auditoría de seguridad informática

12 HERRAMIENTAS GRATUITAS PARA ASEGURAR PÁGINAS WEB

Posted on

Una de las conversaciones de tendencias en tecnologías de la información es la seguridad Web. ¿Sabías que el 96% de las aplicaciones probadas tienen vulnerabilidades? A menudo prestamos atención a la página web de diseño, SEO, contenidos y subestimamos el área de seguridad en páginas web. En un sitio web, la auditoría de seguridad informática debe tener una importancia más alta que cualquier otra cosa.

Uno de los elementos esenciales para la seguridad web consiste en vigilar por lo que recibirás una notificación cada vez que está este caído o hackeado. Mientras que las herramientas te ayudarán a escanear tu sitio web bajo demanda puede que sea mejor programarlos para una auditoria de seguridad informática automática según expertos de International Institute of Cyber Security IICS. Estas herramientas ayudarían implementar seguridad en páginas web. En este artículo, vamos a enumerar herramientas gratuitas para escanear tu sitio web en busca de vulnerabilidades de seguridad web y malware.

 

SCAN MY SERVER

scan-my-server

Scan My Server proporciona uno de los informes más completos de las variedades de auditoría de seguridad informática como Inyección SQL, Cross Site Scripting, PHP Inyección, Source Disclosure, HTTP Header Inyección, Blind SQL Inyección y mucho más. El informe de análisis de seguridad web es notificado por correo electrónico con el resumen de vulnerabilidades.

SUCURI

sucuri

Sucuri es el sitio web gratuito más popular para escáner malware y la seguridad en páginas web. Usted puede hacer una prueba rápida para malware, listas negras de sitios web, SPAM y desfiguraciones inyectadas. Sucuri limpia y la protege tu sitio web contra amenazas en línea y funciona en cualquier tipo de plataformas, incluyendo el sitio web de WordPress, Joomla, Magento, Drupal, php,etc.

 

SITE GUARDING

site-guarding

Site Guarding ayuda a escanear tu dominio en busca de malware, listas negras de sitios web, Spam inyectados, vulnerabilidades de seguridad web, desfiguración y mucho más. El escáner es compatible con WordPress, Joomla, Drupal, Magento, osCommerce, Bulletin y otra plataforma. SiteGuarding también te ayuda a eliminar el malware de tu sitio web por lo que si tu página web se ve afectada por virus, te será de utilidad para implementar seguridad en páginas web.

 

DETECTIFY

detectify

Detectify es un escáner de seguridad web basado en SaaS. Esto tiene más de 100 pruebas de seguridad automatizadas incluyendo OWASP Top 10, malware y mucho más. Detectify ofrece una prueba gratuita de 21 días y usted debe registrarse para poder realizar una auditoría de seguridad informática de tu página web.

 

ACUNETIX

Acunetix-Web-Vulnerability-Scanner

Acunetix analiza tu página web completa para más de 500 vulnerabilidades de seguridad web incluyendo DNS y la infraestructura de red de los servidores de Acunetix. Proporcionan una prueba gratuita de 14 días y puedes registrar y validar tu dominio antes de la auditoría de seguridad informática.

 

WEB INSPECTOR

web-inspector

Web Inspector explora tu sitio web y proporciona informes, inclusive la lista negra, vulnerabilidades de seguridad web, phishing, malware, gusanos, puertas traseras, troyanos, marcos sospechosas, las conexiones sospechosas según expertos de International Institute of Cyber Security IICS. Por lo tanto, sigue adelante y realiza una auditoría de seguridad informática para saber si está seguro o no.

 

TINFOIL SECURITY

Tinfoil Security

 

Tinfoil Security primero hace la auditoría de seguridad informática de tu sitio web en contra de las 10 principales vulnerabilidades de OWASP y luego otros orificios de seguridad web conocidos. Usted recibirá informes procesables y la opción de volver a escanear una vez que haya terminado con las correcciones necesarias. La configuración tomará alrededor de 5 minutos y se puede escanear incluso si tu sitio web está protegido.

 

QUTTERA

quettera

Quttera revisa la seguridad en páginas web para el malware y las vulnerabilidades de seguridad web. Escanea tu sitio web para archivos maliciosos, archivos potencialmente sospechosas, archivos sospechosos, PhishTank, Navegación segura (Google, Yandex) y la lista de dominios de malware.

 

QUALYS SSL LABS, QUALYSFREESCAN

qualys-server-test

SSL Labses una de las herramientas más usada para analizar servidores web SSL. Proporciona una auditoría de seguridad informática profunda de tu https URL incluyendo el día de vencimiento, calificación global, cifra, SSL / TLS versión, simulación de Handshake, detalles del protocolo y mucho más acuerdo a los expertos de iicybersecurity IICS. Si estás ejecutando un sitio web seguro (https), no se debes esperar más para hacer una prueba de seguridad en páginas web.

