REPBLICA BOLIVARIANA DE VENEZUELAMINISTERIO DEL PODER POPULAR PARA LA EDUCACIN SUPERIOR

INSTITUTO UNIVERSITARIO DE TECNOLOGA AGROINDUSTRIALPNF EN INFORMATICA

COLN ESTADO TCHIRA

SEGURIDAD LGICA Y FISICA

Integrante: Jos G. Morales P

C.I 24779739

Profesora: Lisby Mora

San Juan de Coln Mayo de 2015

INTRODUCCIN

Para muchos la seguridad sigue siendo el rea principal a auditoria, hasta elpunto de que algunas identidades se crearon inicialmente la funcin de auditoriainformtica para revisar la seguridad, aunque despus se hayan ido ampliados losobjetivos.

La nueva denominacin abarca globalmente los sistemas de informacin:desde la aplicacin, el alimento con la estrategia de las entidades, hasta lossistemas de informacin y el aprovechamiento de la tecnologa de la informacin.

La expresin de seguridad informtica, que es la ms usada, puede llegar arelacionarse solo con los equipos y entornos tcnicos, como si la informacin enotros soportes y ambiente no requiera proteccin, cuando son las propiasoperaciones de la entidad, el negocio de la entidades con nimo de lucro, lo querequiere proteccin.

Es muy importante ser consciente que por ms que un sistema queconsideremos que sea el ms seguro desde el punto de vista de ataques externos,Hackers, virus, etc. la seguridad del mismo ser nula si no se ha previsto comocombatir un incendio.

La seguridad integral (fsica y lgica) es uno de los aspectos ms olvidados a lahora del diseo de un sistema informtico. Si bien algunos de los aspectostratados a continuacin se prevn, otros, como la deteccin de un atacante internoa la empresa que intenta a acceder fsicamente a una sala de operaciones de lamisma, no por lo tanto el diagnostico de seguridad en un sistema informtico de unusuario o una organizacin tiene que ser tan importante a como lo es lainformacin que reposa en el mismo. A continuacin, se dar a conocer unasntesis de los aspectos que se deben de tener en consideracin para optimizar laseguridad de un activo informtico.

Seguridad fsica y seguridad lgica

La seguridad fsica:

La seguridad fsica de un sistema informtico consiste en la aplicacin debarreras fsicas y procedimientos de control frente a amenazas fsicas al hardware.

Este tipo de seguridad est enfocado a cubrir las amenazas ocasionadas tantopor el hombre como por la naturaleza del medio fsico en que se encuentraubicado el sistema. Las principales amenazas que se prevn son:

Desastres naturales, incendios accidentales y cualquier variacin producida porlas condiciones ambientales.

Amenazas ocasionadas por el hombre como robos o sabotajes.

Disturbios internos y externos deliberados.

Evaluar y controlar permanentemente la seguridad fsica del sistema es la basepara comenzar a integrar la seguridad como funcin primordial del mismo. Tenercontrolado el ambiente y acceso fsico permite disminuir siniestros y tener losmedios para luchar contra accidentes.

Principios de la seguridad fsica

La seguridad fsica consiste en la aplicacin de barreras fsicas, yprocedimientos de control como medidas de prevencin y contra medidas anteamenazas a los recursos y la informacin confidencial, se refiere a los controles ymecanismos de seguridad dentro y alrededor de la obligacin fsica de los

sistemas informticos as como los medios de acceso remoto al y desde el mismo,implementados para proteger el hardware y medios de almacenamiento de datos.Cada sistema es nico, por lo tanto la poltica de seguridad a implementar no seranica es por ello siempre se recomendara pautas de aplicacin general y noprocedimientos especficos.

La seguridad fsica est enfocada a cubrir las amenazas ocasionadas tanto porel hombre como por la naturaleza del medio fsico donde se encuentra ubicado elcentro.

Las principales amenazas que se ven en la seguridad fsica son amenazasocasionadas por el hombre como robos destruccin de la informacin, disturbios,sabotajes internos y externos, incendios accidentales, tormentas e inundaciones.

