Auditoria en Redes,

Comunicaciones,
servidores web,
Computacin/Telefona
mvil e
Internet (Switches,
enrutadores y firewall)

Auditoria en Redes
Es una serie de mecanismos
mediante los cuales se pone a
prueba
una
red
informtica,
evaluando
su
desempeo
y
seguridad, a fin de lograr una
utilizacin ms eficiente y segura de
la informacin

Auditoria Red Fsica

Se debe garantizar que exista:
reas de equipo de comunicacin con
control de acceso.
Proteccin y tendido adecuado de cables
y lneas de comunicacin para evitar
accesos fsicos.
Control de utilizacin de equipos de
prueba de comunicaciones para
monitorizar la red y el trafico en ella.
Prioridad de recuperacin del sistema.
Control de las lneas telefnicas.

Auditoria Red Lgica

Se debe hacer un anlisis del riesgo de aplicaciones en los procesos.
Se debe hacer un anlisis de la conveniencia de cifrar los canales de
transmisin entre diferentes organizaciones.
Asegurar que los datos que viajan por Internet vayan cifrados.
Si en la LAN hay equipos con modem entonces se debe revisar el
control de seguridad asociado para impedir el acceso de equipos
forneos a la red.
Deben existir polticas que prohban la instalacin de programas o
equipos personales en la red.
Los accesos a servidores remotos han de estar inhabilitados.
La propia empresa generar propios ataques para probar solidez de
la red y encontrar posibles fallos en cada una de las siguientes facetas:

Servidores = Desde dentro del servidor y de la red interna.

Servidores web.
Intranet = Desde dentro.
Firewall = Desde dentro.
Accesos del exterior y/o Internet.

Auditorias de Red Internas que verifican el estado de

seguridad interior de la empresa, contemplando los
controles a sus usuarios internos, la aplicacin de sistemas
antivirus, las restricciones de acceso, los sistemas de
autenticacin y la correcta configuracin de los distintos
servidores
y
equipos
de
comunicaciones
en
funcionamiento como switches, routers, servidores de
correo y servidores web

Auditorias de Red Externas que verifican la aplicacin

de las polticas de seguridad concernientes a reglas de
cortafuegos, filtros de contenidos, accesos remotos,
protecciones contra denegacin de servicios y accesos no
autorizados.

Las
polticas
y
normas
de
seguridad
de
telecomunicaciones deben estar formalmente definidas,
documentadas y aprobadas. Adicionalmente, debern
contener objetivos de control de alto nivel que definan los
requerimientos de administracin de seguridad en redes.

En estas primeras etapas del desarrollo de seguridad

en Internet, se ha comenzado a trabajar con cuatro
componentes fundamentales, que son:
Autenticacin e identificacin: tcnica que nos
permiten individualizar al autor de determinada accin.
Autorizacin: tcnica que permite determinar a qu
informacin tienen acceso determinadas personas.
Integridad de datos: tcnica que garantiza que los
datos que viajan por la red lleguen intactos a su
destino.
Privacidad de datos: tcnica que determina quin
puede leer la Informacin una vez que sali del
sistema de almacenamiento.

Evaluacin de seguridad,
pruebas y anlisis de
vulnerabilidades

Existen varios tipos de pruebas de

intromisin que, dependiendo de las
circunstancias, afecta al mbito de la
evaluacin, la metodologa adoptada
y los niveles de garanta de la
auditora.

Internet
La finalidad de las pruebas de Internet es poner
en peligro la red de destino. La metodologa
necesaria para realizar esta prueba permite una
comprobacin sistemtica de las
vulnerabilidades conocidas y la bsqueda de
posibles riesgos de seguridad. La metodologa
empleada habitualmente incluye los procesos de:

Recogida de la informacin (reconocimiento)

Red de enumeracin
Anlisis de la vulnerabilidad
Explotacin
Resultados de los anlisis e informes

Wireless
Las vulnerabilidades ms graves son:
Dependencia WEP para el cifrado.
Que las redes inalmbricas no estn
separadas de otras redes.
Las direcciones MAC.
Dbil o inexistente gestin de claves.
Los paquetes Beacon que no se han
deshabilitado o "activado".
Contraseas por defecto / IP
Evitar la clave WEP dbil

Aplicacin WEB
las pruebas incluyen pruebas manuales y
automatizadas del portal como un extrao, sin
informacin de acceso. Esta prueba complementa
las pruebas de penetracin externa. El objetivo de
esta prueba es obtener una comprensin de cmo
las personas interactan con el sistema de acceso a
datos sensibles.
Las pruebas adicionales pueden incluir la
comprobacin del portal Web por una informacin
privilegiada a travs de una cuenta de entrada
estndar.
Identificacin y explotacin de las vulnerabilidades
se puede lograr mediante el uso de diversas
herramientas comerciales y de cdigo abierto
evaluacin de la vulnerabilidad.

Network routing control

Se
debe
implementar
controles
de
encaminamiento de red (routing) para asegurar
que las conexiones de los ordenadores y los
flujos de informacin no violan la poltica de
control de acceso de las aplicaciones del
negocio.
Los requisitos para el control de enrutamiento de
red deben basarse en la poltica de control de
acceso.
Finalmente comentar que las redes compartidas
y las que se extienden fuera de las fronteras
requieren controles de enrutamiento adicionales.
Esto se aplica especialmente cuando las redes
son compartidas con terceros.

Mobile computing and

communications
se debe implementar una poltica formal y
se deben adoptar las medidas de
seguridad adecuadas de proteccin contra
los riesgos de la utilizacin de ordenadores
porttiles y comunicaciones mviles.
poltica de informtica mvil en entornos
desprotegidos. Esta poltica debe incluir
los requisitos de proteccin fsica,
controles de acceso, tcnicas de cifrado,
backups, y proteccin antivirus entre otros.

Tambin deber incluir las reglas y

consejos sobre la conexin de
dispositivos mviles a las redes y
orientacin sobre el uso de estas
instalaciones en lugares pblicos.

Teleworking
Trabajar desde fuera haciendo lo
mismo que desde dentro. El control
pone que se debe redactar e
implementar
una
poltica
de
actividades de teletrabajo, as como
planes
y
procedimientos
de
operacin correspondientes.

Las organizaciones deben autorizar

actividades de teletrabajo si se
consideran que las medidas de
seguridad son adecuadas y los
controles se cumplan segn lo
establecido
en
la
poltica
de
seguridad de la empresa.