SEGURIDAD BASADO EN EL CLIENTE
imagen
Imagen
imagen
SEGURIDAD BASADO EN EL CLIENTE
SEGURIDAD BASADO EN EL CLIENTE
ENLACES
PRODUCTOS
1. INTRODUCCIÓN
En la actualidad existe un gran demanda del valor seguridad, debido a los hechos delictivos en cantidad y gravedad de los mismos, creando una sensación subjetiva de inseguridad en toda la población, sumado a una falta de respuesta a corto plazo por parte del Estado, haciendo que la demanda de agentes privados de seguridad, ya sea en forma de productos o servicios aumente.
La utilización de Internet en forma masiva es un mercado cada vez más creciente en la Bolivia, y es un servicio que tiene aun expectativas de mayor crecimiento y resulta ser un medio de comunicación muy utilizado actualmente.
La seguridad es una rama en la que es imprescindible ofrecer calidad, no existe nada más contradictorio como un producto o servicio poco confiable ("inseguro") en este rubro, la idea subyacente con la venta del producto será "Estás siempre presente", nosotros de la misma manera "estamos siempre presentes" para el cliente.
2. DEFICINCION DE SEGURIDAD
Cualidad o estado de seguro
Garantía o conjunto de garantías que se da a alguien sobre el cumplimiento de algo.
Se dice también de todos aquellos objetos, dispositivos, medidas, etc., que contribuyen a hacer más seguro el funcionamiento o el uso de una cosa: cierre de seguridad, cinturón de seguridad.
Con estos conceptos claros podemos avanzar y hablar la criminología ya ha calificado los "delitos hechos mediante computadora" o por "sistemas de información" en el grupo de delitos de cuello blanco.
3. ¿QUE ES LA SEGURIDAD PRIVADA?
El sector de la Seguridad Privada está compuesto por una gran cantidad de efectores individuales y organizacionales que brindan servicios de seguridad, vigilancia, protección, investigaciones y múltiples otros conexos a particulares, empresas, instituciones, reparticiones gubernamentales y otros demandantes.
En los últimos quince años, como sector de la vida económica la Seguridad Privada ha ganado un lugar de relevancia tanto en el mundo como en nuestra región. Además de sus cifras de ventas, muy importantes por dimensión y tasa de crecimiento, la Seguridad Privada se ha convertido en uno de los principales creadores de empleo formal, en un aporte sustancial en la mejora de la situación general de Seguridad en todo el mundo.
4. IMPORTANCIA DE LA INFORMACIÓN
Cuando se habla de la función informática generalmente se tiende a hablar de tecnología nueva, de nuevas aplicaciones, nuevos dispositivos hardware, nuevas formas de elaborar información más consistente, etc.
Sin embargo se suele pasar por alto o se tiene muy implícita la base que hace posible la existencia de los anteriores elementos. Esta base es la información.
Es muy importante conocer su significado dentro la función informática, de forma esencial cuando su manejo esta basado en tecnología moderna, para esto se debe conocer que la información:
Esta almacenada y procesada en computadoras
Puede ser confidencial para algunas personas o a escala institucional
Puede ser mal utilizada o divulgada
Puede estar sujeta a robos, sabotaje o fraudes
Es necesario tener presente que el lugar donde se centraliza la información con frecuencia el centro de cómputo puede ser el activo más valioso y al mismo tiempo el más vulnerable.
Imagen
5. CONSIDERACIONES INMEDIATAS PARA LA AUDITORÍA DE LA SEGURIDAD
A continuación se citarán las consideraciones inmediatas que se deben tener para elaborar la evaluación de la seguridad, pero luego se tratarán las áreas específicas con mucho mayor detalle.
-Uso de la Computadora
Se debe observar el uso adecuado de la computadora y su software que puede ser susceptible a:
-Tiempo de máquina para uso ajeno
-Copia de programas de la organización para fines de comercialización (copia pirata)
-Acceso directo o telefónico a bases de datos con fines fraudulentos
-Sistema de Acceso
Para evitar los fraudes computarizados se debe contemplar de forma clara los accesos a las computadoras de acuerdo a:
-Nivel de seguridad de acceso
-Empleo de las claves de acceso
-Evaluar la seguridad contemplando la relación costo, ya que a mayor tecnología de acceso mayor costo
-Cantidad y Tipo de Información
El tipo y la cantidad de información que se introduce en las computadoras debe considerarse como un factor de alto riesgo ya que podrían producir que:
-La información este en manos de algunas personas
-La alta dependencia en caso de perdida de datos
-Control de Programación
Se debe tener conocer que el delito más común está presente en el momento de la programación, ya que puede ser cometido intencionalmente o no, para lo cual se debe controlar que:
-Los programas no contengan bombas lógicas
-Los programas deben contar con fuentes y sus ultimas actualizaciones
-Los programas deben contar con documentación técnica, operativa y de emergencia
6. BENEFICIOS DE UN SISTEMA DE SEGURIDAD
Los beneficios de un sistema de seguridad bien elaborado son inmediatos, ya que el la organización trabajará sobre una plataforma confiable, que se refleja en los siguientes puntos:
Aumento de la productividad.
Aumento de la motivación del personal.
Compromiso con la misión de la compañía.
Mejora de las relaciones laborales.
Ayuda a formar equipos competentes.
Mejora de los climas laborales para los RR.HH.
7. SISTEMA DE SEGURIDAD BASADO EN EL INTERNET
La seguridad en Internet y las leyes que la protegen, están basadas principalmente en los sistemas de encriptación. Esos sistemas son los que permiten que las informaciones que circulan por Internet sean indescifrables, ininteligibles, para cualquier persona que no sea aquella a la que va destinada.
• Gestión de claves (incluyendo negociación de claves y su almacenamiento): Antes de que el tráfico sea enviado/recibido, cada router/cortafuegos/servidor (elemento activo de la red) debe ser capaz de verificar la identidad de su interlocutor.
• Confidencialidad: La información debe ser manipulada de tal forma que ningún atacante pueda leerla. Este servicio es generalmente prestado gracias al cifrado de la información mediante claves conocidas sólo por los interlocutores.
• Imposibilidad de repudio: Ésta es una forma de garantizar que el emisor de un mensaje no podrá posteriormente negar haberlo enviado, mientras que el receptor no podrá negar haberlo recibido.
• Integridad: La autenticación valida la integridad del flujo de información garantizando que no ha sido modificado en el tránsito emisor-receptor.
• Autenticación: Confirma el origen/destino de la información -corrobora que los interlocutores son quienes dicen ser.
• Autorización: La autorización se da normalmente en un contexto de autenticación previa. Se trata un mecanismo que permite que el usuario pueda acceder a servicios o realizar distintas actividades conforme a su identidad.
Dependiendo de en qué capa de la pila de protocolos OSI se implemente la seguridad, es posible prestar todos o sólo algunos de los servicios mostrados anteriormente. En algunos casos tiene sentido proveer algunos de ellos en una capa y otros en otra diferente.
La desventaja principal de implementar la seguridad en la capa de red es la dificultad de resolver problemas como el de la imposibilidad de repudio o la autorización del usuario, que serían mejor gestionados en niveles superiores. No obstante, en el caso de la autorización podrían utilizarse ciertos mecanismos de seguridad extremo a extremo -en los routers intermedios no existe el concepto de "usuario", por lo que este problema no podría darse.
8. DELITOS ACCIDENTALES E INCIDENTALES
Los delitos cometidos utilizando la computadora han crecido en tamaño, forma y variedad.
En la actualidad (2008) los delitos cometidos tienen la peculiaridad de ser descubiertos en un 95% de forma casual. Podemos citar a los principales delitos hechos por computadora o por medio de computadoras estos son:
fraudes
falsificación
venta de información
9. SISTEMA DE SEGURIDAD BASADO EN EL ORACLE
Los sistemas de bases de datos multiusuario, como por ejemplo ORACLE, incluyen características de seguridad que controlan el acceso y el uso de una base de datos. Los mecanismos de seguridad se ocupan, entre otras cosas, de lo siguiente:
• prevenir accesos no autorizados a la base de datos.
• prevenir accesos no autorizados a objetos (tablas, vistas, índices, procedimientos, etc.) pertenecientes a un usuario.
• controlar el uso del disco.
• controlar el uso de los recursos del sistema (Por ejemplo: el tiempo de CPU)
• monitorear las acciones de los usuarios