Control de acceso

El control de acceso no solo requiere la capacidad de identificacin, sinotambin asociar la apertura o cierre de puertas, permitir o negar acceso, basadoen restricciones de tiempo, rea o sector dentro de una organizacin. Es decir severificar el nivel de acceso de cada persona mediante aplicacin de barreras(llave, tarjeta, password).

El servicio de vigilancia es el encargado del control de acceso, de todas laspersonas al edificio, este servicio es el encargado de colocar a los guardias enlugares estratgicos para cumplir con sus objetivos y controlar el acceso delpersonal. A cualquier personal ajeno a la planta se le solicitara completar unformulario de datos personales, los motivos de la visita, hora de ingreso y salida,etc.

El uso de credenciales de identificacin es uno de los puntos ms importantesdel sistema de seguridad, a fin de poder efectuar un control eficaz de ingreso ysalida del personal a los distintos sectores de la empresa, en este caso la persona

se identifica por algo que posee por ejemplo una llave, una tarjeta de identificacino una tarjeta inteligente... Cada una de estas debe tener un pin nico siendo esteel que se almacena en una base de datos que controla el servicio de vigilanciapara su posterior seguimiento si fuera necesario. Su mayor desventaja es queestas tarjetas pueden ser robadas, copiadas, etc...

Estas credenciales se pueden clasificar de la siguiente manera:

Normal o definitiva: para el personal permanente de la empresa,

Temporal: para el personal recin ingresado,

Contratistas: personas ajenas a la empresa que por razones de servicio debeingresar en la misma, visitas: para un uso de horas.

Las personas tambin pueden acceder mediante algo que saben (un nmerode identificacin o un password) que se solicitara a su entrada.

Los datos introducidos se contrastaran contra una base de datos donde sealmacenan los datos de las personas autorizadas. Este sistema tiene ladesventaja que generalmente se eligen identificadores sencillos o bien se olvida oincluso la base de datos pueden ser alteradas o robadas por personas noautorizadas, la principal desventaja de la aplicacin del personal de guardia es queeste puede llegar a ser sobornado para dar acceso o incluso poder salir conmateriales no autorizados, esta situacin de soborno puede ocurrir frecuentementepor lo que es recomendable la utilizacin de sistemas biomtricos para el controlde acceso.

Sistemas biomtricos

Definimos la biometra como la parte de la biologa que estudia de formacuantitativa la variabilidad individual de los seres vivos utilizando mtodosestadsticos. La biometra es una tecnologa que realiza mediciones de forma

electrnica, guardad compara caractersticas nicas, para la identificacin depersonas.

La forma de identificacin consiste en la comparacin de caractersticas fsicasde cada persona, por un patrn conocido y almacenado en una base de datos. Loslectores biomtricos que identifican a la persona por lo que es manos, ojos,huellas digitales y voz.

Beneficios de una tecnologa biomtrica:

Pueden eliminar la necesidad de poseer una tarjeta para acceder y de unacontrasea difcil de recordar o que finalmente acabe escrita en una papel y visiblepara cualquier persona.

Los costes de administracin son mas pequeos se realizan un mantenimientodel lector y una persona se encarga de mantener una base de datos. Adems lascaractersticas biomtricas son intransferibles a otra persona.

La emisin de calor: Se mide la emisin de calor del cuerpo (termo-grama)realizando un mapa de valores sobre la forma de cada persona.

Huella digital: Pasado en el principio no existe dos huellas digitales idnticas,este sistema viene siendo usado desde el siglo pasado con excelentes resultados.Cada huella digital posee pequeos arcos, ngulos, bucles, remolinos llamadosminucias. Caractersticas y la posicin de cada una de ellas es lo analizado paraestablecer la identificacin de una persona. Esta testado que cada persona posee30 minucias y que dos personas no tiene ms de 8 minucias iguales de lo quehace el mtodo sumamente fiable.

Verificacin de la voz: La emisin de una o ms frases es grabada y en elacceso se compara la voz, entonacin, diptongos, agudeza, etc.... Este sistema esmuy sensible a factores externos como el ruido, el estado de nimo,enfermedades, envejecimiento, etc.

