Activismo/hacktivismo
Anonymous
Surge en 2008 y se manifiesta en acciones de protesta a favor de la libertad de expresion, de la independencia de internet y en contra de diversas organizaciones, entre ellas scientology
no tiene lideres, ni tampoco instancias controladotas; se basa en fuerza colectiva de sus colaboradores y de la ventaja de difundir informacion de manera rapida por internet
Comunicacion
La comunicacion, que es el acto de relacion
entre dos o mas personas, el cual buscan un fin comun y compartir experiencias similares que evoquen en lo que sea que tengan en comun
Pishing
Es un ataque por medio de engaños
Pueden ser ataques rusticos o refinados
Sniffers/Scanners
Capturador de trafico de red, codifica lo capturado
tambien se usa para saber como funcionan redes
Backdoor
Metodo para eludir procedimientos
habituales de autenticacion
Puede instalarse malware
Para instalar backdoor, los crackers usan troyanos
E-Mail Hacking
Spam, malware
Malware/Hackers
Daña computadoras
Virus, Troyanos, Spyware
Conocer la vulnerabilidad de los Sistemas de Informacion
Reduccion de riesgos
Hacking
Google Hacking
Hacer sus propias pruebas y determinar el grado de inseguridad del sitio web o dispositivo.
Informese acerca de la técnica
Resultados de búsqueda
Documentos que contienen firmas
Accesos a cámaras IP e impresoras
Documentos PDF confidenciales
Fotos de instalaciones
Directorios sin protección
Páginas con formularios de
validación
Mensajes de error de cofiguración
de servidores
Simples ficheros del sitio web
Google
Operadores avanzados
filetype
Busca archivos del tipo especificado en el criterio
intitle
Busca el criterio especificado en el título de la página y no en el contenido
inurl
Busca el criterio específico en la URL y no en el contenido de la página
site
Limita la búsqueda a un dominio específico
Todos los dispositivos a los que se tenga acceso
desde él son sucetibles de monitorización y/o acceso
Indexa todo lo que encuentra
Páginas de configuración
de cámaras IP
Archivos de texto con
usuarios y contraseñas
Páginas de error
de validación
Se basa en footprint
Utiliza
Buscadores Web
Ingeniería Social
Información del directorio
telefónico
Basura
Documentacion escrita
Software de Sniffing
Fines
Detectar vulnerabilidades
Analizar la información obtenida
Obtener la mayor cantidad de información de
un objetivo específico
Test de denegacion de Servicio (DoS)
Refleja el estado de solidez de un servicio.
Se da un informe final de sus resultados obtenidos y una descripcion de las situaciones definidas
H.E. VoIP
Sufre de ataques multiples como robo de
servicio, interceptacion de comunicaciones
al modificar nuestras redes de datos
H.E. Sistema de Comunicaciones
Se analiza la seguridad
de las comunicaciones para
estudiar las posibilidades de
intercepciones
H.E. Apliaciones Web
Se simulan los intentos
de ataque reales a las
vulnerabilidades de
aplicaciones determinadas.
No se entrega codigo fuente
H.E. Interno
Subtema
H.E. Externo Caja Negra
Es lo mismo que caja blanca,
pero no se nos
facilita informacion inicial
H.E. Externo Caja Blanca
Nos facilitan la informacion para
poder realizar la intrucion,
se analizan las brechas de seguridad
El caso WhatsApp
Legislacion
Se a podido añadir a la legislacion vigente como pruebas ñas conversaciones que se tiene atraves de esta aplicacion , lo cual ayuda a resolver mas rapido cualquier caso criminal en que la aplicacion este involuvrada.
En julio de 2011 la audiencia provincial de las palmas ratifica una sentencia por injurias basada en parte en conversaciones de whats app
En junio del 2014 un juzgado de Pontevedra condena a un hombre que difundio por whatsapp todos los controles de carretera de rdia Civil.
