PROYECTO 6 - SEGURIDAD ACTIVA: ACCESO A REDES

RA: Aplicar mecanismos de seguridad activa describiendo sus características y relacionándolas con las necesidades de uso del sistema informático.

Inventariado y control de servicios de red

Tu empresa está analizando la seguridad de una empresa de servicios de Internet. Para convencerles de que necesitan contratar una auditoría seria, les vas a demostrar que puedes identificar fácilmente los servicios que están ofreciendo y si son vulnerables.

Para ello, vas a instalar varios servicios (p.ej. HTTP, DNS, FTP) en una máquina virtual. A continuación:

a) Comprueba que, desde una máquina distinta puedes identificarlos utilizando Spiceworks (que ya instalaste en el proyecto anterior).

b) Descarga e instala nmap de la página oficial. Haz la misma prueba que en el punto anterior.

Nos hemos bajado este programa desde la página principal de nmap.

c) Utiliza de nuevo nmap para escanear los servicios de Google. Realiza

un escaneo sobre el servidor de google.es. Determina qué puertos están abiertos y para qué servicios.

82.194.64.60

El puerto 53 lo utiliza para para el dominio.

El puerto 80 lo utiliza para el proxy http.

d) A partir de la información obtenida en el punto anterior, investiga posibles vulnerabilidades del servidor web concreto que utiliza Google (protocolo http).

Una vulnerabilidad fue encontrada en Squid Proxy 3.x y clasificada como crítica. Una función desconocida del componente Gopher es afectada por esta vulnerabilidad. A través de la manipulación de un input desconocido se causa una vulnerabilidad de clase desbordamiento de búfer. Esto tiene repercusión sobre la confidencialidad, integridad y disponibilidad.

La vulnerabilidad fue publicada el 2011-08-29 por Ben Hawkes de Google Security Team (no está definido). El advisory puede ser descargado de squid-cache.org. La vulnerabilidad es identificada como CVE-2011-3205.

La vulnerabilidad es relativamente popular a causa de su poca complejidad. El ataque se puede efectuar a través de la red. No se conoce los detalles técnicos ni hay ningún exploit disponible.

Para el scanner Nessus se dispone de un plugin ID 103233 (Squid Proxy Gopher Remote Buffer Overflow Vulnerability), que puede ayudar a determinar la existencia del riesgo analizado.

Aplicando un parche es posible eliminar el problema. El parche puede ser descargado de squid-cache.org. Una solución posible ha sido publicada 2 semana después de la publicación de la vulnerabilidad.

e) Localiza geográficamente dónde está ubicado el servidor de Google.es a través de su IP.

En la ilustración anterior podemos ver donde se ubican los servidores de google.es a través de su IP.

Seguridad en redes inalámbricas

La empresa que estás auditando permite la conexión de portátiles, tabletas y móviles por wifi. Piensan que la seguridad de la red inalámbrica es suficiente tal cual ha sido instalada por el proveedor, aunque sospechan que hay accesos no controlados. Tienen un router inalámbrico Linksys WRT160NL:

a) Enumera las vulnerabilidades que puede tener la red inalámbrica con la

configuración por defecto.

Vulnerabilidades de las WPA PSK Como hemos visto, las WPA son de las encriptaciones más seguras, sin embargo, hay

una serie de excepciones que hacen de las WPA unas redes menos seguras incluso

que las WEP.

o Claves por Defecto: Aunque poco a poco están desapareciendo estos routers,

hubo una gran cantidad de modelos, proporcionados por Movistar y Jazztel (las

redes WLAN_XXX y JAZZTEL_XXX de la marca Comtrend) cuya clave WPA que

venía por defecto se podía generar en tan sólo 5 segundos a través de una

aplicación. Yo viví en primera persona el hallazgo y contribuí en cierta comunidad

internauta a descubrir el algoritmo. Dejando a un lado estas, existen muchísimos

generadores de claves por defecto y de diccionarios que hacen de las WPA redes

vulnerables.

o WPS: Hace poco ha salido a la luz un tipo de brecha de seguridad

aprovechándose del protocolo WPS, en el que se utiliza un pin de 8 dígitos para

conectarse a la red sin saber la contraseña. Actualmente, casi todos los routers

nuevos traen este protocolo, y la mayoría activado por defecto, por lo que con un

ataque de fuerza bruta que no suele durar más de 48 horas en el peor de los

casos, se puede obtener el pin, y con el pin, la clave de la red.

Otras vulnerabilidades Además de los métodos antes citados, se suelen utilizar unos ataques que no suelen

verse mucho, pero que pueden terminar en unas serias consecuencias. Aunque hay

muchos, citaré:

o Man in the Middle, Rogue AP o Evil Twin: Se trata de un ataque mediante el

cual, se crea una red gemela o una red señuelo. Se le hará un ataque de

desautenticación a la víctima para forzar que se desconecte y se conecte a nuestra

red. En nuestra red creada anteriormente, podemos montar diversas artimañas

para obtener lo que se quiera: desde información acerca del correo electrónico de

la víctima hasta las contraseñas de las redes inalámbricas que la víctima tiene

guardadas. Es muy complejo de realizar, pero los resultados pueden

desencadenar en algo muy serio por los datos personales que se pueden llegar a

recopilar.

o Envenenamiento de host a través de Sniffer: Si te conectas a una red sin

contraseña, ¡mucho ojo! Puede haber alguien que te esté espiando sin que lo

sepas. Existen herramientas que se utilizan para que determinado cliente

conectado a la red quede “envenenado”. Esto significa que podrás redirigirle a las

páginas que quieras para realizar phising, o bien, capturar todas las contraseñas

que estás poniendo en sitios no cifrados.

