Arquitectura de seguridad para sistemas de comunicaciones (Presentación PowerPoint)

Introducción En la industria de telecomunicaciones, ha aumentado últimamente el número de productos que se combinan para ofrecer una solución global. En la actualidad, no es suficiente considerar la seguridad separadamente para cada producto o elemento de servicio de telecomunicación, sino como una combinación de capacidades de seguridad en la solución extremo a extremo global. La integración de distintos proveedores exige una norma de arquitectura de seguridad de red para lograr una solución satisfactoria. Por lo anterior, el UIT-T ha definido una arquitectura de seguridad de red que garantiza la seguridad de comunicaciones extremo a extremo. Esta arquitectura puede aplicarse a distintas clases de redes en las que hay que garantizar la seguridad extremo a extremo, siendo indiferente la tecnología de red subyacente. En esta presentación, se define los elementos de seguridad generales de la arquitectura de red del UIT-T que son necesarios para garantizar la seguridad extremo a extremo si son empleados correctamente. 1

Objetivos generales Explicar los requisitos y el nuevo enfoque de la seguridad de las comunicaciones de extremo a extremo. Identificar las variadas amenazas a la seguridad de las comunicaciones y relacionarlas con las principales contramedidas usadas para mitigar los riesgos consecuentes. Describir los elementos centrales de la Arquitectura de Seguridad de redes formalizada por el UIT-T. Explicar la metodología de aplicación de la Arquitectura de Seguridad de redes en el marco de un programa de seguridad. 2

Temario 1. Concepto seguridad de redes de comunicaciones 2. Amenazas y ataques a la seguridad de las comunicaciones 3. Arquitectura de Seguridad de redes 4. Aplicación de la Arquitectura de Seguridad de redes 5. Servicios y mecanismos de seguridad Bibliografía

Presentaciones personalizadas: 1) . 2) . 3

1. CONCEPTO SEGURIDAD DE REDES DE COMUNICACIONES SubAntecedentes. Conceptos generales 4

Sección 1 – Concepto Seguridad de Redes de Comunicaciones Contenido: 1.1 Antecedentes. 1.2 Conceptos generales de la seguridad de redes.

Objetivos: Señalar los requisitos clave para ofrecer garantías de seguridad de las comunicaciones de extremo a extremo. Explicar la utilidad de una arquitectura de seguridad de red en el diseño e implementación de soluciones de comunicación de extremo a extremo, en que participan múltiples operadores/proveedores y suministradores.

5

1.1 Antecedentes 6

Requisitos de la seguridad en la industria de las telecomunicaciones Las industrias de las telecomunicaciones y las tecnologías de la información necesitan soluciones de seguridad completas y rentables. Para ofrecer una red segura se requiere: una protección contra ataques malintencionados o imprevistos; garantizar condiciones de alta disponibilidad, tiempo de respuesta apropiado, fiabilidad, integridad y adaptación a otra escala; y proporcionar información exacta para facturación. Las capacidades de seguridad en los productos de los proveedores son esenciales para la seguridad general de la red (que incluye las aplicaciones y los servicios). 7

Nuevo enfoque de la seguridad en la industria de las telecomunicaciones Ha aumentado el número de productos que se combinan para ofrecer una solución global, por lo que la compatibilidad entre productos determinará si la solución es satisfactoria. En la actualidad No es suficiente considerar la seguridad separadamente para cada producto o servicio. La seguridad debe ser considerada e implementada como una combinación de capacidades de seguridad en la solución extremo a extremo global. La integración de distintos proveedores exige una norma de arquitectura de seguridad de red para lograr una solución satisfactoria. 8

1.2 Conceptos generales de la seguridad de redes 9

Concepto seguridad y otros conceptos relacionados El término «seguridad» se utiliza en el sentido de minimizar las vulnerabilidades de los bienes y recursos. Un «bien» es todo elemento de valor. «Vulnerabilidad» es toda debilidad que pudiera explotarse para violar un sistema o las informaciones que éste contiene. Una «amenaza» es una violación potencial de la seguridad. Una amenaza intencional que se concretiza puede considerarse como un «ataque». 10

¿Qué debe protegerse en la industria de las telecomunicaciones? En general, los elementos siguientes pueden necesitar protección: Informaciones y datos (incluidos el acervo de conocimientos de la organización y los datos pasivos relativos a las medidas de seguridad, tales como las contraseñas). Los servicios de comunicación y de procesamiento de datos. Los equipos y facilidades. 11

Fin de la Sección 1CONCEPTO SEGURIDAD DE REDES DE COMUNICACIONES 12

2. AMENAZAS Y ATAQUES A LA SEGURIDAD DE LAS COMUNICACIONES SubClasificación de las amenazas y ataques Evaluación de las amenazas 13

