Capítulo 1

Descripción general
El Informe interno/interinstitucional del NIST
NISTIR 7298 (Glosario de términos clave de
seguridad de la información, mayo de 2013) define
el término seguridad informática como sigue:
 Conceptos clave de
seguridad
Confidencialid Disponibilid
ad
Integridad ad

• Preservar las • Protegerse contra • Asegurar el

restricciones la modificación o acceso y uso
autorizadas sobre destrucción oportuno y
el acceso y la inapropiada de la confiable de la
divulgación de la información, lo que información.
información, incluye garantizar
incluidos los la no repudio y la
medios para autenticidad de la
proteger la información.
privacidad
personal y la
información de
propiedad
exclusiva.
Niveles de impacto
Bajo Moderado Alto
Se podría esperar
Podría esperarse Podría esperarse
que la pérdida
que la pérdida que la pérdida
tenga un efecto
tenga un efecto tenga un efecto
adverso grave o
adverso limitado adverso grave en
catastrófico en las
en las operaciones las operaciones de
operaciones de la
de la organización, la organización, los
organización, los
los activos de la activos de la
activos de la
organización o los organización o los
organización o los
individuos individuos
individuos.
1. La seguridad informática no es tan simple como podría parecerle al principiante.

2. Al desarrollar un mecanismo o algoritmo de seguridad particular, siempre se deben considerar posibles

ataques a esas características de seguridad.

3. Los procedimientos utilizados para proporcionar servicios particulares a menudo son contrarios a la
intuición.

4. La ubicación física y lógica debe ser determinada.

5. Los mecanismos de seguridad generalmente involucran más que un algoritmo o protocolo particular y también
requieren que los participantes estén en posesión de alguna información secreta que genere dudas sobre la creación,
distribución y protección de esa información secreta.
6. Los atacantes solo necesitan encontrar una única debilidad, mientras que el diseñador debe encontrar y
eliminar todas las debilidades para lograr una seguridad perfecta

7. La seguridad todavía es una idea de último momento para incorporarla a un sistema después de que se
complete el diseño, en lugar de ser una parte integral del proceso de diseño.

8. La seguridad requiere un monitoreo regular y constante.

9. Existe una tendencia natural por parte de los usuarios y los administradores de sistemas de percibir poco
beneficio de la inversión en seguridad hasta que se produce un fallo de seguridad.
10. Muchos usuarios e incluso los administradores de seguridad ven la seguridad sólida como un
impedimento para el funcionamiento eficiente y fácil de usar de un sistema de información o el uso de la
información.
 Tabla 1.1
Terminología de seguridad informática, de RFC 2828, Glosario de seguridad de Internet, mayo de 2000

Adversario (agente de amenaza)

Individuo, grupo, organización o gobierno que realiza o tiene la intención de realizar actividades perjudiciales.

Ataque
Cualquier tipo de actividad maliciosa que intente recopilar, interrumpir, denegar, degradar o destruir los recursos del sistema de
información o la información en sí.

Contramedida
Un dispositivo o técnicas que tienen como objetivo el deterioro de la efectividad operativa de actividades adversas o adversas, o la
prevención de espionaje, sabotaje, robo o acceso no autorizado a información sensible o sistemas de información.

Riesgo
Una medida de la medida en que una entidad está amenazada por una circunstancia o evento potencial, y típicamente una función de
1) los impactos adversos que surgirían si ocurriera la circunstancia o evento; y 2) la probabilidad de ocurrencia.

Política de seguridad
Un conjunto de criterios para la prestación de servicios de seguridad. Define y restringe las actividades de una instalación de procesamiento
de datos para mantener una condición de seguridad para los sistemas y los datos.

Recurso del sistema (activo)

Una aplicación importante, sistema de soporte general, programa de alto impacto, planta física, sistema de misión crítica, personal,
equipo o un grupo de sistemas lógicamente relacionados.

Amenaza
Cualquier circunstancia o evento con el potencial de impactar adversamente las operaciones de la organización (incluida la misión,
funciones, imagen o reputación), los activos de la organización, los individuos, otras organizaciones o la Nación a través de un sistema de
información mediante acceso no autorizado, destrucción, divulgación, modificación de la información. , y / o denegación de servicio.

