CONGRESO NACIONAL DE INSTRUMENTACION. MONITOREO Y CONTROL EN UNA RED POR MEDIO DE VISUALIZADORES DE PAQUETES IPv4/IPv6 Y LISTAS DE ACCESO DE UN ROUTER

Transcripción

1 MONITOREO Y CONTROL EN UNA RED POR MEDIO DE VISUALIZADORES DE PAQUETES IPv4/IPv6 Y LISTAS DE ACCESO DE UN ROUTER G. Gerónimo Castillo, E. H. Rocha Trejo Universidad Tecnológica de Mixteca - IEC Carretera a Acatlima Km. 2.5 Huajuapan de León, Oaxaca, México {gcgero, everth}@nuyoo.utm.mx RESUMEN El presente artículo explica una de las maneras de implementar seguridad en una red utilizando mecanismos de prevención y detección, en particular utilizando visualizadores de paquetes y un router que permita el filtrado de paquetes para controlar el flujo de información a través de sus diferentes interfaces. ABSTRACT This present paper explains one of the ways of making a network secure utilizing prevention and detection mechanisms, in particular utilizing sniffers and a router that make it possible to filter packages in order to control the flow of information through their various interfaces. 1. INTRODUCCIÓN Existen dos tipos de ataques contra la seguridad de la información en un sistema de computo, los ataques pasivos, en los que el agresor escucha la información que circula por el medio de transmisión sin llegar a alterarla, y los ataques activos, en los que tiene lugar una interrupción, eliminación, o modificación de información. Con un programa visualizador de paquetes se puede obtener e interpretar las tramas que circulan por un fragmento de red, extraer a partir de ellas los datos transmitidos y opcionalmente almacenar parte, o la totalidad de dichos datos. Los visualizadores se basan en la colocación de la tarjeta de red en modo promiscuo, y de esta manera obtienen todos los paquetes que pasan por la red aunque no estén dirigidos a ella. Un visualizador de paquetes es una herramienta invaluable para el administrador, ya que ayuda a diagnosticar problemas en la red y si se complementa con la utilización de un firewall eficiente puede brindar mayor seguridad a los usuarios de la red. 2. LA SEGURIDAD Y LOS ATAQUES Para poder brindar seguridad debemos primero reconocer cuales son los tipos de ataques que se pueden presentar en un determinado instante. Estos ataques se pueden clasificar en dos grupos, los activos y los pasivos. Los ataques activos atentan contra la disponibilidad de la información por medio de la interrupción del flujo de datos, así como a su integridad por medio de la modificación o invención de nuevo flujo de datos. Los ataques pasivos atentan contra la confidencialidad del flujo de datos, dado que su objetivo es interceptar dicho flujo. Los protocolos que forman parte del conjunto de protocolos TCP/IP son vulnerables a varios tipos de ataques, algunos de ellos son: el ataque spoofing, el ataque smurf, el ataque de negación de servicios (DoS), el ataque sniffing, entre otros. 1

