1
Actividad Trabajo Colaborativo 2. Fase 2.
Grupal
Morán Fernández César Enrique,
Universidad
Restrepo Santacruz
Nacional Abierta
Inés
cemofeunad@gmail.com
Resumen— se realiza un informe para la
Multinacional “SSM Latin-World Corporation, con el
fin de presentar los resultados s en el cual se propone
una metodología final a implementar para realizar las
respectivas mejoras en el interior de la multinacional.
En donde se propone implementar dentro de la
organización un ethical hacking mediante las siguientes
fases: planeación, descubrimiento, ataque, reporte.
Palabras clave— Ethical Hacking, metodología,
planeación.
Abstract— a report for the multinational "SSM Latin-
World Corporation is performed, in order to present
the results s in which a way to implement
improvements for the respective inside the
multinational methodology is proposed. Where it is
proposed to implement within the organization have
an ethical hacking through the following phases :
planning , discovery, attack report.
Keywords - Ethical Hacking , methodology, planning.
I. INTRODUCCIÓN
El objetivo fundamental del Ethical Hacking (hackeo
ético) es explotar las vulnerabilidades existentes en el
sistema de "interés" valiéndose de test de intrusión, que
verifican y evalúan la seguridad física y lógica de los
sistemas de información, redes de computadoras,
aplicaciones web, bases de datos, servidores, etc. Con el
fin de ganar acceso y "demostrar" que un sistema es
vulnerable, esta información es de gran ayuda a las
organizaciones al momento de tomar las medidas
preventivas en contra de posibles ataques
malintencionados. Dicho lo anterior, el servicio de Ethical
Hacking consiste en la simulación de posibles escenarios
donde se reproducen ataques de manera controlada, a
través del Ethical Hacking (es posible detectar el nivel de
seguridad interno y externo de los sistemas de
información de la multinacional, para poder determinar
el grado de acceso que tendría un atacante con
intenciones maliciosas a los sistemas informáticos con
información confidencial.
Jenny yFernanda,
a Distancia
Muñoz
UNAD.
Sánchez Clara
II. SERVICIO DE ETHICAL HACKING /
PENETRATION TESTING
Los servicios de Penetration Testing se clasifican en:
→ Penetration Testing de Aplicaciones Web
→ Penetration Testing de Infraestructura
→ Ingeniería Social
Con los servicios de Ethical Hacking / Penetration
Testing se pretende:
 Identificar vulnerabilidades resultado de errores de
diseño e implementación, configuración insegura,
contraseñas débiles, software no actualizado, entre
otros.
 Conocer las debilidades de sus aplicaciones e
infraestructura, cuya vulneración puede ocasionar
daños de alto impacto para su negocio.
 Obtener un plan de acción para la remediación de
sus vulnerabilidades, clasificadas según su nivel de
riesgo.
 Obtener informes técnicos libres de falsos
positivos, sustentados con la evidencia obtenida
durante el proceso de evaluación.
 Ejecutar procedimientos detallados para la
remediación de vulnerabilidades.
Las pruebas de penetración se enfocan principalmente en
las siguientes perspectivas:
 Pruebas de penetración con objetivo: se buscan
las vulnerabilidades en partes específicas de los
sistemas informáticos críticos de la organización.
 Pruebas de penetración sin objetivo: consisten en
examinar la totalidad de los componentes de los
sistemas informáticos pertenecientes a la
organización. Estas pruebas suelen ser las más
laboriosas.
 Pruebas de penetración a ciegas: en estas pruebas
sólo se emplea la información pública disponible
sobre la organización.
 Pruebas de penetración informadas: aquí se
utiliza la información privada, otorgada por la
organización acerca de sus sistemas informáticos.

