TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

2

INDICE

Conceptos: Fiabilidad , confidencialidad , integridad y

disponibilidad.

Elementos vulnerables en el sistema informático: hardware,

software y datos.

Análisis de las principales vulnerabilidades de un sistema

informático.

Amenazas tipos: Amenazas físicas y amenazas lógicas

Seguridad física y ambiental:

Ubicación y protección física de los equipos y servidores.

Sistemas de alimentación ininterrumpida

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

3

CONCEPTOS

SEGURIDAD

Los conceptos confidencialidad, integridad o disponibilidad son muy comunes

en el ámbito de la seguridad y aparecen como fundamentales en toda

arquitectura de seguridad de la información, ya sea en el ámbito de la

protección de datos, normativa vigente relacionada con la protección de datos

de carácter personal, como de códigos de buenas prácticas o

recomendaciones sobre gestión de la seguridad de la información y de

prestigiosas certificaciones internacionales, éstas últimas, relacionadas con la

auditoría de los sistemas de información.

CONFIDENCIALIDAD

Se trata de la cualidad que debe poseer un documento o archivo para que este solo se entienda de manera comprensible o sea leído por la persona o sistema que este autorizado.

De esta manera se dice que un documento (o archivo o mensaje) es confidencial si y solo si puede ser comprendido por la persona o entidad a quien va dirigida o esté autorizada. En el caso de un mensaje esto evita que exista una intercepción de este y que pueda ser leído por una persona no autorizada.

INTEGRIDAD

La integridad es la cualidad que posee un documento o archivo que no ha sido alterado y que además permite comprobar que no se ha producido manipulación alguna en el documento original. Aplicado a las bases de datos seria la correspondencia entre los datos y los hechos que refleja.

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

4

DISPONIBILIDAD Se trata de la capacidad de un servicio, de unos datos o de un sistema, a ser accesible y utilizable por los usuarios (o procesos) autorizados cuando estos lo requieran. Probabilidad de buen funcionamiento de algo.

FIABILIDAD Es como "probabilidad de buen funcionamiento de algo". Por tanto, se dice que la fiabilidad de un sistema es la probabilidad de que ese sistema funcione o desarrolle una cierta función, bajo condiciones fijadas y durante un período determinado.

ELEMENTOS VULNERABLES EN EL SISTEMA INFORMATICO

Una vulnerabilidad o fallo de seguridad, es todo aquello que provoca que

nuestros sistemas informáticos funcionen de manera diferente para lo que estaban pensados, afectando a la seguridad de los mismos, pudiendo llegar a provocar entre otras cosas la pérdida y robo de información sensible.

Ataques al hardware: Se pueden producir de forma intencionada o no.

Incendios fortuitos en los sistemas, fallos físicos, rotura física de cables....

Ataques al software: Se pueden centrar contra los programas del sistema

operativo, a los programas de utilidad o a los programas de usuario. Necesita de mayores conocimientos técnicos (para los ataques hardware, por ejemplo, bastaría con unas tijeras, un mazo... cerillas...) Existe gran variedad de ataques software: Bomba lógica: el programa incluye instrucciones que, al cumplirse una condición, provocan una distorsión del funcionamiento normal del programa, que normalmente, deriva en daños al ordenador que lo ejecuta. Esta técnica es usada por algunos programadores. Introducen en la aplicación un código que se activa en una fecha determinada para que, si no ha cobrado por su trabajo ese día, destruya la información del ordenador en el que ha sido instalado. Virus. Todos sabemos lo que son, cómo se comportan e incluso habremos sufrido sus consecuencias. Hoy en día, la conectividad entre ordenadores hace que existan muchísimos más de los 30 o 40 mil conocidos a finales de los 80, y

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

5

que su impacto, cuando logran trascender, sea mucho mayor. Gusanos. Son programas que se replican, la línea que los separa de los virus es muy delgada. Backdoors o puertas falsas: Son programas que permiten la entrada en el sistema de manera que el usuario habitual del mismo no tenga conocimiento de este ataque. Caballos de Troya: El objetivo de estos programas no es el mismo para el que aparentemente están diseñados. Se utilizan normalmente para instalar puertas traseras.

Ataques al personal: Consiste realmente en mantener un trato social con

las personas que custodian datos. Indagar en sus costumbres o conocerlas más profundamente para perpetrar posteriormente un ataque más elaborado.

ANALISIS DE LAS PRINCIPALES

VULNERABILIDADES DE UN

SISTEMA INFORMATICO.

