Seguridad en redes de datos

Recomendaciones de seguridad para redes de datos

En esta vida no hay nada completamente seguro, pero siguiendo estos consejos de seguridad para redes WiFi, puedes convertir tu red en una fortaleza inexpugnable. Evitando así a los vecinos gorrones y, más importantes, asegurándonos que nuestros datos privados sigan siendo privados.

Cableada

El primer paso para proteger tu red doméstica es instalar un firewall de hardware o router. Se te permitirá navegar por la red pero impedirás que los espías furtivos tengan acceso a tu red en línea. Asegúrate de cambiar la contraseña de tu router! No dejes la contraseña por defecto porque por supuesto y como ya deberíais de saber existen los sitios que tienen las contraseñas por defecto para casi todos los routers. Además, comprueba los registros o logs como quieras llamarlos de tu firewall o router para ver que o quien está intentando acceder a la máquina.

Si tienes una red inalámbrica, debes ser aún más cuidadoso con tu red. Es extremadamente fácil de acercarse sigilosamente a las redes inalámbricas y no se detectan tan fácilmente o simplemente no se detectan. Y como una conexión inalámbrica es muy popular hoy en día, es probable que, mientras que estás comprobando tu correo electrónico sentado en tu dormitorio, resulta que lo haces desde la red de tus vecinos! Algunas maneras de proteger tu conexión WiFi son:

Usa los métodos de codificación más utilizados en este orden:

WPA2
WPA (estado ===> Crackeado).
WEP (estado ===> Crackeado).
Usa WPA y WEP si no tienes otra opción.

• Cambia el código SSID cada dos semanas y mantenlo en modo Obscure (oscuro) algo que es difícil de adivinar.
• Mantén la opción ‘broadcast SSID’ en modo off apagado, para no difundir el nombre de la red.
• Apaga el WiFi cuando no lo estés utilizando y el uso de una alternativa.
• Desactiva el DHCP en toda la red.

Instala un filtro web. Este dispositivo controla el acceso a ciertos sitios web y contenido. Si tienes niños en la casa, es posible que desees mantener esta opción activada. Hay algunos filtros web de código abierto disponible en la web como:

B Gone
K9 Web Protectión
Privoxy
Parental Filter

Instala un filtro de spam, algún software firewall de escritorio, y antivirus y también por supuesto asegúrate de que se actualiza regularmente si no para que lo quieres O_o y esta claro que te encargues de ocuparte de mantenerlos actualizados y en buen funcionamiento y configuraciones.

También con la instalación de software de cifrado se evita que ojos curiosos puedan acceder a tus datos personales. Apple tiene una funcionalidad de encriptación del disco duro incorporado. Se llama FileVault. Sin embargo, no funciona con Time Machine.

[ad#anuncio-texto-protege-tu-red-local]

También hay varios programas de gestión de contraseñas que te permiten crear y recordar contraseñas extremadamente complejas.

También es importante disponer de software que realice copias de seguridad y recuperaciones del sistema. Así que si, por desgracia, el ordenador se bloquea o ya sabéis la cagamos, tendremos mas posibilidades de que tengamos todos los datos y archivos importantes intactos. Estas sugerencias solo es resumidamente. El resto consiste en mantenerse al día sobre las últimas amenazas de seguridad y actuar en consecuencia, así como mantener el software bien configurado actualizado etc.Via.

·         Comprobar qué dispositivos están conectados a nuestra red. La mayoría de los routers ofrecen la posibilidad de conocer los dispositivos conectados a la red en ese momento. De esta manera, podemos saber si tenemos un intruso, y actuar en consecuencia, cambiando inmediatamente la contraseña y la SSID de nuestra red.

·         Limitar el número de conexiones del router, para que no haya más de las que necesites, así no admitirá nuevas conexiones. Si en algún momento la necesitamos, podemos ampliarla temporalmente.

·         Configurar el router para que sólo se pueda controlar desde una conexión LAN, y no a través de la red WiFi, así nos aseguramos que si alguien consigue entrar en la red, no pueda modificar nuestra configuración a su antojo.

