¡Descarga Auditoría de Seguridad Informática: El Papel de Ethical Hacking y más Monografías, Ensayos en PDF de Seguridad Informática solo en Docsity!
IACC- 2020
Auditoría para la seguridad de la
información. Parte II
. Parte II
SEMANA 8
SEGURIDAD INFORMÁTICA
Reservados todos los derechos Instituto Superior de Artes y Ciencias de la Comunicación S.A.. No se permite copiar, reproducir, reeditar, descargar, publicar, emitir, difundir, de forma total o parcial la presente obra, ni su incorporación a un sistema informático, ni su transmisión en cualquier forma o por cualquier medio (electrónico, mecánico, fotocopia, grabación u otros) sin autorización previa y por escrito de Instituto Superior de Artes y Ciencias de la Comunicación S.A. La infracción de dichos derechos puede constituir un delito contra la propiedad intelectual.
IACC- 2020
APRENDIZAJES ESPERADOS
El estudiante será capaz de:
- Emplear herramientas de Ethical Hacking en el análisis de comportamiento de los sistemas, como parte de los procesos de auditoría para la seguridad de la información.
IACC- 2020
INTRODUCCIÓN
Es importante entender los procesos generales de la auditoría informática con el fin de identificar a qué riesgos está expuesto el negocio, de esta manera, será posible desarrollar los respectivos controles que minimizarán el impacto de los mismos, conocer los estándares, controles, normas y guías para la realización de auditorías internas y externas y el empleo de herramientas que permitan aplicar estos controles al momento de realizar una auditoría informática. Para realizar una auditoría informática se requiere planear una serie ordenada de acciones y procedimientos específicos, que deben ser ejecutados de forma secuencial, cronológica y ordenada, teniendo en cuenta etapas, eventos y actividades que se requieren para su ejecución y que serán establecidos de acuerdo a las necesidades de la empresa. Estos procedimientos se adaptarán de acuerdo al tipo de auditoría de sistemas que se vaya a realizar y con el cumplimiento estricto de las necesidades, técnicas y métodos de evaluación del área de sistematización. Los métodos deben seguirse para la determinación de las herramientas e instrumentos de revisión que serán utilizados en la auditoría, mientras que la metodología cubre tres etapas: la primera de planeación, la segunda de ejecución y la tercera, del dictamen de la auditoría.
IACC- 2020
RESUMEN
La protección de los sistemas y redes actuales requiere una comprensión amplia de las estrategias de ataque y un conocimiento profundo de las tácticas, herramientas y motivaciones del pirata informático. El creciente uso de metodologías de ataque de ingeniería social exige que cada probador sea consciente de la organización y los hábitos de sus usuarios de TI (personal). A continuación, se estudiarán los principales conceptos de hacking ético, así como herramientas como Kali Linux, Hackeo con Google, Whois y Nslookup, Shodan, redes sociales e Ingeniería social y Maltego.
PALABRAS CLAVE
IACC- 2020
2. ETHICAL HACKING COMO PARTE DE LOS PROCESOS DE
AUDITORÍA PARA LA SEGURIDAD DE LA INFORMACIÓN.
El objetivo fundamental del ethical hacking (hackeo ético) consiste en explotar las vulnerabilidades existentes en el sistema valiéndose de los test de intrusión, que verifican y evalúan la seguridad física y lógica de los sistemas de información, redes, aplicaciones web, bases de datos y servidores, con la intención de ganar acceso y demostrar que un sistema es vulnerable, esta información es de gran ayuda al momento de tomar las medidas preventivas en contra de posibles ataques malintencionados. De acuerdo con Rodríguez (2016), a través del ethical hacking es posible detectar el nivel de seguridad interno y externo de los sistemas de información de una organización, esto se logra determinando el grado de acceso que tendría un atacante con intenciones maliciosas a los sistemas informáticos con información crítica.
2.1. HERRAMIENTAS DE AUDITORÍA Y SEGURIDAD INFORMÁTICA
El mantenimiento de la seguridad de una red o de un sistema informático, requiere de herramientas específicas para monitorizarlas. Un ejemplo de estas herramientas es Kali Linux, que agrupa distintas funcionalidades en una sola distribución GNU/Linux desde la que se puede poner a prueba cualquier sistema informático.
