Seguridad Informática 2021
Seguridad Informática 2021
INFORMÁTICA Y AL ANÁLISIS
DE VULNERABILIDADES
UNFV
AAAAAAAAAAAAAAAAAAAAAA
PRÓLOGO
Actualmente la informática y en especial la información es uno de los activos prin-
cipales de las organizaciones y empresas, existen diferentes tipos de amenazas que
atentan contra el buen funcionamiento de estos entes, como los virus, los malware,
cibercriminales, spyware y un sinnúmero de amenazas existentes, diariamente se
utilizan diferentes equipos en especial móviles que están conectados a internet, la
mayor fuente de amenazas para la seguridad.
Este libro tiene como objetivo principal conocer los diversos conceptos de la segu-
ridad informática, se estudiarán los mecanismos de prevención tanto preventivos,
correctivos y detectivos de las amenazas que se puedan suscitar. Este trabajo de in-
vestigación está dirigido a estudiantes de informática, profesionales de la seguridad
y docentes que incursionan en el mundo de la seguridad informática, ya que las her-
ramientas descritas son usadas en varias áreas del conocimiento de la seguridad. El
contenido de la obra en sus diferentes capítulos aporta conocimientos sobre los fun-
damentos de la ciberseguridad, conceptos sobre riesgos, amenazas y las diferentes
vulnerabilidades que se pueden encontrar en la infraestructura de una organización
y las posibles soluciones para mitigar estas amenazas.
También en este trabajo se analiza las diferentes metodologías para el análisis de las
vulnerabilidades, la detección, los diferentes tipos de escaneos y sobre todo la reme-
diación de las vulnerabilidades, también se hace énfasis en las diferentes herramien-
tas para el análisis de vulnerabilidades tanto propietarias como libres y por último
el capítulo final detalla un ejemplo de una auditoria de seguridad para detectar las
diferentes vulnerabilidades existentes en una red de datos y por último el capítulo
final trata sobre métodos de defensa en profundidad en los sistemas y la concienci-
ación de los usuarios hacia los problemas que representan el no seguir las políticas
de seguridad de la empresa.
Los autores
ÍNDICE
CAPÍTULO I: INTRODUCCIÓN A LA SEGURIDAD INFORMÁTICA ........................... 13
1.1. La seguridad en términos generales .............................................................13
1.2. Concepto de seguridad informática ..............................................................13
1.3. Los virus informáticos ...................................................................................15
1.4. Concepto de autenticación ...........................................................................16
1.5. Mecanismos preventivos en seguridad informática ......................................18
1.6. Mecanismos correctivos en seguridad informática .......................................19
1.7. Mecanismos detectivos en seguridad informática ........................................20
1.8. El concepto de encriptación en seguridad informática .................................21
1.8.1. Métodos de encriptación ........................................................................22
CAPÍTULO II: FUNDAMENTOS DE LA CIBERSEGURIDAD .....................................25
2.1. Los tres pilares de la seguridad .....................................................................25
2.2. Evaluación de riesgos, amenazas y vulnerabilidades ....................................27
2.3. Ley de mínimos privilegios ............................................................................32
2.4. Ingeniería social ............................................................................................34
2.5. Superficie de ataque .....................................................................................36
CAPÍTULO III: LAS VULNERABILIDADES .............................................................41
3.1. Introducción al análisis de vulnerabilidades..................................................41
3.1.1. Vulnerabilidades físicas........................................................................... 41
3.1.2. Vulnerabilidades lógicas ......................................................................... 41
3.1.3. Escáneres de vulnerabilidades ................................................................ 42
3.2. Tipos de vulnerabilidades .............................................................................43
3.2.1. Desbordamiento de buffer ...................................................................... 43
3.2.2. Errores de configuración ......................................................................... 44
3.2.3. Errores web ............................................................................................. 44
3.2.4. Errores de protocolo ............................................................................... 44
3.2.5. Aprovechamiento de las vulnerabilidades............................................... 45
3.3. Detección de vulnerabilidades ......................................................................45
3.4. Métodos de escaneo de vulnerabilidades.....................................................46
3.5. Remediación de vulnerabilidades .................................................................46
3.5.1. Análisis de activos ................................................................................... 46
3.5.2. Escanear sistemas para detectar vulnerabilidades .................................47
3.5.3. Identificar vulnerabilidades .....................................................................47
3.5.4. Clasificar y priorizar riesgos ....................................................................47
3.5.5. Probar parches y configuraciones ........................................................... 48
3.5.6. Aplicar parches y configuraciones........................................................... 48
3.5.7. Aplicar parches y configuraciones........................................................... 49
CAPÍTULO IV: METODOLOGÍAS DE ANÁLISIS DE VULNERABILIDADES .................51
4.1. Acuerdo de confidencialidad .......................................................................51
4.2. Establecimiento de las reglas del juego.......................................................52
4.3. Recolección de información ........................................................................52
4.4. Análisis interior............................................................................................54
4.5. Análisis exterior ...........................................................................................55
4.6. Documentación e informes .........................................................................56
CAPÍTULO V: HERRAMIENTAS PARA EL ANÁLISIS DE VULNERABILIDADES ..........59
5.1. Introducción a Nessus .................................................................................59
5.1.1. Instalación de Nessus en Windows ......................................................... 61
5.1.2. Conociendo Nessus y la red.....................................................................67
5.1.3. Interpretando los escaneos .....................................................................71
5.2. Introducción a Acunetix ..............................................................................75
5.2.1. Descarga e Instalación de Acunetix......................................................... 76
5.3. Introducción a GFI Languard .......................................................................80
5.3.1. Instalación y escaneo con GFI LanGuard................................................. 82
5.4. Introducción a Nexpose ................................................................................88
CAPÍTULO VI: AUDITORÍA DE SEGURIDAD.........................................................95
6.1. Escaneo y enumeración con nmap ...............................................................95
6.2. Escaneo y enumeración con OpenVAS ............................................................ 98
6.3. Explotación de vulnerabilidades .................................................................101
6.4. Post explotación y Remediación ..................................................................106
CAPÍTULO VII: LA DEFENSA EN PROFUNDIDAD EN SEGURIDAD INFORMÁTICA ..... 111
7.1. Tecnología defensiva en seguridad informática ..........................................111
7.1.1. Mantenimiento ..................................................................................... 112
7.1.2. Antivirus ................................................................................................ 112
7.1.3. EDP y EPP .............................................................................................. 113
7.1.4. Firewall software .................................................................................. 113
7.1.5. Seguridad en red ................................................................................... 113
7.2. La administración en la defensa ..................................................................114
7.3. Concienciación de usuarios.........................................................................116
7.4. Fortalecimiento de contraseñas en los usuarios .........................................118
REFERENCIAS BIBLIOGRÁFICAS ...................................................................... 121
ÍNDICE DE FIGURAS
Figura 1. Autenticación de usuarios. ........................................................................................ 17
Figura 2. Ejemplo de encriptación. ........................................................................................... 22
Figura 3. Pilares de la seguridad. .............................................................................................. 25
Figura 4. Ejemplo de bienes tangibles e intangibles. .............................................................. 28
Figura 5. Fórmula para medir el riesgo. ................................................................................... 29
Figura 6. Sitio web de vulnerabilidades de sistemas. .............................................................. 30
Figura 7. Base de datos de vulnerabilidades de España. ........................................................ 31
Figura 8. Concesión de privilegios. ........................................................................................... 32
Figura 9. Mínimos privilegios necesarios de un usuario. ........................................................ 33
Figura 10. Comando para verificar permisos y roles de usuario en Windows. ...................... 34
Figura 11. Superficie de ataque en infraestructura de TI. ...................................................... 36
Figura 12. Superficie de ataque vs riesgos............................................................................... 37
Figura 13. Fuentes del ataque pasivo. ..................................................................................... 37
Figura 14. Desbordamiento de buffer.................................................................................................43
Figura 15. Matriz de riesgos. .................................................................................................... 48
Figura 16. Ejemplo de un acuerdo de confidencialidad. ......................................................... 51
Figura 17. Proceso OSINT.............................................................................................................................. 53
Figura 18. Sitio web de la herramienta Nessus. ...................................................................... 59
Figura 19. Versiones de la herramienta Nessus ...................................................................... 60
Figura 20. Registro para descarga de la herramienta Nessus ................................................. 61
Figura 21. Descarga de la herramienta de vulnerabilidad Nessus. ......................................... 62
Figura 22. Selección del sistema operativo de la herramienta Nessus. ................................. 62
Figura 23. Instalación de Nessus en Windows......................................................................... 63
Figura 24. Selección de carpeta instalación de Nessus en Windows. .................................... 63
Figura 25. Instalación de librería WinPcap. ............................................................................. 64
Figura 26. Acceso a Nessus en el puerto 8834 del navegador web. ...................................... 64
Figura 27. Creación de la cuenta de acceso en Nessus. .......................................................... 65
Figura 28. Selección del tipo de escáner en Nessus. ............................................................... 65
Figura 29. Actualización de la herramienta de escaneo mediante los plugins. ..................... 66
Figura 30. Pantalla de acceso a Nessus. ................................................................................... 66
Figura 31. Pantalla principal de la herramienta Nessus. ......................................................... 66
Figura 32. Configuración de un proxy en Nessus. ................................................................... 67
Figura 33. Menú de opciones para realizar escaneos en Nessus. .......................................... 68
Figura 34. Creación de folder para guardar un escaneo en Nessus. ...................................... 68
Figura 35. Opciones para actualizar escaneos en Nessus. ...................................................... 69
Figura 36. Escaneo con opciones avanzadas en Nessus. ........................................................ 70
