Este documento presenta un webinar gratuito sobre hacking ético impartido por Alonso Eduardo Caballero Quezada. Define términos como hacking ético, pruebas de penetración, auditorías de seguridad y describe las fases de un hacking ético que incluyen reconocimiento, escaneo, ganar acceso, mantener acceso y cubrir huellas. También describe tipos de hackers, pruebas y cursos virtuales relacionados con hacking ético impartidos por Caballero Quezada.
Conoce cuáles son los factores del ciclo que se deben cumplir para contar con un Sistemas de Gestión de Seguridad de la Información (SGSI) eficiente en la empresa.
Criptografía y Esteganografía: Evolución en la historia, donde se utilizó, porque se utiliza en la Informática, cuales son las ventajas, desventajas y las técnicas empleadas en cada una de ellas.
Conoce cuáles son los factores del ciclo que se deben cumplir para contar con un Sistemas de Gestión de Seguridad de la Información (SGSI) eficiente en la empresa.
Criptografía y Esteganografía: Evolución en la historia, donde se utilizó, porque se utiliza en la Informática, cuales son las ventajas, desventajas y las técnicas empleadas en cada una de ellas.
"Ethical Hacking" Juan Carlos Velarde , desarrollada en el III Congreso Internacional de Informática Forense y Hacking Ético, desarrollado en la ciudad de Tarija en Bolivia el Sábado 03 de Mayo del 2014
Representantes de la empresa cordobesa "Proxy Consulting" (Miguel Ángel Arroyo y Carlos García) nos ofrecen un instructivo e intesantísimo taller sobre hacking ético.
IES Gran Capitán. Sysmana04.
Sitio Web: http://www.reydes.com
e-mail: caballero.alonso@gmail.com
Kali Linux es la nueva generación de la conocida distribución Linux BackTrack, la cual se utiliza para realizar Auditorías de Seguridad y Pruebas de Penetración. Kali Linux es una plataforma basada en GNU Linux Debian y es una reconstrucción completa de BackTrack, la cual contiene una gran cantidad de herramientas para capturar información, identificar vulnerabilidades, explotarlas, escalar privilegios y cubrir las huellas.
Seguridad actual
•
Que es un hacker?
•
La importancia de nuestros datos
•
OSINT
•
Fases de hacking
•
Ataques
•
Controla tu exposición digital
•
Como convertirse en un profesional de la seguridad
Una introducción al Hacking Ético, el cual consiste en un ataque controlado a los sistemas informáticos y/o de comunicaciones de una empresa u organización empleando los mismos medios que un usuario malicioso. Se llama “Hacking Ético” debido a que las técnicas, pensamientos y metodologías usadas son similares a las empleadas por los hackers, pero el único objetivo es comprobar el estado real y actual de la seguridad. No confundir con auditorias donde se usan herramientas preparadas para “testear” la vulnerabilidad de los servicios del cliente y reportar el error. Como Hacker Ético, lo primero que debes aprender es a pensar como un hacker malicioso, con mucha creatividad y a no dar nada por supuesto. Durante el workshop abordaremos ciertas teorías y herramientas y si es posible, también vulnerabilidades ya conocidas, para que la gente se inicie.
Miércoles 6 de noviembre de 2013 desde las 18:00 hasta las 19:30 (GMT+01:00 España (Madrid))
Barcelona, España | Makers of Barcelona
Definición del concepto hacking ético y cómo éste puede ayudar en la búsqueda de vulnerabilidades de seguridad, mejorando así la protección de la información de una emrpesa.
Curso de Práctica Operativa en Investigación. Módulo 5. Internet Security Aud...Internet Security Auditors
Clase impartida en el Colegio Oficial de Detectives de Cataluña. En esta clase se analizan las "Herramientas de Investigación" de las que se disponen en un ordenador para detectar intrusiones, ataques o acciones realizadas en los sistemas. También se presentan las "Herramientas de Seguridad" que provee Internet y que están disponibles para todo el mundo que sepa dónde y como emplear estas herramientas.
Curso de práctica operativa en investigación. Módulo 5. Internet, Documentaci...Internet Security Auditors
Clase impartida en el Colegio Oficial de Detectives de Cataluña dentro del Curso de Práctica Operativa de Investigación, en el Módulo "Internet, Documentación y Bases de Datos". En esta clase se analizan las "Herramientas de Investigación" de las que se disponen en un ordenador para detectar intrusiones, ataques o acciones realizadas en los sistemas. También se presentan las "Herramientas de Seguridad" que provee Internet y que están disponibles para todo el mundo que sepa dónde y como emplear estas herramientas.
