15 de abril al 16 de abril de 2025 Red interna D1 D1 Abril 2025

D1 Análisis de vulnerabilidades sobre infraestructura interna Red interna Informe de Resultados Abril 2025

Declaración de Responsabilidad

Las tareas realizadas como parte de las pruebas de ataque y penetración se encontraron acotadas a una metodología y alcance específico, con el objetivo de evaluar los escenarios definidos, según el requerimiento de D1. Por consiguiente, no podemos asegurar que no existan otras observaciones de seguridad que hubieran podido ser identificadas si se hubiera cubierto otro alcance, aplicado otra metodología o simulado otros escenarios de ataque.

Durante el transcurso del trabajo, y en el presente informe, presentamos recomendaciones, soluciones y/o sugerencias para el tratamiento de las debilidades de seguridad identificadas. La implementación de dichas recomendaciones, soluciones y sugerencias es exclusiva responsabilidad de D1, quedando la decisión relativa a su implementación, el análisis de impacto, como así también la compra, contratación y/o implementación de software y/o hardware relacionado (si lo hubiera) con este proyecto bajo exclusiva responsabilidad de D1.

Nuestra evaluación no constituye, según lo acordado con Ustedes, una certificación legal ni un dictamen de acuerdo con normas profesionales de auditoria y por lo tanto no emitimos una opinión sobre el control interno imperante. El informe contiene los resultados de nuestra evaluación a la fecha de nuestra revisión, acotado al alcance, metodología de revisión específica y determinados escenarios de pruebas consensuados con Uds. No hacemos manifestación alguna sobre la suficiencia de dichos escenarios, metodología u alcance en relación con los objetivos que persigue D1 con la realización de las pruebas periódicas de ataque y penetración.

Se entiende que D1 es y continuará siendo el único responsable de establecer y mantener un sistema de control interno, incluyendo, sin limitaciones, el sistema de control de accesos y procesos diseñados para asegurar el logro de sus objetivos de control y el cumplimiento con las leyes y regulaciones aplicables.

Privado y Confidencial

Este documento se proporciona únicamente con fines informativos y de uso interno de D1, y no está destinado a ser utilizado por ninguna persona o entidad que no sea D1 sin el permiso por escrito de Deloitte.

Este documento de ninguna manera contiene una expresión de una opinión o cualquier otra forma de garantía sobre los estados financieros de D1, o cualquier parte de los mismos, ni una opinión o cualquier otra forma de garantía sobre los sistemas de control interno de D1 o su cumplimiento con leyes, regulaciones u otros asuntos.

Este informe es confidencial. Incluye detalles técnicos de las debilidades de seguridad que, si están disponibles para partes no confiables, podrían facilitar la ejecución de una violación contra D1. Por esa razón, el acceso a este informe debe estar restringido y el informe no debe publicarse.

Asimismo, D1 es responsable de manejar el contenido del presente informe de forma tal de compartir con las partes involucradas en los procesos relacionados a esta actividad, solo aquellas secciones, recortes o extractos que así se requiere. Siendo responsabilidad única de D1 el no expandir el alcance de la información a partes no involucradas en el proceso de gestión de la seguridad de los activos incluidos en este informe.

En caso de requerimientos por fuera de estas políticas de privacidad y confidencialidad, se deberá escalar el caso a SURA AM corporativo para su autorización y emisión del nuevo documento pertinente.

Índice

Declaración de Responsabilidad	1

Privado y Confidencial	1

Índice	1

Resumen Ejecutivo	1

Resultado de las pruebas	6

Detalle de observaciones	8

Apéndice A – Alcance detallado	37

Apéndice B – Limitaciones al alcance	38

Apéndice C – Severidad	39

Apéndice D – Lista de Herramientas	42

Apéndice E – Listado de recursos afectados	43

Resumen Ejecutivo

Contexto

En el marco del proceso de aseguramiento de activos tecnológicos y de la información que soportan, D1 (referido como “D1”) nos ha solicitado la ejecución de Pruebas de Seguridad en la infraestructura interna. El objetivo de las pruebas realizadas consistió en la identificación debilidades y vulnerabilidades de seguridad las cuales den lugar a posibles vectores de ataque que puedan comprometer la seguridad de la información de los recursos de la empresa. Dichos vectores de ataque podrían llegar a ser explotados por un intruso o usuario malicioso para alterar funcionamiento, obtener acceso a recursos críticos o datos sensibles almacenados en los mismos.

Los resultados de este informe se basan en el análisis que realizamos de forma presencial en la D1 desde el 15 de abril al 16 de abril de 2025, el cual se efectúa desde el punto de vista de un atacante interno con acceso a la red corporativa. Este informe proporciona una indicación de la postura de seguridad de los sistemas dentro del alcance desde el último día del período de prueba.

Metodología

Deloitte ha desarrollado su propia metodología de pruebas de penetración inspirada en los estándares OWASP, WASC y OSSTMM y la ha personalizado para brindar un servicio consistente y de alta calidad. Esta metodología sigue los pasos que se describen a continuación y se actualiza regularmente en función de las nuevas técnicas de ataque y vulnerabilidades que se descubren. Puede encontrar más detalles sobre las actividades específicas de evaluación de seguridad realizadas durante nuestro compromiso en nuestra propuesta.

Figura 1: Metodología de servicios de evaluación de seguridad de Deloitte

El objetivo del trabajo y el enfoque utilizado fue el siguiente:

Pruebas de penetración sobre infraestructura:

Se realizaron pruebas de seguridad a fin de identificar vulnerabilidades que un intruso podría llegar a explotar para obtener el control de los recursos de infraestructura que soportan diversos servicios presentes en la red interna. Dicho objetivo fue cubierto a partir de la ejecución de pruebas de ataque y penetración “controladas” sobre dicha infraestructura.

Nuestra metodología de análisis de seguridad de redes incorpora las técnicas sugeridas dentro de OSSTMM (Open Source Security Testing Methodology Manual, en inglés), particularmente la sección 11 – Data Networks Security Testing:

Análisis de redes

Enumeración

Identificación

Autenticación

Confidencialidad

Integridad

Controles de configuración

Resumen

Durante las pruebas se encontraron 12 vulnerabilidades: 1 vulnerabilidad de severidad crítico, 5 vulnerabilidades de severidad alto, 4 vulnerabilidades de severidad medio y 2 vulnerabilidades de severidad bajo. Estas vulnerabilidades podrían comprometer la confidencialidad, integridad y disponibilidad de los activos de información de D1/Red interna.

La Figura 2, ilustrada a la izquierda indica la postura de seguridad de D1/Red interna. Basado en la calificación de severidad más alto identificado, el nivel de exposición al momento de las pruebas se considera crítico. Para obtener más detalles y una descripción más técnica de todas las observaciones identificadas y nuestras recomendaciones, consulte la sección Detalles de observaciones y el apéndice de este informe. Además, preste atención a este, ya que también detalla la metodología, las condiciones y las limitaciones de Deloitte.
Figura 2: Estado general de seguridad

La definición de severidad fue realizada en base a nuestro entendimiento técnico y del contexto al momento de realizar las pruebas. Las métricas asignadas muestran una categorización de resultados a partir de la criticidad técnica de la materialización de estos riesgos. Asimismo, la severidad considerada para cada una de las observaciones identificadas no refleja un estado de situación o asociación directa con la metodología de riesgos internos, como ser de negocio u operativos de la organización.

La siguiente figura muestra el resumen de las observaciones que fueron identificadas durante las pruebas realizadas en cada una de las etapas, agrupadas por severidad (Crítico, Alto, Medio y Bajo).

