Hacking Ético para la Reducción de Ciberataques

LA CONTRATACION DEL SERVICIO DE UN HACKER ETICO PARA LA DISMINUCION
DE ATAQUES CIBERNETICOS
KEVIN NICOLAS ROJAS RODRIGUEZ
DOCENTE: NURY SILVA
SEPTIEMBRE 2022
PLANTEAMIENTO:
Por más que la tecnología haya diseñado toda una serie de recursos para prevenir,
detectar y evitar ataques cibernéticos, las empresas no dejan de estar expuestas a ser
asaltadas de diversas formas por personas o compañías que desean obtener información
confidencial de manera ilegal.
Ante este riesgo las empresas no tienen otra opción más que elaborar una
estrategia integral para impedir ciberataques que pueden acarrear consecuencias
altamente costosas en muchos aspectos; compañías manufactureras, dadoras de servicios,
instituciones educativas, medios de comunicación, centros médicos, retails, instituciones
financieras y otro tipo de empresas están obligadas a contar con una serie de instrumentos
efectivos que contrarresten los ciberataques
Los ciberataques a empresas pueden realizarlos hackers individuales –externos o
internos de una empresa– que operan de manera personal y que por lo general buscan
beneficiarse económicamente; empresas que buscan información de la competencia para
conocer sus proyectos, estrategias, lista de clientes, estadísticas, planes de distribución,
conexiones, información financiera, marketing, etc. Incluso gobiernos y agrupaciones
políticas que intentan obtener datos para beneficio propio.
Las consecuencias que traen consigo estos ciberataques son: pérdida de dinero y
gastos extraordinarios, según la pagina watchandact.eu
Pero existe una consecuencia más grave según la empresa TELCEL, en su
artículo “consecuencias fuga de datos por ciberataques” enunciando que cuando se lleva a
cabo un ciberataque a una empresa la cual es la afectación de su imagen y por tanto el
riesgo de perder clientes y mercado, lo que puede generar secuelas verdaderamente
dañinas en la estabilidad y rentabilidad empresariales; esto es, que la vulnerabilidad que
muestra el haber sido víctima de un ciberataque significativo puede crear desconfianza en
las empresas con que se relaciona una compañía –bancos, instituciones financieras,
proveedores, distribuidores, etc.– así como en sus clientes, que con toda razón podrían
tener reparos en seguir o iniciar una relación con un negocio que fue ciber atacado.
PREGUNTA PROBLEMA
¿De qué manera la contratación del servicio de hacking ético ayuda a la disminución de ataques
cibernéticos en las empresas?
OBJETIVO GENERAL
Determinar como la contratación de un servicio de hacking ético puede disminuir la posibilidad de que
una empresa reciba un ataque cibernético
OBJETIVO ESPECIFICO
1.
Concretar términos claves como: Hacker ético, seguridad informática, ataque cibernético
2.
Definir la forma y la efectividad de como un hacker ético beneficia a la ciberseguridad
de una empresa
3.
