UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA

INGENIERÍA DE TELECOMUNICACIONES

SEGURIDAD EN SISTEMAS OPERATIVOS

FASE 2

PRESENTADO POR

JHON MAURICIO CAICEDO URBANO

CÓDIGO: 1085304303

GRUPO: 233007_10

PASTO

2018
 Tabla de Contenido

Introducción…………………………………………………………………… pag. 3

Objetivos......……………………………………………………...…………… pag. 4

Desarrollo del Cuestionario…...………………………………….…………… pag. 5

Conclusión…………………………………………………………...………... pag. 8

Bibliografía..…………………………………………………………...……… pag. 9
 INTRODUCCIÓN

El presente trabajo permite evidenciar el desarrollo de la actividad propuesta para la fase

dos del curso de Seguridad en Sistemas Operativos, en el cual se revisó de manera general
las vulnerabilidades que pueden afectar directamente al caso de Digital Covers y donde se
propone y estudia soluciones a éstas..

Además, se repasó las temáticas de seguridad informática, metodologías empleadas,

herramientas de intrusión, testing y evaluación de metodologías para pentest en los
sistemas. Se presenta entonces las evidencias del desarrollo de las preguntas establecidas en
la guía de actividades referentes a los temas mencionados con anterioridad, en los cuales se
conceptualizó e idealizó de forma característica la aplicación en nuestra área; teniendo en
cuenta que son factores muy importantes a la hora de llevar una adecuada gestión desde
nuestra labor como profesionales en el área de las Telecomunicaciones.
 OBJETIVO GENERAL

Relacionar fundamentos básicos de la seguridad en sistemas operativos, para la

identificación y explotación de riesgos, vulnerabilidades y amenazas de acuerdo a los
controles y metodologías de auditoria y pruebas de referencia.

OBJETIVOS ESPECÍFICOS

* Visualizar de manera general el contenido del curso

* Afianzar el manejo de la plataforma.

* Generalizar los contenidos del curso.

* Identificar las diferentes zonas de trabajo que componen el curso.

* Conceptualizar sobre protocolos de red.

* Conceptualizar sobre direccionamiento en un red..

* Fomentar la discusión, retroalimentación y el trabajo en equipo.

 ACTIVIDAD FASE II

 Analisis del caso presentado:

✓ Digital Covers, se identifica claramente como una organización que tiene un
conocimiento informático más avanzado que otra entidad promedio, puesto que
entre su razón social, se determinan labores informáticas en las que de una u otra
manera, se ha visto la necesidad de implementar creación de cuentas de usuario,
logins, y otros elementos básicos de seguridad informática, por lo que posiblemente
se permita una implementación más efectiva de procedimientos de seguridad
informática para cuya finalidad estamos trabajando.

La entidad con la cual se busca una alianza debe contar con altos estándares en
seguridad informática, ya que debe ofrecer protección a recursos económicos de
cada uno de sus usuarios, lo que la convierte en un objetivo informático para
quienes buscan vulnerar un sistema y obtener beneficios como saldos, bonos,
contraseñas y cuentas, etc, etc. Por lo cual, se hace necesario que su infraestructura
tecnológica y su modelo de seguridad sea absolutamente fuerte para evitar
intrusiones o pérdidas de información.

Con base en lo anterior, es necesario un profundo análisis de todos los elementos

tanto físicos como lógicos, en software y hardware, además de personales, que
integran la organización Digital Covers para determinar vulnerabilidades presentes
o posibles en cualquiera de los elementos que conforman la red y la entidad, ya que
es claro que el acceso al sistema se puede presentar por vulnerabilidades en la
infraestructura de red o hardware, en su software, en sus políticas de seguridad o
desconocimiento de las mismas, y en las vulnerabilidades que puede ofrecer su
personal de trabajo. Por lo anterior, se debe evaluar en forma detallada y efectiva
todos estos aspectos antes mencionados ya que son necesarios para identificar,
proponer y reforzar toda la estructura (física/lógica) de ser necesario, que integra la
organización Digital Covers.
 Posteriormente, se propone implementar la metodología PTES, que permite de
manera efectiva y completa dar estudio a cada uno de los problemas mencionados
con anterioridad y que tiene un enfoque que permite trabajar en todos los aspectos
que conforman la infraestructura de la red y su nivel de seguridad sobre procesos
de ingeniería social que busquen vulnerar su sistema; teniendo en cuenta que PTES
permite realizar un test de penetración basado en un estudio completo de la entidad,
realizando una recolección de información y acuerdos o permisos sobre nivel de
intrusión o test que buscan descubrir vulnerabilidades el en sistema actual,
arrojando como resultados informes con características cualitativas y cuantitativas
que nos permitirán tomar decisiones en pro de la seguridad del sistema informáticos
y todos los elementos que la conforman de acuerdo a las razones por las cuales se
decidió su aplicación, además de presentar posibles riesgos, métricas y
contramedidas para cada vulnerabilidad que las pruebas realizadas permitan
evidenciar dentro de la red..

