04 Enumeracion

04 Enumeracion

Nota importada desde Inbox durante consolidacion bulk.

4 Enumeracion

1. Conceptos Fundamentales de la Enumeración

La enumeración es una fase crítica en el proceso de hacking ético y pruebas de penetración, que sigue a la fase de reconocimiento/escaneo. Su objetivo principal es extraer información detallada sobre un sistema o red.

¿Qué es la Enumeración? "La enumeración implica que un atacante crea conexiones activas con el sistema objetivo y realiza consultas dirigidas para obtener más información sobre el objetivo." (Página 401).

Durante esta fase, el atacante busca identificar:

  • Nombres de usuario, nombres de máquinas, recursos de red, recursos compartidos, y servicios de un sistema o red.
  • Puntos de entrada para un ataque al sistema.
  • Vulnerabilidades.
  • Información para realizar ataques de fuerza bruta para obtener acceso no autorizado.

Información Típica Obtenida a Través de la Enumeración:

  • Recursos de red
  • Recursos compartidos de red
  • Tablas de enrutamiento
  • Configuración de auditoría y servicio
  • Detalles de SNMP y FQDN (Fully Qualified Domain Name)
  • Nombres de máquinas
  • Usuarios y grupos
  • Aplicaciones y banners

Es crucial que cualquier actividad de enumeración sea realizada con la debida autorización para evitar actividades ilegales y cumplir con las políticas de la organización (Página 402).

2. Técnicas Clave para la Enumeración

El documento detalla varias técnicas para extraer información sobre un objetivo:

  • Extracción de Nombres de Usuario mediante IDs de Correo Electrónico: "Cada dirección de correo electrónico contiene dos partes, un nombre de usuario y un nombre de dominio, en el formato 'username@domainname.'" (Página 403).
  • Extracción de Información mediante Contraseñas por Defecto: Muchos recursos en línea proporcionan listas de contraseñas por defecto de fabricantes, que pueden ser utilizadas para obtener nombres de usuario y contraseñas.
  • Ataque de Fuerza Bruta en Active Directory: Active Directory es vulnerable a la enumeración de nombres de usuario. Un atacante puede realizar un ataque de fuerza bruta para descubrir contraseñas (Página 403).
  • Extracción de Información mediante Transferencia de Zona DNS: Si los administradores de red no configuran correctamente el servidor DNS, las transferencias de zona DNS pueden ser un método eficaz para obtener información detallada de la red, incluyendo listas de hosts, subredes y direcciones IP relacionadas. Herramientas como nslookup y dig son útiles aquí (Página 403-404).
  • Extracción de Grupos de Usuarios de Windows: Un atacante con una ID registrada en Active Directory puede extraer información de grupos (Página 404).
  • Extracción de Nombres de Usuario mediante SNMP: Los atacantes pueden adivinar fácilmente cadenas de comunidad SNMP de solo lectura o de lectura/escritura para extraer nombres de usuario (Página 404).

3. Servicios y Puertos Comunes para la Enumeración

La enumeración se dirige a servicios específicos que operan en puertos TCP y UDP. Algunos de los más relevantes incluyen:

