1.1 Política de seguridad del sitio
Una organización puede tener muchos sitios y cada uno contar
con sus propias redes. Si los sitios están conectados por una red
interna, la política de red deberá agrupar las metas de todos
los sitios que estén interconectados.
En general, un sitio es cualquier parte de una organización que posee computadoras y recursos relacionados con la red. Dichos recursos incluyen, pero no se limitan a lo siguiente:
1.2 Planteamiento de la política de seguridad
Un planteamiento posible para desarrollar esta política es el
análisis de lo siguiente:
Una política de seguridad define las reglas que regulan como la organización administra y protege su información y sus recursos computacionales para lograr objetivos de seguridad. Uno de los primeros propósitos de las políticas en la preparación para detectar signos de intrusión, es la de definir un rango de amenazas que la organización elige para protegerse y como se deberá lidiar con estas cuando tengan lugar.
Los procedimientos de preparación incluyen todas las acciones necesarias para observar los sistemas y las redes por signos de intrusiones. La observación puede tomar la forma de monitoreo, inspección y auditoría. Monitoreo es la observación de los datos para eventos específicos. Inspección es el examen de los recursos de datos o procesos. Auditoría es un examen sistemático de datos contra documentación. Desde estos procedimientos, todas las partes involucradas están facultadas para determinar que pasos operacionales necesitan para cumplir con las políticas y de esta forma mantener la seguridad de la información de su organización y sistemas de red.
Las políticas y procedimientos de seguridad deben estar bien documentadas, ser bien conocidas, visiblemente reforzada al establecer la conducta esperada de cada usuario e informar al usuario de sus obligaciones para proteger los recursos de computación. Usuarios son todos aquellos que accesan, administran y manejan sus datos, sistemas y redes. Los usuarios juegan un papel vital en la detección de intrusiones.
Esta práctica describe los tópicos hacia los cuales sus políticas y procedimientos deben direccionarse. Estos deben ser confeccionados para reflejar los objetivos específicos de la organización y los requerimientos de seguridad del entorno.
1.4 Por qué es importante
Manejar un mismo lenguaje de políticas y procedimientos provee
la habilidad para ejercitar sus procedimientos de una forma oportuna y
controlable y elimina errores potenciales u omisiones en el avance de un
ataque. No debería ocurrir que mientras se efectúe un ataque
o después de este, recién se trate de determinar las acciones
a tomar, que datos recuperar y preservar, y como proteger sus datos, sistemas
y redes de algún daño.
Con un avanzado planeamiento, documentación y educación,
los miembros entrenados del grupo de seguridad pueden coordinar más
efectiva y eficientemente, para la detección de intrusiones efectivas
o intentos de estas. Sin el conocimiento y habilidades necesarias, los
usuarios pueden inadvertidamente exponer partes vitales de la organización.
1.5 Como hacerlo
Introducir un lenguaje común para la política de seguridad
de sistemas.
1.5.1 Documentación
Documentar las actividades que indican posibles signos de intrusión
y para las cuales se debe tomar alguna acción. Los sistemas e información
que deben ser considerados cuando se documenta políticas y procedimientos
de detección de intrusiones incluyen:
Documentar los roles, responsabilidades y autoridad de los administradores de sistemas, personal de seguridad y usuarios con relación al uso y administración de los datos, sistemas y redes, cuando se detecten signos de intrusión.
Documentar los roles, responsabilidades, autoridad y condiciones para las pruebas de intrusiones, herramientas y procedimientos de detección, así como el examen de los datos, sistemas y redes sospechosas de haber sido comprometidas. Se recomienda que toda prueba se efectúe en un área aislada de las redes y sistemas de producción.
Documentar los procedimientos y las acciones que implementen la política de preparación de intrusiones.
Documentar los procedimientos de inspecciones regulares y auditorías de los datos grabados (por ejemplo los “logs”), para identificar evidencia o intentos de intrusión.
Documentar el procedimiento mediante el cual se hará auditoría física del hardware y software instalado.
Documentar el procedimiento mediante el cual será efectuado el monitoreo, por ejemplo de los datos cuando ocurran eventos específicos. Este procedimiento especifica:
Documentar el procedimiento mediante el cual se verificará la integridad. Especificar:
Para cada procedimiento, documentar los roles, responsabilidades y autoridad de los administradores de sistemas, personal de seguridad y usuarios. Identificar quien efectúa cada procedimiento y actividad, cuando y bajo que condiciones. Se debe efectuar una revisión legal de las políticas y procedimientos.
El área legal debe asegurar que las políticas y procedimientos:
Probar la efectividad del entrenamiento y la preparación de cada empleado. Efectuar prácticas que prueben procedimientos y ejecuten actividades operacionales, asegurando que los miembros del grupo de seguridad estén atentos a sus roles y responsabilidades. Efectuar reuniones post-mortem con el personal entrenado.
