Simula Escenarios del Mundo Real en Nmap

Introducción

En este laboratorio, aprenderás a simular escenarios del mundo real en Nmap mediante la utilización de técnicas para evitar la detección y ocultar el origen de tus escanos. Esto incluye el uso de direcciones de decoy y spoofing de direcciones IP para dificultar que los objetivos identifiquen la fuente real del escaneo.

El laboratorio te guía a través del uso de la opción -D para agregar direcciones IP de decoy aleatorias y la opción -S para spoofear la dirección IP de origen. También explorarás la fragmentación, la combinación de escanos con scripts, la guardado de resultados y el análisis de la efectividad de la evasión y la aplicabilidad en el mundo real, todo dentro del entorno de terminal Xfce.

Skills Graph

Escaneo con decoy y spoofing usando nmap -D RND:5 -S 192.168.1.100 192.168.1.1

En este paso, exploraremos cómo usar Nmap para realizar escanos con direcciones de decoy y spoofing de direcciones IP. Esta técnica puede ayudar a ocultar el origen de tu escaneo y dificultar que los objetivos identifiquen la fuente real.

Comprendiendo Decoys y Spoofing

• Decoys: Nmap puede hacer que parezca que el escaneo proviene de múltiples direcciones IP, no solo de la tuya. Esto se logra agregando "direcciones de decoy" al escaneo. El objetivo verá tráfico proveniente de estas direcciones de decoy junto con tu dirección IP real, lo que hace más difícil localizar el verdadero escáner.
• Spoofing: El spoofing de direcciones IP implica cambiar la dirección IP de origen en los paquetes enviados por Nmap. Esto hace que parezca que el escaneo proviene de una dirección IP diferente a la tuya.

Consideraciones Importantes:

• El spoofing requiere privilegios de root porque implica manipular paquetes de red a un nivel bajo.
• Usar direcciones falsificadas que no controlas puede causar interrupciones en la red o considerarse inético/ilegal. Tenga precaución y solo use spoofing en entornos autorizados.
• La opción -D agrega decoy al escaneo, mientras que la opción -S establece una dirección IP de origen específica.

Ejemplo Práctico

Realicemos un escaneo usando decoy y spoofing. En este ejemplo, usaremos la opción -D para agregar 5 direcciones IP de decoy aleatorias (RND:5) y la opción -S para spoofear la dirección IP de origen a 192.168.1.100. Escanearemos la dirección IP objetivo 192.168.1.1.

1. Abra una terminal: Inicie la terminal Xfce en su máquina virtual LabEx.

2. Ejecute el comando de Nmap:

   sudo nmap -D RND:5 -S 192.168.1.100 192.168.1.1

   • sudo: Esto es necesario porque el spoofing requiere privilegios de root.
   • -D RND:5: Esto le dice a Nmap que use 5 direcciones IP aleatorias no reservadas como decoy.
   • -S 192.168.1.100: Esto establece la dirección IP de origen a 192.168.1.100. Nota: Esta dirección IP es solo para fines de demostración. En un escenario real, necesitaría asegurarse de tener permiso para usar esta dirección IP.
   • 192.168.1.1: Esta es la dirección IP objetivo que estamos escaneando.

3. Examine la salida:

   La salida mostrará a Nmap realizando el escaneo. Debido a que estamos usando decoy y spoofing, será más difícil para el objetivo identificar con precisión la fuente del escaneo.

   Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:00 UTC
   Nmap scan report for 192.168.1.1
   Host is up (0.00020s latency).
   Not shown: 999 closed ports
   PORT   STATE SERVICE
   22/tcp open  ssh
   
   Nmap done: 1 IP address (1 host up) scanned in 0.10 seconds

   Nota: La salida específica variará según el sistema objetivo y la configuración de red.

Agregar fragmentación con nmap -f -D RND:3 127.0.0.1

En este paso, aprenderemos a usar Nmap para agregar fragmentación IP a nuestros escanos. La fragmentación se puede utilizar para evitar algunos firewall y sistemas de detección de intrusiones (IDS) que se basan en el análisis de paquetes completos.

