Criterio de seguridad 2010/11/11
Audiencia Representante(s) de: ●
●
Áreas o procesos organizacionales relacionados con seguridad o auditoría interna. Desarrolladores de aplicaciones. aplicaciones.
Objetivos ●
●
Divulgar el Criterio de Seguridad de forma que los asistentes a esta presentación comprendan la importancia del mismo. Proponer un par de indicadores que hablan sobre el estado de la prueba/verificación de seguridad de la información
Contexto
●
●
●
●
Quiénes han efectuado verificaciones/pruebas de seguridad? Qué tipos de pruebas/verificaciones de seguridad han realizado? Han pensado ¿qué es lo que verdaderamente desean verificar/probar en seguridad? ¿Cómo controlar que la verificación/prueba de seguridad quedó completa?
Todas las respuestas deben pasar necesariamente por ...
EL CRITERIO DE SEGURIDAD
Introducción
●
●
●
El criterio de seguridad presenta los diferentes requisitos no funcionales que se deben tener en cuenta para la evaluación de aplicaciones e infraestructura. Estos aspectos también pueden ser utilizados como guías para una implementación segura. Cada uno de los criterios podrá ser verificado con una o varias técnicas.
Procedencia El Criterio de Seguridad se basa en múltiples estándares internacionales, entre los que se cuentan: ●
Common Criteria. ISO/IEC 15408:2008 - Evaluation criteria for IT security
ISO/IEC 15408-1:2005 – ISO/IEC 15408-2:2008 – ISO/IEC 15408-3:2008 ISO/IEC 17025:2005 Reportes de vulnerabilidades en CWE - Common –
●
●
Weakness Enumeration ●
●
●
OWASP Code Review Guide OWASP Testing Guide American Institute of Certified Public Accountants -
Criterio de Seguridad
●
●
●
Está compuesto por 19 categorías, que definen los aspectos a evaluar durante las pruebas/verificaciones. Cada categoría contiene uno o más requisitos, para un total de 94 al día de hoy. Los requisitos se evalúan sobre el TOE (Target Of Evaluation) durante una o más verificaciones/pruebas, en función al tipo de pruebas y al ambiente.
Criterio de Seguridad
Criterio Criterio de de Seguridad Seguridad
Objetivo Objetivo De De Evaluación Evaluación TOE TOE
RIGUROSIDAD RIGUROSIDAD
COBERTURA COBERTURA
Categorías del Criterio de Seguridad ●
Requisitos
●
Tiempo
●
Sesión
●
Datos
●
Criptografía
●
Dependencias
●
Credenciales
●
Administración
●
Validación
●
Redes
●
Codificación
●
Servicios
●
Autenticación
●
Sistema
●
Autorización
●
Caché
●
Archivos
●
Otros
●
Bitácoras
Categoría: REQUISITOS Sobre los requisitos de seguridad que se deben definir para un sistema: REQ.01. REQ.01.Debe Debeestar estardefinido definidoelel criterio criterio de de seguridad seguridad con con los los requisitos específicos para requisitos específicos para elel sistema. sistema. REQ.02. REQ.02.Deben Debenestar estardefinidos definidos los roles que tendrán acceso los roles que tendrán accesoalal sistema. sistema. REQ.03. REQ.03.Deben Debenestar estardefinidos definidos los privilegios de acceso los privilegios de accesopara para cada rol en el sistema. cada rol en el sistema.
Detalle de un requisito
REQ.01. Debe estar definido el criterio de seguridad con los requisitos específicos para el sistema.
Documento de requisitos de seguridad específicos del sistema.
Antes de la construcción/a dquisición no se especifican los requisitos de seguridad
Alta
Categoría: SESIÓN Sobre la relación que se establece entre un usuario y un sistema, o entre 2 sistemas: SES.01. SES.01.La Lasesión sesióndebe debetener tenerun un tiempo máximo de vida no tiempo máximo de vida no superior superioraa55minutos. minutos. SES.02. SES.02. ElEl mecanismo mecanismo primario primario de transferencia de información de transferencia de información entre entre páginas páginas debe debe ser ser lala sesión. sesión. SES.03. SES.03.Un Unusuario usuariosolo solodebe debe poder establecer 1 sesión poder establecer 1 sesión simultánea simultáneaen enelelsistema. sistema.
