UNIVERSIDAD TECNOLÓGICA DE PANAMÁ

FACULTAD DE INGENIERÍA DE SISTEMAS COMPUTACIONALES

DEPARTAMENTO DE COMPUTACIÓN Y SIMULACIÓN DE SISTEMAS
ASIGNACIÓN TAREA N°. 3

Asignatura: Seguridad Informática

A. TÍTULO DE LA EXPERIENCIA: Seguridad Física

B. TEMAS:
Amenazas, Seguridad Lógica y Física.

C. RESULTADOS:

1. ¿Según su criterio, cuáles son dos de los puntos más débiles en la mayoría de los sistemas
informáticos? Descríbalos y justifique adecuadamente.

 Mecanismos de almacenamientos de los datos: realizar respaldos de la información es

muy importante, y a la vez una de las principales debilidades en los sistemas de información,
es un tema al que se le debe prestar especial atención; ya que este debe salvaguardar el
activo más importante que es la información.

 Contraseñas débiles: Las contraseñas débiles presentan una vulnerabilidad importante para
los sistemas de información, el utilizar contraseñas fáciles, que no cumplen con los mínimos
de seguridad representa un peligro para la protección de información, por lo que es importante
utilizar contraseñas robustas y complejas como medida de seguridad.
 UNIVERSIDAD TECNOLÓGICA DE PANAMÁ
FACULTAD DE INGENIERÍA DE SISTEMAS COMPUTACIONALES
DEPARTAMENTO DE COMPUTACIÓN Y SIMULACIÓN DE SISTEMAS
ASIGNACIÓN TAREA N°. 3
2. Identifique las tres (3) amenazas más probables para un sistema de computación personal en
una oficina con menos de 10 empleados. Identifique las tres (3) vulnerabilidades más fáciles de
utilizadas.

Amenazas

 Programas maliciosos
Programas destinados a perjudicar los recursos del sistema. El usuario podría instalarlo en el
ordenador sin darse cuenta, abriendo una puerta a intrusos o bien modificando los datos.
Estos programas pueden ser un virus informático, un troyano, un programa espía o spyware,
en general conocidos como malware.

 Mal uso de dispositivos de almacenamiento portátil

Los dispositivos de almacenamiento portátil han sido utilizados para descargar información
sensible y privilegiada de clientes de las organizaciones pudiendo hacer mal uso de ella. El
uso de estos dispositivos debe ser controlado, para usuarios selectos y con dispositivos
predeterminados.

 Uso de conexiones Wireless

Comúnmente los usuarios realizan conexiones a redes gratuitas . Aunque su acceso es
rápido, fácil y gratuito, estas pueden no ser seguras y al acceder a ellas puede abrir las
puertas a amenazas con mayor facilidad y así ocasionar el roba de información confidencial
de la empresa.
 UNIVERSIDAD TECNOLÓGICA DE PANAMÁ
FACULTAD DE INGENIERÍA DE SISTEMAS COMPUTACIONALES
DEPARTAMENTO DE COMPUTACIÓN Y SIMULACIÓN DE SISTEMAS
ASIGNACIÓN TAREA N°. 3

Vulnerabilidades

 Predisposición al phishing
Es un método común de robo de identidad que utiliza correos electrónicos falsos para obtener
información confidencial de los usuarios. Si el colaborador es de los que contesta correos
electrónicos en donde le solicitan “información de su cuenta”, entonces es probable que hayas
sido víctima de un fraude de phishing y así comprometer la información de la empresa.

 Uso de software pirata

Los softwares piratas pueden ser utilizados para sembrar troyanos y virus en las
computadoras y dado que el software carece de respaldo puesto que es pirata, el usuario es
privado de soporte técnico quedando a expensas del ataque sin ayuda.

 Usuarios
La causa del mayor problema ligado a la seguridad de un sistema informático. En algunos
casos sus acciones ocasionan problemas de seguridad, si bien en la mayoría de los casos es
porque tienen permisos sobredimensionados.

3. Investigue en el ámbito de su universidad o en alguna empresa privada:

1) Si la mismas cuenta con un plan de seguridad informática.

La Universidad Tecnológica de Panamá no cuenta con un plan de seguridad informático público por lo
que no se pudo corroborar que aspectos explícitos abarca, el único documento público encontrado
relacionado a la seguridad fue el Plan de Políticas y Lineamientos para el Uso Aceptable de los Recursos
de Tecnología de Información y Comunicaciones de la Universidad Tecnológica de Panamá.
 UNIVERSIDAD TECNOLÓGICA DE PANAMÁ
FACULTAD DE INGENIERÍA DE SISTEMAS COMPUTACIONALES
DEPARTAMENTO DE COMPUTACIÓN Y SIMULACIÓN DE SISTEMAS
ASIGNACIÓN TAREA N°. 3

2) ¿Qué aspectos abarca?

