@Borja Buenas noches
@Borja Siempre que ponemos en marcha un sistema de seguridad, deberemos hacer una planificación cuidadosa, en la fase de diseño, y después implantarlo, claro está, sin olvidar ningún detalle.
@sarnold jose_n: heh, looks like crispin is at the same conference as niels...
@sarnold jose_n: i wish i had prepped crispin with copies of gpg fingerprints first :)
@Borja Desgraciadamente, la historia nos ha enseñado que muchas veces quedan detalles esperando a que alguien los explote.
@Borja Sin ir más lejos, podemos recordar el último problema sufrido por Hotmail, uno de cuyos portavoces tuvo que reconocer que "aún están aprendiendo".
@Borja Una medida que puede ayudar a prevenir este tipo de incidentes son los tests de intrusión. Y sobre ellos nos va a hablar a continuación Oscar Ruiz, socio y fundador de la compañía Internet Solutions, desde Colombia. Esta charla forma parte de su proceso de certificación SANS-GIAC.
@Borja Adelante, Oscar.
@SkAr Ok muchas Gracias Marcos
@SkAr Bunas noches a todos
@SkAr Me acompañara en esta charla Blind_Man en el canal #qc
@SkAr y si el tráfico nos ayuda tambien #Mejnour
@SkAr la charla: PRUEBAS DE INTRUSION EN UNA RED DE DATOS
@SkAr está disponible en:
@SkAr http://www.giac.org/practical/Oscar_Ruiz_GSEC.doc
@SkAr y hay una versión en español con la respectiva presentación en:
@SkAr http://internet-solutions.com.co/infosec/
@SkAr Este documento forma parte de la práctica de certificación como GSEC del SANS Institute - GIAC
@SkAr El mundo digital no difiere en casi nada del mundo real, se define como el reflejo de lo que
@SkAr se vive hoy en día, es así como se debe comenzar a visualizar el concepto de seguridad
@SkAr informática y de las áreas asociadas a esta; en cuanto a la auditoria se cuenta con las
@SkAr pruebas de intrusión, como un proceso de retroalimentación, que contribuye en un alto
@SkAr grado al aseguramiento, gestión y mantenimiento de sistemas de información.
@SkAr Este párrafo es quizá el mas importante de la charla, por que es la forma como debemos "visualizar" nuestro trabajo en esta área.
@SkAr Bueno ya van siete esculelas del pensamiento y aún no hemos podido definir "el bien y el mal"...
@SkAr y creo que en dos horas no lo vamos a hacer, sin embargo debemos ser " concientes" de que
@SkAr si enel mundo real tenemos armas
@SkAr en el digital tenemos aplicaciones - "herramientas"
@SkAr si en el mundo real tenemos terrorismo
@SkAr en el mundo digital tenemos " virus"
@SkAr si en el mundo real hay policias...
@SkAr en el mundo digital estaran nustros oficiales de seguridad informática...
@SkAr etc.
@SkAr Un descargo:
@SkAr Antes de " ver herramientas" mi objetivo es aportar un grano de arena con una metodología.
@SkAr donde lo " realmente" importante es que el grupo que la ejecute sea conciente de lo que está haciendo.
@SkAr La Seguridad Informática es entonces un conjunto de reglas, llamadas políticas de seguridad, las cuales son implantadas y soportadas por esquemas que involucran hardware, software y personas, que adicionalmente cuenta con procesos como la auditoria para su evaluación y actualización, la cual puede y debe ser alternada con pruebas de intrusión para beneficio de esta.
@SkAr Asi como lo dijo Marcos Boja, esta es la importancia de realizarlas.
@SkAr y recuerden siempre que se aplican al Harwdare, software y " los humanos " Humanware!
@SkAr es quizá este último el más importante, por que " es humano errar"
@SkAr al probar a nuestro personal estamos midiendo el compromiso de este con la política de seguridad de la empresa
@SkAr desde el Gerente hasta " rosita" la de los tintos...
@SkAr Esta es la descripción de lo que serían las pruebas de intrusión.
