Ensayo Seguridad Web

Seguridad Web Ensayo




Como todo casi en este mundo nada esta totalmente protegido, y el riesgo esta latente en cualquier momento, sobre todo con la introducción del computador, que  hizo evidente la necesidad de disponer de herramientas automatizadas para la protección de archivos y otros tipos de información
almacenada en el computador.

Los primeros intentos de protección , antes expansión del uso de equipamiento de procesamiento de datos, eran tratados por medios físicos,como el uso de armarios con cierre de seguridad para almacenar documentos confidenciales y, por otro, por medios administrativos, como los procedimientos de protección de datos del personal que se usan durante el proceso de contratación.

Para poder seguir con el avance de las redes y sistemas posteriores,como en el caso de sistemas compartidos como, por ejemplo, un sistema de tiempo compartido;y la necesidad se acentúa en
sistemas a los que se puede acceder por medio de una red telefónica pública, una red de
datos o Internet, se tuvo que crear lo que se conoce como seguridad informática.

La seguridad informática se define como una disciplina que se encarga de proteger la integridad y la privacidad de la información almacenada en un sistema informático.También tienen como función  asegurar que los recursos del sistema de información (material informático o programas) de una organización sean utilizados de la manera que se decidió y que el acceso a la información allí contenida, así como su modificación, sólo sea posible a las personas que se encuentren acreditadas y dentro de los límites de su autorización.Aunque en términos generales se podría definir como el nombre genérico que se d a al grupo de herramientas diseñadas para proteger los datos y evitar la intrusión de los hackers.

Principios de Seguridad Informática:


Para lograr sus onjetivos la seguridad informática se fundamenta en tres principios, que debe cumplir todo sistema informático:

Confidencialidad: Se refiere a la privacidad de los elementos de información almacenados y procesados en un sistema informático, Basándose en este principio, las herramientas de seguridad informática deben proteger el sistema de invasiones y accesos por parte de personas o programas no autorizados. Este principio es particularmente importante en sistemas distribuidos, es decir, aquellos en los que los usuarios , computadores y datos residen en localidades diferentes , pero están física y lógicamente interconectados.

Integridad: Se refiere a la validez y consistencia de los elementos de información almacenados y procesador en un sistema informático. Basándose en este principio, las herramientas de seguridad informática deben asegurar que los procesos de actualización estén bien sincronizados y no se dupliquen, de forma que todos los elementos del sistema manipulen adecuadamente los mismos datos. Este principio es importante en sistemas descentralizados, es decir, aquellos en los que diferentes usuarios , computadores y procesos comparten la misma información.

Disponibilidad: Se refiere a la continuidad de acceso a los elementos de información almacenados y procesados en un sistema informático. Basándose en este principio, las herramientas de seguridad informática deber reforzar la permanencia del sistema informático, en condiciones de actividad adecuadas para que los usuarios accedan a los datos con la frecuencia y dedicación que requieran, este principio es importante en sistemas informáticos cuyos compromiso con el usuario, es prestar servicio permanente.

Amenazas y Ataques


No se puede hablar de la seguridad informática tan solo en los aspectos defensivos, también hace falta conocer la parte ofensiva, en ese aspecto es cuando entran aspectos como las amenazas y ataques.

Amenazas:Se dice que una amenaza es una posibilidad de violación de la seguridad, que existe cuando se da una circunstancia,capacidad,acción o evento que pudiera romper la seguridad y causar perjuicio.Es decir, una amenaza es un peligro posible que podría explotar una debilidad.

Ataque:Un ataque en el aspecto de la informática, es un asalto a la seguridad del sistema derivado de una amenaza inteligente; es decir,un acto inteligente y deliberado (especialmente en el sentido del método o técnica) para eludir los servicios de seguridad y violar la política de seguridad de un sistema.

Los ataques tienen dos clasificaciones según su naturaleza y objetivos a fin:

Ataques Pasivos

Los ataques pasivos se dan en forma de escucha o de observación no autorizadas de las
transmisiones. El objetivo del oponente es obtener información que se esté transmitiendo.
Dos tipos de ataques pasivos son la obtención de contenidos de mensajes y el análisis
del tráfico.

