TEMA-1

INDICE Conceptos: Fiabilidad , confidencialidad , integridad y disponibilidad. Elementos vulnerables en el sistema informático: hardware, software y datos. Análisis de las principales vulnerabilidades de un sistema informático. Amenazas tipos: Amenazas físicas y amenazas lógicas Seguridad física y ambiental: Ubicación y protección física de los equipos y servidores.

Capítulo: adopción de pautas de seguridad

Sistemas de alimentación ininterrumpida

2

TEMA-1

CONCEPTOS SEGURIDAD Los conceptos confidencialidad, integridad o disponibilidad son muy comunes en el ámbito de la seguridad y aparecen como fundamentales en toda arquitectura de seguridad de la información, ya sea en el ámbito de la protección de datos, normativa vigente relacionada con la protección de datos de carácter personal, como de códigos de buenas prácticas o recomendaciones sobre gestión de la seguridad de la información y de prestigiosas certificaciones internacionales, éstas últimas, relacionadas con la auditoría de los sistemas de información.

CONFIDENCIALIDAD Se trata de la cualidad que debe poseer un documento o archivo para que este solo se entienda de manera comprensible o sea leído por la persona o sistema que este autorizado.

INTEGRIDAD La integridad es la cualidad que posee un documento o archivo que no ha sido alterado y que además permite comprobar que no se ha producido manipulación alguna en el documento original. Aplicado a las bases de datos seria la correspondencia entre los datos y los hechos que refleja.

Capítulo: adopción de pautas de seguridad

De esta manera se dice que un documento (o archivo o mensaje) es confidencial si y solo si puede ser comprendido por la persona o entidad a quien va dirigida o esté autorizada. En el caso de un mensaje esto evita que exista una intercepción de este y que pueda ser leído por una persona no autorizada.

3

TEMA-1

DISPONIBILIDAD Se trata de la capacidad de un servicio, de unos datos o de un sistema, a ser accesible y utilizable por los usuarios (o procesos) autorizados cuando estos lo requieran. Probabilidad de buen funcionamiento de algo.

FIABILIDAD Es como "probabilidad de buen funcionamiento de algo". Por tanto, se dice que la fiabilidad de un sistema es la probabilidad de que ese sistema funcione o desarrolle una cierta función, bajo condiciones fijadas y durante un período determinado.

ELEMENTOS VULNERABLES EN EL SISTEMA INFORMATICO Una vulnerabilidad o fallo de seguridad, es todo aquello que provoca que nuestros sistemas informáticos funcionen de manera diferente para lo que estaban pensados, afectando a la seguridad de los mismos, pudiendo llegar a provocar entre otras cosas la pérdida y robo de información sensible.

Ataques al hardware: Se pueden producir de forma intencionada o no. Ataques al software: Se pueden centrar contra los programas del sistema operativo, a los programas de utilidad o a los programas de usuario. Necesita de mayores conocimientos técnicos (para los ataques hardware, por ejemplo, bastaría con unas tijeras, un mazo... cerillas...) Existe gran variedad de ataques software: Bomba lógica: el programa incluye instrucciones que, al cumplirse una condición, provocan una distorsión del funcionamiento normal del programa, que normalmente, deriva en daños al ordenador que lo ejecuta. Esta técnica es usada por algunos programadores. Introducen en la aplicación un código que se activa en una fecha determinada para que, si no ha cobrado por su trabajo ese día, destruya la información del ordenador en el que ha sido instalado. Virus. Todos sabemos lo que son, cómo se comportan e incluso habremos sufrido sus consecuencias. Hoy en día, la conectividad entre ordenadores hace que existan muchísimos más de los 30 o 40 mil conocidos a finales de los 80, y

Capítulo: adopción de pautas de seguridad

Incendios fortuitos en los sistemas, fallos físicos, rotura física de cables....

4

TEMA-1

que su impacto, cuando logran trascender, sea mucho mayor. Gusanos. Son programas que se replican, la línea que los separa de los virus es muy delgada. Backdoors o puertas falsas: Son programas que permiten la entrada en el sistema de manera que el usuario habitual del mismo no tenga conocimiento de este ataque. Caballos de Troya: El objetivo de estos programas no es el mismo para el que aparentemente están diseñados. Se utilizan normalmente para instalar puertas traseras.

Ataques al personal: Consiste realmente en mantener un trato social con las personas que custodian datos. Indagar en sus costumbres o conocerlas más profundamente para perpetrar posteriormente un ataque más elaborado.

