Embed Size (px)
Citation preview
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Es la una de la Madrugada…. ¿Sabe quien puede estar entrando en su Red?
Introducción al Hacking Ético
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Hacking Ético –Definición- Desde el Punto de vista de Un individuo, un Hacker Ético es un profesional que tiene las habilidades para evaluar la seguridad de un sistema informático de forma integral, llevando a la practica una serie de pasos secuenciales y teniendo como un criterio trasversal una “Ética Profesional”.
“Hacking Ético como Una Carrera”
Desde el Punto de vista Comercial, el Hacking Ético es un servicio de Auditoria de T.I, que ofrecen empresas especializadas, con el fin de evaluar la seguridad de un sistema informático de forma integral.
Auditor de Sistemas Oficial de Seguridad Pen Tester
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Otras Definiciones Importantes que se deben de tener en cuenta en el curso:
Seguridad de la Información: Es un estado de Bienestar o aceptable, en lo que respecta al riesgo al que están expuestos los activos ( Tecnológicos Por Ejemplo).
Amenaza: Es una acción o acontecimiento que pueda comprometer la seguridad. Una amenaza es una violación potencial de la seguridad.
Vulnerabilidad (Bug): Existencia de una debilidad en el diseño de una aplicación o un error que puede conducir a un acontecimiento inesperado y no deseable, el cual pone en peligro la seguridad del sistema.
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Otras Definiciones Importantes que se deben de tener en cuenta en el curso:
Exploit: un exploit es una vía, o una manera especifica de aprovecharse de un vulnerabilidad para poder lograr un ataque informático.
Ataque: Un asalto a la seguridad del sistema que se deriva de una amenaza inteligente. Un ataque es cualquier acción que viole la seguridad de un sistema o red informática.
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
1.Aplicativo: Este aplicativo tiene una falla, la cual se ve representada luego de que se dan mas de diez nombres de usuarios y contraseñas, el sistema deja pasar a la pantalla principal con privilegios de administrador.
2.Publicación de la Vulnerabilidad
3. Diseño del programa que explota dicha vulnerabilidad
Concepto Grafico “Exploit- Vulnerabilidad”
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
•AUTENTICIDAD: Conocimiento que la información se ha originado en una fuente valida del sistema
• INTEGRIDAD: Garantía que la información no ha sido alterada a nivel externo o interno en la estructura organizacional del Sistema.
• CONFINDENCIALIDAD: Privacidad de la información, logrando el propósito de que esta sea visible únicamente a los usuarios o grupos designados previamente
• DISPONIBILIDAD: Garantía de que el servicio este siempre operativo
Otras definiciones de seguridad de la información importantes que se deben de tener en cuenta en el curso:
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
AUDITABILIDAD: Garantía de que todas las transacciones, incluidas las de seguridad, puedan ser auditadas y verificadas de alguna manera por los usuarios asignados para dicha labor.
• NO REPUDIO: Garantía de que alguien que envía, crea, o manipula información, no pueda negar posteriormente que fue el actor, o el manipulador de dicha información
•AUTENTICIDAD: Garantía de verificar que alguien sea, quien dice ser.
Otras definiciones de seguridad de la información importantes que se deben de tener en cuenta en el curso:
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Hackers: Se define como un experto, entusiasta en Sistemas de Informática a nivel de Programación de Computadores, Redes Informáticas de todo tipo y en especial es un experto en Internet. El Hacker investiga, crea, y luego comparte esa información, la cual busca mejorar como reto personal o simplemente por diversión.
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Algunos Derivados del termino Hacker:
Black Hats: Individuos con extraordinarias capacidades cognitivas en la ciencia de la computación y en especial en el arte de la programación, pero utilizando dichas capacidades para fines actividades no legales y destructivas. Estos individuos más comúnmente se conocen como Crackers, y son los encargados de reventar claves de sistemas usando procesos de criptoanálisis bastante complejos. La mayor habilidad de un Black Hat radica en su conocimiento en el arte de la programación de las computadores en todos sus niveles, además algunos son buenos matemáticos y físicos.
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Algunos Derivados del termino Hacker:
White Hats: Son Hackers profesionales que se dedican a llevar a la práctica evaluaciones de seguridad a las empresas u organizaciones del estado, gobierno e instituciones financieras y utilizan sus conocimientos con propósitos defensivos, son conocidos también como analistas de seguridad. Muchos de estos Hackers son Crackers retirados y reformados con respecto a su ética profesional y ética Hacker, ya que han encontrado un negocio mas representativo en proteger y analizar las redes de datos, que estar haciendo daños y terminar finalmente en problemas con la justicia, multas de dinero representativas, entre otras mas situaciones comprometedoras y negativas.
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Algunos Derivados del termino Hacker:
Hacker SuicidasPhreacker
LammersSpammerVirus Coder
Gray HatScript Kiddie
Defacer
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Algunos Derivados del termino Hacker:
Hackitivismo: Este término se define como realizar prácticas de Hacking Ilegal por una causa en especial. Por lo regular el Hackitivismo esta basado en ideales relacionados con la vida social, política y religiosa.
