Manual de Seguridad Linux Red Hat

7/30/2019 Manual de Seguridad Linux Red Hat

1/144

Red Hat Enterprise Linux 4

Manual de seguridad


2/144

Red Hat Enterprise Linux 4: Manual de seguridadCopyright 2005 por Red Hat, Inc.

Red Hat, Inc.

1801 Varsity Drive Raleigh NC 27606-2072 USA Telfono: +1 919 754 3700 Telfono: 888 733 4281 Fax: +1 919 754 3701 PO Box 13588 Re

search Triangle Park NC 27709 USA

rhel-sg(ES)-4-Print-RHI (2004-09-30T17:12)

Copyright 2005 por Red Hat, Inc. Este material solamente se distribuye bajo los trminos y condiciones establecidas en la

Open Publication License, V1.0 o versiones posteriores (la ltima versin est disponible en

http://www.opencontent.org/openpub/).

Los derechos de autor del propietario prohiben la distribucin de versiones de este documento sustancialmente modificadas

sin un permiso explcito.

La distribucin del producto o una copia del mismo en forma de libro con fines comerciales est prohibida a menos que seobtenga permiso previo del propietario de los derechos de autor.

Red Hat y el logo "Shadow Man" de Red Hat, son marcas registradas de Red Hat, Inc. en los Estados Unidos y otros pases.

Todas las dems marcas referenciadas aqu son propiedad de sus respectivos dueos.

La marca de GPG de la clave [email protected]:

CA 20 86 86 2B D6 9D FC 65 F6 EC C4 21 91 80 CD DB 42 A6 0E


3/144

Tabla de contenidos

Introduccin ......................................................................................................................................... i1. Informacin especfica a la arquitectura ...............................................................................ii2. Convenciones del documento ...............................................................................................ii3. Active su suscripcin ............................................................................................................ v

3.1. Proporcione un nombre de conexin a Red Hat .................................................... v3.2. Proporcione su nmero de suscripcin .................................................................. v3.3. Conecte su sistema ................................................................................................. v

4. An hay ms ........................................................................................................................ vi4.1. Envenos su opinin ..............................................................................................vi

I. Una introduccin general a la Seguridad....................................................................................... i1. Generalidades sobre la Seguridad ......................................................................................... 1

1.1. Definicin de Seguridad computacional ................................................................ 11.2. Controles de seguridad........................................................................................... 5

1.3. Conclusin ............................................................................................................. 72. Ataques y vulnerabilidades ................................................................................................... 92.1. Una breve historia sobre los hackers...................................................................... 92.2. Amenazas a la Seguridad de la red ...................................................................... 102.3. Amenazas a la seguridad de servidores ............................................................... 102.4. Amenazas a la seguridad de estaciones de trabajo y PCs del hogar .................... 12

II. Configuracin de Red Hat Enterprise Linux para la Seguridad............................................. 153. Actualizaciones de seguridad.............................................................................................. 17

3.1. Actualizacin de paquetes.................................................................................... 174. Seguridad de las estaciones de trabajo. ............................................................................... 23

4.1. Evaluacin de la seguridad de la estacin de trabajo........................................... 23

4.2. Seguridad del BIOS y del gestor de arranque...................................................... 234.3. Seguridad de contraseas ..................................................................................... 254.4. Controles administrativos .................................................................................... 314.5. Servicios de red disponibles................................................................................. 364.6. Cortafuegos personales ........................................................................................ 404.7. Herramientas de mejoramiento de la seguridad................................................... 40

5. Seguridad de servidores ...................................................................................................... 435.1. Asegure los servicios con TCP Wrappers y xinetd........................................... 435.2. Proteccin de Portmap ......................................................................................... 465.3. Proteccin de NIS ................................................................................................ 475.4. Proteccin de NFS ............................................................................................... 49

5.5. Proteccin del Servidor Apache HTTP................................................................ 505.6. Proteccin de FTP................................................................................................ 515.7. Asegurando Sendmail .......................................................................................... 545.8. Verificar cules puertos estn escuchando ........................................................... 55

6. Redes privadas virtuales...................................................................................................... 576.1. VPNs y Red Hat Enterprise Linux....................................................................... 576.2. IPsec..................................................................................................................... 576.3. Instalacin de IPsec.............................................................................................. 586.4. Configuracin IPsec de host-a-host ..................................................................... 586.5. Configuracin de IPsec de red-a-red.................................................................... 62

7. Cortafuegos ......................................................................................................................... 677.1. Netfilter e iptables ........................................................................................... 687.2. Uso de iptables ................................................................................................ 697.3. Filtros comunes de iptables ............................................................................. 707.4. Reglas FORWARD y NAT ....................................................................................... 717.5. Viruses y direcciones IP simuladas ...................................................................... 737.6. iptables y Seguimiento de conexiones ............................................................ 747.7. ip6tables .......................................................................................................... 74


4/144

7.8. Recursos adicionales............................................................................................ 75

III. Evaluacin de su Seguridad ...................................................................................................... 778. Evaluacin de vulnerabilidad.............................................................................................. 79

8.1. Pensando como el enemigo.................................................................................. 79

8.2. Definicin de la evaluacin y pruebas ................................................................. 808.3. Evaluacin de herramientas ................................................................................. 81

IV. Intrusiones y respuestas a incidentes ........................................................................................859. Deteccin de intrusos .......................................................................................................... 87

9.1. Definicin de sistema de deteccin de intrusos ................................................... 879.2. IDS basados en host ............................................................................................. 889.3. IDS basados en la red........................................................................................... 90

10. Respuesta a incidentes ...................................................................................................... 9310.1. Definicin de respuesta a incidentes .................................................................. 9310.2. Creacin de un Plan de respuesta a incidentes................................................... 9310.3. Implementacin de un Plan de respuestas a incidentes ..................................... 95

10.4. Investigacin de un incidente............................................................................. 9510.5. Restauracin y recuperacin de recursos........................................................... 9810.6. Notificacin del incidente ..................................................................................99

V. Apndices .................................................................................................................................... 101A. Proteccin del hardware y de la red ................................................................................. 103

A.1. Topologas de red seguras ................................................................................. 103A.2. Seguridad del hardware..................................................................................... 106

B. Ataques y agresiones comunes......................................................................................... 109C. Puertos comunes............................................................................................................... 113

ndice................................................................................................................................................ 125

Colofn............................................................................................................................................. 131


5/144

Introduccin

Bienvenidos al Manual de seguridad de Red Hat Enterprise Linux!

El Manual de seguridad de Red Hat Enterprise Linux est diseado para asistir a los usuarios de RedHat Enterprise Linux en el aprendizaje del proceso de aseguramiento de las estaciones de trabajo yservidores contra intrusiones locales o remotas, explotaciones y otras actividades maliciosas. El Man-ual de seguridad de Red Hat Enterprise Linux explica en detalle la planificacin y las herramientasrelacionadas en la creacin de un ambiente de computacin seguro para un centro de datos, para eltrabajo y para el hogar. Con el conocimiento adecuado, vigilancia y las herramientas apropiadas, lossistemas ejecutando Red Hat Enterprise Linux pueden ser completamente funcionales y estar protegi-dos contra los mtodos de intrusin y explotacin ms comunes.

Este manual discute en gran detalle muchos temas relacionados con la seguridad, incluyendo:

Cortafuegos

Encriptacin

Resguardo de servicios crticos

Redes privadas virtuales

Deteccin de intrusos

El manual est dividido en las siguientes partes:

Introduccin general a la Seguridad

Configuracin de Red Hat Enterprise Linux para la seguridad

Evaluacin de su Seguridad

Intrusiones y respuestas a incidentes

Apndice

Nos gustara agradecer a Thomas Rude por sus generosas contribuciones a este manual. El escribilos captulos Revisiones de vulnerabilidad y Respuestas a incidentes. Gracias, Thomas!

Este manual asume que usted posee un conocimiento avanzado de Red Hat Enterprise Linux. Si ustedes un nuevo usuario o solamente tiene un conocimiento bsico o intermedio de Red Hat EnterpriseLinux y necesita ms informacin sobre como utilizar el sistema, por favor, refirase a los manualessiguientes, los cuales discuten los aspectos fundamentales de Red Hat Enterprise Linux con ms de-talles que el Manual de seguridad de Red Hat Enterprise Linux:

El Manual de instalacin de Red Hat Enterprise Linux para informacin relacionada con la insta-lacin.

El manual de Introduccin a la administracin de sistemas de Red Hat Enterprise Linux contieneinformacin introductoria para nuevos administradores de sistemas Red Hat Enterprise Linux.

El Manual de administracin del sistema de Red Hat Enterprise Linux ofrece informacin detalladasobre cmo configurar Red Hat Enterprise Linux para satisfacer sus necesidades particulares comousuario. Este manual incluye algunos servicios que tambin son discutidos (desde un punto de vistade seguridad) en el Manual de seguridad de Red Hat Enterprise Linux.

El Manual de referencia de Red Hat Enterprise Linux proporciona informacin detallada adecuadapara los usuarios ms avanzados, para ser usado como referencia cuando se requiera, al contrariode instrucciones paso a paso.

Las versiones en HTML, PDF y RPM de los manuales estn disponibles en el CD de documentacinde Red Hat Enterprise Linux y en lnea en http://www.redhat.com/docs/.


6/144

ii Introduccin

Nota

Aunque este manual refleja la informacin ms actualizada, lea las Notas de ltima hora de RedHat Enterprise Linux para ver aquella informacin que quizs no estaba disponible para el momentoantes de que la documentacin se finalizara. Estas se pueden encontrar en el CD#1 de Red HatEnterprise Linux y tambin el lnea en http://www.redhat.com/docs/.

1. Informacin especfica a la arquitectura

A menos que se indique lo contrario, toda la informacin contenida en este manual nicamente aplicaal procesador x86 y a los procesadores que tienen Intel Extended Memory 64 Technology (IntelEM64T) y las tecnologas AMD64. Para informacin especfica a la arquitectura, consulte el Manualde instalacin de Red Hat Enterprise Linux para su arquitectura especfica.

