Preparación de Redes – Un modelo de análisis

2
Introducción
Las estadísticas del CERT en el año 2001, muestran aumento de más del 150% en incidentes de seguridad reportados.
De acuerdo con la investigación adelantada por KPMG en el 2001, “2001 Global e-Fr@ud Survey” :
Cuando ocurre un incidente de seguridad
No se adelantan acciones legales
Inadecuado uso de los recursos legales
Falta de evidencia
El 50% de los encuestados identificó a los Hackers y la pobre implementación de políticas de seguridad como los factores fundamentales de los incidentes de seguridad.
Los ejecutivos se encuentran desinformados acerca del estado actual de las vulnerabilidades de la su red.
Bajo o pobre entrenamiento de los administradores de sistemas
Mientras que un ataque de un sitio puede tomar dos (2) horas, el análisis forense completo puede alcanzar las treinta (30) horas! (Forensic Challenge Project)

3
Definiciones básicas
Conceptos
Sistemas de detección de intrusos.
Orientado a Host
Orientado a Red
Orientado a Firmas
Estadísticas
Honeypot
Configuración de una máquina con servicios activos, atractivos y aislados, como una estrategia para seguir y capturar intrusos dentro de sistemas de computación.
Honeynet
Configuración de una red con servicios activos, atractivos y aislados, como una estrategia para analizar y aprender de los intrusos y sus acciones.
Red de perímetro
Es una red agregada a fin de proporcionar una capa adicional de seguridad. Generalmente se le conoce como red desmilitarizada (DMZ)

4
Definiciones básicas
Conceptos
Firewall
Componente o conjunto de componentes (Hw y Sw) que restringen el acceso entre una red protegida e internet, o entre otros conjuntos de redes.
Tradicionales
Stealth
Evidencia digital
Es un tipo de evidencia física. Esta construida de campos magnéticos y pulsos electrónicos que pueden ser recolectados y analizados con herramientas y técnicas especiales.(Casey 2000, pág.4)
Computación forense
Es la aplicación legal de métodos, protocolos y técnicas para obtener, analizar y preservar evidencia digital relevante a una situación en investigación. (Kovacich 2000, pag.243)

5
Presentación del Modelo R.E.D.A.R
Justificación
Es necesario desarrollar una estrategia formal para atender incidentes de seguridad y su posterior documentación y análisis
Se cuentan con diversas estrategias de registro de eventos, pero no se posee la cultura de análisis de las pistas.
La mayoría de los administradores de sistemas actualmente no son conscientes de la necesidad de contar con evidencia digital.
La seguridad informática y la administración de sistemas de observan como actividades diferentes, cuando en realidad son complementarias

R.E.D.A.R – Vocablo que significa: “Echar las redes”
RE gistro
Establecimiento de los diferentes métodos y herramientas para mantener el adecuado registro de eventos relevantes en las redes.
D ectección de intrusos
Desarrollo de alertas y análisis de las posibles fallas de seguridad aprovechadas por los atacantes.
A uditoRia
Evaluación, seguimiento y análisis de los mecanismos y herramientas actuales de seguridad, que conduzcan al afinamiento permanente de la seguridad de la red.

6
R.E.D.A.R
(Gp:) REGISTRO
(Gp:) DETECCIÓN
INTRUSOS
(Gp:) AUDITORÍA
(Gp:) PREPARACIÓN
FORENSE DE
REDES
(Gp:) SINCRONIZACIÓN
(Gp:) CORRELACIÓN
(Gp:) SINCRONIZACIÓN
(Gp:) AFINAMIENTO
(Gp:) SIMULACIÓN Y PRUEBAS
(Gp:) CONTROL DE EVIDENCIA

7
Arquitectura de análisis
Internet
Exterior
ZONA CONTROLADA
LÍNEA DE
DEFENSA
RED
PERÍMETRO

8
Red de Perímetro
Generalmente compuesta por enrutadores
La seguridad y control de este segmento de la red, en la mayoría de los casos, se basa en:
Listas de control de acceso
Filtro de paquetes

172.16.1.0
192.168.1.0
200.16.2.3
10.16.1.0

9
Red de Perímetro
Lista de Control de Acceso

Lista de control de acceso Standard
Definida por un rango numérico entre 1-99
Sólo verifica el IP ORIGEN, luege se hace el filtro de manera rápida.

Lista de control de acceso Extendida
Definida por un rango numérico entre 100-199
Verfica ORIGEN, DESTINO, PROTOCOLO, Puertos UDP/TCP, Tipos ICMP en secuencia.
El filtro de paquetes se torna más lento

Lista de Control de Acceso Reflexiva
Utiliza listas de control de acceso dinámica, semejantes a la tabla de estados de un FW, para mantener las conexiones aseguradas.
Mecanismo nuevo en CISCO.

10
Red de Perímetro
Formato de una Lista de Control de Acceso Estandard

access-list number action source [Wild Card] ? any

Number: 0-99 para listas de control de acceso estándard

Action: Permit o Deny – Permitir o Negar

Source: Dirección IP para comparar

Wild Card:
Determina que parte de la dirección IP será comparada y cual no.

Any: Cualquier dirección

EJEMPLO:
access-list 20 permit 192.168.1.0 0.0.0.255