2 Hablaremos brevemente de los ataques antes mencionados, y nos centraremos en el ataque sniffing, dado que a partir de él se realizaron los visualizadores de paquetes. 2.1 Ataque Spoofing El spoofing es un ataque en el cual una máquina intrusa se hace pasar por otro equipo de la red, inyectando información adicional en una comunicación. Existen diferentes mecanismos para realizar el spoofing por medio de los protocolos ARP, RARP e ICMP Spoofing ARP Un ataque spoofing ARP se lleva a cabo cuando una máquina A requiere conocer la dirección física de otra máquina B, para esto la máquina A envía una solicitud ARP por difusión, logrando con ello que todas las máquinas conectadas a la misma red la reciban, pero sólo la máquina B que contiene la dirección IP enviada en el mensaje, responde, aunque en el caso de aplicar el ataque la máquina intrusa también responderá a dicho mensaje poco tiempo después que la máquina B, haciendo con ello que la máquina A tome en cuenta la última respuesta recibida, y actualice su tabla de direcciones con la pareja: dirección IP destino real, dirección física intrusa, originando con ello que la próxima vez que la máquina A quiera comunicarse con la máquina B envíe los paquetes a la máquina intrusa. Para completar el ataque la máquina intrusa realiza una solicitud ARP, en la que incluye la dirección IP de la máquina origen y su propia dirección física, con ello la máquina destino actualizará su tabla de direcciones con la pareja: dirección IP origen, dirección física intrusa, ocasionando que cuando la máquina destino le mande información a la máquina origen ésta pase antes por la máquina intrusa. Así mismo, ARP es utilizado para enviar respuestas falsas aún si una solicitud no ha sido enviada, también se pueden enviar continuamente mensajes ARP buscando con ello mantener los cachés actualizados con información errónea, de esta forma el intruso le crea alias a las interfaces de las máquinas contra las cuales va a realizar un ataque Spoofing RARP RARP al igual que ARP no provee mecanismos de autentificación, por lo que un intruso puede enviar solicitudes falsas a un servidor real. Para hacer esto el intruso puede asignar la dirección IP de una máquina existente a una estación de trabajo impidiendo el tráfico hacía la máquina víctima Spoofing ICMP Los mensajes ICMP de cambio de ruta, se pueden utilizar para llevar a cabo un ataque de este tipo que consiste en que la máquina intrusa le envía a la máquina origen un mensaje indicándole que debe cambiar la dirección del router a donde envía los datagramas por la dirección de la máquina intrusa. De esta forma se crea un mecanismo de comunicación similar al descrito en Spoofing ARP Spoofing a servicios El servidor DNS puede ser atacado por un spoofing para aceptar y usar información incorrecta. Lo que se realiza es inyectar información falsificada en el caché de dicho servidor, y los usuarios del servidor pueden dirigirse a sitios erróneos. Otro servicio básico que puede ser atacado por medio de spoofing es el SMTP, aquí lo que se pretende es engañar diciendo que pertenecemos a un servidor, y de esta manera enviar un 2

3 mensaje con una dirección de correo falsa, a este hecho se le conoce como mail relaying. Este tipo de ataque es frecuentemente utilizado para el envío de correos basura, es decir, spam. Los dos ataques a servicios descritos anteriormente se encuentran ampliamente documentados en [1]. 2.2 Ataque Smurf El ataque smurf consiste en enviar paquetes ICMP de solicitud de eco con una falsa dirección de origen (IP de la víctima) a una dirección de difusión (broadcast). De esta forma esta solicitud llegará a muchas máquinas, cada una de las cuales enviarán sus paquetes de respuesta de eco a la dirección origen de la petición (cuyos datos estaban falseados y apuntan a la víctima). El resultado de este ataque afecta a la red intermediaria, por donde pasan los paquetes IP, y a la máquina víctima, la cual se ve inundada de paquetes IP, dando como resultado una saturación en el enlace. 2.3 Ataque DoS Un ataque de negación de servicios (DoS) provoca que algún recurso esté demasiado ocupado para responder solicitudes legítimas o para negar el acceso a los usuarios válidos de una determinada máquina. A partir de un ataque smurf se puede llegar a este tipo de categoría de ataque. El ataque Teardrop se encuentran en esta categoría, este ataque consiste en enviar paquetes fragmentados hacía una máquina destino con la opción de reensamblarlo al final, sólo que cuando la máquina intenta llevar a cabo esta tarea se da cuenta que los fragmentos se traslapan entre sí, es decir, hay regiones de datos comunes en dos paquetes distintos provocando que la máquina deje de funcionar. Otro tipo de ataque DoS es el llamado Land, el cual consiste en mandar a una máquina y puerto especifico (de la víctima) un paquete con el bit SYN activo y con dirección y puerto fuente también de la máquina víctima, es decir, como si la máquina víctima quisiera realizar una conexión a ella misma. Esto provoca que la máquina víctima deje de funcionar en la mayoría de los casos o en otros que la carga del CPU alcance valores muy altos. 2.4 Ataque Sniffing El objetivo de ataque sniffing es obtener e interpretar las tramas que circulan por un fragmento de red, extraer a partir de ellas los datos y opcionalmente almacenar parte, o la totalidad de dichos datos. A partir de este tipo de ataque se construyeron los visualizadores de paquetes para monitorear y controlar las acciones de los usuarios. Los ataques sniffing se basan en colocar la tarjeta de red en modo promiscuo. Este modo permite a la tarjeta recibir y procesar todos los paquetes que pasan por su red local en lugar de atender solamente a los paquetes destinados a su dirección física y a transmisiones broadcast, como sucedería por defecto. 3

