ARTICULOS

• HACKERS VS CRACKERS y las herramientas mas representativas

HACKERS VS CRACKERS

Los piratas (hackers) ya no tienen un parche en el ojo, ni un garfio en reemplazo de la mano. Tampoco existen los barcos ni los tesoros escondidos debajo del mar. Hoy, los piratas del siglo XXI se presentan con un cerebro desarrollado, curioso y con muy pocas armas: una simple computadora y un acceso a Internet. Muchos organismos mundiales han sido víctimas de intromisiones por parte de estas personas que tienen mucho conocimiento en la materia y una gran capacidad para resolver los obstáculos que se les presentan. Un hacker puede tardar semanas o meses en vulnerar un sistema ya que son cada vez más sofisticados. Pero el tema es viejo: hecha la ley, hecha la trampa.

Por: Daniel Taype Domínguez, Consultor en Seguridad, Ing. de Sistemas

Los medios de comunicación masivos, los califican de delincuentes que interceptan códigos de tarjetas de crédito y los utilizan para beneficio propio. También están los que se entrometen en los sistemas de aeropuertos produciendo un caos en los vuelos y en los horarios de los aviones.

            Ahora, bien estos hackers se diferencian de los crackers (crack=destruir) porque estos últimos son aquellas personas que siempre buscan molestar a otros, piratear software protegido por leyes, destruir sistemas muy complejos mediante la transmisión de poderosos virus, etc. Esos son los crackers; adolescentes inquietos que aprenden rápidamente este complejo oficio. Se diferencian con los hackers porque no poseen ningún tipo de ideología cuando realizan sus “trabajos”.

            En cambio, el principal objetivo de los hackers no es convertirse en delincuentes sino “pelear contra un sistema injusto” utilizando como arma al propio sistema. Su guerra es silenciosa pero muy convincente.

¿Qué se necesita para ser un hacker?

Uno puede estar preguntándose ahora mismos si los hackers necesitan caros equipos informáticos y una estantería rellena de manuales técnicos. La respuesta es NO!, Hackear puede ser sorprendentemente fácil, mejor todavía, si se sabe cómo explorar las páginas WEB, se puede encontrar casi cualquier información, herramientas para hackear, manuales, videos, etc… totalmente gratis.

¿Cuáles son las amenazas?

         Los ataques pueden servir a varios objetivos incluyendo fraude, extorsión, robo de información, venganza o simplemente el desafío de penetrar un sistema. Esto puede ser realizado por empleados internos que abusan de sus permisos de acceso, o por atacantes externos que acceden remotamente o interceptan el tráfico de red.

Vulnerar para proteger

            Los hackers utilizan diversas técnicas para quebrar los sistemas de seguridad de una red. Básicamente buscan los puntos débiles del sistema para poder colarse en ella. El trabajo de los testers (Ethical Hacker) no difiere mucho de esto. La diferencia fundamental está en el objetivo:

            Mientas que los hackers penetran en las redes para dañar o robar información; los testers lo hacen para mejorar los sistemas de seguridad.

Al conjunto de técnicas que se utilizan para evaluar y probar la segundad de una red se lo conoce como Penetration Testing, uno de los recursos más poderosos con los que se cuenta hoy para generar barreras cada vez más eficaces.

            En cuanto a las barreras de seguridad, un testers explica: “Están totalmente relacionadas con el tipo de información que se maneja en cada organización. Por consiguiente, según la información que deba ser protegida, se determinan la estructura y las herramientas de seguridad. No a la inversa”.

            Pero las herramientas no son sólo técnicas. El software y el hardware utilizados son una parte importante, pero no la única. A ella se agrega lo que se denomina “Políticas de seguridad internas”, que cada Institución o empresa debe generar.

            Un porcentaje sustancial de intrusiones en las redes de las empresas (ya sean chicas, medianas o grandes) proviene de ataques internos. Es decir, los mismos empleados hackean a su propia organización. Y aquí es donde cobran especial importancia las políticas de seguridad que se establezcan, además del aspecto técnico.

Finalmente para aquellas personas que quieren aprender mas o involucrarse mas tecnicamente en las practicas de pruebas de intrusion para verificar la calidad de sus sitios y la seguridad propia de su infraestructura, proponemos   una lista de los que consideramos las 10 herramientas mas representativas en la actualidad, recuerden que la tecnologia avanza muy rapido, quizas dentro de 6 meses existan otras herramientas, pero estas son las que podriamos considerar las mas sobresalientes.

1.- OWASP Zed Attack Proxy (ZAP): herramienta de fácil uso para encontrar vulnerabilidades en aplicaciones web. Está diseñada para ser utilizada tanto por desarrolladores y probadores funcionales (que son nuevos en tests de intrusión) como por personas con una amplia gama de experiencia en seguridad. Permite automatizar las pruebas y también facilita un número de herramientas para hacerlas manualmente.

2.- BeEF (The Browser Exploitation Framework): marco modular que utiliza técnicas pioneras que proveen la posibilidad de realizar pruebas de intrusión y poder experimentar varios vectores de ataques de carácter práctico. La herramienta se centra en el aprovechamiento de las vulnerabilidades del navegador web para abarcar la seguridad desde un punto objetivo.

3.- Burp Suite: herramienta que permite realizar test de intrusión en aplicaciones web, permitiendo combinar técnicas manuales y automáticas para enumerar, analizar, atacar y explotar aplicaciones Web. Puede funcionar como proxy entre nuestro navegador e Internet, pero además tiene otras muchas funcionalidades como un spider, un escáner o un repetidor por ejemplo. 

4.- PeStudio: herramienta gratuita para realizar análisis estáticos de binarios ejecutables de Windows. Un fichero analizado con PeStudio no se ejecuta por lo que puede evaluarse sin riesgo aunque sea malware. Además tiene entorno gráfico y es portable.

5.- OWASP Xenotix XSS Exploit Framework: es un marco avanzado de explotación y detección de vulnerabilidades de tipo Cross Site Scripting (XSS). No proporciona casi fasos positivos y utiliza un triple motor de navegación (Trident, WebKit y Gecko). Tiene más de 1500 payloads distintos y es capaz de evadir WAF.

6.- Lynis: herramienta de seguridad y auditoría para sistemas basados en Unix/Linux. Escanea el sistema ejecutando muchas pruebas de seguridad, revisa el software instalado y determina si cumple los estandars. También detecta fallos de seguridad y errores de configuración. 

7.- Recon-ng: es un framework de reconocimiento web escrito en Python. Proporciona un potente entorno de código abierto con módulos independientes, interacción con base de datos, funciones a medida, ayuda interactiva y autocompletado de comandos.

8.- Suricata: es un IDS/IPS de red de alto rendimiento y un motor para la monitorización de la seguridad de la red. Es de código abierto y propiedad de una fundación sin ánimo de lucro dirigida a la comunidad, la Open Information Security Foundation (OISF). Es altamente escalable, puede identificar la mayoría de los protocolos, permite identificación y extracción de ficheros y checksums MD5.

9. WPScan: es un escaner de vulnerabilidades de tipo caja negra para Wordpress. Está escrito en Ruby y permite comprobar vulnerabilidades conocidas en instalaciones de Wordpress.

10.- O-Saft (OWASP SSL Advanced Forensic Tool): es una herramienta fácil de usar para analizar información sobre las conexiones SSL y los certificados SSL proporcionados. Está diseñado para ser utilizado por pentesters, auditores de seguridad o administradores de servidores.