Incluyen
tanto los servicios vinculados a la instalación, mantenimiento, desarrollo,
integración, etc. De software, como los de soporte de hardware.
Clasificación
·
Delitos
contra intimidad
·
De
los robos
·
De
las estafas
·
De
las defraudaciones
·
De
los daños
·
Relativo
a la protección dela probabilidad industrial
·
Relativos
al mercado y a los consumidores
Normatividad
·
Delito
de estafa
·
Delito
de daños
·
Delito
de falsedad documental
·
Delios
contra propiedad intelectual
ANATOMÍA
DE UN ATAQUE INFORMÁTICO
Un punto de acceso no autorizado, y
por tanto “vulnerable”, puede poner en peligro la seguridad de la red
inalámbrica y dejarla completamente expuesta al mundo exterior. Para poder eliminar este amenaza, el responsable de red
debe primero detectar la presencia de un punto de acceso vulnerable y, a
continuación, localizarlo.
Los dos métodos
más comunes de localización de
puntos de acceso vulnerables son el
de convergencia y el de vectores. Ambos métodos presentan
ventajas, pero requieren herramientas distintas. Conociendo estos
procedimientos, el responsable de red podrá garantizar la seguridad de la red
inalámbrica.
Localización
Un punto de acceso “vulnerable” puede
poner en peligro la seguridad de la red inalámbrica. Se dice que un punto de
acceso es vulnerable cuando éste es instalado por un usuario sin el
conocimiento o aprobación del responsable de la red. Por ejemplo, un empleado
trae su router inalámbrico a la oficina para tener acceso inalámbrico en una
reunión. O bien, otra posibilidad con peores intenciones, es que alguien ajeno
a la empresa instale un punto de acceso a la red para obtener conexión gratuita
a Internet o para acceder a información confidencial. En cualquiera de los
casos, estos puntos de acceso no autorizados carecen de la configuración de
seguridad adecuada, bien por ignorancia o de manera intencionada. La red de la
empresa queda totalmente expuesta al mundo exterior por culpa de estos puntos
de acceso.
Los responsables de redes disponen de diferentes soluciones que
facilitan la detección de los puntos de accesovulnerables de la red.
Sin embargo, la identificación de una vulnerabilidad no es más que la mitad del
trabajo. El responsable de red debe a continuación localizar la ubicación de
dicho punto de acceso. Una vez localizado, puede eliminarlo de la red o
reconfigurarlo de acuerdo con los parámetros de seguridad adecuados.
Los dos métodos más utilizados para localizar puntos de acceso vulnerables son
el de convergencia y el de vectores. El método de búsqueda utilizado depende de
las herramientas de que se dispongan.
Método de convergencia
El método de convergencia es el procedimiento más adecuadocuando
se dispone de una tarjeta de radio con antena omnidireccional y un medidor de
intensidad de señal. Este tipo de antena, que emite o capta la
señal en todas las direcciones, también recibe el nombre de antena “no
direccional” porque no favorece ninguna dirección en concreto. La figura 1
muestra el funcionamiento de una antena omnidireccional.
Las tarjetas estándares de radio en ordenadores portátiles utilizan este tipo
de antena. En esta aplicación, una antena omnidireccional resulta muy práctica
ya que la intensidad de la señal es siempre la misma, independientemente de la
orientación del ordenador.
El método de convergencia también requiere un medidor de intensidad de la
señal. Éste se utiliza para medir la señal de radiofrecuencia del punto de
acceso vulnerable.
Cuanto más intensa sea la señal, más cerca se encontrará del punto de acceso.
Existen diferentes tipos de medidores, pero el más común es el software que
suele venir con la tarjeta de radio instalada en los ordenadores portátiles. Si
bien estas utilidades proceden de fabricantes distintos, todas ellas suelen
mostrar la intensidad de la señal de manera gráfica. El problema de estas
herramientas es que, debido a los gráficos simplistas utilizados, resulta
difícil observar las pequeñas diferencias de intensidad.
