HACKING ETICO, EXPOSICIONES

1. PRESENTADO POR:
Michael Mariño Gamboa
 Ingeniero en Informática y
Sistemas
 Docente de Educación Superior
 Perito Judicial Informático CSJH
2018

2. AGENDA
HACKER
¿Qué es un hacker?
Tipos de hackers
¿Cuáles son las motivaciones de los
hackers?
HACKING ÉTICO
¿Qué es el hacking ético?
Perfil del hacker ético
Tipos de pentesting
Proceso del hacking
¿Dónde están empleados los hackers
éticos?
EJEMPLOS PRÁCTICOS
Ejemplo de pishing
Ejemplo hacking en Kali Linux

4. Es una persona con amplios conocimientos informáticos que
le permitan acceder a sistemas remotos de manera legítima o
ilegítima según sea su propósito.
Un hacker puede o no realizar una acción criminal tal como la
modificación de datos, robo de información o transferencia de
fondos.
1.1 ¿QUÉ ES UN
HACKER?

5. 1.2 TIPOS DE HACKERS
Son los contrarios de los white hat, estos son los
que se dedican a buscar los bugs, para explotarlos,
alterarlos, sabotearlos, robar información que les
haga útil e importantes, desarrollan programas
como malware, virus, troyanos, crack’s para
software propietario, etc., incluso hacen negocios
muy lucrativos con estos actos informáticos.
Black Hat
Hace referencia a un hacker de
sombrero blanco, el cuál se rige por
su etica, esta se centra en analizar,
testear, proteger y corregir
vulnerabilidades (bugs) en los
sistemas de información y
comunicación.
White Hat

6.  Diversión
 Curiosidad
 Para probar sus habilidades
 Por pago
 Por venganza
 Destrucción
 Encargo de gobiernos
1.3 ¿CUÁLES SON LAS MOTIVACIONES DE LOS HACKERS?

8. Es un proceso a través del cual las organizaciones realizan
pruebas de ataque autorizadas a sus sistemas informáticos con el
fin de identificar posibles brechas de seguridad y poder parcharlas
antes de que suceda un ataque real.
2.1 ¿QUÉ ES EL HACKING ÉTICO?
Todo el proceso es auditado y el
resultado es un informe final que
contiene los hallazgos identificados
en un sistema, el cual es entregado
al cliente junto con las medidas de
mitigación respectivas.

9. MUY IMPORTANTE
La diferencia entre un criminal y un hacking ético únicamente es
el nivel de autorización que se cuenta para realizar las pruebas.
El hacking ético debe firmar un acuerdo con el interesado donde
se le autoriza expresamente a ejecutar pruebas de hacking y el
nivel de profundidad de las mismas.
La ausencia de esta documentación
puede tener implicaciones criminales
serias dependiendo del país o
jurisdicción.

10. 2.2 PERFIL DEL HACKER ÉTICO
 Experto en sistemas operativos Linux, Windows, Unix.
 Experto en seguridad, criptografía, técnicas de defensa y ataque.
 Hábil programador/desarrollador.
 Conoce como operan las diferentes bases de
datos.
 Experto en redes.
 Consciente de la legislación y procesos de
documentación.
 Hábil con ingeniería social.
 Siempre a la vanguardia de las tecnologías nueva.
 Buena capacidad de redacción y ortografía.

11. 2.3 TIPOS DE PESTENTING
En este tipo de prueba el
testeador conoce todos los
datos del sistema a evaluar
(las contraseñas, firewalls o
IPs del sistema informático,
entre otros). Por tanto, el
ataque se simula como si
fuese realizado por alguien
de dentro, es decir, alguien
que forma parte de la
empresa.
White Box
Esta prueba es un
intermedio o mezcla de white
box y black box. En este
caso el testeador contará
con algo de información a la
hora de realizar el test,
aunque sigue siendo un
buen simulacro de ataque
ajeno al sistema.
Grey Box
En esta prueba el testeador
realiza sus análisis
completamente a ciegas, es
decir, sin contar con
información de ningún tipo
sobre el sistema a evaluar.
Por tanto el ataque lo
realizará como si lo hiciera
alguien totalmente ajeno a la
empresa.
Black Box

12. 2.4 PROCESO DEL HACKING
1. Identificación del objetivo
2. Footprinting/Scanning
3. Análisis de vulnerabilidades
4. Hackeo del sistema
5. Escalonamiento de privilegios
6. Acción de hackeo
7. Eliminación de registros

