3 Escaneo de Redes

3 Escaneo de Redes

Nota importada desde Inbox durante consolidacion bulk.

3 Escaneo de Redes

I. Conceptos de Escaneo de Redes

  • Definición de Escaneo de Redes: Entender qué es el escaneo de redes en el contexto del hacking ético y la fase de reconocimiento.
  • Objetivos del Escaneo de Redes: Conocer los cuatro objetivos principales del escaneo de redes:
  • Descubrir hosts vivos, direcciones IP y puertos abiertos.
  • Descubrir los sistemas operativos en funcionamiento.
  • Descubrir los servicios que se ejecutan en los hosts.
  • Descubrir vulnerabilidades en los hosts vivos.
  • Tipos de Escaneo: Diferenciar entre:
  • Escaneo de Puertos: Proceso de verificar los servicios que se ejecutan en el puerto objetivo.
  • Escaneo de Redes: Identificar hosts activos en una red para evaluar su seguridad.
  • Escaneo de Vulnerabilidades: Identificar debilidades en un sistema para su posible explotación.
  • Señales de Comunicación TCP: Comprender el propósito de los seis flags de control TCP (SYN, ACK, FIN, RST, PSH, URG) y su papel en el establecimiento, mantenimiento y terminación de una conexión.

II. Herramientas de Escaneo de Redes

  • Nmap (Network Mapper):Funcionalidad principal como explorador de seguridad y escáner de red.
  • Capacidades para descubrir hosts, puertos, servicios y sistemas operativos.
  • Sintaxis básica del comando nmap.
  • Cómo los administradores de red y los atacantes utilizan Nmap.
  • Hping3:Propósito como herramienta de línea de comandos para escaneo de red y creación de paquetes.
  • Capacidades para pruebas de seguridad de red, pruebas de firewall, rastreo avanzado y auditorías de IP.
  • Comandos Hping3 específicos (ICMP ping, escaneo ACK, escaneo UDP, recopilación de números de secuencia inicial, firewalls y marcas de tiempo, escaneo SYN, FIN/PUSH/URG, escaneo de subred completa, intercepción de tráfico HTTP, inundación SYN).
  • Metasploit:Su rol como proyecto de código abierto para desarrollo de infraestructura, contenido y herramientas para pruebas de penetración y auditorías de seguridad.
  • Cómo ayuda a automatizar el proceso de descubrimiento y explotación de vulnerabilidades.
  • NetScanTools Pro:Propósito como herramienta de red para solucionar problemas y descubrir información de red local.
  • Información que puede recopilar (hosts activos, direcciones IP, puertos, etc.).
  • Otras Herramientas de Escaneo: Familiaridad con:
  • Unicornscan
  • SolarWinds Port Scanner
  • PRTG Network Monitor
  • OmniPeek Network Protocol Analyzer
  • Herramientas de Escaneo Móvil:IP Scanner (iOS)
  • Fing (Android/iOS)
  • Network Scanner (Android)

III. Técnicas de Descubrimiento de Hosts

  • Host Discovery: Definición y su importancia en el proceso de escaneo de redes.
  • Técnicas de Ping Sweep:Ping de ICMP: Envío de paquetes de solicitud de eco ICMP.
  • Ping de ARP: Uso de paquetes ARP para descubrir dispositivos en la LAN.
  • Ping de UDP: Envío de paquetes UDP a puertos específicos.
  • Ping de TCP SYN: Envío de paquetes SYN TCP.
  • Ping de TCP ACK: Envío de paquetes ACK TCP para detectar hosts activos.
  • Escaneo de Protocolos IP: Envío de paquetes IP con diferentes números de protocolo.
  • Ventajas y Desventajas de las Técnicas de Descubrimiento de Hosts: Conocer cuándo usar cada técnica y sus limitaciones (e.g., bypass de firewall).
  • Herramientas de Ping Sweep: Familiaridad con herramientas como Angry IP Scanner y otras (SolarWinds Engineer’s Toolset, NetScanTools Pro, Colasoft Ping Tool, Visual Ping Tester, OpUtils).

