CONSULTORIA DE LEVANTAMIENTO DE VULNERABILIDADES A NIVEL DE CONTROLES DE ACCESO LÓGICO Y DE RED A NIVEL NACIONAL

...

• Análisis, usando el conocimiento previamente adquirido, se envían requerimientos HTTP especialmente formados a la aplicación Web, con el objetivo de identificar las vulnerabilidades existentes.

• Explotación, todas las vulnerabilidades son explotadas utilizando técnicas de última generación.

El objetivo de esta fase es demostrar el riesgo real asociado con cada vulnerabilidad.

Vulnerabilidades comúnmente identificadas durante un Web Application Penetration Test:

• SQL Injection

• Cross-Site Scripting (XSS)

• Evasión de Autenticación

• Fallas en la lógica de la aplicación

• Inclusión local de archivos

• Ejecución de Código

-

TEST INTERNO “CAJA BLANCA”

El objetivo del test interno es evaluar la seguridad de los sistemas frente a un posible ataque interno, es decir, analizar los riesgos procedentes de empleados que podrían violar la seguridad interna de los sistemas de información de la empresa.

En esta modalidad se necesita tener la autorización del cliente para que un técnico de Business IT tenga accesos a las aplicación internas.

-

ALCANCE DETALLADO

PLANIFICACIÓN DEL PROYECTO.

• Definición y establecimiento de los requerimientos de información necesarios para la ejecución del proyecto.

• Desarrollo de un plan de trabajo a nivel de detalle.

SONDEOS DE RED Y OBTENCIÓN DE INFORMACIÓN DE SISTEMAS Y PUERTOS:

• Identificación activa de equipos y servicios de la red interna.

ESCANEO AUTOMÁTICO DE VULNERABILIDADES EN LOS SERVICIOS ACTIVOS:

• Detección de posibles vulnerabilidades que pudieran ser aprovechadas para acceder al sistema afectado, previo estudio de los resultados obtenidos tras la ejecución de las pruebas de identificación:

ANÁLISIS DE ESTRUCTURA DE RED, SEGMENTACIÓN Y POLÍTICAS DE FILTRADO:

• Detección de posibles vulnerabilidades que permitieran obtener tráfico de otros segmentos de red e incluso pudieran permitir un envío no autorizado de paquetes de datos hacia otras redes.

COMPROBACIÓN MANUAL DE FALSOS POSITIVOS:

• Eliminación de cualquier información generada por las herramientas automáticas que pudieran no ser correctas.

ANÁLISIS Y DETECCIÓN MANUAL DE VULNERABILIDADES:

• Identificación de posibles vulnerabilidades a través de los resultados obtenidos de las pruebas anteriores.

ELABORACIÓN DE ENTREGABLES DE REVISIÓN:

• Informe con las pruebas realizadas, los hallazgos, sus implicaciones y recomendaciones para su solución en relación con las debilidades identificadas durante la auditoría

-

CRONOGRAMA INICIAL

ACTIVIDADES

SEMANAS

1

2

3

4

5

6

7

Planificación del Proyecto

Sondeos de Red y obtención de información de sistemas y puertos

Escaneo automático de vulnerabilidades en los

servicios activos

Análisis de estructura de Red, segmentación y políticas de filtrado

Comprobación manual de falsos positivos

Análisis y detección manual de vulnerabilidades

Elaboración de entregables de revisión

-

ENTREGABLES

• Reporte Técnico de todas las etapas

• Recomendaciones Estratégicas

-

CONDICIONES DE ÉXITO

Se considerará un ataque exitoso cuando el proveedor consiga:

• Anular alguna medida de seguridad.

• Alterar la configuración o el funcionamiento de un dispositivo con riesgo para la seguridad del sistema.

• Sortear un control de acceso o autorización.

• Acceder a información no autorizada.

• Acceder con permiso de escritura a información no autorizada.

• En caso de que se haya accedido a un fichero protegido con contraseña o se disponga de un método de ataque por fuerza bruta y/o ataque basado en diccionarios, en el informe se reflejará la vía de ataque propuesta y el tiempo estimado para su conclusión con éxito.

• La auditoría no cubrirá aspectos de disponibilidad o integridad del sistema de información en tanto en cuanto éstos no tengan que ver directamente con la previsión de ataques intencionados. Es decir, los mecanismos de restauración de copias de seguridad y/o recuperación de sistemas ante caídas o fallos no formarán parte del test de intrusión.

El proveedor presentará y realizará sus servicios siguiendo alguna de las metodologías habituales en el campo de las tecnologías de seguridad de redes y sistemas y del hacking ético.

Por ejemplo, para la actividad específica de verificación de seguridad de los sistemas de