OrganizacinMexicanadeHackersticos

FootprintingeIngenieraSocial

www.FreeLibros.me

Obtencin de informacin
Fases:
1.Informacin inicial. (footprinting)
2.Localizar rangos de redes (footprinting).
3.Determinacin de Maquinas Activas(scanning).
4.Descubrir puertos abiertos y puntos de acceso (scanning).
5.Detectar sistemas operativos (scanning).
6.Descubrir servicios y puertos (scanning).
7.Hacer mapa de la red (scanning).

www.FreeLibros.me

Definicin Footprinting

Footprinting. Envuelve la acumulacin de datos con el

proposito de encontrar caminos dentro del ambiente
para poder entrar.

Informacin obtenida a traves del anlisis con whois,

nslookup, google hacking, dns y traceroute.

www.FreeLibros.me

Google Hacking

Comandos para Google Hacking:

site. busca dominios o sitios especificos.

filetype. busca solo el tipo de archivo especificado.

link. busca dentro de los link el termino que se desea.

intitle. busca algn termino dentro del titulo.

inurl. busca dentro de la url.

www.FreeLibros.me

Ingeniera Social
Que es la Ingeniera Social?

Es el uso de la influencia y persuacin con el proposito de obtener

informacin o propiciar a la victima para que realice alguna
accin. Usualmente se usa el telfono o Internet, introduciendo a
la gente con informacin sensible sobre la compaia o sobre las
politicas de seguridad de la misma.

El elemento humano es el mas dbil de la organizacin.

Incluye la adquisicion de informacion sensible o privilegios de
acceso basado en construir relaciones cordiales en la
organizacin.

www.FreeLibros.me

Tipos de ataques

Basado en Humanos. Refiere a la interaccion personapersona para obtener informacion.

Basado en la computadora. Refiere a usar software que

pueda obtener informacin. Un ejemplo es mandar un mail
solicitando informacion y solo esperar la respuesta. Este

ataque es conocido como Phishing.

www.FreeLibros.me

Basados en humanos

Pasando por un usuario valido o empleado. El hacker pretende

ser un empleado o un usuario valido en el sistema. Se puede ganar

acceso fisico haciendose pasar por un empleado, intendente o

contratista. Se puede obtener informacion de los sistemas de
computo, escritorios o botes de basura.

Pasando como un usuario importante. El hacker pretende ser un

usuario importante tal como un ejecutivo o un manager de alto nivel

que necesita asistencia inmediatamente para tener acceso a archivos

o un sistema. Se usa la intimidacin por parte del ejecutivo de alto
nivel hacia el personal de sistemas de bajo nivel. Por lo regular el

empledo de alto nivel no quiere cuestionamientos ya que el tiene una

posicion de autoridad y la demuestra.

www.FreeLibros.me

Basados en humanos

Usando una tercera persona. Con esto se pretende tener

permisos y autorizacion para el uso del sistema. Este ataque es

especialmente efectivo cuando se supone un codigo autiorizado en

vacaciones y no se puede ser contactado para verificar.

Llamada la personal tecnico. Llamando al personal de soporte

tecnico para asistencia, es clasico, porque este personal esta

entrenado para ayudar al usuario.

De Mirn. El hacker pone atencion en el tecleo de usuario y password.

Revisar la basura. Como su nombre lo indica, revisar documentos

en la basura o papeles visibles en busca de passwords, nombres de

archivos o informacin confidencial.

www.FreeLibros.me

Basados en humanos

Ataque interno. Cuando en hacker no encuentra algun camino para

hackear la organizacion, la siguiente mejor opcion es infiltrarse como
un empleado o encontrar a un empleado descontento para usarlo

como complice.Esto tiene mucho impacto por que los empleados

tienen acceso fisico y se pueden mover libremente dentro de la

organizacion.

Robando Identificaciones. El hacker puede robar una

identificacion del empleado para perpetrar un ataque. La informacin

contenida en los botes de basura o en el espiar una cotrasea en

combinacion con la creacion de identidades falsas, pueden resultar

una entrada para el hacker. Puede crea la identidad de una persona

para que puede entrar al edificio con los datos recopilados.

www.FreeLibros.me

Basados en la computadora
Son de 3 tipos: mail, sitios falsos y popups

Ataques de phishing.

Phishing envuelve mandar correos, usualmente como

bancos, compaias de tarjetas de credito u organizaciones

financieras. Estos correos requieren confirmacion de

informacion bancaria o reset passwords o numeros de PIN.

www.FreeLibros.me

Basados en la computadora

Acciones Online.
Muchos sitios ofrecen ofertas o cosas especiales para que la victima
introduzca su nombre de usuario y password. El hacker usa estos

datos para mandar codigo malicioso tal como keylogger para capturar
passwords, virus, troyanos y gusanos que son incluidos como adjuntos

en los correos.

