27 Controles Criticos PDF

LOS 27 CONTROLES CRITICOS DE LA SEGURIDAD
INFORMATICA
UNA GUIA PRACTICA PARA GERENTES Y
CONSULTORES DE SEGURIDAD INFORMATICA
Sergio Castro Reynoso
Instituto Catenari
www.catenari.org
1 edicin, 2012
CAPITULO 1: INTRODUCCION
1.
El objetivo de este libro es presentar una
metodologa fcil de implementar, que le permita al responsable

de seguridad informtica asegurar lo ms rpido posible los
datos de su empresa u organizacin, utilizando 27 controles
crticos. Es una metodologa 100% prctica; est enfocada a
obtener resultados inmediatos, y no a documentar procesos.
El Problema Fundamental de la Seguridad
Informtica
El problema fundamental de la seguridad informtica es
sin duda la existencia de mltiples vectores de ataque. Podemos
ser atacados por nuestra red perimetral, en forma inalmbrica,
por phishing, por troyanos, gusanos, virus; a travs de USBs
infectados, visitando pginas infectadas, etc.
Ser el encargado de seguridad informtica es como ser
portero, con diez delanteros tirando penalties simultneamente;
y con que nos metan un solo gol, estamos en graves problemas.
Para todos estos tipos de ataques, hay muchas
herramientas para defendernos. Con suficiente presupuesto,
podemos adquirir todas las herramientas de defensa de
seguridad informtica, contratar al personal necesario para
operarlo, y asegurar los datos de nuestra organizacin al 99%.
Pero
he
aqu
el
problema:
nunca
tenemos
suficiente
presupuesto. Nos encantara tener decenas de ingenieros de

seguridad trabajando con nosotros, y tener todos los paquetes
de software y appliances ms eficientes, pero la realidad de las
cosas es que simplemente nuestra organizacin no tiene el
dinero, y si lo tiene, no quiere asignar mucho a seguridad
informtica. Llega uno con quien aprueba el presupuesto: Oye,
necesito esta cantidad de dinero para implementar un proceso
de
anlisis
remediacin
de
vulnerabilidades,
para
implementar un filtro de sitios web. La persona quien aprueba el

presupuesto nos contesta entonces: Para qu, si ya tenemos
firewall y antivirus?
No hay duda que la gente de finanzas y la gente de TI
hablamos dos lenguajes diferentes. Por eso parte del objetivo de
este libro es crear un lenguaje comn.
CAPITULO 2: VECTORES DE ATAQUE

Primero veamos algunos principios bsicos sobre los
ataques.
Hay cuatro motivaciones fundamentales detrs de las
acciones de un hacker:
1.
Motivos psicolgicos: es cuando el hacker ataca
para obtener fama, venganza, o simplemente por diversin.

2.
Motivos polticos: cuando quien hackea es una
entidad gubernamental o algn otro tipo de organizacin poltica,

y el objetivo principal es el espionaje.
3.
Hacktivismo: cuando el hacker ataca como
forma de protesta social en contra o a favor de alguna causa.

4.
Motivos econmicos: cuando el hacker intenta
robar informacin de valor, tal como nmeros de tarjeta de

crdito, o espionaje corporativo.
Al atacar, un hacker puede realizar las siguientes
acciones:
1.
Extraccin de datos: este es objetivo ms usual,
la extraccin de nmeros de tarjetas de crdito, bases de datos

de clientes, planes estratgicos, diseos, bases de datos de
emails para ataques de phishing, etc.
2.
Modificacin de datos: la modificacin de datos
es comn en ataques a sitios web, con el objetivo de poner

mensajes polticos, o simplemente el equivalente a grafiti digital.
3.
Denegacin de servicio: consiste en inundar un
servidor con paquetes, para que los usuarios legtimos no

tengan acceso al recurso.
4.
Robo de recursos computacionales: es cuando
el hacker logra tomar control de una computadora para

convertirla en zombie y usarla en una botnet, o cuando usa un
servidor de correo para enviar spam, o un servidor de ftp para
cargar archivos, etc.
El proceso de hackeo tiene 7 fases:
1.
Reconocimiento: el hacker hace un estudio
inicial de la organizacin objetivo: revisin de su sitio web,

emails disponibles, registro de IPs, telfonos, etc.
2.
las
IPs
Escaneo: el hacker hace un escaneo inicial de

pblicas
de
la
organizacin,
para
ver
si
hay
vulnerabilidades inmediatas. Tambin escanea el sitio web en

bsqueda
de
vulnerabilidades
de
las
aplicaciones
web,
passwords default of fciles de adivinar, informacin confidencial

que haya sido publicada por accidente, etc.
3.
Acceso: el hacker logra penetrar el permetro de
la organizacin objetivo. Esto pudo haber sido a travs de una
vulnerabilidad en una IP pblica, o en un sitio web, o tal vez por

medio de un ataque de phishing, un USB infectado, o ingeniera
social.
4.
Escalacin de privilegios: una vez que el hacker
toma el control de una mquina dentro de la organizacin, tiene

que penetrar ms profundo en la red local. Para esto, necesita
robar usernames y passwords a mquinas con informacin ms
valiosa. Esto lo puede hacer analizando trfico, revisando
remotamente
documentos
en
la
mquina
controlada,
instalando un troyano para robar passwords.

5.
Extraccin/modificacin de datos: el hacker
encuentra informacin valiosa o vulnerable, y procede a

extraerla o modificarla de acuerdo con su misin
6.
Mantener acceso: el hacker va a querer volver a
entrar a la red en el futuro, por lo que probablemente instalar

algn tipo de backdoor, o puerta trasera, un programa que le
permitir conectarse remotamente a las mquinas hackeadas,
en cualquier momento.
7.
Eliminacin de evidencia: dependiendo de la
misin y sofisticacin del hacker, tal vez intente borrar evidencia

de su presencia en la red. Esto evitar que su intrusin sea
detectada a la hora de hacer un anlisis de bitcoras, lo cual
causara una bsqueda de backdoors que haya dejado en la red.
Hay trece vectores de ataque que puede utilizar un

hacker. Analizaremos con detenimiento cada uno de ellos.
Vector 1: Exploits
Un exploit es un programa que se aprovecha de una
vulnerabilidad en otro programa, para tomar control de un
recurso computacional. Por otro lado, una vulnerabilidad es un
error de programacin dentro de un programa. Todo programa
funciona en base a recibir datos (input), procesar datos, y
presentar datos (output). Para recibir este input del usuario o de
otros sistemas, el programa usa variables. Cuando un valor es
asignado a una variable, este valor es almacenado en un
espacio de memoria del CPU. El CPU, al ir corriendo el
programa, va leyendo estos espacios de memoria, y procesa los
valores insertados por el usuario. Los valores de estas variables
son generalmente alfanumricos, y el programa puede realizar
todo tipo de operaciones aritmticas o lgicas con los datos
proporcionados. Hasta aqu todo bien. El problema ocurre
cuando el programador por accidente no valida el tipo de dato
que puede recibir una variable, y/o no delimita el espacio
asignable a esta variable. Cuando esto ocurre, un hacker puede
introducir no un valor alfanumrico, sino su propio programa
(exploit). Entonces, cuando el CPU lee ese espacio de memoria,
en lugar de simplemente tomar un valor alfanumrico y
procesarlo, lee el programa del hacker (el exploit), y lo ejecuta.
Y generalmente lo que el exploit hace es permitirle al hacker
tomar control remoto de la mquina.
Este error de programacin de no validar inputs o no

delimitar el espacio de memoria de la variable es ciertamente un
error evitable. El problema es que se escriben miles de millones
de lneas de cdigo cada ao, y aunque solo se cometa un
porcentaje bajsimo de errores, estos, multiplicados por tantas
lneas de cdigo, se traducen a miles de vulnerabilidades al ao
en software comercial.
La forma como se descubren vulnerabilidades en
software es a travs de una tcnica llamada fuzzing. El fuzzing
consiste en tomar un paquete de software, e introducir datos
alfanumricos al azar en las variables del programa, hasta lograr
resultados inesperados por el software. Si el introducir por
ejemplo un valor con un carcter alfanumrico largusimo causa
que un paquete de software se estrelle, quiere decir que muy
probablemente tenga una vulnerabilidad de delimitacin de
espacio de memoria. Entonces el investigador puede proceder a
hacer ingeniera a la inversa al paquete de software, para poder
determinar exactamente cmo programar un exploit que
aproveche esta vulnerabilidad detectada.
Para
que
una
aplicacin
pueda
ser
atacada
remotamente, debe presentar puertos abiertos por Internet. Si la

aplicacin no tiene puertos expuestos a Internet, no es
vulnerable a ataques remotos, pero s a ataques locales. Si por
ejemplo un hacker toma control de una mquina usando un
troyano o algn mtodo similar, desde esa mquina podra

tomar control de otras mquinas con vulnerabilidades.
Tres
tipos
de
personas
hacen
investigacin
de
vulnerabilidades: las que trabajan para la compaa de software

en s, investigadores de seguridad (trabajando en empresas
dedicadas a esto, o por su cuenta), y hackers maliciosos.
Cuando un investigador de seguridad de una compaa
de software detecta una vulnerabilidad en un programa de la
compaa,
generalmente
la
compaa
lo
anuncia
inmediatamente, y publica un patch, o sea un programa o

actualizacin que arregla la vulnerabilidad detectada. Entonces
compaas
de
producen
scanners
de
vulnerabilidades
incorporan esta informacin en su base de datos, para que los

scanners
automtica
puedan
detectar
esta
vulnerabilidad
(ms
adelante
hablaremos
de
en
forma
scanners
de
vulnerabilidades).
Los investigadores de seguridad independientes, al
descubrir una nueva vulnerabilidad, generalmente intentan
vender esta informacin a la compaa de software, o a
compaas que se dedican a comprar y vender informacin de
vulnerabilidades.
De
igual
forma
comunicada al pblico.
10
esta
informacin
es
Por otro lado, si un hacker encuentra una vulnerabilidad

nueva, ciertamente no se lo hace saber a la compaa de
software, sino que la aprovecha para hackear a compaas que
tengan instalado el software vulnerable.
El gobierno de Estados Unidos cuenta con una base de
datos de vulnerabilidades, nvd.nist.gov.
En cuestin del proceso de ataque con exploits
(conocidos tambin como sploits), hay dos formas de
realizarlos. El mtodo antiguo (old school, como se dice en
ingls) es programar tu propio exploit, y atacar la aplicacin
vulnerable. Tambin puedes descargar el cdigo del exploit de la
Internet, generalmente programado en C, Perl o Python, y lanzar
el ataque en forma semi manual. Estos dos mtodos requieren
de un nivel de pericia alta. El otro mtodo es utilizar alguna
plataforma de pruebas de penetracin. Estas plataformas te
permiten automatizar el proceso; la plataforma identifica la
vulnerabilidad, te indica cul es el exploit ms adecuado, y lanza
el ataque. Tambin se requiere un buen nivel de habilidad
tcnica, pero no tanta.
El procedimiento de ataque es el siguiente. El hacker
primero checa el URL de la compaa objetivo, y ve que IPs
estn asociadas a ese URL. Luego checa los registros de DNS
(whois) para investigar los rangos de IPs pertenecientes a la
compaa. Entonces con una herramienta como Nmap, crea un
11
mapa completo de los puertos abiertos en cada una de las IPs.

Viendo el reporte, es inmediatamente obvio si una IP es
potencialmente vulnerable o no. Selecciona entonces las IPs
vulnerables que va a atacar. Si el ataque va a ser old school,
inicia el script, y ataca el puerto vulnerable especfico. Si el
ataque es exitoso, el script introduce un programa (el payload)
en la computadora vulnerable. Este payload activa un proceso
dentro
de
la
computadora, el cual abre
un
canal de
comunicacin para el hacker. Entonces el hacker se conecta

remotamente a la computadora, y tiene control total de la misma.
Por otro lado si el ataque es ms moderno, puede utilizar
Metasploit, Canvas o Core Impact para introducir el payload.
Estos paquetes de software hacen el proceso ms rpido y
eficiente.
Aparte de las vulnerabilidades encontradas en software
comercial,
otra
categora
de
vulnerabilidades
son
las
encontradas en aplicaciones web (web applications).

