Proyecto Final Auditoria Informatica

[pic 1]

Proyecto Final

Ulises Aburto Scavo

Audotoría Informática

Instituto IACC

Noviembre 14 de 2016

        Su empresa Auditoría Inc. desea participar de una licitación privada del Banco IACC en la que solicitan realizar una auditoría informática de red interna y perimetral que incluya:

• 100 estaciones de trabajo con Windows 7.
• 5 bases de datos Oracle con Sistema Operativo Redhat Enterprise 5.
• 2 firewalls (uno interno y otro externo).
• 1 router perimetral.
• 1 data center donde se encuentran todos los servidores.

• Enlaces redundantes entre las oficinas y el data center.

        Para participar y adjudicársela, usted debe construir una propuesta técnica en la cual explique el objetivo y alcance de la auditoría, la metodología de trabajo que utilizará, un plan de trabajo con un programa y las actividades a desarrollar.

        Finalmente como anexo debe incluir lo siguiente:

Detalle de pruebas a realizar por cada dispositivo (herramientas, checklist, etc.).

        La auditoría de Red, tanto de red interna, como de red perimetral, busca determinar si existen problemas de comunicación que puedan afectar el desempeño de cada operador, usuario o dispositivo, gracias a éste procedimiento podemos recomendar mejoras en su infraestructura o determinar e informar si las condiciones son óptimas o deficientes. Busca posibles filtraciones de información interna o externa, intencionada o accidental, provocada por agentes internos o externos.

        Nuestra auditoría determinará si sus estaciones de trabajo, sus servidores, dispositivos de red o si el data center, cuentan con las características técnicas necesarias, y si el rendimiento es consistente con las características técnicas debido a diversos factores, que puedan estar afectando, accidental o intencionadamente a su red.

        Determinaremos si la seguridad en su red interna y externa se encuentra brindando la protección necesaria, al igual que su sistema antivirus y en general, se revisará que cada dispositivo se encuentre dentro de los parámetros esperados por vuestra corporación.

        La metodología de trabajo que será utilizada se denomina técnica asistida por computadora y se examinarán todos los equipos de la red, el trabajo de auditoría se divirá en cuatro secciones: inspección física (data center, equipos, servidores y dispositivos en general), inspección lógica (sistemas, firmwares, actualizaciones y software en general), Auditoría de Red y generación de informe.

        En la inspección física, se procederá a revisar equipo por equipo, cada uno de ellos y se realizará un inventario completo, como se detallará al final de esta propuesta, en el anexo “detalle de pruebas por cada dispositivo”, realizaremos revisión del data center y se creará un daigrama detallado, si no existiese uno, incluyendo firewall, routers, switchs y cualquier otro dispositivo de la red y finalmente se realizará revisión del o los servidores.

        El detalle de inspección lógica, que en las estaciones de trabajo se realizará conjuntamente con la inspección física, se procederá a revisar el sistema operativo, que de acuerdo a los parámetros entregados en la solicitud de la auditoría, todas las estaciones de trabajo cuentan con Windows 7, se procederá a revisar la versión instalada y el service pack, que tipo de licencia contiene (starter, home, professional o ultimate) y si el sistema instalado es de 64 o 32 bits, si tuviese este último, de 32 bits, se procederá a revisar si el hardware del equipo tiene la capacidad de instalar un sistema operativo de 64 bits. Otro parámetro que se incluirá en la inspección lógica, será la auditoría de los enlaces redundantes existente entre las oficinas y el data center, por lo general, estos enlaces no funcionan correctamente cuando la configuración que se ha realizado no es correcta, deberán ser auditados todos los parámetros configurados y se procederá a crear un mapa de la red, si no existiese, donde se especificarán todos los equipos con sus respectivas IP’s y MAC. Revisaremos los firewalls, descargaremos los registros estadisticos y se procederá a revisar el tipo de soporte proporcionado por el representante y/o proveedor, el firmware y si efectivamente tiene la capacidad para albergar a todos los usuarios de la red, contando los equipos o estaciones de trabajo, dispositivos de red, dispositivos móviles conectados (si los hubiere) y en general, cualquier dispositivo que requiera ser supervisado por los firewalls. EL router perimetral será auditado en cuanto a sus prestaciones y sus servicios, en muchos casos existen servicios que no son necesarios y ralentizan la red, dentro de los servicios perimetrales que ofrece un router perimetral se encuentran las conexiones a distintos proveedores, como ISP o proveedores de servicios de internet, nubes o clouds, las cuales permiten realizr respaldos en una nube que puede ser interna o externa. En el data center se revisará si existen un proceso automatizado para respaldar la información, con que periodicidad se realiza éste proceso y que información abarca, deberá ser auditado, también, el proceso de recuperación, que sistemas comprende, la velocidad con que el sistema es puesto en marcha, luego de un catastro y cuanto tiempo requiere el respaldo para que sea restaurado, y en caso que la información no sea totalmente respaldada, que será necesari para que el proceso comprenda toda la información o cuanto tiempo será requerido para restaurar el total de la información. El o los servidores de bases de datos cuentan con sistema oeprativo RedHat Enterprise 5, por lo informado en el requerimiento de la auditoría, en el proceso lógico, determinaremos la seguridad configurada en el o los servidores, la cuentas de usuario y la forma como se accesado para la obtención de recursos, si es de manera solo interna o incluye algún enlace externo mediante alguna aplicación o mediante una VPN o red privada virtual. Las bases de datos Oracle poseen distintas instancias que permiten a los auditores verificar el funcionamiento  de éstas, sin embargo, existe la posibilidad que las tablas de auditorías de las bases de datos Oracle no esten activadas, en caso que no lo esten, será informado y propuesto al administrador que las active y en caso contrario (normalmente estan activadas) se revisarán para verificar la información que contiene.

...