Proyecto Final
Diseño y Seguridad en Redes
Especialización en Redes de Computadores

Objetivo: Diseñar e implementar una topología de red segura, que integre algunos de los
diferentes mecanismos estudiados en clase. El escenario a simular es el de una red
corporativa con acceso a Internet, en la cual un servidor web ubicado en la DMZ es
intentado de vulnerar por un atacante ubicado en la red externa. Para este proyecto pondrán
a prueba los conceptos de Firewall, NAT, Sistemas de Detección de Intrusos, Escáner de
Vulnerabilidades y Herramientas para Hacking Ético.

Enunciado:

1. Organización

Cada grupo deberá trabajar en uno o más computadores donde se activarán cuatro máquinas
virtuales empleando la herramienta VMWare Player: dos equipos Kali Linux, uno
Windows Server y otro Windows Client (o Kali Linux).

2. Implementación de la topología de red

El objetivo es establecer una red que interconecta tres segmentos, dos internos: militarizado
(MZ) y desmilitarizado (DMZ) y uno externo: Internet, todos interconectados a través de un
Firewall de la forma como se muestra en el diagrama:
    
 

Como parte de esta topología, los diferentes elementos de red deberán contener los
siguientes sistemas:
Kali Linux / Atacante
1. OpenVAS
2. Metasploit

Kali Linux / FW-IDS

1. Firewall IPTables
2. IDS SNORT

Windows Client / Kali Linux

1. Cliente FTP
2. Navegador Web

Windows 2000 Server (o superior)

1. IIS (Servicios HTTP y FTP)

3. Requerimientos

1) El FW debe tener habilitado el servicio SSH para permitir la administración por

parte de equipo cliente ubicado en la MZ
2) El FW debe auto-protegerse de cualquier conexión directa distinta a la del
administrador
3) El FW debe bloquear todas las conexiones entrantes desde Internet hacia la DMZ y
MZ, salvo las de acceso al servidor Windows por el servicio de HTTP
4) El FW debe bloquear todas las conexiones entrantes desde la MZ hacia la DMZ,
salvo las de acceso al servidor Windows por el servicio FTP (para labores de
administración de contenidos)
5) El FW debe permitir la navegación hacia Internet de los servicios HTTP y HTTPS
de las estaciones ubicadas en la MZ
6) El FW debe efectuar traducción de direcciones NAT de forma estática para el
servidor Windows con el fin de permitir el acceso al servicio Web
7) El FW debe efectuar traducción de direcciones NAT dinámicas para permitir la
navegación de todos los equipos ubicados en la MZ a través de una misma dirección
pública
8) El FW debe tener activado el Sistema de Detección de Intrusos SNORT
9) Tanto el servicio de FW como de IDS deben estar configurados de forma persistente
con el fin de que al reiniciar la máquina no se pierdan los cambios y los servicios
inicien automáticamente
10) Tanto el servicio de FW como de IDS deberán almacenar logs de toda la actividad
en unas carpetas con ubicación fija
11) El atacante externo deberá ejecutar un escaneo de vulnerabilidades usando la
herramienta OpenVAS sobre el servidor Windows
    
 

12) El atacante externo deberá lanzar un ataque empleando la herramienta Metasploit

tomando como insumo el informe de vulnerabilidades generado por OpenVAS para
ganar acceso a una sesión remota en el servidor Windows
13) El IDS SNORT ubicado en el Firewall deberá ser capaz de detectar tanto el escaneo
como el ataque con Metasploit (si es necesario se deben crear reglas en SNORT)
14) Es necesario que cada vez que el administrador (equipo cliente en la MZ) al
conectarse al servicio FTP digite de forma errada 3 veces la clave en una ventana de
1 minuto, se genere una alerta en el IDS (se debe crear la regla de SNORT)
15) Es necesario que cada vez que el administrador (equipo cliente en la MZ) navegue
al sitio www.facebook.com se genere una alerta en el IDS (se debe crear la regla de
SNORT)

4. Recursos

Para desarrollar este Proyecto se pueden emplear los siguientes recursos:

1. Material de clase, laboratorios desarrollados durante el curso, disponible en el Catálogo
Web de Uninorte
2. Documentación oficial de la SNORT disponible en la ruta: http://manual.snort.org/
3. Documentación oficial de IPTables disponible en la ruta:
http://www.netfilter.org/documentation/HOWTO/es/packet-filtering-HOWTO.html
4. Documentación oficial de OpenVAS disponible en la ruta:
http://www.openvas.org/compendium/openvas-compendium.html
5. Documentación oficial de Kali Linux disponible en la ruta:
http://www.kali.org/official-documentation/
6. Documentación oficial de Metasploit disponible en la ruta:
http://www.offensive-security.com/metasploit-unleashed/Main_Page
7. Video tutorial de instalación y configuración de OpenVAS:
http://www.youtube.com/watch?v=qpdU1t2xyok
8. Video tutorial de como ejecutar ataques desde Metasploit empleando OpenVAS (en
Backtrack): http://www.youtube.com/watch?v=NvrTtDc4lEE