Skip to content

Latest commit

 

History

History
426 lines (292 loc) · 23.5 KB

clase75.md

File metadata and controls

426 lines (292 loc) · 23.5 KB
Raw

shieldsIO shieldsIO shieldsIO

WideImg

Máster en Programación FullStack con JavaScript y Node.js

JS, Node.js, Frontend, Backend, Firebase, Express, Patrones, HTML5_APIs, Asincronía, Websockets, Testing

Clase 75

img

Hackers

img

Un hacker o jáquer es alguien que descubre las debilidades de un computador o de una red informática, aunque el término puede aplicarse también a alguien con un conocimiento avanzado de computadoras y de redes informáticas. Los hackers pueden estar motivados por una multitud de razones, incluyendo fines de lucro, protesta o por el desafío. La subcultura que se ha desarrollado en torno a los hackers a menudo se refiere a la cultura underground de computadoras, pero ahora es una comunidad abierta. Aunque existen otros usos de la palabra «hacker» que no están relacionados con la seguridad informática, rara vez se utilizan en el contexto general. Están sujetos a la antigua controversia de la definición de hacker sobre el verdadero significado del término. En esta controversia, el término hacker es reclamado por los programadores, quienes argumentan que alguien que irrumpe en las computadoras se denomina «cracker», sin hacer diferenciación entre los delincuentes informáticos —sombreros negros— y los expertos en seguridad informática —sombreros blancos—. Algunos hackers de sombrero blanco afirman que ellos también merecen el título de hackers, y que solo los de sombrero negro deben ser llamados crackers. Wikipedia

Vivir en la ignorancia

img

¿Recuerdas esto?

¿Te suena esto?

Cyberwar Times

img

¿Por que este escenario?

  • Conectamos todos y todo a internet
  • Las distancias se acortan y es menos costoso operar digitalmente
  • La información es la mayor moneda de cambio de este siglo
  • Los sistemas son muy complejos y dejan mucho margen para los atacantes
  • Mejoras en equipos (costes bajos), mejor conectividad (mayor capacidad), mejor tecnologia (big data, IoT, IA)
  • La ciberseguridad es una industria en si misma
  • La seguridad no es siempre la prioridad

¿Quien participa?

  • Jugadores Activos:

    • Hackers (White hat, Grey hat y Black Hat)
    • Crackers y ciberdelincuentes (Intereses economicos)
    • Terroristas (Intereses políticos)
    • Mercenarios (Intereses en Datos/patentes/información)
    • Hacktivistas (Intereses políticos)
    • Gobiernos/agencias estatales/APTs (defensa/espionaje)
    • Corporaciones y empresas (defensa/información)
    • Lobbis y Grupos de Poder (Intereses políticos)
    • Lobos Solitarios: Individuos e insiders (Venganza/información/Diversión/Curiosidad)

  • Elementos Pasivos (Daño Colateral):

    • Cualquier usuario de Internet
    • Cualquier dispositivo/maquina/sistema conectado

¿Motivación de los ataques?

img

¿Qué ataques son populares?

img

¿A quienes atacan?

img

¿Cuando pasa esto?

Seguridad en la red

Lo típico...

  • Ataques DDoS
  • Man-In-The-Middle/sniffing/otros
  • Malware (Ransomware, Virus, Troyanos, etc...)
  • Keyloggers
  • Ataques Web (Inyecciones, robos de sesión, phising, etc..)
  • Ingeniería Social
  • Adware (publicidad no deseada)
  • Spyware
  • Rootkits
  • y muchos más...

¿Qué papel juego?

  • Ataque personalizado: Soy el objetivo final de forma especifica.
  • Ataque por contexto: Formo parte del objetivo final (mi empresa), pero no yo mismo de forma especifica
  • Ataque por Utilidad especifica: Puedo ser la puerta de acceso a un objetivo específico (proveedor, amigo, etc...)
  • Ataque automático: Soy vulnerable y formo parte junto a otros usuarios de un lote de objetivos sin más personalización

Claves

  • Casi todos los sistemas funcionan 24/7
  • Es difícil saber cuando alguien entró sin permiso en el sistema o si llegó a marcharse
  • En ocasiones es complicado saber que hicieron los atacantes dentro del sistema
  • Casi siempre estamos en un escenario reactivo, donde seremos atacados primero
  • Hay que aprender como funciona el atacante que evoluciona para cerrar defensas
  • Los atacantes son "usuarios" porque no podemos verles directamente

img

Seguridad en la red: Cyber Kill Chain (CKC)

Cyber Kill Chain (Vista rápida)

img

Cyber Kill Chain (Vista detalle)

img

¿Qué hacen dentro del sistema?

