ESW151

Éste es el curso inicial introductorio y  se estudiarán los conocimientos básicos necesarios para la correcta asimilación de los siguientes cursos de Hacking Ético Web y la de Securización de Entornos Web cuya finalización de estos dos cursos le acreditará con la certificación PAWS. Este primer módulo esta orientado a aquellos con menos conocimientos en lo referente al funcnioamiento y configuración de  servidores web como Apache o IIS también de los lenguajes de programación usados en implantaciones web, tales como html, php, Sql, etc asi como de las bases de datos que dan soporte a las aplicaciones Web como por ejemplo Mysql.

Es un curso introductorio básico que no pretende ser en si mismo ser un curso completo de desarrollo web, pero si se centra en adquirir los conociemientos necesarios para comprender posteriormente las vulnerabilidades que pueden encontrarse en las páginas web.

El énfoque práctico y dirigido al ámbito de la seguridad informática aporta grandes dosis de asimilación a personas no familiarizadas con servidores web o elementos básicos de programación.

ESW152: 

Este curso se centra en el estudio, análisis, explotación y contramedidas de vulnerabilidades web tales como SQL Inyection, BlindSQL,TBlindSQL,XSS,LFI,RFI,CSRF,LFD,etc.

Se realizarán prácticas en entornos diseñados para la explotación de vulnerabilidades Web mediante el uso de navegador y herramientas especializadas tales como (sqlmap,acunetix,W3af,metasploit,Beef,...etc). También se estudiarán casos reales de las consultorias de seguridad realizadas por CanalSeguro.

No cabe duda de que la mejor forma de poder proteger cualquier sistema informático es conociendo todas las posibles formas de vulnerarlo.

ESW153

Con este curso se cierra el ciclo de esta series de cursos pertenecientes a la certificación PAWS, dotando al alumno de los conocimientos necesarios en varios ámbitos de la securización de entornos Web. Abarcan desde el estudio de diversas técnicas de handering de sistemas, configuración de servidores web,técnicas de desarrollo seguro hasta el uso de aplicaciones específicas tales como web firewall, web honey pots, etc o el análisis y recuperación de implantaciones Web ya vulneradas.

La gran experiencia de nuestro equipo de consultores que durante años a trabajado tanto con un gran número de empresas privadas como de organismos, posibilita que tanto las consultorías como la formación en Seguridad Informática y de la información se realicen desde el prisma de la realidad, lo cual aporta mayor capacidad de análisis y por lo tanto también de resultados totalmente óptimos  en el desempeño de nuestros trabajos .

Nuestra cultura  orientada a la formación y la divulgación en temática de Seguridad Informática  es un pilar base de nuestros objetivos. El personal de CanalSeguro se mantiene constantemente formado y certificado por instituciones estrechamente ligadas a la seguridad, tales como  BCI,ISPA,CISA,WSPA,WIPA.

El equipo de NOVA Informática + CanalSeguro no sólo domina las mas novedosas aplicaciones software especializadas en consultoría de seguridad informática, también desarrollamos las herramientas específicas para cada situación que nos permiten agilizar nuestros procesos y obtener una fuente de datos mas amplia y fiable.

Por lo señalado, NOVA Informática + CanalSeguro es su potencial aliado para los principales retos que la seguridad informática nos plantea hoy dia.

El equipo de Tiger Team de  (NOVA Informática + CanalSeguro) realiza exhaustivas auditorias de seguridad, para que disfrute de sistemas seguros, libres de virus, ,ataques a servidores Web,ftp,malware, pishing y cualquier ataque que pueda dañar o poner en peligro el sistema informático de su empresa asi como del correcto desempeño de sus servicios.

En el trabajo de la seguridad informática , un Tiger Team es un grupo especializado que pone a prueba la capacidad de una organización para proteger sus activos, tratando de eludir las defensas informáticas implantadas, o de otra manera frustrar la seguridad interna y externa de esa organización.

• Auditoria Externa

Son ataques generados desde fuera de la organización (perímetro de red). Se realiza a servicios externos de la empresa por ejemplo Webs, servidores FTP, SSH etc.

También se desarrollan todos los trabajos referentes a la norma OSINT. La inteligencia de fuente abierta (OSINT) es una forma de gestión de la inteligencia  que consiste en encontrar, seleccionar y adquirir información de fuentes públicas y analizarla para producir inteligencia procesable. En la comunidad de inteligencia (CI), el término "abierto" se refiere a la abierta, fuentes de acceso público (a diferencia de las fuentes encubiertas o clasificada).

