La seguridad de las conexiones en red merecen en la actualidad una atención especial, incluso por medios de comunicación no especializados, por el impacto que representan los fallos ante la opinión pública.
El propio desarrollo tanto de Linux, como de la mayoría del software que lo acompaña, es de fuentes abiertas. Podemos ver y estudiar el código. Esto tiene la ventaja de que la seguridad en Linux no sea una mera apariencia, sino que el código está siendo escrutado por muchas personas distintas que rápidamente detectan los fallos y los corrigen con una velocidad asombrosa.
Si además comprendemos los mecanismos que se siguen en las conexiones en red, y mantenemos actualizados nuestros programas, podemos tener un nivel de seguridad y una funcionalidad aceptables.
Tampoco tienen las mismas necesidades de seguridad un equipo doméstico, con conexiones esporádicas a Internet, que un servidor conectado permanentemente y que actúe como pasarela entre una intranet e Internet.
Para describir las pautas de actuación seguras iremos examinando cómo actúan las conexiones y cómo podemos protegerlas.
10 leyes inmutables de seguridad
Hace ya tiempo que Microsoft reunió en un decálogo las diez directrices o leyes más importantes a observar para proteger la seguridad de nuestro sistema, y con el nombre de Las 10 leyes inmutables de la seguridad colgó el documento de Technet. Vamos a repasar este decálogo que aunque en clave de humor proporciona unos consejos que tenemos que tomar muy en serio.
1. Si un tipo malvado nos convence de ejecutar SU programa en NUESTRO ordenador, ya no es NUESTRO ordenador
Es otra ley inmutable de la informática: cuando un programa se ejecuta en el ordenador hace lo que el programador le ha dicho que haga, no lo que creemos que tiene que hacer. Por lo tanto, si permitimos que un programa se ejecute en nuestro ordenador tendrá las mismas capacidades de realizar cambios, incluidos los dañinos, que nosotros tenemos como usuarios y los hará según las instrucciones de su programador.
La analogía del sandwitch nos puede ayudar a entender la situación: si nos encontráramos a alguien desconocido por la calle y nos ofreciera un sandwitch ¿nos lo comeríamos sin más? Pues del mismo modo descargar y ejecutar sin más un programa no es lo mejor para la salud de nuestro ordenador.
2. Si un tipo malvado puede cambiar el sistema operativo de NUESTRO ordenador, ya no es NUESTRO ordenador
El sistema operativo no deja de ser un programa más acompañado por un conjunto de ficheros de configuración, que están protegidos pero que a la larga puede ser modificados. Si permitimos cambios en el sistema nuestro ordenador ya no estará bajo nuestro control.
Las nuevas versiones de Windows advierten en numerosas ocasiones cuando un programa intenta hacer cambios en el sistema o si nos disponemos a dar autorización a un programa para realizar cambios, pero una vez que un programa tiene vía libre no hay nada que hacer. Por eso es importante que nunca ejecutemos programas y les otorguemos permisos si no conocemos su procedencia. Si alguien toma el control del sistema operativo puede hacer cualquier cosa.
Es como si alguien consiguiera las llaves de nuestra casa. Una vez con ellas podría hacer cualquier cosa incluso sin que necesariamente nos diéramos cuenta. Por eso es tan importante proteger el sistema operativo y por eso los programas de seguridad controlan constantemente que no se hayan producido cambios en los ficheros del sistema.
3. Si un tipo malvado tiene acceso físico sin restricciones a NUESTRO ordenador, ya no es NUESTRO ordenador
Tomar las mejores precauciones para protegernos de los intrusos que pueden acceder a nuestro ordenador a través de Internet no vale nada si el intruso puede acceder tranquilamente a nuestro ordenador y sentarse a teclear. Es algo que en ocasiones descuidamos, pero un elemento básico de la seguridad. En el artículo de TechNet dan una lista de lo que un “tipo malvado” puede hacer si tiene acceso al ordenador, desde la edad de la piedra a la edad espacial.
