"BLOQUEAR LOS PINGS ENTRANTES A VUESTRO SERVIDOR"
Una de las cuestiones mas importantes ala hora de tratar una defensa en profundidad en nuestra infraestructura de red o networking como quieran llamarle es defender que conexiones estamos respondiendo de cara a internet.
en este caso vamos a bloquear sencillamente los ICMP reply por el cual los atacantes pueden conocer de antemano con un footprinting que nuestro equipo o servidor esta activo en nuestra red, desde este punto el atacante puede intuir sobre que sistema se va a enfrentar posteriormente e investigar las distintas vulnerabilidades existentes o peor aun comprar algun exploit 0day dentro del mercado negro de los circulos black hat.
ahora, abordando nuestro tema vamos a intentar mandar un ping a la direccion de microsoft con su respectivo dominio aver que es lo que ocurre:
lo que hace microsoft es bloquear los mensajes de respuesta, cuando nosotros intentamos preguntarle al server de microsoft que si esta activo, este contesta con una solicitud erronea o que vuestra solicitud esta agotada y porque, pues es simple, el mecanismo de seguridad no nos permite saber con certeza la verdadera realidad, puede que haya un firewall entre nosotros y el server o puede que esten bloqueadas este tipo de paquetes como lo que configuraremos en esta entrada nosotros mismos.
para este caso vamos a usar un poderoso firewall dentro del nucleo del sistema de linux llamado iptables, este es por defecto el mas poderoso de casi todos los firewalls existentes en mi opinion y no, no es que sea fanboy de linux, solo lo digo por experiencia propia , pues al tener mas facilmente acceso al nucleo de linux, este puede mejorar la seguridad, puesto que un atacante tendria que penetrar hasta el nucleo del sistema para poder explotar este firewall, lo que se vuelve un tanto dificil pero no por eso imposible.
en esta anterior imagen podemos observar un header del protocolo ICMP con RFC de referencia como numero 792 para mas documentacion tecnica.
ahora vamos a ir a nuestro server linux y bloquear el tipo de paquetes de respuesta, nos vamos a la terminal y tipeamos ifconfig para ver nuestras direcciones disponibles en la maquina.
-----------------Interfaces de red configuradas en el host.----------------
ahora vamos a desplegar la ayuda del cortafuegos iptables a ver como es su sintaxis de los comandos:
podemos ver que desde esta increible herramienta podemos utilizar multiples cadenas sencillas o complejas dependiendo del conocimiento tecnico de nosotros o de nuestra utilidad misma en diversas ocasiones.
podemos bloquear incluso ataques dos o ddos todo depediendo de las configuraciones y politicas en las cadenas que hayamos establecido.
ahora vamos a observar que cadenas tenemos por default:
como podemos verificar, no tenemos ninguna regla configurada tanto de salida, entrada como de redireccion asi como de nat, en la anterior imagen parte inferior podemos ver que configure una regla de trafico de red entrante para todo el protocolo icmp, todo el protocolo icmp sera rechazado al instante.
ahora vemos que ya nos muestra la regla configurada del protocolo icmp entrante, en realidad el protocolo icmp casi no es de nuestra utilidad salvo en diversas ocasiones que para verificar un host si esta vivo o diagnosticar problemas de red en la capa del modelo osi.
otra forma de denegar todo el trafico entrante icmp o solo los paquetes icmp del tipo echo es denegando todo desde la ruta proc/sys, de esta manera se activa para que ignore simplemente todo este tipo de trafico.
solo modificamos este valor por un 1 y listo.
esta es otra forma de crear una nueva regla de trafico entrante, con la direccion de destino como todo 0/0 y de destino 0/0 que en este caso iptables lo traduce como "todo" hacia "todo" o "cualquier lugar" drop es algo similar a reject, drop hace que el paquete que realizo la peticion sea tirado, eliminado y olvidado para siempre , en cambio la opcion reject lo que hace es devolverle un mensaje de error segun el protocolo y la configuracion al cliente.
por ultimo en la imagen anterior podemos observar que agregue a una regla de la cadena completa , una direccion de origen y otra de destino, en este caso lo que dice la regla es lo sigueinte "deniega todo el trafico icmp que vaya desde la direccion 192.168.0.1 hacia la .0.5.
cuando intento hacer un ping al server me muestra lo siguiente:
lo que me indica que el server esta bloqueado con exito y estamos protegidos...... por ahora.
Referencias y Enlaces Tecnicos:
http://www.alcancelibre.org/staticpages/index.php/introduccion-iptables
http://ipset.netfilter.org/iptables.man.html
http://wiki.elhacker.net/redes/administracion-de-redes-gnu-linux/firewall
Imagen Extraida de los paquetes ICMP:
https://bizimages.withfloats.com/tile/563444274ec0a40c6c8ec329.jpg