La vasta mayora de las aplicaciones web no son
paquetes comerciales, sino que son aplicaciones desarrolladas
por la empresa misma. Estas aplicaciones web, al igual que las
aplicaciones tradicionales, tambin reciben input, procesan
datos, acceden bases de datos, y presentan resultados. Pero
estn bajo un riesgo mucho mayor, ya que su arquitectura se
encuentra totalmente expuesta a Internet.
12
Hay varias formas de atacar aplicaciones web, pero las

dos ms comunes son el SQL injection, y el cross-site scripting
(xss).
El SQL injection consiste en introducir comandos de
SQL en los campos de input de la aplicacin web, para ver si la
aplicacin est programada para filtrar comandos o no. Si el
programador cometi el error de no filtrar comandos de SQL de
los campos de variables, es posible que el hacker introduzca
comandos SQL directamente a las bases de datos de la
aplicacin web. Esto le podra permitir tanto extraer como
modificar datos confidenciales.
El cross-site scripting consiste en introducir comandos
de programacin (tal como Javascript o HTML) en los campos
de variables en una aplicacin web. Al hacer esto, el hacker
puede por ejemplo hacerle creer a una persona que est
visitando un sitio seguro, cuando en realidad est visitando un
sitio del hacker, quien le roba ah su usuario y password. En otro
tipo de cross-site scripting ms peligroso, el servidor de hecho
almacena el cdigo malicioso sin querer, y lo presenta a
cualquier persona que navegue al sitio. De esta forma un hacker
puede modificar el contenido de un sitio web a su antojo, y robar
datos de usuarios que visiten el sitio.
13
Para defendernos de este vector de ataque, tenemos

que implementar scanners de vulnerabilidades que nos ayuden
a detectarlas y remediarlas.
14
Vector 2: Passwords default

Los passwords default son aquellos que vienen pre
configurados con los paquetes de software o aparatos que
adquirimos. Este es uno de los primeros ataques que intenta un
hacker, porque aunque parezca increble, un porcentaje
significativo de administradores de red simplemente no se
molestan en cambiar el username y password de fbrica. En
Internet hay listas de los usernames y passwords de paquetes
de software y aparatos tales como switches, ruteadores,
firewalls, conmutadores, telfonos IP, etc.
Este es un problema operativamente fcil de arreglar;
simplemente se cambia el password default y listo. El problema
es cuando el administrador de red no est familiarizado con el
equipo, y ni siquiera sabe que un paquete de software, o ms
comnmente, un equipo de hardware tiene de hecho un
password default. Podemos dar como ejemplo los telfonos IP;
todos ellos tienen un pequeo web server para administrarlos
remotamente, y muchos de ellos vienen con password default.
En ms de una ocasin en pruebas de penetracin que he
hecho, he encontrado telfonos IP con passwords default. Lo
mismo se aplica a impresoras de red, ruteadores, etc.
15
Vector 3: Brute force de passwords

Ya que los passwords son claramente la llave de acceso
a prcticamente todos los sistemas, tiene sentido atacarlos. Hay
dos formas: hacer un ataque de brute force, o un ataque de
diccionario, que es ms refinado. El ataque brute force, o sea de
fuerza bruta, consiste en probar todas las combinaciones
posibles de un password, algo as como probar aaaa, aaab,
aaac, aaad, etc. Sobra decir que este mtodo es muy lento ya
que las combinaciones son muchsimas. La otra opcin, que
generalmente funciona mejor, es un ataque de diccionario, o sea
usando listas de palabras comunes. Este proceso de ataque se
puede automatizar.
Y los usuarios no ayudan para nada. En un incidente de
1
hacking reciente , los hackers revelaron los passwords ms

comunes usados por millones de usuarios. Estos son los 10
passwords ms usados por ese grupo de usuarios:
1.
123456
2.
password
3.
12345678
4.
lifehack
5.
qwerty
http://blogs.wsj.com/digits/2010/12/13/the-top-50-gawker-mediapasswords/
16
6.
abc123
7.
111111
8.
monkey
9.
consumer
10.
12345
Viendo esto eso obvio por qu los ataques de

diccionario funcionan.
Hay administradores de red que creen que son inmunes
a los ataques de diccionario, porque tienen configurado sus
sistemas para que se bloqueen si hay ms de cierta cantidad de
intentos fallidos al introducir el password. Y en efecto, si se
intenta utilizar un diccionario de miles de palabras en contra de
un solo campo de password, ste se bloquea. Pero el ataque no
se realiza as. Lo que el hacker hace es probar unos cuantas
palabras del diccionario en miles de sitios web simultneamente.
Al hacer esto los sitios web no se bloquean, y simplemente por
la gran cantidad de sitios atacados simultneamente, por pura
probabilidad estadstica, algunos de esos sitios usan alguno de
los pocos passwords probados por el ataque. Despus de varios
minutos, ya que se resetea el timer de bloqueo de password, el
hacker intenta de nuevo (todo en forma automatizada) y as va
obteniendo passwords de diferentes sitios y elementos de red
expuestos a Internet. Una solucin es obligar a los usuarios a
usar passwords realmente fuertes, con palabras que no estn en
el diccionario, e incluyendo letras, nmeros, y caracteres
17
especiales.
Otro
mtodo
de
defensa
posible
es
usar
autenticacin two-factor, o sea usando un password y un token.

Esto se hace con sitios bancarios. Otra solucin es el uso de
acceso biomtrico.
18
Vector 4: Robo de passwords

Hay dos formas de robar passwords: por medio de
ingeniera social, o por medios tcnicos. El mtodo de la
ingeniera social consiste en contactar a la persona y hacerse
pasar por alguien ms, y convencerlo de que revele su usuario y
password. Un truco comn es llamar a la persona por telfono, y
decirle algo como Hola Juan, habla Pedro de sistemas. Te
comento que estamos reconfigurando el sistema X, y necesito
que me pases tu usuario y contrasea para borrarlos del sistema
y asignarte uno nuevo. Esta llamada tiene muy buena
oportunidad de tener xito, y la nica defensa es entrenar a los
usuarios para detectar estos engaos. Pero de nuevo, los
usuarios no ayudan. Hace unos aos se hizo un estudio; se le
ofreci a gente en la calle de Liverpool, Inglaterra. El 70% de
ellos estuvo dispuesto a revelar su usuario y password a cambio
de un chocolate. Peor an, 34% de ellos revelaron su usuario y
2
password sin siquiera haber sido ofrecido nada a cambio.
La otra tcnica para robar passwords es convencer al

usuario a visitar un sitio web que parece el original, pero que en
realidad es un sitio web falso creado por el hacker. El usuario
entra al sitio, que se ve idntico a su banco, su cuenta de
Paypal, o la pgina de login de la intranet de su empresa. Al
2
http://blogs.computerworld.com/would_you_sell_your_password_for_ch
ocolate
19
ingresar su usuario y password, quien los recibe es el password.

El usuario recibe un mensaje de error falso, y sin sospechar
nada, asume que la pgina est temporalmente descompuesta.
Hay otro tipo de robo de passwords: cuando un
empleado deja a la empresa, pero se lleva los passwords que le
dan a acceso remoto a los sistemas. Tambin ocurre que el
empleado, sabiendo que va a dejar la empresa, crea sus propios
passwords para usar luego, conectndose remotamente para
robar o modificar informacin. A esto se le conoce como un
back door, o puerta trasera.
Finalmente otro mtodo muy sencillo para interceptar
passwords es el aprovechamiento de accesos de WiFi
inseguros. El hacker se conecta al punto de acceso WiFi de
algn caf. Otros usuarios tambin estn conectados, checando
su email sin encriptacin de passwords, o navegando en http, en
lugar de https. Hay paquetes de software especializados en la
intercepcin de paquetes (sniffers) que constantemente estn
monitoreando los datos fluyendo por el WiFi, y automticamente
capturan usuarios y passwords.
20
Vector 5: Intercepcin de sesin

En este tipo de ataque (man-in-the-middle-attack), el
hacker se pone en medio de la comunicacin entre dos
computadoras. Recibe los paquetes de la computadora A, los
lee para enterarse del mensaje, y luego se los reenva a la
computadora B, quien no se da cuenta que el mensaje fue
interceptado.
Este tipo de ataque requiere acceso al canal de
comunicacin entre las dos computadoras; por lo tanto, el
hacker primero tiene que penetrar el permetro de la red, entrar a
la red local, y entonces interceptar la transmisin. Es difcil de
hacer, pero es un ataque muy poderoso, porque se pueden
interceptar flujos de datos, emails, y hasta transmisiones de voz
que viajan en VoIP.
En una prueba de penetracin que realizamos en una
ocasin, logramos crackear el password WEP del cliente desde
la sala de recepcin; luego usamos un paquete de software que
permite
intercepcin
de
VoIP,
pudimos
grabar
las
conversaciones telefnicas de la empresa.

La encriptacin es la mejor defensa en contra de la
intercepcin de sesin. Tambin es importante establecer reglas
de firewall robustas; por ejemplo, una regla que permita el trfico
entre todos los aparatos de voz sobre IP, pero que no le de
acceso a este trfico a IPs asignadas a PCs o servidores. De
21
esta forma si una PC es hackeada, no tendr la capacidad de

interceptar el trfico entre un telfono IP y un conmutador.
22
Vector 6: phishing
El phishing consiste en enviar emails con ligas a sitios
web falsificados, con la intencin de que el usuario crea que est
introduciendo su usuario y contrasea en el sitio legtimo de su
banco, de su cuenta de Paypal, Hotmail, Facebook, etc.
Todos los navegadores ahora tienen un filtro de sitios de
phishing, lo cual protege al usuario hasta cierto punto, ya que los
navegadores tardan tiempo en detectar un sitio de phishing y
agregarlos a la lista. Los hackers estn constantemente creando
nuevos sitios falsos y enviando emails, por lo que los primeros
en recibir los emails fcilmente pueden caer.
Estos emails de phishing no solo tienen ligas a sitios
falsos; tambin pueden dirigir al usuario a sitios infectados de
malware, que pueden descargar troyanos y tomar control de la
PC del usuario. Otro mtodo es anexar algn archivo infectado
(por ejemplo un PDF).
Cuando el email est especficamente personalizado
para el usuario, usando su nombre, referencias a sus conocidos,
su trabajo, etc., se le llama spear phishing (pesca con lanza).
Hay software y appliances que pueden filtrar algunos de
los mensajes de phishing ms obvios, pero la nica defensa
23
realmente efectiva es educar a los usuarios para que sepan

reconocer emails de phishing.
24
Vector 7: sitios infectados con malware

Hay dos tipos de sitios infectados con malware: sitios
hackeados a los que se le agregan scripts maliciosos, o sitios
hechos por los hackers mismos.
El usuario, al entrar a uno de estos sitios, activa sin
querer un script malicioso, que descarga malware en su
computadora. El script puede estar escrito en Javascript, o
puede ser un ActiveX, o un applet de Java. Si el navegador
usado por el usuario es una versin vulnerable, el script puede
tomar control remoto de la PC del usuario.
Otro truco comn es pedirle al usuario que descargue
cierto plugin para poder ver las fotos o videos del sitio, o para
descargar msica. Este plugin, claro est, es malware.
Los PDF tambin pueden llevar scripts maliciosos, y si el
usuario est usando una versin vulnerable de Adobe, queda
infectado.
Este vector de ataque generalmente viene combinado
con una accin de phishing, pero no siempre. Tambin es
posible engaar a los usuarios para que naveguen al sitio
infectado usando publicidad en lnea.
25
Vector 8: Ataque a aplicaciones web

Las aplicaciones web mal diseadas son una de las
fuentes principales de inseguridad en una empresa. La
aplicacin web est expuesta a Internet, y los hackers pueden
tomarse
todo
el
tiempo
del
mundo
para
buscarle
vulnerabilidades. Detrs de cada forma est una base de datos,

y esto es exactamente lo que el hacker est buscando. Por lo
tanto una aplicacin web mal implementada le puede dar acceso
total al hacker a los datos de la empresa.
La
organizacin
Open
Web
Application
Security
(OWASP) publica cada ao la lista de las 10 vulnerabilidades

ms importantes de las aplicaciones web (www.owasp.org). De
las 10 vulnerabilidades, hay dos que siempre estn presentes
porque son las ms peligrosas: SQL injection, y cross-site
scripting. En ambos casos, as como en el caso del vector 1,
exploits, el error se origina en el programador, quien olvida
validar el input en un campo de la aplicacin web.
En el caso de SQL injection, la aplicacin mal
programada permite que el hacker modifique el SQL query
dentro del URL, y la aplicacin obedece el comando. Este es un
ejemplo.
La siguiente lnea de un sitio web mostrara la lista de
clientes:
26
http://www.misitio.com/clientes/clientes.a
sp?clientid=123
Pero un hacker podra agregar un punto y coma, y un
comando de SQL despus:
http://www.misitio.com/clientes/clientes.a
sp?clientid=123; DROP
TABLE Clientes
Al hacer esto, si la aplicacin web no valida la presencia
de comandos SQL no autorizados, entonces la base de datos
borrar la tabla clientes. Con este mtodo se pueden introducir
todo tipo de comandos SQL para mostrar, modificar, y borrar
datos de las tablas.
El cross-site scripting funciona en forma similar; el
hacker introduce por ejemplo JavaScript en un campo de la
aplicacin web. Si la aplicacin web salva los datos (por ejemplo
en un foro), quien acceda a esa pgina ejecutar el script
malicioso sin querer.
La solucin para estos dos tipos de ataque se encuentra
principalmente
en
la
prevencin.
El
programador
debe
implementar prcticas seguras de programacin, y asegurarse
27
que su programa cheque cuando instrucciones de SQL o de

Javascript sean introducidos en campos que no deben correrlos.
Vector 9: Virus, troyanos y gusanos
Los virus, troyanos y gusanos son malware que infectan
computadoras con la finalidad de tomar control de las mismas,
destruir datos, o simplemente causar problemas.
Los virus son programas con la capacidad de adherirse
a otros programas y auto replicarse. El usuario, al compartir
archivos o USBs, puede infectar a otras computadoras. Si no se
puede auto replicar, no se le considera un virus. Su funcin
principal es sabotaje, aunque muchos virus son hechos
simplemente por hobby.
Los troyanos son programas que parecen inofensivos o
que son virtualmente invisibles, pero que le permiten al hacker
tomar acciones en la computadora infectada. Estas acciones
pueden ser cosas como dar seguimiento a la navegacin del
usuario para poner publicidad relevante (spyware y adware),
capturar usuarios y passwords de sitios visitados, especialmente
sitios de banca en lnea (key loggers), o convertir a la
computadora infectada en una zombie parte de una botnet. Los
usuarios pueden descargar juegos u otras herramientas tiles,
sin saber que son troyanos.
28
Los gusanos son programas que tienen la capacidad de

propagarse de computadora en computadora a travs de la red,
aprovechando vulnerabilidades.
Los
programas
antivirus
antimalware
son
generalmente efectivos en prevenir estas infecciones. Pero hay

un tipo de troyano que no puede ser fcilmente detectado: los
troyanos virtuales. Un troyano virtual viene instalado dentro del
sistema operativo de una mquina virtual. Si una compaa usa
tecnologa de virtualizacin (tal como Vmware) y descarga una
mquina virtual de la Internet, es posible que sta venga con un
troyano instalado. Por eso es importante usar mquinas virtuales
solamente de fuentes conocidas.
29
Vector 10: Ingeniera Social

