Las auditorías de seguridad son pruebas ofensivas contra los sistemas de defensa existentes en el entorno que se está analizando. Comprenden desde el análisis de dispositivos físicos y digitales hasta el análisis del factor humano, utilizando Ingeniería Social.
Naturalmente, los sistemas operativos, con sus actualizaciones y parches de seguridad, van generando nuevas barreras para el pentester. De este modo, los analistas deberán intentardetectar vulnerabilidades que puedan ser explotadas por algún atacante y para lograrlo deberán mantener sus herramientas de evaluación actualizadas.
Las aplicaciones y sistemas empleados dependerán del gusto del analista o persona designada a realizar esta tarea y de sus conocimientos en diversas plataformas. Normalmente, una gran parte utiliza la conocida distribución Kali Linux, pero esta no es la única que puede utilizarse en una auditoría de seguridad.
En esta entrada te presentaremos cuatro sistemas operativos que pueden serte muy útiles a la hora de planear tus penetration testing. De modo general, estas herramientas fueron elegidas por serdistribuciones de Linux gratuitas y específicamente desarrolladas con fines de realización de auditorías; en cuanto a cuál es mejor, la respuesta es personal y dependerá de tus conocimientos y de que encuentres la que más se ajuste a tus necesidades.
La primera alternativa que sugeriremos es Pentoo RC4.6, basada en Gentoo Linux, que se encuentra en arquitecturas tanto de 32 como de 64 bits. Es posible instalarlo y usarlo en modo Live CD o USB, es decir que se puede ejecutar sin instalarlo en el disco. La cantidad de aplicaciones preinstaladas es más que suficiente para realizar una auditoría de forma eficiente.
Para iniciar el entorno grafico deberás utilizar el comando startx, como vemos en la siguiente imagen:
Esta alternativa es muy liviana; utiliza xfce como entorno de escritorio y está actualizada con sus aplicaciones a diciembre de 2015.
Esta distribución basada en Ubuntu está actualizada al 10 de diciembre de 2015 con el kernel Linux 3.16, la cual la hace muy versátil y estable. Desde el menú de auditing podremos observar las distintas aplicaciones destinadas al pentesting, aunque también se desplegarán los menús de Ingeniería Inversa, Análisis Forense y Análisis de Malware.
Como es de esperarse, es un sistema muy estable e intuitivo; quienes utilicen Ubuntu se encontrarán especialmente a gusto.
Este sistema es muy liviano y veloz, es decir que tiene una gran performance de uso. En la imagen siguiente podremos apreciar el estilo minimalista en los menús:
Esta distribución basada en Arch Linux, actualizada a fines de noviembre de 2015, cuenta con más de 1.300 herramientas que pueden ser actualizadas pero desde los repositorios oficiales de las herramientas. Desde el sitio oficial podrás visualizar la guía de instalación, en donde también se muestran algunas herramientas y consejos, y se comenta cómo actualizar o agregar repositorios e inclusive de qué manera realizar aportes a la comunidad. Como consejo adicional, si te decides a probar este sistema, al ejecutarlo por primera vez deberás utilizar el usuario root y como clave “blackarch” para iniciar sesión sin problemas.
Además, como vemos en la siguiente imagen, es posible hacer consultas desde IRC, Twitter, correo o directamente en los foros oficiales:
Con una interfaz muy llamativa (MATE) esta distribución basada en Debian resalta poderosamente la atención de usuarios a los cuales les gusta ver más interfaces gráficas y menos consolas de comandos. Utilizando los repositorios del conocido Kali se puede hacer uso de la mayoría de sus aplicaciones, y por si fuera poco, también posee repositorios propios para aplicaciones personalizadas.
En resumen: cada pentester creará su entorno predilecto
Como conclusión podemos mencionar que para el desarrollo de distintos aspectos dentro de un pentest, es de vital importancia basarse en algún estándar o metodología. ISECOM ha generadoOSSTMM (Open Source Security Test Methodology Manual) que si bien no es la única, en la actualidad viene siendo la más utilizada. Si el escenario a investigar está vinculado a aplicaciones web, es recomendable basarse en la guía de la metodología de OWASP que profundiza en los puntos a indagar de una manera ordenada.
Estas metodologías, están muy presentes a la hora de clasificar las herramientas dentro de las opciones de menús de las distribuciones descriptas anteriormente; sin embargo, una de las cuestiones más importantes está vinculada a la capacidad de personalización y flexibilidad que comparten estos sistemas. De este modo, podrás agregar o quitar herramientas que se necesiten para diversos usos y generar tu propia distribución.
Y si bien la mayoría de distribuciones son completas, te desafiamos a que pienses lo siguiente: ¿qué tipo de herramientas o aplicaciones te parecen de importancia como para agregarlas?
