Preparado para: CyberTech Solutions
Preparado por: Victoria Simon
Fecha: 10 de abril de 2024
1. Resumen Ejecutivo
Este informe detalla los hallazgos de una evaluación integral de vulnerabilidades realizada en la infraestructura Linux y las aplicaciones web de CyberTech Solutions utilizando Nessus. La evaluación incluyó:
- Escaneos autenticados de servidores Linux
- Escaneos de vulnerabilidades en aplicaciones web
- Configuración de informes automatizados
- Gestión de parches mediante Ansible
Los hallazgos clave incluyen vulnerabilidades críticas en Nginx y versiones obsoletas de OpenSSH. Se proporcionan recomendaciones inmediatas de parcheo y endurecimiento de seguridad.
2. Objetivos del Laboratorio
- Realizar escaneos de vulnerabilidades autenticados en sistemas Linux.
- Identificar y analizar vulnerabilidades en aplicaciones web.
- Configurar Nessus para informes automatizados por correo electrónico.
- Parchear vulnerabilidades usando Ansible.
- Documentar los hallazgos para la revisión de los interesados.
3. Herramientas y Recursos Utilizados
4. Metodología
Tarea 1: Configuración del Escaneo Autenticado
-
Configuración SSH:
- Instalación de OpenSSH (
sudo apt install openssh-server).
- Configuración de Nessus con credenciales SSH (usuario:
root, contraseña: kali).
- Habilitación de escalada de privilegios mediante
su.
-
Resultados del Escaneo:
puntuación de vulnerabilidad SSH escaneada
RECOMENDACIONES
Tras el escaneo autenticado y la evaluación de vulnerabilidades en el servidor Linux y las aplicaciones alojadas, se recomiendan los siguientes pasos de remediación para mejorar la postura de seguridad de la organización:
- Parcheo de Sistemas y Software:
• Actualizar OpenSSH a la última versión segura para solucionar vulnerabilidades conocidas.
• Aplicar los parches más recientes del kernel de Linux, incluyendo actualizaciones urgentes como CVE-2022-0185.
• Actualizar Node.js a la versión 18.20.1 o posterior para mitigar riesgos como el contrabando de solicitudes, aleatoriedad insegura y vulnerabilidades de gestión de memoria (p.ej., CVE-2024-27980, CVE-2024-21891, CVE-2024-21892).
• Habilitar actualizaciones automáticas de parches o integrar con un sistema centralizado de gestión de parches para garantizar la aplicación oportuna de correcciones de seguridad.
- Endurecimiento del Servicio SSH
• Deshabilitar algoritmos SSH débiles, cifrados (p.ej., CBC, Arcfour) y MACs.
• Imponer la autenticación basada en claves y deshabilitar el inicio de sesión con contraseña cuando sea posible.
• Configurar un puerto SSH personalizado y restringir el acceso SSH mediante reglas de cortafuegos o TCP wrappers.
• Limitar el acceso a IPs específicas e implementar autenticación de dos factores (2FA) para conexiones remotas.
- Control de Usuarios y Accesos
• Deshabilitar el inicio de sesión root mediante SSH; usar sudo para la elevación de privilegios.
• Eliminar cuentas de usuario no utilizadas o heredadas y aplicar políticas de contraseñas seguras.
• Configurar mecanismos de bloqueo de cuentas para prevenir ataques de fuerza bruta.
• Auditar grupos de usuarios y privilegios para garantizar que se aplique el principio de menor privilegio.
- Endurecimiento del Host y la Red
• Deshabilitar servicios innecesarios y cerrar puertos no utilizados.
• Usar herramientas de endurecimiento como Lynis, OpenSCAP o CIS Benchmarks para aplicar las mejores prácticas.
• Implementar reglas de cortafuegos para limitar la exposición de la red y prevenir el movimiento lateral.
- Monitoreo, Registro y Detección
• Habilitar el registro detallado de eventos de SSH, sudo y del sistema.
• Integrar los registros con una plataforma SIEM para monitoreo y alertas en tiempo real.
• Monitorear comportamientos sospechosos y patrones de acceso anómalos.
- Seguridad de Aplicaciones y Dependencias
• Ejecutar npm audit o yarn audit para escanear y corregir dependencias de Node.js.
• Probar regularmente las aplicaciones con herramientas de análisis dinámico y estático (DAST/SAST).
• Usar un cortafuegos de aplicaciones web (WAF) para bloquear ataques web conocidos.
- Respaldo y Recuperación
• Programar copias de seguridad periódicas de configuraciones y datos críticos.
• Probar periódicamente los procedimientos de recuperación ante desastres y restauración de copias de seguridad.
- Concienciación y Gobernanza de Seguridad
• Realizar capacitaciones periódicas en seguridad para administradores de sistemas y desarrolladores.
• Mantener políticas, procedimientos y documentación de activos de seguridad actualizados.
• Realizar evaluaciones periódicas de vulnerabilidades y pruebas de penetración para mantenerse proactivo.
Tarea 2: Escaneo de Aplicaciones Web
- Vulnerabilidades de Nginx:
- Análisis de Vulnerabilidades:
- Facilidad de Explotación: Baja complejidad (exploits públicos disponibles).
- Fechas de Parche:
- CVE-2021-23017: Parcheado en junio de 2021.
