Esta es una vista previa del archivo. Inicie sesión para ver el archivo original
Fingerprinting Índice 3 4 6 11 1 | Introducción 2 | Tipos 3 | Nmap 4 | Network Minner Fingerprinting | TELEFÓNICA // 3 La fase de fingerprinting se centra en el proceso de buscar información sobre los objetivos que han sido encontrados o localizados durante la fase de footprinting con el fin de utilizar esa información. El objetivo es claro: buscar vulnerabilidades que padezcan los sistemas en la siguiente fase. La información que se puede encontrar sería: • Información sobre el sistema operativo de las máquinas remotas. • Información sobre los elementos de seguridad, como por ejemplo la presencia de un firewall entre el auditor y las máquinas, que hay en el entorno. • Información sobre los puertos abiertos de las máquinas remotas. • El descubrimiento de puertos da lugar a la existencia de servicios. • Versiones de aplicaciones que se ejecutan tras los puertos abiertos. Esto es importante, ya que dichas aplicaciones pueden estar desactualizadas. Como se puede ver, se intenta realizar una huella con el máximo de información de las máquinas remotas. El objetivo es facilitar información potencialmente importante a la fase de análisis de vulnerabilidades. 1. Introducción Fingerprinting | TELEFÓNICA // 4 Principalmente en la etapa de fingerprinting nos centraremos en analizar los servicios que se encuentran escuchando tras cada máquina localizada, es decir, los puertos abiertos. El objetivo es averiguar los sistemas operativos y aplicaciones que se encuentran operando en dichas máquinas. Para ello, se necesita conocer una serie de herramientas de auditoría de seguridad, las cuales se estudian a continuación. En primer lugar, se tratarán en tipos de herramientas: Pasivo Este tipo de herramientas se configuran para escuchar en una red y analizar los paquetes para identificar máquinas y servicios, lo cual quiere decir que el sistema atacante no genera ningún tipo de comunicación hacia el destino con el fin de provocar una respuesta. Algunos ejemplos serían Satori y Network Minner. También hay varias herramientas para hacer fingerprinting Pasivo, como P0f que viene instalada en la distribución Kali Linux. 2. Tipos Imagen 5 Dork en Google Fingerprinting | TELEFÓNICA // 5 Activo Este tipo de herramientas explora una red en busca de máquinas y servicios. El atacante realiza alguna acción que provoque algún tipo de respuesta en la vıctima. Esto se traduce en el envío de paquetes destinados a la máquina víctima, con los que comprobar su comportamiento en situaciones anómalas o no especificadas por los estándares. Como ejemplo se indican Nmap o Fing. Veamos un ejemplo del fingerprinting que realiza: Imagen 57 Fingerprinting con nmap Fingerprinting | TELEFÓNICA // 6 Nmap1 son las siglas de Network Mapper y es una herramienta libre orientada a explorar y a la realización de auditorías de seguridad en una red de datos. Con Nmap el auditor puede poner al descubierto puertos abiertos en los equipos de una red, así como información acerca de los sistemas operativos de dichos equipos. También, implementa algunos escaneos que permiten obtener información sobre elementos de seguridad que tiene la red. La herramienta se encuentra disponible para Windows, Linux u OS X. 3. Nmap Imagen 58 Logo NMAP 1 https://nmap.org/man/es/ http://nmap.org/man/es/ Fingerprinting | TELEFÓNICA // 7 Nmap implementa gran cantidad de tipos de escaneos. Cada tipo de escaneo tiene una característica que le hace interesante. Tras cada puerto abierto existirá un servicio y una versión de aplicación. El auditor necesitará conocer los servicios más comunes y los puertos en los que se escuchan, ya que en algunas ocasiones no se puede saber la versión de una aplicación que opera en un puerto concreto. A continuación, se muestran algunos de los parámetros que se pueden utilizar con la herramienta Nmap para el descubrimiento de servicios. En las descripciones se pueden encontrar algunos ejemplos de uso: Imagen 59 Puertos comunes Puerto Servicio 21 FTP 22 ssh 25 SMTP 53 DNS 80 http 110 POP3 143 IMAP 443 https 993 IMAP ssl 995 POP ssl Parámetro Descripción y ejemplo -O El escaneo realizará fingerprint del sistema operativo con el objetivo de obtener la versión de éste en la o las máquinas remotas. Ejemplo: nmap –O <dirección IP> -sP Con este parámetro se analiza que equipos se encuentran activos en una red. Ejemplo: nmap –sP 192.168.0.0/24 -sS Se lanza un escaneo sobre varios equipos o una red. Permite obtener un listado de puertos abiertos de éstos. Ejemplo: nmap –sS 192.168.0.0/24 -sN Permite realizar un escaneo de tipo Null Scan. Ejemplo: nmap –sN <dirección IP> -sF Permite realizar un escaneo de tipo FIN Scan. Ejemplo: nmap –sF <dirección IP> -sX Permite realizar un escaneo de tipo XMAS Scan. Ejemplo: nmap –sX <dirección IP> -p Se Indica sobre qué puertos se debe realizar el escaneo. Ejemplo: nmap –p 139,80,3389 <dirección IP>. Para indicar rangos especificamos el puerto de la siguiente manera 80-1500. Se realizará un análisis desde el puerto 80 hasta el 1500 -A Este parámetro habilita la detección del sistema operativo, además de las versiones de servicios y