Hackin Etico Vs Defensa Profundidad Juanberrio

Su Aliado Estratgico en
Seguridad de la Informacin
www.dsteamseguridad.com
Defensa en Profundidad
Hacking tico
VS
JUAN DAVID BERRIO LOPEZ - s3g4r5d6d

Ingeniero en Informtica.
MSC. Seguridad Informtica, Universidad Oberta de Catalunya
Hacking tico VS Defensa en Profundidad
Agenda
Breve Presentacin Empresa DS-TEAM
Los problemas que afectan la seguridad de la Informacin
Soluciones desde dos puntos de vista Diferentes:
Hacking tico (Metodologa y Prctica)
Defensa en Profundidad (Metodologa y Prctica)
Arquitecturas de Defensa y Ataque, usando Software Libre
Soluciones de Seguridad Cyberoam UTM
Preguntas?
(--Rifas Bonos Cursos Seguridad)
DS TEAM Su Aliado Estratgico en Seguridad de la

Informacin
DSTEAM Seguridad Informtica, es una empresa dedicada a

prestar servicios integrales y soluciones profesionales,
relacionadas con la seguridad de la informacin, y la
Infraestructura Tecnolgica.
Servicios de Outsourcing en Seguridad Informtica
Consultoras en Seguridad de la Informacin
Informtica Forense y Recuperacin de Datos
Auditora de Sistemas
Formacin en Seguridad informtica- S-LEARNIING
SGSI- Sistemas de Gestin de Seguridad de la Informacin
Hacking tico (Ethical Hacking) y Test de Penetracin
Seguridad Perimetral
Los Problemas que afectan la Seguridad.

Excusas: Muchos Lideres y Gerentes de empresas manifiestan un nivel
representativo de disculpas al momento de hacer tangible la necesidad
de implementar o aumentar los niveles de control sobre la Seguridad de
la Informacin.
No tengo secretos que ocultar.
La seguridad es un gasto, y no una inversin
La seguridad no me permite mantener un
rendimiento adecuado de mis sistemas
DESCONOCIMIENTO= Falta de cultura

y consciencia de asegurar la informacin
Los Problemas que afectan la Seguridad

La Seguridad de la Informacin es una Inversin, no un Gasto: En
trminos financiero una Inversin es algo tangible o intangible en
la que el capital permanece intacto, y genera un valor agregado.
Confianza a Clientes
Posicionamiento, respeto y buen
nombre
Organizacin Competitiva
Mejoramiento Continuo
$Firewall$ $IDS$ $Criptografa$

Falta de tica Profesional: Muchos profesionales
Informticos, carecen de una tica profesional, lo
que los convierte en una amenaza para los sistemas
Informticos Corporativos.
DESCONOCIMIENTO "Los Novatos y Script

Kiddie ensayan y aprenden a atacar sistemas, en
las redes de las pequeas de las empresas

Falsa Sensacin de estar asegurado
Con Un Firewall y un
Antivirus ya estoy
Protegido
Solo se nota cierto Inters Corporativo por

asegurar el Permetro, y en la red Interna que

Recurso Humano
La cadena de
seguridad se rompe
por el Eslabn mas
Dbil -El usuarioLa seguridad debe de tratarse de modo Integral, para disminuir el riesgo
de tener problemas relacionados con la seguridad de la Informacin.

Con el implemento de controles de seguridad, tales como Firewalls,
IDS, IPS, entre otros, los ataques han evolucionado
Ataques como XSS Cross Site

Scripting y SQL Inyeccin se basan en
capas superiores del modelo de
referencia OSI, como la capa de
Aplicacin

Estadsticas para Analizar: A modo de ejemplo real en nuestra
cuidad, Medelln, se realiz un proceso de sondeo de puertos
aleatorio a una muestra de 6.000 (Estticas-corporativas)direcciones
IP, correspondientes a diferentes empresas de la ciudad, obteniendo
los siguientes resultados:
Top Servicios TCP
Top Sistemas Operativos
Enlaces que no tiene proteccin Perimetral

Servidores Windows
Enlace NAT
Internet
Resultados Anlisis:
Red interna
Sistema Operativo : Integrado

Puertos: 80,21 OPEN
Servicio: http
Analis
ta
http://1337db.com/

El Conocimiento es un Derecho, no un Privilegio?

Software ilegal, Piratera Informatica, redes P2P de Nueva
Generacin: Pasaron a la Historia Emule, Bit Torrent, Kazza, con
las Descargas Directas?
Quien es el Pirata", Las

Redes y Servicios, o los
usuarios que suben los
archivos?
Pero cual es el verdadero problema

para de estas redes para la Seguridad
de la Informacin???


