UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001: Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC Mayo del 2012 Analizadores de Vulnerabilidades S EGURIDAD I NFORMÁTICA

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Agenda Definición y componentes Tipos Clasificación Ventajas/Desventajas Procedimientos Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC 2

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 ¿Qué son? Un escáner de vulnerabilidades ("vulnerability scanner" o "assesment system") es una herramienta que realiza un conjunto de pruebas (generalmente ataques) para determinar si una red o un "host" tiene fallos de seguridad. Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Proceso de análisis Se muestrea un conjunto específico de atributos de sistema. Los resultados del muestreo se almacenan en un recipiente de datos seguro. Los resultados se organizan y comparan con al menos un conjunto de referencia de datos (este conjunto puede una plantilla de "configuración ideal" generada manualmente, o bien ser una imagen del estado del sistema hecha con anterioridad) Se genera un informe con las diferencias entre ambos conjuntos de datos. Algunos programas comerciales optimizan el proceso mediante: –Ejecución de motores de de comparación en paralelo. –Utilización de métodos criptográficos para detectar cambios en los objetos monitorizados. Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Tipos de análisis Existen dos formas de clasificar los análisis de vulnerabilidades; bien mediante la localización desde la que se obtienen datos o bien mediante el nivel de confianza del que hace uso el analizador de vulnerabilidades. Según el primer método, los análisis pueden ser basados en máquina o basados en red. Según el segundo método, los análisis pueden ser con acreditaciones ("credentialed") o sin acreditaciones ("non credentialed") [1]. Estos últimos análisis se refieren al hecho de utilizar credenciales de sistema, tales como contraseñas, durante el proceso de análisis Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Tipos de análisis Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Clasificación Basado en máquina Este tipo de análisis utiliza fue el primero en utilizarse en la evaluación de vulnerabilidades. Utiliza elementos tales como ajustes de configuración, contenidos de ficheros, u otro tipo de información de un sistema para la detección de vulnerabilidades. Esta información se puede obtener básicamente mediante consultas al sistema, o a través de la revisión de diferentes atributos del sistema En este caso se asume que el analizador de vulnerabilidades tiene acceso autorizado al sistema, por lo que también recibe el nombre de análisis con acreditaciones. También se denomina evaluación pasiva. Las vulnerabilidades que se suelen encontrar mediante la evaluación basada en máquina, suelen ser estar relacionadas con ataques de escalamiento de privilegios. Estos ataques persiguen obtener permisos de root o "superusuario" en sistemas UNIX, o administrador en sistemas Windows Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Clasificación Basado en máquina Los motores de análisis de vulnerabilidades basados en máquina están muy relacionados con el sistema operativo que evalúan, lo cual hace su mantenimiento costoso y complica su administración en entornos heterogéneos. Las credenciales utilizadas deben ser protegidas convenientemente, así como la información accedida mediante las mismas, para evitar que sean objeto de ataques. Un ejemplo de analizador de vulnerabilidades basado en máquina es el "Cerberus Internet Scanner (CIS)" [3]. Es un escáner gratuito desarrollado por Cerberus Information Security, Ltd. Es un programa simple pero eficaz, que comprueba una completa lista de vulnerabilidades conocidas para sistemas Windows, mostrando en poco tiempo los fallos existentes. Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Clasificación Basado en red Los análisis de vulnerabilidades basados en red han aparecido hace algunos años, y se han ido haciendo cada vez más populares. Obtienen la información necesaria a través de las conexiones de red que establecen con el objetivo. Realizan conjuntos de ataques y registran las respuestas obtenidas. No se debe confundir los analizadores de vulnerabilidades basados en red con los sistemas de detección de intrusiones. Aunque un analizador de estas características puede ser muy similar a un detector de intrusiones, no representa una solución tan completa Esta forma de análisis normalmente no tiene requerimientos de autenticación; los ataques se realizan sin tener necesariamente permiso de acceso al sistema. Por esta razón, este tipo de enfoque también suele denominar sin acreditaciones. Además, el análisis se realiza atacando o sondeando efectivamente al objetivo, por lo que también recibe el nombre de evaluación activa Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Clasificación Técnicas utilizadas en evaluación de vulnerabilidades basadas en red Prueba por explotación ("Testing by exploit"): Esta técnica consiste en lanzar ataques reales contra el objetivo. Estos ataques