INDICE Medios de almacenamiento. - Soportes de almacenamiento. - Almacenamiento redundante y distribuido: RAID y Centros de Respaldo. - Almacenamiento remoto: SAN, NAS y almacenamiento clouding. - Políticas de almacenamiento. Control de acceso lógico: - Identificación, autenticación y autorización - Política de contraseñas. Auditorias de seguridad informática . - Concepto. Tipos de auditorías. - Pruebas y herramientas de auditoría informática. Criptografía. - Objetivos. Conceptos. Historia. - Cifrado y Descifrado. Medidas de seguridad: - Política de seguridad. - Seguridad activa y Seguridad pasiva. •Análisis forense en sistemas informáticos: - Funcionalidad y fases de un análisis forense. - Respuesta a incidentes. - Análisis de evidencias digitales. - Herramientas de análisis forense.

Soportes de almacenamiento. En los dispositivos de almacenamiento del computador, se almacenan en forma temporal o permanentemente los programas y datos que son manejados por las aplicaciones que se ejecutan en estos sistemas. Debido a la cantidad de información que es manejada actualmente por los usuarios, los dispositivos de almacenamiento se han vuelto casi tan importantes como el computador. Aunque actualmente existen dispositivos para almacenar que superan los 650 MB de memoria; no es suficiente por la falta de capacidad para transportar los documentos y hacer reserva de la información más importante. Es por tal razón que hoy en día existen diferentes dispositivos de almacenamiento, que tienen su propia tecnología. En la presente investigación se estudiaran todos y cada uno de los dispositivos de almacenamiento de un computador, las distintas marcas, clasificación, entre otros puntos que se irán desarrollando a medida que se avanza en la investigación. Dispositivos de Almacenamiento de un Computador. Los sistemas informáticos pueden almacenar los datos tanto interna (en la memoria) como externamente (en los dispositivos de almacenamiento). Internamente, las instrucciones o datos pueden almacenarse por un tiempo en los chips de silicio de la RAM (memoria de acceso aleatorio) montados directamente en la placa de circuitos principal de la computadora, o bien en chips montados en tarjetas periféricas conectadas a la placa de circuitos principal del ordenador. Estos chips de RAM constan de conmutadores sensibles a los cambios de la corriente eléctrica, esto quiere decir que los datos son almacenados por tiempo limitado (hasta que dejamos de suministrar energía eléctrica) por esta razón aparecen los dispositivos de almacenamiento secundarios o auxiliares, los cuales son capaces de conservar la información de manera permanente, mientras su estado físico sea óptimo. Los dispositivos de almacenamiento externo pueden residir dentro del CPU y están fuera de la placa de circuito principal. [1] Clasificación de los Dispositivos de Almacenamiento. Los Dispositivos de Almacenamiento se pueden clasificar de acuerdo al modo de acceso a los datos que contienen:

•

•

Acceso secuencial: En el acceso secuencial, el elemento de lectura del dispositivo debe pasar por el espacio ocupado por la totalidad de los datos almacenados previamente al espacio ocupado físicamente por los datos almacenados que componen el conjunto de información a la que se desea acceder. Acceso aleatorio: En el modo de acceso aleatorio, el elemento de lectura accede directamente a la dirección donde se encuentra almacenada físicamente la información que se desea localizar sin tener que pasar previamente por la almacenada entre el principio de la superficie de grabación y el punto donde se almacena la información buscada. Tipos de Dispositivos de Almacenamiento

Memorias: •

Memoria ROM: Esta memoria es sólo de lectura, y sirve para almacenar el programa básico de iniciación, instalado desde fábrica. Este programa entra en función en cuanto es encendida la computadora y su primer función es la de reconocer los dispositivos, (incluyendo memoria de trabajo), dispositivos.

•

Memoria RAM: Esta es la denominada memoria de acceso aleatorio o sea, como puede leerse también puede escribirse en ella, tiene la característica de ser volátil, esto es, que sólo opera mientras esté encendida la computadora. En ella son almacenadas tanto las instrucciones que necesita ejecutar el microprocesador como los datos que introducimos y deseamos procesar, así como los resultados obtenidos de esto.

•

Memorias Auxiliares: Por las características propias del uso de la memoria ROM y el manejo de la RAM, existen varios medios de almacenamiento de información, entre los más comunes se encuentran: El disco duro, El Disquete o Disco Flexible, etc... Medidas de Almacenamiento de la Información

Byte: unidad de información que consta de 8 bits; en procesamiento informático y almacenamiento, el equivalente a un único carácter, como puede ser una letra, un número o un signo de puntuación. Kilobyte (Kb): Equivale a 1.024 bytes. Megabyte (Mb): Un millón de bytes o 1.048.576 bytes. Gigabyte (Gb): Equivale a mil millones de bytes. Dispositivos Magnéticos •

•

•

Cinta Magnética: Esta formada por una cinta de material plástico recubierta de material ferromagnético, sobre dicha cinta se registran los caracteres en formas de combinaciones de puntos, sobre pistas paralelas al eje longitudinal de la cinta. Estas cintas son soporte de tipo secuencial, esto supone un inconveniente puesto que para acceder a una información determinada se hace necesario leer todas las que le preceden, con la consiguiente perdida de tiempo. [2] Tambores Magnéticos: Están formados por cilindros con material magnético capaz de retener información, Esta se graba y lee mediante un cabezal cuyo brazo se mueve en la dirección del eje de giro del tambor. El acceso a la información es directo y no secuencial. (Ver anexo 1) Disco Duro: Son en la actualidad el principal subsistema de almacenamiento de información en los sistemas informáticos. Es un dispositivo encargado de almacenar información de forma persistente en un ordenador, es considerado el sistema de almacenamiento más importante del computador y en él se guardan los archivos de los programas. (Ver anexo 2)

•

Disquette o Disco flexible: Un disco flexible o también disquette (en inglés floppy disk), es un tipo de dispositivo de almacenamiento de datos formado por una pieza circular de un material magnético que permite la grabación y lectura de datos, fino y flexible (de ahí su denominación) encerrado en una carcasa fina cuadrada o rectangular de plástico. Los discos, usados usualmente son los de 3 ½ o 5 ¼ pulgadas, utilizados en ordenadores o computadoras personales, aunque actualmente los discos de 5 ¼ pulgadas están en desuso. (Ver anexos 3 y 4)

Dispositivos Ópticos •

El CD-R: es un disco compacto de 650 MB de capacidad que puede ser leído cuantas veces se desee, pero cuyo contenido no puede ser modificado una vez que ya ha sido grabado. Dado que no pueden ser borrados ni regrabados, son adecuados para almacenar archivos u otros conjuntos de información invariable. [3](Ver anexo 5)

•

CD-RW: posee la capacidad del CD-R con la diferencia que estos discos son regrabables lo que les da una gran ventaja. Las unidades CD-RW pueden grabar información sobre discos CD-R y CD-RW y además pueden leer discos CD-ROM y CDS de audio. Las interfaces soportadas son EIDE, SCSI y USB.[3]

•

DVD-ROM: es un disco compacto con capacidad de almacen ar 4.7 GB de datos en una cara del disco, un aumento de más de 7 veces con respecto a los CD-R y CD-RW. Y esto es en una sola cara. Los futuros medios de DVD-ROM serán capaces de almacenar datos en ambas caras del disco, y usar medios de doble capa para permitir a las unidades leer hasta cuatro niveles de datos almacenados en las dos caras del disco dando como resultado una capacidad de almacenamiento de 17 GB. Las unidades DVD-ROM son capaces de leer los formatos de discos CD-R y CD-RW. Entre las aplicaciones que aprovechan la gran capacidad de almacenamiento de los DVDROM tenemos las películas de larga duración y los juegos basados en DVD que ofrecen videos MPEG-2 de alta resolución, sonido inmersivo Dolby AC-3, y poderosas graficas 3D.[3] (Ver anexo 6)

•

DVD-RAM: este medio tiene una capacidad de 2.6 GB en una ca ra del disco y 5.2 GB en un disco de doble cara, Los DVD-RAM son capaces de leer cualquier disco CD-R o CD-RW pero no es capaz de escribir sobre estos. Los DVD-RAM son regrabables pero los discos no pueden ser leídos por unidades DVD-ROM.[3]

•

Pc - Cards: La norma de PCMCIA es la que define a las PC Cards. Las PC Cards pueden ser almacenamiento o tarjetas de I/O. Estas son compactas, muy fiable, y ligeras haciéndolos ideal para notebooks, palmtop, handheld y los PDAs,. Debido a su pequeño tamaño, son usadas para el almacenamiento de datos, aplicaciones, tarjetas de memoria, cámaras electrónicas y teléfonos celulares. Las PC Cards tienen el tamaño de una tarjeta del crédito, pero su espesor varía. La norma de PCMCIA define tres PC Cards diferentes: Tipo I 3.3 milímetros (mm) de espesor, Tipo II son 5.0 mm espesor, y Tipo III son 10.5 mm espesor. Entre los producto más nuevos que usan PC

Cards tenemos el Clik! PC Card Drive de Iomega esta unidad PC Card Tipo II la cual puede leer y escribir sobre discos Clik! de 40 MB de capacidad, esta unidad esta diseñada para trabajar con computadores portátiles con mínimo consumo de baterías, el tamaño de los discos es de 2x2 pulgadas.[3] (Ver anexo 7)

•

Flash Cards: son tarjetas de memoria no volátil es decir conservan los datos aun cuando no estén alimentadas por una fuente eléctrica, y los datos pueden ser leídos, modificados o borrados en estas tarjetas. Con el rápido crecimiento de los dispositivos digitales como: asistentes personales digitales, cámaras digitales, teléfonos celulares y dispositivos digitales de música, las flash cards han sido adoptadas como medio de almacenamiento de estos dispositivos haciendo que estas bajen su precio y aumenten su capacidad de almacenamiento muy rápidamente. Recientemente Toshiba libero al mercado sus nuevas flash cards la SmartMedia de 64 MB y el super-thin 512M-bit chip. La SmartMedia es capaz de almacenar 72 imágenes digitales con una resolución de 1800x1200 pixels y más de 1 hora de música con calidad de CD. Entre los productos del mercado que usan esta tecnología tenemos los reproductores de audio digital Rio de Diamond, Nomad de Creative Labs, los PDAs de Compaq, el Microdrive de IBM con 340 MB de almacenamiento entre otros. [3].

Dispositivos Extraíbles •

Pen Drive o Memory Flash: Es un pequeño dispositivo de almacenamiento que utiliza la memoria flash para guardar la información sin necesidad de pilas. Los Pen Drive son resistentes a los rasguños y al polvo que han afectado a las formas previas de almacenamiento portable, como los CD y los disquetes. Los sistemas operativos más modernos pueden leer y escribir en ello sin necesidad de controladores especiales. En los equipos antiguos (como por ejemplo los equipados con Windows 98) se necesita instalar un controlador de dispositivo. [4]

•

Unidades de Zip: La unidad Iomega ZIP es una unidad de dis co extraíble. Está disponible en tres versiones principales, la hay con interfaz SCSI, IDE, y otra que se conecta a un puerto paralelo. Este documento describe cómo usar el ZIP con Linux. Se debería leer en conjunción con el HOWTO SCSI a menos que posea la versión IDE.

Marcas de los Dispositivos de Almacenamiento de un Computador Hoy en día en el mercado, se encuentran infinidades de marcas de dispositivos de almacenamiento; debido a la gran demanda que surge y por la búsqueda de la mejor calidad y garantía del producto. Entre las marcas de mayor uso se tienen: • • • • • • • • • • • • • •

SAMSUNG SEAGATE WESTERN DIGITAL MARKVISION TOSHIBA SONY IBM DYSAN LG HP MAXTOR KINGSTON IMATION TDK Estructura del Disco Duro.

Un disco duro se compone de muchos elementos; citaremos los más importantes de cara a entender su funcionamiento. En primer lugar, la información se almacena en unos finos platos o discos, generalmente

de aluminio, recubiertos por un material sensible a alteraciones magnéticas. Estos discos, cuyo número varía según la capacidad de la unidad, se encuentran agrupados uno sobre otro atravesados por un eje, y giran continuamente a gran velocidad. [5] Asimismo, cada disco posee dos diminutos cabezales de lectura/escritura, uno en cada cara. Estos cabezales se encuentran flotando sobre la superficie del disco sin llegar a tocarlo, a una distancia de unas 3 o 4 micropulgadas (a título de curiosidad, podemos comentar que el diámetro de un cabello humano es de unas 4.000 micropulgadas). Estos cabezales generan señales eléctricas que alteran los campos magnéticos del disco, dando forma a la información. (dependiendo de la dirección hacia donde estén orientadas las partículas, valdrán 0 o valdrán 1). [5] La distancia entre el cabezal y el plato del disco también determinan la densidad de almacenamiento del mismo, ya que cuanto más cerca estén el uno del otro, más pequeño es el punto magnético y más información podrá albergar. [5] Tecnologías Futuras. Pese a que parezca un poco arriesgado a quedarse corto como ha ocurrido en artículos de prensa y proyecciones publicados a lo largo de estos años, pareciera que ahora sí se puede tener una proyección bastante clara de lo que será el futuro de los dispositivos de almacenamiento en los próximos 3 años, y es que, pese a que se plantea una rama de almacenamiento holográfico, el concepto que hay detrás del mismo no es nuevo. De la misma manera que un holograma codifica objetos en tres dimensiones mediante patrones de interferencia de luz, el HVD (Holographic Versatile Disk) usa el mismo principio para almacenar datos con densidades notablemente superiores a las de los actuales soportes ópticos. Sin embargo resulta difícil de creer que puedan desarrollarla antes del año 2006. Volviendo al punto de desarrollo de tecnologías futuras, se estipula que la ya implementada tecnología por SONY conocida como láser azul, sea el camino que tome la computación y el almacenamiento de datos en los próximos años. Para producir este pequeño punto es necesario comprimir el haz de láser en un cono convergente de luz. La capacidad total de lectura se puede aumentar utilizando un rayo láser para detectar las marcas del disco, lo que

implicaría, un tamaño mínimo para estas marcas, en contraste con la longitud del espectro de luz empleado. Toda esta teoría en la que está basado el láser azul no quiere decir otra cosa que, se ha pasado de un extremo a otro de la gama de colores, cambiando el láser rojo de 640 NM por otro azul-violeta de sólo 405 NM, logrando de esta manera una lectura de mayor precisión y destinada a mayores capacidades. [7] ANEXOS Figura 1. Tambor Magnético

Figura 2. Disco Duro.

