36
To
n
o Revist
a
Técn
i
c
a
de
la
E
mpres
a
de Te
l
ecomunic
a
ciones de Cub
a
S.
A
.
INTROD
u
CCIóN
P
o
r
M
S
c
.
R
a
y
m
un
d
o
P
é
r
e
z
S
i
e
rr
a
y
M
S
c
.
D
eb
o
r
a
h
R
eye
s
R
o
i
g
,
E
s
pe
c
i
a
li
st
a
s
B
e
n
T
e
l
e
m
á
t
i
c
a
,
D
i
r
e
cc
i
ó
n
C
e
n
t
r
a
l
de
D
e
s
a
rr
o
ll
o
y
T
e
c
n
o
l
o
g
í
a
r
a
y
m
un
d
o
.
pe
r
e
z@
e
t
e
c
s
a
.
c
u
,
deb
o
r
a
h
.
r
eye
s
@
e
t
e
c
s
a
.
c
u
V
a
r
i
a
n
t
e
de
a
r
q
u
i
t
e
c
t
u
r
a
de
s
e
gu
r
i
d
a
d
p
a
r
a
l
a
r
ed
N
G
N
L
a
s
rede
s
de telecomunicacione
s
de próxima generación —Next Gene-
r
ation Netwo
r
k (NGN)— que ofrecen
s
ente
s
la
s
vulnerabilidade
s
, amenaza
s
y rie
s
go
s
propio
s
de la
s
rede
s
de dato
s
t
r
adicionale
s
y de la
s
rede
s
de telefonía
IP
[1]. E
s
to
s
constituyen
s
erio
s
proble-
Denial
-
of
-
Service
(
DDo
S)
—,
r
obo o su
-
plantación de identidad, manipulación y
corrupción de datos,
fr
aude tele
f
ónico,
por ejemplo, las caídas de se
r
vido
r
es
S
I
P
y, po
r
lo tanto, de todo el sistema,
anulación de se
r
vicios, telé
f
onos satu
-
rado
s
con llamadas y mensajes de texto
de sesión de bo
r
de —Session Border
Control
(S
BC
)
— y los si
s
temas de
detección de int
r
usiones
—
Intrusion
s
ervicio
s
de multimedia —voz, dato
s
yviru
s
y
SPI
T —el equivalente del co
-
Detection System
(I
D
S)
— pueden signi-
video— e
s
tán
s
oportada
s
por la familianocido
SP
AM en las
r
edes de datos—,
f
ica
r
f
acto
r
es clave en la p
ro
tección de
de protocolo
s
I
P
, en la
s
que e
s
tán pre-entre
o
t
r
os, con posibles a
f
ectaciones,este tipo de
r
edes
[
5
-
7
]
.
ma
s
de
s
eguridad a enfrentar, recayen-no
s
olicitados,
r
edi
r
eccionamiento de
P
a
r
a en
fr
enta
r
las amenazas y los ries-
do principalmente
s
obre lo
s
operadore
s
llamadas, co
rr
upción de datos y p
r
og
r
a
-
gos de segu
r
idad de la
r
ed NG
N
conce-
de telecomunicacione
s
y lo
s
proveedo-ma
s
y acciones
fr
audulentas pa
r
a usu
r-
bida como el sopo
r
te p
r
incipal de todos
r
e
s
de
s
ervicio la re
s
pon
s
abilidad depar tarjetas de c
r
édito o hace
r
llamadaslos tipos de comunicaciones —servicios
o
f
recer un
s
ervici
o
s
eguro y con
f
iable acon cargo a te
r
ce
r
os
[
4
]
.de datos de banda ancha, voz, multime-
lo
s
cliente
s
, proteger
s
u
s
propia
s
rede
sS
in emba
r
go, es posible cont
r
ola
r
la in
-
dia, mensaje
r
ía y ot
r
os—, se acometió
para cuidar
s
u imagen y garantizar lafrae
s
tructu
r
a de estas
r
edes pa
r
a p
r
eveni
r
la ta
r
ea de p
r
opone
r
una a
r
quitectura de
continuidad en el
s
ervicio [2-3].la
s
amenazasymantene
r
susegu
r
idad.Elsegu
r
idad pa
r
a la
r
ed NGN, en proceso
E
s
to
s
s
ervicio
s
pueden
s
er objeto deu
s
o de mecanismos de enc
r
iptación de ex
-
de instalación en Cuba, ada
p
tada a las
ataque
s
de denegación de
s
ervicio
s
tremoaext
r
emoodep
r
oductoscomolosca
r
acte
r
ísticas y condiciones del entorno
—Denial of Se
r
vice(Do
S
) y Di
s
t
r
ibutedcortafuegos
(
fi
rewalls
)
, los cont
r
olado
r
escubano teniendo en cuenta las diferentes
paralar
e
dd
m
ag
e
n
e
ración
Arquitectura
de seguridad
T
o
n
o
Revist
a
Técnic
a
de l
a
E
mp
r
es
a
de Telecomunic
a
ciones de Cub
a
S
.A.
