Scanners para detectar vulnerabilidades

Carlos Arturo Medina García

ASSR

Introducción

● Controlar y mantener todas las posibles vulnerabilidades puede ser muy difícil para los administradores de sistemas

● Los scanners de vulnerabilidades pueden ayudar a automatizar la auditoría en seguridad

● Capaces de escanear la red y páginas web, y encontrar hasta miles de riesgos de seguridad priorizados

¿Qué es un escáner de vulnerabilidades?

● Aquél que es capaz de evaluar a una variedad de vulnerabilidades sobre sistemas de información

● Pueden ser originadas: • Debido al proveedor• Actividades del administrador del sistema• Actividades de los usuarios

Riesgos detectables

● Secuencias de órdenes en sitios cruzados (Cross Side Scripting)

● Inyecciones SQL● Ejecución de comandos● Directory Traversal● Configuraciones inseguras del servidor

Beneficios

✔ Detección temprana y ayuda al manejo de problemas de seguridad conocidos

✔ Detectar nuevos dispositivos y sistemas conectados sin autorización

✔ Verificar el inventario de todos los dispositivos en la red

Limitaciones

● Los resultados muestran las condiciones en que se encuentra el sistema en un tiempo determinado

● Juicios humanos siempre son requeridos● Se limitan a descubrir vulnerabilidades conocidas,

no es posible identificar aquellas relacionadas con aspectos físicos, u operacionales.

Arquitectura de los scanners de vunerabilidad

Clasificación

● Scanners basados en red

● Scanners basados en host

Basados en red

● Scaner de puertos (Nmap)● Scaner de vulnerabilidad de red (Nessus, SAINT,

OpenVas)● Scaner de seguridad en aplicaciones web (Nikto,

w3af)● Scanners de servidores web

Basados en host

● Scaner de seguridad de base de datos● Scaner de vulnerabilidad basado en host (Lynis)● Scaner de seguridad ERP● Pruebas de seguridad únicas

Consideraciones para elegir un scanner

● Frecuencia y método de actualización ● Calidad vs Cantidad de vulnerabilidades

detectadas● Calidad de los reportes

Buenas prácticas

● Considerar ubicación del escáner (dentro y fuera de red)● Verificar rango de escaneo de puertos (0-15000 por

default)● Mantener un historial de escaneos para poder comparar

antiguas configuraciones vs actuales● Establecer políticas de seguridad (post y pre escaneo)● Prever posible sobrecarga de red (en escaneo)● Asegurarse que el historial de escaneo esté seguro

Nmap (Network mapper)

● Herramienta open source para auditoría, descubrimiento y seguridad de red

● Utiliza paquetes IP para determinar hosts disponibles sobre la red, que servicios ofrecen, SO's, firewalls,

● Flexible, poderoso y portable

Comandos

● Exploración: sudo nmap <dir ip>● Only Ping Scan (exploración simple): sudo nmap -sP

<dir ip>● Escaneo ping ARP: sudo nmap -PR <dir ip>● Realización de análisis rápido (los 100 puertos más

utilizados): sudo nmap -F <dir ip>● Análisis de puertos específicos: sudo nmap -p23

192.168.1.34 (puerto TELNET)

Comandos

● Exploración: sudo nmap <dir ip>● Only Ping Scan (exploración simple): sudo nmap -sP

<dir ip>● Escaneo ping ARP: sudo nmap -PR <dir ip>● Realización de análisis rápido (los 100 puertos más

utilizados): sudo nmap -F <dir ip>● Análisis de puertos específicos: sudo nmap -p23

192.168.1.34 (puerto TELNET)

Comandos (2)

● Detección de sistema operativo y servicios: nmap -O <dir ip>

● Detección de versión de servicios: nmap -sV <dir ip>● List scan: Nmap -sL <dir ip> ● Saber si un host esta protegido por FireWall: nmap

-sA <dir ip>● sudo nmap --traceroute <dir ip>

Comandos (3)

● Mostrar todos los paquete enviados y recibidos:

nmap --packet-trace <dir ip>● Mostrar interfaces y rutas: nmap --iflist

Referencias

● https://nmap.org/● https://www.owasp.org/index.php/Category:Vuln

erability_Scanning_Tools● http://www.infosec.gov.hk/english/technical/files

/vulnerability.pdf● http://www.cyberciti.biz/networking/nmap-

command-examples-tutorials/