En el presente Trabajo Fin de Grado se detalla el diseño, implementación y análisis de un laboratorio de auditoría de seguridad de red pensado para un entorno corporativo real. El objetivo de su desarrollo es evaluar la indefensión frente a vulnerabilidades y la eficacia de los controles de seguridad perimetral mediante la aplicación de principios de defensa en profundidad, segmentación de red y hardening de sistemas. Para exponer esa idea, se ha elaborado un nodo de red virtualizado que integra múltiples tecnologías y fabricantes, incluyendo firewalls de nueva generación, sistemas Linux vulnerables y herramientas profesionales de auditoría, permitiendo reproducir escenarios habituales basándonos en dispositivos que se pueden encontrar en cualquier cliente. Su diseño se ha creado separando claramente las zonas WAN, DMZ y LAN, y asignando a cada componente un rol específico dentro de la infraestructura. En el desarrollo de la auditoria se ha aplicado una metodología estructurada que abarca desde la planificación y el reconocimiento inicial hasta el análisis de las vulnerabilidades encontradas junto a la propuesta de medidas de mitigación. Entre las acciones tomadas se han realizado escaneos con y sin autenticación utilizando herramientas especializadas, lo que ha permitido comparar la superficie de ataque en diferentes escenarios y analizar el impacto de las vulnerabilidades. Los resultados que se han obtenido han puesto de manifiesto la importancia de una correcta configuración de los dispositivos de seguridad, implementación de medidas perimetrales, además de la necesidad de complementarlas con políticas de segmentación y endurecimiento de sistemas. Finalmente se han realizado un conjunto de reflexiones técnicas y propuestas de mejora que ponen en relieve la idea de que una arquitectura bien diseñada, apoyada en buenas prácticas y estándares oficiales, puede reducir significativamente el riesgo y mejorar la postura de seguridad de un entorno de seguridad real.
ABSTRACT
This Final Degree Project describes the design, implementation and subsequent analysis of a network security auditing laboratory intended to represent a real corporate environment. The main purpose of this work is to analyze the level of exposure to vulnerabilities and to assess how effective the perimeter security controls are applying defense-in-depth principles, network segmentation and system hardening techniques. To illustrate this objective, a virtualized network node was built, bringing together different technologies and vendors, this includes next-generation firewalls, deliberately vulnerable Linux systems and professional auditing tools, allowing the reproduction of common situations like those found in real customer infrastructures. The laboratory was designed with a clear separation between WAN, DMZ and LAN areas, with each element assigned a specific function within the overall architecture.
The audit itself followed a structured methodology, starting with planning and initial reconnaissance tasks and continuing through analyzing the vulnerabilities identified and the definition of possible mitigation measures. As part of the work, different scans were performed (authenticated and unauthenticated) using specialized tools, allowing the analysis of the exposed attack surface in several scenarios and making it easier to assess the relevance of the vulnerabilities identified. The results show the importance of the correct configuration of the security devices, the implementation of perimetral measures and the need to reinforce them with internal segmentation and basic system hardening practices. Finally, this work concludes with a series of technical considerations and improvement proposals, supporting the idea that a properly designed architecture, based on recognized standards and good practices, can considerably reduce risk and improve the security posture on a real operational environment.
En el presente Trabajo Fin de Grado se detalla el diseño, implementación y análisis de un laboratorio de auditoría de seguridad de red pensado para un entorno corporativo real. El objetivo de su desarrollo es evaluar la indefensión frente a vulnerabilidades y la eficacia de los controles de seguridad perimetral mediante la aplicación de principios de defensa en profundidad, segmentación de red y hardening de sistemas. Para exponer esa idea, se ha elaborado un nodo de red virtualizado que integra múltiples tecnologías y fabricantes, incluyendo firewalls de nueva generación, sistemas Linux vulnerables y herramientas profesionales de auditoría, permitiendo reproducir escenarios habituales basándonos en dispositivos que se pueden encontrar en cualquier cliente. Su diseño se ha creado separando claramente las zonas WAN, DMZ y LAN, y asignando a cada componente un rol específico dentro de la infraestructura. En el desarrollo de la auditoria se ha aplicado una metodología estructurada que abarca desde la planificación y el reconocimiento inicial hasta el análisis de las vulnerabilidades encontradas junto a la propuesta de medidas de mitigación. Entre las acciones tomadas se han realizado escaneos con y sin autenticación utilizando herramientas especializadas, lo que ha permitido comparar la superficie de ataque en diferentes escenarios y analizar el impacto de las vulnerabilidades. Los resultados que se han obtenido han puesto de manifiesto la importancia de una correcta configuración de los dispositivos de seguridad, implementación de medidas perimetrales, además de la necesidad de complementarlas con políticas de segmentación y endurecimiento de sistemas. Finalmente se han realizado un conjunto de reflexiones técnicas y propuestas de mejora que ponen en relieve la idea de que una arquitectura bien diseñada, apoyada en buenas prácticas y estándares oficiales, puede reducir significativamente el riesgo y mejorar la postura de seguridad de un entorno de seguridad real.
ABSTRACT
This Final Degree Project describes the design, implementation and subsequent analysis of a network security auditing laboratory intended to represent a real corporate environment. The main purpose of this work is to analyze the level of exposure to vulnerabilities and to assess how effective the perimeter security controls are applying defense-in-depth principles, network segmentation and system hardening techniques. To illustrate this objective, a virtualized network node was built, bringing together different technologies and vendors, this includes next-generation firewalls, deliberately vulnerable Linux systems and professional auditing tools, allowing the reproduction of common situations like those found in real customer infrastructures. The laboratory was designed with a clear separation between WAN, DMZ and LAN areas, with each element assigned a specific function within the overall architecture.
The audit itself followed a structured methodology, starting with planning and initial reconnaissance tasks and continuing through analyzing the vulnerabilities identified and the definition of possible mitigation measures. As part of the work, different scans were performed (authenticated and unauthenticated) using specialized tools, allowing the analysis of the exposed attack surface in several scenarios and making it easier to assess the relevance of the vulnerabilities identified. The results show the importance of the correct configuration of the security devices, the implementation of perimetral measures and the need to reinforce them with internal segmentation and basic system hardening practices. Finally, this work concludes with a series of technical considerations and improvement proposals, supporting the idea that a properly designed architecture, based on recognized standards and good practices, can considerably reduce risk and improve the security posture on a real operational environment. Read More
Related posts:
Unified Hardening Binary (UHB)
Securing web applications using Spring Security
Hardening of an Operating System
When speed kills: the hidden dangers of speculative execution
Herramienta de análisis estático de seguridad para aplicaciones web
REAL ID Enforcement in Effect — What Does This Mean for Biometric Data Security?