La ingeniera social es el arte de engaar a la gente
para lograr extraerles informacin. El objetivo ms comn es
hacer que revelen sus usuarios y contraseas, pero tambin se
les puede engaar para que descarguen troyanos, usen CDs o
USBs infectados, o simplemente permitir el acceso fsico.
Un truco comn del hacker es investigar el nombre y
telfono de alguna persona en la compaa a atacar. Entonces
le marca y le dice algo como Hola Juan, habla Pedro de
sistemas. Oye estamos reasignando usuarios y contraseas
para el sistema X; me podras proporcionar los tuyos para darte
unos nuevos?. Increblemente este mtodo tan sencillo funciona
muy seguido.
Otro mtodo muy efectivo es enviarle a algn empleado
por paquetera un USB que active un troyano a la hora de
conectarse. Se le puede enviar una carta a la vctima con
cualquier tipo de historia: que es software gratis, que incluye los
reportes de ventas, o el presupuesto de algo etc.
Otro truco extremadamente efectivo es mandar hacer
decenas (o cientos) de USBs con el logo de la empresa, y que
contengan un troyano instalado. Entonces estos USBs se les
puede enviar por mensajera a la empresa para que se reparta a
los empleados, como si vinieran de marketing. O simplemente
30
se pueden dejar regados por reas pblicas afuera de la

empresa, y sin duda un alto porcentaje de los empleados, viendo
el logo de su empresa en el USB, tomarn uno, lo conectarn a
su computadora, y su computadora quedar infectada.
Con ingeniera social tambin se puede lograr acceso
fsico a la red de la compaa. El hacker puede llegar disfrazado
de proveedor, y lograr entrar a una sala de juntas o sala de
espera. Si hay un nodo de red disponible, se podr conectar a la
red local.
La nica defensa en contra de la ingeniera social es el
entrenamiento continuo de los usuarios. Ya que esto es muy
difcil, este vector de baja tecnologa es uno de los favoritos de
los hackers.
31
Vector 11: Ataque Inalmbrico

La gran ventaja de utilizar una red inalmbrica es que
ests donde ests en tu oficina, ests conectado. No tienes que
andar buscando un nodo de red. La gran desventaja es que tus
datos estn volando por el aire, y pueden ser interceptados.
Hasta hace poco, el uso de redes inalmbricas era
extremadamente riesgoso, porque el protocolo de encriptacin
usado, llamado WEP, se poda hackear con relativa facilidad.
Afortunadamente ha aparecido un protocolo ms seguro llamado
WPA. No es 100% seguro, pero es suficientemente ms difcil
de hackear que deja de ser un vector redituable para el hacker,
porque toma demasiado tiempo.
El gran problema es que a pesar de que ya hay WPA y
WPA2, muchas compaas por ignorancia siguen usando WEP,
y estn bajo riesgo significativo.
De hecho uno de los hacks ms grandes de los ltimos
aos fue el que se hizo en contra de TJ Maxx, en la que se
3
robaron 45 millones de nmeros de tarjetas de crdito . Este

ataque se hizo contra la red inalmbrica de una de las tiendas
de la cadena; los hackers estaban en un coche en el
http://www.msnbc.msn.com/id/17871485/ns/technology_and_sciencesecurity/t/tj-maxx-theft-believed-largest-hack-ever/
32
estacionamiento, usando una antena especial para amplificar la

seal inalmbrica de la red, a la cual le inyectaron paquetes
hasta que lograron romper la contrasea.
Es importante
recordar que al usar una red inalmbrica, nuestros datos estn

fluyendo no solo dentro de nuestras oficinas, sino hacia afuera
tambin. Por eso es importante usar WPA2 y una contrasea
fuerte.
33
Vector 12: Robo Fsico de Equipo

Este es un mtodo bastante comn, en especial en
casos de espionaje industrial. Un hacker que solo busca robar
tarjetas de crdito no va a intentar robarse una laptop. Pero
alguien contratado para robar secretos industriales, ciertamente
que s.
Una vez que el hacker tiene acceso fsico a una laptop,
es solo cuestin de tiempo para que rompa la contrasea. Hay
software disponible que hace exactamente eso; lo que este
software hace es hacer un disco de boot alterno, generalmente
en Linux, para arrancar la mquina. Entonces, desde esa
instancia, se accede el disco duro, y se extrae el hash de la
contrasea. Otras versiones ms sofisticadas pueden leer
directamente los datos escritos en el disco duro, sin necesidad
del password.
La nica medida en contra de la prdida de datos por
robo de equipo es la encriptacin completa del disco duro. An
as no es 100% seguro en contra de un atacante realmente
determinado. Por eso es importante implementar polticas de
proteccin de datos en la que a los usuarios no se les permita
copiar datos altamente confidenciales a sus laptops, y que solo
tengan acceso a estos datos en la intranet de la empresa. De
esa forma evitamos que los datos salgan fsicamente de la
compaa.
34
Vector 13: Acceso fsico a la red

El tener acceso fsico a la red es el mayor logro del
hacker. Con acceso fsico y suficiente tiempo, se puede lograr lo
que sea en cuestin de extraccin y modificacin de datos.
Afortunadamente es difcil para un hacker el lograr esto, pero
ciertamente hay mtodos. Uno que ya mencionamos es hacerse
pasar por proveedor. Esto le da acceso al hacker, pero no
necesariamente mucho tiempo. Otro mtodo, ms difcil, es que
el hacker se convierta en proveedor de adeveras, o peor an, en
empleado de la compaa. Un mtodo ms es sobornar a algn
empleado; de esta forma el hacker le puede pedir que instale
software, le de contraseas, etc.
Una tcnica avanzada que se puede implementar una
vez que se logra el acceso fsico es dejar conectada a la red una
pequea computadora en algn lugar escondido.
Esta
computadora puede estar camuflageada, por ejemplo para que

parezca un UPS. Se deja debajo de un escritorio, conectado a la
electricidad y a un nodo de red, y el hacker tendr acceso al
mismo va remota, y por lo tanto acceso irrestricto a la red.
La mejor forma de mitigar este vector es a travs de
control fsico de acceso, revisando bien quin entra a la
empresa. Otro mtodo importante es la configuracin correcta
de los nodos de red. Todo nodo de red que no est conectado a
un equipo, debe ser desactivado desde el switch. Muchas
35
compaas tienen todos los nodos activos, y adems con DHCP.

Esto le facilita mucho las cosas al hacker.
36
CAPITULO 3: DEFENSA
El objetivo de defender una red es proteger la
confidencialidad, integridad, y disponibilidad de los datos
contenidos en la misma. Esto es difcil, porque las acciones que
tomemos para proteger la confidencialidad y la integridad de los
datos automticamente reducen la disponibilidad, y viceversa. Si
quisiramos
un
nivel
de
confidencialidad
mxima,
fcil,
simplemente encriptamos los datos, los desconectamos de la

red, y los encerramos en una caja fuerte reforzada en un stano
de concreto. As tenemos 100% de confidencialidad. Pero
tambin tenemos 0% de disponibilidad. Nos podramos ir al otro
extremo; para lograr una disponibilidad de los datos de 100%,
fcil, lo publicamos todo sin contrasea en un sitio web pblico;
pero obviamente la confidencialidad sera 0%.
Entonces el defensor tiene el difcil trabajo de lograr un
equilibrio razonable entre las tres variables de confidencialidad,
integridad y disponibilidad (el cual es diferente para cada
conjunto de datos), y bajo un presupuesto generalmente
limitado.
Porque
esa
es
la
otra
variable
importante:
el
presupuesto. Si tuviramos recursos ilimitados, compramos todo

el software y hardware habido y por haber, y un equipo de mil
ingenieros monitoreando cada login y cada paquete fluyendo por
la red. Pero eso no lo podemos hacer en la vida real.
37
Por lo tanto, debemos tomar en consideracin dos

principios estratgicos fundamentales de la ciberdefensa: el
principio de Defensa en Profundidad, y el principio del Oso.
El concepto de Defensa en profundidad consiste en
poner varias barreras redundantes alrededor de los datos que
queremos proteger. Esto tiene dos grandes ventajas. Primero, si
falla una lnea de defensa, la siguiente lnea bloquear el
ataque. Segundo, aunque el hacker sea muy hbil, cada lnea
de defensa le consume tiempo. Si un objetivo representa una
inversin de tiempo y esfuerzo demasiado grande, es ms
probable que el hacker desista en su ataque. Lo que nos lleva al
siguiente principio estratgico.
El principio del Oso est basado en el dicho de que si
te viene persiguiendo un oso, no tienes que correr ms rpido
que el oso, sino ms rpido que tus compaeros. En otras
palabras, debemos endurecer nuestra red no al 100%, sino
endurecerla ms que otras compaas, as la inversin en
tiempo
esfuerzo
del
hacker
es
poco
productiva,
en
comparacin con otras empresas. Si otras empresas u

organizaciones presentan objetivos ms fciles para el hacker,
menos chance de que nos hackeen a nosotros. Es todo cuestin
de anlisis de inversin vs. riesgo.
38
Para endurecer nuestra red y hacerla menos atractiva

para los hackers, hay cinco procedimientos que debemos
cumplir:
1. Prevencin de intrusin: evitar que el hacker
entre a nuestra red.
2. Deteccin de intrusin: si el hacker entra,
debemos de detectar que est adentro.
3. Prevencin de extraccin: una vez que lo
detectamos, debemos evitar que extraiga o
modifique informacin.
4. Eliminacin de intrusin: finalmente debemos de
eliminar la presencia del hacker en nuestra red.
5. Prevencin de denegacin: si el ataque es de
denegacin de servicio, debemos de tomar
medidas para asegurar que nuestros usuarios
sigan
teniendo
acceso
la
informacin
requerida.
Entonces, vemos que tenemos 13 vectores de ataque, y
5 procedimientos de defensa. En base a esto, construiremos los
controles que lgicamente tenemos que implementar para
39
detener cada uno de los vectores de ataque, usando los

procedimientos de defensa. Veamos ahora los controles.
40
Control 1: Firewalls, Ruteadores, y Switches

Vectores de ataque que previene: 1-Exploits; 13-Acceso
fsico a la red.
Procedimiento de defensa: 1-Prevencin de intrusin.
Tipo de software utilizado: software de administracin de
firewalls (firewall management)
El arma de prevencin de intrusin por excelencia es el
firewall. Como todos sabemos, el firewall separa el interior del
exterior de nuestro permetro; es la compuerta que deja entrar y
salir a datos y usuarios de acuerdo a reglas establecidas. Sin
firewalls estaramos totalmente expuestos a hackeo inmediato.
Ahora, con simplemente poner un firewall y unas cuantas reglas
bsicas no es suficiente. Para nuestro modem personal que
tenemos en casa las reglas son sencillas: permite la salida de
http y https, y no permitas la entrada de nada. Pero en nuestra
organizacin las reglas son mucho ms complejas, y tenemos
ms de un firewall. El mayor riesgo en estos casos es que las
reglas se pongan tan complejas, y tengan tantas excepciones,
que no sepamos con certeza qu tipo de trfico y qu IPs tienen
qu permisos. Esto es lo que debemos observar.
Adems de los firewalls, tenemos nuestros ruteadores y
switches. Configurados adecuadamente, representan una lnea
de defensa importante. Por ejemplo la configuracin de las
VLANs en la red local hace la diferencia entre acceso irrestricto
41
para un hacker, o hacerle el trabajo muy difcil. Cuando yo haca

pruebas de penetracin, una vez vulnerado el permetro
(relativamente fcil de hacer, ya hablaremos de eso), si la red de
mi cliente tena VLANs, se me dificultaba mucho las cosas. Pero
si no, desde la mquina vulnerada poda ver todo el trfico
fluyendo por la red con sniffers, y tomar todo tipo de acciones,
como encontrar otras mquinas vulnerables, o hasta interceptar
passwords y llamadas telefnicas sobre VoIP.
Existe la creencia en algunos administradores de red
que si ya tienen su firewall, estn seguros; su red no podr ser
vulnerada por hackers. Y nada est ms alejado de la realidad.
Si visualizamos a nuestro firewall como una muralla alrededor de
nuestra fortaleza de datos, en efecto, la muralla nos protege del
ataque terrestre del hacker. Pero no nos protege del ataque
areo: phishing y sitios infectados con malware.
Si el hacker le enva al usuario un email con un PDF
infectado, y si la computadora del usuario tiene una versin
vulnerable de Adobe, entonces el hacker podr tomar control de
la computadora, y el firewall nada podr hacer al respecto. De
hecho el programa del hacker se conectar de la computadora
vulnerada a la computadora del hacker fuera de la red va http, y
el firewall lo permitir sin problemas.
42
Dentro de este control podemos implementar 9 procesos

especficos:
a)
Prueba de efectividad de firewalls
Existe software de auditora de firewalls que permite

