Arquitectura de seguridad para sistemas de comunicaciones (Presentación PowerPoint)
Introducción
En la industria de telecomunicaciones, ha aumentado últimamente el número de productos que se combinan para ofrecer una solución global.
En la actualidad, no es suficiente considerar la seguridad separadamente para cada producto o elemento de servicio de telecomunicación, sino como una combinación de capacidades de seguridad en la solución extremo a extremo global.
La integración de distintos proveedores exige una norma de arquitectura de seguridad de red para lograr una solución satisfactoria.
Por lo anterior, el UIT-T ha definido una arquitectura de seguridad de red que garantiza la seguridad de comunicaciones extremo a extremo.
Esta arquitectura puede aplicarse a distintas clases de redes en las que hay que garantizar la seguridad extremo a extremo, siendo indiferente la tecnología de red subyacente.
En esta presentación, se define los elementos de seguridad generales de la arquitectura de red del UIT-T que son necesarios para garantizar la seguridad extremo a extremo si son empleados correctamente.
1
Objetivos generales
Explicar los requisitos y el nuevo enfoque de la seguridad de las comunicaciones de extremo a extremo.
Identificar las variadas amenazas a la seguridad de las comunicaciones y relacionarlas con las principales contramedidas usadas para mitigar los riesgos consecuentes.
Describir los elementos centrales de la Arquitectura de Seguridad de redes formalizada por el UIT-T.
Explicar la metodología de aplicación de la Arquitectura de Seguridad de redes en el marco de un programa de seguridad.
2
Temario
1. Concepto seguridad de redes de comunicaciones
2. Amenazas y ataques a la seguridad de las comunicaciones
3. Arquitectura de Seguridad de redes
4. Aplicación de la Arquitectura de Seguridad de redes
5. Servicios y mecanismos de seguridad
Bibliografía
Presentaciones personalizadas:
1) .
2) .
3
1. CONCEPTO SEGURIDAD DE REDES DE COMUNICACIONES
SubAntecedentes.
Conceptos generales
4
Sección 1 – Concepto Seguridad de Redes de Comunicaciones
Contenido:
1.1 Antecedentes.
1.2 Conceptos generales de la seguridad de redes.
Objetivos:
Señalar los requisitos clave para ofrecer garantías de seguridad de las comunicaciones de extremo a extremo.
Explicar la utilidad de una arquitectura de seguridad de red en el diseño e implementación de soluciones de comunicación de extremo a extremo, en que participan múltiples operadores/proveedores y suministradores.
5
1.1 Antecedentes
6
Requisitos de la seguridad en la industria de las telecomunicaciones
Las industrias de las telecomunicaciones y las tecnologías de la información necesitan soluciones de seguridad completas y rentables.
Para ofrecer una red segura se requiere:
una protección contra ataques malintencionados o imprevistos;
garantizar condiciones de alta disponibilidad, tiempo de respuesta apropiado, fiabilidad, integridad y adaptación a otra escala; y
proporcionar información exacta para facturación.
Las capacidades de seguridad en los productos de los proveedores son esenciales para la seguridad general de la red (que incluye las aplicaciones y los servicios).
7
Nuevo enfoque de la seguridad en la industria de las telecomunicaciones
Ha aumentado el número de productos que se combinan para ofrecer una solución global, por lo que la compatibilidad entre productos determinará si la solución es satisfactoria.
En la actualidad No es suficiente considerar la seguridad separadamente para cada producto o servicio.
La seguridad debe ser considerada e implementada como una combinación de capacidades de seguridad en la solución extremo a extremo global.
La integración de distintos proveedores exige una norma de arquitectura de seguridad de red para lograr una solución satisfactoria.
8
1.2 Conceptos generales de la seguridad de redes
9
Concepto seguridad y otros conceptos relacionados
El término «seguridad» se utiliza en el sentido de minimizar las vulnerabilidades de los bienes y recursos.
Un «bien» es todo elemento de valor.
«Vulnerabilidad» es toda debilidad que pudiera explotarse para violar un sistema o las informaciones que éste contiene.
Una «amenaza» es una violación potencial de la seguridad.
Una amenaza intencional que se concretiza puede considerarse como un «ataque».
10
¿Qué debe protegerse en la industria de las telecomunicaciones?
En general, los elementos siguientes pueden necesitar protección:
Informaciones y datos (incluidos el acervo de conocimientos de la organización y los datos pasivos relativos a las medidas de seguridad, tales como las contraseñas).
Los servicios de comunicación y de procesamiento de datos.
Los equipos y facilidades.
