Seguridad en Redes de Comunicaciones

Criptografa y Seguridad en Redes de Comunicaciones

Profesor: lvaro Alesanco Iglesias 1

Objetivos
Se pretende que la prctica sea una demostracin viva de alguna de las herramientas de seguridad que pueden ser utilizadas por posibles intrusos para penetrar en sistemas informticos. Aplicando dichas herramientas de forma preventiva, pueden detectarse y subsanarse dichos fallos y mejorar el nivel de seguridad del sistema.

Trabajo a realizar
Se detalla en cada una de las experiencias a realizar.

Herramientas de Seguridad en entorno W2K / XP

Algunas de las herramientas de seguridad informtica ms interesantes bajo entorno Windows se comentan a continuacin: Rompiendo contraseas: Pwdump6 & LCP Como ya se coment, una de las posibles vas de ataque contra un sistema era la obtencin del fichero que contena las contraseas cifradas de los usuarios, para proceder a su anlisis y posible ruptura. Dentro del entorno Windows esta tarea se puede realizar mediante los programas pwdump6 y LCP. Pwdump6 extrae los hashes de las contraseas de un equipo Windows manipulando las capacidades de instalar programas como servicios. El programa instala unas libreras que extraen los hashes almacenndolos temporalmente en el registro de Windows, procediendo a continuacin a su acceso y lectura. El uso de la herramienta es el siguiente (ejemplo): C:\PwDump nombre o IP de la maquina > passwords.txt Crea un par de cuentas en WinXP. User: practica; pass: practica User: criptosec; pass A2458B Una vez instalado el programa, utilzalo para obtener los hash de los paswords, que luego utilizaremos para obtener las contraseas mediante el programa LCP. Dentro del fichero passwords.txt se encontrarn los hashes de las contraseas de los usuarios del sistema, que podemos procesar con el programa LCP para su anlisis. El LCP es un programa open source especializado en romper contraseas de entornos Windows. Para cargar el fichero de contraseas no hay que hacer nada ms que : Import ! Import From PWDUMP File (el fichero se proporciona de forma separada). Las opciones de la auditoria de contraseas pueden modificarse desde Session ! Options : 2

Opciones del LCP En primer lugar se deber elegir qu nivel de auditoria se desea realizar contra las contraseas: Ataque de diccionario: Se comparan las contraseas contra las palabras de un diccionario. Esta versin del LCP permite incorporar varios diccionarios al ataque. Slo vamos a utilizar el que trae por defecto, que son palabras en ingls. Ataque hbrido: En este ataque se modifican las palabras de los diccionarios anteriores para que incluyan caracteres adicionales antes y despus de las palabras (este ataque es especialmente efectivo contra contraseas del estilo de pepe35 ). Ataque de fuerza bruta: Especificando el espacio muestral, se puede hacer un ataque que compruebe todas y cada una de las opciones posibles. Dado que este ataque puede ser costoso computacionalmente, es posible distribuir el trabajo entre varios equipos.

Lo que vamos a hacer ahora es crackear los hash de los passwords que hemos capturado anteriormente a travs primero de un ataque hbrido y aquellos que no hayan podido obtenerse con un ataque de fuerza bruta. (Antes, debers seleccionar en las opciones, pestaa Brute force attack, en Standard set A-Z, 0-9) Como resultado de este punto se debern escribir en el informe de la prctica los passwords obtenidos y el tiempo empleado.

PortScanner : SuperScan SuperScan es un analizador de puertos de buen rendimiento, que tiene la capacidad de recoger los banners de los servicios que descubre, manteniendo una alta velocidad de barrido. Su pantalla principal muestra todas las opciones:

Pantalla principal del SuperScan Para lanzar un barrido de puertos, ser necesario especificar un rango de direcciones IP, y un rango de puertos a analizar. Es recomendable desactivar la opcin de Only scan responsive pings dado que es prctica comn desactivar la respuesta a los ping para evitar este tipo de ataques. Con respecto a los puertos a analizar, es recomendable definir un rango dado para identificar los equipos activos (por ejemplo, 20-150), y luego analizarlos ms en profundidad. Es posible definir nuevos puertos pulsando en Port List Setup. Cuando se realiza un scan a equipos que estn fuera de la subred es posible que las respuestas tarden en llegar. Es por ello por lo que se recomienda el modificar los Timeout para tener en cuenta la distancia a la que se encuentra el objetivo. Como resultado de este punto se debern incluir en el informe de la prctica los equipos activos y sus puertos activos en el rango de direcciones 155.210.157.1155.210.157.20 y rango de puertos del 20-150.

MBSA (Microsoft BaseLine Security Advisor) MBSA es un analizador de vulnerabilidades orientado a sistemas operativos Windows proporcionado de forma gratuita por Microsoft. Si bien solo permite analizar este sistema operativo, y tan solo explora de forma profunda equipos en los que se tenga privilegios de administrador, la herramienta es bastante til como complemento a otras herramientas de seguridad en redes. El funcionamiento del programa es muy simple: Seleccionamos el grupo de ordenadores a analizar junto con el conjunto de comprobaciones a realizar, y lanzamos la herramienta (tarda un cierto tiempo en realizar todos los chequeos). El informe que puede generar puede ser similar al que se ve en la figura :

Resultado de un anlisis del MBSA

Como resultado de este punto se deber discutir cmo ves el nivel de seguridad de nuestro Win XP y qu nos dice sobre las contraseas del sistema.

