Auditoria de Redes

Patrick Hernández Cuamatzi

Uso generalizado de sistemas y equipos de cómputo.

Derivado de esto surge la necesidad de comunicarse entre equipos, lo que conlleva la necesidad de tener una red.

La red de área local (LAN por sus siglas en inglés) como tal es un medio de comunicación democrático, o al menos esa es la intención, sin embargo, en ocasiones existen usuarios que intentan aprovecharse de todos los recursos que les proporciona la red para explotarla.

Redes de Área Local

Las redes tienen un punto de demarcación que es hasta donde llega la responsabilidad de nuestro ISP y comienza la nuestra.

Nuestra responsabilidad: “Garantizar el acceso a la red, proveer de mecanismos que

ayuden a la seguridad en la red, interoperabilidad entre sistemas, escalabilidad, etc...”

Computadora o dispositivo capaz de conectarse a la red de datos.

Firewall

Servidor DHCP

DNS

Proxy

Elementos fundamentales en una red

Se pueden auditar 2 elementos principales:

Elementos funcionales Configuración de los equipos, accesos, restricciones,

vulnerabilidades en los equipos, políticas de tráfico, etc.

Elementos no funcionales Velocidades constantes (tanto de subida como de bajada),

tiempo de convergencia de los routers en la red, señal intermitente, cobertura de la señal inalámbrica, etc.

Entonces…¿qué se audita en una red?

En este curso vamos a enfocarnos en los elementos funcionales:

1.- Usuarios (equipos) no autorizados en nuestra red. 2.- El tráfico de nuestra red (para detectar tráfico

sospechoso). 3.- Vulnerabilidad en nuestros usuarios (sobre todo en los

equipos de los jefes). 4.- En caso de tener servidores en nuestra red, se deberán

llevar a cabo auditorias específicas para cada servicio.

Entonces…¿qué se audita en una red?

1.- Seguridad en nuestros puntos de acceso (AP) Difusión de nuestra señal Tipo de seguridad en la conexión Tipo de cifrado (en caso de que el AP lo permita) Alcance longitudinal (esférico) de nuestra señal

Para las redes inalámbricas

Auditando nuestra red con Backtrack 5 R3

Patrick Hernández Cuamatzi

Para descubrimiento de red, su principal objetivo es identificar equipos conectados a la red.

Applications -> BackTrack -> Information Gathering -> Network Analysis -> Network Scanner -> autoscan

Autoscan

Autoscan

Es necesario agregar una red, él automáticamente detecta las existentes.

Autoscan

Elijan su tarjeta de red.

Autoscan

Les pedirá confirmación de los parámetros.

Autoscan

Un ejemplo de salida:

Autoscan

Buscar vulnerabilidades

Patrick Hernández Cuamatzi

Herramienta para la detección de vulnerabilidades en la red.

Applications -> BackTrack -> Vulnerability Assessment-> Vulnerability Scanners -> OpenVAS

OpenVAS

Paso 1: Agregaremos un usuario para utilizar OpenVAS, pueden agregar el nombre que gusten:

OpenVAS

Cuando pregunte sobre las reglas del usuario, presionamos ctrl+D para especificar que hemos terminado de colocar las reglas al usuario, en este caso se quedan en blanco, sin reglas, es decir, el usuario que acabamos de agregar no tendrá restricciones de uso.

OpenVAS

Paso 2: Crear un certificado SSL

OpenVAS -> mkcert

Tiempo de vida (1460) País (MX) Estado o provincia (none) Etc…

Le dejan todo por default, es solo para fines prácticos

OpenVAS

Paso 3: Sincronizando las NVTs (Network VulnerabilityTests, Pruebas de Vulnerabilidades de Red)

Estas NVTs permiten detectar las vulnerabilidades, son como una base de datos de vulnerabilidades encontradas, por ello, es necesario actualizar constantemente dichas NVTs.

OpenVAS -> NVT Sync

OpenVAS

OpenVAS

Paso 4: Comenzar el escaneo en busca de vulnerabilidades.

