Internal Hacking y contramedidas en entorno Windows Pirateo interno, medidas de protección, desarrollo de herramientas

Transcripción

1 Introducción 1. Preámbulo Desciframiento de un ataque conseguido Descifrado de contramedidas eficaces Análisis de riesgos reales Consideraciones técnicas Consideraciones de gestión Qué acciones, para qué roles? Qué puede hacer un administrador local? Qué puede hacer un administrador de dominio? Qué puede hacer un usuario? 22 Búsqueda de información 1. Qué informaciones son interesantes? Tipos de búsquedas Qué se debe anotar? Cómo encontrar las informaciones locales útiles? Configuraciones del sistema Informaciones de la red Variables de entorno Usuarios y grupos Las políticas de grupo Con la consola de gestión Con la línea de comandos Con el editor del registro El cortafuegos 33 1/14

2 2.3.1 Con el panel de configuración Con la línea de comandos Las carpetas y los ficheros Carpetas públicas Carpeta temporal Documentos de Office Las informaciones remotas Configuración de sistema Carpetas compartidas Usuario y grupos Configuración de red Búsqueda del nombre del servidor que hospeda un servicio Búsqueda de servicios con PortQry de Microsoft Búsqueda de servicios con Nmap Contramedidas 52 Tomar el rol de administrador o de sistema 1. Utilizar un medio de instalación de Windows oficial o una imagen de arranque PXE Arranque sobre el sistema Modificación del registro offline Utilización del hack sobre distintos sistemas Contramedidas Trucar una aplicación con las herramientas integradas en Windows Tomar el rol de sistema en su puesto de trabajo o su servidor Tomar el rol de System en un servidor remoto o en un controlador de dominio Llegar a ser administrador del dominio Contramedidas Engañar con un documento de Office 84 2/14

3 3.1 Ejecutar un script o un programa Rodear la seguridad de las macros Contramedidas Modificar un correo electrónico para arrancar una aplicación Enviar un PDF falso desde el exterior Enviar desde dentro un PowerPoint modificado Hacer descargar una aplicación oculta y ejecutarla Contramedidas 103 Extraer, romper, cambiar una contraseña 1. Cómo extraer una contraseña en un equipo o un controlador de dominio Herramientas de extracción de contraseñas de sesión La SAM en detalle Extraer las contraseñas de la SAM Extraer las contraseñas de un controlador de dominio Herramientas de extracción de otras contraseñas Analizar el funcionamiento de una aplicación Recuperar la contraseña de una conexión inalámbrica guardada en el PC Crear una herramienta de recuperación de una conexión inalámbrica Otras herramientas Contramedidas Cómo recuperar una contraseña desde la red? Utilización de un proxy Configurar el objetivo Usar Burp Proxy Introducción a los certificados y a HTTPS Principio de funcionamiento de HTTPS Pedir un certificado web o de firma de código Configurar Burp Proxy para analizar HTTPS Instalar un root CA con los permisos de usuarios Script que permite capturar el teclado en una página web 149 3/14

4 2.3.1 La página web de recepción El código JavaScript Añadir el script en una página SharePoint Inyección del script en una página con vulnerabilidad XSS Usar un sitio web falso copiado Descargar el sitio web Modificar el sitio Redirección de puertos y escucha de la red Configuración de la redirección Enviar el objetivo a nuestro sitio web Escuchar y analizar el tráfico de red ARP poisoning en Windows ARP, qué es? ARP poisoning con Cain & Abel Configurar Cain & Abel para analizar el tráfico HTTPS Usar Cain & Abel para encontrar la contraseña de un usuario del dominio Software y herramientas para romper las contraseñas Tipos de cifrado Principios para romper las contraseñas Fuerza bruta Diccionario Rainbow table Usar SQL On-line Usando la tarjeta gráfica Contramedidas 193 Desarrollar sus propias herramientas de hacking 1. Introducción a.net Cómo compilar su programa sin Visual Studio? Forzar la ejecución de una aplicación Los medios clásicos 201 4/14