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
-Hackers Famosos y Evolución del Hacking –
JaschanV. Levin Poulsen
Pioneros Del Hacking: Retos, Innovación
Intereses Económicos, Notoriedad, Vandalismo
WozniakMitnick
Smith
Drapper Goldstein
Mckinnon
“Obsesivos”McClure Scambray Sallis Borghello
Consultores, Pen Tester, Hacking Ético
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Hacking Ético –Perfil de Profesional “Hacking Ético”
Técnico (Indispensable) Personal Administrativo (Consultor)
“Primero Gurú, Luego Hacker Ético o Pen Tester”
Infraestructura y Redes
Sistemas Operativos
Desarrollo de Software y B.D
Entusiasta (Pasión) Investigador ActualizadoIdioma Ingles Autónomo Trabajo en Equipo Ética Profesional
Lenguaje no Técnico (Habilidades de Comunicación) Certificaciones Experiencia Hoja de Vida
Al momento de un Test de Seguridad, todas las partes Interactúan entre si
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
1.Reconocimiento
Pasivo
2.Reconocimiento
Activo
3. Análisi
s de Vulnerabilida
des
4. Explotación
de Vulnerabilida
des (Ataqu
e)
5.Recolección
de Evidenc
ias y Present
ación Inform
es
–Fases Hacking Ético y de un Análisis Malicioso
Reconocimiento
Scanning
Ganando Acceso
Manteniendo Acceso
Borrado de Huellas
Hacking Ético Hacking Malicioso según CEH
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Hay varias maneras, en la que un atacante puede asaltar y obtener acceso y control del sistema delimitado como objetivo de ataque.
Los Hackers Black-Hat y sus tipos de ataques.
• Ataques al sistema Operativo.• Ataques a nivel de aplicación.• Ataques al código fuente de un aplicativo.• Ataques a no adecuadas configuraciones
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Análisis de Vulnerabilidades (Vulnerability Assessment)
Test de Penetración
(Penetration Test)Hacking Ético
(Ethical Hacking)
Tipos de Análisis : Se pueden Identificar (3) tres tipos:
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Hacking Ético –Tipos de Análisis – Características:Análisis de
Vulnerabilidades Test de Penetración Hacking Ético
Identificación de Puertos Abiertos y Servicios
Tiene un Objetivo definido Todo es un Objetivo en el Entorno
Vulnerabilidades Conocidas (Aplicación y S.O)
Se tiene en cuenta el Entorno (IDS, Firewall, IPS)
Ataques de ingeniería Social y DDoS
Clasificación de los Vulnerabilidades
Busca comprometer el sistema objetivo
Mas complejidad y Profundidad en el Análisis
No hay explotación de vulnerabilidades , ni Intrusión en el Sistema.
Hay explotación de vulnerabilidades e Intrusión en el sistema objetivo
Hay explotación de vulnerabilidades Ataque Puro
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Tipos de Análisis –: Variables de Impacto en un Análisis de Seguridad.
Posicionamiento: Visibilidad:
Cuál será la información suministrada al Evaluador (Pen Tester)
Definir desde donde se llevara a la practica el Análisis de Seguridad.
Posicionamiento Externo Posicionamiento Interno Desde una VLAN Diferente Desde VLAN Servidores Desde la VPN
Blind/BlackBox Double Blind/ BlackBox GrayBox Double GrayBox WhiteBox Reversal
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Tipo de Análisis DescripciónBlind/BlackBox El Analista de seguridad no tiene conocimiento del Objetivo,
pero el cliente si tiene conocimiento del análisis, además de saber cuando se ejecutará.
Double Blind/ BlackBox El Analista de seguridad no tiene conocimiento del Objetivo, el cliente no sabe que tareas se ejecutaran en el análisis, ni tampoco cuando se ejecutará.
GrayBox El Analista de seguridad conoce muy poco del objetivo, pero el cliente tiene conocimiento del tipo de test y cuando se ejecutará.
Double GrayBox Similar al anterior, la única diferencia es que el cliente no sabara cuando se ejecutará el análisis.
WhiteBox Ambas Partes (Cliente-Analista) sabrán cuando se hacen los test, el tipo de test, además de saber cuando se ejecutará
Reversal Similar al anterior, la diferencia radica en que el cliente no sabrá que tareas de análisis se ejecutaran como tampoco cuando.
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Tipos de Análisis –: Variables de Impacto en un Análisis de Seguridad. (Arquitectura de Intrusión)
Servidores B.D
DMZ- 1
Red LAN
Internet
Firewall/IPS/Router
Ethical Hacker
Ethical Hacker
Ethical Hacker
Ethical Hacker
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Hacking Ético –Fases de Análisis de Seguridad.1. RECONOCIMIENTO PASIVO:“Es la primera y mas importante fase del análisis. El analista tratar de recopilar de forma metodológica toda la información que mas pueda al respecto del objetivo”.
No se realiza ningún tipo de escaneo o contacto con la maquina objetivo. Permite Construir un mapa del Objetivo, sin interactuar con él. Existen menos herramientas informáticas que en las otras fases. Recolección de Información Pública ( Ingeniería Social y Google Hacking)
-El Éxito del Ataque Futuro, dependerá en
gran medida del desarrollo de esta
primera fase-
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
Hacking Ético –Fases de Análisis de Seguridad.RECONOCIMIENTO PASIVO “TOOLS”Algunas de las herramientas importantes en esta fase son las siguientes:
http://www.informatica64.com/foca/default.aspx
http://www.robotex.com/
Google Hacking Database
www.dsteamseguridad.com
“Hacking Ético Metodología y Práctica”-Introducción al Hacking Ético-
