Que la paz esté con vosotros. Aqui vamos con la segunda entrega, en este caso hablaremos de puertos. Espero que sepa hacerlo comprensible y ameno.

Transcripción

1 Que la paz esté con vosotros. Aqui vamos con la segunda entrega, en este caso hablaremos de s. Espero que sepa hacerlo comprensible y ameno. En el momento que nuestro ordenador se conecta a internet, éste pasa a ser un elemento más dentro de la Red, es decir, forma parte de toda la Red y como tal se tiene que comunicar con el resto. Para poder comunicarse, lo primero que necesita es tener una dirección electrónica y poder identificarse con los demás. Si haces una petición, por ejemplo de una página web, el servidor tiene que saber a quien se la envía. Esa dirección electrónica es la dirección IP. Pero eso no es suficiente, ya que en internet se pueden utilizar muchos y diversos servicios y es necesario poder diferenciarlos. La forma de "diferenciarlos" es mediante los s. Así por ejemplo, un servidor web escucha las peticiones que le hacen por el 80, un servidor FTP lo hace por el 21, etc... Es decir, los s son los puntos de enganche para cada conexión de red que realizamos. El protocolo TCP (el utilizado en internet) identifica los extremos de una conexión por las direcciones IP de los dos nodos implicados (servidor y cliente) y el número de los s de cada nodo (ordenador). Como hemos indicado al principio, cuando conectamos a Internet nuestro proveedor nos da, para esa conexión, una dirección IP para poder comunicarnos con el resto de Internet. Cuando solicitas un servicio de internet, por ejemplo una pagina web, haces tu solicitud de la pagina mediante un de tu ordenador a un del servidor web. Existen mas de de s diferentes, usados para las conexiones de Red. Una medida básica de seguridad es conocer que s tenemos, cuales están abiertos, porque están abiertos y, de estos últimos los que no utilicemos o que sean fuente de un problema de seguridad. Un atacante que intente, o consiga, tener control sobre nuestro ordenador o sobre información nuestra necesita tener a su disposición una puerta abierta en nuestro ordenador para poder comunicarse, es decir, un de comunicaciones. Linux nos ofrece una herramienta que nos va a mostrar que conexiones de red tenemos en cada momento. Esa herramienta es el programa netstat, y para ejecutarla, utilizaremos la terminal. netstat -a Esto nos permite monitorear todas las conexiones. Para saber más siempre podemos teclear: man netstat Si os sale demasiada información usemos una subrutina muy práctica incluso para otros comandos como puede ser less netstat -a less Para entender mejor que conexiones tenemos abiertas, lo mejor es que antes de ejecutar esta orden cerremos TODOS los programas a excepción de la terminal e ir desde el principio comprobando que conexiones tenemos y cuales se van abriendo. Incluso para ir dándose cuenta de este tema es mejor empezar sin conexión al router. El resultado puede ser algo similar a esto

2 Si queremos que se actualice automáticamente la información, podemos escribir netstat -an 5 (poner el número en segundos del intervalo que queramos que actualice la información) La información que nos muestra esta pantalla son 6 columnas y diversas filas que contienen la información: Proto: Nos indica el protocolo utilizado para la comunicación por cada una de las conexiones activas (TCP/UDP) Dirección Local (Local Address): Nos indica la dirección origen de la conexión y el. Dirección Remota: (Foreign Address): Nos indica la dirección de destino y el. Estado (State): Nos indica el estado de dicha conexión en cada momento. Los principales estados son: Escuchar (Listen): El está escuchando en espera de una conexión Establecida (Established): La conexión ha sido establecida Close_Wait: La conexión sigue abierta, pero el otro extremo nos comunica que no va a enviar nada más. Time_Wait: La conexión ha sido cerrada, pero no se elimina de la tabla de conexión por si hay algo pendiente de recibir. Last_ACK: La conexión se está cerrando. Closed: La conexión ha sido cerrada definitivamente. La columna de Dirección Local nos muestra la IP de la conexión de nuestro ordenador:

