capítulo 2 guía básica endurecimiento
TRANSCRIPT
-
Captulo 2 Gua bsica Endurecimiento
2.1. Principios Generales
2.2. Por qu es esto importante?
2.3. Seguridad Fsica
2.4. Por qu esto es importante
2.5. Qu ms puedo hacer?
2.6. Networking
2.7. IPTables
2.8. IPv6
2.9. SELinux
2.10. Particiones y montaje
2.11. Mantener actualizado el software:
2.12. Servicios
2.13. NTP
La Agencia de Seguridad Nacional de Estados Unidos (NSA) ha elaborado dos guas para el endurecimiento
de una instalacin predeterminada de Red Hat Enterprise Linux 5 Muchos de los consejos proporcionados
en estas guas son tambin vlidas para las instalaciones de Fedora. Esta Gua bsica Endurecimiento
cubrir partes del endurecimiento Consejos de la NSA y explicar por qu implementando estos consejos
son importantes. Este documento no representa la Gua completa NSA endurecimiento.
Al igual que con cualquier cambio a un sistema de estos cambios podran hacer que los resultados no
deseados. Los cambios deben ser evaluados para la adecuacin de su sistema antes de implementar.
2.1. Principios Generales Cifrar todos los datos transmitidos por la red. El cifrado de la informacin de autenticacin (por
ejemplo, contraseas) es particularmente importante.
Minimizar la cantidad de software instalado y en funcionamiento con el fin de minimizar la
vulnerabilidad.
Utilice el software y las herramientas siempre disponibles (por ejemplo, SELinux e iptables) de
seguridad para mejorar.
Ejecute cada servicio de red en un servidor separado siempre que sea posible. Esto minimiza el riesgo
de que un compromiso de un servicio podra conducir a un compromiso de los dems.
Mantener las cuentas de usuario. Crear una poltica de contraseas y hacer cumplir su uso. Eliminar
cuentas de usuario no utilizadas.
Sistema de revisin y registros de la aplicacin de forma rutinaria. Enviar registros a un servidor de
registro dedicado. Esto evita que los intrusos evitar fcilmente la deteccin mediante la modificacin
de los registros locales.
-
Nunca ingrese directamente como root, a menos que sea absolutamente necesario. Los
administradores deben usarsudo para ejecutar comandos como root cuando sea necesario. Las cuentas
capaces de usar sudo se especifican en / etc / sudoers , que se editan con la utilidad visudo. De
forma predeterminada, los registros pertinentes se escriben en / var / log / secure .
2.2. Por qu es esto importante? Los principios generales de la NSA representan una mejor visin general de las prcticas de seguridad. Hay
elementos de la lista anterior que probablemente no sern utilizados por todo el mundo y hay elementos
que faltan que debe subrayarse como una buena prctica. Informacin adicional sobre estas y otras ideas
se explicar a continuacin.
2.3. Seguridad Fsica La seguridad fsica del sistema es de suma importancia. Muchas de las sugerencias dadas aqu no proteger
el sistema si el atacante tiene acceso fsico al sistema.
Importante
Esta seccin contiene informacin sobre GRUB y no la versin actual de GRUB (tambin conocido como
GRUB2). Fedora 16 no utiliza GRUB Legado tantos de los siguientes comandos no funcionar en Fedora 16
o versiones posteriores.
Configure el BIOS para desactivar el arranque desde CD / DVD, disquetes y dispositivos externos, y
establecer una contrasea para proteger la configuracin. A continuacin, establezca una contrasea para
el gestor de arranque GRUB. Generar un hash de la contrasea mediante el comando '' / sbin / grub-md5-
crypt ''. Aadir el hash de la primera lnea de '' /etc/grub.conf '' usando '' password --md5 '' '' '' ''
passwordhash. Esto evita que los usuarios entrar en el modo de un solo usuario o cambiar la configuracin
en el arranque.
2.4. Por qu esto es importante Un atacante podra lograr el control completo de su sistema arranque desde una fuente
externa. Arrancando desde una fuente externa (por ejemplo, un Linux Live CD) muchos de los valores de
seguridad se omiten. Si el atacante puede modificar la configuracin de GRUB pueden arrancar en modo
de usuario nico que permite el acceso de administrador en el sistema.
2.5. Qu ms puedo hacer? Desde Fedora 9, cifrado LUKS ha soportado de forma nativa para proteger los datos almacenados en una
particin cifrada LUKS. Al instalar Fedora 9, marque la casilla para cifrar el sistema de archivos cuando
se configura el sistema de archivos. Al cifrar la particin raz y su / home particin (o la particin en /
si acepta el sistema de archivos por defecto) atacantes usando una fuente externa o el arranque en modo
monousuario. Por supuesto se utiliza una frase de contrasea segura para proteger sus datos.
2.6. Networking Conexin de red del ordenador es la puerta de entrada al sistema. Sus archivos y tiempo de procesador
podra estar a disposicin de cualquier persona que se conecte correctamente a su sistema a travs de
esta conexin de red si no se han aplicado otras medidas de seguridad. Una de las principales formas para
mantenerse en control de su sistema es evitar que los atacantes tengan acceso a su sistema en el primer
lugar.
2.6.1. iptables
iptables es el software ms utilizado de cortafuegos en los sistemas Linux en la actualidad. Este programa
intercepta los paquetes que llegan a su ordenador a travs de la conexin de red y los filtra de acuerdo
con las reglas que se han especificado. Informacin adicional se puede encontrar en la Seccin 3.9,
"IPTables" .
-
2.6.2. IPv6 IPv6 es el ltimo protocolo de Internet que tiene como objetivo resolver la cantidad de direcciones dficit
inherente a IPv4. Y si bien no hay riesgos de seguridad asociados directamente con el nuevo protocolo que
hay un par de cosas para entender antes de la utilizacin de esta nueva tecnologa.
La mayora de los administradores de sistemas estn familiarizados con IPv4 y las soluciones temporales
que se pusieron en marcha para hacer el trabajo de IPv4. Una de estas soluciones temporales es la
traduccin de direcciones de red o NAT . NAT se utiliza tradicionalmente para mantener el nmero de
direcciones IP pblicas necesarias al mnimo cuando se crea una red de rea local. Sistemas en estas redes
no todos requieren direcciones IP pblicas y valioso espacio de direcciones puede ser salvado por la
implementacin de esta tecnologa. Hay algunas caractersticas de seguridad que eran efectos secundarios
a la NAT; el mayor bienestar que el trfico exterior no puede hacer ms dentro de la red a menos que un
puerto se enva a travs del enrutador. Debido a IPv6 resuelve el problema de direccionamiento ya no hay
necesidad de utilizar NAT. Todo puede tener una direccin IP pblica y, por extensin, todo lo que no es
enrutable pblicamente a travs de Internet cuando se hacen conexiones fsicas y lgicas.
Otra cosa es preocuparse por cmo trata de software de seguridad con este nuevo protocolo. iptables no
conocen o no entienden IPv6 y por lo que hace caso omiso de esos paquetes por completo. Eso significa
que si la red est utilizando IPv6 y que no haya activado ip6tables entonces usted tiene justo a la izquierda
de la puerta de tu sistema abierto al mundo.
El uso de IPv6 no es peligroso siempre y cuando usted sepa y entienda los cambios que el software de su
sistema fue a travs de hacer posible el uso de este nuevo protocolo de red.
2.7. Mantener actualizado el software: Software consigue todos los das parcheado. Algunas de estas actualizaciones soluciona los problemas de
seguridad que fueron identificados por los desarrolladores. Cuando estos parches estn disponibles, es
importante que se apliquen a su sistema tan pronto como sea posible. Una de las maneras ms fciles de
administrar actualizaciones para su sistema est utilizando Yum . Un plugin especial est disponible para
permitir que slo las actualizaciones de seguridad que se instalan sin tener en cuenta correcciones de
errores y mejoras. Este plugin se explica mejor en laSeccin 8.1, "Complemento de Yum" .
2.8. Servicios Servicios en Linux son programas que se ejecutan como daemons en segundo plano. Es importante para
auditar estos programas regularmente para determinar si tienen que estar en ejecucin. Muchos demonios
abren puertos de red con el fin de escuchar las llamadas. Tener los puertos innecesarios abierto puede
daar la seguridad global del sistema. Un fallo de seguridad desconocido en una pieza de software puede
permitir que un hacker en un sistema sin una buena razn.
2.9. NTP Network Time Protocol, o NTP , mantiene el tiempo en sus sistemas precisos. El tiempo es una pieza muy
importante del rompecabezas de la seguridad y se debe mantener la mayor precisin posible. El tiempo
se utiliza en los archivos de registro, marcas de tiempo, y en el cifrado. Si alguien es capaz de controlar
los ajustes de tiempo en uno de sus sistemas de entonces son capaces de hacer la recreacin de un robo
que mucho ms difcil.