IV. Técnicas de Descubrimiento de Puertos y Servicios

  • Importancia del Descubrimiento de Puertos y Servicios: Por qué es crucial identificar puertos abiertos y servicios en ejecución.
  • Puertos y Servicios Comunes Reservados: Conocimiento de los puertos y protocolos estándar (ej., FTP, SSH, HTTP, DNS, SMTP).
  • Técnicas de Escaneo de Puertos:Escaneo TCP:TCP Connect/Full-Open Scan: Establecimiento de una conexión TCP completa.
  • Stealth TCP Scanning Methods (Medios Escaneos TCP):
  • Half-open Scan (SYN Scan): Envío de paquetes SYN para determinar puertos abiertos sin establecer una conexión completa.
  • Inverse TCP Flag Scan (FIN, Xmas, NULL Scans): Envío de paquetes con banderas TCP específicas para evadir firewalls e IDS.
  • ACK Flag Probe Scan: Envío de paquetes ACK para determinar si un puerto está filtrado.
  • TTL-Based ACK Flag Probe Scan: Uso del valor TTL para determinar el estado del puerto.
  • Window-Based ACK Flag Probe Scan: Uso del valor del campo de ventana TCP.
  • Idle/IP ID Header Scan: Escaneo de puertos utilizando una "máquina zombie" para disfrazar la fuente del escaneo.
  • TCP Maimon Scan.
  • Escaneo UDP: Envío de paquetes UDP para detectar puertos UDP abiertos.
  • Escaneo SCTP: SCTP INIT Scan y SCTP COOKIE/ECHO Scan.
  • Escaneo SSDP: SSDP y List Scan.
  • Escaneo IPv6: Escaneo de direcciones IPv6.
  • Descubrimiento de Versiones de Servicio:Propósito: Identificar las versiones de los servicios en ejecución para encontrar vulnerabilidades conocidas.
  • Cómo Nmap utiliza la opción -sV para este fin.
  • Técnicas de Reducción del Tiempo de Escaneo de Nmap:Omitir pruebas no críticas.
  • Optimizar los parámetros de tiempo.
  • Separar y optimizar escaneos UDP.
  • Actualizar Nmap.
  • Ejecutar instancias de Nmap concurrentes.
  • Escanear desde una ubicación de red favorable.
  • Aumentar el ancho de banda disponible y el tiempo de CPU.

V. Técnicas de Descubrimiento de OS (Huella Digital de Banner/OS)

  • Propósito del Descubrimiento de OS: Identificar el sistema operativo en un host objetivo para explotar vulnerabilidades conocidas.
  • Técnicas de Huella Digital de Banner/OS:Huella Digital Activa de Banner: Envío de paquetes TCP especialmente elaborados y análisis de las respuestas.
  • Conocer los diferentes tests (ej., TCP SYN y ECN-Echo, SYN con NO flags, URG/PSH/FIN, ACK, RST).
  • Comprensión de las pruebas de secuencia TCP (TSQ).
  • Huella Digital Pasiva de Banner: Captura y análisis de tráfico de red para determinar el SO.
  • Información obtenida de mensajes de error, tráfico de red y extensiones de páginas.
  • Parámetros clave: TTL, tamaño de ventana, DF bit, TOS.
  • Cómo Identificar el SO Objetivo:Uso de herramientas de snifado de paquetes (Wireshark) para analizar el TTL y el tamaño de la ventana TCP.
  • Tabla de valores TTL y tamaño de ventana TCP para diferentes sistemas operativos.
  • Descubrimiento de OS usando Nmap y Unicornscan (opciones -O y TTL values).
  • Descubrimiento de OS usando Nmap Script Engine (NSE) y scripts SMB.
  • Descubrimiento de OS usando Huella Digital IPv6.

