Pertenece a Topic 212: System Security

• Weight: 3
• Description: Candidates should be able to receive security alerts from various sources, install, configure and run intrusion detection systems and apply security patches and bugfixes.
• Key Knowledge Areas:
  • Tools and utilities to scan and test ports on a server
  • Locations and organizations that report security alerts as Bugtraq, CERT or other sources
  • Tools and utilities to implement an intrusion detection system (IDS)
  • Awareness of OpenVAS and Snort
• Terms and Utilities:
  • telnet
  • nmap
  • fail2ban
  • nc
  • iptables

nmap: comando que permite realizar el escaneo de puertos de una máquina, e identificar los servicios y versión o tipo de SO. -A habilita determinar SO y versión de servicios. -F (Fast Scan)

nmap -A localhost

212.4: Tareas de Seguridad (3) nc (netcat): herramienta que permite leer o escribir datos a través de una conexión de red. -u indica conexión UDP (default TCP) -v activa modo verbose -z permite realizar un escaneo de puertos.

nc localhost 80
GET /

nc -vz localhost 68-85

212.4: Tareas de Seguridad (3) Fail2ban • Herramienta que escanea los ficheros de logs y banea las IPs con múltiples fallos de conexión. • Actualiza las reglas fw (iptables) o incluye entradas en el fichero /etc/hosts.deny para rechazar esas IPs. • Dichas direcciones IPs son bloqueadas temporalmente, previniendo ataques puntuales por fuerza bruta. 212.4: Tareas de Seguridad (3) Sistemas IDS • Estos sistemas se llaman Sistemas de Detección de Intrusos, IDS (Intrusion Detection System). • Proporcionan un mejor control de la seguridad, son capaces de examinar y analizar el tráfico a nivel de aplicación, de forma directa y sin caer en este engaño del puerto erróneo. • Usan 3 técnicas para ello: • Detección de anomalías. • Análisis de protocolos. • Análisis de firmas. 212.4: Tareas de Seguridad (3) Fuentes de información • Las técnicas de análisis, que son el análisis de firmas, el análisis de protocolos y la detección de anomalías, se apoyan en información que evoluciona con el tiempo. • Los IDS obligatoriamente tienen que obtener actualizaciones de sus técnicas de análisis así como de las bases de datos de firmas a intervalos regulares.

Principales organizaciones de alerta y de investigación:

• Bugtraq: lista de difusión dedicada a la publicación de vulnerabilidades, su uso y su corrección.
• CERT: Computer Emergency Response Team. Esta organización estudia las vulnerabilidades, investiga las evoluciones en términos de redes y seguridad y ofrece servicios relacionados con la seguridad.
• CIAC: Computer Incident Advisory Capability. Organización de alerta e investigación gestionada por el U.S. Department of Energy.

212.4: Tareas de Seguridad (3) SNORT • Snort es el más conocido de los IDS libres. • Analiza todo el tráfico y aporta un complemento de seguridad en la red. • Snort se compone de un motor de análisis y de un conjunto de reglas. • El fichero de configuración: /etc/snort/snort.conf • Las reglas que se aplican se encuentran en: /etc/snort/rules 212.4: Tareas de Seguridad (3) OpenVAS (Open Vulnerability Assessment Scanner) Es una variante del escáner de vulnerabilidades Nessus. 1. El servidor OpenVAS Escanea y analiza los hosts de red en busca de vulnerabilidades conocidas (NVT: Network Vulnerability Tests). 2. Clientes OpenVAS Aplicaciones por línea de comandos o con interfaz gráfica que realizan el análisis de los hosts de la red en busca de vulnerabilidades para devolver los resultados al servidor. 3. Obtención de vulnerabilidades OpenVas ofrece una fuente pública de vulnerabilidades conocidas con el nombre de OpenVas NVT Feed (+15000 NVT). 212.4: Tareas de Seguridad (3) PREGUNTA DE EXAMEN: What tool scans log files for unsuccessful login attempts and blocks the offending IP addresses with firewall rules? A. nessus B. nmap C. nc D. watchlogs E. fail2ban 212.4: Tareas de Seguridad (3) PREGUNTA DE EXAMEN: What is the name of the network security scanner project which, at the core, is a server with a set of network vulnerability tests (NVTs)? A. nmap B. OpenVAS C. Snort D. wireshark