·         Como han añadido en los comentarios, también es una buena opción desactivar el DHCP y asociar direcciones MAC a IPs de manera estática en el router.

Inalámbricas

Estos consejos básicos de seguridad seguro que los conocéis la inmensa mayoría, así que los voy a enumerar de forma sucinta:

·         La primera, bien obvia: No dejes tu red inalámbrica abierta, sin protección alguna. Así, cualquiera que tenga la señal al alcance se podrá conectar, y con un poco de malicia, acceder a nuestros datos privados, además de reducir nuestro ancho de banda disponible.

·         Cambia la configuración por defecto del router. Aunque ahora la mayoría de los routers llevan activada una encriptación básica, con una contraseña que viene pegada al propio router, es fácilmente descifrable en unos pocos minutos, incluso con un teléfono móvil. Para acceder a la configuración del router y cambiarla, debemos escribir su dirección en el navegador, normalmente algo similar a 192.168.0.1

·         De las opciones de encriptación, elige la WPA2-PSK, que es sin duda la más difícil y tediosa de atacar. Además, es de las más cómodas de usar, pues podemos poner una contraseña a nuestro elección, mucho más fácil de recordar cuando vienen invitados. Eso sí, conviene elegir una contraseña que no se obvia, no es la primera vez que me encuentro con redes cuya contraseña es idéntica al nombre de la red.

Si a pesar de haber elegido una buena encriptación para nuestra red, y escogido una contraseña adecuada, queremos asegurarnos más aún la seguridad —valga la redundancia—, hay otras cosas que podemos hacer:

·         Ocultar nuestra red, haciendo que el SSID no sea visible. No es que sea realmente una medida de seguridad muy fuerte, pues existen programas que fácilmente las revelan, pero ayuda a complicar las cosas un poco más a quien tenga intención de acceder a nuestra red. El inconveniente es que para configurar nuevos dispositivos, deberá hacerse de forma manual.

·         Crear una lista blanca de direcciones MAC. Cada dispositivo con tarjeta de red inalámbrica, ya sea móvil, tablet u ordenador, tiene una dirección única que lo identifica —de hecho, la identificación es de la propia tarjeta—. Con esa información, podemos crear una lista de dispositivos autorizados en nuestra red, para que ningún otro dispositivo se pueda conectar sin que demos nosotros mismos de alta esa dirección en la lista. Sin embargo hay que tener en cuenta que un usuario avanzado con malas intenciones puede cambiar la MAC de su ordenador por una autorizada.

Anti-Spam

Aplicación o herramienta informática que se encarga de detectar y eliminar el spam y los correos no deseados.

Algunos antivirus y firewalls (cortafuegos) poseen incorporadas herramientas antispam.

El principal objetivo de una herramienta antispam, es lograr un buen porcentaje de filtrado de correo no deseado. Pero tampoco deben identificar al correo deseado como no deseado, pues eso traería peores consecuencias que "olvidar" filtrar algún spam.

Las herramientas antispam utilizan múltiples técnicas para detectar el correo no deseado. Algunas utilizan técnicas locales. Por ejemplo, emplean un diccionario propio para detectar palabras que suelen aparecer en estos correos. Ese diccionario puede ser "armado" con palabras que el propio usuario identifica como spam manualmente, o armado de forma inteligente por la aplicación, cuando el usuario selecciona qué es deseado y qué es no deseado de su bandeja de entrada.

Otra técnica local es el uso de una lista de amigos y una lista de enemigos. El programa o el propio usuario manualmente identifica las direcciones y nombres que son considerados amigos y de los cuales no recibirán correos no deseados. Lo mismo para la lista de enemigos.

Una técnica no local, la utilizan las herramientas que se conectan a servidores remotos, que se encargan de analizar cada uno de los emails que llegan al usuario, para identificar si son o no spam. Esos servidores remotos utilizan grandes bases de datos con información (direcciones IP, nombres, textos, etc.) para identificar el correo no deseado.

Similares técnicas utilizan los servicios antispam online que prestan algunas empresas para sus usuarios como Gmail de Google, Hotmail de Microsoft y Yahoo! Mail de Yahoo!.

