SESIÓN 8: Diseño Físico:

Tecnologías de Seguridad
 AGENDA
■ Diseño Físico – Tecnologías de Seguridad (P1)
1. CONTROL DE ACCESOS
■ Discutir el papel del control de acceso en los sistemas de
información, e identificar y conocer las cuatro funciones
fundamentales de los sistemas de control de acceso.
■ Definir autenticación y explicar los tres factores de
autenticación comúnmente utilizados

2. FIREWALL
■ Describir las tecnologías de firewall y las diversas categorías
de firewalls
■ Discutir los diversos enfoques para la implementación del
firewall

3. VPN
■ Describir las redes privadas virtuales (VPN) y analizar la
tecnología que las habilita
 Introducción
GEN POL ED ENT CON PRO TEC
■ Seguridad de Información: disciplina que
depende de la síntesis de la gente, política,
educación, entrenamiento, concientización,
procedimientos y tecnología para mejorar la
protección de los activos de información de una
organización
■ Soluciones Técnicas que puede mantener:
■ Confidencialidad, Integridad y Disponibilidad de la
información
■ En cada uno de sus tres estados
■ Almacenada
■ En Transmisión
■ En Procesamiento
Diseño Físico del Desarrollo del ciclo de vida de
un Sistema de Seguridad (SecSDLC)
■ Fase del diseño físico del SecSDLC
formada hasta de 2 partes:
■ Tecnologías de seguridad (SES 8 p1 y p2)
■ Seguridad Física (SES 9)

■ El diseño Físico, parte del diseño

lógico, expresado por el modelo de
seguridad de información y los
elementos del plan de Contingencia
y extiende el diseño al siguiente nivel
Diseño Físico del SecSDLC

Physical Design within the SecSDLC

 Diseño Físico del SecSDLC
■ Esta fase involucra la selección de
tecnologías y procesos para implementar
controles para gestionar riesgos; al final de
este Diseño se tendrá:
■ Seleccionadas las Tecnologías necesarias para
respaldar el Modelo de Seguridad de información
■ Definido lo que abarcará la Solución exitosa, para
un entorno seguro
■ Diseñadas las Medidas de seguridad física, que
apoyen las soluciones técnicas
■ Preparados para crear, los planes del proyecto para
la Fase de Implementación (SES 10) siguiente
 Control de Accesos
1. Control de acceso: método selectivo mediante el cual los
sistemas determinan como admitir a usuario para que
puede usar un recurso o acceda a un área confiable en
particular y cómo puede usarlo.
2. Controles de acceso obligatorios (AC´s Mandatorios): un
esquema obligatorio de clasificación de datos estructurados
que califica cada colección de información, y a cada
usuario. autoridad central.
3. Controles de acceso discrecionales (DAC´s): controles de
acceso que se implementan a discreción de los usuarios
para controlar y posiblemente proporcionar acceso
a la información / recursos
4. Controles no discrecionales: controles de acceso
implementados por una autoridad central.
 Control de Accesos
■ En general, todos los enfoques de control de acceso
se basan en los siguientes cuatro mecanismos, que
representan las cuatro funciones fundamentales
de los sistemas de control de acceso:
En el Mundo Digital?

1. Identificación: soy un usuario del sistema.

2. Autenticación: puedo probar que soy un usuario del
sistema.
3. Autorización: esto es lo que puedo hacer con el
sistema.
4. Responsabilidad de acciones: puedo rastrear y
controlar el uso que he realizado en el sistema.
Control de Accesos: enfoques
 Control de Accesos En el Mundo Digital?

1) IDENTIFICACIÓN:
El mecanismo de control de acceso que requiere la
validación y verificación de la supuesta identidad de
una entidad no autenticada.
Los identificadores pueden ser identificadores
compuestos, elementos de concatenación (códigos de
departamento, números aleatorios o caracteres
especiales) para hacerlos únicos.
La mayoría de las organizaciones usan una sola pieza
de información única, como un nombre completo o la
primera inicial y el apellido del usuario.
 Control de Accesos
2) AUTENTICACIÓN:
■ El mecanismo de control de acceso que requiere la
validación y verificación de la supuesta
identidad no autenticada.
En el Mundo Digital?