Captulo 3 Proteccin de la red
3.1. Estacin de trabajo de seguridad
3.1.1. La evaluacin de la estacin de trabajo de seguridad
-
3.1.2. BIOS y del gestor de arranque
3.1.3. Seguridad de contrasea
3.1.4. Controles administrativos
3.1.5. Servicios de red disponibles
3.1.6. Cortafuegos personales
3.1.7. Seguridad Herramientas de mejoramiento
3.2. Server Security
3.2.1. Asegurando los servicios con TCP Wrappers y xinetd
3.2.2. Asegurar portmap
3.2.3. Asegurar NIS
3.2.4. Asegurar NFS
3.2.5. Protegiendo el servidor Apache HTTP
3.2.6. Asegurando FTP
3.2.7. Asegurando Sendmail
3.2.8. Verificar cules puertos estn escuchando
3.3. Single Sign-On (SSO)
3.3.1. Introduccin
3.3.2. Iniciando con su nueva tarjeta inteligente
3.3.3. Cmo funciona la inscripcin de tarjetas inteligentes
3.3.4. Cmo funciona el ingreso con tarjeta inteligente
3.3.5. Configuracin de Firefox para utilizar Kerberos con SSO
3.4. Mltiples factores de autenticacin Soluciones
3.4.1. Yubikey
3.5. Pluggable Authentication Modules (PAM)
3.5.1. Las ventajas de PAM
3.5.2. Archivos de configuracin PAM
3.5.3. Configuracin PAM Formato de Archivo
3.5.4. Muestras de archivos de configuracin PAM
-
3.5.5. Creacin de mdulos PAM
3.5.6. PAM y el cach de credenciales administrativas
3.5.7. PAM y propiedad del dispositivo
3.5.8. Recursos adicionales
3.6. Envolturas TCP y xinetd
3.6.1. TCP Wrappers
3.6.2. TCP Archivos de configuracin de Wrappers
3.6.3. xinetd
3.6.4. Archivos de configuracin de xinetd
3.6.5. Recursos adicionales
3.7. Kerberos
3.7.1. Qu es Kerberos?
3.7.2. Terminologa Kerberos
3.7.3. Cmo funciona Kerberos
3.7.4. Kerberos y PAM
3.7.5. Configuracin de un servidor Kerberos 5
3.7.6. Configuracin de un cliente Kerberos 5
3.7.7. -Domain-Realm Mapping
3.7.8. Configuracin de KDC secundarias
3.7.9. Configuracin de la autenticacin de Cross Realm
3.7.10. Recursos adicionales
3.8. El uso de servidores de seguridad
3.8.1. Introduccin a firewalld
3.8.2. Entendimiento firewalld
3.8.3. Comparacin de Firewalld a system-config-firewall y iptables
3.8.4. Descripcin de las zonas de red
3.8.5. Eleccin de una zona de red
3.8.6. Descripcin de los servicios predefinidos
-
3.8.7. Descripcin de la interfaz directa
3.8.8. Compruebe si se ha instalado firewalld
3.8.9. Desactivacin firewalld
3.8.10. Iniciar firewalld
3.8.11. Compruebe si firewalld est ejecutando
3.8.12. Instalacin firewalld
3.8.13. Configuracin del Firewall
3.8.14. Recursos adicionales
3.1. Estacin de trabajo de seguridad Asegurar un entorno Linux comienza con la estacin de trabajo. Sea que est bloqueando una mquina
personal o asegurando un sistema corporativo, la poltica de seguridad comienza con la computadora
individual. Una red de ordenadores es tan segura como su nodo ms dbil.
3.1.1. La evaluacin de la estacin de trabajo de seguridad
Al evaluar la seguridad de una estacin de trabajo Fedora, considere lo siguiente:
o BIOS y del gestor de arranque - Puede un usuario no autorizado acceder fsicamente a la mquina
y arrancar como usuario nico o modo de rescate sin una contrasea?
o Seguridad de la contrasea - Qu tan seguras son las contraseas de la cuenta de usuario en la
mquina?
o Controles administrativos - Quin tiene una cuenta en el sistema y cunto control administrativo
tienen?
o Servicios de red disponibles - Qu servicios estn escuchando peticiones desde la red y en caso
de que se ejecuten en absoluto?
o Cortafuegos personales - Qu tipo de servidor de seguridad, en su caso, es necesario?
o Seguridad Herramientas de mejoramiento - Qu herramientas se deben utilizar para la
comunicacin entre estaciones de trabajo y que se deben evitar?
3.1.2. BIOS y del gestor de arranque
Proteccin por contrasea para el BIOS (BIOS o equivalente) y el gestor de arranque puede evitar que los
usuarios no autorizados que tienen acceso fsico a los sistemas, arranquen desde medios removibles u
obtener privilegios de root a travs del modo de usuario nico. Las medidas de seguridad que debe tomar
para protegerse contra tales ataques dependen de la sensibilidad de la informacin en la estacin de
trabajo y la ubicacin de la mquina.
Por ejemplo, si se usa una mquina en un lugar seguro donde la gente de confianza slo tienen acceso y
el ordenador no contiene informacin sensible, entonces puede no ser crtica para prevenir este tipo de
ataques. Sin embargo, si el porttil de un empleado con llaves SSH sin cifrar privadas para la red
corporativa se deja sin atencin en una feria comercial, que podra dar lugar a una importante brecha de
seguridad con consecuencias para toda la compaa.
-
3.1.2.1. Contraseas del BIOS
Las dos razones principales para la proteccin de contrasea de la BIOS de una computadora son [11]:
1. La prevencin de los cambios de configuracin del BIOS - Si un intruso tiene acceso al BIOS, puede
configurarlo para que arranque desde un disquete o CD-ROM. Esto hace que sea posible para que
puedan entrar en modo de rescate o en modo de usuario nico, que a su vez les permite iniciar
procesos arbitrarios en el sistema o copiar datos confidenciales.
2. Prevenir el arranque del sistema - Algunas BIOS permiten proteccin mediante contrasea del
proceso de arranque. Cuando se activa, el atacante se ve obligado a introducir una contrasea
antes de que el BIOS lanza el gestor de arranque.
Debido a que los mtodos para establecer una contrasea de BIOS varan entre los fabricantes de
ordenadores, consulte el manual del equipo para obtener instrucciones especficas.
Si olvida la contrasea de BIOS, puede reconfigurar bien sea con puentes en la tarjeta madre o
desconectando la batera CMOS. Por esta razn, es una buena prctica para bloquear la caja de la
computadora, si es posible. Sin embargo, consulte el manual de la computadora o la placa base antes de
intentar desconectar la batera CMOS.
3.1.2.1.1. Fijacin de plataformas diferentes a x86
Otras arquitecturas usan programas diferentes para ejecutar tareas a bajo nivel equivalentes a aquellas
de la BIOS en sistemas x86. Por ejemplo, Intel Itanium utilizan ordenadores el Extensible Firmware
Interface ( EFI shell).
Para obtener instrucciones sobre la proteccin de los programas de BIOS como en otras arquitecturas
contrasea, consulte las instrucciones del fabricante.
3.1.2.2. Las contraseas del gestor de arranque
Las principales razones para proteger el gestor de arranque de Linux son los siguientes:
1. Previene el acceso en modo monousuario - Si un atacante puede arrancar el sistema en modo de
usuario nico, que se registran automticamente, ya que la raz sin que se le pida la contrasea
de root.
2. Evitar el acceso a la consola de GRUB - Si la mquina utiliza GRUB como su gestor de arranque,
un atacante puede utilizar la interfaz del editor para cambiar su configuracin o para reunir
informacin utilizando el gatode comandos.
3. Evitar el acceso a sistemas operativos inseguros - Si se trata de un sistema de arranque dual, un
atacante puede seleccionar un sistema operativo durante el arranque (por ejemplo, DOS), que
hace caso omiso de los controles de acceso y permisos de archivo.
Fedora viene con el cargador de arranque GRUB en la plataforma x86. Para una visin detallada de GRUB,
consulte la Gua de instalacin de Fedora.
3.1.2.2.1. Proteccin mediante contrasea de GRUB
Puede configurar GRUB para solucionar los primeros dos temas que figuran en la Seccin 3.1.2.2,
"Contraseas del gestor de arranque" aadiendo una directiva de contrasea a su archivo de configuracin.
La prxima vez que se inicie el sistema, el men de GRUB impide el acceso al editor o interfaz de
comandos sin presionar primero p seguido de la contrasea GRUB.
-
3.1.3. Seguridad de contrasea
Las contraseas son el mtodo primario que Fedora utiliza para verificar la identidad de un usuario. Esta
es la razn por la seguridad de contraseas es tan importante para la proteccin del usuario, la estacin
de trabajo, y la red.
Por razones de seguridad, el programa de instalacin configura el sistema para utilizar Message-Digest
Algorithm ( MD5contraseas) y la sombra. Es muy recomendable que no modifique estos ajustes.
Si las contraseas MD5 se desactivan durante la instalacin, el ms viejo Data Encryption Standard ( DES se
utiliza el formato). Este formato limita las contraseas de ocho caracteres alfanumricos (no permite
puntuacion y otros caracteres especiales), y proporciona un nivel de 56 bits de encriptacin modesto.
Si las contraseas ocultas se desactivan durante la instalacin, todas las contraseas son almacenadas
como un hash de un solo sentido en la lectura de todos / etc / passwd archivo, lo que hace que el
sistema sea vulnerable a los ataques de contrasea offline agrietamiento. Si un intruso puede obtener
acceso a la mquina como un usuario normal, puede copiar el archivo / etc / passwd archivo a
su propia mquina y ejecutar cualquier nmero de programas de descifrado de contraseas en su contra. Si
hay una contrasea insegura en el archivo, es slo una cuestin de tiempo antes de que el atacante la
encuentre.
Las contraseas shadow eliminan este tipo de ataque mediante el almacenamiento de los hashes de
contraseas en el archivo / etc / shadow , que slo es accesible por el usuario root.
Esto obliga a un atacante potencial a intentar descubrir la contrasea remotamente mediante la conexin
a un servicio de red en la mquina, tales como SSH o FTP. Este tipo de ataque de fuerza bruta es mucho
ms lento y dejan rastros obvios, pues los intentos fallidos de registro a los archivos del sistema. Por
supuesto, si el atacante inicia un ataque en el medio de la noche en un sistema con contraseas dbiles,
el cracker puede obtener acceso antes del amanecer y editar los archivos de registro para cubrir sus
huellas.
Adems de dar formato y almacenamiento, est la cuestin del contenido. La cosa ms importante que
un usuario puede hacer para proteger su cuenta contra un ataque de descifrado de contraseas es crear
una contrasea segura.
3.1.3.1. Crear contraseas seguras
Al crear una contrasea segura, es una buena idea seguir las siguientes pautas:
o No utilice solo letras o nmeros - Usar slo letras o nmeros no hace que una contrasea
compleja.
Algunos ejemplos inseguros incluyen los siguientes:
o 8675309
o juan
o hackme
o No utilice palabras reconocibles - Palabras tales como nombres propios, palabras del diccionario
o hasta trminos de shows de televisin o novelas deberan ser evitados, aunque estn bookended
con nmeros.
Algunos ejemplos inseguros incluyen los siguientes:
-
o john1
o DS-9
o mentat123
o No utilice palabras en lenguas extranjeras - programas de descifrado de contraseas a menudo
verifican contra listas de palabras que abarcan diccionarios de muchos idiomas. Basndose en
lenguas extranjeras para contraseas seguras no es seguro.
Algunos ejemplos inseguros incluyen los siguientes:
o cheguevara
o bienvenido1
o 1dumbKopf
o No utilice terminologa de hackers - Si usted piensa que son una lite porque utiliza terminologa
de hackers - tambin llamado l337 (LEET) habla - en su contrasea, piense de nuevo. Muchas
listas de palabras incluyen hablar LEET.
