Interfaces Web mejoradas que emulan el comportamiento del escritorio de nuestro PC.

Transcripción

1 Nuestras Huellas Online Amenazas 2.0 Auditoria de Seguridad y Sistemas Informaticos Septiembre 2010 Ezequiel M. Sallis CISSP-CEH-MBCI

2 Index. Of Introducción Web y mas allá OSINT (Open Source Intelligence) Nuestras Huellas Online - Buscadores Nuestras Huellas Online - Redes Sociales Nuestras Huellas Online - Metadatos Nuestras Huellas Online - Geolocalización Amenazas - Ingeniería Social 2.0 Conclusiones

3 Sociedad 2.0 Actualmente nos encontramos en pleno auge de la Web 2.0. Un mundo compuesto mayormente por: Aplicaciones de integración social. Lenguajeaudiovisuales cada vez mas predominantes Interfaces Web mejoradas que emulan el comportamiento del escritorio de nuestro PC. El compromiso de múltiples generaciones que están permanentemente en contacto con este mundo generando mas y mas contenido.

4 Riesgos Privacidad y Controles 2.0 Las características tecnológicas del mundo Web 2.0 sumadas a las actividades sociales que los usuarios realizan en ella dan como resultado el mayor repositorio de información Distribuido e Informal Que hay de los riegos asociados a la información que lo usuarios publican a través de las diferentes plataformas disponibles en el Mundo Web 2.0? Que podemos decir de la Privacidad, sigue existiendo tal cual la conocíamos o debería redefinirse para adaptarse? Nos hemos detenido alguna vez a pensar que la Web 2.0 se convirtió en fenómeno social al que la tecnología solamente brinda un entorno adecuado? Acaso creemos que un fenómeno social de estas características puede ser resuelto únicamente con controles técnicos?

5 2+1=3 La información que conforma este repositorio informal del mundo Web 2.0 no tiene aún la capacidad de relacionarse entre sí, no está clasificada, no está ordenada y no tiene un formato estándar. La Web 3.0 intentará resolver esa problemática, y si bien el salto de la Web 2.0 a la Web 3.0 no se dará de la noche a la mañana, ya existen algunos indicios de cambio: Folksonomia: Sistema de clasificación compartido y social que se materializa en las etiquetas (tags) que los usuarios asignan a fotografías,videos, entradas de blogs y otros elementos 2.0 Microformatos: Buscan estandarizar un conjunto de formatos para almacenar información básica como la de contacto de una persona (HCard), una cita de calendario (HCalendar), o un en un Blog (HReview).

6 WTF 3.0? Al investigar acerca del mundo Web 3.0 los tres principales conceptos que surgen son: La Web Semántica La Web 3D La Inteligencia Artificial. De los tres conceptos, el que mas de acerca es el de una Web Semántica complementada por la Inteligencia Artificial.

7 Web 3.0 La Web Semántica Según Tim Berners-Lee, La Web Semántica dotara a las páginas Web de un significado, siendo estas verdaderos socios cognitivos La Web semántica se basa en la idea de agregar metadatos semánticos y ontológicos para proporcionar de manera formal un significado y una relación a los datos, creando una Base de Datos en la Web (DataWeb) que permita un interrelación entre datos estructurados. XML y XML Squema = Sintaxis y Lenguaje para la estructura de datos RDF = Descripción de la representación de datos OWL = Propiedades y Clases a la descripción de RDF SparQL = Lenguaje para consultas sobre RDF Esto permitirá que el contenido Web deje de ser comprensible para los hombres y que mediante lenguajes y estructuras pueda sercomprendido por maquinas, facilitando así la obtención de conocimiento a los hombres.

8 Privacidad 3.0 Ahora bien, que podremos decir entonces de la privacidad, cuando esta se aplique al mundo Web 3.0? Este modelo requiere de una relación con el usuario mucho más transparente y abierta Como podemos interpretar esto? Es el fin de la privacidad en Internet? Sin dudarlo, el conflicto que existe actualmente con la privacidad en El mundo Web 2.0 se agravará, dado que el papel que tendrá la Web 3.0 en la sociedad de la información, será aun más relevante. La información que estará en juego tendrá otro valor, estará un escalón mas arriba, ya que no será simple información sino que será conocimiento.

9 Al infinito y mas alla... Aun no esta claro si la Web 3.0 será una evolución o una revolución Muchos dicen que dependerá de cómo puedan interrelacionarse la inteligencia artificial y la Web semántica. Pero de lo que si podemos estar seguros, es de que nos acercamos a hacia un Web diferente: Una Web mas personalizada Una Web construida de partes de cada uno de nosotros Una Web que estará presente de forma natural entre nosotros. Una Web que deberá conocernos mejor y que demandara una mayor transparencia en la relación que establezcamos con ella.

