Bueno y habiendo salido de dos de los temas de cómo salvaguardar la información es decir inscripcion
control de acceso y controles a nivel de redes etcétera etcétera.
Entramos un poquito a los temas de cómo probar estas contramedidas verdad.
Entonces empezamos por algunos controles o algunos Assessment que podemos hacer contra nuestra red y
empezamos por el famoso las famosas pruebas de penetración o Pointe Hastings o ética Adkins como le
conocen algunos de verdad.
Tenemos varios tipos de puentes entre los cuales por ejemplo podemos decir el de internet o el de la
Internet el Black Box es decir no se sabe absolutamente nada.
El cliente más que el nombre y ojo.
Cabe aclarar Yo sé que ustedes ya ya lo saben pero cabe aclarar siempre que las pruebas de Pentación
se pueden realizar única y exclusivamente con el consentimiento del cliente es decir yo no puedo ir
a intentar buscar trabajo y decir miren yo Jáquez su red y por eso me trabajo porque ellos son muy buenos.
Podemos podríamos terminar con problemas legales muy fuertes entonces sí quiero aclarar esto.
Las pruebas de penetración se hacen únicamente con el consentimiento del cliente y si es algo que a
ustedes les llama la atención podrían checar nuestro curso de pruebas avanzadas de penetración que tenemos
también aquí en la plataforma.
Luego seguimos con el Wide box o caja blanca que es básicamente saber absolutamente todo el cliente
el cliente nos dice Mira yo sé que en una semana no te va a dar tiempo de hacer todas las pruebas de
penetración así que está toda la información a mi lo que me interesa es que encontré vulnerabilidades
para llevar arreglarlas perspectivas distintas resultados distintos beneficios distintos del black box
al White Box.
Luego tenemos un raid box o caja gris que puede ser con información parcial o básicamente tratar de
imitar lo que podría hacer un usuario interno o nos dan una conexión interna a la red y ver qué podríamos
hacer desde adentro porque recuérdense los famosos empleados enojados o como les conocen en inglés desmonto
ampays.
También pueden ser una gran amenaza para nuestra red.
Luego tenemos el guard Daily que es básicamente irnos marcando números de teléfono para ver cual responden
con un fax como un fax o como alguna entrada que podríamos utilizar nosotros desde afuera del internet.
Luego tenemos los Wireless Vernal Guard driven verdad a no ser confundido con el guard Daily el guard
Drive lo que es es ir en una moto en un carro etcétera etcétera o en los parqueó de los edificios y
ver qué redes están expuestas y no se quedaron dentro de los perímetros del edificio verdad y de repente
ver si tienen doble hypeados o UEP en este caso sería una atrocidad que tuvieran web a estas alturas
pero bueno lo he visto pasar y luego tenemos los físicos es decir nosotros regulan el tema de Piggyback
y tail Gaiden como podemos nosotros tal vez engañar a los usuarios y decir Bueno miren yo yo yo voy
a entrar al edificio disfrazarse como alguien de mantenimiento o como alguien o algún proveedor de algún
servicio o tal vez de Internet etcétera etcétera y entrar tratar de entrar al edificio.
Luego tenemos las fauces de un pen texting.
Ojo que estas son las más comunes pero no es una receta de cocina me gusta mucho mencionar esto del
tema de recetas de cocina creo que estoy un poco traumado pero no es algo que podamos seguir al pie
de la letra porque muchas veces son son son procesos muy distintos que de repente alguna vez el proceso
de El Paso número uno fue muy fácil pero el paso número dos fue difícil y no necesariamente tienen que
ser el paso número uno de primero y luego el paso número 2 va a depender de la situación pero por lo
general estas son las siguientes etapas aceptadas dentro de un testing.
Primero tenemos la planeación que incluye incluso definir el Scopus el alcance del destino qué ataques
dejamos fuera.
Por ejemplo muchas empresas no les gusta hacer ataques de denegación de servicio.
Algunas empresas no les gusta hacer ataques de ingeniería social entonces esto lo podríamos poner dentro
del alcance de verdad y obviamente en la firma del contrato.
Luego tenemos la etapa de reconocimiento que es básicamente empezar a reconocer que activos o servicios
están presentes del lado del cliente verdad puertos abiertos servicios dentro de esos puertos etc. etc.
Lo tenemos digamos aquí podíamos tener el escaneo de puertos como parte de la etapa de reconocimiento.
Luego tenemos el vulnerabilidad Assessment que es básicamente bueno yo ya sé que el servicio X GZ está
corriendo en el puerto X.
GZ Money y yo sé que esta versión tiene una vulnerabilidad o yo sé que esta versión podría yo explotarla
de esta forma o ésta o este servicio podría funcionar como lo podría apalancar este servicio para poder
explotar otro servicio de tener que tener un buen Overview de qué puertos están abiertos qué servicios
están corriendo y qué vulnerabilidades están dentro de esos servicios.