Figura 37. Configuración de descubrimiento de la red en Nessus. ........................................ 70
Figura 38. Opciones del menú ASSESSMENT en Nessus. ........................................................ 71
Figura 39. Visualización del escaneo de la red completado. .................................................. 71
Figura 40. Resultados del escaneo en Nessus. ........................................................................ 72
Figura 41. Detalles del equipo escaneado en Nessus. ............................................................ 72
Figura 42. Listado de vulnerabilidades encontradas en Nessus. ............................................ 73
Figura 43. Opción para trabajo con credenciales en Nessus. ................................................. 73
Figura 44. Niveles de vulnerabilidad interpretada por colores en Nessus. ............................ 74
Figura 45. Listado de vulnerabilidades mostradas por criticidad en Nessus. ........................ 74
Figura 46. Detalle de los fallos y posibles soluciones de las vulnerabilidades. ...................... 74
Figura 47. Página de descarga de la herramienta Acunetix .................................................... 75
Figura 48. Opciones de tipo de escaneo en la herramienta Acunetix. ................................... 76
Figura 49. Descarga de la herramienta Acunetix..................................................................... 77
Figura 50. Instalación de Acunetix. .......................................................................................... 77
Figura 51. Instalación de certificado de seguridad de Acunetix. ............................................ 78
Figura 52. Configuración de credenciales de acceso en Acunetix. ......................................... 78
Figura 53. Acceso al panel de administración de Acunetix. .................................................... 79
Figura 54. Página principal de la herramienta GFI LanGuard. ................................................ 80
Figura 55. Página de descarga de la herramienta GFI LanGuard. ........................................... 83
Figura 56. Envío del código de activación de la herramienta GFI LanGuard.......................... 83
Figura 57. Componentes instalados y faltantes de la herramienta GFI LanGuard. ............... 84
Figura 58. Configuración y activación de GFI LanGuard. ........................................................ 84
Figura 59. Descarga de archivos para la instalación de GFI LanGuard. .................................. 85
Figura 61. Configuración del servidor HTTP en GFI LanGuard. ............................................... 86
Figura 62. Pantalla de datos de licencia y expiración de GFI LanGuard. ................................ 86
Figura 63. Pantalla principal de GFI LanGuard......................................................................... 87
Figura 64. Escaneo de vulnerabilidades en GFI LanGuard. ..................................................... 87
Figura 65. Detalle del escaneo en GFI LanGuard. .................................................................... 88
Figura 66. Detalle de las vulnerabilidades encontradas en GFI LanGuard. ............................ 88
Figura 67. Página principal de la herramienta Nexpose. ........................................................ 89
Figura 68. Página de descarga de la herramienta Nexpose. ................................................... 90
Figura 69. Selección de componentes y ruta de instalación de Nexpose. ............................. 90
Figura 70. Requerimientos de hardware y software para la instalación de Nexpose ............ 91
Figura 71. Creación de la cuenta de usuario en Nexpose. ...................................................... 91
Figura 72. Extracción de los archivos para la instalación en Nexpose.................................... 92
Figura 73. Resumen de la instalación en Nexpose. ................................................................. 92
Figura 74. Pantalla de acceso a la herramienta Nexpose. ...................................................... 93
Figura 75. Activación de herramienta Nexpose. ..................................................................... 93
Figura 76. Pantalla principal de Nexpose. ................................................................................ 93
Figura 77. Página de descarga de nmap. ................................................................................. 95
Figura 78. Ayuda de la herramienta nmap en Kali Linux. ........................................................ 96
Figura 79. Escaneo de puertos con la herramienta nmap en Kali Linux................................. 96
Figura 80. Escaneo de la red con nmap en Kali Linux. ............................................................ 97
Figura 81. Escaneo de los puertos con nmap. ......................................................................... 97
Figura 82. Actualización de paquetes del sistema para descargar OpenVAS. ....................... 98
Figura 83. Página principal de acceso de herramienta OpenVAS. .......................................... 98
Figura 84. Página principal para el escaneo de vulnerabilidades en OpenVAS. .......................99
Figura 85. Creación de un escaneo de un equipo utilizando el Wizard en OpenVAS ..............99
Figura 86. Detalle del escaneo en OpenVAS. ......................................................................... 100
Figura 87. Incidencias detectadas del escaneo en OpenVAS. ............................................... 100
Figura 88. Vulnerabilidades encontradas en OpenVAS. ........................................................... 101
Figura 89. Columna de calidad de detección en OpenVAS. .................................................. 102
Figura 90. Descarga de la herramienta de análisis Metasploit. ............................................ 102
Figura 91. Consola principal de la herramienta de análisis Metasploit. ............................... 103
Figura 92. Exploits de vulnerabilidades encontrados en Metasploit. .................................. 103
Figura 93. Opciones del Exploits encontrado en Metasploit. ............................................... 104
Figura 94. Creación de un exploit mediante un payload en Metasploit. ............................. 104
Figura 95. Resultado del exploit mediante meterpreter en Metasploit. ............................. 105
Figura 96. Verificación del identificador del proceso atacado en Metasploit...................... 105
Figura 97. Verificación del archivo en el ataque de Metasploit. .......................................... 106
Figura 98. Archivo para el ataque de Metasploit verificado por show options. .................. 106
Figura 99. Acceso al directorio raíz de Windows mediante el exploit. ................................. 107
Figura 100. Uso de los comandos del shell del equipo atacado. .......................................... 107
Figura 101. Uso del comando Download para descargar archivos. ..................................... 108
Figura 102. Solución para remediar vulnerabilidad en OpenVAS. .......................................... 108
Figura 103. Descarga de parches de seguridad para remediar vulnerabilidades. ............... 109
Figura 104. Instalación de parches de seguridad para remediar vulnerabilidades. ............ 109
Figura 105. Capas de defensa en profundidad. ..................................................................... 111
Figura 106. Antivirus Windows Defender........................................................................................ 112
Figura 107. Plan de seguridad en una empresa. ................................................................... 115
Figura 108. Técnica del salting para la creación de contraseñas. ......................................... 118
ÍNDICE DE TABLAS
Tabla 1. Comparativa de evaluación de riesgos ....................................................................... 29
Tabla 2. Evaluación de riesgos en una empresa ...................................................................... 31
Tabla 3. Requerimientos de hardware para escaneos por nodos en LanGuard .................... 81
CAPÍTULO I: INTRODUCCIÓN A LA SEGURIDAD
INFORMÁTICA
En este capítulo se analizará los conceptos relacionados a la seguridad informática,
las bases principales, sus componentes, términos usados, definiciones sobre virus,
criptografía y los diferentes mecanismos de prevención, corrección en seguridad
informática, también se abordará temas relacionados a los diferentes mecanismos
de autenticación de usuarios.
1.1. La seguridad en términos generales
Al hablar de términos de seguridad informática se debe entender a las bases que
conforman los cimientos de esta ciencia, para las partes más complejas de esta
disciplina, una de estas bases es el concepto de seguridad, la cual consiste en un
estado de bienestar, es la ausencia de riesgo por la confianza que existe en alguien
o algo, si la seguridad se aborda desde el tema disciplinario el concepto se puede
definir como una ciencia interdisciplinaria para evaluar y gestionar los riesgos a los
que se encuentra una persona, un animal, el ambiente o un bien. Existen países en
donde la seguridad es un tema nacional, aunque depende del tipo de seguridad,
existen muchos tipos de ésta, por ejemplo, la seguridad ambiental, la seguridad
económica, la seguridad sanitaria y en casi la mayoría de los países cuando se hace
un análisis de la palabra seguridad, se hace referencia a la seguridad de las personas,
por ejemplo, evitar el estado de riesgo de un robo, de un daño físico o de un bien
material.
La seguridad siempre busca la gestión de riesgos, esto quiere decir que se tenga
siempre una forma de evitarlo o prevenirlo y que se pueda realizar ciertas acciones
para evitar esas situaciones de la mejor forma. Se definió que la seguridad podría ser
catalogada como la ausencia de riesgo, la definición de este término involucra cuatro
acciones que siempre están inmersas en cualquier asunto de seguridad como son:
• Prevención del riesgo
• Transferir el riesgo
• Mitigar el riesgo
• Aceptar el riesgo
Así que, cuando se está buscando hacer algo más seguro, estas acciones son algo
que se debe de considerar sin importar el área, se aplica a cualquier intento de tener
mejor o mayor seguridad en cualquier tema que se requiera.
1.2. Concepto de seguridad informática
Lo primero que se debe mencionar es que en muchos casos se suelen confundir
dos conceptos la seguridad informática y la seguridad de la información, aunque
suenen muy parecidos tienen puntos clave que hacen una diferencia.
La seguridad informática se encarga de la seguridad del medio informático, según
varios autores la informática es la ciencia encargada de los procesos, técnicas y
13 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 14
Aguirre (2006), también afirma que la seguridad informática puede definirse como
el conjunto de métodos y de varias herramientas para proteger el principal activo
de una organización como lo es la información o los sistemas ante una eventual
amenaza que se pueda suscitar.
1.3. Los virus informáticos
Unos de los primeros conceptos cuando se habla de seguridad informática, es el
de virus informático. Las computadoras solo entienden código binario como ceros
y unos, en el mundo de las computadoras y de la informática existen muchos
conceptos como el de programas, videojuegos, sistemas operativos y cualquier clase
de software.
El software es uno de los conceptos más abstractos, se lo define como todo lo
intangible de la computadora, son instrucciones que el ordenador espera que se
realicen, las cuales pueden ser instrucciones complejas o instrucciones sencillas.
Según Beynon-Davies (2015), el término software o programa es utilizado para
describir una secuencia de varias instrucciones que es leído por un computador, los
cuales son escritos en un determinado lenguaje de programación que pueden ser
clasificados de la siguiente manera:
• Lenguaje de máquina
• Lenguaje ensamblador
• Lenguajes de alto nivel
Analizado el tema clave sobre el software, un virus informático es un programa que
tiene como objetivo dañar o cambiar el funcionamiento de la computadora. Esta es
una definición bastante clara, pero el virus informático no siempre tiene que ser un
programa completo, puede ser hasta cierto punto fragmentos de un programa.
Según Vieites (2013), se define al virus informático, como un programa desarrollado
en un determinado lenguaje de programación (C++, C, ensamblador, etc.) con el
objetivo de infectar uno o varios sistemas informáticos, utilizando varios mecanismos
de propagación o autoreplicación, el cual trata de reproducirse de forma acelerada
para extender su alcance.
Un virus informático puede hacer muchas cosas, por ejemplo, eliminar archivos,
evitar accesos a las computadoras, robo de información, bloqueo de funciones de
un sistema operativo o de programas dentro de una computadora. También Vieites
(2013), indica que existen varios tipos de virus que se los puede definir de la siguiente
manera:
• Virus de sector de arranque (BOOT)
• Virus de archivos ejecutables
• Virus de macros
• Virus de lenguajes de Script
• Malware
15 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
• Gusanos
• Troyanos
• Spyware
• Keyloggers
• Adwares
• Dialers
• Backdoors
• Otros
• Rootkits
• Bacterias
• Bombas de tiempo
Se mencionó algunos, ya que la lista es bastante grande pero la mayoría son
programados para causar daños relacionados con la red y tener la capacidad de
autopropagación, esto quiere decir que se multiplica el mismo muchas veces y se
posiciona en partes automatizadas del sistema operativo infectado.
