SEGURIDAD  EN Computación E Informática<br />TEMAS: TIC<br />	* RIESGOS<br />	* AMENAZAS<br />	* IMPACTOS<br />	* VULNERAB...
Díaz Chonta,  Junior
 García Arias,  Mariano
 Guerrero Alfaro,  Marco
 Gutiérrez Núñez,   Alex </li></li></ul><li>RIESGOS INFORMÁTICOS<br />
Definición<br />Es la probabilidad de que una amenaza pueden atentar contra la seguridad de nuestros recursos, nuestra inf...
Elementos de los Riesgos<br />Riesgos<br />
Gestión de los Riesgos<br />El objetivo principal es garantizar la supervivencia de la organización, minimizando los costo...
Aspectos que sirven de apoyo para una adecuada Gestión de Riesgos<br />Evaluación de los riesgos en los procesos.<br />Eva...
Los riesgos pueden se ocasionados por parte de:<br />Personas internas y externas de la Organización.<br />Desastres natur...
Prevención de los Riesgos<br />Es conocer  las vulnerabilidades de la empresa y su impacto.<br />Para llevar una prevenció...
CONTROLES<br />
CASO PRÁCTICO<br />La Universidad de UTPL (Universidad Técnica Particular de Loja)  que se ubica en Ecuador tomo una seria...
Clasifico los riesgo como internos y externos.<br />
Categorizó cualitativamente los niveles de criticidad  según el porcentaje de impacto de riesgos.<br />
Evaluó los riesgos según su nivel de criticidad.<br /><ul><li>Utilizó herramientas para la detección de riesgos.</li></li>...
En caso se detecte un riesgo alto,  preparo una serie de medidas correctivas.<br />
AMENAZAS<br />“Un ataque no es mas que la realización de una amenaza”<br />
DEFINICIÓN<br />Se entiende por amenaza una condición del entorno del sistema de información (persona, máquina, suceso o i...
Las cuatro categorías generales de amenazas son las siguientes <br />
INTERRUPCIÓN<br />INTERCEPCIÓN<br />MODIFICACIÓN<br />FABRICACIÓN<br />
Estos fenómenos pueden ser causados por:<br />El usuario: causa del mayor problema ligado a la seguridad de un sistema inf...
CASO PRÁCTICO<br />INTRUSO-CRACKER<br />  Es cualquier persona o grupo de personas que viola la seguridad de un sistema in...
“Nosotros somos  Anonymous. Nosotros somos Legión. Nosotros no perdonamos. Nosotros no olvidamos. Esperen   por  nosotros....
<ul><li> Finales del2006: Atacaron la página del supremacista blanco y comentador de radio, Hal Turner, lo que terminó cos...
 2008: La iglesia de Scientology pidió a Youtube eliminar un vídeo de una entrevista al actor y miembro de la iglesia, Tom...
 2009: Dirigido a la nación de Irán cuando supuestamente salió a relucir que el actual presidente, Mahmoud Ahmadinejad, ga...
2011<br />Las primeras organizaciones atacadas de forma sistemática fueron PayPal, Amazon, MasterCard y Visa, quienes habí...
Validación de entrada<br />INYECCIÓN SQL:<br />
Un código que se repetirá en miles de sitios Web es el de validaciones de usuario con su correspondiente formulario de log...
IMPACTO EN LAS TIC<br />Internet<br />Banda Ancha<br />Telefonía<br />Redes Sociales<br />VOIP<br />P2P<br />E-mail<br />L...
LAS TIC EN LA EDUCACIÓN…<br />«Una Lap-Top por niño»<br />
TIC EN LA MEDICINA<br />
Operación Lindbergh (2001)<br /> Mujer Francesa<br /> de 68 años<br /><ul><li> Dr. Jacques Marescaux
EQUIPO IRCAD/EITS
ROBOT ZEUS</li></li></ul><li>Video Conferencias<br />Compras y Pagos por Internet<br />
EJEMPLO TWITTER…<br />AUDIENCIA : 100 millones de usuarios<br />DEMOGRAFIA : Personas con edades de 20 – 30 años (económic...
20 primeras empresas que mejor usan twitter<br />1. Coca-Cola (alimentación) @cocaCola2. Starbucks (restauración) @StArBuC...
