Auditoría de Seguridad con Software Libre

8,988 views
8,737 views

Published on

Auditoría de Seguridad con Software Libre

Published in: Technology
0 Comments
1 Like
Statistics
Notes
  • Be the first to comment

No Downloads
Views
Total views
8,988
On SlideShare
0
From Embeds
0
Number of Embeds
77
Actions
Shares
0
Downloads
260
Comments
0
Likes
1
Embeds 0
No embeds

No notes for slide
  • www.us.es
  • Una auditoría de seguridad informática o auditoría de seguridad de sistemas de información (SI) es el estudio que comprende el análisis y gestión de sistemas para identificar y posteriormente corregir las diversas vulnerabilidades que pudieran presentarse en una revisión exhaustiva de las estaciones de trabajo, redes de comunicaciones o servidores. Imagen de lo que vería un atacante externo.
  • Metodologías y estándares de buenas prácticas
  • Tanto para seguridad como para Sistemas. Permite realizar un inventario de todos los equipos de la red en entornos heterogéneos. Snapshot de la red. Fácil de usar y flexible y muy potente. Scan de sistema y genera informe para inventario regular. Seleccionamos nuestro objetivo, elegimos el tipo de escaneo y hecho. Nmap -sP 192.168.1.1-200
  • NSE -> ftps anonimos
  • Analizador de protocolos de red estándar. sudo tcpdump -i wlan0 dst host www.loginSinSSL.net -v -W tcpdump.cap -xX -s 0
  • Protocolos presentes en red, hosts que más consumen.
  • Observar cabeceras HTTP en tiempo real. Ver el tipo de servidor web de nuestro objetivo y su arquitectura web. www.uem.es www.us.es Firebug /Yslow nos sirven para ver tiempos de carga de sitios y consejos para optimizarlos. Usado por grandes sitios web Open Source como sourceforge para auditar la carga y mejora de sus sitios online.
  • Sudo lynis -c Sudo rkhunter –checkall Rkhunter escanea el sistema en busca de rootkits, puertas traseras y exploits locales. A través de comparaciones MD5, archivos por defecto usados por rootkits, cadenas sospechosas en modulos LKM, ficheros ocultos. Lynis ayuda a los auditores a cumplir con diversos estándares de Seguridad como PCI DSS, HIPAA Sarbanes-Oxley... Otra capa de seguridad.
  • Auditoría de Seguridad con Software Libre