Algunos ejemplos inseguros incluyen los siguientes:
o H4X0R
o 1337
o No utilice informacin personal - Evite el uso de cualquier informacin personal en sus
contraseas. Si el atacante conoce su identidad, la tarea de deducir su contrasea ser ms
fcil. La siguiente es una lista de los tipos de informacin para evitar la hora de crear una
contrasea:
Algunos ejemplos inseguros incluyen los siguientes:
o Su nombre
o Los nombres de las mascotas
o Los nombres de los miembros de la familia
o Cualquier fecha de nacimiento o aniversario
o Su nmero de telfono o zip cdigo
o No invierta palabras reconocibles - Los buenos verificadores de contraseas siempre invierten
palabras comunes, por lo que invertir una mala contrasea no la hace ms segura.
Algunos ejemplos inseguros incluyen los siguientes:
o R0X4H
o nauj
o 9-DS
o No escriba su contrasea - Nunca guarde su contrasea en papel. Es mucho ms seguro
memorizarla.
o No utilice la misma contrasea para todas las mquinas - Es importante hacer contraseas
distintas para cada mquina. De esta manera si un sistema est comprometido, todas sus
mquinas no estarn en peligro inmediato.
-
La siguiente gua le ayudar a crear una contrasea segura:
o Cree contraseas de al menos doce caracteres de largo - Cuanto ms larga sea la contrasea,
mejor. Si el uso de contraseas MD5, debera ser de 15 caracteres o ms.
o Mezcle maysculas y minsculas Cartas - Fedora utiliza contraseas maysculas y minsculas,
por lo que mezclar los casos para mejorar la fortaleza de la contrasea.
o Mezcle letras y nmeros - Agregando nmeros a las contraseas, especialmente cuando se aaden
en el medio (no slo al principio o al final), puede mejorar la seguridad de la contrasea.
o Incluya alfanumricos no Personajes - Los caracteres especiales tales como &, $, y> pueden
mejorar en gran medida la fortaleza de una contrasea (esto no es posible si se utiliza
contraseas DES).
o Elija una contrasea que pueda recordar - La mejor contrasea del mundo no sirve de mucho si
no la recuerda;utilizar acrnimos u otros dispositivos mnemotcnicos para ayudar a memorizar
las contraseas.
o Utilice un generador de contraseas - El uso de un generador de contraseas al azar, junto con
el software de almacenamiento de contraseas seguras, puede hacer que sea muy difcil para un
atacante para descubrir su contrasea.
Con todas estas reglas, puede parecer difcil crear una contrasea que cumpla con todos los criterios de
buenas contraseas, evitando los rasgos de una mala. Afortunadamente, hay algunos pasos que puede
tomar para generar una contrasea segura y fcil de recordar.
3.1.3.1.1. Creacin de contraseas seguras Metodologa
Hay muchos mtodos que la gente utiliza para crear contraseas seguras. Uno de los mtodos ms
populares incluyen acrnimos. Por ejemplo:
o Piense en una frase fcil de recordar, como por ejemplo:
"Sobre el ro y por el bosque, a la casa de la abuela vamos."
o A continuacin, convertirlo en un acrnimo (incluyendo la puntuacion).
otrattw, tghwg.
o Aadir complejidad sustituyendo nmeros y smbolos por letras en el acrnimo. Por ejemplo,
sustituya 7 por t y el smbolo de arroba ( @ ) para un :
o7r @ 77w, 7ghwg.
o Aadir ms de complejidad colocando mayscula al menos una letra, tal como H .
o7r @ 77w, 7ghwg.
o Por ltimo, no utilice esta contrasea de ejemplo para cualquier sistema, siempre .
Si bien la creacin de contraseas seguras es imperativo, manejarlas adecuadamente es tambin
importante, especialmente para los administradores de sistemas dentro de grandes organizaciones. La
siguiente seccin detalla las buenas prcticas para crear y administrar las contraseas de los usuarios
dentro de una organizacin.
3.1.3.2. Creacin de cuentas de usuario dentro de una organizacin
Si una organizacin tiene un gran nmero de usuarios, los administradores de sistemas tienen dos opciones
bsicas disponibles para forzar el uso de buenas contraseas. Pueden crear contraseas para el usuario,
-
o pueden dejar que los usuarios creen sus propias contraseas, mientras que la verificacin de las
contraseas sean de calidad aceptable.
La creacin de las contraseas de los usuarios asegura que las contraseas sean buenas, pero se convierte
en una tarea de enormes proporciones cuando la organizacin crece. Tambin aumenta el riesgo de los
usuarios a escribir sus contraseas.
Por estas razones, la mayora de los administradores de sistemas prefieren dejar que los usuarios creen
sus propias contraseas, pero verificar activamente que las contraseas sean buenas y, en algunos casos,
obligan a los usuarios a cambiar sus contraseas peridicamente hacindolas caducar.
3.1.3.2.1. Forzar contraseas seguras
Para proteger la red de intrusos es una buena idea para los administradores del sistema para verificar que
las contraseas utilizadas dentro de una organizacin son los fuertes. Cuando se pregunta a los usuarios
crear o cambiar las contraseas, que pueden utilizar la aplicacin de lnea de comandos passwd , que
es conectable Authentication Manager ( PAM ) consciente y por lo tanto comprueba si la contrasea es
demasiado corta o de otra manera fcil de descifrar. Esta comprobacin se realiza mediante
el pam_cracklib.so mdulo PAM. Desde PAM es personalizable, es posible aadir ms fichas de
integridad contrasea, como pam_passwdqc (disponibles enhttp://www.openwall.com/passwdqc/ ) o
escribir un nuevo mdulo. Para obtener una lista de los mdulos PAM disponibles,
consulte http://www.kernel.org/pub/linux/libs/pam/modules.html . Para obtener ms informacin
sobre PAM, consulte la Seccin 3.5, "Mdulos de autenticacin conectables (PAM)" .
La comprobacin de la contrasea que se realiza en el momento de su creacin, no descubren las malas
contraseas tan eficazmente como la ejecucin de un programa de descifrado de contraseas contra las
contraseas.
Muchos programas de descifrado de contraseas estn disponibles que se ejecutan bajo Fedora, aunque
ninguno es suministrado con el sistema operativo. A continuacin se muestra una breve lista de algunos
de los programas de descifrado de contraseas ms populares:
o John The Ripper - Un programa de descifrado de contraseas rpido y flexible. Permite el uso
de mltiples listas de palabras y es capaz de craqueo de fuerza bruta contrasea. Est disponible
en lnea enhttp://www.openwall.com/john/ .
o Grieta - Tal vez la contrasea ms conocido craqueo software, crack tambin es muy rpido,
aunque no tan fcil de usar como John The Ripper . Se puede encontrar en lnea
enhttp://www.crypticide.com/alecm/security/crack/c50-faq.html .
o Slurpie - Slurpie es similar a John The Ripper y crack , pero est diseado para ejecutarse en
varios ordenadores al mismo tiempo, creando un ataque de contraseas distribuido. Se puede
encontrar junto con un nmero de otras herramientas de evaluacin de la seguridad en lnea en
ataque distribuidohttp://www.ussrback.com/distributed.htm .
Advertencia
Siempre obtenga autorizacin por escrito antes de intentar descifrar las contraseas dentro de una
organizacin.
-
3.1.3.2.2. Las palabras de paso
Las palabras de paso y las contraseas son la piedra angular de la seguridad en la mayora de los sistemas
actuales.Desafortunadamente, las tcnicas como la biometra y la autenticacin de dos factores an no
se han convertido en la corriente principal en muchos sistemas. Si las contraseas se van a utilizar para
asegurar un sistema, entonces se debe considerar el uso de frases de paso. Las palabras de paso son ms
largas que las contraseas y proporcionar una mejor proteccin que una contrasea, incluso cuando se
implementa con caracteres no estndar, tales como nmeros y smbolos.
3.1.3.2.3. Contrasea Envejecimiento
Contrasea envejecimiento es otra tcnica utilizada por los administradores de sistemas para defenderse
de las malas contraseas dentro de una organizacin. Contrasea envejecimiento significa que despus
de un perodo determinado (generalmente de 90 das), se pide al usuario para crear una nueva
contrasea. La teora detrs de esto es que si un usuario se ve obligado a cambiar peridicamente su
contrasea, una contrasea agrietada slo es til para un intruso para una cantidad limitada de tiempo. La
desventaja de la caducidad de contraseas, sin embargo, es que los usuarios son ms propensos a escribir
sus contraseas.
Hay dos programas principales usados para especificar la caducidad de contraseas bajo Fedora:
el chage de comandos o la grfica Administrador de usuarios ( system-config-usuarios de la
aplicacin).
El -M opcin del chage comando especifica el nmero mximo de das que la contrasea es vlida. Por
ejemplo, para establecer una contrasea de usuario expira en 90 das, use el siguiente comando:
chage-M 90
En el comando anterior, sustituya con el nombre del usuario. Para desactivar
la caducidad de la contrasea, es tradicional usar un valor de 99.999 despus de la -M opcin (esto
equivale a un poco ms de 273 aos).
Tambin puede utilizar el chage de comandos en modo interactivo para modificar varios de caducidad
de contraseas y detalles de la cuenta. Utilice el siguiente comando para entrar en modo interactivo:
chage
La siguiente es una sesin interactiva muestra usando este comando:
[Root @ miServidor ~] # davido chage
Cambio de la informacin de envejecimiento para davido
Introduzca el nuevo valor, o presione ENTER para el predeterminado
Contrasea edad mnima [0]: 10
Mxima de la contrasea [99999]: 90
ltimo cambio de contrasea (AAAA-MM-DD) [2006-08-18]:
Advertencia de caducidad de contrasea [7]:
Contrasea inactiva [-1]:
Cuenta Fecha de Vencimiento (AAAA-MM-DD) [1969-12-31]:
-
[Root @ miServidor ~] #
Consulte la pgina del manual de chage para obtener ms informacin sobre las opciones disponibles.
Tambin puede utilizar la grfica Administrador de usuarios de aplicaciones para crear polticas de
envejecimiento de contraseas, como sigue. Nota: necesita privilegios de administrador para realizar este
procedimiento.
1. Haga clic en el sistema de men en el panel, seleccione Administracin y haga clic en Usuarios
y Grupos para mostrar el Administrador de usuarios. Tambin puede escribir el
comando system-config-users en el intrprete de comandos.
2. Haga clic en el usuario ficha y seleccione el usuario requerido en la lista de usuarios.
3. Haga clic en Propiedades en la barra de herramientas para mostrar el cuadro de dilogo
Propiedades del Usuario (o elija Propiedades en el archivo de men).
4. Haga clic en la Informacin Contrasea pestaa y seleccione la casilla de
verificacinHabilitar caducidad de la contrasea .