Existen diferentes vulnerabilidades que, dependiendo de sus características, las podemos clasificar e identificar en los siguientes tipos:

De configuración

Si la gestión administrable por el usuario es tal que hace que el sistema sea vulnerable, la vulnerabilidad no es debida al diseño del mismo si no a cómo el usuario final configura el sistema. También se considera error de este tipo cuando la configuración por defecto del sistema es insegura, por ejemplo una aplicación recién instalada que cuenta de base con usuarios por defecto.

Validación de entrada

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

6

Se produce cuando la entrada que procesa un sistema no es comprobada adecuadamente de forma que una vulnerabilidad puede ser aprovechada por una cierta secuencia de entrada.

Salto de directorio

Ésta aprovecha para desplazarse por el árbol de directorios hasta la raíz del volumen del sistema. El atacante podrá entonces desplazarse a través de las carpetas de archivos del sistema operativo para ejecutar una utilidad de forma remota.

Seguimiento de enlaces

Se producen cuando no existe una protección lo suficientemente robusta que evite el acceso a un directorio o archivo desde un enlace simbólico o acceso directo.

Inyección de comandos en el sistema operativo

Con este tipo de vulnerabilidad lo utilizamos para referirnos a la capacidad de un usuario, que controla la entrada de comandos, para ejecutar instrucciones que puedan comprometer la integridad del sistema.

Secuencias de comandos en sitios cruzados (XSS) Este tipo de vulnerabilidad abarca cualquier ataque que permita ejecutar código de "scripting", como VBScript o java script, en el contexto de otro dominio. Estos errores se pueden encontrar en cualquier aplicación HTML, no se limita a sitios web, ya que puede haber aplicaciones locales vulnerables a XSS, o incluso el navegador en sí. Hay dos tipos: Indirecta: consiste en modificar valores que la aplicación web utiliza

para pasar variables entre dos páginas, sin usar sesiones. Directa: consiste en localizar puntos débiles en la programación de los

filtros.

Inyección SQL Inyección SQL es una vulnerabilidad informática en el nivel de base de datos de una aplicación. Una inyección de código SQL sucede cuando se inserta un trozo de código SQL dentro de otro código SQL con el fin de modificar su comportamiento, haciendo que ejecute el código malicioso en la base de datos. El hecho de que un servidor pueda verse afectado por las inyecciones SQL se debe a la falta de medidas de seguridad por parte de sus diseñadores/programadores.

Inyección de código

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

7

Aquí encontramos distintos sub-tipos dentro de esta clase de vulnerabilidad:

Inyección directa de código estático: En una inyección de código de tipo estático o también llamada permanente, una vez inyectado el código en una determinada parte de la aplicación web, este código queda almacenado en una base de datos. Una de las es utilizar una combinación apropiada de listas negras y listas blancas para asegurar que solamente las entradas válidas y previstas son procesadas por el sistema.

Evaluación directa de código dinámico: Permite que las entradas

sean introducidas directamente en una función que evalúa y ejecuta dinámicamente la entrada como código. En una inyección de código de tipo dinámico o no permanente la inyección tiene un tiempo de vida limitado y no se almacena, al menos permanentemente, en ningún sitio. Las soluciones más apropiadas son las mismas que para la inyección directa de código estático.

Inclusión remota de archivo PHP: vulnerabilidad existente únicamente

en paginas dinámicas escritas en PHP está debida a la inclusión de la función include() la cual permite el enlace de archivos situados en otros servidores, mediante los cuales se puede ejecutar código PHP en el servidor.

Error de búfer Un búfer es una ubicación de la memoria en una computadora o en un instrumento digital reservada para el almacenamiento temporal de información digital, mientras que está esperando ser procesada.

El desbordamiento del búfer: un búfer se desborda cuando, de forma incontrolada, al intentar meter en él más datos de los que caben, ese exceso se vierte en zonas del sistema causando daños. Son defectos de programación y existen algunos lenguajes que impiden que los desbordamientos puedan ocurrir.

El agotamiento del búfer :Es un estado que ocurre cuando un búfer usado para comunicarse entre dos dispositivos o procesos se alimenta con datos a una velocidad más baja que los datos se están leyendo en ellos. Esto requiere que la lectura del programa o del dispositivo del búfer detenga brevemente su proceso.

Formato de cadena

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

8

Nos referimos a este tipo de vulnerabilidad cuando se produce a través de cadenas de formato controladas externamente, como el tipo de funciones "printf" en el lenguaje "C" que pueden conducir a provocar desbordamientos de búfer o problemas en la representación de los datos.