verificar en forma automtica las reglas de los firewalls. El
software puede hacer pruebas dinmicas para ver cmo se
comportan los patrones de trfico al atravesar los firewalls.
b)
Anlisis de vulnerabilidades a elementos de
red
Aparte de la configuracin de reglas en los firewalls,
debemos escanear a todos los elementos de red para detectar
vulnerabilidades en sus sistemas operativos. Estos scans se
pueden realizar con scanners de vulnerabilidades. Hablaremos
sobre los detalles del escaneo de vulnerabilidades ms
adelante.
c)
Implementacin de VLANs
La implementacin de VLANs en los switches limita el

libre trnsito de un hacker si penetra la red. Cuando se tienen
subredes demasiado generales, el hacker, al vulnerar una
computadora, puede ver el trfico de toda la subred ya que hay
un broadcast de paquetes a todas las IPs; analizando el trfico
puede ver qu otras mquinas estn presentes en la red, y de
ah atacarlas. Al dividir nuestra red en redes virtuales, o VLANs,
reducimos significativamente el dominio del broadcast de
43
paquetes, por lo que el hacker solamente puede ver los

paquetes que fluyen dentro de la VLAN donde se encuentra,
reduciendo as el riesgo de que detecte otras IPs vulnerables.
De igual forma, las IPs de usuarios que requieren acceso a
servidores con datos confidenciales se pueden poner en la
misma VLAN, de esa forma las IPs de los servidores con estos
datos valiosos solo pueden ser contactados por esas IPs (al
menos que en el firewall les des permiso a otras IPs.) Las
ventajas de seguridad son claras, sin embargo muchas
empresas desestiman el uso de VLANs. En mis experiencias
como pen tester, en cuanto vea que haba VLANs, saba que
las cosas iban a ser mucho ms complicadas. S hay tcnicas
para brincarse de una VLAN a otra; a esta tcnica de hacking se
le conoce como VLAN hopping. La tcnica consiste en usar un
paquete de software de emula ser un switch; entonces el hacker
puede inyectar paquetes dentro de la red fsica, emulando ser de
la VLAN1 aunque est en la VLAN2. No se nos olvide que las
VLANs son por definicin virtuales, por lo que s son
manipulables a nivel paquete. Entonces no es una lnea de
defensa perfecta; pero recordemos que el objetivo es la defensa
en profundidad: poner muchas piedras en el camino del hacker,
para hacer el ataque extremadamente difcil e improductivo.
d)
Desactivacin de nodos de red no utilizados
En una prueba de penetracin que hice para un cliente,

el primer da simplemente llegu a su edificio, entr al rea de
recepcin, vestido de traje y con mi laptop, y me sent en la sala
44
de espera. La recepcionista ni me volte a ver. Entonces chequ

la pared, y en efecto, ah haba un nodo de red. Tranquilamente
saqu mi laptop y un cable de red, y me conect al nodo. No
solo estaba el nodo activo, sino que tena DHCP, por lo que me
asign una IP inmediatamente. Y en efecto, pude ver la subred
entera de esa oficina de la compaa. Despus de eso proced a
hacer lo que un pen tester tiene que hacer.
Es fundamental tener un catlogo de todos los nodos de
la red, y tenerlos todos desactivados por default, y solo irlos
activando conforme ciertos equipos lo vayan requiriendo.
Tampoco uses DHCP en forma generalizada; usar IPs estticas
es ms laborioso, pero tambin ms seguro. Si requieres usar
DHCP para un conjunto de empleados que van y vienen, pon
ese rango de IPs en su propia VLAN. Si tienes a clientes,
proveedores o invitados que entren a tu organizacin y requieren
Internet, te sugiero que adquieras un servicio de banda ancha
aparte, y les des acceso inalmbrico; de esa forma su trfico no
toca tu red.
e)
Implementacin de DMZ
Todos los servidores de correo, web, ftp, proxy, VoIP, o

cualquier otro servidor que tenga una IP pblica, debe estar en
la red perimetral, tambin conocida como la DMZ. Con eso nos
aseguramos que estos servidores, que estn bajo ataque
constante, estn en su propia red, y que si sta es vulnerada, el
hacker no pueda penetrar a la LAN.
45
Hay dos formas bsicas de implementar la DMZ: con un

firewall, o con dos firewalls. Estas son las arquitecturas:
1)
Implementacin de DMZ con un firewall
Servidores
www
ftp
smtp
Red
Interna
Firewall
Ruteador
conectado
a Internet
46
2)
Implementacin de DMZ con dos firewalls
Red
Interna
Servidores
www
ftp
smtp
Firewall
A
Firewall
B
Ruteador
conectado
a Internet

La segunda topologa de implementacin es la ms
segura, ya que si el firewall B es vulnerado, el hacker an
tendra que atravesar el firewall A. La recomendacin es que el
firewall A y B sean de diferentes compaas; de esta forma si
hay una vulnerabilidad especfica en el firewall B, sta no se
encontrar presente en el firewall A.
47
f)
Documentacin de reglas de ingreso y
egreso
El software de auditora de firewalls permite visualizar en
forma jerrquica todas las reglas de los firewalls en la red, y
cmo funcionan estas reglas en conjunto. De esta forma
estamos seguros que las reglas cumplen con su cometido, y que
no hay reglas redundantes que afecten el desempeo de la red.
Un proceso muy importante consiste en revisar peridicamente
las reglas del firewall, y desactivar aquellas reglas que ya no
estn en uso.
La forma como se recomienda ordenas las reglas es en
4
5 grupos :
1.
Reglas de bloqueo (deny) globales: En estas
reglas tienes todos los protocolos que nunca se permitirn, y las

conexiones entre IPs prohibidas (tal como any to any).
2.
Reglas de acceso (allow) globales: En estas
reglas estn todos los protocolos permitidos a todo el mundo, tal

como http outbound y DNS, como ejemplos.
3.
Reglas para computadoras especficas: Aqu
tenemos interacciones especficas entre IPs con IPs internas y

externas. Por ejemplo, aqu puedes poner las reglas que
http://technet.microsoft.com/en-us/library/cc995156.aspx
48
restringen el acceso a los servidores importantes a solo ciertas

IP que requieren el acceso.
4.
Reglas para IPs especficas, URLs especficos,
protocolos especiales.
5.
Reglas para todo lo dems.
Debemos poner especial atencin a las reglas en los

grupos 3, 4, y 5, que son las que podran cambiar con el tiempo.
g)
Automatizacin del control de cambios
El administrador de red o seguridad informtica est

siempre bajo presin de los usuarios para abrir puertos, y
permitir accesos a ciertas IPs y URLs. A veces estos cambios
estn justificados, y a veces no. Pero lo importante es que
tengas un proceso formal para hacer estos cambios. El software
de auditora de firewalls te permite llevar un control de cambios
sobre las reglas y configuraciones, para evitar la creacin
accidental de reglas inseguras, o que reglas que violen las
normas establecidas por la empresa.
h)
Implementacin
de
VPN
para
accesos
remotos
El objetivo de implementar una VPN es darle acceso
remoto a nuestra LAN al usuario, generalmente empleados o
socios de negocios. Aqu el riesgo que enfrentamos es que si la
49
computadora del usuario es vulnerada, el hacker puede tener

acceso a nuestra LAN. Entonces la primera consideracin es
que el rango de IPs que ests usando para la VPN debe de
tener permisos mnimos de acceso dentro de la LAN.
Obviamente esto se aplica a toda computadora, an las que
estn conectadas fsicamente dentro de la compaa, pero es
importante estresar que las computadoras que estn conectadas
por VPN no estn dentro de tu permetro de seguridad, o sea
que no las ests protegiendo con tus firewalls, as que hay que
considerarlas
como
un
mayor riesgo. De
hecho
debes
considerar a las IPs que entran por VPN como si fueran una
DMZ.
As que configura el firewall para darle acceso a los
usuarios de VPN solo a las IPs que realmente necesitan acceder

(como la intranet, por ejemplo), y solo a los protocolos que
requieren usar. Si por ejemplo los usuarios de la VPN solo
necesitan acceso a la intranet de la empresa, entonces permite
http y https, pero no permitas ningn otro protocolo. Como
medida extra de seguridad, puedes implementar un firewall
separado para la red VPN, exactamente como una DMZ tipo 2.
Por otro lado, el hardware para VPNs puede presentar
vulnerabilidades. Ese punto lo cubriremos en el control 8,
escaneo y remediacin de vulnerabilidades.
50
i)
Anlisis de bitcoras de firewalls
El firewall nos sirve no solo para bloquear accesos, sino

para detectar intrusiones y hacer anlisis forense despus de un
ataque.
La herramienta principal para detectar intrusiones
dinmicamente es nuestro sistema de IPS/IDS. Pero hay cosas
que el IPS no puede detectar. Por ejemplo, si una computadora
se infecta con un troyano, y ese troyano intenta salir por http a
su servidor de control, el IPS tal vez no lo detecte, porque el http
outbound est permitido. Pero si al analizar las bitcoras de tu
firewall ves que hubo varias computadoras tratando de
conectarse a una IP en China a las 2am, entonces sabrs que
algo anda mal. Por eso es importante hacer un anlisis manual y
minucioso, diario, de las bitcoras. Y conforme vayas viendo
comportamiento inusual que no habas previsto, lo puedes ir
incluyendo en tus reglas de firewall y del IPS. Por ejemplo en el
caso del troyano, sabiendo que ninguno de tus usuarios tiene
nada que hacer visitando IPs en China, entonces en el firewall
bloqueas todos los rangos de IP de ese pas.
Otra cosa que vers en tus bitcoras de firewall son los
intentos continuos de acceso de los hackers. Si has visto tus
bitcoras alguna vez, sabrs que toda IP pblica est bajo una
lluvia constante de escaneo de puertos; hay cientos de miles de
hackers all afuera, con programas automticos, escaneando
los puertos de todos los rangos de IPs, buscando aperturas. En
51
general no te tienes que preocupar por ese ruido. Pero si ves

en tus bitcoras intentos constantes de conexin de ssh a una IP
tuya que tiene un login va ese protocolo, entonces sabrs que
estn tratando de romper el password de esa IP, o sea que ya
es un ataque especfico, el cual requiere accin preventiva de tu
parte.
Una tcnica avanzada usada por hackers sofisticados es
desensibilizar las defensas de tu red. Harn escaneos y
ataques de bajo nivel constantes a tus IPs y URLs. Al principio
esto activar alarmas, pero el ataque de bajo nivel continuar
varios das, y te acostumbrars y concluirs que no pasa nada.
Entonces dentro de ese ruido, el hacker comenzar un ataque
real. Hay software que te ayuda a analizar las bitcoras, pero
hasta ahora nada sustituye a la deduccin de una mente
humana.
52
Control 2: Implementacin segura de DNS

Vectores de ataque que previene: 1-Exploits
Procedimiento de defensa: 1- Prevencin de intrusin
Software utilizado: scanner de vulnerabilidades
Si tu organizacin tiene pocos usuarios y poco trfico de
http y correo, lo ms recomendable es que uses alguno de los
DNS pblicos disponibles, tal como el de Google DNS
(http://code.google.com/speed/public-dns/),
OpenDNS
(http://www.opendns.com/). En teora estos dos servicios son

ms seguros que usar los DNS de tu proveedor de Internet,
simplemente porque son compaas grandes y conocidas, con
millones de usuarios. Si hay un incidente de hacking a estos
servidores de DNS, todo el mundo se enterar inmediatamente.
Lo cual no es necesariamente el caso con los DNS de tu
proveedor de Internet. Si usas DNS pblicos, su seguridad no
son tu problema, ms all de mantenerte informado de su status.
53
Por otro lado si tu organizacin tiene suficiente trfico

hacia Internet, seguramente tienes tus propios servidores DNS
instalados, ya que las resoluciones de direcciones se guardan
en el cache, y funcionan ms rpido. Si este es tu caso, el riesgo
al que te enfrentas el llamado DNS hijacking, o sea cuando el
hacker toma control de tu servidor de DNS, y adquiere la
capacidad de redirigir tu trfico a los sitios que el hacker quiera.
Tu usuario podra entonces poner en su navegador el URL de su
banco en lnea, y el trfico sera redirigido a un sitio idntico,
excepto que bajo control del hacker, quien le robar el usuario y
password, o peor an, hacer un ataque man in the middle, el
cual podra hasta interceptar los datos del token bancario.
54
Veamos ahora los procesos especficos de este control:

a)
Escaneo de vulnerabilidades en servidores
DNS
El ataque a un servidor DNS se hace exactamente como
a cualquier otro servidor; por lo tanto el primero control que
debemos implementar es el escaneo y remediacin de
vulnerabilidades, para evitar que sea atacado mediante un
exploit. Tanto el sistema operativo del servidor, como el software
de DNS mismo, pueden presentar vulnerabilidades. El software
de escaneo de vulnerabilidades te permitir detectar y
remediarlas.
b)
Endurecimiento de servidores DNS
El endurecimiento de un servidor en general consiste en

cambiar las configuraciones default para que sean ms seguras.
Este es un proceso general que veremos en el control 9, pero
hay procesos de endurecimiento especficos para servidores
DNS. El proceso ms conocido es checar el cache para verificar
que no haya sido modificado ilegalmente (cache poisoning). El
software de anlisis de vulnerabilidades y cumplimiento con
normas (policy compliance) te ayuda a automatizar totalmente
todos los procesos relacionados al endurecimiento del DNS.
55
Control 3: Administracin de passwords

Vectores de ataque que previene: 2-Password default;
3-Ataque bruteforce a passwords; 4-Robo de passwords
Procedimiento de defensa: 1-Prevencin de intrusin
Software
utilizado:
scanner
de
vulnerabilidades,
autenticacin two factor.