Apoyo de paginas buscadoras de enlaces: Desde el punto de vista de la
formacin de un Atacante Informtico, el verdadero problema de estas
redes, es la informacin tan valiosa que se puede encontrar.
http://filespump.com/index.html

Informacin
encontrada Redes P2P:
Todas las Diapositivas de la ultima

versin de las siguientes certificaciones:

Informacin encontrada
Redes P2P:
El acceso a este tipo de Informacin, dejo de ser un

factor econmico o un privilegio

Con el avance de las tecnologas, ha surgido excelentes herramientas
de evaluacin del estado de la seguridad Pero y la Llamada Evaluacin
Artesanal donde qued?
Herramientas del tipo
Point and Click

Apunte y Tire

El Crimen Organizado ha visto en las nuevas Tecnologas ( T.I) ,
una nueva forma de fortalecerse.

Exposicin de Vulnerabilidad Especificas y Corporativas.
Servicios de Hacking por Internet.
Fuente: http://colombia.yaclasificados.com

Exposicin de Vulnerabilidad Especificas y Corporativas.
Servicios de Hacking por Internet.

Cules serian posibles soluciones que minimicen
los Riesgos en todos estos problemas????
Fuente: http://blogs.eset-la.com
Hacking tico
Hacking tico
Es la una de la Madrugada. Sabe quien

puede estar entrando en su Red?
Hacking tico DefinicinDesde el Punto de vista de Un

individuo, un Hacker tico es un
profesional que tiene las habilidades
para evaluar la seguridad de un
sistema informtico de forma integral,
llevando a la practica una serie de
pasos secuenciales y teniendo como
un criterio trasversal una tica
Profesional.
Desde el Punto de vista

Comercial, el Hacking tico es
un servicio de Auditoria de T.I,
que
ofrecen
empresas
especializadas, con el fin de
evaluar la seguridad de un
sistema informtico de forma
integral.
Hacking tico Evolucin del Hacking

Pioneros Del Hacking:
Retos, Innovacin
Mitnick
Drapper
Wozniak
Goldstein
Intereses Econmicos,
Notoriedad,
Vandalismo
V. Levin
McClure
Poulsen
Scambray
Smith
Sallis
Jaschan
Borghello
Consultores,
Pen Tester,
Mckinnon
Hacking
Obsesivos
tico
Hacking tico Perfil de Profesional Hacking tico

Primero Gur, Luego Hacker tico o Pen Tester
Tcnico (Indispensable)
Infraestructura y
Redes
Sistemas Operativos
Desarrollo de
Software y B.D
Personal
Entusiasta (Pasin)
Investigador
Actualizado
Idioma Ingles
Autnomo
Trabajo en Equipo
tica Profesional
Al momento de un Test de Seguridad,

todas las partes Interactan entre si
Administrativo
(Consultor)
Lenguaje no Tcnico
(Habilidades de Comunicacin)
Certificaciones
Experiencia
Hoja de Vida
Hacking tico Tipos de Anlisis : Se pueden

Identificar (3) tres tipos:
Anlisis de Vulnerabilidades
(Vulnerability Assessment)
Test de
Penetracin
(Penetration Test)
Hacking tico
(Ethical Hacking)
Hacking tico Tipos de Anlisis Caractersticas:

Anlisis de
Vulnerabilidades
Test de Penetracin
Hacking tico
Identificacin de Puertos
Abiertos y Servicios
Tiene un Objetivo definido
Todo es un Objetivo en el
Entorno
Vulnerabilidades Conocidas
(Aplicacin y S.O)
Se tiene en cuenta el
Entorno (IDS, Firewall, IPS)
Ataques de ingeniera
Social y DDoS
Clasificacin de los
Vulnerabilidades
Busca comprometer el
sistema objetivo
Mas complejidad y
Profundidad en el Anlisis
No hay explotacin de
vulnerabilidades , ni
Intrusin en el Sistema.
Hay explotacin de
Hay explotacin de
vulnerabilidades e Intrusin vulnerabilidades Ataque
en el sistema objetivo
Puro
Hacking tico Tipos de Anlisis : Variables de

Impacto en un Anlisis de Seguridad.
Posicionamiento:
Visibilidad:
Definir desde donde se

llevara a la practica el
Anlisis de Seguridad.
Cul ser la informacin

suministrada al
Evaluador (Pen Tester)
Posicionamiento Externo
Posicionamiento Interno
Desde una VLAN Diferente
Desde VLAN Servidores
Desde la VPN
Blind/BlackBox
Double Blind/ BlackBox

