7/21/2019 Patriot NG
1/4
Patriot NG es una sencilla aplicacin que se encarga de monitorizar nuestro
sistema Windows. Este programa nos avisa de los cambios que se producen
en nuestro ordenador, dndonos la posibilidad de permitirlos o denegarlos.
Existen mil maneras de meorar la seguridad in!ormtica de nuestra
computadora, " es que el usuario que no piense en eso est por mu" mal
camino. #sicamente, un $%ost&'()* signi+ca realmente )istema de
deteccin de intrusos en un %ost donde %ost es el equipo donde se a
instalado dico $sistema*. Patriot NG es una erramienta para Windows que
es un %ost&'().
Patriot NG podr-a estar en!ocado para usuarios avanzados, o para equipos
donde se pueden colar mucos procesos. oncretamente, lo que ace esmonitorizar todas las tareas que son eecutadas en el sistema, " cuando
a"a algo sospecoso, te lo noti+ca, e incluso, te permite, si es posible,
realizar acciones que impidan que sigan eecutndose dica tarea
sospecosa.
uando se instala Patriot NG, automticamente, comienza a ver qu/ aces.
0o prob/ en las tareas normales que ago, " me lanz varias noti+caciones.
1 continuacin les comento todo lo que los creadores de este so!tware dicen
que este programa puede detectar " noti+carnos2
uando a" alguna modi+cacin en el registro de Windows
uando se a3aden o quitan +ceros en el inicio de Windows
uando se crean nuevos usuarios en el sistema operativo
uando se a3aden nuevos servicios en Windows
1 lo que se a3aden 45areas programadas6 en el sistema
uando se instalan nuevos controladores en Windows
1 lo que se crean ventanas ocultas en Windows
uando se abren o cierran puertos en la red
uando se detectan alteraciones en el protocolo 5P7'P
Pues bien el modo de uso de Patriot NG es bastante sencillo. Primero quetodo les comento que est disponible para Windows8, 9ista, :P, etc., en
7/21/2019 Patriot NG
2/4
espa3ol ;" otros idiomas?=2 E0 bug
del protocolo @(P que permite comprometer remotamente cualquier
sistema Windows. Esta vulnerabilidad, para la que a" varios exploits
pAblicos " que est siendo activamente explotada, es sin duda una de las
vulnerabilidades ms cr-tica que a sido publicada recientemente parasistemas Windows.
(ado que a d-a de o" es uno de los bugs que ms inter/s despierta ;" una
vez a3adido el exploit a metasploit, con ms razn< viene bien monitorizar
quien est $ugando* con el.
Para ello, vamos a usar P15@'B5 NG " su caracter-stica de monitorizacin de
intentos de conexin a puertos.
El primer paso es detener Patriot, para ello buscamos el tra"
on el botn dereco del ratn seleccionamos $stop*
El siguiente paso es a3adir el puerto del @(P ;CCD< a la lista de puertos
calientes, para ello nos situamos en2
2F1rcivos de programaFPatriot NG
(onde podemos localizar un +cero llamado $destports.ini*
na vez a-, editamos el +cero con notepad " vemos que la estructura del
+cero es bastante sencilla2 HpuertoI
Por tanto, a3adimos el puerto al +nal del +cero2
)alvamos " desde el tra", volvemos a arrancar Patriot2
on esto "a tenemos con+gurado Patriot para detectar intentos de conexin
a ese puerto, cada vez que alguien lo intente, podremos ver el intento "bloquear la 'P
7/21/2019 Patriot NG
3/4
%ola a todos vo" a poner la nueva in!ormacin sobre patriot&NG =.: que a
posteado nuestro amigo Jago Kesus ;creador de la erramienta < "
colaborador de )ecurit" #" (e!ault.
Gestin de reglas N'() en Patriot&NG
(urante la instalacin se crean dos +ceros de con+guracin del N'(), por
un lado badtraLc.ini " por otro ownrules.ini la idea es que badtraLc.ini sea
un +cero que MnoM se deba tocar " que se actualice v-a la inter!ace de
Patriot NG.
omo se puede ver en el tra", a" una opcin llamada $pdate N'() rules*
que descargar la Altima versin del servidor " la instalar. Por tanto, no es
aconseable tocar ese +cero a mano "a que en la prxima actualizacin
ser sobre&escrito.
El +cero orientado a que insertes tus propias reglas es ownrules.ini " aoratoca explicar como se crean esas reglas2
omo pod/is ver el !ormato de cada regla es mu" sencillo2
H5exto descriptivoI HPatronI
1s- pues a la ora de acer una regla lo primero es pensar un nombre que la
asocie " buscar un patrn en ese ataque que sirva para identi+carlo. El
$patrn* para la +rma puede estar escrito o en ascii o en exadecimal, as-
pues algo como2
ooOie access document.cooOie
Es identico a2
ooOie access Q!C8RdRe8Q=eC!!bR
Ja que Q!C8RdRe8Q=eC!!bR es la representacin en
exadecimal de document.cooOie.
0o pre!erible es que siempre se intente escribir la regla en ascii " usar ex
para representar Anicamente valores binarios.
1 la ora de buscar patrones se pueden a3adir varias cadenas de bAsqueda
uni/ndolas con el simbolo S
Por eemplo, si pretendemos buscar por un lado 4document.cooOie6 " por
otro 4ttp6 podemos crear la siguiente regla2
ooOie access document.cooOieSttp
Tue ar matc en un string como este2
ttp277www.dominio.com7script.ppUdocument.cooOie
7/21/2019 Patriot NG
4/4
Ja que en esa cadena se encuentra por un lado 4ttp6 " por otro
document.cooOie. El orden da igual "a que se evalAa uno a uno, es decir,
aunque en la regla el primer patrn de bAsqueda sea document.cooOie "
luego ttp, si en el paquete viene cambiado, seguir aciendo matc.
on+guracin de alertas por intento de conexin
1dicionalmente a badtraLc.ini " ownrules.ini a" otro +cero de
con+guracin llamado destports.ini, este +cero de+ne que puertos
consideramos $sospecosos* " sobre los que queremos que se nos avise si
a" un intento de conexin. El !ormato es mu" sencillo
H?CI
HQQRI
HD>I
H=?I
H?=QCI
HRD>>I
HR>>I
H88I
HC?CC8I
omo es obvio la !orma de a3adir o quitar puertos es sencilla, simplemente
a3adir al +nal H?=CQI " ese puerto ser-a monitorizado. Por cada cambio en la
con+guracin a" que acer un stop 7 start desde el tra"
onsideraciones sobre rendimiento
Este punto es algo peliagudo "a que como es lgico, el rendimiento 7 uso de
P va a variar en !uncin del uso de la red que se le est/ dando, el proceso
N'() se eecuta con una prioridad baa, lo que en parte puede mitigar una
saturacin, no obstante, est claro que si tienes un montn de conexiones
abiertas, descargando +ceros grandes, " todo eso en una red eternet,
seguramente el proceso consuma una cantidad importante de recursos e
incluso es posible 7 probable que a"a una perdida de paquetes a la ora de
procesar tanto tr+co.
Top Related