Como habéis podido ver, es todo un mundo lo que abarca la seguridad inalámbrica, y

las consecuencias de tener tu red poco protegida pueden ir más allá de tan solo

otorgarle internet gratis a tu vecino. Espero que poco a poco todos los lectores puedan

ir consiguiendo una red más segura.

b) Configura el router (a través del emulador de la página web de Linksys)

para que la red sea lo más segura posible.

Vamos a configurar el router de manera que sea lo mas seguro posible.

Deberemos cambiar el

SSID que venga por defecto

Elegimos la seguridad que queremos en

este caso WPA2 Enterprise

La encriptación que queremos

La IP de servidor Radius Puerto que va utilizar el servidor

Clave del servidor Radius, tendremos que

poner una suficientemente robusta

Ponemos los segundos que queremos que se nos renueve la clave

Si activamos esta casilla ponemos en la lista las MAC de los equipos que no

queremos que se conecten

Si activamos esta casilla ponemos en la lista las MAC de los equipo que

permitimos que se conecte.

Los directivos de la empresa están algo cansados de que se acceda a Internet de forma abusiva. Quieren que les recomiendes algo para controlar su uso:

a) Explícales qué es un portal cautivo y cómo les puede ayudar.

Un portal cautivo (o captivo) es un programa o máquina de una red informática

que vigila el tráfico HTTP y fuerza a los usuarios a pasar por una página especial

si quieren navegar por Internet de forma normal.

El programa intercepta todo el tráfico HTTP hasta que el usuario se autentifica,

el portal se encargará de hacer que esta sesión caduque al cabo de un tiempo.

También puede empezar a controlar el ancho de banda usado por cada cliente.

b) Explica también qué formas hay de implementarlo y qué recursos HW y

SW son necesarios en cada caso.ç

Un servidor o equipo maquina como SW y como HW aquí en colegio tenemos un

servidor Cential haciendo de portal cautivo

c) Escribe el código html de una página web que sirva para validar a un

usuario que quiera acceder a Internet.

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/strict.dtd">

<html lang="en">

<head>

<meta http-equiv="Content-Type" content="text/html; charset=utf-8">

<title>ESTA ES TU PERDICION </title>

</head>

<body>

<h1>INTERNET HOME 2009</h1>

<p>Ingrese en las casillas en blanco su username y password que se le proporciono a su email, luego haga click en

boton LOGIN para iniciar el Internet.Si aun no tiene esos datos llame al 777777 para que aperturen su cuenta.</p>

<p>si aun tienes problemas para accesar al servicio es posible debido a que tu cuenta fue bloqueada

debido a algun retraso de pago.</p>

<p>Los depositos se realizan en el BANCO DE SCOTIABANK</p>

<h2>Identificate</h2>

<form method="post" action="$PORTAL_ACTION$">

<fieldset>

<legend>Datos de Cuenta</legend>

<p>

<label for="Username">Username:</label>

<input type="text" id="auth_user" name="auth_user" size="25"/> ()

</p>

<p>

<label for="Password">Password:</label>

<input type="Password" id="auth_pass" name="auth_pass" size="25"/> ()

</p>

<input name="redirurl" type="hidden" value="$PORTAL_REDIRURL$">

</fieldset>

<p><input name="accept" type="submit" value="Login"></p>

</form>

</body>

RA: Asegurar la privacidad de la información transmitida en redes informáticas describiendo vulnerabilidades e instalando software especifico.

Medidas para evitar la monitorización de redes cableadas

Estás dando soporte como técnico de seguridad informática a una empresa que tiene varios grandes departamentos, algunos que manejan información altamente confidencial. Además, el tráfico de backup afecta al rendimiento del resto de la red. Te piden consejo: a) Les recomiendas utilizar un switch gestionable con capacidad VLAN. Crea

dos VLAN de grupos de puertos con los identificadores 11 y 12. Cada

VLAN incluirá al menos dos puertos. Conecta cuatro equipos al switch,

dos en cada VLAN.

Aquí nos conectamos a través del navegador poniendo la IP de nuestro swith

gestionable.

El la ilustración anterior nos vamos a Vlan Management, create Vlan.

Es esta captura crearemos las Vlan, en ID asignaremos un número por ejemplo

el nº 11 y 12, y luego ponemos el nombre.

En esta ilustración vemos que ya se han creado la Vlan, después pasamos a

asignar los puertos que van asignados a cada Vlan.

Vlan 11

Vlan 12

En esta ilustración ya dejamos marcado el ID de la Vlan, con su puerto asignado,

estos valores los guardaremos.

b) Comprueba que hay conectividad entre los equipos de la misma VLAN,

pero no con los de la otra VLAN.

En esta captura se ve que en la vlan 11 con un ordenador con la IP. 192.168.1.22,

mi equipo no se ve.

Pero con la IP. 192.168.1.23, que pertenece a la vlan 12 mi equipo se ve

perfectamente.

Vlan 11

Vlan 12

VPN

Parte del personal de tu empresa teletrabaja. Para establecer conexiones seguras con la empresa se utiliza VPN. La empresa en la que das soporte quiere implementar dicha solución para sus empleados que trabajan desde oficinas remotas. Requieren tu ayuda para ello:

a) Les vas a hacer una demostración a través de la aplicación LogMeIn

Hamachi. Descárgala e instálala en una máquina virtual. Crea una red.

b) Instala la aplicación en otra máquina. Haz que se una a la red creada en la

otra máquina. Puedes hacerlo también con la red de un compañero.

c) Demuestra que funciona también entre tu casa y el colegio.

En esta ilustración vemos como desde mi equipo me he conectado al equipo de

Bilal en su casa.

Este equipo es el de Bilal 127PC15

Red creada desde mi equipo 127PC12