La seguridad informática: sus servicios y mecanismos contra amenazas y ataques

Introducción

El ser humano ha ido dejando ya, desde hace algunas décadas, sus antiguos sistemas y métodos para obtener, almacenar, modificar y utilizar información. En estos mecanismos, se utilizaban únicamente grandes cantidades de papel, que a su vez se archivaban en repositorios o almacenes. Aunque dicha información era similar a la de nuestros días, como datos sobre empleados o las organizaciones mismas, representaba un problema mayor elaborarse, transportarse y almacenarse.

Para garantizar la seguridad de la información importante de dichas organizaciones, se recurría, por lo general, a dos soluciones: implementar candados de metal para almacenar documentos confidenciales en los repositorios antes señalados, o directamente utilizar métodos para proteger los datos de los empleados que se usaban durante el proceso de contratación de los mismos.

Los puntos anteriores han ido paulatinamente desapareciendo desde que se introdujeron las Tecnologías de la Información y Comunicación (TIC), las cuales abarcan todas las formas de tecnología empleadas para crear, almacenar, intercambiar, manejar y manipular material digitalizado en sus formas variadas. Los sistemas informáticos y las TIC han permitido digitalizar toda esa información, acarreando consigo varias ventajas, como la reducción de espacio físico y tiempo de almacenamiento, la inutilización de papel, y la facilidad de captura, búsqueda, análisis y procesamiento de dicha información.

Sin embargo, la seguridad de estos sistemas es ahora más vulnerable que antes, pues la información puede ser extraviada, interceptada, modificada, eliminada, o simplemente no recibida o enviada. En la mayoría de los casos, esto sucede debido a la intervención de un elemento ajeno a la organización, el cual puede actuar intencionalmente o no; y, de suceder el primer caso, puede constituir sólo una amenaza o bien atacar directamente el flujo de información, ya sea pasiva o activamente. Estos términos se desarrollarán más adelante en este texto.

Los problemas referentes a la seguridad en los sistemas actuales han ido en aumento considerable desde que existe la informática. A su vez, las soluciones (servicios y mecanismos de seguridad) se han mejorado considerablemente, creándose así un ciclo en la seguridad informática.

Hoy en día, es raro encontrar una organización que no administre toda su información mediante sistemas computacionales, tales como bancos, redes sociales, tiendas o hasta gobiernos enteros. Por ello, es de suma importancia que todos los procesos que efectúen cumplan con los requerimientos establecidos de seguridad, debido a la gran cantidad e importancia de la información que manejan.

Desarrollo

Antes de comenzar a hablar sobre lo que constituyen las amenazas y los ataques a los sistemas de información, y sobre cómo actúan los servicios y mecanismos de seguridad para contrarrestarlos, es esencial definir el término de seguridad informática. La Real Academia Española de la Lengua enuncia que “seguridad” es la “cualidad de estar libre y exento de riesgo”. Es también suponible, en cierta manera, que debe ser infalible (que actúe conforme a su finalidad). Considerando a la informática como la ciencia encargada del procesamiento de los datos para generar información, se puede definir a la seguridad informática como “un grupo de normas, mecanismos, herramientas, procedimientos y recursos diseñados para brindar protección a la información y evitar la intrusión informática de los hackers”.

De acuerdo con la Universidad Tecnológica de Tula-Tepeji, los principales objetivos de la seguridad informática son proteger la infraestructura computacional, es decir, el hardware del sistema (ante desastres naturales o acciones humanas), y proteger la información de tal organización, utilizando diversos servicios y mecanismos.

Para Stallings (2004), existen otros tipos de seguridad computacional: el que se refiere a la seguridad de la red y el que habla de la seguridad del internet. El primero surge gracias a la creación de los sistemas distribuidos y el uso de redes y herramientas para transportar datos entre el usuario de un terminal y el computador, o entre dos computadores. El último existe gracias a que todas las empresas, las instituciones gubernamentales y académicas conectan sus equipos de procesamiento de datos formando un grupo de redes conectadas entre sí, conocido como una internet.

La seguridad informática se encarga de prevenir o contrarrestar los efectos de las amenazas y los ataques planeados o ejecutados sobre el sistema. Sin embargo, ambos términos son diferentes. Una amenaza es toda circunstancia, capacidad, elemento, evento o acción que constituya una posibilidad de violar o atentar contra la seguridad de la información y causar un perjuicio al sistema (Stallings, 2004). En otras palabras, es un peligro posible que podría explotar una vulnerabilidad; por lo tanto, una amenaza sólo puede existir si existe una vulnerabilidad que pueda ser aprovechada, se comprometa o no la seguridad de un sistema de información.

Para el Laboratorio de Redes y Seguridad de la UNAM, las amenazas se dividen en humanas (por ignorancia en el manejo de la información, negligencia o inconformidad), de hardware (fallas físicas en la computadora), de red (cuando no se calcula bien el flujo de información que va a circular por el canal de comunicación), lógicas (cuando el diseño de un mecanismo de seguridad se implementa mal) y por desastres naturales (geológicos, meteorológicos, químicos, sanitarios o socio-organizativos).

