PDF

ESTUDIO Y DISEÑO DE UN SISTEMA DE DETECCIÓN DE INTRUSOS – IDS
SNORT PARA LA UNIVERSIDAD DEL SINU – SECCIONAL CARTAGENA -

SEDE SANTILLANA
JESÚS ANTONIO CABARCAS GÓMEZ

RAFAEL IGNACIO ACEVEDO PARDO
JAIME RAFAEL BARRIOS CANTILLO
UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA

ESCUELA DE CIENCIAS BÁSICAS, TECNOLOGÍA E INGENIERÍA
INGENIERIA EN SISTEMAS
ESPECIALIZACIÓN EN SEGURIDAD INFORMÁTICA
BOGOTÁ D.C
2017
ESTUDIO Y DISEÑO DE UN SISTEMA DE DETECCIÓN DE INTRUSOS – IDS
SNORT PARA LA UNIVERSIDAD DEL SINU – SECCIONAL CARTAGENA -
SEDE SANTILLANA
JESÚS ANTONIO CABARCAS GÓMEZ

RAFAEL IGNACIO ACEVEDO PARDO
JAIME RAFAEL BARRIOS CANTILLO
Trabajo de grado para optar el título de especialista en seguridad informática
Docente
Mariano Romero
Ingeniero de Sistemas
UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA

ESCUELA DE CIENCIAS BÁSICAS, TECNOLOGÍA E INGENIERÍA
INGENIERIA EN SISTEMAS
ESPECIALIZACIÓN EN SEGURIDAD INFORMÁTICA
BOGOTÁ D.C
2017
EXCLUSIÓN DE RESPONSABILIDAD
Las ideas expresadas en este documento son de exclusiva responsabilidad de sus
autores y no comprometen la ideología de la Universidad Nacional Abierta y a
Distancia UNAD.
3
Nota de aceptación
________________________________
________________________________
________________________________
________________________________
________________________________
Firma del presidente del jurado
________________________________
Firma del jurado
________________________________
Firma del jurado
________________________________
Bogotá, 28 de febrero de 2018
4
CONTENIDO
pág
INTRODUCCIÓN ...................................................................................................11
1. EL PROBLEMA DE INVESTIGACIÓN ..........................................................13
1.1. DESCRIPCIÓN .........................................................................................13
1.2. FORMULACIÓN DEL PROBLEMA. ..........................................................14
1.3. SUBPREGUNTAS ....................................................................................14
2. OBJETIVOS ..................................................................................................15
2.1. OBJETIVO GENERAL ..............................................................................15
2.2. OBJETIVOS ESPECÍFICOS .....................................................................15
2.3. JUSTIFICACIÓN .......................................................................................16
2.4. ALCANCE Y DELIMITACIÓN DEL PROYECTO ......................................18
3. MARCO DE REFERENCIA ...........................................................................19
3.1. ANTECEDENTES DEL PROBLEMA ........................................................19
3.2. MARCO TEÓRICO CONCEPTUAL ..........................................................21
3.2.1. Arquitectura genérica de un IDS.. .............................................................21
3.2.2. Tipos de IDS en función del enfoque.. ......................................................22
3.2.3. Tipos de IDS en función del origen de los datos. ......................................23
3.2.4. Tipos de IDS en función de su estructura.. ...............................................24
3.2.5. Tipos de IDS en Función de su Comportamiento.. ...................................25
3.2.6. Introducción a Snort.. ................................................................................26
3.2.7. Características técnicas. ...........................................................................27
3.2.8. Arquitectura de Snort. ...............................................................................27
3.2.9. Modos de alerta de Snort. .........................................................................29
3.2.10. Pasos configuración Snort. ....................................................................30
3.2.11. Creación de reglas de detección. . ........................................................33
3.2.12. Activo.. ...................................................................................................35
3.2.13. Amenaza.. .............................................................................................35
3.2.14. Ids.. ........................................................................................................35
3.2.15. Snort.. ....................................................................................................35
5
3.2.16. Mysql.. ...................................................................................................36
3.2.17. Fichero...................................................................................................36
3.2.18. Tcp.........................................................................................................36
3.2.19. Logs.. .....................................................................................................36
3.2.20. Puertos de red. ......................................................................................36
3.2.21. Linux.. ....................................................................................................36
3.2.22. Ip............................................................................................................36
3.2.23. Sniffer.. ..................................................................................................36
3.3. MARCO DE CONTEXTO ..........................................................................37
3.4. MARCO LEGAL ........................................................................................38
3.4.1. Ley 1273 de 2009. ....................................................................................38
3.4.2. Ley Estatutaria 1266 del 31 de diciembre de 2008, art 3°, lit. e, f, g y h y
Sentencia C-1011/08. ............................................................................................39
3.4.3. Convenio sobre la ciberdelincuencia Budapest.. ......................................40
3.4.4. Ley 527 de 1999. ......................................................................................40
3.4.5. Ley 734 de 2002. ......................................................................................40
3.4.6. Ley 842 de 2003. ......................................................................................40
3.4.7. Ley 1581 de 2012. ....................................................................................40
3.4.8. Ley 1712 de 2014. ....................................................................................40
4. METODOLOGÍA ...........................................................................................41
4.1. TIPO DE INVESTIGACIÓN ......................................................................41
4.2. DISEÑO DE INVESTIGACIÓN .................................................................41
4.3. POBLACIÓN .............................................................................................41
4.4. MUESTRA ................................................................................................41
4.5. TÉCNICAS E INSTRUMENTOS DE RECOLECCIÓN DE INFORMACIÓN
43
4.5.1. Técnica de recolección de datos...............................................................43
4.5.2. Instrumentos de recolección de datos.. ....................................................43
4.6. TECNICA DE PROCESAMIENTO DE DATOS.........................................43
5. RESULTADOS ..............................................................................................46
5.1. IDENTIFICACION Y CLASIFICACION DE ACTIVOS CRITICOS DE LA
ORGANIZACIÓN. ..................................................................................................46
5.2. EVALUACION DEL NIVEL DE SEGURIDAD DE LOS ACTIVOS
INFORMATICOS CRITICOS DE LA ORGANIZACIÓN..........................................49
6
5.3. DESCRIPCION DE LAS FORMAS EN QUE TRABAJA SNORT (MODO
SNIFFER, PACKET LOGGER, MODO NIDS O MODO INLINE) COMO SISTEMA
DE DETECCIÓN DE INTRUSOS EN UNA ORGANIZACIÓN. ..............................50
5.3.1. Modo Sniffer..............................................................................................50
5.3.2. Modo Packet Logger.. ...............................................................................51
5.3.3. Modo Nids.................................................................................................51
5.4. DISEÑO DE LA INFRAESTRUCTURA NECESARIA PARA EL BUEN
FUNCIONAMIENTO DEL SISTEMA DE DETECCIÓN DE INTRUSOS – IDS
SNORT EN LA UNISINU. ......................................................................................52
5.4.1. Software.. ..................................................................................................52
5.4.2. Hardware. .................................................................................................53
5.4.3. Descripción diagrama de red.. ..................................................................54
6. DISCUSIÓN DE RESULTADOS ...................................................................58
7. CONCLUSIONES .........................................................................................60
7. RECOMENDACIONES ......................................................................................61
8. BIBLIOGRAFÍA ..................................................................................................62
7
LISTA DE TABLAS
pág.
Tabla 1. Identificación de activos ...........................................................................46
Tabla 2. Valoración de los activos……………………………………………….…….48
Tabla 3. Resultado valoración de activos...............................................................49
Tabla 4. Evaluación del nivel de seguridad de los activos .....................................49
8
LISTA DE CUADROS
pág.
Cuadro 1. Calculo muestra ....................................................................................42
9
LISTADO DE ILUSTRACIONES
pág.
Ilustración 1. Origen de ataques hacia Colombia ...................................................13
Ilustración 2. Topología sede UNISINU .................................................................18
Ilustración 3. Arquitectura de un IDS. ....................................................................22
Ilustración 4. Esquema de Snort ............................................................................29
Ilustración 5. Arquitecturas de red para despliegue de Snort.................................35
Ilustración 6. Fórmula para cálculo de la muestra poblaciones finitas. ..................42
Ilustración 7. Salida de comando SNORT..............................................................52
Ilustración 8. Diagrama de red sede Santillana UNISINU ......................................54
10
INTRODUCCIÓN
En la actualidad la información se ha convertido en el activo más importante y una
pieza fundamental en las actividades de una empresa u organización, tanto las
Empresas, el Estado y las personas que dependen de esta se benefician de la
misma.
Las Tecnologías de información y la comunicación (TIC), es una herramienta de
apoyo que permite a las personas, empresas y el estado realizar actividades del día
a día de una manera más rápida y optima, pero esta trae implícita una serie de
oportunidades, cambios y amenazas que impactaran dentro de la organización.
Por otra parte, la protección y custodia de los datos personales contenidos en las
bases de datos encargadas del tratamiento (persona natural o jurídica, pública o
privada), se deben sujetar a lo establecido en la Ley estatutaria 1581 de 2012.
Por todo lo anteriormente, las consecuencias de la perdida de información dentro
de una entidad que proteja datos personales y maneje información sensible trae
consigo demandas por parte de las personas, indisponibilidad de los servicios
prestados, pérdida de credibilidad, pérdida de imagen institucional etc. por ende con
el proyecto de estudio y diseño de un sistema de detección de intrusos se pretende
reducir el riesgo de ocurrencia de un siniestro y disminuir el impacto si el siniestro
se presentara. A continuación se realiza una pequeña descripción de que es un IDS:
11
Diego Gonzales Gómez 1 Define los IDS como el fruto de la aplicación del
Procesamiento Electrónico Datos (EDP) a las auditorias de seguridad, donde se
utilizan mecanismos como la identificación de patrones y métodos estadísticos. Esta
es una parte que no puede faltar en las modernas tecnologías de seguridad de
redes.
Según María Giménez2 un IDS es un elemento que escucha y analiza toda la
información que transita por la red de datos e identifica los posibles ataques que se
puedan presentar. Cuando aparece un ataque, donde se vea comprometida la
seguridad, este reacciona informando al administrador y cerrando las puertas o
vectores de ataques al posible intruso reconfigurando elementos de red como
firewall y routers.
1
GONZÁLEZ GÓMEZ, Diego [en línea]. Sistema de Detección de Instrucciones. 2010. [Citado 5,
mayo, 2017]. Disponible en: <http://derecho-internet.org/docs/ids.pdf>. p.86.
2
GIMÉNEZ GARCÍA, María Isabel [en línea]. Utilización de Sistemas de Detección de Intrusos
como Elemento de Seguridad Perimetral. Almería, 262 h: Universidad de Almería, 2008. [Citado 10,
abril, 2017]. Disponible en: <http://www.adminso.es/recursos/Proyectos/PFC/PFC_marisa.pdf>. p.3.
12
1. EL PROBLEMA DE INVESTIGACIÓN
1.1. DESCRIPCIÓN
La Universidad del SINU – Sede Santillana localizada en Cartagena, depende
altamente de sus recursos computacionales para el desarrollo de su función, por lo
tanto establece las siguientes medidas de seguridad, como, diseño y aplicación de
políticas de seguridad perimetral, lineamientos basados en las buenas prácticas de
ISO 27001, aplicación de políticas en el firewall para minimizar los riesgos de
ataques que según las estadísticas que se muestran en la siguiente grafica de
www.digitalattackmap.com se detecta que los principales ataques que sufre nuestro
país vienen de otros continentes, así mismo una serie de capacitaciones sobre
seguridad de informática al cliente interno, como a terceros relacionados.
Ilustración 1. Origen de ataques hacia Colombia.
Fuente: www.digitalattackmap.com.
13
Existen varios riesgos que puede sufrir la Universidad tales como ataques de
denegación de servicios a los servidores principales donde está la información
crítica de sus procesos misionales.
Abuso de privilegios por parte de los administradores de los servidores que tienen
acceso a la información.
Divulgación estadística no autorizada de la información almacenada en los
servidores como historial de notas y resultados de los estudiantes.
1.2. FORMULACIÓN DEL PROBLEMA.
¿Cómo el estudio y diseño de un Sistema de detección de intrusos – IDS SNORT
ayudará a disminuir los tiempos de respuesta frente a los ataques de seguridad que
puedan presentarse en la UNISINU Cartagena?
1.3. SUBPREGUNTAS
¿Qué metodología se aplica para la identificación y valoración de activos que se