2. Convenciones del documento

Cuando lea este manual, ver que algunas palabras estn representadas en fuentes, tipos de letra,tamao y peso diferentes. Esta forma de evidenciar es sistemtica; se representan diferentes palabrascon el mismo estilo para indicar su pertenencia a una categora especfica. Los tipos de palabrasrepresentados de esta forma incluyen los siguientes:

comando

Los comandos en Linux (y otros comandos de sistemas operativos, cuando estos se utilicen) se

representan de esta manera. Este estilo le indica que puede escribir la palabra o frase en la lneade comandos y pulsar [Intro] para invocar el comando. A veces un comando contiene palabrasque apareceran con un estilo diferente si fueran solas (p.e, nombres de archivos). En estos casos,se las considera como parte del comando, de manera que toda la frase aparece como un comando.Por ejemplo:

Utilice el comando cat testfile para ver el contenido de un archivo, llamado testfile, enel directorio actual.

nombre del archivo

Los nombres de archivos, nombres de directorios, rutas y nombres de rutas y paquetes RPMaparecen siempre en este modo. Este estilo indica que un archivo o directorio en particular existe

con ese nombre en su sistema. Ejemplos:

El archivo .bashrc en su directorio principal contiene definiciones de la shell de bash y aliaspara su propio uso.

El archivo /etc/fstab contiene informacin sobre diferentes dispositivos del sistema y sis-temas de archivos.

Instale el RPM webalizer si quiere utilizar un programa de anlisis del archivo de registro delservidor Web.

aplicacin

Este estilo indica que el programa es una aplicacin de usuario final (lo contrario a software delsistema). Por ejemplo:

Use Mozilla para navegar por la Web.


7/144

Introduccin iii

[tecla]

Una tecla del teclado aparece en el siguiente estilo. Por ejemplo:

Para utilizar la completacin con [Tab], introduzca un carcter y pulse la tecla [Tab]. Apareceruna lista de archivos en el directorio que empiezan con esa letra. Su terminal visualizar la listade archivos en el directorio que empiezan con esa letra.

[tecla]-[combinacin]

Una combinacin de teclas aparece de la siguiente manera. Por ejemplo:

La combinacin de teclas [Ctrl]-[Alt]-[Retroceso] le har salir de la sesin grfica y volver a lapantalla grfica de inicio de sesin o a la consola.

texto de una interfaz grfica (GUI)

Un ttulo, palabra o frase encontrada en una pantalla o ventana de interfaz grfica GUI apare-cer en este estilo. La finalidad del texto escrito en este estilo es la de identificar una pantalla

GUI particular o un elemento en una pantalla GUI (p.e, un texto relacionado con una casilla deverificacin o un campo). Ejemplos:

Seleccione la casilla de verificacin Pedir contrasea si quiere que su salvapantallas pida unacontrasea antes de terminar.

nivel superior de un men en una pantalla o ventana GUI

Cuando vea una palabra con este estilo, significa que la palabra est en el nivel superior de unmen desplegable. Si hace clic sobre la palabra en la pantalla GUI, aparecer el resto del men.Por ejemplo:

Bajo Archivo en una terminal de GNOME, la opcin Nueva solapa le permite abrir mltiplesintrpretes de comandos de la shell en la misma ventana.

Si tiene que escribir una secuencia de comandos desde un men GUI, aparecern como en elsiguiente ejemplo:

Vaya a Botn del men principal (en el Panel) => Programacin => Emacs para iniciar eleditor de textos Emacs.

botn en una pantalla o ventana GUI

Este estilo indica que el texto puede encontrarse en un botn que se puede pulsar en una pantallaGUI. Por ejemplo:

Pulse el botn Anterior para volver a la ltima pgina Web que haya visitado.salida de pantalla

El texto en este estilo indica el texto desplegado en un intrprete de comandos de la shell, talescomo mensajes de error y respuestas a comandos. Por ejemplo:

Utilice el comando ls para visualizar los contenidos de un directorio. Por ejemplo:Desktop about.html logs paulwesterberg.png

Mail backupfiles mail reports

La salida de pantalla que le devuelvan como respuesta al comando (en este caso, el contenido deldirectorio) se mostrar en este estilo.

intrprete de comandos

El intrprete de comandos es el modo en el que el ordenador le indica que est preparado paraque usted introduzca algo, aparecer con el siguiente estilo. Ejemplos:

$


8/144

iv Introduccin

#

[stephen@maturin stephen]$

leopard login:

entrada del usuario

El texto que el usuario tiene que escribir, ya sea en la lnea de comandos o en una casilla de textode una pantalla GUI, se visualizar en este estilo. En el siguiente ejemplo, text se visualiza eneste estilo:

Para arrancar su sistema en el programa de instalacin en modo texto, necesitar escribir elcomando text en el intrprete de comandos boot:.

replaceable

El texto usado para los ejemplos, que se supone debe ser reemplazado con datosproporcionados por el usuario, usualmente se representa en este estilo. En el siguiente ejemplo,

version-number se visualiza en este estilo:

El directorio para la fuente del kernel es /usr/src/ version-number /, dondeversion-number es la versin del kernel instalado en este sistema.

Adicionalmente, usamos diferentes tipos de estrategias para llamar su atencin para determinadostipos de informacin. Dependiendo de lo importante que esta informacin sea para su sistema, estoselementos sern marcados como nota, sugerencia, importante, atencin o aviso. Por ejemplo:

Nota

Recuerde que Linux es sensible a maysculas y minsculas. En otras palabras, rosa no es lo mismoque ROSA o rOsA.

Sugerencia

El directorio /usr/share/doc/ contiene documentacin adicional de los paquetes instalados en susistema.

Importante

Si modifica el archivo de configuracin de DHCP, los cambios no surtirn efecto sino hasta quereinicie el demonio DHCP.

Atencin

No lleve a cabo tareas rutinarias como root utilice una cuenta de usuario normal a menos quenecesite usar una cuenta de usuario para administrar su sistema.


9/144

Introduccin v

Aviso

Tenga cuidado de solamente borrar las particiones Red Hat Enterprise Linux necesarias. Si eliminaotras particiones esto puede resultar en la prdida de datos o en un ambiente del sistema daado.

3. Active su suscripcin

Antes de que pueda acceder a cualquier informacin de mantenimiento de software o servicios y a lainformacin de soporte incluida con su suscripcin, debe activar su suscripcin registrndose con RedHat. El registro incluye los pasos siguientes:

Proporcione un nombre de conexin a Red Hat

Proporcione un nmero de suscripcin

Conecte su sistema

La primera vez que arranque su instalacin de Red Hat Enterprise Linux, se le pedir que se registrecon Red Hat utilizando el Agente de configuracin. Si sigue las indicaciones durante el Agente deconfiguracin, puede completar los pasos para la inscripcin y activar su suscripcin.

Si por alguna razn no puede terminar la inscripcin durante el Agente de configuracin (lo querequiere de acceso a la Internet), alternativamente puede completar el proceso de registro en lnea enhttp://www.redhat.com/register/.

3.1. Proporcione un nombre de conexin a Red Hat

Si no tiene un usuario de conexin a Red Hat puede crear uno cuando se le solicite durante el Agentede configuracin, o en lnea en:

https://www.redhat.com/apps/activate/newlogin.html

Un usuario de conexin Red Hat le permite acceder a:

Actualizaciones de software, erratas y mantenimiento a travs de Red Hat Network

Recursos de soporte tcnico de Red Hat, documentacin y base de datos de conocimiento

Si se le ha olvidado su usuario de conexin Red Hat, puede buscarlo en lnea en:

https://rhn.redhat.com/help/forgot_password.pxt

3.2. Proporcione su nmero de suscripcin

Su nmero de suscripcin est ubicado en el paquete en el que vino su pedido. Si su paquete noincluy un nmero de suscripcin, entonces su suscripcin fue activada por usted y se puede saltareste paso.

Puede suministrar su nmero de suscripcin cuando se le solicite durante el Agente de configuracino visitando http://www.redhat.com/register/.


10/144

vi Introduccin

3.3. Conecte su sistema

El Cliente de Registro de Red Hat Network le ayuda a conectar su sistema para que pueda comenzara recibir las actualizaciones y administrar su sistema. Hay tres formas de conectarse:

1. Durante el Agente de configuracin Marque las opciones Enviar informacin del hard-ware y Enviar lista de paquetes del sistema cuando se le pregunte.

2. Despus de terminar el Agente de configuracin Desde el Men principal, vaya a Her-ramientas del sistema, luego seleccione Red Hat Network.

3. Despus de completarse el Agente de configuracin Escriba el comando siguiente desde lalnea de comandos como usuario root.

/usr/bin/up2date --register

4. An hay ms

El Manual de seguridad de Red Hat Enterprise Linux es parte del esfuerzo y compromiso crecientede Red Hat de proporcionar soporte til y oportuno a los usuarios de Red Hat Enterprise Linux. Estemanual se actualizar en la medida en que surjan nuevas herramientas y metodologas de seguridad.

4.1. Envenos su opinin

Si encuentra algn error en el Manual de seguridad de Red Hat Enterprise Linux, o si ha pensado en

alguna forma de mejorar este manual, nos encantara escuchar sus comentarios. Por favor envie un in-forme a Bugzilla (http://bugzilla.redhat.com/bugzilla/ ) contra el componente rhel-sg.

Asegrese de mencionar el identificador del manual:

rhel-sg(ES)-4-Print-RHI (2004-09-30T17:12)

Si menciona el identificador del manual, sabremos exctamente cual versin del manual usted posee.

Si tiene alguna sugerencia para mejorar la documentacin, trate de ser lo ms especfico posible. Siha encontrado un error, por favor incluya el nmero de la seccin y algo del texto alrededor del errorpara que as lo podamos localizar rpidamente.