Vulnerabilidad
Debilidad en un sistema de información, procedimientos de seguridad del sistema, controles internos o implementación que podría ser
explotada o activada por una fuente de amenaza.
(La tabla se puede encontrar en la página 8 en el libro de texto)
 Owners Threat agents
value
wish to abuse
wish to impose and/or
minimize may damage
give
rise to
countermeasures assets

to
reduce

to to
risk threats
that
increase

Figure 1.2 Security Concepts and Relationships

Activos de un sistema
informático
Hardware

Software

Datos

Instalaciones de comunicación y
redes
 Vulnerabilidades,
amenazas y ataques
• Categorías de vulnerabilidades
o Corrupto (pérdida de integridad)
o Permeable (pérdida de confidencialidad)
o No disponible o muy lento (pérdida de disponibilidad)
• Amenazas
o Capaz de explotar vulnerabilidades
o Representar el daño potencial de seguridad a un activo
• Ataques (amenazas realizadas)
o Pasivo: intenta aprender o hacer uso de la información del sistema
que no afecta los recursos del sistema
o Activo: intenta alterar los recursos del sistema o afectar su
funcionamiento
o Interno - iniciado por una entidad dentro del parámetro de
seguridad
o Forastero - iniciado desde fuera del perímetro
Contramedidas
Medios utilizados
para hacer frente
a los ataques de
seguridad
•Evitar
•Detectar
•Recuperar

Las
vulnerabilidades
residuales
pueden
permanecer

El objetivo es
Puede introducir
minimizar el nivel
nuevas
residual de riesgo
vulnerabilidades
para los activos
 Threat Consequence Threat Action (Attack)
Unauthorized Exposure: Sensitive data are directly released to an
Disclosure unauthorized entity.
A circumstance or Interception: An unauthorized entity directly accesses
event whereby an sensitive data traveling between authorized sources and Table 1.2
entity gains access to destinations.
data for which the Inference: A threat action whereby an unauthorized entity
entity is not indirectly accesses sensitive data (but not necessarily the Las consecuencias
authorized. data contained in the communication) by reasoning from
characteristics or byproducts of communications. de las amenazas y
Intrusion: An unauthorized entity gains access to sensitive
data by circumventing a system's security protections. los tipos de
Deception Masquerade: An unauthorized entity gains access to a
A circumstance or system or performs a malicious act by posing as an acciones de
event that may result authorized entity.
in an authorized entity Falsification: False data deceive an authorized entity. amenazas que
receiving false data Repudiation: An entity deceives another by falsely denying
and believing it to be responsibility for an act. causan cada
true.
consecuencia
Disruption Incapacitation: Prevents or interrupts system operation by
A circumstance or disabling a system component.
event that interrupts Corruption: Undesirably alters system operation by
or prevents the correct adversely modifying system functions or data.
Basado en RFC
operation of system Obstruction: A threat action that interrupts delivery of
services and system services by hindering system operation.
4949
functions.
Usurpation Misappropriation: An entity assumes unauthorized logical
A circumstance or or physical control of a system resource.
event that results in Misuse: Causes a system component to perform a function
control of system or service that is detrimental to system security.
services or functions
by an unauthorized
entity.
** La tabla está en la página 10 del libro de texto.
 Computer System Computer System
4 Sensitive files
must be secure
Data (file security) Data

1 Access to the data 3 Data must be

must be controlled securely transmitted
(protection) through networks
(network security)

Processes representing users Processes representing users

Guard Guard

2 Access to the computer

facility must be controlled
(user authentication)

Users making requests

Figure 1.3 Scope of Computer Security. This figure depicts security

concerns other than physical security, including control of access to
computers systems, safeguarding of data transmitted over communications
systems, and safeguarding of stored data.
 Tabla 1.3
Activos informáticos y de red, con ejemplos de amenazas
Availability Confidentiality Integrity
Equipment is stolen or
An unencrypted CD-
Hardware disabled, thus denying
ROM or DVD is stolen.
service.
A working program is
modified, either to
Programs are deleted, An unauthorized copy cause it to fail during
Software
denying access to users. of software is made. execution or to cause it
to do some unintended
task.
An unauthorized read
of data is performed. Existing files are
Files are deleted,
Data An analysis of modified or new files
denying access to users.
statistical data reveals are fabricated.
underlying data.
Messages are destroyed Messages are modified,
Communication or deleted. Messages are read. The delayed, reordered, or
Lines and Communication lines traffic pattern of duplicated. False
Networks or networks are messages is observed. messages are
rendered unavailable. fabricated.
Ataques pasivos y activos
Ataque pasivo Ataque activo
• Intenta aprender o hacer • Intenta alterar los recursos
uso de la información del del sistema o afectar su
sistema pero no afecta los funcionamiento.
recursos del sistema • Implica alguna
• Escuchando o modificación del flujo de
monitoreando transmisiones datos o la creación de un
flujo falso
• El objetivo del atacante es
• Cuatro categorías:
obtener información que se o Repetición
está transmitiendo. o Enmascaramiento
o Modificación de mensajes
• Dos tipos: o Negación de servicio

o Liberación de contenidos del

mensaje.
o Análisis de tráfico
 Tabla 1.4

Requerimientos
de seguridad

(FIPS 200)