@SkAr los principios de seguridad son los que simpre hay que medir
@SkAr confidencialidad, integridad y disponibilidad
@SkAr este es el modelo básico
@SkAr hoy en día se han agregado dos mas.
@SkAr la Autenticación y el No Repudio.
@SkAr El objetivo general de una prueba de intrusión es mediante su ejecución, detectar las falencias y aportar recomendaciones al proceso de seguridad de una plataforma tecnológica,  así mismo busca enriquecer los  procesos de mejoramiento continuo de la auditoria, gestión y mantenimiento de un sistema de información
@SkAr Esta es quiza la justificación para que " realmente " usemos el concepto de defensa a fondo!
@SkAr y como nota importante...
@SkAr hoy en dia se ve la seguridad informática como un proyecto!
@SkAr y no lo es... es un proceso....
@SkAr el proceso de aseguramiento se basa en la prevención, detección y reacción.
@SkAr es claro que requiere de implantar soluciones... estas se toman como proyectos
@SkAr sin embargo hay que tener calidad en todo.. asi que La Gerencia de Proyectos requiere tambien de una metodología para su uso
@SkAr asi como se hace pra la ejecución de un proyecto...
@SkAr se hace para las pruebas de intrusión...
@SkAr UNO debe " tener su aroma"
@SkAr por ejemplo en IS tiene su aroma...
@SkAr Asi que vamos a empezar a ver que usamos:
@SkAr Hay un elemento físico y lógico claro está...
@SkAr 5.2 Físico y lógico
@BLiND_MaN un momento, por favor....
@MJesus_ hummmm se cayo
@BLiND_MaN ya continua la charla
@FAC buenas tardes a todos
@BLiND_MaN ok, continuamos...perdón por la desconectada
@BLiND_MaN si alguien tiene preguntas, lo esperamos en #qc
@SkAr Bueno asi como hay una serie de herramientas... ampliamente difundidas por la red.
@SkAr con sus respectivos manuelas de " how to"
@SkAr perdon manuales...
@SkAr lo más importante no son estas...
@SkAr si no el REcurso Humano
@SkAr que las utilize...
@SkAr y habo de más de una persona... es un grupo...
@FAC Oscar cual es el aspecto más importante para ti segun tu experiencia en este tema, el mas critico
@SkAr para realizar una buena prueba de intrusión p´racticamente se requiere de un grupo " interdiciplinario"
@SkAr Las personas q lo realizen.
@SkAr Se debe contar con un grupo humano cuyos conocimientos cubran las siguientes áreas: Sistemas operativos, networking, aplicaciones y telefonía, además es importante tener contacto y/o acceso al mundo underground (grupos reconocidos de hackers).
@SkAr la ética y el " conocimiento de causa "
@SkAr son fundamentales!
@SkAr no es usar por usar una herramienta...
@SkAr y parchar los servidores , routers, etc..
@SkAr las pruebas de intrusión deben ir más allá!
@SkAr Hay un libro que es simplemente excelente
@SkAr " El arte de la Guerra"
@SkAr Este libro escrio cinco siglos antes de cristo.
@SkAr es la base de las doctrimas militares de los ejércitos a nivel mundial!
@SkAr y se basa en dos principio:
@SkAr el más importante y aplicable a SI
@SkAr es el " arte del engaño"
@SkAr ya uqe en la medida que yo realizae el aseguramiento (hardening) de la plataforma de IT
@SkAr y que "cambie" las firmas de respuestas de los Sistemas Operativos
@SkAr puedo hacer parecer un w2K como un BSD!
@BLiND_MaN estimados, nuestro amigo casanegra pregunta:  Exelentes tus planteamientos Oscar. Acentúas mucho el concepto de "Recurso Humano", que opinas sobre "la jerarquia" que debe obedecer este recurso a nivel interno, pues la integridad de información en modo alguno debe ser blanco fácil, tanto externa como internamente.
@SkAr Partamos de un proncipio.
@SkAr yo trato a mi usuario interno... casi igual que uno externo
@SkAr y digo "casi" ya que hay que ser más permisivos por cuestiones de operatividad, etc...
@SkAr las purebas de intrusión a una red las debe hacer un ente externo.