Figura 3: Resumen de las observaciones

Observaciones Clave

Como resultado de las pruebas de seguridad realizadas en los diferentes alcances planteados se han identificado debilidades de seguridad de diversa índole, entre los que se destacan:

Uso de software desactualizado o no soportado por el fabricante:

Estas vulnerabilidades están relacionadas a una inadecuada gestión de actualizaciones y parches de seguridad. El software desactualizado podría contener debilidades de conocimiento público, y es además susceptible a la aparición de vulnerabilidades en el futuro que podrían no ser parchadas por el fabricante (en caso de no estar soportado), dejando los recursos afectados en un estado potencial de explotación por parte de individuos maliciosos.

Inadecuada configuración de Administradores Locales

La vulnerabilidad asociada con el uso de contraseñas de administrador local compartidas radica en la compartición de las credenciales a lo largo de múltiples sistemas dentro de una red. Esto permite a un usuario malintencionado, que haya obtenido acceso a una sola máquina, potencialmente extender su alcance a otras máquinas utilizando las mismas credenciales.

Uso de canales de comunicación no cifrados:

Estas vulnerabilidades están relacionadas a la falta de canales de comunicación cifrados, los cuales impiden que un individuo malicioso con acceso al medio de comunicación pueda observar el contenido original de la información transmitida por algún usuario en texto plano. Con esto, un atacante podría interceptar información sensible, robar credenciales o comprometer los servicios afectados realizando ataques de red externos.

Ataque de cabecera Host posible:

Un ataque a la cabecera Host es una vulnerabilidad en la que un atacante puede manipular el valor de este parámetro en una petición HTTP. Este tipo de ataque puede permitir a atacantes redirigir la aplicación a un servidor o contenido malicioso.

Librería de terceros desactualizada:

Estas vulnerabilidades están relacionadas con el uso de librerías de terceros obsoletas o desactualizadas en una aplicación o sistema. Las librerías de terceros a menudo contienen vulnerabilidades conocidas que pueden ser explotadas por atacantes para comprometer la seguridad del sistema. Si no se actualizan regularmente, estas librerías pueden exponer la aplicación o sistema a ataques como la ejecución remota de código, el desbordamiento de búfer u otras técnicas de explotación.

A partir de las observaciones identificadas se pueden mencionar las siguientes fortalezas de seguridad y oportunidades de mejora y debilidades.

Fortalezas

Recursos SMB únicamente accesibles para usuarios autenticados.

Segmentación de red aplicada.

Uso de mecanismos de autenticación en servicios.

Oportunidades

Mayor monitoreo y detección de accesos anómalos: Mediante alertas en SIEM, análisis de logs y respuestas automatizadas a incidentes.

Exposición de protocolos con cifrados débiles: Se pueden fortalecer mediante la desactivación de versiones obsoletas y el uso de TLS 1.2 o superior.

Actualización de software con los últimos parches de seguridad disponibles: Reducción de vulnerabilidades explotables mediante una mejor gestión de parches.

Fortalecer el manejo, consumo y exposición de los APIs: Aplicando autenticación robusta, control de acceso estricto y monitoreo de actividad.

Debilidades

Permitir el potencial acceso no autorizado a información sensible y a operaciones administrativas de individuos maliciosos.

Uso de credenciales en texto plano en configuraciones de servicios y scripts

Configuración insegura de Linked Servers, permitiendo escalación de privilegios.

Falta de autenticación a nivel de red (NLA) en servicios de Escritorio Remoto (RDP).

Exposición de APIs sin controles adecuados de autenticación y autorización.

Servicios de red activos sin necesidad operativa, aumentando la superficie de ataque.

Recomendaciones de alto nivel

Para cada una de las debilidades y oportunidades de mejora identificadas se han definido recomendaciones para su solución e implementación, las cuales han sido incluidas en la sección de detalle del presente informe. En cada caso se ha evaluado el nivel de riesgo, la complejidad del impacto y la complejidad de sobre la implementación de acciones recomendadas.

Recomendaciones Tácticas

Las siguientes recomendaciones permitirían resolver a corto plazo una gran parte de las observaciones detectadas en el presente documento, a saber:

Remediación de Vulnerabilidades

Definir y aplicar un plan de acción con el objetivo de remediar las vulnerabilidades que han sido detectadas durante la etapa del análisis de seguridad.

Actualizaciones de Seguridad

En base a los resultados detectados en estas pruebas, se recomienda implementar las actualizaciones de seguridad correspondientes en aquellos equipos que estén ejecutando versiones desactualizadas de software, en caso tal de que por restricciones no se puedan aplicar estas actualizaciones se recomienda implementar controles técnicos que mitiguen la probabilidad de explotación de la vulnerabilidad. Asimismo, se recomienda, realizar un inventario del software y su correspondiente versión en todos los equipos críticos de la red de D1.

Fortalecimiento del esquema de control de accesos

Realizar un relevamiento de todos aquellos servicios que no son de carácter interno (acceso para toda la compañía) y verificar que para los mismos aplica un control de acceso robusto que no permita el acceso sin autenticación, mediante credenciales por defecto y/o triviales y que su acceso se encuentre acorde al grupo de permisos asignado a nivel directorio de servicios.

Recomendaciones Estratégica

Las siguientes recomendaciones a largo plazo tiene por objetivo la implementación de controles preventivos a fin de mitigar diferentes riesgos desde la raíz de su problema:

Pruebas de Seguridad Periódicas

Se recomienda realizar pruebas de evaluación de seguridad de manera sistemática y periódica a fin de evaluar la rigurosidad de los controles implementados, como así también descubrir nuevas oportunidades de mejora.

Fortalecimiento de Modelo Zero Trust

Se recomienda reforzar la arquitectura de seguridad basada en el Modelo “Zero Trust”. Este modelo parte de la premisa que cualquier activo (ya sea servidor, dispositivo o usuario) puede ser punto de partida de un ataque por lo que se busca el máximo aislamiento en la red y el otorgamiento de mínimos privilegios posible con el fin de minimizar el impacto ante un compromiso.

Resultado de las pruebas

La siguiente tabla ofrece una visión general de nuestras observaciones de la evaluación de seguridad. Para obtener descripciones detalladas de cada observación, consulte la sección Detalles de observaciones de este documento.

Pruebas de penetración sobre infraestructura interna
ID	Nombre	Severidad	Recurso Afectado
Escalación de Privilegios a Través del API	●	Crítico	educacion.comfenalco.com.co:8082
Exposición Insegura de APIs y Documentación Sensible	●	Alto	educacion.comfenalco.com.co:8082 educacionprueba.comfenalco.com.co:8082
Software desactualizado	●	Alto	172.18.47.214:80/TCP 172.18.47.198:80/TCP
Exposición de Secretos a Través de Endpoints del API	●	Alto	educacion.comfenalco.com.co:8082
Exposición de información sensible	●	Alto	Seven.comfenalco.com.co:443/TCP
Escalación de Privilegios a Través de Linked Servers	●	Alto	educacion.comfenalco.com.co:8082
Acceso a consolas administrativas mediante credenciales débiles	●	Medio	Ver observaciones
Comunidad SNMP por defecto	●	Medio	10.230.20.55:161 172.18.6.23:161
Comunicación no cifrada	●	Medio	Para más información, por favor referirse a “Apéndice F – Comunicación no cifrada"
Servicios de Escritorio Remoto (RDP) Sin Autenticación a Nivel de Red (NLA)	●	Medio	10.230.20.12:3389/RDP 10.230.20.5:3389/RDP 172.18.1.81:3389/RDP 172.18.1.89:3389/RDP
Acceso anónimo de lectura a servidor FTP	●	Bajo	172.18.3.39:21 172.18.4.61:21
Firmado SMB deshabilitado	●	Bajo	Para más información, por favor referirse a “Apéndice F – Firmado SMB deshabilitado”
Inadecuada configuración de seguridad de capa de transporte (TLS)	●	Informacional	Para más información, por favor referirse a “Apéndice F – Inadecuada configuración de seguridad de capa de transporte "
<Nombre de la vulnerabilidad>	●	Elige una opción	<Template>
Tabla 1: Observaciones de las pruebas de penetración sobre infraestructura interna

Detalle de observaciones

Las siguientes páginas contienen las observaciones en detalle.

