Gestíón de La Seguridad Informática

Tendencias
actuales
En este capítulo nos dedicaremos a reconocer los peligros de las
tecnologías móviles, revisaremos las consideraciones adecuadas
para implementar tecnologías de virtualización, y obtendremos una
completa visión acerca de las nuevas tendencias en tecnología y lo que
implican para la seguridad.
▼ Tecnología ................................... 2 ▼ Tecnología móvil .......................27
▼ Web 2.0........................................ 2 ▼ Ataques dirigidos ......................30
▼ Servicios de mensajería .............. 9 ▼ Expectativas para el futuro ......34
▼ VoIP ...........................................14 ▼ Resumen ....................................35
▼ Virtualización ............................17 ▼ Actividades ................................36
▼ Cloud computing.......................23
2 APÉNDICE. TENDENCIAS ACTUALES
Tecnología
Como ya hemos analizado durante los capítulos anteriores, la tecnolo-
gía avanza constantemente, evoluciona a un ritmo acelerado. Por desgra-
cia, los peligros que podemos encontrar avanzan de la misma forma.
Podemos afirmar, sin temor a equivocarnos, que hace muchos años que
no tenemos tranquilidad en el ambiente tecnológico. Es decir, práctica-
mente todos los años aparece un nuevo producto o tecnología que genera
una revolución en nuestras vidas. Esto provoca cambios en la forma de
trabajar, de pensar y de vivir, por lo que, a veces, la tecnología marca las
tendencias, y a veces, tiene que evolucionar para seguirse el paso a sí
misma. Particularmente, la seguridad informática se encuentra siempre un
paso por detrás del resto de los aspectos tecnológicos, no por carecer de
creatividad o de especialistas, sino porque su propósito es reaccionar ante
cualquier nuevo comportamiento que pudiera poner en peligro tanto a las
personas como a las organizaciones que utilizan las nuevas tecnologías.
Nuestra misión es que las personas y las organizaciones puedan apro-
vechar al máximo las nuevas tecnologías, teniendo cuidado de que se las
utilice en forma segura.
Esto hace que la profesión sea extremadamente emocionante, y le da
una naturaleza de investigación constante, que pocas otras profesiones
encuentran. En las páginas siguientes analizaremos cuáles son las tecno-
logías con las cuales convivimos a diario y cómo podemos implementarlas
sin poner en riesgo la seguridad de la organización.
Web 2.0
Este concepto no se refiere a una actualización de las tecnologías o pro-
tocolos, ni a un uso puntual de ellos, sino más bien a una nueva forma de
desarrollo que tiene como objetivo poner a la Web en el centro de la escena
para facilitar la posibilidad de compartir información, la interoperabilidad,
el diseño centrado en el usuario y la colaboración. Esto dio nacimiento a las
www.redusers.com
GESTIÓN DE LA SEGURIDAD INFORMÁTICA 3
comunidades web, los servicios web, las aplica-

LAS TECNOLOGÍAS
ciones web, las redes sociales, los servicios
de alojamiento de videos, las wikis, los DE LA WEB 2.0 SON
blogs, y otros servicios. CSS, AJAX, RSS/
Particularmente, algunas de las tecnologías
más involucradas en la Web 2.0 son CSS,
ATOM, XML Y JSON,
AJAX, RSS/ATOM, XML y JSON, entre otras. ENTRE OTRAS
En esta Web, el usuario es el protagonista
principal, que tiene la capacidad de publicar
contenidos, conectarse con otras personas e
interactuar con toda la infraestructura dispo-
nible, que antes se utilizaba solo para leer información.
Si bien el concepto de Web 3.0 (principalmente, la Web semántica) está
rondando la escena hace varios años, podemos decir que el gran salto de
paradigma fue dado por lo que sería su predecesor, en el cual encontra-
mos una fuerte cantidad de nuevos beneficios y peligros.
Redes sociales
Sin lugar a dudas, las redes sociales, como Facebook, Twitter y
GooglePlus, son la nueva tecnología en expansión. Su misión: permitir
que cualquier usuario genere contactos con otras personas y comparta
información rápidamente, aunque también permiten la proliferación de
malware, ataques y estafas.
Para una organización, antes era fácil bloquear los accesos a estos tipos
de redes, que solamente se utilizaban para el ocio. En la actualidad, existen
redes desarrolladas con fines laborales, como LinkedIn, que las mismas
organizaciones emplean para reclutar personal o hacer otros contactos de
negocios. También Facebook se utiliza como medio de promoción para las
empresas. Por estos motivos, ya es casi imposible bloquear este tipo de ac-
cesos, porque la publicidad web se encuentra dentro de los planes de toda
organización actual. Pero debemos ser cuidadosos, y permitir el acceso a este
tipo de redes solo a aquellas personas que verdaderamente lo necesitan.
www.redusers.com
Figura 1. Facebook se ha convertido en la red social más popular, por lo que se ha

vuelto el objetivo de muchísimos ataques. Para obtener más información acerca de
buenas prácticas de seguridad en su uso, podemos visitar www.facebook.com/safety.
Otra problemática que se genera en todas las organizaciones es que los

usuarios pueden revelar información confidencial de la empresa a través
de estas redes, aun cuando no están en la oficina, sino en sus casas usan-
do sus computadoras personales. Por lo tanto, es de vital importancia
contar con un buen plan de capacitación, que haga entender a los usuarios
los peligros potenciales a los que exponen a su organización al divulgar
información privada.
Google hacking
Con este término se conoce a las técnicas para recabar información de
una organización a través de los buscadores de internet –particularmente,
utilizando Google. Esto no es algo que pueda catalogarse como un ataque
en sí, pero sí puede ser de gran importancia para determinar el éxito o el
fracaso de un atacante.
www.redusers.com
Los buscadores de internet almacenan muchísima información (quizá,

demasiada) acerca de los sitios web que analizan. Además, buscadores
como Google ofrecen varias opciones de búsqueda para encontrar tipos
de archivo específicos, buscar solo dentro de un dominio particular, y mu-
chos otros parámetros.
Para protegernos de las búsquedas de información sensible en nuestros
servidores web, podemos enumerar las siguientes consideraciones:
• No alojar información verdaderamente confidencial en los servidores web.

