lessphp fatal error: load error: failed to find /home/content/72/10761472/html/blog/wp-content/themes/free_multi_wordpress/bootstrap/less/bootstrap.lesslessphp fatal error: load error: failed to find /home/content/72/10761472/html/blog/wp-content/themes/free_multi_wordpress/style.less Network Scanning - Velozity Web Blog

Network Scanning

Después del Footprinting viene el Network Scanning (escaneo de redes) la cual es una de las fases más importantes.

El Network Scanning el atacante utiliza toda la información que obtuvo en la Fase de Reconocimiento (Fase 1) para identificar vulnerabilidades específicas.

Por ejemplo, si en la Fase 1 el atacante descubrió que su objetivo o su víctima usa el sistema operativo Windows 7 entonces el buscara vulnerabilidades especificas que tenga ese sistema operativo para saber por dónde atacarlo.

Nota: Antes de realizar un Network Scanning no autorizado, "échale un ojo" a estas leyes:

Leyes sobre crimenes ciberneticos en diferentes paises del mundo

 

Objetivos primarios del Network Scanning:

1. Detectar sistemas “vivos” o activos que están corriendo en la red.
2. Descubrir cuales puertos están activos o abiertos para saber por dónde entrar.
3. Descubrir el OS y su versión para buscar vulnerabilidades especificas.
4. Descubrir qué tipo de servicios o aplicaciones está corriendo en el sistema para buscar vulnerabilidades específicas de esa aplicación y poder tener acceso al sistema.
5. Descubrir direcciones IP del sistema objetivo (target).

 

Existen 3 tipos de escaneos:

Escaneo de Puertos – es verificar los servicios o aplicaciones que están corriendo en el sistema objetivo o victima por el envió de una secuencia de mensajes para intentar penetrar en los puertos. El escaneo de puertos implica el conectarse a los puertos de los protocolos TCP (Transfer Control Protocol) y UDP (User Datagram Protocol) en el sistema objetivo para determinar si los servicios están corriendo en estado de escucha (abiertos). Si los puertos están en estado de escucha te pueden dar una idea del OS y la aplicación en uso.

Escaneo de red (network) – es el procedimiento de identificar hosts (computadoras) activos en una red para atacarlos (en el caso de un Hacker o Cracker) o para realizar tareas de seguridad (en el caso de un administrador de redes). Los Host son identificados por su direccion IP individual.

Escaneo de Vulnerabilidades – es el método usado para detectar vulnerabilidades en los sistemas y redes, es usado para saber si un sistema puede ser “explotado”. Los escáner de vulnerabilidades usan un motor de escaneo con un catalogo que contiene un archivo con una lista de vulnerabilidades conocidas y exploits comunes.

 

Banderas (flags) de comunicación de TCP:

La comunicación estándar del protocolo de control de transmisión (TCP) es controlada por banderas en la cabecera de los paquetes TCP (TCP Packet Header). Estas banderas gobiernan la conexión entre hosts o computadoras, dándoles instrucciones al sistema.

 

Las banderas son las siguientes:

1. Synchronize – alias “SYN”, se usa para iniciar una conexión entre hosts o computadoras.
2. Acknowledgement – alias “ACK”, se usa para establecer una conexión entre hosts.
3. Push – alias “PSH”, le indica al sistema recibidor a enviar toda la data almacenada inmediatamente.
4. Urgent – alias “URG”, le indica al sistema que la data contenida en el encabezado (header) se procese de inmediato.
5. Finish – alias “FIN”, le indica al sistema remoto que no hay mas transmisiones.
6. Reset – alias “RST”, se usa para reajustar (reset) la conexión.

 

El apretón de manos de 3 vías (Three Way Handshake)

TCP es un protocolo orientado a conexión, el cual implica el establecimiento de una conexión, esto se hace antes de que se pueda transferir data entre aplicaciones. Esta conexión es posible a través del proceso de Three Way Handshake. La implementación del Three Way Handshake es establecer una conexión entre protocolos.

