Facultad de Ciencias Económicas, Administrativas y Contables

Auditoría de Sistemas de Información I CF-221

Catedrático:
Lic. Ricardo Antonio Casco Briseño

Sección: 1900

Integrantes Grupo “J”

Aurora Yamileth Maradiaga Perdomo 9817237

Melsi Soraya Martinez Auceda 20131015478
Olga Johana Gálvez Matute 20161032859
Keren Ediksa Villeda Santos 20172000796

Ciudad Universitaria, 27 de Julio del año 2021

 HACKEO ÉTICO

ANÁLISIS
DE
VULNERABILIDADES
 HACKEO
Hace referencia a la explotación de las vulnerabilidades de un sistema, comprometiendo el control de las seguridades para
ganar acceso inapropiado o no autorizado sobre los recursos del sistema. Este involucra la modificación de las
características de los sistemas o aplicaciones para lograr una meta o propósito diferente a la del creador.

HACKEO ETICO
Se refiere al uso de herramientas de hackeo, trucos y técnicas para identificar las
vulnerabilidades que posee un sistema de información. El hackeo ético se enfoca
principalmente en el uso de la simulación de ataques para verificar la existencia de
vulnerabilidades explotables en un sistema de información.

La seguridad informática, ha pasado de ser considerada un gasto, a ser vista como una
inversión por parte de los directivos de las empresas y organizaciones a nivel mundial,
hemos convergido todos en un mundo digital en el que la información es el activo
intangible más valioso con el que contamos. Y al ser un activo, debemos protegerlo de
posibles pérdidas, robos, mal uso, etc., Es aquí en donde juega un papel preponderante
un actor antes desconocido: El Hacker Ético.
 HACKER HACKER ETICO
Es una persona que de manera ilegal se
infiltra en un sistema o red sin alguna
autorización para destruir, robar datos El rol del Hacker Ético es efectuar desde el punto de vista de un cracker, un ataque
sensibles o realizar ataques maliciosos controlado hacia la infraestructura informática de un cliente, detectando vulnerabilidades
potenciales y explotando aquellas que le permitan penetrar las defensas de la red
objetivo, pero sin poner en riesgo los servicios y sistemas auditados. Todo esto con el solo
propósito de alertar a la organización contratante de los riesgos de seguridad informática
presentes y cómo remediarlos.

Hablar de Hacker Etico, es hablar de la necesidad de un servicio profesional capacitado,

para detectar, controlar o corregir, los riesgos o vulnerabilidades que se pueden convertir
en amenazas peligrosas para el sistema operativo. De esta manera, se puede evaluar, con
certeza, las condiciones de seguridad de la organización, y de haber agujeros en el
sistema, se podrían descubrir y solucionar de forma preventiva.

Desde los años noventa, varios especialistas en seguridad informática fueron estudiando
y practicando metodologías de intrusión en sus trabajos, laboratorios o casas y es así que
empezaron a ofrecer a las instituciones un servicio a modo de proveedores externos o
contratados.
HACKING ETICO

Es una rama de la seguridad tecnológica dirigida a prevenir,

erradicar, estabilizar y contratacar vulnerabilidades de software o
de hardware. Para ello se debe contar con los conocimientos
necesarios en redes, administración de servidores y sus
respectivos servicios, que más adelante se presentarán. Hacking
ético es cuando una persona utiliza sus conocimientos de
informática para encontrar fallos, huecos o vulnerabilidades.
 Objetivos y Ventajas del HACKING ETICO

Preparar a una empresa para ser evaluada,

permitiendo que sea accedida para Permite conocer las vulnerabilidades para la
detectar ataques y fortalecer la seguridad toma de los respectivos correctivos, antes
de sus sistemas. de ser víctimas de un posible ataque.

Acceder a los equipos de la organización

con el correspondiente consentimiento de Ahorro de costos y tiempo previniendo
sus perdidas de información que pueden
propietarios. ocasionar
gastos en la inversión de una empresa.
Detectar vulnerabilidades y debilidades en
la infraestructura de las tecnologías de una
compañía. Proporciona el mantenimiento de la
imagen de una entidad dando la confianza
Elaborar informes de la problemática a los clientes.
existente en la detección de falencias.