Sección 2 – Amenazas y Ataques a la Seguridad de las Comunicaciones Contenido: 2.1 Clasificación de las amenazas y ataques. 2.2 Evaluación de las amenazas. Objetivos: Clasificar las amenazas a la seguridad de las comunicaciones según intencionalidad y daño resultante de la información/infraestructura. Señalar los principales aspectos que es necesario considerar en la evaluación de las amenazas a la seguridad de las comunicaciones. 14

2.1 Clasificación de las amenazas y ataques 15

Amenazas a la seguridad de las comunicaciones Las amenazas contra un sistema de comunicación de datos son las siguientes: Destrucción de información y/o de otros recursos; Corrupción o modificación de información; Robo, supresión o pérdida de información y/o de otros recursos; Revelación de información; Interrupción de servicios. 16

Vulnerabilidades y amenazas a la seguridad de las comunicaciones 17 RED O SISTEMA DE COMUNICACIONES AMENAZAS ATAQUES Destrucción Corrupción Pérdida Revelación Interrupción VULNERABILIDADES

Clasificación de las amenazas Las amenazas pueden clasificarse según la intencionalidad y según el alcance del efecto producido: Amenazas accidentales o amenazas intencionales. Amenazas activas o amenazas pasivas. 18

Amenazas accidentales e intencionales Amenazas accidentales Las amenazas accidentales son las que existen sin que haya premeditación. Ejemplos: fallas del sistema, equivocaciones en la operación y errores en los programas. Amenazas intencionales Las amenazas intencionales son las que se realizan haciendo uso malicioso de medios para lograr deliberadamente objetivos ilícitos. Una amenaza intencional que se concretiza es considerada como un «ataque». Ejemplos: las amenazas intencionales pueden ir desde el examen ocasional, mediante el empleo de instrumentos de monitorización de fácil adquisición, hasta ataques sofisticados, gracias a un conocimiento especial del sistema. 19

Amenazas pasivas y activas Amenazas pasivas Las amenazas pasivas son las que, si se concretizan, no producirían ninguna modificación de las informaciones contenidas en el(los) sistema(s) y que no modifican el funcionamiento ni el estado del sistema. Ejemplo: La interceptación pasiva para observar informaciones transmitidas por una línea de comunicaciones. Amenazas activas Las amenazas activas contra un sistema conllevan la alteración de información contenida en el sistema, o las modificaciones del estado o de la operación del sistema. Ejemplo: La modificación maliciosa de las tablas de rutas de los nodos de una red de comunicación por un usuario no autorizado. 20

Principales tipos específicos de ataque Usurpación de identidad (o impostura). Reproducción. Modificación de los mensajes. Negación de servicio (DoS). Ataques del interior. Ataques del exterior. Trampa. Caballo de Troya. 21

Amenazas a la seguridad 22 AMENAZAS A LA SEGURIDAD AmenazasAccidentales AmenazasIntencionales AmenazasPasivas Amenazas Activas Interceptación pasiva Análisis de Tráfico Impostura Reproducción Modificación de mensajes Negación de servicio Revelación Ataques del interior Configuraciones desfavorables Equivocaciones

2.2 Evaluación de las amenazas 23

Evaluación de amenazas, riesgos y contramedidas (1/2) La evaluación de las amenazas, en general, abarca los siguientes aspectos: Identificación de las vulnerabilidades del sistema. Análisis de la probabilidad de las amenazas destinadas a explotar estas vulnerabilidades. Evaluación de las consecuencias que tendría la ejecución de cada amenaza. Estimación del costo de cada ataque. Determinación del costo de posibles contramedidas. Elección de mecanismos de seguridad justificados (eventualmente mediante un análisis de la relación costo/beneficio). 24

Evaluación de amenazas, riesgos y contramedidas (2/2) El objetivo de la evaluación de las amenazas debería ser hacer que el costo de un ataque sea suficientemente elevado para reducir el riesgo a niveles aceptables. 25

Fin de la Sección 2AMENAZAS Y ATAQUES A LA SEGURIDAD DE LAS COMUNICACIONES 26

3. ARQUITECTURA DE SEGURIDAD DE REDES SubArquitectura de seguridad Dimensiones de la seguridad Capas de seguridad Planos de seguridad 27

Sección 3 – Arquitectura de Seguridad de Redes Contenido: 3.1 Arquitectura de seguridad. 3.2 Dimensiones de la seguridad. 3.3 Capas de seguridad. 3.4 Planos de seguridad. Objetivos: Describir la organización de la arquitectura de seguridad de redes: dimensiones, capas y planos de la seguridad. Reconocer los tipos de problemas de la seguridad de las comunicaciones de extremo a extremo que pueden ser abordados con ayuda de las partes centrales de la arquitectura de seguridad de redes. 28