Como profesionales en ciberseguridad, se tiene la única responsabilidad de encontrar y entender las vulnerabilidades presentes en la organización, para luego trabajar diligentemente en mitigarlas antes de estas sean aprovechadas por los atacantes maliciosos. Este curso abarca las herramientas, técnicas y metodologías para realizar pruebas de penetración contra redes y sistemas, y así estar en la capacidad de realizar proyectos de pruebas de penetración exitosamente. Todas las organizaciones necesitan personal experimentado en seguridad de la información, quienes puedan encontrar vulnerabilidades y mitigar sus efectos. Con este curso se estará en la capacidad de realizar pruebas de penetración y hacking ético, aplicando los conocimientos, herramientas, y técnicas explicadas detalladamente. Consecuentemente descubrir y explotar vulnerabilidades en entornos reales, demostrando así todos los conocimientos adquiridos.
Este curso enseña a los participantes como realizar un reconocimiento detallado, analizado profundamente la infraestructura a evaluar mediante motores de búsqueda, redes sociales y otras fuentes de información para Internet e Intranet. Luego se escanean las redes utilizando las mejores herramientas disponibles. Se abarcan las mejores opciones, configuraciones y capacidades de las herramientas para realizar pruebas de penetración. Se exponen diversos métodos de explotación para ganar acceso hacia los sistemas vulnerables, y de esta manera medir el riesgo real para la organización. Después se realizan acciones posteriores a la explotación y ataques a contraseñas. Todos los ataques se desarrollan en un laboratorio de pruebas controlado.
En la actualidad todos nosotros confiamos en las aplicaciones web para realizar diversas tareas diarias, ya sea en el trabajo, en casa, o para diversión; siendo posible accederlas numerosas veces al día desde; utilizando laptops, computadoras, tablets, teléfonos inteligentes, y otros dispositivos. Estas aplicaciones web son utilizadas para realizar compras, transacciones bancarias, pagos de cuentas, interactuar a través de redes sociales, y muchos otros propósitos. El problema con las aplicaciones web es no ser tan seguras como se piensa, y la mayoría de las veces los ataques utilizados para ganar acceso son relativamente sencillos y simples. De hecho cualquiera puede utilizar herramientas de hacking para realizar ataques devastadores.
Este curso enseña a los participantes como realizar evaluaciones de seguridad contra aplicaciones web, de tal manera se pueda también prevenir los ataques. Se abarca la teoría, herramientas, y tecnologías utilizadas para identificar y explotar las vulnerabilidades web más frecuentes y dañinas presentes en las aplicaciones web. Esto significa tener la capacidad de obtener información sensible desde una base de datos, evadir una página de autenticación, o realizar la suplantación de usuarios. Se aprenderá sobre la selección del objetivo a evaluar, como realizar los ataques, cuales herramientas son necesarias, y como utilizarlas adecuadamente.
Webinar Gratuito: Escaneos con Scripts de Nmap para Hacking WebAlonso Caballero
NSE es una de las funcionalidades más potentes y flexibles de Nmap. Permite a los usuarios escribir scripts simples para automatizar una amplia variedad de tareas para redes. Estos scripts se ejecutan en paralelo con la velocidad y eficiencia conocida de Nmap. Los usuarios confían en el creciente y diverso conjunto de scripts distribuidos con Nmap, o también pueden escribir los propios para satisfacer necesidades específicas. En este webinar se expone; utilizando ejemplos y demostraciones prácticas; diversos scripts (NSE) factibles de ser utilizados para Hacking Web.
Este curso está orientado a aquellas personas quienes son nuevos en el mundo del hacking ético y pruebas de penetración, para aquellos con poca o ninguna experiencia previa, para aquellos quienes se sienten abrumados sobre como encajan todas las fases y herramientas, para una persona quien desea rápidamente empezar a utilizar las herramientas y conocer los métodos para realizar pruebas de penetración, o para cualquiera quien desee expandir su conocimiento en seguridad ofensiva. Es decir para cualquier interesado en seguridad de computadoras, hacking, o pruebas de penetración, pero quien no tiene experiencia previa y no está seguro de donde empezar.
Este curso enseña a los participantes los fundamentos sobre los procesos y herramientas utilizadas por los profesionales en hacking ético y pruebas de penetración, para ganar acceso hacia redes y sistemas. Este es un buen punto de inicio para empezar a adquirir conocimientos sobre seguridad ofensiva. Así mismo se proporcionan conocimientos para realizar auditorias de seguridad en las organizaciones. Este curso proporciona lo fundamental y general para poder ir hacia otros temas, libros, o cursos más avanzados.
Webinar Gratuito: "Técnicas para Escaneo de Puertos con Nmap"Alonso Caballero
El escanear puertos puede considerarse un arte. Los profesionales más experimentados comprenden diversas técnicas para realizar escaneos, seleccionado la más adecuada; o combinación de las mismas; para realizar una tarea determinada. Los novatos generalmente intentan realizar todo utilizando el escaneo SYN predeterminado. El único impedimento para dominar el escaneo de puertos es el conocimiento. En este webinar se expone; utilizando ejemplos y demostraciones prácticas; los diez principales tipos de escaneos de puertos utilizando Nmap.
