Análisis FODA

Analisis FODA es de gran utilidad en una empresa ya que nos nuestra una perspectiva general de como se encuentra una empresa,donde las debilidades y fortalezas van a ser internas mientras que por otro lado las oportunidades y amenazas serán externas.

Internos:

1. Encuestas(clientes,personal)
2. Bienes
3. Capacidades
4. Procesos

Externos:

1. Datos del entorno
2. Datos de la industria
3. Competencia
4. Clientes

aprendizaje del tercer paracial

En este segundo parcial lo que mas resalta es la no conformidad y plan de acciones que van enfocados a la mejora continua de un proceso dentro de una empresa, que tiene como objetivo que se mejore y se ataque el área donde esta afectando al proceso.

ahora ya tenemos las armas para poder a auditar los procesos de una empresa, ya que ya conocemos las normas y estándares para poder decirle a una empresa que sus procesos están mal o porque tiene cosas que no tienen nada que ver con las normas y sus procesos, ya que uno como auditor no le puede decir a una empresa que sus procesos están mal así nada mas,uno tiene que están seguro y verificar los estándares y normas de calidad para poder decirle con certeza" en este punto estas mal porque la norma dice esto".

ahora podremos auditar al otro grupo de una manera muy minuciosa ,porque ya tenemos la noción de una auditoria la cual tuvimos en el segundo parcial que nos dio la noción de ver como se realizaban y ahora ya podremos hacer una mejor auditoria ya que ya corregimos lo que tuvimos mal en nuestra auditoria interna.

Como hacer una auditoria util

Redacción de No Conformidades

No conformidad, acción correctiva y acción preventiva

Servicios AAA

El estándar AAA es un marco arquitectónico para configurar un sistema de seguridad de red.Este debe ser capaz de autenticar a los usuarios, dar una respuesta correcta a las solicitudes de autorización de los mismos así como de recolectar datos que permitan hacer una auditoria sobre los recursos a los que se ha tenido acceso.

Autenticacion

identifica a los usuarios y dependiendo del protocolo de seguridad seleccionado(encriptacion).

Autorización

Es el acceso a determinadas aplicaciones o servicios de una red para un usuario, basándose en la autenticacíon,esta basada en restricciones.

Auditoria

Es el seguimiento o monitoreo del consumo de recursos del usuario para cada usuario tiene definido,

Protocolos AAA

Los protocolos AAA más utilizados para proporcionar acceso a una red desde un sitio remoto son:

Radius (Remote Authentication Dial-in User Service)

TACACS+ (Terminal Access Controller Access Control System Plus)

Radius

Gestiona el acceso a las redes. Se utiliza principalmente por los proveedores de servicios de Internet para gestionar acceso a Internet a sus clientes. El nombre RADIUS es en realidad un acrónimo de "Remote Authentication Dial In User Service" (Dial de autenticación remoto para acceso a servicios). El protocolo no sólo logra acceso a la red, sino también a la gestión de cuentas del usuario.Pero tambien es un protocolo de autentificación comúnmente utilizado por el estándar de seguridad del 802.1x.

Caracteristics de Radius

1. Capacidad de manejar sesiones
2. Notificando cuando comienza y termina una conexión
3. Determinar su consumo y facturar en consecuencia; los datos se pueden utilizar con propósitos estadísticos.

Seguridad en RADIUS.

RADIUS adolece de una serie de debilidades que son:

• Los mensajes RADIUS no viajan cifrados, a excepción de aquellos datos especialmente sensibles como las contraseñas
• RADIUS utiliza MD5  como algoritmo criptográfico de hashing, lo que lo hace vulnerable a ataques de colisión.
• La comunicación se realiza a través del protocolo UDP , lo que permite que las direcciones IP puedan ser fácilmente falseadas y susceptible de suplantación de identidad.
• Las especificaciones para la clave compartida no son lo suficientemente robustas y es reutilizada por el servidor con los clientes. Por tanto, es vulnerable a ataques de fuerza bruta. Una vez obtenida la clave, el campo "Autenticator" utilizado en mensajes de autenticación (Access-Request) es fácilmente generado.