5. Introduzca el valor requerido en los Das requeridos antes de cambiar de campo y haga
clic en Aceptar.
Figura 3.1. Especificacin de las opciones de edad de contrasea
-
3.1.4. Controles administrativos
Cuando se administra una mquina de casa, el usuario debe realizar algunas tareas como usuario root o
adquiriendo privilegios de root a travs del setuid programa, como sudo o do . Un programa setuid es
aquel que opera con el ID de usuario ( UID ) del propietario del programa en lugar de al usuario operar el
programa. Tales programas se denotan por una s en la seccin dueo de una lista larga de formato, como
en el siguiente ejemplo:
-rwsr-xr-x 1 root root 47324 01 de mayo 08:09 / bin / su
Nota
La s puede estar en maysculas o minsculas. Si aparece en maysculas, significa que el bit de permiso
subyacente no se ha establecido.
Para los administradores de sistemas de una organizacin, sin embargo, hay que elegir en cuanto a cunto
usuarios de acceso administrativas dentro de la organizacin deben tener a su mquina. A travs de un
mdulo PAM llamado pam_console.so , algunas actividades normalmente reservadas para el usuario
root, como reinicio o el montaje de medios extrables son permitidas para el primer usuario que inicia la
sesin en la consola fsica (consulte la Seccin 3.5, "Mdulos de autenticacin conectables ( PAM) " para
obtener ms informacin acerca de la pam_console.somdulo.) Sin embargo, otras tareas de
administracin del sistema importantes, como la alteracin de la configuracin de red, la configuracin
de un nuevo ratn o montar dispositivos de red, no son posibles sin privilegios administrativos. Como
resultado, los administradores de sistemas deben decidir cunto acceso los usuarios en su red deben
recibir.
3.1.4.1. Permitir el acceso como root
Si los usuarios dentro de una organizacin son de confianza y conocimientos informticos, a continuacin,
darles acceso root no puede ser un problema. Permitir el acceso root a los usuarios significa que
actividades menores, como aadir dispositivos o configurar interfaces de red, pueden ser manejados por
los usuarios individuales, dejando a los administradores de sistemas libres para manejar la seguridad de
la red y otros temas importantes.
Por otro lado, dar acceso root a usuarios individuales puede conducir a las siguientes cuestiones:
o Mala configuracin de la mquina - Los usuarios con acceso root pueden desconfigurar sus
mquinas y necesitar asistencia para resolver los problemas. Peor an, podran abrir agujeros de
seguridad sin saberlo.
o Ejecutar servicios inseguros - Los usuarios con acceso root podran ejecutar servidores inseguros
en sus mquinas, tales como FTP o Telnet, colocando potencialmente los nombres de usuario y
contraseas en riesgo. Estos servicios transmiten la informacin por la red en texto plano.
o Ejecutar anexos de correo electrnico como root - Aunque existen virus raros, que afectan
Linux. La nica vez que son una amenaza, sin embargo, es cuando son ejecutados por el usuario
root.
3.1.4.2. Desactivacin del acceso root
Si un administrador no est cmodo permitiendo que los usuarios inicien sesin como root para estas u
otras razones, la contrasea de root debera mantenerse en secreto, y el acceso al nivel de ejecucin uno
-
o monousuario debe rechazado a travs de la proteccin de contrasea de arranque del cargador (consulte
la Seccin 3.1.2.2 , "Boot Loader contraseas" para obtener ms informacin sobre este tema.)
Tabla 3.1, "Mtodos para deshabilitar la cuenta root" describe las formas que un administrador puede
asegurar an ms que la raz de los inicios de sesin no estn permitidos:
Tabla 3.1. Los mtodos para deshabilitar la cuenta root
Mtodo Descripcin Efectos No afecta
Cambiar el
shell de root.
Edite el archivo / etc /
passwd archivo y cambie el shell de /
bin / bash a / sbin / nologin .
Impide el acceso a la shell de
root y registra dichos
intentos.
Los programas siguientes se
les impide el acceso a la
cuenta root:
Entrar
gdm
kdm
xdm
do
ssh
scp
sftp
Los programas que no
requieren un shell, tales como
clientes FTP, clientes de
correo, y muchos programas
de setuid.
Los siguientes programas
son noimpide el acceso a la
cuenta root:
sudo
Clientes FTP
Clientes de correo
electrnico
Deshabilitar
el acceso root
a travs de
cualquier
dispositivo de
consola (tty).
Un vaco / etc / securettyarchivo
impide el ingreso de root en cualquier
dispositivo conectado a la
computadora.
Impide el acceso a la cuenta
root a travs de la consola o la
red. Los programas siguientes
se les impide el acceso a la
cuenta root:
Entrar
Los programas que no inician
sesin como root, pero
realizan tareas
administrativas a travs de
setuid u otros mecanismos.
-
Mtodo Descripcin Efectos No afecta
gdm
kdm
xdm
Otros servicios de red que se
pueden abrir una tty
Los siguientes programas
son noimpide el acceso a la
cuenta root:
do
sudo
ssh
scp
sftp
Desactivacin
de
conexiones
SSH raz.
Editar el / etc / ssh /
sshd_config archivo y establecer
el PermitRootLogin parmetro
ano .
Previene el acceso root a
travs del conjunto de
herramientas OpenSSH. Los
programas siguientes se les
impide el acceso a la cuenta
root:
ssh
scp
sftp
Esto slo previene el acceso
root en el conjunto de
herramientas OpenSSH.
Use PAM
para limitar el
acceso root a
los servicios.
Edite el archivo para el servicio de
destino en
el /etc/pam.d/directorio. Asegrese
de que elpam_listfile.so se
requiere para la autenticacin.[a]
Previene el acceso root a los
servicios de red que son PAM.
Los siguientes servicios se les
impide el acceso a la cuenta
root:
Clientes FTP
Los programas y servicios que
no estn PAM.
-
Mtodo Descripcin Efectos No afecta
Clientes de correo
electrnico
Entrar
gdm
kdm
xdm
ssh
scp
sftp
Cualquier PAM servicios
conscientes
[A]Consulte la Seccin 3.1.4.2.4, "Deshabilitar root utilizando PAM" para ms detalles.
3.1.4.2.1. Desactivacin de la Shell Root
Para evitar que los usuarios inicien sesin en directamente como root, el administrador del sistema puede
configurar shell de la cuenta root a / sbin / nologin en el / etc / passwd archivo. Esto
impide el acceso a la cuenta root a travs de comandos que requieren un shell, tales como la do los
y ssh comandos.
Importante
Los programas que no requieren acceso al shell, tales como clientes de correo electrnico o
el sudocomando, an pueden acceder a la cuenta root.
3.1.4.2.2. Deshabilitar las conexiones root
Para limitar an ms el acceso a la cuenta root, los administradores pueden deshabilitar las conexiones
de root en la consola mediante la edicin del archivo / etc / securetty archivo. Este archivo
lista todos los dispositivos a los que el usuario root puede conectarse. Si el archivo no existe en absoluto,
el usuario root puede conectarse a travs de cualquier dispositivo de comunicacin en el sistema, ya sea
a travs de la consola o una interfaz de red en bruto.Esto es peligroso, ya que un usuario puede iniciar
sesin en su mquina como root a travs de Telnet, que transmite la contrasea en texto plano por la
-
red. Por defecto, Fedora de / etc / securetty archivo slo permite que el usuario root para iniciar
sesin en la consola conectada fsicamente a la mquina. Para evitar root conectarse, eliminar el
contenido de este archivo escribiendo el siguiente comando:
echo> / etc / securetty
Advertencia
Un espacio en blanco / etc / securetty archivo no no impide que el usuario root de conectarse en
forma remota con el conjunto de herramientas OpenSSH ya que la consola no se abre hasta despus de la
autenticacin.
3.1.4.2.3. Deshabilitar las conexiones SSH Root
Los inicios de sesin de root mediante el protocolo SSH estn deshabilitados por defecto en Fedora; Sin
embargo, si esta opcin se ha activado, se puede desactivar de nuevo editando el archivo de configuracin
del demonio SSH ( / etc / ssh / sshd_config ). Cambie la lnea que dice:
PermitRootLogin s
para que lea como sigue:
PermitRootLogin no
Para que estos cambios tengan efecto, el demonio SSH debe ser reiniciado. Esto se puede hacer mediante
el siguiente comando:
matar -HUP `cat / var / run / sshd.pid`
3.1.4.2.4. Deshabilitar root utilizando PAM
PAM, a travs de la /lib/security/pam_listfile.so mdulo, permite una gran flexibilidad en
negar cuentas especficas. El administrador puede utilizar este mdulo para hacer referencia a una lista
de usuarios que no tienen permiso para conectarse. A continuacin se muestra un ejemplo de cmo se
utiliza el mdulo de la vsftpd servidor FTP en el /etc/pam.d/vsftpd archivo de configuracin PAM
(el \ carcter al final de la primera lnea en el siguiente ejemplo es no necesario si la directiva est en
una lnea):
auth required /lib/security/pam_listfile.so item = user \
= sentido negarle file = / etc / vsftpd.ftpusers onerr = xito
Esto indica a PAM que consulte el /etc/vsftpd.ftpusers archivo y denegar el acceso al servicio
para cualquier usuario de la lista. El administrador puede cambiar el nombre de este archivo, y puede
mantener listas separadas para cada servicio o usar una lista central para negar el acceso a mltiples
servicios.
Si el administrador desea negar el acceso a mltiples servicios, una lnea similar se puede agregar a los
archivos de configuracin de PAM, como /etc/pam.d/pop y /etc/pam.d/imap para clientes de
correo, o / etc / pam.d / ssh para los clientes SSH.
-
Para obtener ms informacin sobre PAM, consulte la Seccin 3.5, "Mdulos de autenticacin conectables
(PAM)" .
3.1.4.3. Limitar el acceso Root
En vez de negar completamente el acceso al usuario root, el administrador puede desear permitir el
acceso slo a travs de programas setuid, como Do o sudo .
3.1.4.3.1. El do de comandos
Cuando un usuario ejecuta el Do de comandos, se le solicitar la contrasea de root y, despus de la
autenticacin, se le da un indicador de comandos shell.
Una vez conectado a travs de la do de comandos, el usuario es el usuario root y tiene acceso
administrativo absoluto al sistema [12]. Adems, una vez que un usuario se ha convertido en la raz, es
posible que ellos usen el do comando para cambiar a cualquier otro usuario en el sistema sin que se le
pida una contrasea.
