Diseño de un protocolo para la detección de vulnerabilidades en los principales servidores de la Superintendencia de Puertos y Transporte

Trabajo de InvestigaciónEn la actualidad la información es el activo más importante de las empresas u organizaciones, debido a ello buscan implementar los métodos y protocolos que le permitan salvaguardarla y mantenerla bajo los tres pilares que son la confidencialidad, la disponibilidad e integridad.Software inteligente y convergencia tecnológicaINTRODUCCIÓN 1 GENERALIDADES DEL TRABAJO DE GRADO 2 MARCOS DE REFERENCIA 3. METODOLOGÍA 4. DESARROLLO 5. CONCLUSIONES Y RECOMENDACIONES 6. BIBLIOGRAFÍA 7. ANEXOSEspecializaciónEspecialista en Seguridad de la Informació

Sistema de gestión de seguridad perimetral para la red de distribución y acceso de la Cooperativa de Ahorro y Crédito Escencia Indígena Ltda. Ibarra basado en la norma ISO 27002:2013

Diseñar e implementar un sistema de gestión de seguridad perimetral para la cooperativa Escencia Indígena, en base a políticas y buenas prácticas de la norma ISO/IEC 27002:2013 y procedimientos de seguridad para evitar ataques internos y externos a la red.Este proyecto presenta un sistema de gestión de seguridad perimetral para la red de distribución y acceso de la cooperativa de ahorro y crédito Escencia Indígena ltda. Ibarra, basado en la norma ISO 27002:2013. Se inició con la fundamentación teórica de los temas de seguridad de la información, ataques informáticos, métodos y herramientas para combatirlos. Se visitó la institución con el fin de identificar su infraestructura tecnológica, identificar riesgos y vulnerabilidades y encontrar una solución. Se realizó el manual de políticas y buenas prácticas de seguridad de la información en base a los objetivos de control y controles de la norma ISO/IEC 27002:2013 aplicables a los problemas y necesidades encontrados en la infraestructura tecnológica tanto a nivel de usuarios finales y en la capa de distribución de la institución. Se adquirió e instaló un equipo gateprotect GPA 500 que reúne todas las características para el diseño planteado y contempla un firewall, DMZ e IDS/IPS además de otras características como control de spam, virus y otros, Finalmente se realizó el análisis de costos de los equipos que se utiliza en el diseño planteado con el fin de conocer la inversión del proyecto. También se redactó las conclusiones y recomendaciones obtenidas en el desarrollo del proyecto.Ingenierí

Aplicación de herramientas de Ethical Hacking, caso de estudio “Empresa Gapsystem”

El presente proyecto de disertación de grado pretende analizar las vulnerabilidades encontradas dentro de la infraestructura de red de la empresa “GapSystem” utilizando herramientas de Ethical Hacking. Las inseguridades y vulnerabilidades de la información sobre organizaciones o empresas han ido evolucionando con el pasar de los años, como consecuencia de esto los llamados crackers han encontrado la forma de usar la informática con fines delictivos, es decir robo de información de una fuente de datos para su posterior revelación o venta. Algunas empresas han descuidado mucho este aspecto, es aquí donde el concepto de Ethical Hacking aparece. Ethical Hacking da no solo a las empresas sino también a otro tipo de entidades la facilidad de detectar posibles vulnerabilidades ya sea en su Red de internet, en sus bases de datos, etc. El presente proyecto de disertación de grado encontrara las vulnerabilidades a las cuales la empresa se enfrenta, utilizando herramientas de Ethical Hacking para encontrarlas y así presentar un informe detallado. Es importante agradecer y hacer mención a la empresa “GapSystem” que ha facilitado los permisos para el desarrollo del proyecto de disertación

Estudio de las tecnologías de Seguridad Perimetral Informáticas y Propuesta de un plan de Implementación para la Agencia Nacional de Tránsito

Este trabajo presenta, un estudio y análisis de las principales tecnologías de seguridad perimetral, para lo cual se revisará conceptos y características relacionados con la seguridad en redes; amenazas, vulnerabilidades, técnicas de ataque presentes en las redes. Luego a modo de ejemplo de diseño se analizará la red de la Agencia Nacional de Tránsito, tomando en cuenta aspectos como: servicios, aplicaciones, protocolos, acceso a Internet e Intranet, infraestructura existente, amenazas y vulnerabilidades a fin de realizar un diagnóstico sobre la seguridad actual y determinar los requerimientos de ésta red. Posteriormente se presentará el plan de implementación del sistema de seguridad perimetral, considerando la tecnología más eficiente, de las analizadas y que se ajuste a los requerimientos de rendimiento y objetivos de seguridad, detallando sus características técnicas para la posterior adquisición e implementación en la Agencia Nacional de Tránsito