Errores numéricos

El desbordamiento de entero (integer overflow): un desbordamiento del número entero ocurre cuando una operación aritmética procura crear un valor numérico que sea más grande del que se puede representar dentro del espacio de almacenaje disponible.

El agotamiento de entero (integer underflow): consiste en que un valor se resta de otro, que es menor que el valor mínimo del número entero, y que produce un valor que no es igual que el resultado correcto.

Revelación/Filtrado de información

Un filtrado o escape de información puede ser intencionado o no intencionado. En este aspecto los atacantes pueden aprovechar esta vulnerabilidad para descubrir el directorio de instalación de una aplicación, la visualización de mensajes privados, etc. La severidad de esta vulnerabilidad depende del tipo de información que se puede filtrar.

Gestión de credenciales

Este tipo de vulnerabilidad tiene que ver con la gestión de usuarios, contraseñas y los ficheros que almacenan este tipo de información. Cualquier debilidad en estos elementos es considerado como una vulnerabilidad que puede ser explotada por un atacante.

Permisos, privilegios y/o control de acceso

Se produce cuando el mecanismo de control de acceso o asignación de permisos es defectuoso. Hay que tener en cuenta que se trata del sistema en sí y no se debe confundir con una mala gestión por parte del administrador.

Fallo de autenticación

Esta vulnerabilidad se produce cuando la aplicación o el sistema no es capaz de autenticar al usuario, proceso, etc. correctamente.

Carácter criptográfico

La generación de números aleatorios para generar secuencias criptográficas, la debilidad o distintos fallos en los algoritmos de encriptación así como defectos en su implementación estarían ubicados dentro de este tipo de vulnerabilidad.

Falsificación de petición en sitios cruzados (CSRF) Este tipo de vulnerabilidad afecta a las aplicaciones web con una estructura de invocación predecible. El agresor puede colocar en la página cualquier código, el cual posteriormente puede servir para la ejecución de operaciones no

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

9

planificadas por el creador del sitio web, por ejemplo, capturar archivos cookies sin que el usuario se percate.

El tipo de ataque CSRF más popular se basa en el uso del marcador HTML <img>, el cual sirve para la visualización de gráficos. En vez del marcador con la URL del archivo gráfico, el agresor pone un tag que lleva a un código Java Script que es ejecutado en el navegador de la víctima.

Condición de carrera

Una condición de carrera se produce cuando varios procesos tratan de acceder y manipular los mismos datos simultáneamente. Los resultados de la ejecución dependerán del orden particular en que el acceso se lleva a cabo. Una condición de carrera puede ser interesante para un atacante cuando ésta puede ser utilizada para obtener acceso al sistema.

Error en la gestión de recursos

El sistema o software que adolece de este tipo de vulnerabilidad permite al atacante provocar un consumo excesivo en los recursos del sistema (disco, memoria y CPU). Esto puede causar que el sistema deje de responder y provocar denegaciones de servicio.

Error de diseño

En ocasiones los programadores bien por culpa de los entornos de trabajo o bien por su metodología de programación, cometen errores en el diseño de las aplicaciones. Esto provoca que puedan aparecer fallos de seguridad y la consiguiente vulnerabilidad.

AMENAZAS

La amenaza representa el tipo de acción que tiende a ser dañina, mientras que la vulnerabilidad representa el grado de exposición a las amenazas en un contexto particular. Finalmente, la contramedida representa todas las acciones que se implementan para prevenir la amenaza. Estos fenómenos pueden ser causados por:

El usuario

Programa maliciosos

Un intruso

Un siniestro(robo,incendio,por agua)

El personal interno del sistema

Operadores

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

10

TIPOS DE AMENAZAS: FÍSICAS Y LÓGICAS AMENAZAS FÍSICAS: Entre las amenazas físicas a los equipos informáticos se encuentran los problemas de alimentación y enfriamiento, los errores humanos o actividades maliciosas, los incendios, las pérdidas y la calidad del aire. Algunas de estas amenazas, incluyendo aquellas relacionadas con la alimentación y algunas relacionadas con el enfriamiento y los incendios, se monitorean regularmente por medio de capacidades integradas en los dispositivos de alimentación, enfriamiento y extinción de incendios. Por ejemplo, los sistemas UPS monitorean la calidad de la energía, la carga y la integridad de las baterías; las unidades PDU monitorean las cargas de los circuitos; las unidades de enfriamiento monitorean las temperaturas de entrada y salida y el estado de los filtros; los sistemas de extinción de incendios (los que exigen los códigos de edificación) monitorean la presencia de humo o exceso de calor. Estas amenazas físicas monitoreadas en forma automática son una parte clave de Los sistemas de administración integral, pero en este informe no se tratará este tema. Sin embargo, para cierta clase de amenazas físicas en el centro de datos –y hablamos de amenazas graves–, El usuario no cuenta con soluciones de monitoreo prediseñadas e integradas. Por ejemplo, los bajos niveles de humedad son una amenaza que puede encontrarse en cualquier sector del centro de datos, de modo que La cantidad y la ubicación de los sensores de humedad es un punto clave a tener en cuenta a la hora de controlar dicha amenaza. Este tipo de amenazas pueden estar distribuidas en cualquier sector del centro de datos, en distintas ubicaciones según la disposición de la sala y la ubicación de los equipos. Las Amenazas físicas distribuidas que se explican en este informe se dividen en estas categorías generales: • Amenazas a los equipos informáticos relacionadas con la calidad del aire (temperatura,

