Introducción a los Sistemas de detección de Intrusos (IDS) y monitoreo de Seguridad
Objetivos Generales <ul><li>Identificar las fallas de seguridad relacionadas con el protocolo TCP/IP </li></ul><ul><li>Con...
Contenidos <ul><li>Parte I – Fundamentos de IDS </li></ul><ul><li>Conceptos fundamentales de TCP/IP </li></ul><ul><li>Teor...
Contenidos <ul><li>Parte II – Implementación y Administración de IDS </li></ul><ul><li>Arquitectura de los sistemas de det...
Contenidos <ul><li>Parte III - Factores Organizacionales </li></ul><ul><li>Factores gerenciales </li></ul><ul><li>Amenazas...
Fundamentos de IDS
Conceptos de TCP/IP Web Browser Web Server TCP TCP IP IP Driver Ethernet Driver Ethernet Stream Segmento TCP Datagrama IP ...
Conceptos de TCP/IP Encapsulamiento Datos Datos Datos Header TCP Header Datagrama IP Header Frame Ethernet Datos Los encab...
Conceptos de TCP/IP Estructura del Encabezado IP VER TOS Longitud en Bytes ID Frag. Offset TTL Protocolo Header CheckSum D...
Conceptos de TCP/IP Enrutamiento 172.20.41.1 00:00:0c:03:00:de 172.20.41.2 0f:00:20:1f:b0:0f 172.21.19.8 0f:00:20:51:ab:47...
Conceptos de TCP/IP Establecimiento de conexiones TCP (1) Cliente Servidor Envío Syn Recepción Syn Envío Syn/Ack Recepción...
Conceptos de TCP/IP Establecimiento de conexiones TCP (2) Cliente Servidor Envío Syn Recepción Syn Envío Syn/Ack Recepción...
Teoría del ICMP Orígenes y Utilización <ul><li>Internet Control Message Protocol </li></ul><ul><li>Fue concebido originalm...
Teoría del ICMP Funcionamiento Echo Request Echo Reply Trafico IP Source quench Enrutador Trafico a puerto filtrado Admin ...
Teoría del ICMP Actividad Maliciosa - Smurf Paso 1:  Se envía un Echo request a una dirección Broadcast con dirección fuen...
Teoría del ICMP Actividad Maliciosa – Tribe Flood Network (TFN) TFN Master: se comunica con los daemons Por medio de Echo ...
Teoría de DNS Domain Name Service <ul><li>Presta el servicio de conversión de nombres direcciones IP y viceversa </li></ul...
Teoría de DNS DNS Poisoning www.sitio1.com? 200.30.20.20 www.sitio1.com www.sitio2.com 200.30.20.20 Servidor DNS 200.10.10...
Teoría de Fragmentación <ul><li>La fragmentación es necesaria para que los paquetes  </li></ul><ul><li>de datos puedan via...
Teoría de Fragmentación Internet Stateless IDS ServidorWEB www.servidor.com/../../winnt/system32/cmd.exe?dir+c: www.servid...
Implementación y Administración de IDS
Arquitectura de IDS Básicamente existen dos tipos de detectores de Intrusos: IDSes basados en red Un IDS basado en red mon...
Arquitectura de IDS Arquitectura de IDS IDSes basados en maquina Mientras que los sistemas de detección de intrusos basado...
Filtros y Patrones IDS Filtros Descartan paquetes de información que cumplen con ciertos criterios como IP fuente, protoco...
Filtros y Patrones Ejemplo de filtro: Ejemplo de Patrón: Dirección IP 200.20.10.10 Mascara 255.255.255.0 Protocolo TCP Pue...
Interoperabilidad y correlación La  interoperabilidad , permite que un sistema IDS pueda compartir u obtener información d...
Escenarios de monitoreo de Seguridad Sensor por dentro del FireWall IDS FireWall Internet
Escenarios de monitoreo de Seguridad Sensor por fuera del FireWall IDS FireWall Internet
Escenarios de monitoreo de Seguridad Sistemas híbridos IDS FireWall Internet IDS
Reacción automática o manual <ul><li>Mecanismos de reacción automática: </li></ul><ul><li>Filtrado de puertos y servicios ...
Reacción automática o manual <ul><li>Procedimientos de reacción manual: </li></ul><ul><li>Preparación </li></ul><ul><ul><l...
Tendencias y proyección de IDSs <ul><li>Realidad:  </li></ul><ul><li>Los ataques están incrementando </li></ul><ul><li>Las...
Factores Organizacionales
Factores Gerenciales <ul><li>POLITICA DE SEGURIDAD CORPORATIVA </li></ul><ul><li>SEGUIR LAS MEJORES PRACTICAS DE LA INDUST...
Amenazas y Vulnerabilidades
Amenazas y Vulnerabilidades
Amenazas y Vulnerabilidades
Actividades relacionadas con Implementación <ul><li>Definición de los recursos a proteger </li></ul><ul><li>Análisis de la...
FIN
Próxima SlideShare
Cargando en…5
×

