Felicitaciones y muchas gracias a todos los que participaron, implementaron y desarrollaron este primer entorno de Test de Penetración De-ICE.
Una vez hemos llevado a cabo todo el paso a paso, siguiendo una metología clara de Test de Penetración, es necesario realizar unos reportes (técnico y ejecutivo) a modo de resultados. Estos reportes y el modo de realizarlos lo veremos en futuros entornos. Pues como manifesté en un comienzo, este primer entorno de laboratorio de aprendizaje sobre Test de Penetración, sólo buscaba acercar a los interesados en este amplio campo.
Para finalizar la serie de post dedicados al nivel I de De-ICE veremos algunas recomendaciones que debería implementar el administrador de dicho sistema:
- Según las pruebas y resultados obtenidos fué posible identificar diferentes versiones de software (Apache, PHP, SSH) completamente desactualizados, por lo tanto se recomienda implementar políticas de actualización periódicas.
- Es necesario también definir muy bien los servicios a ofrecer en el sistema. Como vimos en éste sistema nos encontramos muchos servicios que tal vez no sean indispensables para la finalidad del sistema. Se recomienda la deshabilitación de los mismos.
- Una vez definidos los servicios ofrecidos, es necesario asegurarlos en cuanto a autenticación, cambio de puertos, alteración de banners, etc.
- Implementar mejores prácticas a nivel del Firewall, ya que el objetivo de este es controlar sobre quién puede o no conectarse a determinados servicios en el sistema.
- Se recomienda además implementar contraseñas más robustas, pues las que pudimos encontrar eran bastante débiles y de fácil explotación utilizando diccionarios básicos/palabras comunes.
- Otra recomendación a tener en cuenta según los resultados obtenidos, es la revisión de la información que se publica por medio del portal web, pues como vimos esta información fué el punto de partida para nuestra intrusión.
Muy pronto publicaré este mismo sistema recién comprometido. Pues la idea será realizar un Análisis Forense a éste y determinar como se llevo a cabo dicho compromiso.