Las bombas de tiempo, son virus que se activan al pasar un determinado tiempo
o al producir un evento, el que puede ser, por ejemplo, abrir el navegador, pero
los eventos suelen ir relacionados con ciertos cálculos matemáticos y registros de
memoria, aunque también existen los que se activan con tareas sencillas, estos son
solamente algunos de los tipos que se podrían mencionar.
También existe el denominado software malicioso que no es considerado como virus
como tal, pero que también genera daños a la computadora, algo muy importante que
se debe tener claro es que, el software malicioso debe de tener ciertas características
para ser considerados como virus informático, una de las características elementales
es que debe de poder reproducirse y generar copias, ya que es la forma en la que
se propagan teniendo un comportamiento biológico similar al de los virus que se
pueden encontrar en la naturaleza y atacan a los animales y personas.
1.4. Concepto de autenticación
La autentificación se puede definir como un proceso en el que se busca confirmar
algo como verdadero, no se busca verificar un usuario, ya que la autenticación no
siempre está relacionada con estos, en muchos casos se quiere saber si un cambio
o un dato es correcto, no se debe cometer el error en pensar que solamente las
personas necesitan este proceso, este puede ser para cualquiera, un sistema, un
dispositivo o una persona.
La autenticación es bastante usada en el mundo de la computación, sólo que
actualmente la contraseña del correo o de una red social ha hecho olvidar que
este método de validación era ya muy común, por ejemplo, todas las credenciales
que expiden para realizar una votación en determinado país es un método de
autenticación, otro ejemplo es cuando se ingresa a un país y solicitan un documento
Volver al índice 16
como la visa o pasaporte, también es un método de autenticación, otro caso es
cuando se asigna un número de cuenta o ID de identificación en el trabajo para
acceder a ciertas áreas o también para llevar un registro de los movimientos y en caso
de ser necesario poder validar esos movimientos. La Figura 1 muestra un ejemplo de
autentificación de usuarios.
17 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 18
datos y otros, las imágenes y vídeos por ejemplo, son archivos que
normalmente necesitan atención especial.
• Horario de respaldo: Otro reto es a qué hora se puede hacer el
respaldo, es común seleccionar las horas de menos tráfico.
• Control de los medios: El tener acceso a respaldos es algo de alto
riesgo, se puede robar la información, manipular, perder, así que,
el respaldo es una solución, pero también es otro problema que se
debe resolver.
• La comprensión de la información: No toda la información se puede
comprimir, pero existe alguna que, sí lo necesita, así que se deben
hacer las valoraciones respectivas.
Estos son sólo algunos de los puntos que se deben considerar, solamente para el
mantenimiento y respaldo de la información. Otros ejemplos de proceso que se
tienen en el mecanismo preventivo son:
• Actualización de sistemas
• Antivirus
• Firewall
• Navegación por internet
• Contraseñas
• Accesos remotos.
Estos son sólo algunos de los procesos, pero la organización puede personalizar lo
que quiere considerar en los mecanismos preventivos.
1.6. Mecanismos correctivos en seguridad informática
Los mecanismos correctivos tienen una gran diferencia en tiempo con los
mecanismos preventivos, estos se aplican cuando, después de que algo sucedió
y la función principal es corregir las consecuencias. Entre las características que
tienen los mecanismos correctivos normalmente son muy caros, esto se debe a que
el problema ya se lo tiene encima y no se puede tenerlo durante mucho tiempo,
así que, contratar expertos para resolver el problema o el tiempo que le dedicara
a el equipo de trabajo siempre va a costar mucho, en un porcentaje muy alto se
acaban pagando servicios de solución a otras empresas, adquiriendo soluciones o
comprando software y parches de actualización que logran resolver el problema.
Otra característica de los mecanismos correctivos es que el tiempo es limitado, así
que el tiempo se vuelve algo muy apreciado en estos casos, pero también es muy
escaso. Probablemente la empresa o la persona puede poder obtener dinero, pero
tiempo es casi imposible.
Dentro de los mecanismos de corrección se tienen diferentes pasos de ejecución
para enfrentar este problema serio en los que se puede mencionar:
19 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 20
Lo que es ideal es que se cumpla el objetivo primero, pero no siempre sucede lo ideal,
así que se tiene que adaptar al problema, a la situación y todo lo que va saliendo en
cada uno de los casos.
Uno de los conceptos que están inmersos en este tipo de mecanismos es la intrusión,
la cual se la define como una secuencia de acciones realizadas de forma deshonesta,
en donde la mayoría de las ocasiones se quiere lograr acceso no autorizado. Dentro
de los mecanismos de detección el término más famoso de seguridad informática es
el de detección de intrusiones, la cual se define como el proceso de identificación y
respuesta ante las actividades ilícitas observadas contra algunos recursos de la red,
sistema, plataforma o empresa.
Los mecanismos de detección de intrusión tienen unos pasos que se ejecutan como
manera básica de detección que se menciona a continuación:
Revisión de patrones de acceso: En este caso lo que se hace es ver los patrones de
acceso, esto quiere decir que se va a analizar los accesos y tratar de encontrar si se
está manejando un patrón, por ejemplo, acceso a determinadas horas o el mismo
usuario haciendo accesos a la misma sección o módulo. Los patrones siempre van a
indicar algo, pueden ser muchos o Las mayorías falsas alarmas, pero es seguro, que si
se hizo un ataque se puede encontrar patrones que llamen la atención para después
encontrar el problema.
Revisión de transacción: En la mayoría de los casos se obtienen ciertos archivos o se
intenta descargar o subir algo de información, así que la transacción es un método
muy rápido para lograr esto, la mayoría de los intentos van a ir acompañados de al
menos una transacción, esto no es una garantía, pero es algo muy probable, siempre
durante la detección si se logra encontrar una transacción es como encontrar el
objetivo del atacante lo cual es muy valioso.
Bloqueo automático: Algunas aplicaciones no tienen un sistema de bloqueo, así
que, aunque en algunos casos se encuentre el problema y ya se tenga las razones, Si
no se cuenta con un mecanismo de bloqueo de emergencia, el atacante podrá seguir
haciendo lo que quería. Algunos de los mecanismos de bloqueo comunes son los de
paro absoluto, es decir el bloqueo del sistema completo, es algo un poco drástico,
pero en muchas ocasiones no se quiere otro riesgo y se considera la mejor opción a
la mano.
1.8. El concepto de encriptación en seguridad informática
La encriptación o también conocido como cifrado, es un procedimiento en el que se
busca que la información sea ilegible, ya aplicado este procedimiento la información
es inservible para cualquier persona que no sea la autorizada, aunque el mensaje
sea interceptado, como en muchos casos la información simplemente no significa
nada para el interceptor, ya que no cuenta con los elementos involucrados en la
encriptación, así que la información simplemente no sirve, la Figura 2 muestra un
ejemplo de encriptación.
21 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 22
• Encriptación WPA
• Encriptación WEP
• Firma digital
Estos métodos mencionados anteriormente son la mayoría que se va a encontrar en
el mundo de la seguridad informática. Estos métodos de encriptación son bastantes
buenos para almacenar y transferir la información.
Encriptación simétrica
Según (Santos, 2014) este tipo de criptografía está basado en métodos criptográficos
que usan una misma clave para cifrar y descifrar el mensaje, estos extremos cuando
establecen la comunicación deben establecer un acuerdo sobre la clave que tienen
que usar, para posteriormente los dos tener acceso a la misma clave, en donde el
remitente cifra el contenido de la misma y el destinatario la descifra con el mismo
mecanismo. Se puede indicar varios ejemplos de cifrado simétrico.
• Algoritmo de cifrado DES, usa claves basados en 56 bits
• Algoritmos de cifrado 3DES, Blowfish, e IDEA, usan claves de 128
bits
• Algoritmos de cifrado RC5 y AES
Encriptación asimétrica
También (Santos, 2014) indica que este tipo de encriptación se basa en que si el
emisor cifra la información el receptor lo puede descifrar o viceversa, en este caso
cada usuario del sistema debe poseer una pareja de claves y se tiene dos tipos.
• Clave privada: Custodiada por el propietario, por lo tanto, solo él
tiene acceso a ella sin darla a conocer a nadie.
• Clave pública: conocida por uno o todos los usuarios
Como ejemplo de este tipo de algoritmos usados por este tipo de cifrado se tiene a
MD5 y SHA.
Firma digital
La Firma digital, es algo habitual en el uso de documentos oficiales, es decir
documentos que involucran a una institución gubernamental. El objetivo de la firma
es autentificar la identidad de quién envía el mensaje y quién firma el documento, las
firmas digitales acostumbran manejar diferentes datos, además de información que
se envía, por ejemplo, la hora y la fecha en que se hizo.
La firma digital es una forma matemática de adjuntar la identidad de una persona
a un mensaje, está basada en la criptografía de clave pública, esto quiere decir que
estos sistemas están utilizando dos claves, la primera sería la clave pública que es
la que se conoce y la otra clave sería una clave privada qué es la que solamente el
emisor del mensaje conoce.
23 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 24
CAPÍTULO II: FUNDAMENTOS DE LA CIBERSEGURIDAD
En este capítulo se analizará los conceptos relacionados a la ciberseguridad, sobre
las amenazas, riesgos y vulnerabilidades que hay en una organización, se tratará
también sobre las diferentes superficies de ataques que pueden existir para que un
cibercriminal pueda lanzar su ataque, se analizará en que consiste la ingeniería social
y la ley de mínimos privilegios.
2.1. Los tres pilares de la seguridad
Los datos son valores, números, medidas, textos, documentos en bruto, la
información es el valor de esos datos, es lo que aporta conocimiento. Los manuales
de procedimientos, los datos de los empleados, de los proveedores y clientes de la
empresa, la base de datos de facturación son datos estructurados de tal forma que
se convierten en información, que aportan valor como compañía.
Los pilares de la seguridad de la información se fundamentan en esa necesidad que
todos tienen de obtener la información, de su importancia, integridad y disponibilidad
de la información para sacarle el máximo rendimiento con el mínimo riesgo. La Figura
3 muestra los principales pilares de la seguridad de la información.
25 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 26
3. Implementar sistemas de control de cambios, algo tan sencillo
como por ejemplo comprobar los resúmenes de los archivos de
información almacenados en sistema para comprobar si cambian
o no.
4. Como otro recurso se tiene las copias de seguridad, que en caso
de no conseguir impedir que se manipule o pierda la información
permitan recuperarla en su estado anterior.