Seguridad en Redes

486 visualizaciones

Publicado el

Seguridad TCP/IP

0 comentarios
0 recomendaciones
Estadísticas
Notas
  • Sé el primero en comentar

  • Sé el primero en recomendar esto

Sin descargas
Visualizaciones
Visualizaciones totales
486
En SlideShare
0
De insertados
0
Número de insertados
27
Acciones
Compartido
0
Descargas
17
Comentarios
0
Recomendaciones
0
Insertados 0
No insertados

No hay notas en la diapositiva.

Seguridad en Redes

  1. 1. Introducción a los Sistemas de detección de Intrusos (IDS) y monitoreo de Seguridad
  2. 2. Objetivos Generales <ul><li>Identificar las fallas de seguridad relacionadas con el protocolo TCP/IP </li></ul><ul><li>Conocer los conceptos relacionados con los Sistemas de Detección de Intrusos y el Monitoreo de Seguridad </li></ul><ul><li>Identificar los aspectos fundamentales en la implementación de Sistemas de Detección de Intrusos y monitoreo de Seguridad Informática </li></ul><ul><li>Comprender los requerimientos y responsabilidades corporativas necesarias para completar exitosamente un proyecto de Detección de Intrusos </li></ul>
  3. 3. Contenidos <ul><li>Parte I – Fundamentos de IDS </li></ul><ul><li>Conceptos fundamentales de TCP/IP </li></ul><ul><li>Teoría del ICMP (Internet Control Message Protocol) </li></ul><ul><li>Teoría del servicio DNS (Domain Name Service) </li></ul><ul><li>Teoría de fragmentación </li></ul>
  4. 4. Contenidos <ul><li>Parte II – Implementación y Administración de IDS </li></ul><ul><li>Arquitectura de los sistemas de detección de Intrusos </li></ul><ul><li>Introducción a los filtros y patrones </li></ul><ul><li>Interoperatividad y correlación de eventos </li></ul><ul><li>Escenarios de monitoreo de Seguridad </li></ul><ul><li>Reacción automática o manual ante eventos de Seguridad </li></ul><ul><li>Tendencias y proyección de los Sistemas de Detección de Intrusos </li></ul>
  5. 5. Contenidos <ul><li>Parte III - Factores Organizacionales </li></ul><ul><li>Factores gerenciales </li></ul><ul><li>Amenazas y vulnerabilidades Organizacionales </li></ul><ul><li>Actividades relacionadas con la Implementación </li></ul>
  6. 6. Fundamentos de IDS
  7. 7. Conceptos de TCP/IP Web Browser Web Server TCP TCP IP IP Driver Ethernet Driver Ethernet Stream Segmento TCP Datagrama IP Frame Ethernet El modelo de Internet de TCP/IP Capa de aplicación: Maneja la Implementación de aplicaciones de Usuario. Capa de transporte: Maneja la conexión punto a punto entre equipos. Capa de red: Mueve la información De fuente a destino. Capa de enlace: Maneja la Transferencia de datos desde y hacia Medio físico.
  8. 8. Conceptos de TCP/IP Encapsulamiento Datos Datos Datos Header TCP Header Datagrama IP Header Frame Ethernet Datos Los encabezados de una capa, se convierten en datos para la siguiente
  9. 9. Conceptos de TCP/IP Estructura del Encabezado IP VER TOS Longitud en Bytes ID Frag. Offset TTL Protocolo Header CheckSum Dirección IP Fuente Dirección IP Destino 0 15 31 Total: 20 bytes
  10. 10. Conceptos de TCP/IP Enrutamiento 172.20.41.1 00:00:0c:03:00:de 172.20.41.2 0f:00:20:1f:b0:0f 172.21.19.8 0f:00:20:51:ab:47 172.21.19.1 00:00:0c:00:8f:3c IP Fuente: 172.20.41.2 MAC MAC Fuente: 0f:00:20:1f:b0:0f IP Destino: 172.21.19.8 MAC Destino: 0f:00:20:51:ab:47 IP Fuente: 172.20.41.2 MAC MAC Fuente: 00:00:0c:00:8f:3c IP Destino: 172.21.19.8 MAC Destino: 0f:00:20:51:ab:47 Enrutador
