UNIVERSIDAD CATÓLICA

NORDESTANA

sustentante:
David María Cordero 2018-0722

ASIGNATURA:
Análisis de sistemas

TAREA:
Resumen arte de la intrusion

PROFESOR:
Ing. Eury Gonzalez
Intrusión en los casinos por un millón de dólares
Este capítulo trata sobre el poder de una idea, la perseverancia y la convicción de los
cuatro muchachos, dispuestos a pasar muchas horas intentando entender la lógica de la
máquina, lo cual no es una tarea fácil. En este caso, y en muchos otros relacionados con
hackers, los muchachos no solo se movían por el dinero que iban a obtener sino por el
propósito de demostrar que sus habilidades y conocimientos eran muy superiores a las
de los programadores que trabajaban para los casinos. Los hackers tienen un ego
enorme que se quiere alimentar con cada movida que realizan.

Adicionalmente podemos comprobar que los hackers no solo entraron a la máquina, la

entendieron y ejecutaron su plan para ganar dinero. Ellos tuvieron que cambiar su
comportamiento para tratar de ser imperceptibles para los guardias de seguridad de los
casinos, lo cual dificulta aún más el desarrollo del plan.

Estos hackers siempre estuvieron un paso delante de los casinos, situación que fue
fundamental para llevar a buen término el desarrollo de su plan. Sin embargo, luego de
tres años de ganar todo el dinero que podrían, los muchachos deberían entender que
nada dura para siempre y muchas veces el error de uno es el error de todos y en este
caso solo una persona fue suficiente para acabar con el brillante y lucrativo negocio de
los tres muchachos restantes.

Por otro lado podemos darnos cuenta de las vulnerabilidades que tiene toda
organización que opere mediante tecnologías de información, en el caso de los casinos,
algunas veces los programadores creen que nadie va a intentar ingresar a sus sistemas
debido a que es una tarea complicada y este exceso de confianza es el que los hace
cometer la mayor cantidad de errores ya que no se fijan en detalles minúsculos que para
un hacker experimentado son puertas abiertas sin ningún tipo de seguridad.
Cuando los terroristas entran por la puerta

Esta operación fue llevada acabo por comrade, Neoh(mejor amigo de Comrade) y
Khalid este quien buscaba hackers para poder acceder a la información del gobierno y
del ejercito.

Neoh logro robar los archivos de una base de datos de una universidad en china, entro al
sistema del centro de investigación Atomica Bhabha, consiguió los planos esquemáticos
de determinados sistemas aeronáuticos de Boeing.

Comrade accedió en un sistema asociado a SIPRNET(sistema de defensa), paralizando

ordenadores de la NASA e interceptando miles de mensajes.

Chameleon fue el único que recibió dinero de Khalid, por el mapa de las redes
informáticas del gobierno, y luego llego la intrusión al portal web de la Casa Blanca.

Para estas acciones se aprovecharon de vulnerabilidades tales como:

- Una versión antigua de DNS

- Tener las configuraciones con los valores por defecto
- Un agujero en el programa PHF, entre otras.

Como descubren estos hackers:

El siprnet se descubre porque dejaron activo un espia en [Link] que se encargaba

de capturar correos y contraseña.

En el caso de la Casa Blanca se dieron cuenta porque el administrador se encontraba

escuchando el trafico de la red.

La solución para estos casos fueron utilizar DMZ(zona desmilitarizada) en la redes para
poder corres todos los programas de manera mas segura, también se utilizo IDS que esto
es como dividir la red en varias zonas para que se haga mas difícil para los hackers
acceder a las informaciones.
Los hackers de la prisión de Texas
Dos presos menores, ambos cumpliendo largas penas por asesinato, se conocieron
en un día resplandeciente en el patio encementado de una prisión de Texas y
descubrieron que compartían la festinación por los ordenadores. Se aliaron y se
convirtieron en hackers secretos justo delante de las narices de los guardias atentos.

Danny uno de los presos , se encontró un libro de dBaseIII , el cual le ayudo a crear
un programa de seguimiento de los envíos agrícolas , ya que le asignaron un puesto
como administrador en la oficina de transporte, en el que no duro mucho.

