www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking Ético-
Introducción al Hacking Ético
Es la una de la Madrugada…. ¿Sabe quien
puede estar entrando en su Red?
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking Ético-
Hacking Ético –DefiniciónDesde el Punto de vista de Un
individuo, un Hacker Ético es un
profesional que tiene las habilidades
para evaluar la seguridad de un
sistema informático de forma integral,
llevando a la practica una serie de
pasos secuenciales y teniendo como
un criterio trasversal una “Ética
Profesional”.
Desde el Punto de vista
Comercial, el Hacking Ético es
un servicio de Auditoria de T.I,
que
ofrecen
empresas
especializadas, con el fin de
evaluar la seguridad de un
sistema informático de forma
integral.
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking ÉticoOtras Definiciones Importantes que se deben de tener en cuenta
en el curso:
Seguridad de la Información: Es un estado de Bienestar o aceptable, en lo
que respecta al riesgo al que están expuestos los activos ( Tecnológicos Por
Ejemplo).
Amenaza: Es una acción o acontecimiento que pueda comprometer la
seguridad. Una amenaza es una violación potencial de la seguridad.
Vulnerabilidad (Bug): Existencia de una debilidad en el diseño de una
aplicación o un error que puede conducir a un acontecimiento inesperado
y no deseable, el cual pone en peligro la seguridad del sistema.
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking ÉticoOtras Definiciones Importantes que se deben de tener en cuenta
en el curso:
Exploit: un exploit es una vía, o una manera
especifica de aprovecharse de un
vulnerabilidad para poder lograr un ataque
informático.
Ataque: Un asalto a la seguridad del sistema
que se deriva de una amenaza inteligente.
Un ataque es cualquier acción que viole la
seguridad de un sistema o red informática.
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking ÉticoConcepto Grafico “Exploit- Vulnerabilidad”
1.Aplicativo: Este aplicativo tiene una falla,
la cual se ve representada luego de que se
dan mas de diez nombres de usuarios y
contraseñas, el sistema deja pasar a la
pantalla principal con privilegios de
administrador.
2.Publicación de la Vulnerabilidad
3. Diseño del programa que explota dicha vulnerabilidad
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking ÉticoOtras definiciones de seguridad de la información importantes que se
deben de tener en cuenta en el curso:
•AUTENTICIDAD: Conocimiento que la información se ha originado en una
fuente valida del sistema
• INTEGRIDAD: Garantía que la información no ha sido alterada a nivel
externo o interno en la estructura organizacional del Sistema.
• CONFINDENCIALIDAD: Privacidad de la información, logrando el
propósito de que esta sea visible únicamente a los usuarios o grupos
designados previamente
• DISPONIBILIDAD: Garantía de que el servicio este siempre operativo
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking ÉticoOtras definiciones de seguridad de la información importantes
que se deben de tener en cuenta en el curso:
AUDITABILIDAD: Garantía de que todas las transacciones, incluidas las de
seguridad, puedan ser auditadas y verificadas de alguna manera por los
usuarios asignados para dicha labor.
• NO REPUDIO: Garantía de que alguien que envía, crea, o manipula
información, no pueda negar posteriormente que fue el actor, o el
manipulador de dicha información
•AUTENTICIDAD: Garantía de verificar que alguien sea, quien dice ser.
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking ÉticoHackers: Se define como un experto, entusiasta en Sistemas de
Informática a nivel de Programación de Computadores, Redes
Informáticas de todo tipo y en especial es un experto en Internet. El
Hacker investiga, crea, y luego comparte esa información, la cual busca
mejorar como reto personal o simplemente por diversión.
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking ÉticoAlgunos Derivados del termino Hacker:
Black Hats: Individuos con extraordinarias capacidades
cognitivas en la ciencia de la computación y en especial
en el arte de la programación, pero utilizando dichas
capacidades para fines actividades no legales y
destructivas. Estos individuos más comúnmente se
conocen como Crackers, y son los encargados de
reventar claves de sistemas usando procesos de
criptoanálisis bastante complejos. La mayor habilidad
de un Black Hat radica en su conocimiento en el arte de
la programación de las computadores en todos sus
niveles, además algunos son buenos matemáticos y
físicos.
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking ÉticoAlgunos Derivados del termino Hacker:
White Hats: Son Hackers profesionales que se dedican a
llevar a la práctica evaluaciones de seguridad a las
empresas u organizaciones del estado, gobierno e
instituciones financieras y utilizan sus conocimientos con
propósitos defensivos, son conocidos también como
analistas de seguridad. Muchos de estos Hackers son
Crackers retirados y reformados con respecto a su ética
profesional y ética Hacker, ya que han encontrado un
negocio mas representativo en proteger y analizar las redes
de datos, que estar haciendo daños y terminar finalmente
en problemas con la justicia, multas de dinero
representativas,
entre
otras
mas
situaciones
comprometedoras y negativas.
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking ÉticoAlgunos Derivados del termino Hacker:
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking ÉticoAlgunos Derivados del termino Hacker:
Hackitivismo: Este término se define como realizar prácticas de
Hacking Ilegal por una causa en especial. Por lo regular el
Hackitivismo esta basado en ideales relacionados con la vida social,
política y religiosa.