La seguridad de la base de datos puede ser clasificada en dos categorías distintas:
• Seguridad del sistema
• Seguridad de los datos

La Seguridad del Sistema posee los mecanismos que controlan el acceso y el uso de la base de datos a nivel del sistema.
Incluye:
• Combinación válida de usuario y clave de acceso
• La cantidad de espacio en disco disponible para los objetos de los usuarios
• La limitación de los recursos para un usuario

La Seguridad de los Datos posee los mecanismos que controlan el acceso y el uso de la base de datos a nivel de los objetos.
Incluye:
• Qué usuarios tienen acceso a un esquema de objetos específico y qué acciones les está permitido desarrollar sobre esos objetos.
• Las acciones que son monitoreadas por cada esquema

- Mecanismos de seguridad
El sistema de base de datos ORACLE provee control de acceso discrecional, el cual es un medio de restricción de acceso basado en privilegios. Para que un usuario pueda acceder a un objeto, se le deben otorgar los privilegios apropiados. Los usuarios con los privilegios adecuados pueden otorgar privilegios a otros usuarios a su criterio. Por esta razón, este tipo de seguridad es llamada “discrecional”.
Oracle administra la seguridad de la base de datos utilizando diferentes servicios o facilidades:
• Usuarios y esquemas
• Privilegios
• Roles
• Configuración del almacenamiento
• Límites a los recursos
• Monitoreo
1 - Usuarios y esquemas
Cada base de datos tiene una lista de nombres de usuarios. Para acceder a la base de datos, un usuario debe usar una aplicación e intentar entablar una conexión con un nombre de usuario válido de la base de datos. Cada usuario tiene una clave de acceso asociada para prevenir el uso no autorizado.
2 - Privilegios
- Un privilegio es un permiso para ejecutar un tipo particular se sentencias SQL.
- Los privilegios de una base de datos ORACLE pueden ser divididos en dos categorías distintas: Privilegios de sistema y Privilegios de objetos.
3 - Roles
ORACLE provee los roles para una administración más fácil y controlada de los privilegios. Los roles son un grupo con nombre de privilegios, que son asignados a usuarios o a otros roles. Las siguientes propiedades de los roles permiten administrar los privilegios de una manera más fácil:
• Reducida asignación de privilegios
• Administración dinámica de los privilegios
• Selectiva disponibilidad de los privilegios
• Consciencia de aplicación
4 - Configuración del almacenamiento
ORACLE provee medios para limitar el uso del espacio de disco asignado a la base de datos, de acuerdo a cada usuario; incluyendo los default tablee paces, temporary tablespaces y los tablespaces quotas.
5 - Límites a los recursos
A cada usuario le es asignado un perfil que especifica las limitaciones sobre
Varios recursos del sistema disponibles para el usuario
6 - Monitoreo
ORACLE permite realizar un monitoreo selectivo de las acciones de los usuarios para ayudar en la investigación de usos maliciosos de la base de datos. El monitoreo puede realizarse a tres niveles distintos:
• Monitoreo de sentencias
• Monitoreo de privilegio
• Monitoreo de objetos