Debido a que este programa es tan poderoso, los administradores dentro de una organizacin pueden
desear limitar quin tiene acceso al comando.
Una de las formas ms sencillas de hacer esto es aadir usuarios al grupo administrativo especial
llamado wheel . Para ello, escriba el comando siguiente como root:
rueda -G usermod
En el comando anterior, sustituya con el nombre de usuario que desea agregar
a la rueda degrupo.
Tambin puede utilizar el Administrador de usuarios para modificar la pertenencia a grupos, de la
siguiente manera.Nota: necesita privilegios de administrador para realizar este procedimiento.
1. Haga clic en el sistema de men en el panel, seleccione Administracin y haga clic en Usuarios
y Grupos para mostrar el Administrador de usuarios. Tambin puede escribir el
comando system-config-users en el intrprete de comandos.
2. Haga clic en el usuario ficha y seleccione el usuario requerido en la lista de usuarios.
3. Haga clic en Propiedades en la barra de herramientas para mostrar el cuadro de dilogo
Propiedades del Usuario (o elija Propiedades en el archivo de men).
4. Haga clic en el Grupos pestaa, seleccione la casilla de verificacin del grupo de la rueda, y
luego haga clic en Aceptar . Consulte la Figura 3.2, "Adicin de usuarios al grupo" wheel "." .
5. Abra el archivo de configuracin de PAM para Do ( /etc/pam.d/su ) en un editor de texto y
elimine el comentario # de la siguiente lnea:
auth required /lib/security/$ISA/pam_wheel.so use_uid
Este cambio significa que slo los miembros del grupo administrativo wheel pueden usar este
programa.
-
Figura 3.2. Agregar usuarios al grupo "wheel".
Nota
El usuario root es parte de la rueda de grupo de forma predeterminada.
3.1.4.3.2. El sudo comando
El sudo comando ofrece otro enfoque para dar a los usuarios acceso administrativo. Cuando los usuarios
de confianza antecede un comando administrativo con sudo , se les pide para su
propia contrasea. Luego, cuando hayan sido autenticado y asumiendo que el comando es permitido, el
comando administrativo es ejecutado como si fueran el usuario root.
El formato bsico del sudo comando es la siguiente:
sudo
En el ejemplo anterior, sera reemplazado por un comando que normalmente se reserva
para el usuario root, como monte .
Importante
Los usuarios del sudo comando deben tener un cuidado especial para cerrar la sesin antes de caminar
lejos de sus mquinas desde sudoers pueden utilizar el comando nuevamente sin que se le pida una
contrasea dentro de un perodo de cinco minutos. Este ajuste se puede modificar a travs del archivo de
configuracin, / etc / sudoers .
El sudo comando permite un alto grado de flexibilidad. Por ejemplo, slo los usuarios listados en
el archivo / etc / sudoers archivo de configuracin se les permite usar el sudo comando y el
comando se ejecuta en el usuario de shell, no un shell de root. Esto significa que el shell de root puede
ser completamente desactivado, como se muestra en la Seccin 3.1.4.2.1, "Desactivacin de la Shell
Root" .
-
El sudo comando tambin proporciona una pista de auditora completa. Cada autenticacin exitosa es
registrada en el fichero / var / log / messages y el comando emitido junto con el nombre de
usuario del emisor se registra en el archivo / var / log / secure .
Otra ventaja de la sudo comando es que un administrador puede permitir que diferentes usuarios el
acceso a comandos especficos en funcin de sus necesidades.
Los administradores que deseen editar el sudo archivo de configuracin, / etc / sudoers , deberan
usar el visudo comando.
Para dar a alguien privilegios administrativos completos, escriba visudo y aada una lnea similar a la
siguiente en la seccin de especificacin de privilegios del usuario:
juan ALL = (ALL) ALL
Este ejemplo indica que el usuario, juan , puede utilizar sudo desde cualquier mquina y ejecutar
cualquier comando.
El siguiente ejemplo ilustra la posible granularidad cuando se configura sudo :
% users localhost = / sbin / shutdown-h ahora
Este ejemplo indica que cualquier usuario puede emitir el comando / sbin / shutdown-h ahora ,
siempre y cuando se emite desde la consola.
La pgina del manual para sudoers tiene un listado detallado de las opciones para este archivo.
3.1.5. Servicios de red disponibles
Si bien el acceso de usuario a controles administrativos es un tema importante para los administradores
de sistemas dentro de una organizacin, el seguimiento que los servicios de red estn activas es de suma
importancia para cualquier persona que administra y opera un sistema Linux.
Muchos servicios bajo Fedora se comportan como servidores de red. Si un servicio de red se ejecuta en
una mquina, entonces una aplicacin de servidor (llamado un demonio ), est escuchando por conexiones
en uno o ms puertos de red. Cada uno de estos servidores debera ser tratado como una avenida potencial
de ataque.
3.1.5.1. Riesgos a los servicios
Los servicios de red pueden implicar muchos riesgos para los sistemas Linux. A continuacin se muestra
una lista de algunos de los principales problemas:
o Ataques de denegacin de servicio (DoS) - Al inundar un servicio con peticiones, un ataque de
denegacin de servicio puede inhabilitar el sistema ya que trata de responder a cada peticin.
o Distribuidos de denegacin de ataques de servicio (DDoS) - Un tipo de ataque DoS que utiliza
varias mquinas comprometidas (a menudo de numeracin en los miles o ms) para dirigir un
ataque coordinado en un servicio, inundndolo con peticiones y lo que es inutilizable.
o Ataques de vulnerabilidad de secuencias de comandos - Si un servidor esta usando scripts para
ejecutar acciones del lado del servidor, como servidores web comnmente lo hacen, un cracker
puede atacar guiones escritos incorrectamente. Estos ataques de vulnerabilidad de scripts
-
pueden conducir a una condicin de desbordamiento de buffer o permitir al atacante alterar
archivos en el sistema.
o Los ataques de desbordamiento de buffer - Los servicios que se conectan a los puertos numerados
del 0 al 1023 deben ser ejecutados como usuario administrativo. Si la aplicacin tiene un
desbordamiento del buffer, un atacante podra obtener acceso al sistema como el usuario que
ejecuta el demonio. Debido a que los desbordamientos de bfer explotables, crackers utilizan
herramientas automatizadas para identificar vulnerabilidades en los sistemas, y una vez que han
obtenido acceso, utilizan rootkits automatizados para mantener su acceso al sistema.
Nota
La amenaza de las vulnerabilidades de desbordamiento de bfer es mitigada en Fedora por ExecShield ,
una tecnologa de segmentacin de memoria y proteccin ejecutable con el apoyo de los ncleos uni y
multi-procesadores compatibles con x86. ExecShield reduce el riesgo de desbordamiento de bfer
mediante la separacin de la memoria virtual en segmentos ejecutables y no ejecutables. Cualquier cdigo
de programa que trate de ejecutarse en el segmento ejecutable (como el cdigo malicioso inyectado
desde un desbordamiento de memoria intermedia) disparar un fallo de segmentacin y finaliza.
ExecShield tambin incluye soporte para no ejecutar ( NX tecnologa) en las plataformas AMD64
y desactivacin de ejecucin ( XD tecnologa) en Itanium y Intel 64 sistemas. Estas tecnologas trabajan
en conjunto con ExecShield para evitar que el cdigo malicioso se ejecute en la porcin ejecutable de la
memoria virtual con una granularidad de 4KB de cdigo ejecutable, disminuyendo el riesgo de un ataque
desde las vulnerabilidades de desbordamiento de bfer.
Importante
Para limitar la exposicin a ataques a travs de la red, todos los servicios no utilizados deben estar
apagados.
3.1.5.2. Identificar y Configuracin de servicios
Para mejorar la seguridad, la mayora de los servicios de red instalados con Fedora estn desactivados de
forma predeterminada. Hay, sin embargo, algunas excepciones notables:
o cupsd - El servidor de impresin por defecto para Fedora.
o lpd - Un servidor de impresin alternativo.
o xinetd - Un super servidor que controla las conexiones a un rango de servidores subordinados,
tales como gssftp y telnet .
o sendmail - El Sendmail correo del Agente de Transporte ( MTA ) est activado por defecto,
pero slo escucha por conexiones desde el host local .
o sshd - El servidor OpenSSH, que es un reemplazo seguro para Telnet.
Al determinar si se debe dejar estos servicios en ejecucin, lo mejor es usar el sentido comn y errar en
el lado de la precaucin. Por ejemplo, si una impresora no est disponible, no
deje cupsd funcionamiento. Lo mismo es cierto para portmap . Si usted no tiene volmenes NFSv3 o
NIS uso (el ypbind de servicio), entonces portmap debe estar deshabilitada.
-
Figura 3.3. Herramienta de configuracin de servicios
Si no est seguro de la finalidad de un servicio particular, la Herramienta de configuracin de
servicios tiene un campo de descripcin, se ilustra en la Figura 3.3, " Herramienta de configuracin de
servicios " , que proporciona informacin adicional.
Comprobacin de que la red de servicios estn disponibles para iniciar en tiempo de arranque es slo
parte de la historia. Tambin debe comprobar qu puertos estn abiertos y escuchando. Consulte
la Seccin 3.2.8, "Verificacin de qu puertos estn abiertos" para obtener ms informacin.
3.1.5.3. Servicios inseguros
Potencialmente, cualquier servicio de red es insegura. Esta es la razn por apagar los servicios no
utilizados es tan importante. Exploits a servicios se descubren y parcheados, por lo que es muy importante
actualizar peridicamente paquetes asociados con cualquier servicio de red de forma rutinaria. Consulte
la Seccin 1.5, "Actualizaciones de seguridad" para obtener ms informacin.
Algunos protocolos de red son inherentemente ms inseguros que otros. Esto incluye cualquier servicio
que:
o Transmitir Los nombres de usuario y contraseas a travs de la red sin encriptar - Muchos
protocolos ms antiguos, como Telnet y FTP, no encriptan la sesin de autenticacin y debe
evitarse siempre que sea posible.
o Transmitir datos confidenciales sobre la red sin encriptar - Muchos protocolos transmiten datos
a travs de la red sin cifrar. Estos protocolos incluyen Telnet, FTP, HTTP y SMTP. Muchos sistemas
de archivos de red, tales como NFS y SMB, tambin transmiten informacin sobre la red sin
encriptar. Es responsabilidad del usuario cuando se utilizan estos protocolos limitar qu tipo de
datos se transmiten.