 Identificación de vulnerabilidades:

Digital Covers, se caracteriza por manejar distintos tipos de datos, ofrecer conectividad a
usuarios y manejar para el caso, información privada sobre cuentas y saldos, es por ello que
el sistema se encuentra amenazado por distintas vulnerabilidades y amenazas que podrían
afectar su funcionamiento, por lo anterior presentamos las siguientes amenazas principales.

Algunos otros elementos que afectan la seguridad en los datos y que debemos tener en
cuenta son:

 Elevación de privilegios
Como su nombre lo indica, la elevación de privilegios consiste en la adquisición de
permisos de autorización por parte de un atacante más allá de aquéllos concedidos
inicialmente y ocurre cuando un usuario es capaz de obtenerlos. Por ejemplo, un atacante
con un conjunto de privilegios de permisos de "solo lectura" eleva de algún modo el
conjunto para incluir la "lectura y escritura".

 Sondeos y observación inteligente

Un ataque por sondeo puede utilizar mensajes de error generados por una aplicación para
buscar puntos vulnerables en la seguridad.
  Autenticación
Los ataques de autenticación ocurren cuando se utilizan inicios de sesión SQL Server. Se
pueden producir ataques por inyección a la cadena de conexión si durante la ejecución se
genera una cadena de conexión basada en los datos introducidos por el usuario. Algunas
aplicaciones guardan las cadenas de autenticación en el programa o en archivos de
configuración.

 Contraseñas
Las contraseñas constituyen la primera línea de defensa, si un intruso logra obtener la
contraseña de un usuario con muchos privilegios, las consecuencias son nefastas.

 Privilegios excesivos
El nivel de acceso a los objetos protegibles, debe ser el mínimo requerido. Tener
demasiados privilegios que no se requieren constituye un riesgo. No sólo se deben limitar
en ese sentido, sino que deben estar limitados en el tiempo.

 Sistemas desactualizados
La no implementación de las actualizaciones de software del sistema, constituyen un alto
riesgo de seguridad.

 Puertos innecesarios abiertos

La principal vía de acceso para los ataques es la red. Si los puertos estándar están abiertos a
Internet en el sistema, se incrementan y se favorece el riesgo de ataques.

 Cuentas de servicio
Cada servicio en SQL Server representa un proceso o un conjunto de procesos que maneja
la autenticación de las operaciones con Windows. Las cuentas de servicio de SQL Server
suelen tener más acceso a la plataforma o a la red del que necesitan.

 Procedimientos almacenados innecesarios

Algunos procedimientos almacenados extendidos permiten el acceso al sistema operativo o
al registro. Este tipo de procedimientos no debe habilitarse si no son absolutamente
indispensables.

 Cuentas de usuario sin auditar

Los usuarios cambian constantemente de puesto e incluso abandonan la organización, si no
se cambian los privilegios o los niveles de acceso a esas cuentas, los usuarios seguirán
teniendo el mismo nivel de permisos anterior.
  Ataques por SQL Injection

La inyección de SQL es una técnica que se emplea para vulnerar sistemas por medio del
ingreso de un código o sentencia SQL realizada por un conocedor avanzado del lenguaje de
programación (atacante/Cracker /Hacker) y que tiene como finalidad la ejecución del
código ingresado para obtener una respuesta del servidor de datos y lograr así la captura de
información del sistema e infiltrarse en él.

Para verificar si el sistema es vulnerable a inyección de SQL, se pueden implementar varias

técnicas y software de análisis; un método práctico también se basa en agregar un apóstrofe
(‘) después de la id, de modo que si la consulta devuelve un error refiriendo una consulta
SQL mal hecha, nuestro sistema es vulnerable. Si no se recibe un error de ese tipo,
estaremos un poco más protegidos, pero aún puede existir la amenaza si una correcta
validación a los formularios y consultas hechas por el usuario.

Se puede ayudar a prevenir este tipo de ataques por medio de:

- Añadir el carácter “\” frente a las cadenas en las consultas SQL con el fin de evitar el
empleo de caracteres como comillas dobles (“), (\x00) y (\x1), o también el apóstrofe (‘).
- Aplicación de últimos Parches ofrecidos por el sitio oficial del desarrollador.
- Actualización de las versiones del Software utilizado en el servidor.
- Validación de datos en formularios y sentencias.
- Configuración avanzada en el modo de acceso a la información de la BD.