• Prohibir el listado de directorios.
• Utilizar el archivo robots.TXT para definir qué secciones de nuestro
sitio web van a catalogar los robots de los buscadores.
• Proteger las secciones privadas de nuestro sitio web mediante contra-
señas.
Si queremos que nuestro sitio web detalle qué partes no deben ser
analizadas por los robots de los buscadores, podemos ubicar el archivo
robots.txt en la raíz, con un contenido como el siguiente:
User-agent: *
Disallow: /administrator/
Disallow: /images/
Disallow: /includes/
Disallow: /templates/
Disallow: /tmp/
Pero debemos recordar que este tipo de configuraciones solo funciona

si los robots respetan estos archivos. Los buscadores más famosos, como
Google, Yahoo! y Bing, sí lo hacen.
Como siempre, uno de los métodos más efectivos para protegernos, es
verificar qué información relacionada con nuestra organización aparece en
www.redusers.com
los buscadores web. Para esto, la forma más sencilla es ingresar en el sitio
de algunos buscadores y realizar consultas a partir del nombre de nuestra
empresa y de otros aspectos relacionados con ella, como teléfonos, direc-
ciones de correo electrónico, etcétera.
Phishing y robo de identidad

Este concepto no es nuevo, pero ha evolucionado a la par de las nuevas
tecnologías. Se trata, básicamente, de estafas que se realizan a partir de
generar una falsa identidad, para que el usuario crea que está ante un ente
de su confianza y, así, entregue información confidencial, como credencia-
les, números de cuentas bancarias, datos personales, y más.
Figura 2. En el sitio web www.phishtank.com encontramos

información importante acerca de los ataques de pishing.
Si bien podemos encontrar que existen muchas tecnologías y técnicas

involucradas (como el pharming) en los actos de phishing, todas pasan a
través de la interacción del usuario, para que, de un modo u otro, confíe
www.redusers.com
en el que, en realidad, es un atacante. Como podemos notar, esto no es

más que una estafa electrónica.
Figura 3. El Anti-Phishing Working Group es un consorcio

internacional que reúne a varias organizaciones ocupadas
en la lucha contra el phishing (www.antiphishing.org).
Con respecto al robo de identidad, este suele realizarse una vez com-
pletado un ataque de phishing, aunque también existen otras formas de
DOMINIO PÚBLICO
Es de suma importancia que los usuarios tomen conciencia y entiendan que todo lo que se
publica en los medios de internet se vuelve automáticamente de dominio público. Más allá
de que hayamos configurado opciones de privacidad en las redes sociales, actualmente, en
internet, el concepto de privacidad no existe.
www.redusers.com
acceder a los datos necesarios para hacerlo. El objetivo principal aquí es

suplantar la identidad de una persona para realizar compras o pagos a su
nombre. Este tipo de ataques es el de más alto crecimiento, y representa
un gran riesgo para todas las personas. No está relacionado directamente
con la seguridad organizacional, sino más bien con la seguridad personal.
Estos son algunos consejos para evitar ser víctimas del phishing:
• Escribir (no hacer clic en los enlaces) las direcciones de sitios web im-
portantes, como entidades bancarias u otros sitios que nos soliciten
información confidencial.
• Cerrar las sesiones de los sitios web y las aplicaciones confidenciales.
• Tener en cuenta que los bancos y otras entidades nunca nos solicita-
rán que les enviemos nuestras claves de acceso ni ningún otro tipo de
dato confidencial.
• Jamás utilizar máquinas de acceso público, como las de cibercafés,
para enviar o recibir información confidencial.
Figura 4. En el sitio web de Identidad Robada podemos encontrar mucha

información acerca de los robos de identidad (www.identidadrobada.com).
www.redusers.com
Estos consejos, entre otros, son los que debemos comunicar a los inte-
grantes de nuestra organización para que estén al tanto acerca de cómo
evitar ser víctimas de este tipo de ataques.
Servicios de mensajería
Podemos definir los servicios de mensajería como servicios que per-
miten intercambiar mensajes entre usuarios. Estos servicios se han
vuelto muy populares en internet, porque son, básicamente, la gran herra-
mienta de comunicación entre usuarios. A medida que estos servicios fue-
ron evolucionando, se los ha dotado de más características que potencian
la cantidad de contenidos que se pueden transmitir. Recordemos que, en
un principio, solamente existían mensajes en texto plano, a través del co-
rreo electrónico o el IRC. En la actualidad, contamos con varias herramien-
tas de mensajería, de las cuales haremos un análisis de seguridad.
Figura 5. El proyecto ASCII Ribbon, ahora descontinuado, buscó

generar conciencia sobre las ventajas del correo electrónico en texto plano.
www.redusers.com
Mensajería instantánea
Los servicios de mensajería instantánea son unos de los más utiliza-
dos por los internautas, tanto en sus hogares como en las oficinas. Estos
han pasado de ser un simple IRC (chat simple), a convertirse en herra-
mientas y protocolos más avanzados, como Skype, entre otros. Con esta
evolución, ha surgido una gran cantidad de problemas de seguridad, que
debemos tener en cuenta. Si a esto le sumamos que, actualmente, muchos
sitios web cuentan con mensajería en línea, como el mensajero de Face-
book, podemos observar que las posibilidades que tiene un usuario para
intercambiar mensajes con otro son prácticamente ilimitadas, por lo que
se vuelve una tarea muy compleja, y hasta agotadora, intentar bloquear
todos estos protocolos y herramientas.
Si necesitamos hacerlo, podemos simplificar el trabajo a través de algu-
nos dispositivos UTM, como los desarrollados por Fortinet, Watchguard
o Checkpoint, entre otros, que cuentan con grandes capacidades de filtra-
do por protocolo y aplicación.
Transferencia de archivos
Uno de los grandes cambios de los servicios de mensajería ha sido la
capacidad para enviar y recibir archivos. Esto ha dotado a los usuarios de
una tremenda facilidad para transferir contenidos de manera instantánea,
pero también es una gran posibilidad para los atacantes de mandar todo
tipo de malware.
Es por eso que muchas veces se critica el uso de los servicios de mensaje-
ría por los riesgos de seguridad implicados. El problema es que, de una
forma u otra, la transferencia de archivos debe ser permitida en una organi-
zación. Y siempre es mejor que lo hagamos de manera transparente y amiga-
ble para el usuario, en vez de forzarlo a buscar métodos no autorizados para
transferir archivos, que podrían poner en peligro a nuestra empresa.
Algunas de las opciones de código abierto que tenemos para blo-
quear la mensajería instantánea son el firewall gratuito Untangle
(www.untangle.com), o la combinación de algunos productos, como el
www.redusers.com
proxy Squid (www.squid-cache.org) y alguna otra herramienta de fil-