Verificacin de patrones oculares: Estos modelos esta basados en los patronesdel iris o la retina y en estos momentos son los considerados en lo ms eficaces.Su principal resistencia por parte de las personas a que les analice los ojos porrebelarse en las mismas enfermedades que en ocasiones se quieran mantener ensecreto.

Verificacin automtica de firmas: Mientras es posible para que falsificadorproducir una buena copia visual o facesinin es extremadamente difcil reproducirlas dinmicas de una persona, por ejemplo, las firmas que genuinas con exactitud.

Esta tcnica usada visiones acsticas toma los datos del proceso dinmico defirmas o de escribir.

La secuencia sonora de emisin acstica generada en el proceso de escribirconstituye un patrn que es nico en cada individuo. EL patrn contieneinformacin expresa sobre la manera en que la escritura es ejecutada, elequipamiento de coleccin de firmas es inherentemente de bajo coste y robusto,excepcionalmente consta de un bloque de metal por un otro material conpropiedades acsticas similares y una computadora con bases de datos conpatrones de firmas asociadas a cada usuario.

Existe unas otras soluciones a la biometra ms complejas y menos usadas enacceso a organizaciones o a un sistema informtico concreto como son lageometra de las manos y el reconocimiento facial.

Proteccin electrnica

Se llama as a la deteccin de robo, intrusin, asalto e incendios mediante lautilizacin de sensores conectados a centrales de alarmas. Estas centrales tienenconectado los elementos de sealizacin que son los encargados de hacer saberal personal de una situacin de emergencia.

Cuando uno de los elementos sensores detectan una situacin de riesgo estostransmiten inmediatamente el aviso a la central, esta procesa la informacinrecibida, y ordena en repuesta la emisin de seales sonoras o luminosasalertando de la situacin, todos estos elementos poseen un control contra sabotajede manera que si en algn elemento se corta la alimentacin o se produce larotura de algunos de sus componentes se enviaran una seal a la central dealarma para que esta acciones los elementos de sealizacin correspondiente.

Las barreras infrarrojas y de microondas: Transmiten y reciben haces de lucesinfrarrojas y de microondas respectivamente. Se codifican por medio de pulsoscon el fin de evadir los intentos de sabotaje. Estas barreras estn compuesta por

un emisor y un receptor de igual tamao y apariencia externa. Cuando el haz esinterrumpido se activa el sistema de alarma y luego vuelve al estado de alerta,estas barreras son inmunes a fenmenos aleatorios como calefaccin, luzambiental, vibraciones, movimientos de masas de aire, etc

Detector ultrasnico: Este equipo utiliza ultrasonidos para crear un campo deondas. De esta manera cualquier movimiento, que realice un cuerpo dentro delespacio protegido generara una perturbacin en dicho campo que accionara laalarma, este sistema posee un circuito refinado que elimina las falsas alarmas, lacobertura puede llegar a un mximo de 40 metros cuadrados.

Circuitos cerrados de televisin (CCTV): Permite el control de todo lo quesucede en la planta segn lo captado por las cmaras estratgicamentecolocadas. Los monitores de estos circuitos deben estar ubicados en un sector dealta seguridad. Las cmaras pueden estar a la vista para ser utilizadas comomedidas disuasivas u ocultas para evitar que el intruso sepa que est siendocaptado.

Condiciones ambientales

Normalmente se recibe por anticipado los avisos de tormentas, tempestades,tifones y catstrofes ssmicas. Las condiciones atmosfricas severas se asocian aciertas partes del mundo y la probabilidad de que ocurran est documentada.

La frecuencia y severidad de su ocurrencia debe ser tenidas en cuenta aldecidir la construccin de un edificio. La comprobacin de los informes

meteorolgicos o la existencia de un servicio de una tormenta severa permiten quese tomen precauciones adicionales tales como la retirada de objetos mviles, laprovisin de calor, iluminacin o combustible para la emergencia.

Los incendios: Son causados por el uso inadecuado de combustible, fallo de lainstalacin elctrica defectuosa y el inadecuado almacenamiento y traslado desustancias peligrosas. El fuego es una de las principales amenazas contra laseguridad es considerado el enemigo nmero uno de las computadoras.Desgraciadamente los sistemas contra fuego dejan mucho que desear causandocasi igual dao que el propio fuego. El dixido de carbono actual alternativa alagua resulta peligroso para los empleados si quedan atrapados.