  • TCP/UDP 53 (Transferencia de Zona DNS): Permite la resolución de nombres y puede revelar la estructura de la red si no está asegurado (Página 405).
  • TCP/UDP 135 (Mapeador de Puntos Finales RPC de Microsoft): Vulnerable a ataques de Denegación de Servicio (DoS) si se manipula incorrectamente (Página 406).
  • UDP 137 (Servicio de Nombres NetBIOS): Utilizado para resolución de nombres de computadoras en redes Windows. Los atacantes pueden obtener nombres de NetBIOS, direcciones IP y MAC (Página 406).
  • TCP 139 (Servicio de Sesión NetBIOS - SMB sobre NetBIOS): Utilizado para transferir archivos y compartir impresoras. Las vulnerabilidades pueden permitir acceso no autorizado (Página 406).
  • TCP/UDP 445 (SMB sobre TCP - Direct Host): Usado para compartir archivos e impresoras directamente sobre TCP/IP (Página 406).
  • UDP 161 (Protocolo Simple de Gestión de Red - SNMP): Utilizado para monitorear dispositivos de red. Las cadenas de comunidad por defecto son un riesgo (Página 407).
  • TCP/UDP 389 (Protocolo Ligero de Acceso a Directorios - LDAP): Utilizado para acceder y mantener servicios de directorio distribuido (Página 407).
  • TCP 2049 (Sistema de Archivos de Red - NFS): Permite a los usuarios acceder a archivos en sistemas remotos. Las configuraciones incorrectas pueden llevar a escaladas de privilegios (Página 407).
  • TCP 25 (Protocolo Simple de Transferencia de Correo - SMTP): Utilizado para transferir correos. Comandos como VRFY, EXPN, y RCPT TO pueden revelar nombres de usuario (Página 407).
  • TCP/UDP 162 (Trampa SNMP): Utilizado para notificaciones SNMP (Página 407).
  • UDP 500 (Protocolo de Gestión de Claves de Seguridad de Internet - ISAKMP/IKE): Usado para establecer asociaciones de seguridad en IPsec (Página 408).
  • TCP 22 (Secure Shell - SSH): Protocolo de nivel de comando para gestionar dispositivos de red. Vulnerable a ataques de fuerza bruta (Página 408).
  • TCP/UDP 3268 (Catálogo Global de Microsoft): Un controlador de dominio de Microsoft que almacena información de objetos en la red. Útil para la resolución de problemas con LDAP (Página 408).
  • TCP/UDP 5060/5061 (Protocolo de Inicio de Sesión - SIP): Protocolo para telefonía IP y videollamadas. Se utiliza en entornos VoIP (Página 408).
  • TCP 20/21 (Protocolo de Transferencia de Archivos - FTP): Protocolo para transferir archivos. Las configuraciones incorrectas pueden exponer datos sensibles y permitir la fuerza bruta (Página 408).
  • TCP 23 (Telnet): Un protocolo no seguro que transmite credenciales en texto plano (Página 408).
  • UDP 69 (Protocolo Trivial de Transferencia de Archivos - TFTP): Protocolo sin conexión para transferencia de archivos. Puede ser explotado para instalar software malicioso (Página 409).
  • TCP 179 (Protocolo de Puerta de Enlace de Borde - BGP): Utilizado por los proveedores de servicios de Internet para mantener tablas de enrutamiento. Las configuraciones incorrectas pueden llevar a ataques de agotamiento de recursos o secuestro (Página 409).

4. Técnicas Específicas de Enumeración (Ejemplos Detallados)

El documento profundiza en la enumeración para varios protocolos:

  • Enumeración NetBIOS: Identifica dispositivos de red, nombres de servicio/registro y comparte información a través de TCP/IP (Página 410). Herramientas como nbtstat (Windows) y Nbtenum, Nmap scripts, y NetBIOS Enumerator son clave (Páginas 412-414).
  • nbtstat -a : Muestra la tabla de nombres NetBIOS de una máquina remota (Página 412).
  • nbtstat -c: Muestra el contenido de la caché de nombres NetBIOS (Página 413).
  • Enumeración de Usuarios de Windows (PS Tools): La suite PsTools de Sysinternals (Microsoft) es útil para controlar y gestionar sistemas remotos. Comandos como PsExec, PsFile, PsGetSid, PsKill, PsInfo, PsList, PsLoggedOn, PsLoglist, PsPasswd, y PsShutdown permiten extraer información de usuarios y sistemas (Páginas 417-419).
  • Enumeración de Recursos Compartidos (Net View): El comando net view muestra los recursos compartidos disponibles en una computadora específica o en un grupo de trabajo/dominio (Páginas 420-421).
  • Enumeración SNMP: Se centra en extraer información sobre dispositivos de red, cuentas de usuario y dispositivos. Implica el uso de cadenas de comunidad. Herramientas como SnmpWalk y Nmap (snmp-info, snmp-processes, snmp-win32-software) son fundamentales (Páginas 422-428).
  • La Base de Información de Gestión (MIB) es una base de datos virtual de objetos de red que SNMP gestiona (Página 425).
  • Enumeración LDAP: LDAP es un protocolo de Internet para acceder a servicios de directorio distribuido. Los atacantes pueden consultar el servidor LDAP para obtener información sensible como nombres de usuario, direcciones, detalles departamentales y nombres de servidor (Página 432-433). Se pueden usar métodos manuales (Python) y automatizados (Nmap ldap-brute script, ldapsearch, Softtera LDAP Administrator) (Páginas 434-441).
  • Enumeración NTP y NFS:NTP (Network Time Protocol): Sincroniza relojes de computadoras. Los atacantes pueden obtener listas de hosts, IP de clientes, nombres de sistema y SO, e IPs internas (Página 442-443). Comandos como ntpdate, ntptrace, ntpdc, y ntpq son usados (Páginas 444-448).
  • NFS (Network File System): Permite acceso a archivos remotos. Una mala configuración puede llevar a acceso no autorizado. rpcinfo y showmount se usan para identificar directorios exportados y permisos (Páginas 451-452). Herramientas como RPCScan y SuperEnum también son utilizadas (Página 453).
  • Enumeración SMTP y DNS:SMTP (Simple Mail Transfer Protocol): Los comandos VRFY, EXPN, y RCPT TO pueden revelar nombres de usuario y direcciones de correo. Herramientas como Nmap (smtp-commands, smtp-enum-users) y Metasploit (auxiliary/scanner/smtp/smtp_enum) son utilizadas (Páginas 456-462).
  • DNS (Domain Name System): La enumeración DNS incluye transferencia de zona (si está mal configurada), dig y nslookup para consultar servidores, y DNSrecon para la transferencia de zona (Páginas 466-469). El DNS Cache Snooping permite a un atacante consultar el servidor DNS para un registro específico y ver si está en caché, revelando si un sistema ha visitado un dominio (Páginas 470-472). DNSSEC Zone Walking es otra técnica para obtener registros de dominio (Páginas 473-475). Nmap también se utiliza para la enumeración DNS y DNSSEC (Páginas 476-478).
  • Otras Técnicas de Enumeración:IPsec Enumeration: IPsec es un conjunto de protocolos para asegurar comunicaciones IP. Los atacantes pueden usar ike-scan y Nmap para obtener información sobre configuraciones IPsec, tipos de cifrado, y vulnerabilidades (Páginas 479-482).
  • VoIP Enumeration: Se enfoca en SIP. Los atacantes usan herramientas como Svmap y Metasploit para obtener información sensible como gateways VoIP, IP-PBX, y usuarios (Páginas 483-484).
  • RPC Enumeration: Utiliza el protocolo RPC para comunicarse entre clientes y servidores. Los atacantes pueden identificar servicios y vulnerabilidades en puertos RPC (Páginas 485-487).
  • Unix/Linux User Enumeration: Comandos como rusers, rwho y finger se usan para listar usuarios, información de sesión, nombres de host y datos de inicio (Páginas 488-489).
  • Telnet y SMB Enumeration: Telnet (TCP 23) es inseguro. SMB (TCP 445, UDP 137/138/139) es propenso a la enumeración de recursos compartidos. Nmap y Metasploit son herramientas comunes (Páginas 490-493).
  • FTP y TFTP Enumeration: FTP (TCP 21) y TFTP (UDP 69) son protocolos de transferencia de archivos. Pueden ser explotados si exponen credenciales o permiten carga de archivos maliciosos (Páginas 494-497). PortQry y Nmap son herramientas clave.
  • IPv6 Enumeration: IPv6 identifica sistemas informáticos y ubicaciones. Herramientas como Enyx y IPv6 Hackit se usan para descubrir direcciones IPv6 y vulnerabilidades (Páginas 498-500).
  • BGP Enumeration: El Protocolo de Puerta de Enlace de Borde (BGP) se usa para intercambiar información de enrutamiento. Nmap y BGP Toolkit (hurricane.net) ayudan a obtener AS (Autonomous System) y prefijos (Páginas 501-502).