Algunos de los peligros son que puede destruir nuestro ordenador con un martillo pilón, robar el ordenador y pedir un rescate, reformatear el disco, robar el disco duro, duplicarlo, grabar las pulsaciones de nuestro teclado… Las precauciones que hay que tomar aumentan con la portabilidad del PC que utilicemos. No hay que desdeñar los candados o los sistemas de acceso biométricos. No hay que olvidar que un ordenador es un dispositivo valioso, pero lo más valioso son siempre nuestros datos.
4. Si un tipo malvado puede agregar programas a NUESTRA página web, ya no es NUESTRA página web
El tipo malvado es el que entra en el servidor e intenta cambiar nuestra página web. Conseguirá así extender el contagio de un virus o malware. La responsabilidad de un usuario que mantenga un sitio web incluye controlar que los usuarios de la web no puedan agregar programas y mantener actualizado el software con los parches de seguridad adecuados.
En este caso no sólo nos hacemos daño a nosotros, sino que contribuimos al contagio de muchas personas a través de nuestra web.
5. Las contraseñas débiles destruyen la seguridad más fuerte
Es uno de los eslabones más débiles de la cadena de seguridad. Si para identificarnos utilizamos contraseñas fáciles de averiguar, los sistemas de seguridad que hayamos instalado no servirán de nada. Hay que tener la precaución de que siempre en nuestro sistema el administrador requiera contraseña. Podemos ver cómo crear contraseñas perfectas en nuestro artículo práctico al respecto.
6. Un ordenador es tan seguro como la confianza que nos merece su administrador
Todo ordenador tiene su administrador, aunque en muchos casos el administrador seamos nosotros. El edministrador es el que instala el software, modifica el sistema operativo y establece las políticas de seguridad. En el decálogo de Technet se advierte que un administrador chapucero puede frustrar cualquier medida de seguridad que tomemos nosotros.
Si necesitamos un administrador para nuestra empresa tomemos eso en cuenta. Ahorrar y contratar un mal administrador, uno descuidado o no fiable puede salirnos muy caro a la larga.
7. Los datos encriptados son tan seguros como su clave de desencriptación
Una versión distinta del problema de las passwords. La encriptación es una excelente herramienta para proteger nuestros datos y se utiliza en las transacciones que se realizan en Internet, pero en el caso de los programas de encriptación, hay que tener cuidado dónde se almacenan. Lo mejor es utilizar claves que memorizaremos o almacenarlas en un dispositivo externo a nuestro ordenador para que sean difíciles de localizar.
8. Un antivirus no actualizado sólo es ligeramente más seguro que ningún antivirus
En Internet van apareciendo y mutando nuevos virus y malware a un ritmo muy alto. Por eso hoy más que nunca, cuando pasamos más tiempo conectados a Internet, es muy importante disponer de un antivirus actualizado. Uno que no esté puesto al día nos protegerá solamente de amenazas obsoletas pero no será una herramienta de protección fiable.
Además, actualizar los antivirus y programas de seguridar periódicamente contribuye a que la expansión de los virus sea menos rápida y que por lo tanto el daño que puedan hacer sea limitado.
9. El anonimato absoluto no es práctico, tanto en la vida real como en Internet
Las herramientas que permiten conseguir un grado de anonimato importante en Internet son muchas, como los proxies o conversores de direcciones IP que hacen que no podamos ser localizados o los navegadores web que no dejan rastros de nuestra actividad. Hay que tener cuidado con qué servicios utilizamos para conseguir el anonimato, porque puede que estemos consiguiendo precisamente lo contrario.