Seguridad Lgica

Luego de ver como nuestro sistema puede verse afectado por la falta deSeguridad Fsica, es importante recalcar que la mayora de los daos que puedesufrir un centro de cmputos no ser sobre los medios fsicos sino contrainformacin por l almacenada y procesada.

As, la Seguridad Fsica, slo es una parte del amplio espectro que se debecubrir para no vivir con una sensacin ficticia de seguridad. Como ya se hamencionado, el activo ms importante que se posee es la informacin, y por lotanto deben existir tcnicas, ms all de la seguridad fsica, que la aseguren.Estas tcnicas las brinda la Seguridad Lgica.

Es decir que la Seguridad Lgica consiste en la "aplicacin de barreras yprocedimientos que resguarden el acceso a los datos y slo se permita acceder aellos a las personas autorizadas para hacerlo."

Existe un viejo dicho en la seguridad informtica que dicta que "todo lo que noest permitido debe estar prohibido" y esto es lo que debe asegurar la SeguridadLgica.

Los objetivos que se plantean sern:

Restringir el acceso a los programas y archivos.

Asegurar que los operadores puedan trabajar sin una supervisin minuciosa yno puedan modificar los programas ni los archivos que no correspondan.

Asegurar que se estn utilizados los datos, archivos y programas correctos en ypor el procedimiento correcto.

Que la informacin transmitida sea recibida slo por el destinatario al cual hasido enviada y no a otro.

Que la informacin recibida sea la misma que ha sido transmitida.

Que existan sistemas alternativos secundarios de transmisin entre diferentespuntos.

Que se disponga de pasos alternativos de emergencia para la transmisin deinformacin.

Controles de Acceso

Estos controles pueden implementarse en el Sistema Operativo, sobre lossistemas de aplicacin, en bases de datos, en un paquete especfico de seguridado en cualquier otro utilitario.

Constituyen una importante ayuda para proteger al sistema operativo de la red,al sistema de aplicacin y dems software de la utilizacin o modificaciones noautorizadas; para mantener la integridad de la informacin (restringiendo lacantidad de usuarios y procesos con acceso permitido) y para resguardar lainformacin confidencial de accesos no autorizados.

Asimismo, es conveniente tener en cuenta otras consideraciones referidas a laseguridad lgica, como por ejemplo las relacionadas al procedimiento que se llevaa cabo para determinar si corresponde un permiso de acceso (solicitado por unusuario) a un determinado recurso. Al respecto, el National Institute for Standarsand Technology (NIST)(1) ha resumido los siguientes estndares de seguridad quese refieren a los requisitos mnimos de seguridad en cualquier sistema:

Identificacin y Autentificacin

Roles

El acceso a la informacin tambin puede controlarse a travs de la funcin orol del usuario que requiere dicho acceso.

Algunos ejemplos de roles seran los siguientes: programador, lder deproyecto, gerente de un rea usuaria, administrador del sistema, etc.

En este caso los derechos de acceso pueden agruparse de acuerdo con el rolde los usuarios.

Transacciones

Tambin pueden implementarse controles a travs de las transacciones, porejemplo solicitando una clave al requerir el procesamiento de una transaccindeterminada.

Limitaciones a los Servicios

Estos controles se refieren a las restricciones que dependen de parmetrospropios de la utilizacin de la aplicacin o preestablecidos por el administrador delsistema.

Un ejemplo podra ser que en la organizacin se disponga de licencias para lautilizacin simultnea de un determinado producto de software para cincopersonas, en donde exista un control a nivel sistema que no permita la utilizacindel producto a un sexto usuario.

Modalidad de Acceso

Ubicacin y Horario

El acceso a determinados recursos del sistema puede estar basado en laubicacin fsica o lgica de los datos o personas.

En cuanto a los horarios, este tipo de controles permite limitar el acceso de losusuarios a determinadas horas de da o a determinados das de la semana.