5. Contramedidas de Enumeración

El documento concluye con una sección vital sobre cómo las organizaciones pueden defenderse contra las actividades de enumeración:

  • Contramedidas SNMP:Eliminar o desactivar el servicio SNMP si no es necesario.
  • Cambiar las cadenas de comunidad por defecto.
  • Actualizar a SNMPv3 (que usa cifrado).
  • Restringir el acceso a usuarios legítimos mediante ACLs (Listas de Control de Acceso) (Página 505).
  • Auditar regularmente la red y proteger las credenciales.
  • Contramedidas LDAP:Cifrar el tráfico LDAP (SSL/STARTTLS).
  • Utilizar diferentes nombres de usuario y direcciones de correo electrónico.
  • Restringir el acceso a Active Directory (AD) por software.
  • Bloquear el acceso a AD para usuarios desconocidos (Página 505).
  • Crear cuentas de señuelo para confundir a los atacantes.
  • Contramedidas NFS:Implementar permisos adecuados (lectura/escritura solo para usuarios específicos).
  • Bloquear el puerto NFS 2049 con firewalls.
  • Asegurar la configuración de archivos como /etc/exports para restringir el acceso.
  • Desactivar la opción root_squash en /etc/exports.
  • Tunelizar NFS a través de SSH (Página 506).
  • Contramedidas SMTP:Ignorar mensajes de correo electrónico a destinatarios desconocidos.
  • Excluir información sensible en respuestas de correo.
  • Desactivar la función de retransmisión abierta.
  • Limitar conexiones para prevenir ataques de fuerza bruta.
  • Deshabilitar comandos EXPN, VRFY, y RCPT TO (Página 506).
  • Contramedidas SMB:Desactivar el protocolo SMB en servidores web y DNS.
  • Desactivar puertos TCP 139 y 445, y UDP 137 y 138 (Página 506).
  • Restringir el acceso anónimo a recursos compartidos mediante el registro.
  • Asegurar firewalls, implementar parches de seguridad y utilizar contraseñas fuertes (Página 507).
  • Contramedidas FTP:Implementar FTP seguro (SFTP o FTPS).
  • Implementar contraseñas fuertes y políticas de autenticación.
  • Asegurar la carga no restringida de archivos.
  • Desactivar cuentas FTP anónimas y monitorear las existentes (Página 507-508).
  • Contramedidas DNS:Restringir el acceso al resolutor.
  • Aleatorizar puertos de origen para evitar el envenenamiento de caché.
  • Auditar zonas DNS y parchear vulnerabilidades (Página 508).
  • Monitorear servidores de nombres.
  • Restringir transferencias de zona DNS.
  • Usar funciones resolutorias y autoritativas diferentes para denegación de servicio.
  • Usar servidores DNS aislados.
  • Desactivar la recursión DNS.
  • Endurecer el SO (Página 509).
  • Usar VPN para una comunicación segura.
  • Implementar autenticación de dos factores.
  • Usar DNS change lock y DNSSEC.
  • Usar registro DNS premium y evitar contactos de red estándar (Página 509).