En el año del 2014 en el mes de febrero la aplicacion se involucra en un caso de trafico de drogas en el cual las conversacion se toman como prueba
Dilema con su seguridad
Ingenieros expertos en ciberseguridad han podido desifrar el codigo de esta aplicacion y han realizado algunas pruebas en las que han podido enviar ,esajes como si fueran otra persona
Modalidades de hacking etico
Hacktivismo
Movimientos
Atraves de redes sociales y otro medios electronicos se concientiza ala gente y se trata de involucrarklas en sus moviemientos , como es el caso de mexico con el EZLN.
Ejemplos
Anonymus
Surgidos del imageboard 4chan, en un comienzo como un movimiento por diversión, desde el 2008 Anonymous se manifiesta en acciones de protesta a favor de la libertad de expresión, de la independencia de Internet y en contra de diversas organizaciones, entre ellas, Scientology, servicios públicos, consorcios con presencia global y sociedades de derechos de autor
Se entiende normalmente "la utilización no-violenta de herramientas digitales ilegales o legalmente ambiguas persiguiendo fines políticos. Estas herramientas incluyen desfiguraciones de webs, redirecciones, ataques de denegación de servicio, robo de información, parodias de sitios web, sustituciones virtuales, sabotajes virtuales y desarrollo de software"
White Hats / Black Hats
Terminología
Crackers
Robar, Destruir o
Eliminar Información.
Roza los límites
de la legalidad.
Piratas Informáticos
Solo pinchan el ícono de copiar
disco y lo venden.
Bucaneros
Comerciantes.
Vender los productos
crackeados.
Programador
Voodoo
Toma técnicas o tips de
libros sin entender como
funcionan.
Wizard
Reparan un sistema
rápidamente en casos
de emergencia.
Gurú
Enseñan a futuros hackers.
Amplia experiencia sobre
sistemas informáticos o
electrónicos.
Sneaker
Irrumpen en un sistema para
probar su seguridad.
Copyhackers
No tiene escrúpulos en
copiar ideas de otros
y venderlas.
Newbie
Un novato.
No hace nada
y aprende lentamente.
Lammer o
Script-Kiddies
Un incompetente.
Falta de madurez, sociabilidad
y habilidades técnicas o
inteligencia.
Wannabe
No son reconocidos debido a
que están empezando.
Phreaker
Conocimientos amplios en
teléfonos modulares y
teléfonos móviles.
Samurái
Investigar fallos de
seguridad.
Que es ?
Es un tipo de software que tiene como objetivo infiltrarse o dañar una computadora o sistema de información sin el consentimiento de su propietario
Malware
Se dividen en
Virus
Es un malware que tiene por objetivo alterar el normal funcionamiento del ordenador, sin el permiso o el conocimiento del usuario. Los virus, habitualmente, reemplazan archivos ejecutables por otros infectados con el código de este
Troyanos
Software malicioso que se presenta al usuario como un programa aparentemente legítimo e inofensivo, pero que, al ejecutarlo, le brinda a un atacante acceso remoto al equipo infectado
Spyware
software que recopila información de un ordenador y después transmite esta información a una entidad externa sin el conocimiento o el consentimiento del propietario del ordenador
El malware y los Hackers
Test que refleja el grado de solidez o resistencia de un servicio ante la agresión de un atacante (local o remoto) que intente deshabilitarlo.
Denegacion de Servicios
Sistemas de Comunicaciones
Análisis de la seguridad de las comunicaciones (redes de datos, hardware de red, comunicaciones de voz, fraude en telecomunicaciones, etc.)
Aplicaciones WEB
Este es un tipo especial de Hacking en el cual se analiza de manera exhaustiva la seguridad de un Servidor Web con el ánimo de detectar vulnerabilidades no sólo a nivel del servicio web (httpd) sino también en la programación de los scripts (SQL injection, Cross Site Scripting, etc.).
Caja Negra
Este tipo de hacking se efectúa usualmente sobre la red perimetral o pública del cliente, con absoluto desconocimiento de la infraestructura informática del cliente, es decir que no nos proporcionan ninguna información sobre sus sistemas informáticos. El objetivo es emular un ataque externo, realizado por un pirata informático que no tiene relación con la empresa cliente.
