10/05/2011] [Auditoria Informatica REDES] | |

Auditoria Informtica | Ejercicio de Auditoria en sistemas |

UNIVERSIDAD OLMECA CAMPUS COMALCALCO

Carrera: Sistemas computarizados e informtica

Materia: Auditoria informtica

Profesor: Ing. Guillermo Guadalupe Lugo Valdez

Alumno(s): Daniel Garca Barrera Eliana Coln de la Torre Gabriela Valenzuela Ponce

Proyecto final: Ejercicio de Auditoria en Sistemas

Comalcalco, Tab. 11 de Mayo de 2011 Contenido 1. Datos de la Empresa 4 1.1. Nombre de la Empresa 4 1.2. Misin 4

1.3. Visin

4 5 5

1.4. Estructura Organizacional 1.5.

Nmero de empleados 6

2. Entorno informtico. 2.1. 2.2. 2.3. 2.4. 3.

Nombre del Depto. De TI.

Personas que trabajan y su formacin acadmica. 6 Principales funciones 6 Infraestructura 9 9 10 10 12 7

Planeacin de la Auditoria 3.1. 3.2. 3.3. 1.4. 2. Objetivo. Alcance.

Programa de Auditoria

Check List empleado en la Auditoria Informtica Informe de los Resultados de la Auditoria 19

4.1. Fortalezas detectadas en la auditoria. 19 4.2. Oportunidades de mejora. 4.3. Recomendaciones. 4.4. 20 21 20

Conclusin final

1. Datos de la Empresa

1.1. Nombre de la Empresa Universidad Olmeca, campus Comalcalco.

Breve Historia La Universidad Olmeca, campus Comalcalco se crea en 2005, con planes y programas enfocados a formar recursos humanos profesionales de alto nivel y excelencia, con

personal directivo, administrativo y cuerpo docente y de investigadores que desarrollen en los alumnos los valores de convivencia social, de cultura de la investigacin, amplio conocimiento en los negocios y de el comportamiento organizacional que requieren las empresas. A dems, de inducirlos en los procesos de innovacin permanente y de aplicacin de las tecnologas ms avanzadas que permitan detonar el crecimiento, el desarrollo y la calidad de vida de la sociedad.

1.2. Misin Ofrecer servicios educativos de nivel superior de alta calidad para formar profesionales y lderes empresariales con conocimientos, habilidades, competencias y actitudes, comprometidos con el desarrollo econmico, poltico, y social de Tabasco, la regin y el pas, en un contexto global en armona con las races culturales y las tradiciones

1.3. Visin Ser la institucin de educacin superior de mayor prestigio y excelencia en el estado y la regin, formadora de profesionales con valores ticos y morales, que con su desempeo contribuyan al cambio y a la innovacin permanente en los mbitos del saber, la investigacin, la produccin y la formacin de recursos humanos.

1.4. Estructura Organizacional La Universidad Olmeca, campus Comalcalco cuenta con una pequea estructura organizacional, a pesar de no ser grande, es fuerte y eficiente, lo ha demostrado con la calidad de sus servicios.

2.5. Nmero de empleados

La Universidad Olmeca, campus Comalcalco, cuenta con treinta y cuatro empleados.

2. Entorno informtico. 2.1. Nombre del Depto. De TI.

Coordinacin de Informtica y Sistemas.

2.2.

Personas que trabajan y su formacin acadmica.

El departamento de T.I. Cuenta con una persona a cargo, debido a que la carga de trabajo no es demasiada, y que la organizacin no es tan grande, la direccin no cree necesario emplear ms de una persona. El Depto. De T.I. Est a cargo del Lic. Erick Capitaine Lutzow. La experiencia del Lic. Erick Capitaine Lutzow es: Es egresado de la Universidad Olmeca, en la carrera de Sistemas Computacionales e informtica, como experiencia podemos sealar que ha trabajado en ciber-cafes desde 1999 hasta 2008, en el 2009 ocupa el puesto que actualmente desempea dentro de la universidad Olmeca Campus Comalcalco, cabe sealar que cuenta con experiencia en mantenimiento, instalaciones de equipos de cmputo, redes.

