SEGURIDAD INFORMÁTICA
PARA EMPRESAS
Y PARTICULARES
MicroINSsFEoOGfRtU®MREÁIDxTcAICeDAl 2002
PARsAin pErMobPleRmEaSs AS
Y PARTICULARES
Gonzalo Álvarez Marañón
Pedro Pablo Pérez García
Revisión técnica
Pedro Bustamante
Chief Marketing Officer
Panda Software
MADRID • BUENOS AIRES • CARACAS • GUATEMALA • LISBOA • MÉXICO
NUEVA YORK • PANAMÁ • SAN JUAN • SANTAFÉ DE BOGOTÁ • SANTIAGO • SÃO PAULO
AUCKLAND • HAMBURGO • LONDRES • MILÁN • MONTREAL • NUEVA DELHI
PARÍS • SAN FRANCISCO • SIDNEY • SINGAPUR • ST. LOUIS • TOKIO • TORONTO
La información contenida en este libro procede de una obra original entregada por los autores.
No obstante, McGraw-Hill no garantiza la exactitud o perfección de la información publicada.
Tampoco asume ningún tipo de garantía sobre los contenidos y las opiniones vertidas
en dichos textos.
Este trabajo se publica con el reconocimiento expreso de que se está proporcionando una información,
pero no tratando de prestar ningún tipo de servicio profesional o técnico. Los procedimientos y la
información que se presentan en este libro tienen sólo la intención de servir como guía general.
McGraw-Hill ha solicitado los permisos oportunos para la realización y el desarrollo de esta obra.
SEGURIDAD INFORMÁTICA PARA EMPRESAS Y PARTICULARES
No está permitida la reproducción total o parcial de este libro, ni su tratamiento informático, ni la
transmisión de ninguna forma o por cualquier medio, ya sea electrónico, mecánico, por fotocopia,
por registro u otros métodos, sin el permiso previo y por escrito de los titulares del Copyright.
McGraw-Hill / Interamericana
de España S. A. U.
DERECHOS RESERVADOS © 2004, respecto a la primera edición en español, por
McGRAW-HILL/INTERAMERICANA DE ESPAÑA, S.A. U.
Edificio Valrealty, 1ª planta
Basauri, 17
28023 Aravaca (Madrid)
http://www.mcgraw-hill.es
[email protected]
ISBN: 84-481-4008-7
ISBN (edición especial): 84-481-4297-7
Depósito legal:
Editor: Carmelo Sánchez González
Diseño de cubierta: Luis Sanz Cantero
Compuesto en: GAAP Editorial, S. L.
Impreso en:
IMPRESO EN ESPAÑA - PRINTED IN SPAIN
> Contenido
Acerca de los autores ............................................................................................ xix
Prólogo .................................................................................................................. xxi
Introducción ........................................................................................................... xxiii
CAPÍTULO 1. Introducción a la seguridad de la información ........... 1
Gestión de seguridad de la información .................................................................. 2
Expectativas y contextos de seguridad .................................................................. 3
Gestión del riesgo .................................................................................................. 4
Amenazas a la información ................................................................................... 7
Gestión de la seguridad en el espacio .................................................................... 8
Gestión de la seguridad en el tiempo ..................................................................... 11
Seguridad frente a Comodidad .............................................................................. 11
Planificación de la seguridad ................................................................................. 12
Políticas de seguridad ............................................................................................ 14
Funciones y responsabilidades ............................................................................... 17
Servicios de seguridad gestionados ....................................................................... 17
Historia de la seguridad informática ....................................................................... 20
Comienzo de los ordenadores: años cincuenta ...................................................... 22
Inicio de la seguridad informática: años setenta ................................................... 22
Los años dorados y posterior persecución: años ochenta ...................................... 22
La seguridad cobra fuerza ...................................................................................... 23
El boom de la seguridad ........................................................................................ 24
Casos famosos ........................................................................................................ 24
La seguridad en la empresa ...................................................................................... 25
v
vi Contenido
Defensa en profundidad ......................................................................................... 25
Análisis de riesgos ................................................................................................. 29
Análisis de amenazas comunes ............................................................................. 32
Costes de los incidentes de seguridad para la empresa ......................................... 34
Cumplimiento de leyes y estándares ...................................................................... 36
Gestión de la Seguridad de la Información en España .................................... 37
Normas Internacionales ................................................................................... 37
Criterios de seguridad para la clasificación de seguridad de sistemas ............ 38
La seguridad para el particular ............................................................................... 38
La problemática de los hackers .............................................................................. 38
La problemática del malware ................................................................................. 39
Otras problemáticas de seguridad .......................................................................... 40
Soluciones de seguridad para el particular ............................................................ 41
Referencias y lecturas complementarias ................................................................. 44
Bibliografía ............................................................................................................ 44
Internet ................................................................................................................... 44
Gestión de seguridad de la información .......................................................... 44
Historia de la seguridad informática ................................................................ 44
La seguridad en la empresa .............................................................................. 45
CAPÍTULO 2. Anonimato y privacidad ................................................ 47
Navegación anónima.................................................................................................. 49
Proxies CGI o anonimizadores .............................................................................. 50
Proxies HTTP ......................................................................................................... 50
Proxies SOCKS ...................................................................................................... 54
Comparación de los diversos tipos de proxy ......................................................... 56
Correo electrónico anónimo ...................................................................................... 57
Servicios de correo Web ......................................................................................... 57
Repetidores de correo anónimos ............................................................................ 58
60
Protección frente al spyware y programas espía .................................................... 60
Origen del spyware ................................................................................................ 61
Web bugs ................................................................................................................ 63
¿Tengo spyware en mi ordenador? ........................................................................ 64
Eliminación y prevención del spyware ..................................................................
64
Cookies ........................................................................................................................ 66
Descripción de las cookies ..................................................................................... 67
Riesgos de las cookies ............................................................................................ 67
Amenazas de las cookies a la confidencialidad ............................................... 67
Amenazas de las cookies al anonimato ........................................................... 68
Protección contra las cookies .................................................................................
71
Borrado de rastros en el ordenador ......................................................................... 72
Eliminación de rastros de la navegación ............................................................... 74
Eliminación de otros rastros de la actividad informática ...................................... 74
Borrado seguro de datos .........................................................................................
76
Ley Orgánica de Protección de Datos de carácter personal (LOPD) .................. 77
Datos de carácter personal ..................................................................................... 77
Tipos de ficheros .................................................................................................... 78
Sujetos a la Ley ......................................................................................................
