Herramienta para testeo automático de IDS.

WinAUTOPWN es una herramienta automatizada para el descubrimiento de vulnerabilidades, ideal para realizar un testeo rápido de un IDS. Esta herramienta no se desarrollo con el propósito de competir contra otras aplicaciones similares como: Core Impact, Inmunity Canvas o Metasploit Framework. Lo que se pretende en WinAUTOPWN es tener una herramienta sencilla pero muy eficaz para la automatización de descubrimiento de vulnerabilidades y aprovechamiento mediante exploits.

Entre sus principales característica destaca:

• Contiene exploits compilados (binarios y ejecutables) de las vulnerabilidades más conocidas.
• Escanea puertos 1 al 65535 TCP después de reconocer la IP, ejecuta los exlpoits de acuerdo a la lista de puertos abiertos “Openports.TXT”.
• Realiza escaneo de puertos multihilo.
• No requiere ninguna base de datos en el back-end.
• La ejecución de exploits no se basa en técnicas de Fingerprinting, se realiza de forma independiente.
• No se necesita compilar el código fuente.

Es una herramienta para Windows ideal para realizar un testeo rápido de un IDS, debido a su eficacia y facilidad de uso.

Esta herramienta al poseer exploits puede ser detectada por algunos antivirus como infectada, es normal ya que posee el código de muchos exploits conocidos.

Más información de WinAUTOPWN:
http://winautopwn.co.nr/

Descarga de WinAUTOPWN:
http://089dc64a.seriousfiles.com/

Herramienta para identificar versiones de servicios de red.

Se trata de Vmap una herramienta disponible solo para Linux, que permite identificar versiones de servicios de red. Vmap identifica las versiones de los siguientes servicios: ftp, smtp, pop3, imap y http.

Su método de funcionamiento se basa en analizar las respuestas de los diferentes servicios y compararlas con su base de datos para identificar la versión del servicio.

Es una herramienta, muy útil para auditorias ya que identificando las versiones de los servicios se puede buscar las vulnerabilidades de los mismos.

Descarga de Vmap:
http://freeworld.thc.org/root/tools/vmap.tar.gz

Auditar seguridad de SSL.

Existen dos herramientas muy completas para auditar la seguridad de SSL: SSLScan y SSL Audit.

SSLScan.

Sirve para comprobar el tipo de cifrado SSL que utiliza un servicio. Es una herramienta para Linux que necesita el compilador GNU para C y la libreria OpenSSL.

Modo de empleo:

Comando:

sslscan [opciones] [host: puerto]

Opciones:

--targets=
Sirve para pasarle un archivo que contiene una lista de host para chequear. Los host se pueden suministrar con puertos puertos (es decir host: puerto).

--no-failed
No muestra los tipos de cifrado que no acepta el host.

--ssl2
Comprueba solamente el cifrado SSLv2.

--ssl3
Comprueba solamente el cifrado SSLv3.

--tls1
Comprueba solamente el cifrado TLSv1.

--pk=
Sirve para pasarle un archivo PKCS#12.

--pkpass=
La contraseña para PKCS#12.

--certs=
Pasarle un archivo que contiene PEM/ASN1.

--starttls
Introducir un STARTTLS para servicios smtp.

--HTTP
Prueba una conexión del HTTP.

-- bugs
Buscar bugs en SLL.

--xml=
Mostrar resultados de la salida en archivo de XML.

Más información y descarga de SSLScan:
https://www.titania.co.uk/index.php?option=com_content&view=article&id=56&Itemid=68

SSL Audit.

Es otra herramienta para comprobar el tipo de cifrado SSL. Que incorpora posibilidades de Fingerprint para identificar el motor SLL del servidor, esta última opción es experimental y según el autor reporta falsos positivos.

Identifica:

• IIS7.5 (Schannel).
• IIS7.0 (Schannel).
• IIS 6.0 (Schannel).
• Apache (Openssl).
• Apache (NSS).
• Certicom.
• RSA BSAFE.


Documentación de SSL Audit:
http://www.g-sec.lu/sslaudit/documentation.pdf
Descarga de SSL Audit:
http://www.g-sec.lu/sslaudit/sslaudit.zip

Estudio sobre el fraude a través de Internet (2007-2009).

El Observatorio de la Seguridad de la Información de INTECO hace públicos los resultados del "Estudio sobre el fraude a través de Internet (2007-2009)".

Metodología del estudio:

• Combina técnicas cuantitativas basadas en la percepción de los usuarios de Internet (32.484 encuestas distribuidas en ocho tomas de datos entre 2007 y 2009) con medidas objetivas de incidencia reales basadas los 128.325 análisis remotos de seguridad mensuales llevados a cabo a lo largo de este periodo en ordenadores domésticos.
• El diagnóstico se completa y enriquece con la información procedente del Repositorio del Fraude Electrónico de INTECO-CERT, que recopila información técnica a partir de los incidentes detectados por el propio INTECO-CERT y la Oficina de Seguridad del Internauta.

Entre los datos del estudio destacaría:

• El área de Servicios Reactivos y Operaciones de INTECO-CERT detectó 1.846 casos de phishing en 2008 y 1.959 en los tres primeros trimestres de 2009. Igualmente, identificó 2.191 URLs fraudulentas en 2008 y 1.810 en 2009 (hasta el mes de septiembre).
• Solo un 0,04% de los dominios .es de los 1.082.757 dominios .es existentes en 2008, estuvieron relacionados con intentos de fraude online. Esta tendencia, ha evolucionado en positivo, ya que de los 1.207.832 dominios .es que existen en 2009, el porcentaje de URLs fraudulentas no supera el 0,025%
• En el tercer trimestre de 2009, la mayor parte (44,4%) de las comunicaciones fraudulentas recibidas por los usuarios tenían origen en un supuesto banco. Por detrás de esta temática, las relacionadas con falsas webs de loterías y juegos de azar (33,7%), las webs de compras online (29,3%), operadores de telecomunicaciones (21,8%), redes sociales (20,7%) y las páginas de subastas (16,5%).
• El nivel de confianza en Internet para realizar operaciones económicas es alto: aproximadamente 6 de cada 10 usuarios muestran mucha o bastante confianza en la utilización de banca electrónica.
• El haber sufrido un intento (no consumado) de fraude no influye significativamente en los hábitos de uso de compra y banca electrónica: tras haber sufrido un intento de fraude, un 83,3% de los usuarios mantiene invariables sus hábitos de compra en Internet y un 90,3%, sus hábitos de banca electrónica. Las tasas de abandono son ciertamente minoritarias.

Estudio sobre el fraude a través de Internet (2007-2009):
http://www.inteco.es/Seguridad/Observatorio/Estudios_e_Informes/Estudios_e_Informes_1/Estudio_fraude