From OSSTMM to OWASP

Fue a finales de 2006, comienzos de 2007. Estaba enfrascado en el proyecto final de carrera "Auditoria de Sistemas de la Información", donde tras varios meses pegándome con la extensa OSSTMM y otras tantas semanas de prácticas en una importante empresa de seguridad pude dar a luz el que sería uno de mis hijos pródigos, un proyecto de alrededor de 300 paginas donde se explicaba la metodología OSSTMM con un ejemplo "real" de auditoria basada en esta metodología sobre un cliente.

Desde entonces no he podido volver a dedicarme al Pen-Testing, sin salirme del mundo de la Seguridad he tenido la oportunidad de hacer otras muchas cosas, sin embargo el conocimiento tiende a diluirse como un azucarillo en el agua de la memoria si no es refrescado continuamente así que me he dicho, ¡volvamos a hacer Pen-Test! Eso sí, con un "pero", esta vez vamos a ser más prácticos y en vez de amasar un par de decenas de entradas hablando de OSSTMM y sus famosos 7 dominios de forma teórica y enriquecedora pero a fin de cuentas, algo aburrida, vamos a repasar la OWASP Testing Guide 3.0 y sus 9 sub-categorías y 66 controles de seguridad de forma práctica, con ejemplos reales (que en algún caso tendré que desarrollar por 1ª vez, por lo que os animo a corregirme o dar ideas si veis desvaríos varios). Antes de todo eso vamos a recordar cómo es OSSTMM, por qué es la metodología de auditoría más completa y por qué, a fin de cuentas, lo que se usa es OWASP (al menos desde mi experiencia).

OSSTMM, la metodología que lo abarca todo

Open Source Security Testing Methodology Manual (OSSTMM) es un manual de pen testing desarrollado por el ISECOM cuya primera versión salió allá por el año 2001. Este cuaderno de auditoría gratuito y bajo licencia Creative Commons abarca todos los aspectos que una auditoría de seguridad debe contemplar si quiere ser lo más completa posible. Esto queda perfectamente reflejado en lo que a mí me gusta llamar el “molino de Don Quijote”:

La imagen del molino me encanta por que muestra de forma transversal y extremadamente simple como todo está relacionado en nuestro negocio, en nuestros sistemas de información, procesos, etc. Y sobretodo en el centro de todo, la seguridad física (disciplina por la que siento debilidad). OSSTMM muestra el camino para chequear todas las acciones que nos aseguren el cumplimiento regulatorio, el cumplimiento legal y el cumplimiento con las políticas corporativas, todo ello sin dejar de lado otros aspectos como el hacking wireless o la seguridad en las comunicaciones. La metodología está dividida en 6 módulos que alcanzan diferentes objetivos en la auditoría:

1- Seguridad de la Información (presencia en Internet de cualquier tipo de información de una entidad).

2- Seguridad en los procesos (ingeniería social, “suggestion test”)

3- Seguridad en Tecnologías de Internet (IDS, firewall, router testing, DOS, passwork cracking, etc.)

4- Seguridad de las comunicaciones (Modem, FAX, PBX, etc.)

5- Seguridad Wireless (TEMPEST, hacking 802.11, bluetooth, infrarrojos, etc.)

6- Seguridad Física (perímetro de seguridad, alarmas de seguridad, test de control de accesos, estudio del entorno, etc.).

Hay ciertos módulos que hay que pensarse muy bien si se van a ofrecer, por ejemplo todo lo relacionado con Ingeniería Social puede provocar conflictos de los que es necesario estar prevenido legalmente, los ataques DOS se dan por hecho ¿merece la pena hacerlos?, quizás tampoco sea necesario revisar el entorno geo-político de nuestro cliente, a no ser claro que se encuentre en el antiguo cauce de un río, exista inestabilidad local o una alta tasa de delincuencia en la zona (yo no abriría una oficina en ciertos barrios de practicamente cualquier ciudad).

OWASP, hacking ético puro y duro

Por otro lado tenemos el Open Web Application Security Project, OWASP se centra exclusivamente en tests de intrusión para aplicaciones web, proporcionando un exhaustivo catálogo de 66 controles de seguridad a revisar en toda aplicación web. Podría coincidir con los puntos 1 y 3 de OSSTMM, rozando algún que otro punto pero sin tanto detalle. Esto es lo que suele contratar cuando se solicita un servicio de pen-testing, hacking ético o similares. OWASP es una metodología muy práctica que desde el primer punto va al grano, AJAX Testing, WSDL, Buffer Overflows, Stack Overflow, LDAP Injection, SQL Injection, CSS, escalado de privilegios, etc. Además te explica que hace ese ataque, te ofrece indicaciones sobre herramientas y técnicas a emplear, artículos que conviene leer, etc. Esto hace a OWASP una metodología válida tanto para principiantes como para usuarios avanzados, se divide en los siguientes dominios:

1- Recolección de información.