Políticas de uso aceptable
 De las cuentas, su uso y privacidad
 De los equipos (Hardware)
 De las licencias de programas computacionales (Software)

Lineamientos para las políticas de uso aceptable

 Correo electrónico
 Navegación en el WWW y recursos de Internet.
 Instalación de servidores DHCP, NAT, Proxies, Firewalls, IDS, y otros.
 Condiciones de uso para la Red Inalámbrica.

3) ¿Dicho plan cumple con los requerimientos en cuanto a seguridad física que se enuncian en
el capítulo 8 del libro: C. Pfleeger & S. Pfleeger. Security in Computing (4ta edición)?

Hardware
16.- Es atribución exclusiva de DITIC mover, abrir, desconectar y/o modificar de cualquier modo, los
equipos de cómputo utilizados como equipos de enlace, servidores de red, equipos de vigilancia o
equipos de navegación que tenga a su disposición.
17.- El mal uso o el daño intencional a los recursos computacionales de la institución a cargo de cualquier
miembro de la comunidad universitaria, se considerará una falta grave y dará motivo a las sanciones
estipuladas en la Ley, el Estatuto y Reglamentos Universitarios existentes.
18- DITIC reportará ante la Rectoría, a los usuarios que cometan daños intencionales a los sistemas de
cómputo, los equipos de cómputo utilizados como equipos de enlace, servidores de red, equipos de
vigilancia o equipos de navegación que compongan la infraestructura de la UTP.

Los equipos de hardware en la UTP, el plan no cumple con los requerimientos de seguridad física.
 UNIVERSIDAD TECNOLÓGICA DE PANAMÁ
FACULTAD DE INGENIERÍA DE SISTEMAS COMPUTACIONALES
DEPARTAMENTO DE COMPUTACIÓN Y SIMULACIÓN DE SISTEMAS
ASIGNACIÓN TAREA N°. 3

4. Un empleado poco satisfecho ha robado varios discos duros de muy alta calidad con datos de
la empresa. ¿Qué importa más, el costo de esos discos o el valor de los datos? Justifique su
respuesta.
El valor de los datos es lo más importante, representan el activo más importante, pues estos
constituyen una información relevante en la empresa, información que puede mal utilizarse y producir
desequilibrio, pérdidas e incluso el cierre de la empresa.

5. ¿Se pueden considerar más seguras las redes que basan su conectividad a través del uso de
cables contra aquellas que lo hacen a través de conexiones wireless? Considere los puntos a
favor y en contra para cada tipo de red.
Se ha llegado a pensar que en el entorno de una empresa las redes inalámbricas o Wifi no son las
más seguras y una instalación de red por cable estructurado puede resultar más conveniente en
según qué casos.

RED VENTAJAS DESVENTAJAS

 Costos relativamente bajos  El propio cableado

 Falta de movilidad
CABLEADA  Mayor velocidad  Distancia máxima limitada a
100 metros
 Seguridad

 Facilidad de la instalación  Menos ancho de banda

WIFI  Amplia movilidad  Poca seguridad

 Más baratas
 UNIVERSIDAD TECNOLÓGICA DE PANAMÁ
FACULTAD DE INGENIERÍA DE SISTEMAS COMPUTACIONALES
DEPARTAMENTO DE COMPUTACIÓN Y SIMULACIÓN DE SISTEMAS
ASIGNACIÓN TAREA N°. 3

6. En una empresa se comienzan a planificar estrategias de acceso a las dependencias, políticas

de backup, de protección de los equipos ante el fuego, agua, etc. ¿Eso es seguridad física o
lógica? ¿Por qué?
La Seguridad Física , porque se refiere a los controles y mecanismos de seguridad dentro y alrededor
del centro de cómputo, así como los medios de acceso remoto e implementados para proteger el
hardware y medios de almacenamiento de datos.

7. Investigue y defina en qué consisten los ataques: cold-boot.

cold-boot: Ataque de arranque en frío (o de menor grado, un ataque de reinicio en plataforma) es un

tipo de ataque de canal lateral en el cual el atacante con acceso físico a una computadora es capaz de
recuperar las llaves de cifrado durante la ejecución del sistema operativo, después de realizar el
arranque en frío para reiniciar la máquina. El ataque se basa en persistir datos pertenecientes a la
memoria DRAM y a la memoria SRAM para recuperar el contenido de la memoria legible segundos a
minutos después de que el control ha sido eliminado.

a) Especifique las condiciones que deben cumplirse para ejecutar con éxito este ataque.
 Es imprescindible que el atacante o la persona que lo quiera realizar pueda acceder
físicamente al ordenar del cual se quieren obtener los datos criptográficos.
 Normalmente lo que hace el atacante es provocar el reinicio en frío de una computadora en
ejecución, que consiste en reiniciar la computadora de manera abrupta mediante la
desconexión de la alimentación o presionando el botón “reset” si está disponible, sin dejar que
el sistema operativo se apague de forma correcta.
 A continuación, se utiliza inmediatamente un soporte extraíble para arrancar un sistema
operativo ligero, que se utiliza para volcar el contenido de la memoria RAM a un archivo. Otra
opción es quitar los módulos de memoria RAM del sistema original e instalarlos rápidamente
 UNIVERSIDAD TECNOLÓGICA DE PANAMÁ
FACULTAD DE INGENIERÍA DE SISTEMAS COMPUTACIONALES
DEPARTAMENTO DE COMPUTACIÓN Y SIMULACIÓN DE SISTEMAS
ASIGNACIÓN TAREA N°. 3
en una máquina compatible bajo el control del atacante, que luego se arranca para acceder a
la memoria RAM.
 Una vez realizado el volcado de la información remanente de la memoria RAM, se realiza un
análisis de ese volcado utilizando algoritmos especializados para encontrar diversos datos
sensibles, tales como las claves criptográficas contenidas en la misma. De este modo, el
atacante habrá obtenido las claves criptográficas para acceder a la información encriptada.

