VAPT defines the security measures that are supposed to be put in place to address cyber threats. There are plenty of strategies that can be adopted in Pen Testing which include Black Box Pen Test, White Box Pen Text, Hidden Pen Test, Internal Pen Test, and Gray Box Testing. It is mandatory that VAPT is conducted in order to deter cyber-attacks that are on the upsurge daily. These VAPT ranges from Mobile, Network Penetration Testing, and Vulnerability Assessments.
There are many merits to VAPT in your business which include early error detection in program codes which will prevent cyber attacks. Most companies lose billions of dollars due to cyber-attacks. With VAPT, it guarantees that all loopholes are tightened before an intrusion transpires.
SEGURIDAD Y AUDITORIA INFORMÁTICA, ISO 17799
¿Qué es la norma ISO 17799?
Ventajas de la adopción de la norma ISO 17799
Orientación de la norma ISO 17799?
Conclusiones
Seguridad informática
Objetivos de la Seguridad Informáticadde
Desde el primera aparición del virus Brain en 1986, los gusanos y troyanos continuaron atacando e infectando nuestras PC. Pero a pesar de la gran cantidad de amenazas a las que se enfrentan los usuarios, cada año se distingue por la presencia de un virus característico.
This is about the Mobile Application Security Verification Standard (MASVS) and the Mobile Security Testing Guide (MSTG) from OWASP. This relates my experience both as an author and a user of these resources and includes some practical examples of what mobile security means and why it is important in IoT.
The whole set of documents can be found at https://www.owasp.org/index.php/OWASP_Mobile_Security_Testing_Guide
El aseguramiento del servidor es a menudo una demanda presentada por los equipos de seguridad y los reguladores. Implementar una línea de base segura, que a menudo necesita alinearse con las mejores prácticas, como los puntos de referencia CIS, es difícil y exige mucho trabajo. Uno de los mayores desafíos en este proceso es garantizar que sus acciones de aseguramiento no dañen la producción de la organización. Si eso no fue lo suficientemente difícil, debe hacerse en un entorno de producción dinámico en constante cambio, donde constantemente surgen nuevas amenazas y se siguen publicando nuevas recomendaciones de aseguramiento.
VAPT defines the security measures that are supposed to be put in place to address cyber threats. There are plenty of strategies that can be adopted in Pen Testing which include Black Box Pen Test, White Box Pen Text, Hidden Pen Test, Internal Pen Test, and Gray Box Testing. It is mandatory that VAPT is conducted in order to deter cyber-attacks that are on the upsurge daily. These VAPT ranges from Mobile, Network Penetration Testing, and Vulnerability Assessments.
There are many merits to VAPT in your business which include early error detection in program codes which will prevent cyber attacks. Most companies lose billions of dollars due to cyber-attacks. With VAPT, it guarantees that all loopholes are tightened before an intrusion transpires.
SEGURIDAD Y AUDITORIA INFORMÁTICA, ISO 17799
¿Qué es la norma ISO 17799?
Ventajas de la adopción de la norma ISO 17799
Orientación de la norma ISO 17799?
Conclusiones
Seguridad informática
Objetivos de la Seguridad Informáticadde
Desde el primera aparición del virus Brain en 1986, los gusanos y troyanos continuaron atacando e infectando nuestras PC. Pero a pesar de la gran cantidad de amenazas a las que se enfrentan los usuarios, cada año se distingue por la presencia de un virus característico.
This is about the Mobile Application Security Verification Standard (MASVS) and the Mobile Security Testing Guide (MSTG) from OWASP. This relates my experience both as an author and a user of these resources and includes some practical examples of what mobile security means and why it is important in IoT.
The whole set of documents can be found at https://www.owasp.org/index.php/OWASP_Mobile_Security_Testing_Guide
El aseguramiento del servidor es a menudo una demanda presentada por los equipos de seguridad y los reguladores. Implementar una línea de base segura, que a menudo necesita alinearse con las mejores prácticas, como los puntos de referencia CIS, es difícil y exige mucho trabajo. Uno de los mayores desafíos en este proceso es garantizar que sus acciones de aseguramiento no dañen la producción de la organización. Si eso no fue lo suficientemente difícil, debe hacerse en un entorno de producción dinámico en constante cambio, donde constantemente surgen nuevas amenazas y se siguen publicando nuevas recomendaciones de aseguramiento.
