UNIVERSIDAD LATINA SEGURIDAD INFORMATICA II SNIFFERS Y MONITORES

Que es un sniffer Un sniffer es un programa informático que registra la información que envían los periféricos, así como la actividad realizada en un equipo de cómputo conectado a una red informática.

Introducción Sniffing es simplemente “espiar” pasivamente en una red. Es una técnica empleada por hackers para obtener información importante. Ej: Username Password Puede también utilizarse como técnica de investigación.

Estructura LAN Computadoras y demás dispositivos de red (ej: impresoras) están interconectados mediante un medio de transmisión común. Sistema de cableado Par trenzado Coaxil Fibra óptica

(a) (b) RAM Ethernet Processor RAM ROM

Los dispositivos de red se conectan al sistema a través de Network interface card (NIC) NIC: Coordina las transferencias de información entre la computadora y la red. Transfiere información en paralelo desde y hacia la RAM de la computadora. Transfiere información en serie desde y hacia la red.

Cada NIC tiene una única dirección física “quemada” en ROM Es un número de fabricante. Los primeros 3 bytes corresponden al fabricante. Los últimos 3 son un ID a cargo del fabricante.

Contiene HW (hardware) que le permite reconocer Su dirección física Dirección broadcast (emisión simultanea) Direcciones multicast que identifican grupos de dispositivos de red. Puede setearse para que corra en modo “promiscuo”, donde es capaz de escuchar todas las transmisiones. Usuado por administradores para identificar problemas en la red. Usado por hackers para interceptar passwords y otro tipo de información no encriptada.

¿Cómo funcionan los Sniffers? (1) Un sniffer de paquetes es un programa que “espía” el tráfico que circula por la red. Captura información mientras pasa por la red. Condiciones Normales: La información es puesta en frames. Cada frame se direcciona hacia una dirección MAC (media access control) particular.

¿Cómo funcionan los Sniffers? (2) Cada NIC y demás dispositivos de red tienen una única dirección MAC. Usualmente no se permiten cambios de MAC. La NIC solamente recibe paquetes con su dirección MAC, todos los demás se ignoran. Modo Promiscuo En este modo, la NIC pasará cada frame al protocolo superior sin importar la dirección MAC.

El Sniffer puede entonces examinar información interesante Headers. Username y password. Protocolos interesantes para los hackers (1) telnet (port 23) conexiones remotas ftp (port 21) transferencia de archivos POP (port 110) correos IMAP (port 143) mensajes de internet NNTP (port 119) publicacion de noticias Rexec (port 512) ejecucion remota

Protocolos interesantes para los hackers (2) rlogin (port 513) login remoto X11 (port 6000+) interfaz gráfica NFS files Handles manejo de archivos Windows NT authentication autenticacion SMTP (Port 25) correo electronico HTTP (Port 80) transferencia hipertexto También se pueden “mirar” mensajes TCP, IP, UDP, ICMP, ARP, RARP.

¿Qué puede hacer un Sniffer? (1) Determinar el gateway (puerta de enlace) local de una red desconocida. Simple password sniffer. Haciendo parsing de cada paquete y guardando información relevante. Guardar todas las URLs pedidas (a partir del tráfico HTTP) y analizar las offline.

¿Qué puede hacer un Sniffer? (2) Interceptar paquetes de un host destino falseando respuestas ARP (Protocolo de resolucion de direcciones). Inundar la red local con direcciones MAC random.

Que son monitores Monitores es un software de red que se utiliza para monitorear los accesos y desempeño de una red informática.

Monitoreo de redes Es el uso de un sistema que constantemente monitoriza una red de computadoras en busca de componentes defectuosos o lentos, para luego informar a los administradores de redes mediante correo electrónico, pager (beeper)u otras alarmas. Es un subconjunto de funciones de la administración de redes.

Monitoreo de redes Mientras que un sistema de detección de intrusos monitorea una red por amenazas del exterior (externas a la red), un sistema de monitoreo de red busca problemas causados por la sobrecarga y/o fallas en los servidores, como también problemas de la infraestructura de red (u otros dispositivos).

Algunos Programas Monitoreo de red. Sniffers: Tcpdump.- http://www.tcpdump.org Hunt.- http://www.cri.cz/kra/index.html Linux-Sniff.- http://packetstorm.securify.com Sniffit.- http://rpmfind.net/linux/RPM/freshmeat/sniffit/index.html Ethereal.- http://ethereal.zing.org Monitoreo de red. PRTG Network Monitor.- http://www.es.paessler.com/network_monitoring_tool