ETHICAL HACKING

MSc Ginger Saltos

1
2

GINGER SALTOS B.
■ BANCO GUAYAQUIL - Subgerente de Ciberseguridad
■ TEMTUM - CTO
■ DINARDAP – Arquitecta de Seguridad Informática

■ ESPOL - Ingeniera en Telemática

■ University of Portsmouth – MSc. Forensics IT
■ ESPOL – Master en Seguridad Informática Aplicada
■ UCEMA – Diplomatura en Gestión de Ciberseguridad
3

NORMAS DE COMPORTAMIENTO
DURANTE LA CLASE VIRTUAL
■ Respetar la puntualidad, recordemos que no pueden faltar mas del
10% de las clases, es decir 4 horas.
■ Participar de las clases virtuales programadas.
■ Al ingreso a la clase virtual, identificarse y saludar en el chat.
■ Si llega atrasad@, ingresar con micrófono deshabilitado.
■ El estudiante debe poner el micrófono de su dispositivo electrónico en
silencio.
■ Para lograr y favorecer una buena escucha y comunicación, el docente
puede poner los micrófonos en silencio.
■ Levantar la mano o escribir en el chat para realizar consultas.
■ El trato ante el docente y/o compañeros debe ser de respeto y
amabilidad.
4

Calificación

INSTRUMENTOS PUNTAJE
Aprendizaje colaborativo 20 puntos
Aprendizaje Autónomo 20 puntos
Prácticas 30 puntos
Proyecto Final 30 puntos
5

AGENDA
INTRODUCCION FASE PRE-ATAQUE ATAQUE POST-ATAQUE

CONOCIMIENTOS BASICOS RECONOCIMIENTO ATAQUES RECURSOS DE RED INFORME TECNICO

PILARES DE SEGURIDAD ENUMERACION FUERZA BRUTA INFORME EJECUTIVO

MODALIDADES DE HACKING OWASP TOP 10

ETICO ANALISIS CASO DE ESTUDIO

ATAQUE DE DDOS
NIVELES DE SEGURIDAD CASO DE ESTUDIO

ATAQUE WIRELESS
CICLO DE UN HACKING ETICO

INGENIERIA SOCIAL
CASO DE ESTUDIO
CASO DE ESTUDIO
INTRODUCCIÓN
AL HACKING
ÉTICO

6
 Introducción – Conocimientos Básicos
7

¿Qué es una vulnerabilidad?

explotada

Debilidad o fallo en uno o mas atacantes

un activo de
información Pon
e en
r i es
go

Seguridad
 Introducción – Conocimientos Básicos
8

Microsoft Exchange Server

Remote Code Execution Vulnerability

CVE–2021–26855
Common Año de
Vulnerabilities and CVE ID
registro
Exposures

https://cve.mitre.org/
Introducción – Conocimientos Básicos

9
 Introducción – Conocimientos Básicos
10
 Introducción – Conocimientos Básicos
11

CVSS Common Vulnerability Scoring

System

3.1 Estándar publicado y utilizado

CVSS Nivel de Riesgo
por organizaciones de todo el
mundo
10.0 – 9.0 Crítico
7.0 – 8.9 Alto
4.0 – 6.9 Medio Establece una puntuación
0.1 – 3.9 Bajo numérica que refleje la gravedad
de la vulnerabilidad.
 Introducción – Conocimientos Básicos
12
13

¿QUÉ ES UNA DEBILIDAD

INFORMÁTICA?
 Introducción – Conocimientos Básicos
14

¿Qué es una Debilidad Informática?

Software

Hardware
 Introducción – Conocimientos Básicos
15

CVE vs CWE
■ Common Weakness
Enumeration
■ Lista de tipos de debilidades
en software y hardware
relacionado con la
vulnerabilidad y no con un
producto en específico.
■ Su objetivo principal es
detener las vulnerabilidades
desde la fuente educando
sobre como solventar los
errores mas comunes a los
fabricantes, desarrolladores,
arquitectos, diseñadores,
etc

https://cwe.mitre.org/
https://cwe.mitre.org/top25/archive/2020/2020_cwe_top25.html
 Introducción – Conocimientos Básicos
16

CWE-79

https://cwe.mitre.org/data/definitions/79.html
 Introducción – Conocimientos Básicos
17

CWE-20

https://cwe.mitre.org/data/definitions/79.html
 Introducción – Conocimientos Básicos
18

¿PUEDEN TAMBIÉN
LOS CRIMINALES
USAR ESTAS
MISMAS
HERRAMIENTAS?
 Introducción – Conocimientos Básicos
19

■ Open Web Application Security Project.