Herramientas de Seguridad en entorno Linux

Dentro del entorno Linux, entre la multitud de herramientas existentes se ha procedido a seleccionar las de uso totalmente comn tanto en intrusos informticos como en administradores conscientes con la seguridad. Sniffer: Wireshark El Wireshark es un monitor de redes que puede ser usado como sniffer (para sniffer puros y duros es posible emplear Dsniff o similares). Para empezar a capturar tan solo es necesario pulsar sobre Capture ! Start Se recomienda activar la opcin de Update packets in real time, y desactivar las opciones de resolucin para acelerar la captura de equipos. Una vez se hayan capturado suficiente trfico, se puede pulsar sobre Stop para detener la monitorizacin y proceder a analizar el trfico. Una de las capacidades ms interesantes del Wireshark es la capacidad de decodificar una comunicacin TCP mediante el comando Tools ! Follow TCP Stream. Es posible colocar filtros para capturar nicamente conexiones concretas. Podemos por ejemplo realizar el siguiente filtro: (ip.addr eq 192.168.1.2 and ip.addr eq 192.168.1.3) and ( tcp.port eq 110) Este filtro capturar todo el trfico entre ambas IP siempre y cuando el puerto origen o el destino sea el 100 (el de POP3, orientado a capturar el usuario y la contrasea del correo del usuario). Para instalar wireshark (si no est instalado): yum y install wireshark-gnome. Para lanzarlo, teclear wireshark. PortScanner : Nmap El nmap es el software ms empleado en la actualidad para tareas de port scanning o barrido de puertos, de tal forma que viene con la propia distribucin de Fedora . Las opciones de uso ms frecuentes son las siguientes (si no se tiene instalado puede realizarse la instalacin con yum install nmap). -sT : Scan TCP estndar (el menos sigiloso pero el ms rpido) -SU : Scan UDP (no es del todo exacto) -P0 : No hacer un ping antes de realizar el scan (si el ping no llega por cualquier razn, nmap creer que el equipo no est activo, y no realizar scan alguno).

-O : Identificacin del Sistema Operativo empleado. Mediante paquetes TCP/IP especialmente diseados, nmap intenta averiguar el SO que est analizando. -v : Opcin para ofrecer ms informacin de las operaciones realizadas. -oN /root/scan_nmap.txt : Guarda un fichero de log con la operacin. -p 1-65535 : Rango de puertos a especificar. En este caso queremos barrer todos los puertos del equipo, por lo que se especifica el valor 1-65535 Rango IP: El rango de direcciones IP que van a ser analizadas por nmap, en este caso, tan solo la direccin IP del propio equipo. Con las opciones antes descritas, la ejecucin del comando queda como sigue: [root@fenix root]# nmap -sT -P0 -O -v -oN /root/scan_nmap.txt -p 1-65535 192.168.18.213 (cambiar sT por sU para hacer el scan por UDP en lugar de TCP) Nmap tiene gran cantidad de opciones dedicadas a realizar barridos paralelos y con muchas capacidades de sigilo (destinadas principalmente a evitar a los detectores de intrusos). Vamos a ver las diferencias entre dos formas de hacer el scan. Ejecuta mientras ests capturando paquetes con wireshark (pon un filtro de captura para nicamente capturar paquetes que contengan tu direccin IP) [root@fenix root]# nmap sT p 79-81 155.210.156.54 [root@fenix root]# nmap sS p 79-81 155.210.156.54 Echando un vistazo a las capturas de wireshark, Cul es la diferencia entre las dos tcnicas de escaneo? Como resultado de esta experiencia, discute las diferencias entre las tcnicas en el informe de la prctica. Ahora, vamos a escanear una mquina en mayor profundidad. Para ello [root@fenix root]# nmap -sS -P0 -O -v -oN /root/scan_nmap.txt -p 1-4096 155.210.153.41 Como resultado de esta experiencia, discute basndote en los puertos abiertos y lo que creas conveniente qu sistema operativo corre es la mquina escaneada.

Analizador de vulnerabilidades : Nessus Nessus es uno de los analizadores de vulnerabilidades ms usados dentro del campo de la seguridad informtica, por su potencia y versatilidad. La mayora de los consultores de seguridad informtica emplean algn analizador comercial en conjuncin con el Nessus para realizar sus tareas de auditoria de seguridad. La instalacin y el funcionamiento se estudiarn en clase con el profesor.

Comentar en el informe de la prctica si el equipo 155.210.158.53 tiene alguna vulnerabilidad interesante y de que tipo de equipo se trata (y donde has encontrado esa informacin). Repite el mismo proceso para la IP 155.210.157.4 Comentar en el informe de la prctica si el equipo tiene alguna vulnerabilidad interesante y de que tipo de equipo se trata (y donde has encontrado esa informacin).