SSO5501
Hardening de un
Sistema Operativo
d Red
de
d
Modulo 2
LOGO
Carlos Villanueva
Introduccion
www duoc cl
www.duoc.cl
Hardering del ingles “Endurecimiento”
Hardering,
Endurecimiento ,
se refiere al proceso de segurizar
un Sistema o Aplicación
Company Logo
Objetivos Generales
www duoc cl
www.duoc.cl
Hardening
Específicos.
H d i
E
ífi
Web Server.
E-mail
E
il Server
S
Servicios
Company Logo
Hardening Específico (Web Server)
www duoc cl
www.duoc.cl
Web Server
Los web servers (servidores web) se han
transformado en uno de los elementos
indispensables para la interacción entre usuarios
e información.
E importante
Es
i
t t utilizar
tili
protocolos
t
l seguros (HTTPS
(HTTPS,
SSL, etc.)
Los software's de servidores webserver más
utilizados en la actualidad son:
Apache, Internet Information Server.
Company Logo
Hardening Específico (Web Server)
www duoc cl
www.duoc.cl
Restricción del acceso en ciertas áreas de los
Control de web servers.
servers
Acceso
Puede controlarse modificando los permisos
de los usuarios en el servidor o bien por la
creación de listas de control de acceso.
Asegurar que cada lugar se acceda
solamente en las condiciones esperadas,
Estructura
Deshabilitarse los listados en el server.
de
Directorio No utilizar opciones y nombres por defecto en
archivos y directorios.
y Datos
Company Logo
Hardening Específico (Web Server)
www duoc cl
www.duoc.cl
Logging
Herramienta fundamental en la que se basa el
análisis y posterior interpretación de la
información obtenida.
El consorcio W3C posee formato Standard
para logs de servidores web
Herramientas de Análisis de Log
Respaldos
•Es necesario hacer copias de respaldo en los
servidores web.
•El backup es útil tanto para restaurar por completo
un equipo a un estado operativo como para
restaurar un pequeño número de archivos.
•Estrategia Utilizada
•Local, remoto, replicado, respaldo de archivos
abiertos
Company Logo
Hardening Específico (Web Server)
www duoc cl
www.duoc.cl
Integridad
I t
id d
•La integridad de una página puede ser dañada por fallas
de software o bien por ataques de intrusos que toman el
control sobre algún sector y modifican su contenido (web
defacing).
•Se recomienda entonces utilizar software de chequeo de
i t id d para llos archivos
integridad
hi
estáticos.
táti
Detección de
Web Server
Clandestinos
•Se basan en la imitación de un sitio p
para
conseguir que los usuarios coloquen sus datos,
especialmente en instituciones bancarias.
•Un sitio fraudulento suele adoptar un nombre y
dirección muy similar al original
original.
•Otros servidores contienen material ilegal, como
ser software, música, películas y demás.
•Certificados digitales
Company Logo
Hardening Específico (Web Server)
www duoc cl
www.duoc.cl
Los lenguajes de scripting son aquellos que están diseñados
Vulnerabi-lidades para ser ejecutados por medio de un
de Scripting
intérprete, a diferencia de los compilados.
Existe un tipo de ataque basado en la explotación de
vulnerabilidades del sistema de validación de HTML incrustado
que se denomina XSS por Cross Site Scripting
CGIs
Common Gateway Interface es una tecnología que permite a
un cliente con un explorador web, solicitar datos de un
programa ejecutado del lado del servidor web.
Cuando un usuario invoca un CGI se le está permitiendo
ejecutar remotamente un programa en el servidor.
Company Logo
Hardening Específico (Web Server)
www duoc cl
www.duoc.cl
Java
JavaScript
Java es un lenguaje orientado a objetos desarrollado
por Sun Microsystems a principios de los 90.
Para trabajar con el lenguaje, el fabricante
proporciona un compilador y una máquina virtual.
