Seguridad de la información
description
Transcript of Seguridad de la información
Taller Reconocimiento PasivoOctubre 2010
Quien Soy yo?Claudio B. Caracciolo
Director de S.P. en Root-Secure Argentina y Ecuador.
Vice Presidente de ISSA Argentina, miembro de ISSA Internacional
Miembro del Comité Académico de Segurinfo
Miembro de OWASP
Apasionado de la Ingeniería Social
Especializado en Test de Intrusión y Met. de Defensa
Autor junto a sus socios del libro:
Porque estoy acá?
Porque como decimos en Argentina: “Vi luz y entre”...
Porque alguno se equivoco y pensó que mi Taller podría estar divertido...
o tal vez quizás...porque alguno que me escucho hablar, comprendió que la seguridad no solo se trata de virus, firewalls, de ids, de exploits y esas cosas...
y realmente esta de acuerdo conmigo con que la seguridad de ahora, como la de hace 15 años atrás, siempre dependió de un mismo principio:
Sentido Común
index.of
Introducción: Algunas Definiciones
OSINTDe que se trata?En que se basa?Porque es importante?
Information Gathering: Old School
Information Gathering: New School
Conclusiones
Introducción
En un análisis de seguridad, uno de los primeros pasos que un Security Tester debe dar, es el de reconocer de manera pasiva toda la información disponible de su objetivo.
Las mismas acciones son llevadas a cabo por potenciales intrusos (profesionales) para el desarrollo de una efectiva estrategia de ataque.
Conocemos que información referente a nuestra organización esta disponible de manera publica?
En un mundo WEB 2.0 Sabemos cuanta de esta información es aparentemente inútil por si misma pero muy útil si se la
relaciona con otra información publica?
Estamos listos para enfrentarnos a una manipulación mas eficiente de datos en la inminente Web 3.0?
Introducción
El reconocimiento pasivo comprende la búsqueda de toda información relacionada con el objetivo y con el personal del objetivo, con la característica de no interactuar directamente con los mismos.
Algunos ejemplos son:
✓ Dominios de la Empresa,✓ Subdominios de la Empresa✓ Sistemas On Line implementados (como webmail, extranet, etc)✓ Datos de Contacto de Registros✓ Identificación de funciones criticas del personal de la Empresa✓ Cuentas de Mail corporativas✓ Cuentas de Mail personales de usuarios corporativos✓ Publicaciones del personal de la Empresa✓ Nombres de Proveedores de la Empresa✓ Nombres de Clientes de la Empresa✓ Documentos públicos relacionados✓ Metadatos
Introducción
Es el mas antiguo de todos los tipos de inteligencia y se basa en la recolección de información por parte de personal altamente entrenado para esta tarea:
✓ Agentes Secretos✓ Informantes✓ Espías✓ Infiltrados
Human Intelligence (HUMINT)
No depende necesariamente de factores tecnológicos, la misma puede ser en
algunos casos INCIDENTAL.
IntroducciónSignal Intelligence (SIGINT)
Es la inteligencia de Señales, su objetivo principal esta relacionado con el análisis y desencripción de las mismas.
✓ Radio✓ Televisión✓ Telefonía Móvil✓ Internet
Introducción
Es la inteligencia de imágenes derivadas de fotografías aéreas o satelitales. Se divide en algunas subcategorías asociadas:
✓ PHOTINT✓ IRINT✓ EOPINT
Imagery Intelligence (IMINT)
Introducción
Es un tipo de inteligencia basada en información obtenida de análisis cualitativos y cuantitativos, derivados de la información que proporcionan diferentes sensores tecnológicos.
✓ Radar Intelligence (RADINT)✓ Acoustic Intelligence (ACOUSTINT)✓ Nuclear Intelligence (NUCINT)✓ Radio Frequency/Electromagnetic Pulse Intelligence (RF/EMPINT)✓ Laser Intelligence (LASINT)✓ Unintentional Radiation Intelligence (RINT)✓ Chemical and Biological Intelligence (CBINT)✓ Directed Energy Weapons Intelligence (DEWINT)
Measurament and Signature Intelligence (MASINT)
OSINTOpen Source Intelligent
Es una disciplina útil para procesar información, relacionada con encontrar, seleccionar y adquirir información de fuentes publicas, para ser analizada y luego utilizarse pueda utilizar para acciones de inteligencia.
Si bien esto puede solo parecer estar relacionado con esferas gubernamentales y militares, la disciplina de la inteligencia competitiva es el ejemplo de que esto también se aplica en el mundo de los negocios.
OSINT
Se refiere al proceso a través del cual se puede obtener información a la que no se tiene acceso mediante la utilización de datos a los que si se puede acceder.
La información combinada tiene un nivel de sensibilidad mayor que las partes que la componen.A
greg
ar
Infe
rir Se refiere al resultado de generar nueva información basándose en la ya existente y disponible.
