4 3sniffers

4.
3 Sniffers
¿Qué es un sniffer?
Un sniffer de paquetes es un programa de “pinchado” (wiretap), que se instala en
una red y pueden ver todos los paquetes que circulan por ella. Como una línea de
teléfono pinchada permite que el FBI escuche las conversaciones de la gente, un
programa "sniffer" deja escuchar la comunicación entre ordenadores. Sin
embargo, las comunicaciones entre ordenadores consisten en datos binarios
aparentemente al azar. Por lo tanto, los sniffers vienen con una característica
conocida como el "análisis del protocolo", que les permite "descifrar" el tráfico del
ordenador y hacer que tengan sentido todos esos datos binarios capturados de los
paquetes.
Funcionamiento de un Sniffer
Un Sniffer funciona cambiando el estado natural de una tarjeta de red a un estado

particular. Cuando se envía una información por la red las tarjetas dejan pasar
todo el tráfico de la red que no les pertenece, es decir, todo tráfico que no tenga
como destino el computador en el que está instalada. Sin embargo la tarjeta sabe
que está pasando tráfico por el cable al que está conectada, por lo tanto haciendo
unos sutiles cambios en el modo de operación podría verse el tráfico que pasa por
el cable, a estos cambios se les conoce como modo promiscuo.
¿Para qué se usa un sniffer?

En dos formas. Los programas comerciales de sniffers se usan a menudo para
ayudar en el mantenimiento de las redes. Mientras que sniffers “underground” son
usados por los crackers para introducirse en los ordenadores ajenos.
Algunos usos típicos de estos programas son:
• Captura de passwords y logins que están en texto plano (sin encriptar)
• desde la red.
• Conversión de datos a un formato comprensible por los humanos
• Análisis de errores para descubrir problemas en la red.
• Análisis de rendimiento para descubrir posibles cuellos de botella en la red.
• Detección de intrusos en la red para hackers/crackers potenciales
Un Sniffer más que una herramienta de ataque en manos de un administrador de

red puede ser una valiosa arma para la auditoría de seguridad en la red. Puesto
que el acceso a la red externa debe estar limitado a un único punto. Un Sniffer
puede ser la herramienta ideal para verificar como se está comportando la red.
Módulos de un sniffer
El hardware
La mayoría de los productos trabajan con las tarjetas de red standard, aunque
algunos requieren un hardware especial. Si se usa algún tipo de hardware
especial, se puede analizar fallos como errores CRC, problemas de voltaje,
programas de cable, etc.
Driver de captura
Ésta es la parte más importante. Captura el tráfico de la red desde el cable, lo filtra
según se desee y luego almacena los datos en el buffer.
Buffer
Una vez que los paquetes son capturados desde la red, se almacenan en un
buffer. Hay dos modos de captura distintos: captura hasta que el buffer se llene o
usar el buffer como un “round robin” donde los datos más recientes reemplazan a
los más antiguos. Algunos programas como “BlackICE Sentry IDS” de Network
ICE pueden operar en modo “round-robin”, capturando los datos a velocidades de
100- mbps y generando un buffer que puede tener varios gigabytes de
información.
Análisis de Tiempo - Real

El programa pionero fue el “Network General Sniffer”; esta opción hace un análisis
al por menor a nivel de bits de los frames mientras van por la red. Esto es capaz
de encontrar una medida de la calidad de la red y de posibles fallos mientras a la
vez captura la información. Por ejemplo: Network intrusion detection systems hace
esto e incluso incorpora detección de posibles hackers.
Decodificar
Esta opción muestra el contenido del tráfico de la red con un texto descriptivo para
que el analista sepa qué está pasando.
Edición / Transmisión de Paquetes

