DETECTANDO SNIFFERS EN UNA RED DE REDES "GUIA DE CAMPO"

una de las cosas mas fascinantes y dentro del contexto en cuanto a defensas de una red , es detectar los olfateadores de red o mejor conocido como sniffers,  muchas veces los administradores de redes o de sistemas no se dan cuenta del gran problema que tienen en su red para bien o para mal, muchos de estos profesionales no detectan nada dentro de su red porque nunca se toman ni el tiempo si quiera de ponerse a escuchar como los atacantes mismos en modo monitor,   una buena idea seria programar en linux un script en crontab para que se ejecute cada cierto tiempo y verifique en modo monitor cuales son las interfaces que estan en ese preciso momento ala escucha,   aunque si bien es cierto que algunas ocasiones,  los atacantes suelen perfilas sus vectores de ataque en la noche o altas horas de la madrugada donde estudian y analizan que los encargados de sistemas no esten al pendientes, aunque muchas veces algunas redes tienen implementados sistemas de seguridad mejores conocidos como IDS/IPS o honeypots,  para retener a los atacantes y encapsularlos en una parte de la red donde no afectan la confidencialidad,  la disponibilidad y la autenticacion una parte mejor conocida como DMZ.

Donde implementar el detector de sniffers en una red?

pues si bien es cierto que en una red conmutada o switcheada algunas veces es medio dificil lidiar con estas weas,  pero cada quien tiene su particularidad,  por ejemplo los switches cisco catalyst incorporan una funcion llamada puerto espejo en el que los paquetes de datos e informacion fluyen y se reeenvian en otro puerto previamente configurado para analizar el trafico en cuanto a estadisticas y en este caso para analizar un posible ataque a la red como ddos o de interceptacion,  se tendria que tener un IPS activado dentro de los margenes de la red establecidos como un monitor de todos los procesos de red que se esten utilizando en ese preciso momento, en este caso wireshark se podria configurar para que en una pantalla este encendido y que el administrador pueda verificar con un dissector o un script en lua este mismo a determinados horarios o que le mande una alerta previa configurada por el mismo.

el olfateo del trafico de red puede deducirse que es un ataque pasivo a la red,  ya que no provoca daños pero es el arma mas poderosa de inteligencia que un ciber atacante pueda tener en sus manos,  es como el guantelete de las gemas del infinito del villano thanos.

existen multiples herramientas que nos pueden ayudar a detectar diferentes interfaces en nuestra red que estan en modo listening o de escucha predeterminado,  aunque si bien no es facil dilucidar este tipo de situaciones podemos hacer frente predisponiendo de varios metodos de contra-inteligencia como los que enumeraremos a continuacion dentro de este articulo mismo.

cabe destacar que hay algunas que  existen o funcionan solo para sistemas operativos windows y otras que solamente funcionan para linux o MacOs,  aunque el escenario dependera muchisimo de donde nos encontremos en ese preciso momento.

lo primero que haremos es descargarnos la utilidad un poco antigua pero funcional aun a dia de hoy se le conoce como PromiScan es simplemente un escaner sencillo que detecta si algun equipo dentro de nuestra red se encuentra en determinados momentos en modo monitor,  podemos apreciar en la siguiente imagen que primero verificamos para ver en que rango nos encontramos dentro de un equipo windows 10 y la herramienta nos proporciona una sencilla configuracion para los rangos de nuestra red.

en este caso una vez efectuando las configuraciones pertinentes y abordandonos desde la perspectiva de la ciberdefensa,   vamos a ver que otras opciones requiere la herramienta para poder operar ,  podemos ver en la imagen mas abajo que nos pide la direccion mac desde donde nosotros realizaremos la ciber inteligencia es decir ademas de otros detalles como por ejemplo la herramienta nos permite seleccionar la tarjeta que pondremos nosotros ala escucha como modo monitor para hacerle frente al intento de reconomiento e intento de ataque pasivo y analisis de informacion,  podemos ver en la imagen siguiente que es necesario configurar estos detalles para que la tool prosiga por donde se sniffeara y detectar en dado caso de que algun atacante tenga su tarjeta en modo monitor desde nuestra propia red.