Conducir regularmente entrenamiento de actualización. Remarcar cambios recientes a las políticas o procedimientos y resumir incidentes e intrusiones recientes. Hacer que esta actividad sea recurrente en el nivel ejecutivo y administrativo a objeto de mantener la atención continua.
Debido a la alta tasa de cambio de la tecnología, debe asegurarse que los administradores de red y sistemas, tengan tiempo para mantener y mejorar sus conocimientos y habilidades en aspectos técnicos requeridos para implementar las políticas y procedimientos de seguridad.
Si la organización ha sufrido una intrusión, revisar las políticas, procedimientos y entrenamiento para determinar si es necesaria su modificación para asegurar que intrusiones futuras del mismo tipo sean detectadas y controladas eficientemente, si no prevenidas.
1.6 Análisis de riesgos
Al crear una política de seguridad, se debe saber cuáles
recursos de la red vale la pena proteger, y entender que algunos son más
importantes que otros.
El análisis de riesgos implica determinar lo siguiente:
Con la siguiente fórmula es posible calcular el riesgo general
de los recursos de la red:
WR = ( R1*W1 + R2*W2 + ........ + Rn*Wn ) / ( W1 + W2 + ........ +
Wn )
Otros factores que debe considerar para el análisis de riesgo de un recurso de red son su disponibilidad, su integridad y su carácter confidencial.
1.7 Como identificar recursos
El RFC
1244 lista los siguientes recursos de red que deben ser considerados
al estimar las amenazas a la seguridad general:
1.10 Identifique el uso correcto de un recurso
El siguiente paso será el de proveer guías para el uso
aceptable del recurso. Las guías dependerán de la clase de
usuario y por consiguiente sus normas. La política debe establecer
qué tipos de uso de red es aceptable e inaceptable, y qué
tipo de uso será restringido. La política desarrollada se
llamará política de uso aceptable ( AUP ) para su red. Si
el acceso a un recurso se restringe, deberá considerar el nivel
de acceso que tendrán las diferentes clases de usuarios.
Además, tal vez desee incorporar en sus políticas un enunciado concerniente al software con derechos de autor y con licencia.
También se debe tener una política en la selección
de una contraseña inicial de usuario. Las políticas como
aquellas donde la contraseña inicial es la misma que el nombre del
usuario o que se deje en blanco, pueden dejar al descubierto las cuentas.
También lo sería evitar establecer la contraseña inicial
como una función del nombre de usuario, o alguna contraseña
generada en forma de algoritmo que pueda adivinarse con facilidad.
Algunos usuarios utilizan su cuenta hasta mucho tiempo después de
creada; otros nunca se registran. En estas circunstancias, si la contraseña
inicial no es segura, la cuenta y el sistema son vulnerables. Por tal razón
se deberá tener una política para inhabilitar total o parcialmente
las cuentas que nunca se han introducido durante cierto tiempo.
Si el sistema lo permite, deberá forzar a los usuarios a cambiar
las contraseñas en el primer registro. Muchos sistemas tienen la
política de caducidad de contraseña. Esto puede ser útil
para proteger las contraseñas.
Hay utilerías Unix como password+ y npasswd que pueden emplearse
para probar la seguridad de la contraseña.
1.11 Como determinar las responsabilidades del usuario
La siguiente es una lista de aspectos que se debe mencionar con respecto
a las responsabilidades del usuario:
1.13 Plan de acción cuando la política de seguridad ha
sido violada
Si no ocurre un cambio en la seguridad de la red después de
ser violada, entonces la política de seguridad deberá ser
modificada para retirar aquellos elementos que no estén asegurados.
Si la política de seguridad es demasiado restrictiva o no está
bien explicada, es muy posible que sea violada.
Cuando se detecte una violación a la política de seguridad,
debe clasificarse si la violación ocurrió por una negligencia
personal, un accidente o error, ignorancia de la política actual
o ignorancia deliberada a la política. En cada una de estas circunstancias,
la política de seguridad debe ofrecer guías sobre las medidas
a tomar de inmediato.
1.14 Estrategias de respuesta a violaciones
Hay dos tipos de estrategias de respuesta a incidentes de seguridad:
El segundo enfoque adopta la estrategia de que la mejor meta es permitir
a los intrusos seguir con sus acciones mientras se observan sus actividades.
Las actividades del intruso deberán registrarse. Una forma posible
de vigilar a los intrusos sin causar daño al sistema es construir
una " cárcel ". Una cárcel, en este caso, define un medio
simulado con datos falsos para que lo utilice el intruso, para que sus
actividades puedan ser observadas.
En un sistema Unix el mecanismo chroot puede ser muy útil para
hacer una cárcel.