- Políticas de Seguridad
Este capítulo provee una guía para el desarrollo de políticas de seguridad para operaciones de bases de datos, e incluye los siguientes temas:

• Política de Seguridad del Sistema
• Política de Seguridad de la Información
• Política de Seguridad del Usuario
• Política Administrativa de Passwords
• Política de Auditoría
1 - Política de Seguridad del sistema
Esta sección describe aspectos de la política de seguridad de sistemas e incluye los siguientes temas:
• Administración de usuarios de base de datos
• Autentificación de usuarios
• Seguridad de Sistemas Operativos
Cada base de datos tiene uno o más administradores de seguridad quienes son responsables del mantenimiento de todos los aspectos de la política de seguridad. Si el sistema de bases de datos es pequeño, el administrador de bases de datos podría tener las responsabilidades del administrador de seguridad. Sin embargo, si el sistema de bases de datos es grande, una persona o grupos de personas especiales podrían tener responsabilidades limitadas de aquellas que corresponden a un administrador de seguridad.
Luego de decidir quien administrará la seguridad del sistema, se debe desarrollar una política de seguridad para cada base de datos. Una política de seguridad de base de datos debería incluir muchas sub-políticas, como se explica en las siguientes secciones.
1.1 Mantenimiento de usuarios de bases de datos
La seguridad debería ser mantenida por el mantenimiento de los usuarios de bases de datos. Dependiendo del tamaño de un sistema de bases de datos y de la cantidad del trabajo requerido para administrar los usuarios de bases de datos, el administrador de seguridad debería ser el único usuario con los privilegios requeridos para crear, alterar o borrar un usuario de base de datos. Por otro lado, debería haber un número de administradores con privilegios para administrar los usuarios de bases de datos. Solo personas que gozan de confianza deberían tener privilegios totales para administrar los usuarios de bases de datos.
1.2 Autentificación de usuarios
Los usuarios de bases de datos pueden ser autentificados (verificados como una persona correcta) por Oracle usando el sistema operativo de host, los servicios de red, o la base de datos. Generalmente la autentificación de usuarios vía un sistema operativo host es preferida por las siguientes razones:

• Los usuarios pueden conectarse a Oracle más rápido y más convenientemente sin especificar nombre de usuario y contraseña.
• Control centralizado sobre la autorización de usuarios en el sistema operativo: Oracle no necesita almacenar o administrar los nombres de usuario y contraseñas si el sistema operativo y la base de datos se corresponden
• Las entradas de los usuarios en los audit trails de la base de datos y el sistema operativo se corresponden
La autentificación de usuarios por la base de datos es normalmente utilizada cuando el sistema operativo no puede soportar la autentificación de usuarios.
1.3 Seguridad de Sistemas Operativos
Si es apropiado, los siguientes temas de seguridad deben ser considerados no sólo para un entorno de sistema operativo ejecutando Oracle sino también cualquier aplicación de bases de datos:

• Los administradores de bases de datos deben tener los privilegios del sistema operativo para crear o eliminar archivos.
• Los usuarios típicos de bases de datos no deberían tener los privilegios del sistema operativo para crear o eliminar archivos relacionados a la base de datos.
• Si el sistema operativo identifica el rol de bases de datos para los usuarios, los administradores de seguridad deben tener los privilegios del sistema operativo para modificar el dominio de seguridad de las cuentas del sistema operativo.

2 - Política de Seguridad de la Información
La seguridad de datos incluye los mecanismos que controlan el acceso y el uso de la base de datos en el nivel de objeto. Su política de seguridad de datos determina que usuarios tienen acceso a objetos de esquema específicos, y los tipos específicos de acciones permitidos para cada usuario sobre el objeto. También debería definir las acciones, para cualquiera, que sea auditado para cada objeto de esquema.
De cualquier forma, la seguridad de los datos debería estar basada sobre la sensibilidad de los datos. Si la información no es sensible, entonces la política de seguridad de datos puede ser más flexible. Sin embargo, si los datos son sensibles, una política de seguridad debe ser desarrollada para mantener un fuerte control sobre el acceso a los objetos.

3 - Política de Seguridad de Usuarios
Esta sección describe los aspectos de una política de seguridad de usuarios e incluye los siguientes temas:
• Seguridad del Usuario General
• Seguridad de Usuario-Final
• Seguridad de Administrador
• Seguridad de Desarrollador de Aplicaciones
• Seguridad de Administrador de Aplicaciones
3.1 Seguridad del Usuario General
Para todos los tipos de usuarios de base de datos, considere los siguientes temas de seguridad de usuario general:
• Seguridad por contraseña
• Administración de privilegios
3.1.1 Seguridad por contraseña
Si la autentificación de usuarios es administrada por la base de datos, los administradores de seguridad deberían desarrollar una política de seguridad por contraseña para mantener la seguridad de acceso a la base de datos. Por ejemplo, los usuarios de base de datos deberían ser advertidos de cambiar su contraseña cada cierto período regular, y por supuesto, cuando sus contraseñas son reveladas a otros. Forzando a un usuario a modificar su contraseña en tales situaciones, los accesos a bases de datos sin autorización pueden ser reducidos.
Para proteger mejor la confidencialidad de su contraseña, Oracle puede ser configurado para utilizar contraseñas encriptadas para conexiones cliente/servidor y servidor/servidor.
3.1.2 Administración de privilegios
Los administradores de seguridad deben considerar los temas relacionados a la administración de privilegios para todos los tipos de usuarios. Por ejemplo, en una base de datos con muchos usuarios, podría ser beneficioso utilizar roles para administrar los privilegios disponibles a usuarios. Por otro lado, en una base de datos con un número de usuarios reducido, podría ser mas fácil otorgar privilegios explícitamente a los usuarios y anular el uso de roles.
Los administradores de seguridad que administran una base de datos con muchos usuarios, aplicaciones u objetos deberían tomar ventaja de los beneficios ofrecidos por los roles. Los roles simplifican en gran medida la tarea de la administración de privilegios en entornos complejos.