En la pasada conferencia Build (Microsoft), se hizo uno de esos anuncios que sorprenden si consideramos que la empresa de las ventanas solamente parece entender del sistema operativo Windows. Anunciaron que Visual Studio ahora va a soportar el desarrollo de C++ pero para Linux. La pregunta que surge naturalmente es ¿por qué Microsoft haría algo semejante?
Visual Studio ha hecho algunos cambios importantes en los últimos meses. No solamente es un IDE, un entorno de programación para los lenguajes que promueve la empresa. Ahora parece ser que el IDE de VS bien podría estar en otros sistemas operativos además de Windows. Por ejemplo, Android está basado en Linux y esta fue anteriormente la primera introducción para la programación usando Linux y VS en ese sistema operativo. Lo que parece estar haciendo Microsoft es extender VS para crear aplicaciones en Linux y no sólo para Android.
Por el momento hay una dependencia de las herramientas de Android para Visual Studio, por lo que hay que instalar primero estas. Sin embargo, esto podría cambiar. La nueva extensión soporta por el momento una configuración para compilar (build – es decir, compilar todas las rutinas siempre), de forma remota, lo que significa que la máquina Linux, que es el objetivo de la compilación, es la que hace este trabajo, es decir, compila, liga y ejecuta el código. Para que esto pueda suceder VS debe poderse comunicar con la máquina remota usando SSH, lo que implica instalar openssh si es que no está ya instalado. Se necesita también g++, el compilador GNU C++, gdb y gdbobserver, que es el depurador de GNU.
Cuando las extensiones están ya instaladas, entonces hay que ver los “templates”, para las aplicaciones de consola, las cuales hay para la Raspberry Pi en lo que es la moda próxima, el IoT. Esto parece ser la causa por la cual Microsoft ha incluido el desarrollo de aplicaciones para Linux en VS. La Pi es ya un dispositivo tan importante para el IoT que poder programar esta máquina es ya una necesidad. Es evidente que muchos programadores tienen que irse a Linux si es que quieren trabajar con el IoT, pues prácticamente la mayoría de las tarjetas de desarrollo soportan alguna versión de Linux´
Fuente 
Linux cumplirá 25 años en agosto. El kernel que nació como un hobby del estudiante finlandés Linus Torvalds domina prácticamente todos los ámbitos de la tecnología, excepto el mercado de escritorio. ¿Qué hace Torvalds después de todo este tiempo? Sigue trabajando, dice, por el año de Linux en el escritorio
El padre de Linux ha hablado de todo un poco en la Embedded Linux Conference durante su charla con Dirk Hohndel, tecnólogo del código abierto en Intel y amigo de Linus. “Hoy puedes usar tu teléfono Linux para conectarte a un data center basado en Linux a través de un router basado en Linux para que una inteligencia artificial te ayude a elegir qué dispositivo basado en Linux podrás comprar a continuación”, dijo Hohndel. “No es algo que haya ocurrido de la noche a la mañana”, contestó Torvalds.
Android ha contribuido al importante dominio del núcleo Linux en el smartphone y otros dispositivos de consumo, pero el sistema operativo también está instalado en la mayoría de servidores y superordenadores del mundo. No ocurre lo mismo con los portátiles y PCs de escritorio. Sobre este tema, Linus Torvalds sigue mostrándose tan optimista como siempre:
El escritorio no ha conquistado el mundo como lo ha hecho Linux en muchas otras áreas. Pero para el uso que yo le doy, mi escritorio luce mucho mejor de lo que jamás habría imaginado. Soy conocido por ser poco educado con la gente de las interfaces gráficas de escritorio. Quiero trabajar. Que algo sea bonito no está entre mis prioridades. De hecho estoy bastante contento con el escritorio de Linux.
Empecé este proyecto por mis propias necesidades y mis necesidades están bastante cubiertas. Por eso, para mí, no es un fracaso. Me encantaría que Linux conquistara ese mundo también, pero resulta que es un ámbito difícil. Sigo trabajando en ello. Han pasado 25 años, puedo seguir haciéndolo otros 25. Voy a exprimirlos al máximo.
Torvalds ya no escribe código, pero supervisa el desarrollo de nuevas versiones y hace las “pull requests”. Estos días ultima el lanzamiento de la versión 4.6 del kernel, una de las más grandes en las que ha trabajado en los últimos dos años, con soporte para el sistema de ficheros orangeFS —el sistema de ficheros número 35 que soporta Linux
Si eres usuario habitual o único de Linux y estabas buscando un equipo portátil con un hardware de calidad en el que ejecutar tu sistema operativo favorito, estás de suerte. Dell ha decidido echarle una mano a los amantes de Linux lanzando una nueva gama de portátiles que funcionan con Linux y ofrecen un hardware a la altura de hoy día. La última edición de estos portátiles entre los que se incluye el XPS nos muestra unos diseños fantásticos, delgados y potentes, pero lo más importante es que sustituye Windows por Linux, más concretamente por Ubuntu 14.04 como el software estándar, aunque podrás seguir seleccionando una versión con el sistema operativo de las ventanas.
