UNIVERSIDAD ECCI

INGENIERÍA DE SISTEMAS

SEGURIDAD INFORMATICA
LABORATORIO DE SEGURIDAD INFORMATICA

PRÁCTICA # 1

CAPTURA Y ANÁLISIS DE TRÁFICO MEDIANTE WIRESHARK

OBJETIVOS

1.- Utilizar el analizador de tráfico para capturar datos.

2.- Analizar los datos que circulan por la red.
3.- Analizar el funcionamiento de los protocolos de comunicación.
Mediante el tráfico capturado.

INTRODUCCIÓN

Protocolo

Es un conjunto de reglas usadas por computadoras para comunicarse

unas con otras a través de una red. Un protocolo es una regla o estándar que
controla o permite la comunicación en su forma más simple, un protocolo
puede ser definido como las reglas que dominan la sintaxis, semántica y
sincronización de la comunicación. Los protocolos pueden ser implementados
por hardware, software, o una combinación de ambos. A su más bajo nivel, un
protocolo define el comportamiento de una conexión de hardware.
 El protocolo TCP/IP fue creado para las comunicaciones en Internet. Para
que cualquier computador se conecte a Internet es necesario que tenga
instalado este protocolo de comunicación.

 Estrategias para mejorar la seguridad (autenticación, cifrado).

 Cómo se construye una red física.
 Cómo los computadores se conectan a la red.

Algunos protocolos.

TCP: (Protocolo de Control de Transmisión) es un protocolo orientado a

conexión, es decir, que permite que dos máquinas que están comunicadas
controlen el estado de la transmisión.
Las principales características del protocolo TCP son las siguientes:

 TCP permite colocar los datagramas nuevamente en orden cuando

vienen del protocolo IP.
 TCP permite que el monitoreo del flujo de los datos y así evitar la
saturación de la red.
 TCP permite que los datos se formen en segmentos de longitud variada
para "entregarlos" al protocolo IP.
 TCP permite multiplexar los datos, es decir, que la información que viene
de diferentes fuentes (por ejemplo, aplicaciones) en la misma línea
pueda circular simultáneamente.
 Por último, TCP permite comenzar y finalizar la comunicación
amablemente.

UDP: (Protocolo de datagrama de usuario) es un protocolo no orientado a

conexión de la capa de transporte del modelo TCP/IP. Este protocolo es muy
simple ya que no proporciona detección de errores (no es un protocolo
orientado a conexión).

ICMP: (Protocolo de mensajes de control de Internet) es un protocolo que

permite administrar información relacionada con errores de los equipos en red.
Si se tienen en cuenta los escasos controles que lleva a cabo el protocolo IP,
ICMP no permite corregir los errores, sino que los notifica a los protocolos de
capas cercanas. Por lo tanto, el protocolo ICMP es usado por todos los
ROUTERS para indicar un error (llamado un problema de entrega).

ARP: permite que se conozca la dirección física de una tarjeta de interfaz de

red correspondiente a una dirección IP. Por eso se llama Protocolo de
Resolución de Dirección (Address Resolution Protocol).
IPC/IPX: Protocolo nativo Novell. Es ruteable, pero en Internet sólo se puede
transportar si se encapsula sobre IP.

DNS: (Domain Name Service) es un sistema de nombres que permite traducir

de nombre de dominio a dirección IP y viceversa. Aunque Internet sólo funciona
en base a direcciones IP, el DNS permite que los humanos usemos nombres
de dominio que son bastante más simples de recordar.

HTTP: (protocolo de transferencia de hipertexto) es el protocolo usado en cada

transacción de la World Wide Web.

Software de rastreo

El software de rastreo de rutas es una utilidad que enumera las redes

que atraviesan los datos desde el dispositivo del usuario que los origina hasta
una red de destino remoto.

Wireshark

Es un analizador de protocolos de software o una aplicación “husmeador

de paquetes” que se utiliza para el diagnóstico de fallas de red, verificación,
desarrollo de protocolo y software y educación. Es un husmeador de paquetes
(también conocido como un analizador de red o analizador de protocolos) es un
software informático que puede interceptar y registrar tráfico de datos pasando
sobre una red de datos. Mientras el flujo de datos va y viene en la red, el
husmeador “captura” cada unidad de datos del protocolo (PDU) y puede
decodificar y analizar su contenido de acuerdo a la RFC correcta u otras
especificaciones.