Analizar el costo-beneficio de la protección de la información en las empresas que
contratan el servicio de hacking ético
HIPOTESIS
La contratación de un servicio de hacking ético es efectiva para salvaguardar la información
determinante de una empresa
ESTADO DEL ARTE
●
William Andres Sarmiento Acosta, Elkin German Rodriguez Vasquez, proyecto(
Definición de una metodología personalizada de hacking ético para empresas públicas de
cundinamarca S.A.E.S.P y ejecución de un prueba a la página web y a los servidores de la
entidad soportada sobre la metodología definida)Empresas Públicas de Cundinamarca
S.A ESP es una entidad en formación pues hace 8 años que fue constituida y continúa
actualmente en un proceso constante de mejora en todos sus componentes administrativos
y funcionales, en la actualidad no se tiene evidencia de la realización de pruebas de
seguridad informática de alguna índole que le permita a la entidad determinar en qué
condiciones se encuentra en lo que respecta a las normas y estándares aplicables a la
seguridad de la información. Los procesos en el área de tecnología están dirigidos a
fortalecer los sistemas de información, algunos de los cuales aún se encuentran en
desarrollo, así como garantizar el almacenamiento y disponibilidad permanente de la
información que manejan los funcionarios y contratistas. (William Sarmiento, Elkin
Rodriguez,2019)
●
Javier Alexander Joya Cruz, Carlos Serjeif Sacristán Hernandez, proyecto(Desarrollo de
una Propuesta de Mitigación de Riesgos y Vulnerabilidades en Activos Lógicos para la
Empresa Javesalud I.P.S.) Abarca el desarrollo de una propuesta de controles para la
mitigación de riesgos y vulnerabilidades, para JAVESALUD IPS, esto con el propósito
de mejorar la confidencialidad, disponibilidad e integridad de la información manejada y
procesada en la empresa. Para desarrollar la propuesta, se aplicarán herramientas
concernientes a los modelos de análisis y evaluación de riesgos que permitan detectar las
vulnerabilidades existentes en la seguridad de los activos lógicos de la entidad(Javiera
Joya, Carlos Sacristan,2017)
●
Oscar Guillinta Chavez, Jose Luis Merino Rivera, Proyecto (Modelo de prevención y
defensa contra ataques cibernéticos basado en estándares de seguridad internacionales
para it-expert) La propuesta de solución final del presente proyecto es un Modelo de
prevención y defensa basado en estándares de seguridad internacionales. Para tal efecto,
se requiere el uso de estándares que se encuentren alineadas a las mejores prácticas y
permitan brindar una propuesta de calidad(Oscar Chavez, Jose Merino,2016)
●
Arellano Alberto, Gloria Nataly Huilca Chicaiza, Proyecto (Hacking ético para detectar
vulnerabilidades en los servicios de la intranet del Gobierno Autónomo Descentralizado
Municipal del Cantón Cevallos, Ecuador) El hacking ético consiste en una penetración
controlada en el sistema operativo de una empresa, en la que se busca sacar información
privada y determinante de la misma. Por lo cual en este proyecto se usó el hacking ético
para detectar alguna vulneración presente en los servicios de la intranet del Gobierno
Autónomo Descentralizado Municipal del Cantón Cevallos
●
Placeres Salinas, Sandra Imelda; Torres Mansur, Sandra Maribel & Barrera Espinosa,
Azalea,Mexico, Proyecto (Ventajas del hacking ético para las organizaciones). Las
organizaciones manejan información sumamente importante y crítica para su negocio,
apoyándose de las tecnologías de información y sistemas para automatizar procesos y
lograr ventaja competitiva; y así mantenerse en el mercado para subsistir; sin embargo,
existen riesgos informáticos, por lo que pudieran tener comprometida su seguridad;
dichos riesgos están a la orden del día y requieren identificar los que están asociados a su
negocio para poder estar debidamente protegidos y evitar pérdidas tanto de información
como económicas, ya que puede interrumpir su funcionamiento. Se requiere la
consultoría de un profesional de seguridad llamado “Hacker ético”, el cuál detectará las
vulnerabilidades y riesgos a los cuáles la empresa está expuesta y recomendar la solución
más conveniente. El objetivo de esta investigación es que las empresas conozcan en que
consiste y cuáles son las ventajas del hacking ético para identificar sus vulnerabilidades y
riesgos, para enfrentarlos sin que estos les afecten de una manera importante.
MARCO CONCEPTUAL
El hacking ético es una rama de la tecnología la cual se centra en la ciberseguridad, softwares, etc. Por lo
cual las empresas contratan este servicio para poder encontrar vulneraciones dentro de su sistema
y poder arreglarlo para así tener una disminución de recibir un ataque cibernético. Para entender
mejor la función, tipos de hacker, diferencia entre estos tipos de hackers, se presentan los
siguientes conceptos
●
Confidencialidad: Propiedad que permite que la información esté disponible o sea
revelada a personas, entidades o procesos autorizados.
●
Vulnerabilidad: Una vulnerabilidad es un estado de debilidad en un sistema informático
(o conjunto de sistemas) que afecta las propiedades de confidencialidad, integridad y
disponibilidad de los sistemas. (MINTIC,s.f)
●
Caja Blanca: En el caso de contar con información previa detallada de la organización
●
Caja Gris: En el caso de contar con información parcial de la organización.
