Port Scanning. Definición

Transcripción

1 Universidad del Valle de Guatemala Redes Ing. Gerson Raymundo Donald Antonio Velásquez Aguilar, Javier Alejandro Pérez Archila, Fecha: 27/05/2012 Port Scanning Definición El término Port Scanning se refiere a la técnica para la identificación de puertos abiertos y servicios disponibles en un network host. Es empleado en la auditoría de redes de computadoras para la búsqueda de vulnerabilidades, aunque también supone una herramienta usada para identificar host(s) víctima(s) de ataques en red. Esencialmente, Port Scanning envía un mensaje a cada puerto TCP y UDP de manera individual. Los puertos a los cuales se envía el mensaje puede ser definido dentro de un rango específico. Cuando se recibe un mensaje de respuesta, se puede determinar el estado del puerto y al estar un puerto en uso o abierto se pueden realizan pruebas de debilidad. El estado de un puerto puede ser uno de los siguientes: Open Una aplicación está aceptando activamente conexiones TCP, datagramas UDP o asociaciones SCTP en el puerto. Encontrar los puertos en estado Open suele ser el principal objetivo del Port Scanning, ya que un puerto abierto es un camino para ataques. Closed El puerto es accesible, pero no hay aplicaciones escuchando en el puerto. Estos pueden ser de ayuda para determinar que el host está funcionando o activo en una dirección IP y son parte de la detección del Sistema Operativo. Este estado se determina porque los mensajes de respuesta del host son que la conexión fue denegada. Filtered No se puede determinar si el puerto está abierto debido a que un Packet Filtering evita llegar al puerto. El filtro puede ser un Dispositivos Firewall dedicado, reglas del Router o Software de Firewall basado en host. Normalmente la respuesta recibida de estos puertos es un mensaje de error ICMP tipo 3 con código 13 (destination unreachable: communication administratively prohibited). TCP Scanning Tipos de Port Scanning Este emplea las funciones de red del sistema operativo y generalmente es la opción más factible cuando SYN Scanning no lo es. La llamada al sistema connect() es empleada por el Port Scanner, si el puerto está abierto se completa la conexión TCP threep-way handshake e inmediatamente se cierra la conexión evitar la realización de un tipo de ataque Denial of service (DoS). La ventaja de este modo de escanning es que no se requiere privilegios especiales.

2 SYN Scanning Este tipo de scanning es conocido como half-open scanning debido a la forma en que opera. Es otra forma de TCP scanning. El Port Scanner emplea las funciones de red del Sistema Operativo para generar paquetes IP y monitorear las respuestas. El Port Scanner genera y envía un paquete SYN, para analizar el estado de un puerto específico, si el puerto está abierto se responde con un paquete SYN-ACK. Al recibir este paquete se responde con un paquete RST para cerrar la conexión antes de que el three-way handshake se complete. La ventaja de este tipo de scanning es que se tiene control total de los paquetes enviados y el tiempo de respuesta, y permite obtener un reporte detallado de las respuestas. UDP Scanning UDP es un protocolo que no está orientado a conexión, a diferencia de TCP. Los paquetes UDP son enviados a un puerto, si este puerto no está abierto el sistema responderá con mensajes ICMP port unreachable, al no recibir respuesta se asume que el puerto está abierto. Las desventajas de este método es que en el caso de que el puerto esté protegido o bloqueado por un firewall, éste aparecerá como abierto y que es afectado por la tasa limitada de ICMP. Sin embargo, estas limitaciones se pueden compensar con que algunos scanners ofrecen un método híbrido de scanning. ACK Scanning Este tipo de scanning no determina exactamente cuales puertos se encuentran en estado open o close, pero es capaz de determinar cuales puertos se encuentran filtrados y cuales no. Este es empleado principalmente cuando se está probando la existencia de un firewall y el conjunto de reglas del mismo. Window Scanning Window scanning es un tipo de Port Scanning obsoleto y poco fiable para determinar que puertos se encuentran en estado open o close. Genera los mismos paquetes que en ACK scanning, pero chequea si el campo window del paquete ha sido modificado. Cuando el paquete llega a su destino, un defecto de diseño intenta cambiar el valor del campo window del paquete a uno si el puerto está abierto. Sin embargo, los sistemas que no soportan esta técnica de scanning devuelven cero en el campo window del paquete, etiquetado a puertos abiertos como cerrados. FIN Scanning La mayoría de firewalls bloquan los paquetes SYN, evitando el scanning de puertos. Los paquetes FIN son capaces de pasar al firewall sin modificación de su propósito. Los puertos cerrados responden al paquete FIN con el paquete RST apropiado, los puertos abiertos ignoran el paquete. Netstat Herramientas Los sistemas operativos Windows y Unix incluyen la herramienta netstat, esta herramienta es empleada para analizar el estado de los puestos locales, sin embargo, netstat no se pueden utilizar de forma remota.

