analisis de riesgos y vulnerabilidades
Post on 07-Jun-2015
267 Views
Preview:
DESCRIPTION
TRANSCRIPT
Análisis de riesgos y Vulnerabilidades GESTIÓN DE REDES DE DATOS
SERVICIO NACIONAL DE APRENDIZAJE DIEGO LEON GIL BARRIENTOS YIMY FERNANDO PEREZ MEDINA GELIER ESTEBAN MORENO GOMEZ
Ficha: 464327
1
Análisis de riesgos de seguridad: Ambiente 5-7
Inventario de Activos por Clasificación
Activos de Información
Bases de Datos
Sistemas Operativos
Configuraciones de servicios
Backups
Activos Físicos
Infraestructura
Edificio Torre Norte – CESGE
5° piso Torre norte
Ambiente 5-7
Cuarto de Telecomunicaciones
Sillas
Mesas
Racks
Hardware de TI
Computadores de Escritorio
Computadores Portátiles
Servidores
Switches
Routers
Equipos de acceso inalámbrico
Firewall
Celulares
UPS
Cableado Estructurado
2
Controles del Entorno TI
Alarma contra incendio
Medidor de temperatura de Cuarto de telecomunicaciones
Aire acondicionado
Lámparas
Activos de Servicios de TI
Servicios de Electricidad
Servicios de Red (ISP)
Activos Humanos
Instructores
Aprendices
Externos
Los activos de Información están por obvia razón directamente asociados a unos activos físicos, en este caso a 3 activos: Servidores, Routers y Switches que poseen y almacenan información, activos no tangibles, por lo tanto en una escala jerárquica es obvio mantener la integridad de los activos de una escala superior.
3
A la hora de analizar los riesgos de Activos físicos se debe empezar por investigar
los riesgos generalizados de la parte superior del mapa jerárquico, si se prevee en
este caso que el principal es el edificio, reduciríamos considerablemente riesgos
en los demás activos sub-inferiores.
4
Los activos de servicios, son las empresas externas contratadas para prestar un
servicio para el funcionamiento de nuestra empresa.
Debes tener claro que lo principal moralmente es cuidar los activos humanos pero
para prevenir los riesgos a estos activos humanos, según una tabla jerárquica se
deben prevenir riesgos en los activos físicos y reduciría el riesgo en estos.
5
Función de los activos
Activos de Información
1) Bases de Datos
Esta recopila información de todo tipo, información local del SENA, logs de los
servicios prestados por el servidor, información de los aprendices, almacenar todo
tipo de información que quiera guardar los que tienen acceso a estas.
2) Sistemas Operativos
Son de vital importancia para nuestra entidad porque son la principal interfaz y
administración de los computadores físicos como tales, los usamos para nuestros
activos físicos como: Computadores, Celulares, Servidores, Routers, etc.
3) Configuraciones de Servicios
Estos son súper importantes porque son los que permiten que nuestro servidor
tenga una configuración adecuada para prestar los servicios, sin embargo estos
deben contar con backup, el cual será otro activo de información.
4) Backups
Son súper importantes porque se almacenan con el objetivo de subsanar un
problema que tenga la entidad, en estos encontramos respaldos de bases de
datos, configuraciones de servidores y configuraciones de dispositivos activos.
Activos Físicos
Infraestructura
1) Edificio Torre Norte CESGE
Es la parte superior de nuestro diagrama jerarquico, porque dentro de este activo
se encuentran todos los demás activos por lo tanto los riesgos que presente esta
edificación, serán directamente proporcionales a los demás activos.
2) Ambiente 5-7 CESGE
Esta es un activo intermedio en la escala del mapa jerárquico, en el cual se realiza
la formación de los aprendices, por lo tanto este activo es importante para el
desarrollo de los ―clientes‖ (Aprendices).
6
3) Cuarto de Telecomunicaciones
En este cuarto se encuentran los principales activos de hardware de TI, los cuales
son los que ayudan a prestar un servicio eficaz en los ambientes de aprendizaje:
Gabinetes, Routers, Switches, Cableado, etc.
