Los dominios para el arte de la guerra son:

Cuales eran las razones que cuando aún se consideraban 4 dominios e internet no entraba en juego, el tema era radicalmente distinto:

Tal vez el primer problema del "ciberespacio", es que existen muchas probabilidades que el enemigo no pueda ser identificado. Esta realidad la vivimos a diario con cualquier tipo de incidente de seguridad informática, el cuál cuando está bien organizado, se hace cada vez más difícil su análisis forense.

Clásicamente, un conflicto se origina por una cuestión de intereses contrapuestos. Se puede solucionar por medio del diálogo, la negociación, la política o en un caso extremo, con la violencia, hasta que una de las partes asuma su victoria o derrota.

Para el dominio de "Ciberespacio" aparecen varios interrogantes nuevos, los cuales son:

Este tema ya lo hemos presentado, pero lo determinante ahora es que esta estrategia antes del dominio del "ciberespacio" era un hecho suficientemente claro, en relación directa a la envergadura de la "potencia bélica" de cada actor, y los actores eran perfectamente identificables, tema que como acabamos de ver ya no es así.

A diferencia de los cuatro dominios anteriores, donde la capacidad bélica de las partes era un claro factor de éxito. En Este nuevo dominio, la misma no guarda absolutamente ninguna relación. Hoy la más grande potencia bélica mundial puede ser desbordada por una nación que no tenga ni ejército.

La respuesta ante una agresión convencional está suficientemente estudiada. Pueden cometerse infinitos errores en la forma de aplicarla, pero es claro que ante un ataque terrestre se tienen opciones adecuadas, estudiadas e históricamente probadas para su respuesta

¿Cuáles serían las preguntas para plantearse una respuesta ante agresiones del ciberespacio?

En principio, analicemos las diferentes hipótesis de conflicto, ¿Dónde creemos que pueden estar dirigidos estos ataques?:

Según la RAE. ¿Cuál es el significado de ciber?

Según la RAE. ¿Cuál es el significado de cibernética?

Según la RAE. ¿Cuál es el significado de ciberespacio?

Según la RAE. ¿Cuál es el significado de cibernauta?

ISACA (Information Systems Audit and Control Association) también nos da una definición de Ciberseguridad. De acuerdo con esta asociación, puede entenderse como:

La estrategia que articula la Union Europea sobre la ciberseguridad se torna en 5 prioridades. ¿Cuáles son dichas prioridades?

Según la 'Pirámide de expertiz de un intruso'. ¿Cuántas personas son expertas en hacer daño a los sistemas informáticos de las organizaciones?

Según la 'Pirámide de expertiz de un intruso'. ¿Cuántas personas se agrupan para hacer daño a los sistemas informáticos de las organizaciones?

Según la 'Pirámide de expertiz de un intruso'. ¿Cuántas personas aportan a herramientas para hacer daño a los sistemas informáticos de las organizaciones?

Según la 'Pirámide de expertiz de un intruso'. ¿Cuántas personas ajustan herramientas para hacer daño a los sistemas informáticos de las organizaciones?

Según la 'Pirámide de expertiz de un intruso'. ¿Cuántas personas hacen 'click' nomas para hacer daño a los sistemas informáticos de las organizaciones?

Es decir, curiosean por las distintas Webs y foros de hacking y cuando encuentran un software que muchas veces ni siquiera saben para qué sirve, hacen 'click' y lo ejecutan, generalmente apuntándola a alguna Web novedosa, conocida, de su centro de estudios, o importante, etc.

Ese software que hemos mencionado, lo estudian con más detalle y comienzan a configurarlo con más precisión: Engañan sus orígenes, acotan los ataques, ajustan los tiempos y puertos de acceso, etc.

Van avanzando y a medida que conocen una o varias herramientas, descubren mejores prestaciones, módulos nuevos, optimizan su código, introducen nuevos o proponen módulos. Este nivel en general participa activamente en foros, Webs y blogs específicos donde se debaten estos temas.

Es un nivel de más difícil acceso y en el cual se trabaja bajo cierto tipo de organización. Sus ataque y metodologías podríamos decir que son decididamente delictivas y peligrosas. Agrupan también diferentes tipos de herramientas entre sí, potenciando su ataque.