Danny por su buen trabajo lo enviaron a una pequeña caravana y lo pusieron a

cargo del hardware , montaje y relación de equipos. Sus compañeros le daban
manuales lo que aceleró su aprendizaje

William consiguió un puesto envidiable en la cocina. "Tenía las llaves del castillo
porque podía cambiar comida por otras cosas".

William supo que había otro preso que compartía su afición por los ordenadores,
ambos se ayudaron mutuamente. Sacaban componentes de la estantería de la
caravana de Agricultura.

Para conseguir espacio de trabajo para la instalación informática, William se apropió

de un trastero pequeño contiguo al economato. La habitación no tenía ventilación
pero cambió comida para conseguir un aparato de aire acondicionado

Danny instaló un "divisor" en la línea de teléfono que conectaba al fax. Pero

comenzara a recibir quejas por qué su línea de fax estaba siempre ocupada.,
Entonces descubrió dos enchufes telefónicos que estaban activos pero no se
utilizaban.

Pero a Danny le asediaba otra dificultad. No tenía forma de saber qué ocurriría si el
funcionario y él intentaban utilizar la cuenta de Internet al mismo tiempo

El plan que Danny había ideado consistía en unir dos piezas de un puzle; las líneas
de teléfono al exterior que tenía disponibles en el Departamento de Agricultura y el
ordenador que tenía William en la cocina. Propuso una estrategia que les permitiría
a los dos utilizar ordenadores y conectarse a Internet siempre que quisieran, con
libertad y seguridad.

Danny aprobó 64 créditos universitarios estando en prisión, aunque no eran

suficientes para obtener ningún título profesional, ahora trabaja con aplicaciones
críticas muy potentes, como Access y SAP.

William terminó su primer año de universidad y estaba en segundo, con el apoyo

económico de sus padres. Después de salir, pudo continuar su formación. "Solicité
una ayuda económica, me la concedieron y fui a la universidad. Aprobé todo con
sobresalientes y, además, trabajé en el centro informático de la facultad"

Ahora tiene dos diplomaturas, en humanidades y en mantenimiento de redes

informáticas, financiadas ambas con la ayuda económica que recibió.

Esta historia pone de manifiesto que muchos ataques informáticos no se pueden

prevenir simplemente protegiendo el perímetro, la gente de dentro puede suponer
una amenaza mayor que los atacantes que aparecen en los periódicos
POLICÍAS Y LADRONES
Parece sorprendente en el mundo actual que a los hackers todavía les resulte fácil
pasearse libremente por tantos sitios Web de empresas. Con todas las noticias de
intrusiones, toda la preocupación por la seguridad, con empleados y profesionales
trabajando en el campo de la seguridad o las consultorías a empresas grandes y
pequeñas, sorprende que este par de quinceañeros fueran lo suficientemente hábiles para
encontrar la forma de acceder a los ordenadores de un tribunal federal, una importante
cadena de hoteles y Boeing Aircraft.

Esto ocurre en parte, bajo mi punto de vista, porque los hackers siguen un camino, como
yo mismo hice, dedicando una cantidad desorbitada de tiempo estudiando los sistemas
informáticos, el software de los sistemas operativos, los programas de aplicaciones, las
redes, etc. En su mayoría son autodidactas, pero, parcialmente, orientados por una
organización de tutorías informal pero altamente efectiva basada en la puesta en común
de los conocimientos. Algunos que acaban de salir de la educación secundaria ya han
invertido tiempo y adquirido conocimientos suficientes como para tener el título de
licenciado en Ciencias del hacking. Si el Massachusetts Institute of Technology o el
California Institute of Technology concedieran esta titulación, conozco a unos cuantos
que designaría para realizar el examen de licenciatura.

No quiero imaginar cuántos consultores en seguridad tienen un pasado secreto de hacker

negro (incluidos más de dos cuyas anécdotas se relatan en estas páginas).

Comprometer los sistemas de seguridad requiere una forma concreta de razonar que
permita analizar meticulosamente cómo hacer que falte la seguridad. Cualquiera que
intente entrar en este campo sólo con lo que aprenda en clase requerirá mucha práctica,
porque competirá con consultores que comenzaron su formación en esta área a los 8 ó
10 aftos.