trado de paquetes, como IPTables para sistemas Linux.
Los mismos dispositivos de firewall nombrados en el apartado anterior
tienen la capacidad de realizar análisis antimalware, bloqueo de transferen-
cias por tipo de archivo y algunos otros filtros que pueden sernos de utilidad.
Fuga de información
Una de las grandes preocupaciones actuales de las organizaciones con
respecto a la seguridad es la fuga de información confidencial. Esta
situación se ve agravada por la gran cantidad de medios de comunicación
con los que contamos al tener una conexión a internet.
Figura 6. Varios fabricantes de software de seguridad,

como TrendMicro, ofrecen productos para evitar la fuga
de información y la pérdida de datos (www.trendmicro.com).
La fuga de información debe encararse desde varios frentes para poder

combatirla adecuadamente. No estamos hablando de un dispositivo, pro-
www.redusers.com
tocolo o herramienta en particular, sino que debemos proteger una infini-

dad de métodos para transferir información.
Es por eso que, por sobre todas las cosas, los usuarios deben estar
al tanto de qué información pueden compartir abiertamente y cuál de-
ben mantener privada. Por lo tanto, podemos observar que la primera
medida para luchar contra la fuga de información es la capacitación
de los usuarios.
Figura 7. El proyecto de código abierto MyDLP desarrolla

un software destinado a la protección contra la fuga y la pérdida de datos.
En la imagen podemos observar su uso para filtrar ciertos tipos
de datos, como números de tarjetas de crédito (www.mydlp.org).
Comunicaciones no deseadas (spam)

Los mensajes no deseados (spam) han dejado de pertenecer sola-
mente a los servicios de correo electrónico, y ahora forman parte de cual-
quier servicio de mensajería, aunque el correo se lleva la mayor parte de
este tipo de transferencia.
www.redusers.com
Figura 8. El proyecto de código abierto SpamAssassin es el más reconocido

filtro antispam. Es desarrollado por la fundación Apache y cuenta con una
gran capacidad de filtrado, además de tener una amplia documentación.
En una organización, el bloqueo de spam es estrictamente necesario,

porque este alcanza niveles tan altos, que reduce de manera notable las
capacidades de trabajo de los empleados. Si estos reciben enormes canti-
dades de mensajes no deseados, se pierde mucho tiempo en catalogar a
mano qué es spam y qué no lo es.
TÉCNICAS ANTISPAM
En el sitio web Wikipedia (http://en.wikipedia.org/wiki/Anti-spam_techniques) pode-

mos encontrar un excelente artículo que detalla varias de las técnicas antispam más
efectivas, tanto para los usuarios finales como para los administradores de servicios
de correo electrónico. Esta enciclopedia libre es un recurso de gran valor para todas
nuestras tareas de investigación.
www.redusers.com
Figura 9. El sitio web Spamhaus mantiene varias listas negras

con dominios y direcciones IP que son frecuentemente
utilizados para enviar spam (www.spamhaus.org).
VoIP
Los servicios de voz sobre IP (VoIP) se han vuelto extremadamente
populares, al ofrecer mejores características y menor costo que la telefo-
nía tradicional. Es por eso que su uso crece año a año, y las organizacio-
nes implementan este tipo de soluciones para reemplazar las viejas tecno-
logías y unificar sus redes de comunicación.
Como toda tecnología, los protocolos relacionados con VoIP presentan
ciertas falencias de seguridad, sobre todo, si están mal configurados. Esto
podría permitir tanto la escucha de conversaciones como la realización de
llamadas por parte de terceros, que obligan a la organización a pagar por
comunicaciones que no realizó.
Es por eso que, en caso de implementar VoIP en nuestra organización,
debemos tomar los recaudos necesarios, y analizar tanto los protocolos
www.redusers.com
que vamos a utilizar, como las herramientas y productos por implementar.

Algunos consejos de seguridad para los servicios VoIP son: encriptar las
comunicaciones, revisar la seguridad de los protocolos TCP/IP que dan so-
porte a estos servicios y monitorear el uso de las centrales de telefonía IP.
La combinación de los protocolos más utilizada en los ambientes VoIP
son SIP (Session Initiation Protocol) para el inicio y la terminación de llama-
das, y RTP (Real-time Transport Protocol) para el transporte del audio. Es
muy aconsejable emplear alguna variante encriptada de ellos, como SRTP,
que, básicamente, es lo mismo que RTP pero con encriptación de tráfico.
Figura 10. En el sitio web VoIP-Info podemos encontrar una gran cantidad de
información acerca de productos, protocolos y herramientas relacionadas con la
tecnología VoIP, y también recomendaciones de seguridad (www.voip-info.org).
Espionaje de comunicaciones
Los medios físicos que transportan las comunicaciones tradicionales
suelen ser, por naturaleza, muy difíciles de interceptar para capturar la
información que viaja a través de ellos, debido a que esto suele producir
www.redusers.com
cortes u otras anomalías en la comunicación,