SES.04. SES.04.ElElestado estadode desesión sesiónque que se encuentra en el cliente, debe se encuentra en el cliente, debe estar estar cifrado cifrado yy con con protección protección de integridad. de integridad.
Detalle de un requisito
SES.03. Un usuario solo debe poder establecer 1 sesión simultánea en el sistema.
Código fuente del sistema y de la configuración del sistema, o Acceso al sistema en funcionamiento.
Varias personas pueden acceder al sistema con las credenciales del mismo usuario
Alta
Categoría: CRIPTOGRAFÍA Sobre el uso de mecanismos de cifrado y firmado que garantizan confidencialidad, integridad y autenticidad: autenticidad: CRI.01. Debe usarse CRI.01. Debe usarse mecanismos criptográficos mecanismos criptográficosprepreexistentes. existentes.
CRI.04. Debe utilizarse certificados CRI.04. Debe utilizarse certificados firmados por entidades certificadoras firmados por entidades certificadoras validas internas cuando estos sean validas internas cuando estos sean para aplicaciones internas. para aplicaciones internas.
CRI.02. Debe utilizarse CRI.02. Debe utilizarse certificados con periodo certificados con periodo de de vencimiento no mayor a 1 año. vencimiento no mayor a 1 año.
CRI.05. Debe utilizarse certificados CRI.05. Debe utilizarse certificados firmados por entidades certificadoras firmados por entidades certificadoras validas externas cuando estos sean validas externas cuando estos sean para aplicaciones externas. para aplicaciones externas.
CRI.03. Debe utilizarse CRI.03. Debe utilizarse certificados vigentes según certificados vigentes segúnsus sus fechas de emisión yy fechas de emisión vencimiento. vencimiento.
CRI.06. Debe utilizarse certificados CRI.06. Debe utilizarse certificados con una identificación coherente con con una identificación coherente con la entidad (servicio, servidor, etc) a la la entidad (servicio, servidor, etc) a la cual se encuentra asociado. cual se encuentra asociado.
Categoría: CRIPTOGRAFÍA Sobre el uso de mecanismos de cifrado y firmado que garantizan confidencialidad, integridad y autenticidad: autenticidad: CRI.07. CRI.07. Debe Debe utilizarse utilizarse como como mecanismo de cifrado mecanismo de cifrado asimétrico un tamaño de asimétrico un tamaño declave clave mínimo de 1024 bits. mínimo de 1024 bits.
CRI.10. CRI.10. Debe Debe utilizarse utilizarse con con lala criptografía criptografíaasimétrica asimétricapares paresde de claves separados para cifrado claves separados para cifradoyy firmado. firmado.
CRI.08. CRI.08. Debe Debe utilizarse utilizarse como como mecanismo mecanism o de cifrado simétrico mecanismo mecanism o de cifrado simétrico un tamaño un tamañode declave clavemínimo mínimode de 256 bits. 256 bits.
CRI.11. CRI.11. Debe Debe utilizarse utilizarse firmas firmas digitales para garantizar digitales para garantizar lala autenticidad autenticidadde decódigo códigomóvil móviloo de dealta altacriticidad. criticidad.
CRI.09. CRI.09. Debe Debe utilizarse utilizarse como como mecanismo de funciones mecanismo de funciones resumen un tamaño mínimo resumen un tamaño mínimode de 256 bits. 256 bits.
Detalle de un requisito
CRI.04. Debe utilizarse certificados firmados por entidades certificadoras validas internas cuando estos sean para aplicaciones internas.
Acceso al sistema en funcionamiento.
Certificados digitales de aplicaciones internas no emitidos por una entidad certificadora interna
Alta
Categoría: CREDENCIALES Sobre la información utilizada (usuario, clave, OTP) para autenticar a un usuario o un sistema: CRE.01. CRE.01.Las Lascontraseñas contraseñasdeben deben almacenarse a través almacenarse a través de de resúmenes criptográficos. resúmenes criptográficos.
