Detección
Vulnerabilidades conocidas, configuraciones inseguras y Active Directory.
Dentro de la red, un atacante rara vez necesita un zero-day. Lo habitual es que aproveche un CVE sin corregir, un SMB sin firma o una cuenta de servicio con contraseña débil. BeforeTHEM busca esos tres tipos de problema en el mismo scan.
Biblioteca de detecciones
Miles de detecciones, con curaduría de seguridad ofensiva.
El motor de BeforeTHEM ejecuta más de 8.800 detecciones, seleccionadas y mantenidas por nuestro equipo. Los checks que exigen experiencia en ataque, como los de Active Directory, configuración y servicios de la red interna, los escribe el equipo de seguridad ofensiva de CSURFACE.
Más allá del CVE
No toda falla recibe un CVE.
El CVE es un identificador público asignado a una vulnerabilidad de un producto específico, en una versión específica. Se emite cuando el fabricante o un investigador reporta el defecto, y la corrección queda a cargo de quien desarrolló el software.
Una parte grande del riesgo de la red interna tiene otro origen: la forma en que los sistemas se configuran y se operan. Un protocolo antiguo que sigue activo, una contraseña de fábrica que nunca se cambió o un permiso excesivo en un archivo del sistema son decisiones de configuración. Por eso no reciben número de CVE ni aparecen en los boletines de actualización.
Para quien ya está dentro de la red, estas fallas suelen ser el camino más corto. No necesitan exploit, valen para cualquier versión y rara vez generan alertas. BeforeTHEM verifica la configuración y la exposición con la misma atención que dedica a las vulnerabilidades catalogadas.
Protocolos y servicios expuestos
SMBv1 todavía habilitado, SMB sin firma, que permite retransmitir autenticaciones, sesiones nulas que listan usuarios y recursos compartidos, y Java RMI y puertos de depuración accesibles por la red.
Contraseñas de fábrica
Cámaras, grabadores, impresoras y equipos de red que mantienen el usuario y la contraseña definidos por el fabricante.
Configuración del sistema
RDP sin autenticación a nivel de red, NTLMv1 aceptado, LLMNR activo, que facilita la captura de credenciales, UAC desactivado, LSASS sin protección y firewall desactivado.
Permisos y acceso
Inicio de sesión de root permitido por SSH, binarios con SUID fuera de los paquetes del sistema y archivos de cron, sudoers y systemd que cualquier usuario puede modificar.
Paneles y archivos expuestos
Interfaces administrativas abiertas en la red interna y archivos de configuración o de respaldo accesibles sin autenticación.
Sistemas sin soporte
Sistemas operativos y aplicaciones que ya no reciben actualizaciones. Siguen apareciendo fallas nuevas, y el fabricante ya no publica correcciones.
Active Directory
El camino hasta el administrador del dominio pasa por el AD.
BeforeTHEM analiza el Active Directory en modo de solo lectura y señala las cuentas y configuraciones que un atacante podría usar para escalar privilegios.
- Kerberoast y ASREPRoast. Cuentas con SPN y cuentas sin preautenticación Kerberos.
- Delegación sin restricciones. Máquinas y cuentas que guardan la credencial de quien se autentica en ellas.
- Contraseñas. Cuentas que no exigen contraseña, contraseñas que nunca vencen y contraseñas anotadas en la descripción del usuario.
- Política del dominio. Longitud mínima, complejidad y bloqueo por intentos.
MITRE ATT&CK
Cada configuración insegura, asociada a la técnica que habilita.
"Firma SMB no exigida" dice poco a quien no es del área. "Facilita la interceptación y el reenvío de credenciales (T1557)" deja claro lo que puede pasar. Siempre que existe una técnica correspondiente en ATT&CK, el hallazgo de configuración la muestra.
Mira lo que BeforeTHEM encuentra en una red interna.
En la demostración recorres los hallazgos de una red simulada con Active Directory, servidores Windows y Linux y equipos de OT.