6. Resumen del Módulo

Este módulo enfatiza que la enumeración es el proceso de recopilar información detallada sobre un objetivo después del reconocimiento inicial. Se han explorado diversas técnicas y herramientas utilizadas por los atacantes para enumerar NetBIOS, SNMP, LDAP, AD, NTP, NFS, SMTP, DNS, IPsec, VoIP, RPC, Unix/Linux, Telnet, FTP, TFTP, SMB, IPv6 y BGP. Además, se han proporcionado contramedidas esenciales para que las organizaciones puedan protegerse contra estas actividades, detectando brechas de seguridad y realizando análisis de vulnerabilidades en su infraestructura de red y sistemas (Página 510).

Visión General del Módulo

El Módulo 04 se enfoca en la fase de "Enumeración" dentro de las metodologías de hacking ético y contramedidas. Esta fase sigue a la fase de huella digital y escaneo de red, y tiene como objetivo principal la recopilación detallada de información sobre el sistema o la red objetivo. Se exploran los conceptos fundamentales de enumeración, diversas técnicas para recopilar información a través de diferentes protocolos y servicios (NetBIOS, SNMP, LDAP, NTP, NFS, SMTP, DNS, IPSec, VoIP, RPC, Linux/Unix, Telnet, FTP, TFTP, SMB, IPv6, BGP), y finalmente, las contramedidas para mitigar los riesgos asociados con la enumeración.

Objetivos de Aprendizaje Clave

Después de revisar el material del curso, deberías ser capaz de:

  • Explicar los conceptos de enumeración.
  • Demostrar diferentes técnicas para la enumeración de NetBIOS.
  • Explicar diferentes técnicas para la enumeración de SNMP.
  • Explicar diferentes técnicas para la enumeración de LDAP y Active Directory (AD).
  • Utilizar diferentes técnicas para la enumeración de NTP y NFS.
  • Explicar diferentes técnicas para la enumeración de SMTP y DNS.
  • Demostrar la enumeración de IPSec, VoIP, RPC, Linux/Unix, Telnet, FTP, TFTP, SMB, IPv6 y BGP.
  • Aplicar contramedidas de enumeración.

Conceptos Fundamentales de Enumeración

  • ¿Qué es la Enumeración? La enumeración es el proceso de extracción de nombres de usuario, nombres de máquinas, recursos de red, recursos compartidos y servicios de un sistema o red. En esta fase, un atacante crea conexiones activas con el sistema y envía consultas dirigidas para obtener más información sobre el objetivo. Esta información se utiliza para identificar vulnerabilidades, ayudar a explotar el sistema y obtener acceso no autorizado.
  • Información Recopilada durante la Enumeración:Recursos de red
  • Recursos compartidos de red
  • Tablas de enrutamiento
  • Configuración de auditoría y servicio
  • Detalles de SNMP y FQDN
  • Nombres de máquina
  • Usuarios y grupos
  • Aplicaciones y banners
  • Autorización: Todas las actividades de enumeración deben realizarse con la autorización adecuada para evitar actividades ilegales, independientemente de la política de la organización o las leyes.

Técnicas de Enumeración (por Protocolo/Servicio)