El primero es la Obtención de Contenido de Mensajes que consiste en evitar que un oponente conozca los contenidos de estas transmisiones como en una conversación telefónica, un mensaje por correo electrónico y un fichero enviado, ya que estos  pueden contener información confidencial.
La técnica común para poder evitar este es  enmascarar los contenidos por medio del cifrado.

Un segundo tipo de ataque pasivo, es el Análisis de tráfico, que al igual que el anterior usa los mensajes entre los canales de comunicación, que incluso si los datos estuvieran con protección mediante cifrado,un oponente podría observar el patrón de los mensajes, determinar la localización y la identidad de los servidores que se comunican y descubrir la frecuencia y la longitud de los mensajes que se están intercambiando. Esta información puede ser útil para averiguar la naturaleza de la comunicación que está teniendo lugar.

Los ataques pasivos son muy difíciles de detectar ya que no implican alteraciones en los datos. Normalmente, el mensaje se envía y se recibe de una forma aparentemente normal y ni el emisor ni el receptor son conscientes de que una tercera persona ha leído los mensajes o ha observado el patrón de tráfico Sin embargo, es posible evitar el éxito de estos ataques, normalmente mediante el uso del cifrado. Así, al tratar con los ataques pasivos, el énfasis se pone más en la prevención que en la detección.

Ataques Activos

Los ataques activos implican alguna modificación del flujo de datos o la creación de
un flujo falso y se pueden dividir en cuatro categorías: suplantación de identidad, repetición,
modificación de mensajes e interrupción de servicio. 


El primero de estos es la de Suplantación,la cual se produce cuando una entidad finge ser otra, estos ataques normalmente no actúan solas ,si no también participan otros ataques activos,por  ejemplo, las secuencias de autentificación pueden ser capturadas y repetidas después de que una secuencia válida de autentificación haya tenido lugar, permitiendo así, que una entidad autorizada con pocos privilegios obtenga privilegios extra haciéndose pasar por la entidad que realmente los posee. 

Otro ataque  es la Repetición, que  implica la captura pasiva de una unidad de datos y su retransmisión posterior para producir un efecto no autorizado.

El siguiente ataque ,la Modificación de mensajes, significa que una parte de un mensaje original es
alterada, o que los mensajes se han retrasado o reordenado, para producir un efecto no autorizado,

El último ataque mas común es Interrupción de Servicio, el cual impide el uso o la gestión normal de las utilidades de comunicación . Este ataque podría tener un objetivo específico; por ejemplo,
una entidad podría suprimir todos los mensajes dirigidos a un destino en particular
(por ejemplo, el servicio de auditoría de la seguridad). Otra forma de este tipo de ataque
es la interrupción de una red completa, ya sea inhabilitándola o sobrecargándola con
mensajes para reducir su rendimiento.

Los ataques activos presentan las características opuestas a los pasivos. Aunque los
ataques pasivos son difíciles de detectar, existen medidas para prevenir su éxito. Sin
embargo, es bastante difícil prevenir por completo los ataques activos, debido a que se
requeriría la protección física de todas las herramientas de comunicación y las rutas en
todo momento. Por el contrario, el objetivo es el de detectarlos y recuperarse de cualquier
irrupción o retraso que originen. Como la detección tiene un efecto disuasivo, también
podría contribuir a la prevención.

Servicios y Mecanismos de Seguridad


Como al igual que se han desarrollado formas de poder atacar la seguridad se han hallado formas de defender, en este aspecto entran los Servicios de Seguridad.Estos se definen como, un servicio que mejora la seguridad de los sistemas de procesamiento de datos y la transferencia de información de una organización.La funcionalidad de estos es aplicada por medio de uno o varios mecanismo de seguridad,que son mecanismos diseñados para detectar un ataque a la seguridad, prevenirlo o restablecerse de él

Los Servicios de Seguridad mas comunes son:

Autentificación

El servicio de autentificación se encarga de garantizar la autenticidad de la comunicación.
En el caso de un único mensaje como, por ejemplo, una señal de aviso o de alarma,
la función del servicio de autentificación es asegurar al receptor que el mensaje
pertenece a la fuente de la que dice proceder. En el caso de una interacción continuada
como la conexión de un terminal a un host, intervienen dos aspectos. En primer
lugar, en el inicio de la conexión, el servicio asegura que las dos entidades son auténticas;
es decir, cada entidad es la que dice ser. En segundo lugar, el servicio debe asegurar
que la conexión no está intervenida de forma que una tercera persona pueda
suplantar a una de las dos partes auténticas con la finalidad de realizar una transm isión
o una recepción no autorizada.

