Episodio 9: Archivos de Caso - Escenarios de Seguridad del Mundo Real

Fase 1: Reconocimiento Inicial

Identificar hosts y posibles servidores web.

# Identificar hosts
nmap -sn 192.168.1.0/24 -oA descubrimiento_webapp

# Encontrar servidores web
nmap -p 80,443,8000-8100 --open 192.168.1.0/24 -oA servidores_webapp

# Extraer objetivos (CORREGIDO: Usando {''}, escapado >)
grep "open" servidores_webapp.gnmap | cut -d " " -f 2 {'>'} objetivos_webapp.txt

Fase 2: Enumeración de Servicios

Realizar detección detallada de servicios y SO.

# Detección detallada de servicios
nmap -sV -p 80,443,8000-8100 -iL objetivos_webapp.txt -oA servicios_webapp

# Detección de SO
sudo nmap -O -iL objetivos_webapp.txt -oA so_webapp

Fase 3: Escaneo de Aplicación Web

Usar scripts NSE para enumeración de aplicaciones web y verificación de vulnerabilidades.

# Enumeración básica de aplicación web
nmap --script http-enum -p 80,443,8000-8100 -iL objetivos_webapp.txt -oA enum_webapp

# Verificar vulnerabilidades comunes
nmap --script "http-vuln*" -p 80,443,8000-8100 -iL objetivos_webapp.txt -oA vulns_webapp

Fase 4: Evaluación SSL/TLS

Evaluar la configuración SSL/TLS para servicios HTTPS.

# Verificar configuración SSL/TLS
nmap --script ssl-enum-ciphers -p 443,8443 -iL objetivos_webapp.txt -oA ssl_webapp

Fase 5: Análisis y Documentación

Analizar resultados y preparar documentación.

# Generar reporte HTML (si se usa Zenmap o con xsltproc)
# xsltproc servicios_webapp.xml -o servicios_webapp.html

# Resumir hallazgos (CORREGIDO: Usando {''}, escapado >)
grep "open" servicios_webapp.gnmap | sort | uniq -c {'>'} resumen_servicios.txt
grep "VULNERABLE" vulns_webapp.nmap {'>'} vulnerabilidades.txt

Creación Inicial de Línea Base

Realizar descubrimiento y documentación comprensiva.

# Crear directorio de línea base
BASE_DIR="linea_base_red/$(date +%Y-%m-%d)"
mkdir -p "$BASE_DIR"
cd "$BASE_DIR"

# Descubrir todos los hosts (ajustar rango)
TARGET_RANGE="10.0.0.0/16"
sudo nmap -sn $TARGET_RANGE -oA descubrimiento_host

# Realizar escaneo comprensivo
grep "Up" descubrimiento_host.gnmap | cut -d " " -f 2 > hosts_activos.txt
sudo nmap -sV -O -p 1-1000 -iL hosts_activos.txt -oA linea_base_servicios

# Documentar topología de red (opcional, puede ser lento)
# sudo nmap --traceroute -iL hosts_activos.txt -oA topologia_red

Script de Comparación de Línea Base

Script para comparar el estado actual con la línea base.

#!/bin/bash
# Comparación de Línea Base de Red

BASELINE_DIR="/ruta/a/tu/ultima/lineabase" # Apuntar al dir de línea base
CURRENT_DIR="comparacion_$(date +%Y%m%d_%H%M%S)"
TARGET_RANGE="10.0.0.0/16" # Igualar rango línea base
PORTS_TO_SCAN="1-1000" # Igualar puertos línea base

mkdir -p "$CURRENT_DIR"
cd "$CURRENT_DIR"

echo "[+] Realizando escaneo del estado actual..."
sudo nmap -sn $TARGET_RANGE -oA descubrimiento_host_actual
grep "Up" descubrimiento_host_actual.gnmap | cut -d " " -f 2 > hosts_activos_actual.txt
sudo nmap -sV -O -p $PORTS_TO_SCAN -iL hosts_activos_actual.txt -oA linea_base_servicios_actual

echo "[+] Comparando listas de hosts..."
comm -3 <(sort $BASELINE_DIR/hosts_activos.txt) <(sort hosts_activos_actual.txt) > cambios_host.txt

echo "[+] Comparando servicios usando ndiff..."
ndiff $BASELINE_DIR/linea_base_servicios.xml linea_base_servicios_actual.xml > cambios_servicios.txt

echo "[+] Comparación completa. Revisá cambios_host.txt y cambios_servicios.txt en $PWD"

Actualizaciones Programadas de Línea Base

Automatizar el mantenimiento de la línea base usando cron.

