DEFINIENDO LOS ELEMENTOS QUE CONFORMAN LA ARQUITECTURA DE

SEGURIDAD DE REDES
DEFINING THE ELEMENTS OF THE NETWORK SECURITY ARCHITECTURE
Reynaldo Antonio Castao Umaa
1


RESUMEN
La definicin de la arquitectura de seguridad de las organizaciones, es uno de los
aspectos que mayor relevancia ha obtenido en los ltimos aos, debido a la
necesidad imperiosa de asegurar la confidencialidad, integridad y disponibilidad de
la informacin, motivado por la proliferacin de incidentes que han puesto al
descubierto las debilidades, deficiencias y ausencias de mecanismos efectivos
que permitan dar cumplimiento de estos objetivos.
La adecuacin del modelo a implementar, as como el equipamiento necesario,
depende en gran medida del anlisis de riesgos que se realice, as como de las
condiciones particulares de cada organizacin en la definicin de la criticidad de la
informacin y en las caractersticas tecnolgicas que posea en toda su plataforma
de comunicacin de datos.
Palabras clave: Arquitectura. Seguridad. Defensa. Ataques. Servicios de
seguridad. Seguridad en profundidad.
ABSTRACT
The definition of the security architecture of organizations, is one of the aspects
that major relevancy has obtained in the last years, due to the imperious need to
ensure the confidentiality, integrity and availability of information, driven by the
proliferation of incidents that exposed the weaknesses, deficiencies and absence
of effective mechanisms to give effect to these objectives.

1
Ingeniero en Automtica y Master en Redes de Computadoras. Docente titular en la Universidad Nacional
de Ingeniera, Nicaragua. Correo electrnico: reynaldo.castano@fcys.uni.edu.ni

The adequacy of the model to implement, as well as the necessary equipment
depends largely on the risk analysis to be performed and the specific conditions of
each organization in the definition of the criticality of the information and
technological features that has the full data communication platform.

Keywords: Architecture. Security. Defense. Attacks. Security services. Defense in
depth.


INTRODUCCIN
La era de la informacin, ha marcado un hito en la historia de la sociedad
moderna, facilitando su evolucin de forma acelerada con el empleo masivo de las
tecnologas de la informacin y las comunicaciones con el objeto de optimizar y
dinamizar los procesos econmicos, sociales, industriales y culturales.
La utilizacin masiva de las tecnologas de la informacin como elementos
fundamentales para la gestin adecuada de la informacin, ha generado la
proliferacin de una sociedad dependiente desde el punto de vista tecnolgico;
sistemas de informacin, Internet, Intranet, dispositivos mviles, correos
electrnicos, tecnologa de colaboracin son parte del arsenal tecnolgico que
garantizan la disponibilidad de la informacin y que la han convertido en el recurso
ms preciado de cualquier organizacin.
Esta era, tambin ha marcado la proliferacin de actos indebidos cuya finalidad es
explotar las deficiencias que pudiesen estar presentes en las plataformas
tecnolgicas de las organizaciones y apropiarse de manera ilegal de la
informacin, dando lugar al desarrollo de arquitecturas de seguridad las cuales
actan como complemento tecnolgico para garantizar la confidencialidad,
disponibilidad e integridad de la informacin.
Debido a las diferencias existentes entre las tecnologas empleadas en las
organizaciones, la importancia de sus procesos internos e informacin crtica
surge la necesidad de acondicionar la arquitectura de seguridad a los contextos
particulares de cada organizacin, basndonos en estndares internacionales y en
anlisis de riesgos a los que pueda estar expuesta la informacin de las
organizaciones, no existe una formula eficaz que pueda ser aplicada de forma
ntegra, debemos realizar un anlisis profundo de las condiciones tecnolgicas con
miras a definir y personalizar la arquitectura de seguridad.
1. MARCO TERICO