  • Preparar escenarios para próximos ataques (backdoors, botnets...) y antiforenses
  • Destruir/inutilizar/Sabotear infraestructura (copias de seguridad, conexiones, LDAPs, etc...)
  • Montorización activa o pasiva del sistema (resplado de datos, cambios, etc...)
  • Modificación/Destrucción de la información
  • Robo/Suplantación de identidad
  • Secuestro de información (randsomware)
  • Infraestructura para otros ataques (almacenamiento, distribución, Botnets)

¿Cómo me asaltan (como empleado)?

  • SPAM: Genérico o personalizado, el plan es llevarte a una web fraudulenta o descargar un fichero
  • Phising: Web de apariencia real con fines oscuros
  • Man In the middle: Modificación de datos en tu red (wifis falseados o publicos, etc...)
  • Ingeniería social remota: Llamadas falsas, chats, etc...
  • Ingeniería social Física (con sigilo): Ordenador sin usuario con la sesión abierta, puerto USB no protegido...
  • Física y violentamente: secuestros, extorsiones (reales o generadas), etc...

¿Cómo me defiendo (como empleado)?

  • Aprende más sobre ciberseguridad
  • Usa contraseñas seguras y jamas las repitas
  • Usar webs HTTPS y no HTTP
  • Usar al menos 2 factores de autenticación (2FA/MFA)
  • Usa sistemas seguros (oficiales) y mantenlos actualizados
  • La encriptación es tu mejor amiga
  • Usa cuentas de correo distintas y evita la centralización (RRSS, Banca, etc...)
  • Cuidado con el Login social y los permisos
  • Permisos de la APPs
  • Cuidado con el software que instalas en tus equipos
  • El Open Source es tu mejor aliado
  • Vigila periféricos (webcam, micros, etc...) inutilizalos o bloquealos cuando no los uses

¿Qué herramientas usan?

Más info...

¡Under Attack!

img

Recuerdas Helmet?

Bounty programs

img

Algunos clave

OWASP Top 10 - 2017

img

A1:2017-Injection

Injection flaws, such as SQL, NoSQL, OS, and LDAP injection, occur when untrusted data is sent to an interpreter as part of a command or query. The attacker’s hostile data can trick the interpreter into executing unintended commands or accessing data without proper authorization.

A2:2017-Broken Authentication

Application functions related to authentication and session management are often implemented incorrectly, allowing attackers to compromise passwords, keys, or session tokens, or to exploit other implementation flaws to assume other users’ identities temporarily or permanently.

A3:2017-Sensitive Data Exposure

Many web applications and APIs do not properly protect sensitive data, such as financial, healthcare, and PII. Attackers may steal or modify such weakly protected data to conduct credit card fraud, identity theft, or other crimes. Sensitive data may be compromised without extra protection, such as encryption at rest or in transit, and requires special precautions when exchanged with the browser.

A4:2017-XML External Entities (XXE)

Many older or poorly configured XML processors evaluate external entity references within XML documents. External entities can be used to disclose internal files using the file URI handler, internal file shares, internal port scanning, remote code execution, and denial of service attacks.

A5:2017-Broken Access Control

Restrictions on what authenticated users are allowed to do are often not properly enforced. Attackers can exploit these flaws to access unauthorized functionality and/or data, such as access other users' accounts, view sensitive files, modify other users’ data, change access rights, etc.

A6:2017-Security Misconfiguration

Security misconfiguration is the most commonly seen issue. This is commonly a result of insecure default configurations, incomplete or ad hoc configurations, open cloud storage, misconfigured HTTP headers, and verbose error messages containing sensitive information. Not only must all operating systems, frameworks, libraries, and applications be securely configured, but they must be patched and upgraded in a timely fashion.

