Seguridad Informática
Auditoría de Vulnerabilidades y Test de Penetración
Como parte de la Consultaría en Seguridad antes descrita, o como un servicio independiente, Urudata posee las habilidades y herramientas necesarias para llevar adelante Auditorias de vulnerabilidades y Tests de penetración en las organizaciones (tanto pequeñas y medianas, como grandes).
El objetivo fundamental del Test de Intrusión es detectar el grado de vulnerabilidad de los sistemas del cliente frente a ataques externos y evaluar su capacidad de detección frente a estos ataques. De esta forma, es posible evaluar el riesgo al que se enfrentan sus sistemas conectados a Internet y las posibilidades reales de acceder, interceptar y modificar la información crítica de su empresa.
El Consultor en Seguridad de Urudata, utilizando un conjunto de técnicas y herramientas conocidas, podrá simular un ataque que le permitirá saber si su negocio está preparado para detectarlo y responder a tiempo. Estas herramientas serán las mismas que dispone actualmente un hacker, muchas de las cuales se encuentran disponibles en Internet de forma gratuita.
Dentro del test se realizarán intentos de intrusión sobre cualquier máquina que pueda ser accesible, bien directamente o a través de otros equipos.
Asimismo, se analizará el nivel de seguridad que presentan las defensas actuales (routers, firewalls, IDS, IPS, etc.).
Beneficios
Entre los beneficios directos del presente servicio, podemos destacar:
* Descubre nuevas vulnerabilidades como resultado de cambios en la configuración.
* Detecta la falta de actualizaciones en los sistemas y aplicaciones.
* Previene de configuraciones incorrectas de routers, firewalls (conjuntos de reglas erróneas).
* Comprueba el nivel de protección frente a la política de seguridad actual.
* Localiza las vulnerabilidades antes de que los hackers lo hagan.
Alcance del servicio
El Test de Intrusión se centra en evaluar la seguridad de los sistemas de protección perimetral de una empresa así como los diferentes sistemas que están accesibles desde Internet (routers exteriores, firewall exterior, servidores web, de correo, etc.), intentando penetrar en ellos, y de esta forma alcanzar zonas de la red de una empresa como puede ser la red interna o la DMZ.
La definición exacta en cuanto a la cantidad de servidores y/o dispositivos a ser auditados, los horarios y tiempos de realización, entre otros aspectos, se definirán en función de las necesidades del cliente.
Como resultado del Test de Intrusión, se obtiene un informe que describe el estado actual de vulnerabilidad, tanto interna como externa, de los sistemas testeados.
El mismo incluirá todas las actividades realizadas, las vulnerabilidades y problemas de seguridad detectados y las soluciones a implementar para la corrección de los mismos.
Características del Servicio
El cliente no proporciona información sobre la estructura de sus sistemas. Es el equipo de seguridad que realiza la auditoría el que debe obtener esta información. De esta forma, los Test de Intrusión son más objetivos y siguen las mismas pautas que si un hacker estuviese intentando atacar los sistemas de la empresa.
Durante el transcurso de los trabajos se sigue la metodología OpenSource OSSTMM.
El Test de Intrusión (Ethical Hacking) se lleva a cabo de forma remota desde las instalaciones de Urudata y se utilizan las mismas técnicas y herramientas que los hackers.
Algunos de los aspectos evaluados son:
* Detección de conexiones externas y obtención de rangos de direcciones en Internet.
* Análisis de la red del cliente con el objetivo de obtener un mapa detallado de la misma.
* Detección de protocolos y escaneo de puertos TCP, UDP e ICMP.
* Análisis de las posibles vías de entrada a las máquinas contratadas identificando las características y servicios de las mismas.
* Determinación de las deficiencias de seguridad que existen en los sistemas analizados a través del análisis de vulnerabilidades
* Análisis de la seguridad de las conexiones con proveedores o entidades externas a la Organización.
* Se intentan obtener cuentas de usuarios (login y password) del sistema analizado a través de herramientas automáticas utilizadas por los hackers. Se utilizan passwords por defecto del sistema, ataques por fuerza bruta, diccionarios de passwords, etc.
* Recopilación de la mayor cantidad de información susceptible de ser utilizada para romper cualquiera de las protecciones de las que pudiera disponer la empresa, utilizando toda la información que se encuentre accesible desde Internet: web corporativa y de los empleados, grupos de noticias, bases de datos de búsqueda de trabajo, etc.
* Prueba de ataques de denegación de servicio (opcional y a coordinar con el cliente).
* Análisis de los IDS con la finalidad de estudiar su reacción al recibir múltiples y variados ataques. Análisis de los logs del IDS (en caso de que existan).
* Análisis de vulnerabilidades de la red Wireless, a través de la revisión de la configuración actual de loa Access Point de la organización.
Análisis de Vulnerabilidades a nivel de aplicación
El aumento de focalización por parte de las empresas desarrolladoras de Software en la mejora de la calidad de sus aplicaciones, las innovaciones constantes en la administración de sistemas -incluyendo Patch Management- que permita configuraciones seguras y sistemas actualizados y la disponibilidad de herramientas cada vez más propagadas para realizar ataques (Navegador Web), han cambiado la visión de las vulnerabilidades en los sistemas informáticos. Estas principales tendencias están convergiendo en que las vulnerabilidades de aplicación (o de capan 7) se encuentran en franco crecimiento, proporcionándole a los hackers con un camino menos resistente para dañar sistemas y robar información. Las aplicaciones Web son actualmente el principal objetivo para este tipo de amenazas. No es suficiente el mantener al día las actualizaciones de los sistemas y auditarlos periódicamente en búsqueda de vulnerabilidades estáticas. Esto es parte del proceso, pero solo realizando análisis de vulnerabilidades personalizados específicamente para esta amenaza (Capa 7), se podrá asegurar que los servidores Web son inmunes a estos riesgos. Por tanto es necesario realizar un análisis de vulnerabilidades a nivel de aplicación, utilizando herramientas especializadas de forma tal de poder indicarle a los desarrolladores de la organización, las porciones de código fuente de la aplicación Web que al momento son pasibles de ataques como ser SQL Injection, Session Hijacking, etc.
Principales marcas:
* ISC2 (CISSP)
* Symantec
* Cisco
* Fortinet