Marco de trabajo para el diseño e implementación de un SOC “Security Operation Center” usando herramientas de código abierto para Pymes

El Centro de Operaciones de Seguridad, conocido como "SOC," consiste en un grupo de operaciones donde se integran recursos humanos y recursos tecnológicos para poder monitorear y gestionar los incidentes de seguridad informática que un cliente de servicios de TI pueda experimentar. El objetivo de un equipo de SOC es identificar, evaluar y responder a los incidentes de seguridad informática mediante el uso de herramientas tecnológicas y la aplicación de procesos y procedimientos establecidos a través de marcos de referencia. Esto se hace para garantizar la cobertura de las necesidades de seguridad de los sistemas de información de las organizaciones. Estas herramientas deben permitir la gestión de la seguridad informática, el seguimiento de los incidentes, la detección y prevención de intrusiones, así como la implementación de la inteligencia de amenazas. Por lo tanto, se requieren sistemas como IPS, WAF, MFA, ADC y PAM, entre otras tecnologías, que eviten el acceso y los ataques a la infraestructura de las organizaciones. Sin embargo, debido a los costos asociados con la implementación y puesta en marcha de este tipo de esquemas, las empresas de tipo PYME no pueden costear proyectos de esta naturaleza. Por lo tanto, una decisión clave que debe tomarse con cuidado es la creación de un equipo de seguridad que puede implementarse reduciendo los costos asociados a las herramientas propias de estos proyectos mediante el uso de plataformas de código abierto.The Security Operations Center, known as "SOC," consists of an operations group where human resources and technological resources are integrated to monitor and manage cybersecurity incidents that a client of IT services may experience. The goal of a SOC team is to identify, assess, and respond to cybersecurity incidents using technological tools and established processes and procedures based on reference frameworks. This is done to ensure coverage of the security needs of organizations' information systems. These tools should enable the management of cybersecurity, incident tracking, intrusion detection and prevention, as well as the implementation of threat intelligence. Therefore, systems such as IPS, WAF, MFA, ADC, and PAM, among other technologies, are required to prevent access and attacks on the infrastructure of organizations. However, due to the costs associated with implementing and launching such schemes, small and medium-sized enterprises (SMEs) cannot afford projects of this nature. Hence, a key decision that must be made carefully is the creation of a security team that can be implemented, reducing the costs associated with the tools used in these projects by utilizing open-source platforms

Metodología de hacking ético para instituciones financieras, aplicación de un caso práctico

Las metodologías de hacking ético, representan una fotografía al estado de la ciberseguridad de una organización en un determinado tiempo. En este documento se estudia las más utilizadas como Open Web Application Security Project Testing Guide, Open Source Security Testing Methodology Manual y la certificación Certified Ethical Hacking. Dentro de las normativas establecidas en los entes de control en el Ecuador se establece mediante la resolución de la Junta Bancaria JB-3066 del Ecuador, que se deberá realizar por lo menos una vez al año un escaneo de vulnerabilidades a los diferentes sistemas que utilizan como: el Núcleo (Core) Bancario, Banca en Línea, Banca Móvil, Sistemas de ATM’s, Punto de Venta (Point of Sale) y Tarjetas de Crédito entre sus principales. Enfocados en los sistemas prioritarios utilizados en las entidades financieras, se propone una metodología aplicable de forma práctica, en la que se definen 4 fases principales que son: i) Reconocimiento, ii) Descubrimiento, iii) Obtención de Acceso y iv) Mantener Acceso, haciendo hincapié con las pruebas referentes a autorización, identificación, autenticación, criptografía, manejo de sesiones y validaciones de entrada. De esta manera se efectúa un examen de seguridad óptimo brindando una objetiva visión de la vulnerabilidad de los sistemas.Ethical hacking methodologies represent a photography of the state of cybersecurity of an organization at a given time. This paper examines the most used current methodologies such as Open Web Application Security Project Testing Guide, Open Source Security Testing Methodology Manual and Certified Ethical Hacking certification. Within the regulations established in the control entities in Ecuador by resolution of the Banking Board JB-3066 that a vulnerability scan should be carried out at least once a year on different systems like: Core Banking, Online Banking, Mobile Banking, Automated Teller Machines, Points of Sales and Credit Cards as main systems. Focus in their primary systems on the financial institutions, a practical methodology is proposed, in which four main phases are defined: i) Recognition, ii) Discovery, iii) Access, and iv) Maintain Access, emphasizing tests regarding authorization, identification, authentication, cryptography, session management and input validations. In this way, an optimal security examination is carried out, providing an objective view of the vulnerability of the systems.Magíster en Gestión Estratégica de Tecnologías de la InformaciónCuenc

