TEMA 2 PRINCIPIOS SEG Y DISP

Principios de Seguridad y Alta Disponibilidad

1.1. Introducción

La seguridad informática busca proteger la información, un activo vital para las organizaciones, frente a una amplia gama de amenazas como fraudes, virus, hackers, sabotaje y espionaje. La información puede existir en múltiples formatos (impresa, electrónica, magnética, óptica) y ser transmitida de diversas maneras.

Amenazas Actuales: Las más comunes provienen de redes sociales, correo electrónico y navegación web, a través de malware (código malicioso) que infecta equipos y los convierte en parte de redes botnet o zombis. Estas redes se utilizan para enviar spam o ejecutar ataques de Denegación de Servicio Distribuido (DDoS).

Definición de Seguridad Informática: Es el proceso para asegurar que los recursos de un sistema de información se utilen según lo decidido y que el acceso y modificación de la información esté restringido a personas autorizadas.

Objetivos Principales:

• Detectar y gestionar riesgos y amenazas.
• Garantizar el uso adecuado de los recursos.
• Limitar pérdidas y recuperar el sistema tras un incidente.
• Cumplir con el marco legal y los requisitos organizativos.

1.2. Fiabilidad, Confidencialidad, Integridad y Disponibilidad (CID)

La seguridad se sustenta en tres pilares fundamentales, conocidos como la «Tríada CID»:

1. Confidencialidad: Garantiza que la información solo sea accesible para personal autorizado. Se logra con mecanismos como el cifrado.
2. Integridad: Asegura que la información sea exacta y completa, y que no haya sido alterada de manera no autorizada. Se verifica con firmas digitales y hashes.
3. Disponibilidad: Garantiza que la información y los sistemas estén operativos para los usuarios autorizados cuando lo necesiten.

Conceptos Relacionados (CIDAN):

• Autenticación: Verifica la identidad de un usuario o sistema (ej. usuario y contraseña).
• No Repudio: Garantiza que una parte no pueda negar haber realizado una acción. Existe el no repudio en origen (el emisor no puede negar el envío) y en destino (el receptor no puede negar la recepción).

Alta Disponibilidad (High Availability):
Es la capacidad de mantener aplicaciones y datos operativos 24/7/365. Su objetivo es minimizar las interrupciones, que pueden ser:

• Previstas: Mantenimiento programado.
• Imprevistas: Fallos de hardware, software, desastres naturales, etc.

Métricas de Disponibilidad:

• MTTF (Mean Time To Failure): Tiempo medio hasta que un sistema falla.
• MTTR (Mean Time To Recover): Tiempo medio para recuperar el sistema tras un fallo.
• Disponibilidad: Se calcula para minimizar el tiempo de inactividad. El nivel más alto es «five nines» (99,999%), que permite solo ~5 minutos de inactividad al año.

1.3. Elementos Vulnerables en el Sistema Informático

Los sistemas son vulnerables en cuatro áreas principales:

1. Hardware: Fallos por mal diseño, errores de fabricación, variaciones en el suministro eléctrico, desgaste natural y mal uso.
2. Software: Incluye software de desarrollo malicioso, bombas lógicas, y código malicioso como virus, gusanos, troyanos y backdoors.
3. Factor Humano: La vulnerabilidad más impredecible. Incluye:
   • Curiosos: Intrusos sin intención maliciosa pero peligrosos.
   • Intrusos remunerados: Hackers profesionales.
   • Personal enterado: Empleados o exempleados con motivaciones diversas.
   • Terroristas.
   • Robo, sabotaje y fraude.
   • Ingeniería social: Manipulación de personas para obtener información confidencial.
4. Red de Datos: Amenazas como la no disponibilidad de la red y la extracción lógica de información. Depende de la topología, el sistema operativo y el cumplimiento de las normas de instalación.

1.4. Análisis de las Principales Vulnerabilidades de un Sistema

Se clasifican en vulnerabilidades técnicas específicas:

• Configuración: Configuraciones por defecto o incorrectas.
• Validación de Entrada: No verificar correctamente los datos de entrada.
• Salto de Directorio: Moverse sin autorización por el sistema de archivos.
• Inyección de Comandos del SO: Ejecutar comandos del sistema operativo a través de entradas no validadas.
• XSS (Cross-Site Scripting): Ejecutar scripts maliciosos en el navegador de una víctima.
• Inyección SQL: Insertar código SQL malicioso en una base de datos para manipularla.
• Inyección de Código: Introducir código ejecutable en una aplicación.
• Desbordamiento de Búfer (Buffer Overflow): Introducir más datos de los que un búfer puede contener, sobrescribiendo memoria.
• Error de Formato de Cadena: Manipular cadenas de formato para leer o escribir memoria.
• Filtrado de Información: Revelación accidental o intencionada de información sensible.
• Gestión de Credenciales: Debilidades en contraseñas y archivos de usuarios.
• Control de Acceso: Mecanismos defectuosos de permisos y privilegios.
• Fallo de Autenticación o Cifrado: Algoritmos débiles o mal implementados.
• CSRF (Cross-Site Request Forgery): Engañar a un usuario autenticado para que ejecute acciones no deseadas en una aplicación web.
• Condición de Carrera: Resultados impredecibles por el acceso simultáneo a los mismos datos.
• Error en la Gestión de Recursos: Consumo excesivo de recursos que provoca denegación de servicio.

1.5. Amenazas: Físicas y Lógicas

Una amenaza es una posible causa de un incidente no deseado que puede dañar un activo (equipos, datos, mobiliario).

• Amenazas Físicas: Aquellas que afectan al hardware. Incluyen desastres naturales (incendios, inundaciones), robos, vandalismo y fallos en el suministro eléctrico.
• Amenazas Lógicas: Aquellas que afectan al software y los datos. Incluyen virus, hackers, ataques de red, etc.

1.6. y 1.7. Seguridad Física y Ambiental / Ubicación y Protección

La seguridad física protege el hardware de las amenazas físicas y ambientales.

Centro de Procesamiento de Datos (CPD): Lugar diseñado para albergar y proteger los sistemas críticos (servidores) con condiciones óptimas.

Medidas de Protección Física en un CPD:

• Control de Acceso Físico:
  • Sistemas de contraseña.
  • Tarjetas magnéticas.
  • RFID (Identificación por radiofrecuencia).
  • Tokens (dispositivos que generan claves aleatorias).
  • Sistemas Biométricos (huellas dactilares, iris, etc.).
• Control Ambiental:
  • Sistemas de Control de Temperatura: Mantener la temperatura por debajo de los 30°C para el correcto funcionamiento de los equipos.
  • Sistemas Contra Incendios: Sistemas que no dañen los equipos (ej. que no usen agua o materiales conductores).