También existen utilidades de otros proveedores que proporcionan
mediciones más precisas de la intensidad de la señal. Estas aplicaciones
ofrecen información más detallada y gráficos más completos. Si no desea
utilizar un ordenador portátil, existen medidores portátiles que le permiten medir
la intensidad de la señal de radiofrecuencia. Estas herramientas suelen estar
diseñadas para la localización de vulnerabilidades y proporcionan información
sobre la intensidad de la señal en un formato sencillo de leer.
Para realizar una búsqueda de puntos de acceso vulnerables mediante el método
de convergencia, equípese con una tarjeta de radio con antena omnidireccional y
un medidor de intensidad de la señal. Asocie la tarjeta de radio al punto de
acceso en cuestión. Desplácese por toda la instalación observando la intensidad
de la señal con el medidor hasta que obtenga una estimación aproximada de dónde
empezar el proceso. Imagínese la zona que está estudiando como un gran
rectángulo divido en cuatro cuadrantes. Véase la figura 5. Diríjase a una de las
esquinas de dicho rectángulo. Guarde la información sobre la intensidad de la
señal. Vaya ahora a la segunda esquina. Guarde de nuevo la información sobre la
intensidad de la señal. Desplácese hasta la tercera esquina y guarde la
información. Por último, vaya hasta la última esquina y, de nuevo, guarde la
información. Al comparar los datos sobre la intensidad de la señal, sabrá que
el punto de acceso se encuentra en el cuadrante donde la señal es más intensa.
En nuestro ejemplo, se trata del cuadrante inferior derecho. Ahora imagínese
dicho cuadrante dividido, a su vez, en cuatro cuadrantes más pequeños.
Repita el procedimiento de análisis de la señal en esta zona más pequeña,
desplazándose de esquina en esquina y guardando la información. En nuestro
ejemplo, el subcuadrante superior derecho presenta la intensidad de la señal
más alta. Repita de nuevo el proceso segmentando la zona en cuadrantes aún más
pequeños. Aquí, ha sido necesario repetir esta operación tres veces (12
mediciones) para poder dar con el punto de acceso que buscábamos. Si el área
inicial en el que se realiza la búsqueda es mayor, será necesario efectuar más
segmentaciones.
Método de vectores
El siguiente procedimiento de
localización de puntos de acceso vulnerables es el método de “vectores”. El
método de vectores es el procedimiento más adecuado cuando se dispone de una
tarjeta de radio con antena direccional y un medidor de intensidad de la señal.
La antena direccional maximiza las señales procedentes de una dirección y
descarta las demás. La figura 6 muestra el funcionamiento de una antena
omnidireccional.
Existen antenas
direccionales con diferentes diseños. Para la localización de
vulnerabilidades, las antenas externas resultan muy útiles. Con este tipo de
antenas es necesario disponer de una tarjeta de radio especial, que cuente con
un conector para la antena. Al conectar una antena direccional externa a la
tarjeta, la antena interna y omnidireccional queda desactivada.
Al igual que con el método de convergencia, el método de vectores requiere un
medidor de intensidad de la señal. El medidor más adecuado en este caso será
una herramienta portátil diseñada específicamente para esta tarea. Los dos
métodos de búsqueda difieren en los algoritmos de búsqueda utilizados.
Para localizar puntos de acceso vulnerables mediante el método de vectores,
equípese con una antena direccional, una tarjeta de radio compatible y un
medidor de intensidad. Asocie la tarjeta de radio al punto de acceso en
cuestión. Desplácese por toda la instalación observando la intensidad de la
señal con el medidor hasta que obtenga una estimación aproximada de dónde
empezar el proceso. De la misma manera que para el método anterior, imagínese
la zona que está estudiando como un gran rectángulo divido en cuatro zonas.
Véase la figura 8. Ahora diríjase al centro de la zona de búsqueda y apunte con
la antena hacia una de las esquinas. Guarde la información sobre la intensidad
de la señal. Desde el mismo sitio, gire 90° y oriente la antena hacia la
segunda esquina y, de nuevo, guarde la información. Dirija la antena hacia la
tercera esquina y guarde la información. A continuación, oriente la antena
hacia la última esquina y guarde la información, una vez más.
