Anda di halaman 1dari 12

Arquitectura de Seguridad para las

redes de Telecomunicaciones
W. Baluja García1, C. Anías Calderón1
1
Departamento de Telecomunicaciones, Instituto Superior Politécnico José Antonio Echeverría, CUJAE.

RESUMEN
La industria de las telecomunicaciones necesita disponer de normas de trabajo para la gestión de seguridad, acordes a
los requerimientos y particularidades de las redes modernas.
En este artículo se propone una arquitectura de seguridad general, sencilla y flexible que constituye una herramienta
para la gestión de seguridad en las redes de telecomunicaciones. Se presentan sus principales componentes,
características y aportes, y se discuten los casos de su aplicación en las redes de datos tradicionales, y en las Redes de
Próxima Generación (NGN, por sus siglas en inglés), principal tendencia de esta industria.
Palabras claves: arquitectura de seguridad, gestión de redes, gestión de seguridad, NGN, redes, seguridad,
telecomunicaciones.

Security Architecture for


Telecommunications Networks
ABSTRACT
The telecommunications industry needs to have norms for the security management, according to the requirements
and particularities of the modern networks.
This article proposes a general, simple and flexible security architecture that constitutes a tool for the security
management in telecommunications networks. Their main components, characteristics and contributions are
presented, and are discussed the cases of their application in traditional data networks and in Next Generation
Networks (NGN), main tendency of this industry.
Keywords: networks, network management, NGN, security, security architecture, security management,
telecommunications.

Hasta el momento, se han desarrollado un grupo de normas de


INTRODUCCIÓN seguridad para el entorno de las telecomunicaciones a partir de
No es posible afrontar los avances tecnológicos y, en los enfoques de la Gestión de la Información y de la Gestión
particular, el advenimiento de las Redes de Próxima de Redes. Desde la precursora X.8001, del Sector de
Generación como siguiente paso en el desarrollo de las Normalización de la Unión Internacional de
telecomunicaciones, si no existen estándares o normas que Telecomunicaciones (UIT-T), incluyendo la ISO 270012 de la
definan el camino por donde debe transitar el trabajo de la International Standard Organization, se han definido
seguridad, de acuerdo a las tendencias de esta industria. conceptos, arquitecturas y esquemas de trabajo, que han sido
adoptados en alguna medida por los operadores de redes de
La industria de las telecomunicaciones y de la información está
telefonía, de video y de datos, en busca de asegurar el
trabajando en busca de nuevas soluciones de seguridad que
funcionamiento de sus sistemas.
puedan ser aplicadas a cualquier tipo de red, servicios y
aplicaciones. Para lograr esto, en un mundo tan heterogéneo en La diversidad de normativas y soluciones de seguridad
cuanto a fabricantes, proveedores y clientes, se requiere del existentes, la evolución de la tecnología, de las redes y de sus
trabajo con soluciones estándares. servicios, su convergencia sobre una plataforma común basada

