Seguridad de Redes: Ataques Comunes y Conceptos de Defensa

Tipos de Ataques

• Interrupción: Son aquellos que inhabilitan o inutilizan la comunicación.
• Interceptación: Son aquellos que logran interceptar la comunicación y acceder a la información que se transmite.
• Modificación: A la intercepción del mensaje, añade su modificación o, incluso, su destrucción.
• Fabricación: Generar mensajes similares al original para que el otro extremo pueda confundirlos.

Técnicas de Ataque Habituales

Ataque de Denegación de Servicio (DoS)

Es un ataque que persigue provocar la pérdida de conectividad de un servicio mediante el consumo excesivo de ancho de banda, de manera que sus legítimos usuarios no puedan acceder a él. Es un ataque de interrupción. Como es bastante difícil conseguir el consumo total del ancho de banda desde un único ordenador atacante, es muy habitual la variante DDoS (Denegación de Servicio Distribuida). En este ataque distribuido, los puntos que originan el tráfico son muchos. Esto se logra infectando cientos de máquinas que de forma involuntaria participan en el ataque. Esta red de ordenadores zombi recibe el nombre de botnet.

Técnicas para Colapsar la Conexión

• Inundación SYN: En las conexiones TCP/IP es necesario establecer previamente una conexión. Para ello, el cliente envía un paquete con una señalización SYN que avisa al servidor de que se quiere establecer una conexión. Este debe responder con otro paquete SYN/ACK, al cual el cliente responde con un paquete con señalización ACK y ya se considera establecida la conexión y empieza la comunicación. La técnica consiste en enviar varios paquetes con señalización SYN al servidor y que tienen como IP de origen una IP distinta a la que realmente está generando esos paquetes. El servidor pensará que son intentos de conexión legítimos e intentará responder a ellos, enviando respuestas SYN/ACK a máquinas inexistentes o ajenas al ataque.
• Inundación ICMP: Consiste en enviar paquetes de ping anormalmente grandes a la víctima, de manera que esta consume recursos al responder a ellos. Una variante de este ataque es enviar paquetes ping de broadcast, de manera que la dirección de origen parezca ser el servidor a atacar. Si se logra esto, todas las máquinas que reciban ese paquete de broadcast enviarán su contestación al servidor.
• Inundación UDP: Consiste en enviar una gran cantidad de paquetes UDP a puertos aleatorios de la víctima. Esta intenta responder a toda esa gran cantidad de peticiones con paquetes de respuesta ICMP indicando que no se puede alcanzar el destino. Si el ataque va acompañado de alguna técnica de spoofing, que falsee el origen, entonces los paquetes de respuesta no llegarán al atacante.

Sniffing

Técnica de intercepción que consiste en monitorizar el tráfico de red.

Man in the Middle

Consiste en interceptar la comunicación, falsificar los mensajes y hacerse pasar ante un extremo como el otro.

Spoofing

Suplanta la identidad realizando una falsificación de la IP o la MAC.

Pharming

Consiste en explotar una vulnerabilidad en el software de los servidores DNS con el objeto de modificar sus tablas y hacer que se produzca una resolución de nombres fraudulenta.

Envenenamiento ARP

Consiste en enviar a la víctima respuestas ARP fraudulentas en las que el atacante hace creer que la MAC de un tercer equipo es la suya. La víctima aceptará la actualización, y cada vez que desee enviar un paquete a la IP del tercer ordenador, escribirá como MAC de destino la del atacante. Como consecuencia, el paquete no llegará al tercer ordenador sino al del atacante.

Técnicas de Defensa

Defensa contra el Envenenamiento ARP

• Evitar el envenenamiento: Hacer que sus entradas ARP sean estáticas, de manera que el ordenador rechace cualquier actualización de entrada que se haya definido como estática.
• Detección: Lo necesario es consultar la tabla ARP y comprobar si hay direcciones MAC duplicadas. Esto puede ser tedioso, por lo que existe software especializado en detectar actualizaciones de la tabla ARP y enviar avisos si esto se ha producido, como, por ejemplo, arpwatch.

Conceptos del Perímetro de Red

Perímetro de una Red

Es el conjunto de sistemas que ofrecen servicios a la red externa. El hecho de encontrarse abiertos al exterior los expone a ataques externos.

Se segmenta en una LAN o VLAN, lo que ofrece una serie de ventajas:

• El rechazo de conexiones externas a servicios a los que solo accede la red interna.
• Establecer distintas políticas para el tráfico de la LAN y del exterior.
• Permitir la redirección del tráfico de entrada hacia la zona perimetral o la red interna, según se establezca en la política de seguridad.
• Ocultar servicios vulnerables a la red externa.
• Ocultar las características y organización de la red interna a la externa.

Definiciones Clave del Perímetro

Perímetro

Frontera fortificada de la red.

Bastión

Es un servidor que publica servicios al exterior, por lo que se han tomado medidas para evitar ataques.

Router de Frontera

Es el router más externo de la red, directamente expuesto al exterior.

Cortafuegos

Dispositivo en el que se configuran las reglas de filtrado.

Sistema de Detección de Intrusos (IDS)

Sistema de la red interna con el fin de detectar intrusiones. Existen 2 tipos:

• IDS de red: Monitorizan el tráfico de red.
• IDS de host: Monitorizan el sistema operativo y las aplicaciones.

VPN (Red Privada Virtual)

Permite establecer la conexión a través de un medio no seguro entre dos segmentos distantes físicamente.