Amigos si estan mirando por internet Ofrezco servicios hackers llegaste a la pagina indicado soy experto en el tema con mas de 15 años de experiencia escribanme a mi correo [email protected] garantizado y confidencial.
Entre los ladrones de datos ingeniosos y los usuarios descuidados, las pruebas de penetración son una forma buena, y tal vez esencial, de encontrar vulnerabilidades antes de que lo hagan los malos. Incluso si la tecnología como los firewalls y los sistemas de detección de intrusos protegen el 95 por ciento de una organización, «un probador de penetración escanea todo el entorno» en busca de vulnerabilidades como una contraseña de administrador expuesta o una regla de firewall mal configurada, dice Art Gilliland, CEO de Skyport Systems.
“[Muchas empresas] compran un montón de tecnología y creen que son buenas”, dice Gilliland. Pero la mayoría no tiene la tecnología adecuada y “olvidan que la penetración de la seguridad llega en las costuras, donde las tecnologías se unen”. La mayoría no son tan buenos para unir a las personas, los procesos y la integración de la tecnología como deben ser, dice. .
Los probadores de penetración destacan las personas y las áreas de proceso en las que es más vulnerable.
– Art Gilliland, Skyport Systems
Contratar a un pirata informático para que pruebe sus propias pruebas de penetración es el siguiente paso que debe hacer para asegurarse de que su aplicación esté lista para el horario de máxima audiencia. Dichas pruebas externas mejorarán sus pruebas de penetración internas, incluidos los sistemas de parcheo, dice M icah Zenko, miembro principal del Consejo de Relaciones Exteriores que escribe con frecuencia sobre seguridad. «[Contratar a un pirata informático] le dirá qué parches son más importantes y cuáles puede priorizar».
TechBeacon habló con los piratas informáticos éticos y sus clientes y propuso ocho consejos clave para el éxito de la aplicación en segundo plano:
Tabla de Contenidos
1. Desempolva tu Rolodex
Organizaciones como (ISC) ² y el Instituto SANS brindan capacitación, el EC-Council ofrece una acreditación Certified Ethical Hacker y un grupo de profesionales incluso ha definido un estándar de ejecución de pruebas de penetración . Muchas organizaciones dependen de firmas consultoras de marca, aunque pueden ser más caras que las firmas más pequeñas. Pero los veteranos dicen que el boca a boca y las referencias de compañeros de confianza son las formas más seguras de encontrar probadores de penetración capacitados y verdaderamente éticos. Las certificaciones no son tan importantes, porque las pruebas de penetración son “una forma de arte”, dice Dan Berger, presidente de la consultora y evaluación de seguridad de TI Red Spin, con factores como la curiosidad, el ingenio y la creatividad más importantes que las credenciales.
2. Establezca su presupuesto
El precio de las pruebas de penetración externas varía mucho, según el tamaño del entorno y la duración del compromiso. Muchas empresas ofrecen compromisos «comercializados» que duran de una semana a diez días, cuestan entre $ 10,000 y $ 12,000 e incluyen una serie de ataques documentados a través de capturas de pantalla y código de muestra, junto con un plan de remediación priorizado, dice Zenko. En el extremo superior, los contratos indefinidos para escanear continuamente todas las partes de una empresa importante pueden ascender a millones de dólares.
Leon Schumacher , ex CIO y cofundador y CEO del proveedor de cifrado pEp Security, recomienda un esfuerzo de una a dos semanas que combina ataques tanto desde fuera como desde dentro de la empresa (como los de un contratista que tiene acceso preferido a su sistemas.) Gilliland dice que si no tiene presupuesto o respaldo ejecutivo para la seguridad adecuada, una prueba de penetración puede ser “una excelente manera de liberar presupuesto si su equipo ejecutivo se preocupa por la seguridad y [el evaluador] le brinda una hoja de ruta de qué hacer para solucionarlo «.
3. Comprenda su entorno para priorizar las pruebas
“El descubrimiento de activos es probablemente el punto clave más importante”, dice Stephen Coty, evangelista jefe de seguridad en el proveedor de seguridad como servicio Alert Logic. “Si no sabe lo que tiene, no sabe lo que está vulnerable a.» Él recomienda escanear regularmente su entorno con herramientas automatizadas para ayudarlo a decidir qué sistemas son más críticos y necesitan más pruebas.