3 Nmap Nmap, Network Mapper, es una herramienta de código abierto para la exploración de redes y auditoría de seguridad. Muchos administradores de redes y sistemas encuentran esta herramienta muy útil para las tareas como el inventario de redes, planificación de acutalización y monitoreo de hosts y servicios. Nmap usa paquetes IP raw para determinar los hosts disponibles en una red, el sistema operativo usado que éstos corren, el tipo de filtro de paquetes y firewall usados, los servicios (nombre de la aplicación y versión) que ofrecen, entre otras características. Esta herramienta está disponible para la mayoría de sistemas operativos en modo gráfico y en consola. Otras herramientas Advanced Port Scanner: Herramienta de port scanning desarrollada por Radmin. Funciona en plataformas Windows Angry IP Scanner: También conocido como ipscan. Es una herramienta de port scannig de código abierto y portable. Port Scan: Realiza pruebas para determinar los servicios locales o remotos que se ejecutan y están disponibles para en la red. Se basa en conexiones TCP y en TCP scanning. NetworkActiv Port Scanner: Es una herramienta para la exploración y administración de redes LAN y WAN. Desarrollado para plataformas Windows. PortQry v2: Herramienta de port scanning desarrollada por Microsoft. Funciona en línea de comando para el análisis de redes TCP/IP, en plataformas Windows. Scanlogd: es una herramienta para el escaneo de puertos TCP, originalmente diseñada para ilustrar diversos ataques. Scanrand: es un port scanner que ejecuta separadamente procesos de escaneo de procesos y escucha de puertos, analizando paquetes en una secuencia numérica. Fue desarrollado por Dan Kaminsky y funciona en plataformas Linux/Unix. Strobe: Es una herramienta para seguridad y análisis de redes que localiza y describe todos los puertos abiertos TCP en un host remoto o en varios hosts en una red. Utiliza máquinas de estados finitos paralelas internas. Herramientas en línea T1shopper: disponible en: TCP/IP Port Scanner: disponible en: Onilne Port Scanner: basado en Nmap, disponible en:

4 Ejemplo de uso de Nmap Figura 1. Configuración del host 1. Figura 2. Configuración del host 2 y comprobación de alcance a host 1 Figura 3. Nmap parte 1: Lista de hosts no encontrados en la red

5 Figura 4. Nmap parte 2: Lista de puertos abiertos en los hosts Figura 5. Nmap parte 3: reporte de host 1 (Kubuntu host).

6 Figura 6. Nmap parte 4: reporte de host 2 (Mac OS X).

7 HP Storage Mirroring Definición HP Storage mirroring es una aplicación desarrollada por la compañía Hewlett-Packard, cuyo objetivo es proveer un servicio de failover y de replicación de datos en tiempo real. Esto anterior es con el objetivo de reducir el tiempo de baja de un servicio y de evitar la pérdida de datos para proveer una mejor confiabilidad. Provee 3 servicios principales: Servicios de alta disponibilidad local Servicios de recuperación de desastres Backup centralizado mejorado usando sistemas de terceros Uso de la aplicación Para utilizar el software se utiliza la aplicación Management Console la cual contiene dos paneles principales en los cuales contiene la lista de servidores a utilizar.

8 La siguiente figura muestra el centro de control del failover, en el cual se monitorea y se administra cómo se va a comportar el failover. Para ello se deben de instalar las aplicaciones en varias computadoras en las cuales se va a configurar el servicio. Para insertar un servidor en el servicio, en el centro de control de failover se hace click en el botón Add Target, se selecciona la red en donde se encuentra el otro huésped y se da click en aceptar, es indispensable que la otra máquina tenga el servicio de storage mirroring activado para que pueda ser utilizado.

9 Después de realizar esta acción se tendrá monitoreada la máquina, mostrando una imágen similar a esta: La siguiente tabla muestra los posibles estados que puede tener la máquina en el centro de control de failover

10 Para cambiar los puertos por los que se configura el servicio se hace en Settings, Communications. En la consola de failover, aparecerá un menú similar a este en donde se podrán observar estadísticas y activar o desactivar la opción de failover:

11 Referencias 1. Wikipedia Foundation Inc Port Scanner. Actualizado: 27 de abril de Consultado: 27 de abril de Enlace: 2. Toolbox Port Scanning. Actualizado: 7 de enero de Consultado: 27 de abril de Enlace: 3. Kessler, Gary Port Scanning: It's Not Just an Offensive Tool Anymore. Actualizado: mayo de Consultado: 27 de abril de Enlace: 4. Messer, James. Secrets of Network Cartography: A Comprehensive Guide to nmap. Consultado: 27 de abril de Enlace: 5. Lyon, Gordon Nmap Network Scanning. Consultado: 27 de abril de Enlace: 6. hp. HP Open View Storage Mirroring notes Hewlett-Packard HP Open View Storage Mirroring User's Guide. 8. Hewlett-Packard HP Storage Mirroring Software. Enlace: contenttype=supportmanual&lang=en&cc=us&docindexid=64179&taskid=101&prodtypeid= 18964&prodSeriesId=