OSINTCosto y Esfuerzo
5%
95%
OSINT Resto
OSINTBeneficio y Valor de la Información
80%
20%
OSINT Resto
Information GatheringOld School
Si bien a estos análisis se le coloca habitualmente la etiqueta de vieja escuela, siguen siendo tan útiles y vigentes como el primer DIA,
Algunas de las técnicas tradicionales son las siguientes:
Information Gathering (Old School Style)
✓ Consultas a Bases WHOIS✓ Enumeración DNS✓ Trasferencia de Zona DNS✓ Trazados de Ruta✓ Fingerprint de Aplicaciones y Sistemas Operativos✓ Banner Grabbing✓ Otros
Laboratorio IInformation Gatehring
Primeros Pasos
Seleccione una organización y utilizando las herramientas de las referencias del laboratorio, intente obtener la siguiente información:
✓ Información Asociada a Bases de Datos (Whois, NIC, LACNIC)✓ Entidad Registrante✓ Contacto Técnico✓ Rangos de Direcciones IP✓ Registros DNS y MX✓ Subdominios✓ Share Hosting
Laboratorio I
✓ Whois Tool✓ Nslookup✓ BT4 Dnsenum Tool✓ BT4 Subdomainer Tool✓ www.lacnic.net✓ Entidades Nic✓ www.robtex.com✓ www.netcraft.com✓ http://www.domaintools.com
Laboratorio I Referencias
Information GatheringNew Era
Ingeniosa Técnica de information Gathering, basada en el poder del motor de búsqueda de Google (www.google.com)
El cual permite, mediante la utilización de parámetros de búsqueda avanzados, el poder de las combinaciones de los mismos y una gran creatividad por parte del factor humano, encontrar información útil para un atacante, como la siguiente:
GOOOSINT (Google + OSINT)
✓ Detección y Fingerprint de sistemas específicos✓ Servidores expuestos, con vulnerabilidades especificas✓ Usuarios, contraseñas y demás información sensible expuesta de manera
publica✓ Información para el planeamiento exitoso de ataques de ingeniería social✓ Portales de acceso a la configuración y administración de dispositivos✓ Localización de Código Exploit y Objetivos✓ Muchas otras que se basan en la creatividad del atacante o del Penetration
Tester
Primer aproximación: Frases Simples y Frases Exactas
Esto no es nuevo para nadie, pero es una muy buena técnica para recoger información para un ataque de Ingeniería Social, Por ejemplo:
GOOOSINT (Google + OSINT)
“Busco Informacion de”
“Tengo un problema con mi Router”
“La configuracion de mi equipo es”
“Se ha producido un error cuando”
“Esta es la configuracion”
GOOOSINT (Google + OSINT)
Search: : ”mi configuracion es””
GOOOSINT (Google + OSINT)
Search: :”any any”
GOOOSINT (Google + OSINT)
intitle, allintitle inurl, allinurl
filetype allintext
site link
inanchor daterange
cache info
phonebook rphonebook bphonebook
author group msgid
insubject stocks definerelated
GOOOSINT (Google + OSINT)
GOOOSINT (Google + OSINT)
OSINT + Search Engine
Independientemente de que esta técnica se asocia por defecto a Google y a lareconocida técnica de Google Hacking, la gran mayoría de los buscadoresmas populares en la actualidad ya han implementado métodos similares dealmacenamiento y analisis de información, como así también los tan utilesparámetros de búsqueda avanzados.
GOOOSINT (Google + OSINT)
Google - intitle:”Index of” .mysql_history
GOOOSINT (Google + OSINT)
Yahoo - intitle:”Index of” .mysql_history
GOOOSINT (Google + OSINT)
Bing - intitle:”Index of” .mysql_history
GOOOSINT (Google + OSINT)
Laboratorio IISearch Engines Hacking
En base al objetivo seleccionado anteriormente y utilizando las herramientas de las referencias del laboratorio, intente obtener la siguiente información:
✓ Direcciones de Correo✓ Numeros Telefonicos✓ Archivos (txt, doc, pdf, xls, log, etc)✓ Vias de Acceso (Formularios de Login y otros)✓ Entidades asociadas de alguna forma al Objetivo✓ Lenguaje utilizado✓ Aplicativos Utilizados✓ Nombres de Usuarios✓ Informacion sobre la estructura organizacional✓ Mensajes de error✓ Vulnerabilidades Asociadas a la GHDB✓ Otros
Laboratorio II
Laboratorio II Referencias
✓ www.google.com✓ www.gigablast.com✓ www.yahoo.com✓ www.bing.com✓ http://johnny.ihackstuff.com/ghdb/ (GHDB)
OSINT 2.0
Es una combinación de plataformas de programación, protocolos de comunicación entre plataformas y navegadores y una fuerte inyección de capital de inversionistas y visionarios.
OSINT 2.0
Lo primero que podemos ver es que las Redes Sociales, los Foros, los Juegos On Line, las herramientas On Line, etc etc! conforman los repositorios de información relacionada con la administración de identidad, mas grandes e informales del mundo virtual, y por ende, mayormente una de las más descuidadas.
Podemos Encontrar herramientas para publicar:
✓ Información personal✓ Información orientada al ocio✓ Información orientada a lo laboral✓ Relaciones personales✓ Opiniones✓ Fotos✓ Documentos✓ Notas
OSINT 2.0
OSINT 2.0
OSINT 2.0: Application Search
: Google Calendar
OSINT 2.0: Visual Meta Search
Kartoo
Laboratorio IIIOSINT 2.0
En base al objetivo seleccionado anteriormente y utilizando las herramientas de las referencias del laboratorio, intente obtener informacion relevante.