2.3.

Principales funciones

* Supervisin del sistema acadmico. * Servicio de internet * Instalacin de equipos y dispositivos de cmputo. * Mantenimiento del sistema acadmico, red, correctivo y preventivo de equipos de computo. * Soporte tcnico.

2.4.

Infraestructura

Redes La topologa que se emplea es la de estrella, por la dimensin y tipo de necesidad la Coordinacin de Informtica y Sistemas, este tipo de red cubre las necesidades de la organizacin. Caractersticas globales

La red est diseada para dar servicios a los empleados y clientes de manera separada, es decir, que no estn en el mismo servidor, los empleados se conectan a un switch independiente del servidor, y los clientes se conectan a un switch que viene del servidor. La red de la Universidad Olmeca Campus Comalcalco, cuenta con 6 equipos conectados a la red de empleados, 20 equipos en la red ubicados en el saln de cmputo y se conectan de 150 a 200 equipos de clientes a diario de manera inalmbrica; el servicio que ofrece esta es de informacin, descarga, correo, internet, etc. entre otros. Esta red cuenta con un cableado estructurado tipo estrella de cable UTP 5. Las caractersticas de estos switch son: * Primer Switch da servicio a los empleados, cuenta con 12 puertos, 6 son usados para conectar computadoras de la organizacin, 6 estn libres; este est conectado directamente al modem que da servicio a toda la estructura de red. * Segundo y tercer Switch dan servicio a los clientes, cuenta con 24 puertos, de los cuales 13 son usados para la sala de cmputo, 3 son para los Ups, 8 estn libres; este est conectado a un servidor firewall. Ups, la empresa usa tres, cada uno por nivel de su edificio: planta baja, primer planta, y segunda planta; estos dan de manera inalmbrica servicio de internet a los clientes.

Modem Swith Swith Ups segunda planta Ups primera planta Ups planta baja Servidor firewall

Clientes conectados inalmbricamente Sala de computo

Diagrama de red de la U.O. Campus Comalcalco Pequeo diagrama.

Equipo de Cmputo. La Coordinacin de Informativa y Sistemas manejan una amplia gama de equipos de cmputo y dispositivos, estos son: * 20 Computadoras de escritorio * 5 Impresoras multifuncin * 1 Copiadoras * 16 Proyectores * 1 Modem * 2 Switchs * 3 Aps

Sistema Operativo El S.O. que emplea la Coordinacin de informtica y Sistemas es el Windows XP profesional. Un equipo estndar, es usado como Servidor firewall, utiliza el programa Keiro, las funcin de este son reinstringir la navegacin del servicio de internet que ofrece a sus clientes, control para monitorizar la red y el trfico en ella, registrar las actividades de los usuarios en la red. La red de la universidad Olmeca no cuenta con servidores, utiliza una mquina que acta como server pero ms bien es un firewall que server, un equipo estndar, es usado como Servidor firewall, utiliza el programa Keiro, las funcin de este son restringir la navegacin del servicio de internet que ofrece a sus clientes, control para monitorizar la red y el trfico en ella, registrar las actividades de los usuarios en la red.

Sistemas que se Utilizan y aplicaciones: Aplicaciones: * Office (Word, Excel, power point, etc). * Keiro * Antivirus NOD32

3. Planeacin de la Auditoria

3.1.

Objetivo.

Evaluar la red de datos, de la Universidad Olmeca, para determinar los puntos crticos, y fortalezas, con el fin de contribuir al desarrollo y su mejora del sistema de redes.

4.2. Alcance.

Se auditara la red de datos, basado en el manual de Auditoria informtica, especificado en el tema 7: Auditoria de red fsica y lgica, as como la seguridad fsica, con la finalidad de detectar las fortalezas y oportunidades para su mejora.

4.3. Programa de Auditoria

Se auditara la red de datos del departamento de informtica de la Universidad Olmeca, del cual el Lic. Erick Capitaine Lutzow est a cargo. La Auditora se dividir en tres etapas, cada etapa la realizar un auditor diferente, las etapas consisten en auditar: red fsica, red lgica y seguridad, de la siguiente manera: * Primera etapa. Red fsica: Auditora Eliana Colin de la Torre * Segunda etapa. Red lgica: Auditora Gabriela Valenzuela Ponce. * Tercera etapa. Seguridad: Auditor Daniel Garca Barrera.