Contenido vii
Obligaciones legales .............................................................................................. 78
Principio de calidad de datos ........................................................................... 78
Deber de información ....................................................................................... 79
Solicitud del consentimiento para tratamiento y cesión de datos.................... 80
Flujos de datos .................................................................................................. 80
Deber de guardar secreto .................................................................................. 81
Atención de los derechos de los ciudadanos .................................................... 81
Notificación de ficheros ................................................................................... 82
Adopción de medidas de seguridad necesarias ................................................ 83
Medidas de seguridad ............................................................................................ 83
Medidas de seguridad de nivel básico.............................................................. 84
Documento de seguridad ............................................................................ 84
Funciones y obligaciones del personal ....................................................... 84
Registro de incidencias ............................................................................... 84
Identificación y autenticación .................................................................... 85
Autorización ............................................................................................... 85
Gestión de soportes ..................................................................................... 85
Copias de respaldo ...................................................................................... 85
Medidas de seguridad de nivel medio .............................................................. 85
Documento de seguridad ............................................................................ 85
Responsable de seguridad ........................................................................... 86
Auditoría ..................................................................................................... 86
Identificación y autenticación .................................................................... 86
Autorización ............................................................................................... 86
Control de acceso físico .............................................................................. 86
Gestión de soportes ..................................................................................... 86
Registro de incidencias ............................................................................... 86
Pruebas con datos reales ............................................................................. 87
Medidas de seguridad de nivel alto.................................................................. 87
Distribución de soportes ............................................................................. 87
Registro de accesos ..................................................................................... 87
Copias de respaldo y recuperación ............................................................. 87
Telecomunicaciones .................................................................................... 87
Normativa sobre Protección de Datos de Carácter Personal ................................. 88
Ley de Servicios de la Sociedad de la Información y Comercio Electrónico
(LSSICE) ........................................................................................................... 88
Constancia registral del nombre de dominio ......................................................... 88
Información general ............................................................................................... 89
Comunicaciones comerciales por vía electrónica .................................................. 89
Contratación de servicios por vía electrónica ........................................................ 90
Normativa sobre comercio electrónico .................................................................. 91
Referencias y lecturas complementarias ................................................................. 91
Bibliografía ............................................................................................................ 91
Internet ................................................................................................................... 91
Navegación anónima ........................................................................................ 91
Spyware ............................................................................................................ 92
Cookies ............................................................................................................. 92
Rastros .............................................................................................................. 92
LOPD ................................................................................................................ 92
viii Contenido
CAPÍTULO 3. CID: Confidencialidad, Integridad, Disponibilidad ..... 93
Confidencialidad ........................................................................................................ 95
Confidencialidad en el almacenamiento de datos ................................................. 97
Herramientas de cifrado de archivos................................................................ 98
El sistema de archivos de cifrado de Windows (EFS) ..................................... 99
Herramientas de línea de comando para EFS ............................................ 104
Limitaciones de EFS y posibles soluciones ................................................ 104
Guía de mejores prácticas para el uso de EFS ........................................... 106
Alternativas a EFS ...................................................................................... 106
Discos duros cifrados ....................................................................................... 106
Confidencialidad en el transporte de datos ........................................................... 107
Cifrado de los datos en el navegador ............................................................... 109
Cifrado de los mensajes de correo electrónico ................................................. 110
Outlook Express ......................................................................................... 111
PGP ............................................................................................................. 112
Esteganografía ............................................................................................ 113
Cifrado de otros protocolos .............................................................................. 114
Túneles SSL ................................................................................................ 114
SSH ............................................................................................................. 115
IPSec ................................................................................................................. 116
Integridad ................................................................................................................... 117
Integridad en el almacenamiento de datos ............................................................ 118
Control de cambios ........................................................................................... 118
Firma de archivos ............................................................................................. 118
md5sum ...................................................................................................... 119
fsum ............................................................................................................ 120
sfv ................................................................................................................ 120
Integridad en bases de datos ............................................................................ 121
Integridad en el transporte de datos ...................................................................... 121
Integridad de los datos en el navegador........................................................... 121
Integridad de los mensajes de correo electrónico ............................................ 122
Disponibilidad ............................................................................................................ 122
Tolerancia a fallos .................................................................................................. 123
Protección del entorno ...................................................................................... 124
Fallos en el suministro eléctrico ................................................................. 124
Detección y extinción de incendios ............................................................ 125
Calefacción, ventilación y aire acondicionado ........................................... 126
Seguridad física de los equipos .................................................................. 126
Protección del hardware ................................................................................... 127
Sistemas RAID ........................................................................................... 127
Redundancia en el almacenamiento ........................................................... 128
Cluster de servidores .................................................................................. 130
Interrupción de la conexión de red ............................................................. 131
Protección del software .................................................................................... 131
Recuperación de sistemas ...................................................................................... 131
Copias de seguridad del sistema de archivos ................................................... 131
Información a copiar .................................................................................. 132
Tipos de copia de seguridad ....................................................................... 132
Contenido ix
Duración de las copias de seguridad .......................................................... 134
Tipos de medios de almacenamiento .......................................................... 136
Lugar de almacenamiento de las copias de seguridad ............................... 137
Responsable de las copias de seguridad ..................................................... 137
No todo el monte es orégano ...................................................................... 137
Copias de respaldo del estado del sistema ....................................................... 138
Utilidad de copia de seguridad de Windows ......................................................... 139
Creación de copias de seguridad ................................................................ 140
Restauración de datos ................................................................................. 141
Creación de disco de recuperación automática del sistema ....................... 141
Utilidades de copia de seguridad profesionales ............................................... 142
Plan de contingencia .............................................................................................. 142
Plan de continuidad de negocio ....................................................................... 143
Plan de recuperación ante desastres ................................................................. 145
Otros conceptos de seguridad ................................................................................... 146
Autenticación ......................................................................................................... 146
Contraseñas ...................................................................................................... 146
Certificados digitales ........................................................................................ 147
Identificación biométrica ................................................................................. 147
Autenticación multifactor ................................................................................ 148
Autorización ........................................................................................................... 148
Listas de control de acceso ............................................................................... 149
Identidad de código .......................................................................................... 149
Reglas de filtrado ............................................................................................. 150
Auditoría ................................................................................................................ 150
No repudio .............................................................................................................. 150
Firmas electrónicas y certificados digitales ............................................................ 150
Firmas electrónicas ................................................................................................ 151
Certificados digitales ............................................................................................. 152
Información almacenada en certificados ......................................................... 154
Formatos de archivo de certificado estándar ................................................... 155
Sintaxis estándar de intercambio de información personal
(PKCS #12) ........................................................................................... 155
Sintaxis estándar de mensajes criptográficos (PKCS #7) .......................... 155
Sintaxis estándar de petición de certificados (PKCS #10) ........................ 156
Tipos de certificados ......................................................................................... 156
Certificados de servidor .............................................................................. 156
