INFORMATION GATHERING

Se denomina information gathering a la instancia previa al intento de ejecutar una intrusión informática a un sistema por aparte de alguien no autorizado. También es empleada (generalmente en organizaciones) por los profesionales éticos en caso de asestar una comprobación de seguridad. Information gathering implica llevar a cabo la tarea previa y minuciosa de inteligencia (similar a un reconocimiento del terreno), más precisamente a la recolección de datos acerca del objetivo o de algún componente relacionado a este o a parte de él. Esta fase se compone, fundamentalmente, de investigación y análisis de datos recabados.

El sistema de información cuenta con incontables piezas y, por lo tanto, el factor permeable (brecha o agujero de seguridad) inicial de éste podría encontrarse en cualquiera de los niveles, comprendidos entre una falla humana, una infraestructura (técnica), lógica y hasta externa por los agentes involucrados (por ejemplo, un proveedor de Internet o hosting inseguro o una sucursal con su red desprotegida) o distintos interconectados.

Los datos que buscan los intrusos antes de atacar pueden estar relacionados con algún empleado, ya sea ejecutivo u operario, con algún sistema o tramo de él o con algún procedimiento u operación que nos permita intervenir en él. También puede ser una dirección IP, un sitio, una red, una aplicación, un servicio (puerto abierto de autentificación o no), un protocolo, un determinado descuido de programación o de administración, un directorio, un documento, una plataforma o bien cualquier dato de ubicación física o denominación de algún sector de la misma organización.

Por supuesto, si puede directamente conseguir logins, lo intentará.

No interesa si el dato es muy importante o casi insignificante. Todo es útil a la hora de la escalada en el sistema y previa planificación de este embate (chequeo o simulación de ataque). Algunas de las preguntas útiles antes de proceder serían:

¿Qué sabemos de nuestro objetivo?

¿Dónde están sus redes, sitios o por dónde fluye su información?

¿Qué partes lo conforman?

¿Qué sistemas poseen y como están formados?

¿Cómo se llaman los integrantes de la organización?

¿Quiénes son sus empleados y qué hacen? ¿Cómo y dónde?

¿Qué información sobre ellos se puede consultar o conseguir en Internet?

Un viaje de 1000 leguas comienza con el primer paso, decían los chinos. Así, por ejemplo, saber con qué plataforma vamos a tener que lidiar o conocer algunos usuarios del sistema, es un buen comienzo. Comúnmente, se denomina footprinting (siguiendo la huella de pisadas) a esta recolección de información previa. De todos modos, cada atacante o consultor tiene sus propios métodos y recursos durante esta búsqueda.

Tomado de Hacking Etico-Carlos Tori.