Présentation de la suite ELK dans un contexte SIEM et zoom sur Wazuh (OSSEC) , IDS open source
Venez découvrir comment être proactif face aux problèmes de cyber sécurité en analysant les données fournies par vos équipements et applications critiques.
Here are some small steps to achieve ISO 27001 implementation.
I believe ISO 27001/2 is a key to establish security in the organizations and help the companies to keep the whole ISMS program running aligned with continues improvement.
As ISO 27001 has been identified by ICO and recognized by GCHQ/NCSC in the past as the key standard to support GDPR.
Control de Acceso a la Red en entornos corporativos con Software Libre linenoise
Describiremos qué es NAC y cómo funciona. Los problemas a los que da respuesta. Los bloques de construcción de un NAC. Lo que ya hay hecho y sus diferencias. Compararemos la estrategia clásica de 802.1x con la de los portales cautivos.
Présentation de la suite ELK dans un contexte SIEM et zoom sur Wazuh (OSSEC) , IDS open source
Venez découvrir comment être proactif face aux problèmes de cyber sécurité en analysant les données fournies par vos équipements et applications critiques.
Here are some small steps to achieve ISO 27001 implementation.
I believe ISO 27001/2 is a key to establish security in the organizations and help the companies to keep the whole ISMS program running aligned with continues improvement.
As ISO 27001 has been identified by ICO and recognized by GCHQ/NCSC in the past as the key standard to support GDPR.
Control de Acceso a la Red en entornos corporativos con Software Libre linenoise
Describiremos qué es NAC y cómo funciona. Los problemas a los que da respuesta. Los bloques de construcción de un NAC. Lo que ya hay hecho y sus diferencias. Compararemos la estrategia clásica de 802.1x con la de los portales cautivos.
Auditoria de redes, herramientas CASE .pptxGerenciaEfran
Son una serie de mecanismos mediante los cuales se prueba una Red Informática, evaluando su desempeño y seguridad, logrando una utilización más eficiente y Segura de la información
Talk provided in the BSides Colombia 2023 - April 2023
Video: https://www.youtube.com/watch?v=YTz1yQGyFLw
Project:
https://github.com/avechuch0/telegram-hitbackscammer
Ponencia del evento Latin CACS 2017 de Isaca. San José Costa Rica.26 - 27 sept. 2017.
Conceptos y elementos necesarios para el entendimiento de sistemas Android y IOs y auditar técnicamente una aplicación móvil.
2a parte de la primera reunión del capítulo Owasp Bogotá.
Golismero, orquestando auditorías de seguridad y escaneo de vulnerabilidades.
Video https://www.youtube.com/watch?v=v7Jc9IWTuro
Charla presentada en la XVI Jornada Internacional de Seguridad Informática, organizada por ACIS - Asociación Colombiana de Ingenieros de Sistemas. 23 y 24 de Junio de 2016.
Charla relacionada a los diferentes estímulos del gobierno colombiano para especializarse en temas de tecnologías emergentes y marcos de trabajo aceptados internacionalmente, e introducción al marco de trabajo de gestión de proyectos del Project Management Institute PMI y la presentación del examen Project Management Professional PMP. Capacitación impartida en Seguros Bolívar S.A.
Convocatoria de becas de Caja Ingenieros 2024 para cursar el Máster oficial de Ingeniería de Telecomunicacion o el Máster oficial de Ingeniería Informática de la UOC
libro conabilidad financiera, 5ta edicion.pdfMiriamAquino27
LIBRO DE CONTABILIDAD FINANCIERA, ESTE TE AYUDARA PARA EL AVANCE DE TU CARRERA EN LA CONTABILIDAD FINANCIERA.
SI ERES INGENIERO EN GESTION ESTE LIBRO TE AYUDARA A COMPRENDER MEJOR EL FUNCIONAMIENTO DE LA CONTABLIDAD FINANCIERA, EN AREAS ADMINISTRATIVAS ENLA CARREARA DE INGENERIA EN GESTION EMPRESARIAL, ESTE LIBRO FUE UTILIZADO PARA ALUMNOS DE SEGUNDO SEMESTRE
2. AGENDA
• Definición pentesting.