Certificados personales ............................................................................... 156
Certificados de edición de software ............................................................ 156
Certificados de entidad emisora de certificados ......................................... 156
Cómo conseguir un certificado digital de prueba ............................................ 157
Almacenamiento seguro de certificados digitales ........................................... 157
Autoridades de certificación .................................................................................. 158
Listas de revocación de certificados ...................................................................... 161
Referencias y lecturas complementarias ................................................................. 162
Bibliografía ............................................................................................................ 162
Internet ................................................................................................................... 162
Confidencialidad .............................................................................................. 162
Integridad ......................................................................................................... 163
x Contenido
Disponibilidad .................................................................................................. 163
Otros aspectos de la seguridad ......................................................................... 163
CAPÍTULO 4. Protección de redes ...................................................... 165
Conceptos generales de redes ................................................................................... 166
TCP/IP .................................................................................................................... 167
Capa de aplicación ........................................................................................... 168
Capa de transporte............................................................................................ 168
Capa de red ....................................................................................................... 169
Capa de enlace .................................................................................................. 169
Ethernet .................................................................................................................. 170
Redes inalámbricas ................................................................................................ 172
Modo infraestructura ........................................................................................ 174
Modo ad hoc ..................................................................................................... 175
Amenazas y ataques en una red ............................................................................... 176
Amenazas, vulnerabilidades, ataques y contramedidas ........................................ 176
Herramientas de análisis de la seguridad .............................................................. 177
Enumeración .................................................................................................... 178
Ping ............................................................................................................. 178
Tracert ......................................................................................................... 180
SNMP .......................................................................................................... 182
Datos de un sistema localizado ........................................................................ 182
Escaneo de puertos ..................................................................................... 182
Fingerprinting de sistema operativo .......................................................... 185
Fingerprinting de aplicaciones ................................................................... 186
Extracción de información de una aplicación ............................................ 187
Escaneo de vulnerabilidades ............................................................................ 188
Cracking de contraseñas .................................................................................. 189
Cracking de contraseñas de hash no conocido........................................... 189
Cracking de contraseñas de hash conocido ................................................ 191
Sniffing ............................................................................................................. 192
Wardialing ........................................................................................................ 195
Wardriving y Warchalking ............................................................................... 195
Protección de las comunicaciones ............................................................................. 197
Protección de dispositivos de red ........................................................................... 197
Hubs .................................................................................................................. 198
Switches ............................................................................................................ 198
Routers .............................................................................................................. 199
Protección de acceso con módem telefónico .......................................................... 199
WarDialers ........................................................................................................ 200
Dialers .............................................................................................................. 200
Protección de acceso de banda ancha .................................................................... 201
ADSL ................................................................................................................ 201
Cable ................................................................................................................. 201
Vulnerabilidades ............................................................................................... 202
Contramedidas ................................................................................................. 202
Protección de redes inalámbricas ............................................................................. 203
Contenido xi
Redes personales .................................................................................................... 203
Infrarrojos ......................................................................................................... 204
Bluetooth .......................................................................................................... 204
Redes de área local ................................................................................................. 204
Wi-Fi ................................................................................................................. 204
Seguridad básica al alcance de cualquiera ................................................. 206
Seguridad reforzada para empresas ............................................................ 206
Configuración del punto de acceso (AP) .................................................... 207
Configuración del cliente o clientes ........................................................... 208
Radio enlaces .................................................................................................... 209
Redes de área extendida ......................................................................................... 210
Comunicaciones analógicas ............................................................................. 210
Comunicaciones digitales ................................................................................ 210
Filtrado mediante cortafuegos .................................................................................. 211
Servicios ofrecidos por los cortafuegos .................................................................. 212
Debilidades de los cortafuegos ............................................................................... 213
Tecnologías de cortafuegos en Internet ................................................................. 214
Filtrado de paquetes ......................................................................................... 214
Puntos fuertes del filtrado de paquetes ....................................................... 215
Debilidades del filtrado de paquetes .......................................................... 216
Pasarelas proxy de aplicaciones ....................................................................... 216
Puntos fuertes de las pasarelas de aplicaciones ......................................... 217
Debilidades de las pasarelas de aplicaciones ............................................. 218
Inspección multinivel de estados .................................................................... 218
Puntos fuertes de la inspección multinivel de estados ............................... 218
Debilidades de la inspección multinivel de estados ................................... 218
Cortafuegos personales: solución para el particular.............................................. 219
El cortafuegos de Windows XP ........................................................................ 219
Ejemplos de cortafuegos personales gratuitos ................................................. 221
ZoneAlarm .................................................................................................. 222
Outpost ........................................................................................................ 222
Kerio Personal Firewall 4 ........................................................................... 222
Cortafuegos dedicado: solución para la empresa .................................................. 224
La plataforma ................................................................................................... 224
La arquitectura ................................................................................................. 224
Ejemplos de cortafuegos empresariales ........................................................... 226
Check Point Firewall-1 ............................................................................... 227
Cisco PIX .................................................................................................... 228
Redes privadas virtuales ........................................................................................... 229
Redes privadas virtuales para el particular ........................................................... 229
Configuración del servidor ............................................................................... 229
Configuración del cliente ................................................................................. 231
Redes privadas virtuales para el entorno empresarial ........................................... 231
Referencias y lecturas complementarias ................................................................. 234
Bibliografía ............................................................................................................ 234
Internet ................................................................................................................... 234
Amenazas y contramedidas en una red ........................................................... 234
Protección de comunicaciones ......................................................................... 234
Cortafuegos ....................................................................................................... 235
xii Contenido
Redes privadas virtuales .................................................................................. 235
Wireless ............................................................................................................ 235
CAPÍTULO 5. Protección de equipos .................................................. 237
Fortalecimiento del sistema operativo .................................................................... 239
Reducción de la superficie de ataque ..................................................................... 241
Eliminación de servicios innecesarios ............................................................. 241
Protección de cuentas ....................................................................................... 243
Directivas de contraseñas ................................................................................. 244
Principio del mínimo privilegio ....................................................................... 246
Directivas de restricción de uso de software .................................................... 248
Permisos NTFS y listas de control de acceso ................................................... 250
Plantillas de seguridad ..................................................................................... 252
Configuración y análisis de seguridad de Windows XP .................................. 254
Windows Scripting Host (WSH) ...................................................................... 255
Explorador de Windows ................................................................................... 255
Mantenerse seguro ................................................................................................. 256
Configuración y revisión de rastros de auditoría ............................................. 256
Gestión de parches y actualizaciones de seguridad ......................................... 257
Windows Update ......................................................................................... 259
Windows Update Services (WUS) .............................................................. 260
Systems Management Server (SMS) 2003 ................................................. 261
¿Cuál elegir? ............................................................................................... 262
Herramientas automatizadas de auditoría y detección de vulnerabilidades .... 262
