1 diseño de procedimientos de seguridad basados en pruebas de pentesting aplicadas a la ...

206 Pages·2017·6 MB·Spanish

by  Miguel Lopez

DISEÑO DE PROCEDIMIENTOS DE SEGURIDAD BASADOS EN PRUEBAS DE
PENTESTING APLICADAS A LA EMPRESA CJT&T INGENIERÍA DE
SOFTWARE

MIGUEL ANGEL LÓPEZ PARRA

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA
ESCUELA DE CIENCIAS BÁSICAS, TECNOLOGÍA E INGENIERÍA
ESPECIALIZACIÓN EN SEGURIDAD INFORMÁTICA
SAN JUAN DE PASTO, COLOMBIA
2017
1
DISEÑO DE PROCEDIMIENTOS DE SEGURIDAD BASADOS EN PRUEBAS DE
PENTESTING APLICADAS A LA EMPRESA CJT&T INGENIERÍA DE
SOFTWARE

MIGUEL ANGEL LÓPEZ PARRA

Proyecto Aplicado

Asesor de Proyecto:
Juan Jose Cruz Garzón
Ingeniero de Sistemas

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA
ESCUELA DE CIENCIAS BÁSICAS, TECNOLOGÍA E INGENIERÍA
ESPECIALIZACIÓN EN SEGURIDAD INFORMÁTICA
SAN JUAN DE PASTO, COLOMBIA
2017
2
Nota de aceptación:

______________________________
______________________________
______________________________
______________________________
______________________________
______________________________

______________________________
Firma de presidente del jurado

______________________________
Firma del jurado

______________________________
Firma del jurado

Ciudad y fecha (día, mes, año)

3
DEDICATORIA

Tras este largo camino lleno de contratiempos y que ha requerido un gran esfuerzo
quiero brindar un especial reconocimiento a aquellas personas que de una u otra
manera han acompañado con su granito de arena todo este proceso para lograr
alcanzar una nueva meta en mi vida.

Por tanto, mi dedicatoria en primer lugar a Dios por darme las fuerzas para seguir
adelante a pesar de todos los impases que se han presentado en el transcurso de
este tiempo, y que me permitieron fortalecer mi carácter, mejorar mi criterio y tomar
las mejores decisiones.

También se lo dedico a mis padres, por su preocupación, consejos y apoyo
incondicional, por esas palabras de aliento en el momento preciso y por alentarme
a continuar mis estudios ya que como siempre dicen la educación es el regalo más
grande que me podrían brindar.

Finalmente, a toda mi familia por su amor y calidez que han sido mi motivación
constante en los momentos difíciles.

4
AGRADECIMIENTOS

Resulta complicado identificar a todos aquellos actores que han sido participes de
todo este proceso formativo, así como del planteamiento y desarrollo de este
proyecto. Sin embargo, a todos aquellos que no podría nombrar les doy gracias de
la manera más sincera.

Ahora, en primer lugar, infinitas gracias a mi Universidad y sus docentes, por
brindarme la oportunidad de realizar mis estudios a distancia, por las grandes
enseñanzas tanto profesionales como personales, por la paciencia y por la gran
disposición para escuchar mis dudas e inquietudes, por que siempre es posible ser
mejor.

Gracias a los consejeros académicos Alicia Paredes, Myriam Martinez y Edgardo
Mafla, quienes siempre han estado pendientes de todas las situaciones e
inconvenientes que pudieran surgir y han estado prestos a brindarme alternativas y
soluciones.

Por último, gracias a la empresa CJT&T Ingeniería de Software, a los Ingenieros
Juan Carlos Torres y Miguel Angel Tovar y a todos los compañeros de trabajo,
quienes aceptaron amablemente proveer los recursos de la organización para poder
aplicar mi proyecto. Por su gran disposición y colaboración continua, por su
confianza y tiempo nunca podré hacer lo suficiente para retribuirles todo lo que
hicieron por mí.

5
CONTENIDO

pág.

INTRODUCCIÓN ................................................................................................... 19

1. TITULO ..................................................................................................... 20

2. DEFINICIÓN DEL PROBLEMA ................................................................ 21

2.1. ANTECEDENTES DEL PROBLEMA .............................................................. 21

2.2. FORMULACIÓN DEL PROBLEMA ................................................................. 21

2.3. DESCRIPCIÓN DEL PROBLEMA ................................................................... 21

3. JUSTIFICACIÓN ....................................................................................... 23

4. OBJETIVOS .............................................................................................. 25

4.1. OBJETIVO GENERAL..................................................................................... 25

4.2. OBJETIVOS ESPECÍFICOS ........................................................................... 25

5. MARCO REFERENCIAL .......................................................................... 26

5.1. MARCO TEÓRICO .......................................................................................... 26

5.1.1. Antecedentes del Hacking Ético .................................................................. 26

5.1.2. Definición de Hacker ................................................................................... 28

5.1.3. Tipos de Hacker .......................................................................................... 28

5.1.4. Otros actores intervinientes ......................................................................... 29

5.1.5. Introducción al Hacking Ético ...................................................................... 29

5.1.6. Tipos de Ataques ........................................................................................ 30
6
5.1.7. Formas de Evaluación de la Seguridad ....................................................... 31

