+

1. Respondieron a cuestionamientos como ¿qué le preocupa? ¿qué parte de la infraestructura o del sistema es de la que sospecha vulnerabilidades? ¿existen dispositivos delicados que deban ser considerados mientras se realiza el pentesting?.

2. Las empresas están obligadas a anticiparse a los diversos escenarios de riesgo de información, debido a una vertiginosa evolución de la informática, el constante cambio tecnológico, y el rápido crecimiento de las múltiples transacciones de negocio, en los cuales la información y los dispositivos computacionales están inmersos en escenarios como ataques de hackers, usuarios del sistema, amenazas lógicas, y una gran variedad adicional.

3. Conocer el ámbito de direcciones IP que serán consideradas en el análisis y vulneración, el horario de pruebas,la información del contacto que monitoreará las actividades constantemente, y, sobre todo, contar con la autorización escrita. Si el objetivo no forma parte de la organización contratante, es importante que este tercero conozca formalmente las pruebas a las cuales será sometido.

4. Resultados

4.1. Los resultados obtenidos que serán descritos en esta sección son consecuencia del proceso de una prueba de evaluación de seguridad

4.1.1. Conceptualización

4.1.1.1. Identificado el contexto y definido los objetivos de la prueba de penetración.

4.1.2. El laboratorio

4.1.2.1. El laboratorio y su preparación requieren de la identificación de las herramientas adecuadas para lograr el objetivo de análisis.

4.1.2.1.1. Herramientas

4.1.3. Obtención de información

4.1.3.1. i) identificación del contexto

4.1.3.2. ii) identificación de las vulnerabilidades en el código fuente,

4.1.3.3. iii) análisis de vulnerabilidades mediante la técnica Cross-Site Scripting – XSS, iv) análisis de vulnerabilidades mediante la técnica de inyección SQL, y v) pruebas de denegación de servicio o DDoS.

4.1.4. Identificación de vulnerabilidades

4.1.4.1. Identificar bugs o posibles fallos que pueden aparecer en software que es puesto en producción.

4.1.4.1.1. El nombre del certificado Localhost; no está establecida la cabecera de transporte seguro, no está definida la cabecera de protección contra ataques XSS,cabeceras antisecuestro de clic no establecidas, y, entre otras, el método HTTP POSThabilitado.

4.1.5. Modelamiento de amenazas

4.1.5.1. Esta etapa hace referencia a la creación de una lista de amenazas, en la cual se deberá incluir el título, una descripción breve, el activo (activos), los impactos, el riesgo, las técnicas de mitigación, el estado de mitigación y número del error.

4.1.6. Identificación de contramedidas

4.1.6.1. A base de las vulnerabilidades y amenazas identificadas, se ha recomendado priorizar las que mayor impacto pueden ocasionar a la organización, en este caso, al software ERP y la infraestructura que lo soporta; sin descuidar los correctivos que puedan realizarse de una forma rápida.

4.1.6.1.1. Se debe implementar un IDS/IPS para el análisis de tráfico malicioso, esto permitirá alertar y bloquear los ataques de inundación, a los cuales el servidor es vulnerable.

4.1.7. Discusión

4.1.7.1. Las herramientas VEGA, OWASP ZAP, han revelado el uso de los métodos GET, POST, PUT, DELETE provistos por un sistema web para el acceso a la información. De los anteriores, los dos últimos deben ser manejados con cautela, pues PUT permite cargar contenidos y DELETE eliminarlos. Estos métodos deben ser analizados y evaluados antes de su puesta en producción.

4.1.7.1.1. Las dos herramientas indicadas anteriormente también han permitido identificar las cabeceras HTTP expuestas. De estas, se puede indicar que “Anti MIME-Sniffing header X- Content-Type-Options” aún no ha sido establecida a “no sniff”, permitiendo que navegadores antiguos interpreten el contenido de una forma diferente a la declarada originalmente.

4.1.8. Conclusiones y recomendaciones

4.1.8.1. La seguridad informática no se resume únicamente en la implementación de herramientas tecnológicas como firewalls y antivirus. Las contramedidas deben aportar a la mitigación de riesgos y amenazas de forma efectiva y deben ser parte de una adecuada cultura en el manejo de información, así como también técnicas de desarrollo de software, el lenguaje de programación que debe aplicarse y la configuración de la infraestructura.

4.1.8.1.1. Si bien una aplicación web puede estar bien desarrollada, la infraestructura computacional que apoya a sus actividades también puede verse afectada si las mismas no son aseguradas de la forma correcta. En las pruebas realizadas para este escenario, se ha podido ver que el servidor es susceptible a ataques de denegación de servicio. En estas pruebas, los ataques de inundación SYN Flood y TCP Flood resultaron exitosos,