En este primer vídeo dividido en 2 os dejo una segunda parte de la configuracion, siguiendo un esquema de las maquinas virtuales necesarias para hacer un firewall. Una de ellas hace de firewall (un linux) y otras dos serán dos subredes (una linux y un XP)…CONTINUARA
Hemos visto cómo un ataque tan peligroso puede ser llevado a cabo con significativa facilidad haciendo uso de una herramienta que está a disposición de todo el mundo.Si cualquier aficionado es capaz de logar escuchas protegidas y privadas, ¿qué no podrá hacer un experto en redes?. Muchos son los administradores de redes que adjudican tiempo y dinero a soluciones a nivel de red como pueden ser firewalls, firewallsbridge, sistemas de detección y prevención de intrusiones (IDS, IPS respectivamente), etc… pero que son inútiles en este tipo de ataques, en donde el nivel más básico y bajo el cual se sustentan todos los demás niveles queda desprotegido ante cualquier aficionado. Así que no deje descuidada la red si desea mantener la privacidad de sus datos. En caso de pertenecer a una red en donde usted contemple que la seguridad queda en entredicho, no dude consultar al administrador y hacerle saber el problema. Por lo demás, tomemos siempre precauciones, es mejor ser desconfiado.
Mike Mars
http://www.rfceditor.org/rfc/rfc826.txt
http://bulma.net/body.phtml?nIdNoticia=1193
http://ettercap.sourceforge.net
http://ditec.um.es/laso/docs/tuttcpip/3376c28.html#figethfram
http://www.maestrosdelweb.com/editorial/sniffers/
5.1 ARPwatch
En sistemas Linux la herramienta ARPWatch ( http://wwwnrg.ee.lbl.gov/) nos puede servir para detectar el uso del envenenamiento ARP en nuestro sistema. Con ARPWatch podemos comprobar la correspondencia entre pares IPMAC (Ethernet). En caso de que un cambio en un par se produzca (esto es, se escuche en el interfaz de red del sistema), ARPWatch envía un correo de notificación del suceso a la cuenta root o administrador del sistema con un mensaje tipo «FLIP FLOP o Change ethernet address» . También podemos monitorizar la existencia de nuevos host (aparición de una nueva MAC en la red).
Una de las herramientas más potentes que hacen uso del envenenamiento ARP en entornos GNU/Linux es Ettercap (http://ettercap.sourceforge.net). Ésta es una herramienta con licencia GPL diseñada con el fin de analizar , filtrar, logear y escuchar determinado tráfico circulando por la red. Soporta disección activa y pasiva de muchos protocolos (incluso los cifrados). Es capaz de realizar ataques MITM (Man in the Middle) entre diferentes hosts de la red , con el fin de entrometerse en su comunicación y obtener información valiosa tipo contraseñas POP, SSH, Telnet, FTP, Https, etc…
Decir que la mayoría de los sistemas operativos (excepto linux 2.4 y solaris 8) no implementan estados en el protocolo arp (aceptan arp replys sin haber enviado antes un request), por lo que facilmente aceptan respuestas ARP y en consecuencia modifican su tabla ARP en caché con cada arpreply recibido.
En algunos ambientes podemos necesitar que nuestro equipo pase un poco más desapercibido de lo normal. Para esto, entre otras acciones, podemos desactivar la respuesta a todos los mensajes ICMP (Internet Control Message Protocol) por parte de nuestro equipo.
Esto implica que cualquier ping que se haga a nuestro sistema no será respondido, y también se vería afectado el traceroute.
Por lo tanto, si nos interesa activar este comportamiento, abrimos un terminal (Aplicaciones > Accesorios > Terminal) y ejecutamos el comando que necesitemos:
sudo -s «echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all»
Para volverlo a activarlo de nuevo:
sudo -s «echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all»
Para pararlo tendremos que pulsar Control+C. Entonces si obtenemos 100% packet loss, tenemos el ping deshabilitado. Y si obtenemos 0% packet loss, tenemos el ping habilitado.
Otra forma es decirle las veces que quereis hacer el ping con el siguiente comando:
(Repetir 5 veces el ping) : ping -c5 127.0.0.1
(Repetir 10 veces el ping) : ping -c10 127.0.0.1
CURSO DE REDES 