JavaScript es un lenguaje interpretado (no requiere
compilación)
il ió ) que se utiliza
tili principalmente
i i l
t en páginas
á i
web.
b
No permite acceder a elementos externos a la página
web
Company Logo
Hardening Específico (Web Server)
www duoc cl
www.duoc.cl
ActiveX
Programación
Segura de Scripts
ActiveX es una tecnología de Microsoft que se utiliza para
desarrollar
orientados
d
ll componentes
t de
d software
ft
i t d a objetos
bj t
reutilizables.
Considerando la seguridad de esta tecnología, debemos tener
en cuenta su alta interactividad con el sistema operativo,
p
, lo cual
puede convertirlo en un eslabón débil de la cadena de
seguridad.
Para conseguir scripts seguros se debe tener muy en cuenta el
correcto armado de los algoritmos, a fin de que no se produzca el
consumo excesivo de recursos o el descontrol interno de la
ló i d
lógica
de programación.
ió
Se deben comprobar todo tipo de accesos de los scripts, y la
forma predeterminada de funcionamiento debe ser la de no
permitir nada. También se debe minimizar el acceso a recursos.
p
Company Logo
Hardening Específico (Web
Server)
www duoc cl
www.duoc.cl
El Code Signing, o firma de código, es el proceso de
Code Signing firmar digitalmente archivos ejecutables y scripts
para confirmar la autoría del software y garantizar
que el código no ha sido alterado ni está corrupto
desde que fue firmado.
Protegiendo el
Web Browser
Un navegador o explorador web es la aplicación que nos
permite visualizar documentos de hipertexto desde servidores
web.
Los principales navegadores que se utilizan son el Internet
Explorer de Microsoft y el Mozilla Firefox, los cuales trabajan de
formas diferentes. Los navegadores se pueden
complementar con plugins que agregan funcionalidades, pero
se debe tener en cuenta que los mismos no provoquen una
reducción en el nivel de seguridad.
Company Logo
Hardening Específico (E-mail
Server)
www duoc cl
www.duoc.cl
E-mail
Server
Como normas generales, no debería haber
aplicaciones
extrañas
li
i
t ñ o desconocidas
d
id
instaladas en el servidor de correo electrónico.
Los permisos y accesos al mismo deben ser
estrictamente controlados p
para bloquear
q
la
instalación o ejecución de programas no
autorizados.
Company Logo
Hardening Específico (E-mail
Server)
www duoc cl
www.duoc.cl
La arquitectura de los servidores de correo electrónico
es del tipo cliente/servidor.
Arquitectura
La mayoría de los protocolos no encriptan la
información de autenticación, si no que esta viaja en
texto plano a través de Internet
Internet.
SMTP
El SMTP (Simple Mail Transfer Protocol) es un
protocolo de red, basado en texto plano que se
utiliza para el intercambio de correo electrónico
entre
t distintos
di ti t equipos.
i
Company Logo
Hardening Específico (E-mail
Server)
www duoc cl
www.duoc.cl
Pop3
IMAP
El POP3 (Post Office Protocol versión 3) es un protocolo que
se utiliza para obtener mensajes de correo electrónico
alojados en un servidor.
Para añadirle seguridad a la conexión por protocolo POP3,
una buena
b
práctica
á ti es utilizar
tili
lla encriptación
i t ió S
Secure S
Socket
k t
Layer (SSL)
El IMAP (Internet Message Access Protocol) es un protocolo
de red para acceder a mensajes de correo electrónico que se
encuentren almacenados en un servidor.
Mediante este protocolo se puede tener acceso al correo
desde cualquier equipo con conexión a Internet, ya que los
mensajes permanecen en el servidor. Los usuarios una vez
que acceden a su correo pueden borrarlos.