37
veedore
s
en nue
s
tro paí
s
.
L
i
n
e
a
m
i
e
n
t
o
s
La propue
s
ta de arquitectura de segu
r
i
-
dad para la red NGN e
s
tá
s
u
s
tentada en
lineamiento
s
aplicable
s
a nue
s
tr
o
ento
r-
no, aunque también exten
s
ible
s
a ot
r
os
por
s
u carácter general, cuyo
s
conteni
-
do
s
incluyen a
s
pecto
s
de per
f
il est
r
até
-
gico y operativo
s
obre la organización,
admini
s
tración y el u
s
o de lo
s
recu
r
sos
tecnológico
s
y humano
s
involucrados.
Dicho
s
lineamiento
s
s
on:
1. La
s
eguridad de la red NG
N
ha
deabarcartoda
s
la
s
capa
s
dela
r
ed.
E
s
nece
s
ario adoptar un método
por capa
s
que, combinado con una
s
ólida ge
s
tión y aplicación de la po
-
lítica,brinde
s
olucione
s
modula
r
es,
f
lexible
s
yadaptable
s
.La
s
eguridad
por capa
s
permite ofrecer grados
de
s
eguridad variable
s
. Cada nivel
adicional
s
e ba
s
a en la
s
capacida
-
de
s
delacapainferioryofrecemás
s
eguridad con mayor granularidad.
El di
s
eñodebe re
s
ponderala e
s
t
r
a
-
tegiadere
s
i
s
tencia,identi
f
icaci
ó
ny
recuperación ante una intru
s
ión o
unataquedeterminado.
2. Laarquitecturatieneuncarácte
r
integral y engloba a lo
s
elementos
etapa
s
de de
s
arrollo previ
s
ta
s
[8].de núcleo NGN —softswich, me
-
S
e procedió, entonce
s
, al e
s
tudi
o
y eva
-
dia gateways y ot
r
os—, la in
fr
a
-
luación de diferente
s
enfoque
s
y
s
olucio
-
est
r
uctu
r
a de la
r
ed de t
r
anspo
r
te
ne
s
de
s
eguridad para e
s
te tipo de
r
ed de
(
backbone
)
IP
/M
P
L
S
—también
nueva generación, aportado
s
po
r
r
eco
-
llamada
r
ed
IP
/M
P
L
S
—, los sis
-
nocida
s
empre
s
a
s
productora
s
y sumi
-
temas de acceso de los usua
r
ios
ni
s
tradora
s
de e
s
ta
s
tecnología
s
a nivelo clientes a la
r
ed, los sistemas de
mundial, a
s
í como de diver
s
o
s
t
r
abajosgestión y los componentes del cen
-
de pre
s
tigio
s
a
s
in
s
titucione
s
, funciona
-
t
r
o de datos y del punto de acceso
rio
s
y e
s
peciali
s
ta
s
relacionado
s
con ela la
r
ed
I
nte
r
net —NetworkAccess
tema publicado
s
en Internet [9-10].Point
(
NA
P)
—.
La arquitectura de
s
eguridad propues
-
3. En la p
r
oyección, diseño e im
-
ta incluye lineamiento
s
y medidas conplementación de esta a
r
quitectu
r
a
un enfoque integral y per
s
onalizado,de segu
r
idad debe
r
án pa
r
ticipa
r
cuyo alcance abarca lo
s
s
i
s
temas y lastodas las á
r
eas implicadas en el
rede
s
de telecomunicacione
s
constitui
-
desa
rr
ollo, la implementación y
do
s
por elemento
s
de la tecnol
o
gía deexplotación de la
r
ed NGN y, con
rede
s
de próxima generación, dist
r
ibui
-
ca
r
ácte
r
obligato
r
io, las especia
-
do
s
en
s
u
s
diferente
s
capa
s
o niveles.lidades de segu
r
idad, tecnologías
En
s
u de
f
inición
s
e tuvo en cuenta,de la in
f
o
r
mación, planeamiento,
ademá
s
, la experiencia acumulada enope
r
ación y gestión, con especial
la in
s
talación, pue
s
ta a punto y p
r
ue
-
én
f
asisdeestaúltimaenelp
r
oceso
ba
s
de campo y aceptación de tecnolo
-
de con
f
igu
r
ación de los dispositi
-
gía
s
NGN y de acce
s
o de banda anchavos y sistemas de segu
r
idad.
—xD
S
L y WI
M
AX— de vari
o
s p
r
o
-
4. La a
r
quitectu
r
a de segu
r
idad se
sustenta en las siguientes bases:
Š
De
f
ini
r
las zonas de segu
r
idad:
-S
egu
r
a: los elementos de la
r
ed
están bajo el cont
r
ol y la supe
r
vi
-
sión del ope
r
ado
r
de telecomuni
-
caciones.
-
No segu
r
a: los elementos de la
r
ed están
f
ue
r
a del cont
r
ol y la
supe
r
visión del ope
r
ado
r
de tele
-
comunicaciones.
