El projecte de desenvolupament d’una metodologia, de lliure distribució i ús, per a la realització de les proves de verificació del nivell de seguretat acaba de publicar la versió 1.0 del document. Es tracta d’un manual, adreçat a la comunitat professional de la seguretat informàtica, on es descriuen el conjunt mínim de proves a realitzar.
El manual, que és útil tant per als professionals de seguretat com pels administradors de sistemes, indica el seguit d’accions a realitzar en les proves de penetració, “hacking ètic” i anàlisi de la seguretat de la informació. L’objectiu, per tant, és oferir un marc estàndard per a la realització d’aquest tipus de valoracions de seguretat.
Per al desenvolupament del manual s’han tingut en compte diverses normatives legals (entre les que s’inclou la llei de protecció de dades espanyola), el que pot permetre la utilització d’aquesta metodologia per a l’anàlisi del grau de compliment d’aquestes lleis.
El procés de proves inclòs a la metodologia inclou els següents àmbits:
- Anàlisi de la xarxa
- Anàlisi de ports
- Identificació de sistemes
- Proves de debilitats a sistemes sense fils (“wireless”)
- Verificació de serveis.
- Web
- Correu
- Servidor de noms
- Documents visibles
- Virus i troians
- Determinació de vulnerabilitats
- Identificació d’"exploits"
- Verificació manual de vulnerabilitats
- Verificació d’aplicacions
- Verificació de tallafocs i ACL
- Revisió de la política de seguretat
- Revisió dels sistemes de detecció d’intrusions
- Revisió dels sistemes de telefonia
- Obtenció d’informació
- Serveis de notícies, notes de premsa i informacions facilitades per la pròpia empresa
- Ofertes de treball
- Newsgroups
- Cracks, números de sèrie i "underground"
- FTP y Gopher
- Web
- P2P
- Enginyeria social
- Verificació de sistemes "protegits"
- Anàlisi de contrasenyes
- Denegació de servei
- Revisió de la política de privacitat
- Anàlisi de cookies y problemes a la web
- Revisió de fitxers de registre d’activitat
Malgrat que el document encara no ha assolit tot els seus objectius, en el seu format actual és una guia força bona. Al tractar-se d’un projecte obert, distribuït sota la llicència GNU, totes les contribucions són molt ben rebudes.
La versió actual del document està disponible en anglès, en format HTML, PDF i PS.
Més informació:
Open-Source Security Testing Methodology Manual
http://www.ideahamster.org
Llistes de distribució del projecte
http://sourceforge.net/mail/?group_id=21393
Versió original en català d'aquesta notícia
http://www.quands.com/articles/html/osstmm.html
Xavier Caballé
xavi@quands.com
|
