herramientas de monitoreo
Post on 07-Feb-2016
141 Views
Preview:
DESCRIPTION
TRANSCRIPT
UNIDAD 3Equipo:Eliel López Rueda
Angélica Villa Hernández
Jorge Acevedo Carreón
Cristian Ivan Huerta Rojas
Noé Mazahua Xincuile
WIRESHARK
INTRODUCCIÓNWireshark, antes conocido como Ethereal, es un analizador de protocolos utilizado para realizar análisis y solucionar problemas en redes de comunicaciones, para desarrollo de software y protocolos, y como una herramienta didáctica. Cuenta con todas las características estándar de un analizador de protocolos de forma únicamente hueca.
La funcionalidad que provee es similar a la de tcpdump, pero añade una interfaz gráfica y muchas opciones de organización y filtrado de información. Así, permite ver todo el tráfico que pasa a través de una red (usualmente una red Ethernet, aunque es compatible con algunas otras) estableciendo la configuración en modo promiscuo. También incluye una versión basada en texto llamada tshark.
CARACTERÍSTICAS Mantenido bajo la licencia GPL.
Muy robusto, tanto en modo promiscuo como en modo no promiscuo.
Puede capturar datos de la red o leer datos almacenados en un archivo (de una captura previa).
Basado en la librería pcap.
Tiene una interfaz muy flexible.
Gran capacidad de filtrado.
Admite el formato estándar de archivos tcpdump.
Reconstrucción de sesiones TCP
Se ejecuta en más de 20 plataformas.
Es compatible con más de 480 protocolos.
Puede leer archivos de captura de más de 20 productos.
Puede traducir protocolos TCP IP
Genera TSM y SUX momentáneamente
VENTAJAS Y DESVENTAJASVentajas
Entre sus cualidades nos encontramos con una enorme versatilidad que le lleva a soportar más de 480 protocolos distintos, además de la posibilidad de trabajar tanto con datos capturados desde una red durante una sesión con paquetes previamente capturados que hayan sido almacenados en el disco duro.
Wireshark soporta el formato estándar de archivos tcpdump, es capaz de reconstruir sesiones TCP, y está apoyado en una completa interfaz gráfica que facilita enormemente su uso.
Desventajas
Puede ser muy dificil de decifrar la información que transita en la red, sin embargo para usuarios con mas experiencia puede ser mas facil identificar que es lo que esta transitando exactamente, quien envia la información y quien la recibe.
PROCESO DE INSTALACIÓNDebemos descargar wireshark desde los repositorios oficiales de Debian. Podemos hacerlo mediante el centro de descargas (gráficamente) o desde terminal(en este caso se realizara desde terminal).
1. Abrimos una terminal como root y ejecutamos las siguientes instrucciones:
aptitude update aptitude install wireshark
2. Termina la descarga
3. Ahora podemos ir a nuestro menú de Aplicaciones – Internet - Wireshark; y abrirlo Nota: Si lo abrimos de esta manera no podremos ejecutar las herramientas de este programa. Para poder hacerlo necesitamos ejecutarlo como superusuario root, aunque esta práctica no es recomendada.
INTERFAZ DE USUARIO
HERRAMIENTAS ADMINISTRATIVAS Acá tenemos algunas de nuestras herramientas mas utilizadas
En este ejemplo usaremos la opción de Capture para capturar los que ocurre en una interfaz seleccionada
Seleccionamos una interfaz y damos clic en “Start”
Y nuestra herramienta comenzará a hacer el análisis de lo que ocurre en nuestra interfaz
VERSIONES Existen muchas versiones de wireshar. Existen versiones para:
Windows (32 bits) Windows (64 bits) OS X (32 bits) OS X (64 bits) Linux
La ultima versión estable es la 1.12.2
CONCLUSIÓN Wireshark es una herramienta sniffer muy popular y eficiente a la hora de
analizar paquetes y tramas de circulación en la red. Es importante tener en cuenta que para un uso correcto y adecuado de esta herramienta, debemos de tener nuestra tarjeta de red en modo promiscuo, y en usuarios Linux hacer las configuraciones necesarias de grupos y usuarios que puedan ejecutar esta herramienta, porque hacerlo de modo supe usuario (root) podemos correr mucho riesgo en la red.
