Tu DevOp me da trabajo: Soy auditor de seguridad

Anuncio

Anuncio

Anuncio

Anuncio

Anuncio

Anuncio

Anuncio

Anuncio

Anuncio

Anuncio

Anuncio

Anuncio

Tu DevOP me da
trabajo: Soy auditor
de seguridad
Daniel García (cr0hn) - @ggdanielMADRID · NOV 27-28 · 2015

MADRID · NOV 27-28 · 2015
<spam>Me</spam>
➡ Auditor de seguridad y hacking ético.
➡ Programador Python.
➡ Organizador de “...

MADRID · NOV 27-28 · 2015
De que NO va esta charla

MADRID · NOV 27-28 · 2015
De que NO va esta charla

MADRID · NOV 27-28 · 2015
De que NO va esta charla

MADRID · NOV 27-28 · 2015
De que NO va esta charla

MADRID · NOV 27-28 · 2015
De que NO va esta charla

MADRID · NOV 27-28 · 2015
¿ De qué va esta charla?
Fallos y “despiestes” que cometen
muchos los sysadmin / DevOps y de
cóm...

MADRID · NOV 27-28 · 2015
Lo primero… ¿qué es un DevOP?

MADRID · NOV 27-28 · 2015
Lo primero… ¿qué es un DevOP?

MADRID · NOV 27-28 · 2015
Lo primero… ¿qué es un DevOP?

MADRID · NOV 27-28 · 2015
Lo primero… ¿qué es un DevOP?

MADRID · NOV 27-28 · 2015
Lo primero… ¿qué es un DevOP?

MADRID · NOV 27-28 · 2015

MADRID · NOV 27-28 · 2015
Servidores web

MADRID · NOV 27-28 · 2015
Banners (1/2)
➡ Exponen el servidor web y/o la versión que está
corriendo en el servidor.
➡ Algu...

MADRID · NOV 27-28 · 2015
Banners (2/2)

MADRID · NOV 27-28 · 2015
Banners (2/2)

MADRID · NOV 27-28 · 2015
Banners (2/2)

MADRID · NOV 27-28 · 2015
Banners (2/2)

MADRID · NOV 27-28 · 2015
Banners (2/2)

MADRID · NOV 27-28 · 2015
Verbos HTTP
➡ Limitar a aquellos estrictamente necesarios.
➡ Desactivar verbos potencialmente pe...

MADRID · NOV 27-28 · 2015
Verbos HTTP
➡ Limitar a aquellos estrictamente necesarios.
➡ Desactivar verbos potencialmente pe...

MADRID · NOV 27-28 · 2015
Algoritmos de cifrado (1/2)
➡ SSL permite configurarle varios algoritmos de cifrado.
➡ Por defec...

MADRID · NOV 27-28 · 2015
Algoritmos de cifrado (2/2)

MADRID · NOV 27-28 · 2015
Algoritmos de cifrado (2/2)

MADRID · NOV 27-28 · 2015
Algoritmos de cifrado (2/2)

MADRID · NOV 27-28 · 2015
Instalaciones por defecto

MADRID · NOV 27-28 · 2015
Ficheros por defecto en el servidor
➡ Ficheros configuración en servidores de produccción.
➡ Fic...

MADRID · NOV 27-28 · 2015
Ficheros por defecto en el servidor
➡ Ficheros configuración en servidores de produccción.
➡ Fic...

MADRID · NOV 27-28 · 2015
Ficheros por defecto en el servidor
➡ Ficheros configuración en servidores de produccción.
➡ Fic...

MADRID · NOV 27-28 · 2015
Aplicaciones de ejemplo
➡ Pueden dar información útil a un atacante.
➡ Pueden contener fallos de...

MADRID · NOV 27-28 · 2015
Usuarios por defecto

MADRID · NOV 27-28 · 2015
Administración mal configurada

MADRID · NOV 27-28 · 2015
SSH
➡ NO permitir versiones del protocolo obsoletas o
vulnerables: SSHv1.
➡ Denegar el acceso ro...

MADRID · NOV 27-28 · 2015
Servicios olvidados

MADRID · NOV 27-28 · 2015
RPCBind
➡ Servicio de soporte a otros servicios.
➡ Por defecto escucha en todas las interfaces.
...

MADRID · NOV 27-28 · 2015
RPCBind
➡ Servicio de soporte a otros servicios.
➡ Por defecto escucha en todas las interfaces.
...

MADRID · NOV 27-28 · 2015
CUPSD
➡ Servicio de impresión de *NIX.
➡ Activo por defecto en prácticamente todas las nuevas
di...

MADRID · NOV 27-28 · 2015
DHCP
➡ SOLO debe de estar activo como CLIENTE en redes
locales.
➡ En servidores debería ser desa...

MADRID · NOV 27-28 · 2015
Servicios abiertos

MADRID · NOV 27-28 · 2015
Escucha en todas interfaces
➡ No todos los servicios han de escuchar en todas las
interfaces.
➡ ...

