3-ANÁLISIS DE VULNERABILIDADES

Transcripción

1 3-ANÁLISIS DE VULNERABILIDADES

2 Es la tercera fase del ciclo de auditoria del tipo Hacking Ético, y tiene como objetivo el identificar si un sistema es débil o susceptible de ser afectado o atacado de alguna manera (Hardware, Software, Telecomunicaciones, Humanos) Identificación vulnerabilidades en Versiones de Aplicación y Sistemas Operativos Gestión de Parches (Patch Management) Identificar Vulnerabilidades Tecnológicas y Humanas. Configuraciones por Defecto. Vulnerabilidades Técnicas y Funcionales El éxito de un Análisis de Vulnerabilidades, depende de la gestión que se les haga.

3 Tipos de Vulnerabilidades Ejemplo de Vulnerabilidades: Funcional Técnica Humana Definiciones: Que es una Vulnerabilidad? Una Vulnerabilidad es una debilidad que puede llevar a un compromiso de un sistema Informático.

4 A nivel de Software se pueden tener: Clases de Vulnerabilidades (Software): Hay tres clases generales: - (Misc) Configuraciones- de usuario o vendedor de Software, que viene a menudo de forma predeterminada. - Aplicación:-los errores de codificación que resulta en desbordamientos de búfer, inyecciones SQL, XSS, entre otros. -Diseño: Las cuales son inherentes en el protocolo o en la arquitectura de aplicaciones

5 Aspectos Importantes: Algunos aspectos importantes que deben de tenerse en cuenta en el análisis de Vulnerabilidades, es el siguiente: Las herramientas automatizadas de análisis de vulnerabilidades se basan en Plugins, por lo tanto es importante mantenerlos actualizados. Configurar de forma adecuada el perfil del análisis de vulnerabilidades, según la información recolectada en fases pasadas. Experiencia un factor Relevante

6 Donde se presentan las Vulnerabilidades? Las vulnerabilidades existen en: Host: Sistemas Operativos y Servicios Dispositivos: Routers, Switches, Balanceadores de Carga, Firewalls, Appliance de Red,entre otros. Aplicaciones: Clientes/Servidor, Web, Aplicaciones, bases de datos, entre otros. Humanos: Administradores de redes, desarrolladores, empleado, etc.

7 Aspectos Importantes: Algunos aspectos importantes que deben de tenerse en cuenta en el análisis de Vulnerabilidades, es el siguiente: El análisis de vulnerabilidades, es una etapa secuencial a la recolección de información, escaneo de puertos, y enumeración, por lo tanto la adecuada información obtenida en etapas anteriores, será de gran ayuda en esta etapa de análisis de vulnerabilidades, para no generar Falsas alarmas.

8 Aspectos Importantes Algunos aspectos importantes que deben de tenerse en cuenta en el análisis de Vulnerabilidades, es el siguiente: Herramientas Apunte y Tire: Es de vital importancia conocer bien al objetivo, con el fin de poder generar un buen y adecuado perfil, al momento de realizar un análisis de vulnerabilidades con una herramienta automatizadas para ello. Con esto logramos: Minimizar Trafico de red Minimizar Falsos Positivos Optimizar Análisis de resultados.

9 Descubrimiento de Vulnerabilidades. Si una vulnerabilidad es descubierta, que caminos se pueden tomar? Comunicarlos al proveedor de forma directa. Comunicarlo a las Listas de Full Disclosure. Comunicarlo en un evento de seguridad (Black Hat, DEFCON, Etc) Venderlo a empresas que o compran Exploit. Conservar el descubrimiento en secreto. Las vulnerabilidades encontradas en un Análisis de seguridad, se clasifican con respecto a bases de datos del Conocimiento. Las vulnerabilidades también pueden ser objeto de investigación en la Base de Datos Nacional de la vulnerabilidad (NVD)

10 Clasificación de las Vulnerabilidades Las vulnerabilidades, pueden ser clasificadas según su nivel de importancia y de criticidad y se clasifican en: Bajas Medias Altas Criticas

