SENCICO 2005Penetration Testing / Ethical HackingAlonso Eduardo Caballero Quezadahttp://alonsocaballero.informatizate.netr...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005El “hacking” en la Actualidad* No se tiene un cabal cono...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005El “hacking”en la ActualidadDatos de CERT: http://www.ce...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005El “hacking”en la ActualidadDatos de CSI: http://www.goc...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Conociendo al “Hacker”* No se debe de guiar por estereot...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Conociendo al “Hacker”* “Hackers” de Primer Grado; Habil...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Conociendo al Consultor en Seguridad* Penetration testin...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Conociendo al Consultor en Seguridad* Consultor “FreeLan...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Conociendo al Consultor en Seguridad* ¿Anunciado o No An...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005¿Donde se localizan los “agujeros”?* Errores de configur...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005¿Donde se localizan los “agujeros”?The Twenty Most Criti...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005¿Donde se localizan los “agujeros”?The Twenty Most Criti...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration” desde internet* Enumeración de la Red; Des...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration”desde internet- Transferencia de Zona;- Cen...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration”desde internet- Barridos de PING- El host p...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration”desde internet* Analisis de Vulnerabilidade...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration”desde internet- Enumeración de Aplicaciones...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration” desde dentro.* Las organizaciones se conce...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration”desde dentro.* Escenarios: Auditor Maligno,...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Ingeniería Social* Permite “pasar” los mecanismos de seg...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Métodos para *NIX* Servicios; Estrategia es explotar los...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Métodos para *NIX* Aplicaciones; Servidores de Correo,Se...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005El Kit de herramientas* Hardware;- Maquina de escritorio...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“scanners” de Vulnerabilidades* “scanners” Basados en Re...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“scanners”de Vulnerabilidades* “scanners” Basados en Red...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“scanners”de Vulnerabilidades* “scanners” Basados en Red...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Herramientas de “Hallazgo”* Network Management Software ...
Alonso Eduardo Caballero Quezada / Penetration TestingISENCICO 2005“scanners” de Puertos* nmap - http://www.insecure.org/n...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Sniffers* dsniff - http://www.monkey.org/~dugsong/dsniff...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Romper” Contraseñas* John The Ripper - http://www.openw...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Herramientas para Windows.* net; utiliza NetBIOS para ma...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Herramientas para “Web-testing”* Nikto - http://www.cirt...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Control Remoto* RealVNC - http://www.realvnc.comVirtual ...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005IDS - Intrusion Detection Systems* Un IDS se desarrolla ...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005IDS - Intrusion Detection Systems* Evadir el IDS;- Sea P...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005IDS - Intrusion Detection Systems* SNORT - http://www.sn...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Firewalls - Cortafuegos* Monitorea el trafico de la red ...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Firewalls - Cortafuegos* El firewall debe ser el sistema...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Firewalls - Cortafuegos* IPTables - http://www.netfilter...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005DoS - Ataques “Denial of Service”* Resource Exhaustion A...
Alonso Eduardo Caballero Quezada / Seguridad & Penetration TestingSENCICO 2005Tendencias a Futuro (Presente)* Pishing; Env...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Estandares* ISO 17799 - http://www.iso17799software.comS...
Muchas Gracias...Alonso Eduardo Caballero Quezadahttp://alonsocaballero.informatizate.netreydes@gmail.comOctubre 5, 2005Tr...
Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005
Upcoming SlideShare
Loading in …5
×

Penetration Testing / Ethical Hacking

767 views
684 views

Published on

Published in: Technology
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total views
767
On SlideShare
0
From Embeds
0
Number of Embeds
1
Actions
Shares
0
Downloads
47
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Penetration Testing / Ethical Hacking

  1. 1. SENCICO 2005Penetration Testing / Ethical HackingAlonso Eduardo Caballero Quezadahttp://alonsocaballero.informatizate.netreydes@gmail.comOctubre 5, 2005Trujillo - Perú
  2. 2. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005El “hacking” en la Actualidad* No se tiene un cabal conocimiento de la amenaza* Dos grandes problemas:- Las amenazas en seguridad de computadoras no es un riesgosuficiente para justificar fondos de medidas proactivas.- Inadecuado conocimiento de la complejidad de lo queseguridad de computadoras realmente es y cuales son losrecursos adecuados para defenderse.http://www.zone-h.org - http://www.sans.org/top20/
  3. 3. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005El “hacking”en la ActualidadDatos de CERT: http://www.cert.org - Reporte Anual 2003542754 mensajes y más de 934 llamadas reportando incidentesde seguridad o solicitando información.3784 Reportes de vulnerabilidades y manejado 137529incidentes en seguridad de computadoras.http://www.cert.org/stats/
  4. 4. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005El “hacking”en la ActualidadDatos de CSI: http://www.gocsi.com/ -CSI/FBI SurveyComputer Security Institutehttp://www.gocsi.com/forms/fbi/csi_fbi_survey.jhtml - FBI2004.pdf
  5. 5. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Conociendo al “Hacker”* No se debe de guiar por estereotipos.* La sociedad da al “Hacker” una connotación negativa.* Categorizar a los “hackers” de la tecnología es complicado,dadas sus refinadas especializaciones;- S.Os particulares GNU/Linux, Windows, etc..- Aplicaciones individuales; servidores web, firewalls, etc..- Tipos particulares de ataques; DoS, Web Hacks* Pocos se especializan en mas de un tópico, pero solo unselecto grupo se especializa en todos.
  6. 6. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Conociendo al “Hacker”* “Hackers” de Primer Grado; Habilidad para encontrarvulnerabildiades y crear código para explotarlas, Ampliosconocimientos del modelo OSI, pila TCP, Programar es unapasión. Trabajan independientemente o una red de grupos de“hack”.* “Hackers” de Segundo Grado; Nivel equivalente a unadministrador de sistemas, Experimentación de S.Os,entendimiento de TCP/IP, La mayoría de consultores cae en ésterango.* “Hackers” de Tercer Grado; Denominados scriptkiddies,“hackean” por hobby, y buscan notoriedad, Son fáciles deidentificar y atrapar, No necesariamente se relacionan con lainformática.
  7. 7. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Conociendo al Consultor en Seguridad* Penetration testing;- Pueden tener serias consecuencias si no son realizadasadecuadamente.- Potenciales problemas legales. Se debe llegar a un acuerdoantes de que los “tests” se inicien.- El “tester” debe tener un “salvoconducto” y un acuerdofirmado con la empresa, autorizandolo para “ingresar” a laorganización.- Fase inicial involucra identificación de software y hardware,si se “tercerizan” servicios, obtener los permisos pertinentes.
  8. 8. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Conociendo al Consultor en Seguridad* Consultor “FreeLance”- Habilidades; Mayores a un Administrador de Sistemas- Conocimientos; Familiaridad Tecnológica, Funcionamiento,S.Os, TCP/IP Networking. Programación.- Herramientas; & scripts para trabajar sobre diferentes S.Os- Hardware; Maquina Potente, LapTop, Maquina Virtual.- Historial; Documentar procedimientos del PT. Informacióndel cliente es confidencial.- Etica; El cliente debe sentir seguridad y confiabilidad. Laverdad debe ser protegida.
  9. 9. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Conociendo al Consultor en Seguridad* ¿Anunciado o No Anunciado?- Anunciado; Cooperación y conocimiento del staff IT.No Anunciado; Infraestructura de Seguridad y responsables.- Pros; (AT) permiten comprobar los controles de seguridad.Apoyo del IT permite Concentrarse en los puntos mas criticos.(UT) requiere acercamiento más sutil, identificar ycomprometer, bajo vigilancia. “test” más valioso.Contras; (AT) permite cerrar “agujeros” rapidamente,cambios temporales, añadir más seguridad. falsa sensación deseguridad. (UT) desconocimiento bloquea el “test”, reportarautoridades. “upgrades”, tiempo offline.- Documentar el “compromiso”.
  10. 10. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005¿Donde se localizan los “agujeros”?* Errores de configuración o “pobre” programación.* Deben ser identificados;- Cerrar los “agujeros” y aprender a mitigiar el riesgo.- Algunos “agujeros” son faciles de identificar y explotar.* Irrumpir en los sistemas es relativamente facil.* “Ventana de oportunidad” / Publicación del “Parche”.* Errores de configuración crean un riesgo. Serviciosinnecesarios.* Mantener un sistema actualizado significa un 80% a 90% de“agujeros” cerrados.* Las vulnerabilidades permiten un ataque directo, u obtenerinformación para el ataque.