Š
S
eg
r
ega
r
el t
r
á
f
ico po
r
tipo —se
-
ñalización, RT
P
, dato y gestión—
desde el acceso y a t
r
avés de la
r
ed
IP
/M
P
L
S
mediante
r
edes p
r
i
-
vadas vi
r
tuales —Virtual Private
Network
(
V
P
N
)
— de capa 2 o 3,
identi
f
icadas según las zonas de
segu
r
idad en que se establezcan.
Š
Emplea
r
pasa
r
elas
(
gateways
)
de
acceso en el bo
r
de del núcleo
IP
:
el se
r
vido
r
de acceso
r
emoto de
banda ancha pa
r
a el acceso xD
S
L
(
BRA
S)
, la pasa
r
ela de
r
ed de se
r-
vicio de acceso pa
r
a el acceso vía
WiMax —A
S
N
-
GW— o el con
-
t
r
olado
r
de estaciones base pa
r
a el
acceso vía G
S
M / G
P
R
S
(
B
S
C
)
.
Š
Pr
otege
r
los elementos del núcleo
NGN, incluidos los de la gestión,
y los cent
r
os de asegu
r
amiento
38
To
n
o Revist
a
Técn
i
c
a
de
la
E
mpres
a
de Te
l
ecomunic
a
ciones de Cub
a
S.
A
.
—centro de dato
s
y NA
P
— con co
r
ta
f
uegos, cont
r
olado
r
es de sesión de bo
r-
de, in
s
pección profunda de paquetes D
PI
, sistemas detecto
r
es de int
r
usos y
prevención contra intru
s
o
s
(I
D
S
/
IPS)
, ent
r
e ot
r
os, según co
rr
esponda.
Š
Autenticación, autorización y contabilidad mediante se
r
vicios AAA y
DHC
P
en interacción con las pasa
r
elas de acceso.
Š
Di
s
ponibilidad mediante tecnologías de alta con
f
iabilidad —carrier grade
o ca
rr
ie
r
cla
ss—
y redundancia de enlaces y de equipamiento en los nodos y
elemento
s
vitale
s
de la red y el núcleo NGN.
Š
Ge
s
tión centralizada de las t
r
azas
(
logs
)
de segu
r
idad.
5. Controlar lo
s
trá
f
ico
s
de señalización y RT
P
p
r
ovenientes de los elemen
-
to
s
de la pa
s
arela de medios
(
media gateways
)
de la zona insegu
r
a a t
r
avés
del
S
BC que actúa como proxyy elemento de p
r
otección del softswich.Como
medida excepcional de re
f
ue
r
zo de la segu
r
idad, se debe
r
á en
r
uta
r
también a
travé
s
del
S
BC el trá
f
ico de señalización p
r
oveniente de los elementos de la
pa
s
arela de medio
s
de la zona segu
r
a.
6. A partir del de
s
pliegue de la
r
ed que se vaya alcanzando, p
r
io
r
iza
r
en
una primera etapa lo
s
dispositivos de cont
r
ol de la NGN —elementos del
s
oft
s
witch, media gateways, etc.— y los elementos de la
r
ed de t
r
anspo
r
te
IP
/
MP
L
S
, ademá
s
a
s
egurar, en la medida en que se inco
r
po
r
en, los accesos de
lo
s
u
s
uario
s
f
inale
s
y la
r
ed Met
r
o Ethe
r
net
(
ME
)
. De igual
f
o
r
ma, p
r
esta
r
atención e
s
pecial al centro de datos y al NA
P
, según sus etapas de desa
rr
ollo
previ
s
ta
s
.
7. El empleo de tecnologías NGN de di
f
e
r
entes p
r
oveedo
r
es pa
r
a integ
r
a
r
se al
s
oporte de telecomunicaci
o
nes exige ga
r
antiza
r
la inte
r
ope
r
abilidad ent
r
e las
mi
s
ma
s
.
8. Concebir la ge
s
tión de t
r
azas de segu
r
idad de la
r
ed NGN y el backbone
I
P
/
MP
L
S
como una función cent
r
alizada de p
r
esencia obligato
r
ia desde las
primera
s
etapa
s
de de
s
arrollo de la
r
ed. La gestión consiste en
r
ecolecta
r
las
traza
s
, proce
s
arla
s
, analiza
r
las, co
rr
elaciona
r
las en el tiempo y toma
r
deci
-
s
ione
s
. E
s
ta función debe
r
á
r
ealiza
r
la el pe
r
sonal especializado de segu
r
i
-
dad, con el empleo de
s
i
s
temas y he
rr
amientas ap
r
opiados, en un cent
r
o de
ge
s
tión o de operación de la segu
r
idad de la
r
ed.
9. Aprovechar la
s
facilidades de la tecnología en cuanto al empleo de ce
r
ti
f
i
-
cado
s
digitale
s
en lo
s
dife
r
entes modos de autenticación en inte
r
acción obli
-
gada con lo
s
s
ervidore
s
AAA, como una mane
r
a de ga
r
antiza
r
la legitimidad
de la identidad de lo
s
u
s
ua
r
ios y te
r
minales en el p
r
oceso de conexión a la
r
ed
para recibir lo
s
s
ervicio
s
co
rr
espondientes.