Comprendiendo la Fragmentación IP

La fragmentación IP es el proceso de dividir un paquete en piezas más pequeñas (fragmentos) para que pueda pasar a través de un enlace de red con una unidad de transmisión máxima (MTU) más pequeña. Cuando un paquete fragmentado llega a su destino, los fragmentos se reassamble en el paquete original.

Cómo Nmap Utiliza la Fragmentación

La opción -f de Nmap hace que el escaneo utilice paquetes IP fragmentados pequeños. Esto puede hacer que sea más difícil para los firewall y los sistemas de detección de intrusiones detectar el escaneo porque tienen que reassamblar los paquetes antes de analizarlos. Algunos sistemas pueden no estar configurados para reassamblar correctamente los paquetes fragmentados, lo que permite que el escaneo circunveje sus defensas.

Combinando la Fragmentación con Decoys

Podemos combinar la fragmentación con los decoys, como se introdujo en el paso anterior, para oscurecer aún más el escaneo. Esto hace que sea aún más difícil para el objetivo identificar la fuente y la naturaleza del escaneo.

Ejemplo Práctico

Realicemos un escaneo con fragmentación y decoys. En este ejemplo, usaremos la opción -f para habilitar la fragmentación y la opción -D para agregar 3 direcciones IP de decoy aleatorias (RND:3). Escanearemos la dirección IP objetivo 127.0.0.1 (localhost).

1. Abra una terminal: Inicie la terminal Xfce en su máquina virtual LabEx.

2. Ejecute el comando de Nmap:

   sudo nmap -f -D RND:3 127.0.0.1

   • sudo: Esto es necesario porque la fragmentación puede requerir privilegios de root en algunos sistemas.
   • -f: Esto le dice a Nmap que use paquetes IP fragmentados.
   • -D RND:3: Esto le dice a Nmap que use 3 direcciones IP aleatorias no reservadas como decoys.
   • 127.0.0.1: Esta es la dirección IP objetivo que estamos escaneando (localhost).

3. Examine la salida:

   La salida mostrará a Nmap realizando el escaneo con fragmentación y decoys.

   Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:05 UTC
   Nmap scan report for localhost (127.0.0.1)
   Host is up (0.0000090s latency).
   Other addresses for localhost (not scanned): ::1
   
   PORT     STATE SERVICE
   22/tcp   open  ssh
   631/tcp  open  ipp
   
   Nmap done: 1 IP address (1 host up) scanned in 0.15 seconds

   Nota: La salida específica variará según el sistema objetivo y la configuración de red. Lo importante es que el escaneo se complete con éxito mientras se utiliza la fragmentación.

Combinar con scripts usando nmap -sC -f 192.168.1.1

En este paso, combinaremos el motor de scripting de Nmap con la fragmentación para realizar escanos más exhaustivos y potencialmente más disimulados.

Comprendiendo los Scripts de Nmap

Nmap tiene un potente motor de scripting (NSE) que te permite automatizar varias tareas, como la detección de vulnerabilidades, la enumeración de servicios y más. Los scripts se escriben en Lua y se pueden utilizar para extender la funcionalidad de Nmap.

La opción -sC le dice a Nmap que ejecute el conjunto predeterminado de scripts. Estos scripts están diseñados para proporcionar una visión general amplia del sistema objetivo.

Combinando Scripts con Fragmentación

Al combinar scripts con fragmentación (del paso anterior), podemos intentar evitar ciertas medidas de seguridad que podrían bloquear o detectar escanos basados en scripts. La fragmentación puede hacer que sea más difícil para los sistemas de detección de intrusiones analizar el tráfico generado por los scripts.

Ejemplo Práctico

Realicemos un escaneo usando los scripts predeterminados y la fragmentación. En este ejemplo, usaremos la opción -sC para ejecutar los scripts predeterminados y la opción -f para habilitar la fragmentación. Escanearemos la dirección IP objetivo 192.168.1.1.

