8/7/2019 TRABAJO DE FERNANDO[1][1].

http://slidepdf.com/reader/full/trabajo-de-fernando11 1/8

ANALISIS DE VULNERABILIDADES DE RIESGOS

SARA MARIA FERNÁNDEZ VALENZUELAGRUPO: 38110

INSTRUCTORFERNANDO QUINTERO

CENTRO DE SERVICIOS Y GESTIÓN EMPRESARIALADMINISTRACION DE REDES DE CÓMPUTO

MEDELLÍNSENA2010

8/7/2019 TRABAJO DE FERNANDO[1][1].

http://slidepdf.com/reader/full/trabajo-de-fernando11 2/8

INTRODUCCIÓN

En el siguiente informe se explicará de forma clara y precisa el análisis de vulnerabilidades deriesgos y los parámetros que debemos tomar en cuenta al momento de llevar a cabo un análisisde riesgo de dichos activos. De igual manera se define y explica con precisión la utilización demétodos para hacer redundancia de datos con el propósito de evitar pérdidas y mantenernosinformados de dichas vulnerabilidades con dicho proceso de trabajo, el cual argumente porquees necesario incluir los resultados de un análisis de vulnerabilidades de un informe final de unanálisis de riesgos.

Se realizó con la mayor creatividad e interés posible para que el lector lo disfrute completamente.

8/7/2019 TRABAJO DE FERNANDO[1][1].

http://slidepdf.com/reader/full/trabajo-de-fernando11 3/8

1.  porque es necesario incluir los resultados de un análisis de vulnerabilidades en elinforme final de un análisis de riesgos.

La seguridad de red comprende tanto la protección física de los dispositivos comotambién la integridad, confidencialidad y autenticidad de las transferencias de datos quecirculan por esta.

•  La información debe estar protegida de una destrucción o modificaciónaccidental o intencional (Integridad).

•  La red debe estar disponible siempre y con la eficiencia necesaria, aun ante lasfallas inesperadas (Disponibilidad).

•  Se mantenga la integridad física de los dispositivos de red como servidores,switches, entre otros.

A través de un análisis de vulnerabilidades, un analista en la seguridad puede examinar la potencia y seguridad de cada uno de los sistemas y dispositivos antes ataques yobtener la información necesaria para analizar cuales son las contramedidas que sepueden aplicar con el fin de minimizar el impacto de un ataque.

Se debe realizar un análisis de vulnerabilidades:

•  Cuando se realicen actualizaciones de los dispositivos

•  Periódicamente

•  Cuando ocurran cambios en el esquema de la red o los sistemas

Existen diversas herramientas que se pueden utilizar para realizar un análisis devulnerabilidades:

•  Escaneo de puertos

•  Analizador de protocolos•  Passwords crackers

•  Detección de vulnerabilidades

También existen sitios donde encontraremos información muy diversa, desdepublicaciones y bibliografía en seguridad, hasta repositorios de vulnerabilidades con susexploits:

•  CERT (Computer Emergency Response Team)

•  SANS (SysAdmin, Audit, Network, Security)

•  NIST (National Institute Of Standards and Technology)

•  NSA (National Security Agency)

8/7/2019 TRABAJO DE FERNANDO[1][1].

http://slidepdf.com/reader/full/trabajo-de-fernando11 4/8

Antes de comenzar con el análisis de vulnerabilidades es necesario definir cuales van aser las labores a realizar, y cuales serán los límites, permisos y obligaciones que sedeberán respetar.

Al momento del análisis, deben estar avisadas la menor cantidad de personas, de

manera que la utilización de la red por parte del personal sea normal, se deben evitar cambios en la forma de trabajo.

•  El principal objetivo exterior es acceder en forma remota a los servidores de laorganización y obtener privilegios o permisos que no deberían estar disponibles.

Para realizar dicho proceso se procede a realizar las siguientes pruebas:

•  Identificación de los servicios de sistemas

•  Búsqueda y verificación de vulnerabilidades•  Enrutamiento

•  Verificación de redes inalámbricas

•  Escaneo de puertos

Las vulnerabilidades son la consecuencia de bugs o de fallos en el diseño del sistema.Aunque, en un sentido más amplio, asimismo pueden ser el efecto de las propiasrestricciones tecnológicas, porque, en principio, no existe sistema 100% seguro. Por lotanto constan vulnerabilidades teóricas y vulnerabilidades reales.

  CUÁNDO DEBE HACERSE UN ANÁLISIS DE VULNERABILIDAD

Debe ejecutarse un análisis de vulnerabilidad en aquellas instalaciones y labores deinfraestructura, cuyo casual mal movimiento o desastre (debido a los efectos esperadosde las pérdidas preciados) pueda formar situaciones de emergencia o peticiones queexcedan el contenido de atención.

Por ejemplo, las compañías han determinado criterios de paciencia de riesgo social ycuando el riesgo no es tolerable, es necesaria la protección de medidas de ingenieríapara reducirlo. Los criterios anteriores deben ser completados para emplearlos a lossistemas de suministro.

8/7/2019 TRABAJO DE FERNANDO[1][1].

http://slidepdf.com/reader/full/trabajo-de-fernando11 5/8

El análisis de vulnerabilidad debe ser cumplido por un conjunto de profesionales queobtengan profunda experiencia en el diseño, operación, mantenimiento y reparación delos elementos del sistema. Las vulnerabilidades reveladas en el sistema, tanto en losaspectos físicos, operativos, como en los referentes a la administración, se sintetizaránen matrices de análisis que almacenan la información básica para la producción de los

planes de mitigación y atención de emergencia y desastre.