  1. Enumeración de NetBIOS:
  • Concepto: NetBIOS es una cadena ASCII de 16 caracteres utilizada para identificar dispositivos de red sobre TCP/IP.
  • Información Obtenida: Listas de equipos en un dominio, recursos compartidos, políticas y contraseñas, usuarios individuales.
  • Herramientas/Comandos: nbtstat (Windows), NetBIOS Enumerator, Nmap (script nbstat.nse), Global Network Inventory, Advanced IP Scanner, Hyena, Nsauditor Network Security Auditor.
  1. Enumeración de Usuarios (Windows) con PS Tools y Net View:
  • PS Tools: Suite de comandos para controlar y gestionar sistemas remotos. Incluye PsExec, PsFile, PsGetSid, PsKill, PsInfo, PsList, PsLoggedOn, PsLoglist, PsPasswd, PsShutdown.
  • Net View: Utilidad de línea de comandos para mostrar una lista de equipos en un grupo de trabajo especificado o recursos compartidos en un equipo específico.
  1. Enumeración SNMP (Simple Network Management Protocol):
  • Concepto: SNMP se utiliza para gestionar dispositivos de red. Tiene vulnerabilidades debido a la falta de auditoría y puede revelar información sensible.
  • Información Obtenida: Cuentas de usuario, dispositivos, información de red (tablas ARP, tablas de enrutamiento, tráfico), información del sistema.
  • Cadenas de Comunidad: public (solo lectura), private (lectura/escritura).
  • Herramientas/Comandos: SnmpWalk, Nmap (script snmp-processes), snmp-check, SoftPerfect Network Scanner, Network Performance Monitor, OpUtils, PRTG Network Monitor, Engineer's Toolset.
  • MIB (Management Information Base): Base de datos virtual que contiene la descripción formal de los objetos de red que gestiona SNMP.
  1. Enumeración LDAP (Lightweight Directory Access Protocol):
  • Concepto: Protocolo de Internet para acceder a servicios de directorio distribuidos. Permite a los atacantes consultar información sensible.
  • Información Obtenida: Nombres de usuario, direcciones, detalles departamentales, nombres de servidores.
  • Técnicas: Manual (Python con ldap3), Automatizada (Nmap con ldap-brute y ldap-enum-users).
  • Herramientas: Softerra LDAP Administrator, ldapsearch, AD Explorer, LDAP Admin Tool, LDAP Account Manager, LDAP Search.
  1. Enumeración NTP (Network Time Protocol):
  • Concepto: Utilizado para sincronizar relojes de equipos en red. Usa UDP puerto 123.
  • Información Obtenida: Lista de hosts conectados al servidor NTP, direcciones IP de clientes, nombres de sistema operativo (SO), IPs internas en la DMZ.
  • Herramientas/Comandos: ntpdate, ntptrace, ntpdc, ntpq, PRTG Network Monitor, Nmap, Wireshark, udp-proto-scanner, NTP Server Scanner.
  1. Enumeración NFS (Network File System):
  • Concepto: Permite a los usuarios acceder, ver, almacenar y actualizar archivos de forma remota en un sistema de archivos local.
  • Información Obtenida: Directorios exportados, listas de clientes conectados al servidor NFS, direcciones IP compartidas.
  • Herramientas/Comandos: rpcinfo, showmount, RPCScan, SuperEnum.
  1. Enumeración SMTP (Simple Mail Transfer Protocol) y DNS (Domain Name System):
  • SMTP: Utilizado para enviar correos electrónicos. Vulnerable a la enumeración de usuarios.
  • Comandos SMTP: VRFY (validar usuarios), EXPN (mostrar direcciones de alias/listas de correo), RCPT TO (definir destinatarios).
  • Herramientas: Nmap (scripts smtp-commands, smtp-enum-users, smtp-user-enum), Metasploit (auxiliary/scanner/smtp/smtp_enum), NetScanTools Pro, smtp-user-enum.
  • DNS: Traduce nombres de dominio a direcciones IP.
  • Transferencia de Zona DNS: Copia de la zona DNS de un servidor primario a uno secundario. Los atacantes pueden usar esto para obtener nombres de servidor, nombres de host, nombres de máquina, nombres de usuario, direcciones IP, alias, etc.
  • Herramientas/Comandos: dig (Linux), nslookup (Windows), DNSRecon.
  • Sondeo de Caché DNS (DNS Cache Snooping): Consultar un servidor DNS para una entrada de caché DNS específica para determinar si el dominio ha sido visitado.
  • Recurso no recursivo vs. Recursivo: Distintas formas de consultar el servidor DNS.
  • DNSSEC Zone Walking: Técnica de enumeración para obtener registros de dominio internos si la zona DNS no está configurada correctamente. Utiliza LDNS, DNSRecon, nsec3map, nsec3walker.
  • Enumeración DNS y DNSSEC con Nmap: Utiliza scripts Nmap para escanear subdominios, registros y direcciones IP.
  1. Otras Técnicas de Enumeración:
  • IPSec (Internet Protocol Security): Proporciona seguridad en la capa de red.
  • Herramientas: Nmap (nmap -sU -p 500), ike-scan (para descubrimiento de VPN IPSec).
  • VoIP (Voice over Internet Protocol): Permite llamadas de voz por Internet. Vulnerable a DoS, secuestro de sesión, spoofing de identificador de llamada.
  • Herramientas: Svmap, Metasploit.
  • RPC (Remote Procedure Call): Permite que los clientes y servidores se comuniquen para programas distribuidos.
  • Herramientas: Nmap (nmap -sR, nmap -T4), NetScanTools Pro.
  • Linux/Unix User Enumeration:Herramientas/Comandos: rusers, rwho, finger.
  • Telnet Enumeration: Protocolo de red para acceder a equipos remotos. Inseguro (credenciales en texto claro).
  • Herramientas: Nmap (nmap -p 23), Telnet NT-LM Authentication, telnet-brute.
  • SMB (Server Message Block) Enumeration: Protocolo para compartir archivos, impresoras y comunicaciones interprocesos en Windows.
  • Herramientas: Nmap (nmap -p 445 --script smb-protocols, nmap -p 445 --script smb-enum-users), SMBMap, enum4linux, nullinux, NetScanTool Pro.
  • FTP (File Transfer Protocol) y TFTP (Trivial File Transfer Protocol) Enumeration:FTP: Transfiere archivos sobre TCP, puerto 21. Ofrece poca seguridad.
  • TFTP: Protocolo de transferencia de archivos simplificado, UDP puerto 69. No garantiza la transmisión de archivos.
  • Herramientas: Nmap (nmap -p 21, nmap -p 69), Metasploit, PortQry.
  • IPv6 Enumeration:Concepto: Identifica sistemas informáticos, ubicación y enrutamiento en una red IPv6.
  • Herramientas: Enyx, IPv6 Hackit.
  • BGP (Border Gateway Protocol) Enumeration:Concepto: Protocolo de enrutamiento utilizado por ISPs para mantener tablas de enrutamiento grandes.
  • Herramientas: Nmap (nmap -p 179), BGP Toolkit.

