Herramientas habituales de análisis: Nessus, OpenVAS y Nmap

Los profesionales de la seguridad utilizan diversas herramientas de escaneo para distintos fines: descubrimiento de hosts, escaneo de puertos, enumeración de servicios, detección del sistema operativo, identificación de vulnerabilidades y pruebas de aplicaciones web. Security+ espera que conozca las herramientas más utilizadas en cada categoría. Comprender qué hace cada herramienta —y qué no puede hacer— le ayuda a seleccionar la adecuada para cada tarea e interpretar correctamente los resultados. Los resultados de varias herramientas complementarias proporcionan una cobertura más completa que cualquier herramienta por sí sola.

Nmap (Network Mapper) es la herramienta de código abierto más utilizada para el descubrimiento de redes y las auditorías de seguridad. Puede descubrir hosts activos, enumerar puertos abiertos, detectar servicios en ejecución y sus versiones, e identificar el sistema operativo. Nmap utiliza varias técnicas de escaneo, entre ellas escaneo SYN (la opción predeterminada, rápida y relativamente sigilosa), TCP Connect (protocolo de enlace completo, más ruidoso, pero no requiere privilegios de root), escaneo UDP y escaneo de versiones. Incluye Nmap Scripting Engine (NSE), que proporciona cientos de scripts para detectar vulnerabilidades, realizar ataques de fuerza bruta y explotar sistemas.

Interpretar correctamente los resultados de Nmap es una habilidad esencial. Cada línea representa un puerto con su estado (open: el servicio está escuchando; closed: el host respondió, pero no hay ningún servicio escuchando; filtered: no hay respuesta o ICMP indica que no se puede acceder, probablemente debido a un firewall), el protocolo y el servicio o la versión detectados. Los puertos abiertos representan una posible superficie de ataque. Los puertos abiertos inesperados en un host pueden indicar un compromiso o servicios no autorizados. Los indicadores -oN, -oX y -oG guardan los resultados en formatos normal, XML y apto para grep; guardar los resultados es fundamental para documentarlos y compararlos entre escaneos a lo largo del tiempo.

Nessus (de Tenable) es el escáner comercial de vulnerabilidades más implementado. Utiliza una arquitectura de complementos con más de 100.000 complementos que abarcan CVE, comprobaciones de configuración, referencias de cumplimiento (CIS, DISA STIG) y detección de malware. Nessus realiza escaneos con credenciales iniciando sesión en los sistemas con las credenciales proporcionadas para inspeccionar las versiones del software instalado, las claves del registro y los archivos de configuración, lo que produce resultados mucho más precisos que el sondeo de red sin credenciales. Nessus genera informes detallados con puntuaciones CVSS, descripciones de vulnerabilidades y recomendaciones de corrección. La versión gratuita Nessus Essentials permite escanear hasta 16 IP.

OpenVAS (Open Vulnerability Assessment System) es un escáner de vulnerabilidades gratuito y de código abierto mantenido por Greenbone Networks. Es la bifurcación respaldada por la comunidad del Nessus original, antes de que este se volviera comercial. OpenVAS utiliza NVT (Network Vulnerability Tests), análogos a los complementos de Nessus. Greenbone Community Edition (GCE) proporciona una interfaz de administración web (Greenbone Security Assistant). OpenVAS es popular en entornos donde los costes de las licencias impiden utilizar herramientas comerciales. Tiene un conjunto de funciones más amplio que Nmap y sigue siendo gratuito, por lo que es una opción habitual para organizaciones pequeñas, entornos académicos y laboratorios de seguridad.

Nikto es un escáner de servidores web de código abierto que busca archivos peligrosos, versiones de software obsoletas, problemas de configuración del servidor y vulnerabilidades web comunes. Comprueba más de 6.700 problemas conocidos, incluidos métodos HTTP inseguros, encabezados de seguridad ausentes, interfaces de administración expuestas, credenciales predeterminadas y vulnerabilidades CGI comunes. Nikto es ruidoso y no está diseñado para pasar desapercibido: genera una cantidad considerable de registros en el objetivo. Complementa los escáneres de nivel de red al proporcionar comprobaciones específicas de la web que Nessus y OpenVAS quizá no cubran en profundidad. Utilice Nikto únicamente en sistemas para los que tenga autorización de prueba.

