Sec-Track » Metodología http://www.sec-track.com Wed, 01 Feb 2012 15:08:22 +0000 es hourly 1 http://wordpress.org/?v=3.3.1 Metodología: NIST SP 800-42 http://www.sec-track.com/metodologia-nist-sp-800-42 http://www.sec-track.com/metodologia-nist-sp-800-42#comments Sun, 08 Nov 2009 01:44:39 +0000 4v4t4r http://www.sec-track.com/?p=238 NIST (National Institute of Standards and Technology) Special Publication 800-42 es una línea guía de recomendaciones en pruebas (Testing) de la seguridad de la  información.

Entre su contenido se destaca lo siguiente:

  • System Development Life Cycle
  • Documenting Security Testing Results
  • Senior IT Management/Chief Information Officer
  • System and Network Administrators
  • Roles and Responsibilities for Testing
  • Network Scanning
  • Vulnerability Scanning
  • Password Cracking
  • Log Reviews
  • File Integrity Checkers
  • Virus Detectors
  • Wireless LAN Testing
  • Penetration Testing

Más información sobre la metodología NIST SP 800-42>>

Descargar Metodología NIST SP 800-42 >>

]]> http://www.sec-track.com/metodologia-nist-sp-800-42/feed 0 Penetration Testing Framework http://www.sec-track.com/penetration-testing-framework http://www.sec-track.com/penetration-testing-framework#comments Sun, 08 Nov 2009 01:10:29 +0000 4v4t4r http://www.sec-track.com/?p=231 Penetration Testing Framework es un entorno para la realización de Test de Penetración. En este se describen/definen las etapas involucradas en un Pen-Test y una recopilación de herramientas necesarias para el cumplimiento del mismo.

Entre las etapas podemos encontrar las siguientes:

  • Network Footprinting (Reconnaissance)
  • Authoratitive Bodies
  • Internet Search
  • Metadata Search
  • Social/ Business Networks
  • DNS Record Retrieval from publically available servers
  • Social Engineering
  • Dumpster Diving
  • Web Site copy
  • Discovery & Probing
  • Default Port Lists
  • Enumeration tools and techniques
  • Active Hosts
  • Service Probing
  • Banner Grabbing
  • ICMP Responses
  • Source Port Scans
  • Firewall Assessment
  • Enumeration
  • Fingerprint server/ service
  • DNS Enumeration
  • Web Directory enumeration
  • Vulnerability Assessment
  • Method Testing
  • Vulnerability Scanners
  • Examine configuration files
  • Exploit Frameworks
  • Privilege Escalation
  • Current Level of access
  • Access passwords
  • SQL injection
  • Password cracking
  • Bluetooth Specific Testing
  • Penetration
  • Wireless Penetration
  • Physical Security

Entre las herramientas a utilizar:

  • Netcraft
  • Robtex
  • Maltego
  • Sam Spade
  • Google
  • FOCA
  • VMWare
  • Httcrack
  • Nmap
  • Netcat
  • Amap
  • Xprobe2
  • Hping
  • Unicornscan
  • Fping
  • Firewalk
  • Scanssh
  • Hydra
  • Brutus
  • Firecat
  • Httprint
  • Nikto
  • Dirbuster
  • Cadaver
  • W3AF
  • GrendelScan
  • JoomlaScan
  • Paros
  • WebScarab
  • Cain & Abel
  • LDAP_Brute.pl
  • Repscan
  • TSGrinder
  • VNCrack
  • Ophcrack
  • Medusa
  • SARA
  • Nessus
  • Xscan
  • Metasploit

Más información / Página Oficial de Penetration Testing Framework >>

Descargar Penetration Testing Framework >>

]]> http://www.sec-track.com/penetration-testing-framework/feed 0 ISSAF – Information System Security Assessment Framework http://www.sec-track.com/issaf-information-system-security-assessment-framework http://www.sec-track.com/issaf-information-system-security-assessment-framework#comments Sat, 24 Oct 2009 03:24:05 +0000 4v4t4r http://www.sec-track.com/?p=197 El Marco de Evaluación de Seguridad de Sistemas de Información es una metodología estructurada de análisis de seguridad en varios dominios y detalles específicos de test o pruebas para cada uno de estos. Su objetivo es proporcionar procedimientos muy detallados para el testing de sistemas de información que reflejan situaciones reales.

ISSAF es utilizado en su mayoría para cumplir con los requisitos de  evaluación de las organizaciones y puede utilizarse además como referencia para nuevas implementaciones relacionadas con la seguridad de la información.