Kali Linux es una distribución basada en GNU/Linux Debian, diseñada para realizar auditorias de seguridad y pruebas de penetración avanzadas. Kali Linux contiene cientos de herramientas destinadas a diversas tareas en seguridad de la información, tales como pruebas de penetración, investigación de seguridad, forense digital e ingeniería inversa. Kali Linux incluye más de 600 herramientas para pruebas de penetración, es libre, tiene un árbol GIT open source, cumple con FHS, tiene un amplio soporte para dispositivos inalámbricos, incluye un kernel parchado para inyección, es desarrollado en un entorno seguro, sus repositorios y paquetes están firmados con GPG, tiene soporte para múltiples lenguajes, incluye soporte para ARMEL, y ARMHF, además de ser completamente personalizable.
Este curso proporciona una gran cantidad de conocimientos para iniciarse en el área del Hacking Ético, además de ser una guía práctica para la utilización de las herramientas más populares durante la realización de Pruebas de Penetración, Hacking Ético, o Auditorias de Seguridad. Así mismo este curso proporciona conocimientos sobre pruebas de penetración utilizando Kali Linux, conceptos sobre programación, metasploit framework, captura de información, búsqueda de vulnerabilidades, técnicas para la captura de tráfico, explotación de vulnerabilidades, técnicas manuales de explotación, ataques a contraseñas, ataques para el lado del cliente, ingeniería social, técnicas para evadir antivirus y técnicas de post-explotación.
Zenmap es la interfaz gráfica de usuario oficial (GUI) para el escáner de seguridad Nmap. Es una aplicación multiplataforma, libre y de fuente abierta, el cual tiene como propósito hacer Nmap sea fácil de utilizar para aquellos quienes recién inician, al mismo tiempo proporciona funcionalidades avanzadas para los usuarios más experimentados de Nmap. En este Webinar se exponen de manera práctica, las principales características de Zenmap aplicadas al ámbito de las Pruebas de Penetración.
En la actualidad todas las empresas y organizaciones deben estar preparadas para enfrentar exitosamente diversos tipos de crímenes cibernéticos, los cuales se suscitan y afectan sus sistemas de cómputo y redes. Consecuentemente se ha incrementado la demanda por profesionales forenses debidamente entrenados y experimentados, quienes estén en la capacidad investigar crímenes cibernéticos relacionados a fraudes, amenazas internas, espionaje industrial, inadecuado uso de los empleados, e intrusiones hacia computadoras y redes Las agencias del gobierno a nivel mundial también requieren profesionales forenses debidamente entrenados y con amplia experiencia en el ámbito del forense digital.
Este curso enseña a los participantes a desarrollar un profundo conocimiento sobre forense digital aplicado al sistema operativo Microsoft Windows. Es fundamental comprender las capacidades forenses y artefactos en estos sistemas. Aprender a identificar, capturar, autenticar, y analizar datos forenses. Entender como se puede rastrear detalladamente la actividad realizada del usuario a través de la red, además de como organizar sus hallazgos para ser utilizado en una respuesta de incidentes, investigaciones internas, y litigios civiles o penales. Utilizar los nuevos conocimientos adquiridos para validar las herramientas de seguridad, mejorando las evaluaciones de seguridad, identificar amenazas internas, rastrear atacantes, y mejorar las políticas de seguridad. Aunque se conozca o no, el sistema operativo Windows silenciosamente registra una gran cantidad de datos sobre el propio sistema y los usuarios. Este curso enseña una metodología para forense de computadoras con etapas de identificación, preservación, análisis y documentación. Se exponen técnicas y procedimientos de investigación manuales, también se utilizan herramientas forenses.
Webinar Gratuito: Análisis de Memoria con AutopsyAlonso Caballero
El forense a la memoria implica realizar un análisis forense a un volcado obtenido desde la memoria correspondiente a una computadora. Su principal aplicación es la investigación de ataques avanzados por computadora, los cuales son lo suficientemente sigilosos para evitar dejar datos o evidencia sobre el dispositivo de almacenamiento, como un disco duro. Consecuentemente la memoria RAM debe ser analizada para obtener evidencia digital útil durante una investigación forense.
Las aplicaciones web modernas tienen un rol muy importante en todas las organizaciones. Pero si la organización no tiene la capacidad de evaluar y asegurar adecuadamente sus aplicaciones web, los ciberatacantes podrían comprometer estas aplicaciones, afectando el funcionamiento normal de la empresa, como también robar datos sensibles. Desafortunadamente muchas organizaciones operan bajo la errónea percepción, de un escáner de seguridad para aplicaciones web es la manera más fiable de descubrir fallas en sus sistemas. Las ciberdefensas modernas requieren una comprensión realista y profunda de los problemas de seguridad relacionadas con la aplicación web. Cualquiera puede aprender a realizar algunos tipos de ataques contra la web, pero una prueba de penetración efectiva contra aplicaciones web requiere un conocimiento más profundo.
