Varios

Ethical hacking: Test de intrusión. Principales metodologías

Maikel Menéndez Méndez - lord_tango00242@yahoo.es

1. Introducción
2. Seguridad informática.
3. ¿Quiénes son los ETHICAL HACKERS?
4. 3.1 OSSTMM
5. 3.2 ISSAF
6. 3.3 OTP (OWASP Testitng Project)
7. Conclusiones
8. Bibliografía
9. Anexos
Introducción
Las computadoras alrededor del mundo estánsiendo víctimas sistemáticamente de ataques de hackers (piratas informáticos), capaces de comprometer un sistema, robar todo lo valioso y borrar completamente la información en pocos minutos. Por esta razón resulta de vital importancia conocer si los sistemas informáticos y redes están protegidos de todo tipo de intrusos.
Precisamente el objetivo fundamental de Ethical Hacking, es, brindar ayuda alas organizaciones para que tomen todas las medidas preventivas en contra de agresiones maliciosas, valiéndose para ello de los test de intrusión, que evalúan la seguridad técnica de los sistemas de información, redes de computadoras, aplicaciones web, servidores, etc. El servicio consiste en la simulación de ataques hostiles controlados y la realización de actividades propias de delincuentesinformáticos, esta filosofía resulta de la practica probada: "Para atrapar a un ladrón debes pensar como un ladrón".
A continuación se describen en detalle los diferentes enfoques a los que se orientan los tests de intrusión que aplican las empresas dedicadas a brindar servicios de ethical hacking, sus fases y las principales metodologías en las que se apoyan los especialistas para realizar dichasoperaciones.

1. Breve introducción al tema…
1.1 Seguridad informática.
La seguridad informática consiste en asegurar que los recursos del sistema de información (material informático o programas) de una organización sean utilizados de la manera que se decidió y que el acceso a la información allí contenida así como su modificación sólo sea posible a las personas que se encuentren acreditadas ydentro de los límites de su autorización.
En la actualidad dicho concepto debe ser incorporado de manera obligatoria en el proceso de desarrollo de un software, desde las fases iniciales de su diseño hasta su  puesta en funcionamiento, sin embargo la realidad es otra y  la seguridad es incorporada en una aplicación como producto de una reflexión tardía a la fase de diseño inicial del producto. El desarrollador no sólo debe concentrarse únicamente en los usuarios y sus requerimientos, sino también en los eventos que puedan interferir con la integridad del software y la información que éste maneja.
Para garantizar la seguridad informática se requiere de un conjunto de sistemas, métodos  y herramientas destinados a proteger la información, en este punto es donde entran a desempeñar un rolprotagónico las empresas dedicadas a brindar servicios orientados a estos menesteres, uno de esos servicios lo constituye precisamente el caso que ocupa este trabajo, los servicios de ethical hacking, disciplina de la seguridad de redes que se sustenta en el hecho de que para estar protegido se debe conocer cómo operan y qué herramientas usan los hackers.

1.2 ¿Quiénes son los ETHICAL HACKERS?Ethical Hackers son redes de computadoras y expertos que atacan sistemas informáticos en nombre de sus propietarios, con los mismos métodos que sus homólogos, en busca de posibles fallas de seguridad con la finalidad de brindar un informe de todas las vulnerabilidades encontradas que podrían ser aprovechadas por los piratas informáticos.
Para tales fines los ethical hackers han desarrollado loque se conoce como pruebas de penetración, (PEN-TEST por sus siglas en inglés).
2. Tests de intrusión.
Una prueba de penetración es un paso previo natural a todo análisis de fallas de seguridad o riesgo para una organización. A diferencia de un análisis de vulnerabilidades, una prueba de penetración se enfoca en la comprobación y clasificación de las mismas; y no en el impacto que estas...