WIXLIB

UNIVERSIDAD INTERNACIONAL SEKDIGITAL SCHOOLTRABAJO DE FIN DE CARRERATITULADO:SISTEMA DE GESTIÓN DE EVENTOS E INFORMACIÓN DE SEGURIDAD(SIEM) DE LA INFRAESTRUCTURA TECNOLÓGICA DE LA UNIVERSIDADINTERNACIONAL SEK DEL ECUADORRealizado por:Ing. Jorge Danilo Añazco BedónDirectora del proyecto:Ing. Verónica Rodríguez Arboleda, MBA.Como requisito para la obtención del título de:MAGISTER EN CIBERSEGURIDADQUITO, septiembre 2021

DECLARACION JURAMENTADAPor la presente, yo, JORGE DANILO AÑAZCO BEDÓN, con cédula de ciudadanía Nº.1724515596, declaro bajo juramento, que el trabajo aquí desarrollado es de mi autoría, que noha sido previamente presentado para ningún grado a calificación profesional; y que heconsultado las referencias bibliográficas que se incluyen en este documento. A través de estadeclaración cedo mis derechos de propiedad intelectual de autora a la UNIVERSIDADINTERNACIONAL SEK UISEK, según lo establecido por la Ley de Propiedad Intelectual, porsu reglamento y por la normativa institucional vigenteJORGE DANILO AÑAZCO BEDÓNCC: 1724515596i

DECLARACIÓN DE DIRECTOR DE TESISEl presente que el presente trabajo de investigación titulado:“SISTEMA DE GESTIÓN DE EVENTOS E INFORMACIÓN DE SEGURIDAD(SIEM) DE LA INFRAESTRUCTURA TECNOLÓGICA DE LA UNIVERSIDADINTERNACIONAL SEK DEL ECUADOR”Realizado por:Ing. Jorge Danilo Añazco BedónComo requisito para la obtención del título deMÁSTER EN CIBERSEGURIDADHa sido dirigido por mi persona a través de reuniones periódicas con la estudiante ycumple con todas las disposiciones que rigen los trabajos de titulación.Ing. Verónica Rodríguez Arboleda,MBA. DIRECTORA DEL PROYECTOCC: 1707522312ii

LOS PROFESORES INFORMANTESLos profesores informantes:Ing, José Vinicio Freire Rumazo, Mgtr.MSc Ing. Joe Carrión Jumbo, PhDDespués de revisar el trabajo, lo han calificado como apto para su defensa oral ante eltribunal examinadorEl profesor informante:Ing. Joe Carrión Jumbo, PhDIng, José Vinicio Freire Rumazo, Mgtr.Quito, septiembre de 2021iii

DECLARACIÓN DE AUTORÍA DEL ESTUDIANTEDeclaro que este trabajo es de mi autoría, que se han citado las fuentes correspondientes yque en su desarrollo se respetaron las disposiciones legales vigente, que protegen los derechosde autor.Jorge Danilo Añazco BedónCC: 1724515596iv

AGRADECIMIENTOA mi esposa Priscila por estar siempre a mi lado y ser un pilar fundamental para mi formaciónprofesional, y a mis hijas Daniela y Alejandra les dedico este trabajo ya que por ellas tengo ladeterminación para cursar la maestría.A mis padres Jorge y María que por su esfuerzo, sacrificio y paciencia pude estudiar la carreraque siempre me interesó, contando siempre con su apoyo incondicional en los momentos quemás lo necesité.A mi tía Enmita ya que fue una de las personas que ha confiado en mí dándome su cariño yapoyo para lograr mis objetivos.A los docentes de la facultad Digital School de la Universidad Internacional Sek, por haberimpartido sus conocimientos a lo largo de la preparación de esta maestría, de manera especial,a la Ing. Verónica Rodríguez Arboleda tutora de este proyecto de investigación quien me haguiado con sus conocimientos, paciencia y rectitud como docente.v