11
Fin de la Sección 1CONCEPTO SEGURIDAD DE REDES DE COMUNICACIONES
12
2. AMENAZAS Y ATAQUES A LA SEGURIDAD DE LAS COMUNICACIONES
SubClasificación de las amenazas y ataques
Evaluación de las amenazas
13
Sección 2 – Amenazas y Ataques a la Seguridad de las Comunicaciones
Contenido:
2.1 Clasificación de las amenazas y ataques.
2.2 Evaluación de las amenazas.
Objetivos:
Clasificar las amenazas a la seguridad de las comunicaciones según intencionalidad y daño resultante de la información/infraestructura.
Señalar los principales aspectos que es necesario considerar en la evaluación de las amenazas a la seguridad de las comunicaciones.
14
2.1 Clasificación de las amenazas y ataques
15
Amenazas a la seguridad de las comunicaciones
Las amenazas contra un sistema de comunicación de datos son las siguientes:
Destrucción de información y/o de otros recursos;
Corrupción o modificación de información;
Robo, supresión o pérdida de información y/o de otros recursos;
Revelación de información;
Interrupción de servicios.
16
Vulnerabilidades y amenazas a la seguridad de las comunicaciones
17
RED O SISTEMA DE COMUNICACIONES
AMENAZAS
ATAQUES
Destrucción
Corrupción
Pérdida
Revelación
Interrupción
VULNERABILIDADES
Clasificación de las amenazas
Las amenazas pueden clasificarse según la intencionalidad y según el alcance del efecto producido:
Amenazas accidentales o amenazas intencionales.
Amenazas activas o amenazas pasivas.
18
Amenazas accidentales e intencionales
Amenazas accidentales
Las amenazas accidentales son las que existen sin que haya premeditación.
Ejemplos: fallas del sistema, equivocaciones en la operación y errores en los programas.
Amenazas intencionales
Las amenazas intencionales son las que se realizan haciendo uso malicioso de medios para lograr deliberadamente objetivos ilícitos.
Una amenaza intencional que se concretiza es considerada como un «ataque».
Ejemplos: las amenazas intencionales pueden ir desde el examen ocasional, mediante el empleo de instrumentos de monitorización de fácil adquisición, hasta ataques sofisticados, gracias a un conocimiento especial del sistema.
19
Amenazas pasivas y activas
Amenazas pasivas
Las amenazas pasivas son las que, si se concretizan, no producirían ninguna modificación de las informaciones contenidas en el(los) sistema(s) y que no modifican el funcionamiento ni el estado del sistema.
Ejemplo: La interceptación pasiva para observar informaciones transmitidas por una línea de comunicaciones.
Amenazas activas
Las amenazas activas contra un sistema conllevan la alteración de información contenida en el sistema, o las modificaciones del estado o de la operación del sistema.
Ejemplo: La modificación maliciosa de las tablas de rutas de los nodos de una red de comunicación por un usuario no autorizado.
20
Principales tipos específicos de ataque
Usurpación de identidad (o impostura).
Reproducción.
Modificación de los mensajes.
Negación de servicio (DoS).
Ataques del interior.
Ataques del exterior.
Trampa.
Caballo de Troya.
21
Amenazas a la seguridad
22
AMENAZAS A LA SEGURIDAD
AmenazasAccidentales
AmenazasIntencionales
AmenazasPasivas
Amenazas Activas
Interceptación pasiva
Análisis de Tráfico
Impostura
Reproducción
Modificación de mensajes
Negación de servicio
Revelación
Ataques del interior
Configuraciones desfavorables
Equivocaciones
2.2 Evaluación de las amenazas
23
Evaluación de amenazas, riesgos y contramedidas (1/2)
La evaluación de las amenazas, en general, abarca los siguientes aspectos:
Identificación de las vulnerabilidades del sistema.
Análisis de la probabilidad de las amenazas destinadas a explotar estas vulnerabilidades.
Evaluación de las consecuencias que tendría la ejecución de cada amenaza.
Estimación del costo de cada ataque.
Determinación del costo de posibles contramedidas.
Elección de mecanismos de seguridad justificados (eventualmente mediante un análisis de la relación costo/beneficio).
24
Evaluación de amenazas, riesgos y contramedidas (2/2)
El objetivo de la evaluación de las amenazas debería ser hacer que el costo de un ataque sea suficientemente elevado para reducir el riesgo a niveles aceptables.
25
Fin de la Sección 2AMENAZAS Y ATAQUES A LA SEGURIDAD DE LAS COMUNICACIONES
26
3. ARQUITECTURA DE SEGURIDAD DE REDES
SubArquitectura de seguridad
Dimensiones de la seguridad
Capas de seguridad
Planos de seguridad
27
Sección 3 – Arquitectura de Seguridad de Redes
Contenido:
3.1 Arquitectura de seguridad.
3.2 Dimensiones de la seguridad.
3.3 Capas de seguridad.
3.4 Planos de seguridad.
Objetivos:
Describir la organización de la arquitectura de seguridad de redes: dimensiones, capas y planos de la seguridad.
