Proceso del test de penetraciòn (Pentesting)

Test de intrusión

“Este es un método que utilizamos para evaluar la seguridad de un sistema o red de sistemas de información simulando el ataque por un intruso” (Alejandro Ramos –Charla Sobre Pentesting), es cuando los hackers éticos hacen su magia, se prueban las muchas vulnerabilidades encontradas en la auditoria de vulnerabilidades para ingresar a un sistema y saltar de sistema a sistema hasta poseer el dominio total del ambiente al cual se “ataca”.

Proceso del test de penetración.

•     1.       Formar 2 o 3 equipos

a.       Red Team –Este es el equipo atacante.

b.      White Team –Administrador de red, la victima.

c.       Blue Team –Coordinador del test (Este es opcional.)

•     2.       Establecer las reglas del juego.

a.       Objetivos del test.

b.      ¿Que atacar?

c.       ¿Que esta fuera de nuestras manos?

d.      ¿Qué sabemos acerca de la victima?

e.      Cronograma

f.        Problemas legales
          i.      Se debe de conocer las leyes relevantes y como adecuarnos a ellas al realizar un test de penetración.
          ii.      No Siempre tener la autorización de la “victima” es significado de legalidad.

g.       Confidencialidad

h.      Reporte de requerimientos.

i.        Autorizacion formal y un acuerdo escrito con firmas y información de la “victima”, debemos de tener esto siempre a mano ya que puede ser nuestro “Salga libre de  la carcel”.

Actividades de un test de penetración.

•     3.       Escaneo pasivo: Este tipo de escaneo es la obtención de toda la información que se nos sea posible sin tener un contacto alguno entre el test y el objetivo, no modifica los sistemas, intercepta la información, afecta la confidencialidad esta información la podemos obtener de:

a.       El sitio de la compañía y su código fuente.

b.      Redes sociales

c.       Whois

d.      Bases de datos EDGAR.

e.      Grupos de noticias

f.        Bases de datos ARIN,RIPE,APNIC,LACNIC.

g.       Google.

Ej: Escuchar paquetes en la red.

•     4.       Escaneo Activo:Modifica el sistema, altera la disponibilidad o integridad de la información, el uso de herramientas puede incluir:

a.       Herramientas comerciales de escaneo.

b.      Banner Grabbing

c.       Ingenieria Social

d.      War Dialing

e.      Sniffing traffic

Ej: Explotar una vulnerabilidad y obtener una base de datos.

•     5.       Enumerar la superficie de ataque: Investigar la red del objetivo con el fin de identificar, enumarar y documentar cada dispositivo expuesto.

a.       Mapeo de red.

b.      Locacion de los dispositivos de red.

c.       Firewalls

d.      Conexiones ya sean LAN, MAN o WAN.

    6.       Fingerprint: Realizar una investigación exaustiva del objetivo para identificar:

a.       Sistemas Operativos

b.      Aplicaciones

c.       Puertos abiertos

d.      Servicios

e.      Cuentas de usuario

•     7.       Seleccionar un objetivo: Identificar el objetivo(s) mas útil.

•     8.       Explotar las vulnerabilidades encontradas.Ejecutar herramientas apropiadas para las vulnerabilidades encontradas.

a.       Algunas no funcionaran.

b.      Algunas darán falsos positivos

c.       Algunas mataran el servidor

d.      Algunas funcionaran!

•     9.       Escalar privilegios: Obteniendo permisos de administrador o Root, crackeando passwords para accesos no autorizados.

•     10  Documentacion y reportes: Debemos de documentar todo lo encontrado, como se encontró, que herramientas se utilizaron, que vulnerabilidades fueron encontradas, cronograma de actividades realizadas y conclusiones,etc.

Metodologias

ISECOM OSSTMM 3.0     http://www.isecom.org

OWASP                              http://www.owasp.org

NIST SP 800-42                 http://csrc.nist.gov