Seguridad en Redes de Comunicaciones Criptografía y Seguridad en Redes de Comunicaciones Profesor: Álvaro Alesanco Iglesias (revisado 12-05-2010) 1
Objetivos Se pretende que la práctica sea una demostración viva de alguna de las herramientas de seguridad que pueden ser utilizadas por posibles intrusos para penetrar en sistemas informáticos. Aplicando dichas herramientas de forma preventiva, pueden detectarse y subsanarse dichos fallos y mejorar el nivel de seguridad del sistema. Trabajo a realizar Se detalla en cada una de las experiencias a realizar. Herramientas de Seguridad en entorno W2K / XP Algunas de las herramientas de seguridad informática más interesantes bajo entorno Windows se comentan a continuación: Rompiendo contraseñas: Pwdump6 & LCP Como ya se comentó, una de las posibles vías de ataque contra un sistema era la obtención del fichero que contenía las contraseñas cifradas de los usuarios, para proceder a su análisis y posible ruptura. Dentro del entorno Windows esta tarea se puede realizar mediante los programas pwdump6 y LCP. Pwdump6 extrae los hashes de las contraseñas de un equipo Windows manipulando las capacidades de instalar programas como servicios. El programa instala unas librerías que extraen los hashes almacenándolos temporalmente en el registro de Windows, procediendo a continuación a su acceso y lectura. El uso de la herramienta es el siguiente (ejemplo): C:\PwDump nombre o IP de la maquina > passwords.txt Crea un par de cuentas en WinXP. User: practica; pass: practica User: criptosec; pass A2458B Una vez instalado el programa, utilízalo para obtener los hash de los paswords, que luego utilizaremos para obtener las contraseñas mediante el programa LCP. Dentro del fichero passwords.txt se encontrarán los hashes de las contraseñas de los usuarios del sistema, que podemos procesar con el programa LCP para su análisis. El LCP es un programa open source especializado en romper contraseñas de entornos Windows. Para cargar el fichero de contraseñas no hay que hacer nada más que : Import Import From PWDUMP File (el fichero se proporciona de forma separada). Las opciones de la auditoria de contraseñas pueden modificarse desde Session Options : 2
Opciones del LCP En primer lugar se deberá elegir qué nivel de auditoria se desea realizar contra las contraseñas: Ataque de diccionario: Se comparan las contraseñas contra las palabras de un diccionario. Esta versión del LCP permite incorporar varios diccionarios al ataque. Sólo vamos a utilizar el que trae por defecto, que son palabras en inglés. Ataque híbrido: En este ataque se modifican las palabras de los diccionarios anteriores para que incluyan caracteres adicionales antes y después de las palabras (este ataque es especialmente efectivo contra contraseñas del estilo de pepe35 ). Ataque de fuerza bruta: Especificando el espacio muestral, se puede hacer un ataque que compruebe todas y cada una de las opciones posibles. Dado que este ataque puede ser costoso computacionalmente, es posible distribuir el trabajo entre varios equipos. Lo que vamos a hacer ahora es crackear los hash de los passwords que hemos capturado anteriormente a través primero de un ataque híbrido y aquellos que no hayan podido obtenerse con un ataque de fuerza bruta. (Antes, deberás seleccionar en las opciones, pestaña Brute force attack, en Standard set A-Z, 0-9) Como resultado de este punto se deberán escribir en el informe de la práctica los passwords obtenidos y el tiempo empleado. 3
PortScanner : SuperScan SuperScan es un analizador de puertos de buen rendimiento, que tiene la capacidad de recoger los banners de los servicios que descubre, manteniendo una alta velocidad de barrido. Su pantalla principal muestra todas las opciones: Pantalla principal del SuperScan Para lanzar un barrido de puertos, será necesario especificar un rango de direcciones IP, y un rango de puertos a analizar. Es recomendable desactivar la opción de Only scan responsive pings dado que es práctica común desactivar la respuesta a los ping para evitar este tipo de ataques. Con respecto a los puertos a analizar, es recomendable definir un rango dado para identificar los equipos activos (por ejemplo, 20-150), y luego analizarlos más en profundidad. Es posible definir nuevos puertos pulsando en Port List Setup. Cuando se realiza un scan a equipos que están fuera de la subred es posible que las respuestas tarden en llegar. Es por ello por lo que se recomienda el modificar los Timeout para tener en cuenta la distancia a la que se encuentra el objetivo. Como resultado de este punto se deberán incluir en el informe de la práctica los equipos activos y sus puertos activos en el rango de direcciones 155.210.157.1-155.210.157.20 y rango de puertos del 20-150. 4