Siendo este uno de los vectores de ataque ms usados,
hay mucho que hacer para mitigar su riesgo.
Sus procesos son los siguientes:
a)
Escaneo de vulnerabilidades en passwords
Este proceso consiste en escanear tus servidores para

detectar la presencia de passwords default o fciles de adivinar.
El scanner de vulnerabilidades hace esto automticamente, pero
generalmente hay que configurarle el diccionario de passwords
correcto, ya que ste puede cambiar de pas en pas. Cada que
el scanner detecta una forma que acepta passwords, prueba
todos los passwords default relevantes, y el diccionario de
ataque, para ver si logra acceder.
b)
Escaneo de polticas de passwords
56
Este es un proceso que se realiza con el scanner de

cumplimiento de polticas. El scanner detectar cosas como
listas de usuarios con passwords en blanco, los permisos de
acceso de los usuarios, la poltica de longitud mnima de
password, la poltica de frecuencia de caducacin de passwords,
poltica de bloqueo de passwords, etc.
c)
Eliminacin de passwords default
Aparte de eliminar los passwords default al encontrarlos

durante un scan, este proceso consiste en eliminarlos en cuanto
el hardware o software es adquirido.
d)
Uso
de
autenticacin
two
factor
en
servidores
Para todo servidor que contenga informacin realmente
valiosa, implementa login mediante autenticacin two factor, o
sea usando password y un token, o acceso biomtrico.
e)
Uso de autenticacin two factor en PCs
Ya hay muchos modelos de laptops que vienen con un

lector de huella digital; ve sustituyendo tus modelos actuales por
estos modelos con autenticacin biomtrica.
57
Control 4: Inventario de hardware

Software utilizado: scanner de vulnerabilidades, software
de administracin de redes
A veces ocurre que un usuario instala su propio servidor
en la red de la compaa; o trae un modem inalmbrico y lo
instala si autorizacin. O ms complicado an, instala Vmware o
alguna otra plataforma virtual en su computadora, y se pone a
descargar
aplicaciones
virtuales
de
la
Internet.
Estas
aplicaciones sern virtuales, pero desde el punto de vista de

seguridad, representan exactamente el mismo nivel de riesgo
que el hardware fsico. Una mquina virtual tiene un sistema
operativo y aplicaciones reales, las cuales pueden venir
vulnerables; adems la mquina virtual tiene una IP, por lo que
en teora puede ser hackeada. Por lo tanto, las mquinas
virtuales deben ser parte del inventario de hardware.
Veamos ahora sus procesos:
a)
Levantamiento de inventario de hardware en
la red
Un scanner de vulnerabilidades te puede hacer un mapa
completo e inventario de tu hardware; tambin puedes usar
software de administracin de redes. Marca el hardware
58
autorizado, y genera reportes para todo hardware que no est

en tu lista autorizada. Para servidores y equipos de red, no uses
DHCP, sino IPs estticas. En tu inventario de hardware lleva una
correlacin entre el hardware y su IP asignada. As podrs
correlacionar el hardware con los permisos de firewall del equipo
fsico.
b)
Desactivacin de hardware no autorizado
Desactiva todo hardware que no est autorizado. Te

recomiendo que establezcas polticas firmes en cuestin de la
instalacin de hardware sin autorizacin. Una forma de
controlarlo es no usar DHCP, y administrar con cuidado la
asignacin de IPs. Adems, es recomendable que no permitas el
uso de mquinas virtuales sin autorizacin, ya que trae
vulnerabilidades a la red, y adems pueden venir infectadas con
troyanos
virtualmente
indetectables.
El
scanner
de
vulnerabilidades puede detectar la presencia de Vmware y otros

paquetes de software de virtualizacin, y puede detectar
mquinas virtuales corriendo.
59
Control 5: Inventario de software

Software utilizado: scanner de vulnerabilidades, software
de administracin de redes
Mantener un inventario de software actualizado es
mucho ms difcil que mantener el inventario de hardware, por la
simple razn que los usuarios pueden descargar e instalar
software en sus PCs.
Ahora revisemos sus procesos:
a)
Levantamiento de inventario de software en
la red
Este levantamiento se hace usando el scanner de
vulnerabilidades. El scanner tiene la capacidad de conectarse a
la computadora, y ver la lista de software instalado en la
computadora. Entonces se puede generar un reporte de
software no autorizado.
b)
Desinstalacin de software no autorizado
Este proceso tiene un componente proactivo y uno

reactivo. En forma proactiva, cuando instales nuevo hardware,
haz un scan para ver qu software viene de fbrica, y desinstala
60
todos los paquetes que no vayan a ser utilizados; entre menos

software, menor la superficie de ataque. En forma reactiva, en
base al reporte de levantamiento de inventario de software,
desinstala el software que haya sido agregado en la red sin
autorizacin.
61
Control 6: Inventario de puertos y servicios

En cuestin de puertos y servicios (protocolos) usados
en una red, hay una distincin clara entre los protocolos que se
deben permitir, y los que nunca deben estar activos. Por
ejemplo, el telnet es un protocolo inseguro, sustituido hace
mucho por ssh, por lo que no debe ser permitido en tu red. De
los protocolos permitidos, algunos son ms vulnerables a ataque
que otros, por lo que la filosofa debe ser: protocolo que no
tenga un uso especfico, hay que prohibirlo.
Veamos ahora los procesos relacionados a este control:
a)
Levantamiento de inventario de puertos y
servicios
Este levantamiento se hace con el scanner de
vulnerabilidades. Genera un reporte de todos los puertos y
servicios detectados en tu red. Hay protocolo que obviamente
debes permitir (http, dns, smtp, etc.) y otros que obviamente
debes eliminar (telnet, irc, etc.), pero habr otros que no ests
seguro para qu se estn usando. Checa las computadoras que
estn usando estos servicios desconocidos, y ve qu aplicacin
los est usando. Luego coteja con tu inventario de software para
ver si ese paquete est autorizado o no.
62
b)
Desactivacin
de
puertos
servicios
innecesarios
Hay dos procedimientos: primero remueve el software
no autorizado que est activando esos puertos y servicios.
Despus, asegrate de bloquear en tus firewalls todos los
protocolos que estn estrictamente prohibidos en tu red. De esta
forma la prxima vez que un usuario instale un software no
autorizado con servicios no autorizados, el firewall los bloquear.
En caso de duda, bloquea el servicio. Seguramente el usuario te
hablar para ver que pasa, y te enterars inmediatamente de la
instalacin no autorizada del software.
63
Control 7: Inventario de GUIs

Vectores de ataque que previene: 2 Passwords
default; 3-Ataque bruteforce de passwords
Software utilizado: scanner de vulnerabilidades; sniffer
de trfico.
Las interfaces web (GUI, graphical user interface) que
aceptan usuarios y passwords son una clara vulnerabilidad. Sin
duda tienes bien identificadas las GUI de tus aplicaciones web.
El problema es que muchas veces ciertos paquetes de software
y hardware vienen con pequeos servidores web para su
administracin, y vienen activados por default. Por ejemplo la
mayora de los telfonos VoIP tienen integrado un servidor web
de administracin; cuando conectas el telfono y le asignas una
IP, al acceder esta IP en el puerto 80, puedes ver la GUI del
telfono, que generalmente viene con un password default, y por
lo tanto fcilmente hackeable. En un anlisis de vulnerabilidades
que realic para una entidad gubernamental, el elemento que
ms vulnerabilidades present durante el escaneo fueron los
servidores
web
de
las
impresoras
multifuncionales
que
acababan de adquirir; no tenan ni idea que venan con una GUI

para su administracin.
64
El nico proceso es el siguiente:

a)
Inventario de las interfaces web en la red
El primer paso es correr scans para detectar qu IPs

tienen los puerto 80 y 443 abiertos. Toda interface web de login
usa generalmente https, y a veces http. Generalmente estos
protocolos corren en los puertos 443 y 80 respectivamente, pero
no siempre; a veces los servidores web de administracin
activan puertos inusuales. Entonces, tambin debes hacer
anlisis de trfico peridicos con un sniffer de trfico, o
analizando las bitcoras de tu firewall, para ver qu IPs estn
transmitiendo http y https.
En forma proactiva, cada vez que instales hardware y
software nuevo, checa la documentacin para ver si trae una
GUI.
65
Control
8:
Escaneo
remediacin
de
vulnerabilidades
Vectores de ataque que previene: 1-Exploits; 8-Ataque a
aplicaciones web
Software utilizado: scanner de vulnerabilidades; software
de virtual patching
Recordando lo que mencionamos en la seccin de
vectores de ataque, una vulnerabilidad es un error de
programacin que le permite a un hacker el introducir su propio
programa en una variable del programa vulnerable, tomando as
control
de
la
mquina
en
cuestin.
El
escaneo
de
vulnerabilidades detecta a estos programas con un alto grado de

precisin, y nos indica cmo remediarlas.
Estos son los procesos relacionados con este control:
a)
Escaneo de vulnerabilidades
Hay dos categoras de escaneo de vulnerabilidades:

escaneo a software normal, y escaneo a aplicaciones web.
Estos escaneos son radicalmente diferentes, por lo que
proceder a explicar cada uno.
66
La forma como un scanner hace la deteccin de

vulnerabilidades en software normal es conceptualmente muy
sencillo. Hay dos tipos de scans que podemos realizar:
autenticado, y sin autenticar. Cuando el scan se hace sin
autenticar, lo que el scanner hace es detectar qu puertos tiene
activos la mquina escaneada. En base a los puertos abiertos,
deduce qu software relacionado a esos puertos est instalado.
Luego, coteja una base de datos de vulnerabilidades, y si el
software instalado corresponde con algn software reportado
como vulnerable, lo indica en el reporte de resultados. Sin
embargo, el escaneo sin autenticar es menos preciso que el
escaneo autenticado, ya que al tratar de detectar el software
instalado usando solo como base los puertos abiertos, puede
haber ms errores, o sea falsos positivos. Por eso, el mtodo
ms preciso y recomendado es el escaneo autenticado. En este
tipo de escaneo, el scanner tiene su propio usuario y password
en la mquina a ser escaneada. Entonces hace login en forma
automtica, y checa la lista de software instalado. Entonces
procede a cotejar esta lista de software instalado con la base de
datos de software vulnerable, y en base a esto genera un
reporte. Al saber exactamente qu software tiene instalada la
mquina, por lgica el scan es mucho ms preciso. Pero an as
puede haber falsos positivos, ya que software que fue
desinstalado o actualizado a veces deja pistas falsas, tal como
registros en el registry, o folders instalados, que pueden
confundir al scanner. Pero los scanners lderes en el mercado
pueden llegar a tener una precisin a nivel 6 sigma, o sea solo
67
3.4 errores por milln de escaneos, un error siendo un falso

positivo o un falso negativo.
El otro tipo de escaneos es a aplicaciones web. Este tipo
de scan es activo, en el sentido de que el scanner inyecta
cdigos de SQL o de JavaScript; si la aplicacin web responde
con errores, entonces quiere decir que es vulnerable a SQL
injection o a cross-site scripting, respectivamente. Por lgica
aqu no puede haber falsos positivos, ya que el scanner no est
haciendo una inferencia sobre la presencia de cierta versin de
un paquete de software, inferencia que puede ser errnea; lo
que est haciendo es una prueba activa, sobre la aplicacin web
en vivo, y ve como responde sta. En base a su respuesta en
vivo se determina si es vulnerable o no.
b)
Remediacin de vulnerabilidades de alto
riesgo
Una vez que corremos el scan y tenemos los resultados,
lo importante es enfocarnos a las vulnerabilidades de ms alto
riesgo. Generalmente para remediar una vulnerabilidad hay que
instalar un parche (patch), pero en muchas otras ocasiones
hay que desactivar ciertos servicios, desinstalar ciertos software,
o simplemente no hay nada que hacer porque el software
vulnerable es un 0 day y no hay solucin an.
68
c)
Remediacin de vulnerabilidades de riesgo
mediano y bajo
Despus de remediar las vulnerabilidades de alto nivel,
hay que remediar las de mediano nivel. Las de bajo nivel
generalmente no son tan importantes; si tienes tiempo de
remediarlas adelante, pero por lgica siempre atiende las de
ms alto nivel primero. Esto puede sonar obvio, pero a veces el
solucionar las de bajo nivel es mucho ms fcil, y podemos
invertir nuestro valioso tiempo enfocndonos en lo ms fcil.
d)
Implementacin de patching virtual
Lo que hace el software de virtual patching es recibir el

reporte de vulnerabilidades del scanner, y proceder a bloquear el
acceso a las aplicaciones que fueron reportadas vulnerables. De
esta forma, mientras procedemos a arreglar las vulnerabilidades,
que puede tomar horas, das o semanas (esperemos que no
meses), la aplicacin vulnerable est protegida de ataque. El
patching virtual funciona fundamentalmente como un firewall o
IPS especializado instalado en servidores y PCs. Este firewallIPS lo que hace es filtrar cualquier tipo de trfico malicioso que
vaya dirigido a la aplicacin vulnerable. Este es un excelente
mtodo de mitigar el riesgo de ataque a esa aplicacin, mientras
el patching permanente es implementado.
69
Control 9: Endurecimiento de servidores y Pcs

