🚀 go-pugleaf

Centuri�n wrote:

> Hola a todos
> 
> Necesito bloquear la instalaci�n de posibles sniffers en una red, no
> se trata de localizarlos (eso ya s� como hacerlo), quiero que no
> funcionen.
> 
> Creo que no, pero...., �hay tarjetas que "solo" trabajen en modo
> normal?
> 
> No me vale el configurar por el soft de la tarjeta la modalidad de
> trabajo, si yo lo hago, otro puede cambiarlo.
> 
> Se aceptan sugerencias.....
> 
> Un saludo y gracias
> 

Bueno, no estaria de mas que especificaras el sistema operativo en el 
que trabajas, de todos modos voy a suponer que se trata de un linux.


En linux para colocar una interface de red en modo promiscuo se usa la 
llamada al systema ioctl, realizando un setting de la flag promiscuo, lo 
que podrias hacer es modificar la fuentes del kernel para evitar que 
ello sea posible, o realizar dicha accion con un modulo para el kernel.

Para aprender a hacer esto te recomiendo la lectura de un documento 
publicado en 7a69#12 (http://www.7a69ezine.org) sobre modulos de kernel.

   http://www.7a69ezine.org/ezine/files/ver/12/4.txt


Un saludo.

Ripe - www.7a69ezine.org

"Centuri�n" <Tal_Hajus@yahoo.es> escribi� en el mensaje
news:5ed74a2d.0111082239.1b3a7fdc@posting.google.com...
> Hola a todos
>
> Necesito bloquear la instalaci�n de posibles sniffers en una red, no
> se trata de localizarlos (eso ya s� como hacerlo), quiero que no
> funcionen.
>
> Creo que no, pero...., �hay tarjetas que "solo" trabajen en modo
> normal?
>
> No me vale el configurar por el soft de la tarjeta la modalidad de
> trabajo, si yo lo hago, otro puede cambiarlo.
>
> Se aceptan sugerencias.....
>
> Un saludo y gracias

Hola Centuri�n

HAY tarjetas que NO PUEDEN (por hardware) entrar en modo promiscuo.
El problema es que no s� marca y modelo de las mismas... solamente que las
hay.
Espero haber sido m�nimamente �til.

Nekromancer
=============
Puedes bajar las PUF (FAQ) de es.comp.hackers de:
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_TXT.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_HTML.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_PDF.zip

Efectivamente, me ha faltado indicar el SO,  es en equipos Windows.

En Linux, en una ocasi�n explore la posibilidad que me comentas y no fue del
todo satisfactorio y logisticamente inviable (me ten�a que modificar decenas
de equipos con distintas versiones), no obstante, se logro un blindaje
aceptable en los equipos mas comprometidos.

Desgraciadamente la red que tengo que blindar es en Windows 98/ME.

Un saludo y gracias.

"Ripe/7a69" <ripe@7a69ezine.NO-ESPAM-HERE.org> escribi� en el mensaje
news:3BEB7CD2.5000000@7a69ezine.NO-ESPAM-HERE.org...
>
> Bueno, no estaria de mas que especificaras el sistema operativo en el
> que trabajas, de todos modos voy a suponer que se trata de un linux.
>
>
> En linux para colocar una interface de red en modo promiscuo se usa la
> llamada al systema ioctl, realizando un setting de la flag promiscuo, lo
> que podrias hacer es modificar la fuentes del kernel para evitar que
> ello sea posible, o realizar dicha accion con un modulo para el kernel.
>
> Para aprender a hacer esto te recomiendo la lectura de un documento
> publicado en 7a69#12 (http://www.7a69ezine.org) sobre modulos de kernel.
>
>    http://www.7a69ezine.org/ezine/files/ver/12/4.txt
>
>
> Un saludo.
>
> Ripe - www.7a69ezine.org
>
>
>

Si, sabiendo que existen, solo ser� cuesti�n de tiempo el encontrarlas.