INT-1: Escalación de Privilegios a Través del API

Recurso(s) afectado(s)	Puntaje	9.8
educacion.comfenalco.com.co:8082	Severidad	●	Crítico
Vector	CVSS:3.1/AV: N/AC: L/PR: N/UI: N/S: U/C:H/I:H/A:H
Observaciones
Se identificó que la API no implementa adecuadamente los controles de autorización, lo que permite a un atacante realizar llamadas a endpoints administrativos sin los permisos adecuados. Como resultado, un usuario con privilegios limitados puede elevar sus privilegios y tomar el control administrativo del sistema. Los recursos afectados son: https://educacion.comfenalco.com.co:8082/AgoraApi/api/Account/ChangeRole?accountCode=DTT&roleCode=1 Las siguientes imágenes muestran en detalle la observación: Una vez actualizado el rol del usuario DTT a administrador, se procedio a actualizar la pagina para recargar los recursos. De igual manera, con los siguientes endpoints es posible tomar el control de cualquier cuenta registrada en el Sistema.
Impacto
Un atacante puede realizar llamados al API para tomar el control administrativo del sistema. Esto le permitiria: Visualizar información sensible de estudiantes y otros usuarios sin autorización. Modificar registros críticos en la base de datos, alterando datos académicos, financieros o administrativos. Crear, modificar o eliminar cuentas de usuarios con privilegios administrativos.
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Restricción de acceso: Implementar controles de acceso adecuados (tokens de autenticación, IP whitelisting, VPN, etc.). Autenticación y autorización: Usar OAuth 2.0, API Keys seguras o JWT para restringir el uso de la API solo a usuarios autorizados. Ocultamiento de documentación sensible: Asegurar que documentación interna de la API (Swagger, Postman, OpenAPI, etc.) no esté accesible públicamente sin autenticación. Rate limiting y monitoreo: Implementar mecanismos de limitación de tasa y monitoreo para detectar accesos sospechosos.

INT-2: Exposición Insegura de APIs y Documentación Sensible

Recurso(s) afectado(s)	Puntaje	8.2
educacion.comfenalco.com.co:8082 educacionprueba.comfenalco.com.co:8082	Severidad	●	Alto
Vector	CVSS:3.1/AV: N/AC: L/PR: N/UI: N/S: U/C:H/I: L/A: N
Observaciones
Durante el testing, se ha observado la existencia de recursos asociados a la compañía que exponen la documentación de las diferentes APIs que consumen los aplicativos. Los recursos afectados son: https://educacionprueba.comfenalco.com.co:8082/NemesisApi/api/index.html https://educacion.comfenalco.com.co:8082/AgoraApi/api/index.html https://educacionprueba.comfenalco.com.co:8082/DriveSQL/api/index.html https://educacion.comfenalco.com.co:8082/NotificationCenter/api/index.html https://educacion.comfenalco.com.co:8082/HadesApi/api/index.html https://educacion.comfenalco.com.co:8082/bpmapi/api/index.html Las siguientes imágenes muestran en detalle la observación:
Impacto
Un atacante podría explotar la información expuesta para obtener acceso no autorizado a sistemas internos, manipular datos o lanzar ataques más avanzados. Ademas, las APIs no protegidas pueden ser explotadas para scraping masivo, consumo excesivo de recursos o generación de tráfico fraudulento.
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Restricción de acceso: Implementar controles de acceso adecuados (tokens de autenticación, IP whitelisting, VPN, etc.). Autenticación y autorización: Usar OAuth 2.0, API Keys seguras o JWT para restringir el uso de la API solo a usuarios autorizados. Ocultamiento de documentación sensible: Asegurar que documentación interna de la API (Swagger, Postman, OpenAPI, etc.) no esté accesible públicamente sin autenticación. Rate limiting y monitoreo: Implementar mecanismos de limitación de tasa y monitoreo para detectar accesos sospechosos.

INT-3: Software desactualizado

Recurso(s) afectado(s)	Puntaje	7.8
172.18.47.214:80/TCP 172.18.47.198:80/TCP	Severidad	●	Alto
Vector	CVSS:3.1/AV: L/AC: L/PR: L/UI: N/S: U/C:H/I:H/A:H
Observaciones
Se ha observado la presencia de servicios que poseen versiones de software desactualizadas y contienen CVEs asignados con vulnerabilidades conocidas. Nota: Esta observación fue realizada en base a la información obtenida de los encabezados de los recursos afectados o el banner del servicio. Es posible que un producto actualizado se refleje incorrectamente como desactualizado. En esos escenarios, esta observación debería ser desestimada. Además, los CVEs listados para cada producto son solo un ejemplo de todas las vulnerabilidades existentes. CVE: CVE-2023-4807 La siguiente imagen muestra los servicios afectados con la versión OpenSSL 3.1.3 desactualizada:
Impacto
Un individuo malicioso podría comprometer con mayor facilidad los servicios afectados, ya que las versiones de software asociadas a los mismos poseen vulnerabilidades y/o debilidades de seguridad previamente reportadas. Las vulnerabilidades mencionadas son de conocimiento público pero los exploits no se encuentran disponibles. En consecuencia, un individuo malicioso con acceso a los exploits podría intentar explotarlas para comprometer la confidencialidad, integridad y/o disponibilidad de la información a través de los servidores afectados.
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Se recomienda analizar la posibilidad de actualizar los servicios afectados a las versiones recomendadas por los fabricantes o bien aplicar todos los parches de seguridad disponibles. También se recomienda implementar un proceso de gestión de parches para identificar a tiempo las versiones de software vulnerables. El proceso de gestión de parches debe incluir tanto los parches del sistema operativo como las aplicaciones y el software de terceros para garantizar que estos elementos también se actualizan. Este proceso también debe incluir un paso para verificar que los parches pertinentes se han instalado correctamente

INT-4: Exposición de Secretos a Través de Endpoints del API

Recurso(s) afectado(s)	Puntaje	7.5
educacion.comfenalco.com.co:8082	Severidad	●	Alto
Vector	CVSS:3.1/AV: N/AC: L/PR: N/UI: N/S: U/C:H/I: N/A: N
Observaciones
Durante el testing, se ha observado la existencia de recursos asociados a la compañía que exponen secretos a través de endpoints del API. Los recursos afectados son: https://educacion.comfenalco.com.co:8082/HadesApi/api/Adapter/GetAll https://educacionprueba.comfenalco.com.co:8082/NemesisApi/api/PaymentProviderSettingParams/GetAll Las siguientes imágenes muestran en detalle la observación:
Impacto
Un atacante podría explotar la información expuesta para obtener acceso no autorizado a sistemas internos, manipular datos o lanzar ataques más avanzados.
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Restricción de acceso: Implementar controles de acceso adecuados (tokens de autenticación, IP whitelisting, VPN, etc.). Autenticación y autorización: Usar OAuth 2.0, API Keys seguras o JWT para restringir el uso de la API solo a usuarios autorizados. Ocultamiento de documentación sensible: Asegurar que documentación interna de la API (Swagger, Postman, OpenAPI, etc.) no esté accesible públicamente sin autenticación. Rate limiting y monitoreo: Implementar mecanismos de limitación de tasa y monitoreo para detectar accesos sospechosos.