TACACS+

Es un protocolo de autenticacion remota que se usa para gestionar el acceso a servidores y dispositivos de comunicaciones.

TACACS+ también encripta el nombre de usuario y otros datos asociados. Además, RADIUS es un protocolo de autenticación independiente, mientras que TACACS+ es escalable. Es posible aislar sólo determinados aspectos de autenticación de TACACS+ mientras implementa otros protocolos para capas adicionales del servicio de autenticación. Por tanto, Se suele combinar con Kerberos para sistemas de autenticación particularmente fuertes.

KERBEROS

Es un protocolo de autenticacion es uno de los mas usados en la red.Identifica usuarios implementando una biblioteca grande y compleja de "claves" encriptadas que sólo asigna la plataforma Kerberos. Estas claves no pueden ser leídas o exportadas fuera del sistema. Los usuarios humanos y los servicios de red que requieren acceso a un dominio, son autenticados por Kerberos de la misma forma. Verifica que una contraseña de usuario se corresponde con una clave almacenada, autentica al usuario.

Cuando el usuario intenta acceder a otro servicio de red, puede ser necesaria otra autenticación. Sin embargo, todos los servicios de red en este sistema interactúan directamente con Kerberos, no con el usuario.

La eficiencia del entorno de Kerberos permite a los usuarios autenticarse una vez, y el acceso se concede seguidamente a otros servicios a través de la compartición de claves. Una vez autenticado, juega el rol de una autoridad para ese usuario y administra el proceso del archivo clave para el resto de todos los servicios.

Algoritmos hash md5 y sha-1 

Certificados Digitales

Los certificados Digitales nos permiten la identidad exclusiva de una identidad exclusiva,en pocas palabras son tarjetas digitales de identificación electrónica que son emitidas por una empresa de confianza,permiten al usuario verificar a quien se ha emitido un certificado, así como el emisor del certificado;son el vehículo que SSL utiliza para la criptografía de clave pública.

Los pares de claves pública-privada son simplemente cadenas largas de datos que actúan como claves en un esquema de cifrado de un usuario. El usuario mantiene la clave privada en un lugar seguro (por ejemplo, cifrada en el disco duro de un sistema) y proporciona la clave pública a cualquiera con quien el usuario desee comunicarse. La clave privada se utiliza para firmar digitalmente todas las comunicaciones seguras enviadas desde el usuario; el destinatario utiliza la clave pública para verificar la firma del emisor.

Un certificado digital sirve para dos finalidades: establece la identidad del propietario y hace que la clave pública del propietario esté disponible. Una autoridad de confianza --una autoridad de certificación (CA)-- emite un certificado digital y sólo se emite para un plazo de tiempo limitado. Cuando pasa la fecha de caducidad, debe sustituirse el certificado digital.

Formato de los certificados digitales
El certificado digital contiene fragmentos específicos de información acerca de la identidad del propietario del certificado y acerca de la autoridad de certificación:
Nombre distinguido del propietario. Un nombre distinguido es la combinación del nombre común del propietario y su contexto (posición) en el árbol de directorios. En el árbol de directorios sencillo que se muestra en la Figura 54, por ejemplo, LaurenA es el nombre común del propietario y el contexto esOU=Engnring.O=XYZCorp; por consiguiente, el nombre distinguido

es:.CN=LaurenA.OU=Engnring.O=XYZCorp

1. Clave pública del propietario
2. Fecha en que se emitió el certificado digital.
3. Fecha en que caduca el certificado digital.
4. Nombre distinguido del emisor Éste es el nombre distinguido de la CA.
5. Firma digital del emisor.

Usos para los certificados digitales en las aplicaciones de Internet

SSL 

Protocolo que proporciona privacidad e integridad para las comunicaciones. Los servidores web utilizan este protocolo para proporcionar seguridad para las conexiones entre servidores web y navegadores web por LDAP para proporcionar seguridad para las conexiones entre clientes LDAP y servidores LDAP y por Tivoli Risk Manager para proporcionar seguridad para las conexiones entre el cliente y un servidor.

SSL utiliza certificados digitales para el intercambio de claves, la autenticación de servidor y, opcionalmente, la autenticación de cliente.