3.1 Arquitectura de seguridad 29

Arquitectura de Seguridad de redes El UIT-T está desarrollando actualmente una Arquitectura de Seguridad para enfrentar las amenazas a la seguridad de Proveedores de Servicio, empresas y clientes. Sus características fundamentales son: Es aplicable a redes para voz, datos y convergentes, basadas en tecnología inalámbrica, óptica, y conductores metálicos. Trata los asuntos de seguridad para la gestión, control, y uso de las aplicaciones, servicios, e infraestructura de red. Proporciona una perspectiva de la seguridad de red de arriba hacia abajo y de extremo a extremo, y puede ser aplicada a los elementos de red, servicios, y aplicaciones con el fin de detectar, predecir y corregir las vulnerabilidades de la seguridad. 30

Organización de la Arquitectura de Seguridad La Arquitectura de Seguridad divide de manera lógica un conjunto complejo de características relacionadas con la seguridad de la red de extremo a extremo en componentes arquitecturales separados en Capas y Planos. Esta separación permite aplicar una metodología sistemática a la seguridad de extremo a extremo que puede ser usada para la planificación de nuevas soluciones de seguridad y también para evaluar la seguridad de las redes existentes. 31

Componentes de la Arquitectura de Seguridad La Arquitectura de Seguridad trata tres preguntas esenciales relacionadas con la seguridad de extremo a extremo: 1. ¿Qué tipos de protecciones son necesarias y contra cuáles tipos de amenazas? 2. ¿Cuáles son los distintos tipos de equipos y agrupaciones de facilidades de red que es necesario proteger? 3. ¿Cuáles son los distintos tipos de actividades de red que es necesario proteger? Estas tres preguntas son tratadas respectivamente por tres componentes arquitecturales: 1. Dimensiones de la Seguridad. 2. Capas de Seguridad. 3. Planos de Seguridad. 32

3.2 Dimensiones de la Seguridad 33

Dimensiones de la Seguridad Una Dimensión de la Seguridad es un conjunto de medidas de seguridad diseñadas para tratar un aspecto particular de la seguridad de red. Se ha identificado 8 Dimensiones de la Seguridad que protegen contra las principales amenazas a la seguridad: 1) Control de Acceso. 2) Autenticación. 3) No Repudio. 4) Confidencialidad de los Datos. 5) Seguridad de la Comunicación. 6) Integridad de los Datos. 7) Disponibilidad. 8) Privacidad. 34

Aplicación de las Dimensiones de la Seguridad 35 RED O SISTEMA DE COMUNICACIONES Control de Acceso Autenticación Confidencialidad de los Datos Seguridad de la Comunicación Integridad de los Datos Disponibilidad Privacidad No repudio AMENAZAS ATAQUES 8 Dimensiones de la Seguridad Destrucción Corrupción Pérdida Revelación Interrupción VULNERABILIDADES

Dimensión de Seguridad:1) Control de Acceso La dimensión Control de Acceso protege contra el uso no autorizado de los recursos de red. Garantiza que sólo se permite que personal o dispositivos autorizados tengan acceso a los elementos de red, información almacenada, flujos de información, servicios y aplicaciones. 36

Dimensión de Seguridad:2) Autenticación La dimensión Autenticación sirve para confirmar las identidades de las entidades comunicantes. La autenticación garantiza la validez de las identidades pretendidas por las entidades participantes en una comunicación (p. ej. persona, dispositivo, servicio o aplicación). Garantiza que una entidad no está tratando de realizar una suplantación o una reproducción no autorizada de una comunicación anterior. 37

Dimensión de Seguridad:3) No Repudio La dimensión No Repudio proporciona los medios para prevenir que un individuo o entidad niegue haber realizado una acción particular relacionada con los datos, dejando disponibles pruebas de las variadas acciones relacionadas con la red. Garantiza la disponibilidad de evidencia que puede ser presentada a una tercera parte y usada para demostrar que algún tipo de evento o acción ha tenido lugar Ejemplos de evidencias para no repudio: prueba de obligación, intento, o compromiso; prueba del origen de los datos, prueba de propiedad, prueba de uso de recursos. 38

Dimensión de Seguridad:4) Confidencialidad de los Datos La dimensión Confidencialidad de los Datos protege los datos de una revelación no autorizada. Garantiza que el contenido de los datos no pueda ser entendido por entidades no autorizadas. Ejemplos de métodos usados para proporcionar confidencialidad de los datos: cifrado, listas de control de acceso, y archivos de permisos. 39

ESTA PRESENTACIÓN CONTIENE MAS DIAPOSITIVAS DISPONIBLES EN LA VERSIÓN DE DESCARGA