11/144

I. Una introduccin general a la Seguridad

Esta parte define informacin sobre la seguridad, su historia y la industria que se ha desarrollado paraabordarla. En esta parte tambin se discuten algunos de los riesgos que los usuarios o administradoresde computadoras pueden encontrar.

Tabla de contenidos

1. Generalidades sobre la Seguridad................................................................................................. 12. Ataques y vulnerabilidades ............................................................................................................ 9


12/144


13/144

Captulo 1.

Generalidades sobre la Seguridad

Debido a la creciente confianza en computadoras de red poderosas para los negocios y en llevar unseguimiento de nuestra informacin personal, las industrias se forman considerando de antemano laprctica de seguridad de la computacin y redes. Las corporaciones solicitan el conocimiento y habil-idades de los expertos para auditar los sistemas y ajustar soluciones para satisfacer los requerimientosoperativos de la organizacin. Puesto que la mayora de las organizaciones son dinmicas por natu-raleza, con trabajadores accesando los recursos informticos de la organizacin local y remotamente,la necesidad de ambientes computacionales seguros se ha vuelto cada vez ms relevante.

Desafortunadamente, la mayora de las organizaciones (as como tambin usuarios individuales) dejanla seguridad como algo para resolver luego, un proceso que es ignorado en favor de mayor poder,

mayor productividad y en las preocupaciones presupuestarias. La implementacin adecuada de laseguridad es a menudo realizada postmortem despus que ocurre una intrusin no autorizada. Losexpertos de seguridad consideran que el establecimiento de medidas adecuadas antes de conectar unsitio a una red insegura tal como la Internet, es una forma efectiva de frustrar la mayora de los intentosde intrusin.

1.1. Definicin de Seguridad computacional

La seguridad de computacin es un trmino general que cubre una gran rea de computacin y proce-samiento de la informacin. Las industrias que dependen de sistemas computarizados y redes paraejecutar sus operaciones y transacciones de negocios diarias, consideran sus datos como una parteimportante de sus activos generales. Muchos trminos y medidas se han incorporado a nuestro vocab-ulario diario en los negocios, tales como costo total de propiedad (total cost of ownership, TCO) ycalidad de servicios (QoS). Con estas medidas, las industrias calculan aspectos tales como integridadde los datos y alta disponibilidad como parte de los costos de planificacin y administracin de pro-cesos. En algunas industrias, como el comercio electrnico, la disponibilidad y confianza de los datospueden hacer la diferencia entre el xito y el fracaso.

1.1.1. Surgimiento de la seguridad computacional

Muchos lectores quizs recuerden la pelcula "Juegos de guerra," protagonizada por Matthew Broder-ick haciendo el papel de un estudiante de educacin secundaria que logra entrar en el supercomputadordel Departamento de Defensa (DoD) de los Estados Unidos y, sin darse cuenta, causa una amenazade guerra nuclear. En esta pelcula, Broderick utiliza un modm para conectarse con el computadordel DoD (llamado WOPR) y juega juegos con el software de inteligencia artificial que controla lossilos de misiles nucleares. La pelcula fue estrenada durante la "guerra fra" entre la antigua UnionSovitica y los Estados Unidos y fue considerada un xito en 1983. La popularidad de la pelculainspir a muchas personas y grupos a comenzar la implementacin de algunos mtodos que el jvenprotagonista utiliz para violar los sistemas restringidos, incluyendo lo que se conoce como war di-aling o ataque de marcado un mtodo de bsqueda de nmeros telefnicos para conexiones demodm analgico en un cdigo de rea definido y con una combinacin prefija del nmero.

Ms de 10 aos despus, despus de cuatro aos de bsquedas en diferentes jurisdicciones implicandoal Federal Bureau of Investigation (FBI) y con la ayuda de varios profesionales de computacin alo largo del pas, fue arrestado el infame maleante informtico (cracker) Kevin Mitnick y culpadocon ms de 25 cargos por fraude de computadores y dispositivos. Estos fraudes resultaron en unestimado de US$80 Millones en prdidas de propiedad intelectual y cdigo fuente de Nokia, NEC, SunMicrosystems, Novell, Fujitsu y Motorola. Para esa fecha, el FBI lo consider la ofensa criminal decomputacin ms grande en la historia de los EEUU. Mitnick fue apresado y sentenciado a 68 mesesen prisin por sus crmenes, de los cuales sirvi un total de 60 antes de obtener libertad condicional


14/144

2 Captulo 1. Generalidades sobre la Seguridad

el 21 de Enero del 2000. A Mitnick se le ha prohibido utilizar computadoras o hacer ningn tipo deconsultora relacionada con computadoras hasta el ao 2003. Los investigadores dicen que Mitnickera un experto en ingeniera social usando personas para ganar acceso a las contraseas y sistemasusando credenciales falsificadas.

La seguridad de la informacin ha evolucionado en los ltimos aos debido al incremento de la con-fianza en las redes pblicas para manejar informacin personal, financiera y otra informacin re-stringida. Hay numerosas instancias tales como los casos de Mitnick y Vladamir Levin (consulte laSeccin 1.1.2 para ms informacin) que llamaron la atencin de las organizaciones en diferentesindustrias a repensar la forma en que estas manejan la transmisin de la informacin. La popularidadde la Internet ha sido uno de los factores ms importantes que ha incitado e intensificado los esfuerzospara la seguridad de los datos.

Cada da hay ms personas que utilizan sus computadores personales para ganar acceso a los recursosque la Internet tiene que ofrecer. Desde investigaciones o recuperacin de la informacin hasta correoelectrnico y transacciones comerciales, la Internet ha sido reconocida como uno de los desarrollosms importantes del siglo 20.

La Internet y sus primeros protocolos, sin embargo, fueron desarrollados como un sistema basadoen confianza. Esto es, el Protocolo de Internet no fue diseado para ser seguro en s mismo. Noexisten estndares de seguridad aprobados incorporados en las comunicaciones TCP/IP, dejandolasabiertas a potenciales usuarios maliciosos y procesos en la red. Los desarrollos modernos han hechode las comunicaciones en Internet ms seguras, pero todava hay muchos incidentes que capturan laatencin a nivel nacional y nos alertan del hecho de que nada es completamente seguro.

1.1.2. Fechas en el desarrollo de la Seguridad computacional

Muchos eventos claves contribuyeron al nacimiento y ascenso de la seguridad en computacin. A

continuacin se listan los eventos ms importantes que llamaron la atencin sobre la seguridad de lasplataformas computacionales y su importancia hoy da.

1.1.2.1. Desde 1930 a 1940

Criptgrafos polacos inventan la mquina Enigma en 1918, un dispositivo rotor de cifrado elec-tromecnico el cual converta los mensajes de texto plano a un resultado encriptado. Orginalmentecreado para asegurar las comunicaciones bancarias, la milicia alemana reconoce el potencial deldispositivo para asegurar las comunicaciones durante la Segunda Guerra Mundial. Un matemticobrillante Alan Turing desarrolla un mtodo para romper los cdigos Enigma, permitiendo a las

fuerzas aliadas desarrollar Colossus, una mquina a la que a menudo se le otorga el crdito dehaber terminado la guerra un ao antes.

1.1.2.2. Los aos 60

Los estudiantes del Instituto de Tecnologa de Massachussets (MIT) formaron el Tech Model Rail-road Club (TMRC) y comenzaron a explorar y programar el sistema de computacin mainframede la escuela llamado PDP-1. El grupo eventualmente utiliz el trmino "hacker" (como experto eninformtica) en el contexto en el que es conocido hoy da.

El DoD crea la Red de la Agencia de Proyectos de Investigacin Avanzados (Advanced ResearchProjects Agency Network, ARPANet), la cual gana gran popularidad entre los crculos acadmicosy de investigacin como un conducto para el intercambio electrnico de datos e informacin. Estoprepar el camino para la creacin de las redes transportadoras conocidas hoy como Internet.

Ken Thompson desarrolla el sistema operativo UNIX, aclamado como el sistema operativo ms"amigable a hackers" debido a que sus herramientas de desarrollo y compiladores son fcilmente


15/144

Captulo 1. Generalidades sobre la Seguridad 3

accesibles y por la comunidad de usuarios que lo soporta. Aprximadamente en esa misma fecha,Dennis Ritchie desarrolla el lenguaje de programacin C, argumentado como el lenguaje de pro-gramacin de hacking en la historia de la computacin.

1.1.2.3. Los aos 70

Bolt, Beranek y Newman, un contratista de investigacin y desarrollo de computacin para el go-bierno y la industria, desarrolla el protocolo de comunicacin Telnet, una extensin pblica deARPANet. Esto abre las puertas al uso pblico de las redes de datos que antes estaban restringidasa los contratistas del gobierno y a investigadores. Telnet, sin embargo, se dice que es el protocoloms inseguro para las redes pblicas, de acuerdo a muchos investigadores de seguridad.

Steve Jobs y Steve Wozniak fundaron Apple Computer y comenzaron a comercializar la Computa-dora Personal (Personal Computer, PC). La PC es el trampoln para muchos usuarios maliciosospara aprender como violar sistemas remotamente usando hardware de comunicaciones comn en

las PCs tales como modms anlogos y marcadores de telfono.

Jim Ellis y Tom Truscott crearon USENET, un sistema tipo tablero de noticias para la comunicacinelectrnica entre usuarios dispares. USENET rpidamente se convirti en el forum ms popular parael intercambio de ideas en computacin, redes y, por supuesto, cracking.

1.1.2.4. Los aos 80

IBM desarrolla y mercadea PCs basadas en el microprocesador Intel 8086, una arquitectura rel-ativamente econmica que permite llevar la computacin de la oficina al hogar. Esto sirvi para

convertir a la PC en una herramienta comn y accesible, que era relativamente poderosa y fcil deutilizar.

