Administración y Seguridad de Sistemas 2016 Ethical Hacking

Administración y Seguridad de

Sistemas 2016

Carina Indarte

Juan Ignacio Larrambebere Guillermo Leopold

Agustín Romano

Introducción Footprinting Doxing

Áreas de testeo y tipos de test Beneficios

Aspectos legales Cursos

Conclusiones

Introducción

Contexto

Transacciones vía internet

Información como activo de empresas Necesidad de “estar” en Internet

¿

Qué es el Ethical Hacking?

Casi cualquier dispositivo puede ser víctima de ataques Necesidad de conocer si estos sistemas y sus redes están protegidos

Objetivo: explotar vulnerabilidades de los sistemas de interés Verificacion y evaluacion de la seguridad fisica y logica

Simulación de posibles escenarios de ataque: “Para atrapar a

un intruso, primero debes pensar como el”

Se usan servicios de Ethical Hacking para garantizar la seguridad informática

¿

Quiénes son los Ethical Hackers?

Es un experto en computadoras y redes de datos

Su función es atacar los sistemas de seguridad por encargo de sus dueños

Posee autorización para realizar su trabajo

Debe ser de confianza, accede a información delicada Imitan a los hackers malintencionados

Conocidos como “hackers de sombrero blanco”

¿

Por qué hacer Ethical Hacking?

Necesario para obtener y mantener los estándares BS 7799 e ISO27001

Recomendado para instituciones que manejan tarjetas de pago o contacto gubernamental

Regularizado en muchas instituciones, especialmente financieras Necesario para detectar nivel de seguridad interno y externo de los SI en una organización

Los aspectos más vulnerables en una organización son: sitios web, redes inalámbricas y el personal.

Rules of Engagement

Son reglas que delimitan el alcance de los tests a realizar Pueden referirse a los siguientes parámetros:

Tiempo Fondos Restricciones legales Limitaciones impuestas Análisis de riesgos

Introducción

Footprinting

Footprinting

¿

Qué es el Footprinting?

Es el primer paso del Ethical Hacking, y hace

referencia al proceso de reunir toda la información posible acerca de un objetivo. Para poder encontrar

varios caminos alternos y poder realizar una intrusión exitosa.

Objetivos

Recolectar información de una red en concreto:

Nombre de dominio

Direcciones IP, tablas de ruteo, etc

Recolectar información del sistema:

Nombres de usuarios y grupos

Sistema operativo, versión, parches, etc

Recolectar información de la organización:

Detalles de los empleados WebSite de la organización

Obtener información pública

Se utilizan herramientas como ping, whois lookup, nslookup y dig para obtener datos como tiempo de respuesta, nombre de dominio, consultas DNS

Buen primer paso: Recolectar información de la Web de la víctima

Muchas veces un hacker obtiene información de los comentarios del código html

A veces se obtiene información de otras empresas relacionadas que tienen menor nivel de seguridad

Enumeración de redes

Localizar el rango de red

Encontrar el rango de direcciones IP Determinar máscara de subred

Se utilizan herramientas como Traceroute, Tracert (Windows) para determinar una ruta hacia el destino Otra herramienta útil - Path Analizer PRO

Reconocimiento de redes

Detectar hosts, dirección IP, puertos abiertos Detectar protocolos TCP/UDP activos

Detectar vulnerabilidades conocidas: Versión del SO, Parches, etc. Es útil porque hay exploits

conocidos para determinadas versiones.

Pasivo

Interferir paquetes entrantes/salientes y analizarlos

Menos riesgo de ser detectado

Más difícil obtener la información deseada

Activo

Interacción directa con la red objetivo Más riesgo de ser detectado Más fácil obtener la información deseada

Reconocimiento de redes

Footprinting

Doxing

¿Qué es?

Técnicas:

Google

Redes sociales

Búsqueda inversa por número de celular Búsquedas “WhoIs”

Legalidad

Evaluaciones de vulnerabilidades

Se evalúa la posición de una red para cualquier vulnerabilidad

Se documentan las vulnerabilidades encontradas pero no son explotadas

No existe una única herramienta para detectar todas las vulnerabilidades, algunas son: ISS Internet Scanner, Nessus, etc.

Red Teaming

Se testea el diseño de la seguridad de una red o sistema y no la implementación

Existen tres equipos: Rojo, Azul y Blanco Áreas a testear:

1. Seguridad de la información 2. Ingeniería social

3. Seguridad de la tecnología de Internet 4. Seguridad de las comunicaciones

5. Seguridad de las redes inalámbricas 6. Seguridad física

Pruebas de sistema

Se realizan sobre un sistema físico en particular: router, firewall, switch, servidor, etc.

Dos segmentos: Footprinting Explotación

Pruebas de Intrusión:

Black Box White Box Gray-box

External Penetration Test Internal Security

Social Engineering Perimeter Testing

Metodologías para la realización de ethical hacking

Reconocimiento:

Activo Pasivo

Escaneo o exploración de la información:

Exploración de puertos

Análisis de vulnerabilidades

Test:

Se realiza un intento real de acceder a objetos destino

Estándares

OSSTMM

Es un estándar de referencia imprescindible para llevar a cabo un testeo de seguridad de forma

ordenada ISSAF

Constituye un framework respecto a prácticas y conceptos de tareas a realizar

OTP (OWASP Testing Project)

Extensiones pruebas de penetración en Google Chrome

Web Developer Firebug Lite d3coder

Orientada a pruebas de codificación (Base64,rot13, MD5, SHA1)

Proxy SwitchySharp

Ayuda a la gestión cuando se cuenta con múltiples servidores proxy

Beneficios del Ethical Hacking

Proporciona conocimiento sobre el grado de vulnerabilidad de los sistemas de información

Descubre fallas de seguridad

Determina sistemas en peligro por desactualización

Identifica configuraciones erróneas en switches, routers, firewalls, etc.

Reduce los riesgos que significan pérdidas de capital

Se ahorra tiempo y dinero al corregir errores antes que sean explotados

Aspectos legales

Antes de poder realizar los tests se debe realizar un acuerdo entre el hacker y la empresa, el cual se

compone de dos elementos:

Convenio de confidencialidad Carta de autorización

Riesgos para la empresa

Método confiable pero depende de ciertos elementos: Buena planificación

Definición correcta de las RoE

Confiabilidad de hackers contratados

Riesgos para el Ethical Hacker

Toma de decisiones sin permisos explícitos de personas u organizaciones

Poco conocimiento sobre el tema Errores inocentes

Cursos disponibles

Más conocido: Brindado por “International Council of

E-Commerce Consultants”

Uruguay: Curso pago dictado por la UNIT, llamado

“Introducción al Ethical Hacking”, dirigido a

egresados del diploma Especialista en Seguridad de la Información UNIT-ISO/IEC 27000 y profesionales del área de informática

Conclusiones

Importancia de la seguridad informática

Ethical Hacking: simular cómo vulnerar la seguridad de una organización

Ethical Hacker: experto en informática.

Importancia de la disciplina reflejada en definición de estándares ISO.

Vulnerabilidad proveniente de aspectos comunes: sitios webs, redes inalámbricas y personal.

Conclusiones

Diversidad en los tipos de tests, según distintos factores. Importancia de ROE para diseño de tests de Ethical

Hacking

Definición de frameworks y estándares para realización de pruebas

Necesidad de contratos bien definidos.

Mercado en aumento por aumento de demanda. Existencia de extensiones de bajo coste.

Técnicas conocidas para recabar información como son footprinting y doxing