• Author / Uploaded
• Ghilmer Valderrama

Citation preview

¿Qué es el Ethical Hacking? Es una rama se la seguridad informática que permite evaluar el nivel de vulnerabilidad y el riesgo en el que se encuentran los sistemas informáticos o los activos de una organización de forma legal y autorizada. Los hackers éticos son necesarios para mejorar la seguridad de los sistemas y redes. Hacker ético != pirata informático = cibercriminal = cracker De lo anterior podemos afirmar que Ethical Hacking consiste en la simulación de posibles escenarios donde se reproducen ataques de manera controlada, así como actividades propias de los delincuentes cibernéticos, esta forma de actuar tiene su justificación en la idea de que: "Para atrapar a un intruso, primero debes pensar como intruso". Hacker ético Todo profesional de la seguridad que aplican sus conocimientos de hacking con fines defensivos (y legales), llamado de los hackers “buenos”. Un hacker ético es un experto en computadoras y redes de datos, su función es atacar los sistemas de seguridad con autorización de sus dueños, con la intención de buscar y encontrar vulnerabilidades que un hacker malicioso podría explotar.

¿Por qué hacer un Ethical Hacking? A través del Ethical Hacking (es posible detectar el nivel de seguridad interno y externo de los sistemas de información de una organización, esto se logra determinando el grado de acceso que tendría un atacante con intenciones maliciosas a los sistemas informáticos con información crítica. Las pruebas de penetración son un paso previo a los análisis de fallas de seguridad o riesgos para una organización. La diferencia con un análisis de vulnerabilidades, es que las pruebas de penetración se enfocan en comprobar y clasificar vulnerabilidades y no tanto en el impacto que éstas tengan sobre la organización. La realización de las pruebas de penetración está basada en las siguientes fases:

1. Reconocimiento: Se recolecta información del sistema de forma activa o pasiva. 2. Escaneo: Probar activamente las vulnerabilidades que puede explotarse. 3. Obtener acceso: explotar una vulnerabilidad para acceder al sistema.

4. Mantener el acceso: Se mantiene en el sistema para lograr el objetivo del ataque. 5. Borrado de huellas: El atacante trata de borrar las evidencias del ataque. Durante las Pruebas de Vulnerabilidad _ Preparación: Se debe tener un contrato firmado por escrito donde se exonere al hacker ético de toda responsabilidad como consecuencia de las pruebas que realice (siempre que sea dentro del marco y términos acordado),crear un equipo de hacking y planificar las pruebas. _ Ejecución de Plan Evaluación de la Seguridad: Realizar las pruebas. _ Gestión: Preparación de un informe donde se detallen las pruebas y posibles vulnerabilidades detectadas. _ Conclusión: Presentación a la empresa del informe y de las posibles soluciones. Tipos de Ethical Hacking Las pruebas de penetración se enfocan principalmente en las siguientes perspectivas:  Pruebas de penetración con objetivo: se buscan las vulnerabilidades en partes específicas de los sistemas informáticos críticos de la organización.  Pruebas de penetración sin objetivo: consisten en examinar la totalidad de los componentes de los sistemas informáticos pertenecientes a la organización. Este tipo de pruebas suelen ser las más laboriosas.  Pruebas de penetración a ciegas: en estas pruebas sólo se emplea la información pública disponible sobre la organización.  Pruebas de penetración informadas: aquí se utiliza la información privada, otorgada por la organización acerca de sus sistemas informáticos. En este tipo de pruebas se trata de simular ataques realizados por individuos internos de la organización que tienen determinado acceso a información privilegiada.  Pruebas de penetración externas: son realizas desde lugares externos a las instalaciones de la organización. Su objetivo es evaluar los mecanismos perimetrales de seguridad informática de la organización.  Pruebas de penetración internas: son realizadas dentro de las instalaciones de la organización con el objetivo de evaluar las políticas y mecanismos internos de seguridad de la organización. A su vez, cada tipo de pruebas descrito anteriormente se puede ubicar en dos modalidades dependiendo si el desarrollo de las pruebas es de conocimiento del personal informático o no. Red Teaming: Es una prueba encubierta, es decir que sólo un grupo selecto de ejecutivos sabe de ella. En esta modalidad son válidas las técnicas de "Ingeniería Social" para obtener información que permita realizar ataque. Ésta obviamente es más real y evita se realicen cambios de última hora que hagan pensar que hay un mayor nivel de seguridad en la organización. Blue Teaming: El personal de informática conoce sobre las pruebas. Esta modalidad se aplica cuando las medidas tomadas por el personal de seguridad de las organizaciones ante un evento considerado como incidente, repercuten en la continuidad de las operaciones críticas de la organización, por ello es conveniente alertar al personal para evitar situaciones de pánico y fallas en la continuidad del negocio.