2- Test de Gestión de la Configuración.

3- Test de Autenticación

4- Test de Gestión de Sesiones

5- Test de Autorización

6- Test de validación de datos de entrada.

7- DOS testing.

8- Test de Web Services.

9- Test AJAX.

Finalmente deja un capítulo con indicaciones sobre como redactar los informes, valorar el riesgo de forma correcta (aparece la vieja fórmula de riesgo = probabilidad * impacto).

En próximas entradas y como proyecto a largo plazo iremos revisando cada uno de los 66 controles de seguridad y veremos ejemplos prácticos de ataques.

Salu2

Pen Testing - Advance

¿Y qué dicen las metodologías de estos “pent testing basics”? Pues que quizás sea eso lo que se haga (en cierta forma) en la mayoría de las empresas. Pero que ni mucho menos es lo que se debería de hacer, existen multitud de cosas que un test de intrusión debe comprobar y estas no solo afectan a sistemas en producción. Ahí están la OSSTMM (V3) y OWASP (V3) con sus cientos de folios indicando metodologías de trabajo en los Pen-Test, y es que de la teoría a la práctica hay un trecho bastante grande que creo que esta imagen simboliza muy bien:

Y es que no es lo mismo saber que X aplicaciones tienen tantas vulnerabilidades y que el firewall de entrada a la DMZ de tu cliente tiene abiertos los puertos http / https, smtp, dns, 53748 y alguno del emule que saber todo eso y que hay dos directores generales que están buscando trabajo en Xing (eso es un riesgo también, ¿no?), que la puerta de entrada a las oficinas tiene un candadito que se abre con un imperdible y que el que es el producto estrella de su compañía (ultra patentado y ultra protegido) está documentado y disponible en una carpeta compartida del director general. De ahí que por ejemplo OSSTMM tenga su “molinico de la mancha” para determinar los dominios de un Pen – Test completito:

Pero esto no es todo, nuestra compañera OWASP establece directrices “pen test” en el ciclo de vida del desarrollo (lo que conocemos ahora como ciclo de desarrollo seguro):

Phase 1: BEFORE DEVELOPMENT BEGINS.

PHASE 1A: REVIEW POLICIES AND STANDARDS

PHASE 1B: DEVELOP MEASUREMENT AND METRICS CRITERIA

Phase 2: DURING DEFINITION AND DESINGS

PHASE 2A: REVIEW SECUTIRY REQUIREMENTS

PHASE 2B: REVIEW DESIGN AND ARCHITECTURE

PHASE 2C: CREATE AND REVIEW UML MODELS

PHASE 2D: CREATE AND REVIEW THREAT MODELS

Phase 3: DURING DEVELOPMENT

PHASE 3A: CODE WALKTHROUGHS

PHASE 3B: CODE REVIEWS

Phase 4: DURING DEPLOYMENT

PHASE 4A: APPLICATION PENETRATION TESTING

PHASE 4B: CONFIGURATION MANAGEMENT TESTING

Phase 5: MAINTENANCE AND OPERATIONS

PHASE 5A: CONDUCT OPERATIONAL MANAGEMENT REVIEWS

PHASE 5B: CONDUCT PERIODIC HEALTH CHECKS

PHASE 5C: ENSURE CHANGE VERIFICATION

Pero como las ofertas Carrefour, ¡Esto no es todo! Existe una metodología orientada exclusivamente a seguridad de aplicaciones (ISSAF) que divide la seguridad en:

1.- Network Security

2.- Host Security

3.- Application Security

4.- Database Security

Que parece que está muy escuchimizá, aunque adentra mucho en la parte técnica ya que indica los ataques que se pueden realizar, lo que se espera obtener de esos ataques, que herramientas utilizar, y algún ejemplo:

Por tanto los “Pen Testing Advance” no tienen nada que ver con los “Pen Testing Basic” de los que hablaba hace unos días, ¿ahora bien, qué es lo que quiere nuestro cliente?, ¿Por cuánto tiempo es válida una auditoria OSSTMM?

Salu2!