Hoy, el mundo ha llegado a una era en la que todas las empresas necesitan usar la tecnología como la columna vertebral de sus operaciones diarias. No solo las empresas, las empresas sin fines de lucro e incluso las organizaciones religiosas también tuvieron que adoptar la tecnología para satisfacer sus necesidades. Como resultado de eso, tener buenos sistemas informáticos se ha convertido en un pilar del éxito de las empresas modernas.
Si bien estos sistemas informáticos han aumentado la productividad y la calidad del servicio de la operación diaria, conllevan amenazas contra la confidencialidad, integridad y disponibilidad de la información que manejan estos sistemas, que se cuentan como activos de la organización. Esas amenazas pueden ser causadas por varios tipos de ataques informáticos.
Con la integración de las redes de computadoras a estos sistemas, el número de posibles tipos de ataque se multiplica aún más. Debido a esta situación, las empresas grandes y medianas tienden a invertir millones de dólares para realizar auditorías de seguridad de sus sistemas, redes e infraestructura de TI corporativos de manera recurrente.
La evaluación de vulnerabilidad y las pruebas de penetración son las auditorías de seguridad más comunes en la auditoría de seguridad de sistemas y redes. Según lo explicado por Baloch (2017), La prueba de penetración o prueba de lápiz es el proceso que identifica las vulnerabilidades de un sistema y verifica si esas vulnerabilidades son realmente explotables por una parte no autorizada. Sin embargo, una evaluación de vulnerabilidad solo señala todas las vulnerabilidades de un sistema o red, independientemente de su explotabilidad. Dado que el informe de penetración no contiene vulnerabilidades positivas falsas, es una opción más conveniente para realizar auditorías de seguridad.
Una prueba de penetración identifica y simula vectores de ataque que un atacante puede aprovechar para entrometerse en el perímetro de seguridad de una organización mientras documenta los hallazgos junto con las recomendaciones para mitigar las amenazas identificadas según lo señalado por Graves (2010). El siguiente marco de prueba de penetración define cómo llevar a cabo una prueba de penetración exitosa en tres fases diferentes como modelo.
Descargo de responsabilidad: La información mencionada a continuación es solo para referencia educativa. El editor ha borrado intencionalmente las IP públicas y la mayoría de las marcas de la organización en las siguientes cifras debido a razones de seguridad.
Fase 1: Pre-ataque
1.1 Introducción
Tumbas (2010) ha declarado Pre-Attack es la fase de combinación de Reconocimiento (recopilar información confidencial sobre el objetivo que ya está disponible en otras fuentes), Exploración (Ubicación del bloqueo de IP y la topología de red de la red de orientación) y Huella (Información valiosa sobre el sistema operativo que se ejecuta en el objetivo).
Además de estos, la fase previa al ataque incluye un documentando parte para satisfacer los requisitos legales y defensivos del pentester y el cliente.
1.2 Procedimientos
El autor sugiere seguir el proceso paso a paso ilustrado en la figura 1 para realizar la fase previa al ataque.
- Definiendo el Alcance: El alcance de una prueba de penetración se documenta como el acuerdo de Prueba de penetración, que incluye el tipo de prueba (anunciada / no anunciada), las áreas de seguridad involucradas en la prueba, los límites, la duración del tiempo y los resultados / resultados de la prueba.
- NDA contratante: El Acuerdo de no divulgación (NDA) es un documento legal que permite compartir recursos o información entre dos o más partes de forma confidencial. En una prueba de penetración, el cliente (Parte reveladora) prepara un NDA y el pentester firma el NDA como la Parte receptora para quedar legalmente obligado por usar los datos del cliente de manera autorizada.
- Preparación del presupuesto: El pentester debe proporcionar un presupuesto estimado junto con los detalles de pago para realizar las transferencias de fondos y el cliente debe aprobar el presupuesto. El presupuesto se puede calcular en función del recuento (Ej .: no. De máquinas) o superficie de ataque. Se recomienda presentar tres opciones de presupuesto con limitaciones de funciones.
