Introducción al Hacking Ético www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Introducción al Hacking Ético Es la una de la Madrugada…. ¿Sabe quien puede estar entrando en su Red?

Hacking Ético –Definición- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Hacking Ético –Definición- Desde el Punto de vista Comercial, el Hacking Ético es un servicio de Auditoria de T.I, que ofrecen empresas especializadas, con el fin de evaluar la seguridad de un sistema informático de forma integral. Desde el Punto de vista de Un individuo, un Hacker Ético es un profesional que tiene las habilidades para evaluar la seguridad de un sistema informático de forma integral, llevando a la practica una serie de pasos secuenciales y teniendo como un criterio trasversal una “Ética Profesional”. Auditor de Sistemas Oficial de Seguridad Pen Tester “Hacking Ético como Una Carrera”

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Otras Definiciones Importantes que se deben de tener en cuenta en el curso: Seguridad de la Información: Es un estado de Bienestar o aceptable, en lo que respecta al riesgo al que están expuestos los activos ( Tecnológicos Por Ejemplo). Amenaza: Es una acción o acontecimiento que pueda comprometer la seguridad. Una amenaza es una violación potencial de la seguridad. Vulnerabilidad (Bug): Existencia de una debilidad en el diseño de una aplicación o un error que puede conducir a un acontecimiento inesperado y no deseable, el cual pone en peligro la seguridad del sistema.

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Otras Definiciones Importantes que se deben de tener en cuenta en el curso: Exploit: un exploit es una vía, o una manera especifica de aprovecharse de un vulnerabilidad para poder lograr un ataque informático. Ataque: Un asalto a la seguridad del sistema que se deriva de una amenaza inteligente. Un ataque es cualquier acción que viole la seguridad de un sistema o red informática.

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Concepto Grafico “Exploit- Vulnerabilidad” 1.Aplicativo: Este aplicativo tiene una falla, la cual se ve representada luego de que se dan mas de diez nombres de usuarios y contraseñas, el sistema deja pasar a la pantalla principal con privilegios de administrador. 2.Publicación de la Vulnerabilidad 3. Diseño del programa que explota dicha vulnerabilidad

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Otras definiciones de seguridad de la información importantes que se deben de tener en cuenta en el curso: AUTENTICIDAD: Conocimiento que la información se ha originado en una fuente valida del sistema INTEGRIDAD: Garantía que la información no ha sido alterada a nivel externo o interno en la estructura organizacional del Sistema. CONFINDENCIALIDAD: Privacidad de la información, logrando el propósito de que esta sea visible únicamente a los usuarios o grupos designados previamente DISPONIBILIDAD: Garantía de que el servicio este siempre operativo

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Otras definiciones de seguridad de la información importantes que se deben de tener en cuenta en el curso: AUDITABILIDAD: Garantía de que todas las transacciones, incluidas las de seguridad, puedan ser auditadas y verificadas de alguna manera por los usuarios asignados para dicha labor. NO REPUDIO: Garantía de que alguien que envía, crea, o manipula información, no pueda negar posteriormente que fue el actor, o el manipulador de dicha información AUTENTICIDAD: Garantía de verificar que alguien sea, quien dice ser.

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Hackers: Se define como un experto, entusiasta en Sistemas de Informática a nivel de Programación de Computadores, Redes Informáticas de todo tipo y en especial es un experto en Internet. El Hacker investiga, crea, y luego comparte esa información, la cual busca mejorar como reto personal o simplemente por diversión.

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Algunos Derivados del termino Hacker: Black Hats: Individuos con extraordinarias capacidades cognitivas en la ciencia de la computación y en especial en el arte de la programación, pero utilizando dichas capacidades para fines actividades no legales y destructivas. Estos individuos más comúnmente se conocen como Crackers, y son los encargados de reventar claves de sistemas usando procesos de criptoanálisis bastante complejos. La mayor habilidad de un Black Hat radica en su conocimiento en el arte de la programación de las computadores en todos sus niveles, además algunos son buenos matemáticos y físicos.

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Algunos Derivados del termino Hacker: White Hats: Son Hackers profesionales que se dedican a llevar a la práctica evaluaciones de seguridad a las empresas u organizaciones del estado, gobierno e instituciones financieras y utilizan sus conocimientos con propósitos defensivos, son conocidos también como analistas de seguridad. Muchos de estos Hackers son Crackers retirados y reformados con respecto a su ética profesional y ética Hacker, ya que han encontrado un negocio mas representativo en proteger y analizar las redes de datos, que estar haciendo daños y terminar finalmente en problemas con la justicia, multas de dinero representativas, entre otras mas situaciones comprometedoras y negativas.

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Algunos Derivados del termino Hacker: Gray Hat Phreacker Hacker Suicidas Script Kiddie Lammers Defacer Virus Coder Spammer

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Algunos Derivados del termino Hacker: Hackitivismo: Este término se define como realizar prácticas de Hacking Ilegal por una causa en especial. Por lo regular el Hackitivismo esta basado en ideales relacionados con la vida social, política y religiosa.