En algunos casos estos servicios ofrecen anonimato frente a otras páginas web, pero no somos anónimos frente a ellos. Es más, en algunos casos tendremos que rellenar un formulario. Pero en muchos casos en Internet será útil dejar nuestros datos, para que nos informen de ciertas promociones, para recibir noticias, para contactar con antiguos compañeros, para participar en redes sociales…
En estos casos el sentido común es lo más importante. Nunca compartir datos personales sensibles de forma pública o con personas que no conocemos y proteger en lo posible nuestra navegación. Los modernos navegadores permiten ejecutar un modo privado que podemos activar solamente cuando lo necesitemos. Ser selectivos es importante también.
10. La tecnología no es la panacea
Una lección que es necesario aprender a pesar de los grandes adelantos tecnológicos que estamos viviendo y en el campo de la seguridad en particular. Como adelantábamos al principio, a pesar de toda esta tecnología tan sofisticada y los avances en el software de seguridad, no podemos encomendar nuestra seguridad totalmente a la tecnología.
Nuestro sentido común, la prudencia y la inteligencia tienen que ser los ingredientes más importantes. Sin ellos la tecnología más avanzada no servirá de nada. Es tentador dar la culpa a los fabricantes de software o a los proveedores de acceso de nuestros problemas de seguridad, pero no perdamos de vista que los responsabes somos nosotros.
Conceptos sobre seguridad.
La información almacenada en el sistema, así como los recursos físicos del sistema de computación, tienen que protegerse contra acceso no autorizado, destrucción o alteración mal intencionada, y la introducción accidental de inconsistencia.
La seguridad está definida en el diccionario como el conjunto de medidas tomadas para protegerse contra robos, ataques, crímenes y espionajes o sabotajes. La seguridad implica la cualidad o estado de estar seguro, es decir, la evitación de exposiciones a situaciones de peligro y la actuación para quedar a cubierto frente a contingencias adversas.
El uso creciente y la confianza en los computadores en todo el mundo ha hecho surgir una preocupación legítima con respecto a la seguridad informática. El uso de los computadores ha extendido en ambientes comerciales, gubernamentales, militares e incluso en los hogares. Grandes cantidades de datos vitales sensibles se están confiando y almacenado cada vez más en computadores. Entre ellos se incluyen registros sobre individuos, negocios y diferentes registros públicos y secretos gubernamentales y militares. Grandes transacciones monetarias tienen lugar diariamente en forma de transferencia electrónicas de fondos. Más recientemente, informaciones tales como notificaciones de propiedad intelectual y datos comerciales estratégicos son también almacenados, procesados y diseminados mediante computadores. Entre ellos se incluyen diseños de ventas, contratos legales y muchos otros.
La seguridad, no solo requiere un sistema de protección apropiado, sino también considerar el entorno externo en el que el sistema opera. La protección interna no es útil si la consola del operador está al alcance de personal no autorizado, o si los archivos se pueden sacar simplemente del sistema de computación y llevarse a un sistema sin protección. Estos problemas de seguridad son esencialmente de administración, no problemas del sistema operativo.
Información de un atacante
Un ataque informático consiste en aprovechar alguna debilidad o falla (vulnerabilidad) en el software, en el hardware, e incluso, en las personas que forman parte de un ambiente informático; a fin de obtener un beneficio, por lo general de índole económico, causando un efecto negativo en la seguridad del sistema, que luego repercute directamente en los activos de la organización.
Para minimizar el impacto negativo provocado por ataques, existen procedimientos y mejores prácticas que facilitan la lucha contra las actividades delictivas y reducen notablemente el campo de acción de los ataques.
Uno de los pasos más importantes en seguridad, es la educación. Comprender cuáles son las debilidades más comunes que pueden ser aprovechadas y cuáles son sus riesgos
asociados, permitirá conocer de qué manera se ataca un sistema informático ayudando a identificar las debilidades y riesgos para luego desplegar de manera inteligente estrategias de seguridad efectivas.
