© 2007
PenTest 2.0
Agenda
Introducción al Penetration Testing
El PenTest Hoy
Casos Reales
El Futuro del Penetration Testing
Conclusiones
© 2007
PenTest 2.0
Introducci
© 2007
PenTest 2.0
Un Penetration Test consiste en la evaluación del nivel de seguridad informática existente en una instalación tecnológica. El equipo de PenTest se focaliza en intentar detectar
la mayor
cantidad de vulnerabilidades
posibles,las cuales implicarían un riesgo
para los activos de la organización.
Introducción
© 2007
PenTest 2.0
Introducción
¿ Cómo se realiza un Penetration Test ?
Se utilizan las mismas técnicas y herramientas utilizadas por los atacantes reales.
A través de distintas fases
(Descubrimiento, Exploración,
Evaluación, Intrusión) se intenta
explotar las vulnerabilidades detectadas para tomar control
© 2007
PenTest 2.0
Introducción
Metodologías
• Black-box • Grey-box • White-boxTipos de PenTest
• Penetration Tests Externos • Penetration Tests Internos • Penetration Tests Web
© 2007
PenTest 2.0
El
El
PenTest
PenTest
Hoy
Hoy
© 2007
PenTest 2.0
Durante los últimos años han surgido herramientas para “
realizar
” Penetration Tests.
Muchos auditores, adoptan y utilizanúnicamente
éstas herramientas,
atando el éxito de la evaluación a las funcionalidades que las mismas proveen.El PenTest Hoy
© 2007
PenTest 2.0
Adicionalmente al uso de las herramientas existentes, es
imprescindible
aplicar técnicas y estrategias avanzadas para realizar un PenTest de calidad.El PenTest Hoy
Penetration Testing
Táctico
En este aspecto, los conocimientos y experiencia del equipo de PenTest juegan un papel primordial e
© 2007
PenTest 2.0
El Factor Humano
Información en sitios institucionales (nombres, teléfonos, e-mails, cargos)
Motores de búsqueda (perfiles)
El PenTest Hoy
© 2007
PenTest 2.0
El Factor Tecnológico (sistemas)
Información de Whois.
Transferencias de Zonas DNS.
Seguimiento de Rutas.
Información de Direccionamiento Interno.
Dispositivos de Filtrado.
Aplicaciones Web.
Rangos telefónicos y Accesos Wireless.
El PenTest Hoy
© 2007
PenTest 2.0
Explotación de vulnerabilidades en versiones desactualizadas.
Acceso mediante credenciales válidas.
Explotación de relaciones de confianza.
Explotación de vulnerabilidades en Aplicaciones Web.
Acceso a través de enlaces Wireless.
Escalamiento de Privilegios
…
El PenTest Hoy
© 2007
PenTest 2.0
Casos Reales
Casos Reales
© 2007
PenTest 2.0
PenTest Web.
Aplicación Web Home-Banking.
Versión Beta.
Sección
Transferencias
.
La Aplicación valida que el importe a transferir sea un número decimal válido.
“Uia!! La validación es del lado del cliente !!”
“¿ Y si defino un importe negativo ?”
Resultado: Mi cuenta bancaria aumenta y aumenta…
Casos Reales
© 2007
PenTest 2.0
PenTest Externo.
Descubrimiento de Enlaces Wireless.
Oficinas centrales “limpias”.
“¿ Y los depósitos ?”
“Uia! El Access Point está por defecto!”
Acceso a la Red Interna.
Acceso a la PC del Gerente General.
Casos Reales
© 2007
PenTest 2.0
PenTest Externo.
Entidad Bancaria.
Sistemas y Aplicaciones Web con alto nivel de seguridad.
Análisis de Centrales Telefónicas.
“Uia! Se puede acceder a las opciones administrativas!”
“Uia! Tiene un password trivial!”
Control administrativo de la Central principal.
Creación de Número Interno.
Obtención de cuentas de mails.
Casos Reales
© 2007
PenTest 2.0
El Futuro del
El Futuro del
Penetration
Penetration
Testing
Testing
© 2007
PenTest 2.0
Originalmente, el Penetration Test se enfocaba en intentar acceder a los sistemas
servidores
de una organización, ya que los mismos poseen información dealta sensibilidad.
En general, el nivel de seguridad externo de las
implementaciones puramente técnicas ha ido y continuará mejorando.
Cambiando el enfoque: Atacando al eslabón más débil, el
El Futuro de Penetration Testing
© 2007
PenTest 2.0
El Futuro de Penetration Testing
El Cambio de Enfoque: Atacando al Usuario
Ingeniería Social.
Explotando vulnerabilidades en los Navegadores.
Explotando vulnerabilidades en los Clientes de Correo.
Envío de e-mails con Troyanos.
© 2007
PenTest 2.0
El Futuro de Penetration Testing
El Cambio de Enfoque: PenTest Específicos
Muchas organizaciones han relegado la evaluación de seguridad de sus sistemas más críticos, por temor a la ruptura de la continuidad del negocio.
Sistemas objetivo:
ERPs
SCADA
© 2007
PenTest 2.0
El Futuro de Penetration Testing
CYBSEC-Labs:
Frameworks
Frameworks
para asistir a las tareas de Penetration Testing. Públicos y gratuitos.
w3af:
Framework para analizar la seguridad de Aplicaciones Web.
© 2007
PenTest 2.0
Conclusiones
Conclusiones
© 2007
PenTest 2.0
Conclusiones
Conclusiones
El Penetration Test nos permite conocer el nivel de seguridad
informático de nuestra red, sistemas y
personas
,
analizándolo desde los distintos ángulos de operación de un posible atacante. Es conveniente realizar PenTests periódicos, llevados a cabo por profesionales altamente especializados.
Los sistemas críticos (ERPs, SCADA, etc) deben ser evaluados, ya que un ataque a los mismos puede resultar
altamente
perjudicial
para la organización.© 2007