2.1.1. DISTRIBUCIÓN KALI LINUX.
Kali Linux es una herramienta muy potente para el hacking ético , que busca las limitaciones y fisuras en la seguridad de las redes y sistemas informáticos. Pero eso no tiene por qué estar orientado a cometer actos ilegales, ya que ser hacker no está vinculado a la ciberdelincuencia, aunque algunos puedan dedicarse a utilizar sus conocimientos para cometer delitos.
- Antes de seguir revisando este documento te invito a descargar en plataforma el recurso adicional: Etapas de un Ethical Hacking.
IACC- 2020 De hecho, está concebida como herramienta para tareas de análisis forense , con la cual descubrir por dónde ha sido atacado un sistema informático y encontrar posibles rastros de su atacante. La filosofía sobre la que se asienta Kali Linux es su utilización y desarrollo con fines educativos y éticos, con los que poder explorar las debilidades en la seguridad de las redes y sistemas. Una de las principales virtudes de Kali Linux es que cuenta con más de 300 herramientas y aplicaciones relacionadas con la seguridad informática que incluye esta distribución, destacando algunas tan conocidas como Nmap, que permite escanear los puertos de un sistema, el crackeador de contraseñas Jack the Ripper o la suite Aircrack-ng para comprobar la seguridad de las redes inalámbricas. Primeros pasos con Kali Linux: Un buen punto de partida para comenzar a probar esta distribución es utilizar una de las imágenes preconfiguradas que permiten usar Kali Linux como una máquina virtual. Este formato de Kali Linux está preparado para usarse desde el primer momento, y para su uso se supone una serie de conocimientos previos, por lo que el sistema ya tiene preconfigurada una cuenta de superusuario (root) desde la que iniciar la sesión. Para acceder a esta cuenta, introduce root como usuario y la misma palabra al revés como contraseña. Es decir, toor. Una vez que se accede a la sesión de Kali Linux, se puede modificar el idioma de la interfaz haciendo clic sobre las opciones de encendido que encontrarás en la esquina superior derecha de la pantalla y pulsando sobre el icono de Todas las configuraciones que encontrarás en la parte inferior izquierda del cuadro desplegable. En el cuadro de Todas las configuraciones, accede a Región e idioma y añade un nuevo idioma para luego usarlo como idioma predeterminado. Necesitarás reiniciar la sesión para que se aplique el cambio de idioma. Como en tantas otras distribuciones de Linux, en los menús de Aplicaciones encontrarás todas las herramientas y aplicaciones disponibles en Kali Linux clasificadas por categorías. Entre las aplicaciones que destacan, están:
- Nmap: software para el escaneo de puertos, útil para buscar vulnerabilidades y puntos de ataque.
- Wireshark: herramienta para poder analizar todo el tráfico de la red, capturar e inyectar paquetes.
IACC- 2020 cualquier carácter, caracteres, palabra o grupo de palabras que aparezcan en la búsqueda junto con algún otro literal. Pero es posible que no conozca estos otros:
- - : antes de un literal, nos va a permitir realizar una búsqueda que NO incluya ese literal. P. ej.: corea - norte (ES) frente a corea (ES).
- +: antes de un literal, nos va a permitir realizar una búsqueda que incluya sí o sí ese literal. Viene muy bien para incluir literales comunes que Google no suele contemplar. P. ej.: +la seguridad (ES) frente a la seguridad (ES).
- OR (|): permite realizar búsquedas que contengan un resultado u otro. P. ej.: riesgo OR seguridad (ES) frente a riesgo seguridad (ES).
- AND: permite realizar búsquedas que contengan dos resultados. P. ej.: riesgo AND seguridad (ES) frente a riesgo seguridad (ES). Comandos en Google Son operadores que filtran el contenido según aspectos propios de la búsqueda. A continuación se presentan los términos más comunes que se emplean:
- define: término : devuelve la definición del literal buscado. P. ej.: define:privacidad (ES).