En cambio, los ataques son cualquier acción o evento, exitosos o no, que constituyan un asalto, comprometan la seguridad de la información y/o atenten sobre el buen funcionamiento del sistema, y se derivan de una amenaza inteligente. Es decir, un ataque es un acto inteligente y deliberado para eludir y violar los servicios y políticas de seguridad del sistema. Los ataques se clasifican en pasivos y activos.

En los ataques pasivos, los atacantes u oponentes desean solamente obtener información del sistema y se limitan a observar el flujo de los datos, sin intervenir directamente en él ni hacer uso de sus recursos. Son muy difíciles de detectar, pues ni emisor ni receptor identifican la presencia de un tercer elemento, y por ello es más fácil prevenirlos que detenerlos. Los ataques pasivos se clasifican en:

• Intercepción de datos: Tienen como fin obtener los contenidos de los mensajes, en su mayoría confidenciales, cuando éstos son liberados, así como su origen y destino. Este es un ataque en contra de la confidencialidad. Por ejemplo, cuando un hacker lee un correo electrónico confidencial destinado a otra persona.
• Análisis de tráfico: Este ataque se encarga de monitorear los mensajes, aunque éstos estén cifrados, con el fin de obtener información sobre la frecuencia, tamaño, lugar e identidades del origen y destino de los mensajes, y así sospechar de la naturaleza de la comunicación que efectúan los equipos. Un ejemplo de esto ocurre cuando una persona descubre que un cierto flujo de mensajes se realiza únicamente entre semana de 8:00 a 17:00, pudiendo sospechar que se trata de operaciones bancarias.

En cambio, en los ataques activos se pretende ya sea modificar el flujo de datos o crear uno falso, con el fin de desestabilizar el sistema. Los esfuerzos están más orientados en detectarlos que en prevenirlos. Éstos se dividen en:

• Suplantación: El atacante aparenta ser una entidad diferente e inserta objetos falsificados en el sistema, involucrando además otro tipo de ataques activos. Este es un ataque contra la autenticidad. Ejemplos de este tipo de ataques son los virus informáticos, caballos de Troya, transacciones electrónicas falsas, inyección de datos en una base, etc.
• Repetición: Una cantidad de mensajes es capturada, y es retransmitida para lograr un efecto no permitido en el sistema. Por ejemplo, cuando se filtra información confidencial sobre un proyecto secreto que está llevando a cabo el gobierno de un país para construir una base militar nueva, indicando la ubicación exacta en donde se ubicará.
• Modificación: Todo o una parte de un mensaje original es alterado, o bien el mensaje completo es reordenado o retrasado, para conseguir un efecto no autorizado. Por ejemplo, el mensaje “Permitir a Benito que lea las cuentas de archivos confidenciales” se modifica para convertirlo en “Permitir a David que lea las cuentas de archivos confidenciales”.
• Interrupción:  Impide el uso o la gestión normal de las utilidades de comunicación, al destruir un recurso del sistema o volverlo no disponible, o incluso interrumpiendo una red completa (inhabilitándola o sobrecargándola). Este es un ataque contra la disponibilidad. Ejemplos: suprimir todos los mensajes dirigidos a un destino en particular, destruir un elemento de hardware, cortar una línea de comunicación, etc.

Para defendernos de todos los ataques mencionados, la seguridad informática se vale de varios elementos, llamados servicios de seguridad, los cuales efectúan tareas de procesamiento o de comunicación en el sistema para mejorar y reforzar la seguridad del mismo y del flujo de datos de la organización. Estos servicios son proporcionados por una capa de protocolo de sistemas abiertos de comunicación, implementan ciertas políticas de seguridad, están dirigidos a evitar los ataques anteriormente descritos, y son utilizados por los mecanismos de seguridad, los cuales se tratarán en breve.

Una clasificación muy utilizada para distinguir los tipos de servicios de seguridad con los que contamos es la siguiente (Stallings, 2004):

• Autentificación: Se encarga de verificar que todos los elementos de la comunicación sean auténticos, es decir, que ambas entidades (origen-destino) son realmente ellas, y que son éstas quienes envían y reciben los mensajes (origen de los datos). Las más utilizadas son revisión de huella digital, retina ocular, credenciales, contraseñas, etc.
• Control de acceso: Limita y controla el acceso de las entidades, mediante la identificación y autenticación del usuario. Una vez dentro, este servicio se encarga de determinar las condiciones y derechos personalizados que dicha entidad posee.
• Confidencialidad: Este servicio asegura que todos los datos protegidos no puedan ser leídos o descifrados por entidades o agentes externos al sistema o no autorizados para ello, utilizando recursos como el cifrado.
• Integridad: Proporciona la seguridad de que los datos enviados y recibidos no fueron creados, sobreañadidos, repetidos, modificados ni eliminados, y, de ser así, que dicha alteración la realizaron exclusivamente entidades autorizadas.
• No repudio: Consiste en que tanto el emisor debe ser capaz de reconocer cuando el receptor ha tomado un mensaje, como que el destinatario tiene que identificar cuando el remitente ha enviado satisfactoriamente un mensaje.
• Disponibilidad: Se refiere a que un sistema tiene siempre que ser y estar accesible para un usuario en el momento, lugar y manera en el que éste lo solicite, si el sistema está diseñado para realizar la petición de tal usuario.

