Gestion de Vulnerabilidades
Las tecnologias de gestion de vulnerabilidades permiten escanear redes corporativas en busca de brechas de seguridad y corregirlas antes de que sean explotadas. Si se detecta una vulnerabilidad durante el escaneo, estas herramientas sugieren o activan automaticamente un parche.
Mediante un proceso metodico, es posible reducir la dependencia de sistemas de deteccion de intrusiones de terceros mientras se fortalece la red. Las correcciones oportunas deben implementarse segun las prioridades establecidas por las herramientas de gestion.
Vista General de Herramientas
Esta guia cubre 9 herramientas esenciales para el Blue Team, organizadas por funcion:
LOLBins (Living Off the Land Binaries) son ejecutables legitimos de Windows que pueden ser utilizados por atacantes para realizar acciones maliciosas sin levantar sospechas. Al usar herramientas ya presentes en el sistema, los atacantes se integran en la actividad normal y evitan ser detectados.
El Proyecto LOLBAS es una lista mapeada con MITRE ATT&CK de todos los LOLBins conocidos, con comandos, informacion de uso y capacidades de deteccion para defensores.
Utiliza la informacion del proyecto para implementar capacidades de deteccion y proteger tu infraestructura del uso de LOLBins por parte de atacantes.
Ejemplos de binarios catalogados
GTFOBins (Get The F* Out Binaries) es una coleccion curada de binarios Unix que pueden usarse para elevar privilegios, eludir restricciones o ejecutar comandos arbitrarios en sistemas mal configurados.
El proyecto cataloga binarios legitimos de Unix que pueden ser abusados para obtener shells restringidas, escalar privilegios, transferir archivos, lanzar bind/reverse shells y otras tareas de post-explotacion. Los programas listados no son vulnerables per se — GTFOBins documenta como usarlos de forma no prevista.
La informacion del proyecto puede utilizarse para implementar deteccion en entornos Unix/Linux. Si los atacantes buscan en GTFOBins, los defensores tambien deben conocer estas tecnicas.
Categorias de funciones
Ejemplos de binarios
Filesec es una lista actualizada de extensiones de archivo que los atacantes pueden usar para phishing, ejecucion de codigo, macros y mas. Es un recurso excelente para entender los exploits comunes de extensiones de archivo y como protegerse contra ellos.
Cada pagina de extension contiene una descripcion detallada, el sistema operativo correspondiente y recomendaciones de seguridad especificas.
Extensiones de ejemplo cubiertas
Categorias de funcion
KQL (Kusto Query Language) es el lenguaje de consulta utilizado para buscar y filtrar datos en los registros de Azure Monitor. Es similar a SQL, pero mas optimizado para analizar registros y datos de series temporales.
KQL es especialmente util para equipos azules (Blue Teams) porque permite buscar rapida y facilmente entre grandes volumenes de datos de registro para identificar eventos de seguridad y anomalias que puedan indicar una amenaza.
KQL Search es una aplicacion web creada por @ugurkocde que agrega consultas KQL compartidas en GitHub, con mas de 850 consultas disponibles para deteccion de amenazas.
Ejemplos de consultas disponibles
Los autores de malware dedican mucho tiempo a desarrollar codigo complejo para que el malware permanezca indetectable y evite el sandboxing, el antivirus y el analisis. El Unprotect Project es una base de datos gratuita que centraliza informacion sobre tecnicas de evasion de malware.
El objetivo es proporcionar a analistas y defensores de malware informacion accionable y capacidades de deteccion para reducir el tiempo de respuesta ante incidentes.
Categorias de tecnicas cubiertas
Chainsaw proporciona una potente capacidad de "primer interviniente" para identificar rapidamente amenazas en artefactos forenses de Windows: registros de eventos (.evtx) y MFTs (Master File Table). Ofrece soporte nativo para reglas de deteccion Sigma y reglas personalizadas propias.
Funciones principales
- Busca amenazas usando reglas de deteccion Sigma y reglas especiales de Chainsaw
- Busca y extrae artefactos forenses usando coincidencia de cadenas y expresiones regulares
- Escrito en Rust (Lightning) — rendimiento alto sin sobrecarga
- Etiquetado de documentos mediante la Biblioteca del Motor TAU
- Salida en multiples formatos: tabla ASCII, CSV y JSON
- Compatible con macOS, Linux y Windows
Instalacion
# Clonar Chainsaw git clone https://github.com/countercept/chainsaw.git cargo build --release # Clonar reglas Sigma git clone https://github.com/SigmaHQ/sigma # Clonar muestras de eventos EVTX para pruebas git clone https://github.com/sbousseaden/EVTX-ATTACK-SAMPLES.git
Uso
./chainsaw hunt EVTX-ATTACK-SAMPLES/ \
-s sigma/ \
--mapping mappings/sigma-event-logs-all.yml
Los atacantes intentan saltarse metodos basados en firmas introduciendo nombres aleatorios: nombres de archivos, servicios, estaciones de trabajo, dominios, hostnames, sujetos de certificados SSL, etc.