- site: URL : busca en una página específica. Muy útil para hacer búsquedas en profundidad, o para tener constancia de qué páginas está indexando el buscador sobre una página específica, organizadas según prioridad. P. ej.: site:pabloyglesias.com (ES).
- filetype: extensión : muestra todos los resultados de una búsqueda con una extensión de archivo específica. Tiene, como entenderá, más sentido cuando lo unimos a una búsqueda concreta. P. ej.: filetype:pdf privacidad (ES) - > PDFs sobre privacidad.
- related: URL : muestra páginas semejantes a la URL elegida. Bastante potente como herramienta de generación de una base de páginas temática. P. ej.: al escribir: related:pabloyglesias.com (ES) - > se muestran páginas que tratan temas parecidos o relacionados con Pablo Yglesias y considerando España y/o el idioma español.
- intitle: término : muestra páginas en cuyo título esté el término elegido. P. ej.: intitle:privacidad (ES) - > Páginas cuyo título tiene al menos la palabra privacidad.
- inurl: término : muestra páginas en cuyo título esté el término elegido. P. ej.: inurl:privacidad (ES) - > Páginas cuya url tiene al menos la palabra privacidad.
- allinanchor: término : muestra páginas enlazadas en páginas de terceros, cuyo texto ancla (texto de enlace) contenga el término elegido. P. ej.: allinanchor :privacidad (ES).
IACC- 2020 Algunos ejemplos de búsquedas en profundidad utilizando el buscador de Google:
- site: URL término : muestra contenido de una web donde se hable sobre el término elegido. P. ej.: site:pabloyglesias privacidad (ES). También nos permite realizar búsquedas en un directorio específico, como por ejemplo site:pabloyglesias.com/archivo HTML5 (ES).
- inurl: URL operador (www|http://|https://) : nos permite encontrar errores en el indexado de páginas navegables con o sin www, con o sin http, con o sin https, comparando búsquedas. Puede ser útil para realizar una auditoría de seguridad o SEO. P. ej.: inurl:pabloyglesias.com - https (ES).
- término OR término OR … site:* .ext : realiza una búsqueda compuesta en páginas de un rango de dominios específicos (por ejemplo, por país). P. ej.: privacidad OR seguridad OR riesgo site:*.es (ES). Otro muy habitual es el control de posibles ataques de spam a nuestras páginas, fácilmente localizables mediante la búsqueda site:pabloyglesias casino OR debt OR insurance OR mortgage OR pharmacy OR phentamine OR pherimones OR poker OR porn OR sex OR viagara OR viagra OR xxx (ES) - > mostraría los resultados para el dominio pabloyglesias.com que tuvieran rastros de este tipo de ataques. Además, todas estas búsquedas funcionarían también en la herramienta de Alertas de Google (ES), que nos permite automatizar este flujo (suponiendo que la búsqueda vaya a repetirse con una periodicidad) generando un RSS que podríamos ingresar en nuestro gestor de RSS, o mediante el envío de un email periódico. Por ejemplo, podríamos estar interesados en saber si alguien habla de nosotros mediante el siguiente comando en Google Alerts: «Pablo F. Iglesias»-pabloyglesias.com - socialbrains.es - > me enviará semanalmente cualquier contenido NUEVO en el que se me llame por mi nombre completo y que no esté en el dominio pabloyglesias.com o socialbrains.es , por ser estos dos dominios donde escribo periódicamente (y que, por tanto, arrojarían falsos positivos todas las semanas). Al final, lo que obtenemos es un servicio muy potente para consumir información específica sobre temas más o menos limitados. Una manera de estar al día sobre posibles nuevos competidores, movimientos de otras compañías, información del sector actualizada o vulnerabilidades descubiertas en una web.
2.2.2. WHOIS Y NSLOOKUP
Para saber cuál es la dirección IP asociada a un dominio o página web, solamente tendrás que hacer una consulta a un servidor DNS. En realidad, lo que vas a averiguar es la dirección IP del servidor donde se encuentra alojado ese dominio o página web.