Este curso enseña a los participantes a entender las principales fallas encontradas en las aplicaciones web, como también a identificar y explotarlas con el propósito de demostrar el potencial impacto hacia la empresa. Los profesionales en seguridad de la información frecuentemente se esfuerzan en ayudar a las organizaciones a entender su riesgo en términos de la empresa. Ejecutar elaborados e impresionantes ataques tiene poco valor si la organización no toma en serio su riesgo, y despliega las medidas correctivas adecuadas. El propósito de este curso es mejorar la seguridad de las organizaciones a través de una prueba de penetración, y no solo demostrar las habilidades de Hacking. Este curso ayuda a los participantes a demostrar el verdadero impacto de las fallas en las aplicaciones web, no únicamente a través de la explotación, sino también a través de una adecuada documentación y reporte.
La inyección de comandos es un ataque cuyo propósito es la ejecución de comandos arbitrarios en el sistema operativo mediante una aplicación vulnerable. Los ataques para inyección de comandos son posibles cuando una aplicación envía datos no seguros suministrados por el usuario (formularios, cookies, encabezados HTTP, etc.) hacia una shell del sistema. Este Webinar expone mediante demostraciones prácticas, la manera de identificar y explotar inyección de comandos.
Como profesionales en ciberseguridad, se tiene la única responsabilidad de encontrar y entender las vulnerabilidades presentes en la organización, para luego trabajar diligentemente en mitigarlas antes de estas sean aprovechadas por los atacantes maliciosos. Este curso abarca las herramientas, técnicas y metodologías para realizar pruebas de penetración contra redes y sistemas, y así estar en la capacidad de realizar proyectos de pruebas de penetración exitosamente. Todas las organizaciones necesitan personal experimentado en seguridad de la información, quienes puedan encontrar vulnerabilidades y mitigar sus efectos. Con este curso se estará en la capacidad de realizar pruebas de penetración y hacking ético, aplicando los conocimientos, herramientas, y técnicas explicadas detalladamente. Consecuentemente descubrir y explotar vulnerabilidades en entornos reales, demostrando así todos los conocimientos adquiridos.
Este curso enseña a los participantes como realizar un reconocimiento detallado, analizado profundamente la infraestructura a evaluar mediante motores de búsqueda, redes sociales y otras fuentes de información para Internet e Intranet. Luego se escanean las redes utilizando las mejores herramientas disponibles. Se abarcan las mejores opciones, configuraciones y capacidades de las herramientas para realizar pruebas de penetración. Se exponen diversos métodos de explotación para ganar acceso hacia los sistemas vulnerables, y de esta manera medir el riesgo real para la organización. Después se realizan acciones posteriores a la explotación y ataques a contraseñas. Todos los ataques se desarrollan en un laboratorio de pruebas controlado.
Como parte de la familia Nessus, Nessus Essentials (anteriormente Nessus Home) permite escanear un entorno (hasta dieciséis direcciones IP por escáner), con las mismas evaluaciones profundas y de alta velocidad, además de la misma conveniencia para un escaneo sin agente del cual disfrutan los suscriptores de Nessus. Tener en consideración Nessus Essentials no permite realizar comprobaciones para cumplimiento o auditorías de contenido. Este Webinar expone mediante demostraciones prácticas, las principales funcionalidades y características incluidas en Nessus Essentials.
Las aplicaciones web modernas tienen un rol muy importante en todas las organizaciones. Pero si la organización no tiene la capacidad de evaluar y asegurar adecuadamente sus aplicaciones web, los ciberatacantes podrían comprometer estas aplicaciones, afectando el funcionamiento normal de la empresa, como también robar datos sensibles. Desafortunadamente muchas organizaciones operan bajo la errónea percepción, de un escáner de seguridad para aplicaciones web es la manera más fiable de descubrir fallas en sus sistemas. Las ciberdefensas modernas requieren una comprensión realista y profunda de los problemas de seguridad relacionadas con la aplicación web. Cualquiera puede aprender a realizar algunos tipos de ataques contra la web, pero una prueba de penetración efectiva contra aplicaciones web requiere un conocimiento más profundo.
Este curso enseña a los participantes a entender las principales fallas encontradas en las aplicaciones web, como también a identificar y explotarlas con el propósito de demostrar el potencial impacto hacia la empresa. Los profesionales en seguridad de la información frecuentemente se esfuerzan en ayudar a las organizaciones a entender su riesgo en términos de la empresa. Ejecutar elaborados e impresionantes ataques tiene poco valor si la organización no toma en serio su riesgo, y despliega las medidas correctivas adecuadas. El propósito de este curso es mejorar la seguridad de las organizaciones a través de una prueba de penetración, y no solo demostrar las habilidades de Hacking. Este curso ayuda a los participantes a demostrar el verdadero impacto de las fallas en las aplicaciones web, no únicamente a través de la explotación, sino también a través de una adecuada documentación y reporte.
Las Aplicaciones Web actualmente son utilizadas en los más diversos ámbitos, desde realizar una búsqueda en Google, revisar una red social como Facebook, comprar en Internet, o ingresar hacia servicios en linea proporcionados por las organizaciones o empresas. Sencillamente es todo aquello fundamentalmente relacionado con el protocolo HTTP/S. Este Webinar expone ejemplos prácticos sobre como explotar las vulnerabilidades más comunes en aplicaciones web (SQLi, XSS, CSRF).