Gracias Mike

"Mike" <your.name@pharma.novartis.com> escribi� en el mensaje
news:3bebb4b8@guardhouse.chbs...
> Hola Centuri�n
>
> HAY tarjetas que NO PUEDEN (por hardware) entrar en modo promiscuo.
> El problema es que no s� marca y modelo de las mismas... solamente que las
> hay.
> Espero haber sido m�nimamente �til.
>
> Nekromancer
> =============
> Puedes bajar las PUF (FAQ) de es.comp.hackers de:
> comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_TXT.zip
> comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_HTML.zip
> comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_PDF.zip
>
>
>

> 
> En Linux, en una ocasi�n explore la posibilidad que me comentas y no fue del
> todo satisfactorio y logisticamente inviable (me ten�a que modificar decenas
> de equipos con distintas versiones), no obstante, se logro un blindaje
> aceptable en los equipos mas comprometidos.
> 


Porque no fue viable? Si programar un modulo para el kernel que haga eso 
es cosa de 5 minutos. Solo tendrias compilar el modulo en cada una de 
las maquinas y comfigurarlo para que el modulo se cargue al arrancaer la 
maquina. Lo que puede llevarte un periodo de tiempo de aproximadamente 1 
minuto por maquina... Y no creo que tenas 500 maquinas ;)

Un saludo.

Ripe - www.7a69ezine.org

Centuri�n wrote:

> Si, sabiendo que existen, solo ser� cuesti�n de tiempo el encontrarlas.
> 

A mi parecer no merece la pena comprar este tipo de targetas, por varios motivos.


1.- Gasto adicional, pues teniendo ya unas targetas ethernet para que 
comprar otras? (el hardware no es gratis).
2.- Puede que en un futuro, queras reusar esa targeta en una maquina que 
precese modo promiscuo (un NIDS por ejemplo). Ademas en muchas ocasiones 
puede ser util para detectar errores en una red.
3.- Puedes evitar que una interface se coloque en modo promiscuo por 
software (estoy seguro que en windos tambien se puede, pero supongo que 
tendras que programarte un vxd).


Un saludo.


Ripe - www.7a69ezine.org

"Ripe/7a69" <ripe@7a69ezine.NO-ESPAM-HERE.org> wrote in message
news:3BEBC845.7060205@7a69ezine.NO-ESPAM-HERE.org...
> Centuri�n wrote:
>
> > Si, sabiendo que existen, solo ser� cuesti�n de tiempo el encontrarlas.
> >
>
> A mi parecer no merece la pena comprar este tipo de targetas, por varios
motivos.
>
>
> 1.- Gasto adicional, pues teniendo ya unas targetas ethernet para que
> comprar otras? (el hardware no es gratis).

Estamos de acuerdo, pero a nivel corporativo eso puede ser un tema menor.

> 2.- Puede que en un futuro, queras reusar esa targeta en una maquina que
> precese modo promiscuo (un NIDS por ejemplo). Ademas en muchas ocasiones
> puede ser util para detectar errores en una red.

La m�quina con el NIDS no tiene por qu� tener ese tipo de tarjetas.

> 3.- Puedes evitar que una interface se coloque en modo promiscuo por
> software (estoy seguro que en windos tambien se puede, pero supongo que
> tendras que programarte un vxd).

Las tarjetas que yo digo no pueden entrar en modo promiscuo de ninguna forma
ya que el hardware no lo soporta, con lo cual te aseguras que en caso de
compromiso de una m�quina (y la posibilidad de instalar cualquier tipo de
software por el atacante) no se pueda poner un sniffer (salvo para tr�fico
local de dicha m�quina, obviamente).  Lamento no haber preguntado marcas y
modelos cuando se habl� de las mismas.