Reconocer los tipos de problemas de la seguridad de las comunicaciones de extremo a extremo que pueden ser abordados con ayuda de las partes centrales de la arquitectura de seguridad de redes.
28
3.1 Arquitectura de seguridad
29
Arquitectura de Seguridad de redes
El UIT-T está desarrollando actualmente una Arquitectura de Seguridad para enfrentar las amenazas a la seguridad de Proveedores de Servicio, empresas y clientes. Sus características fundamentales son:
Es aplicable a redes para voz, datos y convergentes, basadas en tecnología inalámbrica, óptica, y conductores metálicos.
Trata los asuntos de seguridad para la gestión, control, y uso de las aplicaciones, servicios, e infraestructura de red.
Proporciona una perspectiva de la seguridad de red de arriba hacia abajo y de extremo a extremo, y puede ser aplicada a los elementos de red, servicios, y aplicaciones con el fin de detectar, predecir y corregir las vulnerabilidades de la seguridad.
30
Organización de la Arquitectura de Seguridad
La Arquitectura de Seguridad divide de manera lógica un conjunto complejo de características relacionadas con la seguridad de la red de extremo a extremo en componentes arquitecturales separados en Capas y Planos.
Esta separación permite aplicar una metodología sistemática a la seguridad de extremo a extremo que puede ser usada para la planificación de nuevas soluciones de seguridad y también para evaluar la seguridad de las redes existentes.
31
Componentes de la Arquitectura de Seguridad
La Arquitectura de Seguridad trata tres preguntas esenciales relacionadas con la seguridad de extremo a extremo:
1. ¿Qué tipos de protecciones son necesarias y contra cuáles tipos de amenazas?
2. ¿Cuáles son los distintos tipos de equipos y agrupaciones de facilidades de red que es necesario proteger?
3. ¿Cuáles son los distintos tipos de actividades de red que es necesario proteger?
Estas tres preguntas son tratadas respectivamente por tres componentes arquitecturales:
1. Dimensiones de la Seguridad.
2. Capas de Seguridad.
3. Planos de Seguridad.
32
3.2 Dimensiones de la Seguridad
33
Dimensiones de la Seguridad
Una Dimensión de la Seguridad es un conjunto de medidas de seguridad diseñadas para tratar un aspecto particular de la seguridad de red.
Se ha identificado 8 Dimensiones de la Seguridad que protegen contra las principales amenazas a la seguridad:
1) Control de Acceso.
2) Autenticación.
3) No Repudio.
4) Confidencialidad de los Datos.
5) Seguridad de la Comunicación.
6) Integridad de los Datos.
7) Disponibilidad.
8) Privacidad.
34
Aplicación de las Dimensiones de la Seguridad
35
RED O SISTEMA DE COMUNICACIONES
Control de Acceso
Autenticación
Confidencialidad de los Datos
Seguridad de la Comunicación
Integridad de los Datos
Disponibilidad
Privacidad
No repudio
AMENAZAS
ATAQUES
8 Dimensiones de la Seguridad
Destrucción
Corrupción
Pérdida
Revelación
Interrupción
VULNERABILIDADES
Dimensión de Seguridad:1) Control de Acceso
La dimensión Control de Acceso protege contra el uso no autorizado de los recursos de red.
Garantiza que sólo se permite que personal o dispositivos autorizados tengan acceso a los elementos de red, información almacenada, flujos de información, servicios y aplicaciones.
36
Dimensión de Seguridad:2) Autenticación
La dimensión Autenticación sirve para confirmar las identidades de las entidades comunicantes.
La autenticación garantiza la validez de las identidades pretendidas por las entidades participantes en una comunicación (p. ej. persona, dispositivo, servicio o aplicación).
Garantiza que una entidad no está tratando de realizar una suplantación o una reproducción no autorizada de una comunicación anterior.
37
Dimensión de Seguridad:3) No Repudio
La dimensión No Repudio proporciona los medios para prevenir que un individuo o entidad niegue haber realizado una acción particular relacionada con los datos, dejando disponibles pruebas de las variadas acciones relacionadas con la red.
Garantiza la disponibilidad de evidencia que puede ser presentada a una tercera parte y usada para demostrar que algún tipo de evento o acción ha tenido lugar
Ejemplos de evidencias para no repudio: prueba de obligación, intento, o compromiso; prueba del origen de los datos, prueba de propiedad, prueba de uso de recursos.
38
Dimensión de Seguridad:4) Confidencialidad de los Datos
La dimensión Confidencialidad de los Datos protege los datos de una revelación no autorizada.
Garantiza que el contenido de los datos no pueda ser entendido por entidades no autorizadas.
Ejemplos de métodos usados para proporcionar confidencialidad de los datos: cifrado, listas de control de acceso, y archivos de permisos.
39
ESTA PRESENTACIÓN CONTIENE MAS DIAPOSITIVAS DISPONIBLES EN LA VERSIÓN DE DESCARGA