LOPEZ ROBLES 4 .Diseño de la Seguridad Física de Equipos con Windows Server 101 Diseño de Plantillas de Configuración de Seguridad 107 Evaluación de la Configuración de seguridad 117 Unidad Académica 07 Diseño de una Infraestructura de Claves Publicas Introducción a la Infraestructura de Claves Publicas 125 Utilización de Certificados 126 Examen del Ciclo Vital de los Certificados 129 Elección de una Entidad Emisora de Certificados 136 Asignación de Certificados a Cuentas de Usuario 140 Unidad Académica 08 Firewall Cortafuego o Firewall 146 Tipos de Técnicas para Implementar un Firewall 149 Características de un Cortafuegos 150 Acceso desde el Exterior 155 Zona Desmilitarizada 155 Firewall por Software 156 Firewall Por Hardware 158 Componentes de un Firewall 158 Ing.

denominada RPC DCOM. Figura 1. concretamente en el software que permite compartir archivos con otras máquinas.0. ¿QUÉ ES SEGURIDAD? Se puede entender como seguridad una característica de cualquier sistema (informático o no) que indica que ese sistema está libre de todo peligro. Manuel LOPEZ ROBLES 5 . Por ejemplo. y ha sido calificada como "crítica" por la propia compañía Microsoft. daño o riesgo. Ciclo de Conceptualización de la Seguridad Informática 1. XP y Windows Server. 2000. Las vulnerabilidades en nuestros sistemas de información pueden representar problemas graves. Blaster o MSBlaster el cual aprovecha un agujero en la seguridad de Windows. Afecta a las versiones NT 4. se publicó una noticia sobre un virus diseñado para lanzar ataques masivos y cómo prevenirlo para evitar consecuencias no deseadas. consiste en un desbordamiento de buffer en la interfaz RPC. UNIDAD ACADÉMICA Nº 01 SEGURIDAD DE INFORMACION Muchas empresas son amenazadas constantemente en sus activos. lo que pudiera representar miles o millones de dólares en pérdidas. Ing. por ello es muy importante comprender los conceptos necesarios para combatirlos y defendernos de posibles ataques a nuestra información. Se trata de un virus de tipo gusano que se propaga con los nombres de LoveSan. La finalidad de la plaga es recolectar equipos para realizar un ataque de Negación de Servicio (DoS por sus siglas en inglés) contra un sitio de Microsoft. La mencionada vulnerabilidad de Windows.

Manuel LOPEZ ROBLES 6 . confidencialidad e integridad. 1.1. Seguridad Informática La seguridad informática consiste en asegurar que los recursos del sistema de información (material informático o programas) de una organización sean utilizados de la manera que se decidió y que el acceso a la información allí contenida así como su modificación sólo sea posible a las personas que se encuentren acreditadas y dentro de los límites de su autorización. en cierta manera. integridad y disponibilidad. daño o riesgo. se suaviza la definición de seguridad y se pasa a hablar de fiabilidad (probabilidad de que un sistema se comporte tal y como se espera de él) más que de seguridad. Consideran la disponibilidad como un aspecto al mismo nivel que la seguridad y no como parte de ella. A grandes rasgos se entiende que mantener un sistema seguro (o fiable) consiste básicamente en garantizar tres aspectos: confidencialidad. y de una manera controlada. la confiabilidad. entendida como el nivel de calidad del servicio ofrecido. Como esta característica. es muy difícil de conseguir (según la mayoría de expertos.y que es. la integridad significa que los objetos sólo pueden ser modificados por elementos autorizados. y la disponibilidad indica que los objetos del sistema tienen que permanecer accesibles a elementos autorizados. Algunos estudios integran la seguridad dentro de una propiedad más general de los sistemas. imposible). y que esos elementos autorizados no van a convertir esa información en disponible para otras entidades. Se entiende como peligro o daño todo aquello que pueda afectar su funcionamiento directo o los resultados que se obtienen del mismo. por tanto. Podemos entender como seguridad un estado de cualquier tipo de información (informático o no) que nos indica que ese sistema está libre de peligro. infalible. Para la mayoría de los expertos el concepto de seguridad en la informática es utópico porque no existe un sistema 100% seguro. particularizando para el caso de sistemas operativos o redes de computadores. por lo que dividen esta última en sólo las dos facetas restantes. es el contrario de la negación de servicio. Ing. La confidencialidad dice que los objetos de un sistema han de ser accedidos únicamente por elementos autorizados a ello. Generalmente tienen que existir los tres aspectos descritos para que haya seguridad. se habla de sistemas fiables en lugar de hacerlo de sistemas seguros.

modificación y fabricación. Se tratará de una interceptación si un elemento no autorizado consigue un acceso a un determinado objeto del sistema. y por datos el conjunto de información lógica que manejan el software y el hardware. para no permitir que su información sea comprometida. Sin embargo. algunos autores consideran un caso especial de la modificación: la destrucción.Dependiendo de las fuentes de amenaza. diskettes). ¿Qué se Quiere Proteger? Los tres elementos principales a proteger en cualquier sistema informático son el software. tóners. la seguridad puede dividirse en seguridad física. los fungibles (elementos que se gastan o desgastan con el uso continuo. están expuestos a diferentes amenazas. dicho de otra forma. no se tiene un medio “original” desde el que restaurar. la taxonomía más elemental de estas amenazas las divide en cuatro grandes grupos: interrupción. ya que es el más amenazado y seguramente el más difícil de recuperar. seguridad ambiental y seguridad lógica. cintas magnéticas. En estos momentos la seguridad informática es un tema de dominio obligado por cualquier usuario de la Internet. como por ejemplo paquetes que circulan por un cable de red o entradas de una base de datos. es difícil devolver los datos al estado en que se encontraban antes de la pérdida. el hardware y los datos. y a menos que la política de copias sea muy estricta. medios de almacenamiento secundario (cintas. CD-ROMs. Habitualmente los datos constituyen el principal elemento de los tres a proteger. quede inutilizable o no disponible. Por último.2. Por hardware se entiende el conjunto formado por todos los elementos físicos de un sistema informático. Aunque generalmente en las auditorias de seguridad se habla de un cuarto elemento a proteger. diskettes) o tarjetas de red. Por software se entiende el conjunto de programas lógicos que hacen funcional al hardware. 1. tanto sistemas operativos como aplicaciones. en caso de pérdida de una base de datos o de un proyecto de un usuario. Manuel LOPEZ ROBLES 7 . como CPUs. hemos de pasar obligatoriamente por un sistema de copias de seguridad. cableado. como papel de impresora. Un ataque se clasifica como interrupción si hace que un objeto del sistema se pierda. se dice que un ataque es una fabricación si se trata de una modificación Ing. terminales. entendiéndola como una modificación que inutiliza al objeto afectado. Generalmente. interceptación. y de una modificación si además de conseguir el acceso consigue modificar el objeto. Contra cualquiera de los tres elementos descritos anteriormente (pero principalmente sobre los datos) se pueden realizar multitud de ataques o.

1.3. 1. Figura 2. (c) modificación y (d) fabricación. Personas La mayoría de ataques a nuestro sistema van a provenir en última instancia de personas que. se suele identificar a los atacantes únicamente como personas. intencionada o inintencionadamente. pueden causarnos enormes pérdidas.3. tarde o temprano se intenta clasificar en grupos a los posibles elementos que pueden atacar nuestro sistema. (b) interceptación.destinada a conseguir un objeto similar al atacado de forma que sea difícil distinguir entre el objeto original y el “fabricado”. Flujo normal de información entre emisor y receptor y posibles amenazas: (a) interrupción.1. especialmente en las obras menos técnicas y más orientadas a otros aspectos de la seguridad. Generalmente se tratará de piratas que intentan conseguir el máximo nivel de privilegio posible aprovechando alguno (o algunos) de los riesgos lógicos de los Ing. esto tiene sentido si hablamos por ejemplo de responsabilidades por un delito informático. En la figura 2 se muestran estos tipos de ataque de una forma gráfica. ¿De qué nos Queremos Proteger? En la gran mayoría de publicaciones relativas a la seguridad informática en general. Manuel LOPEZ ROBLES 8 . Con frecuencia.

Manuel LOPEZ ROBLES 9 . especialmente los que no abandonaron el entorno por voluntad propia (y en el caso de redes de empresas. Hemos de recordar siempre que decir ‘No lo hice a propósito’ no va a servir para recuperar datos perdidos ni para restaurar un hardware dañado o robado. incluso chantajeando a sus ex-compañeros o ex-jefes. Otro gran grupo de personas potencialmente interesadas en atacar nuestro sistema son los antiguos empleados del mismo. personal de seguridad. el ‘atacante’ ni siquiera ha de tener acceso lógico ni físico a los equipos.  Personal. bombas lógicas.  Curiosos. incluso el personal ajeno a la infraestructura informática (secretariado. Lo normal es que más que de ataques se trate de accidentes causados por un error o por desconocimiento de las normas básicas de seguridad. En el primer caso. Generalmente. y dañarlo de la forma que deseen. conseguir el privilegio necesario. Las amenazas a la seguridad de un sistema provenientes del personal de la propia organización rara vez son tomadas en cuenta. se presupone un entorno de confianza donde a veces no existe. Junto con los crackers. pocos administradores tienen en cuenta factores como la ingeniería social o el basureo a la hora de diseñar una política de seguridad. se lo pueden permitir’ pueden insertar troyanos. los que pasaron a la competencia). los curiosos son los atacantes más habituales de sistemas en redes. Pero con demasiada frecuencia se suele olvidar que los piratas “clásicos” no son los únicos que amenazan nuestros equipos: es especialmente preocupante que mientras que hoy en día cualquier administrador mínimamente preocupado por la seguridad va a conseguir un sistema relativamente fiable de una forma lógica. se trata de personas descontentas con la organización que pueden aprovechar debilidades de un sistema que conocen perfectamente para dañarlo como venganza por algún hecho que no consideran justo: amparados en excusas como ‘No me han pagado lo que me deben’ o ‘Es una gran universidad. virus o simplemente conectarse al sistema como si aún trabajaran para la organización.que hablaremos a continuación. esta combinación produce una avalancha de estudiantes o personal intentando Ing.  Ex-empleados. y recordemos también que las personas suelen ser curiosas por naturaleza. especialmente agujeros del software. por lo que se pasa por alto el hecho de que casi cualquier persona de la organización. ni conocer nada sobre seguridad en redes y/o sistemas informáticos. Recordemos que los equipos están trabajando en entornos donde se forma a futuros profesionales de la informática y las telecomunicaciones. personal de limpieza y mantenimiento) puede comprometer la seguridad de los equipos.

son redes generalmente abiertas. Los entornos de seguridad media son un objetivo típico de los intrusos. una base de datos de clientes. sin desearlo. Esta definición se engloba a cualquier persona que ataca al sistema simplemente por causar algún tipo de daño en él. típicos ataques son la destrucción de sistemas de prácticas o la modificación de páginas web de algún departamento o de ciertos profesores. aunque por fortuna el menos habitual en redes normales. a las de empresas. Manuel LOPEZ ROBLES 10 . Y en la mayoría de ocasiones esto se hace simplemente para leer el correo de un amigo. suele afectar más a las grandes – muy grandes – empresas o a organismos de defensa. alguien puede intentar borrar las bases de datos de un partido político enemigo o destruir los sistemas de ficheros de un servidor que alberga páginas web de algún grupo religioso. enterarse de cuánto cobra un compañero. generalmente por parte de alumnos descontentos. desde los más novatos (y a veces más peligrosos) hasta los expertos.  Terroristas. Este es el grupo de atacantes de un sistema más peligroso. información confidencial sobre las posiciones de satélites espía) o simplemente para dañar la imagen de la entidad afectada. Por un lado. esto convierte a las redes. o a las de ISPs en un objetivo fácil y apetecible para piratas con cualquier nivel de conocimientos. y la seguridad no es un factor tenido muy en cuenta en ellas. que son pagados por una tercera parte generalmente para robar secretos (el nuevo diseño de un procesador. Por ejemplo. De esta forma un atacante sólo ha de utilizar un escáner de seguridad contra el dominio completo y luego atacar mediante un simple exploit los equipos que presentan vulnerabilidades. un apoyo a los piratas que atacan sistemas teóricamente más protegidos.  Crackers. en el caso de redes. conseguir mayor privilegio del que tienen o intentando acceder a sistemas a los que oficialmente no tienen acceso.  Intrusos remunerados. Esta tercera parte suele Ing. Se trata de piratas con gran experiencia en problemas de seguridad y un amplio conocimiento del sistema. como los militares. que pueden utilizar toda la red para probar nuevos ataques o como nodo intermedio en un ataque a otros organismos. con el consiguiente deterioro de imagen (y a veces de presupuesto) que supone para una universidad ser. para utilizarlas como enlace hacia otras redes o simplemente por diversión. Aunque en la mayoría de situaciones se trata de ataques no destructivos parece claro que no benefician en absoluto al entorno de fiabilidad que podamos generar en un determinado sistema. ya sea para fisgonear. copiar un trabajo o comprobar que es posible romper la seguridad de un sistema concreto.

creados de forma intencionada para ello (software malicioso. Cualquier herramienta de seguridad representa un arma de doble filo: de la misma forma que un administrador las utiliza para detectar y solucionar fallos en sus sistemas o en la subred completa. saint o satan pasan de ser útiles a ser peligrosas cuando las utilizan crackers que buscan información sobre las vulnerabilidades de un host o de una red completa. tenemos que estar seguro que un atacante no va a dudar en utilizar tales herramientas (para explotar las debilidades encontradas). y con ellos se consigue mayor velocidad a la hora de detectar y depurar fallos: por ejemplo. por tanto. es decir. Si como administradores no utilizamos herramientas de seguridad que muestren las debilidades de nuestros sistemas (para corregirlas). los diseñadores de un Ing. Herramientas como nessus.  Puertas traseras. exploits. un potencial intruso las puede utilizar para detectar esos mismos fallos y aprovecharlos para atacar los equipos.  Herramientas de seguridad. ser una empresa de la competencia o un organismo de inteligencia. 1. Durante el desarrollo de aplicaciones grandes o de sistemas operativos es habitual entre los programadores insertar ‘atajos’ en los sistemas habituales de autenticación del programa o del núcleo que se está diseñando. Amenazas Lógicas Bajo la etiqueta de ‘amenazas lógicas’ encontramos todo tipo de programas que de una forma u otra pueden dañar a nuestro sistema. Manuel LOPEZ ROBLES 11 . hemos de agradecer a los diseñadores de tales programas el esfuerzo que han realizado (y nos han ahorrado) en pro de sistemas más seguros. A estos atajos se les denomina puertas traseras.2. también conocido como malware) o simplemente por error (bugs o agujeros).  Software incorrecto. Las amenazas más habituales a un sistema provienen de errores cometidos de forma involuntaria por los programadores de sistemas o de aplicaciones. A estos errores de programación se les denomina bugs. y por si esto fuera poco los atacantes van a tener todos los medios necesarios a su alcance.3. una organización que puede permitirse un gran gasto en el ataque. de ahí su peligrosidad: se suele pagar bien a los mejores piratas. y a los programas utilizados para aprovechar uno de estos fallos y atacar al sistema.

según otras traducciones) son canales de comunicación que permiten a un proceso transferir información de forma que viole la política de seguridad del sistema. ya que lo que pueda hacer un virus lo puede hacer más fácilmente cualquier otro mecanismo lógico. Las bombas lógicas son partes de código de ciertos programas que permanecen sin realizar ninguna función hasta que son activadas.  Canales cubiertos. Todo el mundo conoce los efectos de los virus en algunos sistemas operativos de sobremesa. Un gusano es un programa capaz de ejecutarse y propagarse por sí mismo a través de redes. de forma que cuando el archivo se ejecuta. cuando la bomba se activa va a poder realizar cualquier tarea que pueda realizar la persona que ejecuta el programa.  Virus. Los canales cubiertos (o canales ocultos.  Bombas lógicas. sin embargo. Manuel LOPEZ ROBLES 12 . dicho de otra forma. Un virus es una secuencia de código que se inserta en un fichero ejecutable (denominado huésped). en ese punto. Hemos de pensar que un gusano puede automatizar y ejecutar en unos segundos todos los pasos que seguiría un atacante humano para acceder a nuestro sistema: mientras que una persona. y en este caso su detección suele ser difícil: algo tan simple como el puerto finger abierto en una máquina puede ser utilizado a modo de covert channel por un pirata con algo de experiencia. un proceso transmite información a otros (locales o remotos) que no están autorizados a leer dicha información. software de gestión de bases de datos en el que para acceder a una tabla se necesiten cuatro claves diferentes de diez caracteres cada una pueden insertar una rutina para conseguir ese acceso mediante una única clave ‘especial’. es posible su existencia. la ejecución bajo un determinado UID o la llegada de una fecha concreta. sin embargo. por muchos Ing. Los activadores más comunes de estas bombas lógicas pueden ser la ausencia o presencia de ciertos ficheros. la función que realizan no es la original del programa.  Gusanos. Los canales cubiertos no son una amenaza demasiado habitual en redes de computadoras. ya que suele ser mucho más fácil para un atacante aprovechar cualquier otro mecanismo de ataque lógico. con el objetivo de perder menos tiempo al depurar el sistema. insertándose a sí mismo en otros programas. en ocasiones portando virus o aprovechando bugs de los sistemas a los que conecta para dañarlos. el virus también lo hace. sino que generalmente se trata de una acción perjudicial. los virus no suelen ser un problema de seguridad grave.

El hecho de que las catástrofes sean amenazas poco probables no Ing. procesador. tras un mes de actividad seguramente se habrá robado una enorme cantidad de dinero sin que nadie se haya percatado de este hecho. pero que realmente ejecute funciones ocultas (generalmente en detrimento de la seguridad) sin el conocimiento del usuario. ocultan su función real bajo la apariencia de un programa inofensivo que a primera vista funciona correctamente. nadie va a darse cuenta de ello.  Caballos de Troya. descontar una peseta de cada nómina pagada en la universidad o de cada beca concedida. disco). Manuel LOPEZ ROBLES 13 .  Técnicas salami. Por sí mismos no hacen ningún daño. Catástrofes Las catástrofes (naturales o artificiales) son la amenaza menos probable contra los entornos habituales: simplemente por su ubicación geográfica.3. Bajo este nombre se conoce a los programas que no hacen nada útil. Los troyanos o caballos de Troya son instrucciones escondidas en un programa de forma que éste parezca realizar las tareas que un usuario espera de él.3. ya que de cada origen se ha tomado una cantidad ínfima.  Programas conejo o bacterias. sino que simplemente se dedican a reproducirse hasta que el número de copias acaba con los recursos del sistema (memoria. tardaría como mínimo horas en controlar nuestra red completa (un tiempo más que razonable para detectarlo). que en algunas situaciones pueden llegar a provocar la parada total de la máquina. por ejemplo. El hecho de que la cantidad inicial sea grande y la robada pequeña hace extremadamente difícil su detección: si de una cuenta con varios millones de pesetas se roban unos céntimos. sino que lo que realmente perjudica es el gran número de copias suyas en el sistema. a nadie se le escapa que la probabilidad de sufrir un terremoto o una inundación que afecte a los sistemas informáticos. Por técnica salami se conoce al robo automatizado de pequeñas cantidades de bienes (generalmente dinero) de una gran cantidad origen. si esto se automatiza para. 1. produciendo una negación de servicio. al que deben su nombre. como el Caballo de Troya de la mitología griega. un gusano puede hacer eso mismo en pocos minutos: de ahí su enorme peligro y sus devastadores efectos. conocimientos y medios que posea.

Obviamente se denomina así al conjunto de riesgos que. de los tipos de amenazas que contra ellos se presentan y del origen de tales amenazas. ya que el objetivo de este proyecto no puede ser el proporcionar las directrices para una construcción de edificios a prueba de terremotos.implica que contra ellas no se tomen unas medidas básicas. vamos a hablar de estas amenazas sin extendernos mucho. y se convierten en la herramienta básica para garantizar la protección de los sistemas o de la propia red. Cuando hayamos completado este punto. ya que si se produjeran generarían los mayores daños. la posibilidad de que se produzcan es tan baja (menor incluso que la del resto de catástrofes) que nadie toma. o nadie puede tomar. las pérdidas que podrían generar. Un subgrupo de las catástrofes es el denominado de riesgos poco probables. y la probabilidad de su ocurrencia. Ejemplos habituales de riesgos poco probables son un ataque nuclear contra el sistema. ¿Cómo nos Podemos Proteger? Hasta ahora hemos hablado de los aspectos que engloba la seguridad informática. el impacto de un satélite contra la sala de operaciones. a partir de este análisis hemos de diseñar una política de seguridad que defina responsabilidades y reglas a seguir para evitar tales amenazas o minimizar sus efectos en caso de que se produzcan. Ing. humo o atentados de baja magnitud (más comunes de lo que podamos pensar). Como ejemplos de catástrofes hablaremos de terremotos. De cualquier forma. Para proteger nuestro sistema hemos de realizar un análisis de las amenazas potenciales que puede sufrir. o un plan formal de evacuación en caso de incendio.4. pero la probabilidad es tan baja y los sistemas de prevención tan costosos que no vale la pena tomar medidas contra ellas. obviamente los riesgos poco probables los trataremos como algo anecdótico. para completar nuestra visión de la seguridad. A los mecanismos utilizados para implementar esta política de seguridad se les denomina mecanismos de seguridad. 1. o la abducción de un operador por una nave extraterrestre. medidas contra ellos. hemos de hablar de las formas de protección de nuestros sistemas. habremos presentado a grandes rasgos los diferentes puntos a tratar en este proyecto. inundaciones. aunque existen. de los elementos a proteger. tal y como se sintetiza en la figura 3. Manuel LOPEZ ROBLES 14 . parece claro que. incendios. Nada nos asegura que este tipo de catástrofes no vaya a ocurrir. son la parte más visible de nuestro sistema de seguridad.

Los mecanismos de prevención son aquellos que aumentan la seguridad de un sistema durante el funcionamiento normal de éste. para retornar a éste a su funcionamiento correcto. las actividades de un intruso en el sistema. el uso de cifrado en la transmisión de datos se puede considerar un mecanismo de este tipo. Visión global de la seguridad informática Los mecanismos de seguridad se dividen en tres grandes grupos: de prevención. aunque los tres tipos de mecanismos son importantes para la seguridad de nuestro sistema. ejemplos de estos mecanismos son los programas de auditoria como Tripwire. ya que evita que un posible atacante escuche las conexiones hacia o desde un sistema Unix en la red. hemos de enfatizar en el uso de mecanismos de prevención y de detección. y la puerta utilizada para entrar. la máxima popular ‘más vale prevenir que curar’ se puede Ing. Parece claro que. de detección y de recuperación. cuyo objetivo no es simplemente retornar al sistema a su modo de trabajo normal. Dentro de este último grupo de mecanismos de seguridad encontramos un subgrupo denominado mecanismos de análisis forense. Manuel LOPEZ ROBLES 15 . por ejemplo. Por mecanismos de detección se conoce a aquellos que se utilizan para detectar violaciones de la seguridad o intentos de violación. de esta forma se previenen ataques posteriores y se detectan ataques a otros sistemas de nuestra red. Figura 3. ejemplos de estos mecanismos son la utilización de copias de seguridad o el hardware adicional. los mecanismos de recuperación son aquellos que se aplican cuando una violación del sistema se ha detectado. Finalmente. sino averiguar el alcance de la violación. previniendo la ocurrencia de violaciones a la seguridad.

sin embargo. evitando el flujo de información entre objetos y entidades de diferentes niveles siempre que no exista una autorización expresa del mecanismo de control de acceso. Un grupo especialmente importante de estos mecanismos son los denominados Sistemas de Autenticación de Usuarios. Aunque esto es imposible de conseguir en la práctica. a los que prestaremos una especial atención por ser los más utilizados en la práctica.  Mecanismos de separación. en los que centraremos nuestro trabajo. Discretionary Access Control). en función de como separan a los objetos: separación física. y sobre todo en los de prevención. que controlan todos los tipos de acceso sobre el objeto por parte de cualquier entidad del sistema. Dentro de Unix. Ing. Cualquier objeto del sistema ha de estar protegido mediante mecanismos de control de acceso. ya que forman la base de otros mecanismos que basan su funcionamiento en la identidad de las entidades que acceden a un objeto. el control de acceso más habitual es el discrecional (DAC. temporal. Es más. Estos mecanismos hacen posible identificar entidades del sistema de una forma única. no necesitaríamos mecanismos de detección o recuperación.  Mecanismos de control de acceso. implementado en algunos sistemas mediante una Base Segura de Cómputo (TCB). será en los mecanismos de detección. Son los mecanismos más importantes en cualquier sistema. El mecanismo de separación más habitual es el de separación lógica o aislamiento. lógica. detectar un intento de violación. implementado por los bits rwx y las listas de control de acceso para cada fichero (objeto) del sistema. también se permiten especificar controles de acceso obligatorio (MAC). una vez identificadas.aplicar a la seguridad informática: para nosotros. o detectar una violación exitosa inmediatamente después de que ocurra es mucho más productivo y menos comprometedor para el sistema que restaurar el estado tras una penetración de la máquina. Manuel LOPEZ ROBLES 16 . Los mecanismos de prevención más habituales en redes son los siguientes:  Mecanismos de autenticación e identificación. si consiguiéramos un sistema sin vulnerabilidades y cuya política de seguridad se implementara mediante mecanismos de prevención de una forma completa. Cualquier sistema con diferentes niveles de seguridad ha de implementar mecanismos que permitan separar los objetos dentro de cada nivel. y posteriormente. evitar un ataque. criptográfica y fragmentación. autenticarlas (comprobar que la entidad es quién dice ser). Los mecanismos de separación se dividen en cinco grandes grupos.

información de mercado. Es especialmente importante para la seguridad de nuestro sistema el proteger la integridad y la privacidad de los datos cuando se transmiten a través de la red. firmas digitales. sino entre redes diferentes. reportes financieros. tránsito y Ing. Mecanismos de seguridad en las comunicaciones. etc. ACTIVOS Un activo es todo aquel elemento que compone el proceso de la comunicación. Los activos poseen valor para las empresas y como consecuencia de ello. plan de negocios de una empresa. hemos de utilizar ciertos mecanismos. entre otros. lectura. en el caso de sistemas Unix en red). es decir. manuales. 2. que hace extremadamente fáciles ataques encaminados a robar contraseñas o suplantar la identidad de máquinas de la red. hasta su receptor. Los activos son elementos que la seguridad de la información busca proteger. Dentro de las posibles vulnerabilidades se tiene: Robo de documentos. las personas que los utilizan. el medio por el cual se transmite. acceso. en medio electrónico o físico. la mayoría de los cuales se basan en la Criptografía: cifrado de clave pública. Software: Este grupo de activos contiene todos los programas de computadora que se utilizan para la automatización de procesos. planillas de sueldos de empleados. partiendo desde la información. archivos de configuración. Manuel LOPEZ ROBLES 17 . 2. su emisor. líneas de comando. Una de las mayores amenazas a la integridad de las redes es este tráfico sin cifrar. los Equipos que la soportan y. patentes. Información En este grupo están los elementos que contienen información registrada.1. pérdida de archivos de configuración. 2. Son tres elementos que conforman lo que denominamos activos: la información. libros. Aunque cada vez se utilizan más los protocolos seguros (como SSH o Kerberos. de clave privada. necesitan recibir una protección adecuada para que sus negocios no sean perjudicados. correspondencias. informes.2. Para garantizar esta seguridad en las comunicaciones. aún es frecuente encontrar conexiones en texto claro ya no sólo entre máquinas de una misma subred. código de programación. dentro de los más importantes tenemos: documentos.

almacenamiento de la información. los equipos portátiles. procese o transmita la información de la empresa. tránsito y almacenamiento. En lo que se refiere al ambiente físico. los equipos de conectividad. Dentro de las posibles vulnerabilidades tenemos: Fallas eléctricas que dañen los equipos. atendiendo a los principios básicos de la seguridad de la información.4. los mainframes. Manuel LOPEZ ROBLES 18 . se consideran entre otros: salas y armarios donde están localizados los documentos. el cuadro de asignación de funcionarios. los servidores. otras aplicaciones y los usuarios se realice de forma segura. Dentro de las posibles vulnerabilidades se puede mencionar: Fallas publicadas de los sistemas operativos y las aplicaciones no reparadas pueden representar accesos indebidos a los equipos. Los activos que pertenecen a este grupo son: Cualquier equipo en el cual se almacene. la distribución de funciones y los flujos de información de la empresa. Organización: En este grupo se incluyen los aspectos que componen la estructura física y organizativa de las empresas. 2. Entre ellos citamos: las aplicaciones comerciales. enrutadores. Ejemplos de este tipo de activos son: las computadoras. sala de servidores de archivos. switchs y cualquier otro elemento de una red de computadoras por donde transita la información. Las aplicaciones deberán estar protegidas para que la comunicación entre las bases de datos. fototeca. robo de equipos portátiles. sistemas operativos. inundaciones en centros de cómputo. Como ejemplos de estructura organizativa tenemos entre otros: la estructura departamental y funcional. para detectar y corregir problemas existentes en la comunicación entre ellos. otros La seguridad de la información busca evaluar la forma en que se crean las aplicaciones. Son entradas usadas por hackers y virus.3. 2. Se refiere a la organización lógica y física que tiene el personal dentro de la empresa en cuestión. Ing. Hardware Estos activos representan toda la infraestructura tecnológica que brinda soporte a la información durante su uso. los medios de almacenamiento. cómo están colocadas a disposición y la forma como son utilizadas por los usuarios y por otros sistemas. programas institucionales.