11
en el Protocolo de Internet (IP, por sus siglas en inglés), hace La X.805 ha sido propuesta por organismos y empresas
necesario realizar una revisión de todos estos aspectos para internacionales, como base en la obtención de las
obtener soluciones generales e integradoras, que se adapten a recomendaciones o normas de seguridad para las NGN y,
una realidad tecnológica que cambia constantemente y abarca mientras estas llegan, se aplica en los servicios multimedia
todas las áreas de la vida del género humano. sobre plataforma IP y en las implementaciones NGN
A partir de todo lo expuesto, y con el objetivo de avanzar en la existentes.
respuesta a estas necesidades, el presente artículo propone una Sin embargo, los autores de este artículo consideran que la
arquitectura de seguridad general, sencilla y flexible, útil en la utilización de X.805 para establecer la seguridad en las redes
realización de las tareas de gestión de seguridad de las redes de telecomunicaciones modernas, y en particular en las NGN,
de telecomunicaciones actuales. presenta algunos problemas que se resumen a continuación:
• No reutiliza conceptos importantes como los de servicios
ARQUITECTURAS EXISTENTES y mecanismos de seguridad, lo que impide garantizar la
En la actualidad existen algunas propuestas de arquitecturas de continuidad, y tener visión más homogénea, del trabajo de
seguridad, las cuales están siendo utilizadas en diferentes redes gestión de seguridad.
de telecomunicaciones: redes de datos, redes de telefonía fija y • El amplio número de módulos y dimensiones con las que
móvil, redes NGN y otras. Sin embargo, los autores de este propone trabajar añade demora y complejidad a cualquier
artículo consideran que esas arquitecturas tienen carencias que tarea de seguridad. En este sentido se considera que
las inhiben de ser un instrumento adecuado para ejecutar las existen algunos aspectos que son redundantes.
tareas de gestión de seguridad en las redes de • No se adapta bien a entornos poco complejos. Esta es una
telecomunicaciones actuales. condición frecuente en las etapas iniciales de la
En particular, este trabajo se refiere a aquellas arquitecturas implementación de las NGN, como es el caso de Cuba.
que se proponen como modelo base para realizar las tareas de • No toma en cuenta las características funcionales de las
seguridad en las redes. Desde esta perspectiva se destacan dos NGN y tampoco resulta sencillo aplicarla a entornos IMS
grupos fundamentales: o similares.
• No enfoca la labor de seguridad desde la perspectiva de la
• Arquitecturas propuestas por fabricantes de equipamiento
gestión, ni se relaciona con ningún sistema de este tipo
(como Cisco3, Nortel4 y otros).
que oriente cómo organizar las tareas y explote
• Arquitecturas propuestas por organismos internacionales. adecuadamente las posibilidades de la arquitectura.
En el primer grupo se destacan las siguientes insuficiencias: En el caso de la Arquitectura de Seguridad para NGN
• Basan la seguridad de la red en soluciones de seguridad propuesta en TS 187 003 V1.1.1 pueden señalarse los
particulares y/o en los productos de un fabricante. siguientes aspectos:
• Generalmente no cubren todos los aspectos necesarios a • Solo es útil para redes NGN y en particular para aquellas
tomar en cuenta a la hora de implementar seguridad: que se basan en IMS. Incluso para este caso, apela a
autenticación, autorización, disponibilidad, integridad y detalles funcionales demasiado restrictivos.
otros. • La definición de arquitecturas de seguridad para cada uno
• No se asocian a ningún sistema de gestión que garantice la de los componentes o subsistemas ofrece granularidad,
explotación adecuada de las facilidades de la arquitectura. pero resta mucha generalidad a la propuesta.
• No ofrecen un marco propicio para realizar diversas tareas • De forma similar a como ocurre con la X.800, debido a su
de gestión de seguridad como los diagnósticos, la complejidad, se considera adecuada sólo para el trabajo
respuesta a incidentes y otros. de desarrolladores de protocolos, equipamiento u otras
• En muchos casos no incluyen el análisis de amenazas y/o soluciones de seguridad.
de las características de la red a proteger. Todos los aspectos mencionados hasta aquí derivan en que las
• No permiten establecer una secuencia para la ejecución de arquitecturas de seguridad existentes no son empleadas en la
tareas de seguridad. generalidad de las redes de telecomunicaciones, y en algunos
En el segundo grupo de arquitecturas se pueden encontrar casos son mal empleadas o no resuelven las necesidades de la
algunas como las expuestas en las normas X.8001 y X.8055 de gestión de seguridad en las mismas.
la UIT-T, y la TS 187 003 V1.1.1 de ETSI6 (European
Telecommunication Standard Institute). ARQUITECTURA DE SEGURIDAD
Además de la complejidad que posee la X.800, puede PARA REDES DE
señalarse que la lista de mecanismos de seguridad que
propone, aunque no carece de relevancia, es muy general, lo TELECOMUNICACIONES
que limita su aplicación en las tareas de gestión de seguridad A partir de todo el análisis realizado sobre las normas de
de las redes de telecomunicaciones actuales. Esta lista de trabajo existentes, las características de las redes de
mecanismos debe modificarse a partir de la variedad de telecomunicaciones actuales, las tendencias de los problemas y
herramientas de seguridad existentes, el avance tecnológico y las soluciones de seguridad 7,8,9,10,11, y de la experiencia de los
la dependencia del software que tienen las redes, entre otros. autores de este trabajo, se propone una Arquitectura de
Seguridad para redes de Telecomunicaciones (ver Figura 1).

12
Esta arquitectura constituye un modelo de trabajo general,
sencillo y flexible, para las tareas de Planificación,
ESTRUCTURA MODULAR DE LA
Implantación y Mantenimiento de la seguridad. Además, RED
integra un grupo de componentes que contemplan los aspectos Este componente representa la red que se pretende proteger o
más importantes inherentes a la seguridad de las redes: en la cual se persigue gestionar la seguridad mediante el
• Modelo de Amenazas. Compuesto por los grupos de empleo de la Arquitectura de Seguridad propuesta. Empleando
amenazas a las que están expuestas las redes de este componente se pueden analizar las características propias
telecomunicaciones y sus elementos (dispositivos, de la red como son: funcionalidades, dispositivos, versiones de
servicios e información). software, protocolos, servicios, vulnerabilidades y otros.
• Pirámide de Seguridad. Elementos que protegen las redes La representación de la red de telecomunicaciones se realiza
de telecomunicaciones de las diferentes amenazas. Define mediante una estructura modular que generalmente responde a
los componentes fundamentales de cualquier implantación la arquitectura funcional de la red y a las actividades
de seguridad: objetivos, dimensiones, mecanismos y fundamentales que en ella se desarrollan.
soluciones de seguridad. La pirámide refleja la relación
En la X.800, por ejemplo, todos los servicios y mecanismos de
entre estos elementos.
seguridad se definen para la arquitectura de comunicaciones
• Estructura Modular de la Red. Representa la red de OSI (Open Systems Interconnect). La estructura modular de
telecomunicaciones que se pretende proteger de las ese caso pudiera utilizar la clásica arquitectura de siete capas
amenazas encontradas. Generalmente es una estructura para representar la red que se pretende proteger. Igualmente, si
modular que responde a la arquitectura funcional de la red se trata de una red TCP/IP (Transmisión Control
y, a los tipos de tráfico y servicios que en ella se Protocol/Internet Protocol), puede emplearse la arquitectura
encuentran. de cinco capas que comúnmente utilizan los autores para
Otro aspecto relevante en la Arquitectura de Seguridad representar el funcionamiento de este tipo de redes.
propuesta lo constituye el empleo de plantillas, las cuales
permiten realizar análisis más específicos mediante su La Estructura Modular de la Red hace utilizable la arquitectura
combinación con los elementos enumerados anteriormente. propuesta en gran variedad de redes (voz, video, datos), con
independencia del tamaño (pequeñas, medianas o grandes) y
A continuación se describen los aspectos más relevantes representadas de diversas formas (a partir de un modelo de
relacionados con cada componente de la arquitectura comunicaciones u otro).
propuesta.

