Estrategias de Ciberseguridad: Amenazas de Red, Buffer Overflow y Protocolos Cifrados

Amenazas Comunes y Técnicas de Ataque

Escaneo de Puertos y Sniffers

El escaneo de puertos es un procedimiento utilizado por atacantes para averiguar los puertos abiertos en un sistema. El objetivo es buscar vulnerabilidades en los servicios asociados. Es importante notar que algunos cortafuegos (firewalls) están diseñados para detectar este tipo de actividad.

Los sniffers (o analizadores de protocolo) operan activando la interfaz de red del sistema en modo promiscuo. Esto permite la obtención de una gran cantidad de información sin cifrar, cuya visibilidad depende del puerto por el que transite la información.

Desbordamiento de Buffer (Buffer Overflow)

Este ataque aprovecha errores de programación en aplicaciones para alterar el funcionamiento de la pila de proceso. Las causas comunes incluyen:

Overflow por Combinaciones No Esperadas

Mal diseño de una capa del código, permitiendo acceder a capas superiores.

Overflow por Entrada Anormal

Si el programador no valida correctamente la entrada del usuario, se pueden producir daños en los datos de la aplicación.

Overflow por Concurrencia

Ocurre cuando dos o más procesos leen o escriben en un área de memoria compartida sin el control de sincronización adecuado.

Ataques Internos en Redes LAN Conmutadas

Los atacantes disponen de técnicas específicas que explotan vulnerabilidades inherentes a la conmutación en switches:

• Inundación de Direcciones MAC (Flooding): Intenta producir la sobrecarga de la tabla CAM (Content Addressable Memory) del conmutador, lo que resulta en una denegación de servicio (DoS).
• IRDP Spoofing: El Protocolo de Descubrimiento de Enrutadores ICMP (IRDP) es extendido por ICMP para descubrir enrutadores en la red. El ataque consiste en simular ser un enrutador legítimo.
• ARP Poisoning: Envenenamiento de la tabla ARP, utilizada por los equipos para la resolución de direcciones IP a direcciones MAC.

2.3.3 Riesgos Potenciales en los Servicios de Red

Los servicios de red llevan asociado software que, por naturaleza, puede contener vulnerabilidades. Estas vulnerabilidades representan riesgos significativos para la red. Una configuración incorrecta puede dejar puertas abiertas y permitir la apertura no deseada de puertos TCP y UDP.

Clasificación de Puertos

• 0: Puerto reservado.
• 1 - 1023: Puertos conocidos (Well-Known Ports).
• 1024 - 49151: Puertos registrados.
• 49152 - 65535: Puertos dinámicos o temporales.

2.3.4 Protocolos de Seguridad

Estos protocolos introducen una capa de seguridad en las comunicaciones. Algunos son sencillos de gestionar, mientras que otros requieren la implementación de arquitecturas específicas.

SCP y SFTP

SCP (Secure Copy Protocol):

Es una extensión de OpenSSH, una suite de utilidades seguras utilizada para la copia segura de ficheros.

SFTP (SSH File Transfer Protocol):

Es similar a FTP, pero utiliza conexiones seguras mediante el protocolo SSH. Ambas son herramientas que operan bajo el modelo cliente/servidor.

IPsec (Internet Protocol Security)

IPsec es un protocolo que define el cifrado, la autenticación y la gestión de claves para transmisiones TCP/IP. Es nativo en IPv6, pero en IPv4 se inserta como una nueva capa de seguridad. Constituye la base tecnológica para la implementación de Redes Privadas Virtuales (VPN). Consta de dos fases principales:

1. Fase de Gestión de Claves: Utiliza IKE (Internet Key Exchange) como protocolo para la gestión de claves.
2. Fase de Cifrado:
   • Modo AH (Authentication Header): Solo cifra la cabecera del paquete.
   • Modo ESP (Encapsulating Security Payload): Cifra el paquete completo.

S/MIME (Secure/Multipurpose Internet Mail Extensions)

Es un protocolo de alto nivel utilizado para asegurar el envío de mensajes y transacciones electrónicas, proporcionando cifrado y firmas digitales.

2.3.5 Monitorización del Tráfico de Red

Las herramientas de monitorización de red realizan las siguientes tareas esenciales:

• Monitorizar el tráfico de red.
• Capturar el tráfico y las tramas enviadas.
• Reproducir ciertas condiciones de red para pruebas.
• Generar estadísticas detalladas sobre el rendimiento de la red.
• Descubrir nodos y dispositivos conectados.
• Establecer una "baseline" (línea base) de rendimiento normal.
• Reportar datos del tráfico.
• Disparar alarmas ante eventos anómalos o umbrales superados.