INT-5: Exposición de información sensible

Recurso(s) afectado(s)	Puntaje	7.5
Seven.comfenalco.com.co:443/TCP	Severidad	●	Alto
Vector	CVSS:3.1/AV: N/AC: L/PR: N/UI: N/S: U/C:H/I: N/A: N
Observaciones
Durante el testing, se ha observado la existencia de recursos asociados a la compañía que exponen información personal de clientes, componentes del código fuente y archivos de configuración. Los recursos afectados son: https://seven.comfenalco.com.co/aspnet_client/system_web/ https://seven.comfenalco.com.co/copy/ https://seven.comfenalco.com.co/apps/ https://seven.comfenalco.com.co/angular/ Las siguientes imágenes muestran en detalle la observación: https://seven.comfenalco.com.co/aspnet_client/system_web/ https://seven.comfenalco.com.co/copy/ https://seven.comfenalco.com.co/apps/
Impacto
Pérdida de datos confidenciales: Los archivos de clientes pueden contener información personal identificable (PII), datos financieros o secretos comerciales. La exposición de estos datos puede resultar en robo de identidad, fraude financiero y daños a la reputación de los clientes y la empresa. Compromiso de la aplicación: Las configuraciones de la aplicación pueden revelar credenciales de acceso, claves de cifrado y otros datos sensibles que un atacante podría utilizar para obtener acceso no autorizado a la aplicación y sus sistemas subyacentes. Los DLLs (Dynamic Link Libraries) pueden contener código vulnerable o información sensible que un atacante podría explotar para ejecutar código malicioso, escalar privilegios o comprometer la integridad de la aplicación.
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Se recomienda analizar la posibilidad de eliminar la información sensible expuesta a través de los recursos mencionados. Además, se recomienda actualizar los estándares de seguridad en el desarrollo y puesta en producción de servicios, de manera tal que contemple los riesgos asociados a la exposición de información sensible acerca de la infraestructura interna.

INT-6: Escalación de Privilegios a Través de Linked Servers

Recurso(s) afectado(s)	Puntaje	7.1
educacion.comfenalco.com.co:8082	Severidad	●	Alto
Vector	CVSS:3.1/AV: L/AC: L/PR: L/UI: N/S: U/C:H/I:H/A: N
Observaciones
Durante las pruebas, se identificó que la configuración de Linked Servers en la base de datos permite a un atacante con privilegios limitados escalar privilegios y ejecutar consultas en servidores remotos con credenciales de mayor nivel. "userName": "SevenERP", "password": "S3V3NERP2019" Luego de realizar el query se identifica que en el sever Athenea, Seven es sysadmin. Se procede a extraer los hashes de todos los usuarios. Un atacante luego de identificar que hay un “Job” para realizar el backup por el usuario SA, puede modificar esta tarea para generar persistencia hacia el servidor.
Impacto
Compromiso total de bases de datos remotas. Exfiltración de datos sensibles sin detección inmediata. Riesgo de movimientos laterales dentro de la infraestructura de la organización.
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Restringir el uso de Linked Servers a cuentas privilegiadas: Configurar Linked Servers con autenticación explícita y mínima en lugar de confiar en la autenticación delegada. Deshabilitar la opción "Be made using the login’s current security context" si no es estrictamente necesaria. Eliminar credenciales almacenadas en texto plano en las configuraciones de Linked Servers. Aplicar el principio de mínimo privilegio: Evitar que cuentas de usuario estándar tengan acceso a servidores enlazados. Limitar el acceso a comandos EXEC AT y OPENQUERY para evitar ejecución arbitraria de consultas. Monitorear y auditar accesos a Linked Servers: Registrar y analizar el uso de Linked Servers en los logs. Configurar alertas ante intentos sospechosos de acceso o ejecución de comandos no autorizados.

INT-7: Acceso a consolas administrativas mediante credenciales débiles

Recurso(s) afectado(s)	Puntaje	6.5
Ver observaciones	Severidad	●	Medio
Vector	CVSS:3.1/AV: N/AC: L/PR: N/UI: N/S: U/C: L/I: L/A: N
Observaciones
Se han observado consolas de administración las cuales cuentan con usuario y contraseña de administrador configurados por defecto. Los recursos afectados, los usuarios y contraseñas por defecto son: 172.18.8.30:16660/TCP (admin:12345678) 172.18.12.10:8080/TCP (admin:admin) La siguiente imagen muestra una consola de administración accedida mediante credenciales por defecto:
Impacto
Las consolas administrativas configuradas con credenciales por defecto podrían permitir que un usuario malintencionado acceda al sistema y logre obtener información sensible. Además, por los privilegios asociados, suelen ser uno de los primeros puntos de ataque.
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Se recomienda analizar la posibilidad técnica y de negocio de definir e implementar contraseñas complejas para todos los usuarios definidos en los recursos de infraestructura, en particular para aquellos que cuenten con máximos privilegios asignados, o que permitan acceder a recursos críticos de negocio. Se recomienda analizar la posibilidad de modificar las credenciales actualmente configuradas, asegurando que las mismas cumplan con la complejidad requerida según las políticas de contraseñas empleadas en la empresa. Además, se recomienda analizar si es requerido, por razones de negocio, que el acceso de las consolas de administración sea accesible desde toda la red, caso contrario se recomiendo su acceso restringido solo para ciertas IPs.

INT-8: Comunidad SNMP por defecto

Recurso(s) afectado(s)	Puntaje	4.8
10.230.20.55:161 172.18.6.23:161	Severidad	●	Medio
Vector	CVSS:3.1/AV: N/AC:H/PR: N/UI: N/S: U/C: L/I: L/A: N
Observaciones
Los recursos afectados se encuentran configurados para responder a consultas SNMP de comunidades por defecto. La comunidad por defecto detectada es “public”. La siguiente imagen muestra la información devuelta por uno de los recursos afectados al realizar una consulta utilizando el protocolo SNMP:
Impacto
El servicio SNMP permite obtener información valiosa de las versiones, servicios disponibles y configuraciones relativas al software y hardware.
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Se recomienda analizar si el protocolo SNMP es requerido por el negocio. De no ser requerido, se recomienda considerar deshabilitarlo. En el caso de que el protocolo SNMP sea requerido, se recomienda considerar el uso de una comunidad segura.

