1.1. Quizá uno de los más importantes elementos de proteccion de la información, es definir qué sujetos tienen acceso sobre los objetos, la finalidad del control de acceso es típicamente descrito por la abreviatura AAA (Authentication, Authorization, Auditing -Autenticación, autorización y Auditoría). Autenticación es la primera meta del control de acceso, ésta asegura que el usuario sea quien dice ser, autorización define los permisos que posee el usuario dentro del sistema y auditoría determina un seguimiento de las actividades que hace el usuario. Se utilizan definiciones como: Objeto; cualquier ente pasivo que contiene información (cualquier archivo). Sujeto; cualquier ente activo que funciona en nombre de los usuarios (proceso, servicio, tarea, sistema, etcétera).
2. Métodos de autenticación
2.1. Los métodos de autenticación son los caminos que se tienen para comprobar la identidad de un sujeto, de manera general se tiene cuatro factores de autenticación, algo que se tiene, algo que se sabe, algo que se es y por la ubicación física. En días presentes se dice que un sistema de autenticación es robusto si mezcla dos o más factores de autenticación, un ejemplo claro de este mecanismo es el que emplean actualmente algunos bancos para realizar transferencias bancarias al emplear algo que se sabe por medio de una contraseña y algo que se tiene por medio de un token. La autenticación hoy en día se puede realizar por cualquiera de los siguientes cuatro factores, o en ocasiones con la combinación de éstos. Algo que se sabe (Contraseñas). Algo que se es (Biometría). Algo que se tiene (Por ejemplo un token). Por la ubicación física (Por ejemplo coordenadas geográficas).
3. Planeación de la seguridad en red
3.1. La implementación de seguridad en cómputo no sólo requiere recursos tecnológicos, se deben considerar procesos de entrenamiento y recursos humanos especializados, esta meta es difícil de alcanzar debido a los constantes cambios. Con el paso de los años se han desarrollado nuevos ataques cada vez más sofisticados para explotar vulnerabilidades tanto en el diseño de las redes TCP/IP, en la configuración, operación de los equipos y sistemas que conforman las redes conectadas a internet. Estos nuevos métodos de ataque se han automatizado, por lo que en muchos casos sólo se necesita un conocimiento técnico muy básico para realizarlos. Cualquier usuario con una conexión a internet tiene acceso hoy en día a numerosas aplicaciones para realizar estos ataques y las instrucciones necesarias para ejecutarlos.
4. Defensa perimetral
4.1. El modelo de defensa perimetral es una analogía a un castillo rodeado por una fosa, cuando se utiliza este modelo en la seguridad de una red, las organizaciones aseguran o fortalecen los perímetros de sus sistemas y los límites de sus redes, en sí la defensa perimetral es un conjunto de medidas, estrategias, técnicas que permiten defender y establecer un monitoreo de la parte más exterior de la red, los mecanismos más utilizados para establecer perímetros son los firewalls, IDS, VPN, DMZ y NAT. Permite una administración centralizada de la red, ya que se concentran los esfuerzos en algunos pocos puntos de acceso que definen al perímetro. Es importante mencionar que este modelo no hace nada para proteger los sistemas de ataques internos, puede presentar fallas eventuales como cualquier otro sistema.
5. Simplicidad
5.1. Se tiene el entendido de que mientras más grande sea un sistema, los mecanismos de seguridad que deberán de implementarse serán de la magnitud del sistema, pero los protocolos de administración a emplear deberán ser elegidos solo aquellos que se planeen utilizar, ya que de lo contrario se generarán más errores, debido a más configuraciones, puntos vulnerables y falta de mantenimiento principalmente, lo que como consecuencia trae que posiblemente existan agujeros de seguridad no conocidos que un atacante pueda explotar, por más complejos que sean. La simplicidad de los sistemas de seguridad es un factor importante de una sólida defensa de red, particularmente de los sistemas de seguridad de red a nivel de aplicación, no deberá tener funcionalidades desconocidas y deberá mantenerse lo más simple posible.
6. Servicios seguros
6.1. Los servicios seguros brindan mayor confiabilidad en sus procesos, dentro de éstos se encuentran integridad, confidencialidad, no repudio, autenticación, control de acceso y disponibilidad. Muchos de los mecanismos de seguridad que se emplean actualmente pueden ser utilizados para provocar un ataque cuando no son configurados de manera adecuada, errores propios de sistema y vulnerabilidades aún no descubiertas, por esta razón es importante contemplar las debilidades conocidas que poseen los protocolos y mecanismos de seguridad que se empleen, el escenario donde se implementará y una buena configuración, esto con la finalidad de conocer puntos débiles en ellos y encontrar la manera de protegerlos. Aun así el uso de mecanismos de seguridad con un buen funcionamiento tienen su parte negativa, por ejemplo, el hecho de utilizar un canal cifrado, permite a los puntos involucrados mantener una comunicación por un canal seguro, pero qué pasa si es comprometido uno de los puntos, en este caso el cifrado no protege el resguardo de la contraseña, lo que permite al atacante utilizar este canal para la finalidad que él desee, además por ser un canal seguro, las operaciones y comandos que realice el atacante no podrán ser analizados de manera directa, generando un problema en las bitácoras. En el ejemplo anterior se plantea una debilidad de emplear canales seguros, la solución propuesta sería generar bitácoras de los sistemas y las operaciones que realicen todos los usuarios.
