Captura y Análisis de paquetes de Red

Material del curso de análisis forense en redes, parte 1

Transcript

1. Captura y Análisis de paquetes de Red
2. @chrissanders88 @LauraChappell Recursos @LauraChappell @WiresharkNews Captura y Análisis de paquetes de Red
3. Es el proceso de capturar e interceptar en tiempo real el flujo de datos a través de una red con el fin de entender que sucede. Generalmente se realiza a través de un Sniffer (Capturador de Paquetes) Ventajas: • Entender las características de la red • Comprender quién está en la red • Determinar quien y que está utilizando el ancho de banda • Identificar picos de tráfico • Identificar posibles ataques o actividad maliciosa • Encontrar aplicaciones inseguras Análisis de Paquetes (Análisis de protocolos o captura de paquetes) Captura y Análisis de paquetes de Red
4. Es el proceso de capturar e interceptar en tiempo real el flujo de datos a través de una red con el fin de entender que sucede. Generalmente se realiza a través de un Sniffer (Capturador de Paquetes) Ventajas: • Entender las características de la red • Comprender quién está en la red • Determinar quien y que está utilizando el ancho de banda • Identificar picos de tráfico • Identificar posibles ataques o actividad maliciosa • Encontrar aplicaciones inseguras Análisis de Paquetes (Análisis de protocolos o captura de paquetes) Captura y Análisis de paquetes de Red
5. Cómo funcionan los Sniffers? (Capturadores de paquetes) Colección Conversión Análisis Captura y Análisis de paquetes de Red
6. Modelo OSI Capa Protocolo Aplicación HTTP, SMTP, FTP, Telnet Presentación ASCII, MPEG,JPEG, MIDI Sesión NetBIOS, SDP, SAP, NWLink Transporte TCP, UPD, SPX Red IP, IPX Enlace de Datos Ethernet, Token Ring, AppleTalk Física Captura y Análisis de paquetes de Red
7. Encapsulamiento de Datos Aplicación Presentación Sesión Transporte Red Enlace de Datos Física HTTP HTTP TCP | HTTP TCP | HTTP IP | TCP | HTTP IP | TCP | HTTP Ethernet | IP | TCP | HTTP Ethernet | IP | TCP | HTTP Captura y Análisis de paquetes de Red
8. Encapsulamiento de Datos Aplicación Presentación Sesión Transporte Red Enlace de Datos Física Datos Datos Segmentos Segmentos Paquetes Paquetes Tramas Tramas Bits Bits Captura y Análisis de paquetes de Red
9. Captura de Tráfico (Acceso al cable) Modo Promiscuo HUB Port Mirroring TAP de Red Envenenamiento ARP Captura y Análisis de paquetes de Red
10. Port Mirroring Puerto Espejo Sniffer Objetivo Switch Enable Port- Mirroring set span { puerto origen } {puerto destino} Captura y Análisis de paquetes de Red
11. TAP de Red https://greatscottgadgets.com/throwingstar/ Captura y Análisis de paquetes de Red
12. TAP Agregado Un monitor físico para capturar tráfico bidireccional Sniffer Objetivo Switch Captura y Análisis de paquetes de Red
13. TAP No-Agregado Un monitor físico / Dos monitores para capturar tráfico bidireccional Sniffer Objetivo Switch Captura y Análisis de paquetes de Red
14. Envenenamiento de caché ARP ARP Cache Poisoning Sniffer Objetivo Switch Router / Gateway Envenenamiento de las tablas ARP Ruta Normal Ruta Modificada Captura y Análisis de paquetes de Red
15. Laboratorio #1 Cain & Abel | http://www.oxid.it/cain.html Captura y Análisis de paquetes de Red
16. Laboratorio #2 Ettercap Captura y Análisis de paquetes de Red
17. Captura de Paquetes Guía de selección Técnica Guía Puerto Espejo • Se recomienda su uso como primera medida ya que no deja huella en la red y no se generan paquetes adicionales • No genera interrupción de la operación TAP • Genera interrupción (desconexión) mientras se instala el TAP • Única opción para la captura sobre fibra óptica • Genera sobrecosto ya que se deben adquirir o elaborar los dispositivos • Viable para redes de gran velocidad Envenenamiento • Puede ser efectivo cuando se requiere maniobrar rápidamente considerando que se debe evitar la interrupción y no se cuenta con la opción de puerto espejo. • Es una técnica que debe usarse con mucha precaución ya que deben inyectar paquetes para enrutar el tráfico. Instalación directa • Generalmente no se recomienda ya que contamina la evidencia en este caso el host • La tarjeta no requiere estar en modo promiscuo • Recomendada para entornos de laboratorio, o análisis de paquetes previamente capturados. Captura y Análisis de paquetes de Red
18. Captura de paquetes El Switch Soporta Port Mirror? El cliente permite interrupción temporal? Cuenta con un TAP? No No Port Mirroring Envenenamiento ARP TAP de Red Si Si Si Aislar con HUB No
19. Wireshark Historia Gerald Combs @geraldcombs • Primera versión creada en 1998 con el nombre de Ethereal, licencia GPL • Wireshark 2006 https://www.wireshark.org Captura y Análisis de paquetes de Red
20. Wireshark Captura y Análisis de paquetes de Red
