Ingeniero

Ingeniería de Software

Ingeniería de Protección
Edelma Rodríguez Pérez
Noviembre 2012

1

Contenidos
• 14.1 Gestión del riesgo de Protección • 14.2 Diseño para la Protección • 14.3 Supervivencia del Sistema

2

Ataques
• Las vulnerabilidades de infraestructura pueden conducir a que los atacantes obtengan sin autorización acceso a un sistema de aplicación y a los datos.

3Diferencias
Protección de Aplicación Protección de Infraestructura • Problema de Ingeniería de Software • Problema de Gestión Los ingenieros de sistemas deben Los administradores de sistemas de asegurarse que el sistema se deben de configurar la diseño para soportar ataques. infraestructura para resistir ataques.

4

Gestión
• La gestión de la protección del sistema no es una tarea sencilla,si no que debe incluir un rango de actividades como: • Gestión de usuarios y permisos • Implementación y mantenimiento del software de sistema • Monitorización, detención y recuperación de ataque.
5

Gestión del riesgo de Protección
• Se encarga de evaluar las posibles pérdidas que se derivan de ataques a los activos en el sistema, y de equilibrar dichas pérdidas frente a los costos de losprocedimientos de seguridad encaminados a reducir las pérdidas.

6

Valoración del Riesgo
Valoración preliminar del Riesgo
• ¿Puede lograrse un nivel adecuado de seguridad a un costo razonable?

Valoración del riesgo del ciclo de vida
• Informe de las decisiones técnicas de diseño e implementación del sistema.

Valoración del riesgo operativo
• Debe implementarse a medida queevoluciona el sistema.
7

Clasificación de las Amenazas
•De intercepción •De interrupción •De modificación •De fabricación
8

Amenazas

Análisis del riesgo del ciclo de Vida

9

Lineamientos de Diseño
• Los lineamientos generales de diseño para protección, tienen dos usos principales:
1. Ayudan a crear conciencia acerca de los temas de seguridad en un equipo de ingeniería de software. 2.Pueden usarse como una lista de verificación que será útil en el proceso de validación del sistema.

10

Lineamientos de seguridad
Lineamientos 1. Decisiones de seguridad con base en una política. 2. Evite solo un punto de falla. 3. Seguridad en caso de falla. 4. Equilibrio entre seguridad y usabilidad. 5. Registe las acciones del usuario. 6. Use redundancia y diversidad para reducir elriesgo. 7. Valide todas las entradas. 8. Compartimente sus activos. 9. Diseñe para implementar. 10. Diseñe para facilitar la recuperabilidad. 11

Lineamiento 1
• Decisiones de Protección con base en una política explicita de seguridad. • Una política de seguridad es un enunciado de alto nivel que establece las condiciones fundamentales de seguridad para una organización. • Define el “que” de laseguridad en lugar del “como”. • Los diseñadores deben consultar la política de seguridad, ya que está constituye un marco para tomar y evaluar decisiones de diseño.

12

Lineamiento 2
• Evite solo un punto de falla. • En cualquier sistema crítico, una buena práctica de diseño es tratar de evitar un solo punto de falla. • No se debe de apoyar en un solo mecanismo para garantizar la seguridaden vez de ello, se deben de emplear muchas técnicas diferentes. A esto se le conoce “defensa en profundidad”. • Para proteger la integridad de los datos en un sistema hay que mantener una bitácora ejecutable de los cambios realizados a los datos.
13

Lineamiento 3
• • • • Seguridad en Caso de Falla. Las fallas son inevitables en todos los sistemas. La protección siempre debe ser a prueba defallas. Cuando falle el sistema, no se deben de usar procedimientos de estado de emergencia que sean menos seguros que el sistema en sí. • La falla tampoco debe significar que el atacante acceda a datos a los que normalmente no tendrían acceso.

14

Lineamiento 4
• Equilibrio entre seguridad y usabilidad. • Las demandas de seguridad y usabilidad a menudo son contradictorias. • Para hacer...