Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013
Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]
-
Upload
websec-mexico-sc -
Category
Technology
-
view
1.953 -
download
1
description
Transcript of Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]
![Page 1: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/1.jpg)
GuadalajaraCON
1
−−−− SEGURIDAD FISICA SEGURIDAD FISICA SEGURIDAD FISICA SEGURIDAD FISICA −−−−MIRA MAMA, COMO MIRA MAMA, COMO MIRA MAMA, COMO MIRA MAMA, COMO
JASON BOURNEJASON BOURNEJASON BOURNEJASON BOURNE
Alejandro Hernández H. CISSP, GPEN
http://twitter.com/nitr0usmx
http://chatsubo-labs.blogspot.com http://www.brainoverflow.org
![Page 2: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/2.jpg)
GuadalajaraCON
Sobre mSobre mSobre mSobre mí…
� Consultor de Seguridad Senior de IOActive
� 10 años involucrado en Seguridad
� Rompo cosas
� Ah! Y soy CISSP…
2
![Page 3: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/3.jpg)
GuadalajaraCON
3
![Page 4: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/4.jpg)
GuadalajaraCON
Tabla de ContenidosTabla de ContenidosTabla de ContenidosTabla de Contenidos
� Esta presentación será un collage de conceptos, experiencias propias y clips de video
� ¿Qué proteger físicamente?
� Controles de seguridad física comúnmente utilizados
� Mientras tanto en México…
� Técnicas de evaluación de seguridad física (infiltración, ingeniería social cara-a-cara, etc.)
� Conceptos interesantes e inusuales
4
![Page 5: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/5.jpg)
GuadalajaraCONINTRO VIDEO CLIP
Jason Bourne - Stealing the Blackbriar Files
5
![Page 6: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/6.jpg)
GuadalajaraCON¿QuQuQuQué proteger fproteger fproteger fproteger físicamentesicamentesicamentesicamente????� Personas
� Terremotos
� Ingeniería Social
� Etc.
� Datos e información
� Documentos impresos (contratos, facturas, etc.)
� Post-its
� Etc.
� Infraestructura tecnológica
� Centro de datos
� Robots en plantas industriales
� Etc.6
![Page 7: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/7.jpg)
GuadalajaraCON
Controles Controles Controles Controles comcomcomcomúnmente nmente nmente nmente utilizadosutilizadosutilizadosutilizados
7
![Page 8: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/8.jpg)
GuadalajaraCON
8
Controles Controles Controles Controles comcomcomcomúnmente nmente nmente nmente utilizadosutilizadosutilizadosutilizados
![Page 9: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/9.jpg)
GuadalajaraCON
9
Controles Controles Controles Controles comcomcomcomúnmente nmente nmente nmente utilizadosutilizadosutilizadosutilizados
![Page 10: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/10.jpg)
GuadalajaraCONMientras tanto en MMientras tanto en MMientras tanto en MMientras tanto en Méxicoxicoxicoxico…� Acceso de equipo de cómputo a edificios
� Bitácora en papel con hora de entrada/salida?
� Revisión de guardias de seguridad?
� Acceso físico
� “Estampita” de visitante
� Acceso por estacionamientos?
� GENTE AMABLE (“Permítame ! Le abro la puerta”)
� Guardias con sobrepeso o somnolientos
� Seguridad de Infraestructura
� Contraseñas por default (CCTV, puertas de “Alta Seguridad”)
� Matriz de control de acceso deficiente
� Puertas de madera…
� Etc. Etc. Etc.10
![Page 11: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/11.jpg)
GuadalajaraCON
11
BITCH PLEASE !!!
![Page 12: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/12.jpg)
GuadalajaraCONVIDEO CLIP
Jason Bourne - Evacuation Plan
Cierta información puede ser utilizada en tu contra
12
![Page 13: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/13.jpg)
GuadalajaraCON
� Infiltración e Ingeniería Social� Creación de gafetes falsos
� Banners y colores corporativos en el sitio Web� Nombres/No de empleados (Open Source
Intelligence)
� Mica de papelería = $10.00 pesos
� Impresión de hoja de “autorización”� Lo mismo de arriba, pero con firma de ‘CEO’ ;-D
� Seguridad personal al estar frente al guardia de seguridad (Ingeniería Social y DETERMINACIÓN)
13
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 14: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/14.jpg)
GuadalajaraCON
� Infiltración e Ingeniería Social� Uno de 2011...
14
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 15: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/15.jpg)
GuadalajaraCON
15
� Infiltración e Ingeniería Social� Otro de 2008…
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 16: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/16.jpg)
GuadalajaraCON
� Piggybacking� Cuando una persona se
‘pega’ a otra para pasar ciertos puntos de seguridad, p.e. una puerta sin pasar una tarjeta de acceso
16
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 17: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/17.jpg)
GuadalajaraCON
� Lock Picking� El arte de abrir manipular
los elementos mecánicos de una cerradura para realizar su apertura sin llave
17
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 18: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/18.jpg)
GuadalajaraCON
18
IOActive Lock Picking session @ Mt. Baker [Enero 2013]
![Page 19: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/19.jpg)
GuadalajaraCONVIDEO CLIP
Lock Picking 101
Puertas y cajas fuertes también vulnerables
19
![Page 20: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/20.jpg)
GuadalajaraCONVIDEO CLIP
Vina F in Gringo Warrior
Lock Picking y diversión en DEFCON (Gringo Warrior Game)
20
![Page 21: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/21.jpg)
GuadalajaraCONVIDEO CLIP
Cyber Security. Evolved. (Deloitte UK)
Combinación de técnicas anteriores
21
![Page 22: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/22.jpg)
GuadalajaraCON
� Dumpster Diving� Búsqueda de información en
basureros (Estados de cuenta, documentos corporativos, firmas, etc.)