Existen diferentes vulnerabilidades que, dependiendo de sus características, las podemos clasificar e identificar en los siguientes tipos:

De configuración Si la gestión administrable por el usuario es tal que hace que el sistema sea vulnerable, la vulnerabilidad no es debida al diseño del mismo si no a cómo el usuario final configura el sistema. También se considera error de este tipo cuando la configuración por defecto del sistema es insegura, por ejemplo una aplicación recién instalada que cuenta de base con usuarios por defecto.

Validación de entrada

Capítulo: adopción de pautas de seguridad

ANALISIS DE LAS PRINCIPALES VULNERABILIDADES DE UN SISTEMA INFORMATICO.

5

TEMA-1

Se produce cuando la entrada que procesa un sistema no es comprobada adecuadamente de forma que una vulnerabilidad puede ser aprovechada por una cierta secuencia de entrada.

Salto de directorio Ésta aprovecha para desplazarse por el árbol de directorios hasta la raíz del volumen del sistema. El atacante podrá entonces desplazarse a través de las carpetas de archivos del sistema operativo para ejecutar una utilidad de forma remota.

Seguimiento de enlaces Se producen cuando no existe una protección lo suficientemente robusta que evite el acceso a un directorio o archivo desde un enlace simbólico o acceso directo.

Inyección de comandos en el sistema operativo Con este tipo de vulnerabilidad lo utilizamos para referirnos a la capacidad de un usuario, que controla la entrada de comandos, para ejecutar instrucciones que puedan comprometer la integridad del sistema.

Secuencias de comandos en sitios cruzados (XSS)

Inyección SQL Inyección SQL es una vulnerabilidad informática en el nivel de base de datos de una aplicación. Una inyección de código SQL sucede cuando se inserta un trozo de código SQL dentro de otro código SQL con el fin de modificar su comportamiento, haciendo que ejecute el código malicioso en la base de datos. El hecho de que un servidor pueda verse afectado por las inyecciones SQL se debe a la falta de medidas de seguridad por parte de sus diseñadores/programadores.

Inyección de código

Capítulo: adopción de pautas de seguridad

Este tipo de vulnerabilidad abarca cualquier ataque que permita ejecutar código de "scripting", como VBScript o java script, en el contexto de otro dominio. Estos errores se pueden encontrar en cualquier aplicación HTML, no se limita a sitios web, ya que puede haber aplicaciones locales vulnerables a XSS, o incluso el navegador en sí. Hay dos tipos:  Indirecta: consiste en modificar valores que la aplicación web utiliza para pasar variables entre dos páginas, sin usar sesiones.  Directa: consiste en localizar puntos débiles en la programación de los filtros.

6

TEMA-1

Aquí encontramos distintos sub-tipos dentro de esta clase de vulnerabilidad:  Inyección directa de código estático: En una inyección de código de tipo estático o también llamada permanente, una vez inyectado el código en una determinada parte de la aplicación web, este código queda almacenado en una base de datos. Una de las es utilizar una combinación apropiada de listas negras y listas blancas para asegurar que solamente las entradas válidas y previstas son procesadas por el sistema.  Evaluación directa de código dinámico: Permite que las entradas sean introducidas directamente en una función que evalúa y ejecuta dinámicamente la entrada como código. En una inyección de código de tipo dinámico o no permanente la inyección tiene un tiempo de vida limitado y no se almacena, al menos permanentemente, en ningún sitio. Las soluciones más apropiadas son las mismas que para la inyección directa de código estático.

Inclusión remota de archivo PHP: vulnerabilidad existente únicamente en paginas dinámicas escritas en PHP está debida a la inclusión de la función include() la cual permite el enlace de archivos situados en otros servidores, mediante los cuales se puede ejecutar código PHP en el servidor.

Error de búfer

 El desbordamiento del búfer: un búfer se desborda cuando, de forma incontrolada, al intentar meter en él más datos de los que caben, ese exceso se vierte en zonas del sistema causando daños. Son defectos de programación y existen algunos lenguajes que impiden que los desbordamientos puedan ocurrir.  El agotamiento del búfer :Es un estado que ocurre cuando un búfer usado para comunicarse entre dos dispositivos o procesos se alimenta con datos a una velocidad más baja que los datos se están leyendo en ellos. Esto requiere que la lectura del programa o del dispositivo del búfer detenga brevemente su proceso.

Formato de cadena

Capítulo: adopción de pautas de seguridad

Un búfer es una ubicación de la memoria en una computadora o en un instrumento digital reservada para el almacenamiento temporal de información digital, mientras que está esperando ser procesada.

7

TEMA-1

Nos referimos a este tipo de vulnerabilidad cuando se produce a través de cadenas de formato controladas externamente, como el tipo de funciones "printf" en el lenguaje "C" que pueden conducir a provocar desbordamientos de búfer o problemas en la representación de los datos.

