Rol del sistema operativo de la seguridad El sistema operativo desempeña un rol fundamental en la seguridad del sistema de cómputo porque tiene acceso a todas las partes par tes del sistema. Cualquier vulnerabilidad a nivel del sistema operativo abre todo el sistema a ataques. Mientras más complicado y poderoso es el sistema operativo, es más probable que presente vulnerabilidades a ataques. Como resultado, los administradores del sistema deben estar preparados para proporcionar a sus sistemas operativos todas las defensas disponibles contra ataques y posibles fallos. Supervivencia del sistema
La supervivencia del sistema se define como “La capacidad de un sistema para cumplir su misión , de manera oportuna, en presencia de ataques, fallos o accidentes “(Linger 2002).
El termino sistema se refiere a cualquier sistema. Aquí se usa en el sentido más amplio posible, desde laptops hasta supercomputadoras, pasando por sistemas distribuidos. Una misión es un conjunto de muy alto nivel de requerimiento u objetos. De manera oportuna se refiere al tiempo de respuesta del sistema, un factor crítico para la mayor parte de los sistemas. Los términos ataques, fallos y accidentes se refieren a cualquier incidente potencialmente dañino , sin importar la causa; si es intencional o no. Antes que un sistema sea considerado capaz de sobrevivir, debe satisfacer los requisitos anteriores, especialmente con respecto a servicios que son considerados esenciales para la organización de frente a desafíos adversos. Las cuatro características claves de los sistemas capaces de sobrevivir son: resistencia, reconocimiento, daños resultantes y recuperación de servicios esenciales después de los ataques; adaptación y evolución de mecanismos de defensa del sistema para mitigar ataques futuros. Con los elevados riesgos en años recientes de intrusión y puesta en peligro de los sistemas, los diseñadores de estos han reconocido la necesidad critica de supervivencia del sistema que es incorporada en el desarrollo del sistema. Ya no es satisfactorio agregar factores de supervivencia al sistema solo con una idea tardía. tar día. En la siguiente tabla se muestra algunos ejemplos de estrategias que pueden integrarse a los sistemas para mejorar su capacidad de supervivencia. Propiedad Clave Descripción Estrategias ejemplo Resistencia a ataques Estrategias para repeler Autenticación ataques Controles de acceso Cifrado Filtrado de mensajes Diversificación del sistema Aislamiento funcional
Reconocimiento de ataques y daños Recuperación de servicios esenciales y completos después del ataque
Adaptación y evolución para reducir la eficacia de ataques futuros
Estrategias para detectar ataques y evaluar daños Estrategias para limitar daños, restituir información comprometida o funcionalidad, mantenimiento o restitución de servicios especiales respetando restricciones del tiempo de la misión, restitución de todos los servicios Estrategias para mejorar la capacidad de supervivencia del sistema con base en conocimientos adquiridos a partir de intromisiones
Detección de intrusos Verificación de integridad Componentes redundantes Replicación de datos Respaldo y restitución del sistema Planificación de contingencias
Patrones de reconocimiento de intromisiones.
Niveles de protección
Una vez que un sistema ha sido violado, ya no es posible confiar en la integridad de ningún archivo o ningún dato en el sistema. Para cada configuración de computadoras, el administrador del sistema debe evaluar el riesgo de intromisiones, lo cual, a su vez, depende del nivel de conectividad otorgado al sistema, como en la tabla siguiente. Configuración Facilidad de Riesgo relativo Vulnerabilidades protección Computadora Única Alta Baja Contraseñas comprometidas, Virus LAN conectada (sin Media Media Husmeadores, internet) suplantación de identidad(+Contraseña, Virus) LAN conectada (con Baja Alta Correo electrónico, internet) Servidores de red, FTP, Telnet(+husmeadores, suplantación de identidad, contraseñas, virus)
Violaciones de seguridad Una violación en la seguridad del sistema puede ser maliciosa o no. Por ejemplo, algunas intromisiones son el resultado de un usuario no educado y el acceso no autorizado a los recursos del sistema . Pero otras surgen del trastorno intencional de la operación del sistema, y aun otras son puramente accidentales como mal funcionamiento del hardware, errores no detectados en el sistema operativo o en aplicaciones, o desastres naturales. Maliciosa o no, una violación de seguridad afecta gravemente la credibilidad del sistema. A continuación se presentan algunos tipos de violaciones de seguridad que pueden ocurrir. Intromisiones no intencionales
Un ataque no intencional se define como cualquier violación de seguridad o modificación en los datos que no es resultado de una intromisión planeada. Cuando procesos no sincronizados tienen acceso a datos y modifican algunos de los campos de un registro, este hecho se denomina “Modificación accidental incompleta de los datos”.
