Hacking ético. Auditorias Perimetrales (Servidores Unix)

Motivación

Una reciente encuesta sobre el porque de los fracasos de las empresas .com, apuntaba a la seguridad como el factor más determinante. Inicialmente, y ante el temor a su seguridad, muchas empresas no mantenían servidores conectados o no utilizaban Internet para su desarrollo diario. Hoy en día nadie se plantea prescindir de Internet como medio de trabajo. Su seguridad es un problema que hay que afrontar de forma eficaz.

Una de la formas más eficaces para solucionar el problema en conocerlo con toda profundidad y formar a los Administradores en esta área de la tecnología un tanto oscura. El curso “Seguridad Internet en servidores UNIX” enfoca la seguridad de los servidores conectados a Internet desde el punto de vista del intruso. Cuando uno conoce como es atacado puede comprender mejor los métodos de defensa y las medidas preventivas a tomar.

Objetivo

Después de la realización del curso los asistentes habrán obtenido una amplia visión de las amenazas y riesgos a los que están sometidos los servidores Internet y además serán capaces de implantar las medidas oportunas para minimizar los riesgos y para realizar un correcto seguimiento de los posibles incidentes mediante la correcta configuración de los registros de auditoría de seguridad.

Características generales

Se entrega un manual de documentación en castellano y un CD-ROM con las numerosas herramientas utilizadas durante el curso. Cada asistente dispone de un ordenador con un servidor Linux y realizará sesiones con un servidor Solaris.

Los asistentes realizan ataques reales contra Internet con las mismas herramientas utilizadas por los intrusos (hackers). Cada aspecto se plantea inicialmente desde el lado del intruso, una vez comprendido, se mostrará su posible solución, y lo que es más importante, las medidas preventivas necesarias para evitarlo

1. INTRODUCCIÓN A LA SEGURIDAD EN INTERNET

En este módulo se introduce el problema de la seguridad en Internet. El primer paso para asegurar cualquier cosa es conocer contra quién se debe proteger. En esta introducción, se desvelan los diferentes tipos de intrusos que pueden atacar los servidores de la organización. Finalmente, se ven conceptos básicos de criptografía necesarios para comprender algunas tecnologías de seguridad.

• Seguridad en los servidores Internet
• Conceptos de criptografía
  • Algoritmos simétricos: DES
  • Algoritmos de clave pública: RSA
  • Funciones de sentido único.

2. SEGURIDAD EN LOS PROTOCOLOS TCP/IP

Muchos problemas de seguridad que tiene Internet vienen heredados de los protocolos de comunicaciones que usa, los afamados TCP e IP. Estos protocolos fueron diseñados en los años 70 y no se pensó en los aspectos de seguridad. Debido a que es necesario usar los protocolos como fueron diseñados, hace que los aspectos de seguridad citados en este módulo tengan muy difícil solución.

• Rastreadores de red (Sniffers), topología HUB: Tcpdump, Ethereal
• Rastreadores de red, topología SWITCH: Hunt, ethercap
• Denegación de servicio
  • Inundación SYN (SYN flooding)
  • Inundación ICMP
  • Inundación UDP
  • Ataques de magnificación: Smurf y Fraggle. (Nemesis)
  • Ataques protocolo TCP/IP
  • Denegación de servicio Distribuida (DDoS)
• Secuestro y falsificación DNS ( Dnssniff , ADMKillDNS )
• Protocolo SNMP ( snmpget , snmpwalk ).

3. ESTABLECIMIENTO DEL OBJETIVO

Antes de realizar definitivamente un ataque, los intrusos, como si de un estratega militar se tratará, preparan cuidadosamente su ataque. No se debe pasar por alto el tiempo que dedican a esta tarea. En esta fase, su objetivo es determinar cual es el punto o puntos más débiles para intentar el acceso

• Información general del objetivo (web, whois, ripe).
• Servidores de la organización.
• Servidores accesibles
• Rastreo de puertos.
• Rastreo de sistemas operativos

4. INFORMACIÓN DEL OBJETIVO

Una vez realizado el mapa de los posibles objetivos, el intruso tratará de obtener más información sobre los servidores a los que intentará atacar. La instalación por defecto de los sistemas UNIX ofrece algunas posibilidades en este aspecto que los intrusos tratarán de aprovechar.

• Nombres de usuario y grupos
• Recursos importados y exportados
• Servicios abiertos y software instalado
• Samba: Nombres NetBIOS y Dominios

5. ATAQUE A UN SERVIDOR UNIX

Una vez recopilada y analizada la información sobre posibles objetivos, el intruso decidirá qué método utilizar para atacar a los sistemas. En este módulo se da una clasificación global de los tipos de agujeros de seguridad que permiten algún tipo de acceso a los sistemas en remoto.

• Ataques contra servicios con autenticación, fuerza bruta.
• PAM : Pluggable Authentication Modules.
• Desbordamiento de memoria (Buffer overflow)
• Vulnerabilidades en scripts
• Vulnerabilidades de las aplicaciones servidoras
• Vulnerabilidades en clientes
• Caballos de Troya
• Analizadores de Seguridad

6. CONTROL TOTAL DE UN SERVIDOR UNIX

Mediante las técnicas explicadas en el módulo anterior el intruso habrá obtenido algún tipo de acceso al servidor victima. Una vez que se ha obtenido el acceso, el intruso pretenderá ampliar sus privilegios y controlar totalmente la máquina. Una vez que haya conseguido esto, intentará evitar ser detectado e instalará puertas traseras que le permitan entrar al sistema victima en el futuro

• Aumento de privilegios
• Localización de contraseñas y uso (Password cracking)
• Comandos r*. ( Hijacking de sesion )
• Sudo, setuid y setguid
• Instalación de control remoto. Puertas traseras
• Kernel Hacks
• Ocultación de puertas traseras. Rootkit
• Borrado de pistas y logs ( wipe , zappers )

7. CONFIGURACIÓN DE UNIX COMO SERVIDOR BASTIÓN

Hasta este módulo cada aspecto de la seguridad se ha visto desde ambos lados, intruso y administrador. En este módulo final se dan las pautas mínimas necesarias para configurar un servidor con UNIX de forma segura o como comúnmente se llama, como servidor BASTIÓN. Es un resumen practico de todo lo visto a lo largo de los anteriores módulos y servirá de punto de partida a los Administradores para mejorar su seguridad

• Prevención / Detección / Recuperación
• Aislamiento físico y de protocolo
• Configuración de los servicios
  • TCPWrappers
  • Servicio WEB
  • Telnet / Ftp / Comados r* / Etc.
  • Sistema de archivos
  • Compartición de recursos
• Administración
  • Cuenta del administrador
  • Política de contraseñas
  • Administración segura: SSH
  • Auditoria de sistema y red
  • Copias de Seguridad
• Filtrado de paquetes TCP/IP
• Instalación de parches