Seguridad Informtica

Introduccin al Ethical Hacking

Federico Pacheco
@FedeQuark

www.federicopacheco.com.ar
info@federicopacheco.com.ar

Contenidos
Las evaluaciones de seguridad El hacker tico Metodologa de ataque Entregables

Copyright Entropy Security

Seguridad en empresas y organizaciones

La seguridad de la informacin es un aspecto de negocios $ Requiere la implementacin de un sistema de gestin de la seguridad Requiere la contratacin de personal especializado Debe incluir evaluaciones internas y externas

Copyright Entropy Security

La evaluaciones de la seguridad
Permiten conocer el nivel de seguridad de una organizacin
Deben realizarse con periodicidad Deben contar con la debida autorizacin legal

Motivaciones
Cumplimiento de leyes, regulaciones y normativas Identificacin de puntos dbiles y vulnerabilidades

Obtencin de informacin para la gestin de la seguridad

Ejecucin y contratacin (Ethical Hackers)

Personal especializado Consultoras externas Profesionales independientes

Copyright Entropy Security

Tipos de evaluaciones
Sobre sistemas y redes
Vulnerability assessment Penetration test

Auditora informtica

Sobre software
Testing de aplicaciones

Auditora de cdigo fuente

Copyright Entropy Security

Auditoria Tcnica de Sistemas

Copyright Entropy Security

Evaluacin de la Seguridad Funcional

Copyright Entropy Security

Clasificacin segn conocimiento

White Box
Total conocimiento

Gray Box
Parcial conocimiento

Black Box
Sin conocimiento

Copyright Entropy Security

Hackers: hroes o villanos?

White Hat

Grey Hat
y Hacktivistas

Black Hat

(Ethical Hacker)

(Cracker)

Copyright Entropy Security

El Hacker tico Rol

Simular acciones de un ataque real
A qu puede acceder un intruso? Que podra hacer con la informacin?

Puede ser notada una intrusin?

Informacin necesaria
Qu se intenta proteger

Contra quin se protege

Con qu recursos se cuenta

Copyright Entropy Security

El Hacker Etico Perfil

Experto en informtica
Software Hardware y electrnica

Redes y telecomunicaciones
Programacin Investigacin de vulnerabilidades

Tcnicas de seguridad Habilidades sociales Cdigo de conducta estricto Paciencia y perseverancia

Copyright Entropy Security

reas de Explotacin

Sistemas Operativos

Aplicaciones

Cdigo propio

Configuraciones

Copyright Entropy Security

Clasificacin de ataques

Por actividad

Por ubicacin

Por naturaleza

Activos

Internos

Tcnico

Pasivos

Externos

No tcnico

Copyright Entropy Security

Metodologa de Ethical Hacking Fases

Reconocimiento Escaneo y enumeracin Acceso Mantenimiento Eliminacin de rastros

Copyright Entropy Security

Metodologa de EH Tipos de escaneo

Escaneo de Red
Determinacin de equipos activos y direcciones IP Deteccin de sistemas operativos y servicios

Escaneo de Puertos
Determinacin de puertos TCP/UDP abiertos Deteccin de aplicaciones instaladas

Escaneo de Vulnerabilidades
Determinacin de la existencia de vulnerabilidades conocidas

Copyright Entropy Security

Ethical Hacking Proceso completo

Discutir con el cliente necesidades y expectativas

Preparar y firmar un NDA

Preparar el equipo y establecer agenda

Llevar adelante el test

Analizar resultados y elaborar los reportes

Presentar el resultado al cliente (Reporte / Workshop)

Copyright Entropy Security

Entregables
Informe
Caractersticas
Calidad de confidencial Impreso y digital

Contenido
Informacin General Resumen ejecutivo Indice de riesgos Detalle pruebas realizadas Resultados obtenidos Vulnerabilidades identificadas Recomendaciones Detalle de herramientas y tcnicas usadas Clasificacin de problemas segn nivel de riesgo

Workshop (opcional)
Presentacin personalizada de los resultados Discusin sobre problemas y soluciones Asesoramiento de las alternativas de solucin
Copyright Entropy Security

Resumen y conclusiones
Las evaluaciones de seguridad deben incluirse en toda organizacin El ethical hacking supone la simulacin de ataques reales El ethical hacker es un profesional de seguridad que se rige por un cdigo de tica Existen metodologas y tcnicas para realizar pruebas de seguridad El informe final representa el trabajo realizado y es de suma importancia

Copyright Entropy Security

Bibliografa, referencias y lecturas complementarias

Copyright Entropy Security

Preguntas?
Federico Pacheco
@FedeQuark www.federicopacheco.com.ar info@federicopacheco.com.ar