EN LAS
que son rápidamente detectables. Además, se
COMUNICACIONES requiere acceso físico a algún punto del medio
IP SE VUELVE de transporte para efectuar alguna captura.
Sin embargo, en el caso de las comunicacio-
FÁCIL CAPTURAR nes IP, se vuelve muchísimo más fácil capturar
INFORMACIÓN información de manera remota, y es posible ha-
cerlo sin que esto produzca un impacto negati-
vo o extraño en la comunicación. Existen varios
programas desarrollados exclusivamente para
capturar paquetes con audio, para luego ensam-
blarlos y obtener una copia exacta de toda la comunicación realizada.
Es por eso que resulta de suma importancia la encriptación del tráfico
que contenga comunicaciones críticas o privadas. Para esto, podemos utili-
zar protocolos como SRTP, IPSec o algún otro tipo de enlaces del tipo VPN.
Figura 11. El nCite 4000, de Audiocodes, es un equipo que, entre otras cosas,
provee seguridad para las comunicaciones VoIP, con capacidades de encriptación,
protección contra ataques DoS, validación de protocolos y muchas otras funciones.
www.redusers.com
Videoconferencias
Con la capacidad de transportar datos de audio sobre redes IP para
realizar llamadas telefónicas, el salto a las videoconferencias (llamadas
con video incluido) fue sencillo, porque solo se incluye un nuevo tipo
de datos, utilizando la misma arquitectura VoIP. La gran diferencia que
se presenta con VoIP es que este tipo de llamadas no puede ser trans-
mitida a través de la red de telefonía tradicional (porque esta no cuenta
con soporte de video).
Sin entrar en más detalles, podemos decir que todas las medidas de se-
guridad requeridas para VoIP se aplican a las llamadas de videoconferen-
cia, y que debemos encriptar y asegurar los datos que transmitimos.
Virtualización
El uso de este tipo de tecnologías ha crecido enormemente en los
últimos años, a tal punto que podemos afirmar que la mayoría de las
organizaciones las implementa de uno u otro modo. La reducción de
costos y las mejoras en los procesos de gestión que nos brinda la vir-
tualización son evidentes, y hacen que cualquier empresa cuente con
este tipo de proyectos dentro de sus planes. Nosotros debemos estar
preparados para responder a las cuestiones de seguridad relacionadas
con estas tecnologías.
En la actualidad, existen varios fabricantes de plataformas de vir-
tualización, cada uno con sus ventajas y desventajas. La decisión de
utilizar una u otra tecnología debe tomarse sobre la base de las necesi-
dades de cada organización.
También debemos considerar hacer una inversión en herramientas
que nos faciliten la gestión de la infraestructura –copias de respaldo,
recuperación en caliente, balanceo de cargas, etcétera.
A continuación, definimos algunos de los puntos más importantes
para tener en cuenta con respecto a la seguridad cuando nos enfrenta-
mos a las infraestructuras virtuales.
www.redusers.com
Asegurar correctamente los equipos de host

Los equipos que contienen las máquinas virtuales deben estar ade-
cuadamente asegurados, debido a que una falla podría comprometer la
confidencialidad, integridad o disponibilidad de todas las máquinas vir-
tuales alojadas en ellos. También debemos recordar que los equipos host
cuentan con un sistema operativo que puede ser atacado, por lo que debe-
mos verificar con detenimiento la documentación del fabricante, a fin de
configurar toda la solución como corresponde.
Figura 12. VMWare es el líder en soluciones de virtualización.

Cuenta con una gran cantidad de productos, y varios de ellos,
con funciones de seguridad avanzadas (www.vmware.com).
Asegurar los medios de almacenamiento

En las soluciones de virtualización medianas o grandes se recomienda
utilizar dispositivos de almacenamiento –conocidos como storage– dedica-
dos para aumentar la capacidad, la velocidad de lectura/escritura y las
posibilidades para gestionar la información. Si implementamos este tipo
www.redusers.com
de soluciones, debemos considerar a nuestros equipos de storage como

críticos, porque podrían exponernos a una destrucción de los datos o a
la fuga de información. Recordemos que en los ambientes virtuales, cada
máquina virtual está formada por algunos pocos archivos. Si estos se ven
comprometidos, un atacante podría llevarse una copia completa del siste-
ma o destruir nuestros sistemas productivos.
Asegurar cada una

de las máquinas virtuales
Cada máquina virtual debe ser asegurada tal y como se lo haría en
caso de que fuera una máquina física. Es importante tener esto en cuenta,
porque la facilidad de crear, copiar y eliminar máquinas virtuales muchas
veces genera una falsa sensación de sencillez, que lleva a algunos admi-
nistradores a olvidar los procesos de seguridad.
Utilizar adecuadamente las plantillas

de máquinas virtuales
Para simplificar las tareas expuestas en el punto anterior, es una buena
práctica de seguridad definir una plantilla de sistema que ya cuente con
todas las configuraciones necesarias, para así poder crear fácil y rápida-
mente otros sistemas a partir de ella. Es de suma importancia que esta
MÁQUINAS VIRTUALES
Uno de los inconvenientes más importantes de las máquinas virtuales es que agregan com-
plejidad al sistema en tiempo de ejecución. Esto representa una ralentización del sistema;
el programa no alcanzará la misma velocidad de ejecución que si se instalase directamente
en el sistema operativo anfitrión o host.
www.redusers.com
plantilla esté correctamente configurada, dado que un error en ella provo-

caría fallas en todos los servidores creados.
Figura 13. El fabricante de productos de seguridad McAfee

cuenta con varias soluciones desarrolladas para aumentar la seguridad
en entornos virtualizados (www.mcafee.com).
Controlar adecuadamente la gestión

de la infraestructura virtual
La facilidad de administración que presentan las infraestructuras virtuales
muchas veces hace que cualquier persona del sector de IT cree, modifique o
elimine máquinas virtuales. Esto es un gran riesgo no solo para la seguridad,
sino también para el rendimiento de las máquinas virtuales. Debemos recor-
dar que, en ambientes de producción, la creación o modificación de las con-
figuraciones podría llevar a un consumo excesivo de recursos de hardware o
a fallas inesperadas si se modifica el hardware virtual sin tener en cuenta las
configuraciones necesarias para el sistema operativo que corre sobre él.
www.redusers.com
Implementar filtros físicos

en las zonas de alta criticidad
Aun cuando los fabricantes de soluciones de virtualización prometen
que sus productos brindan igual o mayor seguridad que las separaciones
físicas, debemos considerar separar los equipos que contienen máquinas
virtuales de prueba, de los que contienen máquinas virtuales críticas para
la operatoria de nuestra organización. Recordemos que los ambientes de
pruebas suelen ser más propensos a errores o malas configuraciones, de
modo que no debemos permitir que estas fallas dejen expuesta la infraes-
tructura de producción. En caso de que no sea posible realizar separacio-
nes físicas, deberemos asegurarnos de aprovechar todas las características
de seguridad con las que cuente la solución que estamos implementando.
Los sistemas host son tan críticos como