INT-9: Comunicación no cifrada

Recurso(s) afectado(s)	Puntaje	4.6
Para más información, por favor referirse a “Apéndice F – Comunicación no cifrada"	Severidad	●	Medio
Vector	CVSS:3.1/AV: N/AC: L/PR: L/UI: R/S: U/C: L/I: L/A: N
Observaciones
Se ha observado la existencia de servicios que presentan riesgos de seguridad debido a que no utilizan un canal de comunicación cifrado. Los servicios identificados son: FTP SNMPv1 HTTP La siguiente imagen muestra a uno de los recursos afectados siendo accedido por un canal no cifrado:
Impacto
El uso de canales de comunicación cifrados impide que un individuo malicioso con acceso al medio de comunicación pueda observar el contenido original de la información transmitida. Puesto que las aplicaciones afectadas no fuerzan la utilización de cifrado, la información se transmite en texto plano, permitiéndole a un individuo malicioso con acceso al medio generar ataques de red internos para comprometer los servicios afectados, tales como envenenamiento "ARP poisoning" en conjunto con técnicas del tipo "Man-in-The-Middle" (MiTM).
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Se recomienda analizar si los servicios de comunicación no cifrados son requeridos por el negocio. Si no son requeridos, se recomienda deshabilitarlos y reemplazarlos por las versiones seguras de los protocolos afectados. SNMPv1 podría ser reemplazado por SNMPv3. FTP podría ser reemplazado por SFTP. En el caso de HTTP, se recomienda analizar y modificar la configuración de los servicios web de manera tal que las páginas que transmiten credenciales de usuario y/o cualquier otra información sensible sean únicamente accesibles a través de canales seguros (tal como SSL/TLS). Además, SSL/TLS debe ser configurado de manera tal de forzar un nivel de cifrado de 128 bits o superior. También, se debe asegurar que los certificados SSL utilizados tengan el nombre de host adecuado, no estén expirados, y sean emitidos por una autoridad confiable (CA) para prevenir ataques del tipo Man-in-The-Middle (MiTM). Además, las cookies de sesión utilizadas por la aplicación web deberán ser configuradas utilizando el atributo "secure". Finalmente, se recomienda considerar la posibilidad de requerir a los usuarios de la aplicación que modifiquen las contraseñas utilizadas, puesto que las mismas podrían haber sido comprometidas. Para más información, por favor referirse a los siguiente enlaces: https://cwe.mitre.org/data/definitions/319.html https://cwe.mitre.org/data/definitions/523.html

INT-10: Servicios de Escritorio Remoto (RDP) Sin Autenticación a Nivel de Red (NLA)

Recurso(s) afectado(s)	Puntaje	4.0
10.230.20.12:3389/RDP 10.230.20.5:3389/RDP 172.18.1.81:3389/RDP 172.18.1.89:3389/RDP	Severidad	●	Medio
Vector	CVSS:3.1/AV: N/AC:H/PR: N/UI: N/S:C/C: L/I: N/A: N
Observaciones
Se ha identificado la existencia de Workstation con el servicio RDP habilitado y aceptando conexiones sin autenticación a nivel de red. La siguiente imagen muestra la evidencia:
Impacto
La falta de Autenticación a Nivel de Red (NLA) en los servicios de Escritorio Remoto (RDP) permite que cualquier usuario malintencionado intente conectarse al sistema antes de que se verifiquen sus credenciales. Esto aumenta significativamente la superficie de ataque, permitiendo ataques de fuerza bruta, explotación de vulnerabilidades en RDP y posibles accesos no autorizados. Además, sin NLA, los recursos del sistema pueden agotarse debido a múltiples intentos de conexión, facilitando ataques de denegación de servicio (DoS).
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Se recomienda habilitar la Autenticación a Nivel de Red (NLA) en todos los servidores RDP para restringir el acceso solo a usuarios autenticados a través de credenciales válidas. Esto se puede configurar desde las propiedades del sistema en la pestaña de Escritorio Remoto, o mediante políticas de grupo (GPO). Además, se recomienda implementar mecanismos adicionales como bloqueo de cuentas tras intentos fallidos, uso de MFA (Autenticación Multifactor) y restricción de acceso por IP o VPN para reducir aún más el riesgo de explotación.

INT-11: Acceso anónimo de lectura a servidor FTP

Recurso(s) afectado(s)	Puntaje	3.7
172.18.3.39:21 172.18.4.61:21	Severidad	●	Bajo
Vector	CVSS:3.1/AV: N/AC:H/PR: N/UI: N/S: U/C: L/I: N/A: N
Observaciones
Se ha identificado servidores con el servicio FTP habilitado y aceptando conexiones anónimas permitiendo la lectura de datos. La siguiente imagen muestra uno de los recursos afectados que permite listar directorios anónimamente:
Impacto
Cualquier usuario de la red puede acceder al servicio FTP mencionado. Los usuarios pueden leer información disponible y potencialmente explotar vulnerabilidades asociadas con el servicio FTP con el objetivo de ganar acceso al host afectado.
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Se recomienda eliminar aquellos servicios innecesarios del servidor. En caso en que el servicio FTP sea necesario, implementar apropiadas medidas de seguridad, limitando el acceso únicamente a personal autorizado. Además, se recomienda analizar la posibilidad de modificar las credenciales actualmente configuradas, asegurando que las mismas cumplan con la complejidad requerida según las políticas de contraseñas empleadas en la empresa.

INT-12: Firmado SMB deshabilitado

Recurso(s) afectado(s)	Puntaje	3.7
Para más información, por favor referirse a “Apéndice F – Firmado SMB deshabilitado”	Severidad	●	Bajo
Vector	CVSS:3.1/AV: N/AC:H/PR: L/UI: R/S: U/C: L/I: N/A: L
Observaciones
Se identificó que el protocolo SMB no se encuentra utilizando el firmado de mensajes. La siguiente imagen muestra los resultados de un escaneo sobre uno de los recursos afectados:
Impacto
La configuración actual del servidor SMB no valida la identidad del cliente. En consecuencia, un individuo malicioso podría interceptar dicho tráfico generando un ataque de "Man in the Middle" sin ser detectado.
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Se recomienda analizar la posibilidad de forzar la firma de mensajes SMB en los recursos afectados. Además, se recomienda realizar un análisis detallado de la configuración del protocolo SMB, a fin de obtener un listado completo de todas las ocurrencias que puedan estar afectadas por la presente observación.

INT-13: Inadecuada configuración de seguridad de capa de transporte (TLS)

