1. Mundo Contact. (MX)
Alejandro Martínez.
Ingeniería Pre-Venta Fortinet.
amartinez@grupo-dice.com
May 20, 2011
Fortinet Confidential

2. Agenda.
• Ambiente Tecnológico HOY.
• Visión General de la Seguridad
• El Resguardo de la Información.
• Optimiza los recursos existentes.
• Es Necesario estar preparado.
• Planeando el Futuro.
• Un entorno en base a Procesos.
• Protección Inmediata.
• Soluciones Integradas.
Fortinet Confidential

3. Dos visiones acerca de la seguridad de red
• Como un gasto • Como un facilitador de
Seguridad como una negocio
necesidad: Los recursos Seguridad como valor-
deben ser protegidos. agregado: Protegiendo los
La seguridad debe ser simple recursos del cliente
de administrar/operar La seguridad debe ser flexible
Los Carriers y Proveedores de para poder ofrecer servicio
Servicios pagan el OPEX Los clientes pagan el OPEX
La seguridad incrementa el como una cuota del servicio
costo de los servicios a Incrementa la relación con el
proveer. cliente y aumenta los
ingresos
3 Fortinet Confidential

4. El resguardo de la Información.
Retos de Negocios – Seguridad en
Aplicaciones/Bases de Datos
 Las bases de datos (BD) almacenan la información más sensible
(Financiera, Clientes, HR) por ejemplo, # de Seguro Social, # de
Tarjeta de Crédito, # de Utilidades, etc.
 Mitigar amenazas internas (Seguridad)
 Cumplimiento de Regulaciones (PCI, SOX, Protección de
Privacidad, HIPAA, GLBA, BASEL II …)
 Menor TCO
Fortinet Confidential

5. Optimiza tus Recursos.
• Incrementa el acceso a los datos y sistemas.
• Minimiza el riezgo de los accesos no autorizados.
• Reducir la complejidad de la infraestructura de seguridad.
• Baja costos de operación y de capital.
Fortinet Confidential

6. Repercusiones en el Mercado.
Amenazas a la seguridad de Información,
Realidades
Pérdidas reportadas promedio de ataques
internos fueron de $2.7M por incidente
— Encuesta CSI/FBI
78% de los perpetradores son usuarios autorizados
: empleados, proveedores, etc. - CERT/Servicio Secreto
Fortinet Confidential

7. Mirando Nuevas Tecnologías.
• La tecnología escogida necesita seguir los Planes de Negocio (tipo de
oferta)
− p.e. La Tecnología escogida es una decisión de Negocio, NO de Ingeniería.
− Recordatorio. Los tipos de oferta son: En la nube, Basados en CPE, hibrido.
• Funciones de la Tecnología en Servicios Administrados de Seguridad
− Inspección: Analizar el tráfico para detectar y limpiar el contenido malicioso.
− Administración: configuración, actualizaciones de versión y de seguridad,
reportería.
− Lo anterior puede estar distribuido, centralizado o híbrido, dependiendo de la
oferta.
− Los Atributos de la Tecnología dependerán (una vez más) del tipo de oferta.
Fortinet Confidential

8. Es NECESARIO estar preparado.
• Eliminar los puntos ciegos.
• Cumplimiento de Políticas.
• Bajar el tiempo de respuesta.
• Realizar de manera eficiente las mejores
prácticas con ayuda de los expertos.
• Reducir el riesgo de perdida por
insignificante que parezca de la información.
Fortinet Confidential

9. Taller.
 Control de Acceso Seguro.
 POLÍTICAS DE ACCESO.
 ENTORNO SEGURO.
 VPN IPSec / SSL / Mobilidad.
Fortinet Confidential

10. Mundo Contact. (MX)
Día 2
Alejandro Martínez.
Ingeniería Pre-Venta Fortinet.
amartinez@grupo-dice.com
May 20, 2011
Fortinet Confidential

11. Inovación: ¿Qué significa?
• Inovación es una nueva forma
de hacer algo o “cosas nuevas
hechas para ser útiles”
• Puede ser incremental y
emergente o radical y
revolucionar cambios en
pensamiento, productos, procesos
y organizaciones.
Fortinet Confidential

12. Pensar Estrategicamente.
• Estar preparado para posibles
cambios en la infraestructura de
seguridad.
» Anticiparse a los cambios en cuestión de
amenazas con tecnología eficiente.
• Buscar nuevas oportunidades que
fortalezcan la seguridad.
» Reducir la Complejidad.
» Incrementar la Seguridad.
» Disminuir el riesgo.
• Identificar y ofrecer respuestas
eficientes ante las amenazas.
Fortinet Confidential