Son amenazas deliberadas. Estas amenazas siempre existirán y están relacionadas a causas que representan riesgos. equipos o personas. Condiciones de la naturaleza y la intemperie que podrán causar daños a los activos. entendemos que uno de los objetivos de la seguridad de la información es impedir que las amenazas exploten puntos débiles y afecten alguno de los principios básicos de la seguridad de la información (integridad. estructura organizacional que no permita los cambios en materia de seguridad.  Intencionales. como consecuencia de ello. lo cual representa la probabilidad de que una amenaza se concrete por medio de una vulnerabilidad o punto débil. revisemos ahora su clasificación. 3. afectando sus negocios. tales como fuego. invasiones y ataques. fraudes. robos y hurtos de información. Tipos de Amenazas Las amenazas son constantes y pueden ocurrir en cualquier momento. las cuales pueden ser:  Causas naturales o no naturales  Causas internas o externas Por lo tanto. confidencialidad). Las mismas se podrán dividir en tres grandes grupos:  Amenazas naturales. Los activos están constantemente sometidos a amenazas que pueden colocar en riesgo la integridad. inundación. AMENAZAS Las amenazas son agentes capaces de explotar los fallos de seguridad que denominamos puntos débiles y. se basa en el concepto de riesgo. vandalismo. Manuel LOPEZ ROBLES 19 . disponibilidad.Dentro de las posibles vulnerabilidades se tiene: Ubicación insegura de documentos. Ing. confidencialidad y disponibilidad de la información. espionaje. Esta relación de frecuencia tiempo. sabotajes. terremotos. entre otras. causar pérdidas o daños a los activos de una empresa. 3.1. Dada la importancia de las amenazas y el impacto que puede tener para la información de las organizaciones. causando daños al negocio de las empresas.

con el objeto de reducir los riesgos a que está sometida. Entre las principales amenazas. muchas veces causadas por la falta de conocimiento en el uso de los activos. por tanto es importante conocer el marco general de cómo se clasifican las vulnerabilidades o puntos débiles que pueden hacer que esas amenazas impacten nuestro sistemas. Los puntos débiles son los elementos que. es decir. la integridad y la disponibilidad de la información. al ser explotados por amenazas. la divulgación de contraseñas y la acción de hackers están entre las más frecuentes. causando pérdidas o daños a los activos e impactos al negocio. comprometiendo los principios de la seguridad de nuestra información. Al ser identificados los puntos débiles. afectan la confidencialidad. Ing. Involuntarias. Uno de los primeros pasos para la implementación de la seguridad es rastrear y eliminar los puntos débiles de un ambiente de tecnología de la información. disponibilidad e integridad de la información de un individuo o empresa. la ocurrencia de virus. 4. Son amenazas resultantes de acciones inconscientes de usuarios. evitando así la concretización de una amenaza.2. será posible dimensionar los riesgos a los cuales el ambiente está expuesto y definir las medidas de seguridad apropiadas para su corrección. RIESGOS El riesgo es la probabilidad de que las amenazas exploten los puntos débiles. 3. tales como errores y accidentes. Puntos Débiles Las amenazas siempre han existido y es de esperarse que conforme avance la tecnología también surgirán nuevas formas en las que la información puede llegar a estar expuesta. afectando: La confidencialidad. por virus electrónicos. Podemos comprender ahora otro objetivo de la seguridad de la información: la corrección de puntos débiles existentes en el ambiente en que se usa la información. La existencia de puntos débiles está relacionada con la presencia de elementos que perjudican el uso adecuado de la información y del medio en que la misma se está utilizando. Los puntos débiles dependen de la forma en que se organizó el ambiente en que se maneja la información. Manuel LOPEZ ROBLES 20 .

constituyen una solución global y eficaz de la seguridad de la información. deberán existir medidas de seguridad específicas para el tratamiento de cada caso. se toman las medidas o acciones de seguridad que pueden ser de índole:  Preventivo. confidencialidad e integridad de la información. Orientado hacia la corrección de los problemas de seguridad conforme su ocurrencia. Ing. Administración de seguridad. 5. Orientado hacia la revelación de actos que pongan en riesgo la información. buscando los puntos débiles existentes. teniendo en mira evitar que una amenaza se vuelva realidad.Concluimos que la seguridad es una práctica orientada hacia la eliminación de las vulnerabilidades para evitar o reducir la posibilidad que las potenciales amenazas se concreten en el ambiente que se quiere proteger. al ser integradas. Estas medidas son el paso inicial para el aumento de la seguridad de la información en un ambiente de tecnología de la información y deberán considerar el todo. Entre las principales medidas se destacan: Análisis de riesgos. se deberá conocer el ambiente en sus mínimos detalles.  Correctivo. MEDIDAS DE SEGURIDAD Las medidas de seguridad son acciones orientadas hacia la eliminación de vulnerabilidades. Ya que existe una variedad de clases de puntos débiles que afectan la disponibilidad. con información disponible. Antes de la definición de las medidas de seguridad a ser adoptadas. Política de seguridad. Manuel LOPEZ ROBLES 21 . a través de medidas de seguridad que puedan tornar factible el negocio de un individuo o empresa con el menor riesgo posible. El principal objetivo es garantizar el éxito de la comunicación segura. Buscando evitar el surgimiento de nuevos puntos débiles y amenazas. Especificación de seguridad. íntegra y confidencial. Las medidas de seguridad son un conjunto de prácticas que.  Perceptivo. A partir de este conocimiento.

pues está orientada hacia la formación de hábitos. ACTIVIDADES  Determine las diferencias entre riesgo. por medio de manuales de instrucción y procedimientos operativos. De un ejemplo teniendo como referencia la red de computadoras de la Facultad de Ingenierías de la UPLA. por medio del detalle de sus elementos constituyentes y la forma con que los mismos deben estar dispuestos para atender a los principios de la seguridad de la información. perceptiva y correctiva. Es una medida que busca establecer los estándares de seguridad a ser seguidos por todos los involucrados con el uso y mantenimiento de los activos. Son medidas integradas para producir la gestión de los riesgos de un ambiente.  Especificación de seguridad.La seguridad de la información debe ser garantizada en una forma integral y completa de ahí que resulte de mucha utilidad conocer con un poco más de detalle estas cuatro medidas de seguridad que permiten movernos desde el análisis de riesgos hasta la administración de la seguridad:  Análisis de riesgos. en forma preventiva. Son medidas que tienen en mira instruir la correcta implementación de un nuevo ambiente tecnológico.  Política de seguridad. vulnerabilidad y amenaza.  Administración de la seguridad. Ing. Es una forma de suministrar un conjunto de normas para guiar a las personas en la realización de sus trabajos. Es el primer paso para aumentar la conciencia de la seguridad de las personas. Es una medida que busca rastrear vulnerabilidades en los activos que puedan ser explotados por amenazas. La administración de la seguridad involucra a todas las medidas mencionadas anteriormente.  Determine los mecanismos de prevención más habituales presentes en red de computadoras de la Facultad de Ingenierías de la UPLA. El análisis de riesgos tiene como resultado un grupo de recomendaciones para la corrección de los activos para que los mismos puedan ser protegidos.  Determine los tipos de amenazas presentes en la red de computadoras de la Facultad de Ingenierías de la UPLA. 6. con base en el ciclo de la seguridad que presentamos a continuación. Manuel LOPEZ ROBLES 22 .

el hardware y los datos. en cierta manera.7. daño o riesgo. entre otros. Lo cual evidencia que a pesar de las múltiples medidas de seguridad existen vulnerabilidades dentro de las políticas de seguridad que se pudieran implementar. están expuestos a diferentes amenazas.  Los mecanismos de seguridad se dividen en tres grandes grupos: de prevención. Dentro de los elementos que potencialmente pueden amenazar a nuestro sistema se tiene presente a personas.  Es vital Identificar la manera en que debemos visualizar los diferentes riesgos a los que está expuesta una empresa. previniendo la ocurrencia de violaciones a la seguridad. catástrofes. Manuel LOPEZ ROBLES 23 . Comprendimos los diferentes tipos de medidas de seguridad que podemos tomar en la empresa. entendida como el nivel de calidad del servicio ofrecido. dicho de otra forma.  Se entiende como seguridad una característica de cualquier sistema (informático o no) que indica que ese sistema está libre de todo peligro. se suaviza la definición de seguridad y se pasa a hablar de fiabilidad más que de seguridad. y que es. lo que nos permitirá reducirlos y aumentar la seguridad de los activos. ya sean preventivas. infalible. lo que genera miles de millones de dólares en perdidas. perceptivas o Ing. RESUMEN Se debe haber obtenido una comprensión adecuada de los siguientes puntos clave:  Las empresas son amenazadas constantemente en sus activos. para retornar a éste a su funcionamiento correcto. de detección y de recuperación. amenazas lógicas. la confiabilidad. Dado que esta característica es muy difícil de conseguir. Algunos estudios integran la seguridad dentro de una propiedad más general de los sistemas.  Los tres elementos principales a proteger en cualquier sistema informático son el software. Los mecanismos de prevención son aquellos que aumentan la seguridad de un sistema durante el funcionamiento normal de éste. Los mecanismos de recuperación son aquellos que se aplican cuando una violación del sistema se ha detectado. Contra cualquiera de los tres elementos descritos anteriormente se pueden realizar multitud de ataques o. Por mecanismos de detección se conoce a aquellos que se utilizan para detectar violaciones de la seguridad o intentos de violación.

Para poder proteger su sistema de red a qué tipo de mecanismo puede recurrir. BIBLIOGRAFÍA RECOMENDADA  Microsoft Training and Certification. Charlie. 2. 1. 2003. Indique cuales son los elementos principales a proteger. Determine los elementos que pueden atacar su sistemas. 2002 9. España. Alfaomega Editorial Rama. una Amenaza y un Riesgo.  Picouto Ramos. Diseño de Redes Seguras. Seguridad en Unix y Redes. Gerend Jason. Williams. Fernando. correctivas para aplicarlas y de esta forma disminuir los posibles impactos o daños resultados de los ataques. 2008. Asimismo determine que incluyen estos elementos. 8. Ing. Asimismo determine la diferencia entre estos dos términos. España. Determine la diferencia entre un Activo. 2000. NEXO La siguiente unidad se encarga de explicar los aspectos de la seguridad física que se debe tener presente en el funcionamiento de una red de computadoras. Manuel LOPEZ ROBLES 24 . 3. Windows 2003 Server. Antonio. España. Asimismo se menciona los tipos de seguridad presentes en la infraestructura y las estrategias de la protección de datos a tener presente.  Villaton Huerta. 10.  Russel. Mc Graw Hill. 5.  Stallings. Prentice Hall. Aplicaciones y Estándares. Sharon Crawford. AUTOEVALUACION FORMATIVA. Jean. Antonio. Fundamentos de Seguridad en Redes. Ramos Varón. asimismo indique las características de dichos elementos 4. Iñaki. Defina los términos seguridad y seguridad informática. Hacking y Seguridad en Internet. España. Prentice Hall Hispanoamericana. García Moran. Lorente Pérez. España 2004.

pero rara vez para prevenir la acción de un atacante que intenta acceder físicamente a la sala de operaciones o al lugar donde se depositan las impresiones del sistema. la seguridad física es un aspecto olvidado con demasiada frecuencia a la hora de hablar de seguridad informática en general. estos esfuerzos para proteger nuestra información no van a servir de nada. Hemos de ser conscientes de que la seguridad física es demasiado importante como para ignorarla: un ladrón que roba una computadora para venderlo. estos recursos son desde un simple teclado hasta una cinta de backup con toda la información que hay en el sistema. pasando por la propia cpu de la máquina. Además. si notan a través de medidas físicas que nuestra organización está preocupada por la seguridad probablemente abandonarán el ataque para lanzarlo contra otra red menos protegida. un incendio o un pirata que accede sin problemas a la sala de operaciones nos pueden hacer mucho más daño que un intruso que intenta conectar remotamente con una máquina no autorizada. en muchas organizaciones se suelen tomar medidas para prevenir o detectar accesos no autorizados o negaciones de servicio. no tienen interés específico sobre nuestros equipos. unas medidas de seguridad físicas ejercen un efecto disuasorio sobre la mayoría de piratas: como casi todos los atacantes de los equipos de estos entornos son casuales (esto es. no importa que utilicemos los más avanzados medios de cifrado para conectar a nuestros servidores. sino sobre cualquier equipo). Manuel LOPEZ ROBLES 25 . ni que hayamos definido una política de firewalling muy restrictiva: si no tenemos en cuenta factores físicos. UNIDAD ACADÉMICA Nº 02 SEGURIDAD FISICA La seguridad física de los sistemas informáticos consiste en la aplicación de barreras físicas y procedimientos de control como medidas de prevención y contramedidas contra las amenazas a los recursos y la información confidencial. Esto motiva que en determinadas situaciones un atacante se decline por aprovechar vulnerabilidades físicas en lugar de lógicas. ya que posiblemente le sea más fácil robar una cinta con una imagen completa del sistema que intentar acceder a él mediante fallos en el software. Desgraciadamente. en el caso de organismos con requerimientos de seguridad medios. Por ‘seguridad física’ podemos entender todos aquellos mecanismos – generalmente de prevención y detección – destinados a proteger físicamente cualquier recurso del sistema. Ing.

Por tanto. en una empresa ubicada en Tarma quizás parezca absurdo hablar de la prevención ante terremotos (por ser esta un área de bajo riesgo). Incluso sin llegar al extremo de desmontar la máquina. etc. evidentemente el nivel de seguridad física depende completamente del entorno donde se ubiquen los puntos a proteger (no es necesario hablar sólo de equipos. sino de cualquier elemento físico que se pueda utilizar para Ing. sin importar la robustez de nuestros cortafuegos. La seguridad física es necesaria para garantizar la seguridad global de la red y los sistemas conectados a ella. sin necesidad de privilegios en el sistema. Manuel LOPEZ ROBLES 26 . suelen poseer entre sus equipos máquinas muy caras. si no para evitar los problemas sí al menos para minimizar sus efectos. especialmente en las dedicadas tales como universidades. institutos tecnológicos. la persona que accede al equipo puede pararlo o arrancar una versión diferente del sistema operativo sin llamar mucho la atención. 1. pasando por modernos sistemas de transmisión de datos como la fibra óptica. en entornos de redes es absurdo hablar de la prevención ante un ataque nuclear. sin ni siquiera una clave de usuario. que quizás resulte algo exagerado en entornos clásicos donde hay cierta vigilancia. a cualquier sistema operativo – hace inútiles casi todas las medidas de seguridad que hayamos aplicado sobre ella: hemos de pensar que si un atacante puede llegar con total libertad hasta una estación puede por ejemplo abrir la CPU y llevarse un disco duro. pero en sistemas militares esta amenaza se ha de tener en cuenta. desde servidores con una gran potencia de cálculo hasta routers de última tecnología. centros de investigación. pero no sucederá lo mismo en una universidad situada en una zona sísmicamente activa. Son muchas las amenazas al hardware de una instalación informática. de la misma forma.Por ejemplo. 1. como un laboratorio o una sala de informática. el atacante podrá seguramente modificar la información almacenada. destruirla o simplemente leerla. Acceso Físico La posibilidad de acceder físicamente a una máquina en general. aquí se van a presentar algunas de ellas. sus posibles efectos y algunas soluciones. PROTECCIÓN DEL HARDWARE El hardware es frecuentemente el elemento más caro de todo sistema informático.1. las medidas encaminadas a asegurar su integridad son una parte importante de la seguridad física de cualquier organización.

2. normas tan elementales como cerrar las puertas con llave al salir de un laboratorio o un despacho o bloquear las tomas de red que no se suelan utilizar y que estén situadas en lugares apartados son en ocasiones más que suficientes para prevenir ataques. como laboratorios de prácticas. sucede lo mismo que con la seguridad lógica: se ha de ver toda la protección como una cadena que falla si falla su eslabón más débil. aparte de para controlar el acceso lógico a los sistemas. y también de todos los precios: desde analizadores de retina hasta videocámaras. otros muchos estarán en lugares de acceso semipúblico.3. para minimizar así sus efectos. Manuel LOPEZ ROBLES 27 . como cámaras de vigilancia de circuito cerrado o alarmas. Prevención Para prevenir un acceso físico no autorizado a un determinado punto hay soluciones para todos los gustos. 1. pasando por tarjetas inteligentes o control de las llaves que abren determinada puerta. en entornos más normales el esfuerzo en detectar estas amenazas se ha de centrar en las personas que utilizan los sistemas y en las que sin utilizarlos están relacionadas de cierta forma con ellos. Detección Cuando la prevención es difícil por cualquier motivo (técnico.amenazar la seguridad. humano) es deseable que un potencial ataque sea detectado cuanto antes. 1. Mientras que parte de los equipos estarán bien protegidos. en segundos. Pero no hay que irse a sistemas tan complejos para prevenir accesos físicos no autorizados. ya que lo más fácil y discreto para un atacante es acceder a uno de estos equipos y. por ejemplo los servidores de un departamento o las máquinas de los despachos. económico. como una toma de red apartada en cualquier rincón de un edificio de nuestra organización). intervienen medios técnicos. es justamente sobre estos últimos sobre los que debemos extremar las precauciones. aunque como comentaremos más tarde suelen resultar algo caros para utilizarlos masivamente en entornos de seguridad media. Aunque en la detección de problemas. lanzar un ataque completo sobre la red. generalmente accesos físicos no autorizados. para controlar el acceso físico. de todos ellos. quizás los más adecuados a la seguridad física sean los biométricos y los basados en algo poseído. Ing. Todos los modelos de autenticación de usuarios son aplicables.

ya que la probabilidad de que sucedan es tan baja que no merece la pena invertir dinero para minimizar sus efectos.Es importante concienciar a todos de su papel en la política de seguridad del entorno. simplemente por su localización geográfica. utilizar este servicio debe ser solamente un último recurso: generalmente en la mayoría de entornos no estamos tratando con terroristas. como laboratorios de investigación o centros de cálculo.4. no son estas las únicas amenazas relacionadas con la seguridad física. No se suelen tomar medidas serias contra los movimientos sísmicos. como veremos al hablar de inundaciones). Manuel LOPEZ ROBLES 28 . que a su vez puede avisar al servicio de seguridad si es necesario. Los terremotos son el desastre natural menos probable en la mayoría de organismos. pero que en caso de producirse puede acarrear gravísimas consecuencias. Si lo hacemos. donde los usuarios habituales suelen conocerse entre ellos y es fácil detectar personas ajenas al entorno. lo que con toda probabilidad lo inutilizará. Un problema que no suele ser tan habitual. Desastres Naturales En el anterior punto hemos hecho referencia a accesos físicos no autorizados a zonas o a elementos que pueden comprometer la seguridad de los equipos o de toda la red. tampoco es recomendable situar objetos pesados en superficies altas cercanas a los equipos. No obstante. por ejemplo. De la misma forma. No cuesta nada tomar ciertas medidas de prevención.  Terremotos. Esto es especialmente recomendable en lugares de acceso restringido. los monitores o los routers. es el derivado de los desastres naturales y su (falta de) prevención. sin embargo. Ing. Si cada vez que se sospecha de alguien se avisa al servicio de seguridad esto puede repercutir en el ambiente de trabajo de los usuarios autorizados estableciendo cierta presión que no es en absoluto recomendable. es muy recomendable no situar nunca equipos delicados en superficies muy elevadas (aunque tampoco es bueno situarlos a ras de suelo. ya que si lo que cae son esos objetos también dañarán el hardware. 1. si por ejemplo un usuario autorizado detecta presencia de alguien de quien sospecha que no tiene autorización para estar en una determinada estancia debe avisar inmediatamente al administrador o al responsable de los equipos. como las CPUs. un simple ¿puedo ayudarte en algo? suele ser más efectivo que un guardia solicitando una identificación formal. sino por fortuna con elementos mucho menos peligrosos. puede incluso ser conveniente (y barato) utilizar fijaciones para los elementos más críticos. un pequeño temblor puede tirar desde una altura considerable un complejo hardware.

muy pocos administradores se molestan en parar máquinas y desconectarlas ante una tormenta. por lo que directamente tiende a asumir que eso no le va a suceder nunca. cuando casi toda la plantilla está de vacaciones y sólo hay un par de personas de guardia. sin llegar a ser tan dramáticos. Si a esto añadimos lo que antes hemos comentado. Para evitar males mayores ante un terremoto. Las tormentas con aparato eléctrico. las tormentas poseen un lado positivo: son predecibles con más o menos exactitud. Sin embargo. pero si sucede un sábado por la noche nadie va a ir a la sala de operaciones a proteger a los equipos. Entonces. también es muy importante no situar equipos cerca de las ventanas: si se produce un temblor pueden caer por ellas. lo que las hace más peligrosas) generan subidas súbitas de tensión infinitamente superiores a las que pueda generar un problema en la red eléctrica. como veremos a continuación. Si cae un rayo sobre la estructura metálica del edificio donde están situados nuestros equipos es casi seguro que podemos ir pensando en comprar otros nuevos. y nadie antes se habrá tomado la molestia de protegerlos por una simple previsión meteorológica. Por tanto. tenemos el caldo de cultivo ideal para que una amenaza que a priori no es muy grave se convierta en el final de algunos de nuestros equipos. Además. ya que si el equipo estuviera cerca no tendría más que alargar el brazo para llevárselo. y menos a sus equipos. si el fenómeno sucede durante las horas de trabajo y la tormenta es fuerte.  Tormentas eléctricas. tanto es así que mucha gente ni siquiera ha visto caer cerca un rayo. el problema son los responsables de los equipos: la caída de un rayo es algo poco probable – pero no imposible – en una gran ciudad donde existen artilugios destinados justamente a atraer rayos de una forma controlada. Ing. Manuel LOPEZ ROBLES 29 . y en ese caso la pérdida de datos o hardware pierde importancia frente a los posibles accidentes – incluso mortales – que puede causar una pieza voluminosa a las personas a las que les cae encima. especialmente frecuentes en verano (cuando mucho personal se encuentra de vacaciones. la caída de un rayo en un lugar cercano puede inducir un campo magnético lo suficientemente intenso como para destruir hardware incluso protegido contra voltajes elevados. quizás sí que lo hace. que las tormentas se producen con más frecuencia en pleno verano. lo que permite a un administrador parar sus máquinas y desconectarlas de la línea eléctrica. ¿cuál es el problema? Aparte de las propias tormentas. situando los equipos alejados de las ventanas estamos dificultando las acciones de un potencial ladrón que se descuelgue por la fachada hasta las ventanas.

especialmente en sistemas de alta disponibilidad o de altas prestaciones. lo que. cuando en estos Ing. es el mayor error que se puede cometer si no hemos desconectado completamente el sistema eléctrico. esto. Manuel LOPEZ ROBLES 30 . por lo que es conveniente consultar los manuales de todos aquellos de los que tengamos dudas. puede transformar un pequeño contacto entre una persona y un circuito. donde un fallo en un componente puede ser crucial. no obstante. niveles de humedad elevados son perjudiciales para los equipos porque pueden producir condensación en los circuitos integrados. y apagar automáticamente los sistemas en caso de que se activen. ya que la mezcla de corriente y agua puede causar incluso la muerte a quien intente salvar equipos. ciertos equipos son especialmente sensibles a la humedad. Otro error común relacionado con los detectores de agua es situar a los mismos a un nivel superior que a los propios equipos a salvaguardar (¡incluso en el techo. o entre diferentes componentes de una máquina. Cierto grado de humedad es necesario para un correcto funcionamiento de nuestras máquinas: en ambientes extremadamente secos el nivel de electricidad estática es elevado. Conclusión: todos hemos de tomar más en serio a la Naturaleza cuando nos avisa con un par de truenos. lo que origina cortocircuitos que evidentemente tienen efectos negativos sobre cualquier elemento electrónico de una máquina. junto a los detectores de humo!). Controlar el nivel de humedad en los entornos habituales es algo innecesario. Tras apagar los sistemas podemos tener también instalado un sistema automático que corte la corriente: algo muy común es intentar sacar los equipos – previamente apagados o no – de una sala que se está empezando a inundar. nunca serán magnitudes comparables a lo que supone la pérdida de vidas humanas. que a primera vista parece lo lógico.  Inundaciones y humedad. en un daño irreparable al hardware y a la información. Quizás sea necesario utilizar alarmas que se activan al detectar condiciones de muy poca o demasiada humedad. contra las inundaciones las medidas más efectivas son las de prevención (frente a las de detección). No obstante. ya que por norma nadie ubica estaciones en los lugares más húmedos o que presenten situaciones extremas. podemos utilizar detectores de agua en los suelos o falsos suelos de las salas de operaciones. Por muy caro que sea el hardware o por muy valiosa que sea la información a proteger. Evidentemente. evidentemente. como veremos más tarde.

cortocircuitos. podemos sufrir daños en los equipos. Manuel LOPEZ ROBLES 31 . Otro problema. o si es demasiado rápida. 2. picos de tensión. Si la subida de tensión dura demasiado. Aunque un simple corte de corriente no suele afectar al hardware. provocando que la máquina permanezca apagada. Quizás los problemas derivados del entorno de trabajo más frecuentes son los relacionados con el sistema eléctrico que alimenta nuestros equipos. y que también se utilizan como filtros para ruido eléctrico. Medidas de protección menos sofisticadas pueden ser la instalación de un falso suelo por encima del suelo real. casos el agua llega al detector poco se puede hacer ya por las máquinas o la información que contienen. Lo normal es que estos picos apenas afecten al hardware o a los datos gracias a que en la mayoría de equipos hay instalados fusibles. si nuestra organización tiene problemas por el voltaje excesivo quizás sea conveniente instalar aparatos de estabilización de tensión. La forma más efectiva de proteger nuestros equipos contra estos problemas de la corriente eléctrica es utilizar una SAI (Servicio de Alimentación Ing. nuestras máquinas pueden sufrir daños. muchísimo más habitual que los anteriores en redes eléctricas modernas. lo más peligroso (y que sucede en muchas ocasiones) son las idas y venidas rápidas de la corriente. o simplemente tener la precaución de situar a los equipos con una cierta elevación respecto al suelo. cortes de flujo que a diario amenazan la integridad tanto de nuestro hardware como de los datos que almacena o que circulan por él. en esta situación. El problema menos común en las instalaciones modernas son las subidas de tensión. pero sin llegar a situarlos muy altos por los problemas que ya hemos comentado al hablar de terremotos y vibraciones. son los cortes en el fluido eléctrico que llega a nuestros equipos. Aunque en la mayoría de situaciones no es necesario su uso. DESASTRES DEL ENTORNO  Electricidad. existen acondicionadores de tensión comerciales que protegen de los picos hasta en los casos más extremos. conocidas como ‘picos’ porque generalmente duran muy poco: durante unas fracciones de segundo el voltaje que recibe un equipo sube hasta sobrepasar el límite aceptable que dicho equipo soporta. aparte de perder datos. elementos que se funden ante una subida de tensión y dejan de conducir la corriente.

y se transmite a través del espacio o de líneas eléctricas cercanas a nuestra instalación. Manuel LOPEZ ROBLES 32 . podemos instalar filtros en las líneas de alimentación que llegan hasta las computadoras. Un método efectivo contra los incendios son los extintores situados en el techo. si no tenemos más remedio que hacerlo. sin embargo este problema no es una incidencia directa de la corriente en nuestros equipos. pero que quedara destrozado por el agua expulsada. pero también puede serlo por otras computadoras o por multitud de aparatos. cortes y bajadas de tensión. sino durante un cierto tiempo – el necesario para detener el sistema de forma ordenada)  Ruido eléctrico. utilizaban agua para apagar las llamas. Para prevenir los problemas que el ruido eléctrico puede causar en nuestros equipos lo más barato es intentar no situar hardware cercano a la maquinaria que puede causar dicho ruido. Visto este problema. Algunos de ellos. tienen capacidad para seguir alimentando las máquinas incluso en caso de que no reciban electricidad (evidentemente no las alimentan de forma indefinida. los más antiguos. aunque la causa de un fuego puede ser un desastre natural. protegiendo así los 0equipos de subidas. El ruido eléctrico suele ser generado por motores o por maquinaria pesada. lo habitual en muchos entornos es que el mayor peligro de incendio provenga de problemas eléctricos por la sobrecarga de la red debido al gran número de aparatos conectados al tendido. que se activan automáticamente al detectar humo o calor. o al menos en la planta. a mitad de los ochenta se comenzaron a utilizar extintores. Un simple cortocircuito o un equipo que se calienta demasiado pueden convertirse en la causa directa de un incendio en el edificio. y con ellos el humo. sino una incidencia relacionada con la corriente de otras máquinas que pueden afectar al funcionamiento de la nuestra. donde se encuentran invertidos millones de pesetas en equipamiento.  Incendios y humo. Ininterrumpido) conectada al elemento que queremos proteger. Dentro del apartado anterior podríamos haber hablado del ruido eléctrico como un problema más relacionado con la electricidad. Una causa casi siempre relacionada con la electricidad son los incendios. especialmente muchos de los instalados en los laboratorios de organizaciones. lo que provocaba que el hardware no llegara a sufrir los efectos del fuego si los extintores se activaban correctamente. Estos dispositivos mantienen un flujo de corriente correcto y estable de corriente. este Ing.

Quizás ante un incendio el daño provocado por el humo sea insignificante en comparación con el causado por el fuego y el calor. sin elementos que obstruyan los ventiladores de la CPU. La organización física del computador también es decisiva para evitar sobrecalentamientos: si los discos duros.  Temperaturas extremas. aunque pequeñas variaciones en este rango tampoco han de influir en la mayoría de sistemas. generalmente todos tenemos el cenicero cerca de los equipos. perjudican gravemente a todos los equipos. desde el teclado hasta el monitor. por lo que el humo afecta directamente a todos los componentes. sería conveniente no permitir esto. Otra condición básica para el correcto funcionamiento de cualquier equipo que éste se encuentre correctamente ventilado. Es recomendable que los equipos operen entre 10 y 32 grados Celsius. PROTECCIÓN DE LOS DATOS La seguridad física también implica una protección a la información de nuestro sistema. No hace falta ser un genio para comprender que las temperaturas extremas. por lo que resulta ideal para no dañar los equipos. se encuentran excesivamente cerca de la memoria RAM. es muy probable que los módulos acaben quemándose. Para controlar la temperatura ambiente en el entorno de operaciones nada mejor que un acondicionador de aire. en un incendio existe un tercer elemento perjudicial para los equipos: el humo. incluso al ser algo más habitual que un incendio. Aunque muchos no apliquemos esta regla y fumemos demasiado – siempre es demasiado – delante de nuestros equipos. pero hemos de recordar que puede existir humo sin necesidad de que haya un fuego: por ejemplo. 3. elementos que pueden alcanzar temperaturas considerables. tanto a la que está almacenada en él como a la que se transmite entre Ing. aparte de la suciedad generada que se deposita en todas las partes de una computadora. ya sea un calor excesivo o un frío intenso. Aparte del fuego y el calor generado. se puede considerar más perjudicial – para los equipos y las personas – el humo del tabaco que el de un fuego. Manuel LOPEZ ROBLES 33 . aparato que también influirá positivamente en el rendimiento de los usuarios (las personas también tenemos rangos de temperaturas dentro de los cuales trabajamos más cómodamente). en salas de operaciones donde se fuma. compuesto no conduce electricidad ni deja residuos. un potente abrasivo que ataca especialmente los discos magnéticos y ópticos.

de forma que un atacante puede capturar información privilegiada y claves para acceder a más información sin que nadie se de cuenta hasta que dicho atacante utiliza la información capturada. convirtiendo el ataque en activo. Contra estos ataques existen diversas soluciones. denominados sniffers de alta impedancia. Tampoco debemos descuidar la toma de redes libres. a los datos de nuestra organización. lugares idóneos para que un atacante conecte uno de estos aparatos y capture todo nuestro tráfico. consistente en capturar tramas que circulan por la red mediante un programa ejecutándose en una máquina conectada a ella o bien mediante un dispositivo que se engancha directamente el cableado. Aunque los apartados comentados en la anterior sección son aplicables a la protección física de los datos (ya que no olvidemos que si protegemos el hardware también protegemos la información que se almacena o se transmite por él). Un medio de interceptación bastante habitual es el sniffing. en estos existe una solución generalmente gratuita pero que no tiene mucho que ver con el nivel físico: el uso de aplicaciones de cifrado para realizar las comunicaciones o el almacenamiento de la información (hablaremos más adelante de algunas de ellas). Estos dispositivos. esta captación puede realizarse por muchísimos medios. lo más peligroso del eavesdropping es que es muy difícil de detectar mientras que se produce. donde un intruso con un portátil puede conectarse para capturar tráfico.diferentes equipos. la más barata a nivel físico es no permitir la existencia de segmentos de red de fácil acceso. Manuel LOPEZ ROBLES 34 . también conocida por passive wiretapping es un proceso mediante el cual un agente capta información – en claro o cifrada – que no le iba dirigida. No obstante esto resulta difícil en redes ya instaladas. es recomendable analizar regularmente nuestra red para verificar que todas las máquinas activas están autorizadas. aparte de a los elementos físicos. se conectan en paralelo con el cable de forma que la impedancia total del cable y el aparato es similar a la del cable solo. lo que hace difícil su detección.1. donde no podemos modificar su arquitectura. Aunque es en principio un ataque completamente pasivo. 3. Ing. sino simplemente conseguir la información almacenada en dicho medio. Eavesdropping La interceptación o eavesdropping. existen ataques cuyo objetivo no es destruir el medio físico de nuestro sistema. hay ciertos aspectos a tener en cuenta a la hora de diseñar una política de seguridad física que afectan principalmente.

esto. También se puede utilizar. aunque en este caso descentralicemos la seguridad y tengamos que proteger el lugar donde almacenamos los backups igual que Ing. rompe el vacío o el nivel de presión y el ataque es detectado inmediatamente. En este caso extremo tendremos que unir al problema de perder todos nuestros equipos – que seguramente cubrirá el seguro. resulta recomendable guardar las copias de seguridad en una zona alejada de la sala de operaciones. esto es. esta solución es enormemente cara y solamente se aplica en redes de perímetro reducido para entornos de alta seguridad. Como podemos ver. 3. por lo que no se puede considerar una catástrofe – el perder también todos nuestros datos. que en principio puede parecer correcto (y cómodo si necesitamos restaurar unos archivos) puede convertirse en un problema: imaginemos simplemente que se produce un incendio de grandes dimensiones y todo el edificio queda reducido a cenizas. si un atacante intenta ‘pinchar’ el cable para interceptar los datos. ya que es muchísimo más cara que utilizar implementaciones software de tales algoritmos y en muchas ocasiones la única diferencia entre los programas y los dispositivos de cifra es la velocidad. Un error muy habitual es almacenar los dispositivos de backup en lugares muy cercanos a la sala de operaciones. generalmente chips que implementan algoritmos como des. el tema que vamos a tratar en este apartado es la protección física de la información almacenada en backups. ni tampoco de los mecanismos necesarios para implementarla o las precauciones que hay que tomar para que todo funcione correctamente. esta solución es muy poco utilizada en entornos de redes de computadoras. Como decimos. Hemos de tener siempre presente que si las copias contienen toda nuestra información tenemos que protegerlas igual que protegemos nuestros sistemas. Backups En este apartado no vamos a hablar de las normas para establecer una política de realización de copias de seguridad correcta. de la protección de los diferentes medios donde residen nuestras copias de seguridad.2. Manuel LOPEZ ROBLES 35 .Como soluciones igualmente efectivas contra la interceptación a nivel físico podemos citar el uso de dispositivos de cifrado. como solución más cara. tanto los almacenados en los discos como los guardados en backups (esto evidentemente no hay seguro que lo cubra). cuando no en la misma sala. el cableado en vacío para evitar la interceptación de datos que viajan por la red: la idea es situar los cables en tubos donde artificialmente se crea el vacío o se inyecta aire a presión.

pero sin conocer el código sea difícil imaginar su contenido. siempre es más difícil disimular una carretilla llena de cintas de 8mm que una pequeña unidad guardada en un bolsillo. se necesita cierta información en cada cinta backup para poder clasificarlas. igual que para un administrador es fácil encontrar el backup deseado también lo es para un intruso que consiga acceso a las cintas. sistema al que corresponde). se puede diseñar cierta codificación que sólo conozcan las personas responsables de las copias de seguridad. facturas telefónicas o la propia documentación de una máquina. 3. Evidentemente. si nos paramos a pensar. conseguir una clave del sistema o chantajear a un operador: nosotros mismos le estamos poniendo en bandeja toda nuestros datos. Imaginemos una situación muy típica en que un usuario. pero olvidan que esa información también puede encontrarse en lugares menos obvios. Y si aún pensamos que alguien puede sustraer todas las copias. como listados de impresora. por ejemplo. Otros Elementos En muchas ocasiones los responsables de seguridad de los sistemas tienen muy presente que la información a proteger se encuentra en los equipos. algo que en ocasiones puede resultar caro. día y hora de la realización. pero esa información nunca debe ser algo que le facilite la tarea a un atacante. documento que ya de entrada ningún operador comprueba – y quizás no pueda comprobar. en las copias de seguridad o circulando por la red (y por lo tanto toman medidas para salvaguardar estos medios). simplemente tenemos que realizar backups cifrados y controlar más el acceso al lugar donde las guardamos. Aunque en un caso extremo el atacante puede llevarse todos nuestros backups para analizarlos uno a uno. no necesita saltarse nuestro cortafuegos.protegemos la propia sala o los equipos situados en ella. esto tiene una parte positiva y una negativa. de forma que cada cinta vaya convenientemente etiquetada. Manuel LOPEZ ROBLES 36 . ya Ing. imprime en el servidor un documento de cien páginas. por lo que si el acceso a las mismas no está bien restringido un atacante lo tiene fácil para sustraer una cinta con toda nuestra información. recuperar un fichero es rápido: sólo tenemos que ir leyendo las etiquetas hasta encontrar la cinta adecuada. Por un lado.3. desde su terminal o el equipo de su despacho. Sin embargo. También suele ser común etiquetar las cintas donde hacemos copias de seguridad con abundante información sobre su contenido (sistemas de ficheros almacenados.

lugar al que cualquier persona puede acceder con total libertad y llevarse la impresión. el administrador lleva el documento fuera de la sala de operaciones. plotters. Manuel LOPEZ ROBLES 37 . simplemente darse un paseo por el lugar donde depositamos las impresiones. en grandes sistemas (imaginemos que en una máquina con cinco mil usuarios obligamos a todo aquél que va a recoger una impresión a identificarse y comprobamos que la identificación es correcta antes de darle su documento. o simplemente descubrir. todas estas informaciones pueden ser de gran utilidad para un atacante. e incluso en centros de proceso de datos. junto a los documentos que otros usuarios han imprimido – y con los que se ha seguido la misma política – en una estantería perdida en un pasillo. leerla o simplemente curiosear las portadas de todos los documentos. obtener información sobre nuestros sistemas de ficheros y las horas a las que los usuarios suelen trabajar. donde a priori ha de haber una mayor concienciación por la seguridad informática. faxes. no es ni más ni menos la política que se sigue en muchas organizaciones hoy en día. pone como portada una hoja con los datos del usuario en la máquina (login perfectamente visible. hay que tomar medidas contra estos problemas. hora en que se lanzó) y lo deja. Esto. En primer lugar. de repente. que por si fuera poco no tiene que hacer nada para obtenerlas. Así. simplemente pasando por delante de la estantería. cualquiera puede robar una copia de un proyecto o un examen. aunque quizás esto puede ser imposible. Cuando la impresión finaliza. siempre es conveniente demostrar cierto grado de interés por el destino de lo que sale por nuestra impresora: sin llegar a realizar un control férreo. diez o veinte nombres válidos de usuario en nuestras máquinas. a nadie se le escapan bastante problemas de seguridad derivados de esta política: sin entrar en lo que un usuario pueda imprimir – que repetimos. o cualquier dispositivo por el que pueda salir información de nuestro sistema ha de estar situado en un lugar de acceso restringido. con toda seguridad necesitaríamos una persona encargada exclusivamente de este trabajo). o al menos ético. curiosear –. o al menos muy difícil. si un atacante sabe que el acceso a los documentos está mínimamente controlado se lo pensará dos veces antes de intentar conseguir algo que otro usuario ha imprimido.que se puede comprometer la privacidad del usuario – pero que puede contener. las impresoras. quizás no sea legal. una copia de nuestro fichero de contraseñas. Ing. nombre del fichero. teletipos. Sería conveniente que un usuario que recoge una copia se acredite como alguien autorizado a hacerlo. Evidentemente. también es conveniente que sea de acceso restringido el lugar donde los usuarios recogen los documentos que lanzan a estos dispositivos. que a muchos les puede parecer una exageración. disimuladamente.