FACTORES DE AUTENTICACIÓN
1. Algo que sabes
■ Contraseña: una palabra privada o una combinación de
caracteres que solo el usuario debe saber
■ Frase de contraseña: una serie de caracteres,
generalmente más larga que una contraseña, de la cual se
deriva una contraseña virtual
 Control de Accesos
FACTORES DE AUTENTICACIÓN
2. Algo que tienes
■ Tarjeta simple: tarjeta de identificación o cajero automático
con banda magnética
■ Tarjeta inteligente: contiene un chip de computadora que
puede verificar y validar información
■ Tokens síncronos En el Mundo Digital?
■ Tokens asincrónicos
3. Algo que eres
■ Se basa en las características individuales
■ Autenticación fuerte
 Control de Accesos
En el Mundo Digital?

3) AUTORIZACIÓN:
Mecanismo de control de acceso que representa la
correspondencia de una entidad autenticada con
una lista de activos de información y niveles de acceso
correspondientes.
La autorización puede manejarse en una de estas
tres formas:
■ Autorización para cada usuario autenticado
■ Autorización para miembros de un grupo
■ Autorización en múltiples sistemas
Credenciales de autorización, también llamadas
tickets de autorización, son emitidas por un autenticador
y son respetadas por muchos o todos los sistemas
dentro del dominio de autenticación.
 Control de Accesos
4) RESPONSABILIDAD DE ACCIONES:
■ El mecanismo de control de acceso que garantiza que
todas las acciones en un sistema -autorizadas o no
autorizadas- se pueden atribuir a una identidad
En el Mundo Digital?
autenticada. También conocido como auditabilidad.
■ La responsabilidad de acciones generalmente se lleva a
cabo por medio de registros de sistema y diarios de base
de datos, y la auditoría de estos registros.
■ Los registros de los sistemas registran información
específica.
■ Los registros tienen muchos usos.
 Control de Accesos
BIOMETRÍA:
■ Enfoque basado en el uso de características / rasgos
humanos mensurables para autenticar la identidad.
■ Solo las huellas dactilares, la retina del ojo y el iris del
ojo y el ADN se consideran verdaderamente únicas.
■ Evaluado como tasa de rechazo falso, tasa de
aceptación falsa y tasa de error de cruce.
■ Los usuarios suelen considerar intrusivos a los
sistemas biométricos altamente confiables / efectivos.
 Control de Accesos
CARACTERÍSTICAS DE RECONOCIMIENTO
BIOMETRICAS
 Control de Accesos
Ranking de efectividad y aceptación Biométrica
Coleccionabilida
Biometría Universalidad Único Permanencia Rendimiento Aceptabilidad
d

Rostro H L M H L H

Termograma
H H L H M H
facial

Huella dactilar M H H M H M

Geometría de
M M M H M M
mano

Vena de
M M M M M M
mano

Iris del ojo H H H M H H

Leyenda: H = High (ALTA), M = Medium (MEDIA), y L = Low (BAJA).

Universalidad: todos lo tienen Único: para la persona
Permanencia: cambio en el tiempo Coleccionabilidad: recolectable o medido
Rendimiento: errores (falso positivo / falso negativo)
Aceptabilidad: grado de aceptación de la gente
TERMOGRAMA FACIAL: visualización de energía infrarroja emitida, transmitida y reflejada por un objeto, que
luego se convierte en temperatura y se muestra como imagen de distribución de la temperatura
 Control de Accesos
Ranking de efectividad y aceptación Biométrica
Biometría Universalidad Único Permanencia Coleccionabilidad Rendimiento Aceptabilidad

Ojo: Retina H H M L H L

DNA H H H L H L

Olor y esencia H H H L L M

Voz M L L M L H
Firma L L L H L H

Golpe teclado L L L M L M

Paso M L L H L H

Leyenda: H = High (ALTA), M = Medium (MEDIA), y L = Low (BAJA).