IACC- 2020 Nslookup obtiene directamente la información requerida de la caché DNS del servidor de nombres. Los usuarios disponen de esta herramienta de dos modos: en el modo no interactivo, la herramienta inspecciona las entradas en la memoria caché DNS ( registro de recursos ) almacenadas en el servidor de nombres local. Este modo se recomienda para aquellas peticiones sencillas en las que se ha de buscar una única entrada para un dominio. No obstante, si se utiliza otro servidor DNS para la búsqueda y hay que llevar a cabo un proceso más complejo, es necesario recurrir al modo interactivo , en cuyo caso el programa de líneas de comando se iniciará por separado.
2.2.3. SHODAN.
Shodan es un motor de búsqueda en el que, a diferencia de Google y otros buscadores, no podemos buscar, por ejemplo, una imagen o un texto. Este motor de búsqueda está enfocado únicamente a buscar sistemas y servicios conectados a internet. Por este motivo, Shodan está clasificado como uno de los motores de búsquedas más peligrosos, por todo el contenido que tiene. Podemos hacer todo tipo de búsquedas dentro de su ámbito, incluso podemos utilizar los dorks que incluye este motor de búsquedas, como por ejemplo el dork country:es, que nos permite buscar por países, en este caso, España. Imagen 3. Interfaz de Shodan Fuente: elaboración propia
IACC- 2020 Lo que nos permite hacer Shodan tiene una parte buena para los auditores, que sería el hecho de poder buscar servidores que estén auditando o buscar cualquier tipo de servicios, y obtener de ellos mucha información para poder realizar sus auditorías. El gran problema que tiene este tipo de motores de búsqueda, es que también lo usan los ciberdelincuentes, y es por eso que se ha catalogado como uno de los más peligrosos. Ejemplos: Vamos a ver algunos ejemplos de cómo se ha utilizado Shodan para llevar a cabo algunos ciberataques. Podemos realizar, por ejemplo, la búsqueda “iPhone”, así encontraremos teléfonos iPhone que estén conectados a algún tipo de servicio. En el ejemplo vemos todas las IPs localizadas que tienen alguna relación con la búsqueda iPhone o son un iPhone. Utilizando este sistema, se produjo un ataque que se enfocó a los teléfonos iPhone, un ataque volumétrico por el puerto 123 NTP usado por estos dispositivos. También podemos buscar por sistema operativo, en este caso Windows, para lo cual usaríamos el dork os:windows. De esta forma, encontraríamos todo lo que serían sistemas Windows, podemos ver sus puertos, las versiones de SMB, buscar vulnerabilidades, etc. Además, todo esto se podría automatizar. También podemos buscar, por ejemplo, tipo de servidores ( Internet Information Server ), usando el dork iis. Esta es una herramienta con la cual se puede hacer un buen vector de ataque o coger masivamente IPs con un servicio en concreto.
2.2.4. REDES SOCIALES E INGENIERÍA SOCIAL.
La ingeniería social se basa en cuatro principios básicos que aprovechan la confianza de los usuarios para realizar acciones que no desean. Son los siguientes: A. “Todos queremos ayudar”. El ejemplo más sencillo serían los correos de cadena, en los que se animaba a donar dinero o similares, que ahora también se propaga por las redes sociales más que por correo electrónico. B. “El primer movimiento es siempre de confianza hacia el otro”. Aunque es cierto que la gente suele desconfiar más en Internet. Para ello, se cambian los remitentes para que resulten de confianza para los usuarios, como un paquete para recoger en correos, una notificación para ver el estado de la declaración de impuestos, etc.
IACC- 2020
2.2.5. AUTOMATIZANDO EL PROCESO.
A veces resulta necesario contar con servicios automatizados que tienen el potencial de encontrar información sobre personas y empresas en Internet, permitiendo cruzar datos para obtener perfiles en redes sociales, servidores de correo, etc. Una herramienta que permite realizar este tipo de servicios es Maltego. Maltego. Este servicio recopila información de internet y la representa de forma gráfica para que sea sencilla de analizar, es una herramienta muy potente, llena de opciones que pueden ser muy útiles para investigar empresas, sitios, personas y mucho más. Su combinación con otra herramienta llamada FOCA resulta muy potente para generar perfiles de usuarios y empresas. Está indicado su uso en las etapas iniciales de un pentesting. Un auditor podría obtener nombres y correos de una empresa, qué sistemas operativos y programas suelen usar, dónde guardan documentos y con quién los comparten, qué recursos compartidos utilizan, así como los antivirus utilizados. Toda esta información es pública y está disponible en la red. Para usar Maltego es necesario instalarlo y registrarse en su página web, creando una cuenta que permite usar la aplicación junto con sus servidores gratuitos. Una vez realizada la instalación, se inicia la sesión, y se debe crear una hoja de búsqueda nueva y arrastrar la entidad (es el tipo de búsqueda que se requiere hacer, en este caso, una persona), para luego hacer la búsqueda y ver qué resultados arroja.