Figura 3. Disco Flexible 5 1/4

Figura 4. Disco Flexible 31/2.

Figura 5. Pen Drive o Memory Flash

Figura 6. DVD-ROM

Figura 7. Pc – Cards

Almacenamiento redundante y distribuido: RAID y Centros de Respaldo. Tecnología RAID Es un sistema de almacenamiento que usa múltiples discos duros o SSD entre los que se distribuyen o replican los datos. Dependiendo de su configuración (a la que suele llamarse «nivel»), los beneficios de un RAID respecto a un único disco son uno o varios de los siguientes: mayor integridad, mayor tolerancia a fallos, mayor throughput (rendimiento) y mayor capacidad. En sus implementaciones originales, su ventaja clave era la habilidad de combinar varios dispositivos de bajo coste y tecnología más antigua en un conjunto que ofrecía mayor capacidad, fiabilidad, velocidad o una combinación de éstas que un solo dispositivo de última generación y coste más alto. En el nivel más simple, un RAID combina varios discos duros en una sola unidad lógica. Así, en lugar de ver varios discos duros diferentes, el sistema operativo ve uno solo. Los RAID suelen usarse en servidores y normalmente (aunque no es necesario) se implementan con unidades de disco de la misma capacidad. Todas las implementaciones pueden soportar el uso de uno o más discos de reserva (hot spare), unidades preinstaladas que pueden usarse inmediatamente (y casi siempre automáticamente) tras el fallo de un disco del RAID. Esto reduce el tiempo del período de reparación al acortar el tiempo de reconstrucción del RAID. Existen diferentes tipos de RAID: RAID 0 También llamado partición de los discos, los datos son distribuidos a través de discos paralelos. RAID 0 distribuye los datos rápidamente a los usuarios, pero no ofrece mas protección a fallas de h ardware que un simple disco.

RAID 1 También llamado Disk mirroring provee la mas alta medida de protección de datos a través de una completa redundancia. Los datos son copiados a dos discos simultáneamente. La disponibilidad es alta pero el costo también dado que los usuarios deben comprar dos veces la capacidad de almacenamiento que requieren.

RAID 3 Logra redundancia sin mirroring completo. El flujo de los datos es particionado a través de todos los HD de datos en el arreglo. La información extra que provee la redundancia esta escrito en un HD dedicado a la parida d. Si cualquier HD del arreglo falla, los datos perdidos pueden ser reconstruidos matemáticamente desde los miembros restantes del arreglo. RAID 3 es especialmente apropiado para procesamiento de imagen, colección de datos científicos , y otras aplicaciones en las cuales grandes bloques de datos guardados secuencialmente deben ser transferidos rápidamente RAID 5 Todos los HD en el arreglo operan independientemente. Un registro entero de datos es almacenado en un solo disco, permitiendo al arreglo satisfacer múltiples requerimientos de entrada y salida al mismo tiempo. La información esta distribuida en todos los discos, aliviando el cuello de botella de acceder un solo disco de paridad durante operaciones de entrada y salida concurrentes. RAID 5 está bien recomendado para procesos de transacciones on-line, automatización de oficinas, y otras

aplicaciones caracterizadas por gran numero de requerimientos concurrentes de lectura. RAID 5 provee accesos rápidos a los datos y una gran medida de protección. RAID 10 La información se distribuye en bloques como en RAID-0 y adicionalmente, cada disco se duplica como RAID-1, creando un segundo nivel de arreglo. Se conoce como "striping de arreglos duplicados". Se requieren, dos canales, dos discos para cada canal y se utiliza el 50% de la capacidad para información de control. Este nivel ofrece un 100% de redundancia de la información y un soporte para grandes volúmenes de datos, donde el precio no es un factor importante. Ideal para sistemas de misión crítica donde se requiera mayor confiabilidad de la información, ya que pueden fallar dos discos inclusive (uno por cada canal) y los datos todavía se mantienen en línea. Es apropiado también en escrituras aleatorias pequeñas.

RAID 30 Se conoce también como "striping de arreglos de paridad dedicada". La información es distribuida a través de los discos, como en RAID-0, y utiliza paridad dedicada, como RAID-3 en un segundo canal. Proporciona una alta confiabilidad, igual que el RAID-10, ya que también es capaz de tolerar dos fallas físicas de discos en canales diferentes, manteniendo la información disponible. RAID-30 es el mejor para aplicaciones no interactivas, tales como señales de video, gráficos e imágenes que procesan secuencialmente grandes archivos y requieren alta velocidad y disponibilidad. RAID 50 Con un nivel de RAID-50, la información se reparte en los discos y se usa paridad distribuida, por eso se conoce como "striping de arreglos de

paridad distribuida". Se logra confiabilidad de la información, un buen rendimiento en general y además soporta grandes volúmenes de datos. Igualmente, si dos discos sufren fallas físicas en diferentes canales, la información no se pierde. RAID-50 es ideal para aplicaciones que requieran un almacenamiento altamente confiable, una elevada tasa de lectura y un buen rendimiento en la transferencia de datos. A este nivel se encuentran aplicaciones de oficina con muchos usuarios accediendo pequeños archivos, al igual que procesamiento de transacciones mucho mayor. Centro de respaldo Un centro de respaldo es un centro de procesamiento de datos (CPD) específicamente diseñado para tomar el control de otro CPD principal en caso de contingencia. Motivación Grandes organizaciones, tales como bancos o Administraciones Públicas, no pueden permitirse la pérdida de información ni el cese de operaciones ante un desastre en su centro de proceso de datos. Terremotos, incendios o atentados en estas instalaciones son infrecuentes, pero no improbables. Por este motivo, se suele habilitar un centro de respaldo para absorber las operaciones del CPD principal en caso de emergencia. Diseño de un centro de respaldo Un centro de respaldo se diseña bajo los mismos principios que cualquier CPD, pero bajo algunas consideraciones más. En primer lugar, debe elegirse una localización totalmente distinta a la del CPD principal con el objeto de que no se vean ambos afectados simultáneamente por la misma contingencia. Es habitual situarlos entre 20 y 40 kilómetros del CPD principal. La distancia está limitada por las necesidades de telecomunicaciones entre ambos centros. En segundo lugar, el equipamiento electrónico e informático del centro de respaldo debe ser absolutamente compatible con el existente en el CPD principal. Esto no implica que el equipamiento deba ser exactamente igual. Normalmente, no todos los procesos del CPD principal son críticos. Por este motivo no es necesario duplicar todo el equipamiento. Por otra parte, tampoco se requiere el mismo nivel de servicio en caso de emergencia. En consecuencia, es posible utilizar hardware menos potente. La pecera de un centro de respaldo recibe estas denominaciones en función de su equipamiento:

• •

Sala blanca: cuando el equipamiento es exactamente igual al existente en el CPD principal. Sala de back-up: cuando el equipamiento es similar pero no exactamente igual.

En tercer lugar, el equipamiento software debe ser idéntico al existente en el CPD principal. Esto implica exactamente las mismas versiones y parches del software de base y de las aplicaciones corporativas que estén en explotación en el CPD principal. De otra manera, no se podría garantizar totalmente la continuidad de operación. Por último, pero no menos importante, es necesario contar con una réplica de los mismos datos con los que se trabaja en el CPD original. Este es el problema principal de los centros de respaldo, que se detalla a continuación. El sincronismo de datos Existen dos políticas o aproximaciones a este problema: •

•

Copia síncrona de datos: Se asegura que todo dato escrito en el CPD principal también se escribe en el centro de respaldo antes de continuar con cualquier otra operación. Copia asíncrona de datos: No se asegura que todos los datos escritos en el CPD principal se escriban inmediatamente en el centro derespaldo, por lo que puede existir un desfase temporal entre unos y otros.

La copia asíncrona puede tener lugar fuera de línea. En este caso, el centro de respaldo utiliza la última copia de seguridad existente del CPD principal. Esto lleva a la pérdida de los datos de operaciones de varias horas (como mínimo) hasta días (lo habitual). Esta opción es viable para negocios no demasiado críticos, donde es más importante la continuidad del negocio que la pérdida de datos. Por ejemplo, en cadenas de supermercados o pequeños negocios. No obstante, es inviable en negocios como la banca, donde es impensable la pérdida de una sola transacción económica. En los demás casos, la política de copia suele descansar sobre la infraestructura de almacenamiento corporativo. Generalmente, se trata de redes SAN y cabinas de discos con suficiente inteligencia como para implementar dichas políticas. Tanto para la copia síncrona como asíncrona, es necesaria una extensión de la red de almacenamiento entre ambos centros. Es decir, un enlace de

telecomunicaciones entre el CPD y el centro de respaldo. En caso de copia asíncrona es imprescindible que dicho enlace goce de baja latencia. Motivo por el que se suele emplear un enlace de fibra óptica, que limita la distancia máxima a decenas de kilómetros. Existen dos tecnologías factibles para la copia de datos en centros de respaldo: • •

iSCSI. Fibre Channel.

La copia síncrona es esencial en negocios como la banca, donde no es posible la pérdida de ninguna transacción. La copia asíncrona es viable en la mayoría de los casos, ya que el desfase temporal de la copia se limita a unos pocos minutos. El centro de respaldo en contexto Un centro de respaldo por sí sólo no basta para hacer frente a una contingencia grave. Es necesario disponer de un Plan de Contingencias corporativo. Este plan contiene tres subplanes que indican las medidas técnicas, humanas y organizativas necesarias en tres momentos clave: •

• •

Plan de respaldo: Contempla las actuaciones necesarias antes de que se produzca un incidente. Esencialmente, mantenimiento y prueba de las medidas preventivas. Plan de emergencia: Contempla las actuaciones necesarias durante un incidente. Plan de recuperación: Contempla las actuaciones necesarias después de un incidente. Básicamente, indica cómo volver a la operación normal.

El centro de respaldo no es la única manera de articular el plan de contingencia. También es posible el outsourcing de servicios similares.

Almacenamiento remoto: SAN, NAS y almacenamiento clouding. SAN Una SAN es una red de almacenamiento dedicada que proporciona acceso de nivel de bloque a LUNs. Un LUN, o número de unidad lógica, es un disco virtual proporcionado por la SAN. El administrador del sistema tiene el mismo acceso y los derechos a la LUN como si fuera un disco directamente conectado a la misma. El administrador puede particionar y formatear el disco en cualquier medio que él elija. Dos protocolos de red utilizados en una SAN son Fibre Channel e iSCSI. Una red de canal de fibra es muy rápida y no está agobiada por el tráfico de la red LAN de la empresa. Sin embargo, es muy cara. iSCSI es una nueva tecnología que envía comandos SCSI sobre una red TCP / IP. Este método no es tan rápido como una red Fibre Channel, pero ahorra costes, ya que utiliza un hardware de red menos costoso. Una red SAN se distingue de otros modos de almacenamiento en red por el modo de acceso a bajo nivel. El tipo de tráfico en una SAN es muy similar al de los discos duros como ATA,SATA y SCSI. En otros métodos de almacenamiento, (como SMB o NFS), el servidor solicita un determinado fichero, p.ej."/home/usuario/wikipedia". En una SAN el servidor solicita "el bloque 6000 del disco 4". La mayoría de las SAN actuales usan el protocolo SCSI para acceder a los datos de la SAN, aunque no usen interfaces físicas SCSI. Este tipo de redes de datos se han utilizado y se utilizan tradicionalmente en grandes main frames como en IBM, SUN o HP. Aunque recientemente con la incorporación de Microsoft se ha empezado a utilizar en máquinas con sistemas operativos Microsoft. NAS (Network Attached Storage) NAS es el nombre dado a una tecnología de almacenamiento dedicada a compartir la capacidad de almacenamiento de un computador (Servidor) con ordenadores personales o servidores clientes a través de una red (normalmente TCP/IP), haciendo uso de un Sistema Operativo optimizado para dar acceso con los protocolos CIFS, NFS, FTP o TFTP.

Generalmente, los sistemas NAS son dispositivos de almacenamiento específicos a los que se accede desde los equipos a través de protocolos de red (normalmente TCP/IP). También se podría considerar un sistema NAS a un servidor (Linux, Windows, ...) que comparte sus unidades por red, pero la definición suele aplicarse a sistemas específicos. Muchos sistemas NAS cuentan con uno o más dispositivos de almacenamiento para incrementar su capacidad total. Normalmente, estos dispositivos están dispuestos en RAID (Redundant Arrays of Independent Disks) o contenedores de almacenamiento redundante.

Computación en nube (Cloud computing) Computación en nube (Cloud computing) es un paradigma que permite ofrecer servicios de computación a través de Internet y se envía a cachés temporales de cliente, lo que incluye equipos de escritorio, centros de ocio, portátiles, etc. "Cloud computing" es un nuevo modelo de prestación de servicios de negocio y tecnología, que permite al usuario acceder a un catálogo de servicios estandarizados y responder a las necesidades de su negocio, de forma flexible y adaptativa, en caso de demandas no previsibles o de picos de trabajo, pagando únicamente por el consumo efectuado. El cambio paradigmático que ofrece computación en nube es que permite aumentar el número de servicios basados en la red. Esto genera beneficios tanto para los proveedores, que pueden ofrecer, de forma más rápida y eficiente, un mayor número de servicios, como para los usuarios que tienen

la posibilidad de acceder a ellos, disfrutando de la ‘transparencia’ e inmediatez del sistema y de un modelo de pago por consumo. Beneficios •

Integración probada de servicios Red. Por su naturaleza, la tecnología de "Cloud Computing" se puede integrar con mucha mayor facilidad y rapidez con el resto de sus aplicaciones empresariales, ya sean desarrolladas de manera interna o externa.4

•

Prestación de servicios a nivel mundial. Las infraestructuras de "Cloud Computing" proporcionan mayor capacidad de adaptación, recuperación de desastres completa y reducción al mínimo de los tiempos de inactividad.