Servicios de volcado de memoria remota, como netdump , transmiten el contenido de la
memoria sobre la red sin encriptar. Los volcados de memoria pueden contener contraseas o,
peor an, entradas de base de datos y otra informacin sensible.
-
Otros servicios como el dedo y rwhod revelan informacin sobre los usuarios del sistema.
Ejemplos de servicios inherentemente inseguros incluyen rlogin , rsh , telnet , y vsftpd .
Todos los programas de inicio de sesin y shell remoto ( rlogin , rsh , y telnet ) deben evitarse en
favor de SSH.Consulte Seccin 3.1.7, "Seguridad Herramientas de mejoramiento" para obtener ms
informacin sobre sshd .
FTP no es tan inherentemente peligroso para la seguridad del sistema como shells remotos, pero los
servidores FTP debe configurarse cuidadosamente y monitoreado para evitar problemas. Consulte Seccin
3.2.6, "Hacer seguras FTP"para obtener ms informacin acerca de cmo proteger los servidores FTP.
Servicios que se deben implementar con cuidado y detrs de un firewall incluyen:
o dedo
o authd (esto fue llamado identd en versiones anteriores de Fedora.)
o netdump
o netdump-servidor
o nfs
o rwhod
o sendmail
o SMB (Samba)
o yppasswdd
o ypserv
o ypxfrd
Ms informacin sobre la seguridad de los servicios de red est disponible en la seccin 3.2, "Seguridad
del servidor" .
La siguiente seccin discute las herramientas disponibles para crear un simple firewall.
3.1.6. Cortafuegos personales
Despus de las necesarias se configuran los servicios de red, es importante implementar un cortafuegos.
Importante
Usted debe configurar los servicios necesarios e implementar un cortafuegos antes de conectarse a
Internet o cualquier otra red que no confa.
Los cortafuegos previenen que los paquetes de red acceder a la interfaz de red del sistema. Si se realiza
una solicitud a un puerto que est bloqueado por un firewall, se ignora la peticin. Si un servicio est
escuchando en uno de estos puertos bloqueados, no recibe los paquetes y se desactiva de manera
efectiva. Por esta razn, se debe tener cuidado al configurar un servidor de seguridad para bloquear el
acceso a los puertos que no estn en uso, aunque no es el bloqueo de acceso a los puertos utilizados por
los servicios configurados.
Para la mayora de los usuarios, la mejor herramienta para la configuracin de un simple firewall es la
herramienta de configuracin grfica de cortafuegos que se distribuye con Fedora: la Herramienta de
-
administracin de Firewall ( system-config-firewall ). Esta herramienta crea amplias de
iptables reglas para tener un firewall de propsito general utilizando una interfaz de panel de control.
Para usuarios avanzados y administradores de servidores, la configuracin manual de un cortafuegos
con iptables es probablemente una mejor opcin. Consulte la Seccin 3.8, "Uso de servidores de
seguridad" para obtener ms informacin.
3.1.7. Seguridad Herramientas de mejoramiento
A medida que el tamao y la popularidad de Internet ha crecido, tambin lo ha hecho la amenaza de la
interceptacin de las comunicaciones. Con los aos, se han desarrollado herramientas para encriptar las
comunicaciones a medida que se transfieren a travs de la red.
Fedora viene con dos herramientas bsicas que utilizan algoritmos de cifrado de alto nivel, basados en
clave pblica criptografa para proteger la informacin mientras viaja por la red.
o OpenSSH - Una implementacin libre del protocolo SSH para cifrar la comunicacin de red.
o Gnu Privacy Guard (GPG) - Una aplicacin gratuita de la aplicacin de encriptacin PGP (Pretty
Good Privacy) para el cifrado de datos.
OpenSSH es una forma ms segura de acceder a una mquina remota y reemplaza mayores servicios no
encriptados como telnet y rsh . OpenSSH incluye un servicio de red llamado sshd y tres aplicaciones
de cliente de lnea de comando:
o ssh - Un cliente seguro acceso a la consola remota.
o scp - Un comando de copia remota segura.
o sftp - Un cliente seudo ftp que permite sesiones de transferencia de archivos interactivos.
Consulte Seccin 4.2.2, "Secure Shell" para ms informacin sobre OpenSSH.
Importante
Aunque el sshd servicio es inherentemente seguro, el servicio debe ser mantenida al da para prevenir
amenazas de seguridad. Consulte la Seccin 1.5, "Actualizaciones de seguridad" para obtener ms
informacin.
GPG es una manera de asegurar una comunicacin de correo electrnico privado. Puede ser utilizado
tanto para enviar por correo electrnico los datos sensibles a travs de redes pblicas y para proteger los
datos confidenciales en los discos duros.
Gua de seguridad Una gua para la seguridad en Fedora Linux
Edicin 18.0.1
Johnray Fuller
Red Hat
-
John Ha
Red Hat
David O'Brien
Red Hat
Scott Radvan
Red Hat
Eric Christensen
Proyecto Fedora Equipo de Documentacin
Adam Ligas
Proyecto Fedora
Aviso Legal Copyright 2007-2012 Fedora Project Contributors.
The text of and illustrations in this document are licensed by Red Hat under a Creative Commons
AttributionShare Alike 3.0 Unported license ("CC-BY-SA"). An explanation of CC-BY-SA is available
athttp://creativecommons.org/licenses/by-sa/3.0/. The original authors of this document, and Red Hat,
designate the Fedora Project as the "Attribution Party" for purposes of CC-BY-SA. In accordance with CC-
BY-SA, if you distribute this document or an adaptation of it, you must provide the URL for the original
version.
Red Hat, as the licensor of this document, waives the right to enforce, and agrees not to assert, Section
4d of CC-BY-SA to the fullest extent permitted by applicable law.
Red Hat, Red Hat Enterprise Linux, the Shadowman logo, JBoss, MetaMatrix, Fedora, the Infinity Logo,
and RHCE are trademarks of Red Hat, Inc., registered in the United States and other countries.
For guidelines on the permitted uses of the Fedora trademarks, refer
tohttps://fedoraproject.org/wiki/Legal:Trademark_guidelines.
Linux is the registered trademark of Linus Torvalds in the United States and other countries.
Java is a registered trademark of Oracle and/or its affiliates.
-
XFS is a trademark of Silicon Graphics International Corp. or its subsidiaries in the United States and/or
other countries.
MySQL is a registered trademark of MySQL AB in the United States, the European Union and other
countries.
All other trademarks are the property of their respective owners.
Resumen
La Gua de Seguridad en Fedora est diseada para asistir a usuarios de Fedora en el proceso de
aprendizaje y prcticas de seguridad en estaciones de trabajo y servidores, para poder as evitar
intrusiones locales y remotas, explotaciones, y actividades maliciosas. Enfocada en Fedora Linux pero
detallando conceptos y tcnicas validas para todos los sistemas Linux. La Gua de Seguridad en Fedora
detalla la planificacin y describe las herramientas involucradas en la creacin de un entorno de
computacin seguro, para centros de datos, estaciones de trabajo, o el hogar. Con un conocimiento
administrativo apropiado, vigilancia, y herramientas, los sistemas ejecutando Linux pueden ser
funcionales y al mismo tiempo seguros, frente a los mtodos de intrusin y explotacin ms comunes.
Prefacio
1. Convenciones del Documento
1.1. Convenciones Tipogrficas
1.2. Convenciones del documento
1.3. Notas y Advertencias
2. Necesitamos sus comentarios!
1. Resumen acerca de la seguridad
1.1. Introduccin a la Seguridad
1.1.1. Qu es la seguridad en computacin?
1.1.2. SELinux
1.1.3. Controles de seguridad
1.1.4. Conclusin
1.2. Atacantes y vulnerabilidades
1.2.1. Una breve resea acerca de los hackers
1.2.2. Amenazas a la seguridad de la red
1.2.3. Amenazas a la seguridad del servidor
-
1.2.4. Amenazas a las estaciones de trabajo y seguridad en equipos hogareos
1.3. Evaluacin de debilidades
1.3.1. Pensando como el enemigo
1.3.2. Definiendo evaluacin y pruebas
1.3.3. Herramientas de evaluacin
1.4. Ataques y debilidades comunes
1.5. Actualizaciones de seguridad
1.5.1. Actualizacin de paquetes
1.5.2. Verificacin de paquetes firmados
1.5.3. Instalacin de paquetes firmados
1.5.4. Aplicacin de los cambios
2. Gua Bsica para reforzar la seguridad.
2.1. Principios Generales
2.2. Porque esto es importante?
2.3. Seguridad Fsica
2.4. Porque esto es importante?
2.5. Que mas podemos hacer?
2.6. Networking
2.6.1. iptables
2.6.2. IPv6
2.7. Keeping software up to date
2.8. Services
2.9. NTP
3. Asegurando su Red
3.1. Seguridad de la estacin de trabajo
3.1.1. Evaluacin de la seguridad de la estacin de trabajo
3.1.2. Seguridad en el BIOS y en el gestor de arranque
3.1.3. Seguridad de contraseas
3.1.4. Controles administrativos
-
3.1.5. Servicios de red disponibles
3.1.6. Cortafuegos personales
3.1.7. Herramientas de comunicacin de seguridad mejorada
3.2. Seguridad del servidor
3.2.1. Asegurando los servicios con encapsuladores TCP y xinetd
3.2.2. Asegurando Portmap
3.2.3. Asegurando NIS
3.2.4. Asegurando NFS
3.2.5. Asegurando el servidor HTTP Apache
3.2.6. Asegurando FTP
3.2.7. Asegurando Sendmail
3.2.8. Verificar qu puertos estn abiertos
3.3. Single Sign-on (SSO)
3.3.1. Introduccin
3.3.2. Empezar a utilizar su nueva tarjeta inteligente
3.3.3. Como funciona la inscripcin de las tarjetas inteligentes.
3.3.4. Cmo funciona el ingreso con tarjeta inteligente
3.3.5. Configurar Firefox para la utilizacin de Kerberos como SSO
3.4. Yubikey
3.4.1. Using Yubikey with a centralized server
3.4.2. Authenticating to websites with your Yubikey
3.5. Mdulos de autenticacin conectables (PAM, por las iniciales en ingls de Pluggable
Authentication Modules)