Esto pone a prueba el sitio web contra el top de riesgos OWASP y malwares, contra el índice de referencia de seguridad SCP y mucho más. Es necesario registrar una cuenta gratuita para poder realizar este escaneo.

NETSPARKER CLOUD

netsparker-cloud

Netsparker Cloud es un escáner de seguridad web empresarial, que escanea más de 25 vulnerabilidades críticas acuerdo a los expertos de iicybersecurity IICS. Netsparker es libre para otro proyecto de código abierto que se puede solicitar para el ensayo de la auditoría de seguridad informática.

UPGUARD WEB SCAN

upguard-webscan

UpGuard Web Scanes herramienta de evaluación de riesgo externo que utiliza la información a disposición del público para calificar de varios factores, incluyendo SSL, ataque Clickjack, Cookie, DNSSEC, Headers, etc. Está todavía en fase beta, pero vale la pena probar la seguridad web.

ASAFA WEB

asafaweb

AsafaWeb proporciona resultados rápidos de la auditoría de seguridad informática que incluye de Tracing, Stack trace, Hash Dos Patch, EMLAH log, HTTP Only Cookies, Secure Cookies, Clickjacking y mucho más.

 

Advertisements

Hacking y explotación de permisos de Active Directory

Posted on

Hacking y explotación de  permisos de Active Directory

PowerView es una herramienta de PowerShell para obtener información situacional de la red en dominios de Windows para profesionales de hacking ético y servicios de auditoría de seguridad informática. Contiene un conjunto de comandos PowerShell para varios “net *” comandos de windows, los cuales utilizan ganchos de PowerShell AD y las funciones de API de Win32 para llevar a cabo la útil funcionalidad de dominio de Windows explica expertos de servicios de seguridad informática.

Según los profesionales de hacking ético e investigadores de servicios de auditoría de seguridad informática PowerView implementa varios metafunciones útiles, incluyendo algunas funciones por cazar usuarios que se identifican donde los usuarios específicos se registran en la red. También puede comprobar cuál de las máquinas en el dominio tiene acceso de administrador local. Además existen varias funciones para la enumeración y el abuso de confianzas de dominio. Podemos ver descripciones de las funciones para el uso apropiado y las opciones disponibles en la herramienta.

Para ejecutar en una máquina, iniciar PowerShell con ” by-pass -exec powershell ” y luego cargar el módulo PowerView con: PS > Import-Module.\powerview.psm1 o carga el script PowerView por sí mismo: PS> Import-Module.\powerview.ps1

Para el resultado detallado de la funcionalidad, pase la bandera -Debug a la mayoría de las funciones. Para funciones que enumeran varias máquinas, pase la bandera -Verbose para obtener un estado de avance que cada host se enumera. La mayoría de las funciones de “meta” acepta un conjunto de hosts acuerdo con profesor de hacking ético y auditoría de seguridad informática.

Cómo utilizar PowerView para explotar Active directory

AdminSDHolder es un objeto de Active Directory especial situado en el “CN = AdminSDHolder, CN = System, DC = domain, DC = com”. El propósito de este objeto es proteger ciertas cuentas privilegiadas de modificaciones accidentales. Cada 60 minutos, un proceso especial denominado SDProp recurrentemente enumera la pertenencia de un conjunto de grupos protegidos, comprueba las listas de control de acceso para todas las cuentas descubiertas, y clona las ACL del objeto AdminSDHolder a cualquier objeto protegido con ACL diferente acuerdo con profesor de hacking ético.

Cualquier cuenta o grupo que es (o era) parte de un grupo protegido tiene su característica  AdminCount a 1, incluso si el objeto se mueve fuera de ese grupo protegido. Con PowerView, usted puede fácilmente enumerar todos los usuarios y grupos con AdminCount = 1 con Get-User-AdminCount y Get-NetGroup – AdminCount, respectivamente. Esto le permite encontrar rápidamente todas las cuentas de alto valor, incluso si ha mudado fuera de un grupo protegido. Invoke UserHunter también acepta una bandera – AdminCount, permitiéndole cazar fácilmente a todos los usuarios valorados alto en el dominio.

Si modifica los permisos AdminSDHolder, esa plantilla de permiso será empujada a todas las cuentas protegidas automáticamente por SDProp explica experto de servicios de seguridad informática. Así que usted puede añadir un usuario sin privilegios (incluso sin la pertenencia al grupo) a la ACL de AdminSDHolder y tienen un mecanismo de puerta trasera que permite modificar la pertenencia a grupos como dominio y administradores de la red.

Los accesos de Active Directory es un área relativamente inexplorada de desde una perspectiva ofensiva. Los defensores deben comenzar auditoría y monitoreo de los derechos de los objetos de dominio privilegiado específico, sobre todo la raíz del dominio y AdminSDHolder. Esto se puede hacer de forma manual o  a través de PowerView Get-ObjectACL  o tomar ayuda de expertos de servicios de seguridad informática.