Plan de pruebas de pentesting ICS - requerimientos y cuestionario cliente
Plan de pruebas de pentesting ICS - requerimientos y cuestionario cliente
Nota importada desde Inbox durante consolidacion bulk.
Resumen
Procedimiento completo para pentesting de entornos ICS (Industrial Control Systems) que incluye: requerimientos previos para el engagement, cuestionario de seguridad para el cliente con preguntas sobre controles CTRL.04/05/09/112/84, y 8 pruebas planificadas desde escaneo de activos hasta compromiso de administrador de dominio.
Objetivo
Realizar un pentesting completo de un entorno ICS para identificar vulnerabilidades, evaluar la postura de seguridad y validar las capacidades de deteccion del Blue Team del cliente.
Prerrequisitos
1. Requerimientos Previos
- Persona de contacto para pruebas de modificacion de PLC (conocer que tocar sin riesgo)
- Conexion de PCs de pentest a la red interna (preferible sobre VDI por limitaciones de conexiones entrantes via Citrix)
- Lista de activos de la red (minimo IP de cada activo)
- Si se usa VDI: whitelisting en AV/EDR para instalar herramientas de pentesting
- Contacto del Blue Team para avisar de pruebas, verificar alertas y añadir excepciones si es necesario
2. Cuestionario para el Cliente
- CTRL.05: Comunicaciones en transito cifradas usando SOFTBUS - aclarar si esta habilitado
- CTRL.05: Servidor de Backup cifrado con clave UFD - aclarar si se ha realizado
- Sistemas/comunicaciones sin cifrado: que medidas adicionales existen
- CTRL.04: Procesos de patch y vulnerability management ya implementados
- CTRL.09: Aclarar si hay varios entornos o solo uno
- CTRL.112: Puertos USB de sistemas en scope deshabilitados o bloqueados
- CTRL.84: Configuracion de acceso remoto
Pasos
Prueba 1: Escaneo de Activos y Puertos
- Ejercicio: Escanear dispositivos accesibles desde la red asignada, usando puertos del documento de referencia
- Objetivo: Obtener lista de servicios y maquinas vivas para posterior ataque
- Validacion Blue Team: SI
- Intervencion Fisica: NO
Prueba 2: Captura de Trafico
- Ejercicio: Captura del trafico que llega al dispositivo
- Objetivo: Recoleccion de informacion
- Validacion Blue Team: NO
- Intervencion Fisica: NO
Prueba 3: Ataques a Servicios Detectados
- Ejercicio: Ataques especificos segun servicio detectado, explotacion de vulnerabilidades conocidas y pruebas por protocolo
- Objetivo: Explotar vulnerabilidades
- Validacion Blue Team: SI
- Intervencion Fisica: NO
Prueba 4: Acceso a Redes
- Ejercicio: Ejercicio no especificado
- Objetivo: Objetivo no especificado
Prueba 5: Ataque Envenenamiento ARP
- Ejercicio: Posicionamiento entre comunicacion de operadores y servicios (MitM)
- Objetivo: Interceptar o bloquear comunicaciones
- Validacion Blue Team: SI
- Intervencion Fisica: NO
Prueba 6: Recoleccion de Informacion del Directorio Activo
- Ejercicio: Obtencion de informacion del Directorio Activo
- Objetivo: Extraccion de todos los objetos AD y relaciones
- Validacion Blue Team: SI
- Intervencion Fisica: NO
Prueba 7: Identificacion de Caminos hasta Administrador de Dominio
- Ejercicio: Identificar posibles caminos a Domain Admin a partir de informacion extraida
- Objetivo: Hoja de ruta para proximas pruebas
- Validacion Blue Team: NO
- Intervencion Fisica: NO
Prueba 8: Conseguir Administrador de Dominio
- Ejercicio: Explotar los caminos identificados en la prueba anterior
- Objetivo: Conseguir Administrador de Dominio
- Validacion Blue Team: SI
- Intervencion Fisica: NO
Verificacion
- Validar deteccion del Blue Team en pruebas marcadas con "SI"
- Confirmar que alertas correspondientes saltan en las herramientas de seguridad
- Documentar gaps de deteccion identificados durante las pruebas
- Comparar resultados con controles CTRL documentados en el cuestionario
Referencias
- red-team-siemens-spectrum-power - Analisis de seguridad ICS relacionado
- Controles CTRL.04, CTRL.05, CTRL.09, CTRL.112, CTRL.84 del marco de referencia del cliente