EJEMPLO FACEBOOK…<br />AUDIENCIA : 500 millones de usuarios<br />DEMOGRAFIA : Personas con edades de 20 – 30 años (económi...
Crear una pagina empresarial en FACEBOOK<br />1<br />o<br />2<br />
3<br />4<br />
5<br />
6<br />
VULNERABILIDAD<br />
VULNERABILIDAD<br />Vulnerabilidad es una debilidad en un sistema permitiendo a un atacante violar la confidencialidad, in...
¿COMO EVITARLAS?<br />Actualice o chequee las actualizaciones cada cierto tiempo, pues eso permite casi adelantarse a cual...
TIPOS DE VULNERABILIDADES<br />
De configuración<br />EJEMPLO PRÁCTICO:<br />ASIGNACION DE IP’s POR NUESTROS PROVEEDORES.-<br />
Imaginemos que, por los motivos que fueran, un atacante quisiera atacar o husmear una serie de equipos que se encuentran e...
Para sorpresa, tenemos un router que por lo que nos cuenta una revisión a google, es (o era) instalado por ONO, y se aprec...
Y lo que es mas, un escaneo de vulnerabilidades por parte de NESSUS revela lo siguiente:<br />El router no solo tiene los ...
Luego, al tener lo necesario se accesaa la interfaz del router. Nos centraremos en acceder por el puerto 8080 desde el nav...
Ahora viene lo realmente importante;Usamos el NMAP y escaneamos por un rango de ip’s cercanas al amigo:<br />Resultado:“22...
¿Cuál es la razón? <br />Muy sencillo. Toda esta gente,  al ser de la misma zona.  Contrató su conexión a internet en la m...
Accedemos por el navegador y revisamos la tabla DHCP. Esto nos permite, entre otras cosas, ver los nombres de los equipos ...
Como se puede apreciar, esto nos permite identificar nombres de los usuarios, deducir donde estamos accediendo  (esa segun...
RESUMEN<br />	Con esto queda demostrado el uso que se le puede dar a la relación  rangos ip - cercanía física, y la gran v...
Probabilidad de Ocurrencia<br />Dice que la probabilidad de ocurrencia de un evento es el grado de creencia por parte de u...
	Seguridad Preventiva: que reduce la probabilidad de ocurrencia de eventos no deseados y reduce las consecuencias en caso ...
Próxima SlideShare
Cargando en…5
×

Seg fiis eq_04_tic

696 visualizaciones

Publicado el

Publicado en: Tecnología
0 comentarios
0 recomendaciones
Estadísticas
Notas
  • Sé el primero en comentar

  • Sé el primero en recomendar esto

Sin descargas
Visualizaciones
Visualizaciones totales
696
En SlideShare
0
De insertados
0
Número de insertados
295
Acciones
Compartido
0
Descargas
6
Comentarios
0
Recomendaciones
0
Insertados 0
No insertados

No hay notas en la diapositiva.

