2.1 Riesgos De Internet

(1)Una encuesta reciente de Ernst & Young encontró que cuatro de cada cinco organizaciones grandes (con más de 2.500 empleados) ejecuta aplicaciones críticas en - redes de área local (LANs). Estas LANs, y la información vital que procesan, vienen cada vez más bajo amenaza a través de las conexiones de la red interna. Y cuando estudió a un grupo de 61 grandes organizaciones, encontró 142 introducciones no deseadas y decenas de incidentes relacionados con Hackers en el plazo de tres meses. IP spoofing, una técnica con la que el hacker puede ganar a acceso extenso a una red interna, se registraron 49 de estos incidentes. La América corporativa se ha abierto en el uso de Internet mucho más rápidamente que se ha cerrado al ataque de Internet. Casi todas las compañías proporcionan a los empleados acceso al Internet y acceso remoto a las redes corporativas, según una encuesta conducida por el Chicago Tribune en su información - tecnológica. Todavía, menos que la mitad de las compañías realizan los cheques rutinarios de seguridad, sólo 44 por ciento tienen la capacidad para seguir el acceso a los datos sensibles y a solamente una mitad usa el cifrado de datos (encriptación).

Mientras que el 75 por ciento dicen que ellos quisieran restringir el acceso solamente a ciertas partes del Internet, sólo 62 por ciento tienen las políticas que gobiernan el acceso Internet, 42 por ciento no vigilan el uso de Internet del empleado y solamente 30 por ciento aplican realmente los controles de acceso. Además, en menos de dos de cada cinco los respondedores imponen las restricciones ante descargar los archivos a partir de terceros. Muy raro es que menos uno de cada seis señalara experimentar los efectos negativosasociados al uso de Internet por los empleados y uno en ocho señaló las demandas legales que se presentaban del uso de la información tecnología de un empleado.

Los riesgos relacionados con el uso de Internet comienzan con la vergüenza pública, por ejemplo cuando un hacker desfigura o altera un sitio de la web (según lo sucedido a los E.E.U.U.. Ministerio de Justicia y la central La agencia de la inteligencia en 1996) o revela la correspondencia interna. Potencialmente más perjudicial es el hurto de los secretos del comercio o del gobierno de una red interna mal protegida. Otros uso común del ataque, coordinado y sistemático de los recursos que computan, a veces se extiende a los ataques montados del sistema cortado sobre otros sitios. La oficina general de las estadísticas de Estados Unidos, pedida por el comité del senado encendido Asuntos gubernamentales al informe sobre la vulnerabilidad actual del departamento de la defensa (DoD) sistemas informáticos no clasificados, encontrados que tanto como 250.000 ataques eran lanzados en DoD con una tarifa de éxito del 65 por ciento. El informe encontró eso:

" Han incrementado el numero de individuos desconocidos y no autorizados que atacan y ganan accesos a información altamente sensible sin clasificar desde el departamento de los sistemas informáticos de la defensa.... En el mejor de los casos, estos ataques han causado una perdida multimillonaria al departamento de defensa. En la peor, son una amenaza seria a la seguridad nacional. Atacantes han tomado el control de los datos completos de los sistemas de la defensa... robando, modificando, y destruido datos y software, instalando archivos indeseados y creando -"puertas posteriores" que evitan la protección normal del sistema y permiten los atacantes acceso no autorizado en el futuro. Han cerrado los sistemas completos y tumbado redes, negando a los usuarios de los que dependen de los sistemas automatizados para ayudar a resolver las misiones críticas. Numerosas funciones de la defensa se han afectado, incluyendo las armas y la investigación desarrolladas por supercomputadoras, logística, finanzas, gerencia de personal, salud militar, y nómina de pago."