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- -Hackers Famosos y Evolución del Hacking – Pioneros Del Hacking: Retos, Innovación Drapper Wozniak Goldstein Mitnick Intereses Económicos, Notoriedad, Vandalismo V. Levin Poulsen Smith Jaschan Consultores, Pen Tester, Hacking Ético Mckinnon “Obsesivos” McClure Scambray Sallis Borghello

Hacking Ético –Perfil de Profesional “Hacking Ético” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Hacking Ético –Perfil de Profesional “Hacking Ético” “Primero Gurú, Luego Hacker Ético o Pen Tester” Administrativo (Consultor) Técnico (Indispensable) Personal Infraestructura y Redes Sistemas Operativos Desarrollo de Software y B.D Entusiasta (Pasión) Investigador Actualizado Idioma Ingles Autónomo Trabajo en Equipo Ética Profesional Lenguaje no Técnico (Habilidades de Comunicación) Certificaciones Experiencia Hoja de Vida Al momento de un Test de Seguridad, todas las partes Interactúan entre si

–Fases Hacking Ético y de un Análisis Malicioso www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- –Fases Hacking Ético y de un Análisis Malicioso Hacking Ético Hacking Malicioso según CEH Reconocimiento Scanning Ganando Acceso Manteniendo Acceso Borrado de Huellas 1.Reconocimiento Pasivo 2.Reconocimiento Activo 3. Análisis de Vulnerabilidades 4. Explotación de Vulnerabilidades (Ataque) 5.Recolección de Evidencias y Presentación Informes

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Los Hackers Black-Hat y sus tipos de ataques. Hay varias maneras, en la que un atacante puede asaltar y obtener acceso y control del sistema delimitado como objetivo de ataque. Ataques al sistema Operativo. Ataques a nivel de aplicación. Ataques al código fuente de un aplicativo. Ataques a no adecuadas configuraciones

Tipos de Análisis : Se pueden Identificar (3) tres tipos: www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Tipos de Análisis : Se pueden Identificar (3) tres tipos: Test de Penetración (Penetration Test) Análisis de Vulnerabilidades (Vulnerability Assessment) Hacking Ético (Ethical Hacking)

Hacking Ético –Tipos de Análisis – Características: www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Hacking Ético –Tipos de Análisis – Características: Análisis de Vulnerabilidades Test de Penetración Hacking Ético Identificación de Puertos Abiertos y Servicios Tiene un Objetivo definido Todo es un Objetivo en el Entorno Vulnerabilidades Conocidas (Aplicación y S.O) Se tiene en cuenta el Entorno (IDS, Firewall, IPS) Ataques de ingeniería Social y DDoS Clasificación de los Vulnerabilidades Busca comprometer el sistema objetivo Mas complejidad y Profundidad en el Análisis No hay explotación de vulnerabilidades , ni Intrusión en el Sistema. Hay explotación de vulnerabilidades e Intrusión en el sistema objetivo Hay explotación de vulnerabilidades Ataque Puro

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Tipos de Análisis –: Variables de Impacto en un Análisis de Seguridad. Posicionamiento: Visibilidad: Definir desde donde se llevara a la practica el Análisis de Seguridad. Cuál será la información suministrada al Evaluador (Pen Tester) Blind/BlackBox Double Blind/ BlackBox GrayBox Double GrayBox WhiteBox Reversal Posicionamiento Externo Posicionamiento Interno Desde una VLAN Diferente Desde VLAN Servidores Desde la VPN

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Tipo de Análisis Descripción Blind/BlackBox El Analista de seguridad no tiene conocimiento del Objetivo, pero el cliente si tiene conocimiento del análisis, además de saber cuando se ejecutará. Double Blind/ BlackBox El Analista de seguridad no tiene conocimiento del Objetivo, el cliente no sabe que tareas se ejecutaran en el análisis, ni tampoco cuando se ejecutará. GrayBox El Analista de seguridad conoce muy poco del objetivo, pero el cliente tiene conocimiento del tipo de test y cuando se ejecutará. Double GrayBox Similar al anterior, la única diferencia es que el cliente no sabara cuando se ejecutará el análisis. WhiteBox Ambas Partes (Cliente-Analista) sabrán cuando se hacen los test, el tipo de test, además de saber cuando se ejecutará Reversal Similar al anterior, la diferencia radica en que el cliente no sabrá que tareas de análisis se ejecutaran como tampoco cuando.

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Tipos de Análisis –: Variables de Impacto en un Análisis de Seguridad. (Arquitectura de Intrusión) Servidores B.D Firewall/IPS/Router Internet DMZ- 1 Ethical Hacker Red LAN Ethical Hacker Ethical Hacker Ethical Hacker

“Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Introducción al Hacking Ético- Hacking Ético – Videos de Interés http://www.youtube.com/watch?v=Xe7YWI0RI-M http://www.youtube.com/watch?v=y45AsIFJyzU&feature=related http://www.youtube.com/watch?v=MSEqlqs9qGk http://www.youtube.com/watch?v=uapYcyoegI4 http://www.youtube.com/watch?v=MhsM6JJvBhY