Hackeando Humanos - Ingeniería Social y OWASP Top 10

15 al 17 de Noviembre 2018.NET Conf UY v2018
Hackeando Humanos
OWASP
Enrique G. Dutra
Punto Net Soluciones SRL
Auditor Lider ISO/IEC 27001 - IRCA
edutra@puntonetsoluciones.com.ar
Tw: @egdutra

Agenda
- Ingeniería Social
- Punto mas débil, el humanOS.
- En que consiste?
- Técnica
- La tecnología lo facilita. Ejemplo
- XSS
- OWASP Top Ten 2017
- Qué es?
- Por que usarlo?
- Herramientas para mejorar nuestro desarrollo.
- Inyección

Ingeniería Social
Hackeando HumanOS

Qué pasa en Internet en 60 Segundos?

Engaño
Inducir a alguien a tener por
cierto aquello que no lo es, dar
a la mentira apariencia de
verdad, producir ilusión.
Aunque se dice que el único ordenador seguro es el que está desenchufado, los amantes de la ingeniería social gustan responder
que siempre se puede convencer a alguien para que lo enchufe.”
Congreso "Access All Areas“ 1997

Christopher Hadnagy
“…Ingeniería Social es el acto de
influir en una persona para que
lleve a cabo una acción que
puede, o no, ser la mejor para
sus intereses…”

Engaño – A tener en cuenta
üDesviar el pensamiento sistemático: Chantaje emocional?
üLograr que la victima asuma un rol: Colabore (“envíame
una foto tuya”, “dame tu pin”, “donde vives”)
üCredibilidad: hacerles creer que es verdadero con
pruebas falsas o no.
üDeseo de ayudar: En la acción parece que hay un
beneficio o motivo de ayuda.
üMiedo.
üNo nos gusta decir que no.

Armando un engaño
Usando técnicas de phishing

Receta de cocina
1) Obtener dato conocido por los HumanOS.
(usuario / contraseña, correo, etc).
2) Armar el ENGAÑO.
3) Extorsionar, logrando un pago en BTC.

1) Obtener dato conocido por los HumanOS
- Mediante una base de datos ROBADA. (falla
de desarrollo, plataforma no actualizada,
versiones viejas de productos, etc)
- Captura de datos por un Wi-Fi (café,
aeropuerto, shopping, etc).

-Mediante una base de datos robada.
https://raidforums.com/

- Mediante un engaño

2) Armar el Engaño
1) Ingresamos a un sitio vulnerable.
http://demo.testfire.net/
2) Creamos un engaño usando XSS
3) Enmascaramos el link
https://bitly.com/
4) Creamos el cuentito.
5) Hacemos SPAM con Phishing.

2) Armar engaño usando HTML
<html>
<font color="green" face="Calibri" size="+2">
Ud ha ingresado por que ha recibido el correo de bloqueo. Felicitaciones, por
pensar en su Seguridad. Acceda al link para proceder a fortalecer sus
credenciales.
<a href="https://bit.ly/2z5O4p0" target="_self" >
Presione AQUI.
</font>
</a >
</hmtl>

3) Enmascaramos el link
Repensar el vínculo https…
https://bitly.com/

3) Cuentito - Phishing
Estimado usuario
Se ha detectado cierta cantidad de ingresos incorrectos con su
cuenta de acceso Web. Si Ud. no desea perder el acceso y bloqueo
de sus tarjetas de crédito/débito asociadas, por favor ingrese ya
a este link Altoro Mutual
En el caso de no ingresar dentro de las próximas 24 hs, su cuenta
por seguridad será bloqueada y deberá llegarse a la Casa Matriz
del Banco, llevando consigo documento y último resumen impreso
de alguna de sus tarjetas.
Cordialmente.
La Gerencia de su banco amigo

USUARIOS: No dudar, Verificar!!
üAveriguar si algún correo esta vulnerado :
https://haveibeenpwned.com/
üCambiar contraseñas regularmente.
üCada acceso Internet con su cuenta.
üContraseñas no asociadas al usuario.
üContraseñas complejas.
üNo compartir accesos.
üNo responder o acceder links de e-mails dudosos.
üVerificar realmente el emisor.

DESARROLLADORES: A mejorar el código.

OWASP
Open Web Application Security Project

OWASP
Estándar abierto que:
üPromueve el desarrollo de software seguro.
üOrientada a la prestación de servicios
orientados a la Web.
üSe centra principalmente en el "back-end" mas
que en cuestiones de diseño web.
üUn foro abierto para el debate.
üUn recurso gratuito para cualquier equipo de
desarrollo de software.

OWASP Top Ten desde el 2003

OWASP Top Ten 2017

Demo Inyección
1) Acceder sitio http://demo.testfire.net/
2) Ingresar usuario admin o jsmith
3) Password ' or '1'='1
4) Ingresar usuario ' or '1'='1
5) Password ' or '1'=‘1
http://demo.testfire.net/bank/name?id='or'1'='1

Cómo proteger o evaluar
Aplicaciones y soluciones de IT

OWASP ZAP
OWASP Zed Attack Proxy (ZAP),
Esta plataforma está diseñada especialmente
para monitorizar la seguridad de las
aplicaciones web de las compañías, siendo una
de las aplicaciones del proyecto más activas
en cuanto a auditorías de seguridad.

Guías Test Móvil
- Usar guía de desarrollo seguro de móvil.

Infraestructura siempre los salva!!
OWASP core rule sets
ü SQL injection
ü Cross site scripting
ü Common attacks such as command injection,
HTTP request smuggling, HTTP response
splitting, and remote file inclusion attack
ü HTTP protocol violations
ü HTTP protocol anomalies
ü Bots, crawlers, and scanners
ü Common application misconfigurations (e.g.
Apache, IIS, etc.)
ü HTTP Denial of Service
Azure Web Application Firewall (WAF)
OWASP ModSecurity Core Rule Set (CRS)

Guías de OWASP

Gracias por asistir!!
www.puntonetsoluciones.com.ar
egdutra
edutra@puntonetsoluciones.com.ar
Mis datos….

Hackeando Humanos - Ingeniería Social y OWASP Top 10

Recomendados

Recomendados

Más contenido relacionado

Similar a Hackeando Humanos - Ingeniería Social y OWASP Top 10

Similar a Hackeando Humanos - Ingeniería Social y OWASP Top 10 (20)

Más de Enrique Gustavo Dutra

Más de Enrique Gustavo Dutra (12)

Hackeando Humanos - Ingeniería Social y OWASP Top 10