CLIENT SIDE EXPLOTATION

Mayra Criollo

Mercy Jiménez

Diana Poma

UNIVERSIDAD TÉCNICA PARTICULAR DE LOJA

La Universidad Católica de Loja

CLIENT SIDE EXPLOTATION

Actualmente se hace mayor uso de los

servicios basados en sistemas informáticos

alojados o no en el internet, en las

empresas, en los centros educativos, etc.

Todas las entidades manejan información

privada de uso interno, la misma que

desean proteger al momento que viaja por

medio de la red ya sea de internet o no.

CLIENT SIDE EXPLOTATION

En el ámbito de la informática se identificaalgunos tipos de ataques como la pérdida dela información, ya sea por hackers, espionaje,empleados o ex-empleados enojados con laempresa y un sinnúmero de casos que sepueden dar.

Estos tipos de ataques afectan en gran medidaa las entidades, económicamente ysocialmente.

CLIENT SIDE EXPLOTATION

Fácilmente podemos darnos cuenta que

aplicando el ataque de ingeniería social existen

muchas personas que pueden divulgar mucha

información confidencial a personas externas

ya sea por amistad o por simple conversa,

Esta información le sirve al atacante para

realizar cualquier actividad maliciosa.

CLIENT SIDE EXPLOTATION

La explotación por el lado del cliente es una de

las prácticas habituales utilizadas hoy en día

para el acceso no autorizado a información

sensible o importante.

Para los atacantes es más sencillo entrar por el

lado del usuario, debido a su falta de

conocimiento en cuanto a la seguridad

informática.

CLIENT SIDE EXPLOTATION

Existen muchos usuarios que realizan

descargas de sitios peligrosos o a su vez

mediante el mail abren correos spam que

les llevan a descargas de software que por

debajo en realidad se ejecuta algún tipo de

ataque.

Claudio Caraciolo menciona algunos tipos de

ataques que se realizan del lado del cliente

como OSINT, Information Gathering, Ethical

Hacking.

OSINT

Es un acrónimo (Open SourceIntelligence) usado para referirse a losrecursos libremente accesibles coninformación de inteligencia.

La recopilación y análisis de la informacióncontenida en esas fuentes puede permitiralcanzar inteligencia utilizable[1]

La información combinada tiene un nivel desensibilidad mayor que las partes que lacomponen. [2]

OSINT

Incluye una variedad amplia de información y

de fuentes:

Medios - periódicos, compartimientos, radio,televisión, e información computarizada.

Datos públicos - informes del gobierno, datosoficiales tales como presupuestos ydemographics, etc.

Observación y divulgación - observadores detiro aficionados del aeroplano, monitores deradio y observadores basados en lossatélites entre muchas otras.[3]

OSINT

Profesional y académico - conferencias,

simposios, asociaciones profesionales, etc.

La mayoría de la información tiene

dimensiones geospatial, pero muchas pasan

por alto a menudo el lado geospatial de

OSINT: no todo los datos de fuente abiertos

es texto no estructurado. [3]

PROBLEMAS O DESVENTAJAS

El principal problema que presenta OSINT es

su dificultad para identificar las fuentes

confiables dentro de una gran cantidad de

información disponible públicamente, sin

embargo, esto no es como grande un desafío para los

que sepan cómo tener acceso a conocimiento local.

[4]

VULNERABILIDADES EN INTERNET

Información disponible en los sitios fuera del

ámbito del control de la Fuerza Aérea

representa una amenaza mucho más grave que

las posibilidades de recopilación en los

sistemas propios.

La segunda amenaza, más manejable, incluye

sistemas bajo el control de la Fuerza Aérea.