Luego sabiendo todo eso tenemos la etapa de explotación que decir valga la redundancia explotar esas
vulnerabilidades que encontramos y luego el reporte del reportería no un reporte un resumen ejecutivo
para los altos mandos recuerda que nosotros somos consultores de negocio si tenemos el casco de seguridad
puesto y somos CISO somos si hay ous etcétera etcétera y si la seguridad es nuestra prioridad pero tenemos
el casco de seguridad puesto entonces sí presentamos un reporte de testing muy técnico posiblemente
se voy a terminar empolvado o engavetado y nadie nunca lo vaya a ver.
Sin embargo si incluimos temas de riesgo de impacto de probabilidad temas monetarios en nuestro reporte
o nuestros más ejecutivo si que va a ser un impacto en la Junta y puede que nos dé mucha visibilidad
ya sea que nosotros llamamos consultores o seamos alguien interno de la empresa.
Luego tenemos el escáner los escaneos ya a un lado de las pruebas de penetración los escaneos de vulnerabilidades
créanme hay muchas personas no quiero decir sin escrúpulos pero al final sí sin escrúpulos allá afuera
vendiendo escaneos de vulnerabilidad como pruebas de penetración.
Nada más alejado de la realidad.
Si bien los escaneos de vulnerabilidades pueden ayudarnos en nuestra etapa de pruebas de penetración
para nada pueden ser pueden sustituir una prueba de penetración en un testing como tal.
Los escaneos de vulnerabilidades lo que hacen es básicamente lo que hicimos nosotros en las primeras
dos etapas del puente Austin una etapa de reconocimiento y una etapa de ver qué servicios estaban corriendo
en los puertos y qué vulnerabilidades se encuentran ahora.
Cabe destacar que los escáner de unas habilidades funcionan bajo firmas es decir yo veo que en el puerto
80 está corriendo un servidor Apache por ejemplo y es una versión 2.5.
Entonces yo me voy a la base de datos de vulnerabilidades y sé que en esta versión hay 5 6 vulnerabilidades
y las pongo en el reporte.
Ese es un escaneo de vulnerabilidades sin embargo testing va un poco más allá porque no sólo explota
vulnerabilidades conocidas sino que configuraciones.
De repente el administrador de sistemas no se dio cuenta que dejó abierto algún puerto o alguna o alguna
funcionalidad del servidor HTTP por ejemplo web DAF para subir información.
No se dio cuenta que dejó abierto para subir archivos por ejemplo tenía una página web donde uno podría
subir fotos y no se dio cuenta de que nunca hacía ese chequeo y uno en vez de subir una foto sube un
archivo PHP para ganar una ye'l en reversa o ganar un backdoor verdad.
Otra vez no es lo mismo.
Entonces hay que estar siempre alerta a esos probadores sin escrúpulos que muchas veces venden escaneos
de vulnerabilidades por pruebas de penetración y luego tenemos los Security Assessment que digamos que
es como una versión holística approach tipo sombrilla que abarca muchas muchas pruebas entre ellas obviamente
pruebas de penetración y escaneos de vulnerabilidades pero tenemos por ejemplo revisión de políticas
procesos procedimientos posiblemente un sicario ya sea cuando lo podemos hacer como una auditoría de
ISO veinti siete mil uno verdad que vamos a tener un curso próximamente en eso sí es algo que también
ustedes quisieran perseguir un auditor o ISO veinti siete mil uno implementadores pues vamos a tener
a material disponible para eso.
También podremos mencionar aquí las revisiones de una arquitectura por ejemplo si alguien nos hizo algún
diseño de la red por ejemplo podríamos ver bueno.
En este no se pueden haber colisiones deberíamos de implementar algún algún dispositivo para agregar
calidad de servicio a quienes nada específico o en este o en este espacio en específico hay un punto
único de falla porque de repente si se cae este router ya no hay comunicación hacia el internet etc..
Cualquier revisión de arquitectura verdad.
Y luego tenemos las auditorías de seguridad que no necesariamente otra vez son pruebas de penetración
o escáneres de vulnerabilidad sino que por ejemplo de repente nosotros manejamos tarjetas de crédito
o información de tarjetas de crédito y queremos una auditoría estilo PCI o nosotros somos un hospital
o un centro de salud o algo que maneje información de salud o de pacientes y nosotros queremos tenerlos
de teorías teoría estilo la verdad entonces también tenemos muchos muchos Haussman de seguridad que
podríamos utilizar y no solo pruebas de penetración y escaneo de vulnerabilidades y por último creo
que este es el más común pero sí uno muy fácil que son la revisión de los logs y cuando digo fácil no
me malentiendan es si lo vamos a hacer manual se vuelve muy complicado y muy tedioso que es la revisión
de los logs.
Entonces aquí lo que podríamos implementar tal vez es un CIEM para hacer correlaciones entre varios
logs por ejemplo logs de Windows logs del firewall logs del antivirus porque de repente y algún algún
equipo no detectó algún ataque por sí solo.
Pero si bien ya combinamos información de muchas fuentes posiblemente con la correlación o con la minería
de datos o con el machine learning que haga sobre estos logs puede encontrar algún patrón o algo malicioso
que hemos tenido en la red y nunca cuánta verdad.
Y bueno eso es todo premios es les gustan y muy pronto.