la máquina virtual que corre sobre ellos
Es preciso recordar esto al configurar los sistemas host. Si es que va-
mos a alojar dentro de ellos máquinas virtuales que tengan una alta criti-
cidad para la organización, debemos catalogar estos sistemas host con la
misma criticidad que las máquinas virtuales que contienen. Como analiza-
mos anteriormente, una falla en los sistemas host podría comprometer las
máquinas virtuales que albergan.
Separar una red para administración,

de la infraestructura virtual
Las telecomunicaciones que corresponden a la administración, tanto
de los sistemas host como de las máquinas virtuales que contienen, deben
estar separadas del resto del tráfico de la red, a fin de garantizar que siem-
pre podremos administrar de manera adecuada la infraestructura. Recor-
demos que una red plana, sin segmentar, podría colapsar si cualquiera de
sus componentes sufriera fallas de algún tipo. Es por eso que debemos
prevenir el hecho de quedarnos sin la capacidad de gestionar la infraes-
www.redusers.com
tructura. Esto puede lograrse implementando separaciones tanto físicas

–hardware distinto– como lógicas –distintas redes virtuales, o VLANs.
Garantizar la conectividad de la
infraestructura con las demás redes
Muchas veces se hace hincapié en garantizar la disponibilidad de las
máquinas virtuales, implementando redundancia, tanto de software como
de hardware. Y esto está muy bien, pero también debemos considerar el
caso de que el hardware de telecomunicaciones presente fallas. La pérdida
de conectividad entre la infraestructura virtual y el resto de la red podría
significar una pérdida total de disponibilidad de los servicios. Es por eso
que precisamos garantizar el funcionamiento de la red, de ser posible,
utilizando hardware redundante.
Implementar separación de tareas

para la gestión de la infraestructura
Es ampliamente recomendable que por lo menos dos personas estén en-
cargadas de gestionar la infraestructura virtual, utilizando lo que se cono-
ce como separación de roles, para que ninguna desarrolle completamen-
te las tareas de gestión. Esto disminuye de manera notable la probabilidad
de errores, al requerir que al menos dos personas estén de acuerdo con
los cambios que habrá que realizar.
EMULACIÓN DE HARDWARE
El sistema pionero que utilizó la emulación de hardware fue la CP-40, la primera versión
(1967) de la CP/CMS de IBM (1967-1972) y el precursor de la familia VM de IBM.
Consideremos que con la arquitectura VM, la mayor parte de usuarios controlan un sistema
operativo monousuario simple llamado CMS, el cual se ejecuta en la máquina virtual VM.
www.redusers.com
Figura 14. Existen varios fabricantes, como VMInformer, que se dedican

pura y exclusivamente a desarrollar soluciones de seguridad y auditoría
para ambientes virtualizados (www.vminformer.com).
Contar con redundancia de equipos

Como la falla de un sistema host implica la falla de todas las máquinas
virtuales que corren sobre él, es ampliamente recomendable que implemen-
temos redundancia de hardware o soluciones de virtualización que nos per-
mitan contar con varios sistemas host distintos, que tengan la capacidad de
suplantarse entre sí en caso de que alguno presente un problema.
Cloud computing
Una de las tecnologías actuales, que nació de la mano de la virtualización,
es la computación en la nube o cloud computing, que nos permite brindar y
utilizar servicios alojados en internet. Si bien esto permite tener una gran
reducción de costos y nuevas capacidades para brindar servicios, también es
muy cuestionado desde el punto de vista de la seguridad, debido a que los
www.redusers.com
equipos en los que las empresas alojan su información no pertenecen a ellas

mismas, sino al proveedor del servicio. Por lo tanto, la pérdida de control
sobre los datos genera un alto grado de incertidumbre, que pone en duda la
viabilidad de implementar este tipo de sistemas para aquellas organizaciones
que se preocupan por la seguridad. Algunos de los aspectos que debemos
tener en cuenta cuando utilizamos este tipo de servicios son:
Utilizar encriptación de discos

Si la información almacenada en los discos rígidos no se encuentra en-
criptada, cualquier persona con acceso a ellos –sobre todo, en el caso de los
discos virtuales– podría llegar a realizar fácilmente una copia de todos los
datos que contienen. Al utilizar encriptación, hacemos que solamente el
sistema operativo con las herramientas y claves adecuadas pueda leer la
información, con lo cual reducimos el riesgo de una fuga de datos.
Figura 15. La plataforma EC2, de Amazon, fue una de las primeras

ofertas de servicios del tipo cloud computing. Cuenta con una gran cantidad
de características y una probada estabilidad (http://aws.amazon.com/ec2).
www.redusers.com
Asegurarnos de tener copias

de respaldo de los datos
Debemos corroborar que existan copias de seguridad de nuestros
datos, y que estas funcionen correctamente. Ya sea que las hagamos no-
sotros, o el mismo proveedor del servicio, es necesario verificar que las
copias existen y pueden ser recuperadas sin problemas. Son muchos los
casos en los que un malentendido llevó a pensar que el proveedor reali-
zaba copias de seguridad, cuando en realidad no era así, y esto produjo
pérdidas de datos críticos para las organizaciones.
Contratar solo a proveedores de confianza

Si vamos a utilizar este tipo de servicios para procesar información
crítica, debemos contratar únicamente a proveedores de confianza, y pres-
tar mucha atención a los acuerdos de nivel de servicio y a las políticas de
seguridad y privacidad que ellos utilizan, para conocer si nuestros datos
estarán verdaderamente protegidos.
La privacidad de los datos

En caso de que nos encontremos analizando si contratar o no servicios
de computación en la nube, debemos considerar el tipo de datos que vamos
a alojar y qué nivel de responsabilidad tenemos sobre ellos. Por ejemplo,
si contratamos un software que nos permite alojar toda la información de
nuestros clientes, para realizar campañas de marketing, seguimiento de
ventas y otras tareas, debemos tener en cuenta qué clase de datos estare-
mos guardando en esta plataforma, y si las políticas de seguridad y privaci-
dad del proveedor se adecuan a nuestras necesidades. Además, dependien-
do del tipo de datos con los que trabajemos, podría llegar a ser ilegal guar-
darlos en los equipos de otra empresa sin notificárselo a nuestro cliente.
En los casos de datos personales, como creencias religiosas e historia-
les médicos, que están protegidos fuertemente por la ley, debemos ana-
lizar cuidadosamente la viabilidad legal de este tipo de servicios. Por lo
www.redusers.com
tanto, ante estas situaciones, será recomendable contratar a un abogado

especializado en estas cuestiones para que pueda brindarnos asistencia.
Diferencias con otros servicios