  11. 11. Conceptos de TCP/IP Establecimiento de conexiones TCP (1) Cliente Servidor Envío Syn Recepción Syn Envío Syn/Ack Recepción Syn/Ack Envío Ack Recepción Ack Datos 1 2 3 Envío Fin Envío Ack Recepción Fin Recepción Ack
  12. 12. Conceptos de TCP/IP Establecimiento de conexiones TCP (2) Cliente Servidor Envío Syn Recepción Syn Envío Syn/Ack Recepción Syn/Ack Envío Ack Recepción Ack Datos 1 2 3 Envío Rst Recepción Rst
  13. 13. Teoría del ICMP Orígenes y Utilización <ul><li>Internet Control Message Protocol </li></ul><ul><li>Fue concebido originalmente como un mecanismo de reportar condiciones </li></ul><ul><li>de error y el envío y recepción de solicitudes simples. </li></ul><ul><li>No utiliza puertos y va encapsulado en el Datagrama IP. </li></ul>Aplicación Transporte Internet (Red) Interfaz de Red (Enlace) ICMP { TCP Y UDP IP
  14. 14. Teoría del ICMP Funcionamiento Echo Request Echo Reply Trafico IP Source quench Enrutador Trafico a puerto filtrado Admin prohibited Enrutador Trafico a puerto valido Host Unreachable
  15. 15. Teoría del ICMP Actividad Maliciosa - Smurf Paso 1: Se envía un Echo request a una dirección Broadcast con dirección fuente falsa de victima.com Paso 2: El enrutador permite trafico ICMP Echo Request a direcciones broadcast. Paso 3: Todos los host responden con un Echo Reply a la direccion fuente real del mensaje. Victima.com
  16. 16. Teoría del ICMP Actividad Maliciosa – Tribe Flood Network (TFN) TFN Master: se comunica con los daemons Por medio de Echo reply’s (ID en el header) TFN Daemons Los hosts inundan la victima Victima
  17. 17. Teoría de DNS Domain Name Service <ul><li>Presta el servicio de conversión de nombres direcciones IP y viceversa </li></ul><ul><li>Son probablemente el objetivo de la mayoría de ataques e intentos de </li></ul><ul><li>Vulneración </li></ul><ul><li>Porque? </li></ul><ul><li>- Pueden proveer muchísima información sobre las maquinas de la red y ayudar </li></ul><ul><li>a preparar ataques bien planeados </li></ul><ul><li>- Al ser vulnerados, pueden permitir la manipulación y redireccionamiento del </li></ul><ul><li>trafico hacia otras redes </li></ul>
  18. 18. Teoría de DNS DNS Poisoning www.sitio1.com? 200.30.20.20 www.sitio1.com www.sitio2.com 200.30.20.20 Servidor DNS 200.10.10.20 200.10.10.20
  19. 19. Teoría de Fragmentación <ul><li>La fragmentación es necesaria para que los paquetes </li></ul><ul><li>de datos puedan viajar de una red de ciertas características </li></ul><ul><li>a otras. </li></ul><ul><li>Aumentan la eficiencia en las transmisiones de datos, </li></ul><ul><li>permitiendo adaptar los tamaños de los paquetes a las </li></ul><ul><li>características de las redes por las que viajan. </li></ul><ul><li>La fragmentación es utilizada para saltar los sistemas de </li></ul><ul><li>detección de Intrusos que no “memorizan” el estado de las </li></ul><ul><li>conexiones. </li></ul>
  20. 20. Teoría de Fragmentación Internet Stateless IDS ServidorWEB www.servidor.com/../../winnt/system32/cmd.exe?dir+c: www.servidor.com/. ./ . ./wi nnt/sy stem32/cm d.exe?dir+c: www.servidor.com/../../winnt/system32/cmd.exe?dir+c:
  21. 21. Implementación y Administración de IDS