Universalidad: todos lo tienen Único: para la persona

Permanencia: cambio en el tiempo Coleccionabilidad: recolectable o medido
Rendimiento: errores (falso positivo / falso negativo)
Aceptabilidad: grado de aceptación de la gente
 Control de Accesos
Modelos de Arquitectura:
■ Ilustran las implementaciones de control de acceso y
puede ayudar a las organizaciones a realizar mejoras
rápidas a través de la adaptación.
■ Base de cálculo de confianza (TrustedCalculeBased)
■ Parte de la serie TCSEC Rainbow
■ Utilizado para hacer cumplir la política de seguridad (reglas de
configuración del sistema)
■ Los mayores desafíos incluyen canales encubiertos (transferir
información entre emisor y receptor con preacuerdo (códigos)):
■ Canales de almacenamiento (receptor percibe un cambio en valor de
recurso)
■ Canales de temporización (receptor percibe cambio en tiempo de recurso)
 Control de Accesos
Modelos de Arquitectura:
TCSEC: “Trusted Computer System Evaluation Criteria”:
D – Protección mínima; C – Protección Discrecional (Ident/aut)
B – Protección mandatoria (Modelo de política, etiquetado de datos y control de acceso
obligatorio);
A – Protección Verificada ( Documentación formal de arquitectura y técnicas de verificación
establecidas)

ITSEC: “Information Technology Security Evaluation Criteria”

■ Compara objetivos de evaluación (ToE) con especificaciones de funciones de seguridad
detalladas
■ Requisitos de aseguramiento de seguridad: E00: Inadecuado; E01: Seguridad Discrecional; E02:
Acceso Controlado; E03: Security Labels; E04: Seguridad Estructurada; E05: Dominios de Seguridad; E06:
Seguridad Verificada

Los criterios comunes

■ Considerado sucesor de TCSEC e ITSEC
■ Es un estándar internacional (ISO/IEC 15408) para la certificación en Seguridad de cómputo
■ Es un marco en el que los usuarios de sistemas informáticos pueden especificar sus requisitos funcionales y de
aseguramiento de seguridad (SFR y SAR respectivamente) en un objetivo de seguridad (ST), y pueden tomarse de
los perfiles de protección (PP).
 Control de Accesos
Modelos de Arquitectura:
Modelo de confidencialidad Bell-LaPadula
■ Modelo de referencia de máquina de estado. Usado para fortalecer control
de acceso en aplicaciones de gobierno y militar. Utiliza el principio "no leer,
no anotar"
■ Modelo de integridad Biba
■ Diseñado para evitar la corrupción de entidades de mayor integridad
■ Basado en el principio de "no escribir, no leer"
■ Modelo de integridad Clark-Wilson
■ Sin cambios por sujetos no autorizados
■ No hay cambios no autorizados por parte de sujetos autorizados
■ Mantenimiento de consistencia interna y externa
■ Modelo de control de acceso Graham-Denning
■ Compuesto por un conjunto de objetos, un conjunto de sujetos y un
conjunto de derechos. Para especificar y analizar una política de
integridad para un sistema informático
 Firewalls
■ En seguridad de la información, una combinación
de hardware y software que filtra o impide que
la información específica se mueva entre la
red externa (no confiable) y la interna (de
confianza).
■ Tal vez:
■ Sistema de computadora separado
■ Servicio de software ejecutándose en un enrutador o
servidor existente
■ Red separada que contiene dispositivos de soporte
 Firewalls
Modos de procesamiento:
Según esto los cortafuegos se pueden categorizar en:
■ Filtrado de paquetes
■ Proxy de capa de aplicación
■ Cortafuegos de capa MAC
■ Híbridos
 Firewalls
Modo de procesamiento: FILTRADO DE PAQUETES
■ Los firewalls de filtrado de paquetes examinan la
información del encabezado de los paquetes de datos.
■ La mayoría de las veces se basa en la combinación
de:
■ Dirección IP de origen y destino
■ Dirección (entrante o saliente)
■ Solicitudes de puerto de origen y destino del Protocolo de control
de transmisión (TCP) o Protocolo de datagramas de usuario (UDP)
■ Los modelos de firewall simples imponen reglas
diseñadas para prohibir que los paquetes con ciertas
direcciones o direcciones parciales pasen por el
dispositivo.
 Firewalls
Modo de procesamiento: FILTRADO DE PAQUETES
Hay 3 subconjuntos de cortafuegos que filtran paquetes:
1. Filtrado estático: requiere que las reglas de filtrado se
desarrollen e instalen dentro del firewall
2. Filtrado dinámico: permite que el firewall reaccione a un
evento emergente y actualice o cree reglas para lidiar
con ese evento
3. Cortafuegos Stateful Packet Inspection (SPI): realizan un
seguimiento de cada conexión de red entre
sistemas internos y externos utilizando una tabla de
estados
 Firewalls
Estructura de paquete IP
 Firewalls
Estructura de paquete TCP
 Firewalls
Estructura de datagrama UDP
 Firewalls
Ruteador de filtrado de paquetes
Ruteador Packet filtering
Usado como Firewall
Red confiable

Paquetes de
Datos sin
restr.