MBSA ......................................................................................................... 263
Nessus ......................................................................................................... 263
Información sobre agujeros de seguridad ........................................................ 264
Auditorías periódicas ....................................................................................... 266
Fortalecimiento de red .............................................................................................. 266
Cortafuegos del sistema operativo ......................................................................... 266
Protocolos ............................................................................................................... 266
NetBIOS ........................................................................................................... 267
SMB .................................................................................................................. 267
Restricción de la conexión anónima ................................................................ 268
UPnP ................................................................................................................. 268
Escritorio remoto .............................................................................................. 269
Fortalecimiento de la pila TCP/IP ......................................................................... 269
Protección contra ataques SYN ........................................................................ 269
Protección contra ataques ICMP ...................................................................... 269
Protección contra ataques SNMP ..................................................................... 270
Fortalecimiento de aplicaciones ............................................................................... 270
Aplicaciones de servidor ........................................................................................ 270
Riesgos de los servidores .................................................................................. 270
Errores de aplicación .................................................................................. 271
Desbordamiento de búfer ............................................................................ 271
Mala configuración ..................................................................................... 272
Tipos de servidores más comunes .................................................................... 272
Servidor Web ............................................................................................... 273
Contenido xiii
Servidor de base de datos ........................................................................... 274
Servidor de correo ....................................................................................... 276
Aplicaciones de cliente .......................................................................................... 277
Navegación ....................................................................................................... 277
Correo electrónico ............................................................................................ 282
Office ................................................................................................................ 283
Programas P2P, chat y mensajería instantánea ................................................ 283
Riesgos ........................................................................................................ 284
Cómo protegerse y limitar su incidencia .................................................... 285
Control de contenidos de páginas Web .................................................................. 287
El asesor de contenidos de Internet Explorer .................................................. 287
Software patrulla para los niños ...................................................................... 288
Filtrado en la empresa ...................................................................................... 289
Filtrado en el proveedor ................................................................................... 290
Protección contra malware ....................................................................................... 290
Tipos de malware ................................................................................................... 290
Los virus y sus variantes .................................................................................. 290
Virus ............................................................................................................ 290
Gusanos ....................................................................................................... 292
Troyanos ..................................................................................................... 293
Bombas lógicas ........................................................................................... 294
Código móvil malicioso ................................................................................... 294
Applets de Java ........................................................................................... 295
JavaScript .................................................................................................... 296
Controles ActiveX ...................................................................................... 296
Por dónde se introduce el malware .................................................................. 296
Qué no es malware ........................................................................................... 297
Armas contra el malware ....................................................................................... 298
Funcionamiento de los antivirus ...................................................................... 298
Detección basada en firmas ........................................................................ 298
Detección heurística ................................................................................... 299
El futuro de los antivirus ............................................................................ 299
Gestión de antivirus ......................................................................................... 300
Defensa en profundidad .............................................................................. 301
Actualización de antivirus .......................................................................... 302
Respuesta a nuevos virus ............................................................................ 303
Educación, formación y concienciación ..................................................... 303
Herramientas antivirus ..................................................................................... 304
Máquinas virtuales aisladas ............................................................................. 306
Detección y recuperación tras una infección ......................................................... 306
La ingeniería social y sus variantes ......................................................................... 308
Ingeniería social ..................................................................................................... 308
Phising ................................................................................................................... 310
Bulos (hoaxes) ........................................................................................................ 311
Timos (scams) ........................................................................................................ 313
Tarjetas de crédito .................................................................................................. 314
Protección contra spam ............................................................................................. 315
El problema del spam ............................................................................................ 316
Lucha en el servidor ............................................................................................... 316
xiv Contenido
Inspección del sobre ......................................................................................... 317
Listas negras ............................................................................................... 317
Destinatarios válidos .................................................................................. 318
Marco para la política de remitentes .......................................................... 319
Inspección del contenido .................................................................................. 320
Reconocimiento de patrones ....................................................................... 321
Redes de colaboración ................................................................................ 321
Aprendizaje Bayesiano ............................................................................... 322
Qué hacer con el spam ..................................................................................... 322
Lucha en el cliente ................................................................................................. 322
Capacidades antispam de Outlook Express ..................................................... 323
Capacidades de Outlook 2003 .......................................................................... 324
Software personal antispam ............................................................................. 326
Clientes de correo alternativos a Microsoft ..................................................... 326
Algunos consejos para eludir el spam ................................................................... 326
Referencias y lecturas complementarias ................................................................. 328
Bibliografía ............................................................................................................ 328
Internet ................................................................................................................... 328
Fortalecimiento del sistema operativo ............................................................. 328
Fortalecimiento de aplicaciones ....................................................................... 329
Protección contra malware ............................................................................... 330
La ingeniería social y sus variantes ................................................................. 330
Protección antispam ......................................................................................... 331
CAPÍTULO 6. Auditoría, detección de intrusiones
y análisis forense .............................................................................. 333
Cómo atacan los hackers .......................................................................................... 335
Identificación del objetivo ...................................................................................... 337
Recopilación de información sobre el blanco ........................................................ 337
Ataques Indirectos ............................................................................................ 337
Ataques directos ............................................................................................... 338
Análisis de la información e identificación de vulnerabilidades .......................... 338
Obtención del nivel de acceso apropiado .............................................................. 340
Realización del ataque sobre el objetivo ................................................................ 340
Completar el ataque ............................................................................................... 341
Detección de intrusiones en la red............................................................................ 342
Sistemas IDS .......................................................................................................... 344
Sistemas basados en firmas .............................................................................. 345
Sistemas basados en anomalías ........................................................................ 345
Tipos de IDS .......................................................................................................... 346
Utilización de un IDS para detectar ataques ......................................................... 346
Ubicación del IDS ............................................................................................ 347
Configuración del IDS ..................................................................................... 349
Operación del IDS ............................................................................................ 350
Plan de respuesta a incidentes .................................................................................. 350
Sistemas de prevención de intrusiones ..................................................................... 352
Distintos tipos de IPS ............................................................................................. 353
Funcionamiento de los IPS .................................................................................... 353
Contenido xv
Registros de auditoría de sistemas ........................................................................... 354
Registros del sistema .............................................................................................. 355
Configuración de la auditoría de sistema ........................................................ 356
Examen de los registros de auditoría ............................................................... 359
Entrada/Salida al sistema ................................................................................. 362
Acceso a los objetos .......................................................................................... 363
Auditoría de procesos ....................................................................................... 363
Otras plataformas ............................................................................................. 363
Registros de los elementos de comunicaciones ..................................................... 364
