Este documento presenta cinco amenazas comunes a la seguridad en Oracle Solaris y las medidas que Oracle Solaris toma para mitigar cada una. Las amenazas incluyen un administrador con demasiados privilegios, la instalación de malware, el acceso malicioso a máquinas virtuales, la explotación de la red y los intentos de acceder a datos confidenciales. Oracle Solaris aborda estas amenazas a través de técnicas como privilegios mínimos, arranque verificado, zonas inmutables y cifrado de datos.

2. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Seguridad práctica con Oracle Solaris
Duncan Hardie, Principal Product Manager
Darren Moffat, Senior Principal Software Engineer
Oracle Solaris
Marzo de 2016
Aguarde un momento por favor. La sesión comenzará
en breve en el horario señalado en el programa.
Muchas gracias.

3. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
200 millones
Experian
Mar 2014
150 millones
eBay
Mayo 2014
22 millones
Educación
Jul 2014
Bancos de
Sudáfrica
Oct 2013
Tarjetas de
crédito
150 millones +
código
Adobe Oct 2013
98 millones
Target
Dic 2013
20 millones
Credit Bureau
12 millones
Telecom.
Ene 2014
56 millones
Home Depot
Sept 2014
Inmigración
Jun2014
Registros
personales
76 millones
JPMC
Oct 2014
La era de las megaviolaciones a la seguridad
Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
53 millones
Sony
Dic 2014
227
millones
80 millones
Anthem
Feb 2015
3

4. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Ataques sociales
Comando y control
Ataque por fuerza
bruta
Malware
Ataque por
inyección de SQL
Robo de
credenciales
Vectores de ataques típicos
Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. | 4

5. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Los riesgos son externos; las vulnerabilidades, internas
5

6. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Nuestro tema de hoy: la seguridad en todos los niveles
• Aplicación
– Privilegios mínimos
• SO
– Arranque verificado
• Virtualización
– Zonas inmutables
• Red
– Rango de direcciones IP
• Capa de
almacenamiento
– Cifrado ZFS
Oracle Solaris Oracle SolarisOracle Solaris
Zona Zona
Zona Zona
Zona
Zona
Zona
Zona
6

7. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Amenaza N° 1: Administrador inexperto
con demasiados privilegios
7

8. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |

9. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Oracle Solaris mitiga el abuso y mal uso de credenciales
Delegación
Acceso de usuarios basado en
actividades
Control basado en horarios
Controla cuándo los usuarios realizan
acciones
Oracle Corporation - Confidencial 9

10. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Amenaza N° 2: Instalación de troyano
malintencionado
10

11. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |

12. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Antimalware/ Prevención
de mal uso
• Línea de base reforzada
• Máquinas virtuales
inmutables
• Arranque verificado
• Instalación y actualización
seguras
Auditoría de contenido de
archivos
• Monitoreo automático
• Registro de identidad
• Registro de diferencias en
archivos
Aplicaciones de código
abierto mejoradas
• sudo
• Puppet
• Y muchas más...
Registro de estándares del
sector
• Obtención remota
• Integración con SIEM
Infraestructura segura: tecnologías de respaldo
12

13. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Amenaza N° 3: Acceso malicioso a máquina
virtual
13

14. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |

15. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
• Zonas inmutables
– Virtualización de solo lectura
– También es posible con una zona global
y un invitado OVM Server para SPARC
– Acceso a través de ruta de confianza
• Novedad: configuración de zonas
dinámicas, permite crear zonas
– Muy útil para nodos Openstack Nova
• Plantillas listas para usar
Protección de la infraestructura de aplicaciones
Máquinas virtuales de solo lectura
Ninguna Flexible Fija D-Zone Estricta
/, /usr, /lb, …
Permite
escritura
Solo
lectura
Solo
lectura
Solo
lectura
Solo
lectura
/etc
Permite
escritura
Permite
escritura
Solo
lectura
Solo
lectura
Solo
lectura
/var
Permite
escritura
Permite
escritura
Permite
escritura
Permite
escritura
Solo
lectura
otro
Permite
escritura
Solo
lectura
Solo
lectura
Solo
lectura
Solo
lectura
Crear zona Sí No No Sí No
15

16. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Cómo frenar el ingreso de malware
Sistemas y máquinas virtuales
inmutables
– No se permite el ingreso de atacantes
– Se evitan errores del administrador
– Se actualiza aun cuando los usuarios y
aplicaciones no tengan permisos de
escritura
Software destinado a alterar sistemas
– Firmware para aplicaciones
– Instalar solo software conocido y de
confianza
– Si no tiene firma, no instalar
– Arranque verificado
16

17. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Amenaza N° 4: Explotación de la red
17

18. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |

19. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Amenaza N° 5: Intento de acceder a datos
confidenciales
19

20. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |

21. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Seguridad de Oracle por dentro y por fuera
Capas de la pila
Oracle Corporation - Confidencial 21
S EG U R I DA D
S EG U R I DA D
S EG U R I DA D
S EG U R I DA D
S EG U R I DA D
S EG U R I DA D
S E G U R I D A
D
Gobierno, riesgo y cumplimiento (GRC)
Revisión de acceso y certificaciones, detección de anomalías,
aprovisionamiento de usuarios, gestión de derechos (entitlements)
Seguridad móvil, usuarios con privilegios
Servicios de directorios, regulación de identidades
Gestión de derechos, gestión de acceso
Cifrado, enmascaramiento, redacción, gestión de claves
Control de usuarios con privilegios, seguridad de grandes volúmenes
de datos, configuración segura
Espacio seguro para aplicación + usuario, administración delegada
Sistema antimalware, protección de datos + red
Informes de cumplimiento de normativa, ciclo de vida de
aplicaciones seguro
Migración en vivo segura
Zonas inmutables
Plano de control independiente
Aceleración criptográfica
Integridad de datos de aplicaciones
Arranque verificado
Cifrado de discos,
Copias de respaldo seguras
Gestión de claves empresariales
SPARC/Solaris

22. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
LA SEGURIDAD INCORPORADA POR DENTRO
Y POR FUERA AHORRA TIEMPOYDINERO, Y
REDUCE LOS RIESGOS
Mitiga el abuso y mal uso de
credenciales
Ciclo de vida seguro
garantizado
Cifrado de todo, en todas partes,
todo el tiempo
22

23. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
Preguntas y
respuestas
23

24. Copyright © 2014 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. | 24

26. Copyright © 2015 Oracle y/o sus compañías afiliadas. Todos los derechos reservados. |
52%
34%
11%
4%
Base de datos
Red
Aplicación
Middleware
Capas informáticas más vulnerables a
ataques
67%
15%
15%
3%
Base de datos
Red
Aplicación
Middleware
Asignación de recursos para proteger la capa
informática
Fuente: CSO Online MarketPulse, 2013
Garantizar la seguridad de la red no basta: hay que
proteger los datos