Auditoria de Redes. Patrick Hernández Cuamatzi

Transcripción

1 Auditoria de Redes Patrick Hernández Cuamatzi

2 Redes de Área Local Uso generalizado de sistemas y equipos de cómputo. Derivado de esto surge la necesidad de comunicarse entre equipos, lo que conlleva la necesidad de tener una red. La red de área local (LAN por sus siglas en inglés) como tal es un medio de comunicación democrático, o al menos esa es la intención, sin embargo, en ocasiones existen usuarios que intentan aprovecharse de todos los recursos que les proporciona la red para explotarla.

3

4 Las redes tienen un punto de demarcación que es hasta donde llega la responsabilidad de nuestro ISP y comienza la nuestra. Nuestra responsabilidad: Garantizar el acceso a la red, proveer de mecanismos que ayuden a la seguridad en la red, interoperabilidad entre sistemas, escalabilidad, etc...

5 Elementos fundamentales en una red Computadora o dispositivo capaz de conectarse a la red de datos. Firewall Servidor DHCP DNS Proxy

6 Entonces qué se audita en una red? Se pueden auditar 2 elementos principales: Elementos funcionales Configuración de los equipos, accesos, restricciones, vulnerabilidades en los equipos, políticas de tráfico, etc. Elementos no funcionales Velocidades constantes (tanto de subida como de bajada), tiempo de convergencia de los routers en la red, señal intermitente, cobertura de la señal inalámbrica, etc.

7 Entonces qué se audita en una red? En este curso vamos a enfocarnos en los elementos funcionales: 1.- Usuarios (equipos) no autorizados en nuestra red. 2.- El tráfico de nuestra red (para detectar tráfico sospechoso). 3.- Vulnerabilidad en nuestros usuarios (sobre todo en los equipos de los jefes). 4.- En caso de tener servidores en nuestra red, se deberán llevar a cabo auditorias específicas para cada servicio.

8 Para las redes inalámbricas 1.- Seguridad en nuestros puntos de acceso (AP) Difusión de nuestra señal Tipo de seguridad en la conexión Tipo de cifrado (en caso de que el AP lo permita) Alcance longitudinal (esférico) de nuestra señal

9 Auditando nuestra red con Backtrack 5 R3 Patrick Hernández Cuamatzi

10 Autoscan Para descubrimiento de red, su principal objetivo es identificar equipos conectados a la red. Applications -> BackTrack -> Information Gathering -> Network Analysis -> Network Scanner -> autoscan

11 Autoscan

12 Autoscan Es necesario agregar una red, él automática mente detecta las existentes.

13 Autoscan Elijan su tarjeta de red.

14 Autoscan Les pedirá confirmaci ón de los parámetro s.

15 Autoscan Un ejemplo de salida:

16 Buscar vulnerabilidades Patrick Hernández Cuamatzi

17 OpenVAS Herramienta para la detección de vulnerabilidades en la red. Applications -> BackTrack -> Vulnerability Assessment -> Vulnerability Scanners -> OpenVAS

18 OpenVAS Paso 1: Agregaremos un usuario para utilizar OpenVAS, pueden agregar el nombre que gusten:

19 OpenVAS Cuando pregunte sobre las reglas del usuario, presionamos ctrl+d para especificar que hemos terminado de colocar las reglas al usuario, en este caso se quedan en blanco, sin reglas, es decir, el usuario que acabamos de agregar no tendrá restricciones de uso.

20 OpenVAS Paso 2: Crear un certificado SSL OpenVAS -> mkcert Tiempo de vida (1460) País (MX) Estado o provincia (none) Etc Le dejan todo por default, es solo para fines prácticos

21 OpenVAS Paso 3: Sincronizando las NVTs (Network Vulnerability Tests, Pruebas de Vulnerabilidades de Red) Estas NVTs permiten detectar las vulnerabilidades, son como una base de datos de vulnerabilidades encontradas, por ello, es necesario actualizar constantemente dichas NVTs. OpenVAS -> NVT Sync

22 OpenVAS

23 OpenVAS Paso 4: Comenzar el escaneo en busca de vulnerabilidades. OpenVAS -> Start OpenVAS scanner Esto puede tomar unos minutos