3 Además de la IP asociada a nuestra conexión a Internet, los ordenadores utilizan una dirección IP interna, denominada loopback, que es utilizada para pruebas y para la comunicación entre diversos procesos en la misma máquina. Usualmente tiene la dirección IP (y que también se le suele asignar el nombre localhost). Ahora solo nos queda ir comprobando todas las conexiones que tenemos, que están haciendo y por supuesto porqué? Aquí os dejo unos cuantos s estándares n/d / GRE GRE (protocolo IP 47) Enrutamiento y acceso remoto n/d / ESP IPSec ESP (protocolo IP 50) Enrutamiento y acceso remoto n/d / AH IPSec AH (protocolo IP 51) Enrutamiento y acceso remoto 1/tcp Multiplexor TCP 7/tcp Protocolo Echo (Eco) Reponde con eco a llamadas remotas 7/udp Protocolo Echo (Eco) Reponde con eco a llamadas remotas 9/tcp Protocolo Discard Elimina cualquier dato que recibe 9/udp Protocolo Discard Elimina cualquier dato que recibe 13/tcp Protocolo Daytime Fecha y hora actuales 17/tcp Quote of the Day (Cita del Día) 19/tcp Protocolo Chargen Generador de caractéres 19/udp Protocolo Chargen Generador de caractéres 20/tcp FTP File Transfer Protocol (Protocolo de Transferencia de Ficheros) datos 21/tcp FTP File Transfer Protocol (Protocolo de Transferencia de Ficheros) control 22/tcp SSH, scp, SFTP 23/tcp Telnet manejo remoto de equipo, inseguro 25/tcp SMTP Simple Mail Transfer Protocol (Protocolo Simple de Transferencia de Correo) 37/tcp time 43/tcp nicname 53/tcp DNS Domain Name System (Sistema de Nombres de Dominio) 53/udp DNS Domain Name System (Sistema de Nombres de Dominio) 67/udp BOOTP BootStrap Protocol (Server), también usado por DHCP 68/udp BOOTP BootStrap Protocol (Client), también usado por DHCP

4 69/udp 70/tcp 79/tcp 80/tcp 88/tcp 110/tcp 111/tcp 113/tcp 119/tcp 123/udp 123/tcp 135/tcp 137/tcp 137/udp 138/tcp 138/udp 139/tcp 139/udp 143/tcp 161/tcp 161/udp 162/tcp 162/udp TFTP Trivial File Transfer Protocol (Protocolo Trivial de Transferencia de Ficheros) Gopher Finger HTTP HyperText Transfer Protocol (Protocolo de Transferencia de HiperTexto) (WWW) Kerberos Agente de autenticación POP3 Post Office Protocol ( ) sunrpc ident (auth) antiguo sistema de identificación NNTP usado en los grupos de noticias de usenet NTP Protocolo de sincronización de tiempo NTP Protocolo de sincronización de tiempo epmap NetBIOS Servicio de nombres NetBIOS Servicio de nombres NetBIOS Servicio de envío de datagramas NetBIOS Servicio de envío de datagramas NetBIOS Servicio de sesiones NetBIOS Servicio de sesiones IMAP4 Internet Message Access Protocol ( ) SNMP Simple Network Management Protocol SNMP Simple Network Management Protocol SNMP-trap SNMP-trap

5 177/tcp 177/udp 389/tcp 389/udp 443/tcp 445/tcp 445/udp 500/udp 512/tcp 513/tcp 514/udp 520/udp 591/tcp 631/tcp 666/tcp 993/tcp 995/tcp 1080/tcp 1337/tcp 1352/tcp 1433/tcp 1434/tcp 1434/udp 1494/tcp XDMCP Protocolo de gestión de displays en X11 XDMCP Protocolo de gestión de displays en X11 LDAP Protocolo de acceso ligero a Bases de Datos LDAP Protocolo de acceso ligero a Bases de Datos HTTPS/SSL usado para la transferencia segura de páginas web Microsoft-DS (Active Directory, compartición en Windows, gusano Sasser, Agobot) Microsoft-DS compartición de ficheros IPSec ISAKMP, Autoridad de Seguridad Local exec login syslog usado para logs del sistema RIP FileMaker 6.0 (alternativa para HTTP, ver 80) CUPS sistema de impresión de Unix identificación de Doom para jugar sobre TCP IMAP4 sobre SSL ( ) Es para ti y para todos SOCKS Proxy suele usarse en máquinas comprometidas o infectadas IBM Lotus Notes/Domino RCP Microsoft-SQL-Server Microsoft-SQL-Monitor Microsoft-SQL-Monitor Citrix MetaFrame Cliente ICA

