Introducción á Seguridade Informática - Historial de revisións

Xavi: /* Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática. */

2013-10-16T17:02:54Z

Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática.

Xavi: /* Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática. */

2013-10-16T16:56:22Z

Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática.

@@ Liña 196: / Liña 196: @@
 :::'''Medio:''' Aplicación de tres a seis meses.
 :::'''Baixo:''' Aplicación de seis a doce meses.
-Medidas de Seguridade e Controis Recomendados: Adicionalmente propondranse unha serie de
+;Fase 9.- Medidas de Seguridade e Controis Recomendados: Adicionalmente propondranse unha serie de medidas e controis de seguridade aplicables segundo a recomendación das guías de boas prácticas existentes como a norma ''ISO/IEC 17799/27001''. Recoméndase a identificación e descripción das distintas medidas de seguridade e controis aplicables da norma seguida.
 Este documento incluirá de forma xeral a planificación completa para a implementación das accións
 identificadas de xeito que podan establecerse uns logros e datas asociadas para o cumplimento e

Xavi: /* Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática. */

2013-10-16T16:52:30Z

Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática.

← Revisión máis antiga		Revisión como estaba o 16 de outubro de 2013 ás 16:52
Liña 178:		Liña 178:

	;Fase 6.- Revisión da Visibilidade Externa: Existe unha gran cantidade de información relativa ás organizacións que é accesible de xeito público dende internet. É importante, polo tanto, que a organización sexa consciente da existencia desa información, polo que deberá prestarse atención aos seguintes puntos:		;Fase 6.- Revisión da Visibilidade Externa: Existe unha gran cantidade de información relativa ás organizacións que é accesible de xeito público dende internet. É importante, polo tanto, que a organización sexa consciente da existencia desa información, polo que deberá prestarse atención aos seguintes puntos:
	::''Direccionamento público:'' Mediante os servicios whois é posible coñecer os rangos de IP da organización, direccións postais, correo electrónico, número de teléfono, nomes dos responsables e contactos. A organización deberá asegurarse de que a información é correcta e de que non se suminstra máis información da imprescindible.		::*''Direccionamento público:'' Mediante os servicios whois é posible coñecer os rangos de IP da organización, direccións postais, correo electrónico, número de teléfono, nomes dos responsables e contactos. A organización deberá asegurarse de que a información é correcta e de que non se suminstra máis información da imprescindible.
	::''Dominio e DNS:'' Deberán recopilarse todos os nomes de dominio da organización. Para cada dominio deberán realizarse búsquedas DNS (''dig'', ''nslookup'', ''host'') prestando especial atención a: Servidores de nomes (NS), Intercambiadores de correo (MX). Os nomes coñecidos corresponderán a servidores expostos a ser atacados e deberán ser asegurados		::*''Dominio e DNS:'' Deberán recopilarse todos os nomes de dominio da organización. Para cada dominio deberán realizarse búsquedas DNS (''dig'', ''nslookup'', ''host'') prestando especial atención a: Servidores de nomes (NS), Intercambiadores de correo (MX). Os nomes coñecidos corresponderán a servidores expostos a ser atacados e deberán ser asegurados coidadosamente.
		⚫	::*''Filtrado de documentación:'' Unha mala configuración dos servidores Web pode permitir a publicación non dexexada de documentos en internet. Deberán realizarse búsquedas para coñecer si a organización adolece dun destes problemas, e determiñar unha configuración axeitada do ''robots.txt''. Dependendo das características da organización poderá ser necesaria a realización de probas para obter información e datos adicionais.
	coidadosamente.
⚫	::''Filtrado de documentación:'' Unha mala configuración dos servidores Web pode permitir a publicación non dexexada de documentos en internet. Deberán realizarse búsquedas para coñecer si a organización adolece dun destes problemas, e determiñar unha configuración axeitada do ''robots.txt''. Dependendo das características da organización poderá ser necesaria a realización de probas para obter información e datos adicionais.