1.1. Arquitectura de Seguridad OSI
Con el objeto de analizar de forma efectiva las necesidades de seguridad de una
organizacin, evaluar y elegir los distintos productos y polticas, se necesita definir
de forma sistemtica los requisitos de seguridad. La recomendacin X.800 de la
ITU-T
1
, define este enfoque mediante la definicin de la Arquitectura de Seguridad
OSI
2
(1).
1
ITU-T Unin Internacional de Telecomunicaciones
2
OSI Open System Interconnection. (ISO/IEC 7498-1)
En la figura 1, se muestran los elementos bsicos en los cuales est centrada esta
arquitectura: ataques, mecanismos y servicios.
Figura 1. Modelo Arquitectura de Seguridad OSI







Fuente: (1).Noviembre 2004
1.1.1. Objetivos de seguridad
El modelo de arquitectura de seguridad, define una serie de objetivos o requisitos
se deben garantizar en las redes de comunicaciones. Estos objetivos son los
siguientes:
1. Proteccin de los datos frente a modificaciones no autorizadas.
2. Proteccin de los datos frente a prdidas/repeticiones.
3. Proteccin de los datos frente a revelaciones no autorizadas.
4. Garanta de la correcta identidad del emisor de los datos.
5. Garanta de la correcta identidad del receptor de los datos.
Alcanzar estos objetivos en la arquitectura, asegurar que los datos que son
transmitidos de un sistema a otro, no han sido modificados revelados,
retransmitidos o perdidos en la red sin que el emisor o el pretendido receptor haya
sido notificado y sin que las partes que intervienen en el protocolo hayan sido
correctamente identificadas. (2)
1.1.2. Ataques a la seguridad
Una forma de clasificar los ataques a la seguridad, empleada en la recomendacin
X.800
1
y RFC
2
2828, es la distincin entre ataques pasivos y activos.
1
X.800 Security Architecture for Open Systems Interconnection for CCITT Applications
2
RFC acrnimo de Request For Comments.
Un ataque pasivo intenta conocer o hacer uso de informacin del sistema pero no
afecta a los recursos del mismo. Un ataque activo, por el contrario, intenta alterar
los recursos del sistema o afectar su funcionamiento (2)

1.1.2.1. Clasificacin segn los objetivos de los ataques

Los ataques se llevan a cabo generalmente por alguno de los siguientes mtodos
(3):
- La interrupcin
Estos ataques estn dirigidos contra la disponibilidad de los recursos de sistema y
consisten en interrumpir su funcionamiento, causando su inhabilitacin.
- La intercepcin
En este caso, un usuario no autorizado consigue acceder a un recurso incluso
antes del verdadero destinatario. Es un ataque contra la confidencialidad. Cuando
hablamos de usuario entendemos que podra ser una Entidad, Organizacin,
persona fsica, un programa o un ordenador.
- La modificacin
El intruso, que as llamaremos a la entidad no autorizada, no solo consigue el
acceso a un recurso, sino que es capaz de manipularlo. Este es el caso de un
ataque contra la integridad.
- Fabricacin
Un usuario no autorizado introduce objetos, elementos, parmetros falsificados en
el sistema, originando un ataque contra la autenticidad de los recursos.
1.1.2.2. Clasificacin segn el proceder del atacante
Ataque Activo
Los ataques activos se caracterizan por la presencia de algn tipo de modificacin
del flujo de datos transmitido o la creacin de un falso flujo de datos. Los podemos
subdividir en cuatro categoras principales:
- Usurpacin/ suplantacin de identidad
El atacante se hace pasar por su vctima. Una de las formas activas empleadas
consiste en capturar secuencias de autenticacin y sus repeticiones y utilizarlas
en operaciones en beneficio del atacante, hacindose pasar por la vctima.
- Reactuacin.
Uno o varios mensajes legtimos son capturados y repetidos para producir un
efecto no deseado.
- Alteracin de mensajes
El mensaje original y legtimo es manipulado, retardado o reordenado para
producir un efecto ilcito.
- Degradacin fraudulenta del servicio
Impide o inhibe el uso normal o la gestin de recursos informticos y de
comunicaciones. Por ejemplo, el intruso podra suprimir todos los mensajes
dirigidos a una determinada entidad. Entre estos ataques se encuentran los de
denegacin de servicio, consistentes en paralizar temporalmente el servicio de un
servidor de correo, Web, FTP u otros (3)
Ataque Pasivo
El atacante no altera la comunicacin; la escucha o monitoriza, para obtener la
informacin que est siendo transmitida. La intercepcin de datos, el anlisis del
trfico en red, obtencin de los parmetros de origen y del destinatario de la
comunicacin leyendo las cabeceras de los paquetes monitorizados, son algunos
de sus objetivos. Controla las horas habituales de intercambio de datos entre las
entidades relacionadas.

