¿qué es el hacking ético?
Ethical hacking, también conocido como penetration testing o pen testing, es irrumpir legalmente en computadoras y dispositivos para probar las defensas de una organización. Es uno de los trabajos de TI más emocionantes en los que cualquier persona puede estar involucrada. Literalmente te están pagando para mantenerte al día con la última tecnología y llegar a irrumpir en las computadoras sin la amenaza de ser arrestado.
Las empresas recurren a hackers éticos para identificar vulnerabilidades en sus sistemas., Desde el punto de vista del probador de penetración, no hay inconveniente: si hackeas más allá de las defensas actuales, le has dado al cliente la oportunidad de cerrar el agujero antes de que un atacante lo descubra. Si no encuentra nada, su cliente está aún más feliz porque ahora pueden declarar sus sistemas «lo suficientemente seguros como para que incluso los hackers pagados no puedan entrar en él.»Ganar-ganar!
he estado en seguridad informática durante más de 30 años, y ningún trabajo ha sido más desafiante y divertido que las pruebas de penetración profesionales., No solo puedes hacer algo divertido, sino que los probadores de bolígrafos a menudo se ven con un aura de frescura adicional que proviene de que todos saben que podrían ingresar a casi cualquier computadora a voluntad. Aunque ahora se ha vuelto legal, El ex hacker uber más notorio del mundo, Kevin Mitnick, me dijo que obtiene la misma emoción emocional de ser pagado para irrumpir legalmente en lugares como lo hizo por todos esos años de piratería ilegal. Mitnick dijo, la única diferencia » es la redacción del informe.»
¿qué hacen los hackers éticos?,
alcance y establecimiento de objetivos
es esencial que cualquier probador de bolígrafos profesional documente el alcance y los objetivos acordados. Estos son los tipos de preguntas sobre el alcance que debe hacer:
- ¿Qué activos de equipo están en el alcance para la prueba?
- ¿Incluye todas las computadoras, solo una aplicación o servicio determinado, ciertas plataformas de sistema operativo o dispositivos móviles y servicios en la nube?
- ¿el ámbito incluye solo un cierto tipo de activo de equipo, como servidores web, servidores SQL, todos los equipos a nivel de sistema operativo host y están incluidos los dispositivos de red?,
- ¿Puede la prueba de lápiz incluir el escaneo automatizado de vulnerabilidades?
- Se permite la ingeniería social, y si es así, ¿qué métodos?
- ¿En qué fechas se permitirán las pruebas de pluma?
- ¿Hay días u horas en los que no se deben probar las pruebas de penetración (para evitar interrupciones involuntarias o interrupciones del servicio)?
- ¿Los probadores deben hacer todo lo posible para evitar causar interrupciones del servicio o está causando cualquier tipo de problema que un atacante real pueda hacer, incluidas las interrupciones del servicio, una parte crucial de la prueba?,
- ¿La prueba de penetración será blackbox (lo que significa que el probador de lápiz tiene poco o ningún detalle interno de los sistemas o aplicaciones involucrados) o whitebox (lo que significa que tienen conocimiento interno de los sistemas atacados, posiblemente e involucrando código fuente relevante)?
- ¿Se informará a los defensores de seguridad informática sobre la prueba del lápiz o parte de la prueba será para ver si los defensores se dan cuenta?
- Si los atacantes profesionales (p. ej., equipo rojo) intentan entrar sin ser detectados por los defensores (p. ej.,, equipo azul), o deberían usar métodos normales que los intrusos reales podrían usar para ver si activa las defensas de detección y prevención existentes?
Haga estas preguntas con respecto a los objetivos de la prueba de penetración.
- ¿Es simplemente para mostrar que puede ingresar a una computadora o dispositivo?
- ¿la denegación de servicio se considera una meta dentro del alcance?
- ¿Es el acceso a una computadora en particular o la extracción de Datos parte del objetivo, o simplemente es obtener acceso privilegiado suficiente?