Aunque es conveniente no destruir ni dejar a la vista de todo el mundo esta información. desastres naturales.  Haga una comparación entre los desastres de entorno presentes en la red de computadoras de la Facultad de Ingenierías de la UPLA. como ciertos manuales (proporcionan versiones de los sistemas operativos utilizados).  El hardware es frecuentemente el elemento más caro de todo sistema informático. desastres de entorno. técnicas de prevención. 4. si queremos eliminarla no podemos limitarnos a arrojar documentos a la papelera.  Realice una comparación entre las técnicas de protección de datos existente en la red de computadoras de la Facultad de Ingenierías de la UPLA. Ing. la seguridad física es un aspecto olvidado con demasiada frecuencia a la hora de hablar de seguridad informática en general. estrategias de detección. Son muchas las amenazas al hardware de una instalación informática que van desde el acceso físico. 5. Desgraciadamente. facturas de teléfono del centro (pueden indicar los números de nuestros módems) o agendas de operadores (revelan los teléfonos de varios usuarios. RESUMEN Se debe haber obtenido una comprensión adecuada de los siguientes puntos clave:  La seguridad física de los sistemas informáticos consiste en la aplicación de barreras físicas y procedimientos de control como medidas de prevención y contramedidas contra las amenazas a los recursos y la información confidencial. Manuel LOPEZ ROBLES 38 . ACTIVIDAD  Haga una comparación de las necesidades de protección del hardware existente en la red de computadoras de la Facultad de Ingenierías de la UPLA. pero rara vez para prevenir la acción de un atacante que intenta acceder físicamente a la sala de operaciones o al lugar donde se depositan las impresiones del sistema. en muchas organizaciones se suelen tomar medidas para prevenir o detectar accesos no autorizados o negaciones de servicio. técnicas de protección de datos.Elementos que también pueden ser aprovechados por un atacante para comprometer nuestra seguridad son todos aquellos que revelen información de nuestros sistemas o del personal que los utiliza. algo muy provechoso para alguien que intente efectuar ingeniería social contra ellos).

así como no es recomendable etiquetar las cintas donde hacemos copias de seguridad con abundante información sobre su contenido. BIBLIOGRAFÍA RECOMENDADA  Microsoft Training and Certification. 6. Antonio. Lorente Pérez. Charlie. también conocida por passive wiretapping es un proceso mediante el cual un agente capta información.  Russel. 2008. AUTOEVALUACION FORMATIVA. Mc Graw Hill. Manuel LOPEZ ROBLES 39 .  El realizar copias Backups periódicas de la información existente en las redes de computadoras favorecerá grandemente a que una empresa siga desarrollando sus actividades. Así es igual de importante cuidarse de la interceptación o eavesdropping. Seguridad en Unix y Redes. 2003. Gerend Jason. Antonio. ¿Qué medidas de protección del hardware se pueden adoptar en la red de computadoras? Ing.  Villaton Huerta. España. NEXO La siguiente unidad se encarga de explicar los criterios de evaluación de los riesgos relativos a la seguridad que se toman presente en una red de computadoras. España. 8. 2000. Ramos Varón. sin embargo los dispositivos backup no deben almacenarse en lugares muy cercanos a la sala de operaciones. García Moran. Fernando. España. cuando no en la misma sala. Diseño de Redes Seguras. Jean. 1. Hacking y Seguridad en Internet. Iñaki. La seguridad física también implica una protección a la información de nuestro sistema. Alfaomega Editorial Rama. Prentice Hall Hispanoamericana.  Picouto Ramos. Windows 2003 Server. Sharon Crawford. España. 2002 7. tanto a la que está almacenada en él como a la que se transmite entre diferentes equipos.

Que etapas se pueden considerar oportunas para mantener una adecuada estrategia de protección de hardware. que tipo de situaciones amenazarían una red de computadoras. 4. 3. ¿A que se denomina Eavesdroppin? 5. Manuel LOPEZ ROBLES 40 .2. ¿Qué ventajas me ofrece una cinta backup? Ing. Ante un escenario de la ciudad de Huancayo.

Los datos públicos son información gratuitamente disponible. Dichos riesgos pueden provenir de diversas amenazas. Las organizaciones cuya información pública es deformada o queda comprometida pueden sufrir pérdidas de prestigio. los datos almacenados en la red y los servicios proporcionados por la misma tienen que estar protegidos. Los datos internos. Manuel LOPEZ ROBLES 41 . Muchas compañías confían en la integridad de la información de sus sitios Web como base para su negocio. y pérdida de acceso. o que varios usuarios impidan el acceso al sitio Web de una organización para interrumpir su servicio. Denial of Service). Como cualquier otro activo de una organización. son datos que se utilizan en la operación habitual de una organización. Después de definir claramente los riesgos y las amenazas. Los datos internos necesitan protección ante una modificación accidental por parte de los usuarios internos y ante su exposición a usuarios Ing. Los tipos de datos son:  Datos Públicos. IDENTIFICACIÓN DE LOS RIESGOS PARA LOS DATOS Los distintos tipos de datos de una red son vulnerables a diversos riesgos.  Datos Internos. confianza e ingresos. Al diseñar una estrategia de seguridad para una red Microsoft® Windows®. El examen de los datos de la red le ayudará a identificar los riesgos asociados con los datos y las medidas que puede tomar para proteger los datos. La integridad de los datos públicos es muy importante. tiene que evaluar los riesgos asociados con los datos almacenados en la red y las posibles amenazas a los datos. Por ejemplo. normalmente conocido como ataque de denegación de servicio (DoS. puede que algunas personas obtengan y utilicen permisos inadecuados y tengan acceso a datos restringidos. como la información de la compañía en el sitio Web de una organización. puede utilizar las características de seguridad de Windows para proteger los datos. 1. como los estudios de mercado o los procedimientos internos. UNIDAD ACADÉMICA Nº 03 RIESGOS RELATIVOS A LA SEGURIDAD Las redes de equipos y los datos almacenados en dichas redes son vulnerables a dos tipos básicos de riesgos: pérdida o divulgación de datos.

El acceso a los datos confidenciales suele estar limitado a usuarios seleccionados y la capacidad para modificar la información confidencial está limitada a menos usuarios aún. Identificación de riesgos de datos.  Datos Secretos. es información interna que se mantiene en privado para la mayor parte de los usuarios internos. como los servicios de comercio Ing. externos. como la información de nóminas. pero su divulgación puede afectar seriamente al funcionamiento diario y la confianza interna dentro de la organización. Los datos secretos hacen referencia a secretos comerciales y otros tipos de propiedad intelectual pertenecientes a una organización.  Datos Confidenciales. Los datos secretos deben estar protegidos contra su modificación y contra cualquier tipo de acceso no autorizado. La pérdida o divulgación de los datos de secretos internos puede verse como inaceptable o puede causar daños críticos en la organización. Este tipo de datos podría tener menor valor fuera de la organización. Los datos confidenciales. Figura 1. Manuel LOPEZ ROBLES 42 . Los daños o la pérdida de datos internos puede causar pérdidas o la interrupción de las operaciones. Identificación de los Riesgos para los Servicios Las redes son vulnerables a ataques que bloquean el acceso normal a los datos o el acceso a servicios y aplicaciones específicos de la red. 1.1.

Los ataques internos son una de las más graves y más comunes amenazas para una red. bloquear el acceso a los mismos o destruirlos. A menudo. como servidores o aplicaciones distribuidas. Después de que el atacante ha obtenido acceso a la red. pueden poner los datos y los servicios en riesgo al leer o copiar datos. Un ataque DoS dirigido contra un sitio Web de comercio electrónico puede cerrar efectivamente el sitio. Otros tipos de ataques causan que el servidor ejecute tareas innecesarias que disminuyen el rendimiento del servidor o hacen que no responda. Los ataques internos pueden variar desde la lectura de datos restringidos hasta el robo o la destrucción de datos. Otras amenazas pueden estar destinadas automáticamente a cualquier equipo vulnerable de una red. Otros tipos de ataques DoS pueden frenar o detener el correcto funcionamiento de las intranets internas e impedir que una organización tenga acceso a servicios internos. Un ataque DoS puede provocar una comprometedora pérdida de los servicios ofrecidos por una organización y también puede causar pérdidas de ingresos. Los ataques internos son un riesgo más probable debido a Ing. Algunos tipos de ataques DoS van dirigidos contra puntos débiles conocidos de los servidores para hacer que funcionen incorrectamente. 1.2. Algunas amenazas tienen su origen sencillamente en la curiosidad o de forma accidental. Identificación de las Amenazas Posibles Las amenazas para una red se inician obteniendo acceso a la red y los recursos de la red. impidiendo así que otros servicios esenciales funcionen adecuadamente. estos accesos a la red tienen lugar a través del engaño. 1.electrónico. Ataque Interno Un ataque interno es un ataque realizado por una persona o un grupo dentro de una organización. Los ataques internos se producen cuando un usuario legítimo intenta tener acceso a recursos de la red de forma ilegítima. normalmente conocido como ingeniería social. Los ataques DoS pueden desbordar una red de equipos con más información de la que puede procesar la red. Las amenazas se pueden originar internamente en usuarios de la red o externamente desde otros orígenes. lo que causaría pérdidas de ingresos. Manuel LOPEZ ROBLES 43 .3. A estos tipos de ataques se les suele denominar colectivamente ataques DoS.

que el atacante puede utilizar para obtener acceso a la red. se basa en la capacidad de comunicación del atacante para engañar a los usuarios de la red. Manuel LOPEZ ROBLES 44 . Los atacantes que emplean técnicas de ingeniería social suelen utilizar el teléfono para convencer a los usuarios de la red de que son asociados en los que pueden confiar. 1. Ataque interno.4. como contraseñas. Figura 2. Ing. en su lugar. Después de que el usuario de la red cree que la falsa identidad del atacante es legítima.que los atacantes ya tienen algún grado de acceso a la red dentro de la organización y pueden estar familiarizados con las implementaciones de seguridad existentes en la red. personal del departamento de tecnología de la información o supervisores. el usuario de la red puede revelar datos o información confidencial. Ingeniería Social La ingeniería social describe las acciones tomadas por farsantes o embaucadores para obtener la información necesaria para tener acceso a una red. como compañeros. La ingeniería social ignora totalmente la tecnología y.

Algunos ataques intentan sabotear la red de la organización mediante la destrucción de sus datos o mediante un ataque DoS. Figura 3. Manuel LOPEZ ROBLES 45 . Ataque de Ingeniería social 1.5. Ataque Organizativo Los ataques organizativos son operaciones que una organización inicia contra otra. Figura 4. Los ataques pueden intentar adquirir información confidencial que puede dar al atacante una ventaja comercial o competitiva. Ataque Organizativo Ing.

Los permisos inadecuados pueden permitir que los usuarios lean o modifiquen no intencionadamente archivos restringidos. también pueden conducir a excesos en la delegación de permisos. Brecha de Seguridad Accidental Las brechas de seguridad accidentales ocurren cuando usuarios autorizados reciben por error permisos para tener acceso a recursos restringidos.Los ataques organizativos dependen generalmente de la búsqueda y explotación del acceso a la red de la organización por parte del atacante. Estos permisos no adecuados o incorrectos se suelen adquirir porque una cuenta de usuario se encuentra en un grupo de seguridad que concede al usuario permisos excesivos. Brecha de Seguridad Accidental Las directivas administrativas que conceden permisos a usuarios individuales. el atacante puede tener acceso a secretos comerciales organizativos o corporativos. modifiquen otras cuentas de usuario o posiblemente destruyan o dañen datos y archivos del sistema. Las cuentas de usuario individuales son más difíciles de administrar que los grupos. como una conexión no protegida entre la intranet de una organización y una red pública como Internet. Figura 5. Manuel LOPEZ ROBLES 46 . en lugar de sólo a grupos. 1. Ing. Después de establecer el acceso a la red. o a otro tipo de propiedad intelectual almacenada en la red de la organización.6.

Manuel LOPEZ ROBLES 47 . un ataque DDoS puede desbordar los recursos informáticos de una organización en un intento de interrumpir o deshabilitar temporalmente la red. Los atacantes pueden ejecutar un ataque de denegación de servicio distribuido (DDoS. Al utilizar muchos equipos a la vez. Los ataques van destinados contra una compañía u organización específica. Distributed Denial of Service) contra una organización utilizando muchos equipos al mismo tiempo. o están configurados para probar Internet en busca de equipos no protegidos. Los ataques automatizados también pueden ocurrir en redes públicas como Internet. Los ataques con un equipo suelen ser destructivos por naturaleza. 1. Los ataques automatizados ocurren generalmente a través de conexiones telefónicas a una red descubierta por el software de ataque automatizado. Ataque Automatizado con un Equipo Los ataques automatizados con un equipo utilizan software diseñado para adivinar contraseñas u omitir otras defensas de seguridad y obtener acceso a una red.7. Ataque Automatizado con un Equipo Ing. contando con la colaboración de los propietarios de los equipos o tomando el control de equipos no protegidos.Los permisos se deben administrar y mantener con mucho cuidado para evitar conceder a los usuarios accesos inadecuados a los recursos. Figura 6.

Ambos proporcionan un medio para medir con precisión la seguridad relativa de una red y sus componentes. 2. Los niveles se pueden utilizar para certificar configuraciones de redes completas que cumplen ciertos estándares o para evaluar productos específicos. el sistema operativo evaluado podría distribuirse de tal forma que la red no se pueda certificar. INTRODUCCIÓN A LOS ESTÁNDARES DE SEGURIDAD COMUNES Se utilizan niveles de seguridad establecidos por organizaciones públicas y privadas para describir la efectividad de productos relacionados con la seguridad de los equipos. Los estándares comunes que se utilizan para medir el software incluyen la evaluación ICSA y otros estándares internacionales. Un buen plan de certificación cubre todos los aspectos de la seguridad. Sin embargo. como sistemas operativos.  Certificación. Manuel LOPEZ ROBLES 48 .  Evaluación. software y hardware. Si el hardware o el software cambia o se vuelve a configurar.2. puede que la certificación deje de ser válida. incluidas las configuraciones específicas de hardware y software que se utilizan en el sistema. Evaluación y Certificación Hay dos métodos diferentes para evaluar la seguridad de una red y sus componentes: evaluación y certificación. Una evaluación se aplica sólo a un producto de software e indica la capacidad del software para proporcionar una buena seguridad. Evaluación hace referencia al nivel de un programa de software específico. Los niveles comunes de la industria asisten a los administradores y los arquitectos en el diseño de sistemas de seguridad completos al establecer un estándar contra el que se pueden medir los productos. La evaluación de la seguridad de un producto de software significa que el producto ha sido validado para proporcionar buena seguridad si se configura y se utiliza correctamente.1. Ing. desde los mecanismos de copia de seguridad y restauración hasta la seguridad física de las instalaciones de una organización. Certificación es la medida de una implementación específica de un sistema de equipo.

Cuando diseñe redes protegidas en otros países o cuando diseñe una red de área extensa (WAN. El proceso de evaluación de ICSA se aplica a cuatro tipos de productos de seguridad para Internet:  Software de servidores de seguridad  Software de Seguridad de protocolo Internet (IPSec. Evaluación ICSA ICSA (no es un acrónimo) es una compañía privada que evalúa la seguridad comercial de productos mediante su división ICSA Labs. Estándares Internacionales Muchos gobiernos han desarrollado estándares para la evaluación de sistemas operativos y la certificación de instalaciones de redes. En Canadá. EE. 2. ITSEC ha establecido niveles que son equivalentes funcionales del sistema de certificación C2 que NCSC y la Agencia Nacional de Seguridad han establecido en los EE. Los criterios de evaluación cambian anualmente para reflejar las amenazas que se van descubriendo.2. el Reino Unido. Common Criteria for Information Ing. Los estándares de seguridad varían de un país a otro.2. Wide Area Network) de alcance global. Alemania.UU.. Francia y Holanda. Internet Protocol Security)  Software antivirus  Software de cifrado La evaluación de ICSA es un proceso en el que los productos se vuelven a evaluar anualmente para que cumplan los criterios más actuales. Puede obtener más información en http://www. deberá investigar los estándares y requisitos de cada país y diseñar las medidas de seguridad de acuerdo con ellos. En enero de 1996. Information Technology Security Evaluation Criteria (ITSEC o Criterios de evaluación de la seguridad en tecnología de la información) es el equivalente europeo de National Computer Security Center (NCSC) e incorpora estándares para el Reino Unido.3. Alemania. Manuel LOPEZ ROBLES 49 .cse-cst.ca.gc. Francia. Communications Security Establishment (CSE) es una agencia federal que ha establecido el estándar Canadian Common Criteria Scheme.UU. ICSA se conocía anteriormente como National Computer Security Association (NCSA). Canadá y Holanda publicaron un estándar de evaluación desarrollado conjuntamente conocido como Criterios comunes para la evaluación de la seguridad en tecnología de la información (CCITSE.

Technology Security Evaluation). normalmente conocido como Criterios comunes. 3. Diseño de seguridad de la red. Cada unidad consta de varios módulos que tratan los aspectos de seguridad relacionados con cada nivel de acceso. Dichos niveles de acceso reflejan las ubicaciones de los usuarios y el nivel de acceso a la red que dichos usuarios requieren. 3. Red local Los usuarios de la red local tienen acceso a la red directamente desde las oficinas de la organización. cada uno con requisitos de seguridad diferentes. Hay cuatro niveles generales de acceso a una red. Los niveles de acceso a la red incluyen:  Red local  Red remota  Red pública  Acceso de asociados Este curso trata los cuatro niveles de acceso en cuatro unidades. Figura 7. DISEÑO DE LA SEGURIDAD DE LA RED Al diseñar la seguridad de una red. Manuel LOPEZ ROBLES 50 .1. La protección de la red local proporciona la base para las demás Ing. debe tener en cuenta cómo y desde qué ubicaciones tendrán acceso los usuarios a la red.

El diseño y la colocación de las cuentas de usuario en el servicio de directorio Active Directory™ de Windows también determinará cómo los usuarios pueden tener acceso a los recursos.medidas de seguridad y los aspectos de seguridad tratados son comunes a todos los aspectos de la seguridad de la red. Figura 8. como Internet. además de los recursos de archivo e impresión ubicados en dichos equipos. La activación del acceso remoto a la red presenta problemas de seguridad relacionados con el acceso no autorizado y el uso de datos interceptados. Ing.2. El acceso remoto se suele proporcionar a través de servicios telefónicos. Para proteger los permisos. debe diseñar cuidadosamente las cuentas administrativas y las configuraciones. Red Remota Los usuarios móviles y las sucursales de su organización pueden requerir acceso remoto a la red. La red local debe estar protegida para que los usuarios que inician sesión en la red física no puedan tener acceso no adecuado a ciertos datos. La protección de las líneas de comunicación entre los equipos ayuda a garantizar que el tráfico de la red no se puede interceptar o utilizar. Red Local 3. Una red Windows que incorpore sistemas operativos anteriores de Microsoft y clientes que no son Microsoft puede crear consideraciones de seguridad adicionales que deben tratarse para asegurar la protección de una red local. líneas dedicadas entre oficinas y redes públicas. Manuel LOPEZ ROBLES 51 . También deberá configurar y administrar correctamente los equipos basados en Windows que se utilizan en la red.

un usuario de la red que tiene acceso a Internet puede introducir un virus en la red al descargar software infectado desde Internet. De igual modo. Windows incluye además protocolos y directivas.3. Los usuarios de la red también pueden requerir acceso a Internet para tener acceso a los recursos públicos de otras organizaciones. 3. Red Pública Muchas organizaciones requieren acceso a redes públicas. Red Remota Los usuarios remotos deben autenticarse y las conexiones que utilicen deben estar protegidas para que nadie pueda interceptar los datos. Ing. para que usuarios y clientes públicos puedan tener acceso a información seleccionada de la red de la organización. La exposición de su red a las redes públicas crea el riesgo de que un usuario público obtenga acceso a toda su red. autenticación remota y directivas de seguridad de acceso remoto que permiten establecer conexiones protegidas con los usuarios y oficinas remotos. como protocolos de túnel. Los usuarios públicos pueden atacar la conexión con la red pública en busca de un punto débil que les permita tener acceso a áreas restringidas de la red de una organización. Windows permite que los administradores gestionen todas las conexiones remotas de una red de forma centralizada. Manuel LOPEZ ROBLES 52 . como Internet. Figura 9.

creada para la asociación. separar los datos públicos del resto de la red. como asociados comerciales. Red Pública Para proteger su red interna de las amenazas presentes en una red pública. Una subred vigilada le permitirá proteger los datos públicos de la red y. Demilitarized Zone). Usted deberá proteger las conexiones y las aplicaciones que va a utilizar la organización asociada y diseñar la administración de las cuentas de la organización asociada en su propia red. Figura 10. Dependiendo de la naturaleza de la asociación. Las organizaciones asociadas deben estar correctamente autenticadas y autorizadas para asegurar el acceso protegido a la red. puede que su red deba compartir información confidencial y secreta con sus asociados sin permitir que otros usuarios de la red tengan acceso a la información. Los certificados proporcionan la autenticación por parte de una entidad mutuamente Ing. también conocida como zona desmilitarizada (DMZ. o extranet. debe configurar correctamente una zona intermedia denominada subred vigilada. Manuel LOPEZ ROBLES 53 . que requieren tener un acceso especializado a su red. Puede utilizar certificados para garantizar la autorización del acceso de la organización asociada. Acceso de Asociados Los asociados son organizaciones de confianza. La integración de otras organizaciones asociadas en su red implica la creación y la administración de una red ampliada. al mismo tiempo. 3.4.

Red de Asociados. y pérdida de acceso. Ing. ACTIVIDAD  Determine los riesgos para los datos a tener presente en la red de computadoras de la Facultad de Ingenierías de la UPLA. RESUMEN Se debe haber obtenido una comprensión adecuada de los siguientes puntos clave:  Las redes de equipos y los datos almacenados en dichas redes son vulnerables a dos tipos básicos de riesgos: pérdida o divulgación de datos.acordada que comprueba la autenticidad de las transacciones de la organización asociada en una red.  Haga una comparación entre los distintos tipos de datos que la red de computadoras de la Facultad de Ingenierías de la UPLA utiliza  Haga una comparación entre los distintos tipos de ataques que puede sufrir la red de computadoras de la Facultad de Ingenierías de la UPLA. 4.  Determine los niveles generales de acceso a la red de computadoras de la Facultad de Ingenierías de la UPLA y los requisitos a tomar en cuenta en cada nivel 5. Manuel LOPEZ ROBLES 54 . Figura 11.

normalmente conocido como ataque de denegación de servicio (DoS, Denial of
Service). Dichos riesgos pueden provenir de diversas amenazas.

 Los distintos tipos de datos de una red son vulnerables a diversos riesgos. El
examen de los datos de la red le ayudará a identificar los riesgos asociados con los
datos y las medidas que puede tomar para proteger los datos. Los tipos de datos
son: datos públicos, datos internos, datos confidenciales, datos secretos.

 Existen diferentes tipos de ataque que se pueden determinar en una red de
computadoras, están son: ataque interno, ingeniería social, ataques organizativos,
brecha de seguridad accidental, ataque automatizado con un equipo. Asimismo el
uso de estándares de seguridad favorece a un adecuado planteamiento de
políticas de seguridad.

 Al diseñar la seguridad de una red, debe tener en cuenta cómo y desde qué
ubicaciones tendrán acceso los usuarios a la red. Hay cuatro niveles generales de
acceso a una red, cada uno con requisitos de seguridad diferentes. Dichos niveles
de acceso reflejan las ubicaciones de los usuarios y el nivel de acceso a la red que
dichos usuarios requieren. Los niveles de acceso a la red incluyen: red local, red
remota, red pública, acceso de asociados

6. BIBLIOGRAFÍA RECOMENDADA

 Microsoft Training and Certification. Diseño de Redes Seguras. España. 2000.

 Picouto Ramos, Fernando; Lorente Pérez, Iñaki; García Moran, Jean; Ramos
Varón, Antonio. Hacking y Seguridad en Internet. Alfaomega Editorial Rama.
España. 2008.

 Russel, Charlie; Sharon Crawford; Gerend Jason. Windows 2003 Server. Mc
Graw Hill. España. 2003.

 Stallings, Williams. Fundamentos de Seguridad en Redes. Aplicaciones y
Estándares. Prentice Hall. España 2004.

 Villaton Huerta, Antonio. Seguridad en Unix y Redes. Prentice Hall
Hispanoamericana. España. 2002

Ing. Manuel LOPEZ ROBLES 55

7. NEXO

La siguiente unidad se encarga de explicar los perfiles de seguridad que Microsoft
Windows ofrece para la aplicación de políticas de seguridad dentro de una red de
computadoras

8. AUTOEVALUACION FORMATIVA.

1. Determine los riesgos para los datos a tener presente en una red de
computadoras.
2. Haga una comparación entre los distintos tipos de datos de una red.
3. Haga una comparación entre los distintos tipos de ataques que puede sufrir una
red.
4. Determine los niveles generales de acceso a una red y los requisitos a tomar en
cuenta en cada nivel

Ing. Manuel LOPEZ ROBLES 56

UNIDAD ACADÉMICA Nº 04

SEGURIDAD CON WINDOWS SERVER

Las características de seguridad proporcionadas en Microsoft® Windows® permiten
que el diseñador de la seguridad administre el control del acceso a los recursos de una
red con Windows y configure las nuevas tecnologías de cifrado y autenticación para
los clientes Windows. Las características de seguridad de Windows se pueden
combinar para proporcionar un alto nivel de seguridad en la red.

1. CARACTERISTICAS DE SEGURIDAD DE ACTIVE DIRECTORY

Active Directory, un servicio de directorio para redes con Windows, estructura todas las
directivas de seguridad y la información de las cuentas de los dominios de una
organización en un esquema jerárquico. Las características de seguridad de Active
Directory aseguran la aplicación de configuraciones de seguridad coherentes a través
de las unidades organizativas (OU) y los dominios de un bosque.

Puede utilizar Active Directory para establecer relaciones de confianza entre dominios
de bosques independientes o entre un dominio de un bosque y un dominio de
Microsoft Windows NT® versión 4.0. Directiva de grupo de Active Directory le permite
aplicar configuraciones de seguridad a usuarios y equipos dentro de sitios, dominios y
unidades organizativas.

1.1. Estructura Jerárquica de Active Directory

Active Directory utiliza una estructura jerárquica que permite la administración eficiente
de las opciones de configuración de la seguridad de las cuentas en una red. La
estructura jerárquica permite implementar una seguridad coherente. La seguridad se
implementa mediante:

 La definición de los límites de seguridad con dominios. En Windows, un dominio
define un límite de seguridad para una colección de objetos. Cada dominio tiene
una directiva de seguridad que se extiende a todas las cuentas de seguridad del
dominio. La directiva no se extiende a los dominios secundarios. Por ejemplo, debe
dividir una organización en varios dominios si la configuración de todo el dominio,

Ing. Manuel LOPEZ ROBLES 57

de forma que los datos se puedan intercambiar de manera segura a través de los límites de los Ing. la estructura predeterminada de Active Directory coloca todos los controladores de un dominio en la misma unidad organizativa porque los controladores de dominio suelen tener los mismos requisitos para la configuración de la seguridad. Por ejemplo. Por ejemplo.  La delegación de la administración. grupos y equipos con requisitos similares de seguridad. Manuel LOPEZ ROBLES 58 .  La compatibilidad con las opciones de configuración de seguridad mediante el uso de unidades organizativas. pero no la capacidad para crear usuarios. tiene que variar entre distintas áreas de la organización. Relaciones de Confianza Las relaciones de confianza permiten que un dominio confíe en otro. Las unidades organizativas permiten agrupar cuentas de usuarios. Esta característica permite a los administradores delegar tareas asociadas con atributos particulares a los administradores seleccionados. Puede aplicar configuraciones de directiva de seguridad diferentes para cada unidad organizativa. se puede conceder al personal de asistencia técnica la capacidad de restablecer las contraseñas de los usuarios de una unidad organizativa específica. Figura 1. como las directivas de las cuentas. Estructura Jerárquica de Active Directory 1.2. En Windows. puede establecer permisos en los atributos.

La reducción de dicha ruta aumenta la eficiencia de la autenticación remota. puesto que la ruta que el tráfico de inicio de sesión tiene que atravesar es más corta. directa y externa.dominios. si el dominio A confía en el dominio B y el dominio B confía en el dominio C. Figura 2. También se pueden establecer relaciones externas entre un dominio de Windows y un dominio de Windows NT 4. el dominio A también confiará en el dominio C. Ing. Puede establecer que la ruta de confianzas omita todos los dominios intermedios de la ruta. Relaciones de Confianza  Relaciones de confianza transitivas. Una ruta de confianzas es la serie de relaciones de confianza que hay que atravesar para pasar las solicitudes de autenticación o consulta entre dos dominios cualesquiera. Una relación de confianza externa es una relación de confianza entre dominios de Windows que están en bosques diferentes.0 (o anterior). Manuel LOPEZ ROBLES 59 . Las relaciones externas son relaciones no transitivas y en un sólo sentido que se utilizan para ofrecer acceso a recursos sólo al dominio desde el que se origina la relación de confianza. La relación de confianza directa se utiliza para abreviar la ruta de confianzas entre dos dominios.  Relaciones de confianza directas. Una relación de confianza transitiva es una confianza en dos sentidos con Kerberos versión 5 que se aplica automáticamente a todos los dominios que son miembros de un árbol o un bosque de dominios. Por ejemplo. Windows admite el uso de relaciones de confianza transitiva. Las relaciones de confianza permiten que los recursos de un dominio que confía asignen permisos para cuentas de un dominio en el que se confía.  Relaciones de confianza externas. en las confianzas transitivas.

dominio u unidad organizativa determinados. Manuel LOPEZ ROBLES 60 . Figura 3. Algunos elementos de Directiva de grupo sólo se aplican a un dominio y.  Implementar directivas de seguridad coherentes para usuarios y equipos seleccionados dentro de un sitio. Ing.  Configurar la distribución y la instalación de las aplicaciones. Administración mediante Directiva de Grupo Directiva de grupo permite aplicar configuraciones de seguridad coherentes a usuarios y clases de equipos diferentes. por tanto. tienen alcance de dominio. Puede crear una unidad organizativa para cada clase de equipo y aplicar una Directiva de grupo apropiada a cada unidad organizativa. Directiva de Grupo. Todos los demás elementos de Directiva de grupo se pueden aplicar en las unidades organizativas individuales. Directiva de grupo permite a los administradores:  Restringir la configuración de los escritorios de Windows. Las directivas para cuentas de usuario y las directivas para claves públicas tienen alcance de dominio y no se pueden suplantar en las unidades organizativas individuales. 1. Las clases de equipos pueden incluir controladores de dominio. quioscos y servidores de aplicaciones.3. ambos deben crear relaciones de confianza externas mutuas. Para que haya una relación de confianza de dos sentidos entre dos dominios.