Recurso(s) afectado(s)	Puntaje	0.0
Para más información, por favor referirse a “Apéndice F – Inadecuada configuración de seguridad de capa de transporte "	Severidad	●	Informacional
Vector	CVSS:3.1/AV: N/AC: L/PR: L/UI: N/S: U/C: N/I: N/A: N
Observaciones
En el marco de las pruebas realizadas, se ha identificado la siguiente configuración de seguridad del protocolo TLS: Dirección IP Puerto TCP SSLv2 SSLv3 TLSv1.0 TLSv1.1 TLSv1.2 TLSv1.3 172.18.6.16, 10.230.20.12, 10.230.20.21 1433 Deshabilitado Deshabilitado Habilitado Habilitado Habilitado Deshabilitado 10.230.20.20, 10.230.20.23, 10.230.20.25, 10.230.20.5, 10.230.80.6, 172.18.1.81, 172.18.1.89, 172.18.4.6, 172.18.6.25, 10.230.20.12, 10.230.20.21, 10.230.20.11, 10.230.20.14, 10.230.20.15, 10.230.20.16, 10.230.80.4, 10.230.80.2, 10.230.80.5, 10.230.20.18, 10.230.20.19 3389 Deshabilitado Deshabilitado Habilitado Habilitado Habilitado Deshabilitado 10.230.80.3, 10.230.80.2, 10.230.80.5 55327 Deshabilitado Deshabilitado Habilitado Habilitado Habilitado Deshabilitado 172.18.1.1, 172.18.10.1, 172.18.12.1, 172.18.13.1, 172.18.14.1, 172.18.15.1, 172.18.19.1, 172.18.20.1, 172.18.3.1, 172.18.4.1, 172.18.5.1, 172.18.6.1, 172.18.7.1, 172.18.8.1, 172.18.9.1 3400 Deshabilitado Deshabilitado Habilitado Habilitado Habilitado Deshabilitado 172.18.1.1, 172.18.10.1, 172.18.12.1, 172.18.13.1, 172.18.14.1, 172.18.15.1, 172.18.19.1, 172.18.20.1, 172.18.3.1, 172.18.4.1, 172.18.5.1, 172.18.6.1, 172.18.7.1, 172.18.8.1, 172.18.9.1 8090 Deshabilitado Deshabilitado Habilitado Habilitado Habilitado Deshabilitado 10.230.20.12, 10.230.20.21, 10.230.20.11, 10.230.20.14, 10.230.20.15, 10.230.20.16, 10.230.80.4, 10.230.80.2, 10.230.80.5, 10.230.20.18, 10.230.20.20, 10.230.20.19 443 Deshabilitado Deshabilitado Habilitado Habilitado Habilitado Deshabilitado 10.230.20.18, 10.230.20.20 8080 Deshabilitado Deshabilitado Habilitado Habilitado Habilitado Deshabilitado 10.230.20.18, 10.230.20.20, 10.230.20.19 8082 Deshabilitado Deshabilitado Habilitado Habilitado Habilitado Deshabilitado 172.18.8.25 8443 Deshabilitado Deshabilitado Habilitado Habilitado Habilitado Deshabilitado Tabla 2: Tabla de protocolos SSL / TLS Dirección IP Puerto TCP POODLE BEAST BREACH SWEET32 DROWN FREAK CRIME LUCKY13 172.18.6.16, 10.230.20.12, 10.230.20.21 1433 OK OK OK X OK OK OK OK 10.230.20.23, 10.230.20.25, 10.230.20.5, 10.230.80.6, 172.18.1.81, 172.18.1.89, 172.18.4.6, 172.18.6.25, 10.230.20.12, 10.230.20.21, 10.230.20.11, 10.230.20.14, 10.230.20.15, 10.230.20.16, 10.230.80.4, 10.230.80.2, 10.230.80.5, 10.230.20.18, 10.230.20.20, 10.230.20.19 3389 OK OK OK X OK OK OK OK 10.230.80.3, 10.230.80.2, 10.230.80.5 55327 OK OK OK X OK OK OK OK 10.230.20.12, 10.230.20.21, 10.230.20.11, 10.230.20.14, 10.230.20.15, 10.230.20.16, 10.230.80.4, 10.230.80.2, 10.230.80.5, 10.230.20.18, 10.230.20.20, 10.230.20.19 443 OK OK OK X OK OK OK OK 10.230.20.18, 10.230.20.20 8080 OK OK OK X OK OK OK OK 10.230.20.18, 10.230.20.20, 10.230.20.19 8082 OK OK OK X OK OK OK OK Tabla 3: Suites de cifrado y vulnerabilidades SSL / TLS Descripción No hay riesgos identificados Protocolos o suites de cifrado vulnerables o deprecados están permitidos, o una suite de cifrado recomendada no está soportada Tabla 4: Leyenda de los protocolos y suites de cifrado SSL / TLS A continuación, se adjuntan una captura de las configuraciones identificadas por la herramienta:
Impacto
Una configuración de seguridad débil provee a un individuo malicioso con oportunidades para comprometer exitosamente la información transmitida sobre un canal cifrado. Una explotación exitosa podría permitir a un atacante descifrar y leer o modificar los datos de tráfico interceptados, que pueden contener datos sensibles como la contraseña de inicio de sesión de un usuario u otros datos personales. Sin embargo, la vulnerabilidad sólo afecta a los usuarios para los que el atacante puede interceptar el tráfico. TLS v1.3 protege contra todos los ataques de degradación TLS conocidos y desconocidos. También proporciona privacidad adicional cifrando una mayor parte del handshake para protegerlo de los intrusos.
Recomendación
Nota: Todas las recomendaciones deberán ser validadas en un entorno de prueba antes de ser implementadas en el ambiente de producción. Se recomienda analizar la posibilidad de rever si la configuración observada responde a un requisito de negocio. De lo contrario, se recomienda aplicar las siguientes directivas: Para los protocolos SSL/TLS: Habilite la compatibilidad con TLS versión 1.3 si es posible. Tenga en cuenta que pueden surgir problemas de compatibilidad en los sistemas heredados si se utiliza exclusivamente TLS 1.3. Para suites de cifrado TLS: Deshabilite la compatibilidad con suites de cifrado débiles en la configuración de servicio de los servicios mencionados y configure el orden de cifrado en el servidor con preferencias para utilizar suites de cifrado PFS. No se recomienda el uso de los siguientes conjuntos de cifrado: Todos con *_CBC_*. Cifrado RC4 Cifrado 3DES Nota: Es posible que los clientes obsoletos no admitan versiones seguras como TLS 1.3. Esto podría significar que los clientes (usuarios humanos a través de navegadores web o servicios M2M que utilizan APIs) de la aplicación no puedan conectarse a la misma. Por lo tanto, recomendamos investigar si las versiones TLS más seguras soportan todos los casos de uso. Además, se recomienda revisar los estándares de configuración de los sistemas para asegurarse que las configuraciones TLS están en línea con las políticas de la organización, y asegurarse de que las configuraciones relacionadas sean consistentes con todas las aplicaciones accesibles desde internet. Para obtener información adicional, consulte los siguientes enlaces: https://nvd.nist.gov/vuln/detail/CVE-2011-3389 https://nvd.nist.gov/vuln/detail/CVE-2013-0169 https://nvd.nist.gov/vuln/detail/CVE-2013-3587

Apéndice A – Alcance detallado

El alcance detallado de esta evaluación de seguridad fue el siguiente:

Recurso(s) Afectad(s)	Tipo de evaluación	Enfoque	Ambiente
LAN Servers(23 activos)	Infraestructura	Interna	Producción
LAN Workstations(500 estaciones)	Infraestructura	Interna	Producción

Tabla 5: Alcance detallado de la evaluación

Apéndice B – Limitaciones al alcance

Los consultores de Deloitte trabajan bajo limitaciones de tiempo y alcance que pueden no aplicarse a las actividades de un usuario malintencionado o un atacante. También funcionan en un momento específico, en un entorno en el que tanto los sistemas probados como los perfiles de amenazas evolucionan dinámicamente. Por lo tanto, es posible que existan o surjan vulnerabilidades que no se identificaron durante la prueba.

Las observaciones de Deloitte son representativas del entorno en su alcance en el momento de la prueba. Si el entorno se modifica a través de cambios en la configuración, los paquetes de software instalados o el código de la aplicación, se pueden introducir vulnerabilidades adicionales que la prueba no identificó.

La prueba se limitó a un esfuerzo razonable y una funcionalidad de muestra limitada sobre lo que se podía lograr dentro de la ventana de prueba solicitada; por lo tanto, puede haber vulnerabilidades que no se identificaron durante la prueba. Del mismo modo, las vulnerabilidades que se han identificado anteriormente pueden estar presentes en otras partes del entorno que no sean las mencionadas.

Durante la prueba, no se realizaron varias pruebas por los siguientes motivos:

Explotación de denegación de servicio ("DoS"), seguridad física e ingeniería social;

Cualquier otra prueba no definida explícitamente en los servicios o alcance;

Sistemas de socios comerciales o seguridad de transmisión dentro de la red de cualquier proveedor de servicios;

Apéndice C – Severidad

Esta sección describe los atributos de las vulnerabilidades encontradas en este informe.

Los resultados presentados se basan en el resultado de las herramientas de software aplicadas, las bases de datos de vulnerabilidades comunes y nuestra experiencia profesional. La puntuación de gravedad se basa en el impacto asociado de la vulnerabilidad de la vulnerabilidad y el alcance de la autorización. El sistema de puntuación de vulnerabilidad común (CVSS) se utiliza para calcular la gravedad de las vulnerabilidades.