CRE.04. CRE.04.Las Lascontraseñas contraseñasdeben deben tener una validez máxima tener una validez máxima de de 30 días. 30 días.
CRE.02. CRE.02.Las Lascontraseñas contraseñasdeben deben almacenarse en una fuente almacenarse en una fuentede de datos única. datos única.
CRE.05. CRE.05.Las Lascontraseñas contraseñasdeben deben tener una validez mínima tener una validez mínimade de11 día. día.
CRE.03. CRE.03.Las Lascontraseñas contraseñasdeben deben cambiarse siempre por cambiarse siempre por otra otra diferente a las 30 anteriores. diferente a las 30 anteriores.
CRE.06. CRE.06. Las Las contraseñas contraseñas (tipo (tipo frase -preferido-) deben tener frase -preferido-) deben teneralal menos menos 33 palabras palabras de de longitud. longitud. [8] [8]
Categoría: CREDENCIALES Sobre la información utilizada (usuario, clave, OTP) para autenticar a un usuario o un sistema: CRE.07. CRE.07. Las Las contraseñas contraseñas (tipo (tipo palabra) deben tener al menos palabra) deben tener al menos 88caracteres caracteresde delongitud. longitud.
CRE.10. CRE.10. Las Las contraseñas contraseñas (tipo (tipo palabra) deben tener al menos palabra) deben tener al menos 11dígito dígitonumérico. numérico.
CRE.08. CRE.08. Las Las contraseñas contraseñas (tipo (tipo palabra) deben tener al menos palabra) deben tener al menos 11letra minúscul a. letraminúscula. minúscula.
CRE.11. CRE.11. Las Las contraseñas contraseñas (tipo (tipo palabra) deben tener al menos palabra) deben tener al menos 11carácter carácterespecial. especial.
CRE.09. CRE.09. Las Las contraseñas contraseñas (tipo (tipo palabra) deben tener al menos palabra) deben tener al menos 11letra mayúscul a. letramayúscula. mayúscula.
CRE.12. CRE.12.Las Lascredenciales credencialesde de usuario deben ser usuario deben ser transportadas por un canal transportadas por un canal seguro. seguro.
Categoría: CREDENCIALES Sobre la información utilizada (usuario, clave, OTP) para autenticar a un usuario o un sistema: CRE.13. CRE.13.Las Lascredenciales credencialesde de sistema deben ser de una sistema deben ser de una longitud longitudsuperior superioraa20 20yyalta alta complejidad. complejidad. CRE.14. CRE.14.Las Lascredenciales credencialespor por defecto de sistemas predefecto de sistemas preconstruidos deben ser construidos deben ser eliminadas. eliminadas. CRE.15. Dos contraseñas CRE.15. Dos contraseñas iguales deben almacenarse iguales deben almacenarsecon con diferentes resúmenes diferentes resúmenes criptográficos (salt). criptográficos (salt).
CRE.16. CRE.16. ElEl salt salt utilizado utilizado para para implementar el requisito implementar el requisito CRE.15. debe ser aleatorio CRE.15. debe ser aleatorioyyde de mínimo 48 bits. mínimo 48 bits.
Detalle de un requisito
CRE.01. Las contraseñas deben almacenarse a través de resúmenes criptográficos.
Código fuente del sistema y de la configuración del sistema.
Contraseñas almacenadas de forma plana y por ende conocidas por el administrador
Alta
Categoría: VALIDACIÓN Sobre las validaciones que deben realizarse sobre los datos que provienen del exterior: VAL.01. VAL.01. Debe Debe validarse validarse lala entrada entradade deinformación informaciónantes antes de ser usada. de ser usada.
VAL.04. VAL.04.Debe Debevalidarse validarseque queelel correo correo electrónico electrónico es es único único aa pesar pesardel delcomponente componenteentre entreelel ++yylala@. @.