3.2 Seguridad de Usuario-Final
Los administradores de la seguridad deben definir también una política para la seguridad de usuario-final. Si una base de datos es grande y con muchos usuarios, el administrador de seguridad puede decidir que grupos de usuarios pueden ser categorizados, crear roles de usuarios para esos grupos de usuarios, otorgar los privilegios necesarios o roles de aplicación para cada rol de usuario, y asignar los roles de usuarios a los usuarios. En excepciones, el administrador de seguridad debe también decidir que privilegios deben ser explícitamente otorgados a usuarios individuales.
Cuando es posible, utilizar roles en todas las situaciones posibles para crear privilegios usuario-final hacen su administración eficiente y simple.
3.3 Seguridad de Administrador
Los administradores de seguridad deben tener una política de seguridad de administrador. Por ejemplo, cuando es una gran base de datos y existen diversos tipos de administradores de base de datos, el administrador de seguridad debe decidir como agrupar los privilegios administrativos relacionados a los diversos roles administrativos.
Los roles administrativos pueden entonces ser otorgados a los usuarios administradores apropiados. Por otro lado, cuando la base de datos es pequeña y tiene pocos administradores puede ser más conveniente crear un rol administrativo y otorgarlo a todos los administradores.
3.3.1 Protección para conexiones SYS y SYSTEM
Luego de la creación de la base de datos, inmediatamente cambie la contraseña para los nombres de usuario administrativos SYS y SYSTEM para prevenir accesos no autorizados a la base de datos. Conectarse como SYS y SYSTEM da al usuario todos los privilegios para modificar la base de datos de distintas formas. Por lo tanto, los privilegios para estos nombres de usuario son extremadamente sensibles, y deben estar disponibles sólo para los administradores de bases de datos seleccionados.
3.3.2 Protección para conexiones Administrador
Sólo los administradores de bases de datos deben tener la capacidad para conectarse a la base de datos con los privilegios de administrador. Conectarse como SYSDBA da al usuario privilegios sin restricción para hacer cualquier cosa sobre la base de datos (tales como encender, apagar y recuperar) o los objetos dentro de la base de datos (tales como crear, eliminar, y borrar).
3.4 Seguridad de Desarrollador de Aplicaciones
Los administradores de seguridad deben definir una política especial de seguridad para los desarrolladores de aplicaciones que usen base de datos. Un administrador de seguridad solo puede otorgar privilegios, los necesarios para crear los objetos que necesiten los desarrolladores, a los administradores de bases de datos y ellos se encargaran de recibir los pedidos de creación de objetos de parte de los desarrolladores.
3.4.1 Desarrolladores de Aplicaciones y sus privilegios
Los desarrolladores de bases de datos son exclusivamente usuarios de ésta y requieren un grupo de privilegios para poder cumplir con sus trabajos. A diferencia de los usuarios finales, los desarrolladores necesitan privilegios de sistema, como por ejemplo para crear una tabla, crear un procedimiento, etc. Sin embargo, solo específicos privilegios van a otorgarse a los desarrolladores, asi se podrá restringir sus accesos en la base de datos.
3.4.2 Desarrollo de Aplicaciones Libres vs. Desarrollo de Aplicaciones Controladas
El administrador de base de datos puede definir las siguientes opciones cuando determine que privilegios deben ser otorgados a los desarrolladores:
Libre Desarrollo Un desarrollador de aplicaciones esta autorizado a crear nuevos esquemas de objetos, incluyendo tablas, índices, procedimientos, paquetes, etc. Esta opción permite desarrollar una aplicación independiente de los otros objetos.
Desarrollo Controlado Un desarrollador no está autorizado a crear nuevos esquemas de objetos. Todas las tablas, índices, procedimientos, etc., requeridos son creados por el administrador de base de datos, por un pedido del desarrollador. Esta opción permite al administrador de base de datos tener completamente controlado el espacio usado de la misma y el camino de acceso a la información en ella.
No obstante, algunos sistemas de base de datos usan solo una de esas opciones, otros sistemas pueden combinar esas opciones. Por ejemplo, los desarrolladores pueden ser autorizados para crear nuevos procedimientos y paquetes almacenados, pero no están autorizados para crear tablas o índices.
Para que un administrador de seguridad tome alguna decisión con respecto a este tema debe basarse en lo siguiente:
• El control deseado sobre el espacio a utilizar de la base de datos
• El control deseado sobre las rutas de acceso a los esquemas de los objetos
• La base de datos usada para desarrollar aplicaciones, si una base de datos de prueba es usada para el desarrollo de aplicaciones, una política más liberal de desarrollo será implementada.
3.4.3 Roles y privilegios para los desarrolladores
Los administradores de seguridad pueden crear roles para manejar los privilegios requeridos por los desarrolladores. Por ejemplo, el típico rol llamado APPLICATION_DEVELOPER puede incluir los privilegios de sistemas para utilizar CREATE TABLE, CREATE VIEW y CREATE PROCEDURE.
Los administradores de seguridad considerarán lo siguiente cuando definan roles para los desarrolladores:
• Los privilegios de sistema para utilizar CREATE son usualmente otorgados a los desarrolladores, entonces ellos pueden crear sus propios objetos. Sin embargo, CREATE ANY, el cual permite al usuario crear un objeto en cualquier campo de acción del usuario, no es usualmente otorgado a los desarrolladores. Esto restringe la creación de nuevos objetos sólo para las cuentas de usuario de los desarrolladores.