 

Ejemplo de Three Way Handshake:

Supongamos que usted, el cliente, se quiere conectar con un servidor.

Network Scanning TCP 3 way handshake

 

El cliente (la fuente) envía un paquete con una bandera SYN al Servidor (destino) para establecer una conexión TCP.

Luego el Servidor recibe el paquete SYN que el Cliente envió para comenzar una sesión TCP enviando un paquete SYN/ACK de regreso al Cliente (si el Servidor envía un SYN/ACK significa que el puerto está abierto).

Luego el Cliente envía un paquete ACK al Servidor para indicarle que la comunicación se ha establecido y están listas para recibir data.

Esto también se conoce como una conexión TCP abierta completa (Full-open TCP connection).

El problema con las conexiones Full-open es que son detectadas por los IDS (Intrusion Detection Systems) y por los Firewalls.

 

Tipos de Network Scanning :

Existen varios tipos de escaneos como Stealth Scan, Xmas Scan (funciona solo en UNIX), FIN Scan (funciona solo en UNIX), Null Scan (funciona solo en UNIX), ICMP Echo Scan, FTP Bounce Scan, UDP Scan, Reverse Ident Scan, RPC Scan, Window Scan, Blaster Scan, pero no las vamos a discutir en este articulo, en este articulo vamos a discutir las 2 más usadas que son Half-Open e IDLE Scan.

Escaneo Half-Open (media abierta) Muchos Hackers, para evitar ser detectados usan esta una técnica de escaneo, se le llama así porque el atacante no abre o establece una conexión TCP completa o Full-Open.

Esta técnica es parecida a la Full-Open, con la diferencia de que al final en vez de enviar un paquete con una bandera ACK se envía un paquete con un RST para terminar la conexión. Esta técnica es registrada por muy pocos sitios, pero los IDS y Firewalls sofisticados son capaces de detectar esta técnica.

Además necesitas tener privilegios de “root” para poder usar esta técnica de escaneo.

 

Escaneo IDLE (inerte, inactivo) El escaneo Idle es el favorito de los Hackers y Crackers, también conocido como escaneo “invisible” o “zombie”.

Esta técnica relativamente nueva fue inventada hace aproximadamente 10 años por el investigador de seguridad Antirez.

Esta técnica permite un escaneo a los puertos completamente invisible, el atacante puede escanear a su objetivo sin enviar un solo paquete que pueda revelar la dirección IP del atacante.

Para hacer un escaneo IDLE no necesitas ser un experto en seguridad o protocolos TCP/IP, pero necesitas entender varias cosas, que son las siguientes:

La mayoría de los servidores de red escuchan en los puertos TCP, como los web servers que escuchan en el puerto 80 y los servidores de email que escuchan en el puerto 25. Un puerto se considera abierto si una aplicación está escuchando en el puerto.

Para determinar si puerto está abierto o no se envía un establecimiento de sesión (paquete SYN) al puerto, la maquina que recibe el paquete SYN responde con un paquete SYN/ACK si el puerto está abierto y con un paquete RST si el puerto está cerrado.

Una maquina que recibe un paquete SYN/ACK no solicitado responde con un RST y los RST no solicitados son ignorados.

Cada paquete de IP en Internet tiene un número de "identificación de fragmento". Varios sistemas operativos simplemente incrementan este número por cada paquete que envían. Por lo tanto la observación de este número puede decirle al atacante cuántos paquetes han sido enviados desde la última observación.

 

 

Pasos para un escaneo IDLE con Nmap

(fuente: www.insecure.org/nmap/)

El primer paso es encontrar un host zombie apropiado. El host no debería tener mucho tráfico, (de ahí el nombre Idle, inerte, inactivo) y debería ofrecer valores de IPID predecibles. Impresoras, máquinas con Windows, hosts con versiones de Linux viejas, FreeBSD, y Mac OS son generalmente útiles.

Las últimas versiones de Linux, SOlaris Y OpenBSD son inmunes a ser tratadas como zombies, pero cualquier host puede ser objeto del escaneo.