MODELO DE AMENAZAS PIRÁMIDE DE SEGURIDAD


La Pirámide de Seguridad constituye la respuesta defensiva
A partir del análisis de amenazas realizado en trabajos ante las amenazas a las que están expuestas las redes de
anteriores 7,8,9,10,11 se pudo concluir que las amenazas para las telecomunicaciones. Como ya se mencionó, esta pirámide está
redes de telecomunicaciones modernas provienen compuesta por cuatro elementos esenciales para la gestión de
principalmente del sistema telefónico tradicional y de las redes seguridad: objetivos, dimensiones, mecanismos y soluciones
de datos IP7. de seguridad. La definición del contenido o de cómo se
Por otra parte, de acuerdo a la práctica utilizada por la UIT-T materializan dichos componentes se hace teniendo en cuenta
y la experiencia de los autores, se considera que una las amenazas que enfrentan y las características que posee la
arquitectura de seguridad necesita estar basada en grupos red que se pretende proteger (objeto social, arquitectura
generales de amenazas y no en cada una de sus funcional, dispositivos, versiones de software, servicios y
manifestaciones particulares. demás).
En la Arquitectura de Seguridad para redes de Existe una relación estrecha entre cada uno de los
Telecomunicaciones propuesta, se reutilizan los grupos de componentes de la pirámide. Los Objetivos de seguridad
amenazas sobre los sistemas de comunicaciones empleados en deben estar en consonancia con los objetivos u objeto social de
la X.800 y la X.805. Estos grupos son los siguientes: la organización en la cual se implanta o explota la red. De
• Destrucción de información y/o de otros recursos. ellos se desprenden las Dimensiones de seguridad a emplear y
de allí se seleccionan los Mecanismos que al final, en la
• Corrupción o modificación de información.
implementación, se materializan en herramientas de hardware
• Robo, supresión o pérdida de información y/o de otros
(Pix de Cisco, Eudemon), software (IPTables, ZoneAlarm,
recursos. Snort), procedimientos y políticas de seguridad. De esta forma,
• Revelación de información. la parte superior de la pirámide esta más cerca de la gestión
• Interrupción de servicios. corporativa de la entidad, responsable de la red de
Este Modelo de Amenazas no tiene que ser asumido de forma telecomunicaciones, y la parte inferior se encuentra más cerca
rígida. Lo más recomendable es realizar un análisis en cada de los dispositivos de la red.
red, servicio, aplicación u otros, para determinar aquellos
grupos de amenazas que mejor se corresponden a cada caso. La gestión de seguridad cotidiana se desarrolla básicamente
sobre los elementos de la base de la pirámide y sus resultados
pueden influir en los elementos superiores. Cuando se cuenta

