Unidad 12. Herramientas de análisis de vulnerabilidades

Una vez encontrada una vulnerabilidad de una aplicación, no se puede, sin más, instalar el parche, pues tal instalación puede tener efectos no deseados en otras aplicaciones del mismo sistema

• Falso, si fuera así no tendría sentido el uso de las herramientas analizadas en este capítulo

• Verdadero, por ello es necesario usar varias herramientas a la vez, que «parchean» varias herramientas en combinación, consiguiendo el efecto deseado

• Falso, no existe tal problema de incompatibilidad de aplicaciones

• Verdadero, la tecnología modular de creación de aplicaciones provoca, con frecuencia, estos problemas

Answer explanation

Entre las posibles complicaciones que hay que tener en cuenta la más importante puede ser la resultante de la complejidad modular de las aplicaciones y sistemas que se utilizan hoy en día. Lo habitual es obtener una lista de vulnerabilidades de un sistema en la que, al menos para alguna de ellas, se sepa que, si se aplica el «parche» correspondiente, se provoca que otros programas dejen de funcionar correctamente. A veces hay que convivir, durante un tiempo, con vulnerabilidades existentes que no se pueden subsanar

Cite una razón por la que estas herramientas, como cualquiera que se use en el entorno de seguridad, puede crear, a su vez, problemas de seguridad

• No hay ninguna razón, son completamente seguras

• Son inseguras, debido a su capacidad de cortafuegos, que las hace competir en la red con los verdaderos cortafuegos

• Son inseguras, pues pueden ser usadas por posibles atacantes de la red, para buscar agujeros de seguridad de sistemas y redes

• Son inseguras, pues no usan técnicas criptográficas comprobadas

Answer explanation

Estas herramientas pueden ser adquiridas también por alguien con intención de usarlas para un ataque

 ¿Cuál de las siguientes es una característica de todas las SCCA?

• Son todas de código abierto

• Analizan únicamente código fuente

• Son todas herramientas comerciales

• Pueden hacer un análisis en plena ejecución del código

Answer explanation

Las herramientas de análisis estático de seguridad de código fuente (SCCA) se pueden usar para examinar código heredado y también como herramienta rutinaria en el ciclo de desarrollo de software. El análisis estático de código fuente es una técnica de detección de errores que no requiere la ejecución del programa

¿Cuál de los siguientes datos no puede obtenerse mediante Nmap?

• Los equipos activos en la red analizada

• Los servicios IP activos en un equipo analizado

• Los usuarios permitidos en un equipo analizado

• La versión instalada del sistema operativo del equipo analizado

Answer explanation

map permite detectar los hosts activos en una red, qué tipos y versiones de sistemas operativos utiliza cada host, qué tipo de cortafuegos o filtros de paquetes se están utilizando, etc.

¿Cuál de las siguientes NO es una característica de Nessus?

• Es un producto gratuito

• Debe actualizarse con frecuencia

• Informa en detalle de cada vulnerabilidad encontrada

• Sugiere cómo solucionar cada vulnerabilidad encontrada

Answer explanation

Aunque en sus orígenes Nessus era de código abierto, pasó a un producto comercial de Tenable Network Security en el 2005

¿Cuál de las siguientes herramientas permite realizar auditorías de configuración en bases de datos SQL?

• SCA, Source Code Analyzer

• La herramienta Nmap

• La herramienta nslookup

• La herramienta Nessus

Answer explanation

Nessus puede realizar auditorías de configuración en UNIX, Windows y bases de datos SQL contra políticas a medida, configuraciones extraídas de sistemas activos y políticas basadas en organismos especializados como el NIST, CERT, SANS o vendedores como Microsoft o Red Hat

Al analizar un código fuente extenso, de centenares de miles de líneas de código, con una herramienta SSCA, un número alto de falsos positivos encontrados no es importante

• Verdadero, las herramientas los descartan automáticamente

• Falso, puede complicar mucho el análisis de seguridad, pues habrá que analizarlos

• Verdadero, es algo de lo que aprender

• Dependerá del número de falsos negativos encontrados

Además de subsanar los problemas asociados con las vulnerabilidades encontradas tras un análisis con una herramienta de las descritas en el tema, ¿qué otras cosas habría que hacer después, desde el punto de vista de la seguridad?

• Nada, una vez subsanadas las vulnerabilidades, el sistema analizado es completamente seguro

• Dejar el sistema analizado en cuarentena durante una temporada

• Seguir analizando el sistema, manualmente o con otras herramientas

• Rehacer completamente el código fuente del sistema analizado

Answer explanation

Todos los estudios científicos indicando que. incluso las herramientas más caras y sofisticadas. no son capaces de detectar el 100% de las vulnerabilidades más habituales y que, además, unas herramientas detectan con facilidad cierto tipo de vulnerabilidades, mientras que otras detectan otros grupos diferentes de vulnerabilidades. Así que la recomendación sería usar varias o, si esto no fuera posible por razones económicas, ser especialmente prudente con los resultados obtenidos mediante su uso

¿Cuál de las siguientes características lo es de Nessus, pero no de Nmap?

• Gestión mediante una interface gráfica de usuario

• Obtiene información sobre servicios y puertos abiertos

• Integración con el Tivoli Endpoint Manager de IBM

• Obtiene la dirección MAC de las tarjetas de los equipos analizados

Answer explanation

Nessus se integra fácilmente con productos típicos de gestión de parches y actualizaciones como el Tivoli Endpoint Manager (TEM) de IBM, el System Center Configuration Manager (SCCM) o el Windows Server Update Services (WSUS) de Microsoft, el Network Satellite Server de Red Hat o el VMwareGo. Puede así permitir comparaciones y emitir informes de discrepancias

¿Cuál de las siguientes NO es una característica habitual de las herramientas de análisis de vulnerabilidades en tiempo real?

• Hay que sincronizarlas con los cortafuegos de la organización

• Deben ejecutarse frecuentemente

• Si se ejecutan por la red, hay que avisar al personal responsable del tráfico que generarán

• Hay que tener en cuenta el impacto de algunos tests

Answer explanation

Para utilizar correctamente las herramientas de análisis de vulnerabilidades en tiempo real hay que considerar: ejecutarlos frecuentemente, tener en cuenta el impacto en el tráfico de la red, tener en cuenta el impacto de algunos tests e informar al personal responsable