Metodología de una Prueba de Penetración
Una Prueba de Penetración (Penetration Testing) es el proceso utilizado para realizar una evaluación o auditoría de seguridad de alto nivel. Una metodología define un conjunto de reglas, prácticas,
procedimientos y métodos a seguir e implementar durante la realización de cualquier programa para auditoría en seguridad de la información. Una metodología para pruebas de penetración define una hoja de ruta con ideas útiles y prácticas comprobadas, las cuales deben ser manejadas cuidadosamente para poder evaluar correctamente los sistemas de seguridad.
Tipos de Pruebas de Penetración:
Existen diferentes tipos de Pruebas de Penetración, las más comunes y aceptadas son las Pruebas
de Penetración de Caja Negra (Black-Box), las Pruebas de Penetración de Caja Blanca (White-Box) y las Pruebas de Penetración de Caja Gris (Grey-Box).
Las pruebas de penetración pueden ser automatizadas con aplicaciones de software, o se pueden realizar manualmente. De cualquier manera, el proceso incluye la recopilación de información sobre el objetivo antes de la prueba (reconocimiento), la identificación de posibles puntos de entrada, intentos de entrar (ya sea virtualmente o de manera real) y el reporte de los resultados.
El principal objetivo de las pruebas de penetración consiste en determinar las debilidades de seguridad. Una prueba de penetración también puede ser utilizado para probar el cumplimiento de la política de seguridad de una organización, la conciencia de seguridad de sus empleados y la capacidad de la organización para identificar y responder a los incidentes de seguridad.
Las pruebas de penetración a veces se llaman "ataques de sombrero blanco" debido a que en una prueba de este tipo los tipos buenos están tratando de entrar a la fuerza.
Las estrategias de prueba de penetración son:
Pruebas orientadas a un objetivo
Estas pruebas selectivas se llevan a cabo en conjunto por el equipo de TI de la organización y el equipo de pruebas de penetración. A veces se le llama un enfoque de "luces encendidas" porque cualquiera puede ver el examen que se lleva a cabo.
Comprobación externa
Este tipo de prueba de penetración se dirige a los servidores o dispositivos de la compañía que son visibles externamente, incluyendo servidores de nombres de dominio (DNS), servidores de correo electrónico, servidores web o firewalls. El objetivo es averiguar si un atacante externo puede entrar y hasta dónde puede llegar una vez que ha obtenido acceso.
Pruebas internas
Esta prueba simula un ataque interno detrás del firewall por un usuario autorizado, con privilegios de acceso estándar. Este tipo de prueba es útil para estimar la cantidad de daño que un empleado descontento podría causar.
Pruebas a ciegas
Una estrategia de prueba a ciegas simula las acciones y procedimientos de un atacante real, limitando severamente la información dada de antemano a la persona o equipo que está realizando la prueba. Por lo general, solo se les puede dar el nombre de la empresa. Debido a que este tipo de prueba puede requerir una cantidad considerable de tiempo para el reconocimiento, puede ser costosa.
Pruebas de doble ciego
Las pruebas de doble ciego toman la prueba a ciegas y la llevan un paso más allá. En este tipo de prueba de penetración, solo una o dos personas de la organización pueden ser conscientes de que se está realizando una prueba. Las pruebas de doble ciego pueden ser útiles para probar el monitoreo de seguridad y la identificación de incidentes de la organización, así como sus procedimientos de respuesta.
•Prueba de Caja Negra.
No se tienen ningún tipo de conocimiento anticipado sobre la red de la organización. Un
ejemplo de este escenario es cuando se realiza una prueba externa a nivel web, y está es
realizada únicamente con el detalle de una URL o dirección IP proporcionado al equipo de
pruebas. Este escenario simula el rol de intentar irrumpir en el sitio web o red de la
organización. Así mismo simula un ataque externo realizado por un atacante malicioso.
•Prueba de Caja Blanca.
El equipo de pruebas cuenta con acceso para evaluar las redes, y se le ha proporcionado los
de diagramas de la red, además de detalles sobre el hardware, sistemas operativos,
aplicaciones, entre otra información antes de realizar las pruebas. Esto no iguala a una prueba
sin conocimiento, pero puede acelerar el proceso en gran magnitud, con el propósito de
obtener resultados más precisos. La cantidad de conocimiento previo permite realizar las
pruebas contra sistemas operativos específicos, aplicaciones y dispositivos residiendo en la
red, en lugar de invertir tiempo enumerando aquello lo cual podría posiblemente estar en la
red. Este tipo de prueba equipara una situación donde el atacante puede tener conocimiento
completo sobre la red interna.