Autenticación de cliente

La autenticación de cliente es una opción de SSL que necesita que un servidor autentique un certificado digital de un cliente antes de permitir que el cliente se conecte o acceda a determinados recursos. El servidor solicita y autentica el certificado digital del cliente durante el protocolo de enlace de SSL. En ese momento, el servidor también podrá determinar si confía en la CA que emitió el certificado digital al cliente.

Correo electrónico seguro

Muchos sistemas de correo electrónico, utilizando estándares como Privacy Enhanced Mail (PEM) o Secure/Multipurpose Internet Mail Extensions (S/MIME) para un correo electrónico seguro, utilizan certificados digitales para firmas digitales y para el intercambio de claves para cifrar y descifrar mensajes.

Redes privadas virtuales (VPN)

Las redes privadas virtuales, también denominadas túneles seguros, se pueden configurar entre cortafuegos para habilitar conexiones protegidas entre redes seguras a través de vínculos de comunicaciones inseguros. Todo el tráfico destinado a estas redes se cifran entre los cortafuegos.

Los protocolos utilizados en el túnel siguen el estándar IP Security (IPsec). Para el intercambio de claves entre cortafuegos asociados, se ha definido el estándar de intercambio de claves de Internet (IKE), conocido anteriormente como ISAKMP/Oakley.

Los estándares también permiten una conexión segura y cifrada entre un cliente remoto (por ejemplo, un empleado que trabaja desde su casa) y un host o red seguros.

Transacción electrónica segura ( SET )

SET es un estándar diseñado para realizar pagos seguros con tarjeta de crédito en redes inseguras (Internet). Los certificados digitales se utilizan para poseedores de tarjetas (tarjetas de crédito electrónicas) y comerciantes. El uso de certificados digitales en SET permite las conexiones seguras y privadas entre poseedores de tarjetas, comerciantes y bancos. Las transacciones creadas son seguras e indiscutibles y no se pueden falsificar. Los comerciantes no reciben información sobre tarjetas de crédito que se pueda robar o de la que se pueda hacer un mal uso.

SST Y TLS

¿Qué es SSL/TLS?

SSL (Secure Sockets Layer) traducido al español significa Capa de Conexiones Seguras. Es un protocolo que hace uso de certificados digitales para establecer comunicaciones seguras a través de Internet. Recientemente ha sido sustituido por TLS (Transport Layer Security) el cual está basado en SSL y son totalmente compatibles.

Te permite confiar información personal a sitios web, ya que tus datos se ocultan a través de métodos criptográficos mientras navegas en sitios seguros.

Es utilizado ampliamente en bancos, tiendas en línea y cualquier tipo de servicio que requiera el envío de datos personales o contraseñas. No todos los sitios web usan SSL, por eso debes ser cuidadoso.

¿Cómo funciona?

Antes de entender cómo funciona esta tecnología, es necesario abordar algunos conceptos importantes y que forman parte del funcionamiento interno de SSL/TLS.

Cifrado, no Encriptado

El cifrado es el proceso que transforma tu información de manera que no cualquier usuario pueda entenderla, se realiza con base a un elemento único conocido como llave, así nadie, excepto el poseedor puede leerla. El procedimiento inverso al cifrado es el descifrado.

La palabra correcta para describir el proceso de ocultamiento de información es cifrado, usualmente encontrarás literatura con el término encriptado, el cual es incorrecto.

Llave pública y llave privada

Son un par de “llaves” digitales asociadas a una persona o entidad y generadas mediante métodos criptográficos. La llave pública es usada para cifrar la información, haciendo una analogía, es como la llave utilizada para cerrar una puerta y mantener fuera a cualquier persona mientras que la llave privada se usa para descifrar, es decir, la llave que abre la puerta y sólo la posee la persona autorizada, por lo tanto ésta debe mantenerse en secreto.

Firma digital

Del mismo modo que tu firma autógrafa, es un elemento que te identifica y distingue de las demás personas y que al firmar con ella adquieres derechos y obligaciones. La firma digital se genera con base a la llave privada de quien firma y por lo tanto es única.

Autoridad Certificadora (AC)

Una Autoridad Certificadora (AC, en inglés CA) es una entidad confiable que se encarga de garantizar que el poseedor de un certificado digital sea quien dice ser, bridando confianza a ambas partes de una comunicación segura SSL/TLS.