OpenVAS -> Start OpenVAS scanner

Esto puede tomar unos minutos…

OpenVAS

OpenVAS

Paso 5: Configurando el gestor de OpenVAS

Lo primero que tenemos que hacer es un certificado de cliente para el gestor de OpenVAS, esto se hace ejecutando el siguiente comando:

openvas-mkcert-client -n om –i

OpenVAS

OpenVAS

Ahora tenemos que reconstruir la base de datos, ya que ahora está desactualizada con el agregado de NVT de lo contrario se obtendrán errores sobre la base de datos. Se debe hacer esto cada vez que se actualice el NVT. Esto se hace con un simple comando:

openvasmd --rebuild

OpenVAS

OpenVAS

Paso 6: Configurar el Administrador OpenVAS

Tenemos que crear un usuario administrador que vamos a utilizar para realizar las evaluaciones. Esto se hace ejecutando el siguiente comando:

openvasad -c 'add_user' -n openvasadmin -r Admin

En este caso openvasadmin es el nombre del nuevo usuario que creamos, pueden colocar el nombre que deseen.

OpenVAS

OpenVAS

Iniciando el gestor de OpenVAS

openvasmd -p 9390 -a 127.0.0.1

Iniciando el Administrador OpenVAS

openvasad -a 127.0.0.1 -p 9393

Iniciando el Asistente de Seguridad Greenbone

gsad --http-only --listen=127.0.0.1 -p 9392

OpenVAS

Start Greenbone Security Desktop (browser: 127.0.0.1:9392)

OpenVAS

OpenVAS

1° Configurar un objetivo (target) 2° Crear una nueva tarea (New task), eligiendo el objetivo

antes creado para ejecutar auditoria. 3° Ejecutar la tarea (Task), aparecerá una lista con las

tareas a ejecutar, damos clic en play (botón verde).

OpenVAS

Para ver el estado, den clic en Details (icono azul con una lupa)

OpenVAS

Resultados (dar clic en la fecha de la tarea):

OpenVAS

Analizar el tráfico que pasa por nuestra red

Patrick Hernández Cuamatzi

Aplicación para analizar protocolos de red

Trabaja en modo promiscuo

Puede analizar todo el tráfico que pasa en una red

BackTrack -> Information Gattering -> Network Analysis-> Network Traffic Analysis -> Wireshark

Wireshark

Pantalla inicial

Wireshark

Para empezar con la captura de datos es necesario ir al menú Captura y seleccionar Opciones. El cuadro de diálogo Opciones provee una serie de configuraciones y filtros que determinan el tipo y la cantidad de tráfico de datos que se captura.

Wireshark

Wireshark

Primero, es necesario asegurarse de que Wireshark está configurado para monitorear la interfaz correcta. Desde la lista desplegable Interfaz, seleccione el adaptador de red que se utiliza. Generalmente, para una computadora, será el adaptador Ethernet conectado.

Luego se pueden configurar otras opciones. Entre las que están disponibles en Opciones de captura, merecen examinarse las siguientes dos opciones resaltadas.

Wireshark

Wireshark

Configurar Wireshark para capturar paquetes en un modo promiscuo.

Si esta característica NO está verificada, sólo se capturarán las PDU destinadas a esta computadora. Si esta característica está verificada, se capturarán todas las PDU destinadas a esta computadora Y todas aquellas detectadas por la NIC de la computadora en el mismo segmento de red (es decir, aquellas que “pasan por” la NIC pero que no están destinadas para la computadora). Nota: La captura de las otras PDU depende del dispositivo intermediario que conecta las computadoras del dispositivo final en esta red. Si utiliza diferentes dispositivos intermediarios (hubs, switches, routers), experimentará los diferentes resultados de Wireshark.

Wireshark

Configurar Wireshark para la resolución del nombre de red

Esta opción le permite controlar si Wireshark traduce a nombres las direcciones de red encontradas en las PDU. A pesar de que esta es una característica útil, el proceso de resolución del nombre puede agregar más PDU a sus datos capturados, que podrían distorsionar el análisis.

Wireshark

Elegir una interfaz para capturar

Wireshark

Elija la interfaz y dé clic en el botón start

Recuerde que al estar en modo promiscuo la tarjeta de red, capturará todo el tráfico que pase, por lo que es recomendable solo utilizarlo por unos 10 a 20 segundos, es decir, ya deténgalo !!.

Wireshark

Wireshark

La ventana de visualización principal de Wireshark tiene tres paneles.