10. Aplicar la
s
opcione
s
de empleo de p
r
otocolos segu
r
os basados en técnicas
criptográ
f
ica
s
en el proceso de gestión de los elementos integ
r
antes de la
r
ed
—por ejemplo,
SS
H, HTT
PS
,
F
T
PS
y
S
NM
P
v3— que
r
egula
r
mente o
fr
ecen
la
s
tecnología
s
NGN in
s
taladas.
11. En lo
s
acce
s
o
s
por vía inalámb
r
ica, ga
r
antiza
r
la con
f
iabilidad, la integ
r
i
-
dad y la di
s
ponibilidad de la in
f
o
r
mación
(
datos
)
en el t
r
amo de t
r
ansmisión
por radio —interfaz de aire— ent
r
e los te
r
minales de usua
r
ios y las estacio
-
ne
s
ba
s
e, con la implementación de las medidas de segu
r
idad
r
ecomendadas
en lo
s
e
s
tándare
s
internacionales, según co
rr
esponda.
12. Negociar con lo
s
proveedo
r
es, mediante la consignación en los cont
r
atos,
que a
s
uman la re
s
pon
s
abilidad de ga
r
antiza
r
las acciones pe
r
iódicas de man
-
tenimiento de la
s
egurida
d
de los sistemas y las aplicaciones p
r
opieta
r
ias de
s
u tecnología, como la
s
actualizaciones de sistemas antivi
r
us y de ve
r
siones
de
s
oftware del equipamiento, “pa
r
cheo” de segu
r
idad, co
rr
ección de vulne
-
rabilidade
s
de
s
eguridad, ent
r
e ot
r
as. Estas acciones debe
r
án se
r
ejecutadas
mediante mecani
s
mo
s
implementados que posibiliten su aplicación, con la
participación conjunta de los especialistas y los p
r
oveedo
r
es.
T
o
n
o
Revist
a
Técnic
a
de l
a
E
mp
r
es
a
de Telecomunic
a
ciones de Cub
a
S
.A.
39
13. Dada la complejidad que p
r
esenta el p
r
oceso de asimilación, implementa
-
ción y mantenimiento de lo
s
s
istemas de segu
r
idad de la
r
ed NGN en todas sus
capa
s
, donde interactúa un conjunto de dispositivos, se
r
vido
r
es y aplicaciones
de
s
eguridad, e
s
impre
s
cindible contempla
r
y ga
r
antiza
r
la capacitación del pe
r-
s
onal de
s
eguridad informática que pa
r
ticipa en su planeamiento, implementa
-
ción,mantenimientoyoperación,incluyendoalosespecialistasdegestióndela
s
eguridad, de
s
de el inicio del p
r
oceso de cont
r
atación y du
r
ante su ejecución.
14. Contemplar y utilizar lo
s
r
ecu
r
sos humanos necesa
r
ios pa
r
a el planea
-
miento, la implementación, el mantenimiento y la ope
r
ación de la a
r
quitec
-
tura de
s
eguridad de la red
N
GN, incluyendo el pe
r
sonal de la gestión de la
s
eguridad, que de
f
ine lo
s
debe
r
es
f
uncionales especí
f
icos po
r
cada una de las
área
s
de trabajo implicada
s
.
M
ed
i
d
a
s
e
s
pe
c
í
f
i
c
a
s
p
o
r
c
a
p
a
s
de
l
a
r
ed
La arquitectura de
s
eguridad contiene un g
r
upo impo
r
tante de medidas especí
f
i
-
ca
s
por cada uno de lo
s
nivele
s
o capas de la
r
ed NGN.
F
i
gu
r
a
1
Ar
q
u
i
t
e
c
t
u
r
a
de
s
e
gu
r
i
d
a
d
p
a
r
a
l
a
r
ed
N
G
N
(
F
u
e
n
t
e
:
[
8
]
)
.
C
a
p
a
de
t
e
r
m
i
n
a
l
e
s
:
Š
Lo
s
u
s
uario
s
o cliente
s
pueden establece
r
po
r
sí mismos su segu
r
idad,
adoptar la
s
medida
s
apropiadas pa
r
a este nivel
(F
igu
r
a 1, punto 1
)
de acue
r-
do a
s
u
s
nece
s
idade
s
, y deben cumpli
r
los
r
eque
r
imientos de autenticación
y autorización que demanden los se
r
vicios de la
r
ed que se les b
r
inde. Ent
r
e
la
s
medida
s
po
s
ible
s
a emplea
r
están los sistemas antivi
r
us, “pa
r
cheo” de se
-
guridad, compartimentación de
r
ecu
r
sos, empleo de técnicas de tunelización
y cifrado de extremo a extremo pa
r
a la p
r
otección de la in
f
o
r
mación, uso de
cortafuego
s
(
fi
r
ewall) y detecto
r
es de int
r
usos, etc. No obstante, el ope
r
ado
r
de telecomunicacione
s
deberá esta
r
en condiciones de p
r
ovee
r
estas medidas
a aquello
s
u
s
uario
s
o clientes que no tengan posibilidades o no deseen asu
-
mir
s
u
s
eguridad.
