El Cid Campeador

Comentario sobre seguridad, parte 3 (corregido)

Autor: por Altairdiv 19/03/2013

Corrección: corsaria 19/03/2013

El día a día de nuestro administrador consiste en ver las incidencias de los usuarios, que no deberían ser importantes si la política de permisos es adecuada. Generalmente se dividen en fallos de software (bugs, por ejemplo), fallos de hardware (posibles averías) y fallos de formación (procedimiento usado incorrecto, por ejemplo).

Hay otro tipo de incidencias que a nuestro administrador le preocupan más, aquellas que un intruso no quiere que detectemos.

Cuando empecé este “Comentario sobre seguridad” sabía que llegaría esta parte, en la cual se exponen tanto ejemplos de ataque como ejemplos de defensa, y tenía una cosa clara: el peligro que esto supone. Sería relativamente fácil usar la información que voy a poner aquí para acceder ilegalmente a un sistema, lo cual no me haría ninguna gracia. Es por eso que voy a ser deliberadamente difuso sobre algunas cosas.

Por la parte del intruso, tenemos lo siguiente:

Lo primero que hará será buscar un objetivo válido, lo hará buscando hosts uno a uno, por ejemplo usando “ping”. Hay formas de automatizar esto.

Una vez ha localizado un host, intentará saber que sistema operativo usa, la versión y que puertos tiene a la escucha.

Con esa información, hay varias formas de entrar, siendo habituales un password inseguro o un exploit adecuado.

Una vez dentro, borrará las huellas del ataque. Instalará algún software que le permita un acceso futuro más sencillo, o creará una cuenta estándar para “mirar”, o una cuenta con privilegios para moverse con más libertad, etc. Tiene muchas opciones.

Por la parte del administrador, tenemos lo siguiente:

Es posible hacer que una máquina no responda a “ping”, con lo cual permanece encendida y es como si no existiera, el intruso pasa de largo. Hay opciones para ello en el kernel.

Es posible falsear la identidad del sistema operativo y su versión, y por supuesto cambiar los puertos que usan los servicios que se usan. Y lógicamente tener el sistema actualizado.

No deberían existir passwords inseguros.

Ante un ataque con éxito hay formas de minimizar los posibles daños. Por ejemplo:

- El superusuario no tiene porqué tener acceso a todo, es posible hacer que el propio kernel IMPIDA al root la realización de acciones delicadas o críticas, tales como obtener información.

- Es posible controlar que determinados archivos, como los de configuración, no hayan sido alterados. También se puede impedir que sean leídos por usuarios que no deben tener acceso.

- El software debe estar actualizado y bien configurado.

Esto

...