>
> Un saludo.
>
>
> Ripe - www.7a69ezine.org
>

Nekromancer
=============
Puedes bajar las PUF (FAQ) de es.comp.hackers de:
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_TXT.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_HTML.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_PDF.zip

"Ripe/7a69" <ripe@7a69ezine.NO-ESPAM-HERE.org> escribi� en el mensaje
news:3BEBC708.6020500@7a69ezine.NO-ESPAM-HERE.org...
>
> Porque no fue viable? Si programar un modulo para el kernel que haga eso
> es cosa de 5 minutos. Solo tendrias compilar el modulo en cada una de
> las maquinas y comfigurarlo para que el modulo se cargue al arrancaer la
> maquina. Lo que puede llevarte un periodo de tiempo de aproximadamente 1
> minuto por maquina... Y no creo que tenas 500 maquinas ;)
>
> Un saludo.
>
> Ripe - www.7a69ezine.org

 Problemas de ubicaci�n, cantidad y efectividad:

- Ubicaci�n...... algunos estaban en silos, otros en medio de la monta�a,
habitualmente inaccesibles..etc
- Cantidad.... me puedo bajar a un pozo una vez, pero mas no. Te pones de
muy mala leche, cuando te falla algo y estas a muuuuchos kilometros de
cualquier parte habitada.
- Efectividad..... en algunos equipos con el ultimo Kernel no funcionaba
correctamente y me quedaba sin tarjeta.

"Ripe/7a69" <ripe@7a69ezine.NO-ESPAM-HERE.org> escribi� en el mensaje
news:3BEBC845.7060205@7a69ezine.NO-ESPAM-HERE.org...
> >
>
> A mi parecer no merece la pena comprar este tipo de targetas, por varios
motivos.
>
>
> 1.- Gasto adicional, pues teniendo ya unas targetas ethernet para que
> comprar otras? (el hardware no es gratis).
> 2.- Puede que en un futuro, queras reusar esa targeta en una maquina que
> precese modo promiscuo (un NIDS por ejemplo). Ademas en muchas ocasiones
> puede ser util para detectar errores en una red.
> 3.- Puedes evitar que una interface se coloque en modo promiscuo por
> software (estoy seguro que en windos tambien se puede, pero supongo que
> tendras que programarte un vxd).
>
>
> Un saludo.

Se trata de evitar a "toda costa" la posible interceptaci�n de datos por la
"intranet" ......

como ejemplo gr�fico: si tienes un reba�o de ovejas y no tienes mas guevos
que tener un lobo cerca... se llega a la conclusi�n  que arrancandole los
dientes al can, se evitan las muertes por dentelladas, y no vale un bozal,
pues se lo podria quitar   :))))

No te olvides que puede venir otro lobo munido de su flamante ThinkPad y
sniffearte las ovejas... cuidado con la seguridad f�sica tambien.

Nekromancer
=============
Puedes bajar las PUF (FAQ) de es.comp.hackers de:
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_TXT.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_HTML.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_PDF.zip

> - Efectividad..... en algunos equipos con el ultimo Kernel no funcionaba
> correctamente y me quedaba sin tarjeta.
> 



Obviamente debe suponerse que esta bien programado. Hookear la syscall 
ioctl no suele ser peligroso ni complicado.


Un saludo.

Ripe - www.7a69ezine.org

> 
>>2.- Puede que en un futuro, queras reusar esa targeta en una maquina que
>>precese modo promiscuo (un NIDS por ejemplo). Ademas en muchas ocasiones
>>puede ser util para detectar errores en una red.
>>
> 
> La m�quina con el NIDS no tiene por qu� tener ese tipo de tarjetas.
> 
> 

Te equivocas. Un NIDS debe ser capaz de capturar el trafico que no va dirigido a el. O es que quieres hace pasar todo el trafico por el? O como caso mas claro tomaremos los NIDS distribuidos en los que varios NIDS se coordinan asignadose cada uno de ellos un segmento de red... Como saptan el trafico del segmento que no va hacia ellos??


PD: Si, puedes hacer pasar TODO el trafico por el NIDS, pero no suele 
ser la mejor solucion.

Un saludo.

