SNIFFERS

Elemento de Hardware o Software que permite lacaptura de tramas de red, para efectos demonitorizacion e igual en manos de un atacante brindaoportunidades de intrusion o gestion maliciosa. Paraejecutar esta accion, la tarjeta de red es puesta enmodo promiscuo para capturar todos los paquetes de lacapa de enlace en un trafico de red especifico o una reden particular.

Permite recopilar:

Passwords de(SMB, Ftp, Telnet, Msn, Smtp, Pop, NNTP, Imap, Sql, etc)‏ Transferencia de archivos ( Ftp, Email, Smb)‏ Logeo con Rlogin o Telnet, HTTP

TIPOS DE SNIFFER

Activos. (Switches).

Los switches miran la Mac Adress asociada a cadapaquete y los datos son enviados solo a su puertodestino correspondiente. Como tecnicas se puedenefectuar un Mac Flooding o un ARP Spoofing.

Pasivos (Hub).

Dificil de detectar, el atacante conecta su equipo a elHub e inicia proceso de sniffing de la Red.

PROTOCOLO ARP ( Address Resolution Protocol)‏

Es un protocolo de capa de red que permite convertiruna direccion IP en una direccion fisica (Mac Address).

El Host envia un Broadcast de ARP request a la red y elequipo correspondiente a la direccion de la Red IP yeste a su vez responde con un ARP Reply envia sudireccion fisica (Mac Address). Cada computadormantiene un cache de la tabla de direcciones para evitarel retardo y la carga.

DuDELook@LANWireSharkCain y AbelTcpdumpWindumpSPAN Port AnalyzerLawful InterceptNetwork ViewWiretapEtherpeakDsniffEtherDetect Packet SnifferNgrepColasoft MSNEtherScan Analyzer

HuntInteractive TCP RelayHTTP Pasword SnifferAce Password SnifferWin SnifferMSN SnifferSmart sniffSMACEtherApeNetwork ProbeMaaTec Network AnalyzerIP SnifferBill SnifferEffeTech HTTP SnifferIpgrabMonitor

LISTADO DE SNIFFERS

CONTRAMEDIDAS PARA SNIFFER

Instale ARP Watch para monitoreo de las tablas de enrutamiento.Revisar si hay maquinas corriendo en modo promiscuo.Instalar Suite de Gestion de Red como HP Open View oTivoli de IBM para controlar paquetes extraños en la red y el uso de la misma.Restrinccion de acceso fisico a la estructura de la red, para evitar que sea descargado un codigo malicioso, sniffers o interceptado el cableado de red.Esquemas de encripcion para la informacion.Revision del cache de ARP y adicion de las direcciones del Gateway.Habilitar las caracteristicas de Switch Port Security.En pequeñas redes se pueden crear direcciones estaticasen las tablas de enrutamiento.

DETECTAR UN SNIFFER

El metodo PingIDSEl metodo ARPEl metodo de Latencia (Ping ICMP)‏El test DNS El test Etherping

Herramientas para detectar Sniffer en la Red

ARP WatchPromiscanAntisniffProdetectNetwork Packet Analyzer CAPSA

TIPOS DE ATAQUES POR SNIFFING

ARP Spoofing ( ARP Poisoning )‏Duplicacion de MAC

Mac FloodingDns Spoofing / Dns Poisoning

Ip Spoofing