GrayBox
Double GrayBox
WhiteBox
Reversal

Variable Visibilidad : Segn la visibilidad , el anlisis puede ser:
Tipo de Anlisis
Descripcin
Blind/BlackBox
El Analista de seguridad no tiene conocimiento del

Objetivo, pero el cliente si tiene conocimiento del anlisis,
adems de saber cuando se ejecutar.
Double Blind/ BlackBox
El Analista de seguridad no tiene conocimiento del

Objetivo, el cliente no sabe que tareas se ejecutaran en el
anlisis, ni tampoco cuando se ejecutar.
GrayBox
El Analista de seguridad conoce muy poco del objetivo,

pero el cliente tiene conocimiento del tipo de test y cuando
se ejecutar.
Double GrayBox
Similar al anterior, la nica diferencia es que el cliente no

sabara cuando se ejecutar el anlisis.
WhiteBox
Ambas Partes (Cliente-Analista) sabrn cuando se hacen los

test, el tipo de test, adems de saber cuando se ejecutar
Reversal
Similar al anterior, la diferencia radica en que el cliente no

sabr que tareas de anlisis se ejecutaran como tampoco
cuando.
Hacking tico Tipos de Anlisis : Variables de

Impacto en un Anlisis de Seguridad. (Arquitectura)
Servidores B.D
Firewall/IPS/Router
Internet
DMZ- 1
Ethical Hacker
Red LAN
Ethical Hacker
Ethical Hacker
Ethical Hacker
Hacking tico Fases de Anlisis de Seguridad.

1.Reconocimiento
Pasivo
5.Recoleccin de
Evidencias y
Presentacin
Informes
4. Explotacin de
Vulnerabilidades
(Ataque)
2.Reconocimiento
Activo
3. Anlisis de
Vulnerabilidades

1. RECONOCIMIENTO PASIVO:
Es la primera y mas importante fase del anlisis. El
analista tratar de recopilar de forma metodolgica toda
la informacin que mas pueda al respecto del objetivo.
No se realiza ningn tipo de escaneo o

contacto con la maquina objetivo.
Permite Construir un mapa del Objetivo, sin
interactuar con l.
-El xito del Ataque
Existen menos herramientas informticas que
Futuro, depender en
en las otras fases.
gran medida del
Recoleccin de Informacin Pblica ( Ingeniera desarrollo
de esta
Social y Google Hacking)
primera fase-

RECONOCIMIENTO PASIVO TOOLS
Algunas de las herramientas importantes en esta fase
son las siguientes:
http://www.informatica64.com/foca/default.aspx
Google Hacking Database

http://www.robotex.com/

2.RECONOCIMIENTO ACTIVO:
Es la segunda fase, y consiste en la identificacin
activa de objetivos, mediante en Escaneo de puertos y
la identificaciones de servicios y sistemas operativos.
Identificacin y Estado de Puertos.
Identificar Servicios
Identificar Sistemas operativos.
Hay contacto directo con el Objetivo
Enumeracin del Objetivo
Captura de Banners

RECONOCIMIENTO ACTIVO TOOLS:
Algunas de las herramientas importantes en esta
fase son las siguientes:
http://nmap.org/
http://xprobe.sourceforge.net/
http://www.mcafee.com/us/downloads/free-tools/superscan3.aspx

3. ANALISIS DE VULNERABILIDADES:
Es la tercera fase del anlisis, y tiene como objetivo el
identificar si un sistema es dbil o susceptible de ser
afectado o atacado de alguna manera (Hardware,
Software, Telecomunicaciones, Humanos)
Identificacin vulnerabilidades en Versiones de

Aplicacin y Sistemas Operativos
Gestin de Parches (Patch Management)
Identificar Vulnerabilidades Tecnolgicas y
Humanas.
Configuraciones por Defecto.
Vulnerabilidades Tcnicas y Funcionales
El xito de un Anlisis
de Vulnerabilidades,
depende de la gestin
que se les haga.

ANALISIS DE VULNERABILIDADES:
Ejemplo de Vulnerabilidades:
Funcional
Tcnica

Algunos aspectos importantes que deben de tenerse en
cuenta en el anlisis de Vulnerabilidades, es el siguiente:
Las herramientas de anlisis de vulnerabilidades

se basan en Plugins, por lo tanto es importante
mantenerlos actualizados.
Configurar de forma adecuada el perfil del anlisis
de vulnerabilidades, segn la informacin
recolectada en fases pasadas.
Experiencia un factor Relevante



