El documento habla sobre el tema de Pentesting (pruebas de penetración). Explica que el Pentesting implica simular un ataque real a una red o sistema para descubrir y reparar problemas de seguridad. También describe las 7 fases del proceso de Pentesting, los objetivos de realizar Pentesting, diferentes herramientas de escaneo como Nmap y Nessus, tipos de firewalls y cómo determinar si hay un firewall.

1. CURSO HACKER ÉTICO
Clase02
By Franciny Salles (#Bl4kd43m0n)

2. Don’t become a mere recorder of facts, but try to
penétrate the mystery of their origin.
Ivan Pavlov
Pentesting

3. Un Pentesting es un procedimiento metodológico y
sistemático en el que se simula un ataque real a una
red o sistema, con el fin de descubrir y reparar
problemas de seguridad.
Pentesting

4. El proceso implica un análisis del sistema de las
vulnerabilidades potenciales que podrían resultar
de mala o incorrecta configuración del sistema, tanto
conocidas como desconocidas fallas de hardware o
software.
Pentesting

5. Pentesting

6. El pentester debe tener conocimientos en
programación para la creación de herramientas y
códigos, procesamientos sistemáticos de pruebas,
creación de documentaciones, escritura de reportes
y presentar resultados de sus investigaciones a
técnicos y áreas de administración.
Pentesting

7. Web Penetration Testing
Son análisis y pruebas de seguridad de similares
características a las de un Penetration Test, pero con
un fuerte foco en la capa de aplicación de los
sistemas web. Este servicio permite encontrar
problemas no solo asociados a las infraestructuras
que soportan a los sistemas, sino que detecta
problemas en la programación, lógica de manejo de
sesiones o procesos de autenticación, entre otros.
Pentesting

8. Pruebas de Pentesting vs Auditoría
Auditoría
-Análisis
Los archivos de configuración
Arquitectura.
Código fuente.
Política de conformidad.
Planes y Procedimientos Operacionales.
Pentesting

9. Pruebas de Pentesting
- Simulación de un atacante motivado por una cantidad
específica de tiempo.
- Caja Negra (procedimientos de auditoría a una aplicación
sin conocimiento del código fuente y sin información
privilegiada).
- Caja Blanca (cuando se tiene información total sobre la
aplicación auditada, incluye también saber el código fuente).
- Es màs como una instantánea de la seguridad actual de un
sistema o un de procesos de negocio.
Pentesting

10. Existen estándares como ISO/IEC 17799 para
correcto uso de la seguridad de la información y
metodologías como NIST SP 800-42.
Pentesting

11. Objetivos principales:
Obtener una fotografía del estado de la seguridad que la
organización, sistema u host objetivo en un momento
determinado.
Visualizar su compañía desde el punto de vista del atacante,
localizando debilidades, vulnerabilidades y puntos de acceso
no autorizados, antes que lo hagan los atacantes.
Comprobar el verdadero impacto de las vulnerabilidades en
su entorno particular.
Comprobar si el nivel de protección existente se condice con
la política de seguridad establecida por la organización.
Comprobar la efectividad de sus medidas de protección,
políticas y procesos de detección de intrusos y respuesta a
incidentes.
Pentesting

12. ¿Por qué realizar un Penetration Test?
Para conocer el estado de la seguridad
de una organización
(especialmente si nunca se realizó una auditoría de
estas características).
Para establecer un punto de partida para comenzar a
gestionar la seguridad de la organización.
Para constituir un ciclo de revisión y
mejora para la seguridad.
Pentesting

13. Fases
#1 – Reconocimiento (Footprinting)
Posiblemente, esta sea una de las etapas que más tiempo
demande. Asimismo, se definen objetivos y se recopila toda
la información posible que luego será utilizada a lo largo de
las siguientes fases. La información que se busca abarca
desde nombres y direcciones de correo de los empleados de
la organización, hasta la topología de la red, direcciones IP,
entre otros. Cabe destacar que el tipo de información o la
profundidad de la pesquisa dependerán de los objetivos que
se hayan fijado en la auditoría.
Pentesting

14. Fases
#2 – Fase de Escaneo
-
- Identificar puertos y servicios
- Nmap
- Nessus
- TCP / UDP
- Conocer la información del equipo
- Información sobre el servidor
Pentesting

15. Fases
#3 – Fase de Enumeración
-
El objetivo de esta etapa es la obtención de los datos
referente a los usuarios, nombres de equipos, servicios de
red, entre otros. A esta altura de la auditoría, se realizan
conexiones activas con el sistema y se ejecutan consultas
dentro del mismo.
Pentesting

16. Fases
#4 – Fase de Acceso
-
En esta etapa finalmente se realiza el acceso al sistema. Esta
tarea se logra a partir de la explotación de aquellas
vulnerabilidades detectadas que fueron aprovechadas por el
auditor para comprometer el sistema.
Pentesting