  11. 11. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005¿Donde se localizan los “agujeros”?The Twenty Most Critical Internet Security Vulnerabilitieshttp://www.sans.org/top20/ - Version 5.0 October 8, 2004Vulnerabilidades para Sistemas Windows (Top 10)* Web Servers & services* Workstations services* Windows Remote Access Services* Microsoft SQL Server (MsSQL)* Windows Authentification* Web Browsers* File Sharing Applications* LSAS Exposures* Mail client* Instant Messaging
  12. 12. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005¿Donde se localizan los “agujeros”?The Twenty Most Critical Internet Security Vulnerabilitieshttp://www.sans.org/top20/ - Version 5.0 October 8, 2004Vulnerabilidades para Sistemas UNIX (Top 10)* BIND Domain Name System* Web Server* Authentication* Version Control Systems* Mail Transport Service* Simple Network Management Protocol (SNMP)* Open Source Socket Layer (SLL)* Misconfiguration of Enterprise Services NIS/NFS* DataBases* Kernel
  13. 13. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration” desde internet* Enumeración de la Red; Descubrir tanto como sea posible delobjetivo.Internic - http://www.internic.net/whois.htmlNIC Perú - http://www.nic.pe/registros-existentes.htm
  14. 14. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration”desde internet- Transferencia de Zona;- CentralOps.net;http://centralops.net/co/- Comandos; nslookup,dig, host.
  15. 15. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration”desde internet- Barridos de PING- El host puede estar apagado- El Tráfico ICMP esta siendo filtrado.- O la petición de PING no alcanza suobjetivo.- TracerRoute- Trazar ruta hacia los hosts objetivos- Identificación de gateways, routers,firewalls, dispositivos de balanceode carga.Domain Dossier - http://tatumweb.com/iptools.htm
  16. 16. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration”desde internet* Analisis de Vulnerabilidades;- Identificación del S.O: RFC respuestas de la Pila TCP, predecirdetección mediante servicios disponibles. El posible manipular la“firma” del SO.Request For Comments -http://www.rfc-editor.org/namp - http://www.insecure.org/nmap/- “Escaneo” de Puertos: Diferentes tipos de “scan”; herramientanmap por excelencia; Hay que tener cuidado para evitar ladetección del proceso. Puertos TCP, UDP, etc. SYN stealth,connect, Null scan, etc.xprobe2 - http://www.sys-security.com/
  17. 17. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration”desde internet- Enumeración de Aplicaciones; resultado del “escaneo” tenemosuna lista de puertos en las maquinas objetivo. Es necesarioconocer que aplicaciones están a la escucha en dichos puertos.RCF 1700 – Assigned Numbers http://www.faqs.org/rfcs/rfc1700.html- nmap Parámetro “sV”- THC-AMAPhttp://thc.org/thc-amap/- Investigación en internet; consultar Bds de vulnerabilidades,documentar y proceder a “explotarlas”.
  18. 18. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration” desde dentro.* Las organizaciones se concentran en las amenazas externas, ono ponen énfasis en las amenazas internas.* Las estadísticas muestran que una gran cantidad de ataquesprovienen del interior.* Los usuarios han pasado los controles físicos.* “Penetration Testing” interno, ayuda a identificar los recursosque son internamente vulnerables, y asiste al Administrador parasolucionarlos.* PT interno es similar al externo, con ligeras variaciones en lametodología.
  19. 19. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Penetration”desde dentro.* Escenarios: Auditor Maligno, Empleado descontento,deshonesto* Descubrir la Red: Mapeo, identificación, exploits.* Sistemas Windows: Dominios, servidores, recursos de Red.* Sistemas *NIX: Servicios, versiones, BOF.* Buscando exploits: Fiabilidad de exploits.* Sniffing: Capturar tráfico que viaja en nuestro segmento de red.* Instalando un “toolkit” de “hackers”: Escalar privilegios.* “Escaneo” de Vulnerabilidades: Internamente.