4. Haz lo que puedas tú mismo
Incluso con un presupuesto mínimo, las herramientas de código abierto gratuitas o económicas permiten a las empresas hacer su propio escaneo básico y encontrar vulnerabilidades obvias, dice Coty. Estos incluyen el kit de herramientas de prueba de penetración de Kali Linux , que incluye herramientas que realizan, entre otras cosas, análisis de tráfico de red y escaneo en busca de vulnerabilidades de SQL y WordPress. Estas herramientas «no son tan hábiles como un probador de pluma con un auditor», dice, pero le darán una idea de su panorama de amenazas. Tomar un curso sobre pruebas de penetración también puede ayudarlo a juzgar el trabajo de un pirata informático ético, al igual que tomar un curso sobre reparación de automóviles puede ayudarlo a juzgar los consejos de un mecánico, dice Tim O’Brien, director de investigación de amenazas del proveedor de la plataforma de automatización de seguridad en la nube Palerra.
5. Alcance la prueba de la pluma con cuidado
Las pruebas de lápiz más agresivas y de mayor alcance pueden descubrir más vulnerabilidades, pero cuestan más y aumentan el peligro para las aplicaciones y los datos críticos. Algunas “empresas reducen artificialmente la superficie de ataque”, dice Zenko, prohibiendo al “Equipo Rojo” atacar a los proveedores que pueden usarse como una brecha en los sistemas corporativos o para organizar ataques en momentos en que el cliente carece de personal para restaurar los sistemas pirateados. Dichos límites, dice, indican que la alta dirección “no quiere escuchar las malas noticias”. “Con demasiada frecuencia atamos las manos de nuestros evaluadores”, concuerda Coty.
[Los piratas informáticos] no tienen estas reglas con las que deben jugar. Te perseguirán tan a menudo como puedan y tan duro como puedan.
– Stephen Coty, Alert Logic
Para reducir las amenazas a los sistemas operativos, el software de escaneo de Red Spin se “ralentiza” automáticamente si está creando demasiado tráfico en la red, dice Berger. Otra opción de reducción de riesgos es limitar las pruebas a las horas fuera de horario o crear entornos de prueba para atacar.
Probar diferentes partes de su infraestructura por separado también hace que sea menos probable que se sienta abrumado por todos los resultados de las pruebas, dice O’Brien.
6. Elija entre pruebas de caja negra, blanca o gris
Las pruebas de lápiz de caja negra no brindan a los piratas informáticos éticos información sobre su entorno, las pruebas de caja blanca les brindan una amplia información privilegiada y las pruebas de caja gris están, naturalmente, en algún lugar intermedio. Berger dice que la mayoría de los clientes optan por las pruebas de caja blanca o gris, porque es tan fácil para los piratas informáticos encontrar información básica (como el rango de IP de los sistemas del cliente) que no vale la pena que un pirata informático ético haga ese trabajo. Las pruebas de caja gris o blanca también pueden ser una oportunidad para que los desarrolladores trabajen junto con el equipo de prueba, aprendiendo no solo qué corregir, sino cómo prevenir futuras vulnerabilidades en su código.
7. Toque diferentes conjuntos de habilidades
Gilliland contrata a varios proveedores “para probar diferentes partes de nuestro sistema. Alguien va tras el hardware físico, alguien va tras la pila de software y alguien se ocupa de los procesos empresariales en la nube ”, afirma. También usa diferentes probadores para cada ronda de pruebas. «Al rotar a través de diferentes proveedores, se encontrarán diferentes debilidades ya que utilizan diferentes procesos y ataques».
8. Actúe sobre los resultados
La mayoría de los proveedores proporcionarán una lista detallada y priorizada de ataques, explicarán cómo se ejecutaron y la naturaleza de cada vulnerabilidad (como una falla de software frente a un sistema mal configurado o sin parches) y prescribirán un plan de reparación detallado. Ni siquiera se moleste en realizar pruebas de penetración a menos que tenga el presupuesto y la capacidad para responder y solucionar problemas, dice Gilliland. «Si solo lo está haciendo para una prueba, es una pérdida de dinero, a menos que sea necesario para el cumplimiento».
Incluso entonces, demasiadas empresas tratan las pruebas de penetración como un ejercicio de cumplimiento de «marcar la casilla», aceptando pruebas superficiales y no actuando sobre los resultados. Si es así, recuerde todas esas empresas «compatibles» que han sufrido hackeos de alto perfil que dañaron sus negocios.
Conociendo al enemigo
Si se hacen correctamente, las pruebas de penetración externas son una forma rentable de ver sus sistemas a través de los ojos de sus peores enemigos: los piratas informáticos reales. «Si los buenos pueden hacerlo, los malos pueden hacerlo con seguridad», dice Schumacher. «Todo el mundo es más inteligente si supiera a lo que se enfrenta».
Cada uno de nosotros está recibiendo una prueba de penetración cada minuto [de piratas informáticos reales]. Simplemente no obtenemos los resultados.
– Tim O’Brien, Palerra