Los ataques pasivos son muy difciles de detectar, ya que no provocan ninguna
alteracin de los datos. Sin embargo, es posible evitar su xito mediante el cifrado
de la informacin.
Ataques de autenticacin
El objetivo de los ataques de falsa autenticidad pasa por engaar a la vctima para
obtener sus datos de autenticacin (Nombre de usuario y Contrasea) y suplantar
su identidad en otros sistemas.
Los ataques ms relevantes son:
- Spoofing-Looping: Los datos obtenidos de un sistema son utilizados en
otro.
- IPSpoofing: La IP atacante se oculta detrs de otra para mandar tramas
TCP/IP mientras su propia Direccin permanece invisible en la red.
- El DNS Spoofing: El atacante envenena el cach del servidor DNS y este
resuelve los nombres con IPs errneas.
- El Web Spoofing: Consiste en Crear sitios web ficticios hacindose pasar
por verdaderos, autnticos u oficiales; El usuario cree acceder al sitio web
verdadero y de confianza. (4)
-
1.1.3. Servicios y/o Dimensiones de seguridad para las redes de
telecomunicaciones

Segn la UIT, una Dimensin de seguridad es un conjunto de medidas que
responden a un determinado aspecto de la seguridad de red. Las dimensiones de
seguridad incluyen la infraestructura de la red, las aplicaciones y la informacin del
usuario. Adems, son aplicables por los proveedores de servicios y por las
empresas que ofrecen asistencias de seguridad a sus clientes (5).

Las Dimensiones de seguridad estn dirigidas a hacer cumplir los Objetivos de
seguridad establecidos para una red o servicio de telecomunicaciones. Una
dimensin agrupa mecanismos de seguridad, los cuales se materializan en
diferentes herramientas de software y hardware e incluso, en las polticas y
procedimientos de trabajo que se establezcan. Las Dimensiones de seguridad
correctamente definidas e implementadas, se convierten en centro de atencin de
la gestin de seguridad.
El estndar ISO 7498-2 define un servicio de seguridad como el servicio
proporcionado por un nivel de un sistema abierto que garantiza la seguridad de los
sistemas abiertos o a las transferencias de datos en dichos sistemas. Estos
servicios estn divididos en cinco categoras las cuales son:
1. Autenticacin.
2. Control de acceso.
3. Confidencialidad.
4. Integridad.
5. No repudio.
Autenticacin: El servicio de autenticacin asegura que las entidades que se
comunican son quin reclaman ser.
Control de acceso: El servicio de control de acceso evita el uso no autorizado de
los recursos. Este servicio controla quien puede tener acceso a un recurso, bajo
qu condiciones puede tener lugar el acceso y que se le permite hacer a aquel
que accede a un recurso.
Confidencialidad: El servicio de confidencialidad asegura que la informacin no va
a ser revelada ni va a estar disponible a individuos no autorizados, entidades o
procesos. Este aspecto tiene especial importancia cuando las redes de
comunicaciones que transportan la informacin presentan puntos vulnerables
respecto de la seguridad
Integridad: El servicio de integridad asegura que los datos son recibidos
exactamente a como han sido enviados por una entidad autorizada, es decir sin
duplicaciones, retransmisiones, modificaciones o inserciones.
No repudio: El servicio de no repudio evita que las entidades pares que se
comunican puedan denegar el haber participado en parte o en toda la
comunicacin.