Puede ser doloroso de admitir, pero la verdad es que toda persona que esté en el campo
de la seguridad tiene mucho que aprender de los hackers, los cuales pueden desvelar
debilidades del sistema que serían embarazosas de reconocer y costosas de solucionar.
Pueden incumplir la ley en el proceso, pero cumplen una valiosa función.

En realidad, muchos "profesionales" de la seguridad han sido hackers anteriormente.

Habrá quien lea esta afirmación y la achaque a que Kevin Mitnick, el ex hacker, está
simplemente defendiendo a la generación actual de hackers. Pero lo cierto es que
muchos ataques cumplen la valiosa finalidad de revelar vulnerabilidades de la seguridad
de una empresa. Si el hacker no causara ningún daño, cometiera robos o lanzara ataques
de negación de servicio, ¿debería decirse que una compañía ha sufrido un asalto o que
se ha beneficiado porque alguien la ha enfrentado a sus vulnerabilidades?
El robin Hood hacker 
Se cuenta para Adrián Lamo nació en Boston donde sus primeros años de vida fue
errante para luego ubicarse en Washington, en cuanto a su personalidad se caracteriza
por ser humilde y su pasión por los personajes que pertenecía al mundo del hacker
siendo su primer ordenador fue un Commodore 64. Un día comenzó sentir frustración
con un juego de aventuras donde apuntaba a un callejón sin salida entonces tuvo la idea
de investigar las líneas de código del juego y finalmente encontró la solución así ganar
el juego.

Adrián considera como mayor experiencia fue la Empresa Excite@Home donde se

pudo filtrar con facilidad a la base de datos de los todos usuarios. Los hackers tuvieron
una herramienta elementa que es Google donde se descubrían grandes potenciales de
ataques y para desvelar la información útil sobre los mismos usuarios. Donde empezó a
comprender el proceso de razonamiento de la persona que diseño el programa o red,
utilizando sus conociemintos de pautas y practicas habituales que los arquitectos de
redes suelen tener. Incluso se dice para un hacker un proxy abierto es una invitación
libre sin necesidad de estar registrado además se encontró un script para genera “cookie
de autentificación” para simular como usuario sin necesidad tener la clave. Su primer
punto de apoyo es la búsqueda inversa de DNS donde se introducía la dirección IP
luego recibía el nombre del dominio incluyendo el sistema operativo de cada ordenador
de dicha empresa. Empezó a navegar por todos los ordenadores utilizando un programa
llamado ProxyHunter, que sirve para localizar servidores proxy abiertos e hizo la prueba
con la red privada WorldCom encontrando 5 proxys abierto siendo uno de ellos al
Sistema De Recursos Humanos.

Otros de sus curiosidades para Adrián fue el New York Times es una página web
dedicado al periodismo, pero años atrás había un grupo de “hacking solo para hombres”
quienes se infiltraron a la red y modificaron dicha web todo esto se le llama “golpe de
gracia”. Todo web cuenta con administradores de sistemas que no piensa con la cabeza
y eso hace el trabajo del intruso mucho más fácil de lo que sería. El tiempo sigue sin
que la empresa se diera cuenta que fue hackeado, siempre oculto su identidad cada vez
que atacaba, pero llega un momento que decide contar a un reportero de la misma
empresa para decir que el portal fue secuestrado por su persona la cual le pide como
favor que si en algún momento sea atrapo anunciara que él fue la persona responsable.
Pasa el tiempo Adrián decide dar un cambio total y adopta por el periodismo teniendo la
idea de ser siempre curioso de ver las cosas de una forma diferente, querer conocer
mejor el mundo que me rodea siendo para el hacking la misma idea.