El Internet ha crecido, lo que permite mayores formas de ataque a la seguridad en red, incluyendo los virus, Caballos de Troya y penetración de las redes internas. Una red conectada con el Internet abraza un nuevo conjunto entero de riesgos, algunos de los cuales sirven para excitar los problemas existentes. Las redes de las organizaciones que siguen siendo no relacionadas a la presión de la cara de Internet de hacer esa conexión, sí apenas para el correo electrónico solamente. La presión de conectar se convierte a menudo tan fuerte, en el hecho, que algunos usuarios o departamentos individuales conectan con el Internet sin la autorización o el conocimiento superior de la gerencia. Determinar si esta o no la red está conectada con el Internet puede ser una tarea muy difícil. El conectar con el Internet es como abrir las cortinas en las ventanas de la oficina y el dejar en el fulgor completo del sol del mediodía. Problemas previamente invisibles de la seguridad de la red se lanzan en el contraste sostenido. Por ejemplo, cuentas del usuario no protegidas y obviamente contraseñas las palabras de paso no pudieron haber causado mucha señal de socorro cuando la red era visible solamente a iniciados. Pero, si la gente manipular la red desde el exterior (algo experimentado por uno de cada seis respondedores en algunas encuestas), usted puede apostar que éstas las debilidades serán explotadas. Las noticias de tales vulnerabilidades, conducen a los ataques y al abuso rápidamente de extensión del sistema.

Una de cada cinco compañías que responden a la información la encuesta anual Week/Ernst & Young sobre la seguridad admite que los intrusos han roto en o han intentado corromper en sus redes corporativas vía el Internet durante los doce meses que preceden. Peor, la mayoría de los expertos convienen que la mayoría de los robos queda desapercibida. Por ejemplo, pruebe los ataques por la agencia de los sistemas de información de la defensa (DISA) en el departamento 38.000 de la defensa los sistemas informáticos tenían una tarifa del éxito 88 por ciento pero fueron detectados por menos aquélla adentro veinte de las organizaciones del blanco. De esas organizaciones, solamente 5 por ciento reaccionaron realmente al ataque.

La línea final ocurre cuando una compañía conecta su red con otra red, cosas malas pueden pasar, Si la compañía se quiere contraatacar y monitorear esas cosas malas, esta necesita implantar una combinación de una política y tecnología en el lugar.

2.2 Seguridad y el World Wide Web

El World Wide Web es un sistema para intercambiar información en la Internet.

El web es construido desde un programa especialmente escrito llamado Web server que hace información disponible en la red. Otros programas llamados Web Browser, pueden ser usados para accesar información que es almacenada en los servidores y desplegada en las pantallas de los usuarios.

La gran telaraña mundial como se le conoce al World Wide Web (WWW) fue desarrollado originalmente como un sistema para físicos e intercambio de papeles pertenecientes a sus investigaciones físicas. Utilizando el Web habilitaba a los físicos a un circuito corto el caro y las a menudas prolongadas tareas de publicaciones investigativas encontradas en los periódicos de ciencias. Los circuitos cortos de publicaciones representaban uno de los más grandes usados en la Web hoy día, con negocios, universidades, agencias de gobierno, y algunas de millones de publicaciones individuales de pantallas de información sobre esto mismo y prácticamente cualquier otra cosa. Muchas organizaciones así mismo usan el Web para distribuir documentos confidenciales en su organización, y entre su organización y sus clientes.

Otro excitante uso de la Web hoy día involucra poner programas detrás de la páginas Web. Los programas son creados con un protocolo llamado el Common Getway Interfase (CGI). Los script de CGI pueden ser enteramente simple por ejemplo, un contador que se incremente cada vez que una persona mira la página, o compra un libro que permita a las personas señalarlas en el sitio. O ellos pueden ser completamente sofisticados. Por ejemplo, el paquete de servicio ofrecido por FedEx permite al cliente el uso de servicios de compañías de World Wide Web (http//www.fedex.com) para trazar paquetes. Dándole al cliente acceso a estas computadoras en esta manera simultáneamente FedEx salva dinero y da al cliente un mejor servicio.

Muchas otras compañías están explotando el uso de WWW para el comercio electrónico. Los clientes despliegan catálogos de mercancías y servicios, seleccionan artículos y luego pagan por ellos sin ninguna otro cosa más que un formulario idóneo desplegado.