VI. Escaneo Más Allá de IDS y Firewall

  • Limitaciones de IDS y Firewalls: Entender por qué los atacantes necesitan evadir estas medidas de seguridad.
  • Técnicas de Evasión de IDS/Firewall:Fragmentación de Paquetes: Dividir los paquetes de sondeo en fragmentos más pequeños para evitar la detección.
  • Escaneo SYN/FIN usando fragmentos IP.
  • Manipulación del Puerto de Origen: Cambiar el puerto de origen de los paquetes de escaneo a un puerto común permitido por el firewall.
  • Dirección IP de Engaño (Decoy): Generar o especificar múltiples direcciones IP de "engaño" para ocultar la dirección real del atacante.
  • Suplantación de Dirección IP (IP Spoofing): Envío de paquetes con una dirección IP de origen falsa.
  • Suplantación de Dirección MAC (MAC Address Spoofing): Cambio de la dirección MAC de la interfaz de red para eludir las reglas del firewall.
  • Creación de Paquetes Personalizados: Construir paquetes TCP/IP únicos para evadir la detección.
  • Herramientas como Colasoft Packet Builder y NetScanTools Pro.
  • Aleatorización del Orden de Hosts y Envío de Sumas de Verificación Malas: Aleatorizar el orden de los hosts escaneados y enviar sumas de verificación TCP/UDP incorrectas para eludir las reglas del firewall.
  • Servidores Proxy: Usar intermediarios para ocultar la dirección IP real del atacante.
  • Usos de servidores proxy (ocultar el origen, acceder a intranets, interrumpir solicitudes, encadenar proxys).
  • Herramientas proxy (Proxy Switcher, CyberGhost VPN, Burp Suite, Tor, CCProxy, Hotspot Shield, Shadowsocks, ProxyDroid, Proxy Manager, Servers Ultimate).
  • Anonimizadores: Servicios que eliminan la información de identidad del usuario para proteger la privacidad.
  • Tipos de anonimizadores (en red y de un solo punto).
  • Ventajas y desventajas.
  • Herramientas (Whonix, Orbot, Psiphon Pro, Alkaisir, Tails).

VII. Contramedidas de Escaneo de Redes

  • Contramedidas Generales para el Escaneo de Puertos:Configurar firewalls y sistemas de detección de intrusiones (IDS).
  • Ejecutar herramientas de escaneo de puertos en hosts para determinar si el firewall detecta la actividad de escaneo.
  • Asegurar mecanismos de enrutamiento y filtrado en routers y firewalls.
  • Configurar firewalls comerciales para proteger contra escaneos rápidos y floods SYN.
  • Utilizar herramientas como Nmap y OS detection para obtener los detalles de un SO remoto.
  • Mantener los firewalls actualizados.
  • Asegurar que las versiones de servicios en los puertos no sean vulnerables.
  • Bloquear mensajes de tipo 3 de ICMP.
  • Realizar ingeniería de origen y enviar paquetes a los objetivos.
  • Asegurar que los mecanismos para enrutamiento y filtrado estén correctamente configurados.
  • Probar las direcciones IP usando escaneos de puertos TCP y UDP, así como sondas ICMP.
  • Asegurar que las reglas anti-escaneo y anti-spoofing estén configuradas.
  • Emplear sistemas de prevención de intrusiones (IPS).
  • Contramedidas de Banner Grabbing:Deshabilitar o cambiar el banner.
  • Ocultar extensiones de archivos de páginas web.
  • Técnicas de Detección de Suplantación de IP (IP Spoofing):Método de Control de Flujo TCP (análisis de la ventana de congestión).
  • Sondas TTL directas.
  • Número de Identificación IP (IPID).
  • Contramedidas de Suplantación de IP:Cifrar todo el tráfico de red.
  • Utilizar firewalls múltiples.
  • No depender de la autenticación basada en IP.
  • Usar un número de secuencia inicial aleatorio.
  • Filtrado de entrada (Ingress Filtering) y filtrado de salida (Egress Filtering).
  • Uso de encriptación.
  • Contramedidas para inundación SYN.
  • Otras contramedidas (validación IPv6, envío de información codificada, verificación de paquetes de datos con firmas, ocultación de hosts de intranet, filtrado de tráfico falsificado).
  • Herramientas de Detección y Prevención de Escaneo:ExtraHop
  • Splunk Enterprise Security
  • Scanlogd
  • Vectra Cognito Detect
  • IBM Security QRadar XDR
  • Cynet 360

Cuestionario (10 Preguntas de Respuesta Corta)

Responda cada pregunta en 2-3 oraciones.