El proceso actual para reducir el riesgo de

recopilación se centra exclusivamente en el

contenido de la información. [5]

INFORMATION GATHERING OLD SCHOOL

La obtención de información no es más que

una de las fases esenciales para llevar a cabo

en una auditoria que consisten en obtener la

mayor cantidad posible sobre el objetivo.[6]

En el proceso de un ataque, un atacante puede

gastar en 90 % de un ataque en la fase de

obtención de información, mientras que el 10

restante lo reservaría para el ataque en sí. [6]

INFORMATION GATHERING OLD SCHOOL

Si estos análisis se le coloca habitualmente laetiqueta de vieja escuela, siguen siendo tanútiles y vigentes como el primer día, algunas delas técnicas tradicionales son las siguientes[2]:

Consultas a Bases WHOIS

Enumeración DNS

Trasferencia de Zona DNS

Trazados de Ruta

Fingerprint de Aplicaciones y SistemasOperativos

Banner Grabbing

MÉTODOS Y HERRAMIENTAS

Pasivos: No implican acción alguna contraningún activo del objetivo.

Activos: Implican una acción contra uno ovarios activos del objetivo que van desdeuna simple navegación por la página Web aanálisis

Metagoofil/FOCA: Son dos herramientas quese aprovechan de los operadores site yfiletpe para descargar archivos de Internet.

MÉTODOS Y HERRAMIENTAS

Redes sociales: Hi5, MySpace, Facebook,

Linkedin, etc.

Maltego es un software desarrollado por

Paterva, que permite obtener información

acerca de infraestructura tecnológica,

usuarios, e-mails, personas, teléfonos, etc.

ETHICAL HACKING

Tipo de análisis de seguridad en donde los

profesionales contratados intentan

encontrar la mayor cantidad de fallas

posibles en un sistema.

Como de diseño, desarrollo,

implementación o hasta incluso de uso.

ETHICAL HACKING

Tratan de aprovecharlas para ganar

privilegios y escalar dentro de los sistemas

intentando acceder a información sensible a

nuevos equipos. [7]

La principal característica de este tipo de

análisis es la creatividad del atacante para

superar los controles habituales, y

obviamente esto no se automatiza.

ETHICAL HACKING

Un Ethical Hacking parte de la base

fundamental de la autorización otorgada al

profesional por parte del dueño o

representante del sistema, donde se le permite

realizar las pruebas necesarias a fin de

encontrar fallas que permitan armar un plan de

mejoras a la empresa.

IMPORTANCIA

Al conocer el nivel de seguridad que se tiene ennuestra organización es mucho más sencillo,tomar decisiones y presentar medidas quepuedan subsanar las deficiencias que presentala empresa. [8]

Los temas que se dieron dentro de laconferencia fueron de gran importancia ya quehoy en día son muchas las vulnerabilidades queexisten en las empresas y que aún siguen enpeligro de que su información esté expuesta.

CONCLUSIÓN

Todos los temas que se dieron dentro de la

conferencia fueron de gran importancia ya que

hoy en día son muchas las vulnerabilidades que

existen en las empresas y que aún siguen en

peligro de que su información esté expuesta a

personas que no tienen autorización para

acceder a ella y seguir perdiendo miles de

dólares. Lo más visto entre los ataques por el

lado del cliente ha sido la ingeniería social.

REFERENCIAS BIBLIOGRÁFICAS

[1] http://web.mac.com/stazon/portal/OSINT.html

[2]Caracciolo Claudio, disponible en http://www.slideshare.net/eccutpl/seguridad-de-la-

informacin-6447449?from=ss_embed

[3] http://www.worldlingo.com/ma/enwiki/es/Open_Source_Intelligence

[4] http://neosiglo-web.blogspot.com/2009/03/open-source-intelligence-osint-o.html

[5]Teniente coronel David Umphress, 20 de febrero del 2010, disponible en

http://haddensecurity.wordpress.com/2010/02/20/internet-y-la-reunion-de-inteligencia-

de-fuentes-abiertas-osint/

[6] Ramón Vinces, disponible en http://www.securecorner.net/2009/12/information-

gathering.html

[7]Caracciolo Claudio, 27 de julio 2010, disponible en http://cxo-

community.com/articulos/blogs/blogs-seguridad-informatica/3237

[8] Universidad Tecnológica del sur de Sonora, Agosto 2010, disponible en

http://www.slideshare.net/jmacostarendon/seguridad-informatica-y-ethical-hacking

[9]http://seguinfo.wordpress.com/category/campanas/

[10] http://www.sisteseg.com/files/Microsoft_Word_-_Politica_Seguridad_Fisica.pdf