Instrucciones

·         Conoce la definición de Pruebas de penetración (Pentesting).

·         Identifica los tipos de vulnerabilidades.

●        Distingue los diferentes tipos de malware.

·         Reconoce los diversos ataques.

●       Identifica los actores que intervienen en un “pentesting”

·         Normativa relacionada con “pentesting”

●      Conoce los tipos de tipos de Pentesting (hackers)

o Pentesting de caja blanca − Objetivos y funciones

o Pentesting de caja gris − Objetivos y funciones

o Pentesting de caja negra. − Objetivos y funcione

·         Conoce que es un entorno controlado en una organización.

o Grados de conocimiento

o Caja blanca, gris y negra.

·         Identifica la organización jerárquica de la organización para llevar a cabo un pentesting.

•  Administración del recurso humano encargado del pentesting o Pentestings Internos y externos.
• Ventajas y desventajas
• Importancia del departamento de ciberseguridad en la organización

·         Diferencia los Tipos de metodologías para el “pentesting”

○ Metodologías vigentes.

·         Metodologías de Escaneo:

o   Fases

o   Procedimiento ○ Ventajas y desventajas.

● Explica los Modelos de amenazas en los sistemas informáticos.

 ● Exploits

 ● Shells (directo y reverso)

● Payloads

● Metasploits

• Conoce las diversas técnicas de explotación.
  

·         Identifica los procedimientos para análisis de vulnerabilidades.

o    Análisis de vulnerabilidades.

o    Procedimientos

·        Analiza las técnicas de explotación:

o   Explotación en Windows.

o   Introducción a Linux

o   Programación o Estructura general de un programa o Comandos básicos

·        Conoce los tipos de reportes de vulnerabilidades.

·        Desglose de vulnerabilidades encontradas o Propuestas de mitigación.

Presentación

Esta Unidad de Aprendizaje contribuye a conocer las diferentes técnicas y enfoques de Pruebas de Penetración a Sistemas Informáticos llamado en inglés “Pentesting” para su implementación y gestión en las organizaciones, aplicando las normas, técnicas y estándares nacionales e internacionales, así como mantener actualizadas las tecnologías de la información y comunicación enfocadas a la seguridad de sistemas y redes informáticas. Introduce al estudiante para que cuente con una visión de los modelos para tomar responsablemente decisiones sobre qué norma, estándar o técnica aplicar de acuerdo con las formas y usos que se esté aplicando en la organización. 

Objetivos

Los principales objetos del conocimiento que se adquirirán y serán cuerpo de las acciones o desempeños a

realizar son:

• Conocer las herramientas que se utilizan para realizar el Pentesting
• Saber configurar e instalar máquinas virtuales
• Conocer el Sistema Operativo Linux
• Conocer las redes de datos LAN, MAN y WAN

Justificación

Las competencias profesionales (generales y particulares) implican como principales objetos de conocimiento de las redes de datos por medio de las bases metodológicas, que podrá vincular con su entorno socioeconómico y laboral. Asimismo, en la particularidad del estudiante:

·         Instala y pone en operación un laboratorio de Pentesting

·         Sabe ejecutar comandos de Linux y tener el conocimiento necesario de redes.

Competencias y contenidos conceptuales que integra el programa de estudios

La Unidad de Aprendizaje de Pruebas de penetración a sistemas informáticos propone fortalecer en el estudiante la construcción de un ser analítico y responsable a fin de que colabore en su entorno, proponiendo metodologías de control y optimización aplicadas a Tecnologías informáticas a partir del conocimiento de las normativas ya existentes, y así difundirlas y aplicarlas en las organizaciones. 

Desarrollo de actividades de estudio

Temas teóricos:

·         Defina 3 tipos de hackers que se encuentran en el internet y sus características de cada uno

·         Definición de activo informático

·         Definición de amenaza

·         Definición de vulnerabilidad

·         Definición de Exploit y payload

·         Cuales son los servicios de Ethical Hacking

·         Actividades realizadas en la etapa de Reconocimiento en una Prueba de penetración

·         Actividades realizadas en la etapa de Enumeración en una Prueba de penetración

·         Actividades realizadas en la etapa de Análisis de Vulnerabilidades en una Prueba de penetración

·         Actividades realizadas en la etapa de Explotación en una Prueba de penetración

·         Menciona para que sirve la herramienta de NMAP

·         Menciona para que sirve la herramienta de DNSDumpster

·         Menciona para que sirve la herramienta msfconsole

·         Define que es Google Hacking

·         Define que es OSINT

·         Define que es Recolección de DNS

·         Define que es Geolocalización

·         Define que es huella digital

·         Define que es Inyección SQL

·         Define que es baiting

·         Define que es Web Spoofing

·         Define que es Denegación de Servicios

·         Define que es Phishing

 Examen práctico

1)       Podemos realizar este hackeo utilizando el concepto de MitM (Man-in-the-Middle)

a)       Abrimos 3 equipos virtuales:

·         Metasploit2 (Servidor Web vulnerable) con el usuario msfadmin y la misma contraseña

·         Metasploi3-workspace-win2k8  (Servidor con Windows 2008) con el usuarios Vgrant y la misma contraseña

·         Kali Linux (máquina atacante)

Podemos hacer uso de la herramienta Ettercap para la captura de usuario y contraseña entre la Metasploit2 y Metaesploit3. En su caso, también podemos hacer uso del WireShark (snnifer)

 2)      Escaneo de una red con NMAP con escaneo de puertos con UDP y TCP, ejecutados desde Kali Linux, como posible hacker dentro de una red, haciendo uso de las máquinas virtuales.

Bibliografía básica

• Solomongo CEH. (2022). ANALISIS DE VULNERABILIDADES: Riesgos y Amenazas. España: Solomongo. 
• Georgia Weidman. (2014). Penetration Testing: A Hands-On Introduction to Hacking