CVSS es un estándar de la industria gratuito y abierto para evaluar la gravedad de las vulnerabilidades de seguridad. Es administrado por el Equipo de Respuesta a Incidentes y Equipos de Seguridad (https://www.first.org). La versión actual de CVSS es la versión 3. Los siguientes párrafos se basan en la especificación CVSS.

Para todas las vulnerabilidades encontradas, D1 debe realizar su propia evaluación para alinear su metodología de calificación de riesgo de gestión de seguridad de la información. Además, D1 debería evaluar si las actividades de remediación propuestas deberían implementarse y cómo. Una calificación de riesgo adecuada solo se puede realizar con el conocimiento interno de los requisitos comerciales y los procesos organizativos de la empresa.

Dado que las nuevas vulnerabilidades dentro de los sistemas operativos y las aplicaciones se publican diariamente, y la configuración de los sistemas está sujeta a cambios frecuentes, los siguientes resultados solo pueden basarse en información de vulnerabilidad disponible públicamente y la configuración de los sistemas en la fecha de las pruebas. Esto implica que las nuevas vulnerabilidades dentro de los productos de software utilizados por D1 pueden haber sido publicadas mientras tanto, o las debilidades particulares ya pueden haberse corregido.

Tenga en cuenta que en algunos casos los llamados "falsos positivos" pueden aparecer en el informe. Esto se debe a que no teníamos acceso a toda la información necesaria sobre el sistema o el diseño. Por lo tanto, todos los resultados deben ser verificados para confirmar la calificación.

El esquema a continuación describe los grupos de medición de gravedad:

Figura 4: Grupos de medición CVSS v3.1

Mediciones de Explotabilidad

La medición de la explotabilidad de una vulnerabilidad se basa en el Vector de ataque (AV), la Complejidad de ataque (AC), los Privilegios requeridos (PR) y la Interacción del usuario. El sub-punto de explotabilidad se determina como se describe a continuación.

Vector de Ataque (AV)

Esta medición refleja el contexto por el cual es posible la explotación de vulnerabilidades. Hay cuatro valores distintos para la clasificación de "vector de ataque":

Network (N): La vulnerabilidad está vinculada a la red y la ruta del atacante es a través de la capa 3 de OSI (la capa de red). Dicha vulnerabilidad a menudo se denomina "remotamente explotable".

Adjacent (A): La vulnerabilidad está vinculada a la red, sin embargo, el ataque se limita a la misma red física compartida (por ejemplo, Bluetooth, IEEE 802.11) o lógica (por ejemplo, subred de IP local).

Local (L): La vulnerabilidad no está vinculada a la red, y la ruta del atacante es a través de las vías de lectura / escritura / ejecución. El atacante puede iniciar sesión localmente para aprovechar la vulnerabilidad o confiar en la interacción del usuario, p. para ejecutar un archivo malicioso.

Physical (P): Se requiere acceso físico para explotar la vulnerabilidad. La interacción física puede ser breve o persistente.

Complejidad de Ataque (AC)

Esta medición describe las condiciones más allá del control del atacante que deben existir para explotar la vulnerabilidad. Hay dos valores para la clasificación de "complejidad de ataque":

Low (L): No existen condiciones de acceso especializadas o circunstancias atenuantes. Un atacante puede esperar un éxito repetible contra el componente vulnerable.

High (H): Un ataque exitoso depende de condiciones más allá del control del atacante, es decir, un ataque exitoso no se puede lograr a voluntad, pero requiere que el atacante invierta en una cantidad considerable de esfuerzo en la preparación o ejecución contra el componente vulnerable antes de que pueda esperarse un ataque exitoso.

Privilegios Requeridos (PR)

Esta medición describe el nivel de privilegios que debe tener un atacante antes de explotar con éxito la vulnerabilidad. Hay tres valores distintos para la clasificación de "privilegios requeridos":

None (N): El atacante no está autorizado antes del ataque y, por lo tanto, no requiere ningún acceso a la configuración o los archivos para llevar a cabo un ataque.

Low (L): El atacante está autorizado con (es decir, requiere) privilegios que brindan capacidades básicas de usuario que normalmente podrían afectar solo la configuración y los archivos propiedad de un usuario. Alternativamente, un atacante con privilegios bajos puede tener la capacidad de causar un impacto solo en los recursos no sensibles.

High (H): El atacante está autorizado con (es decir, requiere) privilegios que proporcionan un control significativo (por ejemplo, administrativo) sobre el componente vulnerable que podría afectar la configuración y los archivos de todo el componente.

Interacción del usuario (UI)

Esta medición abarca el requisito de que un usuario, que no sea el atacante, participe en el compromiso exitoso de la vulnerabilidad. Hay dos valores para la clasificación de "interacción del usuario":

None (N): El sistema vulnerable se puede explotar sin ninguna interacción con cualquier usuario.

Required (R): La explotación exitosa de esta vulnerabilidad requiere que un usuario tome alguna acción antes de que la vulnerabilidad pueda ser explotada.

Alcance de Autorización (S)

Cuando la vulnerabilidad de un componente de software establecido por un alcance de autorización puede afectar los recursos establecidos por otro alcance de autorización, se produce un cambio de alcance. Hay dos valores para la clasificación de "alcance de autorización":

Unchanged (U): El alcance de la autorización no cambia cuando la vulnerabilidad y el componente afectado son los mismos. Por lo tanto, una vulnerabilidad explotada solo puede afectar los recursos administrados por la misma autoridad.

Changed (C): El alcance de la autorización cambia cuando la vulnerabilidad y el componente afectado no son iguales. Con la explotación de la vulnerabilidad, un atacante tendría algún privilegio de autorización además del alcance. Por lo tanto, los recursos más allá del alcance de autorización del componente vulnerable podrían verse afectados.

Mediciones de Impacto

La medición del impacto de una vulnerabilidad se basa en la confidencialidad (C), integridad (I) y accesibilidad (A) del componente afectado. El puntaje de impacto se determina como se describe a continuación:

Impacto de Confidencialidad (C)

Esta medición establece el impacto en la confidencialidad de los recursos de información administrados por el componente de software afectado debido a una vulnerabilidad explotada con éxito. Hay tres valores para la clasificación de "confidencialidad":

High (H): Hay una pérdida total de confidencialidad para todos los recursos dentro del recurso afectado. Alternativamente, solo se obtiene acceso a cierta información restringida, pero la información divulgada presenta un impacto directo y grave.

Low (L): Hay cierta pérdida de confidencialidad. Se divulga cierta información restringida, pero el atacante no tiene control sobre la aplicación. La información divulgada no se considera pérdida grave.

None (N): No hay pérdida de confidencialidad dentro del recurso afectado.

Impacto de Integridad (I)

Esta medición establece el impacto en la integridad de los recursos de información administrados por el componente de software afectado debido a una vulnerabilidad explotada con éxito. Hay tres valores distintos para la clasificación de "integridad":

High (H): Hay una pérdida total de integridad o una pérdida completa de protección. Alternativamente, solo se pueden modificar algunos archivos, pero la modificación malintencionada presentaría una consecuencia directa y grave para el componente afectado.

Low (L): Es posible modificar los datos, pero el atacante no tiene control sobre la consecuencia de una modificación o la cantidad de modificación está limitada. La modificación de datos no se considera un impacto grave en el recurso afectado.

None (N): No hay pérdida de integridad dentro del recurso afectado.