Es posible que ocurran errores cuando los valores de los datos se almacenan incorrectamente porque el campo no es suficientemente grande para dar cabida al valor numérico ahí almacenado. Por ejemplo, cuando un campo es demasiado pequeño para dar cabida a un valor numérico, FORTRAN sustituye el numero con una cadena de asteriscos , y COBOL simplemente trunca los dígitos de orden superior. En el momento del almacenamiento ningún error esta marcado y no es posible activar un mensaje de error; los errores solo pueden descubrirse cuando se recupera el valor. Aunque no hay necesidad de mencionarlo, ese momento es inconveniente para hacer un descubrimiento asi de desagradable.
Ataques intencionales
El acceso intencional no autorizado incluye los ataques de denegación de servicio, ojeo, intervenciones de la línea, ensayos repetidos, trampas y recolección de basura. Estos ataques difieren fundamentalmente de los virus y gusanos y cuestiones semejantes, en que infligen un daño distribuido a numerosas compañías y organizaciones, sin especificar ninguna como objetivo. Este ejemplo proviene del reporte CERT 2005 sobre amenazas internas. Un desarrollador de aplicaciones , quien perdió su trabajo en el sector IT como resultado de la reducción del tamaño de la empresa, expreso su descontento justo antes de las fiestas de Navidad lanzando un ataque sistemático a la red informática de su ex empleador. Tres semanas después de su despido , el empleado utilizo el nombre de usuario y contraseña de uno de sus ex compañeros para obtener acceso remoto a la red y modificar carias paginas web de
la empresa, reemplazando el texto por imágenes pornográficas. También envió cada uno de los clientes de la empresa un mensaje por correo electrónico advirtiéndoles que la pagina de la compañía había sido hackeada. Cada mensaje de correo electrónico contenía los nombres de usuario y contraseña de los clientes para la pagina Web. Se inicio una investigación, pero no se logro identificar al empleado perpetrador un mes y medio después, volvió a ingresar a la red de manera remota, ejecutando un script para anular todas las contraseñas de red y cambio 4000 registros de precios para reflejar información falsa. Al final este ex empleado fue identificado y procesado. Se le sentencio a servir por 5 meses en prisión y por dos años en libertad condicional, además de pagar $48 600 como reparación del daño a su ex empleador. Acceso intencional no autorizado
Los ataques de denegación de servicio (ataque Dos) son intentos sincronizados por rehusar el servicio a usuarios autorizados al ocasionar que una computadora (que suele ser un servidor de la red) lleve a cabo una tarea(a menudo improductiva) una y otra vez, haciendo asi que el sistema este indisponible para realizar el trabajo para el que fue diseñado. Por ejemplo, si un servidor de la web esta diseñado para aceptar ordenes de clientes sobre internet se desvía de su tarea acordada con comando repetidos para identificarse a si mismo, entonces la computadora se vuelve indisponible para servir a los clientes en línea. El ojeo ocurre cuando usuarios no autorizados adquieren la capacidad de buscar a través del almacenamiento, directorios o archivos información que no tienen el privilegio de leer. El termino “almacenamiento” se refiere a la memoria principal o al espacio sin asignar en
discos y cintas. Algunas veces el ojeo ocurre después de que se ha terminado el primer trabajo. Cuando una sección de la memoria principal se asigna a un proceso, los datos de un trabajo previo a menudo permanece en la memoria –no suelen ser borrados por el sistema- por lo que están disponibles para un ojeador. Lo mismo es valido para datos en almacenamiento secundario. La intervención de la línea no es algo nuevo. De la misma forma que es posible intervenir las líneas telefónicas, también es posible hacerlo con la mayor parte de las líneas de comunicación. Cuando la intervención de la línea es pasiva, el usuario no autorizado simplemente escucha la transmisión pero no modifica el contenido. Hay dos razones por las que existe la intervención de la línea pasiva: copiar datos mientras se evita cualquier procedimiento de autorización y para recolectas información especifica (como contraseñas) que permiten al escucha entrar al sistema en una fecha posterior. En un entorno de red inalámbrica inseguro no es difícil intervenir la línea. La intervención de la línea activa es cuando se modifican los datos enviados. Dos métodos de intervención de la línea activa son “ Entre líneas de transmisión” y “la entrada a cuestas” . entre líneas de transmisión no altera los mensajes enviados por el usuario legitimo, si no que inserta mensajes adicionales en la línea de comunicación mientras el