Seg fiis eq_04_tic

  1. 1. SEGURIDAD EN Computación E Informática<br />TEMAS: TIC<br /> * RIESGOS<br /> * AMENAZAS<br /> * IMPACTOS<br /> * VULNERABILIDADES<br /> * PROBABILIDAD DE OCURRENCIA<br />Integrantes :<br /><ul><li> Díaz Cuba, Harley
  2. 2. Díaz Chonta, Junior
  3. 3. García Arias, Mariano
  4. 4. Guerrero Alfaro, Marco
  5. 5. Gutiérrez Núñez, Alex </li></li></ul><li>RIESGOS INFORMÁTICOS<br />
  6. 6. Definición<br />Es la probabilidad de que una amenaza pueden atentar contra la seguridad de nuestros recursos, nuestra información o nuestra empresa. <br />Se pueden identificar varios elementos que se relacionan con los riesgos.<br />
  7. 7. Elementos de los Riesgos<br />Riesgos<br />
  8. 8. Gestión de los Riesgos<br />El objetivo principal es garantizar la supervivencia de la organización, minimizando los costos asociado a los riesgos.<br />Es importante contar con herramientas que garantice la correcta evaluación en los procesos informáticos contra los riesgos.<br />
  9. 9. Aspectos que sirven de apoyo para una adecuada Gestión de Riesgos<br />Evaluación de los riesgos en los procesos.<br />Evaluación de las amenazas o causa de los riesgos.<br />Los controles para minimizar los riesgos.<br />Los responsables en los Procesos.<br />La evaluación de los elementos de los riesgos.<br />
  10. 10. Los riesgos pueden se ocasionados por parte de:<br />Personas internas y externas de la Organización.<br />Desastres naturales.<br />Servicios y trabajos no confiables e imperfectos.<br />
  11. 11. Prevención de los Riesgos<br />Es conocer las vulnerabilidades de la empresa y su impacto.<br />Para llevar una prevención se debe tomar una serie de medidas y controles en la organización.<br />
  12. 12. CONTROLES<br />
  13. 13. CASO PRÁCTICO<br />La Universidad de UTPL (Universidad Técnica Particular de Loja) que se ubica en Ecuador tomo una seria de medidas para la prevención de riesgos en su Red LAN.<br />Lo primero que hizo es identificar la información del usuario final:<br />Estudiantes<br />Empleados.<br />Usuarios Especiales (Autoridades).<br />Profesores.<br />Personas externas.<br />
  14. 14. Clasifico los riesgo como internos y externos.<br />
  15. 15. Categorizó cualitativamente los niveles de criticidad según el porcentaje de impacto de riesgos.<br />
  16. 16. Evaluó los riesgos según su nivel de criticidad.<br /><ul><li>Utilizó herramientas para la detección de riesgos.</li></li></ul><li>
  17. 17. En caso se detecte un riesgo alto, preparo una serie de medidas correctivas.<br />
  18. 18. AMENAZAS<br />“Un ataque no es mas que la realización de una amenaza”<br />
  19. 19. DEFINICIÓN<br />Se entiende por amenaza una condición del entorno del sistema de información (persona, máquina, suceso o idea) que, dada una oportunidad, podría dar lugar a que se produjese una violación de la seguridad (confidencialidad, integridad, disponibilidad o uso legítimo).<br />
  20. 20. Las cuatro categorías generales de amenazas son las siguientes <br />
  21. 21. INTERRUPCIÓN<br />INTERCEPCIÓN<br />MODIFICACIÓN<br />FABRICACIÓN<br />
  22. 22. Estos fenómenos pueden ser causados por:<br />El usuario: causa del mayor problema ligado a la seguridad de un sistema informático (porque no le importa, no se da cuenta o a propósito). <br />Programas maliciosos:Estos programas pueden ser un virus informático, un gusano informático, un troyano, una bomba lógica o un programa espía o Spyware. <br />Un intruso: persona que consigue acceder a los datos o programas de los cuales no tiene acceso permitido (cracker)<br />El personal interno de Sistemas: Las pujas de poder que llevan a disociaciones entre los sectores y soluciones incompatibles para la seguridad informática. <br />
  23. 23. CASO PRÁCTICO<br />INTRUSO-CRACKER<br /> Es cualquier persona o grupo de personas que viola la seguridad de un sistema informático; el cracker realiza la intrusión con fines de beneficio personal o para hacer daño. <br />
  24. 24. “Nosotros somos Anonymous. Nosotros somos Legión. Nosotros no perdonamos. Nosotros no olvidamos. Esperen por nosotros.”<br />
  25. 25. <ul><li> Finales del2006: Atacaron la página del supremacista blanco y comentador de radio, Hal Turner, lo que terminó costándole miles de dólares en la facturación de los servicios de Internet.
  26. 26. 2008: La iglesia de Scientology pidió a Youtube eliminar un vídeo de una entrevista al actor y miembro de la iglesia, Tom Cruise, que había sido publicado sin su permiso. Aunque el vídeo fue producido por la iglesia de Scientology, al parecer este no estaba hecho para la luz pública.