1.1.4. Mecanismos de seguridad
Los servicios de seguridad son implementados utilizando mecanismos de
seguridad. Un servicio de seguridad puede utilizar uno o varios mecanismos de
seguridad. En la arquitectura de seguridad definida para el modelo OSI, se han
definido los siguientes mecanismos de seguridad: (6)
- Encriptacin
La encriptacin es un mecanismo que utiliza la criptografa para transformar las
unidades de datos intercambiadas por las entidades pares. El mecanismo de
encriptacin contempla dos funciones a realizar sobre las unidades de datos: la
funcin de encriptado y la funcin de desencriptado. El mecanismo de
encriptacin protege a los datos de usuario frente a la revelacin de los
contenidos
- Mecanismos de intercambio de Autenticacin
La autenticacin de unidades de datos es un mecanismo que permite que las
partes que intervienen en la comunicacin verifiquen que los mensajes
recibidos son autnticos. Una unidad de datos, un mensaje, fichero, documento
u otra coleccin de datos se dice que son autnticos cuando son genuinos (no
han sido alterados) y vienen de la fuente que alegan venir. El mecanismo de
autenticacin protege a las unidades de datos intercambiadas de los
denominados ataques activos por parte de los intrusos, es decir de las posibles
alteraciones o modificaciones.

- Firma digital
Los mecanismos de autenticacin protegen los datos de usuario
intercambiados por las entidades pares de los ataques de un intruso externo
pero pueden no protegerlos de las propias entidades pares. As por ejemplo
una entidad receptora podra inventarse una unidad de datos aadir un cdigo
de autenticacin y decir que viene de la entidad emisora con la que comparte
la clave secreta
- Mecanismos de Control de Acceso
Los mecanismos de control de acceso permiten asegurar que slo usuarios
autorizados van a tener acceso a un sistema particular y a sus recursos
individuales y que el acceso o modificacin de una parte de los datos slo estar
permitido a individuos autorizados y programas. Los mecanismos de control de
acceso estn ms relacionados con los mecanismos de seguridad propios de un
sistema informtico que con la seguridad en la distribucin de la informacin en la
red de datos. Es decir en la mayora de los casos los mecanismos de control de
acceso estn implementados dentro de un slo sistema informtico para controlar
el acceso a sus recursos. Sin embargo ya que el acceso a un sistema informtico
es por medio de una red de datos el control de acceso es una de las reas de
inters de la arquitectura de seguridad OSI.

2. ESTRATEGIA DE IMPLEMENTACIN DE LA ARQUITECTURA DE
SEGURIDAD: DEFENSA EN PROFUNDIDAD

Una estrategia que se ha empleado con bastante xito en las implementaciones
de las arquitecturas de seguridad, es la conocida como Defensa en Profundidad
(Defense in Depth). Se trata de un modelo que pretende aplicar controles en
seguridad para proteger los datos en diferentes capas (7).
Esta estrategia, emplea distintas tcnicas militares para limitar los daos en caso
de intrusiones, la cantidad de medidas de seguridad que se pueden aplicar
depender de la evaluacin de riesgos, el anlisis de costos y beneficios de su
aplicacin, el objetivo hacer que el atacante pierda el empuje inicial y se vea
detenido en sus intentos al requerirle superar varias barreras en lugar de una.
Se puede visualizar esta infraestructura como una serie de capas donde los datos
ocupan el ltimo nivel, precedidos de contenedores como lo son las localidades
fsicas, el permetro, la red, los servidores y las aplicaciones.
De esta forma, cada capa de nuestra infraestructura representa una barrera para
el atacante en su camino hacia el objetivo final de acceder a los datos
confidenciales, de manera que si falla cualquiera de los controles en una capa
existan defensas adicionales que contengan la amenaza y minimicen las
probabilidades de una brecha, en la figura #2, se muestra los diferentes niveles de
seguridad.
Figura 2. Modelo Defensa en Profundidad