Disponibilidad: Para poder considerar que se dispone de una seguridad mínima en
lo que a la información respecta, se tiene a la disponibilidad, de nada sirve que solo
el usuario acceda a la información y que sea incorruptible, si el acceso a la misma es
tedioso o imposible, la información para resultar útil y valiosa debe estar disponible
para quien la necesita, se debe implementar las medidas necesarias para que
tanto la información como los servicios estén disponibles, por ejemplo un ataque
distribuido de denegación de servicio o DDoS puede dejar inutilizada una tienda
online impidiendo que los clientes accedan a la misma y puedan comprar. Ogro
ejemplo de perdida de disponibilidad sería que la dirección de correo electrónico sea
utilizada para lanzar campañas de spam y en consecuencia añadida a listas negras,
impidiendo que ninguno de los destinarios de los emails legítimos los reciba. Para
este propósito se implementan políticas de control como:
• El acuerdo de nivel de servicio o (SLA).
• Balanceadores de carga de tráfico para minimizar el impacto de
DDoS.
• Copias de seguridad para restauración de información perdida.
• Disponer de recursos alternativos a los primarios.
La información y sistemas son seguros si sólo accede a la información y recursos
quién debe, sí se puede detectar y recuperar de manipulaciones voluntarias o
accidentales de la información y si se puede garantizar un nivel de servicio y acceso
a la información aceptable según las necesidades.
Carpentier (2016), indica que el uso de sistemas de información implica establecer
normas y procedimientos aplicados al uso y sistemas de información ante posibles
amenazas como:
• Elaborar varias normas y procedimientos.
• Definición de acciones que deben emprender las personas.
• Definición del perímetro que se va a afectar.
2.2. Evaluación de riesgos, amenazas y vulnerabilidades
Cuando se plantea mejorar la seguridad de una empresa se debe tener en cuenta
varios factores que se muestra a continuación:
• Recursos
• Amenazas
27 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
• Vulnerabilidades
• Riesgos
Se entiende a los recursos como los bienes tangibles e intangibles con los que se
cuenta para realizar las tareas, la información de que se dispone es un bien intangible,
ya sean las bases de datos de clientes, proveedores, los manuales de producción, las
investigaciones y las patentes. Por otro lado, se tiene a los bienes tangibles, qué son
los recursos físicos de que se dispone en la empresa, servidores, equipos de red,
computadoras, teléfonos inteligentes, vehículos, bienes inmuebles, etc., la Figura 4
muestra un ejemplo de bienes tangibles e intangibles.
Volver al índice 28
Figura 5. Fórmula para medir el riesgo.
Fuente: elaboración propia.
La Figura anterior indica que el riesgo es igual al resultado de sumar el impacto
producido por la amenaza por la probabilidad de que una vulnerabilidad permita
que dicha amenaza tenga éxito.
En un sistema de evaluación de riesgo sencillo se podría asignar un valor numérico a
la importancia de una vulnerabilidad y otro valor a la importancia de una amenaza,
la tabla 1 muestra un ejemplo de evaluación de riesgos.
Tabla 1. Comparativa de evaluación de riesgos.
Amenaza Impacto Probabilidad Riesgo
Robo de credenciales en un sistema
3 0 0
de control biométrico
Infección por Spyware 3 2 6
Pérdida de suministro eléctrico 1 1 1
Fuente: elaboración propia.
En la tabla anterior las amenazas que no causan daño tendrían un impacto 0,
mientras que las que causan un gran daño tendrían un valor de impacto igual a 3, del
mismo modo la probabilidad puede ser nula, baja, media o alta, con lo que se podría
dar valores de probabilidad de 0 a 3, multiplicando ambos valores se obtendría el
valor de riesgo, de esta forma se podría clasificar los distintos riesgos a los que se
está expuesto y actuar en consecuencia, empezando por los de mayor gravedad, por
ejemplo, si existe una amenaza de ataques mediante robo de credenciales para
acceder a un recurso cifrado, el impacto de perder dicha información seria alta, pero
ya que se tiene un sistema de autenticación biométrico, las probabilidades de que
exista una probabilidad aprovechable son prácticamente nulas, por lo tanto el riesgo
es cero para esa amenaza.
Tipos de amenazas
Existen amenazas difícilmente controlables como las naturales como los desastres
o errores humanos, pero que deben ser tenidas en cuenta a la hora de calcular
riesgos, una persona podría borrar accidentalmente información de un servidor o
podría enviar un correo electrónico con información confidencial a un destinatario
erróneo, del mismo modo el Hardware de los recursos informáticos de la empresa
puede verse dañado por el uso, por inundaciones, fallas eléctricas, etc.
En cambio, las amenazas voluntarias son aquellas de derivan de ataques deliberados
ya sean de agentes internos o externos de una organización, los agentes internos
pueden ser por ejemplo empleados descontentos o ex empleados cuyas credenciales
29 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
de acceso no han sido revocadas. Mientras que los agentes externos pueden ser
competencia desleal, activistas, terroristas, cibercriminales, etc.
Vulnerabilidades.
Las vulnerabilidades son por lo general fallos de diseño de procedimientos o de
recursos, las vulnerabilidades existen no se fabrican, una vulnerabilidad es cualquier
fallo de diseño que permite que una amenaza pueda afectar a un recurso. Si se habla
de recursos informáticos se suele decir que una vulnerabilidad es un fallo de diseño
de un sistema, un sistema no actualizado o un sistema mal Configurado que permite
que un agente externo, acceda sin permisos apropiados al recurso o información que
dicho sistema gestiona, en función del tipo de recurso al que estemos orientados
existen distintas fuentes de información dónde se puede buscar vulnerabilidades
aplicables a los sistemas con que se cuenta.
Por ejemplo si se usa el gestor de contenidos Wordpress para desarrollar una página
web, se puede buscar vulnerabilidades del CMS, de algunas de sus plantillas o de
los plugins que se utilizarán para dar funcionalidad a la página web en https://
wpvulndb.com/, la Figura 6 muestra la página principal de este sitio de búsqueda de
vulnerabilidades.
Volver al índice 30
Figura 7. Base de datos de vulnerabilidades de España.
Fuente: https://www.ccn-cert.cni.es/
En este tipo de buscadores se puede filtrar la información de vulnerabilidades expuesta
por fabricantes, versiones, recursos, etc., y pueden estar gestionados por equipos de
respuestas a incidentes informáticos por sus siglas en inglés CERT, pertenecientes
a instituciones tanto públicas como privadas que comparten y difunden esta
información, ya que la mejora global de la seguridad incrementa la seguridad
individual y fuerza a desarrolladores y fabricantes a eliminar vulnerabilidades de sus
sistemas. Por ejemplo, la tabla 2 analiza un caso práctico de evaluación de riesgos.
Tabla 2. Evaluación de riesgos en una empresa.
Amenaza Impacto Probabilidad Riesgo
Robo de credenciales en sistema de
3 0 0
identificación biométrico
Infección por Spyware 3 2 6
Pérdida de suministro eléctrico 1 1 1
Ataque por ransomware 2 2 4
Fuente: elaboración propia.
En este caso si se dispone de un servidor de almacenamiento de ficheros y se
consideran las distintas amenazas que pueden afectarle, se tendría por ejemplo el
acceso no autorizado, la infección por spyware, la pérdida de suministro eléctrico
o la infección por ransomware, el impacto de cada caso sería alto para el acceso
no autorizado, porque sería imparable, alto para el spyware porque podría filtrar
información de forma oculta sin acceso físico, bajo para la pérdida de suministro
eléctrico ya que sería fácil de solucionar y medio para el ransomware, ya que sólo se
necesitaría restaurar copias de seguridad.
Respecto a la probabilidad dado que se obtiene control de acceso biométrico, la
posibilidad de robo de credenciales es nula, la probabilidad de infección por malware
es media, suponiendo que no se tenga las medidas, idóneas la misma probabilidad
se aplicaría a el ransomware, la pérdida de suministro eléctrico sería de baja
probabilidad. Por tanto, los riesgos de mayor a menor importancia quedarían de la
siguiente manera:
31 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 32
Los usuarios normales solo pueden hacer uso de las herramientas que hay instaladas
en la computadora y acceder a la información de su directorio de usuario, los
administradores tienen privilegios para acceder a otras estructuras de archivos que
no sean las propias de su usuario, pueden instalar o eliminar software del sistema y
pueden cambiar parámetros de configuración del sistema operativo como por
ejemplo la configuración de red.
La ley de mínimos privilegios establece que para la realización de una tarea, un
usuario debe disponer de los privilegios mínimos necesarios durante el tiempo
imprescindible y con el alcance limitado a lo que exija la tarea, por ejemplo si se
trabaja con una computadora se debería tener un usuario normal y otro con privilegios
de administrador, de este modo solo se usaría el usuario administrador cuando se
tuviese que hacer cambios de configuración, instalar o desinstalar software, aplicar
actualizaciones parches de seguridad o gestionar las copias o respaldos, el resto del
tiempo para operar con el contenido habitual, para navegar por internet, gestionar
el correo electrónico, etc., se operaría con un usuario sin privilegios especiales lo
que minimiza el riesgo de infección por malware, espionaje, filtración de datos,
corrupción de archivos del sistema y demás, la Figura 9 muestra los privilegios
mínimos necesarios de un usuario.
33 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 34
• No decir “NO”
• Exceso de confianza
• El exceso de halagos hacia la persona
• Empatía
A la persona le cuesta decir “NO”, es fácil escuchar a alguien solo con un sí a una
petición, pero cuando se trata de decir no, casi nunca nos escuchamos tal cual,
sonaría grosero, ese no casi siempre va acompañado de una excusa, porque a las
personas les gusta ayudar a los demás, los hace sentir bien y cuando quieren decir
no se necesita razonarlo y excusarlo tanto a la persona a la que se lo dicen cómo
a la persona misma, por eso sí el ingeniero social es capaz de neutralizar el uso de
excusas, estará cerrándole las puertas al objetivo que se encontrará en la encrucijada
entre decir simplemente no o ceder a la petición sea total o parcialmente.
La confianza, las personas son confiadas por naturaleza, si algo es permisible la
mayor parte de la gente lo dará por válido, se tiende a creer en las cosas sí parecen
reales lo sean o no, el más claro ejemplo está en la gran cantidad de noticias falsas y
cadenas que se distribuyen en las redes sociales como Facebook o WhatsApp.
La adulación, a las personas les encanta que los adulen, todos buscan reconocimiento
en la vida profesional, particular o sentimental, se quiere ser reconocido en la
empresa, en la familia o en el deporte que se practica, cuando se alimenta el EGO la
sensación de superioridad hace sentir segura al individuo y en consecuencia se baja
el nivel de atención a otros detalles.
