¿Qué es el Ethical Hacking?
Es una rama se la seguridad informática que permite evaluar el nivel de vulnerabilidad y el riesgo
en el que se encuentran los sistemas informáticos o los activos de una organización de forma legal y
autorizada.
Los hackers éticos son necesarios para mejorar la seguridad de los sistemas y redes.
Hacker ético != pirata informático = cibercriminal = cracker
De lo anterior podemos afirmar que Ethical Hacking consiste en la simulación de posibles
escenarios donde se reproducen ataques de manera controlada, así como actividades propias de los
delincuentes cibernéticos, esta forma de actuar tiene su justificación en la idea de que:
"Para atrapar a un intruso, primero debes pensar como intruso".
Hacker ético
Todo profesional de la seguridad que aplican sus conocimientos de hacking con fines defensivos (y
legales), llamado de los hackers “buenos”.
Un hacker ético es un experto en computadoras y redes de datos, su función es atacar los sistemas
de seguridad con autorización de sus dueños, con la intención de buscar y encontrar
vulnerabilidades que un hacker malicioso podría explotar.
¿Por qué hacer un Ethical Hacking?
A través del Ethical Hacking (es posible detectar el nivel de seguridad interno y externo de los
sistemas de información de una organización, esto se logra determinando el grado de acceso que
tendría un atacante con intenciones maliciosas a los sistemas informáticos con información crítica.
Las pruebas de penetración son un paso previo a los análisis de fallas de seguridad o riesgos para
una organización. La diferencia con un análisis de vulnerabilidades, es que las pruebas de
penetración se enfocan en comprobar y clasificar vulnerabilidades y no tanto en el impacto que
éstas tengan sobre la organización.
La realización de las pruebas de penetración está basada en las siguientes fases:
1. Reconocimiento: Se recolecta información del sistema de forma activa o pasiva.
2. Escaneo: Probar activamente las vulnerabilidades que puede explotarse.
3. Obtener acceso: explotar una vulnerabilidad para acceder al sistema.
4. Mantener el acceso: Se mantiene en el sistema para lograr el objetivo del ataque.
5. Borrado de huellas: El atacante trata de borrar las evidencias del ataque.
Durante las Pruebas de Vulnerabilidad
_ Preparación: Se debe tener un contrato firmado por escrito donde se exonere al hacker ético de
toda responsabilidad como consecuencia de las pruebas que realice (siempre que sea dentro del
marco y términos acordado),crear un equipo de hacking y planificar las pruebas.
_ Ejecución de Plan Evaluación de la Seguridad: Realizar las pruebas.
_ Gestión: Preparación de un informe donde se detallen las pruebas y posibles vulnerabilidades
detectadas.
_ Conclusión: Presentación a la empresa del informe y de las posibles soluciones.
Tipos de Ethical Hacking
Las pruebas de penetración se enfocan principalmente en las siguientes perspectivas:
Pruebas de penetración con objetivo: se buscan las vulnerabilidades en partes específicas
de los sistemas informáticos críticos de la organización.
Pruebas de penetración sin objetivo: consisten en examinar la totalidad de los
componentes de los sistemas informáticos pertenecientes a la organización. Este tipo de
pruebas suelen ser las más laboriosas.
Pruebas de penetración a ciegas: en estas pruebas sólo se emplea la información pública
disponible sobre la organización.
Pruebas de penetración informadas: aquí se utiliza la información privada, otorgada por
la organización acerca de sus sistemas informáticos. En este tipo de pruebas se trata de
simular ataques realizados por individuos internos de la organización que tienen
determinado acceso a información privilegiada.
Pruebas de penetración externas: son realizas desde lugares externos a las instalaciones
de la organización. Su objetivo es evaluar los mecanismos perimetrales de seguridad
informática de la organización.
Pruebas de penetración internas: son realizadas dentro de las instalaciones de la
organización con el objetivo de evaluar las políticas y mecanismos internos de seguridad de
la organización.
A su vez, cada tipo de pruebas descrito anteriormente se puede ubicar en dos modalidades
dependiendo si el desarrollo de las pruebas es de conocimiento del personal informático o no.