Facilita una mejor protección a los sistemas

de información de una compañía.
 FASES DEL HACKEO ÉTICO
Esta fase se realiza una
Radica en tomar la vez que finaliza con éxito
información que se la etapa de obtener
descubrió en la fase acceso del sistema que
de reconocimiento se vulnero, lo
y se utiliza para importante de esta fase
examinar la red. en mantener el acceso al
sistema.
1. 3. Obtener 5. Presentar
Reconocimiento Acceso Informe

2. Escaneo 4. Escribir
Implica la Informe En este estado se trata
En esta fase ya tiene
recopilación de de destruir cualquier tipo
acceso real al sitio,
información de de evidencia
el ataque ahora es
alguna compañía, manteniendo el acceso al
explotado y se
se puede realizar sistema que se
obtiene el acceso al
sin el encuentra
sistema destinado.
consentimiento de comprometido evitando
la misma. ser detectado.
 Herramientas utilizadas en las fases del
HACKEO ETICO
1. Reconocimiento 2. Escaneo 3. Obtener Acceso 4. Escribir Informe 5. Presentar Informe
Explotación:
• LAN (Local Área Network) En este ciclo se
• Escaneo de puertos.
• Internet pueden lanzar Técnicas para Ocultamiento
Las herramientas • Escáner de ICMP de huellas:
que se utilizan son • Offline (sin estar conectado) nuevos ataques y
(Protocolo de vulnerando otros • Tunneling
los sniffing que son mensajes de control • ELSave
fáciles de usar y sistemas que se
de internet) Técnicas: pretenda atacar • Steganography
generan la • Barrido de Ping • DoS (Denial of Service) • RootKits
información valiosa • DDoS (Distributed Denial of Service) sean estos que se
• Barrido de SNMP
• Password Cracking (Romper o adivinar claves encuentren dentro • Navegación Anónima:
que se necesita. • Mapeadores de red VPN, Tor, Praxys
Usando métodos como: Brute Force Attack o o fuera de la red.
Dictionary Attack) Anónimos
• Buffer Overflows (Desbordamiento de • Eliminación de todas
buffer)
• Sesión Hijacking (Secuestro de sesión) las cuentas de usuario
• Ataques Man-in-the-middle. que se creó.
Ataques: • Eliminar todos los
• Aplicaciones web registros donde se
• Sistema Operativo
• Aplicativos de escritorio obtuvo el acceso.
• Se puede aprovechar de configuraciones mal
configuradas o por defecto
• Nivel de destrezas que puede poseer
ingenieros, profesionales de seguridad
informática.
 Tipos de Modalidades del
HACKING ÉTICO HACKING
Hacking Ético Externo:
Dependiendo de la información
Es el que actúa directamente
que el cliente provea al consultor,
desde el internet a una red
el servicio de hacking ético se
pública; son los equipos que
puede ejecutar en una de tres
se encuentran expuestos a
modalidades:
internet, brindando sus
servicios de manera abierta.
 black-box hacking,
Por ejemplo: servidor web,
 gray-box-hacking o
firewall, etc.
 whitebox-hacking.

La modalidad escogida afectará el

Hacking Ético Externo: costo y la duración de las pruebas
Este se efectúa desde una red de intrusión, puesto que, a menor
interna, permitiendo que se información recibida, mayor el
evalúe el estado actual de la tiempo invertido en investigar por
seguridad de una empresa. parte del auditor
 HACKING Wardriving:

ADICIONAL
 Técnica de detección la cual hace
parte del llamado grupo de
amenazas y ataques que

consultor o deES
Dependiendo de la experiencia del puede sufrir una red inalámbrica.
la empresa auditora, Se hace utilizando un vehículo en
pueden incluirse adicionalmente movimiento y un ordenador
con el servicio de hacking ético equipado con Wi-Fi para detectar
externo o interno, los siguientes: las redes.

 Ingeniería social
 War dialing Equipo Robado y Seguridad Física.
 Wardriving  El objetivo es comprobar si la
 Equipo robado y seguridad física. War dialing: organización ha tomado las
medidas necesarias para
 Técnica que consistía en hacer precautelar la información
Ingeniería social: llamadas a una serie de números confidencial contenida en los
de teléfono automáticamente equipos portátiles de los
 Obtención de información a con el fin de encontrar módems ejecutivos clave en caso de hurto
través de la manipulación de las conectados y permitiendo la o robo.
personas. conexión con algún otro
ordenador.
¿Por qué contratar el servicio de Hacking Etico?
Una de las razones es la de potenciar las
capacidades de la seguridad informática dentro de
una transacción; esto debe llevarse a cabo por un
equipo profesional especializado con el propósito
de identificar las fallas existentes.

¿El Hacking Ético es legal?

El hacking es legal siempre que pongamos a
prueba nuestros sistemas con la intención de
protegernos de los ataques latentes.