A7:2017-Cross-Site Scripting (XSS)

XSS flaws occur whenever an application includes untrusted data in a new web page without proper validation or escaping, or updates an existing web page with user-supplied data using a browser API that can create HTML or JavaScript. XSS allows attackers to execute scripts in the victim’s browser which can hijack user sessions, deface web sites, or redirect the user to malicious sites.

A8:2017-Insecure Deserialization

Insecure deserialization often leads to remote code execution. Even if deserialization flaws do not result in remote code execution, they can be used to perform attacks, including replay attacks, injection attacks, and privilege escalation attacks.

A9:2017-Using Components with Known Vulnerabilities

Components, such as libraries, frameworks, and other software modules, run with the same privileges as the application. If a vulnerable component is exploited, such an attack can facilitate serious data loss or server takeover. Applications and APIs using components with known vulnerabilities may undermine application defenses and enable various attacks and impacts.

A10:2017-Insufficient Logging & Monitoring

Insufficient logging and monitoring, coupled with missing or ineffective integration with incident response, allows attackers to further attack systems, maintain persistence, pivot to more systems, and tamper, extract, or destroy data. Most breach studies show time to detect a breach is over 200 days, typically detected by external parties rather than internal processes or monitoring.

Recursos

SANS TOP 25

img

Insecure Interaction Between Components

These weaknesses are related to insecure ways in which data is sent and received between separate components, modules, programs, processes, threads, or systems.

  • CWE-89 Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
  • CWE-78 Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
  • CWE-79 Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
  • CWE-434 Unrestricted Upload of File with Dangerous Type
  • CWE-352 Cross-Site Request Forgery (CSRF)
  • CWE-601 URL Redirection to Untrusted Site ('Open Redirect')

Risky Resource Management

The weaknesses in this category are related to ways in which software does not properly manage the creation, usage, transfer, or destruction of important system resources.

  • CWE-120 Buffer Copy without Checking Size of Input ('Classic Buffer Overflow')
  • CWE-22 Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
  • CWE-494 Download of Code Without Integrity Check
  • CWE-829 Inclusion of Functionality from Untrusted Control Sphere
  • CWE-676 Use of Potentially Dangerous Function
  • CWE-131 Incorrect Calculation of Buffer Size
  • CWE-134 Uncontrolled Format String
  • CWE-190 Integer Overflow or Wraparound

Porous Defenses

The weaknesses in this category are related to defensive techniques that are often misused, abused, or just plain ignored.

  • CWE-306 Missing Authentication for Critical Function
  • CWE-862 Missing Authorization
  • CWE-798 Use of Hard-coded Credentials
  • CWE-311 Missing Encryption of Sensitive Data
  • CWE-807 Reliance on Untrusted Inputs in a Security Decision
  • CWE-250 Execution with Unnecessary Privileges
  • CWE-863 Incorrect Authorization
  • CWE-732 Incorrect Permission Assignment for Critical Resource
  • CWE-327 Use of a Broken or Risky Cryptographic Algorithm
  • CWE-307 Improper Restriction of Excessive Authentication Attempts
  • CWE-759 Use of a One-Way Hash without a Salt

Plataformas de aprendizaje: Hackerone

img

Como funciona? | HackerOne - How It Works

Recursos

Plataformas de aprendizaje: Hack the box

img

HTB Write-ups

Recursos

Plataformas de aprendizaje: OWASP Juice Shop Tool Project

img

OWASP Juice Shop is probably the most modern and sophisticated insecure web application! It can be used in security trainings, awareness demos, CTFs and as a guinea pig for security tools! Juice Shop encompasses vulnerabilities from the entire OWASP Top Ten along with many other security flaws found in real-world applications!

Arquitectura

img

Recursos

Plataformas de aprendizaje: Atenea del CCN-CERT

img

Recursos

INCIBE. Insitituto Nacional de Ciberseguridad

img

Recursos

Ejercicios

1 - https://www.hackthebox.eu/ consigue una invitación para jugar en esta liga