4) Racks
Este contiene los dispositivos intermedios de la red, que ofrecen diversos
servicios.
5) Sillas y mesas
Estos activos permiten la comodidad para los clientes y soportan los diferentes
computadores.
Hardware de TI
1) Computadores de escritorio y portátiles
Estos activos son los principales respecto a la satisfacción de calidad del cliente,
porque con estos el cliente va a interactuar con la red y podrá realizar los
diferentes trabajos.
2) Servidores
Estos nos entregan los diferentes servicios a los cuales debemos accesar para
las diferentes tareas que se exigen a diario en la organización.
Ejemplo
Correo, Bases de Datos, Internet, etc.
3) Switches
Estos activos permiten la organización de los diferentes ambientes de formación,
sectorizados por Vlans. Permite también la conectividad múltiple (localmente) de
los equipos de cómputo.
7
4) Routers
Este activo recibe la conexión ISP y a su vez entrega el servicio a los diferentes
Switches capa 3.
5) Equipos de acceso inalámbrico (Access Point)
Estos activos permiten transmitir la señal de forma inalámbrica a los diversos
espacios del piso, edificio o el campus.
6) Firewall
Este dispositivo permite asegurar nuestra red, por medio de protección de puertos,
también bloquear el acceso no autorizado , permitiendo al mismo tiempo
comunicaciones autorizadas.
7) Celulares
Dispositivos de carácter personal que hacen uso de las redes inalámbricas, en la
transmisión de correos, navegación y comunicación.
8) UPS
Este activo de alimentación eléctrica ininterrumpida, conocido como UPS
proporciona energía eléctrica por un tiempo limitado y durante un apagón a todos
los dispositivos que tenga conectados.
9) Cableado
Este activo se refiere a todas las conexiones en general por medio de cableado
estructurado tanto horizontal como vertical.
8
Controles del entorno de TI
1) Alarma contra incendio
Este activo alerta sobre cualquier cambio de temperatura, dentro de los ambientes
del edificio.
2) Medidor de temperatura del cuarto de telecomunicaciones
Este permite regular una temperatura constante dentro del cuarto, con el fin de
mantener la temperatura adecuada para los diferentes dispositivos que allí se
encuentran.
3) Aire acondicionado
Ayuda a mantener una temperatura adecuada en los ambientes para los diferentes
computadores y el personal que allí se encuentre.
4) Lámparas
Nos permiten un nivel de iluminación homogénea de tal forma que los
componentes y/o asistentes no se vean cubiertos parcial o totalmente por
sombras. Permitiéndonos una luminosidad ideal.
Activos de Servicios de TI
1) Servicios de Electricidad
Es el fluido eléctrico que recibimos del exterior por una empresa externa que
proporciona el servicio.
2) Servicios de Red (ISP)
Este activo nos provee el servicio de internet, el cual es prestado por una
empresa externa.
9
Activos Humanos
1) Instructores
Este activo es de carácter humano, es el encargado de instruir a cada uno de los
aprendices en su proceso de formación. También hacen las veces de
administradores de algunos dispositivos y servicios necesarios para la red de los
ambientes.
2) Aprendices
Son los usuarios finales que interactúan directamente con la red.
Estos a su vez pueden llegar a ser una posible amenaza a los demás activos
Análisis de riesgos generalizados de los Activos
Activos de Información
1) Bases de Datos
Riesgo de que sean copiadas y utilizadas comercialmente para beneficio
ajeno, tanto por un posible hacker o el propio encargado de las BD.
También puede haber riesgo de que un virus ataque la BD y se pueda
perder información.
En una posible actualización de software puede ocurrir una eventual
pérdida de información o el mismo daño del software que maneje la BD.
2) Sistemas Operativos
El principal riesgo que corren los sistemas operativos es por ataque de
virus, que tiene por objeto alterar el normal funcionamiento de las
computadoras.
Falla de sistema.
10
3) Configuraciones de Servicios
Los servicios de red pueden implicar muchos riesgos para los sistemas:
Ataques de rechazo de servicio— Inundando un servicio con peticiones se
puede producir un ataque de rechazo de servicio que llevaría al sistema a
un estado suspendido, mientras este intenta responder a cada petición.
