Fedora 16 Security Guide Es ES

Fedora 16 Gua de seguridadUna gua para la seguridad en Fedora Linux

Johnray Fuller John Ha David O'Brien Scott Radvan Eric Christensen Adam Ligas

Gua de seguridad

Borrador

Fedora 16 Gua de seguridad Una gua para la seguridad en Fedora Linux Edicin 16.3Autor Autor Autor Autor Autor Autor Johnray Fuller John Ha David O'Brien Scott Radvan Eric Christensen Adam Ligas [email protected] [email protected] [email protected] [email protected] [email protected] [email protected]

Copyright 2010 Fedora Project Contributors. The text of and illustrations in this document are licensed by Red Hat under a Creative Commons AttributionShare Alike 3.0 Unported license ("CC-BY-SA"). An explanation of CC-BY-SA is available at http://creativecommons.org/licenses/by-sa/3.0/. The original authors of this document, and Red Hat, designate the Fedora Project as the "Attribution Party" for purposes of CC-BY-SA. In accordance with CC-BY-SA, if you distribute this document or an adaptation of it, you must provide the URL for the original version. Red Hat, as the licensor of this document, waives the right to enforce, and agrees not to assert, Section 4d of CC-BY-SA to the fullest extent permitted by applicable law. Red Hat, Red Hat Enterprise Linux, the Shadowman logo, JBoss, MetaMatrix, Fedora, the Infinity Logo, and RHCE are trademarks of Red Hat, Inc., registered in the United States and other countries. For guidelines on the permitted uses of the Fedora trademarks, refer to https://fedoraproject.org/wiki/ Legal:Trademark_guidelines. Linux is the registered trademark of Linus Torvalds in the United States and other countries. Java is a registered trademark of Oracle and/or its affiliates. XFS is a trademark of Silicon Graphics International Corp. or its subsidiaries in the United States and/or other countries. MySQL is a registered trademark of MySQL AB in the United States, the European Union and other countries. All other trademarks are the property of their respective owners.

La Gua de Seguridad en Fedora est diseada para asistir a usuarios de Fedora en el proceso de aprendizaje y prcticas de seguridad en estaciones de trabajo y servidores, para poder as evitar intrusiones locales y remotas, explotaciones, y actividades maliciosas. Enfocada en Fedora Linux pero detallando conceptos y tcnicas validas para todos los sistemas Linux. La Gua de Seguridad en Fedora detalla la planificacin y describe las herramientas involucradas en la creacin de un entorno de computacin seguro, para centros de datos, estaciones de trabajo, o el hogar. Con un conocimiento administrativo apropiado, vigilancia, y herramientas, los sistemas ejecutando Linux pueden ser funcionales y al mismo tiempo seguros, frente a los mtodos de intrusin y explotacin ms comunes.

Borrador

Borrador

Prefacio vii 1. Convenciones del Documento ........................................................................................ vii 1.1. Convenciones Tipogrficas .................................................................................. vii 1.2. Convenciones del documento ............................................................................. viii 1.3. Notas y Advertencias ........................................................................................... ix 2. We Need Feedback! ....................................................................................................... x 1. Resumen acerca de la seguridad 1 1.1. Introduccin a la Seguridad .......................................................................................... 1 1.1.1. Qu es la seguridad en computacin? .............................................................. 1 1.1.2. SELinux ............................................................................................................ 3 1.1.3. Controles de seguridad ...................................................................................... 4 1.1.4. Conclusin ........................................................................................................ 5 1.2. Evaluacin de debilidades ............................................................................................ 5 1.2.1. Pensando como el enemigo ............................................................................... 5 1.2.2. Definiendo evaluacin y pruebas ........................................................................ 6 1.2.3. Herramientas de evaluacin ............................................................................... 8 1.3. Atacantes y vulnerabilidades ....................................................................................... 10 1.3.1. Una breve resea acerca de los hackers .......................................................... 10 1.3.2. Amenazas a la seguridad de la red .................................................................. 11 1.3.3. Amenazas a la seguridad del servidor .............................................................. 12 1.3.4. Amenazas a las estaciones de trabajo y seguridad en equipos hogareos ........... 14 1.4. Ataques y debilidades comunes .................................................................................. 14 1.5. Actualizaciones de seguridad ...................................................................................... 17 1.5.1. Actualizacin de paquetes ................................................................................ 18 1.5.2. Verificacin de paquetes firmados .................................................................... 18 1.5.3. Instalacin de paquetes firmados ..................................................................... 19 1.5.4. Aplicacin de los cambios ................................................................................ 20 2. Asegurando su Red 2.1. Seguridad de la estacin de trabajo ............................................................................ 2.1.1. Evaluacin de la seguridad de la estacin de trabajo ......................................... 2.1.2. Seguridad en el BIOS y en el gestor de arranque .............................................. 2.1.3. Seguridad de contraseas ................................................................................ 2.1.4. Controles administrativos ................................................................................. 2.1.5. Servicios de red disponibles ............................................................................. 2.1.6. Cortafuegos personales ................................................................................... 2.1.7. Herramientas de comunicacin de seguridad mejorada ...................................... 2.2. Seguridad del servidor ................................................................................................ 2.2.1. Asegurando los servicios con encapsuladores TCP y xinetd ............................... 2.2.2. Asegurando Portmap ....................................................................................... 2.2.3. Asegurando NIS .............................................................................................. 2.2.4. Asegurando NFS ............................................................................................. 2.2.5. Asegurando el servidor HTTP Apache .............................................................. 2.2.6. Asegurando FTP ............................................................................................. 2.2.7. Asegurando Sendmail ...................................................................................... 2.2.8. Verificar qu puertos estn abiertos .................................................................. 2.3. Single Sign-on (SSO) ................................................................................................. 2.3.1. Introduccin ..................................................................................................... 2.3.2. Empezar a utilizar su nueva tarjeta inteligente ................................................... 2.3.3. Como funciona la inscripcin de las tarjetas inteligentes. .................................... 2.3.4. Cmo funciona el ingreso con tarjeta inteligente ................................................ 2.3.5. Configurar Firefox para la utilizacin de Kerberos como SSO ............................. 2.4. Mdulos de autenticacin conectables (PAM, por las iniciales en ingls de Pluggable Authentication Modules) .................................................................................................... 23 23 23 23 25 31 37 41 41 42 42 46 46 49 50 51 54 55 56 56 58 59 60 61 63 iii

Gua de seguridad

Borrador

2.5.

2.6.

2.7.

2.8.

2.4.1. Ventajas de PAM ............................................................................................ 64 2.4.2. Archivos de configuracin de PAM ................................................................... 64 2.4.3. Formato del archivo de configuracin de PAM ................................................... 64 2.4.4. Ejemplos de archivos de configuracin de PAM ................................................. 67 2.4.5. Creacin de los mdulos PAM ......................................................................... 68 2.4.6. PAM y el cacheo de la credencial administrativa ............................................... 69 2.4.7. PAM y la propiedad de los dispositivos ............................................................. 70 2.4.8. Recursos adicionales ....................................................................................... 72 Encapsuladores TCP y xinetd ..................................................................................... 73 2.5.1. Encapsuladores TCP ....................................................................................... 74 2.5.2. Archivos de configuracin de los encapsuladores TCP ....................................... 75 2.5.3. xinetd .............................................................................................................. 83 2.5.4. Archivos de configuracin de xinetd .................................................................. 83 2.5.5. Recursos adicionales ....................................................................................... 89 Kerberos .................................................................................................................... 90 2.6.1. Qu es Kerberos? ......................................................................................... 90 2.6.2. Terminologa de Kerberos ................................................................................ 91 2.6.3. Como Funciona Kerberos ................................................................................ 93 2.6.4. Kerberos y PAM .............................................................................................. 95 2.6.5. Configurando un servidor Kerberos 5 ................................................................ 95 2.6.6. Configuracin de un Cliente Kerberos 5 ............................................................ 97 2.6.7. Mapeo dominio-a-reinado ................................................................................. 99 2.6.8. Configurando KDCs secundarios ...................................................................... 99 2.6.9. Configurando la autenticacin cruzada de reinados .......................................... 101 2.6.10. Recursos adicionales ................................................................................... 104 Cortafuegos .............................................................................................................. 106 2.7.1. Netfilter e IPTables ........................................................................................ 107 2.7.2. Configuracin bsica de un cortafuego ............................................................ 108 2.7.3. Uso de IPTables ............................................................................................ 111 2.7.4. Filtrado comn de IPTables ............................................................................ 112 2.7.5. Reglas FORWARD y NAT ................................................................................. 113 2.7.6. Software malicioso y suplantacin de direcciones IP ........................................ 116 2.7.7. IPTables y el seguimiento de la conexin ........................................................ 117 2.7.8. IPv6 .............................................................................................................. 118 2.7.9. Recursos adicionales ..................................................................................... 118 IPTables .................................................................................................................. 119 2.8.1. Filtrado de Paquete ....................................................................................... 119 2.8.2. Opciones de la lnea de comandos de IPTables .............................................. 121 2.8.3. Guardando las reglas de IPTalbes .................................................................. 130 2.8.4. Programas de control de IPTables .................................................................. 131 2.8.5. IPTables e IPv6 ............................................................................................. 133 2.8.6. Recursos adicionales ..................................................................................... 133 135 135 135 135 136 136 151 152 154 155

3. Cifrado 3.1. Datos en reposo ....................................................................................................... 3.1.1. Cifrado completo del disco ............................................................................. 3.1.2. Cifrado basado en archivo ............................................................................. 3.2. Datos en movimiento ................................................................................................ 3.2.1. Redes privadas virtuales (VPNs, por las iniciales en ingls de Virtual Private Networks) ............................................................................................................... 3.2.2. Shell seguro (SSH, por las iniciales en ingls de Secure Shell) ......................... 3.2.3. Cifrado de disco LUKS (Linux Unified Key Setup-on-disk-format) ....................... 3.2.4. Archivos cifrados mediante 7-Zip .................................................................... 3.2.5. Utilizando GNU Privacy Guard (GnuPG) ......................................................... iv

