Upload
miltoncerpa
View
9
Download
0
Embed Size (px)
DESCRIPTION
El término hacker, en la informática, simboliza al individuo que se dedica con profundidad aentender, modificar o burlarse de los límites de seguridad de dispositivos, programas y redesde computadoras. En el entendimiento popular, el hacker está asociado a la persona con actitudmaliciosa, cuya motivación, invariablemente conlleva al comprometimiento de los pilares de lainformación: La integridad, disponibilidad, autenticidad y privacidad de los datos y sistemascomputacionales.
Citation preview
METODOLOGÍAS DE
HACKING ÉTICO
Trabajo de Investigación Personal
Milton Aranda Cerpa [email protected] Docente: Sr. Gonzalo Lorca
1
Contenido
Introducción .................................................................................................................................. 2
Fundamentación teórica ............................................................................................................... 3
¿Qué es ser un hacker ético? .................................................................................................. 4
Habilidades del hacker ético ..................................................................................................... 4
Clasificación de los hackers. .................................................................................................... 5
Vulnerabilidades – Búsqueda y explotación ............................................................................. 6
El ataque hacker ........................................................................................................................... 7
Clasificación de los ataques ..................................................................................................... 7
Las diferentes fases del ataque ................................................................................................ 7
Fase 1. Reconocimiento Y Recolección De Información Del Blanco ................................... 7
Fase 2. Escaneo y Recolección de Informaciones de la Red .............................................. 8
Fase 3. Obtención de acceso ............................................................................................... 9
Fase 4. Mantención del acceso. ......................................................................................... 10
Fase 5. Limpieza de huellas. .............................................................................................. 10
Principales técnicas utilizadas en el ataque ........................................................................... 11
Abordajes del ataque del hacker ético ................................................................................... 15
Pentest ........................................................................................................................................ 16
Etapas des Pentest ................................................................................................................. 16
Resultados de un Pentest ....................................................................................................... 16
Conclusión .................................................................................................................................. 18
Referencias................................................................................................................................. 19
2
Introducción
El término hacker, en la informática, simboliza al individuo que se dedica con profundidad a
entender, modificar o burlarse de los límites de seguridad de dispositivos, programas y redes
de computadoras. En el entendimiento popular, el hacker está asociado a la persona con actitud
maliciosa, cuya motivación, invariablemente conlleva al comprometimiento de los pilares de la
información: La integridad, disponibilidad, autenticidad y privacidad de los datos y sistemas
computacionales.
En una visión más amplia, hacker es todo aquel individuo con habilidad que, aparte de
comprometer y burlarse de los sistemas, contribuye para el desarrollo y mejoramiento
tecnológicos, sea por el descubrimiento y la distribución de informaciones de seguridad, o por
el desarrollo y mejoramiento de softwares o sistemas informatizados. El hacker por lo tanto,
puede ser tanto mal intencionado como un profesional norteado por la ética y la legalidad.
El principal objetivo de este informe es despertar el interés con respecto a la actividad del hacker
ético y describir los principales conceptos y habilidades en amplio espectro del conocimiento
hacker.
3
Fundamentación teórica
Ser capaz de entender y definir bien la terminología hacker es una parte importante de la
responsabilidad de cualquier profesional que tenga como objetivo estudiar el asunto. Esta
terminología es la forma como los profesionales de seguridad que actúan como hacker éticos
se comunican. Este lenguaje hacking es necesario como base para los conceptos que serán
presentados posteriormente.
a) Amenaza: Un ambiente o situación que podría llevar a una potencial violación de
seguridad. hackers éticos buscan priorizar las amenazas al ejecutar un análisis de
seguridad. hackers maliciosos, por si solos constituyen una amenaza a la seguridad de
una organización.
b) Exploit: Un extracto de software u tecnología que se aprovecha de un bug, falla o
vulnerabilidad para promover el acceso no autorizado, la suplantación o la elevación de
privilegios hasta la negación de un servicio en un sistema computacional. hackers están
a la búsqueda de exploits para abrir brechas de seguridad y perpetrar el ataque. La
mayoría de los exploits son pequeños trozos de códigos que, una vez ejecutados en un
sistema, exponen sus vulnerabilidades. Hackers experimentados crean sus propios
exploits, pero no es necesario tener grandes conocimientos de programación para ser
un hacker ético, teniendo en vista que la disponibilidad de exploits prontos pueden ser
utilizados en los testes de seguridad. Un Exploit, por lo tanto es un código definido para
violar la seguridad de un sistema TI (Tecnología de la Información) a través de la
vulnerabilidad.
c) Vulnerabilidad: Es la existencia de una falla de software, diseño de lógica o error de
ejecución que puede llevar a un evento inesperado e indeseado al ejecutar instrucciones
maliciosas o perjudiciales a un sistema.
d) Ataque: Actividad de explotación de vulnerabilidades, con la finalidad de permitir al
atacante el acceso o el comprometimiento de un sistema o una red blanco. Un ataque
puede ocurrir cuando un sistema está comprometido con base en una vulnerabilidad.
