Este documento describe diferentes tipos de controles de seguridad informática como físicos, técnicos y administrativos, y explica brevemente la evaluación de vulnerabilidades y el hacking ético. Luego, detalla las fases de un penetration test: reconocimiento, escaneo, enumeración, acceso y mantenimiento del acceso.
Curso de práctica operativa en investigación. Módulo 5. Internet, Documentaci...Internet Security Auditors
Clase impartida en el Colegio Oficial de Detectives de Cataluña dentro del Curso de Práctica Operativa de Investigación, en el Módulo "Internet, Documentación y Bases de Datos". En esta clase se analizan las "Herramientas de Investigación" de las que se disponen en un ordenador para detectar intrusiones, ataques o acciones realizadas en los sistemas. También se presentan las "Herramientas de Seguridad" que provee Internet y que están disponibles para todo el mundo que sepa dónde y como emplear estas herramientas.
Seguridad actual
•
Que es un hacker?
•
La importancia de nuestros datos
•
OSINT
•
Fases de hacking
•
Ataques
•
Controla tu exposición digital
•
Como convertirse en un profesional de la seguridad
Curso de práctica operativa en investigación. Módulo 5. Internet, Documentaci...Internet Security Auditors
Clase impartida en el Colegio Oficial de Detectives de Cataluña dentro del Curso de Práctica Operativa de Investigación, en el Módulo "Internet, Documentación y Bases de Datos". En esta clase se analizan las "Herramientas de Investigación" de las que se disponen en un ordenador para detectar intrusiones, ataques o acciones realizadas en los sistemas. También se presentan las "Herramientas de Seguridad" que provee Internet y que están disponibles para todo el mundo que sepa dónde y como emplear estas herramientas.
Seguridad actual
•
Que es un hacker?
•
La importancia de nuestros datos
•
OSINT
•
Fases de hacking
•
Ataques
•
Controla tu exposición digital
•
Como convertirse en un profesional de la seguridad
Presentación para ser utilizada en el curso de seguridad de la información. Grupo de trabajo académico GNU/Linux de la Universidad Distrital Francsico José de Caldas
"Ethical Hacking" Juan Carlos Velarde , desarrollada en el III Congreso Internacional de Informática Forense y Hacking Ético, desarrollado en la ciudad de Tarija en Bolivia el Sábado 03 de Mayo del 2014
Tecnicas de intrusion y contramedidas Oscar Gonzalez - Gabriel RamirezOscar Gonzalez
Esta charla, muestra en modo de resumen las etapas de una intrusión informática, las técnicas asociadas y como podemos defendernos, esta orientado tanto para personas que no esta en el tema, empresas y administradores de redes, así de esta manera se informan, están alerta y saben como cuidar su información.
Hacking etico es el proceso de penetración o intrusión en un sistema informático con el fin de pruebas de seguridad. Buscar este sitio https://www.secureit.es/procesos-y-gobierno-it/hacking-etico/ para obtener más información sobre Hacking ético. Los hackers que realización hacking ético son contratados por empresas para llevar a cabo pruebas de penetración. Estos hackers son expertos en seguridad informática, ya que desempeñan un papel crucial en asegurar una empresa seguridad sistema.SIGA CON NOSOTROS : http://seguridad-gestionada.blogspot.com/
Presentación para ser utilizada en el curso de seguridad de la información. Grupo de trabajo académico GNU/Linux de la Universidad Distrital Francsico José de Caldas
"Ethical Hacking" Juan Carlos Velarde , desarrollada en el III Congreso Internacional de Informática Forense y Hacking Ético, desarrollado en la ciudad de Tarija en Bolivia el Sábado 03 de Mayo del 2014
Tecnicas de intrusion y contramedidas Oscar Gonzalez - Gabriel RamirezOscar Gonzalez
Esta charla, muestra en modo de resumen las etapas de una intrusión informática, las técnicas asociadas y como podemos defendernos, esta orientado tanto para personas que no esta en el tema, empresas y administradores de redes, así de esta manera se informan, están alerta y saben como cuidar su información.
Hacking etico es el proceso de penetración o intrusión en un sistema informático con el fin de pruebas de seguridad. Buscar este sitio https://www.secureit.es/procesos-y-gobierno-it/hacking-etico/ para obtener más información sobre Hacking ético. Los hackers que realización hacking ético son contratados por empresas para llevar a cabo pruebas de penetración. Estos hackers son expertos en seguridad informática, ya que desempeñan un papel crucial en asegurar una empresa seguridad sistema.SIGA CON NOSOTROS : http://seguridad-gestionada.blogspot.com/
Curso de Práctica Operativa en Investigación. Módulo 5. Internet Security Aud...Internet Security Auditors
Clase impartida en el Colegio Oficial de Detectives de Cataluña. En esta clase se analizan las "Herramientas de Investigación" de las que se disponen en un ordenador para detectar intrusiones, ataques o acciones realizadas en los sistemas. También se presentan las "Herramientas de Seguridad" que provee Internet y que están disponibles para todo el mundo que sepa dónde y como emplear estas herramientas.
Seguridad de la Red
Corporación de Industrias Tecnológicas S.A.