5.1.8. Vulnerability Assessment ............................................................................ 31

5.1.9. Penetration Test. ......................................................................................... 32

5.1.10. Fases de un Hacking Ético ........................................................................ 32

5.1.11. Metodologías y Marcos de Trabajo ........................................................... 33

5.2. MARCO CONCEPTUAL .................................................................................. 35

5.3. MARCO HISTÓRICO ...................................................................................... 36

5.4. ESTADO ACTUAL .......................................................................................... 37

5.5. MARCO TECNOLÓGICO ................................................................................ 39

5.5.1. Requerimientos de Software y Hardware .................................................... 39

5.5.2. Tipos de licenciamiento de Software ........................................................... 40

5.6. MARCO LEGAL .............................................................................................. 40

5.6.1. Ley 1273 de 2009 ........................................................................................ 41

5.6.2. Decreto 1377 de 2013 ................................................................................. 42

5.6.3. Ley 1581 de 2012 ........................................................................................ 43

5.6.4. Sobre CJT&T Ingeniería de Software .......................................................... 44

6. DISEÑO METODOLÓGICO ..................................................................... 45

6.1. TIPO DE PROYECTO ..................................................................................... 45

6.2. MÉTODO DE INVESTIGACIÓN ...................................................................... 45

6.3. POBLACIÓN ................................................................................................... 46

6.4. ESTRUCTURA DE LA UNIDAD DE ANÁLISIS ............................................... 46

6.5. DEFINICIÓN DE HIPÓTESIS .......................................................................... 47

7
6.6. VARIABLES E INDICADORES ....................................................................... 47

6.7. TÉCNICAS E INSTRUMENTOS DE RECOLECCIÓN DE INFORMACIÓN .... 48

6.8. FUENTES DE INFORMACIÓN ....................................................................... 48

7. ESQUEMA TEMÁTICO ............................................................................ 50

7.1. DISTRIBUCIONES LINUX EN EL ÁMBITO DE LA SEGURIDAD
INFORMÁTICA ...................................................................................................... 50

7.2. INVENTARIO DE HERRAMIENTAS POR FASE DE HACKING ÉTICO ......... 50

7.3. DESCRIPCIÓN DE LAS HERRAMIENTAS .................................................... 52

7.4. EJECUCIÓN DEL PENETRATION TEST ....................................................... 60

7.4.1. Fase de Planeación y Preparación .............................................................. 60

7.4.2. Fase de Evaluación ..................................................................................... 61

7.5. FORMULACIÓN DE POLÍTICAS DE SEGURIDAD INFORMÁTICA ............ 141

7.5.1. Información General .................................................................................. 141

7.5.2. Objetivos ................................................................................................... 142

7.5.3. Notificación de Violación a la Seguridad ................................................... 142

7.5.4. Base de Datos ........................................................................................... 142

7.5.5. Frecuencia de Evaluación de las Políticas ................................................ 144

7.5.6. Política de Legalidad ................................................................................. 144

7.5.7. Políticas de Seguridad Física .................................................................... 145

7.5.8. Políticas de Seguridad Lógica ................................................................... 148

7.5.9. Seguridad Perimetral ................................................................................. 153

7.6. FORMULACIÓN PROCEDIMIENTOS DE SEGURIDAD INFORMÁTICA ..... 155

8
8. INVESTIGADORES Y COLABORADORES ........................................... 163

8.1. Proponente Primero ...................................................................................... 163

8.2. Proponentes Secundarios ............................................................................. 163

9. RECURSOS DISPONIBLES ................................................................... 164

9.1. ESTUDIO TÉCNICO ..................................................................................... 164

9.1.1. Localización del Proyecto .......................................................................... 164

9.1.2. Necesidades de Maquinaria y Equipo ....................................................... 164

9.1.3. Necesidades de recurso humano .............................................................. 164

9.2. ESTUDIO FINANCIERO ............................................................................... 165

9.2.1. Inversiones ................................................................................................ 165

9.3. COSTOS ....................................................................................................... 166

9.3.1. Costos de Producción ............................................................................... 166

9.3.2. Costo de servicios ..................................................................................... 166

9.4. RECURSOS INSTITUCIONALES Y HUMANOS .......................................... 167

10. RESULTADOS E IMPACTO ESPERADOS ............................................ 169

10.1. RESULTADOS ................................................................................. 169

10.2. IMPACTO ESPERADO .................................................................... 177

11. DIVULGACIÓN ....................................................................................... 179

12. CRONOGRAMA ..................................................................................... 180

CONCLUSIONES ................................................................................................ 181

RECOMENDACIONES ........................................................................................ 182
9
BIBLIOGRAFÍA .................................................................................................... 184

ANEXOS .............................................................................................................. 189

10