Un hacker tenga éxito se fundamenta en el análisis del hilo del pensamiento de la gente,
en cómo se instalan los sistemas, los procesos que utilizan los administradores de
sistemas y redes para crear la arquitectura de redes.

le gusta la investigación sobre los ordenadores y así se inclinó por la pasión de la

informática en buscar el origen de las cosas. Era una persona muy cuidadosa, tenía una
estrategia única en filtrarse en los diferentes sitios web para poder acceder a su Base de
datos y atributos de sus clientes sin importar en qué nivel de seguridad se encuentra.
Dicho sitio web cuenta con un administrador de seguridad, pero para Adrián fue fácil de
infiltrase utilizando algunos troyanos con sus respectivos nombres donde te mostraba
los proxys y la dirección IP teniendo cuenta la red que está usando.
LA SABIDURÍA Y LA LOCURA DE LAS AUDITORÍAS DE
SEGURIDAD
Una empresa pide a una firma de seguridad que compruebe si su sitio Web y sus
redes informáticas son infranqueables, para ello se contratan hackers.

Los expertos en seguridad las denominan auditorías de seguridad.

Algunos directores y ejecutivos de una gran empresa de consultoría informática de

Nueva Inglaterra (EE. UU.) se reunieron con un par de consultores. Uno de los
consultores era Pieter Zatko, un ex hackers conocido con el nombre de Mudge.

A principios de la década de 1990, Mudge y un socio reunieron una serie de

personas de ideas afines para trabajar juntos.

El grupo se convertiría en un equipo de seguridad informática muy respetado bajo el

nombre de lOpht.

Una de las herramientas más comunes para los hackers informáticos es el paquete de
software llamado lOphtCrack, que craqueaba rápidamente marañas de contraseñas.

Mudge fue coautor de lOphtCrack y cofundador del sitio online que puso el
programa a disposición de los hackers.

Luego buscaron una empresa existente que pudieran comprar o situar dentro de su
empresa, en la reunion dijeron que por 15.000 dólares harían una auditoría de
seguridad.

La empresa que les contrata les pide una evaluación completa de su seguridad.

La plantilla de lOpht que se ocuparía del proyecto de Newton estaba compuesta por
siete personas que trabajarían individualmente o en parejas y cada persona o equipo
sería responsable de un aspecto diferente de las operaciones de la compañía.

El servidor Web de Newton ejecutaba el software servidor llamado Apache. Mudge

encontró una vulnerabilidad que fue el Checkpoint Firewall-1, que permitía la
entrada de paquetes UDP (protocolo de datos de usuario) y TCP (protocolo de
control de transmisiones) con puerto de origen 53 a todos los números de puertos
superiores a de 1023.
Mudge también descubrió que el servidor que tenían como objetivo era vulnerable a
un agujero en el omnipresente PHF.

Vió que en el sistema PHF, en el proceso de servidor de Apache se ejecutaba bajo la

cuenta “nobody” (nadie).

También vió que el archivo de configuración de Apache ([Link]) también era

nobody por lo que podría sobreescribirlo su contenido.

Otro equipo de lOpht estuvo realizando ataques a los sistemas de telefonía y de

contestador automático de la compañía.

Y una vez encontrado un teléfono vulnerable, los atacantes pueden escuchar

cualquier mensaje de voz que haya guardado.

Más tarde el equipo lOpht enseñó todas las conversaciones telefónicas guardadas y
todo lo que habían conseguido y se quedaron con los 15.000 dólares, pero no
vendieron la empresa.

Dustin Dykes fue el primer consultor para los servicios de práctica de seguridad de
seguridad de su compañía, Callisma.

Tenía una formación en la administración de sistemas, en las operaciones de red.

El equipo Callisma se reunió con Biotech en la que la empresa quería recibir todos
los ataques posible para ver cuantas vulnerabilidades tienen.

Dustin hizo muchos métodos para penetrar en todo lo que pudiera.

En una máquina Windows, las contraseñas de usuario se almacenan cifradas en una

zona llamada Administrador de las Cuentas de Seguridad (SAM); las contraseñas no
sólo se cifran, se cifran de una forma aleatoria conocida como "hash unidireccional",
que significa que el algoritmo de cifrado convertirá la contraseña de texto plano a su
forma cifrada pero no viceversa.

En un breve espacio de tiempo, Dustin había craqueado la mayoría de las

contraseñas.

