Control de Acceso: Identificación, Autenticación y Autorización

Control de Acceso

Conceptos Fundamentales

Identificación: Acto de proveer credenciales que permitan determinar la identidad de un sujeto.

Autenticación: Comprobación de las credenciales recibidas con el objetivo de determinar si el sujeto es quien dice ser.

Autorización: Determinación de los permisos de acceso de un sujeto identificado y autenticado sobre un objeto.

Diferencias Clave

Identificación: Proceso de reconocer quién es el objeto.

Autenticación: Refiere a comprobar que se es quien dice ser. La autenticación se basa en algo que se sabe, algo que se tiene, o algo que se es. Si mezclamos al menos dos de ellas, tendremos una autenticación robusta.

Auditabilidad

Principio por el cual una acción específica y significativa se podría rastrear hasta llegar a un individuo o usuario determinado. Estas acciones incluyen actividades permitidas, así como violaciones e intentos de violaciones de las políticas de seguridad.

Técnicas de Control de Acceso

Discrecionales

Se refieren a los accesos dados al usuario sobre los datos, para que éste los maneje y asigne a su arbitrio.

Mandatorios

Son impuestos arbitrariamente por un administrador con mayores privilegios.

Métodos de Ataque

Métodos y mecanismos utilizados para intentar vulnerar los mecanismos de control de acceso implementados, buscando obtener capacidades y privilegios no autorizados.

Clasificación de Ataques

Clase A: Abuso de Logon

Acceso no autorizado a servicios restringidos de red mediante la violación de controles de acceso. Se trata de usuarios legítimos accediendo a servicios normalmente restringidos a ellos. Usualmente es considerado un ataque interno.

Clase B: Uso No Autorizado de la Red

Uso no autorizado de la red con fines no relacionados con el negocio. Considerado abuso del sistema. Es difícil marcar una línea que determine claramente qué es negocio y qué no.

Clase C: Monitoreo (Eavesdropping)

Intercepción no autorizada del tráfico de la red.

• Monitoreo Pasivo: Monitoreo subrepticio de transmisiones no autorizadas, ya sea por el emisor o receptor de la transmisión.
• Monitoreo Activo: Alteración/modificación de una transmisión con el objetivo de crear un covert signaling channel, o realizar un mapeo de la red en forma activa con el fin de obtener información estructural de la misma (probing).

Clase D: Negación de Servicios (DoS)

Negación de Servicios y otras interrupciones de servicios. Objetivo: disponibilidad de la red/sistema. Normalmente realizado mediante la sobrecarga de una red/sistema: Slammer. Distributed DoS.

¿Quién Materializa Estas Amenazas?

Personas

Personal, Ex-empleados, Curiosos, Crackers, Terroristas, Intrusos, Remunerados.

Amenazas Lógicas

Software incorrecto, Herramientas de Seguridad, Puertas Traseras, Bombas Lógicas, Canales Cubiertos, Virus, Gusanos, Caballos de Troya.