Un programa de Bug Bounty o recompensa por fallas, es un acuerdo ofrecido por muchos sitios web, organizaciones, y desarrolladores de software, por el cual los profesionales en hacking reciben un reconocimiento y compensación económica por descubrir y reportar con éxito fallas, especialmente aquellas relacionadas con vulnerabilidades y explotación en ciberseguridad.
Los profesionales en hacking a nivel mundial cazan fallas, y en algunos casos obtienen ingresos económicos a tiempo completo. Los programas de bug bounty atraen una amplia diversidad de profesionales con diferentes niveles de habilidades y experiencia, lo cual permite a las empresas aprovecharse de pruebas factibles de ser utilizadas por equipos de seguridad menos experimentados para identificar vulnerabilidades.
Los programas de recompensas frecuentemente complementan las pruebas de penetración, y proporcionan una manera para las organizaciones prueben la seguridad de sus aplicaciones a través de un ciclo de vida para desarrollo.
El propósito del curso es proporcionar a los participantes los conocimientos necesarios para convertir su interés en ciberseguridad, en una actividad divertida y rentable. Aplicando los conocimientos adquiridos para centrarse en descubrir vulnerabilidades en entornos reales.
El avance de la tecnología e Internet ha revolucionado la forma en la cual las organizaciones realizan sus negocios. Esta evolución consecuentemente genera también actividades maliciosas. La creciente amenaza de los ciberataques contra infraestructuras críticas, centros de datos, sector privado y público, defensa, energía, gobierno y finanzas, son un reto para todos los involucrados, desde una persona hasta las grandes empresas. Estos ciberataques utilizan software malicioso (también conocido como Malware ) para realizar robo financiero, espionaje, sabotaje, robo de propiedad intelectual, o por motivos políticos.
Dado el hecho los ciberdelincuentes son cada vez más sofisticados y realizan ataques de malware avanzados, detectar y responder a estas intrusiones es fundamental para los profesionales en ciberseguridad. El análisis de malware se ha convertido en una habilidad imprescindible para enfrentar el malware avanzado y los ataques dirigidos. El análisis de malware requiere un conocimiento equilibrado de muchas habilidades y temas diferentes.
Este curso proporciona los conceptos, herramientas y técnicas para comprender el comportamiento y las características de malware para Windows, realizando análisis de malware. Para comprender mejor los conceptos, se utilizan ejemplos y demostraciones prácticas durante todo el curso. Además se proporciona suficiente información para comprender los conceptos necesarios. Este curso ayuda a iniciarse en el ámbito del análisis de Malware, o si tiene experiencia en este campo, ayudará a mejorar conocimientos.
Los procesos para la automatización industrial, utilizan sistemas de control industrial (ICS) y sistemas de control para la supervisión y adquisición de datos (SCADA), con el propósito de controlar procesos industriales de forma local o remota, además de vigilar, recopilar, y procesar datos en tiempo real.
ICS / SCADA se han convertido en objetivos de alta prioridad para los ciberatacantes. Con la naturaleza dinámica de los sistemas de control industrial, muchos profesionales no comprenden completamente las características y los riesgos de muchos dispositivos. Además personal TI para soporte, quien proporciona las vías de comunicación y defensas de la red, no siempre comprende los controladores y limitaciones operacionales de los sistemas.
Este curso proporciona un conjunto sólido de conocimientos y habilidades estandarizadas para los profesionales en ciberseguridad. Estando dirigido para todos aquellos involucrados con los sistemas de control industrial, para estén en la capacidad de mantener el entorno a salvo, seguro, y con resiliencia ante las amenazas actuales y emergentes. Paralelamente se aborda la necesidad de los profesionales involucrados con los sistema de control industrial, comprendan mejor el importante rol el cual desempeñan en ciberseguridad. Y esto empieza garantizando un sistema de control sea diseñado con la ciberseguridad incorporada, además de tener el mismo nivel de atención de la fiabilidad del sistema a lo largo de su ciclo de vida.
El software inseguro está minando las infraestructuras críticas financieras, de salud, defensa, energía y otras. Conforme el software incrementa su complejidad y capacidad de conexión, la dificultad para alcanzar la seguridad en las aplicaciones se incrementa de manera exponencial. El veloz ritmo de los procesos modernos para el desarrollo del software, hacen los riesgos más comunes sean esenciales de descubrir y resolver rápidamente de manera precisa. Ya no es permisible tolerar problemas de seguridad relativamente simples como los presentados en este OWASP TOP 10.
Aunque el objetivo original del proyecto OWASP TOP 10 fue simplemente crear conciencia entre los desarrolladores y gerentes, se ha convertido en un estándar de facto para seguridad en aplicaciones.