	;Fase 7.- Análisis de Información: Se procederá ao análise de toda a información recollida nos puntos anteriores, estudiando as posibles carencias de seguridade dos deseños de rede, accesos a información ou procesos organizativos implementados. Para elo se tomarán como base distintas fontes como poden ser os códigos de boas prácticas existentes aplicables aos distintos sistemas e procesos analizados, metodoloxías e estándares (coma ISO27001) de recomendable ou obrigado cumplimento, lexislación e normativas internas aplicables, ademáis de bases de coñecemento existentes sobre os distintos sistemas analizados ademáis da experiencia e coñecemento do equipo de traballo encargado do proxecto.		;Fase 7.- Análisis de Información: Se procederá ao análise de toda a información recollida nos puntos anteriores, estudiando as posibles carencias de seguridade dos deseños de rede, accesos a información ou procesos organizativos implementados. Para elo se tomarán como base distintas fontes como poden ser os códigos de boas prácticas existentes aplicables aos distintos sistemas e procesos analizados, metodoloxías e estándares (coma ISO27001) de recomendable ou obrigado cumplimento, lexislación e normativas internas aplicables, ademáis de bases de coñecemento existentes sobre os distintos sistemas analizados ademáis da experiencia e coñecemento do equipo de traballo encargado do proxecto.

Xavi: /* Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática. */

2013-10-16T16:51:36Z

Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática.

← Revisión máis antiga		Revisión como estaba o 16 de outubro de 2013 ás 16:51
Liña 177:		Liña 177:
	;Fase 5.- Revisión de configuracións: Durante a recolección técnica revisaranse tamén as configuracións dos elementos clave da rede. Deberán revisarse polo menos os dispositivos de electrónica de rede (routers, switches...), os dispositivos de seguridade (firewalls, IDS/IPS, servidores de autenticación...), as aplicacións (servidores web, ftp, correo ...) e en xeral calqueira dispositivo cunha funcionalidade necesaria dentro da organización que sexa unha posible fonte de vulnerabilidades.		;Fase 5.- Revisión de configuracións: Durante a recolección técnica revisaranse tamén as configuracións dos elementos clave da rede. Deberán revisarse polo menos os dispositivos de electrónica de rede (routers, switches...), os dispositivos de seguridade (firewalls, IDS/IPS, servidores de autenticación...), as aplicacións (servidores web, ftp, correo ...) e en xeral calqueira dispositivo cunha funcionalidade necesaria dentro da organización que sexa unha posible fonte de vulnerabilidades.

	;Fase 6.- Revisión da Visibilidade Externa: Existe unha gran cantidade de información relativa ás organizacións que é accesible de xeito público		;Fase 6.- Revisión da Visibilidade Externa: Existe unha gran cantidade de información relativa ás organizacións que é accesible de xeito público dende internet. É importante, polo tanto, que a organización sexa consciente da existencia desa información, polo que deberá prestarse atención aos seguintes puntos:
	dende internet. É importante, polo tanto, que a organización sexa consciente da existencia desa información, polo que deberá prestarse atención aos seguintes puntos:
	::''Direccionamento público:'' Mediante os servicios whois é posible coñecer os rangos de IP da organización, direccións postais, correo electrónico, número de teléfono, nomes dos responsables e contactos. A organización deberá asegurarse de que a información é correcta e de que non se suminstra máis información da imprescindible.		::''Direccionamento público:'' Mediante os servicios whois é posible coñecer os rangos de IP da organización, direccións postais, correo electrónico, número de teléfono, nomes dos responsables e contactos. A organización deberá asegurarse de que a información é correcta e de que non se suminstra máis información da imprescindible.
	::''Dominio e DNS:'' Deberán recopilarse todos os nomes de dominio da organización. Para cada dominio deberán realizarse búsquedas DNS (''dig'', ''nslookup'', ''host'') prestando especial atención a: Servidores de nomes (NS), Intercambiadores de correo (MX). Os nomes coñecidos corresponderán a servidores expostos a ser atacados e deberán ser asegurados		::''Dominio e DNS:'' Deberán recopilarse todos os nomes de dominio da organización. Para cada dominio deberán realizarse búsquedas DNS (''dig'', ''nslookup'', ''host'') prestando especial atención a: Servidores de nomes (NS), Intercambiadores de correo (MX). Os nomes coñecidos corresponderán a servidores expostos a ser atacados e deberán ser asegurados

Xavi: /* Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática. */

2013-10-16T16:50:53Z

Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática.

