Tesis de grado

Figura 3.9 Conductos internos para cables de fibra óptica

Uso de ataduras de Nylon (figura 3.10) o de plástico (figura 3.11) o de otros tipos de fijadores disponibles (figura 3.12), como los ganchos J (figura 3.13) para asegurar los cables y agruparlos. Se los debe posicionar a intervalos que no excedan los 1,5 m.

Figura 3.10 Ataduras de Nylon

Figura 3.11 Ataduras de Plástico

Figura 3.12 Otro tipo de Fijadores

Figura 3.13 Fijador tipo Gancho J

Instalación de soportes verticales y horizontales en los bastidores (figura 3.14) de telecomunicaciones para distribuir los cables de manera prolija y ordenada. Debe haber como mínimo dos soportes verticales y uno horizontal.

Aplicación de rotulación en cada extremo del cable con el origen y destino. Se ubico la etiqueta a 15 cm. del conector o de la chaqueta.
Para el transporte de la fibra fuera de las instalaciones será protegida con una manguera metálica hasta llegar al suelo donde será enterrada a una profundidad de 1.5 metros de profundidad aunque se admite que sea hasta de 3 metros.
Instalación de tres Racks con puerta cada uno de 84" x 44UR x 1m.

Figura 3.14 Bastidores

Mantenimiento de los Equipos

Tiempo: 1 día

Descripción: La empresa respeta y hace cumplir los mantenimientos de acuerdo con los intervalos de servicio y especificaciones recomendados por el proveedor.
Sólo el personal técnico y de sistemas puede brindar mantenimiento y llevar a cabo reparaciones en el equipamiento. Se debe utilizar muñequeras antiestática (figura 3.15) siempre que se esté instalando, inspeccionando, actualizando o cambiando módulos en un dispositivo.

Figura 3.15 Muñequeras Antiestática

Si se necesita los servicios de un técnico externo, éste deberá ser acompañado únicamente por el Jefe del área de seguridad informática de la empresa y deberá llenar el registro ubicado en el buzón plástico al lado izquierdo de la puerta de la sala de telecomunicaciones.

En caso que se retire un equipo de la empresa para su mantenimiento, se deberá solicitar los debidos permisos por escrito indicando el posible tiempo que demandará el mantenimiento o reparación, previa aprobación del área de seguridad informática y la Gerencia.
Los equipos de computación se encuentran en superficies de trabajo protegidas contra la ESD (descarga electrostática) y poseen una alfombra de protección contra ESD debajo de la silla del usuario de cada computadora. Éstas absorben la ESD.
Seguridad del Equipamiento fuera de la organización

Tiempo: 1 día

Descripción: Cualquier tipo de equipamientos informáticos como portátiles y otros dispositivos utilizados fuera de la organización deben ser protegidos por el responsable del equipo contra accesos no autorizados con el cable de seguridad DEFCOM Retractable CL, como se muestra en la figura 3.16.

Figura 3.16 Cable de Seguridad DEFCOM Retractable CL

El equipo deberá ser utilizado solo en lugares seguros.

Reutilización o Eliminación de Equipos

Tiempo: 1 semana

Descripción: A todos los equipos dados de baja se aplicaran controles para determinar si poseen medios de almacenamiento que contengan datos sensitivos. En tal situación estos deberán ser destruidos.
Seguridad de Red y Comunicaciones

Para garantizar mayor seguridad y eficiencia de la red de datos, se requiere que los equipos involucrados se encuentren adecuadamente configurados.

Tiempo: 7 días

Descripción: Para controlar el tráfico desde Internet, y evitar que seleccionen rutas o servicios no autorizados se instaló un Firewall CISCO PIX 535 (figura 3.17) entre la red de la empresa y el proveedor de Internet, definiendo tres zonas de seguridad: inside, outside y DMZ.

Figura 3.17 Firewall CISCO PIX 535

Con la creación de la zona DMZ la arquitectura de red se ha modificado adaptándose a las políticas de seguridad.

Implementación de NAT estático en el firewall para control y registro de todas las conexiones entrantes y salientes desde outside hacia inside.
Se crearon las siguientes reglas para permitir o rechazar conexiones:

1. 
   Bloqueo de cualquier tipo de servicio orientado a conexión interna, y cuyo acceso externo puede ser innecesario. NFS, FTP, HTTP, DNS, SMTP, TFTP además los puertos 137, 138, 139, entre otros.
   
2. 
   Bloqueo de servicios con mecanismos de autenticación débiles como TELNET.
   
3. 
   Bloqueo de todos los puertos que puedan indicar una probabilidad alta de compromiso para un host.
   

Back Orifice (puerto 31337)

NetBus (puerto 12345, 12346, 20034)

4. 
   Bloqueo de puertos de diagnóstico que pueden ser usados para recabar información o amplificar ataques de negación de servicios. ICMP, Traceroute.
   
5. 
   Permitir los puertos para conexiones remotas VPN.
   

Creación de la zona DMZ para ubicar los servidores SMTP, DNS y HTTP evitando que las conexiones desde Internet ingresen a la red interna de datos. Además se instaló una máquina de control en la red DMZ con el propósito de monitorear todo el flujo de datos que ingresa y detectar algún tipo intrusión o ataque desde la Internet.

Se crearon las siguientes reglas para permitir o rechazar conexiones desde inside hacia DMZ:

1. 
   El puerto DNS está permitido para todas las subredes internas.
   
2. 
   El servicio SMTP y POP3 está permitido solo para los usuarios de la intranet y bloqueado para el resto de subredes internas.
   
3. 
   El servicio HTTP está autorizado para todas las subredes internas, con sus respectivos mecanismos de autenticación.
   
4. 
   Los puertos de diagnóstico (ICMP), configuración remota (TELNET) y entre otros están permitidos únicamente para los hosts de las áreas de sistemas, administración de seguridad y departamento técnico.
   

Reglas para permitir o rechazar conexiones desde outside hacia DMZ:

1. 
   Los puertos DNS, ICMP, TELNET así como otros puertos destinados a conexiones internas están denegados.
   
2. 
   Los puertos de aplicación HTTP, SMTP están permitidos para conexiones externas con los respectivos mecanismos de autenticación.
   

Instalación del servidor NAS (Network Access Server) en la red interna de servidores (figura 3.18), para conexiones externas. El protocolo VPN utilizado es el IPSec y el mecanismo de implementación es a nivel de software. El cliente al tratar de establecer la comunicación deberá introducir su contraseña (Autenticación) y el servidor deberá revisar en su base de datos y autorizar la conexión externa.