Fuente: (7), Octubre 2013
Defensa de datos
Es considerada la ltima lnea de defensa bajo este modelo. Encriptar o cifrar los
datos protege la confidencialidad de los mismos durante su almacenamiento o
transmisin por las redes. De esta forma, aunque los dems controles sean
comprometidos, los datos permanecen seguros pues no podrn ser ledos a
menos que sean descifrados. La seguridad de este mecanismo depende del
manejo adecuado de las llaves utilizadas para descifrar los datos, por lo que se
debe prestar especial atencin a este aspecto.

Defensa de aplicaciones
Como una capa de defensa ms, el refuerzo de las aplicaciones es una parte
esencial de cualquier modelo de seguridad. Muchas aplicaciones utilizan
subsistemas de seguridad de las plataformas operativas. No obstante, es
responsabilidad de los programadores incorporar la seguridad en las aplicaciones
para proporcionar una proteccin adicional a las reas de la arquitectura a las que
la aplicacin puede tener acceso.
Defensa de hosts
Se debe evaluar cada host del entorno y crear directivas que limiten cada servidor
slo a las tareas que tenga que realizar. De este modo, se crea otra barrera de
seguridad que un atacante deber superar antes de poder provocar algn dao
Defensa de redes
La evaluacin de la infraestructura de red para garantizar una seguridad apropiada
es un principio fundamental en la definicin de la arquitectura de seguridad, se
debe examinar el trfico admisible en las redes y bloquear el que no sea
necesario. Tambin se puede considerar el uso de IPSec para cifrar los paquetes
en sus redes internas y SSL para las comunicaciones externas.

Defensa de permetros
La proteccin del permetro de su red es el aspecto ms importante para detener
los ataques externos. Si su permetro permanece seguro, la red interna estar
protegida de ataques externos. La organizacin debe disponer de algn tipo de
dispositivo de seguridad para proteger cada punto de acceso a la red. Es
necesario evaluar cada dispositivo, decidir qu tipos de trfico se permiten y
desarrollar un modelo de seguridad para bloquear el resto del trfico.
3.1 Seleccin de los elementos del modelo
El modelo de arquitectura de seguridad OSI y el modelo de defensa en
profundidad, se complementan entre s, para identificar los elementos tecnolgicos
que definirn la arquitectura final, por un lado se definen los servicios y
mecanismos de seguridad que debemos considerar, y por el otro lado, se define la
forma de organizacin en capas de la tecnologa que asegurar la implementacin
de los servicios y dimensiones de la seguridad.
En este punto en particular, se debe iniciar con la organizacin lgica de la
plataforma en cuanto a definicin de las diferentes zonas o capas, considerando
los posibles ambientes de trabajo (desarrollo, pruebas, capacitacin y produccin),
los servicios y su arquitectura, los servicios de comunicacin externos contratados
a travs de proveedores de servicio, segmentos de usuario con sus respectivos
roles e identificacin de permisos de acceso a los servicios, estos aspectos
permitirn especificar una estructura lgica la cual facilitar la definicin de las
zonas perimetrales, zonas de servicios externos, zonas de servicios internos,
zonas mixtas, zonas de usuarios, zonas de datos y muy importante los niveles de
seguridad que se requieren para cada una de ellas, que permite la definicin de
los permisos de acceso para el intercambio de informacin.
La creacin de zonas o segmentos, conlleva la definicin de redes virtuales
(VLANs) con sus respectivos mecanismos de ruteo de paquetes, establecimientos
de reglas de control de acceso (ACLs) y establecimiento de mecanismos de
cifrado de las comunicaciones de la red interna y externa.
Desde el punto de vista del permetro, es recomendable la utilizacin de sistemas
de deteccin y prevencin de intrusos configurados de forma tal que puedan hacer
frente a posibles ataques del exterior, combinados con firewalls de aplicaciones,
para el anlisis especifico de trfico vlido hacia la organizacin. En la figura # 3,
se muestra una arquitectura bsica de seguridad que considera la definicin lgica
de zonas de trabajo.
Figura 3. Arquitectura Bsica de Seguridad