 Errores numéricos  El desbordamiento de entero (integer overflow): un desbordamiento del número entero ocurre cuando una operación aritmética procura crear un valor numérico que sea más grande del que se puede representar dentro del espacio de almacenaje disponible.  El agotamiento de entero (integer underflow): consiste en que un valor se resta de otro, que es menor que el valor mínimo del número entero, y que produce un valor que no es igual que el resultado correcto.

Revelación/Filtrado de información Un filtrado o escape de información puede ser intencionado o no intencionado. En este aspecto los atacantes pueden aprovechar esta vulnerabilidad para descubrir el directorio de instalación de una aplicación, la visualización de mensajes privados, etc. La severidad de esta vulnerabilidad depende del tipo de información que se puede filtrar.

Gestión de credenciales Este tipo de vulnerabilidad tiene que ver con la gestión de usuarios, contraseñas y los ficheros que almacenan este tipo de información. Cualquier debilidad en estos elementos es considerado como una vulnerabilidad que puede ser explotada por un atacante.

Permisos, privilegios y/o control de acceso

Fallo de autenticación Esta vulnerabilidad se produce cuando la aplicación o el sistema no es capaz de autenticar al usuario, proceso, etc. correctamente.

Carácter criptográfico La generación de números aleatorios para generar secuencias criptográficas, la debilidad o distintos fallos en los algoritmos de encriptación así como defectos en su implementación estarían ubicados dentro de este tipo de vulnerabilidad.

Falsificación de petición en sitios cruzados (CSRF) Este tipo de vulnerabilidad afecta a las aplicaciones web con una estructura de invocación predecible. El agresor puede colocar en la página cualquier código, el cual posteriormente puede servir para la ejecución de operaciones no

Capítulo: adopción de pautas de seguridad

Se produce cuando el mecanismo de control de acceso o asignación de permisos es defectuoso. Hay que tener en cuenta que se trata del sistema en sí y no se debe confundir con una mala gestión por parte del administrador.

8

TEMA-1

planificadas por el creador del sitio web, por ejemplo, capturar archivos cookies sin que el usuario se percate. El tipo de ataque CSRF más popular se basa en el uso del marcador HTML , el cual sirve para la visualización de gráficos. En vez del marcador con la URL del archivo gráfico, el agresor pone un tag que lleva a un código Java Script que es ejecutado en el navegador de la víctima.

Condición de carrera Una condición de carrera se produce cuando varios procesos tratan de acceder y manipular los mismos datos simultáneamente. Los resultados de la ejecución dependerán del orden particular en que el acceso se lleva a cabo. Una condición de carrera puede ser interesante para un atacante cuando ésta puede ser utilizada para obtener acceso al sistema.

Error en la gestión de recursos El sistema o software que adolece de este tipo de vulnerabilidad permite al atacante provocar un consumo excesivo en los recursos del sistema (disco, memoria y CPU). Esto puede causar que el sistema deje de responder y provocar denegaciones de servicio.

Error de diseño

AMENAZAS La amenaza representa el tipo de acción que tiende a ser dañina, mientras que la vulnerabilidad representa el grado de exposición a las amenazas en un contexto particular. Finalmente, la contramedida representa todas las acciones que se implementan para prevenir la amenaza. Estos fenómenos pueden ser causados por:  El usuario  Programa maliciosos  Un intruso  Un siniestro(robo,incendio,por agua)  El personal interno del sistema  Operadores

Capítulo: adopción de pautas de seguridad

En ocasiones los programadores bien por culpa de los entornos de trabajo o bien por su metodología de programación, cometen errores en el diseño de las aplicaciones. Esto provoca que puedan aparecer fallos de seguridad y la consiguiente vulnerabilidad.

9

TEMA-1

TIPOS DE AMENAZAS: FÍSICAS Y LÓGICAS AMENAZAS FÍSICAS:

Por ejemplo, los bajos niveles de humedad son una amenaza que puede encontrarse en cualquier sector del centro de datos, de modo que La cantidad y la ubicación de los sensores de humedad es un punto clave a tener en cuenta a la hora de controlar dicha amenaza. Este tipo de amenazas pueden estar distribuidas en cualquier sector del centro de datos, en distintas ubicaciones según la disposición de la sala y la ubicación de los equipos. Las Amenazas físicas distribuidas que se explican en este informe se dividen en estas categorías generales: • Amenazas a los equipos informáticos relacionadas con la calidad del aire (temperatura,