# Agregar a crontab (ej., corre mensualmente a las 2 AM el día 1)
# Línea de ejemplo para /etc/crontab:
# 0 2 1 * * root /ruta/a/tu/script_creacion_lineabase.sh

Fase 1: Identificar Actividad Sospechosa

Escanear en busca de puertos abiertos inusuales que puedan indicar compromiso.

# Escanear puertos comunes de backdoor/C2 (ajustar según sea necesario)
PUERTOS_BACKDOOR="4444,5555,6666,31337,12345,54321"
sudo nmap -p $PUERTOS_BACKDOOR 10.0.0.0/16 --open -oA verificacion_backdoor

Fase 2: Buscar Firmas de Malware Conocido

Usar scripts NSE para buscar signos de malware (usar scripts específicos si es posible).

# Buscar indicadores de malware (puede ser amplio)
sudo nmap --script "malware*" 10.0.0.5 -oA verificacion_malware

# Verificaciones más dirigidas si es posible
# sudo nmap --script=http-malware-host 10.0.0.5 -p 80

Fase 3: Verificar Integridad del Sistema

Comparar servicios actuales con la línea base si está disponible.

# Realizar escaneo actual
sudo nmap -sV 10.0.0.5 -oA estado_actual

# Comparar con línea base (reemplazar con archivo real)
ndiff linea_base_10.0.0.5.xml estado_actual.xml {'>'} cambios_sistema.txt

Fase 4: Verificación de Aislamiento de Red

Verificar que los sistemas comprometidos estén adecuadamente aislados.

# Verificar si el aislamiento es efectivo (esperar sin puertos abiertos si está aislado)
sudo nmap -sS -p- --max-retries 1 10.0.0.5 -oA verificacion_aislamiento

Fase 1: Identificar Alcance

Identificar sistemas dentro del alcance para cumplimiento (ej., Entorno de Datos de Tarjetahabientes).

# Descubrir sistemas en alcance PCI (rango de ejemplo)
RANGO_PCI="10.0.0.0/24"
sudo nmap -sn $RANGO_PCI -oA descubrimiento_pci
grep "Up" descubrimiento_pci.gnmap | cut -d " " -f 2 {'>'} alcance_pci.txt

Fase 2: Buscar Servicios Prohibidos

Escanear en busca de servicios a menudo prohibidos por estándares de cumplimiento.

# Verificar servicios prohibidos (ej., Telnet, FTP, POP/IMAP sin encriptar)
PUERTOS_PROHIBIDOS="21,23,110,143"
sudo nmap -p $PUERTOS_PROHIBIDOS -iL alcance_pci.txt --open -oA servicios_prohibidos

Fase 3: Verificar Estándares de Encriptación

Verificar configuraciones SSL/TLS contra requisitos (ej., deshabilitar SSLv3, TLS temprano).

# Verificar configuraciones SSL/TLS
PUERTOS_HTTPS="443,8443" # Agregar otros puertos relevantes
sudo nmap --script ssl-enum-ciphers -p $PUERTOS_HTTPS -iL alcance_pci.txt -oA verificacion_ssl

# Identificar protocolos/cifrados no conformes
grep -E "SSLv2|SSLv3|TLSv1\.0|TLSv1\.1|RC4|MD5" verificacion_ssl.nmap {'>'} ssl_no_conforme.txt

Fase 4: Generar Reporte de Cumplimiento

Crear un reporte básico de cumplimiento.