Ripe - www.7a69ezine.org

"Mike" <your.name@pharma.novartis.com> escribi� en el mensaje
news:3bec035f@guardhouse.chbs...
> No te olvides que puede venir otro lobo munido de su flamante ThinkPad y
> sniffearte las ovejas... cuidado con la seguridad f�sica tambien.
>
> Nekromancer
> =============


Tiene usted raz�n maese Mike, es necesario mejorar el vallado.

jejeje..... �es divertido eso de ser lobo y pastor a la vez!..... pensare
como lobo, lo que podria hacer el pastor, para que no snifase sus ovejas con
el ThinkPad de marras.

Un saludo

 ---*
Los dioses no protegen a los ignorantes. Estos, son protegidos por otros
ignorantes con mas conocimientos.
---

Tal vez no me expres� bien.
Cualquier sistema que capture tr�fico, sea un NIDS central o distribuido,
debe poder entrar en modo promiscuo (�estamos de acuerdo en eso?).
Lo que intent� decir es que ESOS sistemas pueden tener una tarjeta ethernet
com�n, que soporte entrar en modo promiscuo, mientras que todos los otros
sistemas pueden tener las que no lo soportan.

Nekromancer
=============
Puedes bajar las PUF (FAQ) de es.comp.hackers de:
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_TXT.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_HTML.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_PDF.zip

"Centuri�n" <Tal_Hajus@yahoo.es> escribi� en el mensaje news:5ed74a2d.0111082239.1b3a7fdc@posting.google.com...
> Hola a todos
>
> Necesito bloquear la instalaci�n de posibles sniffers en una red, no
> se trata de localizarlos (eso ya s� como hacerlo), quiero que no
> funcionen.


    Lo m�s sencillo, es cambiar el HUB por un switcher, de esta forma
te cargas los sniffers m�s corrientes.

     El segundo paso, es poner el switcher en modo est�tico, (que no
aprenda), de esta forma te cargas los sniffers m�s avanzados.



            Lokutus, asimilando la red.

> 
> 
>     Lo m�s sencillo, es cambiar el HUB por un switcher, de esta forma
> te cargas los sniffers m�s corrientes.
> 
>      El segundo paso, es poner el switcher en modo est�tico, (que no
> aprenda), de esta forma te cargas los sniffers m�s avanzados.
> 
> 
> 



Pero volvemos a esta en las mismas, nos encontramos con ciertos problemas.


1.- El factor economico. (El hard cuesta pasta!).
2.- Se debe cambiar (en parte) la topologia de la red, por lo que... 
trabajo extra.

PD: No hay duda que una red conmutada es mas segura que una red basada 
en huds. Pero no todo el mundo puede permitirse esto. Yo sigo 
decantandome por la solucion por software, pues bien montado puede ser 
MUY economico y eficaz.

Un saludo.

Ripe - www.7a69ezine.org

"Lokutus" <Lokutus@galactica.com> escribi� en el mensaje
news:9sh4no$h4f$1@talia.mad.ttd.net...
>
>     Lo m�s sencillo, es cambiar el HUB por un switcher, de esta forma
> te cargas los sniffers m�s corrientes.
>
>      El segundo paso, es poner el switcher en modo est�tico, (que no
> aprenda), de esta forma te cargas los sniffers m�s avanzados.
>
>
>
>             Lokutus, asimilando la red.

Okis, con esta soluci�n elimino sniffers.... pero:

- No tengo la absoluta seguridad de eliminarlos todos (al menos yo no la
tengo)
- Elimino la posibilidad de instalaci�n de sniffers en los equipos
"estrategicos" y que son necesarios para controles de seguridad.

Un saludo

Centuri�n wrote:

> "Lokutus" <Lokutus@galactica.com> escribi� en el mensaje
> news:9sh4no$h4f$1@talia.mad.ttd.net...
> 
>>    Lo m�s sencillo, es cambiar el HUB por un switcher, de esta forma
>>te cargas los sniffers m�s corrientes.
>>
>>     El segundo paso, es poner el switcher en modo est�tico, (que no
>>aprenda), de esta forma te cargas los sniffers m�s avanzados.
>>
>>
>>
>>            Lokutus, asimilando la red.
>>
> 
> Okis, con esta soluci�n elimino sniffers.... pero:
> 
> - No tengo la absoluta seguridad de eliminarlos todos (al menos yo no la
> tengo)
> - Elimino la posibilidad de instalaci�n de sniffers en los equipos
> "estrategicos" y que son necesarios para controles de seguridad.
> 
> Un saludo
> 
> 
> 


Con switch optendrias exactamente el mismo resultado que evitando el 
modo promiscuo de las interfaces de red. Siempre y cuando sean swiches 
tontos, como ya dujo Lokutus.