21. Wireshark Ventana Principal 1 Lista de Paquetes 2 Detalles del Paquete 3 Paquete en Bytes Captura y Análisis de paquetes de Red
22. Wireshark Reglas de colores Captura y Análisis de paquetes de Red
23. Búsqueda de Paquetes Por Filtros Captura y Análisis de paquetes de Red
24. Búsqueda de Paquetes Valor Hexadecimal Captura y Análisis de paquetes de Red
25. Búsqueda de Paquetes Cadenas de texto Captura y Análisis de paquetes de Red
26. Marcar Paquetes CTRL + m Captura y Análisis de paquetes de Red
27. Saltar entre Paquetes Marcados Shift+Ctrl+n | Shift+Ctrl+b Captura y Análisis de paquetes de Red
28. Imprimir Paquetes CTRL + p Captura y Análisis de paquetes de Red
29. Opciones de Captura Capture / Interfaces / Options Captura y Análisis de paquetes de Red
30. Sintaxis BPF Berkeley Packet Filter Un filtro usando la sintaxis BPF es llamado expresión, cada expresión está compuesta por primitivas, cada primitiva está formada por calificadores. Calificador Descripción Ejemplo Tipo Identifica a que nombre de identificador o número se refiere host, net, port Dir Especifica una dirección de transferencia hacia un nombre de identificador o número. src, dst Proto Restringe basado en un protocolo particular ether, ip, tcp, udp, http, ftp Captura y Análisis de paquetes de Red
31. Sintaxis BPF Berkeley Packet Filter dst host 192.168.0.100 && tcp port 25 Primitiva Primitiva Operador Calificador Calificador ID ID Calificador Operadores Concatenación Y && Alternación O || Negación NO ! Captura y Análisis de paquetes de Red
32. Filtros de Captura Nombres de host y direcciones Filtro Descripción host 192.168.0.10 Captura el tráfico asociado con la dirección IPv4 establecida host fe80::f21f:afff:fe49:ec98 Captura únicamente el tráfico asociado con la dirección IPv6 establecida host demoserver Captura el tráfico del dispositivo con el nombre de host establecido ether host f0-1f-af-49-ec-98 Filtra basado en la dirección MAC establecida src host 192.168.0.10 Captura basado en host de origen dst host 192.168.0.10 Captura basado en host de destino Captura y Análisis de paquetes de Red
33. Filtros de Captura Puertos y Protocolos Filtro Descripción port 8080 Filtra con base en el puerto establecido !port 8080 Captura todo el tráfico omitiendo los paquetes del puerto establecido dst port 80 Captura el tráfico con destino al puerto establecido icmp Permite capturar unicamente tráfico icmp !ip6 Omite el tráfico IPv6 Captura y Análisis de paquetes de Red
34. Filtros de Visualización Display Filter Los filtros de visualización le dicen a Wireshark que paquetes debe mostrar con base en las expresiones establecidas. Captura y Análisis de paquetes de Red
35. Filtros de Visualización Operadores de Comparación Operador Descripción == Igual a != Diferente > Mayor que < Menor que >= Mayor o igual que <= Menor o igual que Captura y Análisis de paquetes de Red
36. Filtros de Visualización Operadores Lógicos Operador Descripción and las dos condiciones deben ser verdaderas or Cualquiera de las condiciones debe ser verdadera xor Una y solo una de las condiciones debe ser verdadera not Ninguna de las condiciones es verdadera ip.addr==192.168.0.10 or ip.addr==192.168.0.2 and http (ip.addr==172.16.16.128 or ip.addr==192.168.0.10) and http (ip.addr==172.16.16.128 or ip.addr==192.168.0.10) http Puede obtener resultados no esperados Sintaxis correcta Error de Sintaxis Captura y Análisis de paquetes de Red
37. Filtros de Referencia https://www.wireshark.org/docs/dfref/ Captura y Análisis de paquetes de Red
38. Guardar Filtros Capture / Capture Filters Analyze / Display Filters Captura y Análisis de paquetes de Red
39. Captura y Análisis de paquetes de Red Estadísticas y Gráficos
40. Visualización de Dispositivos Statistics / Endpoints Captura y Análisis de paquetes de Red
41. Visualización Conversaciones de Red Statistics / Conversations Captura y Análisis de paquetes de Red
42. Estadísticas Jerárquicas de Protocolo Statistics / Protocol Hierarchy Captura y Análisis de paquetes de Red
43. Seguimiento de Flujo TCP Analyze / Follow TCP Stream Wireshark permite re-ensamblar el flujo de datos TCP en un formato de fácil lectura, esta característica es de gran utilidad para visualizar los datos de protocolos que transmiten en texto claro como HTTP, FTP, TELNET Captura y Análisis de paquetes de Red
44. Gráfica I/O Statistics / IO Graph Muestra una gráfica del uso de datos en el tiempo de captura Captura y Análisis de paquetes de Red
45. Gráfica de Flujo Statistics / Flow Graph Muestra el flujo de datos en el tiempo Captura y Análisis de paquetes de Red
46. Información de Expertos Analyze / Expert Info Composite La información de expertos es un tipo de log de anomalías encontradas por wireshark en un archivo de captura. Permite tener mejor visualización del comportamiento poco común en la red.