Dustin tenía las llaves del reino de Biotech, había conseguido acceso a muchos de
los documentos internos clasificados como "confidenciales" o "sólo para uso
interno".
SU PROPIEDAD INTELECTUAL NO ESTÁ SEGURA
 
 
La lección que podemos extraer de la historia sobre cómo Erik buscó el último paquete
de software de servidores que le faltaba para completar su colección es: en la naturaleza
parece que no hay nada perfecto y, menos, cuando atañe a los humanos. La empresa que
eligió como blanco tenía conciencia de seguridad y había realizado un excelente trabajo
en la protección de sus sistemas informáticos. Aún así, ante un hacker lo
suficientemente competente, decidido y dispuesto a dedicar todo el tiempo que haga
falta resulta casi imposible mantenerlo alejado. Cierto que probablemente tenga la
suerte de no encontrar nunca a alguien tan decidido como Erik o Robert que quiera
atacar su sistema, dispuesto a invertir cantidades ingentes de tiempo y de energía en
ello.
Pero, ¿y si alguien de la competencia, sin escrúpulos, estuviera dispuesto a contratar a
un equipo de profesionales del submundo, un grupo de hackers mercenarios que
estuvieran dispuestos a dedicar 12 ó 14 horas al día y a quienes les encantara su trabajo?
Y si los atacantes encontraran una rendija en la armadura electrónica de su
organización, ¿qué pasaría entonces? En la opinión de Erik: "Cuando alguien entra en tu
red tan lejos como yo llegué en aquella red, nunca, nunca, jamás podrás sacarlo.
El hacker estará allí para siempre". Argumenta que sería necesaria "una revisión
desmesurada de todos los componentes y cambiar absolutamente todas las contraseñas
el mismo día, a la misma hora, reinstalar todo y, entonces, protegerlo todo a la misma
hora para dejarlo a él fuera". Y habría que hacerlo todo sin pasar por alto una sola cosa.
"Con que se quede una puerta abierta, volveré a entrar en cualquier momento". Mis
experiencias propias confirman esta opinión. Cuando yo estaba en el instituto, penetré
en la Easynet de Digital Equipment Corporation.
Ellos sabían que tenían un intruso, pero durante ocho años, las mentes más prodigiosas
de su departamento de seguridad no pudieron impedirme que entrara. Finalmente se
libraron de mí, no por sus propios méritos, sino porque el gobierno fue tan amable que
me ofreció un paquete de vacaciones pagadas en uno de sus centros de vacaciones
federales.
Erik pudo obtener las contraseñas de la base de datos confidencial revisando los
archivos del directorio /includes. Sin estas contraseñas iniciales, habría tenido más
difícil concluir esta misión. Todo lo que necesitaba era encontrar las contraseñas de una
base de datos confidencial en un archivo de fuentes legible. La mejor práctica de
seguridad es evitar que se almacenen contraseñas en texto plano en archivos batch,
fuente o script. Debe adoptarse una política en todo el ámbito de la empresa para
prohibir el almacenamiento de contraseñas en texto plano, a menos que sea
absolutamente necesario. Como mínimo, se deben proteger cuidadosamente los archivos
que contienen contraseñas no cifradas para evitar que se descubran por accidente.
En la compañía que Robert atacó, no se había configurado correctamente el servidor
Microsoft IIS4 para evitar que usuarios anónimos o invitados leyeran y escribieran
archivos en el directorio del servidor Web. El archivo de contraseñas externo que se
utilizaba junto con Microsoft Visual SourceSafe lo podía leer cualquier usuario que
abriera una sesión en el sistema. Gracias a estos fallos de configuración, el atacante
pudo obtener control absoluto sobre el dominio Windows de la empresa. Con toda
probabilidad, la implementación de sistemas con una estructura organizada de
directorios para las aplicaciones y los datos aumentará la eficacia de los controles de
acceso.