Windows admite varios métodos de autenticación diferentes. Autenticación de Cuentas de Usuario La autenticación es el proceso por el que se comprueba la identidad de un usuario de la red. proporciona una cuenta y una contraseña. se le permite tener acceso a los recursos de la red. USO DE LA AUTENTICACIÓN KERBEROS V5 Kerberos V5 es un protocolo de autenticación basado en vales que se usa de forma predeterminada en Windows. La autenticación mutua de la cuenta de usuario y la cuenta de equipo se consigue cuando la autenticación Kerberos V5 comprueba la identidad de la cuenta de usuario y la cuenta de equipo que aloja el servicio de la red al que va a tener acceso la cuenta de usuario. siempre en función de las posibles restricciones sobre los recursos.  Autenticación mutua. como la autenticación Kerberos V5 basada en certificados y el protocolo NTLM. Primer inicio de sesión Cuando un usuario entra en la red por primera vez.4. 2.1. Key Distribution Center) de Kerberos emite vales de concesión (TGT. Ticket-Granting Tickets) y vales de servicios (ST. para confirmar la identidad de los usuarios de la red. la autenticación Ing. Service Tickets) para la autenticación de los clientes. El almacenamiento en caché de los vales reduce el número de veces que el usuario tiene que consultar al controlador de dominio. Cuando un usuario obtiene un vale de servicio para un servidor.1. Cuando un usuario se autentica en una red. proporciona credenciales para comprobar su identidad. Como se muestra en la ilustración anterior. El inicio de sesión único permite a los usuarios tener acceso a los servicios de la red dentro del dominio del usuario y de todos los dominios que confían mediante una sola combinación de cuenta y contraseña.  Almacenamiento en caché de vales. El Centro de distribución de claves (KDC.1. 2. Cuando la solicitud de autenticación finaliza. Manuel LOPEZ ROBLES 61 . El uso de la autenticación Kerberos V5 en Windows proporciona:  Inicio de sesión único. el usuario no tiene que volver a autenticarse en un controlador de dominio hasta que caduque la fecha del vale de servicio.

pasa a la caché local el vale de concesión descifrado. Para comprobar las credenciales del usuario el centro de distribución de claves descifra el vale de concesión y transmite de forma segura el vale de servicio al equipo del usuario. El usuario presenta el vale de servicio al servidor de destino. 3. 4. donde se almacena en la caché local del almacenamiento protegido del cliente. que concede acceso al usuario en función de los permisos asignados al mismo y los permisos de acceso solicitados. el usuario se autentica en un centro de distribución de claves. En el inicio de sesión. UTILIZACIÓN DE LA AUTENTICACIÓN BASADA EN CERTIFICADOS La autenticación basada en certificados implica el uso de instrucciones firmadas digitalmente llamadas certificados. Se establece una sesión entre el equipo cliente y el servidor de destino. 2. El vale de concesión contiene una clave de servicio para las siguientes transacciones con el centro de distribución de claves. las solicitudes de servicio tienen lugar de la manera siguiente: 1. Solicitud de Servicio La solicitud de servicio de Kerberos V5 se utiliza cuando un usuario intenta conectarse con servidores de aplicaciones o de impresión de la red. Como se describe en la ilustración anterior. 3. 3. en el espacio de almacenamiento protegido del cliente.2.1.del primer inicio de sesión del usuario en Kerberos V5 se desarrolla como se indica a continuación: 1. Un certificado es una credencial electrónica que Ing. 2. 2. a continuación. El cliente descifra el vale con la clave privada del usuario y. Manuel LOPEZ ROBLES 62 . Este vale contiene información de marca de fecha y de autenticación para el usuario. El usuario proporciona credenciales mediante el envío del vale de concesión obtenido previamente del centro de distribución de claves y pide un vale de servicio para un servidor de destino. El centro de distribución de claves proporciona al usuario un vale de concesión cifrado.

Manuel LOPEZ ROBLES 63 . con una cuenta de usuario individual de Active Directory. Ing. El certificado asociado se puede utilizar en solicitudes de autenticación.  Implementados con autenticación mediante tarjetas inteligentes. reemplazando las credenciales de usuario escritas. Certification Authority). la clave pública del usuario y su nombre.contiene una clave pública y el nombre del usuario para el que se emite el certificado.509 v3 estándar. En la autenticación basada en certificados. Personal Identification Number). como el período de validez del certificado. o se puede crear una asociación. Una tarjeta inteligente es un dispositivo del tamaño de una tarjeta de crédito en la que se almacena el certificado digital que contiene la clave privada del usuario. El certificado digital se utiliza para autenticar al usuario y está protegido mediante el uso de un número de identificación personal (PIN. Los certificados pueden estar: Figura 4. Windows permite la autenticación de usuarios de confianza externos a la organización que poseen certificados digitales X. Los certificados emitidos a los usuarios contienen información identificativa. Un certificado puede estar asociado. Los certificados también se pueden utilizar para proporcionar la autenticación de las cuentas en una red con Windows. para emitir certificados a usuarios y equipos se utiliza una entidad emisora de certificados (CA.  Asignados a cuentas de Active Directory. Autenticación basada en Certificados.

 Un cliente Windows no se puede autenticar en un controlador de dominio Windows mediante Kerberos. El protocolo NTLM versión 2.1.  Un equipo con Windows se autentica en un servidor Windows NT. Manuel LOPEZ ROBLES 64 . puede configurar todos los equipos para que sólo usen NTLM v2 como protocolo de autenticación.0 y las versiones anteriores de Windows no admiten los nuevos protocolos de autenticación como Kerberos V5. El protocolo NTLM v2 se encuentra disponible en Windows NT 4. Utilización de la Autenticación Mediante el Protocolo NTLM Windows NT 4. Microsoft Windows 98 o Windows NT configurado con software de cliente para servicios de directorio de Windows se autentica en un controlador de dominio Windows. SEGURIDAD PARA EL ACCESO A RECURSOS La mayor parte de las organizaciones almacenan en sus redes recursos confidenciales que tienen que estar protegidos para impedir el acceso de usuarios no autorizados. Después de asegurarse de que todos los clientes son compatibles con NTLM v2. 4.0 (NTLM v2) es una ampliación de la autenticación integrada de Windows que mejora la seguridad de la autenticación y la sesión. Windows es compatible con el protocolo NTLM para mantener la compatibilidad con clientes y servidores que ejecutan versiones anteriores de Windows. El protocolo NTLM también se utiliza para autenticar las solicitudes de inicio de sesión en equipos con Windows independientes. El protocolo NTLM se utiliza cuando:  Un equipo con Windows se autentica en un servidor Windows independiente. el cliente Windows intenta la autenticación mediante el protocolo NTLM.  Un equipo con Microsoft Windows 95. El protocolo NTLM v2 se encuentra disponible para equipos con Windows 95 o Windows 98 mediante la instalación del cliente para servicios de directorio en dichos equipos. Los recursos de una red con Windows se protegen:  Mediante identificadores de seguridad (SID). Ing. A continuación.3.0 con Service Pack 4 o posterior.

Los mecanismos de control de acceso.  Identifican de forma exclusiva a usuarios. como cuentas de grupo.  Se utilizan para conceder derechos de acceso y permisos para recursos.  La definición de grupos de seguridad para el acceso a los recursos. como grupos globales. Manuel LOPEZ ROBLES 65 . grupos o equipos. 4. En Windows. los SID: Figura 5.  Se crean automáticamente cuando se agrega un objeto.1. 4. El control del acceso a los recursos con listas de control de acceso discrecional (DACL). Identificadores de Seguridad. identifican siempre las entidades de seguridad mediante SID en lugar de por nombre. Descripción de los identificadores de seguridad Un identificador de seguridad (SID) es un número exclusivo de longitud variable que identifica las entidades de seguridad.2. grupos locales del dominio y grupos universales. que se utilizan en Windows para administrar el acceso a los recursos de la red. Control de acceso a recursos El modelo de control de acceso que utiliza Windows proporciona un método para administrar el acceso a los recursos de la red. El control de acceso y la auditoria se basan en los usuarios y en la pertenencia a grupos dentro de Active Directory. El modelo de control de acceso también se puede utilizar para auditar todos los intentos de acceso a un recurso de la red. Ing. usuario y equipo.

puede organizar los usuarios y otros objetos en grupos de seguridad para hacer más eficiente la administración de los permisos de acceso. La lista contiene entradas de control de acceso (ACE. grupos globales y grupos universales. Cuando se produce una acción auditada.  Los grupos globales pueden agrupar usuarios que comparten necesidades de acceso comunes o que realizan funciones similares. los grupos globales pueden contener otros grupos globales del mismo dominio. un grupo local de dominio también puede contener otros grupos locales de dominio. En modo nativo. 4. En modo nativo. Los grupos de seguridad se utilizan para organizar usuarios y otros objetos. el sistema operativo registra el evento en el registro de seguridad.  En el grupo local pueden estar incluidos grupos globales.  Grupos locales de dominio. un acceso correcto o por ambos. Cada entrada define un permiso asignado a un usuario o grupo.3.  Grupos globales. Windows admite tres tipos de grupos de seguridad: grupos locales del dominio. Todos los objetos de Active Directory tienen una lista de control de acceso discrecional o DACL. Esta lista enumera las entidades de seguridad a las que se han asignado permisos sobre el objeto de Active Directory. Definición de grupos de seguridad para tener acceso a los recursos En Windows.  Lista de control de acceso del sistema. Access Control Entries). Manuel LOPEZ ROBLES 66 . grupos universales y cuentas de cualquier dominio. Cada entrada de control de acceso de una lista de control de acceso del sistema indica si la auditoria se activa por un error. Listas de control de acceso discrecional. Una lista de control de acceso del sistema (SACL) enumera los usuarios y los grupos cuyo acceso a un recurso específico se va a auditar. Los grupos locales de dominio tienen las siguientes características:  Sólo se pueden asignar derechos y permisos de acceso a los grupos locales de dominio dentro del dominio que contiene el grupo. Ing. Los grupos globales presentan las características siguientes:  Las cuentas de usuario del dominio en el que el se crea el grupo global son las únicas que puede contener el grupo.

INTRODUCCIÓN A LAS TECNOLOGÍAS DE CIFRADO El cifrado se utiliza en varios componentes de seguridad de Windows con el fin de proteger los archivos y las carpetas almacenados localmente.  Los grupos globales creados en varios dominios se agrupan.  Los grupos globales se hacen miembros de los grupos locales del dominio. grupos globales y grupos universales de cualquier dominio del árbol o el bosque de dominios. entre los que se incluyen: Ing. 5.  En el grupo universal puede haber cuentas. Los grupos universales presentan las características siguientes:  Se pueden asignar derechos y permisos a grupos universales en cualquier dominio del árbol o el bosque de dominios. A continuación. y las transmisiones de datos contra el acceso por parte de usuarios no autorizados. Manuel LOPEZ ROBLES 67 . Definición de Grupos de Seguridad  Grupos universales. Windows admite varios métodos de cifrado.  Los grupos universales se pueden crear en cualquier dominio en modo nativo del bosque. puede descifrar y leer un archivo cifrado. Figura 6. se asignan derechos y permisos a los grupos locales del dominio. La pertenencia a los grupos universales se almacena en el catálogo global. Sólo un usuario que posea la clave para descifrarlo.

 Cifrado mediante clave simétrica. Una clave se utiliza para firmar los datos y la clave asociada se utiliza para comprobar la firma. Los datos se protegen contra la interceptación o daños mediante una pareja de claves.1. Los datos se cifran mediante la misma clave en el equipo cliente y en el equipo servidor. también llamada secreto compartido. Cifrado mediante claves simétricas.1. Una clave se utiliza en el proceso de cifrado y la clave asociada se utiliza en el proceso de descifrado. Utilización del Cifrado mediante Claves Simétricas El cifrado con claves simétricas es un algoritmo de cifrado que utiliza la misma clave para el cifrado y el descifrado de los datos. Como el cifrado con claves simétricas sólo utiliza una clave. Manuel LOPEZ ROBLES 68 . El uso de una clave simétrica. 5. Figura 7. produce un algoritmo de cifrado y descifrado menos Ing.1. Los datos se cifran con una pareja de claves.  Cifrado mediante clave pública. 5. la exposición de una clave en un equipo podría comprometer los datos que se almacenen en otro equipo y se hayan cifrado con dicha clave. Cifrado de los datos de las aplicaciones Muchas aplicaciones usan cifrado con claves simétricas porque resulta muy eficiente para cifrar grandes cantidades de datos.  Firmas digitales.

1.2. 5. el cifrado mediante claves públicas ofrece un mayor grado de seguridad que el cifrado mediante clave simétrica. La información que se cifra con la clave pública del destinatario sólo se puede descifrar con su correspondiente clave privada.seguro que no requiere mucho procesamiento. Como utiliza dos claves. El cifrado mediante clave simétrica protege los siguientes datos de aplicaciones:  Sistema de archivos cifrados (EFS. Utiliza cifrado con clave simétrica para cifrar los archivos de documentos almacenados en equipos con Windows. utiliza una pareja de claves que tienen una función complementaria. Incluso si se divulga una clave pública. 5. Cifrado de los protocolos de comunicación Las claves con secretos compartidos que se utilizan en el cifrado con clave simétrica se suelen utilizar en muchos protocolos de seguridad como claves de sesión para las comunicaciones confidenciales. Por ejemplo. La clave privada sólo la conoce el propietario de la clave. también llamado cifrado mediante clave asimétrica.  Extensiones seguras multipropósito de correo Internet (S/MIME. En Windows. los datos seguirán estando protegidos porque se necesita la clave privada para descifrarlos.2. los protocolos Seguridad de Protocolo Internet (IPSec) y Seguridad en la capa de transporte (TLS) utilizan claves simétricas con algoritmos de cifrado estándar para cifrar y descifrar las comunicaciones confidenciales entre el remitente y el destinatario. Utiliza cifrado con clave simétrica para cifrar los mensajes y mantener la confidencialidad en la transmisión de correo electrónico. Encrypting File System). La clave pública se utiliza para cifrar los datos mientras que la clave privada se usa para descifrarlos. Secure Multipurpose Internet Mail Extension). Manuel LOPEZ ROBLES 69 . mientras que la clave pública está disponible y la pueden saber otros usuarios de la red. Utilización de cifrado mediante claves públicas El cifrado mediante claves públicas. el cifrado mediante claves públicas se utiliza para realizar las siguientes funciones: Ing.

 Se crea una nueva síntesis a partir del texto legible del mensaje en el equipo del usuario2. las firmas digitales se utilizan de la manera siguiente:  Se crea una síntesis del mensaje en texto legible original en el equipo del usuario1. Como se describe en la ilustración anterior.  Proteger claves simétricas almacenadas en documentos protegidos con EFS. Figura 8. protegiéndolas así mientras se intercambian a través de la red. Ing. Cifrado mediante claves publicas. Manuel LOPEZ ROBLES 70 .3. Cifrar claves simétricas. Utilización de firmas digitales Las firmas digitales aseguran la integridad o la autenticidad de los datos. Dicho algoritmo crea una síntesis del mensaje (una representación del mismo) que se cifra con la clave privada del remitente.  La síntesis se cifra con la clave privada del usuario1.  El mensaje en texto legible y la síntesis cifrada se transmiten al usuario2. 5.  La síntesis se descifra con la clave pública del usuario1. Las firmas digitales se crean mediante un algoritmo llamado función de síntesis del mensaje. Una firma digital se puede utilizar como recibo de un intercambio de datos e impide que los remitentes nieguen ser quienes enviaron el correo electrónico.

que se adjunta al archivo. Data Recovery Fields). Manuel LOPEZ ROBLES 71 . 5. Puede utilizar EFS para cifrar los datos almacenados en particiones del sistema de archivos NTFS. Ing. Si ambas son idénticas.4. 3. Al resto de los usuarios se les impedirá ver los datos del archivo cifrado. La síntesis original descifrada se compara con la síntesis recién creada. los datos no han sido interceptados durante su transmisión. Cifrar los datos almacenados mediante EFS EFS usa una combinación de cifrado con clave simétrica y cifrada mediante claves públicas para proporcionar confidencialidad a los datos almacenados. Los datos se cifran con una clave simétrica que se conoce como clave de cifrado de archivos. La clave de cifrado del archivo se cifra con la clave pública del usuario. EFS permite que un usuario cifre un archivo de datos para que sólo él pueda leer su contenido. SSL y TLS para cifrar los datos al transmitirlos entre un equipo cliente y un equipo servidor. la clave de cifrado del archivo también se cifra con las claves públicas de los agentes de recuperación de EFS. 5. Cifrado de datos almacenados y transmitidos Windows proporciona la posibilidad de proteger la privacidad y la integridad de los datos. La clave de cifrado del archivo cifrado se almacena en un campo de encabezado llamado Campo de descripción de datos (DDF. Los datos se cifran mediante el proceso siguiente: 1. Las claves de cifrado del archivo cifrado se almacenan en encabezados llamados Campos de recuperación de datos (DRF. 2. Windows es compatible con protocolos estándar como IPSec. Para permitir la recuperación de los datos. Data Decryption Field).5. Sólo el usuario que cifró el archivo y el agente de recuperación definido de EFS pueden descifrar un archivo cifrado con EFS.

La clave simétrica se intercambia con el cifrado mediante clave pública para asegurar que sólo el destinatario de una transmisión de datos pueda descifrar la clave simétrica. 5. Todo el cifrado tiene lugar en la capa IP y se descifra en el momento en que la aplicación del equipo destinatario recibe los datos. Manuel LOPEZ ROBLES 72 . La clave simétrica se cifra mediante clave pública para asegurar que sólo el destinatario de una transmisión de datos pueda descifrar la clave simétrica. El cifrado de los datos en la capa IP permite asegurar los datos transmitidos sin necesidad de realizar ninguna configuración en las aplicaciones. IPSec cifra los datos en la capa IP. 5. SSL proporciona cifrado de datos. En cada nuevo proceso de cifrado. integridad y confidencialidad a los datos transmitidos. Windows es compatible con IPSec. integridad de mensajes y autenticación de cliente opcional para aplicaciones que utilizan una combinación de cifrado con claves públicas y cifradas con clave simétrica. de modo que las aplicaciones no están involucradas directamente en el proceso de cifrado y descifrado. Cifrado de los Datos Transmitidos Windows ofrece la posibilidad de cifrar los protocolos de comunicación para proteger los datos transmitidos.1. IPSec utiliza cifrado mediante clave simétrica para el cifrado de datos masivos. Para el cifrado de datos masivos se utiliza el cifrado con clave simétrica. SSL SSL es un protocolo de la capa de aplicación que sólo funciona en aplicaciones que hayan sido diseñadas específicamente para operar con SSL.5. autenticación en servidores. se intercambia una clave simétrica nueva. Ing.6. IPSec IPSec proporciona autenticación.6.6. SSL y TLS para el cifrado de los datos transmitidos a través de redes públicas.2.

para el cifrado de datos masivos se utiliza el cifrado con clave simétrica. Cifrado de datos transmitidos. Figura 9.  Implemente una estrategia de cifrado para la transferencia de datos en la red de computadoras de la Facultad de Ingeniería de la UPLA. TLS TLS es un protocolo de la capa de aplicación que es muy parecido a SSL. 5. la integridad de los mensajes y realizar la autenticación mediante una combinación de cifrado con claves públicas y cifradas con clave simétrica. ACTIVIDAD  Indique los tipos de relación de confianza que puede soportar Active Directory en la red de computadoras de la Facultad de Ingeniería de la UPLA. Ing. Manuel LOPEZ ROBLES 73 .3.  Clasifique las ventajas de seguridad ofrece Kerberos sobre Active Directory que se pueden implementar en la red de computadoras de la Facultad de Ingeniería de la UPLA. También permite mantener la privacidad de las comunicaciones. Igual que en SSL.6.  Determine los servicios que incluye certificación digital como valor agregado a la seguridad de servidores. 6.  Implemente un grupo de seguridad para tener acceso a los recursos de la red de computadoras de la Facultad de Ingeniería de la UPLA. La clave simétrica se intercambia de forma segura con el cifrado mediante clave pública.

Las clases de equipos pueden incluir controladores de dominio. La seguridad se implementa mediante: la definición de los límites de seguridad con dominios. El Centro de distribución de claves (KDC. Mientras que la autenticación es el proceso por el que se comprueba la identidad de un usuario de la red. Un certificado es una credencial electrónica que contiene una clave pública y el nombre del usuario para el que se emite el Ing.  Active Directory utiliza una estructura jerárquica que permite la administración eficiente de las opciones de configuración de la seguridad de las cuentas en una red. la delegación de la administración. Manuel LOPEZ ROBLES 74 . de forma que los datos se puedan intercambiar de manera segura a través de los límites de los dominios.  La autenticación basada en certificados implica el uso de instrucciones firmadas digitalmente llamadas certificados. estructura todas las directivas de seguridad y la información de las cuentas de los dominios de una organización en un esquema jerárquico. Key Distribution Center) de Kerberos emite vales de concesión (TGT. la compatibilidad con las opciones de configuración de seguridad mediante el uso de unidades organizativas.  Las relaciones de confianza permiten que un dominio confíe en otro. quioscos y servidores de aplicaciones.  Una directiva de grupo permite aplicar configuraciones de seguridad coherentes a usuarios y clases de equipos diferentes. La estructura jerárquica permite implementar una seguridad coherente. Service Tickets) para la autenticación de los clientes. un servicio de directorio para redes con Windows. Ticket-Granting Tickets) y vales de servicios (ST. RESUMEN Se debe haber obtenido una comprensión adecuada de los siguientes puntos clave:  Active Directory. Puede utilizar Active Directory para establecer relaciones de confianza entre dominios de bosques independientes o entre un dominio de un bosque. Las relaciones de confianza permiten que los recursos de un dominio que confía asignen permisos para cuentas de un dominio en el que se confía.  Kerberos V5 es un protocolo de autenticación basado en vales que se usa de forma predeterminada en Windows.7.

2002 9. Jean. Fundamentos de Seguridad en Redes. Indique que ventajas ofrece un certificado digital. España. 2008. Iñaki. 2000.  Villaton Huerta. Mc Graw Hill. Windows admite varios métodos de cifrado. España 2004. Ramos Varón. Diseño de Redes Seguras. AUTOEVALUACION FORMATIVA. Aplicaciones y Estándares. Williams. Determine las ventajas de seguridad ofrece Kerberos sobre Active Directory.  El cifrado se utiliza en varios componentes de seguridad de Windows con el fin de proteger los archivos y las carpetas almacenados localmente. 1. Gerend Jason. puede descifrar y leer un archivo cifrado.  Russel. Sharon Crawford. Ing. Antonio. certificado. Manuel LOPEZ ROBLES 75 . España. Prentice Hall Hispanoamericana.  Picouto Ramos. ¿Que diferencias permite clasificarlas? 2. Prentice Hall. 2003. Lorente Pérez. y las transmisiones de datos contra el acceso por parte de usuarios no autorizados. Windows 2003 Server. Charlie. Indique que tipos de relación de confianza soporta Active Directory. Fernando. entre los que se incluyen: 8. Seguridad en Unix y Redes. España. Antonio. Hacking y Seguridad en Internet. Los certificados también se pueden utilizar para proporcionar la autenticación de las cuentas en una red con Windows. Sólo un usuario que posea la clave para descifrarlo.  Stallings. Alfaomega Editorial Rama. NEXO La siguiente unidad se encarga de explicar los perfiles de seguridad que Linux Enterprise ofrece para la aplicación de políticas de seguridad dentro de una red de computadoras 10. García Moran. BIBLIOGRAFÍA RECOMENDADA  Microsoft Training and Certification. España. 3.

Manuel LOPEZ ROBLES 76 .4. Ing. haga una comparación entres los protocolos de comunicación para proteger los datos transmitidos.

Este parche es aplicado al paquete de Linux. tan pronto como sea posible.1. Y verifique la firma del paquete para asegurarse de su integridad. Después que se repara el problema. Por esta razón. Actualización de Paquetes Cuando actualice software en un sistema. Si el paquete es parte de una distribución de Linux actualmente soportada.  Listadas y separadas del sitio web de Erratas de Linux. Sin embargo. 1. el anuncio de una falla de seguridad viene acompañado de un remiendo (o el código fuente que repara el problema). los descarga desde Ing. un desarrollador de Linux trabajará con el mantenedor de ese software para reparar el problema. 1. ACTUALIZACIONES DE SEGURIDAD A medida que se descubren fallas de seguridad en el software. Determina cuáles paquetes RPM son necesarios para el sistema. es importante descargar la actualización a partir de una fuente confiable. si el anuncio no incluye un remiendo. Manuel LOPEZ ROBLES 77 . el paquete es probado y distribuido como una actualización de errata. el repositorio está obligado a producir los paquetes de actualización que reparen las vulnerabilidades. es muy importante que solamente descargue RPMs desde fuentes confiables. Linux proporciona dos formas de encontrar información sobre las actualizaciones de erratas:  Listadas y disponibles para su descarga en Linux Network. probado por el equipo de aseguramiento de la calidad de Linux y luego distribuido como una actualización de erratas. UNIDAD ACADÉMICA Nº 05 SEGURIDAD CON LINUX 1. Si esto ocurre. Uso de Linux Network Linux Network le permite automatizar la mayoría de los procesos de actualización. pero con una agresión de seguridad diferente en el paquete y distribuirlo en Internet. A menudo.2. Un intruso puede fácilmente reconstruir una versión de un paquete con el mismo número de versión como el que se supone va a reparar el problema. este se debe actualizar para sellar cualquier posible riesgo de seguridad. usando medidas de seguridad tales como la verificación de archivos contra el RPM original no detectará la agresión.

pulse en la sinopsis para ver más detalles. Linux Network requiere un Perfil del sistema para cada máquina que desea actualizar. estos son publicados en el sitio web de Erratas de Linux por ejemplo en http://www. Ing. puede que el paquete haya sido alterado y por lo tanto no se puede confiar en el. Sin esta información.3. seleccione el producto y la versión de su sistema y luego seleccione security en la parte superior de la página para sólo desplegar los Security Advisories de Enterprise Linux. Inc. La instalación del paquete puede ocurrir de inmediato o puede ser planificada durante un cierto período de tiempo. Si la sinopsis de alguna de las recomendaciones describe un paquete usado en su sistema.repositorios seguros. Linux Network le enviará un correo electrónico con una descripción de la errata así como también cuáles de sus sistemas son afectados. un paquete de software libre utilizado para asegurarse de la autenticidad de los paquetes distribuidos. 1. Se recomienda que cree un nuevo directorio tal como /tmp/updates y guarde todos los paquetes descargados en el. Si la llave pública distribuida por Linux no coincide con la llave privada durante la verificación de RPM. La página de detalles describe las violaciones de seguridad y cualquier instrucción especial que se deba llevar a cabo adicionalmente para actualizar el paquete y reparar el hueco de seguridad. 1.3. Para descargar el paquete actualizado. Verificar Paquetes Firmados Todos los paquetes de Linux Enterprise están firmados con la llave GPG de Linux. Manuel LOPEZ ROBLES 78 . Cuando una errata de seguridad (o cualquier tipo de errata) es publicada. Sólo se utiliza para determinar cuales actualizaciones de errata son aplicables a cada sistema. Desde esta página. luego pulse el nombre del paquete y guárdelo al disco duro. o GnuPG.redhat.com/security/. GPG viene de GNU Privacy Guard. Linux Network no puede determinar si su sistema necesita actualizaciones.1. Utilización del Sitio Web de Erratas de Linux Cuando se lanzan los informes de errata. pulse en el enlace para iniciar una sesión a Linux Network. una llave privada (llave secreta) de Linux bloquea el paquete mientras que la llave pública desbloquea y verifica el paquete. verifica la firma del RPM para asegurarse de que no han sido dañados y los actualiza. Esta información se mantiene como confidencial y no se entrega a nadie más. Por ejemplo. El Perfil del Sistema contiene la información del hardware y software del sistema.

3. utilice el comando rpm -qi seguido de la salida del comando anterior. Asumiendo que el CD-ROM se encuentra montado en /mnt/cdrom. No se deberían instalar paquetes que no pasan las verificaciones de GPG pues pueden haber sido alterados por terceros. 1. Manuel LOPEZ ROBLES 79 . Si no es así. asegúrese de estar utilizando la llave pública correcta de Linux. instálela desde una ubicación segura y estática tal como un CD-ROM de Linux Enterprise. con el comando siguiente: Ing. Después de verificar la llave GPG y descargar todos los paquetes asociados con el informe de errores. el comando devuelve gpg OK. ejecute el comando: rpm -qa gpg-pubkey* Para la llave Linux. Si no tiene la llave GPG de Linux instalada. de los paquetes. así como también verificar la fuente del contenido.rpm Para cada paquete.2. escriba el comando siguiente: rpm -K /tmp/updates/*. utilice el siguiente comando para importarla a su llavero (una base de datos de llaves confiables en el sistema): rpm --import /mnt/cdrom/RPM-GPG-KEY Para desplegar una lista de todas las llaves instaladas para ser verificadas por RPM. instálelos como usuario root desde un shell. si se verifica exitosamente la llave GPG. Para verificar todos los paquetes descargados de una vez. la salida incluirá lo siguiente: gpg-pubkey-db42a60e-37ea5438 Para desplegar detalles sobre una llave específica. Inc. como se muestra en este ejemplo: rpm -qi gpg-pubkey-db42a60e-37ea5438 Es extremadamente importante que verifique la firma de sus archivos RPM antes de instalarlos para asegurarse de que la llave no ha sido alterada desde la entrega de Linux. Instalación de Paquetes Firmados La instalación para la mayoría de los paquetes se puede hacer sin percances (excepto para los paquetes kernel).La utilidad de RPM dentro de Linux Enterprise trata automáticamente de verificar la firma GPG de un paquete RPM antes de instalarlo.

Como se lleve esto a cabo va a depender del tipo de software que se haya actualizado. se puede eliminar el viejo kernel utilizando el comando siguiente: rpm –e <old-kernel-package> Reemplace <old-kernel-package> en el ejemplo anterior con el nombre del RPM del kernel viejo. el kernel no puede reiniciarse sin detener el computador. es importante que detenga el uso del software viejo y comience a utilizar el nuevo software.  Aplicaciones.3. Debido a su rol central. detenga cualquier instancia de la aplicación en el sistema y lance el programa nuevamente para así utilizar la versión actualizada. una versión actualizada del kernel no puede ser usada hasta que el sistema no se reinicie. Manuel LOPEZ ROBLES 80 . el procesador y los periféricos así como también.  Kernel. tales aplicaciones son solamente utilizadas cuando un usuario.rpm Para los paquetes del kernel utilice el comando que sigue: rpm -ivh /tmp/updates/<kernel-package> Reemplace <kernel-package> en el ejemplo anterior con el nombre del RPM del kernel. Por lo tanto. El kernel es el componente de software central para el sistema operativo de Linux Enterprise Linux. Una vez que tal aplicación del espacio de usuario es actualizada. Ing. script o tarea automática las lanza y no persisten por largos períodos de tiempo. Una vez que la máquina ha sido reiniciada sin problemas usando el nuevo kernel. Las aplicaciones del espacio del usuario son cualquier programa que puede ser iniciado por un usuario del sistema. 1. Se encarga de manejar el acceso a la memoria. planifica todas las tareas. rpm -Uvh /tmp/updates/*. Típicamente.3. La lista siguiente muestra las diferentes categorías generales de software y proporciona instrucciones para utilizar las versiones actualizadas luego de una actualización de paquetes. Aplicar los Cambios Después de descargar e instalar las erratas de seguridad a través de Linux Network o del sitio web de Erratas de Linux.

IMAP. Ejemplos de servicios controlados por xinetd incluyen Telnet. cada servicio SysV actualizado. Sin embargo. tales como glibc. reemplace <service-name> con el nombre del servicio. Para determinar cuáles aplicaciones en ejecución están enlazadas a una biblioteca en particular. las conexiones que ocurren después de una actualización son manejadas por el software actualizado.  Servicios xinetd. Las aplicaciones que utilizan una biblioteca compartida típicamente cargan el código compartido cuando la aplicación es inicializada. Por lo tanto. si hay conexiones activas en el momento en que el servicio controlado por xinetd es actualizado. vsftpd y xinetd. que son lanzados durante el proceso de arranque. Los servicios SysV son programas del servidor persistentes. cualquier programa listado debe ser detenido y relanzado si el paquete tcp_wrappers es actualizado. que son usadas por un número de aplicaciones y servicios. Para matar todas las instancias viejas de un servicio controlado por xinetd. siempre y cuando la máquina esté encendida. Esto se puede hacer usando la Herramienta de configuración de servicios o conectándose como root en un indicador de comandos shell y ejecutando el comando /sbin/service como se muestra en el ejemplo siguiente: /sbin/service <service-name>restart En el ejemplo anterior. Por ejemplo. actualice el paquete para el servicio y luego detenga todos los procesos que se estén ejecutando en ese momento. Debido a que estos programas usualmente persisten en memoria. Ejemplos de servicios SysV incluyen sshd. si hay erratas de seguridad para Ing. Manuel LOPEZ ROBLES 81 . debe ser detenido y relanzado después de una actualización de paquetes.so* Este comando devuelve una lista de todos los programas en ejecución que están usando TCP wrappers para el control de acceso a máquinas. utilice el comando lsof. estas son servidas por la versión vieja del software. Para determinar si el proceso está en ejecución. utilice el comando ps y luego use kill o killall para detener todas las instancias actuales del servicio. tal como sshd. como se muestra en el ejemplo: lsof /usr/lib/libwrap. Los servicios controlados por el super servicio xinetd sólo funcionan cuando hay una conexión activa. y POP3. así cualquier aplicación que esté utilizando la biblioteca debe ser detenida y relanzada. Puesto que xinetd lanza nuevas instancias de estos servicios cada vez que se recibe una nueva petición. Las bibliotecas compartidas son unidades de código. Bibliotecas compartidas.  Servicios SysV.