Red Teaming: Es una prueba encubierta, es decir que sólo un grupo selecto de ejecutivos sabe de
ella. En esta modalidad son válidas las técnicas de "Ingeniería Social" para obtener información que
permita realizar ataque. Ésta obviamente es más real y evita se realicen cambios de última hora que
hagan pensar que hay un mayor nivel de seguridad en la organización.
Blue Teaming: El personal de informática conoce sobre las pruebas. Esta modalidad se aplica
cuando las medidas tomadas por el personal de seguridad de las organizaciones ante un evento
considerado como incidente, repercuten en la continuidad de las operaciones críticas de la
organización, por ello es conveniente alertar al personal para evitar situaciones de pánico y fallas en
la continuidad del negocio.
¿Cuáles son los beneficios de un Ethical Para las organizaciones?
Los beneficios que las organizaciones adquieren con la realización de un Ethical Hacking son
muchos, de manera muy general los más importantes son:
Ofrecer un panorama acerca de las vulnerabilidades halladas en los sistemas de
información, lo cual es de gran ayuda al momento de aplicar medidas correctivas.
Deja al descubierto configuraciones no adecuadas en las aplicaciones instaladas en los
sistemas (equipos de cómputo, switches, routers, firewalls) que pudieran desencadenar
problemas de seguridad en las organizaciones.
Identificar sistemas que son vulnerables a causa de la falta de actualizaciones.
Disminuir tiempo y esfuerzos requeridos para afrontar situaciones adversas en la
organización.
Preocupaciones Futuras
Big Data
Desorganización
Herramientas
Regulación y cumplimiento
¿Es legal Hacking ético?
Si por motivación personal se realizaría pruebas de ataque para encontrar posibles vulnerabilidades
en los sistemas de información dentro de una determinada organización aún si fuese con buenas
intenciones como el de tan solo alertar a las organizaciones de lo vulnerable que puedan ser, es
considerado como un delito así está dispuesto en la ley de Delitos Informáticos Ley Nº 30171 que
modifica la anterior ley (N° 30096).
Artículo 2. Acceso ilícito
“El que deliberada e ilegítimamente accede a todo o en parte de un sistema informático, siempre
que se realice con vulneración de medidas de seguridad establecidas para impedirlo, será
reprimido con pena privativa de libertad no menor de uno ni mayor de cuatro años y con treinta a
noventa días-multa. Será reprimido con la misma pena, el que accede a un sistema informático
excediendo lo autorizado.”
Artículo 3. Atentado a la integridad de datos informáticos
“El que deliberada e ilegítimamente daña, introduce, borra, deteriora, altera, suprime o hace
inaccesibles datos informáticos, será reprimido con pena privativa de libertad no menor de tres ni
mayor de seis años y con ochenta a ciento veinte días-multa.”
Artículo 4. Atentado a la integridad de sistemas informáticos
“El que deliberada e ilegítimamente inutiliza, total o parcialmente, un sistema informático, impide
el acceso a este, entorpece o imposibilita su funcionamiento o la prestación de sus servicios, será
reprimido con pena privativa de libertad no menor de tres ni mayor de seis años y con ochenta a
ciento veinte días-multa.”
Por tanto Un hacker ético debe actuar bajo todos los términos de legalidad. Antes de poner en
práctica sus conocimientos (auditorías de seguridad, pruebas de penetración, entre otros), para
descubrir posibles fallos de debe contar con el consentimiento de la organización es decir debe
existir un contrato donde se establece bajo que términos y condiciones se ha de llevar a cabo el
trabajo.
Iniciativas
OWASP
El proyecto abierto de seguridad en aplicaciones Web (OWASP por sus siglas en inglés) es una
comunidad abierta dedicada a facultar a las organizaciones a desarrollar, adquirir y mantener
aplicaciones que pueden ser confiables.
https://www.owasp.org
Capítulo OWASP Perú
https://www.owasp.org/index.php?title=Peru&setlang=es
DragonJar
Comunidad de investigadores, estudiantes, profesionales y entusiastas de la Seguridad
Informática.
http://comunidad.dragonjar.org/