13
con una Pirámide de Seguridad bien implementada y El último objetivo se refiere, esencialmente, a mantener la
gestionada se minimizan los incidentes de seguridad. disponibilidad de los elementos de la red para aquellas
entidades que están autorizadas a utilizarlos.
OBJETIVOS BÁSICOS DE Estos seis objetivos básicos deben regir las implementaciones
SEGURIDAD de seguridad en las redes de telecomunicaciones. En cada
empresa u organización deben adaptarse al objeto social y a las
En las etapas de Planificación, Implantación y Mantenimiento características de la red que se pretende proteger. Son
de la seguridad de redes y sistemas, imprescindibles desde el aplicables en todas las tareas de desarrollo de la red,
punto de vista de la gestión, debe considerarse la existencia de incluyendo el diseño e implantación de servicios y la
los Objetivos básicos de seguridad. construcción de aplicaciones.
Atendiendo a las amenazas existentes, y a las características de
las redes y servicios de telecomunicaciones actuales, los DIMENSIONES SEGURIDAD DE
autores proponen considerar los siguientes Objetivos de
seguridad: PARA LAS REDES DE
1. Identificar de forma inequívoca a los usuarios y sistemas TELECOMUNICACIONES
que interactúan en la red de telecomunicaciones. Según la UIT, una Dimensión de seguridad es un conjunto de
2. Implementar las herramientas necesarias para autorizar de medidas que responden a un determinado aspecto de la
forma particular cada acción de los usuarios y sistemas seguridad de red. Las dimensiones de seguridad incluyen la
sobre los elementos de la red (dispositivos, servicios e infraestructura de la red, las aplicaciones y la información del
información). usuario. Además, son aplicables por los proveedores de
3. Obtener el registro de cada acción o evento que tenga servicios y por las empresas que ofrecen asistencias de
lugar en la red de telecomunicaciones. Estos registros seguridad a sus clientes5.
deben servir para contrarrestar el repudio de eventos por En la Arquitectura de Seguridad que proponen los autores de
parte de los usuarios. este trabajo se reutiliza y amplía el concepto de Dimensiones
4. Limitar el acceso a los elementos de la red para que sólo de seguridad de la Recomendación X.805. Se ha considerado
sean accedidos por los usuarios y sistemas autorizados. que un grupo de Dimensiones de seguridad está dirigido a
5. Restringir los privilegios de modificación de los hacer cumplir los Objetivos de seguridad establecidos para una
elementos que componen la red, y en particular la red o servicio de telecomunicaciones. Una dimensión agrupa
información, sólo a los usuarios y sistemas autorizados. mecanismos de seguridad, los cuales se materializan en
6. Lograr el acceso continuo de los usuarios y sistemas a diferentes herramientas de software y hardware e incluso, en
todos los elementos de la red a los cuales están las políticas y procedimientos de trabajo que se establezcan.
autorizados.
El primer objetivo se refiere a la capacidad de que todas las Las Dimensiones de seguridad correctamente definidas e
entidades (usuarios y sistemas) que forman parte y utilizan la implementadas, se convierten en centro de atención de la
red de telecomunicaciones, tengan identidad propia, gestión de seguridad.
comprobable y auténtica. Las entidades son todos los Del análisis de los Objetivos básicos de seguridad definidos
elementos activos e inteligentes de la red y están identificadas, anteriormente se derivan directamente las Dimensiones de
en la mayor parte de los casos, por cuentas de usuario. seguridad siguientes: Autenticación, Control de Acceso, No
El segundo objetivo se refiere a la necesidad de establecer los Repudio, Confidencialidad, Integridad y Disponibilidad.
niveles de autorización para cada acción que se ejecute en la La definición de cada una de las Dimensiones de Seguridad
red. Todas las entidades deben tener privilegios específicos y propuestas coincide, en su esencia, con la que se hace en
estos deben ser verificados en cada acción. X.805. No obstante, el grupo de dimensiones utilizado difiere
El tercer objetivo se refiere a la necesidad de generar del empleado en esa Recomendación.
evidencias válidas de la actividad que tiene lugar en las redes. En la Recomendación X.8055 aparecen ocho dimensiones, lo
Para generar estas evidencias se utilizan fundamentalmente los cual se considera un número elevado, pues multiplica la
mecanismos de registro de eventos o trazas y la certificación cantidad de módulos con los que se trabaja y aumenta la
digital. complejidad de las tareas de seguridad de forma innecesaria.
El cuarto objetivo se refiere al control que se establece para Un primer cambio que se introduce es la exclusión de la
que las diferentes entidades sólo tengan acceso a los recursos a dimensión Privacidad. De acuerdo a la definición y a las tareas
los cuales están autorizados. En el caso particular de la asociadas a esta dimensión en la X.805, la misma tiene
información, se trata directamente de los problemas de perfecta cabida en la dimensión de Confidencialidad, sobre
confidencialidad. todo si esta última se refiere a toda la información que se
El quinto objetivo, se refiere al control de la integridad de los genera, almacena y transmite a través de la red. Esta
elementos de la red. Lograr este objetivo redunda en la redefinición de Confidencialidad se acerca mucho más a la
eliminación de posibles robos de identidad, modificaciones, utilización de la misma en la práctica y hace innecesario usar
duplicaciones o falsificaciones. una dimensión adicional para hablar de las medidas que
permiten proteger la información que puede obtenerse de