MADRID · NOV 27-28 · 2015
Broking / mensajería (1/2)
➡ Usados para distribución de
carga.
➡ Escuchan en todas las interfac...

MADRID · NOV 27-28 · 2015
Broking / mensajería (2/2)

MADRID · NOV 27-28 · 2015
Broking / mensajería (2/2)

MADRID · NOV 27-28 · 2015
Broking / mensajería (2/2)

MADRID · NOV 27-28 · 2015
MongoDB
➡ Expuesta al público para consumirse directamente su
información.
➡ Comprobar privilegi...

MADRID · NOV 27-28 · 2015
MongoDB
➡ Expuesta al público para consumirse directamente su
información.
➡ Comprobar privilegi...

MADRID · NOV 27-28 · 2015
Cachés

MADRID · NOV 27-28 · 2015
Memcache
➡ No implementa autenticación.
➡ Fue intentada para rendimiento, no para seguridad.
➡ Q...

MADRID · NOV 27-28 · 2015
Redis
➡ Uno de sus principales usos es el de caché.
➡ Sistema clave/valor.
➡ Almacenes de inform...

MADRID · NOV 27-28 · 2015
Rendimiento

Un chiste de descanso

Un chiste de descanso

MADRID · NOV 27-28 · 2015
Bases de datos

MADRID · NOV 27-28 · 2015
Roles y credenciales
➡ Las credenciales: root/root … no es una una contraseña
segura.
➡ Limitar ...

MADRID · NOV 27-28 · 2015
Restricción de accesos
➡ Limitar el acceso de los usuarios:
∘ Acceso a bases de datos.
∘ Acceso ...

MADRID · NOV 27-28 · 2015
“Scripts” vulnerables

MADRID · NOV 27-28 · 2015
Fallos de seguridad en código
➡ CUIDADO con los “scripts rápidos”.
∘ Se suelen dejar olvidados e...

MADRID · NOV 27-28 · 2015
Sistema operativo

MADRID · NOV 27-28 · 2015
Algoritmos de cifrado
MD5 / SHA1 son algoritmos de cifrado “rotos”
-> se pueden encontrar colisi...

MADRID · NOV 27-28 · 2015
Políticas de contraseñas
➡ Cuidado con las políticas de contraseñas y los usuarios:
∘ Contraseña...

MADRID · NOV 27-28 · 2015
Políticas de contraseñas
➡ Cuidado con las políticas de contraseñas y los usuarios:
∘ Contraseña...

MADRID · NOV 27-28 · 2015
Comandos del sistema operativo
➡ En producción NUNCA deberían de estar disponibles
ciertos coman...

MADRID · NOV 27-28 · 2015
Protocolo de red “inofensivos”
➡ ICMP
∘ Alerta de la presencia en la red.
∘ Si se necesita, filt...

MADRID · NOV 27-28 · 2015
Protocolo de red “inofensivos”
➡ ICMP
∘ Alerta de la presencia en la red.
∘ Si se necesita, filt...

MADRID · NOV 27-28 · 2015
IPv6
➡ Activo por defecto en todos los sistemas.
➡ Prácticamente un desconocido.
➡ Su filtrado e...

MADRID · NOV 27-28 · 2015
Kernel (1/2)
➡ Los módulos no usados pueden contener fallos.
➡ Cualquier módulo puede cargarse.
...

MADRID · NOV 27-28 · 2015
Kernel
Kernel (2/2)
https://wiki.gentoo.org/wiki/Signed_kernel_module_support

MADRID · NOV 27-28 · 2015
Kernel
Kernel (2/2)
https://wiki.gentoo.org/wiki/Signed_kernel_module_support

MADRID · NOV 27-28 · 2015
Kernel
Kernel (2/2)
https://wiki.gentoo.org/wiki/Signed_kernel_module_support

MADRID · NOV 27-28 · 2015
Kernel
Kernel (2/2)
https://wiki.gentoo.org/wiki/Signed_kernel_module_support

MADRID · NOV 27-28 · 2015
¿Dudas o preguntas?
¡Gracias!

Compartir Slideshare

LinkedIn
Facebook
Twitter

Insertar

Tamaño (px)

Mostrar Slideshows relacionadas al final

Código abreviado de WordPress

Enlace

Compartir
Dirección de correo electrónico

Hacking y python: Hacking de redes ... by Daniel Garcia (a.... 1327 views
El poder de los reptiles: Hacer her... by Daniel Garcia (a.... 950 views
Scapy: Crear un Frankenstein de re... by Daniel Garcia (a.... 851 views
Topera: Evadiendo Snort con IPv6 by Daniel Garcia (a.... 545 views
Cybercamp 2015 - Python, hacking y ... by Daniel Garcia (a.... 770 views
RootedCON 2016 - Broker & MQ injection by Daniel Garcia (a.... 906 views

Visualizar en Slideshare

1 de 74 Anuncio

Visualizar en Slideshare

1 de 74 Anuncio