    1. 1. IV SEMANA DEL SOFTWARE LIBRE <ul>TALLER: AUDITORIA DE SEGURIDAD CON SOFTWARE LIBRE FUNDACION DEDALO (TUDELA) 23 noviembre 2009 </ul>
    2. 2. Taller: Auditoría de Seguridad con Software Libre <ul><li>Emilio Casbas (S21sec)
    3. 3. Colaborador en varios proyectos Open Source: </li><ul><li>Proxy-cache squid http://www.squid-cache.org
    4. 4. Clasificación de amenazas web (v1 / v2) http://www.webappsec.org/projects/threat/
    5. 5. Producing Open Source Software http://producingoss.com/es/
    6. 6. Web application Security Scanner Evaluation Criteria http://projects.webappsec.org/Web-Application-Security-Scanner-Evaluation-Criteria </li></ul></ul>
    7. 7. INDICE <ul><li>Auditorías de Seguridad </li><ul><li>Metodologías </li></ul><li>Herramientas / práctica </li><ul><li>Nmap
    8. 8. Wireshark
    9. 9. Firefox plugins
    10. 10. Rkhunter / Lynis (audita servidores)
    11. 11. Ratproxy
    12. 12. Wepawet </li></ul></ul>
    13. 13. INDICE II <ul><li>LiveCDs </li><ul><li>BackTrack
    14. 14. OSWA
    15. 15. nUbuntu
    16. 16. Knoppix-STD
    17. 17. ... </li></ul></ul>
    18. 18. 5 COSAS QUE APRENDEREMOS <ul><li>Varias herramientas de Seguridad Open Source
    19. 19. Detectar errores y mejoras en aplicaciones web
    20. 20. Peligros actuales
    21. 21. Conciencia de seguridad
    22. 22. El mayor peligro de la seguridad </li></ul>
    23. 23. AUDITORÍAS DE SEGURIDAD <ul><li>¿QUE?: estudio y análisis de sistemas para identificar vulnerabilidades en equipos, redes, servidores.
    24. 24. ¿QUIEN?: Servicios externos o nosotros.
    25. 25. ¿COMO?: usando software diseñado para ello. Conceptos de seguridad.
    26. 26. ¿POR QUE?: Indicios de sospecha, mayor grado de exposición, sin personal cualificado, cuantificar nivel de riesgo... </li></ul>
    27. 27. METODOLOGÍAS <ul><li>OSSTMM (Open Source Security Testing Methodology Manual)
    28. 28. COBIT ( ISACA )
    29. 29. ISO17799 ( OIS )
    30. 30. NIST 800 42/48 (Departamento de comercio de EEUU)
    31. 31. SSE-CMM (NSA / ISSEA)
    32. 32. ... </li></ul>
    33. 33. HERRAMIENTAS Y PRÁCTICA
    34. 34. Nmap http://nmap.org <ul>Descubre el perímetro de tu red </ul>
    35. 35. Nmap <ul><li>12 años desde su inicio
    36. 36. Análisis de red
    37. 37. Multiplataforma
    38. 38. Interface de usuario
    39. 39. Arma de doble filo (reconocimiento / ¿despues?)
    40. 40. Dpto sistemas (virus, versiones) </li></ul>
    41. 41. NMAP (práctico) <ul>El apretón de manos ( Three-way handsake) Establecimiento de conexión TCP </ul>
    42. 42. WIRESHARK http://www.wireshark.org <ul>EL analizador de protocolos de RED. </ul>
    43. 43. Wireshark <ul><li>11 años Open Source
    44. 44. Multiplataforma
    45. 45. Analizador de protocolos (sniffer)
    46. 46. Diversos usos (seguridad, problemas, desarrollo..)
    47. 47. Versión de pago (ISPs, grandes instituciones..) </li></ul>
    48. 48. WIRESHARK (práctico) <ul>Negociación TCP/IP de 3 pasos ¿Login con HTTP o con HTTPS? </ul>
    49. 49. EXTENSIONES FIREFOX https://addons.mozilla.org/es-ES/firefox <ul>Seguridad y optimización web de serie con el navegador </ul>
    50. 50. EXTENSIONES FIREFOX <ul><li>Personalización
    51. 51. Ajenos a Firefox
    52. 52. 176.357.626 en uso
    53. 53. 1.666.101.045 descargados
    54. 54. LiveHTTPheaders
    55. 55. Yslow
    56. 56. Firebug </li></ul>
    57. 57. PLUGINS FIREFOX (Práctico) <ul>LiveHTTPheaders (¡servidor, topología...?) ¿Qué puedes mejorar en tu web? </ul>
    58. 58. RKHUNTER / LYNIS http://sourceforge.net/projects/rkhunter/ <ul>¿Estas solo en tu equipo o servidor? <ul><ul><ul><ul><ul><li>copyright by Michal Zalewski </li></ul></ul></ul></ul></ul></ul>
