Clasificación y tipos de ataques contra sistemas de
información
25 Marzo 2001
www.delitosinformaticos.com
Diremos que se entiende por amenaza una condición del entorno del sistema de
información (persona, máquina, suceso o idea) que, dada una oportunidad, podría
dar lugar a que se produjese una violación de la seguridad (confidencialidad,
integridad, disponibilidad o uso legítimo).
La política de seguridad y el análisis de riesgos habrán
identificado las amenazas que han de ser contrarrestadas, dependiendo del diseñador
del sistema de seguridad especificar los servicios y mecanismos de seguridad
necesarios.
Las amenazas a la seguridad en una red pueden caracterizarse
modelando el sistema como un flujo de información desde una fuente, como por
ejemplo un fichero o una región de la memoria principal, a un destino, como por
ejemplo otro fichero o un usuario.
Un ataque no es más que la realización de una amenaza. Las
cuatro categorías generales de amenazas o ataques son las siguientes:
Interrupción: un recurso del sistema es destruido o se vuelve
no disponible. Este es un ataque contra la disponibilidad. Ejemplos de este
ataque son la destrucción de un elemento hardware, como un disco duro, cortar
una línea de comunicación o deshabilitar el sistema de gestión de ficheros.
Intercepción: una entidad no autorizada consigue acceso a un recurso. Este es
un ataque contra la confidencialidad. La entidad no autorizada podría ser una
persona, un programa o un ordenador. Ejemplos de este ataque son pinchar una línea
para hacerse con datos que circulen por la red y la copia ilícita de ficheros o
programas (intercepción de datos), o bien la lectura de las cabeceras de
paquetes para desvelar la identidad de uno o más de los usuarios implicados en
la comunicación observada ilegalmente (intercepción de identidad).
Modificación: una entidad no autorizada no sólo consigue acceder a un recurso,
sino que es capaz de manipularlo. Este es un ataque contra la integridad.
Ejemplos de este ataque son el cambio de valores en un archivo de datos, alterar
un programa para que funcione de forma diferente y modificar el contenido de
mensajes que están siendo transferidos por la red.
Fabricación: una entidad no autorizada inserta objetos falsificados en el
sistema. Este es un ataque contra la autenticidad. Ejemplos de este ataque son
la inserción de mensajes espurios en una red o añadir registros a un archivo.
Estos ataques se pueden asimismo clasificar de forma útil en términos de
ataques pasivos y ataques activos.
Ataques pasivos
En los ataques pasivos el atacante no altera la comunicación,
sino que únicamente la escucha o monitoriza, para obtener información que está
siendo transmitida.
Sus objetivos son la intercepción de datos y el análisis de
tráfico, una técnica más sutil para obtener información de la comunicación,
que puede consistir en:
Obtención del origen y destinatario de la comunicación,
leyendo las cabeceras de los paquetes monitorizados.
Control del volumen de tráfico intercambiado entre las entidades monitorizadas,
obteniendo así información acerca de actividad o inactividad inusuales.
Control de las horas habituales de intercambio de datos entre las entidades de
la comunicación, para extraer información acerca de los períodos de
actividad.
Los ataques pasivos son muy difíciles de detectar, ya que no provocan ninguna
alteración de los datos. Sin embargo, es posible evitar su éxito mediante el
cifrado de la información y otros mecanismos que se verán más adelante.
Ataques activos
Estos ataques implican algún tipo de modificación del flujo
de datos transmitido o la creación de un falso flujo de datos, pudiendo
subdividirse en cuatro categorías:
Suplantación de identidad: el intruso se hace pasar por una
entidad diferente. Normalmente incluye alguna de las otras formas de ataque
activo. Por ejemplo, secuencias de autenticación pueden ser capturadas y
repetidas, permitiendo a una entidad no autorizada acceder a una serie de
recursos privilegiados suplantando a la entidad que posee esos privilegios, como
al robar la contraseña de acceso a una cuenta.
Reactuación: uno o varios mensajes legítimos son capturados y repetidos para
producir un efecto no deseado, como por ejemplo ingresar dinero repetidas veces
en una cuenta dada.
Modificación de mensajes: una porción del mensaje legítimo es alterada, o los
mensajes son retardados o reordenados, para producir un efecto no autorizado.
Por ejemplo, el mensaje "Ingresa un millón de pesos en la cuenta A"
podría ser modificado para decir "Ingresa un millón de pesos en la cuenta
B".
Degradación fraudulenta del servicio: impide o inhibe el uso normal o la gestión
de recursos informáticos y de comunicaciones. Por ejemplo, el intruso podría
suprimir todos los mensajes dirigidos a una determinada entidad o se podría
interrumpir el servicio de una red inundándola con mensajes espurios. Entre
estos ataques se encuentran los de denegación de servicio, consistentes en
paralizar temporalmente el servicio de un servidor de correo, Web, FTP, etc.
Noel
|