  22. 22. Arquitectura de IDS Básicamente existen dos tipos de detectores de Intrusos: IDSes basados en red Un IDS basado en red monitorea los paquetes que circulan por nuestra red en busca de elementos que denoten un ataque contra alguno de los sistemas ubicados en ella; el IDS puede situarse en cualquiera de los hosts o en un elemento que analice todo el trafico (como un HUB o un enrutador). Este donde este, monitorizara diversas maquinas y no una sola: esta es la principal diferencia con los sistemas de detección de intrusos basados en host. IDS
  23. 23. Arquitectura de IDS Arquitectura de IDS IDSes basados en maquina Mientras que los sistemas de detección de intrusos basados en red operan bajo todo un dominio de colisión, los basados en maquina realizan su función protegiendo un único sistema; de una forma similar a como actúa un escudo antivirus residente en el sistema operativo, el IDS es un proceso que trabaja en background (o que despierta periódicamente) buscando patrones que puedan denotar un intento de intrusión o mala utilización y alertando o tomando las medidas oportunas en caso de que uno de estos intentos sea detectado. IDS IDS
  24. 24. Filtros y Patrones IDS Filtros Descartan paquetes de información que cumplen con ciertos criterios como IP fuente, protocolo, puerto, etc Patrones Comparan la información de los paquetes y los datos mismos para tomar acciones correctivas como desconexión, e-mail, almacenamiento en logs, etc.
  25. 25. Filtros y Patrones Ejemplo de filtro: Ejemplo de Patrón: Dirección IP 200.20.10.10 Mascara 255.255.255.0 Protocolo TCP Puerto 80, 443, 25, 23 Dirección IP cualquiera Mascara cualquiera Protocolo TCP Puerto 80 Patrón “ cmd.exe” Acción Desconexión, e-mail ( [email_address] ), log
  26. 26. Interoperabilidad y correlación La interoperabilidad , permite que un sistema IDS pueda compartir u obtener información de otros sistemas como Firewalls, Enrutadores y Switches, lo que permite reconfigurar las características de la red de acuerdo a los eventos que se generan. También permite que se utilicen protocolos como SNMP (Simple Network Management Protocol) para enviar notificaciones y alertas a otras maquinas de la red. La correlación es una nueva característica que añade a los IDS la capacidad de establecer relaciones lógicas entre eventos diferentes e independientes, lo que permite manejar eventos de seguridad complejos que individualmente no son muy significativos, pero que analizados como un todo pueden representar un riesgo alto en la seguridad del sistema.
  27. 27. Escenarios de monitoreo de Seguridad Sensor por dentro del FireWall IDS FireWall Internet
  28. 28. Escenarios de monitoreo de Seguridad Sensor por fuera del FireWall IDS FireWall Internet
  29. 29. Escenarios de monitoreo de Seguridad Sistemas híbridos IDS FireWall Internet IDS
  30. 30. Reacción automática o manual <ul><li>Mecanismos de reacción automática: </li></ul><ul><li>Filtrado de puertos y servicios en recursos perimetrales </li></ul><ul><li>Utilizar FireWalls internos para proteger redes internas </li></ul><ul><li>Utilizar IDS de maquina en los servidores críticos </li></ul><ul><li>Demoras en respuestas a escaneos de puertos en el FireWall </li></ul><ul><li>Desechar conexiones por medio de IDS de red </li></ul><ul><li>Bloquear temporalmente todo el trafico de direcciones hostiles </li></ul><ul><li>Aislamiento automático de los dispositivos (apagado) </li></ul><ul><li>Simulación de respuesta de puertos no abiertos en las maquinas </li></ul><ul><li>Implementación de Honeypots </li></ul>