●
Caja Negra: Aquellas auditorías que se realizan sin información previa por parte de la
organización.
●
Ethical Hacking: Es una serie de pruebas o test denominados “Test de penetración” cuyo
objetivo es poder burlar las diferentes vallas de seguridad que tiene la red para diferentes
organizaciones, con la única intención de probar su efectividad, o por el contrario,
demostrar la vulnerabilidad de aquel sistema
●
Análisis de Vulnerabilidades: Por medio de herramientas especializadas en análisis de
vulnerabilidades, se realiza un análisis a los dispositivos del cliente con el fin de
identificar los riesgos sobre las aplicaciones y servicios que soportan estas. (Iniseg, 2018)
●
Penetration Test: Una prueba de penetración consiste en pruebas ofensivas contra los
mecanismos de defensa existentes en el entorno que se está analizando. Estas pruebas
comprenden desde el análisis de dispositivos físicos y digitales, hasta el análisis del factor
humano utilizando Ingeniería Social. (Fernando Catoira, 2012)
●
Hackers black hat: Son aquellos hackers que usan su conocimiento en ciberseguridad
para hacer actos ilícitos, es decir, conocidos como ciberdelincuentes, ingresando a
sistemas de empresas sin una previa autorización robando información, extorsionando,
filtrando datos importantes de la empresa, dentro de este tipo de hackers se encuentras
dos subdivisiones de los mismos el primero son los crackers, son aquellos que afectan los
softwares del sistema al que ingresen utilizando malware, los segundos son los phreakers,
aquellos que se introducen a las redes de telecomunaciones. Según CEUPE (Centro
Europeo De Postgrado) en su blog “¿Qué es el hacking ético? Elementos y tipos”
●
Software: Según el centro de innovación y soluciones empresariales y tecnológicas
software es “también referido a él con la abreviatura SW, es una palabra que proviene del
inglés y que da significado al soporte lógico de un sistema informático, es decir, es la
parte no física que hace referencia a un programa o conjunto de programas de cómputo
que incluye datos, reglas e instrucciones para poder comunicarse con el ordenador y
que hacen posible su funcionamiento”
● Malware: Según el centro de innovación y soluciones empresariales y tecnológicas
“Malware, nace de la unión de los términos anglosajones malicious y software también
conocido como software malicioso. El término hace alusión a todo tipo de programa o
código informático malicioso cuya función es dañar un sistema o causar un mal
funcionamiento. Se instala en el ordenador sin el consentimiento de su propietario.”
● Hackers Grey hat: Son aquellos hackers que usan su conocimiento basándose en las
condiciones que operen, es decir, aquellos que dan su conocimiento a agencias de
inteligencia empresas grandes o entes gubernamentales, depende de su ética y el lugar en
el que estén presentes. Según CEUPE (Centro Europeo De Postgrado) en su blog “¿Qué
es el hacking ético? Elementos y tipos”
● Hackers White hat: Estos son conocidos como los “Hackers éticos”, aquellos que prestan
su conocimiento para encontrar fallas en sistemas de ciberseguridad, detectando fallas
dentro de estos mismos y posteriormente dando una solución para estos. Son capaces de
mejorar notablemente la ciberseguridad del sistema en el que operen. Según CEUPE
(Centro Europeo De Postgrado) en su blog “¿Qué es el hacking ético? Elementos y tipos”
● Hacker Newbies: Son los mismos hackers éticos, pero con la diferencia de que estos no
tienen o tienen una mínima experiencia en el campo en el que laboren, es decir, hackers
novatos
● Hackers Hacktivistas: Son aquellos hackers que utilizan su conocimiento para atentar
contra sistemas de redes informáticas de funcionalidad política. Como es el caso del
grupo ANONYMOUS, ya que estos usan su conocimiento para divulgar información
privada del estado haciéndola pública. Según CEUPE (Centro Europeo De Postgrado) en
su blog “¿Qué es el hacking ético? Elementos y tipos”
MARCO TECNOLOGICO
En la sociedad los hackers están teniendo un gran impacto puesto a que hoy el mundo se
centra en la tecnología, computadores, etc., haciendo que los hackers y hackers éticos tengan más
relevancia en diferentes campos y ramas de la tecnología, sin embargo, esto mismo genera que
personas y/o empresas estén más vulnerables a los ciberataques al estar conectados con el mundo
a través del internet. Entendiendo que el hacking ético no es malo, es importante saber las
acciones que necesitan hacer para el interés y bien de la sociedad.