Cabe destacar que, si bien los servicios de cloud computing pueden pa-
recer inseguros o inapropiados para cierto tipo de tareas (y no es que no lo
sean), hace años que contamos con la posibilidad de contratar otros servi-
cios de similares características, que también podrían poner en riesgo la
privacidad de nuestros datos. El ejemplo más claro y evidente son los servi-
cios de alojamiento o hosting, en los cuales una empresa guarda sus datos
en los servidores del proveedor, sin tener prácticamente ningún control de
lo que se hace con ellos. El peligro que puede observarse en estos casos es
que el alojamiento de datos suele ser compartido con varios clientes. Si
bien ellos no deberían poder acceder a la información de otro, una mala
configuración de seguridad podría permitir el robo o la pérdida de datos.
Figura 16. Las grandes empresas del mercado, como IBM, cada vez ofrecen más
servicios relacionados con la computación en la nube (www.ibm.com/cloud-computing).
www.redusers.com
Aunque los servicios de alojamiento suelen utilizarse para almacenar

información pública, como los sitios web, también suelen usarse para
guardar todos los correos electrónicos de una organización, por lo que se
estaría dando acceso a todos los mensajes al proveedor del servicio. Debe-
mos tener en cuenta este tipo de factores no solo para la computación en
la nube, sino también para cualquier servicio que requiera alojar informa-
ción en equipos ajenos a nuestra organización.
Por otra parte, servicios como el housing nos permiten llevar equipos
de nuestra propiedad y conectarlos a la infraestructura de red de un pro-
veedor, a fin de utilizar los recursos eléctricos, de espacio y de telecomu-
nicaciones que este ofrece, pero sin que el proveedor tenga acceso directo
a ellos. En estos casos, también es ampliamente recomendable utilizar
encriptación de discos y contratar solo a proveedores de confianza.
Tecnología móvil
Las tecnologías móviles permiten aumentar enormemente la producti-
vidad de los empleados de una organización, al darles la posibilidad de
trabajar desde cualquier lugar físico, conectándose a través de distintas
redes de datos. Obviamente, esto trae aparejadas varias consideraciones
de seguridad que debemos tener en mente si necesitamos ofrecer este tipo
de conexiones. En los siguientes apartados analizaremos diversos factores
para tener en cuenta.
Dispositivos portátiles
Los dispositivos portátiles, como smartphones, notebooks, tablets y
otros, permiten a los usuarios transportar sus equipos de trabajo de ma-
nera sencilla, lo que les da la posibilidad de llevar sus herramientas labo-
rales a cualquier sitio.
Cada uno de estos dispositivos suele contar con varias opciones de
conectividad (como 3G, Bluetooth, y otras), que permiten a los usuarios
www.redusers.com
conectarse a distintas redes y navegar por internet. Esto genera la posibili-

dad de que un dispositivo conectado a nuestra red se haya conectado pre-
viamente a otras redes, que podrían no ser seguras, y que podrían haberlo
infectado con algún tipo de malware.
Figura 17. Los productos de la empresa Blackberry se cuentan

entre los dispositivos móviles más utilizados en las empresas.
En este aspecto, es de suma importancia cuidar la configuración de es-

tos dispositivos, para evitar que los usuarios modifiquen ciertos paráme-
tros que podrían poner en riesgo el sistema, evitar que puedan eliminar o
deshabilitar los programas antimalware, etcétera.
Para estos casos se vuelven muy útiles las tecnologías como NAC (ana-
lizada en el Capítulo 5), que nos permiten realizar comprobaciones de
los dispositivos antes de permitirles interactuar con los demás compo-
nentes de una red de datos.
A continuación, podemos ver una lista de consejos básicos para asegu-
rar este tipo de dispositivos:
• Proteger el acceso al dispositivo mediante contraseña o huella digital.
www.redusers.com
• Utilizar solamente aplicaciones certificadas por el fabricante.

• Emplear algún software antimalware.
• No guardar datos confidenciales en estos dispositivos.
Teletrabajo
El trabajo remoto, o teletrabajo, forma parte de la política de muchas or-
ganizaciones. Se trata, básicamente, de permitir a los empleados el acceso
a los recursos internos de la organización desde internet, a fin de llevar a
cabo sus tareas a distancia. Esta es una opción que debemos planificar con
mucho cuidado, para evitar cualquier posible brecha de seguridad. Algunas
de las recomendaciones más habituales en estos casos son las siguientes:
Utilizar tecnologías de acceso VPN: esto permite que la información

intercambiada entre el dispositivo remoto y los equipos que están dentro
de la organización sea transportada de manera encriptada. Así, nos asegu-
raremos de que permitimos solo conexiones autorizadas, ya sea a través
de usuario y contraseña, certificados digitales o autenticación multifactor.
Limitar los recursos accesibles desde internet: debido a que no es

necesario que los empleados accedan a todos nuestros recursos a través
de internet, debemos asegurarnos de permitir el acceso solo a aquellos que
sean estrictamente necesarios para realizar tareas laborales puntuales.
PÉRDIDA O ROBO
Uno de los problemas más recurrentes en el uso de dispositivos portátiles es su pérdida

o robo. Para protegernos contra estos peligros, debemos asegurarnos de realizar copias
de seguridad de los datos que contienen, y encriptar la información que almacenan a fin de
dificultar su lectura por parte de terceros.
www.redusers.com
Podemos hacer esto separando una red dedicada a estos servicios (similar a
lo que ocurre en una DMZ).
Mantener las conexiones en el mínimo posible: debemos mantener

la cantidad de equipos y usuarios que pueden realizar conexiones a nues-
tra red desde internet en el número más bajo posible.
Figura 18. La gran oferta de computadoras portátiles y la velocidad