Una manera de determinar la vulnerabilidad de un host es simplemente probar un Idlescan de Nmap. Nmap comprobará el zombie y reportará si es confiable.

Efectuar estos escaneos es bastante fácil. Simplemente hay que proveer de el nombre del host zombie a la opción -SI y Nmap hace el resto.
# nmap -Pn -p- -sI kiosk.adobe.com www.riaa.com

Herramientas para Network Scanning :

Nmap (Network mapper) Nmap es una utilidad gratis de código abierto para la exploración y escaneo de redes, es la favorita de los Hackers, profesionales de seguridad y de nosotros también, es tan famosa y poderosa en la comunidad de seguridad que fue usada en películas como Matrix Reloaded, Bourne Ultimatum, Die Hard 4, entre otras películas.

Soporta más de 12 maneras de escanear una red como: TCP connect, TCP SYN, UDP, FTP Bounce, Reverse-ident, ICMP, FIN, ACK sweep, Xmas Tree, SYN sweep, IP Protocol, Stealth Scan, RPC scan y Null Scan.

Tambien puede detectar OS vía TCP/IP fingerprinting, hacer dynamic delay, calculaciones de retransmisiones, escaneo paralelo, Pings, entre otras muchas cosas.

Descargar Nmap  http://nmap.org/download.html

Si instala el de líneas de commando, abra el command prompt y escriba nmap y le aparecerán todas las opciones disponibles de nmap.

Angry IP http://www.angryziber.com/ Es un excelente escáner de IPs para Windows, Mac y Linux puede escanear cualquier rango de IPs y determinar que IPs están “vivas” y “muertas” también provee información sobre NetBIOS como: nombre de la computadora, nombres de grupos y direcciones MAC, entre otras cosas.

HPING2 http://www.hping.org/ Escáner para Linux, Solaris y Mac OS X, sus características son: Firewall testing, escáner avanzado de puertos, Network testing usando diferentes protocolos, trazador de rutas avanzado, detección de OS, remote uptime guessing, audición de TCP/IP stacks, entre otras cosas.

 

Herramientas para escanear vulnerabilidades:

Nessus http://www.nessus.org/  escáner de vulnerabilidades que busca por errores (bugs) en el software. Un atacante puede usar esta herramienta para violar la seguridad de un software en particular.

Nessus puede escanear un número ilimitado de host al mismo tiempo, usa plug-ins inteligentes y su base de datos de vulnerabilidades siempre esta actualizada.

Características:

  • High-Speed Asset Discovery
  • Vulnerability Assessment
  • Malware/Botnet Detection
  • Configuration & Compliance Auditing
  • Scanning & Auditing of Virtualized & Cloud Platforms

La version gratis (Home edition) debes registrarla para poder usarla. Cuando presiones download, al final donde dice "Note:" presiona el link  "Nessus Home Registration Page".

 

NIKTO http://cirt.net/nikto2 Escáner de código abierto para webserver, realiza pruebas comprensivas a través de los webserver para múltiples artículos, prueba los webserver en el tiempo menos posible, soporte para SSL, soporte para plug-in, entre otras cosas. Funciona en Windows, UNIX y Mac OSX, requiere la instalación de la librería LibWhisker.

 

Contramedidas:

Su Firewall debe ser lo suficientemente bueno como para detectar pruebas de escaneo de un atacante. Su Firewall debe realizar inspecciones confiables teniendo un conjunto especifico de reglas (rule set)

Se deben usar NIDS (Network Intrusion Detection System) para evitar el método de detección de sistemas operativos de herramientas como Nmap.

Solo los puertos necesarios deben permanecer abiertos, el resto deben ser filtrados.

Haga uso de un escáner de vulnerabilidades como los antes mencionados para encontrar fallas en su red, dispositivos y software antes que sean encontradas por los atacantes.

Muchas veces los servicios o aplicaciones activas que están en estado de escucha pueden permitir el acceso no autorizado a los sistemas que no están configurados adecuadamente y más aun si estos servicios o aplicaciones contienen vulnerabilidades.

No hay comentarios.

Agregar comentario