Vectores de ataque que previene: 1-Exploits; 2Passwords default
Cuando adquirimos hardware y software nuevo, muchas
de las variables de configuracin pueden venir parametrizadas
en forma insegura. Por ejemplo, las polticas de uso de
password pueden ser dbiles, o puede permitir el uso de USBs.
Otros controles son absolutamente esotricos, pero no por eso
menos
importantes.
Por
ejemplo,
el
uso
del
archivo
/etc/csh.cshrc en Linux define las caractersticas del C shell; el

acceso a este archivo le permitira a un hacker el alterar
variables en todo el sistema que le permitira escalar privilegios
o el lanzamiento de rootkits; por lo mismo el acceso a este
archivo debe ser limitado.
El endurecimiento de servidores y PCs es un proceso
difcil, ya que hay literalmente miles de controles especficos que
configurar, dependiendo del sistema operativo y software
instalado. Afortunadamente este proceso es automatizable con
un scanner de vulnerabilidades que tenga la funcin de
cumplimiento con normas (policy compliance)
70
Veamos ahora los procesos:

a)
Escaneo de polticas de endurecimiento en
servidores
Este proceso consiste en usar el scanner para detectar
todas las configuraciones de los servidores. El reporte te
indicar cules configuraciones son inseguras; procede a
cambiar las configuraciones de acuerdo a las instrucciones del
reporte.
b)
Escaneo de polticas de endurecimiento en
PCs
Este procedimiento es idntico al anterior, excepto que
para PCs.
71
Control 10: Web application firewall

Vectores de ataque que previene: 8-Ataque a aplicacin
web
Procedimiento de defensa: 1-prevencin de intrusin
Software utilizado: Web Application Firewall (WAF)
Las aplicaciones web son actualmente uno de los
vectores de ataque ms comunes, por la simple razn que una
aplicacin web est abierta al pblico. Los hackers tienen todo el
tiempo del mundo para estarle metiendo datos hasta encontrar
una vulnerabilidad. Hay una organizacin, la Open Web
Application
Security
Project,
conocido
como
OWASP
(www.owasp.org), que publica cada ao la lista de las 10

vulnerabilidades ms comunes en aplicaciones web. Las dos
vulnerabilidades ms comunes es el SQL injection, donde el
hacker introduce comandos de SQL en bsqueda de acceso a
las tablas de la base de datos, y cross-site scripting, donde el
hacker introduce comandos de Javascript, con el objetivo de
tomar control de la sesin del navegador. Veamos como el web
application firewall previene esto.
a)
Implementacin de Web Application Firewall
Lo que una web application firewall (WAF) hace es leer los datos
que se introducen en una aplicacin web. Si ve que los datos
72
introducidos son comandos de SQL o Javascript, los bloquea.

En teora el programador de la aplicacin web debera de hacer
esta validacin a nivel programtico, pero como se escriben
miles de millones de lneas de cdigo al ao, de vez en cuando
se va a cometer errores. Para eso instalamos la WAF. Un punto
importante es que aunque tengamos una WAF, de todas formas
debemos escanear las aplicaciones web directamente, y
remediar las vulnerabilidades de origen. Siempre es posible que
la WAF falle o sus defensas sean burladas con ataques
novedosos que la WAF an no puede bloquear. De igual forma,
el software mismo de la WAF puede ser vulnerado. Recuerda el
principio de Defensa en Profundidad.
73
Control 11: Proteccin de bases de datos

Vectores de ataque que previene: indistinto
Procedimiento de defensa: 1-Prevencin de intrusin; 3Prevencin de extraccin; 4-Prevencin de modificacin
Software utilizado: Software de prevencin de prdida
de datos (data loss prevention, DLP), firewall de bases de
datos.
Hay dos fuentes de prdida de datos: primero, las
prcticas inseguras de los usuarios. Un usuario sin malicia
puede acceder a documentos clasificados, y luego enviarlos a
alguien va email sin encriptar. Y segundo, los hackers que
intentan extraer informacin de la empresa.
La proteccin de las bases de datos se hace de varias
maneras. Primero, hay que asegurarnos que el software mismo
no tenga vulnerabilidades (Oracle, SQL Server, mySql, etc.)
Segundo, debemos evitar el acceso no autorizado a las bases
de datos en s. Y tercero, debemos de monitorear el flujo de los
datos mismos a travs de la red.
Estos son los procesos relacionados a este control:
74
a)
Escaneo de vulnerabilidades en plataforma
de bases de datos
Este procedimiento de hecho cae dentro del control 8,
escaneo y anlisis de vulnerabilidades. El software de bases de
datos,
como
cualquier
otro
software,
puede
presentar
vulnerabilidades tipo buffer overflow. Ya que las bases de datos

contienen lo ms valioso en la empresa, siempre se le debe dar
prioridad a la remediacin de vulnerabilidades en las mismas.
b)
Escaneo de polticas de endurecimiento de
bases de datos
De igual forma que el proceso anterior, este proceso a
su vez cae dentro del control 9, endurecimiento de servidores y
PCs.
Hay un conjunto de polticas especficas para base de
datos que deben ser configuradas a la hora de user el scanner

de cumplimiento con normas (policy compliance), y de igual
forma, su remediacin debe tener las ms alta prioridad. Estas
polticas estn enfocadas a la configuracin del software de la
base de datos con referencia a los permisos de acceso a las
tablas, permisos para cambios de configuracin, timeouts the
conexin, y literalmente cientos de otras polticas, que
afortunadamente el scanner checa automticamente.
c)
Implementacin de firewall de base de datos
y sistema de prevencin de prdida de datos (data loss

prevention, DLP)
75
El firewall de base de datos y el sistema de prevencin

de prdida de datos cumplen funciones complementarias, pero
operativamente diferentes. El firewall de base de datos se ubica
topolgicamente enfrente de la base de datos, filtrando cualquier
comando SQL no permitido, y monitoreando y reportando la
actividad de la base de datos: tablas accedidas por usuario,
datos modificados, etc. Pensaras que con el Web Application
Firewall sera suficiente, pero no: si un hacker vulnera la red
local sin pasar por una aplicacin web, entonces el WAF no
previene nada, ya que el hacker tiene acceso a la base de datos
va la LAN. Es en este caso de que el firewall de base de datos
bloquea cualquier intento de extraccin o modificacin de datos.
El firewall de base de datos se puede configurar con reglas muy
especficas, por ejemplo indicando qu tipo de comandos SQL
son permitidos desde qu IPs.
Ahora, mientras que el firewall de base de datos
funciona primordialmente a nivel SQL, el sistema de Data Loss
Prevention (DLP) detecta el flujo y almacenamiento de datos
especficos (datos en reposo). Para detectar datos en flujo, la
arquitectura consiste en mandar una copia del flujo de trfico en
la red al appliance o servidor donde est el DLP, para que ste
examine los datos. El DLP viene con expresiones regulares
(regular expressions) pre programadas para detectar patrones
conocidos de datos delicados, tal como nmeros de tarjeta de
crdito. Y le puedes programar cualquier otra expresin regular
para detectar datos especficos de tu empresa. Por ejemplo, los
76
documentos confidenciales de tu empresa pueden ser marcados

con la frase confidencial-para uso interno, y el DLP detectar la
presencia de este texto. Puede detectar patrones de datos en
cualquier tipo de archivo: Word, Excel, PDF, tablas de bases de
datos, emails, etc. Si el DLP detecta flujo de datos clasificados
como confidenciales, activa una alerta.
Para detectar datos almacenados, tambin conocidos
como datos en reposo, el sistema de DLP hace un scan a
servidores que puedan contener informacin. Al hacer el scan,
busca los patrones de datos determinados, y genera reportes al
respecto. Adems de correr scans, para el caso de laptops y
PCs, se puede instalar un agente que est monitoreando y
reportando la presencia de patrones de datos, y si estos datos
son extrados va algn protocolo como http, o va USBs, CDs,
etc.
Una subcategora del DLP es conocida como data
masking, u ocultamiento de datos. Software de data masking
toma datos de una base de datos, y solo presenta informacin
selectiva, en base al usuario. Por ejemplo, si una tabla contiene
los nombres y tarjetas de crdito de clientes, el sistema de data
masking puede ser configurado para que cuando un empleado
acceda la tabla va una aplicacin, slo pueda ver el nombre del
cliente y los cuatro ltimos dgitos de la tarjeta de crdito, pero
no el nmero completo.
77
Control 12: Antimalware

Vectores de ataque que previene: 9-Virus, troyanos y
gusanos
Software utilizado: software antimalware; scanner de
vulnerabilidades
Los virus son el malware ms conocido por los usuarios,
y en general la mayora de la gente toma la precaucin de
instalar un antivirus en su computadora. Al implementar este
control, debemos de asegurarnos de que tanto un antivirus como
un firewall personal estn instalados.
Veamos los procesos:
a)
Instalacin de AV en todas las mquinas
El sistema de antivirus debe incluir antispyware. Se recomienda

que tenga un mdulo de administracin centralizada.
b)
Instalacin de firewall personal en todas las
mquinas
Cada vez es ms comn que los paquetes antivirus vengan con
un firewall personal incluida.
78
c)
Escaneo de auditora de AV y firewall
personal
Hay
que
utilizar
el
scanner
de
vulnerabilidades
de
cumplimiento de polticas para checar que todas las mquinas

tengan el antivirus y firewall personal instalado.
79
Control 13: Proteccin de plataformas mviles

Procedimiento de defensa: 1-prevencin de intrusin
Software utilizado: software antimalware mvil
El aseguramiento de la plataforma mvil es un gran reto.
Los telfonos celulares y tabletas se han convertido en
plataformas por lo menos tan importantes como las laptops y
PCs para acceder los datos corporativos, sobre todo el correo
electrnico. Sin embargo, en la mayora de los casos los
usuarios ni siquiera se molestan en ponerles passwords a sus
telfonos mviles. Adems de el riesgo que se corre si se pierde
el equipo, cada vez se incrementa ms el riesgo de malware en
las plataformas mviles. Ya existen todo tipo de virus y troyanos
especficos para cada sistema operativo mvil, y ahora que el
Java se usa cada vez ms para aplicaciones mviles, aparecer
ms malware relacionado a este lenguaje.
Al implementar un sistema de proteccin de plataforma
mvil, es imperativo que tenga un control centralizado desde el
cual podamos configurar y monitorear el status de seguridad de
los telfonos celulares de los usuarios. Las plataformas de
seguridad mvil ms avanzadas no solo te permiten controlar
polticas de seguridad bsicas como los passwords y la
80
proteccin en contra de malware, sino que te permiten controlar

las polticas basndose en la posicin geogrfica del telfono
celular. Otras soluciones tambin incluyen firewall y IPS para el
celular.
Veamos los procesos requeridos para mitigar este
riesgo:
a)
Implementacin de passwords en plataforma
mvil
Checa que todos los telfonos celulares tengan un password
configurado.
b)
Proteccin
en
contra
de
malware
en
plataforma mvil
El malware en plataformas mviles es cada da ms comn.
Existen virus, inclusive virus con la capacidad de propagarse por
Bluetooth; pero el riesgo principal son los troyanos. Hay muchas
descargas de aplicaciones mviles disponibles, y esto es
fcilmente usado para introducir troyanos. Conforme las
plataformas mviles se vayan usando cada vez ms para
realizar transacciones financieras, los casos de malware mvil
se irn incrementando. Asegrate que la plataforma de
seguridad mvil que adquieras tenga proteccin en contra de
malware, as como firewall e IPS.
81
c)
Capacidad de bloqueo remoto
Con este proceso implementado, en el momento de que un

usuario te reporte que su telfono celular fue robado, lo podrs
bloquear inmediatamente. Algunas soluciones tambin te
permiten ubicar el celular geogrficamente, si ste tiene GPS.
d)
Capacidad de eliminacin remota de datos
Al implementar este control, tendrs la capacidad de borrar los

datos del telfono celular remotamente, si no se pudo recuperar.
82
Control 14: Proteccin de redes inalmbricas

Vectores
de
ataque
que
previene:
11-Ataque
inalmbrico
Software utilizado: software de deteccin y prevencin
de intrusin inalmbrica
El problema principal de las redes inalmbricas es que
los datos estn volando por el aire. Esto le da al hacker todo el
tiempo necesario para analizar los datos y tratar de romper la
encriptacin, sentado afuera de tu edificio. Como vimos en la
seccin de vectores, el protocolo WEP es fcil de romper, por lo
que sobra decir que no debe estar presente en ninguna parte de
tu red inalmbrica; usa solo WPA o WPA2, y asegrate que el
password sea realmente largo, y con caracteres alfanumricos.
WPA ciertamente es ms seguro, pero an as puede ser
hackeado si el password es corto. Un password muy largo y con
caracteres poco comunes minimizan por mucho el riesgo. Desde
el punto de vista de arquitectura de seguridad, se recomienda
que las IPs asignadas a los puntos de acceso inalmbrico estn
segregados en su propia VLAN, y las reglas de acceso a la LAN
estn bien identificadas y administradas. Si el objetivo de la red
inalmbrica es solo darle acceso a Internet a usuarios que se
estn moviendo por el edificio, y/o a visitantes, te recomiendo
que mejor contrates un servicio de banda ancha con modem
83
inalmbrico que est conectado a una lnea telefnica; de esta

forma ese trfico queda totalmente aislado de tu red local. Si los
usuarios conectados a la red inalmbrica requieren acceso a
recursos en la red local, lo puedes proveer por VPN,
exactamente como si estuvieran conectados remotamente. De
esa forma la seguridad la concentras en el punto de acceso de
la VPN, y no te tienes que preocupar tanto por la red
inalmbrica.
Adems del riesgo a nivel protocolo, existe la posibilidad
de vulnerabilidades en el software del punto de acceso. Para
eso hay que escanear las IPs de los puntos de acceso con el
scanner de vulnerabilidades.
Estos son los procesos:
a)
Escaneo de vulnerabilidades en puntos de
acceso inalmbricos
El scanner de vulnerabilidades detectar si el software
de los puntos de acceso es vulnerable a ataques tipo exploit.
Adems el scanner te ayuda a rpidamente detectar las IPs de
los puntos de acceso.
b)
Implementacin de wireless IPS
Los sistemas de prevencin de intrusin inalmbricos