Hacking Etico Externo Caja Blanca
Esta clase de hacking también se efectúa sobre la red privada del cliente, pero en esta ocasión se nos debe proporcionar un punto de red con direccionamiento IP válido y un listado de las direcciones IP de los equipos a analizar. La idea es simular un ataque perpetrado por un usuario interno autorizado.
Modalidades del Hacking Etico
Hackeado de Redes
Cómo evitarlo
Restringir booteo del sistema
desde discos extraíbles
Restringir privilegios de
usuario administrador
Evitar uso de HUB's
en la red
Segmentr redes:
-VLan
-Subneteo
Mantener activo firewall
del equipo
Migrarse a IPV6
Ataques
IP Flooding con
IP Spoofing e IP Smurf
-Afecta a equipos de red de capa 1
-Lentitud en sistemas y red
-Bloqueo de equipos terminales
-Todos los equipos de la red
como objetivo
-Mediante IP Broadcast
-Inunda la red con paquetes IP
-IP fuente aleatoria
IP Flooding con
IP Spoofing
-Objetivo Específico
-Inunda la red con paquetes IP
-IP fuentes aleatorias
-Utiliza suplantación de identidad
IP Flooding
Provoca:
-Lentitud en el sistema
-Bloqueo total
-Depende del SO instalado en la victima
-Objetivo específico
-Inunda la red con
paquetes IP
Herramientas
Hping3
Linux Backtrack 5 R3
Debido a inseguridad
del protocolo IPV4
Seguridad informática
Consejos para la empresa
con bajo presupuesto
Aplique las mejores prácticas
-ITIL
-COBIT
-ISO 27000
Capacite y capacitese
Los usuarios deben estar preparados
para identificar una posible amenaza
de seguridad
Ponga a prueba su
propia seguridad
-Evalúe periodicamente que tan segura
es su red
-Informése sobre las posibles y más comunes
amenazas de seguridad informática
Considere herramientas
gratuitas
-Antivirus
-Antispyware
-Parches de seguridad
Use lo que tiene
-Revise los recursos técnológicos
disponibles en su empresa
-Evite subutilizar dichos recursos
Protección de la infraestructura
computacional, así como la información
contenida y circulante en esta.
Hacker
Tipos
Biohackers
Acercamiento de la ciencia
a la ciudadanía.
"La actividad de explotación experimental
del material genético sin tener en cuenta
las normas éticas aceptadas, o con fines
delictivos".
Trabajadores del Gobierno
Se dedican al ciberespionaje
y a la inteligencia.
Buscan dañar enemigos
y robar secretos industriales
y federales.
Ciberdelicuentes
Pagados por el mejor
postros.
Buscan robar identidades
y datos financieros.
Altamente peligrosos.
Hacktivistas
Buscan mostrar la corrupción
y el mal social.
Hacking Ético
Secciones
Seguridad en las Tecnologías
de Internet
Pruebas de intrusión efectuadas
a las aplicaciones web.
- Logística de Controles
- Sondeo de Red
- Identificación de los Servicios de Sistemas
- Búsqueda de Información Competitiva
- Revisión de Privacidad
- Obtención de Documentos
- Búsqueda y Verificación de Vulnerabilidades
- Testeo de Aplicaciones de Internet
- Enrutamiento
- Testeo de Sistemas Confiados
- Testeo de Control de Acceso
- Testeo de Sistema de Detección de Intrusos
- Testeo de Medidas de Contingencia
- Descifrado de Contraseñas
- Testeo de Negación de Servicios
- Evaluación de Políticas de Seguridad
Seguridad del Resguardo
de Información
Almacenamiento adecuado de la
información, ligado con los controles
empleados para su seguridad.
Seguridad de los Procesos
Lograr acceso privilegiado a una
organización y sus activos mediante
la ayuda involuntaria del personal de
la información.
Seguridad Inalámbrica
Todas las comunicaciones
electrónicas, señales y
emanaciones que se
producen del conocido
espectro electromagnético.
