OrganizacinMexicanadeHackersticos

FootprintingeIngenieraSocial

Obtencin de informacin Fases: 1.Informacin inicial. (footprinting) 2.Localizar rangos de redes (footprinting). 3.Determinacin de Maquinas Activas(scanning). 4.Descubrir puertos abiertos y puntos de acceso (scanning). 5.Detectar sistemas operativos (scanning). 6.Descubrir servicios y puertos (scanning). 7.Hacer mapa de la red (scanning).

Definicin Footprinting

Footprinting. Envuelve la acumulacin de datos con el proposito de encontrar caminos dentro del ambiente para poder entrar.

Informacin obtenida a traves del anlisis con whois, nslookup, google hacking, dns y traceroute.

Google Hacking

Comandos para Google Hacking:

site. busca dominios o sitios especificos. filetype. busca solo el tipo de archivo especificado. link. busca dentro de los link el termino que se desea. intitle. busca algn termino dentro del titulo. inurl. busca dentro de la url.

Ingeniera Social
Que es la Ingeniera Social?

Es el uso de la influencia y persuacin con el proposito de obtener informacin o propiciar a la victima para que realice alguna accin. Usualmente se usa el telfono o Internet, introduciendo a la gente con informacin sensible sobre la compaia o sobre las politicas de seguridad de la misma.

El elemento humano es el mas dbil de la organizacin. Incluye la adquisicion de informacion sensible o privilegios de acceso basado en construir relaciones cordiales en la organizacin.

Tipos de ataques

Basado en Humanos. Refiere a la interaccion personapersona para obtener informacion.

Basado en la computadora. Refiere a usar software que pueda obtener informacin. Un ejemplo es mandar un mail solicitando informacion y solo esperar la respuesta. Este

ataque es conocido como Phishing.

Basados en humanos
Pasando por un usuario valido o empleado. El hacker pretende acceso fisico haciendose pasar por un empleado, intendente o contratista. Se puede obtener informacion de los sistemas de computo, escritorios o botes de basura. ser un empleado o un usuario valido en el sistema. Se puede ganar

usuario importante tal como un ejecutivo o un manager de alto nivel o un sistema. Se usa la intimidacin por parte del ejecutivo de alto nivel hacia el personal de sistemas de bajo nivel. Por lo regular el posicion de autoridad y la demuestra.

Pasando como un usuario importante. El hacker pretende ser un

que necesita asistencia inmediatamente para tener acceso a archivos

empledo de alto nivel no quiere cuestionamientos ya que el tiene una

Basados en humanos

Usando una tercera persona. Con esto se pretende tener

permisos y autorizacion para el uso del sistema. Este ataque es vacaciones y no se puede ser contactado para verificar.

especialmente efectivo cuando se supone un codigo autiorizado en

Llamada la personal tecnico. Llamando al personal de soporte entrenado para ayudar al usuario. tecnico para asistencia, es clasico, porque este personal esta

De Mirn. El hacker pone atencion en el tecleo de usuario y password. en la basura o papeles visibles en busca de passwords, nombres de archivos o informacin confidencial.

Revisar la basura. Como su nombre lo indica, revisar documentos

Basados en humanos
Ataque interno. Cuando en hacker no encuentra algun camino para hackear la organizacion, la siguiente mejor opcion es infiltrarse como un empleado o encontrar a un empleado descontento para usarlo

como complice.Esto tiene mucho impacto por que los empleados tienen acceso fisico y se pueden mover libremente dentro de la organizacion.

Robando Identificaciones. El hacker puede robar una

contenida en los botes de basura o en el espiar una cotrasea en

identificacion del empleado para perpetrar un ataque. La informacin

combinacion con la creacion de identidades falsas, pueden resultar para que puede entrar al edificio con los datos recopilados.

una entrada para el hacker. Puede crea la identidad de una persona

Basados en la computadora Son de 3 tipos: mail, sitios falsos y popups

Ataques de phishing. Phishing envuelve mandar correos, usualmente como financieras. Estos correos requieren confirmacion de bancos, compaias de tarjetas de credito u organizaciones informacion bancaria o reset passwords o numeros de PIN.

