sesion dos

Auditoria de Sistemas IV
LA ÉTICA DEL HACKER
• La ética del hacker y el espíritu de la era de la
información
• La ética del hacker y el espíritu de la era de la
información es un libro escrito por el finés
Pekka Himanen. El libro contiene un prólogo
de Linus Torvalds y un epílogo de Manuel
Castells, analiza la ética hacker.
Autor: Pekka Himanen
[email protected]
Auditoria de Sistemas IV
¿Qué son los HACKERS?
Hacker es el neologismo utilizado para referirse
a un experto en alguna rama técnica relacionada
con la informática: programación, redes,
sistemas operativos, etc.
[email protected]
Auditoria de Sistemas IV
¿De dónde proviene el término?
• Se dice que el término surgió de los programadores
del Massachusetts Institute of Technology (MIT),
que en los 60, se llamaron a sí mismos así para indicar
que podían hacer programas mejores y aun más
eficaces, o que hacían cosas que nadie había podido
hacer.
• También se dice que la palabra deriva de "hack",
"hachar" en inglés, término que se utilizaba para
describir la forma en que los técnicos telefónicos
arreglaban las averías, un golpe seco. Y la persona que
hacía eso era llamada hacker.
[email protected]
Auditoria de Sistemas IV
Richard Matthew Stallman
• Sus mayores logros como programador
incluyen el editor de texto Emacs,
el compilador GCC, y el depurador GDB,
bajo la rúbrica del Proyecto GNU.
• Pero su influencia es mayor por el establecimiento de
un marco de referencia moral, político y legal para el
movimiento del software libre, como una alternativa al
desarrollo y distribución de software privativo. Es
también inventor del concepto de Copyleft (aunque no
del término), un método para licenciar software de tal
forma que éste permanezca siempre libre y su uso y
modificación siempre reviertan en la comunidad.
[email protected]
Auditoria de Sistemas IV
Kenneth Lane Thompson
• Conocido como Ken Thompson, es un pionero
en las ciencias de la computación. Trabajó con
el lenguaje de programación B y el sistema
operativo UNIX y Plan 9 para los laboratorios
Bell. Se le adjudica a Thompson, junto a
Dennis Ritchie, la creación de UNIX.
[email protected]
Auditoria de Sistemas IV
Eric Steven Raymond
• También conocido como ESR,
es el autor de La Catedral y
el Bazar y el responsable
actual del Jargon File
(también conocido como The
New Hacker´s Dictionary). Si
bien con el Jargon File
obtuvo fama como
historiador de la cultura
hacker, se convirtió después
de 1997 en una figura líder
en el Movimiento del
Software Libre y el Código
Abierto.
[email protected]
Auditoria de Sistemas IV
¿Qué son los CRACKERS? (I)
• Es una persona que mediante ingeniería inversa realiza
cracks, los cuales sirven para modificar el
comportamiento o ampliar la funcionalidad del
software o hardware original al que se aplican, sin que
en absoluto pretenda ser dañino para el usuario del
mismo.
 No puede considerarse que la actividad de esta
clase de cracker sea ilegal si ha obtenido el software
o hardware legítimamente, aunque la distribución de
los cracks pudiera serlo.
[email protected]
Auditoria de Sistemas IV
¿Qué son los CRACKERS? (II)
• Es alguien que viola la seguridad de un sistema
informático de forma similar a como lo haría un hacker,
sólo que a diferencia de este último, el cracker realiza
la intrusión con fines de beneficio personal o para
hacer
daño.
 El término deriva de la expresión "criminal hacker",
y fue creado alrededor de 1985 por contraposición al
término hacker, en defensa de éstos últimos por el uso
incorrecto
del
término.
 Se considera que la actividad realizada por esta
clase de cracker es dañina e ilegal.
[email protected]
Auditoria de Sistemas IV
Robert Tappan Morris
• Fue uno de los precursores
de
los
virus.
Recién
graduado en Informática
en 1988 difundió un virus a
través
de
ARPANET,
(precursora de Internet)
logrando infectar 6.000
servidores conectados a la
red. Al ser descubierto,
fue enjuiciado y condenado
el 4 de Mayo de 1990 a 4
años de prisión y el pago
de 10.000 dólares de
multa.
[email protected]
Auditoria de Sistemas IV
Kevin David Mitnick
•
Desde muy niño fue cultivando
un obsesivo deseo por lograr
objetivos
aparentemente
imposibles. En 1992
le
acusaron de haber sustraído
información
del
FBI
y
penetrado en computadoras
militares, convirtiéndolo en un
símbolo entre los crackers
después de ser perseguido
infructuosamente
durante
años. Finalmente fue capturado
en 1995 y condenado a pasar
5 años en una prisión federal;
finalmente salió bajo libertad
condicional.
[email protected]
Auditoria de Sistemas IV
Chen Ing Hau
• Fue el creador del virus CIH
(de tipo Gusano), que lleva
sus propias iniciales, motivo
que
justificó
por
una
venganza en contra de los que
llamó
"incompetentes
desarrolladores de software
antivirus". En Mayo de 1998,
creó su famoso virus, al cual
denominó
Chernobyl
en
conmemoración
del
13
aniversario de la tragedia
ocurrida en la planta nuclear
soviética.