4 En el sistema operativo UNIX, el modo promiscuo se puede colocar por medio de mecanismos que brinda el sistema, tales como el filtrado de paquetes BSD (BPF) y el network interface tap (NIT). Además de los mecanismos que presenta cada sistema se dispone de un medio portable para establecer este modo. Este medio consiste en modificar las banderas de la interfaz de red por medio de la manipulación de sockets. Hay que hacer notar que para la manipulación de los mecanismos del sistema y la programación con sockets se debe tener privilegios de superusuario. Por esta y muchas más razones se debe tener cuidado de restringir la entrada al sistema como superusuario, por que pueden colocar programas sniffers (visualizadores de paquetes) que realizan este ataque. Si se sospecha que existe un programa de este tipo ejecutándose en el sistema se puede recurrir a los comandos ifconfig y netstat para checar el modo de funcionamiento de la interfaz, o si se quiere checar las máquinas de la red desde el servidor se debe utilizar o programar una herramienta que envíe paquetes de solicitud ARP con una dirección IP no válida en la red, y de esta manera provocar que la máquina que esta ejecutando un sniffer responda a la solicitud. 3. VISUALIZADORES DE PAQUETES IPv4/IPv6 IMPLEMENTADOS Los visualizadores de paquetes pueden ser herramientas de gran utilidad para un administrador de red, dado que le ayudan a detectar problemas en su red y posibles ocurrencias de ataques, tales como: Spoofing ARP, Spoofing RARP, Spoofing ICMP, Spoofing al servicio DNS, Smurf, y DoS. El software desarrollado (llamado sistema IPLook), el cual se ejecuta bajo el sistema Linux, esta compuesto de un conjunto de visualizadores encargados de observar y almacenar el tráfico de un determinado tipo de paquete, es decir, IP, TCP, UDP, ICMP, ARP, RARP e IPv6. Con la información recolectada y teniendo en cuenta los tipos de ataques que se pueden presentar, el administrador puede tomar alguna decisión para proteger a su red. En la figura 1 se muestra como esta formado el software desarrollado. Figura 1. Módulos del sistema implementado. 4

5 Los visualizadores que trabajan con los protocolos IPv4 fueron programados utilizando el siguiente algoritmo. Algoritmo para captura de paquetes IPv4 1. Inicio 2. Abrir un socket de la familia AF_INET del tipo SOCK_PACKET con Protocolo: 0x800 (para IP), 0x0806 (para ARP), 0x8035 (para RARP) o ETH_P_ALL (para capturar todos los paquetes encapsulado en el frame Ethernet) según se requiera. banderas_dispos = socket(af_inet, SOCK_DGRAM, Protocolo) 3. Hacer una operación ioctl sobre el socket para obtener la configuración de las interfaces de red del sistema. struct ifconf ifc; ioctl(banderas_dispos, SIOCGIFCONF, (char *)&ifc) 4. Obtener las banderas de un dispositivo realizando una operación ioctl sobre el socket incluyendo como petición SIOCGIFFLAGS y como tercer parámetro un apuntador a una estructura ifreq cuyo campo ifr_name contiene un nombre de la interfaz de red válida del sistema. ioctl(banderas_dispos, SIOCGIFFLAGS, (char *)&ifreq) Después de la llamada a la función, la estructura ifreq apuntada contiene en su campo ifr_flags las banderas de la interfaz cuyo nombre se utiliza como parámetro. 5. Modificar las banderas ifreq.ifr_flags =IFF_PROMISC; ioctl (banderas_dispos, SIOCSIFLAGS, &ifreq) 6. Realizar una operación de lectura sobre el dispositivo para capturar los paquetes y seleccionar lo que se necesite. 7. Presentar los datos seleccionados en la interfaz creada 8. Fin A continuación se muestran las interfaces de algunos módulos implementados. En la figura 2 se muestra la interfaz principal del sistema en la cual el usuario puede seleccionar las opciones por medio de un menú o por medio del icono asociado con la captura de un determinado tipo de paquete, por ejemplo si el usuario selecciona el icono TCP o se selecciona Capturar y después TCP, se capturan los paquetes TCP como lo muestra la figura 3. En la figura 4 se observan las gráficas de los mensajes ICMP capturados. El usuario también puede visualizar los protocolos y servicios utilizados en su red, por medio de la opción Graficar, como lo muestra la figura 5 y la figura 6, u observar las páginas visitadas como lo muestra la figura 7. 5

