Hola, benvinguts i benvingudes. En aquest vídeo parlarem sobre el
pentesting.
El pentesting ve d'un terme de penetració i de testing com a
exercici
i és aquella branca de la ciberseguretat que té com a objectiu
simular activitat que normalment farien atacants, també anomenat
threat actors en anglès,
i simulen aquesta activitat en una infraestructura per tal de veure
com aquesta infraestructura es defensaria en cas d'un incident real.
El pentesting hi ha de diferents tipus.
Tu pots fer un exercici de pentest de penetració de fora de la
infraestructura cap a dins.
També el podries fer directament des de dins, veure com et podries anar
movent.
El pots fer sobre una pàgina web per veure com respon aquesta pàgina web a
possibles atacs.
El pots fer sobre una aplicació de telèfon o el pots fer sobre un
servidor de correu.
El pentesting és molt variat i realment és tan ampli com la
quantitat d'incidents que nosaltres podem tenir.
El pentesting es divideix en diverses fases.
La primera fase és la fase de preparació.
En aquesta fase nosaltres hem d'imaginar que ens vindria un
client i ens demanaria
d'auditar o veure com respon algun dels seus sistemes enfront d'un
possible atac.
Durant aquesta fase el que fem és definir quina informació ens vol
donar aquest client
perquè, depenent de la informació que nosaltres tinguem a l'inici,
el pentest s'anomena de diferent manera.
Tenim un pentest de black box, que vol dir que nosaltres no sabem res
i simplement ens diuen que vull que atacis els meus sistemes i hem de
buscar tota la informació de context.
Pot ser un pentest de gray box, que és a dir, tenim certa informació que
sí que tenim
però el nostre client vol que no en tinguem més,
o pot ser de white box, que el nostre client ens dona moltes facilitats
perquè nosaltres puguem començar a treballar i veure fins on arribem.
Aquesta última podria ser, per exemple, que ens donessin unes
credencials d'un usuari d'una VPN
i ens diguessin a veure quant de lluny podem arribar.
Aleshores, la segona fase ja seria la fase de reconeixement.
En aquesta fase, el que fem és reconeixer quins són els actius que a
nosaltres ens interessen,
quins són aquests domínis del nostre client, quins usuaris tenen, com
treballen, quines eines fan servir.
Llavors, aquí el que farem serà recopilar informació que després serà
d'utilitat quan ja comencem a treballar.
La següent fase és la fase d'escaneig.
Nosaltres, si hem de fer un pentest a una pàgina web, per exemple,
nosaltres voldrem escanejar aquesta pàgina web per saber quins endpoints,
quines URLs podem trobar-hi al darrere.
També podria ser un escaneig quan nosaltres accedim per una VPN a una
infraestructura d'un client nostre
i llavors volem veure quins equips, quins servidors, quins sistemes fan
servir.
Aquests escaneig ens donarà tota la informació sobre enfront de què ens
estem col·locant
i també obtindrem quines vulnerabilitats estan present.
Obtenint la versió de cada un d'aquests sistemes, nosaltres podrem
saber si som vulnerables o no.
Un cop sapeguem quines vulnerabilitats tenen i quins
sistemes existeixen, ja podrem fer l'explotació.
L'explotació consisteix a fer servir aquelles vulnerabilitats al nostre
favor.
Si hi ha una vulnerabilitat que hi ha una mala configuració en el directori
actiu del nostre client,
nosaltres l'explotarem per obtenir unes credències d'un administrador de
domini
o en el cas d'una pàgina web, si sabem que hi ha una vulnerabilitat de
cross-site scripting,
nosaltres el que podrem fer serà explotar-la per obtenir control remot
sobre aquella pàgina web o sobre aquella aplicació.
La següent fase seria la postexplotació.
El nostre client a vegades no només en té prou amb ser que això és
vulnerable,
ser que es pot vulnerar, sinó, i un cop vulnerat, què pot passar després?
Doncs el que pot passar després se li diu la postexplotació.
Depenent dels sistemes, pot haver-hi una postexplotació més interessant o
menys.
En una pàgina web podria ser un defacement, per exemple, que és
canviar el contingut de la pàgina web.
O podria ser accedir a una base de dades un cop hagi pogut explotar una
vulnerabilitat d'execució de codi remot.
En una infraestructura d'una organització, la postexplotació
podria ser des de l'exfiltració d'informació
fins al xifrat de les dades, fins a obtenir dades confidencials o canviar
configuracions del sistema.
Això, l'impacte que nosaltres puguem fer durant aquest pentest, ha de ser
controlat
i serà el que haurem definit en la primera fase d'aquest, que seria la
fase de preparació.
L'últim punt és molt important i és el punt de l'informe.
Nosaltres hem de documentar tot aquest procés que anem fent perquè
després el nostre client
o la persona que ens demani un pentest, si és de la nostra
organització,
pugui tenir el recull de tots aquells passos que hem anat seguint,
que estan d'acord en com serien els d'un atacant, coincideixen amb ells
i, a més, generaríem tot un informe d'aquelles vulnerabilitats o males
configuracions
que ens han permès dur a terme totes aquestes accions.
Aquest informe és molt important perquè és el que li dona valor a la
nostra feina
i és el que permet sobretot al nostre client després agafar tot aquest
llistat de vulnerabilitats
i remediar-les. I, per tant, aquest és l'objectiu del nostre exercici.
El nostre exercici és un exercici preventiu de simulació adversarial
que permet millorar la seguretat.
Quan es fan pentests hi ha un reglament que es diu OASP, que
normalment es segueix,
que són com unes regles de bona praxis o bon funcionament i que si
les seguim
ens assegurem que estem fent servir una metodologia que està contrastada
i que sabem que funciona per organismes internacionals.
També està bé quan feu un pentest fer servir la matriu de mitre,
que és un framework, és un estàndard que ens ajuda a linkejar i a
connectar
les tècniques que nosaltres fem servir amb una terminologia concreta
i que es comuna arreu del món.
I, per tant, si nosaltres hem fet servir una tècnica molt concreta
ens ajuda justament que el nostre client entengui aquesta tècnica,
quins objectius tenen, quina metodologia es podria fer servir
i sobretot quina remediació hi podria aplicar.
Al final, en conclusió, el pentest és un exercici preventiu que enriqueix
molt
i dona molta informació i és una de les millors defenses en front
d'incidents reals.