En esta nueva versión del OWASP TOP 10 2017, los problemas y recomendaciones están escritas de una forma concisa y de manera comprobable, para ayudar con la adopción del OWASP TOP 10 en los programas de seguridad en aplicaciones. Se alienta a las organizaciones a utilizar el Estándar de Verificación para la Seguridad de Aplicaciones (ASVS) de OWASP si se requiere un verdadero estándar, pero para la mayoría el OWASP TOP 10 es un gran inicio en el camino de la seguridad en aplicaciones.
Como profesionales en ciberseguridad, se tiene la única responsabilidad de encontrar y entender las vulnerabilidades presentes en la organización, para luego trabajar diligentemente en mitigarlas antes de estas sean aprovechadas por los atacantes maliciosos. Este curso abarca las herramientas, técnicas y metodologías para realizar pruebas de penetración contra redes y sistemas, y así estar en la capacidad de realizar proyectos de pruebas de penetración exitosamente. Todas las organizaciones necesitan personal experimentado en seguridad de la información, quienes puedan encontrar vulnerabilidades y mitigar sus efectos. Con este curso se estará en la capacidad de realizar pruebas de penetración y hacking ético, aplicando los conocimientos, herramientas, y técnicas explicadas detalladamente. Consecuentemente descubrir y explotar vulnerabilidades en entornos reales, demostrando así todos los conocimientos adquiridos.
Este curso enseña a los participantes como realizar un reconocimiento detallado, analizado profundamente la infraestructura a evaluar mediante motores de búsqueda, redes sociales y otras fuentes de información para Internet e Intranet. Luego se escanean las redes utilizando las mejores herramientas disponibles. Se abarcan las mejores opciones, configuraciones y capacidades de las herramientas para realizar pruebas de penetración. Se exponen diversos métodos de explotación para ganar acceso hacia los sistemas vulnerables, y de esta manera medir el riesgo real para la organización. Después se realizan acciones posteriores a la explotación y ataques a contraseñas. Todos los ataques se desarrollan en un laboratorio de pruebas controlado.
Índice del libro "Big Data: Tecnologías para arquitecturas Data-Centric" de 0...Telefónica
Índice del libro "Big Data: Tecnologías para arquitecturas Data-Centric" de 0xWord escrito por Ibón Reinoso ( https://mypublicinbox.com/IBhone ) con Prólogo de Chema Alonso ( https://mypublicinbox.com/ChemaAlonso ). Puedes comprarlo aquí: https://0xword.com/es/libros/233-big-data-tecnologias-para-arquitecturas-data-centric.html
3Redu: Responsabilidad, Resiliencia y Respetocdraco
¡Hola! Somos 3Redu, conformados por Juan Camilo y Cristian. Entendemos las dificultades que enfrentan muchos estudiantes al tratar de comprender conceptos matemáticos. Nuestro objetivo es brindar una solución inclusiva y accesible para todos.
Es un diagrama para La asistencia técnica o apoyo técnico es brindada por las compañías para que sus clientes puedan hacer uso de sus productos o servicios de la manera en que fueron puestos a la venta.
Diagrama de flujo basada en la reparacion de automoviles.pdf
Webinar Gratuito "Hacking Ético"
1. Webinar Gratuito
Hacking Ético
V. 2
Alonso Eduardo Caballero Quezada
Consultor en Hacking Ético, Informática Forense & GNU/Linux
Jueves 30 de Octubre del 2014
Sitio Web: http://www.ReYDeS.com
e-mail: ReYDeS@gmail.com
2. ¿Quién Soy?
• Consultor e Instructor Independiente en Hacking Ético, Informática
Forense y GNU/Linux.
• Ex Integrante de RareGaZz y actual integrante de PeruSEC.
• Ex Redactor en la Revista Linux+ DVD (ES).
• Creador del II Reto Forense Digital Sudamericano - Chavín de
Huantar 2012.
• Brainbench Certified Network Security, Brainbench Certified
Computer Forensics (U.S.) & Brainbench Certified Linux
Administration (General). CNHE, CNCF, CNHAW.
• Más de 11 años de experiencia en el área.
• @Alonso_ReYDeS
• pe.linkedin.com/in/alonsocaballeroquezada/
3. Hacking Ético, Pruebas de Penetración, etc.
Existen diversos términos o denominaciones, los cuales se utilizan
de manera similar, generando algo de confusión. Por lo tanto se
proceden a definir los siguientes términos.
• Hacking Ético
• Pruebas de Penetración
• Valoraciones de Seguridad (Valoraciones de Vulnerabilidades)
• Auditorias de Seguridad
*
4. Hacking Ético
Definición Tradicional de Hacking:
El termino se refiere a la exploración de la tecnología, intentando
conocerla al nivel más profundo, para ser capaz de manipularla y
hacer algo para lo cual no fue diseñada.
Definición “Mala” de Hacking:
Muchas personas piensas en el término como la irrupción en las
computadoras y redes sin permiso.
Ético:
El uso del término “Ético”, implica la no connotación “Mala” del
termino Hacking.
