Hardening usuarios smartfense

Hardening usuarios smartfense

1. Fabián A. Calvete [email protected] @ facalvete Hardening de Usuarios en Cloud Computing Cuando más Controles Técnicos No son Suficiente

2. Fabián A. Calvete Director & Co-fundador de SICLABS Ingeniero en Informática egresado de la Facultad del Ejército Especialista en Telecomunicaciones egresado del ITBA CISSP ISO 27.001 Leader Auditor Acerca del autor

3. Arquitectura Tradicional vs Nuevas Tecnologías El paso del tiempo ha introducido cambios sustanciales en la tecnología de los sistemas de cómputo: Antes: Acceso Remoto por Dialup Hoy: VPN over Internet ( IPsec o TLS) Antes: Telefonía Tradicional Hoy: VoIP / ToIP Antes: Servidores Físicos Hoy: Virtualización Antes Hoy

4. Cloud Computing Un nuevo paradigma que busca cambiar el modelo tradicional de los sistemas de cómputo, llevándolos a Internet. La gran ventaja de la nube: Portabilidad . La implementación del Cloud Computing: Reduce los Costos .

5. Cloud Computing (Cont.)

6. Cloud Computing (Cont.) Existen riesgos de Seguridad de la Información en Cloud Computing?

7. No todo es felicidad en el mundo del Cloud Computing. Cada día surgen nuevas vulnerabilidades y también nuevas amenazas con la capacidad de explotarlas. y viejas vulnerabilidades no remediadas! Cloud Computing (Cont.)

8. Cloud Computing (Cont.) Siempre existen riesgos de Seguridad de la Información

9. Noticias de la realidad

10. Activos de Información Información e-mail

11. Principios de Seguridad de la Información

12. Amenazas: Ciclo de vida Vulnerabilidad Agente de amenaza Amenaza Riesgo Contramedida Exposición Activo Produce Explota Ocasiona Puede dañar Sujeto Puede ser contrarrestado con Afecta

13. Amenazas: Vulnerabilidad de día 0

14. Amenazas: Exploits

15. Amenazas: APT

16. Amenazas: Spear Phising

17. Amenazas: Fuga de información

18. Amenazas: Ransomware

19. Vulnerabilidades de Capa 8: El Usuario Con el fenómeno de Cloud Computing, las organizaciones tienen un nuevo desafío: Capacitar a sus colaboradores para saber utilizar esta herramienta, con el objetivo de contribuir a mantener los datos corporativos seguros A medida que los ataques se vuelven más frecuentes y sofisticados, las empresas deben confiar en los empleados para proteger sus datos. Las soluciones de seguridad actuales descuidan el factor más vulnerable: El Usuario .

20. Ingeniería Social Ingeniería social describe el tipo de intrusión no técnico basado en la interacción humana. Usualmente involucra el engañar a las personas con el propósito de quebrar procedimientos de seguridad existentes. Busca obtener información sensible.

21. Ingeniería Social: Ayer

22. Ingeniería Social: Hoy

23. Concientización de usuarios: Definiciones Consiste en una acción que se relaciona con la toma de conciencia acerca de una determinada situación. Hacer conocer las consecuencias de las propias decisiones. Profundizar en el conocimiento de la realidad. Concientizar es un proceso que se ejecuta mediante un Plan anual . Educación != Capacitación != Concientización

24. Plan de Concientización: Estructura tipo Objetivos Alcance Responsabilidades Establecer una Línea Base Definir Motivos Particulares de Enseñanza (MPE: Tópicos) Desarrollar Contenidos Principales y de Refuerzo Seleccionar la Forma de Presentación de los contenidos Definir métricas para comprobar la efectividad del Plan

25. Plan de Concientización: Estructura tipo (Cont.) Establecer un Cronograma de ejecución Ejecutar el Plan según el cronograma establecido Realizar evaluaciones y mediciones de efectividad del Plan / Registro de evaluaciones y mediciones Determinar controles preventivos, detectivos y correctivos, en base al resultado obtenido en las mediciones Retroalimentar el proceso de Concientización (Mejora Continua)

26. Plan de Concientización: Objetivo Comprender el concepto de Información. Comprender los principios de Seguridad de la Información. Conocer las amenazas a la seguridad: Externas / Internas. Asimilar las vulnerabilidades del personal. Conocer la estrategia de la organización con respecto a la Seguridad de la Información.

27. Plan de Concientización: Alcance Determinar si el Plan abarcará al personal de la Sede Central o de todas / algunas Sucursales. Determinar las áreas participantes: RRHH Finanzas Marketing Legales, etc. Determinar el tipo de público asistente: Nivel Estratégico (Altos Mandos: Gerencias) Nivel Táctico (Mandos Medios: Jefes y Supervisores) Nivel Operativo (Todos los demás)

28. Plan de Concientización: Responsabilidades Seguridad de la Información Auditoría y Control TIC RRHH Asuntos Legales Toda aquella área que directa o indirectamente deba participar en la ejecución del Plan.