¿Por qué el hacking ético es un recurso

fundamental para una pyme?
Por que es primordial resguardar el mayor activo
de una compañía que es su información, es de
gran importancia que los datos estén asegurados
más aún que los métodos para vulnerarlos son
cada vez más letales; incluso llega hasta la
destrucción.
PRÁCTICAS PARA DISMINUIR RIESGOS

 A continuación, detallamos
algunas:

 Activar un firewall.

 Capacitar al personal de la empresa

acerca de la seguridad de la
información.

 Efectuar pruebas para descubrir

amenazas y vulnerabilidades en los
sistemas.

 Elaborar planes de contingencia

sobre futuros que puedan suceder.

 Realizar de manera constante copias

de seguridad a los datos.
 ANÁLISIS

DE

VULNERABILIDADES
VULNERABILIDAD
De una manera muy general es un fallo en un sistema que puede ser
explotada por un atacante generando un riesgo para la organización o
para el mismo sistema.

Existen dos tipos de vulnerabilidades y que se mencionan a

continuación:

Vulnerabilidades lógicas

Son las que van a afectar directamente la infraestructura y el desarrollo

de la operación de estos (configuración, actualización, desarrollo).

Vulnerabilidades físicas

Las vulnerabilidades físicas son las que van a afectar a la infraestructura

de la organización de manera física (desastres naturales, sismos,
inundaciones, los controles de acceso).
TIPO DE VULNERABILIDADES

Existen algunos tipos de vulnerabilidades que son

mecanismos aprovechados por los atacantes para infectar
una red o robar información.

Entre los cuales se puede mencionar a los siguientes tipos:

 Desbordamiento de buffer:

 Errores de configuración:

 Errores web:

 Errores de protocolo:
 VULNERABILIDADES
 Desbordamiento de buffer:
Ocurre cuando el programador no controla el espacio de memoria del programa.

 Errores de configuración:
Se puede mencionar, por ejemplo, los password por default, password débiles, usuarios con
demasiados privilegios e inclusive la utilización de protocolos de encriptación obsoletos

 Errores web:
Aquí simple y sencillamente se tiene errores de validación de input, Scripts inseguros, errores de
configuración de aplicaciones web, que a final cada uno de esos errores son los medios para algún
ataque de XSS (Cross Site Scripting) o inyección SQL.

 Errores de protocolo:
Existen protocolos que fueron definidos sin necesidad o sin tener en cuenta la parte de la seguridad y

no se previo el crecimiento que estos iban a tener y como el internet no estaba preparado para ser
tan grande, no se pensó en la parte de la seguridad.
 Aprovechamiento de las Vulnerabilidades
Normalmente existen dos formas de aprovechar las vulnerabilidades:

 Forma remota
 Ingeniería social

 En la forma remota se llega mediante una computadora y se empieza a hacer análisis, ataques a un cierto
servidor y tratar de vulnerarlo, si se logra el acceso, quiere decir que ya se hizo alguna explotación remota.

También existen ataques directos de forma remota utilizando internet, se aprovecha de que algún software o
servicio tiene un puerto abierto volviéndose vulnerable.

 En la parte de la ingeniería social, alguien puede ayudar de manera interna, una persona dentro de la
organización puede ayudar a realizar un acceso no permitido.

Otra es engañando a un usuario, aplicando ingeniería social con alguna memoria o algún archivo
infectado se puede aprovechar de alguna vulnerabilidad que se encuentra dentro del mismo
sistema.
 DETECCIÓN DE LAS VULNERABILIDADES

Las vulnerabilidades pueden ser detectadas mediante herramientas de detección, realizar un escaneo de puertos

con el objetivo de verificar cuales están abiertos para intentar obtener información sobre el servicio que se

encuentre corriendo en ese momento y con esta información buscar vulnerabilidades asociadas precisamente a

esos servicios. Se tienen tres formas de detectarse.

1. Escáner de vulnerabilidades.

2. Análisis manuales.

3. Consultando información.
1. ESCANER DE VULNERABILIDAD
Un escáner de vulnerabilidades es una
aplicación diseñada para realizar análisis
automáticos de cualquier aplicación, sistema
o red en busca de cualquier posible
vulnerabilidad.