PLAN DE AUDITORIA

Nombre de la organizacin: | Universidad Olmeca | Direccin: Contacto: Fechas de auditora: Duracin de la auditora: Tipo de auditora: | Comalcalco, Tab. , | | Lic. Erick Capitaine Lutzow | | Del 07 al 10 de Mayo de 2011 | 3 das | | |

| Auditora externa

Criterio de auditora: | Manual de Auditoria informtica, especificaciones de Auditoria de redes | Alcance: | Se aplicaran las especificaciones en los puntos establecidos del Manual de Auditora informtica. Red fsica, Red lgica y seguridad. | Objetivo: | Evaluar la eficiencia de la Coordinacin de Informtica y Sistemas, en su rea de redes, Red fsica, Red lgica y seguridad. | Equipo Auditor: Valenzuela Ponce | Eliana del Carmen Colin de la TorreDaniel Garcia BarreraGabriela | |

Idioma de trabajo y reporte: | Espaol

Da 1

| | Auditor | Personal de la Organizacin |

Hora | Proceso

1:15 pm1:30 pm2:30 pm | Reunin de aperturaAuditoria de seguridadReunin de Auditores | TodosDaniel Garcia BarreraTodos | Lic. Erick Capitaine Lutzow | 3:30 PM 4:30 PM | Comida | Fin del da | |

Da 2

| | Auditor | Personal de la Organizacin | | Eliana Colin de

Hora | Proceso

12:00 pm15:30 pm | Auditoria de red fsica Reunin de Auditores la TorreTodos | Lic. Erick Capitaine Lutzow | 16:30 PM 18:00 PM | Comida | Fin del da | |

Da 3

| | Auditor | Personal de la Organizacin |

Hora | Proceso

12:00 pm15:00 pm17:00 pm | Auditoria de Red lgicaReunin de cierreReunin de Auditores | Gabriela ValenzuelaTodosTodos | Lic. Erick Capitaine Lutzow | 17:30 PM | Comida |

23:00 PM

| Fin del da

Folio: | 001

| | Externa | Aspecto a auditar | Seguridad | |

Tipo de Auditoria:

Organizacin auditada: Departamento y/o rea: |

| U.O. | Coordinacin/Activo: | Redes | Fecha:

| Informtica y Sist.

| 07/may/11

| Hora: | 1:30pm

Auditoria de red: Seguridad | Preguntas | Si | Respuestas | | No | N/A | | | | X| X | | |

A1. Se cuenta con acceso reinstringido a los equipo? A.2. Tiene configurado los protocolos de seguridad? |

A.3. Control para monitorizar la red y el trfico en ella? | |

A.4. Cuenta con los controles de seguridad para evitar la importacin y exportacin de datos? | | X | | A.5. Realiza encriptacin para la informacin como parte de su seguridad? | | X| A.6. Cuenta con equipo de respaldo para su servidor? | | X |

Fortalezas detectadas: | A.2. Cuenta con los protocolos de seguridad, as puede compartir sus recursos como impresoras de manera confiable.A.3. Implenta el software Keiro, que es multifuncional, lo usa para monitorizar la red, el trfico en ella, restringir acceso en su servicio de internet.A.6. Cuenta con varios equipo de respaldo para su de servidor. | Oportunidades de mejora: | A.1. Poca seguridad en el acceso a los equipos.A.4. No se cuenta con los controles de seguridad para evitar la importacin y exportacin de datos. |

Recomendaciones: | A.1.Implentar restricciones a las areas donde estn equipos de importancia, como servidores.A.2. Usar controles de seguridad para la importacin y exportacin de datos, como configurar los equipos de computo, para restringir las conexiones usb, deshabilitar Bluetooth. |

3.4 Check List empleado en la Auditoria Informtica

La auditoria ser realizada mediante entrevista, anlisis objetivo y sistemtico de evidencias, estos comprendern tres aspectos del departamento de redes: red lgica, red fsica y seguridad Red lgica * Verificar la configuracin de los equipos. * Revisar los protocolos de contingencia. * Revisar los controles de errores. * Revisar las garantas de transmisin. * Revisar los controles de administracin de la red