Borrador 4. Principios Generales sobre la Seguridad de la Informacin 161 4.1. Consejos, Guas y Herramientas ............................................................................... 161 5. Instalacin segura 163 5.1. Particiones del disco ................................................................................................. 163 5.2. Utilice encriptado de particiones mediante LUKS ........................................................ 163 6. Mantenimiento de Software 6.1. Instale el software mnimo ........................................................................................ 6.2. Planifique y configure actualizaciones de seguridad .................................................... 6.3. Ajustando las actualizaciones automticas ................................................................. 6.4. Instale paquetes identificados desde repositorios conocidos ........................................ 165 165 165 165 165

7. Debilidades y exposiciones comunes 167 7.1. Complemento de Yum .............................................................................................. 167 7.2. Cmo utilizar yum-plugin-security .............................................................................. 167 8. Referencias A. Estndares de cifrado A.1. Cifrado sincronizado ................................................................................................. A.1.1. Advanced Encription Standard - AES .............................................................. A.1.2. Data Encryption Standard - DES .................................................................... A.2. Cifrado de llave pblica ............................................................................................ A.2.1. Diffie-Hellman ................................................................................................ A.2.2. RSA .............................................................................................................. A.2.3. DSA .............................................................................................................. A.2.4. SSL/TLS ....................................................................................................... A.2.5. Criptosistema de Cramer-Shoup ..................................................................... A.2.6. Cifrado ElGamal ............................................................................................ B. Historial de revisiones 169 171 171 171 171 172 172 173 173 173 174 174 175

v

vi

Borrador

Borrador

Prefacio1. Convenciones del DocumentoEste manual utiliza varias convenciones para resaltar algunas palabras y frases y llamar la atencin sobre ciertas partes especficas de informacin. En ediciones PDF y de papel, este manual utiliza tipos de letra procedentes de Liberation Fonts . Liberation Fonts tambin se utilizan en ediciones de HTML si estn instalados en su sistema. Si no, se muestran tipografas alternativas pero equivalentes. Nota: Red Hat Enterprise Linux 5 y siguientes incluyen Liberation Fonts predeterminadas.1

1.1. Convenciones TipogrficasSe utilizan cuatro convenciones tipogrficas para llamar la atencin sobre palabras o frases especficas. Dichas convenciones y las circunstancias en que se aplican son las siguientes: Negrita monoespaciado Utilizada para resaltar la entrada del sistema, incluyendo comandos de shell, nombres de archivo y rutas. Tambin se utiliza para resaltar teclas claves y combinaciones de teclas. Por ejemplo: Para ver el contenido del archivo my_next_bestselling_novel en su directorio actual de trabajo, escriba el comando cat my_next_bestselling_novel en el intrprete de comandos de shell y pulse Enter para ejecutar el comando. El ejemplo anterior incluye un nombre de archivo, un comando de shell y una tecla clave. Todo se presenta en negrita-monoespaciado y distinguible gracias al contexto. Las combinaciones de teclas se pueden distinguir de las teclas claves mediante el guin que conecta cada parte de una combinacin de tecla. Por ejemplo: Pulse Enter para ejecutar el comando. Pulse Control+Alt+F2 para cambiar a la primera terminal virtual. Pulse Control+Alt+F1 para volver a su sesin de Ventanas-X. La primera oracin resalta la tecla clave determinada que se debe pulsar. La segunda resalta dos conjuntos de tres teclas claves que deben ser presionadas simultneamente. Si se discute el cdigo fuente, los nombres de las clase, los mtodos, las funciones, los nombres de variables y valores de retorno mencionados dentro de un prrafo sern presentados en Negritamonoespaciado. Por ejemplo: Las clases de archivo relacionadas incluyen filename para sistema de archivos, file para archivos y dir para directorios. Cada clase tiene su propio conjunto asociado de permisos. Negrita proporcional Esta denota palabras o frases encontradas en un sistema, incluyendo nombres de aplicacin, texto de cuadro de dilogo, botones etiquetados, etiquetas de cajilla de verificacin y botn de radio; ttulos de men y ttulos del sub-men. Por ejemplo:

1

https://fedorahosted.org/liberation-fonts/

vii

Prefacio

Borrador

Seleccionar Sistema Preferencias Ratn desde la barra del men principal para lanzar Preferencias de Ratn. En la pestaa de Botones, haga clic en la cajilla ratn de mano izquierda y luego haga clic en Cerrar para cambiar el botn principal del ratn de la izquierda a la derecha (adecuando el ratn para la mano izquierda). Para insertar un caracter especial en un archivo de gedit, seleccione desde la barra del men principal Aplicaciones Accessories Mapa de caracteres. Luego, desde la barra de menes de mapa de caracteres elija Bsqueda Hallar, teclee el nombre del caracter en el campo Bsqueda y haga clic en Siguiente. El caracter buscado se resaltar en la Tabla de caracteres. Haga doble clic en este caracter resaltado para colocarlo en el campo de Texto para copiar y luego haga clic en el botn de Copiar. Ahora regrese a su documento y elija Editar Pegar desde la barra de men de gedit. El texto anterior incluye nombres de aplicacin; nombres y elementos del men de todo el sistema; nombres de men de aplicaciones especficas y botones y texto hallados dentro de una interfaz grfica de usuario, todos presentados en negrita proporcional y distinguibles por contexto. Itlicas-negrita monoespaciado o Itlicas-negrita proporcional Ya sea negrita monoespaciado o negrita proporcional, la adicin de itlicas indica texto reemplazable o variable. Las itlicas denotan texto que usted no escribe literalmente o texto mostrado que cambia dependiendo de la circunstancia. Por ejemplo: Para conectar a una mquina remota utilizando ssh, teclee ssh [email protected] en un intrprete de comandos de shell. Si la mquina remota es example.com y su nombre de usuario en esa mquina es john, teclee ssh [email protected]. El comando mount -o remount file-system remonta el sistema de archivo llamado. Por ejemplo, para volver a montar el sistema de archivo /home, el comando es mount -o remount /home. Para ver la versin de un paquete actualmente instalado, utilice el comando rpm -q paquete. ste entregar el resultado siguiente: paquete-versin-lanzamiento. Observe las palabras en itlicas y negrita sobre nombre de usuario, domain.name, sistema de archivo, paquete, versin y lanzamiento. Cada palabra es un marcador de posicin, tanto para el texto que usted escriba al ejecutar un comando como para el texto mostrado por el sistema. Aparte del uso estndar para presentar el ttulo de un trabajo, las itlicas denotan el primer uso de un trmino nuevo e importante. Por ejemplo: Publican es un sistema de publicacin de DocBook.

1.2. Convenciones del documentoLos mensajes de salida de la terminal o fragmentos de cdigo fuente se distinguen visualmente del texto circundante. Los mensajes de salida enviados a una terminal se muestran en romano monoespaciado y se presentan as:books books_tests Desktop Desktop1 documentation downloads drafts images mss notes photos scripts stuff svgs svn

viii

Borrador

Notas y Advertencias

Los listados de cdigo fuente tambin se muestran en romano monoespaciado, pero se presentan y resaltan de la siguiente manera:package org.jboss.book.jca.ex1; import javax.naming.InitialContext; public class ExClient { public static void main(String args[]) throws Exception { InitialContext iniCtx = new InitialContext(); Object ref = iniCtx.lookup("EchoBean"); EchoHome home = (EchoHome) ref; Echo echo = home.create(); System.out.println("Created Echo"); System.out.println("Echo.echo('Hello') = " + echo.echo("Hello")); } }

1.3. Notas y AdvertenciasFinalmente, utilizamos tres estilos visuales para llamar la atencin sobre la informacin que de otro modo se podra pasar por alto.

NotaUna nota es una sugerencia, atajo o enfoque alternativo para una tarea determinada. Ignorar una nota no debera tener consecuencias negativas, pero podra perderse de algunos trucos que pueden facilitarle las cosas.

ImportanteLos cuadros con el ttulo de importante dan detalles de cosas que se pueden pasar por alto fcilmente: cambios de configuracin nicamente aplicables a la sesin actual, o servicios que necesitan reiniciarse antes de que se aplique una actualizacin. Ignorar estos cuadros no ocasionar prdida de datos, pero puede causar enfado y frustracin.

AdvertenciaLas advertencias no deben ignorarse. Ignorarlas muy probablemente ocasionar prdida de datos.

ix

Prefacio

Borrador

2. We Need Feedback!More information about the Linux Security Guide project can be found at https://fedorahosted.org/ securityguide To provide feedback for the Security Guide, please file a bug in https://bugzilla.redhat.com . Please select the proper component for this guide.2

2

https://bugzilla.redhat.com/enter_bug.cgi?component=security-guide&product=Fedora%20Documentation

x

Borrador

Borrador

Resumen acerca de la seguridadDebido a la creciente necesidad de utilizacin de poderosas computadoras conectadas en red para poder mantener una empresa en funcionamiento, y para poder realizar seguimientos de nuestra informacin personal, se han desarrollado industrias enteras dedicadas a la prctica de la seguridad de redes y computadoras. Numerosas empresas han solicitado la pericia y el conocimiento de expertos en seguridad para poder controlar correctamente sus sistemas, y para que diseen soluciones adecuadas a los requerimientos operativos de la organizacin. Debido a la naturaleza dinmica de muchas de estas organizaciones, donde los trabajadores deben tener acceso a los recursos informticos, ya sea en forma local o remota, la necesidad de entornos de computacin seguros se ha hecho ms pronunciada. Desafortunadamente, muchas de las organizaciones (y muchos usuarios individuales), luego de pensarlo dos veces, deciden relegar el aspecto de la seguridad a un plano inferior, dndole prioridad a otras reas de sus emprendimientos, como ser produccin, presupuesto, o infraestructura. Y frecuentemente, una implementacin adecuada de la seguridad es adoptada postmortem despus que un acceso no autorizado haya ocurrido. Los expertos en seguridad concuerdan en que adoptar las medidas correctas antes de conectar un sitio a una red insegura, como lo es Internet, es una manera efectivo de prevenir la mayora de los intentos de intrusin.