Algunos de ellos hoy son famosos. Son "creadores" de código, están en capacidad de llegar a lo más profundo del lenguaje binario y evaluar al detalle todos los niveles del funcionamiento del Software y hardware de los sistemas.

Desde el punto de vista militar, en toda operación se planifican ".................." y sobre los mismos en la relación coste/beneficio se selecciona el definitivo (en un proceso de toma de decisiones). Una vez adoptado este último, se diseña e implementa la "Estrategia a seguir"

Mezclando conceptos militares con metodologías de Internet, existen algunas RFCs que nos proponen dos posibles métodos o líneas de acción:

La premisa de esta es la preservación de los componentes del sistema. El gran problema es que, si el intruso no pudo ser identificado, este podrá regresar por la misma puerta o por algún otra.

¿Qué premisas se deben tener en cuenta para implementar la estrategia de proteger y proceder?

Se permite al intruso continuar sus actividades hasta identificarlo y evidenciar las vulnerabilidades del sistema que fueron aprovechadas. Se requiere aquí conocimiento en el manejo de incidentes y herramientas adecuadas pues se está arriesgando demasiado. La gran ventaja de este proceder es que es la única forma eficiente de llegar a las causas del problema para que este no vuelva a repetirse.

¿Qué premisas se deben tener en cuenta para implementar la estrategia de seguir y perseguir?

Los estudios de las operaciones militares clasifican el uso de la Fuerza en 3 tipos de operaciones:

Es claro, que lo que refleja es una actitud de avance, ataque o agresiva. En esta charla, no es motivo de interés.

Lo que marca la diferencia entre Retrógradas y Defensivas es la actitud ……… de una defensa, contra la enorme dinámica que caracteriza a las operaciones retrógradas.

Las operaciones Retrógradas a su vez pueden ser también clasificadas, acorde a las distrintas doctrinas en:

Proteger y proceder = Operaciones Defensivas = ………………….

Seguir y perseguir = Operaciones Retrógradas = …………………..

En toda operación militar, y como veremos también de forma muy similar en el mundo empresarial, se debe tener en cuenta el nivel sobre el que estamos tratando el tema. Estos niveles suelen definirse como:

Es el punto de partida para determinar las infraestructuras críticas de la de la empresa y definir las prioridades o líneas generales, también para realizar lo que en seguridad informática se conoce como “Análisis de Riesgo”

El Planeamiento debe definir el ciclo de vida de la seguridad (SGSI) y diseñar la implementación de las medidas técnicas a aplicar para la mitigación de los riesgos que definió el nivel Estratégico, adecuándolos a los cursos de acción seleccionados y con los recursos que se asignen a cada uno de ellos.

El nivel Táctico es el responsable de dos actividades fundamentales:

Cuáles son las líneas de acción que debe involucrarse el nivel Táctico para aplicación de una defensa informática por Acción Retardante

Es el "Cómo" de toda la operación. Este nivel es el que opera el día a día. Para un Operación de Ciberdefensa bajo un concepto de "acción retardante", no existen improvisaciones, ni despliegues que no cuenten con un marco sólido a nivel internacional

Las herramientas básicas para poder "Seguir y Perseguir" que deben operarse, al menos son:

Toda operación militar antes de ser ejecutada responde a una serie de actividades o pasos perfectamente ajustados con los siglos, llamados "Secuencia de planeamiento" y concluyen con lo que se denomina "Orden de Operaciones" (para cada tipo de operación), esta orden también tiene un formato digamos que "estandarizado", el punto "2" de la misma se denomina "Misión" e inexorablemente debe responder a los cinco interrogantes básicos y colaborar a un fin mayor:

La tercera compañía de infantería defenderá desde el día 25may2017 la altura 57 para retardar el avance enemigo con la finalidad de facilitar el contraataque del regimiento 3 desde el flanco izquierdo. Donde encontramos el ¿QUIÉN?:

La tercera compañía de infantería defenderá desde el día 25may2017 la altura 57 para retardar el avance enemigo con la finalidad de facilitar el contraataque del regimiento 3 desde el flanco izquierdo. Donde encontramos el ¿QUÉ?:

La tercera compañía de infantería defenderá desde el día 25may2017 la altura 57 para retardar el avance enemigo con la finalidad de facilitar el contraataque del regimiento 3 desde el flanco izquierdo. Donde encontramos el ¿CUÁNDO?:

La tercera compañía de infantería defenderá desde el día 25may2017 la altura 57 para retardar el avance enemigo con la finalidad de facilitar el contraataque del regimiento 3 desde el flanco izquierdo. Donde encontramos el ¿CUÁNDO?:

La tercera compañía de infantería defenderá desde el día 25may2017 la altura 57 para retardar el avance enemigo con la finalidad de facilitar el contraataque del regimiento 3 desde el flanco izquierdo. Donde encontramos el ¿DÓNDE?:

La tercera compañía de infantería defenderá desde el día 25may2017 la altura 57 para retardar el avance enemigo con la finalidad de facilitar el contraataque del regimiento 3 desde el flanco izquierdo. Donde encontramos el ¿PARA QUÉ?:

Lo verdaderamente importante en toda operación militar es la "…………..." que es el objetivo a cumplir por la totalidad de las fuerzas.

Esta nueva propuesta de "Combate en montaña" tiene esta finalidad, encontrar nuevos puntos de vista que nos aporten mayor detalle en nuestro análisis de seguridad, por ello existen unos conceptos relacionados a esta propuesta, los cuales son:

El avance hacia la profundidad de nuestras redes, no es posible por cualquier camino o ruta. Existen definidos dispositivos, protocolos, rutas, direcciones, puertos y aplicaciones que son las verdaderas "vías de comunicación".

Para nosotros son el interior de cada una de las zonas a las que estas "cumbres" están conectadas. Es decir, si poseo un dispositivo sobre el que puedo configurar ciertas medidas de seguridad, el mismo debo enfocarlo haca los "valles" (o zonas) a las que está conectado.

Debemos ser capaces de identificar cuáles son las alturas dominantes de cada una de nuestras zonas de red, y trabajar sobre ellas las medidas de seguridad oportunas. No tiene sentido centrarnos en la seguridad sobre dispositivos que no son "dominantes" de esa zona

Por supuesto que existen también zonas clave que por su "importancia estratégica" debemos tener en cuenta (Información crítica, dispositivos críticos de red, servicios de alta disponibilidad, etc.). La definición y análisis de cada una de estas "zonas clave" deberá ser un trabajo básico de seguridad

Este es un punto de vista novedoso que nos ofrece la visión militar como medida de seguridad. Esta medida puede ser implementada desde diferentes actividades, pero siempre tendiente a evitar que el intruso sea consciente de nuestras medidas o contramedidas de seguridad.

Esto es un hecho más que conocido, cuánto más alto estoy, más lejos puedo ver. Por lo tanto, jamás dejemos de adoptar medidas de seguridad al máximo nivel (en todo sentido).

La profundidad de la defensa informática estará dada por cada una de las zonas en las que dividamos los sistemas de nuestra organización. Las puertas de acceso y los caminos entre ellas lo proporcionan los diferentes elementos de red (switchs, puntos de acceso inalámbricos, routes, firewalls, etc.) y la interconexión entre ellos. Estos nodos de red delimitarán y segmentarán las diferentes áreas en las que deseemos instalar los servidores y hosts. Las zonas mínimas que debemos contemplar son:

El primer punto a desarrollar será nuestra frontera física, como su nombre lo indica abarca temas de seguridad en los locales, medidas contra incendio, humo, partículas, humedad, accesos de personas, video vigilancia, continuidad eléctrica, cableado estructurado, etc.

En este nivel se debe centrar la atención en la comunicación con el "nodo adyacente", es decir nuestra visión de la seguridad en este nivel, debe centrarse en dispositivos que en realidad se encuentran relativamente "próximos".

El detalle de este nivel, podemos encontrarlo bastante desarrollado en el capítulo 5: Routing, del libro "Seguridad en Redes"

Los aspectos a considerar en el nivel de red son:

Es quien nos abre las "puertas" de las aplicaciones, por lo tanto, tendrá especial impacto en aquellas zonas en las que se ofrezcan "servicios" o sobre los dispositivos que se emplean para "gestión" de las redes.