El Protocolo de Control de Transmisin, desarrollado por Vint Cerf, es dividido en dos partesseparadas. El Protocolo de Internet nace de esta separacin y el protocolo combinado TCP/IP seconvierte en el estndar para todas las comunicaciones de hoy.

Basado en los desarrollos en el rea de phreaking, o explorando y haciendo hacking en el sistematelefnico, se crea la revista 2600: The Hacker Quarterly y comienza tpicos de discusin talescomo el hacking en computadoras y redes a una amplia audiencia.

El gang 414 (nombrado a partir del cdigo de rea donde vivan y hacan hacking) es atrapado porlas autoridades despus de 9 das interfiriendo con sistemas computacionales top-secret, como el

Laboratorio Nacional de Los Alamos, una facilidad de investigaciones nucleares.

La Legin de los Tontos y el Club de Computacin Caos son dos grupos de maleantes informti-cos pioneros que comenzaron a explotar las vulnerabilidades en redes de datos de computacin yelectrnicas.

El Acta de Abusos y Fraudes de Computacin de 1986 fue aceptada por el congreso basado en lasviolaciones de Ian Murphy, tambin conocido como el Capitn Zap, quien irrumpi en las computa-doras militares, rob informacin de las bases de datos de pedidos de mercancias de compaas yutiliz tableros telefnicos restringidos del gobierno para hacer llamadas telefnicas.

Basndose en el Acta de Abuso y Fraudes de Computacin, la corte sentenci a Robert Morris, unestudiante de universitario, por liberar el Gusano Morris en ms de 6000 computadores vulnerables

conectados a la Internet. El prximo caso ms prominente regulado bajo esta acta fue Herbert Zinn,un estudiante rezagado de bachillerato quin entr y abus los sistemas pertenecientes a AT&T yal DoD.

Basado en las preocupaciones de que el Gusano Morris podra ser replicado, el Equipo de respuestasde emergencias computacionales (CERT) es creado para alertar a los usuarios de computadoras delos problemas de seguridad en la red.


16/144


Clifford Stoll escribe The Cuckoos Egg, la cuenta de Stoll de crackers investigadores que ir-rumpieron en su sistema.

1.1.2.5. Los aos 90

ARPANet es desmantelada. El trfico desde esa red es transferido a la Internet.

Linus Torvalds desarrolla el kernel de Linux para usarse con el sistema operativo GNU; el am-plio desarrollo y la adopcin de Linux es en gran medida debido a la colaboracin de usuarios ydesarrolladores comunicndose a travs de Internet. Debido a sus races en Unix, Linux es mspopular entre hackers y administradores que lo encuentran til para construir alternativas seguras alos sistemas de herencia ejecutando sistemas operativos propietarios (cdigo cerrado).

Se crea el navegador grfico web y desencadena una demanda exponencial por acceso a Internet.

Vladimir Levin y sus cmplices transfieren ilegalmente US$10 Millones en fondos a diferentes

cuentas al irrumpir ilegalmente en la base de datos central de Citibank. Levin es arrestado por laInterpol y casi todo el dinero es recuperado.

Posiblemente el cracker ms famoso de todos es Kevin Mitnick, quien entr en diferentes sistemascorporativos, robando de todo, desde informacin personal de celebridades hasta ms de 20.000nmeros de tarjetas de crdito y cdigo fuente de software propietario. Es atrapado y sentenciadocon cargos de fraude y sirve 5 aos de prisin.

Kevin Poulsen y un cmplice desconocido interfieren con los sistemas telefnicos de una estacinde radio para ganar carros y premios en efectivo. Es culpado por fraude de computacin y senten-ciado a 5 aos de prisin.

Las historias de hacking y phreaking se han convertido en una leyenda, y muchos potenciales crack-

ers se renen en la convencin anual de DefCon para celebrar cracking e intercambiar ideas entreellos.

Un estudiante israel de 19 aos es arrestado y culpado por coordinar numerosos ataques y vio-laciones a los sistemas del gobierno de USA durante el conflicto del Golfo Prsico. Los oficialesmilitares lo llamaron "el ataque ms organizado y sistemtico" en los sistemas del gobierno en lahistoria de los USA.

El Fiscal General de Distrito Janet Reno, en respuesta al incremento de las violaciones en lossistemas del gobierno, estableci el Centro Nacional de Proteccin de Infraestructuras (NationalInfrastructure Protection Center).

Son tomadas las comunicaciones satelitales Britnicas y secuestradas por delicuentes desconocidos.El gobierno Britnico eventualmente recupera el control de los satlites.

1.1.3. La seguridad hoy da

En Febrero del ao 2000, se descarg un ataque de Denegacin de Servicios Distribuido (DistributedDenial of Service, DDoS) en varios de los sitios ms traficados de la Internet. El ataque dej a ya-hoo.com, cnn.com, amazon.com, fbi.gov, y muchos otros sitios completamente fuera del alcance delos usuarios normales. El ataque comprometi a los enrutadores por varias horas con grandes transmi-siones de paquetes ICMP, tambin llamado una inundacin de pings. Este ataque fue llevado a cabo

por agresores desconocidos usando programas especialmente creados y disponibles ampliamente quese encargan de escanear los servidores de red vulnerables, instalan aplicaciones cliente en los servi-dores llamadas troyanos, y programan un ataque con cada servidor infectado inundando a los sitiosvctima y dejndolos indisponibles. Muchos culpan el ataque en fallas fundamentales en la formaen que estan estructurados los enrutadores y los protocolos que usan para aceptar todos los datosentrantes, no importa donde o por qu motivos los paquetes sean enviados.


17/144


Esto nos trae al nuevo milenio, un momento en el que se estima que 945 millones de personas usan ohan usado Internet (Almanaque de la Industria de Computacin, 2004). Al mismo tiempo:

En un da dado, hay aproximadamente 225 incidentes graves de violaciones de seguridad reportados

al Centro de Coordinacin CERT en la Universidad de Carnegie Mellon1

En el ao 2003, el nmero de incidentes reportados al CERT salt a 137.529 de 82.094 en el 2002y de 52.658 en el 2001.2

El impacto econmico a nivel mundial de los tres viruses de Internet ms peligrosos de los ltimosdos aos combinan un total de US$13.2 mil millones. 3

La seguridad en computacin se ha convertido en un gasto cuantificable y justificable para todos lospresupuestos de IT. Las organizaciones que requieren integridad de sus datos y alta disponibilidad,obtienen las habilidades de administradores de sistemas, desarrolladores e ingenieros para asegurarla confiabilidad 24x7 de sus sistemas, servicios e informacin. Convertirse en vctima de usuariosmaliciosos, procesos, o ataques coordinados, es una amenaza directa al xito de una organizacin.

Desafortunadamente, la seguridad de sistemas y redes puede ser una proposicin difcil, requiriendoconocimiento intrincado de como una organizacin confia, utiliza, manipula y transmite su informa-cin. Entender la forma en que la organizacin lleva el negocio (y la gente que hace la organizacin)es primordial para implementar un plan de seguridad adecuado.

1.1.4. Estandarizar la seguridad

Las corporaciones en cada industria confan en las regulaciones y leyes colocadas por los cuerpos deestandarizacin, tales como la Asociacin Mdica Americana (American Medical Association, AMA)o el Instituto de Ingenieros Elctricos y Electrnicos (Institute of Electrical and Electronics Engineers,

IEEE). Los mismos ideales se mantienen para la seguridad de la informacin. Muchos consultoresde seguridad y fabricantes acuerdan con el modelo de seguridad estndar conocido como CIA, oConfidentiality, Integrity, and Availability, esto es: Confidencialidad, Integridad y Disponibilidad. Estemodelo de tres niveles es un componente aceptado en general para asesorar riesgos a la informacinconfidencial y para establecer polticas de seguridad. Lo siguiente describe el modelo de CIA enmayor detalle:

Confidencialidad La informacin confidencial slo debera estar disponible a un conjunto deindividuos predefinido. Las transmisiones no autorizadas y el uso de informacin debera ser re-stringido. Por ejemplo, la confidencialidad de la informacin asegura que la informacin personal ofinanciera de un cliente no sea obtenida por individuos no autorizados para propsitos maliciosos,

tales como robo de identidad o fraude con tarjetas de crdito.

Integridad La informacin no debera ser alterada en formas que la hagan incompleta o incor-recta. Los usuarios no autorizados deberan ser restringidos de la habilidad de modificar o destruirinformacin confidencial.

Disponibilidad La informacin debera estar disponible para los usuarios autorizados encualquier momento que estos la requieran. La disponibilidad es una garanta de que la informacinpueda ser obtenida con la frecuencia acordada y en el momento previsto. Esto es medido amenudo en trminos de porcentajes y acordado de manera formal en los Acuerdos de nivel deservicio (SLAs) usados por los proveedores de servicios de red y sus clientes corporativos.

1. Fuente: http://www.cert.org2. Fuente: http://www.cert.org/stats/3. Fuente: http://www.newsfactor.com/perl/story/16407.html


18/144


1.2. Controles de seguridad

La seguridad computacional a menudo se divide en tres categoras maestras distintas, comnmentellamadas controles:

Fsico

Tcnico

Administrativo

Estas tres amplias categoras definen los objetivos principales de una implementacin de seguridadapropiada. Dentro de estos controles hay sub-categoras que detallan an ms los controles y comoestos se implementan.