14
observar la actividad de la red. Todo esto no excluye el • Trabajo Forense.
empleo del término privacidad cuando la tarea se refiere a • Diagnósticos de Seguridad.
mantener la confidencialidad de la información de los • Análisis estadístico de eventos.
usuarios, proveedores y otros, o sea, una particularización de • Sistemas Proxy o intermediarios.
Confidencialidad. Por último, debe destacarse que las características de las redes
La redefinición planteada para la dimensión de de telecomunicaciones actuales obligan a tratar la gestión de
Confidencialidad, induce a realizar la misma aclaración para el seguridad no como una simple combinación de mecanismos
caso de la Integridad. Esta, de igual forma, debe abarcar toda sino como un trabajo integral, continuo y organizado.
la información que se genera, almacena y transmite a través de
la red. SOLUCIONES DE SEGURIDAD
Como segunda modificación importante se elimina la Como ya se ha mencionado, las Soluciones de seguridad
dimensión de Seguridad en las Comunicaciones. Los autores pueden ser procedimientos, políticas, software, hardware o una
han considerado que los aspectos que conciernen a esta combinación. Se refieren concretamente a una herramienta o
dimensión están distribuidos en el resto de las Dimensiones de documento que se implementa de forma oficial, respondiendo
seguridad, principalmente en las de Control de Acceso y a la planificación de seguridad de la red, donde ya se han
Confidencialidad, esta última luego de la redefinición hecha determinado por su orden: Objetivos, Dimensiones y
anteriormente. Si se garantiza el diseño e implantación Mecanismos de seguridad.
adecuado del resto de las Dimensiones, no resulta necesario
Un mismo Mecanismo de seguridad puede ser implementado a
trabajar con una dimensión extra para asegurar que, tal y como
través de diversas soluciones, en diferentes zonas de una red o
plantea X.805, la información sólo circule entre los puntos
en redes diferentes. Además, de acuerdo al lugar donde se
extremos autorizados (no hay desviación ni interceptación de
establezca, la Solución de seguridad puede seguir políticas y
la información que circula entre estos puntos extremo)5.
procedimientos de explotación diferentes.
El grupo de Dimensiones propuesto permite obtener una
Una vez que las Soluciones de seguridad son implementadas,
arquitectura más general, aplicable a todas las redes de
el trabajo de gestión se dedica a verificar constantemente su
telecomunicaciones actuales, desde las redes de datos
funcionamiento y efectividad, analizar sus resultados y a
tradicionales hasta las NGN.
realizar las actualizaciones necesarias.
MECANISMOS DE SEGURIDAD PLANTILLAS
En ninguna de las recomendaciones de la UIT-T, ni siquiera en
Con el objetivo de utilizar la Arquitectura de Seguridad en las
la X.800 o en la X.805, existe una definición exacta de lo que
diferentes tareas y entornos de red, se propone el uso de
representa un Mecanismo de seguridad. Para el trabajo con la
plantillas. Este constituye uno de los elementos más novedosos
Arquitectura de Seguridad que se propone en este artículo, se
de la propuesta de arquitectura.
introduce la definición que sigue: un mecanismo de seguridad
es un conjunto de soluciones tecnológicas (hardware, software Algunas plantillas deben ser aplicadas a toda la Estructura
y/o su combinación) y/o de procesos (políticas y Modular que representa la red en cuestión y otras pueden
procedimientos) de seguridad, que persiguen un mismo aplicarse a toda la estructura, a una capa o módulo en
objetivo. particular, de acuerdo al tipo de análisis que se esté realizando.
Aplicar una plantilla significa sobreponerla, cruzarla con la
Resulta muy difícil elaborar una lista de mecanismos que
Estructura Modular de la Red o con otras plantillas.
satisfaga todos los conceptos y visiones que poseen
especialistas, científicos y técnicos. Lo que si puede afirmarse A partir del empleo de plantillas, es posible planificar de
es que los Mecanismos de seguridad definidos en la X.800 forma independiente la seguridad de la capa de Transporte de
requieren ser actualizados, debido al desarrollo tecnológico una red TCP/IP típica, aplicando plantillas sólo a ese nivel, o
incorporado a los dispositivos y servicios, la amplia realizar un diagnóstico de seguridad aplicando las plantillas
dependencia que estos tienen del software, y a otros aspectos correspondientes a los módulos o capas que se quieran
que en la actualidad caracterizan las redes de comprobar.
telecomunicaciones y las soluciones de seguridad. Una De esta forma, la Arquitectura de Seguridad puede abarcar
propuesta de Mecanismos de seguridad es la siguiente: toda la red de telecomunicaciones o una de sus zonas. Esto
• Detección y prevención de intrusiones. hace muy flexible el trabajo con la arquitectura, pues permite
• Filtrado de paquetes. realizar análisis más específicos o granulares sobre un
• Criptografía (Firma digital, Certificación digital, Cifrado problema de seguridad, una tecnología o una zona de la red.
de información). Las plantillas persiguen reforzar la generalidad y la
• Sistemas AAA (Authentication, Authorization, flexibilidad de la arquitectura, extendiendo su vida útil incluso
Accounting). ante innovaciones tecnológicas o conceptuales. Estos aspectos
• Salvas o respaldos de información. garantizan estabilidad y continuidad en el trabajo de gestión de
• Mecanismos de actualización o parches de sistemas. seguridad.
• Antivirus.

