- Introducción a la SEGURIDAD en INTERNET
- Seguridad en los protocolos TCP/IP
- Establecimiento del objetivo
- Información del objetivo
- Ataque a un servidor Windows 2000
- Control total de un servidor Windows 2000
- Configuración de Windows 2000 como servidor bastión.
1. INTRODUCCIÓN A LA SEGURIDAD EN INTERNET
En este módulo se introduce el problema de la seguridad en Internet. El primer
paso para asegurar cualquier cosa es conocer contra quién se debe proteger. En esta
introducción, se desvelan los diferentes tipos de intrusos que pueden atacar los
servidores de la organización. Finalmente, se ven conceptos básicos de criptografía
necesarios para comprender algunas tecnologías de seguridad.
- Seguridad en los servidores Internet
- Conceptos de criptografía
- Algoritmos simétricos: DES
- Algoritmos de clave pública: RSA
- Funciones de sentido único.
2. SEGURIDAD EN LOS PROTOCOLOS TCP/IP
Muchos problemas de seguridad que tiene Internet vienen heredados de los protocolos de
comunicaciones que usa, los afamados TCP e IP. Estos protocolos fueron diseñados en los
años 70 y no se pensó en los aspectos de seguridad. Debido a que es necesario usar los
protocolos como fueron diseñados, hace que los aspectos de seguridad citados en este
módulo tengan muy difícil solución.
- Rastreadores de red (Sniffers), topología HUB: Iris, Windump.
- Rastreadores de red, topología SWITCH: Hunt, ethercap.
- Denegación de servicio
- Inundación SYN (SYN flooding).
- Inundación UDP.
- Ataques de magnificación: Smurf y Fraggle.
- Ataques protocolo TCP/IP.
- Denegación de servicio Distribuida (DDoS)
- Secuestro y falsificación DNS.
- Protocolo SNMP.
PRÁCTICAS
1.- Rastreadores con topología de red HUB
Capturar el tráfico de una red mediante la instalación de un rastreador (sniffer)
genérico, Iris. Posteriormente se utilizarán rastreadores especializados en contraseñas
y en espionaje de actividad (dsniff, webspy, urlsnarf). Finalmente, se comprobará la
detección de los rastreados funcionando en la red mediante el uso de técnicas de
anti-sniff (AntiSniff).
2.- Rastreadores con topología de red SWITCH
Secuestro de sesiones y captura de tráfico entre dos estaciones en una topología tipo
SWITCH (Hunt). Falsificación de las tablas ARP mediante la técnica de la falsificación
ARP (ARP Spoofing).
3.- Denegación de servicio
Inundación mediante la técnica de SYN Flooding. Búsqueda de redes con direcciones de
difusión (broadcast) para realizar ataques de magnificación. Realización de ataques de
magnificación del tipo Smurf. Enlace de servidores en los puertos Echo y Chargen.
4.- DNS
Secuestro de sesiones DNS mediante la herramienta DNSSpoof. Falsificación de cache de DNS
mediante la herramienta ADMKillDNS.
5.- SNMP
Búsqueda de sistemas con agentes SNMP y comunidades de fácil adivinación. Se instala y
utiliza la herramienta IP Network Browser de SolarWinds.
3. ESTABLECIMIENTO DEL OBJETIVO
Antes de realizar definitivamente un ataque, los intrusos, como si de un estratega militar
se tratará, preparan cuidadosamente su ataque. No se debe pasar por alto el tiempo que
dedican a esta tarea. En esta fase, su objetivo es determinar cual es el punto o puntos
más débiles para intentar el acceso.
- Información general del objetivo (web, whois, ripe).
- Servidores de la organización.
- Servidores accesibles
- Rastreo de puertos.
- Rastreo de sistemas operativos.
PRÁCTICAS
1.- Información del objetivo
Conexión a las bases de datos Whois y RIPE para extraer información del objetivo.
2.- Servidores de la organización
Solicitud de transferencia de zonas DNS y resolución inversa para obtener información
sobre los servidores de la organización.
3.- Servidores activos
Chequeo mediante ICMP de los servidores activos.
4.- Rastreo de puertos
Rastreo de puertos mediante los distintos sistemas explicados. Se usarán técnicas tipo
Decoy para la ocultación de rastreos. Se realizará un rastreo oculto imposible de
detectar mediante la técnica del campo ID de los paquetes IP o también llamado rastreo
oculto.
5.- Detección de sistemas operativos
Rastreo de sistemas operativos mediante la detección pasiva (Siphon) y rastreo mediante
las técnicas activas con Nmap.
4. INFORMACIÓN DEL OBJETIVO
Una vez realizado el mapa de los posibles objetivos, el intruso intentará obtener más
información sobre los servidores a los que intentarán atacar. Los sistemas Windows en
sus instalaciones por defecto ofrecen algunas posibilidades en este aspecto y que los
intrusos aprovecharán.
- Nombres NetBIOS y Dominios.
- Nombres de usuario y grupos.
