8 Seguridad Informática
Teleinformática y Redes 1
Leonardo Giordano | 2019
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 1
“ Comprender la seguridad como proceso y
OBJETIVO como implementarla desde un punto de
vista de arquitectura “
Definición | Seguridad
Camino | Castillo –> Redes sin fronteras
Componentes | FE | AV | IPS | vFW | DNS
Arquitectura | Cloud
AGENDA
Proveedores | Fortinet | Checkpoint | Cisco
Negocio | Oil & Gas
Gustavo Giaccio & Hernan Vukovic 2
#
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 3
NO EXISTE SEGURIDAD 100%
SEGURIDAD INFORMÁTICA
Se ocupa de proteger los recursos de un sistema informatico
§ Información
§ Servicios
§ Arquitecturas
LA SEGURIDAD ES UN PROCESO CONTINUO
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 4
#
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 5
Delimitación
La defensa
Antivirus
Firewall
IDS | IPS
VPNs | IPSec & SSL & TLS
Seguridad en el Acceso
Autenticación Centralizada
NAC
VoIP
2000
Gustavo Giaccio & Hernan Vukovic
2008 6
ANTIVIRUS | Programas para prevenir, detectar y eliminar virus informáticos.
Patch: MS05-039 Ago 13, 2005 Tiempo(dias)
Ago. 9, 2005
ZOTOB 5
Patch: MS04-011 May 1, 2004
Abr. 13, 2004
SASSER 18
Patch: MS03-026 Ago. 11, 2003
Jul. 16, 2003
BLASTER.A 26
Patch: MS02-039 Ene. 25, 2003
Jul. 24, 2002
SLAMMER 185
Patch: MS00-078 Sept. 18, 2001
Oct.17, 2000
NIMDA 336
Gustavo Giaccio & Hernan Vukovic 7
Firewall | esautorizado,
una parte de un sistema o una red que está diseñada para bloquear el acceso no
permitiendo al mismo tiempo comunicaciones autorizadas.
Internet
(Pública)
El objetivo de una DMZ
Outside
Web Server
es que las conexiones
DMZ desde la red interna y la
Inside externa a la DMZ estén
Email Server
permitidas, mientras que
Data Center LAN
Sitio Central Sitio Central en general las
conexiones desde la
DMZ solo se permitan a
WAN LAN la red externa
LAN
Suc. 2
(Privada) Suc. 1
Ej: servidores de correo
Gustavo Giaccio & Hernan Vukovic
electrónico, Web y DNS. 8
http://www.fwbuilder.org/
Inside Outside
LAN Internet
ifts
0 SSH | ping
any to any 1
2 any to any
Para insertar una regla nueva en el segundo lugar de la cadena de OUTPUT que descarte todo el
tráfico TCP dirigido al puerto 80 en cualquier terminal:
Gustavo Giaccio & Hernan Vukovic iptables -I OUTPUT 2 -p tcp --dport 80 -j DROP 9
IDS & IPS | IDS | Detection | Detectan amenazas después de que llegan a la red interna
IPS | Prevention | Detecta el ataque, envía la alarma y activa una respuesta
§ Port Mirroring
en el Switch
§ Tráfico original +
§ Controla el
§ Solo Detecta tráfico activo
§ Verificación de § Reglas
reglas estrictas
IDS | Intrusion Detection Systems IPS | Intrusion Prevention Systems
Gustavo Giaccio & Hernan Vukovic 10
Gustavo Giaccio & Hernan Vukovic 11
IPSec | es un conjunto de protocolos cuya función es asegurar las comunicaciones
sobre el IP, autenticando y/o cifrando cada paquete IP en un flujo de datos. | RFC 2401
RFC 4301
Internet
(Pública)
Web Server
IPS FW DMZ
IPS
FW
Email Server
Data Center LAN
Sitio Central VPN | IPSec | SSL
Sitio Central
IPSec | SSL
LAN LAN
AV Internet Suc. 3
Suc. 2 WAN (Pública)
LAN (Privada)
AV Usuario Remoto
Suc. 1 AV
Gustavo Giaccio & Hernan Vukovic IPsec se utiliza para sumar sucursales o usuarios remotos. 12
Suplantar la identidad de la Fuente | Ataque DoS
Problemas Paquetes repetidos | Ataques de Repetición
del IP No posee integridad de los datos | Modificación
No posee confidenciabilidad | Espía
Verifica la fuente del paquete IP | Autenticación
Objetivos Prevenir paquetes repetidos o viejos
de IPSec Proteger la integridad y la confidenciabilidad de los
paquetes
Modo Transporte
Modos End to End
Modo Túnel
de IPSec
Internet
Gustavo Giaccio & Hernan Vukovic 13
Modo Transporte
Modos End to End
Modo Túnel
de IPSec
Internet
IP Header IPSec TCP
Modo Transporte Original Header Header
Data Protege los datos del IP
IP IPSec IP TCP Protege todo
Modo Túnel Header Header Header Header
Data
el paquete IP
Gustavo Giaccio & Hernan Vukovic 14
VPNs | es un conjunto de protocolos cuya función es asegurar las comunicaciones
sobre el IP, o sobre la aplicación
Internet
IPSec | IP Security (Pública) HTTPS
SSL | Secure Sockets Layer
Web Server
IPS FW DMZ
IPS
FW
Email Server
Data Center LAN UTM
Sitio Central SitioUTM
Central
UTM IPSec | SSL
UTM
LAN LAN
AV Internet Suc. 3 IPSec | Todo
Suc. 2 WAN (Pública)
UTM SSL | Aplicación
LAN (Privada)
AV Usuario Remoto
Suc. 1 AV
Gustavo Giaccio & Hernan Vukovic IPsec se utiliza para sumar sucursales o usuarios remotos.