Capítulo: adopción de pautas de seguridad

Entre las amenazas físicas a los equipos informáticos se encuentran los problemas de alimentación y enfriamiento, los errores humanos o actividades maliciosas, los incendios, las pérdidas y la calidad del aire. Algunas de estas amenazas, incluyendo aquellas relacionadas con la alimentación y algunas relacionadas con el enfriamiento y los incendios, se monitorean regularmente por medio de capacidades integradas en los dispositivos de alimentación, enfriamiento y extinción de incendios. Por ejemplo, los sistemas UPS monitorean la calidad de la energía, la carga y la integridad de las baterías; las unidades PDU monitorean las cargas de los circuitos; las unidades de enfriamiento monitorean las temperaturas de entrada y salida y el estado de los filtros; los sistemas de extinción de incendios (los que exigen los códigos de edificación) monitorean la presencia de humo o exceso de calor. Estas amenazas físicas monitoreadas en forma automática son una parte clave de Los sistemas de administración integral, pero en este informe no se tratará este tema. Sin embargo, para cierta clase de amenazas físicas en el centro de datos –y hablamos de amenazas graves–, El usuario no cuenta con soluciones de monitoreo prediseñadas e integradas.

10

TEMA-1

Humedad) • Filtraciones de líquidos • Presencia de personas o actividades inusuales • Amenazas al personal relacionadas con la calidad del aire (sustancias extrañas suspendidas En el aire) • Humo e incendios provocados por los peligros del centro de datos Ejemplos de amenazas físicas:

DEFINICION

IMPACTO EN EL CENTRO DE DATOS

Temperatura del aire

Temperatura del aire en la sala, el rack y los equipos

Fallas en los equipos y disminución de la vida útil de los equipos debido a temperaturas mayores de las especificadas y/o cambios drásticos de temperatura Fallas en los equipos debido a la acumulación de electricidad estática en los puntos de baja humedad Formación de condensación en los puntos de humedad alta Daños en los pisos, el cableado y los equipos causados por líquidos Indicios de problemas en la unidad CRAC Daño a los equipos y pérdida de datos Tiempos de inactividad de los equipos Robo o sabotaje de equipos

Humedad

Humedad relativa de la sala y del rack a una temperatura determinada

Filtraciones de líquidos

Filtraciones de agua o refrigerante

Error humano y acceso del personal

Daños involuntarios causados por el personal Ingreso no autorizado y/o por la fuerza al centro de datos con intenciones maliciosas

Humo e incendios

Incendio de equipos eléctricos o materiales

Contaminantes peligrosos suspendidos en aire.

Químicos suspendidos en el aire, como hidrógeno de las baterías, y partículas, como polvo

Fallas en los equipos Pérdida de bienes y datos Situaciones de riesgo para el personal y/o falta de confiabilidad en el sistema UPS, y fallas debidas a la emanación de hidrógeno Fallas en los equipos debidas al aumento de la electricidad estática y a la obstrucción de

TIPOS DE SENSORES Sensores de temperatura

Sensores de humedad

Sensores de cable de filtraciones Sensores puntuales de filtraciones Cámaras digitales de video Sensores de movimiento Conmutadores de rack Conmutadores de la sala Sensores de rotura de vidrios Sensores de vibración Detectores de humo suplementario Sensores de químicos/hidrógeno Sensores de polvo

Capítulo: adopción de pautas de seguridad

AMENAZA

11

TEMA-1

filtros/ventiladores por la acumulación de polvo

AMENAZAS LÓGICAS Encontramos todo tipo de programas que de una forma u otra pueden dañar a nuestro sistema, creados de forma intencionada para ello (software malicioso, también conocido como malware) o simplemente por error (bugs o agujeros).

 HERRAMIENTAS DE SEGURIDAD Cualquier herramienta de seguridad representa un arma de doble filo: de la misma forma que un administrador las utiliza para detectar y solucionar fallos en sus sistemas o en la subred completa, un potencial intruso las puede utilizar para detectar esos mismos fallos y aprovecharlos para atacar los equipos. Herramientas como NESSUS, SAINT o SATAN pasan de ser útiles a ser peligrosas cuando las utilizan crackers que buscan información sobre las vulnerabilidades de un host o de una red completa.

PUERTAS TRASERAS En un sistema informático es una secuencia especial dentro del código de programación, mediante la cual se pueden evitar los sistemas de seguridad del algoritmo (autentificación) para acceder al sistema. Aunque estas puertas pueden ser utilizadas para fines maliciosos y espionaje no siempre son un error, pueden haber sido diseñadas con la intención de tener una entrada secreta.



BOMBAS LÓGICAS Son virus convencionales y pueden tener una o más de las características de los demás tipos de virus pero la diferencia está dada por el trigger de su módulo de ataque que se disparará en una fecha determinada. No siempre pretenden crear un daño específico. Por lo

Capítulo: adopción de pautas de seguridad



12

TEMA-1

general muestran mensajes en la pantalla en alguna fecha que representa un evento importante para el programador.