RESUMENIn the following project, the implementation of a Security Information and EventManagement System (SIEM) was carried out, due to the need to optimize and improve thecybersecurity of the technology infrastructure of the SEK International University, in additioncontrol and monitoring procedures were defined of computer incidents that are detected throughcustomized developments for monitoring with the availability module of the OSSIMAlienVault tool. Previously, with the 20 Center for Internet Security, an analysis was carriedout to obtain indicators of the current state of the institution's information security, with whichit was possible to determine the systems and unprotected areas that needed the immediateintervention of the module of availability or monitoring that the OSSIM AlienVault tool hasintegrated.Finally, this document explains a guide for the development of a server and servicesmonitoring script, which facilitates obtaining the necessary information to define alert statesand notify when there is a risk in computer security.Palabras claves: SIEM, OSSIM AlienVault, 20 controles de la CISvi

ABSTRACTIn the following project, the implementation of a Security Information and EventManagement System (SIEM) was carried out, due to the need to optimize and improve thecybersecurity of the technology infrastructure of the SEK International University, in additioncontrol and monitoring procedures were defined of computer incidents that are detected throughcustomized developments for monitoring with the availability module of the OSSIMAlienVault tool. Previously, with the 20 controls of the CIS Center for Internet Security, ananalysis was carried out to obtain indicators of the current state of the institution's informationsecurity, with which it was possible to determine the systems and unprotected areas and whichthey needed the immediate intervention of the availability or monitoring module that hasintegrated the OSSIM AlienVault tool.Finally, this document explains a guide for the development of a server and servicesmonitoring script, which facilitates obtaining the necessary information to define alert statesand notify when there is a risk in computer security.Keywords: SIEM, OSSIM AlienVault, 20 CIS controls.vii

ÍNDICE DE CONTENIDOSCAPÍTULO I . 20INTRODUCCIÓN . 201.1Planteamiento del Problema . 201.2Formulación del Problema. . 221.3Objetivo general . 221.4Objetivos específicos . 221.5Justificación . 23Técnica. 23Social . 231.6Estado del arte . 24CAPÍTULO II . 27MARCO TEÓRICO . 272.1Seguridad informática . 27Amenaza informática . 27Vulnerabilidad . 27Impacto . 28Riesgo . 28Políticas de Seguridad . 282.2SIEM . 28viii

OSSIM AlienVault . 292.320 Controles de la CIS . 302.4Script . 33Características. 33Lenguaje Shell . 33CAPÍTULO III . 35ANÁLISIS Y SITUACIÓN ACTUAL . 353.1Universidad Internacional Sek (UISEK) . 35Misión: . 36Visión: . 36Historia . 363.2Situación Tecnológica de la Universidad Internacional SEK . 373.3Descripción de la infraestructura . 383.4Usuarios . 393.5Operatividad de los portales o aplicativos web . 393.6Módulos críticos. 40Módulo de inicio de sesión . 40Módulo de hoja de vida e información del estudiante . 40Módulo de certificados . 41Módulo de Pagos . 41Módulo de notas y asistencia . 423.7Riesgos indirectos . 43ix

3.820 controles de la CIS . 433.8.1Posible escenario de mejora . 46CAPÍTULO IV . 47PROPUESTA . 474.1Instalación/configuración de la herramienta OSSIM . 474.1.1Instalación . 474.1.2Configuración e instalación del OSSIM AlienVault . 614.2Gestión de activos . 644.3Gestión de disponibilidad . 704.4Gestión de notificaciones . 744.5Gestión de vulnerabilidades . 774.6Gestión de riesgos . 814.7Definición, desarrollo e implementación de scripts en el Módulo de Disponibilidad844.7.1Tipos de script según su funcionamiento . 844.7.2Scripts de monitoreo por servicio . 854.7.3Scripts de monitoreo en servidor (obtención de estados) . 864.7.4Scripts de monitoreo por análisis de datos . 874.7.5Scripts de monitoreo por interacción . 884.7.6Scripts de monitoreo por consumo de microservicios . 904.8Creación de scripts para el módulo de Nagios . 914.8.1Características de un script para funcionar con Nagios . 91x

4.8.24.9Agregar un nuevo comando-script a Nagios para monitoreo . 94Notificaciones y alertas a través de Telegram . 964.9.1Instalación telegram-cli en CentOS 8 . 974.9.2Script de comunicación para envió de alerta y notificaciones por telegram-cli994.9.3Script Telegram . 1004.9.4Configuración Nagios para el envío de notificaciones o alertas por Telegram1014.10Scripts desarrollados . 1034.10.1Script para la obtención de la temperatura del sistema de enfriamiento de unData Center 1034.10.2Script para la obtención de un archivo .csv donde se detalla número desnapshots de un hipervisor, para el análisis y él envió de los estados. . 1044.10.3Script que analiza el log de acceso del servicio de apache . 1054.10.4Script que analiza los tamaños de los directorios y logs de la base de datosPostgresql4.10.5107Script que analiza el número de tickets de la mesa de servicio . 108CAPÍTULO V . 110CONCLUSIONES Y RECOMENDACIONES . 1105.1Conclusiones . 1105.2Recomendaciones . 112BIBLIOGRAFÍA . 114xi

