a systematic review of security patterns used to develop...

Presentador

Luis Enrique Sánchez- [email protected]

Autores

Roberto Ortiz – [email protected]

Santiago Moral Rubio – [email protected]

Javier Garzás – [email protected]

Eduardo Fernández-Medina – [email protected]

A Systematic Review of Security Patterns Used to Develop Security

Architectures

Bucaramanga, Colombia. CIBSI 2011

Índice

• Introducción

– Motivación de la Investigación

– Necesidades Detectadas

– Objetivo

• Investigación

– Análisis

– Resultados

– Conclusiones


Los avances tecnológicos conducen a una

mayor complejidad de los sistemas de

información, aumentando el impacto de los

ataques cibernéticos, ya que los atacantes

tienen más probabilidades de encontrar nuevas

vulnerabilidades en los sistemas, tales como

cross-site scripting, inyección de código,

ejecución de archivos maliciosos, etc.

Motivación de la Investigación


Figura 1: Comparación Anual de Denuncias Recibidas vía Website de IC3

IC3 (Internet Crime Complaint Center)



IC3 (Internet Crime Complaint Center)

Figura 2: Pérdida Anual en Dólares (en Millones) en relación con las denuncias anteriores



¿Por qué ocurren los ataques?

Los ataques cibernéticos se

producen principalmente al

aprovechar pequeños fallos

en los programas o en la

configuración de los sistema

de información.



• Mal diseño de los sistemas y de su seguridad • Escasa actualización de los sistemas • Insuficiente o nula monitorización de los sistemas • Cambios inadecuados en la configuración de los sistemas • Errores en el código de las aplicaciones

La mayoría de estas deficiencias son causadas por:



Procesos ejecutados

miles de veces al día

Esta es la principal

razón de la mayoría

de los problemas de

seguridad



Los fallos son

debidos a

errores humanos



Soluciones específicas y reutilizables para resolver eficazmente los problemas relacionados con las vulnerabilidades de seguridad, y así, minimizar el número de ataques satisfactorios contra los sistemas de una organización.

Necesidades


Minimizar los errores de diseño y de gestión de los sistemas de información de una organización de una forma estructurada y sistemática.

Propuesta


Teniendo en cuenta que la mayoría de los

problemas ocurren de forma similar en

diferentes contextos, soluciones genéricas a

estos problemas pueden ser expresadas

como patrones.

Contribución de los Patrones


Describen un problema recurrente,

proporcionando una solución

documentada y validada que puede

ser usada múltiples veces.



Combinan experiencia y buenas

prácticas en el diseño de sistemas

de información.



Optimizan el proceso de decisión a

la hora de resolver una necesidad

de seguridad recurrente.




Incorporan un extenso

conocimiento, en materia de

seguridad, de forma

estructurada.


Hemos llevado a cabo un profundo

análisis de un conjunto de algunas de las

propuestas más relevantes, extraídas

de una revisión sistemática realizada con

anterioridad, las cuales utilizan los

patrones de seguridad para

construir sistemas seguros.

Investigación


Este análisis se centra en la forma en

que estos patrones son utilizados, con el fin

de verificar si estas propuestas tienen en

cuenta una serie de consideraciones que

son necesarias cuando este tipo de

soluciones son introducidas en los sistemas

reales de una organización.

Investigación


Consideraciones

•Impacto en otros componentes

•Impacto en el sistema

•Coste de la solución

•Tiempo empleado

•Presentación de ejemplos reales

•Evaluación de la criticidad de los activos que deben ser

protegidos

•Cumplimiento de normas y regulaciones

Cada uno de estos aspectos son los criterios técnicos que deberían ser

tomados en cuenta, por los ingenieros de seguridad, a la hora de

construir un sistema de información seguro, ya que se relacionan con

parámetros tan importantes como el rendimiento, coste, tiempo,

eficacia o aprendizaje.


Satisface completamente

las consideraciones

planteadas

Se refiere brevemente

a estas consideraciones

No menciona ni considera

dichas consideraciones

SI (S)

PARCIALMENTE

(P)

NO (N)

Análisis de las Propuestas


Análisis de las Propuestas

1

2

1

0

3

2

2

1

4

0

0

4

0

0

9

5

10

11

4

9

9

0 2 4 6 8 10 12

Impact on others components

Impact on the system

Solution cost

Used time

Real examples

Criticallity of assets

Rules and regulations

N

P

F

Reglas y Regulaciones

Criticidad de los activos

Ejemplos reales

Tiempo estimado

Coste de la solución

Impacto en el sistema

Impacto en otros componentes

del sistema

S


A la mayoría de las propuesta principalmente

les falta…

Una evaluación de las compatibilidades y las

posibles consecuencias al utilizar el patrón

con relación a los otros componentes en el

sistema.

