6.3. Funcionamiento FreeNAS

Practica 6.3. Funcionamiento de FreeNas

Instalar FreeNAS en VMvare (máquinas virtuales).

Aquí vemos unas capturas de imágenes de los pasos necesarios para una correcta instalación:

Seleccionar la opción Custom para elegir las opciones adecuadas:

Marcar la opción Installer disc image file(iso): y buscamos el lugar donde tengo guardado el archivo ISO con FreeNAS.

Seleccionamos el sistema Operativo adecuado, en mi caso FreeBSD:

Escribimos el nombre que tendrá la máquina virtual y el lugar donde quedará guardada:

Seleccionar el número de procesadores que usará:

Seleccionar la memoria RAM que usará la máquina:

Elegir el modo de conexión de red de nuestra tarjeta de red:

Escribimos el tamaño que va a tener el disco duro donde se instalará freeNAS:

Crear dos discos duros además del que se crea en la instalación:

Marcar el tamaño que van a tener:

Arrancar la máquina desde la ISO:

Al arrancar la máquina virtual con freeNAS, nos saldrá un cuadro, donde daremos a Intro para seleccionar la opción por defecto de "1 Instalar / Actualizar a disco duro / flash del dispositivo, etc”.

El siguiente menú, mostrará una lista de todas las unidades disponibles, incluidas las unidades flash USB insertadas que comienzan con "da".

Utiliza las teclas de flecha para resaltar el dispositivo USB o compact flash y luego tab para OK y pulse enter. FreeNAS emitirá un aviso, recordándole no instalar en un disco duro.

Una vez completada la operación, saldrá la siguiente imagen:

Pulse Intro y volverá al primer menú (primera imagen de la instalación). Marque la opción "Reiniciar el sistema 3" y pulse Enter.

Retire el CDROM (en máquina virtual, es en configuración de la misma y hacer que no vuelva a instalar el proceso anteriormente echo).

Arrancamos de nuevo:

Asegurarse de que el dispositivo instalado de entrada arranque por primera vez en el BIOS para que el sistema arranque desde él. FreeNAS ahora debería ser capaz de arrancar en el menú de configuración de la consola.

Nos dará una dirección IP que ingresaremos en un navegador web (IE, Chrome, Firefox, safari)

OJO porque en google Chrome no funciona completamente. Usar Firefox.

Una vez ingresados en la dirección IP de antes, nos saldrá una pantalla del FreeNAS:

1. Primero accederemos a configurar una cuenta en el sistema:

El nombre “admin” y contraseña será “admin” (por defecto) luego se puede cambiar por la que se quiera.

Vamos a la pestaña de configuración global, permite configurar la interfaz de configuración no específicos de la red.

2. El dominio de nombre de host se rellena automáticamente, pero se puede cambiar para satisfacer las necesidades de la red local. Los otros ajustes son opcionales y pueden reducir la seguridad de la FreeNAS del sistema (por lo que es accesible por Internet) si no están debidamente protegidos por un firewall.

3. Los discos de almacenamiento son independientes del sistema operativo FreeNAS, que en realidad no tienen un NAS (Network-Attached Storage) del sistema hasta que se configuren los discos por lo menos en un solo volumen.

Si hace clic en Almacenamiento -> Volúmenes -> Auto volumen de importación, puede configurar FreeNAS para utilizar una base de software de UFS o volumen de ZFS RAID. Volúmenes son compatibles UFS GEOM bandas (RAID 0), UFS espejos geom (RAID 1), UFS GEOM RAID3, así como piscinas existentes de ZFS. Si tiene un volumen RAID por software existente, podrá seleccionarlo en el menú desplegable.

Una vez finalizada la importación es posible que tenga que actualizar su navegador para que aparezca en la vista de todos la lista de volúmenes.

La pantalla de volumen de importación se utiliza para importar discos con sistemas de archivos existentes para que puedan ser configurados para su uso por FreeNAS. Si hace clic en Importar de volumen, verá la pantalla que se muestra:

Introduzca un nombre para el volumen, utilice el menú desplegable para seleccionar el volumen que desea importar y seleccione el tipo de sistema de ficheros en el disco. En este momento, es compatible con la importación de discos que han sido formateados con UFS, NTFS, MS-DOS, o EXT2.