• Tipos y fases del pentesting.
• EDT para tu proyecto “Laboratorio de Pentesting”.
• Hardware y software.
• Conexiones de red virtuales.
• Infraestructura “virtual” para tu laboratorio.
• Demostración live.
3. Acerca de mi
?
?• Ingeniero de Sistemas.
• Project Manager Professional PMP.
• Auditor ISO/IEC 27001.
• 5 años de experiencia…
• Desarrollo, webmaster, administrador de
infraestructura, auditoría de sistemas,
seguridad informática, informática forense.
• Música - Desde los 12 años ♪♫
• Amante del ejercicio.
• Compartir conocimiento.
4. Asi que quieres aprender
Pentesting
Una prueba/test/auditoría de penetración es una acción que se acuerda
entre un(os) pentester(s)/auditor(es) y una empresa o individual que desea
someter sus sistemas a prueba para identificar (y corregir) riesgos y
vulnerabilidades informáticas asociadas a la criticidad y posibilidad de
explotación de las mismas.
Incluye:
• Infraestructura.
• Sitios web.
• Software.
• Red de telecomunicaciones.
5. TIPOS DE PENTESTING
•No se entrega ningún tipo de información.
•Hay que descubrir (fingerprint) equipos e infraestructura en la red,
sistemas, servicios y puertos , tecnologías de sitios web, etc.Caja negra
•Se entrega la información interna de la empresa.
•Mapa de red, firewalls, sistemas operativos, tipos de autenticación,
usuarios, tecnología de sitios web, etc.
•No se invierte tiempo en la fase de descubrimiento (fingerprint).
Caja blanca
•Mezcla características de las 2 anteriores.
•Se da a conocer alguna información al pentester.
•Útil para conocer ataques que puede llegar a hacer un funcionario.
(con usuarios y privilegios específicos) a nivel interno.
Caja gris
6. ¿¿¿CUALES SON LAS FASES?
• Acordar con el cliente (o con el Jefe) cuál es el objetivo del pentest.
• Identificar los servicios críticos de la empresa.
• IPs, servicios o dispositivos a incluir en el pentest. Y CUALES NO.
• ¿Uso de exploits contra servicios vulnerables o únicamente identificarlos?
• ¿Ejecución en cualquier momento o solo a determinadas horas?
• Obtener del cliente POR ESCRITO la autorización del test de penetración, que se límite
nuestra responsabilidad en caso problemas. Todo lo relacionado a pagos.
Contacto
• Arañas (spiders) y escanners para obtener una idea de los sistemas a probarse.
• Actividad en redes sociales de la organización, identificar empleados.
• Llamadas a puntos de contacto y análisis de correos.
Recolección
de información
• Pensar como si fuéramos atacantes. Estrategia de penetración.
• Definir objetivos y como llegar a ellos.
• Dinámico, a veces una puerta de entrada se convierte en un callejón sin salida y
debemos seguir un camino inesperado. Igual, siempre diseña UNA ESTRATEGIA.
Modelado de
amenaza
7. • Ejecutar y valorar el éxito de la estrategia.
• Se prueba la habilidad y creatividad del pentester para seleccionar y usar
correctamente las herramientas y conseguir los objetivos establecidos en las
fases anteriores.
Análisis de
vulnerabilidades
“Ataque”
• Una vez atacados, conseguir acceso a los sistemas objetivo a través de la
ejecución de exploits o con las credenciales obtenidas en la fase anterior.Explotación
• Demostrar que podría suponer una brecha para el cliente. Ej. Entrar a un servidor
compromete a éste, pero, ¿Y si a través de él obtenemos información y/o control
de toda la red, de los usuarios, o es posible escalar a otros segmentos y sistemas?
Post-Explotación
•Resultado de la auditoría al cliente. Enfocarse en los riesgos a los que se expone y su
criticidad.
•Destacar puntos en que la seguridad está implementada correctamente y aquellos que
requieren correcciones recomendando el cómo.