IACC- 2020 Imagen 4. Interfaz de Maltego Fuente: elaboración propia Una vez seleccionado el tipo de búsqueda a realizar, daremos doble clic sobre el icono de la persona para acceder a la configuración y, una vez configurado el nombre a buscar, solo resta hacer clic con el botón derecho sobre el icono de la persona y seleccionar la opción “ run transform”. Dentro de esta categoría hay diferentes subcategorías, donde se puede optar por información puntual a buscar, como correos electrónicos, direcciones IP de un sitio web, etc. En este caso particularmente, vamos a hacer uso de la opción “ all transforms”, para que busque toda la información posible en la web, de modo que rápidamente comenzará a recolectar los datos y se podrá apreciar un resultado similar al que se muestra en la siguiente imagen:
IACC- 2020 Imagen 6. “Entity List” de Maltego Fuente: elaboración propia En este caso, solo mostramos cómo buscar a una persona con esta poderosa herramienta, pero también se pueden hacer búsquedas de dominios, direcciones de correo electrónico, números telefónicos, servidores DNS , entre otros datos. Algo a tener en cuenta es que en la versión free está limitado hasta un cierto número de resultados, aunque es lo suficientemente grande para ejecutar las funcionalidades del software. Este tipo de información obtenida desde Internet es la que muchas veces los ciberdelincuentes usan para ataques de Ingeniería Social. Los invitamos, entonces, a probar la herramienta para que ustedes mismos puedan ver qué tan expuestos están en Internet y tomen las precauciones necesarias.
IACC- 2020
2.3. COMPORTAMIENTO DE SISTEMAS DE INFORMACIÓN.
La auditoría de sistemas supone la revisión y evaluación de los controles y sistemas de informática incluyendo los sistemas de información, así como su utilización, eficiencia y seguridad en la empresa, la cual procesa la información. Gracias a la auditoría de sistemas como alternativa de control, seguimiento y revisión, el proceso informático y las tecnologías se emplean de manera más eficiente y segura, garantizando una adecuada toma de decisiones. En definitiva, el comportamiento de los sistemas de información frente al proceso de la auditoría informática se centra en: o La verificación de controles en el procesamiento de la información e instalación de sistemas, con el objetivo de evaluar su efectividad y presentar también alguna recomendación y consejo. o Verificar y juzgar de manera objetiva la información que maneja el sistema. o Examen y evaluación de los procesos en cuanto a informatización y trato de datos se refiere. Además, se evalúa la cantidad de recursos invertidos, la rentabilidad de cada proceso y su eficacia y eficiencia. El análisis y evaluación realizados a través de la auditoría de sistemas debe ser objetivo, crítico, sistemático e imparcial. El informe de auditoría final deberá ser un claro ejemplo de la realidad de la empresa en cuanto a los procesos y la informatización se refiere, para tomar mejores decisiones. El proceso de auditoría debe permitir dentro del sistema de información lo siguiente: o Mejorar la relación coste-beneficio de los sistemas de información. o Incrementar la satisfacción y seguridad de los usuarios de dichos sistemas informatizados. o Garantizar la confidencialidad e integridad a través de sistemas de seguridad y control profesionales. o Minimizar la existencia de riesgos, tales como virus o hackers, por ejemplo. o Optimizar y agilizar la toma de decisiones. o Educar sobre el control de los sistemas de información, puesto que se trata de un sector muy cambiante y relativamente nuevo, por lo que es preciso educar a los usuarios de estos procesos informatizados.