Metasploit Framework es la plataforma de pruebas de penetración más utilizada y proporciona una base de datos de exploits, payloads, módulos auxiliares y herramientas posteriores a la explotación. Quienes se preparan para Security+ deben comprender qué es Metasploit y cómo encaja en una prueba de penetración, aunque nunca lo hayan utilizado. Los módulos de Metasploit incluyen: exploits (código que aprovecha una vulnerabilidad), payloads (shellcode que se ejecuta después de una explotación correcta, como Meterpreter), módulos auxiliares (escaneo, fuzzing y enumeración sin explotación) y módulos post (para la escalada de privilegios, la extracción de credenciales y el desplazamiento lateral después del acceso inicial).

Netcat (nc) es una utilidad sencilla pero versátil que lee y escribe datos a través de conexiones de red mediante TCP o UDP. Tiene innumerables usos en seguridad: establecer shells inversas desde hosts comprometidos, transferir archivos entre segmentos de red, analizar puertos, crear listeners de red sencillos para realizar pruebas y capturar banners para identificar versiones de servicios. Su sencillez y disponibilidad en prácticamente todos los sistemas Linux hacen que sea una herramienta utilizada con frecuencia tanto en la administración legítima como en los kits de herramientas de los atacantes, por lo que también es importante comprenderla desde la perspectiva de la detección.

Recon-ng es un framework de reconocimiento web diseñado para recopilar OSINT (inteligencia de fuentes abiertas). Utiliza módulos que consultan fuentes públicas —Shodan, Bing, HaveIBeenPwned, registros DNS, LinkedIn, WHOIS y registros de transparencia de certificados— para recopilar información sobre un objetivo antes de iniciar cualquier análisis activo. La fase de reconocimiento de una prueba de penetración suele comenzar con OSINT para crear una imagen de la topología de red del objetivo, los nombres de sus empleados, los formatos de correo electrónico, las tecnologías utilizadas y los activos expuestos públicamente. Un buen trabajo de OSINT puede revelar rutas de ataque que tardarían mucho más en encontrarse mediante un análisis activo por sí solo.

Enum4linux enumera información de hosts Windows y servidores Samba (SMB de Linux) mediante sesiones nulas y MSRPC. Extrae nombres de usuario, pertenencia a grupos, recursos compartidos, políticas de contraseñas e información del grupo de trabajo. Durante las pruebas de penetración internas, enum4linux puede revelar rápidamente las cuentas de usuario disponibles para realizar password spraying y la estructura de recursos compartidos de un entorno. Las versiones modernas de Windows restringen de forma predeterminada el acceso mediante sesiones nulas, pero los entornos mal configurados suelen exponer una cantidad considerable de información. Impacket, mediante samrdump.py, y CrackMapExec ofrecen capacidades similares para la enumeración autenticada.

Los profesionales de la seguridad adaptan las herramientas a cada tarea. Para el descubrimiento de hosts y el análisis de puertos: Nmap. Para la identificación de vulnerabilidades a escala: Nessus (comercial) u OpenVAS (gratuito). Para las vulnerabilidades de servidores web: Nikto. Para los ataques contra aplicaciones web: Burp Suite. Para la explotación: Metasploit. Para el reconocimiento OSINT: Recon-ng, theHarvester y Shodan. Para el análisis del tráfico de red: Wireshark y tcpdump. Para los ataques inalámbricos: la suite Aircrack-ng. El examen Security+ evalúa el conocimiento conceptual de estas herramientas: debe saber para qué se utiliza cada una, incluso sin tener experiencia práctica con todas ellas.

En esta lección ha aprendido que Nmap es la base para el descubrimiento de hosts, el análisis de puertos y la detección de versiones, con un potente motor de scripts para ampliar sus capacidades; que Nessus y OpenVAS realizan análisis exhaustivos de vulnerabilidades frente a CVE conocidas y ofrecen la mayor precisión mediante el acceso autenticado; y que Metasploit proporciona un framework de explotación para que los profesionales de las pruebas de penetración confirmen que las vulnerabilidades son realmente explotables y demuestren su impacto real. A continuación, exploraremos el ciclo de vida completo de una prueba de penetración, desde el reconocimiento hasta la elaboración del informe.