Certificado Digital SSL/TLS

Es un documento digital único que garantiza la vinculación entre una persona o entidad con su llave pública.

Contiene información de su propietario como nombre, dirección, correo electrónico, organización a la que pertenece y su llave pública, así como información propia del certificado por mencionar: periodo de validez, número de serie único, nombre de la AC que emitió, firma digital de la AC cifrada con su llave privada y otros datos más que indican cómo puede usarse ese certificado.

HTTPS

Simplemente es una combinación del protocolo HTTP (usado en cada transacción web) con el protocolo SSL/TLS usada para establecer comunicaciones cifradas en sitios web.

Funcionamiento

SSL/TLS es una tecnología compleja, pero una vez entendidos los conceptos anteriores comprenderás el funcionamiento de este protocolo de forma general. Usemos un ejemplo con el cual posiblemente estés familiarizado.

Supongamos que intentas acceder al sitio de Facebook de forma segura, es decir, usando “https” en la dirección web. Inmediatamente, aparecerá la página en pantalla y en alguna parte de tu navegador observarás un “candado”, dependiendo del navegador que uses (Imagen 1). Si no viste ningún mensaje de advertencia (generalmente en tonos rojos), el protocolo SSL/TLS ha hecho su trabajo.

Certificados X.509:

El formato de certificados X.509 es un estándar del ITU-T (International Telecommunication Union-Telecommunication Standarization Sector) y el ISO/IEC (International Standards Organization / International Electrotechnical Commission) que se publicó por primera vez en 1988. El formato de la versión 1 fue extendido en 1993 para incluir dos nuevos campos que permiten soportar el control de acceso a directorios.


X.509 fue publicado oficialmente en 1988 y comenzado conjuntamente con el estándar X.500 y asume un sistema jerárquico estricto de autoridades certificantes (ACs) para emisión de certificados.


Esto contrasta con modelos de redes de confianza, como PGP, donde cualquier nodo de la red (no solo las ACs) puede firmar claves públicas, y por ende avalar la validez de certificados de claves de otros. La versión 3 de X.509 incluye la flexibilidad de soporte de otras tecnologías como bridges y mallas. Puede usarse en una Web de confianza peer to peer de tipo OpenPGP, pero desde 2004 raramente se usa así.


El sistema X.500 nunca se implementó completamente, y el grupo de trabajo de la infraestructura de clave pública de la IETF, comúnmente conocido como PKIX parainfraestructura de clave pública (X.509) o PKIX, adaptó el estándar a la estructura más flexible de Internet. X.509 incluye también estándares para implementación de listas de certificados en revocación (CRLs), y con frecuencia aspectos de sistemas PKI. De hecho, el término certificado X.509 se refiere comúnmente al Certificado PKIX y Perfil CRL del certificado estándar de X.509 v3 de la IETF, como se especifica en la RFC 3280.

Auditoria Interna

Auditoria Informatica

Auditoria de sistemas de Ti

Este segundo parcial es muy interesante ya que vimos más a fondo la estructura de los departamentos que conforman la empresa ADD MONTIONS  y pudimos ver que cada departamento tiene funciones y procesos que realizar, pero con la diferencia que todos los departamentos tienen que tener un formato como machote para hacer su proceso y documentación, que le toca al área de calidad regular todo estos formatos.

También comprendí que todas las áreas tienen algo en común, que trabajan entre sí para obtener un fin en común y que son de vital importancia que se coordinen unas con otras porque de lo contrario todos los procesos y documentación estarán mal por lo cual la empresa no tendrá éxito.

Por eso es de vital importancia que todas las áreas se reúnan para platicar de sus documentos y proceso y claro que este el jefe presente para tomar decisiones para el futuro de la empresa. En esta reunión se deben de definir todos los procesos que se harán, como y que llevaran toda la documentación que se generara en la empresa.

Ya que es de suma importancia que todos lleven la misma documentación y procesos en cuanto a los formatos que genere el departamento de calidad esto con el fin de que en caso de una auditoria todo tenga coherencia y no haiga fallas.