Aspectos de seguridad en el comercio electrónico

1. UNIDAD 5
ASPECTOS DE SEGURIDAD EN EL COMERCIO ELECTRÓNICO
Jesús Ibarra

2. 5.1 ADMINISTRACION DE LA SEGURIDAD
• Administración de seguridad
• El objetivo de la administración de seguridad es lograr la exactitud,
integridad y protección de todos los procesos y recursos de los
sistemas de información.
•
• De este modo la administración de seguridad minimiza errores,
fraudes y pérdidas en los sistemas de información que interconectan
a las empresas actuales, así como a sus clientes, proveedores y otras
partes interesadas.

3. TIPOS DE DEFENSAS DE SEGURIDAD
• Cifrado
Implica el uso de algoritmos matemáticos especiales, o llaves, para transformar los datos
digitales en códigos cifrados antes de ser transmitidos y para descifrarlos cuando son
recibidos. El método más usado es el llamado, método de llave pública, que es
exclusivamente para el receptor que es conocida por el transmisor.
• Firewalls
Puede ser un procesador de comunicaciones, por lo común un ruteador, o un servidor
dedicado, junto con software firewall. Sirve como un sistema de “portero” que protege las
intranets de una empresa y otras redes informáticas de la intrusión al proporcionar un filtro
y punto de transferencia seguro para el acceso a Internet y otras redes.

4. DEFENSAS CONTRA LA DENEGACIÓN DE
SERVICIOS
• Los ataques de negación de servicios a través de Internet
dependen de 3 niveles de sistemas interconectados:
• En el sitio Web de la víctima
• En el proveedor de servicios de Internet
• En las máquinas zombis

5. DEFENSAS CONTRA LA DENEGACIÓN DE
SERVICIOS
• Destacan algunos tipos de ataques como lo son: la inundación de
SYN .- Envía un flujo de paquetes TCP/SYN (varias peticiones con
Flags SYN en la cabecera), muchas veces con la dirección de origen
falsificada. Cada uno de los paquetes recibidos es tratado por el
destino como una petición de conexión, causando que el servidor
intente establecer una conexión al responder con un paquete
TCP/SYN-ACK y esperando el paquete de respuesta TCP/ACK (Parte
del proceso de establecimiento de conexión TCP de 3 vías). Sin
embargo, debido a que la dirección de origen es falsa o la dirección
IP real no ha solicitado la conexión, nunca llega la respuesta.

6. DEFENSAS CONTRA LA DENEGACIÓN DE
SERVICIOS
• Inundación ICMP (ICMP Flood).- llamado el ping mortal Es una técnica DoS
que pretende agotar el ancho de banda de la víctima. Consiste en enviar de
forma continuada un número elevado de paquetes ICMP Echo request (ping)
de tamaño considerable a la víctima, de forma que esta ha de responder con
paquetes ICMP Echo reply (pong) lo que supone una sobrecarga tanto en la
red como en el sistema de la víctima.
• El Protocolo de Mensajes de Control de Internet o ICMP (Internet Control
Message Protocol).- es el sub protocolo de control y notificación de errores
del Protocolo de Internet (IP). Como tal, se usa para enviar mensajes de
error, indicando por ejemplo que un servicio determinado no está disponible
o que un router o host no puede ser localizado.

7. SMURF
• Existe una variante a ICMP Flood denominado Ataque Smurf que amplifica
considerablemente los efectos de un ataque ICMP. Existen tres partes en un
Ataque Smurf: El atacante, el intermediario y la víctima (comprobaremos que
el intermediario también puede ser víctima).El atacante dirige paquetes ICMP
tipo "echo request" (ping) a una dirección IP de broadcast, usando como
dirección IP origen, la dirección de la víctima. Se espera que los equipos
conectados respondan a la petición, usando Echo reply(pong), a la máquina
origen (víctima).Se dice que el efecto es amplificado, debido a que la
cantidad de respuestas obtenidas, corresponde a la cantidad de equipos en
la red que puedan responder. Todas estas respuestas son dirigidas a la
víctima intentando colapsar sus recursos de red. Como se dijo
anteriormente, los intermediarios también sufren los mismos problemas que
las propias víctimas.