El …………………. es una de las tareas más importantes que debemos asociar específicamente a cada zona, dispositivo, servicio y/o aplicación. El principio más importante a considerar es NO dejar ningún puerto abierto que no se use

Es uno de los responsables de "regular el ancho de banda" por medio de una técnica conocida como "ventana deslizante"

Este nivel (que no deja de ser otra cumbre más y que también depende de la zona o valle que esté conectado o protegiendo) no lo desarrollaremos en esta charla por tratarse de los diferentes servicios que se ofrecen hacia los usuarios, y el foco principal de este ciclo de Ciberseguridad está orientado a "redes".

Cuales son los ocho procesos que cobran una importancia básica en Ciberseguridad:

Es tener la capacidad de derivar a cada uno exactamente dónde debe acceder. Ni a más, ni tampoco a menos dispositivos/servicios/redes/ aplicaciones/funciones que las que le corresponde

Este procedimiento debe contemplar todas las acciones relacionadas a la notificación, gestión y respuesta a incidentes de seguridad, definiendo claramente las responsabilidades, obligaciones y acciones a realizar en el tratamiento de incidencias.

Muchas veces se relaciona o se denomina como "Registro de Auditoría", lo cual sin entrar en debates sobre si es correcto o no, puede resultarnos interesante pues en definitiva un Log es un tipo de registro que se genera desde un dispositivo para dejar constancia de un evento

¿Cuál es el significado de SIM?

¿Cuál es el significado de SEM?

¿Qué forma parte de la autenticación y control de accesos?

¿Cuáles son algunas características de las VPNs Basadas en SSL?

¿Cuántas fases implica una comunicación a través de SSL?

El empleo de IKE (INTERNET KEY EXCHANGE) puede hacerse por medio de:

¿Cuáles son los conceptos básicos sobre el corazón de las redes?

Interconectan a nivel físico todos los extremos del planeta. Llegan a una boca física de un router o switch, se conectan al mismo y a partir de allí ingresan o parten los 'paquetes' de datos encapsulados en el protocolo que corresponda

Se trata de grandes corporaciones, que unen el corazón de esta gran red. Son los que interconectan continentes y países de forma bastante piramidal. Existen tres niveles de ellos, conocidos como Tier 1, Tier 2 y Tier 3.

Son los grandes operadores globales que tienen tendidos de fibra óptica al menos a nivel continental. Desde la red de un Tier 1 se accede a cualquier punto de Internet, pues todas las redes de Tier 1 deben estar conectadas entre sí. Son backbone, core, núcleo ó troncal de Internet.

Ampliando los conceptos anteriores, se define como 'un grupo de redes IP que poseen una política de rutas propia e independiente'. Esta definición hace referencia a la característica fundamental de un Sistema Autónomo: realiza su propia gestión del tráfico que fluye entre él y los restantes Sistemas Autónomos que forman Internet. A cada uno de ellos, y es el que lo identifica de manera única a sus redes dentro de Internet.

Es el responsable de asociar las direcciones IP con los Nombres que emplea Internet. Esta actividad se lleva a cabo por un sistema estrictamente jerárquico cuya raíz (root), son exactamente 13 Sites (donde cada una de ellas por supuesto está compuesta por más de un servidor con redundancia y balanceo de carga). Esta jerarquía como concepto de máximo nivel emplea el nombre de la forma FQDN (Fully Qualified Domain Name o Nombre de dominio completo) que se obtiene a partir del árbol, construyendo el dominio desde abajo hasta arriba, incluido el punto final y como máximo tiene 256 caracteres.

La RFC 1918 reserva tres rangos de direcciones de red para su uso en redes privadas en IPv4:

¿Cuál es el significado de NOC?

¿Cuál es el significado de SOC?

Las herramientas que puede operar un SOC son:

Herramienta orientada a Logs generados por servidores Web, diseñada en 'C' que permite ser empleada con una sencilla instalación y operada por línea de comandos o interfaz gráfica. Su autoría es de Gerardo Orellana.