DISECCIN DE UN ATAQUE INFORMTICO

Ing. Jos Palacio Velsquez

MSc(c) Ingeniera de Sistemas y Computacin Universidad Simn Bolvar

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

ATAQUE INFORMTICO

Toda aquella accin que conlleve a poner en riesgo las propiedades de confidencialidad, integridad y disponibilidad de un sistema. Tambin se pueden considerar como la consumacin de una amenaza. Un ataque no se realiza en un solo paso, es una metodologa estructurada.
JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

TIPOS DE ATAQUES

Segn su objetivo:

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

TIPOS DE ATAQUES

Segn su impacto:
Pasivos: el atacante no altera la comunicacin, sino que nicamente la escucha o monitoriza, para obtener informacin que est siendo transmitida. Activos: Estos ataques implican algn tipo de modificacin del flujo de datos transmitido o la creacin de un falso flujo de datos.
JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

ALGUNOS ATAQUES BSICOS

Tcnica de Ataque
Webdefacement DoS (Snort, Smurf, etc.) Tipo de Ataque (Objetivo) Modificacin Interrupcin Tipo de Ataque (Impacto) Activo Activo Activo Pasivo

Propiedad Afectada
Confidencialidad e Integridad Disponibilidad Integridad Confidencialidad

Insertar usuario nuevo por SQL Fabricacin/adicin inyetion Sniffer Intercepcin

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

IMPACTO ECONMICO DE UN ATAQUE INFORMTICO

Una empresa factura 4000 millones de pesos mensuales, 1000 millones semanales y 200 millones diarios (trabaja solo de lunes a viernes). Un gusano entra por el firewall y aprovechando una vulnerabilidad del servidor web toma control de este, posteriormente se propaga hacia la red interna e infecta a los 600 PC con Microsoft Windows XP que no estn actualizados a la fecha. Esta infeccin paraliza totalmente las operaciones por 3 das Cundo le costo a la organizacin parar sus operaciones durante los 3 das que duro la infeccin masiva?
JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

PRINCIPIOS BSICOS DE LA SEGURIDAD

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

DUALISMO DE LA SEGURIDAD INFORMTICA Sin causa no habra efecto a esto se le conoce en el pensamiento filosfico como Dualismo. Conociendo que tan inseguros somos, podremos comprender que tan seguros podemos ser.

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

COMO VE LA EMPRESA LOS SERVICIOS

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

COMO VE UN HACKER LOS SERVICIOS

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

CMO ATACA UN HACKER?

Pasos Generales:
Localiza el Host victima a travs de algn software de escaneo Identifica las vulnerabilidades de la victima Ataca a la victima aprovechando la vulnerabilidad Detectada. Establece puertas traceras (Backdoors) para acceder cuando este lo necesite
JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

CMO ATACA UN HACKER?

Algunas herramientas de hacking pueden automatizar muchas tareas solo con un solo click. Despus de logrado el objetivo, la victima puede ser usada para:
Hackear otra otro Host o Red Usar los recursos de la victima para alguna actividad ilcita. Extraer informacin importante del host alcanzado.
JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

SECUENCIA DE ATAQUE

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

INFORMATION GATHERING

Objetivo: Identificar datos relevantes de la compaa como ubicacin empleados, rangos de IP. Algunas Herramientas:
www.arin.net Nslookup or dig

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

DEFINICIN Y RECONOCIMIENTO DEL OBJETIVO

Reconocimiento pasivo
Adquirir informacin sin interactuar directamente con el objetivo. Bsqueda de registros pblicos y comunicados de prensa.

Reconocimiento activo
Adquirir de informacin interactuando con el objetivo a travs de cualquier medio . Llamadas a la mesa de ayuda y proveedores de servicio

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

SCAN IP ADDRESS

Objetivo: Obtener un conjunto de direcciones IP, determinar que servicios estn ejecucin y sistemas operativos usados. Algunas Herramientas:
Nmap www.nmap.org Scanline www.foundstone.com nikto - http://www.cirt.net/code/nikto.shtml
JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

EVALUACIN DE LA INFORMACIN OBTENIDA Cual es el producto web server que tienen ? Que cuentas de usuario se pueden encontrar? Que servicios estn corriendo? Que sistemas operativos estn corriendo? Esta su informacin disponible desde la web?

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

DETECCIN DE VULNERABILIDADES
Deteccin de vulnerabilidades es una fase de preataque en la que el hacker realiza un scanning del objetivo en busca de posibles puntos de entradas y vulnerabilidades, con base en la informacin recogida en la fase de reconocimiento. Esta fase puede complementarse con:
Scanning de puertos Scanning de vulnerabilidades Network mapping
JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

EXPLOTACIN DE SERVICIOS VULNERABLES

Obtener direcciones IP y nmeros de puerto, intentar tener acceso a travs de estos.
80, 443 web 21 ftp 23 telnet 25 - smtp 53 dns 111 sunrpc (2049 - nfs) 135-139, 445 netbios
JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

OBTENCIN DE ACCESO
En esta fase el hacker explota las vulnerabilidades encontradas en el sistema objetivo a travs de un exploit. Exploit Locales
Para ser ejecutados deben estar residentes en la maquina victima El uso comn de estos es aumentar privilegios dentro del sistema objetivo

Exploit Remotos
Se ejecutan desde la maquina del atacante pero actan sobre la maquina objetivo Los usos comunes de estos es conseguir acceso a un sistema objetivo o DoS
JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

MANTENIENDO EL ACCESO
Manteniendo el acceso al sistema se refiere a la etapa en la que el hacker intenta mantener su condicin de propietario del sistema adquirida en la etapa anterior. Esto es posible a travs de:
Backdoor RootKits Troyanos

En esta etapa se realizan operaciones de carga y descarga de herramientas e informacin, manipulacin de datos, aplicaciones y configuraciones del sistema.
JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

ELEVACIN DE PRIVILEGIOS

Una vez se tiene acceso, se intenta obtener las credenciales de root / administrador si es posible. Crack de passwords y se verifica si estas tambin pertenecen a otros sistemas. Normalmente se usan exploits locales

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

BORRADO DE HUELLAS
Borrado de huellas se refiere a las actividades del hacker para ocultar cualquier rastro de la intrusin o el ataque. Si las huellas son borradas correctamente ser posible:
Aumentar la estancia dentro de la victima sin ser descubierto Seguir usando los recursos del sistema victima Evitar una posible accin legal.

Algunas tcnicas que permiten esto son:

Esteganografia Tunneling Modificacin de los archivos de log del sistema

JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co

REPETICIN Y PROGRAMACIN

A travs del acceso obtenido se repite el proceso para las otras computadoras de la plataforma comprometida. Normalmente se copian herramientas al equipo comprometido que permiten la explotacin de otros. Se realizan ataques desde la PC comprometida hacia el resto de la red.
JOSE PALACIO VELASQUEZ MSc(c) Ingeniera de Sistemas y Computacin jpalacio@coruniamericana.edu.co