CANALES CUBIERTOS Son canales de comunicación que permiten a un proceso transferir información de forma que viole la política de seguridad del sistema; dicho de otra forma, un proceso transmite información a otros (locales o remotos) que no están autorizados a leer dicha información.

 VIRUS Es un malware que tiene por objeto alterar el normal funcionamiento de la computadora, sin el permiso o el conocimiento del usuario. Los virus, habitualmente, reemplazan archivos ejecutables por otros infectados con el código de este. Los virus pueden destruir, de manera intencionada, los datos almacenados en un ordenador, aunque también existen otros más inofensivos, que solo se caracterizan por ser molestos.

 CABALLOS DE TROYA Es un software malicioso que se presenta al usuario como un programa aparentemente legítimo e inofensivo pero al ejecutarlo ocasiona daños. Los troyanos pueden realizar diferentes tareas, pero, en la mayoría de los casos crean una puerta trasera que permite la administración remota a un usuario no autorizado.

Capítulo: adopción de pautas de seguridad

 GUSANOS Es un malware que tiene la propiedad de duplicarse a sí mismo. Los gusanos utilizan las partes automáticas de un sistema operativo que generalmente son invisibles al usuario.

13

TEMA-1





PROGRAMAS CONEJO O BACTERIAS El ordenador ejecutaba los programas de cada usuario dependiendo de su prioridad y tiempo de espera. Si se estaba ejecutando un programa y llegaba otro de prioridad superior, atendía al recién llegado y al acabar continuaba con lo que hacía con anterioridad. Como por regla general, los estudiantes tenían prioridad mínima, a alguno de ellos se le ocurrió la idea de crear este virus. El programa se colocaba en la cola de espera y cuando llegaba su turno se ejecutaba haciendo una copia de sí mismo, agregándola también en la cola de espera. Los procesos a ser ejecutados iban multiplicándose hasta consumir toda la memoria de la computadora central interrumpiendo todos los procesamientos. TÉCNICAS SALAMI Por técnica salami se conoce al robo automatizado de pequeñas cantidades de bienes (generalmente dinero) de una gran cantidad origen. El hecho de que la cantidad inicial sea grande y la robada pequeña hace extremadamente difícil su detección: si de una cuenta con varios millones de pesetas se roban unos céntimos, nadie va a darse cuenta de ello; Las técnicas salami no se suelen utilizar para atacar sistemas normales, sino que su uso más habitual es en sistemas bancarios; sin embargo, como en una red con requerimientos de seguridad medios es posible que haya ordenadores dedicados a contabilidad, facturación de un departamento o gestión de nóminas del personal, comentamos esta potencial amenaza contra el software encargado de estas tareas.

SEGURIDAD FISICA Y AMBIENTAL. Nota: Es muy importante ser consciente que por más que nuestra empresa sea la más segura desde el punto de vista de ataques externos, Hackers,

Capítulo: adopción de pautas de seguridad

o Un troyano no es estrictamente un virus informático, y la principal diferencia es que los troyanos no propagan la infección a otros sistemas por sí mismos.

14

TEMA-1

virus, etc. (conceptos luego tratados); la seguridad de la misma será nula si no se ha previsto como combatir un incendio. ¿Sabemos lo que es seguridad física? La seguridad física es uno de los aspectos más olvidados a la hora del diseño de un sistema informático. Si bien algunos de los aspectos tratados a continuación se prevén, otros, como la detección de un atacante interno a la empresa que intenta a acceder físicamente a una sala de operaciones de la misma, no. Esto puede derivar en que para un atacante sea más fácil lograr tomar y copiar una cinta de la sala, que intentar acceder vía lógica a la misma.

¿EN QUE CONSISTE LA SEGURIDAD FISICA? La Seguridad Física consiste en la "aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial". Se refiere a los controles y mecanismos de seguridad dentro y alrededor del Centro de Cómputo así como los medios de acceso remoto al y desde el mismo; implementados para proteger el hardware y medios de almacenamiento de datos.

Tipos de Desastres Este tipo de seguridad está enfocado a cubrir las amenazas ocasionadas tanto por el hombre como por la naturaleza del medio físico en que se encuentra ubicado el centro.