Las sesiones individuales pueden ser terminadas luego usando el comando que sigue: kill -9 <PID> En el ejemplo anterior. es de suma importancia para el administrador fortalecer el sistema y bloquear servicios. Por esta razón. Antes de extendernos en problemas particulares. tales como SSH. Telnet y FTP. conexión. utilice el comando que sigue: killall imapd 2. La mayoría de los servicios modernos de redes. paquetes imap. Manuel LOPEZ ROBLES 82 . hacen uso de TCP wrappers. luego escriba el comando siguiente como root en un indicador de comandos: ps -aux | grep imap.  Utilice protocolos seguros siempre que sea posible.  Supervise todos los servidores cuidadosamente por actividad sospechosa. Este comando devuelve todas las sesiones activas de IMAP. Para matar todas las sesiones IMAP activas. enlace. que montan guardia entre las peticiones entrantes y el servicio solicitado. Los beneficios ofrecidos por TCP wrappers son mejorados cuando se usan en conjunto con xinetd. se convierte en un objetivo para ataques. un super servicio que proporciona acceso adicional. SEGURIDAD DE SERVIDORES Cuando un sistema es usado como un servidor en una red pública. debería revisar los siguientes consejos generales para mejorar la seguridad del servidor:  Mantenga todos los servicios actualizados para así protegerse de las últimas amenazas informáticas.1. redirección y control de la utilización de recursos. actualice los paquetes. Asegure los servicios con TCP Wrappers y xinetd Los TCP wrappers proporcionan control de acceso a una variedad de servicios.  Proporcione sólo un tipo de servicio de red por máquina siempre que sea posible. reemplace <PID> con el número de identificación del proceso (encontrado en la segunda columna del comando ps) para una sesión IMAP. 2. Ing.

debe crear un archivo de pancartas. o el nombre del usuario y la dirección IP para hacer la conexión aún más intimidante. %c 220-All activity on ftp. añada la siguiente línea al archivo /etc/hosts. Para este ejemplo. utilice la opción banner.com is logged. Para comenzar. Manuel LOPEZ ROBLES 83 . tal como el nombre de usuario y del host. 2.2. Esta sección ilustra cómo se pueden usar para enviar pancartas de conexión.2. Este puede estar en cualquier lugar en el sistema. Esto también permite dejarle saber al atacante que el administrador del sistema está atento y vigilante. pero debe tener el mismo nombre que el demonio. Para que esta pancarta sea presentada a las conexiones entrantes. Los TCP Wrappers y las Pancartas de Conexión Una buena forma de disfrazar qué sistema está ejecutando el servidor. Mejorar la seguridad con TCP Wrappers Los TCP wrappers son capaces de mucho más que simplemente negar el acceso a servicios. La señal %c proporciona una variedad de información del cliente.2.1. se nombrará al archivo /etc/banners/vsftpd. Para implementar un mensaje de TCP wrapper para un servicio. Este ejemplo implementa una pancarta para vsftpd. consulte la página del manual de hosts_options. se pueden usar los TCP wrappers para advertir de ataques subsecuentes desde esa máquina o red a través de la directiva spawn.2. avisar sobre ataques desde hosts particulares y mejorar la funcionalidad de conexión.example.allow: vsftpd : ALL : banners /etc/banners/ 2. 220-Act up and you will be banned. Los contenidos del archivo se verán así: 220-Hello. TCP Wrappers y las Advertencias de Ataques Si un host particular o red ha sido atrapada tratando de atacar el servidor. El Manual de referencia de Linux Enterprise tiene una lista de otras señales disponibles con los TCP wrappers.2. Ing. Para una lista detallada de la funcionalidad y el lenguaje de control de los TCP wrappers. es enviando un mensaje intimidante a las conexiones clientes para un servicio.

y niegue la conexión.4. se asume que el cracker desde la red 206. es un maleante informático.telnetd: ALL : severity emerg Esto usará la facilidad de conexión por defecto authpriv.deny.0 : spawn /bin/ 'date' %c %d >> /var/log/intruder_alert La señal %d suministra el nombre del servicio que el atacante estaba tratando de acceder.3. Para una lista de las opciones disponibles.deny: in. A los hosts en esta lista se les negará conexiones a los servicios Ing. Para resaltar esto. Colocando una Trampa Una característica importante de xinetd es la habilidad de añadir hosts a una lista global de no_access. pero subirá el nivel de prioridad del valor por defecto de info a emerg. 2.5. Aumento de la seguridad con xinetd El super servidor xinetd es otra herramienta útil para controlar el acceso a sus servicios subordinados.0/24 ha sido atrapado intentando atacar el servidor. coloque una bandera emerg en los archivos de registro en vez de la bandera por defecto.182.conf.182. Para hacer esto. lo cual coloca los mensajes de conexión directamente a la consola. TCP Wrappers y el Mejoramiento de la Conexión Si ciertos tipos de conexión son de mayor preocupación que otros.2. Colocando la siguiente línea en el archivo /etc/hosts. Esta sección se enfocará en cómo se puede usar xinetd para colocar un servicio trampa y controlar la cantidad de recursos otorgados que cualquier servicio xinetd pueda usar para así frustrar posibles ataques de DoS. info. 2.En este ejemplo. Manuel LOPEZ ROBLES 84 . consulte las páginas man para xinetd y xinetd. se puede subir el nivel de conexión para ese servicio a través de la opción severity. ALL : 206.2. En este ejemplo.2. se niega el intento de conexión y se registra a un archivo especial.68. Para permitir la conexión y registrarla. coloque la directiva spawn en el archivo /etc/hosts.allow. coloque la línea siguiente en /etc/hosts. se asume que cualquiera que esté intentando conectarse al puerto 23 (el puerto de Telnet) en un servidor FTP. 2.68.

Control de Recursos del Servidor Otra característica importante de xinetd. lo que mantiene el bloqueo hasta que se reinicie xinetd. la última línea debería mostrar lo siguiente: disable = no Aún cuando el uso de SENSOR es una buena forma de detectar y detener conexiones de máquinas dañinas. 2.  instances = <number_of_connections>.d/telnet y cambie la línea flags para que muestre lo siguiente: flags = SENSOR Agregue la línea siguiente entre llaves: deny_time = 30 Esto negará al host el acceso al puerto por 30 minutos.6. Esto se logra usando el atributo SENSOR. es su habilidad para controlar la cantidad de recursos que los servicios bajo su control pueden utilizar. se utilizará Telnet. Modifique el archivo /etc/xinetd. Manuel LOPEZ ROBLES 85 . El primer paso en configurar un SENSOR es seleccionar un servicio que usted planea no utilizar. Para este ejemplo. Finalmente. lo que permite la conexión y la conecta. puede montar un ataque de rechazo de servicio (DoS) en contra de un host particular falsificando sus direcciones IP y conectándose al puerto prohibido. Otros valores aceptables para el atributo deny_time son FOREVER. tiene dos desventajas:  No funcionará contra escaneos sigilosos. Indica el número total de conexiones permitidas al servicio. Esta técnica es una forma fácil de bloquear máquinas que intenten escanear un puerto del servidor.2. Ing. y NEVER. Indica el número de conexiones permitidas al servicio por segundo. Esto se hace a través de las siguientes directrices:  cps = <number_of_connections> wait_period. Esta directiva acepta bien sea un valor entero o UNLIMITED.  Un atacante que sabe que usted está ejecutando un SENSOR.manejados por xinetd por un tiempo determinado o hasta que se reinicie xinetd. Esta directiva acepta solamente valores enteros.

es una buena idea añadir reglas de IPTables al servidor para así limitar el acceso a redes específicas. Indica la cantidad de tiempo en segundos que un servicio puede ocupar el CPU. Evite los nombres de hosts.0/24 y desde la máquina local (la cual es necesaria para el servicio sgi_fam. solamente utilice direcciones IP cuando esté limitando el acceso al servicio.3. Proteger portmap con IPTables Para restringir más aún el acceso al servicio portmap. Además. es difícil de asegurar. Esta directiva acepta un valor entero o UNLIMITED. Esta directiva acepta valores enteros o UNLIMITED.  rlimit_cpu =<number_of_seconds>.3. Por estas razones. tales como NIS y NFS. 2. Tiene mecanismos de autenticación débiles y la habilidad de asignar un amplio rango de puertos para los servicios que controla. Proteja Portmap con TCP Wrappers Es importante utilizar TCP wrappers para limitar qué redes o máquinas tienen acceso al servicio portmap puesto que éste no posee autenticación incorporada. Protección de Portmap El servicio portmap es un demonio de asignación de puertos dinámico para servicios RPC.3. resultando en un rechazo de servicio. Usando estas directivas puede ayudar a prevenir que cualquier servicio xinetd sobresature el sistema. Todos los demás paquetes son descartados. 2.1. utilizado por Nautilus). en kilobytes o megabytes. Abajo se muestran dos ejemplos de comandos IPTables que permiten conexiones TCP al servicio portmap (escuchando en el puerto 111) desde la red 192. 2. Ing. Manuel LOPEZ ROBLES 86 .  rlimit_as = <number[K|M]>.168.Indica las conexiones permitidas a un servicio por cada máquina.2. Indica la cantidad de espacio de direcciones de memoria que el servicio puede ocupar. pues estos pueden ser falsificados a través de envenenamiento de DNS y otros métodos. Esta directiva acepta un valor entero o UNLIMITED. per_source =<number_of_connections> .

4.0/24 --dport 111 -j DROP 2. Este es el demonio del servidor NIS.4.  /usr/sbin/yppush. es el demonio responsable de las transferencias de mapas NIS sobre la red.1. Planee la Red Cuidadosamente Debido a que NIS pasa información confidencial sin encriptar sobre la red.0. No tiene mecanismos de autenticación y pasa toda la información sobre la red sin encriptación. Protección de NIS NIS viene de Network Information Service.yppasswdd. es importante que se ejecute el servicio detrás de un cortafuego y en una red Ing. se debe tener extremo cuidado cuando se configure una red que utilice NIS.0. Ellas incluyen las siguientes:  /usr/sbin/rpc. Esta aplicación propaga las bases de datos NIS modificadas a múltiples servidores NIS. También llamado el servicio yppasswdd. 2.168. la configuración por defecto de NIS es insegura en si.0/24 --dport 111 -j DROP iptables -A INPUT -p tcp -s 127.168.1 --dport 111 -j ACCEPT Para limitar el tráfico UDP de forma similar. Un servidor NIS esta compuesto de varias aplicaciones. utilice el comando siguiente. También llamado ypxfrd.iptables -A INPUT -p tcp -s! 192. Es un servicio RPC llamado ypserv el cual es usado en conjunto con portmap y otros servicios relacionados.  /usr/sbin/rpc. Para complicar la situación aún más.  /usr/sbin/ypserv.0. este demonio permite a los usuarios cambiar sus contraseñas NIS. o servicio de información de redes. incluyendo las contraseñas. Como consecuencia. NIS es más bien inseguro para los estándares de hoy día.0. para distribuir mapas de nombres de usuarios. Manuel LOPEZ ROBLES 87 . iptables -A INPUT -p udp -s! 192.ypxfrd. contraseñas y otra información confidencial a cualquier computador que se encuentre dentro de su dominio.

si alguien conecta una portátil a la red o irrumpe en la red desde afuera (y logra simular una dirección IP interna). De la misma manera. Utilice un nombre de Dominio NIS y de Host de Tipo Contraseña Cualquier máquina dentro de un dominio NIS puede usar comandos para extraer información desde el servidor sin necesidad de autenticación.com. Cada vez que se transmite información NIS a través de la red.segmentada y segura.4.domain. Ing.2.4. 2.255.4. siempre y cuando el usuario conozca el nombre DNS y del dominio del servidor NIS.yppasswdd .255. el demonio que permite a los usuarios cambiar sus contraseñas de conexión.4. cree un nombre aleatorio diferente para el nombre de dominio NIS. Por ejemplo. el comando siguiente revelará el mapa /etc/passwd: ypcat –d <NIS_domain> -h <DNS_hostname> passwd Si este atacante es un usuario root. Manuel LOPEZ ROBLES 88 . cree una cadena de caracteres aleatoria para el nombre DNS de la máquina. tal como o7hfawtgmhwg.0. Asignar puertos a los otros dos demonios de servidores NIS. Un diseño de la red cuidadoso en este aspecto puede ayudar a prevenir violaciones de la seguridad.0 2. podrá obtener el archivo /etc/shadow escribiendo el comando siguiente: Ypcat –d <NIS_domain> -h <DNS_hostname> shadow Para hacer el acceso a los mapas NIS más difícil para un atacante.168. Modifique el archivo /var/yp/securenets NIS escuchará a todas las redes si el archivo /var/yp/securenets está en blanco o no existe (como es el caso después de una instalación por defecto).0 192. Una de las primeras cosas que debería hacer es colocar los pares máscaras/redes en el archivo para que ypserv sólo responda a las peticiones desde la red adecuada. Esto hará mucho más difícil a un atacante accesar el servidor NIS. hay riesgos de que sea interceptada. Abajo se muestra una entrada de muestra de un archivo /var/yp/securenets: 255. Asignar puertos estáticos y uso de reglas IPTables A todos los servidores relacionados con NIS se les pueden asignar puertos específicos excepto por rpc.3. 2.

Para obtener más información sobre Kerberos. puede reunir fácilmente los nombres de usuarios y contraseñas.1. es que cada vez que un usuario se conecta a una máquina. permite crear reglas de cortafuegos para proteger aún más los demonios del servidor NIS contra los intrusos. 2.4.ypxfrd y ypserv. es importante que el servicio sea configurado correctamente Ing.5. un programa de descifrado de contraseñas puede adivinar las contraseñas débiles y el atacante puede obtener acceso a una cuenta válida en la red.0/24 --dport 834 -j DROP iptables -A INPUT -p ALL -s! 192. haciendo el sistema mucho más seguro. consulte el capítulo llamado Kerberos en el Manual de referencia de Linux Enterprise. Con el tiempo suficiente. Manuel LOPEZ ROBLES 89 .0.rpc. añada las líneas siguientes a /etc/sysconfig/network: YPSERV_ARGS="-p 834" YPXFRD_ARGS="-p 835" Las siguientes reglas IPTables se pueden emitir para imponer a cual red el servidor escuchará para estos puertos: iptables -A INPUT -p ALL -s! 192.) es un servicio RPC que se usa conjuntamente con portmap y otros servicios relacionados para proporcionar sistemas de archivos accesibles a través de la red a las máquinas clientes.5. 2.0. Puesto que Kerberos utiliza una criptografía de clave secreta. se envía el hash de la contraseña desde /etc/shadow a través de la red.168. Si un intruso obtiene acceso a un dominio NIS y husmea el tráfico de la red. Protección de NFS El Sistema de Archivos de Red (Network File System o NFS. Para hacer esto. Planee la Red Cuidadosamente Debido a que NFSv4 tiene la habilidad de pasar toda la información encriptada sobre la red usando Kerberos.5. Utilice autenticación Kerberos Una de las debilidades inherentes más resaltantes cuando se utiliza NIS para autenticación.0/24 --dport 835 -j DROP 2.168. nunca se envían los hash de las contraseñas sobre la red.

5. Cuidado con los Errores Sintácticos El servidor NFS determina cuáles sistemas de archivos exportar y a cuáles máquinas exportar estos directorios a través del archivo /etc/exports. No utilice la opción no_root_squash Por defecto.example.com con permisos de lectura y escritura. Tenga cuidado de no añadir espacios adicionales cuando edite este archivo.com (rw) Es un buen hábito verificar cualquier directorio compartido NFS usando el comando showmount para verificar que está siendo compartido: showmount –e <hostname> 2.example. /tmp/nfs/ bob. Protección del Servidor Apache HTTP El Servidor Apache HTTP es uno de los servicios más estables y seguros que se entregan con Linux Enterprise. esta línea en el archivo /etc/exports. Ing.example. /tmp/nfs/ bob.si se encuentra detrás de un cortafuego o en un segmento de la red. comparte el mismo directorio con el host bob. lo que previene la carga de programas con la configuración del bit setuid. Por ejemplo.5. todos los archivos creados por root son propiedad del usuario nfsnobody.com(rw) Por otro lado.6. los directorios compartidos NFS cambian el usuario root (superusuario) por el usuario nfsnobody. los usuarios remotos podrán cambiar cualquier archivo en el sistema de archivos compartido y dejar aplicaciones con troyanos para que otros usuarios las ejecuten inadvertidamente.com con permisos de sólo lectura y lo comparte con todo el mundo con permisos de lectura y escritura debido a un espacio en blanco luego del nombre de la máquina.example. 2. 2. Si se utiliza no_root_squash. una cuenta de usuario sin privilegios.2. Manuel LOPEZ ROBLES 90 . NFSv2 y NFSv3 aún envían la información de forma insegura y se deberían de tomar las medidas necesarias. la línea siguiente en el archivo /etc/exports comparte el directorio /tmp/nfs/ al host bob. Hay una cantidad impresionante de opciones y técnicas disponibles para asegurar el Servidor Apache HTTP.3. De esta forma. Un diseño cuidadoso en este aspecto puede ayudar a prevenir violaciones de la seguridad.

por lo tanto tenga cuidado al crear enlaces simbólicos al documento raíz del servidor Web.  La directiva UserDir. Asegúrese de que solamente asigna permisos de escritura al usuario root para cualquier directorio que contenga scripts o CGIs. Esta directiva está activada por defecto. La directiva UserDir está desactivada por defecto porque puede confirmar la presencia de una cuenta de usuario en el sistema. Si desea añadir usuarios a la lista de cuentas deshabilitadas. Esto se puede lograr escribiendo los comandos siguientes: chown root <directory_name> chmod 755 + <directory_name> Ing. añada una lista de usuarios delimitada por espacios en la línea UserDir disabled. el servidor contiene módulos que no pueden ejecutar comandos. Esta directiva está activada por defecto. puesto que potencialmente habilita a que un atacante pueda ejecutar comandos en el sistema. Por defecto. es importante que lea la documentación disponible para la aplicación.  No elimine la directiva IncludesNoExec. Manuel LOPEZ ROBLES 91 . pero puede que no sea recomendable. es una mala idea proporcionar un enlace simbólico a /. No se recomienda modificar esta configuración a menos que tenga la necesidad real de hacerlo. Si no desea que los usuarios hojeen los archivos en el servidor.  La directiva Indexes.  Limite los permisos para los directorios ejecutables. Abajo hay una lista con las opciones de configuración que los administradores deberían tener mucho cuidado cuando las usen.  FollowSymLinks. es mejor que elimine esta directiva. Por ejemplo. utilice las directivas siguientes: UserDir enabled UserDir disabled root Estas directivas activan la navegación del directorio del usuario para todos los directorios de usuarios excepto /root. Si desea activar la navegación del directorio del usuario en el servidor.Cuando configure el Servidor Apache HTTP.

es mejor utilizar un archivo de pancartas. Las siguientes pautas de seguridad son para la configuración del servicio FTP vsftpd. esta pancarta incluye información relacionada con la versión. Protección de FTP El Protocolo de transferencia de archivos o FTP. Linux Enterprise proporciona tres servidores FTP. Manuel LOPEZ ROBLES 92 . 2. Para cambiar la pancarta de bienvenida para vsftpd. Además. 2.  gssftpd. añada la directiva siguiente a /etc/vsftpd/vsftpd. El archivo de pancartas para las conexiones FTP en este ejemplo será /etc/banners/ftp. Un servidor Web con espacio kernel que posee capacidades de FTP. Una implementación de servicio FTP independiente y orientado a la seguridad.1. lo que es útil para los maleantes informáticos que estén intentando averiguar las debilidades del sistema. Abajo se muestra un ejemplo de como se vería tal archivo: Ing.msg. incluyendo la autenticación de usuarios. Pancarta de Saludo de FTP Antes de suministrar un nombre de usuario y contraseña.  Linux Content Accelerator (tux). Un demonio FTP kerberizado basado en xinetd que no pasa información de autenticación sobre la red. Para simplificar la administración de múltiples pancartas.conf: ftpd_banner = <insert_greeting_here> Reemplace <insert_greeting_here> en la directiva de arriba con el texto de su mensaje de bienvenida. se considera un protocolo inseguro y debería ser configurado cuidadosamente.7. siempre verifique que cualquier script que esté ejecutando en el sistema funcione como se espera antes de colocarlos en producción. Debido a que todas las transacciones con el servidor no son encriptadas. colocaremos todas las pancartas en un nuevo directorio llamado /etc/banners/. es un protocolo de TCP antiguo diseñado para transferir archivos sobre la red. Para pancartas de varias líneas. a todos los usuarios se les presenta una pancarta de saludo. Por defecto.7.  vsftpd.

# #################################################### Para hacer referencia a este archivo de pancartas desde vsftpd. all activity on ftp. La presencia del directorio /var/ftp/ activa la cuenta anónima. El archivo de configuración PAM para vsftpd es /etc/pam. Luego. Si desea permitir a los usuarios anónimos que carguen archivos al servidor. bajo el comando vsftpd. Este paquete configura un árbol de directorios y configura los permisos en estos directorios como de sólo lectura para los usuarios anónimos. Un listado de formato largo del directorio debería verse como: drwx-wx--. Manuel LOPEZ ROBLES 93 .  Carga anónima. Para inhabilitar las cuentas de usuarios en vsftpd.2 root ftp 4096 Feb 13 20:05 upload Adicionalmente.d/vsftpd. añada la siguiente directiva al archivo /etc/vsftpd/vsftpd. añada la siguiente directiva a /etc/vsftpd/vsftpd. La forma más fácil de restringir un grupo específico de cuentas de usuarios. es una buena idea negar a los usuarios del sistema el acceso al servidor desde sus cuentas de usuario.conf: banner_file=/etc/banners/ftp. se recomienda que cree un directorio de sólo escritura dentro de /var/ftp/pub/. tales como el usuario root y aquellos con privilegios sudo. Ing.conf: local_enable=NO  Restringir cuentas de usuarios.msg  Acceso Anónimo. añada la línea siguiente a /etc/vsftpd/vsftpd. Para hacer esto escriba: mkdir /var/ftp/pub/upload. cambie los permisos para que los usuarios anónimos no puedan ver que hay dentro del directorio.#################################################### # Hello. La forma más fácil de crear este directorio es instalando el paquete vsftpd.8.conf: anon_upload_enable=YES 2.example. Por defecto los usuarios anónimos no pueden escribir a estos directorios. de acceder a un servidor FTP. Cuentas de Usuarios Debido a que FTP pasa los nombres de usuarios y contraseñas sobre redes inseguras sin encriptar. es usando un archivo de lista PAM. escribiendo: chmod 730 /var/ftp/pub/upload.com is logged.

 confCONNECTION_RATE_THROTTLE. Aún cuando muchos MTAs son capaces de encriptar el tráfico entre unos y otros. Por defecto.9. Para deshabilitar una cuenta de usuario específica en vsftpd. Sendmail no limita el número de conexiones. Por defecto es 100 bloques. un atacante determinado puede inundar fácilmente el servidor con correos y de esta manera causar un rechazo de servicio. 2. Limitar los Ataques de Rechazo de Servicio (DoS) Debido a la naturaleza del correo electrónico. El tamaño máximo aceptable (en bytes) para la cabecera de un mensaje. El número mínimo de bloques libres que debe haber disponible para que el servidor acepte correos. Si se establece un límite y este es alcanzado. las conexiones siguientes son retrasadas. 2. por tanto el envío de correos electrónicos sobre redes públicas es considerado una forma insegura de comunicación.1.  confMAX_DAEMON_CHILDREN.ftpusers. El máximo número de procesos hijo que se pueden producir por el servidor. añada el nombre de usuario a /etc/vsftpd. SMTP) para entregar mensajes electrónicos entre otros MTA y a los clientes de correo o agentes de entrega. la mayoría no lo hacen.  confMAX_HEADERS_LENGTH. Sendmail no asigna un límite al número de procesos hijos. Asegurando Sendmail Sendmail es un Agente de transporte de correos (MTA) que utiliza el protocolo de transporte de correos simple (Simple Mail Transport Protocol. Se recomienda que cualquiera que esté planeando implementar un servidor Sendmail. El número de conexiones que el servidor puede recibir por segundo. Por defecto.mc. Si se coloca un límite y este es alcanzado. Manuel LOPEZ ROBLES 94 .  confMIN_FREE_BLOCKS. tenga en cuenta los siguientes problemas. Ing. Se puede limitar la efectividad de tales ataques mediante la colocación de límites a las siguientes directrices en /etc/mail/sendmail. También es posible desactivar las cuentas de usuario dentro de cada servicio directamente.9. las conexiones siguientes son retrasadas.

El tamaño máximo aceptable (en bytes) para cualquier mensaje. recibir y leer los correos electrónicos del otro. Verificar Cuáles Puertos están Escuchando Una vez que haya configurado los servicios en la red.4. NFS y Sendmail Nunca coloque el directorio del spool de correos. No deberían permitirse las cuentas shell en el servidor de correo y todos los usuarios shell en el archivo /etc/passwd deberían ser colocados a /sbin/nologin (con la posible excepción del usuario root).9.2. sino más bien verifican qué está ejecutándose en el sistema. Este método es menos confiable puesto que estos programas no conectan a la máquina desde la red. Cualquier puerto abierto puede ser una evidencia de una intrusión. en un volúmen compartido NFS. es mejor para los usuarios de correo electrónico solamente accedan al servidor Sendmail usando un programa de correo. Por esta razón. De esta forma.9. puesto que el módulo del kernel SECRPC_GSS no utiliza una autenticación basándose en UID. 2.9. Con NFSv4 usando Kerberos. El comando siguiente ejecutado desde la consola. determina cuáles puertos están escuchando por conexiones TCP desde la red: Ing. /var/spool/mail/.3. es importante poner atención sobre cuáles puertos están escuchando en realidad en las interfaces de red del sistema. dos o más usuarios pueden tener el mismo UID y por tanto. estas aplicaciones son objetivos frecuentes de atacantes para reemplazarlas. 2. Una forma más confiable de verificar qué puertos están escuchando en la red es usar un escáner de puertos tal como nmap. Existen dos soluciones básicas para listar cuales puertos están escuchando en la red. Usuarios de Correo Únicamente Para ayudar a prevenir explotaciones del usuario local en el servidor Sendmail. este no es el caso. Manuel LOPEZ ROBLES 95 . los crackers intentan cubrir sus rastros si abren puertos no autorizados. La solución menos confiable es consultar la pila de la red tipeando comandos tales como netstat -an o lsof -i. 2. Debido a que NFSv2 y NFSv3 no mantiene un control sobre los IDs de usuarios y de grupos. con_AX_MESSAGE_SIZE.

0.190 seconds Esta salida muestra que el sistema está ejecutando portmap debido a la presencia del servicio sunrpc. escriba: cat /etc/services | grep 834 Este comando no devuelve ninguna salida.2 Linux 2.0:* LISTEN 653/ypbind Ing. Luego.4. Sin embargo.2.0:834 0. Manuel LOPEZ ROBLES 96 .X|2.25 .3 or Gentoo 1.1 IP address (1 host up) scanned in 5.0.1): (The 1653 ports scanned but not shown below are in state: closed) PORT STATE SERVICE 22/tcp open ssh 25/tcp open smtp 111/tcp open rpcbind 113/tcp open auth 631/tcp open ipp 834/tcp open unknown 2601/tcp open zebra 32774/tcp open sometimes-rpc11 Device type: general purpose Running: Linux 2.4.org/nmap/ ) at 2004-09-24 13:49 EDT Interesting ports on localhost.0. puede verificar por información sobre el puerto usando netstat o lsof. Esto indica que aunque el puerto está en el rango reservado (es decir del 0 al 1023) y requiere acceso root para ser abierto.6.0. existe también un servicio misterioso en el puerto 834.localdomain (127.5.0.857 days (since Sat Sep 11 17:16:20 2004) Nmap run completed -.0.X OS details: Linux 2.55 ( http://www. Para verificar el puerto 834 usando netstat.5.insecure.6.19 rc1-rc7) Uptime 12. Para verificar si el puerto está asociado con la lista oficial de servicios conocidos.X|2. no está asociado con un servicio conocido. utilice el comando siguiente: netstat -anp | grep 834 El comando devuelve la siguiente salida: Tcp 0 0 0. nmap -sT -O localhost La salida de este comando es parecida a lo siguiente: Starting nmap 3.

la opción [p] revela el id del proceso (PID) del servicio que abrió el puerto. ACTIVIDAD  Investigue que repositorios se encuentran actualmente disponibles para la descarga de archivos de actualización para diferentes distribuciones Linux  Determine y clasifique las herramientas que Linux proporciona para incrementar la seguridad en la administración de redes. nmap. Este parche es aplicado al paquete de Ing. El comando lsof revela información similar puesto que es capaz de enlazar puertos abiertos a servicios: lsof -i | grep 834 Abajo se encuentra la porción relevante de la salida de este comando: ypbind 653 0 7u IPv4 1319 TCP *:834 (LISTEN) ypbind 655 0 7u IPv4 1319 TCP *:834 (LISTEN) ypbind 656 0 7u IPv4 1319 TCP *:834 (LISTEN) ypbind 657 0 7u IPv4 1319 TCP *:834 (LISTEN) Estas herramientas pueden revelar mucha información sobre el estado de los servicios ejecutándose en la máquina. 3. Estas herramientas son flexibles y pueden proporcionar gran cantidad de información sobre los servicios de red y la configuración. Además. En este caso. y services. 4. que es un servicio RPC manejado en conjunto con el servicio portmap.  Implemente un grupo de seguridad para tener acceso a los recursos de la red Linux de la Facultad de Ingeniería de la UPLA. Se recomienda la revisión de las páginas man para lsof. netstat. posiblemente no se revelaría a través de este comando. Manuel LOPEZ ROBLES 97 .La presencia de un puerto abierto en netstat es tranquilizante puesto que un maleante abriendo un puerto subrepticiamente en un sistema violado. RESUMEN Se debe haber obtenido una comprensión adecuada de los siguientes puntos clave:  El Sistema Operativo Linux permite la descarga de actualizaciones para sellar cualquier posible riesgo de seguridad. el puerto abierto pertenece a ypbind (NIS).

hacen uso de TCP wrappers. probado por el equipo de aseguramiento de la calidad de Linux y luego distribuido como una actualización de erratas. Por esta razón.  Cuando un sistema es usado como un servidor en una red pública.  NIS viene de Network Information Service. proporcione sólo un tipo de servicio de red por máquina siempre que sea posible. contraseñas y otra información confidencial a cualquier computador que se encuentre dentro de su dominio. supervise todos los servidores cuidadosamente por actividad sospechosa. El Protocolo de Ing. para distribuir mapas de nombres de usuarios.  Linux Network permite automatizar la mayoría de los procesos de actualización. verifica la firma del RPM para asegurarse de que no han sido dañados y los actualiza. El servicio portmap es un demonio de asignación de puertos dinámico para servicios RPC. Manuel LOPEZ ROBLES 98 . La mayoría de los servicios modernos de redes. Hay una cantidad impresionante de opciones y técnicas disponibles para asegurar el Servidor Apache HTTP. o servicio de información de redes. se convierte en un objetivo para ataques.) es un servicio RPC que se usa conjuntamente con portmap y otros servicios relacionados para proporcionar sistemas de archivos accesibles a través de la red a las máquinas clientes. es importante descargar la actualización a partir de una fuente confiable. Telnet y FTP. los descarga desde repositorios seguros. tales como SSH. que montan guardia entre las peticiones entrantes y el servicio solicitado. utilizar protocolos seguros siempre que sea posible. Linux.  Los TCP wrappers proporcionan control de acceso a una variedad de servicios. Asimismo Linux Network requiere un Perfil del sistema para cada máquina que desea actualizar. Asimismo debe actualizar software en un sistema.  El Servidor Apache HTTP es uno de los servicios más estables y seguros que se entregan con Linux Enterprise. tales como NIS y NFS. Para darle seguridad al servidor puede: Mantener todos los servicios actualizados para así protegerse de las últimas amenazas informáticas. Es un servicio RPC llamado ypserv el cual es usado en conjunto con portmap y otros servicios relacionados. Determina cuáles paquetes RPM son necesarios para el sistema. El Sistema de Archivos de Red (Network File System o NFS. El Perfil del Sistema contiene la información del hardware y software del sistema. es de suma importancia para el administrador fortalecer el sistema y bloquear servicios.

se considera un protocolo inseguro y debería ser configurado cuidadosamente. Ramos Varón. Antonio.  Stallings.  Villaton Huerta. 2000. Debido a que todas las transacciones con el servidor no son encriptadas. por tanto el envío de correos electrónicos sobre redes públicas es considerado una forma insegura de comunicación. Williams. Windows 2003 Server. Manuel LOPEZ ROBLES 99 . Prentice Hall. Richard L. 2003. España. Antonio. España 2004. Lorente Pérez. Fernando. España. Iñaki. Fundamentos de Seguridad en Redes. la mayoría no lo hacen. Hacking y Seguridad en Internet. Alfaomega Editorial Rama. Aún cuando muchos MTAs son capaces de encriptar el tráfico entre unos y otros. Jean. 2008. NEXO La siguiente unidad se encarga de explicar los perfiles de seguridad que Microsoft Windows ofrece para la aplicación de políticas de seguridad dentro de una red de computadoras Ing. Mc Graw Hill. Aplicaciones y Estándares. transferencia de archivos o FTP. Diseño de Redes Seguras. Gerend Jason. es un protocolo de TCP antiguo diseñado para transferir archivos sobre la red. Seguridad en Unix y Redes. 5. Sharon Crawford. Mc Graw Hill. Linux: The Complete Reference Enterprise Linux & Fedora Edition: The Complete Reference. incluyendo la autenticación de usuarios. España. España.  Petersen. Charlie. Canadá 2004.  Picouto Ramos. 2002 6. García Moran. Prentice Hall Hispanoamericana. Sendmail es un Agente de transporte de correos que utiliza el protocolo de transporte de correos simple para entregar mensajes electrónicos entre otros MTA y a los clientes de correo o agentes de entrega. BIBLIOGRAFÍA RECOMENDADA  Microsoft Training and Certification.  Russel.