- Planificación del cronograma del proyecto: Proporciona un cronograma / cronograma para la prueba de penetración basada en componentes y tareas individuales junto con duraciones utilizando herramientas profesionales de gestión de proyectos como Gantt Charts, Kanban Boards.
- Reconocimiento: Los pentesters realizan un reconocimiento activo (involucrando al objetivo) y pasivo (de recursos externos) utilizando las herramientas mencionadas en la sección 2.1.3.
- Escaneo y huella: El escaneo permite a los pentesters distinguir el bloqueo de IP y la topología de red del objetivo. Footprinting revela el sistema operativo que se ejecuta en el objetivo. Las herramientas de huellas (huellas digitales) se mencionan en la sección 2.1.3.
1.3 Herramientas y técnicas
Pentester debe seleccionar las herramientas más efectivas mencionadas a continuación en función del objetivo para llevar a cabo un reconocimiento adecuado.
Silbido
Verifique la disponibilidad de un host remoto a través de ICMP.
Emita PING o FPING con la IP de destino en el Terminal / Símbolo del sistema como se muestra a continuación.
Búsqueda de DNS
Identifique el servidor DNS y las direcciones IP del servidor de correo.
Emita NSLOOKUP con la IP / dominio de destino en la Terminal / Símbolo del sistema como se muestra a continuación.
Búsqueda de WHOIS
Encontrar servidores DNS, detalles de contacto, etc. asociados con un dominio.
La búsqueda de WHOIS se puede hacer a través del sitio web de ICANN: https://whois.icann.org. Pero hay una mejor manera de hacerlo a través del terminal ParrotSec como experto en seguridad cibernética, como se muestra a continuación.
Auditores de sitios web en línea
Encontrar datos confidenciales relacionados con el objetivo de las herramientas de búsqueda en línea.
Existen muchas herramientas de auditoría en línea que presentan muchas estadísticas sobre un sitio web o dominio. Uno de los mejores ejemplos es Netcraft (https://www.netcraft.com), una herramienta de auditoría de seguridad en línea para sitios web.
Way Back Machine
Encontrar datos confidenciales relacionados con el objetivo de logros anteriores del sitio web.
Navegando por los logros a través de https://archive.org/web
Búsqueda avanzada de Google / GHDB
Obtener información confidencial revelada sobre el objetivo indexado en Google.
Elaboración de consultas de búsqueda mediante el arbitraje de los parámetros especiales de Google.
NMAP / ZENMAP / SuperScan / Hping / Xprobe2 / P0f
Identificación de puertos y sistemas operativos que se ejecutan en el destino.
La huella se puede realizar a través de NAMP de la siguiente manera.
Ingeniería social
Recopilación de información sobre el objetivo mediante manipulación psicológica.
Los anuncios de trabajo de buceo, phishing y análisis de contenedores pueden ser útiles para encontrar más información sobre el objetivo.
Fase 2: ataque
2.1 Introducción
En esta fase, el pentester realiza un análisis exhaustivo para identificar las vulnerabilidades del objetivo y simular los ataques, como lo menciona Graves (2010). Esta es la fase más crítica de las pruebas de penetración, que generalmente ocupa la parte más considerable de la carga de trabajo de prueba.
2.2 Procedimientos
Los siguientes pasos deben seguirse en la fase de ataque, como lo sugiere el autor.
- Parámetro penetrante: Identificar cuentas de usuario, aplicaciones, puertos abiertos, configuración de red contados como este paso. Especialmente probando y evadiendo el firewall de la máquina víctima.
- Objetivo de adquisición: El escaneo y la auditoría de vulnerabilidades ocurren en este paso. Los escáneres de vulnerabilidades pueden señalar las vulnerabilidades de los hosts remotos individuales. Sin embargo, los escáneres de vulnerabilidad generan un ruido significativo (registros), que la víctima puede notar. Dado que las pruebas de penetración se realizan con la autorización del objetivo, no es una mala práctica utilizar esas herramientas.
