El presente Trabajo Final del Máster en Seguridad Ofensiva se busca crear una herramienta que aglutine muchas de las técnicas utilizadas a nivel de enumeración en una fase de pentesting y que se pueda obtener información de varios activos en una sola ejecución de un script. Para ello se ha determinado desarrollar esta herramienta en el lenguaje de programación de Python.
Herramienta de enumeración y escaneo
Por David Padilla Alvarado
Cyber Security Engineer y alumno de la 3ª edición del Máster en Seguridad Ofensiva
Contexto
Debido al desarrollo tecnológico de los últimos años han ido proliferando nuevas profesiones relacionadas con el mundo de las TIC. Es por esto que el papel de la ciberseguridad ha escalado de manera exponencial a nivel de importancia tanto en pequeñas como medianas o grandes empresas.
A día de hoy en el año 2022 el papel de la ciberseguridad se ha destacado como uno de los referentes en la denominada era digital. Los líderes empresariales internacionales calificaron las amenazas cibernéticas como uno de los principales riesgos.
Teniendo en cuenta este contexto es óptimo destacar el hecho de la profesión de: Pentester que es un profesional enmarcado en el ámbito de la ciberseguridad y en concreto al marco de la Seguridad Ofensiva. En este sentido un pentester realiza técnicas de pentesting que según INCIBE lo define como un conjunto de ataques simulados dirigidos a un sistema informático con una única finalidad: Detectar posibles debilidades o vulnerabilidades para que sean corregidas y no puedan ser explotadas. Estas auditorías comienzan con la recogida, en fuentes de acceso abierto, de información sobre la empresa, los empleados, usuarios, sistemas y equipamientos. Continúa con un análisis de vulnerabilidades que se intentarán explotar, incluso con técnicas de ingeniería social, atacando a los sistemas hasta conseguir sus objetivos.
Finalmente, se realiza un informe que indica si los ataques tendrían éxito, y en caso afirmativo por qué y qué información o acceso obtendrían, es decir, se simulan ataques tal y como los llevaría a cabo un ciberdelincuente que quisiera hacerse con el control del sistema o con la información en él contenida. De esta forma, se puede determinar:
- Si el sistema informático es vulnerable o no,
- Evaluar si las defensas con las que cuenta, son suficientes y eficaces, y
- Valorar la repercusión de los fallos de seguridad que se detecten.
En la preparación del pentesting se realiza un plan con un conjunto de ataques dirigidos, según la tecnología que se utilice en la empresa y sus necesidades de seguridad. Para ello, los auditores cuentan con metodologías, algunas específicas según la tecnología o estándares de seguridad que queramos implantar, y otras más generales, que les ayudan a realizarlas de forma sistemática. Tendremos que elegir qué pruebas queremos que realicen y sobre qué aplicaciones o servicios.
Si quieres ver el proyecto completo de David Padilla, rellena el formulario y te lo mandamos a tu correo electrónico.