Vulnerabilidad La Vulnerabilidad es la capacidad, las condiciones y caractersticas del sistema mismo (incluyendo la entidad que lo maneja), que lo hace

susceptible a amenazas, con el resultado de sufrir algn dao. Un Anlisis de Vulnerabilidades obtiene como Resultado: * un Informe Global destinado a gerentes informticos que ofrece una vista instantnea y real del Estado de Seguridad de una Infraestructura de sistemas. * un Informe Detallado que evidencia las distintas Vulnerabilidades encontradas, los Riesgos asociados a las mismas y las Medidas necesarias para solucionarlas. Existen distintos Tipos de Anlisis de Vulnerabilidades: 1) Anlisis de Vulnerabilidades Interno: se trata de pruebas de penetracin desde la Red Interna que identifican los riesgos de las redes y sistemas internos, demostrando lo que podra hacer un usuario que ha ganado acceso a la red, simulando ser un usuario interno malintencionado. Este tipo de pruebas son muy interesantes pues estudios realizados sobre la seguridad de la informacin demuestran que alrededor del 80 al 90% de las violaciones de seguridad se originan desde usuarios internos. 2) Anlisis de Vulnerabilidades Externo: se trata de pruebas de penetracin desde Internet que identifican los riesgos de la red perimetral y analizan si estos pueden ser utilizados para acceder a su red, violando sus medidas de seguridad, y en tal caso examinar si se produce el debido registro de lo que est sucediendo y si se accionan o no las alertas apropiadas, verificando la efectividad de los firewalls, de los sistemas de deteccin de intrusos (IDS), de los sistemas operativos y de los dispositivos de comunicaciones visibles desde Internet. 3) Anlisis de Vulnerabilidades de Aplicaciones Web: identifica los riesgos de las Aplicaciones Web, verificando los esquemas de autenticacin y testeando las tecnologas utilizadas en la implementacin de las mismas. Los Anlisis de Vulnerabilidades deben efectuarse peridicamente, pues a diario se descubren Nuevas Vulnerabilidades debido a su carcter evolutivo. Las vulnerabilidades provienen de diferentes mbitos y las podemos clasificar en: -vulnerabilidades de implementacin. -Vulnerabilidades de configuracin. -Vulnerabilidades de dispositivos. -Vulnerabilidades de protocolo. -Vulnerabilidades de aplicacin.

Metodologas existentes: Caja negra. Al analista se le proporciona solo la informacin de acceso a la red o al sistema y a partir de esta informacin, se debe obtener toda la informacin posible. Caja blanca. El analista de seguridad tiene una visin total de la red a analizar, as como acceso a todos los equipos como sper usuario. Este anlisis es muy completo y exhaustivo. Herramientas para realizar un anlisis de vulnerabilidades. * * * * * * Escaneo de puertos. Deteccin de vulnerabilidades. Analizador de protocolos. Passwords crackers. Ingenieria social. Trashing.

DIFERENCIAS ENTRE ANALIS DE VULNERABILIDADES, HACKING ETICO Y PEN TESTING. Analisis de vulnerabilidad. Es el proceso mediante el cual se determina el nivel de exposicin y predisposicin a la prdida de un elemento o grupo de elementos ante una amenaza especfica. Est directamente relacionado con la organizacin de la empresa para prevenir o controlar los factores que originan el peligro, as, como su preparacin para minimizar las consecuencias . A travs de un anlisis de vulnerabilidades, un analista en seguridad puede examinar la robustez y seguridad de cada uno de los sistemas y dispositivos ante ataques y obtener la informacin necesaria para analizar cules son las contramedidas que se pueden aplicar con el fin de minimizar el impacto de un ataque. El anlisis de vulnerabilidades debe realizarse: -Cuando ocurran cambios en el diseo de la red o los sistemas. -Cuando se realicen actualizaciones de los dispositivos. -Peridicamente. Hacking etico. Conjunto de tcnicas que se utilizan para evaluar y probar la seguridad de una red, es un conjunto de metodologas y tcnicas para realizar un perfeccionamiento integral de las debilidades de los sistemas informticos. Consiste en un modelo que reproduce intentos de acceso a cualquier entorno informtico desde los diferentes puntos de entrada que existan, tanto internos como remotos. El principal objetivo es acceder a los equipos de la organizacin analizada e intentar obtener

privilegios del administrador del sistema. Un proyecto de Hacking tico consiste en un ataque controlado a los sistemas informticos y/o de comunicaciones de una empresa u organizacin empleando los mismos medios que un usuario malicioso. Se llama Hacking tico debido a que las tcnicas y metodologas usadas son similares a las empleadas por los hackers, pero el nico objetivo es comprobar el estado real y actual de la seguridad. Nos da una visin externa de nuestros sistemas por profesionales independientes.

Pruebas de intrusin (pen testing). Durante el test de penetracin el analista de seguridad simula ser un atacante. Desde esta posicin, se realizan varios intentos de ataques a la red, buscando debilidades y vulnerabilidades: Estudio de la red externa. Anlisis de servicios disponibles. Estudio de debilidades. Anlisis de vulnerabilidades en dispositivos de red. Anlisis de vulnerabilidades de implementaciones y configuraciones. Denegacin de servicio. El resultado del test de penetracin mostrar una idea general del estado de la seguridad de los sistemas frente a los ataques. Si se encontraran una o ms vulnerabilidades, no se realiza su explotacin. Discusin grupal sobre las diferentes terminologas. -El anlisis de vulnerabilidades es un anlisis general que se realiza a la infraestructura de una entidad o empresa para identificar el nivel en el que se encuentra expuesto para la prdida o dao de los activos. -El hacking tico son las normas o reglas que rigen a los analizadores de vulnerabilidades para realizar su trabajo sin ser mal intencionado. -El pen testing son pruebas de penetracin que se realizan en una entidad ponindose en el lugar del atacante para determinar las vulnerabilidades o bugs a la que se encuentran expuestos, esta prueba se realiza sin ser malintencionada.