8. INUNDACIÓN UDP (UDP FLOOD)
• Básicamente este ataque consiste en generar grandes
cantidades de paquetes UDP contra la víctima elegida. Debido a
la naturaleza sin conexión del protocolo UDP, este tipo de
ataques suele venir acompañado de IP spoofing. Es usual dirigir
este ataque contra máquinas que ejecutan el servicio Echo
(ping), de forma que se generan mensajes Echo de un elevado
tamaño.

9. JAMMING
• Es un mecanismo utilizado para anular las señales de radio u ondas
mediante la difusión de una señal más fuerte para confundir al
objetivo de esa señal. En una red cableada totalmente, el riesgo
asociado con una denegación de servicio puede ser mitigado de
varias maneras. Por ejemplo, la red y basado en host de detección de
intrusos puede ser instalado para monitorear los patrones de red y
de las firmas asociadas a un ataque de denegación de servicio. Sin
embargo, esto puede resultar un poco más difícil para las redes
inalámbricas debido a la sobre el factor aire. Equipo especial se
pueden emplear para detectar, difundir, o explotar señales hostiles
para la transmisión inalámbrica.

10. SEGURIDAD DE LAS COMPUTADORAS
CLIENTE
• PERMISOS DE ACCESO.
La seguridad basada en autentificación de usuario es la más usada, nos
permite administrar y asignar derechos a los usuarios de la red.
Permitiendo o denegando los accesos a los recursos a través de una
base de datos en el servidor.
El trabajo del administrador deberá incluir la administración de
usuarios. Otra manera de administrar usuarios es mediante el uso de
grupos de usuarios, el cual nos da la facilidad de aplicar las políticas
de seguridad a grupos específicos los cuales heredaran estas a los
miembros de dicho grupo.

11. SEGURIDAD DE LAS COMPUTADORAS
CLIENTE
• MEDIDAS ADICIONALES.
Se debe tomar en cuenta el uso de cortafuegos que permita
administrar el acceso de usuarios de otras redes así como el
monitorear las actividades de los usuarios de la red, perm
Las bitácoras son de gran utilidad para aplicar auditorias a la red.
La revisión de los registros de eventos dentro de la red permite ver las
actividades de los usuarios dentro de la red, esto permite al
administrador darse cuenta de los accesos no autorizados por parte de
los usuarios y tomar las medidas que faciliten incrementar la
seguridad.

12. SEGURIDAD DE LAS COMPUTADORAS
CLIENTE
• Intentos de acceso.
• Conexiones y desconexiones de
los recursos designados.
• Terminación de la conexión.
• Desactivación de cuentas.
• Apertura y cierre de archivos.
• Modificaciones realizadas en los
archivos.
• Creación o borrado de
directorios.
• Modificación de directorios.
• Eventos y modificaciones del
servidor.
• Modificaciones de las
contraseñas.
• Modificaciones de los parámetros
de entrada.
La auditoria permite monitorear algunas de las siguientes
actividades o funciones

13. LA SEGURIDAD EN REDES INALÁMBRICAS
(WLAN)
• Por la misma naturaleza de las redes inalámbricas que utilizan
como medio físico de transmisión el aire el factor de seguridad
es critico.
La seguridad de este tipo de redes se ha basado en la
implantación de la autenticación del punto de acceso y los
clientes con tarjetas inalámbricas permitiendo o denegando los
accesos a los recursos de la red.

14. MECANISMOS DE SEGURIDAD PARA REDES
WLAN
• La especificación del estándar 802.11 originalmente utiliza tres métodos
para la protección de la red.
• SSID (Identificador de Servicio): es una contraseña simple que identifica la
WLAN. Cada uno de los clientes deben tener configurado el SSID correcto
para acceder a la red inalámbrica.
• Filtrado de direcciones MAC. Se definen tablas que contienen las direcciones
MAC de los clientes que accesarán a la red.
• WEP (Privacidad Equivalente a Cable): es un esquema de encriptación que
protege los flujos de datos entre clientes y puntos de acceso como se
especifica en el estándar 802.11.