En este tipo de pruebas se trata de simular
ataques realizados por individuos internos de la
organización que tienen determinado acceso a
información privilegiada.
 Pruebas de penetración externas: son realizas
desde lugares externos a las instalaciones de la
organización. Su objetivo es evaluar los
mecanismos perimetrales de seguridad
informática de la organización.
 Pruebas de penetración internas: son realizadas
dentro de las instalaciones de la organización con
el objetivo de evaluar las políticas y mecanismos
internos de seguridad de la organización.[1]
III. METODOLOGÍA DE EVALUACIÓN
Se utiliza una metodología de evaluación de
seguridad informática que incluye cuatro etapas:
 Etapa de Descubrimiento
Esta es la etapa donde se deberá delimitar las
áreas donde se focalizara la evaluación, para ello
se debe entender los riesgos del negocio asociado
al uso de los activos informáticos involucrados.
 Etapa de Exploración
En esta se trazan los objetivos para las demás
etapas y se aplican técnicas no invasivas para
identificar todos los blancos potenciales.
Las tareas que predominan en esta etapa son:
 Detección de módems activos.
 Confirmación de rangos de direcciones
IP.
 Detección de equipos activos e
identificación de Sistemas Operativos.
 Detección de servicios activos e
identificación Software y versiones.
 Detección de barreras de protección.
 Análisis de características de
configuración en redes WiFi.[1]
 Técnica de Scanning.
Esta técnica la utilizan los intrusos para poder
acceder a un conjunto de blancos potenciales
buscando alguna característica, esta técnica se la
utiliza en la detección de equipos, servicios y
módems activos.[1]
 Etapa de Evaluación.
Se basa en el análisis de todos los datos
encontrados para la detección y determinación de
vulnerabilidades de seguridad informática que
afectan a los sistemas evaluados.
 Durante esta etapa se realizan las evaluaciones
de seguridad en todos los posibles niveles,
destacándose las siguientes tareas:
2
 Ejecución de herramientas de scanning
de vulnerabilidades.
 Búsqueda manual de vulnerabilidades.[1]
 Herramientas de scanning de vulnerabilidades.
Buscan automáticamente vulnerabilidade
“conocidas” en los Sistemas Operativos y
servicios que se estén ejecutando.
 Permiten, en algunos casos, “explotar” las
vulnerabilidades detectadas.
 Facilitan la actualización de las bases de datos de
vulnerabilidades.[1]
IV. PLANEAMIENTO
La realización de un pent test requiere una planificación
previa que tiene mínimamente los siguientes pasos:
 Reunión de alineamiento
En esta reunión debe definirse el alcance del trabajo.
Dentro de esto tenemos:
 ¿Qué tipo de Pentest se va a realizar?
 Horario de realización del pentest (durante las
horas laborales o fuera del horario laboral)
 Se permitira DoS?
 Se pueden instalar Backdoors ?
 Se pueden realizar Defacement de los sitios?
 Se pueden borrar logs?
 Conocerá el personal la realización del
pentest?
 Se puede utilizar Ingeniería Social?
 Luego de esta reunión se realizara un
documento en forma de contrato o de memo
interno indicando el alcance del pent test y
otorgando el permiso necesario para la
realización.
 Realización del Pentest
La realización del pentest básicamente está
dividida en los siguientes pasos:
 Reconocimiento: Que a su vez está divido en
Footprint y Scanning.
 Adquisición de Objetivo: Comprende
Enumeración de vulnerabilidades, Acceso,
estalación de privilegios y búsqueda de nuevos
objetivos.
 Eliminación de Huellas: Eliminación de rastros
en logs.
 Luego dependiendo de los acordados, se
pueden realizar pruebas de Denegación de
Servicios o dejar instalados Backdoors.
 Reporte
En este paso se realizara el reporte de los
resultados obtenidos de la evaluación
 Presentación de resultados.
 En este último paso se presentan todos los
 3

resultados de la evaluación del sistema.[1] buffer overflows, acceso a puertos abiertos, ataques web,
etc.[2]
I. DESCUBRIMIENTO
Para realizar las pruebas de Pentest en la Multinacional
 Seguridad de La Información. ABC World Corp se va a utilizar la distribución “Kali
 Uso de Internet. Linux” que es una avanzada, robusta y estable
 Monitoreo a la Seguridad. distribución de seguridad basada en Debian GNU/Linux.
 Administración de contraseñas
 Administración de Cuentas
 Administración y seguridad en Servidores.
 Licenciamiento de Software.
 Respaldo y Recuperación de Información.
 Administración de reporte de Incidentes
(tickets)
 Detección de Intrusiones.
 Buen uso de los recursos de la empresa
 Acceso físico a los recursos
 Acceso a la red
 Administración de cambios
 Detección de virus

V. HERRAMIENTAS A UTILIZAR EN LA
EXPLORACIÓN DE VARIABLES

Nessus. Es un escáner de vulnerabilidades muy popular,

el cual es utilizado por muchas empresas en todo el
mundo, las cuales logran importantes ahorros en costos
mediante el uso de esta herramienta de auditoría de
sistemas de información para la búsqueda de fallas
críticas de seguridad.
Figura 1. Pantalla de inicio de Kali Linux.
Kali Linux tiene más de 300 herramientas de pruebas de
penetración:

Nmap. (“Network Mapper”) es una herramienta gratuita

para la exploración de la red o la auditoría de seguridad,
sirve para analizar rápidamente grandes redes, aunque
funciona muy bien en equipos individuales. Utiliza
paquetes IP para determinar qué hosts están disponibles
en la red, qué servicios estos equipos ofrecen, qué
sistemas operativos (y versiones del sistema operativo) se
están ejecutando, qué tipo de filtros de paquetes o
firewalls están en uso, y muchas más utilidades.

