Presentación Herramientas de análisis de vulnerabilidades

1. Alejandro Otegui García
19/09/2017
HERRAMIENTAS DE
ANÁLISIS DE
VULNERABILIDADES

2. ¿Qué es una VULNERABILIDAD?

3. Una vulnerabilidad es una debilidad del sistema informático que puede ser
utilizada para causar un daño.
Las debilidades pueden aparecer en cualquiera de los elementos de una
computadore, tanto en el hardware, en el software, como en el Sistema Operativo.

4. Podemos diferenciar tres tipos de vulnerabilidades según cómo afectan a
nuestra sistema:
1. Vulnerabilidades ya conocidas sobre aplicaciones instaladas. Las
empresas que desarrollan el programa al que afecta tienen conocimiento,
y para las cuales ya existe una solución.
2. Vulnerabilidades conocidas sobre aplicaciones no instaladas. También
son conocidas por las empresas desarrolladoras de la aplicación, pero
como nosotros no tenemos dicha aplicación instalada no tendremos que
actuar.
3. Vulnerabilidades aún no conocidas. Aún no han sido detectadas por la
empresa que desarrolla el programa, por lo que si otra persona ajena a
dicha empresa detectara alguna, podría utilizarla contra todos los equipos
que tienen instalado este programa.

5. TIPO DEFINICIÓN
CRÍTICA
Permite la propagación de un gusano de Internet
sin la acción del usuario.
IMPORTANTE
Pone en peligro la confidencialidad, integridad o
disponibilidad de los datos de los usuarios, bien,
la integridad o disponibilidad de los recursos de
procesamiento.
MODERADA
El impacto se puede reducir en gran medida a
partir de factores como configuraciones
predeterminadas, auditorías...
BAJA
Muy difícil de aprovechar o cuyo impacto es
mínimo.
Clasificación de las vulnerabilidades en función de su gravedad:

6. Principales ataques que puede sufrir un sistema si se aprovechan sus
vulnerabilidades:
ATAQUE DEFINICIÓN
INTERRUPCIÓN
Un recurso del sistema o la red deja de
estar disponible debido a un ataque.
INTERCEPCIÓN
Un intruso accede a la información de
nuestro equipo o a la que enviamos por la
red.
MODIFICACIÓN
La información ha sido modificada sin
autorización, por lo que ya no es válida.
FABRICACIÓN
Se crea un producto (por ejemplo una
página web) difícil de distinguir del
auténtico y que puede utilizarse para
hacerse, por ejemplo, con información
confidencial del usuario.

7. Análisis de
VULNERABILIDAD

8. El objetivo del análisis de vulnerabilidades consiste en el descubrimiento,
identificación y clasificación de vulnerabilidades y/o debilidades presentes en
los diferentes equipos, servidores, servicios, sistemas, etc... de la organización.
Es de suma importancia realizar este tipo de análisis en la red de las empresas
para estar en constante actualización de los diferentes equipos o sistemas y
con ello poder llegar a prevenir incidentes de seguridad.

9. Beneficios
● Obtiene un inventario exacto de los activos de la infraestructura.
● Ofrece un punto inicial en materia de seguridad y cómo tomar iniciativas
para fortalecerlas en el tiempo.
● Recomendaciones para reducir las vulnerabilidades de los sistemas que
protegen la información y activos de la organización.
● Cumplimiento de leyes y regulaciones (ISO 27002).
● Identifica lagunas en la infraestructura tecnológica.

10. ¿Por qué hacer un análisis de vulnerabilidades?
● Evaluación de riesgos.
● Auditoría de red.
● Proporciona orientación para los controles de seguridad.
● Validación de cumplimiento.
● Monitoreo continuo.
El análisis de vulnerabilidades consiste en la identificación de vulnerabilidades
en los diferentes equipos, servidores, servicios, aplicativos, etc...; con la finalidad
de mostrar que dispositivos requieren de una intervención para mitigar dichas
debilidades de seguridad.

11. Herramientas de análisis de
VULNERABILIDAD

12. Nmap
Nmap: the Network Mapper - Free Security Scanner
Ayuda en la seguridad tanto de redes como de sistemas informáticos.
Busca puertos abiertos, servicios en ejecución, posibles vulnerabilidades e
incluso analizar rangos de direcciones IP para ver que encontramos en ellas.
Gran cantidad de información sobre el host, como su sistema operativo, el
tiempo que lleva encendido y mucho más.
Videotutorial - Uso de NMAP para scaneado de puertos

13. Wireshark
Wireshark · Go Deep
Realiza un escaneo mucho más profundo de la red, a nivel de los paquetes
que viajan por ella.
Analiza y audita con el máximo detalle nuestra red local, tanto encontrar
vulnerabilidades como posibles problemas de red.
[Tutorial] Como usar Wireshark

14. Metasploit Penetration Testing Software
Metasploit: Penetration Testing Software
Comprueba si nuestro sistema está totalmente actualizado y correctamente
protegido frente a vulnerabilidades.

15. OWASP Zed
OWASP Zed Attack Proxy Project - OWASP
Encuentra vulnerabilidades en aplicaciones web.
Escáner automático que nos va a permitir comprobar si existen posibles
vulnerabilidades en nuestras plataformas web que puedan servir de puerta
de entrada a piratas informáticos.

16. John The Ripper
John the Ripper password cracker - Openwall
Audita la seguridad de nuestras contraseñas.
Rompe contraseñas mediante ataques tanto de fuerza bruta como basados
en diccionarios.
Tutorial John Ripper en Windows7

17. THC Hydra
THC Hydra – SecTools Top Network Security Tools
Busca acceso remoto a sistemas a través de protocolos de red..
Hydra Tutorial

18. Aircrack-ng
Aircrack-ng
Lanza una serie de ataques contra la red Wi-Fi de manera que podamos
comprobar si la configuración de seguridad de la misma y su contraseña son
correctas o, de lo contrario, pueden estar expuestas y algún vecino pueda
estar robando nuestro Wi-Fi.
Permite crackear tanto redes Wi-Fi WEP como WPA/WPA2.
Tutorial Aircrack-ng

19. Fuentes de información utilizadas
● Amenazas y fraudes en los sistemas de la información
● ¿Qué es un Análisis de Vulnerabilidades Informáticas?
● Las mejores herramientas de Hacking para este 2017
● Top 10 de las herramientas más populares para crackear contraseñas
● Herramientas online para comprobar la seguridad de tu página web

20. GRACIAS POR VUESTRA ATENCIÓN
NOS VEMOS EN PRÓXIMAS ACTIVIDADES