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

11

Humedad) • Filtraciones de líquidos • Presencia de personas o actividades inusuales • Amenazas al personal relacionadas con la calidad del aire (sustancias extrañas suspendidas En el aire) • Humo e incendios provocados por los peligros del centro de datos Ejemplos de amenazas físicas:

AMENAZA DEFINICION IMPACTO EN EL CENTRO DE DATOS

TIPOS DE SENSORES

Temperatura del aire Temperatura del aire en la sala, el rack y los equipos

Fallas en los equipos y disminución de la vida útil de los equipos debido a temperaturas mayores de las especificadas y/o cambios drásticos de temperatura

Sensores de temperatura

Humedad Humedad relativa de la sala y del rack a una temperatura determinada

Fallas en los equipos debido a la acumulación de electricidad estática en los puntos de baja humedad Formación de condensación en los puntos de humedad alta

Sensores de humedad

Filtraciones de líquidos

Filtraciones de agua o refrigerante

Daños en los pisos, el cableado y los equipos causados por líquidos Indicios de problemas en la unidad CRAC

Sensores de cable de filtraciones Sensores puntuales de filtraciones

Error humano y acceso del personal

Daños involuntarios causados por el personal Ingreso no autorizado y/o por la fuerza al centro de datos con intenciones maliciosas

Daño a los equipos y pérdida de datos Tiempos de inactividad de los equipos Robo o sabotaje de equipos

Cámaras digitales de video Sensores de movimiento Conmutadores de rack Conmutadores de la sala Sensores de rotura de vidrios Sensores de vibración

Humo e incendios Incendio de equipos eléctricos o materiales

Fallas en los equipos Pérdida de bienes y datos

Detectores de humo suplementario

Contaminantes peligrosos suspendidos en aire.

Químicos suspendidos en el aire, como hidrógeno de las baterías, y partículas, como polvo

Situaciones de riesgo para el personal y/o falta de confiabilidad en el sistema UPS, y fallas debidas a la emanación de hidrógeno Fallas en los equipos debidas al aumento de la electricidad estática y a la obstrucción de

Sensores de químicos/hidrógeno Sensores de polvo

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

12

filtros/ventiladores por la acumulación de polvo

AMENAZAS LÓGICAS Encontramos todo tipo de programas que de una forma u otra pueden dañar a nuestro sistema, creados de forma intencionada para ello (software malicioso, también conocido como malware) o simplemente por error (bugs o agujeros).

HERRAMIENTAS DE SEGURIDAD Cualquier herramienta de seguridad representa un arma de doble filo: de la misma forma que un administrador las utiliza para detectar y solucionar fallos en sus sistemas o en la subred completa, un potencial intruso las puede utilizar para detectar esos mismos fallos y aprovecharlos para atacar los equipos. Herramientas como NESSUS, SAINT o SATAN pasan de ser útiles a ser peligrosas cuando las utilizan crackers que buscan información sobre las vulnerabilidades de un host o de una red completa.

PUERTAS TRASERAS

En un sistema informático es una secuencia especial dentro del código de programación, mediante la cual se pueden evitar los sistemas de seguridad del algoritmo (autentificación) para acceder al sistema. Aunque estas puertas pueden ser utilizadas para fines maliciosos y espionaje no siempre son un error, pueden haber sido diseñadas con la intención de tener una entrada secreta.

BOMBAS LÓGICAS Son virus convencionales y pueden tener una o más de las características de los demás tipos de virus pero la diferencia está dada por el trigger de su módulo de ataque que se disparará en una fecha determinada. No siempre pretenden crear un daño específico. Por lo

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

13

general muestran mensajes en la pantalla en alguna fecha que representa un evento importante para el programador.