Freq es una API en Python desarrollada por Mark Baggett para gestionar pruebas de entropia masivas. Utiliza tablas de frecuencia que muestran la probabilidad de que un caracter siga a otro, permitiendo detectar strings generados algoritmicamente (DGA — Domain Generation Algorithms).
Esta disenado para usarse con soluciones SIEM, pero puede funcionar con cualquier sistema que envie solicitudes web.
Instalacion
git clone https://github.com/MarkBaggett/freq cd freq
Uso
# Iniciar freq_server en puerto 10004 con tabla de frecuencia DNS
/usr/bin/python /opt/freq/freq_server.py 10004 /opt/freq/dns.freq
x7kqm2z.evil.com tiene una frecuencia muy baja (las letras no siguen patrones del idioma), Freq lo detectara como anomalo. Dominios legibles como microsoft.com tienen frecuencias altas.yarGen es un generador automatico de reglas YARA. Su principio basico es crear reglas a partir de las cadenas encontradas en archivos de malware, eliminando automaticamente cualquier cadena que tambien aparezca en software limpio conocido.
yarGen incluye grandes bases de datos de cadenas de buen software y codigos de operacion en archivos ZIP (que deben descomprimirse en el primer uso). El proceso tambien detecta similitudes entre muestras y genera superreglas que cubren multiples archivos con una sola regla.
Instalacion
pip install -r requirements.txt python yarGen.py --update
Uso
# Crear base de datos de strings/opcodes desde Office 2013 yarGen.py -c --opcodes -i office -g /opt/packs/office2013 # Actualizar la base de datos con el parametro -u yarGen.py -u --opcodes -i office -g /opt/packs/office365
--nosimple.Con EmailAnalyzer puedes analizar correos electronicos sospechosos de forma rapida y automatizada. Permite extraer cabeceras, enlaces y hashes directamente de archivos .eml para facilitar la investigacion de incidentes de phishing.
Instalacion
git clone https://github.com/keraattin/EmailAnalyzer cd EmailAnalyzer
Uso
# Ver cabeceras del email python3 email-analyzer.py -f <eml file> --headers # Obtener hashes de los adjuntos python3 email-analyzer.py -f <eml file> --digests # Extraer todos los enlaces python3 email-analyzer.py -f <eml file> --links # Extraer adjuntos python3 email-analyzer.py -f <eml file> --attachments
virustotal.com/gui/search/...) y URLScan (urlscan.io/search/#...), agilizando la verificacion de indicadores.VCG (Visual Code Grepper) es una herramienta automatizada de pruebas de seguridad de codigo estatico (SAST) que funciona con C/C++, Java, C#, VB y PL/SQL. Especialmente util cuando el tiempo disponible para la revision de codigo es limitado.
Funciones principales
- Archivo de configuracion por lenguaje — permite anadir cualquier funcion o patron defectuoso personalizado a buscar.
- Deteccion de comentarios problematicos — busca unas 20 frases en comentarios que indican codigo pendiente o roto:
ToDo,FixMe,Kludge, etc. - Grafico circular de calidad — muestra proporciones de codigo, espacios en blanco, comentarios, comentarios ToDo y codigo defectuoso para la base de codigo completa y archivos individuales.
- Soporte para exportar resultados en XML, CSV y texto plano.
Opciones de uso (consola)
## Opciones de inicio -t --target <Filename|DirectoryName> Archivo o directorio objetivo -l --language <CPP|PLSQL|JAVA|CS|VB|PHP|COBOL> Lenguaje (default C/C++) -g --extensions <ext1|ext2|ext3> Extensiones de archivo a analizar -i --import <Filename> Importar resultados XML/CSV ## Opciones de salida -X --csv-export <Filename> Exportar a CSV -f --results <Filename> Exportar a texto plano ## Opciones de consola -c --console Ejecutar en modo consola (sin GUI) -v --verbose Salida detallada -h --help Mostrar ayuda