Resumen del Programa de Prácticas de la Asignatura Auditoría Informática
Práctica 1. Auditoría y control del registro en Windows 2000 Server.
Esta práctica pretende ofrecer al alumno una visión global del registro del sistema operativo Windows 2000 Server, y las posibilidades que ofrece, en el contexto de la seguridad lógica, el control y auditoría de las claves del registros.
En primer lugar, presentaremos la herramienta de edición del registro REGEDT32 y las diferentes claves del registro, así como las directivas de auditoría que se pueden establecer sobre las claves del registro. Una vez presentado el registro, el alumno deberá desarrollar un esquema de auditoría sobre las claves del registro, así como sobre diferentes perfiles de usuario, mediante la herramienta de cargar sección de Windows 2000 Server. Por último, presentaremos el visor de sucesos como herramienta de colección de evidencias.
Práctica 2. Auditoría y control de recursos en Windows 2000 Server.
Esta práctica pretende continuar el proceso de implantación de un sistema de control interno desde un punto de vista técnico, analizando los controles que ofrece Windows 2000 Server como directivas globales de auditoría, auditoría de archivos y directorios y auditoría del sistema de impresión. Además, al igual que la práctica anterior, mostramos otra herramienta administrativa, en este caso el Monitor de Rendimiento como herramienta que puede utilizar el auditor dentro de la definición de controles detectivos.
El alumno deberá definir un plan global de auditoría, donde se especifiquen los tipos de controles que establece sobre las directivas globales de auditoría, dentro del contexto de la seguridad lógica del sistema. Además, deberá especificar los eventos de auditoría que selecciona para el control de cuentas de usuario en el acceso a archivos y objetos del sistema.
Práctica 3. Auditoría y control de la seguridad en redes. SessionWall.
Presentar el funcionamiento de una herramienta de control, seguridad y auditoría sobre el uso de servicios en Internet. Esta herramienta permite controlar el uso adecuado de todos los servicios relacionados con Internet, tales como telnet, ftp, Web, Pop, etc.
El alumno deberá implementar una política de control de uso en la línea de controles de monitorización, presentando un informe de pistas de auditoría que permitan al alumno como auditor demostrar que se realiza un uso adecuado de los servicios de Internet. A continuación, definirá una política de filtrado, indicando la especificación de filtrado y comprobando la validez de los controles establecidos mediante la simulación de un ataque por hackeo.
Práctica 4. Desarrollo de un proyecto de auditoría y control.
El objetivo de esta práctica es que el alumno, dada la especificación de un sistema de información, pueda abordar siguiente la metodología propuesta por la ISACA, un proyecto de control y auditoría sobre el sistema propuesto. En primer lugar, deberá realizar un proceso de recogida de información mediante la elaboración de cuestionarios que permitan evaluar el impacto de los riesgos en función de la experiencia de los propios alumnos. Posteriormente, siguiente la línea de COBIT, el alumno deberá proponer una plan de contramedidas donde se especifiquen claramente los objetivos de control y procedimientos de control que tratan de minimizar los riesgos identificados. Este plan de contramedidas deberá constituir el informe de auditoría que entregará el alumno.
Antonio Becerra Terón
Profesor de Auditoría Informática