4. Si tiene los discos sin formato o si desea sobrescribir el sistema de ficheros (y datos) en los discos, utilice la pantalla para crear volúmenes para dar formato a los discos deseados en un volumen UFS o una agrupación de ZFS.

Si hace clic en Almacenamiento -> Volúmenes -> Crear volumen, verá una pantalla similar al ejemplo:

A continuación podemos visualizar los volúmenes creados:

5. Ahora configuramos los DNS para asociar una dirección IP del sistema. Después de configurar el DNS, no se olvide de iniciar el servicio de DNS en Servicios -> Servicios de Control.

6. Pasamos a configurar un servidor FTP, usando nuestro, servidor, usuario y contraseña para poder conectarnos desde freeNAS:

Nos concetamos a filezilla con el usuario anonymous clave anonymous:

Y probamos a subir algún fichero al servidor.

7. Pasamos a configurar un CIFS, protocolo de red que ofrece servicios de archivos (típicamente) para equipos con Windows. Antes de configurar este servicio, debe primero crear sus acciones en el uso compartido CIFS -> Acciones CIFS -> Compartir Agregar CIFS. Después de configurar este servicio, vaya a Servicios -> Panel de control para iniciar el servicio.

8. Procedemos a configurar SSH para permitir pasar archivos por una red encriptada. Creamos una cuenta de usuario para todos los usuarios que requieren acceso SSH en cuenta -> Usuarios -> Usuario Agregar. Al crear usuarios, establezca su directorio a la base de datos de volumen / que desea que tengan acceso.

9. Por último configuramos ISCSI, si requerimos CHAP o CHAP mutuo debemos crear un acceso autorizado.

Veremos que lo hemos creado correctamente:

Con esto queda explicado el Funcionamiento con FreeNAS.

6.2. Programa Snort (Detección de Intrusos)

IDS – SNORT

Snort es un IDS o Sistema de detección de intrusiones basado en red (NIDS). Implementa un motor de detección de ataques y barrido de puertos que permite registrar, alertar y responder ante cualquier anomalía previamente definida como patrones que corresponden a ataques, barridos, intentos aprovechar alguna vulnerabilidad, análisis de protocolos, etc., conocidos. Todo esto en tiempo real.

Snort está disponible bajo licencia GPL, gratuito y funciona bajo plataformas Windows y GNU/Linux. Es uno de los más usados y dispone de una gran cantidad de filtros o patrones ya predefinidos, así como actualizaciones constantes ante casos de ataques, barridos o vulnerabilidades que vayan siendo detectadas a través de los distintos boletines de seguridad.

Puede funcionar como Sniffer (podemos ver en consola y en tiempo real qué ocurre en nuestra red, todo nuestro tráfico), registro de paquetes (permite guardar en un archivo los logs para su posterior análisis, un análisis offline) o como un IDS normal (en este caso NIDS).

1.       En primer lugar instalaremos la aplicación bajo GNU/Linux mediante: aptitude install Snort

2.       Snort en modo Sniffer y registro de paquetes: Snort –dev –l ./log –h 192.168.1.9/24

En este modo (dev) visualizaremos las cabeceras de los paquetes TCP/IP, es decir, en modo snifferSniffer: modo verbouse (v) mostrará las cabeceras IP, TCP, UDP y ICMP, visualizará los campos de datos que pasan por la interface de red (d), y las cabeceras a nivel de enlace (e).

Las opciones siguientes –l sirve para indicar el directorio de logs y –h para almacenar registros de tráfico de la red o host que se le indique.

3.       Filtros: para monitorizar tan solo el tráfico deseado de un determinado puerto, se puede indicar por ejemplo: Snort –vd host 192.168.1.5 and dst port 8080 En el cual solo se mostrará el tráfico del host 192.168.1.5 con puerto de destino 8080.

