Implementación de Sistemas de Información Seguros Cristian Mora Aguilar, CISSP, CISM, MCSE+Security crismora@microsoft.com crismora@microsoft.com Security

  • View
    21

  • Download
    18

Embed Size (px)

Text of Implementación de Sistemas de Información Seguros Cristian Mora Aguilar, CISSP, CISM,...

  • Diapositiva 1
  • Implementacin de Sistemas de Informacin Seguros Cristian Mora Aguilar, CISSP, CISM, MCSE+Security crismora@microsoft.com crismora@microsoft.com Security Consultant Microsoft Security Center of Excellence, SCoE
  • Diapositiva 2
  • Agenda Conceptos bsicos de seguridad Triada de Seguridad CIA Seguridad en Aplicaciones: Ms que un problema Tecnolgico Componentes bsicos para de Seguridad Arquitectura Administracin de Riesgo Defensa en profundidad Seguridad en Aplicaciones Modelo de Amenazas (Threat Modeling) y STRIDE Herramientas: FXCop Caso de Estudio DJ Hell Defacement
  • Diapositiva 3
  • Triada de Seguridad CID Confidencialidad Integridad Disponibilidad Seguridad Confidencialidad IntegridadDisponibilidad
  • Diapositiva 4
  • Seguridad de Aplicaciones: Ms que un problema Tecnolgico Procesos Operaciones Tecnologas
  • Diapositiva 5
  • Modelo de Infraestructura Tecnolgico y WSSRA
  • Diapositiva 6
  • El Problema Tecnolgico Crecimiento informal Administracin lenta y Compleja de los componentes
  • Diapositiva 7
  • Ambiente de Infraestructura
  • Diapositiva 8
  • Arquitectura de Referencia
  • Diapositiva 9
  • Zonas de Seguridad
  • Diapositiva 10
  • Segmentacin de Redes
  • Diapositiva 11
  • Almacenamiento
  • Diapositiva 12
  • Componentes bsicos de Servicios de Red
  • Diapositiva 13
  • Servicios de Aplicacin
  • Diapositiva 14
  • Servicios de Administracin
  • Diapositiva 15
  • Servicios Pblicos y Clientes
  • Diapositiva 16
  • Anlisis de Riesgo
  • Diapositiva 17
  • Administracin de Riesgos y soporte para decisiones Riesgo NO Aceptable Riesgo Aceptable El equipo de Seguridad de informacin define la probabilidad Ejecucin de la vulnerabilidad Impacto al negocio BajoAlto Alto El equipo de negocios define el impacto La administracin de riesgo define un nivel aceptable del mismo
  • Diapositiva 18
  • Ambiente de Seguridad Ambiente Dispositivos Clientes Servidores FsicoRedServidor AppsDatos Defensa en profundidad Amenazas de Seguridad de TI Amenazas
  • Diapositiva 19
  • Anlisis de Riesgo Ambiente de Seguridad Seguridad Dispositivos Clientes Servidores FsicoRedServidor Apps Datos Defensa en Profundidad Evaluacin de riesgo en cada capa Evaluacin de riesgo en cada capa Mejor visin de la situacin actual Mejor visin de la situacin actual Cada seccin tiene una clasificacin de riesgo y un plan de mitigacin Cada seccin tiene una clasificacin de riesgo y un plan de mitigacin No Aceptable Control en Progreso Aceptable
  • Diapositiva 20
  • Resultado de Anlisis de Riesgo Ambiente de Seguridad Seguridad Dispositivos Clientes Servidores FsicoRedServidor Apps Datos Defensa en Profundidad
  • Diapositiva 21
  • Ambiente de Seguridad Seguridad Dispositivos Clientes Servidores FsicoRedservidor Apps Datos Defensa en Profundidad Implementacin de Soluciones Solucin
  • Diapositiva 22
  • Plan de Evaluacin de Resultados Ambiente de Seguridad Seguridad Dispositivos Clientes Servidores FsicaRedServidor Apps Datos Defensa en Profundidad
  • Diapositiva 23
  • Diapositiva 24
  • Medidas de control segmentadas en capas de proteccin Aplica medidas de control en cada capa de cada componente que interacta en una solucin, desde la capa de permetro hasta la capa de datos Reduce la posibilidad de un nico punto de vulnerabilidades cuando el sistema es atacado Reduccin del riesgo por: Anlisis de vulnerabilidades presentes en los sistemas Anlisis de amenazas presentes que pueden tomar ventaja de esas vulnerabilidades Implementacin de los medidas de control apropiadas en cada capa
  • Diapositiva 25
  • Defensa en Profundidad Polticas, procedimientos, Concientizacin Seguridad Fsica Permetro Red Servidor Aplicacin Datos
  • Diapositiva 26
  • Como minimizar la superficie de ataque? Aseguramiento del SO, Autenticacin, Actualizaciones de OS, Detector de Intrusos local Muros de fuego, Control de acceso de Cuarentena Guardas, Cerrojos, Dispositivos de monitoreo Segmentacin de Red, IPSec, Detector de Intrusos dered Aseguramiento de App, Antivirus Listas de Acceso, Encriptacin, EFS Documentacin de Seguridad, Educacin al Usuario Polticas, Procedimientos, Concientizacin Seguridad Fsica Permetro Red Interna Servidor Aplicacin Datos
  • Diapositiva 27
  • Seguridad en aplicaciones
  • Diapositiva 28