  20. 20. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Ingeniería Social* Permite “pasar” los mecanismos de seguridad de la red, sinnecesidad de un script o herramienta de “hack”.- El teléfono; Comúnmente, fingir como un miembro de soportetécnico, o un usuario contrario solicitando cambio de contraseña.- Información de escritorio; Notas pegadas en el monitor, sinprotector de pantalla & clave.- Contra medidas; Identificación Plena, no revelación deinformación sensible por medios inseguros, destrucciónadecuada de la “basura.”The Art of Deception - Kevin Mitnick
  21. 21. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Métodos para *NIX* Servicios; Estrategia es explotar losservicios disponibles, servicios inetd,servicios remotos, RPC.* Buffer overflow; Remotos o Locales.Cambian el flujo de la ejecución yejecutar código del atacante* Permisos de Archivos; SUID / SGID, Muchos exploits sonescritos para tomar ventaja de ellos.Security.Nnov - http://www.security.nnov.ru/
  22. 22. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Métodos para *NIX* Aplicaciones; Servidores de Correo,Servidores Web, Xwindow,Servidores DNS* Desconfiguraciones; servicios innecesarios activados, archivosCoreDump, archivos de logs. SUID/SGID, permisos erroneos.* Herramientas *nix; redireccionadores TCP, fpipe, tcpr,tcpredirector (gui), Mapeo de Red, CHEOPS, etherape; Acceso arecursos SMB smbclient.cheops - http://www.marko.net/cheops/etherape - http://etherape.sourceforge.net/
  23. 23. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005El Kit de herramientas* Hardware;- Maquina de escritorio o Laptop.- No indicado para almacenar datos críticos.- Alto requerimientos de Procesamiento y Memoria.* Software;- Distribución GNU/Linux y algún Windows.- El S.O tiene que ser configurable, flexible y permitir el uso delas herramientas requeridas.- La mayoria de herramientas de la comunidad “blackhat” sondesarrolladas para GNU/Linux.* Maquinas virtuales;
  24. 24. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“scanners” de Vulnerabilidades* “scanners” Basados en Red y en “Host”.- “NBS”, Intentan hallar las vulnerabilidades desde fuera.- “HBS”, Intentan hallar las vulnerabilidades desde dentro.- Son complementarios, es efecto su utilización cuando se“testean” sistemas críticos.* Herramientas;- ¿Cual es el mejor “escaner”?- Depende del S.O- Su Velocidad.- Depende de la utilización, y de las características que senecesitan.
  25. 25. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“scanners”de Vulnerabilidades* “scanners” Basados en Red.- Metasploit - http://www.metasploit.comPlataforma OpenSource para desarrollar, “testear” y usar códigode “exploit”.- Nessus - http://www.nessus.org/Proporciona un “scanner” Remoto de Vulnerabilidades, libre,poderoso, actualizable y fácil de utilizar.- Core Impact - http://www.coresecurity.comPrimer Producto automatizado de “penetration testing”, paradeterminar las amenezas específicas en una organización.
  26. 26. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“scanners”de Vulnerabilidades* “scanners” Basados en Red.- Immnutity CANVAS - http://www.immunitysec.com/Software que permite probar a laorganización, permitiendo descubrir cuanvulnerable se esta realmente.* “scanners” Basados en Host.- System Scanner - http://www.iss.netManejador de Vulnerabilidades Basado en Host. Determinandola seguridad, monitoreando, detectando y reportando la actividad.- Bastille - http://www.bastille-linux.org/Permite Fortalecer los sistemas como una parte vital deseguridad.
  27. 27. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Herramientas de “Hallazgo”* Network Management Software - http://www.solarwinds.net/ToolSets; Análisis / Diagnóstico.* SamsSpade - http://www.samspade.org/ssw/consultas abus.net / “Listas Negras” / Analisis de Cabeceras, etc.* HPING2 - http://www.hping.org/PING con esteroides. Crear paquetes IP conteniendo TCP, UDP oICMP, modificación y control de cabeceras.* VisualRoute - http://www.visualroute.com/Permite determinar problemas de conectividad debido al ISP,internet, resaltando puntos de red donde el problema reside.* nmap - http://www.insecure.org/nmap/Mapeador de Redes OpenSource, permite explorar la red o auditarla seguridad.
  28. 28. Alonso Eduardo Caballero Quezada / Penetration TestingISENCICO 2005“scanners” de Puertos* nmap - http://www.insecure.org/nmap/El mas avanzado scanner de puertos de la industria. Funcionabajo GNU/Linux y es Portable. Soporta docenas de ténicasavanzadas, Puede “escanear” cientos/miles de maquinas, Fácil deusar, “Scans” ocultos, especificar puertosorigen. Sus reportes son confiables,buena documentación de uso.Y es “libre”* SuperScan - http://www.foundstone.com/Windows 9X/2000. Rápido y configurable, pero no realiza“scans” ocultos, o algun tipo de “scaneo” más avanzado.