Un saludo.

Ripe - www.7a6ezine.org

Ripe/7a69 <ripe@7a69ezine.NO-ESPAM-HERE.org> wrote in message news:<3BECC1B4.7020807@7a69ezine.NO-ESPAM-HERE.org>...

> > - Elimino la posibilidad de instalaci�n de sniffers en los equipos
> > "estrategicos" y que son necesarios para controles de seguridad.
> > 
> > Un saludo
> > 
> 
> Con switch optendrias exactamente el mismo resultado que evitando el 
> modo promiscuo de las interfaces de red. Siempre y cuando sean swiches 
> tontos, como ya dujo Lokutus.
> 
> Un saludo.
> 

Creo que me he expresado mal en el anterior post, "ademas" de limitar
en la red la instalaci�n de snifers, necesito poner "alguno" en
equipos de control. Con la soluci�n de Lokutus, elimino la posibilidad
de que funcionen "en toda la red" y lo que yo quiero en que SI
funcionen en los equipos que decida y ademas tener la certeza
"absoluta" de que no me cuelan ninguno en el resto de PC's. De ah� la
soluci�n de solo tarjetas de red en modo "normal" para la mayoria de 
equipos.

Un saludo

"Centuri�n" <Tal_Hajus@yahoo.es> escribi� en el mensaje news:5ed74a2d.0111100359.5def4cee@posting.google.com...
> Ripe/7a69 <ripe@7a69ezine.NO-ESPAM-HERE.org> wrote in message news:<3BECC1B4.7020807@7a69ezine.NO-ESPAM-HERE.org>...
> de que funcionen "en toda la red" y lo que yo quiero en que SI
> funcionen en los equipos que decida y ademas tener la certeza
> "absoluta" de que no me cuelan ninguno en el resto de PC's. De ah� la
> soluci�n de solo tarjetas de red en modo "normal" para la mayoria de
> equipos.


     Los conmutadores de red tienen una opci�n (�poll-copy?) que copia todo el
tr�fico de una o m�s de las salidas a la salida que quieras.



              Lokutus, asimilando la red.

"Lokutus" <Lokutus@galactica.com> wrote in message news:<9smvao$g0n$1@talia.mad.ttd.net>...
 
>      Los conmutadores de red tienen una opci�n (�poll-copy?) que copia todo el
> tr�fico de una o m�s de las salidas a la salida que quieras.
> 

Que lo mismo que un Admin puede parametrizar para realizar ese desv�o,
lo puede hacer un usuario no autorizado, atacando el conmutador por
TCP comodamente desde su puesto de trabajo y el Switch 3Com SuperStack
que utilizan "da" muchas facilidades de configuraci�n remota.

Un saludo y gracias

Centuri�n wrote:

> "Lokutus" <Lokutus@galactica.com> wrote in message news:<9smvao$g0n$1@talia.mad.ttd.net>...
>  
> 
>>     Los conmutadores de red tienen una opci�n (�poll-copy?) que copia todo el
>>tr�fico de una o m�s de las salidas a la salida que quieras.
>>
>>
> 
> Que lo mismo que un Admin puede parametrizar para realizar ese desv�o,
> lo puede hacer un usuario no autorizado, atacando el conmutador por
> TCP comodamente desde su puesto de trabajo y el Switch 3Com SuperStack
> que utilizan "da" muchas facilidades de configuraci�n remota.
> 
> Un saludo y gracias
> 

Puedes configurarlo para permitir la configuracion unica y 
exclusivamente por puerto serie (si, posee esa opcion, que suelen tenerla).

Un saludo.

Ripe - www.7a69ezine.org