El WWW es uno de lo más excitantes usos de la Internet. Pero así mismo posee profundos retos de seguridad. En orden de importancia, estos retos son:

1. Un atacante puede tener ventajas de cosas en su servidor Web o en los script CGI al ganar acceso no autorizado a otros archivos en su sistema, o igualmente tomar el control en su computadora.
2. La Información confidencial que está en su Servidor Web puede ser distribuida a individuos no autorizados.
3. La Información Confidencial transmitida entre el Servidor Web y el browser puede ser intersectada.
4. Algunas cosas en su Web browser (o características que usted no está informado) pueden permitir información confidencial en su Web cliente y ser obtenida desde un servidor Web malicioso.
5. Porque de la existencia de estándares y tecnología patentada, algunas organizaciones han encontrado esto necesario al pagar especialmente licencias de software.

Cada uno de estos cambios requieren de nuestra responsabilidad. Desafortunadamente, algunas de estas soluciones que son actualmente empleadas son contradictorias. Por ejemplo, el mínimo riesgo de ser detectado, en muchas organizaciones tienen que pagar seguros por el servicio de WWW, los cuales implementan una gran variedad de protocolos de encriptamiento. Pero esos servicios requieren de un certificado firmado digitalmente para operar, y el certificado debe ser renovado cada año. Consecuentemente, organizaciones que dependen de esos servicios de WWW están expuestos a una interesante negación de servicios contra ataques.

2.3 Corriendo un Servidor Seguro

Los servidores Web son designados para recibir solicitudes anónimas desde auténticos host en la Internet y al liberar las solicitudes de información en una rápida y eficiente manera. De tal manera, ellos proveen un portal dentro de su computadora que pueden ser usados por amigos y enemigos igualmente.

Ninguna pieza de software está libre de riesgo. El servidor Web, por su naturaleza, son complicados programas. Además, muchas organizaciones usan el servicio Web con código fuentes que están libremente disponible sobre Internet. Aunque esto signifique que el código fuente está disponible para ser inspeccionado por la organización, esto significa que un atacante puede examinar quel mismo código fuente y ver su vulnerabilidad.

La habilidad de adicionar funciones a un Servidor Web a través del uso de script CGI extremadamente complica su seguridad. Mientras un script CGI puede adiconar nuevas características a un servidor Web, este puede también introducir problemas de seguridad de sus dueños. Por ejemplo, un Web Server puede ser configurado de manera que pueda accesar solo archivos almacenados en un directorio particular en su computadora, pero un usuario puede instalar inconscientemente un script CGI que permita a un extraño leer cualquier archivo de su computadora. Además, porque muchos usuarios no tienen experiencia en escribir programas de seguridad, esto es posible( e igualmente) que localmente escritores de script CGI puedan contener cosas que permitan a un extraño ejecutar comandos arbitrariamente en sus sistemas. Verdaderamente, varios libros que han sido publicados en programación de CGI tienen incluidos semejante grietas.

Porque de la riqueza de estas herramientas, la plétora de los lenguajes de programación, y la habilidad de múltiples usuarios de logearse a la misma vez desde sitios remotos en una red, el sistema operativo UNIX es una remarcable mala selección para correr seguridad de servidores Web. Porque muchos sistemas operativos basados en Pc´s comparten muchas de estas características, ellos son de esa manera una no muy buena selección. La experiencia nos ha mostrado que el Web server más seguro es una computadora que corra un Web server y no otra aplicación, que esta no tenga una lectura accesible del lenguaje script, y que no soporte login remoto. En la práctica, esto describe una computadora Apple Macintosh corriendo con MacHTTP, WebStar, o un Web server similar.

Acordando las recientes reconocimientos, los cuales las compresiones en las computadoras son algo más del 15% del Web server en la Internet.

Por supuesto, hay mucha ventaja en correr un Web server en una computadora Unix en lugar de una Macintosh. Unix generalmente corre mas rápido que el MacOS en hardware comparables, y Unix es habilitado para plataformas de hardware que corren más rápido que computadoras basadas en Power-Pc. Además, esto es generalmente fácil para las organizaciones al integrar Web server basados en Unix con su existente infraestructura de información, creando excitantes posibilidades para ofertas de Web. Finalmente, más profesionales MIS tienen familiaridad con la construcción de Servidores de Internet basados en Unix que con la construcción de algunos basados en MacOS. Nada más, nosotros sugerimos que el administrador consciente de la seguridad de al acercamiento basado en Macintosh una seria reflexión.

