Una de las mejores oportunidades de las empresas de conocer el estado de sus Sistemas de Información es la contratación de un Hacker Ético que, a través de un Test de Intrusión pueda determinar las vulnerabilidades que existen en el mismo. Efectuar este tipo de encargos a profesionales externos a la Organización hará que, de una manera objetiva, se pueda evidenciar los potenciales vectores de ataque de nuestros Sistemas.
«ethical hacker»
Plan de trabajo de un Hacker Ético
Un Hacker Ético utilizará las mismas herramientas que utilizaría un intruso pero con la diferencia de que, no dañará el sistema ni robará la información.
¿Qué deberá contener el contrato de hacking ético?
- La modalidad que vamos a utilizar
- Delimitación / acotar el área de trabajo
- Las herramientas que se empleen (con licencia las que lo precisen)
- Cláusulas de confidencialidad
- Duración del hacking
- Necesidad de reporte en informe
- Responsabilidades por daños
- Advertencias legales
¿Cuáles son algunas de las herramientas que utilizan al trabajar?
Google Dorks
Google Dorks puede descubrir información como direcciones de mail, listas de credenciales de acceso, archivos sensibles, vulnerabilidades de páginas web e incluso informaciones financieras. Podéis encontrar aquí un tutorial proporcionado por @s4vitar en el que se muestran las posibilidades que ofrece las búsquedas avanzadas de Google Dorks. También podéis consultar más posibilidades en securityhacklabs.net por @fredyavila y se puede consultar el listado de 2018 sobre los parámetros de búsqueda desde Google Dorks List 2018
The Harvester
Es una herramienta que sirve para analizar la información web que se encuentra pública y evitar así ataques de Ingeniería Social. Puedes verlo aquí.
Infoga
Muchas de las herramientas se encuentran en GitHub como es el caso de Infoga desarrollada en Python, nos ayuda a obtener información sobre correos electrónicos y en qué dirección física se alojan. Puedes ver cómo funciona la extracción de direcciones de correo electrónico de un sitio web usando Infoga en este post.
Maltego
Es la herramienta perfecta para la recopilación de información y el reconocimiento de datos mientras realiza el primer análisis del objetivo para el cual ha sido contratado el Hacker Ético. Recomendamos los artículos escritos por GONXo en el blog fwhbbit.es : Introducción y 2ª parte.
Según los trabajos que vayamos a encargarle al Hacker Ético, utilizará unas herramientas u otras:
Para analizar la Red:
Nmap (Mapa de Red) , Wireshark para analizar el tráfico de Red en tiempo real, de forma que, esnifando los paquetes de información los traduce en formato legible para identificar los potenciales problemas y vulnerabilidades. OpenVAS (es un scanner de open- source para identificar vulnerabilidades remotas.
Para SQL:
sqlmap es una excelente herramienta de ciberseguridad escrita en Python que ayuda a los profesionales a lanzar pruebas de inyección de código SQL contra hosts remotos.
SQLNinja, herramienta escrita en Perl, está dedicada a segmentar y explotar las aplicaciones web que usa MS SQL Server como el servidor de bases de datos back-end.
AirCrack-ng es una herramienta de seguridad Wifi de las que más prestigio tienen entre los investigadores. Se aplica tanto a investigaciones de seguridad domésticas como corporativas. Su funcionamiento tiene su base en la captación de paquetes de red que son analizados y utilizados para el crackeo del acceso WiFi. Una alternativa a AriCrack-ng es la herramienta Reaver que utiliza técnicas de ataque de fuerza bruta para romper configuraciones protegidas de WiFi aprovechando vulnerabilidades.
Redes remotas
Canvas es una alternativa a la herramienta Metasploit que ofrece más de 800 exploits para probar en redes remotas.
El informe de Hacker Ético
Efectuará una descripción del encargo y las herramientas que haya utilizado, así como los límites que haya alcanzado. El hallazgo casual de vulnerabilidades, no especificadas en la relación contractual, debería ponerse de manifiesto a fin de preservar los Sistemas del cliente frente a ataques externos.
Responsabilidades mutuas
El cliente será responsable de facilitar toda la información necesaria para la realización del trabajo contratado. Facilitará los accesos a todos los Sistemas cuando así sea necesario para el buen desarrollo del trabajo contratado. Muchas veces las empresas, con la finalidad de proteger la información sensible de la Organización, limita el acceso del Hacker Ético sólo a determinada parte del Sistema. Un acceso limitado, producirá un informe sesgado y no responderá al 100% de la realidad. En caso de darse esta situación, el Hacker Ético deberá hacerlo constar así en su Informe Final a fin de exonerarse de futuras responsabilidades.
En caso del Hacker Ético, en caso de reservarse para sí información de accesos y vulnerabilidades para ser explotados en un futuro, asumirá responsabilidades tanto penales como civiles por los daños causados. En caso de trabajar para una Organización no evitará sus responsabilidades penales ni civiles, sino que, además podría repercutir en responsabilidades penales para su propio empleador. (artículo 31 bis del Código Penal).