11 Clasificación de las Vulnerabilidades Bajas: Son vulnerabilidades relacionadas con aspectos de la configuración de un sistema, la cual probablemente podría ser utilizada para violar la seguridad del sistema, sin embargo no constituyen por si sola una vulnerabilidad, ya que para ser explotada, requiere de un conjunto de criterios que no necesariamente seria conseguido de forma directa por un atacante. Un ejemplo para este tipo de vulnerabilidad seria el siguiente: Luego de una exploración de puertos y vulnerabilidades con un software previamente preparado por un atacante, se ha tenido dentro del reporte del aplicativo que ha usado el atacante la siguiente información: El puerto 23 esta abierto y tiene ejecutando una versión de este protocolo. Un atacante podría usar un analizador de protocolos, para poder identificar el trafico, y así poder encontrar el nombre de usuario y contraseña para pode entrar en el equipo victima, ya que el servicio de Telnet, es un protocolo que no cifra o codifica as conexiones, sino que estas viajan el texto claro.

12 Clasificación de las Vulnerabilidades Medias: Son vulnerabilidades asociadas funcionalidades disponibles en forma remota en el sistema identificado como objetivo, las cuales normalmente son utilizadas por los atacantes informáticos para explotar otra vulnerabilidad. Es decir que este tipo de vulnerabilidades no son el objetivo final en ningún ataque, sino que dan pie o base a otras vulnerabilidades mas criticas, para poder comprometer el sistema, tales como el uso de escalar privilegios

13 Clasificación de las Vulnerabilidades Altas: Son un tipo de vulnerabilidades que pueden ser usadas para obtener acceso a recursos que deberían estar protegidos en el host remoto. Estas vulnerabilidades como tal comprometen el sistema afectado, ya que si son explotadas por un atacante, este conseguirá el control parcial o total del sistema, además de que podrá ver y cambiar información confidencial, y ejecutar comandos y programas en el equipo afectado. Un ejemplo para este tipo de vulnerabilidad seria el siguiente: Luego de una exploración de puertos y vulnerabilidades con un software previamente preparado por un atacante, se ha tenido dentro del reporte del aplicativo que ha usado el atacante la siguiente información: Es posible acceder a recursos compartidos en el equipo objetivo, ya que el equipo tiene carpetas compartidas de lectura/escritura, con lo que un atacante podría obtener información confidencial del equipo analizado.

14 Clasificación de las Vulnerabilidades Criticas: Son similares a las vulnerabilidades de tipo alta, sin embargo las criticas suelen ser mas peligrosas y requieren de la evaluación y corrección por parte de los administradores de informática de forma inmediata. Un ejemplo para este tipo de vulnerabilidad seria el siguiente: Luego de una exploración de puertos y vulnerabilidades con un software previamente preparado por un atacante, se ha tenido dentro del reporte del aplicativo que ha usado el atacante la siguiente información: Se ha identificado que el Host analizado tiene el puerto TCP 1433 abierto y en este puerto se esta corriendo una versión del servidor de bases de datos SQL Server Versión 9, el sistema de bases de datos tiene la clave del usuario SA (System Administrador) con la palabra password, por lo cual un atacante podría adivinar dicha clave débil ytomarcontroltotaldelsistemadebasesdedatosdeformaremotaolocal

15 Herramientas Automatizadas

17 Herramientas Automatizadas Características: Se puede obtener una versión Gratuita, para uso no comercial, la cual cubre 5 direcciones IP, con todas las funcionalidades de la aplicación, menos la gestión de parches para aplicaciones no Microsoft. Gestión Automatizadas de Parches de Seguridad (Identificación y Remediación) Escaner de Puertos TCP-UDP y de Vulnerabilidades Contiene un Cliente RDP. Permite crear análisis de vulnerabilidades programadas. Solo funciona en equipos Windows