usuario legitimo se encuentra en una pausa. La entrada a cuestas intercepta y modifica los mensajes originales. Esto puede lograrse al romper la línea de comunicación y encaminando el mensaje a otra computadora que actúa como el anfitrión, Por ejemplo, el escucha puede interceptar un mensaje para salir del sistema, regresar el reconocimiento esperado al usuario y luego continuar la sesión interactiva con todos los privilegios del usuario original, sin que nadie se entere. Ensayos repetidos describen el método usado para entrar a los sistemas mediante la obtención de contraseñas autenticas. Si in intruso conoce el esquema básico para crear contraseñas, como la longitud de la contraseña y los símbolos permitidos para formarla , entonces el sistema puede comprometerse como un programa que de manera sistemática recorre todas las combinaciones posibles hasta encontrar una combinación valida. Como puede imaginarse, este proceso no es largo si las contraseñas son cortas o si el intruso aprende lo suficiente acerca del presunto Victima/usuario. Virus
Los virus suelen escribirse para atacar cierto sistema operativo. En consecuencia, es raro que el mismo código de virus ataque exitosamente una estación de trabajo Linux y un servidor de Windows. Los escritores de virus suelen explotar un vulnerabilidad conocida en el software del sistema operativo ; de ahí la necesidad de actualizarlo correctamente con parches. Tipo de virus Descripción Virus infector de archivos Infecta archivos en la computadora, normalmente archivos ejecutables como .exe y .com que suelen encontrarse en sistemas operativos Microsoft. Estos virus normalmente se vuelven residentes en la memoria y luego infectan cualquier programa ejecutable limpio que se ejecute en esa computadora. Virus en el sector de arranque Infecta el registro de arranque , el área del sistema de un disquete o una unidad de disco duro. Estos virus se activan siempre que el usuario inicia (enciende) la computadora. La mayor parte de los virus del sector de arranque fueron escritos para MS-DOS , aunque otros sistemas operativos son blancos potenciales. Virus en el registro de arranque maestro Infecta el registro de arranque de un disco, guardando una copia legitima del registro de arranque maestro en una ubicación diferente en el volumen Virus multipartido Infecta tanto el registro de arranque como
MACROVIRUS
los archivos del programa, haciendo especialmente difícil su reparación. Para eliminarlo con éxito se requiere eliminar de una vez todas las instancias del virus: en los registros de arranque y en todas las instancias de los archivos infectados con el virus. En caso de que quede alguna instancia de la infección, el virus infecta nuevamente el sistema Infecta archivos de datos (como documentos de procesadores de palabras, hojas de calculo, etc) aunque versiones mas recientes ahora también infectan otros archivos. Los usuarios de computadoras saben que deben de inhabilitar la ejecución automática de macros sobre archivos en que no confían plenamente.
Los virus se distribuyen a través de una amplia gama de aplicaciones e incluso se han encontrada en in software empaquetado. En una ocasión un virus fue detectado inadvertidamente en una exhibición comercial de un desarrollador que sin saberlo permitió que el virus infectara el código terminado de un paquete de software comercial completo justo antes de lanzarlo al mercado. El paquete fue retirado de inmediato.
Gusanos
Son programas que tratan de reproducirse a si mismo, no produciendo efecto destructivos sino el fin de dicho programa es el de colapsar el sistema o ancho de banda, replicándose a si mismo. La diferencia fundamental con respecto a los virus es que no pretenden infectar ficheros. El gusano se replica y envía copias para propagarse si encuentra una conexión a una red (generalmente Internet). Pueden no ser considerados como virus, ya que para replicarse no necesitan infectar otros ficheros. Los gusanos realizarán una serie de copias de sí mismos (sin tener que infectar ningún otro fichero) a la máxima velocidad posible y enviándose a través de la red. Debido a esa replicación a alta velocidad pueden llegar a saturar la red a través de la que se propagan. Los canales más típicos de infección son el Chat, corr eo electrónico, … Algún que otro ejemplo de gusano podrían ser los siguientes: PSWBugbear.B, Lovgate.F, Trile.C, Sobig.D, Mapson. Los gusanos han experimentado un crecimiento extraordinario, por la facilidad de propagación y de creación en comparación de un virus en ensamblador, capaz de infectar ejecutables, residente en memoria o polimórfico, por ejemplo. Usan el correo electrónico como vía de propagación, como adjuntos al email o en el cuerpo del mensaje. Algo más de 300 bytes conocidos como "Slammer" pusieron al borde del colapso buena
parte de Internet en enero de 2003. También usan: Ingeniería social, su propio motor de correo, aprovechan fallos de software muy utilizado: por ej. ejecución en vista previa, fallos IIS, SQL; propagación por redes locales; propagación por redes p2p; a través de IRC o similar; escondidos en el HTML del correo; e incluso directamente en páginas de Internet, puertos desprotegidos (Opaserv, Hai). Los primeros gusanos agotaban los recursos del ordenador y saturaban las redes y/o los servidores. Hoy son criaturas muy complejas con código de virus y troyanos al mismo tiempo, capaces de actualizarse o completarse descargando plug-ins (añadidos) de Internet. Emplean el correo electrónico, otros el IRC (mIRC y Pirch), la mayoría están escritos en VBS (Visual Basic Script) o están orientados a Windows 32 (API de Windows). También usan: Ingeniería social, su propio motor de correo, aprovechan fallos de software muy utilizado: por ej. ejecución en vista previa, fallos IIS, SQL; propagación por redes locales; propagación por redes p2p; a través de IRC o similar; escondidos en el HTML del correo; e incluso directamente en páginas de Internet, puertos desprotegidos (Opaserv, Hai). Caballo de troya