- ¿Qué se debe presentar como parte de la documentación al concluir la prueba?, ¿Debería incluir todos los métodos de hacking fallidos y exitosos, o solo los hacks más importantes? ¿Cuánto detalle se necesita, cada pulsación de tecla y clic del ratón, o simplemente descripciones resumidas? ¿Es necesario capturar los hacks en video o capturas de pantalla?
es importante que el alcance y los objetivos se describan en detalle y se acuerden antes de cualquier intento de prueba de penetración.,
descubrimiento: aprende sobre tu objetivo
Cada hacker ético comienza su hackeo de activos (excluyendo las técnicas de ingeniería social para esta discusión) aprendiendo tanto sobre los objetivos de prueba de lápiz como puedan. Quieren saber las direcciones IP, las plataformas del sistema operativo, las aplicaciones, los números de versión, los niveles de parches, los puertos de red anunciados, los usuarios y cualquier otra cosa que pueda conducir a un exploit. Es una rareza que un hacker ético no vea una vulnerabilidad potencial obvia al pasar solo unos minutos mirando un activo., Por lo menos, incluso si no ven algo obvio, pueden usar la información aprendida en el descubrimiento para el análisis continuo y los intentos de ataque.
explotación: entrar en el activo objetivo
esto es por lo que el hacker ético está siendo pagado: el «robo».»Usando la información aprendida en la fase de descubrimiento, el probador de lápiz necesita explotar una vulnerabilidad para obtener acceso no autorizado (o denegación de servicio, si ese es el objetivo). Si el hacker no puede irrumpir en un activo en particular, entonces debe probar otros activos dentro del alcance., Personalmente,
si he hecho un buen descubrimiento trabajo, entonces siempre he encontrado un exploit. Ni siquiera sé de un probador de penetración profesional que no haya irrumpido en un activo en el que fueron contratados, al menos inicialmente, antes de que su informe entregado le permitiera al defensor cerrar todos los agujeros encontrados. Estoy seguro de que hay probadores de penetración que no siempre encuentran exploits y logran sus objetivos de hacking, pero si haces el proceso de descubrimiento lo suficientemente a fondo, la parte de explotación no es tan difícil como mucha gente cree., Ser un buen probador de penetración o hacker es menos acerca de ser un genio y más acerca de la paciencia y la minuciosidad.
dependiendo de la vulnerabilidad y el exploit, el acceso ahora obtenido puede requerir una «escalada de privilegios» para convertir el acceso de un usuario normal en un acceso administrativo superior. Esto puede requerir un segundo exploit para ser utilizado, pero solo si el exploit inicial no le dio ya al atacante acceso privilegiado.
dependiendo de lo que esté en el alcance, el descubrimiento de vulnerabilidades se puede automatizar utilizando software de exploración de vulnerabilidades o explotación., Este último tipo de software generalmente encuentra vulnerabilidades, pero no las explota para obtener acceso no autorizado.
a continuación, el probador de bolígrafos realiza la acción de objetivo acordada si están en su destino final, o utilizan la computadora actualmente explotada para obtener acceso más cerca de su destino final. Los probadores de lápiz y los defensores llaman a este movimiento» horizontal «o» vertical», dependiendo de si el atacante se mueve dentro de la misma clase de sistema o hacia fuera a sistemas no relacionados., A veces, el objetivo del hacker ético debe probarse como alcanzado (como revelar secretos del sistema o datos confidenciales) o la mera documentación de cómo podría haberse logrado con éxito es suficiente.
documentar el esfuerzo del pen-test
Por último, el probador de penetración profesional debe redactar y presentar el informe acordado, incluyendo los hallazgos y conclusiones.,
Cómo convertirse en un hacker ético
cualquier hacker debe tomar algunos pasos comunes para convertirse en un hacker ético, el mínimo de los cuales es asegurarse de tener el permiso documentado de las personas adecuadas antes de irrumpir en algo. No violar la ley es primordial para ser un hacker ético. Todos los probadores de penetración profesionales deben seguir un código de Ética para guiar todo lo que hacen. El EC-Council, creador del examen Certified Ethical Hacker (CEH), tiene uno de los mejores códigos de ética públicos disponibles.,
la mayoría de los hackers éticos se convierten en probadores de penetración profesionales de dos maneras. O aprenden habilidades de hacking por su cuenta o toman clases de educación formal. Muchos, como yo, hicieron ambas cosas. Aunque a veces se burlan de los autodidactas, los cursos y certificaciones de hacking ético a menudo son la puerta de entrada a un trabajo bien remunerado como probador de penetración a tiempo completo.