Fuente: Elaboracin propia, Octubre 2013

Internet
IPS
Datos
Servicios

USUARIOS


DBF
WAF
WAF
IPS/IDS
IPS/IDS
FW
FW
La ubicacin particular de cada uno de los componentes de la arquitectura y las
cantidades depende del anlisis previo realizado en la organizacin en cuanto a
servicios crticos y a la ponderacin existente entre la importancia de la
informacin de la organizacin con el nivel de seguridad requerido, siendo este un
punto que todava no se ha llegado a conciliar en determinadas organizaciones
debido a la falta de alineamiento entre los aspectos tecnolgicos y la estrategia
empresarial. De hecho la definicin de la arquitectura difiere de una organizacin a
otra debido a sus condiciones internas e informacin crtica a proteger.
Un aspecto fundamental a considerar como parte de la arquitectura consiste en la
planificacin, ejecucin y anlisis de pruebas de penetracin que permitan verificar
la eficacia y actualizacin de los controles, de las configuraciones de los equipos
empleados y potencializar nuevas adquisiciones, con el fin de conformar una
arquitectura de seguridad robusta.

CONCLUSIONES
Todo tipo de organizacin requiere de una arquitectura de seguridad, que permita
proteger su activo ms preciado: la informacin, en este sentido la complejidad de
la misma depende de varios factores, entre los cuales se encuentra: la realizacin
minuciosa del anlisis de riesgos, la identificacin de informacin y procesos
crticos, las tecnologas empleadas en la plataforma de red, estos aspectos
permiten adecuar el modelo de arquitectura OSI en combinacin con el modelo de
defensa a profundidad, con miras a definir una arquitectura personalizada a las
condiciones de la organizacin.
La efectividad de la arquitectura de seguridad, debe ser verificada de forma
permanente mediante la realizacin de pruebas de penetracin y ajustes de
configuraciones con el objeto de identificar vulnerabilidades e implementar
medidas y controles que permitan obtener un nivel de seguridad elevado en la red
de datos.

REFERENCIAS BIBLIOGRFICAS

[1] Stallings. W. Fundamentos de Seguridad en Redes. Aplicaciones y Estndares.
2da edicin. Prentice Hall. Madrid 2004.
[2] Areitio. Javier. Seguridad de la Informacin. Redes, informtica y Sistemas de
Informacin. Parainfo. Madrid 2008.
[3] Segu.info. Seguridad de la Informacin. Amenazas Lgicas - Tipos de Ataques.
http://www.segu-info.com.ar/ataques/, fecha de ltimo acceso:1 Septiembre 2013
[4] W. Baluja Garca1, C. Anas Caldern. Arquitectura de Seguridad para las
redes de Telecomunicaciones. Departamento de Telecomunicaciones, Instituto
Superior Politcnico Jos Antonio Echeverra, CUJAE. Cuba 2013.

[5] Data Communication Networks: Open Systems Interconnection (OSI); Security,
Structure and Applications. INTERNATIONAL TELECOMMUNICATION UNION.
Geneva 1991.

[6] Mengual Luis. Arquitecturas de Seguridad. Universidad Politcnica de Madrid.
http://www.personal.fi.upm.es/~lmengual/ARQ_REDES/Arquitecturas_Seguridad.p
df, fecha de ltimo acceso: 02 Octubre 2013.
[7] Gerardino, Marcel. Estrategias bsicas de seguridad: Defensa en Profundidad.
Sentinel. http://www.sentineldr.com/post/estrategias-basicas-de-seguridad-
informatica-defensa-en-profundidad 2009, fecha de ltimo acceso: 05 Octubre
2013.