incluyen en el estudio?
¿Qué método o forma de trabajar tiene SNORT para que le sea más útil a la
UNIVERSIDAD DEL SINU aplicando todas sus ventajas?
¿Qué clase de infraestructura tecnológica debe ser la más apropiada para que el
sistema SNORT pueda desempeñarse con un óptimo grado de rendimiento?
14
2. OBJETIVOS
2.1. OBJETIVO GENERAL
Diseñar el Sistema de Detección de Intrusos – IDS SNORT para mejorar el nivel de
madurez en seguridad de los activos informáticos de la UNISINU que permita
mitigar los riesgos a los que está expuesta su información.
2.2. OBJETIVOS ESPECÍFICOS
• Identificar y clasificar los activos críticos informáticos que se van a proteger
dentro de la sede Santillana de la UNISINU.
• Evaluar el nivel de seguridad de los activos informáticos críticos de la
organización.
• Describir las formas en que trabaja SNORT (Modo Sniffer, Packet Logger,
modo NIDS o modo Inline) como sistema de detección de intrusos en una
organización.
• Diseñar la infraestructura necesaria para el buen funcionamiento del Sistema
de Detección de Intrusos – IDS SNORT en la UNISINU.
15
2.3. JUSTIFICACIÓN
Para la Universidad del SINÚ es muy importante el diseño de este proyecto porque
permite en gran medida mitigar y contrarrestar los ataques informáticos que se
presentan tanto al interior como al exterior de la entidad.
Las personas que se beneficiarán con la implementación de este proyecto serán los
estudiantes y personal administrativo de la universidad.
Uno de los principales beneficios de este proyecto es que los estudiantes y personal
administrativo de la universidad estarán protegidos contra cualquier intento de
ataque ya sea de DDOS, SQL inyección, XSS, suplantación de identidad, entre otros
tanto dentro como fuera de la organización.
Uno de los principales motivadores que influyeron a la hora de llevar a cabo el
diseño de este proyecto, es establecer que la Universidad pueda contar con una
herramienta que les permita tomar decisiones en tiempo real ante posible
vulneración de su información, de igual forma el proyecto permitirá disminuir las
probabilidades de ataques a los recursos informáticos. Otro factor importante a la
hora de diseñar y adoptar un Sistema de detección de intrusos es que el costo en
su implementación es menor al costo que se genera cuando ocurre un siniestro
causado por un ingreso no autorizado a los recursos de la red.
Este diseño del Sistema de detección de intrusos – IDS SNORT hace que la
UNIVERSIDAD DEL SINU:
Cuente con un sistema IDS capaz de registrar en tiempo real cada uno de los
ataques que se presenten tanto al interior como al exterior de la entidad.
16
Controle y garantice la seguridad de la información dentro de la entidad.
Analice la información generada por el IDS SNORT para saber que tendencias o
eventos persistentes se presentan en la red para posteriormente realizar ajustes en
materia de seguridad en la infraestructura y tomar decisiones operacionales y
administrativas.
17
2.4. ALCANCE Y DELIMITACIÓN DEL PROYECTO
En este proyecto se va a realizar un diseño de un IDS llamado SNORT en la red de
la sede Santillana de la universidad del SINU en Cartagena para ser aplicado
únicamente por el área de Tecnología. A continuación, se adjunta la topología de
la sede.
Ilustración 2. Topología sede UNISINU.
Fuente: Universidad del SINU.
18
3. MARCO DE REFERENCIA
Para llevar a cabo este trabajo se tiene en cuenta un referente conceptual que es
muy importante para lograr el éxito del mismo. Un elemento importante, es el IDS:
que permite vigilar cada uno de los paquetes que se están enviando y recibiendo a
través de toda la red.
3.1. ANTECEDENTES DEL PROBLEMA
Se pude considerar la información como el activo más importante dentro de la
universidad, por ende este genera unos efectos tanto en los procesos
administrativos como educativos, permitiéndole a la institución tener una ventaja
competitiva con respecto a otras universidades del sector.
A ciencia cierta no se sabe si tanto dentro como fuera de la universidad se están
llevando a cabo actos de ciberataques con el fin de violentar las medidas de
seguridad de la información implementadas por la institución para salvaguardar la
información que reposa dentro de sus servidores.
Así las cosas, la universidad actualmente no cuenta con un sistema que permita en
tiempo real establecer si se está llevando a cabo un intento de ataque a los sistemas
de información que yacen dentro de esta, permitiéndole tomar acciones correctivas
y mitigar el impacto del mismo.
A continuación se describen los antecedentes más relevantes de la investigación:
19
Emilio Mira3 desarrollo un proyecto titulado con el nombre “Implantación de un
Sistema de Detección de Intrusos en la Universidad de Valencia” en Octubre de
2001 cuya idea principal de este proyecto era instalar un IDS en una de las troncales
de la universidad de valencia con el fin de mitigar los riesgos de seguridad que se
venían dando al interior de esta. Como resultado de esta implementación se pudo
establecer en tiempo real cuando se está realizando un ataque a la red,
permitiéndole saber de dónde proviene el ataque.
Otro proyecto que se tomó como referencia fue el elaborado por Anthony González4
en abril de 2011“Implementación de un Sistema de Detención de Intruso (IDS) en,
en la Red WIFI del Laboratorio G de la Universidad Simón Bolívar sede litoral”. Fue
una experiencia bastante interesante y exitosa ya que la Universidad presentaba
unas deficiencias grandes en la red Inalambrica y con el resultado de este proyecto
se resolvieron en gran medida concluyendo en el mejoramiento de la calidad del
servicio y el monitoreo de equipos conectados a la red.
Gilber Garzon5 en el año 2015 llevo a cabo el proyecto “Propuesta para la
implementación de un sistema de detección de intrusos (IDS) en la dirección general
3
MIRA ALFARO, Emilio José [en línea]. Implantación de un Sistema de Detección de Intrusos en la
Universidad de Valencia. Valencia, 142 p: Proyecto Final (Ingeniería Informática) Universidad de
Valencia. [Citado 10, abril, 2017]. Disponible en: http://rediris.es/cert/doc/pdf/ids-uv.pdf.
4
GONZÁLEZ DA SILVA, Anthony Rafael [en línea]. Implementar un Sistema de Detención de
Intruso (IDS) en la Red Wifi del Laboratorio G de la Universidad Simón Bolívar sede litoral. Informe
final de pasantías. Universidad Simón Bolívar, Coordinación de tecnología eléctrica y electrónica.
20010. 161 p. [Citado 15, mayo, 2017]. Disponible en: <https://e-
archivo.uc3m.es/bitstream/handle/10016/5929/PFC_Beatriz_Martinez_Santos.pdf?sequencDe=1>.
5
GARZON PADILLA, Gilberto [en línea]. Propuesta para la implementación de un sistema de
detección de intrusos (IDS) en la dirección general sede central del instituto nacional penitenciario
y carcelario INPEC“PIDSINPEC, 75 p: Proyecto de Grado (Especialista en seguridad informática)
Universidad Nacional Abierta y a Distancia. [Citado 20, noviembre, 2017]. Disponible en:
http://stadium.unad.edu.co/preview/UNAD.php?url=/bitstream/10596/3494/3/86057594.pdf.
20
sede central del instituto nacional penitenciario y carcelario INPEC“PIDSINPEC”, ya
que esta carecía de un sistema capaz de contrarrestar los ataques informáticos
tanto dentro como al interior de la institución. Como resultados de la investigación
se obtuvieron un análisis del estado actual de la seguridad en el INPEC, así como
también unas recomendaciones de donde se puede ubicar el sistema de detección
de intrusos al interior de la entidad.
Luis García6 desarrollo el proyecto titulado con el nombre “sistema inteligente de
detección de intrusiones”, en la universidad complutense de Madrid en el año 2011.
El propósito que tuvo esta investigación fue diseñar un sistema de detección de
intrusos capaz de detectar un ataque mediante el análisis del payload del tráfico de
red. Una de las ventajas que ofrece este sistema es que es capaz de detectar un
código malicioso al momento que este viaja sobre la red de datos, mientras que los
otros sistemas solo lo hacen al momento de recibir el binario.
3.2. MARCO TEÓRICO CONCEPTUAL
3.2.1. Arquitectura genérica de un IDS. Según María Giménez7 dice que
actualmente existes varios tipos de IDS, y estos se clasifican dependiendo de sus
características. Cada cual se diferencia el uno del otro dependiendo del monitoreo
y análisis que realizan, cada cual posee sus ventajas y desventajas.
6
MARTÍNEZ PUENTES, Javier [en línea]. Sistemas inteligentes de detección de intrusos, 119 p:
Proyecto de Grado (Master en investigación informática) universidad complutense de Madrid.
[Citado 20, noviembre, 2017]. Disponible en: http://eprints.ucm.es/13504/1/MA_2011-15.pdf
7
GIMÉNEZ. Op. cit., p. 7.
21
Ilustración 3. Arquitectura de un IDS.
Clasificación de los Sistemas de