17. Fases
#5 – Fase de Mantenimiento de Acceso
-
: Luego de haberse obtenido el acceso al sistema, se busca
la manera de preservar el sistema comprometido a
disposición de quien lo ha atacado. El objetivo es mantener
el acceso al mencionado sistema perdurable en el tiempo.
Pentesting

18. Fases
#6 – Ataques Wifi
Explotando conexión Wifi.
Pentesting

19. Fases
#7 – Elaboración y Presentación de Reportes
En este servicio se generan 3 entregables o reportes que ayudan y guían al cliente en
el proceso de remediación de vulnerabilidades.
El primero de ellos, el informe ejecutivo, describe el nivel de riesgo de la compañía
sin entrar en detalles técnicos, evidenciando las problemáticas por medio de
conceptos claros y gráficas.
El segundo reporte, el informe técnico, apunta al área técnica de la empresa,
ayudando al personal de TI a solucionar los problemas detectados.
En este reporte se muestran todas las evidencias de los testes ejecutados de manera
tal que todas las tareas sean repetibles y transparentes para el cliente.
Por último, el informe de estrategias, es un reporte que se elabora en base a los
hallazgos, y que explica al cliente que procesos y mecanismos puede emplear para no
solo bajar el nivel de riesgo actual, sino de qué forma evitar que las
problemáticas detectadas vuelva a aparecer a futuro.
Pentesting

20. Scanners
Languard
Producto de la empresa GFI Software Ltd, es un scanner de redes con algunas
características de detección de vulnerabilidad.
Es muy bueno para realizar pruebas en redes con varias máquinas Windows. Tiene
recursos para detectar archivos compartidos y “conoce” un gran numero de fallas del
SO Windows.
No funciona en Windows XP SP 2, no está disponible para otras plataformas, sólo
para Windows.
Es un scanner tipo “híbrido”, porque detecta puertos y vulnerabilidades.
Administradores de redes utilizan mucho, pero hacker prefieren herramientas más
“potentes”.
Pentesting

21. Scanners
Otros productos GFI Ltd.
Seguridad de contenido
GFI MailEssentials Protección anti spam y phishing de forma centralizada para
servidores de correo electrónico.
GFI MailSecurity Solución de detección de vulnerabilidades, análisis de amenazas y
antivirus para servidores de correo.
GFI WebMonitor Utilidad para Microsoft ISA Server que permite monitorear los sitios
en que están navegando sus usuarios y qué archivos están descargando en tiempo
real.
Pentesting

22. Scanners
Otros productos GFI Ltd.
Mensajería
GFI MailArchiver Permite la administración y el almacenamiento de correos
electrónicos, fuera de las bases de Exchange y sin necesidad de utilizar PSTs.
GFI Faxmaker Se integra con servidores SMTP permitiendo a los usuarios enviar y
recibir faxes, mensajes SMS y de texto directamente desde los clientes de correo.
Pentesting

23. Scanners
Otros productos GFI Ltd.
Seguridad de red
GFI Languard Network Security Scanner Solución que permite escanear, detectar,
evaluar y remediar cualquier vulnerabilidad de seguridad de su red.
GFI EventsManager Solución para monitoreo, administración y archivo de eventos de
sistemas. Permite administrar y controlar registros de sucesos Windows, registros
W3C, sucesos Syslog y SNMP Traps.
GFI EndPointSecurity Permite controlar en toda la red el flujo de datos a través de
dispositivos de almacenamiento portátiles.
GFI Network Server Monitor Monitorea automáticamente redes y servidores en
busca de fallas.
Pentesting

24. Scanners
Nessus
Nessus es un programa de escaneo de vulnerabilidades en diversos sistemas
operativos. Consiste en un daemon, nessusd, que realiza el escaneo en el sistema
objetivo, y nessus, el cliente (basado en consola o gráfico) que muestra el avance e
informa sobre el estado de los escaneos. Desde consola nessus puede ser
programado para hacer escaneos programados con cron.
En operación normal, nessus' comienza escaneando los puertos con nmap o con su
propio escaneador de puertos para buscar puertos abiertos y después intentar varios
exploits para atacarlo. Las pruebas de vulnerabilidad, disponibles como una larga lista
de plugins, son escritos en NASL (Nessus Attack Scripting Language, Lenguaje de
Scripting de Ataque Nessus por sus siglas en inglés), un lenguaje scripting optimizado
para interacciones personalizadas en redes.
Pentesting