•

Una infraestructura 100% de "Cloud Computing" permite al proveedor de contenidos o servicios en la nube prescindir de instalar cualquier tipo de hardware, ya que éste es provisto por el proveedor de la infraestructura o la plataforma en la nube. La belleza de la tecnología de "Cloud Computing" es su simplicidad… y el hecho de que requiera mucha menor inversión para empezar a trabajar.

•

Implementación más rápida y con menos riesgos.

•

Actualizaciones automáticas que no afectan negativamente a los recursos de TI. Si actualizamos a la última versión de la aplicación, nos veremos obligados a dedicar tiempo y recursos (que no tenemos) a volver a crear nuestras personalizaciones e integraciones. La tecnología de "Cloud Computing" no le obliga a decidir entre actualizar y conservar su trabajo, porque esas personalizaciones e integraciones se conservan automáticamente durante la actualización.

•

Contribuye al uso eficiente de la energía. En este caso, a la energía requerida para el funcionamiento de la infraestructura. En los datacenters tradicionales, los servidores consumen mucha más energía de la requerida realmente. En cambio, en las nubes, la energía consumida es sólo la necesaria, reduciendo notablemente el desperdicio.

Desventajas •

La centralización de las aplicaciones y el almacenamiento de los datos origina una interdependencia de los proveedores de servicios.

•

La disponibilidad de las aplicaciones está ligada a la disponibilidad de acceso a Internet.

•

Los datos "sensibles" del negocio no residen en las instalaciones de las empresas por lo que podría generar un contexto de alta vulnerabilidad para la sustracción o robo de información.

•

La confiabilidad de los servicios depende de la "salud" tecnológica y financiera de los proveedores de servicios en nube. Empresas emergentes o alianzas entre empresas podrían crear un ambiente propicio para el monopolio y el crecimiento exagerado en los servicios.5

•

La disponibilidad de servicios altamente especializados podría tardar meses o incluso años para que sean factibles de ser desplegados en la red.

•

La madurez funcional de las aplicaciones hace que continuamente estén modificando sus interfaces, por lo cual la curva de aprendizaje en empresas de orientación no tecnológica tenga unas pendientes significativas, así como su consumo automático por aplicaciones.

•

Seguridad. La información de la empresa debe recorrer diferentes nodos para llegar a su destino, cada uno de ellos (y sus canales) son un foco de inseguridad. Si se utilizan protocolos seguros, HTTPS por ejemplo, la velocidad total disminuye debido a la sobrecarga que estos requieren.

Capas Software como servicio El software como servicio, se encuentra en la capa más alta y caracteriza una aplicación completa ofrecida como un servicio, en-demanda, vía multitenencia) que significa una sola instancia del software que corre en la infraestructura del proveedor y sirve a múltiples organizaciones de clientes). Plataforma como servicio La capa del medio, que es la plataforma como servicio, es la encapsulación de una abstracción de un ambiente de desarrollo y el empaquetamiento de una carga de servicios. La carga arquetipo es una imagen Xen (parte de

Servicios Web Amazon) conteniendo una pila básica Red (por ejemplo, un distro Linux, un servidor Red, y un ambiente de programación como Perl o Ruby). Tipos de nubes •

Las nubes públicas se manejan por terceras partes, y los trabajos de muchos clientes diferentes pueden estar mezclados en los servidores, los sistemas de almacenamiento y otras infraestructuras de la nube. Los usuarios finales no conocen qué trabajos de otros clientes pueden estar corriendo en el mismo servidor, red, discos como los suyos propios.8

•

Las nubes privadas son una buena opción para las compañías que necesitan alta protección de datos y ediciones a nivel de servicio. Las nubes privadas están en una infraestructura en-demanda manejada por un solo cliente que controla qué aplicaciones debe correr y dónde. Son propietarios del servidor, red, y disco y pueden decidir qué usuarios están autorizados a utilizar la infraestructura.

•

Las nubes híbridas combinan los modelos de nubes públicas y privadas. Usted es propietario de unas partes y comparte otras, aunque de una manera controlada. Las nubes híbridas ofrecen la promesa del escalado aprovisionada externamente, en-demanda, pero añaden la complejidad de determinar cómo distribuir las aplicaciones a través de estos ambientes diferentes. Las empresas pueden sentir cierta atracción por la promesa de una nube híbrida, pero esta opción, al menos inicialmente, estará probablemente reservada a aplicaciones simples sin condicionantes, que no requieran de ninguna sincronización o necesiten bases de datos complejas.

Comparativas El opuesto a NAS es la conexión DAS (Direct Attached Storage) mediante conexiones SCSI o la conexión SAN (Storage Area Network) por fibra óptica, en ambos casos con tarjetas de conexión específicas de conexión al almacenamiento. Estas

conexiones directas (DAS) son por lo habitual dedicadas. En la tecnología NAS, las aplicaciones y programas de usuario hacen las peticiones de datos a los sistemas de ficheros de manera remota mediante protocolos CIFS y NFS, y el almacenamiento es local al sistema de ficheros. Sin embargo, DAS y SAN realizan las peticiones de datos directamente al sistema de ficheros. Las ventajas del NAS sobre la conexión directa (DAS) son la capacidad de compartir las unidades, un menor coste, la utilización de la misma infraestructura de red y una gestión más sencilla. Por el contrario, NAS tiene un menor rendimiento y fiabilidad por el uso compartido de las comunicaciones.

POLITICAS DE ALMACENAMIENTO Para poder mantener de un modo seguro y eficaz todos estos sistemas de almacenamiento es importante que la empresa especifique cuáles son las políticas que deben seguir todos los usuarios de los sistemas para evitar que aumente la capacidad de los mismos de modo desordenado y la consiguiente falta de control o pérdida de información. Así, se identifican cuatro políticas necesarias en la empresa, para que sean conocidas por los propios usuarios y controladas por los responsables: • Política de almacenamiento local en los equipos de trabajo. • Política de almacenamiento en la red corporativa. • Política sobre el uso de dispositivos externos. • Política de copias de seguridad.

2.2.1 Políticas de almacenamiento local en los equipos de trabajo En primer lugar, la empresa establece unas normas de almacenamiento para los equipos de trabajo de la empresa (equipos de sobremesa, equipos portátiles, teléfonos y otros dispositivos) que los usuarios deben cumplir. Esta política incluye al menos los siguientes aspectos: • Qué tipo de información se puede almacenar en los equipos locales. • Cuánto tiempo debe permanecer dicha información en los mismos. • Permanencia de la información en la red local una vez transmitida a los servidores corporativos. • Ubicación dentro del árbol de directorios del equipo. • Utilización de sistemas de cifrado de información en los documentos empresariales. • Normativa para los empleados relativa al almacenamiento de documentos personales, archivos de música, fotografías, etc, y en concreto relativa a archivos que estén bajo algún tipo de regulación en cuanto a derechos de autor (descargas desde los equipos de trabajo).

Políticas de almacenamiento en la red corporativa En la red corporativa es necesario distinguir entre información general de la empresa que deben utilizar todos los usuarios, e información de trabajo de los empleados almacenada en esta red corporativa: 1. Los servidores de almacenamiento disponibles en la red corporativa están configurados para poder almacenar y compartir aquella información de la empresa que deba ser utilizada por los empleados. Los controles de acceso son definidos por la dirección y el responsable de sistemas, con el objetivo de definir quién puede acceder y a dónde, mientras que el contenido de la información almacenada se determina a través de una política de uso específica que debe cubrir al menos los siguientes aspectos: • Tipo de información almacenada, momento de su almacenamiento y ubicación dentro de los directorios del sistema. • Personas encargadas de la actualización de dicha información en caso de modificación. 2. Los empleados pueden disponer de buzones o carpetas personales dentro de la misma red corporativa. En estas carpetas se almacena información que, si bien tiene relación con su trabajo, no necesariamente es compartida por otros miembros del equipo. Para controlar dicha información, se deben especificar políticas que incluyan los mismos aspectos que los relacionados con el almacenamiento local. •Qué tipo de información se puede almacenar en los equipos locales. • Cuánto tiempo debe permanecer dicha información en los mismos. • Permanencia de la información en la red local una vez transmitida a los servidores corporativos. • Ubicación dentro del árbol de directorios del equipo. • Utilización de sistemas de cifrado de información en los documentos empresariales. • Normativa para los empleados relativa al almacenamiento de documentos personales, archivos de música, fotografías, etc, y en concreto relativa a archivos que estén bajo algún tipo de regulación en cuanto a derechos de autor (descargas desde los equipos de trabajo).

Algunos de los requisitos que debe cumplir la planificación de copias de seguridad son: • Identificar los datos que requieren ser preservados. Son aquellos cuya pérdida afectaría a la continuidad del negocio. • Establecer la frecuencia con la que se van a realizar los procesos de copia. Esta frecuencia influye en la cantidad de información que se puede perder con respecto a la fuente original. Este parámetro es de suma importancia y requiere de un análisis exhaustivo. Por ejemplo, si se realiza una copia cada noche y el soporte se estropea a las 12h toda la información generada desde la noche anterior hasta las 12h no se encontrará en la copia de seguridad. • Disponer el almacén físico para las copias. Este almacén se determina en función de la seguridad que requiere la información entre almacenes en el mismo edificio o remotos en edificios externos. Por ejemplo, si se produce un incendio en el edificio de la empresa, la información almacenada en un edificio externo sigue estando disponible. • Buscar una probabilidad de error mínima, asegurándose que los datos son copiados íntegramente del original y en unos soportes fiables y en buen estado. No se deben utilizar soportes que estén cerca de cumplir su vida útil para evitar que fallen cuando vaya a recuperarse la información que contienen. • Controlar los soportes que contienen las copias, guardándolos en un lugar seguro y restringiendo su acceso sólo a las personas autorizadas. • Planificar la restauración de las copias: Formando a los técnicos encargados de realizarlas. Disponiendo de soportes para restaurar la copia, diferentes de los de producción. Estableciendo los medios para disponer de dicha copia en el menor tiempo posible. • Probar el sistema de forma exhaustiva para comprobar su correcta planificación y la eficacia de los medios dispuestos. • Definir la vigencia de las copias, estableciendo un periodo en el que dicha copia deja de tener validez y puede sustituirse por una copia más actualizada de la información.

Controlar la obsolescencia de los dispositivos de almacenamiento. Para el caso de aquellas copias que almacenan información histórica de la organización, por ejemplo proyectos ya cerrados, se debe tener en cuenta el tipo de dispositivo en el que se ha realizado la copia, para evitar que en el momento que se requiera la restauración de dicha información no existan ya lectores adecuados para dicho dispositivo. Cuando se desechen los soportes de almacenamiento, porque hayan llegado al límite de vida útil fijado en la política de copias de seguridad, es importante realizar un proceso de borrado seguro o destrucción para asegurar que la información que contiene no podrá ser recuperada posteriormente.

Control de acceso lógico Los Controles de Acceso lógico son de vital importancia ya que permiten proteger los recursos tales como programas, archivos, transacciones, comandos, utilitarios, etc. Definiremos los lineamientos para implementar los mecanismos de control sobre el acceso lógico tanto local como remoto, a los recursos del centro de procesamiento de datos y afines. -A nivel general, los permisos de acceso deben estar basados en la necesidad del usuario por conocer la información. Esto implica que los permisos deben ser respaldados y justificados de acuerdo a la función que desempeña el usuario. -En casos de emergencia en que los recursos suelen estar desprotegidos y, en las que se requiere que otra persona diferente a la autorizada efectúe un acceso lógico, deberá hacerlo siempre bajo adecuada supervisión. Posterior a la emergencia deberá darse de baja ese usuario y clave o reemplazada con una nueva clave por seguridad. -Los sistemas de control de acceso lógico deben contemplar las violaciones al mismo. Mantener un registro histórico de todos los accesos inclusive de los intentos fallidos o violaciones de su seguridad debe producirse en forma automática. -Las claves de acceso deben resguardarse en sobres debidamente sellados y

guardados en caja fuerte. En casos de emergencia, el responsable de la caja fuerte bajo autorización del Responsable de Sistemas, podrá entregar a quien este último indique, la clave que está resguardada. Deberá mantenerse un registro de los accesos a estas claves respaldadas y las autorizaciones respectivas. -Los usuarios son responsables de las claves que tienen asignadas. Por ningún motivo debe divulgarse o intercambiarse claves con otros usuarios. Cualquier resultado de no-cumplimiento de este punto, quedará exclusivamente bajo responsabilidad del usuario respectivo. -La empresa debe establecer un ente que se encargue de administrar las seguridades, usuarios y claves. Las funciones asignadas será la de controlar y mantener actualizada la lista de usuarios y claves asignadas a los diferentes recursos y de establecer políticas de cambios periódicos a fin de evitar desviaciones en las seguridades de los recursos. 3.1.2 Identificación de Usuarios -Los usuarios no deberán nunca compartir sus identificaciones como usuarios y sus claves o contraseñas. Cada nuevo usuario debe ser solicitado y justificado al Responsable de sistemas y una vez aprobado, deberá ser canalizado a través del Administrador de seguridades para su asignación y control respectivo. -Es importante que el Responsable de Sistemas informe tanto al solicitante como al Administrador de Seguridades, cuales son los tipos accesos que tendrá el nuevo usuario, así como también los no accesos, los cuales inclusive podría abarcar hasta restricciones a nivel de terminales. -Ningún usuario puede crearse sin su correspondiente clave o contraseña (password) ya que este constituye el único medio de control de seguridades. -Las claves deben consistir como mínimo de 6 caracteres alfanuméricos (números y letras), los cuales serán elegidos por el usuario. En otras ocasiones y dependiendo de los recursos a los que se tendrá acceso, las claves son asignadas directamente por el Administrador de seguridades e informadas al usuario, ejm.: usuarios de red y claves de red.

