Software">
Nothing Special   »   [go: up one dir, main page]
Scribd Logo
Cargar

¡Te damos la bienvenida a Scribd!

  • 307 vistas

    Analisis de Vulnerabilidades

    Cargado por

    primos familia
    El pentester identificó varias vulnerabilidades en la infraestructura de la compañía, incluyendo SQL injection, cross-site scripting, ausencia de autenticación, y exposición de servicios de administración. La vulnerabilidad más crítica es la SQL injection debido al gran riesgo que representa para la continuidad del negocio y la privacidad de los datos de clientes. El experto recomienda utilizar herramientas como Nessus y Openvas para identificar vulnerabilidades y el calculador de CVSS de NIST para cuantificar el riesgo

    Copyright:

    © All Rights Reserved
    Descargue como DOCX, PDF, TXT o lea en línea desde Scribd

    Analisis de Vulnerabilidades

    Cargado por

    primos familia
    307 vistas3 páginas
    El pentester identificó varias vulnerabilidades en la infraestructura de la compañía, incluyendo SQL injection, cross-site scripting, ausencia de autenticación, y exposición de servicios de administración. La vulnerabilidad más crítica es la SQL injection debido al gran riesgo que representa para la continuidad del negocio y la privacidad de los datos de clientes. El experto recomienda utilizar herramientas como Nessus y Openvas para identificar vulnerabilidades y el calculador de CVSS de NIST para cuantificar el riesgo

    Descripción original:

    Título original

    Analisis de vulnerabilidades

    Derechos de autor

    © © All Rights Reserved

    Formatos disponibles

    DOCX, PDF, TXT o lea en línea desde Scribd

    ¿Le pareció útil este documento?

    ¿Este contenido es inapropiado?

    El pentester identificó varias vulnerabilidades en la infraestructura de la compañía, incluyendo SQL injection, cross-site scripting, ausencia de autenticación, y exposición de servicios de administración. La vulnerabilidad más crítica es la SQL injection debido al gran riesgo que representa para la continuidad del negocio y la privacidad de los datos de clientes. El experto recomienda utilizar herramientas como Nessus y Openvas para identificar vulnerabilidades y el calculador de CVSS de NIST para cuantificar el riesgo

    Copyright:

    © All Rights Reserved
    Descargue como DOCX, PDF, TXT o lea en línea desde Scribd
    Descargar como docx, pdf o txt
    307 vistas3 páginas

    Analisis de Vulnerabilidades

    Cargado por

    primos familia
    El pentester identificó varias vulnerabilidades en la infraestructura de la compañía, incluyendo SQL injection, cross-site scripting, ausencia de autenticación, y exposición de servicios de administración. La vulnerabilidad más crítica es la SQL injection debido al gran riesgo que representa para la continuidad del negocio y la privacidad de los datos de clientes. El experto recomienda utilizar herramientas como Nessus y Openvas para identificar vulnerabilidades y el calculador de CVSS de NIST para cuantificar el riesgo

    Copyright:

    © All Rights Reserved
    Descargue como DOCX, PDF, TXT o lea en línea desde Scribd
    Descargar como docx, pdf o txt
    de 3

    Análisis de Vulnerabilidades

    Eres un experto de ciberseguridad que ha contratado la realización de un pentest a la


    infraestructura de su compañía.

    El pentester te acaba de adelantar la siguiente relación de vulnerabilidades, sobre la


    que todavía no ha podido calcular su valor CVSS, y por lo tanto no están clasificadas
    por criticidad:

    •         ADMIN_SERVICES_EXPOSED: Se han detectado los siguientes elementos de


    administración expuestos en Internet: (22/tcp), ssh. Este protocolo se suele utilizar para
    administrar servidores de forma remota, no obstante, aunque requiere autenticación,
    representa un riesgo.

    •         CROSS_SITE_SCRIPTING: Se han identificado vulnerabilidades de Cross Site


    Scripting en una zona autenticada de una aplicación en Internet. Parece que se debe a
    un error en un desarrollo interno (no es una aplicación generalista)

    •         AUSENCIA_AUTENTICACION: Durante las pruebas se han localizado


    funcionalidades accesibles en Internet sin necesidad de autenticación, por sus
    características, es probable que se traten de web services utilizados por el portal.
    Normalmente interactuar con webservices requiere conocimientos más altos que en
    una web. Es un desarrollo propio

    •         SQL_INJECTION Existen vulnerabilidades de tipo inyección SQL que posibilitan


    a un eventual atacante la consulta / modificación de los datos almacenados de bases
    de datos internas a la que se conecta la aplicación vulnerable. Es una aplicación
    expuesta en Internet, software comercial muy utilizado globalmente.

    •         INFORMATION_LEAK: Se ha detectado un fichero changelog.txt en un servidor


    web expuesto a Internet que contiene las características del software utilizado
    (versiones, parches…).

    Sobre las anteriores vulnerabilidades, les pido que preparen vuestra respuesta o
    comentario, en un máximo de 2 hojas, para las siguientes palabras:
    1. ¿Cuáles consideras más importantes? (Breve descripción del porqué)

    De acuerdo al orden de importancia he seleccionado SQL_INJECTION, puede afectar


    gravemente la continuidad operativa del negocio, al igual que la imagen de la empresa
    ante el cliente y sus pares del rubro. Un ataque de esta índole puede afectar
    seriamente los datos privados de clientes e información confidencial, comprometiendo
    la triada de seguridad de la información.

    2.    Calcula el valor de CVSS para cada una de ellas (ordenar de mayor a menor
    criticidad)

    Orden:
    a. SQL INJECTION
    b. CROSS SITE SCRIPTING
    c. INFORMATION_LEAK
    d. AUSENCIA_AUTENTICACION
    e. ADMIN_SERVICES_EXPOSED

    Valor:
    a. ADMIN_SERVICES_EXPOSED: Valor 5.1

    b. CROSS SITE SCRIPTING: Valor 6.1

    c. AUSENCIA_AUTENTICACION: Valor 6.3

    d. SQL_INJECTION: Valor 8.9


    e. INFORMATION LEAK: Valor 6.6

    3.    ¿Qué herramientas habrías utilizado para identificar estas vulnerabilidades?

    Para identificar las vulnerabilidades utilizaría tanto Nessus como Openvas, Nessus por
    la calidad de la información entregada en su reporte y Openvas por la calidad y
    cantidad de información entregada. En tanto para cuantificar el riesgo utilizaría:
    https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator ya entrega datos gráficos para
    ser presentados a nivel más fácil.

    También podría gustarte