Defensa en Profundidad. Una estrategia con inconvenientes.

Defensa en Profundidad.  Una estrategia con inconvenientes. 

Una de las estrategias de seguridad informática más implementadas por los responsables de seguridad en las organizaciones es conocida como “Defensa en Profundidad” Esta estrategia de origen militar tiene como objetivo principal el demorar el avance del atacante al implementar múltiples líneas de defensa en lugar de una única línea fuertemente robustecida para la defensa. Sin embargo esta estrategia presenta dos inconvenientes que los responsables de seguridad deben conocer al momento de utilizarla para la administración de seguridad de una organización. 

El primer inconveniente es que el presupuesto de seguridad será más costoso con el tiempo para la alta dirección ya que a medida que se implementan nuevos controles para fortalecer o crear nuevas líneas de defensa, primero debe ser adquirido el control y posteriormente debe ser contratado y capacitado un recurso humano para que lo gestione correctamente. Lo que quiere decir que a mayor cantidad de controles, mayor costo se tendrá. 

El segundo inconveniente es que los controles implementados son como islas de información ya que cada uno de estos controles de seguridad son tan especializados que no fueron diseñados para que se comuniquen entre sí, lo cual hace que no se tenga  en tiempo real visibilidad del estado de seguridad que guarda la organización y para ello cada control debe ser revisado de forma independiente para contar con información para la toma de alguna decisión. 

Ante esta situación con la estrategia es necesario que en la actualidad estemos implementando controles de seguridad que ofrezcan un mayor número de funcionalidades y no de función específica. Esto con el objetivo de que un solo recurso humano pueda gestionar gestione varios controles y no se requiera a un administrador por cada control.  A su vez los fabricantes de herramientas de seguridad  deben estar desarrollando controles  más completos, en donde un antivirus, no solo detecte código malintencionado si no que sea capaz de revisar configuraciones del equipo, recolectar bitácoras del sistema operativo, aplicar parches de seguridad, configurar y robustecer el equipo para que de esta forma se cuente con un mayor número de información  que pueda ser reportada y administrada desde una sola consola en donde se pueda ver en tiempo real el  estatus de  seguridad que guarda la organización. 

Con lo anterior estaremos en posibilidad de mantener como principal estrategia de seguridad la defensa en profundidad alineada a las necesidades de la economía actual en donde se debe realizar más con menos y en caso contrario deberemos priorizar que líneas o perímetros son más importantes para focalizar los de seguridad en estos y así poder cumplir con la administración de seguridad con los recursos económicos cuando son limitados.

 

Seguridad de la información ¿cosa del pasado?

 

Nuestras civilizaciones prehistóricas ya utilizaban seguridad de la información.

El poder acumular conocimiento y trasmitirlo a lo largo del tiempo entre las generaciones es uno de los factores que nos permite evolucionar como sociedad. En la actualidad nos identificamos como una sociedad de la información en donde la información represente poder y es la base para la toma de cualquier decisión de vidas. Sin embargo, esta evolución no hubiera sido posible sí nuestros antepasados de la prehistoria no hubieran utilizado mecanismos de seguridad de la información desde hace 19,000 años a.C.

Las civilizaciones prehistóricas aplicaron los principios de confidencialidad, integridad y disponibilidad de la información desde que comenzaron a utilizar la primera tecnología de la información: la pintura sobre piedra o “pintura rupestre.

Estas pinturas o mensajes contienen información sobre la caza y la recolecta de alimentos y se han mantenido íntegras a los largo del tiempo, ya que fueron realizados en el interior de la cueva, lo que permitió que el mensaje se mantuviera lejos  los peligros de la naturaleza y sus amenazas como lo son :la lluvia, el aire y el Sol y razones por las cuales en la actualidad seguimos preocupandonos para proteger la informacíon.

 

Un ejemplo vivo de que la seguridad es cosa del pasado, es la cueva Lascaux, al suroeste de Francia en donde podemos observar 963 unidades gráficas/mensajes que fueron pintados a tres kilómetros de distancia de la entrada principal de la caverna y hecho que demuestra la información fue confidencial ya que se tenía que conocer el camino para acceder a ella y no se encontraba de forma visible a todas las personas de la sociedad.