Indique que consejos podría aplicar en una red de computadoras para mejorar la seguridad del servidor. Manuel LOPEZ ROBLES 100 . Indique la función de Linux Network y su implicancia en la seguridad de la administración de la red de computadoras. Portmap. 1. NFS y su implicancia en la administración segura de una red de computadoras. 4. NIS. Ing. Determine las formas en que Linux proporciona información para encontrar información sobre las actualizaciones de erratas. 2. 3.7. Determine la diferencia entre TCP Wrappers. AUTOEVALUACION FORMATIVA.

UNIDAD ACADÉMICA Nº 06

SEGURIDAD EN EQUIPOS WINDOWS SERVER

La seguridad de una red depende de la configuración de seguridad de los equipos que
la componen. Cualquier infracción en la seguridad de un solo equipo puede poner en
peligro la seguridad de todos los equipos de la red y arriesgar, por lo tanto, la
seguridad de la propia red. Para proteger una red de Microsoft® Windows®, es
fundamental diseñar la seguridad para cada equipo con Windows que forma parte de
esa red.

1. DISEÑO DE LA SEGURIDAD FÍSICA DE EQUIPOS CON WINDOWS SERVER

Los equipos con Windows que contienen datos críticos deben estar protegidos de
amenazas como el acceso físico no autorizado, robo o destrucción. Es necesario que
determine cuáles son los equipos que contienen este tipo de información para
aplicarles la seguridad adicional adecuada.

La seguridad física engloba la colocación real del hardware, como puede ser la
ubicación de los servidores dentro de una oficina, y la configuración del hardware que
se aplica antes de cargar un sistema operativo. Diseñar la seguridad física en un
entorno de Windows implica planear la colocación del servidor, el método de uso de la
utilidad de claves del sistema (SYSKEY) para el cifrado de contraseñas en el servicio
de directorios Active Directory™ y el uso de métodos de seguridad de configuración
del hardware, como tarjetas inteligentes y contraseñas del sistema básico de entrada y
salida (BIOS).

1.1. Diseño de la seguridad física de la red

Los equipos con Windows que se utilizan como servidores en una red están expuestos
a riesgos como el acceso no autorizado, daños físicos y robos. La interrupción de un
servicio como consecuencia de daños o robos tendrá un efecto significativo sobre una
organización que dependa de los recursos del servidor para realizar sus operaciones
diarias. Para contrarrestar estos riesgos, puede colocar servidores con Windows en
lugares donde los recursos físicos estén protegidos.

Para proteger servidores con Windows contra riesgos físicos, puede:

Ing. Manuel LOPEZ ROBLES 101

 Colocar los servidores en habitaciones cerradas a las que sólo tenga acceso el
personal autorizado.

 Proteger los dispositivos de red como enrutadores, conmutadores y puentes para
asegurar que un agresor no pueda conectarse físicamente a ellos. Muchos
dispositivos permitirán que una herramienta de análisis de la red, o rastreador de
red, se conecte directamente al dispositivo de red para ver el tráfico en todos los
segmentos conectados a él.

 Asegurarse de que se implementan contraseñas complejas en todos los
dispositivos de red. Si se permite, configurar los enrutadores y conmutadores como
clientes del Servicio de autenticación remota para usuarios de acceso telefónico
(RADIUS, Remote Authentication Dial-In User Service) con el Servicio de
autenticación de Internet (IAS, Internet Authentication Service) que proporciona la
autenticación de Active Directory.

Al colocar los servidores en lugares protegidos, el acceso físico queda restringido al
personal autorizado. Si los servidores no están protegidos y se obtiene el acceso
físico, el servidor se puede iniciar por medio de un disquete con una utilidad que omite
la seguridad local de los archivos, como NTFSDOS. Dichas utilidades permitirán al
usuario local el acceso a los archivos de una partición del sistema de archivos NTFS
sin ninguno de los permisos NTFS que se aplican a ese usuario.

1.2. Protección de las Contraseñas en Active Directory

Las contraseñas que no están cifradas adecuadamente corren el riesgo de que el
software de determinación de contraseñas las descifre. Puede usar la utilidad SYSKEY
para cambiar el modo en que se aplica el cifrado seguro (cifrado a un nivel cada vez
mayor) a toda la información de contraseñas almacenada dentro de Active Directory.
La utilidad SYSKEY emplea una clave de cifrado aleatorio de 128 bits, conocida como
clave de cifrado de contraseñas. La utilidad SYSKEY genera luego una clave del
sistema que se utiliza para cifrar la clave de cifrado de contraseñas. La clave de
cifrado de contraseñas se usa para cifrar la información de contraseñas en Active
Directory.

El cifrado de la información de contraseñas dentro de Active Directory protege contra
un ataque por la fuerza bruta (un intento de descubrir una contraseña por medio de

Ing. Manuel LOPEZ ROBLES 102

combinaciones de palabras o caracteres) en caso de robo de la unidad de disco duro
de un controlador de dominio de Windows.

Figura 1. Protección de Contraseñas en Active Directory

Al iniciar el controlador de dominio, la clave del sistema se utiliza para descifrar la
clave de cifrado de contraseñas, que a su vez descifra las contraseñas según sea
necesario. Un cifrado seguro puede reducir la probabilidad de éxito del software de
determinación de contraseñas. Sin embargo, no garantiza la prevención si no se
siguen las instrucciones para crear contraseñas seguras.

La utilidad SYSKEY permite almacenar la clave del sistema de diferentes formas para
satisfacer las necesidades de los diversos entornos de Windows. Para definir la
ubicación de la clave del sistema, puede elegir entre las siguientes opciones:

 El equipo genera una clave que se almacena en el sistema local. Utilice una
clave aleatoria generada por el equipo como clave del sistema y almacénela en el
sistema local mediante un algoritmo de cifrado complejo. Esta opción proporciona
un cifrado seguro de la información de contraseñas en el Registro y permite el
reinicio desatendido del sistema.

 El equipo genera una clave que se almacena en un disquete. Utilice una clave
aleatoria generada por el equipo y almacénela en un disquete. Para iniciar el
sistema se requiere el disquete con la clave del sistema. Antes de que el sistema

Ing. Manuel LOPEZ ROBLES 103

3. Manuel LOPEZ ROBLES 104 . Windows le pedirá el disquete. Utilice una contraseña elegida por el administrador del sistema para crear la clave del sistema.  El administrador elige la contraseña. esté disponible para que los usuarios inicien la sesión. Windows permite el cifrado seguro de Active Directory y almacena la clave del sistema como una clave generada por el equipo que se almacena en el sistema local. puede emplear estrategias adicionales que ayudarán a garantizar la seguridad física completa de los equipos con Windows. La contraseña de la clave del sistema no se almacena en ninguna parte del sistema. Sólo entonces el sistema estará disponible para que los usuarios inicien la sesión. Para proteger la clave de cifrado de contraseñas se utiliza una versión de Síntesis de mensaje 5 (MD5. Message Digest 5) de la contraseña. Puede utilizar cualquier combinación de las estrategias siguientes: Figura 2. Diseño de la seguridad de la configuración del hardware Si comprueba que la seguridad predeterminada es inadecuada para sus requisitos de seguridad. La clave del sistema no se almacena en ninguna parte del sistema local. 1. Diseño de Seguridad en la Configuración del Hardware Ing. Durante la secuencia del primer inicio. Windows le pedirá la contraseña de la clave del sistema.

4. Diferentes funciones requieren grados distintos de seguridad. Configuración de apagado. Impide el acceso físico al servidor al quitar dispositivos.  Bloqueos del equipo. Ing. teclados y monitores extraíbles. y la deshabilitación de todos los puertos del equipo. Impide a los usuarios no autorizados mostrar el menú Inicio. Este almacenamiento de la información del BIOS permite restablecer la contraseña mediante el procedimiento que describa el fabricante.  Biotecnología. Como con la contraseña de encendido. Exige una comprobación adicional del personal con acceso autorizado a un equipo. Impide el robo de los equipos por medio de medidas físicas.  Contraseñas de encendido. Si el equipo almacena la información del BIOS en RAM no volátil. mediante biotecnologías como dispositivos de huellas digitales o escáneres oculares. la contraseña del BIOS se puede restablecer en equipos que almacenan la información del BIOS en memoria RAM no volátil mediante los procedimientos que describa el fabricante. Impide a usuarios no autorizados realizar cambios en la configuración del BIOS de un equipo. la contraseña de encendido no es una medida de seguridad eficaz. Las estrategias de configuración de apagado incluyen el uso de unidades de disquete.  Contraseñas del BIOS. como tarjetas de empleado. 1. Para proporcionar una mayor seguridad puede combinar biotecnologías con el inicio de sesión con tarjeta inteligente.  Inicio de sesión con tarjeta inteligente. Reduce la duplicación de los servicios controlados por tarjeta de acceso mediante el uso de tarjetas inteligentes. Los equipos configurados con lectores de tarjetas inteligentes requieren que los usuarios inicien la sesión con tarjetas inteligentes y números de identificación personal (PIN) para autenticarse. Evaluación de los Requisitos de Seguridad Los requisitos de seguridad de un equipo con Windows en una red dependen de la función que ese equipo desempeñe en la red. Manuel LOPEZ ROBLES 105 .

centros comerciales y bibliotecas para uso público. Equipos con Windows que albergan aplicaciones de cliente-servidor. Manuel LOPEZ ROBLES 106 . Estos servidores necesitarán opciones de configuración de seguridad específicas de la aplicación. Estos servidores pueden requerir opciones de configuración específicas de la lista de control de acceso discrecional (DACL) que se pueden propagar por medio de plantillas de configuración de seguridad.  Servidores de aplicaciones. Ing. Figura 3.  Servidores de archivos y de impresión. Equipos con Windows que actúan en la red como servidores de archivos y de impresión. como servidores Web y servidores de correo. Estos equipos necesitarán la configuración de seguridad de nivel máximo. Entre las diferentes funciones de los equipos con Windows en una red y sus requisitos de seguridad se incluyen:  Controladores de dominio. Equipos con Windows que se distribuyen normalmente en ferias. Evaluación de los Requisitos de Seguridad Antes de definir las configuraciones de seguridad del equipo con Windows. Equipos con Windows que almacenan Active Directory.  Quioscos. Estos equipos están configurados para permitir la ejecución de una única aplicación. tiene que identificar la función que realiza ese equipo.

requieren un grado más alto de seguridad de los archivos locales.  Configure las plantillas de seguridad. DISEÑO DE PLANTILLAS DE CONFIGURACIÓN DE SEGURIDAD Una plantilla de seguridad es una representación física en un archivo de una configuración de seguridad.  Personalice las plantillas según sea conveniente.  Proteja cualquier equipo que se haya actualizado. un servidor o un controlador de dominio. Diseñar plantillas de seguridad implica el uso de una plantilla adecuada en una situación dada y la configuración de la plantilla para la configuración de seguridad requerida. Equipos cliente con Windows que se pueden utilizar en más de un lugar. Análisis de la seguridad predeterminada de Windows La configuración de seguridad predeterminada de los equipos con Windows proporciona un aumento significativo en la seguridad en comparación con las versiones anteriores de Microsoft Windows NT®. 2.1. La plantilla se puede aplicar a un equipo local o importar a un objeto de directiva de grupo (GPO) de Active Directory. Debido a que estos equipos se utilizan periódicamente fuera de la red corporativa. Estaciones de trabajo.  Equipos portátiles. Equipos cliente con Windows que pueden requerir una configuración de seguridad específica para la interacción en el entorno de dominios.  Utilice plantillas de seguridad incrementales para aumentar la seguridad. Un diseño efectivo asegura que la configuración de seguridad adecuada se aplica a todos los equipos con Windows de la red. Plantillas de seguridad es una herramienta que se puede utilizar para crear plantillas de seguridad destinadas a uno o varios equipos con el fin de garantizar una configuración de seguridad coherente. La configuración se aplica mediante plantillas de seguridad predeterminadas definidas previamente. dentro o fuera de la red corporativa. Manuel LOPEZ ROBLES 107 . 2. Para diseñar plantillas de configuración de seguridad:  Analice la seguridad predeterminada proporcionada en Windows cuando se instala en una estación de trabajo. Estas plantillas Ing.  Asegure la compatibilidad con cualquier aplicación que no sea para Windows.

o funciona como un controlador de dominio. La configuración de seguridad requiere que el sistema de archivos NTFS esté presente ya que el sistema de archivos FAT no proporciona seguridad de archivos locales.inf Controladores de dominio con Windows En el directorio raízdelsistema\inf hay copias de estos archivos de plantilla. La plantilla variará en función de si el equipo con Windows ejecuta Windows Professional o Windows Server.inf Estaciones de trabajo profesionales con Windows defltsv. La siguiente tabla muestra los archivos de plantilla de seguridad predeterminada que se aplican a las tres funciones definidas para equipos con Windows. Archivo de plantilla Función del equipo con Windows defltwk. Ing. La plantilla aplicada se almacena en raízdelsistema\security\templates como “Setup security.proporcionan un sistema seguro desde el principio.0 de Windows NT.inf” y se puede examinar para determinar la configuración que se aplicó o para volver a aplicar la configuración de seguridad inicial en caso de que haya sufrido modificaciones.  Sistemas que utilizan sólo el sistema de archivos FAT (tabla de asignación de archivos). La configuración de seguridad predeterminada de Windows sólo se aplica a sistemas con Windows que tienen una instalación limpia en una partición del sistema de archivos NTFS. Manuel LOPEZ ROBLES 108 . En los equipos con Windows que se hayan actualizado desde Microsoft Windows 95 y Microsoft Windows 98 se ha aplicado la configuración de seguridad predeterminada.inf Servidores con Windows defltdc. La plantilla de seguridad utilizada en un equipo con Windows depende del tipo de instalación de Windows seleccionada. Tras la instalación no se requiere ninguna configuración adicional. La configuración de seguridad predeterminada no se aplicará en las siguientes circunstancias:  En equipos con Windows que se hayan actualizado desde la versión 4.

2.inf Estación de trabajo profesional con Windows basicsv. Archivo de plantilla Función del equipo con Windows basicwk. Para proporcionar una configuración de seguridad que sea equivalente a la de una instalación limpia de Windows. También puede utilizar estas plantillas para volver a aplicar opciones predeterminadas de configuración de seguridad. Figura 4. Proteger los Equipos Actualizados Las plantillas de seguridad predeterminadas no se aplican a equipos que se han actualizado a Windows desde versiones anteriores de Windows NT. Estas configuraciones de seguridad aseguran que no Ing.inf Controlador de dominio con Windows Estas plantillas de seguridad básicas especifican la configuración de seguridad predeterminada de Windows para todas las áreas de seguridad exceptuando Derechos de usuarios y grupos.excepto en el caso de que todas las cuentas de usuario locales se hayan configurado como miembros del grupo local de administradores. Manuel LOPEZ ROBLES 109 . puede utilizar plantillas de seguridad básicas. 2. Proteger equipos Actualizados La siguiente tabla enumera la plantilla de seguridad básica adecuada para equipos con Windows actualizados de acuerdo con la función del equipo.inf Servidor con Windows basicdc.

Las aplicaciones certificadas deben cumplir las especificaciones del programa de logotipos de Windows. que definen cómo debe interactuar la aplicación con el sistema operativo Windows. Garantizar la Compatibilidad con Aplicaciones no Certificadas para Windows Debido a la mayor seguridad predeterminada de Windows. 2. es posible que algunas aplicaciones no funcionen correctamente. Para estas actualizaciones se aplicará la plantilla de seguridad predeterminada. El programa de logotipos de Windows certifica las aplicaciones probadas con Windows.se puedan modificar los miembros del grupo existente y los derechos de usuario definidos. la configuración de seguridad debe asegurar la compatibilidad de los equipos con las aplicaciones de Windows NT. Figura 5. Compatibilidad con Aplicaciones no Certificadas para Windows Las aplicaciones no certificadas solamente pueden ejecutarse en un equipo con Windows si el usuario que ejecuta la aplicación dispone de los derechos suficientes en Ing.3. Las actualizaciones a Windows 95 y Windows 98 no requerirán la implementación de la plantilla básica porque no habrá ninguna configuración de seguridad local que mantener. Si los equipos con Windows van a ejecutar aplicaciones no certificadas para Windows. Manuel LOPEZ ROBLES 110 .

de Windows NT 4. La pertenencia del usuario a un grupo de Windows determina sus derechos. Ninguna. (los mismos permisos Cambiar la hora del sistema. Microsoft Office 97 se ejecuta correctamente cuando ha iniciado la sesión como usuario en un equipo con Windows que ha aplicado la plantilla de seguridad compatible sobre la configuración predeterminada. puede utilizar la plantilla compatible.  Aplicar la plantilla de seguridad compatible. los miembros del grupo Usuarios de Windows tienen permisos más estrictos que los otorgados a los miembros del grupo Usuarios de Windows NT.  Actualizar a una versión del software certificada para Windows. Si desea permitir que los usuarios tengan acceso a aplicaciones no certificadas para Windows. De manera predeterminada. Grupo de Windows Permisos Restricciones Usuarios avanzados Crear recursos compartidos. Manuel LOPEZ ROBLES 111 .0). puede utilizar los siguientes métodos:  Agregar todas las cuentas de usuario al grupo Usuarios avanzados. que el grupo Usuarios Crear cuentas locales. Por ejemplo. sistema. ubicación del  Ubicación de documentos compartidos.  Sus propios archivos. Esta plantilla reduce los niveles de seguridad en archivos específicos. La siguiente tabla muestra los grupos de Windows.el equipo. Usuarios Acceso de sólo escritura a: No puede  Parte del Registro de escribir en HKEY_CURRENT_USER ninguna otra  Directorio de perfiles del usuario. Compatws. Al agregar cuentas de usuario al grupo Usuarios avanzados los usuarios podrán tener acceso a aplicaciones no certificadas para Windows. Ing. Muchos editores de software van a lanzar versiones actualizadas de su software certificadas para Windows y totalmente integradas con Active Directory. Para ejecutar aplicaciones no certificadas para Windows en un equipo con Windows.inf. sus permisos y sus restricciones. sin agregar sus cuentas de usuario al grupo Usuarios avanzados. Las aplicaciones de Windows NT no certificadas para Windows no se pueden ejecutar en el contexto de seguridad del grupo Usuarios de Windows. carpetas y claves del Registro a los que normalmente tienen acceso las aplicaciones.

Las plantillas de seguridad incrementales suponen que la configuración de seguridad predeterminada de Windows ya existe en el equipo. puede utilizar plantillas de seguridad incrementales. Ing. Figura 6. Quita de todos los sistemas de archivos y objetos del Registro el identificador de seguridad (SID) del servidor de Terminal. en lugar de utilizar el SID de la cuenta del servidor de Terminal para los derechos de acceso a recursos. todos los usuarios del servidor de Terminal definirán sus derechos de acceso a través de la pertenencia a Usuarios o Usuarios avanzados. Estas plantillas se incluyen con Windows y contienen opciones adicionales de archivo. La seguridad predeterminada se aplica a equipos con Windows con una instalación limpia y en equipos actualizados en los que se ha aplicado la plantilla de seguridad básica.2.4. Aumentar la Seguridad mediante Plantillas de Seguridad Incrementales Para aumentar la seguridad básica de equipos con Windows.inf). Seguridad mediante Plantilla de Seguridad Las plantillas de seguridad incrementales se encuentran almacenadas en la carpeta raízdelsistema\security\templates. registro y servicios que se pueden configurar en redes con unos elevados requisitos de seguridad. Con Windows se proporcionan las siguientes plantillas de seguridad incrementales:  Plantilla Ningún SID de Terminal Server (notssid. Si se aplica esta plantilla. Manuel LOPEZ ROBLES 112 .

Proporcionan una mayor seguridad en áreas del sistema operativo que no están cubiertas por permisos. pero quita todos los miembros del grupo Usuarios avanzados. Contiene la configuración del Registro y de los archivos aplicada inicialmente a un controlador de dominio de Windows.inf).inf). 2. La plantilla de seguridad modifica configuraciones (como Directiva de contraseñas.inf). Aumentan la seguridad local de los componentes opcionales que se pueden instalar en equipos con Windows Professional o Windows Server. Manuel LOPEZ ROBLES 113 . Por ejemplo. De este modo. Directiva de auditoria y Valores del registro) que afectan al comportamiento funcional del sistema operativo y a sus protocolos de red.inf y hisecdc. La plantilla de alta seguridad configura muchos parámetros funcionales en sus valores extremos sin considerar otros problemas de rendimiento. La configuración de seguridad más alta se proporciona para equipos con Windows que operan en una red en la que todos los equipos tienen este sistema operativo.inf). además.  Plantillas de componentes opcionales (ocfilesw. En este tipo de configuración.inf y securedc. Server Message Block).  Plantillas de seguridad (securews. Plantilla Configuración inicial del controlador de dominio (DC security. La plantilla de seguridad no modifica ninguna DACL.5. Configuración de Plantillas de Seguridad Ing. todas las comunicaciones de red se deben firmar digitalmente y cifrar en un nivel que sólo puede proporcionar Windows. Aumenta la seguridad definida por varios parámetros en la plantilla de seguridad. la plantilla de alta seguridad también quita todos los miembros del grupo Usuarios avanzados y. no es posible comunicar un equipo con este tipo de seguridad de Windows y un cliente que ejecuta una versión anterior de Windows. La plantilla de seguridad proporciona recomendaciones que son distintas de la directiva de control de acceso predeterminada definida. quita del sistema el SID del servidor de terminal. mientras que la plantilla de seguridad podría habilitar la firma del paquete del bloque de mensajes del servidor (SMB. De forma parecida a la plantilla de seguridad.inf y ocfiless. la plantilla de alta seguridad exigiría la firma del paquete SMB.  Plantillas de alta seguridad (hisecws.

Plantilla de Seguridad Una plantilla de seguridad contiene nueve categorías diferentes de opciones de configuración de seguridad.  Grupos restringidos. como longitud mínima de la contraseña o requerir complejidad de contraseña. Esta directiva no permitirá variaciones locales en cada equipo. Grupos restringidos reducirá la necesidad de auditar la pertenencia a grupos.  Directiva Kerberos. Puede aplicar estas opciones mediante plantillas de seguridad de Microsoft Management Console (MMC). Ing. Administra y aplica la pertenencia de grupos integrados o definidos por el usuario que disponen de derechos y permisos especiales. la duración máxima de un vale de servicio. por ejemplo. Establece la configuración predeterminada del protocolo Kerberos Versión 5 para cada dominio. En una plantilla de seguridad puede definir las siguientes opciones:  Directivas de cuenta. Bloquea a los usuarios después de un número especificado de intentos de inicio de sesión erróneos y establece el período durante el que las cuentas se bloquean. Las directivas de cuenta incluyen:  Directiva de contraseñas. Manuel LOPEZ ROBLES 114 . Figura 7. Configura opciones.  Directiva de bloqueo de cuentas. Define opciones de configuración de seguridad que tienen que ver principalmente con la autenticación de las cuentas.

los permisos. como modelo para la creación de sus propias directivas. Puede especificar los usuarios y los sucesos de usuario que se registran tanto para sucesos que han fallado como para los que se han ejecutado correctamente. Estas directivas evitan tener que crear otras directivas. los derechos y la auditoria.  Directivas de clave pública. Las directivas de clave pública no se pueden configurar en plantillas de seguridad locales. Puede especificar opciones.  Directivas locales.  Registro de sucesos. como el tamaño máximo y los métodos de retención del registro. Manuel LOPEZ ROBLES 115 . Configura la seguridad y controla la auditoria de seguridad de archivos y carpetas. Esta opción habilita la emisión de solicitudes de certificado. Si se habilita la auditoria. Sólo se pueden aplicar mediante Directiva de grupo. Por ejemplo. y otorgar permiso de sólo lectura a otros usuarios. Las directivas IPSec no se pueden configurar en plantillas de seguridad locales. Internet Protocol Security) predefinidas: Cliente. puede utilizar directivas de Registro para auditar la actividad del usuario en el Registro del equipo. puede conceder a los administradores control total sobre las claves del Registro y sus subárboles. Sistema de archivos.  Registro. y la adición de agentes de recuperación de datos cifrados. Configura la seguridad y controla la auditoria de seguridad de las claves del Registro y sus subárboles.  Directivas de seguridad IP en Active Directory. Server). Sólo se pueden aplicar mediante Directiva de grupo. Secure Server. Servidor y Servidor seguro (Client. Controla la configuración de los registros de sucesos de aplicaciones. sistema y seguridad en equipos locales. Configura el inicio de los servicios. Determina la configuración de seguridad que se puede definir en equipos individuales con Windows. Incluye tres directivas de Seguridad de protocolo Internet (IPSec. Las directivas de equipos locales se aplican Ing. la creación y distribución de listas de certificados de confianza. excepto en situaciones en las que sean necesarios requisitos especiales. el establecimiento de entidades emisoras de certificados raíz comunes y de confianza.  Servicios del sistema. Proporciona opciones de configuración que habilitan la seguridad mediante certificados. para asegurar que únicamente los administradores puedan cambiar ciertas claves del Registro.

Puede crear una plantilla personalizada si exporta la información de seguridad a una plantilla nueva de configuración de seguridad o si amplía la interfaz para agregar nuevos valores del Registro. finalmente. Puede configurar sucesos de seguridad para auditar en el registro de seguridad. Para configurar una plantilla nueva. 2. si necesita aplicar nuevas contraseñas de usuario cada 10 días. primero hay que crearla. Las directivas locales incluyen:  Directiva de auditoria.2. Por ejemplo.6. Dentro de este archivo de configuración pueden agregarse nuevas entradas del Registro con la sintaxis siguiente: rutaDeAccesoReg.6.6.inf almacenado en la carpeta raízdelsistema\inf. Para ampliar el conjunto de herramientas debe modificar el archivo de configuración Sceregvl. Personalización de Plantillas de Seguridad Es posible que su organización tenga requisitos de seguridad que las plantillas de seguridad preconfiguradas no satisfagan. Creación de nuevas plantillas Puede crear plantillas con la herramienta Plantillas de seguridad de MMC. obligar a los usuarios a cerrar la sesión cuando caduca el horario de inicio de sesión y mostrar mensajes en la pantalla de inicio de sesión. Incluye auditoria de éxitos y errores. después. 2. ampliar los valores del Registro en la plantilla según sea conveniente.  Opciones de seguridad. Manuel LOPEZ ROBLES 116 . necesita una plantilla personalizada. 2. hay que definir todas las opciones de seguridad necesarias y. Define usuarios y grupos de seguridad específicos que tienen derechos para realizar tareas que afectan a la seguridad del sistema. a la base de datos de cuentas de los equipos locales.1. Ampliación de la interfaz Puede ampliar el conjunto de herramientas actual para incluir los valores del Registro adicionales que desea definir para la directiva de seguridad Configuración local. como requerir inicio de sesión con tarjeta inteligente.  Asignación de derechos de usuario.nombreParaMostrar.tipoDePresen Ing. Permite la configuración de una amplia variedad de opciones de seguridad.tipo.

Una vez modificado el archivo Sceregvl.dll para que los valores que ha configurado aparezcan dentro del conjunto de herramientas de configuración de la seguridad.  Automatizar un análisis continuado del esquema básico de seguridad. Estos modos incluyen Booleano(0).  Comparar la configuración de seguridad actual de un equipo con Windows y el esquema básico de seguridad. 3.  tipo representa el tipo de datos de la entrada del Registro. Número(1). es importante volver a evaluar constantemente la configuración de la seguridad. REG_EXPAND_SZ(2). La evaluación de la configuración de seguridad asegura que la seguridad no sea tan baja como para que la configuración permita el acceso no autorizado en la red. Ing.dll. tendrá que volver a registrar la biblioteca de vínculos dinámicos Scecli.Donde:  rutaDeAccesoReg representa la ruta de acceso del valor del Registro que requiere configuración.  Comprobar la eficacia de la seguridad y la funcionalidad de un esquema básico de seguridad.inf. Los tipos admitidos son: REG_SZ (1).  tipoDePresen configura el modo en que la interfaz mostrará a un usuario un valor del Registro para introducir datos. REG_DWORD(4) y REG_MULTI_SZ(7)  nombreParaMostrar indica el nombre que se mostrará para el valor en Herramientas y análisis de configuración de la seguridad. Esto se efectúa mediante la ejecución del comando Regsvr32 scecli. Las tareas requeridas para evaluar la configuración de seguridad de una red de Windows son:  Definir el esquema básico de la seguridad en un equipo con Windows. Cadena(2) u Opciones(3). REG_BINARY(3). Manuel LOPEZ ROBLES 117 . ni tan alta como para que restrinja el acceso a los usuarios autorizados. EVALUACIÓN DE LA CONFIGURACIÓN DE SEGURIDAD Después de diseñar y normalizar las plantillas de seguridad.

por ejemplo. Manuel LOPEZ ROBLES 118 .  Cumplir los requisitos de seguridad. No debe configurarse por encima de la configuración de seguridad requerida. La configuración de una seguridad excesiva puede conducir a prácticas incorrectas. debe probar y comprobar la efectividad y funcionalidad de su diseño. Para que un esquema básico de seguridad sea efectivo y completamente funcional:  Asegúrese de que la configuración puede reproducirse en otros equipos.3. Esta configuración de seguridad mínima dependerá de los riesgos de seguridad actuales a los que se enfrenta la red y debe incluir características cuya configuración reduciría esos riesgos. La configuración de seguridad predeterminada debe poderse reproducir en los equipos con Windows que lo requieran. 3. Sólo la configuración que pueda reproducirse puede considerarse una configuración de base.  Haberse probado totalmente.2. crear y administrar sistemas informáticos distribuidos. Para comprobar y probar una solución básica de seguridad puede usarse un método repetitivo. Cuando la configuración de seguridad se haya exportado a una plantilla de seguridad Ing. El esquema básico de seguridad debe:  Ser reproducible. La configuración del esquema debe proporcionar el nivel de seguridad requerido. Definir la seguridad en un nivel demasiado bajo puede dar lugar al acceso no deseado a los recursos. MSF se basa en métodos recomendados por Microsoft para diseñar. Comprobar la Eficacia de un Esquema Básico de Seguridad Una vez definida la seguridad básica y antes de aplicarla. Definición del Esquema Básico de Seguridad Requerido Un esquema básico de seguridad se define como la configuración de seguridad mínima que se debe aplicar a un equipo.1. que los usuarios mantengan copias de sus contraseñas en los escritorios. como el que se utiliza en Microsoft Solutions Framework (MSF). El esquema básico definido debe pasar por varias pruebas para asegurar que la configuración proporciona el nivel de seguridad requerido por el equipo con Windows. El esquema básico de seguridad debe definirse en un entorno de laboratorio mediante el uso de equipos que dupliquen las configuraciones que se aplicarán en la red.

necesitará compararla con la configuración de seguridad actual de los equipos con Windows. Figura 8. 3.3. la aplicación de la plantilla en diferentes equipos con Windows asegurará que la configuración es reproducible. Comparación de Configuración Actual con un Esquema Básico de Seguridad Una vez definida y probada la plantilla de configuración de seguridad. Si la prueba un administrador diferente se tiene la garantía de que la prueba es imparcial y se realizan las pruebas adecuadas. El análisis de los resultados de la comparación le permitirá identificar:  Los puntos débiles en la seguridad que pueden existir en la configuración actual. básica. Manuel LOPEZ ROBLES 119 . Ing.  Asegúrese de la presencia de opciones de configuración requeridas. Esquema Básico de Seguridad Este proceso de tres pasos puede tener que repetirse varias veces antes de que el sistema esté configurado como se requiere. La plantilla de seguridad no debe probarla el administrador que la haya diseñado. Debe configurar la plantilla de seguridad básica en un equipo de prueba y después evaluar su seguridad. La evaluación asegurará que el esquema básico de seguridad contiene todas las opciones de configuración requeridas.  Asegúrese de que la prueba sea imparcial.

La herramienta Configuración y análisis de seguridad de MMC realiza la comparación entre la configuración real y la configuración requerida. debe especificarse también el argumento /CFG nombreArchivo. Proporciona la ruta de acceso de la plantilla de seguridad que se importará en la base de datos para el análisis.4. La herramienta de línea de comandos secedit se puede utilizar para automatizar el análisis periódico del esquema básico de seguridad. El comando secedit se utiliza con las opciones de /analyze para configurar un archivo por lotes.  /CFG nombreArchivo. Si la opción /CFG no se especifica. Ing. el administrador de la red puede elegir aplicar la configuración de seguridad básica al sistema de destino o dejar la configuración de seguridad actual tal y como está. La configuración aplicada al equipo con Windows que no se incluye en la plantilla de seguridad pero que es necesario reproducir para distribuirla en otros equipos. Una vez completado el análisis. Si nombreArchivo especifica una base de datos nueva. Automatización del Análisis del Esquema Básico de Seguridad Automatizar el análisis continuado del esquema básico de seguridad garantiza que la configuración de seguridad de equipos con Windows en una red sea coherente. 3. el análisis se realiza contra una configuración que ya se encuentra almacenada en la base de datos. La sintaxis del comando secedit es: secedit /analyze [/DB nombreArchivo] [/CFG nombreArchivo] [/log rutaDeAccesoReg] [/verbose] [/quiet] Las diversas opciones que se utilizan con la línea de comandos secedit /analyze son:  /DB nombreArchivo. Proporciona la ruta de acceso de una base de datos que contiene la configuración almacenada contra la que se va a realizar el análisis. Manuel LOPEZ ROBLES 120 . Esta opción sólo es válida cuando se utiliza con el parámetro /DB. la herramienta indicará si la configuración actual coincide con la requerida.  Los cambios de configuración que se han realizado en el sistema desde que se distribuyó la plantilla original. Esta coherencia garantizará la seguridad de la red. Tras efectuar el análisis. Ésta es una opción requerida.