Detección de Intrusos
Enfoque Origen de Datos Estructura Comportamiento
Detección de
NIDS Centralizados Activos
Anomalias
Detección de Uso Distribuidos

HIDS Pasivos
Incorrecto (DIDS)
Hibridos Hibridos
Fuente: El autor.
A continuación, se describirán cada uno de los diferentes tipos de sistemas de
detección de intrusos.
3.2.2. Tipos de IDS en función del enfoque. Dentro de este existe dos grupos de
IDS: los que se basan en normas, los cuales detectan el uso indebido del sistema y
los adaptables que detectan las anomalías dentro del sistema.
22
3.2.2.1. Detección de anomalías. Consiste en el comportamiento que los
usuarios tienen dentro de la red, permitiéndole establecer patrones de tal forma que
si existe una desviación en el comportamiento se considera como una intrusión al
sistema en cuestión.
Una de las principales características es que no se tienen que estar actualizando
las firmas con periodicidad.
3.2.2.2. Detección del uso indebido. Se encarga de monitorear todas las
actividades que se llevan a cabo dentro del sistema y los compara con una base de
datos firmas guardas con anterioridad. Cuando se encuentra una coincidencia con
alguna de las firmas almacenadas se dispara una alerta
Una de las principales características de este tipo de análisis es la precisión con la
que se detectan los ataques
3.2.3. Tipos de IDS en función del origen de los datos. Con respecto a lo anterior,
existen tres tipos de IDS: los basados en host, basados en red y los híbridos, a
continuación, se realizará una breve explicación de cada uno de ellos.
23
3.2.3.1. HIDS: Host-based Intrusion Detection Systems. Este IDS tiene la tarea
de identificar cada una de las amenazas e intrusiones a nivel de host local, es decir,
estos solo se encargan de salvaguardar el host donde se encuentran instalados u
hospedados.
Según María Giménez8 este tipo de IDS se encargan monitorizar un gran volumen
de eventos y actividades dentro del sistema con una gran fidelidad, pudiendo
establecer que usuarios y procesos se encuentran envueltos en determinada acción
dentro del sistema.
3.2.3.2. NIDS: Network Intrusion Detection Systems. Según María Giménez 9
dice que este tipo de IDS se encarga de monitorear y responder ante eventos
generados, pero la diferencia con el HIDS es que protegen la red local donde se
encuentran alojados. Su ventaja principal es que son pasivos y no interfieren con el
correcto uso de la red. Su funcionamiento a través de un dispositivo configurado de
forma promiscua, le permite capturar todos los paquetes que circulan por la red para
su análisis.
3.2.4. Tipos de IDS en función de su estructura. Se clasifican en centralizados y
distribuidos.
3.2.4.1. Distribuidos (DIDS). Según María Giménez10 este tipo de IDS como su
nombre lo indica consiste en instalar de manera distribuida varios sistemas,
8
Ibíd., p. 14-15.
9
Ibíd., p. 15-17.
10
Ibíd., p. 17-18.
24
repartidos en diferentes equipos y puntos de red, los cuales se comunican con un
nodo central que se encarga de recibir toda la información pertinente y donde se
correlacionan los datos con el fin de tener una visión mucho más amplia del sistema
y detectar con precisión los ataques y amenazas.
3.2.4.2. Centralizados. Según María Giménez11 en este tipo de IDS se utilizan
sensores que se encargan de transmitir la información a un sistema central donde
lleva el control de todo el proceso. Una de las ventajas con respecto al distribuido
es el ahorro en la adquisición de equipos.
3.2.5. Tipos de IDS en Función de su Comportamiento. Según María Giménez 12
los IDS pasivos (Escuchan el trafico pero solamente previenen ataques) e y los IDS
activos (responden a los ataques con respuesta defensivas).
11
Ibíd., p. 18-19.
12
Ibíd., p. 19-20.
25
3.2.5.1. Pasivos (IDS). Como dice María Giménez13 Este tipo de sistemas solo
se encargan de generar alertas o notificaciones a las personas encaradas de la
seguridad de la red, pero no toman acciones correctivas o defensivas para
solucionar el evento.
3.2.5.2. Activos (IPS). Como dice María Giménez14 Este tipo de sistemas
reaccionan a eventos que se estén presentando en la red y toma las medidas
correctivas necesarias para solucionar el ataque que se está presentando.
3.2.6. Introducción a Snort. Beatriz Martínez15 define a Snort como un Sniffer de
paquetes y un IDS de red. Mattew Tanase16 considera a Snort como un software
que se encarga de registrar todo el tráfico que circula tanto dentro como fuera de un
ordenador conectado a la Internet.
Por otra parte Northcutt S, Kohlenberg T, Esler J, Beale J, Baker A17 define a Snort
como un IDS de red que registra y analiza todo el tráfico en tiempo real.
Beatriz Martinez18 describe a Snort este es un software de licencia Open Source
que tiene grandes características para el manejo de la seguridad. Este software
13
Ibíd., p. 19.
14
Ibíd., p. 19-20.
15
MARTÍNEZ SANTOS, Beatriz [en línea]. Stella, una honeypot virtual de alta interacción para
Windows XP. Proyecto Final (Ingeniería de telecomunicación). Madrid. Universidad Carlos III de
Madrid. 2009 [Citado 15, mayo, 2017]. P 45. Disponible en: <https://e-
archivo.uc3m.es/bitstream/handle/10016/5929/PFC_Beatriz_Martinez_Santos.pdf?sequencDe=1>.
16
TANASE, Mattew. Sniffers: What They Are and How to Protect Yourself [en línea]. [Citado 20 de
junio de 2017]< https://www.symantec.com/connect/articles/sniffers-what-they-are-and-how-protect-
yourself >.
17
NORTHCUTT, Stephen; KOHLENBERG, Toby; ESLER, Joel; BEALE, Jay y BAKER, Andrew R.
[en línea]. Snort Intrusion Detection and Prevention Toolkit. Burlington, MA : Syngress. 2007.
[Citado 5, mayo, 2017]. P 34. Disponible en:
<http://bibliotecavirtual.unad.edu.co:2051/login.aspx?direct=true&db=nlebk&AN=214744&lang=es&
site=eds-live&ebv=EB&ppid=pp_Cover>.
18
MARTINEZ. Op. cit., p. 45
26
permite analizar y monitorear distintos host dentro de una red, generando una serie
de alertas de los posibles ataques llevados a cabo en contra del sistema. Este
software se puede integrar con MYSQL para gestionar mejor los registros
generados de los ataques.
3.2.7. Características técnicas. Las principales características técnicas que posee
Snort se describirán a continuación:
FlexResp si existe una conexión que esté generando tráfico malicioso, la destruye
a través de un DROP mediante el envío de un paquete con el flag RST.
Otra característica es su subsistema flexible de firmas de ataques.
Se encargan de buscar una serie de patrones que se establecieron con anterioridad
que impliquen algún evento anormal dentro de la red u Host.
Aportan a la organización unas capacidades de seguridad, en lo que tiene que ver
con la prevención y alertas anticipadas de cualquier evento anormal.
No se concibieron para detener ataques, pero si permiten generar una serie de
respuestas a estos19.
3.2.8. Arquitectura de Snort. La arquitectura de Snort, presenta unos componentes
básicos para su funcionamiento que se describen a continuación:
19
MENDOZA, Jaime [en línea]. Conociendo SNORT. 2010. [Citado 10, abril, 2017]. p 12.
Disponible en:
<https://www.owasp.org/images/d/df/OWASP_PRESENTACION_SNORT_JIMR.pdf>.
27
Módulo de captura del tráfico: Permite la captura de los paquetes que viajan por la
red utilizando la librería libcap.
Decodificador: Se encarga de tomar los paquetes que están viajando por la red y
tipificarlos en los diferentes protocolos.
Preprocesadores: Es el tipo de tráfico al cual se quiere realizar análisis del tráfico
por ejemplo http, telnet, IP etc.
Motor de Detección: Se encarga del análisis de los paquetes con base en unas
reglas ya preestablecidas para la detección de los ataques.
Archivo de Reglas: Son el conjunto de reglas definidas para la detección de las
amenazas20.
20
GÓMEZ LÓPEZ, Julio. Optimización de sistemas de detección de intrusos en red utilizando
técnicas computacionales avanzadas. Universidad de Almería. 2009. p 22
28
Ilustración 4. Esquema de Snort
Fuente: http://www.adminso.es/images/d/d0/Pfc_Carlos_cap3.pdf.
3.2.9. Modos de alerta de Snort. Este software Snort trae consigo 4 tipos de alertas
las cuales describen a continuación:
Syslog. Envía las alarmas al syslog
Formato Syslog:
output alert_syslog: LOG_AUTH LOG_ALERT
output alert_syslog: host= hostname:port, LOG_AUTH LOG_ALERT