5 2.2 Los medios no convencionales Filtrar datos en diferencial Usar una carpeta compartida como destino Configurar un servidor con WebDAV como destino Configurar SharePoint como destino Crear la aplicación Compilar el programa Crear una ventana de autenticación Principios básicos Crear el programa para Outlook Crear el programa para IE Crear el programa para una aplicación de gestión Crear un keylogger Principios básicos Crear la aplicación Compilar la aplicación Capturar la pantalla Principios básicos Crear la aplicación Compilar la aplicación Grabar el sonido Principios básicos Crear la aplicación Compilar la aplicación Romper una contraseña Principios básicos Crear la aplicación Compilar la aplicación 246 5/14

6 8.4 Usar la GPU Gobernar un equipo remoto Principios básicos Crear la aplicación Compilar la aplicación Esquivar la seguridad de la UAC Principios básicos Extraer los iconos de una aplicación Firmar el código Trucar la aplicación para la víctima Probar las modificaciones Cambiar el código PIN BitLocker con permisos de usuario Principios básicos Crear un servicio de Windows Compilar e instalar un servicio de Windows Crear la aplicación cliente Compilar la aplicación cliente Contramedidas 267 Hacer ejecutar sus aplicaciones trampa 1. Entender a la persona, sus necesidades y sus deseos La toma de decisiones Entender al usuario Las necesidades del usuario El modelo de Maslow El modelo de valor de inventario de Shalom Schwartz 272 6/14

7 3. Técnicas de manipulación Las sugestiones verbales Creación de la fase de ataque Enviar un documento de Office trucado Enviar una aplicación trampa Contramedidas 281 Superar las restricciones de software 1. Superar las políticas de grupo Principio de las políticas de grupo Bloquear la ejecución de las GPO Bloquear las políticas de grupo de usuario Bloquear las políticas de grupo del equipo Contramedidas Rodear las restricciones corrientes El explorador de Windows Principio de funcionamiento Rodear para explorar los ficheros El registro Principio de funcionamiento Las modificaciones para ver o modificar el registro El administrador de tareas Principio de funcionamiento Las modificaciones para ver, destruir o crear un proceso Gestión de ficheros con FSRM Principio de funcionamiento Esconder un fichero con la ayuda de otro documento Esconder un fichero con los flujos alternativos 302 7/14

8 2.4.4 Encontrar los flujos alternativos Ejecutar otras aplicaciones que no sean las previstas en un Terminal Server Principio de funcionamiento Rodear con un acceso directo Rodear con un documento de Office Rodear con el login Pasarela de mail Principio de funcionamiento Rodear para filtrar ficheros Proxy Web Principio de funcionamiento Rodear para cargar o descargar ficheros Rodear para navegar Contramedidas 317 Tomar el control remotamente 1. Tomar el control de un equipo remoto Utilización de las herramientas de administración de Windows Instalar Telnet Server Usar el Cliente Telnet Usar PuTTY Usar una aplicación NetCommand en.net Crear una aplicación de servidor Compilar la aplicación Usar el servidor Conectarse al servidor Uso de una herramienta de escritorio remoto El escritorio remoto (RDP) VNC con conexión directa VNC en conexión inversa Contramedidas Tomar el control mediante vulnerabilidades del sistema operativo o de las aplicaciones 333 8/14

9 2.1 Las vulnerabilidades del sistema operativo y de las aplicaciones Base de datos CVE Búsqueda de vulnerabilidades con Nessus Metasploit y Armitage Instalar Metasploit en Windows Instalar Armitage en Windows Analizar una red con Armitage Utilizar una vulnerabilidad del sistema operativo o de una aplicación con Armitage Atacar desde la interfaz web de Metasploit Utilizar un falso sitio web copiado con Metasploit Pro Contramedidas 361 Guardar una puerta abierta 1. Introducción a las puertas traseras activas y pasivas Conservar discretamente un acceso a un servidor o a un PC Puerto de escucha para Terminal Server Programa.NET Conservar discretamente un acceso a un servidor web o de mensajería Tener acceso a todas las cuentas de correo electrónico de un servidor Exchange Grupo de seguridad Apertura de una cuenta de correo electrónico PowerShell Modificar una aplicación web para conservar un acceso desde el exterior Añadir un grupo de aplicaciones Añadir una aplicación web Añadir una página web para ejecutar comandos Utilizar el acceso Web PowerShell Contramedidas 377 9/14