¿Cuáles son los beneficios de un Ethical Para las organizaciones?

Los beneficios que las organizaciones adquieren con la realización de un Ethical Hacking son muchos, de manera muy general los más importantes son:  Ofrecer un panorama acerca de las vulnerabilidades halladas en los sistemas de información, lo cual es de gran ayuda al momento de aplicar medidas correctivas.  Deja al descubierto configuraciones no adecuadas en las aplicaciones instaladas en los sistemas (equipos de cómputo, switches, routers, firewalls) que pudieran desencadenar problemas de seguridad en las organizaciones.  Identificar sistemas que son vulnerables a causa de la falta de actualizaciones.  Disminuir tiempo y esfuerzos requeridos para afrontar situaciones adversas en la organización.

Preocupaciones Futuras Big Data Desorganización Herramientas

Regulación y cumplimiento ¿Es legal Hacking ético? Si por motivación personal se realizaría pruebas de ataque para encontrar posibles vulnerabilidades en los sistemas de información dentro de una determinada organización aún si fuese con buenas intenciones como el de tan solo alertar a las organizaciones de lo vulnerable que puedan ser, es considerado como un delito así está dispuesto en la ley de Delitos Informáticos Ley Nº 30171 que modifica la anterior ley (N° 30096). Artículo 2. Acceso ilícito “El que deliberada e ilegítimamente accede a todo o en parte de un sistema informático, siempre que se realice con vulneración de medidas de seguridad establecidas para impedirlo, será reprimido con pena privativa de libertad no menor de uno ni mayor de cuatro años y con treinta a noventa días-multa. Será reprimido con la misma pena, el que accede a un sistema informático excediendo lo autorizado.” Artículo 3. Atentado a la integridad de datos informáticos

“El que deliberada e ilegítimamente daña, introduce, borra, deteriora, altera, suprime o hace inaccesibles datos informáticos, será reprimido con pena privativa de libertad no menor de tres ni mayor de seis años y con ochenta a ciento veinte días-multa.” Artículo 4. Atentado a la integridad de sistemas informáticos “El que deliberada e ilegítimamente inutiliza, total o parcialmente, un sistema informático, impide el acceso a este, entorpece o imposibilita su funcionamiento o la prestación de sus servicios, será reprimido con pena privativa de libertad no menor de tres ni mayor de seis años y con ochenta a ciento veinte días-multa.” Por tanto Un hacker ético debe actuar bajo todos los términos de legalidad. Antes de poner en práctica sus conocimientos (auditorías de seguridad, pruebas de penetración, entre otros), para descubrir posibles fallos de debe contar con el consentimiento de la organización es decir debe existir un contrato donde se establece bajo que términos y condiciones se ha de llevar a cabo el trabajo. Iniciativas OWASP El proyecto abierto de seguridad en aplicaciones Web (OWASP por sus siglas en inglés) es una comunidad abierta dedicada a facultar a las organizaciones a desarrollar, adquirir y mantener aplicaciones que pueden ser confiables. https://www.owasp.org Capítulo OWASP Perú https://www.owasp.org/index.php?title=Peru&setlang=es

DragonJar Comunidad de investigadores, estudiantes, profesionales y entusiastas de la Seguridad Informática. http://comunidad.dragonjar.org/