Impacto de Accesibilidad (A)

Esta medición establece el impacto en la disponibilidad de los recursos de información administrados por el componente de software afectado debido a una vulnerabilidad explotada con éxito. Hay tres valores distintos para la clasificación de "disponibilidad":

High (H): Hay una pérdida total de accesibilidad, lo que resulta en que el atacante puede denegar completamente el acceso a los componentes administrados por el recurso afectado.

Low (L): Hay un rendimiento reducido o interrupciones en la accesibilidad de los recursos. Incluso si es posible la explotación repetida de la vulnerabilidad, el atacante no tiene la capacidad de negar completamente el acceso a usuarios legítimos.

None (N): No hay impacto en la accesibilidad dentro del recurso afectado.

Apéndice D – Lista de Herramientas

Nombre	Descripción
Burp Suite Professional	Proxy HTTP para la evaluación de vulnerabilidades web
Nessus Vulnerability Scanner	Escáner de redes y vulnerabilidades
Nmap Port Scanner	Escáner de puerto de red
Firefox Browser	Navegador web
Chome Browser	Navegador web
Kali Linux	Varias herramientas de distribución de Kali Linux
Nikto	Explorador de vulnerabilidades de servidor web de código abierto
Gobuster	Escáner de fuerza bruta de contenido web, directorios y subdominios DNS
DirSearch	Escáner de fuerza bruta de contenido web y directorios
Foxy-proxy	Administrador de proxy de Firefox
Firefox Developer Tools	Inspector HTML integrado y depurador de JavaScript
Wappalyzer	Extensión de enumeración de servicios para Firefox
Nuclei	Escáner de vulnerabilidades
WPScan	Escáner de vulnerabilidades de WordPress
Testssl	Programa en Bash de escaneo del servidor SSL / TLS
SSLScan	Programa de escaneo del servidor SSL / TLS
SQLMap	Detección y explotación de fallas de inyección SQL
ffuf	Escáner de fuerza bruta de contenido web, directorios y subdominios DNS

Tabla 6: Lista de herramientas utilizadas durante la evaluación

Apéndice E – Listado de recursos afectados

Comunicación no cifrada

Los recursos afectados son:

10.230.20.15:21/FTP

10.230.20.16:21/FTP

10.230.20.18:21/FTP

10.230.20.20:21/FTP

172.18.12.10:21/FTP

172.18.6.23:161/SNMP

172.18.3.38:161/SNMP

10.230.20.11:80/HTTP

10.230.20.12:80/HTTP

10.230.20.14:80/HTTP

10.230.20.15:80/HTTP

10.230.20.16:80/HTTP

10.230.20.18:80/HTTP

10.230.20.19:80/HTTP

10.230.20.20:80/HTTP

10.230.20.21:80/HTTP

10.230.20.24:80/HTTP

10.230.80.2:80/HTTP

10.230.80.4:80/HTTP

10.230.80.5:80/HTTP

10.230.20.14:8081/HTTP

10.230.20.16:8081/HTTP

Firmado SMB deshabilitado

Los recursos afectados son:

10.230.20.11:445/TCP

10.230.20.12:445/TCP

10.230.20.14:445/TCP

10.230.20.15:445/TCP

10.230.20.16:445/TCP

10.230.20.18:445/TCP

10.230.20.19:445/TCP

10.230.20.20:445/TCP

10.230.20.21:445/TCP

10.230.20.23:445/TCP

10.230.20.24:445/TCP

10.230.20.25:445/TCP

10.230.80.2:445/TCP

10.230.80.3:445/TCP

10.230.80.4:445/TCP

10.230.80.5:445/TCP

10.230.80.6:445/TCP

172.18.1.81:445/TCP

172.18.1.89:445/TCP

172.18.4.6:445/TCP

172.18.6.25:445/TCP

172.18.8.25:445/TCP

172.18.9.236:445/TCP

172.18.9.237:445/TCP

172.18.9.241:445/TCP

Inadecuada configuración de seguridad de capa de transporte

Los recursos afectados son:

172.18.6.16:1433/TCP

10.230.20.20:3389/TCP

10.230.20.23:3389/TCP

10.230.20.25:3389/TCP

10.230.20.5:3389/TCP

10.230.80.6:3389/TCP

172.18.1.81:3389/TCP

172.18.1.89:3389/TCP

172.18.4.6:3389/TCP

172.18.6.25:3389/TCP

10.230.80.3:3389/TCP

10.230.80.3:55327/TCP

172.18.1.1:3400/TCP

172.18.10.1:3400/TCP

172.18.12.1:3400/TCP

172.18.13.1:3400/TCP

172.18.14.1:3400/TCP

172.18.15.1:3400/TCP

172.18.19.1:3400/TCP

172.18.20.1:3400/TCP

172.18.3.1:3400/TCP

172.18.4.1:3400/TCP

172.18.5.1:3400/TCP

172.18.6.1:3400/TCP

172.18.7.1:3400/TCP

172.18.8.1:3400/TCP

172.18.9.1:3400/TCP

10.230.20.12:443/TCP

10.230.20.12:1433/TCP

10.230.20.12:3389/TCP

10.230.20.21:443/TCP

10.230.20.21:1433/TCP

10.230.20.21:3389/TCP

10.230.20.11:443/TCP

10.230.20.11:3389/TCP

10.230.20.14:443/TCP

10.230.20.14:3389/TCP

10.230.20.15:443/TCP

10.230.20.15:3389/TCP

10.230.20.16:443/TCP

10.230.20.16:3389/TCP

10.230.80.4:443/TCP

10.230.80.4:3389/TCP

10.230.80.2:443/TCP

10.230.80.2:3389/TCP

10.230.80.2:55327/TCP

10.230.80.5:443/TCP

10.230.80.5:3389/TCP

10.230.80.5:55327/TCP

10.230.20.18:443/TCP

10.230.20.18:3389/TCP

10.230.20.18:8080/TCP

10.230.20.18:8082/TCP

10.230.20.20:443/TCP

10.230.20.20:8080/TCP

10.230.20.20:8082/TCP

10.230.20.19:443/TCP

10.230.20.19:3389/TCP

10.230.20.19:8082/TCP

172.18.8.25:8443/TCP

172.18.1.1:8090/TCP

172.18.10.1:8090/TCP

172.18.12.1:8090/TCP

172.18.13.1:8090/TCP

172.18.14.1:8090/TCP

172.18.15.1:8090/TCP

172.18.19.1:8090/TCP

172.18.20.1:8090/TCP

172.18.3.1:8090/TCP

172.18.4.1:8090/TCP

172.18.5.1:8090/TCP

172.18.6.1:8090/TCP

172.18.7.1:8090/TCP

172.18.8.1:8090/TCP

172.18.9.1:8090/TCP

Deloitte se refiere a una o más de las firmas miembro de Deloitte Touche Tohmatsu Limited, una compañía privada del Reino Unido limitada por garantía (“DTTL”), su red de firmas miembro, y sus entidades relacionadas. DTTL y cada una de sus firmas miembro son entidades únicas e independientes y legalmente separadas. DTTL (también conocida como “Deloitte Global”) no brinda servicios a los clientes. Por favor acceda a www.deloitte.com/about para conocer más sobre nuestra red global de firmas miembro. Esta comunicación es solo para distribución interna y uso entre el personal de Deloitte Touche Tohmatsu Limited, sus firmas miembros y sus entidades relacionadas (colectivamente, el "Deloitte Red"). Ninguno de la Red Deloitte se hace responsable de cualquier pérdida que pueda sufrir cualquier persona que confíe en esta comunicación. © 2025. Para más información contacte a Deloitte & Co. S.A.