Puede ser por ejemplo, el quiebre de mecanismos de seguridad, con fines de permitir el
acceso no autorizado, el rayado de una página web, la denegación de servicio, la
infección por malware o cualquier tipo que comprometa un sistema.
e) Sistemas: Referencia genérica para definir una red, dispositivos, hosts, softwares y
sistemas de seguridad que pueden servir de blanco para los hackers.
f) Blanco: Objetivo a ser comprometido por el hacker.
g) Malware: Referencia general a una variedad de artefactos, programas o códigos
maliciosos construidos para infiltrarse de forma ilícita en un sistema de computadoras e
intencionalmente causar daños, alterar o robar informaciones.
h) Pentest: Test de penetración o test de invasión. Consiste en un conjunto de actividades
que simulan la acción de un hacker mal intencionado, con la finalidad de auditar los
mecanismos de seguridad del cliente. No tiene la intención de derribar al blanco, pero
si te exponer sus vulnerabilidades e sus implicaciones.
4
¿Qué es ser un hacker ético?
Son generalmente profesionales de seguridad o PenTesters que utilizan sus habilidades y
herramientas con el propósito de protección y defensa. Estos profesionales testean sus propias
redes y sistemas de seguridad en la búsqueda de vulnerabilidades utilizando las mismas
herramientas que serían utilizadas por un hacker malicioso para comprometer la red. Cualquier
profesional de informática puede adquirir habilidades de hacker ético.
El objetivo principal de un hacker ético es ayudar las organizaciones a tomar las contramedidas
esenciales contra los ataques de hackers mal intencionados o realizar ataques de auditoria en
los propios sistemas, siempre obedeciendo los límites legales para lo mismo. La filosofía por
detrás de un hacker ético es intentar capturar al delincuente, pensando como uno.
Algunos cursos y certificaciones desarrollan esas habilidades hackers y pueden nortear el
interesado en ese universo. Los principales son los GIAC de SANS, orientados a la seguridad y
Pentest; curso de las Offensive Security como PWK, CTP y AWE y las certificaciones CEH y
CHFI de la EC-Council.
Habilidades del hacker ético
El hacker ético, para estar un paso al frente de los hackers mal intencionados, debe ser
especialista en sistemas de computadores, tener conocimientos de programación, redes y
sistemas operacionales. Tener conocimiento profundizado sobre las plataformas altamente
segmentadas (como Windows, Unix y Linux) es también una exigencia. Paciencia, persistencia
y perseverancia son cualidades importantes para hackers éticos. Esto es debido al periodo de
tiempo e nivel de concentración necesarias para obtener éxito en la mayoría de los ataques.
Habilidades de programación web y de base de datos, bien como el conocimiento en redes de
computadores son bastante útiles para el hacker en la realización de hacking éticos y testes de
vulnerabilidades.
Cuando hace parte de un equipo de test de seguridad, el hacker adquiere funciones específicas
y en algunos casos específicos asumir un rol en el equipo. En este caso, cada miembro del
equipo tiene una especialidad distinta. Sin embargo, la mayoría de los hackers éticos tienen
fuerte conocimiento de seguridad y contramedidas de seguridad para hacer frente y prevenir
ataques.
La actividad del Hacer ético es generalmente conducida de forma estructurada y organizada,
generalmente como parte de un test de penetración o de auditoria de seguridad. La profundidad
y el alcance de los testes aplicados en los sistemas sin generalmente determinados por las
necesidades y las preocupaciones del cliente. Muchos hackers éticos son mientras del equipo
de seguridad de TI y de respuesta a incidentes en redes de organización. Este equipo trabaja
en conjunto para realizar testes en grande escala cubriendo todos los aspectos de la red, de la
infraestructura física y de los sistemas de intrusión.
5
El hacker ético debe seguir ciertas reglas para garantizar que todas las obligaciones éticas y
morales sean cumplidas:
Obtención de una autorización del cliente a través de contrato firmado, dando permiso
al hacker ético para realizar testes.