15
PLANTILLAS DE ARQUITECTURA EJEMPLO DEL USO DE LA
FUNCIONAL ARQUITECTURA DE SEGURIDAD EN
Uno de los tipos de plantilla que los autores proponen utilizar, LAS REDES LOCALES
tiene como objetivo modificar la Estructura Modular de la Red A partir de una red local típica, cuya representación puede
para ajustarla a una arquitectura funcional diferente. Por observarse en el esquema de la Figura 4, se procederá a
ejemplo, a una arquitectura clásica de red TCP/IP de cuatro exponer un breve ejemplo del empleo de la Arquitectura de
capas se le puede aplicar (sobreponer) una plantilla que divida Seguridad propuesta.
el nivel de Aplicación en un número mayor de capas En la Figura 5 se observa una posible Arquitectura de
(Aplicación, Presentación y Sesión). Seguridad para la gestión de esta red. Nótese la representación
Este tipo de plantilla es muy útil, pues adapta el empleo de la de la red a gestionar en un modelo TCP/IP de cinco capas.
arquitectura de seguridad a la visión funcional de la red que Para este ejemplo se hace énfasis en una de las premisas que
puede tener un fabricante o un operador determinado. Una vez con más fuerza se defiende en el entorno de la seguridad de las
aplicada la plantilla, el número de capas o módulos de la redes, la llamada defensa en profundidad. La Arquitectura de
estructura aumenta, circunstancia sólo requerida en situaciones Seguridad propuesta permite realizar tareas de seguridad tanto
particulares o en redes de mayor complejidad. en el perímetro como en el interior de la red.
PLANTILLA DIMENSIONES DE En la Figura 6 se muestra cómo se puede construir una
plantilla de arquitectura funcional para facilitar la ejecución de
SEGURIDAD las tareas de gestión de seguridad en las diferentes zonas de la
Luego de aplicar, si resulta necesario, la plantilla de red.
arquitectura funcional correspondiente, se puede aplicar la Por último, la Figura 7 muestra el empleo de la Estructura
plantilla Dimensiones de seguridad (Figura 2) conforme a las Modular y las plantillas en la elaboración de medidas de
dimensiones propuestas anteriormente. seguridad para esa red local.
Al aplicar a cada módulo o capa de la Estructura Modular de
la Red la plantilla de Dimensiones, se obtiene una relación de PROPUESTA DE ARQUITECTURA DE
los Mecanismos a emplear para lograr los Objetivos de SEGURIDAD PARA LAS NGN
seguridad en cada módulo. Estos mecanismos, se traducirán en
soluciones de software y/o hardware, políticas y De acuerdo a esta propuesta de Arquitectura de Seguridad para
procedimientos, según sea el caso. redes de Telecomunicaciones, el único elemento que debe ser
configurado especialmente para obtener la arquitectura
Debe tomarse en cuenta que la aplicación de las Dimensiones correspondiente a las NGN es el denominado Estructura
de seguridad en cada módulo, puede significar el empleo de Modular de la Red. El Modelo de Amenazas y la Pirámide de
mecanismos y medidas de seguridad diferentes, aunque no se Seguridad permanecen inalterables, pues los análisis realizados
excluye la posibilidad de que un mismo mecanismo sirva para en su propuesta son válidos para este tipo de redes.
cubrir las necesidades de varios módulos de la red.
Se propone el empleo de una Estructura Modular que parte del
PLANTILLA ÁREAS DE TRABAJO DE Modelo Básico de Referencia (MBR) de las NGN12. El uso del
MBR garantiza dividir el problema de seguridad en dos partes
SEGURIDAD fundamentales: la seguridad en el transporte y la seguridad en
La gestión de seguridad debe potenciar tres áreas los servicios. Igualmente, la definición de tres planos: usuario,
fundamentales de acción: la Prevención, la Detección y la control y gestión, permite trabajar la seguridad atendiendo a
Recuperación de incidentes (PDR). Estas áreas deben estar los tres grupos de actividades fundamentales que se realizan en
presentes tanto en el diseño e implantación de redes y servicios las NGN.
de telecomunicaciones, como en las estrategias de migración. Del cruce de estratos y planos del MBR se obtienen seis
Por lo anterior, los autores proponen la plantilla Áreas de módulos con los cuales se debe trabajar, ya sea de forma
Trabajo de Seguridad (Figura 3). Mediante su empleo, en individual o grupal, en la aplicación de las plantillas que se
conjunto con la plantilla Dimensiones de seguridad, puede utilicen.
garantizarse la presencia de Mecanismos y Soluciones que, en Los módulos están conformados como sigue:
cada módulo o capa de la Estructura Modular de la Red, estén 1. Estrato de Transporte, Plano de Usuario.
dirigidos a proveer la prevención, detección y recuperación de 2. Estrato de Transporte, Plano de Control.
incidentes de seguridad. 3. Estrato de Transporte, Plano de Gestión.
En análisis más generales esta plantilla puede aplicarse sin 4. Estrato de Servicios, Plano de Usuario.
haber utilizado la plantilla Dimensiones de seguridad, o con la 5. Estrato de Servicios, Plano de Control.
ausencia de una o dos áreas, cuando se requiere estudiar o 6. Estrato de Servicios, Plano de Gestión.
fortalecer el trabajo en alguna de ellas. Debe tomarse en consideración que el MBR plantea una visión
funcional de las NGN. Las diferentes implementaciones de
estas redes pueden conducir a la unión de los planos de control