4.       IDS: el modo de detección de intrusos de red se activa añadiendo a la línea de comandos de Snort la opción –c Snort.conf  En este archivo, Snort.conf, se guarda toda la configuración de las reglas, preprocesadores y otras configuraciones necesarias para el funcionamiento en modo NIDS. Por tanto podemos ejecutar: Snort –dev –l ./log –h 192.168.1.0/24 –c ../etc/Snort.conf

5.       Modos de alerta: hay varias maneras de configurar la salida de las alertas, el modo en que se almacenarán éstas en el archivo alert.ids  Snort dispone de siete modos de alertas en la línea de órdenes: completo, rápido, socket, syslog, smb (WinPopup), consola y ninguno.

Como ejemplo, en modo de alerta completa (-A Full) nos devolverá información sobre: tiempo, mensaje de la alerta, clasificación, prioridad de la alerta, IP y puerto de origen/destino e información completa de las cabeceras de los paquetes registrados.

Snort –A full –dev –l ./log –h 192.168.1.0/24 –c ../etc/snort.conf

ESTA PRÁCTICA NO HA DADO TIEMPO A RELIZARLA EN CLASE.

6.1. Funcionamiento de Programa Cain & Abel

Práctica 6.1. Aplicación Cain & Abel

La monitorización del tráfico de red es un aspecto fundamental para analizar qué está sucediendo en la misma, y poder tomar precauciones y medidas de seguridad en la misma.

Herramientas como Wireshark, NMAP o Cain & Abel permiten realizar una monitorización de qué equipos se encuentran conectados en una red y qué puertos y aplicaciones utilizan.

En nuestro caso vamos a realizar una serie de prácticas que permiten ver las vulnerabilidades de protocolos como ARP y DNS, y de este modo tomar ciertas precauciones.

Emplearemos una herramienta para sistemas Windows denominada Cain & Abel, aunque para GNU/Linux podemos emplear ETTERCAP que posee similares prestaciones.

Instalamos el programa Cain:

Pulsamos en Next para comenzar la instalación:

Aquí podemos ver la pantalla principal del programa instalado:

Arrancamos el resto de equipos dentro de la red, que vamos a analizar: en mi caso un debian linux y un Ubuntu Linux.

Desde la maquina windows 7 donde tenemos Cain, hacemos un ping al resto de equipos para comprobar que tenemos conexión entre ellos, y comprobamos sus direcciones MAC:

En primer lugar seleccionaremos la pestaña superior Sniffer y la inferior Hosts. Pulsaremos sobre el botón superior de sniffing, esto arranca el Sniffer.

Después con el botón derecho pulsamos sobre scan MAC Addresses:

Escaneará nuestra red local y nos dará información (IP y MAC) de qué equipos se encuentran en red con nuestro equipo. Podemos seleccionar un rango de direcciones en las que va a analizar:

ARP POISONING

El ARP Spoofing, también conocido como ARP Poisoning o ARP Poison Routing, es una técnica usada para infiltrarse en una red Ethernet conmutada (basada en switch y no en hubs), que puede permitir al atacante monitorizar paquetes de datos en la LAN (red de área local), incluso modificar el tráfico.

El principio de ARP Spoofing es enviar mensajes ARP falsos (falsificados, o spoofed) a los equipos de la LAN.

Normalmente la finalidad es asociar la dirección MAC del atacante con la dirección IP de otro equipo, como por ejemplo la puerta de enlace predeterminada (gateway). De esta forma cualquier tráfico dirigido a la dirección IP de ese equipo suplantado (por ejemplo el gateway), será enviado al atacante, en lugar de a su destino real. El atacante, puede entonces elegir, entre reenviar el tráfico a el equipo real (ataque pasivo o escucha, empleado en MitM) o modificar los datos antes de reenviarlos (ataque activo).

Para realizar un ataque ARP Poisoning o de envenenamiento ARP, seleccionamos la pestaña inferior ARP, y pulsaremos el botón superior +.

Seleccionaremos de los equipos de nuestra LAN, porqué equipo queremos hacernos pasar (columna izquierda) y en qué equipos queremos infectar su tabla ARP (columna derecha) con una entrada de nuestra MAC asociada a la IP del equipo a suplantar.   Tenemos que señalar los equipos de la derecha:

Cogemos el equipo del compañero en columna izquierda y lo usamos para envenenar al equipo 103 que es otro compañero. Entonces todos los que envíen paquetes al equipo 103 me llegan a mí.