SNORT
INTRODUCCIÓN
Snort es un IDS o Sistema de detección de intrusiones basado en red (NIDS). Implementa un motor de detección de ataques y barrido de puertos que permite registrar, alertar y responder ante cualquier anomalía previamente definida como patrones que corresponden a ataques, barridos, intentos aprovechar alguna vulnerabilidad, análisis de protocolos, etc conocidos. Todo esto en tiempo real.
CARACTERISTICAS PRINCIPALES
La característica más apreciada de Snort, además de su funcionalidad, es su subsistema flexible de firmas de ataques. Snort tiene una base de datos de ataques que se está actualizando constantemente y a la cual se puede añadir o actualizar a través de la Internet.
V E N T A J A S Una subred completa puede ser cubierta por un IDS
Teóricamente indetectables
Mínimo impacto a la red
Permiten detectar ataques DOS
Independencia del ambiente operativo
Livianos y Fáciles de implementar
D E S V E N T A J A S Generación de falsos positivos
No pueden analizar tráfico cifrado
Son tan efectivos como la última actualización de patrones
Alta latencia entre el ataque y la notificación
Dificultad para realizar análisis en redes congestionadas
No indican si un ataque ha sido exitoso o no
PROCESO DE INSTALACION 1. Abrir una terminal
2. Escribir el comando de instalación de paquete : sudo apt-get install snort
Dando permisos de superusuario para poder realizar la instalación (debido al sistema de permisos utilizado por las distribuciones de Linux), escribiendo la contraseña en la siguiente línea.
En seguida se iniciará la instalación.
Dando permisos de superusuario para poder realizar la instalación (debido al sistema de permisos utilizado por las distribuciones de Linux), escribiendo la contraseña en la siguiente línea.
En seguida se iniciará la instalación.
3. A continuación pedirá la siguiente opción de configuración
En este paso pide la dirección de red local (la cual va a ser la que se estará monitoreando). En este punto puede haber 3 opciones de configuración: Si es una única dirección se colocará con máscara de sub red /32 Si es un bloque de 256 IPs se utilizará la máscara /24 Si es una red más amplia se utilizará la máscara /16
4. Una vez finalizado el proceso de instalación se puede realizar la configuración completa por medio del comando.
Lo cual hará que se pidan las configuraciones, que serán guardadas en el archivo /etc/snort/snort.debian.conf
Una vez finalizado el asistente de configuración, se ejecuta el comando mostrado en la anterior instrucción
INTERFAZ DE USUARIO
HERRAMIENTAS ADMINISTRATIVAS
La interfaz de SNORT cuenta con herramientas que permiten ver:
VERSIONES SNORT esta disponible para los SO:
Fedora
Centos
Windows
Linux
snort-2.9.7.0.tar.gz
CONCLUCIONES Es una herramienta muy importante en la prevención de ataques,
constituyen una primera barrera que nos puede ayudar a corregir fallas de seguridad o a recopilar información relacionada con un posible futuro ataque se ha definido snort como una herramienta capaz de crear alertas, de acuerdo con las necesidades que el administrador contemple dentro de la organización.
Esta es una de las herramientas más poderosas en el campo de la administración de alertas de ataques.
MRTG
INTRODUCCIÓNMRTG(Multi Router Traffic Grapher) es una utilidad creada por Tobias Oetiker usada para crear graficas que representan una visualización de datos en tiempo real. El uso mas común de esta utilidad es en el router, pero se puede utilizar para graficar cualquier cosa, por ejemplo el numero de miembros o visitantes en una pagina web.
CARACTERÍSTICAS PRINCIPALES Es multiplataforma por lo que es compatible con la mayoría de las
plataformas Unix y Windows. Además de ser open-source.
Esta escrito en Perl.
Utiliza una aplicación SNMP portátil escrito completamente en Perl.(No necesita instalar ningún paquete externo SNMP).
Las interfaces de routers pueden ser fácilmente identificadas por su dirección IP, descripción y dirección Ethernet.
Mantiene un constante tamaño de los archivos de registro (logfiles).
Algunas rutinas escritas en C para mejora de rendimiento.
Gráficos generados directamente en formato PNG.
Paginas web producidas son altamente configurables.
VENTAJAS Lectores externos para graficas MRTG pueden crear otras interpretaciones
de los datos.
El software de MRTG puede ser usado no solamente para medir trafico de redes en interfaces, sino también para construir graficas de cualquier cosa que tenga un equivalente de MIB SNMP, como carga de CPU, disponibilidad de disco, temperatura, etc.