Š
Con
s
iderar el empleo de un
fi
rewall a la salida del equipo te
r
minal del
u
s
uario o C
P
E (
F
igura 1, punto 2
)
como elemento de p
r
otección pe
r
imet
r
al
de la red del cliente
s
ólo de mane
r
a excepcional a petición de este, conc
r
etado
40
To
n
o Revist
a
Técn
i
c
a
de
la
E
mpres
a
de Te
l
ecomunic
a
ciones de Cub
a
S.
A
.
en el proce
s
o contractual del
s
ervicio. E
s
to
s
e
f
undamenta en la posibilidad
que tiene el operador de telecomunicacione
s
d
e emplea
r
las di
f
e
r
entes op
-
cione
s
de
s
egu
r
idad implícita
s
en el C
P
E
s
i
s
on necesa
r
ias —
f
unciones de
F
W (
fi
r
ewall), D
M
Z (Demilita
r
i
z
ed
Z
one),
f
iltrado de
IP
del cliente, bloqueo
de URL y
f
iltrado de direccione
s
M
AC— y q
u
e en ot
r
os puntos de mayo
r
agregación de la capa de acce
s
o podrá in
s
talar dispositivos de mayo
r
es p
r
es
-
tacione
s
que perfectamente pueden garantizar la segu
r
idad de las
r
edes de los
cliente
s
.
C
a
p
a
de
a
cc
e
s
o
:
Š
Con
s
iderar el empleo de un co
r
tafuego
s
en l
o
s puntos de ag
r
egación pa
r
a
el acce
s
o a la red
M
etroethernet (
F
igura 1, punto 3
)
en aquellas etapas ul
-
teriore
s
de de
s
arrollo en que
s
e haya hecho un despliegue masivo de la
r
ed
NGN con pre
s
encia de la red
M
etroethernet,
s
iemp
r
e que los
r
esultados de
un e
s
tudio de t
r
á
f
ico y evaluación de rie
s
go
s
lo justi
f
iquen.
Š
Utilizarla
s
potencialidade
s
delatecnologíadeaccesodesplegadaencuanto
a la po
s
ibilidad de implementar diferente
s
tipo
s
de V
P
N, desde los te
r
mina
-
le
s
de u
s
uario
s
(C
P
E) ha
s
ta el borde de la red IP/M
P
L
S
o
r
ed Met
r
oethe
r
net
(
F
igura 1, entre lo
s
punto
s
2 y 4).
C
a
p
a
de
t
r
a
n
s
p
o
r
t
a
c
i
ó
n
:
Š
Implementar en el borde de la red I
P
/
MP
L
S
(F
igu
r
a 1, punto 4
)
las
f
un
-
cionalidade
s
de
s
eguridad de un
fi
r
ewall, in
s
pección p
r
o
f
unda de paquetes
—Deep Packet In
s
pection (D
P
I)— y controlado
r
de sesión de bo
r
de me
-
diante lo
s
di
s
po
s
itivo
s
corre
s
pondiente
s
, en lo
s
tipos y cantidades
r
eque
r
idos
s
egún
s
u
s
potencialidade
s
y la
s
cantidade
s
de líneas de abonados p
r
evistas
para la
s
diferente
s
etapa
s
del de
s
pliegue de la red.
Š
Concebir el
us
o de un centro de ge
s
tión para la detección de posibles ata
-
que
s
de negación de
s
ervicio
s
Do
S
y DDo
S
, e
n
inte
r
acción con los elemen
-
to
s
cortafuego y D
P
I del borde de la red I
P
/
MP
L
S
, cuyas
f
unciones, con su
equipamiento,
d
eberán integrar
s
e al centro de gestión de la segu
r
idad de la
r
ed
—
f
igura 1, punto 9—.
Š
Implementar en el borde de la red I
P
/
MP
L
S
(
F
igu
r
a 1, punto 4
)
las
f
uncio
-
nalidade
s
de
s
ervidor remoto de banda ancha (BRA
S)
pa
r
a el acceso xD
S
L,
pa
s
arela de red de
s
ervicio de acce
s
o (A
S
N-
G
W
)
pa
r
a el acceso Wimax y
controlador de e
s
tacione
s
ba
s
e (B
S
C) para el acceso G
S
M/G
P
R
S
, mediante
lo
s
di
s
po
s
itivos corre
s
pondiente
s
, en lo
s
tipo
s
y cantidades
r
eque
r
idos según
s
u
s
potencialidade
s
y la
s
cantidade
s
de línea
s
de abonados p
r
evistas pa
r
a las
diferente
s
etapa
s
del de
s
pliegue de la red. E
s
tos dispositivos se
r
án emplea
-
do
s
para garantizar funcione
s
de
s
eguridad vitales como la autenticación y
autorización de lo
s
terminale
s
y u
s
uario
s
f
inales, bien de mane
r
a autónoma a
partir de
s
u
s
p
os
ibilidade
s
o actuando como clientes o inte
r
media
r
ios de los
s
ervidore
s
AAA y DHC
P
de la capa de
s
ervicios
(
aplicaciones
)
.