CANALES CUBIERTOS Son canales de comunicación que permiten a un proceso transferir información de forma que viole la política de seguridad del sistema; dicho de otra forma, un proceso transmite información a otros (locales o remotos) que no están autorizados a leer dicha información.

VIRUS

Es un malware que tiene por objeto alterar el normal funcionamiento de

la computadora, sin el permiso o el

conocimiento del usuario. Los virus,

habitualmente, reemplazan archivos

ejecutables por otros infectados con

el código de este. Los virus pueden

destruir, de manera intencionada,

los datos almacenados en

un ordenador, aunque también existen

otros más inofensivos, que solo se caracterizan por ser molestos.

GUSANOS

Es un malware que tiene la propiedad de

duplicarse a sí mismo. Los gusanos

utilizan las partes automáticas de

un sistema operativo que generalmente

son invisibles al usuario.

CABALLOS DE TROYA Es un software malicioso que se presenta al usuario como un programa aparentemente legítimo e inofensivo pero al ejecutarlo ocasiona daños. Los troyanos pueden realizar diferentes tareas, pero, en la mayoría de los casos crean una puerta trasera que permite la administración remota a un usuario no autorizado.

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

14

o Un troyano no es estrictamente un virus informático, y la principal diferencia es que los troyanos no propagan la infección a otros sistemas por sí mismos.

PROGRAMAS CONEJO O BACTERIAS El ordenador ejecutaba los programas de cada usuario dependiendo de su prioridad y tiempo de espera. Si se estaba ejecutando un programa y llegaba otro de prioridad superior, atendía al recién llegado y al acabar continuaba con lo que hacía con anterioridad. Como por regla general, los estudiantes tenían prioridad mínima, a alguno de ellos se le ocurrió la idea de crear este virus. El programa se colocaba en la cola de espera y cuando llegaba su turno se ejecutaba haciendo una copia de sí mismo, agregándola también en la cola de espera. Los procesos a ser ejecutados iban multiplicándose hasta consumir toda la memoria de la computadora central interrumpiendo todos los procesamientos.

TÉCNICAS SALAMI Por técnica salami se conoce al robo automatizado de pequeñas cantidades de bienes (generalmente dinero) de una gran cantidad origen. El hecho de que la cantidad inicial sea grande y la robada pequeña hace extremadamente difícil su detección: si de una cuenta con varios millones de pesetas se roban unos céntimos, nadie va a darse cuenta de ello; Las técnicas salami no se suelen utilizar para atacar sistemas normales, sino que su uso más habitual es en sistemas bancarios; sin embargo, como en una red con requerimientos de seguridad medios es posible que haya ordenadores dedicados a contabilidad, facturación de un departamento o gestión de nóminas del personal, comentamos esta potencial amenaza contra el software encargado de estas tareas.

SEGURIDAD FISICA Y AMBIENTAL.

Nota:

Es muy importante ser consciente que por más que nuestra empresa sea la más segura desde el punto de vista de ataques externos, Hackers,

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

15

virus, etc. (conceptos luego tratados); la seguridad de la misma será nula si no se ha previsto como combatir un incendio.

¿Sabemos lo que es seguridad física?

La seguridad física es uno de los aspectos más olvidados a la hora del diseño de un sistema informático. Si bien algunos de los aspectos tratados a continuación se prevén, otros, como la detección de un atacante interno a la empresa que intenta a acceder físicamente a una sala de operaciones de la misma, no. Esto puede derivar en que para un atacante sea más fácil lograr tomar y copiar una cinta de la sala, que intentar acceder vía lógica a la misma.

¿EN QUE CONSISTE LA SEGURIDAD FISICA?

La Seguridad Física consiste en la "aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial". Se refiere a los controles y mecanismos de seguridad dentro y alrededor del Centro de Cómputo así como los medios de acceso remoto al y desde el mismo; implementados para proteger el hardware y medios de almacenamiento de datos.

Tipos de Desastres

Este tipo de seguridad está enfocado a cubrir las amenazas ocasionadas tanto por el hombre como por la naturaleza del medio físico en que se encuentra ubicado el centro.

Las principales amenazas que se prevén en la seguridad física son:

1. Desastres naturales, incendios accidentales tormentas e inundaciones.

2. Amenazas ocasionadas por el hombre. 3. Disturbios, sabotajes internos y externos deliberados.

A continuación se analizan los peligros más importantes que se corren en un centro de procesamiento; con el objetivo de mantener una serie de acciones a seguir en forma eficaz y oportuna para la prevención, reducción, recuperación y corrección de los diferentes tipos de riesgos.