MBSA (Microsoft BaseLine Security Advisor) MBSA es un analizador de vulnerabilidades orientado a sistemas operativos Windows proporcionado de forma gratuita por Microsoft. Si bien solo permite analizar este sistema operativo, y tan solo explora de forma profunda equipos en los que se tenga privilegios de administrador, la herramienta es bastante útil como complemento a otras herramientas de seguridad en redes. El funcionamiento del programa es muy simple: Seleccionamos el grupo de ordenadores a analizar junto con el conjunto de comprobaciones a realizar, y lanzamos la herramienta (tarda un cierto tiempo en realizar todos los chequeos). El informe que puede generar puede ser similar al que se ve en la figura : Resultado de un análisis del MBSA Como resultado de este punto se deberá discutir cómo ves el nivel de seguridad de nuestro Win XP y qué nos dice sobre las contraseñas del sistema. 5
Herramientas de Seguridad en entorno Linux Dentro del entorno Linux, entre la multitud de herramientas existentes se ha procedido a seleccionar las de uso totalmente común tanto en intrusos informáticos como en administradores conscientes con la seguridad. Sniffer: Wireshark El Wireshark es un monitor de redes que puede ser usado como sniffer (para sniffer puros y duros es posible emplear Dsniff o similares). Para empezar a capturar tan solo es necesario pulsar sobre Capture Start Se recomienda activar la opción de Update packets in real time, y desactivar las opciones de resolución para acelerar la captura de equipos. Una vez se hayan capturado suficiente tráfico, se puede pulsar sobre Stop para detener la monitorización y proceder a analizar el tráfico. Una de las capacidades más interesantes del Wireshark es la capacidad de decodificar una comunicación TCP mediante el comando Tools Follow TCP Stream. Es posible colocar filtros para capturar únicamente conexiones concretas. Podemos por ejemplo realizar el siguiente filtro: (ip.addr eq 192.168.1.2 and ip.addr eq 192.168.1.3) and ( tcp.port eq 110) Este filtro capturará todo el tráfico entre ambas IP siempre y cuando el puerto origen o el destino sea el 100 (el de POP3, orientado a capturar el usuario y la contraseña del correo del usuario). Para instalar wireshark (si no está instalado): yum y install wireshark-gnome. Para lanzarlo, teclear wireshark. PortScanner : Nmap El nmap es el software más empleado en la actualidad para tareas de port scanning o barrido de puertos, de tal forma que viene con la propia distribución de Fedora. Las opciones de uso más frecuentes son las siguientes (si no se tiene instalado puede realizarse la instalación con yum install nmap ). -st : Scan TCP estándar (el menos sigiloso pero el más rápido) -SU : Scan UDP (no es del todo exacto) -P0 : No hacer un ping antes de realizar el scan (si el ping no llega por cualquier razón, nmap creerá que el equipo no está activo, y no realizará scan alguno). 6
-O : Identificación del Sistema Operativo empleado. Mediante paquetes TCP/IP especialmente diseñados, nmap intenta averiguar el SO que está analizando. -v : Opción para ofrecer más información de las operaciones realizadas. -on /root/scan_nmap.txt : Guarda un fichero de log con la operación. -p 1-65535 : Rango de puertos a especificar. En este caso queremos barrer todos los puertos del equipo, por lo que se especifica el valor 1-65535 Rango IP: El rango de direcciones IP que van a ser analizadas por nmap, en este caso, tan solo la dirección IP del propio equipo. Con las opciones antes descritas, la ejecución del comando queda como sigue: [root@fenix root]# nmap -st -P0 -O -v -on /root/scan_nmap.txt -p 1-65535 192.168.18.213 (cambiar st por su para hacer el scan por UDP en lugar de TCP) Nmap tiene gran cantidad de opciones dedicadas a realizar barridos paralelos y con muchas capacidades de sigilo (destinadas principalmente a evitar a los detectores de intrusos). Vamos a ver las diferencias entre dos formas de hacer el scan. Ejecuta mientras estás capturando paquetes con wireshark (pon un filtro de captura para únicamente capturar paquetes que contengan tu dirección IP) [root@fenix root]# nmap st p 79-81 155.210.156.54 [root@fenix root]# nmap ss p 79-81 155.210.156.54 Echando un vistazo a las capturas de wireshark, Cuál es la diferencia entre las dos técnicas de escaneo? Como resultado de esta experiencia, discute las diferencias entre las técnicas en el informe de la práctica. Ahora, vamos a escanear una máquina en mayor profundidad. Para ello [root@fenix root]# nmap -ss -P0 -O -v -on /root/scan_nmap.txt -p 1-4096 155.210.153.41 Como resultado de esta experiencia, discute basándote en los puertos abiertos y lo que creas conveniente qué sistema operativo corre es la máquina escaneada. 7
Analizador de vulnerabilidades : Nessus Nessus es uno de los analizadores de vulnerabilidades más usados dentro del campo de la seguridad informática, por su potencia y versatilidad. La mayoría de los consultores de seguridad informática emplean algún analizador comercial en conjunción con el Nessus para realizar sus tareas de auditoria de seguridad. La instalación y el funcionamiento se estudiarán en clase con el profesor. Comentar en el informe de la práctica si el equipo 155.210.158.53 tiene alguna vulnerabilidad interesante y de que tipo de equipo se trata (y donde has encontrado esa información). Repite el mismo proceso para la IP 155.210.157.4 Comentar en el informe de la práctica si el equipo tiene alguna vulnerabilidad interesante y de que tipo de equipo se trata (y donde has encontrado esa información). 8