#!/bin/bash
# Generación Básica de Reporte de Cumplimiento

ARCHIVO_REPORTE="reporte_cumplimiento_$(date +%Y%m%d).txt"
ARCHIVO_ALCANCE_PCI="alcance_pci.txt"
ARCHIVO_PROHIBIDOS="servicios_prohibidos.nmap"
ARCHIVO_VERIFICACION_SSL="verificacion_ssl.nmap"
ARCHIVO_SSL_NO_CONFORME="ssl_no_conforme.txt"

echo "Reporte de Escaneo de Cumplimiento - $(date)" > "$ARCHIVO_REPORTE"
echo "====================================" >> "$ARCHIVO_REPORTE"

echo "\n1. Sistemas en Alcance:" >> "$ARCHIVO_REPORTE"
cat "$ARCHIVO_ALCANCE_PCI" >> "$ARCHIVO_REPORTE"

echo "\n2. Servicios Prohibidos Encontrados:" >> "$ARCHIVO_REPORTE"
if [ -s "$ARCHIVO_PROHIBIDOS" ]; then
    grep "open" "$ARCHIVO_PROHIBIDOS" >> "$ARCHIVO_REPORTE"
else
    echo "   Ninguno encontrado." >> "$ARCHIVO_REPORTE"
fi

echo "\n3. SSL/TLS No Conforme Encontrado:" >> "$ARCHIVO_REPORTE"
if [ -s "$ARCHIVO_SSL_NO_CONFORME" ]; then
    cat "$ARCHIVO_SSL_NO_CONFORME" >> "$ARCHIVO_REPORTE"
else
    echo "   Ninguno encontrado." >> "$ARCHIVO_REPORTE"
fi

# Ejemplo: Agregar una verificación simple de pasa/falla
FALLO=false
if [ -s "$ARCHIVO_PROHIBIDOS" ] || [ -s "$ARCHIVO_SSL_NO_CONFORME" ]; then
    FALLO=true
fi

echo "\nEstado General: $(if $FALLO; then echo 'FALLÓ'; else echo 'PASÓ'; fi)" >> "$ARCHIVO_REPORTE"

echo "\nReporte generado: $ARCHIVO_REPORTE"

Ejercicio 1: Crear una Línea Base de Red

Creá una línea base para tu red de laboratorio o doméstica.

1. Realizar descubrimiento inicial: sudo nmap -sn 192.168.1.0/24 -oA descubrimiento_lineabase
2. Documentar servicios: grep "Up" descubrimiento_lineabase.gnmap | cut -d " " -f 2 > hosts_activos.txt && sudo nmap -sV -O -p 1-1000 -iL hosts_activos.txt -oA servicios_lineabase
3. Crear un reporte: Usá scripting o revisión manual para resumir hosts activos y servicios abiertos.
4. Después de cambios/tiempo, reescaneá y compará: ndiff servicios_lineabase.xml nuevos_servicios.xml > cambios.txt

Ejercicio 2: Evaluación de Aplicación Web

Realizá una evaluación de app web en un servidor de prueba (ej., Metasploitable).

1. Descubrir servicios web: sudo nmap -p 80,443,8000... --open ...
2. Enumerar aplicaciones: sudo nmap --script http-enum ...
3. Verificar vulnerabilidades: sudo nmap --script "http-vuln*" ...
4. Creá un reporte de hallazgos resumiendo servicios descubiertos, rutas enumeradas y vulnerabilidades.

Ejercicio 3: Simulación de Respuesta a Incidentes

Simulá una respuesta a incidentes.

1. Configurá un sistema "comprometido" (ej., nc -lvp 4444 en el objetivo).
2. Realizá escaneo IR: Verificá puertos sospechosos (sudo nmap -p 1-10000 --open ...), buscá servicios inusuales (sudo nmap -sV ...).
3. Documentá hallazgos: Reportá el puerto sospechoso y el servicio identificado.

Ejercicio 4: Verificación de Cumplimiento

Verificá el cumplimiento con un estándar simple.

1. Definí el estándar (ej., sin Telnet/FTP).
2. Escaneá en busca de servicios no conformes: sudo nmap -p 21,23 --open ...
3. Generá un reporte: Listá los hallazgos no conformes y determiná el estado PASA/FALLA.