En el estándar X.800 se definen dos tipos particulares de autentificación:
• A utentificaran d e entidades origen/destinoc proporciona la confirmación de la
identidad de una entidad de una asociación. Se proporciona en el establecimiento
de una conexión o a veces durante la fase de transmisión de datos de dicha conexión.
Intenta asegurar que una entidad no está realizando una suplantación o una
repetición no autorizada de una conexión anterior.
• A utentificación d d origm d e lo s datos: corrobora la fuente de una unidad de
datos. No aporta protección contra la repetición o la alteración de unidades de
datos. Este tipo de servicio admite aplicaciones como el correo electrónico, donde
no hay interacciones previas entre las entidades que se comunican.

Control de Acceso

En el contexto de la seguridad de redes, el control de acceso es la capacidad de limitar
y controlar el acceso a sistemas host y aplicaciones por medio de enlaces de comunicaciones.
Para conseguirlo, cualquier entidad que intente acceder debe antes ser identificada
o autentificada, de forma que los derechos de acceso puedan adaptarse de manera
individual.

Confidencialidad de los datos

La confidencialidad es la protección de los datos transmitidos por medio de ataques
pasivos. En función del contenido de una transmisión de datos, existen diferentes niveles
de protección. El servicio más amplio protege los datos de los usuarios que se han
transmitido por conexión TCP. Se pueden distinguir formas más específicas de este servicio,
incluyendo la protección de un solo mensaje o incluso de determinados campos
de un mensaje. Estos refinamientos son menos útiles que el enfoque amplio y su implementación
puede incluso ser más compleja y costosa.

Integridad de los Datos

Al igual que ocurre con la confidencialidad, la integridad se puede aplicar a una serie de
mensajes, a un solo mensaje o a campos seleccionados de un mensaje. Nuevamente, el
enfoque más útil y claro es la protección del flujo completo.
Un servicio de integridad orientado a la conexión que funcione sobre un flujo de
mensajes garantiza que los mensajes se reciben tal y como son enviados, sin duplicación,
inserción, modificación, reordenación ni repeticiones. La destrucción de datos también
queda cubierta con este servicio. Así, el servicio de integridad orientado a la conexión
trata tanto la modificación del flujo de mensajes como la interrupción del servicio. Por
otra parte, un servicio de integridad sin conexión, que trata únicamente mensajes individuales
sin tener en cuenta contextos mayores, sólo proporciona, generalmente, protección
contra la modificación del mensaje.

Podemos distinguir entre el servicio con y sin recuperación. Debido a que el servicio
de integridad tiene que ver con ataques activos, nos interesa más la detección que la
prevención. Si se detecta una violación de la integridad, el servicio podría simplemente
informar de esta violación, y será necesaria la intervención humana o de algún otro software
para restablecerse de la violación. Por otra parte, existen mecanismos para la recuperación
de la pérdida de integridad de los datos, como estudiaremos más tarde. La
incorporación de mecanismos de recuperación automatizada se presenta, en general,
como la alternativa más atrayente.

No repudio

El no repudio evita que el emisor o el receptor nieguen la transmisión de un mensaje.
Así, cuando se envía un mensaje, el receptor puede comprobar que, efectivamente, el
supuesto emisor envió el mensaje. De forma similar, cuando se recibe un mensaje, el
emisor puede verificar que, de hecho, el supuesto receptor recibió el mensaje.

Los Mecanismos de Seguridad mas comunes son:

Cifrado
El uso de algoritmos matemáticos para transformar datos en una forma inteligible. La transformación y la posterior recuperación de los datos depende de un algoritmo y cero o más claves de cifrado.