■ Fundación sin fines de lucro que trabaja para mejorar la seguridad del software.
■ Todos sus miembros son voluntarios.
■ Genera recursos de seguridad de manera abierta y comunitaria.
■ Tiene capítulos locales – OWASP capítulo Ecuador
■ Proyecto estrella TOP 10 OWASP – 2017
 Introducción – Conocimientos Básicos
20

https://wiki.owasp.org/images/5/5e/OWASP-Top-10-2017-es.pdf
 Introducción – Conocimientos Básicos
21
 Introducción – Conocimientos Básicos
22
23 Introducción – Conocimientos Básicos
 24

Introducción – Conocimientos Básicos

 25

Introducción – Conocimientos Básicos

 26

Introducción – Conocimientos Básicos

 27

Introducción – Conocimientos Básicos

28 Introducción – Conocimientos Básicos

Taller (10 minutos)

■ Identifiquen al menos 3 CVEs del 2021 relacionados con las siguientes
explotaciones y describa al menos su score de vulnerabilidad, vectores de ataque y
mitigación:
– Windows DNS Server Remote Code Execution Vulnerability
– VMWare vCenter RCE
– Google Chrome Browser
– Windows MSHTML Platform Remote Code Execution Vulnerability
– Cisco Adaptive Security Appliance
– VMware vCenter Server Remote Code Execution
 Introducción – Pilares de Seguridad
29

Triada de Seguridad de la Información

Confidencialidad
Garantiza que los datos
SOLO serán accedidos por
los usuarios que estén Integridad
autorizados para hacerlo Garantiza que los datos sean
transportados, almacenados
y/o consultados sin ser
alterados.
Mantener con exactitud los
datos tal cual como fueron
generados, sin ser
manipulados o alterados por
personas o procesos no
Disponibilidad autorizados.
Garantiza que los datos y o
sistemas estén disponibles
en el momento que se lo
requira siempre y cuando
d e los d atos.
tenga los permisos para eg u r i d a d
hacerlo.
S
 Introducción – Pilares de Seguridad
30
Ciberataques Internacionales
 Introducción – Pilares de Seguridad
31
Ciberataques Regionales
 Introducción – Pilares de Seguridad
32
Ciberataques Nacionales
 https://threatmap.checkpoint.com/
Introducción – Pilares de Seguridad
33

https://cybermap.kaspersky.com/
Live Cyberattack Map

https://www.fireeye.com/cyber-map/threat-map.html

34
¿Qué es un Ethical
Hacking?
■ Proceso de auditoría a la
infraestructura informática de una
organización.
■ Simula ataques cibernéticos
utilizando técnicas propias de
delincuentes informáticos.
■ Su objetivo no es hacer daño a los
sistemas de la organización, sino
ejecutar ataques con la autorización
de la organización.
■ Permite identificar las debilidades
de una infraestructura y reportarlas
a la organización para que sean
mitigadas.
Introducción – Pilares de Seguridad
¿Porqué un Ethical
Hacking?
■ Ver lo que hacen los
cibercriminales.
■ Proporciona una evaluación de los
niveles de riesgo.
■ Encuentra vulnerabilidades que
otros métodos de análisis de
vulnerabilidades no encuentran.
■ Permite persuadir a la dirección
de que las vulnerabilidades
existen
 Introducción – Pilares de Seguridad
35

Tipo de Sombreros

Sombrero Negro Sombrero Gris Sombrero Blanco

• Expertos en seguridad informática • Expertos en seguridad • Profesionales como nosotros.
• Utilizan sus habilidades para beneficio informática • Utilizan sus habilidades para contribuir a
personal/económico. • Línea delgada entre los buenos las organizaciones/clients/comunidad a
• Normalmente realiza actividades y malos. mejorar la seguridad de sus sistemas.
ilegales. • Comportamiento volátil. • Publica nuevas investigaciones, realiza
• Referente constante de “hacker” para auditorías, desarrolla herramientas.
los medios de comunicación. • Contribuye al mundo de seguridad
informática.
 Introducción – Pilares de Seguridad
36

Mitos y Verdades ¿Qué tienen en común?