  27. 27. 2009: Dirigido a la nación de Irán cuando supuestamente salió a relucir que el actual presidente, Mahmoud Ahmadinejad, ganó las elecciones mediante fraude. Anonymous, junto con la página de web The Pirate Bay, crearon una página en apoyo a los disidentes iraníes al gobierno de Ahmadinejad.</li></li></ul><li>2010: En el mes de febrero de 2010, la Operación Titstorm atacó varias páginas del gobierno australiano dejándolo abajo por varios días. En India, varias compañías productoras de películas fueron atacados por estos ciberdelicuenentes. <br />
  28. 28. 2011<br />Las primeras organizaciones atacadas de forma sistemática fueron PayPal, Amazon, MasterCard y Visa, quienes habían decidido no tramitar ninguna donación hecha por sus usuarios si era para WikiLeaks.<br />Stephen Colbert, comediante de sátira política estadounidense en Comedy Central, catalogó al grupo de Anonymous como “los perros guardianes de WikiLeaks” [obviamente de una forma satírica… inclusive algunos acusan de Colbert de apoyar este grupo]. Anonymous respondió amistosamente colocando la máscara de GuyFawkes durante una fracción de segundo sobre el rostro de Colbert en un próximo episodio. Es la primera vez que se ha registrado un ataque “hacker” en el cual se modifica el vídeo de un programa de televisión nacional.<br />En febrero de 2011, la firma deseguridad H BGary Federal fue contratada por el gobierno federal de los Estados Unidos para infiltrar Anonymous.<br />El 4 de abril de 2011, miles de usuarios del Playstation Network se toparon con que no podían ingresar a sus cuentas. Un video en Youtube por parte de Anonymous aclaró toda duda, asumiendo responsabilidad de estos ataques.<br />La realidad es que hoy en día estamos viendo las primeras batallas de las guerras cibernéticas. Guerras donde la inteligencia, la data y la información son las armas de destrucción masiva, y Anonymous es el primer gran ejército, independientemente si estás de acuerdo con ellos o no.<br />
  29. 29. Validación de entrada<br />INYECCIÓN SQL:<br />
  30. 30. Un código que se repetirá en miles de sitios Web es el de validaciones de usuario con su correspondiente formulario de login.Este siempre ha sido un foco de ataque vulnerable para las aplicaciones mal protegidas. Ya que el programa se sirve de campos introducidos por el usuario para lograr la consulta SQL final que extraerá la información del usuario.<br /> Esta sería una consulta normal y corriente donde se extraerían todos los datos del usuario y contraseña tecleado, pero que pasaría si el usuario consultante escribiese esto en los campos:<br />Simplemente la cadena final quedaría así:<br />
  31. 31. IMPACTO EN LAS TIC<br />Internet<br />Banda Ancha<br />Telefonía<br />Redes Sociales<br />VOIP<br />P2P<br />E-mail<br />Laptops<br />TIC<br />Comercio electrónico<br />Video Juegos<br />GPS<br />Blogs<br />Sistemas Operativos<br />Video Conferencias<br />MP3 Player<br />Celulares<br />
  32. 32. LAS TIC EN LA EDUCACIÓN…<br />«Una Lap-Top por niño»<br />
  33. 33. TIC EN LA MEDICINA<br />
  34. 34. Operación Lindbergh (2001)<br /> Mujer Francesa<br /> de 68 años<br /><ul><li> Dr. Jacques Marescaux
  35. 35. EQUIPO IRCAD/EITS
  36. 36. ROBOT ZEUS</li></li></ul><li>Video Conferencias<br />Compras y Pagos por Internet<br />
  37. 37. EJEMPLO TWITTER…<br />AUDIENCIA : 100 millones de usuarios<br />DEMOGRAFIA : Personas con edades de 20 – 30 años (económicamente activas)<br />
  38. 38. 20 primeras empresas que mejor usan twitter<br />1. Coca-Cola (alimentación) @cocaCola2. Starbucks (restauración) @StArBuCkS3. Disney (entretenimiento) @DisneyPIctures4. Victoria’sSecret (moda) @victoriasSecret5. iTunes (entretenimiento) @iTunesTrailers6. Vitaminwater (alimentación) @hydrationnation7. YouTube (entretenimiento) @youtube8. Chick-fil-A (restauración) @Chickfila9. Red Bull (alimentación) @redbull10. T.G.I. Friday’s (restauración) @tgifridayscorp<br />11. Skittles (alimentación) @skittles12. Dunkin’ Donuts (restauración) @Dunkindonuts13. BestBuy (tiendas) @Bestbuy14. NBA (deportes) @nba15. Adidas Originals (moda) @adi_originals16. Kellogg’s Pop Tarts (alimentación) @KelloggsPopTart17. KrispyKreme (alimentación) @hotnow18. Mountain Dew (alimentación) @mtn_Dew19. JCPenney (tiendas) @JcPenney20. Papa John’s (restauración) @Papajohns<br />
  39. 39. EJEMPLO FACEBOOK…<br />AUDIENCIA : 500 millones de usuarios<br />DEMOGRAFIA : Personas con edades de 20 – 30 años (económicamente activas)<br />
  40. 40.