VAL.02. VAL.02. Debe Debe validarse validarse lala entrada entrada de de información información en en elel servidor servidoryyno nosolo soloen enelelcliente. cliente.
VAL.05. VAL.05.Debe Debevalidarse validarseque queelel correo correo electrónico electrónico declarado declarado pertenece a la persona pertenece a la persona en en cuestión. cuestión.
VAL.03. VAL.03.Debe Debevalidarse validarseque queelel sujeto sujetoque querealiza realizalas lasacciones acciones de registro y autenticación de registro y autenticaciónes es un humano. un humano.
VAL.06. VAL.06.Debe Debevalidarse validarseque queelel contenido contenido de de los los archivos archivos relacionados este libre relacionados este libre de de código malicioso. código malicioso.
Categoría: VALIDACIÓN Sobre las validaciones que deben realizarse sobre los datos que provienen del exterior: VAL.07. VAL.07.Debe Debevalidarse validarseque queelel formato formato de de los los archivos archivos relacionados corresponde relacionados correspondeaasu su extensión. extensión. VAL.08. VAL.08.Debe Debevalidarse validarseque queelel sujeto sujeto que que lee lee un un correo correo electrónico de un sitio publico electrónico de un sitio publico es esun unhumano. humano.
Detalle de un requisito
VAL.03. Acciones de registro y autenticación solo deben ser realizadas por un humanos (captcha).
Código fuente del sistema y de la configuración del sistema, o Acceso al sistema en funcionamiento.
Los procesos de registro y autenticación pueden realizarse mediante un robot generando basura
Alta
Categoría: CODIFICACIÓN Sobre como debe estar construido el código fuente de un sistema: COD.01. COD.01. ElEl código código sólo sólo debe debe realizar las funciones para realizar las funciones paralas las cuales fue diseñado y no cuales fue diseñado y no acciones accionescolaterales. colaterales.
COD.04. COD.04.ElElcódigo códigosolo solodebe debe usar funciones seguras usar funciones seguras yy actualizadas actualizadasdel dellenguaje. lenguaje.
COD.02. COD.02.ElElcódigo códigodebe debeestar estar libre de información personal libre de información personal (ej: (ej:contraseñas contraseñaspersonales). personales).
COD.05. COD.05.ElElcódigo códigofuente fuenteno no debe ser accesible en debe ser accesible en ambientes de producción (ej: ambientes de producción (ej: compilación, compilación,ofuscación). ofuscación).
COD.03. COD.03. ElEl código código debe debe compilarse o interpretarse compilarse o interpretarsede de forma estricta. forma estricta.
COD.06. COD.06.ElElcódigo códigodebe debeestar estar codificado según el lenguaje codificado según el lenguaje correspondiente correspondiente(ej: (ej:HTML, HTML,JS, JS, "escaping"). "escaping").
Categoría: CODIFICACIÓN Sobre como debe estar construido el código fuente de un sistema: COD.07. COD.07.ElElcódigo códigodebe debedefinir definir opciones por defecto seguras opciones por defecto seguras (ej: (ej:default defaulten enswitchs). switchs).
Detalle de un requisito
COD.02. El código debe estar libre de información personal (ej: contraseñas personales).
Código fuente del sistema.
El código fuente tiene “quemadas” las contraseñas de conexiones a otros sistemas
Alta
Categoría: AUTENTICACIÓN Sobre como debe realizarse el proceso mediante el cual un usuario o sistema se identifica ante otro: AUT.01. El proceso de AUT.01. El proceso de autenticación/login debe tener un autenticación/login debe tener un retraso constante no menor a 5 retraso constante no menor a 5 segundos cuando las credenciales segundos cuando las credenciales sean erróneas. sean erróneas.
AUT.04. El proceso de autenticación AUT.04. El proceso de autenticación debe indicar que el sistema solo esta debe indicar que el sistema solo esta disponible para personal autorizado. disponible para personal autorizado. (ISO 27002:2005, 15.1.5). (ISO 27002:2005, 15.1.5).