ANALISIS DE VULNERABILIDADES: Clasificacin y
Descubrimiento de Vulnerabilidades.
Si una vulnerabilidad es descubierta, que
caminos se pueden tomar?
Comunicarlos al proveedor de forma
directa.
Comunicarlo a las Listas de Full
Disclosure.
Comunicarlo en un evento de seguridad
(Black Hat, DEFCON, Etc)
Venderlo a empresas que o compran
Exploit.
Conservar el descubrimiento en
secreto.
Las vulnerabilidades encontradas en un

Anlisis de seguridad, se clasifican con
respecto a bases de datos del Conocimiento.
http://cve.mitre.org
http://www.first.org/cvss

ANALISIS DE VULNERABILIDADES TOOLS:
Algunos de las herramientas que se pueden identificar
en esta fase son:
http://www.openvas.org/
http://www.acunetix.com/
http://www.gfi.com/lannetscan
www.qualys.com
http://www.nessus.org/nessus/intro.php

4. EXPLOTACION DE VULNERABILIDADES:
Es la cuarta fase del anlisis, y una de las mas complejas,
ya que el evaluador debe de buscar aprovecharse de
alguna de las vulnerabilidades identificadas, para lograr el
ingreso (Intrusin) en el sistema objetivo.
Escalar Privilegios
Explotacin de Vulnerabilidades
Denegacin de Servicios
Mantener el Acceso

EXPLOTACION DE VULNERABILIDADES :
Definicin y componentes de un Exploit: Un Exploit es un mecanismo que
se aprovecha de una debilidad o una brecha de seguridad.
PAYLOAD
CODIGO

EXPLOTACION DE VULNERABILIDADES:
En lo que respecta a la ejecucin de Cdigo de
forma arbitraria, se tienen dos modalidades de
Exploit.
Exploit Local: Es ejecutado de forma

local, y uno de sus principales
objetivos, es escalar privilegios,
cuando un Exploit remoto ha tenido
xito en el equipo objetivo
Exploit Remoto: Es ejecutado desde un equipo atacante,
hacia el equipo victima, muy comnmente ejecutado va
Internet. De forma remota el atacante se posiciona del equipo
objetivo y posiblemente de los equipos que tenga visibilidad
desde este.

En lo que respecta al lugar donde el impacto del ataque , se pueden
tener dos modalidades:
Server Side: Es el tipo de explotacin mas utilizado, y
consiste en aprovecharse de una debilidad de una
aplicacin servicio, es accesible de forma directa y no
requiere de la intervencin de un tercero.
Cliente Side: Tiene como objetivo explotar la
vulnerabilidad en el lado del cliente, aprovechndose
de las debilidades de uno de los eslabones mas dbil
en la cadena de la seguridad de la informacin, como
lo es El usuario Final

La explotacin de vulnerabilidades, no necesariamente
esta ligada a la programacin y ejecucin de cdigos
del tipo Exploit.
Ingeniera Social
Claves dbiles
Configuraciones por defecto

Y que pasa cuando el sistema ha sido comprometido?
Mantener el Acceso Muchos Exploit Luego de ejecutados, causan
algn tipo de negacin de servicios al analista.
Lnea de Visin de otros Objetivos: Una vez comprometido un
sistema, se busca comprometer otros que estn al alcance.
Aumentar el Nivel de Privilegios, Una vez comprometido el sistema,
el analista de seguridad buscara aumentar privilegios en el sistema
objetivo.
Elimina Rastros, Dependiendo del anlisis pactado entre una analista
y un cliente, se procede a la eliminacin de los rastros de la intrusin.
Tcnicas de Ocultamiento: dado que muchas herramientas pueden
monitorear determinados procesos, se hace necesario para en analista
ocultarse en otro proceso menos ruidoso.

EXPLOTACION DE VULNERABILIDADES TOOLS:
Algunas de las herramientas importantes en
esta fase son las siguientes:
http://www.metasploit.com/
http://www.immunitysec.com/productscanvas.shtml
http://www.coresecurity.com/content/c
ore-impact-overview

5. PRESENTACION DE NFORMES:
Es la quinta fase, y en la que se ve reflejado el
anlisis del evaluador de seguridad, aqu se plasman
todos los hallazgos, las no conformidades, las
opciones para mejorar, y las conclusiones y
recomendaciones.
Un buen reporte, un buen anlisis

Diversidad en reportes (Tcnicos,
Ejecutivos)
No generar Alarmas
Impactos de Afectacin
Un informe que no sea

entendidos por la Direccin o
Gerencia de una organizacin,
hace que se pierde todo el
esfuerzo y trabajo realzado en
las etapas anteriores

MEJORAMIENTO CONTINUO:
Tomar decisiones
Evaluaciones posteriores (Auditorias)