24 OpenVAS

25 OpenVAS Paso 5: Configurando el gestor de OpenVAS Lo primero que tenemos que hacer es un certificado de cliente para el gestor de OpenVAS, esto se hace ejecutando el siguiente comando: openvas-mkcert-client -n om i

26 OpenVAS

27 OpenVAS Ahora tenemos que reconstruir la base de datos, ya que ahora está desactualizada con el agregado de NVT de lo contrario se obtendrán errores sobre la base de datos. Se debe hacer esto cada vez que se actualice el NVT. Esto se hace con un simple comando: openvasmd --rebuild

28 OpenVAS

29 OpenVAS Paso 6: Configurar el Administrador OpenVAS Tenemos que crear un usuario administrador que vamos a utilizar para realizar las evaluaciones. Esto se hace ejecutando el siguiente comando: openvasad -c 'add_user' -n openvasadmin -r Admin En este caso openvasadmin es el nombre del nuevo usuario que creamos, pueden colocar el nombre que deseen.

30 OpenVAS

31 OpenVAS Iniciando el gestor de OpenVAS openvasmd -p a Iniciando el Administrador OpenVAS openvasad -a p 9393 Iniciando el Asistente de Seguridad Greenbone gsad --http-only --listen= p 9392

32 OpenVAS Start Greenbone Security Desktop (browser: :9392)

33 OpenVAS

34 OpenVAS 1 Configurar un objetivo (target) 2 Crear una nueva tarea (New task), eligiendo el objetivo antes creado para ejecutar auditoria. 3 Ejecutar la tarea (Task), aparecerá una lista con las tareas a ejecutar, damos clic en play (botón verde).

35 OpenVAS Para ver el estado, den clic en Details (icono azul con una lupa)

36 OpenVAS Resultados (dar clic en la fecha de la tarea):

37 Analizar el tráfico que pasa por nuestra red Patrick Hernández Cuamatzi

38 Wireshark Aplicación para analizar protocolos de red Trabaja en modo promiscuo Puede analizar todo el tráfico que pasa en una red BackTrack -> Information Gattering -> Network Analysis -> Network Traffic Analysis -> Wireshark

39 Wireshark Pantalla inicial

40 Wireshark Para empezar con la captura de datos es necesario ir al menú Captura y seleccionar Opciones. El cuadro de diálogo Opciones provee una serie de configuraciones y filtros que determinan el tipo y la cantidad de tráfico de datos que se captura.

41 Wireshark

42 Wireshark Primero, es necesario asegurarse de que Wireshark está configurado para monitorear la interfaz correcta. Desde la lista desplegable Interfaz, seleccione el adaptador de red que se utiliza. Generalmente, para una computadora, será el adaptador Ethernet conectado. Luego se pueden configurar otras opciones. Entre las que están disponibles en Opciones de captura, merecen examinarse las siguientes dos opciones resaltadas.

43 Wireshark

44 Wireshark Configurar Wireshark para capturar paquetes en un modo promiscuo. Si esta característica NO está verificada, sólo se capturarán las PDU destinadas a esta computadora. Si esta característica está verificada, se capturarán todas las PDU destinadas a esta computadora Y todas aquellas detectadas por la NIC de la computadora en el mismo segmento de red (es decir, aquellas que pasan por la NIC pero que no están destinadas para la computadora). Nota: La captura de las otras PDU depende del dispositivo intermediario que conecta las computadoras del dispositivo final en esta red. Si utiliza diferentes dispositivos intermediarios (hubs, switches, routers), experimentará los diferentes resultados de Wireshark.

45 Wireshark Configurar Wireshark para la resolución del nombre de red Esta opción le permite controlar si Wireshark traduce a nombres las direcciones de red encontradas en las PDU. A pesar de que esta es una característica útil, el proceso de resolución del nombre puede agregar más PDU a sus datos capturados, que podrían distorsionar el análisis.

46 Wireshark Elegir una interfaz para capturar

47 Wireshark Elija la interfaz y dé clic en el botón start Recuerde que al estar en modo promiscuo la tarjeta de red, capturará todo el tráfico que pase, por lo que es recomendable solo utilizarlo por unos 10 a 20 segundos, es decir, ya deténgalo!!.

