Client side explotation
-
Upload
diana -
Category
Technology
-
view
350 -
download
4
Transcript of Client side explotation
CLIENT SIDE EXPLOTATION
Mayra Criollo
Mercy Jiménez
Diana Poma
UNIVERSIDAD TÉCNICA PARTICULAR DE LOJA
La Universidad Católica de Loja
CLIENT SIDE EXPLOTATION
Actualmente se hace mayor uso de los
servicios basados en sistemas informáticos
alojados o no en el internet, en las
empresas, en los centros educativos, etc.
Todas las entidades manejan información
privada de uso interno, la misma que
desean proteger al momento que viaja por
medio de la red ya sea de internet o no.
CLIENT SIDE EXPLOTATION
En el ámbito de la informática se identificaalgunos tipos de ataques como la pérdida dela información, ya sea por hackers, espionaje,empleados o ex-empleados enojados con laempresa y un sinnúmero de casos que sepueden dar.
Estos tipos de ataques afectan en gran medidaa las entidades, económicamente ysocialmente.
CLIENT SIDE EXPLOTATION
Fácilmente podemos darnos cuenta que
aplicando el ataque de ingeniería social existen
muchas personas que pueden divulgar mucha
información confidencial a personas externas
ya sea por amistad o por simple conversa,
Esta información le sirve al atacante para
realizar cualquier actividad maliciosa.
CLIENT SIDE EXPLOTATION
La explotación por el lado del cliente es una de
las prácticas habituales utilizadas hoy en día
para el acceso no autorizado a información
sensible o importante.
Para los atacantes es más sencillo entrar por el
lado del usuario, debido a su falta de
conocimiento en cuanto a la seguridad
informática.
CLIENT SIDE EXPLOTATION
Existen muchos usuarios que realizan
descargas de sitios peligrosos o a su vez
mediante el mail abren correos spam que
les llevan a descargas de software que por
debajo en realidad se ejecuta algún tipo de
ataque.
Claudio Caraciolo menciona algunos tipos de
ataques que se realizan del lado del cliente
como OSINT, Information Gathering, Ethical
Hacking.
OSINT
Es un acrónimo (Open SourceIntelligence) usado para referirse a losrecursos libremente accesibles coninformación de inteligencia.
La recopilación y análisis de la informacióncontenida en esas fuentes puede permitiralcanzar inteligencia utilizable[1]
La información combinada tiene un nivel desensibilidad mayor que las partes que lacomponen. [2]
OSINT
Incluye una variedad amplia de información y
de fuentes:
Medios - periódicos, compartimientos, radio,televisión, e información computarizada.
Datos públicos - informes del gobierno, datosoficiales tales como presupuestos ydemographics, etc.
Observación y divulgación - observadores detiro aficionados del aeroplano, monitores deradio y observadores basados en lossatélites entre muchas otras.[3]
OSINT
Profesional y académico - conferencias,
simposios, asociaciones profesionales, etc.
La mayoría de la información tiene
dimensiones geospatial, pero muchas pasan
por alto a menudo el lado geospatial de
OSINT: no todo los datos de fuente abiertos
es texto no estructurado. [3]
PROBLEMAS O DESVENTAJAS
El principal problema que presenta OSINT es
su dificultad para identificar las fuentes
confiables dentro de una gran cantidad de
información disponible públicamente, sin
embargo, esto no es como grande un desafío para los
que sepan cómo tener acceso a conocimiento local.
[4]
VULNERABILIDADES EN INTERNET
Información disponible en los sitios fuera del
ámbito del control de la Fuerza Aérea
representa una amenaza mucho más grave que
las posibilidades de recopilación en los
sistemas propios.
La segunda amenaza, más manejable, incluye
sistemas bajo el control de la Fuerza Aérea.