En referencia al legendario caballo de Troya son programas que permanecen en el sistema, no ocasionando acciones destructivas sino todo lo contrario suele capturar datos generalmente password enviándolos a otro sitio, o dejar indefenso el ordenador donde se ejecuta, abriendo agujeros en la seguridad del sistema, con la siguiente profanación de nuestros datos Se puede llegar a pensar que los troyanos no son realmente virus, ya que no poseen su principal característica, la auto reproducción. A pesar de esto, al igual que los gusanos, ambos son tratados como virus a la hora de ser detectados por los antivirus. Su nombre hace referencia a la historia griega, así su objetivo consiste en introducirse en e sistema como un programa aparentemente inofensivo, siendo verdaderamente un programa que permite el control remoto de dicho sistema. Al igual que los virus, pueden modificar, eliminar, ciertos ficheros del sistema y a m ayores pueden capturar datos confidenciales (contraseñas, números de tarjetas de crédito, etc), y enviarlos a una dirección externa. Bombas
Una bomba lógica es un programa destructivo con un fusible: cierto evento de activación (como una combinación de teclas o alguna conexión con internet). Una bomba lógica a menudo se distribuye de manera inadvertida en toda una red hasta que ocurre un evento predeterminado cuando la bomba se activa y ocasiona el daño. Una bomba de tiempo es una bomba lógica, pero que es activada en un momento especifico, como un día o un año. Por ejemplo, la bomba de tiempo denominada Migel Angel, descubierta por primera vez en 1991, fue una de las primeras bombas lógicas en exhibir advertencias a todos los usuarios de computadoras por los medios conocidos. El código fue diseñado para ejecutarse cuando una computadora infectada se iniciara en la
fecha de la activación (el 6 de marzo de cualquier año) y sobrescribir los 17 primeras sectores en las cabezas 0-3 de las 256 primeras pistas del disco en la maquina infectada. Amenazas combinadas
Una amenaza combinada inserta en un programa las características de otros ataques, incluyendo virus, gusanos, troyanos, spyware, registradores de teclas y otros códigos maliciosos. Es decir , este simple programa esa una variedad de herramientas para atacar sistemas y distribuirse a otros. Debido a que la amenaza de estos programas es tan variada, la única defensa en su contra es un extenso plan de seguridad que incluya múltiples capas de protección. Una amenaza combinada muestra las siguientes características: Daña el sistema afectado. Por ejemplo, podría lanzar un ataque de degeneración de servicio en una dirección IP objetivo, dañar un servidor de la web, o sembrar un programa troyano para su ejecución posterior. Se distribuye hacia otros sistemas usando métodos múltiples. Por ejemplo, puede buscar vulnerabilidades para comprometes un sistema, como código embedido en archivos de paginas web en un servidor, infectar los sistemas de visitantes que visitan un sitio comprometido de la web , o enviar correos electrónicos no autorizados desde servidores comprometidos como un gusano adjunto. Ataca otros sistemas desde varios puntos. Por ejemplo, inyecta códigos maliciosos en los archivos .exe en un sistema, eleva el nivel de privilegio de la cuenta de un anfitrión intruso, crea acceso legible y grabable para todo el mundo a archivos privados, y agrega código script falso a archivos de paginas Web. Se propaga sin intervención humana. Por ejemplo, puede explorar de manera continua internet en busca de servidores vulnerables que no tienen parches y están abiertos a ataques. Explota las vulnerabilidades de sistema objetivo. Por ejemplo, podría aprovechar problemas del sistema operativo (como desbordamiento de bufers), vulnerabilidad de validación de paginas en la web en pantallas de entrada y contraseñas comunes predeterminadas a fin de obtener acceso no autorizado.
Cuando la amenaza incluye todas o muchas de estas características, ninguna herramienta simple es capaz de proteger un sistema. Solo un combinación de defensa en combinación con administración de parches regular puede esperar proteger idóneamente el sistema.
SISTEMAS OPERATIVOS Ann Mclover McHoes Ida M.Flynn CENGAGE Learning Sexta edición
http://sabia.tic.udc.es/docencia/ssi/old/2006-2007/docs/trabajos/08%20%20Virus%20Informaticos.pdf (Virus informaticos , master en informatica, Prieto Álvarez, Víctor Manuel, Pan Concheiro, Ramón Adrián, universidad de coruña) http://www.redesna.com/Archivos/4.-Gusanos,%20troyanos%20y%20otros%20elementos.pdf (REDESNA Informatica S.L)