- CVE-2022-41741: Parcheado en octubre de 2022.
-
Configuración SMTP:
- Host:
smtp.gmail.com (Puerto: 587, TLS).
- Se utilizó una contraseña de aplicación de Gmail para la autenticación.
- Correo de prueba enviado exitosamente a los interesados.
Nessus envió un correo, lo que significa que funcionó perfectamente.
Tarea 4: Gestión de Parches
-
Playbook de Ansible:
- Se eliminó la versión antigua de Nginx (
/usr/local/nginx).
- Se instaló la última versión de Nginx (
apt: name=nginx state=latest).
Script .yml para actualizar la versión antigua de Nginx
- Resultado: Actualizado de Nginx 1.15.5 a 1.26.3.
5. Análisis y Hallazgos
Vulnerabilidades Clave Identificadas
1. Versiones Obsoletas de NGINX
- CVE-2021-23017: Sobrescritura de 1 byte en el resolvedor DNS (riesgo: RCE/fallos).
- Exploits HTTP/2:
- CVE-2019-9511, CVE-2019-9513, CVE-2019-9516: DoS mediante manipulación de tramas.
- CVE-2018-16843, CVE-2018-16844, CVE-2018-16845: Ataques de agotamiento de CPU/memoria.
- CVE-2019-20372: Divulgación de la versión del servidor mediante cabeceras HTTP (fuga de información).
2. Múltiples Hallazgos de Plugins de Nessus
- IDs de Plugin: 150154, 127907, 118956, 134220 confirman versiones de NGINX no soportadas o vulnerables.
Riesgos Clave:
- Los sistemas sin parches son susceptibles a ransomware y violaciones de datos.
- Las vulnerabilidades web exponen los datos del cliente a la interceptación.
- Actualizar NGINX a la Última Versión Estable (≥1.20.1)
- ¿Por qué? Mitiga:
- CVE-2021-23017 (corrupción de memoria en el resolvedor DNS)
- Vulnerabilidades DoS HTTP/2 (CVE-2019-9511, CVE-2018-16843, etc.)
- Divulgación de la versión del servidor (CVE-2019-20372).
- Acción:
- Respaldar configuraciones (
nginx.conf), luego actualizar usando los repositorios oficiales de NGINX.
- Verificar la versión después de la actualización:
nginx -v.
- Deshabilitar o Endurecer HTTP/2
- Si HTTP/2 no es necesario:
- Deshabilitar en la configuración de NGINX (
listen 443 ssl en lugar de listen 443 ssl http2).
- Si es necesario:
- Asegurarse de que NGINX esté parcheado (después de la actualización).
- Monitorear los registros en busca de tráfico HTTP/2 anómalo (p.ej., flujos/tramas rápidos).
- Implementar Gestión de Parches
- Automatizar actualizaciones: Usar herramientas como
unattended-upgrades (Linux) o Ansible.
- Programar auditorías: Revisiones mensuales de actualizaciones de NGINX/paquetes del SO.
- Verificar las Correcciones con un Nuevo Escaneo de Nessus
- Volver a ejecutar Nessus (IDs de Plugin: 150154, 127907, etc.) para confirmar:
- Que la versión de NGINX ya no se marca.
- Que los CVE de HTTP/2 (si están habilitados) estén parcheados.
Pasos Adicionales de Endurecimiento
- Ocultar la versión de NGINX: Agregar
server_tokens off; en nginx.conf.
- Limitar Métodos HTTP: Permitir solo
GET, POST, HEAD si es aplicable.
- Monitorear Bases de Datos CVE: Suscribirse a avisos de seguridad de NGINX.
Cronograma:
- Inmediato (24-48h): Actualizar NGINX, deshabilitar HTTP/2 (si es posible).
- Seguimiento (1 semana): Implementación de gestión de parches + nuevo escaneo.
Post-Remediación: Documentar los cambios y actualizar los planes de respuesta a incidentes para incluir escenarios de explotación de HTTP/2/NGINX.
7. Desafíos y Soluciones
| Desafío | Solución |
|---|
| Instalación de plugins de Nessus | No pude aumentar mi RAM, así que tuve que esperar más horas para instalar los plugins después de muchos intentos fallidos |
| Fallos en el envío de correos SMTP | Se generó una contraseña de aplicación de Gmail |
| Errores en el playbook de Ansible | Se verificó la sintaxis YAML con |
8. Conclusión
La evaluación identificó vulnerabilidades críticas en la infraestructura web de CyberTech debido a versiones obsoletas de NGINX y CVE sin parchear, exponiendo a la organización a ataques DoS, corrupción de memoria y divulgación de información. Para abordar estos riesgos, son esenciales las actualizaciones inmediatas, el endurecimiento de HTTP/2 y la gestión automatizada de parches.
Se debe realizar un escaneo de seguimiento después de la remediación para validar las correcciones. Mantener una postura de seguridad proactiva mediante actualizaciones y monitoreo regulares ayudará a mitigar amenazas futuras y garantizará la resiliencia a largo plazo.
10. Referencias
- NIST NVD: https://nvd.nist.gov
- Documentación de Nessus: https://www.tenable.com
- https://www.notion.so/Nessus-1cb5f18a0bc980cdb558d62702ab23e9?pvs=4
cybervixy/vulnerability-management