25. Scanners
Nessus
Opcionalmente, los resultados del escaneo pueden ser exportados como informes en
varios formatos, como texto plano, XML, HTML, y LaTeX. Los resultados también
pueden ser guardados en una base de conocimiento para referencia en futuros
escaneos de vulnerabilidades.
Algunas de las pruebas de vulnerabilidades de Nessus pueden causar que los
servicios o sistemas operativos se corrompan y caigan. El usuario puede evitar esto
desactivando "unsafe test" (pruebas no seguras) antes de escanear.
Pentesting

26. Scanners
Nmap
Nmap es un programa de código abierto que sirve para efectuar rastreo de
puertos escrito originalmente por Gordon Lyon (más conocido por su alias Fyodor
Vaskovich) y cuyo desarrollo se encuentra hoy a cargo de una comunidad. Fue creado
originalmente para Linux aunque actualmente es multiplataforma.Se usa para
evaluar la seguridad de sistemas informáticos, así como para descubrir servicios o
servidores en una red informática, para ello Nmap envía unos paquetes definidos a
otros equipos y analiza sus respuestas.
Pentesting

27. Scanners
Nmap
Ha llegado a ser una de las herramientas imprescindibles para todo administrador de
sistema, y es usado para pruebas de penetración y tareas de seguridad informática
en general.
Como muchas herramientas usadas en el campo de la seguridad informática, es
también una herramienta muy utilizada para hacking.
Los administradores de sistema pueden utilizarlo para verificar la presencia de
posibles aplicaciones no autorizadas ejecutándose en el servidor, así como los
crackers pueden usarlo para descubrir objetivos potenciales.
Pentesting

28. Scanners
Nmap
Nmap permite hacer el inventario y el mantenimiento del inventario de
computadores de una red. Se puede usar entonces para auditar la seguridad de una
red, mediante la identificación de todo nuevo servidor que se conecte:
Nmap es a menudo confundido con herramientas para verificación
de vulnerabilidades como Nessus. Nmap es difícilmente detectable, ha sido creado
para evadir los Sistema de detección de intrusos (IDS) e interfiere lo menos posible
con las operaciones normales de las redes y de las computadoras que son analizadas.
Pentesting

29. Firewall
Un cortafuegos (firewall) es una parte de un sistema o una red que está diseñada
para bloquear el acceso no autorizado, permitiendo al mismo tiempo
comunicaciones autorizadas.
Se trata de un dispositivo o conjunto de dispositivos configurados para permitir,
limitar, cifrar, descifrar, el tráfico entre los diferentes ámbitos sobre la base de un
conjunto de normas y otros criterios.
Los cortafuegos pueden ser implementados en hardware o software, o en una
combinación de ambos. Los cortafuegos se utilizan con frecuencia para evitar que los
usuarios de Internet no autorizados tengan acceso a redes privadas conectadas a
Internet, especialmente intranets. Todos los mensajes que entren o salgan de la
intranet pasan a través del cortafuegos, que examina cada mensaje y bloquea
aquellos que no cumplen los criterios de seguridad especificados.
Pentesting

30. Firewall
También es frecuente conectar el cortafuegos a una tercera red, llamada zona
desmilitarizada o DMZ, en la que se ubican los servidores de la organización que
deben permanecer accesibles desde la red exterior.
Un cortafuegos correctamente configurado añade una protección necesaria a la red,
pero que en ningún caso debe considerarse suficiente.
Pentesting

31. Firewall
Políticas del cortafuegos
Hay dos políticas básicas en la configuración de un cortafuegos que cambian
radicalmente la filosofía fundamental de la seguridad en la organización:
Política restrictiva: Se deniega todo el tráfico excepto el que está explícitamente
permitido. El cortafuegos obstruye todo el tráfico y hay que habilitar expresamente el
tráfico de los servicios que se necesiten. Esta aproximación es la que suelen utilizar la
empresas y organismos gubernamentales.
Política permisiva: Se permite todo el tráfico excepto el que esté explícitamente
denegado. Cada servicio potencialmente peligroso necesitará ser aislado
básicamente caso por caso, mientras que el resto del tráfico no será filtrado. Esta
aproximación la suelen utilizar universidades, centros de investigación y servicios
públicos de acceso a Internet.
Pentesting

32. Firewall
La política restrictiva es la más segura, ya que es más difícil permitir por error tráfico
potencialmente peligroso, mientras que en la política permisiva es posible que no se
haya contemplado algún caso de tráfico peligroso y sea permitido por omisión.
Hay varios tipos de firewall, es imprescindible que estudien todos muy
detalladamente.
Pentesting

33. Firewall
Determinando de hay un firewall
Hay varias maneras de verificar si existe un firewall. Cada modelo posee
características muy particulares: entonces podemos provocar el programa para que
reaccione de alguna forma y pueda ser identificado.
Podemos usar nmap. Un buen comienzo es analizando que sistema operativo tiene
cada host.
# nmap –O 200.200.200.1 (e 2, e 3, 4…)
Pentesting