Hola bienvenidos otro video del curso Microtia de principiante experto en esta clase.
Vamos a ver un poco sobre jardín avanzado.
Vamos a ver reglas para detectar y detener la inundación de paquetes y CMP escanciadores de puertos
inundaciãn de ataque CIN y ataques de denegación de servicio por TCP IP.
Finalmente vamos a saber cómo detectar los intentos de login hacia nuestro router por fuerza bruta y
vamos a ver una técnica interesante que se llama Nanking.
Esta es para habilitar el login a nuestros routers microchip pero no con un puerto abierto sino con
una secuencia de puertos.
Es como hacer un Toquinho secreto para que te abran la puerta sólo que nosotros vamos a estar tocando
puertas bien vamos a iniciar y vamos a restaurar los backups de ambos sitios
solo vamos a estar trabajando con él.
No es necesario que restauren nada en el pseudos
la primera de las reglas que vamos a ver quién es el CMP Flow.
Todo esto se realiza desde el firewall
en la cadena input porque es toda protección hacia nuestro router no es protección de tráfico que lo
cursa bien Somavia estar ayudando a un servidor Linux y observen esto.
Para empezar nosotros no tenemos habilitado el PIN en este equipo
con lo cual si yo hago un ping al router micro Tik no me va a responder entonces vamos para que estas
prácticas tengan una mayor visibilidad vamos a habilitar el protocolo y CMP
lo vamos a poner antes del drop y ahora ya tengo respuesta Ping
observen.
Si yo en Linux pongo menos 0.1 le estoy diciendo el intervalo de Ping fíjense la velocidad a la que
se le realiza el ping al router está dentro de todos una velocidad normal un poco más acelerada pero
que no nos compromete los recursos del router vamos a quitar esta regla de Kyaw y vamos a ir a system
resources.
Vamos a estar abriendo mucho esta ventana ya que vamos a ver como en algunos ataques el CPU sube muchísimo
ahora me voy a estar valiendo de una regla de una herramienta en Linux que se llama Tipping
este es mucho más potente que el simple Ping
observen el CPU estoy inundando el router con paquetes y CMP a veces no podemos hacer nada para detener
esto pero por lo menos podemos detectarlo y saber qué es lo que está pasando y detener el ataque
y lo que vamos a hacer ahora es agregar unas reglas
las vamos a agregar por sé leí yo se las voy a dejar todas junto con el video de la clase y las vamos
a ir agregando
por CGI y vamos a ir viendo por gráfico cómo están programadas y qué es lo que hacen.
Vamos a abrir un terminal y vamos a ir a ver Ripe. fue el gol Filter y una vez acá adentro vamos a pegar
las reglas de CMP flop que son éstas las seleccionamos todas las copiamos y las pegamos acá
hace un par de Enter para asegurarse de que la última se cargue y se las tenemos al en estas tres
lo que tenemos que hacer era subirlas hasta el principio de todo que sean las primeras tres reglas
fíjense qué hacen estas reglas.
La primera de tipo input protocolo y CMP en avanzado
definimos que esto es dentro del protocolo SMP la opción 8 de Eco recuesto y en extra le vamos a decir
el límite.
Esto quiere decir 1 por segundo con una gracia digamos una extra de 5.
Esto en realidad quiere decir 6 por segundo paquetes y la acciones a aceptar.
La segunda es correrle.
También imput y CMP y CMP Taipe en correrle acá tenemos las demás opciones y sin ninguna extra ni nada
y acción en las acciones.
Y finalmente una tercer regla de imput y CMP sin nada y la acción es drop.
Entonces si algún equipo nos hace PIN con el corre cuesta más de 6 veces por segundo las restantes en
ese mismo segundo se van a tropero los se corre y las respuestas siempre la vamos a contestar.
Y ahora vamos a saber un poco más en acciones si nosotros hacemos un ping normal
observen los contadores.
Este es un ping común son menos de 6 por segundo por lo tanto nunca caen acá adentro.
El orden de las reglas es importante.
Ahora si acelero aceleró un poco sólo un poco con Ping menos si envío cada 0 como un segundo un paquete
ya están cayendo varios en Drop no se dropped en todos porque sólo se permiten 6 por segundo.
Los primeros 6 pasan y el resto se Dropped.
Esto frena ralentiza un poco el ataque observen qué pasa si yo acá pongo un valor superior a 30.
Voy a permitir 31 paquetes por segundo y el resto los voy a estropear.
Observen el comportamiento del ataque.
Van a ver los primeros 30 hay un paquete super rápidos y el resto a velocidad normal.
El micro Ty los repentista
listo.
Ahí ya empieza a moverse más lento
esto nos ayuda un poco a detener los ataques y si vamos a la otra opción ya la más agresiva vamos a
poner el contador de los recursos
fíjense como la primera vez que lo habíamos hecho daba como el 40 por ciento y ahora estamos reduciendo
el CPU ayudando en la reducción del CPU hasta el 15 20.
Pero es importante tener este tipo de reglas.
Fíjense qué pasa con los recursos si yo quito la de bronce
observen la subida del CPU y acá todos los paquetes están a supervelocidad.
