Hoy, el mundo ha llegado a una era en la que todas las empresas necesitan utilizar la tecnología como la columna vertebral de sus operaciones diarias. No solo las empresas, las empresas sin fines de lucro e incluso las organizaciones religiosas también tuvieron que adoptar la tecnología para satisfacer sus necesidades. Por ello, contar con buenos sistemas informáticos se ha convertido en un pilar del éxito de las empresas modernas.
Si bien estos sistemas informáticos han incrementado la productividad y la calidad del servicio de la operación diaria, viene con amenazas contra la confidencialidad, integridad y disponibilidad de la información que manejan estos sistemas, las cuales son contabilizadas como activos de la organización. Esas amenazas pueden ser causadas por varios tipos de ataques informáticos.
Con la integración de las redes informáticas a estos sistemas, el número de posibles tipos de ataques se multiplica aún más. Debido a esta situación, las grandes y medianas empresas tienden a invertir millones de dólares para realizar auditorías de seguridad de sus sistemas, redes e infraestructura de TI corporativos de manera recurrente.
La evaluación de vulnerabilidades y las pruebas de penetración son las auditorías de seguridad más comunes en la auditoría de seguridad de sistemas y redes. Como lo explica Baluchi (2017), Penetration Testing o pen testing es el proceso que identifica las vulnerabilidades de un sistema y verifica si esas vulnerabilidades son realmente explotables por una parte no autorizada.. A pesar de ello, una evaluación de vulnerabilidades solo señala todas las vulnerabilidades de un sistema o red, independientemente de su capacidad de explotación. Dado que el informe de penetración no contiene vulnerabilidades de falsos positivos, es una opción más conveniente para realizar auditorías de seguridad.
Una prueba de penetración identifica y simula los vectores de ataque que un atacante puede aprovechar para entrometerse en el perímetro de seguridad de una organización mientras documenta los hallazgos junto con las recomendaciones para mitigar las amenazas identificadas como lo señala Tumbas (2010). El siguiente marco de pruebas de penetración define cómo llevar a cabo una prueba de penetración exitosa en tres fases diferentes como modelo.
Descargo de responsabilidad: La información mencionada a continuación es solo para referencia educativa. El editor ha borrado intencionalmente las IP públicas y la mayoría de las marcas organizacionales en las siguientes cifras por razones de seguridad.
Fase 1: Pre-Ataque
1.1 Introducción
Tumbas (2010) ha declarado Pre-Ataque es la fase de combinación de Reconocimiento (recopilar información confidencial sobre el objetivo que ya está disponible en otras fuentes), Exploración (Ubicación de bloque de IP y topología de red de la red objetivo) y Huella (Información valiosa sobre el sistema operativo que se ejecuta en el destino).
Además de estos, la fase previa al ataque incluye una documentando parte para satisfacer los requerimientos legales y defensivos del pentester y del cliente.
1.2 Procedimientos
El autor sugiere seguir el proceso paso a paso ilustrado en la figura 1 para realizar la fase previa al ataque.
- Definición del alcance: El alcance de una prueba de penetración se documenta como el acuerdo de prueba de penetración, que incluye el tipo de prueba (anunciada/no anunciada), las áreas de seguridad involucradas en la prueba, los límites, la duración y los productos/resultados de la prueba.
- NDA de contratación: El Acuerdo de confidencialidad (NDA) es un documento legal que permite compartir recursos o información entre dos o más partes de forma confidencial. En una prueba de Penetración, el cliente (Parte Reveladora) prepara un NDA y el pentester firma el NDA como Parte Receptora para obligarse legalmente a utilizar los datos del cliente de manera autorizada.
- Preparación del presupuesto: El pentester debe proporcionar un presupuesto estimado junto con los detalles de pago para realizar las transferencias de fondos y debe obtener la aprobación del presupuesto por parte del cliente. El presupuesto se puede calcular en función del conteo. (Ej: nº de máquinas) o superficie de ataque. Es una buena práctica presentar tres opciones de presupuesto con limitaciones de funciones.