Utilizando herramientas personalizadas de sondeo de la Web, Erik descubrió un archivo

de registro no protegido que había sido generado por un producto FTP comercial. El
registro contenía toda la información de la ruta de acceso a archivos que se transfería
desde y hasta el sistema. No confíe en las configuraciones predeterminadas cuando
instale software de terceros. Implemente la configuración que menos probabilidades
ofrezca de filtrar información valiosa, como los datos de registros, que se pueden
utilizar para nuevos ataques a la red.
Su banco es seguro, no?
El sitio Web de Estonia era un objetivo fácil. Juhan reparó en el fallo cuando vio el
código fuente de las páginas Web del banco. El código utilizaba un elemento de
formulario oculto que contenía el nombre de archivo de una plantilla de formulario, que
se había cargado con el script CGI y se mostraba a los usuarios en su explorador Web.
Juhan cambió la variable oculta para que apuntara a un archivo de contraseñas del
servidor y, voilá, el archivo de contraseñas se visualizó en su explorador.
Sorprendentemente, el archivo no tenía ocultas las contraseñas, de modo que tuvo
acceso a todas las contraseñas cifradas y después pudo craquearlas.

La intrusión en el banco Dixie es otro ejemplo de la necesidad de defensa en

profundidad. En este caso, la red del banco parecía estar plana; es decir, no contaba con
la protección suficiente aparte del único servidor Citrix. Una vez que comprometió un
sistema cualquiera, el atacante pudo conectarse a todos los demás sistemas de la red. Un
modelo de defensa en profundidad habría podido evitar que Gabriel obtuviera acceso al
AS/400.

El personal responsable de la seguridad de la información del banco se confió en exceso

ante la falsa sensación de seguridad que les proporcionó la auditoría externa que
contrataron y que quizás les elevó injustificadamente el nivel de confianza en su actitud
ante la seguridad global. Aunque realizar una valoración o auditoría de seguridad es una
medida muy importante para evaluar la resistencia a un ataque, un proceso aún más
importante es gestionar correctamente la red y todos los sistemas que la componen.

El sitio Web del banco online debería haber solicitado que todos los desarrolladores de
aplicaciones Web aplicaran las prácticas fundamentales de programación segura o haber
exigido una auditoría de todo el código introducido. La mejor práctica es limitar la
cantidad de información que introduce el usuario y que se pasa a un script del lado del
servidor. El uso de nombres de archivos y constantes predefinidos en el código, aunque
no sea elocuente, eleva el nivel de protección en la seguridad de la aplicación.
Una vigilancia relajada de la red y una escasa seguridad de las contraseñas en el
servidor Citrix fueron los errores más graves en este caso y, muy probablemente,
habrían evitado que Gabriel se paseara por su red, instalando registradores de tecleo,
siguiendo a otros usuarios autorizados e instalando programas troyanos. El hacker
escribió un pequeño script y lo colocó en la carpeta de inicio del administrador para que
cuando éste se registrara, se ejecutara silenciosamente el programa pwdump3. Como es
natural, ya tenía los privilegios de administrador. El hacker se sentó a esperar que un
administrador del sistema se registrara para poder, entonces, secuestrar sus privilegios y
copiar inmediatamente los hashes de contraseñas del controlador de dominios primario.
El script oculto se suele conocer como Troyano o puerta trampa.
En el continente
Louis y Brock no se hicieron ricos mediante el poder que tenían en sus manos y no
enviaron órdenes para liberar ni trasladar a ningún preso. Sino que enviaron a la
empresa un informe completo de lo que habían descubierto.

A simple vista, parece que la compañía haya cometido negligencias graves. No habían
llevado a cabo un análisis de los riesgos paso a paso, haciéndose preguntas como: si un
hacker compromete la primera máquina, ¿qué podría hacer desde ahí?, etc. Pensaban
que estaban bien protegidos porque con algunos cambios de configuración podrían
cerrar las grietas que Louis había observado. Suponían que no había ningún fallo más
aparte del que Louis y Brock habían encontrado y explotado.

Louis considera que se trata de esa arrogancia tan común en el sector empresarial. No
creen que pueda venir alguien de fuera a hablarles a ellos de seguridad. A los técnicos
de las empresas no les importa que alguien les diga algunas cosas que tienen que
solventar, pero no aceptan que nadie les diga lo que tienen que hacer. Creen que ya lo
saben. Cuando se produce una intrusión, piensan que simplemente ha sido un tropiezo
puntual.