ANEXOS . 117Anexo 1 . 117Anexo 2 . 118Anexo 3 . 119Anexo 4 . 120Anexo 5 . 121Anexo 6 . 122xii

ÍNDICE DE FIGURASFigura 1: Infecciones de 'malware' en empresas de tres países latinoamericanos . 20Figura 2: Herramientas de OSSIM AlienVault . 29Figura 3: Modelo de relación OSSIM . 30Figura 4: 20 Controles de la CIS v7 . 32Figura 5: Logo Universidad Internacional Sek . 35Figura 6: Inicio de sesión Portal Alumnos UISEK . 40Figura 7: Módulo de hoja de vida UISEK. 41Figura 8: Módulo de certificados UISEK . 41Figura 9: Módulo de pagos UISEK . 42Figura 10: Módulo de notas y asistencia UISEK . 43Figura 11: Análisis de los 20 controles de las CIS. . 44Figura 12: Configuración OSSIM AlienVault: Versión Sistema Operativo . 48Figura 13:Configuración OSSIM AlienVault: Configuración memoria RAM . 48Figura 14: Configuración OSSIM AlienVault: Tamaño de disco duro . 49Figura 15:Configuración OSSIM AlienVault: Configuración máquina virtual . 49Figura 16: Configuración OSSIM AlienVault: Selección de la imagen OSSIM AlienVault. 49Figura 17: Configuración OSSIM AlienVault: Pantalla de instalación OSSIM AlienVault. 50Figura 18: Configuración OSSIM AlienVault: Selección idioma. . 50Figura 19: Configuración OSSIM AlienVault: Selección país. . 51Figura 20: Configuración OSSIM AlienVault: Selección zona horaria. . 51Figura 21: Configuración OSSIM AlienVault: Distribución teclado. . 52Figura 22: Configuración OSSIM AlienVault: Instalación componentes. . 52xiii

Figura 23: Configuración OSSIM AlienVault: Configuración de tarjeta de red (VirtualBox). . 53Figura 24: Configuración OSSIM AlienVault: Configuración IP (OSSIM AlienVault) . 53Figura 25: Configuración OSSIM AlienVault: Configuración mascara de red. . 54Figura 26: Configuración OSSIM AlienVault: Configuración Gateway. . 54Figura 27: Configuración OSSIM AlienVault: Configuración DNS. . 55Figura 28: Configuración OSSIM AlienVault: Configuración de usuarios . 55Figura 29: Configuración OSSIM AlienVault: Instalación. 56Figura 30: Configuración OSSIM AlienVault: Ingreso al sistema (Pantalla de inicio). . 56Figura 31: Configuración OSSIM AlienVault: Levantamiento de servicios. . 57Figura 32: Configuración OSSIM AlienVault: Entorno web. . 57Figura 33: Configuración OSSIM AlienVault: Creación de cuenta. . 58Figura 34: OSSIM AlienVault : Ingreso AlienVault. . 58Figura 35: OSSIM AlienVault : Pantalla de inicio. . 59Figura 36: OSSIM AlienVault: Configuración interface de red. . 59Figura 37: OSSIM AlienVault: Configuración de asset. . 60Figura 38: OSSIM AlienVault: Desplegar HIDS . 60Figura 39: OSSIM AlienVault: Manejo y configuración de los logs. . 61Figura 40: OSSIM AlienVault: Configuración OTX. . 61Figura 41: OSSIM AlienVault: Configuraciones de preferencias del sistema (AlienVaultSetup). . 62Figura 42: OSSIM AlienVault : Configuración de los sensores. . 62Figura 43: OSSIM AlienVault : Guardado de configuraciones. . 63Figura 44: OSSIM AlienVault : Configuración Jailbreak System. . 63Figura 45: OSSIM AlienVault : Conexión por ssh. . 64xiv