Teniendo en cuenta lo anterior, Miguel Ángel Sánchez Ávila estudiante de la universidad piloto
de Colombia, en su trabajo de especialización (Hacking Ético: Impacto En La Sociedad) enuncia
que “En el mundo actual, ninguna empresa está sin la utilización de TI para la ejecución de sus
procesos. Con el apoyo de la tecnología toda la información se crea, modifica y envía de forma
electrónica. Debido a esta razón, se puede decir que todas las transacciones comerciales se
realizan de forma electrónica. Con el crecimiento de la Internet, existen una serie de sitios web
de compras y subastas que influyen en los clientes para vender sus productos en línea. Estos
sitios están dando muy buenas ganancias y agilizan en la adquisición de nuevos productos sin
importar la ubicación de los clientes. Es muy fácil para un hacker ético comprar una cantidad de
bienes y servicios sin pagar la cantidad porque saben que pueden hacerlo fácilmente. Incluso
pueden usar los datos personales de otros o la información de cuenta para sus propios propósitos.
Realmente es un hecho difícil que algunos programadores de computadoras sean muy buenos y
éticos y estén haciendo su trabajo de manera efectiva y correcta, pero pueden usar su habilidad
cuando lo necesiten.”
En su mayoría las empresas del sector financiero son las que presentan mayor intento de hackeo
a razón de estar ligadas al tema de economía y uso del dinero, según la investigación realizada
por Check Point menciona que “con respecto a los sectores económicos en los que más se
materializan este tipo de amenazas cibernéticas, según la investigación, son los minoristas,
mayoristas, distribuidores y el sector gubernamental y militar.”. Sin embargo, sin tener en cuenta
el sector en el que se ubiquen si no se toman medidas de seguridad para su propia información
pueden ser víctimas de un ataque cibernético.
DISEÑO METODOLGICO
1. Objetivo específico 1: Concretar términos claves como: Hacker ético, seguridad
informática, ataque cibernético
Descripción
Fases
Fase 1:
Concretar
términos
claves como:
Hacker ético,
seguridad
informática,
ataque
cibernético
Instrumentó de
recolección de Datos
Actividad 1: Consultar
acerca de las
definiciones pertinentes
para la compresión del
tema
Tarea 1: Definir:
Hacker ético, seguridad
informática, ataque
cibernético
Tarea 2: Establecer la
relación entre los
términos definidos y el
tema abordado
Cronograma
Jul. Ago. Sep. Oct.
Tabla bibliográfica
Esquema de relación.
2. Objetivo específico 2: Definir la forma y la efectividad de como un hacker ético beneficia
a la ciberseguridad de una empresa
Fases
Fase 1:
Definir la
forma y la
efectividad de
como un
hacker ético
beneficia a la
ciberseguridad
Descripción
Instrumentó de
recolección de Datos
Actividad 1: Consultar
funciones de un hacker
m
ético
Tarea 1: Determinar
las cualidades
necesarias de un
Tabla bibliográfica
Cronograma
Jul. Ago. Sep. Oct.
de una
empresa
hacker ético para
cumplir con su
objetivo
Tarea 2: Relacionar la
forma y la efectividad
de las funciones de un
hacker ético para el
beneficio de las
empresas
Esquema de relación
3. Objetivo específico 3: Analizar el costo-beneficio de la protección de la información en las
empresas que contratan el servicio de hacking ético
Fases
Fase 1:
Analizar el
costobeneficio de
la protección
de la
información
en las
empresas que
contratan el
servicio de
hacking ético
Descripción
Instrumentó de
recolección de Datos
Actividad 1: Consulta
Bibliográfica o web
grafica
Tarea 1: Hacer una
relación de costobeneficio de la
contratación de este
servicio
Tarea 2: Realizar un
análisis de los
beneficios de
Cronograma
Jul. Ago. Sep. Oct.
Esquema de relación
Matriz de comparación