Š
Utilizar la
s
potencialidade
s
de la tecnología de la
r
ed de t
r
anspo
r
te
IP
/
MP
L
S
de
s
plegada en cuanto a la po
s
ibilidad de implementa
r
los tipos de
V
P
N permi
s
ible
s
, para la
s
egregación y protección de los di
f
e
r
entes tipos de
trá
f
ico
s
que
s
e tra
s
mitan por la mi
s
ma (
F
igura
1
, punto 5
)
.
C
a
p
a
de
c
o
n
t
r
o
l
:
Š
Ubica
r
de ca
r
a a los
SS
(
f
igura 1,
punto 6
)
un dispositivo co
r
tafuego
uot
r
o que cumpla simila
r
f
unción,
con las potencialidades
r
equeridas
pa
r
a el cont
r
ol de t
r
á
f
ico.
C
a
p
a
de
g
e
st
i
ó
n
y
a
p
li
c
a
c
i
ó
n
:
Š
Concebi
r
el
f
uncionamiento de
la
r
ed con la p
r
esencia de los ser-
vido
r
es AAA y DHC
P
ubicados
en la capa de aplicaciones —en
una DMZ o en el cent
r
o de datos,
como se muest
r
a en el pu
n
to 7 de
la
f
igu
r
a 1— pa
r
a ga
r
antizar el
cont
r
ol de acceso de los usuarios
que se conectan a la
r
ed mediante
el p
r
oceso de autenticación y au-
to
r
ización,ype
r
miti
r
suconexión
y
f
actu
r
aciónunavezve
r
i
f
icadasu
identidad.
Š
Aplica
r
como soluciones
d
e segu-
r
idadenelcent
r
odedatos(
F
igura
1, punto 7
)
el uso de dispositivos
de segu
r
idad co
r
ta
f
uegos y siste-
mas
I
D
S
/
IPS
,comolossistemasde
detección de int
r
usiones inteligen-
tes, de
r
ed o N
IP-I
D
S
. Al mismo
tiempo, concebi
r
la
r
edundancia
necesa
r
ia en la conectividad de
acceso exte
r
no y la implementa-
ción de un cent
r
o de dato
s
secun-
da
r
io como
r
espaldo activo.
Š
Aplica
r
como solucione
s
de se-
gu
r
idad en el NA
P
las
f
unciona-
lidades de co
r
ta
f
uego y D
P
I. Este
último en inte
r
acción con
u
n siste-
ma de gestión de D
PI
integrado al
cent
r
o de gestión de la seguridad
de la
r
ed
(F
igu
r
a 1, puntos 8 y 9).
Š
Aplica
r
como concepción
d
e segu-
r
idadpa
r
ala
r
eddegestión
NGN
el
empleo de co
r
ta
f
uegos,
IDS
/I
PS
,
se
r
vido
r
AAA y uso de las
VPN
,
sopo
r
tada en una
r
ed EoS
DH
in-
dependiente o, en su de
f
ecto, en
T
o
n
o
Revist
a
Técnic
a
de l
a
E
mp
r
es
a
de Telecomunic
a
ciones de Cub
a
S
.A.
41
C
o
n
c
l
u
s
i
o
n
e
s
R
e
f
e
r
e
n
c
i
a
s
b
i
b
li
o
g
r
á
f
i
c
a
s
1-
U
IT
-
T
.
“
R
e
com
e
n
d
a
c
i
ó
n
Y
.
2201
.
R
e
d
e
s
d
e
l
a
p
r
ó
x
i
m
a
g
e
n
e
r
a
c
i
ó
n
–
A
s
p
e
c
t
o
s
r
e
l
a
t
i
v
o
s
a
l
o
s
s
e
r
v
i
c
i
o
s
:
c
a
p
a
c
i
d
a
d
e
s
y
a
r
q
u
i
t
e
c
t
u
r
a
d
e
s
e
r
v
i
c
i
o
s
”
.
2009
.
h
tt
p
:
//
www
.
i
t
u
.
i
n
t/
r
e
c
/
T
-
R
E
C
-
Y
.
2201-
200909-
I
/
e
s
(
a
cc
e
s
o
:
s
e
p
t
i
e
m
b
r
e
,
2010
)
.
2-
U
IT
-
T
.
“
R
e
com
e
n
d
a
c
i
ó
n
M
.
3016
.
0
.
V
isi
ó
n
g
e
n
e
r
a
l
d
e
l
a
s
e
g
u
r
i
d
a
d
e
n
l
a
r
e
d
d
e
g
e
s
t
i
ó
n
d
e
l
a
s
t
e
l
e
com
un
i
c
a
c
i
o
n
e
s
”
.