13. Mirando hacia Adelante.
Fortinet Confidential

14. La complejidad de la seguridad de aplicaciones Web.
 Aplicaciónes WEB.
 Aplicaciónes públicas y
al alcance de todos.
 Provee acceso a correo
electrónico, tiendas
departamentales, El Perimetro
del
periodicos y otros Centro de Datos.
servicios. Front End
Web Servers
 Provee ventajas
competitivas para el
comercio electrónico y
Servidores
visibilidad del negocio. De
Base de Datos
Fortinet Confidential

15. La complejidad de la seguridad de aplicaciones Web.
 Aplicaciónes WEB diseñadas para
ofrecer contenido provechoso.
 Algunas otras son desarrolladas
para culplir el proposito pero omiten
la seguridad.
 Aplicaciones Expuestas.
 Se expone información
sensible.
 Ataques simples (Cambios en la
Configuración).
 Ataques Mayores. (Robo de
Identidad)
Fortinet Confidential

16. Aplicaciónes. ¿Por que asegurarlas?
• Las aplicaciónes por defecto son críticas.
• Pero…
• El 40% de las aplicaciónes WEB
continen vulnerabilidades de alto nivel
lo cual las hace propensas a ser
atacadas.
• 80%-96% son vulnerables a ataques
dedicados.
• 99% de las Aplicaciónes WEB no son
compatibles con PCI
Fortinet Confidential

17. Aplicaciónes. ¿Por que asegurarlas?
• Las vulnerabilidades más comunes • Consecuencias de un ataque:
no son controladas por la • Perdida de ingresos.
seguridad Perimetral. • Penalizaciónes por no cumplir con
• Cross-site scripting regulaciónes de ley.
• SQL injection • Daño a la marca (Fidelidad).
• Information Leakage
• HTTP Response Splitting
Fortinet Confidential

18. ¿Estamos Protegidos?
Fortinet Confidential

19. Un nuevo reto. Virtualización.
Fortinet Confidential

20. Centros de Datos moviéndose a la Virtualización
Equipos Físicos y Virtuales.
 Seguridad y alto rendimiento en equipos físicos para el perímetro
Virtualización para Centro de Datos en zonas de seguridad.
Fortinet Confidential

21. Redes Virtuales / Estrategias de Seguridad en la Nube
Éxito demostrado en entornos de seguridad virtual y en la nube.
Apoyando a empresas y proveedores de servicios a ofrecer
seguridad en modelos de negocio.
Servicios en la nube Servicios Implementados
Ambientes No
en la Nube
Virtualizados.
SaaS Públicos Comunidad
Escritorio
PaaS
Privados
Servidores laaS Hibridos
Fortinet Confidential

22. Puntos importantes de nuestros datos…
• Quien tiene el derecho de leer la Información.
• Quien tiene el derecho para realizar cambios.
• Que tán critica es la información.?
• Existen Datos Encriptados?
• Quien los respalda?
• Quien se asegura que los datos esten
disponibles.?
• Que tan vulnerable esta ante un ataque.?
• Quienes son los administradores.?
• Cuales son esas amenazas?
• Quién está haciendo qué, dónde,
cuándo y cómo?
Fortinet Confidential

23. Taller
Fortinet Confidential

24. Encontrando el foco del aplicativo.
1. Instalación
Fortinet Confidential

25. Configuraciónes de Reporteo.
1. Company Name: MundoContact_2011
2. Company Logo: MundoContactLogo.jpg
Fortinet Confidential

26. Notificaciónes vía Correo Electrónico.
Fortinet Confidential

27. Creación de un Nuevo Administrador.
Fortinet Confidential

28. Configurar la Base de Datos.(Oracle)
1. Ir a la opción Target Database Server  Auto Discovery
2. Seleccionar la IP en la cual se encuentran las Bases de Datos.
3. Deseleccionar todas las Bases existentes excepto ORACLE:
4. Click en “Begin Discovery”
5. Se realizará una busqueda de Bases de Datos en la PC.
Fortinet Confidential

29. Establezcamos la Conexión con la Base. (Oracle)
Fortinet Confidential

30. Configuremos el Objetivo.
1. Seleccionamos la Base (ORACLE)
2. La Agregamos como “Objetivo”
Fortinet Confidential

31. Continuando con la Conexión (Oracle).
1. Ir a Target Databases Server  Targets
2. Seleccionar la Base de Datos Encontrada. (ORACLE)
3. Llenar la siguiente Información:
1. General:
• DB Name: orcl
• User Name: system
• Password: fortidb1!$ (La que se uso en la instalación.)
2. Classification
• Location: México D.F
• Usage: Xtreme Team 2010
4. Test Connection
5. Save
Fortinet Confidential