Puertos .............................................................................................................. 364
Direcciones IP .................................................................................................. 365
Pruebas y ataques comunes .............................................................................. 365
Registros de las aplicaciones ................................................................................. 366
Herramientas de análisis de registros .............................................................. 369
Análisis forense .......................................................................................................... 369
Captura de la evidencia .......................................................................................... 369
Evidencia volátil ............................................................................................... 369
Memoria ...................................................................................................... 370
Procesos en ejecución ................................................................................. 371
Cuentas de usuarios .................................................................................... 371
Datos de la red ............................................................................................ 371
Evidencia de disco ............................................................................................ 372
Análisis de la evidencia volátil .............................................................................. 372
Análisis de la información de disco ...................................................................... 373
Archivos de auditoría ....................................................................................... 373
Búsqueda dentro del sistema de archivos ........................................................ 373
Análisis de programas sospechosos ....................................................................... 375
Referencias y lecturas complementarias ................................................................. 375
Bibliografía ............................................................................................................ 375
Internet ................................................................................................................... 376
Cómo atacan los hackers .................................................................................. 376
Sistemas de detección de intrusiones ............................................................... 376
Respuesta a incidentes ...................................................................................... 377
Registros de auditoría....................................................................................... 377
Análisis forense ................................................................................................ 377
Apéndice A. Listas de tareas de seguridad ........................................ 379
Organización de la seguridad ................................................................................... 380
Políticas de seguridad ............................................................................................ 380
Seguridad física ...................................................................................................... 381
Configuración segura de puestos de trabajo con Windows XP ............................. 381
Parches y actualizaciones ....................................................................................... 381
Mantenerse seguro ................................................................................................. 381
Sistema de archivos ............................................................................................... 382
Protocolos ............................................................................................................... 382
Cuentas ................................................................................................................... 382
Servicios ................................................................................................................. 382
Registro .................................................................................................................. 382
xvi Contenido
Recursos compartidos ............................................................................................ 382
Configuración segura de servidores con Windows 2000/2003 ............................... 382
Parches y actualizaciones ....................................................................................... 382
Mantenerse seguro ................................................................................................. 383
Sistema de archivos ............................................................................................... 383
Protocolos ............................................................................................................... 383
Cuentas ................................................................................................................... 383
Servicios ................................................................................................................. 383
Registro .................................................................................................................. 384
Recursos compartidos ............................................................................................ 384
Configuración segura de redes ................................................................................. 384
Routers ................................................................................................................... 384
Switches ................................................................................................................. 384
Cortafuegos ............................................................................................................ 384
Redes inalámbricas (WLAN) ................................................................................. 384
Uso de Internet ........................................................................................................... 385
Navegador .............................................................................................................. 385
Correo electrónico .................................................................................................. 385
Referencias y lecturas complementarias ................................................................. 385
Apéndice B. Herramientas de seguridad ............................................ 387
Herramientas de auditoría y ataque en Internet ................................................... 388
Escaneo de puertos ................................................................................................. 388
Enumeración .......................................................................................................... 388
Fingerprinting de sistema operativo ...................................................................... 388
Fingerprinting de aplicación .................................................................................. 389
Rastreo de información .......................................................................................... 389
Escaneo de vulnerabilidades .................................................................................. 389
Cracking de contraseñas ........................................................................................ 389
War Dialers ............................................................................................................ 390
Ataque de aplicaciones Web .................................................................................. 390
Puertas traseras y acceso remoto (detección) ......................................................... 390
Puertas traseras y acceso remoto (creación) .......................................................... 390
Ataque de bases de datos ....................................................................................... 391
Denegación de servicio (DoS) ............................................................................... 391
Herramientas de auditoría y ataque en redes locales ............................................ 391
Redirección de puertos ........................................................................................... 391
Sniffers ................................................................................................................... 391
War Driving ........................................................................................................... 392
Falsificación ARP .................................................................................................. 392
Herramientas de análisis forense ............................................................................. 392
Captura de la evidencia .......................................................................................... 392
Análisis de la evidencia volátil .............................................................................. 393
Análisis de logs ...................................................................................................... 393
Herramientas de protección ..................................................................................... 393
Antispam ................................................................................................................ 393
Antivirus ................................................................................................................ 393
Antivirus gratuitos ................................................................................................. 394
Contenido xvii
Antispyware ........................................................................................................... 395
Anonimato ............................................................................................................. 395
Borrado de rastros .................................................................................................. 395
Borrado de disco .................................................................................................... 396
Confidencialidad .................................................................................................... 396
Cortafuegos personales .......................................................................................... 397
Integridad ............................................................................................................... 397
Disponibilidad ........................................................................................................ 397
Información general .................................................................................................. 397
Revistas/Boletines .................................................................................................. 397
Convenciones ......................................................................................................... 398
Certificaciones (cursos) .......................................................................................... 398
Centros de respuesta .............................................................................................. 398
Portales de seguridad ............................................................................................. 399
Noticias .................................................................................................................. 399
Grupos de seguridad .............................................................................................. 399
Índice ...................................................................................................... 401
xviii Contenido
> Acerca de los autores
Gonzalo Álvarez Marañón
Su formación académica incluye los títulos de Inge-
niero Superior de Telecomunicación y Doctor en In-
formática. Posee experiencia como criptólogo en
proyectos de investigación en el CSIC (Consejo Supe-
rior de Investigaciones Científicas), habiendo partici-
pado como contribuyente y conferenciante habitual
en congresos, publicaciones científicas y foros sobre
criptología y seguridad en Internet. En su faceta
divulgativa, ha sido columnista de varios periódicos
(El Mundo, El Correo) y colaborador en revistas espe-
cializadas (iWorld, PC World, Mundo Electrónico, SIC). Es autor del libro
Los mejores trucos para Internet (4ª edición). Imparte regularmente cursos
sobre seguridad informática para profesionales del sector. Fue pionero de la
seguridad en Internet en España con su sitio Criptonomicón (www.iec.csic.es/
criptonomicon), uno de los más antiguos de la comunidad latina. Esta
experiencia científica y divulgativa se completa con un gran conocimiento
práctico de la seguridad en Internet en el mundo real, tras su participación
en numerosos proyectos como diseñador de arquitecturas de seguridad,
desarrollador de aplicaciones seguras y auditor de seguridad.
Pedro Pablo Pérez García, CISSP
Su formación incluye los títulos de Ingeniero Superior
de Informática y Certified Information Security Profe-
sional (CISSP), otorgado por el prestigioso ISC2. Po-
see más de 10 años de experiencia como especialista
de seguridad en varios proyectos de ámbito nacional e
internacional, habiendo desarrollado su carrera profe-
sional como consultor de seguridad dentro de empre-
sas de la talla de Hewlett Packard o Telefónica. En su
faceta divulgativa imparte regularmente cursos sobre
seguridad informática para profesionales del sector y
colabora habitualmente en varios programas de postgrado en universidades
españolas.
xix
xx Acerca de los autores
> Prólogo
En el momento de la publicación de esta obra, segunda mitad de 2004, el
número de adultos españoles que navegan por Internet superará amplia-
mente los 12 millones, lo que representa más de un tercio de la población
adulta. Y durante el año 2005, la difusión de Internet superará la mitad de
la población. Esto significa que Internet ha dejado de ser un lujoso y exóti-
co pasatiempo para convertirse en parte de la infraestructura de todo país
desarrollado.