Alert_Fast: Esta alerta devuelve información sobre: tiempo, mensaje de
alerta, clasificación, prioridad de la alerta, IP puerto de origen y destino.
Formato alert_Fast:
alert_fast: <output filename>
output alert_fast: alert.fast
Alert_Full: Este tipo de alerta completa devuelve información sobre:

tiempo, mensaje de la alerta, clasificación, prioridad de la alerta, IP y
29
puerto de origen/destino e información completa de las cabeceras de los
paquetes registrados.
Formato alert_Full: alert_full: <output filename>
output alert_full: alert.full.
Alert_smb: Permite a Snort realizar llamadas al cliente de SMB, y enviar

mensajes de alerta a hosts Windows (WinPopUp). Para activar este
modo de alerta, se debe compilar Snort con el conmutador de habilitar
alertas SMB.
(enable –smbalerts). Evidentemente este modo es para sistemas

Linux/UNIX.
Para usar esta característica enviando un WinPopUp a un sistema

Windows, añadiremos a la línea de comandos de Snort: -M
WORKSTATIONS.
Formato alert_smb:
alert_smb: <alert workstation filename>
output alert_smb: workstation.list
Alert_unixsock: Manda las alertas a través de un socket, para que las

escuche otra aplicación.
Formato alert_unixsock:
alert_unixsock.
output alert_unixsock.21
3.2.10. Pasos configuración Snort. Para poder trabajar con Snort se deben
realizar una serie de pasos para poder ponerlo en marcha, esta configuración se
realiza sobre un sistema operativo Linux:
21
GIMÉNEZ. Op. cit., p. 56-58.
30
Se crea el directorio de trabajo de snort:
mkdir /etc/snort
Se crea el directorio donde se van a guardar las firmas:
mkdir /etc/snort/rules
Se crea el directorio donde va a guardar el registro de actividad:
mkdir /var/log/snort
Agregar el usuario
adduser snort
Cambiar el propietario del archivo
chown snort /var/log/snort
Se crea el fichero de configuración local:
touch /etc/sysconfig/snort
Se copia el ejecutable a su directorio de trabajo:
cp /usr/local/bin/snort /usr/sbin
A continuación, se deben copiar los ficheros necesarios para poder

trabajar con Snort:
Ficheros de configuración.
Se copia el fichero snort.conf en /etc/snort/ de la siguiente forma:
cp /root/snort-2.8.0.1/etc/snort.conf /etc/snort/
Se copia el fichero unicode.map en /etc/snort ejecutando:
cp /root/snort-2.8.0.1/etc/unicode.map /etc/snort/
Se copia el script de inicio del servidor:
cp /root/snort-2.8.0.1/rpm/snortd /etc/init.d/
31
chmod 755 /etc/init.d/snortd
Firmas:
Se deben de descargar las firmas de Snort desde www.snort.org y

descomprimir las firmas en la carpeta /etc/snort/rules.
Posteriormente se copian los archivos con la extensión .config en el

directorio /etc/snort. Estos archivos son classification.config y
references.config:
cp /etc/snort/rules/*.config /etc/snort
Preprocesadores:
Se crea la carpeta donde se van a guardar los preprocesadores

ejecutando:
mkdir /etc/snort/preproc_rules
Finalmente se copian los preprocesadores del directorio de las fuentes a

la carpeta que hemos creado:
cp /root/snort-2.8.0.1/preproc_rules/* /etc/snort/preproc_rules/
El fichero de configuración (/etc/snort/snort.conf) les permite configurar el

sistema para realizar las siguientes acciones:
Se debe especificar cuáles son las redes o red sobre la cual actuara
Snort.
Configurar librerías dinámicas. Estas librerías son archivos

independientes que son llamados desde el ejecutable.
Configurar los preprocesadores. Son extensiones que permiten definir la

forma como se analizan y detectan los paquetes.
Configurar los plugins de salida. Establecer la forma de presentar la

información ya sea por pantalla, Base de datos, log etc 22.
22
Ibíd., p. 70-72.
32
3.2.11. Creación de reglas de detección. Julio Gómez23 define las reglas o
firmas como patrones que se buscan dentro de los paquetes de datos. Las reglas o
patrones Snort son utilizadas por el motor de detección para comparar los paquetes
recibidos y generar las alertas en caso de existir coincidencia entre el contenido del
paquete y las firmas. El archivo utilizado para añadir o eliminar clases enteras de
reglas se encuentra ubicado en /etc/snort/snort.conf. Este archivo permite
desactivar toda una categoría comentando la línea de la misma.
Ahora describiremos como se crean las reglas en Snort:
3.2.11.1. Estructura de una regla. Las reglas en Snort son unas instrucciones
dentro del fichero de reglas, que se deben escriben en una sola línea, en caso
contrario se debe usar el carácter de escape (\).
El siguiente es un ejemplo de la creación de una regla:
alert tcp any 110 ‐> (content:”filename=\”infeccion.TXT.vbs\””;\ nocase;
msg “Virus-Infección”;)
Estas reglas se dividen en dos partes como se muestran a continuación:
La cabecera: está conformada por la acción de la regla, el protocolo IP, máscaras
de red, puertos de origen y destino del paquete o dirección de la operación.
La sección opciones: trae dentro los mensajes información útil para tomar la
decisión.
23
GÓMEZ. Op. cit., p. 25-40.
33
3.2.11.2. Cabecera de una regla. La cabecera es la encargada de identificar el
origen y destino de la comunicación, y esta información ejecuta una acción
determinada. a continuación, se describe como se encuentra estructurada una
regla:
<acción> <protocolo> <red origen> <puerto origen> <dirección> <red destino>
<puerto destino> .
3.2.11.3. Opciones de una regla. Contiene toda la información que necesita
Snort para tomar una decisión. Se definen 4 tipos de reglas, las cuales se
describirán a continuación:
Metadata: Es el encargado de suministrar a los administradores del sistema
información adicional relacionada con la regla.
Payload: Se encarga de realizar una búsqueda de patrones o firmas dentro de la
carga útil de paquetes.
Non-Payload: Se encarga de realizar una búsqueda de patrones dentro de los
demás campos del paquete cuando estos no son carga útil.
Post-detection: Es el encargado de habilitar las reglas específicas, las cuales se
ejecutan luego de que se ejecuta una regla24.
24
Ibíd., p. 25-40.
34
Ilustración 5. Arquitecturas de red para despliegue de Snort.
Fuente: El autor.
3.2.12. Activo. Es un componente o funcionalidad de un sistema de
información que puede ser atacado de forma equivocada o con pleno
consentimiento, con un impacto negativo dentro de la organización.
3.2.13. Amenaza. Causa potencial de un evento o incidente no deseado, el
cual puede causar un daño al sistema o una organización25.
3.2.14. Ids. Es un sistema que posee unos sensores que permiten detectar un
acceso no autorizado a una red o a un host.
3.2.15. Snort. Es un sistema IDS que permite detectar intrusos a través de
unas reglas que utilizan firmas que permiten identificar los ataques o tráfico no
convencionales.
25
INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. Information technology —
Security techniques — Information security management systems — Overview and vocabulary.
ISO. 2001. ISO/IEC 2016. 28 p.
35
3.2.16. Mysql. Es un motor de base de datos relacional que permite almacenar
estructuras de datos como son las bases de datos.
3.2.17. Fichero. Es una porción de espacio utilizado en el disco duro en binario
con un nombre físico y lógico y una ubicación física.
3.2.18. Tcp. Protocolo de comunicación estándar que se utiliza en redes de
computadores y de telecomunicaciones.
3.2.19. Logs. Son archivos que contienen una bitácora o registro de
transacciones que se realizan sobre un determinado sistema.
3.2.20. Puertos de red. Son las puertas lógicas del sistema operativo utilizado
por una aplicación para proveer los servicios, por ejemplo para FTP se utiliza el
puerto 21.
3.2.21. Linux. Sistema operativo que permite realizar tareas, administrar los
recursos de un equipo y provee servicios a través de un conjunto de comandos.
3.2.22. Ip. Es una dirección lógica que identifica un host en una red y a través
de la IP tiene conectividad o comunicación con los otros host de la red.
3.2.23. Sniffer. Es un sistema que husmea el tráfico que va hacia una red o
un host, lo identifica y luego lo almacena en LOGS o bases de datos.
36
3.3. MARCO DE CONTEXTO
26
UNIVERSIDAD DEL SINU: Para el año 1974, el Dr. Elías Bechara Zainúm funda
la primera sede en la ciudad de Montería con el nombre Corporación Universitaria
del Sinú con el único propósito de contribuir al cambio de la región y los alrededores.
A lo largo de sus existencia la universidad se ha hecho merecedora de varios
reconocimientos como se destacan los siguientes “Francisco de la Torre y Miranda”
del Municipio de Montería y la condecoración “Simón Bolívar” conferida por el
Ministerio de Educación Nacional.
La misión y la visión de la UNIVERSIDAD DEL SINU consiste en:
“Es deber de la Universidad del Sinú, procurar la formación integral de las personas
a través de la conservación, transmisión y desarrollo de la ciencia y de la cultura en
busca de la verdad y generación de conocimiento, para lograr la armonía e identidad
del ser humano con el mismo, con la sociedad y su ambiente creando una sociedad
global más libre, culta y justa.”27
La visión de la universidad es:
“Seremos una Universidad con una estructura docente, administrativa y planta física
pertinente para la generación del conocimiento, consolidando la comunidad
académica y las acciones de proyección social que permitan cultivar valores
institucionales dentro de un sistema de aseguramiento de calidad”.
26
UNIVERSIDAD DEL SINU. Reseña Histórica [en línea]. [citado en 5 de octubre de 2017].
http://www.unisinucartagena.edu.co/index.php/resena-historica.
27
UNIVERSIDAD DEL SINU. Misión y Visión [en línea]. [citado en 5 de octubre de 2017].
http://www.unisinucartagena.edu.co/index.php/mision-y-vision.
37
Los objetivos estratégicos de la sede son:
La Universidad del Sinú ha establecido seis Ejes Estratégicos que se han
determinado en el Plan de Desarrollo 2012 – 2017.
En este sentido los ejes que integran la etapa de formulación estratégica, para este
nuevo período de consolidación académica y administrativa, desarrollos
investigativos con impacto social e inserción en las políticas de internacionalización
establecidas para la universidad, son:
• Eje 1. Fortalecimiento de la Calidad Académica.
• Eje 2. Investigación, Nuevas tecnologías y Transferencias de
conocimientos.
• Eje 3. Proyección Social y Extensión.
• Eje 4. Fortalecimiento y Consolidación de Bienestar Universitario.
• Eje 5. Internacionalización.
• Eje 6. Modernización Administrativa y Fortalecimiento Financiero.
3.4. MARCO LEGAL
A continuación, se relacionan las normas y leyes aplicables al proyecto.
3.4.1. Ley 1273 de 200928.
28
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 1273 (5, enero, 2009). por la cual se dictan
las disposiciones generales del Hábeas Data y se regula el manejo de la información contenida en
bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la
proveniente de terceros países y se dictan otras disposiciones.. Diario Oficial. Bogotá. 2009. 4 p.
38
3.4.2. Ley Estatutaria 1266 del 31 de diciembre de 2008, art 3°, lit. e, f, g y h y
Sentencia C-1011/08. Datos personales e impersonales. “e) Dato personal. Es
cualquier pieza de información vinculada a una o varias personas determinadas o
determinables o que puedan asociarse con una persona natural o jurídica. Los datos
impersonales no se sujetan al régimen de protección de datos de la presente ley.
Cuando en la presente ley se haga referencia a un dato, se presume que se trata
de uso personal. Los datos personales pueden ser públicos, semiprivados o
privados;
f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la
Constitución Política y todos aquellos que no sean semiprivados o privados, de
conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en
documentos públicos, sentencias judiciales debidamente ejecutoriadas que no
estén sometidos a reserva y los relativos al estado civil de las personas;
g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima,
reservada, ni pública y cuyo conocimiento o divulgación puede interesar no solo a
su titular sino a cierto sector o grupo de personas o a la sociedad en general, como
el dato financiero y crediticio de actividad comercial o de servicios a que se refiere
el Título IV de la presente ley.
h) Dato privado. Es el dato que por su naturaleza íntima o reservada solo es
relevante para el titular;”29
29
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 1266 (31, diciembre, 2008). Por la cual se
dictan las disposiciones generales del Hábeas Data y se regula el manejo de la información
39
3.4.3. Convenio sobre la ciberdelincuencia Budapest. Tratado europeo # 185 con el
objetivo de aplicar con carácter prioritario una política penal común con objeto de
proteger a la sociedad frente a la ciberdelincuencia, en particular mediante la
adopción de una legislación adecuada y la mejora de la cooperación internacional30.
3.4.4. Ley 527 de 199931.
3.4.5. Ley 734 de 200232.
3.4.6. Ley 842 de 200333.
3.4.7. Ley 1581 de 201234.
3.4.8. Ley 1712 de 201435.
contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de

