Seguretat Informàtica: Amenaces, IDS i eines

Tipus d'amenaces

Amenaça externa

Els atacants són externs a la xarxa privada o interna d'una organització i aconsegueixen accedir des de la xarxa pública. Els seus objectius són els servidors i routers accessibles des de l'exterior, que fan servir com a passarel·la d'accés a la xarxa corporativa. Per millorar la seguretat davant d'aquestes amenaces, es recomana un bon disseny de direccionament, parcel·lació i subxarxes.

Amenaça interna

Els atacants accedeixen sense autorització o pertanyen a la xarxa privada de l'organització. D'aquesta manera poden comprometre la seguretat i, sobretot, la informació i els serveis de l'organització. Es recomana l'ús de direccionament estàtic per a servidors i routers, la monitorització del trànsit i l'ús de contrasenyes robustes.

Sistemes de Detecció d'Intrusos (IDS)

Un IDS és una eina de seguretat que detecta o monitoritza els events esdevinguts en un determinat sistema informàtic a la recerca d'intents de comprometre la seguretat d'aquest sistema. Cerquen patrons prèviament definits que impliquen activitats sospitoses o malicioses sobre la nostra xarxa o equip.

Conexions segures

SSL, SSH, TLS, IPSEC, VPN: Una xarxa privada virtual o VPN (Virtual Private Network) consisteix en una extensió d'una xarxa local de forma segura sobre la xarxa pública (Internet).

Vulnerabilitats i atacs

• ARP Spoofing/Poisoning/Flooding (Denegació de servei): Es pot aconseguir que un ordinador no rebi cap paquet en difondre una adreça física inexistent associada a la seva adreça IP real. Si la víctima de la denegació de servei és l'encaminador o la porta d'enllaç de la xarxa local, s'aconsegueix aïllar la xarxa local de l'exterior.
• Man in the middle (MITM): Un atacant es pot fer passar per un altre ordinador (víctima) i rebre així tots els paquets destinats a aquesta víctima.
• IP Spoofing: Consisteix a generar paquets IP amb l'adreça d'origen falsa. Aquesta vulnerabilitat se sol explotar amb l'objectiu de fer atacs de denegació de servei o suplantar un ordinador concret.

Eines de seguretat

Snort

Snort és utilitzat sobretot com un IDS basat en xarxa (NIDS o Network IDS). Aquest tipus d'IDS controlen un segment de xarxa. També pot funcionar com un analitzador de xarxa o sniffer de forma similar al que fan aplicacions com tcpdump o wireshark. És IDS, sniffer i packet logger. snort -v sniffea, snort -l /etc/snort/log packet logger, snort-dev-c /etc.. NIDS, h analitza tràfic de xarxa, -i interfície de xarxa.

Nmap

Nmap detecta l'escaneig de ports en xarxa. Amb scan -sT escaneges TCP, amb scan -sS syn stealth scan.

Ettercap

Ettercap fa man in the middle.

Cain & Abel

Cain & Abel ho fa tot.

DMZ

• Model de seguretat de multi-homed: El host bastió disposa de vàries interfícies de xarxa, cada una d'elles connectada a una xarxa física, el que separa les xarxes també lògicament.
• Model de seguretat screened host: Totes les connexions porten a un únic bastió, que es connecta a la xarxa interna. El router de frontera deriva totes les connexions al bastió impedint que hi hagi una comunicació directa entre el router i qualsevol altre node de la xarxa interna.
• Model de seguretat screened subnet: Aquest és un model en el que es parteix d'una arquitectura screened host però en el que s'afegeix un router entre el host bastió i la xarxa interna, per això se li denomina screened subnet.