Ahora si volvemos a habilitar esto
absuelvan como bajo esta es una regla de prevención de inundación de paquetes y CMP es muy útil
y es relativamente simple de programar son sólo tres reglas y ustedes acá pueden jugar con la cantidad
de paquetes pin por segundo que están dispuestos a aceptar
las siguientes reglas que vamos a ver
es esta negadores de puertos
estas reglas de protección de MP las vamos a dejar acá las reglas de escaneado de puertos son éstas.
A todas les dejó un rótulo para que puedan identificarlas sin problemas.
Vamos a copiarlas y vamos a pegarlas en un C.L y vamos a poder Volgin y las pegamos
igual a como hicimos la vez anterior vamos a subirlas porque cuando las agregamos están después del
drop y no tendrían sentido vamos a ponerlas debajo de la última regla de la protección y CMP ahí vamos
a ver qué hacen estas reglas.
La primera es una regla de input sin ningún otro tipo de filtro
mira una desliz que se llama Port scaner y dropped a todas las conexiones provenientes de las direcciones
IP de esta lista.
Como se darán cuenta las demás reglas lo que hacen es detectar intentos de escaneo y los ponen en la
IPEC de origen de esos escaneos en estado desliz por escáner y luego son copiados por acá.
Vamos a ver qué hace la primera regla un input protocolo TCP y acá en extra viene a utilizar la opción
PS de la opción PSD es exclusivamente para dores de puertos y lo que quiere decir es vamos a ser de
abajo para arriba se entiende mejor de abajo para arriba.
Jail Port waited es un peso que nosotros designamos para los puertos superiores a 1024 lo portuario
es un peso que asignamos nosotros a los puertos inferiores a 1024 dile Truyol quiere decir el umbral
de Miley o sea cuántos escaneos entran en tres segundos.
Esta regla mira cuántos escaneos se hacen en los puertos en tres segundos si se hacen escaneos.
Dentro de estos tres segundos a puertos menores a 1024
ese escaneo va a valer tres puntos y se hace por encima de 1024.
Ese escaneo vale 1 y el umbral de peso es 10.
Quiere decir que si me escanean cuatro puertos en tres segundos por debajo de 1024 me va a dar 12.
Superior a 10.
La regla se activa y pones esa dirección y de origen en la lista o si me escanean 11 veces puertos superiores
a 1024 en 3 segundos están superando este umbral y la acción también se dispara.
Si solo me escanean un puerto en tres segundos no importa cuál sea de los dos es menor a 10 y no considero
esa IPEC de origen como un escaneado de puertos
bien y las demás reglas no son con PCD son
con los FLAC de TCP que tienen ácana el comentario esta busca en input TCP conexiones.
Fin.
La regla continúa para abajo y lo que hace es consulta por el TCP flag FIN y el negado de todos los
demás.
De esta manera se asegura que en este paquete solamente tiene el flag FIN lo pueden ver perfectamente
acá en el en el exporto ya casi está todo TCP Flags fin y después todos los demás tienen el negado adelante.
Entonces si tenemos este tipo de ataque
lo agrega la arpia de origen a la address list.
Lo mismo sin fin acá mira si se está dando esta combinación de TCP Flags son todos combinaciones conocidas
que son normalmente asociados a escaneado de puertos importante cada IP que se detecta.
Nosotros la estamos poniendo en un desliz por 30 días a lo mejor quieren cambiar esto por algo más bajo
para asegurarse o no.
O para lo mejor quieren tenerla de por vida si detectan una Dres lista una IP que les está haciendo
escaneo lo ponen en Dinamic y queda para siempre en esa lista.
Eso es agosto de ustedes todas las demás reglas son variaciones distintas de TCP flags.
OHL quiere decir todas estas reglas
es para los ataques que vienen.
Hay un paquete especial con todos los flags y después tenemos la otra la Noll enema Nul donde es al
revés viene sin ningún tipo de Flag en el TCP con ataques especiales y estamos preparando el equipo
para detectarlos todos.
Todos detectan la de origen la ponen en estado desliz por scaner y esta regla los elimina.
Perdón los europea.
Lo bueno de esto es que después pueden ir a Port scaner y ver quién fue el que los estuvo escaneando.
Vamos a hacer una prueba desde esta terminal de Linux.
Voy a hacer un enema
al router fijense.
Como ya contó
Mi Acaya me ha estado pegando fijense como los contadores suben y la única regla que tiene valores es
ésta es por porque en 3 segundos hice escaneos de Puerto cuyo ranking digamos superó el puntaje perdón
superó este umbral.
Si íbamos a 3 Lisseth van a ver que Acaya y un AIPE por scaner que es la 192 168 07 que soy yo
y de esta manera prevenimos un intento de escaneo de puertos fíjense el resultado del enema me dio nada
si vuelvo a hacerlo ya la IP está en la 3 lista y no puedo hacer nada
puedo hacer ping solo porque
hay una regla previa al escaneo que me permite hacer ping y de esta manera ya vimos los primeros dos
CMP flop y los escáneres de puertos.
Los siguientes videos veremos el resto de los Topix.
Muchas gracias y espero que les haya gustado.