FOXHOUND-NSM.- Un Csirt en tu Raspberry Pi

Si eres un ser paranoico de luz como yo, te encantare saber que puedes crear tu propio NSM (Network Security Monitor) con una Raspberry Pi 3 gracias a Mark (sneakymonk3y) y su FOXHOUND-NSM.

Requisitos:

• [Raspberry Pi 3] (case, power, pi board)
• [Class 10 microSD card] 64Gb (80Mb/s) Sandisk.
• Linux [Raspbian Lite] Debian OS.
• [NetGear Gigabit Switch] /a [PoE D-Link 1100-08P] o similares.
• [Critical Stack API] paraThreat Intel / IOCs.
• [Mailgun Account] o similares.

Para el "como montarlo" y mucha mas información sobre como usarlo os aconsejo leer la fuente de esta entrada: 

• https://www.sneakymonkey.net/2016/10/30/raspberrypi-nsm/

Sed Buenos ;) 

Vídeo.- Computer Networks

Por fin es viernes y seguro que tenéis ganas de trasnochar sea como sea. Así que hoy no os aburriré con mis tonterías y pasaremos directos a la recomendación. Que mejora que un viernes lluvioso (si, aquí llueve y hace fresquito) para quedar se en casa y ver algún vídeo tranquilo. 

Pues hoy, quiero recomendaros el siguiente vídeo de Crash Course donde nos explican con pelos y señales como funciona una red que usamos cada día para conectarnos a Internet o a otros recursos compartidos de nuestra red interna. Un buen repaso que no dura mas de 15 minutos.

 

Sed Buenos ;)

KickThemOut.- Échalos a todos

K4m4 [Nikolaos Kamarinakis] siempre se sorprende con sus herramientas. La verdad es que son ideas sencillas pero a las que nadie hemos caído o si lo hemos hecho nunca nos ha dado por programarlo. 

Después de [ONiOFF] un script para comprobar si tus sitios favoritos de la deepweb están activos, nos presenta KickThemOut un programa y Python (Dios mio que de buenas alegrías me ha dado saber programar en el <3 ) que nos permite echar a quien queramos de nuestra red.  Hasta aquí genial, es fácil de usar, pesa poco, poquitas dependencias. Guay muy guay.  Pero lo que de verdad me apasiona de este script es la manera que tiene de echar a la gente. 

Lo hace mediante un ARP Spoofing. ¿Que os parece? ¿Se os había ocurrido? ¿En serio podemos echar a alguien de la red con este tipo de ataques?

Pues si, solo hace falta enviarlo a la victima a una IP que no este en nuestro rango de Ips de nuestra red local por lo que no podrá conectar. Fácil, cómodo y con Python. 

Aquí tenéis una demo sobre esta herramienta: 

Y aquí tenéis el enlace para descargar e instalar la herramienta además de fuente:

• https://github.com/k4m4/kickthemout

Una herramienta muy chula que me ha hecho tener que volver a repasar mis nociones de ARP Spoofing y si os he de ser sincero. Nunca me había parado a pensar en una aplicación para esta para un ataque como este.

Sed Buenos ;)  

Ettercap Text Only Manual

Hoy, pensando en mi flamante Raspberry Pi con pantalla táctil, me he puesto a buscar alguna guía que me explicara como funciona sslstrip junto a Ettercap para poder programar un sencillo bash o script en python para que lo configure todo directamente y no tener que tirar de tantas dependencias como lo hace WarBerry. 

Si, se puede automatizar el proceso, pero mi duda a llegado al ver el siguiente comando de ettercap: 

• ettercap -T -q -i tarjeta_de_red -M arp:remote /IP_VICTIMA/ /IP_ROUTER/

Seguro que vosotros lo sabéis, pero yo en el momento que he visto esto me he quedado sin saber que hacía cada una de las opciones. A ver, algunas se pueden intuir pero otras no.  Así que me he puesto a buscar algún manual, guía o chuleta, que me explicara estas opciones y aunque es un poco vieja, os recomiendo el siguiente manual. 

• http://www.irongeek.com/i.php?page=backtrack-3-man/ettercap

Lo explican todo, en ingles pero de una manera genial y creo que es la mejor manera para saber como funciona esta herramienta. 

Pero si realmente queréis saber lo que hace esta herramienta y como funciona tambien os recomiendo el An Ettercap Primer de SANS. También es antiguo, pero vale mucho la pena a nivel técnico. 

• https://www.sans.org/reading-room/whitepapers/tools/ettercap-primer-1406

Sed Buenos ;) 

NetBios.- Deshabilítala o Muere

Hace unos días me invitaron al piso compartido de unos amigos y al verme con el móvil me insistieron para que me conectara a su Red Wifi. Al estar dentro lo primero que hice fue escanearla fon [Fing] una app para scanear redes. La verdad es que no encontré gran cosa si, poseían un servidor y la tele LG también estaba conectada a la red pero, estaba bien hecha nada que pudiera hacer sin un portatil. Aunque, había un detalle que a muchos hemos dejado de lado y es el tema de la NetBios. 

"NetBIOS, "Network Basic Input/Output System", es, en sentido estricto, una especificación de interfaz para acceso a servicios de red, es decir, una capa de software desarrollado para enlazar un sistema operativo de red con hardware específico. NetBIOS fue originalmente desarrollado por IBM y Sytek como API/APIS para el software cliente de recursos de una Red de área local (LAN). Desde su creación, NetBIOS se ha convertido en el fundamento de muchas otras aplicaciones de red."

Esto desde fuera no tiene ninguna repercusión pero si alguien se colara en una red ajena, scaneara dicha red y encontrara una NetBios abierta vería una puerta abierta. 

Mas información de como realizar el ataque:

• http://cd.textfiles.com/hmatrix/Tutorials/hTut_0163.html

¿Como Deshabilitarlo? (Windows 8.1)

Es tan fácil como ir a Panel de control > Centro de redes y recursos compartidos > Cambiar la configuración del adaptador > Elegimos el adaptador (Ethernet/802.11) > Boton Derecho > Propiedades > Protocolo de Internet versión 4 > Propiedades > Opciones Avanzadas > WINS > Deshabilitar NetBios a travez de TCP/IP

Para otros sistemas os dejo el enlace al foro de DaboWeb y con los puertos que deberíais bloquear en el Firewall: 

• http://www.daboweb.com/foros/index.php?topic=4457.0

Espero que os haya servido y Sed Buenos ;) 

Un Repaso Por Los Estándares IEE 802.X.

Las normas IEE 802.X definen los estándares para el funcionamiento de redes de área local u redes metropolitanas:

• IEE 802.3. Estándar basado en la versión 2.0 de la red Ethernet. Defina una red con topologia de bus y método de acceso CSMA/CD (todas las estaciones pueden acceder simultáneamente al medio y comparten la utilización del canal de comunicación). Su campo de aplicación se encuentra en entornos técnicos, oficinas, universidades y hospitales. 

• IEE 802.4. Define una red con topologia bus y paso de testigo (solo puede acceder a la utilización del canal la estación en posesión del testigo). Se Utiliza en entornos industriales y se conocen con el nombre de Token-bus 

• IEE 802.5. Estándar basado en la red Token-ring de IBM. Define una red con topologia de anillo y paso de testigo. Ha sido popular en entornos de oficinas, con un nivel de implementación similar a las redes Ethernet. 

De momento lo dejamos aquí, pero os recomiendo que os mireis esta imagen que hace un gran resumen de los estándares IEE 802.X 

Sed Buenos ;)