Otro hecho importante es que las pinturas existen hasta nuestros dias y esto garantiza el principio de disponibilidad.  Es importante observar, que las pinturas fueron realizadas en el techo  y esto las mantuvo lejos del excremento de los murciélagos y/o del paso de los animales que hubiera afectado su integridad a lo largo del tiempo.

En la actualidad nosotros como expertos en seguridad, reconocemos que gran parte de nuestro trabajo es "poner piedritas en el camino al atacante" con el objetivo de que le tome mayor tiempo materializar su ataque y/o podamos detectarlo. Pero la seguridad proviene del pasado, sí reconocemos que nuestros antepasados literalmente le ponían, tierra, piedritas y piedrotas al personal no autorizado desde hace 19,000 años a.C

¿Como podemos detectar intrusos?

Antes de hablar de detección de intrusos es necesario definir lo que es un intruso y por desgracia las definiciones que encontramos no son completamente claras y completas.

La Real Academia Española define intruso como: “Que se ha introducido sin derecho”.

Con esta definición estamos obligados a tener en claro que es “adentro” y que es “afuera” y para ello tendríamos que tener un inventario de todas las áreas que existen en una organización, como están conectadas con otras y que características de seguridad requieren y necesitamos otro inventario de las personas de la organización para finalmente hacer una tabla que diga que clase de acceso debe tener cada persona a cada área. Si bien suena lógico, es raro encontrar una organización que tenga esta información en forma explicita y con el detalle suficiente como para tomar las medidas adecuadas.  En pocas palabras normalmente no se sabe ni que información hay, ni cual de estas es delicada y debe ser protegida ni cuales son los derechos de acceso de las personas.

 

 La idea de que los intrusos son personas “de afuera” de la organización es una visión simplista. Es cierto que alguien ajeno a la organización no debe de andar dentro de la red, servidores o estaciones de trabajo sin embargo esto es solo una pequeña parte del problema. En la realidad la inmensa mayoría de los ataques mas peligrosos vienen  de personas de la propia organización que por motivos económicos, de manejo de poder o por descontentos entran a lugares que no deberían entrar y generan daños de diversas índoles. Desde simples bromas pesadas hasta fraudes multimillonarios.

Otra forma de pensar simplista es que al colocar un cortafuegos (Firewall) con un sistema detector de intrusos entre el exterior y la red interna va a resolver mágicamente el problema, sin mas esfuerzo que el pagar por el equipo y el técnico  del proveedor que lo instale y configure sin ningún conocimiento de la organización.

 

Estos equipos si van a detectar ataques del exterior de la red con una configuración de fábrica pero también es cierto que no van a detectar los ataques de la red interna. Aun mas las configuraciones de fabrica son muy laxas ya que si fueran mas estracitas se afectaría la red de de trabajo de la organización. Un cortafuego es algo que seguramente tenemos que poner en una empresa pero solo es una parte de la solucion.

Para que podamos hablar de la detección de intrusos y estar en ese camino se requiere de conocimiento de la organización, de políticas, procedimientos (con métodos que garanticen su cumplimiento) , buenas configuraciones de equipo, programas y sistemas operativos actualizados con sus parches de seguridad, redes con topologías correctas, conocimiento de expertos, etc. No es una tarea trivial y requiere más esfuerzo que pagar únicamente por unos cuantos equipos.

 

Existen muchos métodos de detección de intrusos. Algunos de los más importantes son:

1. Análisis de bitácoras
2. Monitoreo y análisis de la actividad de los usuarios.
3. Reconocimiento de ataques conocidos.
4. Monitoreo del tráfico de la red
5. Verificación de la integridad de los archivos críticos del sistema
6. Auditoria de la configuración del sistema y sus vulnerabilidades.
7. Aduanas internas implementadas en las políticas de ruteadores y cortafuegos. 

Finalmente una definición más completa de intruso, desde mi punto de vista seria: “actividades inapropiadas, incorrectas o anómala desde el exterior-interior en una organización que involucre un sistema informático”.