Upload
others
View
2
Download
0
Embed Size (px)
Citation preview
Presentador
Luis Enrique Sánchez- [email protected]
Autores
Roberto Ortiz – [email protected]
Santiago Moral Rubio – [email protected]
Javier Garzás – [email protected]
Eduardo Fernández-Medina – [email protected]
A Systematic Review of Security Patterns Used to Develop Security
Architectures
Bucaramanga, Colombia. CIBSI 2011
Índice
• Introducción
– Motivación de la Investigación
– Necesidades Detectadas
– Objetivo
• Investigación
– Análisis
– Resultados
– Conclusiones
Bucaramanga, Colombia. CIBSI 2011
Los avances tecnológicos conducen a una
mayor complejidad de los sistemas de
información, aumentando el impacto de los
ataques cibernéticos, ya que los atacantes
tienen más probabilidades de encontrar nuevas
vulnerabilidades en los sistemas, tales como
cross-site scripting, inyección de código,
ejecución de archivos maliciosos, etc.
Motivación de la Investigación
Bucaramanga, Colombia. CIBSI 2011
Figura 1: Comparación Anual de Denuncias Recibidas vía Website de IC3
IC3 (Internet Crime Complaint Center)
Motivación de la Investigación
Bucaramanga, Colombia. CIBSI 2011
IC3 (Internet Crime Complaint Center)
Figura 2: Pérdida Anual en Dólares (en Millones) en relación con las denuncias anteriores
Motivación de la Investigación
Bucaramanga, Colombia. CIBSI 2011
¿Por qué ocurren los ataques?
Los ataques cibernéticos se
producen principalmente al
aprovechar pequeños fallos
en los programas o en la
configuración de los sistema
de información.
Motivación de la Investigación
Bucaramanga, Colombia. CIBSI 2011
• Mal diseño de los sistemas y de su seguridad • Escasa actualización de los sistemas • Insuficiente o nula monitorización de los sistemas • Cambios inadecuados en la configuración de los sistemas • Errores en el código de las aplicaciones
La mayoría de estas deficiencias son causadas por:
Motivación de la Investigación
Bucaramanga, Colombia. CIBSI 2011
Procesos ejecutados
miles de veces al día
Esta es la principal
razón de la mayoría
de los problemas de
seguridad
Motivación de la Investigación
Bucaramanga, Colombia. CIBSI 2011
Los fallos son
debidos a
errores humanos
Motivación de la Investigación
Bucaramanga, Colombia. CIBSI 2011
Soluciones específicas y reutilizables para resolver eficazmente los problemas relacionados con las vulnerabilidades de seguridad, y así, minimizar el número de ataques satisfactorios contra los sistemas de una organización.
Necesidades
Bucaramanga, Colombia. CIBSI 2011
Minimizar los errores de diseño y de gestión de los sistemas de información de una organización de una forma estructurada y sistemática.
Propuesta
Bucaramanga, Colombia. CIBSI 2011
Teniendo en cuenta que la mayoría de los
problemas ocurren de forma similar en
diferentes contextos, soluciones genéricas a
estos problemas pueden ser expresadas
como patrones.
Contribución de los Patrones
Bucaramanga, Colombia. CIBSI 2011
Describen un problema recurrente,
proporcionando una solución
documentada y validada que puede
ser usada múltiples veces.
Contribución de los Patrones
Bucaramanga, Colombia. CIBSI 2011
Combinan experiencia y buenas
prácticas en el diseño de sistemas
de información.
Contribución de los Patrones
Bucaramanga, Colombia. CIBSI 2011
Optimizan el proceso de decisión a
la hora de resolver una necesidad
de seguridad recurrente.
Contribución de los Patrones
Bucaramanga, Colombia. CIBSI 2011
Contribución de los Patrones
Incorporan un extenso
conocimiento, en materia de
seguridad, de forma
estructurada.
Bucaramanga, Colombia. CIBSI 2011
Hemos llevado a cabo un profundo
análisis de un conjunto de algunas de las
propuestas más relevantes, extraídas
de una revisión sistemática realizada con
anterioridad, las cuales utilizan los
patrones de seguridad para
construir sistemas seguros.
Investigación
Bucaramanga, Colombia. CIBSI 2011
Este análisis se centra en la forma en
que estos patrones son utilizados, con el fin
de verificar si estas propuestas tienen en
cuenta una serie de consideraciones que
son necesarias cuando este tipo de
soluciones son introducidas en los sistemas
reales de una organización.
Investigación
Bucaramanga, Colombia. CIBSI 2011
Consideraciones
•Impacto en otros componentes
•Impacto en el sistema
•Coste de la solución
•Tiempo empleado
•Presentación de ejemplos reales
•Evaluación de la criticidad de los activos que deben ser
protegidos
•Cumplimiento de normas y regulaciones
Cada uno de estos aspectos son los criterios técnicos que deberían ser
tomados en cuenta, por los ingenieros de seguridad, a la hora de
construir un sistema de información seguro, ya que se relacionan con
parámetros tan importantes como el rendimiento, coste, tiempo,
eficacia o aprendizaje.