Al construir una seguridad de servidor Web en cualquiera plataforma, usted debe ser capaz de asegurar una variedad de cosas, incluyendo:

1. Los usuarios de la red nunca deben poder ejecutar programas arbritarios o comandos del Shell en su servidor.
2. Los scripts CGI que corran en su servidor deben rendir cualquiera de los dos cosas, la función esperada o retornar un mensaje de error. Los script podrían esperarse y ser capaces de tomar cualquier maliciosa entrada prohibida.
3. En la manera en que su servidor este comprometido, un atacante podría no estar habilitado para usar este, y por si más adelante existen atacantes nuevos en su organización.

La siguiente sección explora una gran variedad de técnicas por comportamiento con este principio.

• Los Servidores UID

Algunos Servidores Web son diseñados para ser inicializados por el superusuario. Los servidores necesitan ser corridos como raíz así pueden entender los requerimientos en 80 puertos, el estándar de puertos HTTP.

Una vez el servidor inicia su corrida, estos cambios son UID al nombre del usuario (username) que es especificado en un archivo de configuración. En el caso de la NCSA server, estos archivos de configuración son llamados conf/httpd.conf. En los archivos hay tres líneas que leer:

# User/Group: The name (or #number) of the user/group to run http as.

User http

Group http

Este nombre de usuario podría no ser raíz. En cambio el usuario y grupo podrían especificar un usuario que no tiene acceso especial en su servidor.

En el ejemplo anterior, el usuario cambió su UID al http usuario antes accesando archivos o corriendo script CGI. Si usted tiene un script CGI que va a ser corrido como super usuario ( y usted debería pensar muy cuidadosamente lo que va a hacer), este debe ser SUID raíz.

2.4 Comprendiendo la Estructura del directorio de su servidor.

Los servidores Web usan muchos archivos en los directorios. El contenido de algunos directorios son muy valiosos para la red.

El contenido de otros directorios no deben ser habilitados en la red, y por seguridad no deben de ser leídos por los usuarios de su sistema.

La NCSA tiene seis directorios

Directorio	Propósito
Cgi-bin	Contiene los CGI script
Conf	Contiene los archivos de configuración del servidor
Htdocs	Contienen documentos Web
Icons	Contienen documentos Web
Logs	Registra las actividades del servidor
Support	Contienen los programas suplementarios del servidor

Muchas fuentes recomiendan crear un usuario llamado www y un grupo llamado www el cual puede ser usado por el administrador web para administrar el servidor Web. El httpd es un programa que corre como raíz, cualquiera que este habilitado para modificar este programa tiene el permiso de super usuario. Esto particularmente es vulnerable si usted puede mover el servidor o los archivos de configuración cuando seteamos el directorio del servidor web raíz.

2.4.1 Configuración de archivos

Dentro de la configuración de directorios, el servidor NCSA tiene los siguientes archivos:

Archivo	Propósito
Access.conf	Controla el acceso a los archivos del servidor
Httpd.conf	Configuración de archivos para el servidor
Mime.conf	Determina el mapeo de la extensión de los archivos tipo mime
Srm.conf	Los recursos de mapeos del servidor.Estos archivos contienen más información de la configuración del servidor.

Porque la información en estos archivos puede ser usados para arruinar el sistema entero de su servidor, usted podría proteger los scripts de manera que ellos puedan ser leidos y modificados por el usuario.

2.4.2 Configuraciones adicionales

El seteo de permiso que usted podría habilitar y deshabilitar las siguientes opciones.

Listado de directorio automático

Servidor Web podría listar automáticamente un directorio si es llamado el archivo con index.html este no se presenta en el directorio. Esto puede causar problemas de seguridad y causar vulnerabilidad en su sistema.

Siguiendo enlaces simbólicos

Algunos servidores permiten enlaces simbólicos fuera del servidor Web. Estos permite que alguien tenga acceso al árbol de su servidor para hacer otros documentos en su computador habilitándolo para el acceso al Web. Usted no quisiera que las persona sean capaz de hacer esto.