[email protected]
Auditoria de Sistemas IV
Fred Cohen
• En 1984, al presentar su
tesis
doctoral
sobre
Ingeniería
Eléctrica
demostró cómo se podían
crear virus, motivo por el
cual es considerado como el
primer autor de virus
"autodeclarado". Clasificó a
los emergentes virus de
computadoras
en
tres
categorías:
caballos
de
Troya, gusanos y virus
informático.
[email protected]
Auditoria de Sistemas IV
Vladimir Harkonen
• Se le atribuyen ataques en los
últimos 5 años a diferentes
empresas como Sony. También
cabe
decir
que
tiene
preferencia
por
centros
gubernamentales y servidores
de operaciones militares. Fue
detenido por vez primera en
1998. En la actualidad está
pendiente de juicio y tiene
prohibido
disponer
de
cualquier equipo informático
[email protected]
Auditoria de Sistemas IV
Sesión 2
La auditoria y la empresa
• Auditoria de sistemas
[email protected]
Auditoria de Sistemas IV
Proceso administrativo
Integración
[email protected]
Fijar objetivos, las estrategias y políticas
Auditoria
de Sistemas IV
organizacionales, usando como herramienta el
Planeación
Economicidad
Mapa estratégico; todo esto teniendo en cuenta
las fortalezas/debilidades de la organización y las
oportunidades/amenazas del contexto (Análisis
FODA). La planificación abarca el largo plazo (de
5 años a 10 o más años), el mediano plazo (entre
1 años y 5 años) y el corto plazo donde se
desarrolla
el
presupuesto
anual
más
detalladamente.
2. Políticas
1. Objetivos
3. Procedimientos
Planeación
5. Presupuesto
Eficacia
4. Programas
Eficiencia
[email protected]
Auditoria de Sistemas IV
Organización
Organigrama
Relaciones
entre
departamentos
Manual de
organización
Cuadros
ocupacionales
Responde a las preguntas de, ¿Quién?
va a realizar la tarea, implica diseñar el
organigrama de la organización
definiendo
responsabilidades
y
obligaciones; ¿cómo? se va a realizar la
tarea; ¿cúando? se va a realizar;
mediante el diseño de Proceso de
negocio.
[email protected]
Auditoria de Sistemas IV
Integración
Administración de
salarios
Coordinación de
recursos
Motivación
[email protected]
AuditoriaEsde
IV
la Sistemas
influencia, persuasión
Dirección
Comunicación
que se
ejerce por medio del Liderazgo sobre
los individuos para la consecución
de los objetivos fijados; basado esto
en la toma de decisiones usando
modelos
lógicos
y
también intuitivos de Toma de
decisiones.
Delegación de
autoridad
Coordinación
de actividades
Toma de
decisiones
Innovación
[email protected]
Auditoria de Sistemas IV
Control
Definición del
objetivo a
controlar
Desarrollo de
normas de
actuación
Corrección de
inconsistencias
Medición y
comparación
de resultados
Es la medición del desempeño de lo
ejecutado, comparándolo con los
objetivos y metas fijados; se detectan
los desvíos y se toman las medidas
necesarias para corregirlos. El control
se realiza a nivel estratégico, nivel
táctico y a nivel operativo; la
organización entera es evaluada,
mediante un sistema de Control de
gestión; por otro lado también se
contratan auditorías externas, donde se
analizan y controlan las diferentes áreas
funcionales de la organización.
[email protected]
Auditoria de Sistemas IV
IMPORTANCIA DE LA AUDITORIA
DE SISTEMAS
• La auditoria de sistemas, permite mostrar las debilidades y las
fortalezas de cualquier empresa, con respecto a los controles que
se estén empleando, a los sistemas y procedimientos de la
informática, los equipos de cómputo que se emplean, su utilización,
eficiencia y seguridad. Para ello se realiza una inspección
pormenorizada de los sistemas de información, desde sus entradas,
procedimientos, comunicación, controles, archivos, seguridad,
personal y obtención de la información.
[email protected]
Auditoria de Sistemas IV
•
Cabe recalcar que, la auditoria inicia su actividad cuando los sistemas
están operativos y el principal objetivo es el de mantener tal como esta
la
situación
para
comenzar
el
levantamiento
de
información.
Posteriormente la auditoria generara un informe, para que las
debilidades que son detectadas, sean corregidas y se establecen
nuevos métodos de prevención con el fin de mejorar los procesos,
aumentar la confiabilidad en los sistemas y reducir los riesgos.
