Matrix De Riesgos

Indice

1. Introducción

2. Auditoria de comunicaciones

3. Auditoria De La Red Física

4. Auditoria De La Red Lógica

5. Criptografia

1. Introducción

La organización en la parte de las redes de comunicaciones de computadores es un punto de viraje bastante importante; es por ello, que uno de los modelos de red más conocidos, es el modelo OSI. A grandes rasgos, el modelo OSI, dado por capas, está dividido en:

Capa física: Se encarga de garantizar la integridad de la información transmitida por la red; por ejemplo, si se envía un 0, que llegue un 0 .

Capa de enlace: Garantiza que la línea o canal de transmisión, esté libre de errores.

Capa de red: Determina como se encaminan los paquetes, de la fuente al destino.

Igualmente, debe velar por el tráfico de la red, evitando al máximo las congestiones. Para ello, debe llevar un registro contable de los paquetes que transitan.

Capa de transporte: Divide los datos en unidades más pequeñas y garantiza que tal información transmitida, llegue correctamente a su destino.

De igual forma, crea una conexión de red distinta para cada conexión de transporte requerida, regulando así el flujo de información.

Analiza también, el tipo de servicio que proporcionará la capa de sesión y finalmente a los usuarios de red.

Capa de sesión: Maneja el sentido de transmisión de los datos y la sincronización de operaciones; es decir, si uno transmite, el otro se prepare para recibir y viceversa o Situaciones Commit, donde tras algún problema, se sigue tras ultimo punto de verificación.

Capa de presentación: Se encarga de analizar si el mensaje es semántica y sintácticamente correcto.

Capa de aplicación: Implementación de protocolos y transferencia de archivos.

Lo anterior, nos permite describir 3 tipos de fallos en la seguridad de la red:

1. Alteración de bits: Se corrige por código de redundancia cíclico.

2. Ausencia de tramas: Las tramas se desaparecen por el ambiente o una sobrecarga del sistema; para ello, se debe tener un número de secuencia de tramas.

3. Alteración de la secuencia en la cual el receptor reconstruye mensaje.

Otro de los tipos de modelos de referencia más conocidos, es el TCP/IP, hoy día, con algunas variaciones, como el de encapsular varios protocolos, como el Netbios; el TCP/IP da replicación de los canales para posibles caídas del sistema.

Bajo ésta política, entonces se ha definido como clases de redes:

• Intranet = Red interna de la empresa.

• Extranet = Red externa pero directamente relacionada a la empresa.

• Internet = La red de redes.

El problema de tales implementaciones, es que por los puertos de estandarización pública de TCP/IP, se puede entrar cualquier tercero para afectar la red de la compañía o su flujo de información.

Tal cuestión, es recurrente sobretodo en el acceso de la red interna de la compañía a la Internet, para lo cual, y como medida de protección, se usan Firewall ( cortafuegos ) que analizan todo tipo de información que entra por Internet a la compañía, activando una alarma, en caso de haber algún intruso o peligro por esa vía a la red.

La compañía puede definir 2 tipos extremos de políticas de seguridad:

• Políticas paranoicas: Toda acción o proceso está prohibido en la red.

• Políticas promiscuas: No existe la más mínima protección o control a las acciones de los usuarios en la red.

No importa lo que haga la empresa, siempre va a haber un punto de fallo, para adelantarse a intrusos, entonces se han ideado algunas herramientas para probar la eficacia de las políticas de seguridad en red de la empresa, algunas de tales herramientas, son: SAFEsuite y COPS. Estas empiezan probando la fiabilidad de las contraseñas de usuario usando algunas técnicas de indagación como es el leer el tráfico de la red buscando en tal información sobre nombres de usuarios y contraseñas respectivas, probar la buena fé de los usuarios mandándoles mensajes de la administración solicitando su contraseña a una especificada por la herramienta o probando contraseñas comunes o por defecto en muchos sistemas.

2. Auditoria de comunicaciones:

Ha de verse:

• La gestión de red = los equipos y su conectividad.

• La monitorización de las comunicaciones.

• La revisión de costes y la asignación formal de proveedores.

• Creación y aplicabilidad de estándares.

Cumpliendo como objetivos de control:

• Tener una gerencia de comunicaciones con plena autoridad de voto y acción.

