Implementación de Sistemas de Información Seguros

1. Implementación de Sistemas de Información Seguros Cristian Mora Aguilar, CISSP, CISM, MCSE+Security crismora@microsoft.com Security Consultant Microsoft Security Center of Excellence, SCoE

2. Agenda • Conceptos básicos de seguridad • Triada de Seguridad CIA • Seguridad en Aplicaciones: Más que un problema Tecnológico • Componentes básicos para de Seguridad • Arquitectura • Administración de Riesgo • Defensa en profundidad • Seguridad en Aplicaciones • Modelo de Amenazas (Threat Modeling) y STRIDE • Herramientas: • FXCop • Caso de Estudio • DJ Hell Defacement

3. Confidencialidad Seguridad Integridad Disponibilidad Triada de Seguridad CID • Confidencialidad • Integridad • Disponibilidad

4. Seguridad de Aplicaciones: Más que un problema Tecnológico Procesos Operaciones Tecnologías

5. Modelo de Infraestructura Tecnológico y WSSRA

6. El Problema Tecnológico • Crecimiento informal • Administración lenta y Compleja de los componentes

7. Ambiente de Infraestructura

8. Arquitectura de Referencia

9. Zonas de Seguridad

10. Segmentación de Redes

11. Almacenamiento

12. Componentes básicos de Servicios de Red

13. Servicios de Aplicación

14. Servicios de Administración

15. Servicios Públicos y Clientes

16. Análisis de Riesgo

17. Administración de Riesgos y soporte para decisiones Alto Riesgo NO Aceptable La administración de riesgo define un nivel aceptable del mismo Impacto al negocio El equipo de negocios define el impacto Riesgo Aceptable Ejecución de la vulnerabilidad Bajo Alto El equipo de Seguridad de información define la probabilidad

18. Defensa en profundidad Ambiente de Seguridad Apps Datos Servidores Clientes Amenazas Amenazas Amenazas Amenazas Servidor Amenazas Red Físico Amenazas Dispositivos Amenazas de Seguridad de TI

19. Datos Análisis de Riesgo Defensa en Profundidad Ambiente de Seguridad Físico Red Servidor Apps • Evaluación de riesgo en cada capa • Mejor visión de la situación actual • Cada sección tiene una clasificación de riesgo y un plan de mitigación Servidores Clientes Aceptable Control en Progreso Dispositivos No Aceptable

20. Datos Resultado de Análisis de Riesgo Defensa en Profundidad Ambiente de Seguridad Físico Red Servidor Apps Servidores Clientes Dispositivos

21. Datos Implementación de Soluciones Defensa en Profundidad Ambiente de Seguridad Físico Red servidor Apps Servidores Solución Solución Clientes Solución Solución Solución Solución Dispositivos

22. Datos Plan de Evaluación de Resultados Defensa en Profundidad Ambiente de Seguridad Física Red Servidor Apps Servidores Clientes Dispositivos

23. Defensa en Profundidad

24. Defensa en Profundidad • Medidas de control segmentadas en capas de protección • Aplica medidas de control en cada capa de cada componente que interactúa en una solución, desde la capa de perímetro hasta la capa de datos • Reduce la posibilidad de un único punto de vulnerabilidades cuando el sistema es atacado • Reducción del riesgo por: • Análisis de vulnerabilidades presentes en los sistemas • Análisis de amenazas presentes que pueden tomar ventaja de esas vulnerabilidades • Implementación de los medidas de control apropiadas en cada capa

25. Políticas, procedimientos, Concientización Seguridad Física Datos Aplicación Servidor Red Perímetro Defensa en Profundidad

26. Como minimizar la superficie de ataque? Políticas, Procedimientos, Concientización Seguridad Física Listas de Acceso, Encriptación, EFS Datos Aseguramiento de App, Antivirus Aplicación Aseguramiento del SO, Autenticación, Actualizaciones de OS, Detector de Intrusos local Servidor Red Interna Segmentación de Red, IPSec, Detector de Intrusos dered Perímetro Muros de fuego, Control de acceso de Cuarentena Guardas, Cerrojos, Dispositivos de monitoreo Documentación de Seguridad, Educación al Usuario

27. Seguridad en aplicaciones

28. Amenazas de Seguridad más comunes

29. Vulnerabilidades por Años Data Source: Secunia (http://secunia.com

30. Seguridad en la arquitectura Seguridad en el modelo de desarrollo Estrategia SD3 Seguridad en el diseño por capas Holística de la seguridad