La importancia radica en que la
auditoría nos ayuda a conocer las debilidades y
fortalezas de nuestra empresa , esto es de vital
importancia para conocer el rendimiento de
nuestros sistemas de informáticos
[email protected]
Auditoria de Sistemas IV
[email protected]
Auditoria de Sistemas IV
[email protected]
Auditoria de Sistemas IV
TIPOS DE AUDITORIAS DE SISTEMAS
Desarrollo de
Proyectos o
Aplicaciones
Informática de
Explotación
Informática de
Sistemas
Aplicaciones en
Base de Datos
internet
Seguridad
Informática
Comunicación Y
Redes
[email protected]
Auditoria de Sistemas IV
La
AUDITORIA INFORMÁTICA DE
EXPLOTACIÓN
explotación informática
se ocupa de producir resultados,
tales como listados, archivos soportados magnéticamente,
ordenes automatizadas, modificación de procesos, etc. Para
realizar la explotación informática se dispone de datos, las
cuales sufren una transformación y se someten a controles de
integridad
y
calidad.
(Integridad nos sirve a nosotros; la calidad es que sirven los
datos, pero pueden que no sirvan; estos dos juntos realizan
una información buena)
[email protected]
Auditoria de Sistemas IV
AUDITORIA INFORMÁTICA DE
DESARROLLO DE PROYECTOS
La función de desarrollo es una
Todas estas fases deben estar
evaluación del llamado Análisis
sometidas a un exigente control interno, de
de programación y sistemas. Así
lo
por
ejemplo
una
contrario,
pueden
producirse
insatisfacción del cliente, insatisfacción del
aplicación
usuario, altos costos, etc. Por lo tanto la
podría tener las siguientes fases:
auditoria deberá comprobar la seguridad
• Pre-requisitos del usuario y del entorno
Análisis funcional.
garantizar que el servicio ejecutado por la
máquina, los resultados sean exactamente
•Diseño
•Análisis
de los programas, en el sentido de
orgánico
(preprogramación
y
los
previstos
y
no
otros
(El
nivel
programación).
organizativo es medio por los usuarios, se
• Pruebas
da cuenta el administrador Ejemplo. La
•Explotación
contabilidad debe estar cuadrada).
[email protected]
Auditoria de Sistemas IV
AUDITORIA INFORMÁTICA DE SISTEMAS
Se ocupa de analizar la actividad que se conoce como
técnica de sistemas, en todos sus factores. La importancia
creciente de las telecomunicaciones o propicia de que las
comunicaciones,
líneas
y
redes
de
las
instalaciones
informáticas se auditen por separado, aunque formen parte
del entorno general del sistema (Ejemplo. De auditar el
cableado estructurado, ancho de banda de una red LAN)
[email protected]
Auditoria de Sistemas IV
AUDITORIA INFORMÁTICA DE
COMUNICACIÓN Y REDES
Este tipo de auditoria deberá inquirir o actuar sobre los índices de
utilización de las líneas contratadas con información sobre tiempos
de uso y de no uso, deberá conocer la topología de la red de
comunicaciones, ya sea la actual o la desactualizada. Deberá
conocer cuantas líneas existen, como son, donde están instaladas, y
sobre ellas hacer una suposición de inoperatividad informática. Todas
estas actividades deben estar coordinadas y dependientes de una
sola organización (Debemos conocer los tipos de mapas actuales y
anteriores, como son las líneas, el ancho de banda, suponer que
todas las líneas están mal, la suposición mala confirmarlo).
[email protected]
Auditoria de Sistemas IV
AUDITORIA DE LA SEGURIDAD
INFORMÁTICA
Se debe tener presente la cantidad de información almacenada en
el computador, la cual en muchos casos puede ser confidencial, ya sea para
los individuos, las empresas o las instituciones, lo que significa que se debe
cuidar del mal uso de esta información, de los robos, los fraudes, sabotajes y
sobre todo de la destrucción parcial o total.
En la actualidad se debe también
cuidar la información de los virus informáticos,
los cuales permanecen ocultos y dañan
sistemáticamente los datos.
[email protected]
Auditoria de Sistemas IV
EJEMPLO PRACTICO
• El siguiente ejemplo practico de auditoria corresponde al tipo:
AUDITORIA INFORMÁTICA DE SISTEMAS:
• El cableado estructurado, ancho de banda de una red LAN
EVALUACIÓN
DIGITAL
DE
CERTIFICACIÓN DE RED
CABLES
Realiza
Evalúa la red mediante señales
estructurado,
digitales, localizando y aislando los
detecta tipo de categoría de Red y hace
cables de voz, datos y vídeo más
difíciles de detectar, ocultos o
enmarañados, de forma rápida y
certificación
en
del
cableado
materia
eléctrica,
un análisis completo de la misma,
además de guardar y desplegar en
pantalla los datos para la auditoria
necesaria en materia de redes.
fiable, incluso en redes activas
[email protected]
Auditoria de Sistemas IV
CERTIFICACIÓN DE CABLES
Se realiza la calificación del cable usado
en la red, probando todos los tipos de
cobre
(multifilar,
unifilar),
detectando
desempeño de las señales y tonos.
ANÁLISIS DE REDES
Se
realiza
seguimiento
de
redes
inalámbricas, y LAN. Se detectan fallos y
se entregan posibles soluciones
[email protected]
Auditoria de Sistemas IV
[email protected]