Herramientas de analisis de vulnerabilidad

1. Herramientas de
analisis de
vulnerabilidad
Iñaki Sanzberro
19/09/2017

2. Definicion de herramientas de analisis de
vulnerabilidad:
Son herramientas que permiten realizar pruebas o test de ataques para determinar si una red o
equipo tienen fallos de seguridad.
Hay dos casos de detectores de intrusos:
● Detección de intrusos: sistema de tipo dinámico que trabaja de forma continua.
● Escáneres de vulnerabilidad: sistema de tipo estático que trabaja en intervalos de tiempo
determinado

3. Proceso de analisis :
1. Se muestra un conjunto específico de atributos de sistema
2. Los resultados del muestreo se almacenan en un recipiente de datos seguro.
3. Los resultados se organizan y comparan con al menos un conjunto de referencia de datos
(puede ser una plantilla de configuración generada manualmente, o bien una imagen del
estado del sistema hecha con anterioridad)
4. Se genera un informe con las diferencias entre ambos conjuntos de datos

4. Formas de clasificar los analisis de
vulnerabilidad:
● En base a la fuente de datos
○ análisis basados en máquinas
○ análisis basados en red
● En base al nivel de confianza del que hace uso:
● Usando credenciales (uso identificacion y autenticacion que concedan acceso a partes
internas del sistema)
● Sin uso de credenciales

5. ● Escanea redes y reporta información como:
● El nivel de service pack de cada máquina, falta de parches de seguridad, recursos
compartidos, puertos abiertos, servicios, aplicaciones activas en el equipo, datos del
registro, passwords débiles, usuarios y grupos, puntos de acceso wireless, dispositivos
USB…
● Escanea los resultados y los guarda en documentos HTML, sobre los que se puede
consultar la información
● Existe una versión gratuita que está disponible para su prueba y uso no comercial durante
30 días.

6. ● Nikto es un escáner de servidores web, open source (GPL) que busca más de 2000
archivos potencialmentes peligrosos y problemas en más de 200 servidores.
● Tiene la capacidad de no solo probar vulnerabilidades de CGL sino también que lo hace de
forma evasiva, evitando los sistemas de detección de intrusos.
● Viene con una documentación muy completa, la cual es recomendable revisar antes de
ejecutar el programa.
● Es una buena herramienta pero limitada por su uso de whisker/libwhisker, debido a la
falta de actualizaciones de esta última, por lo que las vulnerabilidades más críticas no son
detectadas.

7. Web Scarab
● Herramienta que permite analizar aplicaciones que se comunican usando protocolos de
comunicación web como el HTTP y el HTTPS.
● Almacena los resultados de sus escaneos lo que permite consultarlos por parte del
usuario tantas veces como lo desee.
● WebScarab está diseñada para ser una herramienta que expone a un desarrollador de
aplicaciones basadas en HTTP(S) a depurar los errores de implementación que pudieran
surgir y permitir identificar vulnerabilidades en el sistema.

8. ● Es la herramienta de evaluación de vulnerabilidades para UNIX de mayor renombre.
● Nessus es el mejor escáner de vulnerabilidad Open Source (GPL) que has disponible en la
red y el que mejor funciona sobre UNIX. Se actualiza constantemente, con más de 11.000
plugins gratuitos.
● Nessus 3 ahora es de código cerrado, pero es de coste gratuito a menos que dejes los
plugins más recientes.

9. Fuentes de Informacion:
● Pagina web herramientas de vulnerabilidad
https://idcoalition.org/es/publication/identifying-and-addressing-vulnerability-a-tool-for
-asylum-and-migration-systems/
● Nessus : http://www.tenable.com/products/nessus-vulnerability-scanner
● GFI Languard:
https://www.gfihispana.com/products-and-solutions/network-security-solutions/gfi-lang
uard
● Nikto: https://cirt.net/Nikto2
● WebScarab: https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project

10. Final de la presentación:
Espero que esta presentación os haya servido para informaros sobre las herramientas de
vulnerabilidad, y para qué sirve y las diferentes tipos que tiene.
Os doy mi agradecimiento por vuestra atención.
Si quereis preguntar algún apartado sobre la presentación dejar un comentario o poneros en
contacto con mi correo inakiasir93@gmail.com
Gracias y un Saludo