Alternativamente usted podría setear su servidor Web con la opción de los enlaces "If Owner Match".

Lados del Servidor incluidos

Los lados del servidor incluyen directorios que pueden ser incluidos en el documento html. Los incluidos son procesados por el servidor HTML antes de que el documento sea enviado a un requerimiento del cliente.

2.5 Escribiendo seguridad CGI Scripts y Programas

Al escribir una seguridad CGI script tienen los mismos problemas como al escribir los programas SUID o del servidor de la red. Esto es porque pueden ser iteracciones inesperadas entre el ambiente de Web , el servidor Web y el script del CGI, creando problemas con la combinación del sistema cuando no fueron problemas obvios.

No permita al usuario colocar scripts en su servidor al menos que sea un profesional de la seguridad calificado.

2.5.1 No confie en los usuarios del Browser

HTML incluye la habilidad para desplegar un listado de selección, limita el largo de los archivos para un número sertero de carácteres, incluye datos con formas y especifica variables que podrían ser provistas para scripts CGI. Sin embargo, usted no podrá depender del script CGI en cualquiera de estas restricciones. Esto es porque un script CGI puede correr directamente con requerimiento de un script URL, los atacantes no necesitan ir a través de su forma o uso de la interfase que usted le provee.

2.5.2 Probando no es suficiente

Una de las razones que es sorprendentemente fácil de crear un inseguro script es que este es muy dificultoso de probar su script nuevamente con una amplia variedad de clientes HTTP habilitados. Por ejemplo, más programas de clientes podrían escapar o especialmente decodificando caracteres tal como la comilla (`), los cuales son especialmente interpretadas por el Shell de Unix. Como un resultado, muchos programadores de CGI no pueden esperar la decodificación de caracteres para ser presentada en la entrada extrema de sus aplicaciones, y ellos no protegen sus script nuevamente de la posibilidad que los caracteres se presentan.

2.5.3 Enviando Correo

Si usted esta escribiendo un script CGI que permita al usuario enviar un mensaje, use el programa /usr/lib/send-mail para enviar el correo, algo más que /bin/mailx o /usr/ucb/mail. La razón es que /usr/lib/send-mail no tiene escape al shell, puesto que los otros correos lo hacen.

2.6 Controlando el acceso a archivos en su servidor

Muchos sitios son interesante en la limitación del escape de la información con su Servidor Web. Esto podría ser causado en un servidor web cuando en una organización distribuye data internamente, libros de teléfonos, datos externos, mucho tránsito de información. Para proveer estos requerimientos, muchos servidores web tienen un sistema para restringir el acceso a documentos web.

Muchos servidores soportan dos técnicas para controlar el acceso a archivos y directorios:

1. Acceso restringido a direcciones IP particulares, o dominios DNS.
2. Acceso restringido a usuarios particulares. Los usuarios son autenticados a través del uso de password que es almacenado en el servidor.

Servidores que están equipados con software necesario para llaves públicas encriptadas, tienen una técnica para restringir el acceso:

Acceso restringido para usar llaves públicas que son firmadas por una autoridad con certificación apropiada.

Cada una de estas técnicas tienen ventajas y desventajas. La restricción para direcciones IP es relativamente simple dentro de la organización, aunque esta leve apertura para los ataques basados en "IP spoofing". Usando hostname , en cambio de la dirección IP, corremos el riesgo de ser engañados. Y el username y el password, al menos usted usa un servidor y y clientes que soportan encriptamiento, son enviados limpiamente en la red.

De estas tres técnicas el acceso restringido a personas quienes presentan propiamente firmas de certificados es probablemente la más segura, previéndole a usted la verdadera certificación autorizada.

2.6.1 Los archivos access.conf y htaccess

Los servidores NCSA le permiten todas las restricciones de acceso global en un archivo llamado conf/access.conf. Alternamente, usted puede colocar las restricciones en cada directorio usando el nombre especificado por el AccesFileName en la configuración del archivo conf/srm.conf. Los directorios-per por defecto archivos llamados .htaccess, pero usted puede cambiar estos nombres.

---