Después de desplegar los Indicadores de Compromiso, se debería empezar a obtener lo denominado como “coincidencias”. Estas coincidencias implican una herramienta para Indicadores de Compromiso, encuentra una coincidencia para una regla definida o Indicador de Compromiso. Antes de tomar acciones sobre una coincidencia, se debe revisar la información de la coincidencia para determinar si es válido. Esto es normalmente requerido porque algunas coincidencias tienen menos fiabilidad por ser muy genéricos, o debido a los falsos positivos inesperados.

Utilizar Indicadores de Compromiso (IOCs) es grandioso, pero su real poder está en permitir a los equipos de respuesta de incidentes encontrar lo dañino de una manera automática, ya sea a través de una plataforma para respuesta de incidentes empresarial o a través de guiones WMI o VB. El éxito de una investigación depende de la habilidad de buscar Indicadores de Compromiso a través de la empresa y reportarlos de una manera automática; esto es lo considerado como el despliegue de los Indicadores de Compromiso.

La creación de IOC o Indicadores de Compromiso, es el proceso de documentar las características y artefactos relacionados a un incidente de una manera estructurada. Esto incluye todo desde la perspectiva de un host y la red; cosas más allá de únicamente un malware. Se debe pensar sobre elementos como nombres de directorios de trabajo, nombres de archivos de salida, eventos de login, mecanismos de persistencia, direcciones IP, nombres de dominio, e incluso firmas de protocolos de red sobre malware.

La recopilación de pistas iniciales es un paso fundamental en cualquier investigación. Existe un tema no muy adecuado durante las investigaciones; centrarse únicamente en encontrar malware. Es poco probable la única meta del atacante sea instalar malware. El atacante probablemente tiene otras metas en mente, tal vez robar correos electrónicos o documentos, capturar contraseñas, interrumpir la red, o alterar datos. Una vez el atacante está en la red y tiene credenciales válidas, no necesita utilizar malware para acceder hacia otros sistemas.

Wfuzz ha sido creado para facilitar la tarea en las evaluaciones contra aplicaciones web, y está basado en un concepto simple; reemplaza cualquier referencia a la palabra clave FUZZ, por el valor del payload (carga útil) definido.

Un payload en Wfuzz es una fuente de datos.

Este concepto simple permite cualquier entrada sea inyectada en cualquier campo de una petición HTTP, permitiendo realizar ataques complejos de seguridad web en diferentes componentes de la aplicación web, como parámetros, formularios, directorios/archivos, cabeceras, etc.

Droopescan es un escáner basado en plugins, el cual ayuda a los investigadores de seguridad en la identificación de problemas con algunos CMS.

Gobuster es una herramienta utilizada para realizar fuerza bruta a: URIs (directorios y archivos) en sitios web, subdominios DNS (con soporte de comodines), y nombres de hosts virtuales en los servidores web.

Gobuster tiene tres modos disponibles. “dir”, el modo clásico de fuerza bruta contra directorios, “dns”, el modo de fuerza bruta contra subdominios DNS, y “vhost”, el modo de fuerza bruta contra hosts virtuales (no es lo mismo a “DNS”).

HTTP ofrece un número de métodos los cuales pueden ser utilizados para realizar acciones sobre el servidor web (el estándar HTTP 1.1 se refiere a estos como métodos, pero también son comúnmente descritos como verbos). Aunque GET y POST son los métodos más utilizado para acceder a información proporcionada por un servidor web, HTTP permite algunos otros métodos (siendo algunos métodos poco conocidos). Estos pueden ser utilizados para propósitos nefastos si el servidor web está mal configurado.

A continuación se exponen tres técnicas para evaluar los métodos HTTP.

La complejidad intrínseca de la infraestructura de red interconectada y heterogénea, lo cual incluye cientos de aplicaciones web, genera la administración y revisión de la configuración sea un paso fundamental en cada prueba y despliegue de las aplicaciones. Puede ser una vulnerabilidad la cul mine la seguridad completa de la infraestructura, e incluso pequeños problemas y aparentemente sin importancia, pueden evolucionar en severos riesgos para otra aplicación en el mismo servidor.

Las evaluaciones de Equipo Rojo ofrecen ventajas sobre los otros métodos y tecnologías para mejorar la postura de seguridad de una organización. Los Equipos Rojos son la herramienta más precisa para la implementación en seguridad de la información. Esto no implica decir es lo mejor o lo mejor en cualquier situación, es simplemente más preciso. Un Equipo rojo puede identificar las capacidades y deficiencias de los diferentes activos de una organización, lo cual proporcionar una evaluación única sobre la preparación de una organización, para resistir los esfuerzos de un atacante malicioso.