1. Abra una terminal: Inicie la terminal Xfce en su máquina virtual LabEx.

2. Ejecute el comando de Nmap:

   sudo nmap -sC -f 192.168.1.1

   • sudo: Esto es necesario porque la fragmentación puede requerir privilegios de root en algunos sistemas.
   • -sC: Esto le dice a Nmap que ejecute el conjunto predeterminado de scripts.
   • -f: Esto le dice a Nmap que use paquetes IP fragmentados.
   • 192.168.1.1: Esta es la dirección IP objetivo que estamos escaneando.

3. Examine la salida:

   La salida mostrará a Nmap realizando el escaneo, ejecutando los scripts predeterminados y usando fragmentación. La salida del script proporcionará información adicional sobre el sistema objetivo, como versiones de servicios, posibles vulnerabilidades y más.

   Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:10 UTC
   Nmap scan report for 192.168.1.1
   Host is up (0.00020s latency).
   Not shown: 999 closed ports
   PORT   STATE SERVICE
   22/tcp open  ssh
   | ssh-hostkey:
   |   2048 SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx (RSA)
   |_  256 SHA256:yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy (ECDSA)
   Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
   
   Nmap done: 1 IP address (1 host up) scanned in 5.20 seconds

   Nota: La salida específica variará según el sistema objetivo y la configuración de red. Lo importante es que el escaneo se complete con éxito, use fragmentación y ejecute los scripts predeterminados. El script ssh-hostkey es parte del conjunto de scripts predeterminados y proporciona información sobre la clave host de SSH.

Guardar los resultados del escenario con nmap -D RND:5 -oN scenario.txt 127.0.0.1

En este paso, aprenderemos a guardar los resultados de un escaneo de Nmap en un archivo. Esto es útil para documentar tus hallazgos, analizar los resultados más tarde o compartirlos con otros.

Comprendiendo las Opciones de Salida de Nmap

Nmap ofrece varias opciones para guardar los resultados del escaneo en diferentes formatos. La opción -oN guarda los resultados en un formato "normal" legible por humanos. Este es el formato más común para uso general.

Guardando los Resultados del Escaneo en un Archivo

Para guardar los resultados de un escaneo en un archivo, se utiliza la opción -oN seguida del nombre del archivo. Por ejemplo, -oN results.txtguardará los resultados en un archivo llamadoresults.txt`.

Combinando Decoys y Guardando la Salida

Podemos combinar la técnica de decoys (de pasos anteriores) con la guardado de la salida en un archivo. Esto nos permite realizar un escaneo disimulado y luego guardar los resultados para su análisis posterior.

Ejemplo Práctico

Realicemos un escaneo con decoys y guardemos los resultados en un archivo llamado scenario.txt. En este ejemplo, usaremos la opción -D para agregar 5 direcciones IP de decoy aleatorias (RND:5) y la opción -oN para guardar los resultados en scenario.txt. Escanearemos la dirección IP objetivo 127.0.0.1 (localhost).

1. Abra una terminal: Inicie la terminal Xfce en su máquina virtual LabEx.

2. Ejecute el comando de Nmap:

   sudo nmap -D RND:5 -oN scenario.txt 127.0.0.1

   • sudo: Esto es necesario porque los decoys pueden requerir privilegios de root en algunos sistemas.
   • -D RND:5: Esto le dice a Nmap que use 5 direcciones IP aleatorias no reservadas como decoys.
   • -oN scenario.txt: Esto le dice a Nmap que guarde los resultados en formato normal en un archivo llamado scenario.txt.
   • 127.0.0.1: Esta es la dirección IP objetivo que estamos escaneando (localhost).

3. Examine la salida:

   La salida será similar a los escaneos anteriores, pero los resultados también se guardarán en el archivo scenario.txt en tu directorio actual (~/project).

   Starting Nmap 7.80 ( https://nmap.org ) at 2023-10-27 10:15 UTC
   Nmap scan report for localhost (127.0.0.1)
   Host is up (0.0000090s latency).
   Other addresses for localhost (not scanned): ::1
   
   PORT     STATE SERVICE
   22/tcp   open  ssh
   631/tcp  open  ipp
   
   Nmap done: 1 IP address (1 host up) scanned in 0.15 seconds

4. Verifique el archivo:

   Puedes verificar que el archivo se creó y contiene los resultados del escaneo usando el comando cat:

   cat scenario.txt

   Esto mostrará el contenido del archivo scenario.txt en la terminal.

