DESCRIPCIÓN BREVE:
Curso práctico de seguridad Internet en servidores Window-2000
ALUMNO OBJETIVO:
Audiencia
El curso está dirigido a los administradores de sistemas Windows-2000 que ofrezcan servicios en Internet. También es recomendable para aquellos usuarios avanzados de Windows-2000 que deseen formarse en el ámbito de la seguridad.
Objetivos
Después de la realización del curso los asistentes habrán obtenido una amplia visión de las amenazas y riesgos a las que están sometidos los servidores Internet y además serán capaces de implantar las medidas oportunas para minimizar los riesgos y para realizar un correcto seguimiento de los posibles incidentes mediante la correcta configuración de los registros de auditoría de seguridad. Una buena parte del curso se dedica a mostrar los recursos que Microsoft ofrece para una efectiva política de mantenimiento de la seguridad de los servidores.
Características del curso
La duración del curso es de 20 horas (4 sesiones de 5 horas) y se entrega un manual de documentación en castellano y un CD-ROM con las numerosas herramientas utilizadas durante el curso. Cada asistente dispone de un ordenador con Windows-2000 Server.
Los asistentes realizan ataques reales contra Internet con las mismas herramientas utilizadas por los intrusos (hackers). Cada aspecto se plantea inicialmente desde el lado del intruso, una vez comprendido, se mostrará su posible solución, y lo que es más importante, las medidas preventivas necesarias para evitarlo
Autores e Instructores del curso
Otro de los factores a destacar de este curso es la calidad técnica de sus autores. El curso ha sido diseñado, documentado y, además, es impartido por
dos auténticos expertos en la materia: Juan Carlos Garcia Cuartango y Cristóbal Bielza.
PROGRAMA:
CONTENIDO DEL CURSO
1. ý INTRODUCCIÓN A LA SEGURIDAD EN INTERNET
2. ý SEGURIDAD EN LOS PROTOCOLOS TCP/IP
3. ý ESTABLECIMIENTO DEL OBJETIVO
4. ý INFORMACIÓN DEL OBJETIVO
5. ý ATAQUE A UN SERVIDOR
WINDOWS NT6. ý CONTROL TOTAL DE UN SERVIDOR WINDOWS NT
7. ý CONFIGURACIÓN DE WINDOWS 2000 COMO SERVIDOR BASTIÓN
1. ý INTRODUCCIÓN A LA SEGURIDAD EN INTERNET
En este módulo se introduce el problema de la seguridad en Internet. El primer paso para asegurar cualquier cosa es conocer contra quién se debe proteger. En esta introducción, se desvelan los diferentes tipos de intrusos que pueden atacar los servidores de la organización. Finalmente, se ven conceptos básicos de criptografía necesarios para comprender algunas tecnologías de seguridad.
Seguridad en los servidores Internet
Conceptos de criptografía
- Algoritmos simétricos: DES
- Algoritmos de clave pública: RSA
- Funciones de sentido único.
2. ý SEGURIDAD EN LOS PROTOCOLOS TCP/IP
Muchos problemas de seguridad que tiene Internet vienen heredados de los protocolos de comunicaciones que usa, los afamados TCP e IP. Estos protocolos fueron diseñados en los años 70 y no se pensó en los aspectos de seguridad. Debido a que es necesario usar los protocolos como fueron diseñados, hace que los aspectos de seguridad citados en este módulo tengan muy difícil solución.
Rastreadores de red (Sniffers), topología HUB: Iris, Windump.
Rastreadores de red, topología SWITCH: Hunt, ethercap.
Denegación de servicio
- Inundación SYN (SYN flooding).
- Inundación UDP.
- Ataques de magnificación: Smurf y Fraggle.
- Ataques protocolo TCP/IP.
- Denegación de servicio Distribuida (DDoS)
Secuestro y falsificación DNS.
Protocolo SNMP.
