1

Rodrigo Arce

Edgar Ortiz

Seguridad e Integridad de la Información

28 de Septiembre 2020

Capítulo 11: Introducción a evaluaciones de seguridad.

CIA
● Confidencialidad: solo puede ser vista con autorización.
● Integridad: no debe perder partes.
● Disponibilidad: accesible en cualquier momento

11.1 Evaluación en Kali

Asegurarse de realizar una instalación limpia, de lo contrario surgen dos problemas:
● Cambios en la configuración son futuros problemas de mantenimiento.
● Los cambios pueden provocar confusiones en las evaluaciones.
Además debe hacerse una configuración encriptada, listando los programas cargados y
revisando la configuración de red.

11.2 Tipos de Evaluación

● Inclusión de archivo: referente a los que incluye una app web, pueden ser penetrados
por fuerza bruta.
● SQL injection: ocurre cuando no se valida los queries y se da acceso a la BD.
● Buffer Overflow: se escribe información en la memoria para controlar los datos.
● Race conditions: toma ventaja del tiempo de dependencia del programa.
 2

11.2.1 Evaluación de vulnerabilidad

Vulnerabilidad es una debilidad que puede ser usada en contra del sistema. La evaluación de
vulnerabilidades es un listado de ellas. Los datos obtenidos de un ataque pueden ser los
siguientes:
● Version de OS ● Arquitectura del procesador
● Nivel de parche ● Version del software
Los resultados de una evaluación pueden ser:
● True positive ● True negative
● False positive ● False negativo
Probabilidad de ocurrencia: define el nivel de probabilidad.
● Alta: atacante muy habil, sistema mal protegido.
● Media: atacante motivado pero puede ser contrarrestado.
● Baja: atacante sin habilidades.
Impacto: determinado por la evaluación.
● Alto: muchas pérdidas.
● Medio: algunas pérdidas.
● Bajo: pocas perdidas.
Riesgo: determinado a partir de la probabilidad de ocurrencia y el impacto.
● Alto: requiere un sistema robusto y un respaldo.
● Medio: requiere requerimientos adicionales para protección.
● Bajo: el propietario define las medidas y acepta los riesgos.

11.2.2 Cumplimiento de prueba de penetración.

Se realiza después de la evaluación.

11.2.3. Test de penetración tradicional

Simula las consecuencias de tener un usuario interno comprometido o de un ataque externo.
Fases del test:
1. Reunion de informacion: aprender todo lo posible del entorno.
 3

2. Descubrir vulnerabilidades: explotar al objetivo.

3. Pivote y ultrafiltracion: escalar privilegios hasta los deseados por el atacante.
4. Reporte: documentación.
Buen uso de Kali: reinstalación de paquetes, configurar VPN, pre instalar software y
herramientas internas, preconfigurar el OS.

11.2.4 App Assessment

Aplicaciones que deben ser evaluadas: web, compilación dentro del escritorio, moviles.
Tipos de evaluación:
● Black box: sin saber nada del usuario.
● White Box: teniendo acceso completo a los códigos.

11.3 Formalización de la evaluación

Reunido todo lo siguiente se puede comenzar:
● Sistemas con los que se interactuó
● Fecha y hora del test.
● Definir nivel de alcance.
● Definir manejo de problemas.
● Lista de informados sobre la
actividad.
● Lo esperado de la evaluación.

11.4 Tipos de ataque

Denegación de servicio: ataca la vulnerabilidad para generar una pérdida del servicio.
Corrupción de memoria: ocurre cuando la memoria de un proceso se modifica accidentalmente
debido a errores de programación, esto lleva a comportamiento imprevisibles y permite el
control del flujo de ejecución. Los tipos más comunes son:
● Stack overflow: cuando el problema escribe más datos de los que tiene permitido.
● Heap corruption: la memoria heap es la del run-time, este problema ocurre cuando se
manipulan y sobreescribe la memoria de los apuntadores.
● Integer overflow: se crean valores numéricos imposibles de almacenar.
● Format string: revela las direcciones de memoria.
 4

Web Vulnerabilities: aprovechan la complejidad en la arquitectura de un sitio web para atacar

la lógica del backend o la presentación del front end. Los tipos más comunes de ataques web
son:
● SQL injection
● Cross-site scripting: permite al usuario ejecutar código donde no debe.
Ataques a contrasenas.
Ataques desde el lado del cliente: se manipula a la persona para ejecutar código no deseado,
para prevenirlos se requiere educar a las personas, actualizar las aplicaciones y controlar la red.