De esta forma se mantiene un control ms restringido de los usuarios y zonasde ingreso.

Se debe mencionar que estos dos tipos de controles siempre deben iracompaados de alguno de los controles anteriormente mencionados.

Control de Acceso Interno

Control de Acceso Externo

Administracin

Niveles de Seguridad Informtica

El estndar de niveles de seguridad ms utilizado internacionalmente es elTCSEC Orange Book(2), desarrollado en 1983 de acuerdo a las normas deseguridad en computadoras del Departamento de Defensa de los Estados Unidos.

Los niveles describen diferentes tipos de seguridad del Sistema Operativo y seenumeran desde el mnimo grado de seguridad al mximo.

Estos niveles han sido la base de desarrollo de estndares europeos(ITSEC/ITSEM) y luego internacionales (ISO/IEC).

Cabe aclarar que cada nivel requiere todos los niveles definidos anteriormente:as el subnivel B2 abarca los subniveles B1, C2, C1 y el D.

Nivel D

Este nivel contiene slo una divisin y est reservada para sistemas que hansido evaluados y no cumplen con ninguna especificacin de seguridad.

Sin sistemas no confiables, no hay proteccin para el hardware, el sistemaoperativo es inestable y no hay autentificacin con respecto a los usuarios y susderechos en el acceso a la informacin. Los sistemas operativos que responden aeste nivel son MS-DOS y System 7.0 de Macintosh.

Nivel C1: Proteccin Discrecional

Se requiere identificacin de usuarios que permite el acceso a distintainformacin. Cada usuario puede manejar su informacin privada y se hace ladistincin entre los usuarios y el administrador del sistema, quien tiene control totalde acceso.

Muchas de las tareas cotidianas de administracin del sistema slo pueden serrealizadas por este "sper usuario" quien tiene gran responsabilidad en laseguridad del mismo. Con la actual descentralizacin de los sistemas decmputos, no es raro que en una organizacin encontremos dos o tres personascumpliendo este rol. Esto es un problema, pues no hay forma de distinguir entrelos cambios que hizo cada usuario.

A continuacin se enumeran los requerimientos mnimos que debe cumplir laclase C1:

Acceso de control discrecional: distincin entre usuarios y recursos. Se podrndefinir grupos de usuarios (con los mismos privilegios) y grupos de objetos(archivos, directorios, disco) sobre los cuales podrn actuar usuarios o grupos deellos.

Identificacin y Autentificacin: se requiere que un usuario se identifique antesde comenzar a ejecutar acciones sobre el sistema. El dato de un usuario no podrser accedido por un usuario sin autorizacin o identificacin.

Nivel C2: Proteccin de Acceso Controlado

Este subnivel fue diseado para solucionar las debilidades del C1. Cuenta concaractersticas adicionales que crean un ambiente de acceso controlado. Se debellevar una auditoria de accesos e intentos fallidos de acceso a objetos.

Tiene la capacidad de restringir an ms el que los usuarios ejecuten ciertoscomandos o tengan acceso a ciertos archivos, permitir o denegar datos a usuariosen concreto, con base no slo en los permisos, sino tambin en los niveles deautorizacin.

Requiere que se audite el sistema. Esta auditora es utilizada para llevarregistros de todas las acciones relacionadas con la seguridad, como lasactividades efectuadas por el administrador del sistema y sus usuarios.

La auditora requiere de autenticacin adicional para estar seguros de que lapersona que ejecuta el comando es quien dice ser. Su mayor desventaja reside enlos recursos adicionales requeridos por el procesador y el subsistema de discos.

Los usuarios de un sistema C2 tienen la autorizacin para realizar algunastareas de administracin del sistema sin necesidad de ser administradores.

Permite llevar mejor cuenta de las tareas relacionadas con la administracin delsistema, ya que es cada usuario quien ejecuta el trabajo y no el administrador delsistema.

Nivel B1: Seguridad Etiquetada

Este subnivel, es el primero de los tres con que cuenta el nivel B. Soportaseguridad multinivel, como la secreta y ultra secreta. Se establece que el dueodel archivo no puede modificar los permisos de un objeto que est bajo control deacceso obligatorio.