AUT.02. El proceso de autenticación AUT.02. El proceso de autenticación no debe emitir mensajes de error no debe emitir mensajes de error que permitan distinguir si es un que permitan distinguir si es un error de usuario o de contraseña. error de usuario o de contraseña.
AUT.05. El proceso de autenticación AUT.05. El proceso de autenticación debe comparar los resúmenes de debe comparar los resúmenes de las claves ingresadas y las claves ingresadas y almacenadas y no las claves en sí. almacenadas y no las claves en sí.
AUT.03. ElEl proceso de AUT.03. proceso de autenticación no debe bloquear autenticación no debe bloquear las las cuentas cuentas después después de de un un numero de intentos fallidos. numero de intentos fallidos.
AUT.06. El proceso de autenticación AUT.06. El proceso de autenticación unificado (SSO: Single Sign On) unificado (SSO: Single Sign On) debe implementarse mediante debe implementarse mediante protocolos protocolos estándar (ej: SAML). protocolos estándar estándar (ej: SAML).
Categoría: AUTENTICACIÓN Sobre como debe realizarse el proceso mediante el cual un usuario o sistema se identifica ante otro: AUT.07. AUT.07. ElEl proceso proceso de de autenticación debe requerir autenticación debe requerir mínimamente mínimamente nombre nombre de de usuario y clave. usuario y clave.
AUT.10. AUT.10. ElEl proceso proceso de de autenticación critica debe autenticación critica debe requerir requerir adicionalmente adicionalmente identificación identificaciónde deequipos. equipos.
AUT.08. AUT.08. ElEl proceso proceso de de autenticación critica debe autenticación critica debe requerir adicionalmente claves requerir adicionalmente claves de deun unsolo solouso. uso.
AUT.11. AUT.11. ElEl proceso proceso de de autenticación critica debe autenticación critica debe requerir adicionalmente requerir adicionalmente certificados digitales certificados digitalesde decliente. cliente.
AUT.09. AUT.09. ElEl proceso proceso de de autenticación critica debe autenticación critica debe requerir requerir adicionalmente adicionalmente verificación verificaciónbiométrica. biométrica.
Detalle de un requisito
AUT.01. El proceso de autenticación/login debe tener un retraso constante no menor a 5 segundos cuando las credenciales sean erróneas.
Código fuente del sistema y de la configuración del sistema, o Acceso al sistema en funcionamiento.
Si las credenciales son erroneas el sistema responde inmediantament e facilitando un ataque
Alta
Categoría: AUTORIZACIÓN Sobre las reglas que deben existir para otorgar otorgar acceso a un sujeto a un objeto especifico: AUZ.01. AUZ.01. Los Los privilegios privilegios para para objetos nuevos deben objetos nuevos deben establecerse según el principio establecerse según el principio de demínimo mínimoprivilegio privilegio(umask). (umask). AUZ.02. AUZ.02.Los Losprivilegios privilegiospara paraun un sujeto no pueden ser sujeto no pueden ser aumentados por el mismo aumentados por el mismo sujeto. sujeto. AUZ.03. AUZ.03. Los Los privilegios privilegios para para objetos con contenido sensible objetos con contenido sensible deben restringido .. debentener teneracceso accesorestringido. restringido restringido.
Detalle de un requisito
AUZ.02. Los privilegios para un sujeto no pueden ser aumentados por el mismo sujeto.
Código fuente del sistema y de la configuración del sistema, o Acceso al sistema en funcionamiento.
Un sujeto puede aumentar los privilegios que le han sido asignados
Baja
Categoría: ARCHIVOS Sobre las reglas que deben aplicarse sobre el uso de archivos en un sistema: ARC.01. Los archivos ARC.01. Los archivos temporales no deben temporales no deben desplegarse al ambiente desplegarse al ambientede de producción. producción. ARC.02. ARC.02.Los Losarchivos archivosgenerados generados en directorios públicos en directorios públicos deben deben tener nombre aleatorio. tener nombre aleatorio. ARC.03. ARC.03.Los Losarchivos archivosdeben debenser ser referenciados mediante sus referenciados mediante sus rutas rutasabsolutas. absolutas.
