Reto de análisis forense

He estado ojeando los informes de los ganadores del reto (David Santos y Javier Suárez) y he podido sacar algunas conclusiones:

* No siempre los atacantes son hackers expertos.

El ataque se produjo, según los autores, por atacantes “sin unos conocimientos altos de informática y utilizando herramientas diseñadas por terceros”, explotando una “CONOCIDA VULNERABILIDAD” del servidor wuftpd, que permitia obtener un shell de root, “dejando la máquina a su merced SIN APENAS ESFUERZO”. Esto nos indica que un sistema no solo es vulnerable para hackers expertos, también lo es para personas sin altos conocimientos (llamados “script-kiddies” en el informe) que se aprovechan de vulnerabilidades conocidas en sistemas no actualizados o inseguros.

* Es fundamental mantener los programas actualizados.

Al hijo del punto anterior. Se deduce que es fundamental CONOCER NUESTROS SERVICIOS, actualizarlos, y estar al tanto de posibles vulnerabilidades que los hagan inseguros, actuando en consecuencia (actualizando el programa, o en su defecto, cambiarlo por otro más seguro). Cuando salen a la luz nuevas vulnerabilidades, normalmente en la nota también se explica el modo en que puede ser explotada.

* Las consecuencias pueden ser nefastas.

Cuando un atacante accede al sistema, PUEDE HACER CUALQUIER COSA. Desde tirar abajo todos nuestros servicios, hasta utilizarlo como estación base para ataques a otras máquinas (pudiendo dañar el nombre de la empresa). Por supuesto también podría acceder a información confidencial de la empresa, o provocar problemas legales si hubiera utilizado la máquina como servidor de spam.

Aparte de estas conclusiones que extraigo (como futurible administrador), los autores extraen muchas recomendaciones, comento las más importantes:

* La máquina no debe ser restaurada, sino que debe instalarse desde 0. Para asegurarse de que el sistema esté limpio, sobretodo si el ataque ha sido profundo.

* Modificar toda información confidencial modificable, por ejemplo las contraseñas. En el caso del ataque, se detectó que se enviaron las contraseñas encriptadas al menos a una dirección de correo.

* Se debe medir el alcance de los servicios. En este caso el ataque se produjo porque el servidor FTP permitía el acceso anónimo, quizás no era necesario habilitar dicha función. Así que hay que proporcionar el servicio limitando las funcionalidades a lo estrictamente necesario.

* Como he comentado antes, los autores también recomiendan seleccionar cuidadosamente las herramientas, verificando versiones y vulnerabilidades conocidas. En este caso la vulnerabilidad había sido detectado 2 años antes, y el parcha había sido lanzado y modificado por Red Hat muchos meses antes del ataque.

* Utilizar cortafuegos si la máquina va a estar expuesta a internet. Obviamente bien configurado.

* Revisar diariamente los logs. Esto puede hacer que cortemos la intrusión antes de que las consecuencias sean más graves.

* No se debe pensar que una máquina no es apetecible para los atacantes, por el mero hecho de que no posea información no es importantes. Muchas veces los ataques se producen de manera indiscriminada.