Soluciones de correo electrónico seguro de Sectigo (S / MIME)

Asegure su correo electrónico firmando digitalmente y encriptando las comunicaciones con nuestros certificados de correo electrónico, también llamados certificados de identificación personal.

Análisis de Vulnerabilidades Web

El equipo de hackers éticos de INFRASEG emulará un ataque desde internet hacia el portal web, desde múltiples direcciones y de manera concurrente y secuencial. Entre otros buscará:

  • Estado general de la aplicación instalada.
  • Revisión de permisos de directorios y archivos.
  • Revisión externa del servidor donde esta instala el sitio web y si posee los requisitos mínimos de seguridad en la configuración de software y protocolos.
  • Detección de malware instalado en la aplicación que pueda ocasionar problemas funcionales o reputacionales a la organización.

Siguiente a esto se realizan una serie de análisis de reconocimiento que constan de las siguientes actividades:

Browsing General:En una primera etapa se procederá a realizar una navegación general, como lo haría cualquier usuario común, con el fin de identificar posibles puntos de interés y validar los flujos a ser analizados.
Búsqueda de Formularios: Una vez identificados los puntos de interés se procederá a identificar todos los vectores de interacción con el usuario o ingresos de información dentro de los flujos definidos en el alcance.
Análisis de Cookies: Sabiendo que existen aplicaciones que basan el despliegue de su contenido y autenticaciones en el uso de cookies se utilizarán herramientas para el análisis de cookies y sesiones generadas. Este trabajo permitirá, en etapas posteriores, posibles suplantaciones e inyecciones de información.
Entre otras actividades Definidas por la experiencia del equipo y el OWASP Testing Methodology Guide

Una vez completado lo anterior se procederá a realizar una serie de pruebas, utilizando herramientas comerciales y de código abierto, con el fin de vulnerar el aplicativo a evaluar. A continuación, se presenta algunas de las pruebas a realizar en la aplicación:

Cross-Site Scripting Un Cross-site scripting es un tipo de vulnerabilidad informática o agujero de seguridad típico de las aplicaciones Web, que puede permitir a una tercera persona inyectar en páginas web visitadas por el usuario código JavaScript o en otro lenguaje similar.
SQL Injection Inyección SQL es un método de infiltración de código intruso que se vale de una vulnerabilidad informática presente en una aplicación en el nivel de validación de las entradas para realizar operaciones sobre una base de datos.
Análisis de Manejo de Sesiones El manejo de la sesión es uno de los aspectos críticos de la seguridad WEB. Los objetivos principales son:
  • Los usuarios autenticados tengan una asociación con sus sesiones robusta y criptográficamente segura .
  • Se hagan cumplir los controles de autorización.
  • Se prevengan los típicos ataques web, tales como la reutilización, falsificación e intercepción de sesiones.
Reverse Directory Traversal Un Reverse directory traversal consiste en explotar una vulnerabilidad informática que ocurre cuando no existe suficiente seguridad en cuanto a la validación de un usuario, permitiéndole acceder a cualquier tipo de directorio superior (padre) sin ningún control.
Ataques de Tipo Redirect Las aplicaciones web redirigen con frecuencia a los usuarios a una página de inicio de sesión cuando acceden a los recursos que requieren autenticación. Después de que el usuario se autentique, se le redirigirá a la dirección URL que había solicitado originalmente. Dado que la dirección URL de destino se especifica en la cadena de consulta de la solicitud, un usuario malintencionado podría alterar la cadena de consulta. Una cadena de consulta manipulada podría permitir que el sitio redirija al usuario a un sitio externo malintencionado. Esta técnica se denomina ataque de redirección abierta (o redirección).
Manipulación de Campos Escondidos Los programadores a menudo confían en el contenido de los campos ocultos, esperando que los usuarios no puedan verlos ni manipularlos. Los atacantes violarán estas suposiciones. Examinarán los valores escritos en los campos ocultos y los modificarán o reemplazarán los contenidos con datos de ataque.

Pentesting Externo

En este servicio los consultores de INFRASEG se posicionan en el exterior de su infraestructura y comienzan un ataque a distintos objetivos que nos permitan acceder a recursos internos o sólo afectar la disponibilidad de los servicios del cliente. Este servicio simula lo que un Ciberdelincuente haría parado en el perímetro externo de sus plataformas. Lo más común es revisar el sitio Web, redes Wifi y cualquier parte de la infraestructura expuesta a internet.

Pentesting Interno

En este servicio los consultores de INFRASEG se posicionan en el interior de su infraestructura y comienzan a analizar el entorno para luego efectuar un ataque para escalar privilegios y/o obtener o “escuchar” información desde la red interna. El fin de nuestro pentesting interno es tratar de llegar a ser superusuarios de las plataformas que encontremos. Este servicio simula un insider que puede ser un empleado disgustado o alguien que deliberadamente fue contactado para sustraer información a cambio de dinero o extorsión.

Ciertamente un insider puede hacer mucho mas daño que muchos ciberlidelincuentes desde el perímetro externo, ya que posee conocimientos, aplicativos de la institución, credenciales y permisos difíciles de obtener desde fuera.

Entre otros buscamos:

  • Servidores y dispositivos no parchados
  • Carpetas compartidas
  • Wifi interna insegura
  • Usuarios genéricos
  • Mal uso de passwords
  • Probar funcionamiento de sistemas internos (IDS/IPS)
  • Envío de información sensible al exterior, ej:
  • Números de tarjetas de crédito
  • Información de clientes
  • Documentos confidenciales