Ataques de vulnerabilidad de scripts — Si un servidor está usando scripts
para ejecutar acciones del lado del servidor, como usualmente hacen los
servidores Web, un pirata puede montar un ataque a los scripts que no
hayan sido escritos de forma apropiada. Estos ataques de vulnerabilidad de
scripts podrían llevar a una condición de desbordamiento de buffer o
permitir al atacante alterar archivos en el sistema.
Ataques de desbordamiento de buffer — Los servicios que se conectan a
puertos del 0 al 1023 deben ser ejecutados como un usuario administrativo.
Si la aplicación tiene un posible desbordamiento de buffer, un atacante
podría ganar acceso al sistema como el usuario ejecutando el demonio.
Debido a que los desbordamientos del buffer existen, los maleantes
informáticos usarán herramientas automatizadas para identificar
vulnerabilidades en los sistemas y una vez que han obtenido acceso,
utilizaran kits automatizados para mantener su acceso al sistema.
4) Backups
Las empresas recopilan grandes bases de datos y archivos de vital
importancia para su funcionamiento y muy pocas veces son conscientes de
los riesgos que supone la mala custodia y protección de sus datos. Uno de
los grandes riesgos es que los backups permanezcan salvaguardados en
un mismo lugar, dando lugar a una posible pérdida total de los datos.
Activos Físicos
Infraestructura
1) Edificio Torre Norte CESGE – Ambiente 5-7
Uno de los grandes riesgos que puede sufrir una edificación son los
movimientos telúricos, ya que estos pueden deteriorar o fragmentar sus
cimientos y llevarlo a un posible derrumbe.
También se pueden presentar diferentes tipos de incendios causados por
agentes externos y personas.
Humedad.
11
2) Cuarto de Telecomunicaciones
Pueden existir riesgos de polvo y electricidad estática, incendios, cortos
circuitos, etc.
3) Sillas y mesas
El gran riesgo que encontramos en estos elementos son ergonómicos, ya
que favorecen las posturas estáticas o provoca posturas forzadas. Cuanto
más estático y sedentario sea un trabajo, tanto más importante es que el
entorno facilite los movimientos y los cambios de postura.
4) Racks
Acceso de personas no autorizadas Humedad Hundimientos en los niveles de carga
Hardware de TI
En los centros de TI el riesgo de incendio es especialmente alto debido a la
alta concentración energética por la cantidad de sistemas eléctricos
instalados.
El riesgo de incendio típico en estas instalaciones son fuegos de
combustión lenta debido a cortocircuitos o defectos técnicos, que
normalmente se detectan una vez se ha producido el daño.
La principal causa de incendios son defectos técnicos de los equipos
eléctricos.
El riesgo de incendio es alto debido a la cantidad de sistemas eléctricos en
funcionamiento y la cantidad de calor disipada por estos.
Existe el riesgo de que gases de combustión y humo tóxico salgan o
alcancen el centro de TI debido a la falta de aislamiento entre los distintos
recintos de las instalaciones.
Los sistemas de protección contra incendios convencionales requieren la
desconexión del suministro eléctrico en caso de incendio.
Daños a la imagen, pérdida de la posición en el mercado.