La empatía, un buen ingeniero social aprovecha esta vulnerabilidad para que la
persona se preocupe por sus simulados problemas de forma que ayudarle, haga
sentir mejor al individuo que atender a sus propias preocupaciones.
La tribu o los clanes, desde el punto de vista más sociológico la principal barrera o
vulnerabilidad según se mide para un ingeniero social, es la tribalizaciòn, los clanes,
todos somos vulnerables en cuanto a que por defecto confiamos, esta confianza es
más fuerte si cabe con la gente del círculo cercano, la familia, los amigos, compañeros
de trabajo. La persona es más receptiva a todo aquello que les cuenta gente del clan
o tribu, es más fácil creer en algo que diga la madre o el hijo, que lo que le cuente
cualquier extraño y por difícil que resulte de creer, el asunto del que le hablen carece
totalmente de importancia.
El contexto, al hablar de tribu o clan no solamente se habla de la gente que se conoce
directamente, también se habla de los contextos, ya que el elemento de una tribu a
la que se pertenece, sólo tendrá sentido en dicho contexto.
Una de las formas más habituales de uso de la ingeniería social para atacar
infraestructuras informáticas es la obtención de información personal de la
plantilla de una organización, consciente que dicha información permita descubrir
contraseñas y acceso a recursos restringidos. También se usa la ingeniería social
para generar campañas genéricas de email fraudulentos conocidas como Phishing,
destinadas a distribuir por ejemplo malware.
35 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 36
Cuanto mayor sea la superficie de ataque, es decir cuántos más elementos estén
expuestos más probabilidades hay de que existan vulnerabilidades disponibles para
un ataque por lo que minimizar esta superficie implica una reducción de los riesgos
que pueden causar problemas, además que puede reducirse también la tasación de
los riesgos que no se puedan evitar, la Figura 12 muestra los riesgos en la superficie
de ataque.
37 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Las vulnerabilidades son fallas en los sistemas, no son puertas abiertas diseñadas
deliberadamente, sino errores de diseño, configuración o implementación que
generan oportunidades de ataque, es decir que hacen viable una amenaza.
Por ejemplo, se puede analizar las distintas superficies que se tienen que estudiar
para identificar potenciales amenazas y vulnerabilidades como:
Software
Está compuesto de aplicaciones, servicios, ejecutables, páginas web y otros servicios
como NFTP, TELNET y otros similares. Las vulnerabilidades en el software son fallas
en la programación o compilación de los programas que ejecutan las computadoras
a servidores, los ataques a estas vulnerabilidades pueden derivar en un mal
funcionamiento del software, acceso a información restringida, fallos de sistema,
etc. Para reducir esta superficie de ataque, hay que reducir al mínimo el software
instalado en las computadoras y servidores, mantener actualizado el software y
aplicar todos los parches de seguridad publicados por los desarrolladores.
ConFigurar el software con la ley de los mínimos privilegios en mente, no utilizar
software pirata o de fuentes no confiables y explorar recurrentemente las bases
de datos públicas de vulnerabilidades en busca de aquellas que puedan afectar al
software.
Hardware
Estadísticamente hablando el hardware es la segunda superficie de ataque a
considerar, lo común es que, para atacar a un dispositivo hardware, el atacante
necesita tener acceso físico al dispositivo. En este caso es fácil analizar que las
amenazas naturales como fallos por envejecimiento de equipos o desastres como
robos, incendios o inundaciones, afecta específicamente a esta superficie de ataque.
Los ataques a hardware también pueden producirse a través de la red o afectando
al medio físico de transmisión, por ejemplo, los perturbadores de señal pueden
interrumpir las comunicaciones de distinto tipo de tecnología inalámbrica mediante
la generación de ruido radioeléctrico en la frecuencia y forma correcta. Este tipo de
ataques podría anular sistemas de comunicaciones de los que dependen alarmas,
sensores o cualquier otro tipo de comunicaciones, ya sean entre dispositivos o
personas.
Todo Hardware de la infraestructura está o puede estar expuesto como dispositivo en
sí mismo, por sus puertos y protocolos de comunicaciones, aplicaciones e interfaces.
Para reducir al mínimo la superficie de ataque, se debe proteger físicamente los
equipos frente a incidentes y sabotajes mediante instalaciones seguras con controles
de acceso. Se debe conFigurar los equipos cerrando todo puerto innecesario y
deshabilitando cualquier protocolo de comunicación no pertinente, en el entorno
de red se puede desplegar firewalls, sistemas de detección de intrusión y sistemas de
gestión y balanceo de carga de tráfico. Al igual que con el software se debe mantener
el firmware actualizado de los equipos y evitar que personal no autorizado pueda
manipular su configuración.
Volver al índice 38
Recursos humanos
Por último, esta es la última superficie de ataque correspondiente a los recursos
humanos, que pueden actuar contra los intereses de la organización por descontento,
error, engaño o coacción. Además de implementar y exigir el cumplimiento de
protocolos de actuación, es aconsejable implementar sistemas de registro y auditoría
para verificar quién hace qué y cuándo, de este modo al evitar el anonimato se
minimiza la probabilidad de éxito de una amenaza de carácter humano, además se
debe invertir esfuerzo y recursos en educar y concienciar a los usuarios de nuestros
recursos e infraestructuras para que se impliquen a la hora mantener un alto nivel
de seguridad.
39 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 40
CAPÍTULO III: LAS VULNERABILIDADES
Este capítulo no tiene como objetivo analizar cuál es la mejor herramienta para el
escaneo de vulnerabilidades, tampoco decir cuál es la mejor para Linux, Windows.
El objetivo es poder brindar al lector un mayor conocimiento sobre el análisis de las
vulnerabilidades, los tipos, las diferentes formas de escaneos y la detección de las
diferentes vulnerabilidades y como poder resolverlas.
3.1. Introducción al análisis de vulnerabilidades
Definiendo a muy grandes rasgos que es una vulnerabilidad, una vulnerabilidad de
una manera muy general es un fallo en un sistema que puede ser explotada por un
atacante generando un riesgo para la organización o para el mismo sistema.
Existen dos tipos de vulnerabilidades que se mencionan a continuación:
• Las lógicas
• Las físicas
3.1.1. Vulnerabilidades físicas
Las vulnerabilidades físicas son las que van a afectar a la infraestructura de la
organización de manera física y se pueden mencionar en este tipo de clasificación a
los desastres naturales, como ejemplo se podría mencionar una vulnerabilidad alta
de este tipo si se vive en una zona de alto riesgo de sismos, ya que puede presentarse
una negación en el servicio, una afectación en la disponibilidad y a partir de ahí se
podría empezar con problemas. Si la organización está en una zona que generalmente
se inunda, se tiene también otro tipo de vulnerabilidad.
Otra de las opciones físicas son los controles de acceso, en muchas ocasiones se
tiene los accesos a la infraestructura crítica y no se tiene los accesos pertinentes,
cualquier persona podría abrir una puerta, podría entrar y constituye un gran riesgo
para la organización porque cualquier usuario podría ingresar con una USB y copiar
información, podría infectar la misma infraestructura.
3.1.2. Vulnerabilidades lógicas
Las vulnerabilidades lógicas son las que van a afectar directamente la infraestructura y
el desarrollo de la operación de estos, estas pueden ser de:
• Configuración
• Actualización
• Desarrollo
Las de configuración en el sistema operativo, pueden ser las configuraciones por
defecto del sistema o incluso de algunas aplicaciones del servidor que se tenga
expuesta, puede ser también la configuración de algunos firewalls que no está
gestionado de una manera correcta y también de infraestructura perimetral.
Las vulnerabilidades de actualización, en muchas ocasiones hay empresas que no
actualizan sus sistemas, van saliendo las vulnerabilidades y es un punto que se debe
tomar en cuenta.
41 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 42
del administrador, aparte de realizar un escaneo, evaluar las políticas tanto del
equipo, como las de seguridad e incluso se podría empezar a ver si realmente las
áreas de administración están teniendo un cumplimiento de sus políticas internas
y analizar los procedimientos para la gestión de los equipos cuando se hace una
prueba de penetración.
Estos escáneres funcionan de una manera sencilla, cuando se da a conocer una
vulnerabilidad que tenga gran relevancia se desarrollan las firmas que van a validar
estas vulnerabilidades, los escáneres se actualizan directamente, bajan las firmas y a
partir de allí se puede realizar el escaneo.
3.2. Tipos de vulnerabilidades
Existen algunos tipos de vulnerabilidades que son mecanismos aprovechados por
los atacantes para infectar una red o robar información entre los cuales se puede
mencionar a los siguientes tipos:
3.2.1. Desbordamiento de buffer
El desbordamiento de buffer ocurre cuando el programador no controla el espacio
de memoria del programa, entonces alguna persona puede introducir su propio
código en ese espacio de memoria y la máquina lo va a ejecutar antes que cualquier
otra tarea, por ejemplo, eso normalmente se da mucho con los payloads, en los
cuales se inyectan cierta cantidad de memoria o inclusive dentro de los backdoor o
puerta trasera, los cuales inyectan en la memoria RAM un cierto o una cierta cantidad
de código, el cual se arranca antes, inclusive de arrancar toda la parte del sistema
operativo o de algunos de los archivos dentro del mismo sistema que se utilizan para
arrancar de manera normal. La Figura 14 muestra un ejemplo de desbordamiento
de buffer.
43 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 44
sería algún certificado SSL o TSL, etc. Normalmente el mayor problema es cuando se
define el marco de seguridad que tienen las fallas, por ejemplo, alguna especie de
utilización de sistema web.
3.2.5. Aprovechamiento de las vulnerabilidades
Normalmente existen dos formas de aprovechar las vulnerabilidades como se
muestra a continuación:
• Forma remota
• Ingeniería social
En la forma remota se llega mediante una computadora y se empieza a hacer análisis,
ataques a un cierto servidor y tratar de vulnerarlo, si se logra el acceso, quiere decir
que ya se hizo alguna explotación remota.
En la parte de la ingeniería social, alguien puede ayudar de manera interna, una
persona dentro de la organización puede ayudar a realizar un acceso no permitido.
También existen las partes de ataques directo una vulnerabilidad de forma remota
utilizando internet, se aprovecha de que algún software o servicio tiene un puerto
abierto volviéndose vulnerable. Otra de las partes es engañando a un usuario,
aplicando ingeniería social con alguna memoria o algún archivo infectado se puede
aprovechar de alguna vulnerabilidad que se encuentra dentro del mismo sistema.