Estos nuevos portátiles ofrecen un diseño pulido, con unos marcos laterales en pantalla ínfimos y sobretodo con un procesador de última generación y bajo consumo, el Intel Skylake. No obstante, el precio puede ser lo que no acompañe a los usuarios, 1.550 dólares costará la versión del XPS 13, ya que sólo incluirán Linux las versiones que incluyen el chip Intel i7. Pero no sólo eso justifica el precio, Dell incluye también una pantalla quadHD táctil y nada menos que 16 GB de memoria RAM. No obstante, Dell también ofrece un aversión con Linux para el modelo Intel Core i5, sin pantalla táctil y con la mitad de memoria RAM, pero que no está actualmente disponible en el catálogo y no sabremos cuando estará. Igualmente portátiles con esta potencia que acabamos de mencionar abundan en el mercado.´
Espero que no seas uno de los cientos de usuarios que descargaron una versión comprometida del sistema operativo Linux Mint el sábado.
Porque si lo eres, es posible que no solo estés ejecutando una de las variantes más amigables de Linux en tu computadora, sino también siendo anfitrión de un troyano ELF (Executable and Linkable Format) llamado Tsunami, que puede ser usado para robar archivos de tu sistema y realizar ataques distribuidos de denegación de servicio (DDoS).
En un post, Clement Lefebvre, líder del proyecto Linux Mint, advirtió que atacantes habían logrado irrumpir en los servidores de esta distribución y reemplazar enlaces de descarga ISO por una versión comprometida de Linux Mint 17.3 Cinnamon, alojada en un servidor FTP búlgaro.
Al descubrir el problema, se cree que el equipo de Linux Mint limpió su propio sitio y volvió a infectarse a través de una instalación insegura de WordPress. En respuesta, y mientras trataba de manejar estas vulnerabilidades, dejó fuera de línea al sitio linuxmint.com (muy sabio de su parte).
La vulnerabilidad está presente en la librería glibc
Los equipos de seguridad de Google y Red Hat han descubierto una vulnerabilidad en la librería glibc, usada por varias distribuciones de software, que permitiría que los servidores sean atacados mediante resoluciones DNS.
La vulnerabilidad afecta a todas las versiones de Glibc desde la 2.9 en adelante. La brecha permitiría que los atacantes tomen control remoto de un dispositivo, desde computadores hasta teléfonos inteligentes (Android utiliza Linux). Ya se lanzó un parche de seguridad para resolver la brecha.
El error puede afectar a las bitcoin y a cualquier pieza de software construida con lenguajes como Python, PHP y Ruby o Rails. Si bien los dispositivos con Android acuden a Linux, la mayoría no se ven afectados porque utilizan una versión que no está comprometida por la vulnerabilidad.
Los investigadores de Google descubrieron que la falla estaba presente en el código desde 2008. Las personas encargadas del mantenimiento de glibc fueron notificadas desde julio de 2015. Un equipo de analistas de Red Hat empezó a estudiar cuál ha sido el impacto de la vulnerabilidad.
La falla no afecta a computadores con Windows ni a dispositivos Mac.
¿Qué puede hacer para protegerse?
La principal recomendación es descargar las actualizaciones de seguridad que sean proporcionadas por los diferentes fabricantes de software. Google lanzó un parche que puede descargar 
El tema de la seguridad en Internet ya dejó de ser un buen guion para películas, para convertirse en una prioridad para los gobiernos.
En la actualidad, la administración de Obama, al frente de uno de los países más poderosos del planeta, ha informado que quiere mejorar su infraestructura de Internet y blindarse contra ataques y lo ha pensado haciendo uso de Linux, más específicamente a través del programa Core Infrastructure Initiative, en la que participan grandes empresas tecnológicas que tiene como propósito dar soporte y financiar proyectos críticos como OpenSSL, GnuPG, OpenSSH o NTP.
Para el gobierno norteamericano, al igual que cuidar su infraestructura física, la importancia de cuidar todo lo digital es un asunto de suma importancia para el gobierno, por lo ucal no ha dudado en asesorarse con quienes van a la cabeza del tema, como Google, Facebook, Dropbox o Microsoft, y de compañías financieras como MasterCard, Visa, PayPal, Venmo, para añadir una capa adicional de seguridad en la red.
Según lo informado, sería un total de 19 000 millones de dólares, los que se usaran para elevar la seguridad en la red y proteger a los americanos en Internet, y de paso al resto de los mortales teniendo en cuenta que la mayoría de las empresas son de origen estadounidense.
