Implementación escáner de vulnerabilidades Nerve en redes de la Universidad de Chile

Abstract

La red de la universidad es un recurso indispensable tanto para académicos como estudiantes de la universidad. Y al igual que todas las redes del mundo moderno es susceptible a ataques de individuos u organizaciones maliciosas. Para lidiar con estas y otras amenazas la universidad dispone de la Oficina de Seguridad de la Información(OSI) encargada de proteger la red y mantener una ambiente digital seguro. Entre las labores que realiza esta organización se encuentra la búsqueda de vulnerabilidades en servicios y dispositivos para prevenir la explotación de estos. Sin embargo, el proceso de ejecución de las pruebas previo a este trabajo sufre de algunos problemas provenientes del hecho de que las pruebas se efectúan manualmente. Como consecuencia el proceso es propenso a errores humanos, necesita de una gran inversión de tiempo para completarse y requiere de cierto conocimiento específico para ser llevado a cabo. Es posible solucionar gran parte de estos problemas al implementar una herramienta capaz de automatizar el proceso de ejecución de las pruebas. En consecuencia, el principal objetivo de este trabajo es implementar la herramienta que mejor se acomoda a las necesidades de la OSI en el ambiente de producción provisto. Entre la gran cantidad de herramientas comerciales open source se optó por extender la herramienta preexistente Nerve. El desarrollo se enfocó en modificar los diferentes módulos de la herramienta para automatizar la ejecución de los scripts e incorporar funcionalidades complementarias de gran valor para la oficina. Sumado a esto, se transformaron los scripts OSI a un formato estándar para posteriormente incorporarlos en las pruebas de la herramienta. Por último, para garantizar tanto la robustez de la herramienta como el correcto funcionamiento de las funcionalidades desarrolladas se utilizó un ambiente de control enfocado en testeo. De este modo, fue posible desarrollar una solución robusta con funcionalidades y características que permiten abordar las necesidades de la oficina. En última instancia, se efectuaron pruebas en 5 redes de diferentes organizaciones de la comunidad universitaria. Los resultados obtenidos permiten determinar correctamente los servicios disponibles en las redes y encontrar configuraciones potencialmente vulnerables. Durante la ejecución de la pruebas no hubieron problemas con la herramienta ni grandes impactos en los servicios atacados. En consecuencia, la herramienta desarrollada es capaz de abordar los problemas de la OSI y cumplir con los requerimientos establecidos durante este trabajo.