Me voy a hacer pasar por el equipo con IP acabada en 37:

Voy a envenenar al equipo con IP terminada en 38:

Seleccionamos y pulsamos el botón ARP amarillo

Todo el tráfico que manden entre el equipo con IP 37 y el equipo con IP 38, será capturado por Cain en mi máquina:

Probamos haciendo un ping entre la maquina IP 37 y la de IP 38:

En primer lugar la MAC del equipo infectado era la que vemos aquí con IP 38:

Después de realizar el envenenamiento disponemos de dos entradas de la misma MAC.

En mi equipo con IP 37, vemos que la MAC del equipo IP 38 y IP 39 son la misma (MAC real de mi equipo IP 39:

En mi equipo con IP 38, vemos que la MAC del equipo IP 37 y IP 39 son la misma (MAC real de mi equipo IP 39):

Y vemos como esta capturando el trafico:

Mediante esta técnica es posible monitorizar el tráfico que va dirigido al router y rastrear protocolos no seguros como FTP, HTTP, POP, SMTP, Telnet o FTP, y de esta forma obtener credenciales.

PHARMING

Es posible realizar una inserción en las tablas locales de nombres de dominio, posibilitando un redireccionamiento a un IP con una web falsa. Seleccionando la pestaña inferior ARP, y la opción APR-DNS podemos crear entradas de nombres de dominio con IP falsas.

Antes de usar PHARMING vamos a envenenar el equipo con IP 37 y nos hacemos pasar por el router para que todo el tráfico que vaya dirigido al router pase por mi equipo:

Aquí vemos como después de hacer desde la máquina victima un ping a google.es nos captura el tráfico de la red:

Ahora ya podemos pasar a demostrar el funcionamiento de PHARMING.

Pulsamos sobre la pestaña inferior APR y en la tabla de izquierda pulsamos sobre APR-DNS:

Pulsamos con el botón derecho y le damos a add list:

Podemos añadir cualquier entrada falsa del nombre de dominio, como esta:

La IP que le hemos puesto al pulsar en Resolve, hemos escrito www.elmundo.es  de tal forma que al acceder desde el navegador a google en la máquina víctima le va a redirigir a elmundo.es:

Quedaría de esta forma:

Después de realizar DNS Spoofing, al hacer ping a googles.es desde la maquina victima nos envía a una dirección IP falsa (en mi caso la IP de elmundo.es me mostrará):

Si abrimos el navegador y accedemos a www.google.es nos llevara a la dirección IP que le hemos puesto en su lugar (en mi caso elmundo.es).

Automáticamente se abre:

Las falsificaciones de sitios web donde se hacen uso de credenciales mediante formularios, ponen en peligro nuestras contraseñas y por tanto la privacidad e integridad de nuestros datos.

Recomendaciones:

Para evitar este tipo de ataques se recomienda entre otras acciones, el uso de tablas ARP estáticas, o al menos, entradas estáticas como la que da acceso a la puerta de enlace, ya que la mayoría del tráfico pasa a través de esta IP. Se puede realizar mediante el comando:

arp –s IP MAC

En redes grandes con gran cantidad de administración no es una buena solución, realizar esta configuración a mano. Para esos casos lo mejor es monitorizar los intentos de modificación de tablas ARP, por ejemplo mediante software específico de detección de intrusos (IDS) como SNORT, o específicos de intentos de duplicados ARP: bajo GNU/Linux Arpwatch o en windows DecaffeinatID o realizar una monitorización especifica mediante Wireshark que es capaz de detectar intentos de duplicados ARP.

En el caso de DNS Spoofing, debemos tener especial precaución con las falsificaciones de sitios web, comprobando en los sitios web que enviamos credenciales (mail, redes sociales, banca, comercio online, etc.) que emplean protocolos seguros, como HTTPS, certificado digital que permita ver su autenticidad, y otros aspectos como la veracidad de su URL, o que nunca nos pedirán por otras vías de comunicación (teléfono o mail) el envío de dichas credenciales.

Con esto queda demostrado el funcionamiento del Programa Cain & Abel desde Windows 7.