Puede ser extendido para trabajar con RRDTool.
Permite establecer alarmas.
Fácil de configurar (menos de 30 min).
Soporta Ipv6.
Altamente popular, por ende abundante soporte y ayuda en línea.
DESVENTAJAS Genera cada grafica (dependiendo de cuantas graficas se tengan
configuradas) cada 5 minutos, creando sobrecarga en algunos casos.
Manejo de MRTG puede ser tedioso.
Muy pocas opciones de costumizar las opciones de graficas.
Espacio de disco siempre es un problema.
Las graficas no pueden ser directamente comparadas.
Inútil para planeación de capacidad.
Pierde resolución rápidamente.
PROCESO DE INSTALACIÓN Obtén los paquetes requeridos.
Perl. La mayor parte de mrtg esta escrita en Perl Gd. Librería básica para dibujar graficas. Libpng. Requerida por gd para producir archivos PNG. Zlib. Comprime las graficas creadas. Mrtg. La utilidad misma.
Compila e instala los paquetes.
Crea archivos cfg para interfaces de enrutadores con cfgmaker.
Crea paginas de los archivos cfg con indexmaker.
Lanza MRTG periódicamente desde Cron o correrlo en modo daemon.
INTERFAZ DE USUARIO
HERRAMIENTAS ADMINISTRATIVASRDDTool. Base de datos round robin para series de tiempos y almacenamiento de datos.
Usado en línea de comandos. Hecho para ser mas rápido y mas flexible. Incluye cgi y herramientas de graficación, mas api. Soluciona los problemas de historial y problemas simples de interfaces.
VERSIONES MRTG-1.0
Creado en la primavera de 1995. Completamente escrito en perl. Muy lento y con problemas de portabilidad y escalabilidad.
MRTG-2.0 Salió al mercado en ener0 de 1997 Mas rápido. Virtualmente independiente de plataforma. Mas fácil de usar.
MRTG-3.0 Implementación de la herramienta rrdtool. Mayor rendimiento. Fácil configuración. Soluciones integrales.
CONCLUSIONESMrtg es una herramienta muy popular debido a lo útil y sencilla de usar que es. También es una herramienta que ha venido a mas desde su primer versión, las mejoras en rendimiento, facilidad de uso, manejo de espacio y mas la han hecho la herramienta mas utilizada para la medición de trafico, ya que se puede utilizar para medir no solo trafico sino cualquier cosa medible en una red.
HERRAMIENTAS DE MONITOREOtcpdump
INTRODUCCIÓN Tcpdump es la herramienta principal de análisis de la red, de los
profesionales de seguridad de la información. Tener un conocimiento sólido de esta aplicación es obligatoria para cualquiera que desee un conocimiento profundo de TCP / IP.
Un profundo conocimiento de estos protocolos permite a la resolución de problemas en un nivel mucho más allá de la analista medio.
CARACTERÍSTICAS PRINCIPALES Tcpdump imprime una descripción de los contenidos de los paquetes sobre una interfaz de red que
coincide con la expresión booleana; la descripción es precedida por un sello de tiempo, impreso, por defecto, como horas, minutos, segundos y fracciones de segundos desde la medianoche.
También se puede ejecutar con la bandera -w, lo que hace que para guardar los datos de paquete a un archivo para su posterior análisis, y / o con la bandera -r, que hace que se lea desde un archivo guardado de paquetes en lugar de leer los paquetes a partir de una interfaz de red. También se puede ejecutar con la bandera -V, lo que hace que leer una lista de archivos de paquetes guardados. En todos los casos, sólo los paquetes que expresión de coincidencia será procesado por tcpdump.
Si no se ejecutan con la bandera -c, tcpdump continuara la captura de paquetes hasta que es interrumpida por una señal SIGINT (generada, por ejemplo, al escribir su carácter de interrupción, generalmente control-C) o una señal SIGTERM (normalmente generada con el comando para matar el proceso); si se ejecuta con la opción -c, capturará los paquetes hasta que es interrumpida por una señal SIGINT o SIGTERM o el número especificado de paquetes han sido procesados.