1.1. Introduccin a la Seguridad1.1.1. Qu es la seguridad en computacin?La nocin de seguridad en computacin es un concepto general que cubre un rea muy extensa dentro del mbito de la computacin y del procesamiento de la informacin. Las industrias que dependen tanto de redes como de sistemas de computacin para poder realizar cotidianamente operaciones comerciales, o para acceder a diverso tipo de informacin vital, entienden que sus datos son una parte importante de sus activos. Han ingresado a nuestro vocabulario cotidiano diversos trminos y unidades de medicin pertenecientes al mbito comercial, como ser por ejemplo, el coste total de propiedad (TCO, por las iniciales en ingls de Total Cost of Ownership), o servicio de calidad (QoS, por las iniciales en ingls de Quality of Service). Al utilizar estas unidades, las industrias pueden calcular aspectos tales como ser la integridad de los datos, o el tipo de disponibilidad que tienen, y poder considerarlos parte de los costos de planeamiento y administracin de procesos. En algunas industrias, como la del comercio electrnico por ejemplo, el tipo de disponibilidad y la confiabilidad de los datos puede ser un elemento determinante para el xito o el fracaso.

1.1.1.1. De dnde viene la idea de seguridad en computacin?La seguridad en la informacin ha evolucionado con el correr de los aos debido al aumento en la utilizacin de redes pblicas y el consecuente riesgo de exposicin que en ellas tienen los datos 1 privados, confidenciales o financieros. Existen numerosos antecedentes, como el caso Mitnick o 2 Vladimir Levin , que sugieren a todas las organizaciones de cualquier tipo de industria, replantearse la forma en que tienen organizado el manejo de su propia informacin, o de la manera en que es transmitida y revelada. La popularidad que tiene Internet es uno de los motivos fundamentales gracias al cual se han intensificado los esfuerzos relacionados con la seguridad en los datos. Un nmero creciente de personas est utilizando sus computadoras personales para obtener acceso a los recursos que ofrece Internet. Desde investigacin y obtencin de informacin hasta el correo

1 2

http://law.jrank.org/pages/3791/Kevin-Mitnick-Case-1999.html http://www.livinginternet.com/i/ia_hackers_levin.htm

1

Captulo 1. Resumen acerca de la seguridad

Borrador

electrnico y transacciones comerciales, Internet es considerada como uno de los desarrollos ms importantes del siglo 20. Sin embargo, Internet y sus primeros protocolos fueron desarrollados como un sistema basado en la confianza. Esto significa que el Protocolo de Internet no fue diseado para ser seguro en s mismo. No existen estndares de seguridad aprobados dentro del bloque de comunicaciones TCP/ IP, dejndolo indefenso ante usuarios o procesos de la red potencialmente dainos. Desarrollos modernos han hecho de las comunicaciones en Internet algo ms seguro, pero todava existen varios incidentes que acaparan la atencin mundial, y nos recuerdan el hecho de que nada es completamente seguro.

1.1.1.2. La seguridad hoyEn febrero del ao 2000 un ataque de denegacin de servicio distribuido (DDoS, por las iniciales en ingls de Distributed Denial of Service) fue liberado sobre varios de los sitios de Internet que tenan ms trfico. Este ataque afect a yahoo.com, cnn.com, amazon.com, fbi.gov y algunos otros sitios que son completamente inaccesibles para los usuarios normales, dejando a los enrutadores bloqueados durante varias horas con transferencias de grandes paquetes ICMP, o tambin denominado un ping de la muerte. El ataque fue llevado a cabo por asaltantes desconocidos utilizando programas especialmente creados (y que estn a disposicin de cualquiera), que buscan servidores de red vulnerables, instalan en esos servidores aplicaciones de cliente denominadas troyanos, y sincronizando un ataque con cada servidor infectado, inundando los sitios elegidos y dejndolos inutilizables. Muchos adjudican el xito del ataque a fallas fundamentales en la forma en que estn estructurados los enrutadores y los protocolos que utilizan. Estas fallas tienen que ver con la manera en que se aceptan los datos entrantes, sin importar desde dnde provengan, o con qu propsito los paquetes hayan sido enviados. En el ao 2007, una prdida de datos permiti la explotacin de una debilidad bien conocida en el protocolo de cifrado inalmbrico WEP (por las iniciales en ingls de Wired Equivalent Privacy), que result en el robo de 45 millones de nmeros de tarjetas de crditos de una institucin financiera 3 global. In a separate incident, the billing records of over 2.2 million patients stored on a backup tape were 4 stolen from the front seat of a courier's car. Actualmente, se estima que 1,8 mil millones de personas usan o usaron Internet alrededor del mundo 5 . Al mismo tiempo: En cualquier da, hay aproximadamente 225 incidentes principales de fallas de seguridad informados al Centro de Coordinacin CERT en la Universidad de Carnegie Mellon. En el ao 2003, el nmero de incidencias CERT informadas ascendi a 137,529 de los 82,094 informados en el ao 2002, y de los 52,658 en el 2001. El impacto econmico a nivel mundial de los virus de Internet ms peligrosos de los ltimos tres aos se estim en US$ 13.2 mil millones. From a 2008 global survey of business and technology executives "The Global State of Information 6 Security" , undertaken by CIO Magazine, some points are:

3 4

http://www.theregister.co.uk/2007/05/04/txj_nonfeasance/ http://www.healthcareitnews.com/story.cms?id=9408 5 http://www.internetworldstats.com/stats.htm 6 http://www.csoonline.com/article/454939/The_Global_State_of_Information_Security_

2

Borrador

SELinux

Slo el 43% de los encuestados audita o monitorea el cumplimiento de las polticas de seguridad de sus usuarios Slo el 22% mantiene un inventario de las compaas externas que utilizan sus datos The source of nearly half of security incidents was marked as "Unknown" 44% de los encuestados planean incrementar sus gastos en seguridad en el ao siguiente 59% tiene una estrategia de seguridad de la informacin Estos resultados refuerzan la realidad de que la seguridad de computadoras se ha vuelto un gasto cuantificable y justificable en los presupuestos de TI. Las organizaciones que necesitan tanto la integridad como la rpida disponibilidad de sus datos, lo obtienen gracias a la habilidad que los administradores de sistema, desarrolladores e ingenierospara tienen para asegurar la disponibilidad de sus sistemas, servicios y datos, durante las 24 horas de los 365 das del ao. Ser vctima de usuarios maliciosos, procesos o ataques coordinados es una amenaza directa al xito de la organizacin. Desafortunadamente, la seguridad de sistemas y de la red puede ser una proposicin difcil, que requiere un conocimiento intrincado de cmo una organizacin expresa, usa, manipula y transmite su informacin. El entendimiento de la forma en que una organizacin (y la gente que la compone) conduce el negocio es primordial para implementar un plan de seguridad apropiado.

1.1.1.3. Estandarizando la seguridadLas empresas de todas las industrias confan en las regulaciones y en las reglas que son puestas por las personas que construyen estndares tales como la Asociacin Mdica Americana (AMA, por las iniciales en ingls de American Medical Association) o el Instituto de Ingenieros Elctricos y Electrnicos (IEEE, Institute of Electrical and Electronics Engineers). Los mismos ideales se aplican a la seguridad de la informacin. Muchos consultores y fabricantes se ponen de acuerdo en el modelo de seguridad estndar conocido como CIA (Confidentiality, Integrity and Availability), o Confidencialidad, Integridad y Disponibilidad. Este modelo de 3 capas es un componente generalmente aceptado para averiguar los riesgos de la informacin vital y del establecimiento de la poltica de seguridad. A continuacin se describe el modelo CIA en ms detalle: Confidentiality Sensitive information must be available only to a set of pre-defined individuals. Unauthorized transmission and usage of information should be restricted. For example, confidentiality of information ensures that a customer's personal or financial information is not obtained by an unauthorized individual for malicious purposes such as identity theft or credit fraud. Integridad La informacin no debe alterarse de manera tal que se torne incompleta o incorrecta. Los usuarios no autorizados deben ser restringidos de la habilidad de modificar o destruir informacin vital. Disponibilidad La informacin debe ser accesible a usuarios autorizados en cualquier momento en el que sea necesario. La disponibilidad es una garanta de que la informacin se puede obtener en una frecuencia y duracin preestablecida. Esto se mide a menudo en trminos de porcentajes y se deja sentado formalmente en Acuerdos de Disponibilidad del Servicio (SLAs, por las iniciales en ingls de Service Level Agreements) con los proveedores de servicios de red y sus clientes empresariales.

1.1.2. SELinuxFedora incluye una mejora al kernel de Linux que se llama SELinux, que implementa la arquitectura de Control de Acceso Obligatorio (MAC), que provee un nivel ms fino de control sobre los archivos, 3


Borrador

procesos, usuarios y aplicaciones en el sistema. La discusin detallada sobre SELinux est ms all del alcance de este documento; sin embargo, para ms informacin sobre SELinux y su uso en Fedora, vaya a la Gua del Usuario de SELinux de Fedora disponible en http://docs.fedoraproject.org/ selinux-user-guide/. Hay otros recursos de SELinux listados en Captulo 8, Referencias.

1.1.3. Controles de seguridadLa seguridad de computadoras es a menudo dividida en tres categoras principales distintas, comnmente referidas como controles: Fsico Tcnico Asministrativo Estas tres amplias categoras definen los objetivos principales de una implementacin de seguridad apropiada. Dentro de estos controles existen subcategoras que ofrecen mayores caractersticas, o brindan informacin acerca de su correcta implementacin.