Otros tipos de aplicaciones "anti" son: los antivirus, los antispyware, los antiintrusos (firewalls) y los antipop-up. - See more at: http://www.alegsa.com.ar/Dic/antispam.php#sthash.c22pH0a7.dpu

Ejemplos

Symantec Brightmail AntiSpam o McAfee SpamKiller.

Symantec Hosted Mail Security o Spamina.

CA Anti-Spam

Firewall

Un firewall es un dispositivo que funciona como cortafuegos entre redes, permitiendo o denegando las transmisiones de una red a la otra. Un uso típico es situarlo entre una red local y la red Internet, como dispositivo de seguridad para evitar que los intrusos puedan acceder a información confidencial.

Un firewal es simplemente un filtro que controla todas las comunicaciones que pasan de una red a la otra y en función de lo que sean permite o deniega su paso. Para permitir o denegar una comunicación el firewal examina el tipo de servicio al que corresponde, como pueden ser el web, el correo o el IRC. Dependiendo del servicio el firewall decide si lo permite o no. Además, el firewall examina si la comunicación es entrante o saliente y dependiendo de su dirección puede permitirla o no.

De este modo un firewall puede permitir desde una red local hacia Internet servicios de web, correo y ftp, pero no a IRC que puede ser innecesario para nuestro trabajo. También podemos configurar los accesos que se hagan desde Internet hacia la red local y podemos denegarlos todos o permitir algunos servicios como el de la web, (si es que poseemos un servidor web y queremos que accesible desde Internet). Dependiendo del firewall que tengamos también podremos permitir algunos accesos a la red local desde Internet si el usuario se ha autentificado como usuario de la red local.

Un firewall puede ser un dispositivo software o hardware, es decir, un aparatito que se conecta entre la red y el cable de la conexión a Internet, o bien un programa que se instala en la máquina que tiene el modem que conecta con Internet. Incluso podemos encontrar ordenadores computadores muy potentes y con softwares específicos que lo único que hacen es monitorizar las comunicaciones entre redes.

Si se quiere saber algo más sobre firewalls podemos examinar los enlaces que tenemos en el área de seguridad. Es especialmente interesante este enlace: http://www.ciudadfutura.com/mundopc/cursos/firewalls/fire1.htm

Ejemplos

Zone alarm

Firewall de windows

Firewall plus

IDS

El término IDS (Sistema de detección de intrusiones) hace referencia a un mecanismo que, sigilosamente, escucha el tráfico en la red para detectar actividades anormales o sospechosas, y de este modo, reducir el riesgo de intrusión.

Existen dos claras familias importantes de IDS:

·         El grupo N-IDS (Sistema de detección de intrusiones de red), que garantiza la seguridad dentro de la red.

·         El grupo H-IDS (Sistema de detección de intrusiones en el host), que garantiza la seguridad en el host.

Un N-IDS necesita un hardware exclusivo. Éste forma un sistema que puede verificar paquetes de información que viajan por una o más líneas de la red para descubrir si se ha producido alguna actividad maliciosa o anormal. El N-IDS pone uno o más de los adaptadores de red exclusivos del sistema en modo promiscuo. Éste es una especie de modo "invisible" en el que no tienen dirección IP. Tampoco tienen una serie de protocolos asignados. Es común encontrar diversos IDS en diferentes partes de la red. Por lo general, se colocan sondas fuera de la red para estudiar los posibles ataques, así como también se colocan sondas internas para analizar solicitudes que hayan pasado a través del firewall o que se han realizado desde dentro.

El H-IDS se encuentra en un host particular. Por lo tanto, su software cubre una amplia gama de sistemas operativos como Windows, Solaris, Linux, HP-UX, Aix, etc. 
El H-IDS actúa como un daemon o servicio estándar en el sistema de un host. Tradicionalmente, el H-IDS analiza la información particular almacenada en registros (como registros de sistema, mensajes, lastlogs y wtmp) y también captura paquetes de la red que se introducen/salen del host para poder verificar las señales de intrusión (como ataques por denegación de servicio, puertas traseras, troyanos, intentos de acceso no autorizado, ejecución de códigos malignos o ataques de desbordamiento de búfer).