10 En un futuro no tan lejano... El mundo Web 3.0 demandará por parte del usuario una relación más intima y personal, la Web 4.0 ira aun mas allá, será omnipresente, nos rodeara en todo momento, será un único sistema operativo al cual podremos acceder a través de múltiples interfaces y todos guardaremos nuestra información en un único entorno. Seremos la Web, estaremos en la Web Recordemos que la tecnología solo es el medio a través de cual este fenómeno social crece y se manifiesta, es importante tomar conciencia del lugar que ocupara en la sociedad de la información en este futuro no tan lejano. Estamos dispuestos a formar parte?

11 Fuentes de Datos En la actualidad Mas de 500 Millones Usuarios 120 millones de Login Diarios. Cerca de 100 millones de Usuarios 6.2 millones se unen por mes 50 millones tweets/día =600xSeg 1600 Millones Casi 1 Millon de Usuarios Casi 1 Check-in por Segundo.

12 En la actualidad

13 Nuestras Huellas Online Uno de los primeros pasos que un potencial atacante debe dar, es el de reconocer de manera pasiva toda la informacion disponible de su objetivo, de esta forma podra desarrollar seguramente, una estrategia de ataque efectiva por otro. El reconocimiento pasivo comprende la búsqueda de toda información relacionada con el objetivo con la particularidad de no interactuar directamente con el mismo.

14 Nuestras Huellas Online Por Ejemplo: Dominios de la Empresa, Subdominios de la Empresa Sistemas On Line implementados ( webmail, extranet, etc) Datos de Contacto de Registros Cuentas de Mail corporativas Cuentas de Mail personales de usuarios corporativos Publicaciones del personal de la Empresa Nombres de Proveedores de la Empresa Nombres de Clientes de la Empresa Documentos públicos relacionados Metadatos

15 Intelligence Un repaso

16 Human Intelligence (HUMINT) Es el mas antiguo de todos los tipos de inteligencia y se basa en la recolección de información por parte de personal altamente entrenado para esta tarea: Agentes Secretos Informantes Espías Infiltrados

17 Signal Intelligence (SIGINT) Es el la inteligencia de Señales, su objetivo principal esta relacionado con el análisis y desencripcion de la mismas. Radio Televisión Telefonía Móvil Internet

18 Imagery Intelligence (IMINT) Es el la inteligencia de imagenes derivadas de fotografías aéreas o satelitales. Tienes algunas subcategorías asociadas: PHOTINT IRINT EOPINT

19 Measurament and Signature Intelligence (MASINT) Es un tipo de inteligencia científico y tecnológico basado en información obtenida de análisis cualitativos y cuantitativos, derivados de la información que proporcionan diferentes sensores tecnológicos. Radar Intelligence (RADINT) Acoustic Intelligence (ACOUSTINT) Nuclear Intelligence (NUCINT) Radio Frequency/Electromagnetic Pulse Intelligence (RF/EMPINT) Laser Intelligence (LASINT) Unintentional Radiation Intelligence (RINT) Chemical and Biological Intelligence (CBINT) Directed Energy Weapons Intelligence (DEWINT)

20 Open Source Intelligence (OSINT) Es una disciplina útil para procesar información, esta relacionada con encontrar, seleccionar y adquirir información de fuentes publicas, para que esta sea analizada y se pueda utilizar para acciones de inteligencia. Si bien esto puede solo parecer estar relacionado con esferas gubernamentales y militares, la disciplina de la inteligencia competitiva es el ejemplo de que esto también de aplica en el mundo de los negocios.

21 Agregar: Se refiere al proceso a través del cual se puede obtener información a la que no se tiene acceso mediante la utilización de datos a los que si se puede acceder. La información combinada tiene un nivel de sensibilidad mayor que las partes que la componen.

22 Inferencia: Se refiere al resultado de generar nueva información basándose en la ya existente y disponible.

23 Costo y Esfuerzo OSINT 5% RESTO 95%

24 Beneficio y Valor de la Información OSINT 80% RESTO 20%

25 GOOOSINT (Google + OSINT)

26 GOOOSINT (Google + OSINT) Ingeniosa Técnica de information Gathering, basada en el poder del motor de búsqueda de Google ( El cual permite, mediante la utilización de parámetros de búsqueda avanzados, el poder de las combinaciones de los mismos y una gran creatividad por parte del factor humano, encontrar información útil para un atacante, como la siguiente: Detección y Fingerprint de sistemas específicos Servidores expuestos, con vulnerabilidades especificas Usuarios, contraseñas y demás información sensible expuesta de manera publica Información para el planeamiento exitoso de ataques de ingeniería social Portales de acceso a la configuración y administración de dispositivos

27 GOOOSINT La técnica de Google Hacking, tiene uno de sus fundamentos, en la creativa utilización de los parámetros avanzados de búsqueda. intitle, allintitle inurl, allinurl filetype allintext site link inanchor daterange cache info phonebook rphonebook bphonebook author group msgid insubject stocks define related