32. Configure Database Connection (Oracle). (cont.)
Fortinet Confidential

33. Creating a new Assessment (cont.)
Fortinet Confidential

34. Running the Assessment
Fortinet Confidential

35. Viewing Assessment Results
1. Select created assessment
2. Go to Results tab
3. Select appropriate result from the list
4. Select appropriate target from the list
5. Review results
Summary Section
Detail Section
Fortinet Confidential

36. Viewing Assessment Results (cont.)
Fortinet Confidential

37. Vulnerability Assessment Dashboard
1. Go to Vulnerability Assessment  Global Summary
2. Review dashboard
Fortinet Confidential

38. Generating Vulnerability Reports
1. Go to Reports  Predefined VA Reports
2. Select Detailed Report
3. Select which assessment should be used for reporting
Assessment Name: Xtreme_Oracle_Assessment
Assessment Time: The least run
Target: Oracle DB
4. Scroll down and export the report as PDF
5. Take a moment to review generated report
Fortinet Confidential

39. Generating Vulnerability Reports (cont.)
Fortinet Confidential

40. Run the VA once more and generate a Trend Report
1. Run the assessment once again (you need at least three results
to generate a Trend Report)
2. Go to Reports and generate a new Trend Report. Select first
result as Report Start and the last one as Report End.
Fortinet Confidential

41. Run VA on All Databases
1. Edit Xtreme_Oracle_Assessment
2. Select Xtreme_DB group as Target
3. In Policies select:
• MySQL Policy Group
• Oracle Policy Group
• Pen Test Policy Group
• SQL Server Policy Group
4. Save it and Run it
5. Review results and generate reports
Fortinet Confidential

42. Creating Custom VA Policy
Fortinet Confidential

43. Creating Custom VA Policy (cont.)
• Name: Xtreme Vulnerability 1
• Database Type: Oracle
• SQL Query: “select ENAME, SAL from
SCOTT.EMP where SAL >= 3000
• Result Column Name(s): ENAME; SAL
• Result Column Label(s): Employee Name;
Salary
• Severity: Cautionary
• Classification: Unclassified
• Overview: Users with high salaries
Fortinet Confidential

44. Creating Custom VA Policy (cont.)
Fortinet Confidential

45. DAM – ORACLE NATIVE AUDIT (IN
DATABASE)
Fortinet Confidential

46. Enable Native Audit in Oracle Database
• Connect to database using SQLPlus
• Execute:
SQL> conn sys/fortidb1!$ as sysdba ; (use password specified during
installation)
SQL> alter system set audit_trail=db_extended scope=spfile ; (enable
audit)
• Go to Windows Services and restart OracleServiceORCL
Fortinet Confidential

47. Enable Native Audit in Oracle Database
Fortinet Confidential

48. Configure Database Monitor in Oracle DB
Fortinet Confidential

49. Configure Database Monitor in Oracle DB (cont.)
1. Go to Data Activity Monitoring  Monitors
2. Click on Oracle monitor and configure it as follow
Policy Groups:
• All Oracle Policies
• Metadata Policies
• Privilege Policies
• SYS Operations
General:
• Collection Method: DB, EXTENDED
• Polling Frequency: 60 seconds
3. Test Connection
4. Save
Fortinet Confidential

50. Configure Database Monitor in Oracle DB (cont.)
Fortinet Confidential

51. Off-topic: About DB Monitor Status
• Monitor is running and all enabled policies are being applied
• Monitor is not running
• Monitor is starting
• Monitor is stopping
• Monitor had failed to start (check monitor’s log)
• Monitor has been changed and a Reconfigure is necessary
to apply changes to database
• Monitor is running but there’re policies that couldn’t be
activated (check monitor’s log)
Fortinet Confidential

52. Generating Database Events
1. Connect to Oracle Database with SQLPlus
2. Create a new user and grant Database Administrator role
SQL> create user badguy identified by verybad ;
SQL> grant dba to badguy ;
3. Review Alerts pane and verify new events
4. Review event details
Fortinet Confidential

53. Generating Database Events (cont.)
Fortinet Confidential

54. Generating Database Events (cont.)
1. Connect to Oracle Database with SQLPlus as badguy
2. Open all-oracle-act.sql file with Notepad, select all lines, copy
and paste them in SQLPlus console.
3. Review Alerts pane and verify new events
4. Review event details
Fortinet Confidential

55. Generating Database Events (cont.)
Fortinet Confidential

56. ¿Preguntas?
Fortinet Confidential

57. Contacto.
Alejandro Martínez.
Ingeniería Pre-Venta Fortinet.
amartinez@grupo-dice.com
Fortinet Confidential

58. ¡GRACIAS!
Fortinet Confidential