(WIPS)
estn
diseados
especficamente
84
para
redes
inalmbricas, y tienen capacidades que van ms all del IPS en

tu LAN. Un WIPS puede tener las siguientes funcionalidades:
Mapeo de las zonas de cobertura de la red inalmbrica. Esto te

sirve para ver si tu red inalmbrica se est desbordando fuera de
tu edificio.
Lista de puntos de acceso no autorizados. Es posible que un

usuario traiga su propio punto de acceso para crear su propia
mini red inalmbrica. Con esta funcionalidad detectas puntos de
acceso no autorizados.
Muestra qu IPs y direcciones MAC estn conectadas a qu

punto de acceso. En base a esto puedes crear alertas
Alerta cuando un usuario se conecta a un punto de acceso no

autorizado. Esto previene que un hacker active un punto de
acceso afuera de tu edificio y tus usuarios se conecten creyendo
que es legtimo. Si esto ocurre, el hacker puede leer el trfico del
usuario conectado.
85
Control 15: Filtrado de email y sitios web

Vectores
de
ataque
que
previene:
6-Phishing;
7-Sitios
infectados; Virus, troyanos y gusanos

Software utilizado: software antimalware
Los vectores de ataque de phishing y de sitios
infectados son muy usados por hackers por la simple razn de
que nuestros usuarios son generalmente el eslabn ms dbil
en nuestra cadena de seguridad. Si se le enva un email de
phishing bien diseado a un usuario, las probabilidades de que
abra
el
email
descargue
un
PDF
infectado
son
extremadamente altas. De igual forma, no es difcil engaar a un

usuario para que visite un sitio web infectado con malware. Por
otro lado, existe el ataque va malvertising, el cual consiste en
poner anuncios en sitios de buena reputacin, pero los anuncios,
que parecen legtimos, llevan al usuario a sitios infectados con
malware. Hasta el usuario ms sofisticado puede caer en esta
trampa.
Estos son los procesos ligados a este control:
86
a)
Implementacin de filtrado de emails
El filtrado de email se usa principalmente para evitar spam, pero

los sistemas ms avanzados tambin tienen la capacidad de
detectar archivos con virus, emails de phishing, ligas a sitios web
inseguros.
b)
Implementacin de filtrado de sitios web
Los filtros de sitios web son proxies a travs del cual el usuario
se conecta a Internet, y bloquea el acceso a cualquier sitio que
contenga malware.
87
Control 16: Sistema de prevencin y deteccin de

intrusin
Procedimiento de defensa: 2-Deteccin de intrusin
Software utilizado: software de deteccin y prevencin
de intrusin
Los sistemas de deteccin y prevencin de intrusin
funcionan detectando comportamiento sospechoso en el trfico
de nuestra red. Esta deteccin se hace de tres formas
consecutivamente ms complejas:
1. Anlisis de protocolo. Este proceso es el ms
bsico, y consiste en revisar las secuencias de
paquetes en los protocolos que estn fluyendo
en la red. Cada protocolo (http, ssh, ftp, etc.)
tiene
secuencias
de
paquetes
normales;
cualquier desviacin de stas puede representar

un ataque.
2. Deteccin en base a firmas: Este es el proceso
ms
comn.
Consiste
en
comparar
las
secuencias de paquetes con secuencias de

ataque conocidas, las cuales se conocen como
firmas o reglas. Estas reglas pueden ser muy
sencillas, por ejemplo, la regla puede indicar
que se debe activar una alarma o bloquear los
88
paquetes,
si
cierto
protocolo
est
siendo
enviado a cierta IP. Tambin se pueden tener

reglas que busquen lneas de texto en los
paquetes, tal como /bin/sh. Hay miles de
reglas preestablecidas, y tu puedes agregar
reglas nuevas relevantes para tus sistemas.
3. Anlisis estadstico: el sistema se deja un
tiempo en modo de aprendizaje, para que
aprenda qu comportamientos en cuestin de
uso de protocolos y flujos entre IPs es normal.
Luego, cuando hay una desviacin sobre este
comportamiento, emite una alarma. Si la alarma
la marcas como falso positivo, el sistema
aprende del error.
En mi experiencia haciendo pruebas de penetracin
aprend que los sistemas de prevencin de intrusin son una
barrera formidable contra el hacker. Ciertamente hay tcnicas
para evadir sistemas de prevencin de intrusin, pero no son
fciles de ejecutar, y las compaas que fabrican los sistemas
constantemente estn actualizando las reglas y algoritmos,
hacindolos ms sofisticados e inteligentes. Un sistema de IPS
elimina a los hackers amateurs y mediocres de la ecuacin, y
solo los hackers elite pueden maniobrar con cierto grado de
xito en una red con un buen sistema de IPS implementado.
89
Este control solo tiene un proceso relacionado:

a)
Implementacin de sistema de deteccin y
prevencin de intrusin
90
Control 17: Anlisis de bitcoras

Software utilizado: software de anlisis de bitcoras
Prcticamente todo el hardware y software en tu red
genera una bitcora, donde se registran todo tipo de eventos. En
las bitcoras quedan registrados eventos importantes para el
buen funcionamiento y la seguridad de tu red, pero ya que son
tantos datos, esto se tiene que automatizar usando software de
anlisis de bitcoras. Un hacker talentoso puede evadir tu IPS y
establecer una presencia en tu red, y de ah lentamente y con
todo cuidado comenzar a explorar, buscando pacientemente
otras vulnerabilidades. Pero aunque evada el IPS, sus acciones,
por muy mnimas que sean, sern reportadas de una forma u
otra por aplicaciones y hardware, y registradas en bitcoras. El
reto es analizar estas bitcoras y descubrir estos patrones poco
obvios de intrusin sigilosa.
Veamos sus procesos:
a)
Anlisis de bitcoras
El anlisis de bitcoras gira alrededor del concepto de

correlacin de eventos. En trminos generales, dos o ms
91
eventos pueden estar correlacionados ya sea porque ocurrieron

al mismo tiempo, o porque fueron parte de una secuencia lgica.
El anlisis de bitcoras es un proceso fundamentalmente
manual; el software que existe para ayudarnos en este proceso
digiere la informacin y la presenta en forma legible y grfica,
para que un cerebro humano pueda entonces detectar patrones
en los datos. Este es un punto muy importante; hay soluciones
que activan alertas al detectar ciertos eventos (ver inciso b),
pero an no son muy inteligentes. Se requiere una combinacin
de una o ms personas analizando los datos metdicamente, y
alertas automticas.
b)
Alertas de eventos sospechosos
Al implementar este control, nos aseguramos que los

eventos de seguridad sospechosos ms comunes
automticamente activen alertas de seguridad. El
problema de las alertas automticas es que son
demasiado genricas, por lo que pueden fcilmente
generar demasiados falsos positivos. Por eso insisto que
lo importante es combinar automatizacin con el anlisis
inteligente y creativo de la mente humana.
92
Control 18: Anlisis de trfico

Software utilizado: software de anlisis de trfico
El anlisis de trfico consiste en tomar un muestreo del
trfico de datos en nuestra red, para entender principalmente las
siguientes variables de los paquetes:
1. IP de origen
2. IP de destino
3. Puerto de origen
4. Puerto de destino
5. Protocolo
El anlisis de trfico se hace principalmente como parte
de la administracin de la capacidad de la red, a travs de la
mejora de la topologa lgica y fsica. Pero tambin se puede
utilizar con fines de anlisis de seguridad.
a)
Anlisis de trfico
Este proceso es similar al anlisis de bitcoras. En

teora, nuestro sistema de prevencin de intrusin
debera detectar todo trfico sospechoso, pero no
93
siempre es el caso. A veces un hacker puede ocultar su

trfico muy bien y no activar el IPS. Por eso es
necesario que alguien cheque con frecuencia los
reportes de anlisis de trfico, y busque IPs de origen y
destino inusuales, as como puertos y protocolos que no
deberan de estar presentes.
b)
Alertas de trfico sospechoso
Hay aplicaciones de anlisis de trfico sofisticadas que

nos permiten establecer alertas basados no solo en IPs
y protocolos, sino tambin en el flujo de datos de
aplicaciones
especficas.
Por
ejemplo,
si
ciertas
aplicaciones comienzan a enviar datos a una IP externa

en
horas
de
la
noche,
puede
sospechosa, y activar una alarma.
94
indicar
actividad
Control 19: Monitoreo de integridad de archivos

Procedimiento de defensa: 2-deteccin de intrusin
Cuando un hacker toma control de una mquina, a
veces cambia archivos de configuracin en el proceso. Si este
cambio se hizo fuera del proceso formal de control de cambios,
es una seal inmediata de intrusin. De igual forma, si el hacker
introduce un paquete de software modificado que contenga
software malicioso, el monitoreo de integridad lo detectar.
Este es el proceso relacionado:
a)
Monitoreo de integridad de archivos
El software de monitoreo de integridad de archivos

funciona sacando un hash de los datos del archivo o
aplicacin, y luego peridicamente comparando el hash
original con el hash actual. Si ste cambia, el software
emite una alarma o reporte.
95
Control 20: Prevencin de prdida de datos

Procedimiento de defensa: 3-Prevencin de extraccin;
4-Prevencin de modificacin
Software utilizado: software de prevencin de prdida de
datos (data loss prevention) y software de ocultamiento de
datos (data masking)
El proceso de prevencin de prdida de datos (data loss
prevention) consiste en monitorear los datos en trnsito y
reposo,
para
detectar
flujos
de
datos
prohibidos,
almacenamiento de datos inseguros.

a)
Implementacin de sistema de prevencin de
prdida de datos
Hay tres tipos de sistemas de prevencin de
prdida de datos: de red, de almacenamiento, y de PC.
Los
sistemas
de
red
se
encuentran
posicionados en el permetro, en los puntos de egreso

de datos, y constantemente monitorean los datos
saliendo de la red; el sistema se configura con palabras
96
clave; si se detectan estas palabras (tales como

secreto, estados financieros, patentes, etc.), se
activa la alarma.
Los sistemas de almacenamiento escanean las
bases de datos y archivos, determinando la seguridad
del almacenamiento; por ejemplo, si detecta que
archivos con las palabras clave se encuentran en un
servidor ftp, se activa la alarma.
Los sistemas de PC checan si las palabras
clave fluyen o son almacenadas en las PCs.
b)
Implementacin de dynamic data masking

El proceso de data masking consiste en ocultar
parcialmente algunos campos de datos, y
presentar otros en forma completa. Por ejemplo,
si tu organizacin procesa tarjetas de crdito,
dentro de un proceso de datos se puede hacer
un ocultamiento parcial del nmero de tarjeta de
crdito, y presentar completo el nombre del
tarjetahabiente. De esta forma se pueden crear
reglas de acceso a datos a nivel de campo en
una tabla de datos.
97
Control 21: Encriptacin de datos en transmisin

Software utilizado: software de encriptacin de datos
La arquitectura de las redes locales actuales funciona a
travs de switches o ruteadores, en donde cada mquina se
conecta en forma individual al switch; por lo tanto, los datos
fluyen de mquina a mquina, casi sin riesgo de intercepcin. Es
por esto que realmente no es necesario encriptar datos que
fluyen por la red local, al menos que sean extremadamente
secretos. Lo que s es requerido es la encriptacin de datos
cuando stos viajen por redes externas, especficamente la
Internet.
Estos son sus procesos relacionados:
a)
Si
Encriptar datos transmitidos

tu
organizacin
requiere
transmitir
datos
constantemente entre oficinas o a otras organizaciones,

el mejor mtodo es establecer una VPN (virtual private
network). A travs de la VPN le puedes dar acceso a
partes de tu red local a usuarios remotos. Ahora, si el
98
objetivo es solamente proveer acceso a algunos

archivos, te conviene ms establecer una extranet,
usando
https
autenticacin;
es
ms
fcil
de
implementar y de limitar el riesgo.

b)
Encriptar email
Todos sabemos que los emails que enviamos por la

Internet sin encriptar pueden ser ledos en el camino. Desde el
punto de vista prctico, es muy difcil encriptar todos nuestros
emails, porque para esto tendramos que tener la llave pblica
del destinatario, y son pocas las personas que se toman el
trabajo de generar una llave pblica. Por esto, aunque nosotros
tengamos la intencin de encriptar nuestros emails, si los dems
no cooperan, no funciona. Esto explica por qu casi no se usa la
encriptacin de email. En lugar de tratar de encriptar el email,
debemos asegurarnos de que cuando tengamos que comunicar
datos clasificados, lo hagamos por medio de un memo,
encriptarlo, y enviarlo como un adjunto en el email, o a travs de
un servicio de transmisin segura de archivos.
Por otro lado, lo que s debemos encriptar es la
comunicacin entre la computadora y el servidor de correo, en
casos de que se usen redes inalmbricas. Si un usuario est
conectado a la red local va Ethernet, es poco probable que la
comunicacin sea interceptada. Sin embargo, si el usuario se
encuentra en un punto de acceso de WiFi pblico, y se conecta
con su cliente de email al servidor de correo sin encriptar, el
99
username y password de su cuenta es muy fcil de interceptar.