Al comparar los datos sobre la intensidad de la señal, sabrá que el punto de
acceso se encuentra en el área donde la señal es más intensa. En nuestro
ejemplo, se trata de la zona inferior derecha.
Ahora imagínese dicha zona dividida de nuevo en cuatro zonas más pequeñas.
Repita la operación de medición en estas zonas más pequeñas, situándose en el
centro y apuntado con la antena hacia cada una de las esquinas y guardando los
datos. En nuestro ejemplo, la zona superior derecha presenta la intensidad de
la señal más alta. Repita de nuevo el proceso segmentando la zona en áreas aún
más pequeñas.
Aquí, ha sido necesario repetir esta operación tres veces (12 mediciones) para
poder dar con el punto de acceso que buscábamos.
Si el área inicial en el que se realiza la búsqueda es mayor, será necesario
efectuar más segmentaciones.
Comparación de métodos
En nuestro ejemplo, el número de segmentaciones y mediciones es el mismo para
ambos métodos de localización. En cambio, es evidente que el método de
convergencia requiere muchos más desplazamientos de esquina en esquina para
realizar las mediciones. Estos desplazamientos ralentizan el proceso de
detección de vulnerabilidades. Otra de las diferencias entre estos dos métodos
radica en la localización de puntos de acceso cuando la instalación abarca
varios pisos. Imaginemos que existe un punto de acceso vulnerable, por ejemplo,
en el segundo piso de un edificio de oficinas de cuatro plantas. Con el método
de convergencia, encontraría la zona en la que la señal es más intensa, pero es
posible que no diera con el punto de acceso. Y no es por culpa de las
mediciones, sino porque el punto de acceso se encuentra en otro piso. Asimismo,
con el método de vectores puede girar la antena 180° en el eje vertical para
saber en qué piso se encuentra el punto de acceso. Consideraciones prácticas
En la práctica, es probable que deba modificar el proceso de búsqueda debido a
que la instalación no es rectangular o por la presencia de paredes, cabinas y
otro tipo de obstrucciones. Intente mantener la antena a una altura constante
durante las mediciones. Si sujeta la antena por encima de las paredes de las
cabinas, obtendrá resultados más coherentes. No olvide tener en cuenta las tres
dimensiones espaciales al buscar puntos de acceso. Si sólo dispone de antena
omnidireccional, puede analizar la intensidad de la señal en las distintas
plantas para deducir en qué piso se encuentra el punto de acceso vulnerable.
Al realizar mediciones mediante el método de vectores, intente que los objetos
a su alrededor (instrumentos de medición, brazos o su propio cuerpo) no se muevan
cuando gira la antena. Normalmente resulta más fácil acoplar la antena
direccional al medidor de intensidad (ya sea un ordenador o una herramienta
portátil) y girar todo el conjunto, que girar exclusivamente la antena.
Practique este procedimiento con puntos de acceso conocidos para familiarizarse
con el grado de sensibilidad de su instrumento frente a parámetros como
distancia hasta el punto de acceso, altura de la antena y dirección de ésta (en
el caso de las antenas direccionales).
Recuerde que las estructuras de metal (como paredes tachonadas de metal,
cabinas con ensamblajes metálicos o persianas verticales) pueden distorsionar
las mediciones realizadas con una antena direccional, sobre todo cuando la
señal es débil. Familiarizarse con las peculiaridades del entorno facilita en
gran medida la detección de puntos de acceso.
Manténgase alerta
Para que su red esté protegida,
explique a los empleados los riesgos que supone la instalación de puntos de
acceso no autorizados.
Actualice la política de seguridad de la empresa para evitar estos problemas.
Utilice un mecanismo de acceso a la red que sea riguroso como, por ejemplo, el
protocolo IEEE 802.1X. Realice inspecciones de seguridad con frecuencia para
poder detectar dispositivos no protegidos que supongan una amenaza. Cuando
detecte un punto de acceso vulnerable, localícelo cuanto antes para eliminar
los riesgos que éste supone para la red. Siguiendo la metodología de protección
de redes inalámbricas, puede minimizar los riesgos.