Este crecimiento se produce en un entorno en el que los medios de co-
municación y los poderes tradicionales, quizá en defensa de su territorio,
tienden a hacer de Internet una fuente de noticias negativa. Por ejemplo, a
la luz de los numerosos casos descubiertos en los últimos años, parece que
un delito tan execrable como la pedofilia se asocia exclusivamente a Internet.
Sin embargo, esto no es así, Internet tan sólo ha hecho aflorar unas redes
delictivas que han existido hasta ahora de una manera mucho más oculta.
En vez de referirse a los efectos positivos como libre acceso, libertad de
expresión, difusión, instantaneidad, internacionalización o servicios al ciu-
dadano, se tiende a asociar Internet con pedofilia, timos, maníacos sexua-
les, terrorismo, abuso de derechos de autor, compras fraudulentas, robo de
información, difusión de virus, etc.
En este caldo de cultivo, aunque los usuarios creen que el uso del co-
mercio electrónico, el motor económico de la red, supone grandes ventajas
y se encuentran altamente motivados para el uso de la cada vez más amplia
gama de servicios ofrecidos a través de la Red, los problemas de seguridad,
como demuestran numerosos estudios, constituyen el principal factor de
desmotivación para el uso de Internet en transacciones que impliquen un
compromiso económico o la revelación de datos confidenciales.
xxi
xxii Prólogo
La sensación de falta de seguridad no es tan sólo una creación artificial, ya que no trans-
curre un mes sin que se haga pública alguna vulnerabilidad que afecte a la principal herra-
mienta de acceso a Internet: el navegador Internet Explorer, utilizado por más del 90% de
los ordenadores. Los reiterados esfuerzos del primer fabricante mundial de software por
mejorar esta situación parecen haber sido hasta ahora completamente inútiles. Y se han
centrado más en mejorar los mecanismos de distribución de parches y actualizaciones que en
mejorar la calidad del software para disminuir el número de vulnerabilidades de seguridad.
En el entorno que acabamos de describir, las publicaciones sobre seguridad ciertamente
son abundantes. Sin embargo, el presente libro aparece en el momento adecuado y viene a
cubrir una necesidad de los usuarios avanzados, de los profesionales liberales y de las pymes.
Hasta la aparición de Seguridad informática para empresas y particulares resultaba patente
la inexistencia de obras en castellano que abordaran el tema de la seguridad informática y de
Internet desde un nivel intermedio. Es fácil encontrar obras para profesionales de la infor-
mática y las telecomunicaciones, pero hasta ahora no existía una obra como ésta destinada
tanto a esos usuarios avanzados que quieren profundizar en el tema, como al personal de
informática de pequeñas y medianas empresas en que no se necesitan complejas arquitectu-
ras de seguridad.
No cabe duda de que la obra que prologamos se convertirá en una de las referencias
bibliográficas de obligada lectura para cualquier persona de habla hispana que quiera adqui-
rir una visión amplia de la seguridad en la informática y las telecomunicaciones.
Juan Carlos G. Cuartango
Director de Instituto Seguridad Internet (www.instisec.com)
> Introducción
"El único sistema verdaderamente seguro es aquel
que está apagado, encerrado en un bloque de hormigón y sellado
en una habitación recubierta de plomo con guardias armados…
y aun así tengo mis dudas."
Eugene Spafford, "Computer Recreations: Of Worms, Viruses
and Core War", Scientific American, marzo 1989, p. 110.
La seguridad no es una disciplina de todo o nada. No existen sistemas 100%
seguros. Cotidianamente realizamos innumerables acciones expuestas a di-
ferentes riesgos: conducimos el coche, montamos en bici, volamos en avión,
andamos de noche por la calle, bebemos agua del grifo, pagamos con tarjeta
de crédito en el restaurante, en fin, son tantas las cosas que hacemos sujetas
a riesgos que no podrían enumerarse todas. Y a pesar de ello, las seguimos
haciendo. Sabemos que podemos tener un accidente de coche, pero confia-
mos en nuestra pericia como conductores, en la tecnología de los modernos
automóviles, en las carreteras y hasta nos fiamos del que viene de frente.
Ponerse el cinturón o llevar un airbag de serie no evitará un accidente, pero
mitigará el daño si se produce. No beber antes de conducir o circular de día
puede reducir el riesgo de accidente. Como se ve, la seguridad gira en torno
a la gestión del riesgo. Todos sabemos que ni los coches, ni los aviones, ni
los trenes son 100% seguros y, a pesar de todo, seguimos usándolos a dia-
rio. ¿Por qué? Porque aunque sea de manera inconsciente, realizamos un
sencillo análisis de riesgos y decidimos seguir adelante o no. No bebemos
xxiii
xxiv Introducción
agua del grifo en un país subdesarrollado ni andamos de noche por un callejón oscuro del
peor barrio de la ciudad ni meteríamos en casa a un desconocido. A veces nos equivocamos
en la evaluación del riesgo, a veces se producen fallos técnicos, a veces nos hemos precipita-
do y no hemos reflexionado previamente. La vida puede verse como una constante toma de
decisiones en la que se evalúa el riesgo y se actúa en consecuencia.
La aspiración de este libro es enseñarle a gestionar el riesgo de la información. Los
sistemas informáticos están expuestos a amenazas de todo tipo. Primero debe saber identifi-
carlas, para poder evaluarlas y decidir las medidas de seguridad que adoptará para mitigar el
riesgo que suponen. Decidirá si merece la pena implantar una contramedida o si es mejor
aceptar el riesgo tal cual. Tratar de eliminar el riesgo por completo es imposible. Nuestro
objetivo es enseñarle a reducirlo hasta unos niveles aceptables, que le permitan convivir con
él. En el fondo sabe que un avión, por poder, puede caerse en pleno vuelo, pero no por ello
deja de utilizarlo. Con la seguridad informática ocurre igual. Aunque muchas cosas pueden
fallar, si aprende a controlar el riesgo podrá sentirse cómodo con la informática, confiar en
ella y sacarle el máximo provecho.
Por qué este libro
La idea seminal de este libro germinó en una terraza. Nos encontrábamos charlando con un
amigo que tiene una pequeña empresa de diez trabajadores, quien nos pidió que le recomen-
dáramos un libro sobre seguridad informática. Nos vinieron a la cabeza numerosos títulos,
pero rápidamente los desechábamos, ya que no resultaban adecuados para las necesidades de
nuestro amigo.