Contramedidas de Enumeración

Es esencial implementar contramedidas para protegerse contra las técnicas de enumeración. Algunas contramedidas clave incluyen:

  • SNMP: Deshabilitar el servicio SNMP si no es necesario, cambiar las cadenas de comunidad predeterminadas, actualizar a SNMPv3 (que cifra contraseñas y mensajes), implementar políticas de grupo para restringir conexiones anónimas, garantizar que las sesiones nulas y los recursos compartidos no nulos no sean accesibles, bloquear TCP/UDP puerto 161.
  • LDAP: Cifrar el tráfico LDAP (SSL/STARTTLS), seleccionar nombres de usuario diferentes de las direcciones de correo electrónico, restringir el acceso a Active Directory (AD) por software (ej. Citrix), no usar NT LAN Manager (NTLM) o Kerberos para autenticación básica, registrar accesos a AD.
  • NFS: Restringir permisos (lectura/escritura) a usuarios específicos en archivos exportados, implementar reglas de firewall para bloquear NFS puerto 2049, asegurar la configuración de archivos de configuración como /etc/exports, etc/smb.conf, /etc/hosts, deshabilitar la opción root_squash, usar túneles SSH para tráfico NFS, mitigar privilegios de datos, asegurar que los usuarios no ejecuten suid y sgid.
  • SMTP: Ignorar mensajes de correo electrónico a destinatarios desconocidos, excluir información sensible del servidor de correo, deshabilitar la función de retransmisión abierta, limitar el número de conexiones aceptadas para prevenir ataques de fuerza bruta, deshabilitar comandos EXPN, VRFY, RCPT TO, identificar spammers con aprendizaje automático.
  • SMB: Deshabilitar el protocolo SMB en servidores web y DNS, deshabilitar puertos TCP 139 y 445, restringir acceso anónimo a recursos compartidos, deshabilitar el servicio "Cliente para redes Microsoft" y "Uso compartido de impresoras y archivos para redes Microsoft", asegurar que el firewall de Windows y el software de punto final estén actualizados, implementar contraseñas seguras, registrar auditorías, realizar monitoreo activo del sistema, usar VPNs.
  • FTP: Implementar FTP seguro (SFTP, SSH, FTPS, SSL), contraseñas fuertes, restringir la subida de archivos no restringidos, deshabilitar cuentas FTP anónimas, restringir acceso por IP o dominio, configurar ACL, restringir intentos de inicio de sesión, usar SSL/FTPS para autenticación, no ejecutar servicios públicos como correo o web en un solo servidor FTP, implementar análisis de vulnerabilidad.
  • DNS: Restringir el acceso al resolvedor, aleatorizar puertos de origen, auditar zonas DNS, parchear vulnerabilidades conocidas, monitorear servidores de nombres, restringir transferencias de zona, usar funciones de resolvedor y autoritativas separadas, usar servidores DNS aislados, deshabilitar la recursión DNS, fortalecer el sistema operativo, usar VPN, autenticación de dos factores, usar DNSSEC, usar registro DNS premium, podar archivos de zona DNS, mantener servidores DNS internos y externos separados, asegurar que los registros DNS antiguos o no utilizados sean eliminados, restringir consultas de solicitudes version.bind.