el plan de estudios de seguridad de TI de hoy está lleno de cursos y certificaciones que enseñan a alguien a ser un hacker ético., Para la mayoría de los exámenes de certificación, puede estudiar por cuenta propia y traer su propia experiencia al centro de pruebas o tomar un curso de educación aprobado. Si bien no necesita una certificación de piratería ética para trabajar como probador de penetración profesional, no puede hacer daño.
como entrenador de CBT Nuggets, Keith Barker dijo: «Creo que la oportunidad de tener ‘cualquier cosa ética certificada’ en su currículum solo puede ser una buena cosa, pero es más una forma de entrada en más estudio. Además, si las empresas ven que estás certificado en piratería ética, saben que has visto y aceptado un código de ética en particular., Si un empleador está mirando currículos y ve a alguien que tiene una certificación de hacking ético y a alguien que no lo hizo, tiene que ayudar.»
a pesar de que enseñan la misma habilidad cada curso de hacking ético y certificación es diferente. Investigue un poco para encontrar el adecuado para usted.,
5 mejores cursos y certificaciones de hacking ético
- Certified Ethical Hacker
- SANS GPEN
- Offensive Security Certified Professional
- Foundstone Ultimate Hacking
- CREST
Certified Ethical Hacker
El certificado del EC-Council Ethical Hacker (CEH) es fácilmente el curso y certificación de penetración más antiguo y popular., El curso oficial, que se puede tomar en línea o con un instructor en persona, contiene 18 dominios temáticos diferentes, incluidos temas de hacking tradicionales, además de Módulos sobre malware, redes inalámbricas, nube y plataformas móviles. El curso completo a distancia incluye seis meses de acceso al Cyber Range iLab en línea, que permitirá a los estudiantes practicar más de 100 habilidades de hacking.
para obtener la certificación CEH es necesario realizar un curso oficial o, en caso de autoaprendizaje, acreditar dos años de experiencia o formación relevantes. Contiene 125 preguntas de opción múltiple con un límite de tiempo de cuatro horas., Tomar el examen requiere aceptar el código de Ética del EC-Council, que fue uno de los primeros códigos de ética requeridos para los examinadores de seguridad informática. El material didáctico y las pruebas se actualizan de forma rutinaria.
SANS GPEN
SysAdmin, Networking, and Security (SANS) Institute es una organización de capacitación altamente respetada, y todo lo que enseñan junto con sus certificaciones son muy respetados por los profesionales de seguridad de TI. SANS ofrece múltiples cursos y certificaciones de pruebas de lápiz, pero su Probador de penetración GIAC base (GPEN) es uno de los más populares.,
el curso oficial para la GPEN, SEC560: Network Penetration Testing and Ethical Hacking, se puede tomar en línea o en persona. El examen GPEN tiene 115 preguntas, un límite de tiempo de tres horas, y requiere una puntuación de 74 por ciento para aprobar. No se requiere capacitación específica para ningún examen GIAC. El GPEN está cubierto por el Código general de Ética de GIAC, que se toman muy en serio, como lo atestigua un recuento de aprobadores de exámenes que han sido descalificados por violar el código.,
«me gusta cómo se vincula a las habilidades prácticas que los probadores de penetración deben tener para hacer su trabajo todos los días», dice Skoudis. «Cubre todo, desde enfoques técnicos detallados hasta pruebas, pasando por el alcance, las reglas de compromiso y la presentación de informes. El examen está muy centrado en el escenario, por lo que presentará un escenario de prueba de penetración dado y preguntará cuál es la mejor manera de avanzar. O bien, te mostrará la salida de una herramienta y te preguntará qué te está diciendo la herramienta y qué debes hacer a continuación. Lo aprecio mucho, ya que mide mejor las habilidades del mundo real., El examen no tiene muchas preguntas que son meramente de definición, donde tienen una oración a la que le falta una palabra y le preguntan cuál de las siguientes palabras rellena mejor la oración. Esa no es una forma particularmente buena de medir las habilidades.»
