Detectando sniffers en nuestra red

[M®Xønxy]

Detectando sniffers en nuestra red, by Alfon



Vamos a tratar aquí la detección de sniffers en nuestra red desde el escenario más básico posible. Este escenarío sería una subred o red no conmutada.

En entornos Linux o UNIX la verificación de una interface en modo promiscuo se puede hacer usando ifconfig. Este programa configura la interface de red instalada en un determinado host y obtiene información de la configuración en el momento de ejecutar el programa. Cuando un adaptador de red se encuentra en modo promiscuo, ifconfig nos devuelve la siguiente información:

Código:

$ ifconfig -a

eth0 Link Encap: 10Mbps Ethernet HWaddr: xx:xx:xx:xx:xx:xx
inet addr: a.b.c.d Bcast: a.b.c.f Mask: m.m.m.m
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 (OJO: Modo promiscuo).
RX packets: 0 errors:0 dropped:0 overruns:0
TX packets:0 errors:0 dropped:0 overruns:0
Interrupt:15 Base Address:0x300

Este sistema no es infalible.

Existen programas que pueden hacer esta labor como:

cpm (Check Promiscuous Mode)

Este pequeño programa realizado por la Universidad de Carnegie Mellon, chequea el interfaz de red de la máquina descubriendo si está siendo utilizado en modo promiscuo (escuchando todo el tráfico de la red).

Código:

$ cpm

4 network interfaces found:
eth0:5: Normal
eth0:3: Normal
eth0:2: Normal
eth0:1: Normal
eth0: *** IN PROMISCUOUS MODE ***

Esisten otros programas como Antisniff, Sentinel, ifstatus o NEPED:

Veamos como trabaja NEPED.

Tenemos que introducir la interface de red:

Código:

$ neped eth0
----------------------------------------------------------
> My HW Addr: 00:50:BF:1C:41:59
> My IP Addr: 192.168.0.1
> My NETMASK: 255.255.255.0
> My BROADCAST: 192.168.1.255
----------------------------------------------------------
Scanning ....
* Host 192.168.0.3, 00:C2:0F:64:05:FF **** Promiscuous mode detected !!!
End.

NEPED utiliza la técnica de realizar una simple petición ARP para cada una de las IPs de la red a diagnosticar, pero ojo, los paquetes no van destinados a broadcast (FF:FF:FF:FF:FF:FF), sino a una dirección aleatoria e inexistente. Sólo las interfaces en modo promiscuo verán estos paquetes, y de esta manera, sólo estas interfaces contestarán a estas peticiones.

Existe también un dispositivo de hardware llamado Tap. Este dispositivo permite conectarse a un Hub o incluso a un switch de red al cual conectáremos un dispositivo (ordenador) para monitorizar la red. Existen tipos de Taps para cada tipo de red Ethernet 10 Mbps, 100 Mbps y 1 Gbps.
Más información en
Para ver este enlace Registrate o Inicia Sesion

www.netoptics. com

Otras formas de detectar posibles sniffers:

- Detectar y controlar los logs que suelen generar los sniffers.

- Detectar y controlar las conexiones al exterior.

- Monitorizados los programas que acceden al dispositivo de red.

- Normalmente una interface en modo promiscuo, queda reflejada en el fichero de logs:

Código:

$ cat /var/log/messages]

Esto es a grandes rasgos. espero que los usuarios de Linux del foro putualicen o corrigan lo que haga falta.

Para sistemas Windows exite también programas que detectan una interface en modo promíscuo.

PromiScan

"PromiScan (
Para ver este enlace Registrate o Inicia Sesion

www.securityfr iday.com

) es una utilidad de distribución gratuita diseñada para dar caza a los nodos promiscuos en una LAN rápidamente y sin crear una carga pesada en la red. Hay que tener en cuenta que localizar un nodo promiscuo es una tarea ardua, y que en muchos casos el resultado es incierto; no obstante, PromiScan consigue mostrar cada uno de esos nodos de una manera transparente, claramente visible. Para usar PromiScan es necesario contar con Windows 2000 Professional y haber instalado previamente el controlador WinPcap, cuya versión más reciente se encuentra en netgroup-serv.polito.it/winpcap/."


Para ver este enlace Registrate o Inicia Sesion.

PromiscDetect

Código:

C:\scan>promiscdetect

PromiscDetect 1.0 - (c) 2002, Arne Vidstrom (arne.vidstrom@ntsecurity.nu)
                  - http://ntsecurity.nu/toolbox/promiscdetect/

Adapter name:

 - NIC PCI 3Com EtherLink XL 10/100 PCI para administraci    ¾n completa del equipo
(3C905C-TX)

Active filter for the adapter:

 - Directed (capture packets directed to this computer)
 - Multicast (capture multicast packets for groups the computer is a member of)
 - Broadcast (capture broadcast packets)
 - Promiscuous (capture all packets on the network)
[b]
WARNING: Since this adapter is in promiscuous mode there could be a sniffer
         running on this computer![/b]

Para ver este enlace Registrate o Inicia Sesion

Para ver este enlace Registrate o Inicia Sesion

ProDETECT 0.1 BETA


Para ver este enlace Registrate o Inicia Sesion


Otras técnicas de detección

Sólo por nombrarlas y que alguna de ellas son usadas por los programas anti-sniffers:

- Ping de latencia
- Test ARP
- Test DNS
- monitorización SNMP


Protegerse contra la acción de los sniffers

A grandes rasgos para protegernos de los sniffers y para que estos no cumplan sus objetivos de olfateo de contraseñas y en general nos " lean datos sensibles" en texto plano, podemos hacer uso de diversas técnicas o utilizar sistemas como:

- PGP
- SSL
- SSH
- VPN, etc.

y en general el uso de sesiones encriptadas.

Otras consideracione s respecto a la protección contra sniffers pueden ser:

- evitar en lo posible las relaciones de confianza entre maquinas.

- uso de redes conmutadas.

- cambio periódico de claves de accesos y contraseñas.

- hacer copias periódicas de seguridad

A parte de estas consideracione s expongo aquí otras más generales sobre seguridad y no menos importantes;

- no tener activos servicios innecesarios que no usemos en nuestros sistemas.

- dotar a nuestros sistemas de las últimas actualizacione s en seguridad

- auditorias de seguridad

- uso de firewalls y antivirus

- uso de IDS.

- cuidar diseño de red y separar convenientemen te la red interna de la externa

etc.



Para más información pinche
Para ver este enlace Registrate o Inicia Sesion

<<aquí>>

Espero que les interese.


S4lu2