Algunos programas contienen opciones que te permiten editar tus propios
paquetes de red y transmitirlos luego a la red.
Ataques prácticos de sniffer
Este apartado del trabajo está dirigido a aquellos usuarios con conocimientos
avanzados de C y Linux; con los que se puede comenzar a utilizar sniffers en
casos reales. Los distintos sniffers realizan tareas diferentes, que oscilan entre las
sencillas (capturar nombres de usuarios y contraseñas) y las extremas (grabar
todo el tráfico de la interfaz de red). Entre los que se incluyen:
• Linsniffer
• Linuxsniffer.
• Hunt
• Sniffit.
•
sniffers para auditoría
Como ya dijimos, la salida de un Sniffer se puede redirigir para que lleve un
registro del tráfico en un archivo en el disco duro o en cualquier otro medio para
posterior análisis. Por ser la base de las herramientas de detección de intrusos
(IDS) un conocimiento de estos sistemas le brindara una perspectiva de lo que
pueden y no pueden hacer este tipo de herramientas.
Cuando se instale un Sniffer deberá llevar control de la información por medios
automáticos ya que por el volumen que estar manejando es humanamente
imposible su análisis es recomendable usar una herramienta como una base de
datos y un sistema de reportes construido en PERL. Esto en esencia es lo que es
un IDS.
Sin embargo, si se inicia en el uso de esta herramienta se le hará un tanto
complicado el uso de todos estos adicionales para una introducción rápida en el
uso de esta herramienta es recomendable comenzar por una herramienta simple y
bastante poderosa como es HUNT esta herramienta ofrece una interfaz de texto
bastante cómoda e intuitiva que permite seguir lo que está ejecutándose en un
omento dado en el sistema. Esta herramienta en particular permite dos tipos de
instalación compilando el código fuente o desde binarios que se ejecutan
directamente en la máquina.
Defensa contra sniffers
Los ataques de sniffers son difíciles de detectar y combatir, ya que son programas
pasivos. No generan rastros (registros) y, cuando se utilizan correctamente, no
utilizan muchos recursos de disco y de memoria. . La respuesta es ir directamente
al origen. Por consiguiente, la sabiduría convencional indica que para detectar un
sniffer, hay que averiguar si alguna de las interfaces de la red se encuentra en
modo promiscuo, para lo que pueden utilizarse estas herramientas:
• ifconfig.
• . ifstatus
Otros métodos para detectar sniffers
DNS test: En el segmento de la máquina a testear, creamos falsas conexiones
TCP contra hosts inexistentes. Un sniffer activo mandará peticiones a la DNS para
resolver el nombre del host. Interceptando estas peticiones sabremos si existe o
no un sniffer activo en nuestra red.
ARP TEST: También aprovecha vulnerabilidades del Kernel de algunos Sistemas
Operativos. Mandamos por la red una petición de “arp” con la IP de la máquina a
testear. La petición es correcta, pero se envía a una dirección MAC inexistente. Si
obtengo respuesta, es que la máquina a testear está en modo promiscuo
TEST ICMP Ping de Latencia
Mido el tiempo de respuesta al ping (RTT) de la máquina a testear. Creo
numerosas falsas conexiones TCP en el segmento de la máquina. Si la máquina
está en modo promiscuo tiene que procesar estas peticiones.
PROTECCIÓN AVANZADA CONTRA SNIFFERS
Mientras que puedes configurar tu LAN para hacer que los sniffers tengan
mayores dificultades para entrar, estás más bien indefenso a la hora de evitar que
cualquiera en Internet vea información importante. La mejor defensa en este caso
es encriptar los datos, de esta forma, aunque los intercepten, no podrán entender
a priori lo que dicen los paquetes. Algunas técnicas son:
SSL: "Secure Sockets Layer", SSL está disponible ampliamente en bastantes
servidores y navegadores Web.
PGP y S/MIME: El E-mail puede ser interceptado de muchas formas. Pasa a
través de firewalls, que puede que monitoricen el tráfico. A menudo queda
registrado y almacenado por períodos de tiempo largos. Puede quedar mal
encaminado y acabar en el buzón de otra persona.
SSH: "Secure Shell", ssh se ha convertido en el standard para entrar en máquinas
UNIX desde Internet. Deberíamos reemplazar el inseguro telnet por este servicio.
Otros numerosos protocolos pueden usarse empleando ssh por debajo (por
ejemplo, copia de ficheros.
Las soluciones de encriptado de datos arriba descritas también proporcionan
métodos de autenticación de usuarios. Existen además otras alternativas, como
las siguientes:
• SMB/CIFS
• Kerberos v5
• Tarjetas inteligentes (“smart cards”)
• Stanford SRP (Secure Remote Password)
• Referencias:
MODESTO CORDERÍ NÓVOA/ OSCAR MALINGRE PÉREZ. (, 3 de Junio de 2002).

SNIFFERS: ESPÍAS EN LA RED. 09/05/2020, de SniffersPDF.pdf Sitio web:
http://index-of.co.uk/Tmp/SniffersPDF.pdf

4 3sniffers

Cargado por

Copyright:

Formatos disponibles

4 3sniffers

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

4 3sniffers

Cargado por

Copyright:

Formatos disponibles

4.

Un Sniffer funciona cambiando el estado natural de una tarjeta de red a un estado

¿Para qué se usa un sniffer?

Un Sniffer más que una herramienta de ataque en manos de un administrador de

Análisis de Tiempo - Real

Edición / Transmisión de Paquetes

MODESTO CORDERÍ NÓVOA/ OSCAR MALINGRE PÉREZ. (, 3 de Junio de 2002).

También podría gustarte