La mayoría de las organizaciones son hemorragias de datos; las empresas dan libremente demasiada información que puede ser utilizada en su contra a través de diversos tipos de ataques lógicos y físicos. Aquí sólo se encuentran algunos de los ejemplos más comunes de la información que un atacante puede obtener sobre su organización, por lo general, en cuestión de minutos:Fallos de los productos, problemas con el personal, publicaciones internas, políticas de la empresa y muchos más desde blogs, comentarios, críticas de la empresa y servicios de inteligencia competitiva.
- Los nombres de sus altos ejecutivos y de cualquier empleado llamativo pueden ser obtenidos examinando sus comunicados de prensa.
- La dirección de la empresa, números telefónicos y números de fax desde el registro de nombres de dominio.
- El proveedor de servicio a Internet.
- La dirección de la casa de los empleados, sus números telefónicos, currículo vita que de los empleados, los miembros de su familia,antecedentes penales y mucho más buscando sus nombres en varios sitios de investigación gratuitos y pagos.
- Los sistemas operativos, los principales programas utilizados, los lenguajes de programación, plataformas especiales, fabricantes de los dispositivos de red utilizados y mucho más desde los anuncios en sitios de empleos.
- Debilidades físicas, puntos de ventaja, señales activas, formas de entrada, coberturas para los caminos de acceso y más a través de imágenes satelitales de su empresa y las direcciones de los empleados.
- Nombres de usuario, direcciones de correo electrónico, números de teléfono, estructura de archivos, nombres de archivos, tipos de sistemas operativos, la plataforma del servidor web, lenguajes de script, entornos de aplicaciones web y más con escaners de sitios web.
- Documentos confidenciales accidentalmente enviados a un sitio web como archivo.org o Google Hacking.
Seguridad de los sistemas de información.
La complejidad de la seguridad de los sistemas de información precisa la preparación de estrategias que permitan que la información circule libremente, garantizando al mismo tiempo la seguridad del uso de los sistemas de información en toda la Comunidad. A este respecto, la presente Decisión establece un plan de acción en el ámbito de la seguridad de los sistemas de información y crea un comité encargado de asesorar a la Comisión sobre actuaciones en este ámbito.
SÍNTESIS
Mediante la presente decisión se adopta una acción en el ámbito de la seguridad de los sistemas de información. Dicha acción incluye los dos elementos siguientes:
- la aplicación de un plan de acción durante un período inicial de 24 meses. El importe de los recursos financieros comunitarios considerado necesario para la aplicación de este plan de acción durante el período previsto asciende a doce millones de ecus;
- la creación de un comité de altos funcionarios que tendrá la misión a largo plazo de asesorar a la Comisión sobre acciones en materia de seguridad de los sistemas de información.
Plan de acción
El plan de acción tendrá como finalidad el desarrollo de estrategias globales destinadas a proporcionar a los usuarios y a los productores de información almacenada, procesada o transmitida electrónicamente la protección adecuada de los sistemas de información contra amenazas accidentales o deliberadas.
El plan de acción se ejecutará en estrecha colaboración con los protagonistas del sector. Tendrá en cuenta y complementará las actividades en curso a nivel mundial para la normalización en este ámbito.
El plan incluye las siguientes líneas de actuación:
- desarrollo de un marco estratégico para la seguridad de los sistemas de información;
- definición de las necesidades de los usuarios y de los prestadores de servicios en materia de seguridad de los sistemas de información;
- elaboración de soluciones para determinadas necesidades a corto y medio plazo de los usuarios, proveedores y prestadores de servicios;
- elaboración de especificaciones, normas y pruebas de certificación respecto a la seguridad de los sistemas de información;
- innovaciones técnicas y de funcionamiento en materia de seguridad de los sistemas de información en un marco estratégico general;
- puesta en práctica de la seguridad de los sistemas de información.
El anexo adjunto a la decisión presenta en detalle las líneas de actuación del plan de acción.
Comité
El comité será consultado sistemáticamente por la Comisión sobre los asuntos relacionados con la seguridad de los sistemas de información de las distintas actividades de la Comisión, en particular la definición de las estrategias y los programas de trabajo.