2005
.
h
tt
p
:
//
www
.
i
t
u
.
i
n
t/
r
e
c
/
T
-
R
E
C
-
M
.
3016
.
0-200505-
I
(
a
cc
e
s
o
:
s
e
p
t
i
e
m
b
r
e
,
2010
)
.
3-
U
IT
-
T
.
“
R
e
com
e
n
d
a
c
i
ó
n
M
.
3016
.
1
.
S
e
g
u
r
i
d
a
d
p
a
r
a
e
l
p
l
a
n
o
d
e
g
e
s
t
i
ó
n
:
r
e
q
u
e
r
i
m
i
e
n
t
o
s
d
e
s
e
g
u
r
i
d
a
d
”
.
2005
.
h
tt
p
:
//
www
.
i
t
u
.
i
n
t/
r
e
c
/
T
-
R
E
C
-
M
.
3016
.
1-200504-
I
(
a
cc
e
s
o
:
o
b
t
u
b
r
e
,
2010
)
.
4-
G
u
t
i
é
rr
e
z
,
R
.
“
S
e
g
u
r
i
d
a
d
e
n
V
o
I
P
:
A
t
a
q
u
e
s
,
A
m
e
n
a
z
a
s
y
Ri
e
s
g
o
s
”
.
U
n
i
v
e
r
si
d
a
d
d
e
V
a
l
e
n
c
i
a
.
2007
.
h
tt
p
:
//
www
.
u
v
.
e
s
/
mo
n
t
a
n
a
n
/
a
m
p
li
a
c
i
o
n
/t
r
a
b
a
j
o
s
/
S
e
g
u
r
i
d
a
d
%
20
V
o
I
P
.
pd
f
(
a
cc
e
s
o
:
oc
t
u
-
b
r
e
,
2010
)
.
5-
U
IT
-
T
.
“
R
e
com
e
n
d
a
c
i
ó
n
X
.
805
.
A
r
q
u
i
t
e
c
t
u
r
a
d
e
s
e
g
u
r
i
d
a
d
p
a
r
a
sis
t
e
m
a
s
d
e
com
un
i
c
a
c
i
o
-
n
e
s
ex
t
r
e
mo
a
ex
t
r
e
mo
”
.
2003
.
h
tt
p
:
//
www
.
i
t
u
.
i
n
t/
r
e
c
/
T
-
R
E
C
-
X
.
805-200310-
I
(
a
cc
e
s
o
:
oc
t
u
b
r
e
,
2005
)
.
6-
U
IT
-
T
.
“
R
e
com
e
n
d
a
c
i
ó
n
X
.
1205
.
A
s
p
e
c
t
o
s
g
e
n
e
r
a
l
e
s
d
e
l
a
c
i
b
e
r
s
e
g
u
r
i
d
a
d
”
.
2008
.
h
tt
p
:
//
www
.
i
t
u
.
i
n
t/
r
e
c
/
T
-
R
E
C
-
X
.
1205-200804-
I
/
e
s
(
a
cc
e
s
o
:
j
u
li
o
,
2009
)
.
7-
U
IT
.
“
L
a
s
e
g
u
r
i
d
a
d
e
n
l
a
s
t
e
l
e
com
un
i
c
a
c
i
o
n
e
s
y
l
a
s
t
e
c
n
o
l
o
g
í
a
s
d
e
l
a
i
n
fo
r
m
a
c
i
ó
n
”
.
2004
.
h
tt
p
:
//
www
.
v
ee
d
u
r
i
a
d
is
t
r
i
t
a
l
.
g
o
v
.
co
/
e
s
/
g
r
u
p
o
/
g
285
/
w
e
b
/
A
r
c
h
i
v
o
4
A
S
.
pd
f
(
a
cc
e
s
o
:
n
o
v
i
e
m
b
r
e
,
2010
)
.
8-
P
é
r
e
z
S
.
,
R
.
y
R
e
y
e
s
R
.
,
D
.
“
D
i
c
t
a
m
e
n
T
é
c
n
i
co
s
o
b
r
e
A
r
q
u
i
t
e
c
t
u
r
a
d
e
S
e
g
u
r
i
d
a
d
d
e
l
a
r
e
d
N
G
N
”
.
E
T
E
C
S
A.
C
u
b
a
.
A
b
r
il
2010
.
9-
B
a
l
u
j
a
G
.
,
W
.
“
A
r
q
u
i
t
e
c
t
u
r
a
y
S
is
t
e
m
a
p
a
r
a
l
a
G
e
s
t
i
ó
n
d
e
S
e
g
u
r
i
d
a
d
d
e
l
a
s
R
e
d
e
s
d
e
T
e
l
e
-
com
un
i
c
a
c
i
o
n
e
s
”
.
T
e
sis
d
e
D
oc
t
o
r
a
d
o
.
D
e
p
a
r
t
a
m
e
n
t
o
d
e
T
e
l
e
m
á
t
i
c
a
.
I
S
J
A
E
.
C
u
b
a
.
2006
.
10-
B
a
l
u
j
a
G
.
