Auditor

1
Auditoría de RedesAUD 721Módulo 3

• Carmen R. Cintrón Ferrer - 2004, Derechos
  Reservados

2
Contenido Temático

• Tecnología de redes
• Planificación y evaluación de redes
• Seguridad y protección de redes
• Integración de peritos técnicos
• Proceso de auditoría de redes
• Informe de auditoría de redes

3
Planificación y evaluación de RedesTercer módulo

• Planificar
• Analizar o Actualizar
• Adoptar Plan de Implantación
• Adquirir e implantar infraestructura
• Administrar
• Evaluar uso
• Proyectar para su crecimiento

4
Planificación de RedesConsideraciones principales

• Determinar necesidades
• Planificar configuración
• Seleccionar aplicaciones para la red
• Estimar tamaño de la red
• Determinar ancho de banda requerido
• Identificar posibles consultores/proveedores
• Documentar proceso

5
Planificación de RedesConsideraciones principales

• Necesidades
• Tipo de aplicación
• Tipo de servicios/tráfico
• Volumen de transacciones
• Tiempo de respuesta
• Cantidad de conexiones y ubicación
• Actuales
• Proyectadas (5-10 años)
• Tipo(s) de infraestructura(s)
• Distancia entre segmentos

6
Planificación de RedesConsideraciones principales

• Ancho de banda
• Voz, datos, video
• Video conferencias
• Audio/video streaming
• Velocidad de transmisión
• Confiabilidad (reliability)
• Riesgo de pérdida

7
Planificación de RedesConsideraciones principales

• Identificar e integrar consultores
• Configuración
• Administración
• Conexión a Internet (ISP)
• Primario/secundario
• Local loop Port
• Conexiones Inalámbricas
• Seguridad

8
Planificación de RedesConsideraciones principales

• Documentación
• Arquitectura y configuración
• Prioridades de uso/servicio
• Regular (Permitir o denegar)
• Tipos de tráfico
• Tipos de protocolo
• Ancho de banda por tipo de usuario/servicio
• Navegación local o en Internet
• Problemas o situaciones confrontadas
• Alternativas consideradas
• Soluciones adoptadas y justificación
• Proyecciones anticipadas
• Plan de crecimiento
• Plan de sustitución

9
Planificación de RedesOtras Consideraciones

• Análisis de costo efectividad
• Conexión
• Servidores
• Componentes de conexión
• Proporción de demanda frente a oferta
• Disponibilidad
• Seguridad
• Apoyo a usuarios
• Integración de video y voz

10
Analizar o Actualizar RedesConsideraciones
principales

• Inventario de equipo integrado a la red
• Necesidades particulares
• Actualización (Upgrade)
• Obsolescencia
• Requerimientos
• Avalúo de bitácoras de transacciones
• Ejecución (Performance)
• Identificación de cuellos de botella
• Identificación de periodos pico
• Identificación de transacciones sospechosas
• Identificación de periodos sin servicio o
  interrupciones

11
Analizar o Actualizar RedesConsideraciones
principales

• Inventario de servicios
• Consumo de recursos
• Consumo de ancho de banda
• Volumen de tráfico
• Tipo de puertos/protocolos
• Cambio en servicios
• Aumento potencial en servicios
• Uso adecuado de servicios
• Avalúo de seguridad
• Autenticación de usuarios
• Ataques internos/externos
• Propagación virus e impacto en red
• Detección de intrusos

12
Plan de Implantación

• Selección de proveedores
• Itinerario de implantación
• Integración de consultores
• Métricas previo a la instalación
• Pruebas de integración
• Planificación de instalación (transición)
• Adiestramiento a usuarios y técnicos
• Métricas luego de la instalación
• Documentación

13
Adquirir e instalar infraestructura de la Red

• Servicios de conexión
• Tipo(s) de servicio
• Capacidad de crecimiento
• QoS requerido al proveedor
• Redundancia en el GPOP del proveedor
• IPs y Registro de dominio
• Disponibilidad de tiempo en respaldo (24x7)
• Servicios de instalación y configuración equipo
• Servicios de administración y seguridad
• Respaldo recuperación ante eventos desastrosos

14
Adquirir e instalar infraestructura de la Red

• Componentes de conexión
• Estándares institucionales
• Capacidad de control y manejo
• Capacidad de crecimiento
• Servidores

15
Administración de la Red

• Responsabilidad primaria
• Garantizar la operación a los niveles que
  requieran las necesidades de los usuarios
• Áreas que comprende
• Ejecución y optimización
• Seguridad en las operaciones y los sistemas
• Apoyar usuarios en actividades respaldadas
• Estrategias y actividades de resguardo
• Disponibilidad continua