 /log rutaDeAccesoReg. 5. Análisis del Esquema Básico de Seguridad 4. Manuel LOPEZ ROBLES 121 . Solicita que durante el análisis se registre información más detallada del progreso. ACTIVIDAD  Desarrolle el análisis de una plantilla básica de seguridad. La salida sólo puede verse en Configuración y análisis de seguridad de MMC. RESUMEN Se debe haber obtenido una comprensión adecuada de los siguientes puntos clave: Ing.  Desarrolle el diseño de una plantilla de seguridad personalizada. Si esta opción no se utiliza en la instrucción de línea de comandos. Proporciona la ruta de acceso que se utilizará para registrar los informes del análisis. Figura 9. se usa el archivo predeterminado.  /quiet.  Determine como combinar las directivas locales y globales de seguridad. Evita que se muestre la salida en la pantalla y se registre.  /verbose.  Desarrolle la distribución de una plantilla de configuración de seguridad.

 Diseñar la seguridad física en un entorno de Windows implica planear la colocación del servidor. Diseñar plantillas de seguridad implica el uso de una plantilla adecuada en una situación dada y la configuración de la plantilla para la configuración de seguridad requerida. proteger los dispositivos de red como enrutadores. Diferentes funciones requieren grados distintos de seguridad. Ing. como tarjetas inteligentes y contraseñas del sistema básico de entrada y salida (BIOS). Asegurarse de que se implementan contraseñas complejas en todos los dispositivos de red. conmutadores y puentes para asegurar que un agresor no pueda conectarse físicamente a ellos.  Para definir la ubicación de la clave del sistema.  Una plantilla de seguridad es una representación física en un archivo de una configuración de seguridad. robo o destrucción. Plantillas de seguridad es una herramienta que se puede utilizar para crear plantillas de seguridad destinadas a uno o varios equipos con el fin de garantizar una configuración de seguridad coherente. el método de uso de la utilidad de claves del sistema (SYSKEY) para el cifrado de contraseñas en el servicio de directorios Active Directory™ y el uso de métodos de seguridad de configuración del hardware. la seguridad de la propia red. el administrador elige la contraseña. Manuel LOPEZ ROBLES 122 .  Los requisitos de seguridad de un equipo con Windows en una red dependen de la función que ese equipo desempeñe en la red. puede: colocar los servidores en habitaciones cerradas a las que sólo tenga acceso el personal autorizado. el equipo genera una clave que se almacena en un disquete. puede elegir entre las siguientes opciones: El equipo genera una clave que se almacena en el sistema local. por lo tanto. Los equipos con Windows que contienen datos críticos deben estar protegidos de amenazas como el acceso físico no autorizado. Cualquier infracción en la seguridad de un solo equipo puede poner en peligro la seguridad de todos los equipos de la red y arriesgar.  Para proteger servidores con Windows contra riesgos físicos. La seguridad de una red depende de la configuración de seguridad de los equipos que la componen. La plantilla se puede aplicar a un equipo local o importar a un objeto de directiva de grupo (GPO) de Active Directory.

Manuel LOPEZ ROBLES 123 . Jean. Fundamentos de Seguridad en Redes. Canadá 2004. Las plantillas de seguridad incrementales suponen que la configuración de seguridad predeterminada de Windows ya existe en el equipo. Las plantillas de seguridad incrementales se encuentran almacenadas en la carpeta raízdelsistema\security\templates. Gerend Jason. BIBLIOGRAFÍA RECOMENDADA  Microsoft Training and Certification. ni tan alta como para que restrinja el acceso a los usuarios autorizados. NEXO La siguiente unidad se encarga de explicar las estrategias para el diseño de una implementación de claves públicas que Microsoft Windows ofrece para la aplicación de políticas de seguridad dentro de una red de computadoras 8. 6. Aplicaciones y Estándares. Fernando. Iñaki. Windows 2003 Server. 2000. España. España.  La evaluación de la configuración de seguridad asegura que la seguridad no sea tan baja como para que la configuración permita el acceso no autorizado en la red.  Stallings. 7. Diseño de Redes Seguras. Mc Graw Hill. Williams. España 2004. Hacking y Seguridad en Internet. España. Antonio. 2003. Sharon Crawford.  Picouto Ramos. Charlie. Ramos Varón. Richard L. Mc Graw Hill. Ing.  Russel. Lorente Pérez. 2008. Linux: The Complete Reference Enterprise Linux & Fedora Edition: The Complete Reference. Es posible que su organización tenga requisitos de seguridad que las plantillas de seguridad preconfiguradas no satisfagan por lo que puede personalizarlas. Alfaomega Editorial Rama. AUTOEVALUACION FORMATIVA. García Moran. Prentice Hall.  Petersen.

¿Qué plantillas de seguridad incrementales proporciona Windows? 5. ¿Qué opciones tiene para definir la ubicación de la clave del sistema en una red de computadoras implementada a través de Windows? 3. Manuel LOPEZ ROBLES 124 . ¿A que se define un esquema básico de seguridad?¿Que debe contener? Ing. ¿Qué conjunto de pasos debería seguir para diseñar una plantilla de configuración de seguridad? 4. ¿Que alternativas puede tener para proteger servidores con Windows contra riesgos físicos? 2.1.

Ing. Se basa en el intercambio de certificados digitales entre usuarios autenticados y recursos de confianza. Para configurar un equipo con Windows como entidad emisora de certificados tiene que instalar Servicios de Certificate Server. UNIDAD ACADÉMICA Nº 07 DISEÑO DE UNA INFRAESTRUCTURA DE CLAVES PÚBLICAS Una infraestructura de claves públicas (PKI) es la combinación de software. Las primeras se basan en Active Directory para autenticar a los usuarios. Credencial electrónica que se compone de una clave pública y una clave privada. protocolos y estándares que se pueden utilizar para distribuir y administrar un sistema de seguridad eficaz y ampliable. y se utiliza para autenticar a los usuarios. La infraestructura de claves públicas de una red consta de los componentes básicos siguientes:  Certificado digital. Las entidades emisoras de certificados se pueden configurar como de empresa o independientes. Puede utilizar los certificados de una infraestructura de claves públicas para proteger los datos y administrar las credenciales de identificación de los usuarios internos y externos en una organización. Herramientas para administrar y auditar los certificados digitales. 1. Manuel LOPEZ ROBLES 125 . tecnologías. El complemento para certificados se utiliza con el objeto de administrar certificados en una entidad emisora de certificados basada en Microsoft® Windows®. Los certificados son la base de la infraestructura.  Entidad emisora de certificados. a diferencia de las entidades emisoras de certificados independientes.  Herramientas de administración de claves y certificados. técnicas de cifrado y servicios que permite a las organizaciones proteger sus comunicaciones y sus transacciones comerciales. INTRODUCCIÓN A LA INFRAESTRUCTURA DE CLAVES PÚBLICAS Una infraestructura de claves públicas proporciona el marco de servicios. Entidad o servicio de confianza que emite certificados digitales.

Lista de los certificados que han sido revocados antes de llegar a su fecha programada de caducidad. Punto de publicación de certificados. aplicaciones y servicios. como datos. Encrypting File System) y Seguridad de Protocolo Internet (IPSec. puede diseñar una solución apropiada de seguridad basada en claves públicas. Después de identificar los usos de los certificados en una organización.1. tiene que determinar qué recursos de la red. Internet Protocol Security). integridad de datos y protección. Un servicio de directorio u otra ubicación donde se almacenan y publican los certificados. Para simplificar la administración de certificados puede utilizar plantillas con el fin de predefinir el contenido básico de un certificado. tienen que estar protegidos. Entre las aplicaciones que están preparadas para la seguridad basada en certificados se incluyen Microsoft Outlook® y Microsoft Internet Explorer. Identificación del Uso de los Certificados Los certificados se pueden utilizar con una amplia variedad de aplicaciones y servicios de seguridad para proporcionar autenticación.  Aplicaciones y servicios preparados para el uso de claves públicas.1. Active Directory es el punto de publicación de certificados en las entidades emisoras de certificados basadas en Windows. Entre los servicios del sistema que se pueden proteger mediante el uso de certificados se hallan el Sistema de archivos cifrados (EFS.1. Aplicaciones y servicios del sistema que requieren asegurar la transferencia de la información. 2. Aplicaciones Los certificados pueden proporcionar una solución segura para: Ing. También debe identificar qué usuarios van a necesitar acceso a dichos recursos protegidos y el tipo de derechos de acceso que van a requerir. Certificate Revocation List). 2. 2. UTILIZACIÓN DE CERTIFICADOS Para implementar la autenticación basada en certificados.  Lista de revocaciones de certificados (CRL. Manuel LOPEZ ROBLES 126 .

 Proteger sitios Web.  Soluciones de seguridad personalizadas. Utilice certificados para proporcionar confidencialidad. Secure Sockets Layer) o Seguridad en la capa de transporte (TLS. Manuel LOPEZ ROBLES 127 . y no permitir el repudio en las aplicaciones personalizadas.  Autenticación de clientes IPSec. integridad y autenticación. Configure firmas digitales para asegurar la integridad del software que se distribuye por una red. los niveles de seguridad y los servicios Ing. Transport Layer Security) para autenticar y cifrar las comunicaciones entre servidores y clientes.  Comunicaciones Web seguras.2. Use certificados con los protocolos Capa de sockets seguros (SSL. Servicios Los certificados pueden proporcionar una solución segura para:  Procesos de inicio de sesión con tarjeta inteligente. Utilice certificados para autenticar usuarios cuyos equipos tienen dispositivos lectores de tarjetas inteligentes. tiene que determinar los requisitos de certificados de la red.1.2. Configure el protocolo Extensiones seguras multipropósito de correo Internet (S/MIME. Utilice certificados para autenticar las transmisiones entre dos equipos mediante IPSec. Éstos se basarán en las aplicaciones. 2. Utilice certificados para autenticar el acceso a sitios Web protegidos. Utilice certificados para distribuir claves públicas y privadas que protegen la clave de cifrado de archivos de EFS.  Sistema de archivos cifrados (EFS). Correo seguro.  Firma del código del software. 2. Secure Multipurpose Internet Mail Extension) para asegurar la integridad. Determinar los Requisitos de Certificados Al diseñar el uso de certificados. el origen y confidencialidad de los mensajes de correo electrónico.

utilice una clave privada de mayor longitud y un ciclo vital de los certificados más cortos para asegurar la información más valiosa.  Identificar usuarios. Por ejemplo. Las plantillas de certificados sólo se utilizan cuando el servidor que ejecuta Servicios de Certificate Server es una entidad emisora de certificados de empresa. Por ejemplo. Los factores que hay que considerar son la longitud de la clave privada. Uso de Plantillas de Certificados Una plantilla de certificado define el formato y el contenido de un certificado. cuando el usuario recibe un certificado puede confiar en la experiencia y la capacidad del administrador de certificados.  Determinar el nivel de seguridad requerido. Para especificar los requisitos de certificados de una red tiene que hacer lo siguiente:  Identificar las aplicaciones que requieren certificados. Manuel LOPEZ ROBLES 128 . Determine los usuarios. 2. Las plantillas de certificados evitan a los usuarios tener que tomar decisiones acerca de los tipos de certificados que necesitan.3. Seleccione el nivel de seguridad necesario para proteger las claves privadas. el algoritmo de cifrado y el ciclo vital y de renovación de los certificados. determine qué usuarios de empresas externas van a tener acceso a la base de datos de inventario interna. En lugar de eso. para mayor seguridad.que se ejecutan en ella. equipos y servicios que van a participar en un intercambio seguro de información. Seleccione el nivel de seguridad necesario para proteger la integridad o la privacidad de la información. puede elegir entre las siguientes: Ing. podría ser interesante proteger los mensajes de correo electrónico entre empresas asociadas cuando intercambian datos confidenciales. equipos y servicios que requieren certificados. requerir el uso de tarjetas inteligentes para almacenar las claves privadas. determine los riesgos asociados con la exposición de información a usuarios no autorizados. Por ejemplo. Entre las opciones se incluye el almacenamiento de las claves privadas en los perfiles de usuario o. Dentro de la organización. Cuando crea un certificado mediante plantillas.  Determinar cómo va a proteger las claves privadas.

S/MIME y EFS. Genera certificados que se pueden utilizar con varias aplicaciones. los usuarios y los equipos tienen que solicitar y recibir certificados desde una entidad emisora de certificados. La entidad emisora de certificados utiliza la información proporcionada para autenticar la identidad del usuario antes de emitir el certificado. Ing. revoca.1. Genera certificados que sólo se pueden utilizar en una aplicación. El ciclo vital de un certificado se define para cumplir los requisitos de seguridad de la organización. emite. 3. El proceso de solicitar y recibir un certificado se conoce como inscripción. la plantilla de certificado Inicio de sesión con tarjeta inteligente está diseñada para iniciar las sesiones con tarjeta inteligente. Discretionary Access Control List) de cada plantilla de certificado. equipos u organizaciones. Por ejemplo. Manuel LOPEZ ROBLES 129 . Una entidad emisora de certificados es una entidad en la que se confía para emitir certificados a personas. 3. EXAMEN DEL CICLO VITAL DE LOS CERTIFICADOS El ciclo vital de los certificados define los procesos por los que una entidad emisora de certificados solicita. Inscripción de Certificados Para participar en una infraestructura de claves públicas. Por ejemplo. y confirmar sus identidades para las transacciones actuales y las futuras. renueva y audita los certificados. como SSL. Otras plantillas de este tipo son las plantillas para EFS o S/MIME.  Plantilla para varios propósitos. Normalmente. Las opciones de administración y configuración que se eligen para cada fase del ciclo vital del certificado dependerán de las necesidades de seguridad de su organización. Para proteger las plantillas de certificados se modifica la lista de control de acceso discrecional (DACL. únicamente. para iniciar la inscripción el usuario suministra información exclusiva y una clave pública recién generada. un certificado de usuario se puede utilizar para autenticar al usuario y para el cifrado de EFS. Sólo los usuarios o grupos que han recibido el permiso de inscripción en la lista de control pueden solicitar una plantilla de certificado específica. Plantilla para un único propósito.

la información podría componerse del nombre y la dirección de correo electrónico del usuario. Recoger la información de inscripción. La solicitud se cifra con la clave pública de la entidad emisora de certificados. se puede dividir en los seis pasos siguientes (como se muestra en la ilustración previa): 1. que se compone de la clave pública del usuario y la información adicional requerida. 2. La solicitud cifrada se envía a la entidad emisora de certificados. Por ejemplo. El solicitante genera una pareja de clave privada y clave pública. Figura 1. o incluir un certificado de nacimiento. El solicitante envía una solicitud de certificado. El solicitante proporciona la información que la entidad emisora de certificados requiere para emitir el certificado. 4. Manuel LOPEZ ROBLES 130 . Solicitar el certificado. generalmente. documentos notariales o lo que la entidad emisora de certificados necesite para confirmar la identidad del solicitante. La entidad emisora de certificados aplica las reglas de la directiva que tenga establecidas para determinar si va a emitir o no un Ing. Inscripción de Certificados El proceso de solicitar y emitir un certificado varía con las entidades emisoras de certificados y sus directivas pero. huellas digitales. 3. o alguna autoridad de la organización le asigna una pareja de claves. Comprobar la información. Generar un par de claves.

la solicitud se considera pendiente hasta que Ing. Distribución de Certificados Servicios de Certificate Server de Windows procesa las solicitudes de certificado de forma diferente según el tipo de entidad emisora de certificados que utilice. Proceso de Solicitudes en una Entidad Emisora de Certificados Independiente Cuando un usuario emite una solicitud de certificado a una entidad emisora de certificados independiente de Windows. La entidad emisora de certificados envía el certificado al solicitante o lo deja en un directorio. certificado para el solicitante.2. 5. 6. la directiva y los procedimientos de comprobación de una entidad emisora de certificados influyen en la cantidad de confianza que generan los certificados que emite. según corresponda. Como con los requisitos de identificación.1. La firma de la entidad emisora de certificados autentica la asociación entre el nombre del sujeto y la clave pública del mismo. Crear el certificado. El documento firmado es el certificado. Figura 2. 3. La entidad emisora de certificados crea y firma un documento digital que contiene la clave pública del solicitante y otra información apropiada.2. Distribución de Certificados 3. Enviar el certificado. Manuel LOPEZ ROBLES 131 .

Este asistente se inicia desde la consola Certificados y permite a los usuarios seleccionar entre tipos diferentes de certificado. Proceso de Solicitudes en una Entidad emisora de Certificados de Empresa Cuando un usuario emite una solicitud de certificado a una entidad emisora de certificados de empresa de Windows.  El destinatario del certificado abandona una organización o el estado de sus empleados cambia de forma notable. Como alternativa. 3. Desde una entidad emisora de certificados de empresa.  Un certificado se obtuvo de forma fraudulenta. se emite el certificado y se pide al usuario que lo instale.  La clave privada del certificado se ha visto comprometida (por ejemplo.el administrador de la entidad emisora de certificados apruebe o rechace la solicitud en función de las credenciales proporcionadas por el usuario. Puede que sea necesario revocar certificados si:  La seguridad de la entidad emisora de certificados que emitió los certificados se ha visto comprometida. Si se concede. como la disolución de la asociación con otra compañía. según sus derechos de acceso. Ing. donde servidor es un servidor que tiene instalado Servicios de Certificate Server. crea una situación en la que ya no es apropiado considerar válido un certificado. si una tarjeta inteligente se ha perdido). para solicitar un certificado se puede conectar con http://servidor/certsrv.2. la solicitud se tramita inmediatamente porque una entidad de este tipo utiliza Active Directory para comprobar a los usuarios.3. un usuario puede solicitar un certificado mediante el Asistente para solicitar certificados. El solicitante del certificado puede ver la página de Web de Servicios de Certificate Server para comprobar el estado de los certificados pendientes.2. Manuel LOPEZ ROBLES 132 . 3. La solicitud de certificado se aprobará o se rechazará inmediatamente. Revocación de Certificados Revocar un certificado puede ser necesario cuando algún suceso relacionado con la seguridad.

Revocación de Certificados Servicios de Certificate Server de Windows admite el uso de las listas de revocaciones de certificados estándar para distribuir información acerca de los certificados revocados. El tráfico de la red también se ve afectado porque los clientes tienen que descargar la lista cada vez que caduca y se vuelve a publicar. La lista se publica con el complemento Entidad emisora de certificados. Los usuarios y los equipos almacenarán la lista en su memoria caché local. incluso los emitidos a las entidades emisoras de certificados y a los usuarios. Un certificado caducado se puede volver a emitir o renovar con períodos de validez actualizados. tienen un ciclo de vida limitado. Un certificado se emitió a un individuo en el que ya no se confía. Renovación de Certificados Todos los certificados. Cuando se publica una lista.4. pero aumenta la carga de trabajo del servidor. Ing. 3. se almacena en Active Directory. Figura 3. Manuel LOPEZ ROBLES 133 . Cuando un certificado llega a su fecha de caducidad. Tiene que establecer un equilibrio entre la necesidad de publicar la información de la lista con la mayor frecuencia posible y el impacto que la publicación tiene en el tráfico de la red y el trabajo del servidor. La publicación frecuente de la lista hace que el cambio de estado de un certificado se conozca más rápidamente. donde los usuarios y los equipos pueden obtenerla. automáticamente deja de ser válido y no se puede utilizar.

Figura 4. Renovación de Certificados

3.4.1. Diseño del ciclo vital del certificado de una entidad emisora de certificados

Cuando una entidad emisora de certificados emite un certificado a un usuario o un
equipo, se asegura de que el período de validez del nuevo certificado está dentro del
período de validez de su propio certificado. Esto significa que si el certificado de la
entidad emisora de certificados es válido sólo hasta dentro de seis meses, el período
de validez más largo que la entidad puede emitir para los nuevos certificados será de
seis meses.

Tiene que asegurarse de que el certificado de la entidad emisora de certificados tiene
un ciclo vital suficiente para que los certificados emitidos no tengan que renovarse
constantemente. La renovación excesiva de los certificados puede dar una mala
imagen a los usuarios. Cuando un certificado caduca, el usuario tiene que ponerse en
contacto con la entidad emisora de certificados para solicitar un certificado nuevo
porque deberá adquirir certificados actualizados.

3.4.2. Plan de renovación de certificados

Una entidad emisora emite certificados directamente a los usuarios, en lugar de a
otras entidades emisoras de certificados. Las entidades emisoras de certificados de
este tipo son las responsables de administrar un número mucho mayor de certificados

Ing. Manuel LOPEZ ROBLES 134

que una entidad emisora de certificados que sólo emite certificados a otras entidades.
La frecuente renovación del certificado de una entidad emisora con una clave nueva
hace que los ataques a las claves tengan menos probabilidad de éxito para los
agresores y dañen menos su infraestructura de claves públicas.

3.5. auditoria de Certificados

Todas las entidades emisoras de certificados mantienen una pista de auditoria que se
puede ver en la consola Microsoft Management Console (MMC) de entidades
emisoras de certificados. La auditoria registra todas las solicitudes de certificados y los
certificados emitidos que siguen activos. Registra todas las transacciones, incluidas las
solicitudes con errores, y toda la información contenida en cada certificado emitido. La
consola MMC de entidades emisoras de certificados proporciona la posibilidad de
revocar un certificado y agregarlo a la lista de revocaciones.

Figura 5. Auditoria de Certificados

Puede que se requiera una auditoria para cumplir las obligaciones de seguridad de la
entidad emisora de certificados y su organización. Puede consultar los resultados de la
auditoria para encontrar y ver información acerca de cualquier solicitud de certificado o
cualquier certificado que la entidad haya emitido. Por ejemplo, si un certificado emitido
se utilizó para una actividad ilegal o para una transacción fraudulenta, podría aportar
dichos registros al personal de seguridad o como prueba judicial.

Ing. Manuel LOPEZ ROBLES 135

Además, puede que necesite los registros de la auditoria para supervisar la red en
busca de brechas en la seguridad. Por ejemplo, puede ver los datos de la auditoria
para detectar solicitudes de certificados no aceptadas o para determinar si alguien ha
obtenido certificados de forma no apropiada.

4. ELECCIÓN DE UNA ENTIDAD EMISORA DE CERTIFICADOS

Hay dos tipos de entidad emisora de certificados que pueden proporcionar certificados
para una organización: una entidad comercial mantenida por una compañía emisora
de certificados o una entidad emisora de certificados privada (interna). Las entidades
emisoras de certificados privadas requieren un modelo administrativo para emitir
certificados y proporcionar seguridad para la entidad emisora de certificados raíz.

Si selecciona una entidad privada, tendrá que elegir qué tipo de directiva de
certificados (no confundir con Directiva de grupo) va a implementar para distribuir
certificados en su organización.

4.1. Elección de una Entidad Emisora de Certificados Comercial

Las entidades emisoras de certificados comerciales son creadas y administradas por
otra compañía. Elija una entidad emisora de certificados comercial cuando desarrolle
la mayor parte de su actividad con clientes externos y desee subcontratar en el
exterior la administración y la emisión de certificados.

Figura 6. Entidad Emisora de Certificados Comercial
Ing. Manuel LOPEZ ROBLES 136

La siguiente tabla resume algunas de las ventajas e inconvenientes de trabajar con una entidad emisora de certificados privada. seguras con su organización. 4. servicios comercial. Manuel LOPEZ ROBLES 137 . Aprovecha el conocimiento que el El acceso a la entidad emisora de proveedor posee de los aspectos certificados tiene que estar siempre técnicos. revocaciones de certificados de la entidad emisora de certificados comercial. Aprovecha la experiencia del proveedor Puede requerir dos estándares de de servicios profesionales. certificados mientras desarrolla una infraestructura de claves públicas administrada internamente.2. legales y comerciales asociados disponible para tener acceso a la lista de con el uso de certificados. proporciona menos clientes para realizar transacciones flexibilidad para administrar certificados. Permite a una organización utilizar Suele conllevar un costo en función de inmediatamente la seguridad basada en cada certificado. Ventajas Inconvenientes Permite a las compañías controlar Las compañías tienen que administrar estrechamente sus directivas de sus propios certificados. Permite a las compañías administrar sus El calendario de distribución puede ser directivas de certificados para cumplir sus más largo que con un proveedor de directivas globales de seguridad. Elija una entidad emisora de certificados privada cuando desarrolle la mayor parte de su actividad con organizaciones asociadas y desee mantener el control de cómo se emiten los certificados. seguridad. Ing. administración diferentes: uno para los certificados emitidos internamente y otro para los emitidos comercialmente. Elección de una Entidad Emisora de Certificados Privada Las entidades emisoras de certificados privadas se crean y mantienen internamente dentro de la organización. Ventajas Inconvenientes Crea un mayor grado de confianza en sus Posiblemente.La siguiente tabla resume algunas de las ventajas e inconvenientes de trabajar con una entidad emisora de certificados comercial.

El tipo de directiva que elija determinará las características y el comportamiento de la entidad emisora de certificados. Directiva de Empresa Una entidad emisora de certificados de empresa de Windows utiliza Active Directory como base de datos de registro de usuarios. Figura 7. 4. Este tipo de entidades tienen el modelo de administración más sencillo con la menor carga de trabajo por certificado. Las entidades emisoras de certificados de empresa presentan las características siguientes: Ing. Elija el modelo de directiva según la función que la entidad emisora de certificados desempeñará en la distribución de la infraestructura de claves públicas de la organización. Entidad Emisora de Certificados Privada 4. Manuel LOPEZ ROBLES 138 .1. Elíjalo si va a emitir certificados a usuarios y equipos dentro de la organización. Selección de una Directiva de Entidad Emisora de Certificados Cuando instala Servicios de Certificate Server para crear una entidad emisora de certificados privada.3. tiene que seleccionar uno de los dos modelos diferentes de directiva de entidad emisora de certificados.3.

en la que la información del usuario ya se encuentra en Active Directory y una plantilla de certificado describe el tipo de certificado). Las entidades emisoras de certificados independientes presentan las características siguientes:  Requieren que los solicitantes de certificados proporcionen explícitamente toda la información identificativa acerca de sí mismos y el tipo de certificado que desean (a diferencia de lo que ocurre en una solicitud a una entidad emisora de certificados de empresa.  Dejan todas las solicitudes pendientes hasta que el administrador de la entidad (mediante la consola de Entidad emisora de certificados) comprueba la identidad del solicitante y permite la solicitud. Dependen de la presencia de Active Directory.2.  No pueden emitir certificados para autenticación con tarjeta inteligente en un dominio de Windows. Manuel LOPEZ ROBLES 139 . El uso de una entidad emisora de certificados independientes también permite a las organizaciones personalizar la información que puede solicitar al usuario. Sin embargo. Los usuarios que tienen los permisos apropiados pueden solicitar un certificado en cualquier entidad emisora de certificados de empresa. Directiva Independiente Una entidad emisora de certificados independiente puede funcionar independientemente de Active Directory.  Las entidades emisoras de certificados de empresa utilizan plantillas de certificados para definir certificados que cumplen un propósito particular y como medio para definir una directiva de inscripción en el bosque. Si un solicitante no tiene una cuenta en Active Directory. como los de cliente Web. 4. se pueden emitir y almacenar en una tarjeta inteligente. Elija una entidad de este tipo si va a emitir certificados a usuarios y equipos de fuera de su organización.3. otros tipos de certificados.  Las entidades emisoras de certificados de empresa utilizan cuentas de usuario de dominio para autenticar a los solicitantes de certificados. Ing. no puede obtener un certificado en la entidad emisora de certificados de empresa.

Crea una asociación entre todos los certificados de una entidad emisora de certificados específica y una cuenta de usuario de Windows. ASIGNACIÓN DE CERTIFICADOS A CUENTAS DE USUARIO Puede que una organización necesite implementar la autenticación de usuarios externos que no tienen una cuenta en Active Directory. Después de la autenticación.1. Las entidades emisoras de certificados independientes no utilizan plantillas de certificados. La administración manual de la asignación de uno a uno requiere más trabajo administrativo que la administración de la asignación de varios a uno. La asignación de certificados permite a las organizaciones proporcionar acceso a un usuario en función de si posee un certificado de autenticación válido obtenido fuera de la organización. se crea una asociación entre un certificado individual propiedad de un usuario y una cuenta de usuario correspondiente de Windows.  Varios a uno. el usuario recibe los derechos y los permisos de la cuenta de usuario a la que está asociado. La asignación de certificados se puede configurar de las maneras siguientes:  Uno a uno. Sólo las entidades emisoras de certificados de empresa pueden usarlas. Utilice este tipo de asignación cuando tenga un número de clientes relativamente reducido. Ing. los usuarios se autentican en Active Directory con la validez de dichos certificados asociados y se les conceden derechos y permisos según dicha autenticación. 5. Crea una asociación entre un certificado individual y una cuenta de usuario correspondiente en Windows. 5. Cuando la asignación de certificados está habilitada. Manuel LOPEZ ROBLES 140 . Después de asignar el certificado a la cuenta de usuario de Windows. el propietario del certificado se autentica en función de la cuenta de usuario asignada de Windows. Asignación de Uno a Uno En la asignación de uno a uno.

Este tipo de asignación permite a cualquier usuario que haya recibido un certificado de una entidad emisora de certificados obtener los derechos de acceso asignados a la cuenta de usuario de Windows asociada. Figura 8. Figura 9. Manuel LOPEZ ROBLES 141 . Asignación Varios a Uno Ing.2. Asignaciones de Varios a Uno Las asignaciones de certificados de varios a uno asocian todos los certificados de una misma entidad emisora de certificados con una misma cuenta de usuario de Windows 2000. Asignación Uno a Uno 5.

como la organización de los usuarios y la entidad emisora. y determinar si la información cumple los criterios de las reglas. A continuación. Cuando es así. 7. Las reglas de asignación se establecen para comprobar la información contenida en los certificados de los usuarios. puede establecer las reglas que asocian todos los certificados emitidos por dicha entidad emisora de certificados con una cuenta de usuario de Windows.La asignación de varios a uno es útil para autenticar a muchos usuarios que pueden requerir tener acceso a un recurso dado de la red. ACTIVIDAD  Determine los componentes básicos de la infraestructura de claves públicas para implementar una entidad certificadora en la red de computadoras de la Facultad de Ingeniería de la UPLA. como un sitio Web interno. puede asociar a sus empleados con una cuenta de usuario que conceda acceso de lectura a todo el sitio Web. unidad organizativa (OU) o bosque. dominio. puede asociar a los consultores y los empleados de compañías asociadas con otras cuentas de usuario que sólo permitan tener acceso a la información no confidencial y a información seleccionada. RESUMEN Se debe haber obtenido una comprensión adecuada de los siguientes puntos clave: Ing. Seguidamente. La entidad emisora de certificados que emite los certificados de dichos usuarios tiene que estar instalada como raíz de confianza del sitio. los usuarios quedan asociados con una cuenta de usuario especificada. Puede utilizar varias asociaciones de varios a uno independientes para grupos diferentes que puedan requerir tener acceso a los recursos de la red.  Implemente una entidad certificadora en la red de computadoras de la Facultad de Ingeniería de la UPLA. Puede configurar cuentas de usuario que concedan diferentes conjuntos de derechos y permisos según la posesión por parte de los clientes de certificados válidos que cumplan las reglas de asignación. 6. Manuel LOPEZ ROBLES 142 . Los permisos establecidos para la cuenta de usuario se aplicarán a todos los usuarios que tengan certificados emitidos por la entidad emisora de certificados de confianza. Por ejemplo.

los usuarios y los equipos tienen que solicitar y recibir certificados desde una entidad emisora de certificados. El ciclo vital de un certificado se define para cumplir los requisitos de seguridad de la organización. Manuel LOPEZ ROBLES 143 . renueva y audita los certificados. como datos. tiene que determinar qué recursos de la red. como la disolución de la asociación con otra compañía.  Una plantilla de certificado define el formato y el contenido de un certificado. tiene que determinar los requisitos de certificados de la red. revoca. tienen que estar protegidos.  Hay dos tipos de entidad emisora de certificados que pueden proporcionar certificados para una organización: una entidad comercial mantenida por una compañía emisora de certificados o una entidad emisora de certificados privada (interna). aplicaciones y servicios. técnicas de cifrado y servicios que permite a las organizaciones proteger sus comunicaciones y sus transacciones comerciales.  Para participar en una infraestructura de claves públicas. Al diseñar el uso de certificados. Cuando un usuario emite una solicitud de certificado a una entidad emisora de certificados de empresa de Windows. Cuando un usuario emite una solicitud de certificado a una entidad emisora de certificados independiente de Windows. la solicitud se considera pendiente hasta que el administrador de la entidad emisora de certificados apruebe o rechace la solicitud en función de las credenciales proporcionadas por el usuario. Se basa en el intercambio de certificados digitales entre usuarios autenticados y recursos de confianza. la solicitud se tramita inmediatamente porque una entidad de este tipo utiliza Active Directory para comprobar a los usuarios. crea una situación en la que ya no es apropiado considerar válido un certificado. emite. Asimismo revocar un certificado puede ser necesario cuando algún suceso relacionado con la seguridad. Las plantillas de certificados sólo se utilizan cuando el servidor que ejecuta Servicios de Certificate Server es una entidad emisora de certificados de empresa. Las entidades emisoras de certificados privadas requieren un modelo administrativo para emitir certificados y proporcionar seguridad para la entidad emisora de certificados raíz. El proceso de solicitar y recibir un certificado se conoce como inscripción. El ciclo vital de los certificados define los procesos por los que una entidad emisora de certificados solicita. Para implementar la autenticación basada en certificados. Ing. Una infraestructura de claves públicas (PKI) es la combinación de software.