IDS

Los principales métodos utilizados por N-IDS para informar y bloquear intrusiones son:

·         Reconfiguración de dispositivos externos (firewalls o ACL en routers): Comando enviado por el N-IDS a un dispositivo externo (como un filtro de paquetes o un firewall) para que se reconfigure inmediatamente y así poder bloquear una intrusión. Esta reconfiguración es posible a través del envío de datos que expliquen la alerta (en el encabezado del paquete).

·         Envío de una trampa SNMP a un hipervisor externo: Envío de una alerta (y detalles de los datos involucrados) en forma de un datagrama SNMP a una consola externa como HP Open View Tivoli, Cabletron, Spectrum, etc.

·         Envío de un correo electrónico a uno o más usuarios: Envío de un correo electrónico a uno o más buzones de correo para informar sobre una intrusión seria.

·         Registro del ataque: Se guardan los detalles de la alerta en una base de datos central, incluyendo información como el registro de fecha, la dirección IP del intruso, la dirección IP del destino, el protocolo utilizado y la carga útil.

·         Almacenamiento de paquetes sospechosos: Se guardan todos los paquetes originales capturados y/o los paquetes que dispararon la alerta.

·         Apertura de una aplicación: Se lanza un programa externo que realice una acción específica (envío de un mensaje de texto SMS o la emisión de una alarma sonora).

·         Envío de un "ResetKill": Se construye un paquete de alerta TCP para forzar la finalización de una conexión (sólo válido para técnicas de intrusión que utilizan el protocolo de transporte TCP).

·         Notificación visual de una alerta: Se muestra una alerta en una o más de las consolas de administración.

·         El IPS se sitúa en línea dentro de la red IPS y no sólo escucha pasivamente a la red como un IDS (tradicionalmente colocado como un rastreador de puertos en la red).

·         Un IPS tiene la habilidad de bloquear inmediatamente las intrusiones, sin importar el protocolo de transporte utilizado y sin reconfigurar un dispositivo externo. Esto significa que el IPS puede filtrar y bloquear paquetes en modo nativo (al utilizar técnicas como la caída de una conexión, la caída de paquetes ofensivos o el bloqueo de un intruso).

Ejemplos

HIDS (Host IDS)

NIDS (Net IDS)

Antivirus

Es un programa creado para prevenir o evitar la activación de los virus, así como su propagación y contagio. Cuenta además con rutinas de detención, eliminación y reconstrucción de los archivos y las áreas infectadas del sistema.

Un antivirus tiene tres principales funciones y componentes:

• VACUNA es un programa que instalado residente en la memoria, actúa como "filtro" de los programas que son ejecutados, abiertos para ser leídos o copiados, en tiempo real.

• DETECTOR, que es el programa que examina todos los archivos existentes en el disco o a los que se les indique en una determinada ruta o PATH. Tiene instrucciones de control y reconocimiento exacto de los códigos virales que permiten capturar sus pares, debidamente registrados y en forma sumamente rápida desarman su estructura.

• ELIMINADOR es el programa que una vez desactivada la estructura del virus procede a eliminarlo e inmediatamente después a reparar o reconstruir los archivos y áreas afectadas.

Es importante aclarar que todo antivirus es un programa y que, como todo programa, sólo funcionará correctamente si es adecuado y está bien configurado. Además, un antivirus es una herramienta para el usuario y no sólo no será eficaz para el 100% de los casos, sino que nunca será una protección total ni definitiva.

La función de un programa antivirus es detectar, de alguna manera, la presencia o el accionar de un virus informático en una computadora. Este es el aspecto más importante de un antivirus, independientemente de las prestaciones adicionales que pueda ofrecer, puesto que el hecho de detectar la posible presencia de un virus informático, detener el trabajo y tomar las medidas necesarias, es suficiente para acotar un buen porcentaje de los daños posibles. Adicionalmente, un antivirus puede dar la opción de erradicar un virus informático de una entidad infectada.