1. Desastres naturales, incendios accidentales tormentas e inundaciones. 2. Amenazas ocasionadas por el hombre. 3. Disturbios, sabotajes internos y externos deliberados. A continuación se analizan los peligros más importantes que se corren en un centro de procesamiento; con el objetivo de mantener una serie de acciones a seguir en forma eficaz y oportuna para la prevención, reducción, recuperación y corrección de los diferentes tipos de riesgos. 1. Incendios: Los incendios son causados por el uso inadecuado de combustibles, fallas de instalaciones eléctricas defectuosas y el inadecuado almacenamiento y traslado de sustancias peligrosas. El fuego es

Capítulo: adopción de pautas de seguridad

Las principales amenazas que se prevén en la seguridad física son:

15

TEMA-1

una de las principales amenazas contra la seguridad. Es considerado el enemigo número uno de las computadoras ya que puede destruir fácilmente los archivos de información y programas. Desgraciadamente los sistemas antifuego dejan mucho que desear, causando casi igual daño que el propio fuego, sobre todo a los elementos electrónicos. El dióxido de carbono, actual alternativa del agua, resulta peligroso para los propios empleados si quedan atrapados en la sala de cómputos.

3. Condiciones Climatológicas La comprobación de los informes climatológicos o la existencia de un servicio que notifique la proximidad de una tormenta severa, permite que se tomen precauciones adicionales, tales como la retirada de objetos móviles, la provisión de calor, iluminación o combustible para la emergencia.

Capítulo: adopción de pautas de seguridad

2. Inundaciones Se define como la invasión de agua por exceso de escurrimientos superficiales o por acumulación en terrenos planos, ocasionada por falta de drenaje ya sea natural o artificial. Esta es una de las causas de mayores desastres en centros de computadoras. Además de las causas naturales de inundaciones, puede existir la posibilidad de una inundación provocada por la necesidad de apagar un incendio en un piso superior. Para evitar este inconveniente se pueden tomar las siguientes medidas: construir un techo impermeable para evitar el paso de agua desde un nivel superior y acondicionar las puertas para contener el agua que bajase por las escaleras.

16

TEMA-1

4. Señales de Radar La influencia de las señales o rayos de radar sobre el funcionamiento de una computadora ha sido exhaustivamente estudiada desde hace varios años. Los resultados de las investigaciones más recientes son que las señales muy fuertes de radar pueden inferir en el procesamiento electrónico de la información, pero únicamente si la señal que alcanza el equipo es de 5 Volts/Metro, o mayor. Ello podría ocurrir sólo si la antena respectiva fuera visible desde una ventana del centro de procesamiento respectivo y, en algún momento, estuviera apuntando directamente hacia dicha ventana.

5. Instalaciones Eléctricas

6. Ergometría El enfoque ergonómico plantea la adaptación de los métodos, los objetos, las maquinarias, herramientas e instrumentos o medios y las condiciones de trabajo a la anatomía, la fisiología y la psicología del operador. Entre los fines de su aplicación se encuentra, fundamentalmente, la protección de los trabajadores contra problemas tales como el agotamiento, las sobrecargas y el envejecimiento prematuro. Acciones Hostiles

Capítulo: adopción de pautas de seguridad

Las subidas (picos) y caídas de tensión no son el único problema eléctrico al que se han de enfrentar los usuarios. También está el tema del ruido que interfiere en el funcionamiento de los componentes electrónicos. El ruido interfiere en los datos, además de favorecer la escucha electrónica.

17

1. Robo Las computadoras son posesiones valiosas de las empresas y están expuestas, de la misma forma que lo están las piezas de stock e incluso el dinero. Es frecuente que los operadores utilicen la computadora de la empresa para realizar trabajos privados o para otras organizaciones y, de esta manera, robar tiempo de máquina. La información importante o confidencial puede ser fácilmente copiada. Muchas empresas invierten millones en programas y archivos de información, a los que dan menor protección que la que otorgan a una máquina de escribir o una calculadora. El software, es una propiedad muy fácilmente sustraíble y las cintas y discos son fácilmente copiados sin dejar ningún rastro 2. Fraude Cada año, una gran cantidad de dinero son sustraídos de empresas y, en muchas ocasiones, las computadoras han sido utilizadas como instrumento para dichos fines. Sin embargo, debido a que ninguna de las partes implicadas (compañía, empleados, fabricantes, auditores, etc.), tienen algo que ganar, sino que más bien pierden en imagen, no se da ninguna publicidad a este tipo de situaciones. 3. Sabotaje El peligro más temido en los centros de procesamiento de datos, es el sabotaje. Empresas que han intentado implementar programas de seguridad de alto nivel, han encontrado que la protección contra el saboteador es uno de los retos más duros. Este puede ser un empleado o un sujeto ajeno a la propia empresa. Físicamente, los imanes son las herramientas a las que se recurre, ya que con una ligera pasada la información desaparece, aunque las cintas estén almacenadas en el interior de su funda de protección. Una habitación llena de cintas puede ser destruida en pocos minutos y los centros de procesamiento de datos pueden ser destruidos sin entrar en ellos. Además, suciedad, partículas de metal o gasolina pueden ser introducidos por los conductos de aire acondicionado. Las líneas de comunicaciones y eléctricas pueden ser cortadas, etc. Control de Accesos El control de acceso no sólo requiere la capacidad de identificación, sino también asociarla a la apertura o cerramiento de puertas, permitir o negar acceso basado en restricciones de tiempo, área o sector dentro de una empresa o institución. 1. Utilización de Guardias El Servicio de Vigilancia es el encargado del control de acceso de todas las personas al edificio. Este servicio es el encargado de colocar los guardias en lugares estratégicos para cumplir con sus objetivos y controlar el acceso del personal.