Un escaneo de vulnerabilidades es un
proceso automatizado que escanea
elementos de una red, aplicación o dispositivo
para buscar fallas de seguridad. El escaneo de
vulnerabilidades de seguridad es algo que
debe realizarse con regularidad para
garantizar que la información y las
aplicaciones permanezcan seguras.
 Escaners de Vulnerabilidades (WEB)
VEGA

Vienen incluidos en Kali

NETS PARKER
PROXI STRIKE Linux, al igual que Proxy
ACUNETIX Strike y a partir de ahí se
Es un escáner de pago, es
Proxy Strike es gratuito, el puede realizar un propio
una solución precisa que
Son muy buenos en la cual permite identificar escaneo.
identifica
parte web y no sólo automáticamente XSS, inyecciones de SQL Y Cross
permiten escanear, Inyección de SQL y otras Site Scripting
también permiten la vulnerabilidades en
explotación real de aplicaciones web.
ciertas vulnerabilidades
o incluso la
comprobación de estas.
 Escaners de Vulnerabilidades (Sist. Operativo)
Nessus Se puede integrar con GFI LanGuard Es una solución
sistemas operativos como Android, completa de administración de
se puede escanear desde el teléfono vulnerabilidades, que permite
Android alguna red, buscando las escanear, detectar, evaluar y corregir
vulnerabilidades y a partir de allí vulnerabilidades de seguridad en la
empezar a gestionar los resultados, red. También proporciona las
tiene incluso opciones para herramientas para remediar las
virtualización. vulnerabilidades e instalar parches
SCANNER faltantes en la red.
Nexpose Es un escáner de
vulnerabilidades que tiene como
OpenVAS Es un completo scanner
objetivo respaldar todo el ciclo de
de vulnerabilidades que puede
vida de la gestión de
detectar problemas de diferentes
vulnerabilidades, incluido el
calibres, tanto de bajo riesgo para
descubrimiento, la detección, la
usuarios, como vulnerabilidades
verificación, la clasificación de
más graves en equipos en
riesgos, el análisis de impacto, los
dispositivos en red.
informes y la mitigación.
 2. ANÁLISIS MANUALES
Es muy importante realizarlos, ya que, todos los análisis automáticos no detectan de forma automática todas las
vulnerabilidades que se pueda tener en un sistema, entonces, también es necesario realizar algún análisis manual
dentro de las vulnerabilidades encontradas con la finalidad de evitar que se pueda escapar o dejar como tal cabo
suelta

3. CONSULTANDO INFORMACION
Otra de las partes es consultar información, en la parte precisamente
de ocultar información se tiene alguna especie de Google hacking por
así mencionarlo o algo por el estilo, de lo que seria la búsqueda de
información en red para poder realizar o encontrar información que
pueda servir a la organización .
METODOS DE ESCANEO DE VULNERABILIDADES

1. Caja blanca: tiene una visión total de la

red a analizar, así como, acceso a todos los
equipos como súper usuario, aquí es
donde se tiene la parte de toda la
administración de los servicios.

2. Caja negra: aquí es donde normalmente se

proporciona información de acceso de red,
aquí a los analistas les van a proporcionar sólo
información de acceso a red o al sistema, por
ejemplo, una sola dirección IP, algún nombre
de alguna empresa, etc.
 Remediación Metodologías De
De Análisis De
Vulnerabilidad Vulnerabilidades
esde pasos para
Hay una serie Pasos a seguir para llevar a cabo un
tratar de remediarlas que se análisis de vulnerabilidades de
indican a continuación: manera correcta y sobre todo sin
sufrir algún inconveniente.
 Análisis de activos  Acuerdo de confidencialidad
 Escanear sistemas entre ambas partes.
 Clasificar y priorizar riesgos
 Probar parches y Debido a que a lo largo de la
configuraciones búsqueda de vulnerabilidades, se
 Aplicar parches y puede obtener alguna información
configuraciones. crítica para la organización
analizada, toda esta información
debe ser utilizada sólo para fines
informativos, de mejora de servicios
y seguridad.
 Importancia del Análisis De Vulnerabilidades
Una evaluación de la vulnerabilidad identifica los puntos flacos de seguridad en el medio ambiente y en aplicaciones
específicas, sirviendo como parámetro para evaluar riesgos y promover cambios en el medio ambiente en busca de
estructuras más seguras. El análisis también ayuda a comprender la estructura tecnológica de la empresa y a madurar en
términos de seguridad de la información. Todo esto ayuda a reducir la probabilidad de que los ataques virtuales tengan
éxito.

Una evaluación más completa de la vulnerabilidad debe tener en

cuenta las aplicaciones utilizadas en la vida diaria de la empresa,
desde sistemas operativos, software para la ejecución de tareas
diarias (CRM, ERPs, repositorios de archivos, etc.), software para la
seguridad digital corporativa (UTM Firewall, NGFW, etc.), y también
software y aplicaciones desarrolladas por la propia empresa para
satisfacer necesidades internas, o con fines comerciales.
THANK YOU
Integrantes Grupo “J””