Wireshark. Es un programa analizador de protocolos de

red o sniffer, que le permite capturar y navegar de forma
interactiva por los contenidos de los paquetes capturados
Figura 2. Se indica el Top 10 de las Herramientas de Seguridad,
en la red. El objetivo del proyecto fue crear un analizador entre las que se encuentra nmap, sqlmap,wireshark.
de calidad comercial para Unix. Funciona muy bien en
Linux y Windows (con una interfaz gráfica de usuario),
fácil de utilizar y puede reconstruir flujos TCP / IP y
VoIP.

Snort. Es un NIPS: Network Prevention System y un

NIDS: Network Intrusion Detetection, capaz de analizar
redes IP. Se usa sobre todo para detectar ataques como
 4

Figura 3. Herramientas para recuperación de información, entre las Figura 6. Pantalla inicial de sqlmap.
que se encuentra nmap.

Figura 7. Pantalla inicial de Wireshark.

Figura 4. Pantalla inicial de nmap.

Figura 7. Pantalla inicial de Metasploit.

Figura 5. Análisis de Vulnerabilidades-Evaluación de Bases VIII. CONCLUSIONES

de datos - sqlmap.
 Se fortalecen los conocimientos en Seguridad en
Sistemas Operativos, logrando explorar los
conceptos relacionados con Ataques, controles,
sistemas de prevención en ambientes locales y
 5

globales para la búsqueda e implementación de Administración Documental, en el Servicio Nacional de Aprendizaje SENA,
Regional Cauca, postulante a graduarse como Ingeniera de Sistemas en la
soluciones relacionadas con la seguridad Universidad Abierta y a Distancia UNAD, actualmente realiza la especialización
informática, en la Multinacional ABC World Corp. en Seguridad Informática en la misma Universidad como requisito para su título
profesional. Desde hace siete (7) años, se encuentra vinculada como instructora
en el área de Archivo y Gestión Documental en el Servicio Nacional de
 Se le propone a la Multinacional ABC World Corp Aprendizaje SENA Regional Cauca, centro Comercio y Servicios. Hace parte de
identificar los elementos de la seguridad en Sistemas equipo de Voleibol de la Regional, amante del deporte, le gusta mucho el inglés y
la lectura.
operativos, asimismo se profundiza en temas
relacionados con vulnerabilidades y ataques
específicos a sistemas operativos así como las
herramientas para implementar los respectivos
controles y acciones de prevención, con las
respectivas pruebas de Pentesting utilizando el
robusto paquete de herramientas Kali Linux.

 Para realizar las pruebas de Pentesting en

Multinacional ABC World Corp. Es indispensable la
firma de un contrato firmado por escrito donde se
exonere al hacker ético de toda responsabilidad como
consecuencia de las pruebas que realice (siempre que
sea dentro del marco acordado).

XI. REFERENCIAS

[1] J. L. Ramos Ramos, Pruebas de penetración o Pent Test, Universidad

Mayor de San Andrés.
[2] Trabajo Colaborativo 1. Seguridad en Sistemas Operativos. Grupo 10.
Universidad Nacional abierta y a Distancia.

XII. BIOGRAFÍA

César Enrique Morán Fernández nació en

Colombia en San Juan de Pasto, el 05 de octubre de
1966. Se graduó de la Universidad de Nariño, en
Ingeniería Civil en 1988, tiene una especialización en
Alta Gerencia, tiene los créditos completos del
programa de Ingeniería de Sistemas de la Universidad
Nacional Abierta y a Distancia UNAD, se encuentra
estudiando en la misma universidad su especialización
en Seguridad Informática como opción de grado,
paralelamente está estudiando una especialización en
Gerencia de Proyectos, actualmente trabaja en el
Instituto Nacional de Vías INVIAS ocupando el cargo
de Director Territorial Nariño.

Jenny Fernanda Restrepo Santacruz Colombia

–Nacida en Popayán el 10 de Mayo de 1985 –
Graduada en Tecnología en Sistemas y
Soluciones informáticas , técnico en Educación de
la Primera Infancia, estudiante del programa de
Ingeniería de Sistemas en la Universidad
Nacional Abierta y a distancia UNAD, Cead,
actualmente cursa la Especialización en
Seguridad Informática como requisito de opción
de grado. Se desempeña como docente del área de
tecnología e informática en el nivel de Básica
primaria desde hace 7 años, en la Institución
Educativa Sede Mercedes Pardo.

Clara Inés Muñoz Sánchez, nacida en Popayán Cauca

el 6 de junio de 1976. Graduada como tecnóloga en
6