1. Incendios:

Los incendios son causados por el uso inadecuado de combustibles, fallas de instalaciones eléctricas defectuosas y el inadecuado almacenamiento y traslado de sustancias peligrosas. El fuego es

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

16

una de las principales amenazas contra la seguridad. Es considerado el enemigo número uno de las computadoras ya que puede destruir fácilmente los archivos de información y programas. Desgraciadamente los sistemas antifuego dejan mucho que desear, causando casi igual daño que el propio fuego, sobre todo a los elementos electrónicos. El dióxido de carbono, actual alternativa del agua, resulta peligroso para los propios empleados si quedan atrapados en la sala de cómputos.

2. Inundaciones Se define como la invasión de agua por exceso de escurrimientos superficiales o por acumulación en terrenos planos, ocasionada por falta de drenaje ya sea natural o artificial. Esta es una de las causas de mayores desastres en centros de computadoras. Además de las causas naturales de inundaciones, puede existir la posibilidad de una inundación provocada por la necesidad de apagar un incendio en un piso superior. Para evitar este inconveniente se pueden tomar las siguientes medidas: construir un techo impermeable para evitar el paso de agua desde un nivel superior y acondicionar las puertas para contener el agua que bajase por las escaleras.

3. Condiciones Climatológicas

La comprobación de los informes climatológicos o la existencia de un servicio que notifique la proximidad de una tormenta severa, permite que se tomen precauciones adicionales, tales como la retirada de objetos móviles, la provisión de calor, iluminación o combustible para la emergencia.

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

17

4. Señales de Radar La influencia de las señales o rayos de radar sobre el funcionamiento de una computadora ha sido exhaustivamente estudiada desde hace varios años. Los resultados de las investigaciones más recientes son que las señales muy fuertes de radar pueden inferir en el procesamiento electrónico de la información, pero únicamente si la señal que alcanza el equipo es de 5 Volts/Metro, o mayor. Ello podría ocurrir sólo si la antena respectiva fuera visible desde una ventana del centro de procesamiento respectivo y, en algún momento, estuviera apuntando directamente hacia dicha ventana.

5. Instalaciones Eléctricas

Las subidas (picos) y caídas de tensión no son el único problema eléctrico al que se han de enfrentar los usuarios. También está el tema del ruido que interfiere en el funcionamiento de los componentes electrónicos. El ruido interfiere en los datos, además de favorecer la escucha electrónica.

6. Ergometría

El enfoque ergonómico plantea la adaptación de los métodos, los objetos, las maquinarias, herramientas e instrumentos o medios y las condiciones de trabajo a la anatomía, la fisiología y la psicología del operador. Entre los fines de su aplicación se encuentra, fundamentalmente, la protección de los trabajadores contra problemas tales como el agotamiento, las sobrecargas y el envejecimiento prematuro.

Acciones Hostiles

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

18

1. Robo Las computadoras son posesiones valiosas de las empresas y están expuestas, de la misma forma que lo están las piezas de stock e incluso el dinero. Es frecuente que los operadores utilicen la computadora de la empresa para realizar trabajos privados o para otras organizaciones y, de esta manera, robar tiempo de máquina. La información importante o confidencial puede ser fácilmente copiada. Muchas empresas invierten millones en programas y archivos de información, a los que dan menor protección que la que otorgan a una máquina de escribir o una calculadora. El software, es una propiedad muy fácilmente sustraíble y las cintas y discos son fácilmente copiados sin dejar ningún rastro

2. Fraude Cada año, una gran cantidad de dinero son sustraídos de empresas y, en muchas ocasiones, las computadoras han sido utilizadas como instrumento para dichos fines. Sin embargo, debido a que ninguna de las partes implicadas (compañía, empleados, fabricantes, auditores, etc.), tienen algo que ganar, sino que más bien pierden en imagen, no se da ninguna publicidad a este tipo de situaciones.

3. Sabotaje El peligro más temido en los centros de procesamiento de datos, es el sabotaje. Empresas que han intentado implementar programas de seguridad de alto nivel, han encontrado que la protección contra el saboteador es uno de los retos más duros. Este puede ser un empleado o un sujeto ajeno a la propia empresa. Físicamente, los imanes son las herramientas a las que se recurre, ya que con una ligera pasada la información desaparece, aunque las cintas estén almacenadas en el interior de su funda de protección. Una habitación llena de cintas puede ser destruida en pocos minutos y los centros de procesamiento de datos pueden ser destruidos sin entrar en ellos. Además, suciedad, partículas de metal o gasolina pueden ser introducidos por los conductos de aire acondicionado. Las líneas de comunicaciones y eléctricas pueden ser cortadas, etc.