El proceso actual para reducir el riesgo de
recopilación se centra exclusivamente en el
contenido de la información. [5]
INFORMATION GATHERING OLD SCHOOL
La obtención de información no es más que
una de las fases esenciales para llevar a cabo
en una auditoria que consisten en obtener la
mayor cantidad posible sobre el objetivo.[6]
En el proceso de un ataque, un atacante puede
gastar en 90 % de un ataque en la fase de
obtención de información, mientras que el 10
restante lo reservaría para el ataque en sí. [6]
INFORMATION GATHERING OLD SCHOOL
Si estos análisis se le coloca habitualmente laetiqueta de vieja escuela, siguen siendo tanútiles y vigentes como el primer día, algunas delas técnicas tradicionales son las siguientes[2]:
Consultas a Bases WHOIS
Enumeración DNS
Trasferencia de Zona DNS
Trazados de Ruta
Fingerprint de Aplicaciones y SistemasOperativos
Banner Grabbing
MÉTODOS Y HERRAMIENTAS
Pasivos: No implican acción alguna contraningún activo del objetivo.
Activos: Implican una acción contra uno ovarios activos del objetivo que van desdeuna simple navegación por la página Web aanálisis
Metagoofil/FOCA: Son dos herramientas quese aprovechan de los operadores site yfiletpe para descargar archivos de Internet.
MÉTODOS Y HERRAMIENTAS
Redes sociales: Hi5, MySpace, Facebook,
Linkedin, etc.
Maltego es un software desarrollado por
Paterva, que permite obtener información
acerca de infraestructura tecnológica,
usuarios, e-mails, personas, teléfonos, etc.
ETHICAL HACKING
Tipo de análisis de seguridad en donde los
profesionales contratados intentan
encontrar la mayor cantidad de fallas
posibles en un sistema.
Como de diseño, desarrollo,
implementación o hasta incluso de uso.
ETHICAL HACKING
Tratan de aprovecharlas para ganar
privilegios y escalar dentro de los sistemas
intentando acceder a información sensible a
nuevos equipos. [7]
La principal característica de este tipo de
análisis es la creatividad del atacante para
superar los controles habituales, y
obviamente esto no se automatiza.
ETHICAL HACKING
Un Ethical Hacking parte de la base
fundamental de la autorización otorgada al
profesional por parte del dueño o
representante del sistema, donde se le permite
realizar las pruebas necesarias a fin de
encontrar fallas que permitan armar un plan de
mejoras a la empresa.
IMPORTANCIA
Al conocer el nivel de seguridad que se tiene ennuestra organización es mucho más sencillo,tomar decisiones y presentar medidas quepuedan subsanar las deficiencias que presentala empresa. [8]
Los temas que se dieron dentro de laconferencia fueron de gran importancia ya quehoy en día son muchas las vulnerabilidades queexisten en las empresas y que aún siguen enpeligro de que su información esté expuesta.
CONCLUSIÓN
Todos los temas que se dieron dentro de la
conferencia fueron de gran importancia ya que
hoy en día son muchas las vulnerabilidades que
existen en las empresas y que aún siguen en
peligro de que su información esté expuesta a
personas que no tienen autorización para
acceder a ella y seguir perdiendo miles de
dólares. Lo más visto entre los ataques por el
lado del cliente ha sido la ingeniería social.
REFERENCIAS BIBLIOGRÁFICAS
[1] http://web.mac.com/stazon/portal/OSINT.html
[2]Caracciolo Claudio, disponible en http://www.slideshare.net/eccutpl/seguridad-de-la-
informacin-6447449?from=ss_embed
[3] http://www.worldlingo.com/ma/enwiki/es/Open_Source_Intelligence
[4] http://neosiglo-web.blogspot.com/2009/03/open-source-intelligence-osint-o.html
[5]Teniente coronel David Umphress, 20 de febrero del 2010, disponible en
http://haddensecurity.wordpress.com/2010/02/20/internet-y-la-reunion-de-inteligencia-
de-fuentes-abiertas-osint/
[6] Ramón Vinces, disponible en http://www.securecorner.net/2009/12/information-
gathering.html
[7]Caracciolo Claudio, 27 de julio 2010, disponible en http://cxo-
community.com/articulos/blogs/blogs-seguridad-informatica/3237
[8] Universidad Tecnológica del sur de Sonora, Agosto 2010, disponible en
http://www.slideshare.net/jmacostarendon/seguridad-informatica-y-ethical-hacking
[9]http://seguinfo.wordpress.com/category/campanas/
[10] http://www.sisteseg.com/files/Microsoft_Word_-_Politica_Seguridad_Fisica.pdf