Obtención de Información de un Atacante

• OBTENCION DE INFORMACION DE UN ATACANTE

Conocer las diferentes etapas que conforman un ataque informático brinda la ventaja de aprender a pensar como los atacantes y a jamás subestimar su mentalidad.

 

1.1    Fases comunes de un ataque: 

         Fase 1: Reconocimiento

Esta etapa involucra la obtención de información (Information Gathering) con respecto a una potencial víctima que puede ser una persona u organización.

Fase 2: Exploración

Esta segunda etapa se utiliza la información obtenida en la fase 1 para sondear el blanco y tratar de obtener información sobre el sistema víctima como direcciones IP, nombres de host, datos de autenticación, entre otros.

Fase 3: Obtener acceso

En esta instancia comienza a materializarse el ataque a través de la explotación de las vulnerabilidades y defectos del sistema (Flaw exploitation) descubiertos durante las fases de reconocimiento y exploración.

Fase 4: Mantener el acceso

Una vez que el atacante ha conseguido acceder al sistema, buscará implantar herramientas que le permitan volver a acceder en el futuro desde cualquier lugar donde tenga acceso a Internet. Para ello, suelen recurrir a utilidades backdoors, rootkits y troyanos.

Fase 5: Borrar huellas

Una vez que el atacante logró obtener y mantener el acceso al sistema, intentará borrar todas las huellas que fue dejando durante la intrusión para evitar ser detectado por el profesional de seguridad o los administradores de la red

• CÓMO IDENTIFICAR SU SISTEMA OPERATIVO

Mantenga presionada la tecla (Windows) en el teclado e ingrese la tecla R. O haga clic en Iniciar => Ejecutar.
Ingrese "winver" en la casilla en blanco. Luego haga clic en OK.

Revise la versión de Windows. Ese el sistema operativo que está utilizando.La pantalla podría variar según el sistema operativo que está utilizando. Estos son ejemplos de pantallas.
 

 

Este es la forma más fácil de acceder y saber qué sistema operativo se utiliza la computadora de una empresa o personal.

• TRANSPORT CONTROL PROTOCOL (TCP)

Es el que permite establecer una conexión entre dos puntos terminales en una red informática común que posibilite un intercambio mutuo de datos. En este proceso, cualquier pérdida de datos se detecta y resuelve, por lo que se considera un protocolo fiable. 

 

 

Funcion exacta sobre la conexiones de TCP

El software TCP se activa mediante distintas aplicaciones de red, como los navegadores de red o los servidores, a través de interfaces específicas. Cada conexión se debe identificar siempre claramente mediante dos puntos terminales definidos (cliente y servidor). 

• DETECCIÓN DE SERVICIOS Y VERSIONES:

Puede ayudar mucho a la hora de determinar qué ataques pueden afectar a un servidor, el saber el número de versión exacto del servicio. 
La detección de versiones ayuda a obtener esta   información.

 

Una vez que se han detectado los puertos TCP y/o UDP con alguno de los métodos de sondeo, la detección de versiones pregunta para obtener más información de lo que realmente se está ejecutando. La base de datos /usr/share/nmap/nmap-service-probes contiene patrones para consultar distintos servicios y reconocer y tratar distintas respuestas en base a una serie de expresiones (alrededor de 3.000 patrones para más de 350 protocolos distintos como smtp, ftp, http, etc.).

Algunas opciones para la detección de servicios y versiones son: 

-sV:  Activa la detección de versiones como se ha descrito previamente. Puede utilizar la opción -A en su lugar para activar tanto la detección de versiones como la detección de sistema operativo.

--version-intensity <intensidad>: El comando nmap envía una serie de sondas cuando se activa la detección de versiones (-sV) con un nivel de rareza preasignado. Las sondas con un número bajo son efectivas contra un amplio número de servicios comunes, mientras que las de números más altos se utilizan rara vez. El nivel de intensidad indica qué sondas deberían utilizarse. Cuanto más alto sea el número, mayor la probabilidad de identificar el servicio, sin embargo, los sondeos de alta intensidad tardan más tiempo. El valor de intensidad puede variar entre 0 y 9. El valor por omisión es 7.

 --version-light: Sinónimo de --version-intensity 2. 

 

•   ESCANEO DE VULNERABILIDADES:

Es un análisis, identificación y reporte muy sistemático de las vulnerabilidades en cuestión de seguridad que se tienen en una infraestructura de computo. La intención es proteger en el mejor porcentaje posible la seguridad de la información ante el ataque de un ente externo.

Escaneo de vulnerabilidades

Un Escaneo de Vulnerabilidades es la identificación, análisis y reporte de vulnerabilidades (entendida como una falla que permite que una amenaza se convierta en un riesgo).

El escaneo de puertos, servicios, aplicaciones puede ser:

·         Externo: se realiza remotamente, asumiendo la perspectiva de alguien ajeno a la organización.

·         Interno: se examina el perfil de seguridad desde la perspectiva de alguien interno o que tiene acceso a los sistemas y redes de la organización.

·         Mixto: combina las perspectivas externas e internas.

 

• ¿Como funciona un ataque informatico?