6 Figura 2. Pantalla principal del sistema. Figura 3. Pantalla del módulo TCP. 6

7 Figura 4. Pantalla del módulo ICMP. Figura 5. Pantalla del módulo Servicios. 7

8 Figura 6. Pantalla del módulo Encapsulados. Figura 7. Pantalla del módulo Páginas. En el desarrollo del módulo IPv6 se realizó la reconfiguración del kernel del sistema operativo para que este pudiera aceptar los paquetes de tipo IPv6, y se añadió al sistema los paquetes para realizar comunicación entre máquinas. Una vez realizado lo anterior se implemento el siguiente algoritmo para capturar los paquetes IPv6. Cabe hacer notar que en este caso se utilizó la biblioteca libpcap, la cual trabaja con el filtro BPF. 8

9 Algoritmo para captura de paquetes IPv6 1. Inicio 2. Identificar el dispositivo para la captura (función pcap_lookupdev) 3. Abrir el dispositivo para escuchar paquetes (función pcap_open_live) 4. Crear archivo para almacenar datos capturados 5. Abrir el archivo para vaciar los paquetes capturados (función pcap_dump_open) 6. Obtener máscara de red (función pcap_lookupnet) 7. Colocar el filtro para IPv6 (función pcap_compile y función pcap_set_filter) 8. Iniciar ciclo de captura (función pcap_loop) 8.1 Capturar paquetes y almacenarlo en el archivo (función pcap_dump) 9. Liberar recursos (función pcap_close) 10. Abrir archivo de captura (función pcap_open_offline) 11. Iniciar ciclo de recuperación 11.1 Extraer paquete (función pcap_next) 11.2 Almacenar en la estructura Ethernet y obtener los datos 11.3 Almacenar en la estructura IPv6 y obtener datos Si encabezado siguiente es 58 (ICMPv6) entonces Almacenar en la estructura ICMPv6 y obtener datos Sino Saltar el encabezado 11.4 Presentar los datos obtenidos en la interfaz creada 12. Liberar recursos (función pcap_close) 13. Fin El análisis de los paquetes IPv6 se muestran en la figura 8, lo primero que realiza este módulo es la captura de una determinada cantidad de paquetes y después los analiza. Figura 8. Pantalla del módulo IPv6 (fase de presentación). Como se puede observar el sistema muestra la información que transportan los paquetes que viajan por nuestra red, y teniendo en cuenta como trabajan algunos tipos de ataques, el 9

10 administrador puede tomar alguna medida de protección para su red. Lo que nosotros proponemos como protección es la utilización de un router que permita el filtrado de paquetes por medio de listas de acceso, no quiere decir que sea la única o la mejor protección, sólo es una posible solución. 4. LISTAS DE ACCESO DE UN ROUTER En el mercado existen diferentes productos que permiten realizar filtrado de paquetes, aquí sólo hablaremos acerca del router CISCO. Los routers CISCO tienen dos tipos básicos de listas de acceso para realizar el filtrado de paquetes: las listas de acceso estándar y las listas de acceso extendidas. Una lista de acceso estándar permite el filtrado de paquetes en base a la dirección fuente, mientras que las listas de acceso extendidas se basan en la dirección fuente, la dirección destino, protocolo y puerto utilizado [2] [3]. El formato general para las listas de acceso estándar con el protocolo IP es el siguiente: access-list [número] [deny permit] [fuente] [máscara] [log] El campo número denota el número de la lista de acceso, este número puede estar entre 1 y 99. La barra ( ) denota que se debe de elegir la palabra clave deny o permit, permit permite que los paquetes puedan viajar a través de la interfaz, mientras que la palabra clave deny no les permite el paso. El campo fuente especifica la dirección IP de la máquina o la red desde la cual el paquete es enviado. El campo máscara es aplicado a la fuente. El formato general de las listas de acceso extendidas es: access-list [número] [deny permit] [protocolo clave-protocolo] [fuente] [máscara-fuente] [puerto fuente] [destino] [máscara-destino] [puerto destino] [log] [opciones] Similar a las listas de acceso estándar, el número de la lista se utiliza para identificar la lista extendida, el número en este caso debe ser un entero entre 100 y 199. El uso de deny o permit especifica si el paquete IP debe ser bloqueado o permitido. El protocolo especifica el protocolo a ser filtrado, tal como IP, TCP, UDP, ICMP. La dirección fuente y la máscara tiene la misma función que en una lista de acceso estándar, en esta lista también se puede utilizar los términos host y any. El puerto fuente puede ser especificado en forma numérica o por medio de un mnemónico, por ejemplo, se puede usar el número 80 o http para especificar el protocolo de transmisión de hipertexto. Para TCP o UDP también se puede usar los operadores < (lt), >(gt), =(eq) y (neq). La dirección destino y máscara destino tiene la misma estructura que la dirección fuente y máscara fuente, aquí también se puede utilizar los términos any y host. El puerto destino puede ser especificado igual que el puerto fuente, ya sea por medio de un número, un mnemónico, o un operador con un número o con un mnemónico para especificar un rango. Cabe hacer notar que el orden de las listas de acceso es importante, no se pueden reordenar o borrar una sola declaración de la lista en el router, para realizar esto es mejor que se creen todos los criterios en un servidor TFTP, y después cargarlos en el router [4]. Para esto, los pasos a seguir son: 1. Escribir las listas de acceso (en este punto, proponemos la utilización del analizador sintáctico construido) 2. Entrar al router con privilegios. 3. Usar el comando copy tftp: archivo system:runnig-config, donde archivo es el nombre del archivo donde se almacenaron las listas de acceso. 10