servicios y la proveniente de terceros países y se dictan otras disposiciones. Diario Oficial. Bogotá.
2008. 17 p.
30
CONVENIO SOBRE LA CIBERDELINCUENCIA [en línea]. Budapest. (23, noviembre, 2001).
[Citado 8, marzo, 2017]. 26 p. Disponible en:
<http://www.oas.org/juridico/english/cyb_pry_convenio.pdf>.
31
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 527 (18, agosto, 1999). Por medio de la cual
se define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las
firmas digitales, y se establecen las entidades de certificación y se dictan otras disposiciones.
Diario Oficial. Bogotá. 1999. no. 43673.
32
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 734 (5, febrero, 2002). Por la cual se expide
el Código Disciplinario Único. Diario Oficial. Bogotá. 2002. no. 44699
33
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 842 (9, octubre, 2003). Por la cual se
modifica la reglamentación del ejercicio de la ingeniería, de sus profesiones afines y de sus
profesiones auxiliares, se adopta el Código de Ética Profesional y se dictan otras disposiciones.
34
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 1581 (17, octubre, 2012). Por la cual se
dictan disposiciones generales para la protección de datos personales. Diario Oficial. Bogotá. 2012.
no. 48587.
35
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 1712 (6, marzo, 2014). Por medio de la cual
se crea la Ley de Transparencia y del Derecho de Acceso a la Información Pública Nacional y se
dictan otras disposiciones. Diario Oficial. Bogotá. 2014. no. 49084 .13 p
40
4. METODOLOGÍA
Para llevar a cabo la metodología este proyecto nos basaremos en la metodología
de Roberto Hernández Sampieri36.
4.1. TIPO DE INVESTIGACIÓN
La investigación será aplicada ya que esta es una actividad que tiene por finalidad
la búsqueda y consolidación del saber, y la aplicación de los conocimientos para el
enriquecimiento del acervo cultural y científico, así como la producción de tecnología
al servicio del desarrollo integral del país.
4.2. DISEÑO DE INVESTIGACIÓN
Para este proyecto la investigación fue de tipo experimental, ya que se manipularon
algunas variables y escenarios para ver cómo se comportaba el IDS ante distintos
eventos.
4.3. POBLACIÓN
La población está constituida por 12 trabajadores del área de sistemas
4.4. MUESTRA
La muestra estuvo conformada por 10 personas del área de sistemas donde se
aplicó un muestreo probabilístico.
36
HERNÁNDEZ SAMPIERI, Roberto [en línea]. Metodología de la Investigación. Mexico D.F. Mc
Graw Hill. 2014.
41
Ilustración 6.Fórmula para cálculo de la muestra poblaciones finitas.
Fuente: https://investigacionpediahr.files.wordpress.com/2011/01/formula-para-
cc3a1lculo-de-la-muestra-poblaciones-finitas-var-categorica.pdf.
Cuadro 1. Calculo de la muestra.
Calculo Muestra Finita Murray y Larry

Variables Porcentajes Valor
90 1,645
n 10 95 1,96
N 12 97 2,24
Za 1,96 99 2,576
p 5
q 0,95 95 1,96
d 5
Fuente: El autor.
42
4.5. TÉCNICAS E INSTRUMENTOS DE RECOLECCIÓN DE INFORMACIÓN
4.5.1. Técnica de recolección de datos. La técnica utilizada en este proyecto fue la
encuesta y entrevista que permite la recolección de la información necesaria de la
muestra estudiada. La encuesta fue diseñada con el objetivo de identificar la
percepción de los funcionarios del área de Sistemas de la Universidad acerca de la
situación actual de la seguridad informática en la institución y sus antecedentes. Se
realizó a 15 funcionarios el día 5 de Septiembre de 2017.
4.5.2. Instrumentos de recolección de datos. Para el proyecto la técnica de análisis
de datos que se va a utilizar es la llamada Análisis de correlaciones basada en la
técnica de tabulación.
Esta técnica consiste en determinar si existe una relación entre dos variables
cuantitativas diferentes y cuan fuerte es esa relación entre las variables. Se suele
usar cuando se piensa que las variables tienen una evolución similar.
4.6. TECNICA DE PROCESAMIENTO DE DATOS
Teniendo en cuenta el punto anterior la técnica elegida es la TABULACION con lo
cual sabremos la tendencia de las variables definidas en el cuestionario aplicado a
la muestra. Esta técnica permite asignar numeración a las preguntas y una
numeración a las distintas opciones que pretenden tener las respuestas a las
preguntas definidas. Luego se procede a realizar graficas de análisis de los
resultados.
43
FORMATO DE ENTREVISTA
UNIVERSIDAD DEL SINU - SEDE SANTILLANA
Nombre: Fecha:
Edad: Estado Civil:
Cargo que desempeña: Estudiante de:
División / Facultad:
Tipo de Vinculación:
A continuación, responda las siguientes preguntas relacionadas con la seguridad de
la información que Ud maneja o es relacionada con los sistemas de información de
la universidad a los cuales usted accede.
Esta información es de carácter reservado.
PREGUNTA 1.
Ud ha sufrido o ha sido víctima de robo de información en esta sede de la
universidad?
SI
NO
PREGUNTA 2.
Existen controles al acceder a los sistemas de información de la Universidad que
permiten controlar el acceso, la copia o fuga de la información?
SI
NO
44
PREGUNTA 3.
Existe alguna herramienta de seguridad perimetral de protección de la información
en la sede Santillana de UNISINU?
1. SI
2. NO
PREGUNTA 4.
Existen logs que permitan registrar el tráfico entrante y saliente de la red interna y
perimetral de la sede Santillana de la UNISINU?
1. SI
2. NO
PREGUNTA 5.
La sede Santillana de la UNISINU ha sufrido incidentes de seguridad relacionados
con indisponibilidad de servicio?
1. SI
2. NO
45
5. RESULTADOS
5.1. IDENTIFICACION Y CLASIFICACION DE ACTIVOS CRITICOS DE LA
ORGANIZACIÓN.
Luego de realizar Identificación de los activos informáticos de la sede Santillana de
UNIVERSIDAD DEL SINU se obtuvo la siguiente relación.
Tabla 1. Identificación de activos.
Nombre de activo Tipo de activo Descripción o rol Responsable Disposición final

