Ethical Hacking - Introducción a la Metodología de Ataque Clase Demostrativa

1. Metodología de Ataques
Autor: Luis David Narváez
Máster en Seguridad Informática
Clase Demostrativa
REDES SEGURAS Y COMUNICACIÓN DE DATOS

2. Temática
• Introducción
• Tipos de ataques
• Metodología
• Escenario
• Conclusiones
Metodología de Ataques 2

3. La Realidad
Paradigma
Acceso a los servicios de Internet por medio de redes
cableadas e inalámbricas en las diferentes organizaciones
Metodología de Ataques 3
Introducción

4. La Realidad
Hacking
Búsqueda permanente de
conocimientos en todo lo
relacionado con sistemas
informáticos, sus mecanismos
de seguridad, las
vulnerabilidades de los
mismos, la forma de
aprovechar estas
vulnerabilidades y los
mecanismos de protección.
Metodología de Ataques 4
Introducción

5. La Realidad
Organizaciones - Ciberterrorismo
Metodología de Ataques 5
Introducción

6. La Realidad
Organizaciones - Ciberterrorismo
Metodología de Ataques 6
Introducción

7. La Realidad
Ethical Hacking
Proceso consistente en pruebas
de penetración y en otras
metodologías para detectar
vulnerabilidades y mejorar la
seguridad de los sistemas de
comunicación e información de
una organización, sin causar
daño.
Metodología de Ataques 7
Introducción

8. La Realidad
Triángulo de seguridad
Metodología de Ataques 8
Introducción

9. La Realidad
Acceso no autorizado
• Credenciales  Portal cautivo.
• Escalada de privilegios  Robo, fraude.
Metodología de Ataques 9
Introducción

10. Tipos de ataques
Metodología de Ataques 10
Tipos de ataques

11. Tipos de ataques
Metodología de Ataques 11
Ataque pasivo:
Observación y análisis de tráfico
Tipos de ataques

12. Tipos de ataques
Metodología de Ataques 12
Ataque pasivo:
WhatsApp Man-in-the-middle (MITM)
Solución:
Cifrado WhatsApp end-to-end (E2E)
Sniffing
Tipos de ataques

13. Tipos de ataques
Metodología de Ataques 13
Ataque activo:
Suplantación de identidad Tipos de ataques

14. Tipos de ataques
Metodología de Ataques 14
Ataque activo: Web Spoofing
Obtener detalles privados, tarjeta de crédito o su número de seguro
social o identidad Tipos de ataques

15. Tipos de ataques
Metodología de Ataques 15
Ataque activo:
Repetición mediante reenvío de mensajes
Tipos de ataques

16. Tipos de ataques
Metodología de Ataques 16
Ataque activo - repetición:
Usted crea una transacción que dice "enviar 3 monedas de su
billetera a la dirección Y" Tipos de ataques

17. Tipos de ataques
Metodología de Ataques 17
Ataque activo - repetición:
Pero en algún momento, alguien ve sus datos de transacciones, los
copia y los vuelve a cargar en la red BT1

18. Tipos de ataques
Metodología de Ataques 18
Ataque activo:
Modificación de mensajes Tipos de ataques

19. Tipos de ataques
Metodología de Ataques 19
Ataque activo:
RANSOMWARE, Cifrado de datos Tipos de ataques

20. Tipos de ataques
Metodología de Ataques 20
Ataque activo:
Denegación de servicios Tipos de ataques

21. Tipos de ataques
Metodología de Ataques 21
Ataque activo:
DDoS – Servidores de juegos o de acceso masivo
– recibir varios correos
electrónicos no deseado
– experimentar dificultades
para acceder a sitios web
al navegar en línea
– desconexión constante
del servicio de Internet
– problemas para acceder
a archivos locales y
remotos
Tipos de ataques

22. Metodología
¿Por qué una Metodología ?
Una adecuada metodología de test de penetración,
posibilitará al Departamento de Seguridad en Redes
de cualquier institución, la detección oportuna y
anticipada de las vulnerabilidades de una red. De
esta forma establecer las estrategias necesarias para
disminuir el riesgo de sufrir ataques por parte de
cualquier persona con malas intenciones.
Metodología de Ataques 22
Metodología

23. Metodología
OWITest
Open Wireless Test
Procesos de mejora de la seguridad
ofensiva de la red (Wireless)
• Detección de vulnerabilidades.
• Disminución del riesgo  Ataques
Metodología de Ataques 23
Metodología

24. Etapas
• Fundamentación: OWISAM, OSSTMM y
OWASP.
• Objetivo: Atacar para prevenir.
• Identificación: Requisitos y necesidades
(PUCESI).
• Desarrollo: Metodología del test de penetración.
Metodología de Ataques 24
Metodología

25. Fundamentación
OWISAM (Open Wireless Security Assessment
Methodology)  Controles de verficación técnica.
Metodología de Ataques 25
Descubrimiento – Fingerprinting – Cifrado - Evaluaciones
Metodología

26. Fundamentación
OSSTMM (Open Source Security Testing
Methodology Manual),  Flujo del proceso
Metodología de Ataques 26
Fases: Inducción – Interacción – Investigación - Intervención
Metodología

27. Fundamentación
OWASP (Open Web Application Security Project)
Listado de vulnerabilidades
Metodología de Ataques 27
OWASP Top Ten
Injection attacksMetodología

28. Identificación
Metodología de Ataques 28
Metodología

29. Identificación
Metodología de Ataques 29
Portal cautivo
Credenciales
Metodología

30. Identificación
Metodología de Ataques 30
EduroamMetodología

31. Desarrollo - OWITest
Metodología de Ataques 31
Simplicidad – Fácil adaptación
Metodología

32. OWITest - FASE 1
Metodología de Ataques 32
Metodología

33. OWITest - FASE 1
Metodología de Ataques 33
FASE 1: Acuerdos y planificación del test (cont.)
Metodología

34. OWITest - FASE 2
Metodología de Ataques 34
Metodología

35. OWITest - FASE 2
Metodología de Ataques 35
FASE 2: Análisis y explotación de vulnerabilidades(cont.)

36. OWITest - FASE 2
Metodología de Ataques 36

37. OWITest - FASE 2
Metodología de Ataques 37

38. OWITest - FASE 3
Metodología de Ataques 38

39. OWITest - FASE 3
Metodología de Ataques 39
Metodología

40. Escenario de prueba
Metodología de Ataques 40
Escenario

41. Conclusiones
Metodología de test de penetración para redes inalámbricas en campus universitarios 41
• Fase crítica  Ataque.
• Ejecución  Documentación.

42. Metodología de test de penetración para redes inalámbricas en campus universitarios 42
Qué tanto entendiste?
Link - Test

43. Metodología de test de penetración para redes inalámbricas en campus universitarios 43
MUCHAS
GRACIAS
““Si Ud. piensa que la tecnología puede resolver
sus problemas de seguridad, entonces Ud. no
entiende los problemas de seguridad y tampoco
entiende la tecnología” SCHNEIER
Autor: Luis David Narváez
Máster en Seguridad Informática