15. MECANISMOS DE SEGURIDAD PARA REDES
WLAN
• El IEEE creo el estándar 802.X diseñado para dar controlar los
accesos a los dispositivos inalámbricos clientes, Access point y
servidores. Este método emplea llaves dinámicas y requiere de
autentificación por ambas partes. Requiere de un servidor que
administre los servicios de autentificación de usuarios
entrantes.
• El WAPA añade una mayor capacidad de encriptación así como
métodos de identificación de usuarios que no se contemplaron
en el estándar 802.X.

16. OTRAS AMENAZAS (VIRUS INFORMÁTICOS).
• Los virus informáticos son pequeños programas de computadora que
al igual que un virus biológico, infecta equipos de computo y se
propaga a través de la red o utilizando otros medios de transmisión
como Memorias, disquetes, discos ópticos, etc.
• El crecimiento de las redes y en especial de la Internet ha facilitado la
propagación de virus de forma acelerada,
• Un método de propagación de virus común es el uso de correo
electrónico. Al abrir un correo infectado por virus puede infectar el
equipo y puede ser capaza de reenviarse a otros usuarios de correo
utilizando la libreta de direcciones del usuario.

17. OTRAS AMENAZAS (VIRUS INFORMÁTICOS).
• Hay que tomar en cuenta que cualquier medio de intercambio
de datos puede ser un medio potencial de propagación de
virus.
• Los medios más comunes pueden ser:
• Disquetes, DVD, Conexiones LAN, Via MODEM, CD, Unidades
portables (memorias Flash), cintas magnéticas, conexiones a
Internet.

18. SEGURIDAD DE LA INFRAESTRUCTURA DE
COMUNICACIONES
• La Infraestructura de comunicaciones es la base sobre la que se
garantiza el aprovechamiento eficiente de la comunicación de
una compañía, y es determinante en el éxito de cualquier
proyecto actual de negocio.
• Contar con una excelente Infraestructura de red, y con la
Arquitectura de red adecuada, es la mejor manera de
rentabilizar el resto de inversiones en tecnologías de la
información de su empresa

19. SEGURIDAD DE LOS SERVIDORES
• Son muchos los sites -de periódicos, no sólo de tirada nacional
si no de tirada internacional; de gobiernos de todo el mundo;
o, incluso, páginas personales de personajes públicos- los que
han sido atacados, con el único fin de llamar la atención,
publicitar al propio atacante o intereses lúdicos.
• Hoy en día, los servidores web tienen que estar protegidos
frente a cualquier tipo de amenazas, tienen que estar
preparados para ser el primer punto de entrada a cualquier
compañía y, sobre todo, tienen que estar bien securizados.

20. SEGURIDAD DE LOS SERVIDORES
• La mayor parte de estos ataques, en la actualidad, vienen como
consecuencia de una mala configuración del servidor o un mal
diseño del mismo, así como de fallos de programación
derivados de los ajustados Service Level Agreement (SLA) al que
se enfrentan los desarrolladores de los portales web.
• Las grandes corporaciones tienen sistemas más complejos y,
por lo tanto, más difíciles de administrar; y las pequeñas
empresas tienen servidores simples y con una configuración
paupérrima, lo que hace que, en su gran mayoría, estos
servidores sean susceptibles de ser atacados.

21. SEGURIDAD DE LOS SERVIDORES
• En este punto tenemos dos opciones para actuar: por un lado,
intentar realizar una configuración correcta de los servidores
web y de los elementos que lo componen y, por otro, contar
con herramientas de seguridad dedicadas exclusivamente a la
securizacion de estos servidores.
• En el mercado, existen herramientas dedicadas para proteger
servidores web, dispositivos de seguridad capaces de ofrecer
multitud de funcionalidades que, sin lugar a dudas, nos serán
de gran utilidad a la hora de proteger nuestro entorno web.

