-: En esta lección
vamos a centrarnos en la supervisión y la auditoría.
Empecemos por la supervisión.
Cuando hablamos de supervisión, uno
de los principales trabajos de un analista de seguridad
es realmente supervisar la red.
Somos como detectives.
Intentamos eliminar todo
lo que no nos parece correcto, y
esto puede hacerse manualmente o de forma automatizada.
En la actualidad, syslog es un protocolo que permite a distintos
aparatos y aplicaciones de software transmitir sus logs
o registros de eventos a un servidor centralizado.
Ahora syslog va a seguir un modelo cliente servidor estándar.
Y este es el estándar de facto para el registro de eventos
de sistemas distribuidos a través de una red.
Vas a ver syslog en uso en muchos de los sistemas en
los que vas a trabajar a diario.
Ahora syslog funciona en la mayoría de los sistemas operativos
y en la mayoría de los equipos de red.
Así que tanto si utilizas un router Cisco como
si usas una máquina Windows o un servidor Linux, todos
ellos pueden utilizar syslog.
Ahora, cuando devolvemos estos mensajes,
¿qué aspecto tiene un mensaje syslog?
Bueno, un mensaje syslog va a contener un par de cosas.
Contiene un código PRI, que es un código de prioridad.
Contiene una cabecera y una parte de mensaje.
Hablemos de cada uno de ellos.
En primer lugar, tenemos este código PRI, esta prioridad,
y esto va a ser calculado sobre la base de la instalación
y el nivel de gravedad de los datos.
A continuación, tenemos un encabezado
y el encabezado va a contener la marca de tiempo
del evento y el nombre del host.
Así que sabemos de dónde vino y qué hora era.
Y, por último, tenemos la parte del mensaje, que
contiene el proceso de origen del evento y el contenido
relacionado, básicamente qué datos han sucedido y sobre qué nos quiere
informar.
Y esa es la idea aquí con la parte del mensaje.
Este es el meollo de este mensaje.
Ahora, cuando nos ocupamos de
syslog, hay un par de inconvenientes en la versión original.
El protocolo original se basaba en UDP.
Ahora bien, esto puede causar problemas de entrega en redes congestionadas
porque UDP es un protocolo de "disparar y olvidar".
Lo envía y no espera respuesta
ni acuse de recibo.
Y entonces simplemente asume que llegó allí.
Si usted tiene una red congestionada,
puede tener datos que se están cayendo
y por lo tanto su información no va a llegar al servidor
de registro y no se registrará.
Al principio, esto podía estar bien, porque la
gente asumía que todos los
miembros de la red eran de confianza,
pero hoy en día no queremos eso.
Queremos asegurarnos de que nuestros datos llegan allí.
Así que vamos a tener que encontrar una solución para esto.
Lo segundo es que no hay muchos controles
de seguridad básicos.
No había nada como encriptación o autenticación
incluido por defecto con syslog.
Y esto también era otro inconveniente.
Así que en las implementaciones modernas de syslog,
hemos corregido estas cosas.
Ahora, debido a estos problemas de seguridad,
nuestras implementaciones de syslog más recientes han añadido un montón
de características y capacidades diferentes.
Y aquí vamos a hablar de un par de ellas.
En primer lugar, las nuevas implementaciones utilizan TCP
para una entrega coherente.
De esta forma, si la red se congestiona y ese
mensaje no puede llegar, lo
volverá a entregar una y otra vez porque
está utilizando TCP.
La segunda mejora, las implementaciones más recientes,
pueden utilizar TLS, o seguridad de la capa de transporte, para
cifrar los mensajes que se envían a los servidores.
De ese modo, los datos en tránsito no pueden
ser leídos por otra persona en la red.
Sólo puede ser leído por el endpoint que lo
envió y el servidor que lo recibe.
Lo tercero es que
las implementaciones más recientes también utilizan MD5 y SHA1 para
proporcionar autenticación e integridad.