Wireshark está programado para reconocer la estructura de los

diferentes protocolos de red. Esto le permite mostrar la encapsulación y los
campos individuales de una PDU e interpretar su significado.

CONFIGURACIÓN (Wireshark)

 Para capturar las PDU, la computadora donde está instalado Wireshark

debe tener una conexión activa a la red y Wireshark debe estar activo
antes de que se pueda capturar cualquier dato. Ejecute Wireshark y
obtendrá la siguiente pantalla
 Figura 1

Para empezar con la captura de datos es necesario ir al menú Captura y

seleccionar Opciones, el cuadro de diálogo Opciones provee una serie de
configuraciones y filtros que determinan el tipo y la cantidad de tráfico de datos
que se captura. Verifique que todas las opciones están marcadas como en la
Figura 2.

Figura 2

Asegurarse de seleccionar la interfaz correcta, para esto seleccione

entre las posibles que aparecen al hacer clic donde se muestra el recuadro rojo
(ver Figura 2). Configurar Wireshark para capturar paquetes en un modo
promiscuo, si esta característica NO está verificada, sólo se capturarán las
PDU destinadas a esta computadora. Si esta característica está verificada, se
capturarán todas las PDU destinadas a esta computadora y todas aquellas
detectadas por la NIC de la computadora en el mismo segmento de red (es
decir, aquellas que “pasan por” la NIC pero que no están destinadas para la
computadora). Nota: La captura de las otras PDU depende del dispositivo
intermediario que conecta las computadoras del dispositivo final en esta red. Si
utiliza diferentes dispositivos intermediarios (hubs, switches, routers) durante
estos cursos, experimentará los diferentes resultados de Wireshark.

La ventana de visualización principal de Wireshark tiene tres paneles, como se

indica en Figura 3.

Figura 3.

El panel de Lista de PDU (o Paquete) ubicado en la parte superior del

diagrama muestra un resumen de cada paquete capturado. Si hace clic en los
paquetes de este panel, controla lo que se muestra en los otros dos paneles. El
panel de detalles de PDU (o Paquete) ubicado en el medio del diagrama,
muestra más detalladamente el paquete seleccionado en el panel de Lista del
paquete.

El panel de bytes de PDU (o paquete) ubicado en la parte inferior del

diagrama, muestra los datos reales (en números hexadecimales que
representan el binario real) del paquete seleccionado en el panel de Lista del
paquete y resalta el campo seleccionado en el panel de Detalles del paquete.
Cada línea en la Lista del paquete corresponde a una PDU o paquete de los
datos capturados. Si seleccionó una línea en este panel, se mostrarán más
detalles en los paneles “Detalles del paquete” y “Bytes del paquete”. El ejemplo
de arriba muestra las PDU capturadas cuando se utilizó la utilidad ping y
cuando se accedió a http://www.Wireshark.org. Se seleccionó el paquete
número 1 en este panel.

El panel Detalles del paquete muestra al paquete actual (seleccionado

en el panel “Lista de paquetes”) de manera más detallada. Este panel muestra
los protocolos y los campos de protocolo de los paquetes seleccionados. Los
protocolos y los campos del paquete se muestran con un árbol que se puede
expandir y colapsar. El panel Bytes del paquete muestra los datos del paquete
actual (seleccionado en el panel “Lista de paquetes”) en lo que se conoce como
estilo “hexdump”. En esta práctica de laboratorio no se examinará en detalle
este panel. Sin embargo, cuando se requiere un análisis más profundo, esta
información que se muestra es útil para examinar los valores binarios y el
contenido de las PDU.

La información capturada para las PDU de datos se puede guardar en

un archivo. Ese archivo se puede abrir en Wireshark para un futuro análisis sin
la necesidad de volver a capturar el mismo tráfico de datos. La información que
se muestra cuando se abre un archivo de captura es la misma de la captura
original. Cuando se cierra una pantalla de captura de datos o se sale de
Wireshark se le pide que guarde las PDU capturadas. Si hace clic en
Continuar sin guardar se cierra el archivo o se sale de Wireshark sin guardar
los datos capturados que se muestran