Offensive Security Certified Professional
El curso y certificación Offensive Security Certified Professional (OSCP) ha ganado una reputación bien ganada por su dureza con una estructura de aprendizaje y un examen muy prácticos., El curso oficial de capacitación en línea a su propio ritmo se llama Penetration Testing con Kali Linux e incluye 30 días de acceso al laboratorio. Debido a que se basa en Kali Linux (el sucesor de la distribución de Linux favorita anterior de pen testers, BackTrack), los participantes necesitan tener una comprensión básica de cómo usar Linux, shells bash y scripts.
la OSCP es conocida por empujar a sus estudiantes y examinadores más duro que otras rutas de prueba pen. Por ejemplo, el curso OSCP enseña, y el examen requiere, la capacidad de obtener, modificar y utilizar código de explotación obtenido públicamente., Para el «examen», el participante recibe instrucciones para conectarse de forma remota a un entorno virtual donde se espera que comprometa varios sistemas operativos y dispositivos en un plazo de 24 horas, y documentar a fondo cómo lo hicieron. Offensive Security también ofrece cursos y exámenes de pen testing aún más avanzados (por ejemplo, que incluyen la explotación web, inalámbrica y avanzada de Windows). Es posible que los lectores quieran aprovechar su curso gratuito en línea de herramientas básicas Metasploit.,
Foundstone Ultimate Hacking
La unidad de Negocio Foundstone de McAfee (en la que trabajé hace más de 10 años) fue uno de los primeros cursos prácticos de pruebas de penetración disponibles. Su serie de últimos cursos de Hacking y libros lideró el campo durante mucho tiempo. Cubrieron Windows, Linux, Solaris, Web, SQL y una gran cantidad de técnicas avanzadas de hackers (como el túnel). Desafortunadamente, los cursos de Ultimate Hacking no tienen exámenes y certificaciones formales.,
hoy en día, Foundstone ofrece una serie de opciones de entrenamiento mucho más allá de las pruebas de lápiz, incluyendo análisis forenses y respuesta a incidentes (al igual que muchos de los otros jugadores en este artículo). Además, Foundstone ofrece capacitación en hacking internet of things (IoT), firmware, sistemas de seguridad de control industrial, Bluetooth y RFID. Los instructores de Foundstone a menudo son probadores de bolígrafos y consultores de seguridad de la vida real, aunque muchos, si no la mayoría, de los cursos de capacitación son manejados por socios.,
CREST
internacionalmente, los cursos y exámenes pen test del organismo de certificación y acreditación de información CREST sin fines de lucro son comúnmente aceptados en muchos países, incluidos el Reino Unido, Australia, Europa y Asia. La misión de CREST es educar y certificar a los probadores de plumas de calidad. Todos los exámenes aprobados por CREST han sido revisados y aprobados por la sede de comunicación del gobierno del Reino Unido (GCHQ), que es análoga a la NSA de los Estados Unidos.,
el examen de prueba de lápiz básico de CREST se conoce como CREST Registered Tester (o CRT), y hay exámenes para probadores de lápiz web e infraestructura. Los exámenes y los costos varían según el país. Los participantes del examen CREST deben revisar y reconocer el código de conducta de CREST. La certificación Offensive Security OSCP se puede utilizar para obtener el CRT.
Todos los instructores con los que hablé creían que los cursos que impartían eran solo un comienzo. Barker de CBT Nuggets dijo: «son un gran punto de entrada y exposición a todos los cimientos que luego puede ir más.,»
«cada una no es solo una clase independiente que alguien toma durante seis días y luego desaparece», dice Skoudis. «En cambio, nuestras clases son más como un ecosistema, centrado en torno a esos 6 días de capacitación, pero con webcasts y blogs de seguimiento para el aprendizaje continuo en el futuro. Además, hemos sido muy afortunados de tener a nuestros estudiantes anteriores contribuyendo a este ecosistema a través de sus propios blogs y desarrollo de herramientas, devolviendo a la comunidad. Es realmente un hermoso ciclo virtuoso, y estoy muy agradecido de ser un poco parte de él.,»
herramientas de hacking Ético
Los hackers éticos suelen tener un conjunto estándar de herramientas de hacking que utilizan todo el tiempo, pero es posible que tengan que buscar y abastecerse de diferentes herramientas dependiendo del trabajo en particular. Por ejemplo, si se le pide al penetration tester que ataque SQL servers y no tiene experiencia relevante, es posible que desee comenzar a investigar y probar diferentes herramientas de ataque SQL.