- Recursos compartidos
- Servicios abiertos y software instalado.
PRÁCTICAS
1.- Conexión NetBIOS
Se buscarán servidores en Internet con la interfaz NetBIOS activa. Una vez
seleccionados los servidores se procederá a conectarse mediante la sesión NULA. Tras
dicha conexión se extraerán las cuentas de los usuarios y demás información disponible
de los servidores vulnerables.
2.- Servicios abiertos
Se conectará mediante Telnet a distintos puertos con el objetivo de determinar el
software servidor corriendo tras cada puerto abierto en un sistema.
5. ATAQUE A UN SERVIDOR WINDOWS NT
Una vez recopilada y analizada la información sobre posibles objetivos, el intruso
decidirá qué método utilizar para atacar a los sistemas. En este módulo se da una
clasificación global de los tipos de agujeros de seguridad que permiten algún tipo de
acceso a los sistemas en remoto.
- Ataque contra servicios con autenticación, fuerza bruta.
- Ataques contra CGIs y errores de las aplicaciones servidoras.
- Aplicaciones cliente: agujeros en navegadores y clientes de
correo (IE / Outlook)
- Caballos de Troya.
- Desbordamiento de memoria (buffer overflow).
PRÁCTICAS
1.- Servicios con autenticación
Se confeccionará un diccionario para mostrar como realizar un ataque contra
servicios con autenticación mediante fuerza bruta.
2.- Aplicaciones servidoras
Se buscarán en Internet servidores que posean vulnerabilidades conocidas y recientes en
servidores IIS. Se intenarán explotar las citadas vulnerabilidades.
3.- Aplicaciones cliente
Se navegará por páginas maliciosas para comprobar los daños que pueden causar. Por otro
lado, se enviará correo electrónico para que los asistentes lo abrán y comprendan el
uso malicioso del correo electrónico. Para ello se buscarán servidores SMTP que permitan
envió de correo desde cualquier sitio y se confeccionarán correo falsos maliciosos para
enviarlos a las posibles victimas.
4.- Caballos de Troya
Se mostrarán distintos Caballos de Troya para ilustrar el uso de este tipo de software
malicioso.
5.- Desbordamiento de memoria
Se explotarán algunos desbordamientos de memoria recientemente descubiertos en
aplicaciones servidoras para comprobar la ejecución remota de comandos.
6. CONTROL TOTAL DE UN SERVIDOR WINDOWS NT
Mediante las técnicas explicadas en el módulo anterior el intruso habrá obtenido algún
tipo de acceso al servidor victima. Una vez que se ha obtenido el acceso, el intruso
pretenderá ampliar sus privilegios y controlar totalmente la máquina. Una vez que haya
conseguido esto, intentará evitar ser detectado e instalará puertas traseras que le
permitan entrar al sistema victima en el futuro.
- Averiguadores de contraseñas.
- Instalación de control remoto. Puertas traseras.
- Ocultación de puertas traseras. Streaming y rootkit.
- Borrado de pistas y logs.
PRÁCTICAS
1.- Averiguadores de contraseñas
Se comprobará la eficacia de los averiguadores de contraseñas en local. Se
provocarán ataques mediante diccionario y mediante ataques de fuerza bruta. Se mostrará
donde obtener las contraseñas que sirvan como entrada en estos programas.
2.- Puertas traseras
Se instalará en remoto una puerta trasera que permita tener una línea de comandos con el
servidor víctima. Una vez obtenido dicho control, se procederá a obtener una interfaz
gráfica de la maquina atacada.
3.- Ocultación de puertas traseras
Se mostrará como se usa la técnica del NTFS denominada Streams para ocultar ficheros en
los discos. También, se instalará un rootkit que modifica el comportamiento de programas
de admiistración para que las herramientas del intruso pasen inadvertidas.
7. CONFIGURACIÓN DE WINDOWS 2000 COMO SERVIDOR BASTIÓN
Hasta este módulo cada aspecto de la seguridad se ha visto desde ambos lados, intruso y
administrador. En este módulo final se dan las pautas mínimas necesarias para configurar
un servidor con Windows 2000 de forma segura o como comúnmente se llama, como servidor
BASTIÓN. Es un resumen practico de todo lo visto a lo largo de los anteriores módulos y
servirá de punto de partida a los Administradores para mejorar su seguridad.
- Aislamiento físico y de protocolo.
- Configuración de los servicios.
- Política de contraseñas.
- Configuración segura del sistema de archivos.
- Protección del registro.
- Compartición de recursos. Acceso anónimo.
- Cuenta del Administrador.
- Filtrado de paquetes TCP/IP.
- Instalación de parches y Service Packs.ois, ripe).
PRÁCTICAS
1.- Servidor BASTION
A modo de lista de chequeo, a lo largo del módulo se revisará la configuración de cada
servidor para que el asistente la modifique para hacerla segura. Se mostrará el uso de
plantillas del Editor de configuraciones de seguridad de Microsoft. |