A cada objeto del sistema (usuario, dato, etc.) se le asigna una etiqueta, con unnivel de seguridad jerrquico (alto secreto, secreto, reservado, etc.) y con unascategoras (contabilidad, nminas, ventas, etc.).

Cada usuario que accede a un objeto debe poseer un permiso expreso parahacerlo y viceversa. Es decir que cada usuario tiene sus objetos asociados.

Tambin se establecen controles para limitar la propagacin de derecho deaccesos a los distintos objetos.

Nivel B2: Proteccin Estructurada

Requiere que se etiquete cada objeto de nivel superior por ser padre de unobjeto inferior.

La Proteccin Estructurada es la primera que empieza a referirse al problemade un objeto a un nivel ms elevado de seguridad en comunicacin con otro objetoa un nivel inferior.

As, un disco rgido ser etiquetado por almacenar archivos que son accedidospor distintos usuarios.

El sistema es capaz de alertar a los usuarios si sus condiciones deaccesibilidad y seguridad son modificadas; y el administrador es el encargado defijar los canales de almacenamiento y ancho de banda a utilizar por los demsusuarios.

Nivel B3: Dominios de Seguridad

Refuerza a los dominios con la instalacin de hardware: por ejemplo elhardware de administracin de memoria se usa para proteger el dominio deseguridad de acceso no autorizado a la modificacin de objetos de diferentesdominios de seguridad.

Existe un monitor de referencia que recibe las peticiones de acceso de cadausuario y las permite o las deniega segn las polticas de acceso que se hayandefinido.

Todas las estructuras de seguridad deben ser lo suficientemente pequeascomo para permitir anlisis y testeos ante posibles violaciones.

Este nivel requiere que la terminal del usuario se conecte al sistema por mediode una conexin segura.

Adems, cada usuario tiene asignado los lugares y objetos a los que puedeacceder.

Nivel A: Proteccin Verificada

Es el nivel ms elevado, incluye un proceso de diseo, control y verificacin,mediante mtodos formales (matemticos) para asegurar todos los procesos querealiza un usuario sobre el sistema.

Para llegar a este nivel de seguridad, todos los componentes de los nivelesinferiores deben incluirse. El diseo requiere ser verificado de forma matemtica ytambin se deben realizar anlisis de canales encubiertos y de distribucinconfiable. El software y el hardware son protegidos para evitar infiltraciones antetraslados o movimientos del equipamiento.

CONCLUSIN

Aunque las implantaciones de la seguridad van siendo ms sofisticados yllegando a reas o aspectos casi desconocidos hace aos, esto no implica queestn plenamente resueltos lo ms bsicos: encontramos bastantes deficienciasen controles fsicos, no tanto porque no existan cuanto por las brechas odescuidos que se pueden encontrar.

La auditora en sistemas de informacin no est suficientemente implantada enla mayora de las entidades espaolas, si bien supondra una mayor garanta deque las cosas se hacen bien y como la entidad quiere: en general hay coincidenciaentre ambos puntos.

Como funcin aporta al auditor un conocimiento privilegiado del rea deSistemas de Informacin con una perspectiva muy amplia.

La forma de realizar el trabajo va variando y se est llegando a aplicar elcontrol por excepcin y la tele auditora.

En cuanto a nuevas reas, surge el auge del comercio electrnico, el control depginas WEB: la revisin de quien autoriza, vara y controla los contenidos: en lasentidades por seguridad y productividad, y en los hogares, aunque esto se sale dela auditoria y queda en el control para evitar que los menores accedan acontenidos con violencia o pornografa.

Bibliografawww.accesor.com (Soluciones tcnicas para el control de acceso). (s.f.).

www.apc.com/es (Catlogo, manuales y documentacin SAI'S). (s.f.).

www.biometriaaplicada.com (Soluciones tcnicas de biometra). (s.f.).

www.newsai.es (SAI'S). (s.f.).

www.rediris.es/cert/doc/unixsec/node7.html (Seguridad fsica). (s.f.).

www.seguridadcpd.com (Noticias y seguridad de CPD'S). (s.f.).

Bibliografa