b) ¿Le parece un ataque práctico?

Sí resulta práctico bajo nuestro punto de vista porque puede ser muy sencillo robar información de
discos duros encriptados de portátiles por cualquiera que tenga acceso al portátil, aunque no es un
ataque tan práctico como puede ser llevarse una copia de seguridad mediante una USB.

c) ¿En qué situaciones podría ser útil para los organismos de seguridad y policiales?
Se puede utilizar para el análisis forense de equipos informáticos encriptados incautados a
posibles delincuentes.

8. Suponga dos escenarios donde se producen ataques de diccionario:

Escenario 1: servidor POP3
 UNIVERSIDAD TECNOLÓGICA DE PANAMÁ
FACULTAD DE INGENIERÍA DE SISTEMAS COMPUTACIONALES
DEPARTAMENTO DE COMPUTACIÓN Y SIMULACIÓN DE SISTEMAS
ASIGNACIÓN TAREA N°. 3

Escenario 2: aplicación web

Durante una auditoría de seguridad, es frecuente encontrarse con formularios web de acceso que no
incorporan un sistema de ‘captchas’ para evitar los ataques por fuerza bruta.

Ejemplos de esta clase de formularios es fácil encontrarlos en todo tipo de organizaciones, grandes y
pequeñas, y pueden ser un importante vector de riesgo si un atacante, armado con un buen
diccionario, intenta averiguar credenciales de acceso.
Ejemplo práctico de un ataque a un formulario

Tomemos como ejemplo este

formulario web que lleva asociado un
fichero .php que procesa las
peticiones de login. El ejemplo es
MUY sencillo, el script en php tan solo
comprueba contra un usuario /
contraseña predefinido en el código.
Claramente, en un escenario real,
realizaría esta comprobación contra
un backend SQL.

a) Investigue la veracidad o falsedad de los datos presentados en la siguiente tabla de acuerdo

al formato y longitud de contraseña utilizada.
 UNIVERSIDAD TECNOLÓGICA DE PANAMÁ
FACULTAD DE INGENIERÍA DE SISTEMAS COMPUTACIONALES
DEPARTAMENTO DE COMPUTACIÓN Y SIMULACIÓN DE SISTEMAS
ASIGNACIÓN TAREA N°. 3

Para verificar la veracidad de la tabla anterior use una página web la cual te dice cuanto tiempo
tardarían en descifrar tu contraseña.
Según muestra la aplicación en una contraseña de 8 caracteres en los cuales ingrese mayúsculas,
minúsculas y varios símbolos tardarían en descifrar en tan solo 3 horas mi contraseña por lo que la
veracidad de la tabla es falsa se necesitan más de 8 caracteres incluyendo símbolos, mayúsculas y
minúsculas para que tarden 463 años en descifrarla especialmente en la actualidad ya que se cuentan
con herramientas avanzadas para el descifrado de contraseñas.

b) Ante este tipo de ataques explicite posibles medidas:

1) De mitigación:
 Cifrado de la memoria RAM también puede mitigar la posibilidad de que un atacante pueda
obtener claves de cifrado u otro material de la memoria a través de un ataque por ejemplo de
arranque en frío.
 Validación de los datos de entrada/salida
 Sanear datos antes de realizar cualquier operación

2) De protección:
 Securización de los servidores de correo
 Deshabilitar comandos innecesarios
 No permitir login anónimo
 Configurar desconexión tras fallos en la autenticación, etc.
 Firewall de aplicación
 UNIVERSIDAD TECNOLÓGICA DE PANAMÁ
FACULTAD DE INGENIERÍA DE SISTEMAS COMPUTACIONALES
DEPARTAMENTO DE COMPUTACIÓN Y SIMULACIÓN DE SISTEMAS
ASIGNACIÓN TAREA N°. 3
 En el caso de ModSecurity y SquirrelMail:
 SecFilterSelective "ARG_mailbox" "\r\n"

D. CONSIDERACIONES FINALES:
Finalizada esta asignación considero que se lograron los objetivos de la misma al comprender las
posibles amenazas que se llevan a cabo tanto físico como lógico en un sistema informático, también
se pudo entender los diversos mecanismos de aseguramiento lógica y físico en los sistemas de
información, entere otros aspecto que son de gran importancia en la seguridad de los sistemas de
información.