jueves, 31 de octubre de 2013

Pentesting

El termino pentesting o test de intrusion son pruebas sobre los niveles de seguridad de los equipos informaticos y redes desde un punto de vista ético  siendo un entorno controlado o de pruebas en el que el atacante se tendra que adentrar como pueda en la red.

Para ello hay que seguir unas fases para tener un control sobre sus acciones porque si es en una empresa del que le contratan y tira la red pues ya se sabe lo que pasaria.... y no puedes imaginarlo.


Fases de la auditoria o test de intrusión.

0. Reglas del juego- Es el contrato en el que tanto la empresa como el equipo de pentesters pactan unas condiciones de lo que pueden y no pueden hacer. 

En principio no debería ser muy estricta porque si vamos a simular un ataque a la hora de mas carga y no podemos pues no sera muy real la auditoria porque un ciberatacante no se va a regir por reglas y siempre buscara hacer daño y las perdidas económicas.


1. Recolección de información- Esta fase puede dividirse en 2 a su vez: recoleccion fuera y dentro de la empresa. Recolectando toda la información que podamos de la empresa y sus trabajadores. Técnicas como google hacking, footprinting y fingerprinting serán las usadas para ello. 

Buscaremos información sobre trabajadores en redes sociales, estructura de la empresa, contraseñas en post-its, hojas con información confidencial en papeleras, trabajadores o ataques que hayan publicado información en Internet y todo lo que podamos conseguir.

2. Análisis de vulnerabilidades- Con la informacion conseguida vamos a ver como podemos colarnos por algún agujero o brecha de seguridad, aqui son comunes errores en el código  malas o falta de políticas de acceso, bases de datos vulnerables a sql injection, puertos abiertos, ingeniería social...

Esta false esta mas automatizada siendo una pieza clave los scaners de puertos y los analizadores de vulnerabilidades, hay que tener cuidado con los falsos positivos (no es oro todo lo que reluce)

3. Explotación de vulnerabilidades- Si hemos encontrado el agujero o la pared floja ahora hay que colarse. Aquí entran los archifamosos exploits conocidos o Zero-Days si aun no tienen parche. 

Esta es la parte mas divertida y en la que la vida tiene un sentido (snif,snif) pero debemos tener cuidado queremos colarnos no tirar el servidor así que debemos tener cuidado con que arma disparamos y anticiparnos a cuales van a ser sus consecuencias, asi que nada de ataques DDoS.

Una de las que nunca faltan en el arsenal es metasploit framework. Todo movimiento deberemos apuntarlo para el informe.

4. Postexplotacion del sistema- Estamos dentro del sistema pues la mision es ver hasta donde podemos colarnos pivotando por la red hasta la cocina y mas alla. En el caso de los troyanos lo que intentan es mantener la comunicación vida y ocultandose en el sistema otra fase podría ser limpiar huellas y ver todo lo que ha quedado registrado en los logs.

5. Generación de informes- Ahora debemos de hacer el papeleo una fase en la que emitiremos 2 informes uno para el departamento informatico para que parcheen el sistema explicando detalladamente las vulnerabilidades encontradas y en el informe para la direccion con gráficos que tanto gustan con el numero de vulnerabilidades y el nivel de riesgo de ellas.

Creo que mas o menos han ido quedando claras las fases y en posteriores post explicaremos mas detalladas cada una de ellas para no alargar esto.


Saludos guerreros!!


No hay comentarios:

Publicar un comentario