  1. ¿Cuál es el objetivo principal de la fase de escaneo de redes en el hacking ético?
  2. Describa brevemente la diferencia entre un "escaneo de puertos" y un "escaneo de vulnerabilidades".
  3. Mencione tres de los flags de comunicación TCP más importantes y su función.
  4. ¿Cómo utiliza Nmap la información obtenida durante la fase de escaneo para ayudar a un atacante o un administrador de red?
  5. Explique cómo un "escaneo Half-open" (SYN Scan) difiere de un "escaneo TCP Connect/Full-Open" y por qué es ventajoso.
  6. ¿Cuál es el propósito de la "huella digital de banner" en el descubrimiento del sistema operativo?
  7. Mencione dos técnicas de evasión de IDS/Firewall y explique brevemente cómo funcionan.
  8. ¿Qué es un servidor proxy en el contexto del escaneo de redes y por qué un atacante podría usarlo?
  9. ¿Cómo puede una organización defenderse contra el "banner grabbing"?
  10. Describa una contramedida efectiva contra la suplantación de IP basada en el tráfico de red.

Clave de Respuestas del Cuestionario

  1. El objetivo principal de la fase de escaneo de redes es obtener información más detallada sobre el objetivo después del reconocimiento inicial. Esto incluye identificar hosts activos, puertos abiertos, servicios en ejecución y vulnerabilidades para planificar ataques o evaluaciones de seguridad.
  2. Un "escaneo de puertos" se centra en verificar qué servicios se ejecutan en puertos específicos de un objetivo para identificar puntos de entrada. Por otro lado, un "escaneo de vulnerabilidades" busca debilidades conocidas en los sistemas y servicios identificados, proporcionando una lista de posibles exploits.
  3. SYN (Synchronize) inicia una conexión; ACK (Acknowledgement) confirma la recepción de un paquete; y RST (Reset) aborta una conexión. Estos flags son fundamentales para la negociación y el control de la transmisión de datos TCP.
  4. Nmap utiliza la información obtenida, como hosts activos, puertos abiertos, servicios y versiones, para crear un "mapa" de la red. Esto permite a los atacantes perfilar el objetivo y determinar las configuraciones, mientras que a los administradores les ayuda con el inventario y la gestión de la seguridad.
  5. Un escaneo Half-open (SYN Scan) envía un paquete SYN y espera una respuesta SYN-ACK, pero no completa el handshake con un ACK final. A diferencia del escaneo TCP Connect/Full-Open que establece una conexión completa, el SYN Scan es "sigiloso" porque la conexión no se registra completamente en el objetivo, lo que ayuda a evadir firewalls e IDS.
  6. El propósito de la "huella digital de banner" en el descubrimiento del sistema operativo es identificar el tipo y la versión del sistema operativo en un host remoto. Esto se logra analizando las respuestas de los servicios de red a las sondas, ya que diferentes SOs y servicios tienen patrones de respuesta únicos.
  7. La "fragmentación de paquetes" divide los paquetes de sondeo en trozos más pequeños, lo que puede confundir a los IDS/firewalls que esperan paquetes completos. La "manipulación del puerto de origen" implica cambiar el puerto de origen de un atacante a uno que el firewall permita, haciendo que el tráfico malicioso parezca legítimo.
  8. Un servidor proxy es una aplicación que actúa como intermediario para las comunicaciones de red, ocultando la dirección IP real del atacante. Un atacante lo usaría para anonimizar su presencia en la red, evadir restricciones de IDS/firewall y dificultar el rastreo de su origen.
  9. Para defenderse contra el "banner grabbing", una organización puede deshabilitar o cambiar el banner que revela información del sistema, como ocultar extensiones de archivos web o modificar los encabezados HTTP del servidor. Esto reduce la cantidad de información que un atacante puede recopilar pasivamente sobre el sistema.
  10. Una contramedida efectiva contra la suplantación de IP es el "filtrado de entrada (Ingress Filtering)", donde los routers y firewalls están configurados para dejar caer los paquetes con direcciones IP de origen inválidas o que no pertenecen a la red interna. Esto previene que paquetes falsificados ingresen a la red.