Cuestionario de Preguntas Cortas

Responde cada pregunta en 2-3 oraciones.

  1. ¿Cuál es el propósito principal de la fase de Enumeración en el hacking ético?
  2. Menciona al menos tres tipos de información que un atacante busca recopilar durante la enumeración.
  3. ¿Qué son las "cadenas de comunidad" en SNMP y qué significan sus valores comunes?
  4. Explica brevemente la importancia de la transferencia de zona DNS en el contexto de la enumeración.
  5. ¿Qué diferencia hay entre un comando SMTP VRFY y un comando EXPN?
  6. ¿Por qué Telnet es considerado un protocolo inseguro para la enumeración y el acceso remoto?
  7. Nombra dos herramientas comúnmente utilizadas para la enumeración de NetBIOS.
  8. Describe una contramedida clave para protegerse contra la enumeración de SNMP.
  9. ¿Cuál es la función del protocolo TFTP y por qué se considera menos seguro que FTP?
  10. ¿Qué es DNSSEC Zone Walking y qué información puede revelar?

Clave de Respuestas del Cuestionario

  1. El propósito principal de la fase de Enumeración es extraer información detallada sobre el objetivo, como nombres de usuario, nombres de máquinas, recursos compartidos y servicios. Esta información es crucial para identificar vulnerabilidades y explotar el sistema.
  2. Durante la enumeración, un atacante busca recopilar información como recursos de red, recursos compartidos de red, tablas de enrutamiento, nombres de máquina, y usuarios y grupos.
  3. Las cadenas de comunidad en SNMP son contraseñas utilizadas para acceder y configurar un agente SNMP. Los valores comunes son "public" para acceso de solo lectura y "private" para acceso de lectura/escritura, las cuales son a menudo valores predeterminados y vulnerables.
  4. La transferencia de zona DNS es importante porque permite a un atacante obtener una copia completa de la zona DNS de un servidor. Esto puede revelar nombres de servidor, nombres de host, direcciones IP, alias y otra información valiosa de la organización.
  5. El comando SMTP VRFY se utiliza para validar la existencia de un usuario en el servidor SMTP. En contraste, el comando EXPN muestra las direcciones de entrega reales de los alias de correo y las listas de correo.
  6. Telnet se considera inseguro porque transmite las credenciales de inicio de sesión en formato de texto claro a través de la red. Esto permite que un atacante intercepte fácilmente la información y obtenga acceso no autorizado.
  7. Dos herramientas comúnmente utilizadas para la enumeración de NetBIOS son nbtstat (una utilidad de Windows) y Nmap, que utiliza el script nbstat.nse.
  8. Una contramedida clave para protegerse contra la enumeración de SNMP es deshabilitar el servicio SNMP si no es esencial para las operaciones de red. Si es necesario, se deben cambiar las cadenas de comunidad predeterminadas y considerar la actualización a SNMPv3 para el cifrado.
  9. TFTP (Trivial File Transfer Protocol) es un protocolo simple de transferencia de archivos que utiliza UDP y no garantiza la entrega de datos. Se considera menos seguro que FTP porque carece de mecanismos de autenticación y seguridad de datos, transmitiendo archivos sin cifrar.
  10. DNSSEC Zone Walking es una técnica de enumeración DNS que explota una configuración incorrecta en DNSSEC para obtener registros de dominio internos. Puede revelar información sobre la infraestructura de la red, como nombres de host, direcciones IP y la estructura del dominio.

Preguntas de Formato de Ensayo

  1. Compara y contrasta al menos tres protocolos de red diferentes (por ejemplo, SNMP, LDAP, SMTP) en términos de la información que un atacante puede enumerar y las técnicas o herramientas específicas utilizadas para cada uno.
  2. Explica cómo la fase de enumeración se basa en la información obtenida de las fases previas de huella digital y escaneo de red. Discute cómo la enumeración proporciona una comprensión más profunda para la planificación de ataques posteriores.
  3. Detalla la importancia de implementar contramedidas de enumeración. Selecciona al menos cuatro tipos de servicios o protocolos cubiertos en el módulo y describe al menos dos contramedidas específicas para cada uno, justificando por qué son efectivas.
  4. Analiza el papel de las "cadenas de comunidad" de SNMP y la "transferencia de zona DNS" como puntos débiles comunes explotados durante la enumeración. Discute cómo estos elementos pueden ser utilizados por un atacante y qué medidas preventivas deberían tomar las organizaciones.
  5. Discute la ética de la enumeración en el contexto del hacking ético. ¿Cuáles son las consideraciones clave que un hacker ético o pen tester debe tener en cuenta al realizar actividades de enumeración, y por qué es crucial la autorización previa?