16
de los dos estratos (módulos 2 y 5), de acuerdo a la tecnología • Revisar permanentemente las variaciones en las
de control empleada. Lo mismo puede ocurrir con el plano de características de la red (dispositivos, servicios,
gestión de ambos estratos (módulos 3 y 6)12. protocolos, vulnerabilidades y otros).
En la Figura 8 puede observarse la propuesta de arquitectura • Evaluar de forma periódica el funcionamiento de la
para las NGN. Para los casos de implementaciones de redes implantación de los componentes de la pirámide
más complejas y/o análisis muy pormenorizados de la (especialmente las Soluciones de seguridad).
seguridad, los autores proponen utilizar una plantilla que • Realizar las modificaciones necesarias en los
permite ajustar la Estructura Modular de la Red a una componentes de la pirámide para alcanzar los niveles de
arquitectura funcional diferente. En este sentido se introduce el seguridad esperados.
empleo de la plantilla de cuatro capas (Figura 9), la cual
representa una arquitectura funcional de red empleada por DISCUSIÓN
múltiples fabricantes y operadores en la descripción de sus Hasta aquí se ha descrito una Arquitectura de Seguridad para
soluciones NGN13,14. redes de Telecomunicaciones. La arquitectura propuesta es
Cuando se aplica la plantilla de cuatro capas, no se modifica la sencilla, general y flexible, entre otras características que
influencia de los planos de actividades, pero el cruce de garantizan que sea aplicable a cualquier red de
estratos y planos multiplica el número de módulos a doce, en telecomunicaciones, incluyendo las NGN, tendencia
lugar de seis. Vale resaltar que pudiera aplicarse esta plantilla predominante en el sector. Con relación a esta arquitectura
sólo a uno de los planos, para realizar un análisis particular. deben destacarse los siguientes aspectos:
Por otra parte, los diferentes operadores y fabricantes pueden • Identifica y contempla los elementos esenciales a tomar en
acomodar el análisis de seguridad a su visión funcional de las cuenta para las tareas de seguridad de las redes: amenazas,
NGN, a partir de crear y aplicar otras plantillas similares a características de la red, objetivos, dimensiones,
esta. mecanismos y soluciones de seguridad. Los últimos cuatro
elementos se agrupan en una Pirámide de Seguridad. Esta
RELACIÓN CON LOS SISTEMAS DE composición permite establecer, de forma sencilla, la
correspondencia entre la Arquitectura de Seguridad y el
GESTIÓN DE SEGURIDAD sistema de gestión que la utilice.
La Arquitectura de Seguridad para redes de • Utiliza la representación funcional de las redes a través de
Telecomunicaciones propuesta ha sido aplicada en el la denominada Estructura Modular de la Red. Esto
desarrollo de tareas de gestión de seguridad en redes de datos garantiza la aplicabilidad de la arquitectura a las
y redes NGN cubanas. A partir de estas experiencias prácticas diferentes redes de telecomunicaciones y permite trabajar
y de un proceso de evaluación de las potencialidades de la con una misma red desde diferentes perspectivas de su
arquitectura (en el que participó un panel internacional de funcionalidad.
expertos) pueden destacarse su simpleza, flexibilidad, • Introduce el trabajo con plantillas. Este aspecto contribuye
generalidad, granularidad, compatibilidad con las normas a incorporar nuevos elementos de análisis, persigue
internacionales, garantía de la presencia de soluciones de reforzar la generalidad y la flexibilidad de la arquitectura,
prevención, detección y recuperación de incidentes, entre extendiendo su vida útil incluso ante innovaciones
otros. tecnológicas o conceptuales.
Otra característica muy importante de la arquitectura propuesta • Permite obtener la Arquitectura de Seguridad para redes
es que sus componentes favorecen la relación con cualquier específicas. En este trabajo se propuso una Arquitectura
sistema de gestión de seguridad que la utilice (ver Figura 10). de Seguridad para las NGN, lo cual constituye una
necesidad imperiosa para la comunidad internacional. Esta
Los sistemas de gestión de seguridad deben centrar su trabajo
propuesta se desarrolló a partir del empleo del MBR de
en planificar, implementar, y mantener actualizados los
las NGN como Estructura Modular y de una plantilla de
componentes de la Pirámide de Seguridad en la red de
cuatro capas para modificar dicha estructura en caso de
telecomunicaciones.
necesitar mayor especificidad en los análisis.
Para la Planificación e Implementación deben tomarse en • Reutiliza algunas propuestas de arquitecturas anteriores
consideración las amenazas y las características propias de la (X.800 y X.805). Incluye una lista actualizada de
red, representadas en la arquitectura a través del Modelo de mecanismos de seguridad (con respecto a la X.800),
Amenazas y de la Estructura Modular de la Red, atendiendo a las tendencias actuales de la industria de las
respectivamente. telecomunicaciones y de las soluciones de seguridad.
Para garantizar el Mantenimiento deben ejecutarse tareas de También se reduce el número de Dimensiones de
gestión que permitan: seguridad propuesto en la X.805 y se redefinen algunas de
ellas.
• Revisar de forma constante los cambios que se pueden
producir en las amenazas que existen sobre la red a CONCLUSIONES
proteger.
Las características de la actual industria de las
telecomunicaciones, tal como la constante introducción de

17
avances tecnológicos, la movilidad generalizada, la 10. MAMPAEY, M. & PARIDAENS, O.: “Alcatel Vision for
convergencia de redes, protocolos y servicios, la tendencia al Secured Next Generation Networks”. Technology White Paper,
empleo de IP como soporte, la dependencia del software, la disponible en http://www.alcatel.com/publications/, Alcatel,
variedad de los servicios disponibles y otras, obligan a realizar 2005.
un replanteamiento de las soluciones y normas de seguridad en 11. GAMM, B., HOWARD, B., & PARIDAENS, O.: “Security
las redes de telecomunicaciones. features required in an NGN”. Alcatel Telecommunications
Review, 2do trimestre, pp. 129-133, Alcatel, 2001.
La comunidad internacional se encuentra en medio de trabajos
de investigación y desarrollo con vistas a satisfacer estas 12. _____.: “General principles and general reference model for
Next Generation Networks”. Recomendación Y.2011 de la UIT-
necesidades. En esa dirección constituyen aportes los
T, 2004.
resultados expuestos en este artículo.
13. ____.: “Alcatel IMS Solution”. Disponible en :
Las características y componentes de la Arquitectura de http://www.alcatel.com/global/convergence/alcatelimssolution.ht
Seguridad propuesta permiten satisfacer los requerimientos de ml, Alcatel, 2006.
las redes de telecomunicaciones, y la convierten en un
14. _____.: “U-SYS SoftX3000 SoftSwitch System Technical
instrumento de gran utilidad para realizar las tareas de gestión
Manual”. Volume System Description, Huawei Technologies,
de seguridad en estas redes. 2004.

