capa8 We Love I.T
Cuando efectuamos un hacking etico es necesario establecer el alcance del mismo para poder elaborar un cronograma de trabajo ajustado a la realidad y, y en base a el, realizar la propuesta, económica al cliente. Y para determinar el alcance requerimos conocer como mínimo tres elementos básicos: El tipo de hacking que vamos a efectuar, la modalidad del mismo y los servicios adicionales que el cliente desee incluir junto con el servicio contratado.
Dependiendo de donde se ejecuten las pruebas de intrusión el hacking etico puede ser interno o externo.
“Hacking Ético Externo”
este tipo de hacking se realiza desde Internet sobre la infraestructura de red publica del cliente; es decir sobre aquellos equipos de la organización que están expuestos a Internet porque brindan un servicio publico. Ejemplo de equipos públicos: Enrutador, Firewall, Servidor Web, Servidor de Correo, Servidor de nombres (DNS) etc …
“Hacking Ético Interno”
Como su nombre sugiere este tipo de hacking se ejecuta en la red interna del cliente, desde el punto de vista de un empleado de la empereza, un consultor o un asociado de negocios que tiene acceso a la red corporativa.
En este tipo de pruebas de intrusión se suele encontrar mas huecos de seguridad que en su contra-parte externa debido a que muchos administradores de sistemas se preocupan por proteger el perímetro de su red y subestiman el atacante interno. esto ultimo es un error puesto que estudios demuestran que la mayoría de ataques exitosos provienen del interior de la empresa. por citar un ejemplo, en una encuesta sobre seguridad informática realizada a un grupo de empresarios en el Reino Unido, cuando se les pregunto quienes eran los atacantes, se obtuvieron estas cifras:
Externo 25% Interno 75%.
Modalidades de Hacking
Dependiendo de la modalidad que el cliente provea al consultor, el servicio de hacking ético se puede ejecutar en una de las 3 modalidades: Black-box Hacking, Grey-box Hacking, white-box Hacking. la modalidad escogida afectara el costo y la duración de las pruebas de intrusión, puesto que a menor información recibida mayor sera el tiempo invertido en investigar por parte del auditor.
Black Box Hacking
También llamado Hacking de caja negra, Esta modalidad se aplica a pruebas de intrusión externas. se llama de este modo, por que el cliente solamente le proporciona el nombre de la empresa a auditar al consultor, por lo que este obra a ciegas, la infraestructura de la organización es una caja negra para él.
Si bien este tipo de auditorias se considera mas realista dado que usualmente un agresor externo que elige una victima X no tiene mas información al inicio que el nombre de la organización a atacar, también es cierto que requiere una mayor inversión de tiempo y por ende el costo incluido es superior también. adicionalmente se debe notar que el Hacker ético – a diferencia del Cracker – no cuenta con todo el tiempo del mundo para efectuar las pruebas de intrusión, por lo que la fase preliminar de indagación no puede extenderse mas aya de lo que en términos prácticos sea posible para el cliente en razón de Costo / Tiempo / Beneficio.
Grey Box Hacking
El Grey box o hacking de caja gris suele utilizarse como sinónimo para referirse a las pruebas de intrusión internas. pero algunos auditores les llaman también Gray-Box-Hacking a una prueba externa a la cual el cliente proporciona información limitada sobre los equipos públicos a ser auditados. Ejemplo: un listado con datos como las direcciones IP y el Tipo/Función del equipo (Router, Firewall, Web-Server, etc… ).
Cuando el termino se aplica a pruebas internas se denomina así por que el consultor recibe por parte del cliente los accesos solamente que tendría un empleado de la empresa, es decir, un punto de red para la estación de auditoria y datos de configuración local (IP, Mascara de subred, Gateway y DNS); pero no le revela información adicional como por ejemplo: Usuario /Clave para ingresar al dominio / la existencia de Subredes anexas Etc.
white Box Hacking
El Hacking de caja blanca, algunas veces denominado Hacking Transparente. Esta modalidad se aplica a pruebas de intrusión solamente y se llama de esta forma por que la empresa cliente le da al auditor información completa de las redes y los sistemas a auditar.
Es decir, que ademas de asignarle un punto de red e información de configuración para la estación de auditoria, como en el Hacking de caja gris el consultor recibe información extensa como diagramas de red, listado detallado de equipos a auditar incluyendo nombres, tipos, plataformas, servicios principales, direcciones IP, información sobre subredes remotas, etc.. debido a que el consultor evita investigar toda esta información por si mismo, este tipo de Hacking suele tomar menos tiempo para ejecutarse y por ende reduce costos también.
Servicios de Hacking Adicionales
Dependiendo de la experiencia del consultor o de la empresa auditora, es probable que se le ofrezca servicios adicionales a el cliente que pueden incluirse en el Hacking Ético externo o interno.
Entre los servicios adicionales mas populares Entre los servicios adicionales más populares tenemos: ingeniería social, wardialing, wardriving, equipo robado y seguridad física.