Laboratorio III
Laboratorio III Referencias
✓ www.facebook.com✓ www.linkedin.com✓ www.twitter.com✓ www.wordpress.com✓ http://groups.google.com✓ www.kartoo.com✓ http://pipes.yahoo.com/✓ http://technorati.com✓ http://www.rapleaf.com
Information GatheringNew Era
Metadata (La Pesadilla de Tony Blair)
En la Wikipedia se define a los Metadatos como datos que describen otros datos. En informática, son datos por lo general no editables que las aplicaciones guardan en los encabezados de sus archivos de salida.
Tal es el caso ejemplo del Word que además de los datos del contenido mismo del archivo, y de la información que nosotros cargamos (automática o manualmente) en las propiedades del archivo, almacena datos tales como la ruta donde estaba guardado el documento, el nombre de la persona que lo origino y de los que lo han revisado.
También un archivo de imagen pueden contener información sumamente importante que hasta incluso es muy tenida en cuenta en el análisis forenses ya que permiten identificar información relacionada con la Cámara con la cual fue tomada la fotografía, información como por ejemplo la marca y modelo de la misma, fecha de la fotografía, en algunos casos ubicación geográfica cuando la cámara tiene GPS y carga el dato en la imagen
Metadata (La Pesadilla de Tony Blair)
Dime que usas y te diré donde y quien lo guarda
Metadata (La Pesadilla de Tony Blair)
Información de rutas de almacenamiento:
Metadata (La Pesadilla de Tony Blair)
Usuarios Validos
Metadata (La Pesadilla de Tony Blair)
Web Applications (http://www.informatica64.com/foca/)
Metadata (La Pesadilla de Tony Blair)
Web Applications http://regex.info/exif.cgihttps://addons.mozilla.org/es-ES/firefox/addon/3905
Metadata (La Pesadilla de Tony Blair)
Web Applications http://regex.info/exif.cgihttps://addons.mozilla.org/es-ES/firefox/addon/3905
! !
Laboratorio IVMetadata
En base al objetivo seleccionado anteriormente y utilizando las herramientas de las referencias del laboratorio, intente obtener la siguiente información:
✓ Nombres de Usuarios✓ Path de almacenamiento✓ Sistemas Operativos✓ Versiones de Suites Ofimaticas✓ Informacion de Geolocalizacion✓ Relaciones Interpersonales
Laboratorio IV
Laboratorio IV Referencias
✓ BT4 Metagoofil✓ BT4 Firefox Plug-In Exif Viewer✓ www.informatica64.com/foca/✓ https://addons.mozilla.org/es-ES/firefox/addon/3905
Todo en Uno - Maltegoʼs Way
Maltego es una herramienta que consolida y relaciona todas las tareas antes realizadas durante esta capacitación, en su versión community permite realizar entre otras cosas las siguientes:
✓ Relaciones entre IP✓ Relaciones entre Registros DNS✓ Relaciones entre Registros MX✓ Relaciones entre Dominio✓ Relaciones entre Subdominios✓ Relaciones entre Personas✓ Relaciones entre Direcciones de Correo✓ Relaciones entre Números Telefónicos✓ Relaciones entre Aplicativos Web 2.0✓ Análisis de Metadata
Todo en Uno - Maltegoʼs Way
Todo en Uno - Maltegoʼs Way
Laboratorio VAll In One
Laboratorio V
En base al objetivo seleccionado anteriormente y utilizando las herramientas de las referencias del laboratorio, intente obtener la siguiente información:
✓ Analizar la informacion anterior✓ Trazar todas las relaciones posibles en modo grafico
Laboratorio V Referencias
✓ BT4 Maltego
Buscador orientado a encontrar particularidades en sistemas deInformación.
OSINT + SHODAN
Permite parámetros de búsqueda avanzado, como por ejemplo la búsqueda por país.
✓ Servidores✓ Routers✓ Servicios (HTTP-FTP y otros)
Lo que vimos recién, no se soluciona con un parche, ni con un firewall, ni con un antivirus...
Clasifique su información y entienda que es importante para usted y que no.
Siempre debemos entender que la efectividad de los controles técnicos, depende en gran medida de la colaboración del usuario. => Capacitalo, concientizalo.
Revisa tu plan se seguridad y vea que prioridad ocupa la educación de sus usuarios...
Conclusión
El mundo Web 3.0 demandará por parte del usuario una relación más intima y personal.
La Web 4.0 será omnipresente, nos rodeara en todo momento, será un único sistema operativo al cual podremos acceder a través de múltiples interfaces y todos guardaremos nuestra información en un único entorno.
Conclusión
Seremos la Web, estaremos en la Web!
Conclusión
“Todos somos ignorantes, pero no todos ignoramos las
mismas cosas.”
Somos distintos, pensamos diferente.Claudio B. Caracciolo
ccaracciolo (at) root-secure (dot) comTwitter: @holesec