22. SEGURIDAD DE LOS SERVIDORES
• Estos dispositivos son capaces de realizar funciones que van
desde firewall de aplicación web (Web Application Firewall -
WAF-), aceleración de las propias aplicaciones, balanceo de
carga entre los servidores e IPS. Son muchas las posibilidades
que ofrecen este tipo de herramientas, que cada vez más se
están imponiendo en la compañía con el fin de proteger la
parte más importante de la empresa de cara al exterior.

23. SEGURIDAD DE LOS SERVIDORES
Entre los beneficios que nos ofrecen este tipo de dispositivos, podemos destacar:
• Protección de firewall e IPS sobre aplicaciones web.
• Firewall de aplicaciones XML, implementando las capacidades IPS, sobre el
código XML.
• Balanceo de carga entre los servidores web, con el fin de conseguir una
descongestión de los mismos.
• Bloqueo de amenazas sobre las aplicaciones que corren en el servidor web como
cross site, inyección SQL o ataques de buffer overflow.
• Soporte para comunicaciones SSL y procesamiento de cifrado XML.
• Cumplimiento de normativas de seguridad.
• Reducción de la complejidad en la administración.

24. SEGURIDAD Y NORMATIVIDAD EN LAS
TRANSACCIONES
• La Seguridad Informática se encarga de proteger la
infraestructura computacional, los recursos electrónicos y la
información considerados susceptibles de robo, pérdida o daño
durante su desplazamiento en las redes; de manera personal,
grupal u organizacional. Asimismo, la Seguridad Informática
contiene los lineamientos y tecnología para garantizar que los
recursos web, dentro de las Organizaciones, estén disponibles
para cumplir sus funciones. Es decir, que no sean alterados por
circunstancias o factores externos

25. SEGURIDAD INFORMATICA
• La Seguridad Informática, con el respaldo de Autoridades de
Confianza o Certificación y tecnología avanzada como Secure Sockets
Layes (SSL), utiliza: estándares, protocolos, métodos, reglas,
herramientas y leyes concebidas para minimizar los posibles riesgos
en el manejo de la infraestructura computacional e información
contenida para los clientes o visitantes en el medio electrónico.
• De esta forma, la Seguridad Informática protege los activos
informáticos, entre los que se encuentran:
1) Información, 2) Infraestructura y 3) Usuarios web.

26. SEGURIDAD INFORMATICA
• En primer lugar, la Seguridad Informática cubre la información
privilegiada o confidencial que comprende software, bases de
datos, metadatos, archivos y todo lo que para las
Organizaciones es vulnerable, sensible o significa un riesgo si
llega a manos de personas no autorizadas (crackers, defacers,
scripts kiddies, script boys, viruxer, piratas informáticos o
hackers) que buscan acceso a la redes para modificar, sustraer
o borrar datos.

27. SEGURIDAD INFORMATICA
• En segunda instancia, protege la infraestructura computacional
ante siniestros y riesgos, por ejemplo, de ataques de virus
(residentes, de acción directa, de sobreescritura, de boot o
arranque, de macro, de enlace o directorio, cifrados,
polimórficos, multipartites, de fichero, de FAT, etcétera),
códigos maliciosos, gusanos, caballos de troya y otras
vulnerabilidades de los sistemas operativos o aplicaciones
destinadas a dañar los recursos informáticos.

28. SEGURIDAD INFORMATICA
• Finalmente, cuida a los usuarios en las estructuras
tecnológicas, zonas de comunicaciones y durante sus gestiones
de información. En este sentido, establece normas que
minimizan los riesgos a los que se exponen descargando
contenidos de sitios web, en sus visitas a los portales o
realizando transacciones en ellos.

29. SEGURIDAD INFORMATICA
• En el caso de los productos de Seguridad de Symantec™, Firmas y
Certificados Digitales, distribuidos por certsuperior.com ofrecen los
estándares más altos de Seguridad Informática mediante servicios como:
• Rigurosos procesos de validación para garantizar la autenticidad de las
Organizaciones y sus sitios web.
• Tecnología SSL para cifrado con las mejores potencias de la Industria.
• Escaneo diario para la detección de malware (software malicioso).
• Herramientas visuales, como la barra verde de direcciones en los
Certificados de validación extendida para prevención de phishing y la
presencia de los sellos de Terceros de Confianza.