22
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 23: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/23.jpg)
GuadalajaraCON
� Shoulder Surfing� Ver la pantalla y/o teclas
escritas sin que la víctima se dé cuenta
23
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 24: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/24.jpg)
GuadalajaraCON
� Shoulder Surfing� Guía de Íconos para Shoulder Surfing (hkm)http://www.hakim.ws/textos/iconos_del_taskbar.html
24
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 25: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/25.jpg)
GuadalajaraCON
� {key,video} Loggers� Hardware ‘extra’ para capturar
teclas/video que la víctima escribe/ve.
25
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 26: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/26.jpg)
GuadalajaraCON
� Contraseñas por default
� A veces se requiere del software del fabricante (Demo?) para hablar el mismo lenguaje (protocolo)
26
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 27: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/27.jpg)
GuadalajaraCONVIDEO CLIP
Spaceballs super password XD
Dispositivos de seguridad física también tienen contraseñas por default
27
![Page 28: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/28.jpg)
GuadalajaraCONVIDEO CLIP
Control de 48 cámaras de Seguridad de un edificio de México DF
DVRs y Cámaras CCTV también tiene contraseñas por default
28
![Page 29: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/29.jpg)
GuadalajaraCONVIDEO CLIP
Acceso a un Centro de Datos de “Alta Seguridad” en México DF utilizando el panel de administración (sin contraseña) del
dispositivo biométrico
La mayoría de dispositivos biométricos están bien diseñados y desarrollados… Pero son mal configurados/implementados.
29
![Page 30: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/30.jpg)
GuadalajaraCON
� *Plugs� Computadoras con diversas funcionalidades
conectadas físicamente a la energía eléctrica de una organización (Edificio)
� USBs ‘maliciosas’
30
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 31: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/31.jpg)
GuadalajaraCON
� Plantas Industriales� Separación ‘física’ de redes de datos e industriales
� Puertos USB (des)habilitados
31
TecnicasTecnicasTecnicasTecnicas de de de de EvaluacionEvaluacionEvaluacionEvaluacion
![Page 32: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/32.jpg)
GuadalajaraCON
32
![Page 33: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/33.jpg)
GuadalajaraCON
33
Jan 15th, 2013 DoD Looking to ‘Jump the Gap’ Into Adversaries’ Closed Networks
Iranian President Mahmoud Ahmadinejad visits the Natanz
uranium enrichment facilities, where a “closed”
computer network was infected by malware introduced via a small flash drive.http://www.defensenews.com/article/20130115/C4ISR01/301150010/DoD-Looking-8216-Jump-Gap-8217-Into-Adversaries-8217-Closed-Networks
![Page 34: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/34.jpg)
GuadalajaraCON
34
![Page 35: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/35.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� En algún lugar cerca de Toluca…� Puertas Antibombas
� Grandes montículos de arena alrededor (para qué?)
35
![Page 36: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/36.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� Urban Exploration� Evaluación Ninja
� Often shortened as urbex or UE. It may also be
referred to as Infiltration, Building Hacking,
draining (when exploring drains), urban rock climbing
� Exploration of man-made structures, usually
abandoned ruins or not usually seen components of the man-made environment
36
![Page 37: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/37.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� Urban Exploration
37
![Page 38: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/38.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� Urban Exploration� En México…
38
![Page 39: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/39.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� Urban Exploration� http://www.infiltration.org
39
![Page 40: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/40.jpg)
GuadalajaraCON
40
![Page 41: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/41.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales� Conceptos de uno de
los mejores libros que he leído
� Críticas sin fundamentos en 3..2..1
41
![Page 42: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/42.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales
42
![Page 43: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/43.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales
43
![Page 44: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/44.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales
44
![Page 45: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/45.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales
45
![Page 46: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/46.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales
46
� Lo he visto muuuuchas veces en México…
![Page 47: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/47.jpg)
GuadalajaraCON
Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e Conceptos interesantes e inusualesinusualesinusualesinusuales
47
![Page 48: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/48.jpg)
GuadalajaraCONMoralejaMoralejaMoralejaMoraleja
48
… Ah! y usen los controles de seguridad adecuados…
![Page 49: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/49.jpg)
GuadalajaraCON
AgradecimientosAgradecimientosAgradecimientosAgradecimientos
49
� GuadalajaraCON !
� B33rc0n (hkm, calderpwn, Carlos Ayala, Daemon, dex)
� Chr1x a.k.a s0n0fg0d !
� CRAc LightOS, beck, alt3kx, crypk3y, nahual, nediam, Rolman, Sandino, tr3w, fear, Ariel Sánchez, bucio, wengyep, moften, Xava, dr_fdisk^, etc…
![Page 50: Seguridad física, mira mamá, como Jason Bourne [GuadalajaraCON 2013]](https://reader033.fdocument.pub/reader033/viewer/2022052301/5595a28b1a28ab22748b45c1/html5/thumbnails/50.jpg)
GuadalajaraCON
50
−−−− GRACIAS GRACIAS GRACIAS GRACIAS −−−−
Alejandro Hernández H. CISSP, GPEN
http://twitter.com/nitr0usmx
http://chatsubo-labs.blogspot.com http://www.brainoverflow.org