Detalle de un requisito
ARC.03. Los archivos deben ser referenciados mediante sus rutas absolutas.
Código fuente del sistema y de la configuración del sistema
Inyección de código mediante manipulación del PATH
Baja
Categoría: BITÁCORAS Sobre los eventos, excepciones y el registro que debe dejarse sobre los mismos en un sistema: BIT.01. BIT.01. Los Los eventos eventos excepcionales deben excepcionales deben ser ser registrados en bitácoras. registrados en bitácoras.
BIT.04. Los eventos deben contener BIT.04. Los eventos deben contener el momento de ocurrencia (fecha, el momento de ocurrencia (fecha, hora, segundos, mili-segundos y hora, segundos, mili-segundos y zona horaria). zona horaria).
BIT.02. BIT.02. Los Los eventos eventos excepcionales deben excepcionales deben clasificarse por severidad. clasificarse clasificars e por severidad.
BIT.05. Las bitácoras deben BIT.05. Las bitácoras deben almacenarse mediante un almacenarse mediante un mecanismo o sistema inalterable mecanismo o sistema inalterable (externo, (externo, append-only). (externo, append-only).
BIT.03. BIT.03. Los Los eventos eventos con con severidad de depuración severidad de depuraciónno no deben estar habilitados en deben estar habilitados en producción. producción.
BIT.06. BIT.06. Las Las bitácoras bitácoras deben deben retenerse como mínimo 1 retenerse como mínimo 1año. año.
Categoría: BITÁCORAS Sobre los eventos, excepciones y el registro que debe dejarse sobre los mismos en un BIT.07. sistema: BIT.07. La La gestión gestión de de bitácoras bitácoras (rotación, transporte, etc) debe (rotación, transporte, etc) debe ser serresponsabilidad responsabilidaddel delsistema sistema operativo. operativo.
Detalle de un requisito
BIT.01. Los eventos excepcionales deben ser registrados en bitácoras.
Código fuente del sistema y de la configuración del sistema
Situaciones excepcionales no son tratadadas adecuadamente o registradas
Alta
Categoría: TIEMPO Sobre la sincronización de relojes que mantienen un tiempo coherente en los sistemas: TIE.01. TIE.01. ElEl tiempo tiempo del del sistema sistema debe estar sincronizado debe estar sincronizadocon conelel tiempo tiempooficial oficialdel delpaís. país. TIE.02. TIE.02. ElEl tiempo tiempo del del sistema sistema debe estar sincronizado debe estar sincronizadocon conelel tiempo tiempode delos losdemás demássistemas sistemas de la organización. organización . de la organizac organización. ión.
Detalle de un requisito
TIE.01. El tiempo del sistema debe estar sincronizado con el tiempo oficial del país.
Acceso al servidor donde se aloja el sistema, o Acceso al sistema en funcionamiento
La hora del sistema no corresponde a la hora oficial del país
Media
Categoría: DATOS Sobre los datos y respaldos que deben realizarse sobre la información de la organización: DAT.01. DAT.01.Los Losdatos datosde derespaldos respaldos deben almacenarse cifrados. deben almacenarse cifrados.
DAT.02. DAT.02.Los Losdatos datosde derespaldos respaldos deben almacenarse fuera deben almacenarse fuera del del sitio origen. sitio origen. DAT.03. DAT.03.Los Losdatos datosde derespaldos respaldos deben realizarse deben realizarse aa una una frecuencia no mayor de 7 días frecuencia no mayor de 7 días (RPO). (RPO).
DAT.04. DAT.04.Los Losdatos datosde deambientes ambientes diferentes a producción diferentes a producción deben deben encontrarse enmascarados. enmascarados . encontrarse enmascarados.
Detalle de un requisito
DAT.01. Los respaldos deben almacenarse cifrados.