En criptografía, un ataque
man-in-the-middle (MitM o intermediario, en castellano) es un ataque en el que
el enemigo adquiere la capacidad de leer, insertar y modificar a voluntad, los
mensajes entre dos partes sin que ninguna de ellas conozca que el enlace entre
ellos ha sido violado. El atacante debe ser capaz de observar e interceptar
mensajes entre las dos víctimas. El ataque MitM es particularmente
significativo en el protocolo original de intercambio de claves de
Diffie-Hellman, cuando éste se emplea sin autenticación.
ettercap es
una herramienta diseñada para actuar como sniffer en una red communtada y que
permite realizar una gran cantidad de ataques man in the midlle.
- Escuchas usando una o dos tarjetas (actuando
como bridge).
- Injección y modificación de paquetes.
- Obtención de passwords.
- Soporta múltiples interfaces de usuario:
texto(-T), ncurses(-C), demonio (-D) y gtk (-G).
- Soporte a filtros y plugins.
- Ataques man in the middle.
- Soporte para la disección de un gran número de
protocolos, incluso cifrados.
ettercap esta
diseñado para interceptar el tráfico entre dos objetivos y su sintaxis es:
ettercap [OPCIONES] [OBJETIVO1] [OBJETIVO2]
Para la especificación de cada objetivo
se usa una expresión de la forma MAC/IPs/PUERTOs, donde se puede omitir
cualquiera de las partes de la expresión. Tanto las IPs como los PUERTOs puede
ser uno o varios, concatenándose valores con el operador , y
se definiéndose rangos con el operador -.
Ejemplos de expresiones:
/192.168.0.100/
/192.168.0.100,192.168.0.105-7/
/192.168.0.100/21-23
Al iniciarse ettercap realiza
un escaneo arp de la parte de la red que entre dentro de los objetivos (excepto
que especifiquemos la opción -z). Con el objetivo // denotaremos toda
nuestra subred.
ettercap -T /192.168.0.1/
realizaría
un arp-request a la ip 192.168.0.1
ettercap -T /192.168.0.1/ //
realizaría
arp-requests a todas las ips de nuestra subred.
El tráfico analizado en una red no
conmutada en ambos casos sería el mismo. Pero en una red conmutada si
tuviesemos que combinarlo con Mitm solo sería posible en el segundo caso, donde
especificarmos ambos objetivos.
Algunas de las opciones más comunes
son:
- La opción -q en el modo texto (-T), permite un modo silencioso en el que
no muestra el contenido de los paquetes, solo la información que obtiene
sobre contraseñas.
- -i interfaz permite
especificar al interfaz de red.
- -p no activa la tarjeta en modo promiscuo.
- -u situa a ettercap en modo no ofensivo. En
este modo ettercap no redirige los paquetes que analiza, lo
que permite ejecutar múltiples instancias sobre una maquina sin duplicar
paquetes.
- -P plugin carga
un plugin de ettercap. Se puede obtener los plugins disponibles con -P list.
- -F filtro carga
un filtro compilado con etterfilter para
modificar los paquetes redirigidos por ettercap.
- -L logfile guardar
en formato binario todos los paquetes, asi como información sobre
contraesñas y host.
- -l logfile guarda
un fichero de log sin paquetes binarios.
- Los ataques man in the middle se especifican
con la opción -M ataque.
- -M arp [remote] nos
permite redirigir el tráfico usando arp-spoofing. Debemos usar la opción remote si uno de los host implicados es un
gateway y queremos obtener el tráfico con la red exterior.
- -M port permite realizar Port Stealing sobre
switch ethernet.
Ejemplos:
ettercap -Tzq
Escucha
passwords en una red no conmutada.
ettercap -T -M arp:remote /192.168.0.1/
/192.168.1.101-2/
Redirige
usando arp-spoofing todo el tráfico de los cliente1 y cliente2 con la pasarela
e internet.
ettercap una
vez iniciada su conexión con el driver de la tarjeta de red, cambia el dueño de
su proceso al usuario nobody para no comprometer la seguridad.