1.2.1. Controles fsicos

El control fsico es la implementacin de medidas de seguridad en una estructura definida usada paraprevenir o detener el acceso no autorizado a material confidencial. Ejemplos de los controles fsicosson:

Cmaras de circuito cerrado

Sistemas de alarmas trmicos o de movimiento

Guardias de seguridad

Identificacin con fotos

Puertas de acero con seguros especiales

Biomtrica (incluye huellas digitales, voz, rostro, iris, escritura a mano y otros mtodos automati-zados utilizados para reconocer individuos)

1.2.2. Controles tcnicos

Los controles tcnicos utilizan la tecnologa como una base para controlar el acceso y uso de datosconfidenciales a travs de una estructura fsica y sobre la red. Los controles tcnicos son mucho msextensos en su mbito e incluyen tecnologas tales como:

Encriptacin

Tarjetas inteligentes

Autenticacin a nivel de la red

Listas de control de acceso (ACLs)

Software de auditora de integridad de archivos

1.2.3. Controles administrativos

Los controles administrativos definen los factores humanos de la seguridad. Incluye todos los nivelesdel personal dentro de la organizacin y determina cules usuarios tienen acceso a qu recursos einformacin usando medios tales como:

Entrenamiento y conocimiento

Planes de recuperacin y preparacin para desastres

Estrategias de seleccin de personal y separacin


19/144


Registro y contabilidad de personal

1.3. ConclusinAhora que ha aprendido un poco sobre los orgenes, razones y aspectos de la seguridad, puede deter-minar el curso de accin apropiado con respecto a Red Hat Enterprise Linux. Es importante saber qufactores y condiciones conforman la seguridad para as poder planear e implementar una estrategiaadecuada. Con esta informacin en mente, se puede formalizar el proceso y la ruta se vuelve msclara a medida que se ahonda en los aspectos especficos del proceso de seguridad.


20/144



21/144

Captulo 2.

Ataques y vulnerabilidades

Para poder planear e implementar una buena estrategia de seguridad, primero debe tener en cuentaalgunos de los problemas que un atacante motivado y determinado explota para comprometer sussistemas. Pero antes de detallar estos problemas, debemos definir la terminologa usada para identificarun atacante.

2.1. Una breve historia sobre los hackers

El significado moderno del trmino hacker tiene sus origenes en los aos 60 y en el Club de Modelajede Trenes del Instituto de Tecnologa de Massachusetts (MIT), que diseaban conjuntos de trenes

de gran escala y detalle. Hacker fue el nombre usado para nombrar aquellos miembros del club quedescubran un truco brillante o que resolvan un problema muy complicado.

Desde ese momento el trmino hacker se ha utilizado para describir cualquier cosa desde un aficionadoa las computadoras hasta un programador virtuoso. Un rasgo caracterstico de un hacker es su disposi-cin de explorar en detalle cmo funcionan los sistemas de computacin con poca o ninguna moti-vacin externa. Los desarrolladores de software de la comunidad de Cdigo Abierto (Open Source),a menudo se consideran a ellos mismos y a sus colegas como hackers, como una forma de respeto.

Tpicamente, los hackers siguen una forma de tica de hackers que dicta que la bsqueda de informa-cin y experiencia es esencial y que compartir ese conocimiento es el compromiso de todo hacker conla comunidad. Durante esa bsqueda de conocimiento, algunos hackers disfrutan los retos acadmicos

de burlar los controles de seguridad en sistemas de computacin. Por esta razn, la prensa usualmenteutiliza este trmino para describir aquellos que accesan sistemas y redes ilegalmente sin escrpu-los, con intenciones maliciosas o criminales. El trmino ms adecuado para este tipo de hacker decomputadoras es cracker o maleante informtico (tambin se les conoce como pirata informtico,ciberpirata, etc.) un trmino creado por los hackers en la mitad de los 80 para diferenciar a las doscomunidades.

2.1.1. Escalas de grises

Dentro de la comunidad de individuos que intentan encontrar y explotar las vulnerabilidades en sis-temas y redes, se encuentran varios grupos distintos. Estos grupos se describen por el color del som-

brero que ellos usan cuando realizan sus investigaciones de seguridad, y este tono es un indicativode su intencin.

Un hacker de sombrero blanco es aquel que prueba sistemas y redes para examinar su rendimiento ydeterminar que tan vulnerables estos son ante un intruso. Usualmente, los hackers de sombrero blancotratan de violar sus propios sistemas o los sistemas de un cliente el cual lo ha empleado particular-mente para propsitos de auditora de seguridad. Los investigadores de seguridad y los consultores deseguridad profesional son dos ejemplos de hackers de sombrero blanco.

Un hacker de sombrero negro es sinnimo de un cracker. En general, los crackers estn menos en-focados en el lado de programacin y acadmico de violar un sistema. Con frecuencia los crackersutilizan programas especializados para violar vulnerabilidades conocidas en los sistemas para as de-scubrir informacin confidencial para beneficio personal o para producir daos a un sistema o red.

Por otro lado, un hacker de sombrero gris, tiene las habilidades e intenciones de un hacker de sombreroblanco pero en la mayora de las situaciones utiliza ese conocimiento para propsitos menos nobles.Un hacker de sombrero gris se puede ver como un hacker de sombrero blanco el cual a veces usa unsombrero negro para ejecutar su propia agenda.


22/144

10 Captulo 2. Ataques y vulnerabilidades

Los hackers de sombrero gris usualmente se suscriben a otra forma de cdigo de tica que dice que esaceptable entrar en un sistema siempre y cuando el hacker no cometa robo o viole la confidencialidad.Sin embargo, otros argumentan que el slo hecho de violar un sistema es por s mismo anti-tico.

No importa cual sea la intencin, es importante conocer las debilidades que un pirata intentar ex-

plotar. El resto del captulo se basar en estos problemas.

2.2. Amenazas a la Seguridad de la red

Los malos hbitos cuando se configuran los siguientes aspectos de una red pueden incrementar losriesgos de ataques.

2.2.1. Arquitecturas inseguras

Una red malconfigurada es un punto de entrada principal para usuarios no autorizados. Al dejar unared local abierta, confiable, vulnerable a la Internet que es altamente insegura, es casi como que dejaruna puerta abierta en un vecindario con alta criminalidad puede que no ocurra nada durante uncierto tiempo, pero eventualmente alguien intentar aprovecharse de la oportunidad.

2.2.1.1. Redes de difusin

Los administradores de sistemas a menudo fallan al darse cuenta de la importancia del hardware dela red en sus esquemas de seguridad. El hardware simple, tal como concentradores y enrutadores amenudo se basan en broadcast (difusin) o en el principio de sin-interruptores; esto es, cada vez queun nodo transmite datos a travs de la red a un nodo recipiente, el concentrador o enrutador hace

una difusin de los paquetes de datos hasta que el nodo recipiente recibe y procesa los datos. Estemtodo es el ms vulnerable para hacer engaos de direcciones (spoofing) al protocolo de resolucinde direcciones (arp) o control de acceso a la media (MAC) tanto por intrusos externos como porusuarios no autorizados.

2.2.1.2. Servidores centralizados

Otra falla potencial de redes es el uso de computacin centralizada. Una forma comn de reducircostos para muchos negocios, es el de consolidar todos los servicios a una sola mquina poderosa.Esto puede ser conveniente porque es fcil de manejar y cuesta considerablemente menos que unaconfiguracin de mltiples servidores. Sin embargo, un servidor centralizado introduce un punto nico

de falla en la red. Si el servidor central est comprometido, puede dejar la red totalmente intil o peoran, sensible a la manipulacin o robo de datos. En estas situaciones un servidor central se convierteen una puerta abierta, permitiendo el acceso a la red completa.

2.3. Amenazas a la seguridad de servidores

La seguridad de servidores es tan importante como la seguridad de la red debido a que los servidoresusualmente contienen una gran cantidad de informacin vital de la organizacin. Si un servidor est

comprometido, todos sus contenidos pueden estar disponibles para que un pirata los manipule o robea su gusto. Las siguientes secciones detallan algunos de los problemas ms importantes.


23/144

Captulo 2. Ataques y vulnerabilidades 11

2.3.1. Servicios inutilizados y puertos abiertos

Una instalacin completa de Red Hat Enterprise Linux contiene ms de 1000 aplicaciones y bibliote-cas de paquetes. Sin embargo, la mayora de los administradores de servidores optan por no instalartodos los paquetes de la distribucin, prefiriendo ms bien hacer una instalacin base de paquetes,

incluyendo varias aplicaciones de servidor.Es muy comn entre los administradores de sistemas realizar una instalacin del sistema operativosin prestar atencin a qu programas estn siendo realmente instalados. Esto puede ser problemticopuesto que se pueden instalar servicios innecesarios, configurados con sus valores por defecto y, posi-blemente activados por defecto. Esto puede causar que servicios no deseados, tales como Telnet,DHCP, o DNS, se ejecuten en un servidor o estacin de trabajo sin que el administrador se entere,lo cual en consecuencia puede causar trfico indeseado al servidor, o ms an, un camino de entradapotencial para los piratas. Consulte el Captulo 5 para ms informacin sobre cmo cerrar puertos ydesactivar servicios inutilizados.

2.3.2. Servicios sin sus parches

La mayora de las aplicaciones de servidores incluidas en la instalacin por defecto, son piezas de soft-ware robustas y slidas que ya han sido probadas. Estas han sido usadas en ambientes de produccinpor varios aos y su cdigo ha sido refinado en detalle y muchos de los errores han sido encontradosy reparados.

Sin embargo, no hay tal cosa como un software sin errores y siempre hay espacio para mejorar o refi-narlo. Ms an, el nuevo software usualmente no es probado tan rigurosamente como uno se esperara,debido a su reciente llegada al ambiente de produccin o porque quizs no es tan popular como otrasaplicaciones de servidores.

Los desarrolladores y administradores de sistemas a menudo encuentran fallas (bugs) en las aplica-ciones de servidores y publican la informacin de la falla en sitios webs de seguimiento de erroresy seguridad, tales como la lista de correo Bugtraq (http://www.securityfocus.com) o al sitio web delEquipo de Respuestas a Emergencias de Computacin (Computer Emergency Response Team, CERT)(http://www.cert.org). An cuando estos mecanismos constituyen una forma efectiva de alertar a la co-munidad sobre vulnerabilidades de seguridad, depende de los administradores de sistemas el aplicarlos parches de sistemas a tiempo. Esto es particularmente cierto puesto que los crackers tienen accesoa las mismas fuentes e intentarn utilizar esta informacin para violar sistemas que no hayan sidoemparchados. Una buena administracin de sistemas requiere vigilancia, seguimiento constante deerrores y un mantenimiento de sistemas apropiado para asegurar un ambiente computacional seguro.