  29. 29. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Sniffers* dsniff - http://www.monkey.org/~dugsong/dsniff/Excelente para “interceptar” claves en una red, e-mails y tráficoHTTP.* ethereal - http://www.ethereal.com/Un analizador de tráfico de red. Utilizado por profesionales paralocalizar averias, analisis, y desarrollo de software y protocolos.Anilisis Multiplataforma.* Iris Network Traffic -http://www.eeye.com/html/products/iris/index.htmlIntegra capacidades de filtrado, decodificación y reconstrucciónde datos a su formato origen.
  30. 30. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005“Romper” Contraseñas* John The Ripper - http://www.openwall.com/john/DES, MD5, Blowfish, Kerberos /AFS, hash ML (basado DES)Adicionalmente, NTLM (basado MD4), hashes MySQL,Netscape LDAP, eggdrop, etc.* LC - http://www.atstake.com/products/lc/Utiliza “Tabla de contraseñas Pre-Computadas”, reduciendo eltiempo de recuperación de contraseñas. Indicado para entornosWIndows.* Password Recovery Software - http://www.elcomsoft.com/prs.htmlMS Office; Archivos comprimidos, zip, rar, etc; WordPerfect,Clientes de correo, The Bat, Eudora, etc; messenger, ICQ, etc...
  31. 31. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Herramientas para Windows.* net; utiliza NetBIOS para mapear y establecer conecciones arecursos compartidos.* nbtstat; Obtiene la tabla de nombre del servidor objetivo.* NT Resource Kit Utilities; Conjunto de herramientas desoftware para administradores, desarrolladores, y usuarios quepermite manejar, Active Directory, Politicas de Grupo, RedesTCP/IP, Registro, Seguridad, etc.* NetBIOS Audit Tool; Herramienta automatizada para ataquepor fuerza bruta.* netcat, fpipe, fport, etc. Free Tools - http://www.foundstone.com/
  32. 32. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Herramientas para “Web-testing”* Nikto - http://www.cirt.net/code/nikto.shtml“scanner” de servidores web, Open Source realizacompletos “test” en servidores web, buscando masde 3200 vulnerabilidades.* WebInspect - http://www.spidynamics.com/Identifica vulnerabilidades conocidas y desconocidas dentro de lacapa de aplicación web.* N-Stealth Security Scanner - http://www.nstalker.com/Incluye una base de Datos de 30000 vulnerabilidades y exploits.* THC-hydra - http://thc.org/thc-hydra/Obtener “logins” validos, HTTP Auth, POP3, FTP, etc.
  33. 33. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Control Remoto* RealVNC - http://www.realvnc.comVirtual Network Computing; Software de ControlRemoto que permite ver e interactuar con una computadora“Servidor” utilizando un simple programa “Cliente” en otracomputadora.* BO2K - http://www.bo2k.com/Poderosa herramienta de administración de redes disponiblepara entornos Microsoft. Algunas características, atrapador deteclado, edición de registro, transferencia de archivos,redirección de conecciones TCP/IP, acceso a programas deconsola, reboot remoto, etc..
  34. 34. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005IDS - Intrusion Detection Systems* Un IDS se desarrolla con sensores dispersos en la red, loscuales reportan alertas a un control central.* Vigila el tráfico de red en busca de “firmas” o “patrones”,cuando son localizadas, alertas son notificadas, e-mail, sms, etc.* Basado en “Host” y Basado en Red;- NBIDS; vigila el tráfico de la red, DoS, “escaneo” dePuertos,etc.- HIDS; Vigila y protege un solo “host”, busca evidencia deactividad inusual sobre o contra el “host”. Intentos de “login”,acceso a archivos, etc.