13. 1. Identificación del objetivo
Persona Infraestructura Organización

14. 2. Footprinting/Scanning
 Información pública
 Documentos
 Direcciones IP
 Infraestructura
 Contraseñas expuestas
 Correos electrónicos
 Organigramas
 Google hacking
 Ingenieria social

15. 3. Análisis de vulnerabilidades
 Escaneos de puertos y aplicaciones
 Exploits (públicos o 0-day)
 Herramientas automáticas (Acunetix, OpenVAS,
Nessus, etc.)
 Código fuente
 Script y aplicaciones
 SQL Injection
 DoS – DDoS
EVASION DE SENSORES
PERIMETRALES DE DETECCIÓN:
 Firewalls
 IDS
 IPS

16. 4. Hackeo del sistema
 Explotación de las vulnerabilidades
 Ingresos a los sistemas descubiertos
 Ataque de fuerza bruta/Diccionario
 Descifrando tráfico SSL
 Man-in-the-middle (MITM)

17. 5. Escalonamiento de privilegios
01 02
03
04
 Objetivo: root en Linux/Unix
 Objetivo: administrador en Window
 Objetivo: administrador en sistema privado o BD

18. 6. Acción de hackeo
CONFIDENCIALIDAD
 Suplantación de identidad
 Descifrado de datos
 Man-in-the-middle
 Robo de contraseñas
 Espionaje
 Lectura de base de datos
INTEGRIDAD
 Modificación de una BD
 Cambio de contraseñas
 Destrucción de los datos
 Implantación de Malware
DISPONIBILIDAD
 Denegación de servicio (Denial of
Service – DoS)
 DDoS apagado/reinicio de sistemas
 Reconfiguracion de la red

19. 7. Eliminación de registros
 Eliminación de log locales (ej: /var/log/)
 Destruccion de sistemas de log remotos (Syslog
Servers)
 Uso de Proxy, VPNs, Jumphost o equipos de terceros
 Ataques de lento timing para evasión de IDS/IPS

20. 2.5 ¿DONDE ESTÁN EMPLEADOS LOS HACKERS ÉTICOS?
 Empresas de ciberseguridad
 SOCs (Segurity Operation
Centers)
 Bancos
 Gobiernos
 Consultores
 Corporaciones

22. 3.1 EJEMPLO DE PISHING

23. 3.2 EJEMPLO BÁSICO DE HACKING CON KALI LINUX
PROCEDIMIENTO
 Instalación de Kali Linux en una máquina virtual
 Ingresar a otra computadora a través de los puertos

24.  Instalación de Kali Linux en una máquina virtual
Descargar Kali Linux:
https://www.kali.org/

25.  Instalación de Kali Linux en
una máquina virtual
Descargar VirtualBox:
https://www.virtualbox.org/

26.  Instalación de Kali Linux en
una máquina virtual
Abrir VirtualBox e importar la
descarga de la diapositiva
anterior (Kali Linux para
VirtualBox).

27.  Instalación de Kali Linux en
una máquina virtual
Abrir la terminal de Kali Linux
Actualizar los repositos de Kali
Linux y todo el sistema:
sudo apt update && sudo apt
upgrade -y

28.  Instalación de Kali Linux en
una máquina virtual
Ser usuario root:
sudo su
COMANDOS DE KALI LINUX
NAVEGACIÓN POR LA
TERMINAL
IDENTIFICACION DE
USUARIO
BUSQUEDA Y FILTRO ACTUALIZACION Y
GESTION DEL SOFTWARE
 pwd
 ls
 cd
 mkdir
 rm
 mv
 cp
 touch
 whoami
 Id
 su
 sudo
 passwd
 who
 w
 grep
 find
 locate
 apt

30.  Un puerto es un punto virtual en el que
comienzan y terminan las conexiones de
red.
 Los puertos están basados en software y
los gestiona el sistema operativo de un
ordenador.
 Cada puerto está asociado a un proceso o
servicio específico.
 Los puertos permiten a los ordenadores
diferenciar fácilmente los distintos tipos de
tráfico: los correos electrónicos van a un
puerto distinto de las páginas web, por
ejemplo, aunque ambos lleguen a un
ordenador a través de la misma conexión a
Internet.
¿Qué es un puerto?

31.  Ingresar a otra computadora a través de sus puertos
Página web para practicar:
https://overthewire.org/wargames/bandit/bandit0.html

32. GRACIAS