29. Plan de Concientización: Establecer una Línea Base Es probable que los usuarios de la organización tengan, en materia de Seguridad de la Información, Conocimientos, Hábitos y Comportamientos diferentes. Es recomendable medir, inicialmente, todos estos factores. Para medir conocimientos : Encuestas (Selección múltiple, Verdadero o Falso, etc.) Para medir Hábitos y Comportamientos : Simulaciones (Preferentemente No Intrusivas)

30. Establecer una Línea Base: Encuestas

31. Establecer una Línea Base: Encuestas

32. Establecer una Línea Base: Simulación Phishing

33. Establecer una Línea Base: Simulación Phishing

34. Establecer una Línea Base: Simulación Ransomware

35. Establecer una Línea Base: Simulación Ransomware

36. Plan de Concientización: MPE Introducción a Seguridad de la Información Política de Seguridad de la organización Acuerdo de Confidencialidad Passwords: Buenas Prácticas de uso Técnicas de Control de Acceso (AAA): Identificación Autenticación Autorización Accounting

37. Plan de Concientización: MPE (Cont.) Ingeniería Social Buenas Prácticas y Riesgos en el uso del Correo Electrónico Buenas Prácticas y Riesgos en el uso del acceso a Internet Phishing y URLs maliciosas Peligros en la descarga de archivos adjuntos Malware Ransomware, etc.

38. Plan de Concientización: Desarrollo de Contenidos Contenido Principal : Es el material que se utiliza para brindar las principales capacitaciones a los usuarios. Suele cubrir, en forma detallada, uno o más MPE o Tópicos. Debe resultar atractivo para los usuarios. Idealmente, no debería presentar conceptos directos; se debería ubicar al usuario en escenarios cotidianos de su día a día y mostrar cuál es la conducta segura en cada uno de ellos. Explicar cómo lo aprendido impacta en la vida personal de cada usuario.

39. Plan de Concientización: Desarrollo de Contenidos Contenido de Refuerzo : Permite complementar el contenido principal. Como los usuarios no tienen una ”Memoria Perfecta” no recordarán algo que no sea de su total interés. Resulta importante reforzar el contenido previamente enseñado. No deben intentar abarcar el 100% del contenido principal, sino recordar pequeñas partes del mismo, a fin de mejorar el proceso de asimilación.

40. Plan de Concientización: Presentación de Contenidos Contenido Principal : Capacitaciones presenciales Capacitación a través de recursos tecnológicos (Por ejemplo, SMARTFENSE ) Contenido de Refuerzo : Newsletters Posters Artículos en revistas o boletines empresariales Competencias con Incentivos

41. Presentación de Contenidos Principales

42. Presentación de Contenidos Principales (Cont.)

43. Presentación de Contenidos Principales (Cont.)

44. Presentación de Contenidos Principales (Cont.)

45. Presentación de Contenidos de Refuerzo: Newsletters

46. Presentación de Contenidos de Refuerzo: Posters

47. Presentación de Contenidos de Refuerzo: Posters (Cont.)

48. Plan de Concientización: Evaluaciones Realizar encuestas de calificación. Recoger métricas antes y después de cada acción (Evidencias). Observar el comportamiento del personal. Monitorear el uso de recursos. Auditar passwords.

49. Plan de Concientización: Evaluaciones – Simulaciones con Momentos Educativos

50. Plan de Concientización: Evaluaciones – Exámenes

51. Plan de Concientización: Evaluaciones – Exámenes

52. Plan de Concientización: Registro de Acciones - Exámenes

53. Plan de Concientización: Registro de Acciones – Simulación de Phishing

54. Plan de Concientización: Registro de Acciones – Simulación de Ransomware

55. Beneficios de un Plan de Concientización Importante reducción de la cantidad de acciones no autorizadas generadas por el personal de la organización. Incremento significativo de la efectividad de los controles implantados. Prevención de amenazas que explotan vulnerabilidades del personal. Ayuda a evitar el fraude, desperdicio y abuso de recursos informáticos.

56. Conclusiones Considerar la Concientización como un proceso anual que debe incluirse en el Plan de Seguridad de la organización. Demostrar compromiso por parte del nivel superior. La manera ideal de presentar los contenidos de un Plan de Concientización es aquella que sea atractiva para todos los usuarios. Realizar capacitaciones presenciales y a través del uso de Plataformas que automaticen el proceso de Concientización.

57. Conclusiones (Cont.) Muchos ataques exitosos podrían no haberlo sido si los usuarios hubieran estado Concientizados . La falta de un control técnico puede compensarse con un efectivo Plan de Concientización .

58. 58 ¿Y ahora qué? (Amenazas Avanzadas y Persistentes) – Forum 2015, Buenos Aires, Argentina Copyright © 2015 SIClabs Fabián A. Calvete [email protected] @facalvete