(Página 1 de 2)

(La tabla se puede encontrar en las

páginas 16-17 del libro de texto).
 Table 1.4

Security
Requirements

(FIPS 200)

(page 2 of 2)

(Table can be found on pages 16-17 in

the textbook.)
Principios fundamentales
del diseño de seguridad
Valores
Economía de Mediación
predeterminados Diseño abierto
mecanismo completa
a prueba de fallos

Separación de Privilegios Mecanismo Aceptabilidad

privilegios mínimos menos común psicologica

Aislamiento Encapsulación Modularidad Capas

Menos asombro
 Superficies de ataque
Consiste en las vulnerabilidades alcanzables y
explotables en un sistema

Ejemplos:

Código que procesa

datos entrantes, correo
Abra los puertos en la electrónico, XML, Un empleado con
Web externa y otros Servicios disponibles documentos de oficina acceso a información
Interfaces, SQL y
servidores, y escuche en el interior de un y formatos de sensible vulnerable a
formularios web
el código en esos firewall intercambio de datos un ataque de
puertos personalizados ingeniería social
específicos de la
industria
 Categorías de superficie
de ataque
Superficie de
Superficie de Superficie de
ataque de
ataque de red ataque humano
software

Vulnerabilidades en una red Vulnerabilidades en la

empresarial, una red de área aplicación, utilidad o código
amplia o Internet del sistema operativo

Vulnerabilidades creadas por

personal o personas externas,
como ingeniería social, errores
humanos y personas de
Se incluyen en esta categoría confianza
las vulnerabilidades del
protocolo de red, como las que
se usan para un ataque de El enfoque particular es el
denegación de servicio, software de servidor web
interrupción de los enlaces de
comunicaciones y varias
formas de ataques de intrusos
 Shallow
Medium High
Layering Security Risk Security Risk

Low Medium
Deep

Security Risk Security Risk

Small Large
Attack Surface

Figure 1.4 Defense in Depth and Attack Surface

Bank Account Compromise

User credential compromise UT/U1a User surveillance

UT/U1b Theft of token and

handwritten notes

Malicious software
Vulnerability exploit
installation
UT/U3a Smartcard analyzers UT/U2a Hidden code

UT/U3b Smartcard reader UT/U2b Worms

manipulator
UT/U2c E-mails with
malicious code
UT/U3c Brute force attacks
with PIN calculators

CC2 Sniffing

User communication
UT/U4a Social engineering
with attacker
UT/U4b Web page
obfuscation

Redirection of
Injection of commands CC3 Active man-in-the communication toward
middle attacks fraudulent site
User credential guessing IBS1 Brute force attacks CC1 Pharming

IBS2 Security policy IBS3 Web site manipulation

violation

Use of known authenticated Normal user authentication CC4 Pre-defined session

session by attacker with specified session ID IDs (session hijacking)

Figure 1.5 An Attack Tree for Internet Banking Authentication

Estrategia de seguridad informática
 Normas
• Se han desarrollado estándares para cubrir las prácticas
de gestión y la arquitectura general de los mecanismos
y servicios de seguridad.
• Las más importantes de estas organizaciones son:
o Instituto Nacional de Estándares y Tecnología (NIST)
• NIST es una agencia federal de EE. UU. Que se ocupa de la ciencia de
medición, estándares y tecnología relacionada con el uso del gobierno
de EE. UU. Y la promoción de la innovación del sector privado de EE. UU.
o Sociedad de Internet (ISOC)
• ISOC es una sociedad de membresía profesional que proporciona
liderazgo para abordar los problemas que enfrentan el futuro de Internet
y es la organización principal de los grupos responsables de los estándares
de infraestructura de Internet.
o Unión Internacional de Telecomunicaciones (UIT-T)
• La UIT es un organismo de las Naciones Unidas en el que los gobiernos y el
sector privado coordinan las redes y servicios mundiales de
telecomunicaciones.
o Organización Internacional de Normalización (ISO)
• ISO es una organización no gubernamental cuyo trabajo se traduce en
acuerdos internacionales que se publican como Normas Internacionales.