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking Ético-
-Hackers Famosos y Evolución del Hacking –
Pioneros Del Hacking:
Retos, Innovación
Mitnick
Drapper
Wozniak
Goldstein
Intereses Económicos,
Notoriedad,
Vandalismo
V. Levin
McClure
Poulsen
Scambray
Smith
Sallis
Jaschan
Borghello
Consultores,
Pen Tester,
Mckinnon
Hacking
“Obsesivos”
Ético
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking Ético-
Hacking Ético –Perfil de Profesional “Hacking Ético”
“Primero Gurú, Luego Hacker Ético o Pen Tester”
Técnico (Indispensable)
Infraestructura y
Redes
Sistemas Operativos
Desarrollo de
Software y B.D
Personal
Entusiasta (Pasión)
 Investigador
 Actualizado
Idioma Ingles
 Autónomo
 Trabajo en Equipo
 Ética Profesional
Al momento de un Test de Seguridad,
todas las partes Interactúan entre si
Administrativo
(Consultor)
Lenguaje no Técnico
(Habilidades de Comunicación)
 Certificaciones
 Experiencia
 Hoja de Vida
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking Ético-
–Fases Hacking Ético y de un Análisis Malicioso
Hacking Ético
Hacking Malicioso según CEH
Reconocimiento
1.Reconocimiento
Pasivo
Scanning
5.Recolección de
Evidencias y
Presentación
Informes
2.Reconocimiento
Activo
Ganando Acceso
Manteniendo Acceso
4. Explotación
de
Vulnerabilidades
(Ataque)
3. Análisis de
Vulnerabilidades
Borrado de Huellas
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking Ético-
Los Hackers Black-Hat y sus tipos de ataques.
Hay varias maneras, en la que un atacante puede asaltar y obtener
acceso y control del sistema delimitado como objetivo de ataque.
• Ataques al sistema Operativo.
• Ataques a nivel de aplicación.
• Ataques al código fuente de un
aplicativo.
• Ataques a no adecuadas
configuraciones
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking Ético-
Tipos de Análisis : Se pueden Identificar (3) tres tipos:
Análisis de Vulnerabilidades
(Vulnerability Assessment)
Test de
Penetración
(Penetration Test)
Hacking Ético
(Ethical Hacking)
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking Ético-
Hacking Ético –Tipos de Análisis – Características:
Análisis de
Vulnerabilidades
Test de Penetración
Hacking Ético
Identificación de Puertos
Abiertos y Servicios
Tiene un Objetivo definido
Todo es un Objetivo en el
Entorno
Vulnerabilidades Conocidas
(Aplicación y S.O)
Se tiene en cuenta el
Entorno (IDS, Firewall, IPS)
Ataques de ingeniería
Social y DDoS
Clasificación de los
Vulnerabilidades
Busca comprometer el
sistema objetivo
Mas complejidad y
Profundidad en el Análisis
No hay explotación de
vulnerabilidades , ni
Intrusión en el Sistema.
Hay explotación de
Hay explotación de
vulnerabilidades e Intrusión vulnerabilidades Ataque
en el sistema objetivo
Puro
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking Ético-
Tipos de Análisis –: Variables de Impacto en un
Análisis de Seguridad.
Posicionamiento:
Visibilidad:
Definir desde donde se
llevara a la practica el
Análisis de Seguridad.
Cuál será la información
suministrada al
Evaluador (Pen Tester)
 Posicionamiento Externo
 Posicionamiento Interno
 Desde una VLAN Diferente
 Desde VLAN Servidores
 Desde la VPN
 Blind/BlackBox
 Double Blind/ BlackBox
 GrayBox
 Double GrayBox
 WhiteBox
 Reversal
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking ÉticoTipo de Análisis
Descripción
Blind/BlackBox
El Analista de seguridad no tiene conocimiento del Objetivo,
pero el cliente si tiene conocimiento del análisis, además de
saber cuando se ejecutará.
Double Blind/ BlackBox
El Analista de seguridad no tiene conocimiento del Objetivo, el
cliente no sabe que tareas se ejecutaran en el análisis, ni
tampoco cuando se ejecutará.
GrayBox
El Analista de seguridad conoce muy poco del objetivo, pero el
cliente tiene conocimiento del tipo de test y cuando se
ejecutará.
Double GrayBox
Similar al anterior, la única diferencia es que el cliente no
sabara cuando se ejecutará el análisis.
WhiteBox
Ambas Partes (Cliente-Analista) sabrán cuando se hacen los
test, el tipo de test, además de saber cuando se ejecutará
Reversal
Similar al anterior, la diferencia radica en que el cliente no
sabrá que tareas de análisis se ejecutaran como tampoco
cuando.
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking Ético-
Tipos de Análisis –: Variables de Impacto en un Análisis
de Seguridad. (Arquitectura de Intrusión)
Servidores B.D
Firewall/IPS/Router
Internet
DMZ- 1
Ethical Hacker
Red LAN
Ethical Hacker
Ethical Hacker
Ethical Hacker
www.dsteamseguridad.com
“Seguridad en Aplicaciones Web”
-Introducción al Hacking Ético-
Hacking Ético – Videos de Interés
http://www.youtube.com/watch?v=Xe7YWI0RI-M
http://www.youtube.com/watch?v=y45AsIFJyzU&feature=related
http://www.youtube.com/watch?v=MSEqlqs9qGk
http://www.youtube.com/watch?v=uapYcyoegI4
http://www.youtube.com/watch?v=MhsM6JJvBhY
Descargar

Diapositiva 1 - dsteamseguridad