Certificado de Hacking Ético Experto(Chee)

Presentación del tema: "Certificado de Hacking Ético Experto(Chee)"— Transcripción de la presentación:

1 Certificado de Hacking Ético Experto(Chee)
Tutor: Francisco Sanz

2 Certificado de hacking ético Experto
9º La Auditoría

3 Certificado de hacking ético Experto
Índice: La auditoría Presupuesto Contrato Alcance Ejemplo de auditoría

4 Certificado de hacking ético Experto
La Auditoría Presupuesto Después de la visita comercial y de haber creado necesidad de realizar un pentest a un cliente, el presupuesto es la primera parte que debemos realizar. Para ello, debemos usar un formato que sea claro, concreto y conciso, evitando y alejándonos de florituras innecesarias. El cliente debe ver y entender 100% qué es lo que va a pagar. Para ello, al lado del presupuesto, debemos incluir un detalle técnico de lo que vamos a ofrecerle y dejarlo por escrito, también de forma clara, concreta y concisa. Nota: las 3 C’s, es lo que en The Security Sentinel llamamos a Claro, Concreto y Conciso. Una norma básica en todo lo que realizamos.

5 Certificado de hacking ético Experto
La Auditoría Presupuesto

6 Certificado de hacking ético Experto
La Auditoría Presupuesto El detalle técnico, no puede faltar a la hora de dar un presupuesto. El cliente, debe saber, qué vamos a realizar, aunque no lo entienda.

7 Certificado de hacking ético Experto
La Auditoría Contrato Una de las partes más importantes de los prolegómenos de una auditoria, es el contrato. En él, deben estipularse todo lo que va a entrar dentro de la auditoría. Es decir, qué ataques vamos a realizar, y lo que puede causar y el cliente debe estar de acuerdo. Por ejemplo, un ataque MiM, puede causar que una red pueda caerse o al menos algunos de los equipos que hay en la red. Y eso debe autorizarlo el cliente. Debe indicarnos, si podemos “entrar hasta la cocina”, o simplemente debemos enumerar las vulnerabilidades sin PoC’s (esto no es muy recomendable, pues el cliente podría no creernos). El contrato debe ir unido a tener los TC2 de los auditores o el pago de autonomos, si son esto último, al dia. Así como el Seguro de R.C. obligatorio, por lo que pudiera pasar en la auditoria (si una prueba, crea una pérdida irrecuperable de información valiosa, por ejemplo, el seguro cubriría los costes, así como el daño a equipos…) Este último punto, el de los pagos al dia y el S.de RC, es imprescindible, ya que podria darnos lugar a problemas graves con el cliente y el estado.

8 Certificado de hacking ético Experto
La Auditoría Contrato: Partes del contrato: - Identificación del cliente y auditor - Marcar los limites de la auditoria * Qué podemos hacer y qué no. - Pacto de confidencialidad (contrato adicional) - Pagos de autónomos, TC2 y SRC al día. - Tiempo de ejecución de la auditoría. - Tiempo de entrega del informe de la auditoría.

9 Certificado de hacking ético Experto
La Auditoría Contrato

10 Certificado de hacking ético Experto
La Auditoría Alcance: El alcance es la parte que define lo que vamos a auditar. Es decir, el rango de ip’s internas, o las ip’s externas que nos dicen que tenemos que auditar. En sí, es el trabajo a realizar y debe estar en un anexo al contrato, para que posteriormente , nunca puedan decir que hemos realizado menos de lo que nos han pedido. Aunque el alcance debe ir en el presupuesto también y este debe estar siempre ligado al contrato, en forma de anexo y hacer siempre mención a él. Siempre debemos presupuestar la el alcance y además es lo primero que nos debe dar el cliente. En esto, el cliente debe ser muy exacto y nosotros debemos corroborar que está en lo cierto, haciendo comprobaciones (siempre con el permiso del cliente) Por último decir, que en el caso de que el cliente nos diga que el alcance es su red interna y que no sabe cuantos equipos son, antes de nada, nosotros debemos exigirle el dato. Esto que parece una tontería, se da con más asiduidad de lo que pensamos.

11 Certificado de hacking ético Experto
La Auditoría Ejemplo de auditoría: Aquí veremos las partes de una auditoría real. Como es lógico, pixelaremos las informaciones que no queramos mostrar. Esto lo vimos en el CPHE, pero aquí explicaremos paso por paso, lo que debemos realizar.

12 Certificado de hacking ético Experto
Gracias y hasta el próximo curso