PRÁCTICAS
1. Rastreadores con topología de red HUB.
Capturar el tráfico de una red mediante la instalación de un rastreador (sniffer) genérico, Iris. Posteriormente se utilizarán rastreadores especializados en contraseñas y en espionaje de actividad (dsniff, webspy, urlsnarf). Finalmente, se comprobará la detección de los rastreados funcionando en la red mediante el uso de técnicas de anti-sniff (AntiSniff).
2. Rastreadores con topología de red SWITCH.
Secuestro de sesiones y captura de tráfico entre
dos estaciones en una topología tipo SWITCH (Hunt). Falsificación de las tablas ARP mediante la técnica de la falsificación ARP (ARP Spoofing).
3. Denegación de servicio.
Inundación mediante la técnica de SYN Flooding. Búsqueda de redes con direcciones de difusión (broadcast) para realizar ataques de magnificación. Realización de ataques de magnificación del tipo Smurf. Enlace de servidores en los puertos Echo y Chargen.
4. DNS.
Secuestro de sesiones DNS mediante la herramienta DNSSpoof. Falsificación de cache de DNS mediante la herramienta ADMKillDNS.
5. SNMP.
Búsqueda de sistemas con agentes SNMP y comunidades de fácil adivinación. Se instala y utiliza la herramienta IP Network Browser de SolarWinds.
3. ý ESTABLECIMIENTO DEL OBJETIVO
Antes de realizar definitivamente un ataque, los intrusos, como si de un estratega militar se tratará, preparan cuidadosamente su ataque. No se debe pasar por alto el tiempo que dedican a esta tarea. En esta fase, su objetivo es determinar cual es el punto o puntos más débiles para intentar el acceso.
- Información general del objetivo (Web, Whois, news)
- Servidores de la organización. DNS.
- Servidores accesibles.
- Rastreo de puertos.
- Rastreo de
sistemas operativos.
PRÁCTICAS
1. Información del objetivo.
Conexión a las bases de datos Whois y RIPE para extraer información del objetivo.
2. Servidores de la organización.
Solicitud de transferencia de zonas DNS y resolución inversa para obtener información sobre los servidores de la organización.
3. Servidores activos.
Chequeo mediante ICMP de los servidores activos.
4. Rastreo de puertos.
Rastreo de puertos mediante los distintos sistemas explicados. Se usarán técnicas tipo Decoy para la ocultación de rastreos. Se realizará un rastreo oculto imposible de detectar mediante la técnica del campo ID de los paquetes IP o también llamado rastreo oculto.
5. Detección de sistemas operativos.
Rastreo de sistemas operativos mediante la detección pasiva (Siphon) y rastreo mediante las técnicas activas con Nmap.
4. ý INFORMACIÓN DEL OBJETIVO
Una vez realizado el mapa de los posibles objetivos, el intruso intentará obtener más información sobre los servidores a los que intentarán atacar. Los sistemas Windows en sus instalaciones por defecto ofrecen algunas posibilidades en este aspecto y que los intrusos aprovecharán.
- Nombres NetBIOS y Dominios.
- Nombres de usuario y grupos.
- Recursos compartidos.
- Servicios abiertos y software instalado.
PRÁCTICAS
1. Conexión NetBIOS.
Se buscarán servidores en Internet con la interfaz NetBIOS activa. Una vez seleccionados los servidores se procederá a conectarse mediante la sesión NULA. Tras dicha conexión se extraerán las cuentas de los usuarios y demás información disponible de los servidores vulnerables.
2. Servicios abiertos.
Se conectará mediante Telnet a distintos puertos con el objetivo de determinar el software servidor corriendo tras cada puerto abierto en un sistema.
5. ý ATAQUE A UN SERVIDOR
WINDOWS NTUna vez recopilada y analizada la información sobre posibles objetivos, el intruso decidirá qué método utilizar para atacar a los sistemas. En este módulo se da una clasificación global de los tipos de agujeros de seguridad que permiten algún tipo de acceso a los sistemas en remoto.
- Ataques contra servicios con autenticación, fuerza bruta.