Estereotipo: “Los hackers son delincuentes”

 Introducción – Pilares de Seguridad
37

Taller (10 minutos)

■ Investiguen sobre el término hacker
■ ¿Qué es?
■ ¿De dónde proviene la palabra? y
■ ¿En qué se diferencia de un Ciberatacante?

■ Hasta: 20:13 – 20:23

■ Receso: 20:23 – 20h43

No olviden las referencias

 Introducción – Pilares de Seguridad
38

Tipos de Cibercriminales
Nivel de sofisticación

https://cyber.gc.ca/en/guidance/cyber-threat-and-cyber-threat-actors
 Introducción – Pilares de Seguridad
39

Perfil de los Profesionales

Ofensivo – Red Team Defensivo – Blue Team
• Profesional de seguridad defensiva responsables de la
• Profesionales de seguridad ofensiva, expertos en
respuesta ante incidentes (ataques y amenazas
atacar sistemas y romper las defensas de la cibernéticos).
organización (herramientas y controles de
seguridad). • Brindan orientación al equipo de seguridad de TI sobre
dónde realizar mejoras para detener ciberataques y
• No son ethical hackers aunque sus funciones y
amenazas sofisticadas
habilidades se superponen.

FUNCIONES

• Emulan ser atacantes, a través de escenarios

(controlados) que pueda enfentrar una organización
utilizando las mismas herramientas o similares a las que
las utilizan los atacantes, explotando vulnerabilidades de
FUNCIONES
seguridad en aplicaciones, saltando de una máquina a
otra (pivoting) en la organización.
• Vigilan constantemente la red, analizando patrones y
• Da al equipo de seguridad (Blue Team) la posibilidad de
comportamientos no comúnes a nivel de sistemas,
defenderse y aprender de los ataques, mientras realizan
aplicaciones y personas.
un proceso de intrusión con diferentes técnicas.
• Identificar fallos y/o vulnerabilidades verificando la
• Al finalizar escribe un informe en el que se describen las
efectividad de las medidas de seguridad de la organización.
vulnerabilidades identificadas.
• Evalúa la capacidad real que tiene una organización para
proteger sus activos críticos y sus capacidades de
detección y respuesta considerando tanto el plano
tecnológico, como el de procesos y el humano.
 Introducción – Pilares de Seguridad
40

Perfil de los Profesionales

Equipo Verde Equipo Amarillo
Desarrolladores de aplicaciones,
Interactúa constantemente con el
ingenieros de sofware y arquitectos que
equipo azul y amarillo. Mejorar la
diseñan y desarrollan sistemas,
capacidad de defensa basada en código
softwares e integraciones haciendo el
y en diseño para detección, respuesta a
negocio mas eficiente.
incidentes y análisis forense de datos.

Equipo Azul EQUIPO BLANCO Equipo Naranja

Inspira al yellow team a ser más
Responsables de la conscientes de la seguridad, en todo
respuesta ante incidentes el proceso de la construcción del
(ataques y amenazas software.
cibernéticos).

Equipo Morado Equipo Rojo

Aseguran y maximizan la efectividad del Expertos en atacar sistemas y
Red y Blue Team. Integra las tácticas y romper las defensas de la
controles defensivos del Blue Team con organización
las amenazas y vulnerabilidades
encontradas por el Red Team.

https://hackernoon.com/introducing-the-infosec-colour-wheel-blending-developers-with-red-and-blue-security-teams-6437c1a07700
 Introducción – Pilares de Seguridad
41

7 Niveles de Seguridad
 Introducción – Pilares de Seguridad
42
43

https://twitter.com/thecybersechub/status/864967300004413440
 Introducción – Modalidades de Hacking Ético
44

Análisis de Vulnerabilidades vs Ethical Hacking

■ Se evalúan fallos de seguridad que poseen
los recursos de IT (sitios web, aplicativos,
red, equipos de red o infraestructura IT en
general),
■ Normalmente realizado con herramientas
automatizadas (nessus, accunetix,
shodan) ■ Incluye el proceso de análisis de
■ De ejecución rápido y económica. vulnerabilidades pero adicional se ejecuta la
explotación, verificación y procesos de post-
■ Los entregables no suelen ser profundos explotación.
ya que los resultados en su mayoría no
puedes ser verificados debido a que el ■ Es mas realista puesto que podemos indicar
alcance del proyecto no se permite hasta donde puede llegar un atacante con los
ejecutar procesos de explotación. accesos obtenidos.
 Introducción – Modalidades de Hacking Ético
45

Caja Blanca, gris y negra

White Box
Black Box El equipo de EH tiene pleno
El equipo de EH tiene Grey Box conocimiento de cual es la
infraestructura a la que se va a
conocimiento únicamente del
nombre de la organización o la El equipo de EH tiene información “enfrentar”, conoce las IPs, cantidad
URL si se trata de la revision de parcial de la infraestructura, se de equipos, tecnologías, sus
una sola aplicación web brindan accesos mínimos. funciones, aplicacicones
Tiene acceso a la minima web/móviles, usuarios con todos los
información posible para ejecutar níveles de acceso , y se puede
el proceso de EH. solicitor mayor información.