3.3. Detección de vulnerabilidades
Las vulnerabilidades pueden ser detectadas mediante herramientas de detección,
realizar un escaneo de puertos con el objetivo de verificar cuales están abiertos para
intentar obtener información sobre el servicio que se encuentre corriendo en ese
momento y con esta información buscar vulnerabilidades asociadas precisamente a
esos servicios. Se tienen tres formas de detectarse.
1. Escáner de vulnerabilidades.
2. Análisis manuales.
3. Consultando información.
A través del escáner de vulnerabilidades se tienen herramientas como Nikto la cual
funciona buscando fallos en base a servidores, Nessus, Nmap, etc. Una de las ventajas
de la parte del escáner de vulnerabilidades, es que funcionan de manera automática,
trabajan ubicando un rango de direcciones IP e inicia el escaneo, la máquina realiza
todo el proceso prácticamente sola.
En la parte de los análisis manuales es muy importante realizarlos, ya que, todos
los análisis automáticos no detectan de forma automática todas las vulnerabilidades
que se pueda tener en un sistema, entonces, también es necesario realizar algún
análisis manual dentro de las vulnerabilidades encontradas con la finalidad de evitar
que se pueda escapar o dejar como tal cabo suelta.
Otra de las partes es consultar información, en la parte precisamente de ocultar
información se tiene alguna especie de Google hacking por así mencionarlo o algo
45 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 46
tanto pc, servidores, impresoras, todo lo que podría catalogarse como un activo se
realiza para tener un orden de los sistemas, por ejemplo, mantener una lista de
direcciones IP que tienen los dispositivos o bien para descubrir, qué equipos se han
conectado a la red sin ser detectados, para eso va a servir la parte de la realización
de un inventario y la categorización de activos.
3.5.2. Escanear sistemas para detectar vulnerabilidades
Otra de las partes fundamentales dentro del ciclo de remediación de vulnerabilidades,
es la parte de escanear los sistemas para detectar fallos, en este paso el escáner
normalmente revisará ya sea el software, configuraciones o dispositivos que tenga
cada dirección IP y determinará si se tiene alguna vulnerabilidad reportada sobre
dicho servicio o software o alguna especie de configuración. Igualmente, si se está
haciendo un escaneo de cumplimiento de normas, el escáner revisará el registro de
la máquina para detectar las configuraciones que son inseguras. Hay que tomar en
cuenta que el escáner necesita tener acceso de administrador a las máquinas que
se van a estar escaneando, al terminar dicho escáner va a generar un reporte muy
completo de todas las vulnerabilidades detectadas.
3.5.3. Identificar vulnerabilidades
Otro de los puntos muy importantes en la parte del ciclo de remediación de
vulnerabilidades, es verificar vulnerabilidades dentro del inventario, una cosa muy
importante es escanear los sistemas para detectar vulnerabilidades y otra cosa
muy distinta es precisamente verificar vulnerabilidades dentro del inventario de
los activos de la empresa. Esto consiste en identificar que las vulnerabilidades que
son detectadas por el escáner, primeramente, sean relevantes, generalmente los
escáneres pueden generar tener falsos positivos, si un escáner genera demasiados
falsos positivos, va a costar muchas horas de trabajo en remediaciones que a final de
cuenta no son innecesarias.
3.5.4. Clasificar y priorizar riesgos
Es imposible arreglar todas las vulnerabilidades detectadas, es por eso, que
es necesario clasificar y sobretodo priorizar el riesgo que está impondría en la
organización. No se puede arreglar todas las fallas encontradas porque se tiene poco
tiempo, poco personal y sobre todo poco dinero, por esto la organización se debe
enfocar en arreglar primero las vulnerabilidades más graves en sistemas críticos,
pero para esto se debe diseñar un esquema de prioridad que combine el nivel de
severidad de una vulnerabilidad y qué tan importante es el sistema para la empresa.
Los escáneres inclusive en ocasiones permiten crear un esquema automáticamente
como el que se muestra en la Figura 15, que viene a ser una matriz de riesgos.
47 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 48
en una máquina hay que proceder a implementarlos en todas las demás máquinas
en la red, dependiendo del tamaño de la red este es el paso más laborioso de la
administración de vulnerabilidades, hay soluciones de implementación de manera
automáticas de parches que se pueden utilizar, hay que recordar que se tiene que
probar primeramente el parche en una sola máquina antes de proceder a instalarlos
en las demás.
Algunos escáneres tienen la posibilidad de generar automáticamente tickets para
que sean asignados a ingenieros encargados de remediación y se las pueda dar un
seguimiento a todo el proceso.
3.5.7. Aplicar parches y configuraciones
Una vez que ya se ha implementado todas las partes, se ha escaneado, clasificado
riesgos, buscado los parches, aplicado dichos parches, la última parte es volver a
escanear para verificar el parcheo, esto una vez que ya se haya parchado todos los
sistemas o se hayan cambiado sus configuraciones inseguras, se debe escanear toda
la red de nuevo para asegurarse que los parches estén adecuadamente instalados y
no hayan faltado equipos, inclusive con toda esta situación de que se haya realizado
un parcheo o una actualización es necesario volver a escanear para verificar si esos
parches quedaron debidamente aplicados o bien generaron nuevas vulnerabilidades.
49 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 50
CAPÍTULO IV: METODOLOGÍAS DE ANÁLISIS DE
VULNERABILIDADES
El objetivo de este capítulo es implementar una metodología de análisis de
vulnerabilidades con la finalidad de tratar de mitigar o bajar los riesgos que se
encuentran en determinados sistemas dentro de la organización. Para esto se
establecen una serie de pasos para lograr dicho proceso.
4.1. Acuerdo de confidencialidad
En esta sección se explicará los pasos a seguir para llevar a cabo un análisis de
vulnerabilidades de manera correcta y sobre todo sin sufrir algún inconveniente, por
ejemplo, normalmente es necesario conocer los pasos a seguir durante el análisis
de los fallos para formar parte de un desarrollo de seguridad de manera general,
donde, el objetivo principal consistirá en hacer conocer el estado actual de la red y
los riesgos que éstos tienen.
Una de las tareas principales que se debe verificar, es la parte del acuerdo de
confidencialidad entre ambas partes, donde intervienen la empresa y el analista
de seguridad. Es importante realizar un acuerdo de confidencialidad entre las
dos partes involucradas en el análisis, debido a que, a lo largo de la búsqueda de
vulnerabilidades, se puede obtener alguna información crítica para la organización
analizada, por ejemplo, nombres de usuario y contraseñas, algunos agujeros de
seguridad, documentos que se encuentran expuestos en la red, etc.
Toda la información que sea obtenida a través del análisis debe ser utilizada sólo para
fines informativos, de mejora de servicios y seguridad, no podrá ser divulgada como
tal a terceras personas o partes que no sean involucradas en la parte de este análisis.
Desde el punto de vista de la organización debe de existir la confianza absoluta
por parte del analista en este caso, si se está realizando un test de análisis de caja
blanca, se deberá abrir como empresa todas las puertas a la red y ofrecerle toda la
información que solicite el especialista.
Desde el punto de vista del analizador, el acuerdo de confidencialidad le ofrece
un marco legal sobre el cual trabajar, constituyendo un respaldo formal a la labor
realizada. La Figura 16 muestra un ejemplo sencillo de un acuerdo de confidencialidad.
51 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 52
análisis para recolectar la información uno de las técnicas de análisis para levantar la
información es el llamado OSINT, la Figura 17 muestra el esquema de este método
de recolección de información.
53 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 54
importante que los test o análisis de denegación de servicios reciban ayuda adicional
de la organización ya sea a monitorizar a nivel privado o de algunos otros usuarios
que también sean analistas de seguridad.
Evaluación de políticas de seguridad: En la evaluación de políticas, la reducción de
riesgos en una organización con la utilización de tipos de específicos de tecnologías,
por ejemplo Cisco, existen dos funciones a llevar a cabo, lo primero es el análisis de
lo escrito contra el estado actual de las conexiones y segundo asegurar que la política
esté incluida dentro de las justificaciones del negocio de la organización, en especial
en lo que hace referencia a la parte de una política que está incluida dentro de las
justificaciones de negocio, esta se refiere a que esta política vaya ajustada hacia los
objetivos, debido a que si se pone una política, por ejemplo de que no se puede
utilizar internet y resulta que la empresa para sus ventas hace uso de este recurso la
política no tendría sentido, por eso es importante realizar un análisis acerca de las
políticas de seguridad que más le benefician a la organización.
4.5. Análisis exterior
En el punto anterior se hizo un análisis interno, también existe el análisis externo, el
principal objetivo de este tipo de análisis, es acceder en forma remota a los servidores
de la organización y sobre todo obtener privilegios o permisos que no deberían estar
disponibles. Este test puede comenzar con técnicas ya sea aplicando ingeniería social
para poder obtener alguna información y luego se podría utilizar en algún intento de
acceso. Los pasos de este tipo de análisis consisten en los siguientes puntos:
Revisión de la inteligencia competitiva: Esta parte se basa en toda la información
recolectada a partir de la presencia en internet de la organización.
Revisión de la privacidad: Esta etapa se basa en un punto de vista legal y ético del
almacenamiento, transmisión y control de los datos basados en la privacidad del
cliente. Por ejemplo, se hace una imaginación que dicha empresa no tiene el control
suficiente como para hacer que toda la información o los datos que están manejando
los empleados se queden dentro de la organización, lo que pueda a conllevar a que
probablemente alguno de los empleados se pueda llevar dicha información.
Análisis de solicitud: Éste es el método para obtener privilegios de acceso a una
organización y sus activos, preguntando sencillamente al personal de entrada usando
las comunicaciones como algún teléfono, correo, chat, etc., desde una posición
privilegiada o de una forma fraudulenta que tiende a ser simplemente un análisis
basado en ingeniería social.
Análisis de sugerencia dirigida: Aquí en este método, se intenta lograr que un
integrante de la organización ingrese a un sitio o reciba un correo electrónico en este
sitio o el correo se podría agregar a herramientas que luego serían utilizadas en el
intento de acceso. Técnicamente sería tener un cómplice dentro de la organización
que ayude a instalar ciertas herramientas y posteriormente el atacante podría crear
una sesión, ya sea con alguna herramienta que le permita gestionar sesiones desde
el exterior.