1.1.3.1. Control fsicoEl control fsico es la implementacin de medidas de seguridad en una estructura definida, utilizado para determinar o evitar el acceso no autorizado a material sensible. Ejemplos de controles fsicos son: Circuito cerrado de cmaras de vigilancia Sistemas de alarma de movimientos, o termales Guardias de la seguridad IDs de Imagen Puertas de acero bloqueadas y selladas Biometra (incluye huellas digitales, voz, cara, iris, escritura manual y otros mtodos automatizados usados para reconocer a los individuos)

1.1.3.2. Tcnicas de controlLos controles tcnicos usan la tecnologa como una base para el control del acceso y del uso de datos sensibles a travs de una estructura fsica y sobre una red. Los controles tcnicos son de largo alcance y abarcan tecnologas como: Cifrado Tarjetas inteligentes Autenticacin de red Listas de control de acceso (ACLs) Software para auditar la integridad de archivos

4

Borrador

Conclusin

1.1.3.3. Controles administrativosLos controles administrativos definen los factores humanos de la seguridad. Involucran todos los niveles del personal dentro de una organizacin y determinan qu usuarios tienen acceso a qu recursos y la informacin por tales medios como: Capacitacin y conocimientos Preparacin para desastres y planes de recuperacin Reclutamiento de personal y estrategias de separacin Registracin y control del personal

1.1.4. ConclusinAhora que ya conoce los orgenes, las razones y los aspectos de la seguridad, encontrar ms fcil determinar el rumbo apropiado con respecto a Fedora. Es importante conocer qu factores y condiciones hacen a la seguridad para planear e implementar una estrategia apropiada. Con esta informacin en mente, el proceso se puede formalizar y los caminos a seguir se hacen ms claros a medida que profundiza en los detalles del proceso de seguridad.

1.2. Evaluacin de debilidadesDependiendo del tiempo, de los recursos y de la motivacin, un atacante puede ingresar prcticamente en cualquier sistema. En trminos absolutos, ninguna tecnologa o proceso en seguridad actualmente disponible, puede garantizar que un sistema determinado sea completamente invulnerable. Los enrutadores contribuyen a la seguridad de las puertas de enlace frente a Internet. Los cortafuegos contribuyen a la seguridad de las redes internas. Las redes virtuales privadas envan datos en forma segura mediante un flujo encriptado. Sistemas para la deteccin de extraos le avisan en caso de encontrar actividad malintencionada. Sin embargo, el xito de cada una de estas tecnologas depende de una numerosa cantidad de variables, entre las cuales podemos encontrar: La experiencia del equipo responsable de la configuracin, monitoreo y manutencin de esas tecnologas. La habilidad para enmendar y actualizar servicios y servidores en forma veloz y eficiente. La habilidad de quienes son responsables de mantener sobre la red una vigilancia permanente. Debido a las caractersticas dinmicas de los sistemas de datos y de las tecnologas, asegurar los recursos corporativos puede llegar a ser algo bastante complejo. Debido a esta complejidad, a menudo es difcil encontrar herramientas experimentadas para todos sus sistemas. Si bien es posible contar con personal cuyos conocimientos abarquen numerosos aspectos de los niveles generales de la seguridad en la informacin, es difcil conservar a quienes puedan considerarse expertos en los diferentes aspectos de una misma rea. Principalmente esto sucede debido a que cada aspecto de cada rea de la seguridad en la informacin necesita atencin y concentracin constante. La seguridad en la informacin nunca permanece inmvil.

1.2.1. Pensando como el enemigoSuppose that you administer an enterprise network. Such networks are commonly comprised of operating systems, applications, servers, network monitors, firewalls, intrusion detection systems, and more. Now imagine trying to keep current with each of these. Given the complexity of today's software and networking environments, exploits and bugs are a certainty. Keeping current with patches and updates for an entire network can prove to be a daunting task in a large organization with heterogeneous systems. 5


Borrador

Combine la experiencia que habra que necesitarse, con las tareas a realizar para mantenerse actualizado, y sern inevitables la presencia de incidentes, de sistemas vulnerados, de datos alterados, y de servicios interrumpidos. Para incrementar las tecnologas en seguridad y ayudar a proteger los sistemas, redes y datos, debera pensar del mismo modo en que lo hace un atacante, y desde este punto de vista comprobar la seguridad de su sistema verificando sus debilidades. Realizar evaluaciones de seguridad preventivas de su sistema y recursos de red, pueden ensearle potenciales problemas, y solucionarlos, antes que sean aprovechados por un atacante. Una evaluacin de debilidades es una auditora interna de su red y de su sistema de seguridad, cuyo resultado indica la confidencialidad, integridad y disponibilidad de su red (como es explicado en Seccin 1.1.1.3, Estandarizando la seguridad). Por lo general, una evaluacin de debilidades se inicia con una etapa de reconocimiento, durante la cual se obtienen datos importantes relacionados con los sistemas y los recursos involucrados. En la etapa siguiente se verifica el sistema en busca de debilidades conocidas, y culmina con una etapa de informe, en donde todo lo que se ha encontrado es clasificado entre las categoras de riesgo alto, medio y bajo. En esta ltima etapa, adems, se proponen mtodos para mejorar la seguridad (o eliminar el riego) del sistema analizado. Si usted tuviera que realizar una evaluacin de las debilidades de su hogar, seguramente verificara que cada una de las puertas se encuentre cerrada con llave. Tambin confirmara que cada una de las ventanas est cerrada, y trabada con el pestillo. El mismo concepto se aplica a los sistemas, redes y datos electrnicos. Los usuarios malintencionados son los ladrones de sus datos. Concntrese en las herramientas que utilizan, en su forma de pensar y en sus motivaciones, y entonces ser capaz de poder anticiparse a sus acciones.

1.2.2. Definiendo evaluacin y pruebasLas evaluaciones de debilidades pueden ser catalogadas en dos grandes tipos: De afuera hacia adentro y de adentro hacia afuera. When performing an outside looking in vulnerability assessment, you are attempting to compromise your systems from the outside. Being external to your company provides you with the cracker's viewpoint. You see what a cracker sees publicly-routable IP addresses, systems on your DMZ, external interfaces of your firewall, and more. DMZ stands for "demilitarized zone", which corresponds to a computer or small subnetwork that sits between a trusted internal network, such as a corporate private LAN, and an untrusted external network, such as the public Internet. Typically, the DMZ contains devices accessible to Internet traffic, such as Web (HTTP) servers, FTP servers, SMTP (email) servers and DNS servers. Cuando realice una evaluacin de debilidades desde adentro hacia afuera, usted tiene una especie de ventaja ya que, al estar en una ubicacin interna, su estado es el de ser alguien confiable, y por lo tanto, superior. Este es el punto de vista adquieren usted y sus compaeros de trabajo, cada vez que se registran en el sistema. Puede ver servidores de impresin, servidores de archivos, bases de datos, y dems recursos. Existen notables distinciones entre estos dos tipos de evaluaciones. Desde el interior de la compaa se tienen privilegios superiores a los que se obtendran desde el exterior. An hoy, en muchas organizaciones, la seguridad es configurada de tal manera para evitar que ingresen intrusos desde el exterior, y muy poco se hace para asegurar los elementos internos de la organizacin (como ser cortafuegos departamentales, controles de acceso de niveles de usuarios, procedimientos de autenticaciones para recursos internos, etc.). Por lo general, existen muchos ms recursos si se busca dentro de una compaa, ya que la mayora de los sistemas son internos a ella. Una vez que se encuentre fuera de la compaa, inmediatamente ser identificado como un elemento no seguro. Los sistemas y las herramientas disponibles para utilizar desde fuera son, generalmente, muy limitadas. 6

Borrador

Definiendo evaluacin y pruebas

Considere la diferencia existente entre evaluaciones de debilidades y pruebas de penetracin. Piense en una evaluacin de debilidades como el primer paso de una prueba de penetracin. La informacin obtenida en la evaluacin es utilizada para la prueba. Cualesquiera sean las reas o los lugares que el resultado de la evaluacin haya sugerido verificar en bsqueda de agujeros o debilidades potenciales, sern esos mismos lugares los que la prueba de penetracin intentar utilizar para aprovechar esas debilidades e ingresar al sistema. Acceder a la infraestructura de la red es un proceso dinmico. La seguridad es dinmica, tanto la fsica como la de la informacin. Realizar una evaluacin determina una visin general, que puede arrojar resultados falsos, tanto para bien como para mal. La eficacia de los administradores de seguridad es directamente proporcional a las herramientas que utilizan y al conocimiento que poseen. Elija cualquiera de las herramientas de evaluacin que se encuentren disponibles actualmente, ejectelas en su sistema, y es casi una garanta que algunos resultados sern errneos. Ya sea por una falla del programa, o por un error del usuario, el resultado ser el mismo. La herramienta puede llegar a encontrar debilidades que en realidad no existen (falsos positivos); o , peor an, la herramienta puede no encontrar debilidades que efectivamente existen (falsos negativos). Ahora que ha sido definida la diferencia entre una evaluacin de debilidades y una prueba de penetracin, como parte de una mejor aplicacin de los mtodos, revise cuidadosamente los datos arrojados por la evaluacin antes de realizar una prueba de penetracin.