Pronto nos dimos cuenta del hecho de que la práctica totalidad de libros de seguridad
informática que existen actualmente en el mercado editorial abordan el tema desde una
perspectiva y lenguaje excesivamente técnicos, estando orientados principalmente hacia un
público muy profesional y especializado: administradores de red, consultores de seguridad,
diseñadores de aplicaciones, desarrolladores de software, programadores, directivos de em-
presas, etc. Por consiguiente, se aprecia un vacío de obras orientadas hacia el mercado del
profesional liberal y la pyme, segmento conocido como SOHO (Small Office/Home Office):
j Usuarios que disponen en sus casas u oficinas de un solo ordenador conectado a
Internet a través de un módem telefónico o una línea ADSL.
Usuarios que han creado una pequeña red doméstica con 2 o 3 ordenadores, a menu-
do interconectados con tecnologías WiFi con el fin de evitar los problemas de cableado,
y con salida a Internet.
i Pequeñas empresas con una reducida LAN de hasta una docena de equipos
interconectados mediante un concentrador (hub), o un conmutador (switch), o un
punto de acceso inalámbrico, compartiendo todos ellos el acceso a Internet mediante
un router ADSL de 256 Kbps.
Mirando nuestras estanterías, encontramos libros que tratan en exclusiva el tema de los
cortafuegos, las redes privadas virtuales, la criptografía, la detección de intrusos, el análisis
forense, y así sucesivamente. Cada libro trata un tema muy concreto con gran nivel de deta-
lle, pero ninguno ofrece una perspectiva global de la seguridad. Evidentemente, un lector del
sector SOHO antes descrito, interesado en adquirir un conocimiento práctico sobre la segu-
ridad, que pueda aplicar en su situación particular, no puede comprar ni leer todos esos
Introducción xxv
libros. En primer lugar, es seguro que carecerá del bagaje técnico para comprenderlos. En
segundo lugar, esos libros están orientados a las grandes redes, con cientos o incluso miles
de ordenadores, con complejas arquitecturas y requisitos de confidencialidad, integridad y
disponibilidad muy superiores a los del usuario de SOHO convencional, por lo que las solu-
ciones proporcionadas a menudo no son de aplicación en su entorno. En pocas palabras, esos
libros de seguridad le resultarán prácticamente inútiles al lector medio. Sin embargo, sus
necesidades de protección son igualmente acuciantes.
Así pues, surgió la idea de escribir un libro capaz de ofrecer una visión de la seguridad de
la información completa y muy práctica a todos aquellos usuarios del sector SOHO y usua-
rios domésticos no profesionales que sientan la necesidad de proteger sus recursos informáticos
frente a atacantes externos o internos o frente a desastres grandes o pequeños.
A quién está dirigido el libro
El libro está destinado a cualquier persona que pretenda iniciarse en la gestión de la seguri-
dad de la información. Tanto el usuario particular como los técnicos informáticos de las
pymes encontrarán en el libro la ayuda necesaria para entender la seguridad informática más
allá de la instalación de una serie de productos. Obtendrán una visión global y podrán plan-
tear sin problemas una estrategia eficaz para proteger sus sistemas.
El error más desafortunado que puede cometer una empresa o un particular es esperar a
que ocurra un desastre para adoptar una postura segura. ¿Cuántas personas no han realizado
nunca copias de seguridad de sus archivos hasta que un día los perdieron todos? ¿Cuántas
empresas no han instalado un cortafuegos hasta después de haber sido atacadas con éxito?
¿Cuántas organizaciones no han implantado una política de seguridad que defina el uso
aceptable de sus recursos informáticos hasta después de una demanda judicial? En seguridad
existe una vieja máxima que reza:
Cuando no ocurre nada, nos quejamos de lo mucho que gastamos en seguridad.
Cuando algo sucede, nos lamentamos de no haber invertido más.
El propósito del presente libro es elevar el nivel de conocimiento de seguridad informá-
tica del lector, así como concienciarle en los temas referentes a seguridad de la información.
Las pequeñas empresas y particulares no se caracterizan por su iniciativa en materia de
seguridad. Es difícil convencer a alguien de que pague más por algo que hace lo mismo,
aunque lo haga de forma más segura. Quedará claro a lo largo de las páginas del libro que
cualquier ordenador, incluso si no está conectado a Internet, está expuesto a amenazas. No
hay que esperar a que se materialicen en forma desastrosa para hacer algo al respecto. Es
verdad que puede que nunca pase nada malo, pero es más probable que suceda una calami-
dad. Por eso hay que tomar la iniciativa, hay que adelantarse al desastre. Paradójicamente,
tal y como se verá, implantar la seguridad tampoco tiene por qué ser caro. La mayor parte de
herramientas descritas en el libro o vienen suministradas con el propio sistema operativo
o son gratuitas. No hay excusa para no actuar desde ya y empezar a trazar un plan de segu-
ridad.
Todos los temas del libro pueden aplicarse a empresas y particulares, aunque el nivel de
implantación de las soluciones variará de unos a otros. Por ejemplo, todos los equipos debe-
rían estar protegidos por un cortafuegos, aunque la elección de un cortafuegos personal
gratuito, o de un cortafuegos software o hardware dedicado, dependerá ya de cada caso
xxvi Introducción
concreto. Como segundo ejemplo, considérense las actualizaciones de seguridad: todos los
equipos y dispositivos deberían actualizarse regularmente, pero en función de las necesida-
des se optará por un mecanismo u otro, sometiéndose las actualizaciones a un proceso de
prueba más o menos riguroso, etc.
En definitiva, todos los conceptos presentados encontrarán su aplicación tanto en parti-
culares como en empresas, pero siempre amoldándose a las necesidades de unos y otros.
Incluso temas más organizativos, como la definición de políticas de seguridad, deberían ser
considerados por los particulares: aunque no redacten documentos, sí deberían establecer
una serie de normas verbales para todos los que usan el ordenador. Es la intención de este
libro ayudar al lector a recapacitar sobre los muchos aspectos de la seguridad en los que a lo
mejor no había reparado, pero que revisten una importancia capital para asegurar a largo
plazo la información y los recursos.
Cómo se organiza este libro
La información proporcionada a lo largo del libro se ha estructurado en seis capítulos:
1. Introducción a la seguridad de la información
Aunque se trata del capítulo más teórico del libro, posiblemente sea el más importante. En él
se intenta transmitir la idea de que la seguridad es algo más que un cortafuegos, un antivirus
y el cifrado de datos. La seguridad es el resultado de operaciones realizadas por personas y
soportadas por la tecnología. Si cualquiera de estos tres elementos clave falla, la seguridad se
tambalea y cae. El primer capítulo está dedicado a la presentación de los aspectos organizativos
de la gestión de la seguridad y otros conceptos que serán manejados profusamente a lo largo
del libro, de utilidad tanto para el particular como para la empresa, aunque pueda no parecerlo
a primera vista.