10 4. Conservar discretamente un medio de tomar el control en un PC o un servidor Añadir un protocolo y trucar la navegación Modificar el registro Usar la modificación Enmascarar el script Añadir o modificar una extensión Modificar el registro Usar la modificación Añadir un certificado raíz Esconder una cuenta de usuario Esconder un usuario local Esconder un usuario en el Active Directory Contramedidas 391 Esconderse y eliminar sus huellas 1. Usar la virtualización Hyper-V en Windows Instalar Hyper-V Configurar Hyper-V Crear una máquina virtual Usurpar una dirección MAC PowerShell para Hyper-V Otras herramientas de virtualización Otras plataformas de virtualización Copiar un disco físico en uno virtual Conectar/crear un disco virtual directamente en Windows Impedir el acceso a su disco duro La virtualización de aplicaciones Contramedidas Utilizar la cuenta de sistema Utilizar la cuenta de sistema directamente /14

11 2.2 Utilizar la cuenta de sistema indirectamente Contramedidas Eliminar los logs Los logs de eventos de Windows Los logs del cortafuegos local Los logs de los servicios web Contramedidas 410 Las contramedidas técnicas 1. Los medios integrados en los entornos Microsoft Impedir el arranque del sistema SysKey Concepto y requisitos de BitLocker Almacenar las claves de recuperación en el Active Directory Activar BitLocker en un equipo Configurar un código PIN Instalar y configurar un controlador de dominio en modo de solo lectura Crear el equipo Configurar las contraseñas no replicadas Instalar y configurar una autoridad de certificación Planificación de la instalación Instalación y configuración Modificar y añadir modelos de certificados Configurar el certificado Root en los PC internos Instalar y configurar Network Access Protection Configurar el DHCP con una lista blanca Instalar los servicios para Network Access Protection Configurar NAP para utilizar IPsec en los servidores Configurar los clientes para soportar NAP Instalar y configurar WSUS (Windows Server Update Services) Instalar WSUS Configurar los clientes para utilizar WSUS /14

12 1.6 Las políticas de grupo Configurar las cuentas restringidas Configurar la seguridad de las contraseñas Configurar el cortafuegos Configurar el control de la cuenta de usuario Restricción del registro y de ficheros Configurar la restricción de software Autorizar o bloquear por defecto? Bloquear una aplicación Bloquear las aplicaciones en los medios removibles Estrategia de bloqueo de aplicaciones La gestión de los ficheros y de los permisos Los grupos de seguridad Las carpetas temporales o Temp La compartición de ficheros La gestión de ficheros con FSRM La clasificación de ficheros Microsoft RMS (Rights Management Services) Firmar las macros VBA y los scripts PowerShell Solicitar un certificado Firmar una macro VBA Firmar un script PowerShell Autorizar la ejecución de objetos firmados Herramientas de auditoría y de seguridad de Microsoft Herramientas de auditoría Herramientas de seguridad Otros medios La disociación Disociaciones de redes físicas Uso de VLAN Antivirus Software cortafuegos Cortafuegos físico Herramientas de monitoring y de vigilancia IDS e IPS /14

13 2.2.2 Vigilancia de los sistemas y los elementos de seguridad Herramientas de auditoría y de prueba de vulnerabilidades Programas personales Programas de empresa 474 La gestión de los sistemas de información 1. Los retos de la gestión El impacto y las consecuencias del internal hacking en la gestión Unas buenas prácticas que nos pueden ayudar Norma o buenas prácticas COBIT, Val IT y Risk IT Poner en marcha la gestión de los SI con la ayuda de COBIT Marco general Qué es un objetivo de control? El procedimiento «Puesta en marcha de la gestión de los SI» Puesta en marcha de un cuadro de gestión de los SI - SE Alineamiento estratégico - SE Valor añadido - SE Gestión de recursos - SE Gestión de riesgos - SE Medida del rendimiento - SE Seguro independiente - SE Por dónde empezar? Nivel de madurez Procedimientos de partida Administrar y gestionar el riesgo Definiciones Estimación del riesgo /14

14 5.3 Los factores de riesgo La clasificación del riesgo El tratamiento de un riesgo Los otros elementos de la gestión de riesgos Tratar el internal hacking desde el punto de vista de la gestión La gestión de los administradores La gestión de los usuarios La gestión de los sistemas La gestión de las aplicaciones La gestión de la información La gestión de los problemas y de los incidentes 500 índice /14