AdvertenciaIntentar aprovechar las debilidades de los recursos de produccin, puede tener efectos adversos en la productividad y eficiencia de sus sistemas y redes. En la lista siguiente se examinan algunos de los beneficios de llevar a cabo evaluaciones de vulnerabilidad. Crea un enfoque pro-activo sobre la seguridad de la informacin Encuentra potenciales debilidades antes que las encuentren los atacantes Funciona en sistemas que se mantiene actualizados y enmendados Promueve el crecimiento y la asistencia en el desarrollo de la especializacin del personal Reduce las prdidas econmicas y la publicidad negativa

1.2.2.1. Estableciendo una metodologaPara ayudar en la seleccin de las herramientas para realizar una evaluacin de debilidades, es til establecer un mtodo. Desafortunadamente, por el momento no existe una metodologa previamente definida, sin embargo, el sentido comn y el hecho de adoptar buenas costumbres en materia de seguridad pueden actuar como una gua eficiente. Cul es el objetivo? Estamos observando un servidor, o la totalidad de una red y todo lo que en ella existe? Estamos fuera o dentro de la compaa? Las respuestas a estas preguntas son importantes debido a que ayudan a determinar, no solo las herramientas que tendremos que utilizar, sino tambin la forma en que vamos a hacerlo. Para aprender ms acerca del establecimiento de metodologas, visite los siguientes sitios web:

7


Borrador

http://www.isecom.org/osstmm/ El manual de metodologa de prueba de seguridad de cdigo abierto (OSSTMM, por las iniciales en ingls de The Open Source Security Testing Methodology Manual) http://www.owasp.org/ El proyecto de seguridad de aplicaciones de red abierta (OWASP, por las iniciales en ingls de The Open Web Application Security Project)

1.2.3. Herramientas de evaluacinUna evaluacin puede iniciarse utilizando algn tipo de herramienta que permita reunir informacin. Cuando se acceda a la totalidad de la red, primero haga un mapeo del diagrama para encontrar los equipos que se encuentren en ejecucin. Una vez localizados, examine a cada uno de ellos de manera individual. Para concentrarse en estos equipos se necesita otro conjunto de herramientas. Conocer qu herramientas utilizar puede ser la etapa ms importante del proceso para poder encontrar debilidades. Al igual que con cualquier aspecto de nuestra vida cotidiana, existen numerosas herramientas diferentes que son capaces de realizar el mismo trabajo. Este concepto tambin se aplica a la realizacin de evaluaciones de debilidades. Existen herramientas especficas para los sistemas operativos, para las aplicaciones, incluso para las redes (de acuerdo a los protocolos utilizados). Algunas herramientas son gratuitas, otras no. Algunas herramientas son intuitivas y sencillas de utilizar, mientras que otras son crpticas y poco documentadas, pero que tienen capacidades que otras no poseen. Encontrar las herramientas apropiadas puede ser una tarea intimidante, y la experiencia es un elemento importante para poder hacerlo. Si es posible, establezca un laboratorio de pruebas y utilice la mayor cantidad de herramientas que pueda, anotando las debilidades y fortalezas de cada una de ellas. Adicionalmente, busque mayor informacin en Internet mayor informacin, como ser por ejemplo artculos, guas de tipo paso-a-paso, o incluso listas de correo de una herramienta especfica. Las herramientas detalladas a continuacin son slo un pequeo ejemplo de las que se encuentran disponibles.

1.2.3.1. Analizando equipos con NmapNmap es una herramienta muy conocida incluida en Fedora que puede ser utilizada para determinar el diagrama de una red. Nmap ha estado disponible desde hace muchos aos, y probablemente sea la herramienta ms utilizada para reunir informacin de red. Incluye una pgina man excelente con informacin detallada de sus usos y opciones. Los administradores pueden utilizar Nmap sobre una red para encontrar sistemas de equipos y puertos abiertos en esos sistemas. Nmap es un primer paso muy efectivo en la realizacin de evaluaciones de debilidades. Puede mapear todos los equipos dentro de su red, e incluso indicar una opcin que permite a Nmap intentar identificar el sistema operativo ejecutndose en un equipo determinado. Nmap es un buen fundamento sobre el que establecer una poltica de utilizacin de servicios seguros, y detener servicios no seguros.

1.2.3.1.1. Usando NmapNmap puede ejecutarse desde una terminal ingresando el comando nmap, seguido por el nombre del equipo o direccin IP de la mquina a analizar.nmap foo.example.com

Los resultados de un anlisis bsico (que puede demorarse unos minutos, de acuerdo al lugar en donde se encuentre el equipo), deberan ser similares a los siguientes: 8

Borrador

Herramientas de evaluacin

Starting Nmap 4.68 ( http://nmap.org ) Interesting ports on foo.example.com: Not shown: 1710 filtered ports PORT STATE SERVICE 22/tcp open ssh 53/tcp open domain 70/tcp closed gopher 80/tcp open http 113/tcp closed auth

Nmap verifica los puertos de comunicaciones de red ms comunes, en busca de servicios que se encuentren escuchando o esperando. Este conocimiento puede servirle a un administrador que quiere cerrar servicios innecesarios o que no sean utilizados. Para obtener mayor informacin acerca de la utilizacin de Nmap, visite la pgina oficial en la siguiente URL: http://www.insecure.org/

1.2.3.2. NessusNessus es un examinador de seguridad para cualquier tipo de servicios. La arquitectura de tipo complementos de Nessus permite a los usuarios personalizarlo de acuerdo a los requerimientos de sus sistemas o redes. Como cualquier otro examinador, la eficiencia de Nessus es directamente proporcional a la base de datos de la que depende. Afortunadamente, Nessus es actualizado peridicamente y entre sus recursos se encuentran el de ofrecer informes completos, anlisis de equipos, y bsqueda de debilidades en tiempo real. Recuerde que siempre pueden existir resultados falsos, an en herramientas tan poderosas y tan frecuentemente actualizadas como Nessus.

NotaTanto el servidor como el cliente Nessus se encuentran disposnibles en los repositorios de Fedora, pero para poder utilizarlos es necesario suscribirse. Se ha incluido en este documento como una referencia para aquellos usuarios que podran estar interesados en utilizar esta conocida herramienta. Para obtener mayor informacin acerca de Nessus, visite el sitio web oficial en la siguiente URL: http://www.nessus.org/

1.2.3.3. NiktoNikto es un excelente examinador de programas de interfaz comn de puerta de enlace (CGI, por las iniciales en ingls de Common Gateway Interface). Nikto no slo verifica debilidades CGI, sino que lo hace de una forma evasiva, de modo de poder evitar sistemas de deteccin de intrusiones. Se ofrece con informacin detallada que debera ser cuidadosamente leda antes de ejecutar el programa. Si usted posee servidores Web ofreciendo programas CGI, Nikto puede ser una herramienta excelente para verificar la seguridad de estos servidores. Ms informacin sobre Nikto se puede encontrar en la siguiente URL: http://www.cirt.net/code/nikto.shtml

9


Borrador

1.2.3.4. VLAD el escnerVLAD es un examinador de debilidades desarrollado por el equipo RAZOR de Bindview, Inc., que verifica en la lista SANS de los diez problemas de seguridad ms comunes (problemas SNMP, problemas por compartir archivos, etc.). Si bien no es tan completo como Nessus, vale la pena investigar VLAD.

NotaVLAD no se incluye con Fedora y no est soportado. Se ha incluido en este documento como una referencia para aquellos usuarios que podran estar interesados en utilizar esta conocida aplicacin. Ms informacin sobre VLAD se puede encontrar el sitio web del equipo RAZOR en la siguiente URL: http://www.bindview.com/Support/Razor/Utilities/

1.2.3.5. Anticipando sus necesidades futurasDepending upon your target and resources, there are many tools available. There are tools for wireless networks, Novell networks, Windows systems, Linux systems, and more. Another essential part of performing assessments may include reviewing physical security, personnel screening, or voice/PBX network assessment. New concepts, such as war walking, which involves scanning the perimeter of your enterprise's physical structures for wireless network vulnerabilities, are some emerging concepts that you can investigate and, if needed, incorporate into your assessments. Imagination and exposure are the only limits of planning and conducting vulnerability assessments.

1.3. Atacantes y vulnerabilidadesPara poder planificar e implementar una buena estrategia de seguridad, tenga en cuenta primero algunos de los problemas que son aprovechados por los atacantes para poder vulnerar los sistemas. Sin embargo, antes de detallar estos problemas, tenemos que definir la terminologa utilizada a la hora de identificar a un atacante.

1.3.1. Una breve resea acerca de los hackersEl significado moderno del trmino hacker tiene sus orgenes en la dcada del '60, en el Tech Model Railroad Club del Instituto de Tecnologa de Massachusetts (MIT, por las siglas en ingls de Massachusetts Institute of Technology), en donde se diseaban modelos de trenes a gran escala y con detalles muy especficos. "Hacker" era el nombre con el que se identificaba a los miembros del club capaces de sortear las dificultades que presentaba un determinado problema, o que descubra algn truco til. Desde entonces el trmino "hacker" se ha utilizado para referirse o bien a un aficionado en computadoras, o bien a un programador talentoso, o bien para todo lo que se encuentre entre ellos. Una caracterstica compartida entre cualquier tipo de "hacker" es la voluntad de investigar detalladamente cmo funciona un sistema de computadoras, o una red, con poca o ninguna motivacin ulterior adems del mero hecho de investigar. Los desarrolladores de software de cdigo abierto, a menudo se consideran as mismos y a sus colegas como "hackers", y utilizan esta palabra como un signo de respeto. Generalmente, los hackers siguen un cdigo de conducta establecido en la etica del hacker, que establece que la bsqueda de informacin y la excelencia son esenciales, y que el hecho de

10

Borrador

Amenazas a la seguridad de la red

compartir los conocimientos adquiridos es un deber que el hacker tiene para con la comunidad. A lo largo de esta bsqueda del conocimiento, algunos hackers disfrutan de los desafos acadmicos que representan el hecho de sortear los controles de seguridad en los sistemas computarizados. Por este motivo, generalmente el periodismo utiliza el trmino hacker para referirse a quienes acceden ilegalmente y con fines criminales, malintencionados o inescrupulosos, a redes o sistemas de computacin. La forma ms adecuada para referirse a este tipo de hackers es atacante un trmino creado por los hackers a mediados de la dcada del '80, para diferenciar ambas comunidades.