Red fsica * Verificar las reas e instalaciones de los equipos. * Verificar tendido adecuado de cables y lneas de comunicacin. * Verificar la topologa. * Revisar el programa de mantenimiento. * Control del cableado de red. Seguridad * Verificar que se tenga las restricciones necesarias a los equipos. * Verificar la seguridad del acceso a los equipos. * Control para monitorizar la red y el trfico en ella. * Registrar las actividades de los usuarios en la red. * Evitar la importacin y exportacin de datos.

* Encriptar la informacin pertinente.

Folio: | 002

Auditor:

| Eliana Coln de la Torre

| Aspecto a auditar:

| Red fsica

| |

Organizacin auditada: Departamento y/o rea: | Auditoria de red: Fsica Preguntas | Si

| U.O. | Coordinacin/Activo: | Redes | Fecha:

| Informtica y Sist.

| 09/may/11

| Hora: | 12:00pm

| Respuestas | | No | N/A |

B1. El equipo de comunicaciones se mantiene en habitaciones cerradas con acceso limitado a personas autorizadas? | X | | | B2. La seguridad fsica de los equipos de comunicaciones, tales como controladores de comunicaciones, dentro de las salas de computadoras sea adecuada? | X | | | B3. Slo con responsabilidad y conocimientos estn incluidas en la lista de personas permanentemente autorizadas para entrar en las salas de equipos de comunicacin? | X | | | B4. Se toman medidas para separa las actividades de electricistas y personal de tendido de tendido de lneas telefnicas, as como sus autorizaciones de acceso de aquellas del personal bajo control de la gerencia de comunicaciones? | | | | B5 En las zonas adyacentes a las salas de comunicaciones, todas las lneas de comunicaciones fuera de la vista? | |X | | B6. Las lneas de comunicaciones, en las salas de comunicaciones, armarios distribuidores y terminaciones de los despachos, estarn etiquetadas con un cdigo gestionado por la gerencia de comunicaciones? | | X| B7. Existen procedimientos para la proteccin de cables y bocas de conexin que dificulten el que sean interceptados o conectados por personas no autorizadas? | X| | B8 Se revisa peridicamente la red de comunicaciones, buscando intercepciones activas o pasivas? | X | | |

B9. En el plan general de recuperacin de desastres para servicios de informacin presta adecuada atencin a la recuperacin y vuelta al servicio de los sistemas de comunicacin de datos? | | |X | B10. Existen planes de contingencia para desastres que solo afectan a las comunicaciones, como el fallo de una sala completa de comunicaciones? | |

|X

Fortalezas detectadas | B1, B2, B3, B4 se pudo observar que las medidas de seguridad fsicas empleadas son las adecuadas.B8, la evaluacin peridica de los equipos permite detectar errores y aplicar soluciones. | Oportunidades de mejora | B5, B6, B7 existe ineficiencia en el orden de los equipos. No se cuenta proteccin adecuada para el cableado y el tipo de etiquetado no respeta ninguna secuencia.B9, B10 no cuanta con un plan de contingencia para la recuperacin del sistema. | Recomendaciones | Es necesario implementar una restructuracin del cableado de manera que se pueda mantener un orden en la estructura de la red. Armar un plan de contingencia para evitar o disminuir el tiempo de recuperacin del sistema. |

Folio: | 003 Auditor:

| | Gabriela Valenzuela Ponce | Aspecto a auditar: | U.O. | Coordinacin/Activo: | Redes | Fecha: | Red lgica | |

Organizacin auditada: Departamento y/o rea: |

| Informtica y Sist.