  • Amenazas de Seguridad ms comunes
  • Diapositiva 29
  • Vulnerabilidades por Aos Data Source: Secunia ( http://secunia.comhttp://secunia.com
  • Diapositiva 30
  • Seguridad en la arquitectura Seguridad en el modelo de desarrollo Estrategia SD 3 Seguridad en el diseo por capas Holstica de la seguridad Seguridad en el modelo de desarrollo Estrategia SD 3 Seguridad en el diseo por capas Holstica de la seguridad
  • Diapositiva 31
  • Seguridad en el modelo de desarrollo Planes de pruebas completados Diseoscompletados Concepto Cdigocompletado Entrega Despus de la entrega Security push Preguntas durante las entrevistas Determinar los criterios de validacin de la seguridad Revisin externa Analizar amenazas Aprender y refinar Revisin del equipo de seguridad Entrenar a los miembros del equipo Pruebas de mutacin de datos y mnimos privilegios Revisar defectos anteriores, comprobar registros directrices de programacin segura, usar herramientas =continuo
  • Diapositiva 32
  • Modelo de anlisis de Riesgos Entender las amenazas hacia las aplicaciones/sistema Uso de modelo de riesgo para identificar riesgos Diferente a la fase de pruebas y servicios Consideraciones de diseo de alto nivel Permite una mitigacin proactiva de la mitigacin de amenazas
  • Diapositiva 33
  • Proceso para el Modelo de analisis de riesgo Crear un modelo de la aplicacin (UML, DFD, etc.) Utilizar STRIDE para categorizar los tipos de amenazas Para cada destino de ataque S poofing, T ampering, R epudiation, I nformation disclosure, D oS, E levation of privilege Construccin de un arbol de amenazas Categorizar las amenazas con DREAD D amage potential, R eproducibility, E xploitability, A ffected users, D iscoverability
  • Diapositiva 34
  • rbol de Amenazas
  • Diapositiva 35
  • Para cada proceso en el Modelo Es el proceso susceptible a spoofing? Puede ser el proceso alterado? Existe la posibilidad de manejar no repudio en la aplicacin? Pueden un ataque resultar en la vista no autorizada de los datos? Puede un ataque de DoS deshabilitar el proceso? Puede ser ejecutado la elevacin de privilegios si un proceso ha sido atacado?
  • Diapositiva 36
  • Aplicando STRIDE Procesos Afectados Afecta datos almacenados Afecta en interacci n Afecta el flujo de datos S T R I D E
  • Diapositiva 37
  • Mitigacin de Amenazas Tcnicas de Mitigacin S Autenticacin, Almacenamiento de credenciales seguras T Autorizacin, firmas digitales R Autenticacin, autorizacin, firmas digitales, bitcoras I Autorizacin, Encriptacin D Filtrado, Autenticacin, Autorizacin E No utilizar identidades las cuales tienen altos niveles de privilegios
  • Diapositiva 38
  • Priorizacin de Amenazas Utilizacin del modelo de anlisis de riesgo (DREAD) para asignar las prioridades a las reas mas criticas basado en sus amenazas Priorizar mitigaciones de seguridad Priorizar revisiones peridicas Estrategias de reutilizacin
  • Diapositiva 39
  • Pruebas de los planes de mitigacin a amenazas Necesidad plan de prueba para cada amenaza Pruebas bsicas de acceso y funcionalidad Pruebas intrusivas El modelo de amenazas dirige el plan de pruebas Proceso de fin a fin
  • Diapositiva 40
  • Probando el plan de mitigacin de amenazas S poofing Autenticacin Intento de cracking, replay, ver datos en la red fsica Almacenamiento seguro de las credenciales Intentar compromiso de acceso a informacin T ampering Intentar ingresar sin autenticacion Intentar de invalidar/modificar hashes firmas
  • Diapositiva 41
  • Probando el plan de mitigacin de amenazas R epudiation Intentar de eludir la autenticacin/autorizacin Intentar Evitar firmas Intento de evitar bitcoras, o bien escribir bitcoras falsas I nformation Disclosure Intento de acceso a informacin no autorizada Intentar de ver el dato en la red ( eavesdropping ) Eliminar un proceso, mirar datos sensitivos Intento de causar errores de condicin, mirar las bitcoras
  • Diapositiva 42
  • Pruebas de mitigacin de amenaza D enial of Service Filtrado Envo de datos mal formados Consumo de recursos E levation of Privilege No poseer acceso a procesos ejecutndose con altos privilegios
  • Diapositiva 43
  • Desarrollo de objetivos de seguridad Elevar el nivel de seguridad de la aplicacin Identificar cuando y como se requiere autenticacin o autorizacin Identificar donde y como usted necesita para asegurar la comunicacin de ambos para su aplicacin (desde usuarios finales) y entre aplicaciones de terceros Identificar dificultadas comunes y como evitarlas Identificar riesgos principales y su mitigacin relacionada a la autenticacin y a la autorizacin Evitar minimizar la

Recommended

View more >