• Llevar un registro actualizado de módems, controladores, terminales, líneas y todo equipo relacionado con las comunicaciones.

• Mantener una vigilancia constante sobre cualquier acción en la red.

• Registrar un coste de comunicaciones y reparto a encargados.

• Mejorar el rendimiento y la resolución de problemas presentados en la red.

Para lo cual se debe comprobar:

• El nivel de acceso a diferentes funciones dentro de la red.

• Coordinación de la organización de comunicación de datos y voz.

• Han de existir normas de comunicación en:

o Tipos de equipamiento como adaptadores LAN.

o Autorización de nuevo equipamiento, tanto dentro, como fuera de las horas laborales.

o Uso de conexión digital con el exterior como Internet.

o Instalación de equipos de escucha como Sniffers (exploradores físicos) o Traceadores (exploradores lógicos).

• La responsabilidad en los contratos de proveedores.

• La creación de estrategias de comunicación a largo plazo.

• Los planes de comunicación a alta velocidad como fibra óptica y ATM ( técnica de conmutación de paquetes usada en redes MAN e ISDN).

• Planificación de cableado.

• Planificación de la recuperación de las comunicaciones en caso de desastre.

• Ha de tenerse documentación sobre el diagramado de la red.

• Se deben hacer pruebas sobre los nuevos equipos.

• Se han de establecer las tasas de rendimiento en tiempo de respuesta de las terminales y la tasa de errores.

• Vigilancia sobre toda actividad on-line.

• La facturación de los transportistas y vendedores ha de revisarse regularmente.

3. Auditoria De La Red Física

Se debe garantizar que exista:

• Áreas de equipo de comunicación con control de acceso.

• Protección y tendido adecuado de cables y líneas de comunicación para evitar accesos físicos.

• Control de utilización de equipos de prueba de comunicaciones para monitorizar la red y el trafico en ella.

• Prioridad de recuperación del sistema.

• Control de las líneas telefónicas.

Comprobando que:

• El equipo de comunicaciones ha de estar en un lugar cerrado y con acceso limitado.

• La seguridad física del equipo de comunicaciones sea adecuada.

• Se tomen medidas para separar las actividades de los electricistas y de cableado de líneas telefónicas.

• Las líneas de comunicación estén fuera de la vista.

• Se dé un código a cada línea, en vez de una descripción física de la misma.

• Haya procedimientos de protección de los cables y las bocas de conexión para evitar pinchazos a la red.

• Existan revisiones periódicas de la red buscando pinchazos a la misma.

• El equipo de prueba de comunicaciones ha de tener unos propósitos y funciones específicas.

• Existan alternativas de respaldo de las comunicaciones.

• Con respecto a las líneas telefónicas: No debe darse el número como público y tenerlas configuradas con retrollamada, código de conexión o interruptores.

4. Auditoria De La Red Lógica

En ésta, debe evitarse un daño interno, como por ejemplo, inhabilitar un equipo que empieza a enviar mensajes hasta que satura por completo la red.

Para éste tipo de situaciones:

• Se deben dar contraseñas de acceso.

• Controlar los errores.

• Garantizar que en una transmisión, ésta solo sea recibida por el destinatario. Para esto, regularmente se cambia la ruta de acceso de la información a la red.

• Registrar las actividades de los usuarios en la red.

• Encriptar la información pertinente.

• Evitar la importación y exportación de datos.

Que se comprueban si:

El sistema pidió el nombre de usuario y la contraseña para cada sesión:En cada sesión de usuario, se debe revisar que no acceda a ningún sistema sin autorización, ha de inhabilitarse al usuario que tras un número establecido de veces erra en dar correctamente su propia contraseña, se debe obligar a los usuarios a cambiar su contraseña regularmente, las contraseñas no deben ser mostradas en pantalla tras digitarlas, para cada usuario, se debe dar información sobre su última conexión a fin de evitar suplantaciones.

• Inhabilitar el software o hardware con acceso libre.

• Generar estadísticas de las tasas de errores y transmisión.

• Crear protocolos con detección de errores.

• Los mensajes lógicos de transmisión han de llevar origen, fecha, hora y receptor.

• El software de comunicación, ha de tener procedimientos correctivos y de control ante mensajes duplicados, fuera de orden, perdidos o retrasados.

• Los datos sensibles, solo pueden ser impresos en una impresora especificada y ser vistos desde una terminal

...