Orientacin hacia el cumplimiento
Toma de consciencia
Cultura de seguridad de la informacin.
Defensa en Profundidad Definicin

Defensa en profundidad: Es llevar el proceso de la seguridad de
la informacin de forma segmentada, teniendo varias lneas de
defensa.
Fuente: http://blogs.eset-la.com
Defensa en Profundidad Definicin

Arsenal Informtico *DEFENSA* al Alcance de Todos: As como existe
un arsenal de ataque, tambin hay proyectos y documentacin
relacionada con la defensa en profundidad de la informacin.
Defensa en Profundidad 3 (PPP)

Modelo de las 3 P orientadas a la seguridad: Aun teniendo al alcance
todos estos proyectos de seguridad de alta calidad y exitosos, falta
complementarlos con dos factores importante, que sumandos al Software
y a los Appliance de seguridad, nos complementa de forma integral la
seguridad de la informacin. Estos son Procesos y Personas
PPP
Productos
Procesos
Personas

Ejemplo de aplicacin de un entorno seguridad de la informacin
corporativa (Ejemplo con Software Libre)
El Gerente de la empresa XYZ, le ha indicado al encargado del rea de
informtica, implementar soluciones de seguridad, y que la solucin sea
efectiva y de fcil gestin. Entre algunas de las condiciones tcnicas
para solucin debe de estar:
Control de servicios de Internet (Pornografa, Warez, Etc)
Sistema de Filtrado de Paquetes (Firewall)
Envi seguro de correo electrnico confidencial
Sistema NAS para replicacin del servidor FILESYSTEM
Interconexin de sedes con VPN
Tolerancia fallos enlaces VPN (Internet)
Segmentar servidor Web (DMZ)

NASServidor Archivos
STORAGE
DMZ Servidor
Web
UTMAppliance
INTERNET-VPN
UTMAppliance
Rsync
Sede Central
Sede remota

Planear
Hacer
Plan de
seguridad,
Anlisis de
Riesgos
Implementar
Firewall, UTM,
NAS, VPN, Etc.
Actualizacin
Parches,
Mejoramiento
Continuo de la Antivirus, reglas
Seguridad
de FW, Firmas
IDS, Pen-test
Actuar
Verificar
Conclusiones:
El Software Libre permite Implementar, mantener y mejorar los
sistemas de seguridad de la informacin, a un costo bajo y a una
alta calidad.
La seguridad de la informacin se logra mediante CULTURA,
EDUCACION , CONCIENTIZACION.
El Software libre, permite a los profesionales de la seguridad,
poder aprender de forma representativa la configuracin y
aplicacin de sistemas de seguridad en entorno de no
produccin.
--Conclusiones:--
Defensa
Ataque
http://1337db.com/
VS

Hackin Etico Vs Defensa Profundidad Juanberrio

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Hackin Etico Vs Defensa Profundidad Juanberrio

Cargado por

Copyright:

Formatos disponibles

Su Aliado Estratgico en

JUAN DAVID BERRIO LOPEZ - s3g4r5d6d

Hacking tico VS Defensa en Profundidad

(--Rifas Bonos Cursos Seguridad)

DS TEAM Su Aliado Estratgico en Seguridad de la

DSTEAM Seguridad Informtica, es una empresa dedicada a

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad.

DESCONOCIMIENTO= Falta de cultura

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

$Firewall$ $IDS$ $Criptografa$

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

DESCONOCIMIENTO "Los Novatos y Script

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

Solo se nota cierto Inters Corporativo por

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

Ataques como XSS Cross Site

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

Hacking tico VS Defensa en Profundidad

Top Servicios TCP

Hacking tico VS Defensa en Profundidad

Top Sistemas Operativos

Hacking tico VS Defensa en Profundidad

Enlaces que no tiene proteccin Perimetral

Hacking tico VS Defensa en Profundidad

Sistema Operativo : Integrado

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

Quien es el Pirata", Las

Pero cual es el verdadero problema

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

Hacking tico VS Defensa en Profundidad

Todas las Diapositivas de la ultima

Hacking tico VS Defensa en Profundidad

El acceso a este tipo de Informacin, dejo de ser un

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

Herramientas del tipo

Point and Click

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

Hacking tico VS Defensa en Profundidad

Los Problemas que afectan la Seguridad

Hacking tico VS Defensa en Profundidad

Hacking tico VS Defensa en Profundidad

Es la una de la Madrugada. Sabe quien

Hacking tico VS Defensa en Profundidad

Hacking tico DefinicinDesde el Punto de vista de Un

Desde el Punto de vista

Hacking tico VS Defensa en Profundidad

Hacking tico Evolucin del Hacking