1.3.1.1. Zonas grisesWithin the community of individuals who find and exploit vulnerabilities in systems and networks are several distinct groups. These groups are often described by the shade of hat that they "wear" when performing their security investigations and this shade is indicative of their intent. El hacker de sombrero blanco es quien examina los sistemas y las redes para conocer sus capacidades y poder determinar qu tan vulnerables son ante una posible intrusin. Generalmente, este tipo de hackers vulnera su propio sistema, o los sistemas de algn cliente suyo que lo ha contratado especficamente con el propsito de controlar su seguridad. Investigadores acadmicos y consultores profesionales en el rea de seguridad son ejemplos de hackers de sombrero blanco. Un hacker de sombrero negro es sinnimo de atacante. Generalmente, los atacantes estn menos interesados en la programacin o en el aspecto acadmico a la hora de vulnerar sistemas. Usualmente utilizan una serie de programas desarrollados exclusivamente para atacar y vulnerar los aspectos de un sistema que de antemano se sabe que pueden llegar a fallar, y los utilizan para dejar al descubierto informacin valiosa en tales sistemas o redes, o para obtener un beneficio personal, o simplemente para causar dao. Por otro lado, un hacker de sombrero gris tiene la habilidad de un hacker de sombrero blanco, y en la mayora de los casos tambin sus intenciones, pero en algunas ocasiones utiliza su conocimiento para propsitos no tan nobles. Puede pensarse en un hacker de sombrero gris como un hacker de sombrero blanco, que a veces utiliza un sombrero negro para cumplir con objetivos personales. Generalmente los hackers de sombrero gris se rigen por una norma diferente de la tica del hacker, que establece que es aceptable vulnerar sistemas, siempre y cuando el hacker no cometa ningn delito ni haga pblico aquello que es considerado privado. Sin embargo, alguien podra argumentar, que el acto de vulnerar un sistema es en s mismo un acto no tico. Sin importar la intencin del intruso, es importante conocer la debilidad que un atacante puede intentar explotar. El resto del captulo se centra en estas cuestiones.

1.3.2. Amenazas a la seguridad de la redMalas prcticas cuando se configuran los siguientes aspectos de una red pueden aumentar el riesgo de un ataque.

1.3.2.1. Arquitecturas insegurasUna red mal configurada es el principal punto de ingreso para usuarios no autorizados. Dejar una red local, a cuyos usuarios conocemos, abierta y vulnerable a la gran inseguridad que representa Internet es casi como dejar una puerta entornada en un barrio de criminales. Tal vez no suceda nada en un determinado perodo de tiempo, pero en algn momento, alguien va a aprovechar esa oportunidad

1.3.2.1.1. Redes emisorasLos administradores de sistemas muchas veces no se dan cuenta de la importancia que tiene el hardware de red que utilizan a la hora de realizar los esquemas de seguridad. El hardware que 11


Borrador

se considera sencillo, como son los enrutadores y los concentradores, dependen del principio de transmisin o principio de no interrupcin; esto es, siempre que un nodo transmisor enve datos sobre una red hacia un nodo receptor, el concentrador o enrutador enva una transmisin del paquete de datos hasta que el nodo receptor recibe y procesa los datos. Este mtodo es el ms vulnerable para enviar resolucin de protocolo (arp) o control de acceso de contenidos (MAC), ya que esta forma de envo es accesible tanto por intrusos fuera del equipo, como por usuarios no autorizados dentro de l.

1.3.2.1.2. Servidores centralizadosOtro error posible de cometer dentro de una red, es el uso de computacin centralizada. Una medida comn adoptada por muchos comercios a la hora de reducir su presupuesto, es la de concentrar todos los servicios en una nica mquina, relativamente poderosa. Esto puede ser conveniente ya que hace ms sencillas las tareas administrativas, y el costo es econmicamente inferior al de realizar configuraciones sobre varios servidores. Sin embargo, un servidor centralizado representa el nico punto de acceso a la red. Si el servidor central es vulnerado, puede inutilizar completamente a la red, o peor an, puede hacer que los datos sean fcilmente manipulados, o directamente sustrados. En estas situaciones, un servidor central se convierte en una puerta abierta que permite el acceso a la red en su totalidad.

1.3.3. Amenazas a la seguridad del servidorServer security is as important as network security because servers often hold a great deal of an organization's vital information. If a server is compromised, all of its contents may become available for the cracker to steal or manipulate at will. The following sections detail some of the main issues.

1.3.3.1. Servicios no usados y puertos abiertosUna instalacin completa de Fedora contiene ms de 1000 aplicaciones y bibliotecas de paquetes. Sin embargo, muchos administradores de servidores eligen no instalar todos los paquetes de la distribucin, y prefieren en su lugar realizar una instalacin de los paquetes bsicos, incluyendo algunas aplicaciones de servidor. Una ocurrencia tpica entre los administradores de servidores es la de instalar el sistema operativo sin prestar atencin a los programas que efectivamente se estn instalando. Esto puede llegar a ser problemtico debido a que podran instalarse servicios innecesarios, configurarse con los parmetros establecidos por defecto, y posiblemente iniciarse. Esto puede causar que servicios no deseados, como Telnet, DHCP o DNS se ejecuten en un servidor o estacin de trabajo sin que el administrador lo sepa, lo que a su vez puede generar trfico no solicitado hacia el servidor, o incluso un posible camino de acceso al sistema para los atacantes. Para obtener mayor informacin acerca del cierre de puertos y desconexin de servicios que no se utilicen, vea Seccin 2.2, Seguridad del servidor.

1.3.3.2. Servicios no parchadosLa mayora de las aplicaciones de servidor que se incluyen en una instalacin por defecto son piezas de software slidas y completamente comprobadas. Habiendo sido utilizadas en entornos de produccin durante muchos aos, el cdigo de ellas ha sido totalmente refinado y muchos de sus errores han sido encontrados y corregidos. Sin embargo, no existe algo as como el software perfecto y existe siempre un margen para futuras mejoras. Es ms, por lo general el software ms reciente no ha sido probado con el rigor que uno podra esperar, debido a su reciente aparicin en los entornos de produccin, o debido a que no es tan popular como otros. Los desarrolladores y los administradores de sistemas encuentran a menudo, en algunas aplicaciones de servidor, errores que podran ser aprovechados para vulnerar el sistema, y publican la informacin de tal error en un sitio web relacionado con el tema, como ser por ejemplo, la lista de correo Bugtraq 12

Borrador

Amenazas a la seguridad del servidor

(http://www.securityfocus.com) o el Equipo de Respuesta de Emergencias de Computacin (CERT, por las iniciales en ingls de Computer Emergency Response Team), cuyo sitio web es (http:// www.cert.org). Si bien estos mecanismos son una forma efectiva de advertir a la comunidad acerca de problemas en la seguridad, queda en manos de los administradores del sistema enmendar sus sistemas. Esto es realmente verdadero ya que los atacantes tienen acceso a estos mismos sitios y podrn utilizar la informacin para vulnerar sistemas que an no han sido enmendados. Ser un buen administrador de sistemas implica ser vigilante, estar atento permanentemente a los errores y a sus soluciones, y ser capaz de realizar una manutencin adecuada del sistema para asegurar un entorno de computacin seguro. Vaya a la Seccin 1.5, Actualizaciones de seguridad para ms informacin sobre cmo mantener un sistema actualizado.

1.3.3.3. Administracin desatendidaAdministrators who fail to patch their systems are one of the greatest threats to server security. According to the SysAdmin, Audit, Network, Security Institute (SANS), the primary cause of computer security vulnerability is to "assign untrained people to maintain security and provide neither the training 7 nor the time to make it possible to do the job." This applies as much to inexperienced administrators as it does to overconfident or amotivated administrators. Alguno administradores no pueden enmendar sus servidores o estaciones de trabajo, y otros no le prestan atencin a los mensajes de registro enviados desde el kernel del sistema, o generados por el trfico en la red. Otro error comn se produce al no modificar las contraseas o claves establecidas por defecto para los servicios. Por ejemplo, algunas bases de datos tienen contraseas administrativas generadas por defecto, debido a que los desarrolladores de las bases de datos presuponen que el administrador del sistema las modificar inmediatamente despus de haberla instalado en su sistema. Si un administrador de una base de datos no cambia la contrasea, incluso un atacante sin demasiada experiencia puede utilizar una amplia gama de contraseas que se sabe le pueden otorgar privilegios de administrador en esa base de datos. Estos son slo algunos ejemplos que ilustran de qu manera una administracin dbil puede ocasionar la vulnerabilidad de los servidores.

1.3.3.4. Servicios inseguros en s mismosIncluso la organizacin ms precavida puede ser vctima de sus puntos dbiles, si elige utilizar servicios de red inseguros. Por ejemplo, existen numerosos servicios desarrollados presuponiendo que sern utilizados en redes que se consideran confiables. Sin embargo, este presupuesto deja de funcionar ni bien el servicio se utiliza en Internet que es considerada una red insegura. Una categora de servicios de red no seguros son aquellos que en el momento de la autenticacin, piden nombres de usuario y contraseas que no estn encriptados. Telnet y FTP son dos ejemplos de este tipo de servicios. Si algn software diseado para sustraer informacin se encuentre vigilando el trfico entre el usuario remoto y un servicio con estas caractersticas, tanto los nombres de usuario como las contraseas pueden ser interceptadas fcilmente. Inherently, such services can also more easily fall prey to what the security industry terms the man-inthe-middle attack. In this type of attack, a cracker redirects network traffic by tricking a cracked name server on the network to point to his machine instead of the intended server. Once someone opens a remote session to the server, the attacker's machine acts as an invisible conduit, sitting quietly between the remote service and the unsuspecting user capturing information. In this way a cracker can gather administrative passwords and raw data without the server or the user realizing it.