Muy buena iniciativa y de paso nos demuestra el poder que tiene Linux en entornos críticos como son la seguridad nacional de Estados Unidos.
El paquete de seguridad BackBox Linux 4.5 integra herramientas innovadoras para hackear de forma ética.
La última versión de BackBox Linux, ya disponible (en inglés), llega cargada de novedades para los amantes de la seguridad y de la programación. Los cambios realizados con respecto a las versiones anteriores muestran el empeño del equipo de BackBox Linux por crear una caja de herramientas para los retos del futuro. El primer paso ha sido solucionar los bugs o agujeros de seguridad de las versiones anteriores. Los desarrolladores han renovado el núcleo de sistema apostando por un Kernel 4.2. La lista de nuevas funciones incluye el software para contraseñas Hashcat, el detector de vulnerabilidad WPScan, así como Apktool, Guymanager o Knockpy, entre otras. Todas estas herramientas están actualizadas con las últimas versiones disponibles.
En el apartado de opciones para usuarios, BackBox Linux 4.5 permite por primera vez la sincronización con plataformas cloud o de almacenamiento en la nube. Además, las opciones de anonimato de usuarios han sido mejoradas. Como parte de su compromiso para crear una herramienta duradera, BackBox Linux 4.5 contará con actualizaciones regulares adaptadas a los retos de seguridad que vayan surgiendo con el tiempo.
BackBox Linux 4.5 se encuentra entre las utilidades de hackeo ético más populares. Esta curiosa iniciativa consiste en actuar como un pirata informático para encontrar los puntos débiles del sistema. La principal diferencia con los hackers normales es que los piratas éticos no se aprovechan de los fallos del sistema, sino que tratan de solucionarlos.
Triste noticia, en especial, para la comunidad del software libre: Con apenas 42 años murió este lunes Ian Murdock, fundador del proyecto Debian.
Debian es una distribución Linux -sistema operativo- ampliamente famosa por su estabilidad y potencia, tanto así que es usada en millones de servidores, pero mejor aún, es uno de los pilares de los sistemas libres y su filosofía, una de las comunidades más amplias -con más de 1.000 desarrolladores en este momento- y lo que le da vida a otras distribuciones famosas como Ubuntu y Linux Mint.
Ian Murdock creó a Debian estando en la Universidad Purdue, en 1993, y obtuvo su título en Ciencias de la Computación en 1996. Desde entonces -agosto de 1993-, el proyecto, tanto el sistema operativo como la comunidad tras su desarrollo, se convirtió es uno de los más importantes grupos a favor del software libre y open source. De hecho, tal fue su aporte que la definición hoy conocida de “Open Source” hacía parte de los fundamentos de Debian.
Pero su aporte al mundo de la tecnología continuó cuando se convirtió en CTO de la Linux Foundation, hizo parte de Sun Microsystems -siendo senior leader- y más recientemente obtuvo el cargo de vicepresidente de Plataformas en ExactTarget, parte de Salesforce. Asimismo, fue participe de la plataforma open source Docker.
Tanto en el blog de Docker como en el de Debian, se han compartido notas en memoria de este ilustre personaje.
Solus 1.0 es un nuevo sistema operativo basado en Linux que ha sido creado de cero e incluye un escritorio propio.
El desarrollador Ike Doherty acaba de lanzar Solus 1.0, un nuevo sistema operativo para computadoras basado en Linux que ha sido creado de cero y cuya principal característica es que cuenta con un escritorio propio, denominado Budgie, alejándose así de los escritorios tradicionales como Gnome o Cinnamon. Este ecosistema está creado con el paquete de herramientas GTK (GIMP Tool Kit) y presenta un diseño clásico pero atractivo que ofrece un fácil acceso a los programas del equipo. Su punto fuerte es Raven, un centro de applets (pequeñas aplicaciones), notificaciones y personalización situado en un panel lateral. Además de facilitar el acceso a servicios como el calendario, el control de volumen o la configuración del sistema, Raven permite cambiar la interfaz, el juego de iconos y los paneles del escritorio.
Solus incluye el kernel (núcleo del sistema operativo) Linux 4.3.3, cuenta con el gestor de paquetes eopkg, que facilita su gestión, y trae preinstalados numerosos programas, entre ellos Firefox 43, Nautilus 3.18 y VLC 2.2.1.
Solus 1.0 está diseñado para computadoras con arquitectura x86-64 y se puede descargar desde la web oficial (en inglés), pero hay que tener en cuenta que no es una versión definitiva y presenta algunos problemas con los drivers de AMD, Steam y las impresoras de HP. Sus responsables se han comprometido a resolverlos lo antes posible.