El Hacking Ético utiliza técnicas de ataque de computadora para
encontrar fallas con el permiso del propietario del objetivo y con el
propósito de mejorar la seguridad del objetivo.
*
5. Pruebas de Penetración
Las Pruebas de Penetración se orientan en encontrar
vulnerabilidades de seguridad en el entorno objetivo, las cuales
podrían permitir a un atacante a penetrar la red o computadoras, o
robar información.
Esto se realiza utilizando técnicas y herramientas similares a las
empleadas por los criminales y atacantes del mundo real.
El propósito de una Prueba de Penetración es comprometer los
sistemas del objetivo y obtener acceso a la información, para poder
determinar el impacto en la empresa.
El Hacking Ético es un termino amplio abarcando todas las técnicas
de Hacking Éitco utilizados para propósitos buenos, mientra que las
Pruebas de Penetración están más enfocadas en el proceso de
encontrar vulnerabilidades en el entorno objetivo. Desde este punto
de vista la Prueba de Penetración es un subconjunto del Hacking
Ético.
*
6. Valoraciones de Seguridad
A las Valoraciones de Seguridad también se les denomina como
“Valoraciones de Vulnerabilidades”. También estos términos son
utilizados de manera similar al termino de Pruebas de Penetración,
pero existen diferencias.
Las Pruebas de Penetración se enfocan en ingresar o robar datos.
Penetrar el entorno objetivo explotando las vulnerabilidades
descubiertas.
Las Valoraciones de Seguridad o de Vulnerabilidades se enfocan en
encontrar vulnerabilidades de seguridad, frecuentemente sin
explotarlas ni obtener ingreso.
Por lo tanto las Pruebas de Penetración son más profundas, con el
objetivo de tomar control sobre los sistemas y robar datos, mientras
que las valoraciones de seguridad y vulnerabilidades, implican el
proceso de buscar fallas de seguridad. Estas valoraciones también
incluyen frecuentemente revisión de políticas y procedimientos, las
cuales no están incluidas en una Prueba de Penetración.
*
7. Auditorias de Seguridad
Las auditorias de Seguridad implican realizar una medición de las
cosas contra un conjunto de estándares riguroso, previamente
determinado y fijo. Estas auditorias son casi siempre hechas con
listas de verificación detalladas.
Algunas organizaciones de Pruebas de Penetración y Hacking Ëtico
han creado sus propias listas de verificación internas para temas
requeridos de ser descubiertos durante una prueba, pero esas listas
de verificación no son tan detalladas como una auditoria exhaustiva.
*
8. Definición de un Hacker Ético
Es una persona asignada para realizar Pruebas de Penetración, con
el propósito de mejorar la postura de seguridad de la organización.
Es empleado por una organización para intentar penetrar en la
infraestructura de red o sistemas de computadoras, utilizando los
mismo métodos de un Hacker “Malicioso”, con el propósito de
encontrar y solucionar las vulnerabilidades de seguridad en las
computadoras.
Las Pruebas de Penetración realizadas por solicitud del propietario
de los sistemas o redes objetivos, son totalmente legales.
*
9. Tipos de Hackers
1. Sombrero Blanco: Hackers Éticos los cuales utilizan sus
conocimientos para propósitos defensivos. Son profesionales de
seguridad utilizando sus conocimientos para ubicar debilidades e
implementar medidas correctivas.
2. Sombrero Negro: Son Hackers “maliciosos” o Crackers quienes
utilizan sus conocimientos para propósitos ilegales o maliciosos.
Rompen o violan la integridad de los sistemas remotos con
intenciones dañinas.
3. Sombrero Gris: Son Hackers trabajando de manera ofensiva o
defensiva, dependiendo de la situación. Esta es la línea que divide a
un Hacker y un Cracker. Muchos individuos caen en ambas
categorías.
*
10. Tipos de Pruebas
1. Caja Negra: Realizar pruebas de seguridad sin un conocimiento
previo sobre la infraestructura de red o sistemas a ser evaluados.
Este tipo de pruebas simula el ataque de un Hacker malicioso
externo al perímetro de seguridad de la empresa.
2. Caja Blanca: Realiza evaluaciones de seguridad con un
conocimiento pleno de la infraestructura de la red, tal como lo
tendría el administrador de la red.
3. Caja Gris: Involucra realizar una evaluación de seguridad de
manera interna. Este tipo de pruebas examina el alcance del acceso
de un insider (interno) dentro de la red.
*
11. Fases de un Hacking Ético
Un Hacker Ético sigue una metodología similar a la utilizada por un
Hacker “Malicioso”. Los fases o etapas son idénticas, sin importar
las intenciones del Hacker.
*
Reconocer
Escanear
Ganar Acceso
Mantener Acceso
Cubrir Huellas
12. Reconocimiento
Reconocimiento Pasivo: Captura información relacionada al
objetivo sin conocimiento del individuo o empresa. Este proceso se
denomina captura de información. Algunos métodos son la
búsqueda de basura e ingeniería social. El Sniffing en la red es
también un mecanismo utilizado.