Consulte el Captulo 3 para ms informacin sobre cmo mantener el sistema actualizado.

2.3.3. Administracin desatendida

Una de las amenazas ms grandes a la seguridad de los servidores son los administradores distra-dos que olvidan remendar sus sistemas. De acuerdo al Instituto de Seguridad y Administracin deSistemas de Redes (System Administration Network and Security Institute, SANS), la causa primariade la vulnerabilidad de seguridad de los sistemas es asignar personal poco entrenado para mantenerla seguridad y no proporcionar ni el entrenamiento ni el tiempo para permitir que ejecuten su tra-bajo1 Esto aplica tanto a los administradores nuevos como a aquellos demasiado confiados o pocomotivados.

Algunos administradores fallan en emparchar sus servidores y estaciones de trabajo, mientras queotros fallan en leer los mensajes del registro de eventos del kernel del sistema o trfico de la red.Otro error comn es dejar las contraseas o llaves a servicios sin modificar. Por ejemplo, algunasbases de datos tienen contraseas administrativas por defecto porque sus desarrolladores asumen que

1. Fuente: http://www.sans.org/newlook/resources/errors.html


24/144


el administrador de sistemas cambiar estas contraseas inmeditamente luego de la instalacin. Siun administrador de bases de datos no cambia las contraseas, hasta un cracker sin mucha experienciapuede utilizar una contrasea conocida por todo el mundo para ganar acceso con privilegios admin-istrativos a la bases de datos. Estos son slo unos ejemplos de como una administracin descuidadapuede llevar a servidores comprometidos.

2.3.4. Servicios intrnsecamente inseguros

An hasta la organizacin ms atenta y vigilante puede ser victima de vulnerabilidades si los serviciosde red que seleccionen son intrnsecamente inseguros. Por ejemplo, hay muchos servicios desarrolla-dos bajo la suposicin de que seran usados en una red confiable; sin embargo, esta supuesto falla tanpronto como el servicio se vuelve disponible sobre la Internet la cual es por s misma insegura.

Una categora de servicios de red inseguros son aquellos que requieren nombres y contraseas deusuario sin encriptar para la autenticacin.Telnet y FTP son dos de estos servicios. Un software dehuzmeo de paquetes que est monitoreando el trfico entre un usuario remoto y tal servicio, puedefcilmente robarse los nombres de usuario y contrasea.

Tales servicios pueden tambin ser presa fcil de lo que en trminos de seguridad se conoce como unataque de hombre en el medio. En este tipo de ataque, un pirata redirige el trfico de la red a que apuntea su mquina en vez del servidor destino. Una vez que alguien abre una sesin remota con el servidor,la mquina del atacante actua como un conductor invisible, quedndose tranquilamente capturandola informacin entre el servicio remoto y el usuario inocente. De esta forma un pirata puede reunircontraseas administrativas y datos sin que el servidor o el usuario se den cuenta.

Otro categora de servicios inseguros incluye sistemas de archivos de red y servicios de informacintales como NFS o NIS, los cuales son desarrollados especficamente para uso de LAN pero son,desafortunadamente, extendidos para incluir WANs (para los usuarios remotos). NFS por defecto, no

tiene ningn tipo de autenticacin o mecanismos de seguridad configurado para prevenir que un piratamonte un directorio compartido NFS y a partir de all accesar cualquier cosa dentro de el. NIS tambin,tiene informacin vital que debe ser conocida por cada computador de la red, incluyendo contraseasy permisos de archivos, dentro de una base de datos de texto plano ACSII o DBM (derivado de ASCII).Un cracker que gana acceso a esta base de datos puede tener acceso a todas las cuentas de usuarios enla red, incluyendo la cuenta del administrador.

Por defecto, Red Hat Enterprise Linux se despacha con estos servicios desactivados. Sin embargo,puesto que a menudo los administradores se ven forzados a usar estos servicios, es crtico que selleve a cabo una configuracin cuidadosa. Refirase al Captulo 5 para ms informacin sobre cmoconfigurar los servicios de forma segura.

2.4. Amenazas a la seguridad de estaciones de trabajo y PCs delhogar

Las estaciones de trabajo y PCs del hogar a menudo no son tan susceptibles a ataques como las redes oservidores, pero puesto que a menudo estas contienen informacin confidencial, tales como informa-cin de tarjetas de credito, pueden ser blancos para los crackers de sistemas. Las estaciones de trabajotambin pueden ser manipuladas sin que el usuario se de cuenta por un atacante y ser utilizadas comomquinas esclavas en ataques coordinados. Por estas razones, conociendo las vulnerabilidades deuna estacin de trabajo puede ahorrar a los usuarios el dolor de cabeza de reinstalar el sistema opera-

tivo o peor an, recuperarse del robo de datos.


25/144

Captulo 2. Ataques y vulnerabilidades 13

2.4.1. Malas contraseas

Las malas contraseas son una de las formas ms fciles para que un atacante obtenga el acceso aun sistema. Para ms detalles sobre cmo evitar los errores comunes cuando se crea una contrasea,consulte la Seccin 4.3.

2.4.2. Aplicaciones cliente vulnerables

A pesar de que un administrador puede tener un servidor completamente actualizado y seguro, esono significa que un usuario remoto est seguro cuando accese al mismo. Por ejemplo, si el servidorofrece servicios Telnet o FTP sobre una red pblica, un atacante puede capturar el texto plano de losnombres de usuarios y contraseas cuando estos son transmitidos a travs de la red y luego usar lainformacin de la cuenta para acceder a la estacin de trabajo remota del usuario.

An cuando se utilicen protocolos seguros, tales como SSH, un usuario remoto puede ser vulnerablea ciertos ataques si no mantienen sus aplicaciones cliente actualizadas. Por ejemplo, clientes v.1 SSH

son vulnerables a un ataque de redireccionamiento de X desde un servidor SSH malicioso. Una vezconectado al servidor, el atacante puede de manera cuidadosa capturar los golpes de teclas y losclics del ratn hechos por el cliente sobre la red. Este problema se repar con el protocolo v.2 SSH,pero depende del usuario hacer un seguimiento de qu aplicaciones tienen tales vulnerabilidades yactualizarlas si es necesario.

El Captulo 4 discute en ms detalles los pasos que un administrador y los usuarios en casa deberantomar para limitar las vulnerabilidades de sus estaciones de trabajo.


26/144



27/144

II. Configuracin de Red Hat Enterprise Linux para laSeguridad

Esta parte informa e instruye a los administradores, sobre las tcnicas y herramientas apropiadas a usarcuando se aseguran estaciones de trabajo Red Hat Enterprise Linux, servidores Red Hat EnterpriseLinux y recursos de red. Tambin discute cmo hacer conexiones seguras, bloquear puertos y serviciose implementar el filtrado activo para prevenir intrusiones en la red.

Tabla de contenidos

3. Actualizaciones de seguridad....................................................................................................... 174. Seguridad de las estaciones de trabajo........................................................................................ 235. Seguridad de servidores................................................................................................................436. Redes privadas virtuales............................................................................................................... 577. Cortafuegos.................................................................................................................................... 67


28/144


29/144

Captulo 3.

Actualizaciones de seguridad

A medida que se descubren fallas de seguridad en el software, este se debe actualizar para sellarcualquier posible riesgo de seguridad. Si el paquete es parte de una distribucin de Red Hat EnterpriseLinux actualmente soportada, Red Hat, Inc. est obligado a producir los paquetes de actualizacinque reparen las vulnerabilidades, tan pronto como sea posible. A menudo, el anuncio de una falla deseguridad viene acompaado de un remiendo (o el cdigo fuente que repara el problema). Este parchees aplicado al paquete de Red Hat Enterprise Linux, probado por el equipo de aseguramiento de lacalidad de Red Hat y luego distribuido como una actualizacin de erratas. Sin embargo, si el anunciono incluye un remiendo, un desarrollador de Red Hat trabajar con el mantenedor de ese software parareparar el problema. Despus que se repara el problema, el paquete es probado y distribuido como una

actualizacin de errata.Si se ha distribuido una actualizacin de errata para algn software usado en su sistema, se le re-comienda que actualice los paquetes afectados tan pronto como estos sean publicados para minimizarel tiempo en que su sistema est potencialmente vulnerable.

3.1. Actualizacin de paquetes

Cuando actualice software en un sistema, es importante descargar la actualizacin a partir de unafuente confiable. Un intruso puede fcilmente reconstruir una versin de un paquete con el mismonmero de versin como el que se supone va a reparar el problema, pero con una agresin de seguridaddiferente en el paquete y distribuirlo en Internet. Si esto ocurre, usando medidas de seguridad talescomo la verificacin de archivos contra el RPM original no detectar la agresin. Por esta razn, esmuy importante que solamente descargue RPMs desde fuentes confiables, tales como Red Hat, Inc. yverifique la firma del paquete para asegurarse de su integridad.

Red Hat proporciona dos formas de encontrar informacin sobre las actualizaciones de erratas:

1. Listadas y disponibles para su descarga en Red Hat Network

2. Listadas y separadas del sitio web de Erratas de Red Hat

Nota

A partir de la lnea de productos Red Hat Enterprise Linux, solamente se pueden descargar los pa-quetes de actualizaciones desde Red Hat Network. Aunque el sitio web de erratas de Red Hat con-tiene informacin sobre las actualizaciones, no contiene en realidad los paquetes para la descarga.