están programados normalmente mediante guiones de comandos. En vez de aprovechar la vulnerabilidad para acceder al sistema, se devuelve un indicador que muestra si se ha tenido éxito o no. Obviamente, este tipo de técnicas es bastante agresivo, sobretodo cuando se prueban ataques de denegación de servicio. No obstante, no sólo ese tipo de ataques puede provocar la caída del sistema Métodos de inferencia: El sistema no explota vulnerabilidades, sino que busca indicios que indiquen que se han realizado ataques. Es decir, busca resultados de posibles ataques en el objetivo. Este método es menos agresivo que el anterior. No obstante, los resultados obtenidos son menos exactos que los que utilizan "exploits" [1]. Ejemplos de técnicas de inferencia pueden ser la comprobación de versión de sistema para determinar si existe una vulnerabilidad, la comprobación del estado de determinados puertos para descubrir cuáles están abiertos, y la comprobación de conformidad de protocolo mediante solicitudes de estado Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Clasificación Ejemplo vulnerabilidades basadas en red Uno de los productos más conocidos entre los analizadores de vulnerabilidades basados en red es Nessus [3]. Es un escáner de seguridad de red de Software Libre, licenciado bajo GNU "General Public License" (más tarde Lesser GPL). Fue desarrollado por Renaud Deraison en Europa en Su precursor fue SATAN, otro analizador, escrito por Wietse Venema y Dan Farmer Nessus es una herramienta basada en el modelo cliente-servidor que cuenta con su propio protocolo de comunicación. De forma similar a SATAN, el trabajo correspondiente a escanear y atacar objetivos es llevada a cabo por el servidor, mientras que las tareas de control y presentación de los datos son gestionadas por el cliente Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Arquitectura Nessus Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Password Cracking Otro de los métodos utilizados por los analizadores de vulnerabilidades (que no tiene por qué encajar en las anteriores clasificaciones) es el conocido como "password cracking" (romper/adivinar contraseñas). Esta técnica la incluyen muchos productos de análisis de vulnerabilidades. El proceso de romper contraseñas permite determinar el grado de calidad de las contraseñas de los usuarios de sistema. En este proceso se utilizan funciones relacionadas con el sistema de autenticación de usuario del sistema operativo. Para adivinar las contraseñas, se prueban diferentes combinaciones de caracteres, o una serie de palabras tomadas de una lista (por ejemplo, un diccionario). Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Analizadores 14 Nessus Ethereal Acinetix NMAP Shadow Security Scanner ISS Security Scanner Cybercop Scanner Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Ventajas/Desventajas Un escáner de vulnerabilidades es una herramienta muy útil a la hora de ampliar la seguridad de un sistema. Tiene valiosas características de las que carecen otros enfoques más dinámicos. Sin embargo, como siempre que se habla de seguridad, no es la solución definitiva. Siempre necesitará complementarse con alguna herramienta o sistema que contrarreste sus debilidades. Ventajas: Los analizadores de vulnerabilidades mejoran de forma significativa la seguridad de un sistema, especialmente en entornos en los que no se cuenta con un sistema de detección de intrusiones Reduce eficazmente los fallos de seguridad más comunes de un sistema. Alarma de forma precisa muchos problemas de configuración que se le pueden pasar por alto a un administrador de sistemas o a un gestor de seguridad. Los analizadores de "host", que son dependientes del sistema operativo, están mejor adaptados a su objetivo. Esto les permite identificar de forma más eficaz que otros sistemas, más generales, ataques o signos de intrusiones particulares. El uso periódico de análisis de vulnerabilidades permite detectar cambios en las sucesivas configuraciones del sistema, informando de los cambios a los responsables de seguridad. Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC

UNIVERSIDAD TECNOLÓGICA ECOTEC. ISO 9001:2008 Ventajas/Desventajas Desventajas: Los análisis de vulnerabilidades basados en máquina, debido a su dependencia del sistema operativo que evalúan, son más costosos y complicados de gestionar Los analizadores de vulnerabilidades basados en red son independientes de la plataforma, pero también son menos exactos y propensos a emitir falsas alarmas en sus resultados. En escenarios en los que se están ejecutando sistemas de detección de intrusiones, los análisis de vulnerabilidades pueden ser bloqueados por aquellos. Esta situación se agrava cuando se corre el riesgo de entrenar de forma errónea a los mecanismos de detección de intrusiones, haciendo que ignoren ataques reales Algunas pruebas basadas en red, como los ataques de denegación de servicio pueden llevar a provocar la caída del objetivo. Este tipo de pruebas deben hacerse de forma controlada, conociendo de antemano los posibles efectos negativos que puedan tener Lcda. Laura de Noboa. MSIG. DOCENTE - UNIVERSIDAD ECOTEC