@SkAr porque simplemente no se puede ser juez y parte...
@SkAr hay q tener siempre presente que la jerarquia no necesariamente quiere decir mayores " permisos2 sobre una plataforma de IT
@SkAr hay que apicar el principio del menor privilegio posible... así sea el dueno de la empresa!
@SkAr Espero haber resuelto la inquietud.
@BLiND_MaN SkAr, hay otra pregunta
@SkAr ok
@BLiND_MaN nuestro amigo krocz pregunta
@BLiND_MaN como dijiste, sobre una persona debe tener un contacto con la gente  
@BLiND_MaN <krocz> del underground, crees que seria eticamente correcto, divulgar el
@BLiND_MaN <krocz> conocimiento que se obtiene del contacto con ellos, para aprovechamiento
@BLiND_MaN <krocz> personal o de la empresa para cual se trabaja? o como se debe actuar a tu
@BLiND_MaN <krocz> opinion en este ambito
@SkAr bueno primero q todo hay que ver que es la ética...
@SkAr la ética es un "sentimiento"
@SkAr es el " sentir" que hago las cosas bien y de forma transparente...
@SkAr con "criterios"...
@SkAr la información que se obtiene del Underground es excelente!
@SkAr hay que " infiltrarse" en los grupos!
@SkAr hacer inteligencia!
@SkAr saber cómo se ataca para saber cómo defendernos!
@SkAr es como hacer ing. social inversa!
@BLiND_MaN ok, continuemos con la conferencia!!!
@SkAr y con esto continuamos...
@SkAr despues del arte del engaño, biene el otro principio
@SkAr perdón viene
@SkAr " vencer al enemigo con el mínimo esfuerzo"
@SkAr y al mejor estilo de la Guerra... "todo se vale"
@SkAr hasta la " infiltración en grupos Underground".. lo digo con conocimiento de causa!
@SkAr Hablemos de Metodologías:
@SkAr 6.1.Políticas y estándares internacionales
@SkAr perdon otra vez cometí el mismo error..
@SkAr aqui como lo dije anteriormente..
@SkAr hay de donde escoger...
@SkAr pro lo realmente importante es tener una metodología propia...
@SkAr que tome lo que necesitemos de todas las anteriormente mencionadas...
@SkAr algo como una metodología personalizada para nuestro trabajo..
@SkAr que con el paso del tiempo y la experincia.. iremos mejorando...
@SkAr ahora cual es mi modo de velo:
@SkAr La estrategia propuesta se soporta en varias técnicas conocidas como lo son la ingeniería social, el sentido común y la aplicación de herramientas de hardware y software. Se han denominado 4 fases que buscan aportar información al proceso de aseguramiento de la información, con los resultados obtenidos y basados en el ciclo de prevención, detección y respuesta.
@SkAr y esta desarrolloado cuatro fases:
@SkAr Fase 1: Obtención de información
@SkAr Fase 2: Análisis de la información y formulación de hipótesis
@SkAr Fase 3: Experimentación (Desarrollo y utilización de herramientas)
@SkAr Fase 4: Documentación de los resultados y conclusiones.
@SkAr Es la utilización del método científico... formulado por Descartes!!!
@SkAr aqui no hay nada nuevo...
@SkAr solo que "acomode" el método para hacer una prueba de intrusión.
@SkAr pero su escencia es la del método científico...
@SkAr al igula que la metodología de la Ing. de Ssitemas...
@SkAr análiss, diseño, implementación y pruebas...
@BLiND_MaN Skar...tenemos otra pregunta
@SkAr ok.
@BLiND_MaN pregunta: entre las metodologías, no se menciona OSSTMM.. Podrías comentar si se omite a drede, o es otra opción a considerar?
@SkAr Ups...
@SkAr lo siento...
@SkAr es una de las mejores!
@SkAr Colombia tiene su cuota con Efrain Torres en ella...
@SkAr y estoy viendo si podemos ayudar también...
@SkAr disculpas por "no actualizar" el doc...
@SkAr al igual que ella...