3.1.1. Uso de Red Hat Network

Red Hat Network le permite automatizar la mayora de los procesos de actualizacin. Determinacules paquetes RPM son necesarios para el sistema, los descarga desde repositorios seguros, verifica

la firma del RPM para asegurarse de que no han sido daados y los actualiza. La instalacin delpaquete puede ocurrir de inmediato o puede ser planificada durante un cierto perodo de tiempo.

Red Hat Network requiere un Perfil del sistema para cada mquina que desea actualizar. El Perfil delSistema contiene la informacin del hardware y software del sistema. Esta informacin se mantienecomo confidencial y no se entrega a nadie ms. Slo se utiliza para determinar cuales actualizacionesde errata son aplicables a cada sistema. Sin esta informacin, Red Hat Network no puede determinar


30/144

18 Captulo 3. Actualizaciones de seguridad

si su sistema necesita actualizaciones. Cuando una errata de seguridad (o cualquier tipo de errata) espublicada, Red Hat Network le enviar un correo electrnico con una descripcin de la errata as comotambin cules de sus sistemas son afectados. Para aplicar la actualizacin, puede utilizar el Agentede actualizacin de Red Hat o planificar para que el paquete sea actualizado a travs del sitio webhttp://rhn.redhat.com.

Sugerencia

Red Hat Enterprise Linux incluye la Herramienta de notificacin de Red Hat Network, un iconodel panel muy conveniente que muestra alertas notorias cuando hay una actualizacin para un sis-tema Red Hat Enterprise Linux. Consulte el siguiente URL para ms informacin sobre el aplique:http://rhn.redhat.com/help/basic/applet.html

Para aprender un poco ms sobre los beneficios de Red Hat Network, refirase al Red Hat Net-

work Reference Guide disponible en http://www.redhat.com/docs/manuals/RHNetwork/ o visite elsitio http://rhn.redhat.com.

Importante

Antes de instalar cualquier errata de seguridad, asegrese de leer cualquier instruccin especialcontenida en el informe de errores y ejectelas de la forma adecuada. Consulte la Seccin 3.1.5para ver instrucciones generales sobre cmo aplicar los cambios de una actualizacin de errores.

3.1.2. Utilizacin del sitio web de Erratas de Red Hat

Cuando se lanzan los informes de errata, estos son publicados en el sitio web de Erratas de RedHat en http://www.redhat.com/security/. Desde esta pgina, seleccione el producto y la versin de susistema y luego seleccione security en la parte superior de la pgina para slo desplegar los SecurityAdvisories de Red Hat Enterprise Linux. Si la sinopsis de alguna de las recomendaciones describe unpaquete usado en su sistema, pulse en la sinopsis para ver ms detalles.

La pgina de detalles describe las violaciones de seguridad y cualquier instruccin especial que sedeba llevar a cabo adicionalmente para actualizar el paquete y reparar el hueco de seguridad.

Para descargar el paquete actualizado, pulse en el enlace para iniciar una sesin a Red Hat Network,luego pulse el nombre del paquete y gurdelo al disco duro. Se recomienda que cree un nuevo direc-torio tal como /tmp/updates y guarde todos los paquetes descargados en el.

3.1.3. Verificar paquetes firmados

Todos los paquetes de Red Hat Enterprise Linux estn firmados con la llave GPG de Red Hat, Inc..GPG viene de GNU Privacy Guard, o GnuPG, un paquete de software libre utilizado para asegurarsede la autenticidad de los paquetes distribuidos. Por ejemplo, una llave privada (llave secreta) de RedHat bloquea el paquete mientras que la llave pblica desbloquea y verifica el paquete. Si la llavepblica distribuida por Red Hat no coincide con la llave privada durante la verificacin de RPM,puede que el paquete haya sido alterado y por lo tanto no se puede confiar en el.

La utilidad de RPM dentro de Red Hat Enterprise Linux trata automticamente de verificar la firmaGPG de un paquete RPM antes de instalarlo. Si no tiene la llave GPG de Red Hat instalada, instleladesde una ubicacin segura y esttica tal como un CD-ROM de Red Hat Enterprise Linux.


31/144

Captulo 3. Actualizaciones de seguridad 19

Asumiendo que el CD-ROM se encuentra montado en /mnt/cdrom, utilice el siguiente comandopara importarla a su llavero (una base de datos de llaves confiables en el sistema):

rpm --import /mnt/cdrom/RPM-GPG-KEY

Para desplegar una lista de todas las llaves instaladas para ser verificadas por RPM, ejecute el co-mando:

rpm -qa gpg-pubkey*

Para la llave Red Hat, la salida incluir lo siguiente:

gpg-pubkey-db42a60e-37ea5438

Para desplegar detalles sobre una llave especfica, utilice el comando rpm -qi seguido de la salidadel comando anterior, como se muestra en este ejemplo:

rpm -qi gpg-pubkey-db42a60e-37ea5438

Es extremadamente importante que verifique la firma de sus archivos RPM antes de instalarlos paraasegurarse de que la llave no ha sido alterada desde la entrega de Red Hat, Inc. de los paquetes. Paraverificar todos los paquetes descargados de una vez, escriba el comando siguiente:

rpm -K /tmp/updates/*.rpm

Para cada paquete, si se verifica exitsamente la llave GPG, el comando devuelve gpg OK. Si no esas, asegrese de estar utilizando la llave pblica correcta de Red Hat, as como tambin verificar lafuente del contenido. No se deberan instalar paquetes que no pasan las verificaciones de GPG pues

pueden haber sido alterados por terceros.

Despus de verificar la llave GPG y descargar todos los paquetes asociados con el informe de errores,instlelos como usuario root desde un shell.

3.1.4. Instalacin de paquetes firmados

La instalacin para la mayora de los paquetes se puede hacer sin percances (excepto para los paqueteskernel), con el comando siguiente:

rpm -Uvh /tmp/updates/*.rpm

Para los paquetes del kernel utilice el comando que sigue:

rpm -ivh /tmp/updates/ kernel-package

Reemplace kernel-package en el ejemplo anterior con el nombre del RPM del kernel.

Una vez que la mquina ha sido reiniciada sin problemas usando el nuevo kernel, se puede eliminarel viejo kernel utilizando el comando siguiente:

rpm -e old-kernel-package

Reemplace old-kernel-package en el ejemplo anterior con el nombre del RPM del kernelviejo.


32/144


Nota

No se requiere que elimine el viejo kernel. El gestor de arranque por defecto, GRUB, permite tenerinstalados mltiples kernels y seleccionarlos desde el men durante el arranque.

Importante

Antes de instalar cualquier errata de seguridad, asegrese de leer cualquier instruccin especialcontenida en el informe de errores y ejectelas de la forma adecuada. Consulte la Seccin 3.1.5para ver instrucciones generales sobre cmo aplicar los cambios de una actualizacin de errores.

3.1.5. Aplicar los cambios

Despus de descargar e instalar las erratas de seguridad a travs de Red Hat Network o del sitio webde Erratas de Red Hat, es importante que detenga el uso del software viejo y comience a utilizar elnuevo software. Como se lleve esto a cabo va a depender del tipo de software que se haya actualizado.La lista siguiente muestra las diferentes categoras generales de software y proporciona instruccionespara utilizar las versiones actualizadas luego de una actualizacin de paquetes.

NotaEn general, la forma ms segura de asegurarse que se est utilizando la versin ms reciente de unpaquete de software es reiniciando el sistema; sin embargo esta opcin no siempre est disponiblepara el administrador del sistema.

Aplicaciones

Las aplicaciones del espacio del usuario son cualquier programa que puede ser iniciado por unusuario del sistema. Tpicamente, tales aplicaciones son solamente utilizadas cuando un usuario,script o tarea automtica las lanza y no persisten por largos perodos de tiempo.

Una vez que tal aplicacin del espacio de usuario es actualizada, detenga cualquier instancia de laaplicacin en el sistema y lance el programa nuevamente para as utilizar la versin actualizada.

Kernel

El kernel es el componente de software central para el sistema operativo de Red Hat EnterpriseLinux. Se encarga de manejar el acceso a la memoria, el procesador y los perifricos as comotambin, planifica todas las tareas.

Debido a su rol central, el kernel no puede reiniciarse sin detener el computador. Por lo tanto,una versin actualizada del kernel no puede ser usada hasta que el sistema no se reinicie.

Bibliotecas compartidas

Las bibliotecas compartidas son unidades de cdigo, tales como glibc, que son usadas porun nmero de aplicaciones y servicios. Las aplicaciones que utilizan una biblioteca compartidatpicamente cargan el cdigo compartido cuando la aplicacin es inicializada, as cualquier apli-cacin que est utilizando la biblioteca debe ser detenida y relanzada.


33/144

Captulo 3. Actualizaciones de seguridad 21

Para determinar cules aplicaciones en ejecucin estan enlazadas a una biblioteca en particular,utilice el comando lsof, como se muestra en el ejemplo:lsof /usr/lib/libwrap.so*

Este comando devuelve una lista de todos los programas en ejecucin que estn usando TCP

wrappers para el control de acceso a mquinas. Por lo tanto, cualquier programa listado debe serdetenido y relanzado si el paquete tcp_wrappers es actualizado.

Servicios SysV

Los servicios SysV son programas del servidor persistentes, que son lanzados durante el procesode arranque. Ejemplos de servicios SysV incluyen sshd, vsftpd y xinetd.

Debido a que estos programas usualmente persisten en memoria, siempre y cuando la mquinaest encendida, cada servicio SysV actualizado, debe ser detenido y relanzado despus de unaactualizacin de paquetes. Esto se puede hacer usando la Herramienta de configuracin deservicios o conectndose como root en un indicador de comandos shell y ejecutando el comando/sbin/service como se muestra en el ejemplo siguiente:/sbin/service service-name restart

En el ejemplo anterior, reemplace service-name con el nombre del servicio, tal comosshd.