•Prueba de Caja Gris
El equipo de pruebas simula un ataque realizado por un miembro de la organización
inconforme o descontento. El equipo de pruebas debe ser dotado con los privilegios
adecuados a nivel de usuario y una cuenta de usuario, además de permitirle acceso a la red
interna.
Sitio
Web: www.ReYDeS.com -:- e-mail: ReYDeS@gmail.com -:-
Evaluación de Vulnerabilidades y Prueba de Penetración.
Una evaluación de vulnerabilidades es el proceso de evaluar los controles de seguridad interna y
externa, con el propósito de identificar amenazas las cuales impliquen una seria exposición para los
activos de la empresa.
La principal diferencia entre una evaluación de vulnerabilidades y una prueba de penetración, radica en el hecho de las pruebas de penetración van más allá del nivel donde únicamente de identifican lasvulnerabilidades, y van hacia el proceso de su explotación, escalado de privilegios, y mantener el acceso en el sistema objetivo. Mientras una evaluación de vulnerabilidades proporciona una amplia visión sobre las fallas existentes en los sistemas, pero sin medir el impacto real de estas vulnerabilidades para los sistemas objetivos de la evaluación.
Maquinas Virtuales Vulnerables
Nada puede ser mejor a tener un laboratorio donde practicar los conocimientos adquiridos sobre
Pruebas de Penetración. Esto aunado a la facilidad proporciona por el software para realizar
virtualización, lo cual hace bastante sencillo crear una máquina virtual vulnerable personalizada o
descargar desde Internet una máquina virtual vulnerable.
A continuación se detalla un breve listado de algunas máquinas virtuales creadas específicamente
conteniendo vulnerabilidades, las cuales pueden ser utilizadas para propósitos de entrenamiento y
aprendizaje en temas relacionados a la seguridad, hacking ético, pruebas de penetración, análisis de
vulnerabilidades, forense digital, etc.
•
Metasploitable 3
Enlace de descarga:
https://github.com/rapid7/metasploitable3
•
Metasploitable2
Enlace de descarga:
https://sourceforge.net/projects/metasploitable/files/Metasploitable2/
•
Metasploitable
Enlace de descarga:
https://www.vulnhub.com/entry/metasploitable-1,28/
fierce
https://www.aldeid.com/wiki/Fierce
Fierce es una escaner semi ligero para realizar una enumeración, la cual ayude a los profesionales en
pruebas de penetración, a localizar espacios IP y nombres de host no continuos para dominios
específicos, utilizando cosas como DNS, Whois y ARIN. En realidad se trata de un precursor de las
Sitio Web: www.ReYDeS.com -:- e-mail: ReYDeS@gmail.com -:- Teléfono: +51 949304030
herramientas activas para pruebas como; nmap, unicornscan, nessus, nikto, etc, pues todos estos requieren se conozcan el espacio de direcciones IP por los cuales se buscará. Fierce no realiza explotació, y no escanea indiscriminadamente todas Internet. Está destinada específicamente a localizar objetivos, ya sea dentro y fuera de la red corporativa. Dado el hecho utiliza principalmente
DNS, frecuentemente se encontrará redes mal configuradas, las cuales exponen el espacio de
direcciones internas.
# fierce --help
# fierce -dnsserver d.ns.buddyns.com -dns hackthissite.org -wordlist
/usr/share/dnsenum/dns.txt -file /tmp/resultado_fierce.txt
La opción "-dnsserver" define el uso de un servidor DNS en particular para las consultas del nombre del host.
La opción "-dns" define el dominio a escanear.
La opción "-wordlist" define una lista de palabras a utilizar para descubrir subdominios.
La opción "-file" define un archivo de salida.
[*] La herramienta dnsenum incluye una lista de palabras "dns.txt", las cual puede ser utilizada con cualquier otra herramienta que la requiera, como fierce en este caso.
Las pruebas de penetración son valiosas por varias razones:
- Determinar la posibilidad de éxito de un ataque.
- Identificación de vulnerabilidades de alto riesgo que resultan de una combinación de vulnerabilidades de menor riesgo explotadas en una secuencia particular.
- Identificación de vulnerabilidades que pueden ser difíciles o imposibles de detectar con red automatizada o un software de análisis de vulnerabilidades.
- Comprobar la capacidad de los defensores de la red para detectar con éxito y responder a los ataques.