CONSULTORIA DE LEVANTAMIENTO DE VULNERABILIDADES A NIVEL DE CONTROLES DE ACCESO LÓGICO Y DE RED A NIVEL NACIONAL
Enviado por BRAYAN RECALDE • 15 de Junio de 2017 • Informes • 2.228 Palabras (9 Páginas) • 246 Visitas
[pic 2]
CONSULTORIA DE LEVANTAMIENTO DE VULNERABILIDADES A NIVEL DE CONTROLES DE ACCESO LÓGICO Y DE RED A NIVEL NACIONAL
OFERTA TÉCNICO ECONÓMICA
TESTING DE INTRUSIÓN
Banco de Desarrollo Mercantil
[pic 3]
TABLA DE CONTENIDO
1. DESCRIPCIÓN DEL AMBIENTE ACTUAL 3
2. OBJETIVO 3
3. ALCANCE Y METODOLOGÍA DEL SERVICIO 3
3.1 TEST EXTERNO “CAJA NEGRA” 4
3.2 TEST INTERNO “CAJA BLANCA” 5
3.3 ALCANCE DETALLADO 5
4. CRONOGRAMA INICIAL 7
5. ENTREGABLES 7
6. CONDICIONES DE ÉXITO 7
7. PERSONAL TÉCNICO A CARGO 8
8. CONDICIONES Y REALIZACIÓN DE TÉCNICAS A EMPLEAR 8
9. ACUERDO DE CONFIDENCIALIDAD 9
10. PROPUESTA ECONÓMICA 10
10.1 VALIDEZ DE LA PROPUESTA: 10
10.2 FORMA DE PAGO 10
SECCIÓN 1 | NUESTRA PROPUESTA |
DESCRIPCIÓN DEL AMBIENTE ACTUAL
El Banco de Desarrollo Mercantil tiene presencia en 22 provincias con un total de 4000 empleados, aplicaciones web, ATM, Banca Virtual, dispone de 140 servidores físicos y 200 servidores virtuales.
EL cliente cuenta con IP(s) pública(s) e internas que se encuentran en constantemente en peligro de ser atacadas externamente pudiendo causar varios estragos tales como:
• Perdida de información
• Vulnerabilidad de información
• Caídas de servicios
• Lentitud operacional
• Intrusos en la red.
OBJETIVO
Brindar una solución que permite identificar los riesgos asociados a las vulnerabilidades en las aplicaciones Web y de los activos informáticos del Banco de Desarrollo Mercantil, proponiendo una detallada identificación de todas las vulnerabilidades, su nivel de riesgo real y las recomendaciones para remediarlas.
ALCANCE Y METODOLOGÍA DEL SERVICIO
Los alcances del servicio propuesto podemos dividirlos en dos grupos Arquitectura (Pen Testing) y aplicativos (Web Testing) los cuales detallamos a continuación:
ARQUITECTURA (Pen Testing)
Nuestra metodología está basada en un proceso de testeo manual que identifica los tipos de vulnerabilidades, incluyendo fallas lógicas, las cuales no son típicamente detectadas durante un scanning automatizado. Un Pen Test incluye el análisis de todas las medidas de seguridad, incluyendo Firewalls, appliances IPS e IDS; y políticas de complejidad de contraseñas, software update y desarrollo de software.
La metodología utilizada está basada en OSSTM y posee las siguientes fases:
[pic 4]
A continuación, detalladas:
Recopilación de información: Se identifica la topología de la red objetivo, routers, firewalls, servidores, aplicaciones Web y otros activos informáticos que hayan sido incluidos en el alcance.
Evaluación: Se realiza la identificación de aplicaciones y sistemas operativos, identificación de configuraciones inseguras.
Cabe recalcar que el tiempo de implementación dependerá del levantamiento de información previo con el departamento de sistemas de la Institución. Al igual el alcance dependerá de los insumos con que cuenten en sus sistemas informáticos.
Análisis: Usando el conocimiento previamente adquirido, se envían paquetes especialmente formados a la red del cliente, con el objetivo de identificar las vulnerabilidades existentes.
Explotación: Todas las vulnerabilidades son explotadas utilizando técnicas de última generación. El objetivo de esta fase es demostrar el riesgo real asociado con cada vulnerabilidad
TEST EXTERNO “CAJA NEGRA”
El pen tester es de modo externo, es decir, caja negra es sin conexión a la red del cliente y sin tener ningún permiso.
Un proyecto completo de Test de Intrusión Interno contempla los siguientes aspectos:
APLICATIVA (WEB APPLICATION TESTING)
Nuestra metodología está basada en un proceso de testeo manual que identifica todos los tipos de vulnerabilidades, incluyendo vulnerabilidades en la lógica de la aplicación, las cuales no son típicamente detectadas durante un análisis automatizado de la aplicación. Nuestra metodología va mucho más allá de identificar las vulnerabilidades relacionadas con el OWASP Top Ten y las fases son:
• Recopilación de información, se realiza la identificación del servidor Web, framework de desarrollo, Web Application Firewall y se crea un completo mapa de la aplicación.
...