Magerit
Servidor DELL HARDWARE Servidor Proxy Jefe de sistemas Centro de computo
Optiplex 75
Servidor DELL HARDWARE Servidor de Red Jefe de sistemas Centro de computo
Optiplex GX 520
Servidor Power HARDWARE Servidor de Correo Jefe de sistemas Centro de computo
Edge 1900 (Linux)
Servidor IBM X25 HARDWARE Servidor de Base Jefe de sistemas Centro de computo
series de datos
Servidor DELL HARDWARE Servidor Web Jefe de sistemas Centro de computo
Optiplex 170L
Servidor JANUS HARDWARE Servidor Huellas Jefe de sistemas Centro de computo
Dig Gen Core Duo
Windows 2008 SOFTWARE Jefe de sistemas Centro de computo
Server
Quiron Cliente SOFTWARE Servidor de Jefe de sistemas Centro de computo
manejo académico
Quiron.Net SOFTWARE Aplicación web Jefe de sistemas Centro de computo
para estudiantes,
Docentes y
funcionarios
Quiron Campus SOFTWARE Aplicación virtual Jefe de sistemas Centro de computo
para estudiantes,
docentes y
funcionarios.
Comodín SOFTWARE Software contable Jefe de sistemas Centro de computo
Tesorero SOFTWARE Software de caja Jefe de sistemas Centro de computo
Prisma SOFTWARE Software de Jefe de sistemas Centro de computo

Cartera e inventario
Nomina SOFTWARE Software de Jefe de sistemas Centro de computo
Nomina
ISIS SOFTWARE Software de control Jefe de sistemas Centro de computo
Bibliográfico
Fuente: El Autor.
46
En la tabla anterior se encontraron unos activos informáticos con los siguientes
roles:
• Servidor Proxy
• Servidor de red
• Servidor de Correo
• Servidor de base de datos
• Servidor de Huellas
También se encontraron varios softwares de servicios misionales, de apoyo y
sistemas operativos como son: Windows 2008 Server, Quirón Cliente, Quiron.Net,
Quirón Campus, Comodín, Tesorero, Prisma, Nomina, ISIS.
Todos los activos anteriormente mencionados están ubicados en el centro de
cómputo de la sede Santillana y el custodio es el jefe de sistemas y su equipo de
trabajo.
La valoración de los activos se realiza con base en los principios de
confidencialidad, integridad y disponibilidad cuya calificación será la siguiente:
Confidencialidad: Este valor tendrá un rango de valores entre 1 y 5 de acuerdo a la
importancia del activo, y lo representaremos con la letra C.
Integridad: Este valor tendrá un rango de valores entre 1 y 5 de acuerdo a la
importancia del activo, y lo representaremos con la letra I.
Disponibilidad: Este valor tendrá un rango de valores entre 1 y 5 de acuerdo a la
importancia del activo, y lo representaremos con la letra D.
Valor activo: Es la sumatoria de Confidencialidad + Integridad + Disponibilidad
47
Se realizó la valoración y clasificación de activos utilizando la metodología
MAGERIT como se muestra a continuación:
Tabla 2. Valoración de activos.
Tipo de
Valor
activo Disposición
Nombre de activo Descripción o rol Responsable C I D Activ
MAGERI Final
o
T
Servidor DELL Optiplex Jefe de Centro de
HW Servidor Proxy
75 sistemas computo 1 2 4 7
HW Servidor de Red
GX 520 sistemas computo 3 3 4 10
Servidor Power Edge Jefe de Centro de
HW Servidor de Correo
1900 (Linux) sistemas computo 3 2 4 9
Servidor de Base de Jefe de Centro de
Servidor IBM X25 series HW
datos sistemas computo 4 4 5 13
HW Servidor Web
170L sistemas computo 3 2 3 8
Servidor JANUS Dig Gen Jefe de Centro de
HW Servidor Huellas
Core Duo sistemas computo 3 2 3 8
Jefe de Centro de
Windows 2008 Server SW
sistemas computo 4 3 2 9
Servidor de manejo Jefe de Centro de
Quiron Cliente SW
académico sistemas computo 4 4 5 13
Aplicación web para
estudiantes, Jefe de Centro de
Quiron.Net SW
Docentes y sistemas computo
funcionarios 3 4 3 10
Aplicación virtual
para estudiantes, Jefe de Centro de
Quiron Campus SW
docentes y sistemas computo
funcionarios. 3 3 3 9
Jefe de Centro de
Comodín SW Software contable
Jefe de Centro de
Tesorero SW Software de caja
Software de Cartera Jefe de Centro de
Prisma SW
e inventario sistemas computo 2 4 3 9
Jefe de Centro de
Nomina SW Software de Nomina
Software de control Jefe de Centro de
ISIS SW
Bibliográfico sistemas computo 2 3 3 8
Fuente: El Autor.
Como resultado de la valoración de activos se obtuvieron 3 activos informáticos más
críticos dentro de la entidad como son: el servidor de base de datos, el software
48
Quirón Cliente y el software de Comodín, los cuales se van a proteger por el gran
impacto que estos tienen dentro de la organización. A continuación, relacionamos
los activos y el valor obtenido.
Tabla 3. Resultado valoración de activos.
NOMBRE DE ACTIVO TIPO ACTIVO DESCRIPCION O ROL VALOR ACTIVO

Servidor IBM X25 series HARDWARE Servidor de Base de datos 13
Quirón cliente SOFTWARE Software de manejo académico 13
Comodín SOFTWARE Software Contable 11
Fuente: El Autor.
5.2. EVALUACION DEL NIVEL DE SEGURIDAD DE LOS ACTIVOS
INFORMATICOS CRITICOS DE LA ORGANIZACIÓN.
Se realizó una evaluación de seguridad a los siguientes activos informáticos más

críticos.
Tabla 4. Evaluación del nivel de seguridad de los activos.
NOMBRE DE DESCRIPCION O ROL FIREWAL IPS / WA ANTIVIRUS NIVEL DE

ACTIVO L IDS F SEGURIDAD
Servidor IBM X25 Servidor de Base de NO NO N/A SI BAJO

series datos
Quirón cliente Software de manejo NO NO NO SI BAJO

académico
Comodín Software Contable NO NO NO SI BAJO
Fuente: El Autor.
49
En la evaluación realizada se evidencia que los activos críticos no poseen sistemas
de protección de seguridad como son Firewall, IPS, IDS y WAF (Web Application
Firewall) por lo cual se determina que su nivel de seguridad es bajo y se considera
indispensable la implementación de un sistema de detección de intrusos IDS.
5.3. DESCRIPCION DE LAS FORMAS EN QUE TRABAJA SNORT (MODO
SNIFFER, PACKET LOGGER, MODO NIDS O MODO INLINE) COMO SISTEMA
DE DETECCIÓN DE INTRUSOS EN UNA ORGANIZACIÓN.
5.3.1. Modo Sniffer. Captura el tráfico del host o red y lo visualiza en pantalla a
través de su plugin. Luego que finaliza, visualiza una estadística del tráfico. Para
empezar el modo sniffer y mostrar todo el tráfico en pantalla digitamos el comando
snort -v o snort – dev en una terminal. Este modo crea un brigde o puente
transparente entre dos segmentos de red. Esto significa que Snort tiene dos
interfaces de red: cada una en un segmento de red diferente. Configurará estas
interfaces sin una dirección IP y en modo promiscuo. Cuando ejecuta Snort,
escuchará el tráfico en cada interfaz. Cuando llega un paquete a una interfaz, Snort
lo inspecciona de acuerdo con sus reglas, luego lo suelta o lo envía a la otra interfaz
sin ninguna modificación. Debido a esto, los dos segmentos de red que manejan
puentes deben ser parte de la misma subred lógica.
De esta forma el SNORT detecta un ataque o comportamiento sospechoso, envía
a IPTABLES la petición para que interrumpa el tráfico de esa sesión. Para este
modo se debe configurar la tarjeta de red en modo promiscuo en cada bridge que
sea utilizado.
50
5.3.2. Modo Packet Logger. Al igual que el MODO SNIFFER captura el tráfico del
host o la red, pero adicional guarda los datos en unos logs para luego analizarlos.
Para ejecutarlo en este modo se escribe el comando -l y el nombre del directorio
donde se guardará.
5.3.3. Modo Nids. Este modo de operación es más completo y configurable. Permite
analizar todo el tráfico de la red en busca de intrusiones a partir de reglas y firmas
que el usuario configura. Este método, además de registrar los logs, almacena los
eventos en una base de datos y los visualiza a través de un plugin de salida.
También cuando Snort detecte tráfico sospechoso, se bloqueará ese tráfico y la
dirección IP origen. El resultado mostrará intentos de acceso no permitidos,
escaneos de puertos, ataques DOS, ejecución de exploits. Para configurarlo en este
modo se debe modificar el fichero de configuración SNORT.CONF escribiendo el
parámetro -c así:
/usr/sbin/snort -d -l /var/log/snort -c /etc/snort/snort.conf
Definitivamente la mejor opción es la tercera MODO NIDS ya que cumple con los
objetivos más importantes de la herramienta que es la detección de Intrusos, su
registro, su bloqueo, su almacenamiento con datos de fecha y hora para servir de
evidencia forense. A continuación, mostraremos como sería una salida del
comando.
51
Ilustración 7. Salida de comando SNORT.
Fuente: http://www.maestrosdelweb.com/snort/.
5.4. DISEÑO DE LA INFRAESTRUCTURA NECESARIA PARA EL BUEN
FUNCIONAMIENTO DEL SISTEMA DE DETECCIÓN DE INTRUSOS – IDS
SNORT EN LA UNISINU.
Para el diseño del sistema IDS SNORT se hace necesario contar con la
infraestructura tecnológica necesaria para su buen funcionamiento. A continuación,
se describen los componentes que harán parte de la infraestructura necesaria para
la implementación.
5.4.1. Software. El sistema operativo para este diseño es Ubuntu Server 16.04.3
LTS a 64 bits. Este software no requiere de licencia o suscripción alguna. Se
requiere el programa SNORT IDS que en su arquitectura de software consta de 4