REFERENCIAS
1. ____.: “Arquitectura de seguridad de la interconexión de AUTORES
sistemas abiertos para aplicaciones del CCITT”. Walter Baluja Garcia. Ingeniero en Telecomunicaciones y
Recomendación X.800, CCITT, 1991.
Electrónica. Master en Telemática. Doctor en Ciencias
2. _____.: “Information technology. Security techniques. Técnicas. Especialista en Seguridad de Redes y Sistemas. Jefe
Information security management systems. Requirements”. del departamento de Telecomunicaciones y Telemática del
Norma ISO/IEC 27001:2005, 2005. ISPJAE.
3. _____.: “Cisco IOS Security Architecture”, White Paper,
Correo electrónico: walter@tesla.cujae.edu.cu
disponible en: http://www.cisco.com/warp/public/614/9.html
Cisco, 1995.
4. _____.: “Unified Security Architecture for enterprise network Caridad Anías Calderón. Ingeniera en Telecomunicaciones.
security”. White Paper, disponible en: Master en Telemática. Doctora en Ciencias Técnicas.
http://whitepapers.zdnet.com/whitepaper.aspx?&scname=Securit Especialista en Comunicaciones Ópticas. Especialista en
y%20Standards&docid=45207, Nortel Networks, 2002. Gestión de Redes y Servicios. Vicerrectora del ISPJAE.
5. _____.: “Arquitectura de seguridad para sistemas de
Correo electrónico: cacha@tesla.cujae.edu.cu
comunicaciones extremo a extremo”. Recomendación X.805 de
la UIT-T, 2003.
6. _____.: “NGN Security, Security Architecture”. Technical
Specification 187 003 v1.1.1. Telecommunication and Internet
converged Services and Protocols for Advanced Networking
(TISPAN), ETSI, 2006.
7. BALUJA, W., ANÍAS, C.: “Amenazas y defensas de seguridad
en las redes de Próxima Generación”. Ingeniería y
Competitividad, Vol. VIII, No. 2, pp. 5-14, Colombia, 2006.
8. BALUJA, W., & LLANES, A. C.: “Estado actual y tendencias
del enfrentamiento del fraude en las redes de
telecomunicaciones”. Ingeniería Eléctrica, Automática y
Comunicaciones, Vol. XXVI, No. 2, pp. 45-52, Cuba, 2005.
9. CURBELO, M. & BALUJA, W.: “Amenazas de seguridad a la
VoIP basada en SIP”. Telem@tica, Revista Digital de las
Tecnologías de la Información y las Comunicaciones. Año V,
No. 2, pp. 3-9, Cuba, 2006.

18
Objetivos

Dimensiones

Mecanismos

Soluciones

Figura 1. Arquitectura de Seguridad para las redes de Telecomunicaciones.

Figura 2. Plantilla Dimensiones de seguridad.

Figura 3. Plantilla Áreas de Trabajo de Seguridad.


Figura 4. Red local de datos típica.

Objetivos

Dimensiones

Mecanismos

Soluciones

Figura 5. Arquitectura de seguridad para la red de datos.

RP RSI RI
Red Red de Red
Perimetral Servidores Interna
Internos

+
Se obtienen quince módulos
de red a los cuales aplicar las
Dimensiones de Seguridad.

Figura 6. Aplicando una plantilla de arquitectura funcional para realizar análisis por zonas de la red y garantizar la defensa en profundidad.

20
Estructura Modular de la Red Autenticación
Control de Acceso
Plantilla de
13 14 15 No Repudio Dimensiones
10 11 12 Confidencialidad de
Seguridad
Integridad
7 8 9
Disponibilidad
4 5 6

1 2 3
P D R
r e e
5 e t c
v e u
e c p
n c e Plantilla
c i r PDR
i ó a
ó n c
n i
ó
n

Módulo 5
Dimensiones de Medidas
Seguridad
Prevención Detección Recuperación
Autenticación
Control de Acceso
No Repudio
Confidencialidad
Integridad
Disponibilidad

Figura 7. Elaboración de políticas de seguridad en uno de los módulos de la red de datos, a partir del uso de las plantillas PDR y Dimensiones de
Seguridad.

Objetivos

Dimensiones
4 5 6
Mecanismos 1 2 3

Soluciones

Figura 8. Arquitectura de Seguridad para las NGN.

Figura 9. Plantilla de cuatro capas para las NGN.


Objetivos

Dimensiones

Mecanismos

Soluciones

Figura 10. Relación entre los Sistemas de Gestión de Seguridad y la Arquitectura de Seguridad para redes de Telecomunicaciones.