ENSAYO DE NOCIONES DE SEGURIDAD INFORMÁTICA, INTELIGENCIA Y CONTRAINTELIGENCIA

ENSAYO - NOCIONES DE SEGURIDAD INFORMÁTICA, INTELIGENCIA Y CONTRAINTELIGENCIA

Los Estándares de Categorización de Sistemas de Información e Información Federal establecen un enfoque acerca de las categorías de seguridad para una organización y sistemas de información. Estas categorías se basan en el impacto potencial que tengan en la organización. (Grance, Hash, & Stevens, 2004)

En cuestiones de seguridad, es difícil que se invente algo nuevo u original al realizar las decisiones en condiciones de incertidumbre. El enfoque estándar es construir modelos de otros campos y tomar en cuenta opiniones de expertos para tener la información necesaria. (Jaquith, 2007)

Hay 3 variables o parámetros que determinan el estado de un sistema informático, estos son:

[pic 1] Confidencialidad: Los recursos del sistema solo pueden ser accedidos por los elementos autorizados.

[pic 2] Integridad: Los recursos del sistema solo pueden ser modificados o alterados por los elementos autorizados.

[pic 3] Disponibilidad: Los recursos del sistema deben permanecer accesibles a los elementos autorizados.

Los cuales se consideran los tres aspectos fundamentales de la

seguridad informática. (Carvajal, 2007)

Establecido lo anterior como base fundamental de la seguridad informática, es indispensable para el administrador de sistemas conocer cada una de las vulnerabilidades inherentes a cualquier sistema operativo. Un precedente idóneo es conocer los tipos de ataques a los que puede ser sujeto dicho sistema:

[pic 4] Modificación: Buscan comprometer la confidencialidad y la integridad del sistema, por ejemplo cuando un atacante modifica una página web de una organización sin previa autorización.

[pic 5] Fabricación: comprometen la integridad del sistema por ejemplo al insertar un nuevo usuario en el sistema operativo.

[pic 6] Interceptación: Busca comprometer la confidencialidad del sistema, un ejemplo son los key loggers y los Sniffers.

[pic 7] Interrupción: Comprometen la propiedad de disponibilidad de la información, un ejemplo son los ataques de denegación de servicios o DoS.

Estadísticamente, a medida que pasan los años es más fácil hacer un ataque por que estos estarán cada vez mejor documentados y automatizados, siendo este hecho ilustrado en la Figura 2.1 (Carvajal, 2007), donde se puede apreciar un antecedente histórico de la evolución de los ataques informáticos en función de su dificultad y sofisticación.

[pic 8]

Figura 2.1: Relación entre dificultad y sofisticación de ataques informáticos.

El ámbito legal de estos aspectos de seguridad a menudo conduce a problemas técnicos los cuales no han sido completamente comprendidos ni estandarizados dentro de un marco legal apropiado. (Awad, Hassanien, & Baba, 2013)

Es por ello que las acciones que se pueden tomar para prevenir diversos ataques informáticos están todavía sin definir de manera completa y concreta.

Actualmente las organizaciones tienen medidas reactivas contra los ataques, se crean trampas para el momento en que se produce un ataque y además se dispone de herramientas para capturar el tráfico que pasa por un segmento de red. El otro lado de la exploración de vulnerabilidades es usarlas como medidas preventivas y para ello, lo que se busca saber es cuán vulnerable son las máquinas de una organización. (Awad et al., 2013)

Todos los días, nuevas herramientas de hacking, técnicas y métodos llegan al mundo con una ferocidad creciente. Una persona simplemente no puede mantenerse al tanto de cada una de ellas y de la amenaza potencial que representan. Esto nos lleva a dos aspectos fundamentales, se debe aprender a pensar como los atacantes y se debe poseer un conocimiento técnico profundo de la realidad en seguridad informática. (McClure, Scambray, Kurtz, & Kurtz, 2009)

Analizando la seguridad de los sistemas operativos, expertos en el área se han hecho la siguiente pregunta: “Si un sistema operativo tiene una vulnerabilidad de seguridad, pero nadie la conoce, ¿es inseguro?”; dichos expertos han concluido que un sistema operativo con una vulnerabilidad de seguridad es inseguro para aquellos que la conocen. Si nadie la conoce (como en el caso de una vulnerabilidad que no ha sido clasificada aún) entonces el sistema operativo es seguro. Pero basta con que una persona conozca tal vulnerabilidad para que el sistema sea inseguro para él, pero seguro para cualquier otro. Comienza con que el fabricante conozca la vulnerabilidad, posteriormente la conoce el administrador, los expertos en seguridad, etc. De ésta manera la inseguridad del sistema aumenta a medida que las noticias sobre la vulnerabilidad salen a la luz. (Harris & Hunt, 1999)

Otro aspecto importante a considerar es que hay niveles y grados de complejidad al trabajar con computadoras y software, los cuales poca gente comprende de manera completa. Los programadores generalmente tienen un punto de vista de que pueden escribir código correctamente en todo momento, lo cual raras veces ocurre. Al ser esto un error común, es un aspecto indispensable a ser trabajado. (Viega & Messier, 2003)

Respecto al cifrado de datos es también una característica de seguridad importante en áreas fuera de la capa de red, sin embargo, muchos administradores respaldan los datos en servidores que podrían no ser tan seguros, aspecto que es muy importante tener en cuenta para asegurar la información. (Rhodes-Ousley, 2013)

Respecto a los ataques que resultan efectivos, desde luego están aquellos que utilizan el factor humano como medio para acceder al sistema, convenciendo a la víctima de mandar tráfico de datos de salida a través del atacante, lo cual puede ocasionar pérdidas catastróficas de información. Para ello se requiere que el atacante tenga un cliente conectado a la misma red, sin embargo es un suceso que ocurre frecuentemente en un gran número de organizaciones. (Ram & Sak, 2016)

La motivación y los recursos para llevar a cabo un ataque es lo que hace a los humanos fuentes potenciales de amenazas. Esta información es útil para organizaciones que estudian el factor humano como riesgo potencial de los sistemas informáticos. (Stoneburner et al., 2002)

...