11 4. Finalmente ejecutar el comando copy system:runnig-config nvram:startup-config para almacenar las listas de acceso en el router. 4.1 Analizador sintáctico implementado Teniendo en cuenta la sintaxis de las listas de acceso de un router, se construyo un analizador sintáctico, el cual además de analizar la correcta escritura de las listas, le brinda al usuario la facilidad de escritura de dichas listas por medio de su interfaz. Para llevar a cabo la construcción del analizador sintáctico se utilizó la herramienta flex para realizar la fase de análisis léxico y la herramienta yacc para la fase de análisis sintáctico. Las interfaces para la creación de las listas de acceso se muestra en la figura 9 y figura 10. Este módulo además de guiar al usuario en la escritura de las reglas de acceso, almacena en un archivo las definiciones establecidas, que posteriormente son revisadas, indicándole al usuario la ocurrencia de errores, y de esta manera evitarlos antes del envío de las reglas al router. Figura 9. Pantalla de creación de listas de acceso estándar. Figura 10. Pantalla de creación de listas de acceso extendidas. 11

12 Utilizando el mecanismo de filtrado de paquetes lo que se recomienda bloquear es lo siguiente: Direcciones de difusión, las cuales son empleadas por los ataques smurf. Paquetes de entrada con direcciones fuentes correspondientes a direcciones internas (tipo de ataques spoofing). Paquetes de entrada de direcciones no confiables. Paquetes con direcciones loopback. Paquetes SMTP que intenten entrar a un servidor diferente al destinado como servidor de correos. 5. CONCLUSIONES Con la información recolectada de los paquetes que viajan por la red, se construyeron: estadísticas de los servicios de red utilizados, estadísticas de los paquetes encapsulados dentro de las tramas Ethernet, estadísticas de los servidores más utilizados, reporte de conexiones, reporte de las páginas visitadas, estadísticas de los mensajes ICMP, ARP, y RARP, reportes y análisis del tráfico IPv6, con todo esto se tiene la posibilidad de detectar fallos de seguridad y permitir la recolección de pruebas suficientes y concisas de las actividades de los usuarios. El analizador de listas de acceso construido ayuda al administrador a crear el conjunto de reglas que se pueden utilizar para restringir la entrada o salida de información de un dominio o dirección de Internet, evitando así posibles ataques. La etapa que se encuentra trabajando actualmente es la construcción de un simulador de listas de acceso que trabajará con los visualizadores. El objetivo consiste en simular las acciones de las listas de acceso (previamente revisadas por el analizador de listas) antes de enviarlas al router, para esto los visualizadores se encargaran de proporcionar al simulador los diferentes campos que se necesitan para el chequeo de dichas listas. REFERENCIAS 1. W. Baluja, 1er Congreso Iberoamericano de Seguridad Informática, Los ataques spoofing. Estrategia general para combatirlos, (Ed. ITM, Michoacán, Méx.), (2002). 2. G. Held, K. Hundley, CISCO. Access Lists, (Ed. McGraw-Hill, USA), 35-54, (2000). 3. J. Habraken, Practical. Cisco Routers, (Ed. Que, USA), , (1999). 4. Cisco Documentation, CISCO IOS Network Security, (Ed. Cisco Press, USA), 302, (1999). 12