de los enlaces a internet han fomentado la implementación
del teletrabajo como práctica común en muchas empresas.
Ataques dirigidos
En la mayoría de los casos, los ataques a las organizaciones suelen es-
tar hechos por personas que buscan servicios públicos mal configurados o
que están probando alguna nueva herramienta de seguridad. Ya sea que se
trate de profesionales con amplios conocimientos o de personas que solo
www.redusers.com
están motivadas por un momento de curiosidad, los ataques suelen hacer-

se a cualquier sistema que cuente con alguna vulnerabilidad conocida.
Esto hace necesario efectuar varias pruebas sobre un sistema (generalmen-
te, con herramientas automatizadas), de modo que si este no presenta fa-
lencias, se proceda a buscar otro distinto para atacar.
Figura 19. Las instituciones financieras de todo el mundo suelen

ser el objetivo de ataques, por representar una potencial ganancia
de dinero si se consigue vulnerar su plataforma de banca en línea.
Pero existe otro tipo de ataques, en los que se define un objetivo único
y se lo intenta atacar constantemente, de una manera u otra, mediante
distintas técnicas y herramientas. Estos ataques en general están dirigidos
a entidades financieras o a organizaciones reconocidas, con el objetivo de
crear pánico o como un modo de protesta.
La gran diferencia que presentan los ataques dirigidos es que, como
profesionales de la seguridad, debemos enfrentarnos con la perseverancia
de los atacantes y, a veces, con una gran cantidad de ellos, lo que hace
que la acción resulte mucho más peligrosa y dañina.
www.redusers.com
Denegación de servicio (DoS)

En general, los ataques del tipo protesta tienen que ver más con generar
una denegación de servicio (DoS, Denial of Service), que con robar o des-
truir información. Esto suele ser así porque generar un DoS suele ser relativa-
mente sencillo si se cuenta con una cantidad suficiente de atacantes. La idea
detrás de este método es agotar todos los recursos del sistema, para que este
quede imposibilitado de responder a las peticiones de clientes legítimos.
Si somos los encargados de asegurar una infraestructura de servicios
que podría ser víctima de esta clase de peligro, deberemos tomar los re-
caudos necesarios e implementar los filtros correspondientes para evitar
que nuestros servicios dejen de responder.
Figura 20. La herramienta LOIC (Low Orbit Ion Cannon) fue desarrollada,
originalmente, para realizar pruebas de stress sobre servidores,
pero muchos atacantes la han usado para efectuar denegaciones
de servicio (http://sourceforge.net/projects/loic).
En el caso de los ataques DoS o los ataques distribuidos de DoS (DDoS),

la forma más eficiente de protegernos es restringir la cantidad de conexio-
www.redusers.com
nes que un mismo cliente puede realizar hacia nuestro servidor, bloquean-
do cualquier conexión que exceda esos límites. Esto puede llevarse a cabo
fácilmente si contamos con un firewall, ya sea un dispositivo especializa-
do o alguna de las soluciones de código abierto basadas en sistemas UNIX.
Con los tres comandos que figuran a continuación, podemos utilizar
el filtrado IPTables de los sistemas Linux para proteger las conexiones
realizadas al puerto TCP/80 de nuestro equipo. Esto permitirá solo seis
conexiones por minuto, lo cual restringe, principalmente, los ataques de
tipo DoS. Por supuesto, habrá que ajustar estos valores de acuerdo con
nuestros requerimientos.
iptables -A INPUT -p TCP -m state --state NEW --dport 80 -m recent --set

iptables -A INPUT -p TCP -m state --state NEW --dport 80 -m recent --update
--seconds 60 --hitcount 7 -j DROP
iptables -A INPUT -p TCP -m state --state NEW --dport 80 -j ACCEPT
Debido a que los ataques del tipo DoS son muy fáciles de realizar, debe-
mos estar preparados para responder en forma adecuada.
El peligro de la perseverancia
Cuando estamos administrando los sistemas de una entidad que
puede ser de gran interés para los atacantes –generalmente, por cues-
tiones económicas, políticas o militares–, debemos tener en cuenta que
no solo nos enfrentamos con ataques superficiales, sino que también
podríamos ser el objetivo de varias semanas o meses de intentos de
intrusión. Esto nos obliga a estar preparados de manera adicional, y a
implementar varias tecnologías para la detección temprana de los ata-
ques, que nos permitan bloquearlos antes de que causen cualquier tipo
de daños a nuestra infraestructura.
www.redusers.com
Para estos casos, los sistemas de detección de intrusos serán un aliado

fundamental en nuestra lucha contra los atacantes, porque nos permiten
reaccionar de forma proactiva.
Expectativas para el futuro

La seguridad informática, como profesión y como mercado, avanza
constantemente. Es cada vez más evidente la importancia de la informa-
ción en los negocios actuales, y eso lleva a las organizaciones a implemen-
tar medidas de seguridad como parte de sus procesos de negocio. De la
misma forma, la aparición de nuevas tecnologías impulsa la evolución de
las técnicas de seguridad, que necesitan contrarrestar la gran cantidad de
malware y herramientas de ataque que se generan día a día.
Todas las tecnologías mencionadas en este capítulo están relacionadas
entre sí, de una u otra forma. Las comunicaciones se unifican en las redes
IP, para transmitir voz, video y datos a través del mismo medio. Esto per-
mite abaratar costos y crear nuevas funcionalidades, que se apoyan en la
movilidad de los dispositivos portátiles y el constante crecimiento en las
velocidades de transferencia.
La Web se acerca cada vez más al usuario, y lo tiene como protagonista
principal: ahora deja de ser un simple lector, y pasa a ser un ente de inte-
racción, con las redes sociales y los servicios de mensajería instantánea,
que buscan mantener a las personas constantemente en contacto unas con
otras. Sumado a que actualmente existen muchas estafas electrónicas diri-
gidas a los usuarios, esto hace que cada día cada individuo deba ser más
responsable para no resultar víctima de ataques y robos de información,
así como también para no convertirse en el puente que facilite el acceso a
datos confidenciales de una entidad.
Debido a la gran demanda de tráfico y a la enorme cantidad de usuarios
de internet, muchos servicios migran a una arquitectura de cloud compu-
ting, y son numerosas las empresas que cuentan con sus propias nubes,
formadas por servidores distribuidos a través del planeta. Esta tendencia
www.redusers.com
de llevar nuestra información a servidores de otras empresas hace que de-

