introduccionaethicalhacker.pdf

INTRODUCCIon al ethical hacking
Objetivo: Utilizar las herramientas bssicas
para la evaluacion de vulnerabilidades y
auditoria de redes.
Felix Molina angel
molina@uagro.
mx
Agenda
•
Conceptos basicos de seguridad
•
Evaluacion de la seguridad
•
Conceptos de Hacking
•
Tareas de Hacking
Metodologia de desarrollo
•
•
•
Evaluación diagnóstica
Estrategia. Uso de las técnicas instruccionales (Expositiva, diálogo y
discusión, demostración/ejecución) y de técnicas de integración.
Evaluación de formación, que incluye actividades de aprendizaje
•
Evaluación final
•
Evaluación de satisfacción
Criterios de evaluacion y acreditacion
•
Actividades a desarrollar
•
Evaluacion formativa
•
Evaluacion final
•
Producto final
Contrato de aprendizaje y reglas de operacion
Compromisos
Mantener el
interes del
grupo
Fomentar la
discusion del
grupo
Reglas
Puntualidad
Participar
en clase
Celular en
vibrador
La basura
en su lugar
Uso correcto y Cuidado
del mobiliario
Conceptos basicos de seguridad
•
Conceptos de seguridad de la informacion
•
Fuga de la informacion
•
Tipos de vulnerabilidades
•
Ingenieria social
•
Control de acceso
Seguridad de la informacion
•
Que es Informacion
•
Que significa Seguridad
Informacio
n
Segurida
d
Seguridad de
la
Informacion
Porqué proteger la información?
Es un activo
importante para la
persona o para la
organización.
Dada la
importancia o
sensibilidad de la
información, se
establecen
diferentes
controles para
evitar el mal uso
Puede clasificarse
de alguna forma,
que puede requerir
controles de
acceso.
Propiedades de la informacion
Confidencialid
ad
•
•
•
Integridad
Disponibilida
d
Cuando se
requiere
Con quienes
puede
compartirse
Que sea
completa y
precisa.
Fuga de la informacion
•
•
Causas
–
Falta de politicas de confidencialidad y de control de acceso
–
Falta de concientizacion y entrenamiento de los usuarios
Ejemplos
–
Se comparte informacion sensible o valiosa que compromete a la empresa
–
Malos habitos o desconocimiento de programacion puede comprometer a un
servidor
Fuga de la informacion
Tecnologia
Mucha informacion por
administrar
Personas
No es posible controlar toda
lainformacion
Tipos de vulnerabilidades
•
SO no actualizados
•
Aplicaciones Internet no actualizadas
•
Pobre manejo de sesiones de autenticacion
•
Pobre validacion de informacion de acceso
•
Configuraciones incorrectas o incompletas a nivel de aplicacion
•
Diversas vulnerabilidades enfocadas a Web y dispositivos moviles
Tipos de vulnerabilidades
•
Descubrimiento de
vulnerabilidaes
–
–
En software
●
Clasificacion
●
●
En dispositivos
●
•
–
En procesos
–
En entornos fisicos
por nivel de riesgo: alto,
medio o bajo
Via de explotacion: local o
remota
Dificultad de explotacion
comodidad, funcionalidad o seguridad
SEGURIDAD
COMODIDAD
FUNCIONALIDA
D
HACKERS: BUENOS O MALOS?
•
Que es un Hacker?
White
Hat
Ethical
Hacker
Grey Hat
y
Hactivism
o
Black Hat
Cracker
Repaso
Utiliza herramientas, procedimientos y buenas
prácticas para proteger la información
conforme una política y normas establecidas.
Componente lógico a proteger porque tiene un
valor asociado que lo convierte en un activo
esencial para la organización.
Componente lógico a proteger porque
provee información accesible desde
Internet.
Integridad
Seguridad de
la información
Seguridad
Servidor Web
Información
La Seguridad en las organizaciones
•
•
La seguridad de la informacion representa $
Implementacion de un Sistema de gestion de
seguridad.
•
Personal especializado.
•
Evaluacion interna y externa
EVALUACION DE LA SEGURIDAD
FISICA
LÓGICA
SISTEMAS
BASES DE DATOS
RECURSOS HUMANOS
ACCESO Y USO DEL SOFTWARE
OPERACION
REDES, COMUNICACIONES
CONSECUENCIAS DE LA INSEGURIDAD LOGICA
●
●
●
●
ALTERACIÓN O MODIFICACIÓN
DE LA INFORMACION
ACCIDENTAL O INTENCIONAL
USO DE SOFTWARE NO
AUTORIZADO O ILEGAL
PÉRDIDA O FUGA DE
INFORMACIÓN
INFILTRACION DE MALWARE
●
FALTA DE CONFIDENCIALIDAD
●
FALTA DE DISPONIBILIDAD
COMPONENTES DE LA SEGURIDAD LOGICA
●
●
HERRAMIENTAS DE CONTROL DE
ACCESO A NIVEL DE SO Y DE
APLICACION
ACTUALIZACIONES DEL SO Y LAS
APLICACIONES
●
ANTIVIRUS, FIREWALL
●
GATEWAY DE APLICACION
●
SISTEMAS DE DETECCION Y
PREVENCION DE INTRUSION
●
●
●
●
POLITICAS, STANDARES Y
ENTRENAMIENTO DE USUARIOS
HERRAMIENTAS DE DETECCION DE
VULNERABILIDADES
HERRAMIENTAS DE CONTROL DE
CAMBIOS EN LOS ARCHIVOS
HERRAMIENTAS DE REGISTRO DE
SUCESOS.
●
SISTEMAS DE CIFRADO
●
USO DE VPN
HERRAMIENTAS PARA EVALUACION DE SEGURIDAD
●
Microsoft base Analizer
●
OpenVAS
●
Pstools
●
Proyecto OWASP
●
N-stealt- Vulnerabilidades Web
●
Fpipe- Emulador de amenazas