Control de Accesos

El control de acceso no sólo requiere la capacidad de identificación, sino también asociarla a la apertura o cerramiento de puertas, permitir o negar acceso basado en restricciones de tiempo, área o sector dentro de una empresa o institución.

1. Utilización de Guardias

El Servicio de Vigilancia es el encargado del control de acceso de todas las personas al edificio. Este servicio es el encargado de colocar los guardias en lugares estratégicos para cumplir con sus objetivos y controlar el acceso del personal.

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

19

2. Utilización de Detectores de Metales El detector de metales es un elemento sumamente práctico para la revisión de personas, ofreciendo grandes ventajas sobre el sistema de palpación manual. La sensibilidad del detector es regulable, permitiendo de esta manera establecer un volumen metálico mínimo, a partir del cual se activará la alarma. La utilización de este tipo de detectores debe hacerse conocer a todo el personal. De este modo, actuará como elemento disuasivo.

3. Verificación Automática de Firmas (VAF) En este caso lo que se considera es lo que el usuario es capaz de hacer, aunque también podría encuadrarse dentro de las verificaciones biométricas. Mientras es posible para un falsificador producir una buena copia visual o facsímil, es extremadamente difícil reproducir las dinámicas de una persona: por ejemplo la firma genuina con exactitud. La VAF, usando emisiones acústicas toma datos del proceso dinámico de firmar o de escribir. La secuencia sonora de emisión acústica generada por el proceso de escribir constituye un patrón que es único en cada individuo. El patrón contiene información extensa sobre la manera en que la escritura es ejecutada. El equipamiento de colección de firmas es inherentemente de bajo costo y robusto. Esencialmente, consta de un bloque de metal (o algún otro material con propiedades acústicas similares) y una computadora barata.

4. Seguridad con Animales Sirven para grandes extensiones de terreno, y además tienen órganos sensitivos mucho más sensibles que los de cualquier dispositivo y, generalmente, el costo de cuidado y mantenimiento se disminuye considerablemente utilizando este tipo de sistema. Así mismo, este sistema

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

20

posee la desventaja de que los animales pueden ser engañados para lograr el acceso deseado.

5. Protección Electrónica

Conclusiones a la hora de la seguridad física.

Evaluar y controlar permanentemente la seguridad física del edificio es la base para o comenzar a integrar la seguridad como una función primordial dentro de cualquier organismo.

Tener controlado el ambiente y acceso físico permite:

disminuir siniestros trabajar mejor manteniendo la sensación de seguridad descartar falsas hipótesis si se produjeran incidentes tener los medios para luchar contra accidentes

UBICACIÓN Y SEGURIDAD FISICA DE LOS EQUIPOS Y SERVIDORES

Los Los incidentes de tipo físico se pueden dividir en dos tipos Básicos:

Incidentes naturales: Incendios, inundaciones, temperatura, alimentación,

eléctrica….

Indicentes Humanos: Robos, fraudes, sabotajes…..

Para minimizar el impacto de un posible problema físico tendremos que

imponer condiciones de seguridad para los equipos y sistemas de la

organización. Por otro lado para que los equipos informáticos funcionen

correctamente deben de encontrase en bajo ciertas condiciones.

Como es lógico pensar no todos los equipos informáticos de una organización

tienen el mismo valor. Para poder tener una buena seguridad debemos saber

que equipos y datos son más importantes para la organización.Ejemplo:Un

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

21

servidor y un puesto de trabajo no tendrán las mismas medidas de seguridad ,

ni físicas ni lógicas.

Los servidores dado que su funcionamiento ha de ser continuo deben de

situarse en un lugar que cumpla las condiciones optimas para el

funcionamiento de estos.

Para asegurar los sistemas y equipos que han de mantenerse siempre

operativos se crean lugares que se conocen como centro de procesamiento de

datos .Para poder asegurar un CPD lo primero que debemos hacer es asegurar

el recinto con medidas de seguridad física.

SISTEMAS CONTRA INCENDIOS.

Existen varios tipos de sistemas de extinción de incendios , como: Extracción

de oxigeno, inserción de gases nobles o extintores especiales que eviten el

riesgo de electrocución.

Es importante intentar evitar los sistemas contra incendios que usen materiales

conductores dado que de lo contrario pueden perderse datos de los

dispositivos.

SISTEMAS DE CONTROL DE ACCESO.