•Informe técnico e informe ejecutivo (Alta Gerencia).
Informe
¿¿¿CUALES SON LAS FASES?
8. • Una Estructura de Desglose de
Trabajo EDT (En inglés Work
Breakdown Structure WBS) es
una herramienta fundamental
en Gestión de Proyectos donde
se específica TODO el trabajo
necesario para ejecutar un
proyecto.
¿¿¿proyecto laboratorio de
pentesting - edt
Acá te propongo una ->
En una EDT se incluye también el trabajo necesario para
dirigir el proyecto… El trabajo de Dirección del Proyecto.
Laboratorio de Pentesting
HardwareDiseño Infraestructuras Dirección del
Proyecto
Requerimientos
de software
Requerimientos
de Hardware
Diagrama
de red
Máquinas virtuales
atacantes
Máquinas virtuales
vulnerables
Programas
de virtualización
Esquema
aceleración procesos
Instalación de otros
software
Ej: putty
IIS
Navegadores
y plugins
Disco duro
Procesador
RAM
Interfaces red
Tarjeta video
Software
9. • Hablemos de tu equipo
• Procesadores x64 Intel Core i5 – i7 o AMD equivalente.
• Disco duro 300 – 500 GB (Ideal 1 TB o mayor).
• 8 GB RAM o mayor.
• ¿Escritorio o portátil? – Depende de tus gustos y/o necesidades.
hardware
GADGETS ADICIONALES• Tarjetas Wifi
http://foro.seguridadwireless.net/adaptadores-wireless-usb/guia-para-adaptadores-usb-y-sus-chipsets-caracteristicas-generales/
• Raspberry Pi
https://www.raspberrypi.org/ TP-LINK TL-WN722N
Chip Atheros AR9271
Alfa Network AWUS036H
Chip Realtek 8187 L
10. SOFTWARE• Hablemos de tu equipo
• Sistemas Operativos Windows Vista/7/10, Linux (Ubuntu o similares), Mac OS X.
• Virtualización
• Tiene la ventaja de hacer las cosas de manera más sencilla, económica, convirtiendo tu
equipo de trabajo individual en un equipo multiuso.
• Programas de virtualización
• Vmware Workstation - http://www.vmware.com/co/products/workstation.html
• VMware Player - http://www.vmware.com/co/products/workstation.html - FREE
• Virtual Box “Oracle” - https://www.virtualbox.org/wiki/Downloads - FREE
• VMware Converter - https://my.vmware.com/web/vmware/evalcenter?p=converter -
FREE
11. CONEXIONES DE RED AL
VIRTUALIZAR
• Se crea una dirección independiente para
cada máquina virtual.
• ¡Peligroso! al trabajar con máquinas
vulnerables.
Bridged Mode
SWITCH
VMnet0
VM2
192.X.X.12
VM1
192.X.X.11
Adaptador
físico
192.X.X.10
Internet y/o
red interna
14. • Para ejecutar con éxito tu infraestructura y laboratorio, necesitas máquinas
que ataquen y máquinas a atacar (Intencionalmente vulnerables).
• Máquinas atacantes
• Kali Linux - https://www.kali.org/downloads/
• Parrot Security - https://www.parrotsec.org/download.fx
• BackBox - https://backbox.org/download
• Pentoo - http://www.pentoo.ch/download/
• Weakerthan - http://www.weaknetlabs.com/p/weakerthan-linux-6.html
• Wifislax - http://www.wifislax.com/category/download/nuevas-versiones/
Pero, que virtualizar?
15. • Máquinas a atacar – Intencionalmente vulnerables
• Metasploitable
• https://sourceforge.net/projects/metasploitable/
• Owasp Broken Web Apps
• https://www.owasp.org/index.php/OWASP_Broken_Web_Applications_Project
• VulnHub Máquinas libres (Algunas con tutoriales)
• https://www.vulnhub.com/
• Para estar atento a retos online
• https://ctftime.org/
• Infraestructura vulnerable
• https://hack.me/
• https://lab.pentestit.ru/
CTF - Capture the flag
Pero, que virtualizar?