Company Logo
Hardening Específico (E-mail
Server)
www duoc cl
www.duoc.cl
MIME
El formato MIME (Multipurpose Internet Mail
Extensions)
E t
i
) son una serie
i de
d especificaciones
ifi
i
dirigidas al intercambio de todo tipo de archivos a
través de Internet y que este sea transparente
para el usuario.
p
S-MIME
El formato S/MIME (Secure / Multipurpose Internet
Mail Extensions) es un estándar criptográfico de
clave pública y firmado de correo electrónico
encapsulado en MIME.
Company Logo
Hardening Específico (E-mail
Server)
www duoc cl
www.duoc.cl
PGP
PGP (Pretty Good Privacy) es una aplicación desarrollada
por Phil Zimmermann, cuyo objetivo es proteger la
información que se distribuye a través de Internet. Para ello
hace uso del sistema de criptografía de clave pública, como
también firma digital para autenticar documentos.
SMTP Relay
El SMTP R
Relay
l uO
Open R
Relay,
l
es un servidor
id d
de correo SMTP
que permite el reenvío de correos electrónicos por parte de
terceros.
Si un servidor de correo electrónico tiene habilitado el
Open Relay, está expuesto a potenciales problemas, como ser,
sufrir ataques por DoS o bien que un spammer utilice el
servidor para reenviar su SPAM.
Company Logo
Hardening Específico (E-mail
Server)
www duoc cl
www.duoc.cl
Código
Malicioso
En el caso de la prevención de ejecución de
Código Malicioso en el servidor de correo
electrónico, es necesario asegurarse el correcto
funcionamiento del antivirus y todas aquellas
aplicaciones que complementen la detección y
contención de este tipo de software dañino.
Company Logo
Hardening Específico
(Servicios)
www duoc cl
www.duoc.cl
Existen otra variedad de servidores que brindan
distintos
di ti t servicios.
i i
Servicios
Tradicionales Cada uno de ellos tiene asociados problemas
inherentes a cada servicio en particular.
A continuación analizaremos los más
representativos.
Company Logo
Hardening Específico
(Servicios)
www duoc cl
www.duoc.cl
(File Transfer Protocol)
FTP
Servicio con varios problemas de Seguridad
Contraseñas sin encriptación, Virus, Extensión de
R d etc
Red,
t
DNS
Un servidor de DNS (Domain Name Services)
resuelve hostnames con direcciones IP.
Principales ataques:
Ataque de DoS a un DNS, Footprinting de la
red, Delegación de dominios.
Company Logo
Hardening Específico
(Servicios)
www duoc cl
www.duoc.cl
DHCP
y
g
DHCP ((Dynamic
Host Configuration
Protocol)) es el p
protocolo
que permite a los distintos nodos de una red IP obtener sus
parámetros de configuración automáticamente, como ser
dirección IP, máscara de subred, Gateway, etc.
En la mayoría de las plataformas existen distintos controles
de acceso y autenticación para este tipo de servidores.
NNTP
El NNTP (Network News Transfer Protocol) es un
protocolo que se utiliza para la lectura y publicación de
artículos de noticias en Usenet.
L servidores
Los
id
NNTP son vulnerables
l
bl a di
diversos titipos
de ataques, ya que suelen ser una fuente de recursos
para la red interna. (Spam – DoS)
Company Logo
Hardening Específico
(Servicios)
www duoc cl
www.duoc.cl
File
Fil Server
S
Brindar el acceso remoto a archivos almacenados en
dicho
di h equipo.
i
Algunos protocolos para compartir archivos utilizados
en este tipo de servidores son SMB
((Unix/Linux y Windows)) y NFS ((Unix/Linux).
)
Un servidor de impresión o servidor de
Print Server impresoras es una computadora o equipo
discreto que puede aceptar y administrar
distintos trabajos de impresión de
computadoras cliente conectadas a dicho
servidor a través de la red.
Company Logo
Hardening Específico
(Servicios)
www duoc cl
www.duoc.cl
Repositorio
de Datos
Incluyen una gran cantidad de variantes de
sistemas de almacenamiento interconectados
para el mantenimiento y protección de los datos
datos.
Company Logo
www.duoc.cl
LOGO