2. Anonimato y privacidad
Bien porque se quiere proteger los datos de carácter personal propios, bien porque se está
obligado a proteger los de los clientes y empleados, lo cierto es que la privacidad es un tema
de vital importancia para empresas y particulares. En este capítulo se explican cuáles son las
amenazas a la intimidad en el ámbito de Internet y de qué herramientas y procedimientos
pueden servirse para protegerla. El capítulo se cierra con dos secciones sobre la Ley Orgáni-
ca de Protección de Datos de Carácter Personal (LOPD) y la Ley de Servicios de la Sociedad
de la Información y Comercio Electrónico (LSSICE), de obligado cumplimiento para aque-
llas empresas y profesionales que presten servicios a través de la Red.
3. CID: Confidencialidad, Integridad, Disponibilidad
En este capítulo se presentan los tres pilares de la seguridad: confidencialidad, integridad y
disponibilidad (CID) de la información, que deben protegerse siempre que sea necesario. Se
presentan las amenazas más frecuentes, los ataques más utilizados y las contramedidas para
contrarrestarlos. El capítulo se completa con dos secciones más, una sobre otros conceptos
de seguridad igualmente importantes, como son la autenticación, la autorización y la auditoría,
y otra sobre las firmas electrónicas y los certificados digitales.
Introducción xxvii
4. Protección de redes
Hoy en día, los ordenadores se encuentran interconectados de formas complejas, con cables
o conexiones inalámbricas. En primer lugar, el capítulo introduce las amenazas y herra-
mientas de ataque más utilizadas. A continuación se presenta la seguridad en elementos de
red, tales como módems, concentradores (hubs), conmutadores (switches) y encaminadores
(routers), así como en redes inalámbricas. Por último, se presentan las tecnologías más uti-
lizadas para su protección, como cortafuegos y redes privadas virtuales.
5. Protección de equipos
No basta con proteger la red, también hay que proteger los equipos individuales, tanto servi-
dores como puestos de trabajo. En este capítulo se explican las técnicas de fortalecimiento
del sistema operativo y de las aplicaciones, de servidor y de cliente. Se continúa abordando el
problema del malware: virus, gusanos, troyanos y contenido activo malicioso, para seguir
con la amenaza de la ingeniería social, cerrándose el capítulo con el tema del molesto spam.
6. Auditoría, detección de intrusiones y análisis forense
El último capítulo es el más técnico y avanzado de todo el libro, pero no por ello menos
asequible. En primer lugar, se explica la metodología seguida por los hackers en sus ataques,
lo que puede ayudar a protegerse mejor frente a ellos. Después se introduce el tema de la
detección y de la prevención de intrusiones, medida muy importante para enterarse de ata-
ques en curso o impedirlos por completo. A continuación se explica cómo configurar y
monitorizar los registros de auditoría del sistema operativo y de las aplicaciones, lo que
permite saber qué está pasando en un sistema, revistiendo un gran valor en el análisis de lo
ocurrido tras un ataque. Por último, se termina con una sección sobre análisis forense, al que
se recurre cuando ha tenido lugar un incidente de seguridad y se desea esclarecer los hechos
y, posiblemente, emprender acciones legales contra el intruso.
Cada capítulo viene acompañado de una sección con referencias bibliográficas y direc-
ciones de Internet donde encontrar información detallada sobre los temas introducidos en el
libro. Para cada tema se ha intentado reunir no el máximo número de referencias, sino las
más representativas o autorizadas.
Cuando se introducen conceptos nuevos siempre aparece entre paréntesis su nombre en
inglés, no por pedantería, sino por ayudar al lector si éste desea ampliar información sobre
los mismos buscándolos en Internet. Debido a la escasez de páginas en español que traten
estos temas, desgraciadamente la mayoría de fuentes de información en Internet se encontra-
rán en inglés.
Qué hace falta para leer el libro
Guste o no, lo cierto es que Windows es el sistema operativo más utilizado en entornos
SOHO. La vocación de este libro es eminentemente práctica. Con el fin de facilitar la aplica-
ción de los controles y medidas de seguridad explicados a lo largo de sus páginas, las expli-
caciones se particularizan para los sistemas operativos XP/2000/2003. Cuando se habla de la
línea de servidores no se hace referencia a NT 4, porque está quedando totalmente obsoleto,
siendo sustituido por Windows 2000/2003. Tampoco se hace referencia a los sistemas
xxviii Introducción
operativos domésticos 95/98/Me, porque carecen de características de seguridad y han sido
reemplazados igualmente por Windows XP. En definitiva, para sacar el máximo partido de
algunas partes de este libro se requiere poseer puestos de trabajo con Windows XP y servido-
res con Windows 2000/2003, requisitos nada exigentes en el año 2005. No obstante, los
conceptos explicados son siempre generales, aplicables a cualquier sistema operativo. Lo único
que cambia son los ejemplos paso a paso presentados para aplicar los conceptos teóricos.
Además de las numerosas herramientas de seguridad suministradas por los propios siste-
mas operativos, en el libro se mencionan multitud de programas y aplicaciones, la mayoría
de ellas freeware. En todos los casos se indica el URL donde puede descargarse la herramien-
ta o cuando menos una copia de evaluación. El lector con poco presupuesto de seguridad
puede respirar tranquilo, ya que la práctica totalidad de herramientas que necesitará para
instalar los controles de seguridad o bien acompañan al sistema operativo o bien son comple-
tamente gratuitas, al menos para uso personal.
Agradecimientos
Los autores desean agradecer la colaboración prestada por el personal de Panda Software
(en especial a Pedro Bustamante, Chief Marketing Officer) en la revisión de las pruebas;
a Óscar López Rodríguez, de Urbe Asesores Jurídicos, por sus valiosas sugerencias para la
sección sobre LOPD y LSSICE; a Carmelo Sánchez González, de McGraw-Hill, por su
ayuda y colaboración durante toda la creación de la obra; a Juan Carlos García Cuartango,
por su amable prólogo; y, por último, a Noelia y María, sin cuyo apoyo y comprensión
durante los meses de más trabajo esta obra nunca habría visto la luz.
LOS AUTORES
MADRID, 19 DE JULIO DE 2004
Capítulo 1: Introducción a la seguridad de la información 1
> Capítulo 1
Introducción
a la seguridad
de la información
El mantra de todo buen ingeniero de seguridad
es: "La seguridad no es un producto, sino un
proceso." Se trata de algo más que implantar
criptografía robusta en un sistema: se trata de
diseñar el sistema entero de manera que todas
las medidas de seguridad, incluyendo la
criptografía, trabajen conjuntamente.
Bruce Schneier
1
The words you are searching are inside this book. To get more targeted content, please make full-text search by clicking here.
Seguridad informática para empresas y particulares - Gonzalo Álvarez M-FREELIBROS.ORG
Discover the best professional documents and content resources in AnyFlip Document Base.
Search