7

http://www.sans.org/resources/errors.php

13


Borrador

Another category of insecure services include network file systems and information services such as NFS or NIS, which are developed explicitly for LAN usage but are, unfortunately, extended to include WANs (for remote users). NFS does not, by default, have any authentication or security mechanisms configured to prevent a cracker from mounting the NFS share and accessing anything contained therein. NIS, as well, has vital information that must be known by every computer on a network, including passwords and file permissions, within a plain text ASCII or DBM (ASCII-derived) database. A cracker who gains access to this database can then access every user account on a network, including the administrator's account. Por defecto, Fedora es liberada con todos estos servicios apagados. Sin embargo, dado que los administradores a menudo se encuentran obligados a utilizarlos, es muy importante realizar cuidadosamente la configuracin de ellos. Para obtener mayor informacin acerca de cmo configurar los servicios en forma segura, vea Seccin 2.2, Seguridad del servidor.

1.3.4. Amenazas a las estaciones de trabajo y seguridad en equipos hogareosWorkstations and home PCs may not be as prone to attack as networks or servers, but since they often contain sensitive data, such as credit card information, they are targeted by system crackers. Workstations can also be co-opted without the user's knowledge and used by attackers as "slave" machines in coordinated attacks. For these reasons, knowing the vulnerabilities of a workstation can save users the headache of reinstalling the operating system, or worse, recovering from data theft.

1.3.4.1. Malas contraseasLas malas contraseas son una de las formas ms fciles para que un atacante obtenga el acceso a un sistema. Para informacin sobre cmo evitar los errores comunes, vaya a Seccin 2.1.3, Seguridad de contraseas.

1.3.4.2. Aplicaciones de tipo cliente vulnerablesAlthough an administrator may have a fully secure and patched server, that does not mean remote users are secure when accessing it. For instance, if the server offers Telnet or FTP services over a public network, an attacker can capture the plain text usernames and passwords as they pass over the network, and then use the account information to access the remote user's workstation. An cuando se utilicen protocolos seguros, como SSH, un usuario remoto puede ser vulnerable a ciertos ataques si no mantiene actualizadas sus aplicaciones de cliente. Por ejemplo, los clientes de SSH v.1 son vulnerables a un ataque de reenvo de X que provenga de servidores maliciosos. Una vez conectado al servidor, el atacante puede capturar silenciosamente cualquier presin de teclas o pulsacin del ratn que el cliente haya hecho sobre la red. Este problema fue solucionado con el protocolo SSH v.2, pero queda en manos del usuario conocer qu aplicaciones tienen puntos dbiles, y actualizarlas cuando sea necesario. Seccin 2.1, Seguridad de la estacin de trabajo discute ms en detalle los pasos que los administradores y usuarios hogareos deben tomar para limitar la vulnerabilidad de las computadoras estaciones de trabajo.

1.4. Ataques y debilidades comunesTabla 1.1, Debilidades comunes describe algunas de las debilidades y los puntos de ingreso ms utilizados por intrusos, que pretenden acceder a los recursos de organizacin de diferentes redes. La clave para defender estos puntos son las explicaciones acerca de cmo se desarrollan, y cmo los administradores pueden salvaguardar adecuadamente sus redes contra tales ataques. 14

Borrador Tabla 1.1. Debilidades comunes Debilidades Contraseas nulas o predeterminadas Descripcin Dejando las contraseas administrativas en blanco, o utilizando la contrasea predeterminada puesta por el vendedor. Esto es lo ms comn en hardware como ruteadores y cortafuegos, por lo que algunos servicios que corren en Linux pueden contener contraseas administrativas predeterminadas (aunque Fedora 12 no viene con ellas). Notas

Ataques y debilidades comunes

Asociados comnmente a equipos de red como ruteadores, cortafuegos, VPNs y aparatos de almacenamiento conectados a la red (NAS). Comn en muchos sistemas operativos viejos, especialmente los SOs que agrupan servicios (como UNIX y Windows.) Los administradores, a veces crean apresuradamente cuentas de usuarios privilegiados, y dejan la contrasea en blanco, creando un punto de entrada perfecto para usuarios malintencionados han descubierto la cuenta. Los puntos de acceso inalmbricos y aparatos servidores seguros preconfigurados ms comunes.

Claves compartidas predeterminadas

Los servicios de seguridad algunas veces empaquetan claves de seguridad establecidas por defecto, ya sea para su desarrollo, o para comprobar su desempeo. Si estas claves se mantienen inalteradas y se colocan en un entorno de produccin en Internet todos los usuarios con las misma sclaves establecidas por defecto tendrn acceso a ese recurso de clave compartida, y a cualquier tipo de informacin que en l se guarde. Una mquina remota acta como un nodo en su red local, busca debilidades en sus servidores, e instala un programa de puerta trasera o troyano para ganar el control de los recursos de la red.

Imitacin de IP

La suplantacin de identidad es tan difcil porque involucra la necesidad del atacante de tener que predecir los nmeros de secuencia de TCP/IP para coordinar una conexin a los sistemas remotos, pero hay varias herramientas disponibles para asistir a los atacantes a realizar esa tarea. Depende del tipo de servicios que se estn ejecutando en el sistema de destino (como por ejemplo rsh, telnet, FTP y dems), si es que utilizan tcnicas de autenticacin basadas en la fuente, no son recomendadas si se las compara con PKI, o con otras formas de autenticar encriptaciones utilizadas en ssh, o SSL/TLS. Este tipo de ataque funciona principalmente con protocolos de transmisin de texto plano tales como las transferencias Telnet, FTP y HTTP.

Escuchas

La escucha se realiza para la recoleccin de datos que pasan entre dos nodos activos en una red.

15

Captulo 1. Resumen acerca de la seguridad Debilidades Descripcin Notas

Borrador

El atacante remoto debe tener acceso a un sistema comprometido en una LAN para poder realizar el ataque; usualmente el atacante us un ataque activo (tal como la suplantacin de IP o la del hombre en el medio) para comprometer un sistema en la LAN. Las medidas preventivas incluyen servicios con cambio de claves criptogrficas, contraseas de un solo uso, o autenticacin encriptada para prevenir la adivinacin de contraseas; una fuerte encriptacin durante la transmisin tambin es recomendada. Debilidades de servicios Un atacante encuentra una brecha o hueco en un servicio que corre a travs de Internet; a travs de esta vulnerabilidad, el atacante compromete el sistema entero y cualquier dato que pueda contener, y puede posiblemente comprometer otros sistemas en la red. HTTP-based services such as CGI are vulnerable to remote command execution and even interactive shell access. Even if the HTTP service runs as a non-privileged user such as "nobody", information such as configuration files and network maps can be read, or the attacker can start a denial of service attack which drains system resources or renders it unavailable to other users. Los servicios algunas veces pueden presentar debilidades que no son visibles a lo largo de los procesos de desarrollo o de prueba. Estas vulnerabilidades pueden darle a un atacante un control administrativo total, como es el caso de un desbordamiento del bfer: los atacantes destruyen un sistema utilizando valores arbitrarios que agotan la memoria del bfer de una determinada aplicacin, y obteniendo as una consola desde la cual poder ejecutar comandos. Los administradores se deben asegurar que los servicios no corren como el usuario root, y deben vigilar los parches y actualizaciones de errata de las aplicaciones de vendedores u organizaciones de seguridad como CERT y CVE. Las estaciones de trabajo y los equipos personales son ideales para ser vulnerados dado que sus usuarios no tienen ni la experiencia

Debilidades de aplicaciones

Los atacantes encuentran fallas en las aplicaciones de un equipo de escritorio o de una estacin de trabajo (como ser por ejemplo un cliente de correo

16

Borrador Debilidades Descripcin electrnico), y ejecutan un cdigo cualquiera, colocan caballos troyanos para futuros daos, o simplemente destruyen el sistema. Pueden ocurrir futuras catstrofes si la estacin de trabajo vulnerada posee privilegios administrativos sobre el resto de la red. Notas

Actualizaciones de seguridad

ni el conocimiento para prevenir o detectar irregularidades. Es de suma importancia informar a los individuos del riesgo que corren cada vez que instalan software no autorizado, o cuando abren archivos adjuntos de correos electrnicos no solicitados. Pueden ser implementados "salvavidas" tales como configurar al cliente de correo electrnico que se est utilizando de modo tal que no abra ni ejecute archivos adjuntos en forma automtica. Adems, la actualizacin automtica de la estacin de trabajo a travs de la red de Red Hat, o mediante algn otro servicio de administracin de sistemas, es una forma de aliviar la tarea de las descargas de seguridad de tipo multi usuario. El caso DoS ms informado en los Estados Unidos ocurri en el ao 2000. Diferentes sitios comerciales y gubernamentales con alta densidad de trfico quedaron incapacitados por un ataque coordinado de flujo de ping, utilizando diversos sistemas con conexiones de banda ancha previamente vulnerados, que actuaban como zombies, o que redireccionaban nodos de transmisin. Los paquetes fuentes son usualmente moldeados (as como reenviados), investigando sobre la verdadera fuente del ataque. Los avances en el filtrado de la entrada (IETF rfc2267) con iptables y con sistemas deteccin de intrusos como snort ayudan a los administradores a rastrear y prevenir ataques de DoS distribuido.

Ataques de Negacin de Servicio (DoS)

Attacker or group of attackers coordinate against an organization's network or server resources by sending unauthorized packets to the target host (either server, router, or workstation). This forces the resource to become unavailable to legitimate users.