Firmar y mantener un acuerdo de no divulgación de datos y la firma de un contrato de
confidencialidad con el cliente
Mantener la confidencialidad al realizar el test. Los datos obtenidos pueden contener
información sensible. Cualquier información sobre el test o la empresa son
confidenciales y nunca deben ser compartidos con terceros.
Definir y realizar el test hasta los límites acordados con el cliente. Se debe en conjunto
con el cliente, establecer los límites máximos para los testes con el objetivo de no
comprometer ninguna actividad de la organización.
Una auditoria de seguridad organizada, eficiente y ética, debe seguir los pasos a seguir:
Reunir con el cliente y discutir las necesidades que serán abordadas durante el test.
Preparar y firmar los acuerdos de confidencialidad con el cliente.
Organizar el equipo de hacking ético y preparar una agenda para el test.
Realizar el test.
Analizar los resultados de los testes y realizar un informe.
Presentar las conclusiones del informe con para el cliente.
Clasificación de los hackers.
La motivación es un parámetro importante para la clasificación de los hackers. Basado en ese
parámetro, se destacan los siguientes tipos de hackers y sus perfiles.
White Hats: También conocidos como hackers del bien, o hacker éticos, cuya
motivación es el mejoramiento y desarrollo de sistemas de seguridad, de nuevas
tecnologías, siempre respetando los límites legales para lo mismo.
Black Hats: Conocidos como Crackers, son los hackers mal intencionados cuya
motivación principal es obtener alguna ventaja, sea financiera, por desafío personal o
notoriedad. Se dividen entre:
o Spammers: Utilizan correo en masa para distribuir malwares, golpes virtuales,
propagandas y levantar informaciones de los usuarios
o Espías corporativos: Tienen como objetivo ganar ventaja comercial a través
del robo de informaciones corporativas sigilosas
o Script Kids: hackers iniciantes que, por poco conocimiento que poseen, utilizan
herramientas prontas construidas por otros hackers.
o Delincuentes virtuales: Criminales que utilizan el medio electrónico para
cometer delitos financieros, fraudes, estelionato en la búsqueda de una ventaja
financiera.
Gray Hats: Motivaciones personales o gubernamentales son el norte de sus acciones,
que pueden ir desde la defensa de un sistema computacional, hasta el desarrollo de
6
armas digitales avanzadas con la finalidad bélica. Pueden actuar éticamente o de forma
maliciosa, dependiendo de la situación o de la motivación.
o Soldados virtuales: Agentes del gobierno, normalmente con algún
conocimiento militar, actuantes en la guerra cibernética, con objetivos
específicos estratégicos de motivación gubernamental.
o Hacktivistas: Motivados por razones políticas, religiosas y otros tipos de
creencias que juzgan válidas. Buscan humillar a sus adversarios o buscan
notoriedad para su causa. En la mayoría de las veces actúan como Black Hats.
o Phreaker: hackers especialistas en telefonía móvil y fija.
Vulnerabilidades – Búsqueda y explotación
La búsqueda por vulnerabilidades es un proceso de descubierta de puntos débiles de un
proyecto, el cual podría favorecer el ataque a un sistema. Existen varios sitios y herramientas
para ayudar al hacker ético a mantener una lista de las vulnerabilidades y exploits funcionales
y actualizados.
Es esencial que los administradores de sistemas se mantengan actualizados sobre los más
recientes virus, troyanos y otros exploits y malware con el fin de proteger adecuadamente sus
redes. A parte de eso, al tornarse familiarizado con las amenazas más recientes, un
administrador puede aprender cómo detectar, prevenir y recuperarse de un ataque.
La búsqueda de vulnerabilidades difiere de la actividad del hacker por ser realizada
pasivamente, a la búsqueda de posibles fallas de seguridad sin peligro de comprometerlas,
mientras que el hacker lo intenta de forma activa y pasiva levantar el máximo de información
con la finalidad de explotarlas.
Existen muchos métodos y herramientas para localizar vulnerabilidades, explorar y
comprometer sistemas. Troyanos, backdoors, sniffers, rootkits, buffer overflows y SQL Injection
son algunos ejemplos de tecnologías que pueden ser usadas para “hackear” un sistema o una
red. La mayoría de estas herramientas, explotan vulnerabilidades existentes que todavía no
fueron corregidas, como:
Sistemas Operativos: Es común que administradores de sistemas informatizados
instalen sistemas operativos con las configuraciones por defecto del desarrollados,
resultando en una vulnerabilidad en potencial que permanece sin corregir.