Preguntas en Formato de Ensayo

  1. Discuta la importancia de la fase de escaneo de redes en el ciclo de vida del hacking ético. Incluya una explicación detallada de cómo los objetivos del escaneo (descubrimiento de hosts, puertos, servicios y vulnerabilidades) contribuyen a una evaluación de seguridad integral.
  2. Compare y contraste las técnicas de "huella digital de banner activa" y "huella digital de banner pasiva" para el descubrimiento del sistema operativo. Describa las ventajas y desventajas de cada una y proporcione ejemplos de cómo se utilizan los parámetros TCP (como TTL, tamaño de ventana) en la huella digital pasiva.
  3. Analice al menos tres técnicas de evasión de IDS/Firewall presentadas en el material. Para cada técnica, explique su funcionamiento, por qué es efectiva contra IDS/Firewall y qué desafíos plantea para la detección.
  4. Seleccione dos herramientas de escaneo de redes principales (por ejemplo, Nmap y Hping3) y describa en detalle sus funcionalidades clave. Explique cómo estas herramientas complementan los diferentes tipos de escaneo (puertos, redes, vulnerabilidades) y sus respectivos casos de uso para un profesional de la seguridad.
  5. Explique cómo el encadenamiento de proxys y el uso de anonimizadores contribuyen a la ofuscación y el anonimato del atacante durante la fase de escaneo de redes. Discuta las ventajas de estas técnicas para el atacante y los desafíos que presentan para las contramedidas de detección de red.