Capítulo: adopción de pautas de seguridad

TEMA-1

18

TEMA-1

3. Verificación Automática de Firmas (VAF) En este caso lo que se considera es lo que el usuario es capaz de hacer, aunque también podría encuadrarse dentro de las verificaciones biométricas. Mientras es posible para un falsificador producir una buena copia visual o facsímil, es extremadamente difícil reproducir las dinámicas de una persona: por ejemplo la firma genuina con exactitud. La VAF, usando emisiones acústicas toma datos del proceso dinámico de firmar o de escribir. La secuencia sonora de emisión acústica generada por el proceso de escribir constituye un patrón que es único en cada individuo. El patrón contiene información extensa sobre la manera en que la escritura es ejecutada. El equipamiento de colección de firmas es inherentemente de bajo costo y robusto. Esencialmente, consta de un bloque de metal (o algún otro material con propiedades acústicas similares) y una computadora barata.

4. Seguridad con Animales Sirven para grandes extensiones de terreno, y además tienen órganos sensitivos mucho más sensibles que los de cualquier dispositivo y, generalmente, el costo de cuidado y mantenimiento se disminuye considerablemente utilizando este tipo de sistema. Así mismo, este sistema

Capítulo: adopción de pautas de seguridad

2. Utilización de Detectores de Metales El detector de metales es un elemento sumamente práctico para la revisión de personas, ofreciendo grandes ventajas sobre el sistema de palpación manual. La sensibilidad del detector es regulable, permitiendo de esta manera establecer un volumen metálico mínimo, a partir del cual se activará la alarma. La utilización de este tipo de detectores debe hacerse conocer a todo el personal. De este modo, actuará como elemento disuasivo.

19

TEMA-1

posee la desventaja de que los animales pueden ser engañados para lograr el acceso deseado.

5. Protección Electrónica

Conclusiones a la hora de la seguridad física. Evaluar y controlar permanentemente la seguridad física del edificio es la base para o comenzar a integrar la seguridad como una función primordial dentro de cualquier organismo. Tener controlado el ambiente y acceso físico permite:    

disminuir siniestros trabajar mejor manteniendo la sensación de seguridad descartar falsas hipótesis si se produjeran incidentes tener los medios para luchar contra accidentes

UBICACIÓN Y SEGURIDAD FISICA DE LOS EQUIPOS Y SERVIDORES Los incidentes de tipo físico se pueden dividir en dos tipos Básicos:

Incidentes naturales: Incendios, inundaciones, temperatura, alimentación, eléctrica…. Indicentes Humanos: Robos, fraudes, sabotajes…..

Para minimizar el impacto de un posible problema físico tendremos que imponer condiciones de seguridad para los equipos y sistemas de la organización. Por otro lado para que los equipos informáticos funcionen correctamente deben de encontrase en bajo ciertas condiciones. Como es lógico pensar no todos los equipos informáticos de una organización tienen el mismo valor. Para poder tener una buena seguridad debemos saber que equipos y datos son más importantes para la organización.Ejemplo:Un

Capítulo: adopción de pautas de seguridad

Los

20

TEMA-1

servidor y un puesto de trabajo no tendrán las mismas medidas de seguridad , ni físicas ni lógicas. Los servidores dado que su funcionamiento ha de ser continuo deben de situarse en un lugar que cumpla las condiciones optimas para el funcionamiento de estos. Para asegurar los sistemas y equipos que han de mantenerse siempre operativos se crean lugares que se conocen como centro de procesamiento de datos .Para poder asegurar un CPD lo primero que debemos hacer es asegurar el recinto con medidas de seguridad física. SISTEMAS CONTRA INCENDIOS. Existen varios tipos de sistemas de extinción de incendios , como: Extracción de oxigeno, inserción de gases nobles o extintores especiales que eviten el riesgo de electrocución. Es importante intentar evitar los sistemas contra incendios que usen materiales conductores dado que de lo contrario pueden perderse datos de los dispositivos. SISTEMAS DE CONTROL DE ACCESO. SISTEMAS DE LLAVES(tradicionales) SISTEMAS DE CONTRASEÑA

Estos sistemas son lo mas usados por su simplicidad de uso y bajo coste. En estos tipos de sistemas se ha de estableces políticas de contraseñas. Por tanto la organización que emplemente un sistema de contraseña tendrá que indicar a sus usuarios con que periodicidad son cambiadas y que características tienen para ser seguras. 