• Es poco frecuente asignar privilegios sobre objetos a los roles usados por los desarrolladores de aplicaciones. Es impráctico, esto restringe sus posibilidades de uso en la creación de otros objetos. Es más práctico permitir a los desarrolladores crear sus propios objetos para propósitos de desarrollo.
3.4.4 Restricciones de Espacio impuestas sobre los desarrolladores
Como el privilegio de crear objetos, que se le otorga a los desarrolladores, forma parte del proceso de desarrollo de aplicaciones, los administradores de seguridad deben controlar cual y cuanto espacio va a ser usado por cada desarrollador en la base de datos. Por ejemplo, como un administrador de seguridad, debería fijar o restringir los siguientes límites para cada desarrollador:
• El Tablespace en los cuales los desarrolladores pueden crear tablas o índices.
• La quota por cada Tablespace accesible por los desarrolladores.
3.5 Seguridad de Administrador de Aplicaciones
En grandes sistemas de bases de datos con muchas aplicaciones (por ejemplo, precompiladores y aplicaciones de formularios) podría tener un administrador de aplicaciones. Este es responsable de los siguientes tipos de tareas:
• Creación de roles para aplicaciones y manejo de privilegios para cada rol de las aplicaciones.
• Creación y manejo de objetos usados por una aplicación en la base de datos.
• Mantenimiento y actualización del código de las aplicaciones y de los procedimientos de Oracle.
Frecuentemente, un administrador de aplicaciones es también el desarrollador que diseñó dicha aplicación. Sin embargo, esos trabajos pueden no ser las responsabilidades del desarrollador y se le asignará a otro individuo familiarizado con la aplicación de la base de datos.
10. POLÍTICA ADMINISTRATIVA DE PASSWORDS
La seguridad de los sistemas de base de datos depende de no divulgar las passwords en ningún momento. No obstante, son vulnerables al robo, falsificación y abuso. Para permitir un mayor control en la seguridad sobre las bases de datos, la política administrativa de passwords de Oracle es controlada por DBAs.
Esta sección describe los siguientes aspectos de la administración de passwords en Oracle:
• Cierre de cuenta
• Expiración de las passwords
• Verificación en la complejidad de passwords
10.1 Cierre de Cuenta
Cuando un usuario excede un determinado número de intentos de accesos fallidos, el server automáticamente cierra la cuenta del usuario. DBA especifica el número permitido de accesos fallidos usando la sentencia CREATE PROFILE. También especifica el período de tiempo que la cuenta quedará cerrada.
Si el DBA no especifica el tiempo que tardará en habilitarse la cuenta nuevamente, el sistema toma un tiempo por default; y si el tiempo estipulado es ilimitado, el encargado del sistema de seguridad deberá directamente habilitar la cuenta. De esta manera, el período de tiempo que una cuenta permanece cerrada depende de cómo la DBA configura los recursos asignados al usuario.
El encargado de seguridad también puede directamente cerrar cuentas de usuarios. Cuando esto ocurre sólo el encargado de seguridad puede habilitarla nuevamente.
10.2 Expiración de las passwords
El DBA usa la sentencia CREATE PROFILE para especificar un máximo de tiempo de vida de las passwords. Pasado este tiempo la password expira y el usuario deberá cambiarla. También puede especificar un período de gracia usando la misma sentencia.
Los usuarios ingresarán el período de gracia sobre el primer intento de login, a una cuenta de la base de datos, después de que su password haya expirado. Durante el período de gracia, aparecerá un mensaje de advertencia cada vez que el usuario intente entrar en su cuenta, y continuará apareciendo hasta que expire el período de gracia. Si la password no es modificada dentro de dicho período, la cuenta expirará y ningún intento de acceso será permitido hasta que no se modifique la password.
El encargado de la seguridad puede también expirar directamente la cuenta. Esto es particularmente útil para generar nuevas cuentas.
10.3 Verificación en la complejidad de passwords
La rutina de verificación de complejidad de passwords en Oracle puede ser especificada usando PL/SQL script, el cual fija los parámetros de default.
La rutina de verificación de la complejidad de las passwords representa los siguientes puntos:
• La password tiene una longitud mínima de 4 posiciones
• Debe ser distinta que el userid
• Tiene al menos un número, una letra y un punto
• No usar palabras simples tales como welcome, account, database o user
• La password actual difiere de la password anterior al menos en 3 letras
Oracle recomienda no cambiar las passwords usando la sentencia ALTER USER porque no soporta enteramente la función de verificación de passwords. En cambio, si podría usar las herramientas que provee Oracle como SQL*Plus o Enterprise Manager para cambiar las passwords.
DBA puede mejorar las rutinas de verificación de complejidad de las passwords o crear sus propias rutinas de verificación de passwords usando PL/SQL.
11. LA POLÍTICA DE AUDITORIA
Los administradores de Seguridad deben establecer una política para el procedimiento de auditoria de cada base de datos. Cuando es necesaria una auditoria el administrador de seguridad debe decidir a que nivel de detalle se realizará la auditoría de la base de datos.
Una vez detectado alguna actividad de origen sospechosa a través del sistema general de auditoria, se realizará una auditoría más específica.