-Es importante que el Administrador de usuarios no tenga dentro de sus registros la misma clave para otros usuarios. De producirse este caso, deberá cambiarse la clave inmediatamente e informado al usuario respectivo de la nueva clave. También debe en este caso tomar en cuenta los siguientes factores: *No deben existir claves de diferentes usuarios con caracteres iguales en las mismas posiciones, ejm: 123SRRG y 123LRRG. *Debe estipularse la cantidad de caracteres numéricos a usarse en la clave. *Debe estipularse la cantidad máxima de caracteres. -Las claves deberán ser cambiadas mínimo cada 30 días. Para los casos de claves de usuarios altamente sensitivos deberá evaluarse un tiempo mayor de cambio. -Los intentos fallidos deberían ser máximo en un total de tres con clave incorrecta. Cumplidos los tres intentos fallidos, el usuario debe quedar inhibido. Estos intentos deben quedar registrados en el sistema para su posterior control. -Las claves no deben visualizarse. Su almacenamiento debe ser en forma encriptada (codificada). -Cada acceso a cada recurso debe contener una clave específica y no repetirse. -Si el usuario considera el cambio de su clave por perdida de su confidencialidad, debe solicitar al Administrador de seguridad, la asignación de una nueva clave inmediatamente. -Hay programas que contienen usuario y clave por default (defecto) para facilitar su instalación. Esta debe cambiarse una vez que el programa haya sido instalado. -Las claves deben respaldarse en sobres de seguridad y deberán realizarse pruebas aleatorias para verificar su autenticidad y actualidad. Suspensión de Permisos Los permisos deben ser suspendidos por las siguientes causas: -Cuando los empleados se ausenten por Vacaciones. -Cuando su usuario y clave no haya sido utilizado por un lapso de 30 días.

-A evaluación del Administrador de seguridades y Responsable de Sistemas por accesos en fines de semana y feriados. -Cuando supere los intentos máximos de accesos fallidos a recursos asignados o no. En cualquiera de estos casos se debe analizar e investigar los motivos y para rehabilitar el usuario, deberán solicitarse las autorizaciones nuevamente, dependiendo del tipo de suspensión aplicada. Para el caso de suspensiones por inactividad del sistema, este debe solicitar la re-entrada de la clave nuevamente. Acceso a Datos -Los datos serán almacenados en medios magnéticos tales como disquetes, cartuchos o cintas. A estos datos, solo podrá accesar el personal autorizado. -La información impresa debe clasificarse de acuerdo a su seguridad. -En caso de accesos fallidos a datos, el sistema debe mantener dicha información en detalle con el nombre del usuario, fecha, aplicación, archivos, etc. a los que se pretendía accesar, así como también el número de intentos. -De igual forma el sistema debiera llevar un control sobre los intentos exitosos posteriores a varios intentos fallidos. Estos pueden manejarse a través de logs (archivos de actividades cronológicas) de seguridad que deben ser revisados periódicamente por el Administrador de seguridad. -Las empresas deben diseñar el procedimiento que les permita asegurar con éxito el Control de las seguridades de accesos a datos. Acceso a Programas y Utilitarios Los accesos a programas y utilitarios deben estar segmentado de acuerdo al perfil del usuario. La clasificación general es: • Los usuarios del sistema • Los programadores del sistema y, • Personal de producción. Los usuarios del sistema son los que podrán generar transacciones reales, o usar las funciones del sistema en producción. Podrán también accesar a los archivos generados por el sistema producto de las transacciones.

Los programadores solo deben tener acceso al ambiente de pruebas o desarrollo. No deben tener acceso a transacciones reales o a accesar a funciones del sistema en producción. -El personal de producción, debe asegurarse que acceda solo a la información definida para cada usuario. Podrá efectuar las tareas definidas para el área de producción pero previniendo el acceso a datos mediante cualquier tipo de herramienta de programación o a través de programas de aplicación. -Las bibliotecas de los programas y utilitarios deben estar separadas tanto para desarrollo como para producción. -Es importante que los programas en desarrollo también sean mantenidos a nivel de versión y con los datos de fecha, hora y usuario que lo desarrolló. Es vital mantener al menos la última y penúltima actualización, de esta forma en caso de reversión se podrá ir a cualquiera de las dos últimas versiones. -En caso de ser necesario, sí se puede permitir el acceso de bibliotecas del ambiente de desarrollo tanto al usuario del sistema como al personal de producción. -Antes de que un sistema sea pasado a producción debe efectuarse una evaluación del nivel de seguridades que brinda ese programa o utilitario. Es importante que un Auditor de Sistemas y el responsable de Control Interno verifique para determinar si el sistema cumple con las especificaciones técnicas y contiene las seguridades y controles adecuados. -Los cambios que se efectúen posteriores a programas en producción deben efectuarse de acuerdo al Control de Cambios.

Controles de Aplicación Los Controles de Aplicación se constituyen en aquellos enfocados a controles por los usuarios y controles por los sistemas. Los controles por los usuarios están dados sobre los datos de entrada, datos fijos, ítems rechazados o en espera, datos de salida. Los controles por los sistemas se enfocan en los datos de entrada, ítems en espera, y sobre el procesamiento. Los controles por los usuarios se refieren a la responsabilidad que el mismo debe tener en la preparación y aprobación de las transacciones (datos de entrada); en la modificación de datos fijos en los archivos maestros y de

tablas del sistema responsabilizándose por la integridad y exactitud de los mismos (datos fijos); en el control de las transacciones rechazadas o en suspenso, las cuales deben ser corregidas inmediatamente de acuerdo a su fecha contable (ítems rechazados y en suspenso) y finalmente es el responsable de los errores o desviaciones presentadas y detectadas en los datos de salidas. Los Controles por los sistemas son aquellos que proveen y garantizan que los datos ingresados son digitados íntegramente (datos de entrada); que los ítems rechazados y en suspenso se identifiquen correctamente y se mantengan pendientes de una solución (ítems rechazados y en espera); y finalmente que el sistema posea mecanismos de control del procesamiento para asegurar que la información fue procesada con los archivos de datos correctos y además brindando a través de las diferentes etapas del procesamiento, un seguimiento de la transacción que permita mantener una adecuada evidencia de auditoría (sobre el procesamiento). Entre los diferentes controles por los sistemas se pueden citar los de entrada de datos, los cuales están dados mediante la generación de controles por transacciones, controles por totales, controles por secuencia, controles por tamaño de registro, verificación de clave, etc. Estos controles no deben ser seleccionados sino mas bien aplicados todos, ya que tienen una función específica durante todo el trayecto de la operación de entrada. • Con los Controles por transacciones se establece una aprobación de la misma antes de su procesamiento, esto en aprobaciones automatizadas. • Para aprobaciones manuales es preferible que esta sea dada al final del procesamiento o cuando la transacción ya está completa, ejm.: Cuando se efectúa un ingreso de una compra en el sistema de compras y la aprobación del pago de la misma se realiza antes de dicho ingreso al sistema, mediante firma en un documento; no se estará seguro de que el ingreso se haya efectuado de forma correcta con las cantidades, proveedor y demás datos de la transacción original. Para evitar fraudes, es importante en este caso aprobar o firmar una vez que la transacción haya sido completada, es decir al final. • Existe otro tipo de controles que van dirigidos al mantenimiento de la información, respecto de cambios de ítems, precios, cantidades, etc. • Con los Controles por Totales se establece un registro que asegure que

todas las transacciones ingresadas sean totalizadas. • Los Controles por Secuencia son aquellos que automáticamente o manualmente va generando una secuencia del registro ya sea a nivel de formularios pre-numerados o a través de una secuencia generada automáticamente por documento que se ingresa. • Los Controles de tamaño de Registro confirman que la longitud del mensaje quede registrada de acuerdo a los parámetros técnicos establecidos y se evite la transmisión de información no contemplada en la transacción. En algunos casos también puede evaluarse la necesidad de transmisión de la información de forma codificada la cual hará más difícil el descifrar la información. Esto último es muy usado cuando la información es altamente sensitiva. • Los Controles de Aplicación deben en todo caso asegurar que los usuarios accesen o afecten sólo lo autorizado y definido para cada uno de ellos.

Políticas de contraseñas En los últimos años, el perfil de los usuarios de Internet y los usos que estos hacen de la Red, ha variado, alcanzándose unas notables tasas de penetración en determinados servicios. Así, por ejemplo en España, el correo electrónico, con un 99,5%, es el servicio más utilizado entre los usuarios habituales de Internet entre 16 y 74 años, un 63% ha utilizado servicios de banca electrónica y actividades financieras y el 52% ha realizado compras online.1 El resultado de todo este proceso de incorporación a la sociedad de la información es que el número de dispositivos desde los que se puede acceder a las redes de información se ha ampliado, y las gestiones desde los mismos son más numerosas, más frecuentes, y de mayor trascendencia económica. En este contexto, y con el objetivo de que todo el proceso de comunicación sea gestionado de forma segura, a la hora de hacer dichos usos y transacciones a través de Internet, han de tomarse una serie de medidas y buenas prácticas encaminadas a mejorar la seguridad. En este sentido, la concienciación del usuario para gestionar de modo eficiente su información tiene uno de sus pilares en la correcta gestión y creación de las contraseñas que este ha de utilizar en la mayoría de los procesos y operaciones que requieren de su autenticación.

Habitualmente, cuando un usuario pretende realizar una transacción con una empresa por medio de la Red le es requerida una clave de usuario (login) y una contraseña (password). Así, en el 24% de los casos de las empresas que ofrecen sus servicios a través de Internet, el usuario ha de registrarse como tal e identificarse para acceder a dichos servicios mediante una contraseña. Sin embargo, observando los datos estadísticos sobre usos y hábitos en Internet, se constatan carencias y lagunas en la gestión de la seguridad de la información en relación con el empleo de las contraseñas. En general, sólo el 41% de los usuarios habituales de Internet españoles utiliza claves o contraseñas como medidas de seguridad y, en particular, apenas la mitad (51,6%) utiliza dicha medida para el acceso y protección de los ficheros ubicados en los ordenadores domésticos.4 Sin embargo, y a pesar de ser una medida de seguridad no demasiado extendida, la importancia de la utilización y robustez de las contraseñas y claves es muy elevada. Debemos ser cuidadosos a la hora de elegir nuestras contraseñas Tanto en el ordenador del trabajo, como en el propio del hogar existe información y se realizan operaciones cuya repercusión económica y personal es muy importante. Esto afecta al los sistemas de las empresas y equipos informáticos, así como a la privacidad del usuario. A ninguno se nos ocurriría dejarle la llave de nuestro hogar a cualquier desconocido que nos la pidiera, incluso al perderla se procede a cambiarla inmediatamente. Algo parecido sucede con nuestras contraseñas. A nadie se le ocurriría dejarle el nombre de usuario y contraseña de acceso a nuestros servicios bancarios por la Red a un desconocido, o siquiera, a un conocido. La repercusión de este hecho puede suponer desde que nos vacíen la cuenta suplantando nuestra persona, o en el caso de nuestro trabajo, que se apoderen de todos los datos en nuestro equipo contenidos o, incluso, puedan eliminarlos, perdiendo hasta años de trabajo por una descuidada gestión de nuestras contraseñas. Un reciente estudio elaborado entre 325 empleados señala que un 30% de trabajadores americanos guarda sus contraseñas, apuntadas en un papel cerca del propio equipo, y un 66% lo hace en un archivo en su propio ordenador o en su móvil. Estas conductas poco cuidadosas facilitan enormemente las incidencias de seguridad que, de ocurrir, pueden llegar a tener consecuencias graves.