  35. 35. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005IDS - Intrusion Detection Systems* Evadir el IDS;- Sea Paciente; Periodos de tiempo.- Este Quieto; Limitar el tráfico contra el objetivo.- Hagalo manualmente;- Usar Direcciones IP múltiples o no rastreables.- Usar Fragmentación IP. Firmas son rotas en múltiplespaquetes.+ “Escaneo” de Puerto Oculto.+ Técnicas Agresivas;
  36. 36. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005IDS - Intrusion Detection Systems* SNORT - http://www.snort.org/Reconocido como el estándar de facto para detección deintrusiones y prevención. Poder, precisión y fiabilidad aunado aun robusto lenguaje de reglas permite una cobertura mas ampliaa las amenazas en organizaciones.* RealSecurre Network - http://www.iss.net/Capacidades de Respuesta, vigila segmentos de redes 10/100Mbps con un “framework” centralizado de operaciones ymantenimiento.
  37. 37. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Firewalls - Cortafuegos* Monitorea el trafico de la red y permite o impide el tráficobasado en un conjunto de reglas.* Se ubican generalmente en el perímetro de la organización,protegiendola de la internet, o segmentos de red menosseguras.* Errado concepto de que es la única solución para proteger lasredes.* Deben ser configurados adecuadamente y con un conjunto dereglas constantemente actualizado ante nuevas vulnerabilidades,y detectar actividad sospechosa.* El “monitoreo” puede ser activo o pasivo. (similiar a los IDS)
  38. 38. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Firewalls - Cortafuegos* El firewall debe ser el sistema de identificación temprana.* Debe ser configurado para “registrar” toda la actividad yproporcionar alertas, vía e-mail, sms, etc..* Bloquear todo, y permitir lo necesario. Política por defecto.* Tipos:- Filtrado de Paquetes; Direcciones IP, Puertos O/D, ACL.- Inspección de Estado; “busca” dentro del paquete. + Seguridad- Basados en Proxy; + Seguro, pero no ofrece la mismaperformance; no hay conección directa, el proxy la realiza.
  39. 39. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Firewalls - Cortafuegos* IPTables - http://www.netfilter.org/FrameWork que permite filtrado de paquetes, NAT, etc. Tablaestructurada para la definición de conjuntos de reglas.* Firewall-1 - http://www.checkpoint.com/Integra tecnología inteligente de inspección, para protección dered y capa de aplicación.* Firewalls “Físicos”Juniper Networks Firewall / Cisco PIX Security Appliance Series
  40. 40. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005DoS - Ataques “Denial of Service”* Resource Exhaustion Attacks; ocupar tanto como sea posiblelos recursos disponibles de un servicio, aplicación o S.O. Paraque no este disponible y pueda procesar mas datos.* Port Flooding; Agotar disponibilidad del objetivo paraestablecer conecciones en un puerto.* SYN Flooding; Envío de múltiples mensajes TCP SYN sinintención de responder con un ACK.* IP Fragmention Attacks; Creación de paquete de gran tamañoy enviarlo en fragmentos que al ser “ensamblados” es muygrande para manejarlo (servidor o aplicación), causando una“caida”.* DDoS.
  41. 41. Alonso Eduardo Caballero Quezada / Seguridad & Penetration TestingSENCICO 2005Tendencias a Futuro (Presente)* Pishing; Envío de mensajes electrónicas fraudulentos.* SPAM; Correo electrónico NO Solicitado.* DDoS; Ataque a una computadora o Redes, perdiendoconectividad de red y servicios.* Buffer OverFlow;* Spyware; Software Malicioso, que intercepta o toma controlparcial sin el consentimiento del usuario; Kazaa, Gator,flashget, etc..* Worms / virus; Sasser, MyDoom, Blaster, etc..* etc., etc., etc..
  42. 42. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005Estandares* ISO 17799 - http://www.iso17799software.comSistema de Controles que abarca las mejores Prácticas deSeguridad de La Información. Incluye Un código de Práctica laISO17799 y una especificación para un sistema de manejo deseguridad de la información. BS7799[2]* OSSTMM - Open Source Security Testing MethodologyManual - http://www.isecom.org/osstmm/Metodología para realizar “pruebas” y métricas de Seguridad,dividido en cinco secciones. Se enfoca en los detalles técnicos decuales “items” que necesitan ser probados, que hacer, antes,durante y después del “test” de seguridad, y como medir losresultados.
  43. 43. Muchas Gracias...Alonso Eduardo Caballero Quezadahttp://alonsocaballero.informatizate.netreydes@gmail.comOctubre 5, 2005Trujillo - Perú
  44. 44. Alonso Eduardo Caballero Quezada / Penetration TestingSENCICO 2005

×