    59. 59. RKHUNTER / LYNIS <ul><ul><li>Rkhunter </li><ul><li>Scanner de rootkits
    60. 60. Sistemas basados en Unix
    61. 61. Archivos ocultos, MD5
    62. 62. Archivos usados por rootkits </li></ul><li>Lynis </li><ul><li>Audita sistemas Linux
    63. 63. Seguridad, sistemas
    64. 64. Servicios, firewall, accounting, ssh, snmp... </li></ul></ul></ul>
    65. 65. RKHUNTER / LYNIS (práctico) <ul>ANTIROOTKIT AUDITA SISTEMAS UNIX </ul>
    66. 66. RATPROXY http://code.google.com/p/ratproxy/ <ul>Seguridad en la WEB 2.0 </ul>
    67. 67. RATPROXY <ul><li>Seguridad aplicaciones web
    68. 68. Pasiva
    69. 69. Seguro (auditar sistemas producción)
    70. 70. Proceso sencillo
    71. 71. Complementar con otros métodos. </li></ul>
    72. 72. RATPROXY (práctico) <ul>Informe de deficiencias de seguridad de una aplicación web (¿aplicación?) </ul>
    73. 73. WEPAWET http://wepawet.cs.ucsb.edu/ <ul>A cualquiera le puede tocar </ul>
    74. 74. WEPAWET <ul><li>Universidad de California
    75. 75. Detección de malware basado en web
    76. 76. Flash y javascript
    77. 77. Análisis de página web (maliciosa / no maliciosa)
    78. 78. Drive-by Downloads
    79. 79. Black HAT SEOs (búsqueda manual)
    80. 80. site:sitio.es [palabra spam] </li></ul>
    81. 81. LIVECDs <ul>TODO EN 1 </ul>
    82. 82. LIVECDs <ul><li>Distribuciones Live
    83. 83. Medios extraibles (CD, DVD, USB..)
    84. 84. Opción de instalar o no.
    85. 85. Facilidad para probar un S.O GNU/Linux
    86. 86. Temáticas (educación, música, robótica, juegos...) </li></ul>
    87. 87. LIVECDs (práctico) <ul>BACKTRACK 4 (pre release) </ul>
    88. 88. RESUMEN <ul>HERRAMIENTAS VISTAS <ul>ATAQUES DE RED TRADICIONALES <li>NMAP
    89. 89. WIRESHARK
    90. 90. RKHUNTER / LYNIS
    91. 91. CAMBIO DE PARADIGMA (WEB = CIBERCRIMEN)
    92. 92. PLUGINS FIREFOX
    93. 93. RATPROXY
    94. 94. WEPAWET
    95. 95. MALTEGO (desde liveCD) </li></ul></ul>
    96. 96. El mayor enemigo de la seguridad es... <ul><li>VIRUS?
    97. 97. GUSANOS?
    98. 98. TROYANOS?
    99. 99. ROOTKITS?
    100. 100. XSS
    101. 101. CSRF
    102. 102. RFI
    103. 103. ... </li></ul>
    104. 104. ...NUESTROS ERRORES
    105. 105. Recursos <ul><li>Auditoría wireless con backtrack http://www.sans.org/reading_room/whitepapers/auditing/2038.php
    106. 106. Realiza tu propia auditoría web http://www.sans.edu/resources/securitylab/audit_web_apps.php
    107. 107. 40 extensiones de auditoría y seguridad para Firefox http://www.security-database.com/toolswatch/FireCAT-Firefox-Catalog-of.html
    108. 108. SysInternals (utilidades Windows) http://technet.microsoft.com/es-es/sysinternals/default.aspx
    109. 109. Understanding IT perimeter security http://www.redbooks.ibm.com/abstracts/redp4397.html
    110. 110. OSSTMM – Open Source Security Testing Methodology Manual http://www.isecom.org/osstmm/
    111. 111. Mini-guía de Seguridad de la Información para PYMES http://www.csrc.nist.gov/publications/nistir/ir7621/nistir-7621.pdf </li></ul>
    112. 112. Recursos II <ul><li>Auditorías con metodología abierta (OSSTMM) http://www.kriptopolis.org/docs/auditoria.pdf
    113. 113. Distribuciones LiveCD de seguridad http://www.securitydistro.com
    114. 114. Listado de LiveCDs temáticos http://www.livecdlist.com/
    115. 115. La ética del hacker y el espíritu de la era de la información http://es.wikipedia.org/wiki/%C3%89tica_hacker
    116. 116. Formación y certificación en tecnologías libres http://www.morfeo-formacion.org/ </li></ul>
    117. 117. ¡¡¡GRACIAS!!! <ul>¿PREGUNTAS? Emilio Casbas [email_address] </ul>

    ×