SISTEMAS TARJETA MAGNÉTICA

Estos sistemas se componen de una tarjeta con una banda magnetica que contiene un código para acceder. 

SISTEMAS RFID.

Estos sistemas se componen de un elemento que reacciona ante una señal , devolviendo un resultado. Existen dispositivos RFID con identificadores únicos certificados por la casa de la moneda. 

SISTEMAS DE TOKEN

Capítulo: adopción de pautas de seguridad

 

21

TEMA-1

Un sistema de token se compone de un elemento móvil llamado token que genera claves aleatorias , para poder funcionar correctamente el token ha de estar sincronizado con el sistema de acceso. Para poder acceder el usuario ha de insertar la clave generada por el token en el sistema, esta generará una clave usando el mismo algoritmo y la comparará. Actualmente se están usando sistemas de token mediante el envió de un sms. SISTEMAS DE CONTROL DE TEMPERATURA Para que los sistemas informáticos funcionen correctamente los elementos físico de los mismos han de encontrarse a cierta temperaturas. Debido a que los equipos informáticos funcionan mediante semiconductores se tienen que mantener entre ciertos valores de temperatura, de lo contrario los semiconductores pierden sus propiedades y dejan de funcionar adecuadamente. La temperatura adecuada de un CPD no debe de superar los 30º.

Un sistema de alimentación ininterrumpida, SAI , es un dispositivo que gracias a sus baterías, puede proporcionar energía eléctrica tras un apagón a todos los dispositivos que tenga conectados. Otra de las funciones de los UPS es la de mejorar la calidad de la energía eléctrica que llega a las cargas, filtrando subidas y bajadas de tensión y eliminando armónicos de la red en el caso de usar corriente alterna.

Capítulo: adopción de pautas de seguridad

SISTEMA DE ALIMENTACION INTERRUMPIDA.

22

TEMA-1

Tipos de SAI. UPS de continua (activo) Las cargas conectadas a los UPS requieren una alimentación de corriente continua, por lo tanto éstos transformarán la corriente alterna de la red comercial a corriente continua y la usarán para alimentar a la carga y almacenarla en sus baterías. Por lo tanto no requieren convertidores entre las baterías y las cargas.

UPS de corriente alterna (pasivo) Estos UPS obtienen a su salida una señal alterna, por lo que necesitan un inversor para transformar la señal continua que proviene de las baterías en una señal alterna.

CAUSA

EFECTOS

CORTES DE ELECTRICIDAD

-Imposible trabajar con equipos eléctricos. -Falta de atención al cliente (supermercados, agencias de viajes, etc). -Daños en el Hardware, pérdida de datos, corrupción de ficheros.

BAJAS DE TENSIÓN

-Reducción de tensión de utilización frecuentemente planificadas. -Fallos de Hardware prematuros. Ficheros corrompidos.

Capítulo: adopción de pautas de seguridad

¿POR QUÉ NECESITAMOS UN SAI UPS?

23

TEMA-1

FLUCTUACIONES DE TENSIÓN

-Sobretensiones o Infratensiones, picos y subidas. -Daños en CPU y discos, circuitería y almacenamiento.

FUIDOS Y TRANSIENTES

-Ruido Eléctrico sobreimpuesto en la línea de utilización. -Armónicos en circuitería y ficheros de datos.

MODO DE FUNCIONAMIENTO El generador de sinusoide (una sinusoide es la forma de onda del 220 alterna que tenemos en nuestros domicilios) es una parte de la placa de control electrónica, en un segundo ha conmutado cada uno de los transistores de conmutación 50 veces, pero opuestos, así cuando el de arriba está conectado, el de abajo no lo está, el siguiente paso es hacer la operación inversa, y así sucesivamente todo el rato. Así, cada parte del transformador solo trabaja con la mitad de la onda, y la suma de las dos es la salida del SAI.

Capítulo: adopción de pautas de seguridad

Para asegurarnos del buen funcionamiento del SAI, así como el estado de la batería, es conveniente de vez en cuando conectar una lámpara en vez del PC al SAI, desconectarlo de la energía y mirar si aguanta bien por lo menos 5 minutos, si no aguanta es posible que la batería ya esté gastada y no aguante la carga. Estas suelen durar unos 4 años, pero pueden durar más o menos tiempo, no hay un tiempo fijo comprobado.

24