E.D.S.I. Trend Argentina S.A. Certified Partners
www.CorpintecSA.com
contacto@CorpintecSA.com
3. • Según el tipo de recursos utilizados
– Controles físicos
• Cerraduras electrónicas
• Sistemas biométricos
– Controles técnicos o lógicos
• Sistemas de detección de intrusos
• Seguridad de aplicaciones
– Controles administrativos
• Determinan la configuración del resto de los controles
• Determinan las reglas
4.
5. Vulnerability Assesment
• Es un análisis de puntos débiles o
vulnerabilidades de carácter técnico
• No necesariamente está relacionado con los
sistemas informáticos o las comunicaciones
• Se aplica a diversos campos:
– Plantas de energía nuclear
– Procesos de biotecnología
– Sistemas de distribución de agua
– Redes de distribución de energía
• Busca determinar las amenazas
6. Ethical Hacking
• Hacker: es un experto en una o varias áreas de un dominio
específico. Es una persona a quien le apasiona el
conocimiento y el deseo de comprender el funcionamiento
de las cosas.
• Según el aspecto ético:
– White Hat hackers.
• Poseen un código de ética
• Encargados de proteger los sistemas informáticos
– Black Hat Hackers
• No poseen código de ética
• Sus valores están relacionados con el dinero y la falsa rebeldía.
– Grey Hat Hackers.
• Están al borde de la legalijdad y pueden cambiar su senda según el
mejor postor
7. • Ethical hacking: es un análisis puramente
técnico que suele realizarse en forma remota.
– Un tester prueba la seguridad de los sistemas a
través de Internet
– También puede tener acceso físico e interactuar
con el personal de la organización, en este caso
estamos hablando de un Penetration test.
8. FASES DE UN PENETRATION TEST
• Fase de reconocimiento:
– Análisis de tipo WhiteBox
– Análisis de tipo Black Box
– Gathering Information
• Se define el tipo de objetivo y se obtiene la mayor cantidad de
información:
– Direcciones de Email
– Direcciones físicas
– Información personal
– Direcciones IP
– Resolución de nombres
• Se utilizan técnicas como
– Footprinting
– Ingeniería social
– Dumpter diving (trashing)
9. – Otras técnicas de conseguir información
• Busqueda online
• Búsqueda offline
• Google Hacking
10.
11. – En esta etapa es posible encontrar una gran cantidad
de información en base a paciencia
– Existen recursos online que ofrecen mucha
información referente a dominios, servidores DNS,
etc.
• www.goolag.org
• www.kartoo.org
• www.traceroute.org
• www.whois.net
• www.patera.com/maltego
• www.fixedorbit.com
• www.robtex.com
• www.samspade.com
12. – Existen extensiones para navegadores que pueden
proporcionar información sobre sitios.
• AS Number
• PasiveRecon
• HackBar
13.
14. • Fase de Escaneo
– Se utiliza la información para detectar Vectores de Ataque.
• Escaneo de Puertos y Servicios
– Determinar que puertos están abiertos y a que aplicación pertenece
• Escaneo de Vulnerabilidades
– Sistema operativo y aplicaciones
– Otra clasificación
• Detección de sistemas vivos
• Escaneo de puertos
• Detección del sistema operativo
• Identificación de servicios
• Escaneo de vulnerabilidades
• Planificación del ataque
15. • Un host vivo se detecta mediante ping sweep, que
consiste en enviar ping por broadcast a los hosts de
una red.
– Ping scanner
– Zenmap
• Los puertos se pueden analizar con:
– Syn stealt scan
– Fin scan
– Xmas tree scan
– Null scan
• Los servicios se pueden identificar a partir del banner
grabbing.
16.
17. – El escaneo de vulnerabilidades depende de los
servicios que se encuentren,(Web, FTP, etc) y del
sistema operativo (Windows, Linux, Solaris) y las
aplicaciones involucradas ( IIS, Apache, etc) a
partir de las cuales se pueden identificar
vulnerabilidades conocidas.
– La planificación del ataque tendrá como objetivo
la anonimización y la ocultación de las huellas del
ataque.
18. • Fase de enumeración
– Obtener información relativa a los usuarios,
nombres de equipos, recursos y servicios de red.
– Herramientas
• SuperScan de Foundstone
• Telnet
• Netcat
• Hyena
19.
20. • Fase de acceso
– Ingreso al sistema y toma de control del mismo
– Ownear el servidor.
– Se utilizan sistemas de explotación
• Metasploit Framework
• Core Impact
• Inmuniti Canvas
– Existen recursos para obtener información
• Open Source Vulnerabiliti Database
• Bugtraq
• Common Vulnerability Scoring System
• Packet Storm
• BugReport
21.
22. – El objetivo es lograr una escalada de privilegios para
ejecutar aplicaciones o comandos en forma remota.
– Es usual engañar al usuario con técnicas de ingeniería
social para que realice una determinada acción
• Fase de mantenimiento del acceso
– Garantiza que el acceso ganado sea perdurable en el
tiempo para retomar el acceso al equipo.
– Se busca mantener la anonimidad y ocultar huellas.
23. • Una metodología utilizada para realizar un
Penetration Test es OSSTMM (Open Source
Security Testing Metodology Manual)