3.5.1. Ventajas de PAM
3.5.2. Archivos de configuracin de PAM
3.5.3. Formato del archivo de configuracin de PAM
3.5.4. Ejemplos de archivos de configuracin de PAM
3.5.5. Creacin de los mdulos PAM
3.5.6. PAM y el cacheo de la credencial administrativa
-
3.5.7. PAM y la propiedad de los dispositivos
3.5.8. Recursos adicionales
3.6. Encapsuladores TCP y xinetd
3.6.1. Encapsuladores TCP
3.6.2. Archivos de configuracin de los encapsuladores TCP
3.6.3. xinetd
3.6.4. Archivos de configuracin de xinetd
3.6.5. Recursos adicionales
3.7. Kerberos
3.7.1. Qu es Kerberos?
3.7.2. Terminologa de Kerberos
3.7.3. Como Funciona Kerberos
3.7.4. Kerberos y PAM
3.7.5. Configurando un servidor Kerberos 5
3.7.6. Configuracin de un Cliente Kerberos 5
3.7.7. Mapeo dominio-a-reinado
3.7.8. Configurando KDCs secundarios
3.7.9. Configurando la autenticacin cruzada de reinados
3.7.10. Recursos adicionales
3.8. Cortafuegos
3.8.1. Netfilter e IPTables
3.8.2. Configuracin bsica de un cortafuego
3.8.3. Uso de IPTables
3.8.4. Filtrado comn de IPTables
3.8.5. Reglas FORWARD y NAT
3.8.6. Software malicioso y suplantacin de direcciones IP
3.8.7. IPTables y el seguimiento de la conexin
3.8.8. IPv6
3.8.9. Recursos adicionales
-
3.9. IPTables
3.9.1. Filtrado de Paquete
3.9.2. Opciones de la lnea de comandos de IPTables
3.9.3. Guardando las reglas de IPTalbes
3.9.4. Programas de control de IPTables
3.9.5. IPTables e IPv6
3.9.6. Recursos adicionales
4. Cifrado
4.1. Datos en reposo
4.1.1. Cifrado completo del disco
4.1.2. Cifrado basado en archivo
4.2. Datos en movimiento
4.2.1. Redes privadas virtuales (VPNs, por las iniciales en ingls de Virtual Private Networks)
4.2.2. Shell seguro (SSH, por las iniciales en ingls de Secure Shell)
4.2.3. Cifrado de disco LUKS (Linux Unified Key Setup-on-disk-format)
4.2.4. Archivos cifrados mediante 7-Zip
4.2.5. Utilizando GNU Privacy Guard (GnuPG)
5. Principios Generales sobre la Seguridad de la Informacin
5.1. Consejos, Guas y Herramientas
6. Instalacin segura
6.1. Particiones del disco
6.2. Utilice encriptado de particiones mediante LUKS
7. Mantenimiento de Software
7.1. Instale el software mnimo
7.2. Planifique y configure actualizaciones de seguridad
7.3. Ajustando las actualizaciones automticas
7.4. Instale paquetes identificados desde repositorios conocidos
8. Debilidades y exposiciones comunes
8.1. Complemento de Yum
-
8.2. Cmo utilizar yum-plugin-security
9. Referencias
A. Estndares de cifrado
A.1. Cifrado sincronizado
A.1.1. Advanced Encription Standard - AES
A.1.2. Data Encryption Standard - DES
A.2. Cifrado de llave pblica
A.2.1. Diffie-Hellman
A.2.2. RSA
A.2.3. DSA
A.2.4. SSL/TLS
A.2.5. Criptosistema de Cramer-Shoup
A.2.6. Cifrado ElGamal
B. Historial de revisiones
Prefacio 1. Convenciones del Documento Este manual utiliza varias convenciones para resaltar algunas palabras y frases y llamar la atencin sobre
ciertas partes especficas de informacin.
En ediciones PDF y de papel, este manual utiliza tipos de letra procedentes de Liberation Fonts. Liberation
Fonts tambin se utilizan en ediciones de HTML si estn instalados en su sistema. Si no, se muestran
tipografas alternativas pero equivalentes. Nota: Red Hat Enterprise Linux 5 y siguientes incluyen
Liberation Fonts predeterminadas.
1.1. Convenciones Tipogrficas
Se utilizan cuatro convenciones tipogrficas para llamar la atencin sobre palabras o frases especficas.
Dichas convenciones y las circunstancias en que se aplican son las siguientes:
Negrita monoespaciado
Utilizada para resaltar la entrada del sistema, incluyendo comandos de shell, nombres de archivo y rutas.
Tambin se utiliza para resaltar teclas claves y combinaciones de teclas. Por ejemplo:
Para ver el contenido del archivo my_next_bestselling_novel en su directorio actual de trabajo,
escriba el comando cat my_next_bestselling_novel en el intrprete de comandos de shell y
pulseEnter para ejecutar el comando.
El ejemplo anterior incluye un nombre de archivo, un comando de shell y una tecla clave. Todo se presenta
en negrita-monoespaciado y distinguible gracias al contexto.
-
Las combinaciones de teclas se pueden distinguir de las teclas claves mediante el guin que conecta cada
parte de una combinacin de tecla. Por ejemplo:
Pulse Enter para ejecutar el comando.
Pulse Control+Alt+F2 para cambiar a la primera terminal virtual. Pulse Control+Alt+F1 para volver
a su sesin de Ventanas-X.
La primera oracin resalta la tecla clave determinada que se debe pulsar. La segunda resalta dos conjuntos
de tres teclas claves que deben ser presionadas simultneamente.
Si se discute el cdigo fuente, los nombres de las clase, los mtodos, las funciones, los nombres de
variables y valores de retorno mencionados dentro de un prrafo sern presentados en Negrita-
monoespaciado. Por ejemplo:
Las clases de archivo relacionadas incluyen filename para sistema de archivos, file para archivos
y dir para directorios. Cada clase tiene su propio conjunto asociado de permisos.
Negrita proporcional
Esta denota palabras o frases encontradas en un sistema, incluyendo nombres de aplicacin, texto de
cuadro de dilogo, botones etiquetados, etiquetas de cajilla de verificacin y botn de radio; ttulos de
men y ttulos del sub-men. Por ejemplo:
Seleccionar Sistema Preferencias Ratn desde la barra del men principal para lanzarPreferencias
de Ratn. En la pestaa de Botones, haga clic en la cajilla ratn de mano izquierda y luego haga
clic en Cerrar para cambiar el botn principal del ratn de la izquierda a la derecha (adecuando el ratn
para la mano izquierda).
Para insertar un caracter especial en un archivo de gedit, seleccione desde la barra del men
principalAplicaciones Accessories Mapa de caracteres. Luego, desde la barra de menes de mapa
de caracteres elija Bsqueda Hallar, teclee el nombre del caracter en el campo Bsqueda y haga
clic en Siguiente. El caracter buscado se resaltar en la Tabla de caracteres. Haga doble clic en
este caracter resaltado para colocarlo en el campo de Texto para copiar y luego haga clic en el botn
de Copiar. Ahora regrese a su documento y elija Editar Pegar desde la barra de men de gedit.
El texto anterior incluye nombres de aplicacin; nombres y elementos del men de todo el sistema;
nombres de men de aplicaciones especficas y botones y texto hallados dentro de una interfaz grfica de
usuario, todos presentados en negrita proporcional y distinguibles por contexto.
Itlicas-negrita monoespaciado o Itlicas-negrita proporcional
Ya sea negrita monoespaciado o negrita proporcional, la adicin de itlicas indica texto reemplazable o
variable. Las itlicas denotan texto que usted no escribe literalmente o texto mostrado que cambia
dependiendo de la circunstancia. Por ejemplo:
Para conectar a una mquina remota utilizando ssh, teclee ssh
[email protected] un intrprete de comandos de shell. Si la mquina remota
es example.com y su nombre de usuario en esa mquina es john, teclee ssh [email protected].
-
El comando mount -o remount file-system remonta el sistema de archivo llamado. Por ejemplo,
para volver a montar el sistema de archivo /home, el comando es mount -o remount /home.
Para ver la versin de un paquete actualmente instalado, utilice el comando rpm -q paquete. ste
entregar el resultado siguiente: paquete-versin-lanzamiento.
Observe las palabras en itlicas y negrita sobre nombre de usuario, domain.name, sistema de archivo,
paquete, versin y lanzamiento. Cada palabra es un marcador de posicin, tanto para el texto que usted
escriba al ejecutar un comando como para el texto mostrado por el sistema.
Aparte del uso estndar para presentar el ttulo de un trabajo, las itlicas denotan el primer uso de un
trmino nuevo e importante. Por ejemplo:
Publican es un sistema de publicacin de DocBook.
1.2. Convenciones del documento
Los mensajes de salida de la terminal o fragmentos de cdigo fuente se distinguen visualmente del texto
circundante.
Los mensajes de salida enviados a una terminal se muestran en romano monoespaciado y se
presentan as:
books Desktop documentation drafts mss photos stuff svn
books_tests Desktop1 downloads images notes scripts svgs
Los listados de cdigo fuente tambin se muestran en romano monoespaciado, pero se presentan y
resaltan de la siguiente manera:
package org.jboss.book.jca.ex1;
import javax.naming.InitialContext;
public class ExClient
{
public static void main(String args[])
throws Exception
{
InitialContext iniCtx = new InitialContext();
Object ref = iniCtx.lookup("EchoBean");
EchoHome home = (EchoHome) ref;
Echo echo = home.create();
System.out.println("Created Echo");
-
System.out.println("Echo.echo('Hello') = " + echo.echo("Hello"));
}
}
1.3. Notas y Advertencias
Finalmente, utilizamos tres estilos visuales para llamar la atencin sobre la informacin que de otro modo
se podra pasar por alto.
Nota
Una nota es una sugerencia, atajo o enfoque alternativo para una tarea determinada. Ignorar una nota no
debera tener consecuencias negativas, pero podra perderse de algunos trucos que pueden facilitarle las
cosas.
Importante
Los cuadros con el ttulo de importante dan detalles de cosas que se pueden pasar por alto fcilmente:
cambios de configuracin nicamente aplicables a la sesin actual, o servicios que necesitan reiniciarse
antes de que se aplique una actualizacin. Ignorar estos cuadros no ocasionar prdida de datos, pero
puede causar enfado y frustracin.
Advertencia
Las advertencias no deben ignorarse. Ignorarlas muy probablemente ocasionar prdida de datos.