De este modo, los mensajes pueden tener autenticación
e integridad mientras transitan por tu red
para asegurarte de que nadie los manipula.
De nuevo, muchas otras características.
Pero no me voy a centrar demasiado en este conjunto,
porque realmente los tres grandes que nos importan es
que hemos pasado a TCP para una entrega consistente.
Hemos pasado a TLS para el cifrado, y
empezamos a utilizar MD5 y SHA1 para la autenticación
y la integridad.
Ahora, esta nueva versión del servidor
suele denominarse syslog-ng, por syslog next generation,
o rsyslog.
Ahora, lo último que quiero mencionar sobre
syslog es que syslog se utiliza a menudo para significar tres cosas.
Puede referirse al protocolo por el que enviamos los datos.
Puede referirse al servidor, como en un servidor syslog, o
puede referirse a las propias entradas de registro,
como en los datos syslog.
La gente a menudo dice simplemente syslog
y se refiere a los tres, o a cualquiera de estos tres,
dependiendo del contexto.
Así que ten cuidado con eso
cuando escuches a la gente hablar en la
industria para asegurarte
de que entiendes cuál de los tres están hablando
de SNMP es el siguiente.
SNMP es el protocolo simple de gestión de redes.
Es un protocolo TCP que ayuda a supervisar los dispositivos
y ordenadores conectados a la red.
SNMP está incorporado en los sistemas de gestión y monitorización
de redes y se utiliza mucho en el concepto de gestión
y monitorización.
SNMP se divide en tres componentes.
Están los dispositivos gestionados, el agente
y los propios sistemas de gestión de red.
Hablamos de dispositivos gestionados.
Se trata de ordenadores y otros dispositivos conectados
a la red que son supervisados mediante el uso
de agentes por un sistema de gestión de red.
Los agentes son software que se carga en un dispositivo gestionado.
Y esto nos permite redirigir la información
al sistema de gestión de red que va a
realizar la supervisión.
Y un sistema de gestión de red, o NMS, es el software
que se ejecuta en uno o varios servidores y que
controla la supervisión
de todos los dispositivos y ordenadores conectados
a la red.
SNMP es el pegamento que hace que los tres se
comuniquen entre sí, utilizando el protocolo SNMP.
¿Qué aspecto tiene todo esto dentro de la red?
Bueno, aquí en la pantalla, se puede ver un breve diagrama.
A la izquierda tenemos nuestra estación de gestión de red,
o NMS, que forma parte de nuestro sistema de gestión de red.
Esto va a actuar como nuestro gestor y
va a enviar y recibir mensajes a todos
los dispositivos gestionados a través de la red,
tus routers, tus switches y tus servidores, ¿verdad?
Ahora, cuando quiera información,
enviará una petición get, y entonces
esos dispositivos enviarán información de vuelta usando
una petición set.
Ahora también hay algo llamado solicitud de trampa,
que va a recibir información no solicitada de esos
dispositivos de gestión, donde sólo
envían información según sea necesario
a intervalos periódicos.
Así que cuando realizas toda esta gestión de red utilizando SNMP,
tienes dos opciones donde enviar los datos.
Puedes enviarla a través de la red que estás utilizando,
lo que se conoce como comunicación en banda,
o puedes enviarla fuera de banda.
Ahora, cuando lo haces en banda,
significa que vas a enviar estos datos de gestión
a través de la misma red que transporta la información
corporativa y los datos normales.
Es más barato y fácil, pero menos seguro.
Ahora, para estar más
seguro, debes crear una red fuera de banda.
Se trata de una red secundaria en la que
tiene lugar toda la gestión, pero sigues
teniendo esa red primaria en banda en la que se
producen todos los datos que van a obtener los
usuarios.
La gestión debe realizarse siempre
en una red fuera de banda porque aumenta la seguridad y saca
esa función de gestión del lugar donde los usuarios
pueden tocarla o verla.