En la siguiente tabla pueden apreciarse los tipos de ataques hacia los que están destinados los diferentes servicios de seguridad:

Tabla 1. Tipos de ataques vs. Servicios de seguridad. Original de Fundamentos de Seguridad en Redes: Aplicaciones y Estándares. 

Los mecanismos de seguridad son acciones o herramientas más específicas para lograr el cometido de evitar ataques a un sistema informático, y se valen de los servicios anteriores para ello. Dichos mecanismos se dividen en los que sólo actúan en una cierta capa de un protocolo y los que lo hacen en forma general, prescindiendo de capas específicas.

Dentro de los mecanismos específicos, tenemos ocho ejemplos: cifrado (uso de algoritmos para hacer a los datos inteligibles), firma digital (datos que permiten al receptor verificar la fuente y evitar falsificaciones), control de acceso, integridad de los datos, intercambio de autentificación (comprobar una identidad intercambiando información), relleno del tráfico (insertar bits en espacios para evitar análisis de tráfico),  control de enrutamiento (asignar rutas seguras de comunicación) y notarización (asignar una tercera entidad que regule la comunicación).

Por último, dentro de los mecanismos generales, existen cinco ejemplos: funcionalidad fiable con respecto a políticas de seguridad, etiquetas de seguridad (marca que designa los atributos de seguridad de ese recurso), detección de acciones, informe para la auditoría de seguridad (revisión de las actividades del sistema), y acciones de recuperación de la seguridad.

En esta otra tabla, se presentan las relaciones entre los diferentes servicios y mecanismos de seguridad.

Tabla 2. Servicios y Mecanismos de seguridad. Original de Fundamentos de Seguridad en Redes: Aplicaciones y Estándares. 

En esta última tabla, basada en las tablas 1 y 2, se presentan los tipos de ataques que cada mecanismo de seguridad específico es capaz de evitar:

Tabla 3. Tipos de ataques vs. Mecanismos de seguridad. Elaborada con base en tablas anteriores de Fundamentos de Seguridad en Redes: Aplicaciones y Estándares. 

Conclusiones

Tal y como se especificó al comienzo de este escrito, la humanidad vive actualmente en una etapa en la que cada vez efectúa más acciones cotidianas mediante el uso de las nuevas tecnologías y los sistemas de información. Por ello, es preocupante saber que un fallo en la seguridad de éstos puede conducir a consecuencias catastróficas, como la pérdida total del dinero o patrimonio de esa persona, la caída de la bolsa de una determinada región, el secuestro de la información confidencial de un gobierno y sus ciudadanos, el deterioro en la salud de un enfermo de hospital (si el sistema del mismo se ve afectado), o inclusive la muerte de varias personas, si es violada la seguridad del avión en donde viajan o la fábrica donde trabajan, entre otros posibles escenarios.

Por ello, es cada vez más importante hacer énfasis en la seguridad de un sistema informático, así como crear conciencia tanto en los que utilizan las redes y sistemas como en los que las crean y programan. En la mayoría de los casos, no son ni la seguridad informática ni los sofisticados ataques los responsables de la violación a la seguridad, sino la ingeniería social y los errores por parte de los programadores.

La ingeniería social, es decir, el convencer a una persona mediante engaños o falacias de poner en riesgo su seguridad, es responsable de, aproximadamente, el 80% de los ataques cibernéticos. Por otra parte, son muchos los programadores que se encargan exclusivamente de otorgarle funcionalidad a un sistema, dejando a un lado las medidas de seguridad adecuadas para evitar amenazas y ataques. Sin embargo, no es fácil lograr en su totalidad la dualidad funcionalidad-seguridad a una red o sistema, por lo que es necesario trabajar constantemente sobre ellos para garantizar ambas.

También radica en los usuarios el poner de su parte para evitar estos ataques, como jamás brindar información confidencial de sus cuentas (bancarias, sociales, etc.) a personas, empresas o páginas web desconocidas, tener contraseñas diferentes, grandes y siempre a la mano, no caer en sitios web cuya finalidad es precisamente dañar al usuario, entre otras cosas. Sólo así podremos, cada vez más, contrarrestar las amenazas y ataques que se ejecutan sobre los sistemas de información.

Fuentes bibliográficas

• Stallings, Williams. Fundamentos de Seguridad en Redes: Aplicaciones y Estándares (segunda edición). Pearson Educación, S.A . Madrid, 2004. Págs. 2-15.
• http://recursostic.educacion.es/observatorio/web/ca/software/software-general/1040-introduccion-a-la-seguridad-informatica?start=1
• http://redyseguridad.fi-p.unam.mx/proyectos/seguridad/index.php
• http://www.seguridadinformatica.unlu.edu.ar/?q=node/12
• https://www.seguridad.unam.mx/historico/documento/index.html-id=17