Acceso a los respaldos del sistema
Los respaldos al ser interceptados pueden ser leídos por cualquier persona
Alta
Categoría: DEPENDENCIAS Sobre los componentes del sistema que se requieren para funcionar: DEP.01. DEP.01.Deben Debenusarse usarseversiones versiones estables de las dependencias estables de las dependencias del delsistema. sistema. DEP.02. DEP.02.Deben Debenusarse usarseversiones versiones actualizadas de las actualizadas de las dependencias del sistema. dependencias del sistema.
Detalle de un requisito
DEP.02. Deben usarse versiones actualizadas de las dependencias del sistema.
Binarios o versiones de las bibliotecas usadas por el sistema, o Acceso al servidor donde se aloja el sistema.
Las dependencias del sistema son versiones desactualizadas por ende con problemas.
Alta
Categoría: ADMINISTRACIÓN Sobre la gestión administrativa del sistema: ADM.01. Los mecanismos de ADM.01. Los mecanismos de gestión de un sistema solo deben gestión de un sistema solo deben ser accesibles desde segmentos de ser accesibles desde segmentos de gestión o administrativos. gestión o administrativos administrativos..
Detalle de un requisito
ADM.01. Los mecanismos de gestión de un sistema solo deben ser accesibles desde segmentos de gestión o administrativos.
Acceso a la red donde se conectan los usuarios.
Las interfaces de gestión pueden accederse desde segmentos de usuarios.
Alta
Categoría: REDES Sobre la red que soporta el sistema en evaluación: RED.01. Los segmentos de usuarios RED.01. Los segmentos de usuarios y servidores con aplicaciones o y servidores con aplicaciones o contenido deben permitir acceso contenido deben permitir acceso solo a los puertos necesarios. solo a los puertos necesarios. RED.02. Los servidores con RED.02. Los servidores con aplicaciones o contenido solo deben aplicaciones o contenido solo deben tener acceso a los puertos que les tener acceso a los puertos que les permitan cumplir su propósito. permitan cumplir su propósito. RED.03. El acceso físico a la red para RED.03. El acceso físico a la red para los usuarios debe asignarse con base los usuarios debe asignarse con base en las credenciales del usuario en la en las credenciales del usuario en la organización (ej: 802.1x). organización (ej: 802.1x).
RED.04. RED.04.Un Unpuerto puertodebe debetener tener un limite máximo un limite máximo de de conexiones conexione s por IP origen. conexiones por IP origen.
Detalle de un requisito
RED.01. Los segmentos de usuarios y servidores con aplicaciones o contenido deben permitir acceso solo a los puertos necesarios.
Acceso a la red donde se conectan los usuarios.
Los servidores aceptan conexiones no relacionadas con su propósito
Alta
Categoría: SERVICIOS Sobre Sobre los servicios o características habilitadas habilitadas en el sistema en evaluación: SER.01. SER.01.Las Lasfunciones funcionesde deun un servicio que son servicio que son potencialmente inseguras potencialmente inseguras deben estar deshabilitadas. deben estar deshabilitadas. SER.02. SER.02. Las Las funciones funciones de de un un servicio que son innecesarias servicio que son innecesarias deben deshabilitadas . debenestar estardeshabilitadas. deshabilitadas.
Detalle de un requisito
SER.01. Las funciones de un servicio que son potencialmente inseguras deben estar deshabilitadas.
Acceso a la red donde se conectan los usuarios.
Funciones de un servicio inseguras se mantienen habilitadas
Alta
Categoría: SISTEMA Sobre Sobre las características ca racterísticas necesarias en los sistemas operativos que soportan el sistema en evaluación: SIS.01. La gestión administrativa del SIS.01. La gestión administrativa del sistema debe realizarse a través de sistema debe realizarse a través de intermediarios privilegiados (sudo) que intermediarios privilegiados (sudo) que permitan la contabilidad a cada permitan la contabilidad a cada individuo. individuo.
SIS.02. SIS.02. La La integridad integridad de de los los archivos del sistema debe ser archivos del sistema debe ser verificada verificadaperiódicamente periódicamenteyysu su estado reportado. estado reportado. SIS.03. El uso de compiladores en SIS.03. El uso de compiladores en sistemas de producción debe estar sistemas de producción debe estar restringido solo para las aplicaciones restringido solo para las aplicaciones que así lo requieran (ej: servidores de que así lo requieran (ej: servidores de aplicaciones Java). aplicaciones Java).