,
W
.
y
A
r
i
a
s
C
.
,
C
.
“
Pr
o
p
u
e
s
t
a
d
e
A
r
q
u
i
t
e
c
t
u
r
a
d
e
S
e
g
u
r
i
d
a
d
p
a
r
a
l
a
s
r
e
d
e
s
d
e
T
e
l
e
co
-
m
un
i
c
a
c
i
o
n
e
s
”
.
C
U
J
A
E
.
C
u
b
a
.
D
i
c
i
e
m
b
r
e
,
2006
.
h
tt
p
:
//
www
.
c
r
i
p
t
o
r
e
d
.
u
p
m
.
e
s
/
g
u
i
a
t
e
o
r
i
a
/
g
t_
m
189
h
.
h
t
m
(
a
cc
e
s
o
:
e
n
e
r
o
,
2007
)
.
u
s
uario
s
po
r
el tiempo que du
r
e la misma.
la propia red I
P
/
MP
L
S
(
F
igura 1,red, provocada po
r
un simple ataque de denegación de se
r
vicios, signi
f
icaría la
punto 10).interrupci
ó
n o la no disponibilidad de las comunicaciones a la totalidad de los
R
epe
r
c
u
s
i
ó
n
s
o
c
i
a
l
y
e
c
o
n
ó
m
i
c
a
La aplicación integral de e
s
ta arquitec-
tura de
s
eguridad tiene una importanteLa
s
rede
s
de p
r
óxima gene
r
ación sopo
r
tadas en
f
amilias de p
r
otocolos I
P
son
repercu
s
ión
s
ocial y económica pue
s
heredera
s
de las vulne
r
abilidades y amenazas de segu
r
idad típicas de las redes
proporciona la protección adecuadade dato
s
tradicionales, además de las especí
f
icas de la tele
f
onía
IP
p
r
esentes en la
para
q
ue la red NGN pueda enfrentar elcapa de
s
e
r
vicios. Esto constituye un escena
r
io p
r
opicio pa
r
a los posibles ataques
número elevado de amenaza
s
de
s
egu-de denegación de se
r
vicios y ot
r
os incidentes de segu
r
idad que pueden afectar
ridad ya enunciada
s
, y a
s
í evitar o mi-la funcionalidad del sistema y p
r
opicia
r
la posibilidad de ejecución de fraudes
nimizar
s
u
s
po
s
ible
s
impacto
s
que vantelefónicos, con la secuela de la a
f
ectación económica y del impacto social para
de
s
de la
s
pérdida
s
ec
o
nómica
s
, a
s
ocia-la Empre
s
a y el país.
P
o
r
tales motivos, la necesidad de implementa
r
un sistema
da
s
por la interrupción y afectación dede
s
eguridad adecuado se convie
r
te en un impe
r
ativo de las nuevas tecnologías de
lo
s
s
ervicio
s
, ha
s
ta la con
s
iguiente re-telecomunicaciones pa
r
a su p
r
otección y de
f
ensa.
percu
s
ión negativa de la imagen de laLa arquitectu
r
a de segu
r
idad pa
r
a la
r
ed NGN expuesta constituye una
r
e
f
erencia
Empre
s
a y del paí
s
.apropiada pa
r
a la p
r
oyección e implementación de un sistema de segu
r
idad para
Ent
r
e la
s
principale
s
amenaza
s
y
s
u
s
e
s
ta red, con un en
f
oque gené
r
ico y pe
r
sonalizado con
f
o
r
me a las condiciones de
co
r
re
s
pondiente
s
impacto
s
s
e de
s
tacan:nue
s
tro ento
r
no y a las di
f
e
r
entes etapas de desa
rr
ollo y despliegue p
r
evistas.
Š
Ataque
s
de denegación de
s
er-
vicio a lo
s
s
ervidore
s
de la red
que pueden paralizar total o par-
cialmente
s
u funcionamiento por
un tiempo determinado.
Š
Ataque
s
de
s
u
p
lantación de
identidad que po
s
ibilitan la eje-
cución de fraude
s
telefónico
s
.
Š
Ataque
s
de manipulación y co-
r
r
u
pción de la información que
viaja por la red co
n
la con
s
iguien-
te u
s
urpación de la privacidad de
los dato
s
de lo
s
cliente
s
y de la
Empre
s
a.
Š
Ataque
s
de viru
s
,
s
pam y otro
s
intru
s
o
s
que pueden afectar la
in
f
rae
s
tructura tecnológica y de
p
ro
grama
s
de la red, a
s
í como la
in
f
ormación que
s
e tran
s
mite y
s
e
con
s
erva por lo
s
medio
s
informá-
tico
s
y de comunicación.
La tecnología NGN in
s
talada en Cuba
ofrece
s
ervicio
s
a un grupo amplio de
u
s
ua
r
io
s
con per
s
pectiva
s
inmediata
s
de
crecer de acuerdo al de
s
arrollo previ
s
-
to. U
n
a caída de lo
s
s
ervidore
s
de e
s
ta