Revisar la efectividad de la evasión en la terminal Xfce

En este paso, revisaremos la efectividad de las técnicas de evasión que hemos utilizado en los pasos anteriores. Este es un paso conceptual donde discutiremos cómo estas técnicas pueden ayudar a evitar las medidas de seguridad. Dado que estamos en un entorno de laboratorio controlado, no podremos demostrar de manera definitiva la evasión, pero podemos discutir los principios.

Comprendiendo las Técnicas de Evasión

Las técnicas de evasión son métodos utilizados para evitar la detección por sistemas de seguridad, como firewalls, sistemas de detección de intrusiones (IDS) y sistemas de prevención de intrusiones (IPS). Nmap ofrece varias opciones para la evasión, incluyendo:

• Decoys: Hacer que parezca que el escaneo proviene de múltiples direcciones IP, lo que hace más difícil localizar la fuente real.
• Fragmentación: Dividir el tráfico de escaneo en paquetes más pequeños, lo que puede evitar algunos firewalls que están configurados para bloquear paquetes más grandes o tienen dificultades para reassamblar paquetes fragmentados.
• Spoofing: Ocultar tu dirección IP real utilizando una dirección IP de origen diferente.
• Scripts: Utilizar scripts para realizar escaneos más dirigidos y potencialmente más disimulados.

Revisando Nuestras Técnicas

Revisemos las técnicas que hemos utilizado en los pasos anteriores:

1. Decoys y Spoofing (nmap -D RND:5 -S 192.168.1.100 192.168.1.1): Este comando utilizó 5 decoys aleatorios y falsificó la dirección IP de origen. Esto hace que sea más difícil para un objetivo identificar la verdadera fuente del escaneo. Un IDS podría ver múltiples conexiones desde diferentes direcciones IP, lo que hace más difícil correlacionar el tráfico e identificar al atacante.

2. Fragmentación y Decoys (nmap -f -D RND:3 127.0.0.1): Este comando utilizó fragmentación y decoys. La fragmentación puede ayudar a evitar firewalls que están configurados para bloquear ciertos tipos de tráfico o tienen dificultades para reassamblar paquetes fragmentados. Los decoys obscuran aún más la fuente del escaneo.

3. Scripts y Fragmentación (nmap -sC -f 192.168.1.1): Este comando combinó scripts con fragmentación. La fragmentación puede ayudar a evitar firewalls que están configurados para bloquear ciertos tipos de tráfico o tienen dificultades para reassamblar paquetes fragmentados. Los scripts permiten realizar escaneos más dirigidos.

4. Guardando Resultados (nmap -D RND:5 -oN scenario.txt 127.0.0.1): Este comando guardó los resultados de un escaneo con decoys en un archivo. Esto es útil para documentar tus hallazgos y analizar los resultados más tarde.

Limitaciones en el Entorno de Laboratorio

En nuestro entorno de máquina virtual LabEx, no tenemos un firewall real o un IDS contra el cual probar. Por lo tanto, no podemos demostrar de manera definitiva que estas técnicas sean efectivas para evitar la detección. Sin embargo, podemos entender los principios detrás de estas técnicas y cómo se pueden utilizar en escenarios del mundo real.

Puntos de Discusión

Considere las siguientes preguntas:

• ¿Cómo podría un firewall o un IDS detectar estas técnicas de evasión?
• ¿Qué otras técnicas de evasión están disponibles en Nmap?
• ¿Cuáles son las consideraciones éticas de utilizar técnicas de evasión?

Este paso está diseñado para animarte a pensar críticamente sobre la efectividad de las técnicas de evasión y su impacto potencial en la seguridad.

Analizar la aplicabilidad en el mundo real en la terminal Xfce

En este paso, analizaremos la aplicabilidad en el mundo real de las técnicas de Nmap que hemos explorado en este laboratorio. Este es un paso conceptual que se centra en las consideraciones éticas y prácticas de utilizar estas técnicas en escenarios del mundo real.