19 Herramientas Automatizadas Características: Es un Scanner de vulnerabilidades orientado a Aplicaciones Web. Se puede descargar una versión Trial de la pagina. Solo funciona en Windows, pero analiza S.O multiplataforma (Linux, Windows, Solaris) Analiza vulnerabilidades orientadas al XSS,SQL Injection, entre otroas. Escanner de puertos Soporta análisis de vulnerabilidades programados. Soportes para la base de datos GOOGLE. Google Hacking Directory Traversal Attacks

20 Herramientas Automatizadas: Nessus

21 Herramientas Automatizadas: Nessus Nessus es un escáner de vulnerabilidades y puertos, el cual tiene una gran cantidad de datos relacionados con las diferentes vulnerabilidades que aparecen en muchos software comerciales y sistemas operativos. Nessus tiene varios componentes para poderlo trabajar, el primero es un demonio o componente principal, el cual es el que se encarga de los chequeos de vulnerabilidades en un host, el segundo es un cliente que se conecto al servicio o demonio Nessus, mediante el cual se pueden dar directrices o políticas de escaneo de vulnerabilidades, además es por medio de este cliente donde se ven los reportes. El tercer componente son los Script de Nessus, los cuales son llevados a la práctica en lenguaje de programación NASL.

22 Herramientas Automatizadas: Nessus Características Generales: * Evaluación de vulnerabilidades automatizado * Interface de usuario basada en Web * Escaneos de vulnerabilidades basado en host y en red * Auditoria de Parches * Auditoria de Cumplimiento * Informes y Reportes. - XML (nessus). - HTML y y personalizado XSL - Texto delimitado (NBE).

23 Herramientas Automatizadas: Nessus Otras Características: Software multiplataforma, ya que soporta la instalación en varios sistemas operativos tipo UNIX, Linux y Windows. En una actividad de identificación de vulnerabilidades, Nessus comienza a usar internamente el software Nmap, para identificar los puertos abiertos de la maquina objetivo. Es un software que se actualiza a diario, ya que todos los días son descubiertas nuevas vulnerabilidades en los sistemas a nivel de aplicación o a nivel de sistema operativo. Es una potente herramienta de identificación de vulnerabilidades, pero puede causar la caída de un sistema evaluado sino se usa de forma adecuada. Se puede bajar una versión gratuita, para uso no comercial con todas las funcionalidades base.

24 Herramientas Automatizadas: Nessus * Identificación de las debilidades en el sistema, aplicaciones, red y dispositivos atravésdemétodosdescanningahostydered. - El descubrimiento de activos y el inventario es un requisito previo para la detección de la vulnerabilidad - Soporta Exploración con credenciales y sin credenciales * Nessus es el escáner de vulnerabilidad mas popular del mundo - Motor de análisis para centro de seguridad - Chequeos para 32,000 y mas - Escaneo de puertos y más

25 Herramientas Automatizadas: Nessus Antes de herramientas automatizadas, como Nessus había que hacer lo siguiente: - Encuentra tus objetivos en la red - Hacer exploraciones de puertos individuales - Captura de Banners o información, con otra aplicación - Ejecutar escáneres para aplicaciones específicas - Con cuidado, ejecutar algunos exploits específicos para detectar las vulnerabilidades conocidas - Verificar los resultados y evitar falsos positivos / negativos -Gestión de datos y los resultados del informe

26 Herramientas Automatizadas: Nessus * Configuraciones * Descubrimiento de Host * Scanning de Puertos * Detección de Servicios * Detección de sistema Operativos * Análisis de Vulnerabilidades

27 Herramientas Automatizadas: Nessus (Daemon) Nessus Herramientas de línea de comandos Plugins de Nessus Base de datos de conocimientos Librerías de soporte. Web Interface (Puerto 8834) Selección del objetivo Configuración del Scanner Manejo del scanner Resultados del Scanner Reportes (Informes)

28 Herramientas Automatizadas Otras herramientas automatizadas SATAN RETINA ISS SECURITY SCANNER NIKTO