Untrusted
Network
Paquetes de
Paquetes de datos Datos
bloqueados filtrados

Direccion Origen Direccion destino servicio accción

172.16.x.x 10.10.x.x cualquiera
Denegado
192.168.x.x 10.10.10.25 HTTP Permitido
192.168.0.1 10.10.10.10
Incapaces de detectar FTP
modificaciones de encabezado de paquetes (IP spofing )
Permitido
 Firewalls
■ Modo de procesamiento: Proxy de capa de aplicación
■ Un dispositivo capaz de funcionar como un servidor de seguridad y
un servidor proxy de capa de aplicación.

■ Dado que los servidores proxy a menudo se colocan en áreas no

seguras de la red (por ejemplo, DMZ), están expuestos a niveles
más altos de riesgo de redes menos confiables.

■ Se pueden implementar enrutadores de filtrado adicionales detrás

del firewall proxy, protegiendo aún más los sistemas internos.
 Firewalls
■ Modo de procesamiento: Cortafuegos de capa MAC
■ Diseñado para operar en la subcapa de control de acceso a
medios de la capa de enlace de datos de la red

■ Toma decisiones de filtrado basadas en la identidad de la

computadora host específica

■ Las direcciones MAC de equipos host específicos están vinculadas

a las entradas de la lista de control de acceso (ACL) que
identifican tipos específicos de paquetes que se pueden enviar a
cada host; todo el resto del tráfico está bloqueado
 Firewalls
■ Modo de procesamiento: Híbridos
■ Combina elementos de otros tipos de cortafuegos, es decir,
elementos de filtrado de paquetes y servicios proxy

■ Alternativamente, puede consistir en dos dispositivos de

firewall separados; cada uno es un sistema de firewall
separado, pero conectado para trabajar uno detrás de otro

■ Permite a una organización realizar mejoras de seguridad

sin reemplazar por completo los firewalls existentes

■ Incluye los dispositivos Firewall de próxima generación

(NGFW) y Unified Threat Management (UTM)
 Firewalls
Tipos de Firewall y modelos de protocolos
 Firewalls
ARQUITECTURAS:
• Los cortafuegos se pueden configurar en varias arquitecturas
de conexión de red.
• La mejor configuración depende de tres factores:
• Objetivos de la red
• Capacidad de la organización para desarrollar e
implementar arquitecturas
• Presupuesto disponible para la función
• Hay 3 implementaciones arquitectónicas comunes de
cortafuegos:
• host de bastión único
• host de filtrado
• subred filtrada (con DMZ).
 Firewalls
ARQUITECTURAS: Host de bastión único
• Conocido comúnmente como host de sacrificio, ya que
se erige como único defensor en el perímetro de la red
• Por lo general, se implementa como un Firewall de host
de bastión dual, que contiene dos tarjetas de interfaz de
red (NIC): una que está conectada a una red externa
y otra que está conectada a la red interna.
• La implementación de esta arquitectura a menudo hace
uso de la traducción de direcciones de red (NAT), creando
otra barrera a la intrusión de atacantes externos.
 Firewall de host de bastión dual
Dual-homed Host Ruteador de
Usada como firewall para proveer Filtro interno
Network Address Translation
(NAT) Red confiable
Ruteador de
Filtro externo Proxy de Acceso

Paquetes sin
restricción

Red no
confiable
Paquetes de datos Paquetes de datos
externos bloqueados internos bloqueados

Direcciones de IP públicas NAT Direcciones locales asignadas

10.X.X.X ---🡪 rango A (16´ de direcciones)
192.168.X.X -🡪 rango B (65,500 direcciones)
172.16.15.0 -🡪 rango C (4,000 direcciones)
 Firewalls
ARQUITECTURAS: Host de filtrado
• Combina el enrutador de filtrado de paquetes con un
firewall dedicado y separado, como un servidor proxy de
aplicaciones
• Permite que el enrutador preseleccione los paquetes para
minimizar el tráfico / carga en el proxy interno
• Requiere un ataque externo para comprometer dos
sistemas separados antes de que el ataque pueda
acceder a los datos internos
ARQUITECTURA: Host de filtrado