@SkAr se mensionan herramientas, forma de utilización, métodos de recopilación de información
@SkAr y resultados
@BLiND_MaN ok, continuemos con la conferencia!!
@SkAr k
@SkAr La fase 1
@SkAr Escenarios:
@SkAr Escenario A: Usuario Conocido - Usuario común
@SkAr Escenario B: Usuario Conocido - Usuario con conocimientos avanzados.
@SkAr Escenario C: Usuario Conocido - Usuario administrador de sistema.
@SkAr Escenario D: Usuario  externo a la compañía.
@SkAr Tipos de Conexión:
@SkAr LAN: Usuario conectado localmente
@SkAr INTRANET: Usuario conectado desde la red interna.
@SkAr EXTRANET: Usuario conectado desde una red externa (socio)
@SkAr INTERNET: Usuario desde una conexión externa.
@SkAr Es importante resaltar que se evalua tanto el usuraio " comun " como el "privilegiado"
@SkAr asi como las comunidades de Locales, externas con socios (Extranet) y públicas (internet)
@SkAr aqui lo que hay que empezar a hacer es una matriz
@SkAr de hallazgos
@SkAr dependiendo de cada uno de los escenarios y el usuario "simulado"
@SkAr la recopilación de información se hace a traves de herramientas y técnicas de ing. social.
@SkAr en la mayoría de casos las empresas aqui ya presenta fallas!
@SkAr los Ssitemas de información tienen sus banners por defecto...
@SkAr los OS no estan asegurados.. etc...
@SkAr hay casos q con solo un telnet se pude 2 evaluar " a vulo de pájaro
@SkAr a vuelo de pájaro (rápidamente)
@SkAr si hay riesgos o no!
@SkAr con esta información inicial recopilada... se entra ala fase 2
@SkAr Con base en la información recolectada, el grupo de expertos analizan y clasifican las posibles falencias detectadas por niveles de criticidad, esto busca alimentar la fase de aplicación de herramientas de acuerdo al tipo de servicios detectados y la formulación de hipótesis, la cual representa un diagnostico del estado actual de la plataforma tecnológica en cuestión. Posteriormente estas hipótesis son validadas con la experimentación.
@SkAr y aqui es donde esta el " verdadero2 trabajo del grupo que hace la prueba de intrusión...
@SkAr ya que comienza lo que se denomina en el Underground el "war game"
@SkAr aqui es dónde se puede aplicar las dos estrategis del arte de la guerra...
@SkAr con un sin fín de tácticas!
@SkAr y nos prepara para la siguiente fase... "la experimentación"
@SkAr Fase 3: Experimentación (Desarrollo y utilización de herramientas)
@SkAr Surge entonces la pregunta: ¿Cómo identificar y clasificar los modelos de operación global y de servicios?. La respuesta esta en la utilización de comandos y aplicaciones del sistema operativo como: Ping, Tracert, Nbtstat, Net, Finger, FTP, Telnet, Tftp, entre otros, que ayudan en la obtención de información de los servicios de los servidores públicos, los equipos de comunicaciones, la red privada y el esquema de seguridad que puede estar siendo utilizado par
@SkAr de la fase anterior viene la planificación.
@SkAr y en esta a travéz de ensayo y error...
@SkAr se determinan los riesgos de la plataforma de IT y de sus usuarios.
@SkAr aqui hay un tema que nos compete a todos los "administradores de red"
@SkAr sin comentarios y para reflexionar!
@SkAr Una vez realizada la obtención de información y con base en el análisis de los resultados obtenidos del uso de comandos y aplicaciones, se puede determinar un tipo de situación y falencia global de la plataforma:
@SkAr Situación A: No cuentan con un esquema de seguridad.
@SkAr Posible falencia: Desconocimiento total del concepto de Seguridad Informática.
@SkAr Situación B: Cuentan con un esquema de seguridad con fallas y/o incompleto, posiblemente administrado y monitoreado.
@SkAr Posible falencia: No están definidas políticas de seguridad, fallas u omisión de elementos en el esquema de seguridad como: Reglas en el Firewall, filtro de contenido, detección de intrusos, señuelos, VPN, PKI, etc.