CAPITULO II CASO PRACTICO

SEGURIDAD BASADA EN EL CLIENTE
SEGURIDAD DEL CORREO ELECTRONICO (E-MAIL)

1. INTRODUCCION.-
Todo el mundo hace uso del correo electrónico. Es la segunda aplicación más utilizada sóbrela Internet además del explorador. Lo que no te percatas es del nivel significativo de ataques existentes derivados del uso del correo electrónico. Y en lo concerniente a tu privacidad, el mal uso del e-mail estriba en comprometer y/o divulgar el contenido del mensaje, o proporcionar información spammer acerca de ti. El propósito de éste módulo es proveerte de información sobre cómo funciona el e-mail, la utilización segura de la herramienta, ataques basados en e-mail y las estrategias de seguridad para el e-mail.

2. ¿CÓMO FUNCIONA EL CORREO ELECTRÓNICO?
Al igual que el correo aéreo es enviado por aire, ele-mail es enviado a través del medio “e”-electrónico en y entre las redes que conforman la Internet. Cuando envías un correo electrónico desde tu computadora, los datos son enviados a un servidor SMTP. El servidor SMTP busca el servidor POP3 correcto y envía tu e-mail a ese servidor, donde espera a que el receptor pueda recuperarlo.

3. CORREO WEB
Una segunda opción para el correo electrónico es el uso de cuentas de correo basadas en Web. Esto te permitirá utilizar el explorador web para chequear tu correo. Desde que el correo de estas cuentas normalmente es almacenado en el servidor de correo web –no en tu computadora – es más conveniente utilizar estos servicios desde varias computadoras. Es posible que tu proveedor de servicios de internet (ISP) te permita acceder a tu correo electrónico a través de POP o vía Web. Sin embargo, deberás recordar que las páginas web son almacenadas de manera temporal o local en computadoras locales. Si chequeas tu correo a través de un sistema basado en web en una máquina que no sea la tuya, existe la posibilidad de que tus correos puedan ser consultados por otros que utilicen la misma computadora. Las cuentas de correo basadas en web puedes obtenerlas de manera fácil y gratuita. Esto significa que te brindan la oportunidad de tener varias identidades en línea. Tú puedes, por ejemplo, tener una dirección de correo electrónico exclusivamente para tus amigos, y otra para tus familiares. Esto es considerado como aceptable, mientras no pretendas defraudar a alguien.
¿Qué ofrecen, si es que prometen algo, con respecto a la seguridad al enviar o recibir un correo utilizando sus servicios? ¿Hacen algo por autenticar a sus usuarios?3. (Posiblemente tarea) Determina el servidor SMTP de la cuenta de correo que utilizas frecuentemente.

4. UTILIZACIÓN SEGURA DEL CORREO
Todo mundo hace uso del correo electrónico y, para sorpresa de muchos, el correo puede ser utilizado en tu contra. El correo nunca deberá ser manejado como una tarjeta postal, en donde cualquiera puede leer su contenido. Nunca pongas en una cuenta común de correo electrónico algo que no desees que sea leído. Se ha dicho que existen estrategias para asegurar tu correo. En esta sección cubriremos la utilización segura y sana del correo y cómo proteger tu privacidad en línea como seguridad de cliente.
A todo mundo le gusta tener un correo. Hace tiempo, en una galaxia no muy lejana, solías tener el correo únicamente de la gente que conocías, existiendo aspectos que cuidabas. Ahora tienes el correo de gente que nunca escuchaste y que preguntarán sobre dónde comprar software, drogas, bienes raíces, por no mencionar aquel en donde te ayudan a obtener 24 millones de dólares desde Nigeria. A este tipo de anuncios no solicitados se les denomina spam. Es sorprendente para mucha gente que este tipo de correos que reciben, puede proporcionar mucha información de quien envía el correo, cuándo fue abierto.

Este tipo de tecnología –llamada web bugs – es utilizada tanto por los spammers como por los que realmente envían el correo. También, el contestar un correo o hacer click en un enlace para de suscribirse de una lista puede decirle a quien lo envía que han alcanzado una dirección existente o viva. Otro tipo de preocupación en materia de invasión de privacidad es el creciente ataque conocido como “phishing”.

Una de las preocupaciones en material de seguridad con los correos basados en HTML es el uso de los web bugs. Los web bugs son imágenes escondidas en tu correo que enlazan hacia el servidor de quien lo envía, y puede proveerles notificación de que han recibido o abierto el correo. Otro defecto con los correos HTML es que quien lo envía puede incluir enlaces en el correo que identifican a la persona que hace click en ellos. Esto puede proporcionar información a quien lo manda acerca del estado del mensaje. Como regla, debes de utilizar un cliente de correo que te permita deshabilitar la descarga automática de imágenes anexadas o embebidas. Otro problema relacionado con los scripts en el correo es que ejecutan una aplicación, si es que tu explorador no ha sido parcheado contra vulnerabilidades de seguridad. Para los clientes basados en web, tienes la opción de deshabilitar la descarga automática de imágenes, o la visualización del mensaje en modo texto. Cualquiera de ellas es una buena práctica de seguridad. La mejor manera de protegerte contra los ataques de privacidad y seguridad basados en correo HTML es el uso de correos. Los atacantes pueden enviar malware –software malicioso por sus siglas en inglés-, virus, caballos de Troya y todo tipo de programas desagradables. La mejor defensa contra correos con malware es el no abrir un correo si no conoces a quien lo envía. Nunca abras un archivo con extensión .exe o .scr, ya que éstos son extensiones que ejecutan archivos que pueden infectar tu máquina con cualquier virus. Una buena medida de prevención es que cualquier archivo que recibas deberás salvarlo a tu disco duro y posteriormente analizarlo con un programa de antivirus. Ten cuidado con los archivos que parecen ser comunes, como los archivos zip.