Basados en la computadora
Acciones Online. Muchos sitios ofrecen ofertas o cosas especiales para que la victima datos para mandar codigo malicioso tal como keylogger para capturar en los correos.

introduzca su nombre de usuario y password. El hacker usa estos

passwords, virus, troyanos y gusanos que son incluidos como adjuntos

Escondiendo URL. Cuando en los sitios nos encontramos con direcciones que parecen realidad no lo son, porque solo disfrazan su verdadera ip con legitimas como esta 204.13.144.2/Citibank, nos damos cuenta que en decimales o hexadecimales, por ejemplo la direccion ip 192.168.10.5

puede aparecer como 3232238085 que es lo mismo solo que en decimal.

Medidas en contra de la Ingeniera Social

Documentar y reforzar las politicas de seguridad asi como un programa profundo de seguridad. Las politicas deben contener:

como y cuando las cuentas son creadas y finalizadas cambio de password quien tiene acceso a la informacion casos en los que se violaran estas reglas. verificar la correcta identidad del empleado. La destruccion de documetos acceso fisico a diferentes areas

Medidas en contra de la Ingeniera Social

Tambien son incluidas el uso de modems y el control de virus. Las politicas necesitan ser comunicadas a los empleados con el enfasis de la importancia de la seguridad.

Una parte importante es que el empleado no se preste a dar informacion a un hacker para provocar un ataque. Para esto es tanto para usuarios existentes o nuevos. bital la educacin del usuario para guardar datos confidenciales,

Se necesita la revision periodica de las politicas y complementarlas con la informacin proporcionada por los usuarios.

La realidad de la Seguridad Fisica

La pobre seguridad fisica de los sitios son la causa de un gran numero de ataques, algunas de las causas son:

los sites no cuentan con cerraduras adecuadas se encuentran en lugares publicos o demasiado aislados no hay coordinacion entre los diferentes departamentos de la organizacion

no existe una regulacion para el acceso fisico a las areas personal contratado por terceros con posibilidad de acceso. El acceso al site solo debe ser permitido por el departamento de TI.

La realidad de la Seguridad Fisica

Para asegurar los dispositivos se pueden tomar las siguientes

consideraciones: 1. Los servidores deben ser instalados y segurados en el rack. 2. De ser posible, deshabilitar los accesos via USB. 3. Los medios de almacenamiento deben ser asegurados en un lugar especial . 4. Switches y routers que tengan puertos sin usar, se deben deshabilitar dichos puertos. 5. Los cables para las consolas deben ser separados y asegurados en un lugar especial lejos de los equipos de comunicacion.

La realidad de la Seguridad Fisica

Para controlar el acceso se deben tomar las siguientes medidas: 1. Cerrraduras por medio de tarjetas. 2. Instalar y monitorear el acceso via camaras IP. 3. Auditoria visual constante, para verificar el correcto de seguridad. 4. Toda accin realizada en el site, se debe monitorear y seguir. 5. Se debe cambiar el password cuando personal externo entre al site a realizar cualquier accion relacionada con el sistema. funcionamiento y que no exista posibilidad de violar las normas

La realidad de la Seguridad Fisica

Areas de trabajo. Las memorias USB, laptops y multimedia no son seguras. Estos dispositivos contienen informacion de la organizacion y deben ser controlados.

Implementando seguridad. Para una implementacion exitosa, se requiere de la cooperacion mantenimiento/operacion, tecnologias de informacin y de varios departamentos, por ejemplo: recursos humanos,

cualquier departamento que haga uso de los empleados.

La realidad de la Seguridad Fisica

Cuando un empleado termina su labor con la empresa, este hecho debe ser comunicado a todos los departamentos informacion, por ejemplo la tarjetas del site, password, informacion de su computadora, listas de usuarios. involucrados, para que cada uno de ellos le exiga la entrega de

Todos estos pasos en coordinacion con todos los departamentos, permitiran cerrra todos los posibles caminos de acceso que conocia el empleado, para evitar un ataque posterior.

La realidad de la Seguridad Fisica

puntos:

Para definir politicas de seguridad fisica, se deben tener los siguientes

1. Definir como proteger los sites y quien tendra acceso a ellos. 2. Recoger llaves y tarjetas de acceso cuando el empleado sale de la elementos se pierden. organizacion, cambiando cerraduras si cualqiuera de estos dos

3. Determinar quien tendra acceso por parte de terceros y definir sus responsabilidades en caso de alguna accion indebida. el areas de trabajo. 4. Alamacenar laptops, mamorias flash y multimedia. No permitir el uso 5. Establecer cero tolerancia para politica de passwords.

Final

Preguntas?? GRACIAS

Javier-demos fj@omhe.org