@SkAr Situación C: Cuentan con un esquema de seguridad instalado, posiblemente administrado y monitoreado.
@SkAr Posible falencia: Vulnerabilidad del esquema por fallas en el mantenimiento y/o humanas.
@SkAr son tres situacions como estándares...
@SkAr la primera: no se de seguridad
@SkAr la segunda: se pero como a medias
@SkAr y la tercera: se de seguridad Pero debo tener presente el "mejoramiento contínuo"
@SkAr Cada una de estas situaciones ha logrado identificar elementos de la plataforma tecnológica y del esquema de seguridad utilizado para su protección, el paso siguiente es utilizar las herramientas para verificar y evaluar los grados de prevención, detección y reacción del sistema, utilizando como base de evaluación las alarmas y LOGs generados en la utilización de estas. Los resultados obtenidos a través de la utilización de esta herramienta pueden arrojar las
@SkAr Utilización de servicios no seguros sobre concentradores (Hubs): Representa un alto riesgo para el sistema de información ya que cualquier usuario conectado podría escuchar los datos, usuarios y claves de acceso de los siguientes  servicios: correo electrónico, web, aplicaciones cliente/servidor, consultas a bases de datos, entre otros servicios.
@SkAr Sniffing!!!
@SkAr Utilización de servicios no seguros sobre conmutadores (Switches): Si bien minimiza el riesgo de escucha, quedan otras posibilidades abiertas que habría que evaluar como: los puertos espejo (port mirror), Segmentación (VLANs)  y Gestión (SNMP).
@SkAr mas sniffing!! utilizando arp spoofing!
@SkAr Identificación de los servicios, falencias y esquemas de passwords: Representa un alto grado de riesgo al exponer públicamente la plataforma tecnológica y el sistema de información, subestimando la utilización de elementos de seguridad y/o implementaciones con fallas.
@SkAr Acceso a los servicios directamente sobre el servidor de producción: Representa un alto riesgo para el sistema de información ya que cualquier usuario conectado podría comprometer la máquina y los servicios disponibles.
@SkAr para aquellos q no utilizan front end... y back end!
@SkAr Servicios protegidos por un firewall: Si bien minimiza el riesgo de contacto directo, quedan otras posibilidades abiertas que habría que evaluar como lo son el filtro de contenido sobre los servicios, los sistemas de detección de intrusos, señuelos, PKI, VPN, entre otros
@SkAr Aquellos q piensan que la seguridad es un FW
@SkAr apenas es como el 25% de un esquema de seguridad...
@SkAr en la vida real se asemeja a tener un portero...
@SkAr en un edificio...
@SkAr y este no tiene CCTV, alarmas, etc
@SkAr aunque en las soluciones de seguridad puede ser la " columna vertebral"
@SkAr ya que se requiere que los demás componentes interactúen con este!!!
@SkAr simpre hay que pensar en plataformas que se integren con " otros"
@SkAr y finalmente estan lso que tienen un infraestructura de SI
@SkAr Servicios protegidos por un esquema de seguridad: Cuando se enfrenta a este tipo de situación, se debe evaluar el compromiso del personal con la política de seguridad de la compañía, se busca entonces el error humano a través de técnicas de ingeniería social e interpersonalización.
@SkAr aqui recalco sobre la 2 responsabilidad2 de tódo el personal con la política de seguridad.
@SkAr Fase 4: Documentación de los resultados y conclusiones.
@SkAr La última fase es la DOCUMENTACION
@SkAr esta última son los entregables...
@SkAr es el valdado de agua fría para muchos de nosotros!!
@SkAr ok con esto quiero finalizar.
@SkAr Preguntas?
@SkAr Muchas gracais por su tiempo...
@BLiND_MaN ok
@BLiND_MaN aqui hay una pregunta
@BLiND_MaN pregunta: Cual es tu opinion de los scanner de fallas como nessus, ayudan o no se compara con "ensuciarse las manos"?
@SkAr Ok son una Herramienta...
@SkAr que ayudan claro q sip...
@SkAr " se ensucia las manos" si lo haces con alguien que no te ha autorizado hacerlo!
