Auditorías y Test de Intrusión

Auditorías y test de intrusión

Protegemos la información y los sistemas ante amenazas internas y externas, identificando los fallos y problemas de seguridad mediante test avanzados, que permiten realizar simulaciones controladas como si fueran ataques reales producidos por ciberdelincuentes. Al finalizar los test y/o auditorías presentamos informes exhaustivos de las pruebas realizadas y de como hemos conseguido acceder que permitan una lectura entendible para la dirección y el personal técnico de la la empresa.

1 – AUDITORÍA APLICATIVOS WEB

La web es una fantástica herramienta para posicionarse y tener un lugar en la Red (portales corporativos, tienda online, aplicaciones internas y externas, etc.). Pero esa exposición la convierte en un objetivo y en uno de los vectores de ataque más habituales contra las corporaciones. El robo de información, daños a la imagen, pérdida de negocio son peligros que se han de evitar.
Proteger sus aplicaciones (internas y externas), así como los datos que albergan ante potenciales intrusos debe ser una prioridad. Dentro de éste ámbito podemos destacar una serie de iniciativas a desarrollar:
• Pentesting Web aplicaciones internas
• Pentesting Web aplicaciones externas
• Servicio de Seguridad Web dentro del ciclo de vida del software
• Seguridad en código de aplicativos

2 – TEST DE INTRUSIÓN

Tener presencia en Internet, implica tener nuestros sistemas expuestos al mundo, y al alcance de cualquier potencial atacante. Se hace necesario tener una visión fiel y objetiva de la salud de nuestra infraestructura (servidores, servicios, etc.). Mediante un Test de Intrusión evaluamos la fortaleza de los sistemas simulando un potencial ataque bajo un entorno controlado que nos permitirá identificar las vulnerabilidades y explotarlas, Así podemos evaluar el grado de fortaleza de los servicios en producción y sistemas expuestos al público como:
• Servidores Web
• Servidores de correo
• Servidores BBDD
• Routers
• Firewalls
• Identificar fugas de información y datos confidenciales
• Nivel de exposición de servicios al exterior

3 – AUDITORÍA DE RED INTERNA

El peligro no siempre proviene del exterior. Usuarios malintencionados, descontentos, equipos infectados o la consecución de una intrusión puede desencadenar en un ataque a la infraestructura y servicios internos de la compañía.
La auditoría de red interna nos dará la visión y el alcance que un uso malicioso de la red puede tener en la compañía, como:
• Detección de servicios vulnerables en la red interna (servidor de correo, servidor de impresión, etc.)
• Ataques a elementos de la red (routing, switching, vlan’s, etc.)
• Ataques a las comunicaciones internas (spoofing, MITM, sniffing, etc.)
• Ataques dirigidos a personal de la compañía (empleados y directivos).

4 – TEST DE INTRUSIÓN DE VPN

Una red privada virtual (VPN) nos permite la interconexión segura entre dos puntos. Esto nos aporta muchas ventajas, la interconexión de dos sedes, permite que empleados que trabajen desde casa o durante un viaje, etc. Pero la posibilidad de lograr el acceso a la red corporativa supone colocarse como blanco muy atractivo para ser atacado y un servicio crítico para la compañía.
Es recomendable revisar la fortaleza del servicio para evitar una amenaza a la red interna, la fuga de información, e identificar los factores que pueden poner en peligro la seguridad de la conexión. Así se pueden identificar las siguientes actividades a desarrollar:
• Descubrimiento
• Inventario de activos
• Fingerprinting
• Pruebas sobre el cifrado
• Pruebas de autenticación e infraestructura.

5 – AUDITORÍA REDES WI-FI

La tecnología WiFi llegó para quedarse y aportarnos numerosas comodidades, al igual que en el hogar ya forma parte habitual de los entornos corporativos. La facilidad de uso o ser una tecnología no tangible no debe bajar nuestro nivel de alerta sobre lo que implica ofrecer ésta vía de acceso a la compañía al alcance de cualquiera, incluso fuera de las instalaciones. Es importante garantizar que el despliegue se ha realizado de tal forma que no ponemos en peligro la infraestructura interna.
Podemos diferenciar diferentes ámbitos como son el Corporativo y el de “Invitados”, en ambos el test de intrusión nos permitirá identificar aquellos puntos débiles y deficiencias para corregir y mitigar el riesgo. En la ejecución del estudio es posible enumerar diferentes estadios:
• Recopilación de información sobre la red inalámbrica
• Análisis de los mecanismos de autenticación
• Cifrado de las comunicaciones
• Configuración de la plataforma
• Hostspots y portales cautivos

6 – TEST DE INTRUSIÓN DE VOIP

El progreso de la tecnología permite la evolución en los recursos utilizados en empresas, en este sentido ha habido una evolución en el entorno corporativo de la telefonía tradicional hacia una tecnología que nos permite encapsular la voz y transportarlas a través de nuestras redes de datos. La convergencia trae numerosas ventajas, pero implantadas de forma incorrecta también acarrea grandes peligros. La denegación de servicio, las escuchas, el fraude, puede ocasionar un grave perjuicio a la compañía. El equipo simulará cualquier actividad maliciosa que un potencial atacante realizará contra la infraestructura VoIP:
• Denegación de Servicio (Denial of Service (DoS) Attacks)
• Manipulación de Mensajes de Señalización SIP (Registration Manipulation and Hijacking)
• Autenticación de los terminales / usuarios (Authentication Attacks)
• Manipulación del Identificador de Llamada (Caller ID Spoofing)
• Man-in-the-middle Attacks
• Saltos de redes (VLAN Hopping)
• Escuchas de las conversaciones (Eavesdropping)