Bastion-host
Pa
que
tes Red confiable
De
Proxy de
dat Acceso
Paquetes sin
os
restricción filt
Red rad
insegura os
Firewall a nivel
Paquetes de
Datos de aplicación
bloqueados
 Firewalls
ARQUITECTURAS: subred filtrada (con DMZ)
• Es la arquitectura dominante utilizada hoy
• Por lo general, consta de dos o más firewalls internos
detrás del enrutador de filtrado de paquetes, cada uno de
los cuales protege una red confiable:

• Las conexiones desde la red externa o no confiable se

enrutan a través del ruteador de filtrado externo.
• Las conexiones desde la red externa o no confiable se
enrutan dentro y fuera del firewall de enrutamiento para
separar el segmento de red conocido como DMZ.
• Las conexiones a la red interna de confianza solo se
permiten desde los servidores de host de bastión
DMZ.
 Firewalls
ARQUITECTURAS: subred filtrada (con DMZ)
• La subred filtrada realiza dos funciones:
• Protege los sistemas DMZ y la información de
amenazas externas
• Protege las redes internas al limitar cómo las
conexiones externas pueden obtener acceso a los
sistemas internos

Otra faceta de las DMZ: creación de extranets

 ARQUITECTURA subred filtrada (con
DMZ)

Zona Desmilitarizada
(DMZ)
Servidores
Trusted network
Acceso
Proxy de acceso
controlado

Red no
confiable
Paquetes de
Datos Ruteador de filtros
bloqueados
externo Ruteador de
Filtros interno
10.X.X.X ---🡪 rango A (16´ de direcciones)
192.168.X.X -🡪 rango B (65,500 direcciones)
172.16.15.0 -🡪 rango C (4,000 direcciones)
Ejemplo de configuración de red
Seleccionando el Firewall correcto

■ Que tipo de tecnología de firewall ofrece el

balance correcto de características de
protección y costo para las
necesidades de la organización?
■ ¿Qué características están incluidas en el
precio base? ¿Qué otras están disponibles
con costo extra? Son conocidos todos los
factores de costo
 Seleccionando el Firewall correcto
■ ¿Cuán fácil es establecer y configurar el Firewall?
¿Cuán entrenado está el personal técnico
en los conocimientos para hacerlo bien?
■ ¿Puede el firewall candidato adaptarse a la
creciente red de la organización objetivo?
• El factor más importante es la provisión de la
protección requerida
• El segundo problema más importante es el costo
Configurando y Gestionando Firewalls
■ La organización debe proporcionar la configuración
inicial y la administración continua de firewall (s)
■ Cada dispositivo de firewall tendrá su propio juego de
reglas de configuración que regulan sus acciones
■ La configuración de la política del firewall
generalmente es compleja y difícil
■ Configurar políticas de firewall es tanto un arte como
una ciencia
■ Cuando hay conflicto entre las reglas de seguridad y el
rendimiento del negocio, la seguridad pierde ya que
las organizaciones son mucho más deseosas de
vivir con un riesgo potencial que con una cierta
falla
 Prácticas recomendadas para Firewall
■ Que todo el tráfico desde la red confiable se le
permita salir
■ Que el dispositivo firewall esté siempre
inaccesible directamente desde la red pública
■ Permitir que todo los datos del Protocolo simple de
transporte de correo (SMTP) pase a través del
firewall, pero asegúrese que sea ruteado a un
gateway SMTP bien configurado para que filtre y
rutee el tráfico de mensajes de forma segura
■ Los datos del protocolo de mensajes de control de
Internet (ICMP) son denegados.
 Prácticas recomendadas para Firewall
■ Bloquee los servicios de telnet (terminal emulation) que acceda a
los servidores internos desde las redes públicas. En su lugar
use VPN u otro sistema seguro de autenticación.
■ Cuando se ofrezcan servicios Web fuera del firewall, niegue todo
el tráfico HTTP que alcance a su red interna usando alguna
forma de Proxy de acceso o arquitectura DMZ
■ Todos los datos que no son verificablemente auténticos deben
ser denegados.
Reglas de firewall
• Los cortafuegos operan al examinar los paquetes de datos y
realizar la comparación con reglas lógicas predeterminadas
• La lógica se basa en un conjunto de directrices comúnmente
denominadas reglas de firewall, base de reglas o lógica de
firewall.
• La mayoría de los cortafuegos usan información del
encabezado del paquete para determinar si un paquete
específico debe permitirse o denegarse.
Lista de puertos conocidos
Port Number Protocol