Detalle de un requisito
SIS.01. La gestión administrativa del sistema debe realizarse a través de intermediarios privilegiados (sudo) que permitan la contabilidad a cada individuo.
Código fuente del sistema y de la configuración del sistema, o Acceso al servidor donde se aloja el sistema.
No se puede conocer que persona especifica realiza las labores administrativas
Alta
Categoría: CACHÉ Sobre la información almacenada temporalmente para mejorar el rendimiento o la usabilidad: CAC.01. CAC.01.La Lainformación informaciónsensible sensible debe ser excluida del debe ser excluida del almacenamiento almacenam iento en caché [2]. almacenamiento almacenam iento en caché [2].
Detalle de un requisito
CAC.01. La información sensible debe ser excluida del almacenamiento en cache [2].
Código fuente del sistema y de la configuración del sistema, o Acceso al sistema en funcionamiento.
Información sensible es almacenada en cache sin que esta situación sea permitida.
Alta
Categoría: OTROS Sobre otros aspectos de seguridad que deben considerarse: OTR.01. OTR.01.Los Losnúmeros númerosaleatorios aleatorios generados deben seguir generados deben seguir una una distribución uniforme. distribución uniforme. OTR.02. La información de producto OTR.02. La información de producto solo debe ser accesible para los solo debe ser accesible para los administradores administradores del sistema [7]. administradores administradore s del sistema [7].
Detalle de un requisito
OTR.02. La información de producto solo debe ser accesible para los administradores del sistema [7].
Código fuente del sistema y de la configuración del sistema, o Acceso al sistema en funcionamiento.
El sistema revela mas información de la necesaria para un usuario
Alta
Rigurosidad
●
La rigurosidad es el valor porcentual de la relación entre los requisitos verificados y los requisitos aplicables a la prueba Rigurosidad =
●
RequisitosVerificados Requisitos Aplicables
Cabe anotar que este valor irá aumentando en función de las pruebas ejecutadas sobre el TOE, pues se considerarán más requisitos.
Conclusiones ●
●
●
●
●
El criterio de seguridad es una adecuada “herramienta” para escoger una prueba/verificación de seguridad. El criterio de seguridad es un punto de apoyo para evaluar el estado de seguridad de determinado artefacto. La prueba/verificación está determinada por lo que se quiere validar y no por la técnica aplicada por un “hacker” Es posible modificar el criterio de seguridad y adaptarlo a las exigencias de manera fácil y sin traumatismos. Sirve tanto de herramienta de medición, como de fundamentación para implementar políticas de seguridad.
Contáctenos ●
●
●
●
●
●
●
●
Web: http://www.fluidsignal.com/ Twitter: http://twitter.com/fluidsignal Youtube: http://www.youtube.com/fluidsignal Facebook: http://www.facebook.com/fluidsignal Correo:
[email protected] Teléfono: +57 (1) 2697800, +57 (4) 4442637 Celular: +57 3108408002, +57 3136601911 Ubicación: Calle 7D 43A-99 Oficina 509 - Medellín
Muchas gracias!
[email protected]
Clausula Legal Copyright 2010 Fluidsignal Group Todos los derechos reservados Este documento contiene información de propiedad de Fluidsignal Group. El cliente puede usar dicha información sólo con el propósito de documentación sin poder divulgar su contenido a terceras partes ya que contiene ideas, conceptos, precios y estructuras de propiedad de Fluidsignal Group S.A. La clasificación "propietaria" significa que ésta información es sólo para uso de las personas a quienes esta dirigida. En caso de requerirse copias totales o parciales se debe contar con la autorización expresa y escrita de Fluidsignal Group S.A. Las normas que fundamentan la clasificación de la información son los artículos 72 y siguientes de la decisión del acuerdo de Cartagena, 344 de 1.993, el artículo 238 del código penal y los artículos 16 y siguientes de la ley 256 de 1.996.