Una tctica comn durante pruebas de penetracin es sentarse
en un caf cercano a la compaa objetivo, conectarse al
servicio gratuito de Internet inalmbrico, activar un sniffer, y
esperar a que los empleados entren y se conecten. Es por esto
que es importante que si se usa un cliente de email de web, nos
aseguremos que use HTTPS, y si es un cliente tipo Microsoft
Outlook, est configurado para encriptar la comunicacin entre
el cliente y servidor. De igual forma, se puede utilizar una VPN.
100
Control
22:
Encriptacin
de
datos
en
almacenamiento
Software utilizado: software de encriptacin de datos
Las bases de datos contienen la informacin ms
importante de tu organizacin, y la encriptacin de datos
almacenados es fundamental para su seguridad, ya que no slo
queda protegida de amenazas externas, sino de robo de
informacin interno tambin.
a)
Hay
Encriptar datos almacenados

dos
niveles
de
encriptacin
que
podemos
implementar. Primero, todos las plataformas de base de datos

traen su propio proceso de encriptacin de las tablas. Esto
puede ser suficiente si la informacin no es confidencial.
Segundo, si la informacin es realmente confidencial, se puede
utilizar alguna plataforma de encriptacin de base de datos, que
le agrega una capa extra de encriptacin a las mismas, y una
mejor administracin de los passwords y privilegios.
101
b)
Encriptar discos duros de PCs y laptops
Este proceso consiste en encriptar todo el contenido de

las PCs y laptops, para evitar la extraccin de datos en caso de
robo del equipo. De igual forma, el mtodo de acceso
recomendado es el biomtrico, a travs de un lector de huella
digital.
102
Control 23: Defensa en contra de denegacin de

servicio
Procedimiento de defensa: 6-Prevencin de denegacin
Software utilizado: soluciones de filtrado de paquetes;
servicios de redireccionamiento de trfico
Una denegacin de servicio (denial of service, DOS),
es un tipo de ataque en el que se lanza una gran cantidad de
requerimientos de http (o algn otro protocolo) contra un sitio
web, con el objetivo de saturarlo y no permitir que responda a
usuarios legtimos. Estos ataques se hacen ya sea por
venganza, hacktivismo, o para realizar chantaje econmico; un
sitio web de comercio electrnico puede perder mucho dinero
por cada minuto que est fuera de lnea.
Los ataques no son siempre en contra de http o algn
protocolo de red; tambin se pueden hacer en contra de otros
recursos del servidor, tal como el espacio de memoria.
Estos son los procesos relacionados con este control:
103
a)
Monitoreo de uso de recursos en sitios web
Hay que implementar procesos que monitoreen el

consumo de ancho de banda, el CPU, y el espacio en
disco de los servidores, para detectar a tiempo la
saturacin en el consumo de recursos. Tambin se debe
contratar un servicio de monitoreo de disponibilidad de
sitios; estos servicios en lnea envan peridicamente
requerimientos de http al servidor, y si ste no responde,
o tarda mucho en responder,
emiten una alerta por
email y/o sms.

b)
Implementacin en contra de denegacin de
servicio
Hay dos opciones para defenderse en contra de
denegacin de servicio. Lo primero que se puede hacer
es adquirir un equipo que se instala en la red local, por
el cual pasa todo el trfico de entrada; lo que hace es
que analiza el trfico de Internet, para determinar si los
paquetes que estn llegando son de ataque, y los filtra.
Estos aparatos tienen una alta capacidad de CPU, por lo
que es muy difcil que se saturen. La segunda opcin es
contratar un servicio de filtrado de trfico. En este caso
el dominio a ser protegido es redirigido no a la IP del
servidor web, sino a una IP de la compaa que provee
el servicio de filtrado. El trfico llega al centro de datos
de esa compaa, quien lo analiza, y filtra los paquetes
de ataque, y luego procede a enviar los paquetes
104
legtimos a la IP del servidor web, para que ste

responda el requerimiento.
105
Control 24: Entrenamiento a usuarios

Vectores
de
ataque
passwords; 6-Phishing;
que
previene:
4-Robo
de
7-Sitios infectados; 10-Ingeniera
social
Procedimiento de defensa: 1-Prevencin de intursin; 3Prevencin de extraccin; 4-Prevencin de modificacin
Software utilizado: NA
Desgraciadamente no podemos instalar un firewall en
las mentes de los usuarios de nuestra red (an). Lo nico que
nos queda es entrenarlos continuamente para que no caigan
vctimas del phishing y de la ingeniera social.
Una parte del problema es la falta de conocimiento, pero
la otra parte del problema es que a muchos usuarios
simplemente no les importa la seguridad; no lo ven como un
problema para ellos. Como mencionamos anteriormente, en
Inglaterra hicieron el experimento de ofrecerle un chocolate a la
gente que iba pasando por la calle, a cambio del password de
acceso de sus redes corporativas. Increblemente, ms del 70%
acept el chocolate a cambio del password. Obviamente no les
importa. Por eso se recomienda la implementacin de algn tipo
de poltica de recursos humanos, en la que si se demuestra que
106
hubo un incidente de seguridad por no seguir procedimientos, la

persona responsable sea despedida.
Este es el nico proceso de este control:
a)
Curso bsico de seguridad informtica para
usuarios
107
Control 25: Control de acceso fsico

Vectores de ataque que previene: 12-Robo fsico de
equipo; 13-Acceso fsico a la red
Procedimiento de defensa: indistinto
Recuerdo haber ledo en algn lado una prueba de
penetracin que hizo una compaa. El pen tester se hizo pasar
por empleado de la empresa, y sin problema entr a la oficina.
Se sent en un cubculo desocupado, conect su laptop, y le
pidi a soporte que le asignara una IP, cuenta de email, y lnea
telefnica. En menos de una semana, el pen tester estaba
participando en las fiestas de la compaa, y haba extrado todo
tipo de datos. Todo el mundo simplemente asumi que
perteneca a la compaa. Este es un caso extremo, pero ilustra
la importancia de la seguridad fsica. Todo flujo de personas
debe ser controlado y auditado por medio de tarjetas de acceso.
Desde el punto de vista arquitectnico, el mejor diseo es tener
las salas de juntas en el rea de recepcin, para que los
visitantes ni siquiera tengan acceso al rea de oficinas cuando
visiten.
108

b)
Control de acceso con autenticacin two
factor a rea de trabajo

c)
Control de acceso con autenticacin two
factor a rea de servidores
109
Control 26: Pruebas de penetracin

Software utilizado: software de pruebas de penetracin
(pen testing)
Generalmente si tenemos una arquitectura de seguridad
slida, podemos parar 90% de los ataques. Las pruebas de
penetracin son para detectar esas cuarteaduras en la muralla
que representan el otro 10%.
Hay dos formas de realizar las pruebas de penetracin:
contratar a un pen tester externo, o tener un equipo interno. El
tener un equipo interno reamente solo es econmicamente
viable para empresas grandes, pero esta inversin tiene el
potencial de reducir el riesgo tremendamente, ya que se tiene un
equipo de hackers ticos constantemente tratando de hackear la
red, en tiempo real, y reportando los problemas detectados. Si
no se tiene presupuesto para esto, el contratar a un hacker tico
externo es la siguiente mejor opcin. Se recomienda que las
pruebas de penetracin se hagan con una frecuencia trimestral,
y que no solo sean tcnicas, sino tambin de ingeniera social,
que es donde las empresas fallan ms.
110
Estos son los procesos relacionados a este control:

a)
Prueba de penetracin tcnica
b)
Prueba de ingeniera social
111
Control 27: Plan de respuesta a incidentes

El ltimo control consiste en implementar un plan de
respuesta a incidentes. Este plan no tiene que ser muy complejo
(se pueden encontrar guas en Internet); puede tener unas
cuantas
pginas.
El
objetivo
es
tener
por
escrito
los
procedimientos a seguir en caso de que ocurran diferentes

escenarios de prdida de seguridad, para que la respuesta sea
automtica y ordenada, y no se pierda tiempo tratando de decidir
qu hacer en el momento de la crisis.
Este es el proceso de este control:
a)
Implementacin de plan de respuesta y
recuperacin de incidentes
112
TABLA DE CONTENIDO
CAPITULO 1: INTRODUCCION.2
El Problema Fundamental de la Seguridad
Informtica2
CAPITULO 2: VECTORES DE ATAQUE4
Vector 1: Exploits8
Vector 2: Passwords default15
Vector 3: Brute force de passwords16
Vector 4: Robo de passwords19
Vector 5: Intercepcin de sesin21
Vector 6: phishing23
Vector 7: sitios infectados con malware25
Vector 8: Ataque a aplicaciones web26
Vector 9: Virus, troyanos y gusanos28
Vector 10: Ingeniera Social30
Vector 11: Ataque Inalmbrico32
Vector 12: Robo Fsico de Equipo34
Vector 13: Acceso fsico a la red35
CAPITULO 3: DEFENSA37
Control 1: Firewalls, Ruteadores, y Switches41
Control 2: Implementacin segura de DNS53
Control 3: Administracin de passwords56
Control 4: Inventario de hardware58
Control 5: Inventario de software60
Control 6: Inventario de puertos y servicios62
Control 7: Inventario de GUIs64
113
Control
8:
Escaneo
remediacin
de
vulnerabilidades66
Control 9: Endurecimiento de servidores y Pcs70
Control 10: Web application firewall72
Control 11: Proteccin de bases de datos74
Control 12: Antimalware78
Control 13: Proteccin de plataformas mviles80
Control 14: Proteccin de redes inalmbricas83
Control 15: Filtrado de email y sitios web86
Control 16: Sistema de prevencin y deteccin de
intrusin88
Control 17: Anlisis de bitcoras91
Control 18: Anlisis de trfico93
Control 19: Monitoreo de integridad de archivos95
Control 20: Prevencin de prdida de datos96
Control 21: Encriptacin de datos en transmisin98
Control
22:
Encriptacin
de
datos
en
almacenamiento101
Control 23: Defensa en contra de denegacin de
servicio103
Control 24: Entrenamiento a usuarios106
Control 25: Control de acceso fsico108
Control 26: Pruebas de penetracin110
Control 27: Plan de respuesta a incidentes112
114

27 Controles Criticos PDF

Cargado por

Copyright:

Formatos disponibles

27 Controles Criticos PDF

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

27 Controles Criticos PDF

Cargado por

Copyright:

Formatos disponibles

LOS 27 CONTROLES CRITICOS DE LA SEGURIDAD

El objetivo de este libro es presentar una

metodologa fcil de implementar, que le permita al responsable

presupuesto. Nos encantara tener decenas de ingenieros de

implementar un filtro de sitios web. La persona quien aprueba el

CAPITULO 2: VECTORES DE ATAQUE

Motivos psicolgicos: es cuando el hacker ataca

para obtener fama, venganza, o simplemente por diversin.

Motivos polticos: cuando quien hackea es una

entidad gubernamental o algn otro tipo de organizacin poltica,

Hacktivismo: cuando el hacker ataca como

forma de protesta social en contra o a favor de alguna causa.

Motivos econmicos: cuando el hacker intenta

robar informacin de valor, tal como nmeros de tarjeta de

Extraccin de datos: este es objetivo ms usual,

la extraccin de nmeros de tarjetas de crdito, bases de datos

Modificacin de datos: la modificacin de datos

es comn en ataques a sitios web, con el objetivo de poner

Denegacin de servicio: consiste en inundar un

servidor con paquetes, para que los usuarios legtimos no

Robo de recursos computacionales: es cuando

el hacker logra tomar control de una computadora para

Reconocimiento: el hacker hace un estudio

inicial de la organizacin objetivo: revisin de su sitio web,

Escaneo: el hacker hace un escaneo inicial de

vulnerabilidades inmediatas. Tambin escanea el sitio web en

passwords default of fciles de adivinar, informacin confidencial

Acceso: el hacker logra penetrar el permetro de

la organizacin objetivo. Esto pudo haber sido a travs de una

vulnerabilidad en una IP pblica, o en un sitio web, o tal vez por

Escalacin de privilegios: una vez que el hacker

toma el control de una mquina dentro de la organizacin, tiene

instalando un troyano para robar passwords.

Extraccin/modificacin de datos: el hacker

encuentra informacin valiosa o vulnerable, y procede a

Mantener acceso: el hacker va a querer volver a

entrar a la red en el futuro, por lo que probablemente instalar

Eliminacin de evidencia: dependiendo de la

misin y sofisticacin del hacker, tal vez intente borrar evidencia

Hay trece vectores de ataque que puede utilizar un

Este error de programacin de no validar inputs o no

remotamente, debe presentar puertos abiertos por Internet. Si la

troyano o algn mtodo similar, desde esa mquina podra

vulnerabilidades: las que trabajan para la compaa de software

inmediatamente, y publica un patch, o sea un programa o

incorporan esta informacin en su base de datos, para que los

Por otro lado, si un hacker encuentra una vulnerabilidad

mapa completo de los puertos abiertos en cada una de las IPs.

computadora, el cual abre

comunicacin para el hacker. Entonces el hacker se conecta

encontradas en aplicaciones web (web applications).

Hay varias formas de atacar aplicaciones web, pero las

Para defendernos de este vector de ataque, tenemos

Vector 2: Passwords default

Vector 3: Brute force de passwords

hacking reciente , los hackers revelaron los passwords ms

Viendo esto eso obvio por qu los ataques de

autenticacin two-factor, o sea usando un password y un token.

Vector 4: Robo de passwords