Please enable JavaScript.
Coggle requires JavaScript to display documents.
METODOLOGÍAS DE ANÁLISIS DE VULNERABILIDADES (Análisis exterior (El…
METODOLOGÍAS DE ANÁLISIS DE VULNERABILIDADES
Acuerdo de confidencialidad
Es importante realizar un acuerdo de confidencialidad entre las dos partes involucradas en el análisis, debido a que, a lo largo de la búsqueda de vulnerabilidades, se puede obtener alguna información crítica para la organización analizada
Toda la información que sea obtenida a través del análisis debe ser utilizada sólo para fines informativos, de mejora de servicios y seguridad, no podrá ser divulgada como tal a terceras personas o partes que no sean involucradas en la parte de este análisis.
Reglas del juego
Otro de los puntos que se deben de establecer, son las reglas del juego, esto se refiere a todo antes de comenzar con el análisis de vulnerabilidades, ya que es necesario definir cuáles van hacer las tareas que se van a realizar y cuáles serán los límites, permisos y obligaciones que se van a respetar.
En este punto se quiere lograr definir cuáles serán las tareas a realizar, los límites que se deben alcanzar, las obligaciones y permisos que se tienen que cumplir, además se deberá realizar de manera cautelosa el análisis sin informar al personal en lo más mínimo posible para que la utilización de la red fluya de forma normal y realizar un excelente análisis.
Recolección de informacion
La recolección información comienza con la obtención de información del objetivo, si se está seleccionando un test de caja negra, el proceso de análisis será muy similar al proceso seguido por un atacante, si se realiza el proceso de caja blanca, este es el momento para recopilar la mayor cantidad de información de acceso a servicios, información y todo lo que se considere necesario al momento de realizar el análisis.
OSINT
Requisitos
En esta fase se establecen todos los requerimientos
que se tienen que cumplir, como las condiciones que tienen que cumplirse según los objetivos planteados para resolver el problema.
Identificación de las fuentes de información
En esta fase se especifican a partir de los requisitos establecidos, todas las fuentes necesarias que serán recopiladas, se deben concretar y especificar las fuentes de información que serán relevantes con el objetivo de optimizar el proceso de adquisición.
Adquisición
En esta fase se obtiene la información partiendo de los
orígenes indicados.
Procesamiento
Esta fase se basa en dar formato a la información
recopilada para que pueda ser analizada.
Análisis
Aquí en esta fase se genera inteligencia a partir de los datos
recopilados y procesados.
Inteligencia
Se base en presentar la información recopilada
de una manera eficaz, útil y comprensible para que pueda ser correctamente explotada.
Análisis interior
Un análisis interior trata de mostrar o demostrar hasta dónde se puede llegar con los privilegios de un usuario típico dentro de la organización, para poder realizarlo se requiere que la organización provea una computadora con un nombre
de usuario y una clave de acceso normal de un usuario específico.
La revisión de la privacidad:
aquí simple y sencillamente el analista se centra en cómo se gestiona desde el punto de vista ético y legal el almacenamiento, transmisión y control de la información que todos los usuarios típicos o los empleados utilizan día
a día.
Testeo de aplicaciones de internet:
La parte del análisis de aplicaciones de internet o de aplicaciones web, este estudio se emplea de manera diferente.
Testeo de sistema de detección de intrusos:
En este tipo de análisis, normalmente se enfoca en la parte del rendimiento de los sistemas de identificación de intrusos, la mayor parte de este análisis normalmente no se puede llevar a cabo de manera adecuada, si no, accediendo a los registros del sistema de identificación de intrusos.
Testeo de medidas de contingencia:
En este tipo de análisis se debe medir el mínimo de recursos necesarios que se necesitan en el subsistema, para realizar las tareas y verificar la detección de medidas presentes para la detección de intentos de acceso o recursos protegidos.
Descifrado de contraseñas:
Descifrar las contraseñas es el proceso de validar cuan robusta puede ser una clave, a través del uso de herramientas de recuperación de contraseñas de manera automática, dejando normalmente al descubierto las
aplicaciones de algoritmos criptográficos débiles y mal implementados o contraseñas débiles debido a factores humanos ya que las personas no se encuentran preparadas
lo suficiente como para poder registrar una buena clave de seguridad.
Testeo de denegación de servicios:
La denegación de servicio es una situación, donde una circunstancia sea intencional o de manera accidental previene a el sistema de que llegue a funcionar de manera exactamente como se dice lo diseñó.
Evaluación de políticas de seguridad:
En la evaluación de políticas, la reducción de riesgos en una organización con la utilización de tipos de específicos de tecnologías.
Análisis exterior
El principal objetivo de este tipo de análisis, es acceder en forma remota a los servidores de la organización y sobre todo obtener privilegios o permisos que no deberían estar
disponibles.
Revisión de la inteligencia competitiva:
Esta parte se basa en toda la información recolectada a partir de la presencia en internet de la organización.
Revisión de la privacidad:
Esta etapa se basa en un punto de vista legal y ético del almacenamiento, transmisión y control de los datos basados en la privacidad del cliente.
Análisis de solicitud:
Éste es el método para obtener privilegios de acceso a una organización y sus activos, preguntando sencillamente al personal de entrada usando las comunicaciones como algún teléfono, correo, chat, etc., desde una posición privilegiada o de una forma fraudulenta que tiende a ser simplemente un análisis basado en ingeniería social.
Análisis de sugerencia dirigida:
Aquí en este método, se intenta lograr que un integrante de la organización ingrese a un sitio o reciba un correo electrónico en este sitio o el correo se podría agregar a herramientas que luego serían utilizadas en el intento de acceso.
Documentos e informes
Como en la parte de la finalización del análisis de vulnerabilidades se debe presentar un informe, donde se detalle cada uno de los test que se han realizado y los resultados de los mismos. Este informe debe especificar la lista de vulnerabilidades que han sido probadas, las vulnerabilidades detectadas, lista de servicios y dispositivos
vulnerables, el riesgo o el nivel de riesgo que involucra cada vulnerabilidad que ha sido encontrada en cada servicio y dispositivo, como tal se debe incluir los resultados
de los programas utilizados.