Wireshark

Panel Lista de Paquetes

Panel Detalle de Paquetes

Panel Bytes de Paquetes

El panel de Lista de PDU (o Paquete) ubicado en la parte superior del diagrama muestra un resumen de cada paquete capturado. Si hace clic en los paquetes de este panel, controla lo que se muestra en los otros dos paneles.

El panel de detalles de PDU (o Paquete) ubicado en el medio del diagrama, muestra más detalladamente el paquete seleccionado en el panel de Lista del paquete.

El panel de bytes de PDU (o paquete) ubicado en la parte inferior del diagrama, muestra los datos reales (en números hexadecimales que representan el binario real) del paquete seleccionado en el panel de Lista del paquete y resalta el campo seleccionado en el panel de Detalles del paquete.

Wireshark

Pueden analizar los tres paneles, tomen 3 minutos para ello.

Wireshark

Ahora haremos una prueba utilizando el comando ping.

Realice un ping hacia alguno de los equipos en la red, mientras ello ocurre, realice una captura de paquetes con Wireshark, después de unos segundo detenga la captura, y conteste a las siguientes preguntas:

Wireshark

¿Qué protocolo se utiliza por ping? ______________________________

¿Cuál es el nombre completo del protocolo? _________________________________

¿Cuáles son los nombres de los dos mensajes ping? _____________________________________

Wireshark

4.- Las direcciones IP de origen y destino que se encuentran en la lista ¿son las que esperaba?

SI / NO ¿por qué? _______________________________________

___________________________________________________________________________________________________________________________________________________________________________________________________

Wireshark

Seleccione con el mouse el 1er paquete de solicitud de eco en la lista.

El panel de detalles del paquete mostrará algo parecido a:

Haga clic en cada uno de los cuatro «+» para expandir la información.

Wireshark

Como puede ver, los detalles de cada sección y protocolo se pueden expandir más. Tómese el tiempo para leer esta información.

Puede ser que no entienda completamente la información que se muestra, pero tome nota de la que sí reconozca.

Conteste lo siguiente utilizando el panel de detalle de paquetes:

Wireshark

5.- Localice los 2 tipos diferentes de dirección «origen» y «destino», ¿por qué hay 2 tipos?

______________________________________________________________________________

6.- ¿Cuáles son los protocolos que están en la trama de Ethernet?

____________________________________________________________________________________________________________________________________________________________

Wireshark

7.- Ahora en el panel de detalle de bytes, encuentre cual es el mensaje que se envían los equipos al utilizar el protocolo ICMP

___________________________________________________________________________________________________________________________________________________________

Wireshark

Como podría utilizar wireshark para analizar todo el tráfico de una red, dado que en de esta red, no es usted el administrador, solo es un invitado, sin embargo, es un invitado privilegiado, ya que puede tener acceso físico al router principal y al switchprincipal, que se conecta al router antes mencionado (ver dibujo).

Contemple que usted puede introducir cualquier otro dispositivo de red, y la idea es que los usuario continúen con sus enlaces existentes (LAN y WAN), pueden conectar o desconectar, pero no pueden entrar en las configuraciones de los switches ni de los routers, lo que desconecten deberán conectarlo en menos de 1 minuto para no interrumpir las comunicaciones.

Tienen 20 minutos para realizar una propuesta

Desafío - Wireshark

Práctica final de Seguridad:Auditoria de redes inalámbricas

Patrick Hernández Cuamatzi

Comúnmente utilizamos todo con una pre-configuración

Desgraciadamente nuestros Puntos de Acceso vienen pre-configurados con el protocolo WEP (Wired EquivalentPrivacy) que es un sistema de cifrado de 64 y hasta 128 bits, muy vulnerable a ataques.

Sugerencia: cambiar a un cifrado WPA (Wifi ProtectedAccess), el cuál utiliza 128 bits, pero con un vector de inicialización de 48 bits.

Auditoria de redes inalámbricas

Desafío: Siga los pasos del manual que se le facilitará para realizar un ataque a un AP, que utiliza cifrado WEP.

Al terminar dicha práctica y obtener la clave, conéctese al AP y haga un descubrimiento de los equipos en dicha red, después realice un descubrimiento de vulnerabilidades de alguno de los equipos. Finalmente muestre al instructor sus resultados.

Auditoria de redes inalámbricas

Bueno como ya no hay mucho tiempo, solo consiga la clave WEP.

Auditoria de redes inalámbricas

GRACIAS

Patrick Hernández Cuamatzi