Consulte el captulo llamado Control de acceso a servicios en el Manual de administracin delsistema de Red Hat Enterprise Linux para ms informacin sobre la Herramienta de configu-racin de servicios.

Servicios xinetd

Los servicios controlados por el super servicio xinetd slo funcionan cuando hay una conexinactiva. Ejemplos de servicios controlados por xinetd incluyen Telnet, IMAP, y POP3.

Puesto que xinetd lanza nuevas instancias de estos servicios cada vez que se recibe una nuevapeticin, las conexiones que ocurren despus de una actualizacin son manejadas por el softwareactualizado. Sin embargo, si hay conexiones activas en el momento en que el servicio controladopor xinetd es actualizado, estas son servidas por la versin vieja del software.

Para matar todas las instancias viejas de un servicio controlado por xinetd, actualice el paquetepara el servicio y luego detenga todos los procesos que se esten ejecutando en ese momento. Paradeterminar si el proceso est en ejecucin, utilice el comando ps y luego use kill o killallpara detener todas las instancias actuales del servicio.

Por ejemplo, si hay erratas de seguridad para paquetes imap, actualice los paquetes, luego escriba

el comando siguiente como root en un indicador de comandos:ps -aux | grep imap

Este comando devuelve todas las sesiones activas de IMAP. Las sesiones individuales pueden serterminadas luego usando el comando que sigue:kill -9 PID

En el ejemplo anterior, reemplace PID con el nmero de identificacin del proceso (encon-trado en la segunda columna del comando ps) para una sesin IMAP.

Para matar todas las sesiones IMAP activas, utilice el comando que sigue:killall imapd

Consulte el captulo llamado TCP Wrappers y xinetd en el Manual de referencia de Red Hat

Enterprise Linux para informacin general sobre xinetd.


34/144



35/144

Captulo 4.

Seguridad de las estaciones de trabajo

La seguridad del ambiente Linux comienza con la estacin de trabajo. Bien sea que est bloqueandosu propia mquina personal o asegurando un sistema corporativo, una buena poltica de seguridadcomienza con el computador individual. Despus de todo, una red es tan segura como su nodo msdbil.

4.1. Evaluacin de la seguridad de la estacin de trabajo

Cuando evalue la seguridad de una estacin de trabajo Red Hat Enterprise Linux, considere lo sigu-iente:

Seguridad del BIOS y del gestor de arranque Puede un usuario no autorizado acceder fsica-mente a la mquina y arrancar como usuario nico o en modo de rescate sin una contrasea?

Seguridad de la contrasea Qu tan seguras son las cuentas de usuarios en la mquina?

Controles administrativos Quin tiene una cuenta en el sistema y cunto control administrativotienen?

Servicios de red disponibles Qu servicios estn escuchando peticiones desde la red y en verdaddeberan estar ejecutndose?

Cortafuegos (firewalls) personales Qu tipo de cortafuego o firewall, si existe, es necesario?

Herramientas de comunicacin para mejor seguridad Qu herramientas debera utilizar paracomunicarse entre estaciones de trabajo y cules se deberan evitar?

4.2. Seguridad del BIOS y del gestor de arranque

La proteccin con contraseas para el BIOS (o equivalentes al BIOS) y el gestor de arranque, puedenayudar a prevenir que usuarios no autorizados que tengan acceso fsico a sus sistemas, arranquendesde medios removibles u obtengan acceso como root a travs del modo monousuario. Pero lasmedidas de seguridad que uno debera tomar para protegerse contra tales ataques dependen tanto dela confidencialidad de la informacin que las estaciones tengan como de la ubicacin de la mquina.

Por ejemplo, si se utiliza una mquina en una exhibicin y esta no contiene datos confidenciales,entonces puede que no sea crtico prevenir tales ataques. Sin embargo, si se deja al descuido en lamisma exhibicin, la porttil de uno de los empleados con llaves privadas SSH sin encriptar parala red corporativa, esto puede conducir a una violacin de seguridad importante para la compaacompleta.

Por otro lado, si la estacin de trabajo est localizada en un lugar donde slo los usuarios autorizadoso de confianza tienen acceso, entonces la seguridad del BIOS o del gestor de arranque puede que nosea necesaria.

4.2.1. Contraseas del BIOSLas siguientes son las dos razones bsicas por las que proteger la BIOS de una computadora con unacontrasea 1:

1. Debido a que los sistemas BIOS varian de acuerdo al fabricante, algunos pueden que no soporten la protec-

cin con contraseas de ningn tipo, mientras que otras pueden soportar un tipo pero no el otro.


36/144

24 Captulo 4. Seguridad de las estaciones de trabajo

1. Prevenir cambios a las configuraciones del BIOS Si un intruso tiene acceso a la BIOS, puedeconfigurarlo para que arranque desde un diskette o CD-ROM. Esto les permite entrar en modode rescate o monousuario, lo que a su vez les permite plantar programas dainos en el sistemao copiar datos confidenciales.

2. Prevenir el arranque del sistema Algunas BIOSes le permiten proteger el proceso de ar-ranque con una contrasea. Cuando est funcionalidad est activada, un atacante esta forzado aintroducir una contrasea antes de que el BIOS lanze el gestor de arranque.

Debido a que los mtodos para colocar contraseas del BIOS varan entre fabricantes de equipos,consulte el manual de su computador para ver las instrucciones especficas.

Si olvida su contrasea del BIOS, usualmente esta se puede reconfigurar bien sea a travs de losjumpers en la tarjeta madre o desconectando la batera CMOS. Por esta razn, es una buena ideabloquear el chasis del computador si es posible. Sin embargo, consulte el manual del computador otarjeta madre antes de proceder a desconectar la batera CMOS.

4.2.1.1. Aseguramiento de plataformas diferentes a x86

Hay plataformas que utilizan programas diferentes para llevar a cabo tareas de bajo nivel ms o menossimilares a las del BIOS en sistemas x86. Por ejemplo, las computadoras basadas en Intel Itaniumutilizan la Extensible Firmware Interface (EFI).

Para ver las instrucciones sobre cmo proteger con contraseas estos programas, refirase a las in-strucciones del fabricante.

4.2.2. Contraseas del gestor de arranque

A continuacin se muestran las razones principales por las cuales proteger el gestor de arranque Linux:

1. Previene el acceso en modo monousuario Si un atacante puede arrancar en modomonousuario, se convierte en el superusuario de forma automtica sin que se le solicite lacontrasea de acceso.

2. Previene el acceso a la consola de GRUB Si la mquina utiliza GRUB como el gestor dearranque, un atacante puede usar la interfaz del editor para cambiar su configuracin o parareunir informacin usando el comando cat.

3. Previene el acceso a sistemas operativos inseguros Si es un sistema de arranque dual, un

atacante puede seleccionar un sistema operativo en el momento de arranque, tal como DOS, elcual ignora los controles de acceso y los permisos de archivos.

Red Hat Enterprise Linux para la plataforma x86, se entrega con el gestor de arranque GRUB. Parauna vista detallada de GRUB, consulte el captulo llamado El gestor de arranque GRUB en el Manualde referencia de Red Hat Enterprise Linux.

4.2.2.1. Protegiendo GRUB con contraseas

Puede configurar GRUB para solucionar los primeros dos problemas listados en la Seccin 4.2.2 aa-diendo una directiva de contrasea a su archivo de configuracin. Para hacer esto, primero seleccioneuna contrasea, luego abra un indicador de comandos del shell, conctese como root y escriba:

/sbin/grub-md5-crypt

Cuando se le pida, escriba la contrasea GRUB y presione [Intro]. Esto retornar un hash MD5 parala contrasea.


37/144

Captulo 4. Seguridad de las estaciones de trabajo 25

Luego, modifique el archivo de configuracin GRUB /boot/grub/grub.conf. Abra el archivo ydebajo de la lnea timeout en la seccin principal del documento, aada la siguiente lnea:

password --md5 password-hash

Reemplace password-hash con el valor retornado por /sbin/grub-md5-crypt2.

La prxima vez que el sistema arranque, el men de GRUB no le permitir accesar el editor o lainterfaz de comandos sin primero presionar [p] seguido por la contrasea de GRUB.

Lamentablemente, esta solucin no previene a un atacante de arrancar en un sistema operativo inse-guro, si se est en un ambiente de arranque dual. Para esto, necesita editar una parte diferente delarchivo /boot/grub/grub.conf.

Busque la lnea title del sistema operativo inseguro y aada una lnea que diga lock directamentedebajo de ella.

Para un sistema DOS, la estrofa debera comenzar con algo similar a:

title DOS

lock

Aviso

Debe tener una lnea password en la seccin principal del archivo /boot/grub/grub.conf para queesto funcione adecuadamente. De otra forma un atacante podr acceder a la interfaz del editor deGRUB y eliminar la lnea de bloqueo.

Para crear una contrasea diferente para un kernel o sistema operativo particular, aada una lnealock a la estrofa, seguido por una lnea de contrasea.

Cada estrofa que usted proteja con una contrasea nica debera comenzar con lneas similares a lasdel ejemplo siguiente:

title DOS

lock

password --md5 password-hash

4.3. Seguridad de contraseas

Las contraseas son el mtodo principal que Red Hat Enterprise Linux utiliza para verificar la iden-tidad de los usuarios. Por esta razn la seguridad de las contraseas es de suma importancia para laproteccin del usuario, la estacin de trabajo y la red.

Para propsitos de seguridad, el programa de instalacin configura el sistema para usar el Message-Digest Algorithm (MD5) y contraseas shadow. Se recomienda que no cambie estas configuraciones.

Si quita la seleccin de MD5 durante la instalacin, se utilizar el formato ms viejo Data Encryption

Standard (DES). Este formato limita las contraseas a ocho caracteres alfanumricos (no permitecaracteres de puntuacin o especiales) y proporciona un nivel encriptacin modesto de 56-bits.

2. GRUB tambin acepta c

Documents

Manual de Seguridad Linux Red Hat