La mayoría de los probadores de penetración comienzan con una «distro» del Sistema Operativo Linux que está especializada para pruebas de penetración., Las distribuciones de Linux para hacking van y vienen a lo largo de los años, pero ahora mismo la distribución de Kali es la que prefieren los hackers éticos más profesionales. Hay miles de herramientas de hacking, incluyendo un puñado de incondicionales que casi todas las pen tester usos.
el punto más importante de cualquier herramienta de hacking, más allá de su calidad y ajuste para el trabajo a mano, es asegurarse de que no contiene malware u otro código diseñado para hackear el hacker. La gran mayoría de las herramientas de hacking que puedes obtener en internet, especialmente de forma gratuita, contienen malware y puertas traseras indocumentadas., Por lo general, puedes confiar en las herramientas de hacking más comunes y populares, como Nmap, pero los mejores hackers éticos escriben y usan sus propias herramientas porque no confían en nada escrito por otra persona.
para una mirada más profunda a las herramientas de hacking ético, lea » 17 herramientas de pruebas de penetración que utilizan los profesionales.»
Ethical hacking jobs: How the role is evolving
como cualquier otra disciplina de seguridad de TI, Ethical hacking está madurando. Los hackers independientes que simplemente muestran destreza técnica sin profesionalismo y sofisticación son cada vez menos demandados., Los empleadores están buscando el hacker profesional completo, tanto en la práctica como en los conjuntos de herramientas que utilizan.
mejores kits de herramientas: el software de pruebas de penetración o vulnerabilidad siempre ha sido parte del kit de herramientas del hacker ético. Más que probable, el cliente ya está ejecutando uno o ambos de estos sobre una base regular. Uno de los desarrollos más emocionantes en las pruebas de lápiz son herramientas que esencialmente hacen todo el trabajo duro desde el descubrimiento hasta la explotación, al igual que un atacante podría.
Un ejemplo de este tipo de herramienta es Open source Bloodhound., Bloodhound permite a los atacantes ver, gráficamente, las relaciones entre diferentes equipos en una red de Active Directory. Si introduces un objetivo objetivo deseado, Bloodhound puede ayudarte a ver rápidamente múltiples rutas de hackeo para llegar desde donde empiezas a ese objetivo, a menudo identificando rutas que no sabías que existían. He visto usos complejos donde los probadores de bolígrafos simplemente ingresaron en los puntos de inicio y final, y Bloodhound y algunos scripts hicieron el resto, incluidos todos los pasos de hacking necesarios para llegar del punto A a la Z., Por supuesto, el software de pruebas de penetración comercial ha tenido este tipo de sofisticación durante mucho más tiempo.
una imagen vale más que mil palabras: solía ser que para vender una defensa a la alta gerencia, los probadores de bolígrafos hackeaban a la alta gerencia o les mostraban documentación. Hoy en día, la Alta Dirección quiere presentaciones de diapositivas, videos o animaciones de cómo se realizaron hacks particulares en su entorno. Lo usan no solo para vender a otros gerentes sénior en defensas particulares, sino también como parte de la educación de los empleados.,
gestión de riesgos: tampoco es suficiente entregar una lista de vulnerabilidades encontradas al resto de la empresa y considerar su trabajo hecho. No, los probadores de penetración profesionales de hoy en día deben trabajar con la administración de TI para identificar las amenazas más grandes y probables. Los probadores de penetración ahora son parte del equipo de gestión de Riesgos, lo que ayuda a reducir el riesgo de manera eficiente, incluso más que las vulnerabilidades puras., Esto significa que los hackers éticos proporcionan aún más valor al mostrar a la administración y a los defensores lo que es más probable que suceda y cómo, y no solo mostrarles un truco único que es poco probable que ocurra de un intruso de la vida real.
Las pruebas de penetración profesional no son para todos. Requiere convertirse en un casi experto en varias tecnologías y plataformas diferentes, así como un deseo intrínseco de ver si algo se puede romper más allá de los límites normalmente presentados. Si tienes ese deseo, y puedes seguir algunas pautas legales y éticas, tú también puedes ser un hacker profesional.,