Escondiendo URL.
Cuando en los sitios nos encontramos con direcciones que parecen
legitimas como esta 204.13.144.2/Citibank, nos damos cuenta que en

realidad no lo son, porque solo disfrazan su verdadera ip con

decimales o hexadecimales, por ejemplo la direccion ip 192.168.10.5

puede aparecer como 3232238085 que es lo mismo solo que en decimal.

www.FreeLibros.me

Medidas en contra de la Ingeniera Social

Documentar y reforzar las politicas de seguridad asi como un programa
profundo de seguridad.
Las politicas deben contener:

como y cuando las cuentas son creadas y finalizadas

cambio de password

quien tiene acceso a la informacion

casos en los que se violaran estas reglas.

verificar la correcta identidad del empleado.

La destruccion de documetos
acceso fisico a diferentes areas

www.FreeLibros.me

Medidas en contra de la Ingeniera Social

Tambien son incluidas el uso de modems y el control de virus.

Las politicas necesitan ser comunicadas a los empleados con el
enfasis de la importancia de la seguridad.

Una parte importante es que el empleado no se preste a dar

informacion a un hacker para provocar un ataque. Para esto es

bital la educacin del usuario para guardar datos confidenciales,

tanto para usuarios existentes o nuevos.

Se necesita la revision periodica de las politicas y

complementarlas con la informacin proporcionada por los
usuarios.

www.FreeLibros.me

La realidad de la Seguridad Fisica

La pobre seguridad fisica de los sitios son la causa de un gran
numero de ataques, algunas de las causas son:

los sites no cuentan con cerraduras adecuadas

se encuentran en lugares publicos o demasiado aislados

no hay coordinacion entre los diferentes departamentos de la

organizacion

no existe una regulacion para el acceso fisico a las areas

personal contratado por terceros con posibilidad de acceso.
El acceso al site solo debe ser permitido por el
departamento de TI.

www.FreeLibros.me

La realidad de la Seguridad Fisica

Para asegurar los dispositivos se pueden tomar las siguientes

consideraciones:
1. Los servidores deben ser instalados y segurados en el rack.
2. De ser posible, deshabilitar los accesos via USB.
3. Los medios de almacenamiento deben ser asegurados en un
lugar especial .

4. Switches y routers que tengan puertos sin usar, se deben

deshabilitar dichos puertos.

5. Los cables para las consolas deben ser separados y asegurados

en un lugar especial lejos de los equipos de comunicacion.

www.FreeLibros.me

La realidad de la Seguridad Fisica

Para controlar el acceso se deben tomar las siguientes medidas:
1. Cerrraduras por medio de tarjetas.
2. Instalar y monitorear el acceso via camaras IP.
3. Auditoria visual constante, para verificar el correcto

funcionamiento y que no exista posibilidad de violar las normas

de seguridad.

4. Toda accin realizada en el site, se debe monitorear y seguir.

5. Se debe cambiar el password cuando personal externo entre al
site a realizar cualquier accion relacionada con el sistema.

www.FreeLibros.me

La realidad de la Seguridad Fisica

Areas de trabajo.

Las memorias USB, laptops y multimedia no son seguras. Estos

dispositivos contienen informacion de la organizacion y deben

ser controlados.

Implementando seguridad.

Para una implementacion exitosa, se requiere de la cooperacion

de varios departamentos, por ejemplo: recursos humanos,

mantenimiento/operacion, tecnologias de informacin y

cualquier departamento que haga uso de los empleados.

www.FreeLibros.me

La realidad de la Seguridad Fisica

Cuando un empleado termina su labor con la empresa, este

hecho debe ser comunicado a todos los departamentos

involucrados, para que cada uno de ellos le exiga la entrega de

informacion, por ejemplo la tarjetas del site, password,
informacion de su computadora, listas de usuarios.

Todos estos pasos en coordinacion con todos los departamentos,

permitiran cerrra todos los posibles caminos de acceso que
conocia el empleado, para evitar un ataque posterior.

www.FreeLibros.me

La realidad de la Seguridad Fisica

Para definir politicas de seguridad fisica, se deben tener los siguientes

puntos:

1. Definir como proteger los sites y quien tendra acceso a ellos.

2. Recoger llaves y tarjetas de acceso cuando el empleado sale de la
organizacion, cambiando cerraduras si cualqiuera de estos dos

elementos se pierden.

3. Determinar quien tendra acceso por parte de terceros y definir sus

responsabilidades en caso de alguna accion indebida.

4. Alamacenar laptops, mamorias flash y multimedia. No permitir el uso

el areas de trabajo.

5. Establecer cero tolerancia para politica de passwords.

www.FreeLibros.me

Final

Preguntas??
GRACIAS

Javier-demos
fj@omhe.org

www.FreeLibros.me