52
componentes o capas como son el motor de SNORT, el motor de base de datos
MYSQL, el paquete que administra la actualización de reglas y firmas llamado
PULLED PORK, el plugin que está compuesto por el PHP y el presentador Apache,
con el fin de capturar el tráfico de los activos a ser monitoreados se hace necesario
diseñar la infraestructura tecnológica que va soportar las operaciones que realizan
los componente mencionados anteriormente. Para este software se debe adquirir
una licencia de suscripción con todas las reglas y actualizaciones.
5.4.2. Hardware. Esta solución de propósito específico se recomienda que sea
instalada en una maquina física con al menos 4 tarjetas de red de alta velocidad de
al menos 1mbps, discos duros de estado sólido con capacidad mínima de 1 Tera en
RAID 1, procesadores de generación 9 o mayor y memoria RAM mínimo de 16GB.
Todo este hardware será exclusivo para la solución en diseño.
Red: esta solución se instalará en la misma subred de los servidores para que
capture el tráfico, lo analice y genere oportunamente los eventos, alarmas y
estadísticas.
53
Ilustración 8. Diagrama de red sede Santillana UNISINU.
Fuente: El autor.
5.4.3. Descripción diagrama de red. A continuación, se describe el diagrama de red

con sus elementos.
Firewall Perimetral. Este firewall tiene habilitado las características de UTM como
son proxy, filtro web, control de aplicaciones, Inspección SSL, políticas o reglas para
controlar y restringir el tráfico, este firewall tendrá habilitada una política para darle
salida a internet al servidor SNORT que le permitirá actualizar las reglas. Por otro
lado, a través de este firewall los usuarios y otros dispositivos tendrán salida hacia
Internet de manera controlada.
Switch de Core. Este dispositivo de red administrará las VLAN de todas las subredes
existentes en la sede Santillana, tendrá los Gateway de las subredes permitiendo
de esta forma la comunicación del tráfico entre varios segmentos.
54
Switch de Borde de usuarios. Este Switch permitirá el acceso de los usuarios a
internet a través del Core y el Firewall y también el acceso a los servidores de base
de datos, Quirón Cliente y el Comodín.
Switch de Servidores. Este dispositivo tendrá configurado la red de servidores y en

los cuales se van a conectar el servidor de base de datos, el servidor Quirón Cliente
y el servidor de Comodín.
Servidores. Estos son los activos informáticos más críticos de la sede Santillana
como son: el servidor de base de datos, el software Quirón Cliente y el software de
Comodín. Adicional está conectado el servidor SNORT que realizara el monitoreo
con su sistema IDS sobre los más activos críticos.
A continuación, se relacionan algunas firmas de las que dispone el SNORT:
• Reglas para detección de ataques de denegación de servicios distribuidos

DDOS. A continuación, se muestra un ejemplo de cómo se configura:
alert tcp $HTTP_SERVERS any -> $EXTERNAL_NET any (msg:"ET

WEB_SERVER Mambo.PerlBot Spreader IRC DDOS Attacking Message";
flow:established,to_server; content:"PRIVMSG|20|"; content:"Attacking";
within:50; fast_pattern; classtype:trojan-activity; sid:2017831; rev:2;)
• Reglas para detección de ataques XSS Cross-site scripting. A continuación

se muestra un ejemplo de cómo se configura:
alert tcp $EXTERNAL_NET $HTTP_PORTS -> $HOME_NET any (msg:"ET

WEB_CLIENT Possible HTTP 401 XSS Attempt (External Source)";
flow:from_server,established; content:"401"; http_stat_code;
content:"Unauthorized"; nocase; file_data; content:"<script"; nocase;
55
within:280; reference:url,doc.emergingthreats.net/2010514; classtype:web-
application-attack; sid:2010514; rev:8;)
• Reglas para detectar NMAP, escaneo de puertos y análisis de

vulnerabilidades. A continuación se muestra un ejemplo como se configura:
alert tcp $EXTERNAL_NET any -> $HOME_NET $HTTP_PORTS (msg:"ET

SCAN NMAP SIP Version Detect OPTIONS Scan";
flow:established,to_server; content:"OPTIONS sip|3A|nm SIP/"; depth:19;
classtype:attempted-recon; sid:2018317; rev:1;)
• Reglas para detectar pruebas de envió de paquetes ICMP.
alert icmp any any -> $HOME_NET any (msg:"ICMP test detected"; GID:1;
sid:10000001; rev:001; classtype:icmp-event;)
• Reglas para detectar ataques de SQL Inyección. A continuación se muestra

un ejemplo de cómo se configura:
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS

(msg:"ET WEB_SPECIFIC_APPS Mambo N-Myndir UPDATE SET SQL
Injection Attempt"; flow:established,to_server; content:"GET"; http_method;
content:"/index.php?"; nocase; http_uri; content:"option=com_n-myndir";
nocase; http_uri; content:"flokkur="; nocase; http_uri; content:"UPDATE";
nocase; http_uri; content:"SET"; nocase; http_uri; pcre:"/UPDATE.+SET/Ui";
reference:url,packetstormsecurity.org/files/view/104706/mambonmyndir-
sql.txt; classtype:web-application-attack; sid:2013708; rev:2;
56
Dentro de las configuraciones que debe tener el sistema IDS está la habilitación de
notificaciones en tiempo real, al momento de la detección del ataque o
comportamiento anómalo, el administrador de la red recibirá un correo donde se le
está informando el incidente de seguridad, por otro lado, también tendrá una interfaz
web o pluging de salida que le permitirá monitorear en modo grafico los eventos,
alertos y estadísticas que la herramienta almacena en una base de datos.
57
6. DISCUSIÓN DE RESULTADOS
Esta investigación tuvo como objetivo estudiar y diseñar un sistema de detección de
intrusos capas de salvaguardar los activos informáticos críticos al interior de la
universidad del Sinú. Lo que se pretendió fue estudiar cual era la mejor forma para
configurar el IDS SNORT, así como también cual era la infraestructura necesaria
para el buen funcionamiento del software. Por otro lado se pretendió realizar una
calificación y evaluación de los activos, con el fin de encontrar cuales eran los más
importantes dentro de la entidad. También, se identificaron aquellas fallas de
seguridad dentro de la universidad.
De los resultados obtenidos en la investigación, podemos inferir que actualmente
los ataques informáticos, son mucho más sofisticados su tipología muy variada y en
muchos casos las actividades maliciosas pasan desapercibidos por los sistemas de
detección de intrusos. Los ciberdelincuentes utilizan técnicas de hacking cada vez
más avanzadas para burlar cualquier tipo de salvaguarda del que se disponga
dentro de la entidad u organización.
Como lo afirman en su investigación José Mira, Anthony González y Gilberto
Garzón; el IDS SNORT permite generar alertas en tiempo real, evitando que un
atacante ingrese a nuestros sistemas y se vean comprometidos. Cabe destacar que
todos los autores buscan el mismo fin proteger los activos .críticos dentro de la
organización
Por otro lado Javier Martínez afirma que su proyecto se diferencia de los otros
porque este es capaz de detectar un código malicioso al momento que este viaja
58
sobre la red de datos, si bien es cierto que para el momento de la investigación era
algo innovador en ese momento es una característica que trae el IDS SNORT dentro
sus funcionalidades en la actualidad.
Por otro lado, los resultados obtenidos en esta investigación se pueden tomar como
base para diseñar un sistema de detección de intrusos dentro de una entidad, con
el fin de mitigar y contrarrestar los riesgos informáticos a los que se encuentran
expuestos día a día.
Es necesario que se continúe investigando sobre cómo evolucionan los diferentes
ataques informáticos y las vulnerabilidades a las cuales nos encontramos
expuestos, así como también los diferentes salvaguardas existentes para
contrarrestar y mitigar el impacto de que ocurra algún siniestro.
59
7. CONCLUSIONES
El proyecto se llevó a cabo con la finalidad de realizar el diseño del sistema de
detección de intrusos IDS –SNORT para la sede Santillana de la UNISINU en donde
se lograron obtener unos resultados que permitieron determinar que es factible y
necesaria su implementación.
Luego de identificar y valorar los activos informáticos más críticos de la sede
Santillana de UNIVERSIDAD DEL SINU se evidenció que por su nivel de criticidad
es indispensable proteger los servidores y elementos de red.
En la evaluación del nivel de seguridad que mostró la alta vulnerabilidad que tienen
los activos críticos, lo anterior indica que se debe reforzar la seguridad de los activos
más críticos.
De acuerdo a los modos de operación del IDS-SNORT analizados, se debe usar el
modo NIDS por tener más visibilidad y ser más integral.
En la infraestructura diseñada se debe realizar las configuraciones y arquitecturas
recomendadas para obtener un resultado óptimo en la implementación.
60
7. RECOMENDACIONES
Luego de realizar el diseño del sistema de detección de intrusos IDS, se tienen las
siguientes recomendaciones para la UNISINU sede Santillana:
• Que la Dirección de la universidad tome como iniciativa implementación del
IDS SNORT para mejorar el nivel de seguridad de la red y servicios críticos
de la sede Santillana.
• Se recomienda antes de la implementación realizar pruebas o demo para un
buen dimensionamiento de la solución.
• Adquirir el servicio de suscripción para tener todo el potencial de las reglas
y firmas de SNORT. Esta suscripción se renueva anualmente.
• Alinear el sistema IDS con el sistema de seguridad de la información y la
gestión de incidentes de seguridad.
• Alinear el sistema IDS con un objetivo estratégico de la Universidad.
61
8. BIBLIOGRAFÍA
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 1266 (31, diciembre, 2008).