del propio sistema. Ejemplo: nmap –A <dirección IP> -sI Permite realizar un escaneo de tipo idle. Ejemplo: nmap –P0 –p – -sI <dirección zombie> <dirección víctima>. Cabe destacar que la opción –p – permite realizar un escaneo sobre todos los puertos de la máquina, esta acción puede provocar que el escaneo se ralentice en gran medida -sV Obtener las versiones de los productos. Ejemplo: nmap –sV <dirección IP> Fingerprinting | TELEFÓNICA // 8 La herramienta Nmap implementa un motor de scripting, el cual permite que se ejecuten plugins o scripts junto al escáner. El objetivo es añadir funcionalidad al escaneo que Nmap lanza contra las máquinas remotas. NSE, Nmap Scripting Engine, es una de las características más flexibles y potentes que ofrece la herramienta. Los scripts pueden ser escritos por los usuarios de Nmap, y más adelante se indicará una dirección URL dónde obtenerlos. Este motor de scripting es una primera aproximación al análisis de vulnerabilidades, ya que nos pueden permitir detectar vulnerabilidades conocidas y aprovechar la información obtenida en el fingerprinting para, tras analizarlo, encontrar vulnerabilidades. En la siguiente dirección URL, https://nmap.org/book/nse.html, se puede encontrar diferentes categorías de scripts y que ayudarán a los auditores a ampliar el foco y el punto de mira en el uso de Nmap. Para lanzar scripts con Nmap hay un parámetro denominado –script. A modo de ejemplo se presenta un script creado para detectar en las máquinas remotas la vulnerabilidad de Heartbleed. La vulnerabilidad de Heartbleed tiene como expediente el CVE-2014-0160. Un ejemplo de sintaxis con Nmap sería: nmap –sV –p 443 –script=ssl- heartbleed.nse <dirección IP máquina remota>. Imagen 60 Nmap con script Heartbleed Cómo se puede visualizar en la imagen anterior se detecta el puerto 443 abierto y se identifica una versión OpenSSL vulnerable a Heartbleed, ya que la versión de OpenSSL se encuentra entre la versión 1.0.1 y 1.0.2-beta1. En la descripción de la vulnerabilidad se indica qué se puede hacer con la explotación de dicha vulnerabilidad. Este ejemplo de ejecución de script en Nmap es extrapolable a muchos otros casos, e incluso se puede anidar la ejecución de scripts. http://nmap.org/book/nse.html Fingerprinting | TELEFÓNICA // 9 Tipos escaneos Mediante nmap podemos identificar multitud de información referente a las máquinas remotas a auditar, entre ellas podemos obtener los servicios en ejecución, escaneo de puertos, comprobación del sistema operativo, versiones de los servicios, … además como hemos visto anteriormente con los scripts de nmap podemos dar más funcionalidad a la herramienta. A continuación, veremos algunos de las funcionalidades básicas de nmap para identificar puertos, servicios, sistemas operáticos, … • Identificación de puertos y servicios Para realizar una identificación de puertos lanzaremos el comando nmap seguido de la IP o red a escanear. Si no indicamos ningún puerto toma los 1000 primeros conocidos, aunque podemos especificar un rango, un puerto en concreto, etc… con el parámetro –p. Imagen 61 Nmap - Identificación de puertos Imagen 62 Nmap - Identificación de rango de puertos Con este comando nos visualiza que puertos tenemos abiertos y/o filtrados por algún firewall o IDS, junto con el servicio que tienen actualmente. Si quisiéramos conocer más información del servicio utilizaríamos el parámetro –sV Imagen 63 Nmap - Identificación Servicios Fingerprinting | TELEFÓNICA // 10 • Escaneos ARP Podemos escanear la red con arp-scan, el cual envía consultas ARP (Address Resolution Protocol) a IPs o a rangos de IP específicos, es decir, devuelve las direcciones MAC, junto con el fabricante de la MAC. Imagen 64 Arp-scan También podemos obtener el mismo resultado con nmap. Utilizando el parámetro –sP y la red a escanear. El parámetro –sP realiza un tipo de escaneo en el que utiliza el ping para ver si existe conexión con la máquina remota y ver cuáles están activos. Imagen 65 Nmap - ARP scan • Escaneo de sistema operativo Para la detección del sistema operativo utilizaremos el parámetro –O. Esta detección es aproximada en algunos casos indicando la posibilidad de varios sistemas con sus versiones. Imagen 66 Nmap - Escaneo Sistema Operativo Fingerprinting | TELEFÓNICA // 11 La herramienta Network Minner2 es de la rama de análisis forense de red para sistemas Microsoft Windows. Su propósito es recolectar información tras el procesado de las capturas de red. La herramienta filtra todo tipo de información, y es capaz de obtener versiones de aplicaciones, de sistemas operativos, ficheros, conexiones abiertas, credenciales, sesiones, ... Una de las utilidades interesantes es que permite importar archivos PCAP para su análisis off-line y rehacer archivos transferidos entre otras. También es muy utilizado en el análisis de tráfico de malware, así como la posibilidad de realizar búsquedas en la información analizada en busca de usuario, contraseñas, etc… disponibles en la pestaña Credentials. 4. Network Minner Imagen 67 Logo Network Minner Imagen 68 Network Minner 1 http://www.netresec.com/?page=NetworkMiner http://www.netresec.com/?page=NetworkMiner
Compartir