Para realizar la disección de los
protocolos cifrados, necesita establecer una serie de reglas de redirección en
el firewall. En debian deberíamos editar el archivo /etc/etter.conf,
desconmentado las siguientes lineas:
#redir_command_on = "iptables -t nat -A
PREROUTING -i %iface
-p tcp --dport %port -j REDIRECT
--to-port %rport"
#redir_command_off = "iptables -t nat
-D PREROUTING -i %iface
-p tcp --dport %port -j REDIRECT --to-port
%rport"
además, en el comando que elimina las
reglas de redirección, debemos ejecutarlo mediante sudo, siendo el resultado:
redir_command_on = "iptables -t nat -A
PREROUTING -i %iface
-p tcp --dport %port -j REDIRECT --to-port
%rport"
redir_command_off = "sudo iptables -t
nat -D PREROUTING -i %iface
-p tcp --dport %port -j REDIRECT --to-port
%rport"
Cuando se inicia ettercap, al
ejecutarse como root, puede introducir las reglas; pero en el apagado se
ejecuta bajo otro uid sin los permisos necesarios. Para poder realizar este
proceso de forma segura, crearemos un usuario llamado ettercap que
no podrá iniciar sesión en nuestra máquina, pero podrá eliminar reglas de esta
tabla.
adduser -system -home /nonexistent
-no-create-home ettercap
Damos permisos para eliminar reglas de
redirección de nuestro firewall con la siguiente línea en el archivo /etc/sudoers
ettercap ALL=NOPASSWD:/sbin/iptables -t
nat -D *
Como último paso asignaremos a la
variable ec_uid = 65534 el
uid del usuario ettercap en el fichero /etc/etter.conf,
con lo cual el proceso del ettercap se
ejecutará bajo el usuario que hemos creado.
Introducción a los ataques por
denegación de servicio
Un "ataque por denegación de servicio" (DoS, Denial of service) tiene como
objetivo imposibilitar el acceso a los servicios y recursos de una organización
durante un período indefinido de tiempo. Por lo general, este tipo de ataques
está dirigido a los servidores de una compañía, para que no puedan utilizarse
ni consultarse.
La denegación de servicio es una
complicación que puede afectar a cualquier servidor de la compañía o individuo
conectado a Internet. Su objetivo no reside en recuperar ni alterar datos, sino
en dañar la reputación de las compañías con presencia en Internet y potencialmente
impedir el desarrollo normal de sus actividades en caso de que éstas se basen
en un sistema informático.
En términos técnicos, estos ataques no son muy complicados, pero
no por ello dejan de ser eficaces contra cualquier tipo de equipo que cuente
con Windows (95,
98, NT, 2000, XP, etc.), Linux (Debian,
Mandrake, RedHat, Suse, etc.), Commercial Unix (HP-UX, AIX, IRIX, Solaris, etc.) o
cualquier otro sistema operativo. La mayoría de los ataques de denegación de
servicio aprovechan las vulnerabilidades relacionadas con la implementación de
un protocolo TCP/IP modelo.
Generalmente, estos ataques se
dividen en dos clases:
·
Las denegaciones de servicio por
saturación, que saturan un equipo con solicitudes para que no pueda responder a
las solicitudes reales.
·
Las denegaciones de servicio por
explotación de vulnerabilidades, que aprovechan una vulnerabilidad en el
sistema para volverlo inestable.
Los ataques por denegación de servicio envían paquetes IP o
datos de tamaños o formatos atípicos que saturan los equipos de destino o los
vuelven inestables y, por lo tanto, impiden el funcionamiento normal de los
servicios de red que brindan.
Cuando varios equipos activan una denegación de servicio, el
proceso se conoce como "sistema distribuido de denegación de servicio"
(DDOS, Distributed Denial of
Service). Los más conocidos son Tribal
Flood Network (TFN) y
Trinoo.
.bmp)