7 Echo

20 File Transfer [Default Data] (FTP)

21 File Transfer [Control] (FTP)

23 Telnet

Simple Mail Transfer Protocol

25
(SMTP)

53 Domain Name System (DNS)

80 Hypertext Transfer Protocol (HTTP)
Post Office Protocol version 3
110
(POP3)
Simple Network Management
161
Protocol (SNMP)
 Filtros de contenido
• Un programa de software o dispositivo de hardware /
software que permite a los administradores restringir
el contenido que entra o sale de una red
• Esencialmente un conjunto de scripts o programas
que restringen el acceso del usuario a ciertos
protocolos de red / ubicaciones de Internet
• Propósito principal de restringir el acceso interno a
material externo
• Los filtros de contenido más comunes restringen a
los usuarios el acceso a sitios web no comerciales o
rechazan el correo no deseado entrante
 Redes privadas virtuales (VPN)
• Conexión de red privada y segura entre sistemas;
utiliza la capacidad de comunicación de datos de
redes públicas y no seguras
• Extiende de forma segura las conexiones de red
internas de la organización a ubicaciones remotas
• Tres tecnologías VPN definidas:
• VPN de confianza
• VPN segura
• VPN híbrida (combina confianza y seguridad)
 Redes privadas virtuales (VPN)
• VPN debe lograr:
• Encapsulación de datos entrantes y salientes
• Cifrado de datos entrantes y salientes
• Autenticación de computadora remota y tal vez
usuario remoto también
• En la implementación más común, permite al usuario
convertir Internet en una red privada
 Redes privadas virtuales (VPN)
• Modo de transporte
• Los datos dentro del paquete IP están encriptados,
pero la información del encabezado no está
• Permite al usuario establecer un enlace seguro
directamente con el host remoto, encriptando solo el
contenido de datos del paquete
• Dos usos populares:
• Transporte de extremo a extremo de datos encriptados
• El trabajo de acceso remoto se conecta a una red de
oficina a través de Internet conectándose a un servidor
VPN en el perímetro
 Redes privadas virtuales (VPN)
• Modo de transporte
 Redes privadas virtuales (VPN)
• Modo Túnel
• Establece dos servidores de túnel perimetrales para
encriptar todo el tráfico que atravesará una red no
segura
• Paquete de cliente completo encriptado y agregado
como parte de datos del paquete de un servidor de
túnel a otro
• El principal beneficio de este modelo es que un
paquete interceptado no revela nada sobre el
verdadero sistema de destino
• Ejemplo de VPN en modo de túnel: Servidor de
Seguridad y Aceleración de Internet (ISA) de Microsoft
 Redes privadas virtuales (VPN)
• Modo Túnel
 Resumen
• El control de acceso es un proceso por el cual los
sistemas determinan cómo admitir a un usuario en un
área confiable de la organización.
• Todos los enfoques de control de acceso se basan en la
identificación, autenticación, autorización y
responsabilidad de acciones.
• Un firewall es cualquier dispositivo que impide que un tipo
específico de información se mueva entre la red externa,
conocida como la red que no es de confianza, y la red
interna, conocida como la red confiable.
• Los firewalls se pueden clasificar en cuatro grupos:
filtrado de paquetes, capas MAC, gateways de
aplicaciones y firewalls híbridos.
 Resumen
• Los firewalls de filtrado de paquetes se pueden
implementar como filtros estáticos, filtros dinámicos y
firewalls de inspección con estado.
• Las tres implementaciones arquitectónicas comunes de
los firewalls son hosts de bastión único, hosts
seleccionados y subredes filtradas.
• Las VPN permiten que las oficinas remotas y los usuarios
se conecten a redes privadas de forma segura a través
de redes públicas.