CARACTERÍSTICAS PRINCIPALES Cuando termina de tcpdump paquetes captura, se informe cargos de:
''paquetes `capturados'' (este es el número de paquetes que tcpdump ha recibidos y procesados). ''paquetes recibidos por el filtro '' (el significado de esto depende del sistema operativo en el que se
está ejecutando tcpdump, y posiblemente en la forma en que el sistema operativo se ha configurado - si se ha especificado un filtro en la línea de comandos, en algunos sistemas operativos cuenta paquetes, independientemente de si fueron igualados por la expresión de filtro y, aun si fueron igualados por la expresión de filtro, independientemente de si tcpdump ha leído y los procesados, sin embargo, en otros sistemas operativos que cuenta solamente los paquetes que fueron igualadas por la expresión de filtro, independientemente de si tcpdump ha leído y que ha procesado todavía, y en otros sistemas operativos porque cuenta sólo los paquetes que fueron agrupados por la expresión de filtro y se procesaron por tcpdump);
''Paquetes borrados por el kernel'‘, (este es el número de paquetes que fueron arrojadas, debido a una falta de espacio de memoria intermedia, por el mecanismo de captura de paquetes en el sistema operativo en el que se ejecuta tcpdump, si el sistema operativo informa de que la información a las aplicaciones; si no, será reportado como 0).
VENTAJAS Y DESVENTAJAS Ventajas
Herramienta muy potente y precisa acerca del trafico de red.
Soporta una gran cantidad de protocolos.
Desventajas
Requiere de alto conocimiento y análisis del protocolo TCP/IP.
Altos requerimientos de recursos para un desempeño optimo (según el fin que se tenga).
PROCESO DE INSTALACIÓN Descargar e instalar:
#apt-get install tcpdump
Si es necesario, checar dependencias e instalarlas antes.
#apt-cache depends tcpdump
También puede ser importante saber la versión instalada.
#apt-cache policy tcpdump
INTERFAZ DE USUARIO
HERRAMIENTAS ADMINISTRATIVAS Capturar paquetes de una interfaz Ethernet determinada utilizando tcpdump –i
Captura sólo número N de paquetes usando -c tcpdump
HERRAMIENTAS ADMINISTRATIVAS Muestra paquetes capturados en ASCII utilizando tcpdump -A
Capturar los paquetes y escribir en un archivo usando -w tcpdump
HERRAMIENTAS ADMINISTRATIVAS Recibir sólo los paquetes de un tipo de protocolo específico
Recibe paquetes fluye en un puerto en particular mediante el puerto tcpdump
HERRAMIENTAS ADMINISTRATIVAS Capturar paquetes para todo destino IP y el puerto
Captura de paquetes de comunicación TCP entre dos hosts
tcpdump filtrar los paquetes - Captura todos los paquetes que no sean arp y rarp
VERSIONESUltimo (actual)
4.6.2 / 1.6.2Sep 2, 2014
En desarrollo
git clone git://bpf.tcpdump.org/tcpdump
Noviembre, 2014. Anteriores
4.5.1 / 1.5.3Nov 20, 2013/Dec 3, 2013/Jan 14, 2014
4.4.0 / 1.4.0May 20, 2013
CONCLUSIONES Tcpdump es un herramienta de análisis de trafico muy potente y flexible
que puede apoyarnos en la labor de auditoria, monitoreo y en cierta medida ante ataques de red.
REFERENCIAS http://www.tcpdump.org/manpages/tcpdump.1.html
http://openmaniak.com/tcpdump.php
http://www.thegeekstuff.com/2010/08/tcpdump-command-examples/
http://www.danielmiessler.com/study/tcpdump/
IPTRAF
INTRODUCCIÓN IPTraf es una herramienta para la consola que monitorea el tráfico de redes en nuestro sistema y es sumamente útil para depurar problemas de ese tipo. Se puede ejecutar tanto en modo interactivo como en modo desatendido (batch). Funciona recolectando información de las conexiones TCP, como las estadísticas y la actividad de las interfaces, así como las caídas de tráfico TCP y UDP. Se encuentra disponible en sistemas operativos GNU/Linux.
CARACTERÍSTICAS PRINCIPALES Además de un menú de opciones a pantalla completa, IPTraf posee las siguientes características:
Monitoreo de trafico IP, tras informaciones sobre el tráfico de IP que pasa sobre nuestra red LAN. Incluye informaciones sobre el TCP bytes y contenido, detalles ICMP, y tipos de paquetes OSPF.
Estadísticas de interface general detallado mostrando IP, TCP, UDP, ICMP, no-IP y otros paquetes IP, errores checksum IP, actividad del interface, contenido del tamaño del paquete.