Reconocimiento Activo: Evalúa la red para descubrir hosts únicos,
direcciones IP, y servicios en la red. Implica un mayor riesgo de
detección que el reconocimiento pasivo. Proporciona indicios de los
mecanismos de seguridad, pero el proceso también incrementa las
posibilidades de ser detectado. Ambos tipos de reconocimiento
permiten descubrir información útil a ser utilizado en un ataque.
*
13. Escaneo
Implica tomar la información descubierta durante la fase de
Reconocimiento y utilizarla para examinar la red. Entre las
herramientas que el Hacker utiliza durante la fase de Escaneo se
incluyen:
1. Dialers (Marcadores)
2. Port Scanners (Escaners de Puertos)
3. Network Mappers (Mapeadores de red)
4. Sweepers (Barredores)
5. Vulnerability Scanners (Escaners de Vulnerabilidades)
Los Hackers buscan cualquier información útil para realizar el
ataque; como por ejemplo el nombre de las computadoras, las
direcciones IP, cuentas de usuario, etc.
*
14. Ganar Acceso
Aquí se manifiesta el Hacking “Real”. Las vulnerabilidades
descubiertas durante la fase de Reconocimiento y Escaneo ahora
se explotan para ganar acceso.
El método de conexión que el Hacker utiliza para realizar la
explotación puede ser una Red de Área Local (LAN, ya sea
cableada o inalámbrica), acceso local al objetivo, Internet, o fuera de
línea (off-line).
Algunas de las técnicas utilizadas incluyen, desbordamiento de
buffer basados en pila, secuestro e interceptación de sesiones, etc.
*
15. Mantener Acceso
Cuando se gana el acceso, se desea mantener el acceso para
realizar posteriores ataques y explotaciones. El Hacker “fortalece” el
sistema de otros Hackers o del personal de seguridad, asegurando
su acceso exclusivo con puertas traseras (backdoors), rootkits,
troyanos u otros mecanismos.
Si el Hacker se apropia del sistema, puede utilizarlo como base para
lanzar ataques hacia otros sistemas o redes. A este sistema también
se le denomina un sistema zombi.
*
16. Cubrir Huellas
Cuando el Hacker ha ganado y mantiene el acceso en las redes y
sistemas, desea cubrir sus huellas para evitar ser detectado por el
personal de seguridad y utilizar el sistema comprometido, remover
evidencia de su intrusión, o evitar acciones legales.
Se intenta eliminar los rastros del ataque, tales como archivos de
registros (logs), o alarmas de los IDS o IPS.
Entre las actividades realizadas aquí se incluyen la esteganografía,
utilizar protocolos “tunneling” y alterar los archivos de registros.
*
17. Procedimiento para realizar un Hacking Ético
Un Hacking Ético se realiza de una manera organizada y
estructurada, como parte de una Prueba de Penetración o Auditoría
de Seguridad. La intensidad y alcance de los sistemas y
aplicaciones a ser evaluados son determinadas por las necesidades
del cliente.
1. Hablar con el cliente, discutir las necesidades de las pruebas.
2. Preparar y firmar un documento de acuerdo de NO divulgación
(Acuerdo de Confidencialidad) con el cliente.
3. Organizar al equipo de Hackers Éticos, y preparar los horarios de
las pruebas.
4. Realizar las pruebas.
5. Analizar los resultados de las pruebas, y preparar un reporte.
6. Presentar el reporte al cliente.
*
18. Cursos Virtuales
Todos los Cursos están disponibles en Video.
Curso Virtual de Hacking Ético
http://www.reydes.com/d/?q=Curso_de_Hacking_Etico
Curso Virtual de Hacking Aplicaciones Web
http://www.reydes.com/d/?q=Curso_de_Hacking_Aplicaciones_Web
Curso Virtual de Informática Forense
http://www.reydes.com/d/?q=Curso_de_Informatica_Forense
Más Información:
caballero.alonso@gmail.com
@Alonso_ReYDeS
http://pe.linkedin.com/in/alonsocaballeroquezada/
ReYDeS
http://www.reydes.com
20. Más Material
Videos de 22 Webinars Gratuitos que he dictado sobre Hacking
Ético, Hacking Aplicaciones Web e Informática Forense.
http://www.reydes.com/d/?q=videos
Todas las diapositivas utilizadas en los Webinars Gratuitos las
encuentran en la siguiente página.
http://www.reydes.com/d/?q=node/3
Todos los artículos y documentos que he publicado.
http://www.reydes.com/d/?q=node/2
Mi Blog sobre temas de mi interés.
http://www.reydes.com/d/?q=blog/1
21. ¡Muchas Gracias!
Hacking Ético
V. 2
Alonso Eduardo Caballero Quezada
Consultor en Hacking Ético, Informática Forense & GNU/Linux
Jueves 30 de Octubre del 2014
Sitio Web: http://www.ReYDeS.com
e-mail: ReYDeS@gmail.com