 Sniffing a sesiones de usuario

Por medio de la implementación de software para el Sniffing, se procede a la captura de

tráfico en la red incluyendo las credenciales de acceso del usuario; de manera tal que
después de su captura se procede a descifrar los paquetes mediante el software que
finalmente revelará la información de sesión.

El sniffing es una vulnerabilidad presente en cualquier red, tanto inalámbrica como

cableada, siendo esta última la más favorable para reducir la vulnerabilidad por sniffing.
Mientras la cobertura de la red atreviese un área extensa que permitiera localizar un
dispositivo dentro o exista la posibilidad de que un dispositivo se conecte a la red cableada,
la vulnerabilidad será real.

Modo de subsanar la vulnerabilidad en el motor seleccionado:

- Delimitar el alcance de la red inalámbrica.

- Implementar cifrado avanzado en los paquetes de red.
- Implementación de cifrado HTTPS en todas las páginas web visitadas.
- Incluir seguridad de cifrado alta (WPA2) para acceso de la red inalámbrica.
- No acceder a redes inalámbricas públicas.
  Ataque de denegación de servicio DoS

La Denegación de Servicio, consiste en impedir el correcto funcionamiento de una

plataforma o servicio, de manera tal que cuando un usuario quiera acceder a determinado
contenido o sitio web, su solicitud sea rechazada impidiendo que acceda a la información
solicitada.

Para la identificación de la vulnerabilidad podemos verificar la configuración del SMBD,

verificar la versión de la librería “zlib” en “inftrees.c”. la cual en versiones anteriores a la
4.1 presentan vulnerabilidad.

El Modo de subsanar la vulnerabilidad es:

- Actualizar a la versión 4.1.13 o posterior.

- Limitar el tráfico de red proveniente de un mismo host.
- Limitar el ancho de banda para cada conexión o host.
- Limitar los login por host.
- Configurar Firewalls y Routers para evitar IPs inválidas.
- Filtrar el tráfico por protocolos.

 Almacenamiento de datos locales en el SMBD (LOCAL DATA)

Vulnerabilidad en la declaración LOCAL DATA que permite el acceso a los datos o

ejecutar un servidor MySQL malicioso.

Para la identificación de la vulnerabilidad debemos verificar el modo de transferencia de

archivos entre host clientes y servidor respectivamente de manera que al usuario no se le
permita cargue de archivos no validados al servidor.

Se puede ayudar a prevenir este tipo de ataques por medio de:

- Aplicación de Parches.
- Actualización de las versiones de Software.
- Validación de datos en formularios y sentencias.
- Configuración avanzada en el modo de acceso a la información de la BD.
5. Elegir una metodología de intrusión para proponer como posible solución de
implementación en la compañía.

R/: Metodología elegida:

 PTES por sus siglas en inglés (Penetration Testing Execution Standard)

PTES es una metodología muy efectiva y completa que permite realizar un test de
penetración basado en un estudio previo a la entidad, recolección de información y
acuerdos o permisos sobre nivel de intrusión, intensidad y ejercicio de dichas pruebas o test
que buscan descubrir vulnerabilidades el en sistema, arrojando como resultados informes
con características cualitativas y cuantitativas de acuerdo a las razones por las cuales se
decidió su uso, además de presentar posibles riesgos, métricas y contramedidas para cada
vulnerabilidad identificada.

La metodología PTES se basa en 6 principios básicos, sin embargo sus desarrolladores,

sugieren considerar cualquier novedad adicional o cambio que permita realizar un test más
efectivo de acuerdo a las necesidades, aspectos a evaluar y modelo de negocio.

1) Herramientas requeridas: Se considera qué herramientas tanto de hardware como

de software se van a necesitar de acuerdo a los sistemas operativos presentes, el
software utilizado y los modos de conexión o difusión de red de datos entre otros.

2) Recolección de Información: Se pretende obtener toda la información posible de

la entidad, cualquier tipo de información, desde su modelo de negocio, hasta sus
sedes, cantidad de empleados, información registrada en su sitio web o cualquier
otra huella digital de la entidad que la identifique, sus servicios, organigramas,
proveedores, registros de dominios, redes sociales, noticias, archivos, empleados,
redes informáticas propias, frecuencias de comunicaciones, horarios laborales, etc,
etc. Con el fin de tener presente todo el alcance de la entidad y por ende
posteriormente identificar puntos vulnerables.
 3) Análisis de vulnerabilidad: Se procede a realizar un análisis, escaneo, estudio y
ejercicio práctico en busca de las vulnerabilidades informáticas que tenga la entidad,
con base al acuerdo realizado sobre la exhaustividad y profundidad de las pruebas a
realizar. Aquí se inicia todo tipo de testeo, desde las que requieren uso de software
específico para pentest, hasta las de carácter social que requieren de la aplicación de
ingeniería social.