55 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Una vez que se recopila esta información se procede a realizar algunas de las
siguientes pruebas que se muestran a continuación:
1. Sondeo de red: Sirve como Introducción a los sistemas a ser
analizados, aquí se analizan nombres de dominio, nombres de
servidores, direcciones IP, mapas de red, información del proveedor
de internet, propietarios de sistema y servicios.
2. Identificación de los servicios de sistemas: En esta prueba se deben
enumerar los servicios de internet activos o sobretodo accesibles,
así como, traspasar el firewall con el objetivo de encontrar más
máquinas activas, luego es necesario llevar adelante un análisis de
la aplicación que escucha, tras dicho servicio. Tras la identificación
de los servicios el siguiente paso simplemente es identificar al
sistema con el fin de obtener respuestas que pueden dirigir el
sistema operativo y su versión, técnicamente realizar un análisis de
Fingerprint.
3. Búsqueda y verificación de vulnerabilidades: Esta prueba
se basa en la identificación, comprensión y verificación de las
vulnerabilidades o debilidades, errores de configuración dentro de
un servidor o en una red. La búsqueda de vulnerabilidades se realiza
mediante herramientas automáticas para determinar agujeros de
seguridad existente y niveles de parcheado de los sistemas, pero
se debe tener en cuenta nuevas vulnerabilidades que se publican
en sitios donde normalmente todavía no incluyen las herramientas
automáticas.
4. Testeo de aplicaciones de internet: Aquí se emplean diferentes
técnicas de análisis de software para encontrar fallos de seguridad
en aplicaciones cliente, como se está realizando un análisis externo,
se pueden utilizar en este módulo los test de caja negra.
5. Testeo de relaciones de confianza: La parte de enrutamiento
técnicamente está diseñado para asegurar que sólo aquellos que
deben ser expresamente permitidos puede ser aceptado en la red.
6. Verificación de redes inalámbricas: Aquí en este caso se menciona
la parte del estándar 802.11, que es un método para la verificación
del Wireless que normalmente se basa en la parte de la cobertura y
el acceso de los Access Point por red ad hoc.
4.6. Documentación e informes
En los puntos anteriores se analizó la parte del análisis interno y externo, ahora se
debe realizar un análisis acerca de la parte de la documentación y los informes. Como
en la parte de la finalización del análisis de vulnerabilidades se debe presentar un
informe, donde se detalle cada uno de los test que se han realizado y los resultados
de los mismos. Este informe debe especificar la lista de vulnerabilidades que han
Volver al índice 56
sido probadas, las vulnerabilidades detectadas, lista de servicios y dispositivos
vulnerables, el riesgo o el nivel de riesgo que involucra cada vulnerabilidad que ha
sido encontrada en cada servicio y dispositivo, como tal se debe incluir los resultados
de los programas utilizados.
57 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 58
CAPÍTULO V: HERRAMIENTAS PARA EL ANÁLISIS DE
VULNERABILIDADES
Este capítulo tiene como objetivo mostrar las herramientas más utilizadas para el
análisis de vulnerabilidades en los sistemas, los pasos necesarios para interpretar
todos los fallos encontrados y sobre todo las posibles soluciones para dichas falencias.
5.1. Introducción a Nessus
Actualmente existen muchas herramientas para el análisis de fallos e inseguridades
en el mercado, una de estas aplicaciones tipo escáner más populares es Nessus,
esta solución es un escáner de vulnerabilidades desarrollado por la empresa Tenable
Network Security, en la actualidad ofrece distintas soluciones no solo de escaneos
de redes para encontrar fallos, sino, aplicaciones más completas como Nessus
Security Center el cual evalúa las vulnerabilidades de una organización o empresa
categorizando estas deficiencias de acuerdo al riesgo, incluso proporciona reportes
continuos, datos estadísticos y posee un plugin que genera alertas y notificaciones,
también apoya a la organización en el cumplimiento de estándares regulatorios
y es posible integrarla con otras soluciones, esto constituye una de las grandes
ventajas que tiene esta herramienta. La Figura 18 muestra la página principal de esa
herramienta de escaneo de vulnerabilidades.
59 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 60
dedicada a los usuarios caseros para eso hay que registrarse en el sitio web como se
muestra en la Figura 20.
61 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 62
Si se selecciona Microsoft Windows hay versiones de 32 y 64 bits, estas tienen soporte
para Windows server, Windows 7 y 8, también hay soporte para server 2012 en su
versión r2 y arquitecturas de 64 bits. Para instalarlo no hay mayor complicación se
lo hace de una manera muy sencilla el cual hay que ir aceptando los términos y
manejarlo de siguiente y siguiente como se muestra en la Figura 23.
63 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Nessus viene también con una librería denominada WinPcap la cual permite capturar
y transmitir paquetes de la red utilizando la pila de protocolos, la cual también se va
a descargar en el momento de la instalación, esta librería también la utilizan algunos
Sniffers, la Figura 25 muestra el asistente de instalación de esta librería.
Volver al índice 64
Figura 27. Creación de la cuenta de acceso en Nessus.
Fuente: elaboración propia.
El siguiente paso va a solicitar un código, este código es el que se va a utilizar para
poder realizar los escaneos, se va a validar el código de acuerdo a la versión que se
está utilizando. Este código se lo puede solicitar en la página principal de Nessus,
para lo cual hay que registrarse y automáticamente se envía el código de activación
al correo del usuario. La Figura 28 muestra la selección del tipo de escáner.
65 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 66
5.1.2. Conociendo Nessus y la red
Continuando con las opciones de Nessus ya se explicó sobre el proceso de la
instalación y actualización de los diferentes plugins, se acceso a la plataforma a
través de la pantalla de autenticación lo que mostró el menú principal y las diferentes
opciones para los escaneos.
De manera general se tiene las notificaciones en la parte superior derecha, se tiene
las opciones de la configuración donde se puede ver algunos detalles sobre los
plugins, sobre la versión que se está utilizando, la plataforma el código de activación,
algunas opciones para las cuentas, también para la configuración por si acaso se
necesite detalles para proxys si es el caso de conFigurar uno, como muestra la Figura
32.
67 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 68
básicos en la red, manejar la parte de credenciales, incluso se puede manejar otro
tipo de vulnerabilidades cómo es la CVE- 2016 – 0128, poder descubrir los equipos
que están en la red e incluso realizar pruebas hacia aplicaciones web.
Algo que también permite esta herramienta en esta versión casera es el análisis
de malware directamente en equipos Windows, se puede personalizar y ver si los
equipos están comprometidos. Las opciones que tienen banda que dice “Update”,
también se las puede realizar, sin embargo, es necesario adquirir una versión distinta
a la que se está utilizando, como muestra la Figura 35.
69 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 70
También se tiene opciones para el escaneo, puede hacer una mezcla de una red
privada o pública, existen otras opciones para la parte del escaneo de puertos en el
cual se va a indicar cuáles son los puertos que se necesitan que se enumeren, en este
caso se tiene enumeraciones de puertos locales ya sea por de opciones TCP o UDP.
Existen también opciones para descubrir servicios y se pueden personalizar para
utilizar todos los puertos y sus versiones. Hay una opción muy interesante que es
la opción de “ASSESSMENT”, aquí se puede manejar toda la parte de ataques de
fuerza bruta, donde incluso se puede definir los parámetros para realizar este tipo
de ataques, se puede indicar que lo realice directamente hacia una base de datos
Oracle, se puede utilizar archivos para login, passwords, se puede hacer ataques de
fuerza bruta en infraestructuras como Cisco, páginas web podemos, se puede utilizar
también proxys. La Figura 38 muestra las opciones de este menú.
71 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 72
Figura 42. Listado de vulnerabilidades encontradas en Nessus.
Fuente: elaboración propia.
Cuando se realiza un escaneo estos pueden tardar, por varios factores como puede
ser la política, esta indica que tan rápido va a ser el escaneo, que tan profundo, si
se utilizan credenciales o no, los tipos de plugins y otro elemento esencial también
es, las características del equipo, si se tiene un equipo con buen hardware como
memoria RAM, un buen procesador hay que tener en cuenta que también la red se
convertirá en un factor que influirá en el resultado del escaneo.
Se podría trabajar directamente sobre la opción “Credentialed Patch Audit”, aquí se
va a poder trabajar directamente con las credenciales, esto va a permitir en algunos
casos poder auditar las políticas de los equipos y validar que estos estén cumpliendo
con ciertas políticas, por ejemplo, que los passwords tengan combinaciones de letras
que pueden ser mayúsculas, minúsculas, números y símbolos, la parte de caducidad
de una contraseña, etc. La Figura 43 muestra la opción en el menú principal de
escaneos.
73 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 74
Esta herramienta posee un sinnúmero de opciones para detectar muchas fallas
tanto del equipo como en el escaneo de la red, las versiones más completas generan
costos adicionales por lo que tienen que estar en una constante actualización ante
fallos descubiertos tanto en los sistemas como en las redes de datos.
5.2. Introducción a Acunetix
En el punto anterior se analizó el funcionamiento de la herramienta Nessus, algunos
detalles de las vulnerabilidades, cómo se conFigura algunos escaneos muy básicos,
ahora se va a analizar la herramienta denominada Acunetix, la cual es un escáner
de vulnerabilidades web que se orienta principalmente en el OWASP TOP TEN, en
las principales fallas o falencias que hay, la cual es una organización que desarrolla y
apoya la investigación y a partir de allí están publicando los Exploits en su herramienta.
Acunetix también trabaja con vulnerabilidades que pueden tener un impacto muy
grande las cuales están integradas en su escáner, esta herramienta que tiene varias
posibilidades de trabajo para su utilización, se instala y se trabaja de manera local o
se realiza los escaneo en línea.
Según Tovar Valencia (2015), esta aplicación de manera muy general es una
herramienta que tiene una interfaz gráfica vía web, diseñada para encontrar agujeros
de seguridad en todas las aplicaciones de internet o de forma local implementadas
en una organización con el objetivo de descubrir dichas vulnerabilidades, para
que el atacante no ingrese al sistema y robe información del mismo. Entre esas
vulnerabilidades puede encontrar ataques de SQL Injection, Cross Site Scripting,
Password débiles.
Para la descarga de la herramienta se tiene que accesar a la página web https://www.
acunetix.com/ en la cual se puede descargar una versión DEMO o sino comprar una
licencia de la aplicación para el análisis de las vulnerabilidades. La Figura 47 muestra
la página principal de descarga de esta aplicación.
75 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 76
Figura 49. Descarga de la herramienta Acunetix.