Así, el “phishing”, uno de los fraudes más extendidos últimamente por la Red, precisamente centra su objetivo en conseguir las claves y contraseñas del usuario, para usarlas con fines espurios. Así, en el caso más habitual se suplanta la página web de una entidad bancaria o financiera (aunque pueden ser también páginas de la administración, buscadores, subastas) para de este modo, robar los datos del usuario y realizar operaciones y transacciones económicas en su cuenta bancaria. Consecuencias de la sustracción o revelación de nuestras contraseñas El objetivo de la sustracción de nuestras contraseñas para con ellas apropiarse de información sensible para el usuario con una finalidad de tipo económico o bien realizar otras acciones dañinas o delictivas como borrado de toda información, chantaje, espionaje industrial, etc. Las consecuencias son diversas y varían según el valor que cada usuario haya establecido para la información. Por ejemplo, si la contraseña corresponde a la de un servicio bancario podrían sustraernos dinero de la cuenta o efectuar otras operaciones con perjuicio económico para el usuario. Si la contraseña pertenece al ordenador de nuestro hogar podrían tomar su control o robar toda la información contenida en él: como otras contraseñas o listados de usuarios y correos electrónicos o archivos personales y documentos. Otra consecuencia podría ser el borrado completo de toda la información allí incluida. En el ámbito laboral, las consecuencias pueden llegar a ser catastróficas si un tercero suplanta nuestra identidad utilizando nuestro usuario y contraseña. Así, podría acceder a los sistemas corporativos con nuestro usuario y, bien sustraer todo tipo de información del trabajador y/o la empresa, o bien utilizar esta entrada para modificar o incluso eliminar archivos, con las consecuencias económicas, de responsabilidad jurídica y pérdidas de imagen que ello supondría. Métodos por los que nuestras contraseñas quedan al descubierto Los métodos para descubrir las contraseñas de un usuario son variados. En primer lugar, se basan en la utilización de la “ingeniería social”, por ejemplo utilizando el teléfono o un correo electrónico para engañar al usuario para que éste revele sus contraseñas. Dentro de este grupo destaca el fraude conocido como “phishing”. En este tipo de estafa online el objetivo consiste en obtener las contraseñas o número de la tarjeta de un usuario, mediante

un e-mail, sms, fax, etc. que suplanta la personalidad de una entidad de confianza y donde se le insta al usuario que introduzca sus contraseñas de acceso. También es posible que el usuario se la comunique o ceda a un tercero y, por accidente o descuido, quede expuesta al delincuente, por ejemplo, al teclearla delante de otras personas. Puede ser que el atacante conozca los hábitos del usuario y deduzca el sistema que éste tiene para crear contraseñas (por ejemplo, que elige personajes de su libro favorito) o que asigne la misma contraseña a varios servicios (correo electrónico, código PIN de las tarjetas de crédito o teléfono móvil, contraseña de usuario en su ordenador, etc.). Otro método, consiste en que el atacante pruebe contraseñas sucesivas hasta encontrar la que abre el sistema, lo que comúnmente se conoce por “ataque de fuerza bruta”. Hoy en día un atacante, con un equipo informático medio de los que hay en el mercado, podría probar hasta 10.000.000 de contraseñas por segundo. Esto significa que una contraseña creada con sólo letras minúsculas del alfabeto y con una longitud de 6 caracteres, tardaría en ser descubierta, aproximadamente, unos 30 segundos. Igualmente, se aplican técnicas más sofisticadas para realizar la intrusión. Se trata de métodos avanzados que en consiguen averiguar la contraseña cifrada atacándola con un programa informático (“crackeador”) que la descodifica y deja al descubierto. Un último grupo de técnicas se basan en la previa infección del equipo mediante código malicioso: con programas “sniffer” o “keylogger”. Un programa “sniffer” o “monitor de red” espía las comunicaciones del ordenador que tiene residente dicho malware, a través de la red, y de ellas obtiene los datos de las claves. El “keylogger” o “capturador de pulsaciones de teclado” consiste en un programa que se instala en el ordenador del usuario de modo fraudulento, y almacena en un archivo toda aquella información que se teclea en el ordenador. Más adelante dicho archivo puede ser enviado al atacante sin conocimiento ni consentimiento del usuario y, con ello, el intruso puede obtener las distintas contraseñas que el usuario ha utilizado en el acceso a los servicios online o que ha podido incluir en correos electrónicos . Recomendaciones de INTECO en relación a la gestión y establecimiento de contraseñas. Para gestionar correctamente la seguridad de las contraseñas, desde el Instituto Nacional de Tecnologías de la Comunicación (INTECO) se

recomienda a los usuarios tener en cuenta las siguientes pautas para la creación y establecimiento de contraseñas seguras: Política y acciones para construir contraseñas seguras: 1. Se deben utilizar al menos 8 caracteres para crear la clave. Según un estudio de la Universidad de Wichita, el número medio de caracteres por contraseña para usuarios entre 18 y 58 años habituales de Internet es de 7. Esto conlleva el peligro de que el tiempo para descubrir la clave se vea reducido a minutos o incluso segundos. Sólo un 36% de los encuestados indicaron que utilizaban un número de caracteres de 7 o superior. 2. Se recomienda utilizar en una misma contraseña dígitos, letras y caracteres especiales. 3. Es recomendable que las letras alternen aleatoriamente mayúsculas y minúsculas. Hay que tener presente el recordar qué letras van en mayúscula y cuáles en minúscula. Según el mismo estudio, el 86% de los usuarios utilizan sólo letras minúsculas, con el peligro de que la contraseña sea descubierta por un atacante casi instantáneamente. 4. Elegir una contraseña que pueda recordarse fácilmente y es deseable que pueda escribirse rápidamente, preferiblemente, sin que sea necesario mirar el teclado. 5. Las contraseñas hay que cambiarlas con una cierta regularidad. Un 53% de los usuarios no cambian nunca la contraseña salvo que el sistema le obligue a ello cada cierto tiempo. Y, a la vez, hay que procurar no generar reglas secuenciales de cambio. Por ejemplo, crear una nueva contraseña mediante un incremento secuencial del valor en relación a la última contraseña. P. ej.: pasar de “01Juitnx” a “02Juitnx”. 6. Utilizar signos de puntuación si el sistema lo permite. P. ej.: “Tr-.3Fre”. En este caso de incluir otros caracteres que no sean alfa-numéricos en la contraseña, hay que comprobar primero si el sistema permite dicha elección y cuáles son los permitidos. Dentro de ese consejo se incluiría utilizar símbolos como: ! " # $ % & ' ( ) * + , - . / : ; < = > ? @ [ \ ] ^ _ ` { | } ~

Acciones que deben evitarse en la gestión de contraseñas seguras: •Se debe evitar utilizar la misma contraseña siempre en todos los sistemas o servicios. Por ejemplo, si se utilizan varias cuentas de correo, se debe recurrir a contraseñas distintas para cada una de las cuentas. Un 55% de los usuarios indican que utilizan siempre o casi siempre la misma contraseña para múltiples sistemas, y un 33% utilizan una variación de la misma contraseña. •No utilizar información personal en la contraseña: nombre del usuario o de sus familiares, ni sus apellidos, ni su fecha de nacimiento. Y, por supuesto, en ninguna ocasión utilizar datos como el DNI o número de teléfono. •Hay que evitar utilizar secuencias básicas de teclado (por ejemplo: ”qwerty”, “asdf” o las típicas en numeración: “1234” ó “98765”) •No repetir los mismos caracteres en la misma contraseña. (ej.: “111222”). •Hay que evitar también utilizar solamente números, letras mayúsculas o minúsculas en la contraseña. •No se debe utilizar como contraseña, ni contener, el nombre de usuario asociado a la contraseña. •No utilizar datos relacionados con el usuario que sean fácilmente deducibles, o derivados de estos. (ej: no poner como contraseña apodos, el nombre del actor o de un personaje de ficción preferido, etc.). •No escribir ni reflejar la contraseña en un papel o documento donde quede constancia de la misma. Tampoco se deben guardar en documentos de texto dentro del propio ordenador o dispositivo (ej: no guardar las contraseñas de las tarjetas de débito/crédito en el móvil o las contraseñas de los correos en documentos de texto dentro del ordenador), •No se deben utilizar palabras que se contengan en diccionarios en ningún idioma. Hoy en día existen programas de ruptura de claves que basan su ataque en probar una a una las palabras que extraen de diccionarios: Este método de ataque es conocido como “ataque por diccionario”. •No enviar nunca la contraseña por correo electrónico o en un sms. Tampoco se debe facilitar ni mencionar en una conversación o comunicación de cualquier tipo. •Si se trata de una contraseña para acceder a un sistema delicado hay que procurar limitar el número de intentos de acceso, como sucede en una tarjeta de crédito y cajeros, y que el sistema se bloquee si se excede el número de intentos fallidos permitidos. En este caso debe existir un sistema de recarga de la contraseña o “vuelta atrás”. •No utilizar en ningún caso contraseñas que se ofrezcan en los ejemplos explicativos de construcción de contraseñas robustas.

•No escribir las contraseñas en ordenadores de los que se desconozca su nivel de seguridad y puedan estar monitorizados, o en ordenadores de uso público (bibliotecas, cibercafés, telecentros, etc.). •Cambiar las contraseñas por defecto proporcionadas por desarrolladores/fabricantes.

Herramientas y soluciones informáticas Existe también la posibilidad de recurrir a herramientas y soluciones de software que creen las contraseñas seguras que vamos a utilizar. A continuación, ofrecemos una recopilación de enlaces que pueden ser de utilidad al usuario: - ViPNet Password Roulette: http://www.infotecs.biz - MaxPassword: http://www.max2k.com/ - lameGen: http://lame-industries.net/ - Password Generator: http://www.wincatalog.com/ - Password Strength Analyser and Generator: http://pwdstr.sourceforge.net/ - Cryptix: http://www.rbcafe.com/

Auditorias de seguridad informática : - Concepto. Tipos de auditorías. La auditoría informática es un proceso llevado a cabo por profesionales especialmente capacitados para el efecto, y que consiste en recoger, agrupar y evaluar evidencias para determinar si un sistema de información salvaguarda el activo empresarial, mantiene la integridad de los datos, lleva a cabo eficazmente los fines de la organización, utiliza eficientemente los recursos, y cumple con las leyes y regulaciones establecidas. Permiten detectar de forma sistemática el uso de los recursos y los flujos de información dentro de una organización y determinar qué información es crítica para el cumplimiento de su misión y objetivos, identificando necesidades, duplicidades, costes, valor y barreras, que obstaculizan flujos de información eficientes. Auditar consiste principalmente en estudiar los mecanismos de control que están implantados en una empresa u organización, determinando si los mismos son adecuados y cumplen unos determinados objetivos o estrategias, estableciendo los cambios que se deberían realizar para la consecución de los mismos. Los mecanismos de control pueden ser directivos, preventivos, de detección, correctivos o de recuperación ante una contingencia. Los objetivos de la auditoría Informática son: • • • •

El control de la función informática El análisis de la eficiencia de los Sistemas Informáticos La verificación del cumplimiento de la Normativa en este ámbito La revisión de la eficaz gestión de los recursos informáticos.

La auditoría informática sirve para mejorar ciertas características en la empresa como: • • • • • •

Desempeño Fiabilidad Eficacia Rentabilidad Seguridad Privacidad

Generalmente se puede desarrollar en alguna o combinación de las siguientes areas:

• • • • •

Gobierno corporativo Administración del Ciclo de vida de los sistemas Servicios de Entrega y Soporte Protección y Seguridad Planes de continuidad y Recuperación de desastres

La necesidad de contar con lineamientos y herramientas estándar para el ejercicio de la auditoría informática ha promovido la creación y desarrollo de mejores prácticas como COBIT, COSO e ITIL. Actualmente la certificación de ISACA para ser CISA Certified Information Systems Auditor es una de las más reconocidas y avaladas por los estándares internacionales ya que el proceso de selección consta de un examen inicial bastante extenso y la necesidad de mantenerse actualizado acumulando horas (puntos) para no perder la certificación. Tipos de Auditoría informática Dentro de la auditoría informática destacan los siguientes tipos (entre otros): • •

• • •

•

• •

Auditoría de la gestión: la contratación de bienes y servicios, documentación de los programas, etc. Auditoría legal del Reglamento de Protección de Datos: Cumplimiento legal de las medidas de seguridad exigidas por el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos. Auditoría de los datos: Clasificación de los datos, estudio de las aplicaciones y análisis de los flujogramas. Auditoría de las bases de datos: Controles de acceso, de actualización, de integridad y calidad de los datos. Auditoría de la seguridad: Referidos a datos e información verificando disponibilidad, integridad, confidencialidad, autenticación y no repudio. Auditoría de la seguridad física: Referido a la ubicación de la organización, evitando ubicaciones de riesgo, y en algunos casos no revelando la situación física de esta. También está referida a las protecciones externas (arcos de seguridad, CCTV, vigilantes, etc.) y protecciones del entorno. Auditoría de la seguridad lógica: Comprende los métodos de autenticación de los sistemas de información. Auditoría de las comunicaciones. Se refiere a la auditoria de los procesos de autenticación en los sistemas de comunicación.

•

Auditoría de la seguridad en producción: Frente a errores, accidentes y fraudes.

la técnica de la auditoría, siendo por tanto aceptables equipos multidisciplinarios formados por titulados en Ingeniería Informática e Ingeniería Técnica en Informática y licenciados en derecho especializados en el mundo de la auditoría. Principales pruebas y herramientas para efectuar una auditoría informatica En la realización de una auditoría informática el auditor puede realizar las siguientes pruebas: •

•

Pruebas sustantivas: Verifican el grado de confiabilidad del SI del organismo. Se suelen obtener mediante observación, cálculos, muestreos, entrevistas, técnicas de examen analítico, revisiones y conciliaciones. Verifican asimismo la exactitud, integridad y validez de la información. Pruebas de cumplimiento: Verifican el grado de cumplimiento de lo revelado mediante el análisis de la muestra. Proporciona evidencias de que los controles claves existen y que son aplicables efectiva y uniformemente.

Las principales herramientas de las que dispone un auditor informático son: • • • • • • •

Observación Realización de cuestionarios Entrevistas a auditados y no auditados Muestreo estadístico Flujogramas Listas de chequeo Mapas conceptuales

Criptografía. - Objetivos. Conceptos. Historia. Objetivo de la criptografia En esencia la criptografía trata de enmascarar las representaciones caligráficas de una lengua, de forma discreta. Si bien, el área de estudio científico que se encarga de ello es la Criptología. Para ello existen distintos métodos. Por ejemplo enmascarar las referencias originales de la lengua por un método de conversión gobernado por un algoritmo que permita el proceso inverso o descifrado de la información. El uso de esta u otras técnicas, permite un intercambio de mensajes que sólo puedan ser leídos por los destinatarios designados como 'coherentes'. Un destinatario coherente es la persona a la que el mensaje se le dirige con intención por parte del remitente. Así pues, el destinatario coherente conoce el discretismo usado para el enmascaramiento del mensaje. Por lo que, o bien posee los medios para someter el mensaje criptográfico al proceso inverso, o puede razonar e inferir el proceso que lo convierta en un mensaje de acceso público. En ambos casos, no necesita usar técnicas criptoanalíticas. Un ejemplo cotidiano de criptografía es el que usamos cuando mandamos una carta. El mensaje origen queda enmascarado por una cubierta denominada sobre, la cual declara el destinatario coherente, que además conoce el proceso inverso para hacer público el mensaje contenido en el sobre. Hay procesos más elaborados que, por decirlo de alguna manera, el mensaje origen trata de introducir cada letra usada en un 'sobre' distinto. Por ejemplo, la frase 'texto de prueba', pudiera estar representada por la siguiente notación cifrada: CF, F0, 114, 10E, 106, 72, F3, F6, 75, 10C, 111, 118, FB, F6, F5. El 'sobre' usado es de notación hexadecimal, si bien, el cálculo hexadecimal es de acceso público, no se puede decir que sea un mensaje discreto, ahora, si el resultado de la notación hexadecimal (como es el caso para el ejemplo) es consecuencia de la aplicación de un 'método' de cierre del 'sobre' (como lo es la cola de sellado, o el lacre en las tradicionales cartas), el destinatario debe de conocer la forma de abrirlo sin deteriorar el mensaje origen. En otras palabras, debe de conocer la contraseña. Para el ejemplo, la contraseña es '12345678'.