4) Explotación: Una vez detectadas las vulnerabilidades, en ésta fase se trata de

acceder a la red y/o al sistema con el objetivo de vulnerar totalmente la seguridad
del sistema al acceder a datos, registros, configuraciones de administrador y demás.

5) Explotación Posterior: Pretende obtener/extraer datos de la red de la entidad,

encontrar archivos importantes, acceder a bases de datos, registros, posibilidad de
eliminar registros, implantar elementos/software/malware, copiar registros, extraer
contraseñas y demás acciones que demuestren la vulnerabilidad de la red y la
información.

6) Informes: Determina informes a presentar para un nivel técnico y ejecutivo,

realizando una cuantificación de los riesgos presentes detectados soportados por las
pruebas obtenidas en las fases de explotación y explotación posterior.

CONCLUSIÓN

La implementación cualquier método de penetración, requiere de un estudio previo del caso

a tratar y de los requerimientos presentados por el usuario, ya que según sea la necesidad
presentada, podemos aplicar diferentes métodos que buscan determinar vulnerabilidades
presentes en un sistema; nosotros como profesionales en la materia, debemos ofrecer
soluciones que tengan como objetivo resolver la necesidad principal y garantizar los
mejores resultados posibles que permitan tomar decisiones adecuadas y oportunas sobre
cada uno de los elementos que componen la red y que se desea mejorar para evitar
cualquier perdida de información, corrupción, o difusión no autorizada de la misma,
violando los pilares básicos de la seguridad de la información, su disponibilidad, integridad
y confidencialidad.
BIBLIOGRAFÍA

Gómez, L. J., & Gómez, L. O. D. (2014). Administración de sistemas operativos. Madrid,

ES: RA-MA Editorial.(pp. 14 – 24). Recuperado de
http://bibliotecavirtual.unad.edu.co:2077/lib/unadsp/detail.action?docID=11046063&p
00=seguridad+sistemas+operativos

Colobran, H. M., Arqués, S. J. M., & Marco, G. E. (2008). Administración de sistemas

operativos en red. Barcelona, ES: Editorial UOC. (pp. 34 –50). Recuperado de
http://bibliotecavirtual.unad.edu.co:2077/lib/unadsp/detail.action?docID=10638510&p
00=seguridad+en+sistemas+operativos

Raya, C. J. L., & Raya, G. L. (2014). Implantación de sistemas operativos. Madrid, ES:
RAMA Editorial. (pp. 44 – 54). Recuperado de
http://bibliotecavirtual.unad.edu.co:2077/lib/unadsp/detail.action?docID=11038541&p
00=seguridad+en+sistemas+operativos

Chicano, T. E. (2014). Gestión de incidentes de seguridad informática (MF0488_3).

Madrid, ESPAÑA: IC Editorial. (pp. 40 – 49). Recuperado de
http://bibliotecavirtual.unad.edu.co:2077/lib/unadsp/detail.action?docID=11126339&p
00=seguridad+en+sistemas+operativos

Costas, S. J. (2014). Seguridad y alta disponibilidad. Madrid, ES: RA-MA Editorial. (pp. 44
- 54).Recuperado de
http://bibliotecavirtual.unad.edu.co:2077/lib/unadsp/detail.action?docID=11046042&p
00=seguridad+en+sistemas+operativos

Chicano, T. E. (2014). Auditoría de seguridad informática (MF0487_3). Madrid, ESPAÑA:

IC Editorial. (pp. 64 – 75). Recuperado de
http://bibliotecavirtual.unad.edu.co:2077/lib/unadsp/detail.action?docID=11126290&p
00=seguridad+en+sistemas+operativos

Gobierno de España. (2007). Monográfico: Máquinas virtuales - Herramienta de

virtualización VirtualBox. (2016, Junio 27). (pp. 51 – 59). Recuperado de
http://recursostic.educacion.es/observatorio/web/fr/software/software-general/462-
monografico-maquinas-virtuales?start=2

PTES. (2019). Technical Guidelines. Recuperado de:

http://www.pentest-standard.org/index.php/PTES_Technical_Guidelines