| 10/may/11

| Hora: | 12:00pm

Auditoria de red: Red lgica | Preguntas | Si | Respuestas | | No | N/A |

C1. El software de comunicaciones, para permitir el acceso, exige cdigo de usuario y contrasea? | X | | | C2. Revisar el procedimiento de conexin de usuario y probar que:1.- Los usuarios no puedan acceder a ningn sistema, ni siquiera de ayuda, antes de haberse identificado correctamente.2.-Se inhabilita al usuario que sea incapaz de dar la contrasea despus de un nmero determinado de intentos infructuosos.3.-Se obliga a cambiar la contrasea

regularmente.4.- las contraseas no son visibles en la pantalla cuando se teclean. | | | C3. Se toman estadsticas que incluyan tasas de errores y retransmisin? | | |

|X

|X

C4. Los protocolos utilizados, revisados con el personal adecuado de comunicaciones, disponen de procedimientos de control de errores con la seguridad suficiente? | | | x | C5. Los mensajes lgicos transmitidos identifican el origen, la fecha, la hora y el receptos? | |X | | C6. El software de comunicaciones ejecuta procedimientos de control y correctivos ante mensajes duplicados, fuera de orden, perdidos o reparados? | |X | | C7. La arquitectura de comunicaciones utiliza indistintamente cualquier ruta disponible de transmisin para minimizar el impacto de una estructura de datos sensibles en una ruta determinada? | X | | | C8. Existen controles para que los datos sensibles slo puedan ser impresos en las impresoras designadas y vistos desde los terminales autorizados. |X | | | C.9. Existen procedimientos de registros para capturar y ayudar a reconstruir todas las actividades de las transacciones? | | x| | C10. Los archivos de registro son revisados, si es posible a travs de herramientas automticas, diariamente, vigilando intentos impropios de acceso? | | x| | C11 Existe anlisis de riesgos para las aplicaciones de proceso de datos a fin de identificar aquellas en las que el cifrado resulte apropiado? | | x|

C12. Si se utiliza cifrado:1.- Existen procedimientos de control sobre la generacin de intercambio de claves. 2.- Las claves del cifrado son cambiadas regularmente.3.- El transporte de las claves de cifrado desde donde se generan a los equipos que las utilizan sigue un procedimiento adecuado. | X | | | C13. Si se utilizan canales de comunicacin uniendo diversos edificios de la misma organizacin, y existen datos sensibles que circulen por ellos, comprobar que estos canales se cifran automticamente, para evitar que una intercepcin sistemtica a un canal comprometa a todas las aplicaciones. | |X | | C14. Si las organizaciones tienen canales de comunicacin con otras organizaciones se analice la conveniencia de cifrar estos canales. | | |X |

C15. Si se utiliza la transmisin de datos sensibles a travs de redes abiertos como internet, comprobar que estos datos viajan cifrados. | | |X | C16. Si en una red local existen computadoras con mdems, se han revisado los controles de seguridad asociados para impedir el acceso de equipos forneos a la red local. | X | | | C17. Existe una poltica de prohibicin de introducir programas personales o conectar equipos privados a la red local? | |X | |

Fortalezas detectadas | C1,C2, se observa una gran fortaleza al contar con una clave de acceso a los usuarioC7, C8, la arquitectura nos permite separar los datos sensibles controlando con esto la impresin del sistema de datos C12, se cuenta con un cifrado especfico para tener mejor control.C16, existen revisiones de seguridad de la red peridicamente. | Oportunidades de mejora | C3, no se lleva ningn registro ni estadsticas de errores. C5,C6,C9,C10, C11 el software de comunicacin no cuenta con ningn registro de fecha hora ni para verificar los mensajes duplicados, ni actividades de transmisin C13, no se utilizan canales de comunicacin C17, no existen polticas de prevencin. | Recomendaciones | Tomar registros capaces de generar un historial de errores para detectar con mayor precisin las fallas. Implementar software con la capacidad de detectar fecha y hora, documentos duplicados etc. Todo esto con la finalidad detener un registro.Configura la red con la finalidad de utilizar canales dando las prioridades necearas de los usuarios.Utilizar polticas de prensin |

4. Informe de los Resultados de la Auditoria

Los resultados son las observaciones o hallazgos que permiten llegar a conclusiones y recomendaciones, validas para conocer el desempeo del rea de redes, basndose en al manual de auditora informtica. 4.1. Fortalezas detectadas en la auditoria.

En cuanto a seguridad: Cuenta con los protocolos de seguridad, as puede compartir sus recursos como impresoras de manera confiable.