← Revisión máis antiga		Revisión como estaba o 16 de outubro de 2013 ás 16:50
Liña 137:		Liña 137:
	::::- Estado de parches e actualizacións.		::::- Estado de parches e actualizacións.
	::*''Análise de Tráfico''		::*''Análise de Tráfico''
	:::O seu obxectivo é caracteriza-lo tipo de tráfico que discurre polas redes da organización, así como detectar posibles puntos de fallo ou de atasco en ditas redes. Deberían identificarse os puntos sensíbeis nos que realizar as medidas, que poderían ser as interconexións entre segmentos, os segmentos de		:::O seu obxectivo é caracteriza-lo tipo de tráfico que discurre polas redes da organización, así como detectar posibles puntos de fallo ou de atasco en ditas redes. Deberían identificarse os puntos sensíbeis nos que realizar as medidas, que poderían ser as interconexións entre segmentos, os segmentos de servidores/aplicacións críticas, os segmentos dos usuarios... etc.
	servidores/aplicacións críticas, os segmentos dos usuarios... etc.

	::Cada medida debería realizarse por un periodo de tempo significativo que depende do entorno, e tendo en conta as franxas temporais de actividade. As capturas se almacenarán para ser tratadas e examinadas posteriormente.		:::Cada medida debería realizarse por un periodo de tempo significativo que depende do entorno, e tendo en conta as franxas temporais de actividade. As capturas se almacenarán para ser tratadas e examinadas posteriormente.

	;Fase 4.- Análise de vulnerabilidades de sistemas e aplicacións: Preténdese detectar puntos débiles na seguridade dos sistemas e das aplicacións, consistentes en erros de programación ou configuración que podan ser causa de vulnerabilidades explotables por atacantes. Non todos os sistemas teñen a mesma importancia, por esto se deberá realizar unha selección dos sistemas a analizar. Os análises poden clasificarse en:		;Fase 4.- Análise de vulnerabilidades de sistemas e aplicacións: Preténdese detectar puntos débiles na seguridade dos sistemas e das aplicacións, consistentes en erros de programación ou configuración que podan ser causa de vulnerabilidades explotables por atacantes. Non todos os sistemas teñen a mesma importancia, por esto se deberá realizar unha selección dos sistemas a analizar. Os análises poden clasificarse en:

Xavi: /* Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática. */

2013-10-16T16:50:01Z

Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática.

← Revisión máis antiga		Revisión como estaba o 16 de outubro de 2013 ás 16:50
Liña 123:		Liña 123:
	;Fase 3.- Recolección Técnica de Información: Trátase de obter todo tipo de información mediante diversos métodos técnicos e empíricos nunha mostra representativa dos sistemas e dispositivos da organización. Deberían abordarse os seguintes puntos:		;Fase 3.- Recolección Técnica de Información: Trátase de obter todo tipo de información mediante diversos métodos técnicos e empíricos nunha mostra representativa dos sistemas e dispositivos da organización. Deberían abordarse os seguintes puntos:
	::*''Enumeración e Caracterización''		::*''Enumeración e Caracterización''
	::Tomando como base a información obtida no punto anterior, identificaranse os sistemas, dispositivos e aplicacións sobre as que se realizará o estudo técnico. A información mínima a recopilar será:		:::Tomando como base a información obtida no punto anterior, identificaranse os sistemas, dispositivos e aplicacións sobre as que se realizará o estudo técnico. A información mínima a recopilar será:
	::: <u>Caracterización de Sistemas</u>		::: <u>Caracterización de Sistemas</u>
	::::- Sistema (nome, equipo, fabricante)		::::- Sistema (nome, equipo, fabricante)
Liña 137:		Liña 137:
	::::- Estado de parches e actualizacións.		::::- Estado de parches e actualizacións.
	::*''Análise de Tráfico''		::*''Análise de Tráfico''
	::O seu obxectivo é caracteriza-lo tipo de tráfico que discurre polas redes da organización, así como detectar posibles puntos de fallo ou de atasco en ditas redes. Deberían identificarse os puntos sensíbeis nos que realizar as medidas, que poderían ser as interconexións entre segmentos, os segmentos de		:::O seu obxectivo é caracteriza-lo tipo de tráfico que discurre polas redes da organización, así como detectar posibles puntos de fallo ou de atasco en ditas redes. Deberían identificarse os puntos sensíbeis nos que realizar as medidas, que poderían ser as interconexións entre segmentos, os segmentos de
	servidores/aplicacións críticas, os segmentos dos usuarios... etc.		servidores/aplicacións críticas, os segmentos dos usuarios... etc.