16
Administración de la Red

• Equipo de trabajo
• Especialistas en los componentes de la red
• Router(s)
• Firewall(s)
• Switch(s)
• Especialistas en sistemas operativos de la red
• Especialista(s) en conexión inalámbrica
• Oficial de Seguridad
• Personal de respaldo

17
Administración de la Red

• Equipo/programa para analizar uso de la red
• Protocolo estándar Simple Network Management
  Protocol (SNMP)
• Equipo dedicado o estaciones de trabajo
• Recoge mensajería de estatus de los dispositivos
  y analiza los mensajes
• Programación para administrar uso de la red
• Controlar acceso o prevenir uso no autorizado
• Dirigir tráfico para evitar congestión o pérdida
  tráfico
• Genera alertas cuando observa errores o problemas
• Permite la administración remotamente

18
Administración de la Red

• Políticas y procedimientos
• Describe las actividades y funciones permitidas
• Establece las expectativas y prioridades de uso
• Persigue evitar o reducir problemas a la red
• Recomienda pasos a seguir al enfrentar
  incidentes
• Virus
• Ataques
• Establece guías relativas a
• Autenticación de usuarios (passwords)
• Seguridad de la red
• Plan de divulgación sobre políticas y
  procedimientos
• Personal técnico y de respaldo
• Usuarios
• Implantación de las políticas (Enforcement)
• Herramientas automáticas (Hardware/Software)
• Medidas disciplinarias

19
Evaluación de la Red

• Periódica
• Cantidad de usuarios/dispositivos activos
• Inventario de aplicaciones en uso
• Calidad y estabilidad de la conexión(es)
• Porciento de uso de la conexión(es) de salida
• Precisión en la transmisión del tráfico
• Promedio de tiempo en la transmisión interna
• Promedio de tiempo en la transferencia externa
• Frecuencia de retransmisión
• Frecuencia de errores
• Tiempo promedio sin servicio/ en restauración
• Frecuencia de incidentes intrusión e impacto

20
Evaluación de la Red

• Programada
• Ejecución (Performance)
• Utilización de recursos
• Identificación de cuellos de botella
• Identificación de periodos pico
• Identificación de transacciones sospechosas
• Determinación de vulnerabilidades o riesgos
• Identificación factores provocan interrupciones
• Factores internos
• Factores externos
• Cumplimiento con políticas y procedimientos

21
Evaluación de la Red

• Ajustes, modificaciones o desarrollo
• Balance de tráfico/rutas
• Fortalecimiento de servidores/componentes
• Actualización (upgrade) de versiones programado
  o de equipo
• Integración de controles (adicionales/diferentes)
• Implantación de herramientas adicionales
  (monitoring)
• Adiestramiento continuo del personal
  técnico/usuarios

22
Proyección de Crecimiento

• Análisis de bitácoras de uso/abuso
• Análisis del Plan estratégico organizacional
• Análisis actualizado de necesidades
• Plan de Integración tecnológica
• Presupuesto y proyección presupuestaria
• Plan de mantenimiento y reemplazo
• Plan de adiestramiento a usuarios/técnicos
• Plan de recuperación ante eventos desastrosos
• Visión relativa a outsourcing

23
Referencias

• Data Communications Network Auditing, Griffis,
  Bruce, Flatiron Publishing, 1996
• Security Planning disaster Recovery, Maiwald
  Sieglein, McGraw Hill, 2002
• Web Security Portable Reference, Shema, Mike,
  Osborne-McGraw Hill, 2003
• Security Assessment, Miles, Rogers, Fuller,
  Hoagberg Dykstra, Syngress, 2004
• Security Complete, Taylor, Tiffany, Editor,
  Sybex, 2nd Edition, 2002
• IT Security, Educause, 2004

24
Referencias

• Information Systems Control and Audit, Weber,
  Ron, Prentice Hall, 1999
• Absolute Beginners Guide to networking, 4th
  Edition, Habraken, Joe, QUE, 2004
• Teach Yourself VISUALLY Networking, 2nd Edition,
  IDG Books, 2000
• How Networks Work, Derfler Freed, Ziff Davis
  Press, 1993
• How to Connect, Shipley, Chris, Ziff Davis Press,
  1993
• How the Internet Works, Eddings, Joshua, Ziff
  Davis Press, 1994
• Handbook of Information Security Management,
  Ruthberg Tipton, Auerbach, 1993
• Handbook of Information Security Management,
  Krause Tipton, Auerbach, 1999
• Network Security A hackers perspective, Fadia,
  Premier Press,2003
• Lectures on Network Auditing, IT Audit, Institute
  of Internal Auditors, 2003-2004
• ISACA CISA Examination Domains