- Planificación del cronograma del proyecto: Proporcionar una línea de tiempo/programa para la prueba de penetración basada en componentes y tareas individuales junto con duraciones utilizando herramientas profesionales de gestión de proyectos como diagramas de Gantt, tableros Kanban.
- Reconocimiento: Los Pentesters llevan a cabo un reconocimiento activo (atacando al objetivo) y pasivo (a partir de recursos externos) mediante el uso de las herramientas mencionadas en la sección 2.1.3.
- Escaneo y Footprinting: El escaneo permite a los pentesters distinguir el bloque de IP y la topología de red del objetivo. Footprinting revela el sistema operativo que se ejecuta en el objetivo. Las herramientas de huella (huella digital) se mencionan en la sección 2.1.3.
1.3 Herramientas y Técnicas
Pentester debe seleccionar las herramientas más efectivas que se mencionan a continuación en función del objetivo para llevar a cabo un reconocimiento adecuado.
Silbido
Verifique la disponibilidad de un host remoto a través de ICMP.
Emita PING o FPING con la IP de destino en la Terminal/Símbolo del sistema como se muestra a continuación.
Búsqueda de DNS
Identifique el servidor DNS y las direcciones IP del servidor de correo.
Emita NSLOOKUP con la IP/Dominio de destino en la Terminal/Símbolo del sistema como se muestra a continuación.
Búsqueda de WHOIS
Encontrar servidores DNS, detalles de contacto, etc. asociados con un dominio.
La búsqueda de WHOIS se puede realizar a través del sitio web de la ICANN: https://whois.icann.org Pero hay una mejor manera de realizar esto a través de la terminal ParrotSec como experto en seguridad cibernética como se muestra a continuación.
Auditores de sitios web en línea
Encontrar datos confidenciales relacionados con el objetivo de las herramientas de búsqueda en línea.
Existen muchas herramientas de auditoría en línea que presentan muchas estadísticas sobre un sitio web o dominio. Uno de los mejores ejemplos es Netcraft (https://www.netcraft.com), una herramienta de auditoría de seguridad en línea para sitios web.
Máquina de camino de regreso
Encontrar datos confidenciales relacionados con el objetivo de logros anteriores del sitio web.
Navegando por los logros a través de https://archive.org/web
Búsqueda avanzada de Google / GHDB
Obtener información confidencial revelada sobre el objetivo que se indexa en Google.
Elaboración de consultas de búsqueda arbitrando los parámetros especiales de Google.
NMAP/ZENMAP/SuperScan/Hping/Xprobe2/P0f
Identificación de puertos y sistemas operativos que se ejecutan en el destino.
La huella se puede realizar a través de NAMP como se muestra a continuación.
Ingeniería social
Recopilación de información sobre el objetivo mediante la manipulación psicológica.
El buceo en contenedores, el phishing y el análisis de anuncios de trabajo pueden ser útiles para encontrar más información sobre el objetivo.
Fase 2: Ataque
2.1 Introducción
En esta fase, el pentester hace un escaneo exhaustivo para identificar las vulnerabilidades del objetivo y simular los ataques, como lo menciona Tumbas (2010). Esta es la fase más crítica de las pruebas de penetración, que normalmente ocupa la parte más considerable de la carga de trabajo de la prueba.
2.2 Procedimientos
En la fase de Ataque se deben seguir los siguientes pasos, como sugiere el autor.
- Parámetro penetrante: La identificación de cuentas de usuario, aplicaciones, puertos abiertos, configuración de red se cuenta como este paso. Especialmente probando y evadiendo el firewall de la máquina víctima.
- Adquisición de objetivo: La exploración y auditoría de vulnerabilidades se realiza en este paso. Los escáneres de vulnerabilidades pueden señalar las vulnerabilidades de hosts remotos individuales. Sin embargo, los escáneres de vulnerabilidades generan un ruido significativo (registros), que la víctima puede notar. Dado que las pruebas de penetración se realizan con la autorización del objetivo, no es una mala práctica utilizar esas herramientas.