28 GOOOSINT (Una sencilla Búsqueda)

29 GOOOSINT (Una Sencilla Password :O)

30 Live Demo GOOSINT

31 OSINT + Search Engines Independientemente de que esta técnica se asocia por defecto a Google y a la reconocida técnica de Google Hacking, la gran mayoría de los buscadores mas populares en la actualidad ya han implementado métodos similares de almacenamiento y análisis de información, como así también los tan útiles parámetros de búsqueda avanzados. Google Yahoo Search BING

32 OSINT + SHODAN Buscador orientado a encontrar particularidades en sistemas de Información. Servidores Routers Servicios (HTTP-FTP y otros) Permite parámetros de búsqueda avanzado, como por ejemplo la búsqueda por país.

33 Live Demo SHODAN

34 OSINT 2.0

35 OSINT 2.0 Esta compuesta por elementos de múltiples funcionalidades, orientadas tanto al ocio como a aspectos relacionados con lo laboral y educativo. Podemos encontrar en ella algunos de los siguientes: Blogs Fotologs Redes Sociales (Orientadas al Ocio) Redes Sociales (Orientadas a lo Profesional) Microblogs RSS Foros Juegos Online Wiki Otros

36 OSINT 2.0 Social Network Search (For Fun))

37 OSINT 2.0 Social Network Search (For Work))

38 OSINT 2.0 MicroBlog Search

39 OSINT 2.0 Blog Search

40 OSINT 2.0 Fotolog Search

41 OSINT 2.0 All In One

42 Live Demo WEB 2.0

43 OSINT 2.0 Y ahora que

44 Metadatos el lugar menos pensado

45 Metadata (La Pesadilla de Tony Blair) En la Wikipedia se define a los Metadatos como datos que describen otros datos. En informática, son datos por lo general no editables que las aplicaciones guardan en los encabezados de sus archivos de salida. Tal es el caso ejemplo del Word que además de los datos del contenido mismo del archivo, y de la información que nosotros cargamos (automática o manualmente) en las propiedades del archivo, almacena datos tales como la ruta donde estaba guardado el documento, el nombre de la persona que lo origino y de los que lo han revisado.

46 Metadata (La Pesadilla de: Tony Blair) Dime que usas y te diré donde y quien lo guarda

47 Metadata Información de rutas de almacenamiento:

48 Metadata Usuarios Validos

49 EXIF (Sonrían para la Foto) También un archivo de imagen pueden contener información Sumamente importante que hasta incluso es muy tenida en cuenta en el análisis forenses ya que permiten identificar información relacionada con la Cámara con la cual fue tomada la fotografía, información como por ejemplo la marca y modelo de la misma, fecha de la fotografía, en algunos casos ubicación geográfica cuando la cámara tiene GPS y carga el dato en la imagen Marca y Modelo de la Cámara Digital. Nro. de Serie de la Cámara Digital. Fecha y Hora de la Fotografía. Apertura y Velocidad del Obturador. Medidor de Exposición. Sistema Operativo donde la Foto fue editada o almacenada. Versión del Software Utilizado para la edición. Datos de Geolocalización Miniatura de la Fotografía Original (Sin Edición)

50 EXIF (Sonrían para la Foto)

51 Geolocalización (Encuéntrame Si Puedes ) Permite identificar con exactitud la longitud y latitud en la que se encuentra un dispositivo en tiempo real. Adicionalmente permite determinar la locación exacta de donde fue tomada una fotografía o desde donde se realiza una llamada de celular dependiendo claro esta de la tecnología utilizada.

52 Geolocalización (Encuéntrame Si Puedes )

53 Live Demo All In One FOCA

54 Ingeniería Social 2.0 Y ahora que hacemos con tanta información La ingeniería social permitirá a un potencial atacante, utilizar el perfil de la victima relevado mediante OSINT, para convencer o engañar a este de que ejecute alguna acto que le permita lograr su objetivo. Esto puede suceder tanto: Personalmente Telefónicamente Correo Electrónico SMS Otros

55 Ingeniería Social 2.0 En resumen, un potencial atacante puede obtener con facilidad: Intereses personales Intereses profesionales Donde acude con frecuencia Que opina en referencia a un tema en particular Otros

56 Ingeniería Social 2.0 Algunos Ejemplos (Área de Tecnología)

57 Ingeniería Social 2.0 Algunos Ejemplos (Área Gerenciales)

58 Conclusión: Los problemas de seguridad acabamos de ver no se solucionan con un parche de seguridad, si no que debe trabajarse a través de la educación de los usuarios y el buen uso de las tecnologías. La efectividad de los controles técnicos, depende en gran medida de la colaboración del Usuario.

59 MUCHAS GRACIAS esallis(at)root-secure(dot)com