5. LA SEGURIDAD EN EL TRANSPORTE DEL CORREO
La actual explosión de uso de Internet y el crecimiento de proveedores de acceso gratuito ha disparado el servicio más clásico: el correo electrónico. La multiplicidad de cuentas de correo, en el trabajo y en casa, aumenta los problemas relacionados con la seguridad en este servicio. Entre noviembre de 2003 y junio de 2007 el grupo de trabajo GTI-SMAIL ha estudiado los problemas de seguridad en la comunicación entre los clientes y servidores de correo electrónico, centrándose en los mecanismos de autenticación y en el empleo del protocolo TLS para el cifrado. Como ampliación del estudio del GTI-SMAIL se ha escrito este artículo que trata de analizar las mejoras de seguridad, cifrado y autenticación, que pueden aplicarse en la comunicación entre los servidores y clientes de correo más extendidos; no es por tanto un estudio sobre el correo seguro SMIME o PGP. Los servidores analizados han sido: IMAP University of Washington, y SENDMAIL; y los clientes: Netscape 4.7, MS Outlook 2000 y Eudora 4.3.Problemas de seguridad y calidad del servicio Las amenazas que sobre el correo electrónico se han estudiado en este articulo son:
- Los ataques pasivos sobre los protocolos básicos del servicio de correo electrónico.
- El uso incorrecto de las estafetas de correo que degradan la calidad de este servicio.
Las especificaciones originales de estos protocolos (POP, IMAP y SMTP ) los hacen vulnerables a los ataques pasivos que se producen cuando una aplicación escucha el tráfico de la red y accede al contenido de los mensajes, así como a la identificación del usuario: su nombre y password de acceso. Estos ataques pueden actuar sobre las aplicaciones de usuario más extendidas como: Netscape, Outlook, Eudora y lasde tipo Web-Mail. Por otro lado, el protocolo SMTP, en su versión original, no dispone de mecanismos de autenticación del usuario que envía un mensaje. Esto permite el uso fraudulento de servidores SMTP por parte de personas ajenas a la organización, así como el envío de mensajes con remite falso. Los problemas derivados de esta situación han contribuido a una degradación importante del servicio de correo electrónico, permitiendo la proliferación de "correo basura" y poniendo en entredicho la imagen de las organizaciones. Para paliar estas "deficiencias", se han generalizado mecanismos de control de acceso a los servidores SMTP basados en la confianza respecto a clientes locales o en la desconfianza respecto a determinadas organizaciones "fichadas" como origen de correo basura. Si bien es cierto que estas medidas han con seguido limitar el uso fraudulento de los servidores SMTP de las organizaciones por parte de terceros, no han conseguido evitar el envío de mensajes falsificados desde el interior de la organización y han dificultado la utilización del servicio a personas de la organización con necesidad de desplazarse. Mejora de la seguridad basada en autenticación de usuario. Para resolver algunos de los problemas planteados han surgido “extensiones” de los protocolos originales que proporcionan nuevos sistemas de autenticación de usuario.

SASL dispone de dos niveles de autenticación: el básico como plain y login, y los avanzados como CRAM-MD5. Los básicos no suponen mejoras en la seguridad puesto que los datos de usuario se codifican en base64, como esta función es reversible podría obtenerse el username y password de usuario en un ataque pasivo. Los avanzados utilizan funciones de codificación no reversibles que son inmunes a estos ataques .APOP es una extensión que aparece en el RFC 1939 donde se define el protocolo POP, es equivalente al nivel avanzado SASL. No es aplicable a ningún otro protocolo de acceso al buzón y está incorporado en el servidor qpopper y en los clientes Eudora. Tanto APOP como los sistemas avanzados de autenticación SASL están basados en el mismo principio: El usuario y el servidor comparten un secreto; cuando llega el momento de la autenticación el servidor envía un desafío al usuario basado en el secreto común. Solamente quien conoce dicho secreto puede resolver este desafío. En este caso, el password no sale ni del servidor ni del cliente, es decir, no viaja por la red. Aunque se produzca un ataque pasivo que pudiera recoger una colección de desafíos y respuestas, no es posible descubrir el secreto ya que la función que genera la respuesta no es reversible. Como el desafío es único y se genera para cada sesión, tampoco es posible volver a utilizar una respuesta capturada. En los protocolos de acceso al buzón (POP e IMAP) ya existían mecanismos de autenticación: username y password, equivalentes al nivel básico de SASL. Para mejorar la seguridad deberíamos utilizar niveles avanzados SASL, o usar APOP. Con la autenticación SASL incorporada en los servidores SMTP podemos reservar el acceso a estos servidores a los miembros de la organización. Podemos incluir mecanismos de autenticación en las relaciones de confianza respecto a clientes locales que se aplican actualmente, volviendo a definiendo las condiciones como:
Rechazar todo el correo cuyo origen sea una máquina externa a la organización y el destino sea una dirección también externa, cuando el usuario no este autenticado. Con estas mejoras solucionamos el problema de la circulación del password en claro y del uso correcto de los servidores SMTP2, pero nos queda pendiente el problema de la transmisión del mensaje en claro por la red. Estado actual de SASL en los servidores y clientes estudiados Los clientes estudiados incorporan autenticación SASL de nivel básico, equivalentes a username y password clásicos, además Eudora incorpora APOP y CRAM-MD5. En algunos clientes el usuario debe configurar su aplicación para activar autenticación SASL y en otros casos el cliente responde automáticamente cuando el servidor ofrece la posibilidad. Los servidores estudiados incluyen todas las opciones de autenticación SASL. En la compilación hay que indicar que se utilizará SASL y puede ser necesario tener las librerías cyrus-sasl instaladas. Mejoras de seguridad de los protocolos vía TLS3 (antes SSL) TLS es un protocolo mediante el cual es posible crear un canal cifrado entre el cliente y el servidor. Así el intercambio de información (identificación de usuario y contenido de los mensajes) se realiza en un entorno seguro y libre de ataques pasivos. Es un protocolo criptográfico mixto (basado en cifrado simétrico y asimétrico), que utiliza certificados x509 y que es el utilizado por los servidores http seguros. Para el uso de cifrado en los protocolos que estamos estudiando es necesario que el cliente y el servidor negocien parámetros de cifrado: el algoritmo de cifrado, la función digest, etc.