Firma digital
Datos añadidos a , o una transformación criptográfica de , una unidad de datos que permite al
receptor verificar la fuente y la integridad de la unidad de datos y  protegerla de la falsificación
(por parte del receptor).

Control de acceso
Una serie de mecanismos que refuerzan los derechos de acceso a los recursos .

Integridad de los datos
Una serie de mecanismos empleados para verificar la integridad de una unidad de datos o del flujo
de unidades de datos.

Intercambio de autentificación
Un mecanismo diseñado para comprobar la identidad de una entidad por medio del intercambio de
información .

Relleno del tráfico
La inserción de bits en espacios en un flujo de datos para frustrar los intentos de análisis de tráfico.

Control de enrutamiento
Permite la selección de rutas físicamente seguras para determinados datos y permite los cambios de
enrutamiento , especialmente cuando se sospecha de una brecha en la seguridad .

Notarización
El uso de una tercera parte confiable para asegurar determinadas propiedades de un intercambio de
datos .

Funcionalidad fiable
La que se considera correcta con respecto a algunos  criterios (por ejemplo , los establecidos por una política de seguridad ).

Etiquetas de seguridad
La marca asociada a un recurso ( que podría ser una unidad de datos ) que designa los atributos de
seguridad de ese recurso .

Detección de  acciones
Detección de acciones relacionadas con la seguridad .

Informe para la auditoría de seguridad
Recopilación de datos para facilitar  una auditoría de seguridad , que consiste en una revisión y un
examen independientes de los informes y actividades del sistema .

Recuperación de la seguridad
Maneja las peticiones de los mecanismos (como funciones de gestión de acciones ) y lleva acabo
acciones de recuperación .

Todas estas formas para  poder prevenir un ataque o al menos disminuir su impacto al sistema , se pueden ver en las siguientes tablas

Tabla tipo de Ataques y sus Servicios para contrarrestarlos.


Ataque
Servicio Obtención del contenido del mensaje  Análisis   del tráfico Suplantación Repetición Modificación de mensajes Interruupción de serivcio
Autetntificación de las entidades de origen X
Autentificación del origen de datos X
Control de acceso X
Confidencialidad X
Confidencialidad del flujo de datos X
Integridad de los datos X X
No repudio
Disponibilidad X



Tabla de Mecanismos y Servicios


Mecanismo
Servicio Cifrado Firma Digital Control de Acceso Integridad de los Datos Intercambio de autentificación Relleno de Trafico Control de Enrutamiento Notarización
Autentificación de Entiadades origen/destino X X X
Autenficación del orgien de los datos X X
Control de Accceso  X
Confidencialidad X X
Confidencialidad del flujo del tráfico X X X
integridad de los datos X X X
No repudio X X X
Disponibilidad X X

Como se puede ver hay muchas formas de poder poner en responder a las diferentes amenazas que se le pudieran presentar a un sistema,ya sea de una forma agresiva o simplemente tomando ventaja de la facilidad de extracción de elementos no autorizados de forma pasiva, pero aún con toda estas medidas se ha de saber que ninguna de estas medidas puede hacer el sistema 100% seguro, ya que al igual que una guerra , los atacantes encontraran de una u otra forma de poder evadir las barreras que se les presente, refinando las maneras ya existentes, o creando nuevas formas.

Pero la mejor forma de poder evitar tales ataques, es informándose de constantemente de las nuevas amenazas que se presentan y cuales son los métodos o medidas necesarias para poder mantener al sistema lo más seguro posible, incluso a tal grado de aprender no solo a defender si no también a atacar,para saber identificar estas amenazas.Esto se recomienda ya que lo mas probable es que al menos una vez se sea atacado, pero eso no importara mientras se este preparado, y se sepa defender, manteniéndose activo,y pendiente de todas los elementos informáticos de los que este a cargo, y sobretodo no olvidar que el peligro  esta en todos lados y en cualquier forma.


Referencias:
http://www.monografias.com/trabajos82/la-seguridad-informatica/la-seguridad-informatica.shtml
Fundamentos de Seguridad en Redes y Aplicaciones Estandares,  Autor:William , Editorial: Stallings,Person

Comentarios

Entradas populares de este blog

Cifrado Asimetrico

CIfrado

Hash