Conceptos La palabra criptografía es un término genérico que describe todas las técnicas que permiten cifrar mensajes o hacerlos ininteligibles sin recurrir a una acción específica. El verbo asociado es cifrar. La criptografía se basa en la aritmética: En el caso de un texto, consiste en transformar las letras que conforman el mensaje en una serie de números (en forma de bits ya que los equipos informáticos usan el sistema binario) y luego realizar cálculos con estos números para: •Modificarlos y hacerlos incomprensibles. El resultado de esta modificación (el mensaje cifrado) se llama texto cifrado, en contraste con el mensaje inicial, llamado texto simple. •Asegurarse de que el receptor pueda descifrarlos. El hecho de codificar un mensaje para que sea secreto se llama cifrado. El método inverso, que consiste en recuperar el mensaje original, se llama descifrado.

El cifrado normalmente se realiza mediante una clave de cifrado y el descifrado requiere una clave de descifrado. Las claves generalmente se dividen en dos tipos: 1.-Las claves simétricas: son las claves que se usan tanto para el cifrado como para el descifrado. En este caso hablamos de cifrado simétrico o cifrado con clave secreta. 2.-Las claves asimétricas: son las claves que se usan en el caso del cifrado asimétrico (también llamado cifrado con clave pública). En este caso, se usa una clave para el cifrado y otra para el descifrado. En inglés, el término decryption (descifrado) también se refiere al acto de intentar descifrar en forma ilegítima el mensaje (ya conozca o no el atacante la clave de descifrado). Cuando el atacante no conoce la clave de descifrado, hablamos de criptanálisis o criptoanálisis (también se usa el término decodificación). La criptología es la ciencia que estudia los aspectos científicos de estas técnicas, es decir, combina la criptografía y el criptoanálisis. En la jerga de la criptografía, la información original que debe protegerse se denomina texto en claro o texto plano. El cifrado es el proceso de convertir el texto plano en un galimatías ilegible, denominado texto cifrado o criptograma. Por lo general, la aplicación concreta del algoritmo de cifrado

(también llamado cifra) se basa en la existencia de una clave: información secreta que adapta el algoritmo de cifrado para cada uso distinto. Cifra es una antigua palabra arábiga para designar el número cero; en la Antigüedad, cuando Europa empezaba a cambiar del sistema de numeración romano al arábigo, se desconocía el cero, por lo que este resultaba misterioso, de ahí probablemente que cifrado signifique misterioso. Las dos técnicas más sencillas de cifrado, en la criptografía clásica, son la sustitución (que supone el cambio de significado de los elementos básicos del mensaje -las letras, los dígitos o los símbolos-) y la transposición (que supone una reordenación de los mismos); la gran mayoría de las cifras clásicas son combinaciones de estas dos operaciones básicas. El descifrado es el proceso inverso que recupera el texto plano a partir del criptograma y la clave. El protocolo criptográfico especifica los detalles de cómo se utilizan los algoritmos y las claves (y otras operaciones primitivas) para conseguir el efecto deseado. El conjunto de protocolos, algoritmos de cifrado, procesos de gestión de claves y actuaciones de los usuarios, es lo que constituyen en conjunto un criptosistema, que es con lo que el usuario final trabaja e interactúa. Existen dos grandes grupos de cifras: los algoritmos que usan una única clave tanto en el proceso de cifrado como en el de descifrado, y los que emplean una clave para cifrar mensajes y una clave distinta para descifrarlos. Los primeros se denominan cifras simétricas, de clave simétrica o de clave privada, y son la base de los algoritmos de cifrado clásico. Los segundos se denominan cifras asimétricas, de clave asimétrica o de clave pública y forman el núcleo de las técnicas de cifrado modernas. Las funciones de la criptografía La criptografía se usa tradicionalmente para ocultar mensajes de ciertos usuarios. En la actualidad, esta función es incluso más útil ya que las comunicaciones de Internet circulan por infraestructuras cuya fiabilidad y confidencialidad no pueden garantizarse. La criptografía se usa no sólo para proteger la confidencialidad de los datos, sino también para garantizar su integridad y autenticidad.

Para qué sirve la criptografía Los seres humanos siempre han sentido la necesidad de ocultar información, mucho antes de que existieran los primeros equipos informáticos y calculadoras. Desde su creación, Internet ha evolucionado hasta convertirse en una herramienta esencial de la comunicación. Sin embargo, esta comunicación implica un número creciente de problemas estratégicos relacionados con las actividades de las empresas en la Web. Las transacciones que se realizan a través de la red pueden ser interceptadas y, sobretodo, porque actualmente resulta difícil establecer una legislación sobre Internet. La seguridad de esta información debe garantizarse: éste es el papel de la criptografía. Historia de la criptografía La historia de la criptografía es larga y abunda en anécdotas. Ya las primeras civilizaciones desarrollaron técnicas para enviar mensajes durante las campañas militares, de forma que si el mensajero era interceptado la información que portaba no corriera el peligro de caer en manos del enemigo.El primer método de criptografía fue en el siglo V a.C, era conocido como "Escítala". El segundo criptosistema que se conoce fue documentado por el historiador griego Polibio: un sistema de sustitución basado en la posición de las letras en una tabla. También los romanos utilizaron sistemas de sustitución, siendo el método actualmente conocido como César, porque supuestamente Julio César lo empleó en sus campañas, uno de los más conocidos en la literatura (según algunos autores, en realidad Julio César no usaba este sistema de sustitución, pero la atribución tiene tanto arraigo que el nombre de este método de sustitución ha quedado para los anales de la historia). Otro de los métodos criptográficos utilizados por los griegos fue la escítala espartana, un método de trasposición basado en un cilindro que servía como clave en el que se enrollaba el mensaje para poder cifrar y descifrar. En 1465 el italiano Leon Battista Alberti inventó un nuevo sistema de sustitución polialfabética que supuso un gran avance de la época. Otro de los criptógrafos más importantes del siglo XVI fue el francés Blaise de Vigenère que escribió un importante tratado sobre "la escritura secreta" y que diseñó una cifra que ha llegado a nuestros días asociada a su nombre. A Selenus se le debe la obra criptográfica "Cryptomenytices et Cryptographiae" (Luneburgo, 1624). Durante los siglos XVII, XVIII y XIX, el interés de los monarcas por la criptografía fue notable. Las tropas de

Felipe II emplearon durante mucho tiempo una cifra con un alfabeto de más de 500 símbolos que los matemáticos del rey consideraban inexpugnable. Cuando el matemático francés François Viète consiguió criptoanalizar aquel sistema para el rey de Francia, a la sazón Enrique IV, el conocimiento mostrado por el rey francés impulsó una queja de la corte española ante del papa Pío V acusando a Enrique IV de utilizar magia negra para vencer a sus ejércitos. Por su parte, la reina María Estuardo, reina de Escocia, fue ejecutada por su prima Isabel I de Inglaterra al descubrirse un complot de aquella tras un criptoanálisis exitoso por parte de los matemáticos de Isabel. Durante la Primera Guerra Mundial, los Alemanes usaron el cifrado ADFGVX. Este método de cifrado es similar a la del tablero de ajedrez Polibio. Consistía en una matriz de 6 x 6 utilizado para sustituir cualquier letra del alfabeto y los números 0 a 9 con un par de letras que consiste de A, D, F, G, V, o X. La máquina Enigma utilizada por los alemanes durante la II Guerra Mundial. Desde el siglo XIX y hasta la Segunda Guerra Mundial, las figuras más importantes fueron la del holandés Auguste Kerckhoffs y la del prusiano Friedrich Kasiski. Pero es en el siglo XX cuando la historia de la criptografía vuelve a experimentar importantes avances. En especial durante las dos contiendas bélicas que marcaron al siglo: la Gran Guerra y la Segunda Guerra Mundial. A partir del siglo XX, la criptografía usa una nueva herramienta que permitirá conseguir mejores y más seguras cifras: las máquinas de cálculo. La más conocida de las máquinas de cifrado posiblemente sea la máquina alemana Enigma: una máquina de rotores que automatizaba considerablemente los cálculos que era necesario realizar para las operaciones de cifrado y descifrado de mensajes. Para vencer al ingenio alemán, fue necesario el concurso de los mejores matemáticos de la época y un gran esfuerzo computacional. No en vano, los mayores avances tanto en el campo de la criptografía como en el del criptoanálisis no empezaron hasta entonces. Tras la conclusión de la Segunda Guerra Mundial, la criptografía tiene un desarrollo teórico importante, siendo Claude Shannon y sus investigaciones

sobre teoría de la información esenciales hitos en dicho desarrollo. Además, los avances en computación automática suponen tanto una amenaza para los sistemas existentes como una oportunidad para el desarrollo de nuevos sistemas. A mediados de los años 70, el Departamento de Normas y Estándares norteamericano publica el primer diseño lógico de un cifrador que estaría llamado a ser el principal sistema criptográfico de finales de siglo: el Estándar de Cifrado de Datos o DES. En esas mismas fechas ya se empezaba a gestar lo que sería la, hasta ahora, última revolución de la criptografía teórica y práctica: los sistemas asimétricos. Estos sistemas supusieron un salto cualitativo importante, ya que permitieron introducir la criptografía en otros campos que hoy día son esenciales, como el de la firma digital. Criptografía y Sistemas Criptográficos La criptografía es la práctica y el estudio de la ocultación de información. En otras palabras, es el arte o ciencia de cifrar y descifrar cierta información mediante técnicas especiales y se emplea frecuentemente para permitir un intercambio de mensajes que sólo puedan ser leídos por personas a las que van dirigidos y que poseen los medios para descifrarlos. La criptografía que nosotros conocemos y utilizamos, data de los años 70 aunque ya se utilizaban técnicas criptográficas en la segunda guerra mundial e incluso pueblos de la antigüedad como los griegos y romanos utilizaban mecanismos para enviar mensajes en sus campañas militares. Existen muchos ámbitos en los que hoy en día la criptografía aporta seguridad en la comunicación por canales no seguros. Si por ejemplo hablamos de teléfonos móviles, se usan cada vez más sistemas que permiten la firma y verificación local de documentos a través de los propios dispositivos y de acuerdo a estándares de clave pública. La consolidación de estándares de firma digital y en particular los relativos a infraestructura PKI (Public Key Infrastructure) ha permitido que complicadas soluciones de firma digital utilizadas casi exclusivamente en entornos de Administración Pública se hayan simplificado y generalizado permitiendo a las empresas acceder a ellas e incorporarlas en sus flujos de relación con clientes, empleados, suministradores, proveedores, etc. Otro caso donde interviene la criptografía es el del token de seguridad o tokenPKI, que es un dispositivo electrónico, por ejemplo en forma de

llavero, que se le da a un usuario autorizado de un servicio informático para facilitar tar el proceso de autenticación. Infinidad de usos y finalidades se aplican cada día en el mundo de la tecnología, ya sea en comunicaciones militares, protocolo https, envío de correos electrónicos cifrados o las telecomunicaciones en general. La información original que debe protegerse se denomina texto plano o texto en claro.. El cifrado es el proceso de convertir el texto plano en un texto imposible de leer llamado texto cifrado.. Para obtener un texto cifrado, se aplica un algoritmo de cifrado, cifrado, utilizando una clave, al texto plano.

Cifrado de datos De la misma manera, si aplicamos un algoritmo de descifrado, que también utiliza una clave, al texto cifrado, obtendremos, de nuevo, el texto plano.

Descifrado de datos La clave debe ser secreta y sólo deben conocerla las dos partes implicadas en ambos procesos. Si alguien más supiera la clave, se vería comprometida la seguridad del cifrado de los datos. Dependiendo del número de claves utilizadas por los algoritmos de cifrado/descifrado, existen dos tipos de métodos criptográficos: criptografía de clave simétrica, simétrica, que utiliza una única clave, y criptografía de clave asimétrica que utiliza dos claves. Criptografía simétrica

En la criptografía simétrica se usa una única clave para cifrar y descifrar mensajes. Las dos partes que se comunican han de ponerse de acuerdo de antemano sobre la clave a usar. Una vez compartida la clave, el remitente cifra un mensaje con ella, lo envía al destinatario y éste lo descifra con la misma. En las siguientes imágenes imágenes se puede observar el funcionamiento del intercambio de claves y de cifrado simétrico: El emisor envía al receptor la clave con la que cifrar y descifrar los mensajes a través de un canal seguro.

Criptografía simétrica. Intercambio de claves. El emisor envía el mensaje cifrado al receptor. Éste último descifra el mensaje para ver su contenido.

Criptografía simétrica. Cifrado/Descifrado. Los algoritmos más utilizados para realizar el cifrado y descifrado de los datos son: DES, Triple--DES , AES , Blowfish , etc.