31. Seguridaden el modelo de desarrollo Aprendery refinar Analizar amenazas Revisión externa Determinarlos criterios de validación de la seguridad Preguntasdurantelasentrevistas “Security push” Concepto Entrega Despuésdelaentrega Diseños completados Planesdepruebascompletados Código completado Revisardefectosanteriores,comprobarregistrosdirectrices de programación segura, usar herramientas Entrenaralosmiembros del equipo Revisióndelequipodeseguridad Pruebasdemutación de datos y mínimos privilegios =continuo

32. Modelo de análisis de Riesgos • Entender las amenazas hacia las aplicaciones/sistema • Uso de modelo de riesgo para identificar riesgos • Diferente a la fase de pruebas y servicios • Consideraciones de diseño de alto nivel • Permite una mitigación proactiva de la mitigación de amenazas

33. Proceso para el Modelo de analisis de riesgo • Crear un modelo de la aplicación (UML, DFD, etc.) • Utilizar STRIDE para categorizar los tipos de amenazas • Para cada destino de ataque • Spoofing, Tampering, Repudiation, Information disclosure, DoS, Elevation of privilege • Construcción de un arbol de amenazas • Categorizar las amenazas con DREAD • Damage potential, Reproducibility, Exploitability, Affected users, Discoverability

34. Árbol de Amenazas

35. Para cada proceso en el Modelo • Es el proceso susceptible a spoofing? • Puede ser el proceso alterado? • Existe la posibilidad de manejar no repudio en la aplicación? • Pueden un ataque resultar en la vista no autorizada de los datos? • Puede un ataque de DoS deshabilitar el proceso? • Puede ser ejecutado la elevación de privilegios si un proceso ha sido atacado?

36. Aplicando STRIDE

37. Mitigación de Amenazas

38. Priorización de Amenazas • Utilización del modelo de análisis de riesgo (DREAD) para asignar las prioridades a las áreas mas criticas basado en sus amenazas • Priorizar mitigaciones de seguridad • Priorizar revisiones periódicas • Estrategias de reutilización

39. Pruebas de los planes de mitigación a amenazas • Necesidad plan de prueba para cada amenaza • Pruebas básicas de acceso y funcionalidad • Pruebas intrusivas • El modelo de amenazas dirige el plan de pruebas • Proceso de fin a fin

40. Probando el plan de mitigación de amenazas • Spoofing • Autenticación • Intento de cracking, replay, ver datos “en la red física” • Almacenamiento seguro de las credenciales • Intentar compromiso de acceso a información • Tampering • Intentar ingresar sin autenticacion • Intentar de invalidar/modificar “hashes” firmas

41. Probando el plan de mitigación de amenazas • Repudiation • Intentar de eludir la autenticación/autorización • Intentar Evitar firmas • Intento de evitar bitácoras, o bien escribir bitácoras falsas • Information Disclosure • Intento de acceso a información no autorizada • Intentar de ver el dato en la red (eavesdropping) • Eliminar un proceso, mirar datos sensitivos • Intento de causar errores de condición, mirar las bitácoras

42. Pruebas de mitigación de amenaza • Denial of Service • Filtrado • Envío de datos mal formados • Consumo de recursos • Elevation of Privilege • No poseer acceso a procesos ejecutándose con altos privilegios

43. Desarrollo de objetivos de seguridad • Elevar el nivel de seguridad de la aplicación • Identificar cuando y como se requiere autenticación o autorización • Identificar donde y como usted necesita para asegurar la comunicación de ambos para su aplicación (desde usuarios finales) y entre aplicaciones de terceros • Identificar dificultadas comunes y como evitarlas • Identificar riesgos principales y su mitigación relacionada a la autenticación y a la autorización • Evitar minimizar la seguridad de hacer cosas para trabajar • Identificar no solamente como y donde, pero también cuando usar varias características de seguridad • Eliminar el miedo, duda e incertidumbre • Promover mejores practicas y obtener resultados predecibles

44. Desarrollo de Principios básicos de Seguridad • Adoptar el principio del mínimo privilegio • Utilizar defensa en profundidad • No confiar en el ingreso de datos de los usuarios • Utilice siempre la seguridad como base de todo proceso de configuración inicial • No confiar en la seguridad por oscuridad • Reducir la superficie de ataque • SI existe una falla que se redirija a un modo seguro

45. Ataque de DJ Hell

46. Policies, Procedures, and Awareness Physical Security Data Application Host Internal Network Perimeter Defensas de Perímetro

47. Policies, Procedures, and Awareness Physical Security Data Application Host Internal Network Perimeter Defensas de Red

48. Policies, Procedures, and Awareness Physical Security Data Application Host Internal Network Perimeter Defensa de Host

49. Policies, Procedures, and Awareness Physical Security Data Application Host Internal Network Perimeter Defensa de Aplicación

50. Policies, Procedures, and Awareness Physical Security Data Application Host Internal Network Perimeter Defensa de Datos