Mis apuntes de Pentesting.

A diferencia de la programación o el diseño de redes donde podemos practicar en nuestros sistemas sin molestar a nadie, la ciberseguridad carga con una enorme desventaja para quienes queremos comenzar a aprender este área de la informática: su práctica requiere de contacto directo con sistemas críticos o con sistemas ajenos. Muchas de las técnicas de la seguridad ofensiva (red team) son ilegales si se aplican sobre activos que no nos pertenecen; y, en el caso de la seguridad defensiva, sus métodos se basan en proteger sistemas críticos, y nadie en su sano juicio dejaría que un aprendiz practicara con una base de datos de tarjetas de crédito o con un disco duro que es evidencia de un caso criminal.

Justamente para practicar con las herramientas y metodologías propias de la ciberseguridad es que existen los retos o laboratorios CTF. Estos son entornos controlados donde podemos aprender y experimentar sin temor a escuchar cómo la policía tira la puerta de nuesta casa. CTF es un acrónimo de Capture The Flag, “captura la bandera” en español. El objetivo de estos entornos es conseguir una clave escondida en el sistema con el que interactuaremos —ya sea atacándolo, protegiéndolo o investigándolo. Estas banderas siempre están detrás de las barreras técnicas o metodológicas que el estudiante desea reforzar. Por ejemplo, si elegimos un laboratorio para practicar inyecciones SQL, entonces, para conseguir la bandera tendremos que ejecutar una inyección SQL.

Existen tantos tipos de laboratorios como ramas tiene el área de la ciberseguridad, pero, sin hacer justicia a las diferencias, podríamos dividirlos en dos grandes grupos: las máquinas o redes virtuales, y los laboratorios de descarga de archivos.

Máquinas virtuales

Las máquinas o redes virtuales son escenarios que, generalmente, simulan un entorno empresarial al que debemos atacar o defender. Esta gran categoría también puede dividirse en máquinas de conexión remota y laboratorios locales. La diferencia radica en dónde se ejecuta el laboratorio. En el caso de las máquinas de conexión remota deberemos conectar nuestro equipo local a un red externa vía VPN, y una vez que estemos en la misma red que el laboratorio, podremos comenzar a interactuar con él. Plataformas como HackTheBox o TryHackMe son ejemplos de este tipo.

Por otra parte, los laboratorios locales son entornos que debemos configurar en nuestra propia red; esto lo podemos hacer con laboratorios prefabricados como los que ofrece VulnHub o The Hackers Labs. En estos casos debemos descargar el archivo .vmdk, o .ova, que contiene la máquina virtual y desplegarla en nuestro equipo local mediante un hipervisor. Una vez que la máquina esté encendida y la red configurada, podremos verla en nuestra red local y, por tanto, interactuar con ella.

Otra opción interesante para explorar es crear nuestros propios laboratorios personalizados con contenedores de Docker o con máquinas virtuales completas.

Laboratorios de descarga de archivos

Estos son más sencillos de entender, pero, no más simples de resolver. Como su nombre lo indica, en este tipo de laboratorios deberemos descargar los archivos desde la web y podremos interactuar con ellos sin tener que montar una máquina virtual*.

Los tipos de archivos que podremos descargar son enormemente variados, sólo mencionaré algunos de los más comunes: volcados de memoria RAM (.mem) o imágenes de disco (.dd) para forense digital; binarios compilados en diferentes lenguajes para ingeniería inversa (en ocasiones, también scripts en Python); cualquier tipo de archivo para extracción de metadatos en prácticas forenses; correos electrónicos para análisis de phishing o malware. Esta lista continúa con un gigante etcétera.

*Alguna vez me tocó levantar un contenedor en Docker para replicar un sistema antiguo y poder acceder a un volcado de RAM. No es común, pero puede suceder.