12
1) Computadores de escritorio y portátiles Suspensión del fluido eléctrico Humedad Falla de disco Duro Bajón de energía Falta de refrigeración Fallas en el software Electromagnetismo Sobre carga eléctrica
2) Servidores Suspensión del fluido eléctrico Acceso de personas no autorizadas Humedad Falla de disco Duro Bajón de energía Falta de refrigeración Incendio Sobrecarga de procesamiento Falla de software Electromagnetismo
3) Routers, Switches y Firewall
Suspensión del fluido eléctrico Acceso de personas no autorizadas Humedad Falta de refrigeración Sobrecarga de procesamiento Electromagnetismo Polvo Daño de memoria
4) Equipos de acceso inalámbrico (Access Point)
Sobrecarga de procesamiento Suspensión del fluido eléctrico Humedad Administración por personas no autorizadas
13
5) Celulares
Estos activos son de carácter y propiedad personal, pero riesgos que puedan
correr estos dispositivos en el Ambiente 5-7:
Administración por personas no autorizadas
Electromagnetismo
6) UPS
Administración por personas no autorizadas
Humedad
Polvo
Electromagnetismo
Fallo de baterías
Falta de ventilación
7) Cableado
Electromagnetismo
Humedad
Intervención de personas no autorizadas
Mal manejo de temperatura
Suspensión del fluido eléctrico
Polvo
Incendio
Controles del entorno de TI
1) Alarma contra incendio
Corte del servicio eléctrico
Falla en el cableado
Activación inapropiada
Falla en los circuitos electrónicos y sensores
2) Medidor de temperatura de cuarto de telecomunicaciones
Batería
Acceso a los sensores
Desviación de información de temperatura
14
3) Aire acondicionado
Corte del servicio eléctrico
Polvo
Incendio
Taponamiento de conducto de ventilación
Apagado de extractores y ventiladores
4) Lámpara
Corte del servicio eléctrico
Falta de protección anti golpes en las bombillas
Caída de voltaje altos
Electromagnetismo
Activos de Servicios de TI
1) Servicios de Electricidad
Acceso a la subestación eléctrica de la infraestructura por personas no
autorizadas.
Inundación
Incendio
Organización y planeación de la red eléctrica
Manejo del polo a tierra
Falla de la planta eléctrica secundaria
Sobrecargas
2) Servicios de red
Daño de la fibra óptica
Sismo
Falta de ventilación
Red cableada expuesta para el acceso no autorizado
Red inalámbrica expuesta al acceso no autorizado
15
Activos Humanos
1) Instructores
Falta de inducción, capacitación y sensibilización sobre riesgos
Utilización de programas no autorizados / software'pirateado'
Infección de sistemas a través de unidades portables sin escaneo
Manejo inadecuado de datos críticos (Ej. no cifrar datos, etc.)
Unidades portables con información delicada sin cifrado
Transmisión no cifrada de datos importantes sin autorización.
Manejo inadecuado de contraseñas (inseguras, no cambiar, compartidas,
BD centralizada)
Compartir contraseñas o permisos a terceros no autorizados
Exposición o extravío de equipo, unidades de almacenamiento, etc.
Falta de definición de perfil, privilegios y restricciones del personal
Falta de actualización de software (proceso y recursos)
2) Aprendices
Falta de inducción, capacitación y sensibilización sobre riesgos
Mal manejo de sistemas y herramientas
Utilización de programas no autorizados / software 'pirateado'
Infección de sistemas a través de unidades portables sin escaneo
Unidades portables con información sin cifrado
Transmisión no cifrada de datos críticos
Manejo inadecuado de contraseñas (inseguras, no cambiar, compartidas,
BD centralizada)
Exposición o extravío de equipo, unidades de almacenamiento, etc
Falta de definición de perfil, privilegios y restricciones del personal
Sobrepasar autoridades
Fallas en permisos de usuarios (acceso a archivos)
Acceso electrónico no autorizado a sistemas externos
Red cableada expuesta para el acceso no autorizado
Red inalámbrica expuesta al acceso no autorizado
Falta de normas y reglas claras (no institucionalizar el estudio de los
riesgos)
Ausencia de documentación
16
3) Externos
Falta de inducción, capacitación y sensibilización sobre riesgos
Infección de sistemas a través de unidades portables sin escaneo
Transmisión no cifrada de datos críticos
Falta de definición de perfil, privilegios y restricciones del personal
Sobrepasar autoridades
Fallas en permisos de usuarios (acceso a archivos)
Acceso electrónico no autorizado a sistemas externos
Red cableada expuesta para el acceso no autorizado
Red inalámbrica expuesta al acceso no autorizado.
En el siguiente diagrama de forma jerárquica se explica y demuestra la relación
directa de los activos en orden, por ejemplo el activo central es el edificio de la
torre norte, porque dentro de este activo se encuentran todos los demás activos.
Pero valorando el índice de importancia los activos más importantes, obviamente
es preservar la vida humana sobre cualquier otro activo físico.
top related