• Algunos de los test que se realizan en la Auditoria Externa:

• Ataques de Reconocimiento.
• Detección de conexiones externas.
• Obtención de rangos de direcciones en Internet.
• Detección de protocolos.
• Scanning de puertos TCP,UDP.
• Análisis Dispositivos de comunicaciones
• Análisis de seguridad de conexiones remotas.
• Scanning de vulnerabilidades.
• Ingeniería Social.
• Prueba de ataques de denegación de servicio.
• Ejecución de código Exploit aplicable.
• Information Gathering
• DNS Stuff

• Auditoria Interna

Son ataques generados desde dentro de la organización, para saber qué haría un empleado o un intruso.

• Full-knowledge, excelente para mostrar a su entidad todas las debilidades posibles de su organización. El security tester tiene pleno conocimiento del objetivo, dicha información será entregada por el cliente, antes de iniciado el test, el cliente tiene pleno conocimiento de las tareas a realizar por el security tester y del como y el cuando.

• Double-blind, usado para medir los procedimientos y habilidades de su team interno de seguridad. El Security Tester, no cuenta con ninguna información del objetivo y el cliente no cuenta con información sobre las tareas a realizar por el security tester, como así tampoco sobre el cuando.

• Targeted, auditoria para probar la fortaleza de un sistema particular. El security tester tiene pleno conocimiento del objetivo, dicha información será entregada por el cliente, antes de iniciado el test, el cliente no cuenta con información sobre las tareas a realizar por el security tester, como así tampoco sobre el cuando.

Algunos de los test que se realizan en la Auditoria Interna:

• Análisis de protocolos internos.
• Test a nivel de autenticación de usuarios.
• Análisis de la seguridad de los Servidores.
• Nivel de detección de la intrusión de los sistemas.
• Análisis de la seguridad de las estaciones de trabajo.
• Ejecución de código exploits
• Intento de DOS desde la red interna.
• Keylogging
• Lectura de tráfico de red para la obtención de usuario y password, lectura de correos, etc.

• Auditoria Inalambrica

Son ataques generados desde fuera y desde dentro de la organización . Se realiza a servicios Wireles de la entidad, por ejemplo a los diferentes routerWiFi y puntos de acceso instalados.

Los test que se realizan se dividen en 2:

• Activos
• Snifing
• Análisis de Tráfico
• Pasivos
• Suplantación
• Reactuación
• Modificación
• DoS

Algunos de los test que se realizan en la Auditoria Inalambrica:

• Test Intrusión en redes inalámbricas protegidas mediante WEP.
• Test Intrusión en redes inalámbricas protegidas mediante WPA/PSK
• Obtención de claves WPA2/PSK
• Test exploit a elementos hardware (Routers y puntos de acceso)
• Test DoS

• Auditoria Ingeniería Social

En el campo de la seguridad informática, ingeniería social es la práctica de obtener información confidencial a través de la manipulación de usuarios legítimos. Es una técnica que pueden usar ciertas personas, tales como investigadores privados, criminales, o delincuentes computacionales, para obtener información, acceso o privilegios en sistemas de información que les permitan realizar algún acto que perjudique o exponga la persona u organismo comprometido a riesgo o abusos.

El principio que sustenta la ingeniería social es el que en cualquier sistema "los usuarios son el eslabón débil".

• Presencial: Nuestros profesionales se presentan en la dependencias suplantando identidades para intentar extraen la información

• Telefonica: Nuestros profesionales realizan llamadas telefónicas para inducir a los empleados  a realiza una acción crítica para la seguridad corporativa y medir el índice de peligro.

• Email: Intentar obtener una acción utilizando el medio de correo electrónico enfocado a ciertos perfiles.

• Hibrida: Combinación de las anteriores

• Auditoria Física

La seguridad física garantiza la integridad de los activos humanos, lógicos y materiales.

Los elementos que se contemplan:

• Ubicación de edificios
• Ubicación del CPD dentro del edificio
• Compartimentación
• Elementos de construcción
• Potencia eléctrica
• Sistemas contra incendios
• Control de accesos
• Seguridad de los medios
• Medias de protección
• Duplicación de medios
• Equipos personales

Curso Analista en Seguridad Informática y de la Información