Xavi: /* Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática. */

2013-10-16T16:49:12Z

Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática.

← Revisión máis antiga		Revisión como estaba o 16 de outubro de 2013 ás 16:49
Liña 121:		Liña 121:
	::::- Enumeración e descripción do cumplimento actual na lexislación das tecnoloxías da información aplicable.		::::- Enumeración e descripción do cumplimento actual na lexislación das tecnoloxías da información aplicable.

	;Fase 3.- Recolección Técnica de Información: Trátase de obter todo tipo de información mediante diversos métodos técnicos e empíricos nunha mostra		;Fase 3.- Recolección Técnica de Información: Trátase de obter todo tipo de información mediante diversos métodos técnicos e empíricos nunha mostra representativa dos sistemas e dispositivos da organización. Deberían abordarse os seguintes puntos:
	representativa dos sistemas e dispositivos da organización. Deberían abordarse os seguintes puntos:
	::*''Enumeración e Caracterización''		::*''Enumeración e Caracterización''
	::Tomando como base a información obtida no punto anterior, identificaranse os sistemas, dispositivos e aplicacións sobre as que se realizará o estudo técnico. A información mínima a recopilar será:		::Tomando como base a información obtida no punto anterior, identificaranse os sistemas, dispositivos e aplicacións sobre as que se realizará o estudo técnico. A información mínima a recopilar será:

Xavi: /* Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática. */

2013-10-16T16:48:08Z

Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática.

Amosar os cambios

Xavi: /* Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática. */

2013-10-16T16:35:27Z

Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática.

← Revisión máis antiga		Revisión como estaba o 16 de outubro de 2013 ás 16:35
Liña 150:		Liña 150:
	:::Será preciso elexir o rango de portos a explorar e comprobar tanto as conexións TCP coma UDP, cada porto evidentemente identificará unha aplicación no sistema. A un posible atacante bastaríalle consultar algunha das vulnerabilidades da aplicación e atopar o exploit correspondente. A labor do equipo de traballo é determiñar cales son esas vulnerabilidades e os parches ou actualizacións axeitadas.		:::Será preciso elexir o rango de portos a explorar e comprobar tanto as conexións TCP coma UDP, cada porto evidentemente identificará unha aplicación no sistema. A un posible atacante bastaríalle consultar algunha das vulnerabilidades da aplicación e atopar o exploit correspondente. A labor do equipo de traballo é determiñar cales son esas vulnerabilidades e os parches ou actualizacións axeitadas.

	{{boxinfo:Existen ferramentas automatizadas de detección de vulnerabilidades como '''~~tripwire~~''' ou '''Microsoft Baseline Security Analizer'''}}		{{boxinfo\|Existen ferramentas automatizadas de detección de vulnerabilidades como '''Nessus''', '''OpenVAS''' ou '''Microsoft Baseline Security Analizer'''}}

	A exploración de portos deberá realizarse dende os distintos punto críticos da rede como son:		A exploración de portos deberá realizarse dende os distintos punto críticos da rede como son:

Xavi: /* Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática. */

2013-10-16T16:33:37Z

Xestión da Seguridade da Información: Plan de Continxencia e Seguridade Informática.

@@ Liña 123: / Liña 123: @@
 ;Fase 3.- Recolección Técnica de Información: Trátase de obter todo tipo de información mediante diversos métodos técnicos e empíricos nunha mostra
 representativa dos sistemas e dispositivos da organización. Deberían abordarse os seguintes puntos:
-Enumeración e Caracterización
+::*''Enumeración e Caracterización''
-Tomando como base a información obtida no punto anterior, identificaranse os sistemas, dispositivos e
+::Tomando como base a información obtida no punto anterior, identificaranse os sistemas, dispositivos e aplicacións sobre as que se realizará o estudo técnico. A información mínima a recopilar será:
 servidores/aplicacións críticas, os segmentos dos usuarios... etc.
-en conta as franxas temporais de actividade. As capturas se almacenarán para ser tratadas e examinadas
+::Cada medida debería realizarse por un periodo de tempo significativo que depende do entorno, e tendo en conta as franxas temporais de actividade. As capturas se almacenarán para ser tratadas e examinadas posteriormente.
 A exploración de portos deberá realizarse dende os distintos punto críticos da rede como son:
 •