1.5. Actualizaciones de seguridadA medida que las deficiencias en la seguridad se van descubriendo, el software involucrado debe ser actualizado, y limitar as cualquier tipo de potencial riesgo. Si el software es parte de un paquete contenido en la distribucin Fedora entonces soportada, Fedora est comprometida a liberar lo antes posible las actualizaciones necesarias para solucionar las deficiencias del paquete en cuestin. A menudo, los anuncios sobre alguna imperfeccin en algn aspecto de la seguridad son acompaados de un parche (o cdigo fuente que solucione el problema). Este parche es entonces aplicado al paquete de Fedora, probado y liberado como una actualizacin considerada de tipo errata. Sin embargo, si algn anuncio no incluye un parche, el desarrollador trabaja primero con el encargado del 17


Borrador

software para poder solucionar el problema. Una vez que el problema haya sido resuelto, el paquete es probado y liberado como una actualizacin de tipo errata. Si se lanza una errata de actualizacin del software de su sistema, es altamente recomendado actualizar los paquetes involucrados tan pronto como sea posible para minimizar la cantidad de tiempo en que el sistema es potencialmente vulnerable.

1.5.1. Actualizacin de paquetesCuando se actualiza el software de un sistema, es importante descargar la actualizacin desde una fuente confiable. Un atacante fcilmente puede recompilar un paquete con el mismo nmero de versin que el que supuestamente debera solucionar el problema, pero con una nueva falla, y liberarlo en Internet. Si esto sucede, utilizar medidas de seguridad como archivos verificadores contra el RPM original, tampoco va a detectar la nueva falla. Sin embargo, es muy importante descargar RPMs solo desde fuentes confiables, como por ejemplo desde Fedora, y verificar la firma del paquete para confirmar su integridad.

NotaFedora incluye un cono en panel que muestra una alerta cada vez que exista una actualizacin disponible para el sistema.

1.5.2. Verificacin de paquetes firmadosTodos los paquetes de Fedora estn firmados con la clave GPG de Fedora. GPG viene de GNU Privacy Guard (guardia de la privacidad de GNU), o GnuPG, un paquete de software libre que se usa para asegurar la autenticidad de archivos a distribuir. Por ejemplo, una clave privada (clave secreta) bloquea el paquete mientras que la clave pblica desbloquea y verifica el paquete. Si la clave pblica distribuida por Fedora no coincide con la clave privada durante la verificacin del RPM, el paquete puede haber sido alterado y por lo tanto no es confiable. La utilidad RPM de Fedora intenta verificar automticamente la firma GPG de un paquete RPM antes de instalarlo. Si la clave GPG no est instalada, se debe instalar desde una ubicacin esttica y segura, como el CD-ROM o DVD de instalacin de Fedora. Asumiendo que el disco est montado en /mnt/cdrom, use el siguiente comando para importarla dentro del administrador de claves (keyring, una base de datos de claves confiables en el sistema):rpm --import /mnt/cdrom/RPM-GPG-KEY

Para mostrar una lista de todas las claves instaladas para la verificacin de RPM, ejecute el siguiente comando:rpm -qa gpg-pubkey*

La salida ser similar a la siguiente:gpg-pubkey-db42a60e-37ea5438

Para mostrar los detalles de alguna clave en particular, use el comando rpm -qi seguido de la salida del comando previo, como en este ejemplo:

18

Borrador

Instalacin de paquetes firmados

rpm -qi gpg-pubkey-db42a60e-37ea5438

Es extremadamente importante verificar la firma de los archivos RPM antes de instalarlos para asegurar que no hayan sido alterados desde la fuente original de los paquetes. Para verificar todos los paquetes descargados de una vez, emita el siguiente comando:rpm -K /tmp/updates/*.rpm

For each package, if the GPG key verifies successfully, the command returns gpg OK. If it doesn't, make sure you are using the correct Fedora public key, as well as verifying the source of the content. Packages that do not pass GPG verifications should not be installed, as they may have been altered by a third party. Despus de verificar la clave GPG y de descargar todos los paquetes asociados con el informe de errata, instale los paquetes como root en el indicador de la terminal.

1.5.3. Instalacin de paquetes firmadosLa instalacin de la mayora de los paquetes se puede hacer en forma segura (excepto para los paquetes del kernel) emitiendo el siguiente comando:rpm -Uvh /tmp/updates/*.rpm

Para paquetes del kernel, use el siguiente comando:rpm -ivh /tmp/updates/

Replace in the previous example with the name of the kernel RPM. Una vez que la mquina ha sido iniciada sin problema usando el nuevo kernel, el kernel viejo se puede eliminar usando el siguiente comando:rpm -e

Replace in the previous example with the name of the older kernel RPM.

NotaNo es necesario que el ltimo kernel sea eliminado. El cargador de arranque por defecto, GRUB, permite tener varios kernels instalados, luego elija uno desde el men de arranque al iniciar.

ImportanteAntes de instalar cualquier errata de seguridad, asegrese de leer las instrucciones especiales contenidas en el informe de errata, y ejectelas apropiadamente. Visite Seccin 1.5.4, Aplicacin de los cambios para obtener instrucciones generales sobre la aplicacin de las modificaciones realizadas por una actualizacin de errata.

19


Borrador

1.5.4. Aplicacin de los cambiosDespus de descargar e instalar las erratas de seguridad y actualizaciones, es importante dejar de usar el software viejo y comenzar a usar el nuevo. Cmo se hace esto depende del tipo de software que se haya actualizado. La siguiente lista muestran los items de la categora general de software y provee instrucciones para usar las versiones actualizadas despus de cada actualizacin de paquetes.

NotaEn general, reiniciar el sistema es la mejor forma de asegurarse que la ltima versin de un paquete de software est en uso; sin embargo, esta opcin no es siempre necesaria, o est disponible slo para el administrador del sistema. Aplicaciones Las aplicaciones del espacio del usuario son todos los programas que se pueden usar por el usuario comn. Tpicamente, tales aplicaciones se usan solamente cuando un usuario, programa o tarea automatizada los inicia, y no estn activas por perodos largos de tiempo. Una vez que la aplicacin del espacio del usuario es actualizado, detenga cualquier instancia de la aplicacin en el sistema y lance el programa de nuevo para usar la versin actualizada. Kernel El kernel es el componente de software principal del sistema operativo Fedora. Maneja el acceso a la memoria, al procesador y a los perifricos, as como la planificacin de todas las tareas. Dado a su rol central, el kernel no se puede reiniciar sin detener la computadora. Por lo tanto, una versin actualizada del kernel no se puede usar hasta que la computadora no sea reiniciada. Bibliotecas compartidas Las bibliotecas compartidas son unidades de cdigos, como glibc, que se usan por un nmero de aplicaciones y servicios. Las aplicaciones que usan una biblioteca compartida normalmente cargan el cdigo compartido cuando la aplicacin se inicia, por lo que todas las aplicaciones que usen la versin actualizada de la biblioteca se deben detener y reiniciar. Para determinar qu aplicaciones en ejecucin usan una biblioteca particular, use el comando lsof como en el siguiente ejemplo:lsof /lib/libwrap.so*

Este comando devuelve una lista con todos los programas en ejecucin que utilizan encapsuladores TCP para control de acceso del equipo. Por lo tanto, cualquier programa listado debe ser detenido y reiniciado si el paquete tcp_wrappers es actualizado. Servicios SysV Los servicios SysV son programas de servidor persistentes lanzados en algn momento del proceso de inicializacin del equipo. Algunos ejemplos de servicios SysV son sshd, vsftpd, y xinetd. Debido a que estos programas generalmente continan en la memoria todo el tiempo en que el sistema se est ejecutando, cada servicio SysV actualizado debe ser detenido luego que el paquete haya sido renovado. Esto puede hacerse utilizando la Herramienta de configuracin

20

Borrador

Aplicacin de los cambios

de servicios, o logueandose como usuario root en una consola y ejecutando el comando /sbin/ service como en el ejemplo siguiente:/sbin/service restart

In the previous example, replace with the name of the service, such as sshd. Servicios xinetd Los servicios controlados por el sper servicio xinetd solo se ejecutan cuando exista una conexin activa. Ejemplos de servicios controlados por xinetd osn Telnet, IMAP, y POP3. Debido a que xinetd inicia nuevas instancias de estos servicios cada vez que se reciba un nuevo pedido, las conexiones que tengan lugar luego de una actualizacin sern administradas por el software actualizado. Sin embargo, si existen conexiones activas en el momento en que el servicio controlado por xinetd es actualizado, estas conexiones seguirn funcionando controladas por la versin anterior. Para detener instancias antiguas de un servicio particular controlado por xinetd, actualice el paquete para el servicio, y luego detenga todos los procesos que se encuentren en ejecucin. Para determinar si el proceso est ejecutndose, utilice el comando ps y luego los comandos kill o killall para detener las instancias actuales del servicio. Por ejemplo, si los paquetes errata de seguridad imap son liberados, actualice los paquetes, y luego, como usuario root, ingrese el siguiente comando en una terminal:ps -aux | grep imap

Este comando devuelve todas las sesiones IMAP activas. Las sesiones individuales pueden determinarse con el siguiente comando:kill

Si esto falla a terminar la sesin, use el siguiente comando en su lugar:kill -9

In the previous examples, replace with the process identification number (found in the second column of the ps command) for an IMAP session. Para detener todas las sesiones IMAP activas, ingrese el siguiente comando:killall imapd

21

22

Borrador

Borrador

Asegurando su Red2.1. Seguridad de la estacin de trabajoAsegurar un entorno Linux comienza con la estacin de trabajo. Ya sea bloqueando una mquina personal, o asegurando un sistema corporativo, cualquier poltica de seguridad empieza con la computadora individual. La seguridad de una red de computadoras es la misma que la de su nodo ms dbil.

2.1.1. Evaluacin de la seguridad de la estacin de trabajoCuando se evala la seguridad de una estacin de trabajo Fedora, considere los siguientes aspectos: Seguridad del BIOS y del gestor de arranque Puede un usuario no autorizado tener acceso a la mquina e iniciarla como usuario nico, o en modo de rescate, sin ninguna contrasea? Seguridad de la contrasea Qu tan seguras son las contraseas de usuario en la mquina? Controles administrativos Quin posee una cuenta en el sistema y cunto control a

Fedora 16 Security Guide Es ES

Documents

Transcript of Fedora 16 Security Guide Es ES