Actualmente, los ordenadores pueden obtener claves desconocidas con extrema rapidez, y ésta es la razón por la cual el tamaño de la clave es importante en los sistemas criptográficos modernos. El algoritmo de cifrado DES usa una clave de 56 bits, lo que significa que hay 2 elevado a 56 claves posibles. Aunque esto representa un número muy alto de claves, un ordenador genérico puede comprobar el conjunto posible de claves en cuestión de días. Una máquina especializada puede hacerlo en horas. Algoritmos de cifrado de diseño más reciente como Triple-DES o Blowfish pueden usar claves de tamaños comprendidos entre los 128 bits y los 256 bits, lo que significa que existen 2 elevado a 128/256 claves posibles. El principal problema con los sistemas de cifrado simétrico está ligado al intercambio de claves. Ningún canal de comunicación es lo bastante seguro como para garantizar que nadie interceptará el mensaje en el que se envía la clave. Otro problema es el número de claves que se necesitan. Para que un número n de personas se comuniquen entre sí, son necesarias n-1 claves por cada persona, lo que implica que son necesarias n * ((n - 1) / 2) claves en total. Por ejemplo, para un grupo de 4 personas serían necesarias 6 claves, pero para un grupo de 100 personas serían necesarias 4950 claves. Por lo tanto, esto puede funcionar con un grupo reducido de personas, pero sería inviable llevarlo a cabo con grupos más grandes. Criptografía asimétrica o de clave pública La criptografía asimétrica usa dos claves para el envío de mensajes: una clave pública y una clave privada. Cada usuario tiene una clave pública y una privada asociadas a él. El usuario debe mantener en secreto la privada y distribuir la pública a todos los receptores con los que desea comunicarse. Los métodos criptográficos garantizan que esa pareja de claves sólo se pueda generar una vez, de modo que se puede asumir que no es posible que dos personas hayan obtenido casualmente la misma pareja de claves. En este sistema, lo que cifra la clave pública sólo puede ser descifrado con la privada y lo que cifra la clave privada sólo lo descifra la pública. El procedimiento consiste en que el emisor cifra los datos con la clave pública del receptor, de esta forma se garantiza la confidencialidad del mensaje ya que sólo el receptor puede descifrarlo con su clave privada.

En las siguientes imágenes se puede observar el funcionamiento cifrado y descifrado en la criptografía asimétrica: El emisor envía nvía al receptor el mensaje cifrado con la clave pública del receptor. El receptor descifra el mensaje con su clave privada para así poder ver el mensaje en claro.

Criptografía asimétrica de emisor a receptor. Cifrado/Descifrado. De igual manera, el receptor receptor cifra el mensaje con la clave pública del receptor. El emisor descifra el mensaje con su clave privada.

Criptografía asimétrica de receptor a emisor. Cifrado/Descifrado. La criptografía asimétrica es la base para realizar operaciones de autenticación n y firma electrónica. Algunos de los algoritmos más utilizados son:

• • • •

RSA DSA Diffie-Hellman ElGamal

En este tipo de criptografía el tamaño de las claves es muy importante ya que toda la seguridad recae en la complejidad de las claves y en la imposibilidad de obtener la clave privada a partir de la pública. Por este motivo el tamaño de las claves es importante, cuanto más largas, más complejas, mayor dificultad. El tamaño de las claves a calcular puede variar entre los 512 bits y los 4096 bits. En la actualidad se considera como seguras las claves con un tamaño mínimo de 1024 bits. Como todos los sistemas, la criptografía asimétrica también tiene desventajas, como por ejemplo el tamaño de las claves y el tiempo de proceso. Para una misma longitud de clave y mensaje, se necesita mayor tiempo de proceso que para la criptografía simétrica porque las claves tienen un tamaño mayor que las utilizadas en un sistema de clave simétrica y por la complejidad de los algoritmos. En la siguiente tabla, se muestra una comparativa entre los dos tipos de criptografía: Infraestructura de clave pública (PKI) Una PKI (del inglés, Public Key Infrastructure) engloba todo el software y componentes de hardware junto con los usuarios, políticas y procedimientos que permiten la creación y gestión de los certificados digitales basados en la criptografía asimétrica o de clave pública. El objetivo principal de la PKI es la gestión eficiente y confiable de las claves criptográficas y los certificados que pueden ser utilizados para propósitos de autenticación, integridad, confidencialidad y no repudio. Un certificado digital es un documento digital mediante el cual un tercero confiable (una autoridad de certificación) garantiza la vinculación entre la identidad de un sujeto o entidad y su clave pública. En una operación criptográfica que use infraestructura PKI intervienen, conceptualmente, al menos las siguientes partes: •

un usuario iniciador de la operación

• •

unos sistemas servidores que dan fe de la ocurrencia de la operación y garantizan la validez de los certificados implicados en la operación un destinatario de los datos cifrados/firmados/enviados garantizados por parte del usuario iniciador de la operación (puede ser él mismo)

Los componentes más habituales de una PKI son: •

•

•

•

La autoridad de certificación (CA, del inglés, Certification Authority): ): es la encargada de emitir y revocar certificados. Es la entidad de confianza que da legitimidad a la relación de una clave pública con la identidad de un usuario us o servicio. La autoridad de registro (RA, del inglés, Registration Authority): Authority es la responsable de verificar el enlace entre los certificados, concretamente, entre la clave pública del certificado y la identidad de sus titulares Los repositorios:: son son las estructuras encargadas de almacenar la información relativa a la PKI.. Los dos repositorios más importantes son el repositorio de certificados y el repositorio de listas de revocación de certificados. En una lista de revocación de certificados (CRL, del inglés, Certificate Revocation List) List) se incluyen todos aquellos certificados que por algún motivo han dejado de ser válidos antes de la fecha establecida dentro del mismo certificado. El protocolo OCSP (Online Certificate Status Protocol) Protocol permite comprobar bar la validez de los certificados de forma online, obteniendo una información más adecuada y reciente que la de una CRL. Los usuarios y entidades finalesson finalesson aquellos que poseen un par de claves (pública y privada) y un certificado asociado a su clave pública. públ Este certificado electrónico es un conjunto de datos que permiten la identificación del titular del certificado, intercambiar información con otras personas y entidades de manera segura así como firmar electrónicamente los datos que se envían de tal forma forma que se pueda comprobar su integridad y procedencia. Un certificado digital, para cumplir el estándar X.509 , que es el más utilizado en este tipo de infraestructura, debe contener la siguiente información: < >el número de serie del certificadonombre, dirección y domicilio del suscriptoridentificación del suscriptor nombrado en en el certificadoel nombre, la dirección y el lugar donde realiza actividades la entidad de certificaciónfecha de emisión y expiración del certificadola clave pública del usuariola metodología para verificar la firma digital del

suscriptor impuesta en el mensaje mensaje de datosfirma realizada con la autoridad certificadoraVersiónVersión del formato.Número de serieNúmero de serie calculado por la CA emisora.Parámetros del algoritmoIdentificador del algoritmo de firma.CAemisoraNombre firma. emisoraNombre de la CA emisora: o o

identificación del suscriptor nombrado en el certificado nombre, dirección y lugar donde realiza actividades la entidad de certificación

Fecha de emisiónPeriodo de validez.Fecha de expiraciónPeriodo de validez.AsuntoDatos del usuario del certificado: nombre, dirección y domicilio del suscriptor.Parámetros del algoritmoInformación de la clave pública del usuario: metodología para verificar la firma digital del suscriptor impuesta en el mensaje de datos.Clave públicaInformación de la clave pública del usuario.FirmaFirma de la CA de los campos anteriores. En la siguiente imagen se muestra la relación existente entre los componentes más habituales de una PKI:

Infraestructura de clave pública.

El usuario inicial precisa un certificado digital para realizar una operación de cifrado. Este certificado es otorgado por una CA. Jurídicamente, la Autoridad de Certificación es un Prestador de Servicios Criptográficos (PSC). Éste emplea la criptografía asimétrica o de clave pública para emitir y revocar certificados. La CA por sí misma, o mediante la intervención de una Autoridad de Registro, verifica la identidad del solicitante de un certificado antes de su expedición o, en caso de certificados revocados, reactiva dichos certificados mediante la comprobación de dicha identidad. Por otro lado, es responsabilidad de la CA publicar y actualizar las CRL debidamente. Si la CA emite muchos certificados, corre el riesgo de que sus CRL sean de gran tamaño, lo que hace poco práctica su descarga para los terceros que confían. Por este motivo se han desarrollado mecanismos alternativos de consulta de validez de los certificados, como servidores basados en los protocolos OCSP (del inglés, Online Certificate Status Protocol) y SCVP (del ingles, Server Certificate Validation Protocol). El protocolo OCSP permite tener las listas actualizadas constantemente, pero a diferencia de las CRL, se necesita una conexión a la red. El protocolo SCVP permite a su vez delegar en un servidor la comprobación de la validez de un certificado, así como obtener la ruta óptima de validación. Otras entidades que pueden formar parte de una infraestructura de clave pública son: •

•

La autoridad de validación (del ingles,Validation Authority, VA): es la encargada de comprobar el estado de revocación del certificado digital en el momento en el que se quiere utilizar. La autoridad de sellado de tiempo (del ingles, Time Stamping Authority, TSA): es la encargada de sellar con fecha documentos con la finalidad de probar que han existido y no han sido alterados desde un instante específico en el tiempo.

Existen distintas alternativas mediante las cuales las organizaciones pueden crear relaciones de intercambio confiables, cuya complejidad es directamente proporcional a la cantidad de CA a relacionar. Lo más simple, es que las CA intercambien certificados entre ellos, es decir, emitan certificados cruzados. Es sencillo comprender que mientras las CA

no sean demasiadas esta es la solución, ya que si la cantidad de CA es grande, se produce una gran carga de procesamiento y mucho trabajo de administración. Una autoridad de certificación puede verse fácilmente desbordada si cubre un área geográfica muy extensa o muy poblada, por lo que a menudo delega en las llamadas autoridades de registro (RA) la labor de verificar la identidad de los solicitantes. Este tipo de relación entre CA y RA es la descentralización, y agiliza el proceso de certificación y se aumenta la eficacia en la gestión de solicitudes. En el concepto de empresa aparece la estructura jerárquica. Si en una empresa con cientos de trabajadores, todos y cada uno de los empleados solicitase un certificado a una CA raíz, supondría un fuerte gasto para la empresa. La solución sería que esta empresa generase sus propios certificados, es decir, que sea su propia CA para sus empleados.

Algoritmo RSA El algoritmo RSA fue descrito en 1977 por Ron Rivest, Adi Shamir y Len Adleman, del Instituto Tecnológico de Massachusetts (MIT). Tres años antes se había sido desarrollado por Clifford Cocks pero no pudo hacerse público por ser «información clasificada» por el GCQH (Gobernment Communication Headquarters, UK), una de las agencias de inteligencia británicas donde trabajaba. El sistema fue patentado por el MIT en 1983 en Estados Unidos con el número 4.405.829. Esta patente expiró el 21 de septiembre de 2000. Como el algoritmo fue publicado antes de patentar la aplicación y, por otra parte, Cocks trabajaba en un organismo gubernamental, el algoritmo no pudo patentarse ni en Reino Unido, ni en otros lugares del mundo. El sistema RSA es un sistema de cifrado de clave asimétrica que es válido tanto para cifrar como para firmar digitalmente. En la actualidad, RSA es el primer y más utilizado algoritmo de este tipo y su seguridad radica en la dificultad para resolver el problema de la factorización de números enteros, utilizado para la generación de las claves pública y privada. El funcionamiento del algoritmo de generación de las claves se basa en el producto, conocido, de dos números primos grandes elegidos al azar y mantenidos en secreto. El algoritmo es seguro mientras no se conozcan formas rápidas de descomponer un número grande en producto de primos.

Actualmente estos números primos son del orden de 10200, y se prevé que su tamaño aumente con el aumento de la capacidad de cálculo de los ordenadores. Cada usuario posee una clave pública y otra privada. Para enviar un mensaje, el emisor busca la clave pública del receptor, la cual usa para cifrar su mensaje. Una vez que el mensaje cifrado llega al receptor, este descifra el mensaje usando su clave privada. El algoritmo RSA se divide en tres partes o pasos: •

generación de claves: o cada usuario elige aleatoriamente dos números primos distintos p y q, pero con longitudes en bits parecidas. o se calcula el módulo n = pq. o se calcula la función de Euler (PHI) del módulo: PHI(n)=(p-1)(q-1) o se escoge un entero positivo e (exponente de la clave pública) menor que PHI(n), que sea coprimo PHI(n). Se ha comprobado que un exponente muy pequeño (por ejemplo: 3) puede suponer un riesgo para la seguridad. o se determina un d (exponente de la clave privada) que satisfaga la congruencia: d= e-1 (mod PHI(n))

Entonces, (n,e) será la clave pública y (n,d) la clave privada, esta última manteniéndose en secreto. •

cifrado: o el emisor A comunica su clave pública al receptor B y guarda la clave privada en secreto. Ahora el B desea enviar un mensaje M a A. o para que la codificación no sea débil ni vulnerable, se utiliza un método de «camuflaje», el padding scheme o esquema de relleno, que añade bits de más al mensaje M de forma que al ser cifrado se camufle el mensaje cifrado junto a los bits añadidos o a continuación B convierte M en un número entero m menor que n mediante un protocolo reversible acordado de antemano. e o luego B calcula el texto cifrado c mediante la operación c=m (mod n) y transmite c a A. • descifrado: o A puede recuperar m a partir de c, usando su exponente d de la clave privada: d=cd m(mod n)

o

ahora A puede recuperar el mensaje original M invirtiendo el esquema de relleno (padding scheme). RSA debe ser combinado con alguna versión del esquema de relleno, ya que si no el valor de M puede llevar a textos cifrados inseguros. RSA usado sin esquema de relleno podría sufrir muchos problemas.

RSA es mucho más lento que DES y que otros sistemas criptográficos simétricos. En la práctica, el receptor normalmente cifra mensajes con algoritmos simétricos, cifra la clave simétrica con RSA, y transmite a ambos la clave simétrica cifrada con RSA y el mensaje simétricamente-cifrado al emisor. Esto plantea problemas adicionales de seguridad, por ejemplo, es de gran importancia usar un generador aleatorio fuerte para claves simétricas, porque de otra forma un atacante que quiera averiguar el contenido del mensaje podría puentear la comunicación mediante la adivinación de la clave simétrica.