6 1512/tcp WINS 1521/tcp Oracle listener por defecto 1701/udp Enrutamiento y Acceso Remoto para VPN con L2TP. 1723/tcp Enrutamiento y Acceso Remoto para VPN con PPTP. 1761/tcp Novell Zenworks Remote Control utility 1863/tcp MSN Messenger 1935/??? FMS Flash Media Server 2049/tcp NFS Archivos del sistema de red 2082/tcp CPanel por defecto 2086/tcp Web Host Manager por defecto 2427/upd Cisco MGCP 3030/tcp NetPanzer 3030/upd NetPanzer 3128/tcp HTTP usado por web caches y por defecto en Squid cache 3128/tcp NDL-AAS 3306/tcp MySQL sistema de gestión de bases de datos 3389/tcp RDP (Remote Desktop Protocol) 3396/tcp Novell agente de impresión NDPS 3690/tcp Subversion (sistema de control de versiones) 4662/tcp emule (aplicación de compartición de ficheros) 4672/udp emule (aplicación de compartición de ficheros) 4899/tcp RAdmin (Remote Administrator), herramienta de administración remota (normalmente troyanos) 5000/tcp Universal plug-and-play 5060/udp Session Initiation Protocol (SIP) 5190/tcp AOL y AOL Instant Messenger

7 5222/tcp 5223/tcp 5269/tcp 5432/tcp 5517/tcp 5631/tcp 5632/udp 5400/tcp 5500/tcp 5600/tcp 5700/tcp 5800/tcp 5900/tcp 6000/tcp 6112/udp 6129/tcp 6346/tcp 6347/udp 6348/udp 6349/udp 6350/udp 6355/udp 6667/tcp Jabber/XMPP conexión de cliente Jabber/XMPP por defecto para conexiones de cliente SSL Jabber/XMPP conexión de servidor PostgreSQL sistema de gestión de bases de datos Setiqueue proyecto PC-Anywhere protocolo de escritorio remoto PC-Anywhere protocolo de escritorio remoto VNC protocolo de escritorio remoto (conexión normal) X11 usado para X-windows Blizzard Dameware Software conexión remota compartición de ficheros (Limewire, etc.) IRC IRCU Internet Relay Chat

8 6881/tcp 6969/tcp 7100/tcp 7100/udp 8000/tcp 8080/tcp 8118/tcp 9009/tcp 9898/tcp 10000/tcp 19226/tcp 12345/tcp 31337/tcp BitTorrent por defecto BitTorrent de tracker Servidor de Fuentes X11 Servidor de Fuentes X11 irdmi por lo general, usado erróneamente en sustitución de También utilizado en el servidor de streaming ShoutCast. HTTP HTTP-ALT ver 80. Tomcat lo usa como por defecto. privoxy Pichat peer-to-peer chat server Gusano Dabber (troyano/virus) Webmin (Administración remota web) Panda SecurityPuerto de comunicaciones de Panda Agent. NetBus en:netbus (troyano/virus) Back Orifice herramienta de administración remota (por lo general troyanos) Con estos datos podemos averiguar si un servicio está intercambiando información por donde y sobre todo sabremos si lo hemos iniciado nosotros y preguntarnos por ejemplo si vemos el 23 abierto a la escucha que cojo.. pasa que yo no he iniciado Telnet! La norma personal mía es: CERRAD LOS PUERTOS. En verdad os lo digo (parezco Jesús el Cristo), cuantos de vosotros le estáis haciendo telnet al router? Pues eso, cierra el 23, anda. Si queremos hacer ftp pues o nos buscamos un equipo viejo y lo dedicamos a eso usando DMZ como expliqué en la primera parte de la guía y lo protegemos individualmente o nos estamos jugando el tipo. Entrad en el router como administradores y en la sección oportuna ( depende de cada router) cerrad lo que no tenga sentido. Lo siguiente es el firewall de nuestro equipo. Aquí no voy a decir nada más que os paséis por aquí que está todo clarito, clarito: Hala, hasta el siguiente ladrillazo...