El modelo más primario de las funciones de un programa antivirus es la detección de su presencia y, en lo posible, su identificación. La primera técnica que se popularizó para la detección de virus informáticos, y que todavía se sigue utilizando (aunque cada vez con menos eficiencia), es la técnica de scanning. Esta técnica consiste en revisar el código de todos los archivos contenidos en la unidad de almacenamiento -fundamentalmente los archivos ejecutables- en busca de pequeñas porciones de código que puedan pertenecer a un virus informático. Este procedimiento, denominado escaneo, se realiza a partir de una base de datos que contiene trozos de código representativos de cada virus conocido, agregando el empleo de determinados algoritmos que agilizan los procesos de búsqueda.

La técnica de scanning fue bastante eficaz en los primeros tiempos de los virus informáticos, cuando había pocos y su producción era pequeña. Este relativamente pequeño volumen de virus informáticos permitía que los desarrolladores de antivirus escaneadores tuvieran tiempo de analizar el virus, extraer el pequeño trozo de código que lo iba a identificar y agregarlo a la base de datos del programa para lanzar una nueva versión. Sin embargo, la obsolescencia de este mecanismo de identificación como una solución antivirus completa se encontró en su mismo modelo.

El primer punto grave de este sistema radica en que siempre brinda una solución a posteriori: es necesario que un virus informático alcance un grado de dispersión considerable para que sea enviado (por usuarios capacitados, especialistas o distribuidores del producto) a los desarrolladores de antivirus. Estos lo analizarán, extraerán el trozo de código que lo identificará, y lo incluirán en la próxima versión de su programa antivirus. Este proceso puede demorar meses a partir del momento en que el virus comienza a tener una dispersión considerable, lapso en el cual puede causar graves daños sin que pueda ser identificado.

Además, este modelo consiste en una sucesión infinita de soluciones parciales y momentáneas (cuya sumatoria jamás constituirá una solución definitiva), que deben actualizarse periódicamente debido a la aparición de nuevos virus.

En síntesis, la técnica de scanning es altamente ineficiente, pero se sigue utilizando debido a que permite identificar rápidamente la presencia de los virus más conocidos y, como son estos los de mayor dispersión, permite una importante gama de posibilidades. Un ejemplo típico de un antivirus de esta clase es el Viruscan de McAfee.

Este tipo de método rastrea rutinas de alteración de información que no puedan ser controladas por el usuario, modificación de sectores críticos de las unidades de almacenamiento (master boot record, boot sector, FAT, entre otras), etc. Un ejemplo de este tipo de métodos es el que utiliza algoritmos heurísticos.

De hecho, esta naturaleza de procedimientos busca, de manera bastante eficiente, códigos de instrucciones potencialmente pertenecientes a un virus informático. Resulta eficaz para la detección de virus conocidos y es una de las soluciones utilizadas por los antivirus para la detección de nuevos virus. El inconveniente que presenta este tipo de algoritmo radica en que puede llegar a sospecharse de muchisimas cosas que no son virus. Esto hace necesario que el usuario que lo utiliza conozca un poco acerca de la estructura del sistema operativo, a fin de poseer herramientas que le faciliten una discriminación de cualquier falsa alarma generada por un método heurístico.

Ejemplos

Norton Antivirus

Panda Platinum

Avast

AVG

SERVICIOS DE SEGURIDAD

Detección de intrusos

Intrusión Detection Systems (IDS)

Un sistema de detección de intrusos es un componente más dentro del modelo de seguridad de una organización. Consiste en detectar actividades inapropiadas, incorrectas o anómala desde el exterior-interior de un sistema informático.

Los sistemas de detección de intrusos pueden clasificarse, según su función y comportamiento en:

• Host-Based IDS: operan en un host para detectar actividad maliciosa en el mismo.
• Network-Based IDS: operan sobre los flujos de información intercambiados en una red.
• Knowledge-Based IDS: sistemas basados en Conocimiento.
• Behavior-Based IDS: sistemas basados en Comportamiento. Se asume que una intrusión puede ser detectada observando una desviación respecto del comportamiento normal o esperado de un usuario en el sistema.