Implenta el software Keiro, que es multifuncional, lo usa para monitorizar la red, el trfico en ella, reinstringir acceso en su servicio de internet. Cuenta con varios equipo de respaldo para su de servidor. En cuanto a Red Fsica: Se pudo observar que las medidas de seguridad fsicas empleadas son las adecuadas. La evaluacin peridica de los equipos permite detectar errores y aplicar soluciones. En cuanto a la Red Lgica: Se observa una gran fortaleza al contar con una clave de acceso a los usuarios. La arquitectura nos permite separar los datos sensibles controlando con esto la impresin del sistema de datos Se cuenta con un cifrado especfico para tener mejor control. Existen revisiones de seguridad de la red peridicamente.

4.2. Oportunidades de mejora.

Seguridad: Poca seguridad en el acceso a los equipos. No se cuenta con los controles de seguridad para evitar la importacin y exportacin de datos. Red Fsica: Existe ineficiencia en el orden de los equipos. No se cuenta proteccin adecuada para el cableado y el tipo de etiquetado no respeta ninguna secuencia. No cuenta con un plan de contingencia para la recuperacin del sistema. Red lgica: No se lleva ningn registro ni estadsticas de errores. El software de comunicacin no cuenta con ningn registro de fecha hora ni para verificar los mensajes duplicados, ni actividades de transmisin No se utilizan canales de comunicacin

No existen polticas de prevencin.

4.3. Recomendaciones.

Seguridad: Implementar restricciones a las reas donde estn equipos de importancia, como servidores. Usar controles de seguridad para la importacin y exportacin de datos, como configurar los equipos de computo, para restringir las conexiones usb, deshabilitar Bluetooth. Red fsica: Es necesario implementar una restructuracin del cableado de manera que se pueda mantener un orden en la estructura de la red. Armar un plan de contingencia para evitar o disminuir el tiempo de recuperacin del sistema. Red lgica: Tomar registros capaces de generar un historial de errores para detectar con mayor precisin las fallas. Implementar software con la capacidad de detectar fecha y hora, documentos duplicados etc. Todo esto con la finalidad detener un registro. Configura la red con la finalidad de utilizar canales dando las prioridades necearas de los usuarios. Utilizar polticas de prensin.

4.4. Conclusin final

De acuerdo a lo auditado se dedicaron las siguientes fortalezas: Cuenta con los protocolos de seguridad, implementa el software Keiro, cuenta con varios equipo de respaldo para su de servidor. En cuanto a la red fsica de datos se encontr que las medidas de seguridad fsicas empleadas son las adecuadas, que la evaluacin peridica de los equipos permite detectar errores y aplicar soluciones. Referente a la red lgica, se observa una gran fortaleza al contar con una clave de acceso a los usuarios, la arquitectura nos permite separar los datos sensibles controlando con esto

la impresin del sistema de datos, se cuenta con un cifrado especfico para tener mejor control y adems existen revisiones de seguridad de la red de manera peridica. Adems se detectaron como rea de oportunidades que existe poca seguridad en el acceso a los equipos, no se cuenta con los controles de seguridad para evitar la importacin y exportacin de datos. Con respecto a la red fsica se detect como oportunidad que existe ineficiencia en el orden de los equipos, adems que no se cuenta con la proteccin adecuada para el cableado y el tipo de etiquetado no respeta ninguna secuencia, otra area de oportunidad es que no cuenta con un plan de contingencia para la recuperacin del sistema. En cuanto a la red lgica, se detectaron las reas de oportunidades: no se lleva ningn registro de errores, el software de comunicacin no cuenta con ningn registro de fecha hora ni para verificar los mensajes duplicados, ni actividades de transmisin, no existen polticas de prevencin. Sin embargo la auditoria no mostro los puntos crticos y fortalezas de la Universidad Olmeca, gracias a esto la organizacin tendr oportunidades de mejora en su red, abarcando red fsica, red lgica, y seguridad. Para mejorar no necesitara invertir mucho dinero, solo aplicar las configuraciones o aplicaciones necesarias, esperando que en un futuro cuente con estos.