  31. 31. Reacción automática o manual <ul><li>Procedimientos de reacción manual: </li></ul><ul><li>Preparación </li></ul><ul><ul><li>Recursos disponibles </li></ul></ul><ul><li>Identificación </li></ul><ul><ul><li>Herramientas y personas calificadas </li></ul></ul><ul><li>Contención </li></ul><ul><ul><li>Congelar la escena física del incidente </li></ul></ul><ul><ul><li>Transporte al sitio del incidente </li></ul></ul><ul><ul><li>Forensica del sistema </li></ul></ul><ul><li>Erradicación </li></ul><ul><ul><li>Herramientas y reinstalación de sistema si es necesario </li></ul></ul><ul><li>Recuperación </li></ul><ul><ul><li>Utilización de respaldos y copias de seguridad </li></ul></ul><ul><li>Aprender de las lecciones aprendidas en el incidente </li></ul><ul><ul><li>Llevar registro detallado de todos los incidentes y los procedimientos </li></ul></ul>
  32. 32. Tendencias y proyección de IDSs <ul><li>Realidad: </li></ul><ul><li>Los ataques están incrementando </li></ul><ul><li>Las herramientas son cada día mas sofisticadas </li></ul><ul><li>Cyber-Terrorismo </li></ul><ul><li>Atacantes Internos </li></ul><ul><li>Soluciones a futuro: </li></ul><ul><li>Integración de Antivirus con IDSs y FireWalls </li></ul><ul><li>Desencripcion del trafico encriptado para análisis de Seguridad </li></ul><ul><li>Correlación de eventos entre diferentes dispositivos en la red </li></ul><ul><li>Detección de intrusos a nivel de aplicativo, como por ejemplo software de oficina </li></ul><ul><li>Personal mas calificado en temas de seguridad informática </li></ul>
  33. 33. Factores Organizacionales
  34. 34. Factores Gerenciales <ul><li>POLITICA DE SEGURIDAD CORPORATIVA </li></ul><ul><li>SEGUIR LAS MEJORES PRACTICAS DE LA INDUSTRIA </li></ul><ul><li>CONTAR CON INFRAESTRUCTURA PARA SEGURIDAD </li></ul><ul><li>IMPLEMENTAR CONTRAMEDIDAS SEGÚN LA PRIORIDAD </li></ul><ul><li>REALIZAR REVISIONES PERIODICAS DEL ESTADO DE LA SEGURIDAD </li></ul><ul><li>IMPLEMENTAR MECANISMOS DE REACCION ANTE INCIDENTES </li></ul><ul><li>DEFINIR EL NIVEL DE RIESGO </li></ul><ul><li>REDUCIR GRADUALMENTE EL NIVEL DE RIESGO </li></ul><ul><li>DEFINIR LAS AMENAZAS Y SU IMPACTO (MATRIZ DE RIESGO) </li></ul><ul><li>JUSTIFICAR LA INVERSION DE SEGURIDAD EN TERMINOS DE REDUCCION DE TARIFAS DE POLIZAS DE SEGUROS Y SERVICIOS RELACIONADOS </li></ul>
  35. 35. Amenazas y Vulnerabilidades
  36. 36. Amenazas y Vulnerabilidades
  37. 37. Amenazas y Vulnerabilidades
  38. 38. Actividades relacionadas con Implementación <ul><li>Definición de los recursos a proteger </li></ul><ul><li>Análisis de la infraestructura de red </li></ul><ul><li>Análisis especial para ambientes switcheados </li></ul><ul><li>Análisis de estructura y disposición de FireWalls </li></ul><ul><li>Sistemas Operativos a proteger </li></ul><ul><li>Características geográficas </li></ul><ul><li>Definición de los procedimientos de reacción </li></ul><ul><li>Seguridad física y control de acceso a los recursos </li></ul><ul><li>Definición de herramientas para pruebas de seguridad internas y externas </li></ul><ul><li>Capacitación del personal en la utilización de las herramientas y en Seguridad en General </li></ul>
  39. 39. FIN

×