Consideraciones Éticas

Antes de discutir las aplicaciones prácticas, es fundamental abordar las consideraciones éticas. Utilizar Nmap, especialmente con técnicas de evasión, puede considerarse inético o incluso ilegal si se realiza sin permiso en sistemas que no posees o administras. Siempre obtén permiso explícito antes de escanear cualquier red o sistema.

Escenarios del Mundo Real

A pesar de las preocupaciones éticas, Nmap es una herramienta poderosa con usos legítimos en varios escenarios del mundo real:

1. Auditoría de Seguridad de Red: Los profesionales de seguridad utilizan Nmap para evaluar la postura de seguridad de sus redes. Pueden identificar puertos abiertos, servicios en ejecución y posibles vulnerabilidades. Las técnicas de evasión se pueden utilizar para simular ataques del mundo real y probar la efectividad de los controles de seguridad.

2. Evaluación de Vulnerabilidades: Nmap se puede utilizar para identificar vulnerabilidades conocidas en sistemas y aplicaciones. Al combinar Nmap con bases de datos de vulnerabilidades, los profesionales de seguridad pueden identificar y abordar proactivamente los riesgos de seguridad potenciales.

3. Detección de Intrusiones: Nmap se puede utilizar para detectar intentos de acceso no autorizado o actividad maliciosa en una red. Al monitorear el tráfico de red y analizar los patrones de escaneo, los profesionales de seguridad pueden identificar y responder a incidentes de seguridad potenciales.

4. Mapeo de Red: Nmap se puede utilizar para crear un mapa detallado de una red, incluyendo los dispositivos, servicios y conexiones. Esta información se puede utilizar para mejorar el rendimiento de la red, resolver problemas de conectividad y planificar actualizaciones de red.

5. Pruebas de Cumplimiento: Nmap se puede utilizar para verificar que una red cumple con las políticas y regulaciones de seguridad. Al escanear la red y analizar los resultados, los profesionales de seguridad pueden asegurarse de que la red cumpla con los estándares de seguridad requeridos.

Limitaciones y Contramedidas

Es importante destacar que las técnicas de evasión no son infalibles. Los sistemas de seguridad están en constante evolución para detectar y prevenir estas técnicas. Algunas contramedidas comunes incluyen:

• Sistemas de Detección de Intrusiones (IDS): Los IDS pueden detectar patrones de tráfico de red sospechosos, como el escaneo de puertos y la fragmentación.
• Firewalls: Los firewalls pueden bloquear el acceso no autorizado a una red y filtrar el tráfico malicioso.
• Honeypots: Los honeypots son sistemas de decoy diseñados para atraer a los atacantes y recopilar información sobre sus técnicas.
• Análisis de Registros: Analizar los registros del sistema puede ayudar a identificar actividad sospechosa y posibles violaciones de seguridad.

Conclusión

Nmap es una herramienta versátil con una amplia gama de aplicaciones en seguridad de red. Sin embargo, es fundamental utilizar Nmap de manera responsable y ética. Siempre obtén permiso antes de escanear cualquier red o sistema, y sé consciente de las posibles consecuencias legales y éticas de tus acciones. Comprender las limitaciones de las técnicas de evasión y las contramedidas utilizadas para detectarlas es esencial para una seguridad de red efectiva.

Resumen

En este laboratorio, exploramos técnicas para simular escenarios del mundo real en Nmap, centrándonos en ocultar el origen del escaneo. Aprendimos cómo usar direcciones de decoy con la opción -D para que parezca que el escaneo proviene de múltiples direcciones IP, y cómo falsificar la dirección IP de origen usando la opción -S, lo que requiere privilegios de superusuario.

Además, practicamos agregar fragmentación con la opción -f, combinarla con la exploración de scripts predeterminados usando -sC, y guardar los resultados del escaneo en un archivo usando la opción -oN. El laboratorio concluyó con la revisión de la efectividad de la evasión y el análisis de la aplicabilidad en el mundo real en la terminal Xfce.