Bucaramanga, Colombia. CIBSI 2011
Satisface completamente
las consideraciones
planteadas
Se refiere brevemente
a estas consideraciones
No menciona ni considera
dichas consideraciones
SI (S)
PARCIALMENTE
(P)
NO (N)
Análisis de las Propuestas
Bucaramanga, Colombia. CIBSI 2011
Análisis de las Propuestas
1
2
1
0
3
2
2
1
4
0
0
4
0
0
9
5
10
11
4
9
9
0 2 4 6 8 10 12
Impact on others components
Impact on the system
Solution cost
Used time
Real examples
Criticallity of assets
Rules and regulations
N
P
F
Reglas y Regulaciones
Criticidad de los activos
Ejemplos reales
Tiempo estimado
Coste de la solución
Impacto en el sistema
Impacto en otros componentes
del sistema
S
Bucaramanga, Colombia. CIBSI 2011
A la mayoría de las propuesta principalmente
les falta…
Una evaluación de las compatibilidades y las
posibles consecuencias al utilizar el patrón
con relación a los otros componentes en el
sistema.
Resultados
Bucaramanga, Colombia. CIBSI 2011
Esta falta puede provocar incompatibilidades
con algunos elementos del sistema al no
detectarse a priori , haciendo así que
la solución fracase.
Resultados
Bucaramanga, Colombia. CIBSI 2011
A la mayoría de las propuesta principalmente
les falta…
Una evaluación detallada del impacto que el
uso del patrón puede tener en el sistema
en el que se introduce en términos de
almacenamiento, memoria consumida,
frecuencia de parcheo, procesamiento,
capacidad de ancho de banda, etc.
Resultados
Bucaramanga, Colombia. CIBSI 2011
La falta de análisis de estos parámetros
críticos podría poner en peligro la
disponibilidad del servicio.
Resultados
Bucaramanga, Colombia. CIBSI 2011
A la mayoría de las propuesta
principalmente les falta…
Una clasificación específica de la criticidad
del activo que debe ser protegido por la
solución expuesta por el patrón.
Resultados
Bucaramanga, Colombia. CIBSI 2011
Si este parámetro no es analizado, existe el
riesgo de no estimar adecuadamente las
medidas de seguridad a adoptar, lo que
conduce a inversiones excesivas o, en su
defecto, a dejar el sistema vulnerable a
cualquier ataque no considerado
anteriormente.
Resultados
Bucaramanga, Colombia. CIBSI 2011
A la mayoría de las propuesta
principalmente les falta…
Una estimación general de el coste o tiempo
necesario para implementar la solución
expuesta por el patrón.
Resultados
Bucaramanga, Colombia. CIBSI 2011
La ausencia de este análisis puede
causar que la organización descarte la
solución porque no es capaz de asumir los
costes relacionados a posteriori, o porque
sea incapaz de planificar una estrategia de
negocio, ya que el tiempo estimado en la
realización de los cambios no ha sido
definido con claridad.
Resultados
Bucaramanga, Colombia. CIBSI 2011
A la mayoría de las propuesta
principalmente les falta…
Consideraciones específicas en relación a
las limitaciones que pueden ser impuestas
por las normas y regulaciones de los
diferentes países donde residen los
sistemas de información de la organización.
Resultados
Bucaramanga, Colombia. CIBSI 2011
Este aspecto es tan critico como los demás,
pero afecta directamente a las organizaciones
internacionales.
Cuando el negocio de una organización depende,
entre otros factores, de las regulaciones del
país donde se encuentran sus sistemas, es
necesario incluir este criterio como una variable
en la ecuación, ya que puede condicionar la
solución final de seguridad en todo momento.
Resultados
Bucaramanga, Colombia. CIBSI 2011
Resultados
Todos estos parámetros son críticos, y por
lo tanto, deberían ser decisivos cuando se
utilizan patrones de seguridad en los
sistemas reales de una organización.
Descuidar su análisis puede hacer que la
solución fracase.
Bucaramanga, Colombia. CIBSI 2011
Conclusiones
A pesar de los resultados de este análisis, los
patrones de seguridad son, en nuestra opinión,
una buena herramienta con la
que homogeneizar las soluciones de
seguridad para problemas similares que son
resueltos por diferentes ingenieros, además de
proporcionar soluciones ágiles,
probadas, validadas y seguras a problemas de
seguridad recurrentes.
Bucaramanga, Colombia. CIBSI 2011
Conclusiones
• Creemos que es necesario que los patrones de
seguridad, que existen hasta la fecha, evolucionen
para reflejar cada una de las consideraciones
anteriores, a fin de permitir su fácil aplicación en
sistemas reales
• Además creemos que es necesario también, la
elaboración de una metodología de uso de estos
patrones para ayudar a los ingenieros de seguridad de
la información a construir sistemas de información
seguros dentro de organizaciones reales y
complejas, a través de un proceso sistemático
Bucaramanga, Colombia. CIBSI 2011
• En la actualidad, hemos publicado una nueva plantilla de descripción de
patrones para apoyar el diseño de arquitecturas de seguridad. Además,
hemos presentado una primera aproximación a una metodología basada
en patrones de seguridad para construir sistemas de información seguros
•En los próximos trabajos, nosotros crearemos patrones de seguridad usando la
plantilla mencionada, y mostrando ejemplos reales
•Por otro lado, estamos estudiando en detalle todas las etapas de la metodología
propuesta, presentando en cada etapa ejemplos prácticos que certifiquen su uso
en una organización real
•Finalmente, estamos trabajando en la construcción de una herramienta que de
soporte a la aplicación de la metodología y que sirva para controlar cada una de
las actividades, elementos y personas que toman parte en la construcción de un
sistema de información seguro
Próximos trabajos