Aplicaciones: Aplicaciones generalmente no pasan por testes de vulnerabilidades
cuando se desarrollan y dejan fallas en la programación que pueden ser explotadas
Fallas de configuración: Sistemas también pueden ser configurados incorrectamente,
o pueden tener sus configuraciones de seguridad reducidas en pro de la facilidad de
utilización, lo que puede resultar en vulnerabilidades.
Shrink-wrap code: Muchos softwares poseen funcionalidades extras desconocidas
para el usuario común, que permiten la explotación. Un ejemplo son las macros de
Microsoft Word, que pueden permitir que un hacker ejecute programas desde dentro del
aplicativo.
7
El ataque hacker
Es la actividad que tiene objetivo comprometer un blanco, a través de la explotación de
vulnerabilidades y permitir al atacante el acceso indebido al sistema deseado.
Clasificación de los ataques
Así como existen diferentes tecnologías a ser explotadas por los hackers, existen también
diferentes tipos de ataques que pueden ser categorizados como activos y pasivos. Estos
son utilizados tanto en infraestructuras de seguridad de redes como en estaciones de
trabajo. Ataques activos generalmente modifican el sistema o la red atacada, afectando la
disponibilidad, integridad y la autenticidad de los datos, mientras que ataque pasivos tienen
como objetivos obtener información, comprometiendo la confidencialidad de los datos.
Los ataques también son categorizados como inside (internos) u outside (externos). Un
ataque originado desde dentro del perímetro de seguridad de una organización, es conocido
como inside black o ataque interno y es causado por un agente (conocido como Insiders)
que tienen acceso privilegiado a la red o sistema y por eso ganan mayor acceso a los
recursos de la red comparado a lo que se puede obtener a través de un ataque externo, u
outside attack.
Las diferentes fases del ataque
Un hacker ético sigue etapas similares a los hackers mal intencionados. El paso a paso para
obtener y mantener el acceso a un sistema computacional es el mismo, sin importar la
intención o la motivación del hacker. Este proceso puede ser dividido en cinco fases:
Reconocimiento, escaneo, obtención de acceso, mantención del acceso y ocultación de
huellas.
Fase 1. Reconocimiento Y Recolección De Información Del Blanco
Hace referencia a las actividades de reconocimiento activo y pasivo, con la finalidad de
recolectar informaciones sobre el blanco y establecer una imagen del mismo o un footprint
que permita al hacker evaluar y elegir la mejor forma de ataque.
El reconocimiento pasivo, consiste en recolectar informaciones sobre un potencial blanco
sin que el mismo tome conocimiento. El reconocimiento pasivo es generalmente realizado
a través de búsquedas en fuentes abiertas, como buscadores web, medios sociales, sitios
corporativos. Este proceso es conocido también como Information Gatherin. Otra forma de
reconocimiento pasivo es el Sniffing Network, rastreo del tráfico de la red, que permite al
8
atacante, a través de su análisis, identificar direcciones IP, servidores o redes ocultas y otros
servicios disponibles en la red.
El reconocimiento activo presume interferencia en la red y por lo tanto, incurre en más
riesgos de detección que el modo pasivo de ataque. El reconocimiento activo puede dar
indicaciones cuidadosas sobre dispositivos de seguridad empleados por el blanco, sin
embargo, dicho proceso aumenta las posibilidades de detección y rastreo del ataque.
Ambos reconocimientos, activo o pasivo, pueden descubrir valiosas informaciones a ser
utilizadas en el ataque, como versiones de sistemas operativos u por lo tanto, posibles
vulnerabilidades a ser explotadas.
La recolección de informaciones puede ser quebrada en siete pasos lógicos (Figura 1)
FIGURA 1. LOS SIETE PASOS DE LA RECOLECCIÓN DE INFORMACIONES SEGÚN LA METODOLOGÍA
CEH (EXTRAÍDA DESDE CERTIFIED ETHICAL HACKER STUDY GUIDE)
Fase 2. Escaneo y Recolección de Informaciones de la Red
Una vez pasado el reconocimiento y la recolección de informaciones del blanco, se procede
al escaneo.
El escaneo consiste en utilizar las informaciones obtenidas durante el reconocimiento y
utilizarlas para examinar la red. Herramientas que el hacker puede utilizar en esta fase
incluyen; Dialers, escáneres de puertos, escáneres ICMP y SNMP, barredores de Ping,
mapeadores de red y escáneres de vulnerabilidades.