Por la cual se dictan las disposiciones generales del Hábeas Data y se regula el
manejo de la información contenida en bases de datos personales, en especial la
financiera, crediticia, comercial, de servicios y la proveniente de terceros países y
se dictan otras disposiciones. Diario Oficial. Bogotá. 2008. 17 p.
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 1273 (5, enero, 2009). Por

medio de la cual se modifica el código penal, se crea un nuevo bien jurídico
tutelado - denominado "de la protección de la información y de los datos"· y se
preservan integralmente los sistemas que utilicen las tecnologías de la información
y las comunicaciones, entre otras disposiciones. Diario Oficial. Bogotá. 2009. 4 p.
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 1581 (17, octubre, 2012). Por

la cual se dictan disposiciones generales para la protección de datos personales.
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 1712 (6, marzo, 2014). Por

medio de la cual se crea la Ley de Transparencia y del Derecho de Acceso a la
Información Pública Nacional y se dictan otras disposiciones. Diario Oficial.
Bogotá. 2014. no. 49084 .13 p.
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 527 (18, agosto, 1999). Por

medio de la cual se define y reglamenta el acceso y uso de los mensajes de datos,
del comercio electrónico y de las firmas digitales, y se establecen las entidades de
certificación y se dictan otras disposiciones. Diario Oficial. Bogotá. 1999. no.
43673.
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 734 (5, febrero, 2002). Por la

cual se expide el Código Disciplinario Único. Diario Oficial. Bogotá. 2002. no.
44699.
COLOMBIA. CONGRESO DE LA REPUBLICA. Ley 842 (9, octubre, 2003). Por la

cual se modifica la reglamentación del ejercicio de la ingeniería, de sus
profesiones afines y de sus profesiones auxiliares, se adopta el Código de Ética
Profesional y se dictan otras disposiciones. Diario Oficial. Bogotá. 2003. no.
45340.
CONVENIO SOBRE LA CIBERDELINCUENCIA [en línea]. Budapest. (23,

noviembre, 2001). 26 p. [Citado 8, marzo, 2017]. Disponible en:
<http://www.oas.org/juridico/english/cyb_pry_convenio.pdf>.
62
GARZON PADILLA, Gilberto [en línea]. Propuesta para la implementación de un
sistema de detección de intrusos (IDS) en la dirección general sede central del
instituto nacional penitenciario y carcelario INPEC“PIDSINPEC, 75 p: Proyecto de
Grado (Especialista en seguridad informática) Universidad Nacional Abierta y a
Distancia. [Citado 20, noviembre, 2017]. Disponible en:
http://stadium.unad.edu.co/preview/UNAD.php?url=/bitstream/10596/3494/3/86057
594.pdf.
GIMÉNEZ GARCÍA, María Isabel [en línea]. Utilización de Sistemas de Detección

de Intrusos como Elemento de Seguridad Perimetral. Almería: Universidad de
Almería, 2008. 262 p. [Citado 10, abril, 2017]. Disponible en:
<http://www.adminso.es/recursos/Proyectos/PFC/PFC_marisa.pdf>.
GÓMEZ LÓPEZ, Julio. Optimización de sistemas de detección de intrusos en red

utilizando técnicas computacionales avanzadas. Universidad de Almería. 2009.
127 p.
GONZÁLEZ DA SILVA, Anthony Rafael [en línea]. Implementar un Sistema de

Detención de Intruso (IDS) en la Red Wifi del Laboratorio G de la Universidad
Simón Bolívar sede litoral. Informe final de pasantías. Universidad Simón Bolívar,
Coordinación de tecnología eléctrica y electrónica. 20010. 161 p. [Citado 15,
mayo, 2017]. Disponible en: <https://e-
archivo.uc3m.es/bitstream/handle/10016/5929/PFC_Beatriz_Martinez_Santos.pdf?
sequencDe=1>.
GONZÁLEZ GÓMEZ, Diego [en línea]. Sistema de Detección de Intrucciones.

2010. 292 p. [Citado 5, mayo, 2017]. Disponible en: <http://derecho-
internet.org/docs/ids.pdf>.
HERNÁNDEZ SAMPIERI, Roberto [en línea]. Metodología de la Investigación.

Mexico D.F. Mc Graw Hill. 2014.
INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. Information

technology — Security techniques — Information security management systems —
Overview and vocabulary. ISO. 2001. ISO/IEC 2016. 28 p.
MARTÍNEZ PUENTES, Javier [en línea]. Sistemas inteligentes de detección de

intrusos, 119 p: Proyecto de Grado (Master en investigación informática)
universidad complutense de Madrid. [Citado 20, noviembre, 2017]. Disponible en:
http://eprints.ucm.es/13504/1/MA_2011-15.pdf
MARTÍNEZ SANTOS, Beatriz [en línea]. Stella, una honeypot virtual de alta
interacción para Windows XP. Proyecto Final (Ingeniería de telecomunicación).
Madrid. Universidad Carlos III de Madrid. 2009. 161 p. [Citado 15, mayo, 2017].
63
Disponible en: <https://e-
archivo.uc3m.es/bitstream/handle/10016/5929/PFC_Beatriz_Martinez_Santos.pdf?
sequencDe=1>.
MENDOZA, Jaime [en línea]. Conociendo SNORT. 2010. 32 p. [Citado 10, abril,
2017]. Disponible en:
<https://www.owasp.org/images/d/df/OWASP_PRESENTACION_SNORT_JIMR.p
df>.
MIRA ALFARO, Emilio José [en línea]. Implantación de un Sistema de Detección

de Intrusos en la Universidad de Valencia. Proyecto Final (Ingeniería Informática).
Valencia. Universidad de Valencia. 142 p. [Citado 10, abril, 2017]. Disponible en:
<http://rediris.es/cert/doc/pdf/ids-uv.pdf>.
NORTHCUTT, Stephen; KOHLENBERG, Toby; ESLER, Joel; BEALE, Jay y

BAKER, Andrew R. [en línea]. Snort Intrusion Detection and Prevention Toolkit.
Burlington, MA : Syngress. 2007. 734 p. [Citado 5, mayo, 2017]. Disponible en:
<http://bibliotecavirtual.unad.edu.co:2051/login.aspx?direct=true&db=nlebk&AN=2
14744&lang=es&site=eds-live&ebv=EB&ppid=pp_Cover>.
TANASE, Mattew. Sniffers: What They Are and How to Protect Yourself [en línea].
[Citado 20 de junio de 2017]. Disponible en:
<https://www.symantec.com/connect/articles/sniffers-what-they-are-and-how-
protect-yourself>.
UNIVERSIDAD DEL SINU. Misión y Visión [en línea]. [Citado en 5 de octubre de

2017]. Disponible en: <http://www.unisinucartagena.edu.co/index.php/mision-y-
vision>.
UNIVERSIDAD DEL SINU. Reseña Histórica [en línea]. [Citado 5 de octubre de

2017]. Disponible en: <http://www.unisinucartagena.edu.co/index.php/resena-
historica>.
64

PDF

Cargado por

Información del documentohacer clic para expandir la información del documento

Copyright:

Formatos disponibles

PDF

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

PDF

Cargado por

Copyright:

Formatos disponibles

ESTUDIO Y DISEÑO DE UN SISTEMA DE DETECCIÓN DE INTRUSOS – IDS

SNORT PARA LA UNIVERSIDAD DEL SINU – SECCIONAL CARTAGENA -

JESÚS ANTONIO CABARCAS GÓMEZ

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA

JESÚS ANTONIO CABARCAS GÓMEZ

Trabajo de grado para optar el título de especialista en seguridad informática

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA

Las ideas expresadas en este documento son de exclusiva responsabilidad de sus

autores y no comprometen la ideología de la Universidad Nacional Abierta y a

Firma del presidente del jurado

Firma del jurado

Firma del jurado

Bogotá, 28 de febrero de 2018

En la actualidad la información se ha convertido en el activo más importante y una

pieza fundamental en las actividades de una empresa u organización, tanto las

Empresas, el Estado y las personas que dependen de esta se benefician de la

Las Tecnologías de información y la comunicación (TIC), es una herramienta de

oportunidades, cambios y amenazas que impactaran dentro de la organización.

bases de datos encargadas del tratamiento (persona natural o jurídica, pública o

privada), se deben sujetar a lo establecido en la Ley estatutaria 1581 de 2012.

Por todo lo anteriormente, las consecuencias de la perdida de información dentro

consigo demandas por parte de las personas, indisponibilidad de los servicios

el proyecto de estudio y diseño de un sistema de detección de intrusos se pretende

reducir el riesgo de ocurrencia de un siniestro y disminuir el impacto si el siniestro

se presentara. A continuación se realiza una pequeña descripción de que es un IDS:

Procesamiento Electrónico Datos (EDP) a las auditorias de seguridad, donde se

utilizan mecanismos como la identificación de patrones y métodos estadísticos. Esta

es una parte que no puede faltar en las modernas tecnologías de seguridad de

Según María Giménez2 un IDS es un elemento que escucha y analiza toda la

puedan presentar. Cuando aparece un ataque, donde se vea comprometida la

seguridad, este reacciona informando al administrador y cerrando las puertas o

vectores de ataques al posible intruso reconfigurando elementos de red como

La Universidad del SINU – Sede Santillana localizada en Cartagena, depende

altamente de sus recursos computacionales para el desarrollo de su función, por lo

tanto establece las siguientes medidas de seguridad, como, diseño y aplicación de

políticas de seguridad perimetral, lineamientos basados en las buenas prácticas de

ISO 27001, aplicación de políticas en el firewall para minimizar los riesgos de

ataques que según las estadísticas que se muestran en la siguiente grafica de

www.digitalattackmap.com se detecta que los principales ataques que sufre nuestro

seguridad de informática al cliente interno, como a terceros relacionados.

Ilustración 1. Origen de ataques hacia Colombia.

denegación de servicios a los servidores principales donde está la información

crítica de sus procesos misionales.

Divulgación estadística no autorizada de la información almacenada en los

servidores como historial de notas y resultados de los estudiantes.

1.2. FORMULACIÓN DEL PROBLEMA.

¿Cómo el estudio y diseño de un Sistema de detección de intrusos – IDS SNORT

puedan presentarse en la UNISINU Cartagena?

¿Qué metodología se aplica para la identificación y valoración de activos que se

UNIVERSIDAD DEL SINU aplicando todas sus ventajas?

sistema SNORT pueda desempeñarse con un óptimo grado de rendimiento?

2.1. OBJETIVO GENERAL

Diseñar el Sistema de Detección de Intrusos – IDS SNORT para mejorar el nivel de

madurez en seguridad de los activos informáticos de la UNISINU que permita

mitigar los riesgos a los que está expuesta su información.

2.2. OBJETIVOS ESPECÍFICOS

• Identificar y clasificar los activos críticos informáticos que se van a proteger

dentro de la sede Santillana de la UNISINU.