La idea central de este tipo de detección es el hecho de que la actividad intrusiva es un conjunto de actividades anómalas. Si alguien consigue entrar de forma ilegal al sistema, no actuará como un usuario comprometido; su comportamiento se alejará del de un usuario normal.

Sin embargo en la mayoría de las ocasiones una actividad intrusiva resulta del agregado de otras actividades individuales que por sí solas no constituyen un comportamiento intrusivo de ningún tipo. Así las intrusiones pueden clasificarse en:

• Intrusivas pero no anómalas: denominados Falsos Negativos (el sistema erróneamente indica ausencia de intrusión). En este caso la actividad es intrusiva pero como no es anómala no es detectada. No son deseables, porque dan una falsa sensación de seguridad del sistema.
• No intrusivas pero anómalas:denominados Falsos Positivos (el sistema erróneamente indica la existencia de intrusión). En este caso la actividad es no intrusiva, pero como es anómala el sistema "decide" que es intrusiva. Deben intentar minimizarse, ya que en caso contrario se ignorarán los avisos del sistema, incluso cuando sean acertados.
• No intrusiva ni anómala:son Negativos Verdaderos, la actividad es no intrusiva y se indica como tal.
• Intrusiva y anómala:se denominan Positivos Verdaderos, la actividad es intrusiva y es detectada.

Los detectores de intrusiones anómalas requieren mucho gasto computacional, ya que se siguen normalmente varias métricas para determinar cuánto se aleja el usuario de lo que se considera comportamiento normal.

Ejemplos

1.    Un atacante puede lograr pasar el firewall, dejando la red a su merced.

2.    Un firewall protege de los accesos no autorizadas hacia la red interna, pero no protege a las máquinas ubicadas en la red perimetral como servidores web, servidores de correo, servidores FTP, en otras palabras, a las bases funcionales de Internet.

3.    Un firewall no protege contra ataques desde adentro.

Detección de vulnerabilidades

 Es la segunda fase en un ataque a un sistema, luego de realizar un completo reconocimiento del objetivo se trata de buscar las debilidades, fallas, errores o vulnerabilidades, para esto se puede apoyar en herramientas que se consiguen facilmente en Internet y que permitan obtener explicitamente dichas vulnerabilidades o versiones de los paquetes de los diferentes existentes y que pueden contener compromisos serios de seguridad.

Luego de detectar las vulnerabilidades, el siguiente paso es explotar dichas vulnerabilidades para esto se puede utilizar aplicaciones llamadas "exploits" las cuales pueden ser encontrados en Internet o se pueden desarrollar conociendo la vulnerabilidad encontrada.

Metasploit Es un proyecto open source de seguridad informática que proporciona información acerca de vulnerabilidades de seguridad y ayuda en tests de penetración y en el desarrollo de firmas para Sistemas de Detección de Intrusos.

Su subproyecto más conocido es el Metasploit Framework, una herramienta para desarrollar y ejecutar exploits contra una máquina remota. Otros subproyectos importantes son la bases de datos de opcodes (códigos de operación), un archivo de shellcodes, e investigación sobre seguridad. Inicialmente fue creado utilizando el lenguaje de programación de scripting Perl, aunque actualmente el Metasploit Framework ha sido escrito de nuevo completamente en el lenguaje Ruby.

Funciones de Un Administrador de Red

Las funciones principales del administrador de red son las siguientes:

 •         Aprovisionar e instalar equipos.

 •         Poseer información sobre el diseño de la red, su configuración y estado.

 •         Poseer una base de datos que contenga diversidad de información (elementos de la                 red, historia de modificaciones  y problemas, nombres de dominio)

 •         Realizar mantenimiento de directorios.

 •         Coordinar el esquema de nombres de nodos y aplicaciones.

 •         Mantener un control operacional de la red.

 •         Proporcionar configuración de dispositivos.

 •         Cargar y configurar versiones de configuraciones.

 •         Realizar actualizaciones de Software/ Hardware.

El Administrador debe estar al tanto de:

 •         “Qué está instalado

 •         Dónde está instalado

 •         Cómo está conectado

 •         Quién responde por cada cosa

 •         Cómo comunicarse con los responsables

 •         Estado operacional de los elementos de la red