bamos tomar recaudos particulares en cuanto a qué información subimos
a la nube y cuánto confiamos en las compañías que se ocupan de brindar-
nos estos servicios.
Desde el punto de vista económico, las empresas no pueden darse el
lujo de invertir en todos los aspectos relacionados con la seguridad, por-
que el presupuesto para la adquisición de software, hardware y servicios
es muy limitado y debe administrarse estratégicamente. Es por eso que,
como profesionales, debemos estar a la altura de las circunstancias y te-
ner la capacidad de recomendar en qué se debe invertir para proteger ade-
cuadamente los activos de una organización.
También debemos buscar la capacitación constante, para mantenernos
vigentes en nuestra profesión.
Un experto en seguridad informática deja de ser un simple empleado,
y pasa a ser una persona que tiene un valor muy alto en el mercado. De-
bemos aprovechar esta situación y hacer nuestro mejor esfuerzo por man-
tenernos en la elite de los profesionales, característica que es muy bien
recompensada en la actualidad.
RESUMEN
Gracias a los conceptos que profundizamos en este capítulo pudimos conocer las tenden-
cias tecnológicas actuales, para, de esta forma, estar preparados ante los riesgos en la
seguridad que se nos presentan. Vimos las características de la Web 2.0 y mencionamos
los servicios más utilizados por los usuarios, así como también los peligros de seguridad
que es necesario considerar. Analizamos los servicios de mensajería y conocimos las carac-
terísticas de la comunicación VoIP. Examinamos los aportes y riesgos de la virtualización y
de los servicios de cloud computing. Finalmente, nos detuvimos en las tecnologías móviles
y conocimos el peligro de los ataques dirigidos.
www.redusers.com
Actividades
TEST DE AUTOEVALUACIÓN
1 ¿Qué es un ataque de phishing y cómo puede prevenirse?
2 ¿Cómo podemos protegernos del Google hacking?
3 ¿Cómo podemos evitar el espionaje de comunicaciones VoIP?
4 ¿Qué debemos considerar al adquirir un servicio de cloud computing?
5 ¿Cómo podemos defendernos de los ataques del tipo DoS?
PROFESOR EN LÍNEA
Si tiene alguna consulta técnica relacionada con el contenido, puede contactarse

con nuestros expertos: profesor@redusers.com
www.redusers.com

Gestíón de La Seguridad Informática

Cargado por

Copyright:

Formatos disponibles

Gestíón de La Seguridad Informática

Cargado por

Información del documento

Descripción original:

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Gestíón de La Seguridad Informática

Cargado por

Copyright:

Formatos disponibles

Tendencias

▼ Tecnología ................................... 2 ▼ Tecnología móvil .......................27

▼ Web 2.0........................................ 2 ▼ Ataques dirigidos ......................30

▼ Servicios de mensajería .............. 9 ▼ Expectativas para el futuro ......34

▼ VoIP ...........................................14 ▼ Resumen ....................................35

▼ Virtualización ............................17 ▼ Actividades ................................36

comunidades web, los servicios web, las aplica-

Figura 1. Facebook se ha convertido en la red social más popular, por lo que se ha

Otra problemática que se genera en todas las organizaciones es que los

Los buscadores de internet almacenan muchísima información (quizá,

• No alojar información verdaderamente confidencial en los servidores web.

Pero debemos recordar que este tipo de configuraciones solo funciona

Phishing y robo de identidad

Figura 2. En el sitio web www.phishtank.com encontramos

Si bien podemos encontrar que existen muchas tecnologías y técnicas

en el que, en realidad, es un atacante. Como podemos notar, esto no es

Figura 3. El Anti-Phishing Working Group es un consorcio

acceder a los datos necesarios para hacerlo. El objetivo principal aquí es

Figura 4. En el sitio web de Identidad Robada podemos encontrar mucha

Figura 5. El proyecto ASCII Ribbon, ahora descontinuado, buscó

proxy Squid (www.squid-cache.org) y alguna otra herramienta de fil-

Figura 6. Varios fabricantes de software de seguridad,

La fuga de información debe encararse desde varios frentes para poder

tocolo o herramienta en particular, sino que debemos proteger una infini-

Figura 7. El proyecto de código abierto MyDLP desarrolla

Comunicaciones no deseadas (spam)

Figura 8. El proyecto de código abierto SpamAssassin es el más reconocido

En una organización, el bloqueo de spam es estrictamente necesario,

En el sitio web Wikipedia (http://en.wikipedia.org/wiki/Anti-spam_techniques) pode-

Figura 9. El sitio web Spamhaus mantiene varias listas negras

que vamos a utilizar, como las herramientas y productos por implementar.

cortes u otras anomalías en la comunicación,

Asegurar correctamente los equipos de host

Figura 12. VMWare es el líder en soluciones de virtualización.

Asegurar los medios de almacenamiento

de soluciones, debemos considerar a nuestros equipos de storage como

Asegurar cada una

Utilizar adecuadamente las plantillas

plantilla esté correctamente configurada, dado que un error en ella provo-

Figura 13. El fabricante de productos de seguridad McAfee

Controlar adecuadamente la gestión

Implementar ﬁltros físicos

Los sistemas host son tan críticos como

Separar una red para administración,

tructura. Esto puede lograrse implementando separaciones tanto físicas

Implementar separación de tareas

Figura 14. Existen varios fabricantes, como VMInformer, que se dedican

Contar con redundancia de equipos

equipos en los que las empresas alojan su información no pertenecen a ellas

Utilizar encriptación de discos

Figura 15. La plataforma EC2, de Amazon, fue una de las primeras

Asegurarnos de tener copias

Contratar solo a proveedores de conﬁanza

La privacidad de los datos

tanto, ante estas situaciones, será recomendable contratar a un abogado

Diferencias con otros servicios

Aunque los servicios de alojamiento suelen utilizarse para almacenar

conectarse a distintas redes y navegar por internet. Esto genera la posibili-

Figura 17. Los productos de la empresa Blackberry se cuentan