6. SEGURIDAD
Superado el primer temor sobre una potencial no disponibilidad de los servicios, la preocupación del cliente pasó a centrarse en la seguridad de los recursos hospedados se puso manos a la obra desde una doble perspectiva: organizativa y contractual. “A nivel tecnológico reforzamos tanto la encriptación como la seguridad en los accesos. Por ejemplo, en el caso de Microsoft Exchange siempre se aplica seguridad basada en PKI (Plublic Key Infraestructure) y encriptaciones se debe definir una política consensuada con el cliente de protección basada en sistemas de loggin y password, y procede a un riguroso almacenamiento de registros que permite saber en todo momento quién ha accedido a un determinado recurso y por qué, evitando que prosperen accesos no autorizados”. En cuanto a seguridad física, el centro debe estar dotado de todo tipo de medidas avanzadas, incluidas circuito cerrado de televisión para televigilancia, vigilante jurados 24x7, grabación y registro de cualquier acceso, etc.
Desde un punto de vista legal o contractual, las compañías deben introducir en sus contratos cláusulas específicas que garantizan la confidencialidad de los datos por la seguridad de sus clientes.
12. CONCLUSIONES
El usuario no es únicamente el empleado de la empresa. Hay que incluir a los clientes, proveedores, agentes y a los mismos usuarios cuando se conectan desde fuera de la empresa.

Por tanto se debe desarrollar un nuevo sistema de seguridad que elimine cualquier posibilidad del acceso de terceras personas a datos, cuentas y fondos, basándose en la seguridad del cliente.

Este sistema debe estar construido en la utilización de una pregunta secreta y respuestas respuesta secreta seria usada para confirmar la identidad del cliente cuando haga una operación de pagos o cualquier otro servicio que afecte a su seguridad como cliente.

Debe ser obligatorio para todos los clientes en Línea usar este sistema de seguridad. Esto solo costara unos minutos de tiempo a cada cliente y va a tener una seguridad mucho mas elevada.

La seguridad es un tema muy importante, ya se utilice uno u otro tipo de entorno en la organización. Sin embargo, muchas organizaciones no asignan la importancia debida a la seguridad porque la ven erróneamente como algo que limitará la agilidad y la flexibilidad de las operaciones. Cuando un buen diseño de seguridad se convierte en un requisito empresarial clave y se planea desde el principio de cada uno de los proyectos de tecnología de la información (TI), una estrategia de seguridad implementada adecuadamente puede ser útil para mejorar la disponibilidad y el rendimiento de los sistemas informáticos y mayor seguridad basada en los clientes. En cambio, si la estrategia de seguridad de los clientes se agrega a un proyecto como un elemento complementario, la funcionalidad, estabilidad y flexibilidad pueden afectar negativamente la seguridad de los clientes.
 
13. BIBLIOGRAFIA
- Manual de Oracle 8 Server
-RFC 1939 POST OFFICE PROTOCOL. Version 3 (May 1996)
- RFC 2195 IMAP/POP AUTHorize Extension for Simple Challenge/Response (September 1997)
- RFC 2444 The One-Time-Password SASL Mechanism (October 1998)
- RFC 2449 POP3 extension Mechanism (November 1998)
- RFC 2487 SMTP Extension for Secure SMTP over TLS (January 1999)
- RFC 2554 SMTP Service Extension for Authentication (March 1999)
- RFC 2595 Using TLS with IMAP, POP3 and ACAP (June 1999)
- grupo de trabajo GTI-SMAIL (http://www.unizar.es/ccuz/gti-smail)
- Sendmail http://www.sendmail.org
- IMAP/POP University of Washington http://www.washington.edu/imap
- IMAP/POP CYRUS-IMAP http://asg.web.cmu.edu/cyrus
- http://la.wonderware.com/
-http://www.hackerhighschool.org/lessons/HHS_es9_Seguridad_Email.pdf.
- http://www.interoute.es/files/SEGURIDAD%20GESTIONADA.pdf.
- http://webmail.unizar.es/desarrollo/articulo.pdf.
- http://www.ipmultimedia.es/clientes/gtg/DOSSIER_GTG_INGENIEROS_EN.pdf.
- http://www.pgpi.org/doc/whypgp/en/.
- http://www.davidbrin.com/akademos.htm
- http://www.research.att.com/~smb/securemail.html
- http://web.mit.edu/network/pgp.html
- http://www.epic.org/
- http://www.windowsecurity.com/articles/Protecting_Email_Viruses_Malware.html
- http://computer-techs.home.att.net/email_safety.htm
- http://www.theregister.co.uk/2003/10/06/linux_vs_windows_viruses/