Los tipos de escaneo son los siguientes:
Escaneo de Puertos – Tiene como objetivo determinar los puertos y
servicios disponibles
9
Escaneo de red – Tiene como objetivo identificar direcciones IP de una red
determinada o una subred.
Escaneo de vulnerabilidades – Tiene como objetivo descubrir
vulnerabilidades conocidas en el blanco.
A través del escaneo, los hacker puede obtener informaciones importantes como: Nombre de
equipos, sistemas operativos, softwares instalados, direcciones IP, cuentas de usuario etc.
FIGURA 2. METODOLOGÍA DE ESCANEO DEL CEH. EXTRAÍDO DE CERTIFIED ETHICAL HACKER STUDY
GUIDE
Fase 3. Obtención de acceso
Esta fase consiste en la invasión propiamente dicha. Vulnerabilidades expuestas durante
las fases de reconocimiento y escaneo ahora son explotadas con la finalizad de permitir el
acceso al sistema blanco. El ataque puede ser deliberado a través de la red local (LAN),
cableada o inalámbrica, acceso físico al PC; internet u offline. Una vez con el acceso, el
hacker busca escalar privilegios en el sistema con la finalidad de asumir el control total del
mismo. Los principales ataques estarán relacionados en el próximo punto.
10
Fase 4. Mantención del acceso.
Una vez que el hacker gana acceso al sistema blanco, es necesario mantener el acceso
para futuros ataques. A menudo, el hacker corrige las vulnerabilidades previamente
existentes en el sistema, con el objetivo de impedir que otro hacker las explote, garantizando
así el acceso exclusivo a través de backdoors, rootkits y troyanos.
Son ejemplos de actividades en esta etapa:
Instalación de rootkits – Es un tipo de programa usado para ocultar
funcionalidades dentro de un sistema comprometido. Los rootkits incluyen
los mencionados backdoors que ayudan al atacante a posteriori acceder de
forma más fácil el sistema comprometido.
Ocultación de archivos – El hacker debe esconder los archivos
implantados dentro del sistema con la finalidad de prevenir la detección de
los archivos que hayan sido utilizados para el comprometimiento del sistema
o la mantención de acceso en sí. Existen varias formas de ocultar archivos,
una de ellas es por ejemplos de sus atributos.
Fase 5. Limpieza de huellas.
Pasada la etapa en que el hacker obtiene y mantiene el acceso al sistema blanco de ataque,
es necesario limpiar las huellas con la finalidad de remover las evidencias e impedir la
detección de la invasión por los sistemas de seguridad, prevenir su identificación, rastreo y
localización por las autoridades. Las huellas del ataque son apagados a través de la
remoción o alteración de los archivos de Log (registros) o alarmas de intrusos (IDS), por
técnicas como Esteganografía y tunneling de protocolos.
La primera cosa que el invasor debe realizar al adquirir privilegios de administrador, es
apagar los mecanismos de auditoria del sistema operativo, como registros de Log y eventos.
Antes de abandonar el sistema comprometido, es importante revisar los registros de eventos
y apagar el historial, asegurándose que se haya eliminado cualquier huella que identifique
una actividad sospechosa.
11
Principales técnicas utilizadas en el ataque
Passwords attacks: Corresponde al quiebre criptográfico de contraseñas y datos, se puede
realizar online u offline. El éxito de este ataque depende de factores como la fuerza de la
contraseña (tamaño y complejidad), del algoritmo criptográfico utilizado, capacidad
computacional empleada, configuraciones de seguridad, etc.
Escalada o elevación de privilegios: Corresponde a agregar derechos y permisos a la cuenta
invadida, o sea, transformar un usuario corriente en administrador. Las cuentas de
administradores existen en menor cantidad y están protegidas y monitoreadas, por lo mismo las
cuentas de usuarios comunes son más susceptibles a una invasión.
Ejecución de aplicaciones: Una vez que el hacker logra una cuenta con privilegios de
administrador, el próximo paso es ejecutar aplicaciones dentro del sistema blanco. Esto
permitirá la instalación de backdoors (puertas traseras), keyloggers (malware que registra las
pulsaciones en el teclado) para adquirir informaciones confidenciales, copiar archivos o
solamente causar daño al sistema, o realizar lo que el hacker pretenda.
