En el poco tiempo que tengo relacionándome con las cuestiones de seguridad en la tecnología, me eh encontrado Con tres términos algo interesantes, que veo que en la industria no tienen ni la más mínima idea de que es lo que realmente hacen y en que les puede beneficiar, y creo que a muchos informáticos dedicados a estos temas también les queda algo de dudas al respecto, esto son: Las Auditorias de seguridad, las auditorias de vulnerabilidades, y los pentest.
Pero ¿En realidad son toda la misma cosa? Claro que no… cada una tiene un objetivo y se desarrollan con personas de diferentes habilidades, y conocimientos.
En este post, vamos a hablar un poco de las tres y cuáles son sus diferencias para cuando ofrezcan un servicio establezcan y definan bien con su cliente que es lo que vamos hacer y cuál será el procedimiento y el alcance que vamos a tomar.
Auditoria de Seguridad
Esta auditoria considero que debe ser la principal, de la cual partan todas las demás auditorias, ya que en esta parte es cuando se verifica el nivel de seguridad con el que cuenta la organización, en esta auditoria se enfocan particularmente en los empleados, los procesos diseñados y usados por la organización y la administración de seguridad; el auditor y la organización se basan en líneas establecidas para desarrollar procesos de seguridad dentro de una organización.
Los auditorios de seguridad generalmente se basan en auditorias manuales sobre gobiernos de IT las cuales pueden hacer referencia a NIST, Cobit, ISACA, ISO 27000, ASSET, entre otras.
Estas auditorías se pueden realizar de manera manual o automática, eso ya depende del auditor cual es la mejor manera de comprobar lo que está auditando.
Si se decide hacer la auditoria de manera manual el auditor estaría realizando:
Entrevistar al personal de la organización.
Revisar los permisos y controles de aplicaciones y sistemas operativos.
Revisar el acceso físico y lógico de los sistemas.
Si se decir hacer de manera automática el auditor estará realizando lo siguiente:
Realizar reportes de auditoria con herramientas de software.
Revisar los reportes con herramientas como CLS, IDEA, para relacionar entidades y buscar anomalías.
Una auditoria de seguridad evalúa un conjunto de información crítica, cuál es su tratamiento, y su almacenamiento, esto incluye evaluaciones sobre configuración de software y hardware, seguridad física, procesos de creación y tratamiento de la información, prácticas de los usuarios, y procedimientos establecidos por estándares, como, HIPPA, PCI, SOX, entre otros.
Auditoria de vulnerabilidades
Este tipo de auditoria nos ayuda a identificar brechas de seguridad que se puedan entrar presentando en sistemas informáticos y en la infraestructura.
Para realizar este tipo de prueba el auditor debe de ser muy profesional y tener conocimientos avanzados sobre riesgos para poder evaluar la criticidad de las vulnerabilidades que se han estado encontrando.
Mediante una evaluación adecuada se valora, cual es la probabilidad de amenaza de los hackers, ex empleados, empleados internos, etc, en la auditoria es cuando se revelan estás brechas de seguridad.
Esta evaluación nos ayuda a encontrar brechas de seguridad desconocidas con ayuda de herramientas para escaneo de vulnerabilidades con las cuales podemos encontrar dispositivos en distintos tipos de segmentos de red, enumerar sistemas operativos, dispositivos vivos en la red, y sus aplicaciones, estos sistemas son capaz de identificar el sistema operativo, su arquitectura, configuración, protocolos, puertos abiertos y hasta aplicaciones que están corriendo en los sistemas operativos.
Para comenzar a utilizar estas herramientas de escaneo de vulnerabilidades, podemos comenzar definiendo que es lo que se desea encontrar, pueden ser configuraciones erróneas, carpetas sin permisos, configuraciones de seguridad débiles, computadoras expuestas entre otras cosas.
Al final del escaneo generalmente los sistemas para detección de vulnerabilidades nos entregan un reporte, en el cual podemos ver la severidad de las fallas basándose en el Common Vulnerability and Exposures (CVE) dependiendo de cada fabricante esto se presentara a su manera.
El CVE es un repositorio donde se almacenan reportes de vulnerabilidades para mantener la seguridad de nuestros sistemas, este sistema es abierto y todos pueden hacer uso de sus recursos. (http://cve.mitre.org)
Pentest o Hacking Etico
Las auditorias de pentest o hacking ético, son las pruebas realizadas por un experto, que trata de simular un ataque directo a la organización, esto ayuda a las organizaciones a determinar cuál es el nivel de seguridad en el que se encuentran y realizar planes de contingencia sobre ataques internos y externos, validar cual serían las repercusiones de esos ataques y elaborar un plan de contingencia.
En el contexto de Pentest, el auditor puede ser limitado a tiempo, recursos, acceso a los equipos, desconocimiento de la infraestructura, etc, esto para garantizar que las brechas de seguridad que encuentre sean basadas de la manera más real posible, esto para garantizar que las brechas de seguridad que el experto este analizando sean parcheadas y reducir el área de ataque lo más corto posible.
El auditor trabaja con la misma metodología con la que trabajaría un atacante, se vale de accesos no autorizados a la organización, a las redes y los sistemas para comprometerlos, para esto se vale de herramientas que el mismo desarrolla, o que utiliza de terceros, también realiza pruebas manuales para llegar a sistemas específicos donde pueda encontrar defectos para poder obtener acceso y no pueda ser identificado.
Para llevar a cabo esta técnica se llevan evaluando 5 pasos los cuales son:
*- Footprinting o Reconocimiento, el cual es de los pasos más importantes ya que en esta parte es donde los pentest se detienen a observar e identificar la información que están obteniendo, para de esa manera trazar vectores de ataque exitosos hacia los sistemas auditados.
*- Escaneo: En este punto el auditor ya realiza análisis con la información del individuo y con esto obtiene información acerca de las vulnerabilidades y los puntos donde puede penetrar como: detalles del sistema operativo, los host accesibles o algún puerto abierto.
*- Enumeración: en esta etapa realizamos pruebas directamente con los equipos, para obtener información crítica como nombres, IP, usuarios, grupos, direcciones MAC, políticas de seguridad en los equipos.
*- Explotación: bien el auditor ya tiene todo lo necesario para realizar los ataques controlados a los distintos objetivos, es en esta fase donde se ponen los planes en marcha y explotan los sistemas pero de manera controlada para obtener evidencia sobre las acciones tomadas.
*-Reporte: Ya que termino todo el proceso el auditor realiza un informe, en el cual explica de manera técnica y de manera directiva cuales son los riesgos, cuáles fueron los métodos que realizo y cuáles son las soluciones recomendadas por el experto para parchar el hueco de seguridad.
Suena ve divertido no creen? Y créanme que lo es, pero hay que tener demasiada paciencia para poder estar horas y horas analizando una brecha de seguridad y saber identificar entre un falso/positivo o un honeypot, para no desperdiciar nuestro valioso tiempo atacando algo que está ahí para atraparnos como moscas.
Bueno espero que les guste este post, y lo compartan para que más personas puedan leer este contenido si les pareció interesante.
Síganos en nuestras redes sociales:
https://www.facebook.com/SeguridadInformaticaComunidad/