ISSAF está organizado según unos criterios de evaluación bien definidos,  cada uno de estos ha sido revisado por expertos en la matería entre estos expertos podemos encontrarnos a Balwant Rathore, Mark Brunner, Piero Brunati, Arturo Busleiman (Buanzo), Hernán Marcelo Racciatti, Andrés Riancho, entre otros.

Los criterios de evaluación incluyen los siguientes:

  • Una descripción de los criterios de evaluación
  • Finalidades y objetivos
  • Los prerrequisitos para la realización de las evaluaciones
  • Los procesos para las evaluaciones
  • Presentación de resultados
  • Contramedidas recomendadas
  • Referencias a documentos externos

ISSAF propone cinco fases para la realización de un completo Test de Penetración:

  • Fase I – Planeación
  • Fase II – Evaluación
  • Fase III – Tratamiento
  • Fase IV – Acreditación
  • Fase V – Mantenimiento

Cada una de estas fases involucra muchos procesos, entre muchos de ellos los siguientes:
Recolección de Información, Identificación de Recursos, Riesgos Inherentes, Regulaciones Legales, Políticas de Seguridad, Evaluaciones, Mapeo de Red, Identificación de Vulnerabilidades, Penetración, Obteniendo Acceso, Escalada de Privilegios, Mantenimiento del Acceso, Cubrimiento de Huellas y Reportes.

Más información ISSAF >>

Descargar ISSAF >>

]]> http://www.sec-track.com/issaf-information-system-security-assessment-framework/feed 0 OSSTMM – Open Source Security Testing Methodology Manual http://www.sec-track.com/osstmm-open-source-security-testing-methodology-manual http://www.sec-track.com/osstmm-open-source-security-testing-methodology-manual#comments Thu, 15 Oct 2009 22:51:36 +0000 4v4t4r http://www.sec-track.com/?p=148 Manual de la Metodología Abierta de Testeo de Seguridad

Es un conjunto de reglas y lineamientos para CUANDO, QUE y CUALES eventos son testeados. Esta metodología cubre únicamente el testeo de seguridad externo, es decir, testear la seguridad desde un entorno no privilegiado hacia un entorno privilegiado, para evadir los componentes de seguridad, procesos y alarmas y ganar acceso privilegiado. Está también dentro del alcance de este documento proveer un método estandarizado para realizar un exhaustivo test de seguridad de cada sección con presencia de seguridad (por ejemplo, seguridad física, seguridad inalámbrica, seguridad de comunicaciones, seguridad de la información, seguridad de las tecnologías de Internet, y seguridad de procesos) de una organización. Dentro de este método abierto y evaluado por expertos, para realizar exhaustivos testeos de seguridad, alcanzamos un estándar internacional en testeos de seguridad, que representa una línea de referencia para todas las metodologías de testeo de seguridad tanto conocidas como inexploradas.

La limitación al alcance del testeo de seguridad externo está dada por las diferencias considerables entre testeo externo a interno y testeo interno a interno. Estas diferencias radican fundamentalmente en los privilegios de acceso, los objetivos, y los resultados asociados con el testeo interno a interno.
El tipo de testeo que busca descubrir las vulnerabilidades inexploradas no está dentro del alcance de este documento ni dentro del alcance de un test de seguridad OSSTMM. El test de seguridad descrito a continuación es un test práctico y eficiente de vulnerabilidades conocidas, filtraciones de información, infracciones de la ley, estándares de la industria y prácticas recomendadas.

ISECOM exige que un test de seguridad solamente sea considerado un test OSSTMM si es:

  • Cuantificable.
  • Consistente y que se pueda repetir.
  • Válido mas allá del período de tiempo “actual”.
  • Basado en el mérito del testeador y analista, y no en marcas comerciales.
  • Exhaustivo.
  • Concordante con leyes individuales y locales y el derecho humano a la privacidad.

ISECOM no asevera que el uso del OSSTMM constituya una protección legal en todos los tribunales de justicia, sin embargo, cumple el papel del más alto nivel de profesionalismo en cuanto a testeos de seguridad cuando los resultados obtenidos son aplicados al perfeccionamiento de la seguridad dentro de un espacio de tiempo razonable.

Más información OSSTMM >>

Descargar OSSTMM – Español >>

Download OSSTMM – English >>

]]> http://www.sec-track.com/osstmm-open-source-security-testing-methodology-manual/feed 5