- Escalada de privilegios: Identificar y verificar las vulnerabilidades que pueden ser un vector de ataque real para el objetivo mediante la explotación de cada vulnerabilidad identificada a través de la piratería remota del host o el descifrado de contraseñas o cualquier otra técnica de piratería. Después de iniciar sesión, un atacante puede recopilar los hashes de contraseñas de las cuentas existentes en el objetivo y descifrar esos hashes con la ayuda de una herramienta de descifrado de contraseñas.
- Ejecutar, Implantar, Retraer: En esta fase, el probador de penetración ya ha comprometido al objetivo y las actividades realizadas en el paso anterior, como la modificación de archivos o la ejecución de un script, pueden verse afectadas por las operaciones comerciales del cliente. Por lo tanto, este es el momento para que el probador elimine y deshaga toda la modificación del nivel de explotación que se ha ejecutado.
2.3 Herramientas y Técnicas
Nmap
Escaneo de puertos sin pasar por el firewall.
Mediante el uso nmap -f -p número de puerto dirección IP comando, un probador puede escanear el estado de un puerto filtrado por el firewall del objetivo.
wafw00f
Identificar el cortafuegos de un objetivo.
El comando wafw00f IP-address revela la información sobre la disponibilidad del firewall en un objetivo.
OpenVAS
Identificar todas las posibles vulnerabilidades en un host.
OpenVAS es un escáner de vulnerabilidades de código abierto que proporciona una vista detallada de las vulnerabilidades de un host.
nessus
Identificar todas las posibles vulnerabilidades en un host.
Nessus es un escáner de vulnerabilidades patentado que presenta una lista de posibles vulnerabilidades de un host de manera organizada.
Marco Metasploit
Explotación de objetivos a través de explotaciones de host remotas vívidas.
Metasploit es un marco popular de Pentesting desarrollado por Rapid7 basado en el lenguaje de programación Ruby.
Los siguientes comandos guían cómo explotar un objetivo usando Metasploit en el pedido.
- Buscar la palabra clave : busque el exploit/la carga útil.
- UTILIZAR exploit_ubicación : Selección de un exploit.
- MOSTRAR OPCIONES : Muestra todas las opciones que se pueden configurar para el exploit seleccionado.
- ESTABLECER valor de opción : Establecer el valor de una opción.
- ESTABLECER CARGA ÚTIL payload_ubicación : Configuración de un payload específico para la explotación.
- EJECUTAR o EXPLOTAR : Realización de la explotación al target.
Hidra
Explotar un objetivo a través de diccionario o ataques de fuerza bruta.
El buceo en contenedores, el phishing y el análisis de anuncios de trabajo pueden ser útiles para encontrar más información sobre el objetivo.
Hydra es una herramienta sigilosa de piratería de fuerza bruta que se puede usar para descifrar las credenciales de muchos protocolos de red usando el siguiente comando.
Hydra -V -l username_attack -P location_of_password_file -t number_of_threads -f -s target_IP protocol/port
Shadow Security Scanner, ISS Scanner, SARA, Retina también son escáneres de vulnerabilidad conocidos disponibles para usar en esta fase.
Fase 3: Post-Ataque
3.1 Introducción
En el Post-Ataque, la prueba de penetración restaura el sistema a la fase inicial antes de comenzar la prueba. Esto borra todos los archivos, registros y entradas de registro que se generan como resultado de la prueba de penetración y finaliza el informe de penetración como lo indica Tumbas (2010).
3.2 Procedimientos
En esta fase, el probador de penetración debe proporcionar al cliente los siguientes entregables, de acuerdo con Tumbas (2010).
- Lista de vulnerabilidades en el orden de los más críticos primero
- Análisis de hallazgos.
- contramedidas mitigar las amenazas identificadas.
- Red y sistema restaurados sin modificaciones ni registros.
3.3 Herramientas y Técnicas
La fase posterior al ataque no incluye ninguna herramienta desarrollada específicamente. Sin embargo, el servicio de copia de seguridad que utiliza un sistema o una red puede ser responsable de las tareas de restauración.
Referencias
BALOCH, R. (2017). Guía de Pruebas de Penetración y Hacking Ético. Londres: CRC Press.
GRAVES, K. (2010). Guía de estudio de hacker ético certificado CEH. Indianápolis, Indiana: Wiley Pub., págs. 343-358.