Contenido de TCP y UDP, servicio de monitoreo de paquetes de entrada y salida para TCP comunes y puertas UDP aplicación.
Módulo de estadísticas que descubre hosts activos mostrando también estadísticas de las actividades de datos sobre ellos.
TCP, UDP, filtros y otros protocolos de visualización, permitiendo que usted visualiza solamente el tráfico en el cual está interesado.
Permite grabar Logs. Soporta redes Ethernet, FDDI, ISDN, SLIP y PPP. Utiliza el built-in interface de socket raw del kernel Linux, permitiendo que él sea usado en una amplia gama de placas de rede soportadas.
VENTAJAS, DESVENTAJAS Ventajas Es capaz de brindar mucha información como el número de paquetes y bytes en una conexión TCP, estadísticas de una interfaz e indicadores de actividad, caídas en el tráfico TCP/UDP y número de bytes y paquetes en una estación LAN.
Esta herramienta podría resultar muy útil ya que por ejemplo analizando el tráfico de red podríamos detectar si hay algún “infiltrado”, que esté haciendo uso ilegal de nuestra conexión o algún programa (por ejemplo un troyano) haciendo mal uso de lo nuestro.
IPTraf admite una amplia gama de interfaces de red: Loopback local Todas las interfaces Ethernet admitidas por GNU/Linux. Todas las interfaces FDDI admitidas por GNU/Linux. SLIP Asynchronous PPP Synchronous PPP over ISDN
ISDN con encapsulación Raw IP ISDN con encapsulación Cisco HDLC Línea IP Paralela.
Desventajas Solo se encuentra disponible para sistemas operativos basados en GNU/Linux.
Está en modo consola.
PROCESO DE INSTALACIÓN Instalando a partir de 'source'. Desde la terminal escribir lo siguiente: # tar zxvf iptraf-x.y.z.tar.gz # ./Setup Instalación en Debian: # apt-get install iptraf Instalación en CentOs: # yum install iptraf
INTERFAZ DE USUARIO IpTraf es una utilidad basada en lo
que común mente se conoce como interfaces curses (Curses es una biblioteca de control de terminal para sistemas basados en Unix, posiblemente considerada como las primeras librerías para interfaces de usuarios) y lo que realiza es interceptar los paquetes que se están transfiriendo en la red para luego brindarnos información sobre los mismos.
HERRAMIENTAS ADMINISTRATIVAS IP traffic monitor. Nos muestra en tiempo real del tráfico que pasa por las
interfaces. Podemos seleccionar sólo una interfac o todas. Podemos ver qué IP está haciendo uso del tráfico de red.
General interfaces statistics. Muestra estadísticas de las interfaces.
Detailed interfaces statistics. Información más detallada de una interfaz en concreto.
Statistical breakdowns.... Tráfico de paquetes por tamaño o por TCP/UDP en una interfaz.
LAN station monitor. Muestra las estadísticas de nuestra red detectadas en una o todas las interfaces.
Filters. Podemos configurar filtros o crea uno nuevo.
Configure. Configurar IPtraf para nuestras necesidades
VERSIONES IPTraf 2.2.2 Released, July 14, 2000 Updates, September 18, 2000 Mailing Lists Now Available, September 30, 2000 IPTraf 2.3.0 Released, November 6, 2000 IPTraf 2.3.1 Released, November 13, 2000 IPTraf on ZDNet, February 18, 2001 IPTraf 2.4.0 Released, March 20 2001 IPTraf 2.5.0 Released, August 14 2001
IPTraf 2.6 First Beta Released, January 29, 2002 IPTraf 2.6.0 Released, April 24, 2002 IPTraf 2.6.1 Released, May 2, 2002 IPTraf 2.7.0 Released, May 19, 2002 IPTraf 3.0.0 - September 19, 2005 (Última versión estable)
CONCLUSIONES Esta es una de las herramientas ideales para monitorear las redes de nuestras oficinas, si bien no contamos con una versión del todo gráfico, mostrando diagramas estadísticos ni mucho menos dibujos, pero es realmente útil la información que podemos obtener si es que realmente hacemos una buena lectura de la misma. Al poder ejecutarse remotamente bajo un protocolo SSH (Secure Shell) podemos conocer aún más información y de alguna manera mantener el control del tráfico de la red.
top related