SISTEMAS DE LLAVES(tradicionales)

SISTEMAS DE CONTRASEÑA

Estos sistemas son lo mas usados por su simplicidad de uso y bajo coste. En

estos tipos de sistemas se ha de estableces políticas de contraseñas. Por tanto

la organización que emplemente un sistema de contraseña tendrá que indicar a

sus usuarios con que periodicidad son cambiadas y que características tienen

para ser seguras.

SISTEMAS TARJETA MAGNÉTICA

Estos sistemas se componen de una tarjeta con una banda magnetica que

contiene un código para acceder.

SISTEMAS RFID.

Estos sistemas se componen de un elemento que reacciona ante una señal ,

devolviendo un resultado. Existen dispositivos RFID con identificadores únicos

certificados por la casa de la moneda.

SISTEMAS DE TOKEN

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

22

Un sistema de token se compone de un elemento móvil llamado token que

genera claves aleatorias , para poder funcionar correctamente el token ha de

estar sincronizado con el sistema de acceso. Para poder acceder el usuario ha

de insertar la clave generada por el token en el sistema, esta generará una

clave usando el mismo algoritmo y la comparará. Actualmente se están usando

sistemas de token mediante el envió de un sms.

SISTEMAS DE CONTROL DE TEMPERATURA

Para que los sistemas informáticos funcionen correctamente los elementos

físico de los mismos han de encontrarse a cierta temperaturas.

Debido a que los equipos informáticos funcionan mediante semiconductores se

tienen que mantener entre ciertos valores de temperatura, de lo contrario los

semiconductores pierden sus propiedades y dejan de funcionar

adecuadamente. La temperatura adecuada de un CPD no debe de superar los

30º.

SISTEMA DE ALIMENTACION

INTERRUMPIDA.

Un sistema de alimentación

ininterrumpida, SAI , es un dispositivo que

gracias a sus baterías, puede

proporcionar energía eléctrica tras un apagón a

todos los dispositivos que tenga conectados. Otra

de las funciones de los UPS es la de mejorar la

calidad de la energía eléctrica que llega a las

cargas, filtrando subidas y bajadas de tensión y

eliminando armónicos de la red en el caso de

usar corriente alterna.

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

23

Tipos de SAI.

UPS de continua (activo)

Las cargas conectadas a los UPS requieren una alimentación de corriente

continua, por lo tanto éstos transformarán la corriente alterna de la red

comercial a corriente continua y la usarán para alimentar a la carga y

almacenarla en sus baterías. Por lo tanto no requieren convertidores entre las

baterías y las cargas.

UPS de corriente alterna (pasivo)

Estos UPS obtienen a su salida una señal alterna, por lo que necesitan

un inversor para transformar la señal continua que proviene de las baterías en

una señal alterna.

¿POR QUÉ NECESITAMOS UN SAI UPS?

CAUSA EFECTOS

CORTES DE ELECTRICIDAD

-Imposible trabajar con equipos eléctricos.

-Falta de atención al cliente (supermercados, agencias de viajes, etc).

-Daños en el Hardware, pérdida de datos, corrupción de ficheros.

BAJAS DE TENSIÓN

-Reducción de tensión de utilización frecuentemente planificadas.

-Fallos de Hardware prematuros. Ficheros corrompidos.

TEMA-1

Cap

ítu

lo:

ado

pció

n d

e p

au

tas d

e s

egu

rida

d

24

FLUCTUACIONES DE TENSIÓN

-Sobretensiones o Infratensiones, picos y subidas.

-Daños en CPU y discos, circuitería y almacenamiento.

FUIDOS Y TRANSIENTES

-Ruido Eléctrico sobreimpuesto en la línea de utilización.

-Armónicos en circuitería y ficheros de datos.

MODO DE FUNCIONAMIENTO

El generador de sinusoide (una sinusoide es la forma de onda del 220 alterna

que tenemos en nuestros domicilios) es una parte de la placa de control

electrónica, en un segundo ha conmutado cada uno de los transistores de

conmutación 50 veces, pero opuestos, así cuando el de arriba está conectado,

el de abajo no lo está, el siguiente paso es hacer la operación inversa, y así

sucesivamente todo el rato. Así, cada parte del transformador solo trabaja con

la mitad de la onda, y la suma de las dos es la salida del SAI.

Para asegurarnos del buen funcionamiento del SAI, así como el estado de la

batería, es conveniente de vez en cuando conectar una lámpara en vez del PC

al SAI, desconectarlo de la energía y mirar si aguanta bien por lo menos 5

minutos, si no aguanta es posible que la batería ya esté gastada y no aguante

la carga. Estas suelen durar unos 4 años, pero pueden durar más o menos

tiempo, no hay un tiempo fijo comprobado.