- Privilegios crecientes: Identificar y verificar las vulnerabilidades que pueden ser un vector de ataque real para el objetivo explotando cada vulnerabilidad identificada a través del pirateo remoto del host o el descifrado de contraseñas o cualquier otra técnica de pirateo. Después de iniciar sesión, un atacante puede recopilar los valores hash de contraseña de las cuentas existentes en el objetivo y descifrarlos con la ayuda de una herramienta para descifrar contraseñas.
- Ejecución, implantación, retracción: En esta fase, el objetivo ya se ha visto comprometido por el probador de penetración, y las actividades realizadas en el paso anterior, como la modificación de archivos o la ejecución de un script, pueden verse afectadas por las operaciones comerciales del cliente. Por lo tanto, este es el momento para que el probador elimine y deshaga la modificación de todos los niveles de explotación que se ha ejecutado.
2.3 Herramientas y técnicas
Nmap
Escaneo de puertos sin pasar por el firewall.
Mediante el uso nmap -f -p número de puerto dirección IP comando, un probador puede escanear el estado de un puerto filtrado por el firewall del objetivo.
Wafw00f
Identificar el cortafuegos de un objetivo.
El comando wafw00f IP-address revela la información sobre la disponibilidad del firewall en un destino.
OpenVAS
Identificar todas las vulnerabilidades posibles en un host.
OpenVAS es un escáner de vulnerabilidades de código abierto que proporciona una vista en profundidad de las vulnerabilidades de un host.
Nessus
Identificar todas las vulnerabilidades posibles en un host.
Nessus es un escáner de vulnerabilidades patentado que presenta una posible lista de vulnerabilidades de un host de manera organizada.
Metasploit Framework
Explotación de objetivos a través de vívidas vulnerabilidades de host remoto.
Metasploit es un marco Pentesting popular desarrollado por Rapid7 basado en el lenguaje de programación Ruby.
Los siguientes comandos guían cómo explotar un objetivo usando Metasploit en el orden.
- Buscar la palabra clave : Busca el exploit / payload.
- USE exploit_location : Seleccionar un exploit.
- MOSTRAR OPCIONES : Muestra todas las opciones que se pueden configurar para el exploit seleccionado.
- SET valor de opción : Establecer el valor en una opción.
- SET PAYLOAD payload_location : Establecer una carga útil específica para la explotación.
- EJECUTAR o EXPLOTAR : Realización de la explotación al objetivo.
Hidra
Explotar un objetivo mediante diccionario o ataques de fuerza bruta.
Los anuncios de trabajo de buceo, phishing y análisis de contenedores pueden ser útiles para encontrar más información sobre el objetivo.
Hydra es una herramienta sigilosa de piratería de fuerza bruta que se puede utilizar para descifrar las credenciales de muchos protocolos de red con el siguiente comando.
Hydra -V -l username_attack -P location_of_password_file -t number_of_threads -f -s target_IP protocol / port
Shadow Security Scanner, ISS Scanner, SARA, Retina también son conocidos escáneres de vulnerabilidades disponibles para usar en esta fase.
Fase 3: Post-ataque
3.1 Introducción
En el Post-ataque, las pruebas de penetración restauran el sistema a la fase inicial antes de comenzar la prueba. Esto borra todos los archivos, registros y entradas de registro que se generan como resultado de la prueba de penetración y finaliza el informe de penetración según lo indicado por Graves (2010).
3.2 Procedimientos
En esta fase, el probador de penetración debe proporcionar al cliente los siguientes entregables, de acuerdo con Graves (2010).
- Listado de vulnerabilidades en el orden de los más críticos primero
- Análisis de hallazgos.
- Contramedidas para mitigar las amenazas identificadas.
- Restauración de red y sistema sin modificaciones ni registros.
3.3 Herramientas y técnicas
La fase posterior al ataque no incluye ninguna herramienta desarrollada específicamente. Sin embargo, el servicio de respaldo que utiliza un sistema o red puede ser responsable de restaurar las tareas.
Referencias
BALOCH, R. (2017). Guía de prueba de piratería ética y penetración. Londres: CRC Press.
TUMBAS, K. (2010). CEH Certified Ethical Hacker Study Guide. Indianápolis, Ind .: Wiley Pub., Pp.343-358.
