Prova de penetració diària per mantenir la vostra xarxa segura

La majoria dels professionals de les informàtiques només poden arribar a qualsevol dia en el supòsit que les seves xarxes estan protegides contra els pirates informàtics. Si esteu entre aquests, probablement estareu satisfets que tots els conceptes bàsics estan establerts, de manera que algun sociòpata aleatori no només pot iniciar la vostra sessió a la vostra xarxa, empaquetar la vostra informació crítica, potser plantar algun programari maliciós i, després, sortir. La pregunta és: Estàs segur?

L’única manera d’estar segur que la vostra xarxa està realment protegida és provar-la. Heu d’estar segurs que els vostres sistemes operatius (SO) estan actualitzats, que s’han aplicat tots els pegats d’aplicació adequats i que no teniu cap punt d’entrada fàcilment a la vostra xarxa. Això a més de practicar un bon disseny de xarxa que només permet als usuaris accedir al que se suposa que han d’accedir i que està correctament segmentat de manera que algú que incompleixi el seu perímetre no pugui fer res dolent.

En resum, que us haureu de piratejar de manera que sabreu on són els vostres punts febles i, tot seguit, heu d’arreglar el que han trobat aquells (esperem) hackers de barret blanc. Els hackers de barrets blancs són els que us dirigiu quan voleu provar la qualitat de la protecció de la vostra xarxa sense implicar nois reals ni hackers de barret negre. El que fan els hackers de barret blanc és comprovar les defenses de la vostra xarxa de la manera que puguin, qualificar i registrar la vostra seguretat al llarg del camí. Això s'anomena proves de penetració o "pen testing", i el que molts professionals de TI no s'adonen és que no heu de contractar immediatament un professional car per fer-ho. Podeu començar els bàsics d’una prova de penetració.

Tasques de màxima prioritat a professionals de la informàtica i la seguretat el 2018

(Crèdit imatge: Statista)

"El més important és l'avaluació de la vulnerabilitat, l'avaluació del risc", va dir Georgia Weidman, autora de Penetration Testing: A Hands-on Introduction to Hacking . Weidman és també el fundador i cap de tecnologia tecnològica (CTO) de Shevirah, una companyia de seguretat especialitzada en proves de penetració. "Es passa per alt. Les empreses malgasten molts diners en proves de penetració quan tenen vulnerabilitats bàsiques". Va dir que el primer que hauria de fer una organització és realitzar proves bàsiques de vulnerabilitat i, després, arreglar les vulnerabilitats abans de passar a les proves de penetració. "Les proves de penetració no han de ser el primer pas", va dir.

Weidman també va suggerir que la vostra empresa hagi fet els primers passos en consciència en seguretat, inclosa la formació sobre phishing i enginyeria social. Va assenyalar que encara es pot penetrar la xarxa més segura si algú concedeix les credencials per accedir-hi. Aquestes són totes les coses que comprovarà un bon testador de penetració abans de començar qualsevol prova real.

"Si els interessa el bé que els seus empleats estan formats per la consciència en seguretat, llavors configureu la vostra prova de phishing", va dir Weidman. "No heu de pagar a algú per fer-ho, i és una de les maneres més grans de fer que la gent entri". Va dir que també utilitza phishing mitjançant la missatgeria de text i les xarxes socials.

Prova les teves contrasenyes

Weidman va dir que el següent pas és provar les contrasenyes de la vostra organització i les capacitats de gestió de la identitat. "Descarregueu hashes de contrasenyes d'Active Directory i poseu-los a prova amb contrasenyes. Això és el que fem en les proves de penetració", va dir.

Segons Weidman, les eines importants per a la prova de contrasenyes inclouen el cracker de contrasenyes Hashcat i John the Ripper, que segons ella va utilitzar habitualment en les proves de penetració. Va dir que, a més de comprovar les contrasenyes de Microsoft Azure Active Directory, també es poden empoltar a la xarxa mitjançant un analitzador de protocols de xarxa com Wireshark. L’objectiu aquí és assegurar-se que els vostres usuaris no estiguin utilitzant contrasenyes senzilles, com ara "contrasenya" per a les seves credencials.

Mentre examines el trànsit de xarxa, hauríeu de buscar la resolució de nom multicast d’enllaços (LLMNR) i assegurar-vos que estigui desactivat si és possible. Weidman va dir que podeu capturar hashes de contrasenya mitjançant LLMNR. "Escolto a la xarxa i aconsegueixo els hashes i després els trenco", va dir.

Autentiqueu les vostres màquines

Weidman va dir que una vegada que es va trencar les contrasenyes, les utilitza per autenticar-se amb les màquines de la xarxa. "Pot ser que hi hagi un administrador local perquè tots es van imaginar igual", va dir. "Tant de bo hi hagi un administrador de domini."

Una vegada que Weidman obtingui les credencials d’administrador, pot utilitzar-les per accedir a les zones secretes de la màquina. Va dir que, de vegades, hi ha una autenticació secundària, de manera que també hauria de trencar aquestes contrasenyes.

Weidman va dir que, si feu les vostres proves de penetració, heu d’anar amb compte. "Quan faig proves de penetració, em deixo el meu camí per no trencar res", va dir, i va afegir: "No hi ha seguretat del 100 per cent de que res anirà malament".

Eviteu descarregar programari maliciós

Weidman va dir que una eina de prova de penetració molt útil és l’edició gratuïta Metasploit, però adverteix que no es descarregui una explotació d’internet perquè també podria contenir programari maliciós. "No t'atacis per accident", va advertir. Va dir que les explotacions previstes per a la prova contenen freqüentment programari maliciós que us atacarà.

• Els millors gestors de contrasenyes per al 2019 Els millors gestors de contrasenyes per al 2019
• El millor programari d’eliminació i protecció de programari maliciós per al 2019 El millor programari de eliminació i protecció de programari maliciós per al 2019
• La Millor Protecció Ransomware per a Empreses per al 2019 La Millor Protecció Ransomware per a Negocis el 2019

Per cert, Microsoft també proporciona una eina d'avaluació de la vulnerabilitat per a Windows anomenada Microsoft Security Compliance Toolkit v1.0, que admet Microsoft Windows 10, Windows Server 2012R2 i Office 2016.

Weidman adverteix que pensi que la penetració és una mena de màgia fosca i profunda. Va dir que, en lloc d'això, és important cobrir els fonaments bàsics. "Tothom salta a les proves de penetració perquè té un nom sexy", va dir. "Però hi ha molt valor per trobar la fruita penjada baixa i solucionar-la primer."