47. Información de Expertos Tipos de Severidad Tipo Color Descripción Ejemplo Chat Información de flujo de datos normal Paquete TCP con la bandera SYN establecida Note Elementos notables Error normal de una aplicación por ejemplo HTTP 404 Warn Peligro La aplicación devuelve algo inusual por ejemplo un problema de conexión Error Problema serio Paquete malformado Captura y Análisis de paquetes de Red
48. Utilidades Captura y Análisis de paquetes de Red
49. Capinfos Captura y Análisis de paquetes de Red Imprime información acerca de un archivo de captura: capinfos archivocaptura capinfos tcp_ports.pcap
50. mergecap Captura y Análisis de paquetes de Red Permite unir dos o más archivos de captura en uno solo. mergecap archivo1 archivo2 .. -w archivosalida mergecap -v latency1.pcap latency2.pcap latency3.pcap latency4.pcap -w /tmp/latency.pcap
51. randpkt Captura y Análisis de paquetes de Red Permite crear archivos pcap a partir de paquetes aleatorios randpkt { -b maxbytes} { -c cantidad de paquetes} { -t tipo} nombreDeArchivo randpkt -b500 -t syslog rand_syslog.pcap arp Address Resolution Protocol bgp Border Gateway Protocol bvlc BACnet Virtual Link Control dns Domain Name Service eth Ethernet fddi Fiber Distributed Data Interface giop General Inter-ORB Protocol icmp Internet Control Message Protocol ip Internet Protocol llc Logical Link Control m2m WiMAX M2M Encapsulation Protocol megaco MEGACO nbns NetBIOS-over-TCP Name Service ncp2222 NetWare Core Protocol sctp Stream Control Transmission Protocol syslog Syslog message tds TDS NetLib tcp Transmission Control Protocol tr Token-Ring udp User Datagram Protocol usb Universal Serial Bus usb-linux Universal Serial Bus with Linux specific header
52. tshark Captura y Análisis de paquetes de Red Permite capturar y analizar paquetes de red a través de la linea de comandos
53. tshark Listar interfaces disponibles Captura y Análisis de paquetes de Red sudo tshark -D
54. tshark Captura Captura y Análisis de paquetes de Red Captura básica con filtro icmp tshark -i eth0 -w captura1.pcap -f "icmp" tshark -i eth0 -w captura1.pcap -f "icmp and host 192.168.1.2" tshark -i eth0 -w captura1.pcap -f "icmp" -a duration:10 Captura básica con filtro icmp + duración en segundos
55. tshark Lectura Captura y Análisis de paquetes de Red Lectura básica tshark -r /tmp/tshark-icmp.pcap Lectura con filtro tshark -t ad -r /tmp/tshark-icmp.pcap -R “icmp” tshark -t ad -r /tmp/tshark-icmp.pcap -R “ip.dst >= 192.168.0.10 and ip.dst <= 192.168.0.20”
56. tshark Lectura Captura y Análisis de paquetes de Red Extracción de direcciones IP tshark -r /tmp/tshark-icmp.pcap -z ip_hosts,tree -qn
57. tshark Lectura Captura y Análisis de paquetes de Red Extracción Sesiones tshark -r attack-trace.pcap -qnz conv,tcp