Uso de Malwares: Troyanos y backdoors son herramientas para el hacker obtener acceso a un
sistema. Existen diversas variedades, todas con una característica común; deben ser instaladas
por otros programas o un usuario debe ser inducido a instalarlas en su sistema. Otros malwares
como virus y gusanos pueden ser tan destructivos como troyanos y backdoors. Muchos virus
cargan troyanos y pueden infectar un sistema y en seguida, crear un backdoors o modificar el
sistema para permitir el acceso al hacker.
Sniffers o rastreador de tráfico: Son herramientas que capturan paquetes de tráfico no
destinadas a la dirección del dispositivo rastreador, sea de forma activa o pasiva. Se utilizan
técnicas como ARP Spoofing, DNS Spoofing, MAC Flooding, Port Mirroring o Port Scan,
técnicas que permiten capturar el tráfico de la red, reenviando al dispositivo sniffer. En este tipo
de actividad, el hacker está habilitado a capturar y analizar protocolos como el HTTP, POP3,
SNMP y FTP en la búsqueda de contraseñas, cuentas, informaciones confidenciales y hasta
reconstruir archivos que navegan por la red.
12
Denegación de servicio: El objetivo de este tipo de ataque es tornar un sistema inutilizable o
significativamente lento, a través de agotamiento de recursos o impidiendo usuarios de
accederlo, comprometiendo la disponibilidad. Este tipo de ataque, puede ser perpetrado contra
un individuo o una red completa de forma exitosa. Se categoriza de dos maneras:
Ataque originado desde un simple dispositivo hacia un blanco uno o una
víctima, llamado denegación de servicio simple, o DoS.
Ataque originado desde muchos dispositivos contra un blanco único,
también conocido como Denegación de Servicio Distribuida o simplemente
DDoS. Es una versión avanzada de DoS, pero que parte desde diferentes
dispositivos al mismo tiempo de forma que el blanco no pueda soportar el
gran volumen de conexiones. Ocurre de forma coordinada y en larga escala,
a través de redes zombis con centenas o millares de dispositivos infectados
(slaves) comandados por un control central (master)
FIGURA 3. ESQUEMA DE UN ATAQUE DDOS. EXTRAÍDO: CERTIFIED ETHICAL HACKER STUDY GUIDE
El objetivo de un ataque de denegación no es obtener acceso no autorizado a una maquina
o a datos confidenciales, pero prevenir que usuarios legítimos tengan acceso al servicio.
Dicho objetivo se logra de las siguientes formas:
Inundando una red con tráfico, impidiendo el tráfico de red legítimo;
Interrumpiendo conexiones entre dos máquinas, impidiendo el acceso al
servicio;
Impedir un individuo especifico acceder a un servicio e
Interrumpiendo el propio servicio de un sistema o un individuo especifico.
13
Ataques a aplicaciones Web: Este tipo de ataque tiene como objetivo, comprometer
servidores web, alterando su contenido, accediendo a su base de datos, corrompiendo sus
aplicaciones, con la finalidad de acceder informaciones confidenciales almacenadas, como
cuentas de usuarios, contraseñas, tarjetas de crédito, correos, datos personales o
simplemente alterando su contenido para exponer vulnerabilidades o adquirir notoriedad.
Por estos motivos, este tipo de ataque es bastante atractivo para el hacker y en especial a
los hacktivistas y criminosos virtuales, por el impacto que pueda causar en una organización.
Las principales amenazas para las aplicaciones web son:
Cross-Site Script – Corresponde a un atributo inserto en un formulario de
una aplicación web que con la combinación correcta de variables puede
resultar en la ejecución de un comando arbitrario.
SQL Injection – Consiste en inserir comandos SQL en una URL para
manipular la base de datos del servidor apagando, alterando o creando
informaciones en dicha base de datos.
Command Injection – Consiste en inserir comandos de programación en
formularios web.
Cookie Poisoning y Snooping – consiste en corromper, alterar o robar
cookies almacenados en el blanco.
Buffer Overflow – consiste en enviar enormes cantidades de datos para un
aplicativo web a través de un formulario, con la finalidad de ejecutar
comandos arbitrarios.
Authentication Hijacking – Corresponde al robo de una sesión web de un
usuario ya autenticado.
Directory Transversal/Unicode – Corresponde en navegar en directorios
del servidor web a través del navegador.