LOS MÉTODOS CUANTITATIVOS

Los métodos cuantitativos para la sistematización de riesgo complican oficialmente eluso de análisis estadísticos y probabilísticos para establecer la probabilidad deocurrencia de los fenómenos, la inseguridad de los componentes en riesgo y el peligroinducido. El procedimiento a aplicar depende de la irregularidad del fenómeno y de suvariación espacial. Algunos ejemplos se muestran en la tabla siguiente

Una vulnerabilidad, se puede concretar como un cambio de un método (o conjunto desistemas) que puede:

•  Autorizar a un atacante permitiéndole la información confidencial

•  Autorizar a un atacante transformar información

•  Autorizar a un atacante negar un servicio

RECURRENCIA YVARIABILIDAD ESPACIAL

DEL FENOMENOTIPO DE ANÁLISIS EJEMPLO

Impactan en áreas

diferentes

•  Espacial en función o no de lamagnitud

•  Espacial y frecuencia enfunción o no de la magnitud

•  Simulación / Modelización conmétodo determinanticos y/oprobabilísticos.

•  Terremotos

•  Flujos de lava

Impacta una vez solamente •  Simulación / Modelización con

métodos determinanticos y/oprobabilísticos

•  Desastres (hogares)

Impactan siempre en la

misma área 

•  Análisis de frecuencia enfunción o no de la magnitud delfenómeno.

•  Simulaciones a través demétodos probabilísticos odeterminanticos

•  Inundaciones en El Rama

•  Deslizamiento de Selva

Negra•  Tsunamis-maremotos

8/7/2019 TRABAJO DE FERNANDO[1][1].

http://slidepdf.com/reader/full/trabajo-de-fernando11 6/8

El análisis de vulnerabilidades el cual mejora el proceso de análisis de riesgo, es unmovimiento principal con el fin de ubicarnos hacia un método de gestión de la seguridadde la información, el cual debería percibir las siguientes acciones:

•  ENTENDIMIENTO DE LA INFRAESTRUCTURA

En este cambio se busca, equilibrar cada uno de los mecanismos de hardware osoftware residentes en los servicios básicos que llevan los procesos del negocio.Esta opción debe iniciarse con los servicios proporcionados, continuar luego conlos procesos agrupados a estos servicios y de allí, establecer los activos odispositivos que llevan estos procesos.

Dentro de los potenciales elementos de los servicios básicos en un tiempo dadolograran llegar a albergar vulnerabilidades a nivel de software obtenemos los

siguientes:

  Servidores

  Aplicaciones

  Estaciones de trabajo

  Bases de datos

 Firewalls

  Enrutadores

•  PRUEBAS DE EXPLOTACIÓN DE LAS VULNERABILIDADES

Una vez especificadas las vulnerabilidades más críticas, se debe efectuar unaprueba sobre ellas con el fin de ejecutar su explotación. En un orden en que elobjeto sea más inteligente y organizada el proceso será más corto y no requerirá

un perfil tan afectado. La causa de explotación debe incluir el escalar privilegios(tomar control del dispositivo como administrador) con el fin de tomar controlgeneral de los métodos y de esta manera seguir de modo estricta la forma en quese producen a cabo los ataques en la existencia real.

8/7/2019 TRABAJO DE FERNANDO[1][1].

http://slidepdf.com/reader/full/trabajo-de-fernando11 7/8

•  PLAN DE REMEDIACIÓN DE VULNERABILIDADES

Se debe plantear un plan de remediación establecido para las vulnerabilidades, elcual podría ser parte del procedimiento de tratamiento general de riesgos, unavez templado está, se haya hecho un estudio formal y preciso de las

consecuencias obtenidas tanto de la prueba de vulnerabilidades como de las deexplotación. Este plan, especifica con ayuda de la herramienta devulnerabilidades y de aplicación, la critica de cada una de las vulnerabilidadeshalladas y propone cuales deben ser remediadas en el corto, mediano o largoplazo. Esta medida sobre el tiempo a establecer el control relativo a lavulnerabilidad también debe observar el costo del control, capacidad,administración y habilidad de ejecución.

8/7/2019 TRABAJO DE FERNANDO[1][1].

http://slidepdf.com/reader/full/trabajo-de-fernando11 8/8

CONCLUSIÓN

•  Dentro de la estrategia de operación y mantenimiento de los servicios, las empresasdeben preparar planes de aplacamiento y de ocurrencia, dirigidos el primero a disminuir lavulnerabilidad de los métodos y el segundo a dar respuesta al impacto una vez ocurrida laamenaza para defender la continuidad y aptitud de los servicios con el mínimo deobstáculos y molestias para los clientes, y para garantizar la protección de la saludpública. 

•  En la autenticación, otro elemento importante es el almacén de credenciales pues si estees vulnerado toda la seguridad se pierde y la aplicación se vuelve una entrada directapara un ataque.

•  El análisis de vulnerabilidad se emplea no solo a las organizaciones físicas de lossistemas o dispositivos, sino también a la formación y administración de las empresaspara establecer sus debilidades y plantear las medidas correctivas y de reforzamiento quedeban efectuarse para eliminar o disminuir su vulnerabilidad.