Undertaking an ERP: Evaluating the Security of Apex 5 Developed Software

La seguridad de la información es una preocupación creciente en empresas y organizaciones, siendo más alta aun cuando se vincula a plataformas financieras donde existe información sensible. El presente trabajo resume las técnicas utilizadas en el pentesting realizado tanto al servidor que aloja al producto informático, como al software ERP desarrollado en la herramienta APEX 5 por la Universidad del Azuay. Se han contemplado seis etapas que sugiere una prueba de penetración: i) la conceptualización, que es la etapa que permite definir el alcance de las pruebas a realizar; ii) la preparación del laboratorio en la que se definen algunas de las herramientas que servirán para el inicio de las pruebas de seguridad; iii) la obtención de información que hace referencia a las etapas de reconocimiento y escaneo en la que se identifican posibles objetivos para luego explorar con mayor profundidad algunas características intrínsecas que puedan ser aprovechadas; iv) el análisis de las vulnerabilidades encontradas en la etapa anterior; v) la explotación de esas vulnerabilidades mediante la selección de herramientas; y vi) la post explotación, etapa en la que se contempla la destrucción de evidencias del ataque y la conservación de la conexión y los accesos logrados para extraer información. Todas estas pruebas fueron efectuadas dentro de las instalaciones de la Universidad del Azuay, considerando el ambiente de desarrollo en el que actualmente se encuentra el proyecto ERP.