Ataques a redes inalámbricas: Las redes inalámbricas corresponden a otro punto de acceso
a una red local. Por tratarse de una tecnología relativamente nueva, existen muchas
vulnerabilidades a ser explotadas. Con la popularización de la tecnología, tanto por la facilidad
de instalación y uso, sumando al creciente número de dispositivos móviles conectados por esta
tecnología, la seguridad inalámbrica se ha tornado unos problemas cada vez mayor tanto en
redes corporativas como en residencias a la medida que se crean muchas oportunidades para
hackers mal intencionados. Incluyendo organizaciones que no adoptan las redes inalámbricas
en su política de seguridad, pueden estar vulnerables a través de las redes inalámbricas no
autorizadas que son instaladas por trabajadores descuidados o agentes mal intencionados.
Secuestro de sesión: es un método hacking que crea un DoS temporal en un usuario, mientras
el hacker asume su sesión (previamente establecida). Es ejecutado para controlar la sesión
actual del usuario legítimo luego de haber establecido y autenticado una sesión. Puede ser
utilizado para perpetrar un ataque de hombre en el medio (man-in-the-middle attack),
estableciendo una conexión intermediaria entre el servidor y el cliente, permitiendo la
interceptación de todo el tráfico a través de técnicas de sniffing.
14
Seguridad física: Permitir el acceso físico a la infraestructura de red de una organización es
permitir que el hacker asuma el control de esta red. La seguridad física puede ser considerada
el área más crítica de la seguridad en TI en el sentido de prevenir la pérdida o robo de datos
confidenciales y sensibles. Sin una seguridad física adecuada, todas las otras medidas de
seguridad técnica, tales como Firewalls y sistemas de detección de intrusos (IDS) pueden ser
ignoradas.
Fallas en la seguridad física, facilitan el robo de equipos como laptops o unidades de
almacenamiento, la instalación de keyloggers o de sniffers. Por depender directamente del
factor humano, la seguridad física es fácilmente susceptible a ataque de ingeniería social.
Los insiders (amenazas internas) se aprovechan de estas lagunas en la seguridad física para
lanzar ataques dentro del perímetro interno de seguridad de la organización de forma más fácil.
Las violaciones de seguridad física más comunes son:
Instalación de malware como keyloggers, virus, troyanos, backdoors, rootkits;
Identificación y captura de credenciales de seguridad como contraseñas o
certificados;
Conexión física con la red cableada para rastrear datos confidenciales, como
contraseñas y números de tarjetas de crédito;
El acceso a sistemas para recolectar datos que pueden ser usados para romper
contraseñas almacenadas localmente en el sistema;
Oportunidad de instalar puntos de acceso no autorizados para crear una red
inalámbrica con acceso a la red cableada;
Robo de documentos electrónicos y de papel;
Robo de informaciones sensibles de fax;
Dumpster Diving Attack (revolver la basura en búsqueda de informaciones);
Grabación no autorizada de videos de seguridad;
Hurto y extravió de equipos.
Subversión de sistemas de seguridad: Sistemas de detección de intrusos (IDS), firewalls y
honeypots son las principales medidas de seguridad utilizadas para impedir al hacker de tener
acceso no autorizado al sistema. El IDS y el Firewall son dispositivos de filtrado de paquetes y
son esencialmente usados para monitorear el tráfico con base en un conjunto predeterminado
de reglas. Un honeypot es un blanco falso y usado para atraer los hackers y resguardar los
blancos más valiosos.
El nivel de seguridad de esos dispositivos será tan bueno cuando sean sus implementaciones.
Los hackers poseen habilidades de ultrapasar y subvertir esas barreras de seguridad a través
de técnicas de evasión que permiten al hacker pasar desapercibido por estos sistemas.
15
Abordajes del ataque del hacker ético
Hackers éticos suelen utilizar diferentes abordajes durante la simulación del ataque o del
Pentest. Las más comunes son:
Red Remota: Partiendo desde una red remota, este abordaje permite simular un ataque que
provenga desde internet. El hacker ético busca encontrar y explotar vulnerabilidades de fuera
del perímetro de seguridad de la red, como firewalls, proxys o enrutadores.
Red discada remota: Este abordaje permite simular un invasor lanzando un ataque contra
dispositivos de modem del cliente. La técnica utilizada se llama War Dialing y consiste en buscar
vulnerabilidades de seguridad en redes del tipo Dial-Up (conexiones discadas)
Red Local: Simula un ataque hacker que posee acceso, con o sin autorización, a la red local.
Esto permite que el ataque sea lanzando dentro del perímetro de seguridad de la red.
Equipo extraviado: Simula el robo o pérdida de equipos con informaciones críticas, como un
Laptop extraviado por un empleado. Informaciones como nombres de usuario, contraseñas,
configuraciones de seguridad y tipos de criptografía pueden ser extraídas del equipo extraviado.