Glosario de Términos Clave

  • Enumeración: El proceso de extraer información detallada (nombres de usuario, nombres de máquinas, recursos de red, servicios) de un sistema o red objetivo para identificar vulnerabilidades.
  • NetBIOS (Network Basic Input/Output System): Un protocolo de interfaz de programación de aplicaciones (API) que permite a las aplicaciones comunicarse en una red de área local. Utilizado en la enumeración para descubrir recursos de red.
  • SNMP (Simple Network Management Protocol): Un protocolo estándar de Internet para monitorear y gestionar dispositivos de red. Las implementaciones vulnerables pueden ser explotadas para la enumeración.
  • Cadenas de Comunidad SNMP: Contraseñas utilizadas para acceder y configurar un agente SNMP. Las cadenas predeterminadas como "public" y "private" son un riesgo de seguridad.
  • MIB (Management Information Base): Una base de datos virtual de objetos de red que pueden ser monitoreados y controlados usando SNMP.
  • LDAP (Lightweight Directory Access Protocol): Un protocolo de aplicación para acceder y mantener servicios de información de directorio distribuidos sobre una red IP.
  • Active Directory (AD): Un servicio de directorio desarrollado por Microsoft para redes de dominio de Windows. Proporciona servicios centralizados de autenticación y autorización.
  • NTP (Network Time Protocol): Un protocolo de red para sincronizar los relojes de los sistemas informáticos a través de redes de datos de latencia variable.
  • NFS (Network File System): Un sistema de archivos distribuido que permite a un usuario en un equipo cliente acceder a archivos a través de una red como si estuvieran almacenados localmente.
  • SMTP (Simple Mail Transfer Protocol): Un protocolo de comunicación para transmitir correo electrónico a través de redes IP.
  • VRFY (Verify): Un comando SMTP utilizado para verificar si un nombre de usuario existe en el servidor.
  • EXPN (Expand): Un comando SMTP utilizado para obtener las direcciones de entrega reales de listas de correo o alias.
  • RCPT TO (Recipient To): Un comando SMTP que especifica el destinatario del correo electrónico.
  • DNS (Domain Name System): Un sistema de nomenclatura jerárquico y descentralizado para equipos, servicios o cualquier recurso conectado a Internet o una red privada.
  • Transferencia de Zona DNS: Un mecanismo que replica la información de la base de datos DNS de un servidor DNS primario a un servidor secundario. Una transferencia no segura puede filtrar información.
  • Sondeo de Caché DNS (DNS Cache Snooping): Una técnica de enumeración donde un atacante consulta a un servidor DNS para una entrada de caché específica para determinar si ha visitado un dominio.
  • DNSSEC (Domain Name System Security Extensions): Una suite de extensiones del DNS que proporciona a los clientes de DNS (resolvedores) la validación de la autenticidad y la integridad de los datos de DNS.
  • DNSSEC Zone Walking: Una técnica para obtener información de registros DNS internos explotando las configuraciones de DNSSEC.
  • IPSec (Internet Protocol Security): Un conjunto de protocolos que asegura las comunicaciones por Internet cifrando y autenticando cada paquete IP.
  • VoIP (Voice over Internet Protocol): Una tecnología que permite realizar llamadas de voz y otras comunicaciones multimedia a través de redes IP.
  • SIP (Session Initiation Protocol): Un protocolo de señalización utilizado para iniciar, mantener, modificar y terminar sesiones de comunicación en tiempo real que implican voz, video y mensajería.
  • RPC (Remote Procedure Call): Un protocolo que permite a un programa de computadora ejecutar código en otro espacio de direcciones (normalmente en una computadora remota) sin que el programador tenga que codificar explícitamente los detalles de la interacción remota.
  • SMB (Server Message Block): Un protocolo de aplicación de red utilizado para proporcionar acceso compartido a archivos, impresoras, puertos seriales y otras comunicaciones entre nodos en una red.
  • FTP (File Transfer Protocol): Un protocolo de red estándar utilizado para la transferencia de archivos de computadora entre un cliente y un servidor en una red de computadora.
  • TFTP (Trivial File Transfer Protocol): Una versión simple del FTP, que utiliza UDP y no proporciona autenticación ni garantías de entrega.
  • BGP (Border Gateway Protocol): Un protocolo de enrutamiento utilizado para intercambiar información de enrutamiento y accesibilidad entre sistemas autónomos (AS) en Internet.
  • Nmap: Una herramienta de código abierto para la exploración de red y auditorías de seguridad, utilizada ampliamente en la enumeración.
  • Metasploit Framework: Una plataforma de seguridad ofensiva que permite el desarrollo, ejecución y pruebas de exploits, muy útil para la enumeración y explotación de vulnerabilidades.

convert_to_textConvertir en fuente

Themes