Este documento presenta técnicas para realizar pruebas de penetración y prevenir ataques a redes y computadoras. Explica el proceso de pruebas de penetración, que incluye inteligencia, análisis, explotación y cierre. También describe herramientas de software, sistemas operativos especializados y certificaciones relacionadas con las pruebas de penetración. El objetivo es identificar vulnerabilidades antes de que las aprovechen los atacantes reales.
1. Técnicas para impedir ataques en
redes y computadoras.
Presentado por
Jhonny D .Maracay
Bloque programático IV:
Hacia la Ciberseguridad
2. Contenido
• Pruebas de penetración
• Contexto en seguridad informática
• Normas/Certificación
• Herramientas
• Sistemas operativos especializados
• Software para “Pentesting“.
• En la práctica
• Fortificar un sistema
• Mínimo Privilegio Posible
• Mínima superficie de Exposición
• Defensa en profundidad
• En la práctica
2
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
• Asume la brecha
• Red/Blue Team
• En la práctica
• Barridos de red
• Escaneo de puertos
• Huellas digitales del sistema
operativo.
• Secuencias de comandos para
extraer información.
• Herramientas para obtención de
información del sistema destino.
3. Pruebas de penetración
Ciberseguridad, un proceso
con muchos enemigos
1 RTF (https://tools.ietf.org/html/rfc1392) 3
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
Contexto
5. Pruebas de penetración
Desplegar un ataque controlado y
consigue su debilidad
5
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
6. Definición
6
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
Pruebas de penetración
• Según Benchimol, Daniel (2011 Hacking Desde Cero, Capitulo 3, Ethical
Hacking) “método utilizado para evaluar el nivel de seguridad de una
organización, donde quien realiza dicha evaluación simula ser un atacante
real”
• Según Kevin M. Henry (Pruebas de Penetración: Protección de Redes y
Sistemas. Gobierno de TI) “es la simulación de un ataque de un sistema,
red, equipo u otro centro, con el objetivo de demostrar lo vulnerable que
el sistema o blanco sería la de un ataque real”
• Según la OSSTMM (Open Source Security Testing Methodology Manual)
“Es una prueba de seguridad con un objetivo especifico que termina
cuando dicho objetivo se obtiene o se acaba el tiempo disponible”
7. Variantes
7
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
Pruebas de penetración
• Black Box/Caja Negra: El auditor no cuenta con información del
sistema/red que debe analizar
• White Box/Caja Blanca: El auditor tiene acceso a toda la
información (incluyendo datos internos, código fuente,
credenciales con privilegios, etc.) del sistema/red que debe analizar
• Grey Box/Caja Gris: Situación intermedia a las variantes anteriores
(mapa de red, credenciales sin privilegios, etc.)
Las variantes representan la simulación de un ataque real y es por
ello que cada una representa cambios en los tiempos y objetivos
8. ¿Por qué?
8
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
Pruebas de penetración
• Permiten determinar la posibilidad de éxito de un ataque.
• Se pueden identificar las vulnerabilidades de alto riesgo que resultan
de una combinación de vulnerabilidades de menor riesgo explotadas
en una secuencia particular.
• Permite identificar vulnerabilidades que pueden ser difíciles o
imposibles de detectar con una red automatizada o un software de
análisis de vulnerabilidades.
• Comprobar la capacidad de los defensores de la red para detectar con
éxito y responder a los ataques.
9. Metodología
Inteligencia
• Gathering
• Pasivo
• Activo
• Reconocimiento
Análisis
• Enumeración
• Árbol de ataque
Explotación
• Pivoting
• Escalado
• Persistencia
Cierre
• Informe
• Workshops
9
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
Pruebas de penetración
11. 11
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
Inteligencia
Pruebas de penetración
Escaneo de
puertos
Diagrama de red
Grabbing Huellas
Servidores
Dispositivos
Infraestructura
y recursos
Descubrir host
12. Análisis
Enumerar servicios
Identificar y clasificar vulnerabilidades
“Low-hanging fruit” (Elegir vectores de ataque)
Árbol de ataque (Modelado)
12
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
Pruebas de penetración
14. 1. Exploits Públicos:
Son aquellos que están expuestos públicamente, una vez
conocidos las empresas/comunidades pasan a parchear el software
al que ataca dicho exploit.
2. Exploits 0-Day:
El "Zero Day" significa generalmente información no disponible
públicamente. Se define Zero Day como cualquier exploit que no
haya sido mitigado por un parche del vendedor.
Pruebas de penetración
14
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
Explotación
19. • EC-Conuncil 1
• CEH (Çertified Ethical Hacker)
• ECSA (EC-Council Certified Security Analyst)
• Security University 2
• Q/ISP (Qualified Information Security Professional)
• Q/SSE (Qualified Software Security Expert)
• The Offensive Security 3
• OSCP (The Offensive Security Certified Professional)
• IACRB 4
• CPT (Certified Penetration Tester)
• CEPT (Certified Expert Penetration Tester)
19
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
Pruebas de penetración
Certificación
1 https://www.eccouncil.org/programs/certified-ethical-hacker-ceh/
2 http://www.securityuniversity.net/certification.php
3 https://www.offensive-security.com/information-security-certifications/
4 http://www.iacertification.org/cept_certified_expert_penetration_tester.html
20. 1. Kali Linux: Trae preinstalados más de 600 programas
2. Parrot Security OS: Incluye lo que necesita para proteger su
privacidad
3. BackBox: altamente personalizable y con buen rendimiento
4. Samurai Web Testing Framework: máquina virtual preconfigurada
para Pentesting Web
5. Pentoo: basada en Gentoo diseñada para pruebas de penetración
y seguridad
2. https://www.parrotsec.org/download.php
3. https://backbox.org/download
4. http://www.samurai-wtf.org/
5. http://www.pentoo.ch/download/
1. https://www.kali.org/downloads/
20
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
Sistemas operativos especializados
Top 5
21. Software para Pentesting.
• Gathering
• dnsenum: Búsqueda y enumeración del servicio DNS
• nslookup: Resolución de IP por nombre y viceversa
• netcat: Abrir puertos TCP/UDP en un HOST
• snmp-check: Buscar información en los servicios SNMP
• theharvester: Recolección de correos desde motores de búsqueda
• metagoolfil: Recolección y análisis de los metadatos de archivos públicos
• Analisis de Vulnerabilidad
• nmap: Mapeo de puertos y análisis de vulnerabilidades
• nesus: Mapeo de puertos y análisis de vulnerabilidades
• unicornscan: Mapeo de puertos
• Explotación
• websploit: Fuzzing de aplicaciones web
• hydra: Herramienta de ataque de fuerza bruta multipropósito
• metasploit: Despliegue de exploits multipropósito
21
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
22. Pruebas de penetración
22
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
root@servidor~#
Pruebas de concepto
23. 23
Hacia la Ciberseguridad:
Técnicas para impedir ataques en redes y computadoras
PENTESTER
WIFI
PENTESTER
INFORME/
WORKSHOPS
Pruebas de penetración
Despliegue
1
2
3
4
5
3
3