Antonio. 1. Prentice Hall. España. ¿Cuantos tipos de entidad emisora de certificados existen.8. Sharon Crawford. Indique los pasos para solicitar y emitir un certificado 6. que las diferencian? 8. Prentice Hall Hispanoamericana. Williams. Fernando. BIBLIOGRAFÍA RECOMENDADA  Microsoft Training and Certification. Windows 2003 Server. Fundamentos de Seguridad en Redes. Jean. España. ¿Que elecciones se tiene cuando se desea crear un certificado mediante plantillas? 5. España 2004. 2000. España.  Stallings. 2003. Mc Graw Hill. 2002 9. Indique en que situaciones se hace necesario revocar certificados 7. Hacking y Seguridad en Internet. ¿Que podría realizar para determinar los requisitos de certificados de una red? 4. Aplicaciones y Estándares. Manuel LOPEZ ROBLES 144 . NEXO La siguiente unidad se encarga de explicar los conceptos de un firewall como estrategia de seguridad en una red de computadoras 10. Determine las ventajas y/o desventajas de una entidad emisora de certificados comercial y una privada. 2008. Charlie. Indique y explique los componentes básicos de una infraestructura de claves públicas de una red 2. Seguridad en Unix y Redes. 3. Iñaki.  Villaton Huerta. AUTOEVALUACION FORMATIVA. Antonio. España. Gerend Jason. Ing. A que aplicaciones y/o servicios se puede proporcionar una solución segura a través de los certificados digitales. García Moran. Lorente Pérez. Ramos Varón. Alfaomega Editorial Rama. Diseño de Redes Seguras.  Russel.  Picouto Ramos.

una industria completa se ha ido formando en los últimos años para responder a las necesidades de las empresas que quieren tener las ventajas y beneficios de estar conectados a Internet pero requieren mantener la confidencialidad. esta debería establecer una política de seguridad interna para administrar el acceso de usuarios a porciones de red y proteger sensitivamente la información secreta. y protegerse contra la exportación privada de información. Arquitectura Firewall Todavía. UNIDAD ACADÉMICA Nº 08 FIREWALL Los administradores de red tienen que incrementar todo lo concerniente a la seguridad de sus sistemas. la organización necesita seguir una política de seguridad para prevenir el acceso no-autorizado de usuarios a los recursos propios de la red privada. Ing. Para superar estos temores y proveer el nivel de protección requerida. En respuesta a estos riesgos. debido a que se expone la organización privada de sus datos así como la infraestructura de su red a los Expertos de Internet (Internet Crakers). Figura 1. Manuel LOPEZ ROBLES 145 . aun si una organización no esta conectada al Internet.

integridad y disponibilidad de su información y recursos de la red. Esta industria se
mueve alrededor de la tecnología Firewall.

Un firewall es un sistema diseñado para prevenir acceso no autorizado hacia o desde
una red privada. Provee un punto de defensa entre dos redes – protege una red de
otra. Usualmente, un firewall protege la red privada de una empresa de las redes
públicas o compartidas a las que se conecta. Un firewall puede ser tan simple como un
ruteador que filtra paquetes o tan complejo como varias computadoras o varios
ruteadores que combinan el filtrado de paquetes con servicios proxy a nivel aplicación.

Los firewalls generalmente se usan para evitar el acceso no autorizado a usuarios del
Internet hacia redes privadas que están conectadas a Internet, sobre todo aquellas
que son Intranets. Todos los mensajes que entran o salen de la intranet pasan a través
del firewall, el cual examina cada mensaje y bloquea aquellos que no cumplen las
políticas de seguridad especificados. Las políticas de seguridad son el conjunto de
reglas de seguridad, convenciones y procedimientos que gobiernan las
comunicaciones dentro y fuera de una red.

1. CORTAFUEGOS O FIREWALL

El Cortaguegos o Firewall es un elemento, tanto de hardware como de software, que
se utiliza para controlar las comunicaciones, siempre dentro de una red de
computadoras. De esta forma, se prohibe o se permite una comunicación
dependiendo de las políticas de red que haya definido la organización que se encarga
de esa red.

Figura 2. Estructura lógica de un Firewall

El cortafuego o firewall es el punto en que conecta la red interna de la entidad en
cuestión con la red exterior, es decir, Internet. Así, se protege la red de la empresa o
la organización de los intentos de acceso a información privilegiada, por ejemplo, sin

Ing. Manuel LOPEZ ROBLES 146

permiso de ésta y se evita que los puntos vulnerables del sistema sean aprovechados
por terceras personas de manera ilícita. Muchas veces, se conecta una tercera red al
cortafuego, que se denomina zona desmilitarizada. En ésta se sitúan los servidores
de la entidad a los que podemos acceder desde fuera de ésta, o sea, desde Internet.

Figura 3. Estructura de una Red de Computadoras con Firewall

Un Firewall en Internet es un sistema o grupo de sistemas que impone una política de
seguridad entre la organización de red privada y el Internet. El firewall determina cual
de los servicios de red pueden ser accesados dentro de esta por los que están fuera,
es decir quien puede entrar para utilizar los recursos de red pertenecientes a la
organización. Para que un firewall sea efectivo, todo tráfico de información a través del
Internet deberá pasar a través del mismo donde podrá ser inspeccionada la
información. El firewall podrá únicamente autorizar el paso del tráfico, y el mismo
podrá ser inmune a la penetración. Desafortunadamente, este sistema no puede
ofrecer protección alguna una vez que el agresor lo traspasa o permanece entorno a
este.

Esto es importante, ya que debemos de notar que un firewall de Internet: no es
justamente un ruteador, un servidor de defensa, o una combinación de elementos que
proveen seguridad para la red. El firewall es parte de una política de seguridad
completa que crea un perímetro de defensa diseñada para proteger las fuentes de
información.

Ing. Manuel LOPEZ ROBLES 147

Esta política de seguridad podrá incluir publicaciones con las guías de ayuda donde se
informe a los usuarios de sus responsabilidades, normas de acceso a la red, política
de servicios en la red, política de autenticidad en acceso remoto o local a usuarios
propios de la red, normas de dial-in y dial-out, reglas de encriptación de datos y discos,
normas de protección de virus, y entrenamiento. Todos los puntos potenciales de
ataque en la red podrán ser protegidos con el mismo nivel de seguridad. Un firewall de
Internet sin una política de seguridad comprensiva es como poner una puerta de acero
en una tienda.

Figura 4. Firewall conectado a Internet

1.1. Tipos de Firewall.

Dentro de los tipos de Firewall se tiene:

 Firewall de Capa de Red. Funciona a nivel de red (nivel 3) de la pila de protocolos
(TCP/IP) como filtro de paquetes IP. A este nivel se pueden realizar filtros según los
distintos campos de los paquetes IP: dirección IP origen, dirección IP destino. A
menudo en este tipo de cortafuegos se permiten filtrados según campos de nivel

Ing. Manuel LOPEZ ROBLES 148

los paquetes pueden ir y Ing. Esta tecnología pertenece a la segunda generación de firewalls y valida que los paquetes pertenezcan ya sea a una solicitud de conexión o bien a una conexión entre dos computadoras. Por ejemplo. se establece la comunicación. Cada paquete que entra o sale de la red es inspeccionado y lo acepta o rechaza basándose en las reglas definidas por el usuario. y la regla permite el paso.  Si se encuentra una regla que aplicar al paquete. el paquete es rechazado. Lo que hace es filtrar las comunicaciones entre el PC en cuestión y el resto de la red. Trabaja en el nivel de aplicación (nivel 7) de manera que los filtrados se pueden adaptar a características propias de los protocolos de este nivel.  Firewall de Capa de Aplicación. el paquete es rechazado. Una vez que la conexión se establece. y la regla rechaza el paso. 2. Filtros a Nivel Paquete (Packet Filters). pero es difícil de configurar. de transporte (nivel 4) como el puerto origen y destino. Aplica mecanismos de seguridad cuando una conexión TCP o UDP es establecida.2. Firewall a Nivel Circuito (Circuit Level Firewalls). El filtrado de paquetes es efectivo y transparente para los usuarios de la red. TIPOS DE TÉCNICAS PARA IMPLEMENTAR UN FIREWALL 2.  Firewall Personal. Manuel LOPEZ ROBLES 149 . Además de que es susceptible a IP Spoofing. Un cortafuego a nivel 7 de tráfico HTTP es normalmente denominado Proxy y permite que los computadores de una organización entren a Internet de una forma controlada. o a nivel de enlace de datos (nivel 2) como la dirección MAC. Se trata de un software que se instala en una computadora concreta. Las reglas para rechazar o aceptar un paquete son las siguientes:  Si no se encuentra una regla que aplicar al paquete. Esta tecnología pertenece a la primera generación de firewalls la cual analiza el tráfico de la red. 2. si se trata de tráfico HTTP se pueden realizar filtrados según la URL a la que se está intentando acceder.  Si se encuentra una regla que aplicar al paquete. como podría ser nuestra computadora personal.1.

2. la tabla se borra y la transmisión de información entre las dos computadoras se cierra. Filtros Dinámicos a Nivel Paquete (Dynamic Packet Filters) Pertenece a la cuarta generación de firewall y permite modificaciones a las reglas de seguridad sobre la marcha. Ing. Permite definir distintos niveles de acceso a la información de manera que en una organización cada grupo de usuarios definido tendrá acceso sólo a los servicios y la información que le son estrictamente necesarios. El acceso a ciertos segmentos de la red de una organización. El firewall mantiene una tabla de conexiones válidas y permite que los paquetes de la red pasen a través de ella si corresponden a algún registro de la tabla.3. tales como FTP o HTTP. Un Servicio Proxy es un programa que aplica mecanismos de seguridad a ciertas aplicaciones. Un servicio proxy puede incrementar el control al acceso. Ventajas de un Cortafuegos  Protege de intrusiones. se utilizan dos o más técnicas para configurar el firewall. En este tipo de tecnología también se puede validar claves de acceso y algunos tipos de solicitudes de servicios.4.  Protección de información privada. realizar chequeos detallados a los datos y generar auditorias sobre la información que se transmite.1. En la práctica. 2. La mayoría de estos tipos de firewalls requieren software especializado y servicios Proxy. Un firewall es considerado la primera línea de defensa para proteger la información privada. sólo se permite desde máquinas autorizadas de otros segmentos de la organización o de Internet. Examina la información de todos los paquetes de la red y mantiene el estado de la conexión y la secuencia de la información. CARACTERÍSTICAS DE UN CORTAFUEGOS 3. 3. Firewall a Nivel Aplicación (Application Layer Firewalls) Pertenece a la tercera generación de firewalls. Una vez terminada la conexión.venir entre las computadoras sin tener que ser revisados cada vez. Manuel LOPEZ ROBLES 150 .

 El cortafuego no puede proteger contra los ataques de Ingeniería social.2.  El cortafuegos no puede proteger de las amenazas a que esta sometido por traidores o usuarios inconscientes. Manuel LOPEZ ROBLES 151 . el usuario puede hacer una conexión SLIP o PPP al Internet. Hay que configurar correctamente y cuidar la seguridad de los servicios que se publiquen a Internet. El cortafuego no puede prohibir que los traidores o espías corporativos copien datos sensibles en medios físicos de almacenamiento (diskettes.  El cortafuego no puede proteger contra los ataques posibles a la red interna por virus informáticos a través de archivos y software.  El cortafuego no protege de los fallos de seguridad de los servicios y protocolos de los cuales se permita el tráfico. Limitaciones de un Cortafuegos  Un cortafuego no puede proteger contra aquellos ataques cuyo tráfico no pase a través suyo. la de permitir o denegar determinados servicios. Restricciones en el Firewall La parte más importante de las tareas que realizan los Firewalls. si existe una conexión dial-out sin restricciones que permita entrar a nuestra red protegida. Por ejemplo. etc.) y sustraigan éstas del edificio. La solución real esta en que la organización debe ser consciente en instalar software antivirus en cada máquina para protegerse de los virus que llegan por cualquier medio de almacenamiento u otra fuente. 3. Esto ayuda a reconfigurar los parámetros de seguridad.3. Optimización de acceso. memorias. se hacen en función de los distintos usuarios y su ubicación: Ing. Los usuarios con sentido común suelen "irritarse" cuando se requiere una autenticación adicional requerida por un Firewall Proxy Server (FPS) lo cual se puede ser provocado por un sistema de seguridad circunvecino que esta incluido en una conexión directa SLIP o PPP del ISP. 3. Identifica los elementos de la red internos y optimiza que la comunicación entre ellos sea más directa.

La política restrictiva es la más segura. Este es el caso más sensible a la hora de vigilarse. El “firewall” evitará la entrada de los programas que rastrean direcciones IP (un número que se asigna cada computadora conectado) a la caza de conexiones por banda ancha que parasitar. Manuel LOPEZ ROBLES 152 .  Usuarios externos con permiso de entrada desde el exterior. Sería conveniente que estas cuentas sean activadas y desactivadas bajo demanda y únicamente el tiempo que sean necesarias. Cada servicio potencialmente peligroso necesitará ser aislado básicamente caso por caso. Suele tratarse de usuarios externos que por algún motivo deben acceder para consultar servicios de la red interna. cuando provengan del interior. el cortafuego se convierte un elemento imprescindible si se utiliza mucho la computadora y se está conectado permanentemente mediante ADSL o cable. Aunque el usuario pueda creer que eso de los ataques no es algo que le pueda suceder en su casa a su computadora. mientras que el resto del tráfico no será filtrado.  Política permisiva.4. ya que es más difícil permitir por error tráfico potencialmente peligroso. Usuarios internos con permiso de salida para servicios restringidos. También es habitual utilizar estos accesos por parte de terceros para prestar servicios al perímetro interior de la red. van a poder acceder a determinados servicios externos que se han definido. 3. El cortafuego obstruye todo el tráfico y hay que habilitar expresamente el tráfico de los servicios que se necesiten. Ing. Se permite todo el tráfico excepto el que esté explícitamente denegado. Permite especificar una serie de redes y direcciones a los que denomina Trusted (validados). Estos usuarios. Se deniega todo el tráfico excepto el que está explícitamente permitido. Políticas del Cortafuegos Hay dos políticas básicas en la configuración de un cortafuego y que cambian radicalmente la filosofía fundamental de la seguridad en la organización:  Política restrictiva. a la vez que frustrará los intentos de los programas espía de robar datos del PC y de los troyanos de abrir brechas de seguridad. mientras que en la política permisiva es posible que no se haya contemplado algún caso de tráfico peligroso y sea permitido por defecto.

El más popular es ZoneAlarm.y cuáles de negar. que se pueden descargar de forma gratuita. Si este protocolo es TCP o UDP. Funcionamiento de la Protección de Firewall Protección de firewall funciona mediante el bloqueo de ciertos tipos de tráfico entre una fuente y un destino. Lo que esto significa es que si usted se conecta a un servidor Web a través de Internet. UDP. sólo vigila las conexiones entrantes. 3. La mayoría de las veces la fuente puerto es un puerto al azar y el puerto de destino es un conocido número de puerto. Por ejemplo. 3. se activan siempre que se enciende la computadora. aunque existen otros como Outpost. suficientes para el usuario doméstico. Kerio o Sygate. un destino. el cortafuegos automáticamente permitir que las respuestas del Ing. y un protocolo. Todo el tráfico de la red tiene un origen. Si el protocolo ICMP. Obras de protección de firewall de red que permite al administrador de seguridad para elegir que los protocolos y los tipos de mensajes o de los puertos para permitir . Manuel LOPEZ ROBLES 153 .5. Los cortafuegos.1. Protección Firewall: Negar de Entrada La mayoría de las configuraciones de firewall debe negar todo el tráfico de entrada a todas las direcciones IP internas. Servidores que deben aceptar conexiones entrantes debe ser colocado en una zona desmilitarizada de red.En Internet se pueden encontrar versiones no profesionales de cortafuegos. el puerto de destino es de 80 para HTTP y el puerto de destino para que el DNS es de 53.5. Los más comunes son los tipos de mensaje ICMP Echo Solicitud y Responder. al contrario que otros cortafuegos. por defecto. El que viene con Windows XP no es demasiado seguro porque. También hay cortafuegos integrados en los programas antivirus o en el propio sistema operativo. Moderno cortafuegos permitirá a los paquetes a entrar en la red que son respuestas al tráfico saliente. Hay que configurarlo con cuidado. también hay un tipo de mensaje ICMP. ICMP. mientras que el tráfico de salida no está restringido. es un puerto de origen y un puerto de destino. pues puede ocurrir que no funcione el correo electrónico o no se abran páginas Web en el navegador porque el “firewall” no permite a estos programas acceder a Internet. Este protocolo suele ser TCP.

3. además de puerto 25. el comando ping tampoco. el comando ping fracasará. Si configura un servidor de seguridad entre la fuente y el destino de bloquear mensajes ICMP Echo Solicitud de la fuente al destino. Restricciones salientes rara vez. puede configurar su servidor de correo para responder a otro puerto. o nunca. Protección Firewall Ejemplo: Bloqueo de salida E-mail Internet e-mail utiliza el protocolo SMTP. Servidores SMTP respuesta en el puerto TCP 25. si configura un servidor de seguridad entre la fuente y el destino de bloquear mensajes ICMP Echo Responder el destino de la fuente. Protección Firewall: Negar la Ida Algunos administradores de la seguridad de la red niegan el tráfico saliente. Esto generalmente significa que la prevención de los usuarios de utilizar sistemas de Chat en línea o les impide el envío de correo electrónico salientes. Esto se hace con frecuencia a restringir a los usuarios a los protocolos aprobados y les impiden el uso no aprobado protocolos.1.servidor Web a regresar a usted. Estos trabajos-arounds requieren tiempo y esfuerzo por parte del usuario de la red. Ing. Del mismo modo.6.5. 3. Inbound restricciones son el principal valor de la seguridad proporcionada por los cortafuegos. Sin embargo. Protección Firewall Ejemplo: Negar Inbound ping El comando ping envía mensajes ICMP Echo Solicitud de eco ICMP y espera Responder a los mensajes de respuesta. La desactivación de los mensajes entrantes Echo Solicitud impide el uso del comando ping a su red de ruta. un sofisticado usuario que opera su propio servidor de correo. Si bloquear el puerto TCP 25 saliente de su red. El comando ping puede permitir a un atacante potencial mapa de su red. como el trabajo completamente diseñado.excepto a través de su e-mail aprobado servidores. lo que limita el número de usuarios que pueden utilizar los protocolos no aprobadas. 3. Manuel LOPEZ ROBLES 154 . Restricciones de salida son a menudo vulnerables a la labor de arounds. Esta sería una labor eficaz-en torno a su política de seguridad.2. los usuarios no podrán enviar saliente de correo electrónico .6.

Para el usuario la LAN es transparente.4. dependiendo de gustos y necesidades". sino en definición. ACCESO DESDE EL EXTERIOR "Si el Firewall no valida nuestra IP no podremos conectarlo con la LAN. aunque si lo hay. es decir. Firewall Exterior Los Firewalls son complejos. protegiendo así también al Firewall. Formas de implementación de Firewall hay muchas. En la jerga de seguridad de red. puerto. etc. seria como si no hubiera nada vigilando por nuestra seguridad. si desde cualquier estación enviamos un paquete a una IP y el Firewall nos valida el tamaño. mejor que multiplicar por x el trabajo de seguridad en una red. En la jerga militar. aunque cómo la IP podemos falsificarla hoy en día se implementan también Servidores Proxys. Ing. Hoy en día a un Router que cumpla funciones de Firewall le daremos esta clasificación. ya no en si mismos. Manuel LOPEZ ROBLES 155 . El concepto de seguridad aplicado sería: Filtrar antes de repartir. (Estos parámetros varían según las necesidades de seguridad cada red. Figura 5. ZONA DESMILITARIZADA Zona desmilitarizada es la abreviatura de DeMilitarized Zona. nosotros no veremos proceso alguno. y por tanto del nivel de configuración del Firewall). más conocida en el mundo es la que protege la zona desmilitarizada de Corea del Sur a Corea del Norte. IP de destino. ante los cuáles deberemos identificarnos antes. una zona desmilitarizada es un área de tierra que sirve como amortiguador entre dos enemigos. una zona desmilitarizada es una red que sirve como amortiguador entre una red interna segura protegida y de la inseguridad de Internet. La zona desmilitarizada. 5.

A pesar de que estos servidores deben estar abiertos a un acceso limitado a la Internet. presentan algunos problemas inherentes a su condición: consumen recursos del ordenador. Cómo crear una zona desmilitarizada El método más simple de crear una zona desmilitarizada es utilizar un firewall con tres o más interfaces de red. POP3 e IMAP4). y los servidores DNS. Ing. Zona desmilitarizada que separa su zona desmilitarizada en múltiples hosts la voluntad de ayudar a limitar el daño que se puede hacer si uno de sus anfitriones zona desmilitarizada se ve comprometida. algunas veces no se ejecutan correctamente o pueden ocasionar errores de compatibilidad con otro software instalado. ftp. 6. incluso si logran tener acceso a su zona desmilitarizada anfitriones. ya que a parte de resultar mucho más económicos que el hardware. sino que también deberán estar protegidos por un firewall.1. tales como Web. Zona Desmilitarizada Reglas del Firewall Un cortafuego normalmente será configurado para proteger la red interna de Internet.Una zona desmilitarizada contiene por lo general los servidores que proporcionan servicios a los usuarios de Internet. Manuel LOPEZ ROBLES 156 . 5. El término del perímetro de red se utiliza también para describir una zona desmilitarizada. Para crear una zona desmilitarizada. el firewall también debe hacer cumplir las reglas para proteger a la zona desmilitarizada de la Internet y las normas para proteger la red interna de la zona desmilitarizada. FIREWALL POR SOFTWARE "Estos programas son los más comunes en los hogares. o incluso le permiten crear una red con dos de la zona desmilitarizada. correo electrónico (SMTP. 5. su instalación y actualización es más sencilla. Eso sí. Esto hará más difícil para un atacante penetrar en su red interna.2. Cada interfaz se le asigna una función específica:  Interior confía en la red  Zona desmilitarizada red  Exteriores confía en un-red (Internet) El uso de un puerto Ethernet en la tarjeta de tu cortafuego te permitirá crear una red de esta configuración.

Muchas licencias libres cortafuegos personal restringir su uso para fines comerciales. Ing. son muy potentes y flexibles. pero requieren un gran conocimiento en redes y puertos necesarios para las aplicaciones.  Firewall Personal Libre."  Firewall Libre. FreeBSD. los sistemas operativos más modernos como Windows XP y Linux integran soluciones básicas de firewall. ipf (IPFilter). La mayoría de estos cortafuegos se ejecuta bajo algún tipo de Linux. Libre firewalls personales son a veces sólo gratuitos para los usuarios domésticos. Firewall por Software Actualmente. Para no tener problemas. Libre cortafuegos se han vuelto muy comunes y representan una excelente alternativa a los paquetes comerciales de cortafuegos. como pf (Packet Filter). Figura 7. Muchos de estos cortafuegos son libres pensado para el servidor de seguridad de nivel inferior paquetes que se entregan con estos sistemas operativos. Muchos firewalls personales son libres función limitada de las versiones comerciales de los cortafuegos personales. e Iptables. Los fabricantes esperan que usted pruebe su software y estar dispuesto a pagar por las funciones más avanzadas en sus productos pagados. ipfw (IPFirewall). como en el software libre. en algunos casos. como soluciones que presentan firewall y antivirus. Manuel LOPEZ ROBLES 157 . OpenBSD. existen una serie de herramientas externas que facilitan este trabajo de protección.

 Gateway a Nivel-aplicación. o una combinación. Figura 8. podemos destacar. El ruteador examina cada datagrama para determinar si Ing.  Ruteador Filtra-Paquetes. 8. Su mayor inconveniente es el mantenimiento.  Gateway a Nivel-circuito. Manuel LOPEZ ROBLES 158 . ya que son difíciles de actualizar y de configurar correctamente". de los siguientes obstáculos". COMPONENTES DE UN FIREWALL "Un firewall típico se compone de uno. Firewall por Hardware 8. no es necesario configurarlos cada vez que reinstalamos el sistema operativo. FIREWALL POR HARDWARE Los firewall de hardware se utilizan más en empresas y grandes corporaciones. y no consumen recursos del sistema. Ruteador Filtra-Paquetes "Este ruteador toma las decisiones de rehusar/permitir el paso de cada uno de los paquetes que son recibidos.7. Normalmente son dispositivos que se colocan entre el router y la conexión telefónica. Como ventajas. que al ser independientes del PC.1.

Un aumento de seguridad de este tipo incrementa nuestros costos en términos del tipo de gateway seleccionado. el código Proxy puede ser configurado para soportar únicamente las características especificas de una aplicación que el administrador de red considere aceptable mientras niega todas las otras. un parámetro configurable por incumplimiento determina descartar o desplazar el paquete". dando como resultado un sistema carente de transparencia en el manejo de los usuarios en un ambiente "amigable". Manuel LOPEZ ROBLES 159 . Si el administrador de red no instala el código Proxy para la aplicación particular. Las reglas de filtrado se basan en revisar la información que poseen los paquetes en su encabezado. si se encuentra la correspondencia y las reglas niegan el paso. Gateways a Nivel-Aplicación "Estos permiten al administrador de red la implementación de una política de seguridad estricta que la que permite un ruteador filtra-paquetes.este corresponde a uno de sus paquetes filtrados y que a su vez haya sido aprobado por sus reglas. el tiempo y los conocimientos requeridos para configurar el gateway. y un decrecimiento en el nivel de los servicios que podrán obtener nuestros usuarios. el servicio no es soportado y no podrán desplazarse a través del firewall. el paquete es descartado. los servicios de aplicaciones del Proxy. 8. Aun cuando. Si estos no corresponden a las reglas. lo que hace posible su desplazamiento en un proceso de IP.2. Se instala en el gateway un código de propósito-especial (un servicio Proxy) para cada aplicación deseada. Figura 9. Como en todos los casos el administrador de redes debe de balancear las Ing. Ruteador Filtra Paquetes Si se encuentra la correspondencia y las reglas permiten el paso del paquete. este será desplazado de acuerdo a la información a la tabla de ruteo.

necesidades propias en seguridad de la organización con la demanda de "fácil de usar" demandado por la comunidad de usuarios". Gateway a Nivel Aplicación Esta figura ilustra la operación de un Telnet Proxy en un servidor de defensa. un cliente externo ejecuta una sesión Telnet hacia un servidor integrado dentro del sistema de seguridad por el Gateway a nivel-aplicación. Figura 10. la conexión del sistema Ing. o dirigiendo el protocolo de Telnet. 8.3. Gateway a Nivel Circuito El grafico muestra la operación de una conexión típica Telnet a través de un Gateway a nivel-circuito. Manuel LOPEZ ROBLES 160 . A nivel-circuito simplemente trasmite las conexiones TCP sin cumplir cualquier proceso adicional en filtrado de paquetes. De cualquier modo. filtrarlo. Para este ejemplo. El gateway a nivel-circuito acciona como un cable copiando los bytes antes y después entre la conexión interna y la conexión externa. Figura 10. Este gateway simplemente trasmite la conexión a través del firewall sin examinarlo adicionalmente. Gateway a Nivel-Circuito "Este es en si una función que puede ser perfeccionada en un Gateway a nivel- aplicación.

Muchas veces. Los firewalls generalmente se usan para evitar el acceso no autorizado a usuarios del Internet hacia redes privadas que están conectadas a Internet. que se utiliza para controlar las comunicaciones. En ésta se sitúan los servidores de la entidad a los que podemos acceder desde fuera de ésta. es decir. RESUMEN Se debe haber obtenido una comprensión adecuada de los siguientes puntos clave:  Un firewall es un sistema diseñado para prevenir acceso no autorizado hacia o desde una red privada. Provee un punto de defensa entre dos redes – protege una red de otra. Ing. Internet.  Determine algunos ejemplos de Firewall por software. Manuel LOPEZ ROBLES 161 .externo actúa como si fuera originada por el sistema de firewall tratando de beneficiar el encubrir la información sobre la protección de la red. siempre dentro de una red de computadoras." 9. se conecta una tercera red al cortafuego.  El Cortaguegos o Firewall es un elemento. sobre todo aquellas que son Intranets. Esto hace que el sistema de firewall sea fácil de usar para los usuarios internos quienes desean tener acceso directo a los servicios de Internet mientras se proveen las funciones del firewall necesarias para proteger la organización de los ataques externos. El Gateway a nivel-circuito se usa frecuentemente para las conexiones de salida donde el administrador de sistemas somete a los usuarios internos. que se denomina zona desmilitarizada. o sea. tanto de hardware como de software. desde Internet. El cortafuego o firewall es el punto en que conecta la red interna de la entidad en cuestión con la red exterior. ACTIVIDAD  Determine el funcionamiento de un Firewall Personal y un Firewall Mobile.  Implemente un Firewall en la red de computadoras de la Facultad de Ingeniería de Sistemas de la UPLA 10. La ventaja preponderante es que el servidor de defensa puede ser configurado como un Gateway "híbrido" soportando nivel-aplicación o servicios Proxy para conexiones de venida y funciones de nivel-circuito para conexiones de ida.

firewall de Capa de Aplicación que trabaja en el nivel de aplicación (nivel 7) de manera que los filtrados se pueden adaptar a características propias de los protocolos de este nivel y firewall Personal que se trata de un software que se instala en una computadora concreta. Optimización de acceso. Desafortunadamente. Para que un firewall sea efectivo. es decir quien puede entrar para utilizar los recursos de red pertenecientes a la organización. Por otro lado entre las políticas en la configuración de un cortafuego se tiene: Política restrictiva que deniega todo el tráfico excepto el que está explícitamente permitido y Política permisiva que permite todo el tráfico excepto el que esté explícitamente denegado. Asimismo en limitaciones se encuentran: Un cortafuegos no puede proteger contra aquellos ataques cuyo tráfico no pase a través suyo. y los servidores DNS. POP3 e IMAP4). el cortafuegos no puede proteger contra los ataques de Ingeniería social.  Dentro de las ventajas de un Cortafuegos se tiene: Protege de intrusiones.  Se tiene múltiples tipos de Firewall: Firewall de Capa de Red que funciona a nivel de red (nivel 3) de la pila de protocolos (TCP/IP) como filtro de paquetes IP.  En las restricciones de Firewall se puede observar que: Usuarios internos con permiso de salida para servicios restringidos. A pesar de que estos servidores deben estar Ing. el cortafuegos no puede proteger contra los ataques posibles a la red interna por virus informáticos a través de archivos y software y el cortafuegos no protege de los fallos de seguridad de los servicios y protocolos de los cuales se permita el tráfico. este sistema no puede ofrecer protección alguna una vez que el agresor lo traspasa o permanece entorno a este. como podría ser nuestra computadora personal. tales como Web. el cortafuegos no puede proteger de las amenazas a que esta sometido por traidores o usuarios inconscientes. todo tráfico de información a través del Internet deberá pasar a través del mismo donde podrá ser inspeccionada la información. El firewall podrá únicamente autorizar el paso del tráfico. Manuel LOPEZ ROBLES 162 . El firewall determina cual de los servicios de red pueden ser accesados dentro de esta por los que están fuera. Usuarios externos con permiso de entrada desde el exterior. y el mismo podrá ser inmune a la penetración. Una zona desmilitarizada contiene por lo general los servidores que proporcionan servicios a los usuarios de Internet. ftp. Protección de información privada. correo electrónico (SMTP.  Una zona desmilitarizada es la abreviatura de DeMilitarized Zona.

 Stallings.  Picouto Ramos. Fundamentos de Seguridad en Redes. Antonio. España. Jean. Richard L. BIBLIOGRAFÍA RECOMENDADA  Microsoft Training and Certification.  Villaton Huerta. AUTOEVALUACION FORMATIVA. Prentice Hall Hispanoamericana. Charlie. Mc Graw Hill.  Russel. Aplicaciones y Estándares. Seguridad en Unix y Redes. 2. ya que a parte de resultar mucho más económicos que el hardware. Prentice Hall. Define el termino Firewall. ¿Cuantos tipos de Firewall se puede encontrar? 3. España.  Un Firewall por software es un programa que son los más comunes en los hogares. ¿Que tipos de técnicas se tiene presente para implementar un firewall. Linux: The Complete Reference Enterprise Linux & Fedora Edition: The Complete Reference. Fernando. España. abiertos a un acceso limitado a la Internet. Gerend Jason. 11. limitaciones. Alfaomega Editorial Rama. Williams. Diseño de Redes Seguras. 2003. Iñaki. restricciones y políticas proporciona un cortafuegos? Ing. que las diferencia una de otra? 4. Normalmente son dispositivos que se colocan entre el router y la conexión telefónica. Windows 2003 Server. El término del perímetro de red se utiliza también para describir una zona desmilitarizada. 2008. Ramos Varón. Lorente Pérez. 2000. Manuel LOPEZ ROBLES 163 .  Petersen. Mc Graw Hill. Mientras que un Firewall por hardware se utilizan más en empresas y grandes corporaciones. Hacking y Seguridad en Internet. sino que también deberán estar protegidos por un firewall. España. 2002 12. España 2004. ¿Que ventajas. 1. Sharon Crawford. Antonio. García Moran. Canadá 2004. su instalación y actualización es más sencilla.