Análisis y diseño de un sistema de seguridad de red perimetral en la Empresa Aseguradora del Sur - matriz

El desarrollo tecnológico, el nivel de competitividad de las compañías, las estrategias de negocios electrónicos y el mercado en general hace que las redes de datos estén expuestas a varios peligros tales como intentos de accesos no autorizados, ataques internos y externos a información confidencial de la compañía, entre otros, siendo esto una gran amenaza que podría afectar parcialmente o completamente a una compañía con la pérdida o modificación de información, perdiendo el nivel de confiabilidad de las redes de datos dentro de las organizaciones y por consecuencia también tendrá repercusión en los resultados y productividad del negocio. Para sobrellevar el problema de pérdida de información y ataques informáticos en las organizaciones se ha desarrollado un proceso para asegurar las redes de datos que es la seguridad informática, la cual, ayuda a resguardar o proteger la información ante ataques, que cualquier individuo o grupo pueda realizarlo de una manera malintencionada. La seguridad informática comienza a tomar forma en los años 60´s cuando se empieza a intervenir ilegalmente a los sistemas telefónicos, 20 años más tarde se contaba con un gran número de “piratas informáticos” y junto con ellos aparecen los primeros virus1 de computadoras, que rápidamente se esparcieron alrededor del mundo, al igual que correos spam, troyanos y gusanos, para 1991 se detectó más de 1000. En el año de 1999 con el “boom” del Internet, surge el comercio electrónico, donde Amazon, e-Bay, se posicionan en el mercado y varias empresas comienzan a construir su negocio en la web, donde también el First Internet Bank of Indiana lanzó por primera vez servicios virtuales, mientras tanto los ataques a sitios web se seguían incrementando exponencialmente debido a la vulnerabilidad en el Internet. La seguridad informática se encarga de proteger y resguardar toda la información, generada, procesada y transportada a través de los sistemas y equipos. El objetivo de la seguridad informática es proteger la integridad, autenticidad y confidencialidad de la información y de los sistemas informáticos de una organización de tal manera que los recursos tecnológicos, sean totalmente íntegros y fiables

Hacking ético para detectar fallas en la seguridad informática de la intranet del Gobierno Provincial de Imbabura e implementar un sistema de gestión de seguridad de la información (SGS), basado en la norma ISO/IEC 27001:2005

Identificar los activos de información más importantes del Gobierno Provincial de Imbabura.El presente proyecto aborda la seguridad de la información de los elementos involucrados en el procesamiento, almacenamiento o transporte de la información en el Gobierno Provincial de Imbabura. La norma ISO/IEC 27001:2005 ha sido seleccionada como guía para el desarrollo de las actividades descritas en este documento con el objetivo de implementar un sistema de gestión de seguridad de la información. La norma ISO/IEC 27001:2005 establece tres requisitos previos para el análisis del diseño del sistema de gestión de seguridad de la información, el primero de ellos es un inventario de activos de información del Gobierno Provincial de Imbabura, para lo cual se ha tomado énfasis en el data center como centro de operaciones y procesamiento de la información. A partir de este requerimiento se realiza el análisis de riesgos, es decir identificar las amenazas de los activos de información, y el tercer requisito es la identificación de vulnerabilidades. El proceso de análisis de riesgos se lo realiza bajo los lineamientos estipulados en la metodología Magerit, encargada de guiar todo el proceso abarcando la clasificación de los activos, las relaciones de dependencia, la selección de las amenazas y la valoración de las mismas en base a las propiedades de la información. La detección de las vulnerabilidades es realizada en base a técnicas de hacking ético desde una perspectiva black-box (caja negra), es decir existe un desconocimiento inicial de los sistemas a evaluar y paulatinamente mediante varios procesos descubrir las características del equipo y las respectivas vulnerabilidades. De esta forma se pretende imitar un ataque hacker desde cualquier parte del mundo con intenciones maliciosas. Una vez se ha identificado los problemas se procede a seleccionar los controles recomendados por la norma ISO/IEC 27001:2005 para el tratamiento del riesgo de los activos de la información, finalizando con la implementación de los controles seleccionados entre ellos la política de seguridad de la información.Ingenierí