- Ataques contra CGIs y errores de las
aplicaciones servidoras.
- Aplicaciones cliente: agujeros en navegadores y clientes de correo (IE / Outlook)
- Caballos de Troya.
- Desbordamiento de memoria (Buffer overflow)
PRÁCTICAS
1. Servicios con autenticación.
Se confeccionará un diccionario para mostrar como realizar un ataque contra servicios con autenticación mediante fuerza bruta.
2. Aplicaciones servidoras.
Se buscarán en Internet servidores que posean vulnerabilidades conocidas y recientes en servidores IIS. Se intenarán explotar las citadas vulnerabilidades.
3. Aplicaciones cliente.
Se navegará por páginas maliciosas para comprobar los daños que pueden causar. Por otro lado, se enviará correo electrónico para que los asistentes lo abrán y comprendan el uso malicioso del correo electrónico. Para ello se buscarán servidores SMTP que permitan envió de correo desde cualquier sitio y se confeccionarán correo falsos maliciosos para enviarlos a las posibles victimas.
4. Caballos de Troya.
Se mostrarán distintos Caballos de Troya para ilustrar el uso de este tipo de software malicioso.
5. Desbordamiento de memoria.
Se explotarán algunos desbordamientos de memoria recientemente descubiertos en aplicaciones servidoras para comprobar la ejecución remota de comandos.
6. ý CONTROL TOTAL DE UN SERVIDOR WINDOWS NT
Mediante las técnicas explicadas en el módulo anterior el intruso habrá obtenido algún tipo de acceso al servidor victima. Una vez que se ha obtenido el acceso, el intruso pretenderá ampliar sus privilegios y controlar totalmente la máquina. Una vez que haya conseguido esto, intentará evitar ser detectado e instalará puertas traseras que le permitan entrar al sistema victima en el futuro.
- Averiguadores de contraseñas.
- Instalación de control remoto. Puertas traseras.
- Ocultación de puertas traseras. Streaming y Rootkit.
- Borrado de pistas y logs.
PRÁCTICAS
1. Averiguadores de contraseñas.
Se comprobará la eficacia de los averiguadores de contraseñas en local. Se provocarán ataques mediante diccionario y mediante ataques de fuerza bruta. Se mostrará donde obtener las contraseñas que sirvan como entrada en estos programas.
2. Puertas traseras.
Se instalará en remoto una puerta trasera que permita tener una línea de comandos con el servidor víctima. Una vez obtenido dicho control, se procederá a obtener una interfaz gráfica de la maquina atacada.
3. Ocultación de puertas traseras.
Se mostrará como se usa la técnica del NTFS denominada Streams para ocultar ficheros en los discos. También, se instalará un rootkit que modifica el comportamiento de programas de admiistración para que las herramientas del intruso pasen inadvertidas.
7. ý CONFIGURACIÓN DE WINDOWS 2000 COMO SERVIDOR BASTIÓN
Hasta este módulo cada aspecto de la seguridad se ha visto desde ambos lados, intruso y administrador. En este módulo final se dan las pautas mínimas necesarias para configurar un servidor con Windows 2000 de forma segura o como comúnmente se llama, como servidor BASTIÓN. Es un resumen practico de todo lo visto a lo largo de los anteriores módulos y servirá de punto de partida a los Administradores para mejorar su seguridad.
- Aislamiento físico y de protocolo.
- Configuración de los servicios.
- Política de contraseñas.
- Configuración segura del sistema de archivos.
-Protección del registro.
- Compartición de recursos. Acceso anónimo.
- Cuenta del Administrador.
- Filtrado de paquetes TCP/IP.
- Instalación de parches y Service Packs.
PRÁCTICAS
1. Servidor BASTION.
A modo de lista de chequeo, a lo largo del módulo se revisará la configuración de cada servidor para que el asistente la modifique para hacerla segura. Se mostrará el uso de plantillas del Editor de configuraciones de seguridad de Microsoft.