Medidas de seguridad:

Puesta en marcha de una política de seguridad Actualmente las legislaciones nacionales de los Estados, obligan a las empresas, instituciones públicas a implantar una política de seguridad. Ej: En España la Ley Orgánica de Protección de Datos o también llamada LOPD y su normativa de desarrollo. Generalmente se ocupa exclusivamente a asegurar los derechos de acceso a los datos y recursos con las herramientas de control y mecanismos de identificación. Estos mecanismos permiten saber que los operadores tienen sólo los permisos que se les dio. La seguridad informática debe ser estudiada para que no impida el trabajo de los operadores en lo que les es necesario y que puedan utilizar el sistema informático con toda confianza. Por eso en lo referente a elaborar una política de seguridad, conviene: • • •

Elaborar reglas y procedimientos para cada servicio de la organización. Definir las acciones a emprender y elegir las personas a contactar en caso de detectar una posible intrusión Sensibilizar a los operadores con los problemas ligados con la seguridad de los sistemas informáticos.

Los derechos de acceso de los operadores deben ser definidos por los responsables jerárquicos y no por los administradores informáticos, los cuales tienen que conseguir que los recursos y derechos de acceso sean coherentes con la política de seguridad definida. Además, como el administrador suele ser el único en conocer perfectamente el sistema, tiene que derivar a la directiva cualquier problema e información relevante sobre la seguridad, y eventualmente aconsejar estrategias a poner en marcha, así como ser el punto de entrada de la comunicación a los trabajadores sobre problemas y recomendaciones en término de seguridad informática. •

Las tecnicas de seguridad activas:

1. Empleo de contraseñas adecuadas. 2. La encriptación de los datos. 3. El uso de software de seguridad informática. •

Las tecnicas o prácticas de seguridad pasivas:

1.El uso de hardware adecuado. 2. La realización de copias de seguridad de los datos y del sistema operativo en más de un soporte y en distintas ubicaciones físicas.

Análisis forense en sistemas informáticos: - Funcionalidad y fases de un análisis forense. Lo primero que debemos saber que es un análisis forense: “Es la técnica de capturar, procesar e investigar información procedente de sistemas informáticos utilizando una metodología con el fin de que pueda ser utilizada en la justicia”. El procedimiento forense digital Al hablar de un manual de procedimientos en delitos informáticos no solamente se hace referencia a definir cuál será el paso a paso que deberá seguir el investigador al llegar a la escena del delito. Definir este procedimiento en términos de "el investigador debe abrir el explorador de Windows, ubicarse en la carpeta de Archivos de programa. Buscar los archivos ejecutables que existan en la máquina." sería caer en un simplismo casuístico que no aportaría nada nuevo a la valoración que sobre la prueba deben hacer el fiscal y el juez.

Se trata de dar a los jueces y fiscales elementos que deban tomar en consideración cuando un investigador les presente evidencia de naturaleza digital, de manera que estén en capacidad de decidir si la aceptan o la rechazan, dependiendo del nivel de certeza que alcancen respecto de si esa prueba ha sido modificada de alguna forma, en algún momento. El procedimiento forense digital busca, precisamente, evitar esas modificaciones de los datos contenidos en el medio magnético a analizar, que se pueden presentar en cualquier instante, desde el mismo momento en el que haya ocurrido el presunto hecho punible por razones tan diversas el simple paso del tiempo, porque alguien haya decidido apagar la máquina, por que se haya ejecutado en ella una aplicación que sobre escribió en la memoria, en fin. También pueden presentarse como consecuencia de la intervención directa del investigador, cuya tarea inicial es "congelar" la evidencia y asegurarla, para posteriormente presentarla para su análisis. El aseguramiento se hace, única y exclusivamente, mediante la utilización de herramientas de software y hardware que, a su vez, utilizan métodos matemáticos bastantes complejos para copiar cada medio magnético en forma idéntica; es decir, que les permiten obtener clones idénticos (copias iguales, bit a bit) al original. Cuando se presenta un delito informático, antes de analizar el hecho el investigador debe, inmediatamente, acordonar la escena, que puede no tener más de cinco centímetros de largo, si se trata de una memoria flash (del tipo USB).Y este acordonamiento de la escena no es otra cosa que clonar bit a bit los datos contenidos en ella. Obtener una copia judicialmente aceptable no es tarea fácil. Sin embargo, la industria, y la práctica legal en otros países, han definido estándares que, entre otros, se refieren a la necesidad de esterilizar el medio magnético en el que la copia será guardada; al paso a paso que debe seguir el investigador; a la aceptación que la comunidad científica da a los métodos matemáticos que están detrás de las herramientas de hardware y software usadas por él; y, a la rata de error de esas herramientas.

Pauta a seguir para recolectar la evidencia de un computador encendido Un laboratorio de informática forense necesita tener la capacidad de recopilar evidencia utilizando un método que garantice la integridad evidencial del original en el momento de la copia, utilizando medios de almacenamiento que permitan garantizar la de la copia a lo largo del tiempo, y con un desempeño razonable. Como forma de satisfacer dichos requerimientos, se proponen las siguientes alternativas de solución:

•

Dispositivo de hardware de una sola vía, para realizar copias forenses de disco a disco. Requiere abrir el computador y manipular el disco sospechoso.

•

Dispositivo de hardware para realizar copias forenses en cartuchos ópticos, que permite hacer copias sin necesidad de conectar directamente el disco sospechoso al dispositivo (ejemplo a través de un cable paralelo). No requiere abrir el computador ni manipular el disco duro sospechoso.

•

PC estándar con software de generación de imágenes forense que permita hacer copias sin necesidad de conectar directamente el disco sospechoso a la máquina forense (ejemplo a través de un cable paralelo). No requiere abrir el computador ni manipular el disco duro sospechoso.

•

PC con modificaciones de hardware para permitir únicamente la lectura de discos a través de un bus de datos para análisis forense, al que se deberá conectar el disco duro sospechoso a ser analizado, y un bus de datos normal al que se deberá conectar el disco en el que se va a generar la imagen, y con cualquier software de generación de imágenes forenses. Requiere abrir le computador y manipular el disco duro sospechoso. Las fases del computer forensic son:

•

a) Adquisición de datos de evidencias. Se trata de obtener posesión física o remota del computador, todas las correspondencias de red desde el sistema y dispositivos de almacenamiento físico externo. Se incluye la autenticación de evidencias, la cadena de custodia, la documentación y la preservación de evidencias.

•

b) Identificación y análisis de datos. Identificar qué datos pueden recuperarse y recuperarlos electrónicamente ejecutando diversas herramientas de computer forensic y suites software. Se realiza un análisis automatizado con herramientas. El análisis manual se realiza con experiencia y formación.

•

c) Evaluación. Evaluar la información o datos recuperados para determinar si pueden utilizarse o no y de que forma contra el sospechoso con vistas a despedir al empleado o llevarlo a juicio.

•

d) Presentación de los descubrimientos. Presentación de evidencias descubiertas de manera que sean entendidas por abogados y personal no técnico. Puede ser presentación oral o escrita.

- Análisis de evidencias digitales. Una evidencia digital es cualquier dato almacenado o transmitido utilizando computadores que prueba o rebate una teoría de cómo un delito ocurrió o de los elementos críticos implicados del delito como coartada o intención.

También puede definirse una evidencia digital como cualquier información, sujeto de intervención humana o no, que pueda extraerse de un computador. Debe estar en formato leíble por las personas o capaz de ser interpretada por una persona con experiencia en el tema. Algunos ejemplos son: recuperar miles de correos electrónicos borrados, realizar investigación después del despido de un empleado, recuperar evidencias digitales después de formatear el disco duro, realizar investigación después de que varios usuarios Hayan tomado el control del sistema. Los sistemas operativos son cada vez más complejos en líneas de código y número de ficheros que utilizan. Por ejemplo un examen superficial de ficheros impide percatarse de nombres de ficheros que se han podido depositar de forma maliciosa. El fichero de Windows CMS32.dll (Console Messaging Subsystem Library) es verdadero, pero en cambio wow32.dll (32 bit- wow subsystem library) es malicioso; el fichero kernel32.dll es correcto pero en cambio kerne132.dll es malicioso. La información y datos que se busca después del incidente y se recoge en la investigación debe ser manejada adecuadamente. Esta puede ser: 1.- Información volátil: Información de red. Comunicación entre el sistema y la red. Procesos activos. Programas actualmente activos en el sistema. Usuarios logeados. Usuarios y empleados que actualmente utilizan el sistema. Ficheros abiertos. Librerías en uso, ficheros ocultos, troyanos cargados en el sistema. 2.- Información no volátil. Se incluye información, datos de configuración, ficheros del sistema y datos del registro que son disponibles después del re-arranque. Esta información se investiga y revisa a partir de una copia de backup. Los discos duros fijos pueden ser con conexión S-ATA a velocidad de 5400 rpm y capacidad de 320 GB, los discos extraíbles pueden ser Seagate de capacidad 140 GB y velocidad 15K rpm con conexión SCSI. Es un aspecto mi portante en toda investigación forense. Existen procedimientos y políticas estrictas respecto del tratamiento de las evidencias. Todo esto para asegurar que no se rompa la cadena de custodia, y por lo tanto se preserve la integridad de las evidencias. El manejo de evidencias incluye items como: . Estar capacitado para determinar que evidencia proviene de que trozo de HW. . De donde se obtuvo tal pieza de HW. . Proveer almacenamiento seguro de las evidencias, manteniendo un acceso restringido a estas. . Documentar cada proceso utilizado para extraer información.

. Asegurar que los procesos son reproducibles, y que producirán los mismos resultados. Las opciones de investigación ante un incidente son normalmente 3: . Investigación Interna: corresponde a conducir una investigación al interior de la organización, utilizando al personal de IT interno puede ser la opción menos costosa, sin embargo, dependiendo del tipo de incidente, puede ser la menos efectiva. . Investigación Policial: puede no siempre poseer los recursos para manejar la investigación, y es posible necesitar proveer de evidencias a los investigadores antes de que puedan comenzar con su investigación. Varias organizaciones se presentan opuestas a reportar sus incidentes ante la policía, ya que a veces el costo de la investigación sobrepasa el consto de las consecuencias del incidente. . Investigación por parte de Especialistas Privados: en el caso de Australia, un gran número de policías se retira y comienzan a trabajar de manera particular, con la ventaja de que conocen sobre las reglas del manejo de evidencias, y poseen experiencia que pueden poner a disposición de sus clientes en el momento que estos la necesiten.

- Herramientas de análisis forense. •

OpenBSD: El sistema operativo preventivamente seguro.

•

TCP Wrappers: Un mecanismo de control de acceso y registro clásico basado en IP.

•

pwdump3: Permite recuperar las hashes de passwords de Windows localmente o a través de la red aunque syskey no esté habilitado.

•

LibNet: Una API (toolkit) de alto nivel permitiendo al programador de aplicaciones construir e inyectar paquetes de red.

•

IpTraf: Software para el monitoreo de redes de IP.

•

Fping: Un programa para el escaneo con ping en paralelo.

•

Bastille: Un script de fortalecimiento de seguridad Para Linux, Max Os X, y HP-UX.

•

Winfingerprint: Un escáner de enumeración de Hosts/Redes para Win32.

•

TCPTraceroute: Una implementación de traceroute que utiliza paquetes de TCP.

•

Shadow Security Scanner: Una herramienta de evaluación de seguridad no-libre.

•

pf: El filtro de paquetes innovador de OpenBSD.

•

LIDS: Un sistema de detección/defensa de intrusiones para el kernel Linux.

•

hfnetchk: Herramienta de Microsoft para evaluar el estado de los parches de todas la máquinas con Windows en una red desde una ubicación central.

•

etherape: Un monitor de red gráfico para Unix basado en etherman.

•

dig: Una útil herramienta de consulta de DNS que viene de la mano con Bind.

•

Crack / Cracklib: El clásico cracker de passwords locales de Alec Muffett.

•

cheops / cheops-ng: Nos provee de una interfaz simple a muchas utilidades de red, mapea redes locales o remotas e identifica los sistemas operativos de las máquinas.

•

zone alarm: El firewall personal para Windows. Ofrecen una versión gratuita limitada.

•

Visual Route: Obtiene información de traceroute/whois y la grafica sobre un mapa del mundo.

•

The Coroner's Toolkit (TCT): Una colección de herramientas orientadas tanto a la recolección como al análisis de información forenese en un sistema Unix.

•

tcpreplay: una herramienta para reproducir {replay} archivos guardados con tcpdump o con snoop a velocidades arbitrarias.

•

snoop: ?Un cantante de rap bastante conocido (Snoop Dogg)! También es un sniffer de redes que viene con Solaris.

•

putty: Un excelente cliente de SSH para Windows.

•

pstools: Un set de herramientas de línea de comandos gratuito para administrar sistemas Windows (procesar listados, ejecución de comandos, etc).

•

arpwatch: Se mantiente al tanto de las equivalencias entre direcciones ethernet e IP y puede detectar ciertos trabajos sucios. Exploración de herramientas de hardware Una herramienta: Es una máquina simple o compuesta diseñada para ayudarnos a construir o reparar herramientas o máquinas.

Una herramienta de Hardware es una herramienta física como un destornillador o martillo, no necesitan mucho entrenamiento o conocimiento técnico para usarla, su uso se basa principalmente en la experiencia empírica, principalmente se necesita fuerza motriz para usarla y se daña (desgasta) con el uso. Una herramienta para Software es una herramienta Lógica o intangible, nos permite depurar, o diseñar nuevo software, se necesita cierto entrenamiento para poder usarla ya que generalmente se utiliza para tareas complicadas. No se daña con el uso, y se puede mejorar sin necesidad de adquirir otra