Fuente: www.acunetix.com
De una manera pues muy general se tienen dos opciones para el uso de la herramienta,
el escaneo en línea y el escaneo por descarga, la descarga es una versión de prueba
que dura aproximadamente alrededor de 14 días y a partir de ahí se va a poder validar
vulnerabilidades que está en el OWASP TOP TEN siempre y cuando se adquiera una
licencia para su funcionamiento, se puede realizar inyecciones a bases de datos e
incluso se puede utilizar la búsqueda de Cross Site Scripting, también hay opciones
para lo que .NET y PHP. Una vez descargada la versión de prueba se procede a la
instalación como muestra la Figura 50.
77 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 78
Figura 53. Acceso al panel de administración de Acunetix.
Fuente: elaboración propia.
También se puede tener acceso al blog de Acunetix desde la página para verificar
noticias que hay sobre la herramienta, algunas vulnerabilidades, pruebas de
concepto para el escaneo de nuevos fallos, en sí se pueden encontrar detalles que
van a ayudar a aprender un poco más sobre SQL Injection, cruce de scripting, algunos
datos de seguridad en sitios web, entre otras cosas. En el caso para las opciones
de SQL Injection se da una breve descripción de cómo trabaja este fallo para el
acceso a las bases de datos, muestra ejemplos de una manera bastante general para
ayudar a comprender un poco más cómo opera la herramienta para la búsqueda de
inyecciones SQL.
Existen opciones para el Cross Site Scripting, se muestran algunos ejemplos para
entender tanto la vulnerabilidad y a partir de eso analizar cómo opera. También hay
opciones para Wordpress donde se está contemplando la seguridad de la herramienta
del CMS y a partir de aquí empezará a tener en cuenta las medidas necesarias para la
configuración e incluso se pueden realizar evaluaciones con Acunetix.
También existen opciones para Drupal, el cual de la misma manera va a avisar un
poco sobre los detalles de las configuraciones, algunos detalles sobre los Logs, así
mismo también tiene opciones para analizar vulnerabilidades para Joomla que es un
CMS muy popular.
Otra ventaja de esta herramienta es que se pueden realizar escaneos gratuitos en
línea desde el sitio web, para lo cual también hay que registrarse, de una manera muy
general se puede mencionar que a diferencia de la herramienta que se descarga, en
79 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 80
También busca las vulnerabilidades en más de 60000 evaluaciones de vulnerabilidades
que se realizan a través de las redes LanGuard, esto incluye entornos virtuales,
dispositivos móviles y datos de la red, tanto de infraestructura como CISCO, TRICOM,
datos de sistemas operativos como Windows, Linux, Mac, entre otras. Generalmente
escanea los sistemas operativos en entornos virtuales, aplicaciones instaladas
mediante las bases de datos de comprobación como puede ser la OVAL (Open
Vulnerability And Assessment Language). A diferencia de otras herramientas como
Acunetix y Nessus no se tiene un OWASP TOP TEN porque no se está haciendo un
escaneo a una página web, sin embargo, tiene otros tipos de cumplimiento.
También esta herramienta realiza auditoría de hardware y de software, la cual
proporciona un análisis detallado del estado de la red, este análisis incluye las
aplicaciones o configuraciones ya sean de una manera general o por defecto y el
riesgo que pueden generar para la seguridad de la organización, también proporciona
una imagen completa de las aplicaciones instaladas, el hardware de la red, los
dispositivos móviles que se conectan a un servidor entre otras cosas. Se podría si un
determinado usuario ha instalado aplicaciones que están o no están dentro de las
autorizadas en la organización y de ahí se podría generar los reportes.
LanGuard proporciona múltiples plantillas de reportes como, cumplimiento análisis
de vulnerabilidades, reportes de técnicos, ejecutivos y reportes de manera general.
Las características de hardware depende del número de nodos que se vaya a manejar,
a diferencia de un análisis con Nessus no se necesita tener la herramienta instalada
en el equipo y de ahí lanzar los escaneos, LanGuard se basa más en las auditorías de
red donde se va a tener un equipo con ciertas características que van a ir de acuerdo
al número de nodos que se vaya a auditar, en el caso de 1 a 100 nodos se necesitaría
un procesador no muy muy potente como un Dual Core de 2GHZ, almacenamiento
físico de 5 gigabytes, memoria de 2 gigabytes y un ancho de banda de 1544 kbps.
Los escaneos van a consumir ancho, estos pueden ser programador para que se
realicen en horas no laborables, se podrían conFigurar agentes para que vayan
trabajando de acuerdo a las necesidades que se estén contemplando o incluso se
podría poner políticas de Wake-On-Lan donde las máquinas se prenden en la noche
y las vayan auditando. La tabla 3 muestra una tabla requerida del hardware necesario
para los escaneos con LanGuard.
Tabla 3. Requerimientos de hardware para escaneos por nodos en LanGuard.
Requerimiento 1 a 100 100 a 500 500 a 3000 *
Procesador 2 GHz Dual Core 2.8 GHz Dual Core 3 GHz Quad Core
Almacenamiento
5 GB 10 GB 20 GB
Físico
Memoria 2 GB 4 GB 8 GB
Ancho de banda en
1544 kbps 1544 kbps 1544 kbps
la red
Fuente: elaboración propia.
81 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 82
Figura 55. Página de descarga de la herramienta GFI LanGuard.
Fuente: https://www.gfihispana.com/downloads
Simplementehayqueseleccionarlaversión quesedeseedescargaryautomáticamente
va a llegar un código, el cual va a proporcionar una licencia de 30 días como versión
de evaluación y a partir de eso se puede ir al proceso de instalación de la aplicación,
la Figura 56 muestra la página de envío del código al correo electrónico del usuario
para la activación.
83 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 84
Figura 59. Descarga de archivos para la instalación de GFI LanGuard.
Fuente: elaboración propia.
Descargado todos los componentes se procederá a instalar el aplicativo como
muestra la Figura 60.
85 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 86
Por último, aparece la pantalla principal para efectuar el análisis de vulnerabilidades
de la herramienta como muestra la Figura 63.
87 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 88
herramienta se la puede descargar directamente del sitio de www.rapid7.com, la
Figura 67 muestra la página principal de descarga de esta herramienta.
89 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 90
Figura 70. Requerimientos de hardware y software para la instalación de Nexpose.
Fuente: elaboración propia.
Otro elemento importante de la instalación es la creación de la cuenta del usuario
que va a utilizar la herramienta desde los datos personales hasta los datos de acceso
para ingresar a la herramienta como muestra la Figura 71.
91 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 92
Figura 74. Pantalla de acceso a la herramienta Nexpose.
Fuente: elaboración propia.
Una vez ingresado a la herramienta se solicita una clave de activación la cual debe
haberse enviado al correo de registro cuando se descargó la herramienta como
muestra la Figura 75.
93 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Esta herramienta ofrece muchas facilidades para los escaneos, la ventaja principal
junto con otras herramientas es que ofrecen un demo de 30 días para probar y
detectar muchas vulnerabilidades en la pc o red del usuario.
Volver al índice 94
CAPÍTULO VI: AUDITORÍA DE SEGURIDAD
El objetivo de este capítulo es conocer los procedimientos que se realizan en una
auditoria de seguridad para llevar a cabo el proceso de verificación, desde el escaneo
e identificación de los equipos, el uso de herramientas basadas en software libre, el
análisis en detalle de la vulnerabilidad, la explotación y post- explotación y las posibles
soluciones que se le pueden dar a los problemas de vulnerabilidad encontrados en
la red o equipos de la organización a la cual se le realiza la auditoría. Según (Tejada,
2015) un auditor informático es visto como un profesional altamente capacitado
independiente que evalúa la eficiencia de un sistema con el objetivo principal de
detectar fallas que deben ser solucionadas.
6.1. Escaneo y enumeración con nmap
En un proceso de auditoría de seguridad una de las primeras tareas que se debe
llevar a cabo es identificar qué equipos se tienen en la red, para eso la herramienta
más común es “nmap”, la cual es una aplicación que sirve para escanear la red
dentro de una organización, se la puede instalar en Linux, Windows o Mac Os. La
Figura 77 muestra la página principal de descarga de esta herramienta cuya dirección
en internet es https://nmap.org.
95 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 96
Figura 80. Escaneo de la red con nmap en Kali Linux.
Fuente: elaboración propia.
Según el escaneo se encontró con varios descubrimientos IP de equipos conectados
a esa red, que se detallan a continuación:
• 192.168.0.1
• 192.168.0.100
• 192.168.0.101
• 192.168.0.102
• 192.168.0.103
• 192.168.0.105
Una opción para escanear los equipos es hacerlo directamente mediante la IP ya
encontrada, la cual realizará un escaneo y mostrará todos los puertos que tenga
abierto, por ejemplo “nmap 192.168.0.101”, como se muestra en la Figura 81.
97 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Volver al índice 98
Por defecto esta herramienta genera una contraseña para acceder al panel principal,
la cual tiene que copiarse y comprobar con el usuario administrador creado “admin”,
una vez ingresado se debe ver el perfil de administrador para poder modificar la
configuración y cambiar su contraseña. Para que los cambios surtan efecto se debe
cerrar la sesión y el usuario administrador debe volver a autenticarse para que los
cambios surtan efecto.
Una vez cambiada la nueva contraseña openvas estará instalado y se puede empezar
a trabajar para escanear las vulnerabilidades, la Figura 84 muestra la pantalla
principal de esta herramienta.
99 Volver al índice
Introducción a la seguridad informática y el análisis de vulnerabilidades
Figura 98. Archivo para el ataque de Metasploit verificado por show options.
Fuente: elaboración propia.
En conclusión, se verifica que la infección se ha realizado con éxito, si esto en
vez de hacerlo con otro equipo a manera de prueba, hubiera sido otra máquina
infectada, por ejemplo con un ransomware, lo que implicaría que se hubiera perdido
el acceso a todos los ficheros de la misma, de esta forma es como se verifica que
una vulnerabilidad detectada por un sistema de detección automática como por
ejemplo, OpenVAS es real y puede afectar a los sistemas, en esto consiste la fase de
verificación de vulnerabilidades.
6.4. Post explotación y Remediación
Una vez que se verifica que una máquina es vulnerable a un exploit determinado, es
decir que se puede aprovechar una vulnerabilidad detectada en la misma, se podría
Figura 100. Uso de los comandos del shell del equipo atacado.
Fuente: elaboración propia.
Se pueden agregar otros comandos en la shell del equipo atacado como por ejemplo
el comando Download para descargar un determinado archivo en la maquina
objetivo, la Figura 101 muestra un ejemplo del uso de este comando.