Captulo 1. Resumen acerca de la seguridad
1.1. Introduccin a la Seguridad
1.1.1. Qu es la seguridad en computacin?
1.1.2. SELinux
1.1.3. Controles de seguridad
1.1.4. Conclusin
1.2. Atacantes y vulnerabilidades
1.2.1. Una breve resea acerca de los hackers
1.2.2. Amenazas a la seguridad de la red
1.2.3. Amenazas a la seguridad del servidor
1.2.4. Amenazas a las estaciones de trabajo y seguridad en equipos hogareos
1.3. Evaluacin de debilidades
-
1.3.1. Pensando como el enemigo
1.3.2. Definiendo evaluacin y pruebas
1.3.3. Herramientas de evaluacin
1.4. Ataques y debilidades comunes
1.5. Actualizaciones de seguridad
1.5.1. Actualizacin de paquetes
1.5.2. Verificacin de paquetes firmados
1.5.3. Instalacin de paquetes firmados
1.5.4. Aplicacin de los cambios
Debido a la creciente necesidad de utilizacin de poderosas computadoras conectadas en red para poder
mantener una empresa en funcionamiento, y para poder realizar seguimientos de nuestra informacin
personal, se han desarrollado industrias enteras dedicadas a la prctica de la seguridad de redes y
computadoras. Numerosas empresas han solicitado la pericia y el conocimiento de expertos en seguridad
para poder controlar correctamente sus sistemas, y para que diseen soluciones adecuadas a los
requerimientos operativos de la organizacin. Debido a la naturaleza dinmica de muchas de estas
organizaciones, donde los trabajadores deben tener acceso a los recursos informticos, ya sea en forma
local o remota, la necesidad de entornos de computacin seguros se ha hecho ms pronunciada.
Desafortunadamente, muchas de las organizaciones (y muchos usuarios individuales), luego de pensarlo
dos veces, deciden relegar el aspecto de la seguridad a un plano inferior, dndole prioridad a otras reas
de sus emprendimientos, como ser produccin, presupuesto, o infraestructura. Y frecuentemente, una
implementacin adecuada de la seguridad es adoptada postmortem despus que un acceso no
autorizado haya ocurrido. Los expertos en seguridad concuerdan en que adoptar las medidas correctas
antes de conectar un sitio a una red insegura, como lo es Internet, es una manera efectivo de prevenir la
mayora de los intentos de intrusin.
1.1. Introduccin a la Seguridad 1.1.1. Qu es la seguridad en computacin?
La nocin de seguridad en computacin es un concepto general que cubre un rea muy extensa dentro del
mbito de la computacin y del procesamiento de la informacin. Las industrias que dependen tanto de
redes como de sistemas de computacin para poder realizar cotidianamente operaciones comerciales, o
para acceder a diverso tipo de informacin vital, entienden que sus datos son una parte importante de
sus activos. Han ingresado a nuestro vocabulario cotidiano diversos trminos y unidades de medicin
pertenecientes al mbito comercial, como ser por ejemplo, el coste total de propiedad (TCO, por las
iniciales en ingls de Total Cost of Ownership), o servicio de calidad (QoS, por las iniciales en ingls de
Quality of Service). Al utilizar estas unidades, las industrias pueden calcular aspectos tales como ser la
integridad de los datos, o el tipo de disponibilidad que tienen, y poder considerarlos parte de los costos
de planeamiento y administracin de procesos. En algunas industrias, como la del comercio electrnico
por ejemplo, el tipo de disponibilidad y la confiabilidad de los datos puede ser un elemento determinante
para el xito o el fracaso.
1.1.1.1. De dnde viene la idea de seguridad en computacin?
La seguridad en la informacin ha evolucionado con el correr de los aos debido al aumento en la
utilizacin de redes pblicas y el consecuente riesgo de exposicin que en ellas tienen los datos privados,
-
confidenciales o financieros. Existen numerosos antecedentes, como el caso Mitnick [1]o Vladimir Levin [2],
que sugieren a todas las organizaciones de cualquier tipo de industria, replantearse la forma en que tienen
organizado el manejo de su propia informacin, o de la manera en que es transmitida y revelada. La
popularidad que tiene Internet es uno de los motivos fundamentales gracias al cual se han intensificado
los esfuerzos relacionados con la seguridad en los datos.
Un nmero creciente de personas est utilizando sus computadoras personales para obtener acceso a los
recursos que ofrece Internet. Desde investigacin y obtencin de informacin hasta el correo electrnico
y transacciones comerciales, Internet es considerada como uno de los desarrollos ms importantes del
siglo 20.
Sin embargo, Internet y sus primeros protocolos fueron desarrollados como un sistema basado en la
confianza. Esto significa que el Protocolo de Internet no fue diseado para ser seguro en s mismo. No
existen estndares de seguridad aprobados dentro del bloque de comunicaciones TCP/IP, dejndolo
indefenso ante usuarios o procesos de la red potencialmente dainos. Desarrollos modernos han hecho de
las comunicaciones en Internet algo ms seguro, pero todava existen varios incidentes que acaparan la
atencin mundial, y nos recuerdan el hecho de que nada es completamente seguro.
1.1.1.2. La seguridad hoy
En febrero del ao 2000 un ataque de denegacin de servicio distribuido (DDoS, por las iniciales en ingls
de Distributed Denial of Service) fue liberado sobre varios de los sitios de Internet que tenan ms trfico.
Este ataque afect a yahoo.com, cnn.com, amazon.com, fbi.gov y algunos otros sitios que son
completamente inaccesibles para los usuarios normales, dejando a los enrutadores bloqueados durante
varias horas con transferencias de grandes paquetes ICMP, o tambin denominado un ping de la muerte.
El ataque fue llevado a cabo por asaltantes desconocidos utilizando programas especialmente creados (y
que estn a disposicin de cualquiera), que buscan servidores de red vulnerables, instalan en esos
servidores aplicaciones de cliente denominadas troyanos, y sincronizando un ataque con cada servidor
infectado, inundando los sitios elegidos y dejndolos inutilizables. Muchos adjudican el xito del ataque
a fallas fundamentales en la forma en que estn estructurados los enrutadores y los protocolos que
utilizan. Estas fallas tienen que ver con la manera en que se aceptan los datos entrantes, sin importar
desde dnde provengan, o con qu propsito los paquetes hayan sido enviados.
En el ao 2007, una prdida de datos permiti la explotacin de una debilidad bien conocida en el
protocolo de cifrado inalmbrico WEP (por las iniciales en ingls de Wired Equivalent Privacy), que result
en el robo de 45 millones de nmeros de tarjetas de crditos de una institucin financiera global.[3]
En un incidente separado, los registros de facturacin de ms de 2,2 millones de pacientes almacenados
en una cinta de respaldo fueron robados desde el asiento delantero de un auto de mensajera.[4]
Actualmente, se estima que 1,8 mil millones de personas usan o usaron Internet alrededor del mundo [5].
Al mismo tiempo:
o En cualquier da, hay aproximadamente 225 incidentes principales de fallas de seguridad
informados al Centro de Coordinacin CERT en la Universidad de Carnegie Mellon.
o En el ao 2003, el nmero de incidencias CERT informadas ascendi a 137,529 de los 82,094
informados en el ao 2002, y de los 52,658 en el 2001.
-
o El impacto econmico a nivel mundial de los virus de Internet ms peligrosos de los ltimos tres
aos se estim en US$ 13.2 mil millones.
From a 2008 global survey of business and technology executives "The Global State of Information
Security"[6], undertaken by CIO Magazine, some points are:
o Slo el 43% de los encuestados audita o monitorea el cumplimiento de las polticas de seguridad
de sus usuarios
o Slo el 22% mantiene un inventario de las compaas externas que utilizan sus datos
o El origen de casi la mitad de los incidentes de seguridad fueron marcados como "Desconocido".
o 44% de los encuestados planean incrementar sus gastos en seguridad en el ao siguiente
o 59% tiene una estrategia de seguridad de la informacin
Estos resultados refuerzan la realidad de que la seguridad de computadoras se ha vuelto un gasto
cuantificable y justificable en los presupuestos de TI. Las organizaciones que necesitan tanto la integridad
como la rpida disponibilidad de sus datos, lo obtienen gracias a la habilidad que los administradores de
sistema, desarrolladores e ingenierospara tienen para asegurar la disponibilidad de sus sistemas, servicios
y datos, durante las 24 horas de los 365 das del ao. Ser vctima de usuarios maliciosos, procesos o
ataques coordinados es una amenaza directa al xito de la organizacin.
Desafortunadamente, la seguridad de sistemas y de la red puede ser una proposicin difcil, que requiere
un conocimiento intrincado de cmo una organizacin expresa, usa, manipula y transmite su informacin.
El entendimiento de la forma en que una organizacin (y la gente que la compone) conduce el negocio es
primordial para implementar un plan de seguridad apropiado.
1.1.1.3. Estandarizando la seguridad
Las empresas de todas las industrias confan en las regulaciones y en las reglas que son puestas por las
personas que construyen estndares tales como la Asociacin Mdica Americana (AMA, por las iniciales en
ingls de American Medical Association) o el Instituto de Ingenieros Elctricos y Electrnicos (IEEE,
Institute of Electrical and Electronics Engineers). Los mismos ideales se aplican a la seguridad de la
informacin. Muchos consultores y fabricantes se ponen de acuerdo en el modelo de seguridad estndar
conocido como CIA (Confidentiality, Integrity and Availability), oConfidencialidad, Integridad y
Disponibilidad. Este modelo de 3 capas es un componente generalmente aceptado para averiguar los
riesgos de la informacin vital y del establecimiento de la poltica de seguridad. A continuacin se describe
el modelo CIA en ms detalle:
o Confidentiality Sensitive information must be available only to a set of pre-defined individuals.
Unauthorized transmission and usage of information should be restricted. For example,
confidentiality of information ensures that a customer's personal or financial information is not
obtained by an unauthorized individual for malicious purposes such as identity theft or credit
fraud.
o Integridad La informacin no debe alterarse de manera tal que se torne incompleta o
incorrecta. Los usuarios no autorizados deben ser restringidos de la habilidad de modificar o
destruir informacin vital.
o Disponibilidad La informacin debe ser accesible a usuarios autorizados en cualquier momento
en el que sea necesario. La disponibilidad es una garanta de que la informacin se puede obtener
en una frecuencia y duracin preestablecida. Esto se mide a menudo en trminos de porcentajes
-
y se deja sentado formalmente en Acuerdos de Disponibilidad del Servicio (SLAs, por las iniciales
en ingls de Service Level Agreements) con los proveedores de servicios de red y sus clientes
empresariales.
1.1.2. SELinux
Fedora incluye una mejora al kernel de Linux que se llama SELinux, que implementa la arquitectura de
Control de Acceso Obligatorio (MAC), que provee un nivel ms fino de control sobre los archivos, procesos,
usuarios y aplicaciones e