15
Protección de la Sucursal | Unified Security
Aplicaciones Integración para segurizar las aplicaciones y la red
Autenticacion / Filtrado de Contenido Inteligencia de red
Antivirus AntiSpam Disminución de costos
2000 2002 2004 2006
Firewall VPNs IPS
Gustavo Giaccio & Hernan Vukovic UTM | Unified Threat Management | Gestión Unificada de Amenazas 16
Sin Fronteras
Cloud y Movilidad
La Nueva Arquitectura
Virtualización
Web y Mail
Agentes
IoT | ISA.99
NaaS
2008
Gustavo Giaccio & Hernan Vukovic
2016 17
#
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 18
Límites
Políticas
Frontera Corporativa
Aplicaciones
y Datos
Oficina Corporativa
2008
Oficina Remota
Atacantes Partners Clientes
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 19
Límites
Políticas
Frontera Corporativa
Aplicaciones
y Datos
Oficina Corporativa
2008
Oficina Remota
Oficina de Casa
Usuario Coffee
Móvil Atacantes Partners Clientes
Shop
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 20
Límites
Políticas
Frontera Corporativa
Aplicaciones Platform Infrastructure
as a Service as a Service
y Datos X
Software
as a Service as a Service
Oficina Corporativa
2008
Oficina Remota
Oficina de Casa
Usuario Coffee
Móvil Atacantes Partners Clientes
Shop
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 21
Límites
Políticas
Frontera Corporativa
Platform Infrastructure
Aplicaciones as a Service as a Service
y Datos Software X
as a Service as a Service
Oficina Corporativa
2008
Oficina Remota
Oficina de Casa
Aeropuerto
Usuario
Coffee
Móvil Atacantes Partners Clientes
Shop
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 22
Data Center | Virtualización
Norte
Internet Tablet
Internet
PC
(Pública) (Pública)
Capas de
Seguridad
FW FW Internet Edge
LAN LAN
PC Tablet
Sitio Central Sitio Central
FW FW Internal Security
Data
Virtual
Desktop
Data Center
Center Virtual
Desktop
80% Virtual
Machines
Virtual Security
Sur Virtual Oeste Este
Gustavo Giaccio & Hernan Vukovic
Machines 23
DESAFÍO
proveer
seguridad sobre
el tráfico
encriptado.
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 24
Network | NaaS & NaaE
Policy
Administration
Policy Decision Identity Services
Identity Access Policy System
Policy
Enforcement
Switches, Wireless and Routing Infrastructure Firewall, Routers, VPNs
Policy
Information Net Agent Web Agent 802.1x Supplicant
Identity-Based Access Is a Feature of the Network
Spanning Wired, Wireless, and VPN
Gustavo Giaccio & Hernan Vukovic 25
DNS SECURITY | OpenDNS
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 26
ENDPOINTS | Advanced Malware Protection
Prevent Detect Respond
Accelerate investigations and Continuously monitor Accelerate investigations and
remediate faster and more to reduce time remediate faster and more
effectively to detection effectively
Gustavo Giaccio & Hernan Vukovic 27
#
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 28
ARQUITECTURA Cloud
Security
Internet
Perímetro Web Security NGFW - NGIPS E-Mail Security
Cyber Threat
Netflow Defense Mgmt.
Núcleo LAN
Flow
TrustSec SEC CTRL
Collector
Switch Data Center
Acceso AMP
AMP AMP AMP
Movil
Terminal
Movil Servidor
Gustavo Giaccio & Hernan Vukovic 29
La seguridad como un proceso continuo
Umbrella 140 Billion daily DNS requests – 7+ Million Malicious Domains enforced daily
Gustavo Giaccio & Hernan Vukovic 30
Arquitectura Cisco | Elementos de Seguridad
Threat intelligence -
Network Endpoint Cloud
DNS Advanced NGFW/ Network DNS Advanced DNS Advanced Email
malware NGIPS analytics malware malware security
www www
ETA Network Email Web VPN Cloud Web Cloud
access security access access
Services
Gustavo Giaccio & Hernan Vukovic 31
#
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 32
CONCEPTO DE CIERRE
“CUALQUIERA PUEDE CREAR UNA SEÑAL DE PARE O INCLUSO UN
SEMÁFORO PERO SE NECESITA UN MODO DE PENSAR TOTALMENTE
DISTINTO PARA CONCEBIR UN SISTEMA DE CONTROL DEL TRÁFICO
PARA TODA UNA CIUDAD.”
BRUCE SCHNEIER
Gustavo Giaccio & Hernan Vukovic 33
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 34
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 35
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 36
Gustavo Giaccio & Hernan Vukovic 37
8 Seguridad Informática
1
Preguntas
Teleinformática y Redes 1
Leonardo Giordano | 2019
Gustavo
© 2010 Cisco
Giaccio
and/or
& Hernan
its affiliates.
Vukovic All rights reserved. Cisco Confidential 38