Resultados


Esta falta puede provocar incompatibilidades

con algunos elementos del sistema al no

detectarse a priori , haciendo así que

la solución fracase.

Resultados


A la mayoría de las propuesta principalmente

les falta…

Una evaluación detallada del impacto que el

uso del patrón puede tener en el sistema

en el que se introduce en términos de

almacenamiento, memoria consumida,

frecuencia de parcheo, procesamiento,

capacidad de ancho de banda, etc.

Resultados


La falta de análisis de estos parámetros

críticos podría poner en peligro la

disponibilidad del servicio.

Resultados


A la mayoría de las propuesta

principalmente les falta…

Una clasificación específica de la criticidad

del activo que debe ser protegido por la

solución expuesta por el patrón.

Resultados


Si este parámetro no es analizado, existe el

riesgo de no estimar adecuadamente las

medidas de seguridad a adoptar, lo que

conduce a inversiones excesivas o, en su

defecto, a dejar el sistema vulnerable a

cualquier ataque no considerado

anteriormente.

Resultados




Una estimación general de el coste o tiempo

necesario para implementar la solución

expuesta por el patrón.

Resultados


La ausencia de este análisis puede

causar que la organización descarte la

solución porque no es capaz de asumir los

costes relacionados a posteriori, o porque

sea incapaz de planificar una estrategia de

negocio, ya que el tiempo estimado en la

realización de los cambios no ha sido

definido con claridad.

Resultados




Consideraciones específicas en relación a

las limitaciones que pueden ser impuestas

por las normas y regulaciones de los

diferentes países donde residen los

sistemas de información de la organización.

Resultados


Este aspecto es tan critico como los demás,

pero afecta directamente a las organizaciones

internacionales.

Cuando el negocio de una organización depende,

entre otros factores, de las regulaciones del

país donde se encuentran sus sistemas, es

necesario incluir este criterio como una variable

en la ecuación, ya que puede condicionar la

solución final de seguridad en todo momento.

Resultados


Resultados

Todos estos parámetros son críticos, y por

lo tanto, deberían ser decisivos cuando se

utilizan patrones de seguridad en los

sistemas reales de una organización.

Descuidar su análisis puede hacer que la

solución fracase.


Conclusiones

A pesar de los resultados de este análisis, los

patrones de seguridad son, en nuestra opinión,

una buena herramienta con la

que homogeneizar las soluciones de

seguridad para problemas similares que son

resueltos por diferentes ingenieros, además de

proporcionar soluciones ágiles,

probadas, validadas y seguras a problemas de

seguridad recurrentes.


Conclusiones

• Creemos que es necesario que los patrones de

seguridad, que existen hasta la fecha, evolucionen

para reflejar cada una de las consideraciones

anteriores, a fin de permitir su fácil aplicación en

sistemas reales

• Además creemos que es necesario también, la

elaboración de una metodología de uso de estos

patrones para ayudar a los ingenieros de seguridad de

la información a construir sistemas de información

seguros dentro de organizaciones reales y

complejas, a través de un proceso sistemático


• En la actualidad, hemos publicado una nueva plantilla de descripción de

patrones para apoyar el diseño de arquitecturas de seguridad. Además,

hemos presentado una primera aproximación a una metodología basada

en patrones de seguridad para construir sistemas de información seguros

•En los próximos trabajos, nosotros crearemos patrones de seguridad usando la

plantilla mencionada, y mostrando ejemplos reales

•Por otro lado, estamos estudiando en detalle todas las etapas de la metodología

propuesta, presentando en cada etapa ejemplos prácticos que certifiquen su uso

en una organización real

•Finalmente, estamos trabajando en la construcción de una herramienta que de

soporte a la aplicación de la metodología y que sirva para controlar cada una de

las actividades, elementos y personas que toman parte en la construcción de un

sistema de información seguro

Próximos trabajos

a systematic review of security patterns used to develop...

Documents