Los atacantes no encontraron muchas deficiencias de seguridad en la empresa que

habían marcado como objetivo, sin embargo, las pocas que encontraron fueron
suficientes para hacerse con el dominio absoluto de los sistemas informáticos de la
empresa que eran fundamentales para sus operaciones. A continuación encontrará
algunos consejos sobre los que merece la pena reflexionar.

En algún momento anterior, se había enchufado el dispositivo 3COM directamente en el

puerto serie del router de Cisco. Aunque la presión de encontrar una respuesta inmediata
puede justificar el uso de mañas tecnológicas provisionales, una empresa no se puede
permitir que "temporal" signifique "definitivo". Debe elaborarse un programa para
comprobar la configuración de los dispositivos de una pasarela mediante la inspección
física y lógica o utilizando una herramienta de seguridad que vigile constantemente si
los puertos abiertos existentes en un host o dispositivo cumplen las normas de seguridad
de la empresa.

La compañía de seguridad había configurado un router Cisco para permitir las

conexiones remotas a través de un puerto superior, cabe imaginar que lo hiciera
pensando que es tan extraño utilizar un puerto superior, que ningún atacante lo
encontraría, otra versión del planteamiento de "seguridad mediante oscuridad". Ya
hemos abordado en más de una ocasión en estas páginas el asunto de la locura que es
tomar una decisión de seguridad basada en esta actitud. Las historias de este libro
demuestran una y otra vez que una sola grieta puede ser aprovechada, tarde o temprano,
por algún hacker. La práctica de seguridad más recomendada es garantizar que se filtran
todas las redes que no sean de confianza en todos los puntos de acceso a todos los
sistemas y dispositivos, evidentes o no.

Una vez más, todas las contraseñas predeterminadas de los dispositivos deben
cambiarse antes de que el producto o sistema entre en producción. Incluso los
cinturones blancos en seguridad saben que este descuido es muy común y lo explotan.
(Varios sitios Web, como [Link]/dpl/[Link], ofrecen listas de nombres de
usuario y contraseñas predeterminados.)

Los sistemas que utilizaban los trabajadores remotos de la empresa se conectaban a la

red corporativa con poca o ninguna seguridad, una característica que es muy común. Un
cliente incluso tenía configurada la aplicación PC Anywhere para permitir las
conexiones remotas sin ni siquiera solicitar contraseña. Aunque el ordenador se
conectaba a Internet a través de marcación telefónica y sólo durante periodos de tiempo
muy breves, cada conexión era una exposición al riesgo. Los atacantes pudieron
controlar remotamente la máquina conectándose al portátil que tenía PC Anywhere. Y,
por no tener configurada la solicitud de contraseña, los atacantes pudieron secuestrar el
escritorio del usuario simplemente sabiendo su dirección IP.

Los encargados de redactar las normas de tecnología de la información deberían pensar

en exigir que los sistemas clientes mantengan cierto nivel de seguridad antes de
permitirles que se conecten a la red corporativa. Hay disponibles productos que instalan
agentes en los sistemas clientes para garantizar que los controles de seguridad estén
acorde con las normas de la empresa; de no estarlo, se niega al sistema cliente el acceso
a los recursos informáticos de la empresa. Los hackers maliciosos analizarán sus
objetivos estudiando toda la escena. Esto significa identificar si algunos de los usuarios
se conectan remotamente y, si lo hacen, identificar también el origen de las conexiones.
El atacante sabe que puede comprometer un equipo de confianza que se utiliza para
conectarse a la red corporativa y que es muy probable que se pueda aprovechar esta
relación de confianza para acceder a los recursos de información de la empresa.

Incluso en las empresas donde se gestiona correctamente la seguridad, con demasiada

frecuencia se observa una tendencia a pasar por alto la seguridad de los portátiles y los
ordenadores que tienen los empleados en casa para acceder a la red corporativa, de
modo que se deja una brecha que los atacantes pueden aprovechar, como pasó en la
historia de este capítulo. Los ordenadores portátiles y los ordenadores de casa que se
conectan a la red interna deben ser seguros; de lo contrario, el sistema informático del
empleado podría ser el punto débil que aprovechen los hackers.