Todos estos tipos de prueba, se pueden aplicar para infraestructuras internas o externas
 Introducción – Modalidades de Hacking Ético
46

Modalidades de Hacking Ético

Todos estos tipos de prueba, se pueden aplicar para infraestructuras internas o externas.

• Interna:
• Conectado a la red alámbrica o inalámbrica.
• Se comporta como un usuario más de la organización.
• No necesariamente un acceso físico.

• Externa:
• Desde el internet hacia la infraestructura de la organización.
• Pone a prueba la red perimetral de la organización.
• Busca saltar los controles de seguridad utilizando como acceso una aplicación web,
servicios publicados, dirección pública, etc.
47

Habilidades de un Red Team

https://niccs.cisa.gov/workforce-development/cyber-security-workforce-framework/workroles?name=Exploitation+Analyst&id=All
 Introducción – Niveles de Seguridad
48

Habilidades de un Ethical Hacker

Ética Pasión
La ética y la confianza El combustible que nos
que transmita es mueve a ejecutar este
fundamental. proceso de Ethical
RFC-1087 del Internet Hacking.
Activities Board

Trabajo en
Habilidades de
Equipo
Comunicación
Debido a las diferentes
Debe ser capaz de habilidades que cada
presentar los hallazgos uno adquiere con el
detectados a través del tiempo, es importante
EH, a un plano mas tconformar un equipo
ejecutivo y desde una que complementen sus
óptica más enfocada a conocimientos y
cómo impactan los genereen sinergia.
mismos en el negocio. Creatividad
Manejo de Amplia Una de las cualidades
mas complejas de
Idiomas Percepción ejercitar y desarrollar…
y tal vez la más
La mayoría de los recursos Se desarrolla a medida importante.
están en inglés. que pone en práctica
Herramientas, manuals, una vision mas amplia
comentarios están en su de los desafíos.
mayoría en inglés.
 Introducción – Niveles de Seguridad
49

Certificaciones

https://www.eccouncil.org/programs/
https://www.giac.org/ https://www.offensive-security.com/courses-and-certifications/

https://www.isaca.org/credentialing/certifications https://www.isc2.org/
 Introducción – Ciclo de un Hacking Ético
50

Cyberkill Chain Process

Actions &
Reconnaissance Delivery Installation Objectives
Selecciona al objetivo El malware instala un Intruso toma medidas
Envía el arma al objetivo
Lo investiga, busca información punto de acceso para el para lograr sus objetivos,
a través de cualquier
Ejecuta los primeros intentos de atacante (puerta como la exfiltración de
medio. El más común es
identificar vulnerabilidades en la trasera) datos, la destrucción de
como adjunto en un
red del objetivo datos o el cifrado para
correo, sitios web o USB
obtener un rescate.

Weaponization Exploitation Command & Control

Crea/personaliza arma El código del malware se El malware permite al atacante
de malware para el ejecuta en la red del tener acceso persistente a la red
acceso remoto basado objetivo explotando la del objetivo a través del acceso al
en las vulnerabilidades vulnerabilidad teclado.
encontradas. identificada

https://www.netsurion.com/articles/eventtracker-enterprise-and-the-cyber-kill-chain
 NUESTRA METODOLOGÍA
Informes previos o
Extraer
Captura de mayor alerta de
usuarios, Evaluar la
información en la vulnerabilidad crítica.
Obtener datos e nombres de información
red. Generación de
información sobre el equipos, recolectada y
Crear y ejecutar informes técnicos y
objetivo. recursos de enumeración de
exploits . ejecutivos.
redes, servicios, vulnerabilidades
Escalar privilegios. Presentación de
etc…
informes

Recolección de
Enumeración Análisis Explotación Documentación
Información

|<------------------------- PRE ATAQUE------------------------------>||<---- ATAQUE ---->||<---- POST ATAQUE--->|

51
52