Glosario de Términos Clave

  • ACK (Acknowledgement): Un flag TCP que confirma la recepción exitosa de datos. Es parte del establecimiento de la conexión de tres vías.
  • Anonimizador: Un servicio o herramienta que oculta la identidad del usuario, como la dirección IP, para proteger su privacidad y eludir la censura o el rastreo.
  • ARP (Address Resolution Protocol): Un protocolo de comunicación utilizado para descubrir la dirección de capa de enlace (MAC) asociada a una dirección de protocolo de red (IP).
  • Banner Grabbing (Huella Digital de Banner): Una técnica utilizada para obtener información sobre un sistema operativo o servicio en un host remoto al capturar el "banner" que revela detalles como el tipo y la versión.
  • FIN (Finish): Un flag TCP que indica el final de la transmisión de datos por parte del remitente y solicita el cierre de la conexión.
  • Firewall: Un sistema de seguridad de red que monitorea y controla el tráfico de red entrante y saliente según reglas de seguridad predeterminadas.
  • Fragmentación de Paquetes: Una técnica de evasión de firewall/IDS que divide un paquete IP en unidades más pequeñas para evitar la detección por parte de las reglas de filtrado de paquetes.
  • Host Discovery (Descubrimiento de Hosts): El proceso de identificar qué sistemas en una red están activos y respondiendo.
  • Hping3: Una herramienta de escaneo de red de línea de comandos y creación de paquetes que permite a los usuarios enviar paquetes TCP/IP personalizados y analizar las respuestas.
  • ICMP (Internet Control Message Protocol): Un protocolo de red utilizado por los dispositivos de red para enviar mensajes de error y operacionales, como los pings.
  • IDS (Intrusion Detection System): Un sistema que monitorea el tráfico de red en busca de patrones sospechosos o actividades maliciosas que puedan indicar un intento de intrusión.
  • IP Spoofing (Suplantación de IP): Una técnica en la que un atacante crea paquetes IP con una dirección IP de origen falsa para disfrazar su identidad o hacerse pasar por otro sistema.
  • IPv6: La última versión del Protocolo de Internet, diseñada para reemplazar a IPv4 y ofrecer un espacio de direcciones mucho más grande.
  • MAC Address Spoofing (Suplantación de Dirección MAC): La técnica de cambiar la dirección de control de acceso a medios (MAC) de un dispositivo de red para hacerse pasar por otro dispositivo o eludir filtros basados en MAC.
  • Nmap (Network Mapper): Un escáner de red de código abierto utilizado para descubrimiento de hosts, escaneo de puertos, detección de versiones de servicio y huella digital del sistema operativo.
  • NULL Scan: Un tipo de escaneo TCP sigiloso donde no se activan flags en el paquete de sondeo, esperando que los puertos abiertos no respondan, y los puertos cerrados envíen un RST.
  • OS Discovery (Descubrimiento de OS): El proceso de determinar el sistema operativo que se ejecuta en un host objetivo.
  • Ping Sweep: Una técnica utilizada para determinar un rango de direcciones IP que están activas en una red, típicamente enviando solicitudes de eco ICMP.
  • Port Scanning (Escaneo de Puertos): El proceso de enviar mensajes a puertos de una computadora para ver qué puertos están abiertos y si están escuchando o no.
  • Proxy Chaining (Encadenamiento de Proxys): El uso de múltiples servidores proxy en secuencia para aumentar el anonimato del atacante y dificultar el rastreo de la fuente original.
  • Proxy Server (Servidor Proxy): Un servidor que actúa como intermediario para las solicitudes de clientes que buscan recursos de otros servidores.
  • PSH (Push): Un flag TCP que indica al receptor que los datos deben ser entregados a la aplicación inmediatamente.
  • RST (Reset): Un flag TCP que aborta una conexión. A menudo se envía en respuesta a un paquete no esperado o para indicar que un puerto está cerrado.
  • Scanning Networks (Escaneo de Redes): Un paso en el hacking ético que implica recopilar información detallada sobre un objetivo de red, incluyendo hosts vivos, puertos abiertos, servicios y sistemas operativos.
  • SCTP (Stream Control Transmission Protocol): Un protocolo de transporte de la capa 4 que proporciona servicios de entrega de datos confiables y orientados a mensajes.
  • SSDP (Simple Service Discovery Protocol): Un protocolo de red para el descubrimiento de servicios basado en UDP, utilizado para encontrar dispositivos en una red local.
  • Stealth Scan (Escaneo Sigiloso): Técnicas de escaneo de puertos diseñadas para ser menos detectables por firewalls y IDS, como el SYN Scan o el Xmas Scan.
  • SYN (Synchronize): Un flag TCP utilizado para iniciar una conexión de tres vías.
  • TCP (Transmission Control Protocol): Un protocolo central de Internet que permite que dos hosts establezcan una conexión y intercambien datos.
  • TTL (Time To Live): Un valor en el encabezado IP que especifica el número máximo de saltos que un paquete puede realizar antes de ser descartado. Se utiliza en la huella digital pasiva del SO.
  • UDP (User Datagram Protocol): Un protocolo de transporte alternativo al TCP, que es sin conexión y no garantiza la entrega de paquetes.
  • URG (Urgent): Un flag TCP que indica que ciertos datos dentro del segmento son urgentes y deben ser procesados de inmediato.
  • Vulnerability Scanning (Escaneo de Vulnerabilidades): El proceso de identificar debilidades de seguridad en un sistema o red que podrían ser explotadas por un atacante.
  • Window Size (Tamaño de Ventana): Un campo en el encabezado TCP que indica la cantidad de datos que un host puede recibir. Se utiliza en la huella digital pasiva del SO.
  • Xmas Scan: Un tipo de escaneo TCP sigiloso donde los flags FIN, URG y PSH están activados, esperando que los puertos cerrados no respondan. Los puertos abiertos generalmente también ignoran el paquete o envían un RST.
  • Zenmap: La GUI oficial (interfaz gráfica de usuario) para el escáner de red Nmap.

Themes