Ingeniería social: El uso de ingeniería social explora el factor humano de la organización a
través de sus empleados, usando técnicas computacionales o no, con la finalidad de obtener
informaciones para la utilización durante el ataque. La ingeniería social puede ser utilizada para
obtener nombres de usuarios, cuentas, contraseñas y otras medidas de seguridad de la
organización.
Acceso físico: El abordaje de acceso físico consiste en permitir que el hacker obtenga acceso
físico al sistema con la finalidad de plantar algún malware como virus, troyanos, rootkits y
keyloggers directamente en la red o en el dispositivo blanco de ataque.
16
Pentest
Significa test de penetración o test de invasión. Esta actividad se basa en un conjunto de
acciones que simulan el ataque de un hacker mal intencionado a un sistema. Sin embargo, no
tiene como objetivo comprometer el sistema del cliente visto que no tiene la finalidad de auditoria
en sus mecanismos de seguridad, levantando sus vulnerabilidades y las implicaciones de las
mismas en el sistema testeado.
Cuando se ejecuta un Pentest, el hacker ético utiliza uno o más tipos de testes en el sistema.
Cada tipo de ataque, simula un ataque con diferentes niveles de conocimiento como sistema
blanco.
Caja negra: También conocido como Black-Box, este tipo de test abarca realizar una evaluación
y test de seguridad sin ningún conocimiento privilegiado de la red o sistema a ser testeado. Este
test simula un ataque outside de un hacker mal intencionado (Black Hat) que envía el ataque
desde fuera del perímetro de seguridad de la organización.
Caja blanca: Conocida como White-Box, este tipo de test abarca realizar una evaluación y test
de seguridad con el mismo conocimiento sobre la infraestructura que el administrador de red
contiene.
Caja gris: La Grey-Box simula un ataque enviado por un agente interno (insider) desde dentro
del perímetro de seguridad de la organización. Se considera que este tipo de atacante tiene un
conocimiento parcial de la infraestructura de la red.
Etapas des Pentest
Una vez que el test de penetración simula la actividad de ataque de un hacker malintencionado,
las fases en que se dividen esta actividad son las mismas presentadas anteriormente.
1. Reconocimiento, Information Gathering y Footprint
2. Escaneo y enumeración
3. Ataque, Gaining Access o Exploitation
4. Mantención del Acceso, o Access Keeping
5. Limpiezas de huellas o Covering Tracks.
Resultados de un Pentest
El principal producto de un Pentest es el informe. Este informe detalla los resultados de las
actividades desarrolladas, los tipos de testes realizados y los métodos de ataque utilizados.
Estos resultados son comparados con una evaluación inicial de seguridad y cualquieras
vulnerabilidades identificadas son detalladas y contramedidas son sugeridas.
17
Este documento normalmente es entregado a la organización en formato impreso, por razones
de seguridad. Los detalles del reporte del Pentest deben ser tratados de forma confidencial
porque revelan los riesgos y las vulnerabilidades dentro de la organización. Su divulgación
indebida, podrá traer riesgos a la seguridad del cliente.
El reporte debe contener:
Un listado de las vulnerabilidades descubiertas en orden de mayor riesgo;
Un análisis del resultado;
Una conclusión o explicación de sus descubiertas;
Medidas de reparación para las vulnerabilidades descubiertas;
Los archivos de log de herramientas que ofrezcan elementos de prueba de sus
resultados
Un sumario ejecutivo de la postura de seguridad de la organización
El nombre del testador y el cronograma de los testes realizados;
Sugerencias de buenas prácticas en seguridad
18
Conclusión
La actividad del hacker ético ha crecido en relevancia paralelamente al crecimiento del
valor estratégico de la propia información. Este profesional cada vez más representa el bastión
de defensa y seguridad de la información dentro del ambiente hostil de guerra cibernética,
entregando valor estratégico a las empresas que invierten en el sector. Es necesario entender
cómo funciona el universo hacker para reaccionar, proteger y defender los activos de
información de empresas y gobiernos. Por este motivo, cada vez más las naciones han investido
en capacitación de sus recursos humanos, para garantizar supremacía en ese nuevo ambiente
de combate en la actualidad, el ambiente cibernético.
19
Referencias
Graves, Kimberly (2010), CEH – Certified Ethical hacker STUDY GUIDE, Editora Sybex.
Disponible en: http://bit.ly/1Mdk9xt