  41. 41. Crear una pagina empresarial en FACEBOOK<br />1<br />o<br />2<br />
  42. 42. 3<br />4<br />
  43. 43. 5<br />
  44. 44. 6<br />
  45. 45. VULNERABILIDAD<br />
  46. 46. VULNERABILIDAD<br />Vulnerabilidad es una debilidad en un sistema permitiendo a un atacante violar la confidencialidad, integridad, disponibilidad, control de acceso y consistencia del sistema o de sus datos y aplicaciones.<br />Las vulnerabilidades son el resultado de bugs o de fallos en el diseño del sistema. Aunque, en un sentido más amplio, también pueden ser el resultado de las propias limitaciones tecnológicas, porque, en principio, no existe sistema 100% seguro.<br />
  47. 47. ¿COMO EVITARLAS?<br />Actualice o chequee las actualizaciones cada cierto tiempo, pues eso permite casi adelantarse a cualquier peligro que se aproveche de la vulnerabilidad.<br />No caer en trampas obvias como correos spam diciéndote que ganaste la lotería en un país que ni siquiera conoces<br />Si vas a descargar música, libros, programas ejecutables, etc. procura hacerlo solo de fuentes confiables<br />Para la mayoría de los usuarios de internet estas simples recomendaciones serán suficientes y útil.<br />
  48. 48. TIPOS DE VULNERABILIDADES<br />
  49. 49. De configuración<br />EJEMPLO PRÁCTICO:<br />ASIGNACION DE IP’s POR NUESTROS PROVEEDORES.-<br />
  50. 50. Imaginemos que, por los motivos que fueran, un atacante quisiera atacar o husmear una serie de equipos que se encuentran en una zona física determinada (una misma calle por ejemplo).<br />Hoy en día, la mayoría de la gente que se conecta a internet lo hace a través de un router, que tiene una  IP dinámica. <br />Pero esa ip no va cambiando aleatoriamente, sino que lo hace dentro de un rango determinado. Además, ese rango suele ser compartido con otros routers que tengan contratada la misma compañía y estén en la misma zona física.<br />
  51. 51. Para sorpresa, tenemos un router que por lo que nos cuenta una revisión a google, es (o era) instalado por ONO, y se aprecia estar bastante abierto.<br />Como primer paso, obtengo la IP de un equipo del barrio/calle a observar.<br />Usamos el nmap, y encontramos lo siguiente:<br />
  52. 52. Y lo que es mas, un escaneo de vulnerabilidades por parte de NESSUS revela lo siguiente:<br />El router no solo tiene los puertos abiertos para una configuración externa, sino que lleva el set usuario: password por defecto (nada:admin). Definitivamente es muy vulnerable.<br />
  53. 53. Luego, al tener lo necesario se accesaa la interfaz del router. Nos centraremos en acceder por el puerto 8080 desde el navegador, donde nos encontramos lo siguiente:<br />Ahora, las opciones son numerosas, como puedes imaginar. En resumen, su router ahora es nuestro.<br />
  54. 54. Ahora viene lo realmente importante;Usamos el NMAP y escaneamos por un rango de ip’s cercanas al amigo:<br />Resultado:“22 ROUTERS CON EL MISMO ERROR GARRAFAL DE SEGURIDAD”.<br />
  55. 55. ¿Cuál es la razón? <br />Muy sencillo. Toda esta gente,  al ser de la misma zona.  Contrató su conexión a internet en la misma época (por una oferta, por una campaña comercial, etc), y por tanto tienen un equipo y configuración muy similares.<br /> En resumen:<br />Tenemos acceso pleno a 22 routers, aunque no a los ordenadores que hay detrás.<br />Sabemos que están en la misma zona y tienen contratada la misma compañía.<br />
  56. 56. Accedemos por el navegador y revisamos la tabla DHCP. Esto nos permite, entre otras cosas, ver los nombres de los equipos que están o han estado conectados en la red interna del router.He aquí algunas de las piezas de información que se pueden encontrar:<br />
