👩

hello!
Soy Alejandra Ventura
Trabajo en INCIBE
@venturita

#WTMBcn19
IWD 2019 #WTMBcn19 #WTMBarcelona #WTM19
Hunting threats with open
source tools
 ¿De qué hablaremos hoy?

1. HONEYPOTS 2. ENTORNO ELK

👉¿Qué? 👉¿Qué?
👉 ¿Para qué? 👉 ¿Para qué?
👉 ¿Cómo? 👉 ¿Cómo?

3. DEMO 4. CASOS DE
👉 ¿Cómo lo hacemos? INVESTIGACIÓN
 Honeypots o sistemas trampa

Es una herramienta de seguridad diseñada para ser sondeada,

atacada y comprometida, que tiene capacidad de detectar y
¿QUÉ? registrar estas acciones. Simulan servicios reales.

¿PARA QUÉ? “Conoce a tu enemigo y conócete a ti mismo; en cien

batallas, nunca saldrás derrotado. Si eres ignorante de
tu enemigo pero te conoces a ti mismo, tus
Prevención oportunidades de ganar o perder son las mismas. Si
eres ignorante de tu enemigo y de ti mismo, puedes
estar seguro de ser derrotado en cada batalla.
Investigación y aprendizaje
Sun Tzu – El Arte de la Guerra
 Honeypots o sistemas trampa

Prevención ¿PARA QUÉ?

Herramienta de persuasión

Investigación y aprendizaje
Detectar y recopilar información
Identificación de técnicas y patrones
Detección de campañas maliciosas (temprana).
 Honeypots o sistemas trampa

Tipo de ¿CÓMO?
honeypots

Interacción Propósito

Baja Media Alta Producción Investigación

 Honeypots o sistemas trampa

Baja interacción Media interacción

* Fácilidad de instalación. * Servicios que responden al “atacante”.
* Bajo riesgo. * Acceso FTP o SSH.
* Limitaciones. * Posibilidad de ser descubierto mediante
patrones de respuesta.
Baja interacción
* Interactúan con el “atacante”.
* Actividad registrada de gran valor.
* Mayor riesgo.

Interacción
 Honeypots o sistemas trampa

Producción
* Ubicados en el segmento de la red de servidores de la organización.
* Detección de posibles accesos de usuarios internos.
* Riesgo: que el tráfico “sospechoso” conviva con el legítimo.

Investigación
* Recursos educativos
* Obj: estudiar patrones de ataque y amenazas.

Propósito
¿Qué instalar?
Honeypots o sistemas trampa

Para todo honeypot instalado: es necesario

configurarlo y adaptarlo para que parezca lo
máximo posible un entorno real.

11
 ¿De qué hablaremos hoy?

1. HONEYPOTS 2. ENTORNO ELK

👉¿Qué? 👉¿Qué?
👉 ¿Para qué? 👉 ¿Para qué?
👉 ¿Cómo? 👉 ¿Cómo?

3. DEMO 4. CASOS DE
👉 ¿Cómo lo hacemos? INVESTIGACIÓN
ENTORNO ELK
Lee los datos de diferentes fuentes
Envían datos de cientos o miles de
máquinas y sistemas a Logstash o
Elasticsearch.
simultáneamente, los trata en la medida
que necesitemos para luego finalmente ¿QUÉ?
poder almacenarlos en ElasticSearch.

Motor de búsquedas y análisis donde se Permite Visualizar los datos que se

almacenan los datos ya optimizados por
la indexación, distribuido, tolerante a
fallos y alta disponibilidad.
encuentran almacenados en ElasticSearch,
permitiendo dar forma a sus datos de
manera personalizada, en pocas palabras, es
la interfaz para la visualización y análisis de
datos
¿POR QUÉ?
ELK STACK + HONEYS

T-POT

15
 ENTORNO ELK + HONEYS = T-POT

Plataforma de multiples honeypots, configurados y listos para funcionar.

Distribución Linux de base.
Integra todo en una misma instalación.
Virtualizados con docker.
Facilidad de mantenimiento, gestion y personalización.
ENTORNO ELK + HONEYS = T-POT

¿CÓMO?
ENTORNO ELK + HONEYS = T-POT
 ¿De qué hablaremos hoy?

1. HONEYPOTS 2. ENTORNO ELK

👉¿Qué? 👉¿Qué?
👉 ¿Para qué? 👉 ¿Para qué?
👉 ¿Cómo? 👉 ¿Cómo?

3. DEMO 4. CASOS DE
👉 ¿Cómo lo hacemos? INVESTIGACIÓN
 ¿De qué hablaremos hoy?

1. HONEYPOTS 2. ENTORNO ELK

👉¿Qué? 👉¿Qué?
👉 ¿Para qué? 👉 ¿Para qué?
👉 ¿Cómo? 👉 ¿Cómo?

3. DEMO 4. CASOS DE
👉 ¿Cómo lo hacemos? INVESTIGACIÓN
24
 “
¿El eslabón más débil importante de
la ciberseguridad?

personas
26
Moltes gràcies!
¿Preguntas?
Podéis encontrarme en
@venturita

27