48 Wireshark

49 Wireshark La ventana de visualización principal de Wireshark tiene tres paneles. Panel Lista de Paquetes Panel Detalle de Paquetes Panel Bytes de Paquetes

50 Wireshark El panel de Lista de PDU (o Paquete) ubicado en la parte superior del diagrama muestra un resumen de cada paquete capturado. Si hace clic en los paquetes de este panel, controla lo que se muestra en los otros dos paneles. El panel de detalles de PDU (o Paquete) ubicado en el medio del diagrama, muestra más detalladamente el paquete seleccionado en el panel de Lista del paquete. El panel de bytes de PDU (o paquete) ubicado en la parte inferior del diagrama, muestra los datos reales (en números hexadecimales que representan el binario real) del paquete seleccionado en el panel de Lista del paquete y resalta el campo seleccionado en el panel de Detalles del paquete.

51 Wireshark Pueden analizar los tres paneles, tomen 3 minutos para ello.

52 Wireshark Ahora haremos una prueba utilizando el comando ping. Realice un ping hacia alguno de los equipos en la red, mientras ello ocurre, realice una captura de paquetes con Wireshark, después de unos segundo detenga la captura, y conteste a las siguientes preguntas:

53 Wireshark Qué protocolo se utiliza por ping? Cuál es el nombre completo del protocolo? Cuáles son los nombres de los dos mensajes ping?

54 Wireshark 4.- Las direcciones IP de origen y destino que se encuentran en la lista son las que esperaba? SI / NO por qué?

55 Wireshark Seleccione con el mouse el 1er paquete de solicitud de eco en la lista. El panel de detalles del paquete mostrará algo parecido a: Haga clic en cada uno de los cuatro «+» para expandir la información.

56 Wireshark Como puede ver, los detalles de cada sección y protocolo se pueden expandir más. Tómese el tiempo para leer esta información. Puede ser que no entienda completamente la información que se muestra, pero tome nota de la que sí reconozca. Conteste lo siguiente utilizando el panel de detalle de paquetes:

57 Wireshark 5.- Localice los 2 tipos diferentes de dirección «origen» y «destino», por qué hay 2 tipos? 6.- Cuáles son los protocolos que están en la trama de Ethernet?

58 Wireshark 7.- Ahora en el panel de detalle de bytes, encuentre cual es el mensaje que se envían los equipos al utilizar el protocolo ICMP

59 Desafío - Wireshark Como podría utilizar wireshark para analizar todo el tráfico de una red, dado que en de esta red, no es usted el administrador, solo es un invitado, sin embargo, es un invitado privilegiado, ya que puede tener acceso físico al router principal y al switch principal, que se conecta al router antes mencionado (ver dibujo). Contemple que usted puede introducir cualquier otro dispositivo de red, y la idea es que los usuario continúen con sus enlaces existentes (LAN y WAN), pueden conectar o desconectar, pero no pueden entrar en las configuraciones de los switches ni de los routers, lo que desconecten deberán conectarlo en menos de 1 minuto para no interrumpir las comunicaciones. Tienen 20 minutos para realizar una propuesta

60 Práctica final de Seguridad: Auditoria de redes inalámbricas Patrick Hernández Cuamatzi

61 Auditoria de redes inalámbricas Comúnmente utilizamos todo con una pre-configuración Desgraciadamente nuestros Puntos de Acceso vienen preconfigurados con el protocolo WEP (Wired Equivalent Privacy) que es un sistema de cifrado de 64 y hasta 128 bits, muy vulnerable a ataques. Sugerencia: cambiar a un cifrado WPA (Wifi Protected Access), el cuál utiliza 128 bits, pero con un vector de inicialización de 48 bits.

62 Auditoria de redes inalámbricas Desafío: Siga los pasos del manual que se le facilitará para realizar un ataque a un AP, que utiliza cifrado WEP. Al terminar dicha práctica y obtener la clave, conéctese al AP y haga un descubrimiento de los equipos en dicha red, después realice un descubrimiento de vulnerabilidades de alguno de los equipos. Finalmente muestre al instructor sus resultados.

63 Auditoria de redes inalámbricas Bueno como ya no hay mucho tiempo, solo consiga la clave WEP.

64 GRACIAS Patrick Hernández Cuamatzi