- Verificación de Radiación Electromagnética (EMR)
- Verificación de Redes Inalámbricas 802.11
- Verificación de Redes Bluetooth
- Verificación de Dispositivos de Entrada Inalámbricos
- Verificación de Dispositivos Móviles Inalámbricos
- Verificación de Comunicaciones Sin Cable
- Verificación de Dispositivos de Vigilancia Inalámbricos
- Verificación de dispositivos de Transacción Inalámbricos
- Verificación de RFID
- Verificación de Sistemas Infrarrojos
Seguridad en las
Comunicaciones
Telecomunicaciones
(digitales y analógicas)
yredes de datos.
Seguridad Física
Pruebas de seguridad realizadas
a un medio físico y no electrónico.
- Revisión del Perímetro
- Revisión de Monitoreo
- Evaluación de Controles de Acceso
- Revisión de Respuestas de Alarmas
- Revisión de Ubicación
- Revisión de Entorno
¿Qué evalúa?
Se analizan tanto la red interna, como
Internet, aplicaciones expuestas, servidores,
puertos y avenidas de acceso.
Se analiza la red inalámbrica, de ésta se revisa
la configuración, se hace "sniffing" de tráfico y
contraseñas.
Objetivos
Explotar las vulnerabilidades
existentes en el sistema de
interés.
Etica
El comportamiento en el uso de la
tecnología informática.
Código de ética para todos los
usuarios de la informática.
La práctica de hackear sin tener
de por medio alguna intensión
maliciosa.
Conocido como una prueba
de intrusión o pentest.
Comprobar la existencia de
vulnerabilidades, se señalan los
errores de seguridad encontrados,
mitigarlos a la brevedad posible y
evitar fugas de información y
ataques informáticos.
En sí, una auditoría efectuada por
profesionales de seguridad de la
información.
Ambigüedad
Hack
Entra en conflicto con el
énfasis original.
Verbo para expresar
"Perder el Tiempo".
Controversia
(Hacking y Hacker)
Connotación Negativa
Una solución rápida pero poco
elegante a un problema
Connotación postiva
Demostrar admiracion por el trabajo
de un desarrollador de software
Ficha Técnica
Verbo
Verbo para expresar
"Perder el tiempo".
Motivación
El puro conocimiento
de una persona.
Curiosidad, paciencia
y creatividad.
Lugar de Trabajo
Trabajar para una empresa testando
las vulnerabilidades de aplicaciones
o para la policia trabajando como
"analista forense digital".
Experto en alguna disciplina relacionada
con la informática o las telecomunicaciones.
Análisis de vulnerabilidades
-Detectar problemas agrupables según el grado de peligro que impliquen
-Establecer acciones para ayudar a eliminar dichas vulnerabilidades
Definición
Herramienta que ayuda a buscar y eliminar
vulnerabilidades de seguridad de las aplicaciones
instaladas en el equipo y la configuración del sistema
operativo.
Fases del Pen Test
Penetration Test Interno
-Análisis de protocolos internos
-Autenticación de usuarios
-Verificación de servicios y recursos compartidos
-Test de los servidores principales
-Test de vulnerabilidad sobre a las aplicaciones propietarias
-Nivel de detección de la intrusión de los sistemas
-Análisis de la seguridad de las estaciones de trabajo
-Seguridad de la red
-Verificación de reglas de acceso
-Ataques de denegación de servicios
Hasta que punto puede llegar un atacante interno
siendo un usuario con privilegios bajos
Dentro de la propia red
Demostrar nivel de seguridad interno
Penetration Test Externo
Pruebas
-Usuarios y fuerza de passwords
-Captura de tráfico
-Detección de conexiones externas
-Detección de protocolos utilizados
-Escaneo de puertos TCP, UDP, ICMP
-Intentos de acceso remoto
-Análisis de la seguridad de las conexiones
-Pruebas de vulnerabilidades existentes y conocidas
-Pruebas de ataques de denegación de servicios
Consiste en
-Penetrar la zona desmilitarizada (DMZ)
-Accededr a la red interna
Donde
Fuera del Firewall
Objetivo
-Acceso remoto a equipos
-Posicionarse como administrador
Hacking. Hacking ético, Hactivismo y Segurida empresarial