  57. 57. Como se puede apreciar, esto nos permite identificar nombres de los usuarios, deducir donde estamos accediendo  (esa segunda captura, por ejemplo, parece una tienda), y muchas cosas más.<br />En uno de los casos, la PC llevaba el nombre de la empresa a la que pertenecía, con lo que desde google se puede rastrear su dirección y datos.<br />
  58. 58. RESUMEN<br /> Con esto queda demostrado el uso que se le puede dar a la relación  rangos ip - cercanía física, y la gran vulnerabilidad a la que puede estar sometida.<br /> Este ataque podría dar más de sí, podría, por ejemplo:<br />Tumbar el router y dejar a la victima sin conexión.<br />Escanear remotamente las redes wifi de la zona, lo cual puede ser útil para situar donde esta nuestra red exactamente.<br />Eliminar la protección WEP/WAP de la red inalámbrica, para poder acercarnos con el portátil y entrar en la LAN sin necesidad de crackearla (y una vez en la LAN, los demás equipos conectados caerían mucho más fácilmente).<br />
  59. 59. Probabilidad de Ocurrencia<br />Dice que la probabilidad de ocurrencia de un evento es el grado de creencia por parte de un individuo de que un evento ocurra, basado en toda la evidencia a su disposición. <br /> Las medidas de seguridad tienen como objetivo principal preservar la integridad de las personas y de los bienes.<br />
  60. 60. Seguridad Preventiva: que reduce la probabilidad de ocurrencia de eventos no deseados y reduce las consecuencias en caso de llegar a ocurrir dicho evento, que puede ocurrir a pesar de las medidas preventivas.<br /> Seguridad Reactiva: que se activa una vez ocurrido el evento no deseado, tiene como objetivo estructurar la organización para minimizar las consecuencias de lo ocurrido y permitir enfrentar el presente y futuro de la mejor forma.<br />
  61. 61. Las autoridades estadounidenses han anunciado el que puede ser el mayor caso de robo informático de datos bancarios llevado en ese país.<br />Más de 130 millones de números de tarjetas de crédito y débito fueron robados por un 'cracker' de 28 años de Miami y dos compinches rusos.<br />
  62. 62. RECOMENDACIONES<br />Espacio físico adecuado, recursos tecnológicos actualizados y suficientes.<br />La organización debe contar con herramientas que ayuden a la correcta evaluación de los riesgos en los.<br />Procesos informáticos y por medio de procedimientos de control se puede evaluar el desempeño de las TIC.<br />Una recomendación es que todas las empresas u personas deberían tener las herramientas necesarias ya sean preventivas o reactivas para poder evitar el menor daño posible a su información o sistema <br />La mayoría de estos incidentes, sino todos, podrían haberse evitado si las empresas y las instituciones implicadas hubiesen aplicado procedimientos de administración de datos más rigurosos.<br />
  63. 63. CONCLUSIONES<br />El conocimiento lleva al poder comprender los peligros existentes en nuestro mundo moderno y globalizado. Este constituye el primer paso para mantener la seguridad de nuestra identidad, nuestras posesiones y nuestras finanzas.<br />Las reputaciones empresariales son tan sólidas como los procesos, las precauciones y las soluciones de protección implementadas para proteger los datos de la empresa y de los clientes.<br />Las empresas tienen que hacer frente al coste creciente que supone garantizar el cumplimiento de sus políticas de datos.<br />El impacto que produce la amenaza en la organización no depende de las características de la vulnerabilidad, sino del grado de criticidad de la parte del sistema informático en que puede llegar a actuar.<br />
  64. 64. GRACIAS<br />

×