@SkAr esa es la diferencia de fondo!
@SkAr Recurda que pueden generar positivos que son "falsos"
@SkAr es un buena herramienta, solo que har que usarla con conocimiento de causa!
@Mejnour <krocz>: dices que debes tener contanto con la comunidad underground, en que quedaria toda la seguridad si esta comunidad se cerrara y no compartiria lo que descubre?
@BLiND_MaN otra pregunta:
@SkAr el underground nunca se acabará.
@SkAr si asi fuera estarían destinados a quedadrse en el olvido!
@SkAr ademas si no es por ellos... cómo se "probarian" realmente los OS y Aplicativos existentes?
@SkAr hay que sacarnos la idea que el underground es malo!
@SkAr recuerden simpre verlo como una fuente de información!
@BLiND_MaN otra pregunta:
@BLiND_MaN pregunta: en un test de penetración, cuanto tiempo (promedio) se dedica a cada equipo que se "audita"?
@SkAr y una forma de vida..
@SkAr que nos dice que simpre hay que validar, probar... afinar... etc...
@SkAr el tiempo está directamente relacionado con la cantidad de servicios que corran en la máquina...
@SkAr además de los aplicativos " en su mayoría" web
@SkAr no es lo mismo hacer tun test de intrusión en un sito " transaccional" que en uno informativo!
@BLiND_MaN ULTIMA PREGUNTA:
@BLiND_MaN que tanto es el lag de las aplicaciones libres contra las propietarias a la hora de integrar las herramientas necesarias para auditar una red?
@SkAr pues no conozco aún una solucion de open source q integre las vulnerabilidades encotradas por nessus...
@SkAr interactue con el IDS snort para ser pro activo en un esquema de SI
@SkAr eslo lo hacen herramientas comercailes... y le denominan correlación de eventos.
@SkAr sin embargo
@SkAr no todas las compañias requieren de estas soluciones...
@SkAr en la mayoría de los casos las soluciones de open source satisfacen las necesidades!
@SkAr los ports de BSD son un ejemplo!
@SkAr OK muchas Gracias a todos por su tiempo.
@SkAr El grupo de Ing. de Internet Solutions
@ismak Plas Plas plas plas plas plas plas
@ismak Plas Plas plas plas plas plas plas
@ismak Plas Plas plas plas plas plas plas
@ismak Plas Plas plas plas plas plas plas
@SkAr Blind_Man y Mejnour
@BLiND_MaN Plas Plas plas plas plas plas plas
@sarnold SkAr: gracias :) bien, pplas plas plas plas plas
@BLiND_MaN Plas Plas plas plas plas plas plas
@BLiND_MaN Plas Plas plas plas plas plas plas
@BLiND_MaN Plas Plas plas plas plas plas plas
@SkAr y a todo el comité Organizador de esta iniciativa!
@Mejnour clap clap clap clap clap clap clap c,ap clap
@Mejnour clap clap clap clap clap clap clap c,ap clap
@Mejnour clap clap clap clap clap clap clap c,ap clap
@Mejnour clap clap clap clap clap clap clap clap clap
@ismak congratulations, a very interesting talk.
@sarnold please join us tomorrow morning for another talk by jose nazario, this one doing for spam what he's done for worms :)
@sarnold details here:
@sarnold http://infosec.uninet.edu/infosec2003/english/programa_eng.html
@sarnold plas plas pas plas :)
casanegra clap, clap, clap, clap, clap, clap, clap, clap, clap, clap, clap!!!!!
casanegra clap, clap, clap, clap, clap, clap, clap, clap, clap, clap, clap!!!!!
casanegra clap, clap, clap, clap, clap, clap, clap, clap, clap, clap, clap!!!!!
@BLiND_MaN www.internet-solutions.com.co/infosec para más información
@BLiND_MaN thanks for your time!!!
xtingray /msg kmilo sobrevivi... algo muy sencillo
xtingray :S
@Mejnour :P
xtingray .
Hiper ..

Generated by irclog2html.pl 2.1 by Jeff Waugh - find it at freshmeat.net!